01Criterios Generales de Seguridad Informática
La seguridad de los equipos informáticos es fundamental para proteger la integridad, confidencialidad y disponibilidad de los datos. A nivel general, se aceptan varios criterios y principios básicos que sirven de guía para mantener un entorno seguro.
Confidencialidad
La información solo es accesible para personas autorizadas. Implica cifrado, control de acceso y autenticación.
Integridad
La información no puede ser alterada de forma no autorizada. Se logra con hashes y controles de modificación.
Disponibilidad
Los sistemas están accesibles cuando son necesarios. Se evitan interrupciones mediante redundancias y respaldos.
Autenticación y Autorización
Verificación de identidad y control de acciones permitidas. Incluye MFA y gestión de roles y permisos.
Defensa en Profundidad
Múltiples capas de seguridad: cortafuegos, antivirus, NAC y detección de intrusos.
Mínimos Privilegios
Otorgar solo los permisos estrictamente necesarios para minimizar el riesgo ante compromisos.
Monitoreo y Auditoría
Monitoreo continuo para detectar actividades sospechosas e incidentes de seguridad.
Actualización Regular
Aplicar parches de seguridad en cuanto estén disponibles para evitar explotar vulnerabilidades conocidas.
Educación del Usuario
El error humano es la causa más común de incidentes. La concienciación continua es esencial.
Gestión de Incidentes
Plan de respuesta con identificación, contención, erradicación y recuperación del sistema.
02Modelo de Seguridad Orientada a la Gestión del Riesgo
La seguridad orientada a la gestión del riesgo es un enfoque estratégico que busca identificar, evaluar y mitigar los riesgos asociados con el uso de los sistemas de información en una organización.
- Identificación de Activos y Riesgos. Identificar activos críticos (datos sensibles, sistemas esenciales) y los riesgos potenciales: amenazas cibernéticas, errores humanos, fallos técnicos o desastres naturales.
- Evaluación del Riesgo. Determinar probabilidad de ocurrencia e impacto potencial (pérdida de datos, interrupción del negocio, impacto financiero, daño reputacional).
- Priorización del Riesgo. Clasificar riesgos mediante matrices de riesgo cruzando probabilidad e impacto en niveles: bajo, medio y alto.
- Planificación de Medidas de Control. Diseñar controles preventivos, detectivos y correctivos para mitigar los riesgos más críticos.
- Implementación de Controles y Políticas. Definir políticas de acceso, control de dispositivos, restricciones de red y capacitación continua.
- Monitoreo Continuo y Revisión. Auditorías periódicas, análisis de vulnerabilidades y revisión de incidentes pasados.
- Plan de Respuesta ante Incidentes. Protocolos para contener el daño, recuperar sistemas y realizar evaluación post-incidente.
- Cumplimiento Normativo. Alinearse con GDPR, HIPAA, ISO/IEC 27001 y otras regulaciones aplicables.
03Amenazas, Riesgos y Salvaguardas Más Frecuentes
Las amenazas más comunes en seguridad informática, sus riesgos asociados y las medidas para mitigarlos:
🦠 Malware (Virus, Ransomware, Spyware, Troyanos)
Riesgos- Daño o destrucción de datos
- Secuestro de archivos y sistemas (ransomware)
- Robo de información confidencial
- Software antivirus y antimalware actualizado
- Copias de seguridad frecuentes y seguras
- Principio de mínimos privilegios
🎣 Phishing
Riesgos- Robo de credenciales · Fraude financiero · Acceso no autorizado
- Formación en identificación de correos sospechosos · MFA · Filtros de correo avanzados
🔑 Ataques de Fuerza Bruta
Riesgos- Acceso no autorizado mediante adivinanza de contraseñas
- Límites en intentos fallidos · Contraseñas robustas · MFA · Monitoreo de accesos
💥 Ataques DoS y DDoS
Riesgos- Interrupción del servicio · Inaccesibilidad crítica · Pérdida de ingresos
- Sistemas de mitigación DDoS · CDN · Cortafuegos específicos · Monitoreo de tráfico
💻 Robo de Dispositivos
Riesgos- Pérdida de información confidencial · Acceso no autorizado a redes
- Cifrado de discos · VPN · Borrado remoto · MDM
🧠 Ingeniería Social
Riesgos- Manipulación psicológica para obtener información confidencial
