BOLETÍN OFICIAL DEL ESTADO
Núm. 134  Miércoles 13 de mayo de 2020  Sec. I.   Pág. 32310
I. DISPOSICIONES GENERALES
MINISTERIO DE EDUCACIÓN Y FORMACIÓN PROFESIONAL
4963 Real Decreto 479/2020, de 7 de abril, por el que se establece el Curso de 
especialización en ciberseguridad en entornos de las tecnologías de la 
información y se fijan los aspectos básicos del currículo.
La Ley Orgánica 2/2006, de 3 de mayo, de Educación, dispone en su artículo 39.6 que 
el Gobierno, previa consulta a las comunidades autónomas, establecerá las titulaciones 
correspondientes a los estudios de formación profesional, así como los aspectos básicos 
del currículo de cada una de ellas.
La Ley Orgánica 4/2011, de 11 de marzo, complementaria de la Ley de Economía 
Sostenible, por la que se modifican las Leyes Orgánicas 5/2002, de 19 de junio, de las 
Cualificaciones y de la Formación Profesional, 2/2006, de 3 de mayo, de Educación, 
y 6/1985, de 1 de julio, del Poder Judicial, modificó determinados aspectos de la Ley 
Orgánica 5/2002, de 19 de junio. Entre ellos se encontraba la adición de un nuevo apartado 3 
al artículo 10 de la misma, según el cual el Gobierno, previa consulta a las comunidades 
autónomas y mediante Real Decreto, podía crear cursos de especialización para completar 
las competencias de quienes dispusieran de un título de formación profesional.
Por tanto, y a efectos de la Clasificación Internacional Normalizada de la Educación 
(CINE-11), los cursos de especialización se considerarán un programa secuencial de los 
títulos de referencia que dan acceso a los mismos.
Por su parte, la Ley Orgánica 2/2006, de 3 de mayo en su artículo 6 bis, apartado 4, 
establece, en relación con la formación profesional, que el Gobierno fijará los objetivos, 
competencias, contenidos, resultados de aprendizaje y criterios de evaluación del currículo 
básico. Los contenidos del currículo básico requerirán el 55 por 100 de los horarios para 
las comunidades autónomas que tengan lengua cooficial y el 65 por 100 para aquellas que 
no la tengan.
El Real Decreto 1147/2011, de 29 de julio, por el que se establece la ordenación 
general de la formación profesional del sistema educativo, regula en su artículo 27 los 
cursos de especialización de formación profesional e indica los requisitos y condiciones a 
que deben ajustarse dichos cursos de especialización. En el mismo artículo se indica que 
versarán sobre áreas que impliquen profundización en el campo de conocimiento de los 
títulos de referencia, o bien una ampliación de las competencias que se incluyen en los 
mismos. Por tanto, en cada curso de especialización se deben especificar los títulos de 
formación profesional que dan acceso al mismo.
En este sentido los cursos de especialización deben responder de forma rápida a las 
innovaciones que se produzcan en el sistema productivo, así como a ámbitos emergentes 
que complementen la formación incluida en los títulos de referencia.
Asimismo, el artículo 9 del citado real decreto, establece la estructura de los cursos de 
especialización y se indica en el artículo 27 que, dada la naturaleza de los mismos, se 
requiere la especificación completa de la formación; no obstante, las administraciones 
educativas podrán adaptar estas especificaciones al sector productivo de su territorio.
A estos efectos, procede determinar para cada curso de especialización de formación 
profesional su identificación, el perfil profesional, el entorno profesional, la prospectiva en  s
el sector o sectores, las enseñanzas del curso de especialización y los parámetros básicos  oe.
de contexto formativo. w.
laarstí cCeunolosn e 1eñ0la ,f nianzp adaser  tfcaaodcnoild it3ua.crg e)e,nl  dtreeescl  oRan eotaíctlui mDloieescn ruteont oidv ee1 r1cs4riét7ad/r2iito0os1s1  ey,  ndvterice e2 ev9le  cdrusera sj,uo yl ido de, e se esa pceeuscetairabdliloze accceoirónán  e layl    2020-4963n https://ww
equivalencia de cada módulo profesional con créditos europeos ECTS para todo el Estado.
Teniendo en cuenta la temática específica sobre la que versa este curso de 
especialización, la formación asociada al perfil profesional identificado en el Capítulo II de 
este real decreto y la novedad que supone en relación con los ciclos que dan acceso al 
mismo, se considera necesario que la duración supere la que con carácter general se 
establece en el artículo 27 apartado f del Real Decreto 1147/2011, de 29 de julio.
Así, este real decreto, conforme a lo previsto en el Real Decreto 1147/2011, de 29 de 
julio, establece y regula, en los aspectos y elementos básicos antes indicados, el Curso de 
Especialización de formación profesional del sistema educativo en ciberseguridad en 
entornos de las tecnologías de la información.
Se ha recurrido a una norma reglamentaria para establecer bases estatales conforme 
con el Tribunal Constitucional, que admite que «excepcionalmente» las bases puedan 
establecerse mediante normas reglamentarias en determinados supuestos, como ocurre 
en el presente caso, cuando «resulta complemento indispensable para asegurar el mínimo 
común denominador establecido en las normas legales básicas» (así, entre otras, en las 
STC 25/1983, de 7 de abril, 32/1983, de 28 de abril, y 42/1988, de 22 de marzo).
Asimismo, cabe mencionar que este real decreto se ajusta a los principios de buena 
regulación contenidos en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo 
Común de las Administraciones Públicas, entre ellos los principios de necesidad, eficacia, 
proporcionalidad, seguridad jurídica, transparencia y eficiencia, en tanto que persigue el 
interés general al facilitar la adecuación de la oferta formativa a las demandas de los 
sectores productivos, ampliar la oferta de formación profesional, avanzar en la integración 
de la formación profesional en el conjunto del sistema educativo y reforzar la cooperación 
entre las administraciones educativas, así como con los agentes sociales y las empresas 
privadas; no existiendo ninguna alternativa regulatoria menos restrictiva de derechos, 
resulta coherente con el ordenamiento jurídico y permite una gestión más eficiente de los 
recursos públicos. Del mismo modo, durante el procedimiento de elaboración de la norma 
se ha permitido la participación activa de los potenciales destinatarios a través del trámite 
de audiencia e información pública y quedan justificados los objetivos que persigue la ley.
En la tramitación de este real decreto se han cumplido los trámites establecidos en la 
Ley 50/1997, de 27 de noviembre, del Gobierno, en la Ley 39/2015, de 1 de octubre, del 
Procedimiento Administrativo Común de las Administraciones Públicas y en la Ley 40/2015, 
de 1 de octubre, de Régimen Jurídico del Sector Público.
En el proceso de elaboración de este real decreto han sido consultadas las 
comunidades autónomas, ha emitido dictamen el Consejo Escolar del Estado y han 
informado el Consejo General de la Formación Profesional y el Ministerio de Política 
Territorial y Función Pública.
Este real decreto se dicta al amparo de las competencias que atribuye al Estado el 
artículo 149.1.30.ª de la Constitución para la regulación de las condiciones de obtención, 
expedición y homologación de los títulos académicos y profesionales y normas básicas 
para el desarrollo del artículo 27 de la Constitución, a fin de garantizar el cumplimiento de 
las obligaciones de los poderes públicos en esta materia.
En su virtud, a propuesta de la Ministra de Educación y Formación Profesional, y 
previa deliberación del Consejo de Ministros en su reunión del día 7 de abril de 2020,
DISPONGO:
CAPÍTULO I
Disposiciones generales bo
ArtícEuslote 1 r.e alO dbejectroe.to tiene por objeto el establecimiento del Curso de Especialización de
fcoornm caacriáócnt eprr ooffeicsiaiol nya vl aelnid ecizb eerns teogduor iedla tde rerinto erinot onrancoiosn dael,  laassí  tceocmnool odgeí aloss d aes plae icntfoosr mbáasciicóons,   BOE-A-cable e
de su currículo.
CAPÍTULO II
Identificación del curso de especialización, títulos de referencia, perfil profesional, 
entorno profesional y prospectiva del curso de especialización en el sector o sectores
Artículo 2.  Identificación.
El Curso de Especialización en Ciberseguridad en entornos de las tecnologías de la 
información queda identificado para todo el territorio nacional por los siguientes elementos:
Denominación: Ciberseguridad en entornos de las tecnologías de la información.
Nivel: Formación Profesional de Grado Superior.
Duración: 720 horas.
Familia Profesional: Informática y Comunicaciones (únicamente a efectos de 
clasificación de las enseñanzas de formación profesional).
Rama de conocimiento: Ingeniería y Arquitectura.
Créditos ECTS: 43.
Referente en la Clasificación Internacional Normalizada de la Educación: P-5.5.4.
Artículo 3.  Perfil profesional del curso de especialización.
El perfil profesional del Curso de Especialización en Ciberseguridad en entornos de las 
tecnologías de la información queda determinado por su competencia general, sus 
competencias profesionales, personales y sociales.
Artículo 4.  Competencia general.
La competencia general de este curso de especialización consiste en definir e 
implementar estrategias de seguridad en los sistemas de información realizando 
diagnósticos de ciberseguridad, identificando vulnerabilidades e implementando las 
medidas necesarias para mitigarlas aplicando la normativa vigente y estándares del sector, 
siguiendo los protocolos de calidad, de prevención de riesgos laborales y respeto ambiental.
Artículo 5.  Competencias profesionales, personales y sociales.
Las competencias profesionales, personales y sociales de este curso de especialización 
son las que se relacionan a continuación:
a)  Elaborar e implementar planes de prevención y concienciación en ciberseguridad 
en la organización, aplicando la normativa vigente.
b)  Detectar e investigar incidentes  de ciberseguridad, documentándolos e 
incluyéndolos en los planes de securización de la organización.
c)  Diseñar planes de securización contemplando las mejores prácticas para el 
bastionado de sistemas y redes.
d)  Configurar sistemas de control de acceso y autenticación en sistemas informáticos, 
cumpliendo los requisitos de seguridad y minimizando las posibilidades de exposición a 
ataques.
e)  Diseñar y administrar sistemas informáticos en red y aplicar las políticas de 
seguridad establecidas, garantizando la funcionalidad requerida con un nivel de riesgo 
controlado. s
f)  Analizar el nivel de seguridad requerido por las aplicaciones y los vectores de  e.
ataque más habituales, evitando incidentes de ciberseguridad. w.
g)  Implantar sistemas seguros de desplegado de software con la adecuada  63ww
coorhd)i naRcieóanl izeanrtr ea nloásli sdise sfaorrreonllsaedso riensfo yr mloást irceossp oannsaalibzlaensd doe  yla r eogpiesrtaracniódno  dleal  isnofoftrwmaarec.ión
relevi)a nDtee rteelcatcairo vnualdnae.rabilidades en sistemas, redes y aplicaciones, evaluando los riesgos  BOE-A-cable e
asociados.
j)  Definir y aplicar procedimientos para el cumplimiento normativo en materia de 
ciberseguridad y de protección de datos personales, implementándolos tanto internamente 
como en relación con terceros.
k)  Elaborar documentación técnica y administrativa cumpliendo con la legislación 
vigente, respondiendo a los requisitos establecidos.
l)  Adaptarse a las nuevas situaciones laborales, manteniendo actualizados los 
conocimientos científicos, técnicos y tecnológicos relativos a su entorno profesional, 
gestionando su formación y los recursos existentes en el aprendizaje a lo largo de la vida.
m)  Resolver situaciones, problemas o contingencias con iniciativa y autonomía en el 
ámbito de su competencia, con creatividad, innovación y espíritu de mejora en el trabajo 
personal y en el de los miembros del equipo.
n)  Generar entornos seguros en el desarrollo de su trabajo y el de su equipo, 
supervisando y aplicando los procedimientos de prevención de riesgos laborales y 
ambientales, de acuerdo con lo establecido por la normativa y los objetivos de la organización.
