Las medidas mp.per.3 (Concienciación) y mp.per.4 (Formación) pertenecen a la gestión del personal del Anexo II del Real Decreto 311/2022 y se aplican en las tres categorías del ENS: Básica, Media y Alta. La primera busca que el personal sepa cuál es su papel; la segunda, que sepa hacer lo que su puesto requiere.
¿Qué exige la medida mp.per.3 (Concienciación)?
Que se concience regularmente al personal sobre su papel y su responsabilidad para que la seguridad del sistema alcance los niveles exigidos. En concreto, sobre la normativa de buen uso de los equipos y las técnicas de ingeniería social más habituales, y sobre cómo identificar incidentes o comportamientos sospechosos que deban reportarse.
El texto del ENS dice: «Se realizarán las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos». Los requisitos concretos se desglosan así:
- [mp.per.3.1] La normativa de seguridad relativa al buen uso de los equipos o sistemas y las técnicas de ingeniería social más habituales.
- [mp.per.3.2] La identificación de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.
¿Qué exige la medida mp.per.4 (Formación)?
Que se forme regularmente al personal en las materias de seguridad de la información que requiera el desempeño de sus funciones: configuración de sistemas, detección y reacción ante incidentes, y gestión de la información en cualquier soporte. Además, pide evaluar la eficacia de las acciones formativas, no solo registrar que se hicieron.
El requisito [mp.per.4.1] establece que «se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones», en particular:
- a) Configuración de sistemas.
- b) Detección y reacción ante incidentes.
- c) Gestión de la información en cualquier soporte, cubriendo al menos almacenamiento, transferencia, copias, distribución y destrucción.
- Y un punto que muchas organizaciones pasan por alto: «se evaluará la eficacia de las acciones formativas llevadas a cabo».
¿Cambia algo según la categoría del sistema?
No. A diferencia de otras medidas del ENS que solo se aplican a partir de la categoría Media o Alta, mp.per.3 y mp.per.4 se aplican en todas las categorías y para todas las dimensiones de seguridad. Incluso un sistema de categoría Básica, el nivel más bajo del ENS, debe cumplir ambas medidas.
La concienciación sin formación genera buenas intenciones sin capacidad. La formación sin concienciación genera personas que no entienden por qué hacen lo que hacen. Una sin la otra no funciona.
¿Qué evidencias pedirá el auditor?
Que la concienciación y la formación están planificadas, se han ejecutado y se ha comprobado su eficacia. Las evidencias habituales son el plan documentado y aprobado, los registros de ejecución con fechas, contenidos y participantes, el material utilizado, las evaluaciones de eficacia y el procedimiento de reporte de incidentes comunicado al personal.
En la práctica, no basta con una charla anual: hay que documentar el plan, ejecutarlo y poder demostrar que se ha hecho. Lo desarrollamos en ¿Qué registro de formación le piden en una auditoría?
- Plan de concienciación y formación documentado y aprobado.
- Registros de ejecución de las acciones: fechas, contenido y participantes.
- Material formativo utilizado.
- Evaluaciones de eficacia: cuestionarios y métricas de mejora.
- Procedimiento de reporte de incidentes comunicado al personal.
Resumen: mp.per.3 frente a mp.per.4
| Aspecto | mp.per.3 Concienciación | mp.per.4 Formación |
|---|---|---|
| ¿Qué exige? | Que el personal conozca su papel y su responsabilidad en seguridad | Que el personal adquiera las capacidades que requiere su puesto |
| Requisitos concretos | [mp.per.3.1] Buen uso e ingeniería social · [mp.per.3.2] Identificación y reporte de incidentes | [mp.per.4.1] Configuración, detección y reacción, gestión de la información en cualquier soporte |
| ¿A qué categorías se aplica? | Básica, Media y Alta | Básica, Media y Alta |
| ¿Con qué frecuencia? | Regularmente | Regularmente |
| ¿Evalúa la eficacia? | No se menciona expresamente | Sí, expresamente |
| Evidencia principal | Plan y registros de ejecución | Plan formativo y evaluación de eficacia |
Dónde encaja NetSereno
Nuestros servicios de formación en riesgo humano y simulación de phishing generan las evidencias que piden estas dos medidas: evaluación del riesgo humano, cursos con registro de quién los ha completado, cuándo y con qué resultado, y resultados de simulaciones que permiten medir la eficacia.
El ENS no pide «haber hecho formación». Pide demostrar que el personal sabe lo que tiene que saber y hace lo que tiene que hacer. Esa es la evidencia que dejamos.