Tema 5: Seguridad de los sistemas. Criptografía. CPD

Seguridad física y lógica de los sistemas de información

La seguridad de los sistemas de información es el conjunto de medidas técnicas, organizativas y físicas orientadas a proteger la información y los sistemas que la procesan. Se distingue tradicionalmente entre seguridad física (protección de las instalaciones, equipos y soportes frente a accesos no autorizados, incendios, inundaciones, cortes eléctricos, etc.) y seguridad lógica (control por software del acceso a los datos: autenticación, autorización, cifrado, cortafuegos, registros). Ambas son complementarias: de poco sirve cifrar un servidor si cualquiera puede llevárselo físicamente.

Los objetivos o pilares de la seguridad

La seguridad informática persigue preservar un conjunto de propiedades sobre la información. La tríada clásica (modelo CIA, recogida en la norma ISO/IEC 27001) es Confidencialidad, Integridad y Disponibilidad, a la que suelen añadirse la autenticidad y el no repudio.

• Confidencialidad: garantiza que la información, almacenada en el sistema informático o transmitida por la red, solamente va a estar disponible para aquellas personas autorizadas a acceder a dicha información. Dicho de otro modo, asegura que la información solo sea accesible e interpretada por personas o sistemas autorizados y que el acceso a la información esté adecuadamente autorizado. Se implementa mediante cifrado y control de accesos.

• Integridad: garantiza que los datos no han sido modificados desde su creación sin autorización. Salvaguarda la precisión y completitud de la información y de sus métodos de proceso. Se protege con funciones hash, firmas y controles de acceso.

• Disponibilidad: capacidad de garantizar que tanto el sistema como los datos van a estar disponibles al usuario en todo momento; asegura que los usuarios autorizados pueden acceder a la información cuando la necesitan. Un ataque de denegación de servicio (DoS) que hace que un servidor web deje de prestar servicio incumple precisamente el principio de disponibilidad.

• No repudio: garantiza que la persona que envía el mensaje no puede negar que es el emisor del mismo (no repudio en origen) ni el receptor negar su recepción (no repudio en destino). Se apoya en la firma digital y en la criptografía de clave pública.

Amenazas, vulnerabilidades y auditoría

Una vulnerabilidad es una debilidad del sistema; una amenaza es un evento potencial que puede explotarla; el riesgo es la probabilidad de que ocurra por su impacto. Para controlarlos existe la auditoría de seguridad, cuyo propósito principal es examinar y verificar el cumplimiento de las políticas y procedimientos de seguridad de la organización, identificando desviaciones y proponiendo mejoras.

Identificación y autenticación

La autenticación verifica la identidad declarada por un usuario o sistema. Los factores de autenticación se clasifican en tres categorías:

• Algo que se sabe (contraseña, PIN).

• Algo que se tiene (token físico, tarjeta criptográfica, llave FIDO2).

• Algo que se es (biometría: huella, iris, rostro).

La autenticación multifactor (MFA) exige, según el CCN-CERT, combinar dos o más factores de categorías distintas. Por ello, combinar escáner de iris + huella dactilar NO constituye MFA: ambos pertenecen a la misma categoría ("algo que se es"), de modo que se trata de dos factores biométricos, no de factores independientes.

Un token físico de seguridad es un dispositivo electrónico que se entrega a un usuario autorizado de un servicio computerizado para facilitar el proceso de autenticación. Un ejemplo comercial es la YubiKey, dispositivo físico (llave hardware, típicamente FIDO2/U2F) empleado para fortalecer la identidad del usuario a través de un elemento tangible.

Kerberos es un protocolo de autenticación de red creado por el MIT (Massachusetts Institute of Technology), especificado en su versión 5 en el RFC 4120 del IETF. Utiliza criptografía de clave simétrica y un KDC (Centro de Distribución de Claves) que emite tickets, evitando transmitir contraseñas por la red. Es la base de la autenticación en dominios Windows Active Directory.

Conviene distinguir las tecnologías de identificación/autenticación de otras que no lo son: NetBIOS es una interfaz de comunicación entre aplicaciones en red (resolución de nombres y sesiones), no una tecnología de identificación ni de autenticación.