- Concienciación continua · Verificación de identidad · Limitar información pública
🕳️ Vulnerabilidades en Software
Riesgos- Explotación de fallos · Inyecciones de código · Compromisos del sistema
- Parcheo regular · Pruebas de penetración · Análisis de vulnerabilidades · Desarrollo seguro
👤 Amenazas Internas
Riesgos- Robo de información · Sabotaje interno por empleados o contratistas
- Controles de acceso estrictos · Monitoreo de actividad · Políticas éticas claras
🌐 Ataques a la Red (MitM, Sniffing)
Riesgos- Interceptación de comunicaciones · Robo de credenciales y datos financieros
- Cifrado extremo a extremo (HTTPS, VPN) · TLS · WPA3 · Monitoreo de red
🙈 Errores Humanos
Riesgos- Eliminación accidental de datos · Configuración incorrecta de sistemas
- Políticas de respaldo · Formación continua · Verificación doble · Automatización
04Salvaguardas y Tecnologías de Seguridad Más Habituales
Las organizaciones implementan una variedad de tecnologías para prevenir, detectar y mitigar amenazas. A continuación, las más comunes:
Cifrado de Datos
Protege la confidencialidad convirtiendo datos en un formato ilegible sin la clave de descifrado.
Autenticación Multifactor (MFA)
Añade capas adicionales de verificación al requerir múltiples formas de autenticación.
Cortafuegos (Firewalls)
Filtra y controla el tráfico de red entre redes internas seguras y externas no confiables.
IDS / IPS
Detectan y previenen accesos no autorizados analizando el tráfico en busca de comportamientos anómalos.
Antivirus y Antimalware
VPN (Redes Privadas Virtuales)
Gestión de Identidades y Accesos (IAM)
Backup y Recuperación de Datos
SIEM
Consolidan y analizan datos de seguridad para detectar amenazas en tiempo real.
05Gestión de la Seguridad Informática
La gestión efectiva de la seguridad es el complemento indispensable a las medidas tecnológicas. Asegura que las tecnologías se implementen, mantengan y mejoren de forma continua.
Políticas de Seguridad Informática
Conjunto de reglas y directrices que establecen cómo se debe proteger la información, incluyendo roles, comportamientos aceptables y directrices para la gestión de incidentes y continuidad del negocio.
Evaluación y Gestión de Riesgos
- Identificación de riesgos internos y externos
- Análisis de probabilidad e impacto sobre activos
- Mitigación mediante nuevas salvaguardas o procedimientos
- Monitoreo continuo conforme evolucionan las amenazas
Continuidad del Negocio y Recuperación ante Desastres
- BCP – Plan de continuidad: mantiene funciones críticas operativas durante una crisis
- DRP – Plan de recuperación: restaura sistemas tras un incidente
- Pruebas periódicas: simulaciones regulares de incidentes
Gestión de Incidentes
- Detección: identificar el posible incidente
- Respuesta: contener y evitar propagación
- Recuperación: restaurar sistemas comprometidos
- Lecciones aprendidas: análisis post-mortem para mejorar defensas
06Identificación de Procesos de Negocio Soportados por Sistemas de Información
Los sistemas de información permiten automatizar, gestionar y optimizar numerosos procesos de negocio. Identificarlos es crucial para establecer estrategias de seguridad efectivas.
Clasificación de Procesos según su Importancia
Procesos Esenciales
Su fallo causa interrupción total del negocio. Ej: procesamiento de transacciones financieras.
Procesos de Apoyo
Importantes pero no causan paralización total. Ej: mantenimiento de registros históricos.
Procesos Periféricos
No afectan directamente al funcionamiento crítico. Ej: marketing o campañas publicitarias.
Mapeo de Procesos con Sistemas de Información
| Proceso de Negocio | Sistema de Información | Dependencia |
|---|---|---|
| Proceso de ventas | CRM | Alta |
| Gestión financiera | ERP | Alta |
| Atención al cliente | Helpdesk / Ticketing | Media |
| Gestión de inventarios | ERP / WMS | Media |
| Recursos humanos | HRMS / Nóminas | Alta |
| Marketing | CRM / Analytics | Baja |
07Requerimientos de Confidencialidad, Integridad y Disponibilidad (CID)
Cada proceso de negocio puede requerir diferentes niveles de protección en los tres pilares fundamentales del triángulo CID.
