Seguridad de la información

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente al BOE y a las fuentes oficiales; el contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611). Es un tema con presencia acreditada en convocatorias oficiales: han caído literalmente la norma certificable de un SGSI, la definición de integridad, la metodología MAGERIT, qué es el protocolo SSL, la medida eficaz frente a la amenaza interna y —palabra por palabra— la letra c) del artículo 20 del Esquema Nacional de Seguridad. ⚠️ Un aviso: el Esquema Nacional de Seguridad vigente es el del Real Decreto 311/2022, que derogó el RD 3/2010, y cambió los principios básicos, los requisitos mínimos y la estructura de las medidas.

Índice

• 1. Qué es la seguridad de la información
  • 1.1. Tres términos que no son sinónimos
  • 1.2. La información como activo
  • 1.3. El marco normativo
• 2. El ciclo de vida de la información
  • 2.1. Las fases
  • 2.2. Clasificación y etiquetado
  • 2.3. Borrado seguro y destrucción
  • 2.4. Conservación, archivo y plazos
• 3. Las dimensiones de la seguridad
  • 3.1. Confidencialidad
  • 3.2. Integridad
  • 3.3. Disponibilidad
  • 3.4. Autenticidad y trazabilidad
  • 3.5. No repudio
• 4. El sistema de gestión de la seguridad de la información
  • 4.1. Qué es un SGSI
  • 4.2. La familia ISO/IEC 27000
  • 4.3. El ciclo PDCA
  • 4.4. Documentación y certificación
  • 4.5. Los roles de seguridad
• 5. El Esquema Nacional de Seguridad
  • 5.1. Qué es y a quién obliga
  • 5.2. Los siete principios básicos
  • 5.3. Los quince requisitos mínimos
  • 5.4. El mínimo privilegio
  • 5.5. Dimensiones, niveles y categorías
  • 5.6. Las medidas del anexo II
  • 5.7. Auditoría, conformidad e incidentes
• 6. Riesgos y amenazas para la información
  • 6.1. El vocabulario exacto
  • 6.2. Análisis y gestión del riesgo
  • 6.3. MAGERIT
  • 6.4. Otras metodologías
  • 6.5. El catálogo de amenazas
  • 6.6. La amenaza interna
• 7. Salvaguardas técnicas
  • 7.1. Criptografía
  • 7.2. Firma electrónica y certificados
  • 7.3. SSL, TLS y HTTPS
  • 7.4. Control de accesos y autenticación
  • 7.5. Copias de seguridad y continuidad
  • 7.6. Defensa perimetral y monitorización
  • 7.7. Gestión de incidentes
  • 7.8. Seguridad física y del personal
• 8. Lo que más cae

1. Qué es la seguridad de la información

1.1. Tres términos que no son sinónimos

El tema se abre con una distinción que el tribunal aprovecha porque en la conversación corriente las tres palabras se usan como si fueran lo mismo, y no lo son. Se distinguen por su ámbito, de mayor a menor:

• Seguridad de la información. Es el concepto más amplio: protege la información en cualquier soporte y en cualquier estado. Incluye el papel del expediente que está en un armario, la conversación que se mantiene en un pasillo, el disco duro del servidor y la copia en la nube. Su objeto es la información, no la máquina.
• Seguridad informática. Protege los sistemas y equipos —el hardware, el software, las redes— con independencia de qué información traten. Su objeto es la infraestructura.
• Ciberseguridad. Protege los activos que viven en el ciberespacio frente a amenazas que llegan por él. Es la intersección con lo conectado, y por eso deja fuera lo que está en papel o desconectado, y a la vez incluye cosas que no son sistemas propios, como la reputación o la identidad digital.

La regla práctica: si la pregunta menciona un archivo de papel, una conversación o una fotocopia, la respuesta es seguridad de la información. La seguridad informática y la ciberseguridad no llegan ahí.

Un cuarto término que conviene deslindar: la protección de datos personales no es lo mismo que la seguridad de la información. Se solapan, pero no coinciden. La protección de datos es un derecho fundamental con su propio régimen jurídico y solo se ocupa de la información referida a personas físicas identificadas o identificables; la seguridad de la información es una disciplina de gestión que se ocupa de toda la información, tenga o no que ver con personas. Que un sistema cumpla el Reglamento General de Protección de Datos no significa que sea seguro, y que sea seguro no significa que cumpla el Reglamento.

1.2. La información como activo

La premisa de todo el tema es que la información es un activo de la organización, con valor propio, y que como tal hay que inventariarla, valorarla y protegerla en proporción a lo que vale. Un activo, en el vocabulario de la seguridad, es cualquier elemento que tenga valor para la organización: la información misma, pero también los servicios que se prestan con ella, las aplicaciones, los equipos, las redes, las instalaciones y las personas.

De esa premisa salen dos consecuencias que se preguntan:

• La seguridad no es un producto, es un proceso. No se compra: se implanta, se mide y se mejora. Un cortafuegos recién instalado no hace segura a una organización; una organización se hace segura cuando gestiona su seguridad de forma continua.
• La seguridad absoluta no existe. El objetivo no es eliminar el riesgo sino gestionarlo: reducirlo hasta un nivel que la organización acepte conscientemente, con un coste proporcionado al valor de lo que se protege. Gastar en proteger un activo más de lo que ese activo vale es un error de gestión, no una virtud.

Y una tercera, que es la que más se olvida: el eslabón más débil suele ser la persona. Por eso el ENS incluye entre sus requisitos mínimos la gestión de personal y la profesionalidad, y por eso la formación y la concienciación son medidas de seguridad tan legítimas como un cortafuegos.

1.3. El marco normativo

Conviene tener el mapa de normas antes de entrar en el detalle, porque cada una responde a una pregunta distinta:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Es la norma obligatoria para el sector público español. Derogó el RD 3/2010, que es el que sigue apareciendo en los manuales antiguos.
• Ley 40/2015, de Régimen Jurídico del Sector Público, cuyo artículo 156.2 es el que da cobertura legal al Esquema Nacional de Seguridad y al de Interoperabilidad.
• Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018, para los datos personales, con la Ley Orgánica 7/2021 cuando el tratamiento es policial o penal.
• Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, desarrollado por el Real Decreto 43/2021, para operadores de servicios esenciales y proveedores de servicios digitales.
• Ley 8/2011 y Real Decreto 704/2011, sobre protección de infraestructuras críticas.
• Ley 9/1968, sobre secretos oficiales, para la información clasificada, y la Ley 11/2002, que encarga al CNI velar por el cumplimiento de esa normativa.
• ISO/IEC 27001 y su familia: no son normas jurídicas sino estándares internacionales voluntarios, aunque su adopción puede exigirse por contrato o por política interna.

La distinción entre lo obligatorio (ENS, RGPD, RD-ley 12/2018) y lo voluntario y certificable (ISO 27001) es materia de examen por sí misma. Y no son alternativas: una Administración cumple el ENS porque debe, y además puede certificarse en la ISO 27001 si quiere.

