Junto a cada imagen de instalación de Ubuntu 24.04, Canonical publica un archivo de texto llamado SHA256SUMS. Contiene una cadena de 64 caracteres por cada imagen. Quien descarga el sistema calcula el hash del archivo recibido y lo compara con esa cadena: si coinciden, la descarga llegó intacta; si difieren, algo la alteró en el camino.
Ese gesto de diez segundos es un ejemplo perfecto de uno de los tipos de seguridad informática menos visibles, el que protege la integridad de los datos. Los demás tipos protegen otras cosas y actúan en otros momentos. Antes de entrar en cada uno conviene aclarar por qué distintos textos hablan de tres, cuatro o siete tipos sin contradecirse.
Cuántos tipos de seguridad informática existen
No hay una lista oficial única. Las clasificaciones dependen de la pregunta que se hace: qué se protege, cuándo actúa la medida o si es física o lógica. Por eso un temario escolar habla de tres tipos, una certificación profesional de siete y la norma ISO/IEC 27001:2022 de cuatro temas de controles. Todas pueden ser correctas al mismo tiempo.
El primer eje, el activo protegido, es el más útil para repartir responsabilidades: quién cuida la red, quién los datos, quién los equipos. El segundo, el momento, sirve para comprobar que hay medidas antes y después de un incidente. El tercero, la naturaleza, recuerda que sin cerradura ni energía estable ningún software protege nada.
Para quien llega desde cero, la definición general y los objetivos de la disciplina están en la guía de qué es la seguridad informática y cuáles son sus objetivos. Aquí el foco está en las clasificaciones y en ejemplos concretos de medidas para cada tipo, con un apartado propio dedicado a la integridad de la información.
Tipos de seguridad informática según lo que protegen
Entre los tipos de seguridad informática, la clasificación por activo es la más común en ofertas de empleo. Divide la protección en hardware, software, red, datos, nube, aplicaciones, dispositivos finales e IoT u OT. Las fronteras no son perfectas: una laptop es hardware, ejecuta software, guarda datos y se conecta a la red, y por eso entra en varias categorías.
La seguridad de hardware protege los equipos físicos: computadoras, servidores, routers, discos y celulares. Incluye el control de acceso al lugar, la protección contra robos, la alimentación eléctrica estable y el firmware actualizado. La seguridad de software cuida los sistemas operativos y programas instalados, sobre todo mediante actualizaciones, configuraciones seguras y la eliminación de aplicaciones que nadie usa.
La seguridad de red controla el tráfico entre equipos y hacia internet: firewalls, segmentación en redes separadas, Wi-Fi con WPA3 o WPA2 y claves largas, y VPN para el trabajo remoto. La seguridad de datos protege la información en sí, esté donde esté: cifrado, clasificación, permisos, copias de seguridad y borrado seguro cuando un equipo se recicla o se vende.
La seguridad en la nube funciona con un reparto de tareas. AWS lo resume como seguridad de la nube, que corresponde al proveedor, y seguridad en la nube, que corresponde al cliente. Si una empresa deja público un almacenamiento con facturas, la culpa no es del proveedor: la configuración de permisos siempre queda del lado de quien contrata el servicio.
La seguridad de aplicaciones se ocupa del software que la propia organización desarrolla o publica, como una tienda en línea o una app móvil: validación de datos de entrada, gestión de sesiones y revisión del código. La de dispositivos finales, o endpoint, protege cada laptop y celular con cifrado, antivirus o EDR y bloqueo remoto en caso de pérdida.
El último grupo es el más olvidado: cámaras IP, sensores, controladores de una planta o el sistema de climatización de un edificio. El NIST llama tecnología operativa, u OT, a los sistemas que interactúan con el entorno físico, y le dedicó la guía SP 800-82 Rev. 3 en septiembre de 2023. Muchos llevan años sin una sola actualización.
| Tipo | Qué protege | Ejemplo de medida |
|---|---|---|
| Hardware | Equipos físicos y su entorno | Cuarto de servidores con llave y SAI |
| Software | Sistemas operativos y programas | Actualizaciones automáticas activadas |
| Red | Tráfico interno y hacia internet | Red de invitados separada de la red de la oficina |
| Datos e información | La información, en cualquier sistema | Cifrado de discos y copias 3-2-1 |
| Nube | Cuentas, datos y configuraciones en proveedores | Verificación en dos pasos y revisión de permisos públicos |
| Aplicaciones | Software propio, web o móvil | Validación de formularios y revisión de código |
| Dispositivos finales | Laptops, celulares y tablets | EDR y borrado remoto ante pérdida |
| IoT y OT | Cámaras, sensores, controladores industriales | Red separada y contraseñas de fábrica cambiadas |
Tipos según el momento: preventiva y reactiva
El segundo eje ordena las medidas por el momento en que actúan. La seguridad activa o preventiva intenta que el incidente no ocurra: autenticación, cifrado, antivirus, firewalls y actualizaciones. Su desarrollo completo, con la lista de medidas y cómo se aplican, está en la guía de seguridad activa en informática.
La seguridad pasiva o reactiva parte de que el incidente puede ocurrir igual y prepara la recuperación: copias de seguridad, SAI, redundancia de discos y planes de respuesta. Los ejemplos y el funcionamiento de cada medida están en la guía de seguridad pasiva y sus medidas. Una medida sin la otra deja la mitad del riesgo al descubierto.
