Formación interna · 4 módulos
Ciberseguridad en el puesto de trabajo
Casi ningún incidente empieza con una vulnerabilidad técnica. Empieza con un correo bien escrito, una contraseña reutilizada o una pantalla que se quedó abierta. Este curso trata de lo que sí está en tu mano.
Al terminar sabrás
Leer un correo con desconfianza
Qué mirar antes de pulsar: el remitente real, el dominio del enlace y la prisa que mete el mensaje.
Elegir contraseñas que aguanten
Por qué la longitud gana a los símbolos raros, y por qué reutilizar una es el fallo más caro.
Reaccionar cuando ya ha pasado
Los primeros diez minutos importan más que el resto del día. Qué hacer, en qué orden y a quién avisar.
El itinerario
Cuatro módulos, en este orden
Cada uno se apoya en el anterior. Puedes volver a cualquiera cuando quieras: lo que ya hayas hecho se queda hecho.
Evaluación final
Seis preguntas para cerrar
Tres intentos. Con 50 sobre 100 el curso queda superado, y esa es la nota que viaja al LMS.
Y ya está
Si has llegado hasta aquí con los cuatro módulos hechos y la evaluación superada, el LMS ya lo sabe.
01 El eslabón humano
Nadie ataca la puerta si la ventana está abierta
Cuando se cuenta un incidente de seguridad, la historia suele empezar por lo técnico: un servidor sin actualizar, un cifrado débil. En la práctica casi nunca es así. La forma más barata de entrar en una organización es pedirle la llave a alguien que la tiene.
No porque esa persona sea descuidada. Porque el mensaje llega en el momento justo, con el tono justo, y pedir la llave no parece pedir la llave: parece confirmar un dato, revisar una factura o desbloquear una cuenta.
El 82 % de las brechas implica a una persona: credenciales robadas, engaño o un error de uso.
Verizon, Data Breach Investigations Report
De ahí sale la idea que sostiene el resto del curso: la seguridad no es un producto que se instala, es una costumbre que se practica. Y como toda costumbre, se aprende con casos concretos, no con normas generales.
En los tres módulos siguientes vas a ver tres de esos casos. Ninguno es raro. Los tres pasan cada semana en oficinas como la tuya.
02 Contraseñas que aguantan
La longitud gana a los símbolos raros
Durante veinte años nos pidieron mayúsculas, números y signos. El resultado fue previsible: todo el mundo escribe la misma palabra, con la primera letra en mayúscula, un número al final y una admiración. Los diccionarios de ataque prueban ese patrón antes que cualquier otro.
Lo que de verdad encarece un ataque es la longitud. Cada carácter añadido multiplica las combinaciones; cada símbolo raro solo añade uno.
P@ssw0rd!9 caracteres · patrón conocidocaballo grapa batería21 caracteres · fácil de recordarY una regla que importa más que la anterior: no repitas contraseña entre servicios. Cuando una tienda cualquiera sufre una filtración, sus credenciales acaban en listas que se prueban automáticamente contra todo lo demás. Tu correo del trabajo incluido.
Comprueba lo que acabas de leer
Bien · sigue
Un apunte práctico para terminar: si tienes que recordar decenas de contraseñas, no las recuerdes. Usa un gestor y aprende una sola larga y buena, la que abre el gestor. Es el único sitio donde vale la pena esforzarse.
03 Reconocer un phishing
Cuatro señales en un correo real
Este mensaje llegó a la bandeja de una gestoría un martes por la mañana. No tiene faltas, el logotipo es correcto y el pie legal está copiado del original. Aun así, hay cuatro cosas que lo delatan.
Estimado cliente:
Hemos detectado un acceso no autorizado. Para evitar la suspensión de su cuenta, confirme sus datos en el siguiente enlace:
https://bancoatlantico.es/verificar → lleva a http://194.87.x.x/vf/log.php
- El dominio de verdad. Lo que manda es lo último antes de la barra: aquí,
secure-login.net. El nombre del banco solo es decorado. - La prisa. Un plazo corto sirve para que no te pares a mirar. Ningún banco cierra cuentas por correo en 24 horas.
- El saludo genérico. Tu banco sabe cómo te llamas.
- El enlace no es lo que dice. El texto visible y el destino real pueden ser distintos. Pasa el ratón por encima antes de pulsar.
Ahora tú
Si dudas, hay una salida que nunca falla: no uses el enlace. Entra al servicio escribiendo tú la dirección, o llama al teléfono que ya tenías. Un mensaje legítimo sobrevive a que lo comprueben.
04 Cuando algo va mal
Los primeros diez minutos
Vas a pulsar donde no debías alguna vez. Le pasa a técnicos de seguridad con veinte años de oficio. Lo que separa un susto de un incidente caro no es no equivocarse: es lo que haces en los diez minutos siguientes.
Y lo primero que hay que quitar de en medio es la vergüenza. Avisar pronto nunca ha traído problemas a nadie; callar sí.
- Cambia la contraseña afectada. Desde otro dispositivo si puedes. Esto corta el acceso, que es lo urgente.
- Avisa a soporte. Con la hora, el mensaje y qué pusiste. Da igual que te parezca poca cosa.
- No borres nada. El correo, el enlace y el historial son lo que permite saber hasta dónde llegó.
- Revisa lo que se abre con esa cuenta. Correo, gestor documental, banca. Cambia también donde repetiste la contraseña.
Apagar el ordenador no arregla nada y borra pruebas. Bloquear la sesión y avisar, sí.
Con esto has terminado los cuatro módulos. Queda la evaluación final, en el índice: seis preguntas sobre lo que acabas de ver.