Tema 28. Conceptos de seguridad de los sistemas de información. Seguridad física. Seguridad lógica. Amenazas y vulnerabilidades. Técnicas criptográficas y protocolos seguros. Mecanismos de firma digital. Infraestructura física de un CPD: acondicionamiento y equipamiento. Sistemas de gestión de incidencias. Control remoto de puestos de usuario.

1. Conceptos de seguridad de los sistemas de información

1. Conceptos de seguridad de los sistemas de información

🎯 Idea clave

• La seguridad de sistemas de información protege cinco dimensiones fundamentales: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
• Un sistema informático seguro debe proteger la totalidad de sus componentes: hardware, software, datos, comunicaciones, procedimientos y personas.
• En la Administración Pública española, el Esquema Nacional de Seguridad (Real Decreto 311/2022) constituye el marco normativo de referencia obligatorio.
• La seguridad debe abordarse como un proceso gestionado, documentado y verificable, no limitándose a aspectos meramente técnicos.
• El ENS articula su mandato en principios básicos, requisitos mínimos, medidas de seguridad, categorías de sistemas y mecanismos de auditoría.

📚 Desarrollo

Dimensiones fundamentales. La seguridad de los sistemas de información se materializa en la protección de cinco atributos esenciales: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Estas dimensiones constituyen el objetivo último de toda medida de seguridad aplicada a los activos informacionales.

Marco regulatorio en la AAPP. El sector público español se rige por el Esquema Nacional de Seguridad, regulado mediante el Real Decreto 311/2022. Este marco establece la política de seguridad en la utilización de medios electrónicos y resulta vinculante para las Administraciones Públicas.

Gestión documentada. La seguridad debe comprenderse como un proceso gestionado, documentado y verificable. No basta con la implementación técnica de controles; es preciso que exista trazabilidad en la aplicación de medidas y capacidad de auditoría sobre su efectividad.

Alcance de protección. Un sistema informático seguro debe proteger la totalidad de sus elementos constitutivos: hardware físico, software ejecutable, datos almacenados o transmitidos, infraestructuras de comunicaciones, procedimientos operativos y los propios usuarios que interactúan con el sistema.

Estructura normativa. El Esquema Nacional de Seguridad articula su mandato en principios básicos, requisitos mínimos obligatorios, catálogos de medidas de seguridad, clasificación por categorías de sistemas y mecanismos formales de auditoría o autoevaluación.

🧩 Elementos esenciales

• Confidencialidad: garantía de que la información solo es accesible para personas autorizadas.
• Integridad: aseguramiento de que los datos no sufren alteraciones no autorizadas.
• Disponibilidad: garantía de acceso a la información y los sistemas cuando se requieren legítimamente.
• Autenticidad: certeza sobre la identidad de usuarios, procesos o datos que interactúan en el sistema.
• Trazabilidad: capacidad de auditar y registrar la actividad realizada sobre los sistemas.
• ENS: Esquema Nacional de Seguridad, marco normativo del sector público español regulado por Real Decreto 311/2022.
• Gestión verificable: requisito de que la seguridad sea documentada y sometida a mecanismos de auditoría.

🧠 Recuerda

• Cinco dimensiones: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
• El ENS es el marco obligatorio en la Administración Pública española mediante el RD 311/2022.
• La seguridad debe ser gestionada, documentada y verificable, no solo técnica.
• Protege hardware, software, datos, comunicaciones, procedimientos y personas.
• Incluye principios, requisitos mínimos, medidas, categorías de sistemas y auditoría.
• Un sistema informático integra componentes físicos y lógicos que requieren protección integral.

2. Seguridad física

2. Seguridad física

🎯 Idea clave

• La seguridad física constituye un subsistema auxiliar esencial que garantiza la disponibilidad de los recursos tecnológicos en un CPD.
• El acceso a las instalaciones debe limitarse estrictamente, registrarse documentalmente y revisarse periódicamente.
• Los riesgos físicos principales incluyen incendios, inundaciones, polvo, vibraciones y manipulaciones indebidas de equipos.
• La ubicación del centro debe seleccionarse minimizando riesgos de accesos no autorizados y dependencias físicas vulnerables.
• La gestión segura de la retirada de equipos físicos es necesaria para evitar fugas de información residual.

📚 Desarrollo

Subsistema integrado. La seguridad física forma parte de los subsistemas auxiliares de un Centro de Procesamiento de Datos, junto con la energía eléctrica, la climatización y la monitorización. Su correcta implementación condiciona directamente la disponibilidad, continuidad y capacidad de crecimiento de los servicios digitales prestados.

Control de accesos. El ingreso a las instalaciones físicas debe limitarse exclusivamente a personal autorizado. Es necesario establecer mecanismos de registro que documenten quién accede y cuándo, así como realizar revisiones periódicas de los permisos otorgados para mantener la integridad del perímetro seguro.

Riesgos ambientales. La infraestructura debe protegerse contra amenazas físicas concretas: incendios, entrada de agua, acumulación de polvo, vibraciones externas y obras no controladas. Estos elementos pueden comprometer tanto los equipos informáticos como los sistemas de cableado estructurado.

Protección perimetral. La ubicación del CPD debe seleccionarse reduciendo al mínimo los riesgos de accesos indebidos y evitando dependencias físicas frágiles. El diseño arquitectónico debe integrar barreras físicas que dificulten intrusiones y manipulaciones no autorizadas.

Gestión de ciclo de vida. Todos los equipos físicos deben mantenerse en un inventario detallado que incluya ubicación, responsable y criticidad. La retirada de equipos obsoletos debe seguir procedimientos rigurosos de borrado de datos, actualización documental y gestión segura de residuos electrónicos.

Continuidad física. La seguridad física no se limita a la prevención de intrusiones, sino que abarca la protección contra daños accidentales o ambientales que puedan interrumpir el servicio. La monitorización constante del entorno físico es necesaria para detectar anomalías antes de que afecten a los sistemas.

