Tema 2
Para proteger correctamente un entorno primero hay que saber qué tiene valor, por dónde puede ser alcanzado y qué propiedades de seguridad deben preservarse. Esta unidad establece esa base de análisis.
Una gran parte de los problemas de seguridad no aparece porque falten herramientas, sino porque no existe claridad sobre qué activos son críticos, qué exposición tienen y qué impacto produciría su compromiso. Sin esa visión, los controles suelen aplicarse de forma reactiva o desordenada.
Este tema estudia tres ideas centrales. La primera es el concepto de activo: aquello que tiene valor y debe protegerse. La segunda es la superficie de ataque: todos los puntos por los que un atacante o una amenaza pueden interactuar con esos activos. La tercera son los objetivos de seguridad, es decir, las propiedades que deben mantenerse para que la organización opere de forma confiable.
Un activo es cualquier recurso que aporta valor al negocio, a la operación o a una persona y cuya pérdida, alteración, exposición o indisponibilidad generaría consecuencias negativas. En seguridad, hablar de activos permite ordenar prioridades: no todo merece el mismo nivel de protección.
El valor de un activo puede ser económico, operativo, legal, estratégico o reputacional. Por ejemplo, una base de clientes tiene valor comercial y legal; un servidor de autenticación tiene valor operativo; un secreto industrial tiene valor estratégico.
| Categoría | Ejemplos | Riesgos frecuentes |
|---|---|---|
| Información | Datos personales, financieros, médicos, diseños, claves | Robo, filtración, manipulación, cifrado malicioso |
| Activos físicos | Servidores, notebooks, móviles, discos, equipamiento de red | Robo, daño, sabotaje, acceso físico no autorizado |
| Activos lógicos | Aplicaciones, bases de datos, sistemas operativos, APIs | Explotación de fallas, abuso de funciones, escalada de privilegios |
| Identidades | Usuarios, cuentas de servicio, administradores, proveedores | Suplantación, robo de credenciales, abuso interno |
| Servicios | Correo, VPN, DNS, nube, autenticación, portales | Caídas, interrupciones, denegación de servicio |
| Procesos y conocimiento | Procedimientos, reglas de negocio, know-how | Fraude, dependencia de personas clave, pérdida de continuidad |
Un programa serio de seguridad necesita un inventario actualizado de activos. Si una organización no sabe qué tiene, dónde está, quién lo usa y qué tan crítico es, no puede medir exposición real ni aplicar controles coherentes.
No todos los activos son igual de importantes. La criticidad ayuda a establecer prioridades de protección. Para definirla se suelen considerar preguntas como:
Un activo crítico exige controles más estrictos, monitoreo más cercano y tiempos de recuperación más exigentes que uno secundario.
La superficie de ataque es el conjunto de entradas, interfaces, servicios, dependencias y comportamientos que podrían ser utilizados para alcanzar un activo. Es, en términos simples, el mapa de exposición de un entorno.
Esta superficie no se limita a servidores publicados en Internet. También incluye usuarios, procesos internos, integraciones con terceros, accesos remotos, software desactualizado, APIs, credenciales, dispositivos móviles y configuraciones incorrectas.
| Tipo | Incluye | Ejemplos |
|---|---|---|
| Externa | Todo lo accesible desde Internet o por terceros | Sitios web, VPN, correo, APIs públicas, paneles de administración |
| Interna | Recursos accesibles desde la red corporativa | Shares, sistemas internos, impresoras, dominios, bases internas |
| Humana | Interacciones y decisiones de personas | Phishing, ingeniería social, errores, abuso de permisos |
| De terceros | Conexiones con proveedores o socios | Accesos remotos, software de terceros, cadena de suministro |
| Física | Acceso material a dispositivos o instalaciones | Puertos USB, salas de servidores, notebooks sin resguardo |
En general, toda complejidad no controlada tiende a aumentar la exposición. Por eso la seguridad también consiste en simplificar, limitar y ordenar.
Reducir la superficie de ataque implica cerrar, limitar o proteger puntos de entrada innecesarios o débiles. Es una estrategia preventiva muy efectiva porque disminuye oportunidades antes de que el ataque ocurra.
Una vez identificados los activos y su exposición, es necesario definir qué propiedades de seguridad deben preservarse. Los objetivos clásicos son confidencialidad, integridad y disponibilidad, pero en la práctica también importan autenticidad, trazabilidad y no repudio.
La confidencialidad busca que la información solo sea accesible para quienes están autorizados. Se relaciona con secretos comerciales, datos personales, credenciales, información financiera y cualquier dato sensible.
La pérdida de confidencialidad puede producirse por filtraciones, espionaje, accesos indebidos, credenciales robadas o configuraciones incorrectas en almacenamiento y nube.
La integridad asegura que los datos y sistemas no sean alterados de forma indebida, accidental o maliciosa. No alcanza con que la información exista: debe ser correcta, completa y confiable.
Una pérdida de integridad puede significar registros manipulados, órdenes alteradas, archivos dañados, configuración modificada o resultados de negocio incorrectos.
La disponibilidad busca que sistemas, datos y servicios estén accesibles cuando se los necesita. Un activo puede conservar confidencialidad e integridad, pero si no está disponible en el momento oportuno, igual puede producir un daño severo.
Estos objetivos aparecen con fuerza en auditoría, cumplimiento normativo, firma digital, monitoreo y gestión de incidentes.
Los tres conceptos deben analizarse juntos. Un activo define qué importa. La superficie de ataque muestra por dónde puede ser alcanzado. Los objetivos de seguridad indican qué propiedades deben resguardarse. A partir de esa combinación se decide qué controles son razonables.
Identificar activos, entender la superficie de ataque y definir objetivos de seguridad es el paso previo a cualquier estrategia de defensa coherente. Sin ese marco, la seguridad se vuelve dispersa; con él, es posible priorizar, justificar controles y analizar riesgos con más precisión.
En el próximo tema se profundizará en la diferencia entre amenaza, vulnerabilidad, riesgo, impacto y explotación, completando el vocabulario central del curso.