Seguridad de la información y gobierno de TI
Qué debe dominar el sustentante
Repase la tríada CIA (confidencialidad, integridad, disponibilidad) y su extensión con autenticación, autorización y no repudio. Domine conceptos de criptografía simétrica y asimétrica, funciones hash, firmas digitales, PKI y TLS. Conozca controles de acceso (RBAC, ABAC, mínimo privilegio, segregación de funciones), gestión de identidades, respaldo y continuidad (RTO, RPO), y clasificación de riesgos con análisis cualitativo y cuantitativo. Estudie marcos de gobierno como COBIT e ITIL para servicios, y normativa de protección de datos personales. Sepa distinguir amenaza, vulnerabilidad, riesgo y control.
Trampas frecuentes
- Confundir autenticación (quién eres) con autorización (qué puedes hacer).
- Creer que el hash cifra; el hash es irreversible y verifica integridad, no confidencialidad.
- Intercambiar RTO (tiempo máximo de interrupción tolerable) con RPO (pérdida máxima de datos tolerable).
- Elegir “cifrado” cuando el problema pide garantizar el origen de un mensaje (firma digital).
- Pensar que ITIL es un marco de gobierno corporativo de TI; COBIT lo es, ITIL se centra en la gestión de servicios.
Regla de trabajo
Clasifique el escenario: si el objetivo es ocultar información, piense en cifrado; si es verificar integridad, en hash; si es probar autoría y no repudio, en firma digital con clave privada del emisor. Para continuidad, RTO responde “¿cuánto tiempo puedo estar caído?” y RPO “¿cuántos datos puedo perder?”.
Ejemplo resuelto
Un banco exige que un mensaje no pueda alterarse y que el receptor compruebe quién lo envió. La solución combina hash del mensaje cifrado con la clave privada del emisor: una firma digital. El cifrado simétrico por sí solo no prueba autoría.