1.1.-PrincipiosGenerales

1.1.1. Principios generales de ciberseguridad

Idea principal

Una organización protege la información cuando conoce qué recursos son valiosos, qué propiedades debe preservar y qué situaciones pueden ponerlos en peligro. Como no existe una seguridad absoluta, el trabajo profesional consiste en reducir los riesgos, detectar los incidentes y limitar sus consecuencias.

Piensa en una empresa que tramita pedidos por Internet. Necesita proteger los datos de sus clientes, evitar que se alteren los pedidos y mantener la tienda disponible. Para hacerlo no basta con instalar un cortafuegos: también hay que cuidar las cuentas, los procesos, las copias de seguridad, los equipos y la actuación de las personas. Este tema presenta los conceptos que permiten tomar esas decisiones con criterio.

El objetivo es entender los principios generales que orientan la ciberseguridad de una organización, tal como establece la normativa del módulo. Los conceptos de activos, amenazas, vulnerabilidades y riesgos sirven además de base para el análisis de riesgos que se trabajará en el tema siguiente.

Código	Descripción
RA 1	Desarrolla planes de prevención y concienciación en ciberseguridad, estableciendo normas y medidas de protección.
CE 1.a	Se han definido los principios generales de la organización en materia de ciberseguridad, que deben ser conocidos y apoyados por la dirección de la misma.

Qué deberías saber al terminar

Al acabar este tema deberías poder:

• distinguir un sistema de información de un sistema informático;
• explicar la confidencialidad, la integridad y la disponibilidad, y relacionarlas con otras propiedades de seguridad;
• identificar activos, amenazas, vulnerabilidades y riesgos en un caso sencillo;
• proponer medidas preventivas, de detección y de respuesta o recuperación, justificándolas según el riesgo.

Mapa del tema

Seguiremos una secuencia de lo general a lo aplicado:

1. qué es lo que una organización debe proteger;
2. qué propiedades debe preservar y por qué no existe la seguridad perfecta;
3. cómo se relacionan activos, amenazas, vulnerabilidades y riesgos;
4. cómo escoger medidas y aplicarlas a casos profesionales.

1. Ciberseguridad y sistemas que debemos proteger

1.1. Ciberseguridad y ciberdefensa

La ciberseguridad es el conjunto de medidas organizativas, técnicas y humanas, junto con los procedimientos necesarios, para proteger los sistemas de información y las redes, así como los datos que gestionan, frente a amenazas, ataques e incidentes. Su objetivo principal es preservar la confidencialidad, la integridad y la disponibilidad mediante actuaciones de prevención, protección, detección, respuesta y recuperación. Se aplica tanto a dispositivos personales como a organizaciones y administraciones públicas.

Como analogía, en una vivienda se combinan cerraduras, alarmas y hábitos seguros; en una organización se combinan controles técnicos, procedimientos y formación para proteger ordenadores, teléfonos, redes y datos. Configurar una contraseña para el correo es un primer control, no una estrategia completa. Ninguna medida evita por sí sola todos los incidentes.

La ciberdefensa se relaciona principalmente con el ámbito militar y la defensa nacional. Comprende la protección y las operaciones en el ciberespacio vinculadas a ese ámbito. Comparte técnicas y objetivos de seguridad con la ciberseguridad, pero se distingue por su ámbito de aplicación y sus finalidades. No debe entenderse simplemente como la fase de respuesta a un incidente: la prevención, la detección, la respuesta y la recuperación forman parte del ciclo general de la ciberseguridad.

Ejemplo

En una organización, una contraseña robusta y la autenticación multifactor ayudan a proteger una cuenta. Si después se detecta un inicio de sesión anómalo, el equipo investiga la alerta, bloquea el acceso y revisa cómo se obtuvieron las credenciales. Todas estas actuaciones forman parte del ciclo de ciberseguridad. En cambio, la protección y las operaciones en el ciberespacio vinculadas a la defensa nacional se encuadran en la ciberdefensa. Algunas técnicas pueden coincidir, aunque cambian el ámbito y la finalidad.

1.2. Sistema de información y sistema informático

Un sistema de información es el conjunto de elementos que una organización utiliza para recopilar, almacenar, procesar y comunicar información. Puede incluir tecnología, pero también personas, datos y procedimientos. Por eso la seguridad de la información no se limita a proteger ordenadores.

Elemento	Qué incluye	Ejemplo en una empresa
Datos	Información digital o en papel.	Registros de clientes, ventas, nóminas, contratos e informes.
Procesos	Pasos y reglas para gestionar información.	Procedimiento de aprobación y envío de un pedido.
Personas	Quienes usan, administran o custodian la información.	Personal de administración, soporte y mantenimiento.
Tecnología	Hardware, software y comunicaciones que dan soporte al sistema.	Servidor, aplicación de ventas, base de datos y red.

Un sistema de información puede existir sin componentes informáticos: por ejemplo, un archivo en papel con formularios cumplimentados y un procedimiento manual de consulta. Hoy es habitual que los procesos dependan de tecnología, pero esta distinción sigue siendo útil para no dejar fuera de un análisis los documentos, las personas o las tareas manuales.

Son sistemas de información, por ejemplo, un sistema de inventario que controla las existencias, un sistema de nóminas y un CRM (Customer Relationship Management) que registra las relaciones con clientes. Cada uno combina información, procesos, personas y tecnología en proporciones distintas.

Un sistema de información combina datos, procesos, personas y tecnología.

Un sistema informático es la parte tecnológica que permite procesar, almacenar o transmitir información. Incluye:

• hardware: ordenadores, servidores, dispositivos móviles y electrónica de red;
• software: sistemas operativos, aplicaciones, firmware y bases de datos.

Por ejemplo, el ordenador personal con Windows, Linux o macOS y las aplicaciones que utilizas forman un sistema informático. También lo son un servidor que almacena datos o un router que conecta equipos. Una aplicación de nóminas, sus datos, el procedimiento para aprobar pagos y las personas que lo administran forman parte de un sistema de información más amplio.

El sistema informático aporta la tecnología del sistema de información.

Una analogía útil: el sistema informático se parece a los vehículos de una flota; el sistema de información se parece a toda la logística que los utiliza: vehículos, conductores, rutas, paquetes y registros de entrega. Proteger solo los vehículos no garantizaría que los paquetes llegasen correctamente ni que se siguieran los procedimientos adecuados.

La protección debe contemplar la información y los elementos que la gestionan.

2. Seguridad, fiabilidad y continuidad

2.1. Por qué no existe la seguridad total

La seguridad total no es alcanzable. Los sistemas son complejos y cambian con las actualizaciones, las nuevas aplicaciones, las personas usuarias y las necesidades del negocio. Pueden aparecer vulnerabilidades desconocidas, producirse errores humanos o suceder fallos físicos; además, las amenazas evolucionan.

Esto no significa que protegerse sea inútil. Significa que la organización debe decidir qué riesgos reducir, qué recursos dedicar a ello y cómo limitar el daño si un incidente llega a producirse. Intentar anticipar todas las situaciones posibles sería inabarcable y no garantizaría la ausencia de incidentes.

La analogía de una vivienda ayuda a entenderlo: una puerta blindada, una alarma y cámaras reducen oportunidades de entrada, pero no eliminan todos los riesgos; una ventana que se queda abierta por descuido puede cambiar la situación. En los sistemas, una nueva vulnerabilidad o una configuración incorrecta puede abrir una vía que antes no se había considerado.

2.2. Fiabilidad y resiliencia

La fiabilidad es la capacidad de un sistema para funcionar de forma correcta y previsible según lo esperado. En seguridad, una organización necesita además que sus servicios soporten fallos, se recuperen y mantengan las funciones prioritarias. La fiabilidad complementa la seguridad; no es un motivo para dejar de prevenir ataques.

Concepto	Qué significa	Ejemplo
Alta disponibilidad	Mantener un servicio accesible durante el mayor tiempo posible; puede haber una interrupción breve durante una conmutación.	Si falla un servidor, otro asume el servicio automáticamente.
Tolerancia a fallos	Seguir funcionando ante determinados fallos de componentes previstos mediante redundancia u otras medidas.	Una fuente de alimentación redundante permite que el servidor siga encendido si falla una de ellas.
Resiliencia	Anticipar, resistir, responder y recuperarse de una perturbación, adaptando la operación cuando sea necesario.	Tras un ransomware, la organización contiene el incidente y restaura servicios y datos desde copias verificadas.

