Qué es OPSEC: seguridad de las operaciones y su historia

Qué es OPSEC: la seguridad de las operaciones (Operations Security) es la disciplina que trata de impedir que un adversario deduzca intenciones o capacidades a partir de información aparentemente inocua y no clasificada. No protege secretos guardados en una caja fuerte —eso es seguridad de la información—, sino los indicios dispersos: horarios, rutinas, pedidos, fotos o conversaciones que, sumados, cuentan demasiado.

Definición breve

OPSEC es el proceso de identificar qué información crítica revelan las propias actividades y reducir esos indicios hasta un nivel de riesgo aceptable.

Antecedente: «Loose lips sink ships»

La idea es antigua. Durante la Segunda Guerra Mundial, campañas de carteles en Estados Unidos («Loose lips might sink ships») y el Reino Unido («Careless talk costs lives») pedían a civiles y militares no comentar movimientos de buques o tropas. Era seguridad por concienciación, todavía sin método.

El caso fundacional: Purple Dragon, Vietnam (1966)

El término moderno nace en la guerra de Vietnam. El mando estadounidense observó que las fuerzas norvietnamitas parecían anticipar con frecuencia las incursiones de bombarderos B-52 de la operación Rolling Thunder y las operaciones terrestres. Un equipo conocido como Purple Dragon estudió el problema y concluyó que no había un gran traidor: el adversario reconstruía los planes a partir de pautas observables —comunicaciones previsibles, avisos a la aviación civil, rutinas logísticas— sin acceder a documentos clasificados.

Según la historia publicada por el Centro de Historia Criptológica de la NSA, aquel equipo fue el que acuñó la expresión «operations security». La lección era incómoda: un sistema de clasificación perfecto no bastaba si la propia conducta delataba el plan.

De lección militar a programa nacional

En 1988 la directiva presidencial NSDD 298 de Ronald Reagan creó el Programa Nacional de OPSEC en Estados Unidos y el Interagency OPSEC Support Staff, extendiendo la disciplina a otras agencias y contratistas. La doctrina conjunta (Joint Publication 3-13.3) la describe como un proceso de cinco pasos de alto nivel: identificar la información crítica, analizar las amenazas, analizar las vulnerabilidades, evaluar el riesgo y aplicar contramedidas. Es un marco de gestión del riesgo, no un manual técnico.

Caso moderno: el mapa de calor de Strava (2018)

En enero de 2018 se difundió que el mapa global de actividad de la aplicación deportiva Strava, publicado en noviembre de 2017, permitía intuir el perímetro y las rutas habituales de bases militares en zonas de conflicto, porque militares registraban sus carreras con dispositivos conectados. No se filtró ningún dato secreto; bastó la suma de datos públicos. El Departamento de Defensa estadounidense restringió después el uso de funciones de geolocalización en zonas operativas.

Caso moderno: redes sociales en el frente

Investigadores de fuentes abiertas como Bellingcat documentaron desde 2014 la presencia de militares rusos en el este de Ucrania a partir de fotos publicadas por los propios soldados, pese a la negativa oficial de Moscú. Desde 2022, ambos bandos de la guerra en Ucrania han regulado el uso de móviles por el riesgo de que sus señales y publicaciones revelen posiciones. Es la otra cara del OSINT: lo que un analista puede encontrar, también puede encontrarlo el enemigo.

Lecciones del caso

1. La información no clasificada, agregada, puede ser tan reveladora como un documento secreto.
2. Las rutinas predecibles son vulnerabilidades: el adversario observa pautas, no solo mensajes.
3. La tecnología de consumo ha multiplicado los indicios que cada persona emite sin advertirlo.
4. OPSEC es cultura organizativa más que herramienta: depende de que la gente entienda por qué importa.