III Jornada de Inteligencia y Seguridad

Después de una breve introducción por parte de Ana Borredá, directora general de Borrmart, la jornada comenzó de manos del general de división Valentín Martínez Valero, quien habló sobre el marco conceptual de la ética corporativa en el ciclo de la ciberinteligencia. El ponente comenzó con una frase del escritor Stephen Covey: «el personal y sus directivos trabajan tan duramente para asegurarse de que las cosas se hacen correctamente, que ninguno tiene tiempo para decidir si están haciendo lo correcto».

Y es que, según explicó Martínez, «las organizaciones tienen hoy en día un problema con la ética», el cual se relaciona con factores externos e internos que se ubican en el entorno corporativo. De hecho, el general distinguió entre la ética personal, el conjunto de normas morales que rigen la conducta de la persona en su vida; y la profesional, que afecta a las empresas. La primera, puntualizó, «apela a la conciencia y a la moral del individuo», mientras que la segunda «a los procesos que se desarrollan en las organizaciones». En este sentido, añadió: «los principios son propios de las personas; y los valores, de las compañías. Pero lo deseable es la sincronización entre ambos».

A partir de ahí, Martínez Valero desarrolló este último concepto aplicado al mundo de la seguridad y la ciberinteligencia, en tanto en cuanto las decisiones estratégicas que toman las organizaciones deben estar marcadas por unos códigos éticos. «La obtención de la información se debe hacer de forma ética y legal», manifestó en este sentido. Y aunque el desarrollo de la ciberinteligencia que se lleva a cabo en las empresas pueda chocar con la ética individual, es responsabilidad de la organización contar con un código ético alineado con el sector en el que desarrolle su actividad.

Todo ello se resume en la frase con la que Martínez Valero finalizó su intervención: «una ética fuerte mantiene a la corporación sana».

Seguidamente intervino el doctor en Derecho Francisco Muñoz Usano, quien abordó los aspectos jurídicos de la obtención y tratamiento de la información. Para ello partió del hecho de que las empresas necesitan obtener datos para extraer conocimiento mediante procesos de ciberinteligencia que les ayuden en la toma de decisiones estratégicas. Este tipo de información constituye «un activo inmaterial protegible jurídicamente», afirmó. De hecho, es habitual que las organizaciones cuenten con medidas de seguridad que custodien su patrimonio. «Es importante realizar acciones como el marcaje de los documentos, la clasificación de la información o la difusión limitada solo para sus destinatarios con el objetivo de que las personas sepan el alcance que puede tener la información que manejan», aseguró al respecto el interviniente.

A continuación, Muñoz Usano explicó que la información legal se puede clasificar en función de su calidad jurídica, cuyo mayor grado sería la información probatoria, que no solo informa, sino que también demuestra algo. Y como gran novedad en este ámbito se encuentra la prueba pericial de análisis e información o ciberinteligencia, «que tiene que ser verídica, veraz y legítimamente obtenida», matizó.

Una vez que se parte de ese medio de prueba, se llega, en palabras del ponente, al «hermano menor de la ciberinteligencia», que son los informes de investigación privada, «el resultado del servicio profesional del investigador» que en el nuevo Reglamento de Seguridad Privada adquirirán una mayor carta de naturaleza. «Será un documento profesional emitido por un técnico universitario, y en algunos casos colegiado, en el que plasman sus constataciones sobre el hecho que se investiga. Podrá ser sobre lo que han visto o presenciado, y a partir de determinados indicios probados obtener otras conclusiones», manifestó.

Ya para finalizar, el panelista recalcó la necesidad de tener cuidado con las fuentes contaminadas y la información obtenida mediante métodos no legales, ni contrastados.

Contraciberinteligencia

Posteriormente intervino el teniente coronel José Manuel Díaz-Caneja para estudiar la contraciberinteligencia en las organizaciones, la cual surge como enfoque proactivo a cuatro preguntas básicas: «¿qué debe proteger nuestra organización?, ¿qué intentan descubrir nuestros competidores o adversarios?, ¿cómo están tratando de hacerlo? y ¿qué podemos hacer para reducir sus posibilidades de obtenerlo?».

En este contexto surge dicho concepto desde dos puntos de vista. El primero, la contraciberinteligencia defensiva, que es «aquella que tiene como objetivo contrarrestar lo que un adversario puede hacer. Incluye medidas preventivas como informes de sensibilización, contramedidas de vigilancia técnica y pruebas de las medidas y procedimientos de seguridad establecidos», afirmó el teniente coronel. Y el segundo, la ofensiva, que consiste en, «una vez la amenaza ha sido detectada e identificada, investigar y llevar a cabo operaciones para eliminar cualquier actividad en curso». Eso sí, tanto en uno como en otro la contraciberinteligencia debe trabajar de la mano de la seguridad. «En ningún caso pueden hacerlo de manera independiente, porque ambas son la misma cosa», afirmó Díaz-Caneja.

«Estas medidas permiten proteger la información de la empresa, tanto de la obtención abierta y legal, como de la encubierta e ilegal; impedir ciberamenazas exteriores como el espionaje industrial; e incrementar la seguridad general de la compañía», describió.