La disrupción como instrumento estratégico de amenazas. Nuevo paradigma de seguridad y resiliencia de las infraestructuras críticas
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo de la situación.
Introducción:
la disrupción como instrumento de confrontación estratégica
La seguridad internacional está experimentando una transformación profunda.
La creciente rivalidad geopolítica, la aparición de nuevas formas de
confrontación y la dependencia de las tecnologías de la información y las
comunicaciones están modificando la naturaleza de los riesgos y amenazas que
afectan a los Estados y a sus infraestructuras esenciales.
En este escenario, la disrupción ha adquirido una dimensión estratégica. La
capacidad de alterar el funcionamiento de una infraestructura, interrumpir un
suministro, degradar un sistema de comunicaciones o comprometer una cadena de
servicios puede generar consecuencias que trascienden ampliamente el ámbito de
la instalación afectada.
Las infraestructuras críticas constituyen, por tanto, un elemento central de
la estabilidad nacional. Su funcionamiento condiciona la actividad económica, la
seguridad de la población, la prestación de servicios públicos y la capacidad de
respuesta de las instituciones.
El cambio fundamental reside en que el objetivo de una acción hostil no tiene
por qué ser la destrucción de un activo. Puede perseguir la pérdida temporal de
funcionalidad, la interrupción de un servicio esencial, la generación de
incertidumbre o el debilitamiento de la confianza en las instituciones.
La disrupción se convierte así en un instrumento de presión que puede
utilizarse en escenarios de conflicto abierto, confrontación híbrida,
competencia geopolítica o desestabilización estratégica.
Esta transformación obliga a reconsiderar los planteamientos tradicionales de
seguridad y a desarrollar capacidades que permitan anticiparse a los riesgos,
proteger las funciones esenciales y garantizar la continuidad de los servicios.
La
transformación geopolítica de las amenazas: infraestructuras críticas como
objetivos estratégicos
La creciente interdependencia entre países, sectores económicos, operadores y
sistemas tecnológicos ha convertido las infraestructuras críticas en elementos
de especial valor geopolítico.
Los sectores energético, transporte, agua, alimentación, sanitario,
financiero, telecomunicaciones, digital e industrial constituyen redes de
servicios interrelacionados. Su funcionamiento depende de infraestructuras,
suministros, comunicaciones, plataformas tecnológicas y proveedores que, en
muchos casos, operan a escala internacional.
Esta interdependencia genera una exposición sistémica: una incidencia
localizada puede propagarse y afectar a múltiples organizaciones y servicios.
En consecuencia, la amenaza debe analizarse desde una perspectiva que
contemple tres dimensiones:
- Dimensión estratégica. La utilización de dependencias
económicas, tecnológicas o energéticas como instrumentos de presión sobre
otros Estados.
- Dimensión operativa. La alteración, interrupción o
degradación de instalaciones, sistemas, procesos y servicios esenciales.
- Dimensión social e institucional. La generación de
incertidumbre, desconfianza, desabastecimiento, alarma social y pérdida de
credibilidad institucional.
El verdadero alcance de una disrupción puede encontrarse en sus efectos
indirectos y acumulativos. La interrupción de una infraestructura puede
desencadenar consecuencias sobre otras actividades que dependen de ella,
multiplicando el impacto inicial.
Por ello, el objeto de protección debe dejar de ser exclusivamente el activo
físico para incorporar el servicio esencial, sus capacidades funcionales y el
conjunto de dependencias que permiten mantenerlo.
Amenazas
híbridas y estrategias de disrupción
La confrontación híbrida representa uno de los escenarios más complejos para
la protección de las infraestructuras críticas.
Su característica principal es la combinación de diferentes instrumentos de
actuación, que pueden incluir acciones físicas, cibernéticas, económicas,
informativas, tecnológicas y de influencia.
Estas actuaciones pueden desarrollarse de forma simultánea, sucesiva o
aparentemente independiente, dificultando su identificación y atribución.