📚 Qué puedes contrastar y qué no. Este tema se apoya en dos clases de fuente y conviene distinguirlas antes de empezar, porque no tienen el mismo valor para un examen. De un lado, la normativa española: el Real Decreto 311/2022 del Esquema Nacional de Seguridad, la Ley Orgánica 3/2018 y el Reglamento (UE) 2016/679. Está toda en el BOE y en el DOUE, es gratuita y verificable palabra por palabra, y es de donde salen los principios, los requisitos, las dimensiones, los niveles y las categorías. De otro, las normas ISO/IEC de la familia 27000, que son de pago y no pueden reproducirse: de ellas se explica aquí su estructura y su vocabulario, que es lo que un tribunal pregunta, pero no su texto. Regla práctica: si una pregunta de examen cita un artículo, la respuesta está en el BOE; si cita una ISO, está en su estructura. Y cuando el ENS y la ISO 27001 coinciden —el ciclo de mejora continua, el análisis de riesgos, la declaración de aplicabilidad—, quédate con la versión del ENS, que es la que puedes citar.

2. El ciclo de vida de la información

2.1. Las fases

El epígrafe lo cita expresamente, y la idea de fondo es sencilla y potente: la información no se protege una vez, sino en cada etapa de su vida, y en cada una las amenazas y las medidas son distintas. Conviene decirlo con precisión: no hay un modelo normativo único de fases —ni el Esquema Nacional de Seguridad ni la ISO 27001 imponen uno—, sino una secuencia asentada en la práctica de la gestión documental que suele recorrerse en seis fases. Lo evaluable no es el número, sino saber qué medida corresponde a cada etapa:

1. Creación o captura. La información nace —se redacta, se digitaliza, se recibe de un tercero, la genera un sensor—. Aquí se decide lo más importante de todo el ciclo: quién es el responsable de esa información y qué clasificación le corresponde. Una información mal clasificada al nacer arrastra el error hasta que se destruye.
2. Almacenamiento. Se guarda en un soporte. Medidas propias: cifrado en reposo, control de accesos, redundancia, protección física del soporte.
3. Uso o procesamiento. Se consulta, se modifica, se combina. Es la fase de mayor exposición, porque la información está descifrada y en manos de personas. Medidas: mínimo privilegio, registro de actividad, control de las estaciones de trabajo.
4. Compartición o transmisión. Se envía a otro usuario, a otro sistema o a otra organización. Medidas: cifrado en tránsito, canales autenticados, acuerdos de confidencialidad, control de la salida de información.
5. Archivo o conservación. Deja de usarse a diario pero debe conservarse por razones legales, históricas o de negocio. Medidas: integridad a largo plazo, preservación del formato, control de accesos residual.
6. Destrucción o borrado. Se elimina cuando se cumple el plazo o desaparece la finalidad. Es la fase más descuidada y una de las que más incidentes provoca.

Verás variantes con cinco fases (que funden archivo y destrucción) o con siete (que separan la captura de la clasificación). Lo que no cambia y es lo preguntable es que el ciclo empieza en la creación y termina en la destrucción, y que la clasificación se hace al principio.

2.2. Clasificación y etiquetado

Clasificar es asignar a cada información un nivel según el perjuicio que causaría su divulgación, su alteración o su pérdida. Sin clasificación no hay seguridad proporcionada: o se protege todo al máximo —lo que es carísimo e inviable— o se protege todo al mínimo, que es peor.

Los esquemas de clasificación varían, pero conviene distinguir tres mundos que se confunden:

• Información clasificada en sentido jurídico estricto: la de la Ley 9/1968, con sus dos categorías —secreto y reservado— que solo pueden declarar el Consejo de Ministros y la Junta de Jefes de Estado Mayor.
• Clasificación corporativa: la que cada organización se da a sí misma, con etiquetas del tipo público, uso interno, confidencial y restringido. No tiene efectos jurídicos frente a terceros, pero sí obliga internamente.
• Categorización del ENS: no clasifica la información por su secreto, sino que categoriza el sistema en BÁSICA, MEDIA o ALTA en función del impacto de un incidente. Es otra cosa, y mezclarla con las dos anteriores es el error clásico.

El etiquetado es la materialización de la clasificación: la marca visible o el metadato que viaja con el documento y dice cómo hay que tratarlo. Una clasificación que no se etiqueta no la respeta nadie, porque quien recibe el documento no sabe que existe.

2.3. Borrado seguro y destrucción

Aquí hay tres conceptos que hay que separar con cuidado, porque el error es muy común y muy caro:

• Borrado lógico: enviar el fichero a la papelera o eliminarlo del sistema de archivos. No borra los datos: solo marca el espacio como reutilizable. Cualquier herramienta forense recupera la información mientras no se sobrescriba.
• Formateo rápido: reescribe las estructuras del sistema de archivos, pero tampoco elimina el contenido de los sectores.
• Borrado seguro: sobrescribe los datos con patrones, o bien —en los discos de estado sólido y en los soportes cifrados— destruye la clave de cifrado, lo que deja el contenido matemáticamente irrecuperable. Es la técnica correcta cuando el soporte va a reutilizarse.
• Destrucción física: desmagnetización, triturado o incineración. Es lo que corresponde cuando el soporte se retira o cuando el nivel de la información lo exige. Debe documentarse con un certificado de destrucción.

El caso práctico que se pregunta: un equipo dado de baja que sale de la organización con el disco simplemente formateado es una fuga de información en potencia. Y en los soportes de estado sólido la sobrescritura clásica es poco fiable por el modo en que gestionan internamente los bloques: la vía segura es el borrado criptográfico o la destrucción física.

2.4. Conservación, archivo y plazos

Conservar no es guardar indefinidamente. Guardar información que ya no se necesita es un riesgo puro: aumenta la superficie de exposición sin aportar valor, y en materia de datos personales infringe el principio de limitación del plazo de conservación del artículo 5.1.e) del RGPD.

La regla es que cada tipo de información tiene un plazo, fijado por la norma que le aplica o por la política interna, y que al vencer hay que destruir o anonimizar. Conviene distinguir dos operaciones que no son lo mismo:

• Seudonimización: sustituir los identificadores por un seudónimo conservando por separado la información que permite revertirlo. Los datos siguen siendo personales y siguen sujetos al RGPD.
• Anonimización: hacer irreversible la identificación. Los datos dejan de ser personales y salen del ámbito del RGPD. Es mucho más difícil de conseguir de lo que parece, porque el cruce con otros conjuntos permite reidentificar.

En el archivo a largo plazo el problema técnico no es el espacio, sino la obsolescencia: el formato deja de leerse, el soporte se degrada, la firma electrónica caduca. De ahí las políticas de migración de formatos y el resellado de las firmas para prolongar su validez.

3. Las dimensiones de la seguridad

El epígrafe nombra tres —confidencialidad, integridad y disponibilidad—, que son la tríada clásica y se conocen por sus siglas inglesas CIA o por las españolas CID. El Esquema Nacional de Seguridad añade dos más. Estas cinco son las que hay que saber definir sin titubear, porque el tribunal pregunta dando la definición y pidiendo el nombre.