Cortafuegos (firewall)

El firewall o cortafuegos es una barrera de seguridad que controla el tráfico de red entrante y saliente. Su función es filtrar el tráfico de Internet entrante y saliente entre una red interna y una red externa, aplicando un conjunto de reglas que permiten o deniegan conexiones según origen, destino, puerto o protocolo. Puede ser de red o de host, y de filtrado de paquetes, de estado (stateful) o de aplicación.

Buenas prácticas de contraseñas (CCN-CERT)

El CCN-CERT recomienda contraseñas robustas de longitud considerable (habitualmente 12 o más caracteres). Una técnica recomendada para lograr contraseñas largas y a la vez memorizables es usar frases o la concatenación de varias palabras (passphrases): frases relativamente largas, sin significado obvio para un tercero y difíciles de adivinar por diccionario o fuerza bruta. Se desaconseja reutilizar contraseñas y se aconseja complementarlas con MFA y gestores de contraseñas.

Fuentes

• IETF — RFC 4120 "The Kerberos Network Authentication Service (V5)": https://datatracker.ietf.org/doc/html/rfc4120

• CCN-CERT — Recomendaciones de Seguridad para Autenticación Multi-Factor: https://www.ccn.cni.es/en/docman/documentos-publicos/boletines-pytec/353-pildorapytec-oct2020-autenticacion-multifactor/file

• CCN-CERT — Glosario de abreviaturas (autenticación multifactor / autenticación fuerte): https://www.ccn-cert.cni.es/publico/seriesCCN-STIC/series/400-Guias_Generales/401-glosario_abreviaturas/topics/109.html

• ISO/IEC 27001 — Sistemas de gestión de seguridad de la información (modelo CIA): https://www.iso.org/standard/27001

Amenazas y vulnerabilidades

La seguridad de los sistemas de información se articula sobre un conjunto de conceptos que conviene delimitar con precisión, porque son la base tanto del análisis de riesgos como de la respuesta ante incidentes.

Conceptos fundamentales

• Activo: componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización.

• Amenaza: causa que, en potencia de un incidente, puede generar daños a un sistema de información o a una organización.

• Vulnerabilidad: aspecto que influye negativamente en un activo y que posibilita la materialización de una amenaza. En el ámbito web se identifica con debilidades explotables del software.

• Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios.

• Ataque: evento, exitoso o no, que atenta sobre el buen funcionamiento del sistema. (Nótese que un ataque no es lo mismo que una amenaza: la amenaza es la causa potencial, mientras que el ataque es el evento en sí.)

• Control (salvaguarda): acción, dispositivo o procedimiento que elimina o reduce una vulnerabilidad.

Las dimensiones de seguridad clásicas son confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Cada dimensión se ve degradada por tipos concretos de amenaza: por ejemplo, la disponibilidad se ve afectada por la interrupción.

Análisis de riesgos y MAGERIT

El análisis de riesgos es la utilización sistemática de la información disponible para identificar peligros y estimar los riesgos. Sus actividades esenciales son identificar los activos de información y evaluar amenazas y vulnerabilidades. No forma parte del análisis de riesgos, en cambio, una medida operativa como "mantener el antivirus actualizado" (eso es una salvaguarda, no una fase del análisis).

MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología desarrollada por el Consejo Superior de Administración Electrónica, orientada a las Administraciones Públicas. La herramienta PILAR (Entorno de Análisis de Riesgos, EAR) del CCN soporta el análisis siguiendo MAGERIT de forma automatizada.

Herramientas del CCN-CERT

El CCN-CERT dispone de una familia de herramientas con nombres femeninos:

Malware y códigos maliciosos

• Rootkit: conjunto de herramientas maliciosas diseñadas para otorgar acceso y control encubierto (total) sobre un sistema. Los rootkits de hardware o firmware afectan directamente a la parte física / al software que da instrucciones de máquina a los componentes. Su presencia se manifiesta en cambios no autorizados en las configuraciones de Windows. Un ejemplo famoso es Stuxnet. Entre las técnicas habituales de instalación NO figuran los ataques de phreaking; la medida preventiva más eficaz es mantener el software actualizado.

• Ransomware: código malicioso que secuestra datos: el atacante cifra la información de la víctima y exige un pago (rescate) a cambio de la clave de descifrado.

• EMOTET: software malicioso que infecta los ordenadores y permite ejecutar acciones como el robo de información o la instalación de malware adicional.

• Cryptojacking: uso no detectado de un dispositivo informático ajeno para extraer (minar) monedas digitales.

