SEGURIDAD Y DEFENSA

En España, según los datos de la Oficina de Coordinación de Ciberseguridad (OCC) del Ministerio del Interior, los ciberataques que comprometen la disponibilidad de los servicios, tipo DDos (denegación de servicio distribuido) o DoS (denegación de servicio) están predominando entre las infraestructuras críticas, alcanzando este año el 55% de todas las tipologías.
 

Debemos aplicar las nuevas normas impulsadas por la UE que protegerán con mayor eficacia las infraestructuras esenciales de la Unión, introduciendo unas condiciones mínimas para la evaluación del riesgo y unas estrategias nacionales de resiliencia, al tiempo que armonizarán la definición de «infraestructura crítica» en todos los Estados miembros sobre la base de las amenazas complejas e incrementar los recursos de análisis y liberarlos de viejas patologías, así como desarrollar un nuevo esquema de gestión integral del riesgo y las seguridades.
 

Continúa leyendo el artículo completo para conocer cómo se está construyendo esta nueva seguridad global

En este escenario y sin demasiada concienciación, la gente siguió haciendo vida normal, con personas completamente ignorantes del peligro, en tránsito por calles y carreteras, o refugiándose en casas bajas, locales o garajes, cuando deberían haberse resguardado de forma eficaz o incluso ser evacuadas a zonas más seguras.
 

Es imprescindible preparar a la población en riesgo, aplicando de forma eficaz las reglas básicas para cualquier situación de emergencia, entre las que se encuentran, principalmente:
 

• Evaluando el riesgo. El primer paso en la preparación para emergencias es llevar a cabo una evaluación de riesgos exhaustiva.
   
• Planificando con anticipación. Una vez que hayas identificado las posibles emergencias, desarrolla un plan integral de respuesta a emergencias.
   
• Entrenando con regularidad. Realizando simulacros regulares para asegurarse el adecuado comportamiento ante una emergencia.
   
• Equipándose bien. Tener en casa, a mano, el equipo adecuado y esencial para un eficaz afrontamiento de las emergencias.
   
• Manteniéndose bien informado. La comunicación clara es vital durante una emergencia. Esto incluye los sistemas de notificación masiva, radios, etc.
   
• Analizando eventos. Reflexionando para mejorar después de cualquier ejercicio o simulacro, y principalmente sacar todo el provecho que se deriva del análisis pormenorizado de cualquier emergencia real.
   

La gestión eficiente de la seguridad exige una actitud preventiva y proactiva que enfrente sin demora la realidad de los peligros que los ascensos de la temperatura del planeta producen.
 

Pese a ello, es mucho lo que podemos hacer para paliar, al menos, el alto coste en vidas humanas que conlleva esa desatención a las causas de las tragedias. Según informe de las Naciones Unidas, “gracias a la mejora de los sistemas de alerta y de la gestión de catástrofes, el número de muertes se redujo casi tres veces entre 1970 y 2019, pasando de 50.000 en la década de 1970, a menos de 20.000 en la de 2010”. Esto quiere decir que, cualquier actitud preventiva puede tener un efecto multiplicador importante y es nuestro deber profundizar en el fenómeno global para ser más eficientes y empezar a incluir en nuestros planes la SEGURIDAD DEL PLANETA.
 

Nuevos planteamientos de seguridad
 

Estamos ante un nuevo paradigma de seguridad. Hemos de mejorar la gestión del riesgo para que no se repita una catástrofe como la acaecida en Valencia, y analizar cuánto hay en realidad de “desastre” y de “natural” en lo que se está viviendo.
 

Desde GET - Grupo Estudios Técnicos, queremos tener un especial recuerdo y agradecimiento al personal de todos los ámbitos de la seguridad públicos y privados (UME, Policías Nacionales y Locales, Guardia Civil, Bomberos, Seguridad Privada, Voluntariado, etc.) que están desplegados principalmente en la provincia de Valencia, y otras zonas afectadas, como acción y respuesta ante el impacto producido por las danas de la semana pasada. Su profesionalidad es imprescindible para, ante situaciones como las actuales disponer de normas y protocolos de seguridad y emergencia que partan de una seguridad global, integral e integrada, para la mejor optimización de recursos y el aprovechamiento de esfuerzos.
 

Prevención y protección ante desastres
 

La evaluación del riesgo es resultado de la combinación de la exposición, la probabilidad y la vulnerabilidad.
 

Para trabajar con la exposición y evaluación de riesgos de la naturaleza para las personas y zonas susceptibles de afectación debemos revisar y mejorar las infraestructuras.
 

Conocer la probabilidad de ocurrencia del fenómeno natural y la anticipación, mejorando las predicciones, son las bases de trabajo que debemos perfeccionar constantemente.
 

La vulnerabilidad es el reto y exigencia prioritaria y debemos volcarnos en la prevención y la protección, la mejora de la respuesta y las acciones post-emergencia o fase de reconstrucción, que permita la vuelta a la normalidad lo antes posible, con la mayor resiliencia.
 

