Qué comprobación de seguridad pide un pliego: CHECK, ITHC y PTaaS

CHECK, ITHC, PTaaS, CREST y Cyber Essentials no son cinco niveles de un mismo trabajo, sino cinco objetos distintos. Cómo saber cuál pide de verdad el pliego y si le aplica a usted.

Usted abre el pliego, encuentra el apartado de seguridad de las prescripciones técnicas y lee cinco nombres: CHECK, ITHC, PTaaS, CREST y Cyber Essentials Plus. Junto a ellos están las palabras «auditoría de seguridad» y «pruebas de penetración», y el conjunto está escrito como si fueran grados de un mismo trabajo — del más barato al más caro.

No son grados, sino cinco objetos distintos, que responden a cinco preguntas distintas: quién puede probar, qué se hace con una red concreta, cómo se cobra el trabajo, si el propio proveedor ha ordenado su infraestructura, y si el sistema se ajusta a una norma. Una oferta que mezcla dos de ellos o bien promete lo que no puede prometer, o bien paga por lo que no se había pedido.

Este artículo no vende CHECK, y conviene decirlo de entrada: no somos miembros de CHECK, y este texto no lo afirma. El artículo explica qué pide de verdad el pliego, para que usted pueda entender si le aplica en absoluto — y solo cuando la exigencia resulta ser una comprobación ordinaria de seguridad del sitio web, apunta a nuestra auditoría de seguridad web.

El precio aquí no se diferencia por porcentajes, sino varias veces, porque una oferta que responde a un requisito de Cyber Essentials y una oferta que responde a unas pruebas de penetración completas sobre un sistema de varios roles son dos presupuestos distintos, y el órgano de contratación que los pone en una misma tabla compara lo incomparable. Del mismo modo, el licitador que lee la exigencia un grado por encima de como está escrita pierde el contrato con una oferta del todo correcta, solo innecesariamente cara.

Cinco nombres que no son cinco niveles de un mismo trabajo

• CHECK — un esquema de empresas del Centro Nacional de Ciberseguridad británico (NCSC). Fija quién puede probar los sistemas del sector público y de la infraestructura crítica de ese país, y en qué forma se prepara el informe.
• ITHC — un trabajo de comprobación concreto, con un alcance concreto, que exige la conexión a la red de la Administración británica. Es una tarea, no un esquema.
• CREST — una asociación internacional del sector, con estatuto de miembro y con exámenes propios. No es un sinónimo de CHECK, y precisamente esta confusión es la que más se ve en las ofertas.
• PTaaS — penetration testing as a service, es decir, un modelo de entrega y de cobro: plataforma, suscripción, hallazgos más frecuentes. No dice nada sobre quién prueba ni según qué norma.
• Cyber Essentials y Cyber Essentials Plus — una certificación sobre cinco controles de base de la infraestructura del propio proveedor, no sobre el sistema que se entrega.

Los cinco son instrumentos británicos o internacionales, y ninguno existe en la normativa española, y eso es lo primero que conviene tener presente al leer un pliego en el que alguno de ellos está escrito.

CHECK es un esquema de empresas, no un método de prueba

CHECK es un esquema que gestiona el NCSC, en el que se admite a una empresa, no un método que pudiera aplicar cualquier ejecutor. Las indicaciones del NCSC para compradores prevén que el trabajo lo haga un miembro del esquema, que el equipo lo dirija un CHECK Team Leader y que en él trabaje un CHECK Team Member, que esas personas tengan habilitación de seguridad de personal británica, y que el informe se prepare en el formato del esquema, y además, por debajo de un determinado nivel de clasificación, una copia llega al NCSC. Eso significa que CHECK no es algo que se pueda «cumplir» con una prueba de calidad suficiente, porque la empresa o está en el esquema o no está, y ninguna descripción de metodología en la oferta sustituye ese hecho. CHECK tampoco es una ley: el NCSC lo escribe como indicaciones de un esquema, y en el caso de la red de la Administración británica es uno de los caminos reconocidos, no la exigencia de un artículo.

