OPSEC para investigadores OSINT: proteger al analista mientras observa la red
Arquitectura de seguridad operacional, compartimentación de identidades, reducción de superficie de exposición y gestión del riesgo en investigaciones de fuentes abiertas
OIDSEC / OBSERVATORIO DE INVESTIGACIÓN DIGITAL
ÁREA / OSINT · OPSEC · PRIVACIDAD · CIBERINTELIGENCIA
TIPO / ANÁLISIS TÉCNICO ESTRATÉGICO
NIVEL / AVANZADO
METODOLOGÍA / ANÁLISIS DE RIESGOS · MODELADO DE AMENAZAS · FUENTES PRIMARIAS
REFERENCIAS / NIST · IETF · CISA · TOR PROJECT · AEPD · EDPB · UE · BOE
VERSIÓN / 1.0
FECHA / 2026
Resumen ejecutivo
La investigación mediante fuentes abiertas parte habitualmente de una premisa incompleta: el investigador observa un entorno digital externo y obtiene de él información. Desde una perspectiva de seguridad operacional, la relación es bidireccional.
Mientras el investigador observa la red, la red también puede observar al investigador.
Cada consulta, autenticación, visita a un recurso, descarga de un documento, utilización de una API, interacción con una plataforma o publicación de un producto analítico puede producir información acerca del propio analista: dirección de origen, contexto de red, características del navegador, identificadores de sesión, patrones horarios, idioma, zona temporal, cuentas empleadas, infraestructura, relaciones entre identidades y hábitos operativos.
La cuestión central de OPSEC aplicada a OSINT no consiste, por tanto, en alcanzar una supuesta «invisibilidad absoluta». Tal objetivo resulta técnicamente poco realista y metodológicamente inadecuado. La finalidad profesional consiste en reducir la información innecesariamente expuesta, impedir correlaciones evitables, proteger las identidades y los activos de investigación y mantener bajo control el riesgo generado por la propia actividad analítica.
Este informe propone entender la seguridad operacional como una disciplina transversal que comienza antes de efectuar la primera consulta y continúa después de publicar el informe final.
La aproximación recomendada se apoya en cinco principios:
separación,
mínimo privilegio,
mínima exposición,
verificación continua,
recuperabilidad.
El planteamiento guarda una estrecha relación con la arquitectura Zero Trust de NIST, que rechaza conceder confianza implícita a usuarios, dispositivos o servicios simplemente por su localización o pertenencia a determinada red. Asimismo, NIST CSF 2.0 estructura la gestión del riesgo alrededor de las funciones GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND y RECOVER, un modelo especialmente útil para convertir OPSEC en un proceso de gestión continuo y no en una colección improvisada de herramientas.
La conclusión fundamental de este análisis es que una buena OPSEC no depende de ocultarse mejor, sino de diseñar mejor la investigación.
CLAVE DE ANÁLISIS / 01
El primer activo que debe proteger una investigación OSINT no es la información obtenida. Es la capacidad del investigador para trabajar sin exponer innecesariamente su identidad, infraestructura, metodología y objetivos.
1. Objeto del análisis
El presente documento tiene como finalidad establecer un marco profesional de seguridad operacional aplicada a investigaciones OSINT, con especial atención a:
- identidad y compartimentación;
- exposición de red;
- navegador y fingerprinting;
- cuentas y autenticación;
- dispositivos y endpoints;
- infraestructura de investigación;
- metadatos;
- repositorios de evidencias;
- publicación de resultados;
- continuidad operativa;
- respuesta ante incidentes;
- privacidad y cumplimiento;
- límites entre observación pasiva y actividad técnicamente intrusiva.
El análisis no pretende establecer mecanismos para eludir investigaciones legítimas, controles judiciales o atribución derivada de actividades ilícitas.
Su objeto es estrictamente defensivo:
proteger una actividad de investigación lícita, autorizada y profesional.
2. Alcance
El modelo se ha concebido para:
investigadores independientes;
unidades de inteligencia corporativa;
periodistas de investigación;
equipos de due diligence;
analistas de amenazas;
equipos antifraude;
profesionales de ciberinteligencia;
investigadores académicos;
equipos de seguridad;
organizaciones que realizan análisis de fuentes abiertas.
No todas las investigaciones requieren idéntico grado de compartimentación.
Un análisis documental sobre una empresa cotizada y una investigación sobre un actor potencialmente hostil presentan superficies de riesgo completamente diferentes.
Por ello, OPSEC debe ser proporcional al modelo de amenaza.
3. Qué significa realmente OPSEC
OPSEC —Operational Security— puede entenderse como el proceso destinado a impedir que información aparentemente inocua sobre nuestras propias actividades permita a un tercero reconstruir:
quién somos;
qué estamos investigando;
qué herramientas utilizamos;
desde dónde trabajamos;
cuándo trabajamos;
qué recursos nos interesan;
qué identidades controlamos;
qué infraestructura poseemos;
qué sabemos;
qué desconocemos;
y qué acciones probablemente realizaremos después.
La clave se encuentra en el concepto de correlación.
El investigador puede no publicar directamente su identidad real.
Sin embargo, puede revelar indirectamente suficientes atributos para que sea reconstruida.
OPSEC trata de reducir esa superficie de correlación.
4. Seguridad, privacidad, anonimato y seudonimato
Estos conceptos no deben confundirse.
4.1 Seguridad
La seguridad pretende proteger activos frente a accesos, modificaciones, destrucción o indisponibilidad no autorizados.
4.2 Privacidad
La privacidad estudia qué información relativa a personas se recopila, procesa, relaciona, conserva o difunde y qué consecuencias puede generar ese tratamiento.