3.1. Confidencialidad

Es la propiedad por la que la información solo está disponible o se revela a quien está autorizado para conocerla. Responde a la pregunta ¿quién puede verla?

Se pierde cuando alguien accede a información que no le corresponde: una fuga de datos, un correo enviado por error, un documento olvidado en una impresora, una conversación oída en un ascensor. Sus salvaguardas típicas son el cifrado, el control de accesos con mínimo privilegio, la clasificación de la información y los acuerdos de confidencialidad.

3.2. Integridad

Es la propiedad que garantiza la exactitud, la validez y la consistencia de la información, es decir, que no ha sido alterada ni destruida de forma no autorizada. Responde a la pregunta ¿es fiable lo que estoy leyendo?

Esta es la definición que ha caído literalmente: cuando el enunciado habla de la validez y consistencia de los elementos de la información almacenados y procesados en un sistema informático, la respuesta es integridad, no disponibilidad ni confidencialidad.

Se pierde con una modificación indebida, un error de transmisión, un fallo de soporte o un ataque que altera registros. Sus salvaguardas típicas son las funciones resumen (hash), las firmas electrónicas, los controles de acceso de escritura, los códigos de detección de errores y el registro de la actividad.

3.3. Disponibilidad

Es la propiedad por la que la información y los servicios son accesibles y utilizables por quien está autorizado cuando los necesita. Responde a la pregunta ¿está ahí cuando hace falta?

Se pierde con una caída del servicio, un ataque de denegación de servicio, un fallo eléctrico, un incendio, un ransomware que cifra los datos o simplemente una copia de seguridad que no se puede restaurar. Sus salvaguardas típicas son la redundancia, el respaldo, la alta disponibilidad, los planes de continuidad y de recuperación ante desastres, y el dimensionamiento frente a picos de carga.

Fíjate en que el ransomware ataca simultáneamente a la disponibilidad —cifra— y, en su modalidad de doble extorsión, a la confidencialidad —exfiltra y amenaza con publicar—. Un mismo incidente puede afectar a varias dimensiones a la vez, y eso es exactamente lo que mide el ENS al categorizar.

3.4. Autenticidad y trazabilidad

El Esquema Nacional de Seguridad no se queda en tres. Su anexo I enumera cinco dimensiones, identificadas por su inicial en mayúscula: Confidencialidad [C], Integridad [I], Trazabilidad [T], Autenticidad [A] y Disponibilidad [D].

• Autenticidad [A]: la propiedad de que una entidad es quien dice ser, o de que un dato procede realmente de quien se afirma. Es lo que garantiza que el usuario que ha entrado es el titular de la cuenta y que el documento lo firmó quien dice haberlo firmado.
• Trazabilidad [T]: la propiedad que permite determinar en todo momento quién hizo qué y cuándo, reconstruyendo a posteriori la secuencia de accesos y actuaciones. Es la dimensión que hace posible investigar un incidente: sin registros de actividad, se sabe que ha pasado algo pero no se puede saber quién ni cómo.

🔑 Cuidado con la cuenta. Si el enunciado habla de la tríada clásica, son tres: confidencialidad, integridad y disponibilidad. Si habla del ENS, son cinco, y las dos que se añaden son trazabilidad y autenticidad. Y no las confundas con los principios básicos del ENS, que son otra lista distinta, de siete.

3.5. No repudio

Es la propiedad que impide que quien ha realizado una acción pueda negar después haberla realizado. Se distinguen dos modalidades: el no repudio de origen, que impide al emisor negar que envió el mensaje, y el no repudio de destino, que impide al receptor negar que lo recibió.

Técnicamente se apoya en la firma electrónica con criptografía asimétrica y, cuando hay que acreditar el momento, en el sellado de tiempo. No es una de las cinco dimensiones del ENS, sino una propiedad derivada de la combinación de autenticidad, integridad y trazabilidad: por eso aparece en las listas de la doctrina y no en el anexo I de la norma.

4. El sistema de gestión de la seguridad de la información

4.1. Qué es un SGSI

Un Sistema de Gestión de la Seguridad de la Información (SGSI) es el conjunto de políticas, procedimientos, recursos y actividades que una organización establece para gestionar la seguridad de su información de forma sistemática, documentada y basada en el riesgo. En inglés, ISMS.

La palabra clave es gestión. Un SGSI no es un conjunto de medidas técnicas: es el marco que decide qué medidas hacen falta, por qué, quién responde de ellas y cómo se comprueba que funcionan. Sus rasgos definitorios son cuatro:

• Está basado en el riesgo: las medidas se eligen a partir de un análisis, no de un catálogo copiado.
• Es documentado: lo que no está escrito no existe a efectos de auditoría.
• Implica a la dirección: sin compromiso del nivel directivo no hay recursos ni autoridad, y es el primer motivo de fracaso.
• Es de mejora continua: se revisa y se corrige periódicamente.

4.2. La familia ISO/IEC 27000

Es el conjunto de estándares internacionales de referencia. Los que hay que conocer por su número:

• 🚨 ISO/IEC 27001. La norma certificable: fija los requisitos para establecer, implantar, mantener y mejorar un SGSI, y es la que permite el aseguramiento de la confidencialidad y la integridad de los datos, de la información y de los sistemas que la procesan. Su versión vigente es la de 2022, y su anexo A contiene 93 controles agrupados en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). Si te preguntan cuál es la norma de un SGSI, es esta.
• ISO/IEC 27002. No es certificable: es la guía de implantación de esos mismos controles, con su propósito y sus recomendaciones. Es el error clásico de examen: certificarse es en la 27001, no en la 27002.
• ISO/IEC 27000. Vocabulario y visión general de la familia.
• ISO/IEC 27005. Gestión de riesgos de seguridad de la información.
• ISO/IEC 27017 y 27018. Controles para servicios en la nube y protección de datos personales en la nube.
• ISO/IEC 27701. Gestión de la privacidad: extiende el SGSI a un sistema de gestión de información de privacidad. Es la respuesta equivocada cuando preguntan por la norma general de un SGSI, precisamente porque suena parecida.
• ISO 22301. Continuidad del negocio. No pertenece a la familia 27000 y se pregunta como distractor.
• ISO 31000. Gestión del riesgo en general, no específica de seguridad de la información. Es la que MAGERIT toma como referencia terminológica.

4.3. El ciclo PDCA

El SGSI se estructura sobre el ciclo de mejora continua de Deming, conocido como PDCA por sus cuatro fases en inglés:

1. Planificar (Plan): definir el alcance y la política, identificar y analizar los riesgos, elegir el tratamiento y seleccionar los controles.
2. Hacer (Do): implantar los controles elegidos, asignar recursos, formar al personal y operar el sistema.
3. Verificar (Check): medir la eficacia con indicadores, revisar registros, realizar auditorías internas y la revisión por la dirección.
4. Actuar (Act): corregir las no conformidades, aplicar acciones correctivas y de mejora, y volver a empezar.

El sentido del ciclo es que la seguridad no se termina: cada vuelta parte del estado alcanzado en la anterior. Es exactamente la misma lógica que el principio de reevaluación periódica del ENS.