🧩 Elementos esenciales

• Acceso restringido: La entrada al CPD debe limitarse mediante controles físicos que impidan el paso de personal no autorizado.
• Registro documental: Todos los accesos deben quedar registrados para permitir auditorías posteriores y trazabilidad.
• Revisión periódica: Los permisos de acceso deben revisarse regularmente para eliminar autorizaciones obsoletas.
• Protección contra incendios: Sistemas de detección y extinción que minimicen daños a equipos electrónicos.
• Prevención de inundaciones: Medidas de protección ante filtraciones y acumulación de agua en las instalaciones.
• Control de partículas: Eliminación de polvo y contaminantes que puedan afectar el funcionamiento de servidores.
• Inventario físico: Documentación exhaustiva de equipos, su ubicación en racks, número de serie y responsable asignado.
• Borrado seguro: Procedimientos obligatorios de eliminación de datos antes de la retirada definitiva de equipos.
• Gestión de residuos: Protocolos para el desmantelamiento seguro de hardware que garanticen la destrucción de soportes de información.

🧠 Recuerda

• Sin seguridad física no existe protección real de la información, independientemente de las medidas lógicas implementadas.
• El acceso físico no registrado es una vulnerabilidad crítica difícil de detectar a posteriori.
• Agua y fuego son los enemigos principales de la infraestructura tecnológica.
• Un disco olvidado en un servidor retirado puede producir una fuga de información grave.
• La seguridad física debe coordinarse con la climatización y la energía para garantizar continuidad.
• Los procedimientos de retirada de equipos son parte integral de la seguridad física del ciclo de vida.
• La monitorización ambiental permite anticipar problemas antes de que causen daños irreversibles.

3. Seguridad lógica

3. Seguridad lógica

🎯 Idea clave

• La seguridad lógica comprende el conjunto de controles software, procedimentales y criptográficos destinados a proteger la información, los sistemas que la procesan y los servicios que la entregan.
• A diferencia de la seguridad física, que opera sobre el entorno material, la seguridad lógica actúa sobre la capa inmaterial: código, datos, identidades digitales y protocolos de comunicación.
• En el ámbito de las Administraciones Públicas constituye un mandato normativo derivado del Esquema Nacional de Seguridad regulado por el Real Decreto 311/2022 y la Ley 40/2015.
• No debe entenderse como una mera lista de herramientas aisladas, sino como una arquitectura coherente que exige conocer los activos, los accesos permitidos, los privilegios asignados y la actividad registrada.
• Su implementación efectiva requiere el despliegue de medidas proporcionadas a los riesgos, incluyendo autenticación, control de acceso, integridad y actualización de sistemas.

📚 Desarrollo

Definición y ámbito. La seguridad lógica engloba el conjunto de controles software, procedimentales y criptográficos cuya finalidad es proteger la información, los sistemas que la procesan y los servicios que la entregan frente a accesos no autorizados, alteraciones, destrucción o revelación indebida. Su operativa se centra en elementos inmateriales como el código, las identidades digitales, las configuraciones de seguridad y las políticas de comportamiento de usuarios y aplicaciones.

Distinción con la seguridad física. Mientras la seguridad física actúa sobre el entorno material —edificios, salas técnicas y hardware—, la seguridad lógica opera exclusivamente sobre el plano digital: cuentas de usuario, permisos de acceso, configuraciones de software, comunicaciones de red y registros de actividad. Esta dimensión resulta fundamental para garantizar la confidencialidad e integridad de los datos procesados electrónicamente.

Marco normativo aplicable. En el contexto de la Administración General del Estado y del resto de Administraciones Públicas, la seguridad lógica sostiene el ejercicio de derechos ciudadanos, particularmente el derecho a relacionarse electrónicamente con las Administraciones. Su implementación constituye un mandato normativo establecido por el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, y se ve reforzada por la transposición de la Directiva NIS2 para entidades esenciales e importantes, coexistiendo con marcos voluntarios como la ISO/IEC 27001.

Enfoque arquitectónico. No debe entenderse la seguridad lógica como un conjunto de herramientas aisladas. Un antivirus, un cortafuegos o una contraseña solo resultan eficaces si forman parte de una arquitectura coherente y bien diseñada. Esta aproximación exige conocer qué activos existen en el sistema, quién puede acceder a ellos, qué privilegios posee cada usuario, cómo se autentican las identidades y qué actividades quedan registradas para su posterior auditoría.

Requisitos operativos fundamentales. La implementación práctica de la seguridad lógica demanda el establecimiento de configuraciones seguras, la aplicación rigurosa de actualizaciones de sistemas y la capacidad de respuesta ante incidentes de seguridad. Estos elementos constituyen la base sobre la que se construye la protección efectiva de los activos informáticos frente a amenazas y vulnerabilidades.

Principios del Esquema Nacional de Seguridad. El ENS establece requisitos específicos que configuran el núcleo de la seguridad lógica en el sector público: el principio de mínimo privilegio, el control de acceso basado en necesidades operativas, la garantía de integridad de datos y sistemas, la protección tanto de la información almacenada como de la que circula en tránsito, el registro detallado de actividad, la detección de código dañino, la prevención específica para sistemas interconectados, la gestión formalizada de incidentes y los mecanismos de continuidad operativa.

🧩 Elementos esenciales

• Controles software, procedimentales y criptográficos: conjunto de mecanismos técnicos y organizativos que protegen sistemas, aplicaciones y datos contra accesos no autorizados y alteraciones.
• Seguridad física vs. lógica: mientras la primera protege el entorno material (edificios, hardware), la segunda opera sobre el plano digital (código, configuraciones, identidades).
• Mínimo privilegio: principio por el cual los usuarios y procesos solo reciben los permisos estrictamente necesarios para desarrollar sus funciones, limitando el impacto de posibles compromisos.
• Control de acceso: mecanismos que regulan quién puede acceder a qué recursos, bajo qué condiciones y con qué niveles de autorización.
• Protección de información almacenada y en tránsito: medidas destinadas a salvaguardar la confidencialidad e integridad de los datos tanto en reposo como durante su comunicación entre sistemas.
• Registro de actividad: sistemas de trazabilidad que documentan las operaciones realizadas sobre los activos informáticos para fines de auditoría y detección de incidentes.
• Detección de código dañino: controles específicos orientados a identificar y neutralizar software malicioso que pueda comprometer los sistemas o la información.
• Prevención en sistemas interconectados: medidas de seguridad particularizadas para entornos donde múltiples sistemas comparten redes o recursos, incrementando la superficie de exposición.
• Gestión de incidentes: procedimientos establecidos para la identificación, valoración, respuesta y recuperación ante situaciones que afecten a la seguridad de la información.
• Continuidad: mecanismos que garantizan la disponibilidad de los servicios y la recuperación de la información ante interrupciones o desastres.

