Las ciudades pueden crear comunidades más seguras, más eficientes y resilientes a través de la innovación tecnológica y la toma de decisiones basada en datos; sin embargo, esta oportunidad también presenta vulnerabilidades potenciales que, si se aprovechan, podrían afectar la seguridad nacional, la seguridad ciudadana y las operaciones de infraestructura crítica.
Las ciudades como un ecosistema digital
Las ciudades se han convertido en un ecosistema complejo de servicios municipales, entidades públicas y privadas, personas, procesos, dispositivos e infraestructura que interactúan constantemente entre sí. En general, es posible identificar 3 capas dentro de este sistema:
EL NÚCLEO
El núcleo es la plataforma tecnológica (plataforma en la nube, plataforma de datos IOT- Internet Of Things) que procesa los datos y genera la lógica comercial para dar sentido a los datos que fluyen desde el perímetro.
LA CAPA DE COMUNICACIÓN
El canal de comunicación (Bluetooth, NFC, LTE. WiFi Direct) establece un intercambio de datos constante y bidireccional entre los diversos componentes del ecosistema.
EL BORDE
La capa de borde comprende dispositivos como sensores, actuadores y teléfonos inteligentes, así como aplicaciones IOT como iluminación inteligente y recolección de basura inteligente. Este es el frente de la ciudad inteligente.
Actores clave en el proceso de ciberseguridad
Líderes Gobierno
Gerentes Municipales
Personal de tecnologías de la información y terceros
Además de un ecosistema de ciudad cibersegura compuesto por:
- La ciudadanía como destinataria de los servicios.
- Las plataformas y redes de comunicaciones que permiten la entrega de información.
- Los dispositivos conectados, las aplicaciones, los datos y la información que transmiten.
- Un ecosistema urbano a través del cual se prestan servicios públicos.
- La infraestructura tecnológica y los sistemas que dan sostén a la prestación de los servicios digitales.
- La capacidad de ciberseguridad para proteger sus activos, esto es, una instancia que involucra todos los elementos anteriores.
Fuente: BID (2021)
¿Por qué es importante diseñar mecanismos de ciberseguridad en las ciudades?
- Ayuda a las ciudades y administraciones locales a protegerse en el ciberespacio.
- Aumenta la conciencia y la comprensión de la seguridad cibernética, en un entorno de creciente digitalización y conexión de infraestructuras y servicios urbanos.
- Reduce riesgos en los procesos de intercambio de datos entre los usuarios y las entidades públicas y privadas, además de la protección a sus infraestructuras físicas.
- Fomenta un entorno propicio para el crecimiento económico y el desarrollo de las ciudades.
- Previene el caos urbano, pues un ataque cibernético que afecte al tráfico, al transporte público o a los servicios de emergencia podría resultar en el colapso del flujo de personas y mercancías dentro de la ciudad.
Las ciudades deben desarrollar un enfoque holístico en la infraestructura física y digital, que permita la interoperabilidad e interconexión, mientras provee espacios seguros para los usuarios y administradores de datos.
Los objetivos de seguridad de una ciudad inteligente: confidencialidad, integridad, disponibilidad, seguridad y resiliencia deben basarse en los objetivos de las tecnologías de la información tradicional (para proteger los datos), así como de la tecnología operativa (para garantizar la seguridad y la resiliencia de los sistemas y procesos). Estos objetivos de seguridad combinados pueden ayudar a las ciudades a mantener un entorno operativo más seguro y resistente.
Motivaciones para un ataque cibernético a ciudades
Personales
El individuo atacante busca satisfacer un deseo, cumplir un reto, curiosidad, venganza, satisfacción personal.
Empresariales (competencia desleal)
La puesta en peligro de la información, la obtención de secretos corporativos, el conocimiento de la actividad empresarial, de la infraestructura que da soporte a los servicios y, en general, de los bienes o servicios ofrecidos.
Criminales
La motivación criminal puede estar vinculada a dos finalidades. Por un lado, al daño, lesión o puesta en peligro de los bienes jurídicos de la víctima; por otro, a la obtención de un provecho para el victimario o para un tercero.
Económicos
La materialización de un ataque puede buscar una retribución, una compensación, un beneficio o una ganancia para el atacante o para un tercero.
Políticos
Cambio del régimen político imperante, la caída de un sector democrático, el direccionamiento para la toma de una decisión ciudadana, la puesta en peligro o desestabilización de la soberanía, el gobierno, el territorio o la población de una nación.
Otros
Existen otras motivaciones o un conjunto de distintas motivaciones en un mismo evento de vulnerabilidad. Por ejemplo, puede darse la realización de una actividad criminal por venganza que, a la vez, incluye motivaciones de tipo económico o de competencia corporativa.
Consecuencias que puede traer un ciber ataque a una ciudad
- Interrupción de servicios críticos de la ciudad, como energía, suministro/tratamiento de agua, movilidad, salud, control de tráfico, etc.
- Reducción de la productividad de los trabajadores, lo que incluye la suspensión de la recaudación de ingresos propios municipales.
- Imposibilidad de prestar servicios al ciudadano, como la realización de trámites o el despacho de autorizaciones, entre otros.
- Daño a la reputación de la administración municipal y desconfianza.
- Violación de las leyes de privacidad y confidencialidad de datos, lo cual puede generar investigaciones y sanciones.
- Pérdida de las inversiones que se han realizado para la prestación de servicios.
- Desestabilización política, económica, o social.
- Afectaciones a la integridad, disponibilidad, confidencialidad y autenticidad de los datos.
¿Cómo se pueden reducir los riesgos de ciberseguridad en las ciudades?
La Agencia de Ciberseguridad e Infraestructura (CISA) y la Agencia Nacional de Seguridad (NSA) de los EE. UU, en su decálogo anual de recomendaciones (2023) incluye una serie de elementos que los tomadores de decisión en las ciudades deben tener en cuenta en el momento de formular una política pública de ciberseguridad, entre los que se encuentran:
- Incluir procesos de previsión estratégica y gestión proactiva de riesgos de ciberseguridad en sus planes y diseños para integrar tecnologías de ciudades inteligentes en sus sistemas de infraestructura.
- Aplicar el principio de privilegio mínimo en todos sus entornos de red. Tal como lo define el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), el principio de privilegio mínimo es: «El principio de que una arquitectura de seguridad debe diseñarse de modo que cada entidad reciba los recursos mínimos del sistema y las autorizaciones que la entidad necesita para realizar su función».
- Proteger las aplicaciones de acceso remoto y haga cumplir la autenticación multifactor (MFA) en cuentas y dispositivos locales y remotos donde sea posible para fortalecer la infraestructura que permite el acceso a redes y sistemas.
- La implementación de principios de diseño de red de confianza cero creará un entorno de red más seguro que requiere autenticación y autorización para cada nueva conexión con un enfoque de seguridad en capas y de defensa en profundidad.
Casos de éxito
Singapur
- Un caso único al ser en esencia una ciudad-Estado.
- Modelo exitoso de implementación de política pública, replicable para otras ciudades.
- Alta accesibilidad a internet por parte de la población, con un nivel de tecnología y digitalización altamente desarrollado, involucrando una cantidad masiva de datos, integración del internet de las cosas (IoT) e interoperabilidad de los diversos servicios ofrecidos a la población (IMD, 2023).
- Sensibilidad y vulnerabilidad a las ciberamenazas es proporcionalmente mayor al de otras ciudades del mundo.
Estrategia
- Infraestructura: Construcción de una infraestructura de ciber resiliencia a través de la compartimentación de las unidades municipales, la inversión en sus defensas y la identificación de la infraestructura crítica ubicada en el centro de la estrategia de seguridad.
- Educación para la prevención: Teniendo en cuenta la omnipresencia del ciberespacio, los esfuerzos se dirigen a volver este un entorno más seguro a través de una política de concientización y educación de la población en protocolos de seguridad y la constante vigilancia del ciberespacio para activar las capacidades técnicas de forma preventiva.
- Cooperación regional: Adopción de un enfoque de cooperación cibernética a nivel regional y global.
La Haya – Países Bajos
- La Haya fue de las primeras Smart Cities en adoptar un enfoque de resiliencia en contraposición a la utópica aspiración de ciber inmunidad que persiguieron sin éxito otras ciudades en el mundo (Deloitte, 2019).
- La ciberseguridad como factor transversal en la toma de decisiones generales de los municipios o ciudades como la contratación, aplicación, evaluación u otros permite una ejecución coherente de la política pública protegiendo la integridad de la información y procesos.
Estrategia
- Adquirir ciber resiliencia a través de cinco los cinco pilares del modelo NIST: 1) Identificar, 2) Proteger, 3) Detectar, 4) Responder, 5) Recuperar.
- Establecer protocolos de ciberseguridad en diversos niveles y actores: Estratégico/Alcaldía, Táctico/secretarías y departamentos, Operativo/empleados.
- Un ejemplo de esto, es que al menos cinco de los departamentos internos de seguridad de la información tienen un rol adicional de asesoría y consejería del nivel estratégico.
- Esta estrategia más dinámica, preventiva e innovativa de la ciudad permitió expandir su capacidad de ciberseguridad sin entorpecer su proceso de digitalización.
Telaviv- ISRAEL
- Tel Aviv es una ciudad que ha tenido que priorizar su seguridad a nivel general dado su contexto geopolítico (Israel National Cyber Directorate, 2021).
- Una ciudad con rápida digitalización en gran medida por el factor de las empresas digitales y tecnológicas en la economía nacional. Cuenta con múltiples startups y empresas líderes que promueven un ecosistema constante e innovador en ciber seguridad.
- Debido a numerosos ciberataques a lo largo de toda la infraestructura crítica y previendo que seguirán en aumento, Tel Aviv decidió implementar una estrategia de ciberseguridad propia alineada a la estrategia nacional de ciberseguridad, con despliegue rápido frente a amenazas locales.
Estrategia
Política de ciberseguridad de dos niveles: estratégico y cooperativo.
- El nivel estratégico se alinea con el modelo de acción del Directorio Cibernético Nacional, lo que permite una respuesta local en casos cotidianos, pero ante amenazas estatales o de gran impacto, se ceden temporalmente las funciones al nivel estatal.
- En el nivel cooperativo, se involucra proactivamente a diversos actores del sector cibernético en la planificación preventiva y el fomento de la ciber resiliencia.
Tokio – Japón
- Tokio se destaca como uno de los lugares más tecnológicos del mundo. Empresas líderes en la industria, como Panasonic, Sharp, Mitsubishi y otros, están dedicadas a trabajar arduamente para convertir la ciudad en un referente de la urbanización inteligente.
- La presencia de la tecnología NFC en toda la ciudad es crucial para el desarrollo de las actividades de la vida diaria. Todo el transporte público de las principales ciudades japonesas se puede pagar con NFC y miles de quioscos, tiendas de conveniencia y grandes superficies reciben pagos por ese medio.
- Cuenta con servicios de comunicación rápida y gran despliegue de alertas mediante teléfonos móviles ante eventualidades como sismos.
Estrategia
- En 2022, Japón publicó dos documentos importantes relacionados con la seguridad: La Política de ciberseguridad para la protección de infraestructuras críticas (CPCIP) publicada en junio por la Sede Estratégica de Ciberseguridad, un organismo dirigido por el Secretario Jefe del Gabinete) y una Estrategia de Seguridad Nacional (NSS) revisada. (Diciembre).
- El CPCIP ayudará a los operadores de infraestructuras críticas a promover aún más respuestas en todos los niveles de las organizaciones. La NSS, un documento más completo que describe la necesidad del país de fortalecer sus capacidades de respuesta en ciberseguridad y adoptar prácticas y tecnologías de vanguardia relacionadas con la ciberseguridad.
Referencias
Deloitte (2019). Making smart cities cybersecure.
NSA (2023). Cibersecurity Best practicies fo smart cities.
BID (2021). Guia de ciberseguridad para ciudades inteligentes.
www.technologyreview.com
Burbano, L. (2023, 31 de mayo). Cyber Resilience, Pillars and Examples of Cities that Apply Them. Tomorrow City.
Cyber Security Agency of Singapore. (2021). The Singapore Cybersecurity Strategy.
Deloitte. (2019). Making Smart Cities Cybersecure.
IMD. (2023). Smart City Index 2023.
Israel National Cyber Directorate. (2021). Israel International Cyber Strategy – International Engagement for GlobalResilience.
Mims, Christopher (2011). Cellular Technology that Told Japan an Earthquake Was Coming. MIT Tech review.
