Protección de infraestructura crítica: del espacio de batalla a la red eléctrica

Durante décadas, la ciberdefensa y la protección de infraestructura crítica se trataron como disciplinas separadas, con presupuestos separados, equipos separados y doctrinas separadas. Esa separación ya no se sostiene. En el siglo XXI, un ataque contra una subestación eléctrica, una planta de tratamiento de agua o una red troncal de telecomunicaciones produce efectos estratégicos comparables a los de una acción militar convencional —y, en algunos escenarios, más duraderos—. La pregunta que importa ya no es si la defensa debe operar sobre infraestructura civil, sino cómo hacerlo con el mismo rigor, la misma disciplina y la misma evidencia que se exigen de cualquier operación militar.

Zendrix nació en esa convergencia. La plataforma fue construida para operar donde las consecuencias son reales: en el espacio de batalla y en la red eléctrica, en la frontera y en el centro de datos que sostiene servicios esenciales. Este artículo describe cómo la misma base tecnológica sirve a la defensa y a la infraestructura crítica civil, y por qué eso es una decisión de ingeniería —no una conveniencia de mercado—.

Cuando las consecuencias salen del dominio digital

En la ciberseguridad tradicional, el peor resultado tiende a ser la pérdida de datos, la indisponibilidad temporal o el daño reputacional. En la infraestructura crítica, el peor resultado es físico: equipos destruidos, suministro interrumpido, vidas en riesgo. Esa diferencia lo cambia todo en el diseño de un sistema autónomo.

La plataforma opera con invariantes de seguridad física: límites explícitos que describen lo que no debe ocurrir en el mundo real —rangos operativos de los equipos, restricciones de proceso y condiciones de contorno de instalaciones sensibles—. No se ejecuta ninguna acción cibernética cuyo efecto físico no pueda modelarse y contenerse. Si el efecto de una acción no puede predecirse con suficiente confianza, la acción no se declara exitosa ni se autoriza a proceder. Esta regla es estructural, no configurable: no depende del juicio caso por caso en el fragor de las operaciones.

Esa disciplina también protege al operador. En entornos donde un comando erróneo puede dañar equipos costosos o interrumpir servicios esenciales, la capacidad de rechazar una acción es tan valiosa como la capacidad de ejecutarla. La autonomía responsable no es un freno: es lo que permite operar cerca del límite sin cruzar la línea.

Cuatro sectores, cuatro gramáticas del riesgo

Energía, agua, telecomunicaciones y servicios financieros comparten la característica de ser sistemas ciberfísicos con efectos en cascada, pero cada uno tiene su propia gramática del riesgo. La plataforma aborda esa diversidad mediante perfiles sectoriales.

En el sector eléctrico, los invariantes giran en torno a la estabilidad y la integridad: frecuencia, tensión, límites de los transformadores y secuencias de conmutación que no deben violarse. En agua y saneamiento, el foco está en la presión, la calidad y la continuidad del proceso con muy poco margen de error. En telecomunicaciones, lo que se protege es la disponibilidad de las rutas críticas y la integridad de la señalización que mantiene coherente la red. En finanzas, los invariantes conciernen a la liquidación y la integridad: las operaciones que no pueden revertirse exigen garantías que van más allá de la disponibilidad.

En todos los casos, el principio es el mismo: el perfil sectorial define el envelope dentro del cual puede operar la autonomía. Fuera del envelope, la decisión escala a la autoridad humana. El sistema no improvisa sobre lo que no comprende, y no trata sectores distintos como si hablaran el mismo idioma.

Dual-use como principio, no como conveniencia

La capacidad dual-use de Zendrix no es un subproducto: es el diseño. La misma plataforma que apoya a agencias gubernamentales e instituciones aliadas en la defensa de redes y sistemas sensibles sostiene a operadores de infraestructura crítica que deben mantener servicios esenciales en funcionamiento bajo presión —incluso bajo ataque—.

Eso incluye la operación en entornos aislados adonde no llega ninguna nube: instalaciones sensibles, embarcaciones, fronteras y plantas industriales con requisitos de soberanía. La plataforma mantiene la cognición, el estado y la verificación de integridad de forma local, con ejercicios periódicos que demuestran la capacidad de operar sin conectividad externa. La soberanía, en este contexto, no es retórica: es la diferencia entre seguir operando y depender de una conexión que puede no existir.

Evidencia, control humano e interoperabilidad

Ninguna capacidad se declara sin evidencia. La plataforma mantiene una traza de auditoría a prueba de manipulación, firma criptográficamente los artefactos que produce y verifica la integridad de lo que ejecuta. Los operadores pueden reconstruir qué ocurrió, por qué ocurrió y bajo qué autoridad —un requisito tanto para la defensa como para los reguladores sectoriales—.

Las decisiones que implican riesgo para la vida siempre requieren autoridad humana. El resto fluye a velocidad de máquina, porque la parálisis también es un fallo. Y la interoperabilidad es nativa: estándares abiertos como STIX 2.1 y TAXII 2.1 permiten que distintas instituciones —nacionales y aliadas— compartan inteligencia sin ceder la soberanía sobre sus datos. Colaborar sin exponerse es un requisito operativo, no un lujo diplomático.

Antes de llevar la autonomía a cualquier entorno ciberfísico, aplicamos un conjunto de preguntas cuyo valor radica en poder responderse con evidencia y no con opinión:

• ¿Cuál es el peor efecto físico posible de una acción errónea —y cómo se contiene antes de que ocurra?
• ¿Quién responde por la decisión cuando el sistema no tiene confianza suficiente para actuar por sí solo?
• ¿Cómo reconstruye un auditor, meses después, qué se hizo, por qué se hizo y bajo qué autoridad?
• ¿Puede la institución seguir operando si la conectividad externa desaparece por completo?

Ninguna de estas preguntas es exclusiva de la defensa. Todas son igualmente pertinentes para la empresa de servicios públicos que opera una subestación, el operador que sostiene una red de emergencia y la institución financiera que liquida transacciones a escala nacional. Por eso tratamos la infraestructura crítica y la defensa como un único dominio de ingeniería: los requisitos son los mismos; solo las consecuencias cambian de nombre.

La misma tecnología que defiende a la nación mantiene las luces encendidas —y el criterio para confiar en ella es idéntico en ambos casos: evidencia verificable, control humano donde importa y soberanía de extremo a extremo.