🧠 Recuerda

• La seguridad lógica protege la información y los servicios mediante controles sobre el plano digital, no físico.
• Su base normativa en España es el Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad.
• No baja con instalar antivirus o cortafuegos; se requiere una arquitectura de seguridad coherente e integral.
• El principio de mínimo privilegio limita los accesos a lo estrictamente necesario para cada función.
• Debe registrarse toda la actividad relevante para mantener la trazabilidad y facilitar la auditoría.
• La Directiva NIS2 refuerza estas obligaciones para entidades esenciales e importantes.
• La seguridad lógica incluye protección de datos tanto cuando están almacenados como cuando circulan por redes.
• La detección de código dañino y la gestión de incidentes son componentes imprescindibles del marco de seguridad.

4. Amenazas y vulnerabilidades

4. Amenazas y vulnerabilidades

🎯 Idea clave

• Una amenaza es la causa potencial de un incidente no deseado que puede producir daño a un activo o a una organización.
• Una vulnerabilidad es la debilidad de un activo que puede ser explotada por una o varias amenazas.
• El riesgo surge de la combinación entre la probabilidad de que una amenaza explote una vulnerabilidad y el impacto resultante.
• La taxonomía MAGERIT v3 clasifica las amenazas en cuatro familias principales más una categoría transversal organizativa.
• Las contramedidas o salvaguardas son los mecanismos que reducen el riesgo disminuyendo la probabilidad o eliminando la vulnerabilidad.

📚 Desarrollo

Definición de amenaza. Una amenaza constituye la causa potencial de un incidente no deseado susceptible de producir daño a un activo o a una organización. Se trata de un agente externo o interno, que puede ser humano, técnico o natural, que posee capacidad para materializar un evento adverso contra los sistemas de información y comprometer la seguridad de la información almacenada o procesada.

Concepto de vulnerabilidad. La vulnerabilidad representa la debilidad de un activo o conjunto de activos que puede ser explotada por una o varias amenazas. Estas debilidades residen dentro del sistema, ya sean derivadas de software defectuoso, configuraciones incorrectas, procedimientos ausentes o formación insuficiente del personal autorizado que opera los equipos.

El riesgo y su composición. El riesgo se define como la combinación entre la probabilidad de que una amenaza explote una vulnerabilidad y el impacto resultante sobre los objetivos de la organización. Suele expresarse como producto cualitativo o cuantitativo entre la probabilidad del evento adverso y las consecuencias negativas sobre los activos de información.

Impacto y contramedidas. El impacto es la consecuencia adversa sobre los activos, afectando a la confidencialidad, integridad, disponibilidad, autenticidad o trazabilidad de la información. Las contramedidas o salvaguardas son los mecanismos, controles o procedimientos que reducen el riesgo, disminuyendo la probabilidad de materialización de la amenaza o eliminando la vulnerabilidad existente.

Taxonomía de amenazas humanas. La clasificación más empleada en la Administración General del Estado es la de MAGERIT v3, que distingue entre amenazas humanas intencionadas, que comprenden acciones deliberadas como intrusiones, fraudes, sabotajes o denegaciones de servicio, y amenazas humanas no intencionadas derivadas de errores del personal autorizado.

Amenazas técnicas y ambientales. Las amenazas técnicas engloban fallos del hardware, errores de software, agotamiento de recursos, caídas de suministro eléctrico e interferencias electromagnéticas. Las amenazas ambientales abarcan desastres naturales como inundaciones, terremotos, incendios y tormentas, así como desastres industriales derivados de escapes químicos o explosiones en las proximidades.

Amenazas organizativas. Existe una quinta categoría transversal reconocida como amenazas organizativas, derivadas de carencias de gobierno como la falta de políticas, ausencia de segregación de funciones, dependencias críticas de proveedores únicos, gestión deficiente del cambio o inexistencia de planes de continuidad que garanticen la resiliencia de los servicios.

🧩 Elementos esenciales

• Amenaza: Causa potencial de incidente no deseado con capacidad para producir daño a activos u organizaciones.
• Vulnerabilidad: Debilidad interna de un activo susceptible de ser explotada por amenazas, ya sea por software, configuraciones o procedimientos.
• Riesgo: Combinación de la probabilidad de explotación de una vulnerabilidad por una amenaza y el impacto resultante sobre la organización.
• Impacto: Consecuencia adversa sobre las dimensiones de seguridad de la información: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
• Contramedida: Mecanismo, control o procedimiento que reduce el riesgo disminuyendo la probabilidad de la amenaza o eliminando la vulnerabilidad.
• MAGERIT v3: Marco de referencia utilizado en la Administración General del Estado para la clasificación sistemática de amenazas.
• Amenazas humanas intencionadas: Acciones deliberadas dirigidas a comprometer sistemas, como intrusiones, fraudes, robos de información o suplantaciones.
• Amenazas humanas no intencionadas: Errores, omisiones y descuidos del personal autorizado, incluyendo borrados accidentales o configuraciones erróneas.
• Amenazas técnicas: Fallos de hardware, errores de software, agotamiento de recursos, problemas de suministro eléctrico y obsolescencia.
• Amenazas ambientales: Desastres naturales e industriales que afectan las instalaciones, como inundaciones, incendios, terremotos o escapes químicos.
• Amenazas organizativas: Carencias de gobierno como falta de políticas, dependencias de proveedores únicos o ausencia de planes de continuidad.

