OpoSERGASEl tema de seguridad informática de la parte específica del programa de Técnico especialista en Sistemas y Tecnologías de la Información (C1) del SERGAS recoge autenticación, integridad, confidencialidad, disponibilidad, rastreabilidad y análisis y gestión de riesgos (tema 20 del programa publicado en el DOG núm. 126 de 05/07/2021, Anexo II, al que remite el DOG núm. 141 de 24/07/2025); el malware y las amenazas persistentes avanzadas tienen su propio tema, el 21. Las dudas típicas: cuántas dimensiones hay, amenaza frente a vulnerabilidad, autenticación frente a autorización, por qué el segundo factor no es «dos contraseñas» y cuándo un ataque es de ingeniería social.
Cómo cae este tema en el examen
Tenemos más de 60 preguntas de este tema en el banco de OpoSERGAS. De ellas, 28 proceden de exámenes oficiales y están clasificadas en este tema: 6 del examen de la parte específica de la OPE 2025 (con plantilla provisional, a la espera de la definitiva) y 22 de otros exámenes oficiales de TI incluidos en el banco (TI Superior A1 y TI Xestión A2, de marzo y septiembre de 2025 y junio de 2026).
De las más de 900 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 19,8 % fueron fallos. Las que se fallan suelen ser de matiz: confundir confidencialidad con autenticidad o creer que un cortafuegos frena un correo de phishing. Salen tres tipos de pregunta: definir una dimensión de seguridad, identificar la dimensión que vulnera un incidente descrito en dos líneas, y reconocer el tipo de ataque o de malware por su comportamiento.
¿Cuántas dimensiones de seguridad hay: tres o cinco?
Depende de la norma que te pregunten: la tríada clásica CIA tiene tres (confidencialidad, integridad, disponibilidad) y el Esquema Nacional de Seguridad (ENS) tiene cinco. El Anexo I del Real Decreto 311/2022 enumera como dimensiones la confidencialidad [C], la integridad [I], la trazabilidad [T], la autenticidad [A] y la disponibilidad [D]. El programa del SERGAS habla de autenticación, integridad, confidencialidad, disponibilidad y rastreabilidad (lo que el ENS llama trazabilidad), así que conviene dominar las cinco.
Si el enunciado dice «según el ENS», contesta con cinco; si dice «tríada CIA», con tres. Tenemos una ficha corta de la tríada en la ficha de la tríada CIA, y el análisis de riesgos con las dimensiones está desarrollado en nuestra guía de MAGERIT y dimensiones.
| Dimensión | Pregunta que responde | Incidente típico |
|---|---|---|
| Confidencialidad [C] | ¿Solo accede quien debe? | Un administrativo consulta historias clínicas que no le corresponden |
| Integridad [I] | ¿La información es exacta y no ha sido alterada sin permiso? | Alguien modifica una cifra de laboratorio en la base de datos |
| Trazabilidad [T] | ¿Se puede saber quién hizo qué y cuándo? | No hay registros de acceso y no se puede reconstruir un incidente |
| Autenticidad [A] | ¿Quien dice ser, lo es? ¿El origen es genuino? | Un correo que simula ser del jefe de servicio |
| Disponibilidad [D] | ¿Se puede usar cuando hace falta? | Un ataque DDoS tumba el portal de citas |
¿Qué diferencia hay entre amenaza, vulnerabilidad y riesgo?
La amenaza es lo que puede causar daño, la vulnerabilidad es la debilidad que permite que lo cause y el riesgo es la combinación de ambas valorada por su probabilidad y su impacto. Un ejemplo: el ransomware es una amenaza; un servidor sin parchear que expone un servicio es la vulnerabilidad; y el riesgo es la probabilidad de que ese ransomware entre por ahí junto con el daño que haría. En el examen suele aparecer una frase como «una debilidad de un sistema que puede ser explotada» y la respuesta correcta es vulnerabilidad, no amenaza.
¿Autenticación y autorización son lo mismo?
No. La autenticación comprueba quién eres; la autorización decide qué puedes hacer una vez identificado. Entrar con usuario y contraseña es autenticación; que tu perfil te deje ver una carpeta es autorización. En el ENS las medidas de control de acceso se agrupan en el marco operacional (op.acc), y el mecanismo de autenticación de los usuarios de la organización es la medida op.acc.6.
¿Un segundo factor es poner dos contraseñas?
No: el doble factor combina dos categorías distintas de credencial. Las categorías clásicas son algo que sabes (contraseña, PIN), algo que tienes (una tarjeta, un dispositivo, un código de un solo uso) y algo que eres (huella, rostro). El refuerzo R2 de la medida op.acc.6 del ENS lo expresa así: contraseña más un segundo factor, que puede ser «algo que se tiene», como un dispositivo o una contraseña de un solo uso (OTP), o «algo que se es». Dos contraseñas siguen siendo dos cosas que sabes. Además, el refuerzo R8 de esa misma medida exige doble factor para el acceso desde o a través de zonas no controladas, como Internet.