Todavía más importante que el contenido del propio esquema es para quién está pensado CHECK, y el NCSC lo escribe sin rodeos: el esquema está hecho para la Administración central, para los organismos del sector público y para la infraestructura crítica. Para los sistemas de la Administración central que tratan datos con un determinado marcado y por encima, el NCSC recomienda confiar la evaluación a un miembro del esquema; al resto de organismos del sector público lo recomienda con firmeza; pero a la organización que no es ni sector público ni infraestructura crítica, el propio NCSC remite a las indicaciones ordinarias de encargo, no a CHECK. Para una empresa privada que prepara una oferta a un cliente comercial, eso significa que CHECK no es un objetivo al que aspirar. Es el orden interno del sector público de otro país, y mencionarlo en una oferta comercial indica más bien que el nombre se ha copiado, no que el trabajo será de más calidad.

ITHC es una tarea para una red concreta

ITHC — IT Health Check — es lo que un organismo británico necesita para conectarse, o para seguir conectado, a la red de la Administración de ese país. Las indicaciones de apoyo de la Oficina del Gabinete británica de 2022, a las que el proceso de conexión sigue remitiéndose, describen el alcance mínimo: comprobación desde fuera y desde dentro, en la parte interna con escaneo y análisis manual en todo el entorno, pero en entornos grandes se admite una comprobación por muestreo, y en ese caso la muestra no es menor que la décima parte. El propio proceso de conformidad de la conexión exige, a su vez, que el informe presentado no tenga más de un año y que no se haya usado ya en una solicitud anterior. En español no hay un término propio, e inventarlo no vale la pena, porque calcar la metáfora inglesa de la salud no aclara nada; es más preciso conservar ITHC y explicar una vez que se trata de la comprobación de seguridad de la conexión a una red concreta.

El propio alcance está descrito con bastante más detalle del que suele llegar a una oferta, porque en la parte externa se comprueban los servicios alcanzables desde internet (correo, web, cortafuegos), el acceso remoto y las conexiones de terceros. En la parte interna, junto al escaneo, se exige un análisis manual, y también la configuración de estaciones de trabajo y servidores, el estado de los parches, las redes inalámbricas y la pasarela de conexión. En entornos grandes se admite la comprobación por muestreo, y precisamente ahí aparece esa décima parte que en las ofertas suele desaparecer. El resultado también tiene exigencias: número, tipo y gravedad de los hallazgos en un resumen comprensible, y en la medida de lo posible con una puntuación base CVSS. Estas cifras son una exigencia ITHC de la Oficina del Gabinete para una red concreta — no es una norma de CHECK ni una norma española, y no es correcto trasladarlas a un pliego español como medida general de calidad.

Tres nombres que más se confunden con CHECK

Los otros tres nombres aparecen en los pliegos junto a CHECK como si fueran variantes suyas, y cada uno responde de hecho a otra pregunta: uno sobre quién examinó a la persona, otro sobre cómo se entrega y se cobra el trabajo, el tercero sobre si el propio proveedor ha ordenado su infraestructura. Precisamente estos tres originan la mayor parte de las ofertas mal preparadas.

CREST no es CHECK

Este es el error más extendido y, a la vez, la diferencia más útil que este artículo puede decir, porque cambia el contenido de la oferta: CREST es una asociación con estatuto de miembro y con exámenes, mientras que CHECK es un esquema del NCSC con su propia pertenencia y con sus propias funciones. La propia CREST lo describe como un camino aparte — su certificado puede ser una de las formas en que una persona acredita competencia, pero de ahí no se sigue automáticamente que la empresa sea miembro de CHECK. La consecuencia práctica al comparar ofertas es simple: si el pliego pide CHECK, un certificado CREST no cumple el requisito, y al revés — si el pliego pide CREST, la pertenencia a CHECK es más de lo que se pidió, y lo más probable es que se haya pagado de más.

PTaaS es un modelo de cobro, no un esquema

PTaaS describe cómo se entrega y se cobra el servicio: una plataforma con panel de información, una suscripción, hallazgos que aparecen de continuo, y una nueva comprobación después de las correcciones. Las descripciones del sector lo formulan precisamente como un modelo de entrega, y ahí no hay ni un requisito de cualificación ni un organismo que lo confirme. Por eso, a la pregunta «¿cumple PTaaS un requisito de CHECK o de ITHC?» la respuesta no es «sí» o «no» — es una pregunta sobre dos objetos distintos. Un modelo de cobro simplemente no puede cumplir un requisito sobre quién puede probar y según qué metodología, de modo que, si en el pliego están los dos, hay que leerlos por separado: uno dice el requisito de competencia, el otro, cómo se organiza el trabajo en el tiempo.

