SEGURIDAD FÍSICA – CONTROL DE ACCESO POR CAPAS

🔐 1. Niveles de Control de Acceso Físico

Aplicamos el concepto de "Seguridad en Profundidad" también en lo físico: múltiples capas, cada una más restrictiva.

Nivel Zona - Objetivo
0 Perímetro - Disuadir y detectar: vallas, bolardos, cámaras.
1 Acceso general - Filtrar: puertas, lectores, vigilancia.
2 Área sensible - Restringir: esclusas, credenciales biométricas, PACS.
3 Núcleo crítico - Bloquear y auditar: doble autenticación, registro completo, custodia humana.

🔑 2. Tipos de Cerraduras y Dispositivos

2.1. Cerraduras físicas mecánicas

• Bajo coste.

• Más vulnerables a ganzúas, bumping o copia de llaves.

2.2. Cerraduras electrónicas

• PIN, código o tarjeta RFID/NFC.

• Se pueden integrar con sistemas de control de acceso (PACS).

2.3. Cerraduras biométricas

• Huella, iris, rostro o voz.

• Alta seguridad, pero sensibles a fallos ambientales o manipulación (ej. huellas falsas).

2.4. Cerraduras combinadas

• Biometría + PIN o tarjeta.

• Autenticación multifactor (MFA) física.

🌀 3. Esclusas o vestíbulos de control (mantrap)

• Dos puertas sincronizadas, para permitir paso de a una persona a la vez.

• Impide:

  • Tailgating (colarse detrás).

  • Piggybacking (ser dejado entrar voluntariamente).

• Uso: centros de datos, cámaras acorazadas, laboratorios, SOCs.

🪛 4. Candados y cierres físicos para dispositivos

🔐 Cerraduras de cable (Kensington)

• Aseguran laptops, monitores o servidores al rack o escritorio.

• Bloquean acceso físico al interior de dispositivos.

🪪 5. Credenciales de acceso (ID, tarjetas, llaveros)

Tipo Tecnología - Nivel de seguridad

• Banda magnética - Básica Baja (fácil de clonar)
• RFID / NFC - Media Requiere proximidad, pero clonable sin protección
• Tarjetas inteligentes (Smart Cards) Alta Puede incluir cifrado y autenticación mutua
• Biometría embebida Muy Alta Solo si se combina con otros factores

🧠 6. PACS (Physical Access Control Systems)

Un sistema PACS centraliza el control físico y permite:

• Registro de accesos.

• Verificación en tiempo real.

• Alarmas por accesos fallidos o forzados.

• Integración con SIEM, CCTV, alarmas y sistemas de evacuación.

🎯 7. Aplicación práctica por rol (Red Team, Blue Team, Purple Team)

🔴 Red Team – Ejercicios de Ataque Físico

• Tailgating / Piggybacking con ropa de mantenimiento o limpieza.

• Clonación de tarjetas RFID mal protegidas.

• Pruebas con llaves falsas, bumping en cerraduras mecánicas.

• Acceso a zonas sin cámaras.

• Bypass a PACS en caso de corte de energía.

• Inyección de dispositivos maliciosos (USB, dropbox, Pineapple) una vez dentro.

🔵 Blue Team – Defensa Física y Monitoreo

• Auditoría de registros de acceso vs presencia real.

• Verificación de funcionamiento de cerraduras eléctricas y esclusas.

• Inspección de integridad física de puertas, marcos, sensores de apertura.

• Uso de PACS para correlacionar accesos fallidos con patrones sospechosos.

• Pruebas de apertura sin autorización (fuerza, bumping, acceso indebido).

• Evaluación de exclusión por rol: un técnico de red no debe acceder a finanzas.

🟣 Purple Team – Coordinación, Pruebas y Mejora Continua

• Planificación de escenarios híbridos físicos-digitales.

  • Ej: un atacante físico que accede a una oficina y conecta un switch con puerto espejo.

• Simulación de respuesta ante intrusión física + monitoreo SIEM.

• Creación de tests de seguridad física + phishing (ej. "He olvidado mi tarjeta").

• Coordinación de revisión de PACS, CCTV, alarmas y control de presencia.

• Redacción de políticas de acceso físico, credenciales, y MDM para portátiles.

🛡️ 8. Buenas prácticas adicionales

• 🔋 Fuentes de energía redundante para cerraduras eléctricas.

• 🛑 Reglas claras para pérdida de credenciales: revocación instantánea.

• 🔄 Rotación periódica de códigos PIN o tarjetas temporales.

• 📷 Registro fotográfico de todos los usuarios con acceso a zonas críticas.

• 🛎️ Sistema de escorting para visitantes: siempre acompañados.

⚙️ 9. ¿Cómo lo implementa una Arquitecta de Seguridad?

1. Define zonas y niveles de seguridad física.

2. Elige tipo de cerradura/certificación por zona.

3. Implementa PACS y sincroniza con directorio corporativo (AD o LDAP).

4. Diseña políticas: quién accede, cuándo, cómo y bajo qué condiciones.

5. Coordina con RRHH y sistemas la gestión de credenciales.

6. Establece ejercicios mensuales Red-Blue para detectar debilidades.

7. Automatiza reportes con alertas en el SIEM ante eventos físicos sospechosos.