Una copia de seguridad y un plan de recuperación pueden permitir volver a operar después de una parada; la redundancia puede reducir una interrupción; la monitorización puede ayudar a detectar antes el problema. Son medidas diferentes y conviene comprobar que funcionan, no limitarse a suponerlo.

No son sinónimos

La alta disponibilidad intenta reducir las interrupciones; la tolerancia a fallos permite soportar fallos concretos sin perder el servicio; la resiliencia abarca una respuesta y recuperación más amplias. Tener una copia de seguridad no garantiza por sí sola alta disponibilidad, y un sistema redundante no sustituye a una copia de seguridad.

Una empresa puede decidir, por ejemplo, proteger sus datos con copias periódicas, mantener un servicio alternativo para un servidor crítico y monitorizar la actividad para detectar incidentes. El objetivo es preservar la continuidad del negocio y reducir el impacto, no afirmar que el sistema sea invulnerable. La elección debe equilibrar el valor de los activos, el impacto de una parada, la probabilidad de incidentes y los recursos disponibles.

Este enfoque permite adaptarse a cambios y situaciones no previstas, minimizar el tiempo de inactividad y limitar daños. También ayuda a distribuir los recursos de forma proporcionada: perseguir una protección perfecta sería inalcanzable y costoso, mientras que mejorar la capacidad de prevenir, responder y recuperarse aporta continuidad operativa.

3. Propiedades de seguridad de la información

3.1. La tríada CIA

La tríada CIA toma su nombre de las iniciales inglesas de Confidentiality, Integrity, Availability: confidencialidad, integridad y disponibilidad. Son tres objetivos básicos para analizar qué puede salir mal y qué propiedades debe proteger una medida.

La tríada CIA reúne tres objetivos básicos de seguridad de la información.

Propiedad	Pregunta que ayuda a responder	Ejemplo de protección
Confidencialidad	¿Quién puede acceder o conocer esta información?	Control de acceso, cifrado y autenticación multifactor.
Integridad	¿La información sigue siendo correcta y completa, y se detectan los cambios no autorizados?	Permisos de modificación, registros de auditoría y mecanismos de verificación.
Disponibilidad	¿Pueden acceder las personas autorizadas cuando necesitan el servicio o los datos?	Mantenimiento, redundancia y recuperación probada.

3.1.1. Confidencialidad

La confidencialidad garantiza que solo las personas, procesos o sistemas autorizados puedan acceder a la información. Protege, por ejemplo, datos personales, credenciales, historiales médicos y documentación interna.

Se puede reforzar con permisos ajustados a las funciones, autenticación multifactor y cifrado. El cifrado hace que los datos no puedan interpretarse sin las claves adecuadas, pero no corrige permisos excesivos ni protege una cuenta cuya persona usuaria entrega sus credenciales a un atacante.

La confidencialidad limita el acceso a quienes tienen autorización.

3.1.2. Integridad

La integridad busca que la información se mantenga correcta y completa, y que los cambios se realicen de forma autorizada y puedan detectarse. Una alteración puede ser intencionada o accidental: un dato bancario mal modificado también es un problema de integridad aunque no haya un atacante.

Los permisos y la separación de funciones limitan quién puede modificar datos. Un hash permite detectar si un contenido ha cambiado al compararlo con un valor calculado previamente; por sí solo no demuestra quién creó el archivo ni impide que alguien sustituya tanto el archivo como el hash. Una firma digital puede aportar evidencias de integridad y autenticidad si se valida correctamente. Las copias de seguridad ayudan a recuperar información, pero no evitan por sí solas que se altere.

La integridad exige limitar y poder revisar los cambios.

3.1.3. Disponibilidad

La disponibilidad garantiza que los sistemas y la información estén accesibles para las personas autorizadas cuando los necesitan. Una tienda puede proteger muy bien los datos de sus clientes y, aun así, fallar si un ataque de denegación de servicio impide tramitar pedidos.

El mantenimiento, la redundancia, la protección frente a sobrecargas y los planes de recuperación ayudan a mantener o restablecer el servicio. Las copias de seguridad son útiles para recuperar datos, pero deben protegerse y probarse mediante restauraciones.

Una analogía cotidiana es un cajero automático: la disponibilidad significa que funciona cuando una persona autorizada necesita retirar dinero; si está fuera de servicio, ese objetivo se ha visto afectado aunque los datos sigan siendo confidenciales e íntegros.

La disponibilidad se refiere al acceso oportuno a los servicios y datos.

3.2. Propiedades complementarias

La tríada CIA no agota todos los objetivos que una organización puede necesitar. Según el marco de trabajo y el caso, también se analizan propiedades como las siguientes:

• Fiabilidad: el sistema se comporta de forma correcta y previsible. Por ejemplo, una transferencia debe procesarse según las reglas del servicio y dejar un resultado coherente.
• Autenticidad: permite comprobar que una identidad, un mensaje o un dato procede de quien dice proceder. El inicio de sesión verifica una identidad con los factores configurados; una firma digital validada puede aportar evidencia sobre el origen del documento.
• No repudio: busca aportar evidencias verificables de que una acción o comunicación tuvo lugar y dificultar que una parte niegue su participación. Una firma digital y los registros protegidos pueden contribuir, pero un registro ordinario o una firma no garantizan por sí solos una conclusión legal; importan el sistema, las claves, la custodia y el procedimiento.

Autenticación y autenticidad no son idénticas

La autenticación es el proceso de comprobar una identidad durante el acceso. La autenticidad es la propiedad de poder confiar en el origen o identidad comprobados de un dato, mensaje o entidad. Se relacionan, pero no deben tratarse como palabras intercambiables.

3.3. Ejemplo integrado: una compra en línea

En una compra por Internet participan la tienda, el sistema de pago, los datos de la persona compradora y los procesos que tramitan el pedido:

1. Confidencialidad: los datos de pago solo deben ser accesibles para los componentes y servicios autorizados.
2. Integridad: el importe y los productos del pedido no deben alterarse sin autorización durante el proceso.
3. Disponibilidad: la tienda y el sistema de pago deben estar accesibles cuando se necesiten.
4. Fiabilidad: el proceso debe completarse de forma previsible y comunicar correctamente el resultado.
5. Autenticidad: la persona compradora debe poder comprobar que está usando el sitio legítimo y el servicio debe validar las identidades necesarias.
6. No repudio: los registros y evidencias adecuados pueden ayudar a demostrar qué operación se autorizó y cómo se procesó.

Los objetivos se refuerzan entre sí, pero no son equivalentes. Por ejemplo, un sitio disponible no garantiza que sea auténtico; una copia de seguridad no protege la confidencialidad; y cifrar una comunicación no asegura que el pedido no se modifique en la aplicación.

4. Recomendaciones prácticas para una organización

Las recomendaciones siguientes concretan los principios anteriores y ayudan a reducir riesgos, detectar incidentes y limitar daños. No son exhaustivas ni sustituyen la política de seguridad de una organización: cada caso requiere un análisis propio.

4.1. Crear cultura de ciberseguridad y concienciación

La seguridad no depende solo de instalar herramientas: las personas deben conocer los riesgos habituales, saber qué información pueden compartir y disponer de un procedimiento para comunicar incidentes. La dirección debe respaldar las normas y facilitar formación y recursos. Una persona que reconoce un correo sospechoso y sabe cómo avisar al equipo responsable puede evitar que el incidente se extienda.

Relación con CIA: la formación contribuye a la confidencialidad (menos divulgación no autorizada), a la integridad (menos errores al tratar datos) y a la disponibilidad (uso y operación más seguros).

4.2. Verificar enlaces y archivos antes de abrirlos

No abras un enlace ni descargues un archivo cuando el mensaje resulte sospechoso. Comprueba la dirección y el contexto mediante un canal independiente; si tienes dudas, consulta al equipo responsable y reporta el mensaje. El phishing puede suplantar a una persona conocida o a un servicio legítimo.

Esta recomendación reduce la exposición a páginas fraudulentas y malware, pero no convierte a quien recibe el mensaje en responsable del incidente: la organización también debe formar, facilitar mecanismos de notificación y proteger las cuentas y los equipos.

