GLOSARIOS

Protocolo para la extracción segura y protección de las evidencias digitales, mediante cifrado y sellado de tiempo, para su presentación junto a una demanda o denuncia ante los tribunales o para procesos de auditoría. Abarca en el tiempo todo el proceso; es decir, desde que se realiza el examen del dispositivo, se obtiene la prueba y se expone ante los tribunales o se destruye de forma controlada.

Acrónimo en inglés de Completely Automated Public Turing test to tell Computers and Humans Apart; en español, prueba de Turing completamente automática y pública para diferenciar ordenadores de humanos, es un tipo de medida de seguridad que consiste en la realización de pruebas desafío-respuesta controladas por máquinas que sirven para determinar cuándo el usuario es un humano o un bot según la respuesta a dicho desafío.

Se trata de una comunicación inesperada mediante correo electrónico carta o mensajería instantánea en las que el remitente promete negocios muy rentables. La expectativa de poder ganar mucho dinero mediante unas sencillas gestiones, es el gancho utilizado por los estafadores para involucrar a las potenciales víctimas en cualquier otra situación engañosa, procurando que finalmente transfiera una fuerte cantidad de dinero para llevar a cabo la operación. El funcionamiento es muy variado, pero a grandes rasgos se podría resumir así: Un remitente desconocido contacta con la potencial victima haciéndose pasar por un abogado, familiar o amigo cercano de un miembro del Gobierno o de un importante hombre de negocios que ha perdido la vida en un accidente o similar. Según esta comunicación, antes de morir esa persona, depositó una gran cantidad de dinero en una cuenta bancaria. El remitente asegura que tiene acceso legal a esa cuenta y pretende transferir el dinero a una cuenta en el extranjero. El remitente ha encontrado el nombre y la dirección de la víctima por recomendación de otra persona o por casualidad y la víctima es la única persona de confianza que puede ayudarle a realizar la transferencia del dinero. Por su asistencia, promete a la víctima, un porcentaje de la cantidad total de dinero y solicita discreción para llevar a cabo el negocio. La víctima debe abrir una cuenta en un banco determinado para que pueda remitirle el dinero y generalmente pagar por adelantado unos gastos para la transferencia del dinero. La siguiente fase del fraude consiste en convencer a la victima de que la transferencia de dinero está en proceso. Para ello, mandan a la víctima documentos aparentemente oficiales, al igual que cartas y movimientos bancarios falsos. Sin embargo esta transferencia del dinero por parte de los estafadores nunca llega a tener lugar. Sinónimo: Estafa nigeriana

Un centro de respaldo es un centro de procesamiento de datos (CPD) específicamente diseñado para tomar el control de otro CPD principal en caso de contingencia. Las características de un centro de respaldo deben ser las siguientes: • Su localización debe ser totalmente distinta a la del CPD principal con el objeto de que no se vean ambos afectados simultáneamente por la misma contingencia. Es habitual situarlos entre 20 y 40 kilómetros del CPD principal. • El equipamiento electrónico e informático del centro de respaldo debe ser absolutamente compatible con el existente en el CPD principal. • El equipamiento software debe ser idéntico al existente en el CPD principal. Esto implica exactamente las mismas versiones y parches del software de base y de las aplicaciones corporativas que estén en explotación en el CPD principal. De otra manera, no se podría garantizar totalmente la continuidad de operación. • Por último, es necesario contar con una réplica de los mismos datos con los que se trabaja en el CPD original.

Acrónimo en inglés de Computer Emergency Response Team; en español, equipo de respuesta ante emergencias informáticas, es el equipo de expertos responsables de la respuesta ante incidencias de seguridad que se producen en redes de comunicaciones y sistemas informáticos. Su labor consiste en el desarrollo de medidas preventivas y reactivas que ofrecen como respuesta ante incidentes, como pueden ser la publicación de alertas ante amenazas y vulnerabilidades u ofreciendo ayuda para mejorar la seguridad de un sistema.

