Glosario de Ciberseguridad1

El presente glosario tiene la finalidad de aunar criterios y definiciones entre los expertos de
ciberseguridad de distintas jurisdicciones y para maximizar el trabajo interdisciplinario que requiere la
protección del sistema financiero en su conjunto.

Notas

 Las citas de las fuentes que figuran a continuación han sido abreviadas. Puede encontrarse la
cita completa al final del glosario.
 Los términos definidos en el glosario figuran en itálica cuando están usados en definiciones del
glosario.
 En el glosario, el término “entidad” incluye a las personas humanas cuando el contexto lo
requiere.

Término Definición

Recurso de valor tangible o intangible que debería ser protegido,

lo que comprende personas, información, infraestructura,
Activo
finanzas y reputación.
(asset)

Fuente: ISACA Fundamentals.

Persona, grupo u organización que supuestamente está

Agente de amenaza operando con intención maliciosa.
(threat actor)
Fuente: Adaptado de STIX.

1Los términos y las definiciones utilizados en el glosario se desarrollaron para ser utilizados únicamente con respecto al sector de
servicios financieros y las entidades financieras. El glosario no tiene por objeto ser utilizado para una interpretación jurídica de ningún
acuerdo internacional ni de contratos entre privados.
Texto original: https://www.fsb.org/2018/11/cyber-lexicon/

Glosario de Ciberseguridad | BCRA | 1

 Agente de amenaza que cuenta con niveles sofisticados de
conocimiento y recursos significativos que le permiten generar
oportunidades para lograr sus objetivos usando numerosos
Amenaza persistente vectores de amenaza. La amenaza persistente avanzada: (i)
avanzada persigue sus objetivos de manera reiterada durante un período
(Advanced Persistent prolongado; (ii) se adapta a los esfuerzos que realizan quienes
Threat, APT) se defienden de ella en un intento por resistirla; y (iii) está
decidida a llevar a cabo sus objetivos.

Fuente: Adaptado de NIST.

Examen sistemático de un sistema de información, junto con

sus controles y procesos, para determinar la adecuación de las
Análisis de medidas de seguridad, identificar deficiencias en la seguridad,
vulnerabilidades proporcionar datos a partir de los cuales predecir la eficacia de
(vulnerability las medidas de seguridad propuestas y confirmar la adecuación
assessment) de dichas medidas luego de la implementación.

Fuente: Adaptado de NIST.

Uso de dos o más de los siguientes factores para verificar la

identidad de un usuario:
 factor de conocimiento, “algo que una persona sabe”;
Autenticación  factor de posesión, “algo que una persona tiene”;
multifactor  factor biométrico, “una característica biológica o conductual
(multi-factor de una persona”.
authentication)
Fuente: Adaptado de ISO/IEC 27040:2015 e ISO/IEC 2832-
37:2017 (definición de “característica biométrica” [“biometric
characteristic”]).

Propiedad que consiste en que una entidad es lo que afirma ser.

Autenticidad
(authenticity)
Fuente: ISO/IEC 27000:2018.

Glosario de Ciberseguridad | BCRA | 2

 Notificación de nuevas tendencias o de novedades acerca de
una ciberamenaza contra sistemas de información o acerca de
una vulnerabilidad de los sistemas de información. Dicha
Aviso cibernético notificación puede abarcar un estudio analítico de tendencias,
(cyber advisory) intenciones, tecnologías o tácticas empleadas para atacar
sistemas de información.

Fuente: Adaptado de NIST.

Conjunto de comportamientos adversos coordinados que

describe una serie de actividades maliciosas contra uno o más
Campaña
objetivos específicos a lo largo de un período.
(campaign)

Fuente: Adaptado de STIX.

Relativo a una infraestructura tecnológica interconectada en la

que interactúan personas, procesos, datos y sistemas de
Ciber- o cibernético
información.
(cyber)

Fuente: Adaptado de CPMI-IOSCO (cita de NICCS).

Notificación de un ciberincidente específico o de que se ha

dirigido una ciberamenaza contra los sistemas de información
Ciberalerta
de una organización.
(cyber alert)

Fuente: Adaptado de NIST.

