En prototipo
Plataforma de estado de seguridad
Un panel pensado para que la dirección o la coordinación TIC sepan en todo momento cómo está la seguridad del centro y qué tienen que arreglar. Hoy es un prototipo: esta página explica cómo está planteado.
Qué es
La plataforma revisará la configuración de seguridad del centro y la presentará en un panel sin tecnicismos: una puntuación global, un semáforo por áreas y una lista de problemas ordenados por gravedad, cada uno con los pasos para resolverlo.
Está pensada para centros que no tienen personal técnico de ciberseguridad. La idea es que el centro sepa dónde está, decida qué arreglar primero y pida ayuda experta solo cuando la necesite.
Qué revisa
La plataforma agrupa sus comprobaciones en seis áreas.
- Correo
- Los tres ajustes del dominio que protegen el correo frente a la suplantación: SPF, DKIM y DMARC. Bien configurados, hacen mucho más difícil que alguien envíe mensajes haciéndose pasar por el centro.
- Web
- Si la web del centro usa conexión segura (HTTPS, el candado del navegador) y las cabeceras de seguridad recomendadas, que son instrucciones que la web da al navegador para protegerse de ciertos ataques.
- Dominio
- Quién puede emitir certificados de seguridad para el dominio del centro (registro CAA), qué información del centro está expuesta en internet y si han aparecido contraseñas del centro filtradas.
- Cuentas
- Si las cuentas tienen activada la verificación en dos pasos (además de la contraseña, un código en el móvil), si hay más administradores de los necesarios, si siguen activas cuentas de personas que ya no están en el centro y si hay archivos compartidos fuera del centro.
- Equipos
- Si los ordenadores tienen las actualizaciones al día, antivirus y el disco cifrado, de modo que la información quede protegida aunque el equipo se pierda.
- Copias de seguridad
- Si el centro tiene copias de seguridad y si se están haciendo con regularidad.
Niveles de conexión
El centro decide hasta dónde conecta la plataforma. Cada nivel añade información al anterior.
- Nivel 1 · Solo el dominio
- No se instala nada. Se revisa únicamente la información pública del dominio del centro. Es el nivel que se usa en el análisis del piloto.
- Nivel 2 · Google Workspace o Microsoft 365
- El centro concede permisos de solo lectura sobre su entorno de Google o de Microsoft. La plataforma puede ver la configuración de las cuentas, pero no cambiar nada.
- Nivel 3 · Agente en los equipos
- Un pequeño programa instalado en los ordenadores del centro revisa sus actualizaciones, el antivirus y el cifrado.
| Área | Nivel necesario |
|---|---|
| Correo | Nivel 1 (solo el dominio) |
| Web | Nivel 1 (solo el dominio) |
| Dominio | Nivel 1 (solo el dominio) |
| Cuentas | Nivel 2 (Google Workspace o Microsoft 365) |
| Equipos | Nivel 3 (agente en los equipos) |
| Copias de seguridad | [por confirmar] |
Qué verá el centro
Ejemplo ilustrativo con datos ficticios del panel de un centro inventado, llamado «Centro de ejemplo». Puntuación global de ejemplo: 70 sobre 100. Estado por áreas: correo, atención; web, bien; dominio, bien; cuentas, grave; equipos, atención; copias de seguridad, bien. Problemas por resolver: uno grave, en cuentas: dos cuentas de administración sin verificación en dos pasos; uno de atención, en correo: cualquiera podría enviar correos haciéndose pasar por el centro; y uno de atención, en equipos: cuatro ordenadores de secretaría sin actualizaciones desde hace más de un mes. Cada problema muestra cómo arreglarlo y los botones «Pedir ayuda» y «Marcar como resuelto», que en este ejemplo no funcionan.
Centro de ejemplo
70/100Puntuación de ejemplo
- CorreoAtención
- WebBien
- DominioBien
- CuentasGrave
- EquiposAtención
- Copias de seguridadBien
Problemas por resolver
Grave · Cuentas
Dos cuentas de administración no tienen activada la verificación en dos pasos.
Cómo arreglarlo: Activa en esas cuentas la verificación en dos pasos, para que además de la contraseña pidan un código en el móvil.
Atención · Correo
Cualquiera podría enviar correos haciéndose pasar por el centro.
Cómo arreglarlo: Pide a quien gestiona el dominio que active DMARC, el ajuste que indica qué hacer con los correos falsos que usan el nombre del centro.
Atención · Equipos
Cuatro ordenadores de secretaría llevan más de un mes sin instalar actualizaciones.
Cómo arreglarlo: Instala las actualizaciones pendientes y activa las automáticas.
El panel reunirá en una sola pantalla:
- Una puntuación global y un semáforo por áreas, siempre con icono y palabra (Bien, Atención, Grave).
- Los problemas ordenados por gravedad, con los pasos para resolverlos.
- La evolución en el tiempo, para comprobar si el centro mejora.
- En cada problema, un botón «Pedir ayuda» y otro «Marcar como resuelto».
Además, la plataforma enviará alertas si detecta una cuenta comprometida, contraseñas filtradas o equipos sin protección.
La forma de calcular la puntuación todavía está en desarrollo; la cifra del ejemplo es solo ilustrativa.
Detecta y avisa
Detecta y avisa. Corregir es cosa del centro, salvo que lo encargue.
La plataforma detectará los problemas y avisará de ellos, pero no los corregirá por su cuenta. Corregirlos es responsabilidad del centro, salvo que encargue la corrección a Adilas Solutions.
Ninguna herramienta puede garantizar que no haya nunca un problema. Lo que sí permite es que el centro sepa dónde está y actúe a tiempo.
Ayuda bajo demanda y brechas de datos
- Ayuda bajo demanda
- Cuando la plataforma esté disponible, el centro podrá pedir ayuda desde el propio panel si no puede o no sabe resolver un problema.
- Brechas de datos
- Una brecha es un incidente en el que datos personales se pierden, se roban o quedan expuestos. El apoyo previsto cubre tres momentos: contener el problema, recuperar la normalidad y preparar la notificación a la Agencia Española de Protección de Datos (AEPD).
- Plazo de notificación
- Si la brecha debe notificarse, el plazo es de 72 horas desde que el centro tiene conocimiento de ella. Notificar es obligación del centro.
Adilas Solutions ayuda al centro a cumplir el RGPD (el reglamento europeo de protección de datos); no sustituye sus obligaciones.
Estado actual
La plataforma está en fase de prototipo. Se ha probado con un análisis real y pasivo de un dominio educativo público, elegido solo como ejemplo y sin relación con el proyecto, pero aún no se ofrece como servicio.
Hoy lo único que Adilas Solutions ofrece es el análisis externo gratuito del piloto, que corresponde al nivel 1.