Fundamentos de ciberseguridad y seguridad de la información
Este dominio evalúa los conceptos que sostienen todo lo demás: qué se protege, contra quién y con qué principios. Las preguntas suelen pedir clasificar un control, identificar el pilar afectado de la tríada CIA o separar amenaza, vulnerabilidad y riesgo.
Vocabulario que el examen mezcla
- Activo: recurso con valor (datos, servidores, credenciales, reputación, personas).
- Amenaza: causa potencial de daño (atacante, malware, incendio, error humano).
- Vulnerabilidad: debilidad explotable (parche ausente, contraseña débil, falta de procedimiento).
- Riesgo: probabilidad de que una amenaza explote una vulnerabilidad sobre un activo, multiplicada por el impacto.
- Incidente: materialización del riesgo. Un evento es cualquier suceso observable; no todo evento es incidente.
La seguridad de la información protege la información en cualquier soporte; la ciberseguridad se centra en sistemas, redes y el ciberespacio.
Tríada CIA y más allá
Confidencialidad (solo accede quien debe), integridad (el dato es exacto y completo, y las alteraciones se detectan) y disponibilidad (accesible cuando se necesita). Añade autenticidad (el origen es quien dice ser) y no repudio (no poder negar una acción), claves en firma digital y transacciones.
Principios de diseño
Mínimo privilegio, necesidad de saber, separación de funciones, defensa en profundidad, fallo seguro (denegar por defecto), superficie de ataque mínima y Zero Trust («nunca confiar, siempre verificar»). Los controles se clasifican por función (preventivo, detectivo, correctivo, disuasivo, compensatorio) y por naturaleza (administrativo, técnico, físico).
Ejemplo razonado
Un cajero recibe una llamada de alguien que se hace pasar por soporte técnico y le pide su contraseña «para actualizar el sistema». La entrega y días después hay transferencias no autorizadas. La amenaza es ingeniería social con suplantación (vishing); la vulnerabilidad combina ausencia de verificación de identidad y privilegios amplios; los activos afectados son credenciales, fondos y reputación. Se comprometen confidencialidad (credenciales) e integridad (transacciones). Controles: MFA (preventivo técnico), procedimiento de verificación por canal alterno y política de no compartir credenciales (preventivos administrativos), alertas de transacciones anómalas (detectivo), rotación de credenciales y bloqueo (correctivo). El riesgo residual persiste: los controles lo reducen, no lo eliminan.
Errores que cuestan puntos
Decir que el ransomware es una vulnerabilidad (es una amenaza). Confundir autenticación con autorización. Creer que cifrar garantiza integridad o disponibilidad. Suponer que un antivirus cubre el phishing. Presentar la política escrita como si fuera un control técnico. Afirmar que un control «elimina» el riesgo.