4Elitech https://4elitech.com/ Innovamos para transformar, protegemos para crecer. Thu, 12 Nov 2026 08:22:16 +0000 es hourly 1 https://wordpress.org/?v=7.1.4 https://4elitech.com/wp-content/uploads/2025/02/cropped-icono-32x32.png 4Elitech https://4elitech.com/ 32 32 Cuando la API confía demasiado en el frontend (II): secuestrando la cuenta del administrador https://4elitech.com/api-confia-frontend-secuestrar-cuenta-administrador/ Thu, 12 Nov 2026 08:15:09 +0000 https://4elitech.com/?p=44717 “Piénsalo ¿Qué pasaría si fuese posible tomar el control de la cuenta de un Administrador web?” Estas vulnerabilidades ya deberían estar mitigadas en todas las aplicaciones web que utilizamos hoy en día, pero por desgracia, seguimos encontrándolo en muchas auditorías a empresas, obteniendo privilegios de administrador en tan solo unos minutos. A continuación, explicamos cómo […]

La entrada Cuando la API confía demasiado en el frontend (II): secuestrando la cuenta del administrador se publicó primero en 4Elitech.

]]>

“Piénsalo ¿Qué pasaría si fuese posible tomar el control de la cuenta de un Administrador web?”

Estas vulnerabilidades ya deberían estar mitigadas en todas las aplicaciones web que utilizamos hoy en día, pero por desgracia, seguimos encontrándolo en muchas auditorías a empresas, obteniendo privilegios de administrador en tan solo unos minutos.

A continuación, explicamos cómo funcionan estas vulnerabilidades para que empresas como la tuya, pueda evitarlo y estar preparado antes posibles ataques.

Haciendo memoria:

En el artículo anterior os contamos cómo, durante una de nuestras auditorías, conseguimos acceder a información de otros usuarios modificando algunos simples identificadores. Para leer el artículo completo clica aquí (aquí hay que meter un enlace para que los que quieran pulsen y los lleve al artículo primero que publicamos).

A modo de resumen y para entenderlo bien:

1_Primero accedíamos a la web y luego iniciábamos sesión:

El usuario inicia sesión


Esta pantalla representa el primer paso del flujo: un usuario legitimo accede al portal con credenciales ficticias y la aplicación recibe un token válido para cargar su perfil.

Hasta este punto todo funciona coma debería: el usuario está autenticado. El fallo no estaba en el login, sino en lo que el backend permitia hacer después con ese token.

Lo que vemos realmente los pentesters por debajo, es de esta forma. 

2. Hasta aquí, todo era normal, una vez metíamos las credenciales de usuario válidas, la web nos llevaba al panel típico de nuestro usuario:

CUANDO TODO PARECE CORRECTO

El usuario entra en su perfil Este primer panel representa el comportamiento esperado: un usuario autenticado accede a su área personal y la API devuelve su información de perfil.

 ◾Sesión válida

El usuario inicia sesión y la aplicación recibe un token correcto.

◾Petición GET

El navegador solicita el perfil asociado al identificador del usuario.

◾Perfil visible

El backend responde y el frontend pinta los datos en pantalla.

A simple vista no hay nada extraño: usuario autenticado, token válido y datos propios. El problema aparece después, cuando se comprueba si ese identificador puede manipularse.

Y lo que nosotros vemos por debajo, es esto:

3. Luego, modificábamos el ID de usuario desde nuestro perfil y conseguíamos acceder a información de otros usuarios, lo cual es un error crítico que no debería ocurrir jamás.

EL MOMENTO CRÍTICO

Cambiamos el ID y apareció otro perfil

Tras confirmar que el usuario autenticado podía cargar su propio perfil, revisamos si el identificador de la petición estaba protegido por autorización en backend.

 1_Mismo token

La sesión seguía siendo la de un usuario normal, sin privilegios especiales.

2_ID alterado

Se modifica el identificador del recurso

solicitado dentro de una petición ficticia.

3_ Datos ajenos

La APl responde con información de una cuenta que no pertenece al usuario autenticado.

El fallo no estaba en el login. El usuario tenía un token válido, pero el backend no verificaba si ese token tenía permiso para consultar el perfil solicitado.

Petición legítima vs petición con ID modificado

La visualización muestra el comportamiento esperado frente al comportamiento vulnerable, usando rutas, tokens y datos ficticios.

Qué debería haber ocurrido: aunque el token fuera válido, la API debía comprobar que el usuario autenticado tenía permiso sobre el recurso solicitado. Si el ID no correspondía a su cuenta, la respuesta correcta debía ser un rechazo de autorización, no un perfil ajeno.

Hasta ahí, el impacto ya era grave. Datos personales, direcciones, DNI, correos electrónicos, fotografías de perfil… información suficiente como para generar un problema serio de confidencialidad, cumplimiento normativo y reputación.

“Y ahora viene lo interesante de este nuevo artículo ¿Y si fuera posible realizar otras acciones maliciosas?

Porque una cosa es poder ver información de otros usuarios. Y otra muy distinta es poder tomar el control de sus cuentas. Y eso fue exactamente lo que ocurrió.

4. Primero comprobamos que la plataforma web también nos permitía modificar nuestra propia contraseña sin validación añadida por parte del equipo de IT o con metodologías alternativas de seguridad.

Cambiamos nuestra propia contraseña.

Después de acceder al perfil, comprobamos que la plataforma también permitía modificar la contraseña desde el área privada del usuario autenticado.

En este punto el comportamiento parece legítimo: un usuario normal cambia su propia contraseña. Lo importante para la auditoría era entender cómo viajaba esa acción hacia la API y qué datos utilizaba el servidor para decidir qué cuenta modificar.

1_Sesión válida
El usuario ya está autenticado y dispone de un token correcto.

2_Formulario visible
El frontend muestra una pantalla para actualizar la contraseña.

3_Petición POST
La API recibe el ID del perfil y los nuevos datos de contraseña.

Como siempre, las peticiones que veíamos nosotros por debajo al realizar las acciones en la web eran estas.

“Entonces ¿Podríamos escalar privilegios y tomar el control total de la web?”

Para pentester como nosotros, este momento es uno de los más atractivos. Pero, para la empresa que auditamos es un fallo crítico que afecta directamente a la confianza del sistema.

5. Una vez llegados a este punto, la pregunta era obvia ¿Y si también podemos cambiar la contraseña del usuario Administrador? Y así lo hicimos:

Modificamos la contraseña del administrador.

Partiendo de un usuario convencional, reutilizamos el mismo flujo de cambio de contraseña, pero alterando el identificador enviado a la API para apuntar al usuario administrador.

TOKEN USADO

Bearer token_user_convencional

1_Petición legítima
El usuario normal cambia su propia contraseña con el ID 463.

2_ID modificado
Se cambia el ID de la ruta y también el ID enviado en el cuerpo del POST.

3_Respuesta 200 OK
La API confirma el cambio sobre el usuario administrador objetivo.

Las peticiones modificadas por debajo fueron las siguientes:

Una vez llegados a este punto decidimos finalizar esta parte de la auditoria ya como dicen algunos: “todo el pescado estaba vendido”, y es que el sistema asumía que, si la petición llegaba desde la aplicación, entonces era legítima. Y esa suposición es una de las más peligrosas en seguridad web.

 

 Y ¡NO! El problema no era el botón

Este punto es importante. Muchas veces, cuando se explica este tipo de vulnerabilidad, la primera reacción suele ser:

“Pero el usuario no tiene ese botón en pantalla.”

Y es cierto, puede que el usuario no vea un botón para cambiar la contraseña de otra persona y puede que visualmente todo parezca bien controlado.

Pero la seguridad no puede depender de lo que se ve en pantalla.

Un atacante no necesita que el botón exista, solo necesita que la API acepte la acción.

Y si el backend no valida permisos, roles y contexto en cada petición sensible, el hecho de ocultar opciones en el frontend no sirve como medida de seguridad.

