|
|
|
Resumen ejecutivo
Los sistemas de aeronaves no tripuladas —UAV, UAS y RPAS— están experimentando una transformación que los sitúa entre las tecnologías estratégicas para la modernización industrial, la digitalización de activos y la gestión de la seguridad. Su evolución ya no depende únicamente de la mejora de las plataformas de vuelo, sino de la convergencia entre sensores avanzados, inteligencia artificial, comunicaciones, automatización, análisis de datos y sistemas de mando y control.
En el ámbito de las infraestructuras críticas, esta evolución abre oportunidades para mejorar la inspección de activos, la detección temprana de anomalías, el conocimiento situacional, la gestión de emergencias y la recuperación tras incidentes. Sin embargo, también introduce nuevas vulnerabilidades relacionadas con la ciberseguridad, la dependencia de fabricantes, la protección de datos y el uso malicioso de aeronaves no autorizadas.
El reto consiste en superar la adquisición aislada de drones y avanzar hacia un ecosistema integrado de capacidades aéreas, digitales, industriales y organizativas, alineado con los objetivos de continuidad de servicio, protección de activos y resiliencia operacional.
La tesis central de este artículo es que la integración de drones en infraestructuras críticas debe concebirse como una decisión de arquitectura tecnológica y seguridad integral e integrada, no como una simple adquisición de equipamiento.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
Nuevo paradigma industrial y de seguridad
Los drones han pasado de desempeñar funciones limitadas de observación o captura audiovisual a convertirse en plataformas tecnológicas capaces de generar información operativa, interactuar con sistemas digitales y apoyar procesos de gestión y decisión.
Esta transformación responde a cinco tendencias convergentes:
- Digitalización industrial: incorporación de datos a los procesos de operación y mantenimiento.
- Automatización: ejecución recurrente de inspecciones y misiones con menor intervención presencial.
- Inteligencia artificial: identificación asistida de anomalías y transformación de imágenes en información estructurada.
- Convergencia físico-digital: conexión de la observación aérea con los sistemas corporativos, la seguridad física y la ciberseguridad.
- Resiliencia operacional: capacidad de anticipar, responder, adaptarse y recuperarse frente a perturbaciones.
En sectores como la energía, el transporte, el agua, las telecomunicaciones y las instalaciones portuarias, estas capacidades resultan especialmente relevantes por la extensión territorial de los activos, su complejidad técnica y las consecuencias potenciales de una interrupción.
No obstante, el incremento de capacidades también amplía la superficie de riesgo. Un dron puede ser un instrumento de inspección y prevención, pero también una fuente de exposición de información sensible o una amenaza para instalaciones y operaciones.
Por ello, el enfoque adecuado debe integrar desde el diseño las prestaciones técnicas, la seguridad operacional, la ciberseguridad, la protección física, la gobernanza de datos y los procedimientos de respuesta y resiliencia.
Arquitectura tecnológica del ecosistema UAS industrial
Para implantar drones en instalaciones críticas es necesario analizar la solución como un sistema completo, compuesto por diferentes capas tecnológicas y operativas.
CAPA 1. Plataforma aérea. Multirrotor · Ala fija · VTOL · Helicóptero
CAPA 2. Sensores y navegación. RGB · Térmica · LiDAR · GNSS · IMU · Radar
CAPA 3. Comunicaciones y control. Telemetría · Enlaces de datos · Estación de control · Gestión de flotas
CAPA 4. Inteligencia y explotación de datos. IA · Analítica · SIG · Gemelo digital · Mantenimiento predictivo
CAPA 5. Seguridad y gobernanza. Ciberseguridad · Seguridad física · Cumplimiento · Continuidad · Resiliencia
Modelo conceptual de referencia. La ciberseguridad, la seguridad operacional y la gobernanza deben aplicarse transversalmente a todas las capas, no solamente a la última.
Plataforma, sensores y navegación
La selección de la aeronave debe responder a la misión. Un multirrotor puede ser adecuado para inspeccionar equipos en una subestación; una plataforma VTOL puede cubrir largas líneas eléctricas sin requerir una pista convencional; y un sistema preparado para interiores puede facilitar inspecciones en depósitos, túneles o espacios confinados.
Los requisitos mínimos de selección deberían incluir:
- Autonomía útil con la carga real instalada.
- Resistencia a las condiciones ambientales del emplazamiento.
- Precisión y calidad de los sensores.
- Capacidad de navegación y recuperación segura ante fallos.
- Mantenimiento, disponibilidad de repuestos y soporte del fabricante.
- Compatibilidad con los procedimientos y sistemas corporativos.
La redundancia de sensores o navegación puede mejorar la seguridad, pero no elimina todos los fallos posibles. Debe evaluarse dentro de un análisis de seguridad operacional.
Comunicaciones e Inteligencia Artificial
Comunicaciones y control de misión
La arquitectura debe separar, cuando resulte apropiado, las funciones de mando, telemetría, transmisión de imágenes y conexión con los sistemas corporativos.
La elección de Wi-Fi, radio dedicada, redes móviles o enlaces satelitales dependerá de la cobertura, la distancia, el entorno electromagnético, la disponibilidad del servicio y los requisitos de seguridad.
En una infraestructura crítica es esencial definir qué ocurre si se pierde el enlace, falla la estación de control o queda interrumpido el acceso a la plataforma digital. Los procedimientos deben determinar las acciones seguras previstas, los límites de operación y las responsabilidades del personal.
Inteligencia artificial y sistemas de información
La IA puede automatizar la revisión de imágenes, identificar posibles defectos y priorizar inspecciones. Para que sus resultados sean fiables, debe existir un proceso de validación que contemple la calidad de los datos, las condiciones de captura, la tasa de error y la intervención humana.
La integración con sistemas de información geográfica, gestión de activos y mantenimiento permite asociar cada observación a un elemento concreto, conservar el historial y generar órdenes de trabajo.
El objetivo industrial es pasar de una colección de imágenes a un sistema de información trazable que ayude a tomar decisiones y permita verificar sus resultados.
Aplicaciones industriales prioritarias en infraestructuras críticas
Las aplicaciones deben seleccionarse atendiendo a la criticidad del activo, el riesgo que se pretende reducir y el valor operacional esperado.
Sector energético
Inspección de líneas de transporte, torres, subestaciones, parques eólicos, instalaciones solares y otras infraestructuras. La combinación de imágenes visuales, termografía y analítica permite localizar anomalías que requieren revisión técnica.
Indicadores: tiempo de inspección, defectos confirmados, disponibilidad de activos y coste por inspección.
Transporte ferroviario y carreteras
Inspección de vías, puentes, taludes, túneles accesibles, estaciones y corredores de transporte. Los drones permiten obtener información de zonas de difícil acceso y documentar cambios en los activos.
Indicadores: cobertura inspeccionada, tiempo de indisponibilidad, incidencias detectadas y tiempo de reparación.
Instalaciones portuarias y marítimas
Inspección de grúas, cubiertas, depósitos, infraestructuras costeras y activos expuestos a corrosión. También pueden apoyar la evaluación de daños y la vigilancia autorizada de áreas operativas.
Indicadores: tiempo de inspección, anomalías confirmadas, cobertura y reducción de trabajos en altura.
Agua y saneamiento
Inspección de embalses, conducciones, depósitos, instalaciones de tratamiento y corredores de abastecimiento. Las imágenes y sensores especializados pueden apoyar la detección de deterioros y la evaluación de daños.
Indicadores: activos inspeccionados, anomalías validadas, tiempo de respuesta y disponibilidad del servicio.
Telecomunicaciones y centros tecnológicos
Inspección de torres, antenas, estructuras auxiliares y emplazamientos remotos. En centros de datos y otras instalaciones sensibles, las operaciones aéreas deben planificarse especialmente para evitar interferencias con actividades, accesos y medidas de seguridad existentes.
Indicadores: tiempo de intervención, defectos detectados, disponibilidad de emplazamientos y cumplimiento de procedimientos.
De la inspección programada al mantenimiento predictivo
La evolución de mayor interés consiste en conectar las observaciones aéreas con la gestión del ciclo de vida del activo.
El proceso de referencia es:
- Definir el activo y la condición que se desea comprobar.
- Planificar la misión y seleccionar la carga útil.
- Capturar los datos y verificar su calidad.
- Analizar las imágenes y detectar posibles anomalías.
- Validar técnicamente los resultados.
- Generar la orden de inspección, reparación o seguimiento.
- Comprobar la intervención y actualizar el historial del activo.
Este flujo permite evolucionar desde una inspección aislada hacia un modelo de mantenimiento basado en condición. La denominación predictivo debe reservarse para soluciones que, además de detectar anomalías, utilizan datos y modelos validados para estimar la evolución o la probabilidad de fallo.
