Texto oficial
Artículo tercero. Establézcase la siguiente taxonomía de incidentes de ciberseguridad, que consiste en cuatro áreas de impacto, y en once efectos observables, tal como se indica a continuación:
a. Impacto en el uso legítimo de recursos:
i. Uso no autorizado de redes y sistemas informáticos: Uso no autorizado de sistemas de la institución afectada, ya sea a través de explotación de vulnerabilidades, uso no autorizado de credenciales, acceso a almacenamiento en nube, u otros.
ii. Actividades de phishing o fraude en infraestructura propia: Envío de phishing a través de servidores de la institución afectada, o almacenamiento de sitios fraudulentos en redes y sistemas informáticos de la institución afectada.
iii. Actividades de phishing o fraude relacionadas con la institución: Envío de phishing relacionado con la institución afectada por parte de terceros, o almacenamiento de sitios fraudulentos por parte de terceros.
iv. Ejecución no autorizada de código: Inclusión y ejecución no autorizada de código en sistemas de la institución afectada.
b. Impacto en la confidencialidad de la información:
i. Exfiltración y/o exposición de datos: Pérdida de información confidencial con o sin divulgación pública, y/o información confidencial expuesta accidental o intencionalmente.
ii. Exfiltración y/o exposición de configuraciones: Pérdida o exposición accidental de configuraciones y parámetros confidenciales de un sistema o aplicación de la institución afectada.
iii. Exfiltración y/o exposición de código fuente: Pérdida o exposición excesiva del código fuente de un sistema de la institución afectada.
c. Impacto en la disponibilidad de un servicio esencial:
i. Indisponibilidad y/o denegación de servicio: Pérdida total del funcionamiento de un servicio, sistema o servidor, o saturación de red impidiendo su operación normal.
ii. Degradación de servicio: Pérdida parcial del rendimiento o funcionalidad de un servicio, sistema o servidor.
d. Impacto en la integridad de la información:
i. Modificación no autorizada de datos: Alteración no autorizada de información contenida en sistemas, servicios o servidores.
ii. Manipulación no autorizada de configuración: Cambio no autorizado de configuraciones en sistemas, servicios o servidores.