SEGURIDAD Y DEFENSA

Aunque hablando de ciberseguridad y ataques a la información y las comunicaciones no es fácil predecir lo que pasará, puesto que nos movemos en un espacio permanentemente cambiante y que evoluciona muy rápido, muchos especialistas y empresas de seguridad del sector son capaces de vislumbrar lo que puede estar por venir, analizando las amenazas y tendencias en ciberseguridad observadas, principalmente durante el año 2018.
 

Así, las amenazas contra la privacidad de los datos o el ransomware sin duda son algunas de las principales tendencias que despuntan en la nueva ciberseguridad para 2019, así como los ataques contra infraestructuras críticas, malware o amenazas en grandes eventos o el transporte de viajeros.
 

En este sentido, hemos analizando algunos informes y tendencias de proveedores de ciberseguridad como ESET, GDATA, TREND MICRO, PANDA o CHECK POINT y consultoras y empresas especializadas en transformación digital como ALL4SEC o ENTELGY para elaborar un breve resumen de amenazas y tendencias para el 2019.
 

Amenazas y tendencias que marcarán 2019

El ransomware. Sin duda, una de las tendencias que más se repite en todos los estudios e informes es que el ransomware seguirá siendo una de los objetivos de negocio de los ciberdelincuentes ya que, según ESET, “aún hay muchas organizaciones dispuestas a pagar grandes sumas de dinero por recuperar sus sistemas comprometidos en lugar de contar con políticas de ciberseguridad que las mantengan protegidas ante cualquier amenaza”.
 

El robo de datos personales y sensibles. Para esta ilícita actividad, este año 2018 ha sido prolífico en cuanto a robo de datos personales y sensibles y, en 2019, no parece que esta tendencia vaya a disminuir, sino todo lo contrario. Se detectarán y descubrirán más casos de robos de datos y se pueden producir algunos aún más importantes que los registrados en los últimos años. En esta línea, los especialistas apuntan que los datos que los ciberdelincuentes robaban se han vendido tradicionalmente en la deep web, pero el próximo año se podrían consolidar nuevas formas de capitalización mediante la extorsión, hasta ahora asociada mayoritariamente al ransomware.
 

Las amenazas y riesgos del cloud. Aunque la tecnología cloud y la infraestructura que la soporta está en constante evolución y aseguramiento, aún existen importantes vulnerabilidades que proporcionan fisuras para que los ciberdelincuentes accedan a los archivos o se cuelen y se extiendan a través de las redes. Así, importantes proveedores de ciberseguridad siguen advirtiendo que, durante los últimos años, más del 50 por ciento de los ataques gestionados por sus equipos de respuesta a incidentes, estaban relacionados con la nube. Igualmente, con la creciente utilización de los servicios de uso compartido de archivos en la nube, las fugas de datos seguirán siendo una gran preocupación para las organizaciones que gestionan su información en este entorno.  

El Internet of Things y dispositivos conectados. Vivimos en un mundo en el que muchísimas personas sueñan con hogares inteligentes a partir del uso de los asistentes de voz en ese despliegue para aprovechar los dispositivos del Internet de la Cosas (IoT), mientras nos planteamos esa interrogante de que si nos damos cuenta de la cantidad y el tipo de datos que compartimos con estos dispositivos.
 

Las amenazas al Internet de las Cosas (IoT), más que una tendencia es una realidad cada vez más cotidiana. Los dispositivos inteligentes inundan ya las empresas y los hogares digitales, y los riesgos y vulnerabilidades de la seguridad de sus comunicaciones y sistemas operativos crecen al mismo ritmo.

Según TREND MICRO, “A medida que aumentan las capacidades de la tecnología y se implementan nuevos sistemas disruptivos en las nuevas industrias, estos se convertirán en los objetivos principales para el cibercrimen y la actividad maliciosa”. En esta línea, se estima que, en el año 2019, ya se utilizarán más de un millón de robots conectados en esta función y es muy importante que todo aquel que utilice dispositivos conectados se asegure de que estén debidamente protegidos.  
 

Las Infraestructuras Estratégicas y Críticas. Especial significación debe tener el análisis de las amenazas para este amplio campo configurado por doce grandes sectores y múltiples subsectores de especial importancia para el funcionamiento del país.
 

Así, la mayoría de las redes de infraestructuras críticas, que se diseñaron y construyeron antes de que la ciberdelincuencia y el terrorismo fueran un problema serio y permanente, en gran medida, no están preparadas para asegurar el imprescindible funcionamiento permanente, aunque con un gran esfuerzo, rapidez y rigor, y tutelados por el Ministerio del Interior, las infraestructuras definidas están poniendo al día este aseguramiento.
 

No obstante, los especialistas en ciberseguridad advierten que es más que probable que ocurra un ataque de este tipo a gran escala principalmente en algunas actividades significativas como producción y distribución de energía, servicios básicos como suministros de agua, transporte de viajeros u otros tipos de infraestructuras determinadas como críticas.
 

Reglamento de Protección de Datos

Uno de los temas sobre los que más se ha hablado en el año 2018 y lo seguirá siendo en el 2019, es el Reglamento General de Protección de Datos (RGPD) que será de obligado cumplimiento a partir del próximo mes de mayo.

 

Así, 2018 quedará en la historia de la privacidad de los datos, ya que en mayo de este año la Unión Europea (UE) hizo efectivo el Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés), el cual tiene implicaciones para cualquier organización (independientemente de su ubicación) que maneja información personal de ciudadanos de la UE.
 

