01Norma ISO 27002
La norma ISO 27002 proporciona directrices y mejores prácticas para la gestión de la seguridad de la información. Es una guía de buenas prácticas, no certifica a las empresas — para eso está la ISO 27001.
Relación ISO 27001 — ISO 27002
ISO 27001
Especifica los requisitos para implementar un SGSI. Es la norma que certifica a las empresas. Exige controles de seguridad.
ISO 27002
Proporciona el catálogo de controles para cumplir con la ISO 27001. Es la guía práctica para implementar los controles necesarios.
Dominios de controles de seguridad
Políticas de seguridad
Definición y gestión de las políticas de seguridad de la información de la organización.
Organización de la seguridad
Estructura organizativa para la gestión de la seguridad de la información.
Seguridad de RRHH
Controles aplicables a los empleados antes, durante y después de su relación laboral.
Seguridad física
Protección de las instalaciones, equipos y activos físicos de la organización.
Control de acceso
Gestión del acceso a la información y los sistemas de información por usuarios autorizados.
Comunicaciones y operaciones
Seguridad en la operación de los sistemas de procesamiento de información y redes.
Gestión de incidentes
Procedimientos para gestionar eventos e incidentes de seguridad de la información.
Cumplimiento
Cumplimiento de obligaciones legales, regulatorias y contractuales de seguridad.
Versión ISO 27002:2022
La versión más reciente redujo el número de controles y dio mayor importancia a la inteligencia de amenazas, adaptándose a los nuevos paradigmas de ciberseguridad y entornos cloud.
02Código de Buenas Prácticas para la Gestión de la Seguridad
Un código de buenas prácticas define directrices y recomendaciones adaptables a cada organización. Sus principios son universalmente aplicables independientemente del tamaño o sector.
🏛️ 1. Gobernanza y Liderazgo
- Política de seguridad clara con respaldo de la alta dirección
- Gestión de riesgos continua con controles proporcionales
- Roles y responsabilidades claramente asignados
🛡️ 2. Protección de Activos de Información
- Clasificación de la información según sensibilidad
- Control de acceso basado en mínimo privilegio con MFA
- Cifrado de información sensible en reposo y en tránsito
- Copias de seguridad periódicas con pruebas de restauración
⚙️ 3. Seguridad en el Ciclo de Vida
- Desarrollo seguro desde el diseño (Security by Design)
- Gestión de cambios con evaluación de impacto en seguridad
- Gestión de parches automatizada siempre que sea posible
🚨 4. Respuesta a Incidentes
- Plan de respuesta a incidentes probado con simulacros
- Procedimientos de notificación a partes interesadas
- Análisis forense para investigar causas y prevenir recurrencia
👥 5. Concienciación y Cumplimiento
- Formación periódica en seguridad para todos los empleados
- Fomentar una cultura de seguridad como responsabilidad de todos
- Cumplir con leyes, regulaciones y estándares aplicables
03Metodología ITIL — Librería de Infraestructuras de TI
ITIL (Information Technology Infrastructure Library) es un marco de trabajo de mejores prácticas para la gestión de servicios de TI. Su objetivo es alinear los servicios de TI con las necesidades del negocio, mejorando la eficiencia y la calidad.
Principios clave de ITIL
Enfoque en el valor
Crear valor para el negocio a través de los servicios de TI. Todo servicio debe justificarse por el valor que aporta.
Optimización de recursos
Eficiencia en el uso de los recursos de TI, reduciendo desperdicios y maximizando el retorno de la inversión.
Mejora continua
Cultura de mejora constante de los procesos y servicios de TI basada en datos y retroalimentación.
Colaboración
Fomenta la colaboración entre los equipos de TI y el negocio. Comunicación y trabajo conjunto.
Ciclo de vida de los servicios ITIL
ITIL 4 (versión más reciente) se centra en la creación de valor a través de la colaboración e integración de tecnologías emergentes, enfatizando la flexibilidad y la adaptabilidad para organizaciones de cualquier tipo.
04LOPDGDD — Protección de Datos Personales en España
En España, la protección de datos personales se regula mediante el RGPD (de aplicación directa desde mayo de 2018) y la Ley Orgánica 3/2018 (LOPDGDD), que adapta el RGPD al ordenamiento jurídico español.