La seguridad total no existe y hemos de trabajar en reducir al mínimo los riesgos y vulnerabilidades.
 

La Estrategia de Seguridad Nacional, indica que: “la Protección Ante Emergencias y Catástrofes precisa de una labor continua y coordinada de todos los organismos implicados, en aras a la compatibilidad, complementariedad y eficacia de las actuaciones de carácter preventivo y, en caso necesario, de respuesta”.
 

La previsión de ciertos riesgos naturales como los fenómenos atmosféricos, como son las inundaciones, admiten cierto nivel de predicción. Esas predicciones se hacen con la ayuda de modelos que permiten, con cierta probabilidad, pronosticar su evolución.
 

Estos datos deben servir como base de la comunicación de alertas a la población, que permitan activar planes de emergencias preexistentes de distintos niveles, en los que se recogen los recursos que deberán intervenir ante la situación generada, la responsabilidad de la dirección y gestión de la emergencia, así como las directrices pertinentes.
 

Para su eficacia, precisa el complemento de una verdadera cultura preventiva en la población que tiene que afrontar la situación.
 

Una de las principales recomendaciones de un extenso informe europeo, encargado por la presidenta de la Comisión Europea, Ursula von der Leyen, para que sirva de orientación en las políticas de la UE y los Estados miembros, indica que la UE debe elevar la capacidad de respuesta de los ciudadanos ante un escenario de crisis grave o guerra. El objetivo es que éstos sean capaces de afrontar todo tipo de emergencias con programas educativos especiales y otras medidas extraordinarias, como simulacros, y defiende que los hogares deben estar equipados para ser autosuficientes al menos 72 horas consecutivas en caso de que se interrumpa la prestación normal de servicios básicos en una emergencia de cualquier tipo. Se trata de asumir que “la guerra no es algo imposible y las crisis tampoco”, advierte el documento.
 

Planes de contingencia y emergencia
 

La aprobación de la Ley del Sistema Nacional de Protección Civil en julio de 2015 proporciona a España un sistema equiparable a los más avanzados y desarrollados en la materia.
 

La Estrategia de Seguridad Nacional plantea como objetivo en el ámbito de la protección ante emergencias y catástrofes, establecer un Sistema Nacional de Protección de los ciudadanos que garantice una respuesta adecuada ante los distintos tipos de emergencias y catástrofes originadas por causas naturales o derivadas de la acción humana, sea ésta accidental o intencionada.
 

Las líneas de acción estratégica que propone para alcanzar este objetivo son las siguientes:
 

• Adopción de un enfoque integrador y potenciador de las actuaciones entre la Administraciones.
   
• Elaboración de un marco de referencia en la materia que propicie el impulso y la coordinación de recursos.
   
• Actualización y perfeccionamiento del marco jurídico de la protección ante emergencias y catástrofes.
   
• Establecimiento de protocolos de actuación coordinada de las diferentes partes involucradas.
   
• Constitución de una red de alerta nacional de riesgos naturales.
   
• Mantenimiento de directorios de recursos para una gestión eficiente de la respuesta asistencial en situación de emergencias y catástrofes.
   
• Promoción de una cultura de prevención entre los ciudadanos, que incluirá conocimientos y actitudes de autoprotección.
   
• Contribución a una mayor cooperación europea e internacional.
   
• Adopción de planes de preparación y respuesta ante crisis o contingencias.
   
• Revisión de protocolos de gestión y comunicación de situaciones de crisis.
   

Para todo ello, las Fuerzas y Cuerpos de Seguridad, Bomberos, Protección Civil y la Unidad Militar de Emergencias (UME) son absolutamente imprescindibles para la prevención y protección de personas, bienes e infraestructuras, así como la colaboración ciudadana, la seguridad privada y el voluntariado en los puntos más afectados, donde más ayuda se necesita.
 

Especial significación tiene el aseguramiento y continuidad de funcionamiento de las infraestructuras más críticas como: energía, transporte, sanidad, comunicaciones, etc.
 

Según la norma en vigor, cuando los organismos competentes detectan posibles riesgos naturales que pueden afectar a población, bienes, infraestructuras, patrimonio, etc., emiten avisos a los organismos autonómicos de Protección Civil, que reciben estas alertas, realizan un análisis de riesgos y evalúan sus posibles consecuencias.
 

En función de esos análisis, las autoridades autonómicas de Protección Civil activan las alertas correspondientes, que pueden implicar la activación de los diferentes planes en función del tipo de riesgo: incendios, movimientos sísmicos, inundaciones, fenómenos meteorológicos adversos, etc.
 

La reglamentación explica que, una vez que las autoridades autonómicas activan la fase de emergencia de sus planes territoriales de Protección Civil, pueden decretar varios niveles de situaciones operativas.
 