Relación con CIA: ayuda a proteger la confidencialidad frente al robo de datos y la integridad frente a archivos o acciones maliciosas.

4.3. Usar herramientas de seguridad adecuadas

Antimalware, cortafuegos y otras herramientas pueden detectar o bloquear determinadas amenazas. Deben mantenerse actualizadas, configurarse de acuerdo con las necesidades y formar parte de una defensa en capas. Ninguna herramienta detecta todos los ataques; por ello se complementa con control de acceso, actualizaciones, monitorización y copias de seguridad.

Relación con CIA: pueden limitar accesos no autorizados (confidencialidad), detectar o bloquear alteraciones (integridad) y reducir algunas interrupciones (disponibilidad), según la herramienta, su configuración y el escenario.

El borrado seguro también requiere herramientas y procedimientos apropiados al tipo de dispositivo y al medio de almacenamiento. No existe una única técnica de sobrescritura válida para todos los discos; en dispositivos modernos se deben seguir las instrucciones del fabricante y las políticas de la organización.

4.4. Reducir la superficie de exposición

Mantén habilitados solo los servicios, puertos, cuentas y accesos necesarios. Por ejemplo, en un servidor desactiva los servicios que no se utilizan y limita la administración a las redes y personas autorizadas. Cuantas menos funciones innecesarias estén expuestas, menos posibilidades habrá de que un error de configuración o una vulnerabilidad afecte al servicio.

Relación con CIA: limitar servicios y accesos reduce oportunidades de comprometer la confidencialidad y puede disminuir la probabilidad de ataques que afecten a la disponibilidad.

4.5. Cifrar la información sensible

Valora el cifrado de la información sensible tanto en tránsito como almacenada. Si alguien obtiene una copia de los datos, el cifrado puede dificultar que los lea sin las claves. La organización debe proteger y gestionar esas claves; perderlas puede impedir recuperar la información y disponer de ellas en el mismo lugar que los datos puede reducir la protección.

Relación con CIA: su objetivo directo es la confidencialidad; no sustituye a controles de integridad, autenticación o disponibilidad.

4.6. Eliminar la información de forma segura

Cuando un dato deja de ser necesario o se retira un dispositivo, un borrado ordinario puede no eliminar todos los rastros. Aplica el procedimiento de borrado o destrucción aprobado por la organización y comprueba que es adecuado para el soporte. La finalidad es impedir que una persona no autorizada recupere información que ya no debería conservarse.

Relación con CIA: el objetivo principal es la confidencialidad de los datos retirados. La integridad del proceso de eliminación se apoya en seguir el procedimiento autorizado y dejar constancia cuando sea necesario; borrar un dato no es, por sí mismo, un control general de integridad.

4.7. Hacer copias de seguridad y comprobar la restauración

Programa copias con una frecuencia acorde con la pérdida de información que el negocio pueda asumir. Protégelas frente a accesos no autorizados y frente al mismo incidente que podría afectar a los sistemas principales. Aísla o inmoviliza copias cuando proceda y realiza pruebas de restauración: una copia que nunca se ha comprobado no garantiza que se pueda recuperar.

También hay que controlar qué se copia. Si se ha producido una infección, conservar sin revisión una copia contaminada puede reintroducir el problema; por eso la recuperación debe seguir un procedimiento que permita seleccionar un punto de restauración fiable.

Relación con CIA: las copias contribuyen sobre todo a la disponibilidad y, cuando se verifica y protege su contenido, a recuperar información íntegra. No garantizan por sí solas la confidencialidad de los datos copiados.

4.8. Mantener los sistemas y las aplicaciones actualizados

Las actualizaciones corrigen errores y vulnerabilidades, pero deben gestionarse: inventaría los sistemas, evalúa los avisos, prueba los cambios cuando sea necesario y planifica su despliegue. Si una aplicación no puede actualizarse, documenta la excepción y aplica medidas compensatorias, como aislarla, limitar sus accesos y preparar una migración.

Relación con CIA: corregir vulnerabilidades puede reducir riesgos para las tres propiedades, aunque el efecto concreto depende del fallo y de cómo se aplique la actualización.

4.9. Revisar periódicamente la configuración de seguridad

Comprueba permisos, cuentas, servicios, reglas de red y opciones de seguridad con una periodicidad y un alcance definidos. Aplica el mínimo privilegio: cada cuenta debe tener solo los permisos necesarios para su función. Por ejemplo, una aplicación que no necesita acceder a la ubicación o a los contactos no debería recibir esos permisos.

Las revisiones deben registrar los cambios y comprobar que una modificación no interrumpe un servicio crítico. La configuración adecuada depende del uso del sistema; copiar una lista genérica sin entender el contexto también puede provocar fallos.

Relación con CIA: revisar permisos ayuda a la confidencialidad; controlar los cambios, a la integridad; y comprobar la configuración y sus efectos, a la disponibilidad.

5. Activos, vulnerabilidades y amenazas

Para decidir qué proteger y cómo, primero hay que describir el entorno. Un activo tiene valor para la organización; una vulnerabilidad es una debilidad que puede facilitar un daño; una amenaza es una causa potencial de ese daño. Al relacionarlos se puede estimar el riesgo y decidir qué medidas tienen sentido.

5.1. Activos

Un activo es un recurso que tiene valor para la organización o es necesario para sus actividades. Puede ser tangible o intangible. Si se pierde, se altera, se divulga o deja de estar disponible, puede afectar a las operaciones, a las personas, a la reputación o al cumplimiento de obligaciones.

Tipo de activo	Ejemplos	Por qué puede ser importante
Datos e información	Bases de datos de clientes o ventas, nóminas, contratos, informes, manuales y registros en papel.	Su exposición, pérdida o alteración puede tener consecuencias operativas, económicas, legales o reputacionales.
Aplicaciones	Sistemas operativos, firmware, aplicaciones comerciales o propias, ERP, CRM y SCADA.	Gestionan procesos y datos; su indisponibilidad puede detener actividades.
Hardware industrial y equipos	PLC, servidores, terminales remotos, ordenadores y dispositivos móviles usados en procesos.	Su fallo puede interrumpir operaciones y, en algunos entornos, afectar a la seguridad física.
Red y comunicaciones	Routers, switches, cortafuegos, pasarelas y enlaces entre sistemas.	Permiten conectar usuarios, servicios y procesos; un fallo puede aislar sistemas.
Tecnología de soporte	Servidores, teléfonos, impresoras y otros equipos de uso empresarial.	Puede ser necesaria para la operativa diaria y la comunicación interna o externa.
Personas, conocimientos y funciones	Personal propio, proveedores, contratistas y equipos de soporte.	Sus funciones, conocimientos y accesos son necesarios para operar y proteger los sistemas.
Instalaciones	Oficinas, salas técnicas, centros de datos e instalaciones eléctricas.	Deben protegerse frente a accesos no autorizados, incendios, agua y otros daños físicos.
Equipamiento auxiliar	SAI, climatización y equipos de destrucción de soportes.	Ayuda a mantener los sistemas en condiciones adecuadas o a retirarlos de forma segura.

Las categorías pueden solaparse. Un servidor, por ejemplo, es hardware, tecnología y un soporte de una aplicación. Lo importante es registrar los activos de forma coherente y saber quién los utiliza, dónde están, de qué dependen y qué impacto tendría su pérdida.

La clasificación de activos ayuda a conocer su valor y a priorizar su protección.

Clasificar los activos permite:

1. priorizar la protección: los datos de clientes o un servidor crítico pueden requerir más atención que una impresora no esencial;
2. analizar riesgos: saber qué activos son valiosos permite estudiar qué amenazas pueden afectarles;
3. responder con rapidez: durante un incidente, un inventario ayuda a identificar qué sistema o información está comprometido y de quién depende.

5.2. Vulnerabilidades

Una vulnerabilidad es una debilidad técnica, humana, física o de procedimiento que puede facilitar que una amenaza cause un daño. Puede afectar a la confidencialidad, la integridad, la disponibilidad o a otras propiedades de seguridad.

