Entrega final de proyecto

Esta es la entrega final del informe que has construido a lo largo del semestre.

Capítulos nuevos

Capítulo 8: Marco legal y ético

Aplica los conceptos de la clase 09. La pregunta no es «¿qué leyes existen?», sino «¿qué obligaciones tiene mi sistema con las personas cuyos datos guarda, y qué necesito por escrito antes de probarlo?».

Vuelve a los datos sensibles del capítulo 4 y clasifícalos según la Ley 1581: ¿cuáles son datos personales y cuáles son, además, datos sensibles? Justifica cada dato sensible con el tipo de discriminación que su mal uso podría causar.
En tu sistema, ¿quién es el titular de los datos, quién el responsable y, si lo hay, quién el encargado (por ejemplo, un servicio en la nube o una API externa del capítulo 7 que procesa datos por cuenta tuya)?
Para cada uno de los principios de finalidad, libertad y seguridad, di qué hace tu sistema para cumplirlo: ¿para qué propósito se recoge cada dato y cómo se le informa al titular?, ¿en qué momento y cómo da su consentimiento previo, expreso e informado?, ¿qué controles de los capítulos 4, 5 y 6 sostienen el principio de seguridad?
Si los datos de tu sistema quedan expuestos, ¿quién tiene que informarle a la SIC y qué sanciones arriesga el responsable si no lo hace? No hace falta que describas todavía cómo responderías al incidente: eso es el capítulo 9.
Las pruebas de seguridad que propusiste en el capítulo 5 tocan un sistema real. Redacta los cuatro elementos de la autorización expresa para esas pruebas: quién autoriza, qué sistemas y técnicas entran en el alcance (y cuáles quedan excluidos), en qué ventana de tiempo y cómo se manejan los hallazgos, sobre todo si aparecen datos sensibles.
Si alguien ajeno a tu equipo encuentra una falla en tu sistema, ¿por qué canal la puede reportar, en cuánto tiempo le respondes y en qué plazo te comprometes a corregirla? Usa los pasos de la divulgación responsable.
Identifica un dilema ético propio de tu sistema, que no tenga una respuesta obvia (por ejemplo, qué hacer con los datos que alimentan un modelo de IA, o si un administrador puede ver los datos de los usuarios para dar soporte). Presenta las dos posiciones con su mejor argumento y justifica la que eliges.

Capítulo 9: Respuesta a incidentes y continuidad

Aplica los conceptos de la clase 10. Haz con tu sistema lo mismo que hiciste con MicroPréstamos en la simulación. La pregunta no es «¿cuáles son las fases de NIST?», sino «si mañana a las 3:00 AM le pasa esto a mi sistema, ¿quién decide qué, con qué información y en qué orden?».

Escoge un incidente concreto a partir de los riesgos del capítulo 3 y de las vulnerabilidades del capítulo 5, y trabaja todo el capítulo sobre ese incidente. ¿Cuál es el primer evento que lo delataría (una alerta, una línea de registro, una queja de un usuario)? ¿Qué registros guarda tu sistema y dónde quedan guardados: dentro del servidor, donde el atacante los puede alterar, o fuera de él?
¿Qué dato convierte ese evento en un incidente, y quién de tu equipo tiene autoridad para declararlo? Asígnale una severidad inicial según qué tan crítico es el sistema, si hay datos personales o sensibles de por medio (capítulo 8) y cuánta gente se ve afectada. Di también qué información nueva te haría subirla o bajarla.
¿Quién ocupa en tu proyecto cada uno de los cuatro roles de la simulación (Líder técnico, Comunicaciones, Dirección y Cumplimiento legal) y quién tiene la última palabra cuando sus prioridades chocan? Si tu grupo es pequeño y una persona ocupa varios roles, di cuáles y qué conflicto tendría que resolver esa persona consigo misma.
Preparación: ¿qué tiene que estar listo antes de que pase nada para que la respuesta funcione (el plan escrito, los roles asignados, los respaldos y los registros fuera del alcance del atacante)? Si algo de esto no existe hoy en tu sistema, dilo.
Contención, erradicación y recuperación: ¿qué haces en los primeros minutos (contención a corto plazo) y qué sostienes mientras preparas la limpieza (contención a largo plazo)? ¿Qué le cuesta cada decisión a tus usuarios? ¿Qué causa tienes que cerrar y qué credenciales cambiar antes de volver a operar? ¿Desde dónde recuperas el servicio (un respaldo, el servidor limpiado o uno nuevo) y por qué desde ahí?
Continuidad: mientras tu sistema no funciona, ¿cómo sigue trabajando la organización o la gente que lo usa? ¿Qué se hace a mano, con qué formato, quién lo autoriza y hasta cuándo se aguanta así?
Fija un RTO y un RPO para el componente más importante de tu sistema. Justifica cada número con lo que la operación tolera (por ejemplo, si hay fechas en que una hora caída cuesta más que un día entero en otra época, o cuánto trabajo manual se puede absorber para reponer lo perdido), y di cada cuánto tienes que copiar los datos para cumplir el RPO. Si tu incidente fuera ransomware con doble extorsión, ¿tu esquema de respaldos incluye una copia desconectada de la red, y qué parte del problema no resolvería ese respaldo?
Comunicación: ¿en qué orden se enteran el equipo, quien dirige la organización, el cliente o dueño de los datos, las personas afectadas y la autoridad que señalaste en el capítulo 8? Redacta el primer mensaje a las personas afectadas, en máximo cinco líneas, que diga lo que se sabe, reconozca lo que todavía no se sabe y diga qué tiene que hacer quien lo lee.
Capítulo 10: Conclusiones y recomendaciones — pendiente

Criterios de evaluación

Los criterios de la revisión de los capítulos anteriores y del capítulo 10 se publicarán junto con ese capítulo.

