Por, Ernesto Ibarra
Existen diferentes definiciones que guardan relación entre sí, seguridad en cómputo, seguridad informática, seguridad cibernética o ciberseguridad. Cabe aclarar que existe gran confusión entre "seguridad de la información" y "ciberseguridad". Especialmente, en el sector de personas especialistas en seguridad de la información -generalmente con perfil de ingenierías en computación, en sistemas o en telecomunicaciones- señalan que la seguridad e la información es el género y la ciberseguridad es la especie. Lo anterior partiendo de que la información es el objetivo principal de las diferentes acciones de protección.
Esta postura surge, a mi entender, desde el entendido de la información es el todo y que incluye la información que está o puede estar accesible tanto en Internet como fuera de Internet. O bien, en el presupuesto de que "el entorno cibernético" se refiere exclusivamente y tiene como requisito aquellos sistemas de información o dispositivos que "están conectados a Internet".
En este sentido, resulta muy útil observar una explicación que ayude a situar algunos aspectos del alcance de estos términos. Para lo anterior, tomaré un aporte de Pablo Corona:
"Cuando hablamos de ciberseguridad no solo estamos hablando de la protección de bits de bytes, de computadoras o de información, estamos hablando de la protección de todos los elementos que dependen de estos sistemas. Actualmente dependemos de las tecnologías de la información y comunicaciones las personas, organizaciones, la infraestructura, la información y la sociedad misma, esto hace relevante a la ciberseguridad pues protege al mundo físico desde las dependencias que tiene con el mundo digital."
Fuente: Pablo Corona, marzo 2024.
En mi caso particular, defiendo la postura de que la ciberseguridad, siguiendo la definición de la ITU, ha adquirido un enfoque integrador y que abarca tanto la información física como como la digital, tanto los soportes físicos como digitales, incluyendo los sistemas de información o dispositivos, conectados o no a Internet u otras redes.
En mi comprensión, la definición de la ITU considera no sólo la información como objeto de estudio o de trabajo, sino también aspectos tecnológicos, políticos, jurídicos, culturales y de procesos.
Considero que la ciberseguridad es la definición que mejor se aproxima a la complejidad y aristas que rodean al fenómeno de la sociedad digital y las dimensiones de la seguridad en el entorno digital o ciber entorno, desde perspectivas de un enfoque de responsabilidad compartida entre los diferentes actores; es decir, a través de políticas públicas, de legislación, de tecnologías, estándares y cultura de ciberseguridad, entre otras. Para comprender mejor, veamos la definición que aporta la ITU.
Según la Recomendación UIT-T X.1205 (de la Unión Internacional de Telecomunicaciones), la ciberseguridad es:
"El conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización y los usuarios en el ciberentorno. Los activos de la organización y los usuarios son los dispositivos informáticos conectados, los usuarios, los servicios/aplicaciones, los sistemas de comunicaciones, las comunicaciones multimedios, y la totalidad de la información transmitida y/o almacenada en el ciberentorno. La ciberseguridad garantiza que se alcancen y mantengan las propiedades de seguridad de los activos de la organización y los usuarios contra los riesgos de seguridad correspondientes en el ciberentorno.
Las propiedades de seguridad incluyen una o más de las siguientes: Confidencialidad (C); Integridad (I), que puede incluir la Autenticidad y el No repudio; y Disponibilidad (D)."
Habiendo analizado la definición previa, queda claro que la ciberseguridad no refiere exclusivamente a Internet, a dispositivos conectados a Internet o al ciberespacio, sino a un conjunto de acciones en relación al entorno que engloba el entorno físico y digital (hoy se entiende como uno mismo, ya que son las personas las que pueden tener espacios virtuales, digitales o físicos, pero mantienen unicidad en sus derechos y obligaciones, sin importar el medio) y que involucra a los activos de información, que se puede abordar para proteger, desde las diferentes aristas como las políticas, regulación, normas, y acciones de cultura, y dichas acciones tienen como finalidad garantizar la confidencialidad, integridad, disponibilidad, autenticidad y no repudio del sistema.
En tal sentido, es que a mi consideración, la ciberseguridad incluye la seguridad de la información y seguridad en cómputo o seguridad de las telecomunicaciones, porque ya el enfoque no está en la información, ni en la tecnología que la procesa, sino en las personas y las organizaciones, incluyendo a los Estados nación.
En suma, la ciberseguridad se aproxima más a un enfoque es más amplio y considera aspectos variados que hoy no podemos dejar fuera, tales como políticas públicas, de legislación, los esquemas de gobernanza, los aspectos tecnológicos y dispositivos, las normas técnicas y estándares, los activos y los derechos de individuos y organizaciones, así como la protección de derechos como la privacidad y datos personales, sin olvidar aspectos como la cooperación internacional, la cultura de ciberseguridad, entre otros.
Muestra de la evolución que ha tenido el término de seguridad de la información a ciberseguridad, es que en muchos países la Política pública alude a ciberseguridad, y esta se aborda como una estrategia de país con iniciativas que van más allá de las Estrategias Digitales o Planes de digitalización de país (Ej. Estados Unidos, Canadá, Reino Unido, Japón, Francia, Brasil, Chile, República Dominicana, Colombia, México (entre otros)).
Además de ello, existe índices internacionales en materia de ciberseguridad, entre los más destacados se encuentran: 1) El Índice Global de Ciberseguridad de la ITU y 2) El National Cyber Security Index
El IGC de la ITU contempla 5 pilares - a) organizacionales, b) legales, c) técnicas, d) desarrollo de capacidades y, e) cooperación - que utiliza el índice Global de Ciberseguridad de la ITU.
Adicionalmente, según la ITU, la ciberseguridad abordan aspectos como:
"Continuidad del funcionamiento de infraestructuras críticas o activos estratégicos, incluyendo infraestructuras TI.
Alianzas con el sector privado, academia y organismos internacionales para la formación, cooperación técnica y avance de la investigación y desarrollo en materias de ciberseguridad.
Acciones de preparación y prevención en ciberdefensa nacional y contra el ciberterrorismo, como parte de los sistemas nacionales de seguridad.
Asociado a lo anterior, mantención de una gobernanza de la ciberseguridad país, en el contexto del sistema nacional de seguridad.
Reforzamiento de las capacidades de persecución de la cibercriminalidad.
El desarrollo de una cultura y conciencia nacional sobre ciberseguridad.
Fomento de una industria de ciberseguridad".
En línea con lo anterior, considero que la ciberseguridad es un pilar para el desarrollo digital de los países, un habilitador para la innovación y la economía digital, un eje transversal para el ejercicio, fomento y defensa de derechos y libertades, tanto dentro como fuera de Internet (el entorno digital que abarca el mundo físico y digital) y piedra angular para la transformación digital y el desarrollo sostenible.
Para efectos ilustrativos, sobre la complejidad de la ciberseguridad y las diferentes aristas, me parece sumamente útil traer a la vista la imagen del Foro Económico Mundial (WEF), en la que muestra cómo la ciberseguridad se interconecta con varios temas, tales como:
Ciberdelitos,
Regulación y legislación de la ciberseguridad,
Déficit de competencias en ciberseguridad,
Infraestructuras críticas y ciberresiliencia,
Gobernanza del ciberriesgo,
Ciberseguridad y nuevas tecnologías,
Ciberdiplomacia y seguridad internacional, y
Ciberriesgo y cadena de suministro.
En la siguiente imagen, "se muestra cómo se aplican las dimensiones de seguridad a las capas de seguridad a fin de reducir las vulnerabilidades de cada capa": (ITU)
Dentro de la Ciberseguridad, como se ha explicado, se incluye la seguridad de la información. A continuación se muestra cómo la Ciberseguridad, entendida como la ITU propone, considera capas de seguridad, dimensiones de seguridad, amenazas, ataques y vulnerabilidades.
Siguiendo con la propuesta de ITU, "en [UIT-T X.805] se definen tres planos de seguridad que representan tres tipos de actividades protegidas que se llevan a cabo en la red. Los planos de seguridad son:
el plano de gestión;
el plano de control; y
el plano de usuario extremo."
Con los diagramas anteriores, podemos concluir que la seguridad de la información, con todas sus diferentes fases y aplicaciones quedan incluidas en el enfoque amplio de la ciberseguridad, dado que en éste último se habla de aspecto a nivel estratégico, global, de seguridad nacional, de infraestructura, de equipos, de información, de activos, de regulación, de cultura, de derechos y libertades, etc.
Seguiremos abonando en la consolidación de esta postura.
Comments