NIST subraya precisamente que los riesgos de privacidad y los riesgos de ciberseguridad se solapan en determinados escenarios, pero siguen siendo disciplinas diferenciables.
4.3 Anonimato
El anonimato pretende dificultar o impedir que una actividad pueda atribuirse a una identidad determinada.
No debe considerarse una propiedad binaria.
Existen grados de anonimato y capacidades de adversario diferentes.
4.4 Seudonimato
Una identidad seudónima mantiene continuidad operativa bajo un identificador diferente de la identidad civil.
Su ventaja es precisamente esa continuidad.
Su riesgo también.
Cuantas más actuaciones realiza una misma identidad, más información existe para caracterizarla y correlacionarla.
4.5 OPSEC
OPSEC integra elementos de todos los anteriores, pero añade una pregunta:
¿Qué información sobre mi operación estoy proporcionando involuntariamente al adversario?
5. Principio fundamental: primero el modelo de amenaza
No existe una configuración universalmente segura.
La primera pregunta de OPSEC no debería ser:
¿Qué VPN debo utilizar?
Ni:
¿Qué navegador es más privado?
Ni siquiera:
¿Debo utilizar Tor?
La primera pregunta debería ser:
¿De quién intento proteger qué información y cuáles son las capacidades razonables de ese adversario?
Sin modelo de amenaza, las herramientas se convierten en superstición tecnológica.
6. Activos que deben protegerse
Un investigador OSINT puede poseer diversos activos críticos.
ACTIVO A / IDENTIDAD
Nombre real, identidad profesional, cuentas personales, datos de contacto.
ACTIVO B / PERSONAS DE INVESTIGACIÓN
Cuentas, identidades o perfiles específicamente creados para una investigación lícita.
ACTIVO C / INFRAESTRUCTURA
Equipos, máquinas virtuales, dominios, almacenamiento, servicios contratados.
ACTIVO D / INFORMACIÓN
Datos recopilados, hipótesis, informes, documentos y resultados intermedios.
ACTIVO E / FUENTES
Servicios, repositorios, personas y recursos utilizados en la investigación.
ACTIVO F / METODOLOGÍA
Consultas, procedimientos, herramientas y criterios analíticos.
ACTIVO G / INTENCIÓN
Quizá el activo más ignorado.
Que un tercero descubra qué se está investigando puede ser tan relevante como identificar quién lo investiga.
7. Modelo de amenazas
Para una investigación OSINT profesional pueden considerarse al menos los siguientes observadores potenciales.
Plataforma consultada
Puede conocer información derivada de conexiones, sesiones, cuentas y actividad realizada dentro de su servicio.
Proveedor de identidad
Una autenticación mediante terceros puede relacionar servicios que parecían independientes.
Operadores de infraestructura
DNS, acceso a Internet, correo, alojamiento y otros componentes ocupan posiciones distintas dentro de la cadena técnica.
El IETF recuerda que prácticamente toda actividad de Internet comienza con consultas DNS y que éstas poseen importantes implicaciones para la privacidad.
Sitio investigado
Puede registrar características de las solicitudes y del cliente que lo visita.
Sistemas de analítica y terceros
Una página puede incorporar servicios externos ajenos al dominio principal.
Actor investigado
En determinados escenarios puede intentar detectar quién está observando su infraestructura o información.
Atacante oportunista
Puede intentar comprometer cuentas, dispositivos o repositorios sin relación directa con la investigación.
Amenaza interna
Errores, accesos excesivos o una mala compartimentación interna también pueden revelar información.
8. La superficie de exposición del investigador
La superficie OPSEC puede dividirse en siete dominios.
MODELO OIDSEC OPSEC-7
OPSEC-01 / GOVERNANCE
Finalidad, autorización, alcance y modelo de amenaza.
OPSEC-02 / IDENTITY
Identidades, cuentas y autenticación.
OPSEC-03 / ENDPOINT
Equipos, sistemas y aplicaciones.
OPSEC-04 / NETWORK
Conectividad, DNS y exposición de red.
OPSEC-05 / BROWSER
Sesiones, almacenamiento web y fingerprinting.
OPSEC-06 / DATA
Evidencias, metadatos, repositorios y retención.
OPSEC-07 / PUBLICATION
Informes, capturas, documentos y exposición posterior.
La seguridad de la operación depende del conjunto.
Un navegador extremadamente protegido sobre un equipo comprometido proporciona una falsa sensación de seguridad.
Un dispositivo perfectamente cifrado puede resultar inútil si una misma cuenta personal se utiliza en todos los contextos.
Una infraestructura técnicamente robusta puede quedar atribuida mediante un documento mal anonimizado.
La OPSEC es sistémica.
9. OPSEC-01 / Governance
Toda investigación debería comenzar con una ficha operacional.
Objetivo
¿Qué debe determinarse?
Alcance
¿Qué entidades pueden investigarse?
Exclusiones
¿Qué información no debe recopilarse?
Periodo
¿Cuándo comienza y termina la operación?
Nivel de exposición tolerable
¿Qué ocurriría si el objeto investigado detectara la actividad?
Nivel de sensibilidad
¿La investigación es pública, reservada o estrictamente interna?
Responsable
¿Quién autoriza cambios de alcance?
Criterio de finalización
¿Cuándo debe dejar de recopilarse información?
Esta aproximación conecta con la función GOVERN del NIST CSF 2.0, que coloca las decisiones, políticas, responsabilidades y gestión del riesgo en el centro de la arquitectura de seguridad.
CLAVE DE ANÁLISIS / 02
OPSEC comienza con una decisión de gobierno, no con una herramienta.
