Curso de Ciberseguridad para Usuarios de la Administración Pública

Introducción a OWAS

Tipos de ataques más comunes

Ataques de Contraseña

Ataques por Fuerza Bruta y Enumeración

Ataques DoS (Denegación de Servicio)

Ataques DDoS (Denegación de Servicio Distribuido)

Ataques de Secuestro de Sesión

Ataques de evasión de Cortafuegos

Perimetrales: HIDS e IPS

Introducción a los ataques a aplicaciones web

Introducción a OWASP

OWASP Top 10

Introducción a Burp Suite

Introducción a BloodHound

Fuzzing de contenidos

Control de sesiones en aplicaciones web: Cookies y Tokens

Arquitectura de aplicaciones web y sus vulnerabilidades

Inyección de SQL

Inyección de Comandos

Cross-Site Scripting (XSS)

Cross-Site Request Forgery (CSRF)

Server-Side Request Forgery (SSRF)

Ataques LFI

Ataques XXe

Ataques de Subida de Ficheros: Unrestricted File Upload

Ataques de Open Redirect

Ataques RFI

Ataques SSTI

Ataques de Path Transversal

Las vulnerabilidades de aplicaciones más atacadas en la actualidad

Repositorios oficiales donde encontrar vulnerabilidades web conocidas: CVE y NVD

¿Qué son los exploits?

¿Qué es un metaexploit?

Principales usos de los exploits en la historia

¿Cómo se busca un exploit?

¿Qué es la Ingeniería social?

Conceptos fundamentales de la Ingeniería Social

Las fases de la Ingeniería Social

Ataques de phising

Ataques de Vishing

Ataques de Baiting

Ataques Quid pro quo

Ataques de Farming

Ataques de Tailgating

Ataques sitios Web

Ingeniería Social Wireless

Automatización de la Ingeniería Social

Filtraciones

Casos reales destacados de ataques a lo largo de la historia

Cómo enfrentarse y defenderse ante estos ataques

Creación de una Estrategia de Seguridad como herramienta para minimizar el riesgo

Qué es el bastionado de sistemas y aplicaciones

Cómo gestionar usuarios y grupos de usuarios en un sistema

Qué son los Roles y la importancia de los Permisos

Mecanismos de Autenticación más comunes:

Email y Contraseña

Tokens

Estándar JWT

Estándar Oauth

Estándar Oauth2

Doble Factor

Biometría

Llaves USB

Identificación de los distintos tipos de información con los que trabaja un usuario público: datos personales, documentos internos, expedientes, credenciales y comunicaciones.

Revisión de la diferencia entre información pública, información de trabajo e información que no debe circular fuera del circuito autorizado.

Análisis del riesgo que suponen los errores aparentemente pequeños, como reenviar un documento al destinatario equivocado o dejar un expediente abierto en pantalla.

Comprensión del valor de la información institucional, política, administrativa y ciudadana aunque no tenga apariencia “técnica”.

Trabajo sobre la necesidad de proteger tanto la confidencialidad como la integridad y la disponibilidad de la información.

Detección de situaciones donde el usuario subestima la sensibilidad del documento por costumbre o familiaridad.

Revisión de qué comportamientos elevan el riesgo de fuga de información sin que la persona sea plenamente consciente.

Identificación de los soportes donde puede residir la información sensible: correo, carpetas compartidas, descargas, USB, móvil o impresos.

Construcción de una mirada más prudente sobre qué información puede compartirse, imprimirse, enviarse o almacenarse.

Caso práctico de clasificación informal de riesgos sobre documentos y datos habituales de la Administración.

Comprensión del papel real de la contraseña como primer control de acceso y de por qué sigue siendo crítica en el puesto de usuario.

Revisión de los errores más frecuentes: reutilizar contraseñas, compartirlas, escribirlas en lugares inseguros o usar claves predecibles.

Trabajo sobre cómo crear contraseñas robustas y manejables sin depender de combinaciones imposibles de recordar.

Análisis del riesgo de usar la misma contraseña en servicios corporativos y personales.

Comprensión de cómo una contraseña comprometida puede abrir la puerta a correo, documentos y aplicaciones internas.

Revisión de hábitos inseguros como guardar contraseñas en documentos sin protección o comunicarlas por canales no adecuados.

Introducción al uso correcto de gestores de contraseñas cuando la organización los permite.

