Glosario ENS, ISO 27001 y Ciberseguridad

Directiva europea que refuerza los requisitos de ciberseguridad para operadores de sectores esenciales e importantes. Amplía el ámbito de la NIS original a nuevos sectores (alimentación, espacio, fabricación crítica, residuos, proveedores de servicios digitales) y exige: medidas de gestión de riesgos, notificación de incidentes en 24 h (alerta temprana) y 72 h (notificación formal), cadena de suministro segura y responsabilidad directiva. Su transposición en España está pendiente de ley específica.

Reglamento europeo de aplicación directa en todo el sector financiero de la UE desde enero de 2025. Exige a bancos, aseguradoras, gestoras de fondos, plataformas de criptoactivos y sus proveedores TIC críticos: gestionar los riesgos tecnológicos, realizar pruebas de resiliencia periódicas (incluido TLPT — threat-led penetration testing, para entidades significativas), notificar incidentes significativos al supervisor competente y gestionar el riesgo de la cadena de suministro TIC.

Reglamento de aplicación directa en toda la UE desde mayo de 2018. Establece los principios y derechos para el tratamiento de datos personales: base jurídica, minimización, transparencia, y derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición). El artículo 32 exige medidas técnicas y organizativas de seguridad proporcionales al riesgo. En caso de brecha de datos, obliga a notificar a la autoridad de control (en España, la AEPD) en un máximo de 72 horas y a los afectados sin dilación indebida cuando el riesgo sea alto.

Norma internacional certificable que especifica los requisitos para un Sistema de Gestión de Continuidad de Negocio (SGCN). Define cómo las organizaciones deben prepararse para responder ante interrupciones que afecten a sus servicios críticos: Análisis de Impacto en el Negocio (BIA), definición de RTO (tiempo máximo de recuperación) y RPO (punto máximo de pérdida de datos aceptable), planes de continuidad y recuperación, y ejercicios de prueba periódicos. Complementa a ISO 27001 (que cubre la seguridad de la información) y al ENS [op.cont].

Marco voluntario del Instituto Nacional de Estándares y Tecnología de EE. UU. para gestionar el riesgo de ciberseguridad. La versión 2.0 (2024) organiza las capacidades en seis funciones: Gobernar (Govern), Identificar (Identify), Proteger (Protect), Detectar (Detect), Responder (Respond) y Recuperar (Recover). Es ampliamente adoptado a nivel internacional como referencia para evaluar la madurez en ciberseguridad, y sus controles son compatibles con ISO 27001 y con las medidas del ENS.

Evaluación de seguridad en la que un equipo especializado simula ataques reales contra los sistemas de una organización —con autorización explícita y alcance definido— para identificar vulnerabilidades explotables antes de que lo hagan actores maliciosos. Puede ser de:
— Caja negra: sin información previa sobre el objetivo (como un atacante externo).
— Caja gris: con información parcial (credenciales de usuario estándar, documentación básica).
— Caja blanca: acceso completo al código fuente y la arquitectura. El ENS exige auditorías de seguridad periódicas; para categoría ALTA, realizadas por entidades acreditadas.

Modelo de seguridad basado en el principio "nunca confíes, siempre verifica". Ningún usuario, dispositivo ni segmento de red es considerado de confianza por defecto, ni dentro ni fuera del perímetro corporativo. Requiere verificación continua de identidad y contexto para cada acceso, segmentación de la red y mínimo privilegio. Es la arquitectura de referencia del NIST (SP 800-207) y es plenamente compatible con los controles del ENS y la ISO 27001.

Método de autenticación que requiere dos o más factores de verificación independientes: algo que el usuario sabe (contraseña, PIN), algo que tiene (token hardware, app de autenticación, tarjeta criptográfica) o algo que es (huella dactilar, reconocimiento facial). Reduce drásticamente el riesgo de compromiso de cuentas incluso si la contraseña es robada. El ENS lo exige para accesos privilegiados en categoría MEDIA y ALTA [op.acc.7]; ISO 27001 lo recomienda en [A.8.5].

Debilidad en un sistema, aplicación, proceso o control de seguridad que puede ser explotada por una amenaza para causar daño. Las vulnerabilidades técnicas se publican en el NVD (National Vulnerability Database) y se identifican con el sistema CVE (Common Vulnerabilities and Exposures). La gestión sistemática de vulnerabilidades —identificación, clasificación, priorización y remediación— es un requisito explícito del ENS [op.exp.4] y de ISO 27001 [A.8.8].

