El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es obligatorio para todas las entidades del sector público, y eso incluye a ayuntamientos, diputaciones, consejos comarcales y sus entes dependientes. También afecta a los proveedores que les prestan servicios tecnológicos.

En la práctica, muchos ayuntamientos pequeños y medianos tienen el mismo reto: pocos recursos técnicos, muchos accesos externos (empleados en teletrabajo, mantenedores, empresas de software de gestión) y una VPN antigua que nadie se atreve a tocar.

¿Qué pide el ENS sobre el acceso remoto?

El ENS no habla de productos concretos, sino de medidas. Las más relevantes para el acceso remoto son:

Medida ENS	Qué significa en la práctica
op.acc – Control de acceso	Cada persona accede solo a lo que necesita (mínimo privilegio)
op.acc.6 – Mecanismos de autenticación	Doble factor para accesos remotos y cuentas con privilegios
op.exp.8 – Registro de actividad	Saber quién accedió, a qué y cuándo
mp.com – Protección de las comunicaciones	Tráfico cifrado y segmentación de redes
op.ext – Servicios externos	Controlar y limitar el acceso de proveedores y terceros

El problema de la VPN tradicional en un ayuntamiento

Una VPN clásica conecta al usuario a toda la red municipal. Si un portátil de un proveedor o las credenciales de un empleado se ven comprometidos, el atacante puede moverse por padrón, contabilidad, registro o servidores de archivos. Además, los concentradores VPN expuestos a Internet han sido uno de los puntos de entrada más explotados en los últimos años.

Esto choca directamente con el principio de mínimo privilegio y con la segmentación que pide el ENS.

Zero Trust (ZTNA): un enfoque alineado con el ENS

Con un modelo ZTNA (Zero Trust Network Access):

Cada usuario o proveedor ve solo las aplicaciones autorizadas, no la red entera.
El acceso se concede tras verificar identidad (con MFA) y, opcionalmente, el estado del dispositivo.
Todo queda registrado, lo que facilita la evidencia en auditorías.
No hace falta exponer puertos ni concentradores VPN a Internet.

Caso típico: el mantenedor del software de gestión

Un ayuntamiento tiene un proveedor que entra a mantener la aplicación de gestión tributaria. Con VPN, ese proveedor suele tener acceso a toda la red, 24 horas. Con ZTNA, se le da acceso solo a ese servidor, con doble factor, se puede limitar a un horario y queda registrado cada acceso. Es exactamente lo que pide la medida op.ext.

Pasos para empezar sin grandes proyectos

Inventario de accesos remotos: quién entra desde fuera y a qué.
Identificar a los proveedores externos y revisar sus permisos.
Activar doble factor en todos los accesos remotos.
Sustituir la VPN por acceso por aplicación, empezando por los proveedores.
Guardar los registros como evidencia para la auditoría ENS.

Cómo ayuda ConnectaSec

ConnectaSec es una plataforma ZTNA pensada para organizaciones pequeñas y medianas, con infraestructura principal en Barcelona y empresa certificada en ENS e ISO 27001. Permite dar acceso por aplicación con MFA, controlar a los proveedores y disponer de registros de actividad, con un precio sencillo: 5 €/usuario/mes con 5 dispositivos incluidos, y gateway dedicado desde 40 €/mes.

Si tu ayuntamiento está preparando la adecuación al ENS, consulta nuestra página sobre el Esquema Nacional de Seguridad o solicita una demo.

Este artículo es informativo y no sustituye el asesoramiento de un auditor o consultor ENS.