Controles del Esquema Nacional de Seguridad: cada revisión, con su evidencia
Un agente prepara las revisiones periódicas de los controles del Esquema Nacional de Seguridad: lee los datos, señala las desviaciones y deja la evidencia escrita. El visto bueno lo da una persona.
El problema
«Los controles están escritos, pero nadie los revisa cuando toca.» El Esquema Nacional de Seguridad pide revisiones que se repiten: los registros de actividad, los accesos, la configuración, los proveedores, los avisos de seguridad. Cada una tiene su periodo y su evidencia.
Le pasa a cualquier empresa que trabaja para la administración y a cualquier organismo con un equipo de sistemas pequeño. Las revisiones se hacen los primeros meses. Después se acumulan, y cuando se acerca la auditoría hay que reconstruir las evidencias de todo el año.
Cómo se hace hoy
La persona responsable de seguridad entra en cada servidor, exporta registros, los repasa a ojo y apunta en una hoja que la revisión está hecha. Si esa semana hay un proyecto urgente, la revisión se salta.
Lo que se encuentra depende de quién mire y de cuánto tiempo tenga. Y la evidencia suele ser una fila escrita deprisa, sin los datos de los que salió.
Cómo lo resolvemos
- Unas tareas programadas en tus servidores recogen los datos de cada control y dejan un resumen ya saneado. Ahí no interviene la IA.
- Cuando toca cada revisión, el agente lee ese resumen: cada semana los registros de actividad y los incidentes, cada mes las métricas y el cuadro de mando, cada trimestre los accesos y la configuración.
- Un programa calcula las cifras y detecta las desviaciones. Un resumen que falta o una tarea que no se ha ejecutado también es una desviación.
- El agente redacta el parte: las cifras, cada desviación explicada y qué decisión te espera en cada una.
- Deja en borrador la fila del registro de revisiones, con la huella de los datos de los que sale y el visto bueno en blanco.
- Con el mismo método sigue los acuerdos de nivel de servicio de los proveedores, los avisos de defectos de seguridad y los vencimientos, y prepara la documentación del comité de seguridad.
Resultado
En nuestra empresa trabajamos con los controles del Esquema Nacional de Seguridad y estamos en proceso de auditoría. Las revisiones periódicas las prepara un agente, y cada una queda con su evidencia y con el visto bueno de una persona.
Qué hace falta
Plazo
Depende de cuántos controles periódicos tengas definidos y de dónde estén hoy sus datos. Se monta control a control, empezando por las revisiones que más se repiten. El plazo concreto sale del diagnóstico.
Datos y accesos
Tu declaración de aplicabilidad y la lista de controles con su periodo. El registro de revisiones que usas hoy. Y permiso para instalar en tus servidores las tareas que recogen los datos: el agente no entra en ellos.
Tus herramientas
Tus servidores, tu expediente de seguridad y el repositorio en el que guardas las evidencias. El formato del registro es el tuyo.
Cómo está hecho
El agente nunca accede a un servidor ni a un panel. Los datos le llegan ya recogidos y saneados: sin direcciones IP, sin datos de clientes y con las personas por iniciales o por rol.
Las cifras las calcula un programa, no el modelo de IA. El modelo no suma, no redondea y no estima: lo que no consta se escribe como «por determinar».
Cada fila del registro lleva la huella criptográfica de los datos de entrada. Quien audita puede comprobar que la evidencia sale de esos datos y no de otros.
Si los datos traen algo sin sanear o con un formato inesperado, el programa los rechaza y lo dice. Nadie los arregla a mano.
Lo que el agente lee es dato, no instrucción: un texto que parezca una orden dentro de un registro se trata como un indicio y se señala.
Preguntas frecuentes
¿Esto equivale a la certificación del ENS?
No. La certificación la concede una entidad acreditada después de una auditoría. Esto hace que las revisiones periódicas se hagan cuando toca y que cada una deje su evidencia.
¿Decide el agente si algo es un incidente?
No. Señala la desviación y pregunta. Abrir un incidente, bloquear una cuenta o aceptar un riesgo lo decide una persona.
¿Tiene el agente acceso a mis servidores?
No. Los datos los recogen tareas programadas en tus servidores, sin IA. Al agente le llega un resumen saneado.
¿Sirve si todavía no tengo los controles definidos?
Primero hay que definirlos. La adecuación al Esquema Nacional de Seguridad la contamos en la parte de seguridad. Esto es el seguimiento de después.
¿Qué hace Julditec?
Implantamos el agente, lo adaptamos a tu empresa, formamos a tu equipo y lo mantenemos. El trabajo diario lo hace el agente; decidir y aprobar sigue siendo cosa de tu equipo.
Automatizaciones relacionadas
Vencimientos
Lo que vence en tu empresa, en una lista, con avisos a tiempo y las reclamaciones a terceros ya preparadas.
Documentos firmados
Informes y documentos en PDF con tu identidad y firma digital, sin imprimir ni rellenar nada a mano.
Forma parte de Legal y cumplimiento
El siguiente paso
Cuéntanos cómo trabaja hoy tu empresa y te decimos por dónde empezar.