El Centro Canadiense para la Ciberseguridad ha publicado ITSP.20.001, Cyber security considerations for submarine cables, en el marco de su serie Practitioner. El documento tiene fecha de octubre de 2026 y está disponible en el sitio del Centro en cyber.gc.ca.

La publicación expone las amenazas y vulnerabilidades que afectan a las redes de cables submarinos y propone mitigaciones destinadas a respaldar una infraestructura segura y resiliente para los flujos de datos tanto nacionales como internacionales. Se trata de una guía, no de legislación. El material fuente no contiene plazos, sanciones ni umbrales de cumplimiento, y no debe interpretarse que los implica.

El enfoque del Centro de Ciberseguridad es directo. En Canadá, los cables de telecomunicaciones submarinos conectan costas e islas, llegan a zonas remotas y transportan comunicaciones internacionales. Transmiten múltiples formas de datos y, en palabras del Centro, desempeñan un papel importante en el sostenimiento de los intereses culturales, económicos, tecnológicos y de seguridad nacional del país. Se prevé que la demanda crezca a medida que las nuevas tecnologías permitan conectar lugares que antes estaban fuera de alcance, incluidas las regiones árticas.

El documento también identifica el problema que hace necesaria esta guía. Se está incorporando redundancia en las rutas de los cables, pero la infraestructura de cable y los puntos de estrangulamiento de distribución siguen siendo posibles puntos de fallo con consecuencias graves, además de objetivos atractivos para los adversarios. Dicho sin rodeos: un cable en el fondo del mar es un tramo largo, costoso y notablemente desatendido de infraestructura nacional, y las estaciones de aterrizaje y los puntos de distribución en ambos extremos son los lugares donde suelen aparecer los actores de interés. El Centro concluye que garantizar la seguridad, la resiliencia y la integridad de esta infraestructura es fundamental para mantener la estabilidad y la confianza.

Según el índice, la publicación comienza con una introducción y una descripción de la superficie de amenaza, para pasar después a una sección de amenazas y mitigaciones organizada en tres grupos:

• Amenazas de política y estándares, que abarca política y regulaciones junto con sus mitigaciones asociadas
• Amenazas de arquitectura, divididas en arquitectura cibernética y arquitectura física
• Amenazas en la cadena de suministro y sus mitigaciones

Esa estructura es relevante porque indica a los lectores dónde sitúa el Centro el riesgo real. No trata los cables submarinos como un problema exclusivamente físico de anclas y arrastreros. La arquitectura cibernética tiene su propia subsección junto a la arquitectura física, y la cadena de suministro se trata como una categoría de amenaza con entidad propia y no como una nota al pie.

El público al que va dirigido también queda claro por la etiqueta de la serie. Es un documento de la serie Practitioner, orientado a las personas que diseñan, operan y defienden los sistemas de cables y las redes que dependen de ellos, y no a directivos ni al público en general. Los operadores de estaciones de aterrizaje de cables, los operadores que arriendan capacidad, los proveedores de nube y de contenidos cuyos datos circulan por estos enlaces, y los fabricantes que suministran y mantienen el equipamiento son el público natural. Las organizaciones canadienses que asumen que la conectividad internacional es un problema ajeno pueden encontrar en el documento un recordatorio útil de que, como mínimo, es en parte suyo.

Lo que aún no resulta claro a partir del material fuente es el detalle de las mitigaciones individuales. El extracto disponible para Identity at the Core cubre la introducción y el índice, no el cuerpo de los capítulos de amenazas y mitigaciones. Los profesionales deben leer el texto completo en el sitio del Centro de Ciberseguridad en lugar de basarse en resúmenes, incluido este.

El aspecto alentador, y lo hay, es que el modelo de amenazas ha sido redactado por la autoridad nacional, de forma gratuita, con un encabezado de sección para cada conversación que usted ha intentado iniciar con su equipo de redes. Los equipos de identidad y seguridad no necesitan esperar a las mitigaciones detalladas para actuar. Comience por el ángulo de la arquitectura cibernética: haga un inventario de cada cuenta, identidad de servicio y ruta de acceso remoto de proveedores que pueda alcanzar el plano de gestión del equipamiento de las estaciones de aterrizaje de cables, los sistemas de transporte óptico y las herramientas de monitorización asociadas, y confirme que cada una requiere MFA resistente al phishing y que sus registros se almacenan en un lugar que realmente se revisa. Verifique que el control de acceso físico en las estaciones de aterrizaje esté vinculado al mismo ciclo de vida de identidad que el acceso lógico, de modo que un contratista que cause baja pierda tanto la credencial de acceso físico como la de acceso lógico el mismo día. Por último, trate la sección de cadena de suministro como un aviso para verificar qué terceros poseen credenciales permanentes en esa infraestructura, y si podría revocarlas en una hora en caso de necesidad.