Circunstancia que podría explotar una o más vulnerabilidades y

Ciberamenaza afectar la ciberseguridad.
(cyber threat)
Fuente: Adaptado de CPMI-IOSCO.

Glosario de Ciberseguridad | BCRA | 3

 Evento cibernético que:
i. pone en peligro la ciberseguridad de un sistema de información o
la información que el sistema procesa, almacena o transmite; o
Ciberincidente ii. infringe las políticas de seguridad, los procedimientos de
(cyber incident) seguridad o las políticas de uso aceptable,
sea o no producto de una actividad maliciosa.

Fuente: Adaptado de NIST (definición de “incidente” [“incident”]).

Capacidad de una organización de continuar llevando a cabo su

misión anticipando y adaptándose a ciberamenazas y otros
cambios relevantes en el entorno, y resistiendo, conteniendo y
Ciberresiliencia recuperándose rápidamente de ciberincidentes.
(cyber resilience)
Fuente: Adaptado de CERT Glossary (definición de “resiliencia
operativa” [“operational resilience”]), CPMI-IOSCO y NIST
(definición de “resiliencia” [“resilience”]).

Preservación de la confidencialidad, la integridad y la

disponibilidad de la información y/o de los sistemas de
información a través del medio cibernético. Asimismo, pueden
Ciberseguridad
estar involucradas otras propiedades, tales como la
(cyber security)
autenticidad, la trazabilidad, el no repudio y la confiabilidad.

Fuente: Adaptado de ISO/IEC 27032:2012.

Transgresión de la seguridad de un sistema de información.

Compromiso
(compromise)
Fuente: Adaptado de ISO 21188:2018.

Uniformidad en cuanto al comportamiento y los resultados

Confiabilidad deseados.
(reliability)
Fuente: ISO/IEC 27000:2018.

Glosario de Ciberseguridad | BCRA | 4

 Propiedad según la cual la información no está disponible
para personas, entidades, procesos o sistemas no
Confidencialidad autorizados, ni se da a conocer a personas, entidades,
(confidentiality) procesos o sistemas no autorizados.

Fuente: Adaptado de ISO/IEC 27000:2018.

Medio para asegurar que el acceso a los activos esté

autorizado y restringido en función de requisitos
Control de acceso
relacionados con la actividad y la seguridad.
(access control)

Fuente: ISO/IEC 27000:2018.

Una o más acciones que se llevan a cabo para prevenir o

responder a un ciberincidente. Este concepto puede referirse
Curso de acción a respuestas técnicas automatizables, pero también puede
(Course of Action, describir otras acciones, tales como la capacitación para los
CoA) empleados o los cambios en las políticas.

Fuente: Adaptado de STIX.

Estrategia de seguridad que abarca personas, procesos y

Defensa en tecnología para establecer una serie de barreras en múltiples
profundidad (defence- niveles y dimensiones de la organización.
in-depth)
Fuente: Adaptado de NIST y FFIEC.

Acción de impedir el acceso autorizado a información o

sistemas de información, o de demorar la ejecución de
Denegación de operaciones y funciones de los sistemas de información, lo
servicio (Denial of cual conlleva la pérdida de disponibilidad para los usuarios
Service, DoS) autorizados.

Fuente: Adaptado de ISO/IEC 27033-1:2015.

Denegación de Denegación de servicio que se lleva a cabo usando

servicio distribuida numerosas fuentes en forma simultánea.
(Distributed Denial of
Service, DDoS) Fuente: Adaptado de NICCS.

Glosario de Ciberseguridad | BCRA | 5

 Desarrollar e implementar las actividades apropiadas para
Detectar (función) identificar un evento cibernético.
(detect)
Fuente: Adaptado de NIST Framework.

Cualidad de accesible y utilizable a demanda por parte de

Disponibilidad una entidad autorizada.
(availability)
Fuente: ISO/IEC 27000:2018.

