Capítulo 2 — Alcance, permiso y práctica segura | Curso rápido Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 2 — Alcance, permiso y práctica segura

Mapa de la lección

Lección 02 publicada. Mapa, ejemplo, EX014.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Autorización y alcance"]
  N2["Visual 2 — el límite del permiso"]
  N3["2.2 Por qué «solo comprobar» es peligroso aquí"]
  N4["2.4 Comunicar bien"]
  N5["2.5 Compartir información con cuidado: TLP"]
  N6["2.6 Lugares seguros para practicar"]
  N7["2.8 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX014"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Autorización y alcance"]
  N2["Visual 2 — el límite del permiso"]
  N3["2.2 Por qué «solo comprobar» es peligroso aquí"]
  N4["2.4 Comunicar bien"]
  N5["2.5 Compartir información con cuidado: TLP"]
  N6["2.6 Lugares seguros para practicar"]
  N7["2.8 Actividad práctica"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX014"]

[Resultados de aprendizaje y conexión]
    |
    v
[2.1 Autorización y alcance]
    |
    v
[Visual 2 — el límite del permiso]
    |
    v
[2.2 Por qué «solo comprobar» es peligroso aquí]
    |
    v
[2.4 Comunicar bien]
    |
    v
[2.5 Compartir información con cuidado: TLP]
    |
    v
[2.6 Lugares seguros para practicar]
    |
    v
[2.8 Actividad práctica]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX014]

Resultados de aprendizaje y conexión

Al terminar este capítulo será capaz de:

explicar qué significan autorización y alcance, y por qué las buenas intenciones no los sustituyen;
enumerar lo que un recién llegado puede y no puede hacer con un sistema de un servicio esencial;
explicar por qué «solo comprobar» puede ser peligroso en entornos operativos;
comunicar un evento sospechoso con claridad, con los hechos adecuados y sin investigar;
usar el Protocolo de Semáforo (TLP) para decidir quién puede recibir una información;
elegir lugares seguros para practicar habilidades de seguridad.

El capítulo 1 mostró por qué importan estos servicios. Este capítulo fija los límites que mantienen segura su curiosidad. Después, el capítulo 3 mira dentro de un servicio.

2.1 Autorización y alcance

La autorización es el permiso, otorgado por la persona u organización dueña de un sistema, para hacer algo concreto con él. El alcance es el límite exacto de ese permiso: qué sistemas, qué acciones, cuándo y por quién. Una autorización válida suele constar por escrito, nombra al dueño que la otorga e indica qué hacer si algo sale mal. De ello se siguen dos consecuencias:

Tener acceso no es tener permiso. Su usuario del centro de salud le permite reservar citas. No le autoriza a explorar otras carpetas, probar cuentas de otras personas ni comprobar si el sistema se puede romper.
Las buenas intenciones no son una autorización. «Solo estaba comprobando si era seguro» no es una defensa. Muchos países consideran delito el acceso no autorizado a un sistema informático, sea cual sea el motivo, y los empleadores lo consideran una falta.

Los profesionales de las pruebas de seguridad trabajan con reglas de enfrentamiento escritas precisamente por esta razón; la guía del NIST sobre pruebas técnicas de seguridad describe la planificación, las reglas y las aprobaciones previas a cualquier prueba (NIST SP 800-115). Ese nivel de pruebas no forma parte de este curso.

Visual 2 — el límite del permiso

flowchart TD
    A[Idea de inspeccionar o cambiar un servicio] --> B{¿Existe autorización del responsable para esta acción exacta?}
    B -- No o incierto --> C[No actuar; informar de la observación]
    B -- Sí --> D{¿Sistema, momento y método están dentro del alcance?}
    D -- No o incierto --> C
    D -- Sí --> E[Solo el equipo autorizado sigue el procedimiento aprobado]

Alternativa textual: para inspeccionar o cambiar un servicio se necesitan permiso explícito del responsable y alcance exacto. Si falta cualquiera de ellos, deténgase e informe; solo actúa el equipo autorizado. Tener acceso o buena intención no reemplaza estos requisitos.

