SISTEMAS INTEGRADOS DE SEGURIDAD DE INFRAESTRUCTURA CRÍTICA

A la hora de comenzar a sistematizar los riesgos y todos aquellos procesos destinados a proteger y asegurar las instalaciones críticas o estratégicas debemos, primero, referirnos a las mismas permitiendo una clara definición. Podemos definir las infraestructuras críticas como todos aquellos sistemas (físicos o virtuales) que ofrecen servicios esenciales y básicos a nivel social, económico, energético, medioambiental y político. Así, la alteración o interrupción de su funcionamiento puede provocar graves consecuencias para el desarrollo normal de las actividades básicas y diarias de la sociedad. 

Una alteración o interrupción en su funcionamiento debido a causas naturales (por ejemplo: una inundación que afecta al suministro eléctrico) o provocada por el hombre (por ejemplo: un atentado terrorista o un ataque cibernético a una central nuclear o a una entidad financiera) podría conllevar graves consecuencias y una severa dificultad para seguir proporcionando servicio a la comunidad.

En cuanto a los Sistemas Integrados de seguridad nos referimos a aquellos sistemas que poseen una integración de diferentes enfoques y metodologías que permitan anticipar escenarios de riesgo, contener las amenazas y reactivar las operaciones de estas infraestructuras críticas de una manera interrelacionada y teniendo el foco, no solo en el riesgo, sino en el contexto, los principales stakeholders y la continuidad del negocio.  

El Contexto de la Operación es clave en el seguimiento de las principales amenazas y, por tanto, de los riesgos que se generan. Si tenemos claro que uno de nuestros riesgos está, por ejemplo, en una potencial acción de la delincuencia organizada, la realización de un seguimiento de los grupos, sus capacidades y sus últimas acciones nos permitirá comprender y valorar correctamente la amenaza (normalmente se evalúan dos criterios específicos, la voluntad y la capacidad de la amenaza). En el análisis del terrorismo y su impacto potencial en las infraestructuras críticas, se suele evaluar si el grupo terrorista dispone de capacidades de infiltración, tecnológica, económica, acceso a explosivos y armas, etc. que les permita realizar la acción. Además, se analiza si tiene voluntad de atacar este tipo de activos o instalaciones, si tiene sentido dentro de su ideología, de su estrategia, y si el activo posee suficiente nivel de atractivo. 

Con este análisis, similar al que se realiza de los riesgos, se tiene una ponderación y evaluación de las amenazas, pero es una foto fija. Para evitar no estar evaluando algo “anclado” en el pasado, se debe disponer de herramientas que permitan un análisis dinámico y que nos faciliten un sistema de Alerta Temprana.

Los sistemas de alerta temprana están asociados a múltiples metodologías. En mi opinión existen tres metodologías clave; el método de escenarios, el escaneo del entorno y el paradigma de las señales débiles. Cada una de estas metodologías puede permitirnos disponer de un interesante grado de anticipación en nuestro plan de seguridad y protección, y, además, pueden realizarse desde un enfoque macro (tipo PESTEL) a un enfoque micro de nivel activo/instalación. Así su combinación nos va a generar una herramienta sistematizada para ir anticipando el inicio de las condiciones para un riesgo o crisis.

Una vez que hemos identificado aquellas personas, organizaciones o eventos (los denominado conectores) que van a servir de ”guías” en ese camino hacia la concreción del riesgo, debemos realizar un análisis de los controles/medidas de seguridad que propondremos para evitar la cristalización del  riesgo o la minimización de su impacto. Y con ello podemos tener cerrado el enfoque de gestión del riesgo.

Sin embargo, es necesario tener la última de las partes del este sistema integrado, y es la vuelta a la operación. Las instalaciones críticas requieren de una vuelta a la operación lo antes posible ya que, como hemos dicho, su función es básica para la sociedad y/o comunidad. 

La Continuidad de Operaciones refiere todos aquellos procedimientos que nos permiten identificar la criticidad de los procesos y de los activos de la instalación, con el propósito de prevenir su alteración o daño, así como tendentes a conseguir una vuelta a la operación lo antes posible.

Es de suma importancia comprender que podemos definir medidas de seguridad que nos garanticen la resolución del problema, pero que pueden tener un impacto asociado y paralelo en la continuidad de la operación. Para ello, debemos analizar en el Plan de Seguridad el potencial impacto/beneficio de las medidas de seguridad en este sentido. 

En numerosas operaciones en el sector extractivo he podido observar como la no integración de estos procesos ha generado una desconexión entre los objetivos del departamento de seguridad y la realidad de la operación. En áreas remotas, como en desiertos, donde se encuentran numerosas plantas de producción petrolera, conseguir un despliegue del ejército o de una milicia puede reducir el riesgo de un ataque terrorista, pero puede generar un impacto y paralización de las operaciones por parte de la comunidad que no está de acuerdo o es contraria a la llegada de el ejército o de una milicia determinada. 

Por todo lo anterior, la integración de procesos anticipativos, de reacción y de continuidad de la operación es necesaria si queremos lograr un robusto sistema de protección y seguridad de una instalación crítica y dar, con ello, el soporte necesario para garantizar que siga proveyendo su servicio a la sociedad.

Fernando Marco Mañas