Ciberseguridad

Introducción

El mundo digital es uno de los pilares del desarrollo económico y social¹. Desde la industria y los servicios públicos y privados hasta las comunicaciones, todos tienen un componente digital². Si bien trae consigo grandes oportunidades, abre la puerta a importantes amenazas que suponen un reto global^1,3,4. Un uso inapropiado de la tecnología pone en juego los derechos fundamentales y las libertades públicas en el ciberespacio⁵.

Hoy en día, las tecnologías de la información y la comunicación (TIC) y las infraestructuras que sustentan las actividades que se desarrollan en el ciberespacio son fundamentales en la sociedad^6,7. Al mismo tiempo, las ciberamenazas explotan vulnerabilidades Una debilidad o error en un sistema informático que puede ser aprovechada por una amenaza y, por tanto, ser explotada por un atacante. Aunque las debidas directamente a la tecnología puedan mitigarse por medio de actualizaciones, no siempre es posible corregirlas. Mientras no se subsanan, pueden ser potenciales objetivos de ciberataques  que pueden estar vinculadas a la propia tecnología que conforma los sistemas y redes de comunicación (por diseño, despliegue, configuración, administración o uso), pero también a factores humanos como el desconocimiento o de carácter organizativo^3,8–10.

No existe una definición universalmente aceptada de ciberseguridad^11–13, un concepto que abarca a todas las actividades necesarias para la protección de las redes y sistemas de información, de los usuarios de tales sistemas y de otras personas afectadas por las ciberamenazas⁴. Incluye, además, a la propia información y los datos. Se trata de una disciplina transversal que engloba a su vez diversas disciplinas, sectores, tecnologías y herramientas^1,11,14. Para España, se trata de un objetivo estratégico y prioritario^6,15 y es una cuestión de Seguridad Nacional⁶.

Solo en 2021, en España se han recibido y gestionado centenares de miles de ciberincidentes^10,16,17, lo que también da cuenta de la capacidad para la detección de ataques del sistema español¹⁸. Se calcula que en torno al 28 % de la población ha experimentado algún incidente de ciberseguridad¹⁹. El coste global estimado del cibercrimen (o ciberdelitos) supera el atribuido al tráfico de drogas a escala global¹, aunque dada la dificultad en su cuantificación, las cifras son aproximadas^20,21. El Plan Nacional de Ciberseguridad (2022-2025) ha sido dotado con algo más de 1.000 millones de euros¹⁵ y el creciente mercado de la ciberseguridad se estima que alcance los 2.000 millones en 2024 a nivel nacional²².

Tecnología y sociedades resilientes

La tecnología y los protocolos asociados a Internet no son 100 % seguros. Se basan en una estrategia de desarrollo continuo que deja puertas abiertas a posibles ciberamenazas²³. A ello, se suma la comercialización de la tecnología que, de forma generalizada,  no ha priorizado la ciberseguridad en su desarrollo ni en su propuesta de valor⁴.

El resultado es que no es posible evitar todos los ataques y por ello, se impone el concepto de ciberresilienciaLa habilidad de prepararse, absorber, recuperarse y adaptarse a los efectos adversos de los ciberataques. Con ella se pretende la continuidad de la actividad económica y social de forma que, a pesar de un ciberataque, se mantenga el funcionamiento normal o parcial de los sistemas, servicios, industria, etc.^1,23–25. Este objetivo requiere de una aproximación transversal que refuerce las principales capas que conforman la ciberseguridad: la tecnológica, la humana y los procesos que las conectan. La sociedad digital incluye infraestructuras, servicios, industria, administraciones públicas, hogares, personas, etc. Esta complejidad hace necesario que las salvaguardas tecnológicas estén coordinadas e integradas en una capa organizativa (gobernanza)^1,26,27. En este sentido, el bienestar social requiere de un marco estratégico, jurídico y normativo que considere los avances tecnológicos atendiendo a su evolución y transversalidad. Asimismo, ha de integrar aspectos relaciona os con las personas como la formación o la ética, además de la confianza entre los diferentes actores. 

El complejo y cambiante ecosistema de la ciberseguridad

La constante y rápida evolución tecnológica puede hacer que muchos mecanismos de respuesta, como los legislativos, queden obsoletos, incluso antes de su implementación^28,29. La ciberseguridad se desarrolla en un escenario digital, el ciberespacio, en el que un gran número de tecnologías interaccionan en un complejo engranaje junto a distintos actores, cuyas acciones tienen un importante impacto en la sociedad¹. 

Sociedad digital dependiente de las TIC

La dependencia general de las TIC aumentó con la crisis de la COVID-19, principalmente, debido a la generalización del teletrabajo y la fuerte digitalización experimentada por las administraciones públicas¹⁰. Este cambio conllevó un marcado aumento del número de ciberataques, fenómeno que ha recibido la denominación de ciberpandemia^1,10. Por otro lado, también ha supuesto una aceleración del desarrollo digital español, algo que se puede valorar positivamente^30,31.

La sociedad avanza hacia un nivel de interconexión y globalización creciente: las fronteras geográficas se desvanecen en el ciberespacio, lo que ocasiona importantes retos jurisdiccionales^32,33. Hoy en día, desde objetos cotidianos, como relojes o electrodomésticos, hasta servicios esenciales o infraestructuras críticas, como la red eléctrica, son susceptibles de estar conectados a internet y a otros dispositivos. Por ello, son capaces de generar y transmitir datos (datificación)¹. Surge así el concepto de servicios inteligentes, como el del transporte, el sistema de salud o los suministros eléctricos o de agua, entre otros muchos. Estos persiguen beneficiar al conjunto de la sociedad, adaptándose a la realidad de los usuarios (datos de consumo, preferencias personalizadas, etc.) u otros parámetros de interés (eficiencia, sostenibilidad, seguridad, etc.)^34,35. Por tanto, la ciudadanía debe estar situados en el centro de los servicios digitales y la generación y transmisión de información¹.

La digitalización afecta de forma transversal a los Estados: defensa, infraestructuras digitales, transporte, finanzas, salud, energía, administraciones públicas y un largo etcétera11. Son de especial relevancia las infraestructuras críticas y las cadenas de suministro, ya que ofrecen servicios esenciales para la sociedad^36–38 (Cuadro 1). Los ataques informáticos que sufren pueden tener graves consecuencias, por lo que se consideran un riesgo global³⁹. Existe abundante evidencia sobre cómo mejorar su ciberseguridad^40–42. Buena parte de los avances se centran en la mejora de su ciberresiliencia^1,43, entendida como la existencia de un plan de prevención, respuesta y recuperación que permita la mitigación de los ataques y la restauración completa tras ellos, en el menor tiempo posible, manteniendo la continuidad de los servicios⁴³.

El engranaje tecnológico del ciberespacio actual

Las TIC actuales se basan, en gran medida, en sistemas distribuidos, compuestos por un gran número de dispositivos interconectados entre sí y a la red. Conviene recordar que el 95 % de los hogares españoles tiene acceso a Interne^t56, a  través de dispositivos portátiles y personales (móviles, ordenadores, tabletas, etc.). Además, cabe citar el Internet de las cosas (IoT, por sus siglas en inglés), que comprende un extenso ecosistema cibernético y físico de plataformas interconectadas (millones de dispositivos⁵⁷) donde distintos tipos de sensores toman, intercambian y procesan un gran volumen de datos del entorno. Esto permite que los dispositivos tomen decisiones autónomas adaptadas dinámicamente al contexto⁵⁸.