🧠 Recuerda

• La amenaza proviene del exterior o es un agente externo/interno con capacidad de causar daño.
• La vulnerabilidad reside dentro del sistema como debilidad explotable.
• El riesgo es el producto de la probabilidad de explotación y el impacto resultante.
• MAGERIT v3 es la taxonomía estándar en la Administración General del Estado.
• Las cuatro familias principales son: humanas intencionadas, humanas no intencionadas, técnicas y ambientales.
• Las amenazas organizativas constituyen una quinta categoría transversal por carencias de gobierno.
• Las contramedidas reducen el riesgo atacando la probabilidad de la amenaza o la existencia de la vulnerabilidad.
• El impacto se mide sobre las cinco dimensiones: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
• Las amenazas humanas no intencionadas derivan de errores del personal autorizado, no de actores maliciosos externos.
• Las amenazas técnicas incluyen fallos de infraestructura y recursos, no solo ciberataques.

5. Técnicas criptográficas y protocolos seguros

5. Técnicas criptográficas y protocolos seguros

🎯 Idea clave

• La criptografía es la disciplina que estudia las técnicas matemáticas para proteger la información frente a accesos no autorizados y garantizar su integridad.
• Proporciona servicios esenciales como confidencialidad, autenticación de origen, integridad de datos y no repudio en comunicaciones electrónicas.
• Debe integrarse como una capa más de seguridad junto con la gestión de accesos, la configuración segura y los registros de actividad.
• Los protocolos seguros aplican estas técnicas a casos prácticos como la navegación web, la administración remota de servidores y las comunicaciones por correo electrónico.
• El Real Decreto 311/2022 establece la obligatoriedad de proteger la información almacenada y en tránsito mediante cifrado y mecanismos de autenticación.
• La seguridad criptográfica depende del uso de algoritmos vigentes, una gestión adecuada de claves y la correcta configuración de los protocolos.

📚 Desarrollo

Definición y alcance. La criptografía constituye el fundamento técnico sobre el que se construyen las garantías digitales en la Administración Pública. Mediante transformaciones matemáticas, permite proteger la información frente a lecturas no autorizadas, manipulaciones, suplantaciones de identidad y violaciones de la integridad. Esta disciplina no opera de forma aislada, sino que funciona como una capa de seguridad que se combina necesariamente con la gestión de accesos, la configuración segura de sistemas y el registro de actividad.

Servicios proporcionados. Las técnicas criptográficas ofrecen mecanismos para garantizar la confidencialidad de los datos, mantener la integridad de la información transmitida o almacenada, autenticar el origen de las comunicaciones y establecer sistemas de no repudio. Además, permiten la protección de contraseñas, el establecimiento seguro de claves y la protección general de las comunicaciones entre sistemas y usuarios.

Protocolos de aplicación. Los protocolos seguros implementan estas técnicas para resolver necesidades prácticas específicas: el protocolo HTTPS asegura la navegación web, SSH permite la administración remota de servidores, IPsec facilita la creación de redes privadas virtuales, y otros mecanismos protegen el correo electrónico y las interfaces de programación de aplicaciones.

Marco normativo. El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, establece de manera imperativa la protección de la información tanto en tránsito como almacenada. Esto implica el uso obligatorio de cifrado, mecanismos de integridad y sistemas de autenticación para las Administraciones Públicas, que deben custodiar información personal, sensible o reservada.

Requisitos de efectividad. La criptografía solo resulta segura cuando se emplean algoritmos actualizados y vigentes, se gestionan adecuadamente las claves criptográficas y se configuran correctamente los protocolos. Esta gestión debe ser documentada y verificable, no meramente técnica, especialmente en sistemas categorizados con niveles medio y alto de seguridad que requieren auditorías periódicas.

Contexto institucional. En el sector público español, el Centro Criptológico Nacional publica guías técnicas que desarrollan estas medidas, mientras que el Instituto Nacional de Ciberseguridad colabora en la respuesta a incidentes. Las administraciones están obligadas a mantener una conformidad declarada y publicada respecto al ENS.

🧩 Elementos esenciales

• Confidencialidad: servicio criptográfico que garantiza que la información solo sea accesible para las personas autorizadas, impidiendo la lectura por terceros.
• Integridad: mecanismo que asegura que los datos no han sido alterados o modificados de manera no autorizada durante su almacenamiento o transmisión.
• Autenticación de origen: proceso que permite verificar la identidad del emisor de una comunicación o de la fuente de un dato.
• No repudio: servicio que impide al emisor negar haber realizado una acción o enviado un mensaje, proporcionando evidencia fehaciente.
• Cifrado de almacenamiento: protección de la información guardada en discos y servidores mediante técnicas que impiden el acceso ante pérdida o robo físico.
• Protocolo HTTPS: aplicación de técnicas criptográficas para proteger la navegación web y el intercambio de datos en portales de la sede electrónica.
• Protocolo SSH: mecanismo que utiliza cifrado para la administración segura de servidores de forma remota.
• Protocolo IPsec: conjunto de protocolos que permite establecer redes privadas virtuales con protección criptográfica de las comunicaciones.
• Gestión de claves: conjunto de procesos para la generación, almacenamiento, distribución y revocación de claves criptográficas, esencial para mantener la seguridad.
• Algoritmos vigentes: requisito fundamental que implica utilizar estándares criptográficos actualizados y descartar aquellos que presentan vulnerabilidades conocidas.

🧠 Recuerda

• La criptografía transforma matemáticamente la información para protegerla de accesos no autorizados.
• Proporciona cuatro servicios básicos: confidencialidad, integridad, autenticación y no repudio.
• No es un elemento aislado, sino una capa que se integra con otros controles de seguridad.
• Los protocolos como HTTPS, SSH e IPsec aplican estas técnicas a usos prácticos cotidianos.
• El RD 311/2022 obliga a las Administraciones Públicas a proteger la información mediante cifrado.
• La seguridad criptográfica exige algoritmos vigentes, buena gestión de claves y configuración adecuada.
• La protección debe aplicarse tanto a la información almacenada como a la que está en tránsito.
• Las guías CCN-STIC del CCN-CERT desarrollan las medidas criptográficas para el sector público.
• Los sistemas de categoría media y alta requieren auditorías de seguridad bienales.
• La gestión de la seguridad debe ser documentada, verificable y no solo técnica.

