Conceptos básicos de seguridad operativa (OPSEC)

La seguridad operacional (OPSEC) es el proceso de proteger información sensible frente a adversarios mediante la identificación de información crítica, el análisis de amenazas y la implementación de contramedidas. Originalmente un concepto militar, ahora es esencial para profesionales de la seguridad, periodistas y activistas.

El proceso formal de OPSEC:

1. Identificar la información crítica — ¿qué se debe proteger?
2. Analizar las amenazas — ¿quién quiere esta información?
3. Analizar las vulnerabilidades — ¿cómo podría quedar expuesta?
4. Evaluar el riesgo — ¿cuál es la probabilidad y el impacto?
5. Aplicar contramedidas — reducir el riesgo a un nivel aceptable

La combinación de piezas individuales de información aparentemente inofensiva puede revelar detalles sensibles. Publicar por separado la cafetería que frecuenta, su horario laboral, su barrio y el modelo de su automóvil crea un perfil que puede convertirse en objetivo. Los adversarios agregan datos de fuentes abiertas para obtener inteligencia útil.

Para reducir su huella digital:

• Utilice alias y direcciones de correo electrónico separadas para distintos fines
• Minimice su exposición pública en redes sociales
• Utilice motores de búsqueda que protejan la privacidad (DuckDuckGo, Brave)
• Solicite no participar en los sitios de intermediarios de datos
• Revise periódicamente los permisos de las aplicaciones

La compartimentación separa identidades, herramientas y actividades para limitar la contaminación cruzada. Un investigador de seguridad podría utilizar dispositivos, navegadores y cuentas de correo electrónico separados para distintas identidades o trabajos con clientes.

Cómo elegir canales de comunicación seguros:

• Signal — mensajería cifrada de extremo a extremo con mensajes que desaparecen
• ProtonMail — correo electrónico cifrado
• Evite el correo electrónico para conversaciones sensibles siempre que sea posible
• Tenga presente que los metadatos (con quién habla y cuándo) suelen revelar tanto como el contenido

Medidas de OPSEC física:

• Utilice filtros de privacidad para la pantalla del portátil en lugares públicos
• Desactive el micrófono y la cámara cuando no los utilice
• Tenga cuidado con el shoulder surfing en espacios públicos
• Utilice cifrado de disco (BitLocker, FileVault, LUKS)
• Destruya los documentos sensibles mediante una trituradora

Fallos notables de OPSEC:

• Sabu (LulzSec): olvidó utilizar Tor una vez → se reveló su IP → fue detenido
• Ross Ulbricht (Silk Road): utilizó el mismo nombre de usuario en varios sitios años antes de crear Silk Road
• Grupos APT: reutilizaron código de malware o infraestructura vinculada a operaciones anteriores

Durante los trabajos, los pentesters practican OPSEC para simular a adversarios reales y evitar exponer accidentalmente los sistemas de los clientes a atacantes reales:

• Utilice VPN o infraestructura de anonimización
• Rote las firmas de las herramientas
• Limpie los artefactos después de las pruebas
• Documente todas las acciones para elaborar informes

Su nivel de OPSEC depende de su modelo de amenazas:

• Persona promedio: higiene básica de contraseñas + MFA
• Profesional de la seguridad: compartimentación + cifrado sólido
• Periodista o activista: uso completo de Tor + dispositivos aislados de cualquier red para trabajos sensibles

Una OPSEC excesiva sin un modelo de amenazas acorde resulta contraproducente y añade fricción innecesaria.

Una OPSEC eficaz no es una lista de comprobación, sino una mentalidad: preguntarse continuamente «¿qué información estoy revelando, a quién y qué puede hacer con ella?». Esta autoevaluación desde la perspectiva del adversario se convierte en un hábito con la práctica.

Un analista utiliza en un foro personal de videojuegos el mismo nombre de usuario que utilizó al preparar una operación encubierta. ¿Qué principio de OPSEC infringió?

La OPSEC protege la información sensible mediante un proceso de cinco pasos: identificar la información crítica, analizar las amenazas y vulnerabilidades, evaluar el riesgo y aplicar contramedidas. Entre las prácticas clave se incluyen la compartimentación, la reducción de la huella digital, las comunicaciones seguras (Signal, ProtonMail) y la seguridad física. El nivel de OPSEC debe corresponderse con el modelo de amenazas real.