Seguridad desde el diseño, ciberresiliencia, protección de infraestructuras críticas y resiliencia geopolítica
La transformación digital, la creciente interdependencia tecnológica, la evolución de las amenazas cibernéticas y la fragmentación del entorno geopolítico están modificando sustancialmente las condiciones en las que las organizaciones desarrollan, incorporan y gestionan la innovación y la tecnología.
Manuel Sánchez Gómez-Merelo
Consultor Internacional de Seguridad
En este nuevo escenario, la innovación tecnológica ya no puede gestionarse exclusivamente desde criterios de eficiencia, competitividad, productividad, escalabilidad o rentabilidad. Es necesario incorporar una dimensión adicional, transversal y estratégica: la seguridad y la resiliencia integral como atributos inherentes al ciclo de vida de la innovación, los sistemas tecnológicos, los procesos empresariales y las cadenas de suministro.
Este planteamiento configura un nuevo paradigma de gestión de la innovación y la tecnología, basado en la convergencia de cinco dimensiones:
- Seguridad desde el Diseño (Security by Design): integrar los requisitos de seguridad física, lógica, digital y organizativa desde la concepción de productos, servicios, infraestructuras y procesos.
- Ciberseguridad y protección de la información: establecer una arquitectura de protección de activos, datos, sistemas, comunicaciones y servicios esenciales.
- Resiliencia operativa y organizativa: garantizar la continuidad de las operaciones, la capacidad de respuesta ante incidentes y la recuperación frente a perturbaciones.
- Cumplimiento normativo y gobernanza: integrar los requisitos de las directivas europeas NIS-2 y CER, junto con sistemas de gestión de seguridad de la información basados en ISO/IEC 27001.
- Resiliencia geopolítica y tecnológica: anticipar y gestionar los riesgos derivados de dependencias estratégicas, concentración de proveedores, vulnerabilidades de las cadenas de suministro, restricciones comerciales, conflictos internacionales y cambios en el acceso a tecnologías críticas.
La tesis fundamental es que la seguridad deja de ser una función de control posterior a la innovación para convertirse en un principio estructural de su diseño, desarrollo, implantación, explotación y evolución.
Por tanto, la seguridad y la resiliencia no deben considerarse costes adicionales ni limitaciones a la innovación, sino condiciones necesarias para garantizar su sostenibilidad, fiabilidad, autonomía y generación de valor a largo plazo.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
El cambio de paradigma: de la innovación tecnológica a la innovación segura y resiliente
El modelo tradicional de gestión de la innovación tecnológica se ha centrado fundamentalmente en la identificación de oportunidades, la investigación y el desarrollo, la transformación digital, la incorporación de nuevas tecnologías y la optimización de los procesos.
Sin embargo, este enfoque presenta limitaciones cuando las tecnologías desarrolladas o incorporadas sustentan servicios esenciales, infraestructuras críticas, sistemas industriales, redes de comunicaciones, servicios públicos o cadenas de suministro estratégicas.
La digitalización ha ampliado la superficie de exposición de las organizaciones y ha generado nuevas interdependencias entre infraestructuras físicas, sistemas de información, tecnologías operacionales (OT), plataformas digitales, proveedores tecnológicos y servicios externalizados.
Por ello, el nuevo paradigma requiere evolucionar desde una gestión de la innovación orientada principalmente al desarrollo tecnológico hacia una gestión integral de la innovación segura, sostenible, autónoma y resiliente.
Principios fundamentales del nuevo paradigma
El modelo propuesto se fundamenta en los siguientes principios:
- Seguridad como requisito de innovación: toda iniciativa tecnológica debe incorporar criterios de seguridad desde su concepción, definición de requisitos y diseño arquitectónico.
- Protección integral de activos: los activos físicos, digitales, informacionales, industriales, humanos y estratégicos deben gestionarse bajo una visión común de riesgos.
- Enfoque basado en riesgos y amenazas: las decisiones de inversión, desarrollo, adquisición e implantación tecnológica deben considerar tanto las amenazas conocidas como los escenarios emergentes.
- Resiliencia por diseño: los sistemas deben concebirse para resistir, absorber, adaptarse y recuperarse ante incidentes y perturbaciones.
- Seguridad de la cadena de suministro: la evaluación de proveedores, fabricantes, componentes, software, servicios cloud y dependencias tecnológicas debe formar parte del proceso de innovación.
- Autonomía y soberanía tecnológica: se deben identificar y gestionar las dependencias estratégicas que puedan comprometer la continuidad de los servicios.
- Gobernanza y responsabilidad directiva: la seguridad debe integrarse en la estrategia corporativa y en los mecanismos de toma de decisiones.
- Mejora continua: la innovación debe incorporar mecanismos permanentes de evaluación, auditoría, aprendizaje y adaptación.
Este enfoque transforma la seguridad en un elemento habilitador de la innovación, en lugar de considerarla una actividad independiente que se incorpora al final del desarrollo tecnológico.
Convergencia de los marcos europeos NIS-2 y CER
El nuevo modelo encuentra su fundamento regulatorio en dos instrumentos esenciales de la Unión Europea: la Directiva NIS-2 y la Directiva CER.
Ambas directivas responden a una misma necesidad estratégica: garantizar la continuidad y la seguridad de los servicios esenciales, aunque abordan dimensiones complementarias.
Dos dimensiones de una misma resiliencia
NIS-2. Resiliencia digital
Protección de redes, sistemas de información, datos, comunicaciones y servicios digitales.
CER. Resiliencia integral
Protección de las entidades críticas, sus instalaciones, operaciones, personas y servicios esenciales frente a todo tipo de amenazas.
Modelo integrado de seguridad y resiliencia
Prevención Protección Detección Respuesta Continuidad Recuperación Adaptación
Modelo conceptual de complementariedad entre las dos directivas europeas.
Directiva NIS-2: ciberseguridad y gestión de riesgos tecnológicos
La Directiva (UE) 2022/2555, conocida como NIS-2, establece un marco europeo para elevar el nivel común de ciberseguridad y reforzar las capacidades de prevención, gestión y respuesta ante incidentes.
Su ámbito comprende sectores esenciales y otros sectores importantes para el funcionamiento de la economía y la sociedad, entre ellos energía, transporte, sanidad, infraestructuras digitales, agua, administración pública, fabricación, servicios postales e investigación.
La directiva establece obligaciones relativas a:
- Análisis y gestión de riesgos de ciberseguridad.
- Seguridad de los sistemas de información y redes.
- Gestión y notificación de incidentes.
- Continuidad de negocio y recuperación ante desastres.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
- Gestión de vulnerabilidades.
- Control de accesos, autenticación y criptografía.
- Formación y concienciación.
- Supervisión y responsabilidad de los órganos de dirección.
Especial relevancia tiene su artículo 21, que establece un enfoque integral de gestión de riesgos, incluyendo medidas técnicas, operativas y organizativas.
Esto significa que la ciberseguridad no debe limitarse a la protección perimetral de los sistemas informáticos, sino extenderse al conjunto de las operaciones y servicios de la organización.
Directiva CER: resiliencia de las entidades críticas
La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas, amplía la perspectiva desde la ciberseguridad hacia la protección integral de las capacidades que permiten prestar servicios esenciales.
Su planteamiento contempla amenazas de distinta naturaleza:
- Amenazas físicas y sabotajes.
- Terrorismo y acciones intencionadas.
- Catástrofes naturales y fenómenos climáticos extremos.
- Accidentes industriales y tecnológicos.
- Fallos de infraestructuras y servicios de soporte.
- Amenazas híbridas.
- Perturbaciones transfronterizas y riesgos intersectoriales.
La CER define la resiliencia como la capacidad de prevenir, proteger, responder, resistir, mitigar, absorber, adaptarse y recuperarse frente a incidentes.
Entre sus principales exigencias se encuentran la evaluación de riesgos, la adopción de medidas técnicas, organizativas y de seguridad adecuadas, la gestión de incidentes y la planificación de la continuidad de los servicios esenciales.
Un aspecto especialmente importante es que la evaluación debe contemplar las dependencias de otras entidades y sectores, así como los riesgos que pueden proceder de terceros países.
De esta forma, la resiliencia deja de ser exclusivamente una cuestión interna de la organización y pasa a convertirse en una propiedad del ecosistema de infraestructuras, proveedores y servicios del que depende.
Integración de NIS-2 y CER en un modelo único de gestión
La principal aportación conceptual consiste en no gestionar ambas directivas como proyectos independientes de cumplimiento normativo.
Se propone establecer un sistema integrado de gestión de seguridad y resiliencia que contemple simultáneamente:
| Dimensión | NIS-2 | CER |
| Riesgos digitales | Central | Complementaria |
| Seguridad física | Protección del entorno de los sistemas | Central |
| Continuidad operativa | Sistemas y servicios | Servicios esenciales |
| Cadena de suministro | Riesgos cibernéticos | Dependencias y perturbaciones integrales |
| Gestión de incidentes | Incidentes de ciberseguridad | Incidentes que afectan a la prestación de servicios |
| Recuperación | Sistemas y datos | Capacidades operativas y servicios |
| Amenazas híbridas | Desde la dimensión cibernética | Desde una perspectiva integral |
La integración debe materializarse en una metodología común de análisis de riesgos, inventario de activos, identificación de dependencias, planes de continuidad, gestión de crisis, indicadores y mecanismos de supervisión.
Es importante precisar que la aplicación jurídica de cada directiva depende de la identificación y clasificación de las entidades por los Estados miembros y de la legislación nacional de transposición. No todas las organizaciones quedan automáticamente sujetas a ambas.
Seguridad desde el Diseño: el principio estructural de la innovación
La Seguridad desde el Diseño (Security by Design) constituye uno de los pilares del nuevo paradigma.
Su fundamento es que los requisitos de seguridad deben incorporarse desde las primeras fases del ciclo de vida de cualquier iniciativa tecnológica, en lugar de añadirse como medidas correctoras una vez que el producto, sistema o infraestructura está desarrollado.
Este principio debe extenderse a la seguridad física, ciberseguridad, seguridad de la información, tecnologías operacionales, protección de datos, continuidad y resiliencia.
Aplicación durante el ciclo de vida tecnológico
Ciclo de vida de la innovación segura
- Identificación de necesidades
Identificación de servicios críticos, activos, requisitos de seguridad, amenazas y dependencias. - Diseño y arquitectura
Arquitecturas seguras, segmentación, redundancia, control de accesos, protección física y ciberseguridad. - Desarrollo y adquisición
Desarrollo seguro, evaluación de proveedores, trazabilidad de componentes y verificación de vulnerabilidades. - Validación y certificación
Pruebas de seguridad, auditorías, análisis de riesgos, pruebas de penetración y validación de requisitos. - Implantación y operación
Monitorización, detección, gestión de incidentes, mantenimiento seguro y continuidad operativa. - Adaptación y retirada
Reevaluación de amenazas, actualización tecnológica, gestión de obsolescencia y eliminación segura de activos.
Tecnologías habilitadoras
La aplicación práctica de este principio requiere combinar tecnologías de seguridad física, ciberseguridad y protección de infraestructuras.
| Ámbito | Tecnologías y soluciones |
| Ciberseguridad | EDR/XDR, SIEM, SOAR, IDS/IPS, Zero Trust |
| Identidad y acceso | IAM, PAM, MFA, gestión de identidades privilegiadas |
| Seguridad OT/ICS | Segmentación industrial, monitorización OT, detección de anomalías |
| Seguridad física | CCTV inteligente, control de accesos, detección perimetral |
| Protección de datos | Cifrado, gestión de claves, DLP, copias inmutables |
| Resiliencia | Redundancia, alta disponibilidad, recuperación ante desastres |
| Inteligencia de amenazas | CTI, análisis de amenazas, detección de campañas y amenazas híbridas |
| Seguridad de la cadena de suministro | SBOM, evaluación de proveedores, trazabilidad y gestión de vulnerabilidades |
La selección de estas tecnologías debe responder a un análisis de riesgos y a una arquitectura de seguridad coherente. La mera adquisición de soluciones tecnológicas no garantiza el cumplimiento normativo ni la resiliencia de una entidad.
ISO/IEC 27001:2022 como marco de gobernanza y gestión de la seguridad de la información
La incorporación de un Sistema de Gestión de Seguridad de la Información (SGSI), conforme a ISO/IEC 27001:2022, constituye otro elemento esencial del modelo.
La norma establece los requisitos para crear, implantar, mantener y mejorar continuamente un sistema de gestión basado en el análisis y tratamiento de riesgos de seguridad de la información.
Su objetivo es preservar tres propiedades fundamentales:
- Confidencialidad: garantizar que la información solo sea accesible por personas, sistemas y entidades autorizados.
- Integridad: asegurar que la información y los sistemas no sean alterados de forma indebida.
- Disponibilidad: garantizar que los activos de información y los servicios estén accesibles cuando sean necesarios.
Sin embargo, su contribución al nuevo paradigma va más allá de estas tres propiedades. ISO/IEC 27001 proporciona una estructura de gobernanza que permite convertir la seguridad en un proceso corporativo sistemático, medible, auditable y sujeto a mejora continua.
Integración de ISO 27001 con NIS-2 y CER
El SGSI debe funcionar como una estructura de gestión que facilite la coordinación de los requisitos de seguridad de la información con los objetivos de resiliencia física, tecnológica y organizativa.
La correspondencia conceptual puede establecerse de la siguiente manera:
| ISO/IEC 27001 | Contribución al modelo integral |
| Contexto y partes interesadas | Identificación de servicios, dependencias y obligaciones |
| Liderazgo y gobernanza | Responsabilidad directiva y políticas de seguridad |
| Evaluación de riesgos | Análisis de amenazas y vulnerabilidades |
| Tratamiento de riesgos | Selección e implantación de controles |
| Competencia y concienciación | Cultura organizativa de seguridad |
| Control operacional | Gestión segura de procesos y tecnología |
| Evaluación del desempeño | Indicadores, auditorías y supervisión |
| Mejora continua | Adaptación a nuevas amenazas y tecnologías |
La implantación de un SGSI certificado permite disponer de evidencias verificables sobre la gestión de la seguridad de la información y establecer una base organizativa para abordar las exigencias de NIS-2.
No obstante, es necesario establecer una distinción técnica y jurídica: la certificación ISO/IEC 27001 no implica automáticamente el cumplimiento de NIS-2 ni de CER. Es un instrumento de gestión y aseguramiento que debe complementarse con los controles, evaluaciones, procedimientos y obligaciones específicos que resulten aplicables a cada entidad.
Modelo de certificación y mejora continua
Se propone desarrollar un modelo de implantación basado en el ciclo PDCA (Plan-Do-Check-Act):
- Planificar: definir el alcance del SGSI, identificar activos, evaluar riesgos y establecer objetivos.
- Hacer: implantar controles, políticas, procedimientos y medidas tecnológicas.
- Verificar: realizar auditorías, evaluar indicadores y comprobar la eficacia de los controles.
- Actuar: corregir deficiencias, adaptar las medidas y mejorar continuamente el sistema.
- La certificación debe entenderse como un mecanismo de validación del sistema de gestión, no como un punto final ni como una garantía absoluta de seguridad.
