Tema 17. Tecnologías de la información y la comunicación y ciberseguridad

La Ley 11/2022, de 28 de junio, General de Telecomunicaciones regula la instalación y explotación de redes, la prestación de servicios de comunicaciones electrónicas, sus recursos y servicios asociados y los equipos radioeléctricos y terminales. Se dicta al amparo del art. 149.1.21.ª CE y se aplica en particular al dominio público radioeléctrico que usen todas las redes, públicas o no.

Exclusiones (art. 1.2): servicios de comunicación audiovisual, servicios de intercambio de vídeos a través de plataforma, contenidos audiovisuales, régimen básico de los medios audiovisuales (art. 149.1.27.ª CE), servicios que suministran contenidos y control editorial, y los servicios de la sociedad de la información de la Ley 34/2002 salvo que sean además servicios de comunicaciones electrónicas.

Las telecomunicaciones son servicios de interés general en régimen de libre competencia (art. 2). Solo son servicio público los del art. 4; los del título III están sometidos a obligaciones de servicio público (como el servicio universal).

Objetivos (art. 3, letras a-m): competencia efectiva y sostenible, economía y empleo digital, despliegue de redes de muy alta capacidad, innovación y servicio universal, industria y mercado interior, inversión eficiente (con menos intervención ex ante y coinversión), uso eficaz de numeración y espectro, neutralidad tecnológica, obligaciones de servicio público, defensa de los usuarios (con acceso abierto a internet y respeto al honor, intimidad, juventud e infancia, discapacidad, datos personales y secreto de las comunicaciones), grupos sociales específicos (igualdad de oportunidades y no discriminación) y universalización de la banda ancha.

El art. 4 regula los servicios de telecomunicaciones para la seguridad nacional, la defensa nacional, la seguridad pública, la seguridad vial y la protección civil: son los únicos que tienen la consideración de servicio público.

Las redes, servicios e instalaciones esenciales para la seguridad y defensa nacionales se reservan al Estado y se rigen por su normativa específica. El Ministerio competente en telecomunicaciones (en el texto, Asuntos Económicos y Transformación Digital) ejecuta la política de defensa en el sector coordinado con Defensa y siguiendo sus criterios; ambos coordinan la planificación del sistema de telecomunicaciones de las Fuerzas Armadas para hacerlo compatible con los servicios civiles.

En orden público, seguridad pública, seguridad vial y protección civil, ese Ministerio coopera con el Ministerio del Interior y con los órganos autonómicos competentes. Las medidas de seguridad, vigilancia y protección de los centros de las redes las fija el Gobierno, a propuesta de Defensa, Interior o el Ministerio de telecomunicaciones, y deben estar disponibles en normalidad, en crisis, en los estados de alarma, excepción y sitio, en infraestructuras críticas, en protección civil y en seguridad de las redes.

Gestión directa e intervención (art. 4.6): el Gobierno, de forma excepcional y transitoria, puede asumir la gestión directa de servicios o la explotación de redes para garantizar la seguridad pública y la seguridad nacional (no los servicios interpersonales independientes de la numeración ni la autoprestación). Si se incumplen obligaciones de servicio público, necesita informe preceptivo de la CNMC. Nunca puede vulnerar derechos fundamentales. El acuerdo se comunica al juez en 24 horas y este decide en 48 horas si es conforme con los derechos fundamentales; si no, lo anula. Si lo pide otra Administración, esta es interesada y puede informar.

Salvaguardia de derechos (art. 56): las medidas sobre acceso o uso de servicios y aplicaciones respetan el CEDH, la Carta de Derechos Fundamentales de la UE y la Constitución. Si restringen derechos, deben ser adecuadas, necesarias y proporcionadas en una sociedad democrática, respetar la presunción de inocencia, la intimidad, la libertad de expresión e información y la tutela judicial efectiva, con un procedimiento previo, justo e imparcial que incluya el derecho a ser oído.

No discriminación (art. 57): no se pueden aplicar condiciones distintas por nacionalidad, residencia o lugar de establecimiento del usuario final, salvo justificación objetiva.

Secreto de las comunicaciones (art. 58): los operadores lo garantizan conforme a los arts. 18.3 y 55.2 CE. Están obligados a realizar las interceptaciones autorizadas judicialmente (LECrim, LO 2/2002 del CNI y otras leyes orgánicas) y a adoptar a su costa las medidas necesarias. La interceptación alcanza cualquier comunicación con origen o destino en el terminal de la orden; si no hay vínculo fijo, el terminal puede determinarse dinámicamente por un código de identificación personal. Quedan fuera las comunicaciones interpersonales independientes de la numeración.

Datos que se entregan al agente facultado: los de la interceptación (identidades del sujeto y de las otras partes, servicios básicos y suplementarios, dirección, indicación de respuesta, causa de finalización, marcas temporales, localización y canal de control), los de los clientes (identificación, domicilio de notificaciones, números, cuenta del proveedor, correo) y la situación geográfica (en móviles, posición lo más exacta posible y estación base). Pero solo los incluidos en la orden.

Antes de ejecutar la orden, el operador informa de los servicios y características del sistema y, si los tiene, de los nombres y documentos de los abonados. Debe tener interfaces preparadas, entregar las comunicaciones sin cifrado ni compresión si son reversibles y con calidad no inferior a la del destinatario.

Interceptación por los servicios técnicos (art. 59): para controlar el espectro o localizar interferencias, la administración diseña sus sistemas para reducir al mínimo el riesgo de afectar a contenidos; si queda constancia de contenidos, los soportes se custodian hasta el fin del expediente sancionador o se destruyen inmediatamente, y nunca se divulgan.

Protección de datos (art. 60): medidas mínimas de acceso solo del personal autorizado, protección frente a destrucción, pérdida o acceso ilícito, y política de seguridad efectiva. La AEPD puede examinarlas y recomendar. Ante un riesgo particular, el operador informa a los abonados.

Violación de datos personales: se notifica a la AEPD sin dilaciones indebidas y, si afecta negativamente a la intimidad, también al abonado. No hace falta avisar al abonado si el operador prueba a satisfacción de la AEPD que los datos estaban protegidos (por ejemplo, incomprensibles para no autorizados). El operador lleva un inventario de violaciones.

Conservación y cesión de datos (art. 61): con autorización judicial y para delitos graves, por la Ley 25/2007.

Cifrado (art. 62): cualquier información puede cifrarse; el cifrado es un instrumento de seguridad de la información. Puede imponerse facilitar algoritmos a la AGE por seguridad del Estado, seguridad pública o investigación de delitos, y entregar sin coste los aparatos de cifra; lo obtenido se trata con máxima confidencialidad y se destruye al resolverse la amenaza o dictarse sentencia firme.

Integridad y seguridad (art. 63): medidas proporcionadas y conformes al estado de la técnica (incluido el cifrado). Los incidentes con impacto significativo se notifican al Ministerio según número de usuarios, duración, área geográfica, afectación del funcionamiento e impacto socioeconómico. El Ministerio informa a ENISA y otros Estados, a la Secretaría de Estado de Seguridad (operadores estratégicos) y a la CNMC, y envía un informe anual a la Comisión y a ENISA. Puede exigir información y auditorías pagadas por el operador. En fallos catastróficos se garantiza el acceso a emergencias y a las alertas públicas.

El programa cita el RD 806/2014 (capítulos I y III), pero está derogado por el RD 1125/2024, de 5 de noviembre. Conviene conocer los dos: el primero por si el examen pregunta el texto del programa, el segundo porque es el vigente.

Objeto y ámbito: un modelo común de gobernanza de las TIC en la AGE y sus organismos públicos, con una estrategia global de transformación digital para mejorar los servicios al ciudadano. El RD 1125/2024 extiende el ámbito a la «Administración del Estado» (AGE, organismos públicos y entidades de Derecho público vinculadas o dependientes) y añade la relación digital con las demás administraciones.

Estrategia TIC: la aprueba el Gobierno a iniciativa de la Comisión de Estrategia TIC. En el RD 806/2014, a propuesta de tres ministros (Presidencia; Hacienda y AAPP; Industria, Energía y Turismo); en el RD 1125/2024, del Ministro para la Transformación Digital y de la Función Pública. La Comisión fija su ámbito temporal y revisión (RD 806/2014).

Medios y servicios compartidos (RD 806/2014) o transversales (RD 1125/2024): responden a necesidades de un número significativo de unidades. Los declara la Comisión de Estrategia TIC a propuesta de la Dirección de Tecnologías de la Información (806) o del Consejo Rector de la Agencia Estatal de Administración Digital (1125). Su uso es obligatorio y sustitutivo; si una necesidad es común se elige compartir, salvo autorización (de la Dirección TIC o de la persona titular de la Dirección de la Agencia). Catálogo: lo elaboraba la Dirección TIC; ahora la Agencia. La informática presupuestaria de la IGAE tiene régimen singular.

Proyectos de interés prioritario: singular relevancia, especialmente cooperación con CCAA, entes locales y UE; su declaración se traslada como recomendación a Hacienda y a la Comisión de Políticas de Gasto para los PGE. Unidades TIC: proveen servicios TIC (soporte, desarrollo, consultoría, seguridad, atención a usuarios, innovación, administración digital, adquisiciones). Cooperación interadministrativa (806): en la Conferencia Sectorial de Administraciones Públicas.

Cifrado simétrico: una clave compartida, eficiente para grandes volúmenes. Asimétrico: un par de claves relacionadas (pública y privada), que permite intercambio de claves y firma.

Una función resumen (hash) produce una huella; no es cifrado reversible. Para comprobar integridad se compara la huella esperada recibida por un canal confiable.

La firma digital vincula una operación con una clave y permite comprobar integridad y origen. El certificado relaciona una identidad con una clave pública mediante un prestador. Un certificado caducado o revocado no se «salva» porque el archivo muestre una firma visible, y la imagen de una firma manuscrita no es una firma electrónica cualificada.

No hay que confundir algoritmo criptográfico, certificado y documento de identidad: sus efectos jurídicos los fijan la Ley 6/2020 y el Reglamento eIDAS.

La Ley 6/2020, de 11 de noviembre complementa el Reglamento (UE) 910/2014 (eIDAS). Se aplica a los prestadores públicos y privados establecidos en España y a los de otro Estado con establecimiento permanente en España si sus servicios no están supervisados por otra autoridad de la UE.

Documentos electrónicos (art. 3): valen según su naturaleza. La prueba de los privados con servicio de confianza no cualificado sigue el art. 326.3 LEC; con servicio cualificado, el art. 326.4 LEC.

Extinción (art. 4): por caducidad o por revocación. Vigencia máxima de los certificados cualificados: 5 años.

Revocación (art. 5.1): a) solicitud; b) secreto de los datos de creación comprometido; c) resolución judicial o administrativa; d) fallecimiento, capacidad modificada sobrevenida, extinción de la persona jurídica o pérdida del dominio; e) fin de la representación (deben pedirla representante y representado); f) cese del prestador salvo transferencia; g) datos falsos o inexactos; h) criptografía insegura; i) otra causa de la declaración de prácticas.

Suspensión (art. 5.2): en los casos a), c) y h) y en caso de duda sobre b) y g), si la declaración de prácticas lo prevé. Si vence el plazo sin levantarse, la vigencia se extingue. Se comunica al titular con motivos, fecha y hora.

Identidad (art. 6): personas físicas, nombre, apellidos y DNI, NIE o NIF, o pseudónimo inequívoco; personas jurídicas, denominación o razón social y NIF. Comprobación (art. 7): personación con DNI o pasaporte, salvo firma legitimada ante notario o métodos a distancia con seguridad equivalente certificada; no se repite si hubo identificación presencial hace menos de 5 años.

Datos personales (art. 8): si se usa pseudónimo, el prestador constata la identidad real, conserva la documentación y la revela a jueces y autoridades que la pidan.

Obligaciones (art. 9): información veraz; no almacenar ni copiar los datos de creación de firma salvo gestión en nombre del titular; servicio público de consulta del estado de los certificados. Los cualificados, además: conservar la información 15 años, seguro de 1.500.000 € (+500.000 € por cada servicio cualificado adicional; exento el sector público; sustituible por aval o seguro de caución), aviso de cese con 2 meses, comunicación de cualquier procedimiento concursal y envío del informe de evaluación de la conformidad (si no, se retira la cualificación y salen de la lista de confianza).

Responsabilidad (art. 10): el prestador responde de aquellos en quienes delega, incluidas las comprobaciones de identidad. Exoneración (art. 11): información falsa del titular, no comunicar cambios, negligencia en la custodia de los datos de creación, no pedir la revocación si hay dudas, usar el certificado caducado o suspendido; también si el destinatario no verifica la firma o ignora la suspensión, o si los datos se acreditaron por documento público u oficial.

No cualificados (art. 12): sin verificación previa, pero comunican su actividad al Ministerio en 3 meses. Seguridad (art. 13): todos notifican las violaciones al Ministerio y amplían la información en 1 mes.

DNI electrónico (DA 3.ª): acredita electrónicamente la identidad (art. 8 LO 4/2015) y permite la firma electrónica de documentos. Todas las personas, públicas o privadas, reconocen su eficacia. El órgano expedidor del Ministerio del Interior cumple las obligaciones de los prestadores cualificados, y el DNI se rige por su normativa específica.

El programa remite a los principios y recomendaciones básicas del CCN-CERT. Aquí se estudian con los textos oficiales: el Esquema Nacional de Seguridad (RD 311/2022), la Estrategia Nacional de Ciberseguridad 2019 (Orden PCI/487/2019) y el Derecho de la UE (Directiva SRI 2 y Reglamento sobre la Ciberseguridad).

Vocabulario: amenaza (posible causa de incidente), vulnerabilidad (debilidad aprovechable; para la Directiva SRI 2, deficiencia o fallo de productos o servicios de TIC), riesgo (posibilidad × impacto), ciberamenaza (cualquier situación, hecho o acción potencial que pueda dañar redes y sistemas) y ciberataque (conducta dolosa a través del ciberespacio contra sistemas de información).

La Estrategia 2019 distingue las ciberamenazas (disrupciones o manipulaciones maliciosas de elementos tecnológicos) de las acciones que usan el ciberespacio como medio: el ciberespionaje y la cibercriminalidad.

Ciberespionaje: barato, rápido y de autoría difícil de atribuir; las mayores capacidades son de actores estatales, que operan con APT (adversario con muchos recursos que actúa durante un extenso periodo y se adapta a la defensa). Crecen las amenazas híbridas, que combinan medios militares, ciberataques, manipulación informativa y presión económica.

Cibercriminalidad: problema de seguridad ciudadana de primer orden; según el hecho, el autor, el móvil o el daño se habla de ciberterrorismo, ciberdelito o hacktivismo (motivos ideológicos y búsqueda de impacto mediático). También preocupan la contratación de servicios de cibercriminales, los recursos internos dañinos y la falta de cultura de ciberseguridad.

Factor humano: la ingeniería social explota confianza, urgencia, autoridad o miedo; phishing (suplantación), smishing (mensajes) y vishing (voz). La multifactor combina categorías distintas (lo que se sabe, se tiene o se es): dos contraseñas no son dos factores. Mínimo privilegio y cuentas de administración separadas reducen el alcance de los errores.

El ENS (RD 311/2022) se aplica a todo el sector público y a los proveedores privados que le prestan servicios. Busca asegurar acceso, confidencialidad, integridad, trazabilidad, autenticidad, disponibilidad y conservación.

Principios básicos: seguridad como proceso integral (con máxima atención a la concienciación), gestión basada en riesgos, prevención, detección, respuesta y conservación, líneas de defensa (capas organizativas, físicas y lógicas), vigilancia continua, reevaluación periódica y diferenciación de responsabilidades (de la información, del servicio, de la seguridad y del sistema; el de seguridad, distinto del del sistema y sin dependencia jerárquica).

Categorización (anexo I): dimensiones C-I-T-A-D; niveles BAJO (perjuicio limitado), MEDIO (grave) y ALTO (muy grave); la categoría (BÁSICA, MEDIA, ALTA) la marca la dimensión más alta. Medidas en tres grupos: marco organizativo [org], operacional [op] y medidas de protección [mp]. Auditoría ordinaria al menos cada dos años.

Autenticación: factores de lo que se sabe, se tiene y se es; intentos limitados con bloqueo; credenciales inhabilitadas si se sospecha su revelación; doble factor desde zonas no controladas.

Incidentes: el CCN responde a través del CCN-CERT (sector público) y publica las guías CCN-STIC; los proveedores privados del sector público notifican al INCIBE-CERT. La Directiva SRI 2 fija para los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes; su art. 21 exige medidas como la ciberhigiene, la criptografía y la autenticación multifactorial.

La Internet profunda es lo que no aparece en los índices públicos de los buscadores: buzones, intranets o bases de datos de acceso restringido. No es sinónimo de delincuencia.

La red oscura es solo un subconjunto de ella, accesible con tecnologías o configuraciones específicas.

El modo privado del navegador no hace anónima la actividad frente al proveedor, el servidor o el administrador de la red.

Aplicaciones: se instalan desde fuentes confiables y se revisan los permisos (una linterna que pide los contactos es una incoherencia). Las actualizaciones corrigen fallos, pero solo por el mecanismo legítimo, nunca por un adjunto inesperado. El ENS pide un procedimiento para analizar, priorizar y decidir cuándo aplicar parches.

Configuración segura (ENS, op.exp.2): retirar cuentas y contraseñas estándar; mínima funcionalidad (nada de funciones injustificadas, para reducir el perímetro de exposición) y seguridad por defecto (el uso natural es seguro; rebajar la seguridad exige actos conscientes). Las aplicaciones se desarrollan con mínimo privilegio.

Código dañino (op.exp.6): protección en todos los equipos (puestos, servidores y elementos perimetrales), bases de firmas permanentemente actualizadas y análisis de todo fichero de fuente externa antes de usarlo.

Borrado (mp.si.5): el soporte que se reutiliza o se cede se somete a borrado seguro; si no lo admite, no se reutiliza en otro sistema.

Navegación (mp.s.3): normativa de uso, concienciación en higiene de navegación, protección frente a páginas activas y descargas de ejecutables, política de cookies para no mezclar uso personal y de la organización y, en categoría ALTA, registro, lista negra (destinos vetados) o lista blanca (solo lo autorizado).

Buenas prácticas: revisar dominio, ruta y coherencia antes de dar datos; navegador actualizado y sin extensiones innecesarias. HTTPS cifra la conexión, pero no prueba que el sitio sea honrado.

Correo (ENS, mp.s.1): se protege la información en el cuerpo y en los anexos, y a la organización frente al spam, el código dañino (virus, gusanos, troyanos, espías) y el código móvil tipo applet. Las normas de uso limitan las comunicaciones privadas e incluyen concienciación.

En la práctica: el nombre visible del remitente puede falsificarse; un archivo que parece documento puede llevar macros o ejecutables; ante un cambio de cuenta bancaria o una urgencia, confirmar por un canal conocido e independiente. No tener faltas de ortografía no demuestra autenticidad.

Virtualización: la máquina virtual comparte infraestructura física con otras aunque haya aislamiento, y el hipervisor también se protege. El ENS manda gestionar parches, cuentas y antivirus de las máquinas virtuales como si fueran físicas, incluida la anfitriona.

Copias (art. 26 y mp.info.6): copias que permitan recuperar datos perdidos; procedimientos con frecuencia, almacenamiento y control de acceso; pruebas regulares de recuperación y, en nivel ALTO, una copia separada en lugar diferente. Versiones y copia protegida reducen el daño del ransomware; una instantánea no siempre sustituye a la copia, y restaurar sin corregir la causa puede repetir el incidente.

Portátiles y móviles (ENS, art. 22 y mp.eq.3): especial atención a la información en dispositivos móviles, periféricos, soportes y redes abiertas; inventario con responsable, procedimiento para comunicar pérdidas o sustracciones, evitar claves de acceso remoto innecesarias, cifrado del disco según la confidencialidad y, en categoría ALTA, uso solo en entornos protegidos. El puesto se bloquea por inactividad.

Hábitos: bloqueo de pantalla, actualizaciones, cifrado y control de aplicaciones; separar uso personal y profesional si la política lo exige; ante una pérdida, comunicar y revocar sesiones.

Redes inalámbricas: en el ENS van en un segmento separado, y fuera del propio dominio se usan VPN cifradas. En casa u oficina: cambiar credenciales iniciales y mantener el firmware. Un nombre de red familiar no garantiza legitimidad; la VPN protege el tránsito, pero no impide el phishing.

Mensajería: la Directiva SRI 2 advierte de que se ha convertido en vector habitual de ataques. El cifrado de extremo a extremo no impide que el destinatario copie el mensaje; comprobar destinatarios y grupos, y recordar que una cuenta conocida puede estar comprometida.

Redes sociales: plataformas para conectarse, compartir, descubrir y comunicarse. Limitar ubicación y rutinas, revisar quién ve el perfil y qué aplicaciones tienen acceso, separar identidad institucional y personal y no olvidar que un mensaje privado puede divulgarse. La Estrategia 2019 alerta de la desinformación, amplificada por las redes.

IoT: el ENS incluye los dispositivos IoT y los BYOD entre los equipos conectados que necesitan configuración segura y borrado de su almacenamiento. Suelen tener recursos limitados, claves por defecto y soporte desigual: inventariar, actualizar, segmentar y desactivar servicios. El Reglamento 2019/881 promueve la seguridad desde el diseño y por defecto.

El RD 4/2010, de 8 de enero, regula el Esquema Nacional de Interoperabilidad (art. 42 de la Ley 11/2007): criterios y recomendaciones para asegurar la interoperabilidad organizativa, semántica y técnica y para evitar la discriminación por elección tecnológica. Prevalece sobre cualquier otro criterio de interoperabilidad, y sus términos se definen en el glosario del anexo.

Principios específicos (art. 4): a) cualidad integral, desde la concepción y durante todo el ciclo de vida; b) carácter multidimensional, en sus dimensiones organizativa, semántica y técnica, más la temporal; c) soluciones multilaterales, para escalar, reutilizar y colaborar.

Organizativa (arts. 8-9): las Administraciones publican las condiciones de acceso a sus servicios, se potencian los convenios y los nodos de interoperabilidad, el Comité Sectorial de Administración electrónica cataloga los servicios y se mantienen los inventarios de procedimientos (en el Sistema de Información Administrativa) y de órganos y oficinas (en el Directorio Común de Unidades Orgánicas y Oficinas).

Semántica (art. 10): los modelos de datos comunes son de aplicación preferente; los de cada órgano competente, obligatoria. Se publican en el Centro de Interoperabilidad Semántica.

Técnica (art. 11): estándares abiertos como mínimo y, de forma complementaria, de uso generalizado. Solo puede usarse en exclusiva un estándar no abierto si no existe uno abierto equivalente, y mientras no exista. Estándar abierto: público, gratuito o a un coste que no dificulte el acceso, y sin pago de derechos de propiedad intelectual o industrial.

Infraestructuras comunes de la AGE (art. 12). Red SARA como red de comunicaciones preferente entre Administraciones (art. 13); plan de direccionamiento (art. 14); hora oficial sincronizada con el Real Instituto y Observatorio de la Armada (art. 15).

Reutilización (arts. 16-17): licencias sin contraprestación ni convenio por defecto. Las de fuentes abiertas garantizan ejecutar, conocer el código, modificar y redistribuir, preferentemente con la EUPL. En los contratos de desarrollo, la Administración adquiere todos los derechos. El Centro de Transferencia de Tecnología reúne el directorio de aplicaciones.

Firma (arts. 18-20): la AGE define la política marco de firma y certificados. Para no aplicarla hace falta autorización de la Secretaría General de Administración Digital; las demás Administraciones pueden acogerse a ella o tener la suya interoperable. Las plataformas de validación ofrecen todo en un único punto de llamada e incorporan las listas de confianza (TSL).

Conservación (arts. 21-24): política de gestión documental, índice electrónico firmado, metadatos, periodos fijados por las comisiones calificadoras, repositorios electrónicos, aplicación del ENS, firma longeva, conservación en el formato original (preferentemente abierto) y copiado auténtico si hay riesgo de obsolescencia. La digitalización atiende al formato, la resolución, la imagen fiel e íntegra y los metadatos.

Conformidad (arts. 25-29): conformidad a lo largo de todo el ciclo de vida, mecanismos de control propios, publicación en la sede electrónica y actualización permanente. Normas técnicas (DA 1.ª): las aprueba el Ministerio para la Transformación Digital y de la Función Pública a propuesta de la Comisión Sectorial de Administración Electrónica. En ciberseguridad y criptografía es competente el Centro Criptológico Nacional. Glosario: el sello de tiempo exige un prestador; la marca de tiempo, no.