Confidencialidad
Alta prioridad en: datos personales, financieros, estratégicos, históricos médicos, información legal.
Medidas: Cifrado, MFA, control de acceso basado en roles.
Integridad
Alta prioridad en: gestión de nóminas, sistemas de votación, auditorías y bases de datos financieras.
Medidas: Control de versiones, firmas digitales, hashes criptográficos.
Disponibilidad
Alta prioridad en: atención al cliente online, infraestructuras críticas de transporte o energía.
Medidas: DRP, arquitecturas redundantes, balanceo de carga, monitoreo continuo.
Matriz de Valoración CID (Ejemplo)
| Proceso / Sistema | Confidencialidad | Integridad | Disponibilidad |
|---|---|---|---|
| Sistema de Nóminas | Alta | Alta | Media |
| ERP | Media | Alta | Alta |
| CRM | Media | Media | Alta |
| Sistemas SCADA | Baja | Alta | Alta |
| Registros médicos | Alta | Alta | Media |
08Sistemas de Información y sus Requerimientos de Seguridad
La identificación y evaluación de los sistemas que soportan los procesos de negocio es clave para implementar medidas de seguridad efectivas.
Medidas según Tipo de Requerimiento
🔐 Según Confidencialidad
- Cifrado de datos en tránsito y en reposo
- Autenticación multifactor obligatoria
- Control de acceso basado en roles (RBAC)
✅ Según Integridad
- Auditoría de cambios con trazabilidad completa
- Validación de datos e integridad referencial
- Firmas digitales en documentos críticos
⚡ Según Disponibilidad
- Planes de recuperación ante desastres (DRP)
- Arquitecturas redundantes y alta disponibilidad
- Balanceo de carga entre servidores
09Proceso de Gestión de Riesgos
El proceso de gestión de riesgos es un ciclo continuo que permite a las organizaciones identificar, evaluar, tratar y supervisar los riesgos a los que se enfrentan.
- Establecer el contexto. Definir alcance, objetivos, activos, amenazas y criterios de evaluación.
- Identificar los riesgos. Brainstorming, análisis de incidentes pasados y análisis de vulnerabilidades.
- Analizar los riesgos. Evaluar probabilidad e impacto con métodos cualitativos, cuantitativos o semicuantitativos.
- Evaluar los riesgos. Determinar nivel de riesgo y priorizar según criticidad.
- Tratar los riesgos. Seleccionar estrategia: aceptación, mitigación, transferencia o evitación.
- Monitorear y revisar. Auditorías periódicas y ajuste del plan de gestión de riesgos.
Alternativas de Tratamiento
Aceptación
No se toma acción. Útil cuando el riesgo es bajo o el coste de mitigación es demasiado alto.
Mitigación
Se reducen la probabilidad o el impacto mediante controles técnicos, organizativos o físicos.
Transferencia
Se transfiere a un tercero (seguro cibernético, proveedor). Ideal cuando no se puede asumir el riesgo.
Evitación
Se elimina la actividad que genera el riesgo. Para riesgos inaceptables sin mitigación eficaz.
10Metodologías de Identificación y Análisis de Riesgos
Metodologías basadas en estándares
NIST SP 800-30 (EE.UU.)
- Marco detallado para evaluación de riesgos de seguridad
- Identifica amenazas, vulnerabilidades e impacto potencial
- Ampliamente usada en sector gubernamental y privado
Magerit (España)
- Desarrollada por el Consejo Superior de Administración Electrónica
- Enfoque cualitativo para valoración de activos de información
- Estándar en administraciones públicas y empresas españolas
ISO 31000
- Estándar internacional para gestión de riesgos en general
- Aplicable a cualquier tipo de organización y riesgo
- Promueve un enfoque sistemático y estructurado
Técnicas de análisis
- Análisis cualitativo – Escalas subjetivas (alto, medio, bajo). Útil para identificar y priorizar rápidamente.
- Análisis cuantitativo – Modelos matemáticos y datos estadísticos. Calcula el valor monetario de los riesgos.