2.2 Por qué «solo comprobar» es peligroso aquí

Los sistemas operativos de planta —los ordenadores que hacen funcionar bombas, válvulas, interruptores, dispositivos médicos y señalización— suelen ser antiguos, estar delicadamente ajustados y estar hechos para funcionar sin interrupción. La guía de tecnología operativa advierte de que acciones rutinarias en la informática de oficina, como escanear una red, pueden perturbar estos sistemas (NIST SP 800-82 Rev. 3). Un recién llegado bienintencionado que «solo comprueba» un dispositivo puede detenerlo, provocar falsas alarmas que aparten a los operadores del trabajo real o dejar el dispositivo en un estado inseguro. En un servicio esencial, la curiosidad más segura es la que hace una pregunta en lugar de pulsar un botón.

2.3 Los límites del recién llegado

Puede	No puede
Usar los sistemas que le dieron, para el trabajo que le encargaron.	Explorar, probar, escanear o «toquetear» cualquier sistema, incluidos los de su propio empleador.
Bloquear la pantalla, proteger su contraseña y usar el segundo factor que le dieron.	Compartir su usuario o usar el de otra persona, ni siquiera «solo esta vez».
Fijarse en lo extraño y anotar lo que vio.	Investigar: abrir archivos adjuntos sospechosos para «ver qué hacen», seguir enlaces o probar contraseñas.
Comunicarlo por el canal oficial.	Arreglar las cosas por su cuenta, reiniciar dispositivos clínicos u operativos compartidos o cambiar configuraciones.
Leer guías públicas y practicar en entornos sintéticos o de estudio.	Practicar en servicios reales, incluidos los sitios web públicos, sin permiso escrito.
Preguntar «¿quién es el dueño de esto?».	Publicar fotos, capturas de pantalla o detalles de debilidades en redes sociales.

2.4 Comunicar bien

Un buen aviso es breve, se ciñe a los hechos y se hace rápido. Responde a cinco preguntas:

¿Qué vio? (Las palabras exactas en pantalla, la dirección del remitente, lo que ocurrió.)
¿Cuándo? (Fecha y hora, con su zona horaria.)
¿Dónde? (Qué ordenador, sala, sistema o cuenta de correo.)
¿Qué hizo? (Por ejemplo: «No hice clic», o con honestidad «Hice clic en el enlace y escribí mi contraseña».)
¿Cuál es el posible efecto? (A quién o a qué podría afectar, en una frase y marcada como suposición.)

La honestidad importa sobre todo en el punto 4. Comunicar rápido que sí hizo clic es mucho más útil que ocultarlo: cuanto antes lo sepa el dueño, antes podrá restablecer una contraseña o aislar un equipo. Las organizaciones que castigan los avisos honestos reciben menos. Comuníquelo por el canal que indique su organización: un supervisor, el servicio de asistencia informática o un buzón de seguridad. Muchos organismos nacionales también aceptan avisos de incidentes de organizaciones; en Estados Unidos, por ejemplo, la CISA publica una vía para comunicarlos (CISA, Report to CISA). Como recién llegado, comuníquelo primero internamente, salvo que su organización le indique otra cosa.

2.5 Compartir información con cuidado: TLP

Los detalles sobre debilidades e incidentes pueden ayudar a los atacantes. El Protocolo de Semáforo (TLP, Traffic Light Protocol) 2.0 es un conjunto sencillo de etiquetas que indica a los destinatarios hasta dónde pueden compartir una información (FIRST, Traffic Light Protocol):

Etiqueta	Quién puede recibirla
TLP:RED	Solo las personas nombradas que están presentes; no se comparte más.
TLP:AMBER+STRICT	Solo la propia organización del destinatario.
TLP:AMBER	La organización del destinatario y sus clientes, según la necesidad de conocerla.
TLP:GREEN	La comunidad del destinatario, pero no los canales públicos.
TLP:CLEAR	Cualquiera; sin más restricción que las normas habituales, como los derechos de autor.

Si recibe algo etiquetado, respete la etiqueta. Si algo no está etiquetado y podría ser delicado, no lo comparta fuera de su organización; pregunte al remitente.