ñ)  Supervisar y aplicar procedimientos de gestión de calidad, de accesibilidad 
universal y de «diseño para todas las personas», en las actividades profesionales incluidas 
en los procesos de producción o prestación de servicios.
Artículo 6.  Entorno profesional.
1.  Este profesional ejercerá su actividad en entidades de los sectores donde sea 
necesario establecer mecanismos y medidas para la protección de los sistemas de 
información y redes de comunicaciones.
2.  Las ocupaciones y puestos de trabajo más relevantes son los siguientes:
a)  Experto en ciberseguridad.
b)  Auditor de ciberseguridad.
c)  Consultor de ciberseguridad.
d)  Hacker ético.
Artículo 7.  Prospectiva del curso de especialización en el sector o sectores.
Las administraciones educativas tendrán en cuenta, para la implantación de la oferta, 
la valoración de las siguientes consideraciones en su territorio:
a)  Las actividades que se desarrollan en el ciberespacio serán cada vez más 
numerosas y permitirán a los países más avanzados generar cada vez más riqueza a 
través de la información.
b)  La información y los datos se convertirán en activos muy valiosos, teniendo estas 
actividades cada vez mayor impacto en la sociedad.
c)  La conectividad y dependencia cada vez mayor de las redes y sistemas generarán 
vulnerabilidades que dificultarán la protección de la información y los datos. Los 
ciberataques serán más frecuentes y con mayor impacto.
d)  La vulnerabilidad del ciberespacio será uno de los principales riesgos que deberán tener 
en cuenta los gobiernos para garantizar el desarrollo del país. Por lo que todos los gobiernos 
deberán estar preparados para los ciberataques en infraestructuras críticas y sistemas 
estratégicos como los de telecomunicaciones, energéticos, transporte, banca y otros para 
garantizar la seguridad del ciberespacio y lograr una sociedad digital basada en la confianza.
e)  La seguridad del ciberespacio implicará potenciar las medidas de prevención,  s
detección y respuesta, que deberán incorporarse en el propio desarrollo de los productos  e.
y servicios. Además, se requerirán profesionales especializados en ciberdelitos que  w.
conozcan la base jurídica que afecta a la informática y manejen las herramientas  63ww
ndeec persoaferisaiso nqaulee sa ycuudaelifnic aa deossc laerne cciebre drsicehgousr iddealdit oas n. Eivne lc noancsieocnuael,n ecuiaro, pcreeoc ey rmá ulan ddeiaml, apnadraa 
garaf)n tizEalr u laso s eingteunrisdiavdo  ddee  tloesc npoaloísgeías sy  edmee srugse nctieusd acdoamnoo sla. computación en la nube, el big  BOE-A-cable e
data, la impresión 3D, la robótica colaborativa, la realidad aumentada, los sistemas
ciberfísicos o el Internet de las cosas, serán imprescindibles para potenciar la Industria 4.0, 
implementar las medidas de ciberseguridad necesarias e impulsar de manera efectiva la 
Economía Circular.
CAPÍTULO III
Enseñanzas del curso de especialización y parámetros básicos de contexto
Artículo 8.  Objetivos generales.
Los objetivos generales de este curso de especialización son los siguientes:
a)  Identificar los principios de la organización y normativa de protección en 
ciberseguridad, planificando las acciones que es preciso adoptar en el puesto de trabajo 
para la elaboración del plan de prevención y concienciación.
b)  Auditar el cumplimiento del plan de prevención y concienciación de la organización, 
definiendo las acciones correctoras que puedan derivarse para incluirlas en el plan se 
securización de la organización.
c)  Detectar incidentes de ciberseguridad implantando los controles, las herramientas 
y los mecanismos necesarios para su monitorización e identificación.
d)  Analizar y dar respuesta a incidentes de ciberseguridad, identificando y aplicando 
las medidas necesarias para su mitigación, eliminación, contención o recuperación.
e)  Elaborar análisis de riesgos para identificar activos, amenazas, vulnerabilidades y 
medidas de seguridad.
f)  Diseñar e implantar planes de medidas técnicas de seguridad a partir de los riesgos 
identificados para garantizar el nivel de seguridad requerido.
g)  Configurar sistemas de control de acceso, autenticación de personas y 
administración de credenciales para preservar la privacidad de los datos.
h)  Configurar la seguridad de sistemas informáticos para minimizar las probabilidades 
de exposición a ataques.
i)  Configurar dispositivos de red para cumplir con los requisitos de seguridad.
j)  Administrar la seguridad de sistemas informáticos en red aplicando las políticas de 
seguridad requeridas para garantizar la funcionalidad necesaria con el nivel de riesgo de 
red controlado.
k)  Aplicar estándares de verificación requeridos por las aplicaciones para evitar 
incidentes de seguridad.
l)  Automatizar planes de desplegado de software respetando los requisitos relativos 
a control de versiones, roles, permisos y otros para conseguir un desplegado seguro.
m)  Aplicar técnicas de investigación forense en sistemas y redes en los ámbitos del 
almacenamiento de la información no volátil, de los dispositivos móviles, del Cloud y de los 
sistemas IoT (Internet de las cosas), entre otros, para la elaboración de análisis forenses.
n)  Analizar informes forenses identificando los resultados de la investigación para 
extraer conclusiones y realizar informes.
ñ)  Combinar técnicas de hacking ético interno y externo para detectar vulnerabilidades 
que permitan eliminar y mitigar los riesgos asociados.
o)  Identificar el alcance de la aplicación normativa dentro de la organización, tanto 
internamente como en relación con terceros para definir las funciones y responsabilidades 
de todas las partes.
p)  Revisar y actualizar procedimientos de acuerdo con normas y estándares  s
actualizados para el correcto cumplimiento normativo en materia de ciberseguridad y de  oe.
protección de datos personales. w.
q)  Desarrollar manuales de información, utilizando herramientas ofimáticas y de  63ww
diserñ) o aAsnisatliidzaor p yo ur toilrizdaern laodso rre pcaurras oesla yb oopraorr tduonciduamdeenst adcei óanp rtéecnndiiczaa jye  aredlmacinioisntaradtoivsa c.on la
ey vloal uccoiómnu cnieicnatícfiicóan,,  tepcanroal ómgaicnat ey noergr aenl izeastpivíari tdue ld see catcotru ya llaizsa tceicónno lyo gaídaas pdtea rlas ein afo rnmuaecviaóns   BOE-A-cable e
situaciones laborales y personales.
s)  Desarrollar la creatividad y el espíritu de innovación para responder a los retos que 
se presentan en los procesos y en la organización del trabajo y de la vida personal.
t)  Evaluar situaciones de prevención de riesgos laborales y de protección ambiental, 
proponiendo y aplicando medidas de prevención personales y colectivas, de acuerdo con 
la normativa aplicable en los procesos de trabajo, para garantizar entornos seguros.
u)  Identificar y proponer las acciones profesionales necesarias para dar respuesta a 
la accesibilidad universal y al «diseño para todas las personas».
v)  Identificar y aplicar parámetros de calidad en los trabajos y actividades realizados 
en el proceso de aprendizaje, para valorar la cultura de la evaluación y de la calidad y ser 
capaces de supervisar y mejorar procedimientos de calidad.
Artículo 9.  Módulos profesionales.
1.  Los módulos profesionales de este curso de especialización:
a)  Quedan desarrollados en el anexo I de este real decreto, cumpliendo lo previsto 
en el artículo 10 apartado 3 del Real Decreto 1147/2011, de 29 de julio, por el que se 
establece la ordenación general de la formación profesional del sistema educativo
b)  Son los que a continuación se relacionan:
5021.  Incidentes de ciberseguridad.
5022.  Bastionado de redes y sistemas.
5023.  Puesta en producción segura.
5024.  Análisis forense informático.
5025.  Hacking ético.
5026.  Normativa de ciberseguridad.
2.  Las administraciones educativas adaptarán los currículos, respetando lo 
establecido en este real decreto y de acuerdo con lo dispuesto en el artículo 27 del Real 
Decreto 1147/2011, de 29 de julio.
Artículo 10.  Espacios y equipamientos.
1.  Los espacios necesarios para el desarrollo de las enseñanzas de este curso de 
especialización son los establecidos en el anexo II de este real decreto.
2.  Los espacios dispondrán de la superficie necesaria y suficiente para desarrollar las 
actividades de enseñanza que se deriven de los resultados de aprendizaje de cada uno de 
los módulos profesionales que se imparten en cada uno de los espacios. Además, deberán 
cumplir las siguientes condiciones:
a)  La superficie se establecerá en función del número de personas que ocupen el 
espacio formativo y deberá permitir el desarrollo de las actividades de enseñanza 
aprendizaje con la ergonomía y la movilidad requeridas dentro del mismo.
b)  Deberán cubrir la necesidad espacial de mobiliario, equipamiento e instrumentos 
auxiliares de trabajo.
c)  Deberán respetar los espacios o superficies de seguridad que exijan las máquinas 
y equipos en funcionamiento.
d)  Respetarán la normativa sobre prevención de riesgos laborales, la normativa 
sobre seguridad y salud en el puesto de trabajo y cuantas otras normas sean de aplicación.
3.  Los espacios formativos establecidos podrán ser ocupados por diferentes grupos  oe.
que cursen el mismo u otros cursos de especialización, o etapas educativas. w.
nece45s..  ariLLaoomsse  endqteiuv imepraesmdoiisae nnteteos cspe aqrcuraieom ssi eefn ointorcmslu.ayteivno esn  icdaednati feicsapdaociso  hnaon  ddeeb seenr  lodsif enreecnecsiaarrisoes   2020-4963n https://ww
y suficientes para garantizar al alumnado la adquisición de los resultados de
aprendizaje y la calidad de la enseñanza. Además, deberán cumplir las siguientes 
condiciones:
a)  El equipamiento (equipos, máquinas, etc.) dispondrá de la instalación necesaria 
para su correcto funcionamiento, cumplirá con las normas de seguridad y de prevención 
de riesgos y con cuantas otras sean de aplicación.
b)  La cantidad y características del equipamiento deberán estar en función del 
número de personas matriculadas y permitir la adquisición de los resultados de aprendizaje, 
teniendo en cuenta los criterios de evaluación y los contenidos que se incluyen en cada 
uno de los módulos profesionales que se impartan en los referidos espacios.
6.  Las administraciones competentes velarán para que los espacios y el equipamiento 
sean los adecuados en cantidad y características para el desarrollo de los procesos de 
enseñanza y aprendizaje que se derivan de los resultados de aprendizaje de los módulos 
correspondientes y garantizar así la calidad de estas enseñanzas.
Artículo 11.  Profesorado.
1.  La docencia de los módulos profesionales que constituyen las enseñanzas de este 
curso de especialización corresponde al profesorado del Cuerpo de Catedráticos de 
Enseñanza Secundaria, del Cuerpo de Profesores de Enseñanza Secundaria y del Cuerpo 
de Profesores Técnicos de Formación Profesional, según proceda, de las especialidades 
establecidas en el anexo III A) de este real decreto.