Origen de la vulnerabilidad	Ejemplo
Técnica o de diseño	Un fallo de software o hardware permite una operación no prevista.
De configuración	Un servicio de administración está expuesto a una red que no lo necesita.
Humana o de procedimiento	No existe un proceso eficaz para comunicar correos sospechosos o retirar cuentas cuando cambia una función.
Física	Una sala de servidores no tiene control de acceso adecuado.

Una puerta sin cerradura puede servir como analogía de una debilidad física; en un sistema, una versión sin parches, una contraseña débil o una comunicación sin cifrar pueden ser vulnerabilidades. La analogía no implica que toda vulnerabilidad tenga que ser un fallo técnico ni que una amenaza sea siempre una persona externa.

5.2.1. Ejemplos de vulnerabilidades

Activo afectado	Vulnerabilidad	Propiedades que podrían verse afectadas
Servidor web	Software sin parches para vulnerabilidades conocidas.	Confidencialidad e integridad, entre otras, según el fallo.
Datos y sistema de autenticación	Contraseñas débiles o controles de acceso insuficientes.	Confidencialidad y autenticidad.
Datos de clientes	Comunicación sensible sin cifrar cuando el contexto requiere protección.	Confidencialidad.
Servidores e instalaciones	Acceso físico sin identificación ni control.	Disponibilidad e integridad; también confidencialidad si se roban soportes.

5.2.2. Gestión de vulnerabilidades

Encontrar una vulnerabilidad no basta: hay que tratarla y comprobar que la solución funciona. Un ciclo básico incluye:

1. Identificar vulnerabilidades mediante inventarios, avisos, auditorías y análisis autorizados.
2. Evaluar su gravedad técnica, los activos afectados y el impacto posible en la organización.
3. Priorizar la respuesta según el riesgo, la exposición y la criticidad del activo.
4. Corregir o reducir la exposición mediante parches, cambios de configuración, restricciones de acceso u otras medidas.
5. Verificar que la corrección se ha aplicado y que no ha provocado fallos no deseados.
6. Monitorizar: pueden aparecer vulnerabilidades nuevas o cambiar la exposición del sistema.

Trabaja dentro de un alcance autorizado

Las auditorías y pruebas de vulnerabilidades deben hacerse sobre sistemas propios o con autorización explícita, dentro de un alcance acordado. No pruebes herramientas contra redes ajenas para «comprobar» si son vulnerables.

5.2.3. CVE: identificación de vulnerabilidades conocidas

CVE (Common Vulnerabilities and Exposures) es un sistema de identificación y publicación de vulnerabilidades conocidas. Una entrada publicada recibe un identificador único, por ejemplo con el formato CVE-AAAA-NNNN… (año y número de secuencia). El identificador permite que fabricantes, administradores y equipos de seguridad hablen de la misma vulnerabilidad sin depender de nombres diferentes.

Una ficha puede incluir una descripción, productos y versiones afectados y referencias a avisos o correcciones. La disponibilidad de esos datos varía según la entrada. La NVD (National Vulnerability Database) del NIST puede añadir información y análisis, por ejemplo una puntuación CVSS sobre la gravedad técnica.

De forma simplificada, el flujo es: se identifica una vulnerabilidad; una autoridad de numeración CVE participante coordina la asignación de un identificador; se publica una descripción y referencias disponibles; y fabricantes, equipos de seguridad y bases de datos como NVD aportan avisos, versiones afectadas y medidas de mitigación o corrección cuando se conocen.

CVE, CVSS y riesgo organizativo

Un identificador CVE sirve para localizar una vulnerabilidad; una puntuación CVSS ayuda a describir su gravedad técnica. Ninguno de los dos sustituye al análisis del riesgo de una organización: también hay que saber si el activo está presente, expuesto, protegido por controles y qué impacto tendría un incidente.

A continuación se listan algunas fuentes de información sobre vulnerabilidades conocidas, con distintos ámbitos de cobertura y especialización:

• ** Ámbito Nacional (España) **

  • INCIBE-CERT (Buscador General): Repositorio oficial del Instituto Nacional de Ciberseguridad (INCIBE). Traduce y adapta los fallos globales al castellano para facilitar su consulta.

  • INCIBE-CERT (Avisos CNA): Catálogo específico de Vulnerabilidades Coordinadas por INCIBE. Recoge los fallos descubiertos en software español donde el instituto actúa como Autoridad de Numeración oficial.

• Ámbito Regional (Europa)

  • EUVD (European Vulnerability Database): Plataforma centralizada desarrollada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Mapea y analiza las amenazas que afectan al espacio comunitario europeo.

• Ámbito Internacional

  • NVD (National Vulnerability Database): Base de datos global de referencia gestionada por el NIST de EE. UU.. Es el estándar mundial para analizar la gravedad técnica de los fallos mediante la escala CVSS.

  • CVE Program: Registro maestro global coordinado en el Sitio Web de CVE. Funciona como el inventario que asigna los identificadores únicos ("matrículas") a cada vulnerabilidad descubierta.

  • CISA KEV (Known Exploited Vulnerabilities): Catálogo crítico mantenido por la Agencia de Seguridad de Infraestructuras (CISA). Lista exclusivamente los fallos que están siendo explotados activamente por atacantes en el mundo real.

  • OSV (Open Source Vulnerabilities): Base de datos distribuida impulsada por Google en OSV.dev. Está especializada en rastrear fallos de seguridad en código abierto, librerías y dependencias de software libre.

  • VulDB: Plataforma de inteligencia sobre amenazas accesible en el portal de VulDB. Documenta el ciclo de vida de los fallos, su coste económico estimado y la existencia de exploits públicos.

5.3. Amenazas

Una amenaza es una circunstancia, evento o acción que puede causar daño a un activo. Puede ser intencionada —por ejemplo, un intento de robo de credenciales— o accidental —por ejemplo, un error al borrar un archivo—, y puede proceder del interior o del exterior de la organización.

Muchas amenazas aprovechan vulnerabilidades, pero no todas se describen como un atacante explotando un fallo de software. Un incendio, un corte eléctrico o un error operativo también pueden causar daños. La exposición del activo, las debilidades existentes y las medidas de seguridad influyen en la probabilidad y en las consecuencias.

Amenaza, vulnerabilidad y riesgo no son lo mismo

La vulnerabilidad es la debilidad; la amenaza, la causa o circunstancia que puede provocar daño; el riesgo, la posibilidad y el impacto de que ese escenario afecte a un activo. En una analogía doméstica, una puerta sin cerradura es una vulnerabilidad, la persona que intenta entrar es una amenaza y el riesgo depende de la probabilidad de que lo consiga y del daño que causaría. En un servidor, el software sin parches puede ser la vulnerabilidad y el intento de explotación, la amenaza.

5.3.1. Origen: amenazas internas y externas

Origen	Ejemplos
Externo	Ciberdelincuentes, grupos organizados, actores con motivación política o espionaje y competencia desleal.
Interno o con acceso interno	Personal descontento o negligente, personas sin formación suficiente, exempleados cuyas cuentas no se han retirado y proveedores o contratistas con acceso.

La clasificación depende del origen y del contexto. Una cuenta interna comprometida puede ser utilizada desde fuera; un error de una persona empleada puede ser accidental. No conviene asumir que una amenaza interna es siempre maliciosa ni que una amenaza externa es siempre un ataque informático.

5.3.2. Naturaleza: amenazas lógicas y físicas

Amenazas lógicas: afectan a software, datos, identidades o procesos digitales. Entre ellas se encuentran:

• Malware: software creado para realizar acciones dañinas, como robar información o alterar datos.
  • Virus: se incorpora a otros archivos o programas y puede replicarse cuando estos se ejecutan.
  • Gusano: puede propagarse entre sistemas o redes sin que cada propagación dependa de que una persona abra un archivo infectado.
  • Troyano: aparenta realizar una función legítima, pero incluye acciones ocultas o permite operaciones no autorizadas.
  • Spyware: recopila información o actividad sin autorización.
  • Ransomware: puede cifrar o impedir el acceso a datos y exigir un rescate; pagar no garantiza recuperar la información.
  • Puerta trasera (backdoor): vía de acceso oculta o no autorizada a un sistema.
  • Registrador de pulsaciones (keylogger): captura las pulsaciones del teclado, por ejemplo para obtener credenciales.
• Ingeniería social: técnicas de engaño o manipulación para que una persona revele información, autorice una operación o ejecute una acción. El phishing es una modalidad que suele utilizar mensajes o páginas fraudulentas.
• Denegación de servicio (DoS) y denegación de servicio distribuida (DDoS): intentan saturar o interrumpir un servicio para que las personas usuarias legítimas no puedan acceder.
• Ataque de intermediario (Man-in-the-Middle): un tercero se interpone en una comunicación y puede intentar observarla o modificarla, especialmente si las protecciones de comunicación son insuficientes.
• Inyección SQL: una aplicación vulnerable puede interpretar entradas no confiables como parte de una consulta a la base de datos, lo que podría permitir consultar o alterar información sin autorización.
• Instalación o uso de software no autorizado: puede introducir software malicioso, componentes desactualizados o riesgos de licencia y soporte.