Equipo de
respuesta ante Equipo conformado por miembros capacitados y confiables de
incidentes la organización que maneja los incidentes durante su ciclo de
(Incident Response vida.
Team, IRT) [también
conocido como CERT Fuente: ISO/IEC 27035-1:2016.
o CSIRT]

Proceso de evaluación formal del grado de amenaza para

Evaluación de una organización y descripción de la naturaleza de la
amenazas amenaza.
(threat assessment)
Fuente: Adaptado de NIST.

Ocurrencia observable en un sistema de información. Los

eventos cibernéticos a veces indican que se está
Evento cibernético
produciendo un ciberincidente.
(cyber event)

Fuente: Adaptado de NIST (definición de “evento” [“event”]).

Forma definida de transgredir la seguridad de los sistemas

de información a través de una vulnerabilidad.
Exploit

Fuente: ISO/IEC 27039:2015.

Glosario de Ciberseguridad | BCRA | 6

Gestión de
Comprende personas, procesos y tecnología para identificar
identidades y
y gestionar los datos utilizados en un sistema de información
accesos
a fin de autenticar a los usuarios y otorgar o denegar
(Identity and
derechos de acceso a datos y recursos del sistema.
Access
Management, IAM)
Fuente: Adaptado de ISACA Full Glossary.

Notificación, identificación, implementación, instalación y

verificación sistemáticas de revisiones de los sistemas
operativos y los códigos de software de aplicación. Estas
Gestión de parches revisiones se conocen con el nombre de “parche” (“patch”),
(patch management) “corrección rápida” (“hot fix”) y “conjunto de parches”
(“service pack”).

Fuente: NIST.

Desarrollar el entendimiento organizacional necesario para

gestionar el riesgo cibernético al que se encuentran
Identificar (función)
expuestos los activos y las capacidades.
(identify)

Fuente: Adaptado de NIST Framework.

Compromiso que, de manera accidental o ilegal, da lugar a la

Incidente de destrucción, la pérdida, la alteración o la divulgación o el
seguridad de los acceso no autorizados a datos transmitidos, almacenados o
datos procesados de otra manera.
(data breach)
Fuente: Adaptado de ISO/IEC 27040:2015.

Señales que indican que podría haber ocurrido o que podría

Indicadores de
estar produciéndose un ciberincidente.
compromiso
(Indicators of
Fuente: Adaptado de NIST (definición de “indicador”
Compromise, IoC)
[“indicator”]).

Glosario de Ciberseguridad | BCRA | 7

 Término general que describe la acción de intentar engañar a
las personas con el fin de que revelen información o realicen
Ingeniería social
determinadas acciones.
(social engineering)

Fuente: Adaptado de FFIEC.

Cualidad de exacto y completo.

Integridad
(integrity)
Fuente: ISO/IEC 27000:2018.

Información sobre amenazas que ha sido agregada,

transformada, analizada, interpretada o enriquecida para
Inteligencia sobre
ofrecer el contexto necesario para los procesos de toma de
amenazas
decisiones.
(threat intelligence)

Fuente: NIST 800-150.

Acción de compartir datos, información y/o conocimiento

Intercambio de
que pueden utilizarse para gestionar riesgos o responder
información
ante eventos.
(information
sharing)
Fuente: Adaptado de NICCS.

Software diseñado con un objetivo malicioso y que contiene

características o capacidades que podrían provocar un daño
directo o indirecto a entidades o a sus sistemas de
Malware
información.

Fuente: Adaptado de ISO/IEC 27032:2012.

Capacidad de demostrar la ocurrencia de un evento o acción

No repudio y las entidades que los originaron.
(non-repudiation)
Fuente: ISO 27000:2018.

Glosario de Ciberseguridad | BCRA | 8

 Documentación de un conjunto predeterminado de
Plan de respuesta
instrucciones o procedimientos para responder ante un
ante
ciberincidente y limitar sus consecuencias.
ciberincidentes
(cyber incident
Fuente: Adaptado de NIST (definición de “plan de respuesta
response plan)
ante incidentes” [“incident response plan”]) y NICCS.

Desarrollar e implementar los resguardos adecuados para

garantizar la prestación de los servicios y limitar o contener
Proteger (función)
el impacto de los ciberincidentes.
(protect)

Fuente: Adaptado de NIST Framework.