Automatización como clave en el futuro de la ciberseguridad

Actualmente, la transformación y el cambio digital que están experimentando, principalmente las entidades públicas y privadas, requieren de un nuevo enfoque de la ciberseguridad. Las organizaciones necesitan transformar sus estrategias de seguridad como parte de la transformación digital en todo el conjunto de su gestión pues las vulnerabilidades aumentan el riesgo en el panorama actual y futuro de amenazas.
 

Respecto a este nuevo panorama de la ciberseguridad y las amenazas, los ataques están evolucionando desde técnicas como el ransomware a otras como la minería de criptomonedas de forma que aprovechan la capacidad de gestión de los ordenadores de las víctimas objetivo.
 

Diversos informes revelan que el número de detecciones diarias de malware aumentó en más de un 60 por ciento durante en este último año.
 

Misma tendencia existe también en los dispositivos móviles, que son un claro objetivo pues más de una cuarta parte de las empresas sufrieron ataques de malware móvil, la mayoría en el sistema operativo Android.

También se destaca que el tráfico cifrado está alcanzando un nuevo umbral, representando ya más de un 72 por ciento de todo el tráfico de la red, respecto al 55 del año pasado.  
 

Falta de cultura y formación de los empleados

Según un último informe de CHECK POINT, uno de cada cinco empleados causará una brecha de seguridad mediante el mal uso de su dispositivo móvil.
 

Es por ello que, según los especialistas, los ciudadanos en general, y los profesionales y empleados en particular, subrayan que son el “eslabón más débil” de la cadena en la ciberseguridad. El phishing y la ingeniería social son las técnicas más empleadas para llegar hasta ellos.
 

Por tanto, sin una cultura básica y la formación y conocimiento adecuados, el problema puede volverse cada vez más complejo y mayor, ya que los ciberdelincuentes tienen espacios abiertos a través de los que pueden vulnerar y explotar cualquier dominio o dispositivo. Es fundamental que los usuarios y empleados reciban la formación adecuada sobre los riesgos y las amenazas y cómo prevenir ser víctima y sus consecuencias.
 

Ciberseguridad, el reto de construir un “bien común”

Como consecuencia de todo lo anterior, la ciberseguridad se convierte en un “bien común”, que debe ser buscado, cuidado y asegurado por todos los participantes de la transformación y desarrollo digital, puesto que su inadecuada administración y descontrolada utilización, puede traer inesperadas y graves consecuencias para infraestructuras y ciudadanos en general. Esto supone comprender que la convergencia tecnológica, las nuevas tecnologías digitales y los intereses estratégicos de las entidades exigen plantear cambios en la manera de producir, regular y proteger su valor institucional.
 

Un “bien común”, leído desde la perspectiva de un entorno digitalmente modificado y transformado que, siguiendo las reflexiones de los académicos Vercelli y Thomas (2008) se configura como: El que se produce, se hereda o transmite en una situación de comunidad; El que puede ser apropiado o protegido dependiendo de las regulaciones aplicables; El que cuenta con acceso y utilización directo, sin mediación.
 

Basada en esta definición, la ciberseguridad se puede configurar como un “bien común” que requiere un marco jurídico de actuación, una serie de acuerdos y compromisos entre los interesados.
 

Por tanto, configurar a la ciberseguridad como un “bien común” es una apuesta y ejercicio de confianza digital entre todo el espectro o ecosistema digital para aumentar su vigilancia y capacidad de respuesta frente a las nuevas agresiones o vulnerabilidades.
 

Inversión irreversible en 2019. A modo de conclusiones

En resumen, ciberataques, fugas de datos y la creciente aparición de casos en los que se han reportado fallos en el control de la privacidad de clientes y usuarios, deben motivarnos, más que nunca, para poner los adecuados recursos en asegurar nuestros activos en esta irreversible transformación digital.
 

Por lo tanto, los objetivos de la seguridad de la información, la ciberseguridad, deberán estar enfocados en salvaguardar la confidencialidad, integridad y disponibilidad de los sistemas informáticos, los datos y su gestión. En este sentido, un denominador común presente en casi todas las reflexiones de este documento es la disposición del foco en esa necesaria protección de datos y privacidad.
 

Una referencia es el reporte de ESET “Tendencias 2019”, que reflexiona sobre la importancia y responsabilidad que recae en los gigantes tecnológicos como Facebook y Google a la hora de proteger los grandes volúmenes de datos que han recopilado a lo largo de tantos años donde muchos de nosotros nos apoyamos en los servicios que ofrecen para desarrollar nuestra vida online diaria.
 

En este amplio y complejo contexto, mirar sobre el horizonte incierto de las vulnerabilidades e inestabilidades de la inseguridad de la información y los riesgos emergentes y amenazas, es un reto que implica desaprender aquellas inercias que fueron ineficientes en el pasado reciente, y tratar de construir el futuro desde las investigaciones y lecciones del presente.
 

Según nos recuerda el INCIBE (Instituto Nacional de Ciberseguridad), “la ciberseguridad es un pilar de la transformación digital", proceso imparable en el que organizaciones de todo tipo ya están inmersas a fin de adaptar y reorientar sus procedimientos hacia la realidad digital que impregna cualquier actividad. Una ciberseguridad que presenta la necesidad de promover una nueva cultura global en un espacio divulgativo que tiene el propósito de acercar la seguridad a profesionales de todos los ámbitos, así como al público general.
 

En resumen, con todo ello, hemos de tener en cuenta que el factor humano en la ciberseguridad ocupa un papel muy importante, y ahora nos corresponde recordar las lecciones que nos dejó este año que termina para que podamos volcarnos en una misión basada en lo aprendido, hacia un 2019 más seguro con una visión mucho más dinámica y rupturista con el pasado.