Seguridad integral: los drones como capacidad y como riesgo
La incorporación de UAS a una infraestructura crítica produce un doble efecto: aumenta las capacidades de observación, inspección y respuesta, pero también introduce nuevas dependencias tecnológicas y posibles vectores de amenaza.
La seguridad integral exige gestionar ambos lados de esta ecuación.
Riesgos asociados al uso legítimo de drones
Entre los principales riesgos internos destacan:
- Fallos de navegación, propulsión o alimentación.
- Pérdida de comunicaciones o degradación de la precisión.
- Errores de planificación o de intervención humana.
- Captura, transmisión o conservación inadecuada de datos.
- Acceso no autorizado a estaciones de control o cuentas.
- Vulnerabilidades de software y componentes sin soporte.
- Dependencia de servicios externos necesarios para operar.
- Integración inadecuada con redes y aplicaciones corporativas.
Estos riesgos deben abordarse mediante análisis y evaluación, pruebas, procedimientos, mantenimiento, gestión de accesos y planes de continuidad.
Amenazas derivadas de drones no autorizados
Un UAS ajeno a la operación puede constituir una amenaza para la seguridad física, la privacidad, la continuidad del servicio o la seguridad del espacio aéreo.
La evaluación debe contemplar, entre otros escenarios, sobrevuelos no autorizados, observación de activos sensibles, interrupciones operativas y presencia de aeronaves cuya finalidad no se puede determinar inicialmente.
La respuesta no debe depender de una única tecnología. Es necesario combinar evaluación de amenazas, vigilancia adecuada, procedimientos de notificación, coordinación con autoridades y medidas de protección proporcionadas al riesgo.
Arquitectura integrada de protección
Una arquitectura de seguridad puede estructurarse en cinco funciones:
- Detección. Empleo proporcionado de sensores y fuentes de información para identificar posibles actividades aéreas relevantes. Las tecnologías disponibles tienen limitaciones y no ofrecen una cobertura universal.
- Identificación y evaluación. Contraste de la información disponible, comprobación de vuelos autorizados y evaluación de la naturaleza, relevancia e incertidumbre del incidente.
- Integración y mando. Correlación de alertas con los centros de control, los responsables de seguridad, las operaciones y los procedimientos de emergencia.
- Protección y respuesta. Aplicación de medidas físicas, organizativas y técnicas, incluyendo la protección de personas, la continuidad de las operaciones y la coordinación con autoridades competentes.
- Recuperación y aprendizaje. Documentación del incidente, análisis de causas, revisión de medidas, actualización de procedimientos y ejercicios de mejora.
La Comisión Europea publicó en 2023 una guía técnica sobre la protección de infraestructuras críticas y espacios públicos frente a UAS maliciosos, basada en un enfoque por fases que integra evaluación de riesgos, diseño, implantación y operación. En febrero de 2026 presentó además un plan de acción europeo para reforzar la preparación, la detección y la respuesta ante amenazas de drones.
Ciberseguridad del ecosistema UAS
La seguridad digital debe extenderse a todos los componentes y servicios de la solución:
- Aeronave y firmware.
- Estación de control y dispositivos del operador.
- Enlaces de comunicaciones y sistemas de identificación.
- Aplicaciones de planificación y gestión de misiones.
- Plataformas de almacenamiento y procesamiento.
- Interfaces con redes corporativas y sistemas industriales.
- Servicios de mantenimiento, actualizaciones y soporte.
La organización debería exigir inventario de activos, control de identidades, actualización segura, gestión de vulnerabilidades, protección de registros, evaluación de proveedores y procedimientos de recuperación.
Cuando la misión no requiera acceso a redes industriales, la arquitectura debería evitar conexiones innecesarias. Si se requiere integrar datos con sistemas de operación, deben establecerse interfaces controladas y mecanismos de validación, evitando que la solución aérea genere conexiones no previstas con sistemas esenciales.
Tecnologías antidrones y límites de intervención
Las soluciones C-UAS (Counter-Unmanned Aircraft Systems) buscan detectar, seguir, identificar y, cuando proceda legalmente, mitigar amenazas derivadas de aeronaves no autorizadas.
La selección puede incluir sensores de radiofrecuencia, radar, cámaras ópticas y térmicas, sistemas de identificación y plataformas de gestión de alertas. La eficacia depende del entorno, las características del objetivo y la combinación de tecnologías.
Las medidas de neutralización presentan condicionantes técnicos y jurídicos importantes. La interferencia de señales, la suplantación de navegación o la toma de control no deben tratarse como recursos ordinarios de un operador privado. Su uso requiere verificar las competencias y autorizaciones aplicables, así como los posibles efectos sobre comunicaciones, navegación, terceros y seguridad pública.
La prioridad en una instalación crítica debe ser establecer un procedimiento coordinado, seguro y legal que permita valorar el incidente y aplicar la respuesta adecuada.
Hacia una gestión integral e integrada de riesgos, seguridades y resiliencia
La transformación del entorno de seguridad está haciendo insuficiente un modelo basado exclusivamente en la prevención del delito, la protección física de personas y bienes o la respuesta ante emergencias. La convergencia de riesgos tecnológicos, cibernéticos, climáticos, sanitarios, económicos, sociales, geopolíticos y delincuenciales está configurando un escenario caracterizado por la interdependencia, la incertidumbre, la velocidad de propagación y los efectos en cascada.
En este contexto emerge un nuevo paradigma de seguridad humana y ciudadana, centrado no solamente en proteger frente a amenazas, sino en garantizar las condiciones que permitan a las personas, comunidades, organizaciones y servicios esenciales prevenir, resistir, responder, adaptarse, recuperarse y transformarse ante incidencias.
El nuevo modelo requiere superar la fragmentación entre seguridad pública y privada, física y lógica, interior y exterior, preventiva y reactiva, incorporando una perspectiva de gestión integral e integrada de los riesgos y seguridades, apoyada en inteligencia, tecnología, innovación, colaboración público-privada, participación ciudadana y resiliencia.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
De la seguridad como protección a la seguridad como resiliencia
La seguridad está experimentando una transformación profunda. Durante décadas, la seguridad se ha entendido principalmente como la capacidad de prevenir y responder ante amenazas identificables, proteger a las personas y los bienes, mantener el orden y garantizar la continuidad de determinadas actividades.
Este enfoque continúa siendo necesario, pero resulta progresivamente insuficiente ante un entorno en el que los riesgos ya no aparecen de forma aislada.
Así, una interrupción energética puede afectar a las comunicaciones; un ciberataque puede provocar consecuencias físicas; una crisis sanitaria puede alterar la movilidad y la actividad económica; un fenómeno meteorológico extremo puede afectar simultáneamente al suministro eléctrico, agua, transporte y telecomunicaciones; una campaña de desinformación puede incrementar la conflictividad social; y una perturbación localizada puede convertirse, por las interdependencias existentes, en una crisis de alcance territorial o sistémico.
La propia evolución normativa europea refleja este cambio. La Directiva (UE) 2022/2557 sobre Resiliencia de las Infraestructuras Críticas plantea un marco de resiliencia frente a todos los peligros, naturales o provocados, accidentales o intencionados, teniendo en cuenta amenazas híbridas, catástrofes naturales, emergencias sanitarias, terrorismo, sabotaje e interdependencias entre sectores.
Por tanto, el objetivo contemporáneo ya no puede limitarse a evitar que ocurra un incidente.
Debe orientarse a conseguir que, cuando ocurra —porque algunos incidentes serán inevitables—, las personas y las organizaciones puedan absorber su impacto, mantener las funciones esenciales, recuperar su capacidad operativa y aprender de la experiencia.
De ahí el tránsito:
De la protección frente a las amenazas → a la gestión integral de los riesgos → y de esta a la construcción de resiliencia
La evolución del concepto de seguridad integral e integrada
El concepto clásico de seguridad se encontraba fuertemente asociado a tres grandes objetivos: protección de personas; protección de bienes e instalaciones; y prevención y respuesta frente al delito y otras amenazas.
Este planteamiento ha generado estructuras especializadas y eficaces, pero también una importante fragmentación funcional.
Así, tradicionalmente hemos encontrado: seguridad pública; seguridad privada; seguridad física; seguridad electrónica; ciberseguridad; seguridad laboral; seguridad contra incendios; protección civil; seguridad sanitaria; seguridad ambiental; continuidad de negocio; inteligencia.
El problema aparece cuando cada una de estas seguridades analiza el riesgo desde su propia perspectiva, sin comprender suficientemente las relaciones de dependencia existentes.
La realidad actual exige pasar de una suma de seguridades a una seguridad integral e integrada.
La seguridad humana como nuevo centro del sistema
La seguridad humana introduce una modificación sustancial: desplaza el centro de gravedad desde los Estados, infraestructuras o sistemas hacia las personas y las comunidades.
