Real Decreto 917/2024, de 17 de septiembre, por el que se actualizan determinadas cualificaciones profesionales de las familias profesionales Hostelería y Turismo; Imagen Personal; Informática y Comunicaciones; Seguridad y Medio Ambiente; Servicios Socioculturales y a la Comunidad; y Textil, Confección y Piel, recogidas en el Catálogo Nacional de Cualificaciones Profesionales

CE5.4 Aplicar procesos de tratamiento de residuos generados en la implementación de mejoras en un sistema informático, separando los residuos según su tipología, disponiéndolos en sus contenedores y clasificando los RAEE (Residuos de Aparatos Eléctricos y Electrónicos) para su reparación, reutilización de sus componentes y materiales o su recogida por gestores autorizados.

Capacidades cuya adquisición debe ser completada en un entorno real de trabajo:

C1 respecto a CE1.6; C2 respecto a CE2.6; C4 respecto a CE4.3 y C5 respecto a CE5.3.

Otras capacidades:

Adaptarse a la organización específica de la empresa integrándose en el sistema de relaciones técnico-laborales.

Interpretar y ejecutar las instrucciones que recibe y responsabilizarse de la labor que desarrolla, comunicándose de forma eficaz con la persona adecuada en cada momento.

Organizar y ejecutar la intervención de acuerdo a las instrucciones recibidas, con criterios de calidad y seguridad, aplicando los procedimientos específicos de la empresa.

Habituarse al ritmo de trabajo de la empresa cumpliendo los objetivos de rendimiento diario definidos en la organización.

Mostrar en todo momento una actitud de respeto hacia los compañeros, procedimientos y normas internas de la empresa.

Tomar en consideración las propuestas recibidas.

Aplicar de forma efectiva el principio de igualdad de trato y no discriminación en las condiciones de trabajo entre mujeres y hombres.

Contenidos:

1. Arquitectura de ordenadores

Arquitectura Von-Neumann: funcionamiento, esquema y estructura, elementos funcionales y subsistemas. Otras arquitecturas de procesadores. Periféricos. Arquitecturas de buses. Unidades de control de entrada y salida. Arquitecturas de ordenadores personales, sistemas departamentales y grandes ordenadores.

2. Componentes de un sistema informático

La unidad central de proceso: funciones; propósito y esquema de funcionamiento; estructura interna: unidad de control, unidad aritmético-lógica y registros. El sistema de memoria: funciones, espacios de direccionamiento y mapas de memoria, jerarquías de memoria. El sistema de E/S: funciones y tipos de E/S (programada, interrupciones, DMA), controladores de E/S, funciones de un sistema de bus, tipos de arquitecturas de bus, organización y arbitraje de un sistema de bus, dispositivos periféricos. El subsistema de almacenamiento: dispositivos de almacenamiento, interfaces. Placas base. Fuentes de alimentación y cajas. Disipadores de calor.

3. Dispositivos «hardware» del sistema informático

Evolución actual y tendencias futuras en dispositivos «hardware». Procesadores múltiples y memoria distribuida entre otros. Clasificación y tipología: unidades centrales, memorias, dispositivos de almacenamiento, periféricos. Instalación y configuración de dispositivos: herramientas y aparatos de medida, normas de seguridad, procedimiento de ensamblado de dispositivos, comprobación de las conexiones, verificación del sistema. Dispositivos y técnicas de conexión: técnicas de conexión y comunicación; comunicaciones entre sistemas informáticos; conexión a redes: topologías de red, protocolos de comunicación, dispositivos de cableado y conexión en redes locales; herramientas de diagnóstico y medición. Dispositivos «hardware» («firewall», «router», entre otros): función, características. «Firmware»: función.

4. Rendimiento del sistema informático

Evaluación del rendimiento de sistemas informáticos: métricas del rendimiento, representación y análisis de los resultados de las mediciones. Técnicas de configuración y ajuste de sistemas: rendimiento de los sistemas, caracterización de cargas de trabajo (cargas reales, cargas sintéticas como «benchmarks», núcleos, programas sintéticos y conjuntos de instrucciones, entre otros). Técnicas de medición de parámetros del sistema: herramientas de monitorización. Consumo y competencia de recursos. Modelos predictivos y análisis de tendencias. Planes de pruebas preproducción. Técnicas de diagnóstico y solución de problemas: diagnóstico mediante utilidades del sistema operativo, diagnóstico mediante «software» específico, diagnóstico mediante herramientas. Técnicas de actuación: puesta en marcha de mecanismos alternativos, métodos establecidos para solución del problema, verificación. Alta disponibilidad: definición y objetivos: funcionamiento ininterrumpido, instalación y configuración de soluciones; sistemas de archivo: nomenclatura y codificación, jerarquías de almacenamiento, migraciones y archivado de datos; volúmenes lógicos y físicos: particionamiento, sistemas NAS y SAN, gestión de volúmenes lógicos, acceso paralelo, protección RAID.

5. Políticas de seguridad y de salvaguarda del sistema informático

Entorno físico de un sistema informático: los equipos y el entorno: adecuación del espacio físico, agentes externos y su influencia en el sistema, efectos negativos sobre el sistema, factores que afectan al funcionamiento de una red de comunicaciones. Creación del entorno adecuado: control de las condiciones ambientales: humedad y temperatura, factores industriales: polvo, humo, interferencias, ruidos y vibraciones, factores humanos: funcionalidad, ergonomía y calidad de la instalación, otros factores. Evaluación de los factores de riesgo: seguridad eléctrica, requisitos eléctricos de la instalación, perturbaciones eléctricas y electromagnéticas, electricidad estática, otros factores de riesgo, introducción a los aparatos de medición. Salvaguarda física y lógica. «Cluster» y balanceo de carga. Integridad de datos y recuperación de servicio. Custodia de ficheros de seguridad. Normativa de protección medioambiental (CO2, producción y gestión de residuos, entre otros).

Parámetros de contexto de la formación:

Espacios e instalaciones:

Los talleres e instalaciones darán respuesta a las necesidades formativas de acuerdo con el contexto profesional establecido en la unidad de competencia asociada, teniendo en cuenta la normativa aplicable del sector productivo, prevención de riesgos laborales, accesibilidad universal, igualdad de género y protección medioambiental. Se considerará con carácter orientativo como espacios de uso:

• Taller de 4 m² por alumno o alumna.

• Instalación de 2 m² por alumno o alumna.

Perfil profesional del formador o formadora:

1. Dominio de los conocimientos y las técnicas relacionados con la administración de los dispositivos «hardware» de un sistema informático, que se acreditará mediante una de las dos formas siguientes:

• Formación académica de nivel 2 (Marco Español de Cualificaciones para la Educación Superior) o de otras de superior nivel relacionadas con el campo profesional.

• Experiencia profesional de un mínimo de 2 años en el campo de las competencias relacionadas con este módulo formativo.

2. Competencia pedagógica acreditada de acuerdo con lo que establezcan las Administraciones competentes.

MÓDULO FORMATIVO 2: GESTIÓN DEL «SOFTWARE» DE UN SISTEMA INFORMÁTICO

Nivel: 3

Código: MF0485_3

Asociado a la UC: Gestionar el «software» de un sistema informático

Duración: 150 horas

Capacidades y criterios de evaluación:

C1: Aplicar procedimientos de instalación y configuración de sistemas operativos, estableciendo valores a sus parámetros de configuración.

CE1.1 Analizar la idoneidad de los tipos de sistemas operativos aplicables a sistemas informáticos, según el propósito de estos, enumerando y describiendo las características que les hacen adecuados para cada caso, según unas necesidades de uso.

CE1.2 Identificar parámetros de configuración del sistema operativo, describiendo su función e importancia en el funcionamiento del sistema informático.

CE1.3 En un supuesto práctico, de instalación de un sistema operativo en un equipo informático, configurándolo según unos requisitos de uso dados:

- Comprobar que se dispone de la configuración «hardware» requerida para la instalación del sistema operativo, verificando parámetros, tales como cantidad de memoria, tipo de procesador, entre otros.

- Preparar el equipo informático, configurando el «hardware» requerido (espacio libre en disco, memoria RAM, procesador, entre otros) para instalar el sistema operativo.

