Los servicios de policía y bomberos en Inglaterra y Gales enfrentan una amenaza creciente debido a la vulnerabilidad de sus sistemas tecnológicos y la frecuente presencia de errores humanos, lo que los coloca en una situación de alto riesgo frente a ataques cibernéticos. Así lo advierte un informe reciente publicado por la Inspección de Policía y Servicios de Bomberos de Su Majestad (HMICFRS, por sus siglas en inglés).
El estudio destaca que, aunque en los últimos seis años se han registrado avances en materia de ciberseguridad, estos todavía distan mucho de ser suficientes para afrontar las amenazas actuales. Michelle Skeer, inspectora jefe de policía, subraya que “la amenaza cibernética para las fuerzas policiales y los servicios de bomberos y rescate es significativa y está creciendo rápidamente. Un ciberataque importante no es un escenario hipotético; ya ha ocurrido, provocando interrupciones, poniendo en riesgo a la población y generando costos elevados para su solución.”
Según las conclusiones de la inspección, el principal problema reside en la continua dependencia de sistemas heredados (legacy systems), considerados por los responsables técnicos de ambas instituciones como el mayor riesgo estratégico en ciberseguridad. Estos sistemas antiguos, que en muchos casos ya no cuentan con soporte ni actualizaciones, representan un eslabón débil que facilita el acceso indebido por parte de ciberdelincuentes. 
Otro foco de preocupación importante lo constituyen los proveedores externos de tecnologías de la información y comunicación (TIC), especialmente aquellos que almacenan o gestionan datos sensibles relacionados con víctimas, protección, inteligencia e investigaciones en curso. Esta dependencia incrementa el riesgo de filtraciones y compromete la seguridad de la información crítica.
Además, el informe señala deficiencias sistemáticas en la formación de los empleados, con un control insuficiente sobre los procedimientos de seguridad relativos a la incorporación, movilidad interna y salida del personal. La mala gestión de contraseñas y la escasa implementación de medidas avanzadas, como la autenticación multifactor (MFA), también son prácticas generalizadas que debilitan la defensa tecnológica.
Necesidad urgente de reforzar la capacidad de respuesta
Los inspectores calificaron de insatisfactorias las medidas de respaldo y restauración de los sistemas informáticos tras un ciberataque. La ausencia de planes adecuados para asegurar la continuidad operativa y la rápida recuperación dificulta enormemente la gestión de incidentes de seguridad.
Este conjunto de vulnerabilidades se ve agravado por la falta de implicación de los altos mandos. Muchos líderes policiales y de bomberos no consideran la ciberseguridad como una prioridad diaria en la toma de decisiones operativas, lo que limita la asignación de recursos y la definición de estrategias para enfrentar las amenazas digitales.
Para revertir esta situación, HMICFRS ha emitido varias recomendaciones clave. Entre ellas, se insta a que todas las fuerzas y servicios alcancen estándares mínimos basados en capacidades cibernéticas, y que se establezcan sistemas robustos de validación externa para supervisar las evaluaciones internas en materia de seguridad digital.
Además, se propone mejorar la gestión de contratos y compra de servicios tecnológicos a terceros y fomentar una colaboración más estrecha entre los responsables gubernamentales y los líderes en ciberseguridad de ambos sectores. La utilización de recursos como el Centro Nacional de Gestión del Servicio Digital Policial y la creación de capacidades nacionales similares para los servicios de bomberos son también recomendaciones relevantes.
En cuanto a la preparación y resiliencia ante ciberataques, el informe resalta la necesidad de progresos significativos. Los servicios deben ser capaces de responder con rapidez a incidentes digitales, a la vez que promueven el desarrollo y la formación especializada tanto del personal técnico como de los mandos superiores.
Skeer enfatiza que “la ciberseguridad debe considerarse una prioridad organizativa fundamental, no solo un riesgo técnico. Los líderes deben priorizar e invertir en sus estrategias de seguridad para fortalecer la capacidad de prevenir, detectar, responder y recuperarse ante ataques.”
Además, subraya que las reformas en la policía y la reorganización local del gobierno podrían representar oportunidades valiosas para mejorar y coordinar la ciberseguridad en ambos sectores, acentuando la importancia de no desaprovechar estas oportunidades para proteger los sistemas y la información sensible, y en última instancia, a la ciudadanía.
Advertencias reiteradas tras incidentes recientes
El informe llega después de que la Oficina del Comisionado de Información (ICO) emitiera una dura advertencia a la Policía Metropolitana a principios de mes por prácticas inseguras. Se detectó que empleados habían subido datos a plataformas no autorizadas, exponiendo información crítica y sensible a graves riesgos.
A nivel nacional, otras fuerzas también han sufrido incidentes vinculados a brechas de seguridad, como el ataque reciente contra la Policía de Dyfed-Powys, que afectó algunos sistemas no críticos pero causó interrupciones operativas.
La inspección anunció que realizará una nueva evaluación en el futuro para supervisar la implementación de sus recomendaciones y asegurar que tanto la policía como los servicios de bomberos incrementen la seguridad de sus sistemas y datos de forma considerable.