El Programa de Naciones Unidas para el Desarrollo ha planteado un enfoque que contempla dimensiones como la seguridad económica, alimentaria, sanitaria, personal, comunitaria, ambiental y política. Además, sus análisis recientes subrayan que las amenazas contemporáneas están interconectadas y requieren respuestas que superen los enfoques sectoriales tradicionales.
Esto permite formular una cuestión fundamental:
¿Para qué protegemos infraestructuras, sistemas y organizaciones? La respuesta última debería ser: para proteger la vida, los derechos, el bienestar, la dignidad, las capacidades y las condiciones de vida de las personas y comunidades.
Desde esta perspectiva, la infraestructura deja de ser únicamente un activo que proteger. Se convierte en un medio para garantizar servicios esenciales y derechos fundamentales.
Seguridad objetiva y percepción subjetiva de seguridad
Existe además una segunda transformación relevante pues la seguridad no depende exclusivamente de la ausencia objetiva de incidentes.
Una sociedad puede presentar niveles relativamente reducidos de criminalidad y, sin embargo, experimentar una elevada percepción de inseguridad. Esta dimensión es especialmente importante en el entorno digital y de comunicaciones actual.
La ciudadanía recibe permanentemente información sobre: delitos; conflictos; terrorismo; catástrofes; pandemias; ciberataques; crisis económicas; cambio climático; violencia; desinformación; amenazas geopolíticas, etc.
El resultado puede ser una sensación permanente de exposición al riesgo.
El Informe Especial sobre Seguridad Humana de Naciones Unidas de 2022 señaló precisamente una desconexión entre determinados indicadores objetivos de desarrollo y la percepción subjetiva de seguridad de las personas. (Informes sobre el Desarrollo Humano)
Por ello, una política moderna de seguridad debe gestionar simultáneamente:
riesgo real + vulnerabilidad real + impacto real + percepción de seguridad.
El nuevo escenario de riesgos y amenazas
El cambio de paradigma está directamente relacionado con la transformación del escenario de riesgos. Podemos identificar, entre otros, los siguientes grandes grupos:
| Ámbito | Riesgos y amenazas emergentes |
| Geopolítico | conflictos, tensiones internacionales, coerción económica |
| Híbrido | combinación de medios físicos, digitales, informativos y económicos |
| Ciber | ransomware, ataques a sistemas críticos, espionaje, sabotaje digital |
| Tecnológico | fallos de sistemas automatizados, IA, dependencia tecnológica |
| Climático | olas de calor, inundaciones, incendios, sequías, fenómenos extremos |
| Sanitario | pandemias, enfermedades emergentes, crisis de salud pública |
| Criminal | crimen organizado, narcotráfico, trata, fraude, ciberdelincuencia |
| Social | polarización, conflictividad, exclusión, violencia |
| Energético | interrupciones de suministro y dependencia de redes |
| Alimentario | interrupción de cadenas de suministro y disponibilidad |
| Informacional | desinformación, manipulación y operaciones de influencia |
| Infraestructuras | fallos, sabotaje, deterioro y pérdida de funcionalidad |
| Cadena de suministro | dependencia de proveedores, concentración y vulnerabilidades |
| Financiero | crisis, fraude, interrupciones y riesgos sistémicos |
| Demográfico | envejecimiento, vulnerabilidad y nuevas necesidades de protección |
Lo verdaderamente novedoso no es únicamente la aparición de nuevas amenazas, es la combinación entre ellas.
Del riesgo aislado al riesgo sistémico
El modelo tradicional tiende a responder a la pregunta: ¿Qué puede ocurrir? Y el nuevo paradigma debe añadir: ¿Qué otros sistemas pueden verse afectados si ocurre? Y una tercera pregunta: ¿Qué ocurre después? Es el paso del riesgo individual al riesgo sistémico y en cascada. Ejemplos:
Ciberataque → pérdida de control → interrupción energética → fallo de comunicaciones → interrupción de servicios → impacto sanitario y social.
Fenómeno climático extremo → daños en infraestructura → interrupción logística → desabastecimiento → impacto económico y social.
La Directiva europea CER incorpora expresamente esta visión al exigir considerar riesgos intersectoriales y transfronterizos y las dependencias entre sectores y servicios esenciales.
Por ello, el análisis de riesgos debe evolucionar desde:
amenaza → vulnerabilidad → impacto
Hacia el esquema de:
amenaza → vulnerabilidad → dependencia → propagación → impacto → recuperación
La convergencia de las seguridades
Uno de los elementos centrales del nuevo paradigma es la convergencia.
La seguridad física y la ciberseguridad ya no pueden gestionarse como dos mundos independientes. Tampoco puede existir una separación rígida entre: seguridad; continuidad; emergencias; protección civil; prevención; mantenimiento; tecnología; inteligencia; gestión empresarial.
La realidad es convergente. Un sistema de videovigilancia, por ejemplo, puede ser simultáneamente: una herramienta de seguridad física; un sistema tecnológico; un activo conectado; una fuente de inteligencia; un potencial vector de ciberataque; un instrumento de gestión de emergencias.
La convergencia exige pasar de múltiples sistemas independientes a una arquitectura integrada de seguridad y resiliencia.
Nuevos sistemas de seguridad
La transformación tecnológica está acelerando este proceso. Entre las tecnologías con mayor impacto destacan:
Inteligencia artificial. Aplicada a: detección de anomalías; análisis de vídeo; predicción de riesgos; inteligencia de fuentes abiertas; correlación de eventos; apoyo a la toma de decisiones; gestión de emergencias.
La IA no debería contemplarse exclusivamente como una herramienta de automatización, sino como una capacidad de apoyo a la inteligencia y a la decisión humana.
IoT y sensores. Permiten transformar instalaciones y ciudades en sistemas capaces de:
detectar → transmitir → analizar → decidir → actuar.
Analítica avanzada. La integración de grandes volúmenes de datos permite identificar patrones, tendencias y señales débiles que pueden resultar invisibles mediante sistemas convencionales.
Drones y sistemas autónomos. Amplían las capacidades de: vigilancia; inspección; emergencia; protección perimetral; evaluación de daños.
Gemelos digitales. Permiten modelizar infraestructuras y escenarios para evaluar impactos y probar respuestas antes de una crisis.
Plataformas integradas de seguridad. Conectan diferentes fuentes de información: CCTV + control de accesos + sensores + ciberseguridad + comunicaciones + inteligencia + emergencias.
Pero existe una condición fundamental:
Integrar tecnología no significa necesariamente integrar seguridad. La tecnología debe estar subordinada a una arquitectura organizativa, unos procedimientos y una estrategia de seguridad claramente definidos.
Seguridad pública + seguridad privada: una nueva arquitectura colaborativa
La complejidad del escenario actual también obliga a revisar la relación entre seguridad pública y privada.
La seguridad ciudadana y la protección de servicios esenciales no pueden ser responsabilidad exclusiva de un único actor.
En la práctica participan: administraciones públicas; Fuerzas y Cuerpos de Seguridad; servicios de emergencias; operadores de infraestructuras; empresas de seguridad; empresas tecnológicas; servicios sanitarios; entidades locales; organizaciones sociales; y ciudadanía.
El nuevo paradigma exige avanzar hacia un modelo de colaboración público-privada permanente, no limitado a situaciones de emergencia.
El intercambio de información, la coordinación, los ejercicios conjuntos y la interoperabilidad deben formar parte de la arquitectura ordinaria de seguridad.
Un nuevo modelo de gestión integral e integrada
El modelo propuesto puede estructurarse en ocho dimensiones:
- Seguridad humana. La persona como centro del sistema.
- Seguridad ciudadana. Protección de personas, comunidades, espacios y convivencia.
- Seguridad física. Protección de instalaciones, activos, personas y perímetros.
- Seguridad digital. Protección de información, sistemas, redes, OT e infraestructuras digitales.
- Seguridad organizativa. Gobernanza, procedimientos, competencias y responsabilidades.
- Inteligencia y anticipación. Conocimiento del entorno y detección temprana.
- Continuidad y gestión de crisis. Capacidad para mantener las funciones esenciales.
- Capacidad de absorber, adaptarse, recuperar y transformar.
Estas dimensiones no deben gestionarse como compartimentos estancos. Deben constituir un ecosistema integrado de seguridad y resiliencia.
Conclusiones
El escenario actual obliga a reconsiderar profundamente el concepto de seguridad.
La multiplicación de riesgos, su interconexión y su capacidad de generar efectos en cascada están superando los límites de los modelos tradicionales de protección.
El nuevo paradigma de seguridad humana y ciudadana debe situar a las personas, comunidades y servicios esenciales en el centro de la gestión.