El IoT conecta el mundo digital y físico, creando ecosistemas inteligentes y ofreciendo soluciones innovadoras en todos los ámbitos⁵⁹. Se encuentran en los hogares (electrodomésticos, dispositivos inteligentes, etc.), los espacios públicos(infraestructuras inteligentes de ciudades, transportes, etc.), la industria 4.0 (Cuadro 1; el llamado IoT industrial) o, incluso, en el cuerpo humano (dispositivos médicos y de control de salud)^60–64. Para poder sustentar el complejo engranaje de sistemas interconectados y gestionar el flujo de datos masivo que caracteriza el ciberespacio es necesario el despliegue de redes públicas avanzadas, como lo es la 5GHace referencia a la 5ª generación de la tecnología usada en comunicaciones móviles (evolución directa del 4G). Entre otras mejoras, permite una mayor capacidad y diferenciación en la gestión de usuarios,velocidad de transmisión y una muy baja latencia (tiempo de respuesta)⁶⁵.

Del almacenamiento y gestión de la gran cantidad de información que se genera se encargan sistemas de computación externos, con menos constricciones de capacidad que los terminales clásicos, como los servicios de computación en la nubeServicio digital basado en un modelo de pago por uso que hace posible el acceso a un conjunto modulable y elástico de recursos de computación (entre otros, licencias de software, capacidad de procesado y memoria, almacenamiento) que se pueden compartir.^1,34,66. Existe una gran dependencia global respecto a la misma, lo que hace de su seguridad una cuestión crítica⁶⁷. A pesar de que el despliegue 5G avanza con retraso respecto a las previsiones en la UE⁶⁸, en la actualidad, una parte del esfuerzo científico⁶⁹, incluyendo tanto nivel europeo⁷⁰ como nacional⁷¹, ya mira hacia la siguiente generación de redes de comunicación 6G.

Todo lo señalado con anterioridad hace que la superficie de ataque (posibilidades y puntos de ataque) aumente constantemente y que los mecanismos clásicos basados en el control aislado de los sistemas (seguridad perimetral) sean insuficientes¹. Además, cada día se generan grandes cantidades de datos susceptibles de ser compartidos, consumidos, vendidos y almacenados en cualquier lugar del mundo por empresas o instituciones públicas: es la llamada sociedad de los datos masivos^72,73 (Big Data en inglés). Supone una importante actividad económica⁷⁴ y su rápido crecimiento ha puesto de relieve que su seguridad, privacidad y control son, en muchos casos, insuficientes^75–77.

Amenazas y actores

El número, variedad, sofisticación y peligrosidad de los ataques (Cuadro 2) no dejan de crecer en Europa y España^10,16,78,79. Los cibercriminales ya no necesitan conocimientos informáticos avanzados: los ataques se han industrializado y automatizado y el cibercrimen aumenta rápidamente hacia modelos de negocio como servicio bajo demanda^79,80. Basta tener acceso a Internet para poder promover un ataque de denegación de servicio (Cuadro 2) por algo más de 5 euros¹. Motivos como perder una partida en un videojuego o evitar hacer un examen pueden motivar hoy en día un ciberataque^81,82. En España, la cibercriminalidad ha representado alrededor del 16 % del total de las actividades delictivas a escala nacional en 2020^16,45 y 2021. Resulta esencial establecer medidas legislativas que promuevan y faciliten su persecución para reforzar las garantías respecto a los derechos de la ciudadanía.

La actividad delictiva en el ciberespacio que afecta a las personas físicas y jurídicas es muy amplia e incluye delitos tradicionales, pero desarrollados a través de las TIC, así como otros nuevos dependientes de estas⁸⁹. Entre los primeros, destaca el fraude, en aumento en el contexto europeo⁹⁰, y la distribución de contenido ilegal (pornografía infantil, etc.). En España, se estima que en torno al 70 % de los internautas ha estado expuesto a una situación de fraude en 2021⁷, siendo junto con el malware el tipo de amenaza que más afecta a la ciudadanía y al sector privado¹⁷.

Aunque existe una taxonomía consolidada legalmente para clasificar los tipos de ciberincidentes⁹¹, la clasificación de los agentes que las perpetran carece de límites definidos⁸⁹. La motivación de los actores suele usarse como criterio para su clasificación1. No son categorías estancas ya que las motivaciones pueden variar o entremezclarse entre grupos⁹². El grupo más común y considerado más activo es el cibercrimen¹, que persigue, esencialmente, lucro económico. Está compuesto por un amplio espectro de actores que abarca desde estructuras profesionalizadas muy bien capacitadas, similares al crimen organizado, hasta individuos aislados. 

El resto de las categorías pueden ser menos comunes, pero pueden llegar a impactar igual o de forma más severa que el cibercrimen. Los actores-Estado pueden ser agencias estatales o grupos que actúan con el apoyo o bajo el control de Estados, normalmente con una alta capacitación y recursos. Sus actuaciones están alineadas con los intereses geopolíticos, económicos y estratégicos del país “patrocinador”¹. Parte de su actividad puede vincularse con el ciberespionaje, con carácter económico, industrial, político u otros^{1,92,93,93,94}, lo que constituye una seria amenaza al desarrollo económico y a la defensa nacional⁹⁵. Otras categorías destacables son las actividades de los grupos hacktivistasEl origen del término hacker no está relacionado con actividades de cibercrimen y su vinculación se debe a un uso inapropiado del término. Un hacker es simplemente alguien capaz de manejar con gran habilidad cualquier sistema (aparato, dispositivo - no necesariamente un ordenador), con el fin de sacarle más partido o divertirse. El término hacking desde la perspectiva del Hacktivismo puede entenderse como la actividad que involucra la manipulación de la conducta normal de un equipo y sus sistemas. Analiza la seguridad y las vulnerabilidades de los sistemas informáticos. Sus objetivos pueden ser fortalecer la seguridad o aprovechar las brechas de seguridad o vulnerabilidades de los sistemas maliciosamente, los actores internos o insiders (por suplantación o decisión propia) o el ciberterrorismo. El primero está motivado por movimientos sociales¹, aunque recientemente se ha señalado un creciente interés económico de carácter individualista y vandálico⁹².

También merece atención un amplio abanico de actores oportunistas con baja preparación (llamados script kiddies) que desarrollan actividades ilícitas que afectan negativamente a terceros y pueden evolucionar hacia perfiles criminales^1,96. En general, se apoyan o desarrollan en torno a foros clandestinos. Son muy comunes, acarrean un impacto negativo en la sociedad digital y tienen consecuencias económicas importantes, aunque escasamente reconocidas y definidas. Pueden estar vinculados con estafas de naturaleza económica, sexual, la utilización o venta de herramientas para ataques o de material privado de terceros sin permiso entre otros⁹⁶.