El Certificado de autenticidad (COA) es una etiqueta especial de seguridad que acompaña a un software con licencia legal para impedir falsificaciones. El COA suele ir pegado en el embalaje del software, y permite asegurar que el software y los demás elementos que contenga, como los medios y los manuales, son auténticos. En ocasiones el software viene preinstalado al comprar un equipo. En esos casos el COA suele encontrarse en el exterior del equipo. Si se trata de un dispositivo pequeño (con una longitud o anchura de 15 cm o menos), el COA puede encontrarse bajo la batería.

Un certificado digital es un fichero informático generado por una entidad denominada Autoridad Certificadora (CA) que asocia unos datos de identidad a una persona física, organismo o empresa confirmando de esta manera su identidad digital en Internet. El certificado digital es válido para autenticar la existencia y validez de un usuario o sitio web por lo que es necesaria la colaboración de un tercero que sea de con- fianza para cualquiera de las partes que participe en la comunicación. El nombre asociado a esta entidad de confianza es Autoridad Certificadora pudiendo ser un organismo público o empresa reconocida en Internet. El certificado digital tiene como función principal autenticar al poseedor pero puede servir también para cifrar las comunicaciones y firmar digitalmente. En algunas administraciones públicas y empresas privadas es requerido para poder realizar ciertos trámites que involucren intercambio de información sensible entre las partes.

La cesión de datos es la comunicación de datos de carácter personal a una tercera persona sin el consentimiento del interesado. La comunicación de este tipo de datos está regulada en el artículo 11 de la LOPD, mientras que la comunicación de datos entre Administraciones públicas se regula en el artículo 21 de dicha ley.

Intento deliberado de un ciberdelincuente de obtener acceso a un sistema informático sin autorización sirviéndose de diferentes técnicas y vulnerabilidades para la realización de actividades con fines maliciosos, como el robo de información, extorsión del propietario o simplemente daños al sistema.

Persona que realiza actividades delictivas en la red contra personas o sistemas informáticos, pudiendo provocar daños económicos o reputacionales mediante robo, filtrado de información, deterioro de software o hardware, fraude y extorsión. Casi siempre están orientados a la obtención de fines económicos.

Actividades orientadas a la evaluación del estado de preparación de un individuo, equipo, empresa, sector o país, frente a posibles crisis de origen cibernético que mejoren la respuesta, cooperación y coordinación del personal involucrado.

Proceso de codificación de información para poder evitar que esta llegue a personas no autorizadas. Solo quien posea la clave podrá acceder al contenido. Véase: Algoritmos de cifrado

También llamado cifrado de clave pública, consiste en una serie de instrucciones mediante funciones matemáticas, que utilizan dos claves que modifican un mensaje digital, haciéndolo ilegible para que solo pueda ser leído por quien posea las dos claves. Dichas claves son: una pública, que puede ser conocida por cualquiera, y otra privada, que solo conocerá el receptor. Cada emisor y receptor tiene su propia parejas de claves unica: una pública y otra privada. Cuando se envía un mensaje, el emisor lo cifra con la clave pública del receptor, quien lo descifrará con su propia clave privada, la cual debe ser mantenida a salvo para asegurar la legitimidad del mensaje. En este tipo de cifrado también se puede verificar si el emisor firma el mensaje con su clave privada, que la identidad de los interlocutores es legítima, suponiendo una comunicación totalmente segura. Sinónimo: Criptografía asimétrica

Es la propiedad de algunos sistemas de comunicación que hace que los mensajes intercambiados sean ilegibles durante la comunicación en caso de interceptación al estar cifrados. Al ser de extremo a extremo, implica que solo emisor y receptor podrán descifrar y conocer el contenido del mensaje.

Conjunto de pasos predefinidos y ordenados, consistentes en tratamientos con funciones de cifrado matemático que utilizan claves, para modificar la información en formato digital de un mensaje entre dos interlocutores hasta hacerlo ilegible. El objetivo es evitar que terceras partes, que no dispongan de la clave, puedan conocer la información del mensaje si este es interceptado. Cuando el algoritmo es simétrico las dos partes conocen la clave de cifrado y esta es la misma clave necesaria para el descifrado. Por este motivo, también se conocen como sistemas de secreto o clave compartida. Sinónimo: Criptografía simétrica

