ENS Alto e IA: compliance automatizado con LLMs

ENS Alto y el reto del compliance

El Esquema Nacional de Seguridad (ENS) en nivel Alto requiere implementar y documentar cientos de controles. Para PYMEs y departamentos de TI pequeños, mantener compliance es un trabajo a tiempo completo. La IA puede automatizar gran parte.

Qué puede automatizar la IA

Gap analysis: un LLM con RAG sobre la normativa ENS evalúa tu documentación actual e identifica controles faltantes.

Generación de documentación: políticas de seguridad, procedimientos, planes de contingencia generados desde templates + contexto.

Auditoría continua: agente que revisa logs, configuraciones y evidencias periódicamente.

Reporting: informes de compliance auto-generados con estado de cada control.

Arquitectura para ENS Alto

LLM: Qwen3-27B self-hosted en Hetzner GEX44. NUNCA APIs externas con datos de compliance.

RAG: documentación ENS indexada en Supabase pgvector con RLS.

Agente: LangGraph con HITL para aprobación de cambios en documentación.

Storage: Supabase EU region. Cifrado en reposo. Logs solo en EU.

Restricciones obligatorias

Datos en tránsito: TLS 1.3 entre todos los servicios. mTLS para comunicación inter-agente.

Datos en reposo: AES-256 en Supabase. Volumes cifrados LUKS en Hetzner.

Retención: logs operacionales 90 días, logs auditoría 5 años.

Borrado: soft delete → 30 días → hard delete + vacuum. Derecho al olvido: máx 72h SLA.

Herramientas recomendadas

Riskitera (GRC automatizado), Cumple (self-assessment), Supabase (datos EU), vLLM (LLM self-hosted), n8n (orquestación).