• Tipos de pérdida: parcial [inaudible: no se profundiza]; nula = sí hay pérdida pero es insignificante para la empresa ("sí me dolió, pero no me va a impactar tanto").
• Riesgo = "la posibilidad de cualquier daño o pérdida".
• Esquema de seguridad = identificar los bienes + garantizar su resguardo. Se estructura respondiendo:
  1. ¿Qué quiero proteger?
  2. ¿De qué lo quiero proteger?
  3. ¿Cómo lo voy a proteger?
  Si no se responden conscientemente, las acciones de seguridad no sirven.
• Amenaza vs. ataque: la amenaza es algo que puede pasar; el ataque es cuando ya se materializa.
• Bienes tangibles vs. intangibles: intangible = no se toca (ej. "la vista"); tangible = concreto (ej. "el ojo", "la córnea"). Si no sé qué quiero proteger, tampoco sé qué le puede suceder.

Viene de la gestión de calidad ("el padre de la calidad" [inaudible: Deming]): toda calidad tiene oportunidades de mejora → la seguridad no es estática, es un proceso dinámico. En español se enuncia como ciclo PTCA.

Herramienta para verificar que los ciclos y esquemas se ejecutan según los estándares. Frecuencia: mínimo 2 al año (ideal cada 6 meses; en la práctica 4–5).

Interna (1.er nivel): la hace la propia organización, sin pagar a externos. La ejecuta alguien de la empresa que conozca los estándares pero que no trabaje a diario con el auditado. Herramientas: checklist, charlas guiadas sobre el flujo de trabajo, preguntas directas a un empleado específico para comprobar su conocimiento. (Ej.: en la UNAM, que personal de FES Aragón audite una dependencia de CU sigue siendo interna — misma legislación universitaria.)

Externa (2.º y 3.er nivel): la hace una autoridad certificadora externa que domina los estándares pero no pertenece a la organización.

• 2.º nivel: empresa externa capacitada que evalúa los procesos pero no emite certificados. Es un ensayo / segunda opinión antes de la auditoría final.
• 3.er nivel (certificación o recertificación): entidad externa autorizada que sí emite el certificado. No se "compra": es un servicio pagado, con uno o varios auditores según el tamaño, en revisiones que pueden durar una semana completa (10:00–18:00 / 19:00).

UNAM: los laboratorios (p. ej. el de redes de la FI) se auditan en 1.er y 3.er nivel con auditorías cruzadas entre entidades (Geofísica, Geografía, Física, Instituto de Astronomía). Hay 31 laboratorios certificados; se busca llegar a 33.

⚠️ Regla de certificación: si distintos departamentos están certificados y uno solo no cumple, el certificado se le quita a toda la empresa. Por eso los alcances se definen con cuidado.

Estándar del curso: ISO/IEC 27002 [inaudible: "27,2", probablemente 27001/27002].

1. Oportunidad de mejora — el más favorable. El proceso funciona; el auditor solo recomienda optimizarlo. La empresa decide si lo aplica según su contexto técnico y financiero. (Ej.: sugerir digitalizar formatos en papel; la empresa puede justificar no hacerlo si las PC se sobrecalientan o no hay espacio, y eso no la perjudica.)
2. Observación — algo se hace mal pero no afecta la viabilidad del proceso. Es una inconsistencia entre lo que la organización documentó que hace y lo que realmente ejecuta. (Ej.: el manual exige 1 capacitación anual; en la carpeta de evidencias están las de 2025 pero faltan las de 2026 → observación por falta de evidencia; se resuelve justificando que ya están programadas.)
3. No conformidad — el más grave. El auditor líder evalúa en consenso las observaciones acumuladas y determina que ponen en riesgo la integridad y la continuidad del proceso. Consecuencias: plazo para redactar justificaciones y compromisos de corrección (se verifican en la siguiente auditoría). Si no se corrige → se niega la certificación inicial, se bloquea ampliar el alcance a otros departamentos, o se revoca el certificado.

Enfoque: las certificadoras revisan procesos específicos (detección de intrusos, validación de contraseñas…), no la organización global. Se recomienda certificar "poco a poquito".

