La seguridad operacional (OPSEC) es la práctica de identificar la información que podría ayudar a un adversario y protegerla controlando lo que revelan las personas, los sistemas y los procesos.
Cómo funciona la OPSEC
La OPSEC nació en el ejército de EE. UU. durante la guerra de Vietnam: el estudio «Purple Dragon» de 1966 mostró que el enemigo se enteraba de las operaciones planificadas a partir de actividades predecibles y no clasificadas. Suele describirse como un proceso de cinco pasos:
- identificar la información crítica que merece protección;
- analizar las amenazas: quién quiere esa información;
- analizar las vulnerabilidades: cómo podría filtrarse;
- evaluar el riesgo;
- aplicar contramedidas.
La idea clave es que pequeños detalles de apariencia inofensiva —planes de viaje, cargos, fotos, metadatos— pueden combinarse hasta formar conocimiento sensible, tal como hacen los atacantes con la inteligencia de fuentes abiertas.
Por qué es importante
En las organizaciones, una OPSEC deficiente regala a los atacantes material para la ingeniería social: organigramas en LinkedIn, tecnologías en las ofertas de empleo, detalles internos en redes sociales. En 2018 el mapa de calor global de la app de fitness Strava reveló la ubicación de bases militares y sus rutas de patrulla a partir de los datos de carrera de los soldados.
La OPSEC funciona en ambos sentidos. Los delincuentes y los hackers estatales también cometen errores que los delatan: Ross Ulbricht, fundador de Silk Road, fue identificado en parte porque una vez publicó con su propia dirección de Gmail. Estos descuidos en la huella digital de los atacantes suelen ser decisivos para la atribución de ciberataques.
Buenas prácticas de OPSEC
- Definir qué información es sensible y quién puede compartirla.
- Formar al personal para limitar los detalles laborales en redes sociales y verificar las peticiones inusuales.
- Eliminar los metadatos de documentos y fotos publicados.
- Usar cuentas, dispositivos y canales de comunicación separados para el trabajo sensible.
- Revisar periódicamente la huella pública como lo haría un atacante.
