Es común escuchar diariamente noticias sobre robo de información, hackeos y diversos delitos que son cometidos en el ciberespacio por parte de diferentes actores, que pueden ser ciberdelincuentes, hacktivistas o países en conflicto, entre otros. En ellos encontramos diversos perfiles criminales; por ejemplo, code warriors, exempleados, insiders, estafadores o incluso warfighters, etcétera. Si bien cada uno tiene diversas motivaciones, tales como darse a conocer, venganza, robo, comercio ilícito o incluso guerra cibernética, es sabido que los vectores de ataque que utilizan (entre los cuales se encuentra el malware, ransomware o la explotación de vulnerabilidades zero day) han causado impacto en las infraestructuras críticas alrededor del mundo y en la seguridad nacional de distintas naciones.
Por ello, la ciberseguridad se ha vuelto un punto vital en la vida cotidiana, laboral y profesional de cualquier persona y, desde luego, en la seguridad nacional de los países.
Seguridad nacional
Recordemos que el concepto tradicional de seguridad nacional estaba relacionado con la defensa ante ataques bélicos e invasiones territoriales. Sin embargo, han surgido nuevas amenazas durante el curso de los años; sobre todo después de la Segunda Guerra Mundial, tal y como ha demostrado la historia. Por ello, el concepto evolucionó extendiéndose a otros ámbitos multidimensionales, como la defensa ante cualquier amenaza exterior o interior, implicando, por supuesto, el ciberespacio.
La transformación del concepto de la seguridad nacional involucra:
- Crimen transnacional: Al utilizar tecnologías de la información, ya no tiene fronteras. Por tal motivo, la protección de la sociedad involucra la colaboración con otros países en el ciberespacio para frenar su actividad.
- Recursos naturales: Siempre han sido estratégicos. Por ello, cada país los protege desde tiempos antiguos para mantener su independencia en materia de recursos.
- Migración: Las caravanas de migrantes que se dirigen a un país destino podrían tener criminales o personas enfermas entre sus filas, que podrían, a su vez, dispersarse entre las personas de la caravana o en las ciudades y países a su paso. Como se mencionó, dentro de la misma caravana hay todo tipo de personas, tanto aquellas que buscan oportunidades para mejorar su calidad de vida, como aquellas que podrían delinquir.
- Economía: Se busca evitar problemas o tensiones económicas que comprometan el bienestar de la sociedad, así como el crecimiento en este rubro.
- Cibercrimen: No solo afecta a las tecnologías de la información, sino también a las personas. Las primeras son usadas como medio para cometer crímenes, traspasar las fronteras y, con ello, impactar en cualquier sector e infraestructura crítica.
- Terrorismo: No solo causa daño físico, sino emocional, sanitario e interrupciones en la vida cotidiana. Por ello, se despliegan distintos niveles de protección a la sociedad.
- Cambio climático, inundaciones y sequías: Afectan a la vida de los ciudadanos, así como a su estabilidad económica y física e incluso puede producir pérdidas de su patrimonio.
Por lo anterior, el espacio de operaciones de las Fuerzas Armadas de un país ya no solo se enfoca en la tierra, aire y mar, sino que debe considerar también el ciberespacio.
IC y ciberseguridad
El Global Risks Report 2025 del Foro Económico Mundial muestra en su panorama de riesgos globales, específicamente en el mapa de interconexiones, cinco categorías de riesgos: económicos, ambientales, geopolíticos, sociales y tecnológicos. En dicho mapa sobresale que, aunque los riesgos son de distintas categorías, se interconectan con otras. Esto implica que disrupciones a las infraestructuras críticas influyen en la interrupción en la cadena de suministro, originadas en confrontaciones geoeconómicas, ciberespionaje, guerra o delincuencia, entre otros.
Las infraestructuras críticas de información se encuentran definidas por el Meridian Process como «información interconectada e infraestructuras de comunicación esenciales para el mantenimiento de los servicios básicos de la sociedad cuyos daños o destrucción tendrían serias consecuencias». En este sentido, encontramos en las infraestructuras críticas a los sectores de la energía, agua, financiero, etcétera, los cuales dependen de infraestructuras tecnológicas para sus diversas operaciones y uso de sistemas de control remoto.
Por tal, se convierten en infraestructuras críticas de información, y es necesario lo siguiente:
- Seguridad de la información y ciberseguridad para la protección del entorno digital y físico que permitan establecer controles organizacionales, de personas, físicos y tecnológicos para proteger la integridad, confidencialidad y disponibilidad de la información.
- Protección de infraestructuras críticas para blindar su entorno físico; también conocido como protección física de sus instalaciones estratégicas.
De la unión de los puntos anteriores surge el concepto de protección de infraestructuras críticas de información.
La ciberseguridad se ha vuelto un punto vital en la vida cotidiana, laboral y profesional y, desde luego, en la seguridad nacional
No obstante, cabe resaltar que cada país define sus propios sectores de infraestructuras críticas en un catálogo y que debe existir una estrategia nacional para la protección de dichas infraestructuras. Algunos países cuentan, en este sentido, con agencias dedicadas a proteger sus infraestructuras críticas: por mencionar algunos ejemplos, el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) en España o la Cybersecurity & Infraestructure Security Agency (CISA) en Estados Unidos de América.
Analicemos un caso en el cual un ciberataque dirigido a una infraestructura crítica impacta en la seguridad nacional: A lo largo de los años, han existido diversos ciberataques a infraestructuras críticas, tales como la afectación al sector de energía, que comúnmente inicia cuando un ciberdelincuente envía algún correo malicioso a los empleados y logra infectar un equipo de la organización. Si esta no tiene los controles suficientes, a través de movimiento lateral, obtiene acceso a un equipo o sistema crítico, el cual podría controlar o afectar para su propio beneficio contra dicha infraestructura crítica. No solo estaría atacando a la organización; pensemos en que podría causar un apagón en una ciudad o incluso en todo el país. La falta de energía eléctrica afectaría diversos sectores como el de salud. ¿Qué pasaría si un hospital no cuenta con energía eléctrica y se agotan los recursos de respaldo de energía? Se pondría en riesgo la vida humana. ¿Y qué pasaría si se sumaran las consecuencias de las afectaciones en otros sectores? Esto podría desestabilizar un país completo y, en los peores casos, tener un impacto internacional.