No confundas un error de software con malware

Un bug es un defecto o error de software y puede constituir una vulnerabilidad; no es malware por sí mismo. Una cookie tampoco es malware por ser una cookie: algunas se usan para seguimiento y pueden plantear cuestiones de privacidad, pero su función y tratamiento dependen de cómo se utilicen.

Amenazas físicas y ambientales: afectan a equipos, instalaciones o condiciones de funcionamiento. Algunos ejemplos son:

• robo de dispositivos, sabotaje o acceso físico no autorizado a una sala técnica;
• incendios, inundaciones, terremotos u otros desastres naturales;
• errores humanos no intencionados, como borrar un archivo o apagar un equipo crítico;
• cortes o fluctuaciones del suministro eléctrico;
• temperatura, humedad o ventilación inadecuadas, que pueden provocar fallos o daños en el hardware.

5.3.3. Forma de interferir con un activo

Una clasificación clásica describe el efecto de una amenaza sobre un activo:

Efecto	Qué ocurre	Ejemplo
Interrupción	El activo se pierde, queda inutilizable o no está disponible.	Una denegación de servicio deja fuera de línea un servidor web.
Interceptación	Una entidad no autorizada obtiene acceso a un activo o a una comunicación.	Captura de tráfico no cifrado (sniffing).
Modificación	Se altera un activo sin autorización.	Cambio de registros de una base de datos.
Fabricación	Se crean datos u objetos falsos que parecen legítimos.	Inserción de transacciones fraudulentas.

Interrupción, interceptación, modificación y fabricación describen efectos distintos.

Una amenaza puede producir más de un efecto. Un ransomware puede modificar o cifrar archivos y, al mismo tiempo, interrumpir el acceso a ellos. Un intermediario en una comunicación puede interceptar datos y también modificarlos.

El efecto puede vulnerar una o varias propiedades —confidencialidad, integridad, disponibilidad, autenticidad, fiabilidad o evidencias de responsabilidad—, pero no todas las amenazas comprometen todas las propiedades.

5.3.4. Escenarios habituales y relación con las vulnerabilidades

Amenaza o escenario	Debilidad que podría facilitarlo	Posible consecuencia
Acceso de una persona no autorizada	Contraseñas débiles, permisos excesivos o falta de control de acceso.	Robo, alteración o destrucción de información.
Malware, incluido ransomware	Sistemas sin actualizar, permisos excesivos, copias no protegidas o falta de detección.	Robo o cifrado de datos, interrupción de servicios.
Ingeniería social	Falta de formación, procesos de verificación débiles o canales de comunicación poco claros.	Robo de credenciales, fraude o ejecución de archivos maliciosos.
Desastre natural, como incendio o inundación	Instalaciones sin protección suficiente o copias guardadas en el mismo lugar afectado.	Daño físico, pérdida de datos o parada del servicio.
Interrupción de un proceso de negocio	Dependencia de un único sistema o ausencia de contingencia.	Caída de un servicio, como una venta en línea o un proceso de producción.
Espionaje industrial	Permisos excesivos, falta de cifrado o controles débiles de salida de información.	Exposición de propiedad intelectual, planes o tecnología.
Fuga de información	Mala gestión de permisos, contraseñas débiles o envío a destinatarios incorrectos.	Exposición de datos personales, financieros o confidenciales.
Fallo de un enlace de comunicaciones	Falta de redundancia o de un plan para recuperar la conectividad.	Interrupción de servicios que dependen de la red.
Código malicioso, como troyanos o spyware	Software no verificado, filtros insuficientes o ejecución con privilegios excesivos.	Robo de datos, vigilancia o daño a sistemas.
Uso de software no autorizado	Falta de inventario, control de instalación o política de actualizaciones.	Malware, vulnerabilidades sin corregir, falta de soporte o problemas de licencia.

Algunas filas describen familias de amenazas que se solapan: «malware» y «código malicioso», por ejemplo, no son categorías excluyentes. Mantenerlas separadas en la tabla sirve para reconocer los distintos escenarios que debe valorar una organización.

5.3.5. Seis ejemplos de análisis de amenazas

1. Phishing dirigido al personal. Una persona recibe un correo que aparenta proceder del departamento de informática y solicita sus credenciales para «actualizar el sistema». Es una amenaza lógica y de ingeniería social, normalmente externa; el efecto puede incluir la interceptación o el uso no autorizado de credenciales.

   • Activo objetivo: credenciales y cuentas de acceso.
   • Vulnerabilidad que podría explotarse: falta de formación, de verificación por un canal independiente o de autenticación adicional.
   • Amenaza y posible efecto: ingeniería social externa; si obtiene las credenciales, puede conseguir acceso no autorizado y comprometer la confidencialidad o la autenticidad.

2. Ransomware en servidores. Un programa malicioso cifra archivos de la empresa y exige un rescate. Es una amenaza lógica que puede causar modificación e interrupción.

   • Activos objetivo: datos corporativos y servidores.
   • Debilidades que podrían facilitar el incidente: sistemas sin actualizar y copias de seguridad ausentes o accesibles desde los mismos sistemas.
   • Posible efecto: modificación de datos e interrupción; puede afectar a la integridad y a la disponibilidad, y detener operaciones.

3. Uso malicioso de una cuenta interna. Una persona con acceso a una base de datos modifica información antes de dejar la organización. Es una amenaza interna, normalmente lógica, cuyo efecto principal es la modificación; también podría intervenir el acceso físico al equipo.

   • Activo objetivo: base de datos de clientes.
   • Debilidades que podrían facilitarlo: permisos excesivos, falta de revisión de actividad o cuentas que no se revocan a tiempo.
   • Posible efecto: pérdida de integridad y de confianza. Los registros y evidencias pueden ayudar a investigar, pero no debe suponerse que un registro ordinario garantiza el no repudio.

4. Corte eléctrico prolongado. Un apagón en la zona del centro de datos detiene los servidores. Es una amenaza física y accidental que causa interrupción.

   • Activos objetivo: servidores, sistemas críticos e instalaciones.
   • Debilidades que podrían agravar el daño: ausencia de SAI, redundancia o plan de recuperación.
   • Posible efecto: pérdida de disponibilidad y, si hay escrituras interrumpidas, posible pérdida o corrupción de datos.

5. Intermediario en una comunicación. Un atacante externo intenta colocarse entre una persona usuaria y un servidor. Es una amenaza lógica de interceptación que también puede producir modificación.

   • Activos objetivo: credenciales y datos en tránsito.
   • Debilidades que podrían facilitarlo: cifrado o validación de certificados mal configurados y uso de redes no confiables sin protección adecuada.
   • Posible efecto: interceptación de información o modificación de la comunicación; pueden verse afectadas la confidencialidad y la integridad.

6. Inyección SQL contra una aplicación web. Una aplicación procesa entradas sin separar correctamente los datos de las instrucciones de la consulta. Es una amenaza lógica externa que puede permitir interceptación o modificación, según los permisos disponibles.

   • Activos objetivo: aplicación y base de datos.
   • Vulnerabilidad: validación y tratamiento incorrectos de las entradas, entre otros posibles defectos de diseño.
   • Posible efecto: acceso o modificación no autorizados; el alcance depende de los permisos de la aplicación y de las medidas de contención.

5.4. Riesgo

El riesgo expresa la posibilidad de que una amenaza afecte a un activo y las consecuencias que tendría para la organización. Para valorarlo se consideran, entre otros factores, la probabilidad de que ocurra el escenario y su impacto.