Antes de ocultar una dirección IP debe saberse por qué sería necesario hacerlo.
10. OPSEC-02 / Arquitectura de identidades
Uno de los errores más graves consiste en concebir las identidades como simples nombres de usuario.
Una identidad digital es un conjunto de atributos.
Puede incluir:
correo electrónico;
teléfono;
navegador;
ubicación aproximada;
horarios;
idioma;
dispositivo;
formas de escritura;
fotografías;
contactos;
dominios;
métodos de pago;
patrones de navegación.
Separar nombres de usuario pero reutilizar el resto de los atributos puede producir una compartimentación meramente aparente.
11. Modelo de tres identidades
Para numerosas organizaciones puede resultar útil diferenciar conceptualmente:
ID-01 / PERSONAL
Vida privada.
ID-02 / PROFESIONAL PÚBLICA
Identidad visible del investigador o de la organización.
ID-03 / INVESTIGACIÓN
Entorno específicamente destinado a operaciones de fuentes abiertas.
La finalidad no consiste necesariamente en ocultar quién realiza el trabajo.
Consiste en evitar que toda la actividad operativa quede innecesariamente vinculada con la vida personal o con otros proyectos.
12. El problema de la reutilización
La reutilización constituye uno de los mayores enemigos de la compartimentación.
Reutilizar:
alias,
fotografía,
correo,
teléfono,
contraseña,
frase biográfica,
avatar,
firma,
nombre de dispositivo,
o incluso determinados patrones lingüísticos
puede crear puntos de correlación.
La compartimentación efectiva exige pensar en conjuntos de atributos, no únicamente en nombres.
13. Autenticación: proteger la identidad antes de ocultarla
Una identidad de investigación comprometida puede proporcionar a un adversario mucho más que acceso a una cuenta.
Puede revelar:
historial;
correspondencia;
servicios asociados;
métodos de recuperación;
documentos;
direcciones;
patrones de actividad.
Por ello, la autenticación fuerte debe considerarse un control OPSEC de primera categoría.
Las actuales directrices NIST SP 800-63B establecen que los sistemas de nivel AAL2 deben ofrecer una opción resistente al phishing y que AAL3 requiere autenticación resistente al phishing mediante mecanismos criptográficos apropiados. NIST advierte además de que contraseñas y OTP introducidos manualmente no son por sí mismos resistentes al phishing.
CISA identifica FIDO/WebAuthn entre las opciones ampliamente disponibles orientadas a conseguir autenticación resistente al phishing.
Recomendación OIDSEC
Para cuentas críticas:
preferencia alta → autenticación criptográfica resistente al phishing;
preferencia media → MFA convencional cuando la anterior no esté disponible;
nivel insuficiente para activos críticos → contraseña como único factor.
14. Recuperación de cuentas: el punto olvidado
Una cuenta puede estar protegida por excelente MFA y mantener un mecanismo de recuperación débil.
Por ello deben auditarse:
correo de recuperación;
teléfono;
preguntas de recuperación;
sesiones abiertas;
dispositivos autorizados;
tokens persistentes;
aplicaciones conectadas.
La fortaleza real de una identidad es aproximadamente la fortaleza de su mecanismo de recuperación más débil.
15. OPSEC-03 / Endpoint
El dispositivo de investigación representa uno de los activos de mayor concentración de riesgo.
Puede contener simultáneamente:
sesiones;
contraseñas;
cookies;
evidencias;
historial;
notas;
metadatos;
documentos;
bases de datos;
informes;
identidades.
Por ello, OPSEC debería adoptar una filosofía próxima a Zero Trust: no otorgar confianza implícita a un dispositivo simplemente porque pertenece al investigador. NIST plantea precisamente que la confianza no debe derivarse únicamente de propiedad o localización y que usuarios y dispositivos deben evaluarse como parte del acceso a los recursos.
16. Separación de entornos
Una arquitectura madura diferencia, cuando el riesgo lo justifica:
entorno personal;
entorno administrativo;
entorno de investigación;
entorno de análisis de material no confiable.
Esta separación puede implementarse mediante diferentes soluciones técnicas dependiendo del contexto y recursos disponibles.
Lo importante no es la tecnología concreta.
Es impedir que un compromiso o una contaminación en un entorno otorgue automáticamente acceso a los demás.
17. Mínimo privilegio
Los usuarios de investigación no deberían trabajar permanentemente con privilegios administrativos cuando no sean necesarios.
El principio de mínimo privilegio reduce:
impacto de errores;
capacidad de ejecución accidental;
persistencia de determinados compromisos;
movimiento entre recursos.
NIST CSF 2.0 incorpora explícitamente mínimo privilegio y separación de funciones dentro de sus resultados asociados a identidad y control de acceso.
18. Cifrado del endpoint
Cuando una estación contiene material de investigación, el cifrado de almacenamiento debe considerarse un control básico.
Su función es especialmente relevante ante:
pérdida;
robo;
retirada de equipos;
acceso físico no autorizado.
Pero debe evitarse un error conceptual:
cifrado en reposo no protege automáticamente un dispositivo ya desbloqueado y comprometido.
OPSEC necesita controles superpuestos.
19. Actualización y reducción de superficie
Una estación dedicada a investigación debería contener únicamente el software necesario.
Cada programa adicional puede introducir:
vulnerabilidades;
actualizadores;
servicios;
telemetría;
extensiones;
procesos persistentes.
El concepto aplicable es reducción de superficie de ataque.
Menos componentes innecesarios significan menos elementos que gestionar y menos variables capaces de comprometer el aislamiento.
20. OPSEC-04 / Exposición de red
La dirección IP constituye únicamente una parte del contexto de red.
