Áreas separadas y con control de acceso

Qué exige, en claro

Ubicar el equipamiento en áreas separadas y dedicadas (CPD, sala técnica, armarios rack cerrados) con control de acceso físico: solo accede el personal autorizado, mediante llave, tarjeta o equivalente, y con la relación de autorizados mantenida al día.

En infraestructura contratada (CPD externo, cloud), la medida se cumple heredando los controles del proveedor — pero con evidencias: certificaciones y garantías del centro de datos recogidas en el contrato (op.ext.1). Tu parte siguen siendo las salas y armarios técnicos propios (el rack de la oficina también cuenta).

Cuándo aplica y cómo escala

Aplica con carácter general en todas las categorías, sobre el equipamiento que tengas físicamente (propio o de tu alcance). Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• SaaS en cloud pública: la protección física del CPD se hereda del proveedor (con sus certificaciones archivadas como evidencia); en la oficina, el armario de comunicaciones cerrado con llave y llaves controladas.
• Organismo con sala técnica propia: acceso con tarjeta nominativa, lista de autorizados revisada trimestralmente y visitas siempre acompañadas.

Errores habituales

• El «CPD» que es un cuarto de limpieza con la puerta abierta y el rack sin cerrar.
• Dar por heredada la seguridad del proveedor cloud sin una sola evidencia archivada.
• Lista de autorizados que incluye a tres personas que dejaron la empresa.
• Controlar el CPD y olvidar el armario de planta donde está el switch que lo conecta todo.
• Llaves o tarjetas «de la sala» compartidas sin saber cuántas copias existen.

Evidencias que suele ser razonable preparar

• Relación de áreas técnicas y su mecanismo de control de acceso.
• Lista de personas autorizadas por área, con revisiones fechadas.
• Para infraestructura contratada: garantías del proveedor (contrato, certificaciones del CPD).
• Registros de acceso o de gestión de llaves/tarjetas, según el mecanismo.

Preguntas que debería hacerse el responsable

• ¿Quién puede entrar físicamente donde viven tus servidores — y cómo lo sabes?
• ¿Qué evidencia del CPD de tu proveedor podrías enseñar mañana?
• ¿El armario técnico de la oficina está cerrado ahora mismo?
• ¿Cuándo se revisó por última vez la lista de autorizados?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.