Cuando los datos públicos abiertos se convierten en un riesgo para la seguridad
Las ciudades llevan años publicando información sobre el transporte datos, documentos de planificación, mapas de servicios públicos, datos medioambientales e información detallada sobre las infraestructuras públicas. El objetivo era sensato: mayor transparencia, mejor control público y nuevas oportunidades para las empresas, los investigadores y las organizaciones cívicas.
Esa misma información también puede revelar cómo funciona una ciudad, dónde se encuentran sus puntos críticos de dependencia y qué activos provocarían mayores trastornos en caso de fallar.
Un único conjunto de datos puede parecer inofensivo. El riesgo surge cuando se pueden combinar mapas de libre acceso, documentos de contratación pública, solicitudes de planificación, calendarios de mantenimiento y datos de sensores en tiempo real. En conjunto, pueden revelar la ubicación de subestaciones importantes, los trazados de las redes de comunicaciones, los puntos de acceso a instalaciones técnicas o los sistemas de los que dependen los hospitales, el transporte y los servicios de emergencia.
Las ciudades no deberían renunciar a los datos abiertos. Deberían dejar de considerar la publicación como un trámite administrativo rutinario.
La siguiente fase de la política de ciudades inteligentes exige una distinción más rigurosa entre la información que favorece el control democrático y aquella que aumenta la vulnerabilidad operativa. Cada conjunto de datos debería evaluarse antes de su publicación en función de lo que revela por sí solo, de lo que revela al combinarse con otras fuentes y de la rapidez con la que podrían contenerse las consecuencias en caso de que se hiciera un uso indebido de los mismos.
La transparencia no implica una exposición operativa
Las autoridades públicas tienen motivos legítimos para divulgar información sobre las infraestructuras.
Los ciudadanos deben saber cómo se gasta el dinero público, dónde se prevén obras de construcción y si los servicios se gestionan de forma eficaz. Los periodistas y las organizaciones de la sociedad civil necesitan tener acceso a los registros que les permitan examinar los contratos, los impactos medioambientales y las decisiones políticas. Las empresas utilizan los datos municipales para desarrollar servicios de navegación, movilidad, inmobiliarios y energéticos.
Nada de esto obliga a las ciudades a publicar todos los detalles técnicos en un formato legible por máquina sin restricciones.
Un ayuntamiento puede comunicar que tiene prevista una mejora de la red, explicar su coste e identificar al contratista sin necesidad de publicar el esquema exacto de los componentes críticos. Puede facilitar información agregada sobre las interrupciones del servicio sin revelar las especificaciones de los equipos, los accesos para el mantenimiento ni la interdependencia entre las distintas instalaciones.
La distinción relevante no es entre un gobierno abierto y uno secreto, sino entre la información necesaria para exigir responsabilidades a las instituciones públicas y la información que aporta escaso valor cívico y, al mismo tiempo, genera un riesgo de seguridad evitable.
A menudo no se tiene en cuenta esa distinción porque las normas de transparencia y los programas de datos abiertos se desarrollaron al margen de los procedimientos de seguridad de las infraestructuras. Un departamento elabora conjuntos de datos públicos, otro gestiona los servicios públicos y un tercero supervisa la ciberseguridad. No hay ningún organismo que examine cómo encaja toda la información.
El riesgo radica en combinar información común
Es muy raro que una infraestructura crítica quede al descubierto por un único documento calificado como confidencial.
En la mayoría de los casos, una parte interesada puede obtener una visión general de la situación a partir de varias fuentes comunes. Un portal público de planificación puede mostrar la huella de una instalación técnica. Un anuncio de licitación identifica el equipo que se va a instalar. Un contrato de mantenimiento revela quién es el proveedor del servicio. Los datos sobre obras viales indican dónde se están realizando accesos subterráneos, mientras que un informe medioambiental explica el trazado de un cable o una tubería.
Cada publicación puede estar justificada por sí sola. Sin embargo, en conjunto, pueden revelar mucho más de lo que cualquier departamento tenía previsto.
Las herramientas digitales facilitan esta recopilación. Los datos pueden recopilarse automáticamente, vincularse por ubicación y compararse con imágenes de satélite, registros de la empresa y material publicado por contratistas o empleados. La información que antes requería semanas de observación sobre el terreno puede recopilarse a distancia y actualizarse de forma continua.