2.  Las titulaciones requeridas para acceder a los cuerpos docentes citados son, con 
carácter general, las establecidas en el artículo 13 del Reglamento de ingreso, accesos y 
adquisición de nuevas especialidades en los cuerpos docentes a que se refiere la Ley 
Orgánica 2/2006, de 3 de mayo y por el que se regula el régimen transitorio de ingreso a 
que se refiere la disposición transitoria decimoséptima de la citada ley, aprobado por el 
Real Decreto 276/2007 de 23 de febrero.
3.  El profesorado especialista tendrá atribuida la competencia docente de los 
módulos profesionales especificados en el anexo III A) de este real decreto.
4.  El profesorado especialista deberá cumplir los requisitos generales exigidos para 
el ingreso en la función pública docente establecidos en el artículo 12 del Reglamento de 
ingreso, accesos y adquisición de nuevas especialidades en los cuerpos docentes a que 
se refiere la Ley Orgánica 2/2006, de 3 de mayo y por el que se regula el régimen transitorio 
de ingreso a que se refiere la disposición transitoria decimoséptima de la citada ley, 
aprobado por al Real Decreto 276/2007, de 23 de febrero.
5.  Además, con el fin de garantizar que se da respuesta a las necesidades de los 
procesos involucrados en el módulo profesional, es necesario que el profesorado 
especialista acredite al inicio de cada nombramiento una experiencia profesional reconocida 
en el campo laboral correspondiente, debidamente actualizada, de al menos dos años de 
ejercicio profesional en los cuatro años inmediatamente anteriores al nombramiento.
6.  Para el profesorado de los centros de titularidad privada o de titularidad pública de 
otras administraciones distintas de las educativas, las titulaciones requeridas y los requisitos 
necesarios para la impartición de los módulos profesionales que conforman el curso de 
especialización son las incluidas en el anexo III C) de este real decreto. En todo caso, se 
exigirá que las enseñanzas conducentes a las titulaciones citadas engloben los objetivos de 
los módulos profesionales y, si dichos objetivos no estuvieran incluidos, además de la 
titulación deberá acreditarse, mediante certificación, una experiencia laboral de, al menos, 
tres años en el sector vinculado a la familia profesional, realizando actividades productivas  e.
en empresas relacionadas implícitamente con los resultados de aprendizaje. w.
7.  Las administraciones competentes velarán para que el profesorado que imparta  63ww
lcoasli dmaódd duelo ess tparso feenssioenñaalnezsa sc.umpla con los requisitos especificados y garantizar así la
públ8ic. osD ya pdraiv laad noast,u draelbeezraá  ddee mesotostsr acru qrsuoes  pdoes eeesp loesc iacoliznaocciiómni,e enlt opsro sfuefsicoireandtoe sd eso cbernet rlooss   BOE-A-cable e
contenidos de los módulos profesionales a impartir en dicho curso.
Artículo 12.  Requisitos de los centros que impartan los cursos de especialización.
Los centros docentes que oferten estos cursos de especialización deberán cumplir, 
además de los establecidos en este real decreto, el requisito de impartir alguno de los 
títulos que dan acceso a los mismos y que figuran en el artículo 13 de este real decreto.
CAPÍTULO IV
Acceso y vinculación a otros estudios
Artículo 13.  Requisitos de acceso al curso de especialización.
Para acceder al Curso de Especialización en Ciberseguridad en entornos de las 
tecnologías de la información es necesario estar en posesión de alguno de los siguientes 
títulos:
a)  Técnico Superior en Administración de Sistemas Informáticos en Red establecido 
por el Real Decreto 1629/2009, de 30 de octubre, por el que se establece el título de 
Técnico Superior en Administración de Sistemas Informáticos en Red y se fijan sus 
enseñanzas mínimas.
b)  Técnico Superior en Desarrollo de Aplicaciones Multiplataforma, establecido por el 
Real Decreto 450/2010, de 16 de abril, por el que se establece el título de Técnico Superior 
en Desarrollo de Aplicaciones Multiplataforma y se fijan sus enseñanzas mínimas.
c)  Técnico Superior en Desarrollo de Aplicaciones Web, establecido por el Real 
Decreto 686/2010, de 20 de mayo, por el que se establece el título de Técnico Superior en 
Desarrollo de Aplicaciones Web y se fijan sus enseñanzas mínimas.
d)  Técnico Superior en Sistemas de Telecomunicaciones e Informáticos, establecido 
por el Real Decreto 883/2011, de 24 de junio, por el que se establece el título de Técnico 
Superior en Sistemas de Telecomunicaciones e Informáticos y se fijan sus enseñanzas 
mínimas.
e)  Técnico Superior en Mantenimiento Electrónico, establecido por el Real Decreto 
1578/2011, de 4 de noviembre, por el que se establece el Título de Técnico Superior en 
Mantenimiento Electrónico y se fijan sus enseñanzas mínimas.
Artículo 14.  Vinculación a otros estudios.
A efectos de facilitar el régimen de convalidaciones, en este real decreto se han 
asignado 43 créditos ECTS entre todos los módulos profesionales de este curso de 
especialización.
Disposición adicional primera.  Regulación del ejercicio de la profesión.
El curso de especialización establecido en este real decreto no constituye una 
regulación del ejercicio de profesión regulada alguna.
Disposición adicional segunda.  Accesibilidad universal en las enseñanzas de este curso 
de especialización.
1.  Las administraciones educativas, en el ámbito de sus respectivas competencias, 
incluirán en el currículo de este curso de especialización los elementos necesarios para  s
garantizar que las personas que lo cursen desarrollen las competencias incluidas en el  oe.
currículo en «diseño para todas las personas». w.
eessttea2 ba.l elucAmidsnaimasd iesonm p olua,e  dddiiasc phaoacssci ecaidódenmr  fiyinn icasutl rrtasecaricro ednrieacsh d oae dcl uoRrpestaoal r dáDene  eclasresp teomc Lieaedligizdiasaclsai ótninve oec en1s /l2aa0rsi1 ac3so,  npddaeirc a2io 9qn udeees    2020-4963n https://ww
noviembre, por el que se aprueba el Texto Refundido de la Ley General de derechos de las
personas con discapacidad y de su inclusión social.
Disposición adicional tercera.  Titulaciones habilitantes a efectos de docencia.
1.  A los efectos del artículo 11.2 de este real decreto, y de conformidad con lo 
dispuesto en el artículo 95.1 de la Ley Orgánica, 2/2006, de 3 de mayo, de Educación y en 
la disposición adicional decimoquinta de la Ley Orgánica 4/2007, de 12 de abril, por la que 
se modifica la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades, habilitarán 
excepcionalmente a efectos de docencia las titulaciones recogidas en el anexo III B) de 
este real decreto para las distintas especialidades del profesorado.
2.  A los efectos del artículo 11.6 de este real decreto, y de conformidad con lo 
dispuesto en el artículo 95.1 de la Ley Orgánica, 2/2006, de 3 de mayo y en la disposición 
adicional décimo quinta de la Ley Orgánica 4/2007, de 12 de abril, las titulaciones 
recogidas en el anexo III D) de este real decreto excepcionalmente habilitarán para impartir 
módulos profesionales en centros de titularidad privada y de otras administraciones 
distintas a la educativa.
Disposición final primera.  Título competencial.
Este real decreto se dicta al amparo de las competencias que atribuye al Estado el 
artículo 149.1.30.ª de la Constitución para la regulación de las condiciones de obtención, 
expedición y homologación de los títulos académicos y profesionales y normas básicas 
para el desarrollo del artículo 27 de la Constitución, a fin de garantizar el cumplimiento de 
las obligaciones de los poderes públicos en esta materia.
Disposición final segunda.  Entrada en vigor.
Este real decreto entrará en vigor el día siguiente al de su publicación en el «Boletín 
Oficial del Estado».
Dado en Madrid, el 7 de abril de 2020.
FELIPE R.
La Ministra de Educación y Formación Profesional,
MARÍA ISABEL CELAÁ DIÉGUEZ
ANEXO I
Módulos Profesionales
Módulo Profesional: Incidentes de ciberseguridad.
Código: 5021.
Créditos ECTS: 9.
Resultados de aprendizaje y criterios de evaluación.
 
1.  Desarrolla planes de prevención y concienciación en ciberseguridad, estableciendo 
normas y medidas de protección.
Criterios de evaluación:
a)	 Se	 han	 definido	 los	 principios	 generales	 de	 la	 organización	 en	 materia	 de	
ciberseguridad, que deben ser conocidos y apoyados por la dirección de la misma.
b)  Se ha establecido una normativa de protección del puesto de trabajo.
c)	 Se	 ha	 definido	 un	 plan	 de	 concienciación	 de	 ciberseguridad	 dirigido	 a	 los	
empleados.
d)  Se ha desarrollado el material necesario para llevar a cabo las acciones de 
concienciación dirigidas a los empleados.
e)	 Se	ha	realizado	una	auditoría	para	verificar	el	cumplimiento	del	plan	de	prevención	
y concienciación de la organización.
2.  Analiza incidentes de ciberseguridad utilizando herramientas, mecanismos de 
detección y alertas de seguridad.
Criterios de evaluación:
a)	 Se	ha	clasificado	y	definido	la	taxonomía	de	incidentes	de	ciberseguridad	que	
pueden afectar a la organización.
b)  Se han establecido controles, herramientas y mecanismos de monitorización, 
identificación,	detección	y	alerta	de	incidentes	
c)	 Se	han	establecido	controles	y	mecanismos	de	detección	e	identificación	de	
incidentes de seguridad física.
d)  Se han establecido controles, herramientas y mecanismos de monitorización, 
identificación,	detección	y	alerta	de	incidentes	a	través	de	la	investigación	en	
fuentes abiertas (OSINT: Open Source Intelligence).
e)	 Se	ha	realizado	una	clasificación,	valoración,	documentación	y	seguimiento	de	los	
incidentes detectados dentro de la organización.
3.	 Investiga	incidentes	de	ciberseguridad	analizando	los	riesgos	implicados	y	definiendo	
las posibles medidas a adoptar.
Criterios de evaluación:
a)  Se han recopilado y almacenado de forma segura evidencias de incidentes de  es
ciberseguridad que afectan a la organización. o
b)  Se ha realizado un análisis de evidencias. w.
cd))   SScoeem  hhpaae  ritneetaneltriezcsaa dmqoub eliaa p dinoovd iernísafotnigr mhaacaiccóeinór  nda epd oeinr ticnaicdciiedonentneetsse  asd,le  rc ecosinbp eeprcrsoteovg.e uerdidoarde.s y/o organismos  2020-4963n https://ww
e)  Se han iniciado las primeras medidas de contención de los incidentes para limitar
los posibles daños causados.
4.  Implementa medidas de ciberseguridad en redes y sistemas respondiendo a los 
incidentes detectados y aplicando las técnicas de protección adecuadas. 
Criterios de evaluación:
a)  Se han desarrollado procedimientos de actuación detallados para dar respuesta, 
mitigar,  eliminar  o  contener  los  tipos  de  incidentes  de  ciberseguridad  más 
habituales.
b)  Se han preparado respuestas ciberresilientes ante incidentes que permitan seguir 
prestando los servicios de la organización y fortaleciendo las capacidades de 
identificación,	detección,	prevención,	contención,	recuperación	y	cooperación	con	
terceros.
c)	 Se	ha	establecido	un	flujo	de	toma	de	decisiones	y	escalado	de	incidentes	interno	
y/o externo adecuados.
d)  Se han llevado a cabo las tareas de restablecimiento de los servicios afectados 
por	un	incidente	hasta	confirmar	la	vuelta	a	la	normalidad.
e)  Se han documentado las acciones realizadas y las conclusiones que permitan 
mantener un registro de “lecciones aprendidas”.
f)  Se ha realizado un seguimiento adecuado del incidente para evitar que una 
situación similar se vuelva a repetir.