Esto implica pasar: de la amenaza al riesgo; del riesgo aislado al riesgo sistémico; de la protección a la prevención; de la reacción a la anticipación; de la fragmentación a la convergencia; de la información a la inteligencia; de los sistemas aislados a los sistemas integrados; y de la seguridad entendida como protección a la seguridad entendida como resiliencia.
La cuestión fundamental ya no es si será posible evitar todos los incidentes. La verdadera cuestión estratégica es:
¿Estamos preparados para anticipar los riesgos, reducir sus impactos, mantener las funciones esenciales y recuperar rápidamente nuestra capacidad de funcionamiento cuando se produzcan?
La respuesta exige construir una seguridad integral e integrada, capaz de combinar personas, conocimiento, inteligencia, tecnología, organización y cooperación.
En definitiva, la nueva seguridad no será la capacidad de impedir que ocurra cualquier perturbación, sino la capacidad de una sociedad para seguir funcionando, proteger a las personas y adaptarse cuando la perturbación ocurra. Y esa capacidad tiene un nombre: RESILIENCIA.
Hablar de seguridad en el siglo XXI exige superar una concepción limitada del término. Durante buena parte de la historia contemporánea, la seguridad se ha entendido fundamentalmente como la capacidad del Estado para proteger su territorio, sus instituciones y sus ciudadanos frente a amenazas externas, conflictos armados, delincuencia, terrorismo o alteraciones graves del orden público.
Esta concepción continúa siendo necesaria. La protección frente a la violencia, el delito, el terrorismo, las amenazas híbridas, los ciberataques o cualquier otra forma de agresión constituye una función esencial de cualquier sociedad organizada. Sin embargo, ya no resulta suficiente para explicar qué significa sentirse seguro en una sociedad compleja, interdependiente y sometida a transformaciones económicas, tecnológicas, demográficas y sociales aceleradas.
La seguridad contemporánea incorpora una dimensión adicional: la seguridad de
las personas y de sus condiciones esenciales de vida.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo de la situación.
El
concepto de seguridad humana
En este sentido, la evolución hacia el concepto de seguridad humana ha
supuesto un cambio relevante en la forma de analizar los riesgos. Naciones
Unidas señala que este enfoque desplaza el centro de atención desde la seguridad
exclusivamente territorial hacia la seguridad de las personas, considerando
amenazas relacionadas con la supervivencia, los medios de vida y la dignidad. El
Programa de Naciones Unidas para el Desarrollo identifica, entre otras, las
dimensiones económica, sanitaria, personal, política, alimentaria, ambiental y
comunitaria de la seguridad humana.
Por tanto, la pregunta que debemos formular actualmente no es únicamente “¿de
qué amenazas debemos protegernos?”, sino también:
¿Qué condiciones necesita una persona para poder desarrollar su vida con un
grado razonable de estabilidad, protección, libertad y confianza?
Esta cuestión permite ampliar el concepto de seguridad integral sin sustituir
la seguridad tradicional, sino integrándola dentro de un marco más amplio.
Evolución
del concepto tradicional de seguridad
El concepto tradicional de seguridad se construyó fundamentalmente alrededor
del Estado. La seguridad nacional, la defensa del territorio, la protección de
las fronteras, el mantenimiento del orden público y la lucha contra la
delincuencia constituyeron durante décadas sus principales referencias.
En este modelo, el esquema básico podría representarse de la siguiente
manera:
AMENAZA → RIESGO → PROTECCIÓN → RESPUESTA
La prioridad consistía en identificar las amenazas, reducir las
vulnerabilidades y disponer de capacidades suficientes para prevenir, contener o
responder ante una agresión o incidente.
Este enfoque continúa siendo imprescindible. Una sociedad no puede
considerarse segura si no es capaz de garantizar la integridad física de las
personas, proteger sus infraestructuras y servicios esenciales, mantener el
orden público, prevenir la delincuencia y responder eficazmente ante emergencias
y amenazas de carácter convencional o no convencional.
Pero la transformación de las sociedades contemporáneas ha ampliado
sustancialmente el catálogo de factores que pueden generar inseguridad.
Una persona puede no estar expuesta a una amenaza violenta y, sin embargo,
experimentar una elevada sensación de inseguridad porque no puede acceder a una
vivienda, teme perder su empleo, encuentra dificultades para recibir atención
sanitaria o percibe incertidumbre respecto a su futuro y su integración social.
Aquí aparece una primera transformación fundamental: la seguridad deja de
estar vinculada exclusivamente a la ausencia de amenazas y comienza a
relacionarse también con la existencia de unas condiciones mínimas que permitan
vivir con estabilidad y dignidad.
Esta evolución no significa que la seguridad ciudadana pierda importancia.
Significa que pasa a formar parte de un ecosistema de seguridad mucho más
amplio.
De
la protección frente al delito y las amenazas externas a una concepción de
seguridad integral
La seguridad actual se caracteriza por la convergencia de riesgos.
Las amenazas ya no se presentan necesariamente de forma aislada. Una crisis
económica puede incrementar la vulnerabilidad social; una emergencia sanitaria
puede afectar al empleo; una crisis energética puede repercutir sobre los
precios y el bienestar; una interrupción de una infraestructura crítica puede
afectar simultáneamente a la movilidad, las comunicaciones, la asistencia
sanitaria y la actividad económica.
De esta manera, los riesgos se vuelven: interdependientes, transversales,
multidimensionales, acumulables, dinámicos y, en determinados casos, sistémicos.
La seguridad integral debe responder precisamente a esta realidad. Podemos
entenderla como: La integración coordinada de las capacidades de prevención,
protección, respuesta, recuperación y resiliencia frente al conjunto de riesgos
que pueden afectar a las personas, las organizaciones, las infraestructuras y la
sociedad.
Desde esta perspectiva, la seguridad física, la ciberseguridad, la protección
de infraestructuras críticas, la seguridad sanitaria, la seguridad económica, la
protección social, la seguridad ambiental y la seguridad ciudadana dejan de ser
compartimentos estancos.
La evolución conceptual puede sintetizarse así:
Seguridad tradicional
Estado →
territorio → fronteras → amenazas → protección
Seguridad integral
Estado +
sociedad + organizaciones + ciudadanos → amenazas y vulnerabilidades →
prevención + protección + respuesta + recuperación
Seguridad humana
Persona →
condiciones esenciales de vida → protección + derechos + oportunidades +
dignidad + resiliencia
El enfoque de Naciones Unidas sobre seguridad humana resulta especialmente
relevante porque plantea que la seguridad debe centrarse en las personas y en su
capacidad para vivir libres del miedo, de la necesidad y de la indignidad,
combinando protección y empoderamiento. (UNDP)
Seguridad
objetiva frente a percepción subjetiva de seguridad
Una de las cuestiones fundamentales para comprender la seguridad
contemporánea es distinguir entre seguridad objetiva y seguridad percibida o
subjetiva.
La seguridad objetiva hace referencia a la existencia o ausencia de
determinados riesgos y amenazas que pueden ser medidos mediante indicadores,
estadísticas, registros, análisis de riesgos o evidencias.
La seguridad percibida o subjetiva, en cambio, se relaciona con la forma en
que las personas interpretan su situación y valoran su nivel de protección,
estabilidad o vulnerabilidad.
Ambas dimensiones pueden coincidir, pero no necesariamente.
Una persona puede vivir en un entorno con bajos niveles objetivos de
criminalidad y, sin embargo, sentirse insegura. Del mismo modo, puede existir
una situación objetiva de riesgo que no sea percibida como especialmente
preocupante por la población.
Por ello, la percepción de seguridad no es simplemente un reflejo estadístico
de la seguridad objetiva. Es también una construcción social influida por
experiencias personales, información, expectativas, confianza institucional y
contexto socioeconómico.
Esta distinción resulta especialmente importante cuando analizamos vivienda,
sanidad, empleo o integración.
Así, la seguridad residencial no depende exclusivamente de que una persona
tenga una vivienda físicamente segura. También intervienen la posibilidad de
mantenerla, afrontar su coste, conservar el empleo necesario para pagarla o
disponer de alternativas si cambia su situación.
La seguridad sanitaria tampoco depende exclusivamente de la existencia de
hospitales y profesionales. La percepción puede estar condicionada por la
accesibilidad, los tiempos de atención, la continuidad asistencial o la
confianza en que el sistema responderá adecuadamente cuando aparezca una
necesidad.
Por tanto, una política de seguridad integral debe contemplar dos preguntas
diferentes: ¿Qué riesgos existen realmente? y ¿Cómo percibe la población esos
riesgos y su capacidad de protección? La primera permite gestionar el riesgo. La
segunda permite comprender la experiencia social de la seguridad.