En función de la gravedad de la emergencia y la disponibilidad de medios, deben solicitar a la Dirección General de Protección Civil y Emergencias del Ministerio del Interior la activación de medios extraordinarios del Estado, como por ejemplo la Unidad Militar de Emergencias (UME).
 

Cultura y formación de seguridad
 

Ante un riesgo de esta naturaleza, los ciudadanos y organizaciones no solo necesitan más información sino también formación y cultura de prevención y protección. En este sentido, cualquier previsión y alerta meteorológica pierde eficacia “si no se complementa con una verdadera cultura preventiva en la población que tiene que afrontar la situación”.
 

Y dado que las danas y otros fenómenos climáticos violentos cada vez son más frecuentes, los expertos en emergencias proponen incluir cultura preventiva en ámbitos escolares y dar formación específica a los adultos, así como que cualquier plan de emergencia vaya acompañado de un simulacro donde se ponga a prueba y se detecte cómo la población de destino responde ante los procedimientos de evacuación y cómo percibe y responde ante las pautas que se les comunican.
 

Esto nos da una idea de lo importante que es la educación y la formación en autoprotección.
 

Preparando a la población se puede reducir y contrarrestar su vulnerabilidad y lograr que, ante una alerta de emergencia, puedan reaccionar con una mayor racionalidad que aumente sus posibilidades para salvar su vida y la de sus semejantes.
 

Propuestas para mejorar la reducción de las vulnerabilidades
 

Un plan integral para garantizar una protección adecuada y una rápida recuperación ante desastres incluye:
 

• Una evaluación de riesgos
   
• Un análisis del impacto
•  
• Un plan de continuidad
   
• Un plan de respaldo y recuperación de datos y
   
• Un plan de comunicación
   

En este caso, el principal factor amplificador de pérdidas de vidas humanas, de damnificados y de daños económicos es la urbanización de los espacios fluviales de cauces y ramblas, circunstancia que se ha dado en la mayoría de los núcleos urbanos afectados por la DANA del pasado 29 de octubre.
 

Por ello, además de mejorar la percepción del riesgo a través de campañas de comunicación, para evitar que se repita este tipo de catástrofes, es necesario, entre otros medios, crear nuevos índices de vulnerabilidad holísticos que tengan en cuenta aspectos sociales, económicos, físicos, culturales y ambientales, identificando las áreas prioritarias y focalizando los recursos de seguridad.
 

También hemos de desarrollar nuevos mapas de peligrosidad (mapas de riesgo) y crear índices de vulnerabilidad con base probabilística, que sustituyan el enfoque habitual de zonas inundables, al tiempo que se adaptan infraestructuras.
 

Además, hemos de mejorar la resiliencia de la infraestructura urbana, incentivando la adaptación de los edificios ubicados en áreas de riesgo mediante la instalación de barreras de contención y compuertas antiinundación, etc.
 

Por último, para una mejor gestión se requiere desarrollar nuevos modelos y tecnologías que garanticen la precisión de los pronósticos meteorológicos y, con ello, aumenten la eficiencia de los sistemas de alerta a través de la telefonía móvil o cualquier otra implementable.

Esta Directiva extiende las normas de ciberseguridad a nuevos sectores de actividad, en función del tamaño de la organización y su nivel de criticidad.
 

Nos enfrentamos a una normativa con requisitos precisos y estrictos en la gestión de los riesgos y la notificación de los incidentes, ampliando el alcance a nuevos sectores críticos que no estaban contemplados en la normativa anterior NIS, e incorporando la aplicación de sanciones mucho más severas, efectivas, proporcionadas y disuasorias ante cualquier incumplimiento de las disposiciones nacionales adoptadas al amparo de la Directiva.
 

Según una reciente encuesta, el 80% de las empresas confía en cumplir la NIS2, pero el 66% no llegará a tiempo.
 

Objetivos
 

Aumentar el nivel de seguridad en la Unión Europea es el objetivo principal de la NIS2, así como homogenizar y elevar el nivel común de la ciberseguridad y la ciberresiliencia en los países miembros. Para ello, modifica responsabilidades y obligaciones de la NIS1 y endurece ciertas condiciones, como son la obligación de las auditorías y certificaciones, el incremento de la responsabilidad del CISO, así como las nuevas atribuciones a ENISA (Agencia de la Unión Europea para la Ciberseguridad).
 

Los principales objetivos de la Directiva NIS2 son:
 

• Conseguir que los Estados miembros de la UE cooperen para mejorar la ciberseguridad.
   
• Establecer un sistema unificado para informar de incidentes de ciberseguridad y gestionar las crisis cibernéticas.
   
• Fortalecer la seguridad de la cadena de suministro y hacer frente a las nuevas amenazas.
   