Cyber Essentials comprueba al proveedor, no lo que se entrega

Cyber Essentials es una certificación sobre cinco controles de base en la infraestructura del propio proveedor, y la versión Plus les añade una comprobación con herramientas estándar. El certificado se renueva una vez al año, y la nota de política de contratación PPN 014 lo vincula a la seguridad de la cadena de suministro. De ahí se sigue un límite que las ofertas cruzan a menudo: Cyber Essentials Plus no es esas pruebas de penetración que el pliego pedía sobre el sistema que se desarrolla. Es una acreditación sobre los propios ordenadores y cuentas del proveedor, de modo que una empresa puede estar certificada Cyber Essentials Plus y entregar un sistema que nunca se ha probado.

Tres afirmaciones a las que no conviene creer

En torno a estos nombres se ha formado una capa de afirmaciones que se copian de una descripción de servicios a otra, y las tres más extendidas son o bien falsas o bien antiguas, así que vale la pena leerlas junto a lo que la fuente correspondiente dice de verdad.

«CHECK lo exige la ley británica.» Ninguna ley nombra CHECK, y el NCSC en sus indicaciones usa las palabras «debería» y «recomendamos encarecidamente», y también el manual de servicios digitales del gobierno británico admite un nivel equivalente. El único sitio en el que la exigencia es estricta son las condiciones de conexión a una red concreta, y también ahí el esquema es uno de varios caminos reconocidos.

«Para ser miembro de CHECK, la empresa tiene que estar antes acreditada por CREST.» Eso era cierto de un camino de admisión más antiguo y todavía se repite en textos de prestadores, pero en el estándar más reciente del esquema, a nivel de empresa, se pide otra cosa. Sigue siendo en parte cierto respecto de las personas, porque un examen CREST puede ser una de las acreditaciones de competencia bajo el título profesional correspondiente. Precisamente esta diferencia entre el nivel de la empresa y el de la persona es la que los anuncios callan.

«Sin CHECK no se pueden probar los sistemas del Estado británico.» El límite jurídico no lo traza el esquema, sino la autorización: el acceso no autorizado a un sistema informático es un delito con independencia de si quien prueba está en el esquema. CHECK es la política del comprador sobre a quién confiar el trabajo, no un sustituto de la autorización, y estas dos preguntas conviene mantenerlas aparte. El sentido práctico es que la autorización escrita hace falta siempre, también cuando ningún esquema y ninguna norma la piden de forma expresa.

Qué pide de verdad un pliego español

En España conviene primero aclarar de dónde nace una exigencia así, porque la respuesta no está donde suele buscarse: la Ley 9/2017, de Contratos del Sector Público, fija el procedimiento, la publicidad, la igualdad de trato y lo que entra en las prescripciones técnicas, pero no nombra ni las pruebas de penetración, ni CHECK, ni ITHC, ni PTaaS. Tampoco los artículos 122 a 126 de esa misma ley, que regulan el contenido de los pliegos, prevén un tipo concreto de comprobación de seguridad. Eso significa que el requisito de seguridad está en el pliego porque el órgano de contratación lo ha escrito él mismo — casi siempre porque él tiene un deber que nace en otro sitio. Por eso la pregunta correcta no es «qué pide la ley de contratos», sino «qué deber tiene el propio órgano de contratación y si con este contrato se me transmite a mí».

En España ese deber lo crean la Ley 40/2015, de Régimen Jurídico del Sector Público, junto con el Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad. Precisamente el real decreto es el instrumento español que nombra una comprobación: el artículo 31 exige una auditoría de la seguridad al menos cada dos años —y con carácter extraordinario cuando hay modificaciones sustanciales— a los sistemas de categoría MEDIA o ALTA; el anexo III admite, en categoría BÁSICA, una autoevaluación; y el artículo 2.3 pide que los pliegos recojan los requisitos necesarios para asegurar la conformidad con el ENS, tales como la declaración o la certificación de conformidad. El real decreto no nombra las pruebas de penetración, ni CHECK, ni ITHC. Con más detalle sobre el propio trabajo y sus límites se escribe en un artículo aparte sobre qué es el pentesting.

