Qué puede evaluarse
RA1: Aplica medidas de seguridad pasiva en sistemas informáticos describiendo características de entornos y relacionándolas con sus necesidades.
ConfidencialidadIntegridadDisponibilidad (C.I.A.)Seguridad físicaSeguridad lógicaAmenazaVulnerabilidadCPD (Centro de Procesamiento de Datos)HVACArmario rack
RA2: Gestiona dispositivos de almacenamiento describiendo los procedimientos efectuados y aplicando técnicas para asegurar la integridad de la información.
Política de almacenamientoRendimiento (IOPS, latencia)DisponibilidadAccesibilidadDASNASSANAlmacenamiento en la NubeSMB/NFSFibre Channel/iSCSI
RA3: Aplica mecanismos de seguridad activa describiendo sus características y relacionándolas con las necesidades de uso del sistema informático.
Seguridad activaMalwareVirusGusanoTroyanoRansomwareSpywareAdwareRootkitKeylogger
RA4: Asegura la privacidad de la información transmitida en redes informáticas describiendo vulnerabilidades e instalando software especifico.
Vulnerabilidades de redAmenazas de seguridadInventario de servicios de redControl de servicios de redIngeniería socialPhishingSpamMonitorización de redFirma electrónicaCertificado digital
RA5: Reconoce la legislación y normativa sobre seguridad y protección de datos analizando las repercusiones de su incumplimiento.
RGPDLOPDGDDDato personalTratamiento de datosInteresadoPrincipios de protección de datosLicitudMinimizaciónTransparenciaAccountability
Trampas habituales antes del examen
- Confundir seguridad física con lógica: La causa es no entender que una protege el 'contenedor' y la otra el 'contenido' y el 'acceso digital'. La corrección es visualizar ejemplos concretos de cada una y su interdependencia.
- Subestimar el valor de la información: La causa es no considerar las consecuencias económicas, legales y de reputación de una brecha. La corrección es analizar casos reales de empresas afectadas por fallos de seguridad.
- Subestimar el impacto de las condiciones ambientales: La causa es la falta de conocimiento sobre cómo el calor, la humedad o el polvo afectan la electrónica. La corrección es seguir las especificaciones de los fabricantes y las normativas de CPD (ej. TIA-942).
- No implementar control de acceso físico: La causa es la confianza excesiva o la falta de presupuesto. La corrección es entender que el acceso no autorizado es una de las principales vías de ataque y robo de información.
- Conectar equipos de alto consumo (ej. impresoras láser) a un SAI: La causa es no entender la capacidad y el propósito del SAI. La corrección es calcular la carga total y la autonomía necesaria, y conectar solo equipos críticos.
- No verificar periódicamente el SAI: La causa es la negligencia o la creencia de que 'siempre funciona'. La corrección es establecer un calendario de mantenimiento y autotests, y monitorizar el estado de la batería.
- Otorgar permisos excesivos en ACL: La causa es la comodidad o la falta de conocimiento del principio de mínimo privilegio. La corrección es revisar periódicamente los permisos y ajustarlos estrictamente a las necesidades de cada rol.
- Política de contraseñas débil o inexistente: La causa es la pereza o la subestimación del riesgo. La corrección es implementar y hacer cumplir una política de contraseñas robusta y educar a los usuarios sobre su importancia.
- Depender exclusivamente de la biometría sin un factor de respaldo: La causa es la confianza ciega en la tecnología. La corrección es implementar la biometría como un factor de autenticación fuerte, a menudo combinado con otro factor (MFA) o con un mecanismo de recuperación robusto.
- No consultar la política de almacenamiento (CE a): Causa: Desconocimiento de las normativas internas o externas. Consecuencia: Incumplimiento legal, pérdida de datos, sanciones. Corrección: Siempre revisar y comprender la política de almacenamiento antes de diseñar o implementar cualquier solución, y documentar las decisiones tomadas.
- Ignorar factores de rendimiento (CE b): Causa: Centrarse solo en la capacidad o el costo. Consecuencia: Aplicaciones lentas, frustración de usuarios, pérdida de productividad. Corrección: Realizar un análisis de requisitos de rendimiento para cada aplicación crítica y seleccionar el tipo de almacenamiento adecuado (ej. SSD para bases de datos, HDD para archivos grandes y poco accedidos).
- Confundir RAID con backup: Causa: creer que la redundancia de disco sustituye a la copia de seguridad. Consecuencia: pérdida total de datos ante borrado accidental, corrupción lógica o ransomware, pese a tener RAID. Corrección: explicar que RAID cubre fallos físicos de disco y backup cubre pérdida lógica/desastres; se necesitan ambos.