Borrado y destrucción de soportes en el ENS: cómo cumplir mp.si.5

El borrado seguro en el ENS lo regula la medida mp.si.5 «Borrado y destrucción» del Anexo II del Real Decreto 311/2022. Exige que cualquier soporte que vaya a reutilizarse para otra información, o a cederse a otra organización, pase antes por un borrado seguro que no permita recuperar su contenido; y si la naturaleza del soporte no admite un borrado seguro, ese soporte no puede reutilizarse en ningún otro sistema. La medida se aplica en función del nivel de confidencialidad de la información: en nivel BAJO basta la medida base, y en MEDIO y ALTO se añade el refuerzo R1, que obliga a usar productos o servicios conforme a [op.pl.5], es decir, seleccionados del catálogo CPSTIC del CCN.

Ese párrafo resume la norma. Lo que viene a continuación es lo que de verdad se pregunta en auditoría: qué cuenta como soporte, qué métodos de borrado se aceptan, qué pasa con los SSD y el papel, cuándo hay que destruir físicamente y qué evidencias hay que poder enseñar.

Qué dice exactamente el ENS sobre el borrado de soportes

El texto de la medida es breve y conviene leerlo tal cual, porque cada frase tiene consecuencias prácticas. Según el requisito [mp.si.5.1] del Anexo II:

«Los soportes que vayan a ser reutilizados para otra información o liberados a otra organización serán objeto del borrado seguro de su contenido que no permita su recuperación. Cuando la naturaleza del soporte no permita un borrado seguro, el soporte no podrá ser reutilizado en ningún otro sistema.»

De aquí salen tres obligaciones distintas:

1. Reutilización interna: si un disco, una cinta o un pendrive va a almacenar otra información (otro proyecto, otro sistema, otro usuario), antes hay borrado seguro. No basta con «vaciar» el soporte.
2. Cesión a terceros: si el soporte sale de la organización (devolución de equipos de renting, donación, venta de material, fin de un contrato con un encargado), el borrado seguro es previo a la salida.
3. Prohibición de reutilizar: cuando el soporte no admite un borrado fiable (un soporte óptico grabado, un dispositivo dañado que no responde a los comandos de saneamiento, papel), la única vía es la destrucción. Reutilizarlo «porque total, ya lo formatearemos» incumple la medida de forma literal.

El propio real decreto remite el detalle técnico a las guías CCN-STIC, que son las que precisan qué mecanismo de borrado o destrucción se considera seguro según la sensibilidad de la información almacenada. Es decir: el ENS fija el «qué» y el CCN concreta el «cómo». En una auditoría, el procedimiento interno de borrado debe poder trazarse hasta esos criterios.

Un matiz que casi nadie tiene en cuenta: el ámbito de mp.si.5 es deliberadamente amplio. La medida se aplica «a todo tipo de equipos y soportes susceptibles de almacenar información, incluyendo medios electrónicos y no electrónicos». Eso mete en el alcance el papel impreso, las impresoras multifunción con disco interno, los equipos de red con almacenamiento, los móviles corporativos y las memorias de los sistemas de videovigilancia, no solo los discos de los servidores.

La familia mp.si: dónde encaja el borrado dentro del Anexo II

La medida de borrado no vive sola. Forma parte del grupo mp.si «Protección de los soportes de información», dentro del marco de medidas de protección del Anexo II. El grupo completo es:

La lectura conjunta importa porque el ciclo de vida de un soporte pasa por todas: se marca según la calificación de la información (mp.si.1), se cifra si procede (mp.si.2), se custodia con diligencia (mp.si.3), se transporta con registro de entrada y salida (mp.si.4) y, al final, se borra o se destruye (mp.si.5).

Si el inventario de soportes de mp.si.3 no existe o está incompleto, el borrado es imposible de demostrar: no se puede evidenciar el saneamiento de un soporte que no consta en ningún registro. En la práctica, la mayoría de los hallazgos de auditoría sobre mp.si.5 tienen su causa raíz en mp.si.3.

Para situar este grupo dentro del esquema completo de medidas, tienes el desglose en la guía del Anexo II del ENS explicado medida a medida.

Por niveles: qué se exige en categoría básica, media y alta

Aquí hay una confusión frecuente que conviene deshacer: mp.si.5 no se aplica por categoría del sistema, sino por el nivel de la dimensión de confidencialidad de la información que maneja. Un sistema de categoría MEDIA cuya información tenga confidencialidad de nivel BAJO aplica solo la medida base, porque su categoría se la fija otra dimensión —la disponibilidad, por ejemplo—. Y al revés: un sistema cuya categoría venga marcada por la disponibilidad puede tener la confidencialidad en nivel MEDIO y arrastrar el refuerzo aunque el resto de dimensiones estén bajas. Si el juego de dimensiones y categorías no te resulta familiar, está explicado en la guía de las cinco dimensiones de seguridad del ENS.