Por lo tanto, las ciudades deben evaluar el efecto acumulativo de la divulgación de información. Ya no basta con preguntarse si un documento es confidencial. La pregunta más útil es si, al combinarlo con la información ya disponible en otras fuentes, permite completar una visión operativa más amplia.
Esto se aplica especialmente a los datos geográficos. Las coordenadas, las rutas de red y las relaciones espaciales permiten superponer distintos conjuntos de datos. Un mapa de edificios públicos puede adquirir mayor sensibilidad cuando se combina con datos sobre electricidad, comunicaciones, transporte y respuesta ante emergencias.
Los gemelos digitales facilitan la gestión de las ciudades y su estudio
Los gemelos digitales se están convirtiendo en un elemento importante de la planificación urbana. Permiten a los ayuntamientos simular el tráfico, el consumo energético, la construcción, las inundaciones y las repercusiones de las decisiones urbanísticas antes de que se lleven a cabo cambios físicos.
Su valor reside en los detalles. Un gemelo digital útil puede contener información sobre edificios, calles, servicios públicos, sensores, redes de transporte e instalaciones públicas. Puede mostrar cómo un sistema afecta a otro y hacia dónde se propagaría una interrupción.
Esas mismas capacidades plantean un problema de seguridad cuando se hace pública una parte demasiado amplia del modelo.
Una versión simplificada puede ayudar a los residentes a comprender un plan urbanístico o a evaluar el impacto medioambiental de un proyecto. Un acceso técnico completo podría poner de manifiesto dependencias que no son visibles en los mapas convencionales. Podría revelar qué infraestructuras carecen de una ruta alternativa, dónde se concentra la capacidad o cómo los fallos en una red afectarían a otra.
Por lo tanto, las ciudades deberían evitar considerar el gemelo digital como un producto público indivisible. Las diferentes versiones pueden estar destinadas a distintos usuarios.
Los residentes pueden recibir una capa visual de planificación. Los investigadores pueden trabajar con conjuntos de datos anonimizados o agregados. Los contratistas pueden recibir la información necesaria para un proyecto concreto, mientras que los operadores de infraestructuras conservan el acceso al modelo operativo completo.
El acceso debe ajustarse a la finalidad. Publicar el modelo completo simplemente porque algunas partes del mismo favorecen la participación pública confunde la transparencia con la divulgación técnica sin restricciones.
Los datos en tiempo real modifican la amenaza
La información estática puede quedar desactualizada. Los datos en tiempo real muestran lo que está ocurriendo en este momento.
Los sistemas de ciudades inteligentes pueden publicar información en tiempo real sobre el estado del tráfico, la ubicación de los medios de transporte público, la disponibilidad de plazas de aparcamiento, la demanda energética, los datos medioambientales y los niveles de ocupación. Estos servicios facilitan la orientación en las ciudades y permiten que las aplicaciones privadas mejoren la movilidad.
El riesgo aumenta cuando las retransmisiones en directo revelan la capacidad operativa, las rutinas habituales o las consecuencias de un incidente a medida que este se desarrolla.
La información en tiempo real puede indicar si una interrupción ha afectado a un distrito concreto, con qué rapidez se están restableciendo los servicios y qué sistemas alternativos se han activado. Los datos destinados a informar a los residentes también pueden servir de referencia para quienes evalúan la resiliencia de las infraestructuras.
La solución no consiste en eliminar todos los servicios en línea. Se trata de valorar si se puede lograr el mismo beneficio público con una menor precisión, retrasando la publicación o mediante la agregación geográfica.
Es posible que una autoridad de transporte tenga que demostrar que una línea sufre retrasos sin revelar los datos técnicos de telemetría del sistema de control subyacente. Un panel de control energético puede mostrar el consumo a nivel de distrito sin publicar datos lo suficientemente detallados como para revelar la actividad de cada una de las instalaciones.
El nivel de detalle de los datos es una decisión de seguridad. No debe determinarse únicamente en función de lo que la tecnología sea capaz de generar.
Los documentos de contratación pública revelan más de lo que las ciudades esperan
La contratación pública es otra fuente importante de divulgación involuntaria.