- Establecer los sistemas de ficheros (NTFS, ext4, entre otros), teniendo en cuenta los dispositivos de almacenamiento existentes y las necesidades de uso del equipo informático.

- Instalar el «software» del sistema operativo, configurando parámetros solicitados durante el proceso de instalación.

- Configurar el sistema operativo, atendiendo a los requisitos de uso dados, creando usuarios, impresoras, entre otros.

- Verificar el funcionamiento del equipo informático, haciendo uso de una lista de comprobación que incorporará todos los elementos «hardware» y «software» (acceso a red, impresoras, cuentas de usuarios, entre otros) a comprobar.

- Documentar el trabajo realizado, indicando la configuración «hardware» del equipo informático, la versión del sistema operativo instalado y las incidencias ocurridas durante la instalación.

CE1.4 Verificar dispositivos «hardware» del sistema (memoria, tarjeta de red, entre otros) y sus controladores realizando pruebas de arranque y parada, utilizando herramientas «software» de diagnóstico y verificación, comprobando la no existencia de incidencias en su funcionamiento.

CE1.5 Automatizar tareas en el sistema informático, elaborando «scripts» y planificando su ejecución.

C2: Aplicar procedimientos de instalación y configuración de «software» corporativo y paquetes informáticos de propósito general, estableciendo valores a sus parámetros y verificando su funcionamiento.

CE2.1 Instalar paquetes de propósito general, (herramientas ofimáticas, navegadores, entre otros), comprobando que los requisitos «hardware» y «software» disponibles en el equipo informático son compatibles y suficientes para su instalación.

CE2.2 Instalar «software» corporativo (ERP (Planificación de Recursos Empresariales), bases de datos, entre otros), comprobando que los requisitos «hardware» y «software» disponibles en el equipo informático son compatibles y suficientes para su instalación, configurando parámetros previos a su instalación.

CE2.3 Configurar «software» corporativo (ERP, bases de datos, entre otros), estableciendo valores en sus parámetros de configuración, según requisitos de uso dados.

CE2.4 Configurar el acceso a datos y aplicaciones, creando grupos y cuentas de usuarios, entre otros, estableciendo privilegios específicos de acceso a los recursos del sistema (datos, aplicaciones, entre otros).

CE2.5 Verificar el conjunto del «software» instalado, realizando pruebas de funcionamiento y compatibilidad, usando herramientas del sistema operativo o de terceros.

CE2.6 Registrar incidencias de procesos de instalación y configuración de «software», siguiendo un procedimiento dado (plantillas, herramientas «software», entre otros).

CE2.7 En un supuesto práctico de instalación de un gestor de base de datos, atendiendo a unos requisitos dados (sistema operativo, número de registros en la base de datos, número de usuarios simultáneos, entre otros):

- Seleccionar un gestor de base de datos, describiendo las características que le hacen idóneo para los requisitos dados.

- Comprobar que se dispone de la configuración «hardware» en el equipo informático, verificando que cumple los requisitos necesarios para la instalación del gestor de base de datos seleccionado.

- Seleccionar el formato de sistema de ficheros (NTFS, ext4, entre otros) donde se ubicará la base de datos, indicando las características que le hacen idóneo para el gestor de base de datos y requisitos dados.

- Instalar el gestor de base de datos, configurando sus parámetros, según unos requisitos dados.

- Crear usuarios en el gestor de base de datos (administrador, prueba, entre otros), comprobando que tienen acceso a los datos del gestor.

- Comprobar la conectividad externa al gestor de base de datos, realizando pruebas de acceso desde equipos clientes.

C3: Implementar procedimientos de monitorización del rendimiento del «software» instalado en el equipo informático, estableciendo métricas de rendimiento (estabilidad del sistema, tiempos de respuesta, entre otros), analizando los valores obtenidos.

CE3.1 Enumerar medidas de rendimiento «software», describiendo el impacto en el comportamiento del sistema.

CE3.2 Establecer métricas de rendimiento del «software» instalado (estabilidad, capacidad de respuesta, velocidad, entre otras), especificando parámetros a evaluar, herramientas «software» utilizar, entre otros.

CE3.3 Obtener datos de rendimiento de un sistema informático, utilizando herramientas de diagnóstico y técnicas de análisis de rendimiento previamente establecidas.

CE3.4 Analizar datos de rendimiento del sistema informático, comprobando los valores obtenidos al aplicar las técnicas de análisis, detectando posibles anomalías de funcionamiento (uso elevado de procesador, falta de memoria, entre otros).

CE3.5 Programar correcciones de anomalías de rendimiento, estableciendo planes con medidas correctivas a realizar (actualizaciones de «software», sustitución de «hardware», entre otros), definiendo prioridades para su ejecución, minimizando el impacto en el servicio a los usuarios.

CE3.6 En un supuesto práctico de comprobación del rendimiento de un equipo informático, teniendo instalado un paquete «software» de aplicación:

- Deshabilitar el «software» haciendo uso de herramientas del sistema operativo o directivas específicas del «software» de aplicación.

- Medir los parámetros del rendimiento del equipo (memoria ocupada, uso de CPU, latencia en la conexión de datos, entre otros), utilizando herramientas del sistema operativo.

- Habilitar el «software» haciendo uso de herramientas del sistema operativo o directivas específicas del «software» de aplicación.

- Medir los parámetros del rendimiento del equipo (memoria ocupada, uso de CPU, latencia en la conexión de datos, entre otros) con el «software» de aplicación sometido a una sesión de trabajo, utilizando las herramientas del sistema operativo.

- Analizar los datos obtenidos, comparando y describiendo el impacto en el rendimiento.

- Documentar el proceso realizado, describiendo los pasos seguidos, resultados obtenidos, entre otros.

C4: Aplicar procedimientos de actualización y configuración de «software» de base y corporativo, instalando paquetes o nuevas versiones.

CE4.1 Crear listas con datos sobre personas y/o instituciones relacionadas con la organización (responsable sistemas, operadora telecomunicaciones, entre otros), definiendo su rol en caso de contingencia e indicando cómo y dónde se publicaría dicha lista.

CE4.2 Describir la función de un plan de mantenimiento «software», detallando tipos de mantenimiento, procedimientos, recursos, planificación de tareas, entre otros.

CE4.3 Establecer planes de actualización de «software», definiendo franjas horarias para su ejecución, persona responsable para llevarla a cabo, servicios que quedarán inactivos, equipos afectados, entre otros.

CE4.4 Actualizar «software» de base o corporativo, haciendo una copia de seguridad previa de los datos del equipo informático, instalando la nueva actualización, verificando que el sistema queda operativo y aplicando procedimientos técnicos de vuelta atrás, en caso de contingencia.

CE4.5 Documentar procesos de actualización de «software», registrando pasos realizados, incidencias detectadas, siguiendo procedimiento establecido por la organización (herramientas «software», formularios, entre otros).

C5: Implementar planes para la realización de copias de seguridad, estableciendo información o sistemas a respaldar y frecuencia de respaldo, entre otros, para mantener la seguridad y disponibilidad de la información.

CE5.1 Identificar tipos de copias de seguridad, describiendo características, ventajas e inconvenientes de cada tipo.

CE5.2 Clasificar la información de la organización, inventariándola en función de su criticidad y de su tipo (datos de sistema o datos de la organización), determinando si necesita ser respaldada y la frecuencia con la que debe ser salvaguardada.

CE5.3 Establecer planes de copias de seguridad, teniendo en cuenta volumen de datos a guardar y su criticidad, impacto sobre el rendimiento del servidor y duración en la realización de las copias.

CE5.4 Realizar pruebas de verificación de copias de seguridad, instalando una copia de seguridad y comprobando que se puede recuperar información contenida en ella.

CE5.5 Identificar dispositivos de almacenamiento (cintas, discos externos, entre otros), registrando en el plan de copias de seguridad qué información (fecha de la copia, información respaldada, entre otros) contiene cada dispositivo.

CE5.6 Confeccionar documentación de procedimientos de obtención y verificación de copias de seguridad, así como la de planes de contingencias y resolución de incidencias, siguiendo las normas establecidas por la organización (plantillas, herramientas «software», entre otros).