Detección de señales de que una cuenta puede haber quedado comprometida aunque el usuario aún conserve acceso.

Revisión de buenas prácticas de cambio, custodia y uso de credenciales en entornos administrativos.

Ejercicio práctico de refuerzo de hábitos sobre contraseñas y cuentas corporativas.

Comprensión de qué es la autenticación multifactor y de por qué supone una capa adicional de protección frente al robo de credenciales.

Revisión de los distintos factores de autenticación y de cómo encajan en el uso cotidiano del empleado público.

Trabajo sobre situaciones reales donde una contraseña robada no habría bastado si el segundo factor hubiera estado activo.

Identificación de errores de uso comunes, como aprobar notificaciones sin revisar o no proteger el móvil asociado.

Comprensión de la diferencia entre disponer de MFA y usarlo correctamente con atención y criterio.

Revisión de la importancia del móvil, la app autenticadora o el dispositivo físico como parte del acceso seguro.

Análisis de cómo proteger el segundo factor frente a pérdida, robo o uso compartido inadecuado.

Detección de mensajes o solicitudes que intentan engañar al usuario para que valide un acceso indebido.

Construcción de rutinas más seguras para acceso a aplicaciones sensibles y entornos con información crítica.

Simulación de escenarios de acceso con MFA y respuesta correcta ante intentos sospechosos.

Comprensión de la ingeniería social como ataque dirigido a la persona y no solo a la tecnología que utiliza.

Revisión detallada de cómo funcionan el phishing por correo, el smishing por SMS y el vishing por llamada o voz.

Identificación de señales típicas de engaño: urgencia artificial, petición de credenciales, enlaces dudosos, adjuntos inesperados o tono anómalo.

Trabajo sobre campañas dirigidas al sector público y sobre el riesgo especial de los correos que aparentan venir de compañeros, proveedores u organismos.

Análisis de por qué estos ataques siguen funcionando incluso en usuarios con experiencia digital.

Detección de pequeños detalles que ayudan a frenar un clic impulsivo antes de que sea demasiado tarde.

Revisión de cómo actuar ante mensajes sospechosos sin reenviarlos ni interactuar con ellos.

Construcción de un protocolo personal de verificación antes de abrir adjuntos, hacer clic o facilitar información.

Comprensión del riesgo reputacional e institucional de caer en fraudes de suplantación dirigidos a entidades públicas.

Simulación práctica de detección de mensajes fraudulentos en distintos canales.

Revisión de buenas prácticas para trabajar con correo corporativo sin convertirlo en una vía de entrada de malware o fuga de información.

Identificación de comportamientos inseguros como reenviar cadenas sin revisar, abrir adjuntos por inercia o responder a remitentes dudosos.

Trabajo sobre la verificación de destinatarios, dominios, adjuntos y contexto antes de enviar información sensible.

Análisis del riesgo de contestar correos fraudulentos aunque sea para “preguntar” o “rechazar” el mensaje.

Comprensión del valor del buzón corporativo como activo crítico del puesto y del daño que puede causar su compromiso.

Revisión de cómo reducir errores de envío a destinatarios equivocados o con copia innecesaria.

Detección de situaciones donde conviene escalar una duda antes de actuar desde el propio correo.

Construcción de hábitos de lectura más lentos y conscientes en mensajes urgentes o extraños.

Revisión del uso correcto de asuntos, adjuntos y reenvíos cuando se maneja información institucional.

Ejercicio práctico sobre revisión de correos problemáticos y toma de decisiones segura.

Comprensión de por qué un documento aparentemente normal puede convertirse en la vía de entrada de un incidente.

Revisión de los riesgos asociados a macros, archivos comprimidos, enlaces acortados y documentos inesperados.

Trabajo sobre cómo analizar el contexto de un adjunto antes de abrirlo, incluso cuando parece venir de un remitente conocido.

Identificación de señales que deben hacer detenerse al usuario antes de descargar o ejecutar nada.

Revisión de errores frecuentes al trabajar con documentos recibidos por correo, mensajería o descargas web.

Comprensión del riesgo que suponen los documentos enviados “para revisión urgente” o fuera del flujo habitual.

Construcción de un criterio simple para decidir cuándo abrir, cuándo contrastar y cuándo comunicar un posible problema.

Revisión de cómo manejar archivos de fuentes externas con especial prudencia.