Entre las principales modalidades destacan:
| Tipo de amenaza | Posibles efectos |
| Sabotaje físico | Daños e interrupción de instalaciones |
| Ciberataques | Pérdida de disponibilidad e integridad de sistemas |
| Ataques a sistemas industriales | Alteración o paralización de procesos |
| Amenazas internas | Compromiso de información y operaciones |
| Manipulación informativa | Desconfianza y alarma social |
| Presión económica | Dependencia y restricciones de suministro |
| Ataques a proveedores | Interrupción de servicios y componentes |
| Interferencias tecnológicas | Degradación de comunicaciones y sistemas |
La complejidad de estas amenazas reside también en la dificultad de
diferenciar entre incidentes accidentales, fallos tecnológicos, actuaciones
delictivas y acciones deliberadamente orientadas a producir efectos
estratégicos.
Por tanto, la protección requiere capacidades de análisis contextual,
correlación de acontecimientos, intercambio de información y valoración de
posibles escenarios.
La respuesta no puede limitarse a reaccionar ante cada incidente por separado. Debe contemplar la posibilidad de que distintos acontecimientos formen parte de una misma dinámica de presión o desestabilización.
La
interdependencia y las vulnerabilidades sistémicas
La transformación digital y la automatización industrial han incrementado la
eficiencia de las infraestructuras, pero también han ampliado su superficie de
exposición.
La convergencia de sistemas de tecnologías de la información (IT) y
tecnologías de operación (OT), la conectividad remota, la utilización de
plataformas externas y la dependencia de proveedores tecnológicos han creado
nuevas relaciones de dependencia.
Esta situación obliga a ampliar el análisis de riesgos más allá de los
límites físicos y organizativos de cada infraestructura.
Se deben identificar especialmente:
- Activos, instalaciones y procesos esenciales.
- Dependencias energéticas, tecnológicas y de comunicaciones.
- Proveedores y servicios externos críticos.
- Sistemas de control y automatización industrial.
- Concentraciones tecnológicas y puntos únicos de fallo.
- Dependencias internacionales y geopolíticas.
- Capacidades alternativas y recursos de sustitución.
La evaluación debe considerar tanto la probabilidad de materialización de las
amenazas como la magnitud de sus consecuencias, la duración de la interrupción y
la capacidad real de recuperación.
La vulnerabilidad más importante puede no encontrarse dentro de la
infraestructura, sino en una dependencia externa cuya interrupción impida
mantener su funcionamiento.
Inteligencia
estratégica y preventiva: anticiparse a la disrupción
La inteligencia debe constituir uno de los pilares del nuevo paradigma de
seguridad.
En un entorno caracterizado por la incertidumbre y la evolución permanente de
las amenazas, la información adquiere valor estratégico cuando permite anticipar
acontecimientos, reducir incertidumbres y orientar decisiones.
La inteligencia aplicada a la protección de infraestructuras críticas debe
integrar:
- Análisis geopolítico y de riesgos internacionales.
- Inteligencia de amenazas físicas y cibernéticas.
- Monitorización de fuentes abiertas y alertas.
- Evaluación de dependencias y cadenas de suministro.
- Identificación de indicadores de riesgo.
- Análisis de tendencias y escenarios prospectivos.
- Información operativa y conocimiento de incidentes.
El proceso debe organizarse mediante un ciclo continuo de dirección,
obtención, procesamiento, análisis, producción, difusión y retroalimentación.
Su finalidad es transformar información dispersa en conocimiento accionable
para los responsables de seguridad y de la dirección de las organizaciones.
La inteligencia preventiva permite, además, establecer indicadores de alerta
temprana, revisar escenarios de riesgo y activar medidas anticipadas antes de
que una amenaza se materialice.
Este enfoque debe respetar las competencias legales, la protección de datos,
la confidencialidad y los procedimientos de intercambio de información.
Seguridad
convergente: protección física, electrónica, digital e industrial
La protección de las infraestructuras críticas exige superar la separación
tradicional entre seguridad física y ciberseguridad.
La infraestructura actual debe entenderse como un sistema integrado en el que
instalaciones, personas, equipos, comunicaciones, información y procesos
industriales mantienen relaciones de dependencia.
La seguridad convergente debe integrar las siguientes dimensiones:
- Seguridad física de instalaciones y activos.
- Seguridad electrónica, vigilancia y detección.