Impactos no deseados

La ciberseguridad impacta sobre la seguridad nacional, la seguridad pública y la seguridad de las personas, tanto físicas como jurídicas⁹⁷, hasta el punto de que los ciberataques pueden llegar a desestabilizar un país⁴, cómo en el reciente caso de Costa Rica⁹⁸. Generalmente el tipo de impacto más visibilizado es el coste monetario de los ciberataques. Sin embargo, el impacto económico es mucho más complejo^20,21. Trasciende el aspecto monetario y abarca una gran cantidad de repercusiones directas y secundarias. Entre los efectos que tiene sobre empresas, instituciones o Estados¹, destacan los derivados del daño reputacional, pérdida de competitividad, cese temporal o definitivo de servicios o actividades, pérdidas indirectas y efectos colaterales a personas u otras estructuras, entre otros muchos^20,21,96. Para hacerse una idea, el 60 % de las pymes europeas que son víctimas de ciberataques desaparecen⁹⁹. El personal experto ha señalado la necesidad de desarrollar en más profundidad la economía de la ciberseguridad y ahondar en el estudio de los incentivos y riesgos que la caracterizan²¹ y el importante debate en torno al esfuerzo inversor que desarrollan tanto el sector público como el privado^100,101. Con ello, pueden dotarse de mayor rigor y exhaustividad las escasas cifras que existen en torno al impacto económico.

En la misma línea, los ataques informáticos también tienen el potencial de producir graves efectos sociales y sobre las personas, desde físicos a psicológicos^102–104. También pueden dirigirse contra la integridad de las infraestructuras con los consiguientes daños para las personas⁴². La falta de ciberseguridad en la tecnología puede suponer la pérdida de confianza de los ciudadanos y, por tanto, limitar o detener el desarrollo digital¹. Por ello, los nuevos servicios y oportunidades, además de ser innovadores, han de estar basados en sistemas seguros y resilientes.

Gobernanza: procesos para una sociedad resiliente.

El marco internacional y el contexto europeo

España tiene compromisos y obligaciones internacionales, además de las derivadas de su pertenencia a la Unión Europea, en el ámbito de la ciberseguridad y el cibercrimen que han de considerarse en el marco de la gobernanza (Cuadro 3).

El ordenamiento jurídico español y, por tanto, la gobernanza de la ciberseguridad, está vinculado a las iniciativas regulatorias (directivas y reglamentos) y políticas públicas de la UE. La soberanía tecnológica y digital europea se basa en la combinación de capacidades técnicas y seguridad jurídica para generar un entorno digital confiable¹¹⁴. La Estrategia Europea de Ciberseguridad persigue un Internet global, abierto y seguro. Para lograrlo, se centra, sobre todo, en el desarrollo de instrumentos políticos y normativos (Cuadro 4), así como en los mecanismos de inversión³⁹.

Según una parte del personal experto, existen numerosos retos en torno a la efectividad de las políticas europeas de ciberseguridad¹³². Entre los desafíos sobre la gobernanza europea^12,132–135, pueden resaltarse los derivados de la fragmentación del marco regulatorio y la implementación de la estrategia de ciberseguridad. Así mismo, destacan cuestiones concretas, como la mejora de la coordinación y estandarización, el avance en la independencia o soberanía tecnológica, el aumento de la transparencia en el desarrollo de las políticas públicas y el refuerzo de la confianza, la resiliencia y la formación de los usuarios.

Aproximación española a la ciberseguridad

La estructura de gobernanza española se asienta en el marco del Sistema de Seguridad Nacional con las instituciones y autoridades competentes y los Centros de Respuesta a Incidentes de CiberseguridadPor sus siglas en inglés se les denomina CERT o CSIRT. Aunque los acrónimos se suelen usar indistintamente existen diferencias en la terminología. Para actividades de detección y repuesta de ciberataques son también asimilables a los denominados Centros de Operaciones de Ciberseguridad (SOC, por sus siglas en inglés) (CERT, CSIRT, SOC) por una parte, y los mecanismos de cooperación público-privada, por otra^{6,101,136,137} (Cuadro 5). Las instituciones, además de asistir al Gobierno en materia de ciberseguridad, se encargan de tareas de coordinación, colaboración y cooperación¹³⁶. Las autoridades competentes en materia de ciberseguridad de cada sector ejercen las funciones de promoción de las obligaciones, la vigilancia y la aplicación del régimen sancionador cuando procede. La puerta de entrada de las notificaciones de incidentes para organizar una respuesta oportuna son los CSIRT o CERT. España es el país europeo con más CERT¹⁸.

Recientemente se ha actualizado el Esquema Nacional de Seguridad (ENS2) en relación con la ciberseguridad¹⁴⁹ y, en las últimas décadas, el marco normativo no ha dejado de evolucionar¹⁶⁶. España cuenta con un Código de Derecho de la Ciberseguridad que recoge todas las regulaciones en la materia¹⁶⁷. A pesar de ello, desde el Foro Nacional de Ciberseguridad se señala la necesidad de que las autoridades públicas y el sector privado puedan compartir la visión y anticipación estratégicas en materia normativa¹⁶⁸. Son cuestiones necesarias para definir los debates y el posicionamiento en el ámbito nacional e internacional.

En cuanto a la percepción de la población, algunas estadísticas sobre confianza social en Internet o actitud ciudadana respecto a la ciberseguridad sitúan a España ligeramente por debajo de la media europea^19,169,170. En esta línea, datos de 2021 indican que alrededor del 40 % de usuarios ven difícil acceder a información para navegar de forma segura y el 80 % considera que la administración ha de implicarse más en mejorar la seguridad⁷. A pesar de ello, el compromiso con el desarrollo digital y de la ciberseguridad nacional ha sido positivamente valorado por distintos indicadores a nivel internacional^171,172. En concreto, se destacan como fortalezas el marco legislativo, las capacidades de desarrollo y la cooperación del sistema español⁵⁶.

Redes colaborativas y coordinación

La ciberseguridad requiere de una cultura común de estrecha colaboración y confianza internacional entre los gobiernos, pero también entre sus administraciones y con el sector privado^1,6,39. Este último sustenta buena parte de los servicios esenciales y es clave para afrontar los retos derivados de la digitalización y la implantación de nuevas tecnologías^{25,101,139,139,173–175}. Este aspecto también es señalado en un estudio de carácter prospectivo en España¹³⁹. A nivel europeo, se ha indicado que el desarrollo de servicios y productos conectados y resilientes requiere de una estrecha cooperación en relación con el mercado interno, el cumplimiento de la ley, la diplomacia y la defensa^25,39.

Un ataque puede propagarse hasta tener efectos a escala internacional, fuera del objetivo para el que se diseñó⁴⁸. Por ejemplo, el ransomware NotPetya lanzado contra Ucrania en 2017 afectó a infraestructuras críticas en todo el mundo^176,177. Por ello, la UE busca un marco común de ciberseguridad basado en la cooperación y coordinación tecnológica, normativa y de gobernanza, que asegure la coherencia y alineamiento de los Estados miembros en sus acciones y políticas de ciberseguridad^1,25. Entre otros mecanismos de respuesta ante ataques de gran escala, en particular, aquellos promovidos por estados, la UE cuenta con un conjunto de acciones de ciberdiplomacia (EU cyber diplomacy toolbox) destinada a la contención de conflictos entre actores-Estados¹⁷⁸. Es una cuestión especialmente crítica si se atiende al marco internacional.

