Defensa recuerda a los militares la prohibición de usar móviles personales en zonas restringidas
Procedimiento de uso de dispositivos móviles Instrucciones NATO Ponen en riesgo la información clasificada Zonas de Acceso Restringido Zonas Administrativas de Protección...
- Procedimiento de uso de dispositivos móviles
- Instrucciones NATO
- Ponen en riesgo la información clasificada
- Zonas de Acceso Restringido
- Zonas Administrativas de Protección
- Limitaciones de acceso de personal
- Dónde están permitidos y dónde prohibidos
- Cajetines para dejar los móviles
- Documentos físicos
- Una amenaza para las Fuerzas Armadas
- Facilitan ubicaciones
“Prohibido el acceso con dispositivos electrónicos”. Ese aviso se puede ver en carteles situados en las entradas a las Zonas de Acceso Restringido (ZAR) de edificios e instalaciones de unidades, centros y organismos del Ministerio de Defensa y de la estructura de las Fuerzas Armadas por toda España. La prohibición es una norma desde hace ya muchos años.
Se trata de evitar principalmente que los teléfonos móviles de los militares que entran en esas Zonas de Acceso Restringido se convierten en una vía de fuga de la información clasificada que se maneja en dicho espacio.
Aunque se trata de una instrucción general para todas las ZAR en edificios militares, el Ministerio de Defensa ha vuelto a recordar esa prohibición de acceso con teléfonos móviles.
Procedimiento de uso de dispositivos móviles
Confidencial Digital ha podido saber que, en abril de 2024, la Dirección General de Infraestructura del Ministerio de Defensa difundió internamente, al menos en parte de los organismos del ministerio, un documento sobre ‘Procedimiento uso de dispositivos móviles en ZAR/ZAP’.
Un glosario del Ministerio de Defensa define la Zona de Acceso Restringido (ZAR) como “área en la que se va a manejar y/o almacenar información clasificada, que deberá contar con las medidas y procedimientos de seguridad adecuados y suficientes para asegurar la protección de dicha información en todo momento”.
El origen de ese documento estuvo en el Centro de Sistemas y Tecnologías de la Información (CESTIC), que gestiona las políticas relativas a los sistemas y tecnologías de la información y las comunicaciones (CIS/TIC) en el Ministerio de Defensa, y que tiene entre sus funciones la seguridad de la información del ministerio.
Instrucciones NATO
El director de CESTIC, teniente general del Ejército de Tierra José María Millán Martínez, solicitó al director general de Infraestructura del Ministerio de Defensa, teniente general de Tierra Luis Cebrián Carbonell, que tomara medidas para establecer un procedimiento común a todos los ámbitos para el empleo de dispositivos móviles en las Zonas de Acceso Restringido (ZAR).
El director general de Infraestructura es el responsable del Área de Seguridad de la Información en las Instalaciones del Ministerio de Defensa.
El director de CESTIC apuntó que ese procedimiento común debía establecerse de acuerdo con un documento de la OTAN que ya estableció unas instrucciones en ese mismo ámbito: ‘NATO / Document AC_35-D_1042 / Security Comittee in CIS Security Format (SC(CISS)) Supporting Document on the Use of Mobile Devices on NATO Premises / 02.10.2018’.
Ponen en riesgo la información clasificada
¿A qué se debe esta nueva orden? En un punto del documento sobre “Descripción de la situación actual” se explica que el uso de dispositivos móviles en las Zonas de Acceso Restringido “genera un riesgo para la seguridad de la información clasificada que se maneja en ellas”.
La mayoría de esas ZAR en infraestructuras militares cuenta con una triple acreditación como lugares donde se maneja información clasificada: una acreditación propia nacional, de la OTAN y de la Unión Europea.
Por ese motivo, decidió “promover un procedimiento de uso general” sobre uso de dispositivos móviles basado en la normativa OTAN ya citada.
Zonas de Acceso Restringido
El documento remitido por el director general de Infraestructura incluyó una tabla que especificó dónde están permitidos los móviles (corporativos y no corporativos), según la protección especial que tenga una zona dentro de un cuartel, base militar o edificio del Ministerio de Defensa.
La Oficina Nacional de Seguridad (ONS) es un organismo, ahora dependiente de la directora del Centro Nacional de Inteligencia (CNI), que define los requisitos que deben tener los sistemas informáticos, y también los lugares físicos donde se maneja información clasificada.
Esta oficina también es la encargada de conceder las Habilitaciones Personales de Seguridad (HPS), que, tras una investigación sobre la persona, permiten acceder a documentos clasificados según niveles (Difusión limitada, Confidencial, Reservado, Secreto).
Las normas de la Oficina Nacional de Seguridad detallan qué es una zona seguridad: “Cualquier instalación con un perímetro definido dentro de la que existe un control y unas condiciones de protección específicas”.
Desde el punto de vista de la protección de la información clasificada se distinguen dos tipos: Zona Administrativa de Protección (ZAP) y Zona de Acceso Restringido (ZAR).
Zonas Administrativas de Protección
Las Zonas Administrativas de Protección son instalaciones con un perímetro claramente definido dentro del cual existe un control de las personas, material y vehículos. No tienen una acreditación oficial, pero sí se definen y declaran para el conocimiento de los usuarios.
Presentan ciertas características exigidas, como que la puerta tenga un control de acceso que limite la entrada y salida, previa identificación positiva de la persona; que cuenten con detectores de intrusión de perímetro u otros medios de vigilancia que permitan alertar de un intento de acceso no autorizado a través de cualquier punto; y que dispongan de mobiliario adecuado para guardar bajo llave la información clasificada de grado Difusión limitada o equivalente.
Es común que en torno a Zonas de Acceso Restringido, o en las áreas que conducen a esas ZAR, se establezca una Zona Administrativa de Protección.
Limitaciones de acceso de personal
Las Zonas de Acceso Restringido (ZAR) son instalaciones donde se almacena o maneja información clasificada, normalmente de grado Confidencial o equivalente, o superior. En este caso sí deben estar oficial y formalmente acreditadas por la Oficina Nacional de Seguridad.
Las ZAR Clase I son zonas en las que la entrada a la zona supone, a todos los efectos, el acceso a información clasificada, por lo que sólo puede acceder personal debidamente habilitado y autorizado.
Entre otras medidas, exige un sistema de control de entrada que admita exclusivamente a las personas debidamente habilitadas y específicamente autorizadas para acceder.
En las ZAR Clase II se maneja y almacena información clasificada de tal forma que pueda estar protegida del acceso de personas no autorizadas mediante controles establecidos internamente, por lo que se podrá admitir la entrada a personal visitante debidamente controlado. Ese personal no autorizado puede entrar, pero acompañado de escolta.
Dónde están permitidos y dónde prohibidos
La instrucción remitida por la Dirección General de Infraestructura del Ministerio de Defensa establece que a las Zonas Administrativas de Protección (ZAP) está permitido el acceso tanto con dispositivos corporativos, que entrega el Ministerio de Defensa a cierto personal, como con “otros dispositivos”, se entiende que también los móviles personales.
Esos “otros dispositivos” están prohibidos en las Zonas de Acceso Restringido (ZAR), tanto de Clase II como de Clase I. Por tanto, el ministerio lo que hizo fue recordar que los teléfonos móviles personales están vetados por completo en esas zonas, y que, para salvaguardar la información clasificada que allí se maneja, no pueden ser introducidos.
Como se ha indicado, a determinados militares y altos cargos del Ministerio de Defensa y de las Fuerzas Armadas se les entregan teléfonos móviles corporativos, para uso en su trabajo diario. “Se entiende por dispositivos corporativos MINISDEF aquéllos que suministra el Ministerio de Defensa para su personal y que están enrolados según los protocolos establecidos”, concretó este ‘Procedimiento uso de dispositivos móviles en ZAR/ZAP’.
En las Zonas de Acceso Restringido de Clase I tampoco se permite el acceso de los dispositivos corporativos. Así que otra norma remarcada por Defensa es que en esas ZAR Clase I cualquier móvil está prohibido.
Pero en una Zona de Acceso Restringido Clase II se permite la entrada con móviles corporativos del ministerio, pero, eso sí, “con registro”.
El registro de dispositivos móviles que pueden acceder a una ZAR Clase II incluye datos personales del portador; marca, modelo y número de serie o IMEI del terminal; y fecha de acceso del aparato a la zona restringida donde se maneja información clasificada.
La circular enviada en abril estableció otra instrucción para los dispositivos corporativos que se introduzcan en ZAR Clase II con registro: “La distancia mínima de un dispositivo móvil respecto a cualquier sistema clasificado ubicado en ella será de 1,5 metros”.
Cajetines para dejar los móviles
Hay que insistir en que este mensaje, que se envió a las distintas unidades de la estructura del Ministerio de Defensa, no estableció unas directrices novedosas, sino que vino a recordar, si acaso a clarificar, instrucciones que ya estaban en vigor.
Pero el ministerio, u organismos como CESTIC, debían de ser conscientes de que en ocasiones se incumplen, y por eso recuerda en el documento que “la utilización de dispositivos móviles en las Zonas de Acceso Restringido (ZAR) genera un riesgo para la seguridad de la información clasificada que se maneja en ellas”.
Confidencial Digital ya ha contado en otras ocasiones que en distintas instancias de la estructura militar de España se mantienen prácticas que provocan que documentos clasificados acaben en redes informáticas no clasificadas, y otras pautas de actuación que suponen un riesgo para la protección de los documentos.
Documentos físicos
El incumplimiento de lo que las normas marcan estrictamente para manejar la información clasificada se da también en el ámbito de los documentos físicos, en papel, y de igual forma ocurre con esos espacios con medidas especiales de protección.
Se dan casos de Zonas de Acceso Restringido, en las que la puerta debe quedar cerrada y se accede con clave u otros sistemas de identificación personal, donde los militares que trabajan allí dejan la puerta abierta.
Fuentes militares aseguran que las instrucciones y los recordatorios que vetan el uso de móviles en esas ZAR no siempre se respetan, y por eso hay personal que accede con sus dispositivos, incluidos los personales.
Eso pese a que en las puertas de esas zonas se avisa de la prohibición de entrada con móviles, y de que, en esos edificios con ZAR se habilitan cajetines donde guardar los teléfonos mientras sus dueños se encuentran en una Zona de Acceso Restringido.
El canal en Telegram de denuncias anónimas de militares ‘Ciudadanos de Uniforme’ publicó recientemente una imagen, atribuida a un espacio del buque anfibio portaaeronaves ‘Juan Carlos I’, en la que se veía una puerta con un cartel de “Prohibida la entrada con dispositivos electrónicos”.
Más abajo se indicaba a los militares: “Entregue su dispositivo al personal del destino para su custodia”.
Es un ejemplo de un espacio reservado, en una instalación militar, en el que se prohíbe introducir teléfonos móviles por razones de seguridad.
Una amenaza para las Fuerzas Armadas
Los casos de espionaje en teléfonos móviles con el virus Pegasus despertaron alertas hace años.
No hay que olvidar que al móvil de la ministra de Defensa, Margarita Robles, le sustrajeron información. El teléfono del Jefe de Estado Mayor de la Defensa (JEMAD), almirante general Teodoro López Calderón, fue revisado y en él no se detectaron indicios de haber sido objeto de un ciberataque.
Algunos altos mandos comentaban por entonces que ya desde hace años tomaban precauciones básicas como dejar los teléfonos móviles fuera de los despachos o salas donde mantenían reuniones en las que se trataban temas especialmente delicados. Pero no es una conducta que sigan todos los mandos militares.
El teléfono móvil que cualquier militar lleva en el bolsillo, cuando está en el cuartel, de maniobras, en despliegues en el exterior... se ha convertido en una amenaza potencial a la seguridad de las Fuerzas Armadas, que ya ha sido analizada por distintos expertos.
Facilitan ubicaciones
Las señales que emiten los móviles de la tripulación de un buque pueden facilitar al enemigo la ubicación del mismo; las fotos publicadas en redes sociales pueden facilitar información sensible; los militares pueden ser objeto de ciberataques y campañas de propaganda y de guerra psicológica a través de sus móviles...
Confidencial Digital contó que un documento del Estado Mayor de la Defensa sobre ‘La Protección de la Fuerza ante las nuevas amenazas tecnológicas’ advertía de que los dispositivos electrónicos personales “suponen una amenaza para una gran parte de las áreas de aplicación de la protección, como son la seguridad de la información (incluyendo la seguridad de los sistemas de información y telecomunicaciones), la seguridad física, la seguridad en las operaciones (OPSEC), la seguridad de la propia organización (frente a la desinformación y descrédito) o la protección contra amenazas no convencionales”.
Ante estos riesgos, el Mando Conjunto del Ciberespacio trata de concienciar a los militares de los riesgos de los ciberataques, e intenta inculcar buenas prácticas para ser menos vulnerables.
Hace unos años se detectó un envío masivo de mensajes SMS a miembros de las Fuerzas Armadas para intentar robarles contraseñas y datos bancarios. Se recomendó no guardar los contactos en la agenda del móvil con el empleo de ese militar, como “capitán” o “teniente coronel”, para no facilitar que el receptor de esos SMS confíe aún más en el mensaje pirata recibido.
El Mando Conjunto del Ciberespacio lleva años experimentando con los teléfonos corporativos, con el fin de detectar las vulnerabilidades de los aparatos y las debilidades que pueden provocar los usuarios si son poco cuidadosos con las normas y recomendaciones de seguridad.