- Ciberseguridad de redes y sistemas de información.
- Seguridad industrial y protección de entornos OT.
- Protección de la información y de los datos.
- Seguridad de personas y factor humano.
- Protección de proveedores y cadenas de suministro.
- Continuidad de negocio y servicios esenciales.
La convergencia no significa necesariamente centralizar todas las funciones
en un único departamento, sino establecer una dirección coordinada,
responsabilidades definidas, criterios comunes de riesgo y procedimientos
compatibles.
En este sentido, la Seguridad desde el Diseño debe incorporarse en la
implementación de tecnologías, el desarrollo de proyectos, la construcción de
instalaciones, la contratación de servicios y la modificación de procesos
operativos.
La seguridad debe estar presente desde el origen y durante todo el ciclo de
vida de los activos y sistemas.
El
Director de Seguridad como responsable de la integración estratégica
Uno de los cambios más significativos que requiere este nuevo escenario es la
evolución del papel del Director de Seguridad.
Tradicionalmente, la función de seguridad se ha vinculado a la protección de
instalaciones, la gestión de servicios de vigilancia, los sistemas de alarma, el
control de accesos y la prevención de actos antisociales. Aunque estas funciones
continúan siendo imprescindibles, resultan insuficientes ante la complejidad de
los riesgos actuales.
El Director de Seguridad debe evolucionar hacia una función de dirección
global, asesoramiento y coordinación estratégica, con capacidad para integrar
las diferentes dimensiones de la seguridad en el gobierno de la organización.
Su responsabilidad debe comprender tres niveles:
Nivel estratégico: dirección y gobierno
- Participar en la definición de la política corporativa de seguridad.
- Asesorar a la alta dirección sobre riesgos estratégicos y geopolíticos.
- Integrar la seguridad en la estrategia empresarial.
- Impulsar la cultura de prevención y resiliencia.
- Supervisar el cumplimiento de los requisitos regulatorios.
- Promover la asignación de recursos y capacidades.
Nivel táctico: planificación y coordinación
- Dirigir la planificación de seguridad integral.
- Coordinar la protección física, electrónica y cibernética.
- Participar en la evaluación global de riesgos.
- Establecer mecanismos de cooperación entre departamentos.
- Supervisar los planes de seguridad y resiliencia.
- Coordinar proveedores y servicios especializados.
Nivel operativo: protección y respuesta
- Supervisar los sistemas de vigilancia y monitorización.
- Gestionar alertas e incidentes de seguridad.
- Coordinar los procedimientos de respuesta.
- Participar en la gestión de emergencias y crisis.
- Verificar la eficacia de las medidas implantadas.
- Contribuir a la recuperación de las capacidades operativas.
Esta evolución no supone sustituir las competencias de los responsables de
ciberseguridad, tecnología, operaciones o continuidad, sino establecer un modelo
de cooperación multidisciplinar, con responsabilidades y mecanismos de decisión
claramente definidos.
El Director de Seguridad debe convertirse en uno de los articuladores de esta
convergencia, especialmente en la protección integral de personas,
instalaciones, información, procesos y servicios esenciales.
NIS2,
CER y el marco europeo de seguridad y resiliencia
La Unión Europea ha impulsado una transformación normativa que responde
precisamente a la creciente exposición a amenazas de sus infraestructuras y
servicios esenciales.
Dos instrumentos adquieren especial relevancia: la Directiva CER y la
Directiva NIS2.
Directiva CER: resiliencia de las entidades críticas
La Directiva (UE) 2022/2557 establece un marco común para reforzar la
resiliencia de las entidades críticas frente a amenazas de diferente naturaleza,
tanto naturales como provocadas por el ser humano, accidentales o intencionadas.
Su enfoque contempla la prevención, protección, respuesta, resistencia,
mitigación, absorción, adaptación y recuperación.
La evaluación de riesgos debe considerar las amenazas relevantes, las
dependencias, las vulnerabilidades y las consecuencias que pueden comprometer la
prestación de servicios esenciales. También contempla medidas técnicas,
organizativas y de seguridad y la elaboración y aplicación de planes de
resiliencia.
