En este contexto, el Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS), el marco normativo que establece los requisitos mínimos de seguridad para garantizar la protección de la información y los servicios electrónicos en el sector público español.

El ENS tiene como objetivo crear un entorno seguro en el uso de medios electrónicos. Su aplicación afecta no solo a las administraciones públicas, sino también a empresas tecnológicas, proveedores cloud, consultoras IT y terceros que prestan servicios al sector público.

La normativa se basa en principios esenciales, como la seguridad integral, la gestión continua de riesgos, la prevención, la vigilancia y la capacidad de respuesta ante incidentes.

El cumplimiento del ENS también guarda una estrecha relación con el cumplimiento de otras normativas, como el RGPD.

IMPORTANTE

El ENS garantiza seguridad, continuidad y confianza digital, convirtiéndose en un requisito esencial para organizaciones que gestionan información y servicios públicos.

La entrada ENS para empresas: claves prácticas para entender el Esquema Nacional de Seguridad (I) se publicó primero en Adaptación RGPD.

Por ello, tanto la ISO/IEC 27001 como el Esquema Nacional de Seguridad recomiendan avanzar hacia modelos de autenticación más sólidos, especialmente la autenticación multifactor. Combinar algo que el usuario sabe, algo que posee y, en determinados casos, algo que es, eleva de forma notable el nivel de protección frente a ataques automatizados y accesos no autorizados.

En entornos reales, esto se traduce en el uso de certificados digitales, aplicaciones de generación de códigos temporales o dispositivos físicos de seguridad. El ENS es especialmente claro al exigir factores reforzados en accesos remotos o a información sensible, mientras que la ISO 27001 subraya la necesidad de que estas decisiones se basen en un análisis de riesgos previo.

La clave no está en elegir soluciones coherentes con el contexto y el impacto potencial. Una autenticación bien diseñada no solo protege sistemas: protege el negocio, a las personas y la confianza depositada en la organización.

IMPORTANTE

Las contraseñas no bastan; la autenticación multifactor, basada en riesgos, refuerza la seguridad y protege los sistemas.

La entrada Mecanismos de autenticación: cómo reducir ataques y accesos indebidos a los sistemas se publicó primero en Adaptación RGPD.

El fraude online, con 45.445 casos, se consolida como la principal amenaza, mientras que el phishing suma 25.133 incidentes. Estos datos no son meras estadísticas: reflejan una sofisticación cada vez mayor en las técnicas de ingeniería social y una explotación sistemática de la confianza digital. El cierre de 4.600 dominios fraudulentos demuestra que la respuesta institucional existe, pero la prevención debe reforzarse desde la base.

Especial atención merece el malware, con 55.411 incidentes registrados, incluidos 392 ataques de ransomware. Que el 85% de los sistemas infectados estén vinculados a dispositivos IoT confirma algo que venimos advirtiendo desde hace años: la conectividad sin seguridad es una vulnerabilidad estructural. Por último, hacer referencia a las 142.767 consultas atendidas por la Línea de Ayuda de INCIBE que reflejan una mayor concienciación social.

IMPORTANTE

La ciberseguridad es un pilar estratégico para el gobierno corporativo y garantía de la continuidad del negocio.

La entrada Nuevo escenario estratégico de la ciberseguridad en España se publicó primero en Adaptación RGPD.

Cuando hablamos de ciberseguridad, pocas medidas resultan tan determinantes —y a la vez tan infravaloradas— como la autenticación. Verificar correctamente quién accede a un sistema no es una cuestión accesoria, sino la primera barrera frente a la mayoría de los incidentes de seguridad que afectan hoy a organizaciones de cualquier tamaño.

La experiencia demuestra que un elevado porcentaje de incidentes de seguridad se produce por el uso de contraseñas débiles, reutilizadas o comprometidas, lo que evidencia la necesidad de implantar mecanismos de autenticación robustos y adaptados al riesgo.

Invertir en una autenticación robusta no solo reduce la probabilidad de accesos indebidos, sino que aporta estabilidad, confianza y continuidad operativa. Es, en definitiva, una decisión de madurez en la gestión de la ciberseguridad.

IMPORTANTE

No se trata únicamente de verificar quién accede, sino de hacerlo de forma fiable, trazable y resistente a ataques.

La entrada Autenticación segura: el pilar esencial de la ciberseguridad en entornos digitales se publicó primero en Adaptación RGPD.

Es importante tener conocimiento de los tipos de virus que existen, como se comportan y lo que es crucial, cómo protegernos de ellos.