CE5.7 En un supuesto práctico de realización de copias de seguridad, utilizando herramientas de «backup» y requisitos de salvaguarda dados:

- Identificar qué datos se van a respaldar, calculando el espacio de almacenamiento requerido para la salvaguarda.

- Determinar el tipo de «backup» (incremental, diferencial, entre otros) a realizar, teniendo en cuenta el espacio de almacenamiento disponible.

- Realizar la copia de seguridad, haciendo uso de la herramienta dada.

- Clasificar los dispositivos de respaldo (cintas, discos, entre otros), etiquetándolos con información relevante tal como fecha, datos guardados, entre otros.

- Verificar que la copia de seguridad realizada es funcional, recuperando los datos de ella y comprobando que son iguales a los originales.

- Documentar el proceso realizado, describiendo los pasos seguidos, resultados obtenidos, entre otros.

C6: Inventariar «software», registrando información tal como número de instalaciones de «software», fechas de instalación, el tipo de «software», haciendo uso de herramientas de inventariado.

CE6.1 Describir un inventario «software», explicando su función y ventajas de su gestión.

CE6.2 Enumerar herramientas de gestión de inventario «software», describiendo sus características.

CE6.3 Dar de alta en un inventario «software», registrando información tal como número de licencias, tipo «software», ubicación, entre otros y haciendo uso de las herramientas (formularios, herramientas «software» de inventario, entre otros) indicadas por la organización.

CE6.4 En un supuesto práctico de registro e identificación del «software» instalado en equipos informáticos, comprobando que los términos de licencia se cumplen y actualizando la información en el inventario «software»:

- Clasificar el «software» instalado, atendiendo a criterios tales como propósito, sistema operativo, entre otros.

- Revisar el número y ubicación de copias de «software» instalado, comprobando que se cumplen las condiciones de la licencia.

- Revisar los paquetes «software» instalados en los equipos informáticos, comprobando que todos tienen licencia y ésta se cumple.

- Registrar la información del «software» instalado en los equipos informáticos haciendo uso de una herramienta «software» de inventario, incorporando información tal como número de licencia, fecha de instalación, entre otros.

Capacidades cuya adquisición debe ser completada en un entorno real de trabajo:

C1 respecto a CE1.3; C2 respecto a CE2.7; C3 respecto a CE3.6; C5 respecto a CE5.7 y C6 respecto a CE6.4.

Otras capacidades:

Responsabilizarse del trabajo que desarrolla y del cumplimiento de los objetivos.

Demostrar un buen hacer profesional.

Ser capaz de proponer mejoras en los procesos y procedimientos de trabajo.

Demostrar grado de autonomía en la resolución de contingencias relacionadas con su actividad.

Interpretar y ejecutar instrucciones de trabajo.

Demostrar resistencia al estrés, estabilidad de ánimo y control de impulsos.

Aplicar de forma efectiva el principio de igualdad de trato y no discriminación en las condiciones de trabajo entre mujeres y hombres.

Contenidos:

1. Clasificación del «software» de un sistema informático

Sistemas operativos: concepto de «software» de base o sistema operativo; evolución de los sistemas operativos: generaciones y características. Tipos: monousuario/multiusuario, monoprocesador/multiprocesador, monolítico/microkernel. Funciones de un sistema operativo, estructura de un sistema operativo: características y funciones; gestión de procesos; gestión y organización de memoria; gestión de dispositivos; gestión y sistemas de ficheros; «firmware»; gestión de usuarios y grupos; herramientas comunes del sistema operativo; conceptos de sistemas operativos en red y distribuidos; conceptos de sistemas operativos en tiempo real; tendencias de los sistemas operativos; gestión de logs; alarmas; tareas programadas; hipervisores; virtualización. Lenguajes de programación: propósito de los lenguajes de programación, clasificación según el grado de independencia de la máquina, compiladores e intérpretes, librerías, clasificación por generaciones. Programas de aplicación: procesadores de lenguaje, aplicaciones de propósito general, aplicaciones ofimáticas, gestores de bases de datos, ventajas e inconvenientes de las aplicaciones a medida; tipos de licencias de uso de «software». Normativa de protección medioambiental (CO2, producción y gestión de residuos, entre otros).

2. Procedimientos de implantación de «software» de un sistema informático

El ciclo de implantación de «software»: instalación, configuración, verificación y ajuste. La necesidad de la planificación en los procesos de instalación. Parámetros del sistema informático a tener en cuenta en un proceso de instalación de «software». Procedimientos para la instalación de sistemas operativos: requisitos del sistema, controladores de dispositivos, «software» de clonación, configuración de interfaces de usuario, pruebas y optimización de la configuración, normativa aplicable sobre propiedad intelectual, licencias y tipos de licencias.

3. Procedimientos de mantenimiento del «software» de un sistema informático

La necesidad de la planificación en los procesos de instalación. Planificación y automatización de tareas mediante «scripts». Objetivos de un plan de mantenimiento. El mantenimiento preventivo como estrategia. Problemas comunes en las instalaciones «software». Problemas comunes en las instalaciones «hardware». Mantenimiento remoto: herramientas y configuración. Adecuación de sistemas: parches y actualizaciones. Inventario «software». Herramientas de gestión de inventario «software».

4. Copias de respaldo de un sistema informático

Arquitectura del servicio de copias de respaldo: sistemas centralizados, sistemas distribuidos, copias locales. Planificación del servicio de copias de respaldo: niveles de copia de respaldo, dimensionamiento del servicio de copias de respaldo. Soportes para copias de respaldo: soportes tradicionales, jerarquías de almacenamiento.

Parámetros de contexto de la formación:

Espacios e instalaciones:

Los talleres e instalaciones darán respuesta a las necesidades formativas de acuerdo con el contexto profesional establecido en la unidad de competencia asociada, teniendo en cuenta la normativa aplicable del sector productivo, prevención de riesgos laborales, accesibilidad universal, igualdad de género y protección medioambiental. Se considerará con carácter orientativo como espacios de uso:

• Taller de 4 m² por alumno o alumna.

• Instalación de 2 m² por alumno o alumna.

Perfil profesional del formador o formadora:

1. Dominio de los conocimientos y las técnicas relacionados con la gestión del «software» de un sistema informático, que se acreditará mediante una de las dos formas siguientes:

• Formación académica de nivel 2 (Marco Español de Cualificaciones para la Educación Superior), o de otras de superior nivel relacionadas con el campo profesional.

• Experiencia profesional de un mínimo de 2 años en el campo de las competencias relacionadas con este módulo formativo.

2. Competencia pedagógica acreditada de acuerdo con lo que establezcan las Administraciones competentes.

MÓDULO FORMATIVO 3: SEGURIDAD EN EQUIPOS INFORMÁTICOS

Nivel: 3

Código: MF0486_3

Asociado a la UC: ASEGURAR EQUIPOS INFORMÁTICOS

Duración: 120 horas

Capacidades y criterios de evaluación:

C1: Aplicar procedimientos de configuración de seguridad de equipos informáticos instalando «software», configurando opciones del sistema operativo, entre otros, para protegerlos ante el riesgo de pérdida, manipulación y/o sustracción de información no autorizada.

CE1.1 Definir tipos de usuario o roles, estableciendo los privilegios de acceso a los recursos (aplicaciones «software», carpetas, entre otros), según las funciones desempeñadas dentro de la organización.

CE1.2 Crear cuentas de usuario, asignándolas a los tipos de usuarios definidos en el sistema informático.

CE1.3 Configurar la política de contraseñas, estableciendo parámetros tales como complejidad, caducidad, revocación, bloqueo, reutilización, entre otros.

CE1.4 Configurar el control de acceso al equipo informático, estableciendo parámetros tales como el número de intentos fallidos permitidos, tiempo permitido entre fallos de acceso consecutivos, entre otros.

CE1.5 Configurar un cortafuegos en el equipo informático, según las necesidades de uso del equipo, estableciendo reglas de filtrado de las conexiones entrantes y salientes.

CE1.6 Aplicar medidas de seguridad a la información del equipo informático (integridad, accesos, entre otros), frente a riesgos de ataque malicioso, revisando la instalación y configuración del «software» de protección adecuado (EDP -«Endpoint Detection and Response»-, «anti-ransomware», «anti-malware», entre otros).