Directiva NIS2: ciberseguridad y gestión de riesgos
La Directiva (UE) 2022/2555 establece requisitos para elevar el nivel común
de ciberseguridad en la Unión Europea.
Su alcance comprende, entre otros aspectos:
- Políticas de análisis y gestión de riesgos.
- Gestión de incidentes.
- Continuidad de las actividades y recuperación.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición y mantenimiento de sistemas.
- Evaluación de la eficacia de las medidas.
- Responsabilidad y supervisión de los órganos de dirección.
La ciberseguridad deja así de ser una cuestión exclusivamente técnica para integrarse en la gobernanza y en la responsabilidad organizativa.
Complementariedad de los dos marcos
| CER | NIS2 |
| Resiliencia de entidades críticas | Ciberseguridad de entidades comprendidas en su ámbito |
| Enfoque de todos los peligros | Gestión de riesgos de ciberseguridad |
| Protección de instalaciones y servicios | Protección de redes y sistemas de información |
| Continuidad y recuperación | Continuidad tecnológica y gestión de incidentes |
| Dependencias intersectoriales | Dependencias digitales y cadena de suministro |
Ambas directivas deben aplicarse de forma coordinada, evitando duplicidades y
aprovechando las evaluaciones, procedimientos y controles comunes cuando resulte
jurídicamente procedente.
En España, este planteamiento debe articularse con el sistema de protección
de infraestructuras críticas de la Ley 8/2011 y el Real Decreto 704/2011, además
de la normativa sectorial y las disposiciones nacionales que resulten
aplicables.
La implementación debe verificarse sobre la legislación nacional vigente y la
situación de identificación de cada entidad, sin asumir que todas las
organizaciones están sometidas a idénticas obligaciones.
La Estrategia de Preparación de la Unión Europea refuerza, asimismo, la
perspectiva de anticipación, preparación ante todos los peligros y participación
del conjunto de la sociedad.
El
modelo integral de gestión de seguridad y resiliencia
La respuesta a la disrupción requiere un modelo que permita integrar las
diferentes capacidades de seguridad bajo una misma orientación estratégica.
Se propone un modelo de gestión integral estructurado en siete componentes
interdependientes.
Componente 1. Gobierno y liderazgo. Establecer la política
de seguridad, responsabilidades, estructura organizativa, objetivos, recursos y
mecanismos de supervisión.
Componente 2. Inteligencia y anticipación. Desarrollar
capacidades de análisis geopolítico, inteligencia preventiva, vigilancia del
entorno, indicadores de alerta y evaluación de escenarios.
Componente 3. Gestión global de riesgos. Identificar
activos, procesos, servicios, amenazas, vulnerabilidades, dependencias,
consecuencias y prioridades de tratamiento.
Componente 4. Protección convergente. Integrar seguridad
física, electrónica, ciberseguridad, seguridad industrial, protección de la
información y factor humano.
Componente 5. Gestión de incidentes y crisis. Disponer de
procedimientos de detección, clasificación, comunicación, escalado, coordinación
y toma de decisiones.
Componente 6. Continuidad y recuperación. Garantizar la
disponibilidad de recursos alternativos, la operación degradada, la recuperación
de sistemas y la continuidad de los servicios esenciales.
Componente 7. Evaluación y mejora continua. Medir
resultados, realizar auditorías, desarrollar simulacros, identificar
deficiencias y actualizar los planes.
Este modelo debe aplicarse de manera transversal a toda la organización y
contemplar tanto las amenazas internas como las externas, así como las
dependencias con otros operadores y sectores.
Continuidad operativa y resiliencia ante escenarios
disruptivos
La capacidad de recuperación constituye uno de los elementos que mejor
permiten evaluar la eficacia de un sistema de seguridad.
Una infraestructura crítica no puede considerarse suficientemente protegida
si, ante un incidente, pierde durante un periodo prolongado su capacidad para
prestar el servicio esencial.
La resiliencia exige disponer de capacidades para:
- Prevenir y reducir la probabilidad de incidentes.
- Resistir sus consecuencias.
- Mantener las funciones prioritarias.
- Operar en condiciones degradadas.
- Activar recursos alternativos.