5.  Detecta  y  documenta  incidentes  de  ciberseguridad  siguiendo  procedimientos  de 
actuación establecidos.
Criterios de evaluación:
a)	 Se	ha	desarrollado	un	procedimiento	de	actuación	detallado	para	la	notificación	de	
incidentes de ciberseguridad en los tiempos adecuados.
b)	 Se	ha	notificado	el	incidente	de	manera	adecuada	al	personal	interno	de	la	
organización responsable de la toma de decisiones.
c)	 Se	ha	notificado	el	incidente	de	manera	adecuada	a	las	autoridades	competentes	
en el ámbito de la gestión de incidentes de ciberseguridad en caso de ser necesario.
d)	 Se	ha	notificado	formalmente	el	incidente	a	los	afectados,	personal	interno,	
clientes, proveedores, etc., en caso de ser necesario.
e)	 Se	ha	notificado	el	incidente	a	los	medios	de	comunicación	en	caso	de	ser	
necesario.
Duración: 80 horas.
Contenidos básicos:
Desarrollo de planes de prevención y concienciación en ciberseguridad:
−	 Principios	generales	en	materia	de	ciberseguridad.
−	 Normativa	de	protección	del	puesto	del	trabajo.
−	 Plan	de	formación	y	concienciación	en	materia	de	ciberseguridad. es
−	 Materiales	de	formación	y	concienciación. o
−	 Auditorías	internas	de	cumplimiento	en	materia	de	prevención. 63www.
Auditoría de incidentes de ciberseguridad:
−	 Taxonomía	de	incidentes	de	ciberseguridad.
−	 Controles,	herramientas	y	mecanismos	de	monitorización,	identificación,	detección	
y alerta de incidentes: tipos y fuentes
−	 Controles,	herramientas	y	mecanismos	de	detección	e	identificación	de	incidentes	
de seguridad física.
−	 Controles,	herramientas	y	mecanismos	de	monitorización,	identificación,	detección	
y alerta de incidentes a través de la investigación en fuentes abiertas (OSINT).
−	 Clasificación,	valoración,	documentación,	seguimiento	inicial	de	incidentes	de	
ciberseguridad.
Investigación de los incidentes de ciberseguridad:
−	 Recopilación	de	evidencias.
−	 Análisis	de	evidencias.
−	 Investigación	del	incidente
−	 Intercambio	 de	 información	 del	 incidente	 con	 proveedores	 u	 organismos	
competentes.
−	 Medidas	de	contención	de	incidentes.
Implementación de medidas de ciberseguridad:
−	 Desarrollar	procedimientos	de	actuación	detallados	para	dar	respuesta,	mitigar,	
eliminar o contener los tipos de incidentes.
−	 Implantar	capacidades	de	ciberresiliencia.
−	 Establecer	flujos	de	toma	de	decisiones	y	escalado	interno	y/o	externo	adecuados.
−	 Tareas	para	reestablecer	los	servicios	afectados	por	incidentes.
−	 Documentación
−	 Seguimiento	de	incidentes	para	evitar	una	situación	similar.
Detección y documentación de incidentes de ciberseguridad:
−	 Desarrollar	procedimientos	de	actuación	para	la	notificación	de	incidentes.
−	 Notificación	interna	de	incidentes.
−	 Notificación	de	incidentes	a	quienes	corresponda.
Orientaciones pedagógicas.
Este módulo profesional contiene la formación necesaria para desempeñar las 
funciones de análisis, detección y respuesta a los incidentes de ciberseguridad de la 
organización.
La función de análisis y detección de incidentes de ciberseguridad incluye aspectos 
como la monitorización de los sistemas para la recopilación de evidencias que permita dar 
una respuesta adecuada a los incidentes detectados.
Las  actividades  profesionales  asociadas  a  esta  función  se  aplican  mediante 
la	instalación	y	configuración	de	las	herramientas	necesarias	para	hacer	frente	a	los	
ciberataques.
La formación del módulo contribuye a alcanzar los objetivos generales a), b), c), d),  o
q), r), s), t), u) y v) y las competencias a), b), k), l), m), n) y ñ) del curso de especialización. 63www.
alca–n zLaarL slao  sleí nloaebbajoesrt aivdcoeiós  andc edtule ma pcóliaódnnue lose  nvd eeer spl arperrávonec nescsoioób nred y:e  ceonnsceieñnacnizaac ióanp rdeen dciibzaejres eqguueri dpaedr.miten  BOE-A-2020-49cable en https://
–  La detección de incidentes mediante distintas herramientas de monitorización.
–  La implantación de las medidas necesarias para responder a los incidentes 
detectados.
–	 Identificación	de	la	normativa	nacional	e	internacional	aplicable	en	la	organización.
–	 La	notificación	de	incidentes	tanto	interna	como	externa,	si	procede,	mediante	los	
procedimientos adecuados.
Módulo Profesional: Bastionado de redes y sistemas.
Código: 5022.
Créditos ECTS: 10.
Resultados de aprendizaje y criterios de evaluación.
1.  Diseña planes de securización incorporando buenas prácticas para el bastionado de 
sistemas y redes.
Criterios de evaluación:
a)	 Se	han	identificado	los	activos,	las	amenazas	y	vulnerabilidades	de	la	organización.
b)  Se ha evaluado las medidas de seguridad actuales.
c)  Se ha elaborado un análisis de riesgo de la situación actual en ciberseguridad de 
la organización
d)  Se ha priorizado las medidas técnicas de seguridad a implantar en la organización 
teniendo también en cuenta los principios de la Economía Circular.
e)  Se ha diseñado y elaborado un plan de medidas técnicas de seguridad a implantar 
en la organización, apropiadas para garantizar un nivel de seguridad adecuado en 
función de los riesgos de la organización.
f)	 Se	han	identificado	las	mejores	prácticas	en	base	a	estándares,	guías	y	políticas	de	
securización adecuadas para el bastionado de los sistemas y redes de la organización.
2.	 Configura	sistemas	de	control	de	acceso	y	autenticación	de	personas	preservando	la	
confidencialidad	y	privacidad	de	los	datos.	
Criterios de evaluación:
a)	 Se	han	definido	los	mecanismos	de	autenticación	en	base	a	distintos	/	múltiples	
factores (físicos, inherentes y basados en el conocimiento), existentes.
b)	 Se	han	definido	protocolos	y	políticas	de	autenticación	basados	en	contraseñas	y	
frases de paso, en base a las principales vulnerabilidades y tipos de ataques.
c)	 Se	han	definido	protocolos	y	políticas	de	autenticación	basados	en	certificados	
digitales y tarjetas inteligentes, en base a las principales vulnerabilidades y tipos 
de ataques.
d)	 Se	han	definido	protocolos	y	políticas	de	autenticación	basados	en	tokens, OTPs, 
etc., en base a las principales vulnerabilidades y tipos de ataques.
e)	 Se	han	definido	protocolos	y	políticas	de	autenticación	basados	en	características	
biométricas, según las principales vulnerabilidades y tipos de ataques.
3.  Administra credenciales de acceso a sistemas informáticos aplicando los requisitos de  e
funcionamiento y seguridad establecidos. bo
Criterios de evaluación:
ab))		 SSee		hhaann		gideennetrifiacdaod	yo	u	ltoilsiz	taipdoos	d	difee	rcernetdeesn	cceiartliefisc	amdáoss		duitgiliiztaaldeos	sc.omo	medio	de	acceso	
a un servidor remoto.
c)	 Se	ha	comprobado	la	validez	y	la	autenticidad	de	un	certificado	digital	de	un	
servicio web.
d)	 Se	han	comparado	certificados	digitales	válidos	e	inválidos	por	diferentes	motivos.
e)	 Se	ha	instalado	y	configurado	un	servidor	seguro	para	la	administración	de	
credenciales (tipo RADIUS - Remote Access Dial In User Service)
4.  Diseña redes de computadores contemplando los requisitos de seguridad.
Criterios de evaluación:
a)  Se ha incrementado el nivel de seguridad de una red local plana segmentándola 
físicamente y utilizando técnicas y dispositivos de enrutamiento.
b)  Se ha optimizado una red local plana utilizando técnicas de segmentación lógica 
(VLANs).
c)  Se ha adaptado un segmento de una red local ya operativa utilizando técnicas de 
subnetting para incrementar su segmentación respetando los direccionamientos 
existentes.
d)	 Se	han	configurado	las	medidas	de	seguridad	adecuadas	en	los	dispositivos	que	
dan acceso a una red inalámbrica (routers, puntos de acceso, etc.).
e)  Se  ha  establecido  un  túnel  seguro  de  comunicaciones  entre  dos  sedes 
geográficamente	separadas.
5.	 Configura	dispositivos	y	sistemas	informáticos	cumpliendo	los	requisitos	de	seguridad.	
Criterios de evaluación:
a)	 Se	han	configurado	dispositivos	de	seguridad	perimetral	acorde	a	una	serie	de	
requisitos de seguridad.
b)	 Se	han	detectado	errores	de	configuración	de	dispositivos	de	red	mediante	el	
análisis	de	tráfico.
c)	 Se	han	identificado	comportamientos	no	deseados	en	una	red	a	través	del	análisis	
de los registros (Logs), de un cortafuego.
d)  Se han implementado contramedidas frente a comportamientos no deseados en 
una red.
e)	 Se	 han	 caracterizado,	 instalado	 y	 configurado	 diferentes	 herramientas	 de	
monitorización.
6.	 Configura	dispositivos	para	la	instalación	de	sistemas	informáticos	minimizando	las	
probabilidades de exposición a ataques.
Criterios de evaluación:
a)	 Se	ha	configurado	la	BIOS para incrementar la seguridad del dispositivo y su 
contenido minimizando las probabilidades de exposición a ataques.
b)  Se ha preparado un sistema informático para su primera instalación teniendo en 
cuenta las medidas de seguridad necesarias.
c)	 Se	ha	configurado	un	sistema	informático	para	que	un	actor	malicioso	no	pueda	
alterar	la	secuencia	de	arranque	con	fines	de	acceso	ilegítimo. es
d)  Se ha instalado un sistema informático utilizando sus capacidades de cifrado del  o
e)	 sSriieesst	ehgmao	sap 	daderet i	scfieicoghnuearrdiodosa		dep.la	srais	teevmitaar	d	lae		efixcthrearcocsió	dne	flí	ssiicsate	dmea	d	iantfoosrm. ático	para	minimizar	 2020-4963n https://www.
7.	 Configura	sistemas	informáticos	minimizando	las	probabilidades	de	exposición	a	
ataques.
Criterios de evaluación:
a)  Se han enumerado y eliminado los programas, servicios y protocolos innecesarios 
que hayan sido instalados por defecto en el sistema.
b)	 Se	 han	 configurado	 las	 características	 propias	 del	 sistema	 informático	 para	
imposibilitar el acceso ilegítimo mediante técnicas de explotación de procesos.
c)  Se ha incrementado la seguridad del sistema de administración remoto SSH y otros.
d)	 Se	ha	instalado	y	configurado	un	Sistema	de	detección	de	intrusos	en	un	Host 
(HIDS) en el sistema informático.
e)	 Se	han	instalado	y	configurado	sistemas	de	copias	de	seguridad.	
Duración: 95 horas.
