Interconexión de sistemas

Qué exige, en claro

Que toda interconexión con sistemas de otras organizaciones (o entre ámbitos de seguridad distintos) esté autorizada y documentada: qué se conecta con qué, para qué flujos de información, bajo qué condiciones de seguridad y con qué aprobación (enlaza con el proceso de autorización de org.4).

Proteger el punto de interconexión: el perímetro entre ambos sistemas se controla (cortafuegos, pasarelas, filtrado de lo estrictamente necesario) y las condiciones pactadas con la otra parte se reflejan por escrito — en convenios, contratos o acuerdos de interconexión.

Cuándo aplica y cómo escala

Aplica en cuanto tu sistema se interconecta con sistemas de otras organizaciones o atraviesa ámbitos de seguridad distintos — algo habitual: pasarelas con la Administración, integraciones con terceros, accesos de proveedores. Las exigencias crecen con la categoría; confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Tu plataforma consume una pasarela de una Administración (notificaciones, pagos, verificación de datos): flujo documentado, IPs y puertos limitados, condiciones del convenio de interconexión archivadas.
• Acceso permanente de un proveedor de mantenimiento a un entorno concreto: túnel dedicado, reglas de cortafuegos mínimas, registro de la autorización y revisión periódica de si sigue haciendo falta.

Errores habituales

• Integraciones que nadie inventarió: la interconexión existe, la autorización no.
• «Abrimos el puerto y ya lo cerraremos»: reglas temporales que cumplen años.
• Confiar en que la otra parte protege su lado: sin condiciones escritas no hay nada que exigir.
• Un único cortafuegos plano para todo, sin distinguir ámbitos ni flujos.
• No revisar las interconexiones cuando un contrato o convenio termina.

Evidencias que suele ser razonable preparar

• Inventario de interconexiones: contraparte, propósito, flujos, condiciones y autorización.
• Acuerdos o convenios de interconexión firmados con las condiciones de seguridad.
• Configuración del punto de interconexión (reglas de filtrado, pasarelas) y su revisión.
• Registro de altas y bajas de interconexiones con su aprobación (org.4).

Preguntas que debería hacerse el responsable

• ¿Cuántos sistemas de terceros están conectados hoy con el tuyo? ¿Seguro?
• ¿Cada interconexión tiene dueño, papel firmado y fecha de revisión?
• ¿Qué puede pasar por cada conexión — y qué está bloqueado?
• ¿Cuándo se cerró por última vez una interconexión que ya no hacía falta?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 811 · Interconexión en el ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.