Los sistemas de criptografía asimétrica, se basan en la generación de un par de claves, denominadas clave pública y clave privada, que tienen la peculiaridad de que los mensajes cifrados con una de ellas sólo pueden ser descifrados utilizando la otra. En este tipo de sistemas, la clave privada sólo debe ser conocida por el usuario para el cifrado y descifrado de mensajes. El hecho de que la clave privada sólo sea conocida por su propietario persigue dos objetivos: • Cualquier documento generado a partir de esta clave necesariamente tiene que haber sido generado por el propietario de la clave (firma electrónica). • Un documento al que se aplica la clave pública sólo podrá ser abierto por el propietario de la correspondiente clave privada (cifrado electrónico). Estos sistemas de criptografía constituyen un elemento esencial para la propia seguridad del tráfico jurídico y el desarrollo de transacciones económicas o el comercio on-line.

Los sistemas de criptografía asimétrica, se basan en la generación, mediante una «infraestructura de clave pública», de un par de claves, denominadas clave pública y clave privada, que tienen la peculiaridad de que los mensajes cifrados con una de ellas sólo pueden ser descifrados utilizando la otra. Así, se conoce como clave pública a una de estas claves, que puede ponerse en conocimiento de todo el mundo y que utilizará un remitente para cifrar el mensaje o documento que quiere enviar, garantizando de esta forma que tan solo pueda descifrarlo el destinatario con su clave privada.

El término cloud computing o computación en la nube se refiere a un paradigma que permite ofrecer servicios de computación a través de una red, que usualmente es Internet. Esta tendencia permite a los usuarios almacenar información, ficheros y datos en servidores de terceros, de forma que puedan ser accesibles desde cualquier terminal con acceso a la nube o a la red, resultando de esta manera innecesaria la instalación de software adicional (al que facilita el acceso a la red) en el equipo local del usuario. Importantes plataformas ofrecen herramientas y funcionalidades de este tipo y aunque conlleva una importante dinamización y libertad, se debe prestar especial atención a la seguridad de la información, particularmente desde el punto de vista de la protección de la intimidad y de los datos personales, ya que la información, documentos y datos se encuentran almacenados en servidores de terceros sobre los que generalmente no se tiene control. Sinónimo: Computación en la nube

En el ámbito de las TIC, los códigos de conducta son aquellas recomendaciones o reglas que tienen por finalidad determinar las normas deontológicas aplicables en el ámbito de la tecnología y la informática con el objeto de proteger los derechos fundamentales de los usuarios. Los códigos de conducta se plantean en un ámbito de aplicación muy extenso, sin embargo, desde el punto de vista tecnológico e informático se puede considerar que implican la sujeción a un conjunto de normas y principios éticos cuyo uso y funcionamiento deberá garantizar la plena confianza y seguridad, evitando la vulneración de los derechos de los ciudadanos. En definitiva, un código de conducta es un conjunto de normas y obligaciones que asumen las personas y entidades que se adscriben al mismo y mediante las cuales se pretende fomentar la confianza y la seguridad jurídica, así como una mejor tramitación de cualquier problema o incidencia.

Confidencialidad es la propiedad de la información, por la que se garantiza que está accesible únicamente a personal autorizado a acceder a dicha información. La confidencialidad de la información constituye la piedra angular de la seguridad de la información. Junto con la integridad y la disponibilidad suponen las tres dimensiones de la seguridad de la información.

Forma de autentificación de un usuario, a través de una clave secreta, para controlar el acceso a algún recurso o herramienta. En caso de que no se proporcione la clave correcta no se permitirá el acceso a dichos elementos.

También conocido como OTP (del inglés One-Time Password) es una contraseña válida para un solo uso. Puede ser generada por un dispositivo o aplicación en el momento de su utilización. Puede ser utilizada en combinación con otras formas de autenticación: huella digital, contraseña, PIN, tarjeta de coordenadas, etc.

Tipo de contraseña que se caracteriza por ser corta y haber sido generada por defecto o mediante el uso de nombres propios, variaciones del nombre del usuario o fechas significativas. Son contraseñas que pueden adivinarse de forma rápida mediante el uso de diccionarios.