Contenidos básicos:
Diseño de planes de securización:
−	 Análisis	de	riesgos.
−	 Principios	de	la	Economía	Circular	en	la	Industria	4.0.
−	 Plan	de	medidas	técnicas	de	seguridad.
−	 Políticas	de	securización	más	habituales.
−	 Guías	de	buenas	prácticas	para	la	securización	de	sistemas	y	redes.
−	 Estándares	de	securización	de	sistemas	y	redes.
−	 Caracterización	de	procedimientos,	instrucciones	y	recomendaciones.
−	 Niveles,	escalados	y	protocolos	de	atención	a	incidencias.
Configuración	de	sistemas	de	control	de	acceso	y	autenticación	de	personas:
−	 Mecanismos	de	autenticación.	Tipos	de	factores.
−	 Autenticación	basada	en	distintas	técnicas:
Administración de credenciales de acceso a sistemas informáticos:
−	 Gestión	de	credenciales.
−	 Infraestucturas	de	Clave	Pública	(PKI). 
−	 Acceso	por	medio	de	Firma	electrónica.
−	 Gestión	de	accesos.	Sistemas	NAC	(Network Access Control, Sistemas de Gestión 
de Acceso a la Red).
−	 Gestión	de	cuentas	privilegiadas.
−	 Protocolos	RADIUS y TACACS, servicio KERBEROS, entre otros.
Diseño de redes de computadores seguras:
−	 Segmentación	de	redes.
−	 Subnetting. es
−	 Redes	virtuales	(VLANs). o
−−−			 ZSPoerongtauo	rcdidoealosdms		eidlnieta		rrreeizddae	dssea	ig	n(uaDrlMáomsZ	b()I.rPicSaesc	(, WetPcA.)2., WPA3, etc.). 2020-4963n https://www.
Configuración	de	dispositivos	y	sistemas	informáticos:
−	 Seguridad	perimetral.	Firewalls	de	Próxima	Generación.
−	 Seguridad	 de	 portales	 y	 aplicativos	 web.	 Soluciones	 WAF  (Web  Aplication 
Firewall).
−	 Seguridad	del	puesto	de	trabajo	y	endpoint	fijo	y	móvil.	AntiAPT, antimalware.
−	 Seguridad	de	entornos	cloud.	Soluciones	CASB.
−	 Seguridad	del	correo	electrónico
−	 Soluciones	DLP (Data Loss Prevention)
−	 Herramientas	de	almacenamiento	de	logs.
−	 Protección	ante	ataques	de	denegación	de	servicio	distribuido	(DDoS).
−	 Configuración	segura	de	cortafuegos,	enrutadores	y	proxies.
−	 Redes	privadas	virtuales	(VPNs), y túneles (protocolo IPSec).
−	 Monitorización	de	sistemas	y	dispositivos.
−	 Herramientas	de	monitorización	(IDS, IPS).
−	 SIEMs (Gestores de Eventos e Información de Seguridad).
−	 Soluciones	de	Centros	de	Operación	de	Red,	y	Centros	de	Seguridad	de	Red:	
NOCs y SOCs.
Configuración	de	dispositivos	para	la	instalación	de	sistemas	informáticos:
−	 Precauciones	previas	a	la	instalación	de	un	sistema	informático:	aislamiento,	
configuración	del	control	de	acceso	a	la	BIOS, bloqueo del orden de arranque de 
los dispositivos, entre otros.
−	 Seguridad	en	el	arranque	del	sistema	informático,	configuración	del	arranque	
seguro.
−	 Seguridad	de	los	sistemas	de	ficheros,	cifrado,	particionado,	entre	otros.
Configuración	de	los	sistemas	informáticos:
−	 Reducción	del	número	de	servicios,	Telnet, RSSH, TFTP, entre otros.
−	 Hardening de procesos (eliminación de información de depuración en caso de 
errores, aleatorización de la memoria virtual para evitar exploits, etc.).
−	 Eliminación	de	protocolos	de	red	innecesarios	(ICMP, entre otros).
−	 Securización	de	los	sistemas	de	administración	remota.
−	 Sistemas	de	prevención	y	protección	frente	a	virus	e	intrusiones	(antivirus,	HIDS, 
etc.).
−	 Configuración	de	actualizaciones	y	parches	automáticos.
−	 Sistemas	de	copias	de	seguridad.
−	 Shadow IT y políticas de seguridad en entornos SaaS.
Orientaciones pedagógicas.
Este módulo profesional contiene la formación necesaria para desempeñar la 
función de bastionado de los sistemas y redes de la organización. 
La función de bastionado incluye aspectos como la administración de los sistemas  es
y  redes  contemplando  la  normativa,  tanto  a  nivel  nacional  como  internacional,  de  o
ciberseguridad en vigor. 63www.
dseeg pulraidLnaaedss   qdauecet i svaeipdclaiuqdrueizesan cp iaór onlaf e yos rieognna aneliezl sad ciasióesnoñcoi addea sla sa  reesdteas  fucnocnitóenm psela nadpoli claons  reenq ueils idtoisse ñdoe   OE-A-2020-49able en https://
La formación del módulo contribuye a alcanzar los objetivos generales e), f), g), 
h), i), j), q), r), s), t), u) y v) y las competencias c), d), e), k), l), m), n) y ñ) del curso de 
especialización.
Las líneas de actuación en el proceso de enseñanza aprendizaje que permiten 
alcanzar los objetivos del módulo versarán sobre:
–  El diseño de planes de securización de la organización.
–  El diseño de redes de computadores.
–  La administración de los sistemas de control de acceso.
Módulo Profesional: Puesta en producción segura.
Código: 5023.
Créditos ECTS: 7.
Resultados de aprendizaje y criterios de evaluación.
1.  Prueba aplicaciones web y aplicaciones para dispositivos móviles analizando la 
estructura del código y su modelo de ejecución.
Criterios de evaluación:
a)  Se han comparado diferentes lenguajes de programación de acuerdo a sus 
características principales.
b)  Se han descrito los diferentes modelos de ejecución de software.
c)	 Se	han	reconocido	los	elementos	básicos	del	código	fuente,	dándoles	significado.
d)  Se han ejecutado diferentes tipos de prueba de software.
e)  Se han evaluado los lenguajes de programación de acuerdo a la infraestructura de 
seguridad que proporcionan.
2.	 Determina	el	nivel	de	seguridad	requerido	por	aplicaciones	identificando	los	vectores	
de ataque habituales y sus riesgos asociados. 
Criterios de evaluación:
a)	 Se	han	caracterizado	los	niveles	de	verificación	de	seguridad	en	aplicaciones	
establecidos por los estándares internacionales (ASVS, “Application Security 
Verification Standard”).
b)	 Se	ha	identificado	el	nivel	de	verificación	de	seguridad	requerido	por	las	aplicaciones	
en función de sus riesgos de acuerdo a estándares reconocidos.
c)	 Se	han	enumerado	los	requisitos	de	verificación	necesarios	asociados	al	nivel	de	
seguridad establecido.
d)  Se han reconocido los principales riesgos de las aplicaciones desarrolladas, en 
función de sus características.
3.  Detecta y corrige vulnerabilidades de aplicaciones web analizando su código fuente y 
configurando	servidores	web.
Criterios de evaluación: bo
ab))   SSee  hhaann  vdaeltiedcatdaod ola rsie esngtorasd daes  idneye loccsi óuns utaanriotos .en el servidor como en el cliente.
c)  Sapel ichaac iógne.stionado correctamente la sesión del usuario durante el uso de la
d)  Se ha hecho uso de roles para el control de acceso.
e)	 Se	han	utilizado	algoritmos	criptográficos	seguros	para	almacenar	las	contraseñas	
de usuario.
f)	 Se	han	configurado	servidores	web para reducir el riesgo de sufrir ataques 
conocidos.
g)  Se han incorporado medidas para evitar los ataques a contraseñas, envío masivo 
de mensajes o registros de usuarios a través de programas automáticos (bots).
4.  Detecta  problemas  de  seguridad  en  las  aplicaciones  para  dispositivos  móviles, 
monitorizando	su	ejecución	y	analizando	ficheros	y	datos.
Criterios de evaluación:
a)  Se han comparado los diferentes modelos de permisos de las plataformas móviles.
b)  Se han descrito técnicas de almacenamiento seguro de datos en los dispositivos, 
para evitar la fuga de información.
c)  Se ha implantado un sistema de validación de compras integradas en la aplicación 
haciendo uso de validación en el servidor.
d)	 Se	han	utilizado	herramientas	de	monitorización	de	tráfico	de	red	para	detectar	el	
uso de protocolos inseguros de comunicación de las aplicaciones móviles.
e)  Se han inspeccionado binarios de aplicaciones móviles para buscar fugas de 
información sensible.
5.  Implanta sistemas seguros de desplegado de software, utilizando herramientas para la 
automatización de la construcción de sus elementos.
Criterios de evaluación:
a)	 Se	han	identificado	las	características,	principios	y	objetivos	de	la	integración	del	
desarrollo y operación del software.
b)  Se han implantado sistemas de control de versiones, administrando los roles y 
permisos solicitados.
c)	 Se	han	instalado,	configurado	y	verificado	sistemas	de	integración	continua,	
conectándolos con sistemas de control de versiones.
d)	 Se	han	planificado,	implementado	y	automatizado	planes	de	desplegado	de	
software.
e)  Se ha evaluado la capacidad del sistema desplegado para reaccionar de forma 
automática a fallos.
f)  Se han documentado las tareas realizadas y los procedimientos a seguir para la 
recuperación ante desastres.
g)  Se han creado bucles de retroalimentación ágiles entre los miembros del equipo.
Duración: 65 horas.
Contenidos básicos:
Prueba de aplicaciones web y para dispositivos móviles:
−	 Fundamentos	de	la	programación. es
−	 Lenguajes	de	programación	interpretados	y	compilados. o
−−−−−					 CEEPSjlreóeeugdcmeuiugbercoaindi	óstfaou.n	dsTe		d	inppeetroe	nisns		oyc.l	foietpwsna	atloelreersnn	.dogesu		aldojees	s	dp	erdosega	rrarpomrloloag.sr.amación	 y	 sus	 entornos	 de	 ejecución	 OE-A-2020-4963able en https://www.
(“sandboxes”).
Determinación del nivel de seguridad requerido por aplicaciones:
−	 Fuentes	abiertas	para	el	desarrollo	seguro.
−	 Listas	de	riesgos	de	seguridad	habituales:	OWASP Top Ten (web y móvil).
−	 Requisitos	de	verificación	necesarios	asociados	al	nivel	de	seguridad	establecido	
−	 Comprobaciones	de	seguridad	a	nivel	de	aplicación:	ASVS (Application Security 
Verification Standard).
Detección y corrección de vulnerabilidades de aplicaciones web:
−	 Desarrollo	seguro	de	aplicaciones	web.
−	 Listas	públicas	de	vulnerabilidades	de	aplicaciones	web.	OWASP Top Ten.
−	 Entrada	basada	en	formularios.	Inyección.	Validación	de	la	entrada.
−	 Estándares	de	autenticación	y	autorización.
−	 Robo	de	sesión.
−	 Vulnerabilidades	web.
−	 Almacenamiento	seguro	de	contraseñas.
−	 Contramedidas.	HSTS, CSP, CAPTCHAs, entre otros.
−	 Seguridad	 de	 portales	 y	 aplicativos	 web.	 Soluciones	 WAF  (Web Application 
Firewall).
Detección de problemas de seguridad en aplicaciones para dispositivos móviles:
−	 Modelos	de	permisos	en	plataformas	móviles.	Llamadas	al	sistema	protegidas.
