Automatizar o fallar la defensa nacional ante la fragilidad de los procesos manuales

Que más de la mitad de las organizaciones de seguridad nacional sigan dependiendo de procesos manuales para mover información sensible es una noticia que debería encender todas las alertas en ministros, jefes de defensa y responsables de ciberseguridad. Los traslados hechos a mano no son sólo lentos: son puntos de fallo explotables, y en un contexto geopolítico donde la velocidad y la certeza definen la ventaja operativa, esa fragilidad puede traducirse en decisiones equivocadas o en operaciones comprometidas.

Los incidentes de la última década, desde ataques complejos a la cadena de suministro hasta filtraciones derivadas de procedimientos inconsistentes, han dejado claro que los adversarios buscan y aprovechan las costuras del proceso. Las medidas que en su día se adoptaron como paliativos —imprimir documentos, autorizar transferencias por correo electrónico o validar manualmente cada intercambio— se han convertido en vectores de riesgo porque introducen variabilidad, retrasos y lagunas de auditoría que resultan difíciles de corregir cuando hay que reconstruir una cadena de custodia.

Las razones por las que persiste lo manual son múltiples y muy humanas. Primero, las plataformas heredadas que sostienen buena parte de las redes gubernamentales y de defensa no fueron diseñadas para interoperar con motores de políticas automatizadas ni con esquemas modernos de cifrado, y su sustitución implica costes y disrupciones que muchas organizaciones no pueden permitirse de un día para otro. El propio proceso de adquisición agrava la demora: controles, certificaciones y plazos que en la práctica convierten cualquier modernización en un proyecto multianual, mientras la amenaza avanza en tiempo real. Finalmente, la cultura institucional juega su papel: en ámbitos donde la responsabilidad personal pesa mucho, la supervisión humana se percibe como la opción más segura, aunque los datos demuestren que el error humano es una de las principales fuentes de incidentes.

Ese mix de tecnología antigua, burocracia y confianza en lo tangible crea un cóctel peligroso: errores que se replican, políticas susceptibles de interpretación y registros fragmentados que complican la respuesta ante una brecha. No es sólo que se pierda eficiencia operativa; es que la propia capacidad de demostrar qué ocurrió, cuándo y por quién queda comprometida, lo que debilita tanto la respuesta técnica como la rendición de cuentas.

La buena noticia es que existe un marco de trabajo pragmático para transformar esa fragilidad en resiliencia. No se trata de automatizar por automatizar, sino de articular tres pilares que, combinados, ofrecen un enfoque coherente para proteger identidades, datos y fronteras operativas. El primero es el modelo de Zero Trust: verificar continuamente la identidad y el contexto de cada usuario, dispositivo y acción para evitar confianzas implícitas. Las guías técnicas y marcos oficiales ya lo señalan como una ruta prioritaria para entornos críticos; el NIST Special Publication 800-207 explica cómo esa arquitectura reconfigura controles y privilegios para reducir el riesgo interno.

El segundo pilar pone al dato en el centro: proteger la información allí donde se encuentra y en tránsito, mediante clasificación, cifrado robusto y políticas que acompañan al archivo independientemente de la red que lo transporte. Este enfoque, conocido como data-centric security, minimiza el impacto de compromisos de red porque el valor de la información está protegido por control directo, no por límites perimetrales que hoy son permeables. Organismos como el NCSC del Reino Unido recomiendan esta orientación como complemento imprescindible a las defensas de red tradicionales.

El tercer pilar trata un reto muy concreto de los entornos de defensa: la transferencia segura entre dominios con distintos niveles de clasificación. Las soluciones cross-domain automatizan la inspección, la aplicación de autorizaciones de liberación y la sanitización del contenido, permitiendo compartir inteligencia con aliados sin convertir cada envío en un cuello de botella operativo. Cuando estas herramientas se integran con controles de identidad y protección centrada en datos, se reduce significativamente la ventana de oportunidad para un actor malicioso.

Aplicar esta tríada no es sólo una decisión técnica, es una decisión de diseño organizacional. En contextos multinacionales y coaliciones, las claves pasan por federar identidades y acordar estándares interoperables para que las políticas se apliquen de forma uniforme entre socios. En el terreno táctico hay que pensar en agentes ligeros y sincronizaciones resilientes que funcionen con ancho de banda limitado. Y en la cadena de suministro, la automatización debe extenderse a contratistas y proveedores mediante verificaciones y trazabilidad más estrictas; CISA ha centrado buena parte de sus advertencias en la necesidad de asegurar esa superficie de ataque porque los incidentes como el de SolarWinds demostraron cómo un fallo en la cadena impacta sistemas críticos (ver análisis de CISA).

No hay que perder de vista la dimensión humana: automatizar no significa desentenderse del factor humano, sino liberarlo de tareas repetitivas para que el talento se concentre en diseñar políticas, gestionar excepciones y estudiar eventos anómalos. El cambio exige inversiones en formación, procesos de adopción por fases y comunicación transparente que explique que la automatización ayuda a cumplir la misión, no a vigilar al equipo. Pilotos controlados en flujos de bajo riesgo, retroalimentación continua y ejemplos visibles de mejora operativa son estrategias que ayudan a superar la resistencia y a convertir la novedad en práctica estable.

Si existe una lección urgente es que la modernización no es opcional: en el entorno actual, cada minuto cuenta y cada vacilación puede ser explotada. Hacer de la automatización una prioridad estratégica —apoyada en Zero Trust, protección de datos y soluciones cross-domain— es proteger la capacidad de decisión y la integridad operativa. Empezar por los procesos de mayor impacto, traducir las políticas en reglas ejecutables, medir resultados y asegurar la formación del personal son pasos concretos y realizables. No hace falta esperar a reemplazar todo el parque tecnológico; la integración prudente y planificada puede reducir exposición mientras se modernizan los sistemas.

El informe The CYBER360: Defending the Digital Battlespace subraya esa urgencia y ofrece datos que deberían impulsar la acción hoy mismo; puede consultarse en su versión completa. Para quienes lideran decisiones en defensa y administración pública, la pregunta no es ya si automatizar, sino cómo hacerlo de forma correcta, segura y rápida: el próximo incidente no esperará a que se completen procesos largos de adquisición.

Actuar significa endurecer flujos, acelerar la madurez de controles y convertir la automatización en multiplicador de fuerza. En entornos donde la certeza salva misiones, mantener la confianza en lo manual ya no es una opción viable.