Detección de situaciones donde el usuario normaliza comportamientos peligrosos por presión de tiempo o exceso de confianza.

Caso práctico sobre evaluación segura de adjuntos y enlaces en contexto administrativo.

Revisión de riesgos comunes al navegar desde equipos corporativos, incluso fuera de páginas aparentemente críticas.

Comprensión del peligro de descargar software, plantillas, documentos o extensiones desde sitios no verificados.

Trabajo sobre páginas falsas, suplantaciones de portales conocidos y ventanas emergentes engañosas.

Identificación de señales básicas de navegación insegura que cualquier usuario debería reconocer.

Revisión de hábitos adecuados para búsquedas, descargas y acceso a servicios desde el puesto de trabajo.

Comprensión del riesgo de introducir credenciales corporativas en páginas dudosas o fuera del circuito habitual.

Análisis del impacto de una mala práctica web sobre el equipo, la red o la cuenta del usuario.

Detección de errores comunes al trabajar con formularios online, herramientas gratuitas o recursos externos.

Construcción de una conducta más prudente cuando la tarea obliga a salir de entornos conocidos.

Ejercicio de lectura crítica de situaciones de navegación insegura.

Comprensión de que el ordenador, el portátil o el móvil corporativo forman parte de la superficie de seguridad de la organización.

Revisión de la importancia de mantener sistemas y aplicaciones actualizados para reducir vulnerabilidades conocidas.

Trabajo sobre hábitos inseguros como aplazar actualizaciones continuamente, instalar software no autorizado o desactivar medidas de protección.

Identificación de comportamientos que aumentan el riesgo sin que el usuario lo perciba como grave.

Revisión del uso correcto de bloqueo de pantalla, cierre de sesión y custodia física del dispositivo.

Comprensión del riesgo de dejar equipos desatendidos en despachos, salas, vehículos o espacios compartidos.

Trabajo sobre el uso correcto de cuentas corporativas y perfiles de usuario dentro del dispositivo.

Revisión de cómo actuar ante pérdida, robo, lentitud extraña o comportamientos anómalos del equipo.

Construcción de rutinas básicas de autoprotección del dispositivo en oficina, desplazamiento o teletrabajo.

Caso práctico de situaciones cotidianas de mal uso del equipo corporativo.

Revisión de los riesgos asociados al uso de móviles y tabletas para correo, mensajería, acceso a documentos y autenticación.

Comprensión del papel del dispositivo móvil como llave de acceso y como contenedor de información sensible.

Trabajo sobre el bloqueo del terminal, actualizaciones, instalación de aplicaciones y separación entre uso personal y profesional.

Identificación de los riesgos específicos del uso de mensajería, almacenamiento automático de archivos o visualización de documentos en movilidad.

Revisión de cómo proteger el terminal ante pérdida, robo o acceso por terceros.

Comprensión del impacto que puede tener un móvil comprometido sobre el correo y los accesos corporativos.

Trabajo sobre el uso prudente de Wi-Fi, Bluetooth, QR y redes móviles en desplazamientos.

Detección de hábitos inseguros normalizados, como compartir pantalla, dejar el móvil desbloqueado o reenviar documentos por canales no adecuados.

Construcción de una rutina básica de seguridad móvil aplicable al trabajo público.

Ejercicio práctico de revisión de escenarios de riesgo en movilidad.

Comprensión de que trabajar fuera del edificio no reduce la obligación de proteger la información ni de seguir pautas seguras.

Revisión de los riesgos típicos del teletrabajo en el sector público: redes inseguras, equipos compartidos, entornos no controlados y documentos visibles.

Trabajo sobre cómo proteger sesiones, accesos remotos y dispositivos cuando se trabaja desde casa o en desplazamiento.

Identificación de malas prácticas como imprimir documentación sensible sin control o dejar expedientes accesibles en entornos domésticos.

Revisión del uso prudente de redes Wi-Fi y de la necesidad de evitar conexiones de riesgo.

Comprensión de la importancia del doble factor, las actualizaciones y la protección del entorno remoto.

Trabajo sobre confidencialidad física del puesto, llamadas, videoconferencias y documentos en espacios no corporativos.

Detección de riesgos de convivencia entre uso personal y profesional de dispositivos o conexiones.

Construcción de una rutina segura para teletrabajo y movilidad.

Caso práctico sobre escenarios reales de teletrabajo inseguro y cómo corregirlos.