El análisis debe considerar igualmente:
DNS;
rutas;
proveedores;
servicios intermedios;
aplicaciones;
protocolos;
sesiones persistentes.
El RFC 9076 del IETF analiza específicamente las implicaciones de privacidad del DNS y señala su carácter fundamental en prácticamente toda actividad de Internet.
Por ello, evaluar únicamente «qué IP ve el sitio» proporciona una visión incompleta.
21. VPN: control de red, no solución universal
Una VPN puede modificar el punto de salida visible de determinadas conexiones y proteger parte del tráfico frente a observadores situados en determinadas posiciones de red.
Sin embargo, no elimina por sí misma:
cookies;
cuentas autenticadas;
fingerprinting;
telemetría de aplicaciones;
identificadores propios de servicios;
errores humanos.
Por ello, desde el modelo OIDSEC debe considerarse una capa de transporte y confianza, no un sistema universal de anonimato.
Esta conclusión se deriva del hecho de que la identificación web puede apoyarse en atributos distintos de la red, incluidos elementos de configuración del navegador. Tor Project diseña específicamente Tor Browser para reducir esa singularidad, lo que demuestra que cambiar exclusivamente la ruta de conexión no aborda toda la superficie de identificación.
22. Tor y su interpretación correcta
Tor puede desempeñar un papel legítimo en investigaciones donde resulte necesario reducir la asociación directa entre determinada navegación y la conexión de origen.
Sin embargo, debe utilizarse entendiendo su modelo.
Tor Project advierte expresamente de que enrutar navegadores convencionales a través de Tor puede introducir riesgos de filtración y deanonymización, y recomienda utilizar Tor Browser cuando se pretende aprovechar las propiedades para las que fue diseñado.
El error común consiste en pensar:
Tor = invisibilidad.
La formulación profesional sería:
Tor modifica determinados elementos del modelo de observación, pero la seguridad final continúa dependiendo del navegador, comportamiento, cuentas utilizadas, endpoint y modelo de amenaza.
23. OPSEC-05 / Browser fingerprinting
El navegador proporciona una superficie especialmente rica para correlación.
Los sitios pueden observar diversos atributos técnicos y comportamentales.
El objetivo del fingerprinting consiste en utilizar una combinación de características para diferenciar o volver a reconocer un cliente.
Tor Browser adopta una estrategia interesante: en lugar de generar una configuración extraordinariamente personalizada, intenta reducir la singularidad de sus usuarios mediante estandarización de determinados atributos, incluyendo medidas sobre tamaños de ventana, idiomas o enumeración de fuentes.
La lección metodológica es importante:
en privacidad, ser diferente no siempre significa estar mejor protegido.
Una configuración extremadamente singular puede convertirse en identificador.
24. La paradoja de la personalización defensiva
Un investigador instala:
diez extensiones de privacidad;
una combinación poco frecuente de fuentes;
resoluciones particulares;
configuraciones extremadamente personalizadas.
Puede sentirse más protegido.
Sin embargo, determinadas personalizaciones pueden aumentar la singularidad del navegador.
La estrategia debe equilibrar:
reducción de exposición;
compatibilidad;
uniformidad;
funcionalidad.
Tor Project basa precisamente parte de su defensa frente a fingerprinting en disminuir la diversidad observable entre usuarios.
25. Sesiones y almacenamiento local
La separación por navegador o perfil resulta útil porque permite compartimentar:
cookies;
sesiones;
historial;
almacenamiento local;
autenticaciones;
extensiones.
Una práctica prudente consiste en evitar utilizar simultáneamente una identidad personal y una identidad de investigación dentro del mismo contexto de navegación cuando el modelo de amenaza justifique esa separación.
26. El riesgo conductual
Un navegador técnicamente compartimentado puede ser correlacionado mediante comportamiento.
Ejemplos conceptuales:
horarios repetitivos;
secuencia de consultas;
forma de escribir;
temas;
idioma;
ritmos de actividad.
Esto demuestra otra característica fundamental:
OPSEC no es exclusivamente técnica.
El comportamiento también produce telemetría.
CLAVE DE ANÁLISIS / 03
Podemos separar dispositivos, redes y navegadores. Si repetimos sistemáticamente los mismos patrones humanos, seguimos produciendo información correlacionable.
27. OPSEC-06 / Datos de investigación
Una investigación puede reunir información sensible tanto sobre el objeto investigado como sobre el propio investigador.
Los datos deberían clasificarse.
RAW
Evidencia original.
WORKING
Material en procesamiento.
ANALYTICAL
Información normalizada y correlacionada.
REPORTABLE
Contenido susceptible de incorporarse al producto final.
RETAINED
Información que debe conservarse justificadamente.
DISPOSABLE
Material que ha perdido utilidad.
Esta clasificación evita el repositorio único donde todo permanece indefinidamente.
28. Protección del repositorio
El artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas al riesgo, incluyendo cuando corresponda cifrado, confidencialidad, integridad, disponibilidad, resiliencia y procesos periódicos de evaluación.
Aunque la aplicabilidad concreta del RGPD dependerá de la actividad y del responsable, estos principios representan también una arquitectura razonable para un repositorio profesional.
Controles mínimos recomendados
Cifrado.
Control de acceso.
Backups protegidos.
Integridad.
Versionado cuando proceda.
Registro de procedencia.
Política de retención.
Procedimiento de destrucción.
29. Procedencia y auditabilidad
Cada evidencia significativa debería poder responder a:
SOURCE
DATE
ACQUISITION METHOD
ANALYST
INTEGRITY
CLASSIFICATION
RELEVANCE
CONFIDENCE
La finalidad no consiste en burocratizar OSINT.