CE1.7 Contrastar los procesos de recopilación, tratamiento y eliminación de la información por parte de los usuarios, comprobando que cumplen protocolos a seguir según el grado de confidencialidad de la información.

CE1.8 Crear documentación informativa sobre la política de seguridad de la organización tal como, restricciones asignadas a equipos y usuarios, ámbitos de responsabilidades relativos a la utilización de los equipos informáticos, entre otros.

C2: Aplicar procedimientos de configuración de seguridad a equipos servidores, estableciendo mecanismos de registro de la actividad del servidor, deshabilitando los servicios no prestados, haciendo uso de protocolos de seguridad, entre otros.

CE2.1 Identificar tipos de servicios (correo, web, entre otros) que puede ofrecer un servidor, describiendo su función y características.

CE2.2 Identificar las amenazas existentes para cada tipo de servicio, describiendo las configuraciones a realizar para minimizar/proteger dicho servicio.

CE2.3 Configurar un servicio (correo, web, entre otros) en un servidor, haciendo uso del entorno específico del servicio, estableciendo sus parámetros de configuración según unos valores dados.

CE2.4 En un supuesto práctico de aseguramiento de un tipo de servidor, configurando los servicios necesarios para prestar su función (web, correo, entre otros) y deshabilitando los innecesarios:

- Identificar qué servicios están activos en el servidor, haciendo uso de la directiva correspondiente de sistema operativo específico y verificando su estado.

- Identificar los servicios que están activos que no se van a utilizar, deshabilitándolos del sistema operativo.

- Eliminar el «software» de los servicios deshabilitados, borrándolos del sistema operativo.

CE2.5 Identificar los protocolos de seguridad (TLS -Transport Layer Security, Seguridad de la Capa de Transporte-, SSH -Secure Shell-, entre otros) utilizados en las comunicaciones con un tipo de servidor, describiendo sus características e indicando cómo se activan y configuran para un sistema operativo específico.

CE2.6 Activar mecanismos de auditoría de la actividad e incidencias del servidor, configurando el registro de eventos del sistema y parametrizando valores tales como periodicidad, nivel de detalle (fecha, usuario, entre otros).

CE2.7 Documentar las configuraciones realizadas e incidencias producidas, detallando el procedimiento llevado a cabo, las incidencias ocurridas (descripción, tipo, entre otros) y el correctivo aplicado para solventarlas, según procedimiento interno de la organización (plantillas, herramientas «software», entre otros).

C3: Aplicar procedimientos de borrado seguro y destrucción física de información en soportes y sistemas de almacenamiento de un equipo informático, haciendo uso de las técnicas de borrado y destrucción específicas al tipo de soporte de información.

CE3.1 Identificar las técnicas de borrado o destrucción apropiadas para cada tipo de soporte (lógico, óptico, magnético o memorias de estado sólido), describiendo sus características y función.

CE3.2 Redactar un protocolo de retención de datos, teniendo en cuenta la organización, búsqueda, acceso y eliminación de la información.

CE3.3 Revisar los métodos de borrado o destrucción física aplicado en soportes de información, comprobando que el método o técnica utilizados se corresponde con el tipo de soporte [magnético, óptico, electrónico (SSD -«Solid State Drive», Unidad de Estado Sólido-)].

CE3.4 En un supuesto práctico de borrado seguro de información de soporte de información de datos (IDE -«Integrated Drive Electronics»-, SATA -«Serial Advanced Technology Attachment»-, SCSI -«Small Computer System Interface»- y USB -«Universal Serial Bus»-), utilizando una herramienta «software» de borrado seguro:

- Comprobar que el equipo informático donde se va a instalar o utilizar la herramienta «software» de borrado seguro cumple los requisitos (tipo de procesador, tamaño de memoria, puerto USB, entre otros) para su instalación o uso y verificando que se encuentra aislado (sin conexión a red) y libre de «malware».

- Configurar el equipo informático para que permita el arranque desde USB, configurando la BIOS (Sistema básico de entrada/salida).

- Reinicia el equipo, introduciendo el dispositivo USB con la herramienta de borrado seguro antes de que comience el proceso de arranque.

- Hacer uso de la herramienta de borrado seguro, seleccionando los soportes con la información a borrar y el método de borrado a aplicar.

- Realizar el proceso de borrado seguro de los soportes de información seleccionados, obteniendo un informe de proceso terminado y guardándolo en el lugar indicado.

- Verificar que la información en los dispositivos de almacenamiento seleccionados ha sido borrada de forma segura, visualizando en el informe generado que el borrado se ha realizado sin ningún error.

- Documentar el trabajo realizado, indicando los dispositivos de almacenamiento, método de borrado y evidencias del proceso de borrado seguro.

CE3.5 Registrar un procedimiento realizado de borrado o destrucción, generando un documento de certificación que detalle informaciones tales como, evidencias lógicas o gráficas del proceso, cuándo y cómo se ha realizado el proceso de destrucción o reutilización, especificaciones técnicas del «hardware», entre otras.

C4: Comprobar medidas de seguridad física a equipos servidores, verificando que su ubicación dispone de protección de acceso y condiciones ambientales específicas, entre otras.

CE4.1 Revisar la ubicación física de servidores, comprobando que se encuentran situados en un espacio con acceso físico controlado y protegido.

CE4.2 Comprobar las condiciones ambientales (temperatura, humedad) de la ubicación física de equipos servidores, verificando que se encuentran dentro del rango de trabajo óptimo considerado entre 17 y 21 grados.

CE4.3 Revisar el sistema de alimentación ininterrumpida (SAI), comprobando que está operativo a través de su sistema de alertas.

C5: Aplicar técnicas de verificación de copias de seguridad, comprobando que la información a respaldar, la frecuencia de respaldo, entre otros, permite mantener la seguridad y disponibilidad de la información.

CE5.1 Comprobar la información de un equipo informático, verificando que su clasificación en función de su criticidad y de su tipo (datos de sistema o datos de la organización) es acorde a un plan de copias de seguridad.

CE5.2 Verificar un plan de copias de seguridad, comprobando que contempla los datos a guardar, su criticidad, tipo de salvaguarda, frecuencia de respaldo, entre otros.

CE5.3 Comprobar dispositivos de almacenamiento de copias de respaldo (cintas, discos externos, entre otros), verificando que la información (fecha de la copia, información respaldada, entre otros) contenida en ellos se encuentra registrada en un plan de copias de seguridad.

CE5.4 Verificar procedimientos de obtención y verificación de copias de seguridad, realizando pruebas de funcionamiento de los mismos.

Capacidades cuya adquisición debe ser completada en un entorno real de trabajo:

C2 respecto a CE2.4 y C3 respecto a CE3.4.

Otras capacidades:

Mantener el área de trabajo con el grado apropiado de orden y limpieza.

Demostrar creatividad en el desarrollo del trabajo que realiza.

Demostrar cierto grado de autonomía en la resolución de contingencias relacionadas con su actividad.

Interpretar y ejecutar instrucciones de trabajo.

Demostrar resistencia al estrés, estabilidad de ánimo y control de impulsos.

Comunicarse eficazmente con las personas adecuadas en cada momento, respetando los canales establecidos en la organización.

Aplicar de forma efectiva el principio de igualdad de trato y no discriminación en las condiciones de trabajo entre mujeres y hombres.

Contenidos:

1. Gestión de la seguridad y riesgos de un sistema informático

Seguridad: objetivo de la seguridad; amenazas; atacante externo e interno; tipos de ataque; mecanismos de protección. Riesgos: proceso de gestión de riesgos; métodos de identificación y análisis de riesgos; reducción del riesgo. Normativa de protección medioambiental (CO2, producción y gestión de residuos, entre otros).

2. Seguridad física en el sistema informático

Protección del sistema informático. Protección de los datos. Técnicas de borrado seguro y destrucción de información. Herramientas «software» de borrado seguro de información.

