Fundamentos de Ciberseguridad: Guía Completa para Principiantes

Serie Fundamentos de Ciberseguridad — Parte 1. Esta publicación es el punto de partida de una serie sobre ciberseguridad. Te da el panorama general de cómo funciona la seguridad digital; cada próxima publicación de la serie tomará una parte de ese panorama y la explorará a fondo.

Todos los días hay personas que pierden el acceso a su correo, pequeñas empresas cuyos archivos quedan bloqueados por un ransomware y sitios web que caen en manos de ataques automatizados. La mayoría de estos incidentes no involucran hackers brillantes ni robos de película. Ocurren por una contraseña reutilizada, un plugin sin actualizar, un correo convincente o una configuración de servidor que nadie pensó en revisar.

Esa es una buena noticia, porque significa que la mayoría de los ataques se pueden prevenir con conocimientos que puedes aprender. La ciberseguridad no es solo trabajo de especialistas: cualquiera que use una computadora, tenga un negocio o cree sitios web toma decisiones de seguridad todos los días.

Esta guía cubre los fundamentos desde cero: qué protege la ciberseguridad y por qué, el lenguaje que usan los profesionales de seguridad, las amenazas a las que es más probable que te enfrentes, los principios y controles que se usan para defenderse de ellas, y qué hacer cuando algo sale mal. Termina con listas de revisión prácticas que puedes empezar a usar hoy.

¿Qué Es la Ciberseguridad?

La ciberseguridad es la práctica de proteger computadoras, redes, aplicaciones y datos contra el acceso no autorizado, los daños, el robo y las interrupciones. Abarca desde la contraseña de tu teléfono hasta los sistemas de seguridad de un banco internacional.

La ciberseguridad suele dividirse en áreas, o dominios:

• Seguridad de redes: proteger las redes que conectan los dispositivos, con herramientas como firewalls y sistemas de prevención de intrusiones.
• Seguridad de aplicaciones: crear y mantener software y sitios web para que no se puedan explotar con facilidad.
• Seguridad de endpoints: proteger los dispositivos individuales: laptops, teléfonos, servidores y tabletas.
• Seguridad en la nube: proteger los datos y servicios que funcionan en plataformas de nube.
• Seguridad de los datos: proteger la información en sí, dondequiera que se guarde o se envíe.
• Gestión de identidades y accesos: asegurarse de que solo las personas correctas puedan iniciar sesión, y solo en lo que necesitan.
• Tecnología operativa e IoT: proteger los sistemas físicos y los dispositivos inteligentes, desde las máquinas de una fábrica hasta las cámaras de seguridad.

La buena seguridad no es solo tecnología. Se suele describir como personas, procesos y tecnología trabajando juntos: las herramientas solo ayudan cuando la gente sabe usarlas y hay procedimientos claros sobre qué hacer.

La Tríada CIA: Los Tres Objetivos de la Seguridad

Casi todo en ciberseguridad se reduce a tres objetivos, conocidos como la tríada CIA (por sus siglas en inglés: Confidentiality, Integrity, Availability; nada que ver con la agencia de inteligencia):

Cuando evalúes cualquier decisión de seguridad, pregúntate cuál de los tres objetivos protege. Un respaldo protege la disponibilidad (y la integridad), el cifrado protege la confidencialidad y una suma de verificación de un archivo protege la integridad. Muchos ataques apuntan a más de uno: el ransomware, por ejemplo, suele cifrar los archivos (disponibilidad) y también robarlos para publicarlos (confidencialidad).

Junto a la tríada suelen aparecer otros dos objetivos relacionados:

• Autenticidad: demostrar que alguien o algo es genuino, como confirmar que un correo realmente vino de tu banco.
• No repudio: asegurar que alguien no pueda negar una acción que realizó, como en un contrato firmado digitalmente.

Términos Clave de Seguridad

Los profesionales de seguridad usan algunos términos con mucha precisión. Entenderlos facilita todo lo demás:

