Capítulo 1 — Un mes para corregir lo básico

Capítulo 1 — Un mes para corregir lo básico

Mapa de la lección

Lección 01 publicada. Mapa, ejemplo, EX051.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["1.1 La alumna"]
  N2["1.2 La clínica"]
  N3["1.3 Lo que guarda la clínica"]
  N4["1.4 Lo que no se puede perder"]
  N5["1.5 Reglas básicas"]
  N6["Datos — dónde está la información de Hollybank"]
  N7["Flujo de decisión — asignar el nivel de un elemento"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX051"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["1.1 La alumna"]
  N2["1.2 La clínica"]
  N3["1.3 Lo que guarda la clínica"]
  N4["1.4 Lo que no se puede perder"]
  N5["1.5 Reglas básicas"]
  N6["Datos — dónde está la información de Hollybank"]
  N7["Flujo de decisión — asignar el nivel de un elemento"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX051"]

[Resultados de aprendizaje]
    |
    v
[1.1 La alumna]
    |
    v
[1.2 La clínica]
    |
    v
[1.3 Lo que guarda la clínica]
    |
    v
[1.4 Lo que no se puede perder]
    |
    v
[1.5 Reglas básicas]
    |
    v
[Datos — dónde está la información de Hollybank]
    |
    v
[Flujo de decisión — asignar el nivel de un elemento]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX051]

Resultados de aprendizaje

Usted va a (1) describir qué cubre el curso rápido de un mes; (2) conocer el caso que acompaña al libro; (3) enumerar lo que guarda una clínica pequeña y lo que no puede perder.

1.1 La alumna

Sofia Lindqvist es la gerente de una pequeña clínica veterinaria. Después de que una empresa vecina perdiera una semana de trabajo a causa de un ransomware, la dueña le pide que se asegure de que la clínica no sea la siguiente. Sofia se matricula en un curso rápido de un mes de seguridad de la información en el ficticio Eastgate Training Centre, con cuatro sesiones semanales y tareas breves entre ellas. Su instructor, el Sr. Tomasz Nowak, pasó años ayudando a pequeñas empresas a recuperarse de incidentes. Le dice a la clase que un mes basta para corregir las debilidades más comunes, aunque no para convertirse en especialista.

1.2 La clínica

Sofia trabaja en la ficticia Hollybank Veterinary Practice, una sola sede con dos veterinarios, cuatro personas de enfermería, tres recepcionistas y un pequeño equipo de oficina, dieciocho empleados en total. La clínica usa un sistema de gestión clínica en la nube para las citas, los historiales de los animales y los pagos, un servicio de correo y archivos en la nube, y nueve ordenadores, además de dos tabletas. Los registros de los clientes guardan nombres, direcciones, teléfonos y el historial de pagos. Un técnico externo acude cuando algo se avería. La dueña, la Dra. Rachel Moss, quiere la clínica protegida sin retrasar el mostrador de recepción en las mañanas de mucha actividad, cuando ya se forman colas.

1.3 Lo que guarda la clínica

En la primera tarea, Sofia enumera la información que guarda la clínica y dónde está. Los historiales de los animales y de los clientes, las citas y los pagos están en el sistema de gestión clínica. Los contratos y las escalas del personal están en carpetas compartidas. Las facturas y los datos bancarios de los proveedores llegan por correo. Los resultados de análisis llegan por correo de un laboratorio externo. Las fotos de marketing para las redes sociales de la clínica también están en carpetas compartidas. El Sr. Nowak le pide que asigne a cada elemento el nivel del daño que causarían una filtración, una modificación errónea o una pérdida, usando alto, medio o bajo.

1.4 Lo que no se puede perder

Sofia acuerda tres prioridades con la Dra. Moss. La clínica no puede perder el acceso al sistema de gestión clínica durante el horario de atención, porque las citas y las notas de tratamiento dependen de él. No puede dejar que se filtren los contactos y los datos de pago de los clientes, porque los clientes se los confían a la clínica y la ley exige que se protejan. Y no puede pagar una factura fraudulenta de un proveedor, porque los márgenes son ajustados. El Sr. Nowak explica que la ISO/IEC 27000:2026 describe la seguridad de la información como la protección de la confidencialidad, de la integridad y de la disponibilidad, y que las tres prioridades de Sofia corresponden exactamente a esos tres objetivos.

