Inteligencia y fuentes abiertas (OSINT)

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente al BOE y a las fuentes oficiales; el contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611). Es un tema con presencia acreditada en convocatorias oficiales: han caído literalmente qué es HUMINT, qué fase NO pertenece al proceso OSINT, en qué fase del proceso OSINT se genera la inteligencia, el origen histórico del OSINT, dónde vive un fichero privado de una nube personal, qué es la capa no indexada de Internet y cuál es el modelo de despliegue que una sola organización crea, gestiona y aloja en sus propios centros de datos.

Índice

• 1. Dato, información e inteligencia
  • 1.1. Los tres escalones
  • 1.2. Qué añade exactamente la inteligencia
  • 1.3. Inteligencia criminal e investigación
  • 1.4. La comunidad de inteligencia española
  • 1.5. La información clasificada
• 2. Tipologías de inteligencia
  • 2.1. Según el medio del que procede la información
  • 2.2. Según el nivel de decisión
  • 2.3. Según la finalidad
• 3. El ciclo de inteligencia
  • 3.1. Por qué es un ciclo
  • 3.2. Dirección
  • 3.3. Obtención
  • 3.4. Elaboración
  • 3.5. Difusión
  • 3.6. Los otros modelos de ciclo
  • 3.7. Sesgos y fallos de inteligencia
• 4. Inteligencia de fuentes abiertas (OSINT)
  • 4.1. Qué es y qué es una fuente abierta
  • 4.2. De dónde viene
  • 4.3. Las seis fases del proceso OSINT
  • 4.4. Ventajas y límites
  • 4.5. Técnicas y herramientas
  • 4.6. Huella digital y perfiles ficticios
  • 4.7. Los límites jurídicos
• 5. Las capas de la web
  • 5.1. Surface Web
  • 5.2. Deep Web
  • 5.3. Dark Web y darknet
  • 5.4. Tor, I2P y las demás redes
  • 5.5. Qué se hace ahí y cómo se investiga
• 6. Ciencia de datos y Big Data
  • 6.1. Ciencia de datos
  • 6.2. Big Data y sus V
  • 6.3. Minería de datos, aprendizaje automático e IA
  • 6.4. Uso policial y sus riesgos
• 7. Cloud computing
  • 7.1. Definición y características esenciales
  • 7.2. Los tres modelos de servicio
  • 7.3. Los cuatro modelos de despliegue
  • 7.4. Riesgos y evidencia digital en la nube
• 8. Lo que más cae

1. Dato, información e inteligencia

1.1. Los tres escalones

El temario abre con tres palabras que en la conversación corriente se usan como sinónimos y que en este tema son tres cosas distintas y jerarquizadas. No es una sutileza académica: la pregunta de examen consiste, casi siempre, en darte una definición y pedirte cuál de los tres nombres le corresponde.

Un dato es un hecho bruto, aislado y sin interpretar. Una matrícula. Una hora. Una coordenada. Un número de teléfono. Un dato, por sí solo, no dice nada: carece de contexto y no responde a ninguna pregunta. Es la materia prima, y su valor es potencial, no actual. Un dato ni siquiera es necesariamente cierto: es simplemente lo que se ha registrado.

La información es el dato ya procesado, contextualizado y puesto en relación con otros datos. Cuando a la matrícula le añadimos el titular del vehículo, la hora a la que un lector de matrículas lo captó y el punto kilométrico en el que estaba, los datos sueltos se convierten en información: ya responden a las preguntas de quién, qué, cuándo y dónde. La información tiene significado y es comprensible por sí misma, pero sigue siendo descriptiva: cuenta lo que ha pasado, no dice lo que hay que hacer.

La inteligencia es el resultado de valorar, integrar, interpretar y analizar la información, de modo que se convierte en un producto elaborado, valorado y orientado a la toma de decisiones de una autoridad concreta. La inteligencia responde a las preguntas que la información deja abiertas: por qué, para qué, qué significa, qué va a ocurrir y qué conviene hacer. El propio Centro Nacional de Inteligencia lo formula así: el resultado final de su trabajo es la inteligencia que entrega a las autoridades para facilitar la toma de decisiones.

La secuencia se recuerda con una imagen sencilla, la de la escalera de cuatro peldaños que en la literatura anglosajona se conoce como pirámide DIKW: dato (data), información (information), conocimiento (knowledge) y sabiduría (wisdom). En el ámbito de la inteligencia los dos primeros peldaños se mantienen tal cual y los dos últimos se funden en uno solo, la inteligencia, porque lo que se le pide al analista no es solo saber, sino saber para decidir.

🔑 La regla de oro: el dato es bruto, la información está procesada y la inteligencia está analizada, valorada y dirigida a un decisor. Si te dan una definición que habla de contexto y significado pero no de decisión, es información. Si habla de apoyar una decisión, es inteligencia.

1.2. Qué añade exactamente la inteligencia

Merece la pena detenerse en los cuatro ingredientes que la información no tiene y la inteligencia sí, porque son los que el tribunal usa para construir distractores.

• Valoración de la fuente y del contenido. Ninguna información entra en un producto de inteligencia sin una etiqueta que diga cuánto crédito merece. El sistema clásico, de origen OTAN, es la escala alfanumérica de doble entrada: una letra de la A a la F valora la fiabilidad de la fuente (de completamente fiable a fiabilidad no valorable) y una cifra del 1 al 6 valora la credibilidad del contenido (de confirmado por otras fuentes a veracidad no valorable). Una noticia etiquetada como B2 no vale lo mismo que una etiquetada como E5, y el decisor tiene derecho a saberlo.
• Integración. La inteligencia cruza informaciones de procedencias distintas, y precisamente el cruce es lo que hace aparecer lo que ninguna fuente aislada mostraba. Una llamada, un movimiento bancario y una fotografía publicada en una red social pueden ser, cada uno por su lado, irrelevantes, y juntos delatar una reunión.
• Interpretación. El analista explica qué significa lo que se ha visto, descarta hipótesis alternativas y, cuando no puede descartarlas, lo dice. Un producto de inteligencia honesto distingue con nitidez lo que sabe de lo que supone y expresa el grado de confianza de cada juicio.
• Prospectiva. La inteligencia mira hacia adelante. No se limita a describir la amenaza actual: anticipa su evolución probable. De ahí que se hable de inteligencia prospectiva o de alerta temprana.

Un rasgo más, que no es de contenido sino de forma: la inteligencia es oportuna. Un producto perfecto que llega después de que la decisión se haya tomado no vale nada. La utilidad de la inteligencia decae con el tiempo mucho más deprisa que la de cualquier otro producto informativo, y por eso el ciclo que veremos más adelante está diseñado para funcionar contra reloj.

1.3. Inteligencia criminal e investigación

La inteligencia criminal es la aplicación de todo lo anterior al fenómeno delictivo: el producto analítico que permite conocer, explicar y anticipar la delincuencia, especialmente la organizada y la grave, para orientar la decisión de los mandos policiales y de las autoridades. No persigue un hecho concreto: persigue entender un fenómeno.

De ahí la diferencia, que conviene tener muy clara, entre inteligencia e investigación criminal.

• La investigación mira al pasado, se refiere a un hecho delictivo concreto, busca prueba con vocación de sostenerse ante un tribunal, está sometida a las garantías del proceso penal y termina en un atestado.
• La inteligencia mira al futuro, se refiere a un fenómeno o a una organización, busca conocimiento para decidir, no está pensada para el juicio oral y termina en un informe.

Lo que se obtiene por inteligencia no es automáticamente prueba, y ese es un error grave y frecuente. La inteligencia orienta la investigación —dice dónde mirar—, pero para que lo hallado valga en juicio hay que reproducirlo por los cauces procesales, con la intervención judicial que en cada caso corresponda. Un informe de inteligencia puede justificar la solicitud de una medida de investigación tecnológica; no la sustituye.

Dentro de la inteligencia criminal se distinguen productos de distinto alcance. La inteligencia criminal estratégica describe el estado y la evolución de una amenaza para orientar políticas y asignación de recursos; su destinatario es el nivel político y los mandos superiores. La operacional apoya la planificación de una operación o de una campaña contra una organización determinada. La táctica sirve a la actuación inmediata sobre el terreno. Es exactamente la misma escala de niveles que veremos en el punto 2.2 y que la ley española recoge cuando atribuye al CITCO la elaboración de inteligencia criminal estratégica y de prospectiva.

1.4. La comunidad de inteligencia española

La expresión comunidad de inteligencia no es un adorno: aparece literalmente en la ley. El artículo 6.1 de la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, dispone que la Comisión Delegada del Gobierno para Asuntos de Inteligencia velará por la adecuada coordinación de todos los servicios de información e inteligencia del Estado para la formación de una comunidad de inteligencia.

