El nuevo paradigma de gestión de la innovación y la tecnología. Planteamiento (1)
En este nuevo escenario, la innovación tecnológica ya no puede gestionarse
exclusivamente desde criterios de eficiencia, competitividad, productividad,
escalabilidad o rentabilidad. Es necesario incorporar una dimensión adicional,
transversal y estratégica: la
seguridad y la resiliencia integral como atributos inherentes al ciclo de
vida de la innovación, los sistemas tecnológicos, los procesos empresariales y
las cadenas de suministro.
Este planteamiento configura un nuevo paradigma de gestión de la innovación y
la tecnología, basado en la convergencia de cinco dimensiones:
- Seguridad desde el Diseño (Security by Design): integrar
los requisitos de seguridad física, lógica, digital y organizativa desde la
concepción de productos, servicios, infraestructuras y procesos.
- Ciberseguridad y protección de la información: establecer
una arquitectura de protección de activos, datos, sistemas, comunicaciones y
servicios esenciales.
- Resiliencia operativa y organizativa: garantizar la
continuidad de las operaciones, la capacidad de respuesta ante incidentes y la
recuperación frente a perturbaciones.
- Cumplimiento normativo y gobernanza: integrar los
requisitos de las directivas europeas NIS-2 y CER, junto con sistemas de
gestión de seguridad de la información basados en ISO/IEC 27001.
- Resiliencia geopolítica y tecnológica: anticipar y
gestionar los riesgos derivados de dependencias estratégicas, concentración de
proveedores, vulnerabilidades de las cadenas de suministro, restricciones
comerciales, conflictos internacionales y cambios en el acceso a tecnologías
críticas.
La tesis fundamental es que la seguridad deja de ser una función de control
posterior a la innovación para convertirse en un principio estructural de su
diseño, desarrollo, implantación, explotación y evolución.
Por tanto, la seguridad y la resiliencia no deben considerarse costes
adicionales ni limitaciones a la innovación, sino condiciones necesarias para
garantizar su sostenibilidad, fiabilidad, autonomía y generación de valor a
largo plazo.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo de la situación.
El
cambio de paradigma: de la innovación tecnológica a la innovación segura y
resiliente
El modelo tradicional de gestión de la innovación tecnológica se ha centrado
fundamentalmente en la identificación de oportunidades, la investigación y el
desarrollo, la transformación digital, la incorporación de nuevas tecnologías y
la optimización de los procesos.
Sin embargo, este enfoque presenta limitaciones cuando las tecnologías
desarrolladas o incorporadas sustentan servicios esenciales, infraestructuras
críticas, sistemas industriales, redes de comunicaciones, servicios públicos o
cadenas de suministro estratégicas.
La digitalización ha ampliado la superficie de exposición de las
organizaciones y ha generado nuevas interdependencias entre infraestructuras
físicas, sistemas de información, tecnologías operacionales (OT), plataformas
digitales, proveedores tecnológicos y servicios externalizados.
Por ello, el nuevo paradigma requiere evolucionar desde una gestión de la
innovación orientada principalmente al desarrollo tecnológico hacia una gestión
integral de la innovación segura, sostenible, autónoma y resiliente.
Principios fundamentales del nuevo paradigma
El modelo propuesto se fundamenta en los siguientes principios:
- Seguridad como requisito de innovación: toda iniciativa
tecnológica debe incorporar criterios de seguridad desde su concepción,
definición de requisitos y diseño arquitectónico.
- Protección integral de activos: los activos físicos,
digitales, informacionales, industriales, humanos y estratégicos deben
gestionarse bajo una visión común de riesgos.
- Enfoque basado en riesgos y amenazas: las decisiones de
inversión, desarrollo, adquisición e implantación tecnológica deben considerar
tanto las amenazas conocidas como los escenarios emergentes.
- Resiliencia por diseño: los sistemas deben concebirse
para resistir, absorber, adaptarse y recuperarse ante incidentes y
perturbaciones.