1.5 Reglas básicas

El Sr. Nowak fija tres reglas para el mes. Obtener el acuerdo por escrito de la Dra. Moss antes de cambiar cualquier configuración. Nunca poner datos reales de clientes en los trabajos del curso ni en ejemplos compartidos. Anotar cada cambio con la fecha y el motivo, para que el técnico y la Dra. Moss puedan ver qué se hizo. Sofia crea un registro de cambios sencillo en un documento compartido que solo ella y la Dra. Moss pueden abrir. El Sr. Nowak añade que las pequeñas empresas a menudo salen perjudicadas por cambios bienintencionados que nadie registró, porque los problemas posteriores no pueden rastrearse hasta su causa.

Ejemplo resuelto

Sofia entra en el curso rápido, enumera lo que guarda la clínica de dieciocho personas de Hollybank, acuerda tres prioridades ligadas a la confidencialidad, a la integridad y a la disponibilidad, e inicia un registro de cambios.

Caso sintético. Eastgate, Hollybank y todas las personas son sintéticos.

Errores y límites

Los cambios no registrados hacen que los problemas posteriores sean difíciles de rastrear.

Conceptos — tres objetivos, un nivel de daño

La ISO/IEC 27000:2026 nombra la confidencialidad, la integridad y la disponibilidad. El nivel alto, medio o bajo de Sofia es el modo en que Hollybank usa esos objetivos antes de comprar cualquier producto. El nivel no es una impresión de lo secreto que parece un archivo. Es el daño que causarían la lectura por un extraño, una modificación errónea o una pérdida en un lunes real.

Datos — dónde está la información de Hollybank

Cuente los lugares, no las marcas de los productos. Seis tipos de información están en tres lugares: el sistema de la clínica, las carpetas compartidas y el correo. El registro de cambios anota un cambio de lugar. No sustituye el nivel.

Flujo de decisión — asignar el nivel de un elemento

flowchart TD
  A["Un elemento que Sofia sabe nombrar y localizar"] --> B{"¿Un extraño que leyera esto perjudicaría a un cliente o incumpliría un deber?"}
  B -->|Sí| C["Confidencialidad alta"]
  B -->|No| D{"¿Una modificación errónea causaría un pago incorrecto o un tratamiento incorrecto?"}
  D -->|Sí| E["Integridad alta"]
  D -->|No| F{"¿Perder esto en el horario de atención detendría las consultas o las notas?"}
  F -->|Sí| G["Disponibilidad alta"]
  F -->|No| H["Medio o bajo. El elemento sigue en la lista"]
  C --> I["Anote el nivel, el lugar y la fecha en el registro de cambios"]
  E --> I
  G --> I
  H --> I
  I --> J["La Dra. Moss da su acuerdo por escrito antes de cualquier ajuste"]

Un elemento puede ser alto en más de un objetivo. El flujo hace las tres preguntas en orden para que recepción no se detenga en la primera palabra técnica. La línea del registro es la evidencia de que el nivel se asignó. Sin fecha y sin motivo, un problema posterior no puede rastrearse, que es la regla de la sección 1.5.

Ejemplo resuelto — una fotografía que no es de promoción

Una enfermera copia la fotografía de una herida a la carpeta de promoción, para encontrarla en el turno siguiente. El nombre del archivo empieza por el primer nombre del cliente. Sofia no usa la fila de promoción de la tabla. Un extraño que abriera esa carpeta vería una imagen clínica ligada a un cliente, así que la confidencialidad es alta. Un archivo ausente el día de la revisión también ocultaría la comparación que necesita el veterinario, así que la disponibilidad de la copia de trabajo es alta. Sofia mueve la fotografía al sistema de la clínica, borra la copia compartida y escribe el cambio en el registro antes del fin del turno. La Dra. Moss da su acuerdo por escrito porque, al día siguiente, el personal buscará en otro lugar.

Caso sintético. La fotografía, el nombre del archivo y el atajo de la enfermera son inventados. No se muestra ningún animal ni ningún cliente.

Aplicar

• EX051 — Asignar el nivel de un resultado de análisis. Un correo nombra al cliente. Si el texto está mal, el tratamiento de la tarde cambia. Si el correo falta esa mañana, el veterinario no compara el resultado con las notas. Dé el nivel de confidencialidad, el nivel de integridad y diga qué objetivo amenaza primero la ausencia del correo. Rúbrica: 3 = confidencialidad alta porque el cliente está nombrado; integridad alta porque el tratamiento quedaría mal; la disponibilidad es lo primero si el correo falta cuando el veterinario lo necesita;; 2 = dos de esas tres;; 1 = una;; 0 = ninguna.
• EX052 — Registro tardío. Sofia mueve la fotografía el lunes y escribe el registro el viernes. ¿Qué regla falló, y qué puede seguir siendo verdad el miércoles? Rúbrica: 3 = cada cambio se escribe con la fecha y el motivo cuando ocurre; el miércoles la copia compartida puede seguir abierta y nadie rastrea el cambio;; 2 = solo la regla del registro el mismo día;; 1 = vago;; 0 = ninguna.

Ejercicios

• EX001 — Duración del curso. ¿Cuánto dura el curso de Sofia? Rúbrica: 3 = un mes, cuatro sesiones;; 2 = parcialmente correcto;; 1 = parcial;; 0 = ninguna.

• EX002 — Desencadenante. ¿Qué llevó a la dueña a actuar? Rúbrica: 3 = el ransomware de un vecino;; 2 = parcialmente correcto;; 1 = vago;; 0 = ninguna.

• EX003 — Número de empleados. ¿Cuántos empleados tiene Hollybank? Rúbrica: 3 = dieciocho;; 2 = parcialmente correcto;; 1 = incorrecto;; 0 = ninguna.

• EX004 — Sistema central. ¿Dónde están los historiales de los animales y las citas? Rúbrica: 3 = sistema de gestión clínica en la nube;; 2 = parcialmente correcto;; 1 = otro;; 0 = ninguna.

• EX005 — Número de dispositivos. ¿Cuántos ordenadores y tabletas usa la clínica? Rúbrica: 3 = nueve ordenadores, dos tabletas;; 2 = los dos;; 1 = uno;; 0 = ninguna.

• EX006 — Condición de la dueña. ¿Qué pidió la Dra. Moss? Rúbrica: 3 = protección sin retrasar la recepción;; 2 = parcialmente correcto;; 1 = vago;; 0 = ninguna.

• EX007 — Resultados de análisis. ¿Cómo llegan los resultados de los análisis de laboratorio? Rúbrica: 3 = por correo;; 2 = parcialmente correcto;; 1 = otro;; 0 = ninguna.

• EX008 — Nivel del daño. ¿Cómo asigna Sofia el nivel de cada elemento de información? Rúbrica: 3 = daño alto, medio o bajo;; 2 = parcialmente correcto;; 1 = vago;; 0 = ninguna.

• EX009 — Prioridad de disponibilidad. ¿Qué prioridad trata de la disponibilidad? Rúbrica: 3 = el sistema de la clínica en el horario de atención;; 2 = parcialmente correcto;; 1 = otra;; 0 = ninguna.

• EX010 — Prioridad de integridad. ¿Qué prioridad trata de la integridad? Rúbrica: 3 = no pagar una factura fraudulenta;; 2 = parcialmente correcto;; 1 = otra;; 0 = ninguna.

• EX011 — Norma citada. ¿Qué norma describe los tres objetivos? Rúbrica: 3 = ISO/IEC 27000:2026;; 2 = parcialmente correcto;; 1 = otra;; 0 = ninguna.

• EX012 — Acceso al registro de cambios. ¿Quién puede abrir el registro de cambios? Rúbrica: 3 = Sofia y la Dra. Moss;; 2 = parcialmente correcto;; 1 = otra persona;; 0 = ninguna.

• EX013 — Motivo del registro. ¿Por qué anotar cada cambio? Rúbrica: 3 = para que los problemas puedan rastrearse;; 2 = parcialmente correcto;; 1 = vago;; 0 = ninguna.

Siga estudiando — lección 01 (capítulo 01 de 04)

← Inicio del curso · Índice de lecciones · Capítulo 02 →

Continúe con la siguiente lección ya redactada.