• Hoax: mensaje falso e inofensivo, normalmente distribuido por correo electrónico, que alerta de un problema informático inexistente para causar, mediante una serie de instrucciones, problemas en el sistema.

• Virus de acción directa: virus que no se mantienen en memoria, cuyo objetivo prioritario es reproducirse y actuar en el mismo momento de ser ejecutados.

Amenazas sobre el puesto de usuario y la red

• Phreaker: persona que intenta usar o abusar del teléfono ajeno a su antojo.

• Spoofing: uso de técnicas de suplantación de identidad, generalmente con fines maliciosos.

• Pharming: explotación de una vulnerabilidad en los servidores DNS o en los equipos del usuario (fichero hosts o caché DNS) que altera la resolución de nombres para redirigir al usuario a una página web falsa, aunque escriba la dirección correcta.

• Clickjacking: un usuario malicioso secuestra las pulsaciones de ratón dirigidas a un sitio aparentemente inocente y las redirige a otro sitio, engañando a los usuarios.

• DoS (Denegación de Servicio): su impacto principal es hacer que un servicio o recurso sea inaccesible para los usuarios legítimos, saturando los puertos con múltiples flujos de información.

• DDoS (distribuido): se lleva a cabo generando un gran flujo de información desde varios puntos de conexión. Una técnica avanzada es el ataque de inundación SYN, que aprovecha el protocolo TCP enviando numerosas solicitudes SYN sin completar el saludo a tres vías (three-way handshake), agotando los recursos del servidor.

• Barrido (escaneo) de puertos: ataque que trata de obtener información básica sobre qué servicios ofrece un sistema y otros detalles técnicos.

Vulnerabilidades web

• SQL injection: ejecución de un comando malicioso de acceso o modificación de una base de datos como parte de una petición.

• CSRF (Cross Site Request/Reference Forgery): el atacante se hace pasar por cliente legítimo utilizando datos parciales del mismo.

• Insecure Deserialization: vulnerabilidad de deserialización insegura; se reduce significativamente empleando métodos no lingüísticos para la deserialización como JSON, XML o YAML (no permite "acceder y manipular BBDD", eso sería inyección).

Medidas de protección y herramientas de detección

• Firewall (cortafuegos): barrera de seguridad situada entre una red interna y una externa (Internet) para controlar y filtrar el tráfico. El firewall de hardware está integrado en un dispositivo físico; el de software se instala en un sistema operativo.

• Bastion host: servidor especialmente configurado y fortificado, con configuración mínima, que reduce la superficie de ataque y controla el acceso a otros recursos internos.

• NIDS: dispositivo para la detección de intrusiones en la red, colocado en lugares clave para controlar el flujo de datos.

• SIEM: sistema que recopila y analiza datos de seguridad de toda la infraestructura de TI.

• Detección heurística: identifica malware por su comportamiento sospechoso y sus características, no por firma.

• Snort: herramienta de detección de intrusiones cuyo propósito principal es el análisis del tráfico de red en tiempo real y el registro/captura de paquetes.

• Suricata: Sistema de Detección y Prevención de Intrusiones de red (IDPS) de alto rendimiento y código abierto (desarrollado por la OISF). Es compatible con IPv6; opera en dos modos, pasivo (observa y analiza el tráfico sin intervenir en la entrega de datos) y activo (ejecuta acciones correctivas automáticas ante amenazas, prevención en línea). Ofrece análisis de protocolos, inspección de contenido y captura de archivos, analizando la carga útil de los paquetes.

• Security Onion: distribución basada en Linux para la supervisión de la seguridad de red y la gestión de logs.

• Open Source Tripwire: especializada en la detección de cambios en los objetos del sistema de archivos (integridad).

• IronPort / Sophos: soluciones de protección de sistemas de correo electrónico.

• NVD (National Vulnerability Database): base de datos de vulnerabilidades.

• IBM AppScan: herramienta para la realización de pruebas de seguridad.

El objetivo de una auditoría de seguridad es identificar debilidades, vulnerabilidades y riesgos en los sistemas y redes informáticas.

