Gestiona los Riesgos de Seguridad

1.1Los 8 dominios CISSP

El CISSP es la certificación más reconocida del sector, y organiza todo el trabajo de la ciberseguridad en 8 grandes áreas llamadas dominios. ¿Por qué importan? Porque son el mapa de la profesión: cualquier tarea, ataque o control que veas en el curso pertenece a uno (o varios) de estos dominios, y los equipos de seguridad se organizan alrededor de ellos.

1.2Amenaza · Riesgo · Vulnerabilidad

Tres conceptos que el examen mezcla a propósito. Definámoslos con precisión:

• Amenaza: cualquier circunstancia o evento que puede impactar negativamente en los activos. Es el peligro potencial: un phishing, un ransomware, incluso un incendio. Todavía no ha pasado nada — es lo que podría pasar.
• Vulnerabilidad: una debilidad del sistema que una amenaza puede explotar: un servidor sin parchar, una contraseña débil, un empleado sin formación, una puerta sin cerradura. Sin vulnerabilidad, la amenaza no tiene por dónde entrar.
• Riesgo: cualquier cosa que pueda afectar la confidencialidad, integridad o disponibilidad de un activo. Se piensa como la combinación de probabilidad × impacto: ¿qué tan probable es que la amenaza explote la vulnerabilidad, y cuánto daño haría?

Factores que afectan la probabilidad de un riesgo:

1.3Las 4 estrategias de gestión de riesgos

No todos los riesgos se tratan igual: algunos se eliminan, otros se reducen, otros se asumen. Ante cada riesgo identificado, la organización elige una de estas 4 estrategias, según el coste de tratarlo frente al daño que causaría:

1.4NIST RMF: los 7 pasos

Antes de la sigla compuesta, la sigla base: el NIST (National Institute of Standards and Technology, Instituto Nacional de Estándares y Tecnología) es una agencia del gobierno de EE.UU. cuya misión es crear estándares y buenas prácticas en ciencia y tecnología — desde pesos y medidas hasta ciberseguridad. En seguridad es LA referencia mundial: aunque es estadounidense, sus marcos son públicos, gratuitos y tan bien elaborados que organizaciones de todo el mundo los adoptan voluntariamente. Por eso verás su nombre constantemente: NIST CSF, NIST RMF, NIST SP 800-53… son distintos documentos/marcos publicados por la misma agencia.

El NIST RMF (Risk Management Framework, Marco de Gestión de Riesgos) es la receta paso a paso del NIST para gestionar el riesgo de forma ordenada, en lugar de improvisar. Sus 7 pasos forman un ciclo continuo — el paso 7 (Monitorear) realimenta al 1, porque las amenazas cambian constantemente y lo que hoy es seguro mañana puede no serlo:

• 1 · Preparar: organizarse antes de que ocurra una brecha — como hacer el simulacro de incendio antes del incendio.
• 2 · Categorizar: clasificar sistemas e información según su importancia y sensibilidad — no todo merece la misma protección.
• 3 · Seleccionar: elegir y documentar los controles adecuados para lo categorizado.
• 4 · Implementar: poner en marcha esos planes de seguridad y privacidad — pasar del papel a la práctica.
• 5 · Evaluar: comprobar que los controles realmente funcionan como se esperaba.
• 6 · Autorizar: un responsable acepta formalmente el riesgo residual y se hace responsable de él — la firma que dice "asumo lo que quede".
• 7 · Monitorear: vigilar continuamente los sistemas y volver a empezar cuando algo cambie.

1.5Vulnerabilidades famosas (con nombre propio)

Las vulnerabilidades más graves reciben nombre propio porque afectan a millones de sistemas a la vez. No necesitas dominar los detalles técnicos: para el examen basta con asociar cada nombre con la tecnología que afecta y lo que permite hacer al atacante.

2.1Marcos y controles trabajando juntos

Recuerda del Curso 1: los marcos son las directrices (el "qué hacer y en qué orden") para elaborar planes que mitiguen riesgos y ayuden a cumplir las leyes; los controles son las medidas concretas (el "cómo"). Siempre trabajan en pareja: el marco marca el objetivo y el control lo materializa.

2.2Funciones núcleo del NIST CSF

Las 6 funciones son el ciclo de vida completo de la seguridad, en orden lógico:

• Gobernanza: definir y supervisar la estrategia de ciberseguridad, alineada con los objetivos del negocio y los reglamentos. Es la función "paraguas" que dirige a las otras cinco.
• Identificar: saber qué tienes y qué te amenaza — inventariar activos y entender los riesgos. No puedes proteger lo que no sabes que existe.
• Proteger: implementar las defensas — políticas, procedimientos, formación y herramientas que mitigan las amenazas identificadas.
• Detectar: vigilar para darse cuenta a tiempo de los incidentes: monitorización eficaz, alertas, SIEM.
• Responder: cuando algo ocurre, contener, neutralizar y analizar el incidente, e implementar mejoras.
• Recuperar: devolver los sistemas afectados a su funcionamiento normal — restaurar datos, servicios y confianza.

2.3Matriz de controles: categorías × tipos

Todo control de seguridad se clasifica en dos ejes a la vez. Las 3 categorías responden a "¿de qué naturaleza es el control?": administrativo (el componente humano: políticas, procedimientos, responsabilidades — reglas escritas en papel), técnico (soluciones tecnológicas: firewalls, cifrado, antivirus) y físico (lo tangible: cerraduras, cámaras, vallas). Los 4 tipos responden a "¿cuándo actúa respecto al incidente?": preventivo (evita que ocurra), detectivo (descubre que ocurrió o está ocurriendo), correctivo (repara el daño después) y disuasivo (desalienta al atacante para que ni lo intente). Combinar varios controles en capas se llama defensa en profundidad.

