El Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido ha puesto en marcha un innovador programa que conecta a los proveedores de infraestructura crítica y organismos del sector público con socios acreditados especializados en ejercicios de simulación de ataques, conocidos en el ámbito de la ciberseguridad como «red teaming».
Esta nueva iniciativa, denominada Cyber Adversary Simulation (CyAS), permitirá a las organizaciones acceder a una amplia base de datos de proveedores autorizados para llevar a cabo rigurosos ejercicios de simulación que imitan tácticas empleadas por grupos de amenaza sofisticados, incluyendo actores estatales y redes criminales organizadas.
Ollie Whitehouse, director técnico del NCSC, destacó la importancia de esta iniciativa afirmando: «No puedes mejorar aquello que no conoces. Por ello, me complace enormemente anunciar el lanzamiento del programa CyAS». Añadió que esta herramienta facilitará evaluaciones realistas e integrales, realizadas por expertos en simulaciones de adversarios, que ayudarán a las organizaciones a comprender mejor sus vulnerabilidades ante ataques reales y enfocar así sus esfuerzos en reforzar su seguridad y resiliencia. 
El red teaming es un método avanzado de evaluación que pone a prueba las políticas de seguridad de una organización mediante la reproducción de las técnicas usadas por atacantes expertos. Durante estos ejercicios, los equipos simulados pueden aplicar distintas tácticas, desde reconocimiento de objetivos personalizados y creación de exploits a medida, hasta ataques híbridos que combinan intrusión física y digital.
Funcionamiento del programa CyAS
El esquema CyAS establece un proceso estructurado que comienza con una reunión preliminar para definir el alcance, estableciendo términos y identificando posibles impactos comerciales que deben evitarse. Además, incluye un cuidado especial al finalizar el ejercicio, con tareas para eliminar o corregir cualquier vulnerabilidad detectada o generada durante la simulación.
Tras la actividad, se entrega un informe detallado destinado a facilitar las actuaciones de remediación. Durante el ejercicio, los clientes cuentan con la opción de pausar o cancelar las pruebas en cualquier momento, garantizando la máxima flexibilidad y control durante todo el proceso.
Andrew Costis, responsable del equipo de investigación de adversarios en la empresa de ciberseguridad AttackIQ, resaltó el potencial de esta iniciativa para mejorar la resiliencia cibernética especialmente en infraestructuras críticas y organismos públicos: «El valor de este programa reside en poder evaluar cómo un atacante podría acceder a los sistemas que mantienen activos los servicios esenciales. Diseñar cada simulación según la exposición real de la organización permite detectar debilidades que un análisis genérico podría pasar por alto. En retrospectiva, este método habría evidenciado fallos en la detección o contención antes de que una intrusión derivara en una interrupción prolongada.»
Costis subrayó también la importancia de que esta evaluación no sea un evento puntual sino un proceso permanente: «La verdadera ventaja a largo plazo es convertir estos hallazgos en una práctica continua mediante la validación constante de la exposición a adversarios. Tras corregir una falla, los equipos deben replicar los ataques relevantes para verificar la efectividad de la solución. Además, deben adaptar las pruebas conforme evolucione su entorno de TI. Contar con proveedores acreditados garantiza la calidad de estas evaluaciones y determinará la efectividad de la resiliencia que aporte el programa.»
Según los términos del programa, los proveedores deben realizar las pruebas con equipos ubicados en Reino Unido, y emplear infraestructura de ataque alojada en el país siempre que sea viable. Asimismo, cada simulación debe ser registrada previamente en el NCSC para garantizar la supervisión y trazabilidad de las actividades.
Diseñado para complementar otros marcos existentes del NCSC, como el Cyber Assessment Framework (CAF) y el Cyber Resilience Audit (CRA), el programa CyAS también pretende colaborar con reguladores sectoriales, organismos supervisores y departamentos gubernamentales para establecer y certificar la capacidad de ciberresiliencia en sus respectivas áreas.
Chris Ensor, director adjunto del NCSC, sintetizó el objetivo de esta iniciativa: «Superando las pruebas tradicionales de penetración y auditoría de controles, el servicio CyAS ofrece a las organizaciones la posibilidad de evaluar sus defensas cibernéticas de forma práctica, asegurando que están capacitadas para protegerse, detectar y responder eficazmente a ataques cibernéticos.»
