Taller · Ciberseguridad + gobernanza de datos
Rastro
Encuentren lo que una organización dejó a la vista, entiéndanlo, y propónganle cómo cerrarlo.
- personas por equipo
- 3
- en clase
- 3 h
- entrega
- 25 ago
- pasivo · nada se toca
- 100%
Solo se consulta información ya pública. Es un ejercicio académico y defensivo.
En una frase
Un taller de rastreo pasivo: mirar solo lo que ya es público de una organización —sin tocar ningún sistema— para pasar de encontrar una exposición a proponer cómo subsanarla.
Qué haces
Encuentras una exposición pública real de una organización y la llevas, paso a paso, hasta una propuesta para cerrarla.
Qué aprendes
- ✓A ver la superficie de riesgo que una organización deja pública — la primera función de cualquier marco de seguridad: identificar.
- ✓A leer un hallazgo en clave de gobernanza: quién era el dueño del dato, cómo debió clasificarse y qué política faltó.
- ✓A ponerle precio al riesgo y volverlo una propuesta — la pregunta del curso: ¿cuánto vale, en pesos, lo que aceptamos sin nombrar?
Para qué
Para comprobar, con sus propias manos, que la seguridad y la gobernanza de datos no empiezan cuando llega un ataque, sino mucho antes: en decidir qué se publica, quién responde por ello y qué cuesta no cuidarlo.
Alineación con el curso
Dónde vive este taller en el curso
Rastro no es un tema aparte: es el puente, hecho con las manos, entre dos módulos que ya vimos.
Módulo · Gobernanza
«Cómo se construye una autoridad sobre el dato que la organización acepte.»
En el taller: El movimiento 4: qué comité, qué dueño y qué política habrían cuidado el hallazgo.
Módulo · Ciberseguridad
«Cuánto vale, en pesos, el riesgo que estamos aceptando sin nombrarlo.»
En el taller: Los movimientos 1 a 3 y la propuesta: encontrar el riesgo y ponerle precio.
Antes de empezar
Una sola regla: se mira, no se toca
- Rastreo pasivo = solo información que ya es pública. Nada de escanear, entrar ni probar contraseñas.
- Si aparecen datos personales, no se guardan ni se pegan en la IA.
- Lo que encuentren es para entenderlo y proponer una solución, no para publicarlo.
El objetivo
Elijan una organización
La que quieran: pública o privada. Su municipio, su universidad, un banco, una tienda, la empresa donde trabajan. Con una basta. Sobre ella harán todo el ejercicio.
Escojan una con la que puedan ser justos: la idea es ayudarla a mejorar, no exponerla.
El camino
De encontrar… a proponer
Paso 1
Identificación
Paso 2
Lectura técnica
Paso 3
Lectura de contexto
Paso 4
Propuesta
Las instrucciones
Cinco movimientos
Háganlos en equipo, a su ritmo. Todo lo que necesitan está aquí.
Identificar
Encuentren una exposición o vulnerabilidad de esa organización con rastreo pasivo. Con una clara basta.
Cómo: crt.sh (subdominios), el buscador con dorks (site:, filetype:pdf, inurl:), Wayback, las cabeceras del sitio, filtraciones ya publicadas. Usen una IA para ir más rápido: que planee y lea por ustedes.
En el cursoEs la función «Identificar» del NIST CSF: no se puede proteger lo que no se sabe que está expuesto.
Inventariar
Hagan la lista de lo que encontraron. Sin lista no hay taller.
Cómo: Por cada hallazgo: qué es, dónde se ve (el enlace público) y una captura de pantalla.
En el cursoUn inventario de activos expuestos: sin él no hay superficie que gobernar.
Entender
Expliquen qué es cada hallazgo y por qué se dio.
Cómo: En palabras simples: un documento que quedó indexado, una versión vieja, una configuración abierta, un correo en una filtración. La IA ayuda a explicarlo; ustedes verifican que sea cierto.
En el cursoAquí aparecen los metadatos y el ciclo de vida del dato: por qué algo terminó siendo público.
Contextualizar
¿Cómo un comité de gestión y gobernanza de datos habría evitado o cuidado esto?
Cómo: Piensen en dueño del dato, clasificación, política de publicación, revisión antes de publicar. Aquí conectan el hallazgo con lo que vimos en el curso: es el corazón del taller.
En el cursoEl corazón del curso: dueño del dato, clasificación y política de publicación — lo que decide un comité de gobernanza antes de que algo salga.
Proponer
Armen una propuesta comercial para subsanar los hallazgos a la entidad.
Cómo: Qué harían, en qué orden, cuánto tomaría y qué valor le da a la organización. Como si le vendieran el arreglo — con respeto y sin exponerla.
En el cursoLa pregunta del módulo de ciberseguridad: ponerle precio, en pesos, al riesgo que estaba sin nombrar.
El entregable
¿Qué me entregan?
Una presentación —en Lovable, Vercel, Gamma, Canva… la herramienta que quieran— que cuente lo que hicieron.
La suben para el martes 25 de agosto. En clase tienen 3 horas para avanzar y dejar casi todo listo.
La presentación debe tener, en este orden
- 1Portada
El equipo y la organización elegida.
- 2Hallazgos
La lista de lo que encontraron, con evidencia: captura y dónde se ve.
- 3Lectura técnica
Qué es cada hallazgo y por qué se da.
- 4Lectura de gobernanza
Cómo un comité de gestión y gobernanza de datos lo habría prevenido.
- 5Propuesta comercial
Qué ofrecen para subsanarlo, en qué orden y el valor para la entidad.
- 6Cierre
Una recomendación principal, en una frase.
Encuentren lo que una organización dejó a la vista, entiéndanlo, y propónganle cómo cerrarlo.