# data[].attributes.body
Se identifican los activos que soportan los servicios de la biblioteca y que contienen información personal o crítica:

Catálogo digital (metadatos, disponibilidad de ejemplares).

Base de datos de usuarios (nombres, DNI, dirección, correo, historial de préstamos).

Sistema de gestión bibliotecaria (software de préstamos/devoluciones, registros de sanciones).

Correo institucional y credenciales de personal.

Red Wi-Fi (SSID públicos y administrativos).

Equipos: PCs de consulta pública, PCs administrativas y servidores/NAS.

Registros de pagos y membresías (información financiera mínima).

# data[].attributes.body
Entre las amenazas que afectan a bibliotecas y organizaciones pequeñas se destacan:

Ransomware / cifrado de datos.

Phishing y robo de credenciales.

Fuga de información por dispositivos extraíbles o envíos de correo no autorizados.

Acceso no autorizado a la red Wi-Fi (intrusión).

Corte eléctrico o fallo de hardware (pérdida de servicio).

Robo o sustracción física de equipos.

Error humano (borrado o modificación accidental).

# data[].attributes.body
Ausencia de copias de seguridad verificadas y offline.

Equipos con contraseñas débiles o sin cifrado de disco.

Red Wi-Fi sin separación (único SSID) y contraseñas fácilmente compartidas.

Falta de UPS o redundancia para el servidor/sistema de gestión.

PCs de uso público sin perfiles restringidos o sin control de software.

Personal sin formación específica en ciberseguridad ni procedimientos de respuesta.

# data[].attributes.body
e define un modelo simple alineado con buenas prácticas de gestión de riesgo (NIST / ISO):

Impacto (I): 1 Bajo - 3 Medio - 5 Crítico.

Probabilidad (P): 1 Muy baja - 3 Media - 5 Muy alta.

Nivel de Riesgo (NR) = I × P; clasificaciones: 1-4 Bajo, 5-9 Medio, 10-16 Alto, 17-25 Crítico.

# data[].attributes.body
Reducir (controles a implantar inmediatamente — 30–90 días para riesgos Alto/Crítico):

1. Respaldos 3-2-1 y pruebas periódicas. Mantener 3 copias (producción + 2 backups), en al menos 2 tipos de medios y 1 copia fuera del sitio o en nube; realizar restauraciones de prueba mensual. (Práctica recomendada aceptada por la industria).

2. Autenticación multifactor (MFA). Forzar MFA en correo institucional y acceso administrativo al sistema bibliotecario — reduce riesgo de acceso por credenciales comprometidas; esto está respaldado por NIST SP 800-63B.

3. Cifrado en reposo y en tránsito. Cifrar bases de datos y discos de equipos administrativos; usar HTTPS/TLS para accesos remotos. (cumple requerimientos de protección de datos).

4. Segmentación de red y Wi-Fi seguro. Separar tráfico de invitados del administrativo mediante VLAN; implementar WPA3 o WPA2-Enterprise para la red administrativa.

5. EDR / Antivirus gestionado y parcheo. Desplegar una solución de detección y respuesta en endpoints para detección temprana y contención; mantener parcheo automatizado.

6. Políticas y bloqueo de dispositivos extraíbles. Prohibir o restringir uso de USB en PCs administrativos; habilitar políticas de bloqueo o lectores seguros.

7. Capacitación y simulacros de phishing. Programa de concienciación para personal y voluntarios (simulacros, listas de verificación).

# data[].attributes.body
Transferir:

Considerar migrar el sistema de gestión a un proveedor cloud con SLA y cifrado gestionado (reduce riesgo operativo y de infraestructura).

Contratar seguro contra robo / daños y (si aplica) póliza de ciberincidentes para pequeñas organizaciones.

Evitar:

No usar WhatsApp ni canales no autorizados para enviar datos personales de usuarios.

Evitar compartir credenciales.

Aceptar (documentado):

Riesgos residuales de baja probabilidad que la dirección decida aceptar (documentar la justificación y controles compensadores).

# data[].attributes.body
La Dirección de la Biblioteca “San Francisco de Asís” debe formalizar por escrito la aceptación de riesgos bajos y la exigencia de mitigación para riesgos altos/ críticos. Se recomienda: establecer plazos máximos (ej.: 90 días para controles críticos), responsable por control y un calendario de verificación (evidencia de backups, pruebas de restore, activación de MFA, registro de parches). Las prácticas propuestas responden a estándares internacionales y guías gubernamentales citadas más arriba.

# data[].attributes.body
Implementar respaldos 3-2-1 y probar restauración en 30 días.

Activar MFA en correo y accesos administrativos en 30 días.

Segmentar la red y separar SSID invitados / administrativos en 60 días. Cisco Meraki Documentation

Desplegar EDR/antivirus gestionado y aplicar parcheo automático en 90 días.

Formalizar política de manejo de datos y cumplimiento de la Ley N.º 29733; nombrar responsable de protección de datos si corresponde.