Es igualmente objetivo de la Norma elevar el nivel de ciberseguridad y resiliencia de los sistemas de toda la UE frente a ciberamenazas, a través de la Estrategia Nacional de Ciberseguridad (en España data de 2019, y el Plan Nacional de Ciberseguridad aprobado en 2022), adoptando medidas para la gestión de riesgos de ciberseguridad, obligaciones de notificación para las entidades, y normas de obligado cumplimiento relativas al intercambio de información sobre ciberseguridad.
 

Los órganos de dirección de las entidades esenciales e importantes deberán asistir, y ofrecer periódicamente formación especializada similar a sus empleados, al objeto de adquirir conocimientos y destrezas suficientes que les permitan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad, y su repercusión en los servicios proporcionados por la entidad.
 

Los pasos para la implementación de la NIS2 deben comenzar con medidas organizativas y técnicas que van desde la revisión interna hasta la formación específica, preparando a las entidades para cumplir no solo con la NIS2, sino también con lo próximo: el Acta de Resiliencia Cibernética (CRA) de la UE.
 

La NIS2 introduce un proceso de notificación de incidentes en fases, que obliga a las organizaciones a informar a las autoridades dentro de las primeras 24 horas de haber detectado un incidente significativo. Esto permite una respuesta más rápida y coordinada a los ciberataques, minimizando el impacto potencial.
 

Los Estados miembros velarán por que los Órganos de Dirección:
 

• Aprueben las medidas adoptadas, para la gestión de riesgos de ciberseguridad,
   
• Supervisen su puesta en práctica, y
   
• Respondan por el incumplimiento.
   

En resumen, la Directiva NIS2 (Network and Information System 2) es una disposición legal que establece un objetivo a alcanzar por los países de la UE y que define unos requisitos mínimos para la ciberseguridad de las infraestructuras críticas y esenciales.
 

Ámbito de aplicación
 

Con relación al ámbito de aplicación de dicha Directiva NIS2 en ciberseguridad, se amplía, se concreta y se define dos grupos: entidades esenciales y entidades importantes, aumentando las que se verán obligadas a aplicar los requisitos de ciberseguridad que establece la Directiva.
 

Entidades esenciales:
 

• Sector Transporte
   
• Sector Energía
   
• Sector Banca
   
• Infraestructura de los mercados financieros
   
• Sector Sanitario
   
• Suministro y distribución de agua potable
   
• Infraestructura digital y servicios TIC
   
• Sector aguas residuales
   
• Sector Administración Pública
   
• Sector Espacio y Navegación Aérea
   

Entidades importantes:
 

• Sector Correos y mensajería
   
• Sector gestión de residuos
   
• Sector fabricación, industria y distribución
   
• Sector producción y distribución de substancias y mezclas químicas
   
• Sector producción, transformación y distribución de alimentos
   
• Sector proveedores de servicios digitales
   

Aspectos claves de la Directiva NIS2
 

Aparte de intentar homogeneizar, para acabar con las diferencias entre los Estados y elevar el nivel de ciberseguridad de las organizaciones, la responsabilidad, la dirección y el liderazgo en materia de ciberseguridad pasa a ser de dos actores principales: el Consejo de Administración de la organización que entre dentro del ámbito de aplicación y el CISO (Chief Information Security Officer) de la compañía.
 

A partir de estos puntos de vista, en la Directiva cabe destacar y resumir los siguientes aspectos clave:
 

• Se amplía el ámbito de aplicación y se concreta para definir a qué organizaciones y actividades afecta la Directiva NIS2
   
• Se asigna nuevas responsabilidades a ENISA, como, por ejemplo, la de construir un marco normativo más uniforme, asesorar y orientar a los Estados miembros y a las Autoridades competentes en la definición de sus estrategias en materia de Ciberseguridad.
   
• Se define y evalúa el establecimiento de plataformas de gestión del riesgo y ciberamenazas.
   
• Se mejora la gestión de incidentes de ciberseguridad. Para ello, se crea una red (EU-CyCLONe) que se ocupe de la gestión coordinada de dichos incidentes, así como del intercambio de información.
   
• Se refuerza la revisión de la eficacia de las políticas de ciberseguridad y se da más responsabilidad a la figura del CISO en las organizaciones.
   
• Las exigencias de ciberseguridad se vuelven más estrictas, y cada Estado miembro debe garantizar que dichos requisitos se cumplen por parte de las organizaciones afectadas.
   
• Se endurecen y amplían las sanciones y responsabilidades de la alta dirección, que requerirá del asesoramiento del CISO para gestionar la ciberseguridad.
   

La Directiva NIS2 representa una oportunidad para que los operadores de infraestructuras críticas revisen, evalúen y actualicen sus capacidades y operaciones en relación con los requisitos de ciberseguridad reforzados y generen mayor confianza de su funcionamiento.
 

En resumen, muchas actividades e industrias que anteriormente no estaban reguladas en términos de ciberseguridad y ciberresiliencia, deberán ahora cumplir con estrictas medidas de seguridad (prevención + protección) en sus sistemas de información y su gestión, lo que significa que un volumen estimado en más de 100.000 entidades adicionales, deberán adaptarse a los nuevos requisitos y exigencias.

Legislación de Seguridad Privada
 

La regulación contempla, entre otros objetivos, la mejora de la eficacia en la prestación de los servicios de seguridad privada en lo relativo a organización y planificación, formación y motivación del personal de seguridad; la eliminación de las situaciones que dan lugar al intrusismo tanto de las empresas como del personal; la dotación al personal de seguridad privada del respaldo jurídico necesario para el ejercicio de sus funciones legales, y los elementos de colaboración entre la seguridad privada y la seguridad pública.
 

En el Título I se plasma una de las ideas claves que han inspirado la redacción de la Ley, como es la coordinación y la colaboración entre los servicios de seguridad privada y las Fuerzas y Cuerpos de Seguridad (FFyCC), con el único objetivo de mejorar la seguridad pública, mediante el intercambio de información, siempre con todas las garantías legales, y la apuesta decidida por unos órganos de encuentro que han de ser mucho más proactivos que hasta el momento.
 

En su Artículo 1, dispone que esta Ley tiene por objeto regular la realización y la prestación por personas privadas, físicas o jurídicas, de actividades y servicios de seguridad privada que, desarrollados por éstos, son contratados, voluntaria u obligatoriamente, por personas físicas o jurídicas, públicas o privadas, para la protección de personas y bienes. Igualmente regula las investigaciones privadas que se efectúen sobre aquéllas o éstos. Todas estas actividades tienen la consideración de complementarias y subordinadas respecto de la seguridad pública.
 

Una de las mayores deficiencias en la legislación española en materia de seguridad privada es la falta de un reglamento actualizado que complemente la Ley 5/2014. El reglamento actualmente vigente está basado en la antigua Ley de 1992, lo que genera contradicciones y lagunas legales que dificultan la aplicación efectiva de la legislación. Las contradicciones y ausencia de un reglamento actualizado representan un inusitado retraso por parte del gobierno y los órganos reguladores responsables de esta área.
 

En conclusión, la legislación española en materia de seguridad privada presenta deficiencias significativas que requieren una atención urgente por parte del gobierno y los órganos reguladores. Es necesario llevar a cabo reformas integrales tanto en la Ley 5/2014 como en el reglamento correspondiente.
 

Servicios y sistemas de seguridad
 

En los últimos años, las empresas de servicios y sistemas de seguridad, no solo vienen presentando nuevas soluciones a los nuevos retos y exigencias, sino que están en constante evolución y en total disposición de garantizar, no solo una adecuada colaboración con las FFyCC de Seguridad, sino a ofrecer una integración operativa para garantizar la seguridad humana y ciudadana.
 

Nuevos servicios y sistemas de seguridad especializados que, en muchos casos, se vienen implementando sin la adecuada cobertura de la normativa y regulación correspondiente aunque con claras ventajas para garantizar la seguridad, muy especialmente, en el ámbito y competencias de la Ley de Protección de las Infraestructuras Críticas (Ley 8/2011) que, en España, están protegidas en más de un setenta por ciento por las empresas de seguridad.
 

Directiva europea sobre los sistemas biométricos
 

No obstante, debemos destacar acciones en el ámbito de la UE con, por ejemplo, el establecimiento de la Directiva Europea que regula la biometría facial y el uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la Ley pues, cada vez son más las FF yCC de Seguridad, y empresas autorizadas, que aplican o tienen intención de aplicar la tecnología de reconocimiento facial (TRF) que puede utilizarse para identificación o para diversos fines, como la búsqueda de personas o el seguimiento de los movimientos de personas en espacios públicos.
 

La TRF se basa en el tratamiento de datos biométricos, por lo que implica el tratamiento de categorías especiales de datos personales y, a menudo, la TRF utiliza componentes de inteligencia artificial IA o aprendizaje automático con sus implicaciones en la Ley Orgánica de Protecciones de Datos (LO 15/1999).
 

Ley de Inteligencia Artificial en la UE
 

Como venimos observando, el potencial de la inteligencia artificial (IA) es impredecible en materia de seguridades e inseguridades pues, no solo está transformando sectores para mejorar la confianza y eficacia, sino que promete ser una herramienta valiosa e imprescindible para combatir inseguridades y vulnerabilidades en las organizaciones.
 

La Ley de Inteligencia Artificial o AI Act de la Unión Europea es el primer marco jurídico integral sobre IA que se aprueba en todo el mundo y busca regular los sistemas de inteligencia artificial que operen en la Unión Europea, con una excepción, en la que no aplica ninguna de las obligaciones que dicta, que es la Seguridad Nacional.
 

Así, la implementación de la Ley de Inteligencia Artificial en los próximos tiempos estará salpicada de hitos y desarrollos para la correcta aplicación del reglamento con la prioridad de garantizar la protección de los derechos fundamentales.
 

La Ley de Inteligencia Artificial (IA) representa un marco regulatorio pionero destinado a garantizar el despliegue seguro y ético de las tecnologías de IA en la Unión Europea.
 

En este sentido, la Ley de Inteligencia Artificial de la UE prohibirá los sistemas de identificación biométrica remota. Las normas aprobadas por la Eurocámara están enfocadas a prevenir riesgos y establecen obligaciones para los proveedores y usuarios de herramientas de inteligencia artificial en función del nivel de riesgo que puedan suponer. Algunas de ellas quedarán totalmente prohibidas por representar un «nivel inaceptable para la seguridad de las personas», como pueden ser los sistemas que clasifican a partir de sus comportamientos o características personales.
 

Ley de Ciberresiliencia en la UE
 

En los últimos años, la ciberseguridad se ha convertido en una preocupación fundamental, especialmente para las infraestructuras críticas y, en la gran mayoría de los casos, se han incrementado inversiones tanto en la reorganización de sus equipos de ciberseguridad como en la adquisición de nuevas tecnologías.
 

De forma complementaria se ha aprobado Ley de Ciberresiliencia (CRA 2024) con el objetivo de proteger a usuarios y organizaciones de diferentes tipos de riesgos cibernéticos.
 

Entendiendo por ciberresiliencia la capacidad que tiene una organización para prevenir, detectar, dar respuesta y recuperarse rápidamente de las amenazas cibernéticas.
 

La Ley de Ciberresiliencia es la primera legislación de este tipo que se aplica a escala de la Unión Europea, además, introduce normas comunes de ciberseguridad para fabricantes y desarrolladores de productos con elementos digitales, que abarcan tanto el hardware como el software.
 

La ciberresiliencia va más allá de la seguridad informática, ya que implica una mentalidad y cultura de ciberseguridad en todos los aspectos de utilización y vida digital y su seguridad se ha convertido en una necesidad básica para proteger la información.
 

Las organizaciones tienen que desarrollar la capacidad para hacer frente a las crisis, iniciadas en los sistemas y redes, sin que la actividad se vea afectada. Por lo tanto, podríamos decir que se trata de una cualidad imprescindible, ya que no sólo consiste en protegerse como entidad, sino también de aprender y adaptarse ante los incidentes cibernéticos.
 

La Ley de Ciberresiliencia de la Unión Europea pretende que los productos digitales, ya sean de software o hardware, cuenten con las suficientes medidas de ciberseguridad en todo su ciclo vital.
 

Formación Especializada
 

Los nuevos retos y nuevas exigencias, requieren igualmente cambios adecuados en la legislación y normativa relativa a la preparación de profesionales, ejecutivos y operativos, que han de acreditar una formación y capacitación especializada, no lineal, basada en estrategias y pensamientos exponenciales, abiertos y flexibles, que les convierta en los profesionales de la seguridad que venimos precisando.
 

Todo ello, complementado con herramientas para la implementación de un sistema y programas de Concienciación y Formación específica en Seguridad y Gestión del Riesgo, con la obtención, en caso necesario, de las correspondientes habilitaciones de Seguridad por la autoridad competente.
 

En resumen, estamos ante un nuevo planteamiento y redefinición de la Seguridad Privada y su regulación y, sin duda, una nueva oportunidad para avanzar en la Seguridad Global de un mundo de retos colectivos y futuro incierto.

Los grandes problemas mundiales que pesan en la actualidad siguen demandando el establecimiento de un nuevo orden y una nueva perspectiva que derive en una seguridad global, integral e integrada.
 

Si hacemos un breve análisis, veremos que, al menos a una serie de asignaturas pendientes, continuamos sin darles la prioridad que requieren y es preciso revisarlas para poder hacer un buen balance anual de nuestra seguridad.
 

Veamos con un poco de detalle la realidad en este decálogo de asignaturas pendientes que nosotros proponemos en materia de seguridad:
 

Nuevos retos y exigencias
 

Con los recientes incrementos de nuevas amenazas y su complejidad, la falta de integración y unificación deja de ser un simple inconveniente para convertirse en un grave problema, al aumentar los riesgos y destacar vulnerabilidades, impidiendo respuestas coordinadas e integrales ante las contingencias derivadas de su materialización.
 

Así, hemos de seguir con el objetivo de plantear y desarrollar una nueva cultura de seguridad como un bien público, propiciando la evolución y desarrollo de un paradigma de seguridad compartido que abarque de lo global a lo local. Los principales organismos centrados en el análisis del concepto de seguridad han dejado patente su carácter evolutivo y la necesidad de adaptarlo a las transformaciones acaecidas con la creciente globalización de la inseguridad.
 

Debemos ser conscientes de que en el mundo actual se están produciendo cambios profundos, no eventuales, y que es necesario contribuir de una forma más eficaz y realista a la mejora de la seguridad global. Desde esta perspectiva hemos de ayudar a instituciones y organizaciones a revisar y rediseñar nuevas estrategias en el nuevo mundo globalizado.
 

Los retos importantes están en el desarrollo de un nuevo concepto de Seguridad Global, como son: la convergencia de las seguridades, la transformación digital y la digitalización y la incorporación de la inteligencia artificial (IA) para la gestión operativa de la seguridad integral e integrada, pública y privada.
 

Nuevos planteamientos. Seguridad Global
 

Actualmente, los riesgos y las amenazas globales se presentan con muchas dimensiones y formas, derivadas de la inestabilidad geopolítica, la delincuencia y el terrorismo, así como las catástrofes naturales y, más recientemente, las pandemias mundiales, la guerra en Ucrania y el conflicto de Gaza (junto a otros en ciernes).
 

La seguridad global es uno de los pilares fundamentales sobre los que se deben apoyar las organizaciones, y ha de entenderse como un objetivo integral e integrado, que tiene como finalidad la protección de personas y bienes o activos, además de servir para proteger intereses y objetivos estratégicos o de funcionamiento esencial.
 

Hay que tener en cuenta que el concepto de seguridad global es especialmente importante en el ámbito de la Protección de las Infraestructuras Críticas (PIC).

Política de Seguridad
 

Hemos de establecer una Política de Seguridad Global donde han de considerarse aspectos fundamentales, como: la protección de los servicios esenciales; la gestión estratégica de la seguridad alineada con la política de riesgos; la estructura organizativa y de responsabilidades en materia de seguridad integral; la responsabilidad, compromiso y participación de todo el personal; la formación especializada y concienciación de los recursos humanos adscritos a la prevención y protección; el desarrollo y gestión de capacidades para la prevención, detección, protección, respuesta, resiliencia y recuperación; la colaboración con las Fuerzas y Cuerpos de Seguridad; el cumplimiento normativo y aplicación de buenas prácticas; y la mejora continua de los procesos de seguridad implementados.
 

Auditoría y actualización
 

El primer paso es la realización de la correspondiente Auditoría de Seguridad, y la posterior redacción del Plan Integral de Seguridad, que será enfocada desde el punto de vista del análisis de la seguridad física y la seguridad lógica de la organización. Los riesgos, amenazas y vulnerabilidades a tener en cuenta serán las derivadas de las correspondientes actividades y objetivos de la organización.
 

El estudio y la evaluación de las medidas técnicas, de los medios humanos actualmente disponibles y de los procedimientos operativos establecidos al efecto permitirá obtener un diagnóstico pormenorizado de la situación actual.
 

Como consecuencia del resultado final de dichas Auditorías, se podrá enumerar las medidas de protección complementarias que en cada caso sea recomendable acometer (ya sean de obligado cumplimiento o de carácter voluntario), estableciendo un calendario de ejecución que facilite su paulatina implantación, según la prioridad que presente cada medida propuesta en particular.
 

Una vez concluida la redacción de las Auditorías, podrá acome­terse la redacción del Plan Integral de Seguridad que describirá, de manera pormenorizada, cada uno de los aspectos vistos en la correspondiente Auditoría, haciendo especial hincapié en los temas relacionados con la estructura organizativa global y su funcionamiento.
 

Planes de Seguridad
 

El Plan de Integral de Seguridad definirá la política general de la organización para garantizar la seguridad global del conjunto de instalaciones o sistemas de su propiedad o gestión. Contendrá, al menos, la siguiente información:
 

• Política general de seguridad de de la organización y marco de gobierno.
   
• Relación de servicios esenciales prestados por la actividad.
   
• Metodología de análisis y evaluación de riesgos (amenazas físicas y lógicas).
   
• Criterios de aplicación de medios y medidas de Seguridad Integral.
   

Por otro lado, hay que establecer el desarrollo y despliegue de un Plan de Contingencia para la gestión de las Seguridades (prevención + protección) basado en una metodología de planificación, desarrollo y gestión que, al menos, ha de contener:

• Auditoría de Seguridad de la actividad organizacional.
   
• Política de Seguridad y Cultura de Seguridad.
   
• Monitorización de la Gestión del Riesgo.
   
• Metodología para el análisis de las Medidas y Medios de Seguridad.
   
• Medios para la implementación del Plan de Contingencia.
   
• Planes de Concienciación en Seguridad, Formación y Comunicación interna y externa.
   

Medios de Seguridad. Nuevas tecnologías
 

La transformación digital ha traído consigo cambios notables con la implementación en la nube de nuevos modelos de sistemas y servicios, lo que ha brindado oportunidades para gestionar el control en aplicaciones de seguridad, activos físicos y datos. El uso de nuevos formatos ha permitido una autenticación confiable y ágil a través de sistemas y plataformas desarrollados mediante aplicaciones de IA.
 

En este sentido, la industria de las seguridades se encuentra en una posición única para identificar los potenciadores más importantes, los eventos disruptivos y los desarrollos derivados de las nuevas tendencias, exigencias y retos que darán forma al nuevo panorama de la seguridad global. El sector dispone de sistemas innovadores, en constante evolución, enriquecidos con las nuevas aplicaciones de inteligencia artificial (IA).
 