4.4. Documentación y certificación

Los documentos nucleares de un SGSI son cuatro y conviene no confundirlos:

• La política de seguridad: el documento de alto nivel, aprobado por la dirección, que fija los objetivos, el marco y las responsabilidades. En el ENS su contenido mínimo está tasado en el artículo 12.1.
• El análisis de riesgos: el inventario de activos con sus amenazas, vulnerabilidades y riesgos valorados.
• El plan de tratamiento de riesgos: qué se hace con cada riesgo, con responsable y plazo.
• La declaración de aplicabilidad: la relación de controles seleccionados, con la justificación de las exclusiones. Es el documento que más mira un auditor, porque es donde se ve si la organización ha pensado o ha copiado. El ENS la exige también en su artículo 28.2, firmada por el responsable de la seguridad.

La certificación la emite una entidad de certificación acreditada tras una auditoría externa, tiene una vigencia de tres años con auditorías de seguimiento anuales, y certifica un alcance concreto, no a la organización entera. Un certificado cuyo alcance es un solo servicio no acredita nada sobre el resto.

4.5. Los roles de seguridad

El ENS obliga a diferenciar responsabilidades —es uno de sus principios básicos— y define cuatro papeles que conviene distinguir:

• Responsable de la información: determina los requisitos de seguridad de la información que maneja, es decir, la valora en cada dimensión.
• Responsable del servicio: hace lo propio con los servicios que se prestan.
• Responsable de la seguridad: determina las decisiones para satisfacer esos requisitos, fija la categoría del sistema a partir de las valoraciones anteriores, firma la declaración de aplicabilidad y supervisa la implantación. Debe ser distinto del responsable del sistema.
• Responsable del sistema: desarrolla, opera y mantiene el sistema durante todo su ciclo de vida.

La regla de oro que se pregunta: quien opera el sistema no puede ser quien controla su seguridad. Y hay un quinto papel que no es del ENS sino del RGPD: el delegado de protección de datos, que asesora y supervisa el cumplimiento en materia de datos personales y que tampoco debe confundirse con el responsable de seguridad.

5. El Esquema Nacional de Seguridad

5.1. Qué es y a quién obliga

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, de 3 de mayo, establece la política de seguridad en la utilización de medios electrónicos y está constituido por los principios básicos y requisitos mínimos que permiten una protección adecuada de la información tratada y los servicios prestados por las entidades de su ámbito.

Su finalidad es crear las condiciones necesarias de confianza en el uso de los medios electrónicos. Obliga al sector público —Administración General del Estado, comunidades autónomas, entidades locales y sus sectores públicos institucionales— y, muy importante, alcanza también a los sistemas que tratan información clasificada con las particularidades de su normativa específica, y a las entidades del sector privado cuando prestan servicios o proveen soluciones a las entidades públicas: los pliegos deben exigirlo.

Un dato de vigencia que conviene fijar: el RD 311/2022 derogó el Real Decreto 3/2010. Si un enunciado o un manual habla del ENS «del 3/2010», está desactualizado, y no es un detalle menor porque cambiaron los principios, los requisitos y toda la estructura de las medidas.

Un último matiz sobre datos personales: el artículo 3 deja claro que cuando el sistema trata datos personales se aplica además el RGPD y la LOPDGDD —o la LO 7/2021 en el ámbito penal—, y que prevalecen las medidas del análisis de riesgos y de la evaluación de impacto si resultan más exigentes que las del propio ENS.

5.2. Los siete principios básicos

El artículo 5 los enumera, y hay que saber que son siete y cuáles:

1. Seguridad como proceso integral. Constituida por todos los elementos humanos, materiales, técnicos, jurídicos y organizativos. Nada de soluciones puntuales.
2. Gestión de la seguridad basada en los riesgos. El análisis y la gestión del riesgo es parte esencial y debe mantenerse permanentemente actualizado.
3. Prevención, detección, respuesta y conservación. Las cuatro capas de actuación frente a un incidente, incluida la conservación de la información y los servicios.
4. Existencia de líneas de defensa. Defensa en profundidad: varias capas, de modo que si una se rompe queda otra detrás.
5. Vigilancia continua. Detección de actividades anómalas y respuesta oportuna, en tiempo real o casi real.
6. Reevaluación periódica. Las medidas se revisan y actualizan para adecuar su eficacia a la evolución de los riesgos.
7. Diferenciación de responsabilidades. La separación de los roles que veíamos en el punto 4.5.

5.3. Los quince requisitos mínimos

El artículo 12.6 los enumera en quince letras, de la a) a la ñ). No hace falta recitarlos, pero sí reconocerlos y saber que el mínimo privilegio es uno de ellos:

• a) Organización e implantación del proceso de seguridad · b) Análisis y gestión de los riesgos · c) Gestión de personal · d) Profesionalidad · e) Autorización y control de los accesos.
• f) Protección de las instalaciones · g) Adquisición de productos de seguridad y contratación de servicios de seguridad · h) Mínimo privilegio · i) Integridad y actualización del sistema · j) Protección de la información almacenada y en tránsito.
• k) Prevención ante otros sistemas de información interconectados · l) Registro de la actividad y detección de código dañino · m) Incidentes de seguridad · n) Continuidad de la actividad · ñ) Mejora continua del proceso de seguridad.

El apartado 7 añade un matiz muy preguntable: los requisitos mínimos se exigen en proporción a los riesgos identificados en cada sistema, y alguno podrá obviarse en sistemas sin riesgos significativos. No son, por tanto, absolutos.

5.4. El mínimo privilegio

El artículo 20 desarrolla el requisito h), y ha caído literalmente en un examen, así que vale la pena leerlo con calma. Dice que los sistemas de información deben diseñarse y configurarse otorgando los mínimos privilegios necesarios para su correcto desempeño, lo que implica incorporar cuatro aspectos:

• a) El sistema proporcionará la funcionalidad imprescindible para que la organización alcance sus objetivos.
• b) Las funciones de operación, administración y registro de actividad serán las MÍNIMAS necesarias, desarrolladas solo por personas autorizadas, desde emplazamientos o equipos autorizados, pudiendo exigirse restricciones de horario y puntos de acceso.
• c) 🚨 Se eliminarán o desactivarán, mediante el control de la configuración, las funciones que sean innecesarias o inadecuadas al fin que se persigue. Y añade: el uso ordinario del sistema ha de ser SENCILLO y seguro, de forma que una utilización INSEGURA requiera de un acto CONSCIENTE por parte del usuario.
• d) Se aplicarán guías de configuración de seguridad para las distintas tecnologías, adaptadas a la categorización del sistema.

🚨 Las dos inversiones que monta el tribunal. Con la letra b): decir que las funciones de administración y registro serán las máximas posibles, cuando la norma dice mínimas. Y con la letra c): decir que el uso del sistema ha de ser complejo para evitar que una utilización insegura requiera un acto inconsciente, cuando la norma dice justo lo contrario: uso ordinario sencillo, y que sea la utilización insegura la que exija un acto consciente. Es una frase construida para que quien la ha leído por encima elija mal.