Spyware: es un tipo de software que se instala en nuestros activos digitales sin que nos demos cuenta. Su objetivo es espiar nuestra actividad en línea, recopilar información sobre nuestros hábitos de navegación e incluso obtener datos personales como contraseñas o información bancaria.

Un ejemplo de este virus es el keyloggers que registra y guarda todas las pulsaciones de teclas que realizamos en el teclado, de esta forma puede capturar información sensible como contraseñas, números de tarjetas de crédito.

¿Cómo podemos protegernos? Además de tener instalado y actualizado un buen antivirus, tendríamos que utilizar un gestor de contraseñas que puedan autocompletar los campos de contraseñas sin necesidad de pulsar teclas. Otra medida que resulta altamente efectiva es incluir en los dispositivos digitales la autenticación de dos factores.

IMPORTANTE

Las actualizaciones contienen parches de seguridad que salvaguardan contra amenazas recientes y ayudan a mantener nuestros dispositivos protegidos.

La entrada ¿Cómo protegernos de los principales virus informáticos? se publicó primero en Adaptación RGPD.

Estos son algunos de los principales incidentes de ciberseguridad:

• Infecciones por código malicioso: sobre todo a través de correo electrónico, páginas web comprometidas, SMS o redes sociales.
• Intrusión y vulnerabilidades: Explotación de vulnerabilidades conocidas, compromiso de cuentas y aplicaciones y suplantación de identidad.
• Ataques DoS y fallos de disponibilidad: Denegación de servicio afectando recursos como redes, servidores y equipos.
• Compromiso de la información: cuando se produce un acceso no autorizado o se ha producido una modificación por cifrado de
• Fraude y phishing: a través de la suplantación de entidades legítimas para beneficio económico.
• Escaneo de redes (scanning) para investigar sobre tecnologías y sistemas utilizadas por la empresa.
• Análisis de paquetes (sniffing) analizar el tráfico de red permitiendo un monitoreo de redes en tiempo real.

IMPORTANTE 

La inversión en ciberseguridad resulta crucial para la prevención y minimización de los riesgos ocasionados por los incidentes de ciberseguridad.

La entrada ¿Cuáles son los principales incidentes de ciberseguridad? (II) se publicó primero en Adaptación RGPD.

En términos de seguridad, las amenazas más destacadas incluyen:

– Suplantación de identidad: Los ciberdelincuentes crean perfiles fraudulentos imitando a la empresa con el fin de obtener información confidencial de los usuarios. Emplean diversas técnicas para lograr sus objetivos:
– Phishing: Imitación del correo electrónico corporativo y perfiles en redes sociales para engañar a los destinatarios y obtener sus datos personales.
– Pharming: Establecimiento de un sitio web falso que imita al oficial con el propósito de capturar información sensible.
– Ataque de denegación de servicio distribuido (DDoS): Los dispositivos comprometidos se utilizan para inundar el sistema objetivo con tráfico de internet, impidiendo su funcionamiento normal. Estos dispositivos forman parte de una botnet controlada remotamente por el atacante.

Además, es fundamental considerar la utilización indebida de derechos de propiedad industrial, donde se pueden producir infracciones sobre marcas registradas, patentes o diseños sin el consentimiento del titular.

Para contrarrestar estos riesgos, las empresas deben implementar políticas robustas de seguridad informática, realizar formaciones periódicas a sus empleados sobre las mejores prácticas en seguridad digital y establecer sistemas eficaces de monitoreo y respuesta ante incidentes.

IMPORTANTE
La empresa debe conocer las amenazas que pueden provocar impactos negativos en la identidad digital y su reputación online.

La entrada La identidad digital corporativa: riesgos y amenazas (II) se publicó primero en Adaptación RGPD.

En el RGPD encontramos un número considerable de referencias al cifrado, así, por ejemplo, en el art. 32 “Seguridad del tratamiento” se indica que el responsable y el encargado de tratamiento según el estado de la técnica, los costes de aplicación, y la naturaleza del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas aplicarán medidas técnicas y organizativas para garantizar un nivel adecuado al riesgo, incluyendo entro otros: La seudonimización y el cifrado de datos personales.

En este sentido las técnicas de seudoanimización más utilizadas son el cifrado con clave secreta. El Dictamen 05/2014 sobre técnicas de anonimización del Grupo del Artículo 29 establece los límites del cifrado con relación a los datos de carácter personal. El uso del cifrado es una garantía que se puede incorporar en un tratamiento para gestionar el riesgo, sobre todo, cuando la comunicación se realice a través de Internet, cuando los datos personales se utilicen para otra finalidad o cuando se haya producido una brecha de seguridad.