Consiste en poder reconstruir el proceso.
30. Metadatos: la fuga silenciosa
Documentos e imágenes creados por el propio investigador pueden contener información adicional.
Un producto entregado al cliente puede revelar involuntariamente:
autor;
nombre de usuario;
software;
fecha;
estructura de archivos;
organización;
dispositivo;
coordenadas en determinadas fotografías.
Por ello debe existir un Publication Gate antes de cualquier difusión.
No basta con revisar el texto visible.
Debe revisarse el objeto digital.
31. OPSEC-07 / Publicación
La publicación constituye una fase operacional.
Un informe terminado puede revelar:
qué fuentes conocía el analista;
qué herramientas utilizó;
qué consultas realizó;
qué información no consiguió;
qué horarios siguió;
qué infraestructura observó;
qué hipótesis considera prioritarias.
La pregunta antes de publicar debe ser:
¿Qué aprende sobre nosotros el objeto de estudio leyendo nuestro informe?
Esta pregunta no implica ocultar metodología necesaria para demostrar rigor.
Implica diferenciar transparencia científica de sobreexposición operacional.
32. Publication Gate
OIDSEC propone aplicar seis controles antes de difusión.
PG-01 / DATOS PERSONALES
¿Existe información personal innecesaria?
PG-02 / METADATOS
¿Se han revisado los metadatos del archivo?
PG-03 / IDENTIFICADORES
¿Las capturas exponen sesiones, cuentas o infraestructura?
PG-04 / MÉTODO
¿Se revela una capacidad cuya divulgación comprometa futuras investigaciones?
PG-05 / EVIDENCIA
¿Puede demostrarse la conclusión sin publicar información adicional?
PG-06 / LEGAL
¿La publicación se encuentra dentro del marco jurídico y contractual aplicable?
33. Frontera entre OSINT y actividad intrusiva
Este punto debe quedar absolutamente claro en un informe profesional.
OSINT no constituye una autorización para acceder a sistemas ajenos.
En España, el artículo 197 bis del Código Penal contempla, entre otras conductas, el acceso no autorizado a sistemas vulnerando medidas de seguridad y la interceptación no autorizada de transmisiones no públicas de datos informáticos.
Por ello debe existir una frontera documental entre:
observación de información legítimamente accesible
y
interacción que requiera autorización específica.
Si una investigación necesita pruebas activas, auditoría, explotación, acceso autenticado no ordinario o interacción con sistemas de terceros, debe tratarse bajo un marco contractual y jurídico diferente.
CLAVE DE ANÁLISIS / 04
La herramienta no determina si estamos haciendo OSINT. Lo determina la naturaleza de la acción.
Un navegador puede utilizarse para consultar información pública o para intentar acceder a un recurso no autorizado. La diferencia es jurídica, metodológica y operacional.
34. Protección de datos desde el diseño
La AEPD define la protección de datos desde el diseño como una estrategia preventiva destinada a integrar principios de protección en los propios sistemas y procedimientos antes de que el tratamiento esté plenamente implantado.
El artículo 25 del RGPD incorpora igualmente el principio de protección desde el diseño y por defecto.
Aplicado a OPSEC significa algo especialmente interesante:
la seguridad del investigador y la privacidad del investigado deben diseñarse conjuntamente.
Un sistema bien construido debería limitar simultáneamente:
lo que revelamos;
lo que recopilamos;
lo que conservamos;
lo que compartimos.
35. El modelo de doble minimización
OIDSEC propone aplicar dos minimizaciones simultáneas.
MINIMIZACIÓN EXTERNA
Reducir la información que el investigador expone al entorno.
MINIMIZACIÓN INTERNA
Reducir la información innecesaria que el investigador recopila sobre terceros.
Esta simetría es fundamental.
Un laboratorio OSINT responsable debería intentar conocer solo aquello que necesita y revelar solo aquello que necesita revelar.
36. Arquitectura OIDSEC de compartimentación
Puede visualizarse como cinco zonas.
ZONA 0 / PERSONAL
Vida privada.
No debería utilizarse operativamente.
ZONA 1 / CORPORATIVA
Administración, comunicación profesional y relación con clientes.
ZONA 2 / RESEARCH
Navegación y adquisición de fuentes.
ZONA 3 / ANALYSIS
Procesamiento, correlación y producción de inteligencia.
ZONA 4 / PUBLICATION
Contenido sanitizado destinado a difusión.
El principio esencial es:
la información debe moverse hacia la publicación después de ser revisada; las identidades y credenciales no deberían desplazarse libremente entre zonas.
37. Flujo operacional
FASE 01 / REQUIREMENT
Definir qué necesita saber el cliente.
FASE 02 / THREAT MODEL
Identificar activos y adversarios relevantes.
FASE 03 / OPSEC PROFILE
Determinar nivel de compartimentación.
FASE 04 / ENVIRONMENT
Preparar entorno de investigación.
FASE 05 / COLLECTION
Obtener información bajo alcance definido.
FASE 06 / ANALYSIS
Procesar en entorno separado cuando proceda.
FASE 07 / REPORTING
Elaborar producto.
FASE 08 / PUBLICATION GATE
Sanitizar y revisar.
FASE 09 / DELIVERY
Entregar mediante canal aprobado.
FASE 10 / RETENTION
Aplicar política de conservación.
FASE 11 / CLOSEOUT
Cerrar cuentas, accesos o recursos temporales cuando proceda.