El personal experto coincide en que la invasión rusa de Ucrania abarca un amplio rango de ciber-operaciones que contravienen el marco internacional^179,180. A nivel nacional, el conflicto ha sido considerado por el gobierno como una amenaza que requiere de un refuerzo de la ciberseguridad¹⁸¹. En los últimos años, además de las capacidades defensivas, los países, incluyendo el marco europeo^25,39, están desarrollando una ciberdefensa activa que puede habilitar capacidades ofensivas para actuar de forma disuasoria^40,182–185. Aunque los esfuerzos internacionales se centran principalmente en evitar el uso malicioso de las TIC (Cuadro 3), algunos trabajos señalan la necesidad de definir límites legales en torno al denominado ciber-armamento, como existe para otro tipo de armas (destrucción masiva, etc.) fuera del ciberespacio¹⁷⁷. Algún estudio reciente indica que los países (como EE. UU. o Reino Unido) no suelen responder con contundencia a los ataques protagonizados por actores-Estado¹⁸⁶. El riesgo derivado de hacerlo es complejo y muy difícil de cuantificar (atribución errónea, efectos imprevistos, escalada de acciones, etc.) y se recurre a actuaciones contenidas (atribución pública, sanciones económicas y/o diplomáticas entre otras) y de carácter diplomático¹⁷⁸.

Para reforzar la ciberinteligencia a nivel colectivo, es necesario compartir la información sobre las amenazas en el transcurso y después de un ataque, algo que requiere de la coordinación entre los distintos actores (organismos responsables, administraciones, infraestructuras, empresas, etc.) que intervienen tanto a nivel nacional como internacional^1,39,173,187. Además de fortalecer la transparencia, esto dificulta que las amenazas puedan migrar entre territorios (o instituciones, servicios esenciales, empresas, etc.) y permite la contención previa de las amenazas. Sin embargo, la conciencia colectiva de la UE y el tejido público y privado debe reforzarse en este sentido y conviene generar incentivos y mecanismos de confianza para ello^25,39. Por ejemplo, en algunos ámbitos, la voluntad de colaborar puede verse mermada por el daño reputacional que pueden causar los ataques¹⁸⁸. Desde la investigación, se trabaja en la mejora y potenciación de métodos para compartir la información de una forma segura, dinámica y privada^39,187,188.

De igual manera, el personal experto ha señalado la necesidad de mejorar la gestión de las vulnerabilidades para favorecer la transparencia y la cooperación. Es especialmente relevante en las de día cero Una vulnerabilidad que acaba de ser descubierta, normalmente tras el lanzamiento de un producto, programa o sistema operativo, y que aún no tiene un parche que la solucione, que son vendidas y compradas abiertamente en Internet¹. El desarrollo de políticas para la revelación coordinada de vulnerabilidades Procesos para la detección de vulnerabilidades por parte de grupos expertos que trabajan de forma coordinada y comparten la información con los responsables, proveedores o propietarios de las TIC analizadas a nivel europeo puede contribuir en esa dirección¹⁸⁹. Se trata de un procedimiento común en otros países (EE. UU., Francia, o Bélgica)¹⁸⁹ y que en España se encuentra en desarrollo¹⁸⁹ bajo un marco ya establecido¹⁹⁰. Además, España cuenta con algunos mecanismos para comunicar vulnerabilidades, incluyendo día-cero^191,192. El hacking ético Hacking que se pone en marcha a petición de clientes que solicitan el servicio para analizar la seguridad y vulnerabilidades de sus sistemas. Se imita a un atacante, pero excluyendo el ánimo malicioso, desarrollado normalmente por investigadores en ciberseguridad, puede favorecer la gestión de las vulnerabilidades^193,194. Cuenta con un tejido asociativo reconocido en España, pero no está regulado a nivel nacional¹⁹³ .

España cuenta con dos plataformas independientes para la distribución de la ciberinteligencia^195–197. Además, fomenta la cooperación y la coordinación interna e internacional⁶. Internamente, se han reforzado estos aspectos por ejemplo a través de la llamada Red Nacional de Centros de Operaciones de Ciberseguridad (SOC, por sus siglas en inglés)^160,162 o del Foro Nacional de Ciberseguridad (Cuadro 5). A escala internacional, se compromete con el desarrollo de un ciberespacio abierto,plural y seguro mediante la colaboración en foros, convenios, bases de datos y organismos internacionales y la cooperación bilateral^6,198–200.

Componentes de confianza: soberanía tecnológica y seguridad por diseño

Desde la comunidad científica se ha señalado la importancia del desarrollo de marcos regulatorios que consideren la seguridad y la privacidad de los productos, sistemas, etc., antes¹ y después de su comercialización^201,202. Europa se encuentra en un escenario de las TIC dominado por terceros países en inversión y patentes¹. Esto puede dificultar la utilización de tecnologías de confianza y con confianza²⁰³. Por ello, los principales actores en ciberseguridad¹³⁵ y la UE^39,76,204 consideran una cuestión central incrementar la soberanía tecnológica. En este sentido, fortalecer la capacidad e independencia tecnológica, desde un perspectiva técnica o regulatoria, puede fomentar colaboraciones más equitativas y complementarias con terceros países^76,114,204. Las redes de comunicación como el 5G y el desarrollo de software son dos ejemplos de tecnología en el centro de las TIC que ilustran esta situación.

El despliegue de la tecnología 5G requiere ajustes de ciberseguridad^205,206 y una mayor armonización de los criterios seguidos por los Estados miembros para ello⁶⁸. En línea con EE. UU., la UE ha señalado la posibilidad de limitar la participación de algunas compañías consideradas de riesgo debido a su relación con terceros países para limitar los riesgos asociados al proveedor/implementador^68,206. Así lo ha recogido la legislación española²⁰⁷. La UE también ha identificado la necesidad de un enfoque basado en la autonomía estratégica El concepto abarca el propósito de la UE por asumir una mayor responsabilidad sobre su propia seguridad, la reducción de relaciones de dependencia asimétricas en sectores críticos, y el refuerzo de sus capacidades para fijar e implementar su propia agenda y prioridades. Parte de la idea de un estado actual de cierta vulnerabilidad, dependencia y gradual pérdida de poder o soberanía en ciertas áreas para lograr una mayor resiliencia, relaciones simétricas de interdependencia y mayor poder o autonomía en el desarrollo tecnológico, entre otros campos, que atienda a la realidad geopolítica en que vivimos^208,209.

Aunque son muchos los retos en torno a la seguridad del software y el hardware²¹⁰, existe consenso sobre la necesidad de abordarla como un elemento central desde su propia concepción y desarrollo⁴. Se trata de la llamada seguridad por diseño y por defectoReferido a la privacidad o la seguridad. Consiste en implementar medidas técnicas y organizativas (procesos y formación del personal) desde el comienzo y en cada paso de las operaciones de procesado de datos o en el diseño y desarrollo de tecnologías para salvaguardar la privacidad y la seguridad de los datos y las personas y hacerlo por defecto, es decir, en todos los casos. Supone un cambio desde un modelo reactivo hacia uno proactivo en el que la seguridad o la privacidad no son un añadido sino parte del propio diseño y desarrollo, que ha de extrapolarse a todos los ámbitos de las TIC, ya sean dispositivos, sistemas o infraestructuras^1,211–213. Esta debe, además, considerar el ciclo de vida completo de la tecnología, adecuándose a posibles actualizaciones, cambios de entorno o desarrollos normativos²¹⁰. Recientemente la Unión Europea ha lanzado una iniciativa legislativa destinada a que de forma horizontal los productos con elementos digitales consideren la ciberseguridad desde su diseño²¹⁴. El empleo preferente de software y hardware de uso libre o fuente abierta²¹⁵ y la implementación de sistemas de certificación son otras medidas que pueden reforzar la seguridad y confianza en las TIC^1,4,216, aunque existen aún importantes disensos y retos en torno a estas cuestiones^{1,28,217–219}.