Son aquellas contraseñas que vienen asignadas por el fabricante de un dispositivo o software de forma masiva, de tal manera que todos los aparatos fabricados tienen la misma y figura en los manuales de puesta en marcha. Esto se considera una vulnerabilidad, aprovechada por los ciberdelincuentes a menudo para acceder a los dispositivos sin autorización. La recomendación es cambiar siempre las contraseñas por defecto.

Tipo de contraseña que se caracteriza por ser suficientemente larga, que se crea al azar o mediante la combinación de caracteres alfanuméricos (letras mayúsculas y minúsculas, números y caracteres especiales) que dificultan de forma clara su revelación, ya que se requiere un tiempo elevado de cálculo para lograrlo.

Sistema de verificación que permite el acceso a un determinado recurso si la persona o entidad tiene los derechos necesarios para solicitarlo. Este acceso puede ser a recursos de tipo físico (por ejemplo, a un edificio o un departamento) o lógicos (por ejemplo, a un sistema o una aplicación software específica).

Sistema de verificación que permite o deniega el acceso a un recurso tecnológico según los derechos concedidos a cada usuario dependiendo de la clase o grupo a la que esté adscrito. Se pueden establecer roles, por ejemplo, por áreas de la empresa (ventas, operaciones...) o por la posición jerárquica dentro de la estructura; cada rol con los permisos necesarios para realizar su trabajo. Al dar de alta a un usuario en el sistema, el administrador le asignará un rol dependiendo de las tareas que deba realizar y que tendrá asociados los permisos de acceso necesarios.

Conjunto de herramientas o medidas que se pueden tomar para evitar que los menores de edad hagan un uso indebido del ordenador, accedan a contenidos inapropiados o se expongan a riesgos a través de Internet. Estas herramientas tienen la capacidad de bloquear, restringir o filtrar el acceso a determinados contenidos o programas, accesibles a través de un ordenador o de la red, y de dotar de un control sobre el equipo y las actividades que se realizan con él, a la persona que sea el administrador del mismo, que normalmente deberá ser el padre o tutor del menor. Sinónimo: Control paterno

Una cookie es un pequeño fichero que almacena información enviada por un sitio web y que se almacena en el equipo del usuario, de manera que el sitio web puede consultar la actividad previa del usuario. Sus principales funciones son: • Llevar el control de usuarios: cuando un usuario introduce su nombre de usuario y contraseña, se almacena una cookie para que no tenga que estar introduciéndolas para cada página del servidor. • Recabar información sobre los hábitos de navegación del usuario. Esto puede significar un ataque contra la privacidad de los usuarios y es por lo que hay que tener cuidado con ellas.

Proceso mediante el cual se duplica la información existente de un soporte a otro, con el fin de poder recuperar los datos contenidos en caso de fallo del primer soporte de alojamiento.

Mensaje de correo electrónico, en teoría legítimo, que usa el nombre de una persona u organismo de confianza con el objetivo de obtener información confidencial o personal de la persona u organización a la que se ha enviado.

Tipo de correo electrónico que se caracteriza por ser no solicitado por el receptor y que se envía en grandes cantidades con fines publicitarios o como complemento de actividades maliciosas como los ataques de phishing. Sinónimo: Correo basura

Sistema de seguridad compuesto o bien de programas (software) o de dispositivos hardware situados en los puntos limítrofes de una red que tienen el objetivo de permitir y limitar, el flujo de tráfico entre los diferentes ámbitos que protege sobre la base de un conjunto de normas y otros criterios. La funcionalidad básica de un cortafuego es asegurar que todas las comunicaciones entre la red e Internet se realicen conforme a las políticas de seguridad de la organización o corporación. Estos sistemas suelen poseer características de privacidad y autentificación. Sinónimo: Firewall

Ciberdelincuente que se caracteriza por acceder de forma no autorizada a sistemas informáticos con la finalidad de menoscabar la integridad, la disponibilidad y el acceso a la información disponible en un sitio web o en un dispositivo electrónico.

