Responsable del servicio ENS: vigila que tu web no caiga
Si te han nombrado responsable del servicio ENS, hay una pregunta que te toca hacerte cada mañana con el café en la mano: ¿está funcionando la web? Parece una tontería. Sin embargo, de la respuesta depende que la tienda online venda, que los clientes confíen y que la organización cumpla con la normativa.
En este artículo explico qué se espera de ti, por qué la disponibilidad cuesta dinero de verdad y cómo puedes enterarte de una caída antes de que te llame el jefe. O peor, un cliente cabreado.
Qué es el responsable del servicio ENS y qué le toca
El Esquema Nacional de Seguridad se regula en el Real Decreto 311/2022. Esta norma obliga a separar cuatro papeles: responsable de la información, del servicio, de la seguridad y del sistema. Cada uno tiene su parcela, y conviene no mezclarlas.
El responsable del servicio fija los requisitos de los servicios que se prestan. Dicho en cristiano: decide qué disponibilidad necesita cada servicio, qué pasa si se interrumpe y cuánto tiempo puede estar parado sin que el negocio sufra. Es una figura de negocio, no un técnico que reinicia servidores.
Según la guía CCN-STIC 801 del Centro Criptológico Nacional, suele ser alguien de nivel directivo. Además, sus responsabilidades son indelegables. Puedes pedir ayuda, pero la responsabilidad sigue siendo tuya.
Diferencias con el responsable del sistema
Aquí viene la confusión habitual. El responsable del sistema opera la infraestructura: servidores, redes, actualizaciones y copias. El responsable del servicio, en cambio, dice qué necesita el servicio para considerarse sano. Uno marca el objetivo y el otro pone los medios.
- Responsable del servicio: define requisitos de disponibilidad, continuidad y nivel de servicio.
- Responsable del sistema: implanta y mantiene la tecnología que lo sostiene.
- Responsable de la seguridad: decide cómo cumplir los requisitos y supervisa que se cumplan.
Por cierto, el ENS no se queda en la Administración. También afecta a las empresas que prestan servicios a organismos públicos. Si tu web o tu tienda forman parte de ese servicio, esto va contigo.
Por qué la disponibilidad pesa tanto como la confidencialidad
Cuando se habla de ciberseguridad, casi todo el mundo piensa en robos de datos. Pero el ENS trata la disponibilidad como una dimensión de seguridad más. Un sistema que nadie puede usar está fallando, aunque no se haya filtrado ni un solo dato.
Por eso, el responsable del servicio ENS debe preguntarse qué servicios son críticos y qué porcentaje de disponibilidad necesitan. Una web corporativa de escaparate admite un mal día. Una tienda que factura las veinticuatro horas, no.
Cuánto cuesta una caída: haz la cuenta
Pongamos un ejemplo sencillo, con cifras inventadas pero realistas. Una tienda vende cinco pedidos por hora con un ticket medio de 60 euros. Cada hora caída son 300 euros que no entran. Si cae un sábado por la tarde y nadie se entera hasta el lunes, la factura crece rápido.
Y eso es solo la parte visible. Hay más daños que no salen en la contabilidad del día:
- Ventas que no vuelven: el cliente que encuentra la tienda cerrada compra en otra y quizá no regrese.
- Reputación: quien no puede comprar lo cuenta en redes o por correo.
- Posicionamiento: si los buscadores se topan con errores repetidos, tu web puede salir mal parada.
- Costes internos: el equipo sigue cobrando mientras apaga fuegos en lugar de trabajar.
- Incumplimiento: una interrupción sin detectar ni registrar es mala noticia en una auditoría ENS.
Como ves, la caída sale cara aunque dure poco. Lo que de verdad encarece el problema es el tiempo que tardas en enterarte.
Cómo comprobar que la web está operativa las 24 horas
Entrar a la web cada mañana no es un sistema de control. Es un hábito, y los hábitos se olvidan. Además, los servidores no esperan a que llegues a la oficina para estropearse. Lo razonable es automatizarlo con un servicio de monitorización que revise la web cada pocos minutos y te avise cuando algo falle.
