Protección de servicios en la nube

Qué exige, en claro

Que los servicios en la nube que soportan sistemas del alcance se utilicen con garantías de seguridad adecuadas: condiciones de seguridad en la contratación, conocimiento de dónde y cómo se prestan, y protección conforme a la categoría del sistema. Para el sector público, la referencia son los servicios con garantías reconocidas en el ámbito ENS (el CCN mantiene el catálogo de soluciones cualificadas, CPSTIC).

Para un proveedor SaaS, la lectura práctica es el modelo de responsabilidad compartida: qué garantiza tu proveedor cloud (con sus certificaciones) y qué te corresponde a ti — configuración, cifrado, identidades, copias, registros y acuerdos firmados.

Cuándo aplica y cómo escala

Aplica cuando el sistema del alcance se apoya en servicios cloud (IaaS, PaaS o SaaS de terceros) — es decir, en la práctica, casi siempre. La exigencia se modula con la categoría del sistema.

Ejemplos de implementación

• SaaS sobre cloud pública: región europea documentada, cifrado en tránsito y reposo, IAM con MFA, acuerdo y DPA firmados con el proveedor, y análisis de responsabilidad compartida por servicio.
• Mapa de subprocesadores (correo transaccional, monitorización, CDN) con garantías y contratos localizables.

Errores habituales

• Asumir que «el cloud ya es seguro»: el proveedor asegura la infraestructura; tu configuración es cosa tuya.
• No saber en qué región están los datos ni quién puede acceder a ellos.
• Servicios contratados con un clic, sin acuerdo revisado ni encargo de tratamiento.
• Shadow IT: herramientas cloud usadas por el equipo fuera de todo control y del análisis de riesgos.

Evidencias que suele ser razonable preparar

• Inventario de servicios cloud y subprocesadores del alcance.
• Contratos, condiciones de seguridad y encargos de tratamiento firmados.
• Certificaciones y garantías del proveedor recopiladas.
• Configuración propia: cifrado, IAM, registros, copias (capturas o exportes).

Preguntas que debería hacerse el responsable

• ¿Qué servicios cloud sostienen el sistema y dónde están los contratos?
• ¿Qué parte de la seguridad cubre el proveedor y cuál te toca a ti, servicio a servicio?
• ¿Tu proveedor ofrece garantías utilizables en el ámbito ENS?
• ¿Alguien puede contratar un servicio cloud nuevo sin que te enteres?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 823 · Utilización de servicios en la nube · Catálogo CPSTIC (CCN) (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.