El Centro Nacional de Inteligencia (CNI) es la pieza central. Estos son los datos que caen:

• Naturaleza y misión (art. 1): es el organismo público responsable de facilitar al Presidente del Gobierno y al Gobierno de la Nación las informaciones, análisis, estudios o propuestas que permitan prevenir y evitar cualquier peligro, amenaza o agresión contra la independencia o integridad territorial de España, los intereses nacionales y la estabilidad del Estado de derecho y sus instituciones.
• Funciones (art. 4), siete letras que conviene tener localizadas porque el tribunal pregunta por las menos obvias: a) obtener, evaluar e interpretar información y difundir la inteligencia necesaria para proteger y promover los intereses políticos, económicos, industriales, comerciales y estratégicos de España, dentro o fuera del territorio nacional; b) prevenir, detectar y posibilitar la neutralización de actividades de servicios extranjeros, grupos o personas hostiles —esto es la contrainteligencia—; c) promover la cooperación con servicios de otros países y con organismos internacionales; d) obtener, evaluar e interpretar el tráfico de señales de carácter estratégico; e) 🚨 coordinar la acción de los organismos de la Administración que utilicen medios o procedimientos de CIFRA, garantizar la seguridad de las tecnologías de la información en ese ámbito, informar sobre la adquisición coordinada de material criptológico y formar a los especialistas —es la raíz del Centro Criptológico Nacional—; f) 🚨 velar por el cumplimiento de la normativa relativa a la protección de la información clasificada, que es la puerta al apartado 1.5 de este tema; y g) garantizar la seguridad de sus propias instalaciones, información y medios.
• Adscripción (art. 7.1): el CNI se adscribe orgánicamente al Ministerio de Defensa. Funciona en régimen de autonomía funcional, con personalidad jurídica propia y plena capacidad de obrar, y se estructura en una Dirección, una Secretaría General y las unidades que se determinen reglamentariamente.
• Dirección (art. 9.1): el Secretario de Estado Director es nombrado por Real Decreto a propuesta del Ministro de Defensa, y su mandato es de cinco años, sin perjuicio de que el Consejo de Ministros pueda sustituirlo en cualquier momento.
• Doble control (art. 2): parlamentario y judicial previo. El judicial previo lo regula la Ley Orgánica 2/2002, de 6 de mayo, que exige autorización de un magistrado del Tribunal Supremo para las medidas que afecten a la inviolabilidad del domicilio y al secreto de las comunicaciones.
• Control parlamentario (art. 11), con cuatro detalles que se preguntan: se ejerce a través de la Comisión del Congreso de los Diputados que controla los créditos destinados a gastos reservados, presidida por el Presidente de la Cámara, y el contenido de sus sesiones y deliberaciones es secreto; esa Comisión accede a las materias clasificadas, pero 🚨 con dos excepciones: las relativas a las fuentes y medios del Centro y las procedentes de servicios extranjeros u organizaciones internacionales; sus miembros están obligados a guardar secreto y los documentos, una vez examinados, se reintegran al Centro sin poder retener originales, copias ni reproducciones; y la Comisión conoce de los objetivos anuales fijados por el Gobierno y del informe anual del Director de evaluación de actividades, situación y grado de cumplimiento de los objetivos del período anterior.
• Régimen de secreto (art. 5.1): las actividades del CNI, su organización, estructura interna, medios, procedimientos, personal, instalaciones, bases y centros de datos y fuentes de información constituyen información clasificada con el grado de secreto.
• Los miembros del CNI no tienen la consideración de agentes de la autoridad (art. 5.4), salvo los que desempeñen cometidos de protección del personal y de las instalaciones del Centro. Es un distractor clásico.

⚠️ Aviso de vigencia. El apartado 2 del artículo 6 de la Ley 11/2002, que fijaba la composición de la Comisión Delegada del Gobierno para Asuntos de Inteligencia, figura hoy en el texto consolidado del BOE como «(Anulado)»: la redacción que le había dado el Real Decreto-ley 8/2020, de 17 de marzo, fue declarada inconstitucional y nula por la Sentencia del Tribunal Constitucional 110/2021, de 13 de mayo. Muchos manuales siguen enseñando la composición como si estuviera en vigor. Lo que sí sigue plenamente vigente son el apartado 1 —la coordinación para formar una comunidad de inteligencia— y el apartado 4, que atribuye a la Comisión proponer al Presidente del Gobierno los objetivos anuales del CNI que han de integrar la Directiva de Inteligencia, realizar su seguimiento y evaluación y velar por la coordinación del CNI con los servicios de información de las Fuerzas y Cuerpos de Seguridad del Estado y los órganos de la Administración civil y militar.

Junto al CNI, en el ámbito del Ministerio del Interior, la pieza clave es el Centro de Inteligencia contra el Terrorismo y el Crimen Organizado (CITCO), regulado en el artículo 2.3 del Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Departamento. Depende de la persona titular de la Secretaría de Estado de Seguridad, tiene nivel orgánico de subdirección general y le corresponde la recepción, integración y análisis de la información estratégica disponible en la lucha contra todo tipo de delincuencia organizada o grave, terrorismo y radicalismo violento, el diseño de estrategias específicas contra estas amenazas y su financiación. Entre sus funciones están elaborar inteligencia criminal estratégica y de prospectiva, actuar como punto nacional de contacto para el intercambio de inteligencia estratégica con organismos supranacionales, dictar los criterios de coordinación en supuestos de intervención conjunta o concurrente de las Fuerzas y Cuerpos de Seguridad, elaborar informes anuales y una evaluación periódica de la amenaza, y proponer y actualizar las estrategias nacionales de su ámbito. Del CITCO dependen la Unidad Nacional de Retirada de Contenidos Ilícitos en Internet (UNECI), la Oficina Nacional de Información sobre Pasajeros (ONIP) —que actúa como Unidad de Información sobre Pasajeros (PIU) nacional— y la Unidad de Policía Judicial para delitos de terrorismo (TEPOL).

Dentro de la Policía Nacional, el órgano de inteligencia por antonomasia es la Comisaría General de Información, a la que el mismo Real Decreto 207/2024 atribuye la captación, recepción, tratamiento y desarrollo de la información de interés para el orden y la seguridad pública en el ámbito de las funciones de la Dirección General, así como su explotación o aprovechamiento operativo, especialmente en materia antiterrorista, tanto en el ámbito nacional como en el internacional. La Guardia Civil cuenta con su Jefatura de Información, las Fuerzas Armadas con el Centro de Inteligencia de las Fuerzas Armadas (CIFAS) y las policías autonómicas con sus propias unidades. Todas ellas, más el CNI, componen lo que la Ley 11/2002 llama comunidad de inteligencia.

1.5. La información clasificada

Si la inteligencia se protege, tiene que haber una norma que diga cómo. Esa norma es, todavía hoy, la Ley 9/1968, de 5 de abril, sobre secretos oficiales, modificada por la Ley 48/1978, de 7 de octubre. Sus reglas nucleares son cuatro y son muy preguntables:

• Principio general de publicidad (art. 1): los órganos del Estado están sometidos en su actividad al principio de publicidad, salvo que la materia sea declarada expresamente clasificada. La clasificación es la excepción.
• Objeto (art. 2): pueden declararse materias clasificadas los asuntos, actos, documentos, informaciones, datos y objetos cuyo conocimiento por personas no autorizadas pueda dañar o poner en riesgo la seguridad y defensa del Estado.
• Dos categorías, no más (art. 3): secreto y reservado, en atención al grado de protección que requieran. Las etiquetas de cuatro niveles del tipo «alto secreto, secreto, confidencial y difusión limitada» pertenecen al ámbito OTAN y de la Unión Europea, y también al proyecto de ley que todavía no es ley; no son las de la Ley 9/1968.
• Dos órganos, no más (art. 4): la facultad de clasificar corresponde exclusivamente, en la esfera de su competencia, al Consejo de Ministros y a la Junta de Jefes de Estado Mayor, y esa facultad no puede transferirse ni delegarse (art. 5). La cancelación de la clasificación la acuerda el mismo órgano que la declaró (art. 7). Fíjate en que la ley sigue nombrando literalmente a la Junta de Jefes de Estado Mayor, órgano que la legislación de defensa posterior sustituyó: es el precio de una norma que no se ha vuelto a tocar desde 1978.

⚠️ Aviso de vigencia. Existe un Proyecto de Ley de Información Clasificada destinado a sustituir a la Ley 9/1968, que el Gobierno remitió a las Cortes en julio de 2025 y que introduciría cuatro categorías —alto secreto, secreto, confidencial y restringido— y la desclasificación automática por el transcurso del tiempo. A la fecha de actualización de este apunte sigue en tramitación parlamentaria, en fase de enmiendas, y no se ha publicado en el BOE. Hasta que se publique, lo que hay que responder en un examen es la Ley 9/1968: dos categorías y dos órganos competentes.

2. Tipologías de inteligencia

El epígrafe habla de tipologías en plural, y hay tres clasificaciones que conviene no mezclar. La pregunta de examen suele consistir precisamente en ofrecerte como distractor una respuesta correcta… de otra clasificación.

