Módulo 1 Fundamentos de seguridad de los equipos informáticos 10 horas• Utilización de un modelo de seguridad orientada a la gestión del riesgo relacionado con el uso de los sistemas de información
- Principios fundamentales de la gestión del riesgo en seguridad informática.
- Modelos de gestión del riesgo, como el análisis de riesgos y la evaluación de impacto en la seguridad.
• Distinción de las amenazas más frecuentes, los riesgos que implican y las salvaguardas más frecuentes
- Identificar y comprender las amenazas más comunes en seguridad informática, como virus, malware y ataques de phishing.
- Analizar los riesgos asociados con estas amenazas y su impacto potencial en la seguridad de los sistemas de información.
- Familiarizarse con las salvaguardas más habituales utilizadas para mitigar estos riesgos, como firewalls, software antivirus, autenticación de dos factores, y encriptación de datos.
• Aplicación de las salvaguardas y tecnologías de seguridad más habituales
- Implementar y configurar las salvaguardas y tecnologías de seguridad mencionadas anteriormente de manera efectiva.
- Principios de funcionamiento de cada tecnología de seguridad y cómo se aplican para proteger los sistemas de información.
• Gestión de la seguridad informática como complemento de salvaguardas y medidas tecnológicas
- Papel de la gestión de la seguridad informática en la protección de los sistemas de información.
- Conocer las mejoras prácticas para la gestión de la seguridad, como la elaboración de políticas de seguridad, la realización de evaluaciones de seguridad periódicas y la gestión de incidentes de seguridad
Módulo 2 Gestión de riesgos informáticos 10 horas
• Aplicación del proceso de gestión de riesgos y exposición de las alternativas más frecuentes
- Componentes y etapas del proceso de gestión de riesgos, que incluye la identificación, análisis, evaluación, tratamiento y monitoreo de riesgos.
- Técnicas y herramientas utilizadas en cada etapa del proceso de gestión de riesgos, como matrices de riesgos, evaluaciones cualitativas y cuantitativas, y análisis de impacto.
• Utilización de las metodologías comúnmente aceptadas de identificación y análisis de riesgos
- Metodologías reconocidas internacionalmente para identificar y analizar riesgos de seguridad de la información.
- Comprender cómo aplicar estas metodologías en diferentes entornos organizacionales para evaluar y priorizar los riesgos de manera efectiva.
• Aplicación de controles y medidas de salvaguarda para obtener una reducción del riesgo
- Conocer una amplia gama de controles de seguridad y medidas de salvaguarda disponibles para mitigar los riesgos identificados.
- Seleccionar y aplicar los controles adecuados según el nivel de riesgo y las necesidades específicas de la organización.
- Monitorear regularmente la efectividad de los controles de seguridad implementados y realizar ajustes según sea necesario para abordar nuevas amenazas y vulnerabilidades.
- Realizar revisiones periódicas del proceso de gestión de riesgos para garantizar su relevancia y efectividad continua.
• Comunicación y colaboración en la gestión de riesgos informáticos
- Comunicar de manera efectiva los resultados del proceso de gestión de riesgos a las partes interesadas relevantes, incluidos los líderes organizacionales y los equipos de seguridad.
- Fomentar la colaboración entre diferentes departamentos y equipos dentro de la organización para garantizar una gestión integral de riesgos.
Módulo 3 Plan de implantación de seguridad informática 10 horas
• E s t a b l e c i m i e n t o d e l o s o b j e t i v o s g e n e r a l e s y e l n i v e l d e s e g u r i d a d • Establecimiento de los objetivos generales y el nivel de seguridad óptimo del plan de seguridad según los procesos de negocio y sus riesgos inherentes
- Identificar y evaluar los riesgos inherentes a los procesos de negocio y los sistemas de información asociados.
- Conocer los principios de seguridad de la información y cómo aplicarlos para establecer objetivos de seguridad que se alineen con las necesidades y prioridades de la organización.
• Determinación del nivel de seguridad existente de los sistemas frente a la seguridad necesaria/óptima a partir de los requerimientos de seguridad de los procesos de negocio
- Evaluar el estado actual de seguridad de los sistemas de información en comparación con los requisitos de seguridad identificados para los procesos de negocio.
- Utilizar técnicas de evaluación de seguridad, como evaluaciones de vulnerabilidades y pruebas de penetración, para identificar brechas de seguridad y áreas de mejora.
• Selección de medidas de salvaguarda para cubrir los requerimientos de seguridad de los sistemas de información
- Conocer las medidas de seguridad y controles de seguridad disponibles y comprender cómo se aplican para abordar los riesgos identificados.
- Evaluar las medidas de salvaguarda potenciales en función de su efectividad, coste y viabilidad en el contexto específico de la organización.
• Aplicación de una guía para la elaboración del plan de implantación de las salvaguardas seleccionadas
- Metodologías y marcos de trabajo para la elaboración de planes de implementación de seguridad.
- Desarrollo de un plan de implementación detallado que incluya acciones específicas, responsabilidades y plazos para la aplicación de las salvaguardas seleccionadas
Módulo 4 Protección de datos de carácter personal 10 horas
• Conocimiento de la normativa y los principios generales de protección de datos de carácter personal
- Familiarizarse con la normativa de protección de datos aplicable en el ámbito geográfico de la organización, como el Reglamento General de Protección de Datos (RGPD) en la Unión Europea o leyes locales de protección de datos.
