Preparación antes de viajar: checklist por nivel de amenaza

Un director financiero parte a Dubái para un cierre. Me llama la víspera para preguntarme si su teléfono está «OK». Su iPhone está conectado al iCloud familiar, sus contraseñas andan sueltas en las Notas, y la app Slack conserva seis meses de intercambios de M&A. La respuesta honesta cabe en una palabra: no. Y la víspera por la noche, ya era demasiado tarde para la mitad de las correcciones.

La trampa habitual

La preparación de un viaje se detiene, para la mayoría de la gente, en el vuelo, el hotel y el visado. La seguridad digital se piensa «una vez sobre el terreno». Es el reflejo que arruina la preparación, porque las medidas que de verdad cuentan se toman antes de partir, no en una habitación de hotel con el Wi-Fi del establecimiento.

El cifrado de disco se activa en frío, en casa, con una conexión estable y el tiempo de gestionar las indicaciones de reinicio. La eSIMSIM integrada y reprogramable, compatible con varios perfiles de operador.Ver el glosario local se pide 48 horas antes para estar seguro de que se active. El VPNTúnel cifrado entre tu dispositivo y un servidor, que oculta tu IP y tu tráfico a tu ISP.Ver el glosario de empresa se prueba desde el salón, porque en ciertos destinos hay una posibilidad real de que esté bloqueado —y un domingo por la mañana en Shanghái no es el buen momento para descubrirlo—. La preparación de seguridad es una tarea previa al viaje, fechada, planificada, no una improvisación.

La segunda trampa es más sutil. La mayoría de los viajeros se preparan como si su nivel de riesgo fuera constante. No lo es. El directivo que parte a Barcelona para una reunión de rutina y el mismo directivo que parte a Pekín a negociar una adquisición no se enfrentan a la misma amenaza. Tratar las dos situaciones de forma idéntica es o bien malgastar energía en un fin de semana inofensivo, o bien exponerse gravemente en un desplazamiento con envite. La buena preparación no es «más seguridad»; es la seguridad calibrada sobre el viaje preciso.

Evaluar su nivel de amenaza antes de partir

Antes de marcar lo que sea, una sola pregunta vale la pena plantearse: ¿en qué nivel estoy para este desplazamiento preciso? El modelo de amenazaCartografía de actores, motivaciones, capacidades e impactos potenciales contra un objetivo.Ver el glosario de un viaje se construye a partir de tres parámetros, y es su cruce el que da el nivel, no uno de ellos tomado aisladamente.

Primer parámetro: el valor de los datos transportados. Sin documentos sensibles, sin secretos comerciales, sin acceso crítico al sistema de información —nivel bajo—. Un portátil con acceso al CRM, a los contratos de clientes, a los intercambios estratégicos y a la mensajería de empresa —nivel medio a elevado, independientemente del destino—. La pregunta no es «¿voy a usarlo?» sino «¿qué está físicamente presente en el dispositivo en el momento en que sale de mi control?».

Segundo parámetro: el valor del objetivo. Un perfil mediáticamente expuesto, un directivo identificable, una abogada en un caso sensible, un periodista de investigación, un investigador sobre un tema estratégico —nivel elevado por defecto, no importa adónde se vaya—. El objetivo vale algo para alguien, y ese alguien sabe a menudo que usted viaja antes que usted.

Tercer parámetro: la jurisdicción de destino. Unión Europea, Canadá, Japón, Suiza: bajo a moderado. Estados Unidos, Reino Unido, Israel: poderes aduaneros extensos, posibilidad de registro fronterizoRegistro de dispositivos electrónicos en las fronteras por las aduanas o la policía.Ver el glosario en profundidad y de divulgación forzadaObligación legal de proporcionar contraseñas o descifrar dispositivos bajo amenaza de sanción.Ver el glosario de los códigos de acceso, riesgo moderado a elevado según el perfil. China, Rusia, Bielorrusia, ciertos países del Golfo, países bajo sanciones activas: nivel elevado sistemáticamente, con un ecosistema de interceptación local maduro.

El cruce de los tres da el nivel real. Un turista en Tailandia sin datos profesionales: nivel 1. Una directora de RR. HH. en Nueva York con el fichero de las remuneraciones del comité ejecutivo: nivel 2 mínimo. Un CFO en Pekín para un acuerdo no anunciado: nivel 3, sin debate. La trampa clásica consiste en mirar solo la jurisdicción. Un destino «seguro» con un dispositivo repleto de datos sensibles sigue siendo un nivel 2: el riesgo no desaparece porque el país sea amigo. El robo al tirón en una estación europea, la habitación de hotel allanada, el portátil olvidado en un taxi —estos vectores banales no leen los avisos diplomáticos—.

Lo que ocurre realmente, vector por vector

El modelo de amenaza se vuelve concreto cuando se enumeran los vectores reales en lugar de agitar el miedo abstracto a «que te pirateen». Se ordenan en cuatro familias.

El acceso físico al dispositivo. Es el vector dominante, y el más subestimado. Un portátil dejado sobre la mesa de una habitación de hotel durante la cena sigue siendo accesible al personal, a un visitante, a cualquiera que disponga de un pase. Sin cifrado de disco activo y sesión bloqueada, copiar la totalidad del contenido toma unos minutos con una llave de arranque externa. El escenario llamado evil maid —un acceso breve y discreto durante su ausencia— no tiene nada de exótico: basta un objetivo que valga el esfuerzo, y un dispositivo dejado solo diez minutos.

La frontera y la aduana. En varias jurisdicciones, el agente fronterizo puede exigir el desbloqueo del dispositivo, copiar su contenido, o retenerlo varios días. En Estados Unidos, el registro fronterizo no requiere orden judicial. Negarse a cooperar puede costar la entrada al territorio a un no ciudadano. Es precisamente por eso que el N3 separa el material: no se puede obligar a revelar lo que no se transporta.

La interceptación de red local. El Wi-Fi del hotel o de la conferencia, en una jurisdicción de interceptación madura, no es neutro. Un IMSI-catcherFalsa estación base móvil que fuerza a los teléfonos a conectarse para interceptar tráfico e identificadores.Ver el glosario capta el tráfico móvil en un radio dado; un MITMAtaque en el que un actor se interpone en una comunicación entre dos partes que creen estar en contacto directo.Ver el glosario en la red cableada del establecimiento observa los metadatos de conexión incluso cuando el contenido está cifrado. El VPN y la eSIM no son gadgets de paranoico: cierran ese vector preciso.

La ingeniería social selectiva. Un desplazamiento es público mucho antes de lo que se cree —agencia de viajes, agenda compartida, post de LinkedIn «encantado de estar en Singapur esta semana»—. Esa información alimenta el spear-phishingPhishing dirigido a una persona concreta, construido a partir de su perfil OSINT.Ver el glosario contextualizado: un falso correo del hotel, una falsa alerta de la aerolínea, un falso SMS del operador local. El cansancio del viaje rebaja la vigilancia exactamente en el momento en que llega el ataque.

El buen enfoque: tres niveles, un cambio documentado

El cambio pragmático consiste en dejar de reflexionar «medida por medida» para razonar «nivel por nivel». Se definen tres escalones, cada uno englobando al anterior, y se elige el escalón en función del veredicto de amenaza. Esto evita los dos escollos simétricos: la paranoia en un viaje anodino, y la ligereza en un viaje con envite.

El desglose reposa sobre un principio: cada nivel hereda íntegramente del anterior. No se «eligen» medidas en un menú; se sube un peldaño y se aplica todo lo que está por debajo. Es lo que vuelve la cosa enseñable, verificable, y utilizable por alguien que no es especialista en seguridad. El día de la salida, ya no se reflexiona: se marca la lista del nivel elegido.

Nivel 1 — Turista

Destino seguro, sin datos profesionales sensibles, trayecto estándar. Las medidas de base bastan, pero «de base» no quiere decir «nada». El riesgo aquí no es el espionaje de Estado, es lo banal: el teléfono robado en una terraza, el bolso olvidado, el dispositivo que se cae. La preparación N1 protege contra la pérdida y el robo oportunista, no contra un adversario determinado —y es suficiente para este perfil de viaje—.

• Cifrado de disco activado: FileVaultCifrado de disco integrado en macOS desde OS X Lion.Ver el glosario en macOS, BitLockerSolución Microsoft de cifrado de disco integrada en Windows Pro/Enterprise.Ver el glosario en Windows, LUKSEstándar de cifrado de disco en Linux, generalmente vía cryptsetup y dm-crypt.Ver el glosario en Linux. La mayoría de la gente cree tenerlo y no lo tiene. Se verifica, no se supone.
• MFAAutenticación de múltiples factores: combinar dos pruebas de identidad independientes para iniciar sesión.Ver el glosario activado en el correo y las cuentas importantes (banco, redes). De preferencia en TOTPCódigo de 6 dígitos generado cada 30 segundos por una app (Google Authenticator, Authy, etc.).Ver el glosario vía una aplicación dedicada, no por SMS —un SMS se intercepta por SIM swapAtaque en el que un fraude convence a tu operador de transferir tu número a una SIM propia.Ver el glosario o por sensor local—.
• Copia de seguridadCopia de datos conservada por separado para su restauración en caso de pérdida o compromisión.Ver el glosario reciente verificada —no solo lanzada, verificada—. Si el teléfono cae al agua o desaparece, usted debe poder recuperarlo todo sin drama.
• Copia digital de los documentos (pasaporte, visado, seguro) en el gestor de contraseñasAplicación que almacena y genera contraseñas únicas para cada servicio.Ver el glosario, accesible sin conexión.
• Número de emergencia del operador anotado por separado, para bloquear la SIMFalsa estación base móvil que fuerza a los teléfonos a conectarse para interceptar tráfico e identificadores.Ver el glosario en caso de robo.

Nivel 2 — Negocios estándar

Datos de empresa, clientes, contratos, acceso al SI. Destino de riesgo moderado. Todo el nivel 1, más una lógica de reducción de superficie. El principio rector cambia: ya no se busca solo impedir el acceso, se reduce lo que habría que robar si el acceso se produjera. Un dispositivo que solo contiene lo que usted necesita para la misión es un dispositivo cuya compromisión cuesta mucho menos.

• Mínimo de datos en local. Sincronización bajo demanda en lugar de sincronización completa automática. Los archivos que no necesita durante el viaje no tienen ninguna razón para viajar.
• Cuenta estándar, no admin. Si usted trabaja habitualmente como administrador, cree una cuenta estándar para el desplazamiento. Menos privilegios, menos daños en caso de compromisión.
• VPN de empresa probado desde casa antes de la salida. El protocolo exacto, no el icono en la barra. Si no pasa, el departamento de TI tiene tiempo de desbloquear.
• eSIM local precomprada. Conexión independiente de la red hotelera, más difícil de interceptar localmente, a menudo más barata.
• Ficha de destino consultada. Asuntos Exteriores, State Department: no por la geopolítica, por las restricciones concretas sobre el material informático y las obligaciones declarativas.
• Contactos de emergencia accesibles sin el teléfono: Dirección de TI, DPO, abogado. Un número en un papel guardado en el pasaporte basta.

Nivel 3 — Objetivo plausible

M&A en curso, litigio activo, directivo expuesto, periodista, jurista en caso sensible. Destino de riesgo elevado. Todo el nivel 2, más una lógica de separación material. Aquí, la reducción de superficie ya no basta, porque se supone un adversario que tiene los medios y la intención. La única garantía sólida es que el dispositivo de viaje nunca haya contenido, no contenga, y no pueda acceder a los datos que se quieren proteger. No se limpia la máquina habitual: se usa otra, virgen, desechable en sentido operativo.

• Portátil de viaje dedicado, imagen limpia aprovisionada para este desplazamiento, nunca la máquina habitual. Preparada antes, reimagen al regreso.
• Teléfono dedicado o activación del modo Lockdown en iOS, que cierra gran parte de los vectores avanzados.
• Supresión de las apps sensibles antes de la salida: SignalMensajería de código abierto con E2EE por defecto, operada por la Signal Foundation.Ver el glosario, apps de deal, accesos críticos. Reinstalación al regreso tras control.
• Credenciales temporales distintas de las habituales, con rotaciónGestión centralizada de identidades y accesos a los recursos.Ver el glosario planificada al regreso, y acceso VPN limitado al perímetro estricto de la misión.
• Briefing interno con la Dirección de TI sobre el contexto, los accesos concedidos, el protocolo de regreso. Más un protocolo de check-ins: «si no doy señales de vida en X horas, aquí está a quién contactar».

Lo que esto implica en la práctica

Errores que se ven todo el tiempo

• VPN nunca probado antes de la salida. Bloqueado en el destino, inutilizable sobre el terreno, y un protocolo como IKEv2 o L2TP activamente filtrado en China. Solucionar eso desde el extranjero un fin de semana es media jornada perdida en el mejor de los casos.
• Slack y Teams con doce meses de historial en local. Estas apps almacenan meses de intercambios en el dispositivo. En un device perdido o incautado, es toda la memoria operativa la que se va.
• Documentos confidenciales en la carpeta «Descargas». Rara vez cifrada por separado, nunca limpiada. Una propuesta comercial, un documento de RR. HH., unas conclusiones jurídicas que andan ahí desde hace tres semanas.
• Creer que el nivel de riesgo habitual se aplica en todas partes. El reflejo «fue bien la última vez» aplicado a un destino que no tiene nada que ver con el anterior.
• Ninguna copia de seguridad de los documentos de identidad. Pasaporte perdido en el extranjero sin copia accesible sin conexión: el viaje se detiene.
• El cargador prestado o comprado en el aeropuerto. Privilegiar los propios cables, y un cable de carga sin transferencia de datos para los puestos públicos. El juice jackingMetadatos adjuntos a las imágenes: fecha, GPS, modelo del dispositivo, parámetros de captura.Ver el glosario sigue siendo un vector en el material desconocido.
• Ningún plan si el dispositivo es confiscado en la frontera. A quién llamar, cómo recuperar los accesos, cómo trabajar 72 horas sin el device.

Checklist accionable

• N1 Cifrado de disco activado y verificado (FileVault / BitLocker / LUKS)
• N1 MFA en TOTP activado en el correo y las cuentas sensibles
• N1 Copia de seguridad reciente verificada (terminada, no solo lanzada)
• N1 SO y aplicaciones actualizados en las 48 h antes de la salida
• N1 Copia digital de los documentos de identidad en el gestor de contraseñas, sin conexión
• N1 Número de emergencia del operador anotado por separado para bloquear la SIM
• N2 Nivel de amenaza del viaje determinado (datos × objetivo × jurisdicción)
• N2 eSIM local precomprada para el destino
• N2 VPN de empresa probado desde casa antes de la salida
• N2 Mínimo de datos en local, cuenta estándar en lugar de admin
• N2 Carpeta Descargas limpiada de los documentos sensibles
• N2 Ficha de destino consultada (Asuntos Exteriores / State Dept)
• N2 Contactos de emergencia Dirección de TI/DPO/abogado accesibles sin el teléfono
• N3 Portátil dedicado con imagen limpia aprovisionada para el viaje
• N3 Teléfono dedicado o modo Lockdown activado
• N3 Apps sensibles (Signal, deal, accesos críticos) suprimidas
• N3 Credenciales temporales con rotación planificada al regreso
• N3 Briefing interno con la Dirección de TI sobre contexto y accesos concedidos
• N3 Protocolo de check-ins regulares definido antes de la salida
• N3 Procedimiento de regreso abierto (aislamiento, escaneo, reimagen, rotación)

Para profundizar

Las fichas país del Ministerio de Asuntos Exteriores se actualizan regularmente y enumeran las restricciones locales sobre el material informático, las obligaciones declarativas y las condiciones de entrada. El State Department estadounidense publica avisos equivalentes con un sistema de niveles claro. Para las empresas expuestas al espionaje económico, el INCIBE difunde recomendaciones de viaje cortas, factuales, y demasiado a menudo ignoradas.

Sobre el material: el artículo Portátil de viaje detalla la construcción de una imagen limpia y el aprovisionamiento de un dispositivo dedicado. Sobre el cruce de fronteras y la divulgación forzada: Fronteras y aduanas. Y para cerrar el ciclo, el Procedimiento de regreso de misión explica por qué el regreso es la fase más descuidada y la más arriesgada del desplazamiento.

Un último punto, porque es ahí donde la mayoría de los dispositivos fracasan en la práctica. Una checklist solo vale lo que vale la disciplina que la lleva, y la disciplina se erosiona en cuanto depende de la buena voluntad individual. El viajero que ha hecho el trayecto veinte veces «se sabe la canción» y se salta etapas; el directivo apurado delega la preparación y supone que se ha hecho. La corrección no es enviar más recordatorios a gente que los ignora —es hacer del buen comportamiento el camino de menor resistencia—. Un portátil de viaje que duerme en un cajón, ya con su imagen, transforma una hora de preparación en cinco minutos de recuperación. Una eSIM precomprada que se renueva sola suprime una decisión. La mejor preparación previa al viaje es aquella de la que nadie tiene que acordarse, porque el sistema se acuerda en su lugar. Construya eso, y la checklist deja de ser un documento que no se sigue para convertirse en la forma misma en que los viajes transcurren.