En España se acredita a un organismo, no se entra en CHECK

Esta es la diferencia que explica la mayor parte de los malentendidos en torno a CHECK, y está escrita en la propia norma: el artículo 31 y el anexo III del Real Decreto 311/2022, leídos con la guía CCN-STIC 802, dicen quién puede auditar, y lo formulan a través de un organismo. El primer camino, en categoría BÁSICA, es una autoevaluación del personal que administra el sistema, o de quien este delegue. El segundo, en categoría MEDIA o ALTA, es una auditoría formal a cargo de una entidad de certificación del sector privado acreditada por la Entidad Nacional de Acreditación (ENAC), o de un órgano de auditoría técnica del sector público reconocido por el Centro Criptológico Nacional (CCN).

El segundo camino, sin embargo, se parte según quién es el cliente. Al contratista del sector privado que presta servicios al sector público y no trata información clasificada le basta, en los términos del artículo 2.3, con demostrar la conformidad con el ENS de los sistemas en los que se sustentan esos servicios. Si el sistema trata información clasificada, a la entidad auditora se le pide además una habilitación de seguridad de empresa (HSEM), y solo entonces puede auditar. Hay también reglas propias para las inspecciones que exige la autoridad competente. No hay un esquema de empresas al estilo de CHECK, ni un registro de pertenencia, ni una lista de firmas CHECK a la que uno pueda sumarse. España no tiene un CHECK al que unirse, y una lista de certificados en el pliego, si aparece, son ejemplos o un calco, no un catálogo cerrado español. Para la empresa que prepara una oferta a un pliego español, eso significa que hay que probar la conformidad del sistema —o, si el pliego pide de verdad unas pruebas de penetración sobre lo que se entrega, la competencia e independencia de quien prueba—, no la pertenencia a un esquema británico.

Qué poner de eso en la oferta

De que en España se acredita a un organismo, y no se entra en CHECK, se sigue también lo que en la oferta hay que probar, y una descripción general de la empresa aquí no ayuda; ayuda la certificación o la declaración de conformidad con el ENS, o, si lo que se pide es una prueba del sistema que se entrega, el certificado o la descripción de experiencia de la persona concreta y la acreditación de independencia respecto de la construcción y el mantenimiento de ese sistema en los últimos años. Si en el equipo hay varios testers, conviene nombrar quién de ellos cumple cuál condición, porque el órgano de contratación tiene que poder comprobarlo sin leer entre líneas.

Tampoco conviene tomar una lista de ejemplos por una exigencia cerrada, porque los certificados que un pliego nombra suelen ser precisamente ejemplos, y eso significa que otro certificado de pruebas de penetración reconocido internacionalmente cumple el requisito igual de bien, y que una experiencia demostrable es a menudo un camino autónomo y equivalente. Una oferta que lo explica en un párrafo le facilita al órgano de contratación la valoración más que un montón de copias de certificados sin explicación.

La auditoría de cumplimiento no es una prueba de penetración tampoco en España

En las guías CCN-STIC del ENS, junto a las pruebas de penetración está la auditoría de cumplimiento, y son dos trabajos distintos con dos criterios distintos. Las pruebas de penetración buscan hasta dónde llega un atacante; la auditoría de cumplimiento comprueba si el sistema y los procesos se ajustan a la norma, y su resultado es un dictamen sobre la conformidad, no una lista de debilidades técnicas.

Eso lo muestran con más claridad precisamente los perfiles de competencia, que en los dos casos se escriben distinto: a quien hace pruebas de penetración se le asocian de ejemplo certificados como CEH y OSCP, es decir, certificados de técnica ofensiva; a la auditoría de cumplimiento, otros del todo distintos — certificados de gestión y de auditoría. Si el pliego ha pedido un juego de certificados y ha descrito el contenido del otro trabajo, eso es una contradicción, y conviene verla antes de la oferta, porque suele significar que el órgano de contratación todavía no ha decidido qué está comprando.