La
seguridad como condición para ejercer otros derechos
La seguridad no debe interpretarse únicamente como un derecho o servicio
aislado, sino también como una condición habilitante para el ejercicio efectivo
de otros derechos.
La Constitución Española establece que la dignidad de la persona y el libre
desarrollo de la personalidad son fundamento del orden político y de la paz
social. Asimismo, reconoce, entre otros ámbitos, el derecho al trabajo, la
protección de la salud y el derecho a disfrutar de una vivienda digna y
adecuada. (BOE)
Esta conexión resulta especialmente relevante. La posibilidad formal de
ejercer un derecho no siempre equivale a la posibilidad real de hacerlo.
Una persona puede tener reconocido el derecho al trabajo, pero encontrarse en
una situación de inseguridad económica que limite su capacidad para desarrollar
un proyecto vital estable.
Puede existir el reconocimiento de la protección de la salud, pero la
percepción de dificultad para acceder oportunamente a determinados servicios
puede generar inseguridad.
Puede reconocerse el derecho a una vivienda digna y adecuada, pero la
imposibilidad de acceder a una vivienda asequible puede convertirse en una
fuente permanente de incertidumbre.
En este sentido, el Consejo de Europa vincula expresamente empleo, ingresos,
salud, nivel de vida y vivienda dentro de su marco de derechos sociales,
destacando la interrelación entre estas dimensiones.
Por ello, la seguridad no consiste únicamente en proteger a las personas
frente a aquello que puede dañarlas; consiste también en garantizar las
condiciones que les permitan ejercer efectivamente sus derechos y desarrollar su
proyecto de vida.
Nuevas
demandas sociales y transformación de las prioridades ciudadanas
Las sociedades contemporáneas han experimentado una transformación profunda
de sus demandas de seguridad.
La ciudadanía continúa demandando protección frente a la delincuencia, la
violencia, el terrorismo o las emergencias. Pero, junto a esas preocupaciones
tradicionales, adquieren mayor importancia otras formas de inseguridad asociadas
a las condiciones de vida.
Entre ellas pueden encontrarse: dificultad de acceso a la vivienda;
incertidumbre laboral; pérdida de poder adquisitivo; acceso y calidad percibida
de los servicios sanitarios; envejecimiento y dependencia; vulnerabilidad
social; exclusión; soledad; transformación tecnológica; riesgos derivados de la
inteligencia artificial; desinformación; cambio climático; riesgos energéticos;
ciberamenazas; migraciones y procesos de integración; y pérdida de confianza en
determinadas instituciones.
El resultado es una transformación del significado social de la seguridad.
Para una parte creciente de la población, estar seguro no significa
únicamente poder caminar por la calle sin ser víctima de un delito.
Significa también poder responder a preguntas esenciales: ¿Podré mantener mi
vivienda?, ¿Tendré acceso a una atención sanitaria adecuada cuando la necesite?,
¿Podré encontrar o conservar un empleo que me permita vivir dignamente?, ¿Podré
desarrollar mi proyecto familiar?, ¿Estaré protegido ante una situación de
vulnerabilidad?, ¿Podré confiar en las instituciones y en los servicios
esenciales?
Estas preguntas desplazan progresivamente el centro de gravedad de la
seguridad desde la mera protección frente al peligro hacia la gestión de la
incertidumbre. Y esta transformación resulta fundamental.
Porque muchas de las inseguridades contemporáneas no se manifiestan
inicialmente como amenazas visibles. Se manifiestan como incertidumbre sobre el
futuro.
Una
nueva dimensión: seguridad y confianza
La percepción de seguridad mantiene una relación estrecha con la confianza.
Una sociedad puede disponer de instituciones, servicios públicos, sistemas de
protección y capacidades de respuesta técnicamente avanzadas y, sin embargo,
generar sensación de inseguridad si una parte de sus ciudadanos considera que
dichos sistemas no estarán disponibles o no responderán adecuadamente cuando
sean necesarios.
La confianza actúa, por tanto, como un componente intangible de la seguridad.
Podemos identificar una cadena:
Protección efectiva → confianza →
percepción de seguridad
pero también:
incertidumbre → pérdida de confianza →
percepción de inseguridad
Esta cuestión adquiere especial importancia en un contexto caracterizado por
la rápida circulación de información, la sobreexposición a acontecimientos
negativos y la proliferación de contenidos difíciles de verificar.
La gestión de la seguridad exige, por tanto, no solo capacidad operativa,
sino también comunicación, transparencia, información fiable y generación de
confianza.
Hacia
un nuevo concepto de seguridad: proteger, garantizar y capacitar
La evolución descrita permite plantear un concepto más amplio de seguridad.
La seguridad integral contemporánea debería combinar tres grandes funciones:
PROTEGER. Reducir la exposición de personas, organizaciones e
infraestructuras frente a amenazas y riesgos.
GARANTIZAR. Asegurar el funcionamiento de los servicios y condiciones
esenciales que permiten el desarrollo de la vida social.
CAPACITAR. Dotar a las personas y comunidades de recursos, capacidades y
oportunidades para afrontar situaciones adversas.
Esta última dimensión resulta especialmente importante porque una sociedad
resiliente no es aquella en la que nunca aparecen crisis, sino aquella que
dispone de capacidad para anticiparlas, absorber sus impactos, adaptarse y
recuperarse.
En esta concepción, la seguridad humana no sustituye a la seguridad
ciudadana, nacional, corporativa o de infraestructuras críticas. Las integra en
una visión más amplia y centrada en las personas.
La
nueva seguridad integral humana
Llegados a este punto, el análisis conduce necesariamente a una cuestión de
fondo: ¿Puede una sociedad considerarse segura cuando una parte de sus
ciudadanos percibe inseguridad respecto a su vivienda, su atención sanitaria, su
empleo o su integración social?
La respuesta exige evitar dos simplificaciones. La primera sería reducir la
seguridad a la ausencia de delincuencia o violencia. La segunda sería considerar
que cualquier dificultad social constituye automáticamente un problema de
seguridad.
No toda desigualdad, carencia o conflicto social es una amenaza de seguridad.
Sin embargo, determinadas situaciones prolongadas de vulnerabilidad pueden
convertirse en factores de inseguridad humana, especialmente cuando afectan a
necesidades esenciales, generan exclusión, deterioran la confianza o limitan de
forma significativa la capacidad de las personas para desarrollar su proyecto
vital.
Por ello, el verdadero desafío consiste en identificar cuándo una necesidad
social se transforma en una condición de inseguridad, qué factores la generan,
cómo se manifiesta en la percepción ciudadana y qué capacidades institucionales
y sociales son necesarias para prevenirla y reducirla.
Esta perspectiva conduce a una concepción de la seguridad integral humana
basada en la interdependencia de la: Seguridad ciudadana, Seguridad económica,
Seguridad residencial, Seguridad sanitaria, Seguridad social y comunitaria,
Cohesión social, Resiliencia.
En consecuencia, la seguridad del futuro no puede limitarse a proteger a la
sociedad frente a las amenazas que llegan desde fuera. También deberá abordar
las vulnerabilidades que se generan dentro de ella.
La
seguridad integral e integrada como nuevo paradigma
El nuevo paradigma podría sintetizarse en una transición:
- De proteger territorios a proteger personas.
- De responder a amenazas a anticipar riesgos.
- De gestionar incidentes a gestionar vulnerabilidades.
- De medir únicamente hechos objetivos a comprender también percepciones.
- De actuar de forma sectorial a integrar capacidades.
- De la protección exclusivamente institucional a la corresponsabilidad
público-privada y ciudadana.
- De la seguridad entendida como ausencia de peligro a la seguridad
entendida como capacidad para vivir, trabajar, convivir y desarrollarse con
estabilidad y dignidad.
Esta evolución no supone abandonar las funciones tradicionales de seguridad.
Supone ampliar su perspectiva.
La seguridad integral e integrada del siglo XXI debe proteger frente a las
amenazas, pero también debe contribuir a reducir aquellas vulnerabilidades que
generan incertidumbre, fragilidad y pérdida de confianza.
En definitiva, la seguridad humana, la seguridad ciudadana, la seguridad
social, la seguridad económica y la protección de los servicios esenciales
forman parte de un mismo ecosistema de seguridad.
Y precisamente en ese punto se sitúa el objeto central de este artículo: analizar cómo la vivienda, la atención sanitaria, la migración y el trabajo están configurando nuevas formas de seguridad e inseguridad percibida y cómo estas dimensiones pueden influir en la cohesión y resiliencia de la sociedad.
La protección de las infraestructuras críticas y estratégicas ha adquirido una importancia creciente como consecuencia de la transformación tecnológica, económica y social experimentada durante las últimas décadas.