2.4La tríada CID en la práctica del analista

Ya conoces la tríada del Curso 1. Este curso da un paso más: cómo la aplica el analista en su trabajo diario. Un activo es cualquier elemento percibido como valioso para la organización — y como no todo puede protegerse por igual, la tríada ayuda a decidir qué proteger y cómo:

2.5Los 10 principios de seguridad OWASP

OWASP (Open Worldwide Application Security Project) es una organización sin ánimo de lucro dedicada a mejorar la seguridad del software. Estos 10 principios son reglas de diseño: guían cómo construir y operar sistemas seguros desde el principio, en lugar de parchear después.

2.6Auditorías de seguridad

Una auditoría de seguridad es una revisión independiente de los controles, políticas y procedimientos de la organización, comparándolos contra un conjunto de expectativas: criterios internos (las propias políticas, procedimientos y mejores prácticas de la empresa) y externos (leyes y regulaciones de obligado cumplimiento). La frecuencia depende de las leyes locales y regulaciones aplicables.

3.1Código abierto vs. propietario

Las herramientas del analista se dividen en dos mundos según quién controla el código. Código abierto (open source): el código fuente es público — cualquiera puede leerlo, modificarlo y mejorarlo; suele ser gratuito y lo mantiene una comunidad. Propietario: el código pertenece a una empresa que lo mantiene en secreto; pagas por usarlo (y a menudo por la formación) y solo el propietario puede modificarlo.

Suricata es software de código abierto de análisis de red y detección de amenazas: inspecciona el tráfico para identificar comportamientos sospechosos y generar registros. Se integra con muchas herramientas SIEM.

3.2Paneles de Splunk

Splunk (en sus versiones Enterprise y Cloud) es un SIEM propietario que recopila, busca, supervisa y analiza datos de registro de múltiples fuentes para dar visibilidad completa de las operaciones diarias. Un panel (dashboard) es una pantalla que resume visualmente esos millones de datos en gráficos y alertas; cada panel está diseñado para una audiencia y una pregunta distintas — la clave del examen es saber cuál usar para qué:

3.3Paneles de Chronicle (Google)

Chronicle (Google SecOps) es un SIEM nativo de la nube: retiene, analiza y busca logs por recurso, dominio, usuario o IP. Un concepto clave que aparece en sus paneles es el IOC (Indicator of Compromise, indicador de compromiso): una pista o huella encontrada en los datos que sugiere una posible intrusión — un dominio malicioso conocido en los logs, una IP asociada a atacantes, un hash de archivo infectado. Como las huellas dactilares en la escena de un crimen: no son el delito en sí, pero indican que alguien estuvo ahí.

3.4El futuro del SIEM

4.1¿Qué es un playbook?

Un manual de estrategias (playbook o runbook) proporciona una lista predefinida y actualizada de pasos para responder a un incidente, garantizando acciones coherentes independientemente de quién trabaje el caso. Va acompañado de una estrategia (expectativas y responsables) y un plan (cómo completar la tarea). Puede incluir diagramas de flujo y tablas.

Es un documento vivo: se actualiza cuando se identifica un fallo, cambian las normas del sector (leyes, cumplimiento) o evoluciona el panorama de amenazas — un playbook que nadie revisa se queda obsoleto y se vuelve peligroso. Existen playbooks específicos por incidente: ransomware, vishing, BEC… Los de respuesta a incidentes y vulnerabilidades se basan en el plan de continuidad del negocio: la ruta establecida para que la organización se recupere y siga operando pese a una perturbación.

4.2Playbook + SIEM + SOAR

Las tres piezas forman un equipo con roles claros: el SIEM detecta (los ojos: ve el comportamiento inusual y alerta), el SOAR automatiza (los reflejos: ejecuta la respuesta inmediata y repetitiva sin esperar a nadie) y el analista resuelve siguiendo el playbook (el cerebro: investiga y decide con la guía de los pasos predefinidos).

4.3Los 6 pasos de la respuesta a incidentes

La respuesta ante incidentes es el intento rápido de identificar un ataque, contener el daño y corregir sus efectos. Sus 6 pasos siguen la lógica de cualquier emergencia — entiende por qué ese orden y no tendrás que memorizarlo:

• 1 · Preparación: todo lo que se hace antes del incidente — herramientas, formación, playbooks listos. Es el simulacro antes del incendio.
• 2 · Detección: darse cuenta de que algo pasa (aquí entra el SIEM con sus alertas).
• 3 · Análisis: entender qué está pasando exactamente: ¿es real o falsa alarma? ¿Qué alcance tiene? ¿Qué sistemas afecta?
• 4 · Contención: frenar la propagación — aislar los equipos afectados, cortar accesos. Como cerrar la puerta de la habitación en llamas antes de apagar el fuego.
• 5 · Erradicación: eliminar la amenaza de raíz: borrar el malware, cerrar la vulnerabilidad que usó, expulsar al atacante.
• 6 · Recuperación: devolver los sistemas a su funcionamiento normal — restaurar desde backups, reactivar servicios, verificar que todo está limpio.

Todos los términos del Curso 2. Escribe para filtrar.

Sin coincidencias para esa búsqueda.

10 preguntas tipo examen. Haz clic en una opción para comprobar la respuesta.