5.5. Dimensiones, niveles y categorías

Aquí hay tres escalas distintas que se solapan en el examen. Van en cascada:

1. Cinco dimensiones (anexo I): Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad.
2. Tres niveles de seguridad por dimensión: BAJO, MEDIO y ALTO, según el perjuicio sea limitado, grave o muy grave. Si una dimensión no se ve afectada, no se le asigna nivel.
3. Tres categorías de seguridad del sistema: BÁSICA, MEDIA y ALTA. La regla es la del máximo: el sistema es de categoría ALTA si alguna dimensión alcanza nivel ALTO; MEDIA si alguna alcanza MEDIO y ninguna superior; BÁSICA si alguna alcanza BAJO y ninguna superior.

Escala	Cuántas	Cuáles	Regla
Dimensiones (anexo I)	Cinco	Confidencialidad · Integridad · Trazabilidad · Autenticidad · Disponibilidad	Si una dimensión no se ve afectada, no se le asigna nivel
Niveles por dimensión	Tres	BAJO · MEDIO · ALTO	Según el perjuicio sea limitado, grave o muy grave
Categorías del sistema	Tres	BÁSICA · MEDIA · ALTA	🚨 La del máximo: ALTA si alguna dimensión llega a ALTO; MEDIA si llega a MEDIO y ninguna más; BÁSICA si llega a BAJO y ninguna más

Dos detalles que se preguntan. El primero: cuando un sistema trata varias informaciones y presta varios servicios, el nivel del sistema en cada dimensión es el mayor de los establecidos para cada información y cada servicio. El segundo: fijar la categoría del sistema no altera el nivel de las dimensiones que no influyeron en ella.

Y el reparto de facultades del artículo 41: valorar corresponde al responsable de la información o del servicio; determinar la categoría del sistema corresponde al responsable de la seguridad. Además, la categoría debe reevaluarse anualmente o cuando cambien significativamente los criterios.

5.6. Las medidas del anexo II

El anexo II contiene el catálogo de medidas, que se aplican de forma proporcional a las dimensiones relevantes y a la categoría del sistema. Se dividen en tres grupos, cada uno con su prefijo:

• Marco organizativo [org]: medidas relacionadas con la organización global de la seguridad —política, normativa, procedimientos, autorizaciones—.
• Marco operacional [op]: medidas para proteger la operación del sistema como conjunto integral —planificación, control de acceso, explotación, servicios externos, continuidad y monitorización—.
• Medidas de protección [mp]: se centran en proteger activos concretos según su naturaleza —instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios—.

La selección sigue una secuencia tasada: identificar los tipos de activos, determinar las dimensiones relevantes, fijar el nivel de cada dimensión, determinar la categoría del sistema y seleccionar las medidas. El resultado se formaliza en la Declaración de Aplicabilidad, firmada por el responsable de la seguridad.

Y una figura muy preguntable: las medidas compensatorias. Una medida del anexo II puede reemplazarse por otra siempre que se justifique documentalmente que protege igual o mejor del riesgo, se satisfagan los principios básicos y los requisitos mínimos, y la correspondencia entre lo compensado y lo compensatorio se detalle en la propia Declaración de Aplicabilidad con aprobación formal del responsable de la seguridad. Las medidas del anexo II son mínimos ampliables, no un techo.

5.7. Auditoría, conformidad e incidentes

Tres mecanismos cierran el sistema:

• Auditoría de la seguridad. Los sistemas de categoría MEDIA y ALTA se someten a una auditoría ordinaria al menos cada dos años, y a una extraordinaria cuando se producen modificaciones sustanciales. Los de categoría BÁSICA no requieren auditoría: basta una autoevaluación. Este reparto —autoevaluación en básica, auditoría bienal en media y alta— es una pregunta clásica.
• Conformidad y su publicidad. Los sistemas de categoría MEDIA o ALTA precisan una certificación de conformidad; los de categoría BÁSICA pueden usar una declaración de conformidad. En ambos casos debe hacerse pública en la sede electrónica.
• Notificación de incidentes. El CCN-CERT, del Centro Criptológico Nacional, es la capacidad de respuesta de referencia para las Administraciones públicas, y articula la notificación y la respuesta coordinada. Recuerda del tema anterior que los otros dos CSIRT nacionales de referencia son INCIBE-CERT —ciudadanos, empresas y operadores críticos no públicos— y ESPDEF-CERT, del Ministerio de Defensa.

El CCN publica además las guías CCN-STIC, que desarrollan técnicamente el ENS, y la herramienta PILAR para el análisis de riesgos, de la que hablaremos enseguida.

6. Riesgos y amenazas para la información

6.1. El vocabulario exacto

Esta es la parte del tema donde más se equivoca quien la estudia por encima, porque son seis palabras que en la calle significan casi lo mismo y aquí significan cosas distintas y encadenadas:

• Activo: cualquier elemento con valor para la organización. Información, servicios, aplicaciones, equipos, redes, instalaciones y personas.
• Amenaza: el evento potencial que puede causar un daño al activo. Es externa al activo y, por lo general, no se puede eliminar: un incendio, un terremoto, un atacante, un error humano. Existe con independencia de que estemos preparados o no.
• Vulnerabilidad: la debilidad propia del activo que permite que la amenaza se materialice. A diferencia de la amenaza, sí se puede corregir: una contraseña débil, un software sin actualizar, una puerta sin cerradura, un empleado sin formar.
• Riesgo: la estimación del grado de exposición, es decir, la combinación de la probabilidad de que la amenaza aproveche la vulnerabilidad y el impacto que causaría. Se resume en la fórmula riesgo = probabilidad × impacto.
• Impacto: la consecuencia sobre el activo si el incidente ocurre. Puede ser económico, operativo, legal o reputacional.
• Salvaguarda o contramedida: la medida que reduce el riesgo, bien disminuyendo la probabilidad —salvaguardas preventivas— bien disminuyendo el impacto —correctivas o de recuperación—; y también las detectivas, que no evitan nada pero avisan.

Dos derivadas que se preguntan mucho:

• Riesgo intrínseco o potencial: el que existe antes de aplicar salvaguardas.
• Riesgo residual: el que queda después de aplicarlas. Nunca es cero, y la dirección debe aceptarlo formalmente. Esa aceptación por escrito es la diferencia entre gestionar el riesgo e ignorarlo.

🔑 La distinción que cae: la amenaza es externa y no se elimina; la vulnerabilidad es propia y sí se corrige. Sin vulnerabilidad, la amenaza no produce daño; sin amenaza, la vulnerabilidad no llega a explotarse. El riesgo necesita a las dos.

6.2. Análisis y gestión del riesgo

Son dos actividades encadenadas y distintas:

• El análisis de riesgos es el proceso de identificar los activos, las amenazas y las vulnerabilidades y estimar el riesgo. Produce un diagnóstico. No decide nada.
• La gestión de riesgos es la selección e implantación de las medidas para llevar el riesgo a un nivel aceptable. Produce decisiones.

