Seguridad informática y auditoría de sistemas
Núcleo conceptual
Se evalúan principios de seguridad, criptografía, control de acceso, amenazas y auditoría. Debes dominar la tríada CIA (confidencialidad, integridad, disponibilidad), autenticación vs. autorización, y no repudio. En criptografía: simétrica (AES) vs. asimétrica (RSA), funciones hash (SHA-256) y firmas digitales, además de TLS y certificados. En control de acceso: ACL, roles (RBAC) y mínimo privilegio. Amenazas: phishing, malware, inyección SQL, XSS, fuerza bruta, denegación de servicio; y defensas: validación de entrada, parametrización de consultas, cifrado en reposo y tránsito, MFA. Auditoría: registro de eventos, trazabilidad, separación de funciones, análisis de riesgos y controles preventivos/detectivos/correctivos.
Trampas frecuentes
- Confundir cifrado (confidencialidad) con hash (integridad); un hash no es reversible.
- Creer que la firma digital cifra el mensaje (firma con clave privada, verifica con pública).
- Mezclar autenticación (quién eres) con autorización (qué puedes hacer).
- Suponer que HTTPS elimina la inyección SQL (no valida entradas).
- Clasificar un registro de logs como control preventivo cuando es detectivo.
Ejemplo trabajado
Un formulario envía SELECT * FROM usuarios WHERE nombre = '$input'. Si el usuario ingresa ' OR '1'='1, la condición se vuelve verdadera y expone datos. Defensa: consultas parametrizadas, que tratan la entrada como dato y no como código. Regla: toda entrada del usuario es no confiable; valida en servidor y aplica mínimo privilegio a la cuenta de base de datos.