MoRCiTO: hacia un modelo de referencia de ciberseguridad para la tecnología de la operación como preparación para la era cuántica, a fin de prevenir ataques de red a sistemas ciber-físicos en infraestructuras críticas
En esta publicación se propone un modelo de referencia de ciberseguridad para la tecnología de la operación (MoRCiTO) como preparación para la era cuántica para prevenir ataques de red a sistemas ciber-físicos (SCF) eninfraestructuras críticas (IC). El modelo propuesto es el resultado de una revisión de estudios primarios que abordan diferentes aspectos como, entre otros, las amenazas de los equipos cuánticos contra los sistemas criptográficos actuales (así como las que aún están por aparecer), permitiendo caracterizar el modelo de referencia propuesto. Este trabajo contribuye significativamente al campo de la ciberseguridad, proporcionando un modelo de referencia adaptado a la inminente llegada de la era cuántica. Es un paso crucial hacia la preparación de IC contra amenazas avanzadas y establece una base sólida para investigaciones futuras en el área de la ciberseguridad cuántica. Además, el modelo puede ser adoptado por entidades gubernamentales y organizaciones encargadas de la gestión de IC para fortalecer su resiliencia ante posibles ataques cuánticos. Su implementación ayudará a garantizar la continuidad operativa y la protección de sistemas vitales en un entorno de amenazas en constante evolución.
En esta publicación se propone un modelo de referencia de ciberseguridad para la tecnología de la operación (MoRCiTO) como preparación para la era cuántica para prevenir ataques de red a sistemas ciber-físicos (SCF) eninfraestructuras críticas (IC). El modelo propuesto es el resultado de una revisión de estudios primarios que abordan diferentes aspectos como, entre otros, las amenazas de los equipos cuánticos contra los sistemas criptográficos actuales (así como las que aún están por aparecer), permitiendo caracterizar el modelo de referencia propuesto. Este trabajo contribuye significativamente al campo de la ciberseguridad, proporcionando un modelo de referencia adaptado a la inminente llegada de la era cuántica. Es un paso crucial hacia la preparación de IC contra amenazas avanzadas y establece una base sólida para investigaciones futuras en el área de la ciberseguridad cuántica. Además, el modelo puede ser adoptado por entidades gubernamentales y organizaciones encargadas de la gestión de IC para fortalecer su resiliencia ante posibles ataques cuánticos. Su implementación ayudará a garantizar la continuidad operativa y la protección de sistemas vitales en un entorno de amenazas en constante evolución.
Contexto: este artículo presenta la creciente vulnerabilidad de los sistemas ciberfísicos en las infraestructuras críticas, producto del avance de la computación cuántica. Esta tecnología pone en entredicho los esquemas actuales de criptografía y coloca en riesgo servicios como la energía, la salud y otros esenciales para la sociedad. Objetivo: caracterizar los estándares, marcos de trabajo y las vulnerabilidades emergentes encontradas en estudios científicos publicados en el período 2020-2025. Metodología: marco metodológico basado en una revisión sistemática de la literatura, utilizando los protocolos PRISMA y Kitchenham. A través de este método, se eligieron un total de 40 estudios primarios. Resultados: la revisión evidencia que, aunque normativas como ISO/IEC 27001 e IEC 62443 son ampliamente adoptadas, carecen de medidas de control específicas frente a amenazas cuánticas como los algoritmos de Shor y Grover. Asimismo, se identificó una desconexión entre los modelos taxonómicos actuales y la protección técnica de activos operativos. Conclusiones: la investigación concluye que existe una urgencia por integrar la criptografía postcuántica y desarrollar marcos de gobernanza adaptativa que fortalezcan la resiliencia en las infraestructuras críticas. Finalmente, se propuso una hoja de ruta para la creación de modelos ontológicos que unifiquen la gestión de riesgos en esta era tecnológica.
Contexto: La computación cuántica representa una amenaza emergente y de creciente relevancia para la seguridad de los Sistemas Ciberfísicos (SCF) en infraestructuras críticas (IC), lo que podría comprometer progresivamente los métodos criptográficos actuales y exponer servicios esenciales a riesgos físicos significativos. Objetivo: Este estudio analiza el impacto de la amenaza cuántica en SCF e IC para identificar requerimientos semánticos y técnicos que fundamenten modelos de evaluación ontológicos y estrategias de resiliencia operativa. Método: Se realizó una revisión sistemática de la literatura (RSL) del periodo 2020-2026 siguiendo los protocolos PRISMA y Kitchenham. A través de una búsqueda parametrizada en bases de datos de alto impacto, se seleccionaron y analizaron 39 estudios primarios. Resultados: Se identificó una incompatibilidad sistémica relevante: una proporción significativa de los estudios analizados reporta que el hardware heredado (PLCs y RTUs) presenta limitaciones críticas para soportar la carga computacional de los nuevos estándares de Criptografía Post-Cuántica (PQC). Esta limitación tiende a generar latencias operativas que podrían comprometer la resiliencia teórica del sistema frente a ataques de descifrado retrospectivo y suplantación de identidad. Conclusiones: La evidencia analizada sugiere que la eficacia de los marcos de defensa podría verse comprometida sin una actualización estructural de la tecnología de operación (OT), dado que el desfase entre el hardware obsoleto y el rigor matemático cuántico se identificó como uno de los eslabones más débiles de la infraestructura. Los hallazgos indican que la resiliencia operativa de las IC se vería fortalecida mediante la migración hacia la agilidad criptográfica y la adopción de modelos ontológicos que permitan el razonamiento automatizado para la detección de amenazas en tiempo real.
En un futuro cercano, la computación cuántica tendrá mucha influencia sobre la seguridad de las comunicaciones, con relevancia en entornos críticos como por ejemplo en defensa. Por esta razón cobra gran importancia plantear posibles soluciones como la criptografía cuántica y poscuántica. Surge entonces una pregunta; ¿Corre peligro la seguridad de las comunicaciones militares? Lo cierto es que con la cada vez más cercana llegada de la computación cuántica, la respuesta a esta pregunta es clara. Por ello es necesario anticiparse a la futura obsolescencia de los sistemas criptográficos actuales, sobre los que se sustenta toda la protección de datos clasificados y de operaciones estratégicas. En este Trabajo de Fin de Grado se exponen los fundamentos de la criptografía moderna para estudiar su evolución, las amenazas emergentes derivadas de la computación cuántica y las líneas de investigación que permitirán mantener la seguridad de las comunicaciones en defensa. El TFG se estructura en tres grandes bloques: criptografía clásica, cuántica y poscuántica. En primer lugar, se han tratado los principales algoritmos clásicos empleados actualmente, tanto simétricos como asimétricos, destacando sus vulnerabilidades frente a los algoritmos cuánticos de Shor y Grover. En segundo lugar, se ha analizado la criptografía cuántica (QKD), siendo una posible alternativa, cuya fortaleza se basa en leyes físicas. Sin embargo, aunque estos sistemas ofrecen un nivel de seguridad teóricamente inquebrantable, su implementación práctica sigue limitada por la necesidad de equipos específicos, la dependencia de autenticación clásica y los elevados costes de despliegue. Por último, se ha estudiado la criptografía poscuántica (PQC). Una gran alternativa, que propone algoritmos matemáticos resistentes a ataques cuánticos, con la ventaja de ser compatibles con la infraestructura existente. Además, se ha realizado una entrevista al experto Luis Fernando Hernández Encinas, cuyos resultados serán incluidos junto con la revisión bibliográfica en un análisis DAFO que permite identificar las fortalezas, debilidades, oportunidades y amenazas de ambas tecnologías. De este análisis se concluye que, la criptografía clásica se encuentra en fase de obsolescencia estratégica, mientras que la criptografía cuántica y la poscuántica representan los pilares de la seguridad futura. La primera ofrece una protección teórica total, aunque todavía no es viable a gran escala. La segunda, en cambio, constituye una solución práctica e inmediata para iniciar la transición.
Este no es otro libro sobre “mejores prácticas” en ciberseguridad. Es, más bien, un texto que se atreve a formular la pregunta incómoda que muchos esquivan: ¿tiene todavía sentido una respuesta a incidentes diseñada para un mundo donde el ataque avanzaba a ritmo humano, cuando hoy el adversario puede ser un enjambre algorítmico que colapsa sistemas en milisegundos? Este capítulo de Summa Ciber Resilientia Ut Complexitas Scientiae merece ser leído porque rompe con la liturgia tranquilizadora de los marcos al uso sin caer en el apocalipsis fácil. En lugar de prometer salvación a base de más controles y más capas, invita a pensar la defensa digital como lo que ya es de facto: un problema de sistemas vivos, de termodinámica de la información y de organizaciones que deben aprender a adaptarse bajo agresión continua. Aquí la red deja de ser un diagrama estático para convertirse en un organismo autopoyético, dotado de una inmunología holográfica que desplaza al humano fuera del bucle táctico y lo recoloca en el lugar donde realmente puede aportar valor: el diseño estratégico de las reglas del juego. Si usted es CEO, consejero o responsable de continuidad, este texto le dará argumentos para ir más allá del consabido “cumplimos el estándar” y empezar a preguntar por la física real de la resiliencia de su organización. Si es CISO, arquitecto o analista de riesgos, encontrará un vocabulario robusto para nombrar intuiciones que ya siente en la práctica: que la matriz probabilidad impacto se queda corta ante fenómenos de colapso súbito, que los playbooks lineales no alcanzan a un adversario distribuido y que la verdadera seguridad por diseño se parece más a una biología de sistemas que a una checklist. Es, en definitiva, una invitación a la incomodidad fértil. Este capítulo no pretende ofrecer consuelo, sino lucidez; no suma un PDF más a la colección, sino que aspira a cambiar la forma en que pensamos la ciberseguridad, la gestión del riesgo y la continuidad del negocio. Quien se atreva a confrontarlo no saldrá con una receta rápida, pero sí con algo mucho más valioso: una brújula para orientarse en un paisaje donde la defensa ya no puede ser solo humana, ni solo normativa, sino profundamente sistémica.
