En la era de la digitalización total hablar de ciberseguridad se ha vuelto tan habitual como hablar de productividad o eficiencia energética. Sin embargo, hay un tipo de amenaza que rara vez aparece en las auditorías, que no genera alertas ni logs y que sin embargo, puede comprometer los activos más valiosos de una empresa: la fuga de información electromagnética.
Es una amenaza tan real que gobiernos, bancos y operadores estratégicos ya llevan años protegiéndose frente a ella mediante TEMPEST.
Seguridad digital vs seguridad física: la nueva frontera
Las compañías invierten en firewalls de nueva generación, arquitecturas Zero Trust, protección endpoint y sistemas de detección avanzada de amenazas, pero pocas se detienen a pensar que el simple hecho de encender un ordenador, una pantalla o un sistema de videoconferencia ya puede estar “filtrando” datos al entorno.
Cada componente electrónico genera pequeñas emisiones electromagnéticas, muchas de ellas asociadas directamente al contenido que procesan (texto, vídeo, claves o incluso tráfico cifrado) que pueden ser captadas y reconstruidas desde fuera de la sala, sin necesidad de acceso lógico. Y aquí es donde entra en juego TEMPEST: un conjunto de normas, filtros y diseños pensados para contener esa información antes de que abandone el hardware.
Aunque históricamente TEMPEST ha sido sinónimo de defensa, agencias de inteligencia y centros gubernamentales, en los últimos años esta tecnología ha dado el salto al entorno civil. Centros de datos empresariales, salas de control, espacios de innovación o entornos donde se gestionan datos críticos empiezan a contar con ella. Y la razón es sencilla: el espionaje físico ya no es exclusivo de estados. El espionaje económico y la competencia desleal están más activos que nunca y herramientas como los receptores SDR (Software Defined Radio) están al alcance de cualquiera con conocimientos técnicos.
A menudo se piensa que solo los grandes servidores o routers de red pueden emitir señales comprometedoras. Pero la realidad es que cualquier dispositivo digital conectado a una red puede convertirse en una fuente de fuga electromagnética si no se ha protegido adecuadamente.
Basta con un cable de alimentación sin filtrar o una pantalla sin apantallar, para que un atacante en las inmediaciones pueda interceptar fragmentos de información. Y aunque el contenido esté cifrado en tránsito, la señal que emite el equipo antes del cifrado puede revelar información útil.
El enfoque TEMPEST: contener en origen
Frente a esta amenaza, TEMPEST actúa en la raíz. El objetivo no es proteger el tráfico una vez cifrado, sino impedir que la señal original, antes de ser protegida por software, llegue siquiera a escapar del dispositivo o la infraestructura.
Para ello se emplean diversas estrategias:
- Blindaje electromagnético mediante materiales que bloquean las radiaciones con armarios, paneles o jaulas de Faraday.
- Filtros de red y datos que suprimen emisiones conducidas por cables de alimentación o comunicación.
- Diseño físico mediante la separación de zonas “rojas” (donde se manejan datos sensibles) y “negras” (donde no se requiere protección) evitando que las señales viajen entre ellas sin control.
Estas zonas de riesgo se clasifican mediante la normativa SDIP-27, usada en entornos OTAN y también por el CCN-CERT en España, y lo hace en función de su proximidad a áreas no controladas lo que a su vez determina el nivel de protección requerido:
- Zona 0: menos de 1 metro de distancia al exterior o a zonas no protegidas.
- Zona 1: hasta 20 metros.
- Zona 2: más de 100 metros.
Aunque no siempre se puede garantizar que la sala cumple con los requisitos físicos o estructurales para certificarla, ya sea por limitaciones del edificio, por la presencia de terceros o por cambios frecuentes de distribución.
Para este tipo de escenarios han surgido soluciones como los Micro Data Center con certificación TEMPEST Zona 0.
Se trata de racks o armarios completamente apantallados y filtrados que permiten aislar los equipos críticos sin depender del entorno.
Esta solución es especialmente útil en entornos compartidos, salas con múltiples proveedores, oficinas abiertas o incluso en delegaciones remotas, ya que el Micro Data Center actúa como un “bunker electromagnético” garantizando que los datos no salgan de ahí, ni siquiera en forma de señal radiada. Además, al estar diseñado y certificado de fábrica el cliente no necesita certificar la sala completa ni realizar obras.
¿Y si ya uso cifrado y VPN?
En entornos donde ya se han hecho inversiones en seguridad lógica, es una duda común si basta con eso. “Mis datos están protegidos porque todo va cifrado”, se suele decir, pero aquí es donde conviene distinguir entre cifrado por software y cifrado mediante dispositivos físicos certificados.
Cuando hablamos de cifrado por software, nos referimos a soluciones como VPNs, discos cifrados o protocolos TLS, herramientas que protegen los datos una vez que han salido del dispositivo. Sin embargo, no protegen la información durante su procesamiento interno, como cuando se carga en memoria, se visualiza en pantalla o se transmite entre componentes del equipo. Y es justo ahí donde pueden generarse emisiones electromagnéticas que contienen los datos en claro.
Por el contrario, los encriptadores certificados, también conocidos como HAIPE o cifradores TEMPEST, trabajan en dispositivos físicos independientes donde los datos se cifran antes de abandonar la zona segura y además de cifrar, están diseñados para no emitir señales que puedan ser aprovechadas por un atacante.
En muchos entornos críticos estos encriptadores son obligatorios precisamente porque la protección empieza antes de que el dato salga, y también antes de que se pueda radiar.
En un momento donde proteger lo digital ya no es suficiente, asegurar el plano físico se vuelve imprescindible.
La información sensible no solo está en los servidores, sino en cada conversación, cada documento impreso, cada imagen en pantalla. Y a veces, sin darnos cuenta, todo eso puede estar saliendo fuera de la empresa sin que nadie lo advierta.
Con lo que te acabamos de contar: ¿Puedes afirmar con total certeza que lo que ocurre dentro de tu empresa… no está saliendo sin que lo sepas?