IMPORTANTE

La utilización del cifrado no elimina la naturaleza de dato de carácter personal, por lo que la información cifrada no es una información anonimizada.

La entrada Cifrado y Privacidad: cifrado en el RGPD se publicó primero en Adaptación RGPD.

En este caso, vamos a centrarnos en las aplicaciones en la nube que podemos encontrar en el mercado:

• nube pública: Los clientes utilizan los servicios que son procesados en el mismo servidor que otros clientes. Una de las ventajas es el ahorro de tiempo y costes, aunque por el contrario hay poca transparencia puesto que no sabemos el resto de los recursos que estamos compartiendo.
• nube privada: Los recursos se ofrecen de forma exclusiva para nuestra empresa. Nos ofrece un mayor control de los recursos y seguridad, aunque tiene un elevado coste.
• nube híbrida: incorpora servicios únicos y compartidos con otros clientes. Una de las ventajas es que se maximiza el valor y se reducen costes. El inconveniente es la falta de control de la seguridad entre ambas nubes.

IMPORTANTE

El modelo de aplicación en la nube a elegir dependerá del servicio que desarrollemos y de sus requisitos de seguridad.

La entrada Nuevas tecnologías y ciberseguridad: aplicaciones en la nube (I) se publicó primero en Adaptación RGPD.

Los ciberdelincuentes aprovechan las épocas de mayor actividad comercial, como los meses de noviembre y diciembre, para lanzar ataques dirigidos a robar datos personales, financieros o comerciales de nuestros clientes o de nuestra propia empresa. Estos ataques pueden tener consecuencias muy graves, como pérdida de reputación, sanciones legales, daños económicos o robo de propiedad intelectual.

Entre los principales riesgos cibernéticos a los que nos enfrentamos al tener una página web de comercio electrónico se encuentran los siguientes:

– El defacement: Consiste en modificar la apariencia o el contenido de nuestra página web sin nuestro consentimiento, con el fin de dañar nuestra imagen, difundir mensajes falsos o maliciosos, alojar páginas de phishing o introducir malware que infecte a los visitantes.
– El ataque de denegación de servicio: Tiene como objetivo saturar nuestra página web con un gran número de peticiones falsas o malformadas, que impidan el acceso normal a los usuarios legítimos y paralicen nuestra actividad comercial.
– La infección por malware: Se produce cuando nuestra página web contiene software desactualizado o con vulnerabilidades que permiten a los ciberdelincuentes introducir código malicioso que pueda robar datos, redirigir el tráfico, modificar el funcionamiento o dañar la infraestructura.

Para evitar estos riesgos y proteger a nuestros clientes y a nuestra empresa, es fundamental aplicar una serie de medidas de seguridad que garanticen la integridad, la disponibilidad y la confidencialidad de nuestra página web. Algunas de estas medidas son las siguientes:

– La actualización de los sistemas: Debemos mantener nuestro software al día, instalando las últimas versiones y parches de seguridad que corrijan las posibles vulnerabilidades y añadan nuevas funcionalidades.
– La doble autenticación y las contraseñas robustas: Debemos exigir a nuestros clientes y empleados que usen sistemas de doble autenticación para acceder a nuestra página web, como un código enviado al móvil o un token físico. Además, debemos usar contraseñas fuertes y únicas, que combinen letras, números y símbolos, y cambiarlas periódicamente.
– Las auditorías periódicas de seguridad: Debemos realizar revisiones regulares de nuestra página web para detectar posibles fallos, brechas o áreas de mejora en nuestra seguridad. Podemos contratar a expertos externos que nos ayuden a evaluar nuestro nivel de protección y nos recomienden las mejores prácticas.

Con estas medidas podremos ofrecer a nuestros clientes una experiencia de compra segura y fiable, que aumente su confianza y fidelidad hacia nuestra marca. Así mismo, podremos prevenir posibles ataques cibernéticos que pongan en riesgo nuestro negocio y nuestra reputación. El comercio electrónico es una oportunidad para crecer y competir en el mercado global, pero también requiere una responsabilidad y una concienciación sobre los riesgos que implica.

La entrada ¿Cómo pueden afectar los riesgos cibernéticos a nuestros clientes? se publicó primero en Adaptación RGPD.