¿Puede un contrato legal detener un ataque que viaja a la velocidad de la luz? En un ecosistema global donde cada línea de código, cada microchip y cada actualización de software transitan por redes opacas de proveedores interconectados, la cadena de suministro digital se ha convertido en el vector de ataque dominante de nuestro tiempo. SolarWinds, Kaseya, Log4Shell: estos nombres no son anomalías, sino manifestaciones de una verdad estructural que la industria se resiste a admitir. Los perímetros organizacionales ya no existen. La amenaza no escala muros; entra por la puerta principal, firmada con certificados válidos y protegida por relaciones de confianza. El Capítulo 26 de Summa Ciber-Resilientia plantea una pregunta devastadora: ¿puede un Acuerdo de Nivel de Servicio negociado por abogados detener la propagación de malware que opera en milisegundos? La respuesta es un rotundo no. Y la solución que proponen Enrique López González y Cristina Mendaña Cuervo es tan radical como necesaria: abandonar el lenguaje de los contratos para adoptar el lenguaje de la física fundamental. Entrelazamiento de Responsabilidad Cuántica. No más auditorías anuales que capturan fotografías estáticas de sistemas dinámicos. No más certificaciones que quedan obsoletas el día siguiente. En su lugar, una arquitectura donde proveedor y adquirente forman un sistema de información matemáticamente entrelazado, donde la coherencia se verifica en cada milisegundo mediante sincronización de entropía criptográfica compartida. Cámaras de Vacío Holográficas. El código de terceros nunca se ejecuta libremente en servidores propios. Es interrogado en un horizonte de eventos computacional que aplica el Principio Holográfico de la física teórica: toda la complejidad interna del proveedor se representa observando exclusivamente su superficie de ataque, permitiendo máxima interoperabilidad con aislamiento físico absoluto. Certificación Autopoyética a Velocidad de Máquina. Cuando una AGI defensiva detecta una anomalía termodinámica, no genera una alerta para revisión humana. Colapsa instantáneamente el enlace, expulsa al proveedor comprometido y activa protocolos de continuidad. La latencia de neutralización converge a cero. No hay comités de crisis. No hay ventanas de propagación. Pero los autores no son vendedores de soluciones mágicas. Practican lo que denominan "auditoría adversarial": exponen sin concesiones las fricciones del modelo, desde sobrecarga computacional hasta riesgos autoinmunes algorítmicos, desde barreras económicas para pymes hasta la disrupción completa de mercados de ciberseguros. Esta honestidad intelectual radical distingue la obra de la charlatanería tecnológica. Este capítulo es para usted si: • Gestiona infraestructuras críticas donde microsegundos importan • Diseña arquitecturas de seguridad para ecosistemas hiperconectados • Asesora a juntas directivas sobre riesgos existenciales digitales • Busca comprender hacia dónde evoluciona inevitablemente la ciberseguridad frente a adversarios algorítmicos No encontrará recetas para copiar el lunes. Encontrará una reconceptualización ontológica del problema que hace imposible volver a pensar en gestión de proveedores en términos convencionales. Encontrará física aplicada, termodinámica de la información, teoría de sistemas complejos y una hoja de ruta concreta de tres fases hacia un futuro donde la responsabilidad no se negocia: se verifica matemáticamente. "Intentar salvaguardar infraestructuras digitales con cláusulas contractuales equivale a detener una reacción nuclear en cadena esgrimiendo una orden judicial contra los neutrones." Lea este capítulo. No porque sea cómodo, sino porque confronta verdades que la industria ha evitado sistemáticamente. Porque ofrece caminos técnicos hacia resiliencia verificable cuando los contratos ya no pueden protegernos. Porque lo que está en juego no es elegancia teórica, sino viabilidad de civilización digital. La asimetría temporal entre atacantes algorítmicos y defensores burocráticos no es desventajosa. Es existencialmente insostenible.