Principio de seguridad según el cual cada usuario, proceso o sistema debe tener acceso únicamente a los recursos estrictamente necesarios para realizar su función, y durante el tiempo mínimo imprescindible. Es uno de los controles más eficaces para limitar el impacto de una brecha de seguridad. Forma parte de los controles de gestión de acceso del ENS [op.acc.5] y de ISO 27001 [A.8.2].

Ejercicios de simulación de ataque y defensa. El Red Team simula las técnicas, tácticas y procedimientos (TTPs) de un adversario real para intentar comprometer los sistemas de la organización, evaluando tanto sus defensas técnicas como las capacidades de detección del equipo interno. El Blue Team es el equipo defensor responsable de detectar, contener y responder. El Purple Team es una modalidad colaborativa en la que Red y Blue trabajan juntos para identificar gaps y mejorar los controles en tiempo real. A diferencia del pentest puntual, el Red Team se desarrolla durante semanas o meses y evalúa la madurez defensiva de la organización de forma integral.

Tipo de malware que cifra los archivos o sistemas de la víctima y exige el pago de un rescate (habitualmente en criptomonedas) para restaurar el acceso. Los ataques modernos combinan cifrado con exfiltración de datos antes del cifrado (doble extorsión) y a menudo comprometen también las copias de seguridad para eliminar la vía de recuperación alternativa. Es la amenaza que mayor impacto económico causa a las organizaciones. Los operadores de servicios esenciales deben notificarlo al CCN-CERT o INCIBE-CERT.

Técnica de ingeniería social que utiliza comunicaciones fraudulentas —habitualmente correos electrónicos— para engañar al destinatario y obtener credenciales, datos personales o acceso a sistemas. El spear phishing dirige el ataque a personas concretas con información personalizada; el vishing (voice phishing) usa llamadas de voz; el smishing utiliza SMS; el quishing usa códigos QR. El factor humano sigue siendo el vector de entrada más utilizado en ciberataques.

Tipo de ciberataque sofisticado y prolongado en el tiempo, generalmente asociado a actores estatales o grupos altamente especializados. Se caracteriza por el sigilo (puede permanecer sin detectarse durante meses o años), el objetivo específico (una organización o sector concreto), el uso de técnicas avanzadas para evadir defensas y la persistencia en el acceso una vez comprometido el entorno. Los APT suelen perseguir objetivos de espionaje, sabotaje o robo de información estratégica. Son la principal amenaza para organismos de la Administración Pública, infraestructuras críticas y empresas de defensa.

El CISO es el responsable de máximo nivel en ciberseguridad dentro de una organización: dirige la estrategia de seguridad de la información, gestiona el equipo de seguridad, reporta al comité de dirección y garantiza el cumplimiento normativo. El vCISO (CISO virtual) es un modelo de servicio externo que aporta las mismas capacidades sin necesidad de una contratación a tiempo completo —especialmente útil para pymes y entidades del sector público sin departamento de seguridad propio.

Conjunto de procedimientos y medidas que una organización activa cuando ocurre un incidente grave para mantener sus funciones críticas operativas y recuperar la operación normal en el menor tiempo posible. Incluye el Análisis de Impacto en el Negocio (BIA), los procedimientos de activación del plan, los RTO (tiempo máximo de recuperación) y RPO (punto máximo de pérdida de datos) por proceso, y la cadena de comunicación. El ENS exige un Plan de Continuidad de los Sistemas en la medida [op.cont.1] para categorías MEDIA y ALTA. ISO 27001 lo cubre en la cláusula 8 y el control A.17.

Equipo centralizado responsable de monitorizar, detectar, analizar y responder a incidentes de ciberseguridad en tiempo real, habitualmente 24×7. Utiliza herramientas como el SIEM (Security Information and Event Management) para correlacionar eventos de múltiples fuentes (firewalls, EDR, proxies, logs de aplicaciones) y detectar patrones de ataque. Puede ser interno, externalizado (SOC as a Service) o híbrido. Para sistemas ENS de categoría ALTA, la integración con el CCN-CERT o un SOC acreditado es una medida recomendada [mon.sys].