6. Mecanismos de firma digital

6. Mecanismos de firma digital

🎯 Idea clave

• La firma digital constituye la técnica criptográfica basada en funciones hash y cifrado asimétrico, mientras que la firma electrónica es el concepto jurídico que regula sus efectos legales.
• El proceso técnico combina el cálculo de un resumen del documento mediante algoritmos hash y su cifrado con la clave privada del firmante.
• Las funciones jurídicas fundamentales son garantizar la autoría, la integridad del documento y el no repudio de la firma.
• Los algoritmos estándar incluyen RSA con claves de al menos 2.048 bits, ECDSA sobre curvas P-256 y P-384, y EdDSA, junto con funciones hash SHA-256, SHA-384 y SHA-512.
• ETSI normaliza los formatos de firma en CAdES, XAdES, PAdES, ASiC y JAdES, con niveles de longevidad B, T, LT y LTA.
• Las modalidades de implementación abarcan desde tarjetas criptográficas como el DNIe hasta firmas centralizadas en nube con módulos HSM.

📚 Desarrollo

Distinción conceptual. La firma digital es la técnica criptográfica que emplea criptografía asimétrica y funciones hash para vincular un documento a una clave privada, mientras que la firma electrónica es el concepto jurídico regulado por el Reglamento eIDAS que define los efectos legales de dichos mecanismos.

Proceso de generación. El mecanismo comienza calculando una huella o resumen del documento mediante una función hash criptográfica como SHA-256, SHA-384 o SHA-512. Este resumen, de longitud fija y determinista, se cifra posteriormente con la clave privada del firmante, generando la firma digital que se adjunta al documento original.

Verificación criptográfica. Para validar la firma, el receptor calcula nuevamente el hash del documento recibido y descifra la firma utilizando la clave pública del firmante. La coincidencia entre ambos resúmenes demuestra que el documento no ha sido alterado desde la firma y que únicamente el titular de la clave privada pudo generarla.

Algoritmos vigentes. Los estándares actuales incluyen RSA-PSS o RSA-PKCS#1 v1.5 con claves de al menos 2.048 bits, ECDSA sobre curvas elípticas P-256 y P-384, y EdDSA con curva Ed25519. Estos algoritmos asimétricos garantizan la seguridad del proceso cuando se combinan con las funciones hash mencionadas.

Infraestructura de clave pública. Los mecanismos se apoyan en certificados X.509 versión 3 emitidos por autoridades de certificación dentro de una jerarquía PKI organizada en niveles Root, Intermediate y End-Entity. Estos certificados vinculan la clave pública a la identidad del firmante mediante extensiones como Key Usage y EKU.

Formatos normalizados. ETSI define formatos específicos para garantizar la interoperabilidad: CAdES para estructuras CMS, XAdES para XML, PAdES para PDF, ASiC para contenedores asociativos y JAdES para JSON. Cada formato soporta niveles de longevidad probatoria: Básico (B), con marca temporal (T), con datos de revocación a largo plazo (LT) y con archivo de revocación para largo plazo (LTA).

Modalidades de despliegue. Los mecanismos se implementan mediante tarjetas criptográficas como el DNIe, sistemas de firma centralizada en nube como Cl@ve Firma con módulos HSM, aplicaciones de escritorio como AutoFirma, y sistemas de firma a distancia que utilizan biometría grafométrica y contraseñas de un solo uso (OTP).

🧩 Elementos esenciales

• Función hash: Algoritmo criptográfico que genera un resumen único, determinista y de longitud fija del documento, capaz de detectar cualquier alteración posterior.
• Cifrado asimétrico: Sistema basado en pares de claves matemáticamente relacionadas, donde la clave privada sirve para firmar y la clave pública para verificar.
• Integridad: Propiedad garantizada por el hash que asegura que el contenido del documento no ha sido modificado desde el momento de la firma.
• Autenticación: Función que vincula la firma al titular exclusivo de la clave privada, demostrando la autoría del documento.
• No repudio: Evidencia técnica y jurídica que impide al firmante negar haber realizado la firma, especialmente cuando se emplean certificados cualificados.
• Certificado X.509 v3: Documento digital emitido por una autoridad de certificación que vincula la clave pública a la identidad de una persona física o jurídica.
• PKI: Infraestructura de clave pública organizada jerárquicamente que gestiona la emisión, renovación y revocación de certificados mediante políticas de certificación definidas.
• Formato CAdES: Estándar ETSI EN 319 122 para firmas electrónicas avanzadas basadas en sintaxis CMS y PKCS#7.
• Formato XAdES: Estándar ETSI EN 319 132 para firmas electrónicas en documentos XML que garantizan la integridad estructural.
• Formato PAdES: Estándar ETSI EN 319 142 para firmas integradas en documentos PDF que permanecen válidas visual y criptográficamente.
• Nivel LTA: Nivel de longevidad avanzada que incorpora sellos de tiempo y archivos de revocación para mantener la validez probatoria durante décadas.
• OCSP: Protocolo de estado de certificados en línea que permite verificar en tiempo real si un certificado ha sido revocado.

🧠 Recuerda

• La firma digital es la técnica criptográfica, mientras que la firma electrónica es el concepto jurídico regulado por eIDAS.
• Firmar digitalmente no implica necesariamente cifrar el contenido del documento.
• El hash debe ser resistente a colisiones e imposible de invertir para garantizar la seguridad.
• Las claves RSA deben tener al menos 2.048 bits para considerarse seguras según los estándares actuales.
• La clave privada debe permanecer siempre bajo el control exclusivo del firmante en dispositivos seguros.
• Los formatos ETSI aseguran que las firmas sean interoperables entre diferentes sistemas y países.
• El nivel Básico ofrece menos garantías de largo plazo que los niveles LT o LTA.
• La firma cualificada requiere certificado cualificado y dispositivo seguro de creación de firma.
• El sello de tiempo cualificado añade certeza irrefutable sobre el momento exacto de la firma.
• La firma centralizada en nube utiliza HSM para mantener la seguridad de las claves sin comprometer su protección.

7. Infraestructura física de un CPD: acondicionamiento y equipamiento

7. Infraestructura física de un CPD: acondicionamiento y equipamiento

🎯 Idea clave

• Un Centro de Procesamiento de Datos (CPD) es la instalación física especializada donde se concentran los recursos tecnológicos de una organización y los subsistemas auxiliares que garantizan su operatividad continua.
• La infraestructura física condiciona directamente la disponibilidad, continuidad, seguridad y capacidad de crecimiento de los servicios digitales.
• Los CPD se clasifican en niveles de fiabilidad Tier I a IV según el Uptime Institute, con disponibilidades que oscilan entre el 99,671 % y el 99,995 %.
• El acondicionamiento requiere edificios resistentes, sistemas de climatización y eléctricos redundantes, cableado estructurado y medidas de seguridad física integral.
• La eficiencia energética se mide mediante indicadores como el PUE, buscando valores cercanos a 1,0 en instalaciones optimizadas.
• La gestión documentada del inventario, la capacidad y la retirada segura de equipos constituye un elemento crítico para la operación y seguridad del centro.

📚 Desarrollo

Definición y alcance. Un CPD, también denominado Data Center, es el espacio físico destinado a alojar sistemas informáticos, comunicaciones, almacenamiento y servicios auxiliares necesarios para prestar servicios digitales. Lejos de ser una simple sala de ordenadores, constituye una infraestructura crítica donde se integran arquitectura, electricidad, climatización, protección contra incendios y seguridad física.

Clasificación y niveles de disponibilidad. Los centros se categorizan por tipo (enterprise, colocation, hyperscale, edge) y por niveles de fiabilidad Tier I a IV según el Uptime Institute, o Rated 1-4 según TIA-942. Cada nivel determina una disponibilidad específica, desde el 99,671 % en Tier I hasta el 99,995 % en Tier IV, condicionando la arquitectura de redundancia necesaria.

Acondicionamiento físico. El diseño exige una ubicación segura con edificios resistentes e ignífugos, implementando sectorización clara entre áreas operativas y auxiliares. Se requieren suelos y techos técnicos que faciliten el cableado y la distribución de servicios, minimizando riesgos de agua, fuego, accesos indebidos y vibraciones.

Sistemas críticos de soporte. La climatización sigue los estándares ASHRAE (temperatura recomendada 18-27 °C, objetivo 22-25 °C; humedad 40-60 %), utilizando equipos CRAC/CRAH, técnicas de free cooling, confinamiento de pasillos calientes y fríos, e incluso refrigeración líquida para altas densidades. El sistema eléctrico incorpora doble acometida, UPS estáticos o rotativos, grupos electrógenos con autonomía de 24-72 horas, y esquemas de redundancia N, N+1, 2N y 2N+1.

Equipamiento y gestión documental. El equipamiento principal incluye servidores, sistemas de almacenamiento, equipos de red y dispositivos de seguridad, alojados en racks de 19" medidos en unidades U. El equipamiento auxiliar abarca PDUs, SAI, sensores ambientales y sistemas de extinción. Es obligatorio mantener un inventario detallado que refleje ubicación física, identificadores, responsables, conexiones y criticidad, así como monitorizar la capacidad de espacio, energía y carga térmica.

Seguridad y eficiencia. La seguridad física se articula mediante control biométrico, badges, mantraps, CCTV y vigilancia continua, formalizada en el Esquema Nacional de Seguridad mediante la medida mp.if. La eficiencia energética se cuantifica con el indicador PUE (Power Usage Effectiveness), donde valores cercanos a 1,0 representan la máxima eficiencia, siendo típicos 1,5 en instalaciones convencionales y menores de 1,2 en hyperscale.

Retirada y riesgos. La retirada de equipos debe seguir procedimientos estrictos que incluyen borrado seguro de datos, eliminación de credenciales, actualización del inventario y gestión de residuos. Los riesgos físicos relevantes comprenden incendios, filtraciones de agua, acumulación de polvo, obras cercanas y manipulación indebida, requiriendo controles de acceso limitado, registrado y revisado.

Normativa de referencia. El diseño y operación se rigen por estándares internacionales como TIA-942, EN 50600, EIA/TIA 568 y las recomendaciones ASHRAE, además del cumplimiento del Real Decreto 311/2022 en el ámbito de la seguridad de la información para las administraciones públicas.

🧩 Elementos esenciales

• Tier I a IV: clasificación del Uptime Institute que determina la disponibilidad del CPD desde 99,671 % hasta 99,995 %.
• ASHRAE: estándar térmico que recomienda mantener temperaturas entre 18-27 °C y humedad del 40-60 %.
• PUE: métrica de eficiencia energética (Power Usage Effectiveness) donde 1,0 es el valor ideal y 1,5 el típico en instalaciones estándar.
• Redundancia 2N: configuración eléctrica con duplicidad total de componentes para garantizar la continuidad ante fallos.
• Racks 19": estándar de alojamiento de equipos medidos en unidades U, con cableado estructurado según EIA/TIA 568.
• Inventario físico: registro obligatorio de ubicación, serie, responsable, alimentación y criticidad de cada componente.
• Mantrap: dispositivo de seguridad física que impide el paso simultáneo de dos personas en el control de acceso.
• Free cooling: técnica de climatización que aprovecha el aire exterior para reducir consumo energético.
• Direct-to-chip: sistema de refrigeración líquida aplicado a alta densidad de potencia por servidor.
• Medida mp.if: referencia del Esquema Nacional de Seguridad que formaliza los requisitos de seguridad física en CPDs.
• Retirada segura: procedimiento documentado para la baja de equipos incluyendo borrado de datos y gestión de residuos.
• Grupos electrógenos: sistemas de respaldo eléctrico con autonomía estándar de 24 a 72 horas para garantizar continuidad.