Una fórmula introductoria frecuente es:

Riesgo ≈ probabilidad × impacto

Esta expresión ayuda a ordenar decisiones, pero no es una ley matemática universal. En un análisis cualitativo se utilizan escalas y matrices; en uno cuantitativo se definen unidades, supuestos y datos. En ambos casos hay que considerar el activo, las amenazas, las vulnerabilidades, las medidas existentes y el contexto de negocio.

Factor	Qué se valora	Pregunta orientativa
Probabilidad	La posibilidad de que el escenario ocurra, teniendo en cuenta la exposición, las amenazas y los controles.	¿Es fácil que esta amenaza alcance el activo? ¿Hay antecedentes o señales de actividad?
Impacto	La magnitud de las consecuencias si el escenario se materializa.	¿Qué se interrumpiría, qué datos se expondrían y qué efectos económicos, legales o reputacionales habría?

Por ejemplo, un servidor crítico sin actualizar y expuesto a Internet puede presentar un riesgo elevado si existe una vulnerabilidad conocida y explotable. Si el mismo servicio está aislado, protegido y monitorizado, la probabilidad o las consecuencias podrían ser diferentes. La valoración debe justificarse, no basarse solo en una etiqueta.

flowchart LR
  A["Activo valioso"] --> B["Vulnerabilidad o exposición"]
  C["Amenaza: acción o evento"] --> D{"¿Puede afectar al activo?"}
  B --> D
  D --> E["Riesgo: probabilidad e impacto"]
  E --> F["Controles: prevenir, detectar y recuperar"]
  F --> G["Riesgo residual"]
  G --> H["Seguimiento y revisión"]

El riesgo residual es el que permanece después de aplicar medidas. No suele desaparecer por completo, por lo que debe volver a valorarse cuando cambian los sistemas, las amenazas, los controles o las necesidades de la organización.

Riesgo y controles

La probabilidad y el impacto dependen de la exposición, las vulnerabilidades y las amenazas; los controles pueden reducirlos. El riesgo residual es el que queda después de aplicar medidas y debe revisarse periódicamente.

5.4.1. Matriz cualitativa de riesgos

Una matriz combina niveles de probabilidad e impacto para ayudar a priorizar. La tabla siguiente es un ejemplo didáctico; cada organización debe definir escalas, umbrales y criterios coherentes con su metodología.

Probabilidad / Impacto	Bajo	Medio	Alto	Crítico
Muy alta	Medio	Alto	Muy alto	Crítico
Alta	Medio	Alto	Alto	Muy alto
Media	Bajo	Medio	Alto	Alto
Baja	Bajo	Bajo	Medio	Alto
Muy baja	Bajo	Bajo	Bajo	Medio

La probabilidad es uno de los factores que se consideran al valorar un riesgo.

5.4.2. Ejemplos de evaluación

Las valoraciones siguientes reproducen escenarios didácticos. Las etiquetas dependen de la matriz utilizada y no deben interpretarse como una evaluación universal.

Escenario	Activo	Vulnerabilidad	Amenaza	Probabilidad e impacto	Valoración del ejemplo
Servidor web sin actualizar	Servidor de comercio electrónico.	Software sin parches para fallos conocidos.	Explotación remota.	Alta y crítico: podría haber robo de datos, pérdidas económicas y daño reputacional.	Muy alto; requiere priorización inmediata.
Falta de copias de seguridad	Base de datos de clientes.	No hay copias automatizadas o restaurables.	Fallo de hardware o ransomware.	Media y crítico: podría ser imposible recuperar datos.	Alto; implantar y probar recuperación.
Wi-Fi de invitados sin segmentar	Red interna corporativa.	La red de invitados comparte acceso con sistemas críticos.	Acceso no autorizado a recursos internos.	Media y alto: el impacto puede incluir exposición de información.	Alto; planificar segmentación.
Contraseñas en una nota adhesiva	Credenciales de acceso.	Se dejan a la vista en una nota física.	Visitante o personal no autorizado obtiene la contraseña.	Baja y medio en este ejemplo: depende del acceso físico y del alcance de la cuenta.	Medio; revisar el proceso de acceso y usar un gestor aprobado.
Sistema industrial antiguo sin soporte	Sistema SCADA, por ejemplo con Windows XP.	Sistema operativo sin actualizaciones de seguridad.	Malware o explotación de fallos compatibles.	Media y crítico: podría detener la producción.	Alto; aislar y planificar una migración segura.

Stuxnet y WannaCry son ejemplos históricos de malware con impacto en sistemas y organizaciones; citarlos no significa que tengan la misma probabilidad en todos los entornos industriales. La evaluación debe atender al sistema concreto, a su exposición y a los controles implantados.

5.5. Análisis y tratamiento del riesgo

Un análisis de riesgos ayuda a identificar, evaluar y priorizar los escenarios que pueden afectar a una organización. Permite conocer la magnitud posible de las consecuencias y definir qué nivel puede asumirse. La metodología completa —alcance, inventario, valoración detallada y planificación— se estudia en Análisis de riesgos.

Una vez valorado un riesgo, la organización puede elegir entre varias estrategias:

Estrategia	Qué supone	Ejemplo
Evitar	Dejar de realizar la actividad o retirar la condición que origina el riesgo, cuando sea viable.	No ofrecer un servicio de almacenamiento en la nube si el negocio puede prescindir de él y no puede protegerlo de forma adecuada.
Mitigar	Reducir la probabilidad, el impacto o ambos mediante controles.	Segmentar una red, corregir un sistema vulnerable y monitorizarlo.
Transferir o compartir	Compartir parte de las consecuencias financieras u operativas con terceros mediante seguros o contratos.	Contratar un seguro de ciberseguridad con cobertura definida.
Aceptar	Mantener el riesgo de forma consciente, aprobada y revisable.	No duplicar un sistema no crítico cuando el coste sea desproporcionado respecto al impacto esperado.

Transferir no significa eliminar

Un seguro o un contrato puede compartir ciertas consecuencias, pero no impide que ocurra el incidente ni elimina las obligaciones de la organización. Hay que revisar qué cubre, qué excluye y quién conserva la responsabilidad.

5.5.1. Ejemplo: denegación de servicio en una tienda en línea

Una empresa de comercio electrónico se prepara para una campaña de rebajas:

• Activo: página web y servicio de venta.
• Amenaza: ataque DDoS durante el periodo de mayor actividad.
• Vulnerabilidad o exposición: infraestructura sin protección suficiente frente a este tipo de sobrecarga.
• Probabilidad estimada: media.
• Impacto estimado: alto; el material de partida usa una pérdida hipotética de 50 000 euros por día.
• Riesgo inicial del ejemplo: alto.

Opciones consideradas:

1. Evitar: cerrar la tienda durante las rebajas; no es viable porque el canal es central para el negocio.
2. Mitigar: contratar un servicio CDN con protección DDoS, estimado en 2 000 euros al mes, e implantar balanceo de carga, con un coste inicial hipotético de 5 000 euros. En este ejemplo, la empresa estima que la probabilidad bajaría a baja y el impacto a medio; el riesgo residual se valora como medio-bajo.
3. Transferir parte de las pérdidas: contratar un seguro, estimado en 1 500 euros al mes. El escenario técnico persiste, aunque parte del impacto económico podría estar cubierto según las condiciones.
4. Aceptar: no implantar medidas adicionales y asumir las pérdidas si ocurre el incidente.

La empresa del ejemplo elige mitigar porque compara el coste hipotético de los controles con la pérdida potencial. Las cantidades no son precios de mercado ni una recomendación universal: en un caso real habría que solicitar ofertas, revisar coberturas y validar si los controles reducen de verdad el riesgo.

6. Medidas de seguridad

Las medidas o controles de seguridad son procedimientos, configuraciones, tecnologías y actuaciones que reducen la probabilidad de un incidente o sus consecuencias. Su selección se justifica a partir de los riesgos y de las necesidades de la organización.

Los controles deben responder a riesgos concretos y combinarse de forma coherente.

