Seguridad en Equipos Informáticos II

01Principios Generales de Protección de Datos (RGPD)

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea establece un marco legal sólido basado en los siguientes principios fundamentales para garantizar un tratamiento justo, transparente y seguro de los datos personales.

02Infracciones y Sanciones en Materia de Protección de Datos

La legislación vigente (RGPD y LOPDGDD) establece un marco sancionador específico según la gravedad de la infracción.

Criterios para determinar la sanción

• Naturaleza, gravedad y duración de la infracción
• Carácter intencional o negligente del infractor
• Medidas adoptadas para mitigar los daños causados
• Grado de cooperación con la autoridad de control (AEPD)
• Categorías de datos personales afectados
• Cumplimiento previo de medidas impuestas por la autoridad

Otras medidas sancionadoras

• Apercibimientos formales
• Órdenes de cese del tratamiento de datos
• Limitaciones temporales o definitivas del tratamiento

03Identificación y Registro de Ficheros con Datos Personales

Es una obligación fundamental para cualquier organización que maneje datos de carácter personal, con el fin de garantizar el cumplimiento del RGPD y mantener control efectivo.

1. Identificación de los ficheros. Inventario exhaustivo de bases de datos y sistemas con datos personales: tipo de datos, finalidad, responsables, colectivos afectados y medidas de seguridad.
2. Registro de Actividades de Tratamiento. Registro detallado exigido por el RGPD, disponible para la AEPD, con información sobre ficheros, tipos de datos, finalidades, responsables y medidas de seguridad.
3. Evaluación de Impacto (EIPD). Obligatoria cuando el tratamiento pueda entrañar alto riesgo. Evalúa riesgos y propone medidas de mitigación para los derechos y libertades de las personas.
4. Notificación a la AEPD. El RGPD eliminó la obligación general de notificación, pero en tratamientos de alto riesgo puede seguir siendo necesario notificar a la autoridad de control.

04Elaboración del Documento de Seguridad

Aunque el RGPD no exige explícitamente un "documento de seguridad", sí requiere evidencia del cumplimiento de medidas técnicas y organizativas de seguridad. Este documento sirve como prueba del principio de accountability.

Elementos clave del documento

05Determinación de los Perímetros de Seguridad Física

Un perímetro de seguridad física es un conjunto de barreras diseñadas para proteger instalaciones de accesos no autorizados y otros riesgos físicos, creando capas de protección que dificulten el acceso a los activos críticos.

Capas de protección

Proceso de determinación

1. Análisis de riesgos: amenazas potenciales y activos críticos a proteger
2. Identificación y clasificación de áreas según nivel de criticidad
3. Definición de capas de protección en profundidad
4. Implementación: barreras físicas, control de acceso, videovigilancia, medidas ambientales
5. Evaluación periódica y mantenimiento preventivo y correctivo

06Sistemas de Control de Acceso Físico

Los sistemas de control de acceso físico protegen las instalaciones y los sistemas informáticos restringiendo la entrada a personal no autorizado.

Consideraciones de implementación

• Integrar con otros sistemas (alarmas, videovigilancia) para mayor cobertura
• Definir diferentes niveles de acceso por rol y área
• Mantener registro de accesos para auditoría y trazabilidad

07Criterios de Seguridad para el Emplazamiento Físico

La ubicación adecuada de equipos y servidores puede mitigar riesgos y proteger los activos de la organización de forma significativa.

08Calidad y Continuidad del Suministro Eléctrico

El suministro eléctrico estable y seguro es fundamental para el funcionamiento ininterrumpido de los sistemas informáticos.

09Climatización y Protección contra Incendios

Requerimientos de climatización

• Temperatura constante entre 20°C y 24°C y humedad relativa entre 40% y 60%
• Ventilación adecuada para disipar el calor generado por los equipos
• Sistemas de refrigeración de precisión redundantes en salas de servidores
• Monitorización continua de temperatura y humedad con alertas automáticas

Requerimientos de protección contra incendios

Normativas de referencia: NFPA (National Fire Protection Association) e ISO (International Organization for Standardization).

10Normativa de Seguridad Física e Industrial

La elaboración de una normativa sólida es esencial para proteger los activos, la información y el personal de la organización.

1. Análisis de riesgos. Identificación de activos críticos, evaluación de amenazas físicas (robos, incendios, desastres) y análisis de vulnerabilidades.
2. Definición de políticas y procedimientos. Control de acceso, seguridad perimetral, instalaciones, personal, equipos y gestión de incidentes.
3. Documentación y difusión. Documento de normativa en lenguaje claro, sesiones de formación y revisiones periódicas.
4. Implementación y seguimiento. Asignación de responsabilidades, auditorías periódicas y mejora continua basada en incidentes y resultados.

11Sistemas de Ficheros Más Frecuentemente Utilizados

Los sistemas de ficheros son métodos para almacenar y organizar archivos en dispositivos de almacenamiento. Cada uno tiene características distintas según el uso previsto.

12Control de Acceso a la Red de Comunicaciones

El control de acceso sólido a los sistemas informáticos y a la red es fundamental para proteger la información confidencial y prevenir incidentes de seguridad.