- Seguridad de la cadena de suministro: la evaluación de
proveedores, fabricantes, componentes, software, servicios cloud y
dependencias tecnológicas debe formar parte del proceso de innovación.
- Autonomía y soberanía tecnológica: se deben identificar y
gestionar las dependencias estratégicas que puedan comprometer la continuidad
de los servicios.
- Gobernanza y responsabilidad directiva: la seguridad debe
integrarse en la estrategia corporativa y en los mecanismos de toma de
decisiones.
- Mejora continua: la innovación debe incorporar mecanismos
permanentes de evaluación, auditoría, aprendizaje y adaptación.
Este enfoque transforma la seguridad en un elemento habilitador de la
innovación, en lugar de considerarla una actividad independiente que se
incorpora al final del desarrollo tecnológico.
Convergencia
de los marcos europeos NIS-2 y CER
El nuevo modelo encuentra su fundamento regulatorio en dos instrumentos
esenciales de la Unión Europea: la Directiva NIS-2 y la Directiva CER.
Ambas directivas responden a una misma necesidad estratégica: garantizar la
continuidad y la seguridad de los servicios esenciales, aunque abordan
dimensiones complementarias.
Dos dimensiones de una misma resiliencia
NIS-2. Resiliencia digital
Protección de redes, sistemas de información, datos, comunicaciones y
servicios digitales.
CER. Resiliencia integral
Protección de las entidades críticas, sus instalaciones, operaciones, personas y
servicios esenciales frente a todo tipo de amenazas.
Modelo integrado de seguridad y resiliencia
Prevención Protección Detección Respuesta Continuidad
Recuperación Adaptación
Modelo conceptual de complementariedad entre las dos directivas europeas.
Directiva NIS-2: ciberseguridad y gestión de riesgos tecnológicos
La Directiva (UE) 2022/2555, conocida como NIS-2, establece un marco europeo
para elevar el nivel común de
ciberseguridad y reforzar las capacidades de prevención, gestión y respuesta
ante incidentes.
Su ámbito comprende sectores esenciales y otros sectores importantes para el
funcionamiento de la economía y la sociedad, entre ellos energía, transporte,
sanidad, infraestructuras digitales, agua, administración pública, fabricación,
servicios postales e investigación.
La directiva establece obligaciones relativas a:
- Análisis y gestión de riesgos de ciberseguridad.
- Seguridad de los sistemas de información y redes.
- Gestión y notificación de incidentes.
- Continuidad de negocio y recuperación ante desastres.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
- Gestión de vulnerabilidades.
- Control de accesos, autenticación y criptografía.
- Formación y concienciación.
- Supervisión y responsabilidad de los órganos de dirección.
Especial relevancia tiene su artículo 21, que establece un enfoque integral
de
gestión de riesgos, incluyendo medidas técnicas, operativas y organizativas.
Esto significa que la ciberseguridad no debe limitarse a la protección
perimetral de los sistemas informáticos, sino extenderse al conjunto de las
operaciones y servicios de la organización.
Directiva CER: resiliencia de las entidades críticas
La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades
críticas, amplía la perspectiva desde la ciberseguridad hacia la protección
integral de las capacidades que permiten prestar servicios esenciales.
Su planteamiento contempla amenazas de distinta naturaleza:
- Amenazas físicas y sabotajes.
- Terrorismo y acciones intencionadas.
- Catástrofes naturales y fenómenos climáticos extremos.
- Accidentes industriales y tecnológicos.
- Fallos de infraestructuras y servicios de soporte.
- Amenazas híbridas.
- Perturbaciones transfronterizas y riesgos intersectoriales.
La CER define la resiliencia como la capacidad de prevenir, proteger,
responder, resistir, mitigar, absorber, adaptarse y recuperarse frente a
incidentes.
Entre sus principales exigencias se encuentran la evaluación de riesgos, la
adopción de medidas técnicas, organizativas y de seguridad adecuadas, la gestión
de incidentes y la planificación de la continuidad de los servicios esenciales.
Un aspecto especialmente importante es que la evaluación debe contemplar las
dependencias de otras entidades y sectores, así como los riesgos que pueden
proceder de terceros países.
De esta forma, la resiliencia deja de ser exclusivamente una cuestión interna
de la organización y pasa a convertirse en una propiedad del ecosistema de
infraestructuras, proveedores y servicios del que depende.
Integración de NIS-2 y CER en un modelo único de gestión
La principal aportación conceptual consiste en no gestionar ambas directivas
como proyectos independientes de cumplimiento normativo.
Se propone establecer un sistema integrado de gestión de seguridad y
resiliencia que contemple simultáneamente:
| Dimensión | NIS-2 | CER |
| Riesgos digitales | Central | Complementaria |
| Seguridad física | Protección del entorno de los sistemas | Central |
| Continuidad operativa | Sistemas y servicios | Servicios esenciales |
| Cadena de suministro | Riesgos cibernéticos | Dependencias y perturbaciones integrales |
| Gestión de incidentes | Incidentes de ciberseguridad | Incidentes que afectan a la prestación de servicios |
| Recuperación | Sistemas y datos | Capacidades operativas y servicios |
| Amenazas híbridas | Desde la dimensión cibernética | Desde una perspectiva integral |
La integración debe materializarse en una metodología común de análisis de
riesgos, inventario de activos, identificación de dependencias, planes de
continuidad, gestión de crisis, indicadores y mecanismos de supervisión.
Es importante precisar que la aplicación jurídica de cada directiva depende
de la identificación y clasificación de las entidades por los Estados miembros y
de la legislación nacional de transposición. No todas las organizaciones quedan
automáticamente sujetas a ambas.
Seguridad
desde el Diseño: el principio estructural de la innovación
La Seguridad desde el Diseño (Security by Design) constituye uno de los
pilares del nuevo paradigma.
Su fundamento es que los requisitos de seguridad deben incorporarse desde las
primeras fases del ciclo de vida de cualquier iniciativa tecnológica, en lugar
de añadirse como medidas correctoras una vez que el producto, sistema o
infraestructura está desarrollado.
Este principio debe extenderse a la seguridad física, ciberseguridad,
seguridad de la información, tecnologías operacionales, protección de datos,
continuidad y resiliencia.
Aplicación durante el ciclo de vida tecnológico
Ciclo de vida de la innovación segura
- Identificación de necesidades
Identificación de servicios críticos, activos, requisitos de seguridad, amenazas y dependencias.
- Diseño y arquitectura
Arquitecturas seguras, segmentación, redundancia, control de accesos, protección física y ciberseguridad.
- Desarrollo y adquisición
Desarrollo seguro, evaluación de proveedores, trazabilidad de componentes y verificación de vulnerabilidades.
- Validación y certificación
Pruebas de seguridad, auditorías, análisis de riesgos, pruebas de penetración y validación de requisitos.
- Implantación y operación
Monitorización, detección, gestión de incidentes, mantenimiento seguro y continuidad operativa.
- Adaptación y retirada
Reevaluación de amenazas, actualización tecnológica, gestión de obsolescencia y eliminación segura de activos.
Tecnologías habilitadoras
La aplicación práctica de este principio requiere combinar tecnologías de
seguridad física, ciberseguridad y protección de infraestructuras.
| Ámbito | Tecnologías y soluciones |
| Ciberseguridad | EDR/XDR, SIEM, SOAR, IDS/IPS, Zero Trust |
| Identidad y acceso | IAM, PAM, MFA, gestión de identidades privilegiadas |
| Seguridad OT/ICS | Segmentación industrial, monitorización OT, detección de anomalías |
| Seguridad física | CCTV inteligente, control de accesos, detección perimetral |
| Protección de datos | Cifrado, gestión de claves, DLP, copias inmutables |
| Resiliencia | Redundancia, alta disponibilidad, recuperación ante desastres |
| Inteligencia de amenazas | CTI, análisis de amenazas, detección de campañas y amenazas híbridas |
| Seguridad de la cadena de suministro | SBOM, evaluación de proveedores, trazabilidad y gestión de vulnerabilidades |
La selección de estas tecnologías debe responder a un análisis de riesgos y a
una arquitectura de seguridad coherente. La mera adquisición de soluciones
tecnológicas no garantiza el cumplimiento normativo ni la resiliencia de una
entidad.
ISO/IEC
27001:2022 como marco de gobernanza y gestión de la seguridad de la información
La incorporación de un Sistema de Gestión de Seguridad de la Información (SGSI),
conforme a ISO/IEC 27001:2022, constituye otro elemento esencial del modelo.
La norma establece los requisitos para crear, implantar, mantener y mejorar
continuamente un sistema de gestión basado en el análisis y tratamiento de
riesgos de seguridad de la información.
Su objetivo es preservar tres propiedades fundamentales:
- Confidencialidad: garantizar que la información solo sea accesible por
personas, sistemas y entidades autorizados.
- Integridad: asegurar que la información y los sistemas no sean alterados
de forma indebida.
- Disponibilidad: garantizar que los activos de información y los servicios
estén accesibles cuando sean necesarios.
Sin embargo, su contribución al nuevo paradigma va más allá de estas tres
propiedades. ISO/IEC 27001 proporciona una estructura de gobernanza que permite
convertir la seguridad en un proceso corporativo sistemático, medible, auditable
y sujeto a mejora continua.
Integración de ISO 27001 con NIS-2 y CER
El SGSI debe funcionar como una estructura de gestión que facilite la
coordinación de los requisitos de seguridad de la información con los objetivos
de resiliencia física, tecnológica y organizativa.
La correspondencia conceptual puede establecerse de la siguiente manera:
| ISO/IEC 27001 | Contribución al modelo integral |
| Contexto y partes interesadas | Identificación de servicios, dependencias y obligaciones |
| Liderazgo y gobernanza | Responsabilidad directiva y políticas de seguridad |
| Evaluación de riesgos | Análisis de amenazas y vulnerabilidades |
| Tratamiento de riesgos | Selección e implantación de controles |
| Competencia y concienciación | Cultura organizativa de seguridad |
| Control operacional | Gestión segura de procesos y tecnología |
| Evaluación del desempeño | Indicadores, auditorías y supervisión |
| Mejora continua | Adaptación a nuevas amenazas y tecnologías |
La implantación de un SGSI certificado permite disponer de evidencias
verificables sobre la gestión de la seguridad de la información y establecer una
base organizativa para abordar las exigencias de NIS-2.
No obstante, es necesario establecer una distinción técnica y jurídica: la
certificación ISO/IEC 27001 no implica automáticamente el cumplimiento de NIS-2
ni de CER. Es un instrumento de gestión y aseguramiento que debe complementarse
con los controles, evaluaciones, procedimientos y obligaciones específicos que
resulten aplicables a cada entidad.
Modelo de certificación y mejora continua
Se propone desarrollar un modelo de implantación basado en el ciclo PDCA
(Plan-Do-Check-Act):
- Planificar: definir el alcance del SGSI, identificar activos, evaluar
riesgos y establecer objetivos.
- Hacer: implantar controles, políticas, procedimientos y medidas
tecnológicas.
- Verificar: realizar auditorías, evaluar indicadores y comprobar la
eficacia de los controles.
- Actuar: corregir deficiencias, adaptar las medidas y mejorar continuamente
el sistema.
- La certificación debe entenderse como un mecanismo de validación del sistema de gestión, no como un punto final ni como una garantía absoluta de seguridad.
