Capítulo 18 — Métodos de investigación I | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 18 publicada. Mapa, ejemplo, EX035.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["18.1 Del tema a la pregunta"]
  N2["18.2 Diseños"]
  N3["18.3 La bibliografía, de forma sistemática"]
  N4["18.4 Validez"]
  N5["18.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX035"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["18.1 Del tema a la pregunta"]
  N2["18.2 Diseños"]
  N3["18.3 La bibliografía, de forma sistemática"]
  N4["18.4 Validez"]
  N5["18.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX035"]

[Resultados de aprendizaje y conexión]
    |
    v
[18.1 Del tema a la pregunta]
    |
    v
[18.2 Diseños]
    |
    v
[18.3 La bibliografía, de forma sistemática]
    |
    v
[18.4 Validez]
    |
    v
[18.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX035]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) convertir un tema en una pregunta investigable; (2) elegir entre diseños descriptivos, comparativos, experimentales y de estudio de caso; (3) buscar, cribar y resumir la bibliografía de forma sistemática y registrar cómo lo hizo; y (4) identificar las amenazas a la validez en un estudio de seguridad. Se apoya en los capítulos 4, 12 y 15 y prepara el capítulo 23 (métodos de riesgo), el capítulo 33 (métodos de investigación II) y la propuesta del proyecto final (capítulo 35).

18.1 Del tema a la pregunta

«El ransomware en los hospitales» es un tema. Una pregunta de investigación es lo bastante específica como para que la evidencia pueda responderla y alguien pueda discrepar: «En los incidentes de ransomware notificados públicamente que afectaron a hospitales entre 2017 y 2024, ¿con qué frecuencia describieron los informes un recurso a procesos en papel y qué límites de ese recurso mencionaron?». Una buena pregunta nombra la población (qué hospitales, qué incidentes), las variables (recurso descrito, límites mencionados), el marco temporal y el tipo de respuesta (una proporción y unos temas). En el nivel de grado, las preguntas que comparan (opciones, sectores, métodos) se ajustan mejor al resultado del curso que las que pretenden descubrir algo nuevo.

18.2 Diseños

Los estudios descriptivos dicen lo que hay (una encuesta de inventario; un recuento de avisos por sector). Los estudios comparativos contrastan grupos u opciones con los mismos criterios. Los estudios experimentales cambian una cosa de forma deliberada y miden el efecto, idealmente frente a un control (el experimento con el umbral del detector del capítulo 27). Los estudios de caso examinan uno o unos pocos casos en profundidad, con varias fuentes; explican el cómo y el porqué, pero generalizan con cautela. Elija el diseño que necesita la pregunta, no el que parece más científico.

Para la pregunta sobre las copias de seguridad del CEDC, el diseño adecuado es el comparativo: tres estrategias puntuadas con los mismos criterios. Un experimento compararía simulacros en condiciones controladas, y un estudio de caso examinaría a fondo una restauración pasada. Cada uno responde a una pregunta distinta, así que elija el diseño después de redactar la pregunta.

18.3 La bibliografía, de forma sistemática

Buscar fuentes es en sí un método y debe registrarse: bases de datos y sitios consultados, términos de búsqueda, fecha, criterios de inclusión y exclusión, cantidades encontradas y conservadas. Distinga las fuentes primarias (un aviso de una agencia, el informe de un regulador, un estudio revisado por pares) de las secundarias (un artículo de prensa o un blog que las resume). Prefiera las primarias, cite lo que ha leído (capítulo 4) y registre por qué excluyó lo que excluyó para que otra persona pueda repetir el cribado. Basta con una hoja de cálculo sencilla: fuente, tipo, fecha, pertinencia, hallazgo clave, límites.

18.4 Validez

Cuatro amenazas clásicas. Validez de constructo: ¿capta la medida el concepto? (Contar los «incidentes notificados» mide la notificación, no los incidentes). Validez interna: ¿es la causa alegada realmente la causa? (Los hospitales con más personal de seguridad pueden notificar más incidentes porque detectan más). Validez externa: ¿se generaliza el resultado? (Los hallazgos de grandes hospitales urbanos pueden no aplicarse a clínicas rurales). Fiabilidad: ¿obtendría otro investigador el mismo resultado? (Dos codificadores que clasifican informes de incidentes deberían coincidir; mida su concordancia). La crítica de Sommer y Paxson a la detección de intrusiones con aprendizaje automático es un ejemplo clásico de problemas de validez externa en la investigación en seguridad (Sommer and Paxson, 2010).

