red seguridad tercer trimestre 2026 105 opinión Ataques a la cadena de suministro (supply chain attacks): la introducción de vulnerabilidades en el hardware o software antes de su implementación final es un riesgo creciente. El impacto de estos ataques trasciende el ámbito digital. Un sistema de control de accesos comprometido puede abrir puertas físicas, una videovigilancia alterada puede cegar a los operadores de seguridad, y la divulgación de imágenes puede violar derechos fundamentales y dañar la reputación de una organización. Marco normativo español El contexto español se rige por un entramado normativo robusto que obliga a una ciberseguridad proactiva y verificable, especialmente en el sector público. La aplicación del Esquema Nacional de Seguridad (ENS) a los sistemas de videovigilancia, especialmente en el ámbito público y en sus proveedores de servicios, requiere un análisis pormenorizado de la información y los servicios que gestionan. Este proceso, definido en el Real Decreto 311/2022, se complementa intrínsecamente con las exigencias de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y culmina en la necesidad de considerar la certificación de seguridad para los componentes, como el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC), en la fase de adquisición. Ámbito de aplicación del ENS a la videovigilancia: Entidades obligadas: todas las administraciones públicas españolas y sus organismos dependientes deben aplicar el ENS. Es crucial entender que esto se extiende a los proveedores de servicios (artículo 25 del RD 311/2022) del sector privado. Cualquier empresa que preste un servicio a una Administración Pública y que acceda, trate información (incluyendo la capturada por videovigilancia) o afecte a la seguridad de la información de la Administración, debe adecuarse al ENS. Esto incluye directamente a los integradores y fabricantes de sistemas de videovigilancia, así como los sistemas privados que son utilizados por las Fuerzas y Cuerpos de Seguridad. La videovigilancia como sistema de información: cámaras IP, NVR/ DVR, VMS, sistemas de almacenamiento y la infraestructura de red asociada son considerados elementos de un sistema de información a efectos del ENS, al capturar, almacenar, procesar y transmitir datos. Categorización de los sistemas de videovigilancia bajo el ENS: el primer paso es la categorización del sistema de videovigilancia en función del impacto que un incidente de seguridad tendría sobre la información que trata y los servicios que soporta. Esta evaluación se realiza sobre cinco dimensiones: Confidencialidad (C): impacto de la divulgación no autorizada de imágenes (por ejemplo, zonas restringidas, datos sensibles). Integridad (I): impacto de la manipulación no autorizada de imágenes (por ejemplo, pruebas forenses, control de procesos críticos). Disponibilidad (D): impacto de la inaccesibilidad al servicio (por ejemplo, seguridad perimetral de infraestructuras críticas, monitorización de pacientes). Autenticidad (A): impacto de la no verificación del origen de las imágenes o suplantación de identidad de un dispositivo. Trazabilidad (T): impacto de la imposibilidad de auditar accesos o acciones sobre las imágenes y el sistema. Para cada dimensión, el impacto se valora como Bajo, Medio o Alto. La combinación de las valoraciones más altas para cada dimensión determina el grado de seguridad (Básico, Medio o Alto) del sistema completo. En entornos críticos o con tratamiento de datos personales, es frecuente que los sistemas de videovigilancia alcancen niveles Medio o Alto. Medidas de seguridad aplicables a la videovigilancia: una vez categorizado, se aplican las medidas del Anexo II del ENS. Estas abarcan: Control de acceso (ACC): autenticación robusta (por ejemplo, MFA), perfiles de usuario, segregación de funciones, protección física de los equipos. Protección de la configuración (CONFIG): hardening de dispositiLa integración de la seguridad física en el entorno digital la expone a un espectro de amenazas antes reservado a los sistemas IT
RkJQdWJsaXNoZXIy MTI4MzQz