Aspectos clave de la LOPDGDD
Derechos digitales
Derecho a la intimidad en dispositivos digitales, derecho al olvido, portabilidad de datos y testamento digital.
Protección de menores
Medidas específicas para la protección de los datos personales de los menores de edad.
Videovigilancia y geolocalización
Regula el uso de sistemas de videovigilancia y geolocalización con requisitos y limitaciones específicas.
AEPD reforzada
Refuerza las competencias de la Agencia Española de Protección de Datos y establece el régimen sancionador.
Principios fundamentales (RGPD + LOPDGDD)
- Licitud, lealtad y transparencia – Tratamiento legal, justo e informado para los interesados
- Limitación de la finalidad – Datos recogidos solo para fines determinados, explícitos y legítimos
- Minimización de datos – Solo los datos adecuados, pertinentes y necesarios para la finalidad
- Exactitud – Datos exactos y actualizados, con rectificación sin dilación
- Limitación del plazo de conservación – No más tiempo del necesario para la finalidad
- Integridad y confidencialidad – Tratamiento seguro con medidas técnicas y organizativas adecuadas
05Normativas de Seguridad Física
La seguridad física protege los activos físicos de la organización. Varias normativas proporcionan un marco para implementar medidas efectivas.
ISO 27001
Aborda aspectos de seguridad física. La primera barrera a los sistemas de información es el acceso físico.
ISO 27002
Directrices para implementar controles de seguridad física y del entorno operativo.
ISO 31000
Principios para la gestión de riesgos aplicables a la seguridad física e identificación de amenazas.
ISO 22341 (CPTED)
Diseño del Entorno para la Prevención del Crimen. Criterios para diseñar entornos que reduzcan el riesgo.
ISO 23234
Criterios y recomendaciones de seguridad para planificar la seguridad de edificios e instalaciones.
NIST
Guías sobre control de acceso físico, videovigilancia y seguridad perimetral. Especialmente relevante para sectores gubernamentales.
Aspectos clave de la seguridad física
- Control de acceso – Tarjetas, biométricos, códigos o personal de seguridad en áreas sensibles
- Videovigilancia – Cámaras de seguridad con grabación y análisis de vídeo
- Seguridad perimetral – Vallas, muros, iluminación y sistemas de detección de intrusiones
- Seguridad contra incendios – Sistemas de detección, extinción, simulacros y formación
- Seguridad del personal – Formación, procedimientos de emergencia y protección ante amenazas físicas
06Identificación de Procesos de Negocio Soportados por SI
Los procesos de negocio son conjuntos de actividades interrelacionadas que transforman entradas en salidas para lograr un resultado específico. Los sistemas de información los automatizan, facilitan la comunicación y proporcionan información para la toma de decisiones.
Ejemplos de SI que soportan procesos de negocio
CRM
Gestión de Relaciones con Clientes. Soporta ventas, marketing y atención al cliente.
ERP
Planificación de Recursos Empresariales. Integra y gestiona los procesos clave de la organización.
SCM
Gestión de la Cadena de Suministro. Gestiona el flujo de materiales y productos.
HRM
Gestión de Recursos Humanos. Información de empleados, nóminas y desarrollo profesional.
Cómo identificar los procesos de negocio
- Análisis de la estructura organizacional: departamentos y áreas funcionales
- Mapeo de procesos con diagramas de flujo (BPMN): entradas, salidas y responsables
- Identificación de los SI que se utilizan en cada proceso
- Análisis de la integración y flujo de información entre sistemas
07Características de los Procesos Electrónicos
Automatización
Reducen la intervención humana. Mayor eficiencia, precisión y velocidad en la ejecución de tareas repetitivas.
Digitalización
Información en formato digital. Facilita acceso, manipulación y distribución. Habilita software especializado.
Conectividad
Interconexión a través de redes. Comunicación e intercambio en tiempo real. Integración de sistemas.
Rapidez y eficiencia
Tiempos de procesamiento muy inferiores a los manuales. La automatización amplifica la velocidad.
Precisión y fiabilidad
Menos propensos a errores humanos. Algoritmos garantizan consistencia y reducen variabilidad.
Trazabilidad y control
Registro de cada paso. Facilita control, auditorías y mejora continua basada en datos históricos.
Escalabilidad
Adaptación a mayor volumen de trabajo o número de usuarios sin necesidad de reinventar el proceso.
Flexibilidad
Adaptación a cambios en necesidades o entorno mediante programación y reconfiguración de parámetros.
08Estados de un Proceso en el Sistema Operativo
Los estados de un proceso describen las fases por las que pasa desde su creación hasta su finalización. Son fundamentales para la gestión de procesos en sistemas operativos multitarea.
Diagrama de estados
Descripción de estados
Nuevo (New)
El proceso está siendo creado e inicializado por el sistema operativo.
Listo (Ready)
Preparado para ejecutarse. Esperando en la cola a que el planificador le asigne tiempo de CPU.
En ejecución (Running)
Se está ejecutando en la CPU utilizando los recursos del sistema para realizar sus tareas.
Bloqueado (Blocked)
Esperando un evento externo (E/S, semáforo, recurso). No puede continuar hasta que ocurra.
Terminado (Terminated)
Ha finalizado su ejecución. El SO libera los recursos utilizados por el proceso.
09Manejo de Señales, Administración y Prioridades
¿Qué son las señales?
Las señales son mecanismos de comunicación asíncrona entre procesos o entre el kernel y un proceso. Notifican la ocurrencia de un evento específico (interrupción de teclado, error de segmentación, fin de proceso hijo).
📨 Generación y manejo de señales
- Generadas por: el kernel (errores), otros procesos (kill()), o el usuario (Ctrl+C = SIGINT)
- Ignorar: el proceso no realiza ninguna acción al recibir la señal
- Capturar: el proceso ejecuta un manejador de señales personalizado
- Acción predeterminada: el kernel realiza la acción por defecto (ej: terminar el proceso)
📊 Prioridades de los procesos
- Determinan qué procesos obtienen tiempo de CPU antes que otros
- Cambiadas por el kernel (procesos interactivos) o el usuario (herramientas
nice,renice) - Las señales pueden interrumpir la ejecución incluso de procesos de alta prioridad
10Sistemas de Información, Activos y Servicios
- Identificación de procesos de negocio. Mapeo con diagramas BPMN. Entrevistas con responsables y observación de actividades diarias.
- Inventario de sistemas de información. Aplicaciones, bases de datos y plataformas con documentación de funcionalidad, usuarios y proveedores.
- Identificación de activos. Hardware (servidores, PCs, móviles), software (licencias, apps, BBDD), servicios de red (Internet, VPN, directorio) y servicios cloud (IaaS, PaaS, SaaS).
- Análisis de impacto. Evaluar criticidad de cada sistema para la continuidad del negocio e identificar los que, en caso de fallo, tendrían mayor impacto en las operaciones.
Tipos de activos a identificar
Hardware
Servidores, ordenadores, dispositivos móviles. Documentar ubicación, configuración y estado.
Software
Licencias, aplicaciones personalizadas, bases de datos. Versiones, proveedores y contratos.
Servicios de red
Conectividad a Internet, VPN, servicios de directorio. Configuración y rendimiento documentados.
Servicios cloud
IaaS, PaaS y SaaS utilizados. Proveedor, SLA y condiciones contractuales.
11Monitorización de Procesos y Servicios con el Sistema Operativo
Herramientas por sistema operativo
Herramientas complementarias de monitorización
12Técnicas de Gestión del Consumo de Recursos
📊 Monitorización y análisis
- Herramientas como top, vmstat, iostat (Linux) o el Monitor de rendimiento (Windows)
- Análisis de registros de eventos para identificar patrones de consumo
- Herramientas de análisis de rendimiento para localizar cuellos de botella
⚙️ Optimización de procesos y memoria
- Priorizar procesos críticos y limitar recursos de los no esenciales
- Técnicas de paginación y segmentación para optimizar el uso de RAM
- Implementar caché para recursos de acceso frecuente
💾 Optimización de almacenamiento y red
- Compresión y deduplicación de datos para reducir espacio utilizado
- Priorización de tráfico (QoS) y uso de CDN para el ancho de banda
- Uso eficiente de SSDs para mayor rendimiento de I/O
☁️ Virtualización y nube
- Virtualización y contenedores para consolidar servidores y optimizar hardware
- Computación en la nube: escalado elástico según la demanda en tiempo real
- Automatización de tareas de gestión de recursos para reducir errores humanos
13Tipos de Dispositivos de Almacenamiento
14Características de los Sistemas de Archivo
Estructura jerárquica
Árbol de directorios con un directorio raíz como punto de partida. Facilita organización y búsqueda de archivos.