Una opción muy extendida es UptimeRobot. Es un servicio de monitorización de disponibilidad (uptime) que consulta tu web, tu tienda o tu servidor a intervalos regulares. Si no responde como debería, te manda una alerta. Así te enteras en minutos, no cuando ya han llamado tres clientes.
Con él puedes vigilar varias cosas a la vez:
- Que la web responda correctamente por HTTP o HTTPS.
- Que un servidor o equipo conteste a un ping.
- Que un puerto concreto esté abierto.
- Que una página muestre una palabra clave determinada.
Además, guarda un histórico de caídas y tiempos de respuesta. Ese registro te sirve para calcular tu disponibilidad real y para documentar incidentes, algo muy útil cuando toca justificar el cumplimiento del ENS. Tiene un plan gratuito para empezar, aunque conviene revisar las condiciones y los intervalos vigentes antes de contar con ellos.
Qué monitorizar en una tienda virtual
Que la portada cargue no significa que la tienda funcione. A veces la página principal responde y el carrito está roto. Por eso conviene vigilar más de un punto:
- La portada y una ficha de producto.
- El carrito y la página de pago.
- El área de cliente o el inicio de sesión.
- El certificado SSL, para que no caduque sin avisar.
Con UptimeRobot puedes configurar varios monitores para esas rutas y recibir los avisos por correo o por otros canales. Es barato y encaja en cualquier plan de seguridad de una pyme.
Lo que la monitorización no arregla: hosting, copias y plan de continuidad
Una alerta te dice que algo va mal, pero no lo repara. Por eso el responsable del servicio ENS debe trabajar con el responsable de seguridad para tener un plan de recuperación y copias de seguridad que funcionen. Se trata de definir quién actúa, en cuánto tiempo y con qué medios.
El alojamiento también cuenta. Un hosting barato y sin soporte decente convierte cada incidencia en una odisea. Si estás valorando cambiar de proveedor, un servicio español como Axarnet puede encajar según tu proyecto. Compara siempre garantías de disponibilidad y tiempos de soporte antes de decidir.
Y no te fíes de que nada puede salir mal. En otro artículo conté cómo un VPS salvó meses de trabajo cuando la tecnología falló en el peor momento. La moraleja sirve aquí: lo que no está copiado, no existe.
Tampoco olvides que muchas caídas no son averías, sino ataques o fallos sin parchear. Un fallo crítico en el software de tu web puede dejarla fuera de juego o, peor, en manos ajenas. Si usas PHP, repasa la vulnerabilidad PHP con dos fallos RCE críticos y actualiza sin esperar.
Lista práctica para el responsable del servicio ENS
Si quieres pasar de la teoría a la práctica, esta lista te da un punto de partida. No es exhaustiva, pero cubre lo esencial:
- Inventaría tus servicios: web, tienda, correo, área de clientes. Decide cuáles son críticos.
- Fija objetivos de disponibilidad: un porcentaje y un tiempo máximo de interrupción aceptable para cada servicio.
- Activa la monitorización: con alertas que lleguen a más de una persona, no solo a ti.
- Define quién responde: nombres, teléfonos y plazos, también fuera de horario.
- Prueba las copias: restaurar una vez en simulacro vale más que mil copias sin verificar.
- Revisa los informes: analiza las caídas, busca patrones y corrige la causa, no solo el síntoma.
- Documenta todo: el ENS valora que puedas demostrar lo que haces.
Si trabajas en una pyme y necesitas ordenar el resto de la seguridad de la empresa, existe un ebook de ciberseguridad para pymes que explica los fundamentos sin florituras.
Conclusión: ser responsable del servicio ENS no es un cargo decorativo
Nombrar a un responsable del servicio ENS no es un trámite para rellenar un papel. Esa persona responde de que los servicios estén disponibles cuando los usuarios los necesitan. Si falla la web o la tienda, alguien tiene que haberlo previsto, medido y documentado.
La buena noticia es que no hace falta montar un centro de operaciones. Con objetivos claros, monitorización automática, copias probadas y un plan de respuesta, la mayoría de los sustos se quedan en minutos. Lo difícil es no enterarse. Lo demás se arregla.