🧠 Recuerda

• Un CPD no es solo una sala de servidores, sino una infraestructura crítica integrada por múltiples subsistemas especializados.
• La disponibilidad real depende más del acondicionamiento físico que de la potencia bruta de los equipos informáticos.
• Los niveles Tier determinan la arquitectura de redundancia necesaria, no siendo todos los CPD iguales en criticidad.
• La climatización y el suministro eléctrico constituyen los sistemas auxiliares más críticos para la continuidad operativa.
• El cableado estructurado y la identificación documental facilitan el mantenimiento y reducen errores operativos.
• La seguridad física requiere controles biométricos, videovigilancia y limitación estricta de accesos.
• Sin inventario preciso no es posible gestionar mantenimientos, renovaciones ni planes de continuidad efectivos.
• La retirada de equipos sin borrado seguro representa un riesgo grave de fuga de información.
• Los indicadores PUE y WUE miden la eficiencia energética y hídrica del centro de datos.
• Las referencias TIA-942, EN 50600 y ASHRAE ordenan los requisitos técnicos de diseño y operación.

8. Sistemas de gestión de incidencias

8. Sistemas de gestión de incidencias

🎯 Idea clave

• Un sistema de gestión de incidencias es el conjunto de procesos, herramientas, roles, registros y procedimientos destinados a gestionar eventos que afectan a servicios, sistemas o usuarios.
• Su objetivo principal es restaurar el servicio normal lo antes posible, minimizar el impacto, mantener la trazabilidad completa y facilitar el aprendizaje organizativo.
• El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, exige disponer de procedimientos específicos de gestión de incidentes de seguridad en las Administraciones Públicas.
• Se distinguen incidencias técnicas, operativas y de seguridad, entendiendo que no toda incidencia es un ciberincidente, pero toda organización debe identificar cuándo una incidencia común tiene implicaciones de seguridad.
• La gestión requiere mecanismos de detección, criterios de clasificación, procedimientos de análisis y resolución, cauces de comunicación a partes interesadas y registro detallado de actuaciones.
• El estándar NIST SP 800-61 estructura la respuesta en fases consecutivas: preparación, detección y análisis, contención, erradicación, recuperación y actividad posterior.

📚 Desarrollo

Definición integral. Un sistema de gestión de incidencias constituye el marco organizativo que integra procesos, herramientas, roles, registros y procedimientos destinados a recibir, clasificar, priorizar, asignar, resolver, documentar y cerrar cualquier evento que perturbe el funcionamiento normal de los servicios tecnológicos.

Objetivos prioritarios. La finalidad esencial es la restauración del servicio en el menor tiempo posible, aunque el sistema debe también reducir el impacto negativo, garantizar la trazabilidad completa de las actuaciones realizadas y generar conocimiento aplicable a futuras situaciones similares.

Clasificación de eventos. En el entorno informático administrativo, una incidencia puede ser técnica, operativa o de seguridad, pudiendo afectar a puestos de usuario, aplicaciones, redes, centros de procesamiento de datos, bases de datos, certificados o servicios en la nube. La distinción precisa entre evento, incidencia, problema, solicitud y ciberincidente resulta fundamental para aplicar el protocolo correcto.

Exigencias del Esquema Nacional de Seguridad. El texto consolidado del ENS establece la obligatoriedad de disponer de procedimientos formalizados que incluyan mecanismos de detección, criterios objetivos de clasificación, metodologías de análisis y resolución, cauces de comunicación a las partes interesadas y registros detallados de todas las actuaciones realizadas.

Fases de la respuesta. Según la metodología NIST SP 800-61, el ciclo de gestión comprende la preparación previa, la detección y análisis inicial, la contención del daño, la erradicación de la causa, la recuperación de los sistemas y las actividades posteriores orientadas a mejorar los procesos.

Evidencias y cierre. Los tickets deben aportar trazabilidad completa mediante el registro de fechas, responsables, acciones ejecutadas y evidencias recopiladas. En el caso de ciberincidentes, resulta crucial preservar las evidencias digitales, activar los procedimientos de escalado y establecer las comunicaciones requeridas con las autoridades competentes.

🧩 Elementos esenciales

• Ticket: registro único que documenta el ciclo completo de vida de la incidencia, desde su apertura hasta su cierre definitivo.
• Priorización: determinación basada en la combinación de impacto y urgencia real, no en la insistencia del usuario solicitante.
• SLA y OLA: acuerdos de nivel de servicio y acuerdos operativos que deben alinearse con la criticidad de los sistemas y los recursos disponibles.
• Base de conocimiento: repositorio organizado de soluciones previas que permite reducir los tiempos de resolución y evitar reincidencias.
• Gestión de problemas: disciplina diferenciada de la gestión de incidencias que busca eliminar las causas raíz para evitar recurrencias.
• Escalado: mecanismo formal para elevar la incidencia a niveles superiores según su complejidad, gravedad o especialización requerida.
• Ciberincidente: incidencia con implicaciones específicas de seguridad que exige preservación de evidencias, análisis forense y comunicación a autoridades.
• Cierre documentado: finalización que requiere la documentación de la solución aplicada, su validación y el registro de acciones pendientes.

🧠 Recuerda

• El ENS convierte la gestión de incidencias en una obligación organizada y verificable, no en una reacción improvisada ante eventos adversos.
• La preparación constituye la primera fase del ciclo de respuesta según NIST SP 800-61.
• La trazabilidad completa es obligatoria y debe incluir fechas, responsables, acciones y evidencias recopiladas.
• Los ciberincidentes requieren procedimientos especiales de preservación de evidencias y comunicación a autoridades competentes.
• La prioridad se determina por impacto y urgencia, nunca por la presión del usuario afectado.
• La base de conocimiento y la gestión de problemas son herramientas preventivas que reducen la reincidencia.
• Documentar la solución, validarla y registrar acciones pendientes es requisito indispensable para cerrar correctamente cualquier incidencia.