3. Seguridad lógica del sistema informático

Sistemas de ficheros. Permisos de archivos. Listas de control de acceso (ACLs) a ficheros. Registros de actividad del sistema. Autenticación de usuarios: sistemas de autenticación débiles; sistemas de autenticación fuertes; sistemas de autenticación biométricos. Introducción a la Criptografía y Establecimiento de Políticas de Contraseñas. Arquitectura del servicio de copias de respaldo: sistemas centralizados, sistemas distribuidos, copias locales. Planificación del servicio de copias de respaldo: niveles de copia de respaldo, dimensionamiento del servicio de copias de respaldo. Soportes para copias de respaldo: soportes tradicionales, jerarquías de almacenamiento.

4. Acceso remoto al sistema informático

Mecanismos del sistema operativo para control de accesos. Cortafuegos de servidor: filtrado de paquetes; cortafuegos de nivel de aplicación; registros de actividad del cortafuegos.

Parámetros de contexto de la formación:

Espacios e instalaciones:

Los talleres e instalaciones darán respuesta a las necesidades formativas de acuerdo con el contexto profesional establecido en la unidad de competencia asociada, teniendo en cuenta la normativa aplicable del sector productivo, prevención de riesgos laborales, accesibilidad universal, igualdad de género y protección medioambiental. Se considerará con carácter orientativo como espacios de uso:

• Taller de 4 m² por alumno o alumna.

• Instalación de 2 m² por alumno o alumna.

Perfil profesional del formador o formadora:

1. Dominio de los conocimientos y las técnicas relacionados con el aseguramiento de equipos informáticos, que se acreditará mediante una de las dos formas siguientes:

• Formación académica de nivel 2 (Marco Español de Cualificaciones para la Educación Superior) o de otras de superior nivel relacionadas con el campo profesional.

• Experiencia profesional de un mínimo de 2 años en el campo de las competencias relacionadas con este módulo formativo.

2. Competencia pedagógica acreditada de acuerdo con lo que establezcan las Administraciones competentes.

ANEXO III. Cualificación profesional: Gestión de la ciberseguridad

Familia Profesional: Informática y Comunicaciones

Nivel: 3

Código: IFC153_3

Competencia general

Garantizar la seguridad en el almacenamiento y transmisión de la información, verificando los accesos y usos en equipos informáticos, redes de comunicación y sitios web, previniendo y reaccionando ante ataques, identificando vulnerabilidades y aplicando contramedidas para garantizar la confidencialidad, disponibilidad, integridad y autenticidad, cumpliendo la normativa aplicable sobre protección de datos, propiedad intelectual e industrial, seguridad informática y servicios de las comunicaciones.

Unidades de competencia

UC0486_3: Asegurar equipos informáticos

UC0487_3: Auditar redes de comunicación y sistemas informáticos

UC0488_3: Gestionar incidentes de ciberseguridad

UC0489_3: Implementar sistemas seguros de acceso y transmisión de datos

Entorno Profesional

Ámbito Profesional

Desarrolla su actividad profesional en el área de sistemas informáticos y/o telemáticos dedicado a la seguridad informática (ciberseguridad), en entidades de naturaleza pública o privada, empresas de tamaño pequeño/mediano/grande o microempresas, tanto por cuenta propia como ajena, con independencia de su forma jurídica. Desarrolla su actividad dependiendo, en su caso, funcional y/o jerárquicamente de un superior. Puede tener personal a su cargo en ocasiones, por temporadas o de forma estable. En el desarrollo de la actividad profesional se aplican los principios de accesibilidad universal y diseño universal o diseño para todas las personas de acuerdo con la normativa aplicable.

Sectores Productivos

Se ubica principalmente en el sector servicios, en el subsector de los servicios de instalación, mantenimiento, gestión y asistencia técnica de sistemas informáticos y telemáticos, y en cualquier sector productivo que requiera los servicios anteriores

Ocupaciones y puestos de trabajo relevantes

Los términos de la siguiente relación de ocupaciones y puestos de trabajo se utilizan con carácter genérico y omnicomprensivo de mujeres y hombres.

Técnicos en seguridad informática.

Técnicos en ciberseguridad.

Técnicos en auditoría de ciberseguridad.

Técnicos de gestión de incidentes de ciberseguridad.

Formación Asociada (600 horas)

Módulos Formativos

MF0486_3: Seguridad en equipos informáticos (120 horas)

MF0487_3: Auditoría de redes de comunicación y sistemas informáticos (180 horas)

MF0488_3: Gestión de incidentes de ciberseguridad (120 horas)

MF0489_3: Implementación de sistemas seguros de acceso y transmisión de datos (180 horas)

UNIDAD DE COMPETENCIA 1: ASEGURAR EQUIPOS INFORMÁTICOS

Nivel: 3

Código: UC0486_3

Realizaciones profesionales y criterios de realización:

RP1: Configurar equipos informáticos siguiendo los procedimientos establecidos en el plan de seguridad de la organización para protegerlos de la pérdida, manipulación y sustracción de información no autorizada.

CR1.1 Los tipos de usuarios se definen, estableciendo los privilegios de acceso a los recursos (aplicaciones «software», carpetas, entre otros), según las funciones desempeñadas dentro de la organización.

CR1.2 Las cuentas de usuario se crean, utilizando las herramientas específicas del sistema operativo, dándoles un nombre de usuario, una contraseña y asignándolas a los tipos de usuarios definidos en el sistema informático.

CR1.3 La política de contraseñas se configura, estableciendo parámetros tales como complejidad, caducidad, revocación, bloqueo, reutilización, entre otros.

CR1.4 El control de acceso al equipo informático se establece, configurando parámetros tales como el número de intentos fallidos permitidos, tiempo permitido entre fallos de acceso consecutivos, entre otros.

CR1.5 La seguridad del equipo informático ante ataques externos se refuerza, configurando un cortafuegos según las necesidades de uso del equipo, estableciendo reglas de filtrado de las conexiones entrantes y salientes.

CR1.6 La seguridad de la información del equipo informático (integridad, accesos, entre otros) frente a riesgos de ataque malicioso se revisa, comprobando la instalación y configuración del «software» de protección adecuado (EDP -«EndPoint Detection and Response»-, «anti-ransomware», «anti-malware», entre otros).

CR1.7 La recopilación, tratamiento y eliminación de la información por parte de los usuarios se revisa, documentando detalladamente los protocolos a seguir según el grado de confidencialidad de la información.

CR1.8 La política de seguridad de la organización se transmite a los usuarios, publicando informaciones tales como restricciones asignadas a equipos y usuarios, servicios de red permitidos y restringidos, ámbitos de responsabilidades relativos a la utilización de los equipos informáticos.

RP2: Configurar equipos servidores, aplicando los mecanismos de protección establecidos en el plan de seguridad de la organización para protegerlos de accesos indebidos.

CR2.1 Los servicios que ofrece el servidor (correo, web, servicio de impresión, entre otros) se configuran, haciendo uso de los entornos específicos de cada servicio, estableciendo valores a sus parámetros de configuración, conforme a las medidas de bastionado establecidas por la organización, si procede.

CR2.2 Los servicios del sistema operativo preinstalados no necesarios (NFS, DNS, entre otros) en el servidor se desactivan, borrándolos del sistema, garantizando así que no pueden ser activados.

CR2.3 La comunicación con el servidor (autentificación de usuarios, intercambio de información) se asegura, activando y configurando protocolos de seguridad tales como TLS (TLS, SSH, entre otros).

CR2.4 Los mecanismos de registro de actividad e incidencias del servidor se activan, configurando el registro de eventos del sistema y parametrizando valores tales como periodicidad, nivel de detalle (fecha, usuario, entre otros).

CR2.5 Los mecanismos de registro de actividad e incidencias de los servicios ofrecidos por el servidor se activan, configurando y parametrizando, según el servicio, valores tales como tamaño de los ficheros logs, rotación, nivel de detalle (dirección IP, fecha, usuario, entre otros).

CR2.6 Las configuraciones realizadas e incidencias producidas se documentan, detallando el procedimiento llevado a cabo, las incidencias ocurridas (descripción, tipo, entre otros) y el correctivo aplicado para solventarlas, según procedimiento interno de la organización (plantillas, herramientas «software», entre otros).