Esta creciente digitalización ha incrementado simultáneamente las capacidades y las vulnerabilidades de las infraestructuras. La interdependencia entre sistemas, organizaciones y operadores, la globalización de las cadenas de suministro, la dependencia de proveedores tecnológicos y la aparición de amenazas híbridas, cibernéticas, físicas, internas y combinadas han transformado la seguridad de las infraestructuras en un problema sistémico.
En este contexto, los modelos tradicionales basados exclusivamente en la
protección física resultan insuficientes. Es necesario evolucionar hacia un
Modelo Integral de Seguridad y Resiliencia, basado en el
conocimiento de los activos, la gestión del riesgo, la convergencia de la
seguridad física y lógica, la inteligencia de amenazas, la continuidad de los
servicios esenciales, la coordinación organizativa y la capacidad de adaptación.
Las infraestructuras actuales ya no pueden analizarse como instalaciones
aisladas. La realidad genera una red de dependencias e interdependencias en la
que un incidente localizado puede propagarse rápidamente a otros sistemas y
organizaciones, provocando efectos en cascada.
El presente artículo propone un marco conceptual, metodológico,
organizativo y operativo para abordar esta transformación y establece
las principales líneas de actuación para construir infraestructuras más seguras,
resilientes y capaces de anticiparse a escenarios de riesgo cada vez más
complejos.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo hacia un modelo integral de seguridad, resiliencia y gestión
del riesgo.
- La transformación del concepto de seguridad
- La convergencia entre seguridad física y ciberseguridad
- Interconexión e interdependencias
- Globalización y seguridad de la cadena de suministro
- El riesgo como elemento central del modelo
- Inteligencia aplicada a la seguridad
- Resiliencia: del modelo de protección al modelo de adaptación
- Nuevo modelo organizativo
- Centro de Operaciones de Seguridad Integral
- Seguridad por diseño
La
transformación del concepto de seguridad
De la seguridad física a la seguridad integral.
Históricamente, la protección de infraestructuras críticas se ha apoyado en
medidas como: Protección perimetral, Control de accesos, Sistemas de detección y
alarma, Videovigilancia, Protección contra incendios, Seguridad de
instalaciones, Servicios de control y vigilancia.
Estas medidas siguen siendo imprescindibles, pero han dejado de ser
suficientes. Las infraestructuras actuales incorporan sistemas digitales que
controlan procesos físicos, automatizan operaciones y permiten supervisar
instalaciones a distancia. Una intrusión lógica puede, por tanto, tener
consecuencias físicas; del mismo modo, una intrusión física puede utilizarse
para comprometer sistemas digitales.
Surge así el concepto de seguridad integral e integrada,
entendido como la coordinación de todas las dimensiones que contribuyen a
proteger los activos y garantizar la continuidad de los servicios.
La
convergencia entre seguridad física y ciberseguridad
Uno de los principales retos consiste en superar la tradicional separación
entre los responsables de seguridad física y los responsables de tecnologías de
la información.
La convergencia se produce porque: los sistemas físicos dependen de
sistemas digitales y los sistemas digitales tienen consecuencias sobre el mundo
físico.
Los sistemas de videovigilancia, control de accesos, detección de intrusión,
sistemas de gestión de edificios y plataformas de supervisión funcionan cada vez
más sobre redes IP.
En paralelo, los sistemas industriales OT/ICS integran: PLC, SCADA, Sistemas de supervisión, Sensores, Actuadores, Redes industriales, Sistemas de control distribuido.
Por ello, la arquitectura de seguridad debe considerar conjuntamente:
persona + instalación + tecnología +
información + proceso + organización
Interconexión
e interdependencias
La seguridad de una infraestructura crítica no puede determinarse
exclusivamente mediante el análisis de sus propios activos. Es necesario
identificar:
Dependencias físicas. Relaciones de suministro de: Energía, Agua,
Combustibles, Materiales, Transporte.
Dependencias tecnológicas: Telecomunicaciones, Sistemas informáticos,
Servicios cloud, Centros de datos, Sistemas de posicionamiento,
Plataformas de gestión.
Dependencias organizativas: Proveedores, Empresas de mantenimiento,
Personal especializado, Servicios externalizados.
Dependencias geográficas: Concentración de instalaciones, Puntos
únicos de fallo, Rutas logísticas, Concentración de proveedores.
El resultado puede representarse como una red de dependencias,
que permite identificar posibles efectos en cascada.
Globalización
y seguridad de la cadena de suministro
La globalización ha permitido optimizar costes y aumentar la eficiencia, pero
también ha generado nuevas dependencias.
Una infraestructura crítica puede depender de: Fabricantes extranjeros,
Componentes electrónicos específicos, Software propietario, Servicios cloud,
Proveedores de telecomunicaciones, Empresas de mantenimiento especializadas,
Actualizaciones remotas, Servicios logísticos internacionales.
El riesgo deja de encontrarse únicamente dentro del perímetro de la
instalación. Se extiende a toda la cadena de suministro.
Por ello, la seguridad debe incorporar mecanismos de: Identificación de
proveedores críticos, Evaluación de riesgos de terceros, Requisitos de seguridad
contractual, Control de accesos de proveedores, Gestión de vulnerabilidades,
Continuidad de suministro, Diversificación, Sustitución de proveedores críticos,
Supervisión de dependencias, Planes de contingencia.
El
riesgo como elemento central del modelo
La protección integral debe construirse sobre un proceso continuo de gestión
del riesgo:
Activos → riesgo → amenazas →
vulnerabilidades → probabilidad → impacto → controles → riesgo residual.
Este enfoque permite superar el modelo basado exclusivamente en la
instalación de medidas y avanzar hacia una seguridad basada en riesgos.
Nuevas amenazas y amenazas híbridas
Las amenazas actuales presentan una característica especialmente relevante:
pueden combinar diferentes vectores de ataque.
Un escenario hipotético puede comenzar con:
reconocimiento → compromiso de un
proveedor → acceso digital → movimiento dentro de la organización → manipulación
de sistemas → impacto operacional.
También puede producirse la combinación de: Intrusión física, Ciberataque,
Sabotaje, Interferencia de comunicaciones, Manipulación de información,
Desinformación.
Esta convergencia exige abandonar los análisis aislados y adoptar una
visión multidimensional del riesgo y la amenaza.
Inteligencia
aplicada a la seguridad
La inteligencia constituye un elemento esencial para anticipar amenazas.
El sistema de inteligencia deberá transformar información dispersa en
conocimiento útil para la toma de decisiones.
El proceso puede estructurarse como:
Dirección → Obtención → Procesamiento →
Análisis → Producción → Difusión → Retroalimentación.
Las fuentes podrán incluir: Información interna, Incidentes, Fuentes
abiertas, Organismos públicos, Proveedores, Información tecnológica,
Inteligencia sectorial, CERT/CSIRT.
El objetivo no es acumular información, sino identificar: Actores,
Motivaciones, Capacidades, Indicadores, Tendencias, Escenarios, Alertas
tempranas.
La nueva inteligencia de las infraestructuras críticas: cuando el reto ya no
es vigilar, sino conectar los datos
Imágenes satelitales, inteligencia artificial y fuentes abiertas están
redefiniendo la forma en que se analizan infraestructuras críticas y esenciales.
Resiliencia:
del modelo de protección al modelo de adaptación
La protección tradicional busca impedir que ocurra el incidente.
La resiliencia incorpora una perspectiva más amplia:
prevenir, preparar, resistir, responder,
recuperar y aprender.
Una infraestructura resiliente no es necesariamente aquella en la que nunca
ocurre un incidente, sino aquella capaz de mantener funciones
esenciales, limitar las consecuencias, recuperar rápidamente sus capacidades y
aprender de la experiencia.
Por ello, la resiliencia requiere: Redundancia, Diversificación, Sistemas de
respaldo, Capacidad de sustitución, Procedimientos de emergencia, Personal
formado, Comunicaciones alternativas, Recuperación tecnológica, Continuidad
operacional, Ejercicios y simulacros.
Nuevo
modelo organizativo
La complejidad actual requiere una evolución organizativa permanente. La
seguridad debe conectar diferentes funciones: Dirección, Seguridad corporativa,
Director de Seguridad, Responsable de Seguridad y Enlace, CISO, CIO,
Operaciones, Mantenimiento, OT/ICS, Prevención, Recursos Humanos, Continuidad,
Asesoría jurídica, Comunicación, Gestión de crisis.
La organización debe evitar que cada área gestione su riesgo de forma
independiente.
El objetivo es construir un gobierno de gestión integrado de la
seguridad y la resiliencia.
Centro
de Operaciones de Seguridad Integral
Una evolución natural de este modelo es el establecimiento de un centro capaz
de integrar información física, tecnológica, operacional y de ciberseguridad.
