ENS categoría MEDIA en una desarrolladora SaaS con IA

El equipo era técnicamente maduro — infraestructura como código, CI/CD con despliegues diarios, buenas prácticas de desarrollo — pero todo el gobierno de seguridad vivía en la cabeza del CTO. Sin política de seguridad formal, sin análisis de riesgos, sin categorización de sistemas. Y con un matiz que complicaba el expediente: el producto incorporaba funcionalidad de IA que procesaba información de los clientes, algo que el organismo certificador iba a mirar con lupa.

El miedo del CTO era el clásico de las tecnológicas ante el ENS: que la burocracia matara la velocidad del equipo. El proyecto se diseñó con ese límite como requisito — ningún control podía romper el flujo de despliegue continuo.

1. Categorización y perfilado — análisis de los servicios que se prestarían a la Administración y de la información tratada. La categoría resultante fue MEDIA, y trabajamos con el perfil de cumplimiento específico aplicable, evitando medidas sobredimensionadas.
2. Análisis de riesgos y declaración de aplicabilidad — metodología ligera pero trazable, alineada con la operativa real: activos cloud, pipeline de CI/CD, dependencias de terceros y el componente de IA como activo diferenciado, con sus riesgos propios (datos de entrenamiento, trazabilidad de salidas, proveedores de modelos).
3. Medidas integradas en el pipeline, no encima — control de accesos con MFA y revisión trimestral, firma y revisión de despliegues, registro centralizado con retención definida, cifrado en tránsito y reposo, gestión de vulnerabilidades conectada al ciclo de desarrollo. Las evidencias se generan solas: el pipeline es el registro.
4. Documentación proporcionada al tamaño — un cuerpo documental que cuarenta personas pueden mantener de verdad: política, normativa de uso, procedimientos operativos y plan de continuidad probado con un ejercicio de recuperación real.
5. Auditoría de certificación — acompañamiento durante la auditoría con entidad acreditada, incluida la defensa del enfoque aplicado al componente de IA. Certificación obtenida a la primera.

La certificación abrió la puerta que la empresa buscaba — presentarse a concursos públicos — y dejó un efecto secundario que no esperaban: dos clientes privados grandes aceleraron sus procesos de homologación de proveedor al ver el sello ENS y la documentación de seguridad ya preparada.