El tratamiento del riesgo admite cuatro opciones clásicas, y todas son legítimas si se eligen conscientemente:

1. Mitigar o reducir: implantar salvaguardas que bajen la probabilidad o el impacto. Es la vía habitual.
2. Transferir o compartir: trasladar la consecuencia económica a un tercero, típicamente con un seguro o con la subcontratación. Ojo: se transfiere el coste, nunca la responsabilidad jurídica.
3. Evitar o eliminar: suprimir la actividad o el activo que genera el riesgo. Es radical y muchas veces inviable.
4. Aceptar: asumirlo conscientemente porque el coste de tratarlo supera el daño esperado. Debe documentarse y aprobarse al nivel adecuado.

Sobre la forma de estimar, se distingue el análisis cualitativo —escalas del tipo bajo, medio y alto; rápido y subjetivo— del cuantitativo, que pone cifras monetarias y permite comparar el coste de la salvaguarda con la pérdida esperada, pero exige datos que muchas veces no existen. Lo habitual es una combinación.

6.3. MAGERIT

MAGERIT es la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información elaborada por el Consejo Superior de Administración Electrónica —hoy Comisión de Estrategia TIC—, pensada para las Administraciones públicas españolas y alineada con la terminología de la norma ISO 31000. Su versión vigente es la 3. Esta es la respuesta cuando el enunciado describe una metodología «creada por el Consejo Superior de Administración Electrónica… siguiendo la terminología de la norma ISO 31000».

Persigue seis objetivos: concienciar de la existencia de riesgos, ofrecer un método sistemático para analizarlos, ayudar a describir y planificar las medidas, preparar a la organización para la evaluación y la auditoría, y unificar el vocabulario.

Se estructura en tres libros, y el reparto se pregunta:

1. Libro I · Método: el procedimiento de análisis y gestión, sus etapas y los conceptos fundamentales.
2. Libro II · Catálogo de elementos: tipos de activos, dimensiones y criterios de valoración, y los catálogos de amenazas y de salvaguardas.
3. Libro III · Guía de técnicas: las técnicas cuantitativas y cualitativas aplicables —tablas, árboles de ataque, análisis coste-beneficio, sesiones de trabajo—.

Su implementación informática de referencia es PILAR, herramienta desarrollada en el ámbito del Centro Criptológico Nacional y muy extendida en el sector público español. MAGERIT es la metodología; PILAR es la herramienta que la aplica: no son sinónimos.

6.4. Otras metodologías

Aparecen sistemáticamente como distractores, así que conviene saber al menos de dónde viene cada una:

• OCTAVE: metodología estadounidense del Software Engineering Institute de la Universidad Carnegie Mellon, orientada a la autoevaluación por la propia organización.
• MEHARI: metodología francesa, del CLUSIF.
• CRAMM: metodología británica, de origen gubernamental.
• NIST SP 800-30: la guía de gestión de riesgos del instituto estadounidense de normalización.
• EBIOS: la metodología de la agencia francesa de ciberseguridad.

La que hay que asociar a España y a la Administración es MAGERIT. Las demás son correctas como metodologías y falsas como respuesta a esa pregunta.

6.5. El catálogo de amenazas

El libro II de MAGERIT agrupa las amenazas en cuatro familias, y es una clasificación cómoda para ordenar el tema:

• Desastres naturales: fuego, agua, terremotos, tormentas. No hay intención ni error humano detrás.
• De origen industrial: fallo eléctrico, avería del equipo, contaminación, corte de las telecomunicaciones, degradación de los soportes.
• Errores y fallos no intencionados: errores del administrador o del usuario, errores de configuración, difusión de software dañino por descuido, fugas por descuido, indisponibilidad del personal. Son, con diferencia, los más frecuentes.
• Ataques intencionados: manipulación, acceso no autorizado, suplantación de identidad, denegación de servicio, robo, extorsión, ingeniería social.

Dos ideas que conviene retener. La primera: la mayor parte de los incidentes reales no viene de un ataque sofisticado, sino de un error o una omisión —una configuración mal puesta, una copia que nunca se probó, un permiso que nadie retiró—. La segunda: las amenazas se combinan, y una amenaza física apagada (un corte eléctrico) puede abrir una lógica (un sistema que arranca sin sus controles).

6.6. La amenaza interna

La amenaza interna (insider threat) es la que procede de quien tiene acceso legítimo a la información de la organización y utiliza ese privilegio de manera indebida. Es especialmente peligrosa por tres razones: el atacante ya está dentro, así que las defensas perimetrales no lo ven; conoce dónde está lo valioso y cómo funciona el control; y su actividad se confunde con la actividad normal.

Se distinguen tres perfiles: el negligente, que causa el daño sin querer y es el más frecuente; el malicioso, que actúa con intención por venganza, lucro o ideología; y el comprometido, cuya cuenta ha sido tomada por un tercero, de modo que la persona es también víctima.

Las medidas eficaces frente a ella, que es exactamente lo que se ha preguntado:

• 🚨 Monitorizar y registrar la actividad de los usuarios, con revisión de los registros. Es la respuesta correcta del examen, y encaja con la dimensión de trazabilidad: si no queda rastro, no hay forma de detectar ni de acreditar el abuso.
• Mínimo privilegio y revisión periódica de permisos. Nótese que la respuesta falsa del examen decía «privilegios máximos», que es justo lo contrario de lo que exige el artículo 20 del ENS.
• Segregación de funciones, para que ninguna persona controle sola un proceso crítico de principio a fin, y la regla de los cuatro ojos en las operaciones sensibles.
• Formación y concienciación. Otra respuesta falsa del examen proponía asegurar que los empleados tengan la mínima formación en seguridad digital: es lo contrario de una medida de seguridad.
• Procedimientos de alta y baja: retirar accesos el mismo día del cese es una de las medidas más baratas y más olvidadas.
• Prevención de fuga de datos y control de los canales de salida, más las cláusulas de confidencialidad en los contratos.

7. Salvaguardas técnicas

7.1. Criptografía

La criptografía es la salvaguarda transversal por excelencia: sirve a la confidencialidad, a la integridad, a la autenticidad y al no repudio. Tres familias:

• Criptografía simétrica o de clave secreta. La misma clave cifra y descifra. Es rápida y adecuada para grandes volúmenes, pero plantea el problema de distribuir la clave con seguridad y de que el número de claves crece muy deprisa con el número de participantes. Algoritmo de referencia: AES.
• Criptografía asimétrica o de clave pública. Cada participante tiene un par de claves matemáticamente relacionadas: una pública, que se difunde, y una privada, que se guarda en secreto. Lo que se cifra con una solo se descifra con la otra. Resuelve la distribución de claves y hace posible la firma, pero es mucho más lenta. Algoritmos de referencia: RSA y la criptografía de curva elíptica.
• Funciones resumen o hash. No son cifrado: producen una huella de longitud fija a partir de un contenido de cualquier tamaño. Son de un solo sentido —no se puede volver al original— y cualquier cambio mínimo en la entrada altera por completo la salida. Sirven a la integridad y a la custodia de contraseñas. Familia de referencia: SHA-2 y SHA-3; MD5 y SHA-1 están rotos y no deben usarse.