Este centro deberá permitir: Gestión integral del riesgo, Supervisión,
Gestión de alarmas, Correlación de eventos, Análisis de incidentes, Gestión de
crisis, Escalado, Coordinación de respuesta, Análisis de incidencias.
La integración tecnológica puede incorporar:
videovigilancia + control de accesos +
intrusión + incendios + BMS + OT/ICS + SIEM + comunicaciones + inteligencia.
Sin embargo, la integración tecnológica por sí misma no genera seguridad.
Debe estar acompañada de: Procedimientos, Roles, Formación, Reglas de decisión,
Protocolos de escalado, Responsabilidades claras.
Seguridad
por diseño
Uno de los cambios más importantes consiste en incorporar la seguridad desde
la fase inicial de: Diseño, Ingeniería, Adquisición, Instalación, Integración,
Puesta en servicio.
La seguridad añadida posteriormente suele ser más costosa y menos eficaz.
La metodología deberá incorporar desde el diseño: Análisis de riesgos,
Segmentación, Redundancia, Control de accesos, Protección física,
Ciberseguridad, Continuidad, Resiliencia, Recuperación, Protección de datos.
La seguridad debe convertirse así en una propiedad inherente del
sistema, y no en un conjunto de medidas añadidas posteriormente.
Conclusión ejecutiva
El nuevo paradigma de seguridad de las infraestructuras críticas puede
resumirse en una idea fundamental:
La seguridad ya no consiste únicamente en proteger instalaciones; consiste en
garantizar la continuidad y resiliencia de las funciones esenciales frente a un
entorno de amenazas interconectadas, dinámicas y multidimensionales.
La creciente dependencia tecnológica, la convergencia IT/OT, la interconexión
entre organizaciones, las cadenas de suministro globales y las amenazas híbridas
obligan a transformar los modelos tradicionales.
El futuro de la protección de infraestructuras críticas requiere pasar: de la
seguridad física a la seguridad integral e integrada; de la reacción a la
anticipación; del análisis aislado al análisis sistémico; del perímetro a la
cadena de suministro; del cumplimiento formal a la resiliencia real; de
departamentos aislados a gobierno convergente; de la protección estática a la
adaptación continua.
El objetivo último debe ser construir infraestructuras seguras, resilientes, inteligentes y adaptativas, capaces no solo de prevenir y resistir las amenazas, sino también de mantener sus servicios esenciales, recuperarse rápidamente y aprender de cada perturbación.
Una vez más, en el Día de la Inteligencia Artificial (16 de julio), asistimos a un importante cambio de paradigma sobre cómo la inteligencia artificial puede mejorar procesos clave en los ámbitos de la Seguridad Ciudadana y la Defensa con la especificación desarrollada para posicionar un marco aplicado que proporcione criterios verificables para implantar controles de IA responsable en entornos críticos, incorporando controles técnicos, operativos y organizativos desde el diseño, integrando la calidad del dato, y medidas técnicas, mecanismos de control y protección.
Modelando la IA hacia resultados inclusivos, equitativos y socialmente beneficiosos, especialmente en lo que se refiere a los desafíos de seguridad ciudadana y la defensa y cómo esta tecnología ha dejado de ser una promesa de futuro para convertirse en el motor de la transformación estratégica y operativa actual.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo sobre el Nuevo Paradigma de la Inteligencia Artificial, Seguridad
Ciudadana y Defensa.
Introducción
y Contexto Estratégico
El Cambio de Paradigma: de la promesa tecnológica a la
necesidad operativa. Cómo la IA actúa hoy como el motor central de la
transformación en seguridad ciudadana y defensa.
La Dualidad del Entorno: breve análisis de los desafíos
actuales (asimetría de amenazas, volumen masivo de datos en tiempo real) y por
qué los enfoques tradicionales ya no son suficientes.
La Tesis Central: el despliegue de la IA en misiones
críticas solo es viable, sostenible y eficaz si se asienta sobre un marco de
gobernanza estricto, responsable y verificable desde su propia concepción.
Áreas
de Impacto Operativo: Casos de Uso Clave
Seguridad Ciudadana: análisis predictivo de patrones
delictivos para optimización de patrullajes (sin caer en perfiles automatizados
sesgados).
Gestión inteligente de emergencias y catástrofes mediante el procesamiento de
flujos de datos multisensoriales.
Defensa y Operaciones Tácticas: sistemas de soporte a la
decisión en tiempo real (mantenimiento predictivo de activos críticos, logística
y conciencia situacional).
Fusión de datos procedentes de inteligencia, vigilancia y reconocimiento (ISR).
El
Marco de IA Responsable desde el Diseño (By Design)
El despliegue de soluciones de inteligencia artificial en seguridad ciudadana
y defensa no puede depender de parches éticos o revisiones a posteriori. En
entornos de misión crítica -donde las decisiones impactan directamente en las
libertades civiles, la seguridad nacional y la vida humana- la responsabilidad,
la transparencia y el control deben integrarse de forma nativa en la
arquitectura misma del sistema.
Gestión
y Control
El principio de IA Responsable desde el Diseño (Responsible AI by
Design) exige la convergencia simétrica de tres tipos de controles
robustos y concurrentes: técnicos, operativos y organizativos.
Controles Técnicos: Arquitectura y Desarrollo Confiable
Los controles técnicos son las salvaguardas codificadas directamente en el
software, los modelos y la infraestructura de datos. Su objetivo es garantizar
la resiliencia determinista del sistema y evitar fallos opacos.
Inteligencia Artificial Explicable (XAI) intrínseca: en
entornos operativos, se prohíbe el uso de arquitecturas de "caja negra" (black-box
models) para tareas de alta criticidad (como el análisis de riesgo de
reincidencia o la designación táctica de objetivos).
Mecanismos de Control y Bloqueo Humano (Human-in-the-loop /
Human-on-the-loop): el sistema debe diseñarse de modo que la IA
actúe estrictamente como un motor de recomendación o soporte a la decisión,
manteniendo la última palabra siempre en el operador humano calificado.
Mitigación de Sesgos desde la Optimización Algorítmica:
durante la fase de entrenamiento, se introducen funciones de pérdida
personalizadas que penalizan matemáticamente la disparidad en las predicciones
basadas en variables protegidas (edad, procedencia, género).
Controles Operativos: Despliegue Seguro en la Misión
Los controles operativos regulan el comportamiento de los sistemas de IA
durante sus fases de simulación, inserción táctica y uso rutinario en el terreno
por parte de las fuerzas de seguridad o unidades de defensa.
Protocolos de Validación en Entornos Aislados (Sandboxing):
ningún sistema basado en aprendizaje automático se despliega directamente en
producción sin haber superado simulaciones exhaustivas en escenarios controlados
(sandboxes operativos).
Límites Operativos de Activación y Escalado: se definen
matrices operativas estrictas que delimitan las condiciones exactas bajo las
cuales el sistema de IA tiene autorización para operar.
Gestión del Cambio y Capacitación Operativa Continuada: el
despliegue de IA requiere de operarios entrenados no solo para utilizar la
herramienta, sino para desconfiar críticamente de ella si la situación lo
amerita (mitigando el sesgo de automatización o complacencia
algorítmica).
Controles Organizativos: Gobernanza e Institucionalidad
Los controles organizativos configuran el tejido normativo, los comités de
vigilancia y las estructuras jerárquicas que validan la legitimidad
institucional de la IA en la organización.
Comités de Ética y Supervisión Independiente: se formalizan
órganos internos de control técnico-ético compuestos por perfiles
multidisciplinares (analistas de datos, asesores legales, mandos operativos y
expertos en derechos humanos).
Marcos de Cumplimiento Normativo y Alineación Legal: toda
iniciativa basada en IA debe ser sometida a evaluaciones de impacto de los
derechos fundamentales de manera estricta y transparente, garantizando una
alineación matemática y de procedimientos con los marcos legislativos vigentes
más exigentes (como el Reglamento de Inteligencia Artificial de la Unión Europea
para sistemas de alto riesgo y las normativas de seguridad nacional).
Auditorías Externas de Caja: la organización se compromete a
someter periódicamente sus plataformas operativas a auditorías por parte de
agencias estatales independientes o terceros homologados.
El
Activo Crítico: Calidad, Protección y Control del Dato
En los entornos operativos de seguridad ciudadana y defensa, los datos no son
meros insumos informáticos; constituyen el tejido mismo sobre el cual se
articulan la conciencia situacional y la línea de mando. Un modelo de
Inteligencia Artificial óptimo es completamente inútil si es alimentado con
datos corruptos, incompletos o manipulados.
Ciclo de Vida de la Calidad del Dato
La calidad del dato no es un estado estático, sino un proceso continuo que
acompaña a la información en cada una de sus fases operativas. En misiones
críticas, este ciclo se gestiona bajo los siguientes parámetros estrictos:
Ingesta y Validación en el Origen: los flujos de datos
provienen de fuentes heterogéneas (sensores IoT cámaras de videovigilancia,
transmisiones de radio, bases de datos policiales).
Representatividad y Vigencia: para mitigar los sesgos
históricos, los datasets de entrenamiento y validación se someten a
análisis de representatividad demográfica y geográfica. Además, en seguridad y
defensa, el factor temporal es crítico.
Medidas
Técnicas de Protección y Ciberseguridad del Dato
Las infraestructuras de datos en este sector son objetivos preferentes para
actores hostiles. La protección del dato debe estructurarse bajo el principio de
Confianza Cero (Zero Trust) y blindarse contra ataques específicos
dirigidos a desestabilizar la IA:
Mitigación de Ataques Adversarios y Envenenamiento: los
vectores de ataque modernos buscan corromper el aprendizaje del modelo
introduciendo sutiles perturbaciones en los datos de entrenamiento (data
poisoning) o manipulando los datos de entrada en fase de inferencia
(ejemplos adversarios).
Criptografía Avanzada para la Privacidad: Cifrado
Homomórfico que permite que los algoritmos operen e infieran predicciones sobre
datos que permanecen completamente cifrados, garantizando que los analistas o
proveedores de infraestructura no tengan acceso visual a información clasificada
o datos personales sensibles durante el procesamiento.
Seguridad Perimetral y Almacenamiento Segmentado: los
repositorios de datos se aíslan mediante redes definidas por software (SDN) y
entornos de ejecución seguros (TEEs), limitando el acceso mediante controles de
identidad basados en roles criptográficos inviolables.
Mecanismos de Control y Linaje del Dato (Data Lineage): la
auditabilidad de la IA requiere reconstruir el camino exacto que recorrió un
dato desde su captura física hasta su impacto en una orden operativa. Los
mecanismos de control técnico se dividen en tres capas:
Trazabilidad Extrema (Data Lineage): se implementan
gráficos de dependencia automatizados que registran cada transformación,
agregación o filtrado que sufre un dato.
Auditorías de Flujo en Tiempo Real: agentes de software
autónomos monitorizan los flujos de información de forma ininterrumpida.
Control de Acceso e Historiales de Consulta Inmutables: cada
consulta, lectura o modificación de los conjuntos de datos destinados a la IA
genera un apunte criptográfico indeleble.
El
Modelo de Evidencias Verificables y Criterios Objetivos
Para que un marco de Inteligencia Artificial Responsable (IAR) sea efectivo
en entornos de alta criticidad como la seguridad ciudadana y la defensa, no
puede depender de declaraciones de intenciones o autoajustes subjetivos. Exige
la construcción de un ecosistema de auditoría automatizado que
genere evidencias empíricas, continuas y verificables por terceros
independientes. Este modelo se articula en tres pilares: métricas formalizadas,
registros inmutables y metodologías de inspección objetiva.
Métricas de Desempeño Responsable y Equidad Algorítmica
La eficacia de un sistema de IA tradicionalmente se mide mediante métricas
puramente analíticas (Precisión, Recall, F1-Score o el área
bajo la curva ROC). Sin embargo, en misiones operativas, estas métricas deben
cohabitar obligatoriamente con KPIs de equidad (Fairness Metrics)
para garantizar resultados inclusivos y corregir desviaciones sesgadas.
Se implementan de forma automatizada los siguientes criterios matemáticos de
verificación:
Paridad Demográfica (Demographic Parity): garantiza
que la probabilidad de que el sistema genere un resultado positivo o de
intervención (por ejemplo, la asignación de patrullas preventivas o la
identificación de perfiles de riesgo) sea estadísticamente idéntica en
diferentes subgrupos de población, independientemente de variables protegidas
como raza, género o nivel socioeconómico.
Igualdad de Oportunidades (Equality of Opportunity):
exige que las tasas de Verdaderos Positivos sean iguales para todos los
subgrupos. En seguridad ciudadana, esto asegura que el algoritmo tenga la misma
capacidad para identificar incidentes reales en un barrio vulnerable que en uno
de rentas altas, evitando la sobreexposición policial de zonas específicas por
errores de muestreo.
Igualdad de Cuotas (Equalized Odds): obliga a que
tanto la tasa de Verdaderos Positivos como la de Falsos Positivos
se mantengan homogéneas entre colectivos. Controlar de forma estricta los falsos
positivos es crítico en defensa e inteligencia para evitar falsas alarmas que
puedan desencadenar una escalada de fuerza o vulnerar los derechos de ciudadanos
inocentes.
Pistas
de Auditoría Inmutables (Audit Trails)
Cualquier inferencia, recomendación o acción sugerida por una IA en el ámbito
táctico debe dejar una huella digital que reconstruya con total fidelidad el
proceso de toma de decisiones. El modelo exige el diseño de Pistas de
Auditoría Inmutables, estructuradas bajo arquitecturas de registro
seguro (como tecnologías de libro mayor distribuido o ledgers
criptográficos con políticas de retención estrictas WORM: Write Once, Read
Many).
Este nivel de trazabilidad permite que, ante un incidente operativo o una
reclamación legal, un comité de investigación pueda recrear el escenario
analítico exacto en un entorno de pruebas simulado, aislando si el fallo fue del
dato, del modelo, de la infraestructura de red o de la interpretación del factor
humano.
Ensayos
Clínicos Algorítmicos y Monitorización del "Concept Drift"
Los sistemas de IA no son estáticos; interactúan con entornos dinámicos y
hostiles que degradan su precisión con el tiempo. El modelo de evidencias
instituye dos tipos de evaluaciones técnicas obligatorias:
Evaluaciones de Impacto Algorítmico (EIA) Ex-Ante: antes del
paso a producción, el sistema se somete a simulaciones con datos históricos no
vistos y escenarios sintéticos de estrés.
Certificación de Cumplimiento Técnico: como cierre del
modelo, estas métricas y registros se compilan en paneles de control analíticos
(Dashboards de Gobernanza) y reportes automatizados. El objetivo es proporcionar
a los inspectores generales, auditores judiciales o autoridades de control civil
una Declaración de Conformidad Técnica.
IA
orientada a Resultados Inclusivos y Beneficio Social
Equidad Social: cómo el uso responsable de la IA reduce la
arbitrariedad en las actuaciones policiales y democratiza el acceso a la
seguridad.
Garantía de Derechos: demostración de que la eficacia
operativa en defensa y seguridad no está reñida con la preservación de las
libertades civiles.
El Retorno Social: la IA como herramienta protectora del
tejido social y el Estado de Derecho.
Conclusiones
La IA ya no es una opción de cara al futuro; es una realidad táctica.
La verdadera ventaja estratégica no la tendrá quien despliegue la IA más rápido, sino quien lo haga de la forma más robusta, confiable y verificable.
Dedicado por más de 30 años a la Consultoría e Ingeniería de Seguridad y Defensa por más de 20 países como asesor para asuntos aeroportuarios, puertos, cárceles hospitales, entidades bancarias, museos, transporte ferroviario, servicios de Correos y puertos.
Es socio fundador y presidente para Europa de la Federación Mundial de Seguridad (WSF), Director para Europa de la Secretaría Iberoamericana de Seguridad, Asesor gubernamental en materia de integración operativa de seguridad pública y privada en diversos países latinoamericanos.
Como experiencia académica es profesor de postgrado en ICADE (Universidad Pontificia Comillas de Madrid) desde 1986, codirector de postgrado en la Facultad de Psicología (Universidad Complutense de Madrid) y director del Curso de Seguridad en Infraestructuras Críticas del Instituto General Gutierrez Mellado de la UNED, así como conferenciante habitual y profesor en más de 20 países sobre Seguridad y Defensa.
Su representación institucional es principalmente como Miembro Experto de la Comisión Mixta de Seguridad del Ministerio del Interior, Director para Europa de la Federación Panamericana de Seguridad (FEPASEP), representante “ad honores” de la Federación de Empresas de Seguridad del MERCOSUR (FESESUR), asesor del BID (Banco Interamericano de Desarrollo) para asuntos de Seguridad Ciudadana y Observatorio de Delincuencia en Panamá, socio fundador y de honor del Observatorio de Seguridad Integral en Hospitales (OSICH), socio fundador y vicepresidente de la Asociación para la Protección de Infraestructuras Críticas (APIC)
Autor y director de la BIBLIOTECA DE SEGURIDAD, editorial de Manuales de Proyectos, Organización y Gestión de Seguridad
Actualmente es presidente y director del Grupo de Estudios Técnicos (GET), socio-senior partner de TEMI GROUP Consultoría Internacional y socio-director de CIRCULO de INTELIGENCIA consultora especializada.
Tendencias 21 (Madrid). ISSN 2174-6850