Las dos categorías se cruzan a menudo, y algunas medidas cambian de lado según el texto que se consulte. El análisis de esos casos dudosos y la tabla de diferencias están en la comparación de seguridad activa y pasiva, que conviene leer antes de un examen o de una auditoría.
Seguridad física y seguridad lógica
La seguridad física protege los equipos y el espacio donde están: puertas, llaves, cámaras, detectores de humo, climatización y energía. La lógica protege lo que ocurre dentro de los sistemas: usuarios, contraseñas, permisos, cifrado y software de protección. El título español de Técnico en Sistemas Microinformáticos y Redes exige expresamente saber describir las diferencias entre ambas.
Las dos dependen una de la otra. Un servidor con cifrado impecable pierde su disponibilidad si se recalienta en una bodega sin ventilación, y un cuarto blindado no sirve si la contraseña de administrador está pegada en el monitor. ISO/IEC 27001:2022 dedica 14 controles al tema físico, del 7.1 al 7.14, frente a 34 tecnológicos.
Tipos de controles: preventivos, detectivos y correctivos
Otra clasificación frecuente en auditorías no mira el activo sino la función del control. Los preventivos evitan el incidente, como un firewall que bloquea un puerto. Los detectivos lo descubren, como una alerta por un inicio de sesión desde otro país. Los correctivos reparan el daño, como restaurar un archivo borrado desde la copia de la noche anterior.
Esta clasificación coincide en parte con la de activa y pasiva, pero no del todo. Un registro de actividad es detectivo, aunque muchos temarios lo cuentan como medida pasiva. Lo importante en una revisión real es comprobar que cada riesgo relevante tenga al menos un control de cada función, no discutir en qué casilla cae cada producto.
Ejemplos de tipos de seguridad en una pyme
Una ferretería con cinco computadoras, un servidor de facturación y un Wi-Fi para clientes muestra los tipos de seguridad informática en la práctica. En hardware, el servidor va en un rack con llave y conectado a un SAI. En red, el Wi-Fi de clientes queda separado de la red interna, y el router recibe sus actualizaciones de firmware.
Siguiendo con los ejemplos, en datos la facturación se respalda cada noche en un disco externo y en la nube, según la lógica de las copias de seguridad 3-2-1. En nube, el correo tiene verificación en dos pasos para cada cuenta. En dispositivos finales, las laptops cifran el disco y el celular del gerente permite el borrado remoto.
Los tipos de seguridad informática que esta ferretería cubre peor suelen ser dos: las cámaras IP, que siguen con la contraseña de fábrica, y el software propio, porque la tienda en línea la instaló un sobrino hace años y nadie la actualiza. Esa clase de huecos aparece en casi cualquier negocio pequeño revisado con atención.
Integridad: los tipos de seguridad que la aseguran
La integridad es la propiedad de exactitud y completitud de la información, según ISO/IEC 27000. Se rompe cuando alguien cambia un dato sin autorización, cuando un error lo corrompe o cuando un archivo llega alterado. A diferencia de una filtración, una alteración puede pasar meses sin que nadie la note, y por eso necesita mecanismos que la hagan visible.
Hashes y sumas de comprobación
Una función hash produce una huella de longitud fija a partir de cualquier archivo; si cambia un solo bit, la huella cambia por completo. SHA-256 es la opción habitual hoy. MD5 sigue apareciendo en tutoriales viejos, pero el RFC 6151, de marzo de 2011, lo declaró inaceptable donde se necesita resistencia a colisiones, como en las firmas digitales.
Las sumas de comprobación simples, como CRC32, detectan errores accidentales de transmisión o de disco, pero no resisten a un atacante que altera el archivo a propósito y recalcula la suma. Para verificar descargas importantes conviene usar SHA-256 y obtener el hash publicado desde una página distinta de la que entrega el archivo.
Firmas digitales y control de versiones
Una firma digital combina un hash con la clave privada del autor. Cualquiera puede comprobarla con la clave pública, y si el documento cambia después de firmado, la firma deja de ser válida. Así funcionan la firma electrónica de documentos, las actualizaciones firmadas de sistemas operativos y los certificados que muestran un candado en el navegador.
El control de versiones aplica la misma idea al trabajo diario. Git calcula una suma de comprobación de cada archivo antes de guardarlo y lo identifica por ella, de modo que ningún cambio pasa inadvertido. Para una empresa que mantiene una web o scripts internos, tener el código en Git permite saber qué cambió, quién lo hizo y volver atrás.
Bases de datos y permisos
En una base de datos, la integridad también depende del diseño: claves primarias que impiden registros duplicados, claves foráneas que evitan facturas de clientes inexistentes y restricciones que rechazan una cantidad negativa en inventario. Estas reglas frenan errores humanos antes de que se propaguen a reportes, declaraciones de impuestos o pedidos a proveedores.
El último mecanismo es el más sencillo y el más descuidado: limitar quién puede escribir. Si diez empleados pueden modificar la lista de precios y solo dos lo necesitan, hay ocho fuentes de error de sobra. Junto con un registro de cambios que guarde usuario, fecha y valor anterior, esa restricción resuelve buena parte de los problemas de integridad.
Para quien quiera practicar hoy mismo: descargue cualquier instalador que publique su hash SHA-256 y verifíquelo. En Windows, el comando es certutil -hashfile archivo SHA256; en macOS y Linux, shasum -a 256 archivo. Si el resultado no coincide con el publicado, borre el archivo y descárguelo de nuevo desde el sitio oficial del fabricante.