Fuentes

• CCN-CERT, Soluciones de seguridad (LUCIA, CLARA, MARTA, REYES, PILAR): https://www.ccn-cert.cni.es/es/soluciones-seguridad.html

• CCN-CERT, herramienta CLARA (auditoría ENS/STIC): https://www.ccn-cert.cni.es/es/soluciones-seguridad/clara.html

• CCN-CERT, LUCIA (gestión de ciberincidentes): https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• MAGERIT v3.0, Libro I - Método (CCN/Consejo Superior de Administración Electrónica): https://www.ccn-cert.cni.es/documentos-publicos/1789-magerit-libro-i-metodo/file.html

• OISF, proyecto Suricata (IDS/IPS/NSM, IPv6, análisis de protocolos): https://suricata.io/ y https://github.com/OISF/suricata

• OWASP (referencia de vulnerabilidades web: SQL Injection, CSRF, Insecure Deserialization): https://owasp.org/www-project-top-ten/

Criptografía y firma digital

La criptografía es la disciplina que transforma la información de un formato legible (texto en claro) a uno codificado (texto cifrado) para proteger su confidencialidad, integridad y autenticidad. El objetivo principal del cifrado en ciberseguridad es transformar los datos de un formato legible a uno codificado, de modo que solo quien posea la clave adecuada pueda recuperarlos. La seguridad de un cifrado depende, sobre todo, de la complejidad (longitud y aleatoriedad) de la clave criptográfica, no del secreto del algoritmo (principio de Kerckhoffs).

Cifrado simétrico y cifrado asimétrico

Existen dos grandes familias de algoritmos:

• Criptografía simétrica: utiliza una única clave tanto para cifrar como para descifrar. Es rápida y eficiente, pero plantea el problema de la distribución segura de esa clave compartida.

• Criptografía asimétrica (o de clave pública): utiliza dos claves distintas, una pública y otra privada, matemáticamente relacionadas. Lo cifrado con una solo se descifra con la otra. Su función principal es ejecutar el cifrado y el descifrado usando claves diferentes, lo que facilita la distribución segura de claves. Como contrapartida, requiere más recursos computacionales y es más lenta que la simétrica.

Para lograr confidencialidad, el emisor cifra con la clave pública del destinatario; así solo la clave privada del destinatario puede descifrar el mensaje, ya que es la única que este debería conocer. Es decir, la clave de cifrado es pública y la de descifrado es privada. La criptografía de clave pública permite que cualquiera cifre datos y solo el destinatario los descifre.

Ejemplos exclusivamente asimétricos: RSA y Diffie-Hellman. Algoritmos que usan la misma clave para cifrar y descifrar (simétricos): AES, DES, 3DES, IDEA, RC4.

AES frente a DES

AES (Advanced Encryption Standard) fue diseñado para reemplazar al DES. Frente a este, ofrece mayor flexibilidad en la longitud de clave y un mayor nivel de seguridad. AES admite claves de 128, 192 y 256 bits (longitud mínima recomendada: 128 bits). DES se considera obsoleto porque la longitud de su clave (56 bits) es demasiado corta para resistir la potencia de cómputo actual.

Longitudes de clave recomendadas

• RSA: longitud de clave mínima recomendada de 2048 bits (NIST SP 800-57).

• AES: longitud de clave mínima recomendada de 128 bits.

Funciones hash

Una función hash genera una huella digital (resumen) de longitud fija a partir de un mensaje. Es de un solo sentido: NO es reversible (a partir de la huella no puede obtenerse el texto original). Se utiliza para garantizar la integridad de un mensaje: cualquier alteración del mensaje cambia el hash. Ejemplos: SHA-256, SHA-3.

Firma digital

La firma digital es un conjunto de datos criptográficos que garantiza la autenticidad e integridad de un documento electrónico, además de proporcionar no repudio (el emisor no puede negar haber enviado el mensaje). Se enmarca en la criptografía de clave pública.

Proceso: la persona firmante genera o aplica una función hash sobre el documento y cifra ese hash con su clave privada; el resultado es la firma. El receptor verifica la firma con la clave pública del firmante, comprobando así la autenticidad del origen y la integridad de la información. En resumen: se genera un par de claves, se firma con la clave privada y se verifica con la clave pública.

La firma digital NO garantiza la confidencialidad de los datos: firmar no equivale a cifrar el contenido. Por tanto, es falso que "la aplicación cifra el documento a firmar asegurando la confidencialidad".

La firma digital avanzada añade, sobre la básica, una estampa de tiempo (sello temporal) e información de validación que permiten determinar la fecha y hora en que la firma existía y el certificado era válido.