• Activo: cualquier cosa de valor que deba protegerse: datos, dispositivos, cuentas, un sitio web o incluso la reputación de una empresa.
• Vulnerabilidad: una debilidad que podría aprovecharse, como un software sin actualizar, una contraseña débil o un servidor mal configurado.
• Amenaza: cualquier cosa que podría causar daño aprovechando una vulnerabilidad, como un grupo criminal, un empleado malintencionado o incluso una inundación.
• Actor de amenazas: la persona o el grupo detrás de una amenaza.
• Exploit: el método o código específico que se usa para aprovechar una vulnerabilidad.
• Riesgo: la probabilidad de que una amenaza aproveche una vulnerabilidad, combinada con el impacto si llega a pasar. La seguridad consiste en gran parte en administrar el riesgo, no en eliminarlo.
• Superficie de ataque: todos los puntos por los que un atacante podría intentar entrar: puertos abiertos, cuentas de usuario, sitios web, bandejas de correo y dispositivos conectados. Reducir la superficie de ataque es una de las formas más sencillas de mejorar la seguridad.
• Día cero (zero-day): una vulnerabilidad que el fabricante del software desconoce, así que todavía no existe un parche. (Consulta Vulnerabilidades de Día Cero: Una Amenaza para los Sitios de Comercio Electrónico.)
• Parche: una actualización de software que corrige una vulnerabilidad.

Una forma sencilla de recordar cómo se relacionan: un actor de amenazas usa un exploit contra una vulnerabilidad para dañar un activo, y el riesgo mide qué tan probable y qué tan dañino sería eso.

¿Quiénes Son los Atacantes?

Los distintos atacantes tienen objetivos y niveles de habilidad diferentes:

La mayoría de los ataques contra personas y pequeñas empresas son oportunistas: herramientas automatizadas recorren internet buscando cualquier objetivo con una debilidad conocida. No tienes que ser importante para que te ataquen; solo tienes que ser vulnerable. Lo bueno es que las medidas de seguridad básicas detienen la mayoría de estos ataques.

Amenazas Cibernéticas Comunes

Malware

El malware es cualquier software diseñado para causar daño. Algunos tipos comunes son:

• Virus y gusanos, que se propagan a otros archivos o a otras computadoras.
• Troyanos, que se hacen pasar por software legítimo.
• Spyware y keyloggers, que registran en secreto lo que haces y escribes.
• Ransomware, que cifra tus archivos y exige un pago para desbloquearlos. Es una de las amenazas más dañinas que enfrentan hoy las empresas, y muchos grupos de ransomware también roban los datos y amenazan con publicarlos.

Para un panorama completo, consulta ¿Qué Es el Malware?.

Phishing e Ingeniería Social

Los ataques de ingeniería social engañan a las personas en lugar de a las computadoras. Funcionan generando urgencia, miedo, curiosidad o confianza. La forma más común es el phishing:

• Phishing: correos falsos que parecen venir de una empresa de confianza y te piden hacer clic en un enlace, abrir un archivo adjunto o escribir tu contraseña en un sitio web falso.
• Spear phishing: phishing dirigido a una persona específica, usando datos sobre ella para parecer convincente.
• Smishing y vishing: phishing por mensaje de texto (SMS) y por llamada telefónica.
• Compromiso del correo empresarial (BEC): un atacante se hace pasar por un directivo, un cliente o un proveedor para lograr que alguien envíe dinero o cambie los datos de pago.
• Pretexting: inventar una historia creíble (“Soy de TI y necesito restablecer tu cuenta”) para obtener información o acceso.

Las señales de alerta incluyen solicitudes inesperadas, plazos urgentes, enlaces cuya dirección web no coincide con la de la empresa y peticiones de pagar con tarjetas de regalo o transferencias. Si tienes dudas, contacta a la persona o a la empresa por un medio que ya sepas que es real.

Ataques a Contraseñas

• Relleno de credenciales (credential stuffing): los atacantes toman usuarios y contraseñas filtrados de un sitio web y los prueban en muchos otros. Funciona porque la gente reutiliza sus contraseñas.
• Ataques de fuerza bruta y de rociado de contraseñas (password spraying): probar muchas contraseñas en una sola cuenta, o una contraseña común en muchas cuentas.

Las contraseñas únicas y la autenticación de múltiples factores detienen la gran mayoría de estos ataques.

Ataques a Aplicaciones Web

Los sitios web son objetivos comunes porque siempre están en línea y a menudo usan software desactualizado:

• Inyección SQL: enviar comandos de base de datos a través de los formularios de un sitio web (consulta Inyección SQL: Cómo Funciona y Cómo Prevenirla).
• Cross-site scripting (XSS): inyectar scripts maliciosos en páginas web que ven otros visitantes.
• Aprovechar software desactualizado: atacar vulnerabilidades conocidas de plugins, temas y frameworks viejos (consulta WordPress Bajo Ataque).

