Infraestructuras Críticas

Qué comprende esta disciplina

• Energía, agua, transporte, salud, telecomunicaciones y servicios digitales de los que dependen otros sectores.
• Tecnología de operación (OT/ICS/SCADA) y su convergencia progresiva con la red corporativa.
• Dependencias de terceros: mantenimiento, integradores, acceso remoto de fabricante, servicios en la nube.
• Marco normativo aplicable a operadores esenciales y a sus obligaciones de resiliencia y notificación.
• Continuidad operativa y efectos en cascada entre sectores interdependientes.

Riesgos, amenazas y señales relevantes

• Documentación técnica públicamente accesible: pliegos, memorias, planos, esquemas de red, inventario de equipos.
• Ofertas de empleo que detallan fabricante, versión y arquitectura de los sistemas de control.
• Servicios de acceso remoto o interfaces de gestión visibles desde internet.
• Proveedores de mantenimiento con acceso permanente y sin segmentación verificable.
• Concentración excesiva en un único proveedor o en una única ruta de suministro.
• Discurso público de la organización que expone calendarios de parada, mantenimiento o migración.

Cómo se aplica OSINT en esta área

• Inventario de exposición documental: contratación pública, registros, publicaciones técnicas y memorias corporativas.
• Análisis de superficie visible mediante datos públicos de dominios, certificados y rangos de red, sin escaneo intrusivo.
• Mapa de dependencias de proveedores y de sus propias exposiciones públicas.
• Perfilado de exposición del personal técnico con acceso privilegiado, con criterio de minimización.
• Priorización por criticidad real de la función afectada, no por volumen de hallazgos.

Fuentes abiertas y metodología

• Plataformas de contratación pública, boletines oficiales y expedientes administrativos publicados.
• Registros técnicos públicos de dominios, certificados y asignación de red.
• Avisos de vulnerabilidad de fabricantes y de organismos públicos de respuesta a incidentes.
• Memorias anuales, notas de prensa, documentación de proyecto y publicaciones sectoriales.
• Clasificación de hallazgos por criticidad y esfuerzo de corrección, con evidencia adjunta y trazable.

Aplicaciones para empresas y responsables de seguridad

• Conocer la propia exposición pública antes de que la utilice un tercero.
• Evaluar la exposición de proveedores críticos como parte de la diligencia debida.
• Aportar evidencia externa a un plan de resiliencia o a un comité de riesgos.
• Revisar qué información técnica se publica en licitaciones y ofertas de empleo, y con qué nivel de detalle.

Resultados que pueden entregarse

• Informe de exposición externa con hallazgos priorizados, evidencia y medidas de reducción concretas.
• Evaluación de exposición de un proveedor o integrador determinado.
• Revisión de publicación documental con criterios de qué retirar, qué reformular y qué mantener.
• Cuadro de seguimiento para verificar la reducción efectiva de exposición en el tiempo.

Límites legales, éticos y de fiabilidad