Vigencia: ligada a la versión del estándar (como las certificaciones de Java u Oracle). Si el estándar cambia de versión, hay fecha límite para adaptar todo el sistema o se pierde la certificación. (Ej.: ISO 9001:2015 introdujo evaluar impactos ambientales, lo que obligó a los laboratorios de la FI a diseñar metodologías para analizar su impacto ambiental.)

            [ AGENTES AMENAZANTES ]
                     │ provocan
                     ▼
                [ AMENAZAS ] ───────────┐ dañan / impactan
                     │ explotan          ▼
[ PROPIETARIOS ] [ VULNERABILIDADES ]   [ BIENES / ACTIVOS ]
 (responsables)       │ ocasionan         ▲
      │              ▼                   │ dirigidos a / protegen
      │          [ RIESGOS ]             │
      └── implementan ──► [ MECANISMOS DE SEGURIDAD ] ┘

Componentes:

• Propietarios / dueños / responsables — custodian los activos. El que está junto al bien o lo usa no siempre es el dueño. (Ej.: en el salón el cañón, el pizarrón, las sillas — alumnos y profesores son responsables de su cuidado, no dueños.)
• Agentes amenazantes — "los sujetos que me están ocasionando posiblemente algo dañino". Los propios usuarios pueden serlo de forma involuntaria.
• Amenazas · Vulnerabilidades (término formal) · Riesgos · Mecanismos de seguridad / protecciones · Bienes / activos.

Relaciones clave: agentes amenazantes provocan / materializan amenazas → las amenazas explotan vulnerabilidades (o crean nuevas) → las vulnerabilidades ocasionan / originan riesgos → los riesgos recaen sobre los bienes; las amenazas también dañan los bienes directamente. Los propietarios valoran / protegen los bienes, implementan mecanismos de seguridad, e identifican vulnerabilidades y riesgos. Los mecanismos de seguridad previenen / disminuyen / detectan vulnerabilidades y controlan riesgos — pero mal configurados pueden provocar o maximizar vulnerabilidades.

Ejemplo — las 50 cerraduras y el principio de profundidad: poner 50 chapas en la puerta y barrotes en las ventanas reduce la vulnerabilidad ante robo, pero maximiza la vulnerabilidad de evacuación ante un sismo o incendio (no puedes salir a tiempo). Un control mal balanceado crea nuevas vulnerabilidades.

• No hay seguridad al 100 %. Siempre queda un riesgo remanente porque todos los bienes —incluidas las personas— tienen vulnerabilidades intrínsecas.
• La seguridad es una inversión, no un gasto. Diseñar con redundancia (p. ej. 2 administradores en vez de 1) previene incidentes críticos y ahorra costos correctivos. Bien diseñada, las fallas de infraestructura son transparentes para el usuario final.
• ⚠️ El eslabón más débil es el ser humano — porque a veces no está consciente de lo que pueden ocasionar sus actividades cotidianas, lo que piensa y lo que decide. (Ej.: en las prácticas de Redes el profesor pide desayunar bien: sin fuerza física no se prensan bien los conectores y el cable falla por un factor puramente humano.)
• La seguridad es dinámica. Si un incidente ocurre una vez, es muy probable que se repita, y con consecuencias peores. El objetivo del esquema es evitar la repetición o, si no, reducir el impacto para que no sea catastrófico.

⚠️ Caso de estudio — fraude en el examen de admisión de la UNAM: falla de planeación por no analizar a fondo las 3 preguntas (¿a quién proteger? = el examen y la validez del proceso; ¿de qué? = fraudes, filtraciones, suplantación; ¿cómo?). Las autoridades asumieron que los aspirantes no tenían la intención, la "malicia" ni los recursos para pagar redes de fraude. Mecanismo implementado: enviar profesores de tiempo completo a supervisar. Mitigó el problema en parte, pero no fue el mejor mecanismo porque no partió de un análisis de riesgos profundo.

Cierre: no dar nada por sentado; existen riesgos de toda frecuencia que no se pueden ignorar (desde un meteorito hasta una fractura por quedarse dormido con el celular).