Recordando que la seguridad, en último extremo, es un estado de ánimo basado en una percepción subjetiva de la información, y que esta percepción es una construcción del cerebro humano independiente de lo que realmente acontezca, el buen líder en seguridad es el que tiene talento para gestionar tanto el propio riesgo inmanente, como la percepción de seguridad resultante.

Parte de esta habilidad nace de la confianza en uno mismo, generada a través de un profundo autoconocimiento que pueda contribuir profesionalmente a aportar valor añadido a la seguridad, al tiempo que se facilita a la sociedad la mejora de su percepción y bienestar.

Para ello, el conocimiento y la mentalidad de un buen líder en seguridad tiene que incorporar una visión holística, además de eso que se repite con frecuencia y resulta válido para cualquier ámbito: “liderar es lograr que los demás quieran hacer lo que tienen que hacer”.

En este sentido, los profesionales de la seguridad pública y privada siempre hemos sostenido que las personas son “la base fundamental de nuestra actividad y nuestro principal activo” y, por eso, trabajamos para seleccionar y capacitar a los mejores, a fin de favorecer su desarrollo profesional y personal para que puedan aportar todo su potencial a la seguridad humana.

Liderazgo y seguridad. Cambio de pensamiento y acción. El valor compartido

Cuando estamos hablando de liderazgo en seguridad lo hacemos desde el concepto y la perspectiva del “servant leadership”, es decir, un liderazgo enfocado al servicio.

Un líder de seguridad orientado al servicio es una persona que tiene claro, en primer lugar, que la visión de la seguridad debe ser integral e integrada, lo que le permite construir espacios para la gestión del riesgo en los que todos los aspectos y percepciones van a ser valoradas y comprendidas. El conocimiento y talento para el liderazgo ha de estar acompañado de una voluntad de servicio orientada a crear las herramientas que permitan salir airoso en incidencias o situaciones con cualquier grado de dificultad.

Para ello, precisamos de una capacidad de actualización y adaptación permanente que nos deje ver ese espacio que se abre a esos nuevos retos e infinitas posibilidades. Es necesario desarrollar la proactividad y la apertura a la innovación en un marco de especialización creciente y de valor compartido.

En un entorno de integración y digitalización como el que vivimos, donde la velocidad de cambio es cada vez mayor y los tiempos para la acción cada vez más breves, los profesionales de la seguridad tienen que ser capaces de evolucionar y adaptarse y, para ello, necesitan una enorme capacidad de especialización y de autogestión permanentes.

Ante la duda frecuente de si preferimos directivos de seguridad que sepan gestionar el riesgo o profesionales con visión de la seguridad, no podemos dejar de tener en cuenta lo importante que es para las organizaciones la tenencia de ambos perfiles integrados, porque la gestión del riesgo necesita visión y la visión de la seguridad, sin la gestión no puede ofrecer los resultados requeridos.

Por otro lado, tener un proyecto de valor compartido es lo que motiva a los profesionales de la seguridad a entregar lo mejor de sí mismos. Un directivo puede contar en su equipo con gente con aptitudes, pero si no hay un proyecto de valor compartido, cada profesional responsable tirará en una dirección.

Michael Porter señala que el propósito de la corporación debe ser redefinido como la creación de valor compartido, no sólo un beneficio per se. Esto impulsará la siguiente ola de innovación y crecimiento de la seguridad global.

Hacía una nueva seguridad y liderazgo

Una moderna organización y dirección de seguridad debe estar estructurada actualmente en torno a valores, y su liderazgo debe ser una consecuencia de la expresión de estos.

No podemos pretender tener organizaciones seguras y resilientes si las personas que forman parte de las mismas no lo son. Por ello, debemos trabajar en la resiliencia individual proactiva, aprovechando los recursos y experiencia de la que ya disponemos, aplicando los buenos resultados ya obtenidos con ellos y apoyándonos en los valores de los modelos de éxito ya implantados.

Es necesario cambiar las estrategias de protección hacia un enfoque holístico de la seguridad integral (prevención mas protección) que incluya una adecuada gestión de los riesgos (físicos, lógicos y humanos) a lo largo todo su ciclo, empezando por la prevención.

Sin duda, en la actualidad enfrentamos el reto de dar una respuesta adecuada a los tiempos que vivimos, abordando el enfoque de una Seguridad Única con mayúsculas, integral e integrada, pública y privada.

Con la aplicación de esta capacidad ya conseguida para absorber las situaciones de crisis y reorganizarse, al tiempo que experimentamos el cambio dentro esencialmente de las mismas funciones, haremos que estructura, identidad y retroalimentación participen de forma conjunta, reforzando la creatividad, el carácter proactivo y la innovación.

Por y para ello, hemos de destacar y desarrollar el papel que una nueva forma de liderazgo necesaria, a fin de promover la resiliencia dentro de los sistemas de formación y capacitación, a partir de cinco conceptos clave: formación holística, autoconocimiento, transparencia en las relaciones, perspectiva ética internalizada y procesamiento riguroso de la información.

Para mejorar la productividad y el desempeño es necesario un cierto sentido de urgencia, de tensión. Saber gestionar positivamente esa tensión es fundamental y precisa de voluntad, práctica y tiempo. Tener espacio para uno mismo es fundamental.

En resumen, el líder gestor de cualquier empresa u objetivo, en nuestro caso el Director de Seguridad, ha de ser creativo, intuitivo e inclusivo, con capacidad para romper hábitos, modelos mentales y paradigmas ya obsoletos y tender hacia un pensamiento cuántico, entendiendo como tal una visión holística y unificadora, que contemple y relacione todos los datos e integre los procesos del pensamiento en serie y asociativo.

