Cloud y ENS: cómo cumplir en AWS, Azure y Google Cloud

La adopción del cloud en el sector público español

La Administración Pública española lleva varios años avanzando en la adopción de servicios cloud, impulsada por iniciativas como la Estrategia de Administración Digital y los programas de modernización tecnológica. Sin embargo, esta adopción plantea un reto específico: los sistemas de información de los organismos públicos deben cumplir el ENS, y muchas organizaciones asumen erróneamente que al contratar un servicio cloud certificado su responsabilidad de cumplimiento queda automáticamente cubierta. Esto no es así.

El modelo de responsabilidad compartida

El modelo de responsabilidad compartida define qué aspectos de la seguridad gestiona el proveedor cloud y cuáles siguen siendo responsabilidad del cliente. La división exacta depende del modelo de servicio:

• IaaS (Infraestructura como Servicio): el proveedor es responsable de la seguridad física del datacenter, el hardware, la red y la virtualización. El cliente es responsable del sistema operativo, las aplicaciones, los datos, el cifrado, la gestión de identidades y accesos (IAM), y la configuración de red a nivel de instancia.
• PaaS (Plataforma como Servicio): el proveedor añade la gestión del sistema operativo y las plataformas de middleware. El cliente sigue siendo responsable de las aplicaciones, los datos y la gestión de identidades.
• SaaS (Software como Servicio): el proveedor gestiona prácticamente toda la pila tecnológica. El cliente sigue siendo responsable de la gestión de usuarios, los datos que introduce en la plataforma y la configuración de seguridad de la aplicación.

En todos los casos, el cliente es el responsable último ante el ENS. Si el proveedor cloud tiene un incidente de seguridad que afecta a los datos del organismo, la responsabilidad normativa sigue siendo del organismo.

AWS y el ENS

Amazon Web Services ha obtenido certificación ENS para sus infraestructuras de las regiones europeas (eu-west-1, eu-south-2 y eu-central-1), lo que cubre los controles que corresponden al proveedor según el modelo de responsabilidad compartida. La certificación ENS de AWS abarca los servicios de computación, almacenamiento y red más habituales.

No obstante, quedan bajo responsabilidad exclusiva del cliente aspectos críticos como: la configuración de AWS IAM (políticas, roles, usuarios), la habilitación y configuración de AWS CloudTrail para el registro de actividad, el cifrado de datos en reposo en S3, EBS o RDS mediante AWS KMS, la configuración de Security Groups y Network ACLs, la gestión de vulnerabilidades en las AMIs y contenedores desplegados, y la configuración de AWS Config para la auditoría continua de la configuración.

Azure y el ENS

Microsoft Azure cuenta con certificación ENS para sus regiones europeas, incluyendo Spain Central (en Madrid). Microsoft pone a disposición de sus clientes el Azure ENS Blueprint, una plantilla de configuración que ayuda a implementar los controles ENS sobre la infraestructura Azure. Este blueprint cubre controles de identidad, cifrado, registro de auditoría y configuración de red, pero su correcto despliegue y mantenimiento sigue siendo responsabilidad del cliente.

Los aspectos que más trabajo dan en Azure para el cumplimiento ENS son: la configuración de Azure Active Directory con MFA obligatorio y políticas de acceso condicional, la habilitación de Azure Monitor y Microsoft Defender for Cloud, la correcta configuración del cifrado de discos y bases de datos, y la gestión de los secretos y claves mediante Azure Key Vault.

Google Cloud y el ENS

Google Cloud Platform (GCP) también ha avanzado en su posicionamiento para el sector público español y cuenta con certificaciones en sus regiones europeas. Google ofrece documentación de mapeo de sus controles de seguridad con los requisitos del ENS, aunque la certificación formal de la plataforma frente al ENS ha ido madurando más recientemente que en AWS y Azure. El cliente debe evaluar qué servicios específicos de GCP están cubiertos por los acuerdos de seguridad vigentes y cuáles requieren controles compensatorios adicionales.

Los 10 controles ENS que más trabajo dan en entornos cloud

Independientemente del proveedor cloud elegido, estos son los controles ENS que generan más trabajo de implementación en entornos cloud:

• op.acc.1 a op.acc.6 — Gestión de identidades y accesos: implementar el principio de mínimo privilegio en IAM cloud es más complejo que en entornos on-premise. La proliferación de roles, políticas y cuentas de servicio requiere un gobierno activo.
• op.exp.8 — Registro de la actividad de los usuarios: habilitar y centralizar los logs de actividad en cloud (CloudTrail, Azure Monitor, Cloud Audit Logs), configurar retenciones adecuadas y garantizar que los logs no pueden ser manipulados.
• mp.info.3 — Cifrado: garantizar que todos los datos en reposo y en tránsito están cifrados con algoritmos aprobados y que la gestión de claves cumple los requisitos ENS.
• op.exp.2 — Configuración de seguridad: las configuraciones por defecto de los servicios cloud no siempre cumplen el ENS. Cada servicio desplegado debe revisarse contra una línea base de seguridad.
• op.exp.3 — Gestión de la configuración: mantener un inventario actualizado de todos los recursos cloud desplegados y sus configuraciones de seguridad, usando herramientas como AWS Config, Azure Policy o GCP Security Command Center.
• op.exp.4 — Mantenimiento y actualizaciones: gestionar el parcheo de sistemas operativos e imágenes en entornos con escalado dinámico (auto-scaling groups, kubernetes).
• op.mon.1 — Detección de intrusiones: configurar alertas y respuesta ante eventos de seguridad en cloud, integrando los servicios nativos de cada proveedor con las herramientas de SIEM de la organización.
• mp.com.3 — Protección de la integridad: en APIs y servicios cloud, garantizar la autenticación mutua y la integridad de las comunicaciones.
• op.cont.2 — Continuidad: definir estrategias de alta disponibilidad y recuperación ante desastres usando las regiones y zonas de disponibilidad del proveedor cloud.
• op.ext.1 — Contratación con terceros: revisar que el contrato con el proveedor cloud (Enterprise Agreement, términos de servicio) incluye los compromisos de seguridad y auditoría exigidos por el ENS.

Cloud nativo vs. híbrido: implicaciones para el ENS

Los entornos híbridos (parte en cloud, parte on-premise) añaden complejidad al cumplimiento ENS porque requieren gestionar la seguridad de las interconexiones entre ambos entornos, asegurar la consistencia de las políticas de identidades entre el directorio corporativo y los IAM cloud, y garantizar que los registros de actividad se centralizan adecuadamente independientemente de dónde se generen.

Recomendaciones prácticas

El CCN-CERT publica guías específicas para la adopción segura de cloud en el sector público: las Guías CCN-STIC 823 y 824 ofrecen orientaciones detalladas sobre el uso de cloud bajo el ENS. Antes de desplegar cualquier sistema de información sujeto al ENS en cloud, conviene revisar estas guías y elaborar una matriz de responsabilidad compartida específica para la arquitectura elegida, que deje explicitado qué controles ENS cubre el proveedor y cuáles debe implementar el cliente.