Clasificación de Incidentes según la Guía CCN-STIC 817

La Guía CCN-STIC 817 del Esquema Nacional de Seguridad (ENS) establece una clasificación de incidentes de seguridad en 36 tipos diferentes. Estos incidentes se agrupan en categorías para facilitar su identificación, análisis y gestión.

---

1. Clasificación General

Los incidentes se dividen en las siguientes categorías principales:

• 1.1. Acceso no autorizado
• 1.2. Denegación de servicio (DoS)
• 1.3. Malware
• 1.4. Ingeniería social
• 1.5. Vulnerabilidades explotadas
• 1.6. Configuración indebida
• 1.7. Fugas de información
• 1.8. Otros incidentes

---

2. Tipos de Incidentes por Categoría

2.1. Acceso no autorizado

1. Intrusión en sistemas o redes.
2. Uso indebido de credenciales robadas.
3. Escalamiento de privilegios.
4. Acceso físico no autorizado a instalaciones.

2.2. Denegación de servicio (DoS)

5. Ataques de denegación de servicio (DoS).
6. Ataques distribuidos de denegación de servicio (DDoS).
7. Interrupción de servicios esenciales por saturación de recursos.

2.3. Malware

8. Infección por virus.
9. Instalación de troyanos.
10. Propagación de gusanos.
11. Uso de ransomware.
12. Creación de botnets.

2.4. Ingeniería social

13. Ataques de phishing.
14. Suplantación de identidad (spoofing).
15. Manipulación psicológica para obtener información confidencial.

2.5. Vulnerabilidades explotadas

16. Explotación de vulnerabilidades conocidas.
17. Explotación de vulnerabilidades zero-day.
18. Uso de exploits automatizados.

2.6. Configuración indebida

19. Configuración insegura de sistemas o redes.
20. Exposición de servicios innecesarios.
21. Errores en la gestión de parches y actualizaciones.

2.7. Fugas de información

22. Robo de datos sensibles.
23. Divulgación accidental de información confidencial.
24. Pérdida de dispositivos que contienen datos protegidos.
25. Intercepción de comunicaciones (sniffing).

2.8. Otros incidentes

26. Sabotaje interno.
27. Robo de hardware.
28. Uso indebido de recursos internos.
29. Fraude electrónico.
30. Actividades ilegales detectadas en sistemas.
31. Manipulación de registros o logs.
32. Destrucción no autorizada de información.
33. Ataques físicos contra infraestructuras críticas.
34. Compromiso de dispositivos IoT.
35. Incidentes relacionados con servicios en la nube.
36. Incidentes derivados de errores humanos.

---

Tabla Resumen

Clasificación	Tipo de Incidente	Descripción y Ejemplos Prácticos
Contenido abusivo	Spam	Correo electrónico masivo no solicitado.
	Delito de odio	Contenido difamatorio o discriminatorio (e.g., ciberacoso, racismo).
	Pornografía infantil o contenido violento	Material visual inapropiado (e.g., apología de la violencia).
Contenido dañino	Sistema infectado	Sistema comprometido con malware (e.g., rootkit).
	Servidor C&C	Conexión con servidor de comando y control mediante malware.
	Distribución de malware	Uso de recursos para distribuir malware.
	Configuración de malware	Recursos que alojan configuraciones maliciosas (e.g., webinjects para troyano).
Obtención de información	Escaneo de redes	Pruebas para descubrir vulnerabilidades (e.g., escaneo de puertos, DNS).
	Análisis de paquetes (sniffing)	Observación y grabación de tráfico de red.
	Ingeniería social	Trucos o amenazas para obtener información personal.
Intento de intrusión	Explotación de vulnerabilidades	Intentos de comprometer sistemas mediante vulnerabilidades conocidas.
	Acceso con vulneración de credenciales	Intentos múltiples de descifrar contraseñas.
	Ataque desconocido	Uso de exploits no identificados.
Intrusión	Compromiso de cuenta con privilegios	Acceso no autorizado con privilegios elevados.
	Compromiso de aplicaciones	Explotación de vulnerabilidades en software (e.g., inyección SQL).
Disponibilidad	DoS (Denegación de servicio)	Saturación de peticiones que interrumpen el servicio.
	DDoS (Denegación distribuida de servicio)	Ataques masivos coordinados.
	Sabotaje	Daño físico intencionado (e.g., corte de cables).
	Interrupciones	Interrupciones externas (e.g., desastres naturales).
Compromiso de información	Acceso no autorizado	Acceso ilegal a información sensible.
	Modificación no autorizada	Alteraciones ilegales en información.
	Pérdida de datos	Pérdida de información por fallos o robos.
Fraude	Uso no autorizado de recursos	Uso indebido de sistemas (e.g., estafas piramidales).
	Derechos de autor	Distribución de software sin licencia.
	Suplantación (phishing)	Obtención de datos personales mediante engaño.
Vulnerabilidad	Criptografía débil	Servicios con implementaciones de seguridad insuficientes.
	Sistema vulnerable	Sistemas desactualizados o mal configurados.
Otros	Otros	Incidentes no categorizados anteriormente.
	APT (Amenaza persistente avanzada)	Ataques sofisticados dirigidos a organizaciones específicas.

3. Uso de la Clasificación

Esta clasificación sirve para:

• Identificar y priorizar los incidentes según su naturaleza y nivel de impacto.
• Determinar las medidas correctivas necesarias.
• Reportar los incidentes al CCN-CERT cuando sea necesario.

Para una descripción más detallada de cada tipo de incidente y las directrices sobre su gestión, se recomienda consultar la Guía CCN-STIC 817.

---

4. Conclusión

La clasificación detallada de los 36 tipos de incidentes en la Guía CCN-STIC 817 proporciona un marco exhaustivo para la gestión de ciberincidentes en el ámbito del Esquema Nacional de Seguridad (ENS). Esta taxonomía permite a las organizaciones priorizar y responder eficazmente a los incidentes, reduciendo su impacto en los sistemas de información.