Políticas de control de acceso

• Principio de mínimo privilegio – Solo los permisos estrictamente necesarios para cada función
• Separación de funciones – División de tareas críticas entre distintos usuarios
• Revisión periódica de permisos – Verificación y actualización regular de accesos
• Gestión de contraseñas – Políticas de contraseñas fuertes con cambio periódico obligatorio
• Autenticación multifactor (MFA) – Segunda o más formas de verificación de identidad

Medidas técnicas de implementación

13Configuración de Políticas y Directivas del Directorio de Usuarios

14Listas de Control de Acceso (ACLs) a Ficheros

Las ACLs son listas de permisos asociados a ficheros o directorios que permiten un control granular sobre quién puede acceder y qué operaciones puede realizar.

Tipos de permisos comunes

Establecimiento de ACLs

1. Identificar los usuarios y grupos que necesitan acceso a cada fichero o directorio
2. Definir los permisos a otorgar a cada usuario y grupo (mínimo privilegio)
3. Configurar las ACLs con las herramientas del sistema operativo

Herramientas por sistema operativo

15Gestión de Altas, Bajas y Modificaciones de Usuarios

Buenas prácticas

• Sistema IAM para automatizar y centralizar la gestión de usuarios y privilegios
• Auditorías periódicas para verificar que los privilegios son correctos y están actualizados
• Documentar todos los procedimientos y políticas relacionados
• Formación al personal sobre procedimientos de gestión y mejores prácticas

16Requerimientos de Seguridad para el Control de Acceso al Sistema Operativo

Autenticación robusta

Seguridad del sistema operativo

• Actualizaciones y parches de seguridad aplicados de forma regular
• Desactivar servicios y funciones innecesarias (reducción de superficie de ataque)
• Software antivirus y antimalware actualizado con análisis periódicos
• Cifrado de datos en disco y en tránsito por red
• RBAC: asignación de permisos por roles, no a usuarios individuales
• Gestión de cuentas privilegiadas con auditoría de su uso

17Sistemas de Autenticación: Débil, Fuerte y Biométrica

La combinación de métodos (biométrico + MFA) proporciona el nivel de seguridad más alto disponible actualmente.

18Registros de Auditoría del Sistema Operativo

Los registros de auditoría son esenciales para monitorizar el control de accesos, detectar incidentes y cumplir con normativas de seguridad.

Consideraciones clave

• Centralización – Centralizar registros en un sistema seguro para facilitar análisis y gestión
• Retención – Políticas de retención que cumplan con normativas aplicables
• Análisis – Herramientas SIEM para detectar patrones sospechosos y generar alertas
• Protección – Proteger los registros contra modificaciones y eliminaciones no autorizadas

19Normativa de Control de Accesos a los Sistemas Informáticos

La elaboración de esta normativa es crucial para proteger la información y los recursos de la organización de forma sistemática y sostenida.

1. Análisis de riesgos. Identificación de sistemas y datos críticos, evaluación de amenazas y vulnerabilidades, análisis del impacto potencial.
2. Definición de políticas y procedimientos. Mínimo privilegio, MFA, gestión de contraseñas, control de accesos a sistemas y datos, acceso remoto (VPN), gestión de cuentas y respuesta a incidentes.
3. Documentación y difusión. Redacción clara y accesible, comunicación a todo el personal y sesiones de formación periódicas.
4. Implementación y seguimiento. Asignación de responsabilidades, auditorías y controles regulares, mejora continua basada en incidentes y resultados de auditorías.

Referencias normativas

20Protocolos, Servicios y Puertos en Sistemas de Información

Protocolos comunes

Puertos más relevantes

Rangos de puertos

• Puertos bien conocidos (0–1023) – Asignados a servicios estándar (HTTP, HTTPS, SSH, FTP…)
• Puertos registrados (1024–49151) – Asignados a aplicaciones específicas
• Puertos dinámicos o privados (49152–65535) – Utilizados por aplicaciones cliente de forma temporal

21Herramientas de Análisis de Puertos y Servicios Abiertos

El análisis de puertos y servicios abiertos permite identificar aquellos que no son necesarios y que, por tanto, representan un riesgo de seguridad reduciendo la superficie de ataque.

Herramientas principales

Proceso de análisis y acción

1. Escaneo de puertos. Usar Nmap para identificar puertos abiertos y servicios activos en todos los sistemas de la red.
2. Análisis de servicios. Investigar cada servicio: ¿es necesario? ¿Tiene vulnerabilidades conocidas? Consultar bases de datos CVE.
3. Cierre de puertos innecesarios. Deshabilitar servicios no requeridos. Configurar firewalls para bloquear tráfico a puertos innecesarios.
4. Monitorización continua. Escaneos periódicos para detectar nuevos puertos abiertos y monitorizar tráfico sospechoso.

22Análisis de Tráfico de Comunicaciones

El análisis de tráfico proporciona una visión precisa del uso real que los sistemas hacen de los protocolos, servicios y puertos, permitiendo detectar anomalías, optimizar el rendimiento y fortalecer la seguridad.

Herramientas de análisis de tráfico

Beneficios del análisis de tráfico