El cuadro de aplicación de mp.si.5 es este:

• Confidencialidad nivel BAJO: aplica la medida base [mp.si.5.1]. Borrado seguro antes de reutilizar o ceder, con un método coherente con los criterios CCN-STIC.
• Confidencialidad nivel MEDIO: base + R1. El refuerzo R1 «Productos certificados» exige que el borrado se haga con productos o servicios que cumplan [op.pl.5], lo que en la práctica significa acudir al catálogo CPSTIC del CCN para seleccionar la herramienta o el servicio de borrado, y solo en su defecto a productos certificados conforme al artículo 19 del real decreto. Cómo se navega ese catálogo lo tienes en la guía del catálogo CPSTIC del CCN.
• Confidencialidad nivel ALTO: igual que MEDIO (base + R1). El salto de exigencia en ALTO no está en el refuerzo formal sino en los criterios CCN-STIC aplicables, que endurecen el método según la sensibilidad.

El refuerzo R2 no lo exige el cuadro en ningún nivel

Existe además un refuerzo R2 «Destrucción de soportes», que obliga a destruir de forma segura el soporte al final de su ciclo de vida conforme a los criterios del CCN. Y aquí está el detalle que sorprende a mucha gente: el cuadro de aplicabilidad del Anexo II no exige R2 en ningún nivel, tampoco en ALTO.

Es un refuerzo disponible, que puede venir impuesto por un perfil de cumplimiento específico, por el análisis de riesgos o por decisión del responsable de seguridad, pero no es automático. Lo que sí es exigible en todos los niveles es la consecuencia lógica de la medida base: si el soporte no admite borrado seguro y no va a reutilizarse, hay que sacarlo de circulación de forma controlada, y eso en la práctica termina en destrucción.

Métodos de borrado: qué vale y qué no

El ENS no lista métodos en el articulado; remite a las guías CCN-STIC. Pero hay consenso técnico estable sobre qué funciona en cada tipo de soporte. El marco de referencia internacional más citado distingue tres escalones de saneamiento: borrado lógico (sobrescritura que impide la recuperación con herramientas estándar), purgado (técnicas que impiden la recuperación incluso con medios de laboratorio) y destrucción (el soporte deja de existir como tal).

Lo que no vale, en ningún nivel

• Formateo rápido o vaciado de papelera. Solo borra las referencias del sistema de archivos; los datos siguen ahí y se recuperan con herramientas gratuitas.
• Borrado de archivos «a mano», por el mismo motivo.
• Restaurar de fábrica un equipo sin cifrado previo, en la mayoría de los casos: según el dispositivo, puede dejar datos residuales recuperables.

Lo que sí vale, soporte por soporte

• Discos magnéticos (HDD): sobrescritura completa con una herramienta de borrado que verifique el resultado, o comandos de saneamiento del propio disco. El desmagnetizado (degaussing) también purga un disco magnético, pero lo deja inservible, así que es una forma de destrucción más que de borrado para reutilización.
• SSD, NVMe y memorias flash: aquí la sobrescritura clásica no es fiable. Los controladores de estado sólido reservan bloques (wear leveling, over-provisioning) a los que la sobrescritura no llega. Los métodos correctos son los comandos de saneamiento del firmware (Secure Erase / Sanitize) o el borrado criptográfico: si el disco ha estado cifrado desde el primer día, destruir la clave equivale a purgar el contenido. Esta es una razón más, y de peso, para aplicar mp.si.2 (criptografía en soportes) desde el despliegue: convierte el problema del borrado en un problema de gestión de claves.
• Móviles y tablets corporativos: restablecimiento de fábrica solo si el dispositivo tenía el almacenamiento cifrado, que es lo habitual en terminales modernos gestionados por MDM. El procedimiento debe comprobarlo, no asumirlo.
• Cintas de backup: desmagnetizado o destrucción; la sobrescritura completa de una cinta es lenta y rara vez práctica.
• Soportes ópticos y papel: no admiten borrado. Directamente, destrucción.

En nivel MEDIO y ALTO de confidencialidad, recuerda: no basta con que el método sea correcto, la herramienta o el servicio deben cumplir op.pl.5 (CPSTIC o certificación equivalente conforme al artículo 19).

Reutilización de soportes: el caso que más incumplimientos genera

Los escenarios de reutilización son los que más se escapan porque no parecen «bajas» de material:

• Rotación interna de equipos: el portátil del financiero que pasa al becario, el disco del servidor retirado que acaba en un NAS de pruebas. Cada uno de esos movimientos es una reutilización «para otra información» y exige borrado seguro previo.
• Fin de renting o leasing: los equipos vuelven al proveedor con los discos dentro. O se borran de forma verificable antes de la devolución, o se pacta contractualmente la retirada y destrucción de los discos con certificado.
• Garantías y reparaciones (RMA): un disco averiado que se envía al fabricante es un soporte «liberado a otra organización»… que además muchas veces no puede borrarse porque está averiado. Es el caso de libro de la segunda frase de mp.si.5.1. Las opciones reales son: cifrado previo (el disco sale, pero ilegible), cláusulas de no devolución del soporte, o asumir la pérdida de la garantía y destruirlo.
• Entornos de prueba: clonar datos reales a un disco «temporal» que luego se reutiliza sin sanear. El soporte temporal es un soporte más y sigue el mismo ciclo.
• Equipos multifunción de impresión: al devolverlos o sustituirlos, su disco interno guarda trabajos de impresión y escaneos. Debe entrar en el procedimiento como cualquier otro soporte.