2.6 Lugares seguros para practicar

Puede adquirir habilidades reales sin tocar nada real: los ejemplos resueltos y el laboratorio de este libro; material de estudio como los informes públicos de incidentes; entornos de formación deliberadamente vulnerables que usted mismo ejecute, sin conexión, en su propio ordenador; y kits públicos de ejercicios pensados para el debate, como Exercise in a Box del NCSC del Reino Unido (NCSC, Exercise in a Box). Los hábitos cotidianos de seguridad personal —contraseñas robustas y únicas, autenticación multifactor, actualizaciones y saber reconocer el phishing— también son un buen punto de partida (CISA, Secure Our World).

2.7 Ejemplo resuelto: el contratista servicial (sintético)

El jueves por la tarde, un hombre desconocido llega al mostrador del centro de salud. «Soy de LinkNet», dice. «Se os cae internet. Tengo que conectar esta caja a vuestro armario de red; solo serán cinco minutos. K. Ito dijo que no había problema.» Sam no lo ha visto nunca; Ito está fuera del centro. Las decisiones de Sam:

Autorización. La red no es de Sam, y Sam no puede autorizar trabajos en ella. Una afirmación verbal de que «Ito dijo que no había problema» no es una autorización.
Verificar por un canal conocido. Sam le pide que espere y llama a H. Novak y a K. Ito a los números de la lista de contactos del centro, no a un número que ofrezca el visitante.
Nada de «solo cinco minutos». Aunque sea auténtico, un dispositivo conectado a la red del centro sin aprobación podría afectar al sistema de citas durante el horario de consulta.
Comunicarlo. Ito dice que no hay ningún trabajo programado. Novak pide al visitante que se marche y concierta una visita en regla con LinkNet. Sam redacta un aviso:

Qué: un hombre que decía ser de LinkNet pidió conectar un dispositivo al armario de red; dijo que K. Ito lo había aprobado. Cuándo: jueves, 14:20 (hora local). Dónde: mostrador de recepción, Larkfield Community Clinic. Qué hice: no le dejé entrar en la sala del armario; llamé a H. Novak y a K. Ito a los números de la lista de contactos del centro; Ito confirmó que no había ninguna visita programada. Posible efecto (suposición): intento de obtener acceso a la red del centro. Descripción: alto, chaqueta gris del estilo de LinkNet, no mostró ninguna acreditación.

Sam etiqueta el aviso como TLP:AMBER+STRICT al enviarlo por correo a Novak: se queda dentro del centro. Sam no publica nada al respecto.

2.8 Actividad práctica

Escriba su propia «tarjeta de límites»: cinco cosas que puede hacer y cinco que no puede hacer con los sistemas de su lugar de trabajo o centro de estudios, con sus propias palabras. Después redacte un aviso, con las cinco preguntas de 2.4, sobre un correo sospechoso que haya recibido personalmente (elimine los datos personales). No haga clic en nada del correo para reunir más datos. Guarde la tarjeta de límites donde la vea y compárela con la de un compañero: si uno de ustedes permite algo que el otro prohíbe, comprueben cuál tiene razón con la tabla de lo que se puede y no se puede hacer. En el aviso sobre el correo, el punto 4 debe decir con honestidad lo que hizo, aunque fuera abrir el mensaje. Marque el posible efecto como suposición, como hizo Sam en el aviso sobre el contratista.

2.9 Errores comunes y límites

Confundir acceso con permiso.
«Investigar» un correo o dispositivo sospechoso antes de comunicarlo, con lo que se destruyen pruebas o se extiende el daño.
Retrasar un aviso por vergüenza de haber hecho clic.
Verificar la identidad de quien llama con los datos de contacto que esa misma persona le dio.
Compartir de más: publicar una captura de pantalla de una debilidad «para avisar a la gente».
Aceptar la mención de un nombre, como «K. Ito dijo que no había problema», como permiso, cuando solo el dueño puede autorizar el trabajo.
Compartir un aviso etiquetado más allá de lo que permite su etiqueta, algo que Sam evitó al mantener el aviso sobre el contratista dentro del centro.
Límites: este capítulo es una orientación general, no asesoramiento jurídico. Las leyes sobre el acceso no autorizado y sobre las obligaciones de comunicación varían según el país y el sector; siga la política de su organización.