Conjunto de designaciones utilizadas para asegurar que la

información se comparta únicamente con los destinatarios
Protocolo de definidos. Emplea un código de colores preestablecido
divulgación (Traffic (semáforo) para indicar los límites previstos de intercambio
Light Protocol, TLP) que deberá aplicar el receptor.

Fuente: Adaptado de FIRST.

Desarrollar e implementar las actividades adecuadas para

mantener planes de ciberresiliencia y restaurar capacidades
Recuperar (función) o servicios que se hayan visto afectados debido a un
(recover) ciberincidente.

Fuente: Adaptado de NIST Framework.

Desarrollar e implementar las actividades apropiadas para

Responder (función) tomar medidas acerca de un evento cibernético detectado.
(respond)
Fuente: Adaptado de NIST Framework.

Combinación de la probabilidad de que se produzcan

ciberincidentes y su impacto.
Riesgo cibernético
(cyber risk) Fuente: Adaptado de CPMI-IOSCO, ISACA Fundamentals
(definición de “riesgo” [“risk”]) e ISACA Full Glossary (definición
de “riesgo” [“risk”]).

Glosario de Ciberseguridad | BCRA | 9

 Conjunto de aplicaciones, servicios, activos de tecnología de
Sistema de
la información u otros componentes de manejo de
información
información, que incluye el entorno operativo.
(information
system)
Fuente: Adaptado de ISO/IEC 27000:2018.

Comportamiento de un agente de amenaza. Una táctica es la

descripción de más alto nivel de este comportamiento,
Tácticas, técnicas y
mientras que las técnicas brindan una descripción más
procedimientos
detallada del comportamiento en el contexto de una táctica y
(Tactics,
los procedimientos implican una descripción de menor nivel,
Techniques and
muy detallada en el contexto de una técnica.
Procedures, TTP)

Fuente: Adaptado de NIST 800-150.

Metodología de prueba en la cual los evaluadores, usando

toda la documentación disponible (p. ej., diseño del sistema,
Test de intrusión código fuente, manuales) y trabajando con limitaciones
(penetration específicas, intentan eludir las funciones de seguridad de un
testing) sistema de información.

Fuente: NIST.

Test de intrusión
basado en Intento controlado por comprometer la ciberresiliencia de
amenazas una entidad simulando las tácticas, técnicas y
(Threat-Led procedimientos de agentes de amenaza reales. Se basa en
Penetration inteligencia sobre amenazas dirigida y se centra en las
Testing, TLPT) personas, los procesos y la tecnología de una entidad, con un
[también conocido conocimiento previo e impacto mínimos en las operaciones.
como prueba del
equipo rojo (red team Fuente: G-7 Fundamental Elements.
testing)]

Propiedad que asegura que las acciones de una entidad

puedan ser rastreadas y atribuidas de manera inequívoca a
Trazabilidad
dicha entidad.
(accountability)

Fuente: ISO/IEC 2382:2015.

Glosario de Ciberseguridad | BCRA | 10

 Recorrido o ruta utilizados por el agente de amenaza para
Vector de amenaza obtener acceso al objetivo.
(threat vector)
Fuente: Adaptado de ISACA Fundamentals.

Confirmación, a través de la provisión de evidencia objetiva,

Verificación de que se han cumplido los requisitos especificados.
(verification)
Fuente: ISO/IEC 27042:2015.

Debilidad, susceptibilidad o defecto de un activo o control

Vulnerabilidad que pueden ser explotados por una o más amenazas.
(vulnerability)
Fuente: Adaptado de CPMI-IOSCO e ISO/IEC 27000:2018.