Conjunto de datos, generalmente nombre de usuario y contraseña, pudiendo ser también un certificado de usuario, tarjeta inteligente o un token, entre otros. Estos datos posibilitan, por un lado, uno la identificación del individuo como usuario del sistema, y por otro, la autenticación o verificación de la identidad del individuo para obtener acceso a recursos localizados en equipos locales y en red.

La criptografía es la técnica que consiste en cifrar un mensaje, conocido como texto en claro, convirtiéndolo en un mensaje cifrado o criptograma, que resulta ilegible para todo aquel que no conozca el sistema mediante el cual ha sido cifrado. Existen dos tipos principales de criptografía: por un lado, la conocida como criptografía simétrica, más tradicional, y la criptografía asimétrica o de clave pública.

Moneda digital descentralizada que no requiere la supervisión de un banco central u organismo regulador para enviar o recibir dinero entre usuarios sin necesidad de intermediarios como por ejemplo Bitcoin. Utiliza un esquema P2P (peer-to-peer) y tecnologia blockchain o de cadena de bloques para generar la cadena de confianza de los registros de las transacciones.

Atributo que mide el riesgo que provoca un comportamiento erróneo o negligente respecto a las condiciones normales de funcionamiento al que está sometido un proceso, sistema o equipo. A mayor nivel de criticidad, mayor gravedad de los hechos ocurridos.

Cuando una autoridad de certificación emite un certificado digital, lo hace con un periodo máximo de validez (por ejemplo cuatro años). El objetivo de este periodo de caducidad es obligar a la renovación del certificado para adaptarlo a los cambios tecnológicos. Así se disminuye el riesgo de que el certificado quede comprometido por un avance tecnológico. La fecha de caducidad viene indicada en el propio certificado digital. Existen otras situaciones que pueden invalidar el certificado digital, de manera inesperada, aun cuando no ha caducado oficialmente: • Robo de la clave privada del usuario del certificado. • Desaparece la condición por la que el certificado fue expedido. • El certificado contiene información errónea o información que ha cambiado. • Una orden judicial. Por tanto, debe existir algún mecanismo para comprobar la validez de un certificado antes de su caducidad. Las CRL son uno de estos mecanismos. Las CRL o Listas de revocación de Certificados, es un mecanismo que permite verificar la validez de un certificado digital a través de listas emitidas por las autoridades oficiales de certificación. Las listas de revocación de certificados incluyen los números de serie de todos los certificados que han sido revocados. Estas listas se actualizan cada 24 horas y pueden ser consultadas a través de Internet.

Acrónimo de Computer Security Incident Response Team, también conocido en español como equipo de respuesta a incidentes de seguridad informáticos, es el equipo encargado de recibir, comprobar y responder a incidentes que se detecten en su área de actuación. Es considerado como el equivalente en Europa de su contraparte estadounidense CERT. Sinónimo: CERT

Acrónimo del inglés Cross Site Request Forgery; en español, falsificación de petición en sitios cruzados, es un tipo de ataque contra páginas web en el que un software malicioso obliga a un sitio web a ejecutar comandos no autorizados en nombre del usuario que accede a dicha página; es decir, explota la confianza que un sitio web tiene en un usuario determinado.

Acción que desarrollan los antivirus para aislar un archivo infectado del resto del sistema. De este modo, se evita que el archivo aislado provoque daños en el sistema hasta que sea posible desinfectarlo con todas las garantías por parte del antivirus. En ocasiones esto no es posible, por lo que se procedería continuando la cuarentena o eliminándolo directamente del sistema.

Cuenta establecida por defecto por el sistema o por programa que permite realizar el acceso por primera vez al mismo. Se recomienda que el usuario posteriormente la modifique o la elimine.

Acrónimo del inglés en Common Vulnerabilities and Exposures; en español, listado de vulnerabilidades de seguridad conocidas, en el que se puede identificar una vulnerabilidad, así como un resumen de las características, efectos, las versiones del software afectadas, posibles soluciones o mitigaciones de dicha vulnerabilidad.

Acrónimo en inglés de Common Vulnerability Scoring System; en español, sistema de puntuación de vulnerabilidad común, es un estándar cuya finalidad es cuantificar la gravedad y estimar el impacto que presentan las vulnerabilidades respecto a la seguridad de un sistema.