38. Matriz de riesgo operacional
| Riesgo | Probabilidad | Impacto | Nivel |
|---|---|---|---|
| Compromiso de una cuenta de investigación | Media | Alto | Alto |
| Correlación entre identidad personal y operativa | Media | Alto | Alto |
| Exposición mediante fingerprinting | Media | Medio/Alto | Alto |
| Filtración de metadatos en informes | Media | Medio | Medio/Alto |
| Pérdida o robo de endpoint | Baja/Media | Alto | Alto |
| Phishing dirigido al investigador | Media/Alta | Alto | Crítico |
| Reutilización de credenciales | Media | Alto | Alto |
| Acceso excesivo al repositorio | Media | Alto | Alto |
| Recopilación innecesaria de datos personales | Media | Alto | Alto |
| Cruce involuntario hacia actividad no autorizada | Baja | Muy alto | Crítico |
| Correlación por patrones humanos | Media | Medio | Medio |
| Backup no protegido | Baja/Media | Alto | Alto |
La evaluación debe adaptarse al cliente y al contexto concreto.
No debe confundirse esta tabla con una evaluación cuantitativa universal.
39. Controles prioritarios
PRIORIDAD 0 / GOBIERNO
Definir alcance y autorización.
Sin ello, ninguna arquitectura técnica es suficiente.
PRIORIDAD 1 / CUENTAS
Eliminar autenticación débil en activos críticos.
PRIORIDAD 2 / IDENTIDADES
Separar contexto personal, profesional e investigador cuando resulte necesario.
PRIORIDAD 3 / ENDPOINT
Aplicar cifrado, actualización y mínimo privilegio.
PRIORIDAD 4 / NAVEGACIÓN
Separar sesiones y perfiles.
PRIORIDAD 5 / DATOS
Clasificar y proteger repositorios.
PRIORIDAD 6 / PUBLICACIÓN
Crear un Publication Gate obligatorio.
PRIORIDAD 7 / INCIDENTES
Disponer de protocolo cuando la operación pueda haber sido expuesta.
40. OPSEC ante phishing
El investigador constituye un objetivo especialmente interesante porque trabaja continuamente con:
enlaces;
documentos;
plataformas desconocidas;
dominios;
cuentas;
archivos proporcionados por terceros.
Esto obliga a asumir que determinadas interacciones pueden ser hostiles.
La utilización de autenticación resistente al phishing reduce de forma importante una categoría de riesgo asociada al robo de credenciales. NIST SP 800-63B distingue expresamente entre autenticadores criptográficos resistentes al phishing y sistemas como contraseñas u OTP introducidos manualmente.
Pero MFA no protege frente a todo.
Un archivo malicioso, una sesión robada o un endpoint comprometido requieren controles diferentes.
41. Material no confiable
Todo contenido obtenido durante una investigación debería presumirse no confiable hasta evaluarlo.
Esto afecta especialmente a:
documentos;
archivos comprimidos;
ejecutables;
scripts;
macros;
enlaces;
medios descargados.
Una investigación no debe transformar automáticamente una estación de análisis en una estación de ejecución.
La separación entre adquirir y abrir/procesar constituye una decisión de arquitectura.
42. Backups y resiliencia
La copia de seguridad es también un activo de inteligencia.
Puede contener versiones históricas de:
datasets;
contraseñas;
documentos;
informes;
bases de investigación.
Por ello, una copia no protegida puede convertirse en el componente más débil de todo el sistema.
El artículo 32 del RGPD incorpora entre sus objetivos la resiliencia y capacidad de restauración, además de procesos de evaluación periódica de las medidas implantadas.
43. Detección
OPSEC no debe limitarse a impedir incidentes.
Debe intentar detectar anomalías.
Indicadores relevantes pueden incluir:
autenticaciones inesperadas;
nuevos dispositivos;
cambios de recuperación;
sesiones anómalas;
reglas de correo no reconocidas;
creación de claves;
modificación de repositorios;
actividad desde ubicaciones inesperadas;
alteración de documentos.
La función DETECT del NIST CSF 2.0 contempla precisamente la monitorización continua y el análisis de eventos adversos como partes estructurales de la gestión del riesgo.
44. Respuesta cuando una identidad puede haber sido expuesta
OIDSEC propone el procedimiento SCOPE:
S / STOP
Detener la actividad no imprescindible.
C / CONTAIN
Aislar cuenta, sesión, dispositivo o entorno afectado.
O / OBSERVE
Determinar qué información pudo quedar expuesta.
P / PIVOT
Mover la operación a infraestructura o identidad previamente preparada cuando resulte necesario y legítimo.
E / EVALUATE
Determinar causas, impacto y medidas correctoras.
La reacción impulsiva puede destruir evidencia y dificultar conocer qué ocurrió.
45. Continuidad operacional
Una investigación de importancia no debería depender de:
una única cuenta;
un único dispositivo;
una única copia de datos;
una única persona;
un único mecanismo de autenticación.
La continuidad debe diseñarse antes del incidente.
Esto no significa duplicarlo todo.
Significa identificar los single points of failure.
46. Métricas para un programa OPSEC
Un cliente debería poder medir la madurez.
Algunos KPI/KRI útiles:
% de cuentas críticas con MFA resistente al phishing
% de endpoints cifrados
% de proyectos con modelo de amenaza documentado
% de publicaciones sometidas a revisión de metadatos
número de identidades compartidas entre contextos
número de credenciales reutilizadas
tiempo medio de revocación tras incidente
% de repositorios con política de retención
% de proyectos cerrados con procedimiento formal de closeout
número de excepciones OPSEC activas
La finalidad no es conseguir números estéticamente buenos.
Es detectar dónde existe dependencia excesiva de comportamientos informales.
47. Modelo de madurez OIDSEC
NIVEL 0 / AD HOC
Cada investigador utiliza sus propios criterios.