6.1. Controles preventivos

Intentan evitar incidentes o reducir la exposición antes de que se produzcan:

• cortafuegos y segmentación de redes para limitar comunicaciones;
• autenticación multifactor y controles de acceso basados en roles;
• cifrado de datos en tránsito y en reposo;
• configuración segura y desactivación de servicios innecesarios;
• políticas de acceso y contraseñas, junto con gestores aprobados;
• actualizaciones y parches gestionados;
• formación para reconocer y comunicar intentos de ingeniería social.

6.2. Controles de detección

Ayudan a descubrir una actividad no deseada mientras sucede o después de que haya ocurrido:

• IDS (Intrusion Detection System): detecta patrones o intentos de intrusión;
• SIEM (Security Information and Event Management): centraliza y correlaciona eventos de distintas fuentes;
• monitorización y revisión de registros (logs);
• detección de malware y alertas ante accesos o comportamientos anómalos;
• auditorías periódicas de controles y permisos.

Una alerta no resuelve automáticamente un incidente: debe existir un procedimiento que indique quién la revisa, cómo se prioriza y cómo se escala.

6.3. Controles de respuesta y recuperación

Reducen el impacto y ayudan a restablecer servicios cuando un incidente se ha producido:

• copias de seguridad protegidas y restauraciones probadas;
• plan de continuidad de negocio (BCP, Business Continuity Plan) para mantener las actividades prioritarias;
• plan de recuperación ante desastres (DRP, Disaster Recovery Plan) para restablecer sistemas e infraestructura;
• equipos o servicios redundantes y mecanismos de conmutación (failover);
• procedimientos para contener incidentes y revocar accesos comprometidos;
• equipo de respuesta a incidentes (CSIRT, Computer Security Incident Response Team) o servicio especializado.

Las categorías no son siempre excluyentes: una medida puede contribuir a varios objetivos. Por ejemplo, la segmentación puede prevenir movimientos laterales y facilitar la contención; los registros ayudan a detectar y también a investigar.

6.4. Ejemplos de controles en distintos sectores

Empresa de desarrollo de software: riesgo de robo del código fuente

Fase	Medidas del ejemplo
Preventiva	Control de acceso por roles para el repositorio; autenticación multifactor; protección de los datos del repositorio mediante cifrado cuando corresponda.
Detección	Alertas ante descargas masivas; registros de acceso centralizados; auditoría trimestral de permisos.
Respuesta y recuperación	Copias diarias verificadas; procedimiento de revocación inmediata de accesos; seguro que podría cubrir parte de las pérdidas por robo de propiedad intelectual, sujeto a sus condiciones.

Hospital: riesgo de exposición de datos médicos

Fase	Medidas del ejemplo
Preventiva	Cifrado de bases de datos; VPN para accesos remotos; formación anual en protección de datos y seguridad; normas de manejo de información sensible.
Detección	Herramientas DLP (Data Loss Prevention) para detectar transferencias no autorizadas; monitorización de accesos a historiales; alertas ante accesos inusuales.
Respuesta y recuperación	Procedimiento de respuesta y evaluación de brechas conforme a las obligaciones aplicables; copias cifradas cada cuatro horas en el escenario; comunicación a pacientes y otras partes cuando corresponda; apoyo del equipo legal y de las personas responsables de protección de datos.

La frecuencia de las copias y las notificaciones son decisiones que dependen del riesgo, del procedimiento y de las obligaciones vigentes; los valores de la tabla describen un ejemplo, no una regla general.

6.5. Proceso para seleccionar medidas

La elección de controles se puede organizar en ocho fases. El ejemplo se centra en el departamento de recursos humanos y su sistema de nóminas:

1. Definir el alcance: concretar qué servicio, departamento, actividad o sistemas se van a estudiar. En este caso, el proceso de nóminas.
2. Identificar y valorar los activos: base de datos de empleados (valor crítico), aplicación de nóminas (alto), servidores que la alojan (alto) y contratos (medio).
3. Registrar las medidas existentes: por ejemplo, hay cortafuegos y acceso con usuario y contraseña, pero no cifrado de la base de datos, autenticación multifactor ni copias periódicas.
4. Identificar debilidades: una base de datos sin cifrar podría exponer información si se obtiene acceso; la falta de MFA aumenta el efecto de unas credenciales robadas; no tener copias dificulta la recuperación.
5. Valorar las amenazas: ransomware (probabilidad media, impacto crítico), phishing para robar credenciales (alta y alto) y acceso interno no autorizado (baja y alto), según las estimaciones del ejemplo.
6. Estimar el riesgo por escenario: relacionar activo, amenaza, vulnerabilidad, probabilidad e impacto. El ransomware podría resultar alto, el phishing alto y el acceso interno medio en la matriz elegida. El borrador asignaba al phishing un nivel muy alto, pero la matriz didáctica de este tema sitúa una probabilidad alta con impacto alto en el nivel alto.
7. Definir el umbral de actuación: por ejemplo, tratar los riesgos altos o superiores y monitorizar los medios. La dirección debe respaldar esta decisión y las excepciones.
8. Seleccionar y priorizar medidas según la reducción de riesgo y los recursos disponibles. En el ejemplo: implantar MFA y formación anti-phishing a corto plazo; cifrar la base de datos y automatizar copias diarias; después, valorar un SIEM y auditar trimestralmente los accesos.

El análisis también debe indicar responsables, plazos y cómo se comprobará el resultado. Después de implantar medidas se vuelve a valorar el riesgo: el que permanece es el riesgo residual.

7. Aplicación integrada

7.1. Cadena de análisis

La relación entre los conceptos se puede resumir así: una organización identifica un activo y su valor; analiza amenazas y vulnerabilidades; estima el riesgo; aplica controles; y revisa el riesgo residual. No es una tarea que se haga una sola vez: debe actualizarse cuando cambia el entorno.

La protección eficaz conecta el inventario con la valoración del riesgo y la selección de controles.

7.2. Caso integrado: cadena de supermercados

El siguiente escenario reúne activos, vulnerabilidades, amenazas, propiedades de seguridad, valoración de riesgos y controles. Las cifras son ilustrativas y no describen una evaluación real.

Contexto y activos

• Una cadena de supermercados utiliza terminales de punto de venta (TPV) conectados a sus sistemas.
• Entre los activos están los datos y registros de transacciones, los TPV, la red, las aplicaciones de pago, las configuraciones y el personal.
• El escenario asigna un valor crítico a la información financiera y considera las obligaciones del estándar PCI DSS aplicables al entorno de pago.

Vulnerabilidades

• los TPV no están segmentados del resto de la red;
• parte del software tiene una versión antigua con vulnerabilidades conocidas;
• el personal no dispone de formación suficiente;
• pueden conectarse dispositivos USB sin autorización.

Amenazas y riesgo inicial

• instalación de malware en los TPV para capturar datos;
• ingeniería social contra el personal para acceder a la red;
• conexión intencionada o accidental de un dispositivo USB infectado.

El material de partida valora la probabilidad como alta por el atractivo del objetivo y las vulnerabilidades conocidas, y el impacto como crítico por la posible exposición de datos, pérdidas económicas y daño reputacional. En su matriz, el riesgo resultante es muy alto.

Controles propuestos

• Preventivos: segmentar los TPV en una VLAN aislada; actualizar el software; desactivar los puertos USB que no se necesiten; permitir solo aplicaciones autorizadas (allowlisting); formar al personal trimestralmente; cifrar los datos de pago de extremo a extremo mediante una solución adecuada como P2PE.
• De detección: IDS/IPS para vigilar el tráfico; registros centralizados; auditorías mensuales; detección de anomalías en transacciones.
• De respuesta y recuperación: procedimiento de respuesta alineado con PCI DSS; copias cifradas de configuraciones de los TPV; equipo de respuesta disponible permanentemente; seguro con cobertura específica, si las condiciones lo justifican.

El ejemplo original estima un riesgo residual bajo, un coste anual de 150 000 euros y una pérdida potencial de varios millones. Son valores didácticos: en una evaluación profesional habría que justificar las estimaciones, verificar los controles y mantener el seguimiento. Las medidas reducen el riesgo, pero no permiten afirmar que sea cero.

La cadena de activos, vulnerabilidades, amenazas, riesgos y controles también es la base para elaborar un Plan Director de Seguridad, un análisis de riesgos y políticas y procedimientos de seguridad. En los siguientes temas se profundiza en esos instrumentos.