La regla que se pregunta: para confidencialidad se cifra con la clave pública del destinatario, porque solo él tiene la privada que descifra; para firmar se usa la clave privada del emisor, porque cualquiera puede verificarla con su pública. En la práctica se combinan las dos familias en un cifrado híbrido: se genera una clave simétrica de sesión, se cifra con la pública del destinatario y a partir de ahí se trabaja con la simétrica, que es rápida.

7.2. Firma electrónica y certificados

La firma electrónica aplica una función resumen al documento y cifra ese resumen con la clave privada del firmante. Quien recibe el documento descifra el resumen con la clave pública, recalcula el hash y compara: si coinciden, el documento no ha sido alterado y procede de quien dice. Garantiza integridad, autenticidad y no repudio; no garantiza confidencialidad, porque el documento viaja legible salvo que además se cifre.

El Reglamento (UE) 910/2014, conocido como eIDAS, distingue tres niveles: la firma electrónica simple, la avanzada —vinculada de manera única al firmante y capaz de detectar cambios posteriores— y la cualificada, que es una avanzada creada con un dispositivo cualificado y basada en un certificado cualificado, y que es la única equivalente a la firma manuscrita.

Un certificado electrónico es el documento que vincula una clave pública con la identidad de su titular, emitido por un prestador de servicios de confianza que actúa como tercero de confianza. Y el sellado de tiempo acredita que un dato existía en un instante determinado, que es lo que permite fechar de forma fehaciente.

7.3. SSL, TLS y HTTPS

El epígrafe del examen habla de protocolos SSL, así que hay que saber exactamente qué son y qué hacen. SSL (Secure Sockets Layer) y su sucesor TLS (Transport Layer Security) son protocolos que se sitúan entre la capa de transporte y la de aplicación y proporcionan tres cosas a la vez:

• Autenticación del servidor —y opcionalmente del cliente— mediante certificados electrónicos.
• Cifrado de la transmisión de datos, que da confidencialidad frente a quien intercepte el tráfico.
• Protección de la integridad de los datos transmitidos, de modo que una alteración en tránsito se detecta.

Esa es exactamente la definición que el tribunal dio por correcta: permite llevar a cabo transacciones en línea autenticadas y cifrado de la transmisión de datos con los visitantes de su página web, y protección de la integridad de los datos transmitidos. Cuando se aplica a la web sobre HTTP, el resultado es HTTPS, que por defecto usa el puerto 443 frente al 80 del HTTP en claro.

⚠️ Aviso de vigencia. El nombre SSL ha sobrevivido en el lenguaje corriente —se sigue hablando de «certificados SSL»— pero el protocolo SSL está obsoleto: la versión 3.0 quedó formalmente desaconsejada en 2015 y TLS 1.0 y 1.1 en marzo de 2021. Lo que se usa hoy es TLS 1.2 y TLS 1.3. En un examen, si la opción describe la función del protocolo, es correcta aunque lo llame SSL; si afirma que SSL es el protocolo vigente y recomendado, es falsa.

Un matiz práctico importante: el candado del navegador acredita que el canal está cifrado y que el certificado es válido para ese dominio. No acredita que el sitio sea legítimo ni honrado: un sitio de phishing puede tener un certificado perfectamente válido para su propio dominio fraudulento.

7.4. Control de accesos y autenticación

El control de acceso se descompone en tres operaciones que se confunden y que el ENS separa:

• Identificación: la entidad declara quién es (un usuario, un número de empleado).
• Autenticación: se comprueba que efectivamente lo es.
• Autorización: una vez autenticada, se determina qué puede hacer.

Los factores de autenticación son tres, y la autenticación multifactor exige combinar factores de categorías distintas:

1. Algo que se sabe: contraseña, PIN, respuesta secreta.
2. Algo que se tiene: tarjeta, token, teléfono, certificado en dispositivo.
3. Algo que se es: biometría —huella, iris, rostro, voz—.

Dos contraseñas no son doble factor: son el mismo factor dos veces. Y sobre la biometría, un dato jurídico que se pregunta: los datos biométricos, cuando se usan para identificar de manera unívoca a una persona, son categoría especial de datos del artículo 9 del RGPD, con un régimen mucho más estricto. Además tienen un problema técnico irreversible: una contraseña comprometida se cambia; una huella, no.

Los modelos de control de acceso que conviene nombrar son el discrecional (el propietario del recurso decide), el obligatorio (lo impone el sistema por niveles de clasificación, típico del ámbito militar) y el basado en roles, que es el habitual en las organizaciones: los permisos se asignan al puesto, no a la persona, de modo que al cambiar de puesto cambian los permisos.

7.5. Copias de seguridad y continuidad

La copia de seguridad es la salvaguarda más básica de la disponibilidad y la última línea frente al ransomware. La referencia práctica es la regla 3-2-1: tres copias de los datos, en dos soportes o tecnologías distintas, con una de ellas fuera de las instalaciones. La variante moderna añade que una copia debe estar desconectada o ser inmutable, porque un ransomware que alcanza la red cifra también los respaldos conectados.

Y una regla de oro: una copia que no se ha restaurado nunca no es una copia, es una suposición. Las pruebas de restauración periódicas son parte de la medida.

La continuidad se planifica con dos indicadores que hay que saber distinguir:

• RTO (Recovery Time Objective): el tiempo máximo que se puede tolerar con el servicio caído. Mide cuánto tardo en volver.
• RPO (Recovery Point Objective): la cantidad máxima de datos que se puede permitir perder, expresada en tiempo. Mide cuánto trabajo pierdo, y determina cada cuánto hay que copiar.

El instrumento que fija esos objetivos es el análisis de impacto en el negocio (BIA), que identifica los procesos críticos y el daño que causa su interrupción. Con él se construyen el plan de continuidad y el plan de recuperación ante desastres, que también deben probarse: un plan sin simulacro es papel.

7.6. Defensa perimetral y monitorización

Cierran el catálogo las medidas de red y vigilancia, que materializan los principios de líneas de defensa y vigilancia continua:

• Cortafuegos: filtra el tráfico entre redes según reglas. La política correcta es la denegación por defecto: se prohíbe todo y se permite lo expresamente autorizado.
• Zona desmilitarizada (DMZ): segmento intermedio donde se sitúan los servicios accesibles desde fuera, de modo que un compromiso no alcance directamente la red interna.
• IDS e IPS: sistemas de detección y de prevención de intrusiones. La diferencia es que el IDS avisa y el IPS además bloquea.
• SIEM: plataforma que centraliza y correlaciona los registros de todos los sistemas para detectar patrones que aisladamente no se ven. Es el instrumento natural de la trazabilidad y de la vigilancia de la amenaza interna.
• Segmentación de la red y gestión de parches, que es la medida que cierra la mayoría de las vulnerabilidades conocidas y la que más se descuida.
• Confianza cero (zero trust): el enfoque moderno que renuncia a la idea de un interior fiable y verifica cada acceso, cada vez, con independencia de dónde venga.

