Auditoría de ciberseguridad para pymes:
cómo alinearla al ENS

Muchas empresas retrasan una auditoría de ciberseguridad porque asocian el Esquema Nacional de Seguridad con una certificación cara, larga y pensada para la Administración. En Oreka IT vemos otro escenario: Empresas que quieran y necesiten subir sus puntos de seguridad – un cliente grande pregunta, el seguro pide evidencias o la dirección quiere menos incertidumbre – sin presupuesto para certificarse. El ENS sirve entonces como lista de controles, no como diploma.

Certificarse no es el único modo de usar el ENS

El ENS no es un producto que se compra. Es un marco de controles sobre organización, operaciones, protección de sistemas, servicios, personas y documentación. Quien se certifica lo hace porque debe: Administración pública o un contrato que lo exige. Quien no se certifica puede, aun así, usar esos mismos controles para saber qué le falta y en qué orden cerrarlo.

Una situación habitual que vemos es la pyme industrial o de servicios que ya tiene antivirus, copias y un firewall, y concluye que está cubierta. Cuando cruzamos esas medidas con el ENS aparecen huecos repetidos: cuentas genéricas, copias que nadie ha restaurado, un inventario que vive en la cabeza de una persona, proveedores con acceso remoto sin revisar y ningún procedimiento si un viernes llega un ransomware.

Qué significa cruzar la seguridad de una pyme con el ENS nivel bajo

Cruzar no es rellenar un checklist de doscientas líneas. Es tomar el Esquema Nacional de Seguridad como referencia y preguntar, en lenguaje de negocio, si existe lo mínimo: quién entra a qué, cómo se copian los datos, qué se hace ante un incidente, qué activos son críticos y quién tiene las llaves desde fuera.

Desde nuestra experiencia, esta lectura aporta valor cuando la empresa no puede disponer —ni necesita— un departamento de cumplimiento. El objetivo no es un sello. Es subir puntos de seguridad con un orden que se pueda pagar: primero lo que evita un incidente grave, después lo que formaliza. Si un día un contrato pide certificación, la base documental ya está hecha.

En implantaciones recientes hemos detectado el mismo patrón: se invierte en un EDR o en MFA para unos puestos y se deja fuera el servidor de ficheros, el portátil de gerencia o la cuenta del informático. El ENS obliga a mirar el conjunto, no el producto de moda.

Cinco errores habituales que vemos antes de auditar

1. El primero es confundir certificación con seguridad. Certificarse exige evidencias formales y un responsable de seguridad que muchas empresas no pueden sostener. Mejorar la seguridad, no. Se pueden implantar controles y dejar el sello para cuando un contrato lo pida.
2. El segundo es empezar por el producto. Un antivirus nuevo no sustituye una política aprobada por dirección ni un inventario. Sabemos que es tentador comprar y “ya lo dejamos cerrado”. Luego la licencia cubre tres PCs y el resto sigue igual.
3. El tercero es documentar para el cajón. Un procedimiento de cuarenta páginas que nadie usa no suma. El ENS nivel bajo pide lo mínimo operable: quién da de alta un usuario, cómo se restaura una copia, a quién se llama si el correo se llena de mensajes raros.
4. El cuarto es dejar la seguridad en un proveedor sin controlarlo. El partner de ERP, la gestoría o el informático de confianza suelen tener accesos privilegiados. El ENS trata eso como riesgo de terceros: saber quién entra, con qué cuenta y hasta cuándo.
5. El quinto es auditar solo después del susto. El momento razonable es cuando hay margen: un cliente envía un cuestionario, se cambia de ERP, se abre una sede o nadie sabe qué hay realmente en producción.

Cuando tiene sentido esta auditoría, y cuándo no

Desde Oreka IT recomendamos evaluar una auditoría de ciberseguridad para pymes alineada al ENS nivel bajo cuando se dan tres condiciones: no hay presupuesto ni obligación de certificarse, pero sí presión de clientes, seguros o dirección; la empresa opera con un entorno mixto – oficina, taller, ERP, Microsoft 365 – sin un responsable de seguridad a jornada completa; y se necesita un plan a uno o dos meses, no un proyecto de dos años.

No suele ser recomendable como único camino cuando el objetivo es certificarse para licitar con la Administración. Ese es otro alcance: adecuación formal, responsable de seguridad y evidencias de conformidad. En VíaENS 360 lo dejamos fuera a propósito. Preferimos no vender un traje que la pyme no va a vestir.

Cómo lo abordamos en Oreka IT con VíaENS 360

En el área de Sistemas hemos empaquetado este enfoque en VíaENS 360: auditoría e implantación de medidas de seguridad IT, contrastadas con el ENS nivel bajo y dimensionadas a la pyme.

El primer paso no es una visita. Es un autodiagnóstico de ciberseguridad de unos quince minutos. Doce preguntas y tres lecturas: por debajo del 50 % falta estructura básica; entre el 50 % y el 75 % hay base, pero los controles no están formalizados; por encima, la auditoría sirve para optimizar. Solo por responder preparamos una preoferta de las dos primeras fases. No es un test de marketing: es el mismo cruce con controles que luego contrastamos in situ.

La auditoría – fase I, una o dos semanas – combina reunión de requerimientos, análisis de lo recibido, contraste con el ENS, informe con plan priorizado y reunión final. Incluye parte presencial. No entregamos un PDF de ochenta páginas con semáforos. Entregamos estado de situación, acciones ordenadas y la documentación básica del nivel bajo: política, inventario, análisis de riesgos simplificado y procedimientos mínimos.

La fase II, entre uno y dos meses, es donde se suben los puntos: protección de equipos, copias con prueba de restauración, control de accesos y MFA si aplica, política validada con dirección, inventario, riesgos, procedimientos, formación, actualizaciones, registro de actividad y control de proveedores. Coordinamos hardware y licencias si hace falta. El alcance se cierra con una bolsa de horas según el diagnóstico.

La fase III es mantenimiento preventivo: copias, cuentas, parches, evidencias y mejoras. Se dimensiona al terminar la implantación. El diferencial no es “hacer ENS”. Es hacerlo proporcional: solo los controles que faltan, documentación usable y una base que, si un día hay que certificarse o subir a nivel medio, no se tira a la basura.

Conclusión

Subir de nivel de seguridad no exige un sello. Exige saber qué controles del ENS nivel bajo ya se cumplen, cuáles están a medias y cuáles ni se han planteado, y cerrarlos en un orden que la pyme pueda pagar y sostener. Una auditoría de ciberseguridad para pymes sirve cuando se usa como cruce con ese marco, no como trámite para un diploma. El siguiente paso es medir el punto de partida y decidir, con datos, qué se implanta.

Si quieres saber tu punto de partida, puedes empezar de manera sencilla realizando el autodiagnóstico.

Más información: