En un mundo cada vez más interconectado, donde las fronteras físicas se desdibujan ante la omnipresencia de lo digital, la seguridad ha adquirido una nueva dimensión, una que desafía los límites tradicionales de la guerra y la protección nacional. La ciberseguridad, las amenazas híbridas y la desinformación han dejado de ser conceptos futuristas para erigirse como la amenaza primordial a la estabilidad global y nacional, un punto de convergencia entre tecnología, geopolítica y sociedad. La reciente mesa redonda celebrada en el marco del I Encuentro de la Industria de Defensa Española, bajo la moderación de Jaume Sagalés de Merca2.es, sirvió como un foro esencial para desentrañar la complejidad de este nuevo panorama, contando con la participación de figuras clave del ámbito militar, académico y empresarial.
Este encuentro puso de manifiesto hasta qué punto el ciberespacio se ha transformado en un verdadero «arma, eh, de las más peligrosas», como se mencionó al inicio del debate. Ya no se trata únicamente de proteger información o sistemas, sino de entender la digitalización como un «rearrme de los dominios digitales frente a los dominios físicos». Los ponentes, incluyendo a Enrique Pérez de Tena del Mando Conjunto del Ciberespacio, Santiago Torres Alegre de la Universidad Europea de Madrid, Carlos Hernández Méndez de Lenovo y Alberto Martín de los Santos de Inetum, abordaron la cuestión con la urgencia que el contexto exige, trazando un mapa de vulnerabilidades y estrategias de defensa que afectan tanto a un carro de combate de última generación como al dispositivo más sencillo en manos de un ciudadano.
CIBERDEFENSA Y AMENAZAS DE ESTADO
Desde la perspectiva militar, representada por el Mando Conjunto del Ciberespacio (MCCE), la ciberseguridad se convierte en ciberdefensa. Enrique Pérez de Tena enfatizó que la amenaza es real y constante, con naciones como Rusia, Corea del Norte, Irán y China siendo identificadas como las fuentes principales de ciberataques contra sistemas españoles. La naturaleza de estos ataques varía, pero el objetivo final se centra en la obtención de información sensible. Como explicó Pérez de Tena con un ejemplo cotidiano, la búsqueda de información puede ser tan simple, pero estratégicamente vital, como que «cualquier actor que tenga un dilema, un país que tenga un dilema y no sepa si fabricar botijos o abanicos, va a intentar entrar en nuestros sistemas para poder entender si España va a invertir en botijos y entonces ese país invertirá en abanicos». Este tipo de espionaje industrial o estratégico es solo una faceta; para el resto de la sociedad, la motivación se resume con una franqueza rotunda: «pasta, dinero, así de sencillo».
No obstante, la ciberdefensa va más allá de la mera protección. El representante del MCCE confirmó un punto crucial y a menudo desconocido: la capacidad de respuesta ofensiva de España. El Mando Conjunto del Ciberespacio es «la única organización que legalmente tiene permiso para matar, como 007», es decir, la única entidad que puede ejecutar acciones de ataque cuando se les ordena, ya sea como «defensa de un ataque previo o a veces también atacamos sin buscando algo». Esta capacidad coloca a España en una posición de fortaleza reconocida a nivel internacional, una de las «fortalezas más potentes en este aspecto,» incluso con proyectos que «ningún otro país lo tiene» y que se están compartiendo con la Unión Europea y la OTAN. Esta inversión no se percibe como sustitutiva de la defensa tradicional, sino como una garantía, puesto que «hoy todo tiene unos y ceros» y de nada sirve tener «el último avión de generación cinco o de generación seis» si el sistema que lo controla está comprometido.
EL DESAFÍO REGULATORIO: ENS Y LA URGENCIA DE LA NIS 2
En el ámbito de la regulación pública, el Esquema Nacional de Seguridad (ENS) en España ha sido un pilar fundamental. Santiago Torres Alegre, desde la óptica académica, explicó que el ENS es una norma dedicada a las administraciones públicas, estableciendo «una serie de requisitos y obligaciones» para catalogar activos y desarrollar «medidas adecuadas de protección en materia de ciberseguridad» para la prestación de servicios digitales.
Sin embargo, el marco regulatorio se enfrenta a una inminente y necesaria evolución con la transposición de la directiva europea NIS 2 (Security of Network and Information Systems Directive 2). Esta directiva plantea un desafío de armonización a nivel europeo y un cambio drástico en la asunción de responsabilidades. Como bien señaló Enrique Pérez de Tena, la NIS 2 «apunta a una figura que hasta ahora dentro de una empresa hasta ahora eh eh estaba por encima de la ley y es el CEO». Con esta nueva normativa, el responsable legal será el CEO, lo que obliga a la alta dirección a «ponerse las pilas» y comprender que la ciberseguridad no es una cuestión técnica relegada, sino una preocupación estratégica vital que supera su comprensión tradicional, especialmente porque «los señores que tienen o las señoras que tienen el poder de decisión no comprenden y que se llama ciberespacio».
Desde el sector privado, Alberto Martín de Inetum destacó la complejidad de operar en un entorno europeo donde la regulación no es homogénea. La falta de una transposición de la NIS 2 en España en el plazo adecuado obliga a navegar en «aguas complicadas» y a encomendarse al cumplimiento del ENS a nivel alto, mientras que otros países ya exigen el cumplimiento de sus marcos transposiciones. No obstante, existe un consenso en que la NIS 2 «va a ser bueno» porque obligará a la cúpula empresarial a «involucrarse en materia de ciberseguridad», transformando la percepción de que esta es un «mero gasto» para entenderla como un componente que «acompaña siempre al negocio y a las operaciones».
RESPUESTA INDUSTRIAL: CONFIANZA, TRAZABILIDAD Y EL SILICIO
La industria tecnológica juega un papel indispensable, integrando la seguridad desde la base misma de la infraestructura. Carlos Hernández Méndez de Lenovo explicó que para ellos, la ciberseguridad «no es un producto relegado únicamente a la capa de software, sino que es un pilar transversal que va desde el silicio hasta la capa de software, pasando también por la cadena de suministro«. El concepto fundamental que rige su enfoque es la «confianza», la cual debe ser «trazable y verificable». Esto implica diseñar soluciones, desde la telefonía y los PCs hasta los servidores y el data center, bajo la premisa de la seguridad en el hardware o «silicio».
La trazabilidad de los equipos, desde la fábrica hasta el destino, es crucial, pero esta confianza debe extenderse a los proveedores de componentes. Hernández Méndez detalló que se realizan procesos de «audit de auditoría precisamente a terceros que deben de cumplir con una serie de protocolos» para asegurar que la cadena de suministro está libre de vulnerabilidades desde su origen. Además, la «franqueza» se convierte en un valor empresarial. Enrique Pérez de Tena complementó esta idea al afirmar que si una empresa detecta un problema, debe «comunicarlo rápidamente para que a nivel software se pueda parchear y evitar que el cliente tenga problemas», pues esconder las fallas es un «error» que socava la confianza.
Por su parte, Alberto Martín de Inetum, cuya unidad de ciberseguridad cuenta con más de 20 años de experiencia, confirmó que uno de los principales problemas que observan desde su Centro de Operaciones de Ciberseguridad (SOC), integrado en la red nacional impulsada por el Centro Criptológico Nacional (CCN), es el aumento de la denegación de servicio (DDoS). Este es el «principal ataque que utilizan los ciberactivistas o ciberdelincuentes» para penalizar a administraciones públicas e infraestructuras críticas, siendo estos ataques sensibles a los «picos tremendos» que coinciden con «el momento político en el que estemos» o eventos como elecciones. La casuística en el sector público es «muy variada», desde incidentes en grandes hospitales (con el riesgo de secuestro y rescate de datos) hasta la policía local, lo que exige una constante colaboración y aprendizaje mutuo entre el sector público y el privado.
EL PODER DE LA INTELIGENCIA ARTIFICIAL
La colaboración público-privada se considera una necesidad imperante, no un tópico. Santiago Torres Alegre destacó que, al ser un tema tecnológico «complicado», la colaboración es vital, y la universidad tiene el rol de impartir no solo conocimiento técnico, sino también de «intentar crear en nuestros alumnos cierto empuje empresarial». El perfil del futuro profesional de la ciberseguridad requiere estar preparado en «competencias de tipo test de estrés intelectual», donde se les exija la capacidad de resolver problemas complejos, combinando tanto las soft skills como las hard skills. Carlos Hernández Méndez reiteró que esta colaboración es un «paradigma más transversal», donde se trabaja en un «marco de colaboración» para demostrar la confianza, lo que se consigue «a nivel global cumpliendo pues con todas las normativas internacionales, con todas las normativas europeas, con todas las normativas locales».
En la vanguardia tecnológica, la Inteligencia Artificial (IA) ha emergido como una fuerza disruptiva en la ciberseguridad. Carlos Hernández Méndez explicó que la IA marca un salto evolutivo en la defensa. Tradicionalmente, la ciberseguridad se basaba en una «comparativa de patrones», registrando un ataque y comparándolo con el que se está recibiendo. La IA, en cambio, busca la identificación por «patrones diferentes de comportamiento no perfectamente reglados», logrando «intentar anticipar que se está produciendo un ciberataque hasta el punto de que identificarlo antes de que el que lo está haciendo también sea detectado o sepa que ha sido detectado». La industria está utilizando la potencia de su infraestructura para entrenar estos modelos, integrando un ecosistema de alianzas estratégicas para ofrecer ciber resiliencia como servicio.
EL CIUDADANO COMO PRIMERA LÍNEA DE DEFENSA
Finalmente, la mesa redonda concluyó con un enfoque en la línea de defensa más vulnerable, pero también la más numerosa: el ciudadano. Se hizo un llamado a utilizar los recursos que el país ya pone a disposición, como el Instituto Nacional de Ciberseguridad (INCIBE). Santiago Torres Alegre invitó a los usuarios a visitar la página web de INCIBE, donde tienen «un montón de infografías sersencillas de entender» que les hacen ver la importancia de la ciberseguridad, un tema que «ya no es negociable».
Alberto Martín, quien además es cibercooperante de INCIBE, enfatizó una consigna vital en el ámbito de la ingeniería social, el phishing y el manejo de información sensible: «pensar antes de actuar». Esta recomendación abarca desde la precaución en la exposición en redes sociales hasta el cuidado con las técnicas de ingeniería social que buscan manipular al usuario. Por su parte, Carlos Hernández Méndez resaltó la necesidad de «estar al día a todos los niveles», lo que implica «adecuar renovaciones tecnológicas» a menudo, ya que con el tiempo los equipos «van perdiendo certificaciones con las siguientes capas sistemas operativos» y es ahí «donde aparecen las vulnerabilidades».
El mensaje de cierre, a cargo de Enrique Pérez de Tena, fue contundente y positivo: el ciberespacio «ha venido para quedarse», y la responsabilidad recae directamente en el usuario. Instó encarecidamente a la cautela: «usen la cabeza cada vez que dan acepto de esa app, de esa página web donde se meten, acepto las condiciones están vendiendo su alma al diablo». La recomendación es hacer el «puñetero favor de leerlo», ya que es posible eliminar muchos permisos que, de otra manera, habilitan a empresas o ciberdelincuentes a entrar en su vida digital. La ciudadanía es la «primera línea de defensa», y solo a través de la conciencia y la precaución se podrá construir un entorno digital más resiliente y seguro frente a un panorama de amenazas que no cesa de evolucionar. La clave, en la nueva era de la seguridad, es simplemente «usar la cabeza».