Este panorama, se presenta dentro de un globalizado y amplio marco de actividades de sectores así clasificados, que son definidos como “Aquellas instalaciones, redes, servicios y equipos físicos y de tecnología de la información cuya interrupción o destrucción produciría un impacto mayor en la salud, la seguridad o el bienestar económico de los ciudadanos o en el eficaz funcionamiento de la Administración”.

Se conocen como infraestructuras “estratégicas” “...aquellas sobre las que descansa el funcionamiento de los servicios esenciales”, alcanzando el grado de “críticas” “...cuando su funcionamiento es indispensable y no permite soluciones alternativas”.

Todas ellas presentan nuevos retos y exigencias de cara al cumplimiento de la legislación y normativa vigente y, para su mejor protección y gestión preventiva de los riesgos y amenazas inherentes, son necesarios nuevos planteamientos y soluciones que, irreversiblemente, han de enfocar de forma prioritaria la convergencia de la seguridad física y la lógica, así como la integración y gestión de todos los sistemas.

En este sentido, las nuevas soluciones, innovadoras y personalizadas que estamos propiciando desde CÍRCULO de SEGURIDAD de GET (Grupo Estudios Técnicos) están basadas en el

Valor Compartido

El valor compartido aplicado al amplio sector de las seguridades es una idea innovadora que surge como alternativa a los obsoletos métodos de trabajo de las empresas estancadas en el pasado que no ofrecen soluciones a los nuevos retos y exigencias de seguridad.

La creación de valor compartido es una propuesta basada en la teoría de Michael Porter, mediante la cual se motiva al mundo empresarial de la seguridad a renovar sus procesos, productos y servicios. “Las empresas crean valor compartido, reconcibiendo productos y mercados; redefiniendo la productividad en la cadena de valor y construyendo clusters de apoyo para el sector en torno a las instalaciones de la empresa”. (Galvis, 2013)

La aplicación del concepto de valor compartido crea nuevas oportunidades para las empresas, las organizaciones de la sociedad civil y los gobiernos, a fin de aprovechar el poder de la competencia basada en el mercado para poder hacer frente a los problemas sociales o estructurales.

CÍRCULO de SEGURIDAD conjuga una nueva visión empresarial que ofrece un selectivo catálogo de soluciones innovadoras de alto valor estratégico y operativo en el mercado globalizado de la seguridad de alto riesgo y, en especial, para los sectores de actividad estratégicos y críticos, refrescando el sector empresarial de la seguridad y contribuyendo al progreso con respuestas adecuadas a las nuevas demandas y nuevos retos.

GET ofrece desarrollos holísticos de cara a la Gestión del Riesgo de las Infraestructuras Estratégicas y Críticas que, sin duda, requieren productos y servicios de seguridad adecuados a sus específicos riesgos, amenazas y vulnerabilidades.

En resumen, el valor compartido es una nueva visión, que surge como alternativa a los métodos de estudio y análisis de las empresas estancadas en el pasado, y todo lo que esto supone. Con ello, no sólo se pretende aumentar la eficiencia de la seguridad y el control de las infraestructuras a medio y largo plazo, sino garantizar una gestión orgánica, y por lo tanto viva, lo que conlleva, además, unas inversiones eficaces.

CÍRCULO de SEGURIDAD es un referente en el cambio de paradigma de la seguridad y de sus directivos, basado en nuevos planes de inteligencia estratégica:

• Innovación en Metodologías propias y exclusivas especializadas en Seguridad, que permiten configurar planteamientos a medida para los usuarios finales.

• Aproximación a los procesos de la organización para provocar el intercambio de experiencia y la transferencia de conocimientos.

• Colaboración entre empresas y profesionales de alto nivel técnico y ejecutivo, lo que asegura disponer de las últimas soluciones y metodologías de gestión y la más completa actualización normativa y técnica.

Ecosistema de soluciones

Para dar cumplida respuesta a los nuevos retos, exigencias y necesidades, especialmente en el ámbito de las Infraestructuras Críticas, en esta nueva plataforma de CÍRCULO de SEGURIDAD vamos a seleccionar y poner a disposición, principalmente:

SISTEMAS DE GRC (GOBERNANZA, RIESGOS Y COMPLIANCE) que garanticen la adecuación constante al marco normativo actual y futuro que afecte al operador crítico, que contemple un sistema de evaluación de riesgos y que permita realizar el seguimiento de mejora continua.

SISTEMAS DE INTEGRACIÓN DE MEDIOS DE SEGURIDAD que permitan, desde el proceso de diseño a la implantación del Plan de Seguridad Integral, garantizando la convergencia.

SISTEMAS DE INTELIGENCIA, RESPUESTA Y ANÁLISIS FORENSE de datos de eventos para integrar en Cuadros de Mando con herramientas avanzadas y específicas, junto con plataformas para la gestión de alertas tempranas y de investigación forense, en el tiempo que transcurre entre una intrusión y su detección e identificación.

SISTEMAS DE FORMACIÓN Y ENTRENAMIENTO ESPECIALIZADO con prácticas y ciberejercicios basados en plataformas para equipos de respuesta ante incidentes, que permitan medir las capacidades de gestión ante un ciberataque, así como el control de ataques para identificación de riesgos y amenazas.

SISTEMAS DE IMPLANTACIÓN Y MANTENIMIENTO mediante plataformas de control de la seguridad de la información y las comunicaciones, con la necesaria realización de auditorías y desarrollo previo de políticas y procedimientos, para el mantenimiento permanente del nivel o grado de seguridad determinado.

1. f. Capacidad de adaptación de un ser vivo frente a un agente perturbador o un estado o situación adversos.
2. f. Capacidad de un material, mecanismo o sistema para recuperar su estado inicial cuando ha cesado la perturbación a la que había estado sometido.

Así, en seguridad, la resiliencia se puede definir como “un proceso dinámico donde las influencias del ambiente y del individuo interactúan en una relación recíproca que tiene como resultado la adaptación positiva de la persona en contextos de gran desafío.” (Melillo y Suárez, 2002).

Este concepto incluye tres aspectos importantes que no debemos perder de vista, como son: la flexibilidad, la capacidad de adaptación y la capacidad del sistema para recuperar su estado inicial una vez finalizada la perturbación a la que ha estado sometido.
 

No obstante, definiciones aparte, el concepto resiliencia incrementa su presencia e implantación permanentemente tanto en los aspectos sociales como funcionales y especialmente en materia de seguridades. En este sentido, si bien el Estado, sus organismos y autoridades tienen un compromiso con sus ciudadanos para proporcionarles seguridad en todo momento, este compromiso debe entenderse que se encuentra comprendido entre los límites establecidos por la certeza y la incertidumbre, la impredecibilidad y lo probable y lo improbable dentro de los márgenes que definen y condicionan la ejecución de las políticas de protección y seguridad.
 

Riesgos y amenazas vs resiliencia
 

En materia de seguridad, la incertidumbre es un ingrediente que aporta variables imprevisibles, debido a la dificultad de conocer de antemano el total de las amenazas y riesgos a los que se enfrenta la sociedad en cada situación, dificultando con ello la selección de medidas para combatirlas.

Hemos de intentar priorizar sobre los riesgos y las amenazas existentes para hacerles frente de forma eficaz, junto con las reales y crecientes vulnerabilidades derivadas, principalmente de las interdependencias propias de un mundo globalizado, que contribuyen a introducir un alto nivel de incertidumbre en la seguridad y la capacidad de las infraestructuras para soportar los efectos de los riesgos.
 

En este entorno de globalización, la respuesta oportuna está condicionada por el concepto de resiliencia, que muestra su verdadero valor al complementar y facilitar las propuestas y respuestas más eficaces y adecuadas.
 

Para disminuir nuestras vulnerabilidades, hay que moverse y no sucumbir al miedo ni a la autocomplacencia aumentando esa “capacidad de adaptación de un ser vivo frente a un agente perturbador o un estado o situación adversos” que la definen.

Resiliencia y riesgo mantienen una relación inversa, cuanto mayor es una menor es el otro, y viceversa.
 

En este sentido, las potenciales pérdidas humanas o económicas provocadas por los efectos de la materialización de los riesgos y amenazas a los que se enfrenta nuestra sociedad han hecho necesario considerar la gestión de estas consecuencias como objetivo principal de la Estrategia Nacional de Seguridad. Así, las principales amenazas identificadas en la ENS-2017 son los conflictos armados, el terrorismo, el crimen organizado, la proliferación de armas de destrucción masiva, las ciberamenazas, el espionaje y las amenazas sobre las infraestructuras críticas.
 

Este documento se refiere a la resiliencia o capacidad de resistencia y recuperación como el principio relativo a la aptitud de los recursos materiales y humanos para afrontar con flexibilidad y fortaleza las situaciones de crisis, y sobreponerse a ellas minimizando y absorbiendo sus circunstancias negativas.
 

En resumen, el concepto de resiliencia hemos de contemplarlo implicado en los procesos de gestión y reducción del riesgo, que se articulan en tres niveles importantes:
 

1) Implantar estrategias para la reducción de vulnerabilidades,

2) Fomentar la resiliencia.

3) Desarrollar plataformas o sistemas de análisis y evaluación de los riesgos y amenazas.
 

Resiliencia e infraestructuras críticas
 

La incorporación del concepto de resiliencia en el ámbito de las infraestructuras críticas no sólo debe serlo en forma conceptual y teórica, sino también en el contenido de los procedimientos para la gestión del riesgo, en el desarrollo e implantación de los diferentes planes así como en la gestión de situaciones de crisis e incidencias y, en todo caso, teniendo en cuenta las vulnerabilidades.

En consecuencia, ampliando este concepto, la resiliencia en el ámbito de las infraestructuras críticas puede entenderse como la capacidad de las organizaciones para adaptarse y hacer frente a las situaciones de crisis provocadas por los potenciales efectos de los riesgos y amenazas a los que se enfrenta, de forma que mantengan un nivel exigible mínimo y aceptable de organización y funcionamiento.
 

Especial mención merece lo relativo al ámbito de la ciberseguridad en la que se ha de establecer, como línea de acción estratégica, la mejora de la seguridad y la resiliencia de las Tecnologías de la Información y la Comunicación (TIC).
 

Gestión del Riesgo
 

Se define como gestión del riesgo la práctica habitual que ya se estableció en los sectores económico y financiero en la década de los setenta con el propósito de realizar una estimación del valor presente de determinados acontecimientos futuros, centrándose el concepto de riesgo en las expectativas puestas en relación con la probabilidad y el potencial impacto de acontecimientos futuros.
 

De esta manera también y a lo largo de los años, el auge y desarrollo de nuevos riesgos, provocados principalmente por las amenazas de carácter transnacional, ha contribuido, a través del cálculo de probabilidades de ocurrencia y de sus efectos previsibles, a unir ambos conceptos también en el ámbito de la garantía de funcionamiento de las infraestructuras estratégicas esenciales o críticas.
 

En este sentido podemos afirmar, en primer lugar, que la globalización ha cambiado el significado del concepto de seguridad para hacerlo más amplio y complejo más allá de la importancia de visiones más tradicionales.

Sin embargo, en la actualidad, no sólo nos enfrentamos a eventos impredecibles e inciertos, sino que también la complejidad y la interdependencia de nuestros países y sociedades contribuyen a provocar que estos eventos sean difícilmente previsibles y gestionables. Por ello es necesario considerar que la gestión del riesgo o de las situaciones de crisis siempre se presentan como potenciales e indeterminadas.
 

En los sistemas complejos, como lo es la protección de las infraestructuras críticas, esta situación es insalvable porque forma parte de su orden y funcionamiento y, a priori, el factor de incertidumbre no puede ser evitado, eliminado o controlado totalmente.
 

El concepto de seguridad de las infraestructuras críticas, ha estado tradicionalmente asociado a la existencia de una autoridad política pública y centralizada y a la necesidad de unos recursos del Estado exclusivos y excluyentes, mientras que ahora por otra parte, el análisis, evaluación de riesgos y su gestión se ha entendido y se plantea como una herramienta de gobernanza para la garantizar el funcionamiento de las infraestructuras esenciales.
 

Medios y medidas de seguridad
 

Por su parte, la propia gestión de la resiliencia se basa en una combinación de medios y medidas proactivas y reactivas orientadas a minimizar los potenciales efectos asociados a los riesgos y amenazas a los que se enfrentan las infraestructuras críticas, pero no a prevenirlos.
 

Así, actualmente, las políticas de protección y seguridad normalmente se enfrentan al peor escenario o al de mayor impacto dentro del catálogo de riesgos considerados en cada caso y circunstancia, lo que ha llevado o está llevando en algunas infraestructuras esenciales a adoptar medidas apoyadas en nuevos desarrollos tecnológicos, planes de formación especializada, y otras medidas organizativas de carácter no estructural para proteger a las poblaciones e instalaciones físicas en riesgo o en situación de criticidad.
 

En cualquier caso, el planteamiento debe orientarse hacia un enfoque integral contra la inseguridad y, como consecuencia de ello, debemos prevenir y modificar aquellas reacciones de conformidad o pasividad, y dar un cambio decisivo e irreversible hacia un enfoque de la seguridad integral e integrada que suponga una continuidad en la reestructuración y modernización de los sistemas públicos y privados para la plena y efectiva coordinación local y transfronteriza, especialmente en el combate contra la delincuencia organizada y terrorismo, teniendo en cuenta que la seguridad es uno de los aspectos prioritarios para los ciudadanos en general y las infraestructuras críticas, en particular.  
 

En este sentido, el sector y el mercado de las seguridades de alta exigencia, en la actualidad, está en disposición de ofrecer respuesta y soluciones de especial relevancia para la nueva protección exigida.
 

Formación, dirección y liderazgo
 

Una moderna organización y dirección de seguridad debe estar estructurada actualmente en torno a valores, y su liderazgo debe ser una consecuencia de la expresión de estos.
 

No podemos pretender tener organizaciones seguras y resilientes si las personas que forman parte de las mismas no lo son. Por ello, debemos trabajar en la resiliencia individual proactiva, aprovechando los recursos y experiencia de la que ya disponemos, aplicando los buenos resultados ya obtenidos con ellos y apoyándonos en los valores de los modelos de éxito ya implantados.
 

Con la aplicación de esta capacidad ya conseguida para absorber las situaciones de crisis y reorganizarse, al tiempo que experimentamos el cambio dentro esencialmente de las mismas funciones, haremos que estructura, identidad y retroalimentación participen de forma especial, reforzando la creatividad, el carácter proactivo y la innovación.
 

Por y para ello, hemos de destacar y desarrollar el papel que una nueva forma de liderazgo necesaria, a fin de promover la resiliencia dentro de los sistemas de formación y capacitación, a partir de cinco conceptos clave: formación holística, autoconocimiento, transparencia en las relaciones, perspectiva ética internalizada y procesamiento riguroso de la información.

En la sociedad actual, caracterizada por la información, la comunicación y el conocimiento, se hace imprescindible que los actuales y nuevos profesionales de la seguridad pública y privada dispongan de las estrategias, los recursos y los medios necesarios con los que lograr una personalidad y nivel que permita dar la respuesta exigida, potenciando un desarrollo pleno de las capacidades de la persona, a la vez que su preparación e integración dentro del complejo sistema de la protección de las infraestructuras críticas.

En esta dinámica de cambios, para ese presente y futuro con el que estamos comprometidos, y para el que hay que construir los nuevos modelos exigibles dentro de una realidad ya definida, la resiliencia debe ser tratada como un concepto multidimensional y socialmente integrado.
 

La mutua interacción de la educación y de la resiliencia es un tema que ya ha adquirido gran relevancia en la actualidad, por comprobarse su papel mediador en resultados positivos en distintos entornos y, sin duda, son de aplicación al sector profesional de las seguridades para que se sepa responder a los nuevos desafíos, que requieren más de actitudes que de aptitudes.
 

A modo de conclusiones
 

Estamos inmersos en un momento de cambio en el que están surgiendo nuevas formas de organización social, económica, política, etc. dentro de una globalización que nos abre oportunidades, pero sólo en la medida en que reinventemos las competencias clave para abordar y resolver estas nuevas situaciones, especialmente en el ámbito de las seguridades en el funcionamiento de las infraestructuras esenciales.
 

En este sentido, muchos aspectos que tendrán que tenerse en cuenta en futuros análisis que, es seguro que aparecerán en un futuro inmediato, puesto que el cambio social acelerado que se está produciendo en España y en el mundo agudizará la incertidumbre, el incremento de las situaciones de riesgo y las amenazas a la seguridad, y, por tanto, la necesidad de preparar respuestas de resiliencia social y estructural.
 

La mejora de una sociedad global en su conjunto y su seguridad, está pidiendo a gritos un giro de planteamientos desde la base, para lo que hay que incrementar la capacidad de análisis, no solo racional, sino emocional y relacional de los hechos que suceden, que nos posibilite un acercamiento gradual a la realidad con una visión holística.
 

En este sentido, trabajar el terreno de las actitudes, donde radican nuestras fortalezas, debe ocupar en nuestros programas gran parte del espacio que hasta ahora ocupaban, casi de manera exclusiva, las aptitudes.

Por todo ello, las autoridades nacionales, pero también las regionales y locales, deberán plantear estrategias de reducción de riesgos que incluyan no sólo la adopción de las medidas preventivas necesarias para hacer frente a los efectos provocados por los múltiples riesgos con los que vivimos, potenciando no solo los medios de protección civil, sino también la promoción de la colaboración público-privada y el establecimiento de medidas efectivas para llevar a cabo la protección de nuestras infraestructuras críticas, su resiliencia y recuperación tras situaciones de crisis.

Consecuentemente, y a la vista de estas múltiples amenazas y los nuevos retos y desafíos para la Seguridad Nacional, el quinto capítulo de la ENS-2017, “Objetivos generales y líneas de acción de la Seguridad Nacional”, identifica cinco objetivos generales que orientan la acción del Estado: “Avanzar en un modelo integral de gestión del riesgo y de crisis, promover una cultura de Seguridad Nacional, favorecer el buen uso de los espacios comunes globales, impulsar la dimensión de seguridad en el desarrollo tecnológico y fortalecer la proyección internacional de España”.
 

Para favorecer el desarrollo de la resiliencia de la sociedad y sus infraestructuras es necesario fomentar políticas dinámicas que tengan como objetivo significar esa resiliencia al lado y en pro de la eficacia.
 

Finalmente, y con todo ello, se ratifica una vez más, la importancia que tiene el concepto de resiliencia en la nueva Estrategia Nacional de Seguridad para el desarrollo y establecimiento de los planes y medidas de protección para las infraestructuras críticas y estratégicas que está llevando España, y su especial protagonismo en la Unión Europea.

Yaneer Bar-Yam define ciencias de la complejidad como el estudio de sistemas con muchos componentes interdependientes. Y Melanie Mitchell determina que un sistema complejo es uno en el que grandes redes de componentes carentes de cualquier tipo de control centralizado y que obedecen reglas de operación simples, presentan un comportamiento colectivo complejo, sofisticado procesamiento de información y, finalmente, adaptación mediante aprendizaje o evolución.
 

Así, ejemplos de sistemas complejos pueden ser el cerebro, los sistemas financieros, las redes sociales, los ecosistemas, y el sistema climático de nuestro planeta, por mencionar solo algunos.

 
Complejidad y seguridad hoy
 

Otros cambios de sistemas complejos, desarrollados y experimentados en el escenario internacional, son el proceso de globalización, la revolución científico-tecnológica y los propios cambios político-sociales que se han producido en las últimas décadas.
 

En este contexto, es impactante comprobar la complejidad de los desafíos actuales para la defensa y seguridad del siglo XXI, desde las graves repercusiones del cambio climático, hasta la evolución del terrorismo y delincuencia trasnacional, que están haciendo difusa la posibilidad de tener una base de estudio más clara y diferenciada de estos conceptos.
 

Hoy la actividad empresarial se basa más que nunca en la tecnología, lo que conlleva la proliferación de plataformas y sistemas de los que dependemos para realizar nuestras actividades eficazmente y garantizar el funcionamiento de nuestras infraestructuras críticas.
 

Pero ¿por qué la complejidad es la causa de nuevos desafíos para la seguridad y cómo debemos afrontarlos?
 

Porque la complejidad es un obstáculo para la eficacia y la eficiencia en la seguridad.
 

Estamos ante una nueva generación de amenazas sofisticadas como señala el hecho de que, por ejemplo, ahora, los cibercriminales disfrutan de un acceso superior: los virus y ataques son más sofisticados y explotan las vulnerabilidades con la intención explícita de apoderarse de datos valiosos.
 

Así, según el nivel de consecuencias en la infraestructura atacada y su grado de sofisticación y determinación, los requisitos de seguridad de TI de cualquier empresa normal hoy constituyen todo un nuevo reto. El punto de partida de muchos de los ataques lanzados hoy en día consiste en explotar las vulnerabilidades de las aplicaciones de uso común.
 

Cuanto más complejas sean las tecnologías de seguridad y más tiempo tarden en aplicarse los cambios, mayor será el coste de la seguridad y menor la eficacia y rentabilidad de la inversión.
 

Ante este nuevo escenario, por ejemplo, la Organización para la Seguridad y la Cooperación en Europa (OSCE), desde su fundación en Helsinki (1975) y con su decálogo de diez principios inscritos en el derecho internacional, la cooperación y las medidas de confianza mutua, recogió tempranamente esta necesidad al transitar hacia una visión más integral de la seguridad dibujada en tres dimensiones: político-militar, económica y medioambiental, y humana.
 
Seguridad integral y complejidad
 

Es indispensable ofrecer un nuevo enfoque a las empresas, que son conscientes de las necesidades que deben cubrir. Este planteamiento ha de ir más allá de las normas y las restricciones convencionales y permitir a los equipos de TI con pocos recursos crear y gestionar un sistema de seguridad de TI mucho más profundo y exhaustivo.
 

Por otro lado, la complejidad de factores que intervienen en el proceso de la puesta en marcha de una política global sobre la seguridad y la defensa, es una cuestión que debe ser estudiada desde todas sus dimensiones y a través de distintas disciplinas que cubran los diversos vértices de un polígono de por sí irregular.
 

