106 red seguridad tercer trimestre 2026 opinión vos (cámaras, NVR), gestión rigurosa de firmware y actualizaciones (como el soporte a largo plazo de ciberseguridad que ofrecen fabricantes líderes). Protección de la comunicación (COM): cifrado en la transmisión (TLS/SSL) y segmentación de redes para aislar la videovigilancia. Protección de la integridad (INT): mecanismos de verificación de no manipulación de grabaciones (hashing, firmas digitales). Protección de los datos (DAT): cifrado del almacenamiento, políticas de retención y borrado seguro, y técnicas de anonimización (como el blurring de caras) cuando aplique. Gestión de incidentes (GTI): procedimientos claros para la detección, análisis y respuesta ante ciberataques. Catalizadores La Ley Orgánica 3/2018 (LOPDGDD) y el Reglamento General de Protección de Datos (RGPD) son los catalizadores que elevan de forma inmediata el grado de exigencia de ciberseguridad en la seguridad física. Al ser las imágenes grabadas y los metadatos asociados considerados datos de carácter personal –e incluso categorías especiales de datos cuando se emplean tecnologías de análisis biométrico (como el reconocimiento facial)–, el análisis de riesgos no puede ser laxo. Bajo el prisma del Real Decreto 311/2022 (ENS), la presencia de estos datos de carácter personal y la escala del tratamiento (que suele ser sistemática y continua en espacios públicos o corporativos) impactan directamente en las dimensiones de Confidencialidad, Trazabilidad e Integridad. Este cruce normativo genera un mandato claro. Y es que la inmensa mayoría de los sistemas de videovigilancia bajo el ámbito del ENS deben categorizarse, como mínimo, en nivel Medio, y en ocasiones Alto (especialmente si protegen infraestructuras críticas, entornos sanitarios o emplean analítica biométrica de identificación). Clasificar un sistema como nivel Medio o Alto no es un mero trámite administrativo; es un disparador normativo que altera radicalmente los requisitos de adquisición de la tecnología. El rol del CPSTIC El artículo 19 y el Anexo II del RD 311/2022 (ENS) establecen que, para los sistemas de información de categoría Media o Alta, se deben utilizar productos de seguridad certificados. En el contexto español, la herramienta que valida y oficializa esta condición es el CPSTIC, gestionado por el Centro Criptológico Nacional (CCN). Por tanto, la conexión es directa y obligatoria. Si tu sistema de videovigilancia es nivel Medio o Alto debido a la LOPDGDD, estás legalmente obligado a adquirir cámaras IP y VMS que figuren como “Productos Cualificados” en el CPSTIC. ¿Cómo se obtiene esta validación? Para que una cámara IP entre en el CPSTIC, el fabricante debe someter el dispositivo a una evaluación formal de seguridad realizada por un laboratorio independiente. Esta evaluación se realiza bajo dos marcos fundamentales: ISO/IEC 15408 (Common Criteria): el estándar internacional de referencia. Se evalúa el producto frente a un Perfil de Protección (PP) específico y se le asigna un Nivel de Garantía (EAL). Es la vía habitual para los sistemas que requieren un nivel ENS Alto. Metodología LINCE (Certificación de Seguridad de Evaluación de Corta Duración): creada por el CCN, es una metodología de certificación nacional equivalente en rigor, pero optimizada en tiempos y costes, ideal para que dispositivos comerciales (como cámaras IP) puedan ser cualificados para sistemas de nivel ENS Medio o Básico. Implicaciones críticas en la adquisición (pliegos de prescripciones téc-
RkJQdWJsaXNoZXIy MTI4MzQz