Análisis de riesgos y diseño de infraestructura híbrida (ISO/IEC 31000 + MAGERIT)

Tipo: Caso de estudio (práctica de especialización en ciberseguridad — entorno académico) Tema: Gestión de riesgos de TI · ISO 31000 + MAGERIT · infraestructura híbrida cloud/local Enfoque: metrología de riesgos, plan de respaldos 3-2-1, control de acceso (MFA), hardening.

Contexto: caso de estudio aplicado a un proveedor de infraestructura gestionada que aloja una solución de video-vigilancia en nube híbrida. El objetivo: armar un plan de implantación de gestión de riesgos alineado a ISO 31000 y MAGERIT, contemplando normativa de protección de datos. La empresa y datos del caso son ficticios (marco académico).

Planteamiento

Llega a un proveedor de servicios una petición crítica: certificar un framework de gestión de riesgos ISO 31000 aplicado a TI para una solución de video-vigilancia alojada en modalidad híbrida (local + cloud), con cumplimiento de protección de datos.

Se opta por una implantación integrada: ISO 31000 para la metodología de gestión de riesgos y MAGERIT para la valoración de activos. La premisa clave: la seguridad no se resuelve solo con tecnología — contempla el factor humano (ingeniería social), los procesos y lo organizacional.

Principio rector del documento

"De poco sirve tener excelentes recursos tecnológicos de seguridad si no disponemos de personal debidamente formado." Las medidas de seguridad deben implementarse sin interferir con el negocio: proteger activos sin comprometer su funcionamiento.

1. Valoración de riesgos organizacionales

Riesgo / Capítulo	Medidas propuestas
Políticas de contraseñas	Contraseñas seguras, MFA, política de cambio regular
Políticas de desvinculación	Procedimiento formal de revocación de accesos y baja de cuentas
Plan de capacitación	Transformación cultural: simulacros de pentesting, campañas de phishing, control de accesos
Apertura de puertos y servicio	Control estricto de qué servicios se exponen a Internet, gestión de solicitudes de software, parcheo (OS, firmware, vulnerabilidades)
Gestión de incidentes	Proceso formal: detección, respuesta y recuperación; actividades regulares de DRP

El plan convierte al usuario en defensor de primera línea: cultura de seguridad como responsabilidad compartida.

2. Valoración de riesgos tecnológicos (activos)

Activo	Riesgo	Controles
Servidor	Acceso no autorizado	Firewalls, WAF, IDS, auditorías periódicas
Datos	Violación de datos / privacidad	Cifrado en tránsito y en reposo
Servicio	Interrupción (fallo/ataque)	Alta disponibilidad, redundancias, DRP y pruebas
Infraestructura	Respaldos deficientes	Políticas de backup periódicas + prueba de restauración
Red	Compromiso de red	Segmentación, VPN, políticas sólidas

3. Estrategia de respaldos (regla 3-2-1)

Recomendada por CISA: 3 copias · 2 medios distintos · 1 fuera de sitio.

Día	Tipo	Descripción
Lunes a Viernes + Domingo	Incremental	Cambios desde el último respaldo total/incremental
Sábado	Total	Copia completa de todos los datos

Medios: 1. Partición local de los servidores de producción (original). 2. Storage fuera del equipo local (medio distinto). 3. Cloud (fuera de sitio).

Los respaldos se ejecutan fuera de horario laboral. Cada ejecución se documenta y se monitorea su correcta finalización (control matemático, no confianza).

Ventajas: disponibilidad (original + 2 copias), distribución del riesgo (medios distintos y fuera de sitio), rápida recuperación ante falla de hardware/caída/desastre, protección de integridad y consistencia.

4. Control de acceso para administradores

Política de acceso basada en MFA de 3 factores según buenas prácticas NIST/ENISA, cumpliendo el principio de mínimo privilegio:

Algo que sabes — contraseña.
Algo que tienes — código en el móvil (autenticador).
Algo que eres — factor biométrico (huella).

Además: - Claves asimétricas por operador (par público/privado) para control de accesos. - Sesiones con ventana de mantenimiento y timeout por inactividad. - Monitoreo de sesiones (trazabilidad de qué hace cada admin) + sistema de tickets → panorama completo de acciones sobre el sistema.

5. Armado de infraestructura (hardening + diseño híbrido)

Nivel servidor

Red Hat Enterprise Linux con repositorio privado (Red Hat Satellite) para actualizaciones y parches centralizados.
Bastionado (hardening): eliminación de servicios innecesarios, configuración segura de los esenciales.
Política de permisos por roles, principio de mínimo privilegio.
Monitoreo y auditoría continua para detección de actividad no autorizada.

Diseño de red híbrida

Entorno	Composición
Testing (local)	1 nodo de aplicación + PostgreSQL primario; respaldo a storage local
Pre-producción (local)	2 nodos de aplicación + balanceador (Citrix); BD primaria + réplica (standby)
Producción (cloud)	Firewall + MFA; 2 nodos de aplicación; Google Cloud Load Balancer; BD primaria + standby

Flujo de datos seguro: - Sensores → NVR/servidor local (TCP/IP 80/443/8080). - Servidor local → nube (HTTPS 443, cifrado). - Nube ↔ storage local (HTTPS/SFTP 443/22) para respaldos bidireccionales. - Usuarios → servicio vía HTTPS.

Interconexión de storages local↔nube para: subir respaldos de pre-prod/testing y bajar respaldos de producción para restauración local.

Tabla resumen de riesgos y mitigaciones

Riesgo	Impacto	Probabilidad	Mitigación	Responsable
Acceso al servidor	Alto	Medio	FW, WAF, IDS, auditorías	Admin de red
Violación de datos	Alto	Alto	Cifrado en tránsito/reposo, auditorías cumplimiento	Resp. de seguridad
Interrupción del servicio	Alto	Medio	Redundancias, DRP, pruebas	Gerente TI
Incidentes	Alto	Medio	Plan de gestión de incidentes, simulacros	Equipo de seguridad
Respaldos deficientes	Alto	Medio	Calendario de respaldos, pruebas de recuperación	Sysadmin
Contraseñas débiles	Medio	Alto	Políticas + MFA + capacitación	Resp. seguridad
Red insegura	Alto	Medio	Segmentación, VPN, auditorías	Admin de red
Desvinculación	Alto	Medio	Protocolo de revocación, auditorías de acceso	RR.HH.
Dependencia del proveedor	Alto	Medio	SLA estricto, revisiones periódicas	Gerente TI
Costos ocultos cloud	Medio	Alto	Análisis costo-beneficio, presupuesto, monitoreo	Finanzas

Lecciones (lo que este caso le aporta a un GRC técnico)

MAGERIT + ISO 31000 se complementan: uno valora activos, el otro gestiona el ciclo de riesgo. La clave es integrarlos en el proceso, no elegir uno.
El factor humano es parte del riesgo: capacitación y cultura operan en la misma tabla que un firewall.
El respaldo no es "guardar archivos": es regla 3-2-1 + pruebas de restauración + monitoreo de ejecución (el control incomprobable no es control).
MFA de 3 factores + mínimo privilegio + trazabilidad son la base del control de acceso para equipos de sistemas.
Hybrid cloud se diseña por capas: la segmentación por ambiente (testing/preprod/prod) maneja el riesgo y el costo al mismo tiempo.

Caso de estudio académico con empresa ficticia. Libre de datos de producción y de clientes reales.