En esta tesis se presentan los resultados de una serie de experimentos opticos en los que se ejecutan algoritmos de comunicaciones cuanticas para realizar Distribucion Cuantica de Claves(DCC) criptograficas con estados coherentes de muy baja intensidad. Especificamente, se estudia la implementacion de esquemas practicos y robustos de DCC, con especial interes en sistemas basados en fibra optica. A diferencia de las comunicaciones por aire, este medio permite transmitir estados cuanticos con bajisimas atenuaciones y minimas perturbaciones externas, utilizando instrumental comercialmente disponible y de bajo costo, incluso para distancias de decenas de kilometros. Los protocolos de DCC estudiados codifican informacion clasica (bits) en estados cuanticos preparados sobre distintos grados de libertad discretos de sistemas fisicos. En el trabajo se exploran implementaciones que explotan la polarizacion y los modos temporales discretos de luz (time-bin). En ambos casos, fue necesario desarrollar y familiarizarse con tecnologias especificas para la preparacion, transmision y deteccion de dichos estados cuanticos. El problema de transmitir estados cuanticos en fibra de forma eficiente y robusta se ataco con dos estrategias. Por un lado, utilizando el grado de libertad de polarizacion y, por otro, modos temporales discretos de luz. En el primer caso, se codificaron los estados en el grado de libertad de polarizacion, que es facilmente accesible. Sin embargo, este es muy sensible a perturbaciones, por lo que para asegurar la robustez se incorporo un sistema de estabilizacion activa del Estado de Polarizacion(SOP, por su sigla en ingles). Con este esquema se implementaron dos variantes de un protocolo clasico de DCC, llamado BB84, utilizando la polarizacion de pulsos de luz para codificar los estados cuanticos. Esto requirio el desarrollo de una fuente de pulsos tenues de luz basada en un laser DFB en el rango de las telecomunicaciones, con un modulador de intensidad externo por electroabsorcion. Se diseno un sistema de estabilizacion de la polarizacion robusto que permite compensar de forma automatica las perturbaciones que genera la birrefringencia de la fibra sobre el estado de polarizacion. El sistema esta basado en controladores de polarizacion comerciales y electronica de control disenada especificamente, y puede ser adaptado facilmente a cualquier protocolo de comunicacion por fibra. En este sentido, se realizo una implementacion del protocolo BB84 y una variante llamada BB84E, que requiere la utilizacion de los seis estados de un conjunto completo de bases mutuamente no sesgadas para la polarizacion. En el segundo caso, se ensayo una codificacion mas sofisticada y resistente a perturbaciones, que implico enfrentar una serie de desafios tecnologicos, pero que se presenta como una alternativa practica y escalable en distancia de transmision y velocidad. Se propuso un esquema hibrido de DCC basado en un protocolo de referencia de fase distribuida con comunicacion bidireccional (Plug & Play), ambas tecnologias desarrolladas para trabajar especificamente en fibra optica, en un esquema con economia de recursos y distribucion tipo servidor-cliente. Asi, se obtuvo una configuracion en donde tanto el instrumental como las operaciones sobre los estados mas sensibles del protocolo se encuentran concentradas en una de las partes (servidor), mientras que los requerimientos sobre la otra parte involucrada en la comunicacion son minimos. Esta alternativa combina diferentes caracteristicas deseables en una implementacion practica de DCC, como la simplicidad y la robustez. El esquema propuesto codifica estados cuanticos en modos temporales discretos de luz. Esto requirio el desarrollo de dispositivos especificos para preparar y medir estos estados, basados en interferometros de fibra optica que no demanden estabilizacion activa. Otra de las premisas fue la independencia de funcionamiento del estado de polarizacion, que se logra a partir de la incorporacion de rotadores de Faraday en diferentes partes del esquema empleado. Por ultimo, debido al tipo de codificacion y al sistema de sincronizacion utilizados, este esquema es adaptable a tasas de transmision en el rango de los MHz. De los experimentos de DCC mencionados se desprenden una serie de desarrollos y pruebas de laboratorio adicionales, que son relevantes por si mismos. Entre ellos figuran la estabilizacion activa de interferometros de Mach-Zehnder en fibra y el estudio de esquemas experimentales alternativos para el protocolo hibrido de DCC propuesto. Tambien se puede destacar la puesta a punto de un prototipo autonomo de DCC en aire y su adaptacion para obtener un protocolo que distingue mezclas computables (pseudoaleatorias) de estados cuanticos. Este es un tema de interes para el procesamiento cuantico de la informacion en general. Las tecnicas abordadas y el know-how adquirido permiten entender y superar distintos problemas particulares de la utilizacion de estados cuanticos en comunicaciones por fibra optica. Ademas, estos desarrollos tienen la capacidad de ser empleados tanto en ensayos de DCC que excedan el ambito del laboratorio, como en un contexto mas amplio que permita implementar otros protocolos de comunicacion cuantica usando fibras opticas de telecomunicaciones como canal cuantico.