La seguridad que no sale en los inventarios: el espectro radioeléctrico

Durante años, la ciberseguridad corporativa se ha organizado alrededor de un supuesto: si controlas endpoints, identidades, red y nube, controlas el riesgo.

Ese supuesto falla en cuanto una parte del negocio depende de comunicaciones inalámbricas.

Porque el espectro no aparece en tu CMDB.

No se parchea.

No se segmenta con VLANs.

Y, sin embargo, determina si una operación funciona o se detiene.

La paradoja es clara: muchas empresas han profesionalizado su seguridad digital mientras siguen tratando el entorno radio como “infraestructura invisible”.

El problema real no es “la radio”: es la dependencia operativa

Nadie “instala radio” por gusto. Se adopta porque resuelve fricción.

• Conectividad donde no hay cable
• Movilidad (personas, vehículos, activos)
• Despliegue rápido (plantas, almacenes, eventos)
• Telemetría en tiempo real (sensores, control, trazabilidad)

El punto crítico es que, cuando el inalámbrico deja de ser accesorio, pasa a ser sistema nervioso. Y entonces el riesgo deja de ser técnico: es operativo, contractual y reputacional.

Una caída de Wi-Fi puede ser un ticket IT.

Una degradación de comunicaciones en una plataforma logística puede ser un retraso con penalización.

Una interferencia sostenida en un entorno industrial puede ser un incidente de seguridad física.

El espectro no se comporta como una red

En una red IP, el perímetro (aunque imperfecto) existe: routers, firewalls, rutas, identidades.

En radio, el “perímetro” es el aire.

Eso tiene implicaciones incómodas:

No controlas quién transmite cerca de ti Una fuente de interferencia puede ser accidental, negligente o intencional. A nivel operativo, el efecto puede ser idéntico.

La disponibilidad es un requisito de seguridad, no un KPI de IT En radio, el fallo más común no es “intrusión”, sino degradación: más latencia, menos capacidad, más errores, cortes intermitentes. Lo suficiente para romper procesos, pero no lo bastante para disparar alarmas típicas.

La atribución es difícil Cuando algo va mal en red, hay logs. En radio, hay señales. Y si no estás midiendo, no existe evidencia: solo sospechas.

El cambio de entorno te cambia el riesgo Obras, maquinaria nueva, eventos cercanos, despliegues temporales, proveedores con equipos propios. El espectro es dinámico y la exposición también.

Amenazas típicas: lo que realmente te puede pasar

Hablar de “amenazas radio” suena abstracto hasta que lo conectas con fallos de negocio. Algunos patrones recurrentes:

Interferencias (accidentales o inducidas)

Equipos defectuosos, saturación en bandas congestionadas, emisores no autorizados, cambios en el entorno físico.

Impacto típico: degradación progresiva, cortes intermitentes, pérdida de enlaces críticos, falsas alarmas en sensores.

Dispositivos no autorizados

Puntos de acceso improvisados, repetidores, routers personales, “soluciones rápidas” de proveedores.

Impacto típico: superficies de ataque nuevas, rutas no controladas, datos expuestos por mala configuración, problemas de compliance.

Suplantación y engaño de entorno

Aquí no hace falta entrar en detalles técnicos para entender el riesgo: si tu operación confía en “lo que ve” un sistema inalámbrico, alguien puede intentar alterar lo que el sistema cree que está ocurriendo.

Impacto típico: confusión operativa, desvíos de proceso, pérdida de trazabilidad, decisiones basadas en señales falsificadas.

Jamming o degradación intencional

No siempre es “apagón total”. A veces es degradación suficiente para forzar fallback, generar caos o crear ventanas de oportunidad.

Impacto típico: parada parcial, inseguridad operativa, pérdida de control temporal.

El punto no es alarmismo: es reconocer que, en radio, el daño se manifiesta como operación que se vuelve inestable.

Por qué esto se gestiona mal en empresas grandes

Hay tres razones estructurales:

1) Propiedad difusa

¿De quién es esto?

IT (porque hay conectividad), OT (porque afecta a planta), Seguridad (porque es riesgo), Facility (porque es “infra”), Compliance (por normativa).

Cuando nadie es dueño, nadie mide.

2) Falta de línea base

En ciber, asumimos un baseline: inventario, estados, configuración esperada.

En radio, muchas organizaciones no pueden responder con precisión:

• Qué bandas usamos y dónde
• Qué niveles de ruido son normales
• Qué equipos están transmitiendo y con qué potencia
• Qué cambios ocurrieron antes de “empezar a fallar”

Sin baseline, cualquier análisis empieza tarde y termina en opinión.

3) Se confunde “incidencia” con “síntoma”

En redes, una caída suele tener causa trazable.

En radio, una incidencia puede ser el resultado de múltiples factores acumulados (entorno, saturación, cambios físicos, dispositivos nuevos).

Tratarlo como ticket sin contexto lleva a una cultura peligrosa: reiniciar, cambiar canal, “a ver si mejora”.

Funciona… hasta que no funciona.

Un marco práctico: cómo pensar la seguridad del espectro sin complicarte

Si lo reduces a lo esencial, hay cuatro capacidades que separan a una organización que “aguanta” de una que improvisa.

1) Inventario radio-operativo

No solo “tenemos Wi-Fi”. Inventario real:

• tecnologías (Wi-Fi, LTE/5G privado, LoRa, enlaces, etc.)
• ubicaciones y cobertura
• equipos autorizados y responsables
• dependencias de proceso (qué se rompe si falla)

Esto no es documentación: es mapa de dependencia.

2) Línea base (baseline) medible

Definir qué es normal:

• ocupación de canal
• niveles de ruido
• presencia de transmisores esperados
• franjas horarias y variabilidad

La diferencia entre seguridad y “sensación” es la métrica.

3) Detección orientada a impacto

No basta con “ver señales”. Lo importante es conectar eventos radio con riesgo:

• degradación que afecta SLA
• anomalías persistentes
• transmisores no autorizados en zonas críticas
• patrones que correlacionan con fallos operativos

Menos alertas, más significado.

4) Respuesta y evidencia

Cuando ocurre algo:

• ¿cómo confirmas que es radio y no red?
• ¿qué haces primero para contener impacto?
• ¿qué evidencia queda para análisis y para terceros (proveedores, legal, seguro)?

Sin evidencia, la organización aprende poco y repite incidentes.

Consecuencia práctica para una empresa real

Imagina una empresa con almacenes automatizados y picos de actividad. Un día aparecen microcortes de conectividad en un área concreta. El síntoma es “el sistema va lento”. Se abre un ticket.

Se reinician equipos. Se cambia canal. Mejora un poco. Vuelve a fallar.

Durante días, el impacto es pequeño pero constante:

• retrasos acumulados
• más errores de picking
• más supervisión manual
• tensión entre equipos (“es red”, “es la app”, “es el proveedor”)

Lo que hace esto caro no es el corte: es la incertidumbre.

Porque sin baseline ni evidencia, la organización paga en horas, fricción y degradación operativa.

Y cuando por fin se identifica la causa (interferencia nueva, un emisor no autorizado, una instalación cercana), el aprendizaje llega tarde: el coste ya está asumido.

Cierre

La seguridad del espectro no es una disciplina exótica. Es una realidad inevitable cuando el inalámbrico sostiene procesos.

La pregunta no es si tu organización “tiene radio”.

La pregunta es si tiene control sobre una dependencia que ocurre fuera de tus switches y fuera de tus logs.

Cuando el aire se convierte en infraestructura, la gestión improvisada deja de ser un estilo de IT.

Pasa a ser un riesgo de negocio.