Los nuevos enfoques de trabajo y conjuntos de funcionalidades impulsados por una mayor conectividad y disponibilidad de nube híbrida pueden facilitar una mayor escalabilidad, seguridad y agilidad en las implementaciones de seguridad en los próximos años.
 

Medidas Organizativas
 

Uno de los proyectos destacables actualmente es el desarrollo de los sistemas gestión integral del riesgo (global y convergente), como base de un análisis que integre todo el catálogo de riesgos que puedan afectar a los procesos críticos de nuestras organizaciones. No obstante, a día de hoy, no existe una plataforma o metodología lo suficientemente completa que integre los riesgos procedentes de varias disciplinas de seguridad.
 

Con ello, nos aseguraríamos de que todos los tipos de incidencias de seguridad se gestionarán desde una plataforma única y en tiempo real, para dar una solución integral y minimizar cualquier riesgo asociado, unificando criterios, interrelacionando datos y teniendo una visión de conjunto.
 

Para la nueva visión y misión de la seguridad integral e integrada, la inteligencia operativa y la gestión global se requiere que los responsables de la seguridad corporativa cambien su habitual postura funcional, especializada y experta, hacia una posición actualizada, con visión global de la organización, que observe y analice de manera transversal la información y, de manera muy particular, lo que puede afectar de manera global y sostenible a la continuidad.
 

Igualmente, la colaboración público-privada hoy en día en la seguridad es y será el nuevo reto, principalmente en los ámbitos públicos, de la ciudadanía y organizaciones, tanto es así que sus responsables se hacen más necesarios e importantes en todas las entidades, con la misión de prevenir los riesgos y amenazas y garantizar la gestión e intervención, minimizar los daños o pérdidas y garantizar la seguridad de una forma global, integral e integrada.
 

Nuevos servicios. Seguridad Integral
 

La seguridad privada sigue ganando nuevos espacios en cooperación e integración operativa con la seguridad pública en distintos ámbitos; no obstante, los nuevos retos y exigencias de seguridad presentan nuevas oportunidades para seguir avanzando en esta más que cooperación para la seguridad ciudadana.
 

Sin embargo, no se trata de una privatización de los servicios de seguridad públicos porque, entre otras cosas, el ejercicio de la seguridad privada está controlado por las Fuerzas de Seguridad del Estado o autonómicas, y se subordina siempre a sus instrucciones.
 

Por otro lado, ha irrumpido con fuerza el factor tecnológico, la digitalización y la intervención de la IA. Progresión de la tecnología que está propiciando nuevos servicios que las empresas de seguridad privada incorporan a su actividad. La ciberseguridad y la inteligencia artificial, por ejemplo, se han convertido en un campo de acción con muchas oportunidades para el sector.
 

Formación Especializada
 

Los nuevos retos y nuevas exigencias, requieren de respuestas globales que hacen precisa también una visión compartida, junto a la preparación adecuada de cada vez más profesionales, ejecutivos y operativos, que han de acreditar una formación y capacitación especializada, no lineal, basada en estrategias y pensamientos exponenciales, abiertos y flexibles, que les convierta en los lideres de la seguridad que venimos precisando.
 

Legislación y normativa
 

Las recientes nuevas legislaciones a nivel europeo, principalmente formuladas sobre aspectos de aplicación de la ciberseguridad, la inteligencia artificial o la ciberresiliencia, entre otras, requieren igualmente de revisión y replanteamiento de nuestros medios y medidas de seguridad global.
 

Otra asignatura pendiente de forma permanente es la necesaria actualización de la legislación en materia de seguridad en todos sus aspectos y frentes, así como la dinamización de nuevas normativas de aplicación, principalmente, para el control y gestión de los sistemas y servicios de seguridad.

Así, en España, están como objetivo prioritario y asignatura pendiente, desde la Ley Orgánica 4/2015 de Seguridad Ciudadana, pasando por la Ley 5/2014 de Seguridad Privada y su falta de desarrollo reglamentario, hasta la posible adecuación a nuevo orden europeo de seguridad de la Ley 8/2011 de Protección de Infraestructuras Críticas, la Ley 7/2021 de Protección de Datos y el desarrollo de la legislación y normativa o Ley de Ciberseguridad de la Unión Europea.
 

En resumen, estamos ante un nuevo planteamiento y redefinición y, sin duda, una nueva oportunidad para avanzar en la Seguridad Global de un mundo de retos colectivos y futuro incierto. Es urgente, por tanto, entender las nuevas dinámicas sociales, económicas, energéticas y tecnológicas, a fin de propiciar el despliegue de este amplio concepto de la nueva seguridad que va a estar presente de ahora en adelante.
 

Imágenes de números de Peggy und Marco Lachmann-Anke en Pixabay