En resumen:

La seguridad no puede depender de lo que el usuario ve. Debe depender de lo que el servidor valida.

  • Cada petición sensible debe comprobar permisos, contexto, rol y recurso afectado.
  • Porque el frontend muestra y el backend decide.
  • ¿Y cuando el backend no decide? Decide el atacante.

 

En 4Elitech realizamos auditorías web orientadas a descubrir este tipo de riesgos:

  • Vulnerabilidades que no siempre aparecen en un escáner, pero que pueden tener un impacto crítico para el negocio.
  • Analizamos aplicaciones desde la perspectiva técnica, pero también desde la lógica de abuso:
  • Qué puede hacer un usuario
  • Qué debería poder hacer y qué ocurre cuando se manipulan los flujos normales de la aplicación.

 

Porque los fallos más peligrosos no siempre están en lo evidente, a veces, están en una pequeña suposición que nadie cuestionó.

Y nosotros estamos para eso.

La entrada Cuando la API confía demasiado en el frontend (II): secuestrando la cuenta del administrador se publicó primero en 4Elitech.

]]> Ciberseguridad OT: de la visibilidad a la resiliencia https://4elitech.com/ciberseguridad-ot-visibilidad-resiliencia/ Tue, 03 Nov 2026 09:30:36 +0000 https://4elitech.com/?p=44699 En un entorno industrial, saber qué está pasando es el primer paso para poder protegerlo. Y la realidad es sencilla: si no sabemos qué tenemos, qué riesgo existe y qué es realmente importante, tomar buenas decisiones se vuelve complicado. Una solución de ciberseguridad OT permite obtener una visión global del entorno industrial y convertir toda […]

La entrada Ciberseguridad OT: de la visibilidad a la resiliencia se publicó primero en 4Elitech.

]]>

En un entorno industrial, saber qué está pasando es el primer paso para poder protegerlo. Y la realidad es sencilla: si no sabemos qué tenemos, qué riesgo existe y qué es realmente importante, tomar buenas decisiones se vuelve complicado.

Una solución de ciberseguridad OT permite obtener una visión global del entorno industrial y convertir toda esa información en algo realmente útil para el negocio: reducir riesgos, evitar interrupciones y reaccionar más rápido cuando ocurre un incidente.

Esta visión cobra todavía más importancia cuando hablamos de infraestructuras críticas y entornos industriales, donde un incidente de ciberseguridad puede tener consecuencias directas sobre la actividad y la continuidad de las operaciones. Como ya comentábamos en nuestro artículo Ciberprotección en Infraestructuras Críticas y OT, proteger estos entornos requiere ir más allá de las medidas tradicionales de seguridad y comprender las particularidades de los sistemas industriales, sus activos y sus riesgos. La visibilidad se convierte así en un elemento fundamental para avanzar hacia una protección más eficaz y una mayor resiliencia operativa.

Más visibilidad, menos sorpresas

Conocer los activos, sistemas y comunicaciones del entorno permite identificar elementos desconocidos y situaciones que podrían pasar desapercibidas.

Porque descubrir que existe un problema cuando la producción ya está parada nunca es el mejor momento para empezar a investigarlo.

Priorizar lo que realmente importa

No todos los activos tienen la misma importancia ni todos los riesgos tienen el mismo impacto.

Una solución de este tipo ayuda a identificar qué elementos son críticos y dónde se concentra el mayor riesgo, permitiendo priorizar inversiones y esfuerzos allí donde realmente aportan valor.

En lugar de intentar apagar todos los fuegos a la vez, permite saber cuál merece atención primero.

Menos impacto para el negocio

No todos los activos tienen la misma importancia ni todos los riesgos tienen el mismo impacto.

Una solución de este tipo ayuda a identificar qué elementos son críticos y dónde se concentra el mayor riesgo, permitiendo priorizar inversiones y esfuerzos allí donde realmente aportan valor.

En lugar de intentar apagar todos los fuegos a la vez, permite saber cuál merece atención primero.

Reaccionar antes y mejor

Cuando ocurre un incidente, disponer rápidamente de información sobre qué ha sucedido, qué sistemas están afectados y cuál puede ser su alcance permite tomar decisiones con mayor rapidez.

Y en ciberseguridad, como en muchas otras cosas, llegar cinco minutos antes suele ser bastante mejor que llegar cinco minutos después.

Una visión común para toda la organización

OT, IT, ingeniería, operaciones y ciberseguridad necesitan trabajar de forma coordinada.

Disponer de una visión común facilita la colaboración entre equipos y permite que la ciberseguridad deje de ser únicamente una cuestión técnica para convertirse en una herramienta de apoyo a la continuidad y resiliencia del negocio.

Mejor inversión y mejores decisiones

Toda esta información permite a la organización decidir dónde invertir, qué riesgos abordar primero y qué medidas pueden generar una mayor reducción del riesgo.

El objetivo no es tener otra pantalla llena de alertas, sino disponer de información que ayude a responder a tres preguntas fundamentales:

¿Qué tenemos?
¿A qué riesgos nos enfrentamos?
¿Qué debemos hacer primero?

En definitiva, una adecuada gestión de la ciberseguridad OT permite conseguir mayor visibilidad, menor riesgo, menor impacto ante incidentes, mejor utilización de los recursos y mayor continuidad operativa.

Porque el objetivo final no es simplemente proteger la tecnología. Es algo mucho más importante: proteger la capacidad de la organización para seguir funcionando.

 

La verdadera resiliencia está en poder seguir funcionando, pase lo que pase.

Podemos ayudarte

La entrada Ciberseguridad OT: de la visibilidad a la resiliencia se publicó primero en 4Elitech.

]]> ¿Sabías que puedes salvar todos tus datos y aun así perder tu empresa? https://4elitech.com/sabias-que-puedes-salvar-todos-tus-datos-y-aun-asi-perder-tu-empresa/ Thu, 15 Oct 2026 08:23:40 +0000 https://4elitech.com/?p=44678 Parece contradictorio, pero durante años fue así de literal. Todo el concepto de «recuperación ante desastres» (disaster recovery) se pensó casi únicamente para salvar los ordenadores centrales de una empresa. La lógica era simple: si el mainframe se caía, se restauraba desde una copia de seguridad en otro centro de datos, y listo. El negocio volvía a […]

La entrada ¿Sabías que puedes salvar todos tus datos y aun así perder tu empresa? se publicó primero en 4Elitech.

]]>

Parece contradictorio, pero durante años fue así de literal. Todo el concepto de «recuperación ante desastres» (disaster recovery) se pensó casi únicamente para salvar los ordenadores centrales de una empresa. La lógica era simple: si el mainframe se caía, se restauraba desde una copia de seguridad en otro centro de datos, y listo. El negocio volvía a funcionar. Nadie pensaba mucho más allá de la sala de servidores. Y no es que eso estuviera mal -las copias de seguridad son, y siguen siendo, imprescindibles-; el problema es que nadie se planteaba que pudieran no ser suficientes.

Esa lógica se sostuvo hasta los años 90, cuando varios atentados (IRA) en el centro financiero de Londres pusieron a prueba esa lógica y la dejaron en evidencia. Las empresas afectadas descubrieron algo incómodo: podían tener sus sistemas informáticos perfectamente intactos y, aun así, no tener negocio.

Las empresas no podían operar como de costumbre. No es una anécdota curiosa sin más: fue el punto de partida de todo lo que hoy entendemos por continuidad de negocio.

Si las oficinas quedaban destruidas o inaccesibles y el personal no podía trabajar, de nada servía tener los datos a salvo.

Esa es la idea clave, y es el motivo por el que existe la ISO 22301 tal y como la conocemos hoy: los atentados no crearon la norma directamente, pero sí obligaron a inventar una disciplina nueva.

Una que ya no hablaba solo de «recuperar la informática», sino de «mantener el negocio funcionando», contemplando personas, procesos, proveedores e instalaciones, además de la tecnología.

