Introducción a OPSEC
¿Qué es el OPSEC?
OPSEC (Operational Security o Seguridad Operacional) es el proceso por el cual se busca identificar información crítica relacionada con una operación, analizar posibles amenazas, evaluar vulnerabilidades y aplicar contramedidas para no ser vulnerados
El objetivo principal es proteger información sensible, incluso aquella que pueda parecer inofensiva, pero al combinarse con otros datos pueda revelar detalles importantes sobre planes, capacidades, actividades, activos, dispositivos...
Origen de OPSEC
Su contexto histórico recae sobre la década del 1960 durante la guerra de Vietnam, el mando estadounidense notó que algunas operaciones no tenían éxito, y esto no era ocasionado por falta de poder militar, sino porque parecía que el enemigo se anticipaba a los movimientos
Para investigar esta filtración de información, los Junta de Jefes de Estado Mayor autorizó la operación conocida como “Purple Dragon”. Un equipo multidisciplinar, con personal de la NSA y del Departamento de Defensa, examinó todas las fases de las operaciones, desde la planificación hasta la ejecución, identificando cómo se filtraba información aparentemente insignificante
El análisis concluyó que el problema no era espionaje sofisticado, sino fugas de información que, combinadas, revelaban planes completos. Así se conceptualizó formalmente el proceso de protección operativa, conocido desde entonces como OPSEC
Modelo de amenaza
Pilares fundamentales
Para crear tu modelo de amenaza, analizaremos paso a paso los pilares que lo conforman
- Capacidad: qué tan lejos puede llegar, qué puede hacer para llegar a ti y/o a lo que tratas de proteger
- Motivaciones: por qué está detrás de ti, que quiere obtener, se trata de una motivación personal, está cumpliendo la ley...
- Técnicas: va vinculado a la capacidad, dando por hecho su capacidad y su alcance, que técnicas usará para llegar a ello
¿Por qué es importante definir el modelo de amenaza?
- Evita la paranoia: si tienes claro los puntos mencionados, es menos probable que te vuelvas paranoico por el desconocimiento, cuando no tienes claro como opera tu modelo de amenaza, es común la sensación de ser perseguido, de ser observado, la duda sobre tus técnicas; ¿Lo estaré haciendo bien? ¿Saben quién soy? ¿Llegarán a mi?
- Optimizar recursos: al tener claro como actuar en todo momento, no cometerás errores con tus medidas de seguridad que lleven a una pérdida de tiempo y dinero innecesaria
Creando tu modelo de amenaza
Cuando defines tu modelo de amenaza, debes realizar una lista de preguntas esenciales para comprender en que situación estás:
- ¿Qué quiero proteger?: aquel activo, dispositivo, archivo, identidad, etc que deseas proteger, enumera todo lo que no quieres que sea descubierto
- ¿De quién me protejo?: la persona, organización, grupo... que está detrás de ti y quiere (o querrá) obtener ese activo tan valioso, haz una lista de los adversarios potenciales. Ejemplo: tu jefe, tu ex, competencia, agencia de inteligencia...
- ¿Cual es la amenaza real?: la probabilidad de que se produzca la amenaza contra lo que tratas de proteger, esto te ayudará a entender en que entornos o lugares es seguro que esté tu activo. Ejemplos: pagar en determinados sitios, poner datos personales en una web poco fiable...
- ¿Cuál es la gravedad si fallo?: las consecuencias si aquel activo es descubierto/vulnerado. Ejemplos: perder una gran cantidad de dinero, perder reputación, riesgos legales...
En esta introducción has visto qué es OPSEC, su nacimiento, sus beneficios, la importancia del modelo de amenaza... pero si realmente quieres saber como protegerte como un profesional en Internet, suscríbete a la Newsletter!