Ejercicios — capítulo 2

EX014 — ¿Acceso o permiso? Objetivo: distinguir ambas cosas. Insumos: Sam puede abrir por accidente una carpeta compartida llamada «Payroll» (nóminas). Pasos: decir si Sam puede abrir los archivos y qué debe hacer. Evidencia esperada: dos o tres frases. Rúbrica: 3 = no abre los archivos y comunica el acceso excesivo al supervisor para que el dueño corrija los permisos; 2 = no los abre, pero no lo comunica; 1 = los abre «para comprobar»; 0 = nada.

EX015 — Buenas intenciones. Objetivo: explicar por qué el motivo no autoriza. Insumos: un compañero dice «no pasa nada por probar si la web del agua del pueblo tiene debilidades, porque les avisaría si encontrara algo». Pasos: responder en tres frases. Evidencia esperada: la respuesta. Rúbrica: 3 = explica que no hay autorización del dueño, que probablemente es ilegal y que podría perturbar un servicio público, y sugiere practicar en un laboratorio o leer la política de divulgación publicada por la organización; 2 = dos de estos puntos; 1 = uno; 0 = nada.

EX016 — Elementos del alcance. Objetivo: reconocer lo que contiene una autorización válida. Insumos: la sección 2.1. Pasos: enumerar cuatro cosas que debe indicar una autorización escrita. Evidencia esperada: la lista. Rúbrica: 3 = quién es el dueño y aprueba, qué sistemas, qué acciones, cuándo (ventana), además de quién lo hace o qué hacer si algo sale mal; 2 = tres elementos; 1 = uno o dos; 0 = nada.

EX017 — ¿Por qué no escanear? Objetivo: explicar la fragilidad de la TO. Insumos: la sección 2.2. Pasos: explicar en dos frases por qué un escaneo de red inofensivo en una oficina podría ser dañino en una planta de agua. Evidencia esperada: dos frases. Rúbrica: 3 = los dispositivos antiguos y sensibles pueden detenerse o comportarse mal, y un dispositivo detenido puede afectar a un proceso físico o a la seguridad de las personas; 2 = menciona una de las dos cosas; 1 = vago; 0 = nada.

EX018 — Clasificar límites. Objetivo: aplicar la tabla de lo que se puede y no se puede hacer. Insumos: (a) bloquear la pantalla; (b) reiniciar el controlador del frigorífico de la farmacia porque su pantalla se ha congelado; (c) comunicar que se ha encontrado una memoria USB sospechosa en el aparcamiento; (d) conectar esa memoria USB para encontrar a su dueño; (e) usar el usuario de un colega porque el suyo ha caducado; (f) leer un aviso público de la CISA. Pasos: marcar cada uno como «puede» o «no puede». Evidencia esperada: seis marcas. Rúbrica: 3 = puede: a, c, f; no puede: b, d, e, con un motivo para cada «no puede»; 2 = todo correcto sin motivos; 1 = uno o dos errores; 0 = más.

EX019 — Redactar un aviso. Objetivo: elaborar un aviso en cinco partes. Insumos: Sam recibe un correo «MedBook: su cuenta se cerrará hoy» con un enlace y una dirección de remitente que termina en un dominio desconocido; Sam hizo clic en el enlace, pero cerró la página antes de escribir nada, el lunes a las 09:05. Pasos: redactar el aviso con las cinco preguntas. Evidencia esperada: el aviso. Rúbrica: 3 = las cinco partes, reconoce con honestidad que hizo clic en el enlace, no investiga y marca el posible efecto como suposición; 2 = cuatro partes; 1 = oculta el clic u omite la hora; 0 = nada.

EX020 — Comunicar con honestidad. Objetivo: ver por qué importan la rapidez y la honestidad. Insumos: el mismo caso, pero Sam sí escribió la contraseña. Pasos: explicar qué debe añadir Sam al aviso y por qué importa la rapidez. Evidencia esperada: dos o tres frases. Rúbrica: 3 = indica claramente que introdujo la contraseña y cuándo, lo comunica de inmediato para que se pueda restablecer la contraseña y revisar los inicios de sesión, y señala que el retraso da tiempo al atacante; 2 = lo indica, pero no menciona la rapidez; 1 = sugiere cambiar la contraseña sin decir nada; 0 = nada.