- Recuperar sistemas y procesos.
- Adaptarse a nuevas condiciones de riesgo.
La continuidad operativa debe fundamentarse en un análisis de impacto sobre
las actividades y servicios, la identificación de procesos prioritarios, la
determinación de objetivos de recuperación y la disponibilidad de recursos de
contingencia.
Es especialmente importante considerar escenarios de interrupción simultánea
de servicios interdependientes, pérdida de comunicaciones, indisponibilidad de
proveedores, fallos tecnológicos y restricciones de suministro.
Los planes deben probarse mediante ejercicios y simulacros que permitan
comprobar no solo la capacidad de respuesta de cada departamento, sino también
la coordinación entre la dirección, los equipos de seguridad, las áreas
tecnológicas, los responsables operativos y los organismos externos.
La resiliencia debe entenderse como una capacidad dinámica de adaptación,
aprendizaje y recuperación, y no únicamente como la existencia documental de un
plan.
Coordinación
público-privada y cooperación institucional
La protección de las infraestructuras críticas constituye una responsabilidad
compartida.
Los operadores privados gestionan una parte importante de las instalaciones,
tecnologías y servicios esenciales, mientras que las Administraciones Públicas
tienen responsabilidades de dirección, regulación, coordinación y protección de
los intereses generales.
La colaboración debe permitir:
- Compartir información sobre amenazas e incidentes.
- Establecer canales seguros de comunicación.
- Coordinar protocolos de actuación.
- Desarrollar ejercicios conjuntos.
- Identificar dependencias intersectoriales.
- Facilitar la asistencia y recuperación.
- Mejorar la capacidad de anticipación colectiva.
Esta cooperación debe desarrollarse con criterios de confianza,
proporcionalidad, protección de información sensible y respeto a las
competencias de cada organismo.
El objetivo es evolucionar hacia un ecosistema de seguridad y resiliencia en
el que las capacidades públicas y privadas puedan actuar coordinada y
operativamente ante situaciones que superen el ámbito de una organización o
infraestructura individual.
Conclusiones: hacia una seguridad estratégica y una resiliencia
integral
La disrupción se ha consolidado como una de las expresiones más relevantes de
las nuevas amenazas contra las infraestructuras críticas. Su capacidad para
alterar servicios esenciales, generar efectos en cadena y debilitar la
estabilidad económica e institucional obliga a transformar los planteamientos
tradicionales de seguridad.
Las infraestructuras críticas deben protegerse no solamente por su valor
patrimonial o económico, sino por su contribución al funcionamiento de la
sociedad, la autonomía estratégica y la seguridad nacional.
Este cambio exige superar los modelos centrados exclusivamente en la
protección física y desarrollar un sistema integral que incorpore inteligencia
preventiva, análisis geopolítico, gestión global de riesgos, protección
tecnológica, ciberseguridad, seguridad industrial, coordinación institucional y
continuidad operativa.
La aplicación complementaria de los marcos CER y NIS2, junto con la
legislación española de protección de infraestructuras críticas y los estándares
internacionales de gestión, proporciona referencias fundamentales para
desarrollar estas capacidades.
Asimismo, el Director de Seguridad debe evolucionar hacia una función de
dirección global y coordinación estratégica, participando en la gestión
corporativa de riesgos y en la integración de las capacidades multidisciplinares
de protección y resiliencia.
La verdadera eficacia de la seguridad debe medirse por la capacidad de una
organización para anticipar las amenazas, resistir sus consecuencias, mantener
sus servicios esenciales y recuperar sus capacidades en condiciones de
incertidumbre.
En definitiva, el nuevo paradigma debe fundamentarse en una concepción de la
seguridad como capacidad estratégica de las organizaciones y del Estado.
La disrupción ya no necesita destruir una infraestructura para alcanzar sus
objetivos estratégicos. Puede bastar con interrumpir sus funciones, comprometer
sus dependencias o debilitar su capacidad de respuesta. Por ello, la seguridad
del futuro no consistirá únicamente en proteger activos, sino en garantizar la
continuidad de las capacidades esenciales que sostienen la estabilidad
económica, social e institucional de los Estados.