En otros países hay instrumentos propios

España no tiene un CHECK propio, pero varios países europeos tienen sus propias respuestas a la misma pregunta, y si usted lee un pliego en otra lengua, encontrar ahí CHECK sería tan sospechoso como en uno español. En Francia, la Agencia Nacional de Seguridad de los Sistemas de Información califica a los prestadores de auditoría de la seguridad, y esa cualificación cubre cinco actividades de auditoría, entre las cuales las pruebas de penetración son una actividad aparte, junto a la auditoría de arquitectura, de configuración, de código fuente y a la organizativa. Un pliego francés suele por eso nombrar una actividad concreta, no la cualificación entera, y el licitador tiene que leer cuál de las cinco se pide.

En Letonia la normativa de ciberseguridad nombra las pruebas de penetración para determinados sistemas y califica a una persona concreta por certificado o por experiencia, no a una empresa, y no hay un CHECK letón al que unirse. En ambos casos la conclusión es la misma que en España, donde una auditoría de cumplimiento puede pedir que se exhiba un informe anterior de pruebas de penetración y no por ello se convierte en una: el nombre pertenece a un país concreto, y llevado a otro mercado ya no significa nada.

Si en el pliego aparece «CHECK»

Si en un pliego español aparecen CHECK, ITHC o Cyber Essentials, hay dos explicaciones verosímiles, y conviene distinguirlas antes de escribir la oferta. La primera es que el órgano de contratación es de verdad un comprador británico o trabaja con un sistema británico, y en ese caso la exigencia es real, recae sobre un miembro del esquema y para la mayor parte de los ejecutores españoles simplemente no es cumplible. La segunda — y en la práctica la más frecuente — es que la especificación se ha tomado de un modelo en inglés, y su autor no ha visto que ha copiado el instrumento de otro país.

Se las distingue por el resto del documento: si al lado hay remisiones al Real Decreto 311/2022 o a la Ley 40/2015, entonces se trata de un deber español y CHECK ha llegado ahí por error. Esto conviene plantearlo como pregunta al órgano de contratación en el trámite de aclaraciones, no adivinarlo en la oferta, porque la respuesta cambia el precio y también si usted puede licitar en absoluto.

Qué significa la palabra «equivalente»

En muchos pliegos, junto al nombre del esquema, está la reserva «o equivalente», y es el párrafo más importante de todo el apartado de seguridad, porque precisamente ese decide si usted puede licitar. El problema es que la propia palabra «equivalente» rara vez está definida en los pliegos, y por eso significa cosas distintas según quién la lee.

En la práctica significa que la carga de la prueba pasa al licitador: usted tiene que mostrar en qué sentido lo ofrecido es equivalente. Por eso la respuesta no es el nombre de un certificado, sino una comparación por rasgos — quién prueba y con qué cualificación, si las vulnerabilidades encontradas se explotan, cuál es el alcance, cuál es la forma del informe y si después de las correcciones hay una nueva comprobación. Si esos rasgos coinciden, la equivalencia se puede describir; si difiere uno solo esencial, es más honesto decirlo que esperar que nadie compare. La falta de la reserva «o equivalente» es, a su vez, una señal igual de clara en el sentido contrario, porque un pliego que pide un esquema extranjero concreto sin alternativa estrecha el círculo de licitadores a unas pocas empresas, y esa es una pregunta que conviene plantear al órgano de contratación antes de dar por hecho que no se puede participar.

Cuánto tiempo vale el informe

Los plazos aparecen en los pliegos de tres modos, que vienen de sitios del todo distintos y por eso no se sustituyen entre sí: en el caso de la conexión a la red británica, el informe no puede tener más de un año y no se puede reutilizar en la siguiente solicitud de conformidad de la conexión. En España el Real Decreto 311/2022 ata el plazo al ciclo de vida del sistema, pidiendo una auditoría al menos cada dos años y además cuando hay modificaciones sustanciales, mientras que en un contrato comercial el plazo es simplemente el que las partes han escrito, y eso significa que se puede acordar.

En los tres casos el plazo de calendario no basta por sí solo, porque el informe de unas pruebas de penetración describe un sistema concreto en una fecha concreta, de modo que después de un cambio sustancial, como una integración nueva, un esquema de roles nuevo o la reconstrucción del flujo de pagos, el informe envejece antes de que lo haga el tiempo. Precisamente por eso tanto los plazos normativos como los estándares del sector, junto al intervalo, suelen nombrar también el cambio.

