Catálogo de controles para cualificación QERDS y TSA
17 controles agrupados por marco normativo
17 controles coinciden con los filtros aplicados.
ENS-ALTA
ENS – Esquema Nacional de Seguridad categoría ALTA (RD 311/2022)
Referencia bibliográfica
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE núm. 106, 4 de mayo de 2022. https://www.boe.es/eli/es/rd/2022/05/03/311
| Código | Cláusula | Control | Nivel | Crit. | Aplica | Responsable | Evid. |
|---|---|---|---|---|---|---|---|
| REQ-ENS-AUDIT | Certificación ENS ALTA bienal por entidad certificadora habilitada | El sistema en categoría ALTA debe auditarse al menos cada 2 años por una entidad certificadora habilitada. La certificación ENS ALTA es prerequisito de la cuali… | NC | Alta | Sí | — | 0 |
| REQ-ENS-mp.com | mp.com.* Comunicaciones cifradas y redes segmentadas | Las comunicaciones del servicio deben estar cifradas e íntegras. Las redes deben estar segmentadas. Categoría ALTA exige cifrado integral y segmentación riguros… | NC | Alta | Sí | — | 0 |
| REQ-ENS-mp.info | mp.info.* Controles sobre la información del servicio cualificado | Controles específicos sobre la información: calificación, cifrado, firma electrónica y sello de tiempo sobre activos de información del servicio. | NC | Alta | Sí | — | 0 |
| REQ-ENS-mp.s | mp.s.* Protección DDoS, WAF y alta disponibilidad del servicio | Protección frente a denegación de servicio (DDoS), WAF para aplicaciones web y alta disponibilidad del servicio cualificado. | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.acc | op.acc.1-7 Control de acceso con MFA (obligatorio en ALTA) | Controles de acceso completos: identificación, autenticación MFA, autorización, segregación de funciones y revisión periódica de privilegios. MFA es obligatorio… | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.cont | op.cont.1-4 BCP/DRP con pruebas anuales reales (no solo de mesa) | Plan de continuidad (BCP) y plan de recuperación ante desastres (DRP) del servicio con pruebas anuales reales (no solo ejercicios de mesa). | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.exp.10 | op.exp.10 Protección de registros frente a alteración | Los logs y registros del servicio deben estar protegidos frente a alteración no autorizada mediante WORM, firma criptográfica o equivalente. | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.exp.11 | op.exp.11 Gestión segura del ciclo de vida de claves criptográficas | Las claves criptográficas del servicio cualificado deben gestionarse de forma segura a lo largo de todo su ciclo de vida: generación, custodia, uso, renovación … | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.exp.7 | op.exp.7 Gestión de incidentes adaptada a plazos eIDAS (24h) | El procedimiento de gestión de incidentes debe estar adaptado para cumplir los plazos de notificación al supervisor eIDAS (24 horas), que son más exigentes que … | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.exp.8 | op.exp.8 Logs de actividad en SIEM con retención e integridad | Registro de eventos relevantes del servicio en SIEM, con retención adecuada y protección de la integridad (no modificables, no borrables). | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.ext | op.ext.* Gestión de proveedores externos críticos | Gestión formal de los proveedores externos críticos del servicio con cláusulas contractuales de seguridad, verificación periódica y plan de contingencia. | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.mon | op.mon.1-3 Monitorización 24/7 con SIEM/IDS/IPS | Monitorización continua 24/7 del servicio con SIEM, IDS/IPS y dashboards de seguridad. Categoría ALTA exige cobertura explícita del servicio cualificado. | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.pl.1 | op.pl.1 Análisis de riesgos con metodología reconocida | Realización y mantenimiento de análisis de riesgos formal del servicio cualificado con metodología reconocida (MAGERIT, ISO 27005). | NC | Alta | Sí | — | 0 |
| REQ-ENS-op.pl.2 | op.pl.2 Arquitectura de seguridad documentada | Documentación de la arquitectura de seguridad del servicio cualificado: capas de seguridad, controles técnicos, flujos y dependencias. | NC | Media | Sí | — | 0 |
| REQ-ENS-op.pl.5 | op.pl.5 Uso preferente de componentes certificados | Uso preferente de componentes con certificación reconocida (ENS, CC, FIPS) en el perímetro del servicio cualificado. | NC | Alta | Sí | — | 0 |
| REQ-ENS-org.1 | org.1 Política de seguridad aprobada y comunicada | Existencia de una política de seguridad aprobada por la alta dirección, comunicada a todo el personal y revisada periódicamente. | NC | Baja | Sí | — | 0 |
| REQ-ENS-org.2 | org.2 Normativa de seguridad: cuerpo normativo vinculante | Conjunto de normas internas de seguridad que desarrollan la política, vinculantes para todo el personal del alcance. | NC | Baja | Sí | — | 0 |