Capítulo 8: Marco legal y ético (25 puntos)

Nivel	Descripción	Puntos
Excelente	Clasifica los datos del capítulo 4 en personales y sensibles con su justificación; identifica titular, responsable y encargado en el sistema concreto; muestra cómo el sistema cumple los principios de finalidad, libertad y seguridad, con el de seguridad apoyado en controles de los capítulos 4 a 6; redacta una autorización expresa con sus cuatro elementos resueltos para las pruebas del capítulo 5; define un canal de reporte con plazos; presenta un dilema propio del sistema con el mejor argumento de cada posición	23–25
Bueno	Cubre la mayoría de los puntos aplicados al sistema; la autorización expresa tiene los cuatro elementos, pero alguno queda vago (un alcance sin exclusiones, una ventana sin fechas), o el dilema presenta la posición contraria sin su mejor argumento	18–22
Suficiente	Describe la Ley 1273 y la Ley 1581 de forma general sin aplicarlas al sistema; la autorización expresa omite elementos o se parece a «pueden probar lo que quieran esta semana»; el dilema es genérico o tiene una respuesta obvia	12–17
Insuficiente	No identifica qué datos del sistema protege la ley ni quién responde por ellos, no incluye la autorización expresa, o confunde lo que castiga el 269A	0–11

Capítulo 9: Respuesta a incidentes y continuidad (30 puntos)

Nivel	Descripción	Puntos
Excelente	Trabaja un incidente concreto que sale de los capítulos 3 y 5; nombra el evento que lo delata, los registros de los que depende y quién lo declara; asigna una severidad con lo que la haría cambiar; reparte los cuatro roles y dice quién decide cuando chocan; las decisiones de contención, erradicación y recuperación son propias del sistema y dicen lo que cuestan; describe cómo sigue la operación sin el sistema; RTO y RPO salen de la operación y fijan la frecuencia de los respaldos; el orden de los avisos es coherente con el capítulo 8 y el mensaje dice lo que se sabe, lo que no y qué hacer	27–30
Bueno	Cubre la mayoría de los puntos sobre un incidente concreto; RTO y RPO tienen justificación, pero no se traducen en una frecuencia de respaldos, o alguna decisión de contención no dice lo que cuesta; el mensaje cumple dos de sus tres partes	22–26
Suficiente	Describe las fases de NIST SP 800-61 en general, sin un incidente propio del sistema; RTO y RPO aparecen sin justificación o los fija el equipo técnico solo; no hay plan de continuidad; el mensaje especula o promete lo que no se sabe	14–21
Insuficiente	No hay plan de respuesta, o el plan no se aplica al sistema; faltan RTO y RPO, o el mensaje a las personas afectadas	0–13

Checklist antes de entregar

Errores comunes a evitar

Resumir las leyes en vez de aplicarlas: Copiar los artículos de la Ley 1273 o los principios de la Ley 1581 no dice nada de tu sistema. Lo que se evalúa es qué obligaciones tiene tu sistema y cómo las cumple.
Una autorización que no autoriza nada concreto: «El cliente nos permite hacer pruebas de seguridad» tiene el mismo problema que el correo de la clínica del caso 4 de la clase 09: no dice quién tiene derecho a autorizar, qué sistemas y técnicas entran, cuándo, ni qué se hace con lo que aparezca.
Dar por hecho el consentimiento: Que el usuario «acepta los términos» no basta si no sabe para qué se usarán sus datos. El consentimiento tiene que ser previo, expreso e informado, y cubrir la finalidad que declaraste.
Un dilema sin dilema: «¿Debemos proteger los datos de los usuarios?» tiene una sola respuesta razonable. Un dilema tiene dos posiciones defendibles, y tu trabajo es presentar la mejor versión de la que no eliges.
Copiar el ciclo de NIST en vez de usarlo: Explicar qué es cada fase no dice nada de tu sistema. Lo que se evalúa es qué decides en cada fase frente a tu incidente, con la información que tendrías en ese momento.
Un RTO y un RPO de cero, o sin justificación: «El sistema no puede caerse nunca» no es un RTO: es un deseo que exige tener otro sistema listo para reemplazar al primero. Cada número tiene que salir de lo que tu operación tolera perder, como el RPO de la base de préstamos en la simulación de MicroPréstamos.
Un mensaje que después tienes que desmentir: «No se vieron afectados datos» es justo lo que Cumplimiento legal no dejaba escribir en la ronda 2. Si todavía no sabes algo, el mensaje lo dice, y le indica a quien lo lee qué hacer mientras tanto.
Creer que el respaldo lo resuelve todo: Un respaldo te devuelve la disponibilidad, pero no deshace que tus datos estén en manos de otro. Con la doble extorsión, el problema de confidencialidad sigue ahí aunque restaures todo.

Recursos útiles

01-primera-entrega-de-proyecto — Revisa los criterios de la primera entrega
02-segunda-entrega-de-proyecto — Revisa los criterios de la segunda entrega

Navegación: ← Anterior | Inicio

ICIB

Explorador

03 - Entrega final de proyecto