Para resolver todas estas cuestiones, Locken ha facilitado una entrevista con Jóse Luis Pérez Pajuelo, Jefe del Servicio de Planes y Seguridad del Centro Nacional para la Protección de las Infraestructuras Críticas – CNPIC -, de la Secretaría de Estado de Seguridad.
Además, Pérez Pajuelo ha sido el Representante del Ministerio del Interior en el desarrollo del Plan Estratégico del Sector del Agua, y fue el Coordinador del Grupo de Trabajo Interdisciplinar que elaboró dicho Plan.
Pregunta: ¿Qué es El Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC)?
Respuesta: El Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC) es el órgano que se encarga de impulsar, coordinar y supervisar todas las actividades que tiene encomendadas la Secretaría de Estado de Seguridad del Ministerio del Interior en relación con la protección de las infraestructuras críticas españolas.
Nuestro objetivo principal es impulsar y coordinar los mecanismos necesarios para garantizar la seguridad de las infraestructuras que proporcionan los servicios esenciales a nuestra sociedad, fomentando para ello la participación de todos y cada uno de los agentes del sistema en sus correspondientes ámbitos competenciales. Mediante la integración de todos estos esfuerzos, se pretende fomentar un modelo de seguridad basado en la confianza mutua, creando una asociación público-privada que permita minimizar las vulnerabilidades de las infraestructuras críticas ubicadas en el territorio nacional.
"En el sector del agua existe una gran preocupación porque en determinadas circunstancias, con un acto muy sencillo, puede colapsar todo el sistema"
P.- ¿Qué tipo de infraestructuras son las denominadas críticas?
R.- La tipología de infraestructuras críticas es muy variada. Se estudia cada uno de los 12 sectores estratégicos que recoge la “Ley PIC” (Ley 8/2011, de 28 de abril) y se identifican las infraestructuras que le dan soporte. Dentro de todo ese conjunto de infraestructuras que soportan los servicios esenciales de cada sector, algunas, aquellas cuyo impacto en caso de destrucción o inutilización es muy grave, en función de los criterios horizontales de criticidad estudiados serán las denominadas infraestructuras críticas.
P.- En 2015 se aprobó el Plan Estratégico Sectorial del agua. ¿Qué peculiaridades ha tenido este PES con respecto a otros sectores?
R.- Todos los PES tienen sus peculiaridades. Dentro del estudio necesario del sector del agua para elaborar el plan, nos hemos encontrado con que existían infraestructuras que a priori pensábamos que iban a ser esenciales como por ejemplo algunos canales y presas, y que luego no lo fueron, o infraestructuras como potabilizadoras o depuradoras con un potencial impacto más grande del que preveíamos. La red nacional de infraestructuras de agua es muy tupida, por lo que ha sido muy complejo identificar los puntos más sensibles. Esto aporta gran solidez al sistema, pero a su vez dificulta enormemente su estudio.
P.- ¿Qué tipo de ataques son los más habituales o probables en infraestructuras de agua?
R.- Por suerte los ataques a las infraestructuras del agua no son habituales. Existe la circunstancia de que el sector del agua sigue estando muy mecanizado, con un alto componente manual y no depende tanto como otros sectores de las tecnologías de la información y las comunicaciones, por lo que es menos vulnerable a ciberataques. Los ataques más probables serían los que podríamos asociar a las formas clásicas de terrorismo, en los cuales se hace uso de medios físicos como explosivos, granadas, etc, con gran capacidad de destrucción.
P.- Los expertos aseguran que uno de las mayores amenazas sobre las infraestructuras es el ataque por parte de trabajadores o ex trabajadores ¿es esto cierto?
R.- Sí, es cierto. Para que los operadores puedan hacer su análisis de riesgos se les proporciona lo que se denomina un árbol de amenazas y para todos los sectores, dentro de ese árbol, está recogida la figura del trabajador que podría hacer uso de distintos medios para realizar un ataque desde dentro de la organización, o “insider”. Debido a que tienen un profundo conocimiento de la infraestructura y sus debilidades, y por su capacidad de acceso y permisos a estos lugares, que de otra manera sería muy complicado, pueden suponer una gran amenaza para la organización.
Específicamente dentro del sector del agua existe una gran preocupación porque en determinadas circunstancias, con un acto muy sencillo, se puede colapsar todo el sistema.
P.- ¿Cómo es la organización de la seguridad en los operadores de agua?
R.- En el sector del agua uno de los problemas más grandes que nos encontrábamos era que no había nadie que se encargara de la seguridad, a excepción de los grandes operadores. Fue complicado hacer partícipe a la Alta Dirección si no había nadie del campo de la seguridad que pudiera sentarse con ellos y los concienciara de la necesidad de mejorar esta área.
Al principio fue complicado, pero a día de hoy, en todos los operadores que han sido declarados como críticos, existe la figura de “Responsable de Seguridad y Enlace”, que es el punto de contacto con el CNPIC y que tiene que cumplir una serie de requisitos que establece la ley, como tener una formación específica en el campo de la seguridad. Nos consta que muchos de estos operadores, en mayor o menor medida, están integrando en sus esquemas organizativos, departamentos de seguridad, lo que supone un gran avance respecto a la situación inicial que identificamos.
En todos los operadores críticos existe la figura de “Responsable de Seguridad y Enlace”
P.- ¿Qué medidas debería tomar el sector del agua para mejorar su seguridad?
R.- A corto plazo hay que desarrollar los planes que están pendientes. Una vez desarrollado el Plan Estratégico del Sector, los operadores críticos deben desarrollar los Planes de Seguridad del Operador, el documento estratégico que nos dice en que situación, a nivel de seguridad, se encuentra la empresa, y a continuación, los Planes de Protección Específicos.
Un aspecto fundamental es la necesidad de involucrar mucho más a la Alta Dirección de las empresas y hacerla partícipe de las inquietudes sobre la seguridad de las infraestructuras críticas que operan, infraestructuras que son muy importantes y que forman en la mayoría de los casos sus activos más importantes, y el core de su negocio.
A medio plazo, lo importante será desarrollar unos buenos Planes de Apoyo Operativo. Estos planes los realizan las fuerzas y cuerpos de seguridad, y tienen por objeto la protección de las infraestructuras, pero deben coordinarse muy bien con Planes de Protección Específicos que elaboran los operadores críticos. Estos planes son los que definirán con exactitud los medios y la forma de apoyar a los operadores en el caso de que tenga lugar un incidente en dichas infraestructuras críticas.
P.- ¿Existe en el sector del agua suficiente concienciación de que las infraestructuras de agua son críticas?
R.- Al sector del agua le ha venido un poco de imprevisto el hecho de que parte de sus infraestructuras son consideradas críticas. De hecho no solo es que lo sean, sino que el impacto de un ataque puede tener efectos, sin pretensión de ser alarmista, catastróficos.
En un principio, sí observamos que en el sector del agua existía, y hablo en pasado, una concienciación más baja que en otros sectores, como en el de la energía o el transporte. Los operadores críticos de estos sectores contaban con departamentos de seguridad muy importantes y se tenían muy en cuenta en su estructura orgánica.
Lo que si hemos notado es que existe “movimiento”, los operadores empiezan a integrar estos procesos, y sobre todo se encuentran más cómodos ante la nueva faceta de seguridad a la que tienen que hacer frente. El nivel de concienciación se ha elevado considerablemente en el sector del agua, aunque todavía hay mucho que hacer, la aceptación está siendo muy buena. El CNPIC se está volcando, como el sector, participando en seminarios, jornadas y cursos muy relacionados con el agua, porque era el sector del agua al que creíamos que le hacía falta un poco más de concienciación.
Ha costado arrancar, pero se está empezando a andar, haría falta acelerar un poco, pero colaborando y coordinándonos entre todos los implicados, podemos llegar a un nivel de concienciación y protección muy importante.