−	 Firma	y	verificación	de	aplicaciones.
−	 Almacenamiento	seguro	de	datos.
−	 Validación	de	compras	integradas	en	la	aplicación.
−	 Fuga	de	información	en	los	ejecutables.
−	 Soluciones	CASB.
 
Implantación de sistemas seguros de desplegado de software:
−	 Puesta	segura	en	producción.
−	 Prácticas	unificadas	para	el	desarrollo	y	operación	del	software (DevOps).
−	 Sistemas	de	control	de	versiones.
−	 Sistemas	de	automatización	de	construcción	(build).
−	 Integración	continua	y	automatización	de	pruebas.
−	 Escalado	de	servidores.	Virtualización.	Contenedores.
−	 Gestión	automatizada	de	configuración	de	sistemas
−	 Herramientas	de	simulación	de	fallos.
−	 Orquestación	de	contenedores.
Orientaciones pedagógicas.
Este módulo profesional contiene la formación necesaria para desempeñar la 
función de puesta en producción mediante el desarrollo de un sistema de despliegue de 
software seguro. es
cmoámso c olLama m ufounnneicstoi.órniz adcei óimn dpela anptalicciaócni odnee su ny  dsiisspteomsiati vdoes  dpeasrap ldieegteucet asre lgousr voe icntcolrueyse d aes apteacqtuoes   2020-4963n https://www.
Las actividades profesionales asociadas a esta función se aplican en el análisis de 
las aplicaciones web	y	dispositivos	móviles	así	como	en	la	configuración	de	servidores	
web.
La formación del módulo contribuye a alcanzar los objetivos generales k), l), q), r), 
s), t), u) y v) y las competencias f), g), k), l), m), n) y ñ) del curso de especialización.
Las líneas de actuación en el proceso de enseñanza aprendizaje que permiten 
alcanzar los objetivos del módulo versarán sobre:
–  El análisis de la estructura de aplicaciones y dispositivos móviles.
–  Los vectores de ataque más comunes.
–  El análisis del nivel de seguridad requerido por las aplicaciones.
–	 La	configuración	de	servidores	web seguros.
–  La  detección  de  los  problemas  de  seguridad  de  las  aplicaciones  para  los 
dispositivos móviles.
–  La implantación de sistemas seguros de desplegado de software.
Módulo Profesional: Análisis forense informático.
Código: 5024.
Créditos ECTS: 7.
Resultados de aprendizaje y criterios de evaluación.
1.  Aplica metodologías de análisis forense caracterizando las fases de preservación, 
adquisición, análisis y documentación.
Criterios de evaluación:
a)	 Se	han	identificado	los	dispositivos	a	analizar	para	garantizar	la	preservación	de	
evidencias.
b)  Se han utilizado los mecanismos y las herramientas adecuadas para la adquisición 
y extracción de las evidencias. 
c)  Se ha asegurado la escena y conservado la cadena de custodia. 
d)  Se ha documentado el proceso realizado de manera metódica.
e)  Se ha considerado la línea temporal de las evidencias.
f)  Se ha elaborado un informe de conclusiones a nivel técnico y ejecutivo.
g)  Se han presentado y expuesto las conclusiones del análisis forense realizado.
2.  Realiza análisis forenses en dispositivos móviles, aplicando metodologías establecidas, 
actualizadas y reconocidas.
Criterios de evaluación:
a)  Se ha realizado el proceso de toma de evidencias en un dispositivo móvil.
b)	 Se	han	extraído,	decodificado	y	analizado	las	pruebas	conservando	la	cadena	de	
custodia.
c)  Se han generado informes de datos móviles, cumpliendo con los requisitos de la  e
industria forense de telefonía móvil. bo
d)  Se han presentado y expuesto las conclusiones del análisis forense realizado a  63ww
quienes proceda.
3.  Realiza análisis forenses en Cloud, aplicando metodologías establecidas, actualizadas 
y reconocidas.
Criterios de evaluación:
a)  Se ha desarrollado una estrategia de análisis forense en Cloud, asegurando la 
disponibilidad de los recursos y capacidades necesarios una vez ocurrido el incidente.
b)	 Se	ha	conseguido	identificar	las	causas,	el	alcance	y	el	impacto	real	causado	por	
el incidente.
c)  Se han realizado las fases del análisis forense en Cloud.
d)	 Se	 han	 identificado	 las	 características	 intrínsecas	 de	 la	 nube	 (elasticidad,	
ubicuidad, abstracción, volatilidad y compartición de recursos).
e)  Se han cumplido los requerimientos legales en vigor, RGPD (Reglamento general 
de protección de datos) y directiva NIS (Directiva de la UE sobre seguridad de 
redes y sistemas de información) o las que eventualmente pudieran sustituirlas.
f)  Se han presentado y expuesto las conclusiones del análisis forense realizado.
4.  Realiza análisis forense en dispositivos del IoT, aplicando metodologías establecidas, 
actualizadas y reconocidas.
Criterios de evaluación:
a)	 Se	han	identificado	los	dispositivos	a	analizar	garantizando	la	preservación	de	las	
evidencias.
b)  Se han utilizado mecanismos y herramientas adecuadas para la adquisición y 
extracción de evidencias 
c)	 Se	 ha	 garantizado	 la	 autenticidad,	 completitud,	 fiabilidad	 y	 legalidad	 de	 las	
evidencias extraídas.
d)  Se han realizado análisis de evidencias de manera manual y mediante herramientas.
e)  Se ha documentado el proceso de manera metódica y detallada. 
f)  Se ha considerado la línea temporal de las evidencias.
g)  Se ha mantenido la cadena de custodia
h)  Se ha elaborado un informe de conclusiones a nivel técnico y ejecutivo.
i)  Se han presentado y expuesto las conclusiones del análisis forense realizado.
5.  Documenta análisis forenses elaborando informes que incluyan la normativa aplicable.
Criterios de evaluación:
a)	 Se	ha	definido	el	objetivo	del	informe	pericial	y	su	justificación.
b)	 Se	ha	definido	el	ámbito	de	aplicación	del	informe	pericial.
c)  Se han documentado los antecedentes.
d)  Se han recopilado las normas legales y reglamentos cumplidos en el análisis 
forense realizado.
e)  Se han recogido los requisitos establecidos por el cliente.
f)	 Se	han	incluido	las	conclusiones	y	su	justificación.
Duración: 65 horas. es
Contenidos básicos: 63ww
Aplicación de metodologías de análisis forenses:
−	 Identificación	de	los	dispositivos	a	analizar.
−	 Recolección	de	evidencias	(trabajar	un	escenario).	
−	 Análisis	de	la	línea	de	tiempo	(TimeStamp).
−	 Análisis	de	volatilidad	–	Extracción	de	información	(Volatility).
−	 Análisis	de	Logs, herramientas más usadas.
Realización de análisis forenses en dispositivos móviles:
−	 Métodos	para	la	extracción	de	evidencias.
−	 Herramientas	de	mercado	más	comunes.
Realización de análisis forenses en Cloud:
−	 Nube	privada	y	nube	pública	o	híbrida.
−	 Retos	legales,	organizativos	y	técnicos	particulares	de	un	análisis	en	Cloud.
−	 Estrategias	de	análisis	forense	en	Cloud.
−	 Realizar	las	fases	relevantes	del	análisis	forense	en	Cloud.
−	 Utilizar	herramientas	de	análisis	en	Cloud (Cellebrite UFED Cloud Analizer, Cloud 
Trail, Frost, OWADE, …).
Realización de análisis forenses en IoT:
−	 Identificar	los	dispositivos	a	analizar.
−	 Adquirir	y	extraer	las	evidencias.
−	 Analizar	las	evidencias	de	manera	manual	y	automática.
−	 Documentar	el	proceso	realizado.	
−	 Establecer	la	línea	temporal.
−	 Mantener	la	cadena	de	custodia.
−	 Elaborar	las	conclusiones.
−	 Presentar	y	exponer	las	conclusiones.
Documentación y elaboración de informes de análisis forenses. Apartados de los que se 
compone el informe:
−	 Hoja	de	identificación	(título,	razón	social,	nombre	y	apellidos,	firma).
−	 Índice	de	la	memoria.
−	 Objeto	(objetivo	del	informe	pericial	y	su	justificación).
−	 Alcance	(ámbito	de	aplicación	del	informe	pericial	-	resumen	ejecutivo	para	una	
supervisión rápida del contenido y resultados).
−	 Antecedentes	 (aspectos	 necesarios	 para	 la	 comprensión	 de	 las	 alternativas	
estudiadas	y	las	conclusiones	finales).
−	 Normas	y	referencias	(documentos	y	normas	legales	y	reglamentos	citados	en	los	
distintos apartados).
−	 Definiciones	y	abreviaturas	(definiciones,	abreviaturas	y	expresiones	técnicas	que	
se han utilizado a lo largo del informe).
−	 Requisitos	(bases	y	datos	de	partida	establecidos	por	el	cliente,	la	legislación,	
reglamentación y normativa aplicables).
−	 Análisis	de	soluciones	–	resumen	de	conclusiones	del	informe	pericial	(alternativas	
estudiadas, qué caminos se han seguido para llegar a ellas, ventajas e inconvenientes 
de	cada	una	y	cuál	es	la	solución	finalmente	elegida	y	su	justificación).
−	 Anexos. es
Orientaciones pedagógicas. w.
funciónE sdtee  amnáólidsuislo f opreronfsees.ional contiene la formación necesaria para desempeñar la
La función de análisis forense incluye aspectos como el análisis de dispositivos de  Bc
almacenamiento	no	volátil,	de	ficheros	Logs, dispositivos móviles, Cloud e IoT.
Las actividades profesionales asociadas a esta función se aplican en la extracción 
de las evidencias para su análisis mediante la estrategia adecuada que garantice la 
disponibilidad de los recursos.
La formación del módulo contribuye a alcanzar los objetivos generales m), n), q), r), 
s), t), u) y v) y las competencias h), k), l), m), n) y ñ) del curso de especialización.
Las líneas de actuación en el proceso de enseñanza aprendizaje que permiten 
alcanzar los objetivos del módulo versarán sobre:
−	 Las	metodologías	de	análisis	forense.
−	 Las	herramientas	de	análisis	forense.
−	 La	toma	de	evidencias.
−	 El	análisis	de	resultados.
−	 Los	informes	de	resultados.
−	 Las	fases	del	análisis	Cloud y herramientas para llevarlo a cabo.
−	 La	estrategia	de	análisis	forense	en	IoT.
Módulo Profesional: Hacking ético.
Código: 5025.
Créditos ECTS: 7.
Resultados de aprendizaje y criterios de evaluación.
1.  Determina herramientas de monitorización para detectar vulnerabilidades aplicando 
técnicas de hacking ético.
Criterios de evaluación:
a)	 Se	ha	definido	la	terminología	esencial	del	hacking ético.
b)	 Se	han	identificado	los	conceptos	éticos	y	legales	frente	al	ciberdelito.
c)	 Se	ha	definido	el	alcance	y	condiciones	de	un	test	de	intrusión.
d)	 Se	han	identificado	los	elementos	esenciales	de	seguridad:	confidencialidad,	
autenticidad, integridad y disponibilidad.
e)	 Se	han	identificado	las	fases	de	un	ataque	seguidas	por	un	atacante.
f)	 Se	han	analizado	y	definido	los	tipos	vulnerabilidades.
g)	 Se	han	analizado	y	definido	los	tipos	de	ataque.
h)  Se han determinado y caracterizado las diferentes vulnerabilidades existentes.
i)  Se han determinado las herramientas de monitorización disponibles en el mercado 
adecuadas en función del tipo de organización.