Glosario de Ciberseguridad | BCRA | 11

Fuentes

Carnegie Mellon Software Engineering Institute, CERT® Resilience

Management Model, Version 1.2, Glossary of Terms (Instituto de
Ingeniería de Software de la Universidad Carnegie Mellon, Modelo
Glosario de CERT
CERT® para la gestión de la resiliencia, versión 1.2, Glosario)
https://resources.sei.cmu.edu/asset_files/BookChapter/2016_009_0
01_514934.pdf

CPMI-IOSCO, Guidance on cyber resilience for financial market

CPMI- infrastructures (June 2016) (CPMI-IOSCO, Guía sobre ciberresiliencia
IOSCO para infraestructuras de mercados financieros [junio de 2016])
https://www.bis.org/cpmi/publ/d146.pdf

FFIEC (Federal Financial Institutions Examination Council) IT

Examination Handbook Infobase, Glossary (Consejo Federal de
FFIEC Inspección de Instituciones Financieras, Infobase - Manual de
examen informático, Glosario)
https://ithandbook.ffiec.gov/glossary.aspx

FIRST Traffic Light Protocol (TLP), Version 1.0 (Protocolo de

FIRST divulgación)FIRST [TLP], versión 1.0)
https://www.first.org/tlp/docs/tlp-v1.pdf

G-7 Fundamental Elements for Threat-Led Penetration Testing (G7:

G-7 Elementos fundamentales para el test de intrusión basado en
Fundamental amenazas)
Elements https://www.fin.gc.ca/activty/G7/pdf/G7-penetration-testing-tests-
penetration-eng.pdf

ISACA Cybersecurity Fundamentals Glossary (2016) (Glosario de

conceptos fundamentales sobre ciberseguridad de ISACA [2016])
ISACA
http://www.isaca.org/Knowledge-
Fundamentals
Center/Documents/Glossary/Cybersecurity_Fundamentals_glossary
.pdf

Glosario de Ciberseguridad | BCRA | 12

 ISACA Glossary (Glosario de ISACA)
ISACA Full
https://www.isaca.org/Knowledge-
Glossary
Center/Documents/Glossary/glossary.pdf

ISO/IEC ISO/IEC 2832:2015

2832:2015 https://www.iso.org/standard/63598.html

ISO/IEC ISO/IEC 2832-37:2017

2832-37:2017 https://www.iso.org/standard/66693.html

ISO ISO 21188:2018

21188:2018 https://www.iso.org/standard/63134.html

ISO/IEC ISO/IEC 27000:2018

27000:2018 https://www.iso.org/standard/73906.html

ISO/IEC ISO/IEC 27032:2012

27032:2012 https://www.iso.org/standard/44375.html

ISO/IEC ISO/IEC 27033-1:2015

27033-1:2015 https://www.iso.org/standard/63461.html

ISO/IEC ISO/IEC 27035-1:2016

27035-1:2016 https://www.iso.org/standard/60803.html

ISO/IEC ISO/IEC 27039:2015

27039:2015 https://www.iso.org/standard/56889.html

ISO/IEC ISO/IEC 27040:2015

27040:2015 https://www.iso.org/standard/44404.html

ISO/IEC ISO/IEC 27042:2015

27042:2015 https://www.iso.org/standard/44406.html

NICCS (National Initiative for Cybersecurity Careers and Studies),

Explore Terms: A Glossary of Common Cybersecurity Terminology
(Iniciativa Nacional para Carreras y Estudios en Ciberseguridad
NICCS
[NICCS], Exploración de términos: glosario de terminología común de
ciberseguridad)
http://niccs.us-cert.gov/glossary

Glosario de Ciberseguridad | BCRA | 13

 NIST, Glossary of Key Information Security Terms, Revision 2 (May
2013) (NIST, Glosario de términos clave de seguridad de la
NIST
información, revisión 2 [mayo de 2013])
https://nvlpubs.nist.gov/nistpubs/ir/2013/NIST.IR.7298r2.pdf

NIST Special Publication 800-150, Guide to Cyber Threat Information

Sharing (October 2016) (NIST, Publicación especial 800-150, Guía de
NIST 800-150 intercambio de información sobre ciberamenazas [octubre de 2016])
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-
150.pdf

NIST, Framework for Improving Critical Infrastructure

Cybersecurity, Version 1.1 (16 April 2018) (NIST, Marco para la
NIST
mejora de la ciberseguridad en infraestructura crítica, versión 1.1.
Framework
[16 de abril de 2018])
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf

Structured Threat Information Expression (STIX™) 2

STIX
https://oasis-open.github.io/cti-documentation/stix/intro.html

Glosario de Ciberseguridad | BCRA | 14