Cap. 9 — Implementing Controls to Protect Assets

Get Certified Get Ahead — CompTIA Security+ SY0-701

Capítulo 9: Implementing Controls to Protect Assets

9.1 Physical Security 9.2 Asset Management 9.3 Redundancy / RAID 9.4 Backups 9.5 BCP / DRP 9.6 RTO / RPO

📄 Descargar PDF (guía en español)

1. Physical Security Controls

Badges (proximity cards): tarjetas que se activan al acercarse al lector. Combinar con PIN = MFA.
Guards: verifican credenciales, disuaden tailgating, registran visitantes.
CCTV: prueba confiable de ubicación y actividad de una persona. Control compensatorio.
Sensors: movimiento, ruido, infrarrojo, presión, microondas, ultrasónico.
Fences, lighting, alarms, bollards: perímetro, disuasión, detección.
Mantrap (access control vestibule): dos puertas enclavadas que evitan tailgating.

2. Asset Management

Rastrea hardware, software y datos en su ciclo de vida: adquisición, asignación, monitoreo y auditoría. Reduce system sprawl y activos no documentados. RFID es común para seguimiento.

3. Platform Diversity

Vendor diversity: dos firewalls de marcas distintas para que una vulnerabilidad en uno no comprometa ambos.
Technology diversity: cerraduras biométricas + CCTV.
Control diversity: técnicos + físicos + gerenciales + operacionales.

Physical attacks: card skimming/cloning (chip > banda magnética), brute force, ambientales (energía, temperatura, agua).

4. Redundancy and Fault Tolerance

RAID	Min disks	Tolerancia
RAID-0	2	Ninguna (solo rendimiento)
RAID-1	2	1 disco
RAID-5	3	1 disco
RAID-6	4	2 discos
RAID-10	4	1-2 discos (mirror + stripe)

Active/active: todos los servidores procesan simultáneamente
Active/passive: uno activo, otro en espera (heartbeat)
NIC teaming: múltiples NICs en una virtual
UPS: energía de corto plazo. Generator: largo plazo. Dual supply: fuente redundante

5. Data Protection with Backups

Type	Backs up	Restore needs
Full	Todo	1 backup
Differential	Cambios desde el último full	Full + último differential
Incremental	Cambios desde el último backup	Full + TODOS los incrementales

Replication: copia en tiempo real. Journaling: registro secuencial de cambios. Data sovereignty: los backups en otro país se rigen por sus leyes. Encryption: los backups deben cifrarse.

6. Business Continuity

Hot site

Operativo 24/7, datos actualizados. El más caro y rápido.

Cold site

Solo energía y conectividad. El más barato y lento.

Tabletop exercise: discusión de escenario. Simulation: entorno simulado. Parallel processing: sitio de respaldo en paralelo. Failover test: apaga el sitio principal por completo.

7. Glossary

MantrapVestíbulo de control de acceso

BollardsPostes de seguridad

CCTVVideovigilancia

Asset managementGestión de activos

SPOFPunto único de falla

RAIDConjunto redundante de discos

Load balancingBalanceo de carga

NIC teamingAgrupación de NICs

UPSSAI / batería de respaldo

Full / diff / inc backupBackup completo / diferencial / incremental

Replication / journalingReplicación / registro de cambios

Data sovereigntySoberanía de datos

BIABusiness Impact Analysis

RTO / RPOTiempo de recuperación / punto de recuperación

MTBF / MTTRTiempo entre fallas / tiempo de reparación

Hot / cold / warm siteSitio caliente / frío / tibio

DRPDisaster Recovery Plan

Tabletop exerciseEjercicio de mesa

Failover testPrueba de conmutación

8. Practice Questions

1. Una empresa necesita tolerancia a la falla de hasta 2 discos simultáneos. ¿Qué RAID mínimo?

RAID-6 (o RAID-10).

2. Un centro de datos requiere que solo una persona entre a la vez para evitar tailgating. ¿Qué control?

Mantrap (access control vestibule).

3. Backup completo domingo, incrementales lunes a miércoles. Falla el jueves. ¿Cuántos backups restaurar?

4: completo + 3 incrementales.

4. Misma empresa pero con diferenciales. ¿Cuántos?

2: completo + último diferencial.

5. Un sitio e-commerce no puede estar caído más de 3 horas. ¿Qué métrica?

RTO (Recovery Time Objective).

6. Puede tolerar perder como máximo 15 minutos de transacciones. ¿Qué métrica?

RPO (Recovery Point Objective).

7. Un sitio tiene hardware instalado pero sin datos actualizados. ¿Tipo?

Warm site (sitio tibio).

8. Un coordinador reúne líderes y les presenta un escenario de ciberataque para discutir. ¿Qué prueba?

Tabletop exercise.

9. Dos firewalls de distintas marcas en la DMZ. ¿Qué principio?

Vendor diversity (diversidad de proveedores).

10. Un backup en la nube está en servidores de otro país. ¿Qué concepto legal aplica?

Data sovereignty (soberanía de datos).

Metric	Qué mide
RTO	Tiempo máximo aceptable de inactividad
RPO	Pérdida de datos aceptable (frecuencia de backup)
MTBF	Tiempo promedio entre fallas (confiabilidad)
MTTR	Tiempo promedio de reparación