La documentación de la licitación debe proporcionar a los licitadores información suficiente para comprender la obra y competir en condiciones de igualdad. En los proyectos de infraestructuras y tecnología, esto puede incluir la arquitectura del sistema existente, los requisitos técnicos, los puntos de integración, las funciones de seguridad y la descripción de las deficiencias actuales.
Una vez publicados, estos datos pueden permanecer en línea mucho tiempo después de que haya finalizado el proceso de contratación.
El problema se agudiza especialmente cuando un ayuntamiento describe sus deficiencias actuales con el fin de justificar un nuevo contrato. En una licitación de ciberseguridad se podría explicar que los sistemas están obsoletos, que la supervisión es incompleta o que determinadas ubicaciones carecen de redundancia. En un proyecto de red se podrían enumerar los dispositivos, las versiones de software y los requisitos de acceso remoto.
Las ciudades deberían separar la información necesaria para la rendición de cuentas pública del material técnico que necesitan los licitadores cualificados. Algunos documentos pueden seguir siendo públicos, mientras que las especificaciones más sensibles se facilitan a través de un proceso de contratación controlado, tras las comprobaciones pertinentes y los compromisos de confidencialidad correspondientes.
Los contratistas también necesitan normas de publicación. Los proveedores suelen describir los proyectos en casos prácticos, ponencias en congresos y materiales de marketing. Una implementación de «ciudad inteligente» técnicamente impresionante puede presentarse con diagramas, capturas de pantalla y detalles operativos que el propio ayuntamiento no habría hecho públicos.
El contrato debe establecer qué información pueden divulgar los proveedores, quién autoriza las comunicaciones externas y cómo se elimina la información confidencial al finalizar un proyecto.
La clasificación de los datos debe realizarse antes de su publicación.
Muchos ayuntamientos confían en que sus empleados identifiquen la información sensible al preparar los documentos para su publicación. Este enfoque es inconsistente y hace recaer demasiada responsabilidad en el criterio individual.
Las ciudades necesitan un sistema de clasificación que se aplique a los conjuntos de datos, los documentos, los mapas y los servicios digitales antes de su publicación.
Un marco práctico debería tener en cuenta varias cuestiones. ¿Identifica la información un activo crítico? ¿Revela la capacidad, el estado o las dependencias de dicho activo? ¿Podría ayudar a alguien a obtener acceso físico o digital? ¿Está la información disponible en otros lugares y su publicación facilitaría considerablemente su uso? ¿Podría aumentar el riesgo su combinación con otras fuentes? ¿Con qué rapidez detectaría y contendría la ciudad un uso indebido?
La respuesta debería dar lugar a un tratamiento concreto. La información puede publicarse íntegramente, de forma agregada, con retraso, censurada, restringida a usuarios autorizados o no divulgarse.
La clasificación no debe convertirse en una excusa conveniente para el secretismo. Las decisiones deben basarse en criterios claros, un razonamiento documentado y una revisión periódica. La información que se oculta durante la construcción, por ejemplo, puede perder su carácter sensible una vez finalizado el proyecto. Otros datos pueden adquirir mayor sensibilidad a medida que los sistemas se interconectan.
El proceso también requiere un mecanismo de recurso o revisión. La supervisión democrática se ve debilitada cuando no es posible impugnar las clasificaciones de seguridad. El objetivo es una protección proporcionada, no el encubrimiento administrativo.
Eliminar la información más adelante no es una estrategia de seguridad
A veces, las ciudades responden a una nueva amenaza eliminando documentos de sus páginas web. Esto puede reducir el acceso casual, pero no garantiza que la información ya no esté disponible.
Los documentos públicos se copian, se indexan, se archivan y se redistribuyen. Es posible que empresas, investigadores y particulares ya hayan descargado los conjuntos de datos abiertos. Los mapas pueden aparecer en informes, solicitudes de planificación o plataformas de terceros que escapan al control municipal.
Por lo tanto, la publicación debe considerarse, a efectos prácticos, permanente.
Esto modifica el proceso de toma de decisiones. Una ciudad no debe dar por sentado que la información sensible puede hacerse pública de forma temporal y retirarse si cambian las circunstancias. Una vez divulgada, se pierde en gran medida el control sobre ella.
Cuando exista una necesidad pública legítima, pero la información pueda llegar a ser sensible más adelante, el ayuntamiento puede plantearse un acceso controlado por un periodo de tiempo limitado, en lugar de una publicación sin restricciones. Se puede exigir a los usuarios que se registren, que acepten unas condiciones o que accedan al material a través de un portal que registre su uso.
Por sí solos, estos controles no impedirán el uso indebido deliberado. Sin embargo, pueden disuadir de la redistribución indiscriminada, facilitar la investigación y permitir que se retire el acceso sin pretender que las páginas web eliminadas resuelvan el problema.
Los portales de datos abiertos necesitan una gestión de la seguridad
Los equipos de datos abiertos suelen evaluarse en función del número de conjuntos de datos publicados, su calidad técnica y la frecuencia con la que se actualizan. Estos criterios fomentan la publicación, pero dicen poco sobre si la información debería ser pública.
La seguridad debería formar parte del proceso de gobernanza de los datos, en lugar de ser una revisión externa que solo se lleve a cabo cuando surgen problemas.
Cada conjunto de datos necesita un responsable que comprenda tanto su valor público como su contexto operativo. El responsable debe saber cuál es el origen de los datos, cómo se actualizan, qué campos entrañan riesgos y con qué otros conjuntos de datos podrían combinarse.
Las publicaciones de mayor riesgo deben ser revisadas por especialistas en infraestructuras, ciberseguridad, asuntos jurídicos y protección de datos. El proceso debe ser lo suficientemente rápido como para dar cabida a las publicaciones habituales; de lo contrario, los departamentos lo eludirán o dejarán de aportar información útil.
Las herramientas automatizadas pueden ayudar a identificar coordenadas, identificadores técnicos, datos personales o referencias a instalaciones críticas. Sin embargo, no pueden determinar si la información combinada supone una amenaza inaceptable. Esa evaluación requiere conocer el funcionamiento de la ciudad.
No todos los usuarios necesitan el mismo nivel de acceso
El modelo original de datos abiertos solía partir de la premisa de que la información debía estar disponible para todo el mundo en las mismas condiciones. Un enfoque más maduro permite distinguir entre usuarios públicos, profesionales y operativos.
Un residente puede necesitar información resumida sobre la calidad del aire, mientras que un equipo de investigación universitario requiere mediciones históricas con un mayor nivel de detalle. Un contratista encargado del mantenimiento de la red de sensores necesita las ubicaciones exactas y los identificadores técnicos. Los operadores de infraestructuras necesitan acceso operativo en tiempo real.
Estos usuarios no necesitan conjuntos de datos idénticos.
El acceso por niveles permite preservar usos valiosos sin publicar abiertamente la versión más sensible. Los investigadores o las empresas pueden recibir información detallada mediante acuerdos que especifiquen la finalidad, la seguridad y la redistribución. Las versiones públicas pueden ser agregadas o anonimizadas.
Esto no debería dar lugar a la creación de un mercado privado de información pública ni otorgar una ventaja desleal a determinadas empresas. Los criterios de acceso deben ser transparentes, coherentes y estar relacionados con un riesgo real.
El principio es sencillo: el interés público puede justificar el acceso sin que ello implique una publicación universal, anónima e ilimitada.
Los empleados y los proveedores forman parte del perímetro de información
El riesgo relacionado con los datos municipales no empieza ni termina con el portal de datos abiertos.
Los empleados publican mapas en presentaciones, comparten novedades sobre los proyectos en redes profesionales y responden a solicitudes de información individuales. Los proveedores muestran equipos e instalaciones en fotografías promocionales. Los representantes políticos pueden revelar detalles técnicos al explicar por qué era necesaria una inversión.
La mayoría de estas revelaciones parten de buenas intenciones. Sin embargo, en su conjunto, pueden socavar la clasificación oficial.
Las ciudades necesitan orientaciones prácticas sobre qué información puede hacerse pública, especialmente en el caso de los empleados que trabajan en los sectores de la energía, el transporte, el agua, las comunicaciones y los servicios de emergencia. Las normas deberían abarcar fotografías, materiales de conferencias, redes sociales y respuestas a consultas externas.
La formación debería basarse en ejemplos realistas, en lugar de en advertencias genéricas. Los empleados deben comprender por qué una imagen corriente de una sala de control, un punto de acceso o una instalación de mantenimiento puede revelar más información de la esperada.
Los proveedores y los consultores deben cumplir las mismas normas. La externalización de un servicio no exime al ayuntamiento de su responsabilidad respecto a la información relacionada con el mismo.
La transparencia y la seguridad deben reforzarse mutuamente
Un secretismo excesivo puede debilitar la protección de las infraestructuras.
Cuando los ciudadanos, los periodistas y los expertos independientes no pueden examinar los proyectos públicos, es posible que las deficiencias en la contratación pública y la escasa resiliencia pasen desapercibidas. La transparencia puede sacar a la luz un mantenimiento descuidado, una planificación deficiente y contratos que no ofrecen la redundancia suficiente. Por lo tanto, el escrutinio público puede mejorar la seguridad.
El objetivo no es ocultar si las infraestructuras son resilientes. Las ciudades deberían publicar evaluaciones de riesgos, prioridades de inversión, indicadores de rendimiento y explicaciones sobre cómo se gestionan las interrupciones del servicio. Deberían permitir que se compruebe si el dinero público se está utilizando de forma eficaz.
Lo que no tienen por qué publicar son los detalles operativos que facilitarían la interrupción del servicio.
Un ayuntamiento puede revelar que una red carece de redundancia sin identificar el componente concreto cuyo fallo provocaría la desconexión de un barrio. Puede explicar que se están mejorando los controles de ciberseguridad sin enumerar los sistemas vulnerables ni las deficiencias de configuración.
Una buena transparencia explica las decisiones, las responsabilidades y los resultados. No requiere un manual de funcionamiento.
Las ciudades necesitan un modelo de amenazas de publicación
Antes de publicar datos relacionados con las infraestructuras, los ayuntamientos deberían plantearse cómo podrían ser utilizados indebidamente y por quién.
Es posible que el usuario potencial no sea un actor extranjero sofisticado. Podría tratarse de un grupo delictivo que busca acceder a unas instalaciones, un vándalo en busca de un objetivo fácil, un extorsionador que evalúa los puntos débiles o una persona que planea causar trastornos y que cuenta con conocimientos técnicos limitados.
Esto es importante porque la información de dominio público reduce los conocimientos especializados necesarios. No es necesario que un conjunto de datos permita llevar a cabo un ataque directamente para que resulte peligroso. Puede ahorrar tiempo, identificar un objetivo o confirmar que un activo concreto tiene importancia estratégica.
El modelo de amenazas también debe tener en cuenta las consecuencias. Los datos relacionados con una pequeña instalación municipal pueden ser menos sensibles que la información sobre un activo que da servicio a hospitales, a las comunicaciones de emergencia o al transporte regional. Un mismo detalle técnico puede entrañar riesgos muy diferentes en función de lo que dependa de él.
Las decisiones sobre la publicación deben tener en cuenta tanto la probabilidad como el impacto.
La ciudad inteligente debe aprender cuándo no publicar
Los datos abiertos siguen siendo esenciales para una administración responsable y unos servicios digitales útiles. La respuesta a las amenazas a las infraestructuras no debería consistir en volver a unas administraciones cerradas y a unos registros públicos inaccesibles. Sin embargo, las ciudades deben abandonar la idea de que una mayor cantidad de datos es siempre sinónimo de una mayor madurez digital. Una ciudad inteligente madura sabe qué información genera valor público, qué nivel de detalle es necesario y qué públicos deben tener acceso a ella. Entiende que conjuntos de datos independientes pueden revelar relaciones delicadas cuando se combinan, que los datos en tiempo real modifican el riesgo y que la información técnica no puede retirarse una vez publicada.
Esto requiere una clasificación, un acceso por niveles, controles de los proveedores y la cooperación entre los equipos de transparencia, infraestructura y seguridad. También exige disciplina política. La publicación de mapas y paneles de control detallados puede demostrar un progreso visible, mientras que anunciar una gestión cuidadosa de los datos resulta menos llamativo. Esta distinción cobrará mayor importancia a medida que las ciudades conecten más sensores, sistemas y servicios. Cada nueva capa digital mejora la capacidad de comprender y gestionar la infraestructura urbana. También puede mejorar la capacidad de otros para estudiar sus puntos débiles. Los datos abiertos de la ciudad deberían ayudar a los residentes a ver cómo se gestiona su municipio. No deberían proporcionar un plan de cómo se pueden perturbar sus sistemas esenciales.