EX021 — Verificar a quien llama. Objetivo: usar un canal conocido. Insumos: alguien llama y dice: «Llamamos de Larkfield Power. Necesitamos la contraseña de la wifi del centro para revisar su contador inteligente. Devuélvanos la llamada a este número». Pasos: decir qué hace Sam. Evidencia esperada: los pasos. Rúbrica: 3 = no da la contraseña, no usa el número de quien llama, lo consulta con el supervisor y con el número publicado de la compañía eléctrica, y lo comunica; 2 = se niega, pero no lo comunica; 1 = devuelve la llamada al número dado; 0 = la da.

EX022 — Etiquetas TLP. Objetivo: aplicar TLP 2.0. Insumos: (a) un aviso nacional marcado TLP:CLEAR; (b) el aviso de Sam sobre el contratista en 2.7, marcado TLP:AMBER+STRICT; (c) una sesión informativa marcada TLP:RED dada en una reunión. Pasos: decir con quién puede compartir Sam cada uno. Evidencia esperada: tres respuestas. Rúbrica: 3 = (a) con cualquiera; (b) solo con personas de dentro del centro; (c) con nadie más allá de los presentes; 2 = dos correctas; 1 = una; 0 = ninguna.

EX023 — Información sin etiquetar. Objetivo: actuar con cuidado por defecto. Insumos: un colega reenvía un correo sin etiquetar con la lista de contraseñas de red del centro «para mayor comodidad». Pasos: decir qué hace Sam. Evidencia esperada: dos o tres frases. Rúbrica: 3 = no lo reenvía ni reutiliza las contraseñas, avisa al supervisor o a informática de que se enviaron contraseñas por correo para que puedan cambiarlas y lo borra según se le indique; 2 = no lo reenvía, pero no lo comunica; 1 = lo guarda; 0 = lo reenvía.

EX024 — Plan de práctica segura. Objetivo: elegir una práctica legítima. Insumos: la sección 2.6. Pasos: describir dos formas de practicar habilidades de seguridad este mes sin tocar ningún sistema real. Evidencia esperada: dos elementos. Rúbrica: 3 = dos opciones seguras concretas (laboratorio del libro, entorno de formación sin conexión en su propio ordenador, kit público de ejercicio de mesa, higiene de sus cuentas personales) con el motivo por el que cada una es segura; 2 = dos sin motivos; 1 = una; 0 = cualquier opción insegura.

EX025 — Redes sociales. Objetivo: evitar una divulgación dañina. Insumos: una amistad de Sam quiere publicar «¡Larkfield Water sigue usando contraseñas por defecto!» para avisar al público. Pasos: explicar el riesgo y una vía mejor. Evidencia esperada: tres frases. Rúbrica: 3 = publicarlo podría ayudar a los atacantes a apuntar a un servicio crítico para la seguridad antes de que se corrija, y puede no estar verificado; mejor: avisar a la empresa de agua por su contacto o vía de divulgación, o a su supervisor si trabaja allí; 2 = solo el riesgo; 1 = vago; 0 = anima a publicarlo.

EX026 — Reflexión sobre el caso del contratista. Objetivo: extraer las decisiones de 2.7. Insumos: el ejemplo resuelto. Pasos: enumerar las cuatro decisiones que tomó Sam y el principio en que se basa cada una. Evidencia esperada: cuatro pares. Rúbrica: 3 = no le corresponde autorizar / la autorización debe venir del dueño; verificó con contactos conocidos / no fiarse de los datos que da quien llama; rechazó los «cinco minutos» / los cambios no aprobados pueden perturbar el servicio; lo comunicó y lo etiquetó / comunicar y compartir con cuidado; 2 = tres; 1 = una o dos; 0 = nada.

Síntesis del capítulo

El permiso lo da el dueño del sistema, es concreto y suele constar por escrito; ni el acceso ni las buenas intenciones son permiso. En los servicios esenciales, «solo comprobar» puede perturbar procesos reales, así que las acciones seguras de un recién llegado son usar lo que le dieron, fijarse, comunicarlo rápido y con honestidad por un canal conocido, y compartir con cuidado mediante etiquetas como las del TLP. Las habilidades se adquieren en entornos sintéticos y de estudio, nunca en servicios en funcionamiento.

Siga estudiando — capítulo 02 de 04

← Capítulo 01 · Índice de capítulos del curso · Capítulo 03 →

Continúe con la siguiente lección escrita.