En la práctica eso significa dos cosas que en la oferta conviene escribir por separado. En primer lugar, conviene decir con claridad a qué versión o entrega del sistema se refiere el informe, porque precisamente eso decide después la disputa sobre si un hallazgo es nuevo. En segundo lugar, conviene acordar por separado una nueva comprobación después de las correcciones, porque un hallazgo que está corregido y un hallazgo del que alguien cree que está corregido se diferencian.

Cómo leer el requisito antes de preparar la oferta

En la práctica bastan cuatro preguntas, hechas en un orden determinado, porque cada una siguiente solo tiene sentido cuando la anterior está respondida. La primera es cuál sistema se comprueba — el que se entrega o el del propio proveedor, y esta sola pregunta separa Cyber Essentials de todo lo demás, así que conviene empezar por ella. La segunda es si el requisito nombra el estatuto del ejecutor o la cualificación de una persona concreta: el estatuto casi siempre apunta a un esquema extranjero, y la cualificación — o bien a la acreditación ENAC o al reconocimiento del CCN si lo que se pide es la conformidad con el ENS, o bien a la competencia de quien prueba si lo que se pide es una prueba del sistema entregado, y esa es la frontera entre un requisito que una empresa española puede cumplir y uno que no. La tercera es si las vulnerabilidades encontradas hay que explotarlas, porque, si hay que hacerlo, se trata de pruebas de penetración, pero si basta una lista de hallazgos, es un escaneo, que cuesta un dinero del todo distinto. La cuarta es a qué norma se remite el órgano de contratación, y si no se remite a ninguna, entonces el requisito es elección suya, lo cual significa que sobre el alcance se puede hablar.

Cómo se ve eso en la práctica se ve mejor en una formulación del todo típica, de las que suelen estar en un pliego: «El licitador deberá proporcionar una auditoría de seguridad del sistema conforme a CHECK o a una metodología equivalente.» La primera pregunta responde enseguida — se comprueba el sistema que se entrega, así que Cyber Essentials cae. La segunda muestra que se ha nombrado el estatuto del ejecutor, y eso es un esquema extranjero. La tercera queda sin responder, porque la palabra «auditoría» no dice si se explotarán las vulnerabilidades. La cuarta es la decisiva: si más adelante en el documento no hay remisión a ninguna norma, entonces el requisito es elección del órgano de contratación, la reserva «o equivalente» es una puerta abierta, y la pregunta que hay que hacer es solo una — si las vulnerabilidades encontradas hay que explotarlas. Si las respuestas a estas preguntas no están en el pliego, conviene pedirlas por escrito, y no es un trámite: un pliego que nombra un esquema y no dice el alcance produce ofertas del todo incomparables, y esa es la pérdida del órgano de contratación, no del licitador.

Cuando resulta ser una comprobación ordinaria de seguridad del sitio web

En una parte de los casos, sobre todo en contrataciones más pequeñas, detrás de todos estos nombres hay una necesidad mucho más simple: el órgano de contratación quiere saber si su sitio web o su aplicación son seguros antes de ponerlos en servicio. Ahí no hay un sistema de categoría ALTA, ni la red de la Administración británica, ni un requisito de cadena de suministro — hay solo el deseo de no poner en explotación algo que alguien compromete el primer mes.

Esta frontera conviene reconocerla con honestidad también del lado del ejecutor, no solo del órgano de contratación. Si el pliego pide de verdad la pertenencia a un esquema extranjero, la respuesta correcta es no participar, o participar en asociación con quien sí tiene esa pertenencia — no describir la propia metodología de modo que se parezca. La mesa de contratación lo advierte, y el precio reputacional es mayor que un contrato perdido.

Precisamente en este caso tiene sentido nuestra auditoría de seguridad web, en la que hay sitio también para una comprobación manual con autorización escrita. No es CHECK, no es ITHC y no se hace pasar por tal; es el trabajo que responde a la pregunta que de verdad se hizo. Si usted tiene el pliego sobre la mesa y no está claro en cuál de estas categorías cae, envíenos el apartado de seguridad de las prescripciones, y le diremos qué instrumento está nombrado — también cuando la respuesta sea que ese trabajo no es para nosotros.