Algoritmos de firma: DSA, ECDSA, RSA.

Formatos de firma electrónica (AdES)

Los formatos avanzados normalizados por ETSI son:

• CAdES (CMS Advanced Electronic Signatures): basado en CMS/PKCS#7. Es apropiado para firmar ficheros grandes, especialmente si la firma contiene el documento original.

• XAdES: firma sobre estructuras XML.

• PAdES: firma embebida en documentos PDF (es un estándar abierto ETSI, no un formato propietario de Microsoft Office).

Protocolos y tecnologías seguras

• SSL (Secure Sockets Layer): protocolo previo reemplazado por TLS. No ofrece no repudio.

• TLS (Transport Layer Security): sucesor de SSL. La suite de cifrado HMAC-SHA256 se introdujo en TLS 1.2 (RFC 5246). La última versión estable es TLS 1.3. TLS utiliza cifrado simétrico y asimétrico (asimétrico para el intercambio de claves y autenticación, simétrico para el cifrado masivo de datos) y, junto con HTTP (HTTPS), emplea de forma implícita el puerto 443. La autenticación del servidor se realiza mediante un certificado de servidor.

• S/MIME: tecnología que permite cifrar y firmar digitalmente correos electrónicos, empleando criptografía asimétrica (clave pública para cifrar y clave privada para descifrar).

• WS-SecureConversation: estándar OASIS que define los mecanismos para establecer y compartir contextos de seguridad, y para obtener (derivar) claves de dichos contextos, en el ámbito de los servicios web.

Cifrado según el estado del dato

• Datos en tránsito: protección de datos transferidos entre dispositivos o a través de Internet (p. ej. mediante TLS).

• Datos en reposo: el Cifrado de Datos Transparente (TDE) protege los datos en reposo cifrando las bases de datos en el disco, pero no protege los datos en tránsito.

Fuentes

• IETF — RFC 5246, The Transport Layer Security (TLS) Protocol Version 1.2: https://datatracker.ietf.org/doc/html/rfc5246

• IETF — RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3: https://datatracker.ietf.org/doc/html/rfc8446

• OASIS — WS-SecureConversation 1.4: https://docs.oasis-open.org/ws-sx/ws-secureconversation/v1.4/os/ws-secureconversation-1.4-spec-os.html

• NIST — FIPS 197, Advanced Encryption Standard (AES): https://csrc.nist.gov/pubs/fips/197/final

• NIST — FIPS 186-4/186-5, Digital Signature Standard (DSS): https://csrc.nist.gov/pubs/fips/186-5/final

• NIST — SP 800-57 Part 1, Recommendation for Key Management: https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final

• NIST — SP 800-52 Rev. 2, Guidelines for the Selection, Configuration, and Use of TLS Implementations: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-52r2.pdf

• ETSI — EN 319 122 (CAdES), EN 319 132 (XAdES), EN 319 142 (PAdES): https://www.etsi.org/deliver/etsi_en/319100_319199/

• IETF — RFC 8551, S/MIME Version 4.0 Message Specification: https://datatracker.ietf.org/doc/html/rfc8551

Infraestructura física de un CPD: el estándar ANSI/TIA-942 y la clasificación TIER

Un Centro de Proceso de Datos (CPD) o data center concentra los servidores, sistemas de almacenamiento y comunicaciones de una organización. Su diseño se rige por el estándar ANSI/TIA-942 (Telecommunications Infrastructure Standard for Data Centers), que define tanto la disposición física de los espacios como los niveles de fiabilidad.

Espacios funcionales (ANSI/TIA-942-B)

La norma organiza el CPD en áreas jerárquicas de distribución de cableado:

• ER (Entrance Room): sala de entrada de los servicios de operadores.

• MDA (Main Distribution Area): área principal de distribución (núcleo del CPD).

• HDA (Horizontal Distribution Area): distribución horizontal hacia las filas de racks.

• ZDA (Zone Distribution Area): punto de distribución de zona intermedio opcional.

• EDA (Equipment Distribution Area): área de distribución de equipos donde se ubican los elementos finales, como un servidor o un mainframe. Es el espacio donde físicamente residen los equipos activos.

La clasificación TIER

El propósito de la calificación TIER es certificar el desempeño y la confiabilidad de las infraestructuras de los data centers. Existen cuatro grados de certificación: TIER I, TIER II, TIER III y TIER IV, de menor a mayor disponibilidad y redundancia. La certificación como categoría del Uptime Institute es independiente de cualquier fabricante o proveedor específico (neutralidad e independencia de proveedores): la acreditación no guarda relación con ninguna marca concreta.

