Identificación de las personas

Qué exige, en claro

Que el acceso a las áreas técnicas quede ligado a personas identificadas: acceso nominativo (tarjeta personal, biometría, registro firmado) y registro de entradas — también de visitas y personal externo, que además va acompañado.

Que el registro sirva para reconstruir: ante un incidente debe poder responderse quién estuvo en la sala y cuándo. En CPD contratado, esta trazabilidad es del proveedor y se hereda con sus garantías.

Cuándo aplica y cómo escala

Aplica con carácter general junto a mp.if.1, en la medida en que tengas áreas técnicas propias. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Sala técnica con lector de tarjeta nominativa: el sistema guarda cada acceso; las visitas firman en un registro y entran siempre acompañadas por alguien autorizado.
• Armario rack en oficina pequeña: llave custodiada por dos personas concretas y hoja de registro (fecha, persona, motivo) cada vez que se abre.

Errores habituales

• Tarjeta «genérica de mantenimiento» que usa cualquiera: acceso controlado, persona desconocida.
• Registro de visitas que nadie rellena desde hace meses.
• Técnicos de proveedores entrando solos «porque ya conocen el camino».
• Registros de acceso que se sobrescriben a los siete días — justo cuando hacen falta, no están.
• Confundir identificar con vigilar: sin registro conservado no hay trazabilidad.

Evidencias que suele ser razonable preparar

• Mecanismo de identificación por área (nominativo) y su configuración.
• Registros de acceso conservados (electrónicos o en papel) con periodo de retención definido.
• Procedimiento de visitas y acompañamiento de externos.
• Para CPD contratado: garantías del proveedor sobre identificación y registro.

Preguntas que debería hacerse el responsable

• ¿Podrías decir quién entró en tu sala técnica la semana pasada?
• ¿Las visitas y técnicos externos quedan registrados y acompañados?
• ¿Cuánto tiempo conservas los registros de acceso físico?
• ¿Hay algún medio de acceso (llave, tarjeta) que no esté asignado a una persona concreta?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.