- Análisis semicuantitativo – Combina ambos enfoques para equilibrar precisión y practicidad.
- FODA – Identifica fortalezas, oportunidades, debilidades y amenazas internas y externas.
- Análisis de escenarios – Desarrolla situaciones hipotéticas para evaluar el impacto potencial.
11Aplicación de Controles y Medidas de Salvaguarda
Tipos de controles
Controles Preventivos
Evitan que ocurran eventos no deseados. Ej: políticas de seguridad, firewalls, cifrado, formación.
Controles Detectivos
Identifican eventos ya ocurridos. Ej: IDS, registros de auditoría, monitorización de actividad.
Controles Correctivos
Minimizan el impacto post-evento. Ej: DRP, copias de seguridad, respuesta a incidentes.
Principios clave
- Defensa en profundidad – Múltiples capas de controles para no depender de uno solo
- Equilibrio coste-beneficio – Los controles más costosos no siempre son los necesarios
- Participación de partes interesadas – Involucrar a responsables de sistemas y personal de seguridad
- Mejora continua – Revisión y actualización periódica de todos los controles
12Determinación del Nivel de Seguridad Existente
Este paso es crucial para identificar las brechas de seguridad y planificar las acciones necesarias para alcanzar el nivel de protección requerido.
- Análisis de requerimientos. Identificar activos críticos, riesgos y requisitos CID. Establecer objetivos y KPIs de seguridad.
- Evaluación del nivel existente. Análisis de vulnerabilidades, pruebas de penetración y revisión de políticas actuales.
- Comparación con el nivel necesario. Identificar brechas, determinar el nivel requerido y establecer un plan de acción.
- Documentación del análisis. Informe con nivel actual, nivel necesario y acciones a implementar.
Herramientas y técnicas recomendadas
13Selección de Medidas de Salvaguarda
Proceso de selección
- Análisis de riesgos: identificar amenazas, vulnerabilidades y priorizar por criticidad
- Definición de requerimientos: objetivos CID y normativas aplicables
- Selección de controles: técnicos, organizativos y físicos con relación coste-beneficio adecuada
- Implementación: efectiva, documentada y con formación al personal
- Monitoreo y revisión: pruebas periódicas y actualización continua
Tipos de medidas de salvaguarda
Controles Técnicos
Firewalls, IDS, antivirus, cifrado, control de acceso, 2FA, segmentación de redes.
Controles Organizativos
Políticas de seguridad, procedimientos de gestión de incidentes, planes BCP, formación.
Controles Físicos
Control de acceso físico, sistemas de vigilancia, alarmas, zonas seguras.
14Guía para la Elaboración del Plan de Implantación
Este plan es fundamental para garantizar la implementación efectiva de las medidas de seguridad y la protección adecuada de los sistemas de información.
- Definir el alcance y los objetivos. Qué sistemas y activos se incluyen. KPIs para medir el éxito de la implantación.
- Establecer las prioridades. Según criticidad de los riesgos, recursos disponibles e impacto en la continuidad del negocio.
- Asignar responsabilidades. Definir roles, designar responsable del proyecto y equipo de trabajo.
- Elaborar un cronograma. Fechas de inicio y fin de cada tarea. Considerar plazos de proveedores y tiempos de inactividad.
- Definir los recursos necesarios. Recursos financieros, humanos y tecnológicos. Presupuesto detallado.
- Desarrollar los procedimientos. Instalación, configuración, pruebas, gestión de cambios e incidentes.
- Realizar pruebas. Pruebas exhaustivas en entorno de pruebas antes de producción.
- Capacitar al personal. Material de formación y sesiones prácticas sobre uso y gestión de las salvaguardas.
- Implementar las salvaguardas. Siguiendo procedimientos establecidos con supervisión continua.
- Monitorear y revisar. Revisiones periódicas y actualización del plan según cambios en el entorno.
Elementos clave del plan
- Resumen ejecutivo con descripción general y objetivos
- Alcance, objetivos y definición clara del perímetro
- Cronograma detallado con hitos y fechas
- Presupuesto y lista de recursos necesarios
- Documentación de procedimientos de instalación y configuración
- Plan de pruebas detallado
- Plan de capacitación del personal
- Plan de monitoreo y revisión continua