18.5 Ejemplo resuelto: una pregunta comparativa (plan sintético)

Este plan es sintético. Un estudiante del programa de prácticas de la CRP pregunta: «¿Cuál de tres estrategias de copia de seguridad respalda mejor la restauración en cuatro horas del servicio de despacho del CEDC?». Diseño: comparativo, con los mismos criterios (tiempo de restauración medido en un simulacro aislado, resiliencia frente al compromiso del servidor de copias, carga operativa, coste). Datos: tres restauraciones cronometradas en un entorno de pruebas aislado proporcionado por el CEDC con autorización escrita, documentación del fabricante y entrevistas con dos administradores. Notas de validez: tres simulacros son una muestra pequeña (informar intervalos, capítulo 37); el entorno de pruebas puede diferir de producción (validez externa: documentar las diferencias); el estudiante diseñó los simulacros (fiabilidad: pedir a un administrador que repita uno). Resultado: una recomendación con las suposiciones declaradas, no una afirmación universal sobre productos de copia de seguridad.

18.6 Actividad práctica

Redacte tres preguntas de investigación sobre un tema de su elección en seguridad de sectores críticos: una descriptiva, una comparativa y una de estudio de caso. Para cada una, nombre la población, las variables, el marco temporal y el tipo de evidencia que necesitaría. Por ejemplo, sobre dispositivos médicos sin soporte: descriptiva, «¿cuántos dispositivos clínicos del CVH habían superado el fin del soporte en 2026?»; comparativa, «¿cuál de tres enfoques reduce más la exposición dentro de un presupuesto?»; estudio de caso, «¿cómo gestionó un hospital sus estaciones de trabajo de imagen durante un retraso en la sustitución?». Anote para cada una si la evidencia puede obtenerse con autorización.

18.7 Errores comunes y límites

Preguntas demasiado amplias para responderlas o demasiado estrechas para que importen.
Búsquedas bibliográficas no registradas que no pueden repetirse.
Generalizar en exceso a partir de un solo caso.
Confundir la correlación en los datos de incidentes con la causa.
Recoger datos sobre personas o sistemas reales sin aprobación ética ni autorización (capítulo 10).

El plan sobre las copias del CEDC evita estos errores al nombrar la población (el servicio de despacho del CEDC), limitar la afirmación a tres estrategias, registrar las fuentes y tratar tres simulacros como una muestra pequeña. Un estudio sobre «el ransomware en los hospitales» no superaría la primera prueba. Un estudiante que entrevistara a administradores del CEDC sin consentimiento no superaría la quinta, fuera cual fuera la calidad del análisis.

Ejercicios — capítulo 18

EX035 — Afinar la pregunta. Objetivo: hacer investigable un tema. Entradas: el tema «el phishing en el sector energético». Pasos: redacte una pregunta de investigación con población, variables, marco temporal y tipo de respuesta; indique qué diseño encaja. Evidencia esperada: pregunta y diseño. Rúbrica: 3 = específica, respondible con evidencia obtenible, diseño justificado; 2 = específica, pero con evidencia no obtenible; 1 = sigue siendo un tema; 0 = nada.

EX036 — Nombrar la amenaza. Objetivo: identificar amenazas a la validez. Entradas: «Los hospitales que compraron el producto X tuvieron un 40 % menos de incidentes de ransomware notificados, así que X previene el ransomware». Pasos: nombre y explique tres amenazas a la validez. Evidencia esperada: tres amenazas. Rúbrica: 3 = de constructo (notificados frente a reales), interna (factores de confusión como el presupuesto o la madurez, selección), externa (qué hospitales) o fiabilidad; 2 = dos; 1 = una; 0 = nada.

Síntesis del capítulo

La investigación empieza con una pregunta lo bastante específica como para ser respondida y discutida. Elija el diseño que necesita la pregunta, busque y criba la bibliografía de un modo que otra persona pueda repetir, y nombre las amenazas a la validez antes de que lo haga un revisor.