Certificación y cumplimiento

La certificación y la estandarización de la ciberseguridad puede considerarse la primera línea defensiva para mitigar las amenazas antes de la comercialización^1,4,220. Son procesos que mejoran la confianza y pueden referirse a productos (IoT, software, etc.), servicios (como el almacenamiento y computación en la nube), procesos (aspectos administrativos y de gestión entre otros), sistemas, entidades o empresas e, incluso, conocimientos (personas)^149,221. Algunos datos del sector privado sugieren que las empresas que carecen de certificaciones sufren un porcentaje mayor de ciberincidentes²²².

Por todo lo señalado, constituye una cuestión estratégica y de liderazgo internacional para la UE^39,114,223, también considerada un aspecto clave por el resto de actores¹³⁵. Sin embargo, su complejidad, debida a la constante evolución tecnológica (actualizaciones, etc.) y de las propias amenazas, no permite la implantación de marcos estáticos, fijos, como en otros sectores. La UE trabaja en la creación de un marco común para la estandarización y certificación^4,127,224 que reduzca la fragmentación actual^219,225, los costes y el tiempo de certificación a las empresas de productos y servicios basados en las TIC. Esta cuestión ya se ha desarrollado tanto para los servicios en la nube²²⁶ como el despliegue 5G²²⁷ y seguirá avanzando hacia otros dominios. Respecto a los consumidores, los actores involucrados y el personal experto han planteado la posibilidad de implantar un sistema de etiquetado^{1,217,224,228}, similar al energético. El objetivo es permitir a los usuarios reconocer fácilmente el nivel de seguridad de los productos.

A pesar de todo ello, existen importantes desafíos que requieren de avances en este campo^{1,135,217,219,225,229}. Destacan los asociados a la competitividad, basados en la relación coste-beneficio y tiempo del proceso de certificación o los asociados al tipo y nivel de certificación, que puede ir desde autodeclaración voluntaria a procesos de certificación obligatorios y dependientes de un agente externo. También hay que señalar aspectos vinculados a la gobernanza, es decir, quién certifica, y a la necesidad de actualizaciones durante el ciclo de vida o la certificación de componentes (cada una de las partes de los productos y sistemas) en las cadenas de suministro. La UE, a través de la Ley de Resiliencia, actualmente en desarrollo, pretende establecer unos estándares comunes de ciberseguridad en los productos de software y hardware que se comercializan, enfocándose, en particular en los dispositivos utilizados en aplicaciones críticas e IoT^127,230,231. Actualmente, en España los organismos públicos o las empresas que dan servicios a estos y se encuentran bajo el alcance del Esquema Nacional de Seguridad, cuentan con el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) que disponen de garantías de seguridad contrastadas²³².

Un aspecto igualmente importante para generar confianza en las TIC se refiere al cumplimiento de los criterios de seguridad²³³. Una empresa podría comprometerse a generar parches de seguridad para un dispositivo IoT durante meses, años o no hacerlo. Por tanto, puede resultar beneficioso delimitar la responsabilidad de la ciberseguridad de los actores involucrados, incluso después de la comercialización de un producto^1,12,234,235. Para estimular estos procesos, parte de la comunidad científica señala que es necesario implementar sistemas de control e incentivos que favorezcan las buenas prácticas¹ y promuevan la ciberseguridad como una inversión y no solo como un gasto²³⁶.

Las personas en el centro de la ciberseguridad.

Cibercultura y formación

Se estima que el 95 % de los ciberincidentes se pueden vincular a un error humano8, bien por desconocimiento o por desinterés. De forma generalizada, se ha señalado el bajo nivel de conocimientos de las personas como un factor que debilita la ciberseguridad de los Estados²³⁷. La ciudadanía y la sociedad civil son corresponsables de la ciberseguridad nacional²³⁸, por lo que la concienciación y la formación son esenciales para avanzar hacia un ecosistema más resiliente⁴. Estudios recientes han señalado cierto nivel de desconexión entre las numerosas iniciativas dirigidas a la concienciación, así como de desconocimiento por parte de la población²³⁸. Alrededor del 50 % de la población desconoce las principales campañas en materia de ciberseguridad y la misma proporción considera que necesitan formación en dicho ámbito⁷.

La evidencia científica señala que las actividades y programas de concienciación no siempre son efectivas^239,240. Así, para reforzar el nivel de ciberhigiene Medidas rutinarias respecto al uso de las TIC para mantenernos protegidos de las amenazas y riesgos que existen en el ciberespacio y la cultura de la ciberseguridad, conviene desarrollar programas basados en problemáticas específicas, dirigidos a audiencias concretas²⁴¹ y apoyados en evidencias científicas sobre cambio de comportamiento^240,242,243. Igualmente, es necesario implementar métricas que evalúen la efectividad de las acciones que se desarrollan para poder avanzar²³⁸. Desde el Foro Nacional de Ciberseguridad se hace hincapié en la necesidad de evolucionar de la concienciación al compromiso y a promover la capacitación en ciberseguridad adecuada a la demanda del mercado²²¹.

En España, el CCN y el INCIBE llevan a cabo programas de concienciación y formación tanto generales como sectoriales^244–247, incluyendo sectores vulnerables como la infancia o mayores de 60 años^17,248,249. También desarrollan o participan en programas para el fomento de la cibercultura y la captación de talento, como CyberCamp, la plataforma ATENEA o el programa Talento Hacker, entre otras^250–252. Sin embargo, existe un déficit de profesionales cualificados en este terreno^22,253,254 que en España se ha estimado en torno a los 24.000 trabajadores en 2021²². Este déficit limita la productividad y es más notorio en contextos con mayor dificultad para acceder a la ciberseguridad como las pymes^99,255.

Aunque España cuenta con iniciativas orientadas a acercar la ciberseguridad a las pymes²⁵⁶. El personal experto ha señalado que puede ser útil que sean las entidades u organismos cercanos al tejido de estas empresas, como pueden ser las asociaciones empresariales y sectoriales, quienes faciliten y canalicen este acceso, atendiendo a la gran diversidad del sector²²¹. Además de una cuestión de seguridad, lo es de competencia. Aquellas empresas intervengan en la cadena de suministros de entidades críticas o en licitaciones para la prestación de servicios a las administraciones públicas se verán afectadas por regulaciones que ya están en camino^121,127, lo que puede modificar los requisitos para el desarrollo de esas actividades limitando el acceso a las mismas.

Por otro lado, los datos muestran una importante brecha de género en el sector tecnológico, concretamente, en ciberseguridad^22,257,258. A escala nacional el 18 % de las personas que se especializan en este campo son mujeres²² y, a nivel internacional, el 24 %²⁵⁹. Se ha señalado que, en ocasiones, la tecnología incorpora y perpetúa las desigualdades estructurales, como las de género, orientación sexual, etc. presentes en la sociedad^257,260,261. Fomentar medidas (regulatorias, incentivos económicos, formación de talento, etc.) destinadas a reducir la brecha y aumentar la diversidad desde fases tempranas puede abordarse como una oportunidad²² para el sector y un medio para anclar el principio de igualdad en torno a la ciberseguridad^{258,260,262–264}.

