Seguridad, datos e integración¶

El 19 de julio de 2024, miles de pasajeros del aeropuerto de Palma hicieron horas de cola en los mostradores de facturación. No hubo ningún ataque. Una actualización defectuosa de CrowdStrike Falcon, un programa de seguridad, había bloqueado unos 8,5 millones de ordenadores Windows en todo el mundo, según Microsoft. Aena pasó a procedimientos manuales. Cayó una pieza de la que dependía todo, y todo lo que estaba conectado a ella se paró.

Cada tecnología que añadiste a tu plan en la lección anterior trae dos regalos: datos nuevos, que tienes que gestionar, y puertas nuevas, que alguien tiene que cerrar. Y todo tiene que estar conectado, así que también tienes que saber qué pasa cuando falla una pieza.

Cerraduras para cada barrio¶

En el juego de ciudades, la ciberseguridad es la policía, las murallas y las cerraduras. Un barrio nuevo sin ellas es una invitación.

Una brecha de seguridad, en esta unidad, es un punto débil de un área: algo que podría ir mal con sus datos o sistemas, por un ataque, por un error o por accidente.

No la confundas con una violación de la seguridad de los datos personales: eso es un incidente que ya ha ocurrido, y el RGPD (Reglamento (UE) 2016/679, artículo 33) dice que se debe notificar a la autoridad «sin dilación indebida y, de ser posible, a más tardar 72 horas» después de que la empresa tenga constancia. Tu plan analiza las brechas para que las violaciones no lleguen a ocurrir.

Para cada área: qué activo o dato hay, qué podría ir mal, qué medida pones y qué ley se aplica.

El punto de partida para tu empresa es la auditoría pasiva de D5: las cabeceras de seguridad, las cookies y la política de privacidad de su web pública.

Datos que entran, decisiones que salen¶

Cada tecnología nueva produce datos nuevos: pedidos del portal, consumo de los hornos, temperaturas de las cámaras. Para cada uno se tienen que definir dos cosas.

Tratamiento. El ciclo de vida que usaste en D5: cómo se recoge, dónde se guarda, quién puede acceder, cuánto tiempo se conserva y cómo se elimina. Si son datos personales, se aplican el RGPD y la LOPDGDD (Ley Orgánica 3/2018).

Análisis. Los datos te tienen que decir si se están cumpliendo los objetivos.

Un indicador (o KPI, key performance indicator) es un número, calculado con una fórmula fija a partir de datos que tienes, que muestra si se está alcanzando un objetivo.

En el juego de ciudades, los indicadores son las capas de la vista de información: tráfico, contaminación, felicidad. Cada objetivo de la sección 1 necesita al menos uno.

Las tuberías entre edificios¶

La integración es cómo viajan los datos entre aplicaciones, y sobre qué plataformas funcionan esas aplicaciones.

Piensa en tres capas:

La fuente de verdad de un dato es el único sistema donde se crea y se corrige; todos los demás sistemas lo copian de allí.

Una API (interfaz de programación de aplicaciones) es una puerta que un programa abre para que otro programa le pueda pedir datos o enviárselos, sin una persona en medio.

Aquí tienes el diagrama de integración del obrador de ejemplo, del mismo tipo que dibujarás:

flowchart TB
    subgraph CLOUD["<b>Nube</b> (la compañía de suministros)"]
        P["<b>Portal B2B</b><br>(SaaS)"]
        E["<b>ERP</b><br>fuente de verdad:<br>clientes, pedidos"]
        D["<b>Cuadro de mando</b><br>indicadores"]
        F["<b>Modelo de previsión</b>"]
    end
    subgraph PLANT["<b>Zona de producción</b> (la subestación)"]
        G["<b>Pasarela edge</b>"]
        M["Medidores IoT<br>en los hornos"]
        S["Sensores de las<br>cámaras frigoríficas"]
    end
    P -- "pedidos (API)" --> E
    E -- "histórico de pedidos" --> F
    F -- "previsión" --> E
    M --> G
    S --> G
    G -- "consumos,<br>temperaturas" --> D
    E -- "kg producidos" --> D

Comprueba cada diagrama con tres preguntas: ¿dónde está la fuente de verdad? ¿cómo viaja el dato? ¿qué pasa si cae una pieza? La historia del aeropuerto de Palma es la respuesta a la tercera pregunta cuando nadie se la hizo.

En clase: diagrama, brechas e indicadores¶

Entrega en Classroom (actividad de clase individual): tus dos filas de brechas y tu indicador, con el diagrama del grupo en PNG adjunto. Solo pasiva, y sin IA generativa.

Para tu proyecto¶

Esta lección construye la sección 3 · Seguridad y datos del D6 · Plan de transformación (criterios g y h) y el diagrama de integración de la sección 4 (criterio i). Las brechas parten de tu auditoría de D5; las plataformas salen de tu arquitectura de D3. Si D3 ya no encaja con las tecnologías de la sección 2, actualízala y escribe el cambio en el registro de cambios.

Ideas clave¶

• Una brecha de seguridad es un punto débil de un área; una violación de la seguridad de los datos personales es un incidente que ya ha ocurrido, que se debe notificar en 72 horas según el RGPD. Los planes analizan las brechas para prevenir las violaciones.
• Para cada área: activo, posible brecha, una medida concreta, la ley implicada. Parte de tu auditoría pasiva de D5.
• Cada tipo nuevo de datos necesita su tratamiento definido a lo largo de su ciclo de vida.
• Cada objetivo necesita un indicador (KPI) con una fórmula y una fuente de datos que tengas de verdad.
• La integración tiene tres capas: datos, aplicaciones, plataformas. Cada dato tiene una fuente de verdad, y las aplicaciones se comunican mediante API.
• Pregúntate siempre qué pasa si cae una pieza: el 19 de julio de 2024, una sola actualización defectuosa paró la facturación del aeropuerto de Palma.

Comprobación rápida¶

Datos, puertas y tuberías ya están en su sitio. Las últimas piezas son las personas que gestionarán la nueva ciudad, y el plan escrito de qué cambia y cuándo: Personas y documentación.