Gestión de metadatos
Atributos de archivo: nombre, tamaño, fechas, permisos. Inodos en sistemas Linux para almacenar metadatos y punteros.
Asignación de espacio
División en bloques de datos. La fragmentación dispersa los bloques y puede afectar el rendimiento con el tiempo.
Control de acceso
Permisos de lectura, escritura y ejecución. ACLs para control granular sobre quién accede a cada recurso.
Journaling
Registra cambios antes de escribirlos en disco. Previene pérdida de datos en caso de fallos inesperados del sistema.
Redundancia (RAID)
Sistemas de servidores incluyen redundancia de datos para proteger contra fallos de hardware.
Comparativa de sistemas de archivo comunes
15Organización y Estructura General de Almacenamiento
La estructura jerárquica de archivos y directorios sigue el modelo de árbol invertido. En Windows el directorio raíz es C:\, en Linux/Unix es /.
📁 Directorio raíz
- Punto de partida de toda la jerarquía de archivos y directorios
C:\en Windows ·/en Linux/Unix ·/en macOS
📂 Directorios (carpetas)
- Contenedores que albergan archivos y otros directorios
- Organizan los archivos de manera lógica y facilitan la búsqueda y acceso
📄 Archivos
- Unidades de información almacenadas en el sistema
- Contienen datos de diversos tipos: documentos, imágenes, programas, bases de datos…
16Herramientas para Gestión de Dispositivos de Almacenamiento
Herramientas por categoría y SO
📐 Particionado y formateo
- Windows: Administración de discos (GUI), Diskpart (CLI avanzado)
- Linux: fdisk, gdisk (GPT), parted, mkfs.ext4 / mkfs.ntfs
- macOS: Utilidad de Discos (GUI integrada)
📊 Monitorización del rendimiento
- Windows: Monitor de rendimiento con contadores de disco
- Linux: iostat (estadísticas de E/S), vmstat (rendimiento general), iotop (E/S por proceso)
🔧 Gestión de sistemas de archivos
- Windows: chkdsk — verificar y reparar errores
- Linux: fsck.ext4, fsck.ntfs, tune2fs para ajustar parámetros
- macOS: fsck_apfs para el sistema APFS
🔀 RAID y LVM
- mdadm: Gestión de arreglos RAID software en Linux
- lvm2: Gestión de volúmenes lógicos en Linux para mayor flexibilidad
17Marco General de Métricas e Indicadores para Monitorización
Establecer un marco sólido garantiza que las métricas proporcionen valor real para la toma de decisiones y la mejora continua de los sistemas de información.
🎯 Alineación con el negocio
Las métricas deben reflejar los objetivos estratégicos. Si el objetivo es mejorar la experiencia del cliente, medir tiempo de respuesta y disponibilidad.
📐 Definición SMART
Indicadores clave de rendimiento (KPI) que sean Específicos, Medibles, Alcanzables, Relevantes y Temporales.
🔔 Umbrales y alertas
Definir límites aceptables para cada métrica y configurar alertas automáticas cuando se superen.
🤖 Automatización continua
Herramientas de monitorización automatizadas para recopilación y análisis en tiempo real sin intervención manual.
📊 Paneles de control
Dashboards que visualicen las métricas clave de forma clara para identificación rápida de problemas y tendencias.
🔄 Mejora continua
Analizar datos para identificar tendencias, generar informes con recomendaciones y revisar métricas periódicamente.