2.	 Ataca	y	defiende	en	entornos	de	prueba,	comunicaciones	inalámbricas	consiguiendo	
acceso a redes para demostrar sus vulnerabilidades.
Criterios de evaluación:
a)	 Se	han	configurado	los	distintos	modos	de	funcionamiento	de	las	tarjetas	de	red	 bo
inalámbricas. 63ww
b)  Spuen thoasn v udlensecrraitbole lsa.s técnicas de encriptación de las redes inalámbricas y sus
c)	 Spree	vhiaon a	d seute acttaaqduoe	r.edes	inalámbricas	y	se	ha	capturado	tráfico	de	red	como	paso	
d)  Se ha accedido a redes inalámbricas vulnerables.
e)  Se  han  caracterizado  otros  sistemas  de  comunicación  inalámbricos  y  sus 
vulnerabilidades.
f)  Se han utilizado técnicas de “Equipo Rojo y Azul”.
g)  Se han realizado informes sobre las vulnerabilidades detectadas.
3.	 Ataca	y	defiende	en	entornos	de	prueba,	redes	y	sistemas	consiguiendo	acceso	a	
información y sistemas de terceros.
Criterios de evaluación:
a)  Se ha recopilado información sobre la red y sistemas objetivo mediante técnicas 
pasivas.
b)  Se  ha  creado  un  inventario  de  equipos,  cuentas  de  usuario  y  potenciales 
vulnerabilidades de la red y sistemas objetivo mediante técnicas activas.
c)	 Se	ha	interceptado	tráfico	de	red	de	terceros	para	buscar	información	sensible.
d)	 Se	ha	realizado	un	ataque	de	intermediario,	leyendo,	insertando	y	modificando,	a	
voluntad,	el	tráfico	intercambiado	por	dos	extremos	remotos.
e)  Se han comprometido sistemas remotos explotando sus vulnerabilidades.
4.  Consolida y utiliza sistemas comprometidos garantizando accesos futuros.
Criterios de evaluación:
a)  Se han administrado sistemas remotos a través de herramientas de línea de 
comandos.
b)  Se han comprometido contraseñas a través de ataques de diccionario, tablas 
rainbow y fuerza bruta contra sus versiones encriptadas.
c)  Se ha accedido a sistemas adicionales a través de sistemas comprometidos.
d)  Se han instalado puertas traseras para garantizar accesos futuros a los sistemas 
comprometidos.
5.	 Ataca	y	defiende	en	entornos	de	prueba,	aplicaciones	web consiguiendo acceso a 
datos o funcionalidades no autorizadas.
Criterios de evaluación:
a)	 Se	han	identificado	los	distintos	sistemas	de	autenticación	web, destacando sus 
debilidades y fortalezas.
b)  Se  ha  realizado  un  inventario  de  equipos,  protocolos,  servicios  y  sistemas 
operativos que proporcionan el servicio de una aplicación web.
c)	 Se	ha	analizado	el	flujo	de	las	interacciones	realizadas	entre	el	navegador	y	la	
aplicación web durante su uso normal.
d)  Se han examinado manualmente aplicaciones web en busca de las vulnerabilidades 
más habituales.
e)  Se han usado herramientas de búsquedas y explotación de vulnerabilidades web.
f)  Se ha realizado la búsqueda y explotación de vulnerabilidades web mediante 
herramientas software.
Duración: 65 horas. e.
Contenidos básicos: 63ww
Determinación de las herramientas de monitorización para detectar vulnerabilidades:
−	 Elementos	esenciales	del	hacking ético. BOE-A-cable e
−	 Diferencias	entre	hacking, hacking ético, tests de penetración y hacktivismo.
−	 Recolección	de	permisos	y	autorizaciones	previos	a	un	test	de	intrusión.
−	 Fases	del	hacking.
−	 Auditorías	de	caja	negra	y	de	caja	blanca.
−	 Documentación	de	vulnerabilidades.
−	 Clasificación	de	herramientas	de	seguridad	y	hacking.
−	 ClearNet,  Deep  Web,  Dark  Web,  Darknets.  Conocimiento,  diferencias  y 
herramientas de acceso: Tor. ZeroNet, FreeNet.
Ataque y defensa en entorno de pruebas, de las comunicaciones inalámbricas:
−	 Comunicación	inalámbrica.
−	 Modo	infraestructura,	ad-hoc	y	monitor.
−	 Análisis	y	recolección	de	datos	en	redes	inalámbricas.
−	 Técnicas	de	ataques	y	exploración	de	redes	inalámbricas.
−	 Ataques	a	otros	sistemas	inalámbricos.
−	 Realización	de	informes	de	auditoría	y	presentación	de	resultados.
Ataque y defensa en entorno de pruebas, de redes y sistemas para acceder a sistemas 
de terceros:
−	 Fase	de	reconocimiento	(footprinting).
−	 Fase	de	escaneo	(fingerprinting).
−	 Monitorizacion	de	tráfico.
−	 Interceptación	de	comunicaciones	utilizando	distintas	técnicas.
−	 Manipulación	e	inyección	de	tráfico.
−	 Herramientas	de	búsqueda	y	explotación	de	vulnerabilidades.
−	 Ingeniería	social.	Phising.
−	 Escalada	de	privilegios.
Consolidación y utilización de sistemas comprometidos:
−	 Administración	de	sistemas	de	manera	remota.
−	 Ataques	y	auditorías	de	contraseñas.
−	 Pivotaje	en	la	red.
−	 Instalación	de	puertas	traseras	con	troyanos	(RAT, Remote Access Trojan).
Ataque y defensa en entorno de pruebas, a aplicaciones web:
−	 Negación	de	credenciales	en	aplicaciones	web.
−	 Recolección	de	información.
−	 Automatización	de	conexiones	a	servidores	web (ejemplo: Selenium).
−	 Análisis	de	tráfico	a	través	de	proxies	de	intercepción.
−	 Búsqueda	de	vulnerabilidades	habituales	en	aplicaciones	web.
−	 Herramientas	para	la	explotación	de	vulnerabilidades	web.
Orientaciones pedagógicas.
Este módulo profesional contiene la formación necesaria para desempeñar la  es
función de detectar las vulnerabilidades de la organización mediante hacking ético. o
La función de hacking incluye aspectos como el ataque programado a las redes y a  63ww
las aplicaciones web de la organización.
las redLeass d aec ctiovimdaudneicsa cpiroonfeessi opnaarale sa cacseodceiar daa ds aato ess ota f ufunnccioiónna lsidea adpelsic naon  aeunt oerli zaatadqause c odne   BOE-A-cable e
el propósito de encontrar vulnerabilidades.
La formación del módulo contribuye a alcanzar los objetivos generales ñ), q), r), s), 
t), u) y v) y las competencias i), k), l), m), n) y ñ) del curso de especialización.
Las líneas de actuación en el proceso de enseñanza aprendizaje que permiten 
alcanzar los objetivos del módulo versarán sobre:
−	 Los	objetivos	y	las	fases	del	hacking ético.
−	 Las	herramientas	de	seguridad	y	hacking.
−	 La	administración	remota	de	sistemas.
−	 El	ataque	ético	a	redes	de	comunicaciones,	a	sistemas	y	a	las	aplicaciones	web.
Módulo Profesional: Normativa de ciberseguridad.
Código: 5026.
Créditos ECTS: 3.
Resultados de aprendizaje y criterios de evaluación.
1.	 Identifica	los	puntos	principales	de	aplicación	para	asegurar	el	cumplimiento	normativo	
reconociendo funciones y responsabilidades.
Criterios de evaluación:
a)	 Se	han	identificado	las	bases	del	cumplimiento	normativo	a	tener	en	cuenta	en	las	
organizaciones.
b)  Se han descrito y aplicado los principios de un buen gobierno y su relación con la 
ética profesional.
c)	 Se	han	definido	las	políticas	y	procedimientos,	así	como	la	estructura	organizativa	
que establezca la cultura del cumplimiento normativo dentro de las organizaciones.
d)  Se han descrito las funciones o competencias del responsable del cumplimiento 
normativo dentro de las organizaciones.
e)  Se han establecido las relaciones con terceros para un correcto cumplimiento 
normativo.
2.  Diseña  sistemas  de  cumplimiento  normativo  seleccionando  la  legislación  y 
jurisprudencia de aplicación.
Criterios de evaluación:
a)  Se han recogido las principales normativas que afectan a los diferentes tipos de 
organizaciones.
b)  Se  han  establecido  las  recomendaciones  válidas  para  diferentes  tipos  de 
organizaciones de acuerdo con la normativa vigente (ISO 19.600 entre otras).
c)  Se han realizado análisis y evaluaciones de los riesgos de diferentes tipos de 
organizaciones de acuerdo con la normativa vigente (ISO 31.000 entre otras).
d)  Se ha documentado el sistema de cumplimiento normativo diseñado.
3.  Relaciona la normativa relevante para el cumplimiento de la responsabilidad penal  bo
de las organizaciones y personas jurídicas con los procedimientos establecidos,  63ww
recopilando y aplicando las normas vigentes.
Criterios de evaluación:
a)	 Se	han	identificado	los	riesgos	penales	aplicables	a	diferentes	organizaciones.
b)  Se han implantado las medidas necesarias para eliminar o minimizar los riesgos 
identificados.
c)  Se ha establecido un sistema de gestión de cumplimiento normativo penal de 
acuerdo con la legislación y normativa vigente (Código Penal y UNE 19.601, entre 
otros).
d)  Se han determinado los principios básicos dentro de las organizaciones para 
combatir el soborno y promover una cultura empresarial ética de acuerdo con la 
legislación y normativa vigente (ISO 37.001 entre otros).
4.  Aplica la legislación nacional de protección de datos de carácter personal, relacionando 
los procedimientos establecidos con las leyes vigentes y con la jurisprudencia existente 
sobre la materia.
Criterios de evaluación:
a)  Se han reconocido las fuentes del Derecho de acuerdo con el ordenamiento 
jurídico en materia de protección de datos de carácter personal.
b)  Se han aplicado los principios relacionados con la protección de datos de carácter 
personal tanto a nivel nacional como internacional. 
c)  Se han establecido los requisitos necesarios para afrontar la privacidad desde las 
bases del diseño.
d)	 Se	han	configurado	las	herramientas	corporativas	contemplando	el	cumplimiento	
normativo por defecto.
e)  Se ha realizado un análisis de riesgos para el tratamiento de los derechos a la 
protección de datos.
f)  Se han implantado las medidas necesarias para eliminar o minimizar los riesgos 
identificados	en	la	protección	de	datos.
g)  Se han descrito las funciones o competencias del delegado de protección de datos 
dentro de las organizaciones.
5.  Recopila  y  aplica  la  normativa  vigente  de  ciberseguridad  de  ámbito  nacional  e 
internacional, actualizando los procedimientos establecidos de acuerdo con las leyes 
y con la jurisprudencia existente sobre la materia.