La regla operativa que resuelve casi todo: ningún soporte cambia de sistema, de propietario o de organización sin pasar por el procedimiento de saneamiento y dejar rastro en el registro. Sin excepciones por prisa, tamaño o «es solo para una demo».

Destrucción física: cuándo es obligatoria y cómo evidenciarla

La destrucción es el camino obligado en tres situaciones: cuando el soporte no admite borrado seguro (óptico, papel, dispositivos averiados), cuando el borrado falla o no puede verificarse, y cuando así lo imponga el perfil de cumplimiento o la política interna al final del ciclo de vida (el refuerzo R2, si se ha asumido).

Para que la destrucción sea defendible en auditoría:

• El método debe ser proporcional a la sensibilidad: triturado con tamaño de partícula adecuado, desintegración o incineración para soportes de información sensible; para papel, destructoras de corte en partículas (el corte en tiras simples es recuperable). Las clasificaciones europeas de destrucción de soportes gradúan el tamaño de partícula por nivel de protección, y las guías CCN-STIC fijan el criterio aplicable en cada caso.
• Si se externaliza, el destructor es un proveedor que trata soportes con información de tu responsabilidad: contrato con obligaciones de seguridad, y si hay datos personales, contrato de encargado del tratamiento conforme al RGPD. Exige certificado de destrucción por lote, con identificación de los soportes (números de serie cuando existan), fecha, método y responsable.
• Hasta la destrucción, custodia: un palé de discos «pendientes de destruir» en un pasillo es un hallazgo de auditoría en sí mismo (mp.si.3). Los soportes pendientes se custodian con las mismas garantías que cuando estaban en producción.

Procedimiento y evidencias para la auditoría

Lo que un auditor espera encontrar para dar mp.si.5 por implantada, en la práctica:

1. Procedimiento aprobado de borrado y destrucción de soportes: alcance (todos los tipos de soporte, electrónicos y no electrónicos), métodos por tipo de soporte y nivel de confidencialidad, roles y registro. Referenciado desde la normativa de seguridad del sistema.
2. Inventario de soportes vivo (herencia de mp.si.3), con estado: en uso, en custodia, pendiente de saneamiento, borrado, destruido.
3. Registro de saneamientos: por cada soporte, fecha, método, herramienta empleada, resultado de la verificación y quién lo ejecutó. Para destrucciones externalizadas, el certificado del proveedor.
4. Evidencia del refuerzo R1 cuando aplique: qué producto o servicio del CPSTIC se usa y su cualificación.
5. Coherencia con el análisis de riesgos: el nivel de confidencialidad asignado a la información determina el método; si toda tu información está calificada como nivel BAJO «para simplificar», el auditor tirará de ese hilo.

Hay un atajo de implantación que resuelve casi todo lo anterior de una vez: integrar el borrado en el flujo de bajas de activos del inventario. Si dar de baja un equipo en el CMDB exige adjuntar la evidencia de saneamiento, la medida se cumple sola. Si el borrado depende de que alguien se acuerde, no se cumplirá.

Puedes comprobar cómo está tu organización en esta y en el resto de medidas del ENS con el autodiagnóstico ENS gratuito, y si estás situando esta pieza en el conjunto del esquema, la guía completa del Esquema Nacional de Seguridad y la página del servicio de consultoría ENS dan el contexto general.

Errores frecuentes en auditoría

• Confundir «formatear» con «borrar de forma segura». El más común y el más grave.
• Sobrescribir SSD con herramientas pensadas para discos magnéticos y dar el borrado por bueno sin verificación.
• Olvidar los soportes no evidentes: multifunción, electrónica de red con almacenamiento, móviles, grabadores de videovigilancia, papel.
• Devolver equipos de renting o RMA sin tratar los discos, o tratarlos sin dejar evidencia.
• No tener registro: se borra «bien» pero no se puede demostrar. En auditoría, lo que no está registrado no existe.
• Usar cualquier herramienta gratuita en un sistema con confidencialidad MEDIA o ALTA, ignorando el refuerzo R1 y el catálogo CPSTIC.
• Acumular soportes «pendientes de destruir» sin custodia durante meses.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad — texto consolidado en el BOE: BOE-A-2022-7191. Anexo II, medidas mp.si.1 a mp.si.5 y op.pl.5.
• Guías CCN-STIC del Centro Criptológico Nacional, que concretan los criterios de borrado y destrucción por sensibilidad de la información — portal CCN-CERT (ccn-cert.cni.es).
• Catálogo de Productos y Servicios STIC (CPSTIC) del CCN, referencia del refuerzo R1 vía [op.pl.5].
• NIST SP 800-88, Guidelines for Media Sanitization — marco de referencia internacional para los escalones de saneamiento de soportes (csrc.nist.gov).