"La guía CCN-STIC 004 establece criterios y recomendaciones para el tratamiento de información clasificada como difusión limitada, o de nivel equivalente, cuando se aloja en entornos de nube pública. Su objetivo es garantizar que el uso de servicios cloud en el sector público cumpla los requisitos del Esquema Nacional de Seguridad (ENS), asegurando la protección adecuada de datos sensibles.

El documento define medidas técnicas y organizativas relacionadas con control de accesos, cifrado, segregación de entornos, gestión de identidades y auditoría de actividad. También detalla requisitos contractuales que deben incorporarse en la relación con proveedores de servicios en la nube, así como obligaciones de supervisión continua y evaluación de riesgos. Se enfatiza la importancia de una arquitectura segura desde el diseño y de la trazabilidad de la información almacenada o procesada.

La guía concluye que el uso de nube pública es viable para información con restricciones específicas siempre que se apliquen salvaguardas adecuadas y se mantenga una gestión activa del riesgo. Recomienda reforzar la gobernanza de seguridad y realizar revisiones periódicas de cumplimiento. Este enfoque permite compatibilizar eficiencia tecnológica y protección de información en la administración digital."