RP3: Eliminar información en soportes y sistemas de almacenamiento de equipos informáticos, de forma segura, aplicando procedimientos de borrado seguro y destrucción física de información, siguiendo los procedimientos establecidos en la política de seguridad de la organización para prevenir la fuga de información confidencial.

CR3.1 Los métodos de destrucción física (trituración, desintegración, incineración, entre otros) se revisan, comprobando que el método utilizado se corresponde con el tipo de soporte de información.

CR3.2 El protocolo de retención de datos se interpreta, teniendo en cuenta la organización, búsqueda, acceso y eliminación de la información.

CR3.3 La información almacenada en los equipos informáticos y en los soportes de información se borran, utilizando herramientas «software» de borrado seguro de datos.

CR3.4 El procedimiento realizado se registra, generando un documento de certificación que detalle informaciones tales como, evidencias lógicas o gráficas del proceso, cuándo y cómo se ha realizado el proceso de destrucción o reutilización, especificaciones técnicas del «hardware», entre otras.

RP4: Aplicar medidas de seguridad física a equipos servidores, comprobando que su ubicación dispone de protección de acceso y condiciones ambientales específicas, entre otras, siguiendo el plan de seguridad de la organización para evitar interrupciones en la prestación de servicios del sistema.

CR4.1 La ubicación física de los servidores se revisa, comprobando que se encuentran situados en un espacio con acceso físico controlado y protegido.

CR4.2 Las condiciones ambientales (temperatura, humedad) de la ubicación física de equipos servidores se comprueban, verificando que se encuentran dentro del rango de trabajo óptimo considerado entre 17 y 21 grados.

CR4.3 El Sistema de Alimentación Ininterrumpida (SAI) se revisa, comprobando que está operativo a través de su sistema de alertas y reportando su estado en caso de anomalías de funcionamiento.

RP5: Verificar la realización de copias de seguridad, comprobando la información a respaldar, la frecuencia de respaldo, entre otros, para mantener la seguridad y disponibilidad de la información.

CR5.1 La información del equipo informático se comprueba, verificando que su clasificación en función de su criticidad y de su tipo (datos de sistema o datos de la organización) es acorde al plan de copias de seguridad.

CR5.2 El plan de copias de seguridad se verifica, comprobando que contempla los datos a guardar, su criticidad, tipo de salvaguarda, frecuencia de respaldo, entre otros.

CR5.3 Los dispositivos de almacenamiento de copias de seguridad (cintas, discos externos, entre otros) se comprueban, verificando que la información (fecha de la copia, información respaldada, entre otros) contenida en ellos se encuentra registrada en el plan de copias de seguridad.

CR5.4 Los procedimientos de obtención y verificación de copias de seguridad se verifican, realizando pruebas de funcionamiento de los mismos.

Contexto profesional:

Medios de producción:

Aplicaciones ofimáticas corporativas. Verificadores de fortaleza de contraseñas. Analizadores de puertos. Analizadores de ficheros de registro del sistema. Cortafuegos. Equipos específicos y/o de propósito general. Cortafuegos personales o de servidor. Sistemas de autenticación: débiles: basados en usuario y contraseña y robustos: basados en dispositivos físicos y medidas biométricas. Programas de comunicación con capacidades criptográficas. Herramientas de administración remota segura. IDS Sistemas de Detección de Intrusión (IDS), Sistemas de Prevención de Intrusión (IPS), equipos trampa («Honeypots»). Herramientas de borrado seguro de información.

Productos y resultados:

Equipos informáticos con control de acceso seguro, cortafuegos y «software» de protección configurado. Equipos servidores con mecanismos de protección establecidos. Documentos de configuración e incidencias producidas. Equipos informáticos reutilizables. Equipos servidores en ubicaciones protegidas y seguras.

Información utilizada o generada:

Política de seguridad de infraestructuras telemáticas. Normativa aplicable, reglamentación y estándares. Registro inventariado del «hardware». Registro de comprobación con las medidas de seguridad aplicadas a cada sistema informático. Topología del sistema informático a proteger. Normativa sobre protección de datos. Normativa sobre servicios de la sociedad de información. Normativa sobre prevención de riesgos laborales. Normativa medioambiental, en especial sobre producción y gestión de residuos y suelos contaminados.

UNIDAD DE COMPETENCIA 2: AUDITAR REDES DE COMUNICACIÓN Y SISTEMAS INFORMÁTICOS

Nivel: 3

Código: UC0487_3

Realizaciones profesionales y criterios de realización:

RP1: Comprobar la seguridad de los sistemas informáticos, revisando el bastionado de las instalaciones, equipos y «software», para verificar la integridad, confidencialidad, disponibilidad, trazabilidad y no repudio de la información gestionada, según indicaciones del plan de seguridad de la organización auditada.

CR1.1 El inventariado de activos se revisa, verificando los equipos existentes y sus características, comprobando las versiones de los programas que se ejecutan, para confirmar que está actualizado y no hay equipos ni programas que no aparezcan en el mismo.

CR1.2 La instalación y configuración de los sistemas operativos se revisa, confirmando que el «software» instalado es legítimo, está actualizado y tanto los usuarios como las aplicaciones cuentan con los permisos de «mínimo privilegio» para desempeñar sus funciones en el sistema.

CR1.3 La instalación y configuración de «software» de seguridad contra programas maliciosos tales como antivirus/«antimalware», EPP («Endpoint Protection Platform») y EDR («Endpoint Detection and Response»), entre otros, se comprueba, verificando que dicho «software» es legítimo, está actualizado y tiene activas las funciones que indique el responsable de seguridad.

CR1.4 Las aplicaciones empleadas en la organización se revisan, comprobando licencias y versiones para confirmar que son legítimas, están actualizadas y que únicamente pueden ser accedidas por el personal autorizado, y que ese acceso tenga las limitaciones que indique el responsable de seguridad, basadas en el principio de «mínimo privilegio» y «mínimo conocimiento» o «necesidad de saber» («need-to-know»).

CR1.5 Las cuentas de usuario de la organización se comprueban que son individuales, cuentan con una política de contraseñas robusta y han sido elaboradas bajo el principio de «mínimo privilegio» y segregación de funciones, modificando aquellas que no cumplen los criterios y eliminando las cuentas obsoletas o que no pertenecen a personas autorizadas.

CR1.6 Las instalaciones se comprueban de manera presencial para asegurarse de que los equipos y la información están protegidos contra accesos físicos no autorizados, usando elementos al efecto de manera separada o combinada tales como mecanismos de apertura por usuario y contraseña, llave física, detectores biométricos entre otros, aplicando un sistema de aviso previo y bloqueando sesiones por inactividad y usando políticas de «mesas limpias».

CR1.7 Las instalaciones se comprueban, verificando las condiciones ambientales de temperatura y humedad requeridas por el fabricante para su funcionamiento y la protección frente a desastres naturales que pueden afectar físicamente en el emplazamiento y previniendo posibles alteraciones del entorno tales como picos de electricidad o ruido eléctrico, entre otros.

CR1.8 Las pruebas realizadas durante la auditoría se documentan, incluyendo referencias a los activos del sistema, los parches y actualizaciones instalados en los sistemas operativos y aplicaciones, las configuraciones implementadas, y las vulnerabilidades y no conformidades detectadas junto con su criticidad, así como, las contramedidas aplicadas para dichas vulnerabilidades.

RP2: Comprobar la seguridad de la red de la organización auditada, verificando los elementos relativos indicados en el plan de seguridad, para prevenir posibles intrusiones, ataques y fugas de información.

CR2.1 El diseño de arquitectura de la red se revisa, mediante auditoría de caja blanca, comprobando que la red está configurada de forma que se minimice el impacto de posibles ataques del exterior: utilizando VLAN («Virtual Local Área Networks»), cortafuegos, sistemas de detección de intrusiones (IDS), sistemas de prevención de intrusiones (IPS), «routers» y otros dispositivo de red e instalado todos los recursos de la empresa que deben ser accesibles desde Internet tales como páginas web y correo electrónico, en una zona aislada o desmilitarizada (DMZ).

