Custodia

Qué exige, en claro

Garantizar el debido cuidado de los soportes mientras están almacenados: ubicación con acceso restringido acorde al nivel de la información (armario cerrado, sala controlada, depósito externo con contrato), condiciones físicas adecuadas y responsable definido.

Controlar el ciclo de préstamo: quién retira un soporte, para qué y cuándo lo devuelve — registro que permita saber en todo momento dónde está cada soporte del inventario. La custodia enlaza el marcado (mp.si.1) con el transporte (mp.si.4) y la destrucción (mp.si.5).

Cuándo aplica y cómo escala

Aplica con carácter general en cuanto existen soportes con información del sistema; el rigor del control crece con la categoría. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Cintas de backup en armario ignífugo cerrado, con hoja de retiradas (persona, fecha, motivo, devolución) y cuadre trimestral contra el inventario.
• Depósito externo de copias con contrato que fija condiciones de acceso y devolución (op.ext.1), y registro propio de qué soportes están allí en cada momento.

Errores habituales

• Soportes «custodiados» en un cajón sin llave al lado de la cafetera.
• Nadie sabe cuántas cintas hay fuera ni desde cuándo.
• Retiradas sin registro: el soporte desaparecido se descubre meses después.
• Custodiar bien los soportes nuevos y olvidar los históricos heredados.
• El cuadre inventario–realidad que nunca se hace (y nunca cuadraría).

Evidencias que suele ser razonable preparar

• Ubicaciones de custodia por nivel y sus controles de acceso.
• Registro de retiradas y devoluciones de soportes.
• Cuadres periódicos entre inventario y existencias físicas.
• Contrato y condiciones del depósito externo, si existe.

Preguntas que debería hacerse el responsable

• ¿Podrías localizar ahora mismo cualquier soporte de tu inventario?
• ¿Quién retiró el último soporte y consta su devolución?
• ¿El armario de las copias resiste al fuego — y a la curiosidad?
• ¿Cuándo cuadró alguien el inventario contra la realidad por última vez?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.