9. Control remoto de puestos de usuario

9. Control remoto de puestos de usuario

🎯 Idea clave

• El control remoto permite operar sistemas informáticos desde ubicaciones externas al entorno físico controlado mediante protocolos específicos y canales seguros.
• Los mecanismos SSH y RDP proporcionan comunicaciones cifradas que sustituyen a protocolos obsoletos como Telnet, que carece de confidencialidad e integridad.
• La seguridad del acceso remoto exige autenticación robusta, cifrado de comunicaciones, autorización basada en privilegios mínimos y registro detallado de actividades.
• El control remoto seguro requiere verificación del dispositivo cliente, segmentación de accesos y capacidad de revocación inmediata de permisos.
• En el ámbito de las administraciones públicas, el control remoto debe alinearse con el Esquema Nacional de Seguridad y las políticas internas de ciberseguridad.
• Los servicios de acceso remoto abren puertas de administración que constituyen vectores de ataque prioritarios y demandan protección rigurosa y supervisión continua.

📚 Desarrollo

Definición y alcance. El control remoto de puestos de usuario permite que administradores o usuarios autorizados accedan a equipos informáticos desde ubicaciones externas al entorno físico controlado para realizar tareas de soporte, configuración o gestión. Esta capacidad resulta esencial para el teletrabajo, la continuidad operativa y la colaboración con terceros, pero transforma la red interna en un objetivo potencial si no se implementan salvaguardas que eviten convertirla en una extensión abierta.

Protocolos seguros. SSH (Secure Shell), cuya arquitectura se define en la RFC 4251, establece un canal cifrado para acceso por línea de comandos, túneles seguros y transferencia de archivos, sustituyendo a protocolos inseguros como Telnet que transmiten datos sin cifrar ni garantizar integridad. RDP (Remote Desktop Protocol) y las VPN (Redes Privadas Virtuales) cumplen funciones similares en entornos gráficos y de red respectivamente, siempre que se configuren siguiendo criterios de seguridad estrictos.

Riesgos habituales. La configuración deficiente de servicios remotos introduce vulnerabilidades críticas: contraseñas débiles, claves criptográficas sin protección adecuada, servicios expuestos indebidamente o dispositivos cliente comprometidos. Un canal cifrado resulta insuficiente si la autenticación es deficiente, los permisos otorgados son excesivos o no se registran las acciones realizadas durante la sesión para permitir auditorías posteriores.

Requisitos fundamentales. El control remoto debe garantizar la identidad del usuario mediante autenticación robusta, aplicar rigurosamente el principio de privilegios mínimos, cifrar todas las comunicaciones punto a punto y mantener registros detallados de actividad. Asimismo, resulta necesario segmentar el acceso a redes sensibles, supervisar las sesiones activas en tiempo real y disponer de mecanismos de revocación inmediata cuando se detecten anomalías.

Marco normativo público. En el sector público español, el control remoto debe alinearse con el Esquema Nacional de Seguridad y las políticas internas de ciberseguridad de cada organismo. Esto implica establecer controles específicos de usuarios, gestión rigurosa de sesiones con supervisión, actualización continua de sistemas y procedimientos específicos de respuesta ante incidentes relacionados con accesos no autorizados o compromisos de credenciales.

Protección del servicio técnico. Los servicios técnicos de acceso remoto abren puertas de administración que requieren protección especial y vigilancia continua. Se debe evitar absolutamente el uso de Telnet para gestión sensible en redes no controladas, implementar mecanismos de autenticación robustos y asegurar que únicamente dispositivos conformes con las políticas de seguridad puedan establecer conexiones con los puestos de trabajo internos.

🧩 Elementos esenciales

• SSH (Secure Shell): Protocolo que proporciona autenticación, cifrado e integridad para acceso remoto por línea de comandos y túneles seguros, sustituyendo a Telnet.
• Telnet: Protocolo histórico que transmite datos sin cifrar, inadecuado para administración sensible en redes no controladas.
• RDP (Remote Desktop Protocol): Mecanismo de escritorio remoto que permite control gráfico de puestos desde ubicaciones externas.
• VPN (Red Privada Virtual): Tecnología que establece canales cifrados para acceso remoto a recursos corporativos como si se estuviera en la red local.
• Autenticación robusta: Verificación de identidad mediante mecanismos seguros, evitando contraseñas débiles y protegiendo las claves criptográficas.
• Privilegios mínimos: Principio de otorgar únicamente los permisos estrictamente necesarios para la tarea específica de control remoto.
• Registro de actividad: Supervisión y almacenamiento de logs que documenten las acciones realizadas durante las sesiones de acceso remoto.
• Segmentación de acceso: Separación de redes y sistemas para limitar el alcance de un posible compromiso durante conexiones externas.
• Control del dispositivo: Verificación de que el equipo cliente cumple políticas de seguridad antes de permitir la conexión remota.
• Revocación de permisos: Capacidad de cancelar inmediatamente el acceso cuando se detecten anomalías o finalice la necesidad operativa.
• Esquema Nacional de Seguridad: Marco regulador que obliga a alinear el control remoto con controles específicos de usuarios, sesiones e incidentes.
• Gestión de sesiones: Control activo de las conexiones remotas establecidas, incluyendo supervisión en tiempo real y cierre por inactividad.

🧠 Recuerda

• SSH sustituye a Telnet por proporcionar cifrado e integridad en las comunicaciones.
• Un canal cifrado no basta sin autenticación fuerte y control de permisos.
• Telnet nunca debe usarse para administración sensible en redes públicas o no controladas.
• El acceso remoto debe alinearse con el Esquema Nacional de Seguridad en administraciones públicas.
• Los dispositivos clientes deben verificarse antes de permitir el acceso a la red interna.
• La segmentación limita el daño si se compromete una sesión remota.
• Registrar todas las actividades permite auditar y detectar intrusiones.
• La revocación inmediata es esencial ante la pérdida de credenciales o compromiso de cuentas.
• Los servicios de escritorio remoto requieren configuración segura para evitar accesos no autorizados.
• Las contraseñas débiles representan el principal vector de ataque en servicios SSH mal configurados.