CR2.2 Los dispositivos que controlan y gestionan el tráfico de la red tales como «router», «switch», «hub», cortafuegos, IDS, IPS, SIEM («Security Information and Event Management»), entre otros, se revisan, usando técnicas de caja blanca: de manera física y comprobando su configuración para verificar que únicamente aceptan el tráfico permitido y están actualizados.

CR2.3 Los mensajes de error generados por los dispositivos de red, «routers», «switch», «hub» cortafuegos, IDS, IPS, SIEM y cualquier otro, se revisan en forma de auditoría de caja blanca para asegurar que, de forma interna, registran cualquier anomalía para facilitar la gestión de incidentes y, de forma externa en modo auditoría de caja negra, para confirmar que no aportan información que permita a un posible atacante remoto obtener información de los puertos abiertos en el sistema.

CR2.4 Los elementos de la red se comprueban que únicamente son accedidos de forma remota por personal y bajo las condiciones de tiempo y lugar de origen, previamente autorizados en la política de seguridad y sólo a través de las VPN (Redes privadas Virtuales).

CR2.5 El uso de programas o herramientas en la nube se revisa, verificando que se lleva a cabo de la forma acordada con el proveedor del servicio y permitida dentro de la política de seguridad de la organización.

CR2.6 Las redes Wifi se comprueban, verificando que utilizan protocolos seguros de cifrado y que únicamente acceden a ellas las personas autorizadas en la política de seguridad.

CR2.7 La conexión a Internet por parte de los usuarios de la organización se comprueba, verificando que únicamente pueden acceder a los servicios y contenidos previamente autorizados en la política de seguridad.

CR2.8 Los sistemas anti DDoS (Denegación de servicio) de la organización se verifica que están habilitados y funcionales, comprobando si se han configurado sistemas al efecto tales como reglas de cortafuegos, sistemas de monitorización y/o servicios externos de protección, entre otros.

CR2.9 Las pruebas realizadas durante la auditoría se documentan, incluyendo referencias a los activos inspeccionados, las configuraciones implementadas, y las vulnerabilidades y no conformidades detectadas junto con su criticidad, así como, las contramedidas aplicadas para dichas vulnerabilidades.

RP3: Comprobar la seguridad del sitio web, realizando pruebas de simulación de ataques para detectar posibles fallos de seguridad.

CR3.1 La instalación y configuración de los sistemas de gestión de contenidos (CMS) y servidores web se verifica, comprobando que están instaladas las últimas versiones estables y que únicamente tienen instalados los módulos imprescindibles para su funcionamiento, revisando la documentación asociada.

CR3.2 Las cuentas de usuario del sitio web se comprueban, verificando que son generadas bajo el principio de «mínimo privilegio» y cuentan con una política de acceso segura.

CR3.3 La información generada de forma pública por el servidor web y/o el sistema de gestión de contenidos (CMS) se verifica, comprobando que no muestre ninguna información que permita obtener fácilmente información relacionada con la configuración del sistema tal como tipo de programa empleado, versión, entre otros.

CR3.4 La gestión de sesiones en el sistema se comprueba, verificando que tanto las «cookies» como los «tokens» de sesión se generan de forma segura y no predecible, tal como evitando la numeración secuencial para la identificación de usuarios, para impedir que un atacante externo pueda aprovecharse de ellas para acceder al sistema de forma no autorizada.

CR3.5 Los formularios y puntos de acceso de información por parte del usuario se comprueban, verificando que cuentan con mecanismos que impidan la entrada de caracteres que provoquen un comportamiento no deseado del sistema como la introducción de código (por inyección de SQL o XSS -«Cross-site scripting»-, entre otros) o la generación de errores en el sistema tales como desbordamiento de «buffer» por introducción de cadenas largas.

CR3.6 La gestión de errores y excepciones del sistema se comprueba, verificando que éstos son registrados y la información mostrada en el lado del cliente no revela información que pueda permitir a los usuarios una posterior explotación del fallo.

CR3.7 La información entre el cliente y el servidor se comprueba que se envía de forma segura, verificando que se realiza a través de protocolos tales como HTTPS y TLS, que la información enviada se cifra, siguiendo estándares actualizados.

CR3.8 Las pruebas realizadas durante la auditoría se documentan, incluyendo referencias a los activos inspeccionados, las configuraciones implementadas, y las vulnerabilidades y no conformidades detectadas junto con su criticidad, así como, las contramedidas aplicadas para dichas vulnerabilidades.

RP4: Comprobar la seguridad de la información tratada por la organización auditada, verificando y asegurando los elementos relativos indicados en el plan de seguridad, para garantizar la integridad, disponibilidad, confidencialidad, autenticidad y el «no repudio» y el cumplimiento de la normativa aplicable de protección de datos.

CR4.1 La asignación de los roles del personal responsable de la gestión, tratamiento y almacenamiento de los datos se comprueba, verificando que se accede a la información requerida en cada caso y su alineación con el principio de «mínimo privilegio» y «necesidad de saber».

CR4.2 Las medidas de seguridad físicas y lógicas implantadas para la recogida, gestión, tratamiento, almacenamiento, intercambio y borrado de los datos se comprueban, verificando que se cumple con los principios de confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad y no repudio.

CR4.3 El intercambio de información se comprueba, verificando que se realiza únicamente a través de los canales autorizados, de la forma convenida y por las personas definidas en la normativa de la organización.

CR4.4 El registro de actividades del tratamiento de los datos se revisa, verificando que está completo y actualizado, comprobando que el tratamiento únicamente se efectúa por personas autorizadas en la normativa de seguridad de la organización.

CR4.5 Los protocolos de eliminación de información se revisan, confirmando que garantizan el borrado seguro de la información, destruyendo el papel en máquinas y contenedores específicos que no permitan la recuperación de la información y, en caso de cesión de dispositivos digitales a terceros, que no se pueda acceder a la información contenida previamente en él.

CR4.6 La realización de copias de seguridad se verifica, comprobando que está alineado con la política de seguridad de la organización de forma que, ante una eliminación de datos por un desastre natural, o por personas de modo accidental o intencionado, es posible recuperar la información en los plazos de tiempo convenidos.

CR4.7 La aplicación de la normativa de seguridad por parte de los usuarios se revisa, verificando que saben cómo y dónde reportar los incidentes informáticos, no hacen uso de dispositivos no autorizados o de origen desconocido, aplican la política de «mesas limpias», bloquean el equipo si van a estar ausentes y no divulgan información asociada con su trabajo.

CR4.8 El informe de la auditoría se elabora, incluyendo el alcance de la misma, la documentación revisada, las pruebas y entrevistas realizadas, los posibles obstáculos encontrados y las evidencias obtenidas, presentando especial atención a los hallazgos clasificados y no conformidades de las que también se indicará su criticidad, detallando el grado de cumplimiento legal y las medidas de mejora convenientes.

Contexto profesional:

Medios de producción:

Equipos informáticos tales como ordenadores de sobremesa, portátiles y servidores. Redes Wifi. Navegadores. Buscadores. Aplicaciones ofimáticas. Analizadores de vulnerabilidades. Herramientas de prueba de penetración. «Software» de auditorías de PC. Programas de análisis de contraseñas.

Productos y resultados:

Sistemas informáticos seguros y comprobados. Red asegurada y verificada. Sitios web asegurados y verificados. Información usada, almacenada y accedida bajo criterios de integridad, disponibilidad, confidencialidad. Control de acceso a la información y «no repudio» garantizados.

Información utilizada o generada:

Normas externas de trabajo (normativa aplicable de propiedad intelectual e industrial; normativa aplicable de protección de datos y seguridad informática; normativa aplicable sobre prevención de riesgos laborales - ergonomía -). Normas internas de trabajo (plan de seguridad, metodologías de análisis de seguridad, histórico de incidencias, registro de ficheros de datos de carácter personal, informes de análisis de vulnerabilidades, relación de contraseñas débiles, informe de auditoría de servicios y puntos de acceso al sistema informático). Documentación técnica (boletines de seguridad externos, documentación técnica del fabricante de los equipos, sistemas y «software» utilizado, documentación técnica de la red, bibliografía especializada, tutoriales y cursos).