¿Cuándo es ingeniería social y cuándo es un ataque técnico?
Es ingeniería social cuando el ataque engaña a la persona y no a la máquina. El phishing lo hace por correo, el smishing por SMS y el vishing por llamada telefónica; en todos el atacante suplanta a alguien de confianza para que la víctima entregue credenciales o ejecute algo. Un cortafuegos no lo detiene por sí solo: la defensa es la formación y verificar por otro canal. En cambio, una inyección SQL o un XSS son ataques técnicos contra una aplicación web. El ENS pide en la medida mp.s.2 prevenir ataques de inyección de código y de cross site scripting en los servicios web.
¿Qué diferencia hay entre DoS y DDoS, y qué dimensión afecta?
Un DoS procede de un único origen y un DDoS de muchos a la vez; en ambos casos se vulnera la disponibilidad. El ENS les dedica la medida mp.s.4, que habla de «ataques de denegación de servicio y denegación de servicio distribuido (DoS y DDoS)», exige dotar al sistema de capacidad suficiente y desplegar tecnologías para prevenir los ataques conocidos, y se aplica según el nivel de la dimensión disponibilidad: no aplica en nivel bajo, se aplica en medio y, en alto, con refuerzo de detección y reacción.
¿Virus, gusano y troyano son lo mismo?
No, y la clave para distinguirlos es cómo llegan y cómo se extienden: el virus depende de que alguien abra el fichero al que va unido, el gusano salta de un equipo a otro por la red sin intervención humana y el troyano entra porque el usuario lo instala creyendo que es software útil. El ransomware (cifra los datos para pedir un rescate) y el spyware (recoge información a escondidas) se definen por lo que hacen, no por cómo se propagan, así que un mismo programa puede ser a la vez gusano y ransomware. Es materia del tema 21 del programa. El resumen del malware y de los cortafuegos está en esta guía de malware y firewall, y el ransomware en un hospital, con los plazos de notificación, en ransomware y notificación a la AEPD y al CCN-CERT. Como ejemplo de vulnerabilidad crítica, el boletín MS17-010 de Microsoft corrige fallos en SMBv1 que permitían ejecución remota de código.
Truco para recordarlo
Para las cinco dimensiones del ENS puedes usar la frase inventada «Cinco Indios Tienen Aventuras Diarias»: Confidencialidad, Integridad, Trazabilidad, Autenticidad, Disponibilidad. No es una sigla oficial. Para el doble factor: «saber, tener, ser», y los dos factores deben ser de categorías distintas.
Tres preguntas tipo test para practicar
1. Un empleado pulsa un enlace de un correo que imita a la intranet y escribe allí su contraseña. ¿Qué tipo de ataque es?
- Denegación de servicio distribuida.
- Phishing.
- Inyección SQL.
- Cross site scripting contra el servidor.
Respuesta: B. Es phishing, una técnica de ingeniería social por correo. La A afectaría a la disponibilidad, no a una credencial; la C y la D son ataques técnicos contra una aplicación web, y aquí el engaño recae en la persona.
2. Un atacante modifica sin autorización el importe de una factura almacenada en la base de datos. ¿Qué dimensión se ha vulnerado principalmente?
- Confidencialidad.
- Disponibilidad.
- Integridad.
- Trazabilidad.
Respuesta: C. Se ha alterado el dato, que es integridad. La A se habría vulnerado si alguien solo hubiera leído la factura; la B, si el sistema hubiera quedado inaccesible; la D se refiere a poder reconstruir quién hizo qué, que sería otra cuestión.
3. ¿Cuál de estas combinaciones es un auténtico doble factor de autenticación?
- Contraseña y pregunta secreta.
- Contraseña y PIN.
- Tarjeta con certificado y PIN.
- Dos contraseñas distintas.
Respuesta: C. La tarjeta es «algo que se tiene» y el PIN «algo que se sabe». Las demás combinan dos cosas de la misma categoría (conocimiento).
Preguntas frecuentes
¿Cuántas dimensiones de seguridad recoge el ENS?
Cinco: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad (Anexo I del Real Decreto 311/2022).
¿Un cortafuegos protege del phishing?
No por sí solo: el phishing engaña a la persona. La defensa principal es la formación, la verificación del remitente y el doble factor.
¿Un DDoS afecta a la confidencialidad?
No. Un DDoS vulnera la disponibilidad: el servicio deja de estar accesible, pero no se leen ni se alteran los datos.
Referencias
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, Anexo I (dimensiones) y Anexo II (medidas op.acc.6, mp.s.2 y mp.s.4): BOE-A-2022-7191.
- Programa de la parte específica, Técnico especialista Sistemas y TI: Anexo II del DOG núm. 126 de 05/07/2021, al que remite el DOG núm. 141 de 24/07/2025.
- Microsoft, Boletín de seguridad MS17-010.
Practica estas preguntas en la preparación de Técnico de Sistemas TI, repasa el siguiente bloque en DMZ, WAF y proxy inverso o empieza desde el registro.