Otras Amenazas Comunes

• Los ataques de denegación de servicio (DoS y DDoS) saturan un sitio web o una red con tráfico hasta que no puede atender a los usuarios reales.
• Los ataques de intermediario (man-in-the-middle u on-path) interceptan el tráfico entre dos partes, muchas veces en redes Wi-Fi públicas sin protección.
• Los ataques a la cadena de suministro comprometen a un proveedor de confianza, una actualización de software o una biblioteca de código para llegar a todos sus clientes a la vez.
• Las amenazas internas vienen de personas con acceso legítimo, ya sea por malicia o por error.
• Las configuraciones incorrectas, como una base de datos o un almacenamiento en la nube abiertos a internet, causan una gran parte de las filtraciones de datos.

Principios Básicos de Seguridad

Los profesionales de seguridad se apoyan en unos cuantos principios que aplican en todas partes:

• Defensa en profundidad: usa varias capas de protección, para que si una falla, otra siga deteniendo el ataque. Un sitio web puede estar protegido por un firewall, un firewall de aplicaciones web, software actualizado, contraseñas seguras con MFA, respaldos y monitoreo.
• Mínimo privilegio: dale a cada persona, programa y dispositivo solo el acceso que realmente necesita, y nada más. Un empleado que solo necesita leer un reporte no debería poder borrarlo.
• Confianza cero (zero trust): “nunca confíes, siempre verifica”. No supongas que algo es seguro solo porque está dentro de tu red. Verifica a cada usuario y dispositivo cada vez que pidan acceso.
• Separación de funciones: divide las tareas importantes para que nadie pueda completarlas solo, como exigir que dos personas aprueben los pagos grandes.
• Seguro por defecto: los sistemas deben empezar con su configuración más segura, y las funciones adicionales solo deben activarse cuando se necesiten.
• Mantenlo simple: los sistemas complejos son más difíciles de proteger y más fáciles de configurar mal. Quita lo que no uses.

Controles de Seguridad

Un control de seguridad es cualquier medida que reduce el riesgo. Los controles se suelen agrupar de dos formas.

Por tipo, es decir, qué clase de control es:

Por función, es decir, qué hace el control:

Un programa de seguridad sólido combina varios: controles preventivos para detener la mayoría de los ataques, detectivos para atrapar lo que logre pasar y correctivos para recuperarse.

Identidad y Acceso: Quién Puede Entrar

Muchas filtraciones empiezan con un inicio de sesión robado, así que controlar el acceso es una de las partes más importantes de la seguridad. Se suele describir como AAA:

• Autenticación: demostrar quién eres.
• Autorización: decidir qué tienes permitido hacer.
• Registro (accounting): anotar lo que hiciste, para poder revisarlo después.

La autenticación puede usar uno o más factores:

• Algo que sabes: una contraseña o un PIN.
• Algo que tienes: un teléfono, una llave de seguridad o una aplicación de autenticación.
• Algo que eres: una huella digital o un escaneo de tu rostro.

La autenticación de múltiples factores (MFA) exige dos o más factores distintos, así que una contraseña robada no basta para entrar. Es una de las medidas de seguridad más eficaces que puedes activar. Consulta ¿Qué Es la Autenticación de Dos Factores?

Algunas buenas prácticas más:

• Usa una contraseña única para cada cuenta. Un administrador de contraseñas lo hace práctico, porque las genera y las recuerda por ti.
• Prefiere frases de contraseña largas (varias palabras al azar) en lugar de contraseñas cortas y complicadas.
• Usa llaves de acceso (passkeys) donde estén disponibles. Reemplazan las contraseñas por claves criptográficas guardadas en tu dispositivo y no se pueden robar con phishing.
• En los servidores, usa llaves SSH en lugar de contraseñas (consulta ¿Qué Es SSH?).

Fundamentos del Cifrado

El cifrado revuelve los datos para que solo quien tenga la clave correcta pueda leerlos. Es la forma en que se protege la confidencialidad en internet.

• El cifrado simétrico usa la misma clave para cifrar y descifrar. Es rápido y se usa para grandes cantidades de datos, como cifrar un disco duro.
• El cifrado asimétrico usa un par de claves: una clave pública que cualquiera puede usar para cifrar, y una clave privada que solo el dueño puede usar para descifrar. Resuelve el problema de compartir claves de forma segura, y se usa para establecer conexiones seguras y crear firmas digitales.
• El hashing convierte los datos en una “huella” de longitud fija. Es de un solo sentido (no puedes convertir un hash de vuelta en los datos originales), así que se usa para comprobar la integridad y para guardar contraseñas de forma segura.

Los datos necesitan protección en dos estados:

• En tránsito, mientras viajan por una red: los protegen HTTPS, las VPN (consulta Protocolos de Red para Diagnóstico, Túneles y Seguridad) y SSH.
• En reposo, mientras están guardados: los protegen el cifrado de disco completo (como BitLocker y FileVault) y las bases de datos y los respaldos cifrados.