7.7. Gestión de incidentes

La gestión de incidentes es uno de los quince requisitos mínimos del ENS —la letra m)— y merece un apartado propio porque es donde se comprueba si todo lo demás funcionaba. Conviene empezar separando tres palabras:

• Evento: cualquier suceso observable en un sistema. La inmensa mayoría son inocuos.
• Incidente: el evento —o la serie de eventos— que compromete efectivamente alguna dimensión de la seguridad o pone en riesgo la información o los servicios.
• Brecha de seguridad de datos personales: el incidente que afecta a datos personales. Tiene un régimen jurídico propio: el artículo 33 del RGPD obliga a notificarla a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas, salvo que sea improbable que suponga un riesgo; y el artículo 34 obliga a comunicarla a los afectados cuando el riesgo para sus derechos y libertades sea alto. Que un incidente no sea brecha de datos no lo exime del ENS, y al revés.

El ciclo de respuesta tiene seis fases, y el orden es materia de examen: preparación —tenerlo todo listo antes—, detección y análisis, contención, erradicación, recuperación y lecciones aprendidas. El error típico de quien improvisa es saltar de la detección a la erradicación: apagar el equipo comprometido antes de contener y de preservar la evidencia destruye la memoria volátil y con ella buena parte de la trazabilidad. Si el incidente puede acabar en un procedimiento —y en el ámbito policial casi siempre puede—, la adquisición forense y la cadena de custodia son parte de la contención, no un trámite posterior.

En el sector público la notificación se articula a través del CCN-CERT, que mantiene una taxonomía de incidentes y una escala de peligrosidad y de impacto con la que se decide el plazo y el nivel de escalado. Para los operadores de servicios esenciales y los proveedores de servicios digitales rige además el Real Decreto-ley 12/2018 y su reglamento de desarrollo, el Real Decreto 43/2021, con sus propios CSIRT de referencia y sus propios plazos. Y una organización puede quedar sujeta a varias obligaciones de notificación a la vez —ENS, RGPD y RD-ley 12/2018—, que no se sustituyen entre sí.

7.8. Seguridad física y del personal

Es la parte que se olvida cuando el tema se estudia como si fuera informática, y sin embargo el ENS le dedica dos requisitos mínimos: protección de las instalaciones (letra f) y gestión de personal (letra c), más la profesionalidad (letra d).

En el plano físico, las medidas nucleares son el control de acceso a las áreas con registro de entradas y salidas, la definición de áreas separadas por criticidad, la protección frente a incendio, inundación y corte eléctrico —con alimentación ininterrumpida y generación alternativa en los centros de proceso de datos—, el control ambiental de temperatura y humedad, y la protección del cableado y de los soportes en tránsito. Dos amenazas físicas que se subestiman: el acceso no acompañado de visitantes y proveedores, y la mirada por encima del hombro o espionaje visual, que no necesita ninguna tecnología.

En el plano del personal, el ciclo va del antes —definición del puesto y de sus responsabilidades de seguridad, verificación de antecedentes cuando proceda, cláusulas de confidencialidad en el contrato— al durante —formación y concienciación periódicas, deberes disciplinarios, gestión de los cambios de puesto— y al después: la baja, con retirada inmediata de credenciales, accesos físicos y equipos, y recordatorio del deber de confidencialidad, que sobrevive a la relación laboral. La medida más rentable de todo el tema, medida en incidentes evitados por euro, sigue siendo la formación: la que convierte al eslabón más débil en la primera línea de defensa.

8. Lo que más cae

• Seguridad de la información es lo más amplio —cualquier soporte, incluido el papel—; la informática protege sistemas y equipos; la ciberseguridad, lo que vive en el ciberespacio.
• Ciclo de vida: creación · almacenamiento · uso · compartición · archivo · destrucción. La clasificación se hace al crear. El borrado lógico y el formateo rápido NO borran: hace falta borrado seguro o destrucción física.
• 🚨 Integridad: la validez y consistencia de la información almacenada y procesada, o sea, que no ha sido alterada. Confidencialidad = quién puede verla. Disponibilidad = está cuando hace falta.
• Dimensiones del ENS: CINCO —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad—. La tríada clásica son tres.
• 🚨 ISO/IEC 27001 es la norma certificable del SGSI (versión de 2022, 93 controles del anexo A en 4 temas). La 27002 es la guía, no certificable; la 27701 es privacidad; la 31000, riesgo general.
• PDCA: planificar · hacer · verificar · actuar.
• ENS: Real Decreto 311/2022 (derogó el RD 3/2010). SIETE principios básicos (art. 5) y QUINCE requisitos mínimos (art. 12.6), que se exigen en proporción a los riesgos.
• 🚨 Mínimo privilegio (art. 20): funciones de operación, administración y registro MÍNIMAS; se eliminan o desactivan las funciones innecesarias mediante el control de la configuración; y el uso ordinario ha de ser SENCILLO, de forma que la utilización insegura exija un acto CONSCIENTE.
• Categorías del ENS: BÁSICA, MEDIA y ALTA, por la regla del máximo. Niveles por dimensión: BAJO, MEDIO y ALTO. Valora el responsable de la información o del servicio; categoriza el responsable de la seguridad.
• Medidas del anexo II: marco organizativo [org], marco operacional [op] y medidas de protección [mp]. Se formalizan en la Declaración de Aplicabilidad y admiten medidas compensatorias justificadas.
• Auditoría: cada dos años en categorías MEDIA y ALTA; en BÁSICA basta autoevaluación.
• Riesgo = probabilidad × impacto. La amenaza es externa y no se elimina; la vulnerabilidad es propia y sí se corrige. Tras las salvaguardas queda el riesgo residual, que la dirección acepta.
• Tratamiento: mitigar · transferir (el coste, nunca la responsabilidad) · evitar · aceptar.
• 🚨 MAGERIT: metodología del Consejo Superior de Administración Electrónica, terminología ISO 31000, versión 3, tres libros (método · catálogo de elementos · guía de técnicas). Su herramienta es PILAR. OCTAVE, MEHARI y CRAMM son las otras.
• 🚨 Amenaza interna: la medida eficaz es monitorizar y registrar la actividad. Los distractores dicen «privilegios máximos» y «mínima formación», que son lo contrario de una medida de seguridad.
• 🚨 SSL/TLS: da autenticación + cifrado + integridad en tránsito, y sobre web produce HTTPS (puerto 443). ⚠️ El nombre SSL sobrevive, pero el protocolo vigente es TLS 1.2 y 1.3.
• Firma electrónica: se firma con la clave privada del emisor y se cifra con la pública del destinatario. La firma da integridad, autenticidad y no repudio, no confidencialidad.
• Copias 3-2-1 y una desconectada o inmutable. RTO = cuánto tardo en volver; RPO = cuántos datos pierdo.
• Incidentes, seis fases: preparación · detección y análisis · contención · erradicación · recuperación · lecciones aprendidas. Contener y preservar la evidencia va ANTES de erradicar. La brecha de datos personales se notifica a la autoridad de control en 72 horas (art. 33 RGPD) y a los afectados si el riesgo es alto (art. 34).
• Personal: el deber de confidencialidad sobrevive al fin de la relación laboral, y la retirada de accesos se hace el mismo día de la baja.