En lo relativo a la formación, existen recomendaciones para la inclusión de la ciberseguridad en las diferentes etapas no universitarias del sistema educativo y la formación profesional^238,253. Esto ya ocurre en otros países de nuestro entorno^253,254,262. Los datos indican que la proporción de ciberespecialistas aumenta y que la oferta académica universitaria265, cada vez más armonizada a nivel europeo²⁶⁶, está consolidada y bien desarrollada en España^255,267. Sin embargo, existen dificultades para atraer y retener el talento. Por ello, los trabajos en torno a esta cuestión señalan que conviene mejorar los incentivos, especialmente, en el contexto público, incluyendo a los Cuerpos de Seguridad²⁶⁸ y el sector investigador²². Además, conviene señalar que, a nivel internacional, el desarrollo de nuevas capacidades se está vinculando con la creación de centros y perfiles multidisciplinares que aborden de forma transversal la ciberseguridad^{132,135,269–271}.

Ciberderechos

El derecho a hacer un uso libre y fiable del ciberespacio, a utilizar y consumir tecnología y dispositivos con garantías de seguridad y contribuir a que así sea, es una responsabilidad compartida⁶. De hecho, parte del personal experto a nivel internacional lo vincula con los derechos fundamentales²⁷² y lo conectan, directa o indirectamente, con el respeto de los Derechos Humanos por parte de los Estados u otros actores²⁷³. Parte del personal experto ha señalado que la ciberseguridad, o algunas partes de ella, pueden considerarse como un bien público, aunque existen distintas visiones al respecto²⁷⁴. En España el Gobierno aprobó en 2021 la Carta de Derechos Digitales, un marco de referencia de naturaleza no normativa orientado a garantizar y reforzar los derechos de las personas en el mundo digital. Compila los derechos recogidos separadamente en normativas y reglamentos previos y recoge el derecho a la ciberseguridad en su sección IV²⁷⁵.

La forma en que se aplica la ciberseguridad puede colisionar con valores éticos fundamentales si no es bien gestionada^276,277: la seguridad, dirigida a la protección social y de la persona; la privacidad, asociada a la dignidad humana, el control de los datos y el secreto de las comunicaciones electrónicas; la justicia, ligada a la igualdad, la equidad y la defensa de las libertades civiles en el ciberespacio; y la rendición de cuentas. Desde la comunidad científica se ha destacado la importancia de que las cuestiones éticas planteadas se incorporen y concreten en la legislación de los entornos digitales y no se traten como cuestiones complementarias fuera del ámbito legal^278,279.

El denominado abuso o maltrato tecnológico agrupa distintas formas en las que la tecnología, como el IoT^280,281, se explota para acosar, hostigar o controlar a las personas^280,282. En concreto, mujeres y niñas constituyen grupos vulnerables más propensos a recibir este tipo de ataques^261,264. Incluye el ciberacoso, el ciberhostigamiento, ciberespionaje, la violación de la intimidad o la intimidación física o verbal y un largo etcétera.^261,264. El Parlamento Europeo reconoce la ciberviolencia de género como una extensión de la violencia de género con importantes efectos negativos²⁶¹. Aunque existen algunos estudios que profundizan en estos aspectos^{257,264,280–282}, destaca la falta de datos sobre esta cuestión y sobre la situación de otros grupos vulnerables²⁶¹.

Hacia un ecosistema tecnológico más seguro

Los avances en investigación pueden permitir el desarrollo de tecnologías orientadas a reforzar la ciberseguridad, ya sean nuevas herramientas, como algunas tecnologías disruptivas, o mejoras de las existentes.

Avances tecnológicos: dispositivos y sistemas más seguros

La privacidad y seguridad de los sistemas pasa por la de cada uno de sus componentes. El elemento más vulnerable o débil de un sistema determina el nivel de seguridad del sistema en su conjunto (cadena de suministro, sistemas basados en las TIC, red de comunicaciones, dispositivo, sistema operativo, etc.). Así, cualquier elemento puede constituir la vía de entrada que afecte a todo el conjunto interconectado. En cuanto a las causas que limitan la ciberseguridad, de forma generalizada, se pueden destacar la falta de incentivos económicos y competitivos para la mejora de dispositivos u otros productos y servicios (ya que, entre otros, los usuarios valoran más otras características frente a un refuerzo de seguridad), la fragmentación de los estándares de fabricación, desarrollo o implementación y el uso inapropiado de los dispositivos o sistemas, entre otras⁸³.

En el caso del IoT, las causas tienen que ver con su baja capacidad de computación y al ajustado margen costebeneficio con el que se fabrican, entre otras^47,283. También destaca la falta de una configuración segura por defecto y de mecanismos accesibles para su verificación y modificación64,201. El IoT se considera actualmente uno de los dominios de investigación más activos^47,61,284 (Cuadro 6). En relación a los dispositivos personales, como los teléfonos móviles, especialmente sensibles para la privacidad, destaca la heterogeneidad de su composición y la falta de mayores controles de seguridad y privacidad^83,285. Ambos aspectos atañen tanto al hardware como al software, incluyendo aplicaciones preinstaladas o que instala el usuario.

Otro aspecto a tener en cuenta es la computación en la nube, que se apoya en la creación de nodos intermedios ubicados más cerca de los puntos donde se generan los datos, como en los rúters o las infraestructuras de comunicación. Estos se suman a los grandes sistemas centrales de procesamiento y almacenamiento y permiten que la información no tenga que viajar hasta la nube, pudiendo reducir el tiempo de respuesta o latencia²⁹⁶. Es la llamada computación en el bordeSe refiere al procesamiento, análisis y almacenamiento de los datos más cerca de donde se generan para permitir análisis y respuestas más rápidos, casi en tiempo real. Incluye las técnicas conocidas como fog y edge computing, configurando así la conocida como computación en continuo IoT-borde-nube²⁹⁷. Aunque esta tecnología ofrece nuevas oportunidades para reforzar la privacidad y seguridad^284,298, supone también un considerable aumento de las posibilidades y puntos de ataque. La nube requiere tanto de avances técnicos en torno a la seguridad y privacidad, como de carácter social y legal. Entre estos destacan aspectos ligados a la responsabilidad compartida en el contexto clienteservicio, la seguridad y el control sobre los datos e, incluso, responsabilidades medioambientales derivadas de la distribución de los nodos y servidores y su sostenibilidad energética (computación verde)^12,299–304.

Privacidad y seguridad de los datos

La privacidad se configura como un derecho y un valor democrático esencial^305,306. Tanto es así que la Constitución Española señala su protección frente a las TIC³⁰⁷. Su relación principal con la ciberseguridad es a través del papel de esta para garantizar la confidencialidad, integridad y disponibilidad de los datos¹, aspectos esenciales para que pueda haber privacidad. La comunidad científica señala que no existe una dicotomía entre seguridad y privacidad³⁰⁸, al contrario, la seguridad es un prerrequisito para la privacidad y viceversa. Cuando los datos se usan de forma más abierta, se recurre a técnicas como la anonimización y pseudo-anonimización o la privacidad diferencial de los datos, entre otras, que aseguren su privacidad, aunque limiten su grado de detalle^75,309,310. Sin embargo, no hay una solución universal que permita compartir los datos con la privacidad deseada y a la vez un alto nivel de detalle para extraer de los mismos toda la información (utilidad) deseada por todos los actores potencialmente interesados⁷⁵.

El escaso control sobre los datos y su comercialización, la falta de protección o el poder derivado de su acumulación y utilización, afectan a la privacidad. Estos pueden tener severas consecuencias para la población, que van más allá de la influencia sobre las preferencias o el comportamiento individual. Por ejemplo, pueden propiciar la interferencia en procesos democráticos, poner en riesgo las oportunidades (ante un empleo, entre otros muchos casos), la dignidad o incluso la integridad y salud mental de las personas^311–313. La relevancia de estos aspectos queda muy patente en los entornos más sensibles para la privacidad, como el sanitario^314–316.

Aunque existen muchas opciones para proteger la privacidad^73,305, buena parte de la investigación se centra en las técnicas avanzadas para la mejora de la privacidad Conjunto de tecnologías orientadas a mantener la privacidad y seguridad de los datos. Existe una gran variedad incluyendo técnicas criptográficas y de anonimización, de aprendizaje federado o pruebas de conocimiento entre otras muchas (PET, por sus siglas en inglés)^73,317–321, en las cuales aún hay mucho margen de mejora³²². En esta línea, se impulsa el desarrollo de la criptografía Campo de estudio que se encarga del cifrado y codificación de información mediante operaciones matemáticas (algoritmos) para evitar su lectura e interpretación en caso de que esta sea interceptada. y de nuevos sistemas de autenticación continua y biométricos Se basa en la autenticación continua (en tiempo real) de la identidad de un usuario usando rasgos biométricos o de comportamiento que, a su vez, conllevan retos específicos^28,72,323. Otro frente de investigación lo constituye la protección personalizada de la privacidad^{28,298,317,322} y el desarrollo de mecanismos para delegarla en el usuario de forma entendible^298,317, persiguiendo así que cada sistema que maneja datos personales también recoja las preferencias del sujeto que los ha generado. Asimismo, los avances en el análisis forense digital son clave para mejorar los sistemas³¹⁵.

Existe consenso en torno a la necesidad de avanzar en la identificación y recolección de solo aquellos datos que son necesarios, así como en su almacenamiento, acceso, transferencia, procesamiento y eliminación segura^34,72,73. Además, la confidencialidad y privacidad de los datos han de conservarse en todo su ciclo de vida (desde su origen hasta su destrucción)³⁰⁵. La UE3^24,325 aborda estos desafíos desde una perspectiva global, basada en la privacidad por diseño y por defecto³⁰⁵, en un espacio europeo común para su gestión³²⁶ y explotación económica^325,327. En España se incorpora esta visión de la privacidad³²⁸.

La identidad digital

La identidad digital es el conjunto de la información sobre una persona física o jurídica expuesta en Internet (datos, imágenes, registros, noticias, comentarios, etc.) que conforma una descripción de dicha persona en el plano digital o ciberespacio³²⁹. Conviene distinguir la identidad de la reputación en línea. Esta última se refiere, sobre todo, a lo que se dice de alguien en la red, no a quién es. 

La identidad digital permite el reconocimiento y actuación de los individuos, las corporaciones o los poderes públicos en Internet. En el entorno corporativo, este concepto se vincula habitualmente con el control de acceso, las estrategias de concesión de privilegios, como la de confianza ceroTambién denominado zero trust, por su nombre en inglés. Es un modelo de seguridad actual de las Tecnologías de la Información que descarta la idea de una red interna “confiable” y una red externa “no confiable”. Asume por defecto que ningún actor es confiable, acceda desde dentro o fuera del perímetro de la red. Por ello requiere una verificación de la identidad estricta y una asignación de privilegios indispensables o mínimos y bien definidos para cada persona o dispositivo que acceda a los recursos de una red, a un sistema dado^329,330. Si bien son cuestiones muy relevantes para la ciberseguridad, el concepto tiene mucho más alcance³³¹. Por un lado, se compone de lo que los usuarios hacen en la red a través de, normalmente, múltiples cuentas de distintos servicios y redes sociales^28,332,333. Por otro, también abarca la identidad legal de las personas físicas o jurídicas en el ciberespacio. Por ello, es necesario alcanzar sistemas que garanticen una identidad digital fiable y verificable, que además protejan los derechos (privacidad, seguridad, etc.) de quien los usa^322,329,334.

La UE apuesta por el desarrollo de una identidad digital interoperable entre países y sectores (poderes públicos, sanidad, banca, energía, servicios digitales, educación, etc.) mediante una cartera o wallet digital portable en dispositivos móviles^123,335. Esta podrá recoger información (edad, identidad, titulaciones, salud, etc.) de los ciudadanos, residentes y negocios, para certificar su identidad, permitiendo controlar la información personal que comparten.

El desarrollo seguro de la identidad digital puede generar beneficios para un país y facilitar, como en el caso de Estonia, el acceso a servicios públicos de salud, banca o voto electrónico³³⁶. Por el contrario, una mala gestión puede suponer problemas de robo de identidad y suplantación con graves consecuencias económicas y sociales. Además, no son pocos los retos tecnológicos, jurídicos, administrativos y éticos que plantea su desarrollo^{329,334,337–340}.

Por último, es importante destacar también la necesidad de desarrollar sistemas de identidad digital segura y confiable para los propios dispositivos IoT^341,342 ya que muchos de ellos son capaces de comunicarse de forma autónoma con otros dispositivos (comunicaciones de máquina a máquina).

Disrupción e investigación

La implantación de algunas tecnologías conlleva rediseñar los marcos regulatorios, de gobernanza, tecnológicos, comerciales o industriales^343–345. Esta disrupción se basa en su capacidad de modificar las reglas del juego aplicadas en esos marcos. Existen diversas tecnologías, en distintos grados de desarrollo y aplicación, que por su potencial para rediseñar y ofrecer nuevos servicios, reforzar o, incluso, poner en peligro la ciberseguridad, han sido señaladas como disruptivas¹.

Algunas tecnologías ya presentan cierto grado de implantación, a la vez que siguen desarrollando todo su potencial, como la inteligencia artificial³⁴⁶. Otras, como la computación cuántica o el internet cuánticoRed futura de comunicación y computación cuánticas, en la que se intercambiará información de manera totalmente segura a través de bits cuánticos (qubits) entre diferentes nodos de la red, que a su vez se compondrán de procesadores o sensores cuánticos capaces de realizar mediciones o computar sin parangón clásico. Esto permitirá la resolución de problemas muchos más complejos que los actuales. Se proyecta que la red sea escalable a nivel global a través de los repetidores cuánticos, que utilizando el entrelazamiento cuántico serán capaces de mandar información sin límite en distancia. Dada la complejidad de las tecnologías que aún precisa desarrollar, constituye un objetivo a largo plazo, basados en ordenadores y tecnología que opera en base a la física cuántica, se encuentran en fases incipientes^347,348. Además, existen tecnologías desarrolladas pero cuya implementación y utilidad real aún están bajo debate, como las tecnologías de registro distribuidoSe trata de un sistema electrónico o base de datos gestionada por diversos participantes (por ejemplo, inclusión de información como transacciones económicas, stocks, etc.) de forma descentralizada (no existe una autoridad, como un banco, que ejerza de validador). El blockchain es el tipo de DLT más popular y que más atención acapara (DLT, de sus siglas en inglés) y en concreto, una de ellas, la blockchain^349–356. Aunque esta es la que más atención acapara³⁵⁷, posiblemente debido a su vinculación con las criptodivisas, existen importantes disensos en torno a ella (Cuadro 7).

Inteligencia Artificial (IA)

La IA y otras técnicas estadísticas para el análisis de datos incorporan a la ciberseguridad nuevos métodos avanzados para la detección y predicción de amenazas y la mejora de la resiliencia^{292,371–374.} Mediante el análisis del flujo de datos de un sistema, la IA puede detectar patrones anómalos o asociados a algún tipo de ataque, e incluso, proponer mecanismos optimizados de repuesta. Existe consenso en torno a la necesidad de mejorar estas aplicaciones para alcanzar todo el potencial de esta tecnología que puede marcar la evolución de la ciberseguridad^374–376. A la vez, también es necesario mitigar los riesgos asociados a la IA que pueden hacer más inseguro el ciberespacio³⁷⁷. Esta plantea retos tecnológicos, éticos y regulatorios que hay que abordar para una implantación segura. La UE los afronta a través de su propia estrategia y el desarrollo legislativo^126,316,378.

La IA abre la puerta a nuevos tipos de ataques^374,376,379. Por un lado, los datos y los mecanismos en base a los que actúa pueden ser modificados malintencionadamente para una toma de decisión equivocada. Por otro, existen retos inherentes a la propia tecnología^{375,376,380–383}. Entre ellos, destaca el desarrollo y uso de sistemas que cumplan con mejores criterios de seguridad, confianza, privacidad y explicabilidad. También hace falta reforzar la integridad y privacidad de los datos y las cuestiones éticas que implica su utilización.

Nuevas líneas de trabajo como el aprendizaje federado Es una técnica de inteligencia artificial que favorece la privacidad y seguridad de los datos al trabajar simultáneamente con varios dispositivos (las técnicas clásicas son centralizadas) los cuales contienen sus propios datos locales y privados o la inteligencia de enjambre Es una rama de la Inteligencia artificial que se basa en el comportamiento colectivo de sistemas descentralizados y autoorganizados naturales (como un enjambre de abejas) o artificiales (un conjunto de dispositivos).  pueden mejorar la privacidad de los datos que se usan y comparten en la IA^384,385. Además, la combinación de esta tecnología con otras como la computación cuántica (aprendizaje cuántico) abren el futuro a nuevas formas de ciberseguridad y de manejo de la información³⁸⁶.

Tecnologías cuánticas

La computación cuántica abre la puerta a avances significativos en multitud de campos^66,348. Aunque algunas previsiones establecen un margen de 10 años para su implantación³⁸⁷, no todo el mundo comparte el optimismo acerca de esta tecnología y se apunta la necesidad de más evidencias sobre su potencial y desarrollo³⁸⁸. Aún existen importantes retos, como la escalabilidad o la reducción del índice de errores entre otros^348,389.

Según la evidencia científica, su potencial disruptivo en ciberseguridad se basa en que los ordenadores cuánticos serán capaces de romper buena parte de los sistemas de cifrado (criptografía) que protegen las comunicaciones y datos en la actualidad^347,387. Así, los esfuerzos para gestionar la disrupción que supone se centran en el desarrollo de la criptografía postcuántica y cuántica^{72,347,390–393}. La primera consiste en el desarrollo de algoritmos para cifrar la información que puedan resistir ataques tanto de ordenadores convencionales como cuánticos y que se puedan integrar directamente en las redes de comunicación convencionales^72,347,390. No obstante, nadie puede asegurar que, en el futuro, no se descubra alguna vulnerabilidad en los algoritmos o se invente algún método de ataque novedoso que les pueda afectar. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIS, por sus siglas en inglés) ha llevado a cabo un proceso a nivel mundial para el desarrollo y selección de estos algoritmos que ha culminado recientemente, de forma que existen varias opciones en caso de que alguno falle.

Por su parte, la criptografía cuántica se basa en el uso de la mecánica cuántica para transmitir de forma confidencial la información y requiere de un importante desarrollo y despliegue de tecnología previa (canales cuánticos basados en infraestructura satelital y terrestre por fibra óptica)^72,393,394. A través de la distribución cuántica de clave (QKD, de sus siglas en inglés) es posible intercambiar claves de cifrado con seguridad incondicional, es decir, no condicionada a la capacidad computacional de un adversario⁷². Por tanto, resistiría cualquier tipo de ataque de un ordenador cuántico (conocidos o no). Se trata de una garantía importante para información sensible que debe ser garantizada a largo plazo, como aquella relativa a seguridad nacional, comunicaciones gubernamentales, secretos industriales o información médica o personal de la ciudadanía.

La comunicación cuántica es una tecnología crítica a nivel global con importantes implicaciones estratégicas de futuro³⁸⁸. Su desarrollo práctico e implantación son más cercanos que los de la computación cuántica y por ello, la Infraestructura de Comunicación Cuántica (EuroQCI) de la UE pretende desplegar su propia red de comunicaciones cuántica en los próximos 10 años. De acuerdo con el principio de soberanía tecnológica, esta debe basarse en tecnología desarrollada por cada Estado miembro³⁹⁵. España anunció recientemente la inversión de 54 millones de euros en el Plan Complementario de Comunicaciones Cuánticas³⁹⁶, pero existen notables diferencias respecto a las estrategias y estimación de inversión de algunos países de nuestro entorno^388,397.

Disrupción segura

Junto con un adecuado marco regulatorio y de gobernanza, la investigación en ciberseguridad es clave para alcanzar cierto nivel de autonomía sobre las tecnologías, que permita minimizar los posibles impactos negativos de su desarrollo e implantación,^344,345. Además, conviene recordar que los propios centros de investigación y universidades son objetivo de los distintos actores que protagonizan las ciberamenazas^398,399. El desarrollo de la ciberseguridad requiere de disciplinas tecnológicas y sociales. Además, se ha identificado la necesidad de reducir la fragmentación del ecosistema de I+D+I que existe en la actualidad tanto a escala europea^25,400 como nacional²²¹, y generar incentivos para retener el talento^22,401 y favorecer su distribución entre el sector público y privado³⁸².

Por todo ello, es conveniente mejorar la coordinación y cooperación de los esfuerzos en investigación pública, así como el nivel de conexión y transferencia entre los sectores académico, empresarial e industrial y los Cuerpos y Fuerzas de Seguridad del Estado²²¹. Asimismo, el desarrollo científico de la ciberseguridad debe incluir una perspectiva ética, como ocurre en otras ramas científicas⁴⁰². En España, la información disponible señala que hay que reforzar el nivel de financiación y los incentivos para la inversión en el desarrollo tecnológico²²¹. Además, es previsible que una sociedad bien formada y conocedora de sus derechos demande servicios y tecnologías seguras. Esta concienciación puede actuar como incentivo en la industria para reforzar la seguridad de los servicios o productos²³⁶.

En definitiva, la ciberseguridad constituye una herramienta esencial para garantizar el bienestar y progreso de la sociedad.