Comprensión de que la protección de datos no es solo una obligación jurídica de la organización, sino una práctica diaria del puesto.

Revisión de errores habituales en el manejo de datos personales: envíos incorrectos, exceso de difusión, pantallas visibles o almacenamiento descuidado.

Trabajo sobre minimización, necesidad de acceso y cuidado con la información especialmente sensible.

Identificación de situaciones en las que el usuario trata datos de ciudadanía sin la prudencia suficiente.

Revisión de cómo actuar ante peticiones dudosas de información, incluso cuando parecen venir de otra unidad o interlocutor legítimo.

Comprensión del daño que un error aparentemente pequeño puede causar a personas físicas y a la entidad pública.

Trabajo sobre la diferencia entre consultar información por necesidad del puesto y hacerlo por curiosidad o comodidad.

Detección de malas prácticas relacionadas con copias locales, descargas y compartición informal de documentos.

Construcción de una cultura de prudencia documental ligada a la función pública.

Ejercicio aplicado de decisiones correctas e incorrectas en tratamiento cotidiano de datos.

Revisión del riesgo que suponen los espacios compartidos de almacenamiento cuando no se usan con criterio.

Comprensión de la necesidad de ubicar los documentos en los entornos autorizados y no en ubicaciones improvisadas.

Trabajo sobre permisos, nombres de archivo, versiones y exposición accidental en carpetas comunes.

Identificación de errores frecuentes al compartir enlaces, descargar copias locales o duplicar documentos fuera del circuito.

Revisión del uso prudente de impresoras, bandejas de salida y destrucción segura de documentos en papel.

Comprensión del riesgo de dejar documentación visible en mesa, salas o zonas comunes.

Trabajo sobre cómo combinar orden documental y seguridad sin paralizar la actividad administrativa.

Detección de pequeñas negligencias físicas que siguen generando exposición de información sensible.

Construcción de hábitos seguros en almacenamiento, impresión, recogida y eliminación de documentos.

Caso práctico sobre gestión insegura de documentos físicos y digitales.

Comprensión del riesgo específico de memorias USB, discos externos y otros soportes portátiles en entornos públicos.

Revisión de cómo un soporte extraíble puede introducir malware o provocar fuga de información.

Trabajo sobre uso autorizado, procedencia del soporte y necesidad real de trasladar información fuera del sistema habitual.

Identificación de hábitos inseguros como usar dispositivos personales, compartir memorias entre personas o no controlar su contenido.

Revisión de cómo custodiar, etiquetar y utilizar soportes permitidos por la organización.

Comprensión del riesgo físico de pérdida o robo de dispositivos con documentación sensible.

Trabajo sobre alternativas más seguras cuando el usuario necesita mover información entre entornos.

Detección de situaciones donde el USB se usa por costumbre y no por necesidad real.

Construcción de un criterio claro para evitar el uso inseguro de soportes extraíbles.

Ejercicio práctico de decisiones sobre transferencia de información y soportes externos.

Revisión de los riesgos específicos de las reuniones virtuales en entornos institucionales y administrativos.

Comprensión de la importancia de controlar participantes, enlaces, grabaciones, pantallas compartidas y documentación mostrada.

Trabajo sobre cómo evitar exponer información sensible en reuniones telemáticas por descuido o falta de preparación.

Identificación de errores habituales como compartir el escritorio completo, mostrar notificaciones o abrir documentos no revisados.

Revisión del uso correcto de chat, grabación, reenvío de enlaces y acceso de personas externas.

Comprensión del riesgo de mantener reuniones en entornos físicos con poca privacidad.

Trabajo sobre pautas básicas para reuniones híbridas o remotas más seguras.

Detección de situaciones donde el usuario olvida que también la videoconferencia forma parte del entorno de seguridad.

Construcción de una rutina previa a reuniones sensibles para reducir errores.

Simulación de incidentes comunes en videollamadas y respuesta correcta.

Comprensión del riesgo que supone usar conexiones poco confiables para acceder a herramientas institucionales.

Revisión de por qué las redes públicas o abiertas elevan la exposición del usuario cuando trabaja con información sensible.

Trabajo sobre cómo conectarse de forma más segura en desplazamientos, sedes externas o teletrabajo.

Identificación de señales de red dudosa, portal falso o entorno poco confiable.

Revisión del papel de las actualizaciones y del MFA como apoyo al acceso seguro.