- Comprender los principios fundamentales de protección de datos, como el consentimiento del titular de los datos, la minimización de datos, la integridad y confidencialidad, y la responsabilidad del responsable del tratamiento
• Identificación de las infracciones y sanciones contempladas en la legislación vigente en materia de protección de datos de carácter personal
- Infracciones y violaciones de la normativa de protección de datos:
o La recopilación no autorizada de datos personales
o La falta de consentimiento
o El incumplimiento de los derechos de los interesados
o Otras infracciones
- Sanciones y multas previstas en la legislación para las infracciones de protección de datos, que pueden incluir multas administrativas significativas
• Identificación y registro de los ficheros con datos de carácter personal utilizados por la organización
- Identificar y catalogar los ficheros y bases de datos que contienen datos personales en posesión de la organización.
- Establecer procedimientos para el registro y documentación de los ficheros de datos personales, incluyendo detalles como el propósito del tratamiento, la categoría de datos y las medidas de seguridad aplicadas
• Elaboración del documento de seguridad requerido por la legislación vigente en materia de protección de datos de carácter personal
- Comprender los requisitos legales y las pautas para la elaboración del documento de seguridad.
- Redactar y estructurar el documento de seguridad:
o Políticas y procedimientos relacionados con el tratamiento de datos personales
o Medidas de seguridad técnicas y organizativas
o Roles y responsabilidades del personal.
Módulo 5 Servicios y puertos del sistema de información 10 horas
• Identificación de los protocolos, servicios y puertos utilizados por los sistemas de información
- Protocolos de red comunes, su función y el uso en la comunicación de datos.
- Servicios y aplicaciones asociados a los protocolos
- Puertos de red utilizados para la comunicación.
• Utilización de herramientas de análisis de puertos y servicios abiertos para determinar aquellos que no son necesarios
- Herramientas de escaneo de puertos para identificar los puertos abiertos en sistemas de información y determinar qué servicios están en ejecución.
- Comprender cómo analizar los resultados del escaneo para identificar servicios no autorizados o no necesarios que puedan representar riesgos de seguridad.
• Utilización de herramientas de análisis de tráfico de comunicaciones para determinar el uso real que hacen los sistemas de información de los distintos protocolos, servicios y puertos
- Herramientas de análisis de tráfico de red, para capturar y analizar el tráfico de red en tiempo real.
- Filtrar y examinar los paquetes de datos para identificar los protocolos, servicios y puertos utilizados por los sistemas de información y comprender el uso real que hacen de ellos.
• Gestión de riesgos y seguridad
- Medidas correctivas para mitigar los riesgos identificados durante el análisis de puertos y tráfico de red, como desactivar servicios no utilizados o implementar controles de seguridad adicionales
Módulo 6 Robustecimiento del sistema informático 10 horas
• Modificación de los usuarios y contraseñas por defecto de los distintos sistemas de información
- Credenciales predeterminadas proporcionadas por los fabricantes de sistemas y dispositivos para evitar vulnerabilidades de seguridad.
- Procedimientos y herramientas necesarios para cambiar usuarios y contraseñas por defecto en una variedad de sistemas de información, incluidos sistemas operativos, dispositivos de red y aplicaciones.
• Configuración de las directivas de gestión de contraseñas y privilegios en el directorio de usuarios
- Directivas de gestión de contraseñas y privilegios disponibles en los sistemas operativos y directorios de usuarios.
- Configurar y administrar estas directivas para garantizar contraseñas seguras y establecer niveles adecuados de privilegios de usuario.
• Eliminación y cierre de herramientas, utilidades, servicios y puertos prescindibles
- Herramientas y utilidades innecesarias que pueden representar riesgos de seguridad.
- Identificar y desactivar servicios, puertos y aplicaciones que no son necesarios para reducir la superficie de ataque y mejorar la seguridad del sistema.
• Configuración de los sistemas de información para que utilicen protocolos seguros
- Conocimiento de los protocolos de red seguros disponibles y comprensión de sus beneficios de confidencialidad, integridad y autenticación.
- Configurar los sistemas de información para utilizar protocolos seguros en comunicaciones sensibles y transferencias de datos.
• Actualización de parches de seguridad de los sistemas informáticos
- Aplicar las actualizaciones del sistema operativo y software de aplicaciones para corregir vulnerabilidades conocidas.
- Procedimientos y herramientas para descargar, instalar y administrar parches de seguridad de manera efectiva.
• Protección de los sistemas de información frente a código malicioso
- Tipos de código malicioso: virus, gusanos, troyanos y ransomware
- Propagación de códigos maliciosos y mecanismo de infección de los sistemas de información.
- Medidas de protección disponibles, como software antivirus, firewalls y filtrado de correo electrónico.
- Configuración y actualización de las medidas de protección.
• Gestión segura de comunicaciones, carpetas compartidas, impresoras y otros recursos compartidos del sistema
- Configurar y gestionar comunicaciones seguras, como conexiones VPN y redes Wi-Fi protegidas.
- Establecer permisos de acceso adecuados en carpetas compartidas, impresoras y otros recursos compartidos para proteger la confidencialidad y la integridad de los datos.
• Monitorización de la seguridad y el uso adecuado de los sistemas de información
- Conocer las mejores prácticas y herramientas para monitorear la seguridad de los sistemas de información y detectar actividades sospechosas o anomalías.
- Configurar y administrar registros de auditoría y alertas de seguridad para mantener la visibilidad y la trazabilidad de eventos relevantes