No existe separación sistemática.
NIVEL 1 / CONTROLADO
Se aplican controles básicos de cuentas, dispositivos y almacenamiento.
NIVEL 2 / COMPARTIMENTADO
Identidad, navegador, endpoint y datos se separan según riesgo.
NIVEL 3 / GESTIONADO
Existe threat modelling, políticas, métricas, respuesta y revisión.
NIVEL 4 / ADAPTATIVO
La organización ajusta automáticamente sus controles según amenazas, incidentes y aprendizaje.
Esta progresión guarda similitud conceptual —sin pretender equivalencia— con la evolución desde prácticas informales hacia esquemas repetibles y adaptativos que NIST utiliza en los Tiers del CSF.
48. Hoja de ruta para un cliente
0–30 DÍAS / CONTENCIÓN
Inventario de cuentas.
Inventario de equipos.
Revisión de MFA.
Identificación de repositorios.
Definición de roles.
Creación de política mínima OPSEC.
Clasificación de investigaciones.
31–90 DÍAS / ESTRUCTURA
Compartimentación.
Política de perfiles y navegadores.
Cifrado.
Backups.
Publication Gate.
Gestión de metadatos.
Registro de incidentes.
Modelo de amenaza estándar.
91–180 DÍAS / MADUREZ
Métricas.
Ejercicios de exposición.
Revisión de privilegios.
Procedimientos de recuperación.
Evaluación de proveedores.
Auditoría de identidad.
Retención automatizada cuando sea viable.
Revisión ejecutiva.
49. Política OIDSEC: diez principios
01. Toda investigación comienza con un requerimiento.
02. Todo requerimiento posee un modelo de amenaza proporcional.
03. Ninguna identidad recibe más exposición de la necesaria.
04. Ningún usuario recibe más privilegios de los necesarios.
05. Ningún dato se conserva simplemente porque pueda resultar útil algún día.
06. Una herramienta de privacidad nunca sustituye al juicio operacional.
07. La red, el navegador, la identidad y el endpoint se consideran superficies diferentes.
08. Toda publicación constituye una operación de seguridad.
09. Toda operación debe poder recuperarse de un incidente.
10. OPSEC se evalúa continuamente.
50. Lo que no debe convertirse en OPSEC
Existen cuatro desviaciones frecuentes.
Paranoia tecnológica
Interpretar cualquier exposición como catastrófica.
Toolism
Pensar que acumular herramientas equivale a tener metodología.
Anonimato como objetivo absoluto
No todas las investigaciones requieren anonimato.
Complejidad innecesaria
Cada capa adicional también introduce errores.
La arquitectura correcta es la mínima complejidad capaz de reducir el riesgo hasta un nivel aceptable.
51. Marco jurídico y ético
Las técnicas OPSEC no amplían las facultades jurídicas del investigador.
Una investigación debe respetar:
protección de datos;
propiedad intelectual;
confidencialidad;
condiciones contractuales cuando resulten aplicables;
derechos fundamentales;
límites penales;
autorizaciones específicas.
En España, la protección de datos se articula conjuntamente mediante el RGPD y la Ley Orgánica 3/2018.
Cuando el tratamiento se sustente en interés legítimo, el EDPB exige analizar la existencia del interés, la necesidad del tratamiento y la ponderación frente a derechos e intereses de los afectados.
Y, como ya se ha indicado, el acceso no autorizado y la interceptación de transmisiones no públicas se encuentran específicamente contemplados en el artículo 197 bis del Código Penal español.
52. Evaluación ejecutiva
Una organización que desarrolla OSINT debería poder responder afirmativamente a estas preguntas:
Gobierno
¿Sabemos exactamente qué estamos autorizados a investigar?
Identidad
¿Podemos impedir que una cuenta comprometida revele todas las demás?
Endpoint
¿Podemos perder físicamente un equipo sin perder también el control del proyecto?
Red
¿Entendemos qué observadores intervienen en nuestra conectividad?
Navegador
¿Separamos contextos incompatibles?
Datos
¿Sabemos dónde está cada evidencia y quién puede acceder?
Publicación
¿Revisamos lo que un documento revela además de su contenido?
Respuesta
¿Sabemos qué hacer durante los primeros treinta minutos de un incidente?
Si alguna respuesta es negativa, existe un riesgo que debe ser gestionado.
53. Conclusiones
La seguridad operacional del investigador OSINT no puede reducirse a VPN, Tor, máquinas virtuales o navegadores especializados.
Todos ellos pueden constituir controles válidos en determinados contextos.
Pero ninguno sustituye al método.
La verdadera OPSEC comienza mucho antes:
cuando se decide qué se investigará;
qué información debe protegerse;
qué adversario podría interesarse;
qué identidades deben separarse;
qué infraestructura resulta adecuada;
qué nivel de riesgo estamos dispuestos a aceptar.
Y continúa después de recopilar los datos:
cuando protegemos las evidencias;
cuando limitamos accesos;
cuando verificamos procedencias;
cuando redactamos;
cuando eliminamos metadatos innecesarios;
cuando decidimos qué publicar;
cuando archivamos;
cuando destruimos lo que ha dejado de ser necesario.
La investigación OSINT produce inevitablemente una paradoja:
para descubrir patrones ajenos, generamos patrones propios.
Cada operación crea una huella.
El propósito de OPSEC no consiste en fingir que esa huella no existe.
Consiste en hacerla:
mínima, controlada, coherente con el riesgo y difícil de correlacionar innecesariamente con otros ámbitos de nuestra actividad.
La aproximación Zero Trust aporta un principio especialmente útil: no confiar implícitamente en usuarios, dispositivos o localizaciones.