Comprensión de por qué una mala conexión no solo afecta a la confidencialidad, sino también a la integridad del trabajo.

Trabajo sobre hábitos prudentes al usar Wi-Fi fuera de la oficina.

Detección de errores comunes como conectarse por comodidad sin verificar contexto.

Construcción de una rutina mínima de comprobación antes de trabajar con aplicaciones corporativas.

Caso práctico de acceso inseguro desde movilidad y cómo corregirlo.

Comprensión de qué se considera incidente de seguridad desde la perspectiva del usuario no técnico.

Revisión de síntomas frecuentes: correos extraños enviados desde la propia cuenta, bloqueos, archivos cifrados, ventanas sospechosas o accesos no reconocidos.

Trabajo sobre la importancia de detectar rápido y no normalizar comportamientos anómalos del sistema.

Identificación de pequeños indicios que conviene comunicar aunque el usuario no tenga certeza de lo ocurrido.

Revisión del error habitual de seguir trabajando como si nada cuando ya existen señales claras de problema.

Comprensión de por qué la rapidez del aviso es clave para contener impacto.

Trabajo sobre qué información útil puede aportar el usuario al comunicar una incidencia.

Detección de situaciones donde el incidente empieza por un error humano menor y evoluciona rápido.

Construcción de una mirada más atenta al comportamiento del equipo, el correo y las aplicaciones.

Ejercicio práctico de reconocimiento de señales tempranas de incidente.

Revisión de la secuencia correcta de reacción cuando el usuario sospecha que ha hecho clic, abierto algo o detectado un comportamiento extraño.

Comprensión de por qué actuar deprisa no significa improvisar ni ocultar el error.

Trabajo sobre errores muy frecuentes: borrar evidencias, reiniciar sin criterio, seguir usando la cuenta comprometida o intentar “arreglarlo” sin apoyo.

Identificación de acciones inmediatas prudentes según el tipo de situación detectada.

Revisión del valor de comunicar pronto incluso cuando exista vergüenza, duda o miedo a reconocer el fallo.

Comprensión de que un incidente bien comunicado a tiempo suele ser mucho menos grave que uno ocultado durante horas.

Trabajo sobre cómo describir lo ocurrido sin tecnicismos y con información útil para los equipos de soporte o seguridad.

Detección de cuándo conviene desconectar, cuándo detener actividad y cuándo esperar instrucciones.

Construcción de un protocolo personal simple de reacción para incidentes básicos.

Simulación guiada de actuación ante phishing, cuenta sospechosa y documento malicioso.

Comprensión de la importancia de seguir el canal interno de notificación definido por la organización.

Revisión del papel del CCN-CERT como referencia de respuesta a incidentes en el sector público y de la necesidad de escalar correctamente dentro de la entidad.

Trabajo sobre la diferencia entre comentar un problema informalmente y comunicarlo por la vía adecuada.

Identificación de la información mínima que debe trasladar el usuario al reportar un incidente.

Revisión de por qué la notificación debe ser rápida, clara y sin ocultar errores por miedo o vergüenza.

Comprensión del valor de la trazabilidad y de la evidencia cuando se gestiona un incidente.

Trabajo sobre el papel del usuario durante y después de la comunicación de un problema.

Detección de fallos comunes en la notificación: retraso, falta de datos, minimización del problema o uso del canal incorrecto.

Construcción de una conducta responsable orientada a contención y colaboración.

Caso práctico de comunicación correcta de incidentes en un organismo público.

Revisión de cómo convertir la ciberseguridad en hábito y no en conocimiento olvidado tras el curso.

Construcción de una lista de rutinas mínimas aplicables cada día en el puesto de trabajo.

Trabajo sobre cómo reforzar la atención y la prudencia sin caer en miedo permanente ni parálisis operativa.

Identificación de hábitos inseguros que deben desaparecer del entorno laboral por repetición o costumbre.

Revisión de la importancia de pedir ayuda antes de improvisar cuando algo no encaja.

Comprensión del papel del ejemplo en oficinas, equipos y unidades administrativas.

Trabajo sobre cómo reforzar pequeños comportamientos seguros dentro del grupo.

Detección de señales de relajación con el tiempo y de cómo volver a activar la atención.

Construcción de un compromiso personal de mejora concreta tras la formación.

Cierre práctico con plan individual de hábitos de ciberseguridad para el puesto.