Un lunes sin nóminas
Una asesoría de Zaragoza lleva las nóminas de cuarenta empresas. Un lunes, nadie puede abrir los archivos. En la pantalla aparece un mensaje: «Paga 3.000 euros en criptomonedas para recuperar tus datos».
Ese día no hay nóminas. Los clientes llaman sin parar. Antes de proteger algo, hay que saber qué puede salir mal y cuánto importa.
Al final de esta lección
Nota
Puedo decir qué quiere un atacante y qué protegemos en un sistema.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Confidencialidad | solo lo lee quien tiene permiso |
| Integridad | nadie lo cambia sin permiso |
| Disponibilidad | funciona cuando hace falta |
| Amenaza | algo que puede causar daño |
| Riesgo | probabilidad de un daño por su impacto |
| Ransomware | programa que bloquea archivos y pide un rescate |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un atacante quiere dinero, datos o daño
Casi todos los ataques buscan una de tres cosas.
Dinero: un rescate, una transferencia falsa o una tarjeta robada. Datos: listas de clientes, DNI o cuentas bancarias, que se venden. Daño: parar una web o una fábrica, a veces por venganza.
No todas las amenazas son personas. Un incendio o un disco que se rompe también causan daño.
Ejemplo: las tres cosas que protegemos
| Lo que protegemos | Qué significa | Un fallo en una empresa |
|---|---|---|
| Confidencialidad | Solo lo lee quien debe | Se publica la lista de nóminas |
| Integridad | Nadie lo cambia sin permiso | Alguien cambia el IBAN de un proveedor |
| Disponibilidad | Funciona cuando hace falta | La tienda online cae en rebajas |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
El riesgo es probabilidad por impacto
No se puede proteger todo a la vez. Por eso se mide el riesgo.
Da a cada amenaza una nota del 1 al 5 por su probabilidad. Dale otra nota del 1 al 5 por su impacto. Multiplica las dos.
El resultado va del 1 al 25. Lo más alto se atiende primero.
Ejemplo: ordenar tres riesgos
| Amenaza | Probabilidad | Impacto | Riesgo |
|---|---|---|---|
| Correo falso pidiendo un pago | 4 | 3 | 12 |
| Robo de un portátil | 3 | 4 | 12 |
| Inundación en la oficina | 1 | 4 | 4 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Prueba: calcular riesgos
# Cada riesgo: probabilidad e impacto, del 1 (bajo) al 5 (alto)
risks = [
["Robo del portátil de la gestora", 3, 4],
["Caída de la tienda online en rebajas", 2, 5],
["Correo falso pidiendo un pago", 4, 3],
["Inundación en la oficina", 1, 4],
]
for risk in risks:
name = risk[0]
score = risk[1] * risk[2]
print(name, "->", score)
# Sube la probabilidad de la inundación a 3 y vuelve a ejecutar.
Un error frecuente
Advertencia
Mucha gente piensa que una empresa pequeña no interesa a nadie. La mayoría de ataques son automáticos y prueban miles de empresas a la vez. Si tienes datos o dinero, eres un objetivo, sea cual sea tu tamaño.
En un puesto real
Consejo
En una entrevista te pueden preguntar qué protegerías primero. Responde con la tabla de riesgos: qué puede pasar, cómo de probable es y cuánto dañaría.