Claves para el examen:

• TIER I debe cerrarse completamente para realizar el mantenimiento preventivo, pues no tiene redundancia. Ofrece 99,671 % y unas 28,8 horas de inactividad anual; su puesta en marcha ronda los 3 meses.

• TIER II aporta componentes redundantes y una disponibilidad mínima del 99,741 % (≈22 horas de parada al año); se implanta en 3 a 6 meses.

• TIER III exige una infraestructura con redundancia total (duplicación integral) y permite mantenimiento sin interrupción, pero NO es tolerante a fallos; su disponibilidad es del 99,982 %, con solo 1,6 horas de inactividad anual y 15 a 20 meses de implementación. Se considera el nivel ideal para las empresas modernas que operan de forma constante.

• TIER IV es tolerante a fallos: sigue funcionando incluso con averías en el sistema, con una disponibilidad del 99,995 % y apenas 0,4 horas de parada al año; su plazo de implantación es de 15 a 20 meses.

Elementos eléctricos y de almacenamiento

En los cuadros (paneles) eléctricos de un CPD conviven dispositivos de protección con funciones distintas. Los interruptores diferenciales protegen a las personas de la electrocución ante un eventual contacto con un equipo que presente un problema de aislamiento eléctrico (fuga a tierra); los magnetotérmicos, en cambio, protegen la instalación frente a sobrecargas y cortocircuitos.

En el almacenamiento, RAID 5 distribuye datos y paridad entre los discos; una de sus características es que permite el intercambio en caliente (hot-swap) de discos duros, sustituyendo una unidad averiada sin detener el sistema, tras lo cual la información se reconstruye a partir de la paridad.

Sistemas de gestión de incidencias

Una contingencia en seguridad informática es la interrupción de la capacidad de acceso a la información y de su procesamiento a través de las computadoras necesarias para la operación normal de un negocio.

ITIL

ITIL (Information Technology Infrastructure Library) es un conjunto de buenas prácticas para la gestión de servicios de tecnología de la información. Su objetivo principal es mejorar la calidad de los servicios de TI. Entre sus procesos:

• Gestión de incidentes: su propósito es restablecer los servicios afectados por un incidente tan pronto como sea posible, minimizando el impacto para el negocio.

• Gestión de cambios: su propósito es gestionar de manera efectiva el proceso de cambio, controlando el ciclo de vida de los cambios para reducir riesgos.

LUCIA (CCN-CERT)

LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas) es la herramienta de ticketing para la gestión de incidentes de seguridad en las entidades del ámbito de aplicación del Esquema Nacional de Seguridad (ENS). Desarrollada por el CCN-CERT, se basa en Request Tracker (RT/RT-IR), facilita un lenguaje común de clasificación y severidad, mantiene la trazabilidad y automatiza la notificación de incidentes conforme a la guía CCN-STIC 817.

Control remoto de puestos de usuario y VPN

El acceso y la administración remotos se apoyan con frecuencia en Redes Privadas Virtuales (VPN), que crean un túnel cifrado sobre una red pública. El protocolo utilizado para implantar/establecer Redes Privadas Virtuales a nivel de red es IPSec (IP Security), que proporciona autenticación, integridad y confidencialidad de los paquetes IP mediante sus protocolos AH y ESP.

Fuentes

• ANSI/TIA-942-B, Telecommunications Infrastructure Standard for Data Centers (TIA). Resumen técnico: https://www.conectronica.com/tecnologia/centrosdedatos/centros-datos-estandar-tia-942-concepto-tier

• Uptime Institute, Tier Classification System: https://uptimeinstitute.com/tiers

• CCN-CERT, LUCIA — herramienta para la gestión de incidentes y cumplimiento del ENS: https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• CCN-STIC 845A, LUCIA — Manual de Usuario (CCN-CERT): https://www.ccn-cert.cni.es/es/pdf/guias/series-ccn-stic/

• ITIL / AXELOS, IT Service Management best practices: https://www.axelos.com/certifications/itil-service-management

• IETF RFC 4301, Security Architecture for the Internet Protocol (IPsec): https://datatracker.ietf.org/doc/html/rfc4301