Criterios de evaluación:
a)	 Se	ha	establecido	el	plan	de	revisiones	de	la	normativa,	jurisprudencia,	notificaciones,	
etc. jurídicas que puedan afectar a la organización.
b)  Se ha detectado nueva normativa consultando las bases de datos jurídicas 
siguiendo el plan de revisiones establecido.
c)  Se ha analizado la nueva normativa para determinar si aplica a la actividad de la 
organización.
d)	 Se	ha	incluido	en	el	plan	de	revisiones	las	modificaciones	necesarias,	sobre	
la nueva normativa aplicable a la organización, para un correcto cumplimiento 
normativo.
e)  Se han determinado e implementado los controles necesarios para garantizar el 
correcto cumplimiento normativo de las nuevas normativas. incluidas en el plan de 
revisiones. es
Duración: 30 horas. w.b
CPuonnttoesn pidrionsc ibpaálseisc odse: aplicación para un correcto cumplimiento normativo: 2020-4963n https://ww
−	 Introducción	 al	 cumplimiento	 normativo	 (Compliance:	 objetivo,	 definición	 y	
conceptos principales). Bc
−	 Principios	del	buen	gobierno	y	ética	empresarial.
−	 Compliance Officer: funciones y responsabilidades.
−	 Relaciones	con	terceras	partes	dentro	del	Compliance.
Diseño de sistemas de cumplimiento normativo:
−	 Sistemas	de	Gestión	de	Compliance.
−	 Entorno	regulatorio	de	aplicación.
−	 Análisis	y	gestión	de	riesgos,	mapas	de	riesgos.
−	 Documentación	del	sistema	de	cumplimiento	normativo	diseñado.
Legislación para el cumplimiento de la responsabilidad penal:
−	 Riesgos	penales	que	afectan	a	la	organización.
−	 Sistemas	de	gestión	de	Compliance penal.
−	 Sistemas	de	gestión	anticorrupción.
Legislación y jurisprudencia en materia de protección de datos:
−	 Principios	de	protección	de	datos.
−	 Novedades	del	RGPD	de	la	Unión	Europea.
−	 Privacidad	por	Diseño	y	por	Defecto.
−	 Análisis	de	Impacto	en	Privacidad	(PIA), y medidas de seguridad.
−	 Delegado	de	Protección	de	Datos	(DPO).
Normativa vigente de ciberseguridad de ámbito nacional e internacional:
−	 Normas	nacionales	e	internacionales.
−	 Sistema	de	Gestión	de	Seguridad	de	la	Información	(estándares	internacionales)	
(ISO 27.001).
−	 Acceso	electrónico	de	los	ciudadanos	a	los	Servicios	Públicos.
Esquema Nacional de Seguridad (ENS).
−	 Planes	de	Continuidad	de	Negocio	(estándares	internacionales)	(ISO 22.301).
−	 Directiva	NIS.
−	 Legislación	sobre	la	protección	de	infraestructuras	críticas.
Ley PIC (Protección de infraestructuras críticas).
Orientaciones pedagógicas.
Este módulo profesional contiene la formación necesaria para desempeñar la función 
de diseñar el sistema de cumplimiento normativo de ciberseguridad en una organización.
La función de diseñar un sistema de cumplimiento normativo incluye aspectos 
como la caracterización de los principales aspectos de las diferentes normativas de 
ciberseguridad de obligado cumplimiento para la organización.
Las actividades profesionales asociadas a esta función se aplican en la integración, 
de  las  últimas  actualizaciones  en  normativa  de  ciberseguridad  a  nivel  nacional  e 
internacional que apliquen, en el sistema de cumplimiento normativo de la organización. 
La formación del módulo contribuye a alcanzar los objetivos generales o), p), q), r),  e.e
s), t), u) y v) y las competencias j), k), l), m), n) y ñ) del curso de especialización. w.b
alcanzLaar slo slí noebajest ivdoes  adcetul macóiódnu loe nv eersl aprráonc essoob red:e enseñanza aprendizaje que permiten  2020-4963n https://ww
–	 La	identificación	de	los	cambios	de	la	normativa	de	ciberseguridad,	tanto	nacional	
como internacional, que afectan a la organización. Bc
–  La elaboración de mapas de riesgos.
–  La elaboración de materiales de formación y concienciación como presentaciones, 
guías, etc. 
–  La investigación de incidentes de ciberseguridad.
–  La legislación y jurisprudencia en materia de protección de datos de carácter 
personal.
–	 La	notificación,	tanto	interna	como	externa	de	los	incidentes	detectados.
ANEXO II
Espacios y equipamientos mínimos
Espacios
Superficie m2 Superficie m2
Espacio formativo
30 alumnos 20 alumnos
Aula técnica.  60  40
Laboratorio. 180 140
Aula polivalente.  60  40
Equipamientos
Espacio 
Equipamiento
formativo
Ordenador profesor. 
Medios audiovisuales. 
Ordenadores alumnos. 
Sistemas de reprografía.
Instalación de red con acceso a Internet.
Software de control remoto
Software básico (sistemas operativos en red).
Software de aplicaciones ofimáticas, tratamiento de imágenes, entre otros. 
Software específico para virtualización, herramientas de monitorización 
basadas en protocolo snmp, herramientas de monitorización de servicios de 
Aula técnica.
alta disponibilidad, entre otros.
Servidores de Ficheros, Web, Bases de datos y Aplicaciones. 
Herramientas de clonación de equipos. 
Cortafuegos, detectores de intrusos, aplicaciones de Internet, entre otras. 
Sistemas Gestores de Bases de Datos. Servidores y clientes. 
Entornos de desarrollo, compiladores e intérpretes, analizadores de código 
fuente, empaquetadores, generadores de ayudas, entre otros. 
Software específico para el análisis, monitorización y explotación de 
vulnerabilidades de redes y servicios. 
Software específico de diagnóstico, seguridad, antivirus entre otros.
Espacio 
Equipamiento
formativo
Mesas de trabajo individuales tipo taller (80-90 cm alto). 
Bastidor (rack) para la instalación de servidores y dispositivos adicionales. 
Ordenadores con sistema operativo de red y conexión a Internet. 
Software específico de diagnóstico, seguridad, antivirus y comunicaciones, 
entre otros.
Sistemas de reprografía y escáner. 
Servidores con capacidad para virtualizar distintos escenarios, con las 
tecnologías más avanzadas.
Sistemas de alimentación ininterrumpida.
Medios audiovisuales.
Cortafuegos Hardware con 8-12 puertos LAN, 2-4 puertos WAN, balanceo de 
carga, filtrado de contenidos, autenticación de usuarios, bloqueo de mensajería 
instantánea y de aplicaciones P2P, protección de negación del Servicio, 
Laboratorio conexión remota segura a través de VPN, entre otros. 
Puntos de acceso y dispositivos extraíbles de conexión a redes inalámbricas. 
Dispositivos móviles e IoT. 
Sistemas de control de acceso físico: lectores de DNI electrónico, tarjetas RFID 
(Identificación por radiofrecuencia), entre otros. 
Servidores de Ficheros, Web, Bases de datos y Aplicaciones. 
Sistemas Gestores de Bases de Datos. Servidores y clientes. 
Entornos de desarrollo, compiladores e intérpretes, analizadores de código 
fuente, control de versiones, empaquetadores, generadores de ayudas, entre 
otros. 
Sistemas de control de versiones. 
Simuladores de móviles e IoT. 
Software específico para el análisis, monitorización y explotación de 
vulnerabilidades de redes y servicios.
Ordenador profesor. 
Medios audiovisuales. 
Aula polivalente Ordenadores alumnos.
Sistemas de reprografía. 
Instalación de red con acceso a Internet.
ANEXO III A)
Especialidades del profesorado con atribución docente en los módulos profesionales 
del curso de especialización de Ciberseguridad en entornos de las tecnologías 
de la información
Módulo Profesional Especialidad del profesorado Cuerpo
• Informática.
• Catedráticos de Enseñanza Secundaria. 
• Sistemas Electrónicos.
• Profesores de Enseñanza Secundaria.
5021. Incidentes de ciberseguridad. • Sistemas Electrotécnicos y Automáticos.
• Profesor Especialista.
• Equipos Electrónicos.
• Profesores Técnicos de Formación Profesional.
• Sistemas y Aplicaciones Informáticas. s
5022. Bastionado de redes y sistemas. e
• Profesor Especialista. w.b
5023. Puesta en producción segura. ••  SPirsotfeemsoars E ys Appelciciaalcisiotan.es Informáticas. • Profesores Técnicos de Formación Profesional. 2020-4963n https://ww
5024. Análisis forense informático. • Sistemas y Aplicaciones Informáticas. • Profesores Técnicos de Formación Profesional. BOE-A-cable e
• Profesor Especialista.
Módulo Profesional Especialidad del profesorado Cuerpo
• Informática.
• Catedráticos de Enseñanza Secundaria. 
• Sistemas Electrónicos.
• Profesores de Enseñanza Secundaria.
5025. Hacking ético. • Sistemas Electrotécnicos y Automáticos.
• Profesor Especialista.
• Informática.
• Catedráticos de Enseñanza Secundaria. 
• Sistemas Electrónicos.
5026. Normativa de ciberseguridad. • Profesores de Enseñanza Secundaria.
• Sistemas Electrotécnicos y Automáticos.
• Profesor Especialista.
ANEXO III B)
Titulaciones habilitantes a efectos de docencia
Cuerpo Especialidad del profesorado Titulación
• Diplomado en Estadística.
• Ingeniero Técnico en Informática de Gestión. 
• Informática
• Ingeniero Técnico en Informática de Sistemas. 
• Ingeniero Técnico de Telecomunicación, especialidad en Telemática.
• Catedráticos de Enseñanza Secundaria. • Diplomado en Radioelectrónica Naval.
• Profesores de Enseñanza Secundaria. • Ingeniero Técnico Aeronáutico, especialidad en Aeronavegación.
• Sistemas Electrónicos • Ingeniero Técnico Industrial, especialidad en Electricidad, 
• Sistemas Electrotécnicos y  especialidad en Electrónica industrial.
Automáticos. • Ingeniero Técnico en Informática de Sistemas.
• Ingeniero Técnico de Telecomunicación, en todas sus 
especialidades.
ANEXO III C)
Titulaciones requeridas para impartir módulos profesionales que conforman el curso 
de especialización para los centros de titularidad privada, de otras administraciones 
distintas a la educativa y orientaciones para la administración educativa
Módulos profesionales Titulaciones
5021. Incidentes de ciberseguridad.
• Doctor, Licenciado, Ingeniero, Arquitecto o título de Grado correspondiente u otros 
5025. Hacking ético. 
títulos equivalentes a efectos de docencia.
5026. Normativa de ciberseguridad.
• Doctor, Licenciado, Ingeniero, Arquitecto o título de Grado correspondiente u otros 
5022. Bastionado de redes y sistemas.
títulos equivalentes a efectos de docencia.
5023. Puesta en producción segura.
• Diplomado Universitario, Arquitecto Técnico o Ingeniero Técnico u otros títulos 
5024. Análisis forense informático.
equivalentes a efectos de docencia.
ANEXO III D)
Titulaciones habilitantes a efectos de docencia para impartir módulos profesionales que 
conforman el curso de especialización para los centros de titularidad privada, de otras 
administraciones distintas a la educativa y orientaciones para la administración educativa
Módulos profesionales Titulaciones
Diplomado en Estadística.
Diplomado en Radioelectrónica Naval.
Ingeniero Técnico Aeronáutico, especialidad en Aeronavegación.
5021. Incidentes de ciberseguridad.
Ingeniero Técnico Industrial, especialidad en Electricidad, especialidad en Electrónica 
5025. Hacking ético.
Industrial.
5026. Normativa de ciberseguridad.
Ingeniero Técnico en Informática de Gestión. 
Ingeniero Técnico en Informática de Sistemas. 
Ingeniero Técnico de Telecomunicación, en todas sus especialidades.