La privacidad desde el diseño aporta otro: incorporar la protección antes de que el sistema esté construido.
NIST CSF aporta un tercero: gobernar, identificar, proteger, detectar, responder y recuperar como partes de un mismo ciclo de riesgo.
Y la disciplina OSINT añade el elemento que une todos ellos:
el método.
Por eso, la cuestión fundamental de la seguridad operacional no es:
«¿Cómo puedo evitar ser visto?»
La pregunta madura es:
«¿Qué información necesita revelar inevitablemente mi operación, qué información no necesita revelar y qué arquitectura permite mantener ambas categorías claramente separadas?»
Responder correctamente a esa pregunta transforma OPSEC de una colección de trucos técnicos en lo que realmente debería ser:
ingeniería del riesgo aplicada a la investigación digital.
OIDSEC OPSEC-7 / RESUMEN OPERATIVO
| Dominio | Pregunta fundamental |
|---|---|
| 01 · GOVERNANCE | ¿Qué estamos autorizados a hacer? |
| 02 · IDENTITY | ¿Qué identidades pueden relacionarse? |
| 03 · ENDPOINT | ¿Qué ocurre si el dispositivo es comprometido? |
| 04 · NETWORK | ¿Quién puede observar nuestra conectividad? |
| 05 · BROWSER | ¿Qué atributos permiten reconocernos? |
| 06 · DATA | ¿Qué información almacenamos y por qué? |
| 07 · PUBLICATION | ¿Qué revelamos cuando entregamos el informe? |
CHECKLIST EJECUTIVO PREOPERACIONAL
- Requerimiento definido.
- Alcance autorizado.
- Modelo de amenaza realizado.
- Identidades necesarias identificadas.
- Cuentas críticas protegidas mediante MFA adecuado.
- Mecanismos de recuperación auditados.
- Endpoint actualizado y protegido.
- Privilegios mínimos.
- Navegación compartimentada según riesgo.
- Repositorio creado.
- Política de retención definida.
- Método de registro de procedencia establecido.
- Publication Gate preparado.
- Procedimiento de incidentes conocido.
- Criterio de cierre definido.
FUENTES PRIMARIAS Y DOCUMENTACIÓN DE REFERENCIA
National Institute of Standards and Technology — NIST
NIST Cybersecurity Framework 2.0.
Marco para gobierno y gestión del riesgo de ciberseguridad estructurado en GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND y RECOVER.
NIST SP 800-207 — Zero Trust Architecture.
Referencia para los principios de ausencia de confianza implícita y protección centrada en usuarios, activos y recursos.
NIST SP 800-63B — Authentication and Authenticator Management.
Referencia técnica actual para niveles de aseguramiento, autenticación criptográfica y resistencia al phishing.
NIST Privacy Framework.
Marco de gestión de riesgos de privacidad orientado a organizaciones.
Internet Engineering Task Force — IETF
RFC 6973 — Privacy Considerations for Internet Protocols.
Marco de análisis de riesgos de privacidad asociados al diseño y utilización de protocolos de Internet.
RFC 9076 — DNS Privacy Considerations.
Análisis específico de las implicaciones de privacidad derivadas de las consultas DNS.
Tor Project
Tor Browser — Fingerprinting Protections.
Documentación técnica sobre reducción de singularidad y medidas de resistencia frente al fingerprinting.
Tor Browser — Architecture and Use.
El proyecto recomienda emplear Tor Browser en lugar de enrutar navegadores convencionales a través de Tor debido al riesgo de filtraciones y deanonymización.
Cybersecurity and Infrastructure Security Agency — CISA
Phishing-Resistant Multifactor Authentication.
Documentación sobre utilización de mecanismos resistentes al phishing y tecnologías FIDO/WebAuthn.
Unión Europea
Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos.
Principios de protección de datos, privacidad desde el diseño, seguridad del tratamiento y responsabilidad.
Agencia Española de Protección de Datos — AEPD
Protección de datos desde el diseño.
Integración preventiva de los principios de protección en sistemas y procedimientos.
Protección de datos por defecto.
Aplicación práctica del principio de minimización mediante medidas técnicas y organizativas.
Comité Europeo de Protección de Datos — EDPB
Guidelines 1/2024 — Legitimate Interest.
Metodología para analizar interés legítimo, necesidad y ponderación de derechos e intereses.
España — Boletín Oficial del Estado
Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
Ley Orgánica 10/1995, Código Penal — artículo 197 bis.
Referencia relevante para distinguir investigación de fuentes abiertas de accesos o interceptaciones no autorizados.
NOTA METODOLÓGICA Y JURÍDICA
Este informe constituye un análisis técnico y académico sobre seguridad operacional aplicada a actividades legítimas de investigación en fuentes abiertas.
La utilización concreta de determinadas técnicas, sistemas, identidades o infraestructuras debe evaluarse atendiendo al contexto, jurisdicción, finalidad, autorización, naturaleza de los datos y modelo de amenaza.
OPSEC no amplía las facultades jurídicas del investigador ni convierte una actividad no autorizada en legítima.
Cuando una operación exceda la observación de información legítimamente accesible y pueda implicar acceso, prueba activa, interceptación o tratamiento de especial sensibilidad, deberá evaluarse específicamente su fundamento jurídico y contractual.
OIDSEC / OBSERVATORIO DE INVESTIGACIÓN DIGITAL
OPEN SOURCE INTELLIGENCE · PRIVACY · OPSEC · CYBERINTELLIGENCE
El objetivo de una investigación madura no es desaparecer de Internet. Es controlar rigurosamente qué información produce nuestra propia presencia mientras intentamos comprender la de los demás.
