Introducción
La seguridad de operaciones (OPSEC) es un componente vital en el desarrollo de mecanismos de protección para salvaguardar información sensible y preservar la confidencialidad esencial. Para desarrollar un programa efectivo de OPSEC, el oficial de OPSEC de la organización debe comprender la gama de amenazas que enfrenta su actividad. Este manual proporciona información de amenazas no clasificadas que pueden ser utilizadas por los gerentes de programas de OPSEC para desarrollar regímenes de protección y capacitar al personal de la organización. Fue desarrollado como un documento no clasificado para permitir la circulación más amplia posible de datos de amenazas dentro de organizaciones que pueden ser objetivo de actividades de recolección de inteligencia.
Amenazas a la Seguridad de Operaciones
A pesar de los cambios extraordinarios en el entorno geopolítico mundial en los últimos años, muchas naciones y organizaciones no gubernamentales están llevando a cabo operaciones de inteligencia contra Estados Unidos. Según un alto funcionario del Buró Federal de Investigaciones, más de 90 naciones están llevando a cabo actualmente operaciones de inteligencia dirigidas a Estados Unidos. En testimonio ante la Cámara de Representantes, el entonces Director de Inteligencia Central, Robert Gates, afirmó que 20 naciones están recolectando activamente inteligencia económica dentro de Estados Unidos, y que al menos 50 naciones tienen la capacidad de llevar a cabo operaciones de inteligencia sofisticadas dirigidas a Estados Unidos. Estas operaciones de inteligencia van desde operaciones clásicas de inteligencia humana hasta capacidades de recolección de inteligencia técnica, como la inteligencia de señales y la inteligencia de imágenes. Algunos países que tienen operaciones de inteligencia significativas dirigidas a Estados Unidos incluyen Rusia, la República Popular China, Cuba, Francia, Taiwán, Corea del Sur, India, Pakistán, Israel, Siria, Irán, Irak y Libia.
Disciplinas de Inteligencia
Las actividades de recolección de inteligencia se pueden categorizar en términos de las disciplinas de recolección utilizadas. Hay cuatro disciplinas principales de inteligencia:
- Inteligencia Humana (HUMINT): utiliza seres humanos como fuente de información y como instrumento principal de recolección.
- Inteligencia de Señales (SIGINT): involucra información de inteligencia derivada de la interceptación de señales. Esto incluye inteligencia de comunicaciones (COMINT), inteligencia electrónica (ELINT) e inteligencia de señales de instrumentación extranjera (FISINT).
- Inteligencia de Imágenes (IMINT): se refiere a la inteligencia derivada de la explotación de información recopilada por fotografía visual, sensores infrarrojos, láseres, electro-óptica y sensores de radar, como el radar de apertura sintética.
- Inteligencia de Medición y Firma (MASINT): se refiere a la inteligencia derivada a través de sistemas de recolección técnica con el propósito de identificar características distintivas asociadas con la fuente, emisor o remitente que permitirán la posterior identificación de estos objetivos de recolección. Las subdisciplinas comunes de MASINT son inteligencia acústica (ACOUSTINT), inteligencia láser (LASINT) e inteligencia de radiación (RADINT).
Amenazas de Colección de Inteligencia
Las actividades de recolección de inteligencia van desde las actividades tradicionales de recolección política y militar llevadas a cabo por adversarios conocidos de Estados Unidos, que la mayoría de las personas asocian con el espionaje, hasta la recolección de datos económicos y de propiedad por parte de naciones amigas y competidores industriales. Las organizaciones de inteligencia involucradas en actividades de recolección utilizan una amplia gama de capacidades de recolección para obtener información sobre actividades específicas en Estados Unidos. Estas actividades de recolección se pueden categorizar en términos de las disciplinas de recolección utilizadas.
Amenazas de Colección de Fuentes Abiertas
El material de origen abierto y la observación abierta de actividades y operaciones sensibles son fuentes importantes de información para grupos que tienen como objetivo a organizaciones en Estados Unidos. Con la explosión continua de recursos de información, el desafío planteado por la recolección de fuentes abiertas para los gerentes de programas de OPSEC es probable que crezca exponencialmente en los próximos años. Los gerentes de programas de OPSEC deben ser conscientes de la amenaza que representa la recolección de fuentes abiertas y asegurarse de que esta amenaza sea reconocida en el programa de OPSEC de la organización.
El Rol de OPSEC
Los procedimientos y requisitos de seguridad de operaciones se formalizaron en 1988 bajo las disposiciones de la Directiva de Decisión de Seguridad Nacional 298, el Programa Nacional de Seguridad de Operaciones. OPSEC no fue diseñado para reemplazar los programas de seguridad creados para proteger información clasificada, como la seguridad física, la seguridad de la información y la seguridad del personal. OPSEC se desarrolló para promover la efectividad operativa al negar a los adversarios indicadores públicamente disponibles de actividades, capacidades o intenciones sensibles o clasificadas. El objetivo de OPSEC es controlar la información y las acciones observables sobre las capacidades, limitaciones e intenciones de una organización para prevenir o controlar la explotación de la información disponible por parte de un adversario.
El Proceso de OPSEC
El proceso de OPSEC consta de cinco pasos que se deben seguir para implementar un programa efectivo de OPSEC:
- Identificación de la Información Crítica: La información crítica es un conjunto de datos factuales sobre las intenciones, capacidades y actividades de una organización que el adversario necesita para planificar y actuar de manera efectiva para degradar la efectividad operativa o poner en riesgo el potencial de éxito organizacional.
- Análisis de Amenazas: El análisis de amenazas consiste en determinar la capacidad del adversario para recolectar, procesar, analizar y utilizar información. El objetivo del análisis de amenazas es conocer tanto como sea posible sobre cada adversario y su capacidad para dirigirse a la organización.
- Análisis de Vulnerabilidades: El análisis de vulnerabilidades requiere que el analista de OPSEC adopte una visión adversarial de la actividad que requiere protección. El analista intenta identificar debilidades o susceptibilidades que puedan ser explotadas por las capacidades de recolección del adversario.
- Evaluación de Riesgos: La evaluación de riesgos es el corazón del proceso de OPSEC. En una evaluación de riesgos, se comparan las amenazas y vulnerabilidades para determinar el riesgo potencial que representan las actividades de recolección de inteligencia del adversario.
- Aplicación de Contramedidas Apropiadas: En el último paso, se desarrollan contramedidas para proteger la actividad. Las contramedidas elegidas idealmente eliminan la amenaza del adversario, las vulnerabilidades que pueden ser explotadas por el adversario o la utilidad de la información.
Conclusiones
La seguridad de operaciones (OPSEC) es esencial para proteger la información sensible y clasificada de una organización. Al comprender las amenazas y vulnerabilidades, y al aplicar contramedidas adecuadas, es posible prevenir la explotación de información crítica por parte de adversarios. El proceso de OPSEC proporciona un marco efectivo para desarrollar contramedidas de seguridad adaptadas a las necesidades de la organización. Al implementar un programa de OPSEC sólido, las organizaciones pueden proteger su información y salvaguardar su efectividad operativa.