Proteger las Redes, los Dispositivos y los Datos

Seguridad de Redes

Las redes se protegen con firewalls que filtran el tráfico, sistemas de detección y prevención de intrusiones que vigilan los ataques, VPN que cifran las conexiones remotas y segmentación que separa los sistemas sensibles de todo lo demás. (La serie Redes Informáticas para Principiantes explica estos dispositivos en detalle.) Algunas organizaciones incluso instalan sistemas señuelo llamados honeypots para detectar y estudiar a los atacantes; consulta Honeypot: Una Defensa Proactiva de Engaño.

Seguridad de los Endpoints

Cada dispositivo es un posible punto de entrada. Protege los endpoints así:

• Instala las actualizaciones a tiempo del sistema operativo, los navegadores y las aplicaciones: la mayoría de los ataques aprovechan vulnerabilidades que ya tienen un parche.
• Usa software antivirus o EDR (detección y respuesta en endpoints).
• Activa el cifrado de disco completo y el bloqueo de pantalla.
• Quita el software que no uses.
• Define reglas claras para los dispositivos personales que se usan para el trabajo (consulta Trae Tu Propio Dispositivo (BYOD)).

Protección de Datos y Respaldos

Los respaldos son tu última línea de defensa contra el ransomware, las fallas de hardware y los errores. Sigue la regla 3-2-1:

• Ten 3 copias de los datos importantes,
• en 2 tipos distintos de almacenamiento,
• con 1 copia fuera del sitio (o desconectada), donde el ransomware no pueda llegar.

Lo más importante: prueba tus respaldos restaurando archivos de verdad. Un respaldo que nunca has restaurado es solo una esperanza.

Seguridad de Aplicaciones y Sitios Web

Si creas o administras sitios web:

• Mantén actualizados el CMS, los plugins, los temas y los frameworks, y quita los que no uses.
• Valida y limpia todo lo que escriban los usuarios, y usa consultas parametrizadas a la base de datos.
• Nunca pongas secretos como contraseñas y claves de API en tu código: usa variables de entorno (consulta La Importancia del Archivo .env).
• Usa HTTPS en todo el sitio, contraseñas de administrador seguras y MFA en las cuentas de administrador.
• Sigue el OWASP Top 10, una lista muy usada de los riesgos de seguridad más críticos en las aplicaciones web.

Monitoreo y Respuesta a Incidentes

Ninguna defensa es perfecta, así que las organizaciones también necesitan detectar los ataques y responder a ellos.

El registro y el monitoreo anotan lo que pasa en los sistemas y en las redes. Las organizaciones más grandes reúnen los registros en un SIEM (sistema de gestión de información y eventos de seguridad) que relaciona los eventos y genera alertas. Incluso un sitio web pequeño se beneficia del monitoreo de disponibilidad y de las alertas de inicio de sesión.

Cuando algo sale mal, un plan de respuesta a incidentes indica qué hacer. Un modelo muy usado del NIST describe cuatro fases:

1. Preparación: crear un plan, asignar funciones y tener listos los respaldos y los contactos antes de que pase algo.
2. Detección y análisis: notar que algo está mal y averiguar qué pasó y hasta dónde se extendió.
3. Contención, erradicación y recuperación: detener la propagación del daño, eliminar al atacante o el malware, y restaurar el funcionamiento normal desde respaldos limpios.
4. Actividades posteriores al incidente: revisar qué pasó y qué se podría hacer mejor, y luego mejorar las defensas.

Para las personas, los mismos pasos aplican a menor escala: si una cuenta se ve comprometida, cambia la contraseña, cierra todas las sesiones, activa la MFA, revisa los cambios que hizo el atacante y, si hace falta, avisa a tus contactos.

Marcos de Referencia y Estándares de Seguridad

Las organizaciones usan marcos de referencia para organizar sus programas de seguridad y asegurarse de no olvidar nada importante:

• NIST Cybersecurity Framework (CSF) 2.0: organiza la seguridad en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Es un gran modelo mental, incluso para las pequeñas empresas.
• Controles de Seguridad Críticos del CIS: una lista priorizada de acciones defensivas prácticas, que empieza por saber qué dispositivos y qué software tienes.
• ISO/IEC 27001: un estándar internacional para los sistemas de gestión de seguridad de la información, que se usa mucho para obtener certificaciones.
• OWASP Top 10: los riesgos de seguridad más críticos de las aplicaciones web.

Muchas industrias también tienen sus propias reglas, como PCI DSS para las organizaciones que manejan pagos con tarjeta, y leyes de privacidad como el RGPD (GDPR) que regulan cómo se protegen los datos personales.

Listas de Revisión de Seguridad Prácticas

Para Todos

• Usa un administrador de contraseñas y una contraseña única para cada cuenta.
• Activa la autenticación de múltiples factores, empezando por tu correo, tu banco y tus redes sociales.
• Actualiza tus dispositivos y aplicaciones, y activa las actualizaciones automáticas.
• Respalda tus archivos importantes siguiendo la regla 3-2-1.
• Piensa antes de hacer clic: verifica los mensajes inesperados por un medio de confianza.
• Evita las tareas delicadas en redes Wi-Fi públicas, o usa una VPN.
• Protege el router de tu casa con una contraseña de administrador segura y Wi-Fi WPA3 o WPA2.

Para más consejos del día a día, consulta Día de Internet Segura: Consejos de Seguridad en Línea y Mes de la Concientización sobre Ciberseguridad.

Para Pequeñas Empresas y Dueños de Sitios Web

• Exige MFA en las cuentas de correo, de administración, de hosting y de pagos.
• Da al personal solo el acceso que necesita (mínimo privilegio), y quita el acceso cuando alguien se vaya.
• Mantén los sitios web, los plugins y los servidores con los parches al día, y quita lo que no uses.
• Ten respaldos desconectados o fuera del sitio y prueba restaurarlos.
• Ofrece una capacitación básica en seguridad, sobre todo sobre phishing y fraudes en pagos.
• Escribe un plan de respuesta a incidentes sencillo: a quién llamar, qué apagar y cómo restaurar.
• Usa HTTPS, un firewall y monitoreo de disponibilidad para tu sitio web.

Mitos Comunes sobre la Ciberseguridad

• “Soy demasiado pequeño para ser un objetivo.” La mayoría de los ataques son automatizados y oportunistas. Las pequeñas empresas y las personas son objetivos justamente porque es menos probable que estén protegidas.
• “Con un antivirus basta.” El antivirus es una sola capa. El phishing, las contraseñas robadas y las malas configuraciones lo pasan con facilidad.
• “Solo necesito una contraseña segura.” Incluso las contraseñas seguras se roban en las filtraciones de datos. La MFA es lo que impide que una contraseña robada se pueda usar.
• “A las Mac y los teléfonos no los hackean.” Todas las plataformas tienen vulnerabilidades y son objetivo de los atacantes.
• “La seguridad es trabajo del departamento de TI.” La mayoría de los ataques exitosos dependen de que una persona haga clic, comparta o apruebe algo. Todos tenemos un papel.

Carreras en Ciberseguridad

La ciberseguridad es uno de los campos de la tecnología que más crece, con puestos para muchos intereses distintos: analistas de seguridad que vigilan y responden a las alertas, pentesters que hackean sistemas de forma legal para encontrar debilidades, ingenieros de seguridad que construyen las defensas, especialistas en gobernanza y cumplimiento, y más.

Un punto de partida común es una base en TI y redes (consulta la serie Redes Informáticas para Principiantes), seguida de una certificación inicial como CompTIA Security+. Para saber más sobre cómo pueden ayudarte las certificaciones, consulta Beneficios de las Certificaciones de TI.

Lo que Sigue en esta Serie

Esta guía te dio el panorama general de la ciberseguridad. Cada próxima publicación de la serie Fundamentos de Ciberseguridad tomará uno de estos temas (como las amenazas y los ataques, la autenticación y el control de acceso, el cifrado, la seguridad de redes y sitios web, y la respuesta a incidentes) y lo explorará a fondo, con ejemplos prácticos.

Mientras tanto, elige dos puntos de la lista de revisión de arriba y hazlos hoy. Activar la autenticación de múltiples factores en tu correo y configurar un administrador de contraseñas te protegerá de una gran parte de los ataques descritos en esta guía.

Conclusión

La ciberseguridad protege la confidencialidad, la integridad y la disponibilidad de los sistemas y los datos. Los actores de amenazas, desde criminales organizados hasta personas internas descuidadas, aprovechan las vulnerabilidades con tácticas como el malware, el phishing, los ataques a contraseñas y los exploits web. Los defensores responden con principios como la defensa en profundidad, el mínimo privilegio y la confianza cero; con controles que previenen, detectan y corrigen; con autenticación sólida, cifrado y respaldos; y con un plan para responder cuando algo sale mal.

No necesitas dominarlo todo de una vez. Empieza con lo básico que detiene la mayoría de los ataques (contraseñas únicas, autenticación de múltiples factores, actualizaciones y respaldos) y avanza a partir de ahí a medida que explores cada tema de esta serie.