7.3. Caso integrado: pequeña consultora

Una empresa de 20 personas maneja información confidencial de clientes y dispone de un presupuesto limitado.

Activos

• informes y documentos de consultoría (valor alto);
• correos electrónicos con clientes (valor alto);
• portátiles del personal (valor medio).

Vulnerabilidades y amenazas

• trabajo desde casa con redes Wi-Fi domésticas: podría producirse interceptación, especialmente en redes públicas o mal protegidas;
• ausencia de una política y herramientas adecuadas para gestionar credenciales: aumenta la posibilidad de acceso no autorizado;
• documentos compartidos en servicios en la nube sin cifrado apropiado: podrían exponerse si se compromete una cuenta;
• falta de copias: ransomware o borrado accidental podrían causar pérdida de datos;
• pérdida o robo de portátiles: podría exponer datos almacenados;
• acceso no autorizado a archivos compartidos.

El ejemplo inicial valora como alto el riesgo de pérdida de datos por ransomware, medio-alto el robo de un portátil sin cifrar, medio la interceptación de correos y medio el acceso no autorizado a servicios en la nube.

Medidas priorizadas para el presupuesto disponible

• Preventivas: VPN corporativa para los accesos remotos; política de credenciales y gestor corporativo; cifrado completo de disco en los portátiles; autenticación multifactor en servicios en la nube; formación básica en ciberseguridad.
• De detección: antimalware o EDR (Endpoint Detection and Response) en los equipos; monitorización de accesos anómalos a los servicios en la nube.
• De respuesta y recuperación: copias automáticas diarias en almacenamiento cifrado; plan básico de respuesta a incidentes; contrato de soporte especializado para emergencias.

El escenario propone 5 000 euros de coste inicial, 800 euros mensuales, dos meses de implantación y un riesgo residual medio-bajo. Son cifras orientativas del ejemplo, no presupuestos actuales. La empresa debería confirmar que las medidas se han implantado y probar que puede recuperar los datos.

8. Buenas prácticas

Para aplicar estos principios con criterio profesional:

• Empieza por el negocio y las personas: identifica qué actividad debe protegerse, quién depende de ella y qué impacto tendría una interrupción.
• Mantén un inventario útil: registra activos, responsables, ubicación, dependencias y valor; actualízalo cuando haya cambios.
• Prioriza según el riesgo: no intentes tratar todos los sistemas como si tuvieran el mismo valor o exposición.
• Aplica mínimo privilegio y separación de funciones: concede permisos necesarios y revísalos cuando cambien las responsabilidades.
• Combina prevención, detección y recuperación: no supongas que un antivirus, un cortafuegos o una copia aislada resolverán todos los escenarios.
• Prueba las medidas críticas: restaura copias, revisa alertas, practica procedimientos y confirma que las cuentas se pueden revocar.
• Documenta las decisiones: anota criterios, responsables, excepciones, plazos y riesgo residual para que puedan revisarse.
• Cuenta con el apoyo de la dirección: las normas, los recursos y los umbrales de riesgo deben ser conocidos y respaldados por quienes toman decisiones.
• Forma sin culpabilizar: facilita instrucciones sencillas para reconocer señales y notificar incidentes a tiempo.

9. Errores frecuentes

Error frecuente	Por qué ocurre	Cómo evitarlo
Confundir sistema informático con sistema de información.	Se centra la atención únicamente en equipos y aplicaciones.	Inventaría también datos, procesos, personas, instalaciones y dependencias.
Tratar la seguridad perfecta como un objetivo alcanzable o sustituir seguridad por fiabilidad.	Se confunde reducir riesgos con eliminar toda posibilidad de incidente.	Combina prevención con detección, respuesta, recuperación y revisión del riesgo residual.
Pensar que la tríada CIA cubre por sí sola todos los requisitos.	Es fácil recordar las tres propiedades principales y olvidar otros requisitos del servicio.	Analiza también autenticidad, fiabilidad y evidencias de responsabilidad cuando sean necesarias.
Suponer que un hash evita cambios o que los registros garantizan el no repudio.	Se confunde detectar una alteración con impedirla o atribuirla de forma concluyente.	Explica qué evidencia aporta cada mecanismo y qué límites tiene.
Confundir activo, amenaza, vulnerabilidad y riesgo.	Los conceptos aparecen relacionados en el mismo escenario.	Identifica primero qué tiene valor; después, la debilidad, la causa potencial y la combinación de probabilidad e impacto.
Considerar que todas las amenazas son externas o maliciosas.	Se asocia ciberataque únicamente con ciberdelincuentes.	Incluye errores humanos, proveedores, fallos eléctricos, desastres y acciones internas.
Interpretar «riesgo = probabilidad × impacto» como una fórmula universal exacta.	La expresión simplifica el concepto para introducirlo.	Declara la metodología, las escalas, los supuestos y los criterios utilizados.
Equiparar CVSS con riesgo de negocio.	Una puntuación técnica parece ofrecer una respuesta completa.	Comprueba el activo, la exposición, los controles y las consecuencias para la organización.
Dar por válida una copia de seguridad sin restaurarla.	Se confunde que exista una tarea programada con que la recuperación funcione.	Haz pruebas periódicas, protege las copias y documenta el resultado.
Pensar que pagar un rescate garantiza recuperar datos o que tener antivirus evita todo malware.	Se atribuye a una medida más capacidad de la que realmente ofrece.	Combina controles y prepara respuesta y recuperación sin depender de una sola herramienta.
Creer que transferir el riesgo lo elimina.	Se confunde cubrir parte de las pérdidas con impedir el incidente.	Revisa límites y exclusiones; conserva controles y responsabilidades propias.
Llamar malware a cualquier bug o cookie.	Se confunde una debilidad, una tecnología de almacenamiento y un programa malicioso.	Distingue los defectos de software y el uso de cookies del software creado con intención dañina.

10. Resumen

En este tema has aprendido que:

• la ciberseguridad protege los sistemas de información, que incluyen datos, procesos, personas y tecnología;
• la tríada CIA reúne confidencialidad, integridad y disponibilidad, y puede complementarse con autenticidad, fiabilidad y no repudio;
• la seguridad absoluta no existe: se reducen riesgos y se prepara la continuidad y la recuperación;
• los activos tienen valor; las amenazas pueden causar daños y las vulnerabilidades pueden facilitar algunos escenarios;
• el riesgo se estima considerando probabilidad e impacto con una metodología explícita;
• las medidas preventivas, de detección y de respuesta o recuperación deben responder a los riesgos y probarse;
• las decisiones de seguridad deben revisarse cuando cambian los activos, las amenazas o la organización.

Idea clave

Una buena decisión de ciberseguridad empieza por saber qué se protege y por qué. Después se valora cómo podría verse afectado, se seleccionan controles proporcionados y se comprueba que la organización puede detectar, responder y recuperarse.

11. Para seguir practicando

Utiliza el siguiente caso ficticio; no realices pruebas sobre sistemas ajenos ni sobre servicios del centro sin autorización:

1. Elige una organización pequeña —por ejemplo, una tienda en línea o una consultora— e identifica cinco activos de tipos distintos.
2. Para cada activo, indica una amenaza, una vulnerabilidad posible y qué propiedad de seguridad podría verse afectada.
3. Valora probabilidad e impacto con la matriz de este tema y explica qué incertidumbres tiene tu valoración.
4. Propón una medida preventiva, una de detección y una de respuesta o recuperación. Indica qué riesgo residual quedaría.
5. Decide qué riesgo tratarías primero y justifica la prioridad ante la dirección de la organización.

Para profundizar en el análisis completo, continúa con Análisis de riesgos y Plan Director de Seguridad.

Bibliografía y fuentes

• Normativa del módulo de Incidentes de Ciberseguridad: RA 1 y criterio de evaluación 1.a.
• INCIBE, Gestión de riesgos: una guía de aproximación para el empresario.
• CVE Program: identificadores y publicaciones de vulnerabilidades conocidas.
• National Vulnerability Database (NVD), NIST: información complementaria y análisis de vulnerabilidades.
• INCIBE-CERT, vulnerabilidades y avisos del CCN-CERT: fuentes de avisos y recomendaciones.

Presentación

• IS-U1.1.1 - Principios generales