Aunque “integración” es un término sobreutilizado en el sector de TI, es fundamental para mejorar la posición de seguridad. Esto permite a las empresas, por fin, lograr altos niveles de protección en un entorno de TI complejo y altamente cambiante pero con requisitos de formación y conocimientos especializados mínimos.
 

Las que antes se consideraban tecnologías complejas, caras y difíciles de gestionar son, hoy en día, una realidad accesible para todas las empresas independientemente de su tamaño y recursos disponibles.
 

No obstante, la seguridad también se complica debido al problema de la protección habitualmente incompleta. Si cada sistema sólo se enfoca en una pequeña parte del problema, luego le toca a la empresa averiguar cómo hacer trabajar estos sistemas juntos y hacer que funcionen eficazmente para cumplimentar todos los objetivos. Habitualmente, cada uno de estos sistemas tiene su propia consola de gestión y control, su propia terminología, sus propias políticas, sus propias alertas. Esto no es aceptable frente a la exigencia de convergencia e integración actual.
 

Tratando de dar sentido a todos esos sistemas dispares aparecieron los SIEMs (Security information and event management) o los PSIMs (Physical Security Information Systems) que reúnen las alertas e incidencias de múltiples sistemas y tratan de organizar, gestionar y mostrarlos de una manera eficaz y amigable.
 

Por todo ello, la entidad y, sobre todo, las infraestructuras estratégicas y críticas del presente exigen una notable transformación del diseño, aplicación y gestión de las soluciones de seguridad y de conformidad. Esto requerirá la colaboración con un nuevo tipo de partners en seguridad. Este nuevo partner, conocido como un proveedor de valor añadido en seguridad integral, asumirá el sólido liderazgo que se necesitaba en el ámbito de la Seguridad con mayúscula.

 

Dicho liderazgo exigirá amplia experiencia en seguridad avanzada y en TI, además de los recursos y el compromiso necesarios para dar soporte a esta nueva visión de la seguridad y de la conformidad.
 

Con su colaboración, los nuevos partners de seguridad integral e integrada deberemos de resolver tres desafíos:
 

• Redefinir y simplificar la gestión de riesgos para suministrar unas pautas claras sobre el modo de minimizar y equilibrar riesgos, complejidad y costes en un entorno en constante cambio.
• Ofrecer un marco de seguridad de amplio espectro y el correspondiente catálogo de soluciones que incluya lo más avanzado en investigación e innovación en sistemas y servicios de seguridad para facilitar una flexibilidad óptima en el despliegue de dichas soluciones, integradas de modo transparente y basadas en “la continuidad del negocio” y
• Comprimir y simplificar el ciclo de vida de los riesgos, para reducir los costes y la complejidad de modo durable y sostenible.

En el mismo sentido pero distinta posición, están los fabricantes de sistemas y plataformas, que asumen el papel de proveedor de seguridad, pero que esperan hasta que estas soluciones se consagren en el mercado antes de integrarlas como funciones en plataformas, servidores y aplicaciones. Aunque, en muchos casos, carecen de la necesaria experiencia altamente especializada para suministrar la tecnología más actual o poder orientar a los responsables de TI en estrategias de seguridad y conformidad, sobre todo, en su aplicación a las infraestructuras críticas.
 

En resumen, dicha transformación deberá de integrar las tecnologías de la seguridad en la infraestructura de TI y en los procesos de funcionamiento. Esto permitirá mayor y mejor control y, como si fuera un activo corporativo más, sobre la seguridad, facilitando la gestión de ésta y de la conformidad, reduciendo los costes y ajustando TI a los crecientes requisitos de la empresa.
 
Seguridad y conformidad
 

En cualquier caso, algunas preguntas son prioritarias: ¿Cómo dominar el control de la gestión de riesgos y de la continuidad del negocio o funcionamiento? y ¿Cómo mejorar la adaptabilidad y lograr un equilibrio aceptable y sostenible entre los riesgos, la complejidad y los costes si los requisitos de seguridad y conformidad son cada vez mayores?, teniendo en cuenta que hemos de tener conformidad: con las amenazas cambiantes; las normativas cambiantes; las tecnologías cambiantes; la economía cambiante; los requisitos de las infraestructuras cambiantes.
 

En definitiva, las infraestructuras deberán adaptarse cada vez con más rapidez a las condiciones cambiantes de su entorno.
 

Todas las fuerzas impulsoras del cambio descritas anteriormente hacen que la seguridad y la conformidad sean unos objetivos, unos retos difíciles de lograr su adecuada planificación. Estas serán, especialmente, responsabilidades de los CIOs para equilibrar los riesgos, la complejidad y los costes.
 
Formación para la complejidad
 

En el ámbito académico estos nuevos desafíos implican fomentar la capacitación para la complejidad y el cambio permanente. Esto impone partir reconociendo que sólo a través de la intersección de diferentes disciplinas de la seguridad y la defensa seremos capaces de posibilitar la visión holística, es decir, de la participación público-privada.
 

Esto lleva a promover un modelo de capacitación especializada que ponga al sujeto proactivamente en el centro de su formación y fortalezca las competencias genéricas y profesionales en las que se enmarcan el saber hacer y emprender de un especialista en este área.
 

Responder a una reinvención y evolución de los riesgos y amenazas requiere, obligatoriamente, de un capital humano formado para la complejidad.
 

El perfil de este nuevo especialista con una educación para la complejidad en seguridad y defensa, debe apuntar fuertemente a la capacidad de análisis y síntesis, en razonamiento crítico en la toma de decisiones y en capacidad de adaptación a nuevas situaciones pero, sobre todo, a estar abierto permanentemente a aprender a pensar y pensar para aprender y emprender.