Protección de la integridad y de la autenticidad

Qué exige, en claro

Proteger la integridad de la información en tránsito (que nadie la altere sin que se note) y la autenticidad de los extremos (que hablas con quien crees): en la práctica, protocolos seguros actuales —TLS— con certificados válidos y verificados, y autenticación mutua (mTLS, firmas) en las integraciones sensibles.

Aceptar solo algoritmos y versiones vigentes (fuera protocolos y cifrados obsoletos) y prever la detección y el tratamiento de los intentos de alteración o suplantación como incidentes (op.exp.7). El rigor crece con los niveles de las dimensiones afectadas.

Cuándo aplica y cómo escala

Aplica con carácter general en cuanto la información circula por redes que no controlas por completo — junto con mp.com.2 forman el estándar mínimo de cualquier comunicación del sistema. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Servicios web solo con TLS moderno, HSTS activado, certificados renovados automáticamente y verificación estricta de certificado en TODAS las llamadas salientes (nada de desactivar la verificación «para que funcione»).
• Integración con una pasarela de la Administración con autenticación mutua por certificado y firma de los mensajes, según las condiciones del convenio de interconexión (op.ext.4).

Errores habituales

• Deshabilitar la verificación de certificados en el código «temporalmente» — el clásico que abre la puerta al intermediario.
• TLS solo de cara al público y tráfico interno entre servicios en claro.
• Protocolos y suites obsoletos aceptados por compatibilidad con un cliente de 2012.
• Certificados caducados gestionados a sustos (el inventario de op.exp.10 existe para esto).
• Webhooks y APIs que no verifican firma: cualquiera puede inyectar «eventos».

Evidencias que suele ser razonable preparar

• Configuración TLS de los servicios (versiones, suites) y resultado de un análisis reciente.
• Política de verificación de certificados en llamadas salientes e integraciones.
• Inventario de certificados con renovación controlada.
• Mecanismos de firma/autenticación mutua en integraciones sensibles.

Preguntas que debería hacerse el responsable

• ¿Todas tus comunicaciones — también las internas — van sobre protocolos vigentes?
• ¿Hay algún cliente o script con la verificación de certificados desactivada?
• ¿Tus webhooks verifican la firma de quien los llama?
• ¿Qué nota sacaría hoy tu TLS en un análisis externo?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 807 · Criptología de empleo en el ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.