Hay una conversación que aparece con frecuencia cuando las empresas españolas discuten su estrategia digital y su planificación cloud: ¿y el ENS?
El Esquema Nacional de Seguridad es obligatorio para la administración pública y cualquier empresa que preste servicios al sector público o aspire a contratos donde la certificación ENS es un requisito. Desde el Real Decreto 311/2022 el marco se ha endurecido: gestión de riesgos más estricta, certificación obligatoria para sistemas de nivel medio y alto y nuevos controles para entornos cloud y cadena de suministro.
No es un trámite menor. Cuando la infraestructura vive en la nube, se utilizan instancias de computación o clusters de OKE (Oracle Kubernetes Engine), demostrar cumplimiento implica relacionar los controles del ENS con la realidad de los recursos cloud. Y hacerlo de forma continua, como exigen los artículos 10 y 34.
Muchas organizaciones se bloquean en este punto, llegando a replantear sus planes en la nube o incluso a congelarlos.
Aquí conviene recordar el modelo de responsabilidad compartida en la nube. Los proveedores cloud son responsables de la seguridad de la infraestructura que opera el servicio: centros de datos, hardware, red física y la propia plataforma cloud.
Pero el cliente sigue siendo responsable de cómo configura y utiliza esos servicios. La configuración de redes, identidades, permisos, almacenamiento, cifrado o contenedores recae en la organización que usa la nube. Esto incluye también las plataformas de orquestación como Kubernetes, que hoy son la base de ejecución de muchas aplicaciones de misión crítica.
En cuanto a cumplimiento normativo, los principales proveedores tienen sus certificaciones en orden, pero el responsable en capas de configuración y computación es el usuario.
El ENS define qué hay que cumplir. Las guías CCN-STIC del Centro Criptológico Nacional detallan cómo aplicarlo según el proveedor cloud. Pero trasladar esos controles al entorno real, verificar su estado, priorizar cambios y generar evidencia auditable es un trabajo que los equipos de seguridad y compliance no pueden hacer manualmente a escala y cambio constantes.
Las implicaciones son muchas: auditar configuraciones de almacenamiento y acceso en cientos de servicios. Verificar políticas de cifrado, controlar privilegios en OCI IAM, y un largo etcétera. Todo esto se extiende también a los clusters de Kubernetes (OKE), donde conviven los microservicios, cada uno con sus propias configuraciones.
Sysdig nació en 2013 del mismo equipo que creó Wireshark y es también el origen de Falco, hoy uno de los proyectos de código abierto de referencia para detección de amenazas en tiempo real perteneciente a la CNCF.
Sobre esa base, Sysdig ha construido una plataforma CNAPP que cubre las principales capas de seguridad cloud (CSPM, CIEM, CWPP, CDR). En pocas palabras, Sysdig establece un perímetro seguro que comienza en el ciclo de desarrollo de software y monitoriza su ejecución e infraestructura de forma permanente para evitar amenazas conocidas o desconocidas.
El módulo de compliance evalúa de forma continua los recursos de Oracle Cloud Infrastructure frente a distintos marcos regulatorios, incluido el ENS. Para organizaciones que operan también en entornos multi-cloud, Sysdig extiende la misma cobertura a AWS, Azure y Google Cloud desde una única plataforma.
Sysdig Secure incluye soporte nativo para el Esquema Nacional de Seguridad en categoría Alta como política de compliance lista para usar. Esto se traduce en capacidades concretas:
Visibilidad inmediata del gap. Tras conectar las cuentas cloud y clusters, Sysdig evalúa los recursos frente a los requisitos del ENS, mostrando dónde se cumple y dónde no, con un score de cumplimiento por zona y política. Sin mapeos manuales.
Priorización basada en riesgo real. No todos los incumplimientos tienen el mismo impacto. Sysdig utiliza contexto del comportamiento de la infraestructura para priorizar las desviaciones que representan riesgo operativo real.
Remediación guiada y automatizable. Cada control incluye guías de remediación. Se puede abrir un pull request desde la plataforma o aceptar el riesgo con trazabilidad documentada.
Informes para auditoría. Genera informes PDF de cumplimiento por zona de negocio y programa envíos periódicos. La evidencia está disponible cuando se necesita.
Cobertura multi-cloud. Sysdig evalúa controles ENS de forma transversal en Oracle Cloud, AWS, Azure y GCP, incluyendo configuraciones de Kubernetes e instancias de computación.
Muchas organizaciones en España operan también bajo GDPR, NIS2, ISO 27001, PCI-DSS o DORA. Sysdig cubre más de 40 marcos regulatorios en su módulo de postura, incluyendo NIST (múltiples variantes: 800-53, 800-171, 800-190, CSF 2.0), CIS Benchmarks para los principales proveedores cloud y distribuciones Linux, FedRAMP, HIPAA, SOC 2, HITRUST, C5 (el equivalente alemán), y por supuesto la propia categoría Alta del ENS.
Esto permite algo que los equipos de compliance valoran especialmente: evaluar una misma infraestructura contra múltiples regulaciones desde un solo lugar, identificando solapamientos y reduciendo el esfuerzo duplicado.
Sysdig no da la certificación ENS. Ninguna herramienta lo hace. La certificación la emite un organismo acreditado por ENAC tras una auditoría independiente. Lo que Sysdig sí hace es mantener el estado de cumplimiento continuo, reducir drásticamente el esfuerzo de preparación para esa auditoría, y proporcionar la evidencia que se necesita.
Existen proyectos retrasados porque el equipo de compliance no dispone de una forma continua y escalable de verificar postura ENS. Esto es exactamente lo que resuelve Sysdig, además de cubrir otras necesidades de ciber seguridad.
Sysdig ofrece visibilidad ENS para cualquier empresa que opere en Oracle Cloud Infrastructure desde día uno, sin necesidad de agente, conectando las cuentas vía API de OCI: detección de gaps, remediación, y generación de evidencia continua. Esto es muy relevante si se trabaja con la administración pública española o se aspira a hacerlo en el futuro.
Para más información se recomienda consultar la documentación de Compliance de Sysdig, contactar con la empresa directamente, o solicitar una demostración.
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。