2.1. Según el medio del que procede la información

Es la clasificación más preguntada y la que da lugar a las siglas terminadas en -INT, de intelligence. Atiende a de dónde sale el dato, no a para qué sirve ni a quién lo usa.

• HUMINT (Human Intelligence). Inteligencia obtenida a través de fuentes humanas: agentes, colaboradores, informadores, interrogatorios, entrevistas, agregadurías, contactos institucionales. Es el conjunto de metodologías utilizadas para la captación de información a través de personas. Es la más antigua de todas y la única que puede acceder a las intenciones, no solo a las capacidades: un satélite ve un misil, pero no sabe si alguien piensa lanzarlo.
• SIGINT (Signals Intelligence). Inteligencia procedente de todo tipo de señales y transmisiones: radiocomunicaciones, señales electrónicas, telemetría, señales acústicas y nucleares. Se subdivide en COMINT (inteligencia de comunicaciones, el contenido y los patrones de las comunicaciones entre personas), ELINT (inteligencia electrónica, señales no comunicativas como las emisiones de un radar) y FISINT o TELINT (señales de instrumentación extranjera, como la telemetría de un ensayo de misiles).
• IMINT (Imagery Intelligence). Inteligencia de imágenes: fotografía aérea, satelital, infrarroja, radar de apertura sintética.
• GEOINT (Geospatial Intelligence). Inteligencia geoespacial: la explotación y el análisis de imágenes e información geográfica para describir y evaluar actividades sobre el terreno. Engloba y supera a la IMINT, porque le añade la capa cartográfica y de datos del terreno.
• MASINT (Measurement and Signature Intelligence). Inteligencia de medidas y firmas: firmas radiológicas, sísmicas, químicas, magnéticas, acústicas o de materiales, que identifican un objeto o un fenómeno por su rastro físico característico.
• OSINT (Open Source Intelligence). Inteligencia obtenida a partir de fuentes de acceso público. Es el objeto del punto 4 de este tema.
• SOCMINT (Social Media Intelligence). La obtenida específicamente de redes sociales. Se suele presentar como una rama especializada del OSINT, con la particularidad de que en las redes conviven contenidos públicos y contenidos que no lo son.
• FININT (Financial Intelligence). Inteligencia financiera: el análisis de flujos económicos, movimientos bancarios y operaciones sospechosas. En España su núcleo institucional es el SEPBLAC, unidad de inteligencia financiera nacional.
• TECHINT y CYBINT. Inteligencia técnica —el estudio de armamento y equipos capturados— y ciberinteligencia, la referida a amenazas y actores del ciberespacio.

El CNI, cuando describe públicamente su fase de obtención, cita cuatro tipos de fuentes: HUMINT, OSINT, SIGINT y GEOINT. Es una buena forma de recordar cuáles son las cuatro nucleares.

🔑 La trampa clásica. Te preguntan qué es HUMINT y te ofrecen como distractores la definición de SIGINT —«la inteligencia procedente de todo tipo de señales y transmisiones»— y una frase que dice que HUMINT no atiende al medio del que procede la información, sino al nivel de decisión. Las dos son afirmaciones perfectamente ciertas… sobre otra cosa. HUMINT es la captación de información a través de fuentes humanas y sí pertenece a la clasificación por el medio.

2.2. Según el nivel de decisión

Aquí no importa de dónde sale el dato, sino quién va a decidir con el producto y con qué horizonte temporal.

• Inteligencia estratégica. Destinada al nivel político y a los mandos superiores. Horizonte amplio —meses o años—, alcance general, orientada a fijar objetivos, políticas y asignación de recursos. Responde a preguntas del tipo «cómo está evolucionando la amenaza yihadista en el Sahel».
• Inteligencia operacional. Destinada al mando que planifica una operación o una campaña contra un objetivo determinado. Horizonte de semanas o meses. Responde a «cómo se estructura y financia esta organización».
• Inteligencia táctica. Destinada a quien actúa sobre el terreno. Horizonte inmediato, muy concreta y muy perecedera. Responde a «dónde y cuándo va a producirse la entrega».

El mismo hecho puede generar productos de los tres niveles: una incautación es un dato táctico, alimenta el análisis operacional de la red y termina engrosando la evaluación estratégica de la amenaza.

2.3. Según la finalidad

• Inteligencia positiva o de obtención. La dirigida hacia fuera: conocer las capacidades, intenciones y actividades de un adversario o de una amenaza.
• Contrainteligencia. La dirigida hacia dentro: detectar, prevenir y neutralizar la actividad de servicios de inteligencia extranjeros, organizaciones o personas que traten de obtener información propia o de influir en las decisiones. Incluye la seguridad de las instalaciones, del personal, de los documentos y de los sistemas. La Ley 11/2002 la recoge en la letra b) de su artículo 4 cuando encarga al CNI prevenir, detectar y posibilitar la neutralización de actividades de servicios extranjeros, grupos o personas que pongan en riesgo el ordenamiento constitucional, los derechos y libertades, la soberanía, la integridad y la seguridad del Estado, la estabilidad de sus instituciones, los intereses económicos nacionales y el bienestar de la población.
• Inteligencia prospectiva o de alerta temprana. La orientada a anticipar escenarios futuros y a avisar de un riesgo antes de que se materialice.

Junto a ellas se habla también de inteligencia económica, competitiva —la que practican las empresas sobre su propio mercado—, criminal, policial y militar, clasificaciones que atienden ya al ámbito material sobre el que se trabaja.

3. El ciclo de inteligencia

3.1. Por qué es un ciclo

El ciclo de inteligencia es el proceso mediante el cual la información se transforma en inteligencia y se pone a disposición de quien tiene que decidir. El CNI lo define como el proceso de fases bien definidas que sigue la elaboración del producto que entrega a las autoridades.

Se llama ciclo, y no procedimiento o cadena, por dos razones. La primera es que no termina: la inteligencia difundida genera nuevas preguntas del decisor, que reabren la fase de dirección y ponen el proceso otra vez en marcha. La segunda es que no es estrictamente lineal: en la práctica las fases se solapan y se retroalimentan, y es normal que durante la elaboración se detecte una laguna que obligue a volver a obtener. Quien lo dibuja como una escalera de un solo sentido lo dibuja mal.

La versión española de referencia, la del CNI, tiene cuatro fases: dirección, obtención, elaboración y difusión. Apréndetelas en ese orden y con esos nombres.

3.2. Dirección

Es la primera fase y la que da sentido a todas las demás: en ella se determina qué se necesita saber. Comprende la fijación de los objetivos y necesidades de inteligencia, la planificación del esfuerzo de obtención, la asignación de medios y órganos y la supervisión de todo el ciclo.

En España el ciclo arranca con la aprobación anual de la Directiva de Inteligencia, y aquí conviene ir al texto legal, porque es corto y taxativo. El artículo 3 de la Ley 11/2002 dice: «El Gobierno determinará y aprobará anualmente los objetivos del Centro Nacional de Inteligencia mediante la Directiva de Inteligencia, que tendrá carácter secreto.» El propio CNI la describe como el documento con carácter secreto que recoge los objetivos o necesidades de inteligencia del Gobierno. Y el artículo 6.4.a) encaja la última pieza: la Comisión Delegada del Gobierno para Asuntos de Inteligencia propone al Presidente del Gobierno los objetivos anuales que han de integrar la Directiva, y realiza su seguimiento y evaluación. Es decir: la Comisión Delegada propone, el Gobierno determina y aprueba, el CNI ejecuta, y la Comisión del Congreso de gastos reservados conoce esos objetivos y el informe anual del Director.

El error típico consiste en pensar que la dirección la marca el servicio de inteligencia. No: la marca el destinatario. Un servicio que decide por su cuenta qué le interesa averiguar acaba produciendo inteligencia irrelevante para quien tiene que decidir.

3.3. Obtención

Es la fase de búsqueda y captación de la información en bruto, mediante los órganos y los medios asignados en la fase anterior. Aquí es donde intervienen las disciplinas que hemos visto: el CNI cita expresamente HUMINT, OSINT, SIGINT y GEOINT, y señala que recurre de forma constante a nuevas soluciones tecnológicas.

Dos ideas importantes. La primera: en esta fase todavía no hay inteligencia, solo materia prima. Lo que se obtiene son datos y noticias sin valorar. La segunda: la obtención debe ser selectiva. Recoger todo lo que se pueda recoger no es una virtud, es el camino más corto a la saturación del analista, que es una de las causas conocidas de fallo de inteligencia.

3.4. Elaboración

Es el corazón del ciclo y la fase que convierte información en inteligencia. Comprende, según la propia descripción del CNI, la valoración, el examen, la integración, la interpretación y la redacción del producto final. Suele desglosarse así:

• Valoración: se juzga la pertinencia de la noticia respecto de la necesidad planteada, la fiabilidad de la fuente y la credibilidad del contenido, con la escala de letra y cifra que veíamos antes.
• Análisis: se descompone la información en sus elementos, se identifican los relevantes y se contrastan.
• Integración: se combinan los elementos con la información previa disponible para construir un cuadro coherente.
• Interpretación: se determina qué significa el cuadro obtenido, se formulan hipótesis, se ponderan y se expresa el grado de confianza.
• Redacción: se da forma al producto, adaptado al destinatario.