De la idea a la norma: una evolución rápida

Esa nueva forma de pensar no tardó en formalizarse:

  •  En 2003, Reino Unido publica PAS 56, una de las primeras guías sobre continuidad de negocio (ya no solo de recuperación de sistemas).
  • En 2006-2007, se convierte en la norma británica BS 25999, la primera certificable en esta materia.
  • Y, en 2012, BS 25999 se transforma en la norma internacional ISO 22301, la que hoy certifican organizaciones en todo el mundo.

 

Así pues, una necesidad nacida de la experiencia real pasó a ser un estándar internacional.

Por qué esto te debería importar hoy

Puede parecer historia lejana, pero el problema que resolvió sigue siendo el mismo: muchas empresas todavía confunden «tener copias de seguridad» con «estar preparadas para una crisis». Y los datos muestran lo caro que sale ese error:

  • Según FEMA, el 40% de las pequeñas empresas nunca reabren tras un desastre mayor, y otro 25% cierra en el primer año siguiente.
  • Diversos estudios coinciden en algo similar: cuanto más tiempo tarda una empresa en recuperar su actividad crítica, mucho mayor es la probabilidad de que acabe cerrando en los meses posteriores.
  • Cuando llegó la pandemia, el 51% de las empresas del mundo no tenía ningún plan de continuidad.
  • Con la Directiva europea NIS2, la continuidad de negocio ha dejado de ser solo una buena práctica para convertirse en un requisito legal en varios países de la UE, con multas de hasta 10 millones de euros o el 2% de la facturación global para las organizaciones que no cumplan. En España, la ley que la incorpora todavía está en fase final de tramitación.

La lección de fondo

Además de preguntarnos si tenemos los datos a salvo, deberíamos hacernos otra pregunta igual de necesaria, y complementaria a la primera: ¿sabemos, con precisión, cuánto tiempo aguantaría nuestro negocio sin sus procesos críticos, y qué haríamos en ese tiempo?

Si no tienes esa respuesta a mano, es un buen momento para conseguirla. Desde nuestra área de Gobierno, Riesgo y Cumplimiento (GRC) ayudamos a las organizaciones a responder esa pregunta. ¿Quieres saber cómo de preparada está tu organización frente a una interrupción grave? Ponte en contacto con nosotros.

Conocer tu infraestructura es el primer paso para protegerla

Podemos ayudarte

La entrada ¿Sabías que puedes salvar todos tus datos y aun así perder tu empresa? se publicó primero en 4Elitech.

]]> ¿Sabes realmente qué forma parte de tu superficie de ataque? https://4elitech.com/superficie-ataque-empresa/ Tue, 06 Oct 2026 07:00:23 +0000 https://4elitech.com/?p=44632 En el mundo empresarial, es muy habitual pasar por alto lagunas de seguridad importantes. Parece que, si cubrimos algunos aspectos básicos, estamos protegidos ante casi cualquier evento: Un cortafuegos, un antivirus, actualizar el sistema operativo de servidores y equipos de usuario… Con eso ya vale para tener una buena seguridad, ¿no? Por desgracia, no. Todo […]

La entrada ¿Sabes realmente qué forma parte de tu superficie de ataque? se publicó primero en 4Elitech.

]]>

En el mundo empresarial, es muy habitual pasar por alto lagunas de seguridad importantes. Parece que, si cubrimos algunos aspectos básicos, estamos protegidos ante casi cualquier evento:

Un cortafuegos, un antivirus, actualizar el sistema operativo de servidores y equipos de usuario… Con eso ya vale para tener una buena seguridad, ¿no?

Por desgracia, no.

Todo esto es necesario y proporciona una buena base de seguridad, pero es solamente eso: una base. El problema aparece cuando asumimos que esos controles cubren toda nuestra infraestructura.

Porque, para proteger nuestra empresa, primero tenemos que saber exactamente qué tenemos que proteger.

Imaginemos una compañía con un servidor correctamente actualizado, un antivirus instalado en los equipos y un cortafuegos correctamente configurado. Todo parece estar en orden.

Pero ¿qué ocurre si existe un servidor antiguo que ya no recibe actualizaciones? ¿Y si tenemos una aplicación web accesible desde Internet que nadie recuerda que sigue publicada? ¿Qué ocurre con un punto de acceso Wi-Fi cuyo firmware lleva años sin actualizarse? ¿O con una VPN que permite acceder a más recursos de los estrictamente necesarios?

También puede existir software instalado en los equipos de los usuarios que no forma parte del inventario corporativo, reglas del cortafuegos que se crearon hace años y nunca volvieron a revisarse…

Todos estos elementos forman parte de nuestra superficie de ataque. Y el primer problema de seguridad puede ser precisamente ese: no saber que existen.

En 4Elitech ya hablábamos en nuestro artículo sobre Discovery y Zero Trust de la importancia de conocer qué dispositivos y usuarios están conectados a nuestra infraestructura. Pero saber qué tenemos es solo el primer paso: también necesitamos conocer su estado, configuración, vulnerabilidades y exposición.

Cuando hablamos de proteger los activos de una empresa, tendemos a pensar inmediatamente en servidores y ordenadores.

Pero una infraestructura actual es mucho más amplia. Tenemos servidores físicos y virtuales, ordenadores portátiles y de sobremesa, switches, routers, firewalls y puntos de acceso Wi-Fi, servicios de acceso remoto y VPN, cuentas de usuarios y cuentas privilegiadas…

  • Servidores: instalarlos no es suficiente

No basta con instalar y configurar un servidor: hay que mantenerlo actualizado, revisar sus servicios, permisos y accesos, y comprobar periódicamente si sigue siendo necesario y si su exposición es adecuada.

  • Lo mismo ocurre con los equipos de usuario

Los endpoints también forman parte de la superficie de ataque. El software desactualizado, las aplicaciones instaladas sin control y determinadas configuraciones pueden introducir riesgos de seguridad.

  • Un cortafuegos también puede estar mal configurado

Tener un firewall no garantiza que la red esté correctamente protegida. Las reglas pueden ser demasiado permisivas, haber quedado obsoletas o permitir accesos innecesarios entre redes, usuarios, proveedores o sistemas críticos.

  • La electrónica de red también forma parte de la superficie de ataque

Switches, routers y puntos de acceso también tienen firmware, vulnerabilidades y configuraciones que deben mantenerse bajo control. Además, por su posición dentro de la infraestructura, una vulnerabilidad en estos dispositivos puede tener consecuencias importantes.

  • ¿Y qué ocurre con lo que está expuesto a Internet?

Es necesario conocer qué activos son accesibles desde el exterior: servidores, aplicaciones, VPN, etc. Un activo olvidado o una aplicación antigua publicada en Internet puede convertirse en un punto de entrada para un atacante.

  • Tener una vulnerabilidad no significa que todas tengan la misma importancia

No todas las vulnerabilidades representan el mismo riesgo. Para priorizarlas hay que tener en cuenta factores como su gravedad, si son explotables, la exposición del activo, su importancia para el negocio y los datos que maneja.

  • De la visibilidad a la reducción de exposición

Identificar activos y vulnerabilidades es sólo el primer paso. El objetivo final es reducir la superficie de ataque mediante acciones como cerrar puertos innecesarios, eliminar sistemas y aplicaciones obsoletos, restringir accesos, corregir configuraciones o aplicar parches.

  • La seguridad empieza por saber qué tenemos

Es la conclusión que une todo lo anterior: las herramientas de seguridad son necesarias, pero necesitan visibilidad detrás. Si no conocemos nuestros activos, su configuración, sus vulnerabilidades y su exposición, difícilmente podremos protegerlos de forma eficaz.

Existen diferentes métodos para determinar el alcance en nuestra empresa:

Conocer nuestra superficie de ataque requiere una visión global de la infraestructura. No se trata únicamente de identificar qué dispositivos y sistemas tenemos, sino también de conocer su estado, configuración, vulnerabilidades, accesos y exposición. Solo así podremos determinar dónde están los riesgos y qué medidas debemos priorizar.

Existen diferentes métodos para determinar el alcance y obtener una visión completa de la seguridad de nuestra empresa, desde la identificación de vulnerabilidades y la revisión de configuraciones hasta el inventario y control de los activos:

Identificación y evaluación de vulnerabilidades

Realizar auditorías de seguridad y pruebas de pentesting sobre servidores, sistemas y dispositivos de red para identificar vulnerabilidades y posibles vías de ataque antes de que puedan ser aprovechadas.

Gestión y control del software

Disponer de herramientas que permitan controlar las aplicaciones instaladas en servidores y equipos de usuario. Así como su despliegue, actualización y gestión centralizada. De esta forma, reducimos la instalación de software no autorizado.

Auditoría y revisión de configuraciones

Revisar la configuración de firewalls, switches, routers, puntos de acceso y otros elementos de red para detectar configuraciones inseguras, accesos innecesarios y posibles puntos de exposición.

Inventario y visibilidad de activos

Identificar y mantener inventariados servidores, equipos de usuario y el software instalado en ellos, proporcionando una visión actualizada de la infraestructura y facilitando la detección de activos desconocidos, obsoletos o vulnerables.

En 4Elitech te ayudamos a conocer y controlar tu infraestructura para identificar posibles puntos de exposición y aplicar las medidas de seguridad necesarias para reducir tu superficie de ataque.

Conocer tu infraestructura es el primer paso para protegerla

Podemos ayudarte

La entrada ¿Sabes realmente qué forma parte de tu superficie de ataque? se publicó primero en 4Elitech.

]]> De infraestructuras críticas a entidades críticas: ¿qué está cambiando? https://4elitech.com/infraestructuras-criticas-entidades-criticas/ Thu, 24 Sep 2026 07:40:19 +0000 https://4elitech.com/?p=44619 La protección de las infraestructuras críticas en España se encuentra ante una importante evolución normativa. La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas (Directiva CER), introduce un enfoque que va más allá de la protección de instalaciones concretas y pone el foco en la capacidad de las organizaciones para mantener sus servicios […]

La entrada De infraestructuras críticas a entidades críticas: ¿qué está cambiando? se publicó primero en 4Elitech.

]]>

La protección de las infraestructuras críticas en España se encuentra ante una importante evolución normativa. La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas (Directiva CER), introduce un enfoque que va más allá de la protección de instalaciones concretas y pone el foco en la capacidad de las organizaciones para mantener sus servicios esenciales ante incidentes graves.

En España, este cambio se está materializando a través del Proyecto de Ley de protección y resiliencia de las entidades críticas, aprobado por el Consejo de Ministros el 17 de marzo de 2026 y actualmente en tramitación parlamentaria.

¿Qué cambia respecto al modelo actual?

Actualmente, el marco español se sustenta principalmente en la Ley 8/2011, de protección de las infraestructuras críticas, y su normativa de desarrollo.

El nuevo modelo introduce un concepto más amplio: la resiliencia de la entidad. No se trata únicamente de proteger físicamente una infraestructura, sino de garantizar que la organización pueda prevenir, resistir, responder y recuperarse de incidentes que puedan afectar a la prestación de sus servicios esenciales.

Entre las principales novedades previstas en el Proyecto de Ley destacan:

  • La identificación de entidades críticas en los sectores incluidos en la norma.
  • La realización de evaluaciones de riesgos, considerando amenazas naturales, técnicas y humanas.
  • El análisis de dependencias e interdependencias con otros servicios y sectores.
  • La elaboración de un Plan de Resiliencia con medidas técnicas, organizativas y operativas.
  • La designación de un Responsable de Seguridad y Resiliencia.
  • Nuevas obligaciones relacionadas con la gestión y notificación de incidentes.

Además, el actual Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) pasaría a denominarse Centro Nacional para la Protección y Resiliencia de las Entidades Críticas (CNPREC).

Resiliencia y ciberseguridad: una visión conjunta

Este nuevo enfoque debe entenderse también en relación con la evolución de la normativa europea de ciberseguridad, especialmente NIS2.

Aunque CER y NIS2 regulan ámbitos diferentes, ambos marcos comparten un enfoque basado en riesgos y continuidad. Para las organizaciones afectadas será cada vez más importante coordinar la seguridad física, la ciberseguridad, la continuidad de negocio, la gestión de proveedores y la respuesta ante incidentes.

Además, en julio de 2026 la Comisión Europea publicó nuevas directrices para facilitar la aplicación de las medidas de resiliencia previstas en la Directiva CER, reforzando este enfoque integral.

¿Qué pueden hacer las organizaciones?

Aunque el Proyecto de Ley español todavía se encuentra en tramitación y su contenido puede sufrir modificaciones antes de su aprobación definitiva, las organizaciones potencialmente afectadas pueden comenzar a revisar sus actuales modelos de gestión de riesgos, continuidad, seguridad física, dependencias críticas y gestión de incidentes.

El cambio de enfoque es claro: ya no se trata únicamente de proteger una infraestructura, sino de garantizar la resiliencia de la organización y la continuidad del servicio esencial que presta.

Proteger la infraestructura es garantizar la resiliencia y la continuidad.

Podemos ayudarte

La entrada De infraestructuras críticas a entidades críticas: ¿qué está cambiando? se publicó primero en 4Elitech.

]]> IA y ciberseguridad en salud https://4elitech.com/ia-ciberseguridad-salud/ Tue, 15 Sep 2026 07:56:24 +0000 https://4elitech.com/?p=44568 La inteligencia artificial se está integrando progresivamente en numerosos procesos del sector sanitario. Una evolución que abre nuevas oportunidades, pero que también obliga a abordar conjuntamente inteligencia artificial y ciberseguridad en salud.  Analizar grandes cantidades de información, automatizar tareas, generar documentación o apoyar a los profesionales son algunas de sus posibilidades. Capacidades que permiten procesar, […]

La entrada IA y ciberseguridad en salud se publicó primero en 4Elitech.

]]>

La inteligencia artificial se está integrando progresivamente en numerosos procesos del sector sanitario. Una evolución que abre nuevas oportunidades, pero que también obliga a abordar conjuntamente inteligencia artificial y ciberseguridad en salud. 

Analizar grandes cantidades de información, automatizar tareas, generar documentación o apoyar a los profesionales son algunas de sus posibilidades. Capacidades que permiten procesar, extraer y generar información en segundos. 

Pero estas mismas capacidades también están disponibles para quienes intentan comprometer una organización. 

El reto no es decidir si utilizar inteligencia artificial en sanidad, sino cómo incorporarla sin perder el control sobre los datos, los sistemas y los procesos que dependen de ella. 

El dato sanitario sigue siendo uno de los activos más sensibles

Una historia clínica puede contener diagnósticos, tratamientos, antecedentes, medicación o información relacionada con la salud mental de una persona. Datos especialmente sensibles que, una vez expuestos, no pueden simplemente sustituirse. 

Ya hablamos de esta problemática en “Fugas de información: un riesgo silencioso para el sector sanitario”, donde analizamos por qué la información sanitaria sigue siendo especialmente atractiva para los ciberdelincuentes. 

La llegada de la IA no cambia la necesidad de proteger estos datos, pero sí aumenta el número de procesos capaces de utilizarlos. 

Pensemos en una herramienta que transcribe automáticamente una consulta médica y genera posteriormente un informe. Para hacerlo, la información puede pasar por diferentes sistemas o proveedores antes de regresar a la historia clínica. 

¿Dónde se procesa? ¿Quién puede acceder? ¿Se conserva la información? ¿Interviene algún tercero? 

La IA puede ser únicamente una parte del proceso, pero todo el recorrido del dato debe estar protegido. 

IA en salud: una nueva superficie de exposición

La transformación digital del sector sanitario lleva años ampliando el número de sistemas interconectados. 

Aplicaciones clínicas, dispositivos médicos, servicios cloud, proveedores tecnológicos o herramientas de inteligencia artificial forman parte de un ecosistema cada vez más complejo. 

Esto hace que la seguridad ya no dependa únicamente de los controles internos de una organización. 

 

Una integración mal configurada, un proveedor comprometido o un acceso remoto que permanece activo pueden convertirse en una vía de entrada. 

Con la IA ocurre lo mismo. No basta con comprobar que una herramienta funciona correctamente. Es necesario saber a qué información accede, con qué sistemas se comunica y de qué terceros depende. 

La cadena de suministro tecnológica también forma parte de nuestra superficie de riesgo. 

Cómo la IA está cambiando los ciberataques al sector sanitario

La inteligencia artificial también está modificando las capacidades de los atacantes. 

Actualmente, mucha de la información necesaria para conocer una organización puede encontrarse en fuentes públicas: notas de prensa, licitaciones, ofertas de empleo, documentación técnica o publicaciones de proveedores. 

Por separado pueden parecer datos poco relevantes. Analizados conjuntamente pueden ofrecer una imagen bastante precisa de las tecnologías, proyectos y relaciones de una organización. 

La IA permite procesar y relacionar toda esa información mucho más rápido. 

Lo que para una organización es una comunicación sobre un proyecto tecnológico puede convertirse para un atacante en una pista sobre qué sistemas utiliza, qué proveedor participa o dónde puede existir una posible vía de entrada. 

La exposición digital también debe formar parte de la estrategia de ciberseguridad. 

Cuando no hay atacante: el riesgo del Shadow AI

No todas las fugas de información necesitan un atacante. 

Un profesional puede utilizar una herramienta pública de IA para resumir un documento, generar un informe o automatizar una tarea. El objetivo es legítimo: trabajar de forma más eficiente. 

El problema aparece cuando esas herramientas se utilizan fuera de los mecanismos de control de la organización. Es lo que analizamos en “Shadow AI: el riesgo silencioso que ya está en tu organización”. 

En estos casos, la organización puede desconocer qué herramientas están utilizando sus profesionales, qué datos se comparten con ellas y qué ocurre posteriormente con esa información. 

No existe necesariamente malware ni una vulnerabilidad técnica. Existe una pérdida de visibilidad. 

Y cuando hablamos de datos sanitarios, esa falta de control puede convertirse en un riesgo especialmente importante. 

Auditoría y seguridad de los sistemas de IA

Los sistemas basados en inteligencia artificial introducen además nuevos retos. 

Un sistema tradicional suele mostrar de forma evidente cuándo algo falla. Un servicio deja de funcionar o una aplicación devuelve un error. 

Un modelo de IA puede seguir funcionando y, sin embargo, comportarse de una manera diferente a la esperada. 

Sus resultados pueden degradarse, responder de forma inesperada o ser manipulados. 

 

Por eso no basta con auditar la infraestructura que rodea estos sistemas. También será necesario evaluar el comportamiento de los propios modelos y hacerlo durante todo su ciclo de vida. 

La seguridad de una solución de inteligencia artificial no termina cuando se implanta. 

La seguridad como garantía de continuidad asistencial

A pesar de la evolución tecnológica, los principios fundamentales de la seguridad siguen siendo los mismos: garantizar la confidencialidad, integridad y disponibilidad de la información. 

En sanidad, la disponibilidad adquiere además una importancia especial. 

Un incidente de ciberseguridad puede dificultar el acceso a información clínica, interrumpir procesos o afectar al funcionamiento de la actividad asistencial. 

Por eso proteger una organización sanitaria no consiste únicamente en evitar una fuga de datos. 

También significa garantizar que pueda seguir funcionando. 

La monitorización continua, el análisis de anomalías, las auditorías especializadas y la evaluación de proveedores permiten detectar cuándo un sistema o un flujo de información deja de comportarse como debería. 

IA y ciberseguridad deben avanzar juntas

La inteligencia artificial puede aportar importantes mejoras al sector sanitario. El riesgo aparece cuando su adopción avanza más rápido que nuestra capacidad para entender y proteger los nuevos procesos que genera. 

Antes de incorporar una solución de IA deberíamos saber qué información utiliza, dónde se procesa, quién puede acceder a ella, de qué proveedores depende y cómo podemos comprobar que sigue funcionando de la manera esperada. 

Inventario, protección del dato, control de accesos, evaluación de terceros, auditoría, trazabilidad y monitorización continúan siendo fundamentales. 

La tecnología cambia. 

Los principios con los que debemos protegerla, no. 

Porque para aprovechar todo el potencial de la inteligencia artificial en salud, IA y ciberseguridad deben avanzar juntas desde el principio. 

IA y ciberseguridad deben avanzar juntas ​

Podemos ayudarte

La entrada IA y ciberseguridad en salud se publicó primero en 4Elitech.

]]> Insider Threats, de la confianza al comportamiento anómalo https://4elitech.com/insider-threats-amenazas-internas-comportamiento-anomalo/ Mon, 31 Aug 2026 08:42:04 +0000 https://4elitech.com/?p=44421 Cuando pensamos en un ciberataque solemos imaginar a alguien intentando entrar desde fuera: explotar una vulnerabilidad, robar credenciales, evadir el MFA o comprometer una VPN. Pero existe un escenario más difícil de detectar: ¿qué ocurre cuando el atacante no necesita entrar porque ya está dentro? Tiene una cuenta corporativa, conoce los sistemas, sabe dónde está […]

La entrada Insider Threats, de la confianza al comportamiento anómalo se publicó primero en 4Elitech.

]]>

Cuando pensamos en un ciberataque solemos imaginar a alguien intentando entrar desde fuera: explotar una vulnerabilidad, robar credenciales, evadir el MFA o comprometer una VPN.

Pero existe un escenario más difícil de detectar: ¿qué ocurre cuando el atacante no necesita entrar porque ya está dentro?

Tiene una cuenta corporativa, conoce los sistemas, sabe dónde está la información crítica y entiende los procesos internos. En algunos casos, además, dispone de privilegios elevados.

Ese es el problema de los Insider Threats o amenazas internas. Y hay algo que los hace especialmente peligrosos: la actividad más dañina puede comenzar con un evento completamente legítimo: Authentication successful.

Un insider no siempre es un empleado malicioso

NIST define la amenaza interna como aquella en la que una persona utiliza su acceso autorizado, de forma consciente o inconsciente, para causar daño a los sistemas, activos u operaciones de una organización.

Un insider malicioso puede ser un empleado, exempleado, proveedor o colaborador que utiliza deliberadamente sus accesos para robar información, sabotear sistemas u obtener beneficio, no podemos predecir la motivación.

Pensemos en un administrador de sistemas con privilegios elevados que decide actuar contra la compañía. No necesita descubrir una vulnerabilidad Zero Day ni estudiar la infraestructura. Puede que haya sido precisamente él quien la configuró.

El riesgo aumenta cuando se combinan motivación, conocimiento interno y capacidad técnica.

También existe el insider involuntario: un usuario que envía documentación confidencial al destinatario equivocado, comparte información mediante servicios no autorizados o concede permisos incorrectos. No existe intención maliciosa, pero el impacto puede ser igualmente grave.

Y existe otro escenario: el usuario comprometido. Credenciales robadas, cookies de sesión, infostealers o técnicas para eludir MFA pueden permitir que un atacante externo actúe utilizando una identidad válida. Para muchos controles todo parece correcto: el usuario existe, tiene permisos y la autenticación ha sido satisfactoria.

El insider ya conoce el negocio

El insider ya conoce el negocio

Un atacante externo necesita realizar reconocimiento: descubrir tecnologías, localizar activos críticos y entender cómo funciona la organización.

El insider parte con gran parte de ese trabajo hecho. Puede conocer qué servidor contiene información sensible, dónde están las copias de seguridad, qué aplicaciones son esenciales para producción o qué cuentas tienen permisos elevados.

Además, su actividad legítima puede servirle como cobertura: una conexión VPN o el uso de herramientas administrativas pueden ser acciones perfectamente autorizadas.

Por eso la pregunta relevante no es únicamente qué está haciendo el usuario, sino:

¿Tiene sentido que ese usuario haga eso, en ese momento, desde ese equipo y con ese volumen?

Correlación: cuando varias señales cuentan una historia

Frente a una amenaza interna, buscar únicamente indicadores clásicos de compromiso no siempre es suficiente. Puede no haber una IP maliciosa, un dominio sospechoso, malware conocido o un hash identificado.

Imaginemos que un empleado inicia sesión de madrugada, accede a un repositorio que apenas utiliza, descarga mucha más información de lo habitual y poco después se conecta a un servicio externo de almacenamiento.

Por separado, cada acción podría tener una explicación legítima. Juntas cuentan una historia distinta.

Ahí entra en juego la correlación.

Un SIEM permite combinar telemetría de Active Directory o Entra ID, VPN, EDR/XDR, proxies, firewalls, sistemas cloud, correo, almacenamiento o DLP.

Así reconstruimos detecciones como:

  • Acceso fuera del horario habitual + información sensible + descarga anómala.
  • Elevación de privilegios + herramientas poco habituales.
  • Cuenta privilegiada utilizada desde un dispositivo nuevo.
  • Acceso masivo a un repositorio que el usuario apenas utiliza.

Una alerta aislada puede ser ruido, varias señales relacionadas pueden ser un incidente.

UEBA: aprender qué significa “normal”

Aquí entra en juego UEBA, User and Entity Behavior Analytics.

En lugar de depender únicamente de reglas estáticas, UEBA analiza cómo se comportan usuarios y entidades para establecer una línea base: dispositivos, aplicaciones, horarios o volumen de información habitual.

Una regla tradicional podría decir:

“Genera una alerta si alguien descarga más de 5 GB”.

UEBA plantea otra pregunta:

“¿Por qué este usuario ha descargado hoy veinte veces más información que cualquier otro día de los últimos seis meses?”.

NIST CSF 2.0 contempla el uso de analítica de comportamiento para identificar actividad anómala asociada a amenazas internas.

Privilegios: cuanto más acceso, mayor impacto

No todas las identidades representan el mismo riesgo.

Administradores de sistemas, administradores de dominio, proveedores con acceso elevado o cuentas de servicio pueden realizar acciones que un usuario convencional no puede ejecutar.

Por eso no basta con proteger estas cuentas. Hay que monitorizar cómo se utilizan.

El principio de mínimo privilegio, la separación entre cuentas administrativas y de uso diario, la revisión periódica de permisos, PAM o los accesos Just-in-Time ayudan a reducir el impacto potencial.

No existe una herramienta mágica: hace falta contexto

Tener un SIEM, un EDR, un DLP o una solución UEBA no resuelve por sí solo el problema. La detección funciona cuando las diferentes fuentes de información empiezan a hablar entre ellas.

Identidad nos dice quién es el usuario. EDR, qué ha ejecutado. Active Directory, qué privilegios tiene. VPN, desde dónde se conecta. Proxy y firewall, con qué servicios se comunica. DLP puede indicar qué datos están abandonando la organización.

Ese contexto permite distinguir entre “un administrador ha utilizado una herramienta administrativa” y “un administrador que nunca trabaja de madrugada se ha conectado desde un dispositivo nuevo, ha accedido a sistemas que normalmente no administra y después ha transferido una cantidad anormal de información”.

Cómo puede ayudar un SOC

Frente a las amenazas internas no basta con desplegar tecnología. Hay que diseñar casos de uso, entender cómo trabaja la organización, reducir falsos positivos e investigar anomalías.

Desde el SOC 24/7 de 4ELITECH ayudamos a construir esa capacidad mediante centralización y correlación de telemetría, monitorización de cuentas privilegiadas, detección de comportamientos anómalos, UEBA, Threat Hunting y playbooks específicos de respuesta.

Porque no buscamos únicamente malware.

Buscamos comportamiento.

No preguntamos solamente si una autenticación ha sido correcta. Preguntamos si tenía sentido que esa persona se autenticara allí, en ese momento y para hacer aquello.

La amenaza que ya tiene permiso

Invertimos mucho en proteger el perímetro: firewalls, VPN, MFA, EDR, WAF, filtrado de correo o segmentación.

Pero un insider parte con una ventaja que un atacante externo no posee por defecto: confianza.

No siempre necesita evadir la protección perimetral, explotar una vulnerabilidad o utilizar malware. En ocasiones solo necesita utilizar los permisos que ya tiene de una forma que la organización nunca esperaba.

Por eso proteger el perímetro sigue siendo imprescindible, pero asumir que todo lo que ocurre detrás de él es legítimo hace tiempo que dejó de ser suficiente.

La pregunta ya no debería ser únicamente:

  • ¿Quién está intentando entrar?


También deberíamos preguntarnos:

  • ¿Qué están haciendo los que ya están dentro?


En 4ELITECH podemos ayudarte a responderla.

Insider Threats, la amenaza no siempre está en el acceso, sino en lo que ocurre después de obtenerlo.

Podemos ayudarte

La entrada Insider Threats, de la confianza al comportamiento anómalo se publicó primero en 4Elitech.

]]> ISO 9001 e ISO 14001 se renuevan en 2026: Sistemas de gestión preparados para un nuevo contexto empresarial https://4elitech.com/iso-9001-iso-14001-2026/ Thu, 13 Aug 2026 07:02:53 +0000 https://4elitech.com/?p=44353 2026 está siendo un año importante para los sistemas de gestión. Tras más de una década desde sus anteriores ediciones, dos de las normas ISO más implantadas a nivel internacional afrontan una nueva etapa: ISO 9001 e ISO 14001, relativas a la gestión de la calidad y la gestión ambiental. La nueva ISO 14001 fue […]

La entrada ISO 9001 e ISO 14001 se renuevan en 2026: Sistemas de gestión preparados para un nuevo contexto empresarial se publicó primero en 4Elitech.

]]>

2026 está siendo un año importante para los sistemas de gestión. Tras más de una década desde sus anteriores ediciones, dos de las normas ISO más implantadas a nivel internacional afrontan una nueva etapa: ISO 9001 e ISO 14001, relativas a la gestión de la calidad y la gestión ambiental.

La nueva ISO 14001 fue publicada en abril, sustituyendo a la edición de 2015, mientras que la publicación de la nueva ISO 9001 está prevista para septiembre de 2026.

Pero estas revisiones no deben entenderse únicamente como una actualización documental. Reflejan un contexto empresarial muy diferente al de 2015: organizaciones más digitalizadas, cadenas de suministro más complejas, nuevas exigencias regulatorias y una creciente exposición a riesgos tecnológicos, ambientales y operacionales.

En este escenario, calidad, sostenibilidad, continuidad y ciberseguridad están cada vez más conectadas.

2026 está siendo un año importante para los sistemas de gestión. Tras más de una década desde sus anteriores ediciones, dos de las normas ISO más implantadas a nivel internacional afrontan una nueva etapa: ISO 9001 e ISO 14001, relativas a la gestión de la calidad y la gestión ambiental.

La nueva ISO 14001 fue publicada en abril, sustituyendo a la edición de 2015, mientras que la publicación de la nueva ISO 9001 está prevista para septiembre de 2026.

Pero estas revisiones no deben entenderse únicamente como una actualización documental. Reflejan un contexto empresarial muy diferente al de 2015: organizaciones más digitalizadas, cadenas de suministro más complejas, nuevas exigencias regulatorias y una creciente exposición a riesgos tecnológicos, ambientales y operacionales.

En este escenario, calidad, sostenibilidad, continuidad y ciberseguridad están cada vez más conectadas.

ISO 14001: 2026, de gestionar impactos a demostrar resultados

La nueva ISO 14001 mantiene la esencia del modelo de gestión ambiental que conocemos, pero refuerza su adaptación a los retos ambientales actuales.

ISO destaca especialmente una mayor alineación con cuestiones como el cambio climático, la biodiversidad y la eficiencia en el uso de los recursos, junto con un mayor énfasis en el liderazgo, la gobernanza y la consideración de los impactos a lo largo de las operaciones y de la cadena de valor.

La filosofía que subyace en esta revisión es clara: ya no es suficiente con disponer de compromisos ambientales. Las organizaciones deben ser capaces de convertirlos en resultados medibles y demostrar su desempeño ambiental.

Esto implica reforzar aspectos como:

  • La identificación del contexto y de los riesgos ambientales que pueden afectar a la organización.
  • La consideración del cambio climático dentro de la estrategia empresarial.
  • La gestión de los impactos asociados a proveedores y cadenas de valor.
  • La eficiencia en el consumo de recursos.
  • El establecimiento de objetivos e indicadores que permitan demostrar mejoras reales.
  • Una mayor integración de la gestión ambiental en la toma de decisiones.

La digitalización también juega aquí un papel relevante. Cada vez más organizaciones dependen de plataformas, sensores IoT, sistemas de monitorización, soluciones cloud o herramientas de análisis de datos para controlar consumos, emisiones, residuos o indicadores ambientales.

Y cuanto mayor es esa dependencia tecnológica, mayor es también la necesidad de garantizar la disponibilidad, integridad y fiabilidad de la información utilizada para tomar decisiones ambientales.

ISO 9001: 2026: calidad en organizaciones cada vez más digitales

La revisión de ISO 9001 llega también en un momento en el que el concepto de calidad ha evolucionado.

Las organizaciones actuales dependen de aplicaciones, proveedores tecnológicos, servicios cloud, automatizaciones, datos e inteligencia artificial para prestar sus servicios. Por tanto, garantizar la calidad de un producto o servicio implica cada vez más gestionar adecuadamente todo ese ecosistema.

La nueva edición busca mantener la norma alineada con las necesidades empresariales actuales y con las expectativas cambiantes de clientes y otras partes interesadas.

Esto refuerza una idea que desde GRC consideramos fundamental: la gestión de riesgos no puede realizarse de forma aislada.

Un incidente de ciberseguridad puede convertirse rápidamente en un problema de calidad.

Una indisponibilidad de los sistemas puede impedir prestar un servicio al cliente.

Una alteración o pérdida de información puede afectar a la fiabilidad de un proceso.

Un fallo de un proveedor tecnológico puede comprometer los niveles de servicio.

Y una utilización inadecuada de tecnologías emergentes, incluida la inteligencia artificial, puede introducir nuevos riesgos en los procesos de negocio.

La calidad, por tanto, ya no depende únicamente de cómo esté diseñado un proceso, sino también de la resiliencia y seguridad del entorno tecnológico que lo soporta.

Calidad, medioambiente y ciberseguridad, tres ámbitos cada vez más conectados

La evolución de ISO 9001 e ISO 14001 encaja dentro de una tendencia mucho más amplia: las organizaciones necesitan abandonar una gestión basada en silos.

Un mismo riesgo puede tener consecuencias en diferentes ámbitos.

Pensemos, por ejemplo, en una empresa industrial cuyo sistema de monitorización energética deja de estar disponible como consecuencia de un incidente de ciberseguridad. 

Cibermiau exponiendo sobre GRC

La evolución de ISO 9001 e ISO 14001 encaja dentro de una tendencia mucho más amplia: las organizaciones necesitan abandonar una gestión basada en silos.

Un mismo riesgo puede tener consecuencias en diferentes ámbitos.

Pensemos, por ejemplo, en una empresa industrial cuyo sistema de monitorización energética deja de estar disponible como consecuencia de un incidente de ciberseguridad. 

El mismo evento puede afectar a la continuidad de la actividad, al cumplimiento de objetivos ambientales, a la calidad del servicio y a la disponibilidad de información necesaria para demostrar el cumplimiento normativo.

Lo mismo ocurre con los proveedores. Actualmente, evaluar a un proveedor crítico puede requerir analizar simultáneamente su capacidad para cumplir los requisitos de calidad, sus compromisos ambientales, su continuidad operativa y las garantías de seguridad aplicadas sobre nuestra información.

Por este motivo, marcos como ISO 9001, ISO 14001, ISO/IEC 27001 o ISO 22301 tienen cada vez más sentido cuando se gestionan de forma integrada.

Todos ellos comparten elementos fundamentales: análisis del contexto, identificación de riesgos y oportunidades, liderazgo, objetivos, indicadores, gestión de proveedores, control operacional, auditoría y mejora continua.

El papel de GRC en este nuevo escenario

En 4Elitech entendemos GRC precisamente desde esta perspectiva transversal.

La ciberseguridad no empieza y termina en la tecnología. Un sistema de gestión sólido debe conectar los riesgos tecnológicos con los objetivos de negocio, los requisitos regulatorios, la continuidad, la calidad y, cada vez más, la sostenibilidad.

La evolución de ISO 9001 e ISO 14001 ofrece a las organizaciones una buena oportunidad para revisar sus sistemas actuales y preguntarse no solo si cumplen los nuevos requisitos, sino si realmente están preparados para el contexto en el que operan.

Para las empresas que ya disponen de diferentes certificaciones, esta revisión puede ser además un buen momento para avanzar hacia sistemas de gestión más integrados, evitando duplicidades y estableciendo una visión común sobre riesgos, controles, indicadores, auditorías y mejora continua.

¿Qué deberían hacer ahora las organizaciones certificadas?

Las organizaciones certificadas en ISO 14001:2015 ya pueden comenzar a analizar las diferencias respecto a ISO 14001:2026 y planificar su transición. ISO señala que las organizaciones certificadas deberán adaptarse a la nueva edición dentro del periodo de transición establecido, normalmente asociado al ciclo de certificación.

En el caso de ISO 9001, mientras se completa la publicación de la nueva edición prevista para septiembre de 2026, las organizaciones pueden empezar a prepararse revisando su contexto, riesgos, procesos, proveedores y grado de dependencia tecnológica.

No se trata de rehacer desde cero los sistemas de gestión existentes.

Se trata de aprovechar la transición para preguntarse algo más importante:

¿Nuestro sistema de gestión refleja realmente cómo funciona y dónde están los riesgos de nuestra organización en 2026?

Porque calidad, sostenibilidad y ciberseguridad pueden parecer disciplinas diferentes, pero actualmente comparten un mismo objetivo: construir organizaciones más fiables, resilientes y preparadas para gestionar el riesgo.

Las normas evolucionan. La forma de gestionar también.

Podemos ayudarte

La entrada ISO 9001 e ISO 14001 se renuevan en 2026: Sistemas de gestión preparados para un nuevo contexto empresarial se publicó primero en 4Elitech.

]]> HalluSquatting: La IA instalando malware https://4elitech.com/hallusquatting-ia-paquetes-maliciosos/ Thu, 16 Jul 2026 06:48:45 +0000 https://4elitech.com/?p=44319 Un desarrollador pregunta a un asistente de inteligencia artificial qué librería puede utilizar para realizar una tarea concreta. La IA recomienda un paquete con un nombre convincente, explica su funcionamiento y proporciona el comando de instalación: pip install paquete-inventado El comando funciona. Sin embargo, la librería nunca había existido originalmente. El modelo había inventado el […]

La entrada HalluSquatting: La IA instalando malware se publicó primero en 4Elitech.

]]>

Un desarrollador pregunta a un asistente de inteligencia artificial qué librería puede utilizar para realizar una tarea concreta.

La IA recomienda un paquete con un nombre convincente, explica su funcionamiento y proporciona el comando de instalación:

pip install paquete-inventado

El comando funciona. Sin embargo, la librería nunca había existido originalmente.

El modelo había inventado el nombre y un atacante, tras detectar esa alucinación, lo había registrado en un repositorio público para distribuir código malicioso.

Este tipo de ataque se conoce como HalluSquatting.

¿Qué es el HalluSquatting?

El término combina dos conceptos:

  • Hallucination: cuando una inteligencia artificial genera información falsa o inexistente y la presenta como si fuera correcta.
  • Squatting: cuando alguien registra un nombre antes que otros para aprovecharse de quienes intenten utilizarlo.

 

El HalluSquatting consiste en identificar nombres de paquetes, repositorios, dominios u otros recursos inventados por una IA y registrarlos antes de que un usuario o un agente vuelva a recibir la misma recomendación.

Cuando el ataque afecta específicamente a paquetes de software, también puede denominarse slopsquatting.

Una recomendación convincente puede ser falsa

Los modelos de lenguaje generan respuestas a partir de patrones y probabilidades. No siempre verifican que cada paquete o herramienta mencionada exista realmente.

Por eso pueden producir nombres que parecen legítimos: siguen las convenciones habituales, encajan con la tarea y aparecen acompañados de ejemplos de código aparentemente correctos.

El problema es que la calidad de la explicación puede generar una confianza que no procede de una comprobación real.

Un atacante puede realizar numerosas consultas, recopilar los nombres inventados que se repiten y registrar aquellos con más posibilidades de volver a ser recomendados.

La siguiente persona que reciba la sugerencia ya no encontrará un error indicando que el paquete no existe. Encontrará un recurso disponible, con documentación y un comando de instalación funcional.

Un riesgo para la cadena de suministro

El HalluSquatting no es solo un problema de precisión de la inteligencia artificial.

Una recomendación incorrecta puede provocar la incorporación de una dependencia maliciosa a un proyecto, un pipeline de integración continua, una imagen de contenedor o un entorno corporativo.

El ataque aprovecha una cadena de confianza:

  1. El usuario confía en el asistente.
  2. El asistente genera un nombre plausible.
  3. El repositorio confirma que el paquete existe.
  4. El sistema permite instalarlo.

Cada paso parece legítimo por separado, pero nadie ha comprobado el origen real del recurso.

HalluSquatting y typosquatting

En el typosquatting, el atacante registra una variante de un paquete legítimo para aprovechar un error al escribir su nombre.

En el HalluSquatting, el usuario no necesita equivocarse. Es la propia IA la que inventa un identificador inexistente y lo presenta como válido.

El atacante no espera una errata humana, sino que el modelo vuelva a recomendar el mismo nombre en futuras conversaciones.

El riesgo aumenta con los agentes autónomos

El peligro es mayor cuando la IA no se limita a recomendar un paquete, sino que puede buscarlo, descargarlo, instalarlo y ejecutarlo automáticamente.

Un desarrollador que copia un comando todavía tiene una oportunidad para revisar el recurso. Un agente autónomo puede completar todo el proceso sin supervisión.

Por eso, además de evaluar la precisión del modelo, es necesario controlar:

  • Qué herramientas puede utilizar.
  • Qué comandos puede ejecutar.
  • A qué sistemas y credenciales tiene acceso.
  • Qué acciones requieren aprobación humana.

La autonomía debe ir acompañada de controles proporcionales a su capacidad de actuación.

La confianza también necesita controles

El HalluSquatting demuestra que la superficie de ataque de la inteligencia artificial no se limita al modelo.

También incluye las decisiones tomadas a partir de sus respuestas, las herramientas conectadas y los permisos concedidos.

Una alucinación puede ser un error menor dentro de una conversación. Puede convertirse en una amenaza cuando provoca la instalación de un paquete, la descarga de un repositorio o la ejecución de código externo.

La pregunta ya no es únicamente si una inteligencia artificial puede equivocarse.

La pregunta es qué ocurre después de que se equivoca.

En 4Elitech ayudamos a las organizaciones a analizar los riesgos asociados al uso de asistentes y agentes de inteligencia artificial, proteger sus entornos de desarrollo y establecer controles que permitan aprovechar estas tecnologías con seguridad, trazabilidad y gobierno.

No toda recomendación de
la IA es segura

Podemos ayudarte

La entrada HalluSquatting: La IA instalando malware se publicó primero en 4Elitech.

]]> Ciberseguridad proactiva: Filtrado de URLs y protección de endpoints https://4elitech.com/ciberseguridad-proactiva-filtrado-de-urls-y-proteccion-de-endpoints/ Mon, 29 Jun 2026 16:10:34 +0000 https://4elitech.com/?p=44216 Cómo las soluciones modernas bloquean las amenazas antes de que el empleado tenga la oportunidad de hacer clic. Durante años, la estrategia dominante en ciberseguridad corporativa fue reactiva: detectar la amenaza, contenerla y remediar el daño. Hoy ese enfoque ya no es suficiente. El coste medio de una brecha de seguridad supera ampliamente los beneficios […]

La entrada Ciberseguridad proactiva: Filtrado de URLs y protección de endpoints se publicó primero en 4Elitech.

]]>

Cómo las soluciones modernas bloquean las amenazas antes de que el empleado tenga la oportunidad de hacer clic.

Durante años, la estrategia dominante en ciberseguridad corporativa fue reactiva: detectar la amenaza, contenerla y remediar el daño. Hoy ese enfoque ya no es suficiente. El coste medio de una brecha de seguridad supera ampliamente los beneficios de invertir en prevención, y los atacantes lo saben bien.

La pregunta relevante ha dejado de ser «¿cómo respondemos cuando algo falla?» para convertirse en «¿cómo evitamos que algo falle?». Aquí es donde el Filtrado de URLs y protección de endpoints cobran un protagonismo que va más allá de ser simples capas de defensa perimetral.

"El vector de ataque más común sigue siendo el más humano:
Un enlace convincente, en el momento equivocado, a la persona adecuada.”

Los ciberdelincuentes continúan aprovechando el error humano mediante campañas de phishing, enlaces fraudulentos y sitios web maliciosos. Una única interacción puede comprometer un dispositivo y abrir la puerta a un incidente de seguridad con consecuencias importantes para la organización.

Cómo funciona el filtrado de URLs

El filtrado de URLs actúa como un guardia de tráfico inteligente entre el empleado y la web. Antes de que una petición de red llegue a su destino, la solución evalúa la reputación del dominio, el historial del sitio, su categoría y cualquier indicador de compromiso conocido. Si el análisis detecta riesgo, la conexión se bloquea automáticamente, sin intervención humana y sin que el usuario haya podido cometer ningún error.

Esto es especialmente crítico en entornos de trabajo remoto e híbrido. Un dispositivo conectado desde casa o desde una red pública es un endpoint que opera fuera del perímetro tradicional. La protección ya no puede depender del firewall corporativo; debe residir en el propio dispositivo.

La prevención como primera línea de defensa

Las plataformas de protección de endpoints actuales integran estos controles de forma nativa: combinan análisis de comportamiento, inteligencia de amenazas en tiempo real y bloqueo proactivo de URLs maliciosas en una única capa de seguridad. No se trata de añadir herramientas, sino de adoptar una arquitectura donde la prevención es el primer nivel de respuesta, no el último recurso.

«Proteger el endpoint es proteger la identidad, los datos y la continuidad del negocio al mismo tiempo.»

¿Tu empresa ya ha dado el paso hacia una ciberseguridad proactiva?

En 4Elitech ayudamos a las organizaciones a implantar soluciones de protección de endpoints y filtrado de URLs que reducen la superficie de ataque y mejoran la seguridad desde el primer clic.

"Proteger el endpoint es proteger la identidad, los datos y la continuidad del negocio al mismo tiempo."

Podemos ayudarte

La entrada Ciberseguridad proactiva: Filtrado de URLs y protección de endpoints se publicó primero en 4Elitech.

]]>