18Objetos para los que es Necesario Obtener Indicadores
🖥️ Infraestructura de TI
- Servidores: CPU, RAM, disco, red, temperatura, disponibilidad
- Redes: Ancho de banda, latencia, pérdida de paquetes, disponibilidad de dispositivos
- BBDD: Tiempo de respuesta, conexiones, transacciones, espacio disponible
- Almacenamiento: Espacio libre, velocidad R/W, IOPS, estado RAID
📱 Aplicaciones y Servicios
- Aplicaciones web: Tiempo de respuesta, solicitudes/hora, errores HTTP
- Servicios críticos: Disponibilidad, uptime, consumo de recursos
- APIs: Tiempo de respuesta, número de llamadas, errores, latencia
🏭 Procesos de Negocio
- Transacciones: Número, tiempo de procesamiento, tasa de éxito
- Atención al cliente: Tiempo de respuesta, tickets, satisfacción
- Producción: Tiempo de ciclo, rendimiento, calidad
🔐 Seguridad
- Intentos de acceso no autorizado y detección de malware
- Vulnerabilidades detectadas y tiempo de corrección
- Intentos de inicio de sesión fallidos y uso de MFA
19Aspectos para la Selección y Definición de Indicadores
- Alineación con objetivos – Estratégicos (logro de metas globales) y operativos (rendimiento diario)
- Relevancia y claridad – KPIs críticos para el éxito, comprensibles para los usuarios, bien definidos
- Medibilidad – Preferir indicadores cuantitativos con fuentes de datos confiables identificadas
- Periodicidad – Frecuencia adecuada al tipo de indicador (tiempo real, diaria, semanal, mensual)
- Herramientas técnicas – Seleccionar herramientas compatibles con la infraestructura existente
- Visualización – Paneles de control y gráficos para identificar problemas y tendencias rápidamente
- Revisión periódica – Adaptar los indicadores a cambios en objetivos del negocio e infraestructura
20Establecimiento de Umbrales de Rendimiento
Los umbrales definen los límites aceptables para las métricas y permiten detectar problemas potenciales antes de que afecten a los usuarios o los procesos de negocio.
Tipos de umbrales
| Métrica | Normal ✅ | Advertencia ⚠️ | Crítico 🔴 |
|---|---|---|---|
| Uso de CPU | < 70% | 70–85% | > 85% |
| Uso de RAM | < 80% | 80–90% | > 90% |
| Espacio en disco | > 25% libre | 10–25% libre | < 10% libre |
| Latencia de red | < 10ms | 10–50ms | > 50ms |
| Tiempo respuesta app | < 1s | 1–3s | > 3s |
| Disponibilidad servicio | > 99.9% | 99–99.9% | < 99% |
Proceso de establecimiento de umbrales
- Identificar las métricas clave para el rendimiento de los sistemas críticos
- Recopilar datos históricos para establecer líneas base del rendimiento normal
- Definir umbrales inferior, superior y crítico para cada métrica
- Configurar alertas automáticas cuando se superen los umbrales
- Revisar y ajustar periódicamente según cambios en el sistema o el negocio
21Recolección y Análisis de Datos de Indicadores
Fuentes de datos
Logs del SO, registros de aplicaciones, BBDD, herramientas de monitorización de red y sensores de hardware.
Automatización
Automatizar siempre que sea posible. Reduce errores humanos, mejora eficiencia y permite monitorización 24/7.
Análisis descriptivo
Estadísticas descriptivas, gráficos y tablas para resumir y visualizar los datos recopilados.
Análisis de tendencias
Identificar patrones a lo largo del tiempo para detectar cambios en el rendimiento y anticipar problemas.
Análisis comparativo
Comparar con líneas base y umbrales para evaluar el rendimiento actual frente al esperado.
Análisis de causa raíz
Identificar las causas subyacentes de los problemas de rendimiento para implementar soluciones efectivas.
22Cuadro de Mandos de Rendimiento Unificado
Un cuadro de mandos unificado centraliza y visualiza indicadores de diferentes sistemas, facilitando la toma de decisiones informadas y la identificación rápida de áreas de mejora.
Beneficios clave
Visión integral
Perspectiva consolidada de múltiples sistemas. Identifica relaciones y dependencias entre componentes.
Decisiones en tiempo real
Identificación rápida de problemas y tendencias. Datos objetivos para la toma de decisiones operativas.
Eficiencia mejorada
Reduce el tiempo de recopilación y análisis. Permite centrarse en los aspectos críticos del sistema.
Colaboración
Facilita la comunicación entre equipos TI y negocio. Información compartida de forma clara y concisa.
Herramientas para cuadros de mandos
Monitorización
- Nagios / Zabbix
- Prometheus + Grafana
- Datadog
Visualización
- Tableau
- Power BI
- QlikView
- Grafana
Gestión de logs
- ELK Stack
- Splunk
- Graylog