Si en algún sitio del ciclo nace la inteligencia, es aquí. Recuérdalo, porque cuando el tribunal pregunta por el proceso OSINT —que tiene un despiece distinto y más fino— la respuesta correcta es la fase equivalente: el análisis.

3.5. Difusión

Es la última fase: la entrega del producto elaborado al usuario que ha de decidir, en el momento oportuno, con el formato adecuado y respetando el principio de necesidad de conocer. El CNI la describe como el final del ciclo, resultado de todo el proceso.

Difundir bien no es difundir mucho. Rigen dos principios que a veces tiran en direcciones opuestas y hay que equilibrar:

• Necesidad de conocer (need to know): solo accede a la inteligencia quien la necesita para desempeñar su función, por muy alto que sea su cargo o su habilitación. Es un principio de seguridad.
• Necesidad de compartir (need to share): la información que no llega a quien podía conectarla con otra pieza no sirve de nada. Es un principio de eficacia, que se abrió camino precisamente a raíz de los grandes fallos de inteligencia en los que cada servicio tenía un trozo del rompecabezas y ninguno lo compartía.

La difusión cierra el ciclo y lo reabre: la reacción del destinatario —sus nuevas preguntas, su valoración de la utilidad del producto— es la retroalimentación que alimenta la siguiente fase de dirección.

3.6. Los otros modelos de ciclo

Que la versión española tenga cuatro fases no significa que sea la única. Conviene conocer las variantes porque el enunciado puede plantearlas:

• Modelo de cinco fases, de tradición anglosajona y OTAN: planning and direction (planificación y dirección), collection (obtención), processing (procesamiento), analysis and production (análisis y producción) y dissemination (difusión). Es el mismo ciclo, con la elaboración partida en dos: primero se da formato a lo obtenido —traducción, descifrado, indexación—, y después se analiza.
• Modelo de seis fases, que añade al anterior la retroalimentación (feedback o evaluación) como fase autónoma al final, en lugar de darla por implícita en el retorno a la dirección.
• El proceso OSINT, con sus seis fases propias, que veremos enseguida y que es el modelo por el que el tribunal ha preguntado dos veces.

Todas las variantes comparten el mismo esqueleto: alguien pide, alguien busca, alguien convierte lo buscado en un producto y alguien lo entrega. Lo que cambia es dónde se ponen las costuras.

3.7. Sesgos y fallos de inteligencia

Un fallo de inteligencia es la incapacidad de un sistema para anticipar o valorar correctamente un acontecimiento relevante. Rara vez se debe a que faltara información: casi siempre se debe a cómo se procesó la que había. Las causas que se estudian son estas:

• Sesgo de confirmación: se busca y se valora mejor lo que confirma la hipótesis de partida, y se descarta lo que la contradice. Es el sesgo más destructivo del oficio.
• Imagen en espejo (mirror imaging): se atribuye al adversario la lógica y los valores propios, y se concluye que hará lo que nosotros haríamos.
• Pensamiento de grupo: la cohesión del equipo penaliza la discrepancia y todos terminan suscribiendo la misma conclusión sin haberla examinado.
• Ruido y saturación: la señal existía, pero estaba enterrada en un volumen de material inabordable. Es el riesgo característico de la era del Big Data.
• Politización: el producto se acomoda, consciente o inconscientemente, a lo que el decisor quiere oír. La contramedida es la independencia de criterio del analista.
• Intoxicación y desinformación: la fuente ha sido manipulada por el adversario para inducir una conclusión errónea. La contramedida es la valoración de la fuente y el contraste con otras disciplinas.

Contra estos sesgos se usan las técnicas analíticas estructuradas: el análisis de hipótesis en competencia, que obliga a evaluar en paralelo todas las explicaciones posibles y a buscar activamente la evidencia que las refutaría; el equipo rojo, que juega el papel del adversario; y el abogado del diablo, al que se le encarga formalmente atacar la conclusión mayoritaria.

4. Inteligencia de fuentes abiertas (OSINT)

4.1. Qué es y qué es una fuente abierta

OSINT, del inglés Open Source Intelligence, es la inteligencia elaborada a partir de información procedente de fuentes de acceso público, obtenida, seleccionada, contrastada y analizada para responder a una necesidad concreta.

Hay que fijar bien dos ideas que se confunden a todas horas:

• OSINT no es «buscar en Google». Buscar es la fase de adquisición, y por sí sola produce información, no inteligencia. Lo que convierte una recopilación en OSINT es el proceso: partir de un requisito, seleccionar fuentes, procesar, analizar y presentar. Una carpeta con doscientas capturas de pantalla no es inteligencia; es una carpeta.
• Fuente abierta no significa fuente gratuita, ni fuente en Internet. Es abierta toda fuente legalmente accesible sin vulnerar ninguna medida de seguridad ni ningún derecho: prensa y medios de comunicación, boletines oficiales y registros públicos, publicaciones científicas y actas de congresos, bibliotecas, bases de datos comerciales de suscripción, informes de organismos internacionales, cartografía, imágenes satelitales comerciales, foros, blogs y redes sociales. Un artículo de una revista de pago sigue siendo fuente abierta; un correo electrónico ajeno al que se accede rompiendo una contraseña, no lo es por mucho que esté en Internet.

Se estima que la mayor parte del material que alimenta hoy a los servicios de inteligencia procede de fuentes abiertas. Esa proporción se cita con cifras muy variables según la fuente y el momento, así que desconfía de los porcentajes redondos: lo sólido es la idea de que el OSINT dejó de ser un complemento para convertirse en el punto de partida del resto de las disciplinas.

4.2. De dónde viene

El OSINT es mucho más antiguo que Internet, y esto es materia de examen.

Su auge en la comunidad de inteligencia se produce durante la Segunda Guerra Mundial, cuando las fuentes públicas —fundamentalmente la radio y la prensa extranjeras— se convierten en un instrumento sistemático de investigación al servicio de la seguridad nacional. En el Reino Unido, el servicio de escucha de la BBC (BBC Monitoring Service) se crea en 1939. En Estados Unidos, el presidente Roosevelt autoriza en febrero de 1941 la creación del Foreign Broadcast Monitoring Service, alojado inicialmente en la Comisión Federal de Comunicaciones y rebautizado después como Foreign Broadcast Information Service (FBIS), con la misión de escuchar, grabar, transcribir, traducir y analizar las emisiones de radio extranjeras. Analizando qué decía y cómo lo decía la radio enemiga —y hasta qué anuncios emitía o qué esquelas publicaba la prensa— se dedujeron movimientos de tropas, situación de abastecimientos y estado de la moral.

Durante la Guerra Fría la disciplina se consolida como fuente permanente. Y a partir de los años noventa, con la irrupción de Internet, la digitalización de los archivos y después la explosión de las redes sociales, el OSINT se dispara: el problema deja de ser conseguir información pública y pasa a ser seleccionarla y validarla dentro de un volumen inabarcable.

🔑 Cuidado con los distractores históricos. Dos afirmaciones muy verosímiles y falsas: que el OSINT empezó en los años ochenta como técnica usada exclusivamente por agencias gubernamentales para recopilar información secreta —contradictorio consigo mismo: si es secreta no es fuente abierta—, y que lo desarrollaron en los noventa periodistas y aficionados a la investigación. Los periodistas de investigación en abierto son un fenómeno real y muy potente, pero posterior: el origen está en la Segunda Guerra Mundial.

4.3. Las seis fases del proceso OSINT

Este es, con diferencia, el punto más rentable del tema: el tribunal ha preguntado por él dos veces en dos convocatorias distintas. El proceso OSINT que se maneja como referencia en España —el que difunde el INCIBE— tiene seis fases:

1. Requisitos. Se establecen los requerimientos que hay que cumplir, es decir, las condiciones que deben satisfacerse para conseguir el objetivo o resolver el problema que ha originado el desarrollo del sistema OSINT. Aquí se responde a la pregunta «qué necesito saber y para qué».
2. Identificar fuentes de información relevante. A partir de los requisitos anteriores se especifican las fuentes de interés que serán recopiladas. El volumen de información disponible en Internet es prácticamente inabordable, de modo que hay que concretar las fuentes relevantes para optimizar el proceso de adquisición.
3. Adquisición. Etapa en la que se obtiene la información a partir de los orígenes indicados.
4. Procesamiento. Consiste en dar formato a toda la información recopilada de manera que posteriormente pueda ser analizada: normalizar, traducir, extraer texto, indexar, eliminar duplicados.
5. Análisis. Es la fase en la que se genera la inteligencia a partir de los datos recopilados y procesados. Aquí se relaciona, se interpreta y se concluye.
6. Presentación de inteligencia. Consiste en dar forma al análisis previo y mostrar los resultados concretos de manera eficaz, útil y comprensible para el destinatario.

🚨 Las dos preguntas que ya han caído. La primera: qué fase NO pertenece al proceso OSINT. La respuesta es «búsqueda masiva de información», que no solo no es una fase sino que es exactamente lo contrario de lo que el proceso persigue: la fase 2 existe precisamente para acotar las fuentes y evitar la búsqueda masiva. La segunda: en qué fase se genera la inteligencia. La respuesta es análisis, no adquisición ni procesamiento. Y una advertencia sobre el orden: primero se procesa —dar formato— y luego se analiza; nunca al revés.

Fíjate en el paralelismo con el ciclo clásico de cuatro fases: los requisitos y la identificación de fuentes son la dirección; la adquisición es la obtención; el procesamiento y el análisis son la elaboración; y la presentación de inteligencia es la difusión. Es el mismo ciclo con las costuras en otro sitio.

4.4. Ventajas y límites

Ventajas. El OSINT es barato en comparación con cualquier otra disciplina; es rápido; tiene un riesgo bajo, porque no expone a personas ni a medios técnicos; es compartible, ya que un producto elaborado solo con fuentes abiertas puede difundirse a socios, a otras administraciones o incluso al público sin comprometer procedimientos ni fuentes protegidas; y proporciona el contexto imprescindible para interpretar lo que aportan las demás disciplinas.

Límites. El primero es el volumen: la sobreabundancia esconde la señal en el ruido. El segundo es la fiabilidad: lo público no es por serlo verdadero, y las fuentes abiertas son el terreno natural de la desinformación deliberada, del bulo y del contenido sintético generado con inteligencia artificial. El tercero es la volatilidad: una publicación se borra, una cuenta se cierra, una web cambia, y con ella desaparece la evidencia si no se ha preservado. El cuarto es el sesgo del algoritmo: el buscador y la red social no muestran lo que hay, muestran lo que su modelo cree que interesa a quien consulta, con lo que dos analistas pueden ver mundos distintos. El quinto es que el OSINT accede a lo que se dice y se muestra, no a lo que se piensa: para las intenciones sigue haciendo falta HUMINT.

De ahí dos disciplinas de trabajo obligadas. La verificación: contrastar toda afirmación relevante con al menos otra fuente independiente, comprobar la fecha real de una imagen mediante búsqueda inversa y análisis de metadatos, y verificar la ubicación mediante geolocalización de los elementos visibles. Y la preservación: capturar la evidencia con marca de tiempo y con función resumen (hash) que garantice su integridad, y documentar la cadena de custodia desde el primer momento, porque lo que hoy es un indicio puede acabar siendo prueba mañana.

4.5. Técnicas y herramientas

No hace falta memorizar catálogos de programas, pero sí saber qué familias existen y para qué sirve cada una.

• Búsqueda avanzada en buscadores. El uso de operadores para acotar resultados —restringir a un dominio, a un tipo de fichero, a un texto exacto o a un título— se conoce como dorking. Aplicado con intención de localizar información expuesta por error, se llama Google hacking.
• Archivos y copias históricas. Repositorios como la Wayback Machine del Internet Archive o las cachés de los buscadores permiten recuperar una página tal como estaba antes de ser modificada o borrada. Es la respuesta directa al problema de la volatilidad.
• Metadatos. Los ficheros arrastran información que no se ve: autor, programa y versión con que se crearon, fecha, y en las fotografías los datos EXIF, que pueden incluir el modelo de cámara y las coordenadas GPS. Los servicios grandes suelen limpiarlos al publicar, pero los documentos ofimáticos colgados en webs institucionales, no.
• Análisis de imagen y vídeo. Búsqueda inversa para saber si una imagen es antigua o está sacada de contexto, y geolocalización a partir de elementos visibles —perfil del horizonte, señalización, matrículas, vegetación, sombras— cruzados con cartografía e imágenes de calle.
• Infraestructura y dominios. Consultas WHOIS sobre titularidad y fechas de registro de dominios, resolución DNS, certificados y registros de transparencia, e histórico de direcciones IP. Sirve para vincular sitios aparentemente independientes.
• Buscadores de dispositivos expuestos. Motores que indexan servicios accesibles desde Internet permiten localizar sistemas industriales, cámaras o servidores mal configurados. Son de doble uso: lo mismo sirven al atacante que al equipo que audita su propia superficie de exposición.
• Análisis de vínculos y visualización. Herramientas que representan gráficamente relaciones entre entidades —personas, alias, teléfonos, cuentas, dominios— y hacen visible una estructura que en una tabla no se ve.
• Filtraciones y credenciales expuestas. Servicios que informan de si una dirección de correo aparece en brechas de datos publicadas. Cuidado aquí: consultar si un correo está comprometido es una cosa; descargar y explotar un volcado de datos robados es otra muy distinta, y no es fuente abierta.

4.6. Huella digital y perfiles ficticios

La huella digital es el rastro que una persona u organización deja en Internet. Se distingue entre la huella activa —lo que uno publica deliberadamente: mensajes, fotografías, comentarios, currículos— y la huella pasiva, la que se genera sin intervención consciente: direcciones IP registradas, cookies, metadatos, menciones de terceros, apariciones en listas y registros. La segunda suele ser mucho mayor que la primera y es la que sorprende a quien se audita a sí mismo.

En el trabajo ofensivo de un atacante, la fase de recopilación de información sobre el objetivo se llama footprinting —el reconocimiento general de la organización, sus dominios, sus correos, sus personas— y su afinamiento técnico sobre un sistema concreto, fingerprinting: identificar sistema operativo, servicios y versiones para elegir el vector. Todo eso es OSINT aplicado a la fase de reconocimiento, la primera de la Cyber Kill Chain que estudiaste en el tema anterior. La contramedida defensiva es simétrica: aplicar OSINT sobre uno mismo para descubrir qué ha quedado expuesto y reducirlo.

Cuando el analista necesita observar sin ser identificado recurre a un perfil ficticio o sock puppet: una identidad de trabajo, con su propio equipo, su propio correo y su propio historial, separada de la identidad real. Aquí conviene ser muy claro con el límite: crear una identidad de observación es una medida de seguridad operativa; usar esa identidad para entablar comunicación con los investigados en canales cerrados ya no es OSINT, es actuación bajo identidad supuesta y tiene un régimen jurídico propio que veremos ahora mismo.

4.7. Los límites jurídicos

Que la información sea accesible no significa que se pueda hacer con ella cualquier cosa. Este es el apartado que separa un informe utilizable de un problema.

• Protección de datos. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 se aplican también a los datos personales publicados: que un dato sea público no lo convierte en libremente tratable. Recopilar sistemáticamente publicaciones de una persona en redes sociales y construir con ellas un perfil es un tratamiento de datos, con todo lo que eso implica en materia de base de legitimación, finalidad, minimización y plazos de conservación.
• El régimen policial específico. Cuando el tratamiento se realiza por autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, la norma aplicable no es el RGPD sino la Ley Orgánica 7/2021, de 26 de mayo, que traspone al ordenamiento español la Directiva (UE) 2016/680. Es un régimen propio, con sus propios principios, derechos y garantías.
• Derechos fundamentales del artículo 18 de la Constitución: honor, intimidad personal y familiar, propia imagen, inviolabilidad del domicilio y secreto de las comunicaciones. El OSINT trabaja en el terreno de lo público precisamente para no invadirlos; en cuanto una técnica los toca, deja de ser OSINT y pasa a exigir habilitación.
• Medidas de investigación tecnológica. La Ley de Enjuiciamiento Criminal regula en su Título VIII del Libro II el registro de dispositivos, la interceptación de comunicaciones, la captación de imágenes y sonido y los registros remotos, con exigencia general de autorización judicial. Nada de eso se obtiene por la vía de las fuentes abiertas.
• Agente encubierto informático. El artículo 282 bis.6 de la LECrim permite al juez de instrucción autorizar a funcionarios de la Policía Judicial a actuar bajo identidad supuesta en comunicaciones mantenidas en canales cerrados para esclarecer alguno de los delitos del apartado 4 del mismo artículo o cualquiera de los previstos en el artículo 588 ter a. Con autorización específica, ese agente podrá intercambiar o enviar por sí mismo archivos ilícitos por razón de su contenido y analizar los resultados de los algoritmos aplicados para su identificación. Es la puerta de entrada legal a los foros cerrados y a los mercados de la dark web, y exige resolución judicial.
• Acceso ilícito. Vulnerar una medida de seguridad para acceder a un sistema o a datos es delito del artículo 197 bis.1 del Código Penal, y no deja de serlo porque quien lo haga sea un investigador. La frontera del OSINT es exactamente esa: hasta donde llega el acceso público sin romper nada.

5. Las capas de la web

El temario enumera cuatro términos —Surface Web, Deep Web, Dark Web y Darknet— y el tribunal ya ha preguntado por dos de ellos. La imagen del iceberg es útil como apoyo visual, pero engaña si se toma al pie de la letra: no son tres redes distintas ni tres Internet superpuestos. Son tres formas de estar en el mismo Internet, distinguidas por un criterio muy concreto: cómo se accede al contenido.

5.1. Surface Web

La Surface Web o web superficial es la parte de Internet indexada por los buscadores tradicionales y accesible con un navegador corriente, sin credenciales ni software especial. Es lo que aparece cuando se busca en un buscador generalista: portales de noticias, webs institucionales, blogs, tiendas, la enciclopedia libre.

Para que un contenido esté en la superficie tienen que darse dos condiciones: que un rastreador pueda llegar hasta él siguiendo enlaces y que el sitio le permita indexarlo. Basta con que el propietario lo impida —mediante el fichero de exclusión de robots o una etiqueta de no indexación— para que ese contenido, siendo perfectamente accesible por su dirección, desaparezca de los resultados de búsqueda.

En volumen, la superficie es mucho menor que la web profunda. Cuidado con rematar la frase diciendo que es «la menor de las tres capas»: no lo es. La dark web es, con mucha diferencia, la más pequeña de todas —un subconjunto reducidísimo de la profunda—, así que el orden por tamaño es deep > surface > dark. Y desconfía de los porcentajes redondos que circulan sobre estas proporciones: proceden de estimaciones antiguas y muy discutidas. Lo sólido y preguntable es el orden, no la cifra.

5.2. Deep Web

La Deep Web o web profunda es todo el contenido de Internet que no está indexado por los buscadores tradicionales. Esa es la definición que hay que saber, literalmente.

Y aquí está el malentendido más extendido del tema: la deep web no es un lugar oscuro ni tiene nada de clandestino. Es, sencillamente, la inmensa mayoría de lo que hay en la red. Están en la deep web:

• Tu correo electrónico y el buzón de cualquiera.
• Tu banca electrónica y cualquier área privada de cliente.
• El contenido de tu almacenamiento en la nube personal que no has hecho público. Un fichero subido a una cuenta particular de un servicio de almacenamiento y no compartido está en la deep web: existe, tiene su dirección, pero ningún buscador lo indexa porque hace falta autenticarse. Esta pregunta ha caído literalmente.
• Los contenidos generados dinámicamente al consultar una base de datos: el horario de un vuelo concreto, la ficha de un expediente, el resultado de una búsqueda en un catálogo. La página existe solo cuando alguien hace la consulta, así que no hay nada estable que indexar.
• Las intranets corporativas, las plataformas académicas, los repositorios de suscripción, los expedientes administrativos electrónicos, las bases de datos policiales.
• Las páginas que el propietario ha excluido de la indexación, y las que están tras un muro de pago.

🔑 El criterio, en una frase: si un buscador generalista no lo lista, está en la deep web, aunque tú accedas a ello todos los días con tu usuario y tu contraseña. La deep web se define por la ausencia de indexación, no por la ilegalidad del contenido.

5.3. Dark Web y darknet

La Dark Web es un subconjunto de la deep web: la parte del contenido no indexado que, además, solo es accesible mediante software específico, configuraciones o autorizaciones concretas, y que está diseñada para proporcionar anonimato tanto a quien publica como a quien consulta. No se llega a ella con un navegador convencional escribiendo una dirección: hace falta un cliente que hable el protocolo de esa red.

La darknet es la red superpuesta —la infraestructura— sobre la que la dark web se apoya. Una red superpuesta (overlay network) funciona encima de Internet, usando su infraestructura física pero con su propio direccionamiento y su propio enrutado. Dicho de la manera más breve posible:

• Darknet = la red (Tor, I2P, Freenet). Es el continente.
• Dark web = el contenido alojado en esas redes. Es el contenido.
• Existen varias darknets, no una sola, y no se comunican entre sí: una dirección de una no funciona en otra.

La jerarquía completa, ordenada de mayor a menor: toda la dark web está dentro de la deep web, porque tampoco está indexada por los buscadores tradicionales; pero casi toda la deep web no es dark web, sino correo, banca y bases de datos. Confundir las dos es el error que el tribunal explota.

5.4. Tor, I2P y las demás redes

Tor (The Onion Router) es la darknet más conocida. Su origen es militar y estadounidense: en 1995, en el Laboratorio de Investigación Naval de Estados Unidos, David Goldschlag, Michael Reed y Paul Syverson diseñaron y desplegaron los primeros prototipos del encaminamiento de cebolla (onion routing), cuya primera descripción pública se presentó en 1996. En 2002 Roger Dingledine y Nick Mathewson se unieron a Syverson para desarrollar la implementación que hoy conocemos, y en diciembre de 2006 se constituyó The Tor Project como organización sin ánimo de lucro.

Su funcionamiento explica el nombre. El tráfico no viaja directamente al destino: se envía a través de un circuito de tres nodos voluntarios —de entrada o guardián, intermedio y de salida— y se cifra en capas sucesivas, como una cebolla. Cada nodo descifra únicamente su capa, que le dice cuál es el siguiente salto, y nada más: el nodo de entrada conoce quién eres pero no adónde vas, el de salida sabe adónde va el tráfico pero no de quién viene, y el intermedio no sabe ni una cosa ni otra. Los servicios alojados dentro de la propia red se llaman servicios ocultos o servicios cebolla, usan direcciones terminadas en .onion y nunca salen a la Internet convencional, con lo que ni siquiera hay nodo de salida.

Otras redes que conviene conocer por su nombre:

• I2P (Invisible Internet Project): red anónima orientada a servicios internos, con túneles unidireccionales separados de entrada y salida. Sus recursos internos se llaman eepsites.
• Freenet (hoy también conocida como Hyphanet): red de almacenamiento distribuido en la que el contenido se reparte cifrado entre los nodos participantes, de manera que ni siquiera quien aloja un fragmento sabe qué está alojando.
• ZeroNet y otras redes entre pares que combinan criptografía de clave pública con distribución de contenidos.

Un matiz que evita responder mal: una VPN no es una darknet. Una red privada virtual cifra el tráfico entre el usuario y un servidor y oculta la dirección IP frente a terceros, pero el proveedor de la VPN sabe perfectamente quién es su cliente y adónde va. Y el modo de navegación privada de un navegador no oculta absolutamente nada frente al proveedor de acceso ni frente al sitio visitado: solo evita guardar el historial en el equipo.

5.5. Qué se hace ahí y cómo se investiga

El anonimato es una herramienta, y como toda herramienta admite usos legítimos e ilegítimos. En el lado legítimo, estas redes las usan periodistas y sus fuentes, activistas y disidentes en países con censura, denunciantes de irregularidades, y también organizaciones que mantienen buzones seguros para recibir información. En el lado delictivo, la dark web aloja mercados de drogas, armas, documentación falsa, datos personales y credenciales robadas; foros de intercambio de material de abuso sexual infantil; servicios de Crime as a Service; y los portales de filtración en los que los grupos de ransomware publican los datos de las víctimas que no pagan.

El pago en estos mercados se hace normalmente con criptomonedas. Conviene deshacer aquí otro mito: la mayoría de las criptomonedas no son anónimas, sino seudónimas, y su cadena de bloques es un registro público e inmutable de todas las transacciones. El trabajo de la investigación consiste precisamente en aprovechar esa característica: el análisis de la cadena de bloques agrupa direcciones que pertenecen a un mismo titular y sigue los flujos hasta los puntos donde el dinero se convierte en moneda de curso legal, que son los que están sujetos a obligaciones de identificación. Los servicios de mezclado y las criptomonedas con privacidad reforzada complican la tarea, pero el punto débil sigue siendo el mismo: la entrada y la salida del sistema.

Para la investigación policial en estas capas las vías son, esencialmente, tres: el OSINT sobre los contenidos accesibles y los errores de seguridad operativa de los propios delincuentes —un alias reutilizado, una fotografía con metadatos, una dirección de correo repetida en la superficie—; la actuación bajo identidad supuesta en canales cerrados, con la autorización judicial del artículo 282 bis.6 de la LECrim; y la cooperación internacional, imprescindible porque la infraestructura casi nunca está en el mismo país que el investigador. En el plano institucional, el Convenio de Budapest sobre ciberdelincuencia sigue siendo el marco de referencia para la conservación rápida de datos y la asistencia mutua.

6. Ciencia de datos y Big Data

6.1. Ciencia de datos

La ciencia de datos es la disciplina que combina estadística, informática y conocimiento del dominio para extraer conocimiento útil a partir de datos, estructurados o no. No es una tecnología concreta: es un método de trabajo, y su producto es exactamente lo que este tema llama inteligencia, solo que obtenido con herramientas cuantitativas.

Su ciclo de trabajo habitual tiene cinco pasos: obtención de los datos; preparación —limpieza, normalización y tratamiento de valores ausentes, que suele consumir la mayor parte del esfuerzo—; exploración y análisis descriptivo; modelado, con técnicas estadísticas o de aprendizaje automático; y comunicación de los resultados, con visualización incluida. Verás que es, otra vez, el mismo esqueleto del ciclo de inteligencia.

Se distinguen cuatro niveles de analítica, en orden creciente de ambición: descriptiva (qué ha pasado), diagnóstica (por qué ha pasado), predictiva (qué es probable que pase) y prescriptiva (qué conviene hacer). El salto de la tercera a la cuarta es el que plantea los problemas jurídicos serios cuando hablamos de personas.

6.2. Big Data y sus V

Big Data designa el conjunto de datos de un volumen, una velocidad y una variedad tales que desbordan la capacidad de las herramientas tradicionales de gestión de bases de datos, y las tecnologías desarrolladas para tratarlos. Ojo: no es sinónimo de «muchos datos». Un archivo enorme pero uniforme y estático no es un problema de Big Data; lo es un flujo continuo, heterogéneo y de origen diverso que hay que procesar mientras llega.

La caracterización canónica es la de las V. Las tres primeras proceden de un informe de Doug Laney para META Group publicado en 2001 y titulado 3D Data Management: Controlling Data Volume, Velocity and Variety:

• Volumen: la cantidad de datos, que se mide ya en órdenes de magnitud que las herramientas clásicas no manejan.
• Velocidad: el ritmo al que los datos se generan y la exigencia de procesarlos en tiempo real o casi real.
• Variedad: la heterogeneidad de formatos y orígenes. Conviven datos estructurados (tablas de una base de datos relacional), semiestructurados (ficheros con etiquetas, registros de servidor) y no estructurados (texto libre, imagen, audio, vídeo), y estos últimos son la mayoría.

Posteriormente se añadieron dos más, hasta las cinco V que hoy se citan de manera habitual:

• Veracidad: la calidad, exactitud y fiabilidad de los datos. Datos sucios producen conclusiones sucias, por mucho volumen que haya.
• Valor: la utilidad efectiva que se extrae. Es la V que justifica todas las demás: acumular datos que no producen ninguna decisión mejor es solo un gasto de almacenamiento.

Algunos autores amplían la lista con variabilidad (los datos cambian de significado según el contexto y el momento), visualización y volatilidad. Si el enunciado no precisa, la respuesta segura son las tres originales y las cinco consolidadas.

En cuanto a la tecnología, el patrón que hizo posible el Big Data es el procesamiento distribuido: repartir los datos y el cálculo entre muchas máquinas corrientes en lugar de comprar una máquina enorme. De ahí los ecosistemas de almacenamiento y cómputo en clúster, las bases de datos NoSQL —que renuncian al modelo relacional rígido para ganar escalabilidad—, los lagos de datos (data lakes), donde el dato se guarda en bruto y se estructura al consultarlo, frente a los almacenes de datos (data warehouses), donde se estructura al guardarlo.

6.3. Minería de datos, aprendizaje automático e IA

Tres términos que se solapan y que conviene deslindar:

• Minería de datos (data mining): el proceso de descubrir patrones, correlaciones y relaciones no evidentes en grandes conjuntos de datos. Sus tareas clásicas son la clasificación, la regresión, el agrupamiento (clustering), la detección de asociaciones y la detección de anomalías, que es la que más se usa en seguridad.
• Aprendizaje automático (machine learning): la rama de la inteligencia artificial en la que un algoritmo aprende de los datos en lugar de seguir reglas escritas a mano. Se distingue el aprendizaje supervisado —se entrena con ejemplos etiquetados—, el no supervisado —el algoritmo encuentra la estructura por sí solo— y el por refuerzo, guiado por recompensas. El aprendizaje profundo (deep learning) es aprendizaje automático con redes neuronales de muchas capas.
• Inteligencia artificial: el concepto paraguas, que incluye el aprendizaje automático pero también los sistemas basados en reglas y en conocimiento.

Una advertencia metodológica que es materia de examen en cuanto se pregunta con algo de finura: estas técnicas encuentran correlaciones, no causas. Que dos fenómenos vayan juntos no significa que uno provoque el otro, y confundirlo es la forma más rápida de producir un informe brillante y equivocado.

6.4. Uso policial y sus riesgos

En seguridad, el análisis masivo de datos se aplica al análisis delictivo —detección de patrones espaciales y temporales, series de hechos vinculados—, a la valoración del riesgo en violencia de género, a la detección de fraude y blanqueo, a la seguridad de sistemas mediante detección de anomalías en el tráfico de red, y a la gestión de recursos.

Los riesgos son conocidos y hay que saber enunciarlos:

• Sesgo del dato. Un modelo entrenado con datos históricos aprende también los sesgos de esos datos. Si en un barrio ha habido más presencia policial, habrá más registros, y el modelo concluirá que ahí hay más delito, lo que llevará a más presencia policial: una profecía autocumplida.
• Opacidad. Los modelos complejos no explican por qué deciden lo que deciden, y una decisión que afecta a derechos tiene que poder motivarse.
• Decisiones automatizadas. El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o afecte significativamente. En el ámbito policial, la Ley Orgánica 7/2021 establece su propia regulación de las decisiones individuales automatizadas. La regla práctica: el sistema apoya la decisión, la persona decide.
• Reidentificación. Datos supuestamente anonimizados vuelven a identificar a personas cuando se cruzan con otros conjuntos. La anonimización real es mucho más difícil de lo que parece.
• Marco europeo de la IA. El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial, entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada: desde el 2 de febrero de 2025 rigen las prohibiciones de determinadas prácticas de riesgo inaceptable, y el resto de obligaciones —en particular las de los sistemas de alto riesgo, categoría en la que entran varios usos policiales— siguen un calendario propio que se ha ido ajustando. Verifica siempre el calendario vigente antes de dar una fecha por buena.

7. Cloud computing

7.1. Definición y características esenciales

La definición de referencia mundial es la del NIST estadounidense, publicada en septiembre de 2011 como Special Publication 800-145: el cloud computing o computación en la nube es un modelo que permite el acceso ubicuo, cómodo y bajo demanda, a través de la red, a un conjunto compartido de recursos informáticos configurables —redes, servidores, almacenamiento, aplicaciones y servicios— que pueden ser rápidamente aprovisionados y liberados con un esfuerzo mínimo de gestión o de interacción con el proveedor.

Ese modelo se compone, según el propio NIST, de cinco características esenciales, tres modelos de servicio y cuatro modelos de despliegue. Esa cuenta —5, 3 y 4— es en sí misma preguntable.

Las cinco características esenciales son:

1. Autoservicio bajo demanda (on-demand self-service): el usuario puede aprovisionar capacidad de cómputo unilateralmente, sin necesidad de interacción humana con el proveedor.
2. Amplio acceso por red (broad network access): las capacidades están disponibles a través de la red y se accede a ellas mediante mecanismos estándar, desde plataformas heterogéneas.
3. Agrupación de recursos (resource pooling): los recursos del proveedor se agrupan para servir a múltiples consumidores con un modelo multiinquilino, asignándose y reasignándose dinámicamente. El cliente, por lo general, no sabe ni controla la ubicación exacta de los recursos.
4. Elasticidad rápida (rapid elasticity): las capacidades se aprovisionan y liberan con rapidez, en algunos casos automáticamente, para escalar hacia arriba y hacia abajo según la demanda.
5. Servicio medido (measured service): el sistema controla y optimiza automáticamente el uso mediante una capacidad de medición, lo que permite supervisar, controlar e informar del consumo y facturar por uso.

7.2. Los tres modelos de servicio

Se distinguen por dónde está la frontera entre lo que gestiona el proveedor y lo que gestiona el cliente.

• IaaS (Infrastructure as a Service, infraestructura como servicio). El cliente aprovisiona capacidad de proceso, almacenamiento, redes y otros recursos informáticos fundamentales y despliega sobre ellos lo que quiera, incluidos sistemas operativos. No controla la infraestructura física subyacente, pero sí los sistemas operativos, el almacenamiento y las aplicaciones. Es el modelo con más control y más responsabilidad para el cliente. Ejemplo: alquilar máquinas virtuales.
• PaaS (Platform as a Service, plataforma como servicio). El cliente despliega sobre la infraestructura del proveedor aplicaciones creadas o adquiridas por él, usando lenguajes, bibliotecas y herramientas que el proveedor soporta. No gestiona la infraestructura ni el sistema operativo: solo su aplicación y su configuración. Ejemplo: un entorno gestionado de ejecución para una aplicación web con su base de datos.
• SaaS (Software as a Service, software como servicio). El cliente usa las aplicaciones del proveedor que se ejecutan en la infraestructura de este, normalmente a través de un navegador. No gestiona ni la infraestructura, ni la plataforma, ni la aplicación: como mucho, ajustes de configuración de usuario. Es el modelo con menos control y menos responsabilidad técnica para el cliente. Ejemplo: el correo web corporativo o una suite ofimática en línea.

La regla mnemotécnica: de IaaS a SaaS, el control del cliente baja y la responsabilidad del proveedor sube. Por analogía con el transporte: IaaS es alquilar el coche, PaaS es el coche con conductor y SaaS es el taxi.

Sobre estos tres han crecido decenas de siglas —almacenamiento como servicio, escritorio como servicio, seguridad como servicio, función como servicio— que se agrupan bajo la etiqueta genérica XaaS, «cualquier cosa como servicio». Pero los modelos de servicio del NIST siguen siendo tres, y esa es la respuesta si te preguntan cuántos son.

7.3. Los cuatro modelos de despliegue

Aquí el criterio ya no es qué se contrata, sino para quién existe la infraestructura.

• Nube privada. La infraestructura se aprovisiona para el uso exclusivo de una sola organización. Puede ser propiedad de esa organización, de un tercero o de una combinación de ambos, y puede estar alojada dentro o fuera de sus instalaciones. La forma típica y la que describen los enunciados es la organización que crea, gestiona y posee su nube y la aloja en sus propios centros de datos. Da el máximo control y la mayor capacidad de personalización, a cambio de asumir la inversión y el mantenimiento.
• Nube comunitaria. La infraestructura se aprovisiona para el uso exclusivo de una comunidad concreta de organizaciones que comparten intereses o requisitos —misión, política de seguridad, exigencias de cumplimiento normativo—. Es la que más se olvida al enumerar las cuatro, y por eso es un buen distractor.
• Nube pública. La infraestructura se aprovisiona para el uso abierto del público en general. Es propiedad del proveedor, está gestionada por él y reside en sus instalaciones. Máxima escalabilidad y mínimo coste de entrada, a cambio de menos control.
• Nube híbrida. Composición de dos o más de las anteriores, que siguen siendo entidades diferenciadas pero están unidas por tecnología estandarizada o propietaria que permite la portabilidad de datos y aplicaciones entre ellas. El caso típico: datos sensibles en la nube privada y picos de carga en la pública.

🔑 Lo que ya ha caído: el modelo de despliegue que una sola organización crea, gestiona y posee, alojado de forma privada en sus propios centros de datos, es la nube privada. Y ojo con la confusión más frecuente del tema: privada, comunitaria, pública e híbrida son modelos de despliegue; IaaS, PaaS y SaaS son modelos de servicio. Son dos ejes independientes: se puede tener SaaS en nube privada y IaaS en nube pública.

7.4. Riesgos y evidencia digital en la nube

La nube no elimina riesgos: los desplaza. Los principales:

• Responsabilidad compartida. El proveedor responde de la seguridad de la nube y el cliente de la seguridad en la nube. El reparto exacto depende del modelo de servicio, y la mayor parte de los incidentes graves nacen de un malentendido sobre dónde estaba la frontera: por ejemplo, un depósito de almacenamiento dejado accesible al público por una mala configuración del cliente, no por un fallo del proveedor.
• Dependencia del proveedor (vendor lock-in) y dificultad de portar datos y aplicaciones a otro.
• Ubicación de los datos y transferencias internacionales. Si los datos salen del Espacio Económico Europeo, hay que atender al capítulo V del RGPD. Y el hecho de que el proveedor esté sujeto a la legislación de un tercer Estado puede exponerlo a requerimientos de acceso de autoridades extranjeras.
• Disponibilidad. La caída de una región de un gran proveedor arrastra simultáneamente a miles de organizaciones: la concentración es un riesgo sistémico.
• Multiinquilino. Compartir infraestructura física con otros clientes introduce riesgos de aislamiento defectuoso.
• Marco de cumplimiento. Para las Administraciones públicas españolas rige el Esquema Nacional de Seguridad (Real Decreto 311/2022, de 3 de mayo), que impone requisitos también a los servicios en la nube que se contraten.

Y una consideración específicamente policial: la evidencia digital en la nube. El dato ya no está en un disco que se pueda intervenir en un registro, sino replicado en centros de datos que pueden estar en varios países. Eso plantea tres problemas prácticos: la volatilidad, que obliga a solicitar la conservación rápida de datos antes de que se pierdan; la territorialidad, que remite a la cooperación internacional y a los instrumentos del Convenio de Budapest; y la integridad, que exige documentar cómo se obtuvo la copia y garantizar mediante función resumen que no ha sido alterada. Un detalle operativo que se olvida: si un dispositivo intervenido tiene sesión abierta contra un servicio en la nube, apagarlo puede cerrar el acceso al contenido de forma irreversible.

8. Lo que más cae

• Dato, información e inteligencia: el dato es bruto; la información es el dato procesado y contextualizado; la inteligencia es información analizada, valorada y orientada a la toma de decisiones.
• 🚨 HUMINT: metodologías de captación de información a través de fuentes humanas, y pertenece a la clasificación por el medio. La «inteligencia procedente de todo tipo de señales y transmisiones» es SIGINT, y el «nivel de decisión» es otra clasificación (estratégica, operacional, táctica).
• Ciclo de inteligencia del CNI, cuatro fases: dirección, obtención, elaboración y difusión. Arranca con la Directiva de Inteligencia, documento secreto con los objetivos del Gobierno, que la Comisión Delegada del Gobierno para Asuntos de Inteligencia propone al Presidente.
• 🚨 Proceso OSINT, seis fases: requisitos · identificar fuentes de información relevante · adquisición · procesamiento · análisis · presentación de inteligencia. La inteligencia se genera en el ANÁLISIS. La «búsqueda masiva de información» NO es una fase: es justo lo que el proceso trata de evitar.
• Origen del OSINT: cobró auge en la comunidad de inteligencia durante la Segunda Guerra Mundial (BBC Monitoring en 1939, Foreign Broadcast Monitoring Service en 1941), no en los ochenta ni con los periodistas de los noventa.
• 🚨 Deep Web: todo el contenido de Internet no indexado por los buscadores tradicionales. Ahí están el correo, la banca electrónica, las intranets y los ficheros de tu nube personal que no has hecho públicos. No tiene nada de clandestino.
• Dark Web: subconjunto de la deep web accesible solo con software específico y diseñado para el anonimato. Darknet es la red (Tor, I2P, Freenet); dark web es el contenido. Toda la dark web está dentro de la deep web; casi nada de la deep web es dark web. Por tamaño: deep > surface > dark.
• Tor: encaminamiento de cebolla nacido en 1995 en el Laboratorio de Investigación Naval de EE. UU.; circuito de tres nodos y cifrado en capas; servicios ocultos con dominio .onion. Una VPN no es una darknet.
• Big Data: las tres V originales son volumen, velocidad y variedad (Doug Laney, 2001); las cinco añaden veracidad y valor.
• Cloud computing (NIST SP 800-145, 2011): 5 características esenciales —autoservicio bajo demanda, amplio acceso por red, agrupación de recursos, elasticidad rápida y servicio medido—, 3 modelos de servicio —IaaS, PaaS, SaaS— y 4 modelos de despliegue —privada, comunitaria, pública e híbrida.
• 🚨 Nube privada: la que una sola organización crea, gestiona y posee, alojada en sus propios centros de datos. No confundas modelos de despliegue con modelos de servicio.
• CNI: adscrito orgánicamente al Ministerio de Defensa; su Director tiene rango de Secretario de Estado, se nombra por Real Decreto a propuesta del Ministro de Defensa y su mandato es de cinco años. Sus miembros no son agentes de la autoridad, salvo los de protección del personal y las instalaciones. ⚠️ El artículo 6.2 de la Ley 11/2002, sobre la composición de la Comisión Delegada, figura «(Anulado)» tras la STC 110/2021.
• 🚨 Directiva de Inteligencia (art. 3): la determina y aprueba anualmente el GOBIERNO y tiene carácter secreto; la Comisión Delegada solo propone los objetivos (art. 6.4.a).
• 🚨 Control parlamentario (art. 11): Comisión del Congreso de gastos reservados, presidida por el Presidente de la Cámara, sesiones secretas. Accede a las materias clasificadas salvo las relativas a fuentes y medios del Centro y las procedentes de servicios extranjeros. Los documentos se devuelven al Centro sin retener copias.
• CITCO (art. 2.3 del RD 207/2024): depende de la Secretaría de Estado de Seguridad, tiene nivel de subdirección general y de él dependen la UNECI, la ONIP y la TEPOL.
• ⚠️ Secretos oficiales: la Ley 9/1968 sigue vigente, con DOS categorías —secreto y reservado— y DOS órganos que pueden clasificar —Consejo de Ministros y Junta de Jefes de Estado Mayor—, con facultad indelegable. El Proyecto de Ley de Información Clasificada, con sus cuatro categorías, todavía no es ley.
• Agente encubierto informático: art. 282 bis.6 LECrim, autorización del juez de instrucción para actuar bajo identidad supuesta en canales cerrados. El OSINT llega hasta donde llega el acceso público: romper una medida de seguridad es el art. 197 bis.1 CP.