La seguridad económica ya no se limita a proteger un edificio o una red informática. Consiste en preservar lo que permite a una empresa decidir, producir, innovar y perdurar.
La guía de la Gendarmerie nationale: https://www.gendarmerie.interieur.gouv.fr/content/download/61216/file/Guide_Atteintes_S%C3%A9curit%C3%A9_Economique_Gendarmerie_nationale.pdf?inLanguage=fre-FR&version=6
concreta esta idea para las PME y las ETI. Relaciona las amenazas físicas, digitales, humanas, jurídicas y reputacionales, y después propone hábitos de prevención.
Las referencias extranjeras y los trabajos de investigación confirman este enfoque global.
Sin embargo, invitan a ir más lejos en la gobernanza, la medición de los riesgos, la supervisión de los socios y la preparación ante los incidentes.
Un mapa completo de las amenazas
La primera aportación de la guía de la Gendarmerie nationale reside en su alcance. Describe siete familias de amenazas: la seguridad de las instalaciones, las intrusiones mediante accesos autorizados, los ataques al saber hacer, las estafas, las vulnerabilidades del ecosistema, los ciberataques y los ataques informativos.
Esta organización muestra que una misma operación puede combinar varios vectores. Una visita aparentemente ordinaria puede facilitar la obtención de planos.
Una cuenta comprometida puede servir para desviar un pago, robar datos y difundir información falsa. Un proveedor vulnerable puede convertirse en una puerta de entrada hacia un cliente estratégico.
La guía de la Gendarmerie nationale hace bien en poner el acento en las PME y las ETI.
Sus conocimientos técnicos y su posición en las cadenas de valor las convierten en objetivos atractivos, mientras que sus medios de protección suelen ser más limitados. También recuerda que la amenaza no procede solo del exterior. Un empleado, un prestador de servicios, un visitante, un inversor o un socio puede disponer de un acceso legítimo que se vuelve peligroso por negligencia, presión o intención maliciosa. Esta lectura evita reducir la seguridad económica únicamente a la ciberseguridad.
La parte dedicada a las buenas prácticas transforma después este diagnóstico en medidas concretas.
Aborda la confidencialidad, los datos personales, las cláusulas contractuales, las zonas de acceso restringido, el control de los recorridos de visita, la designación de un responsable de seguridad y el plan de continuidad de la actividad. El apartado sobre responsabilidad social completa de forma útil el conjunto. Una gobernanza transparente, unas relaciones laborales sanas, una conducta leal y un sólido arraigo territorial reducen ciertas debilidades internas y refuerzan la confianza de los socios.
Protecciones basadas en los activos críticos
El hilo conductor de la guía de la Gendarmerie nationale es sencillo: una empresa debe saber primero qué no puede permitirse perder. Puede tratarse de un prototipo, un proceso, datos de clientes, competencias poco comunes, una instalación única, un proveedor dominante o la reputación de una marca. La protección debe ser después proporcional al valor de estos activos y a las consecuencias de que se vean comprometidos.
Esta lógica coincide con el marco británico Secure Innovation, publicado por la National Protective Security Authority y el National Cyber Security Centre.
Este marco pide al consejo de dirección que designe a un responsable, identifique los activos críticos, incluya los riesgos de seguridad en el registro de riesgos y después compruebe los antecedentes de los inversores, los proveedores y los futuros empleados.
La misma coherencia aparece en el NIST Cybersecurity Framework 2.0 de Estados Unidos.
Sus seis funciones son gobernar, identificar, proteger, detectar, responder y recuperar. Esta secuencia complementa bien la guía francesa, muy detallada sobre las formas de ataque y las medidas preventivas, pero menos explícita en cuanto a los indicadores de gestión.
Una empresa debería poder hacer un seguimiento de algunos datos sencillos: proporción de activos críticos inventariados, permisos de acceso sensibles revisados, copias de seguridad restauradas durante las pruebas, proveedores evaluados, incidentes notificados y simulacros de crisis realizados.
La protección jurídica también debe basarse en prácticas observables. La guía recuerda que la protección de los secretos empresariales exige medidas razonables de protección.
La Organización Mundial de la Propiedad Intelectual precisa el procedimiento: identificar y valorar los posibles secretos, aplicar medidas adecuadas, vigilar las filtraciones y reaccionar. Por tanto, un acuerdo de confidencialidad no basta si los documentos siguen siendo de libre acceso, si los permisos nunca se retiran tras una salida de la empresa o si no queda constancia de los intercambios con un socio.
Aportaciones de los enfoques extranjeros
Los estudios internacionales refuerzan varios mensajes de la guía.
ENISA encuestó a 249 PME en 25 Estados europeos.
Más del 80 por ciento declaraba tratar información crítica. La mayoría utilizaba protecciones básicas, como antivirus, copias de seguridad y cortafuegos, pero la formación del personal, así como el registro de eventos y las alertas, seguían siendo menos frecuentes. El estudio también constataba que el phishing, los programas maliciosos y los ataques a través de la web figuraban entre las causas más comunes de incidentes.
Por tanto, el riesgo humano debe abordarse mediante procedimientos de verificación, formaciones breves y repetidas y controles técnicos.
El Software Engineering Institute de Carnegie Mellon aporta una base empírica sobre el riesgo interno.
Su guía de 2022 se basa en más de 3000 casos y formula 22 prácticas.
Recomienda una actuación coordinada entre la dirección, los recursos humanos, las funciones jurídicas, la seguridad física, la informática y los responsables de los datos. Este enfoque podría reforzar la guía francesa sustituyendo la mera sensibilización por un programa formalizado, respetuoso con el derecho laboral y la vida privada, con reglas claras durante la contratación, los cambios de puesto, los periodos de tensión y las salidas de la empresa.
Por último, la Comisión Europea propone un marco más amplio.
Su estrategia de seguridad económica distingue cuatro ámbitos: la resiliencia de las cadenas de suministro, la seguridad física y digital de las infraestructuras críticas, la seguridad de las tecnologías y el riesgo de fuga tecnológica, y el uso coercitivo de las dependencias económicas.
El informe de 2025 de la OCDE añade una advertencia útil. Los riesgos son interdependientes, pero una respuesta demasiado general puede debilitar los beneficios de los mercados abiertos. La respuesta adecuada consiste en cartografiar las dependencias realmente críticas, prever alternativas y mantener una cooperación internacional diversificada.
Pasar del catálogo a un programa gestionable
La guía de la Gendarmerie nationale constituye una excelente base de sensibilización, con una trayectoria de aplicación organizada en cuatro prioridades.
1 Identificar los activos vitales Vincular cada activo con sus poseedores, sus permisos de acceso, sus dependencias y su tiempo máximo de indisponibilidad.
2 Organizar la responsabilidad Nombrar a un responsable respaldado por la dirección y reunir periódicamente a las funciones de seguridad, informática, recursos humanos, jurídica, compras y comunicación.
3 Controlar los accesos y los socios Aplicar el principio de necesidad de conocer, revisar los permisos, preparar las visitas, evaluar a proveedores e inversores e incorporar después cláusulas de seguridad verificables en los contratos.
4 Prepararse para la crisis Poner a prueba las copias de seguridad, el plan de continuidad, la decisión de notificación, la conservación de las pruebas y la comunicación con los clientes, las autoridades y los socios.
La seguridad económica se convierte así en una disciplina de gobernanza, integrada en las decisiones de inversión, colaboración, innovación y desarrollo internacional.
Fuentes internacionales
• Comisión Europea, 2023, Estrategia Europea de Seguridad Económica
• National Protective Security Authority y National Cyber Security Centre, 2024, Secure Innovation