UNIDAD DE COMPETENCIA 3: GESTIONAR INCIDENTES DE CIBERSEGURIDAD

Nivel: 3

Código: UC0488_3

Realizaciones profesionales y criterios de realización:

RP1: Implantar procedimientos para la respuesta ante incidentes y mecanismos para la detección de intrusos en los sistemas de una entidad u organización según directrices ante incidentes nacionales e internacionales para los equipos de respuesta.

CR1.1 Los procedimientos de detección y respuesta de incidentes se localizan, verificando que están documentados, que indican los roles y responsabilidades de seguridad y que implementan los requerimientos de la política de seguridad de la entidad, así como la determinación de la cadena de mando ante la detección de un incidente de seguridad.

CR1.2 La modelización de los sistemas se efectúa, seleccionando los mecanismos de registro a activar, observando las alertas definidas, caracterizando los parámetros de utilización de la red e inventariando los archivos para detectar modificaciones y signos de comportamiento sospechoso a partir de indicadores de compromiso (IOC: «Indicator of Compromise») facilitados por equipos de respuesta ante incidentes nacionales e internacionales.

CR1.3 La activación de los mecanismos de registro del sistema se verifica, contrastándolos con las especificaciones de seguridad de la organización y/o mediante un sistema de indicadores y métricas.

CR1.4 La planificación de los mecanismos de análisis de registros se verifica, de forma que se garantice la detección de los comportamientos sospechosos, mediante un sistema de indicadores y métricas.

CR1.5 La instalación, configuración y actualización de los sistemas de detección de intrusos (IDS) se verifica en función de las especificaciones de seguridad de la organización y/o mediante un sistema de indicadores y métricas.

CR1.6 Los procedimientos de restauración del sistema informático, establecidos en el Plan de recuperación ante desastres (DRP: «Disaster Recovery Plan») definido por la organización, se verifican, comprobando que pueden ser recuperados en tiempo y forma ante un incidente grave.

RP2: Detectar incidentes de seguridad de forma activa y preventiva para minimizar el riesgo según directrices de los equipos de respuesta ante incidentes nacionales e internacionales y de la entidad responsable del sistema.

CR2.1 Las herramientas utilizadas para detectar intrusiones se comprueba que no han sido comprometidas ni afectadas por programas maliciosos analizándolas, siguiendo las guías y directrices de los equipos de respuesta nacionales e internacionales.

CR2.2 Los funcionamientos sospechosos se detectan, analizando parámetros de funcionamiento tales como conexiones no autorizadas, mensajes de alerta de los sistemas de detección de intrusiones (IDS: «Intrusion Detection System») o «antimalware» entre otros, usando herramientas específicas tales como sistemas de Gestión de información y eventos de seguridad (SIEM: «Security information and event management») e IDS, entre otras y estableciendo procedimientos para recoger denuncias de los usuarios acerca de ataques tales como «phising» o comportamientos anómalos en equipos según directrices de la entidad responsable del sistema.

CR2.3 Los componentes «software» del sistema se verifican periódicamente en lo que respecta a su integridad usando programas específicos.

CR2.4 El funcionamiento de los dispositivos de protección física se verifica por medio de los registros de cada sistema, pruebas específicas, pruebas de estrés, entre otras según las normas de la organización y/o normativa aplicable de seguridad.

CR2.5 Los sucesos y signos extraños que pudieran considerarse una alerta se recogen en el informe para su posterior análisis, en función de la gravedad de los mismos y la política de la organización, especificando para cada uno ítems tales como día y hora de la detección, persona que lo comunicó, sistemas implicados y acciones realizadas, entre otros.

CR2.6 La exposición o filtración de los datos de la organización se verifica periódicamente en función del riesgo que haya determinado la entidad responsable del sistema, consultando fuentes abiertas (OSINT: «Open Source Intelligence») según las características de la organización.

CR2.7 La información publicada por los centros de respuesta ante incidentes nacionales y/o internacionales se comprueba, verificándola de manera periódica para establecer en su caso los mecanismos de seguridad recomendados en caso de exposición a las amenazas publicadas.

RP3: Coordinar la respuesta ante incidentes de seguridad entre las áreas implicadas, aplicando el procedimiento recogido en los protocolos de seguridad para contener y solucionar el incidente según los requisitos de servicio y dentro de las directivas de la entidad u organización a proteger.

CR3.1 Los procedimientos se activan ante la detección de un incidente de seguridad, dando aviso a los responsables de cada subsistema y aplicando los pasos recogidos en los protocolos de la normativa de seguridad de la organización.

CR3.2 La información para el análisis forense del sistema vulnerado se recoge, una vez aislado el sistema, capturando una imagen tan precisa como sea posible, realizando notas detalladas (incluyendo fechas y horas indicando si se utiliza horario local o UTC), recogiendo la información según el orden de volatilidad (de mayor a menor) entre otras, según los procedimientos de las normas de seguridad de la entidad.

CR3.3 Las características de la intrusión se determinan, analizando el sistema atacado mediante herramientas de detección de intrusos (IDS), usando las facilidades específicas de cada herramienta y según los procedimientos de seguridad de la organización.

CR3.4 La intrusión se contiene mediante la aplicación de las medidas establecidas en las normas de seguridad de la organización tales como desconexión de equipos y/o segmentos de red o cierre de puertos de comunicaciones, entre otras, y aquellas extraordinarias, que indique la persona responsable de la seguridad, aunque no estén previamente planificadas.

CR3.5 La documentación del incidente, así como todas las acciones realizadas y las conclusiones obtenidas se realiza para su posterior análisis e implantación de medidas que impidan la replicación del hecho sobrevenido, manteniendo de esta forma un registro de lecciones aprendidas («Lessons Learned»).

CR3.6 Las posibles acciones para continuar la normal prestación de servicios del sistema vulnerado se planifican a partir de la determinación de los daños causados, cumpliendo los criterios de calidad de servicio y el plan de explotación de la entidad a proteger.

RP4: Implantar planes de prevención y concienciación en ciberseguridad, para facilitar la previsión de ciberincidentes y su respuesta, en caso de producirse, según los requisitos de servicio y dentro de las directivas de la organización o entidad a proteger.

CR4.1 Las medidas de ciberseguridad definidas por la organización se difunden, usando medios tales como correo electrónico, intranet corporativa y sesiones específicas, entre otros.

CR4.2 La normativa de protección del puesto de trabajo se establece, incluyendo ítems tales como escenarios y ejemplos de riesgo y medidas de seguridad, entre otros.

CR4.3 El plan de concienciación de ciberseguridad dirigido a los empleados se define, elaborando material y cursos o tutoriales para su difusión o impartición y las evaluaciones a realizar y su periodicidad.

CR4.4 El material y cursos necesarios para llevar a cabo las acciones de concienciación dirigidas a los empleados se difunde o en su caso se imparte de forma periódica, usando los mecanismos disponibles en la entidad, tales como correo electrónico, plataformas web de difusión, aulas y canales de vídeo para cursos, entre otros, capacitando a los empleados ante ciberataques, para detectar los métodos y vectores más habituales.

Contexto profesional:

Medios de producción:

Equipos informáticos tales como ordenadores de sobremesa, portátiles y servidores. Aplicaciones ofimáticas corporativas. Analizadores de vulnerabilidades tales como antivirus/«antimalware» o EPP («Endpoint Protection Platform») y EDR («Endpoint Detection» and «Response»). Herramientas para garantizar la confidencialidad de la información tales como sistemas de detección de intrusiones (IDS), sistemas de prevención de intrusiones (IPS). «Software» de monitorización de redes. Sistemas de monitorización SIEM («Security Information and Event Management»). «Software» para garantizar la confidencialidad e integridad de las comunicaciones. Programas de análisis de contraseñas. «Software» de flujo de trabajo para envío de alarmas e incidencias a responsables. Consola de SNMP. Herramientas de análisis forense (creación de líneas de tiempo, recuperación de ficheros borrados, clonado de discos, entre otros).

Productos y resultados:

Procedimientos para la respuesta ante incidentes y mecanismos para la detección de intrusos implantados. Incidentes de seguridad detectados y prevenidos. Riesgos minimizados. Respuesta ante incidentes de seguridad coordinada. Incidentes solucionados y contenidos. Planes de prevención y concienciación en ciberseguridad implantados.

Información utilizada o generada: