El documento aborda la importancia de la Protección de Infraestructuras Críticas (PIC) y ofrece perspectivas de varios países, centrándose particularmente en la República de Corea. Formando parte de la serie World Bank Korea Office Innovation and Technology Note, este texto subraya la relevancia de la PIC para los países en desarrollo, ya que las infraestructuras críticas son esenciales para el crecimiento económico y el bienestar social. Presenta estudios de caso sobre políticas de PIC de países como Estados Unidos, Alemania, República de Corea, Japón y Singapur, y describe un marco para desarrollar políticas de PIC que incluye consideraciones de gobernanza y actividades operacionales. Un aspecto destacado es el ciclo de vida de las políticas de PIC, que comprende cinco pasos: iniciación, inventario y análisis, producción de políticas, implementación, y monitoreo y evaluación. Además, se detalla cómo identificar infraestructuras críticas, realizar evaluaciones de riesgo, compartir información y mejorar las capacidades de las entidades encargadas de las infraestructuras críticas. El documento también incluye tablas y figuras que ilustran los procesos, políticas y marcos de PIC de diferentes países, y discute la importancia de las asociaciones público-privadas y la cooperación internacional en la protección de infraestructuras críticas. También se cubren medidas de ciberseguridad, sistemas de respuesta a incidentes y programas de intercambio de información sobre amenazas, enfatizando la necesidad de mejorar continuamente y adaptar las políticas de PIC para abordar amenazas y cambios tecnológicos en evolución. En resumen, este documento actúa como una guía integral para los responsables de políticas y las partes interesadas en la protección de infraestructuras críticas, basándose en las mejores prácticas y experiencias de naciones avanzadas digitalmente. Además, el documento destaca la importancia de las políticas de protección de infraestructuras críticas (PIC) frente al aumento de amenazas cibernéticas. Resalta los esfuerzos del Programa de Desarrollo Digital de Corea del Banco Mundial (KoDi) en colaboración con diversas agencias gubernamentales coreanas para compartir conocimientos y mejores prácticas con países en desarrollo. El documento enfatiza la necesidad de un enfoque integral del gobierno hacia la ciberseguridad y la resiliencia de las infraestructuras críticas. Se citan ejemplos de ciberataques a sectores como plantas nucleares, oleoductos, instalaciones de tratamiento de agua y sistemas de salud para subrayar la urgencia de proteger las infraestructuras críticas. Analiza estrategias de PIC de naciones digitalmente avanzadas como Corea del Sur, Singapur, Estados Unidos, Alemania y Japón, identificando tres características comunes en sus enfoques: el establecimiento de marcos legales para identificar amenazas y mantener estándares mínimos de seguridad, la implementación de medidas protectoras adicionales y políticas complementarias, y la incorporación de la resiliencia en los marcos de políticas de PIC. Además, se destaca el aprovechamiento de la experiencia del sector privado y el fomento de la participación voluntaria a través de asociaciones público-privadas (PPP). Finalmente, el documento subraya tres pilares principales que las naciones en desarrollo deben considerar en sus marcos de políticas de PIC: adoptar un enfoque integral de todo el gobierno para promover la ciberseguridad y la resiliencia de las infraestructuras críticas, utilizar diversos instrumentos políticos para mejorar las PPP, facilitar el intercambio de información, aumentar la concienciación y proporcionar formación, e implementar regulaciones específicas para mejorar las capacidades de PIC de las entidades encargadas de las infraestructuras críticas. En conjunto, el documento destaca la importancia de la PIC en un mundo cada vez más digitalizado y proporciona orientación para que los países en desarrollo establezcan medidas robustas de ciberseguridad para sus infraestructuras críticas. 

En el contexto de la protección de infraestructuras críticas (PIC), tanto Estados Unidos como Alemania han desarrollado políticas robustas para enfrentar los desafíos crecientes en ciberseguridad. En Estados Unidos, la evolución de la PIC ha pasado de asociaciones voluntarias hacia una estrategia más enfocada en la resiliencia. Este enfoque se consolidó bajo la administración Obama, que enfatizó las alianzas público-privadas y el intercambio de información. Un hito crucial fue la Directiva Presidencial de Política 21 (PPD-21), que introdujo el concepto de resiliencia y redujo los sectores de infraestructura crítica de 18 a 16. Además, en 2018, se estableció la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) para liderar los esfuerzos nacionales en ciberseguridad. Los recientes cambios en política, en respuesta a ciberataques significativos, incluyen la obligatoriedad de reportar incidentes de ciberseguridad. El enfoque estadounidense combina estándares voluntarios con regulaciones específicas por sector, donde las entidades de infraestructura crítica son responsables de analizar y mitigar riesgos, con orientación de diversas organizaciones. El gobierno también ha desarrollado planes de respuesta y recuperación, como el Plan Nacional de Respuesta a Incidentes Cibernéticos y ejercicios de simulación cibernética, demostrando un enfoque integral y proactivo. Por otro lado, la política de PIC de Alemania está influenciada tanto por marcos nacionales como por la Unión Europea. Entre los elementos clave se encuentra el Plan Nacional de Protección de la Infraestructura de Información y Comunicación de 2005 (NPSI) y la Estrategia Nacional de Protección de Infraestructuras Críticas de 2009, que define y establece objetivos estratégicos para las infraestructuras críticas. La Estrategia de Ciberseguridad y la Agenda Digital 2014-2017 fortalecieron las regulaciones de ciberseguridad, culminando en la Ley de Seguridad de TI de 2015 y su actualización en 2021 (Ley de Seguridad de TI 2.0), que establecen marcos legales para la cooperación entre el gobierno y actores privados. Alemania también se alinea con directivas de la UE, como la Directiva de Seguridad de Redes y Sistemas de Información (NIS) y la Directiva de Resiliencia de Entidades Críticas (CER). La implementación alemana apoya firmemente las reglas de ciberseguridad de la UE, y el BSI juega un papel central en verificar y evaluar las medidas de seguridad adoptadas por los operadores de infraestructura crítica, imponiendo obligaciones estrictas. Los operadores de CI deben implementar sistemas de gestión de la seguridad de la información (ISMS) y medidas de ciberseguridad. Además, la Ley de Seguridad de TI 2.0 amplió la autoridad del BSI y aumentó las obligaciones para los operadores de CI, estableciendo puntos de contacto con el BSI y reportando incidentes significativos. El NIS 2.0 introduce una estructura de gestión de crisis cibernéticas, aumenta la armonización de requisitos de seguridad y obligaciones de reporte, y abarca más sectores y entidades, abordando riesgos de ciberseguridad en la cadena de suministro. Este enfoque colaborativo entre agencias gubernamentales, operadores de CI y marcos de la UE asegura la ciberseguridad y la resiliencia de la infraestructura crítica en Alemania, subrayando la importancia de la cooperación y adaptación ante amenazas cibernéticas en constante evolución. 

El desarrollo de un marco político para la Protección de Infraestructuras Críticas (PIC) es esencial para asegurar y mejorar la resiliencia de estas infraestructuras frente a amenazas cibernéticas. Para ello, es fundamental adoptar un enfoque integral que abarque varios principios y consideraciones clave. En primer lugar, se debe establecer una gobernanza multisectorial para la seguridad de las infraestructuras críticas, involucrando a diversos departamentos y agencias gubernamentales. Este enfoque permite una mejor comprensión de las interdependencias entre los diferentes sectores de las infraestructuras críticas, facilitando así decisiones informadas sobre protección e inversión. Además, la creación de asociaciones público-privadas (PPP) es crucial para compartir visiones y objetivos en materia de PIC, abordando posibles divergencias en cuanto a perspectivas y capacidades de recursos. La confianza entre los gobiernos y las entidades de infraestructuras críticas es otro elemento vital, ya que facilita el intercambio de información sobre amenazas e incidentes cibernéticos. En cuanto a los instrumentos políticos, es necesario determinar aquellos más apropiados, equilibrando entre regulaciones obligatorias y medidas voluntarias para lograr los objetivos estratégicos deseados. La rendición de cuentas de las entidades de infraestructuras críticas y el monitoreo de la implementación de políticas mediante indicadores clave de desempeño (KPIs) y evaluaciones regulares son también aspectos esenciales. El marco para la PIC debe involucrar a todos los niveles de gobierno, tanto central como local, así como a las partes interesadas del sector privado. Es importante entender las interdependencias sectoriales, establecer canales de comunicación efectivos y abordar posibles conflictos de interés entre los objetivos gubernamentales y las preocupaciones del sector privado. Las medidas para construir confianza, como las protecciones legales para las entidades que comparten información sobre amenazas de manera voluntaria, son fundamentales. En el desarrollo de políticas, se debe considerar un ciclo de vida en cinco pasos: inicio, análisis y evaluación, producción de la política de PIC, implementación, y monitoreo y evaluación. Este proceso asegura una gestión continua de riesgos, planificación de respuestas a incidentes, desarrollo de capacidades en la fuerza laboral y el intercambio de información entre las partes interesadas. El texto también sugiere que los gobiernos pueden utilizar este marco para diseñar políticas nacionales de PIC adaptadas a sus necesidades y circunstancias específicas, destacando la necesidad de comunicación y cooperación constante con las partes interesadas y la inclusión potencial de la investigación y desarrollo y la cooperación internacional en las estrategias de PIC. Finalmente, se subraya la importancia de mecanismos de rendición de cuentas y monitoreo para garantizar que las entidades de infraestructuras críticas cumplan con los objetivos de seguridad y resiliencia, y que las políticas se revisen y actualicen regularmente para abordar amenazas y tecnologías en evolución. 

La protección de infraestructura crítica (CIP) es un tema de creciente importancia en varios países, cada uno adoptando enfoques específicos en sus marcos regulatorios y políticas de apoyo. Las direcciones políticas están generalmente establecidas por agencias gubernamentales con aportaciones de las organizaciones que gestionan las infraestructuras críticas (CI). Los planes de protección incluyen la designación de CI, estrategias y apoyo para fortalecer capacidades. Los instrumentos de política se clasifican en enfoques regulatorios y políticas de apoyo. Los enfoques regulatorios implican la promulgación o revisión de leyes CIP y el establecimiento de marcos para que los ministerios apoyen a los sectores de CI. Las políticas de apoyo incluyen el desarrollo de directrices, la colocación de personal de ciberseguridad, el suministro de soporte tecnológico y la diseminación de información. Países como Corea, Alemania y Singapur han implementado evaluaciones de seguridad obligatorias y reportes para las entidades de CI, con posibles sanciones legales por incumplimiento. Estados Unidos y Japón mantienen enfoques sectoriales, con medidas tanto obligatorias como voluntarias dependiendo de la industria. Ejemplos específicos de marcos regulatorios incluyen el estándar NERC CIP para las compañías eléctricas de EE. UU. Las políticas de apoyo complementan las regulaciones e incluyen estándares, directrices, programas de desarrollo de capacidades, apoyo directo, asociaciones público-privadas e iniciativas de intercambio de información. Las directrices para la gestión de riesgos de ciberseguridad se desarrollan de manera colaborativa o por sectores específicos para tener en cuenta las diferencias en la conciencia y capacidades de ciberseguridad entre las entidades de CI. Este enfoque integral combina regulaciones con políticas de apoyo, creando un ecosistema robusto para la protección de infraestructuras críticas. En cuanto a las medidas de evaluación de riesgos de ciberseguridad y protección de infraestructura crítica, se observa que Corea utiliza un método de evaluación de riesgos integral que incluye evaluaciones basadas en listas de verificación para aspectos administrativos, físicos y técnicos de CI. Estas evaluaciones abarcan servidores, bases de datos, sistemas de seguridad, equipos de red, computadoras personales y sistemas de control. Las organizaciones gestoras de CI en Corea están obligadas a realizar inspecciones anuales basadas en rankings de criticidad. Se destaca la importancia de los estándares de ciberseguridad, como el NIST Cybersecurity Framework (CSF), para promover medidas de protección rentables. El NIST CSF consta de funciones centrales (identificar, proteger, detectar, responder y recuperar), niveles y perfiles, que ayudan a las entidades de CI a comprender y comunicar las consideraciones de ciberseguridad dentro de sus organizaciones. En algunos casos, las directrices CIP pueden adoptarse como una capa adicional a las regulaciones sectoriales. Por ejemplo, los centros de datos en Corea deben seguir las Directrices de Protección de Centros de Datos, mientras que las empresas de redes inteligentes y los operadores de infraestructura de mercados financieros tienen sus propias directrices específicas. También se subraya la importancia de los planes de respuesta y recuperación ante incidentes, como los planes de continuidad de negocio (BCP), planes de contingencia (CP) y planes de recuperación ante desastres (DRP). Singapur, por ejemplo, requiere que los operadores de CI creen planes de respuesta ante incidentes de ciberseguridad y planes de comunicación de crisis. Los gobiernos promueven el intercambio de información sobre amenazas cibernéticas a través de varios programas, leyes y directrices. Estados Unidos ha ampliado su programa de intercambio de información sobre amenazas cibernéticas mediante órdenes ejecutivas, mientras que Japón ha establecido un sistema para reportar incidentes y compartir información entre las entidades de CI. Las medidas de desarrollo de capacidades también son enfatizadas, con los gobiernos fomentando el refuerzo de la seguridad a nivel corporativo y designando departamentos específicos para manejar tareas de CIP. En general, este enfoque exhaustivo en la protección de infraestructura crítica incluye evaluación de riesgos, adopción de estándares, planificación de respuesta a incidentes, intercambio de información y desarrollo de capacidades, lo que es crucial para proteger las infraestructuras críticas en diversos sectores y países.  

Para leer más ingrese a:

El documento aborda los impulsores y necesidades de seguridad para la próxima tecnología de red móvil 6G. Conforme las redes móviles se vuelven cada vez más fundamentales para la sociedad, crece la demanda de seguridad mejorada y disponibilidad robusta. Este informe destaca que la seguridad en 6G deberá adoptar un enfoque integral, considerando tanto los aspectos de comunicación como de computación. Entre los puntos clave se destaca que 6G se construirá sobre la seguridad de 5G, utilizando estándares abiertos y centrando más en los aspectos operativos. Nuevos casos de uso y tecnologías, como la comunicación inmersiva y dispositivos de energía cero, requerirán análisis de amenazas frescos y soluciones de seguridad innovadoras. Las redes 6G deberán conectar los dominios cibernético y físico, exigiendo una visión holística que abarque tanto la comunicación segura como la computación segura. La evolución de 6G tendrá que abordar nuevas capacidades como la gestión de dispositivos de energía cero, capacidades de percepción en celdas de radio y gemelos digitales avanzados. Se requerirán nuevos controles de seguridad, incluidos mecanismos de control de acceso y protección de datos, para garantizar la confiabilidad y la usabilidad en diversos dominios. El documento subraya la necesidad de que 6G funcione como una plataforma de red integral, respaldando aplicaciones diversas en áreas como la agricultura inteligente, sistemas de soporte empresarial, navegación de robots y comunicación inmersiva. Los rápidos cambios en las tecnologías de implementación requerirán ajustes en el desarrollo, despliegue y operación de redes móviles. El documento destaca la importancia de abordar las amenazas en evolución a las redes móviles y aplicaciones, a medida que las demandas de conectividad de la sociedad siguen creciendo. Además, se discuten las consideraciones de seguridad y los impulsores para la próxima plataforma 6G. Se enfatiza que, si bien 6G ofrece muchas características de seguridad, puede que no cubra todos los componentes necesarios para ciertos casos de uso, como aquellos que involucran datos médicos sensibles que requieren medidas de protección adicionales más allá de las capacidades de la plataforma 6G. El documento subraya la importancia de comprender los diversos impulsores y necesidades para definir la plataforma 6G, mientras se cumplen las expectativas regulatorias, específicas de cada país y de los usuarios sobre la disponibilidad y seguridad de la red. Estos impulsores provienen de múltiples direcciones, incluida la adopción de la tecnología por parte de la sociedad, el panorama de amenazas en evolución, los avances tecnológicos y la necesidad de mantener y capitalizar la tecnología implementada existente. Un cambio paradigmático significativo discutido es la transición desde dominios físicos y cibernéticos separados hacia un continuo ciberfísico. Esta transición entrelaza la ciberseguridad con la privacidad y la seguridad física, a medida que los servicios digitales se integran cada vez más en la vida cotidiana. El texto señala que esta transición se está acelerando, lo que hace necesario un nuevo análisis de amenazas, evaluación de riesgos y desarrollo de nuevas soluciones de seguridad. El documento destaca la comunicación inmersiva y la realidad extendida (XR) como ejemplos concretos de tecnologías que unen los dominios cibernético y físico. Se menciona la integración de sensores y comunicación (ISAC) como un componente crucial de estas tecnologías, que se expandirán a diversos sectores como entretenimiento, manufactura, mantenimiento, educación y salud. Esta expansión crea la necesidad de que 6G proporcione un nivel básico de seguridad para abordar preocupaciones sobre seguridad y privacidad de datos. El texto también aborda el creciente uso de inteligencia artificial (IA) y automatización en sistemas de red, una tendencia que comenzó con 5G y se espera que avance aún más en 6G con redes autoaprendizaje. Esta progresión subraya la naturaleza evolutiva de los desafíos y requisitos de seguridad en las futuras tecnologías de comunicación.  

Por otra parte, se discuten los desafíos y requisitos de seguridad para las redes 6G, enfatizando la necesidad de una IA segura y confiable en la comunicación de máquina a máquina. Se destaca que los componentes de IA en 6G deben ser confiables y resistentes a los ataques, considerando tanto las amenazas individuales como las interacciones complejas entre las funciones de IA. La transición hacia redes centradas en el usuario requiere una seguridad mejorada para las API de red y medidas de privacidad para proteger los datos de los usuarios. Con la emergencia de nuevos dispositivos y casos de uso, se necesitarán mecanismos de seguridad novedosos, incluidas soluciones energéticamente eficientes para dispositivos de consumo de energía cero. La expansión de la conectividad de 2D a 3D global, que incluye cobertura rural, marítima y aérea, requiere trabajo de estandarización en la seguridad de la comunicación por satélite. El texto también señala que el panorama de amenazas en evolución no se debe únicamente a funciones de comunicación, sino que es influenciado por nuevas tecnologías de implementación como la nube y la virtualización, así como la introducción de nuevos dispositivos y casos de uso. El estatus de infraestructura crítica de las redes 5G y 6G trae consigo nuevos requisitos regulatorios, como una mayor garantía de seguridad y adherencia a la confianza cero. Cumplir con estos requisitos requiere un enfoque holístico que combine la estandarización, la implementación, el despliegue y los aspectos operativos. El texto enfatiza que las amenazas de seguridad más desafiantes surgen cuando los servicios se utilizan de maneras no previstas. Concluye subrayando la importancia de una vista integral de la seguridad 6G para mantenerse al día con las amenazas en evolución y los avances tecnológicos. Para entender la evolución y los retos emergentes en las redes móviles de próxima generación, es crucial analizar la transición de 5G a 6G y las implicaciones en seguridad. La seguridad en las redes móviles modernas enfrenta ahora amenazas sofisticadas como ataques masivos a la disponibilidad, spyware y la vulnerabilidad de infraestructuras críticas nacionales. La seguridad en 6G se basará en los cimientos establecidos por 5G, mejorando las medidas existentes y enfocándose en estándares abiertos para asegurar la interoperabilidad entre proveedores. La autenticación robusta, el cifrado, la protección de integridad y las características mejoradas de privacidad, implementadas en 5G, serán perfeccionadas en 6G. La estandarización actual incluye actualizaciones en algoritmos de seguridad de acceso y nuevos mecanismos para casos de uso específicos como APIs hacia el norte, vehículos aéreos no tripulados y la gestión automatizada de certificados para arquitecturas basadas en servicios (SBA). La arquitectura basada en servicios (SBA), influenciada por la virtualización y la segmentación de microservicios en 5G, representa un cambio significativo que presenta desafíos en términos de sobrecarga, seguridad, compatibilidad hacia atrás y gestión, aspectos que serán cruciales de abordar en 6G. La convergencia hacia implementaciones estándar únicas aporta más actores al ecosistema, pero también plantea riesgos al reducir la diversidad y aumentar las vulnerabilidades. La creciente adopción de la microsegmentación también se señala como un factor que puede disminuir la diversidad y aumentar los riesgos de vulnerabilidad. Así, la implementación y operación segura de redes 6G requerirá cada vez más la fusión segura de estándares e implementaciones, donde la estandarización detallada de la seguridad de capa de sesión entre funciones se posiciona como un ejemplo destacado de esta tendencia. 

En contraste con las generaciones anteriores de redes móviles, el paisaje de seguridad en evolución para las redes 6G se centra en asegurar funciones individuales en lugar de grandes dominios de red, como era común en el pasado. La importancia de estándares abiertos y globalmente acordados se destaca para garantizar la interoperabilidad y la verificación de seguridad. El documento identifica cinco áreas clave de enfoque para la seguridad 6G: disponibilidad del servicio, privacidad y protección de datos, inteligencia artificial y automatización, seguridad de la exposición de red y APIs, y garantía y conciencia situacional. Se enfatiza la necesidad de un análisis exhaustivo de amenazas en el trabajo de seguridad 6G, combinando modelos formales de amenazas con métodos específicos de móviles. Con respecto a la disponibilidad del servicio, se explica que las plataformas 6G ofrecerán servicios diversos a diferentes tipos de usuarios, donde la disponibilidad de estos servicios será crucial, especialmente para aquellos considerados críticos para la sociedad. Se espera que la plataforma 6G proporcione un nivel base de disponibilidad del servicio, con la capacidad de aumentar la confiabilidad para servicios o áreas específicas según sea necesario. El documento sugiere que la resistencia contra ataques intencionales que afecten la disponibilidad se logra mediante una cuidadosa consideración de la arquitectura, el diseño de protocolos y otros factores, implicando que el marco de seguridad 6G dependerá de estándares, tecnologías y procesos abiertos en todo el desarrollo, despliegue y operación de las redes móviles. El futuro de la seguridad en redes 6G presenta desafíos significativos y oportunidades para avanzar en la protección de datos y la eficiencia operativa. Desde la perspectiva de la privacidad, las redes cerradas pueden lograr niveles adecuados de protección, pero las redes públicas requieren un desarrollo adicional para evitar la combinación de datos que podría identificar a individuos. Además, la integración de inteligencia artificial (IA) y automatización jugará un papel crucial en la gestión de plataformas 6G y en la provisión de servicios. Estas tecnologías no solo optimizarán el rendimiento y la eficiencia, sino que también mejorarán las respuestas de ciberseguridad, detectando dispositivos maliciosos, estaciones base falsas y ataques de señalización. En cuanto a los requisitos de la IA, su robustez, explicabilidad, preservación de la privacidad y seguridad son fundamentales para su aplicación efectiva en diferentes aplicaciones de seguridad. En este sentido, la traducción adecuada de intenciones de alto nivel hacia el uso detallado de la IA y la reconfiguración de redes se vuelve crucial. A pesar del avance de la IA, la experiencia humana en ciberseguridad sigue siendo insustituible, ya que los expertos humanos colaboran con la IA para optimizar las respuestas a los ataques cibernéticos mediante inteligencia de amenazas, caza de amenazas y detección. La investigación en privacidad preservadora de la IA, como la llevada a cabo en proyectos de la UE como Hexa-X, se centra en métodos como la privacidad diferencial, el cifrado homomórfico y la computación segura multiparte. Además, la exposición de redes y la seguridad de las API en 6G se expandirán, lo que empoderará a los desarrolladores, pero también exigirá medidas de seguridad mejoradas. Estas medidas se basarán en estándares de seguridad existentes de 5G, como la autenticación, la autorización y el registro de auditoría, y contribuirán a un equilibrio cuidadoso entre la funcionalidad expandida de la red y las consideraciones de seguridad. En conclusión, la evolución hacia redes 6G no solo mejorará la eficiencia y la disponibilidad de servicios, sino que también promoverá un enfoque más robusto y adaptable hacia la ciberseguridad. El aprovechamiento de la IA, la privacidad preservadora y el enfoque en estándares abiertos serán piedras angulares para construir una infraestructura segura y confiable, capaz de soportar las demandas futuras de conectividad y servicios avanzados.  

Para leer más ingrese a:

 El impacto de los incidentes de ciberseguridad sigue aumentando, y los costos anuales para la sociedad representan hasta el 3% del PIB. Tanto en los países desarrollados como en los países en desarrollo, sectores críticos como la sanidad, la energía y el transporte se ven cada vez más afectados por incidentes de ciberseguridad. Para la mayoría de los gobiernos y organizaciones de todo el mundo, la cuestión relevante ya no es si se producirá un incidente de ciberseguridad, sino cuándo. En consecuencia, los gobiernos han estado invirtiendo significativamente en su capacidad para detectar y responder a incidentes de ciberseguridad. Mientras que los bomberos y el personal sanitario de urgencias son los primeros en responder a los incidentes en el mundo físico, el personal de los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT) son los primeros en responder en el ámbito digital. En los países de renta alta, el ecosistema de respuesta a incidentes suele estar bastante desarrollado. Estos países suelen tener CSIRT especializados para sectores críticos, así como CSIRT de nivel empresarial para algunas grandes organizaciones. En contextos de ingresos altos, los CSIRT nacionales (nCSIRT) suelen desempeñar el papel de coordinador del ecosistema de respuesta a incidentes, y también se mantienen en reserva como CSIRT de «último recurso» para casos de incidentes graves. En Estados Unidos, España y Japón participan en FIRST 111, 57 y 44 equipos, respectivamente. El establecimiento y la mejora de los CSIRT en los países de renta baja y media se ha convertido, por tanto, en un elemento clave del programa de desarrollo digital. Tanto en los países de renta baja como en los de renta media, la creación y mejora de los CSIRT suele contar con el apoyo de la ayuda internacional al desarrollo financiada a través de organizaciones como el Banco Mundial, la Unión Internacional de Telecomunicaciones (UIT), la Organización de Estados Americanos (OEA) y la Unión Europea (UE). Por ejemplo, el Banco Mundial ha ayudado a establecer CSIRT en muchos países de distintas regiones, como Armenia, Bangladesh, Bután, Ghana, Kirguistán y Sierra Leona, entre otros. Sin embargo, el papel de los CSIRT en la resiliencia cibernética general, y los factores clave de éxito que permiten su puesta en marcha, siguen siendo a menudo poco claros para los responsables políticos. Por lo tanto, esta nota tiene como objetivo proporcionar a los responsables políticos una comprensión clara de la función y la importancia de los CSIRT, al tiempo que ofrece asesoramiento político basado en la evidencia sobre el establecimiento y la mejora de CSIRT en los países en desarrollo sobre la base de las mejores prácticas reconocidas y la experiencia sobre el terreno de los proyectos del Banco Mundial. CSIRT, CERT y CIRT son términos relacionados que se refieren al mismo concepto de equipo de respuesta a incidentes de ciberseguridad.  

El término CERTTM fue registrado en Estados Unidos por la Universidad Carnegie Mellon en 1997, que fomentó el uso de alternativas. Para entender el papel de los CSIRT en la ciberresiliencia general, es útil considerar el Marco de Ciberseguridad (CSF) del NIST, que conceptualiza la gestión de riesgos de ciberseguridad en torno a seis funciones clave: gobernar, identificar, proteger, detectar, responder y recuperar. Los CSIRT pueden definirse como organizaciones o unidades especializadas en la función «responder «, dado que la característica principal de los CSIRT es proporcionar capacidades de gestión de incidentes. La respuesta a incidentes es el mandato principal de los CSIRT, aunque en muchos países también prestan servicios de «detección de incidentes» y desempeñan otras funciones, como facilitar una cooperación más amplia para la gestión de riesgos de ciberseguridad a través de la formación, la sensibilización, la promoción de la ciberhigiene y el intercambio de información sobre amenazas. La circunscripción, la oferta de servicios y la gobernanza son tres características fundamentales para definir el papel de un CSIRT determinado. Determinan los niveles adecuados de financiación y personal necesarios para la operatividad del CSIRT. Para la función nacional de respuesta a incidentes, estas características deben estar claramente definidas dentro de un mandato otorgado por el gobierno o por ley al nCSIRT y a su institución anfitriona. Los CSIRT pueden evolucionar con el tiempo a medida que se desarrolla el ecosistema nacional de respuesta a incidentes. Si se crean nuevos CSIRT sectoriales, el nCSIRT puede delegar progresivamente la gestión de incidentes en estos sectores mientras se centra en la coordinación general a nivel nacional. A lo largo de los años, el papel de los CSIRT ha evolucionado desde la prestación de servicios limitados de gestión de incidentes hasta la coordinación y comunicación con las distintas partes interesadas, así como el intercambio de información sobre amenazas y la impartición de formación técnica a sus integrantes. Al igual que los bomberos, los CSIRT hacen cada vez más que responder a las emergencias: también conciencian, imparten formación y establecen relaciones con su comunidad de partes interesadas y electores. En contextos de bajos ingresos, los CSIRT deben «empezar poco a poco» y limitar su oferta de servicios a las necesidades básicas de sus miembros. Por ejemplo, en sus dos primeros años, un nCSIRT o CSIRT sectorial recién creado puede centrarse en el análisis de incidentes, la investigación forense, la coordinación de vulnerabilidades y la concienciación. En los años tres y cuatro, si el CSIRT ha conseguido establecer relaciones sólidas con sus miembros y hacer crecer su equipo, puede ampliar su oferta de servicios a la concienciación sobre la situación, los ejercicios de simulación y el apoyo a la gestión de crisis, entre otros. Y lo que es más importante, se pueden ofrecer diferentes servicios a diferentes destinatarios. Por ejemplo, un nCSIRT podría prestar servicios de gestión de incidentes a entidades gubernamentales, mientras que sólo se dedicaría a concienciar y promover la ciberhigiene entre los ciudadanos en general. La capacidad de generar confianza con sus destinatarios es un factor clave para el éxito de los CSIRT. Si la organización anfitriona se encuentra dentro de la comunidad de defensa, inteligencia o aplicación de la ley, por ejemplo, puede ser más difícil para los CSIRT crear confianza con los constituyentes externos.  

El Banco Mundial suele recomendar que los CSIRT gubernamentales o nCSIRT se alojen en instituciones civiles, como ministerios u organismos independientes. En América Latina y el Caribe, la mayoría de los nCSIRT se alojan en organismos civiles, como ministerios relacionados con la Ciencia o la Tecnología o la Oficina de la Presidencia. La capacidad de conseguir fondos para financiar su oferta de servicios es también un factor clave para el éxito de los CSIRT. Aunque la ayuda internacional al desarrollo puede, en algunos casos, financiar las inversiones iniciales y los gastos de funcionamiento durante los dos o tres primeros años de funcionamiento del CSIRT, éste debe construir paralelamente un modelo financiero sólido para apoyar el desarrollo a largo plazo. Por ejemplo, la organización anfitriona podría destinar un presupuesto al funcionamiento del CSIRT. Más allá del presupuesto de la Administración central y de las cuotas de afiliación, los modelos híbridos innovadores ofrecen algunos servicios gratuitos y otros de pago. Las APP podrían reducir la carga financiera del sector público y facilitar la transferencia de conocimientos. El capex incluye las inversiones iniciales necesarias para establecer el CSIRT, como la evaluación previa, la adquisición de software y hardware (por ejemplo, servidores, conmutadores, cortafuegos, ordenadores portátiles, impresora, copias de seguridad, etc.), la contratación de consultores para formar y actualizar al personal y la financiación de activos fijos, como la compra de una oficina. El gasto operativo cubre los gastos cotidianos del CSIRT, como el salario del personal, las licencias de software, la formación, las cuotas de los miembros, el mantenimiento de la oficina, las comunicaciones y los eventos. Sin embargo, los costos reales de creación y funcionamiento de un CSIRT dependen en gran medida del contexto y, en particular, del nivel de renta del país (los niveles salariales del personal y los costos de alquiler de una oficina variarán significativamente entre un país de renta alta y uno de renta baja) y del tamaño (es probable que el funcionamiento de un CSIRT nacional en un pequeño Estado insular en desarrollo sea menos costoso que el funcionamiento de un CSIRT nacional en un país más grande con más de 50 millones de habitantes). Los rangos de costos que se indican a continuación reflejan un modelo operativo muy reducido y pueden ser fácilmente superiores en función del diseño, el contexto y las funciones del CSIRT. La formación y la participación en redes internacionales de respuesta a incidentes son esenciales para el éxito del desarrollo de los CSIRT. Por lo tanto, los planes financieros de los CSIRT deben destinar presupuesto8 para tales actividades, normalmente enviando al menos a dos miembros del personal para participar en estos eventos. Para limitar los costos de viaje, la formación de los equipos más grandes puede realizarse in situ, trayendo a formadores especializados del país para que impartan sesiones de formación de una o dos semanas. 

El informe destaca la importancia crítica de los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRTs) en la resiliencia cibernética nacional. Los CSIRTs actúan como los primeros respondedores digitales, brindando respuesta a incidentes, capacitaciones, concienciación y fortalecimiento comunitario, aunque no se ocupan de la aplicación de la ley ni del desarrollo de políticas. Se establece una correlación fuerte entre la capacidad de respuesta a incidentes de un país y su capacidad general de ciberseguridad. En África Occidental y Central, por ejemplo, los países con un CSIRT plenamente operativo son los que obtienen las puntuaciones más altas en el Índice Global de Ciberseguridad de la Unión Internacional de Telecomunicaciones. El informe revela una disparidad significativa en la distribución de CSIRTs entre países de distintos niveles de ingresos. Mientras que más de 500 CSIRTs se han establecido en países de altos ingresos, solo seis países de bajos ingresos tienen un CSIRT plenamente operativo. Los países de ingresos medios tienen, en promedio, solo un CSIRT operativo. La inversión en respuesta a incidentes se muestra como altamente rentable en comparación con los costos anuales estimados de los incidentes de ciberseguridad, que pueden representar hasta el 3% del PIB. Se recomienda priorizar la inversión en la creación, mejora y operación de CSIRTs en países en desarrollo. Para los países de bajos ingresos, el enfoque inicial debería ser la creación y operación del CSIRT nacional (nCSIRT), que puede comenzar brindando servicios exclusivamente al gobierno o a operadores de infraestructuras críticas. En los países de ingresos medios, se debe fortalecer la función del nCSIRT y establecer una red robusta de CSIRTs sectoriales dedicados a la protección de infraestructuras críticas. El uso de herramientas y recursos de código abierto desarrollados por la comunidad de profesionales puede ayudar a reducir los costos iniciales y operativos de los CSIRTs. La participación en redes internacionales y regionales de respuesta a incidentes es esencial para asegurar «ganancias rápidas» y construir capacidad rápidamente en CSIRTs recién establecidos. Modelos innovadores, como las asociaciones público-privadas (PPP), podrían facilitar la transferencia de conocimientos y reducir la inversión pública inicial necesaria para establecer CSIRTs. En resumen, los CSIRTs son fundamentales para la infraestructura de ciberseguridad de un país, y su establecimiento y mejora deben ser una prioridad en los esfuerzos de desarrollo cibernético, especialmente en contextos de bajos y medianos ingresos.  

Para leer más ingrese a:

La revolución de la IA está transformando la educación a un ritmo sin precedentes, ofreciendo oportunidades revolucionarias para personalizar las experiencias de aprendizaje, apoyar a los docentes en sus tareas diarias y optimizar la gestión educativa. Investigaciones recientes demuestran el inmenso potencial de la IA para impulsar la productividad en el trabajo del conocimiento, con un estudio que encontró que los consultores que utilizan GPT-4 completaron más tareas, trabajaron más rápido y produjeron resultados de mayor calidad en comparación con aquellos sin asistencia de IA. El rápido avance de las capacidades de la IA es evidente cuando se compara el estado de la tecnología hace apenas un año. Hoy en día, los modelos de IA no solo pueden participar en conversaciones complejas, generar texto similar al humano e incluso ayudar con tareas de codificación, sino que también pueden combinar y generar contenido en diferentes modalidades como texto, imágenes, audio y video. Se espera que este crecimiento exponencial en las capacidades de la IA continúe, permitiendo el desarrollo de herramientas cada vez más sofisticadas para apoyar el sistema educativo. Este informe explora nueve innovaciones clave impulsadas por la IA en la región de América Latina y el Caribe (ALC), divididas en soluciones para docentes, estudiantes y administración. Para los docentes, los mentores basados en IA como los desarrollados por Elige Educar en Chile están brindando orientación profesional personalizada, apoyo y tutoría a los educadores actuales y futuros, ayudando a mejorar la contratación y retención de docentes. El programa “Quiero Ser Profe” de Elige Educar, que utiliza chatbots mejorados con IA, ha mostrado efectos positivos significativos en la inscripción de estudiantes de secundaria en programas de formación docente. Mientras tanto, los sistemas de retroalimentación basados en IA, como TeachFX en Estados Unidos, ofrecen desarrollo profesional frecuente y específico al analizar los datos del discurso en el aula y generar ideas pedagógicas, permitiendo a los docentes refinar continuamente sus prácticas de instrucción a escala. Además, herramientas de planificación de lecciones asistidas por IA como UmmIA en Chile están empoderando a los docentes para crear de manera eficiente contenido atractivo y alineado con los estándares, adaptado a las necesidades de los estudiantes, al tiempo que reducen el tiempo de planificación. Al automatizar tareas administrativas rutinarias, la IA también está minimizando la carga de trabajo de los docentes, permitiéndoles enfocarse más en enseñar y orientar a los estudiantes. Los estudiantes se benefician de los sistemas de tutoría basados en IA que se adaptan a sus necesidades individuales y brindan retroalimentación en tiempo real.  

Un ensayo controlado aleatorio en Ecuador encontró que el acceso al sistema ALEKS basado en IA para la remediación de matemáticas condujo a mejoras significativas en los puntajes de las pruebas de matemáticas y las tasas de aprobación de cursos para estudiantes de educación superior. Sin embargo, el informe también examina el uso controvertido de herramientas de IA generativa como ChatGPT para las tareas, destacando la necesidad de que los educadores adapten las estrategias de evaluación, fomenten la alfabetización en IA y guíen a los estudiantes en el uso responsable de estas tecnologías. En la administración educativa, los asistentes basados en IA como Uplanner están agilizando procesos como la gestión curricular, el apoyo estudiantil y la asignación de recursos al automatizar tareas, brindar orientación personalizada y generar información basada en datos. Los sistemas de alerta temprana impulsados por IA, como los implementados en Chile, Perú y Uruguay, están ayudando a identificar a los estudiantes en riesgo de abandonar los estudios, permitiendo intervenciones oportunas y específicas para mantener a los estudiantes encaminados. Además, los mecanismos de asignación centralizados que utilizan algoritmos de IA están mejorando la eficiencia y equidad de la asignación de docentes a vacantes y estudiantes a escuelas, como lo demuestran las iniciativas en Ecuador, Chile y Perú que han reducido la escasez de docentes y mejorado el acceso de los estudiantes a oportunidades educativas de mayor calidad. Al explorar estos ejemplos del mundo real y los últimos hallazgos de investigación, este informe ofrece información valiosa sobre cómo la IA tiene el potencial de transformar la educación en América Latina y el Caribe, empoderando a los docentes, personalizando el aprendizaje, optimizando la administración y, en última instancia, impulsando mejores resultados para todos los estudiantes. Tanto los responsables de políticas, como los educadores e innovadores encontrarán estrategias accionables para aprovechar el potencial de la IA para abordar los desafíos educativos persistentes, mientras navegan de manera proactiva las consideraciones éticas y las complejidades de implementación que se avecinan en el camino hacia un futuro de aprendizaje impulsado por la IA. Sin embargo, aprovechar el potencial de la IA requiere abordar desafíos clave con un optimismo cauteloso. Primero, cerrar la brecha digital y garantizar un acceso equitativo a la infraestructura y las habilidades digitales es crucial para una adopción inclusiva de la IA. 

En segundo lugar, desarrollar marcos de gobierno ético y fomentar la fluidez de la IA a nivel organizacional son esenciales para una integración responsable de la IA. En tercer lugar, si bien la información presentada en este informe tiene un enorme potencial, aún es preliminar y existe evidencia limitada sobre la efectividad de las intervenciones de IA a escala. Es esencial enfatizar que la IA no debe verse como un reemplazo de la experiencia humana, sino más bien como una forma de mejorar y escalar el impacto del juicio y las habilidades humanas. El papel de los educadores sigue siendo crítico, y las herramientas de IA deben verse como poderosos asistentes que pueden ayudar a los maestros a personalizar las experiencias de aprendizaje, brindar apoyo específico y tomar decisiones basadas en datos. Al aprovechar la IA de manera responsable y en asociación con la experiencia humana, se puede crear un futuro de la educación que sea altamente efectivo y profundamente centrado en el ser humano. En conclusión, la revolución de la IA en la educación presenta inmensas oportunidades y desafíos complejos para la región de ALC. Ignorar la IA no es una opción, dado que tiene el potencial de transformar el panorama educativo y brindar a los estudiantes oportunidades sin precedentes para el crecimiento y el desarrollo. Al comprender el panorama actual, anticipar las tendencias futuras y abordar de manera proactiva los desafíos, las naciones de ALC pueden aprovechar el poder transformador de la IA para crear experiencias de aprendizaje inclusivas, innovadoras y efectivas para todos. Esto requerirá una colaboración continua entre los responsables de políticas, educadores, investigadores y proveedores de tecnología para garantizar que la IA se desarrolle y despliegue de una manera que beneficie a todos los estudiantes mientras se mitigan los riesgos potenciales y las consecuencias no deseadas. El momento de actuar es ahora, y este informe sirve como una guía para que las partes interesadas naveguen por este campo en rápida evolución, al tiempo que reconocen que aún queda mucho trabajo por delante para realizar el potencial de la IA en la educación. 

La revolución de la IA en la educación está transformando profundamente las metodologías y prácticas educativas, ofreciendo innovaciones que mejoran la personalización del aprendizaje, el apoyo a los docentes y la eficiencia administrativa. Este informe del Banco Mundial detalla nueve aplicaciones clave de la IA en la región de América Latina y el Caribe, abarcando desde sistemas de tutoría y retroalimentación hasta asistentes administrativos y sistemas de alerta temprana. Para los docentes, herramientas como los mentores impulsados por IA en Chile están proporcionando orientación personalizada y mejorando la contratación y retención de educadores. Además, sistemas de retroalimentación como TeachFX en Estados Unidos analizan datos del aula para ofrecer desarrollo profesional específico, permitiendo a los docentes refinar sus prácticas pedagógicas continuamente. Herramientas de planificación asistidas por IA como UmmIA facilitan la creación de contenido educativo alineado con los estándares, mientras que la automatización de tareas administrativas reduce la carga de trabajo de los docentes, permitiéndoles centrarse en la enseñanza. Para los estudiantes, los sistemas de tutoría basados en IA ofrecen aprendizaje personalizado y retroalimentación en tiempo real. Por ejemplo, el sistema ALEKS en Ecuador ha mostrado mejoras significativas en los puntajes de matemáticas y tasas de aprobación de cursos. Sin embargo, el uso de herramientas generativas como ChatGPT para tareas plantea desafíos, subrayando la necesidad de alfabetización en IA y estrategias de evaluación adaptadas. En el ámbito administrativo, asistentes basados en IA como Uplanner están optimizando procesos de gestión curricular y asignación de recursos, mientras que los sistemas de alerta temprana en Chile, Perú y Uruguay ayudan a identificar estudiantes en riesgo de abandono escolar, permitiendo intervenciones oportunas. Mecanismos de asignación centralizados que utilizan algoritmos de IA mejoran la eficiencia y equidad en la distribución de docentes y estudiantes. La implementación efectiva de estas innovaciones requiere asociaciones público-privadas robustas, marcos regulatorios adaptados y un enfoque en la formación continua de docentes y estudiantes para el uso responsable y ético de la IA. Este informe destaca cómo la IA puede revolucionar la educación, pero también subraya la importancia de una integración cuidadosa y equitativa para maximizar sus beneficios.  

Para leer más ingrese a: