Protección De Activos: Seguridad Física

TABLA DE CONTENIDOS

PREFACIO
COLABORADORES
INTRODUCCIÓN A LOS SISTEMAS DE PROTECCIÓN FISICA

PARTE I: METAS Y OBJETIVOS DEL SISTEMA DE PROTECCIÓN FÍSICA

Capítulo 1. DEFINICIÓN DEL PROBLEMA
1.1 Descripción general
1.2 Evaluación/Gestión del Riesgo
1.3 Definición de Amenaza
1.4 Experiencia Histórica
1.5 Identificación de Activos
1.6 Impacto de las Pérdidas
1.7 Evaluación de las Vulnerabilidades (VA)
1.7.1 El Equipo VA
1.7.2 Conceptos VA
1.7.3 Objetivos de una VA
1.7.4 Evaluación de Riesgos
Referencias

PARTE II: DISEÑO DE UN SISTEMA DE PROTECCIÓN FÍSICA

Capítulo 2. PRINCIPIOS Y CONCEPTOS DE DISEÑO
2.1 Características de un PPS
2.1.1 Protección en Profundidad
2.1.2 Consecuencias Mínimas de Fallas de Componentes
2.1.3 Protección Equilibrada
2.2 Criterios de Diseño
2.3 Elementos Adicionales de Diseño

FUNCIONES DE UN PPS: DISUASIÓN

Capítulo 3. PREVENCIÓN DEL CRIMEN A TRAVÉS DEL DISEÑO AMBIENTAL
3.1 Teoría del CPTED
3.1.1 Fundamentos del CPTED
3.1.2 Historia del CPTED
3.1.3 Supuestos de Prevención del Delito
3.1.4 Pensamiento Contemporáneo sobre el Crimen y los Criminales
3.2 Reducción del Crimen a Través del Diseño Arquitectónico
3.2.1 Planificación y Diseño de la Construcción
3.2.2 Edificios de oficinas
3.2.3 Edificios industriales
3.2.4 Instalaciones de Estacionamientos
3.2.5 Escuelas
3.2.6 Cajeros Automáticos
3.2.7 Edificios Federales de los Estados Unidos
Anexo A: Ejemplo de Lista de Verificación para CPTED
Referencias

FUNCIONES DE UN PPS: DETECCIÓN

Capítulo 4. SENSORES
4.1 Conceptos Clave del Sensor
4.1.1Características de Desempeño
4.1.2 Condiciones de Iniciación de Alarma
4.1.3 Condiciones de Funcionamiento
4.2 Estándares
4.2.1 Estándares UL
4.2.2 Estándares ASTM
4.2.3 Otros Estándares y Especificaciones
4.3 Sensores Exteriores
4.3.1 Clasificación
4.3.2 Tipos de Sensores de Intrusión Exteriores
4.3.3 Otros Conceptos de Sensores Exteriores
4.4 Sensores Interiores
4.4.1 Clasificación
4.4.2 Tipos de Sensores de Intrusión Interiores
4.4.3 Otros Conceptos de Sensores Interiores
4.5 Resumen
Referencias

Capítulo 5. SUBSISTEMAS DE VIDEO Y EVALUACIÓN DE ALARMA

5.1 Teoría de la Seguridad Visual
5.2 Usos de Subsistemas de Video en Seguridad
5.2.1 Identificación del Sujeto
5.2.2 Identificación de Acción
5.2.3 Identificación de Escena
5.3 Componentes del Sistema Análogo
5.4 Componentes del Sistema Digital
5.5 Diseño del Sistema
5.6 Selección de Equipos
5.6.1 Cámaras
5.6.2 Lentes
5.7 Formatos de Cámaras y Lentes
5.8 Software de Control
5.9 Sistemas de Grabación
5.10 Consideraciones de Diseño Adicionales para Evaluación de Video
5.11 Evaluación de los Sistemas de Evaluación de Video
5.12 A Dónde se Dirigen los CCTV

Capítulo 6. ILUMINACIÓN
6.1 Iluminación y Definiciones de Iluminación
6.2 Sistemas de Iluminación
6.3 Economía de la Iluminación
6.4 Arranque y Reinicio
6.5 Aplicaciones de Iluminación de Seguridad
6.6 Iluminación de Seguridad y Sistemas de Circuito Cerrado de Televisión
6.7 Estándares para Niveles de Iluminación de Seguridad
Referencias

Capítulo 7. COMUNICACIÓN DE ALARMA Y VISUALIZACIÓN

7.1 Atributos de la AC&D
7.2 Subsistema de Comunicación de Alarma
7.3 Comunicaciones de Seguridad
7.3.1 Comunicaciones de Alambre y Cable
7.3.2 Comunicaciones Inalámbricas
7.3.3 Transmisiones Microondas
7.3.4 Comunicación Láser
7.3.5 Interconexión
7.4 Seguridad de las Comunicaciones
7.4.1 Protección de la Línea
7.4.2 Codificadores
7.5 Control y Visualización de Alarma
7.5.1 Ergonomía: Factores Humanos
7.5.2 Ergonomía: Visualizaciones Gráficas
7.6 Resumen

Capítulo 8. CONTROL DE ENTRADA

8.1 Personal de Control de Entrada
8.1.1 Número de Identificación Personal
8.1.2 Dispositivos de Identificación (Token)
8.1.3 Credencial con fotografía
8.1.4 Credencial Codificada
8.1.5 Verificación de Identidad del Personal (Biométricos)
8.1.6 Control Secundario de Entrada del Personal
8.2 Detección de Contrabando
8.2.1 Registro Manual
8.2.2 Detectores de Metales
8.2.3 Revisiones de Paquetes
8.3 Cerraduras
8.3.1 Cerraduras Mecánicas
8.3.2 Mecanismos de Cerraduras Electrificados
8.3.3 Diseño de Sistemas de Cierre Seguro
8.4 Cuestiones de Integración e Instalación del Sistema
8.4.1 Procedimientos
8.4.2 Administración
8.5 Resumen
Referencias

FUNCIONES DE UN PPS DEMORA

Capítulo 9. BARRERAS DE DEMORA
9.1 Principios y Tipos de Barreras
9.2 Barreras Perimetrales
9.2.1 Cercas
9.2.2 Portones
9.2.3 Barreras Vehiculares
9.3 Barreras Estructurales
9.3.1 Paredes
9.3.2 Puertas
9.3.3 Ventanas y Puertos de Servicios
9.3.4 Techos y Pisos
9.3.5 Barreras Prescindibles
9.3.6 Procedimientos
9.4 Cajas Fuertes
9.4.1 Cajas para Protección de Registros Contra Incendios
9.4.2 Cajas Diseñadas para Proteger Objetos de Valor
9.5 Bóvedas
9.5.1 Bóvedas Resistentes al Fuego
9.5.2 Almacenamiento y Protección de Información
9.5.3 Bóvedas de Protección contra Entradas Forzadas
9.6 Resumen
Referencias

FUNCIONES DE UN PPS: RESPUESTA

Capítulo 10. RESPUESTA
10.1 Operaciones de Seguridad
10.2 Consideraciones Generales
10.3 Planificación de Contingencia
10.4 Mediciones de Desempeño
Referencias
Resumen Parte II

PARTE III: ANÁLISIS

Capítulo 11. ANÁLISIS DE UN SISTEMA DE PROTECCIÓN FÍSICA
11.1 Introducción
11.2 Visión General de Análisis
11.3 Herramientas de Análisis
11.3.1 Análisis Cualitativo-CARVER
11.3.2 Análisis Basados en Desempeño
11.3.3 Proceso de Análisis
11.4 Calcular la Efectividad del Sistema
11.4.1 Análisis de Mejoras
11.5 Resumen
Referencias

PARTE IV: IMPLEMENTACIÓN

Capítulo 12. IMPLEMENTACIÓN DEL SISTEMA DE PROTECCIÓN FÍSICA
12.1 Introducción
12.2 Proceso de Diseño de Sistemas
12.3 Fases Iniciales
12.3.1 Bases del Diseño
12.3.2 Diseño Conceptual
12.4 Criterios de Diseño
12.4.1 Códigos y Estándares
 12.4.2 Calidad
12.4.3 Capacidad
12.4.4 Desempeño
12.4.5 Características
12.4.6 Costo
12.4.7 Operaciones
12.4.8 Cultura e Imagen
12.4.9 Supervisión y Respuesta
12.4.10 Estimación Preliminar de Costos
12.5 Equipo de Diseño
12.6 Fase de Diseño y Documentación
12.6.1 Detalles Contractuales
12.6.2 Especificaciones
12.6.3 Dibujos
12.6.4 Coordinación de Diseño
12.7 Revisión, Aprobación y Emisión de los Documentos de Construcción
12.8 Fase de Adquisiciones
12.8.1 Adquisiciones con un solo Proveedor
12.8.2 Solicitud de Propuesta (RFP)
12.8.3 Llamado a Licitación ()
12.8.4 Proceso de Adquisiciones
12.9 Instalación y Operación
12.9.1 Planificación de la Instalación
12.9.2 Instalación de Componentes
12.9.3 Otras Características y Consideraciones
12.9.4 Ajuste del Sistema
12.9.5 Mantenimiento los Procedimientos Operativos
12.10 Entrenamiento
12.10.1 Requisitos Generales de Entrenamiento
12.10.2 Temas de Capacitación
12.11 Pruebas y Asuntos de Garantía
12.11.1 Prueba de Aceptación de Fábrica
12.11.2 Prueba de Aceptación en el Sitio
12.11.3 Prueba de Confiabilidad o Disponibilidad
12.11.4 Prueba Posterior a la Implementación
12.11.5 Aspectos de Garantía
12.12 Mantenimiento, Evaluación y Reemplazo
12.12.1 Mantenimiento Correctivo
12.12.2 Mantenimiento Preventivo
12.12.3 Evaluación y Reposición
12.13 Resumen
Anexo A: Estimación
Apéndice B: Especificación
Referencias

Índice

Protección de Activos: Aplicaciones

TABLA DE CONTENIDOS

PREFACIO
COLABORADORES

Capítulo 1. PERROS EN LA PROTECCIÓN DE ACTIVOS

1.1 Historia
1.2 Comportamiento Del Perro Y Características De Motivación
1.2.1 Impulsos Instintivos
1.2.2 Sentidos
1.2.3 Inteligencia
1.2.4 Sensibilidad
1.2.5 Energía
1.2.6 Agresividad
1.2.7 Disposición
1.2.8 Motivación
1.3 Cuidados Del Perro
1.3.1 Caniles
1.3.2 Aseo
1.3.3 Inspecciones
1.3.4 Alimentación
1.3.5 Enfermedades Y Su Prevención
1.4 Selección, Adiestramiento, Despliegue Y Ventajas De Costos De Perros De Protección
1.4.1 Seleccionando Al Perro
1.4.2 Adiestramiento
1.4.3 Costos Del Adiestramiento
1.4.4 Despliegue De Perros De Protección
1.5 Aplicaciones Especiales Y Conjunto De Habilidades
1.5.1 Rastreo Y Seguimiento
1.5.2 Condiciones Del Perro Para Tareas De Rastreo, Seguimiento Y Detección
1.5.3 Deteccion De Drogas, Explosivos Y Aceleradores
1.5.4 Costos
1.6 Responsabilidad Legal
1.6.1 Responsabilidad Penal
1.6.2 Responsabilidad Civil
1.6.3 Responsabilidad En Relación A Intrusos
1.6.4 Precauciones
Referencias

Capítulo 2. Estructuras De Gran Altura: Protección De La Vida Y Consideraciones De Seguridad

2.1 Introducción
2.1.1 ¿Qué Es Una Estructura De Altura?
2.2 Consideraciones De Protección De La Vida
2.2.1 Preocupaciones Especiales De Estructuras De Altura
2.2.2 Tratando Con El Problema De Protección De La Vida
2.3 Consideraciones De Seguridad
2.3.1 Preocupaciones Especiales De Estructuras De Altura
2.3.2 Protección De La Vida Y El Dilema De La Seguridad
2.3.3 Edificio De Gran Altura Típico
2.3.4 Modos De Operación Del Edificio
2.3.5 Elementos Del Edificio
2.3.6 Medidas De Seguridad
2.4 Resumen
Referencias
Fuentes Adicionales

Capítulo 3. Administrando Eventos Corporativos Especiales

3.1 Ocasiones Únicas
3.2 Alcance De Las Responsabilidades De Seguridad
3.3 Factores En La Planificación De Eventos
3.3.1 Urgencias
3.3.2 Estructura Organizacional
3.3.3 Voluntarios
3.3.4 Ubicación
3.3.5 Multitudes, Participantes Y Asistentes
3.3.6 Tipo De Evento
3.3.7 Comunicación
3.3.8 Tiempo Atmosférico
3.3.9 Presupuesto
3.4 Componentes Del Plan De Seguridad De Un Evento Especial
Anexo A
Lecturas Adicionales

Capítulo 4. Seguridad En Un Entorno Global

4.1 Políticas Y Lineamientos Para Operaciones De Seguridad Internacionales
4.1.1 Estructura Organizacional
4.1.2 Propósito De Las Políticas Y Directrices
4.2 Rendición De Cuentas Y Responsabilidades
4.3 Categorías De Riesgo País
4.4 Impacto De La Clasificación En El Viajero
4.5 Personal Residiendo En El Extranjero
4.6 Riesgos Que Se Pueden Encontrar
4.6.1 Crimen
4.6.2 Arresto Y Encarcelamiento
4.6.3 Enfermedad
4.6.4 Accidentes
4.6.5 Desastres Naturales
4.6.6 Eventos Geopolíticos
4.7 Contramedidas
4.7.1 Sesiones Informativas De Inteligencia General
4.7.2 Sesiones Informativas De Amenazas Específicas
4.7.3 Pronósticos De Inteligencia
4.7.4 Planificación De Contingencia Y Evacuación
4.7.5 Comunicaciones
4.8 Consideraciones Médicas
4.8.1 Grupos De Asistencia Médica
4.8.2 Inmunizaciones E Historia Médica
4.9 Entrenamiento De Conciencia De Seguridad
4.9.1 Embajadas Y Consulados
4.9.2 Orientación Cultural
4.9.3 Perfil Del Empleado E Información De Emergencia
4.9.4 Seguimiento De Empleados Y Activos
4.9.5 Análisis De La Seguridad Ocupacional En Transportes
4.9.6 Transporte Terrestre
4.9.7 Investigación De Antecedentes De Domicilios Y Hoteles
4.9.8 Investigación De Antecedentes De Personal De Servicio
4.10 Seguridad Física De La Instalación Y Oficina
4.11 Trabajo A Distancia
4.12 Debida Diligencia (Due Diligence) De La Cadena De Suministro
4.13 Verificación De Antecedentes Pre-Empleo Y Pruebas De Drogas
4.14 Respuesta A Secuestro/Rescate/Extorsión
4.15 Soborno Y Corrupción
4.16 Seguridad De La Información
Anexo A
Referencias

Índice

Protección de Activos: Seguridad de la Información

TABLA DE CONTENIDOS

PREFACIO
COLABORADORES

Capítulo 1. PROTECCIÓN DE ACTIVOS DE INFORMACIÓN

1.1 Introducción
1.2 Historia del Espionaje y de la Recopilación de Inteligencia de Negocios
1.3 Enfoque de Gestión del Riesgo para la IAP
1.3.1 El Actual Entorno Global de la Información
1.3.2 Categorías de Amenazas y Ejemplos
1.3.3 Evaluación del Riesgo y Due Diligence
1.3.4 Lograr el Compromiso
1.4 Métodos para la Mitigación del Riesgo
1.4.1 Prácticas Básicas de Protección
1.4.2 Seguridad Física
1.4.3 Personal de Seguridad
1.4.4 Protección de la Privacidad
1.4.5 Prácticas Empresariales
1.4.6 Operaciones de Seguridad o Gestión de Riesgos de la Información
1.4.7 Seguridad de Viajes y Reuniones
1.4.8 Prevención y Detección de la Falsificación y Copia Ilegal
1.5 Protecciones Legales
1.5.1 Derechos de Autor
1.5.2 Marca Comercial, Imagen Comercial, Marca de Servicio
1.5.3 Patentes
 1.5.4 Secretos Comerciales
1.5.5 Preocupaciones Internacionales
1.5.6 Acuerdos de no Divulgación y Contratos
1.6 Medidas Técnicas de Protección
1.6.1 Contramedidas de Vigilancia Técnica
1.6.2 Protección en un Entorno de TI
1.6.3 Protección en Entornos Especiales
1.7 Respuesta y Recuperación Después de una Pérdida de Información
1.8 Resumen

Capítulo 2. LA CRECIENTE IMPORTANCIA DE LA SEGURIDAD DE LOS SERVICIOS DE

INFORMACIÓN
2.1 El Desafío Humano: Falta de Imaginación
2.2 Estado de La Seguridad de los Sistemas de Información
2.3 Economía de la Seguridad de los Sistemas de Información
2.4 Factores Críticos de Éxito
2.5 Implicaciones para la Seguridad Física en un Mundo Convergente
2.6 Cibercrimen: Un Desafío Nacional

Capítulo 3. BASE DE CONOCIMIENTOS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN

3.1 Los Elementos de Riesgo de la ISS
3.1.1 Términos de la ISS
3.1.2 Ecuación Fundamental de ISS
3.1.3 Amenazas del Sistema de Información
3.1.4 Vulnerabilidades de los Sistemas de Información
3.1.5 Objetivos de Control de los Sistemas de Información
3.1.6 Contramedidas de los Sistemas de Información
3.2 Cayendo por la Madriguera del Conejo: Lógica Informática, Complejidad del Sistema y Vulnerabilidad Inherente
3.2.1 Cómo Funcionan los Sistemas Informáticos
3.2.2 Gestión de la Infraestructura de TI
3.2.3 Sistemas Informáticos del Mundo Real
3.2.4 Conceptos Adicionales de Seguridad de la Información
3.2.5 Tecnologías de Seguridad de la Información
3.3 Marco para los Profesionales de ISS
3.3.1 Iso/Iec 27001:2005 E Iso/Iec 27002:2005
3.3.2 Cuerpo Común de Conocimientos CISSP
3.3.3 Gestión de la Seguridad de la Información: Guía para la Junta de Directores y Gerencia Ejecutiva
3.3.4 Principios de Seguridad de los Sistemas de Información Generalmente Aceptados (Gaisp)
3.4 El Nuevo Panorama Legal, Regulador y Contractual Relacionado al ISS
3.4.1 Payment Card Industry Data Security Standard (Pci Dss)
3.4.2 Health Care And Insurance Portability And Accountability Act (HIPAA)
3.4.3 Gramm-Leach-Bliley Act (GLBA)
3.4.4 Children’s Online Privacy Protection Act (COPPA)
3.4.5 Sarbanes-Oxley Act (SOX)
3.4.6 Red Flag Rules
3.4.7 Medidas de Cumplimiento de la FTC
3.4.8 Divulgación de Incumplimiento Estatal y Leyes Relacionadas con los ISS y la Privacidad
3.4.9 Directiva de Protección de Datos de la Unión Europea
3.4.10 Nueva Jurisprudencia
3.5 Temas Especiales de los ISS
3.5.1 Evaluación del Riesgo y Vulnerabilidad de los ISS
3.5.2 Implementación de la Política del ISS
3.5.3 Respuesta a Incidentes
3.6 Gestión Total del ISS
3.6.1 ISO 27001 Sistema de Gestión de la Seguridad de la Información
3.6.2 Haciendo Posible la Mejora Continua

Capítulo 4. DESAFÍOS EN CONVERGENCIA DE LA SEGURIDAD

4.1 Riesgo para la Red
4.1.1 Estudio de Caso de Red: Sistema de Cámaras
4.1.2 Estudio de Caso de Red: Control de Acceso
4.2 Ataques de Comunicación
4.2.1 Ingeniería Social
4.2.2 Hacking Directo
4.2.3 Malware
 4.2.4 Ataques a la Web
4.3 Sistema de Gestión de Seguridad de la Información
4.3.1 Política de Seguridad
4.3.2 Organización del ISS
4.3.3 Gestión de Activos
4.3.4 Gestión de Recursos Humanos
4.3.5 Seguridad Física y Ambiental
4.3.6 Gestión de Comunicaciones y Operaciones
4.3.7 Control de Acceso
4.3.8 Adquisición, Desarrollo y Mantención de los Sistemas de Información
4.3.9 Gestión de Incidentes de Seguridad de la Información
4.3.10 Gestión de Continuidad del Negocio
4.3.11 Cumplimiento
4.3.12 Resumen del ISMS
4.4 Conclusión

Índice

Protección de Activos: Investigación

TABLA DE CONTENIDOS

PREFACIO
COLABORADORES

Capítulo 1. GESTIÓN DE LA INVESTIGACIÓN

1.1 Naturaleza de la Gestión de Investigaciones
1.1.1 Cualidades de una Investigación Efectiva
1.2 Investigaciones En El Sector Público Versus Sector Privado
1.3 Asuntos De Gestión En Investigaciones
1.3.1 Encuadrando la Misión Investigativa en la Organización
1.3.2 Externalizacion de las Investigaciones
1.3.3 Creación de una Unidad de Investigaciones
1.3.4 Funciones de Investigación
1.3.5 Recursos de Investigación
1.3.6 Gestión de la Unidad
1.3.7 Gestión de Casos
1.3.8 Problemas Legales
1.3.9 Enlaces
1.3.10 Analisis de Inteligencia Criminal
1.3.11 Protección de la Información Investigativa
1.3.12 Trabajando en un Ambiente Multicultural o Internacional
1.3.13 Garantizar una Adecuada Conclusión del Caso
1.4 Tipos de Investigaciones
1.4.1 Investigación de Incidentes
1.4.2 Investigaciones por Mal Comportamiento
1.4.3 Investigaciones de Cumplimiento
1.5 Técnicas y Herramientas de Investigación
1.5.1 Entrevista e Interrogatorio
1.5.2 Revisión de Registros y Bases de Datos
1.5.3 Recolección y Manipulación de Evidencias
1.5.4 Vigilancia
1.5.5 Informática Forense
1.6 Multiplicadores de Fuerza Investigativa
1.6.1 Fuentes de Información en Línea
1.6.2 Enlace en Investigaciones
1.6.3 Información de Inteligencia
1.7 Documentación de Investigaciones
1.7.1 Redacción de Informes
1.7.2 Otros Formatos de Informes
1.7.3 Testimonio y Declaración Jurada
1.8 Proyecciones

Capítulo 2. INVESTIGACIONES ENCUBIERTAS

2.1 Necesidad de una Investigación Encubierta
2.2 Historia de las Investigaciones Encubiertas
2.3 ¿Qué es Investigación Encubierta?
2.4 ¿Cuándo se debe usar la Investigación Encubierta?
2.5 Cuándo las Operaciones Encubiertas No son Apropiadas
2.6 Los Cinco Pasos de la Investigación
2.6.1 Fase Uno: Planificación y Preparación
2.6.2 Fase Dos: Recopilación de Información
2.6.3 Fase Tres: Verificación y Análisis
2.6.4 Fase Cuatro: Medidas Disciplinarias y Correctivas
2.6.5 Fase Cinco: Prevención y Educación
2.7 Retiro de un Agente
2.8 Tipos de Investigaciones Encubiertas
2.8.1 Investigaciones de Drogas
2.8.2 Investigaciones por Robo
2.9 Costo de las Operaciones Encubiertas
2.10 El Futuro de las Investigaciones Encubiertas

Capítulo 3. DUE DILIGENCE

3.1 Definiciones
3.2 Relevancia para la Protección de Activos
3.3 Eficacia de las Investigaciones de Due Diligence
3.4 Guía de Due Diligence
3.5 Fuentes de Información
3.6 Externalización de la Investigación de Due Diligence
3.7 Gestión de las Investigaciones de Due Diligence

Capítulo 4. INVESTIGACIÓN DE ANTECEDENTES Y VERIFICACIÓN PRE-EMPLEO

4.1 Historia de la Investigación de Antecedentes
4.2 Estudios e Investigaciones sobre la Verificación Pre-Empleo y la Investigación de Antecedentes
4.2.1 Fraude de Currículum Vitae
4.2.2 Robo de Empleados
4.2.3 Violencia en el Lugar de Trabajo
4.2.4 Uso de Drogas y Alcohol entre los Trabajadores
4.3 Beneficios de la Verificación Pre-Empleo
4.4 Desarrollo de un Programa de Verificación
4.4.1 Acceso a la Información
4.4.2 Naturaleza del Cargo
4.4.3 Asuntos de Responsabilidad Legal
4.4.4 Normas de La Industria
4.4.5 Siete Pasos Fáciles para una Política de Verificación Pre-Empleo Completa
4.5 Recopilación de Datos: las Herramientas Básicas para Reunir Información
4.5.1 Currículum Vitae
4.5.2 Solicitud de Empleo
4.6 Primera Revisión de la Solicitud y Entrevista Inicial
4.6.1 Banderas Rojas en la Primera Revisión de la Solicitud
4.6.2 Entrevista Inicial del Postulante
4.7 Fase de Selección Final
4.7.1 Verificación de Drogas y Alcohol
4.7.2 Prueba Psicológica
4.8 Procedimientos de Investigacion
4.8.1 Utilización del Departamento de Seguridad o Protección de Activos
4.8.2 Utilización del Departamento de Recursos Humanos
4.8.3 Utilización de una Agencia Externa de Informes del Consumidor e Investigaciones
4.8.4 Analisis de la Información
4.9 Futuro de las Investigaciones de Antecedentes y las Verificaciones Pre-Empleo

Capítulo 5. ENTREVISTA E INTERROGATORIO

5.1 Definiciones
5.2 Aspectos Psicosociales
5.2.1 Ciencia del Comportamiento
5.2.2 Motivación
5.2.3 Entrevistador
5.3 Preparación
5.3.1 Recopilación de Información
5.3.2 Planificación de la Entrevista
5.4 Documentación de la Entrevista
5.4.1 Grabación de Audio y Video
5.4.2 Notas
5.4.3 Registro de la Entrevista
5.5 Factores del Sujeto
5.6 Realización de la Entrevista
5.6.1 Procedimientos de Apertura
5.6.5 Preguntas de la Investigación
5.7 Comportamiento Verbal y No Verbal
5.7.1 Diferentes Tipos de Respuestas
5.7.2 Precauciones Preliminares
5.7.3 Respuestas Verbales
5.7.4 Respuestas No Verbales
5.8 Entrevista de Análisis del Comportamiento
5.8.1 Entrevista Confrontacional
5.9 Procedimientos de Cierre
5.10 Aspectos Legales Generales
5.11 Conclusión

Índice
 PROTECCIÓN
DE ACTIVOS

SEGURIDAD FÍSICA
Copyright © 2012 por ASIS International
ISBN 978-1-934904-52-7

Protección de Activos está elaborado bajo la premisa de que la editorial no se compromete a prestar servicios legales, contables y otros servicios
profesionales. Está diseñado como una guía y referencia de los temas tratados. Aunque se ha hecho todo lo posible para asegurar la precisión de los
contenidos en este documento, no es una publicación oficial y el impresor no asume ninguna responsabilidad por los errores u omisiones.

Todos los derechos reservados. Ninguna parte de esta publicación puede ser reproducida, traducida a otro lenguaje, almacenada en sistemas de
recuperación o transmitida en cualquier forma o por cualquier medio, ya sea electrónico, mecánico, fotocopia, grabación o cualquier otro, sin el
consentimiento previo por escrito del propietario del copyright.

Impreso en los Estados Unidos de América.

10 9 8 7 6 5 4 3 2 1
AGRADECIMIENTOS
ASIS International (ASIS), la sociedad líder en el mundo para los profesionales de la seguridad, fundada originalmente en 1955 como Sociedad Americana
para la Seguridad Industrial, adquirió Protección de Activos en diciembre de 2003. La adquisición de esta obra pone de relieve el papel de liderazgo de la
sociedad en la educación profesional. Es el deseo sincero de ASIS y su personal de editorial seguir incrementando el valor de esta importante guía.

Protección de Activos, que ha estado en vigencia desde 1974, es reconocida como la referencia principal para profesionales de la seguridad y el editor desea
agradecer a los dos autores fundadores y a los editores posteriores.

Timothy J. Walsh, CPP Richard J. Healy, CPP

Timothy L. Williams, CPP
Editor Jefe

Editores Asociados

David G. Aggleton, CPP

Milton E. Moritz, CPP
Mike Hodge, J.D.
Sanford Sherizon, Ph.D., CISSP
Timothy J. Walsh, CPP, Editor Emeritus

A medida que avanzamos, enfrentados a problemas que representan un desafío para la industria de la seguridad, nuestra misión es asegurar que Protección
de Activos proporcione las soluciones estratégicas necesarias para ayudar a que los profesionales cumplan con las exigencias del siglo 21 y los venideros.
También nos comprometemos a reunir a un grupo de expertos en la materia que mejore esta guía, si fuera necesario, para lograr nuestra misión.

Michael E. Knoke, CPP

Jefe de Redacción

Mary Lynn Garcia, CPP

Co-Editor

Eva Giercuszkiewicz, MLS, Gerente de Proyecto

Evangeline Pappas, Jefe de Producción
Peter E. Ohlhausen, Editor Técnico
 PREFACIO

OBJETIVOS DE PROTECCIÓN DE ACTIVOS

Protección de Activos (POA de ahora en adelante, por sus siglas en inglés) está destinado a que el profesional de la seguridad encuentre, en una sola fuente,
un tratamiento actualizado, preciso y práctico de la amplia gama de temas, estrategias y soluciones de la protección de activos.

La necesidad de un recurso tan exhaustivo es bastante generalizada, según los editores, escritores y muchos colegas profesionales cuyo consejo se ha
buscado en la elaboración de este texto. El creciente tamaño y la frecuencia de todas las formas de pérdidas de activos, junto con el aumento de los costos y
la complejidad relacionada con la selección de medidas, exigen una presentación sistemática y unificada de la doctrina de la protección en todos los
ámbitos, así como las normas y especificaciones a medida que se emiten. Por supuesto, sería presuntuoso asumir que un pequeño grupo de autores pudiera
presentar este material sin ayuda. Es, por lo tanto, un objetivo fundamental de Protección de Activos utilizar la más amplia base de fuentes calificadas que
se pueda desarrollar. Los autores, revisores y editores tratan de extraer de los datos disponibles, las características comunes o recurrentes, tendencias y
otros factores que identifican o señalan las estrategias de protección vigentes. El objetivo es proporcionar un documento fuente, donde se pueda obtener
información sobre cualquier problema de protección.

LECTORES
Protección de Activos está destinado a un amplio número de lectores: todos los profesionales de la seguridad y administradores de empresas con
responsabilidad en la protección de activos. La discusión coherente y el material de referencia pertinente en cada materia deben ayudar al lector a conducir
una investigación única que sea eficiente y organizada. De particular importancia son las diversas formas, matrices y listas de verificación que le dan al
lector un comienzo práctico hacia la aplicación de la teoría de la seguridad de su propia situación. POA también sirve como una referencia central para los
estudiantes que siguen un programa de protección de la seguridad o de activos.

DIÁLOGO
Esperamos que Protección de Activos se convierta en una importante fuente de conocimiento profesional para aquellos que lo lean y que estimule el
diálogo serio entre los profesionales de la seguridad. Cualquier lector que esté lidiando con un problema de seguridad inusual, nuevo o difícil, que quisiera
recibir opiniones de otros, se le agradece escribir en forma sucinta una descripción del problema y nos lo envíe a ASIS
[protectionofassets@asisonline.org]. Si el lector lo solicita, su identidad se mantendrá anónima, pero el problema se publicará con las invitaciones para
hacer comentarios. También se anima a los lectores a comunicar su acuerdo o desacuerdo con las estrategias o aplicaciones recomendadas en el POA y a
sugerir alternativas. Nos reservamos el derecho de publicar o no el material presentado. Los editores también solicitan las opiniones de los lectores sobre
políticas de protección de activos, en los que una visión transversal sería muy útil.

FORMACIÓN COMPLEMENTARIA
Los lectores con responsabilidades de supervisión o administración de personal de seguridad y protección de activos, encontrarán en POA un recurso útil
para asignar lecturas obligatorias. Estas lecturas pueden ser elementos de un programa de capacitación formal y pueden formar parte de las sesiones de un
curso.

Con todos estos objetivos en mente, presentamos a ustedes Protección de Activos, con la sincera convicción que les ayudará a mejorar su experiencia en el
campo de la seguridad.

Michael E. Knoke, CPP

Editor General
COLABORADORES
El éxito de esta publicación está directamente relacionado con el proceso de revisión por pares (peer review) reconocida por la mayoría de las profesiones.
Muchos profesionales de la seguridad, académicos y otros expertos en la materia participaron con el aporte de información actualizada, realizando
investigación, revisando las entregas y aportando con comentarios constructivos, para que fuésemos capaces de ofrecer una publicación que sea reconocida
como la “referencia” para los profesionales de la seguridad de todo el mundo.

Es con sincero aprecio que me gustaría dar las gracias a las personas que nombro a continuación que han contribuido a Protección de Activos.

Teresa M. Abrahamsohn, CPP

Randy I. Atlas, CPP
Regis W. Becker, CPP
Adolfo M. Benages, CPP
Raymond J. Bernard, PSP
Daniel E. Bierman, CPP, PSP
Keith C. Blowe, CPP
Pete Brake, Jr., CPP
Jason Caissie, CPP, PSP
Sue Carioti
Richard E. Chase, CPP
Geoffrey T. Craighead, CPP
Fritz X. Delinski
Colin Doniger, CPP, PSP
Brandon Dunlap
James W. Ellis, CPP, PSP
Kenneth G. Fauth, CPP
Eugene F. Ferraro, CPP, PCI
Linda F. Florence, Ph.D., CPP
Peter J. French, CPP
Eva Giercuszkiewicz, MLS
Timothy D. Giles, CPP, PSP
Leo Gonnering, PSP
Benjamin P. Greer
Ed Heisler, CPP, PSP
William T. Hill, CPP
W. Geoffrey Hughes, PCI
Gregory W. Jarpey, PSP
Diane Horn Kaloustian
Glen W. Kitteringham, CPP
James M. Kuehn, CPP
Robert F. Leahy, CPP, PSP
Todd P. Letcher
Richard E. Maier, CPP
Ron Martin, CPP
Edward F. McDonough, Jr., CPP
Owen J. Monaghan, CPP
Carla Naude, CPP
Gerald A. O’Farrell, CPP
Harm J. Oosten, CPP
Jaime P. Owens, CPP
David G. Patterson, CPP, PSP
Kevin E. Peterson, CPP
Patrick K. Quinn, CPP
William G. Rauen, CPP
Ty L. Richmond, CPP
Mark A. Sanna, CPP
Dennis Shepp, CPP, PCI
Laurie Simmons, CPP, PSP
Paul J. Steiner, Jr., CPP
Lynn A. Thackery, CPP, PSP
Joann Ugolini, CPP, PSP
Karim Vellani, CPP
Roger D. Warwick, CPP
Allan R. Wick, CPP, PSP
Reginald J. Williams, CPP
Gavin Wilson, PSP
Richard P. Wright, CPP
Scott S. Young, CPP
Sean A. Ahrens, CPP
George J. Barletta, CPP
Brent Belcoff, CPP
Lawrence K. Berenson, CPP
Henri A. Berube
Patrick C. Bishop, CPP
Paul F. Boyarin, CPP, PCI
Darryl R. Branham, CPP
Lucien G. Canton, CPP
James S. Cawood, CPP, PCI, PSP
John C. Cholewa, III, CPP
Michael A. Crane, J.D., CPP
Edward P. De Lise, CPP
Clifford E. Dow, CPP
Nick Economou
William R. Etheridge
Lawrence J. Fennelly
James H. Fetzer, III, CPP
Richard H. Frank, CPP
Mary Lynn Garcia, CPP
Gregory A. Gilbert, CPP
David H. Gilmore, CPP
Brian D. Gouin, PSP
Steven R. Harris
Richard J. Heffernan, CPP
Ronald W. Hobbs, CPP
John L. Hunepohl
Sheila D. Johnson, CPP, PSP
Cathy M. Kimble, CPP
Michael E. Knoke, CPP
David Lam, CPP
Robert E. Lee
Emblez Longoria, CPP, PSP
Loye A. Manning, CPP, PSP
Roger B. Maslen, CPP
Richard A. Michau, CPP
Wayne Morris, CPP, PSP
James W. Nelson
Peter E. Ohlhausen
S. Steven Oplinger
Gerard P. Panaro, J.D.
John T. Perkins, CPP
Charlie R. A. Pierce
Roy A. Rahn, CPP
David L. Ray, LL.B.
Lisa M. Ruth
Stephen Saravara, III, J.D., CPP
Shari Shovlin
Dennis Smith, CPP
Pamela M. Stewart, PCI
Mark L. Theisen, CPP
Darleen Urbanek
Barry J. Walker, CPP
Fritz Weidner
Anthony S. Wilcox, CPP
Richard F. Williams, CPP
Coleman L. Wolf, CPP
Allison Wylde
Marene N. Allison
Mark H. Beaudry, CPP
Howard J. Belfor, CPP
Alexander E. Berlonghi
Martin T. Biegelman, J.D.
Dennis R. Blass, CPP, PSP
Tom Boyer
Joseph P. Buckley, III
James P. Carino, Jr., CPP
Steve Chambers, CPP, PSP
Tom M. Conley, CPP
Bruce A. Dean, CPP
David A. Dobbins, PSP
Christina M. Duffey, CPP
Cheryl D. Elliott, CPP, PCI
Gregory Alan Ewing, CPP, PSP
Donald J. Fergus
Michael T. Flachs, CPP
Kenneth M. Freeman, CPP
John W. Gehrlein, CPP
Frederick G. Giles, CPP
Christopher Giusti, CPP
Richard P. Grassie, CPP
Ronald D. Heil, CPP
Chris A. Hertig, CPP
Mark D. Hucker, CPP
Gregory L. Hurd, CPP
Thomas R. Jost
R. Michael Kirchner, CPP
Terrence J. Korpal
Rich LaVelle, PSP
Jeff Leonard, CPP, PSP
Cynthia Long
Robert L. Martin, CPP
Judith G. Matheny, CPP
Bonnie S. Michelman, CPP
Patrick M. Murphy, CPP, PSP
Robert L. Oatman, CPP
Leonard Ong, CPP
Denis A. O’Sullivan, CPP
James F. Pastor, Ph.D.
Karl S. Perman
Doug Powell, CPP, PSP
John D. Rankin, CPP
Joseph Rector, CPP, PCI, PSP
Jeffrey J. Ryder, Jr., CPP, PSP
Charles A. Sennewald, CPP
Marc Siegel, Ph.D.
Stan Stahl, Ph.D.
Dan E. Taylor, Sr., CPP
Dave N. Tyson, CPP
Mike VanDrongelen, CPP,PCI,PSP
Michael W. Wanik, CPP
Richard C. Werth, CPP
Donald S. Williams, CPP
Timothy L. Williams, CPP
Loftin Woodiel, CPP
Richard Y. Yamamoto, CPP
 CAPÍTULO 1
DEFINICIÓN DEL PROBLEMA

1.1 DESCRIPCIÓN GENERAL

La implementación de un PPS es una tarea compleja y desafiante. El administrador de seguridad de una instalación debe dirigir los esfuerzos a crear un
PPS que cumpla con las metas y objetivos de la organización. El administrador de seguridad debe diseñar el PPS utilizando los componentes básicos de
personas, procedimientos y tecnología. Ella o él no requiere de un título profesional o credenciales en una disciplina de ingeniería. El administrador de
seguridad debe simplemente ser capaz de supervisar el proceso de proveer una solución integrada de sistemas a los problemas de seguridad física. Rogers
(2006) da una excelente visión general de los principios de ingeniería de alto nivel que los administradores de seguridad debiesen aplicar para proveer el
diseño e implementación de un PPS.

Este capítulo se enfoca específicamente en las metas y objetivos de un PPS y asume que se requiere de algún grado de seguridad física en el lugar. Las
metas y objetivos se deben alcanzar dentro de la estrategia de negocio de la empresa o del lugar. Por lo tanto, las metas y objetivos del negocio enmarcan
las metas y objetivos de alto estándar del PPS. Elementos del negocio, tales como el presupuesto, el tiempo para alcanzarlos y la disponibilidad de
personal, definen los límites de lo que se puede alcanzar utilizando un PPS, pero deben ser suplementados por detalles específicos adicionales sobre el
diseño y la implementación del sistema.

Varios conceptos clave deben ser comprendidos antes de que sea posible diseñar un sistema que cumpla con las metas y objetivos identificados. El primer
concepto clave es el de un sistema. Un sistema es un conjunto de productos, procesos, o ambos, combinados para proporcionar una solución a un problema
u objetivo (Martin, 1997, p. 4.). Un corolario de este concepto es que los sistemas, no los componentes, son optimizados para producir la solución de
diseño más efectiva para el problema (Martin, 1997, p. 4). La integración es la combinación de una variedad de componentes (tales como personas,
procedimientos y tecnología) para formar un sistema. En este caso, la integración incluye a la integración eléctrica (donde todos los componentes reciben
energía y están interconectados) así como la integración funcional (donde las funciones son detección, demora y respuesta). Es posible tener un sistema
eléctricamente integrado que no está funcionalmente integrado; un sistema como este es vulnerable. Este tema se desarrolla en profundidad más adelante,
en la evaluación de vulnerabilidad y en diseño en el Capítulo 2.

La idea de un sistema está en estrecha relación con el enfoque de sistemas para la resolución de problemas. ASIS (2012) define el enfoque de sistemas
como:

Un método lógico para resolver problemas en el que se desarrolla una solución comprensiva en relación a un problema con varias dimensiones. Un
tipo de enfoque de sistemas sigue tres pasos generales: evaluación de la vulnerabilidad, implementación de contramedidas y evaluación de la
efectividad.

Esta es otra manera de describir las cuatro fases del diseño y evaluación de la seguridad física.
Otro concepto clave es la administración del riesgo. Una definición de administración de riesgo (ISO/IEC, 2009) es “actividades coordinadas para dirigir y
controlar una organización en relación al riesgo”. A pesar que las definiciones de administración de riesgos varían, ellas generalmente concuerdan en que
dependen de la evaluación del riesgo, lo que a su vez depende de la evaluación de vulnerabilidad. Además, todas las definiciones incluyen amenaza, el
valor de los activos y la vulnerabilidad como parte del proceso general de gestión de riesgos. Una excelente descripción de la caracterización del riesgo,
incluyendo los aspectos técnicos, sociales, conductuales, económicos y éticos, se puede encontrar en Understanding Risk: Informing Decisions in a
Democratic Society del National Research Council (1996).

1.2 EVALUACIÓN/GESTIÓN DEL RIESGO

La evaluación de riesgo desarrollada en la industria de seguros, la que define el riesgo en términos de expectativas de pérdida anual, lo que es el producto
de la pérdida potencial por un evento y la probabilidad de que el evento ocurra. Con el tiempo, varios autores (Merkhofer, 1987; Hoyland & Rausand,
2004; Haimes, 1999; and Kumamoto and Henley, 1996) han moldeado la definición de seguros a una adecuada para los sistemas de seguridad. Ellos
definen el riesgo como una situación incierta en la que una serie de resultados posibles podrían ocurrir, en la que uno o más son indeseados. En general,
riesgo se refiere a todos los resultados adversos que una organización quiere evitar, y es una función de la probabilidad de que esas consecuencias ocurran,
su magnitud y su inminencia.

La evaluación del riesgo, una parte necesaria de la administración del riesgo, es el proceso de definir cuán grande es el riesgo. Las técnicas de evaluación
de riesgo pueden ser heurísticas (ad-hoc), inductivas o deductivas. En otras palabras, algunos métodos son más cuantitativos, otros más cualitativos. Cada
método tiene sus fortalezas. Por ejemplo, un enfoque cuantitativo, que requiere datos medibles, puede facilitar correlacionar el desempeño de un sistema de
seguridad y el costo (esto es, se puede demostrar un retorno sobre la inversión). Las técnicas cualitativas usualmente están basadas en listas de verificación
y dependen de cómo se sienta el analista respecto de la solución.

Wyss (2000) describe las técnicas inductivas como el uso de un enfoque de abajo-haciaarriba. Los riesgos son identificados en el comienzo del análisis,
más que como el resultado de un enfoque sistemático deductivo, de arriba-hacia-abajo. Puesto que la lista de riesgos es el punto de partida del análisis, no
el resultado de la investigación, el enfoque puede proporcionar resultados incompletos. Centrarse en escenarios puede ser insuficiente para dar cuenta de
ataques simultáneos. Los árboles de eventos, que trazan un evento iniciador a través de una secuencia con diferentes resultados posibles, utilizan la lógica
inductiva para inferir resultados. Los árboles de eventos son útiles, pero no manejan fácilmente bucles/circuitos de retroalimentación dentro del sistema.

La evaluación de riesgos deductiva utiliza diagramas de lógica para determinar cómo puede ocurrir un evento no deseado particular. Usualmente se utilizan
árboles de fallas junto con árboles de eventos para determinar las causas básicas de un evento. También se utilizan diagramas de influencia, los que son
utilizados en sistemas computacionales. Para cada ubicación, se asignan probabilidades condicionales para varios eventos. Utilizar una evaluación de
riesgos probabilística es más formal, científico, técnico, cuantitativo y objetivo que administración de riesgos, la que está basada en juicios de valor y
heurísticas y es más subjetiva, cualitativa, social y política. Idealmente, las probabilidades debiesen estar basadas en probabilidad objetiva, sin embargo en
seguridad es común estimar la probabilidad basada en factores subjetivos, como la intuición, la experiencia, información parcial, defectuosa o errónea; y
algunas veces en teorías dudosas. Estos factores cualitativos añaden bastante incerteza. En sistemas de seguridad la incerteza es especialmente grande,
debido a la falta de información seria sobre todo tipo de ataques de adversarios. La probabilidad de ocurrencia de un evento y su impacto pueden ser más
fácilmente evaluadas cuando se utilizan escenarios causales. Sin embargo, no se pueden anticipar todos los escenarios.

Herramientas de simulación (usualmente software) se usan para complementar los modelos lógicos. Una herramienta de simulación puede ayudar a evaluar
escenarios creados a través de un modelo lógico. Los escenarios pueden ser agrupados en conjuntos relacionados para volver su número más manejable.
Los escenarios también pueden ser sugeridos por las agencias reguladoras, expertas en la materia, o por el historial de incidentes previos. Herramientas de
simulación complejas pueden automáticamente generar escenarios para evaluación. Tales herramientas deben ser validadas antes de ser utilizadas.

La evaluación del riesgo examina el resultado de un ataque adversario exitoso, la probabilidad de que ocurra, cómo podría desarrollarse y cuántas personas
se verán afectadas. Cuando toda una población está en riesgo, se le llama riesgo social.

En evaluación de riesgos el analista intenta responder tres preguntas (Kaplan & Garrick, 1981):
• ¿Qué puede salir mal?
• ¿Cuál es la probabilidad de que salga mal?
• ¿Cuáles son las consecuencias?

Responder estas preguntas ayuda en el proceso de identificar, medir, cuantificar y evaluar riesgos.

La administración del riesgo viene después. Se construye sobre la base de la evaluación del riesgo respondiendo a una segunda serie de preguntas:
• ¿Qué se puede hacer?
• ¿Cuáles son las opciones disponibles?
• ¿Cuáles son las ventajas y desventajas asociadas, en términos de costos, beneficios y riesgos?
• ¿Cuáles son los impactos de las decisiones de gestión actuales (v.gr. políticas) en opciones futuras?

Responder a la última pregunta conduce a la solución óptima. Por lo tanto, la administración de riesgos es un proceso sistemático, holístico y basado en
estadísticas, que utiliza evaluación y gestión de riesgos formales y trata las fuentes de los fallos del sistema. Este enfoque puede ayudar a los
administradores de seguridad a proveer la información correcta a los gerentes senior para ayudarlos a tomar decisiones informadas.

Kaplan y Garrick idearon su enfoque para su uso en un contexto relativamente cuantificable: sistemas de ingeniería. Por el contrario, los sistemas de
seguridad se enfrentan a muchos elementos impredecibles, tales como la probabilidad de ataque por todas las amenazas (adversarios humanos) en un
sentido estadísticamente preciso. Los ataques terroristas no se pueden predecir con confiabilidad, aunque ataques de alta visibilidad, a partir del 11 de
septiembre de 2001, sugieren un constante peligro (los atentados ferroviarios con bombas de Londres y Madrid, el ataque de Mumbai). Por otra parte,
algunos aspectos de la seguridad sí son cuantificables. La administración de una cadena de tiendas puede saber con qué frecuencia atacan los ladrones cada
tienda de la empresa. También es posible medir el valor de un activo para la empresa y medir el rendimiento de la tecnología de seguridad.

En términos generales, los riesgos pueden ser reducidos de tres formas:

• previniendo un ataque al detectarlo antes de que suceda
• protegiéndose ante un ataque
• reduciendo (mitigando) las consecuencias

La prevención requiere de la recolección de inteligencia y disuasión. La protección requiere un sistema de protección física.

En el análisis de riesgos, mitigación significa reducir las consecuencias dado el evento. La mitigación se enfoca exclusivamente en reducir las
consecuencias. Las medidas de mitigación pueden ser implementadas antes, durante y después de un ataque si éstas reducen las consecuencias. Por
ejemplo, es una medida de mitigación rebajar el nivel de un embalse o represa para disminuir las consecuencias de una inundación por una potencial fisura
en su muro de contención, como también lo es proveer vacunas antes de un brote de una enfermedad para minimizar las consecuencias de una epidemia.

Los programas de reducción de riesgos debiesen incluir herramientas tanto para el financiamiento del riesgo (seguros) como para el control del riesgo.
Entre los enfoques se incluye evitar, reducir, difundir, transferir y aceptar (Grose, 1987). Así, un PPS es un subsistema dentro de una estrategia general para
reducir riesgos.

El riesgo puede ser descrito como la probabilidad de una consecuencia (ASIS, Organizational, 2009). Si es imposible que una consecuencia ocurra (v.gr. no
hay una manera posible para que suceda el resultado no deseado), entonces no hay riesgo. Sin embargo, ese es un supuesto poco probable dada la realidad
de los ataques. Aún así, si las consecuencias de las pérdidas o la probabilidad de ocurrencia es baja, o ambas son bajas, el riesgo será reducido. La base de
la administración de riesgos es la toma de decisiones informadas.

En la disciplina hay un considerable acuerdo en que amenaza, consecuencia y vulnerabilidad son los términos adecuados para expresar el riesgo (Broder,
2006, p 41;. Fisher & Green, 1998; Garcia, Vulnerability, 2006, p 9; Kaplan y Garrick, 1981). Amenaza es una combinación de las capacidades del
adversario, el equipamiento, motivación o la intención y la probabilidad de ataque (Garcia, 2008). La probabilidad de ataque puede ser medida en términos
de frecuencia o probabilidad. Frecuencia es el número de veces que suceden eventos no deseados en un período de tiempo (v.gr. ataques por año).
Probabilidad es la posibilidad de que un resultado suceda dentro del total de resultados no deseados, expresado como un número entre 0 y 1 (Young, 2010).
Consecuencia es el resultado no deseado en sí mismo. La efectividad de un sistema es la habilidad de un PPS para prevenir un ataque exitoso una vez que
este ha sido iniciado. Las vulnerabilidades son las debilidades de un PPS que pueden ser explotadas por los adversarios (ASIS, 2012).

Para administrar los riesgos de seguridad, es necesario intentar determinar qué adversarios, humanos malévolos intentarán robar o sabotear cuáles activos
de importancia. La evaluación de riesgos ayuda a identificar las amenazas, activos y vulnerabilidades a través de un proceso sistemático y defendible. Una
definición de ASIS (ASIS, Organizational, 2009) llama a la evaluación del riesgo
el proceso general de identificar, analizar y evaluar riesgos. Nota: Evaluación de riesgos involucra el proceso de identificar amenazas y
vulnerabilidades internas y externas, identificando la probabilidad y el impacto de un evento que surgen de las amenazas o vulnerabilidades, definir
las funciones críticas necesarias para la continuidad de las operaciones de una organización, definir los controles necesarios en la instalación para
reducir la exposición y evaluar los costos de estos controles.

Después que las amenazas y activos están definidos, generalmente se realiza una evaluación de vulnerabilidades para establecer una línea de base para un
PPS efectivo que alcance las metas y objetivos. Estos son los conceptos claves restantes de la Parte 1 del ciclo de un PPS, las metas y objetivos de un
sistema de protección física. En este momento, es necesario decidir si el PPS existente cumple las metas y objetivos; si no, es momento de comenzar la
Parte 2 del ciclo del PPS, la fase de diseño.

1.3 DEFINICIÓN DE AMENAZA

La definición de amenaza para un lugar o empresa debe ser creada durante la evaluación de riesgos y se debe recolectar información específica sobre el
adversario. Los adversarios pueden estar separados en tres clases: externos, insiders1 y externos coludidos con internos. Para cada clase de adversario se
debe definir toda la gama de tácticas (el engaño, la fuerza, el sigilo o cualquier combinación de éstas). Para cualquier lugar dado en una empresa, pueden
existir varias amenazas, tales como un criminal externo, un empleado descontento, terroristas, o la combinación de éstas, y el sistema de seguridad debe
proteger los activos contra todas estas amenazas.

ASIS define el diseño base de amenazas (DBT de ahora en adelante, por sus siglas en inglés) como “El adversario contra el cual el elemento debe ser
protegido” (Patterson, 2007). Determinar el DBT requiere considerar el tipo de amenaza, tácticas, modo de operación, capacidades, niveles de amenaza y la
probabilidad de ocurrencia. Esta definición puede ser modificada para incluir todos los sitios, no sólo los servicios. Algunos puntos clave en la definición
de amenaza requieren de detalles específicos.

En este contexto, la amenaza proviene de humanos malévolos, no de eventos accidentales (relacionados con la seguridad ocupacional2). Mientras que la
seguridad ocupacional (safety) y la seguridad (security) son funciones relacionadas y complementarias, un PPS se implementa primariamente para detener
ataques malévolos, no para prevenir incendios o para responder a actos de la naturaleza o errores humanos no intencionados (como derramar un balde con
agua). También es importante diferenciar la protección de seguridad con la protección ocupacional. La seguridad ocupacional se define generalmente como
las medidas (personas, procedimientos o equipamiento) utilizadas para prevenir o detectar condiciones anormales que puedan poner en peligro a las
personas, la propiedad o a la empresa. Estas condiciones anormales incluyen accidentes causados por descuidos humanos, falta de atención y falta de
capacitación, así como también a otros eventos no intencionados. La Seguridad, por otra parte, se refiere a las medidas utilizadas para proteger a personas,
la propiedad o la empresa de amenazas humanas malévolas (Garcia, Risk, 2006, pp. 510-511). Por supuesto, un buen programa de seguridad de riesgos
considera eventos de seguridad ocupacional, ya que ellos pueden tener las mismas consecuencias que un evento de seguridad.

La clave para distinguir entre seguridad y seguridad ocupacional es su causa –evento accidental no intencionado o desastre natural (evento anormal) versus
evento malicioso, deliberado causado por humanos. Snell (2002) describe las bases teóricas para desarrollar evaluaciones de seguridad y de prevención de
riesgo de manera diferente.

El DBT incluye otras características de la amenaza que se debe considerar, tales como vehículos, armas, herramientas o explosivos, así como también la
motivación de la amenaza. Es crucial que éstas características sean descritas en el DBT porque más tarde, durante la evaluación de vulnerabilidades (VA de
ahora en adelante, por sus siglas en inglés) ellas ayudarán a calibrar la efectividad de los componentes individuales del PPS, así como del sistema general.
El proceso de VA y estos efectos son descritos con más detalle en la sección de evaluación de vulnerabilidades más abajo, así como en el Capítulo 2,
Principios y Conceptos de Diseño.

Los adversarios pueden estar motivados por razones ideológicas, financieras o personales. La motivación puede marcar una gran diferencia en el sistema de
protección que se necesita. Por ejemplo, un adversario muy motivado, que está dispuesto a morir por su causa, es muy diferente a vándalos que escaparán
al ser descubiertos. También es importante considerar el número de adversarios. No se pueden diseñar respuestas apropiadas sin saber cuántos adversarios
se espera que ataquen. Por ejemplo, si un sitio tiene cinco personas encargadas de dar respuesta ante emergencias, y el adversario ataca con 10, el
adversario tiene la ventaja numérica y puede ser mucho más difícil de detener. Este problema es aún mayor si el adversario tiene más o mejores armas y
equipamiento. Adicionalmente, para que el personal de respuesta se entrene en forma efectiva, ellos deben hacerlo sobre la base de un umbral. A falta de
este umbral, no se sabe cómo predecir una victoria para el personal de respuesta. Este ejemplo asume que habrá una respuesta inmediata a un evento de
seguridad; si no hay respuesta inmediata, el análisis es diferente. La base de la evaluación de la vulnerabilidad es verificar el rendimiento del sistema contra
las amenazas definidas (Garcia, 2006, Risk, pp. 26-30).
Existen varios métodos para definir amenazas a una instalación (Garcia, 2008, pp. 25-39; Young, 2010, pp. 48-53; Catrantzos, 2010, pp. 8-10), y cualquiera
puede ser usado efectivamente mientras provean las características específicas descritas anteriormente. Un concepto importante es el espectro de amenaza.
La mayoría de los sitios necesitan prepararse para una variedad de amenazas. Un sitio puede ser atacado por muchas razones, y los ataques usualmente se
enfocan en robar o sabotear un activo. El espectro de amenaza utiliza categorías o etiquetas para describir las características de la amenaza para distintos
niveles de amenaza. Cualquier método organizado puede ser utilizado para recolectar información y crear el espectro de amenazas de una instalación, pero
el proceso debe resultar en caracterizaciones específicas, no en listados generales. Muchos sitios han usado etiquetas como vándalos, empleados
descontentos (insiders), criminales y extremistas, para describir el espectro de amenazas. Aún cuando estas etiquetas pueden comunicar alguna
información, ellas no son suficientes para ayudar en una evaluación de vulnerabilidades o en el diseño de un sistema. El DBT es una herramienta que el
equipo de evaluación de vulnerabilidades y los diseñadores del sistema usan para establecer los requerimientos del sistema. Un espectro de amenazas bien
diseñado se podría ver así:

• Vándalos. Esta amenaza consiste en pequeños grupos de dos a cinco personas sin armas, cuya intención es dañar activos de la compañía de bajo
valor o los vehículos de los empleados estacionados en el lugar. Los ataques son generalmente en la noche, pero también ocurren ataques durante el
día. Los vándalos pueden estar bajo la influencia del alcohol o drogas. Ellos pueden portar herramientas manuales básicas, tales como alicates,
cortadores de alambre, destornilladores o martillos, así como latas de pintura en aerosol (spray), pistolas de pintura o similares. Ellos no cuentan con
ayuda desde el interior (insiders). Ellos no están altamente motivados y huirán o se rendirán si perciben que pueden ser capturados.
• Empleado descontento (insider). Generalmente esta amenaza provendrá de un individuo que actúa en solitario, pero también podría ser un pequeño
grupo (dos a cinco personas). La persona podría estar bajo la influencia del alcohol o drogas, ella o él podría ser mentalmente inestable. La persona
podría portar armas pequeñas, tales como pistola o cuchillo. El deseo del empleado descontento es atacar a una persona en el lugar, como el
administrador, su esposa, o causar daño al equipamiento. Si el objetivo es dañar el equipamiento, la persona puede portar herramientas pequeñas,
pero probablemente utilizará herramientas o controles que están presentes en el lugar. La persona está altamente motivada y no espera ser
sorprendida durante el acto, puesto que la persona tiene acceso autorizado.
• Criminales. Pueden ser de una a cinco personas cuyo objetivo es robar objetos de valor de, o en la instalación; su objetivo es obtener beneficios
financieros de la venta de los ítems robados. Portarán herramientas manuales o eléctricas para ingresar al sitio o acceder al activo, y planificarán
cuidadosamente su ataque. Podrían portar armas pequeñas, pero es poco probable que las utilicen. Ellos podrían tener ayuda del interior (insiders) y
detendrán el ataque si son detectados.
• Extremistas. Esta amenaza consiste en grupos de personas de mediano a grande (20 y más) cuyo objetivo es atraer la atención sobre una práctica en
el blanco escogido. Su motivación es ideológica; podrían ser ambientalistas, grupos pro-derecho animal, anti o pro-aborto, o accionistas. Ellos no son
violentos, pero se podrían resistir a ser desalojados del sitio e ignorarán órdenes verbales para que se retiren.

El uso de niveles, tales como bajo, medio o alto, para describir varias amenazas puede ser utilizado en lugar de las etiquetas descriptivas que se muestran en
este ejemplo. El espectro de amenazas anterior incluye insiders, tanto como la amenaza misma o bien colaborando con agentes externos para llevar a cabo
el ataque. Agentes externos son aquellos que no tienen acceso autorizado al sitio (ya sea acceso ocasional o diario). Insiders son aquellos que tienen acceso
autorizado regular, e incluyen a todos los empleados, subcontratistas y vendedores, entre otros. Etiquetas simplistas, o una visión limitada de la amenaza,
pueden ser insuficientes para identificar vulnerabilidades o estimar el riesgo. Las medidas de seguridad requeridas para detener criminales son bastante
diferentes de aquellas requeridas para detener extremistas. En el caso anterior, para ser exitoso, un adversario bien equipado puede entrar al sitio (ya sea el
recinto exterior o el interior del edificio, dependiendo de dónde están ubicados los activos), llegar al ítem, y después irse. Una amenaza tal puede ser
abordada con un PPS bien integrado. En el caso de extremistas, por el contrario, un PPS puede no ser efectivo, incluso un sistema rudimentario que utiliza
cercas y tiene señalética prohibiendo el acceso no autorizado. Al estudiar el espectro completo de amenazas, uno puede diseñar un PPS que sea efectivo
contra todas las amenazas y contra todo el rango de herramientas, armas y capacidades del adversario. Un PPS diseñado de esta forma será más eficaz en
todo el espectro de amenazas, y el equipo, procedimientos y personal adecuado serán eficientemente aplicados al problema de seguridad.

Una vez que el espectro está construido, éste crea una base para continuar evaluando riesgos y vulnerabilidades. El DBT puede consistir en uno o más
niveles. Una vez creado, el DBT debiese ser protegido como información sensible, puesto que será la base para la evaluación del sitio y puede ser utilizado
por una amenaza para determinar la mejor manera de atacar.

Un elemento adicional de la definición de amenaza es estimar la probabilidad que el adversario ataque. Esto puede ser altamente problemático,
especialmente en casos donde hay poca información para apoyar la estimación. En cuanto a la definición de amenaza, existen varias maneras para estimar
la probabilidad de un ataque (Broder, 2006, pp. 21-27; Young, 2010, pp. 81-107). Para sitios que tienen información, ya sea proveniente de reportes de
incidentes u otras fuentes, esta estimación puede ser más sencilla; hay decisiones que tomar en sitios en los que un ataque por una amenaza particular es
posible, pero sucede infrecuentemente, o quizás en lo absoluto. Puede ser posible obtener para un ataque información relacionada con el área alrededor del
sitio, información comercial relevante o de diversas autoridades relevantes. La probabilidad de ataque puede ser una frecuencia, una probabilidad o una
estimación cualitativa. Los cálculos de frecuencia son respaldados donde existen disponibles datos de consideración, como en el caso de hurtos en una
tienda en particular o en toda una red de sucursales. Las probabilidades son similares a las frecuencias, pero están basadas en una perspectiva más teórica.
Las estimaciones cualitativas clasifican las posibilidades de ataque como muy probable o muy improbable, por ejemplo. Si no existen datos para sustentar
una estimación, un enfoque alternativo es asumir que sucederá un ataque y así evaluar los riesgos sobre esta base. En este caso, el riesgo es condicional,
v.gr. la condición es que un ataque sucederá (Garcia, 2008, p. 292). No todos los sitios han sufrido un ataque violento en el lugar de trabajo, sin embargo
casi todos los sitios incluyen en su definición de amenazas violencia en el lugar de trabajo.

1.4 EXPERIENCIA HISTÓRICA

Existe un problema especial en relación con la experiencia histórica: usualmente en la mayoría de las empresas no están disponibles los suficientes datos
históricos, en un formato utilizable, que permitan un predicción precisa. El problema tiene dos aspectos: la disponibilidad de información sobre pérdidas
pasadas o pérdidas sospechadas, y la organización de esa información en un formato que permita procesarla estadísticamente. La mayoría de las empresas
mantiene datos de pérdidas, mayormente relacionados con pérdidas aseguradas. Estas pérdidas son descritas en diversos avisos de reclamos de pérdidas e
Informes de Prueba de Pérdidas emitidos al asegurador. La mayoría de los departamentos de seguros mantienen registros de pérdidas en bases de datos y
tienen la capacidad de producir reportes de pérdidas en diversos formatos. Algunas organizaciones mantienen exclusivamente los documentos en papel y
los archivos no entregan una historia útil, a excepción de una extensiva reorganización de los datos. Una nota de precaución: una base de datos pudiese
contener sólo información desde la fecha de inicio de la base de datos. Registros anteriores pueden no haber sido incorporados. En otras empresas, donde el
riesgo de pérdidas es, o bien ignorado (no hay seguros ni otras medidas de administración de riesgo), o bien asumido (auto-asegurados o los deducibles de
las políticas comerciales son muy grandes), los registros pueden no existir. Es decir, si la pérdida no está asegurada y no entra dentro de los límites de
cobertura en dólares de las políticas, los registros de la pérdida son transitorios y pueden no ser accesibles a través del tiempo. Información histórica precisa
respecto de pérdidas o eventos de pérdidas puede ser la información más útil que una empresa tiene. Primero que todo, información suficiente hace posible
predecir futuras ocurrencias. La ciencia de la estadística muestra que la frecuencia de ocurrencia sugiere la probabilidad de ocurrencia futura. Una curva de
distribución basada en el número de veces en que varios eventos han ocurrido a través de otros eventos similares, indica qué eventos tienen una alta
probabilidad de ocurrir nuevamente (para una discusión más profunda ver Walsh, 1995). Junto con otros elementos desarrollados en la evaluación de
factores de probabilidad, este enfoque puede ser usado para llegar a un estado general de probabilidad de ocurrencia.

Las predicciones son de importancia secundaria, pero su precisión incrementa con la acumulación de datos históricos. Es un principio de la teoría de
probabilidad que mientras más largo el número de casos o eventos del tipo que incluyen el evento predicho, mayor concordancia hay entre el patrón de
predicción y el patrón de ocurrencia. Para una empresa muy grande, tal como una organización comercial o industrial con múltiples locaciones o una
cadena de retail con muchas sucursales, el volumen de datos disponibles proveniente exclusivamente de recolección interna puede ser suficiente para
permitir predicciones precisas.

El segundo aspecto de la información histórica de pérdidas concierne la organización de la información. No es inusual encontrar departamentos de
protección de activos que mantienen reportes de incidentes u otros eventos sospechosos que se remonta a muchos años atrás. En el pasado, cada reporte
consistía de una o más páginas de papel que debían ser estudiadas individualmente para entregar alguna información.

El departamento de protección de activos moderno utiliza bases de datos para registrar incidentes. Estas bases de datos van desde complejos sistemas de
administración de incidentes, adquiridos de proveedores de software especializados, a software de manejo de bases de datos relativamente simples que son
incluidos en la mayoría de las computadoras. En muchos casos la información es ingresada en la base de datos por el personal de investigación de
seguridad. Si para recolectar información se utilizan formularios manuales de reporte de incidentes, ellos están diseñados para simplificar el ingreso de
información en la base de datos. Por lo tanto, frecuentemente se utilizan códigos para denotar el tipo de incidente o el método de operación.

La base de datos usualmente incluye los siguientes campos:

• fecha de ocurrencia
• hora de ocurrencia
• lugar de ocurrencia (ubicado tan precisamente como se desee, incluso con la intersección de postes y columnas del área de un edificio dado)
• naturaleza del evento bajo un encabezado general, como crimen o accidente
• descripción específica del evento, tal como incendio, fraude por engaño, entrada forzosa, desaparición misteriosa, etc.
• método de operación o modo de ocurrencia, en caso de ser conocido (como una aldaba para candado removida con una palanca, ventana utilizada para
entrar y salir, o el nombre ficticio utilizado por una persona al ser requerido)
• número para el evento distintivo, que sirva como un localizador general del incidente y unifique todos los archivos, reportes y datos de registro
• valor de los activos involucrados o valor del daño

El software de reportes de bases de datos usualmente permite recuperar la información en cualquier orden deseado. En pantalla los datos pueden ser vistos
en detalle o en un formato resumen, o se puede imprimir la información. Tal información tiene valor real en la evaluación de vulnerabilidades. Todos los
profesionales de protección de activos, o el personal de prevención de pérdidas, debiesen tener un sistema para recolectar datos de incidentes adecuados al
tamaño y complejidad de la empresa.

Una vez que el DBT está creado y que hay alguna estimación de la probabilidad de un ataque, es tiempo de avanzar al segundo aspecto clave de definir las
metas y objetivos – identificación de activos.

1.5 IDENTIFICACIÓN DE ACTIVOS

Al igual que la definición de amenazas, la identificación de activos es crítica para una estimación de los riesgos en un sitio. Existen varias maneras para
enfocar esta iniciativa, en las que casi todas le asignan un valor al activo. Este valor ha sido descrito como criticidad, consecuencia de la pérdida (Garcia,
2008, p. 44), o severidad (Fisher & Green, 1998). Más allá de la terminología, los activos deben ser identificados y priorizados en términos del efecto que
su pérdida podría tener en el sitio o la empresa. Aún cuando el daño a, o la pérdida de algunos activos puede tener poco efecto en un sitio (como un grafiti
en una pared), otros activos son críticos para la compañía y su pérdida tiene consecuencias altamente inaceptables. Ejemplos incluyen el daño a empleados
debido a un incidente violento en el lugar de trabajo, o la pérdida de una fórmula patentada, de una oferta, o de los resultados de investigación y desarrollo,
o de equipamiento.

Existen tres métodos generales para valorar activos –el uso de dólares, usar criterios de consecuencia o por políticas. Ejemplos de valoración por dólares y
por criterios de seguimiento; valoración de activos por criterios de política es común en el gobierno y unidades militares. Por ejemplo, la Fuerza Aérea de
los Estados Unidos establece niveles de protección para todos los activos de la Fuerza Aérea, que van desde armas nucleares hasta pequeños
electrodomésticos, tales como hornos, lavadoras o secadoras. Otras agencias locales, estatales y federales, tienen políticas de designación similares para los
activos.
1.6 IMPACTO DE PÉRDIDAS

El impacto de las pérdidas puede ser medido de varias maneras. Una medida es el efecto en la moral de los empleados; otro es el efecto en las relaciones
con la comunidad. La medida más importante de todas es en dólares. Porque la medida en dólares es común a todas las organizaciones, incluso a las sin
fines de lucro; la severidad de la vulnerabilidad de la seguridad puede ser más fácilmente comprendida si se establece en términos monetarios.

Cuando las decisiones de compensación son tomadas como parte del proceso de administración de riesgos, la única manera útil de evaluar contramedidas
de seguridad es comparar el costo estimado de las pérdidas con el costo de la protección. El dinero es el medio necesario.

Los profesionales de la seguridad a veces tienen dificultad para lograr la credibilidad o aceptación de la gerencia de la compañía para desarrollar un
programa adecuado. Un razón importante es la ausencia de evaluaciones cuantitativas de las iniciativas de seguridad. A pesar que la responsabilidad social
en un sentido amplio está reconocida como parte de la administración de una empresa, la mayoría de los administradores y gerentes todavía fijan metas y
miden resultados en términos financieros, ya sea ganancias obtenidas o costos reducidos.

Para encajar fácilmente en el marco de referencia típico de un gerente, los programas de seguridad y protección de activos deben justificarse con sus costos.
Ignorar o menospreciar los costos implicados, al tiempo de enfatizar la necesidad de seguridad, predeciblemente generará programas de bajo nivel. La
justificación de los costos significa no gastar más de lo que valen los beneficios derivados.

Costos a considerar
Los costos de las pérdidas de seguridad son tanto directos como indirectos. Los costos directos incluyen la pérdida de dinero, instrumentos negociables,
propiedades o información. Los costos indirectos incluyen daño a la reputación, pérdida de buena fe, pérdida de empleados y daño a la moral de los
empleados. Tanto los costos directos como indirectos pueden ser medidos en términos de activos perdidos e ingresos perdidos. A menudo una pérdida
resulta en ambos tipos de costos.

Reemplazo Permanente
El costo más obvio es aquel involucrado en el reemplazo permanente de un activo perdido. Si un edificio es destruido por un incendio, productos
terminados se pierden por desviación, o una computadora portátil es robada de una oficina, el activo perdido debe ser reemplazado. Si el activo es un
producto, el propietario puede escoger no reemplazarlo, sino absorber el costo de producción y la utilidad no obtenida que hubiese ganado. Aunque es una
opción viable, este curso no es el que un negocio saludable elegiría, porque el hecho de ofrecer un producto que podría haber sido vendido tiende a tener un
impacto en la cuota de mercado. Si el activo es una herramienta de producción, su sustitución es aún más importante, ya que es esencial para la actividad
continua de la empresa.

El reemplazo permanente de un activo perdido incluye todos los costos de devolverlo a su ubicación anterior. Los componentes de este costo incluyen lo
siguiente:
• precio de compra o costo de manufactura
• gastos de fletes y transportes
• costo de preparación, habilitación, instalación o de volverlo funcional

Un activo perdido puede haber costado al ser adquirido significativamente menos que lo que un reemplazo costaría ahora. Por el contrario, el reemplazo de
una computadora puede costar significativamente menos que la original.

Substituto temporal
En lo que concierne a herramientas de producción y otros elementos que componen la estructura de la empresa, puede ser necesario procurar substitutos
mientras se espera un reemplazo permanente.

Esto puede ser necesario para minimizar las ventas y utilidades perdidas y prevenir las penalidades y confiscaciones que a menudo surgen cuando un
contratista no cumple. El costo del substituto temporal es debidamente asignable al evento de seguridad causado por la pérdida del activo. Los
componentes del costo del sustituto temporal podrían incluir arriendo o alquiler de mano de obra de primera calidad, tal como horas extras o turnos extras
para compensar la producción perdida.

Costo Relacionado o Consecuente

Si el personal o el equipamiento no pueden ser utilizados en su totalidad, o en lo absoluto, porque un activo se pierde por un incidente de seguridad, el
costo de inactividad también es atribuible al evento de pérdida. Esto sucede más a menudo cuando la paralización de una actividad impide la realización de
otras. La pérdida de descuentos al pagar cuentas producto de la falla de una computadora y el retraso en completar el ciclo de cuentas por pagar, son
ejemplos de ello.

Costo de los ingresos perdidos

En la mayoría de las empresas, las reservas de efectivo se mantienen al mínimo necesario para las operaciones de corto plazo. El capital restante o superávit
se invierte en títulos que producen renta. Cuanto más grande sea la empresa, más importantes son estas inversiones. Si el efectivo, que de otra manera sería
invertido, debe ser usado para procurar reemplazos permanentes o sustitutos temporales, o para pagar los costos consecuentes, los ingresos que podrían
haberse obtenido deben ser considerados parte de la pérdida. Si el ingreso de inversión no es relevante para un caso dado, entonces los usos alternativos del
efectivo podrían ser dejados de lado para satisfacer las necesidades de emergencia. En cualquiera de los casos, el uso del dinero para el reemplazo de la
pérdida representa un margen de costo adicional y se llama pérdida de ingresos. Una fórmula es la siguiente:
 I = Ingreso ganado
i = Tasa de porcentaje anual de retorno
P = Valor nominal (en dólares) disponibles para inversión
t = Tiempo (en días) durante el cual P se encuentra disponible para la inversión

Por ejemplo, los ingresos obtenidos a partir de $1,000 invertido al 10 por ciento por año durante un período de 90 días, sería de $24.66.

Reducción de Costos
Muchos costos están cubiertos, al menos en parte, por seguros. En efecto, en algunas empresas es aún una práctica considerar los seguros como el único
factor en la pérdida de protección de riesgos. Este enfoque se está volviendo menos común y está siendo reemplazado por técnicas modernas de
administración de riesgos. La administración de riesgos es un indicador general aplicado a la combinación de las funciones de prevención de pérdidas,
control de pérdidas e indemnización de pérdidas, tipificado en organizaciones comerciales antiguas por el uso en los departamentos de ingeniería, fuego,
seguridad y de seguros. Parte de la cobertura del seguro, generalmente mucho menos del total, está disponible para muchas pérdidas. En la medida que esté
disponible, ese monto debiese restarse de la combinación de costos por pérdidas enumerada anteriormente. Pero, incluso cuando se dispone de un seguro,
por lo general hay un costo de adquisición o una prima de emisión por imputables relacionada con los activos en particular por los que el reclamo al seguro
es realizado. Para ser precisos, ese costo o cuota debe ser restado del seguro disponible, antes que el seguro sea, a su vez, usado para compensar el costo de
la pérdida.

Fórmula de Costos de Pérdida

Asumiendo una posición del peor escenario, y analizando cada vulnerabilidad de seguridad en búsqueda de la pérdida máxima probable para la ocurrencia
de un evento de riesgo, uno puede utilizar la siguiente ecuación:

K = (Cp + Ct + Cr + Ci) – (I – a)
K = criticidad, el costo total de la pérdida
Cp = costo de reemplazo permanente
Ct = costo del sustituto temporal
CRM = costos totales relacionados
Ci = costo de ingreso perdido
I = seguro disponible o indemnización
A = el monto de la prima de seguro asignable

El equipo de protección de activos generalmente no tiene esta información disponible inmediatamente y debe trabajar con las organizaciones financieras y
de seguros para desarrollarla. Pero, una empresa con cobertura de seguros extensa, probablemente ha acumulado mucha de esta información en el curso de
la preparación de los programas de cobertura. No es inusual encontrar muchos datos de criticidad en un departamento de seguros y alguna forma de datos
de probabilidad de riesgo de pérdidas en los departamentos de protección de activos o de seguridad. Aún menos frecuente es encontrar estos datos
combinados sistemáticamente. Sin embargo, por lógica éstos deben ser combinados para que cualquier aspecto del esquema de gestión de pérdidas cumpla
el propósito previsto. Cuando los datos de costos han sido recogidos, se puede tomar una decisión en cuanto a una criticidad adecuada.

Criterios de Consecuencia
El uso de criterios de consecuencia es otro enfoque para evaluar activos (Garcia, 2008, p. 45). También pueden ser usados criterios como daño a la
seguridad nacional, número de días para recuperarse, número de personas damnificadas o daño a la reputación de la organización. Para cada criterio, uno
necesita rangos de valor para ayudar a evaluar el valor de un activo. Estas pueden ser estimaciones cuantitativas o cualitativas. Así, el criterio y sus rangos
pueden ser ubicados en una tabla; los activos pueden ser evaluados utilizando el criterio; y crear una lista final, priorizada, de los activos. La figura 1.1
muestra un ejemplo de tabla.

Los rangos de valor están asociados con cada consecuencia. Es mejor utilizar criterios cuantitativos, puesto que son más difíciles de manipular y menos
propensos a sesgar los resultados. Sólo se debiesen utilizar de cuatro a ocho criterios, para que la tabla no se vuelva muy abultada y difícil, o el proceso
inmanejable.

La tabla 1-1 muestra criterios representativos, los que pueden o no ser aplicables a un sitio dado. Se deben elaborar consecuencias apropiadas para cada
empresa o establecimiento, y luego clasificar los activos de acuerdo a su rango. En este ejemplo, las pérdidas de vidas pueden incluir empleados, visitas,
residentes de un área, o una combinación de éstas. La pérdida de activos puede ser por robo o sabotaje. Los días sin operación pueden incluir la pérdida
inicial de producción y el tiempo para recuperarla, o bien el tiempo para recuperarla puede ser un criterio distinto. La pérdida de reputación se incluye,
porque es una preocupación seria para muchas empresas que cotizan en la bolsa; otras medidas podrían utilizar encuestas de marketing periódicas, pérdidas
ventas en un período de tiempo, o el número de menciones negativas en diarios y otros medios de circulación local o nacional. La redundancia es un
criterio útil para instalaciones que cuentan con activos únicos, como semiconductores, productos químicos o líneas de procesamiento de medicinas, o
grandes astilleros o instalaciones petrolíferas. Si la línea existe sólo en una instalación y es dañada, puede tomar un largo tiempo para que vuelva a estar
operativa. Si, por otro lado, hay otras instalaciones que pueden incrementar la producción para cubrir la pérdida, la consecuencia general puede ser menor.

En este momento hay suficiente información para proceder con el siguiente paso en el análisis de riesgos, la evaluación de vulnerabilidades. En muchas
situaciones, las amenazas u objetivos para un lugar o empresa ya han sido identificadas como parte de una evaluación global de riesgos de seguridad. Este
es un excelente ejemplo de una de las eficiencias de evaluar riesgos de seguridad en todo el sitio. Como ejemplo, la evaluación global de riesgos en una
instalación puede incluir la pérdida de un secreto comercial clave. La pérdida de esta información puede ser inaceptable para la compañía, por lo que debe
ser protegida. Esto puede ser cierto para todas las formas de información, la que puede estar en copias duras o blandas. En este caso, tanto el PPS como el
sistema de ciberseguridad tienen que proteger al activo de la amenaza definida.

1.7 EVALUACIÓN DE VULNERABILIDADES (VA)

La evaluación de vulnerabilidades (VA de ahora en adelante, por sus siglas en inglés) es el proceso de identificar y cuantificar vulnerabilidades. El término
análisis de vulnerabilidades, que es un método de identificar puntos débiles en un instalación, entidad, establecimiento o persona (ASIS, 2012), también ha
sido usado para describir este proceso. Ambos términos son aceptables y aluden al mismo punto –que uno debe evaluar el estado del PPS en una instalación
para determinar cuán bien satisface las metas y objetivos definidos. Una vulnerabilidad ha sido definida como “las propiedades intrínsecas de algo que
crean susceptibilidad a una fuente de riesgo…que puede conducir a una consecuencia” (ISO/IEC, 2009). Garcia (2008, p. 341) ofrece una definición más
simple que no confunde amenaza y riesgo: una vulnerabilidad es una debilidad que puede ser aprovechada por un adversario. Esta última definición es más
genérica y será utilizada para este discusión.

Es importante notar que la evaluación de vulnerabilidades debe ser realizada una vez para establecer la línea de base de la efectividad del PPS en relación a
las amenazas definidas; puede ser repetida para verificar la efectividad de las mejoras propuestas y luego realizarla periódicamente para verificar que el
sistema se comporta como se requiere. La VA puede proveer resultados diferentes frente a amenazas diferentes, debido a que cada elemento de un PPS se
desenvuelve en forma diferente con amenazas distintas (Garcia, 2008, p. 294). En general, un PPS integrado bien diseñado es más efectivo contra amenazas
de bajo nivel que contra amenazas de alto nivel.

1.7.1EL EQUIPO VA
Realizar un VA preciso y completo requiere de un equipo con amplia experiencia. El equipo debe ser dirigido por un especialista en seguridad. El equipo
debe incluir un ingeniero de sistemas de seguridad, un experto en respuesta, un analista de datos, un representante de operaciones y expertos en materias
específicas (tales como redactores técnicos, cerrajeros, personal de explosivos y expertos en leyes e información). Algunos miembros del equipo pueden ser
requeridos sólo ocasionalmente, otros permanentemente. El líder del equipo debe tener experiencia en diseño de sistemas de seguridad y administración de
proyectos. El ingeniero de sistemas de seguridad requiere entender las tecnologías de detección, demora y respuesta y la integración de sistemas de
seguridad. Los expertos en respuesta tienen que saber de armas, tácticas de vigilancia y entrenamiento, planificación de contingencias y emergencias y de
técnicas de investigación. El analista de datos contribuye con su conocimiento de modelación computacional para predecir el desempeño del sistema. Ella o
él puede ser un ingeniero de sistemas de seguridad, un experto en respuesta o demora, o un experto en alguna materia. Dependiendo de la instalación y de
las amenazas que se enfrentan, el equipo puede necesitar un experto en seguros, explosivos y otras materias especializadas para evaluar amenazas y
establecer metas de desempeño para el sistema diseñado. Adicionalmente, información sobre las operaciones en el sitio o sobre los impactos operacionales
de los cambios propuestos se pueden obtener de los departamentos de seguridad ocupacional, producción, legal u otros representantes.

Una vez que el equipo ha sido formado, la primera fase del proceso de diseño y evaluación puede comenzar –definiendo las metas y objetivos del sistema.
El resultado de esta etapa debe ser un diseño base de amenazas o un espectro de amenazas, así como un conocimiento de todos los activos de la instalación
y sus consecuencias asociadas a la pérdida. A continuación se debiese realizar una investigación del sitio para realizar una caracterización completa de la
instalación, incluyendo una descripción de todos los elementos de seguridad actuales. En este punto, se puede analizar el sistema base para hacer una
estimación inicial de la efectividad del sistema. Si el valor de riesgo es aceptable, el sistema existente es satisfactorio; si no, el PPS debe ser rediseñado o
mejorado para disminuir los riesgos en la instalación.

1.7.2CONCEPTOS DE VA
Debido a que el PPS es un sistema, el VA debe asumir una mirada holística para exponer de forma efectiva vulnerabilidades que pudiesen permitir un
ataque efectivo. El mayor error que se puede cometer al realizar un VA es concentrarse en los componentes individuales del PPS y enfocar mejoras sólo en
ese nivel, en vez de hacerlo en el sistema global. Por ejemplo, un VA puede notar que una valla tiene un agujero. Esto va seguido de la recomendación de
que se debe reparar la valla, lo que a su vez implica que ello resultará en una mayor efectividad del sistema. Reparar el agujero volverá la valla más
estéticamente agradable y dará la imagen de que la seguridad es tomada en serio en el sitio. Sin embargo, la reparación por sí misma no mejorará
necesariamente la seguridad. Puede haber muchas razones para esto. Un VA que se centra en el sistema, no en los componentes, expone otros factores:
¿Qué pasa si la valla se encuentra sólo en dos lados de la instalación? ¿Qué pasa si hay árboles o una estructura de una parada de autobús cerca de la valla?
¿Qué pasa si el agua ha erosionado algunos sectores bajo la valla? ¿Qué pasa si algunos camiones se estacionan cerca de la valla? ¿La valla está ubicada
alrededor de un cerro que facilita saltar por encima de ella? Todos estos son métodos para traspasar una valla fácilmente y ninguno requiere mucha
habilidad o equipamiento. Una evaluación que se enfoca sólo en reparar el agujero en la valla puede dejar de notar otros medios, tan válidos como estos,
para pasar la valla. Estas son, pues, todas las vulnerabilidades de la valla que pueden ser aprovechadas por una amenaza durante un incidente. El Capítulo
11, Análisis de un Sistema de Protección Física, describe como estos métodos de derrota se pueden incorporar en un VA y ser usados para prevenir la
efectividad del sistema.
Todos los PPS tienen alguna debilidad, por ello siempre habrá algún riesgo. La clave para un VA es evaluar detalladamente el PPS de un sitio, para que
todos los caminos a un activo estén igualmente protegidos, y considerar qué vulnerabilidades existen dadas las amenazas definidas, considerando la
motivación, herramientas, competencia y conocimiento (Garcia, Vulnerability, 2006, p. 1). Es por esto que una detallada definición de amenazas es crítica
para un VA y la subsecuente evaluación de riesgos.

1.7.3OBJETIVOS DE UN VA
La parte principal de un VA es la caracterización de la instalación, que es la evaluación del PPS de la instalación. Esto se realiza generalmente con un
estudio del sitio. El objetivo de un VA es identificar los componentes del PPS en las áreas funcionales de detección, demora y respuesta, y reunir datos para
estimar sus rendimiento en relación a amenazas particulares. Un PPS se caracteriza tanto a nivel de componentes como de sistema, y se documenta las
maneras en que la amenaza puede derrotar al PPS. La recopilación de datos es esencial, puesto que los datos precisos son la base de un verdadero análisis
de la capacidad de un PPS para cumplir sus objetivos definidos.

Comenzando por un recorrido de la instalación, el equipo de VA reúne información sobre la distribución de la instalación, la ubicación de los activos
principales, las operaciones de la instalación, las capacidades de producción, la ubicación y el tipo de componentes del PPS. Una caracterización de PPS
también requiere revisar documentos importantes y entrevistas con personal relevante en todos los niveles. Las entrevistas ayudan a clarificar la
información y generan conocimientos de los procedimientos operativos de la instalación. La realización de pruebas es una forma valiosa para evaluar la
efectividad de un PPS. Las pruebas de evaluación pueden ser de varios tipos, tales como funcionales, de operatividad y pruebas de desempeño. Las pruebas
funcionales verifican que un dispositivo está en su lugar y se desempeña como se espera (por ejemplo, que un sensor aún entregue una alta probabilidad de
detección). Las pruebas de operatividad verifican que un dispositivo está encendido y se utiliza de forma correcta (por ejemplo, que aún apunta en la
dirección correcta). Las pruebas de desempeño repiten una prueba un número de veces para establecer una medida de la capacidad de un dispositivo en
relación a diferentes amenazas (por ejemplo, un sensor puede ser probado muchas veces, arrastrándose, caminando, corriendo, durante el día, la noche y en
diversas condiciones climáticas, para probar la probabilidad de detección y la tasa de alarmas no deseadas.

El equipo de VA también tiene que identificar los distintos estados que pueden existir en una instalación. Un VA se utiliza para establecer vulnerabilidades
en una instalación en todo momento (24/7/365). El equipo necesita determinar si un PPS es más o menos vulnerable durante los diferentes estados de la
instalación. En caso contrario, el VA estará incompleto y puede conducir a una falsa sensación de seguridad. Ejemplos de estados de una instalación
incluyen horario de operación normal, horario no operacional, una huelga en la instalación, emergencias (v.gr. incendios, amenazas de bombas),
condiciones climáticas cambiantes, cambios de turnos. Una vez que la planificación del proyecto está completa y los objetivos de protección comprendidos,
el equipo de VA debe visitar la instalación y comenzar a recopilar datos.

Detectar, demorar y responder son las tres funciones primarias de un PPS. Detección es descubrir una acción, cubierta o descubierta, de un adversario.
Medidas esenciales para la efectividad de la función de detección son (1) la probabilidad de detectar la acción del adversario y (2) el tiempo requerido para
reportar y evaluar la alarma. Incluido en la función de detección está el control de entrada –es decir, permitir la entrada a personal autorizado y detectar el
intento de ingreso de personal o material no autorizado. Medidas de efectividad para el control de entrada son el rendimiento, la tasa de falsa aceptación y
la tasa de falsos rechazos. El rendimiento es el número de personal autorizado permitido para ingresar por unidad de tiempo, asumiendo que todo el
personal que intenta entrar está autorizado para ingresar. La tasa de falsa aceptación es la tasa de ingreso permitido de identidades o credenciales falsas,
mientras que la tasa de falsos rechazos es la frecuencia en que se le niega el acceso a personal autorizado. La detección también puede ser provista por la
fuerza de respuesta (oficiales de seguridad, ya sea en un puesto fijo o patrullando). Una vez que una alarma ha sido iniciada y reportada, es el momento de
iniciar la evaluación. Un sistema de evaluación efectivo entrega dos tipos de información: si la alarma es válida o si es una alarma no deseada, y aspectos
esenciales acerca de la causa de la alarma –qué, quién, dónde y cuántos.

La demora es la segunda función primaria de un PPS. Se refiere a retrasar el progreso del adversario. La demora se puede lograr de varias maneras, tales
como con el personal, barreras, cerraduras y demoras activadas. El personal de la fuerza de respuesta puede ser considerado un elemento de demora si está
desplegado en posiciones fijas bien protegidas. La efectividad de la demora se mide por el tiempo requerido por el adversario (posterior a la detección) para
sobrepasar cada elemento de la demora. El adversario puede ser demorado antes de la detección, pero esta demora entrega poco valor, porque no entrega
tiempo adicional para responder. Cualquier uso de la demora previo a la detección sirve primariamente como disuasión.

La función de respuesta consiste en acciones de oficiales de seguridad para evitar el éxito del adversario. Consiste en interrupción, lo cual significa que
suficientes oficiales de seguridad deben llegar muy rápido al lugar correcto para detener el progreso del adversario. La respuesta requiere de comunicar a
los oficiales de seguridad la información precisa sobre las acciones del adversario y el despliegue de los oficiales. La efectividad de la respuesta es medida
por el tiempo entre la recepción de la comunicación de la acción de un adversario y la interrupción de la acción de ese adversario.

El término despliegue describe las acciones de la fuerza de respuesta desde el momento en que recibe una comunicación hasta que se encuentra en posición
de interrumpir al adversario. La efectividad del despliegue se mide en términos de la probabilidad de desplegarse hacia la ubicación correcta (la ubicación
del adversario) y el tiempo requerido para hacerlo.

Si el PPS de un sitio se desvía de la integración funcional de detección, demora y respuesta, probablemente el sitio es más vulnerable. Esta vulnerabilidad
aumenta el riesgo de la empresa. Algunas características del PPS implican un nivel de aceptación de riesgo por parte de la organización. Ejemplos de esto
incluyen la falta de una respuesta inmediata ante ataques a activos críticos, demora sin detección, detección de intrusos sin una evaluación integrada de la
alarma, o falta de integración de las múltiples capas de seguridad. La cantidad de protección requerida es una función del valor del activo y de la tolerancia
al riesgo de la empresa.

El trabajo principal del equipo de VA es determinar la efectividad del sistema de seguridad (Garcia, Vulnerability, 2006, p. 1). Después de que se ha
realizado el VA, se debe evaluar el PPS para asegurar que satisfaga los objetivos de protección. El análisis no debería estudiar cada característica del PPS
por separado, sino tener en cuenta que un sistema de características está trabajando en conjunto (Garcia, 2008, p. 3).

Después de analizar los datos de la instalación, el equipo de VA reporta los resultados de una forma en que sea útil para los administradores de la
instalación. La meta es proveer información precisa, sin sesgos, que defina claramente la efectividad del PPS actual, junto con soluciones potenciales si es
que el sistema en uso no es efectivo. El reporte de VA le informa a la administración de la instalación el estado del PPS y solicita las mejoras que puedan
ser necesarias. El reporte de VA también es usado en proyectos posteriores que aborden las vulnerabilidades y mejoren el PPS. Gran parte de este esfuerzo
es descrito en el Capítulo 12, Implementación del Sistema de Protección Física.

El reporte puede ser formal o informal, oral o escrito, y puede tomar la forma de un breve resumen o a través de un enfoque más largo y detallado. La
forma de reportar y el contenido es un aspecto del acuerdo del proyecto, generalmente siguiendo las prácticas del cliente o de la instalación bajo
evaluación. Independiente del estilo de la presentación y documentación, se debe incluir cierto contenido para hacer un reporte comprensible y útil para la
administración de la instalación. Un reporte de VA es un documento poderoso y no debe ser compartido indiscriminadamente. La protección del reporte
final, así como su distribución apropiada, debe ser definida en el acuerdo del proyecto principal. Una organización debe mantener el control sobre los
documentos y su distribución, a pesar que otras organizaciones puedan tener copias.

Como mínimo, el reporte de VA debe incluir una descripción de la instalación, sus operaciones y productos principales, las amenazas definidas y los
activos identificados, cualquier limitación relacionada con el VA o el sitio, una descripción y observación general de los componentes del PPS existente, el
por qué estas observaciones conducen a vulnerabilidades, una sección que muestre la línea de base del análisis de la efectividad del sistema, y cualquier
potencial mejora o cambio que se pueda realizar al PPS para incrementar su desempeño. Si se proponen mejoras, se debe presentar un análisis utilizando
las mismas herramientas que aquellas de la línea de base, para demostrar de qué manera los cambios aumentarán la efectividad del sistema. Se recomienda
el uso de imágenes para enfatizar aspectos clave o documentar las vulnerabilidades. Información detallada de cómo hacer un reporte de VA se puede
encontrar en Garcia (Vulnerability, 2006, pp. 298-305). Después que el reporte de VA está completo, la respuesta más común es que la instalación intente
mejorar el PPS si el riesgo es alto, siguiendo las recomendaciones del equipo de VA. Un VA puede ser entendido como el análisis de los requerimientos del
sistema que deben ocurrir previo al diseño e implementación del sistema. Las mismas características que, en principio, vuelven débil a un PPS en
particular, pueden limitar la efectividad de cualquier mejora si no son consideradas con atención. El proceso de mejorar un PPS puede ser fácil y rápido si
las recomendaciones involucran sólo procesos o cambios de equipamiento menores, como reemplazar un tipo de cámara de CCTV con otra. Sin embargo,
si el sistema requiere mejoras de equipamiento mayores, será esencial utilizar un enfoque apropiado y cuidadoso para mejorar el diseño.

1.7.4EVALUACIÓN DE RIESGOS
En este punto, todos los aportes requeridos para hacer una evaluación de riesgos están en su lugar. Como se definió anteriormente, las evaluaciones de
riesgos entregan información que responden a tres preguntas: ¿Qué puede salir mal? ¿Cuál es la probabilidad de que salga mal? ¿Cuáles son las
consecuencias? Se utiliza un VA para apoyar la evaluación de riesgo al contestar la primera pregunta (¿Qué puede salir mal?). Después de que todos los
datos apropiados han sido recogidos, se lleva a cabo un análisis de riesgo para establecer la efectividad del sistema de seguridad para proteger activos en
contra de amenazas definidas. La efectividad del sistema varía con las amenazas. En la medida que aumenta la capacidad de la amenaza, el desempeño
individual de los elementos de seguridad, o del sistema como un todo, disminuirá. Es por esto que se debe realizar un análisis de riesgo que considera el
espectro de amenazas completo.

La efectividad del sistema, que es una medida de la vulnerabilidad del sistema, combina la amenaza y el valor de los activos para determinar la línea de
base del riesgo. Si el riesgo es aceptable, el equipo de VA documenta los resultados y archiva el reporte para referencia futura. Si el riesgo no es aceptable,
se deben proponer opciones para afrontar los riesgos identificados.

Dos enfoques básicos de análisis se utilizan en un VA basados en –cumplimiento o bien basados en desempeño (Garcia, Vulnerability, 2006, p. 22). Los
enfoques basados en el cumplimiento dependen de la conformidad con políticas o regulaciones específicas; el indicador para este análisis es la presencia de
los equipos y procedimientos especificados. Los enfoques basados en desempeño, por otra parte, evalúan cómo opera cada elemento de un PPS y en qué
contribuye a la efectividad global del sistema. El uso de sistemas de cumplimiento (o basado en características) es sólo efectivo en contra de amenazas
bajas, cuando los activos tienen una baja consecuencia de pérdida, o cuando se han realizado análisis de costo-beneficio que documentan que las medidas
de protección física no son la opción más rentable. Un análisis basado en el cumplimiento es más fácil de realizar, porque la medida de la efectividad del
sistema es simplemente la presencia del equipo, procedimientos y personas prescrito en el PPS. El análisis consiste de una revisión de la conformidad de la
instalación a los requisitos de cumplimiento, la utilización de listas de verificación para documentar la presencia o ausencia de los componentes y un
reporte de deficiencia que señale dónde la instalación está fuera de cumplimiento. El reporte de VA resume estos resultados y la instalación hace las
mejores de acuerdo a las políticas de la empresa. Existen muchas fuentes de listas de verificación y pueden ser modificadas para su uso en un sitio
particular (v.gr. Hess & Wrobleski, 1996). La premisa que subyace a un enfoque basado en el desempeño es que la efectividad global del sistema es una
meta del VA, y que todos los dólares gastados en elementos del PPS debiesen resultar en un incremento de la protección, junto con cumplir con los
requerimientos. Se recomiendan los análisis basados en desempeño.

El mismo proceso de seis pasos se usa tanto en análisis basados en desempeño cualitativos y cuantitativos:

1. Crear un diagrama secuencial de adversarios para todas las ubicaciones de los activos.
2. Conducir un análisis de ruta.
3. Realizar un análisis de escenario.
4. Completar un análisis de neutralización, si es apropiado.
5. Determinar la efectividad y los riesgos del sistema.
6. Desarrollar y analizar mejoras a la efectividad del sistema si el riesgo no es aceptable.

Estos pasos están descritos más en detalle en el Capítulo 11, Análisis de un Sistema de Protección Física. De momento, es suficiente señalar que el riesgo
registra la relación entre amenazas, el valor de los activos y la efectividad del sistema, y generalmente se muestra de la siguiente forma:

R=TxAxV
R = riesgo residual
 T = amenaza, la combinación definición de amenaza y probabilidad de ataque
A = activo a ser protegido
V = vulnerabilidad, representada por la efectividad del sistema

Después que el riesgo residual es calculado, se incluye en el reporte de VA y se presenta a la gerencia senior. En ese punto, la decisión de aceptar el riesgo
o financiar las mejoras al PPS recae en la gerencia.

Esta sección describió el proceso para establecer las metas y objetivos del PPS. Estos objetivos incluyen la definición de amenaza, la identificación de
activos y el establecimiento de límites aceptables de riesgo para facilitar el diseño del sistema o antes de que los equipos sean comprados. El riesgo es
estimado a través del uso de la evaluación de vulnerabilidades, y cada empresa debe determinar cuánto riesgo es aceptable. Además, se explicaron los
conceptos clave de una visión de sistema, por sobre una visión de componentes, y de integración de sistema. Se entregaron procesos para definir amenazas
y evaluar activos, y se describió una visión general de la evaluación de vulnerabilidades. También se introdujo el proceso básico de análisis de riesgos.

REFERENCIAS

ASIS International. (2012). International glossary of security terms. Available: www.asisonline.org/library/glossary/index.xml [2012, April 12].

ASIS International. (2009). Facilities physical security measures guideline. ASIS SPC.12009.Alexandria, VA: ASIS International.

ASIS International. (2009). Organizational resilience: Security, preparedness, and continuity management systems—Requirements with guidance for use—
American national standard. ASIS GDL FPSM-2009. Alexandria, VA: ASIS International.

Broder, J. F. (2006). Risk analysis and the security survey, 3rd ed. Boston, MA: Butterworth-Heinemann.

Catrantzos, N. (2010). Tackling the insider threat. Alexandria, VA: ASIS Foundation.

Fisher, R. J., & Green, G. (1998). Introduction to security, 6th ed. Boston, MA: Butterworth-Heinemann.

Garcia M. L. (2006). Risk management. In M. Gill (Ed.), The Handbook of Security. New York, NY: M, Palgrave MacMillan.

Garcia, M. L. (2006). Vulnerability assessment of physical protection systems. Boston, MA: Elsevier.

Garcia, M. L. (2008). The design and evaluation of physical protection systems, 2nd ed. Boston: Butterworth-Heinemann.

Grose, V. L. (1987). Managing risk: Systematic loss prevention for executives. Arlington, VA: Omega Systems Group.

Haimes Y. Y. (1999). Risk management. In A. Sage & W. Rouse (Eds.), Handbook of systems engineering and management. New York, NY: John Wiley
& Sons.

Hess, K., & Wrobleski, H. (1996). Introduction to private security, 4th ed. Minneapolis/St. Paul: West Publishing.

Hoyland, A., & Rausand, M. (2004). System reliability theory (2nd ed.). Hoboken, NJ: John Wiley & Sons.

ISO/IEC. (2009). ISO/IEC guide 73:2002: Risk management—vocabulary—guidelines for use in standards. Geneva: ISO.

Kaplan, S., & Garrick, B. J. (1981). On the quantitative definition of risk. Risk analysis, Vol. 1, No.1.

Kumamoto, H., & Henley, E. J. (1996). Probabilistic risk assessment and management for engineers and scientists, 2nd ed. Piscataway, NJ: IEEE Press.

Martin, J. N. (1997). Systems engineering guidebook: A process for developing systems and products. Boca Raton, FL: CRC Press.

________________________________________
1 Nota del Traductor: En inglés el concepto de insider hacer referencia a cualquier miembro aceptado de un grupo quien, en consecuencia, tiene información especial o sensible, o bien
influencia sobre éste.
2N. del T: el concepto anglosajón safety es traducido y entendido tanto como seguridad ocupacional como prevención de accidentes. Para evitar confusiones con el concepto de riesgo
asociado al concepto de seguridad, en el presente manual safety será traducido como seguridad ocupacional.
ÍNDICE DE FIGURAS

1-1 Ejemplo de Tabla de Consecuencia

4-1 Sensor de Rotura de Cristal

6-1 Niveles de Luz Natural y Visual

6-2 Mediciones de Reflectancia
6-3 Temperatura Color
6-4 Índice de Reproducción Cromática
6-5 Eficacia Luminosa, Vida y Costo
6-6 Tiempos de Encendido y Reencendido de Lámparas
6-7 Iluminación y Percepción de Seguridad
6-8 Guía para los Niveles Mínimos de Iluminación

7-1 Multiplexación en un Par de Cables

7-2 Elementos de Multiplexación
7-3 Sistema de Multiplexado Simplificado por División de Tiempo
7-4 Distribución Típica para División de Frecuencia Multiplexada
7-5 Inversor de Frecuencia
7-6 Separador de Banda
7-7 Ubicación de los Controles del Operador en una Consola AC&D

9-1 Clasificación de Underwriters Laboratories

12-1 Proceso de Diseño de Sistemas

12-2 Análisis de Requerimientos
12-3 Tabla de Elaboración de Contramedidas
12-4 Ejemplo de Formato de Estimación de Costos
12-5 Plano Típico de una Planta
12-6 Simbología Típica del Dibujo de Dispositivos
12-7 Elevación de Puerta de Seguridad
12-8 Ejemplo de Diagrama de Canalización
12-9 Ejemplo de Programación Puerta
12-10 Ejemplo de Programación de Cámaras
12-11 Ejemplo de Estimación
INTRODUCCIÓN A LOS SISTEMAS DE PROTECCIÓN FÍSICA
Este libro describe el diseño y evaluación de un Sistema de Protección Física (PPS de ahora en adelante, por sus siglas en inglés). Un PPS es una parte
importante de la seguridad global de un sitio o de una empresa.

ASIS International (2009, Facilities) define la seguridad física como:

la parte de la seguridad relacionada con los medidas físicas destinadas a proteger a las personas; para evitar el acceso no autorizado a los equipos,
instalaciones, materiales y documentos; y para protegerlos contra un incidente de seguridad.

La seguridad física utiliza las personas, los procedimientos y la tecnología (hardware y software) para proteger activos. Los componentes de hardware de
un PPS incluyen sensores, cámaras, iluminación, monitoreo de alarmas dispositivos de equipos, control de entrada y salida, barreras y equipos de
vigilancia, tales como radios, esposas, dispositivos de coacción y armas. Las personas, los procedimientos y la tecnología se combinan para proveer las
funciones de un PPS. Las principales funciones de un PPS son la detección, la demora y la respuesta, una función secundaria es la disuasión (Garcia, 2008,
pp 2-6).

El desarrollo de un sistema de seguridad comienza con una definición del problema a resolver y la determinación de las metas y objetivos del sistema. Las
principales etapas son diseño, análisis e implementación. Dentro de la fase de diseño, el equipo y las medidas de seguridad específicas se dividen en cuatro
grupos, de acuerdo a la función (disuasión, detección, demora y respuesta).

Este libro organiza el desarrollo de un sistema de protección física de la siguiente manera: Los sistemas de protección física plantean muchas
consideraciones legales. Se anima a los lectores a consultar el volumen de asuntos legales de protección de activos.
 PARTE I

METAS Y OBJETIVOS DE UN SISTEMA DE PROTECCIÓN FÍSICA

Esta parte del libro aborda la importancia de la definición de las metas y objetivos del sistema de protección física. Su discusión se presenta en el capítulo
1, Definición del Problema.
 PARTE II

DISEÑO DE UN SISTEMA DE PROTECCIÓN FÍSICA

Esta sección describe los principios y conceptos del diseño de alto nivel que conducen a un PPS efectivo. Como se señaló en el Capítulo 1, el proceso se
basa en las metas y objetivos del PPS, específicamente considerando las amenazas y activos en un sitio. El Capítulo 1 también definió las funciones
primarias de un PPS como detección, demora y respuesta, y dejó a la disuasión como una función secundaria. La Parte II describe en detalle cada función,
examinando los criterios utilizados para seleccionar tecnologías e integrarlas con el personal y los procedimientos con el fin de alcanzar los objetivos del
sistema.

Una inadecuada selección, instalación, mantenimiento, operación o integración del sistema, son las causas principales de vulnerabilidades en un PPS. Estos
factores son agravados por una inadecuada o limitada capacitación del personal de operaciones y mantenimiento, así como por procedimientos ineficaces o
inexistentes.

La Parte II, Diseño de un Sistema de Protección Física, está organizada de la siguiente manera:
 CAPÍTULO 2
PRINCIPIOS Y CONCEPTOS
DE DISEÑO

Se ha discutido la efectividad de las funciones de un PPS, detección, demora y respuesta, y las relaciones entre ellas. Además, todos los elementos de
hardware del sistema deben estar adecuadamente instalados, mantenidos y operados. Los procedimientos de un PPS deben ser compatibles con los
procedimientos del sitio y estar integrados dentro del diseño del PPS. Capacitar al personal en las políticas, procedimientos y operación del equipamiento
también es importante para la efectividad del sistema. Los objetivos operacionales, de seguridad y de seguridad ocupacional (safety) deben cumplirse en
todo momento.

2.1 CARACTERÍSTAS DE UN PPS

Un PPS bien diseñado tiene las siguientes características:

• Protección en profundidad
• Consecuencias mínimas de fallas de componentes
• Protección equilibrada

PROTECCIÓN EN PROFUNDIDAD
2.1.1
Protección en profundidad significa que para cumplir la meta, el adversario debe evitar o derrotar un número de dispositivos de protección en secuencia.
Por ejemplo, un adversario podría tener que derrotar a un sensor para penetrar dos barreras separadas antes de poder acceder a una sala de control de
procesos o un archivador en el área de cálculo de costos del proyecto. Las acciones y los tiempos requeridos para penetrar cada una de estas capas no tienen
que ser necesariamente iguales, y la efectividad de cada una puede ser diferente, pero cada una requerirá un acto distinto y separado del adversario que se
mueve a lo largo de la ruta de acceso. El efecto sobre el adversario de un sistema de seguridad que provee protección profunda será
• aumentar la incerteza sobre el sistema
• que se requiera una preparación más exhaustiva antes de atacar un sistema, y
• crear pasos adicionales en los que el adversario pueda fallar o abortar la misión.

CONSECUENCIAS MÍNIMAS DE FALLAS DE COMPONENTES

2.1.2
Es poco probable que se desarrolle y opere un sistema complejo que no sufra fallos de sus componentes durante su vida útil. Las causas de fallas de
componentes en un PPS son numerosas e incluyen desde factores medioambientales (que pueden ser esperados) a acciones de un adversario que superan el
rango de amenazas utilizado en el diseño del sistema. Aún cuando es importante conocer las causas de las fallas de componentes para restablecer el normal
funcionamiento del sistema, es más importante proveer planes de contingencia, de manera que el sistema pueda continuar operando. En algunos casos será
altamente deseado que algunas partes de estos planes de contingencia se implementen automáticamente (para que los equipos redundantes tomen
automáticamente la función del equipo que no funciona). Un ejemplo de esto es la presencia de equipos de respaldo de energía en una instalación. En el
evento que un adversario desactive la fuente primaria de energía, generadores o baterías pueden usarse para darle energía al sistema. Algunas fallas de
componentes podrán requerir de ayuda de fuentes externas al complejo para minimizar el impacto de la falla. Un ejemplo de esto es el uso de la fuerza
pública local para complementar al personal de seguridad en un aeropuerto en tiempos de alerta mayor. En este caso, la falla de componentes es la falta
temporal de las fuerzas de respuesta suficientes bajo las nuevas condiciones de amenaza.

PROTECCIÓN EQUILIBRADA
2.1.3
Protección equilibrada significa que no importa de qué manera un adversario intenta alcanzar su objetivo, él se encontrará con elementos efectivos de un
PPS. Considere, por ejemplo, la superficie de barrera que rodea una habitación. Esta superficie puede consistir de lo siguiente:
• paredes, pisos y techos de diversos tipos
• ventanas y puertas de diversos tipos; escotillas de equipos en pisos y techos
• aberturas de calefacción, ventilación y aire acondicionado con diversos tipos de rejillas

En un sistema completamente equilibrado, el tiempo mínimo para penetrar cada barrera será igual y la probabilidad mínima de detectar una penetración a
cada una de estas barreras debiese ser igual. Sin embargo, el equilibrio completo probablemente no es ni posible ni deseable. Determinados elementos,
como las paredes, pueden ser extremadamente resistentes a la penetración, no debido a los requerimientos de protección física, sino por requerimientos
estructurales o de seguridad ocupacional.

Las demoras que entregan puertas, escotillas o rejillas, pueden ser considerablemente menores que las de las paredes y aun así ser adecuadas. No hay
ventaja alguna en sobre diseñar instalando una puerta costosa que tomará varios minutos para penetrar con explosivos, si la pared que la rodea es de yeso
normal, el que puede ser penetrado en pocos segundos con herramientas de mano.

Por último, las características diseñadas para proteger contra una tipo de amenaza no deben ser eliminadas, porque sobreprotegen contra otra amenaza
distinta. El objetivo debe ser proveer protección adecuada contra todas las amenazas a través de todos los caminos y mantener un equilibrio con otras
consideraciones, tales como los costos, la seguridad ocupacional y la integridad estructural.
2.2 CRITERIOS DE DISEÑO

Cualquier proceso de diseño debe contener criterios sobre los cuales los elementos del diseño serán evaluados. Estos criterios pueden estar basados en
rendimiento o en características. Un proceso de diseño basado en criterios de rendimiento seleccionará elementos y procedimientos de acuerdo a la
contribución que realizan al rendimiento global del sistema. La medida de efectividad será el rendimiento global del sistema. Al establecer una medida
sobre el rendimiento global del sistema, estos valores pueden ser comparados con sistemas existentes (línea de base) y sistemas mejorados, y así se puede
determinar cuánto se ha mejorado. Este aumento en la efectividad del sistema puede así ser comparado con el costo de implementar las mejoras propuestas,
y respaldar así el análisis de costobeneficio.

Un enfoque de criterios de características selecciona elementos o procedimientos que satisfagan los requerimientos de algunos elementos presentes. La
medida de efectividad es la presencia de estas características. El uso de un enfoque de criterio de características en regulaciones o requerimientos que se
aplican a un PPS deben, generalmente, ser evitados o tratados con sumo cuidado. El enfoque de criterio de características puede conducir a utilizar un
método de listas de verificación para determinar si el sistema es adecuado, basado en la presencia o ausencia de las características requeridas. Claramente
esto no es deseable, dado que lo que interesa es el rendimiento general del sistema, más que la mera presencia o ausencia de determinadas características o
componentes del sistema. Por ejemplo, un criterio de rendimiento para un sistema de detección de perímetro sería que el sistema sea capaz de detectar a un
intruso en acción que utiliza cualquier método de ataque. Un criterio de características para el mismo sistema de detección podría ser que el sistema incluya
dos tipos específicos de sensores, tales como detección de movimiento y un sensor de vallas.

Las técnicas de diseño conceptual presentadas en este texto están fundadas en enfoques basados en rendimiento para alcanzar los objetivos del PPS. Gran
parte del material del componente de tecnología, sin embargo, será aplicables tanto a los métodos de diseño de criterios de rendimiento como a los de
criterios de características.

Las medidas de desempeño de las funciones del PPS son:

• Detección
− Probabilidad de detección
− Tiempo para comunicar y evaluar
− Frecuencia de alarmas no deseadas
• Demora
− Tiempo para vencer los obstáculos
• Respuesta
− Probabilidad de comunicación precisa a las fuerzas de respuesta
− Tiempo para comunicar
− Probabilidad desplegarse hacia la ubicación del adversario
− Tiempo para desplegarse
− Efectividad de la fuerza de respuesta

2.3 ELEMENTOS ADICIONALES DE DISEÑO

Un PPS efectivo combina a las personas, los procedimientos y los equipos dentro de un sistema integrado que protege a los activos de las amenazas
esperadas. Los componentes de personal y tecnología son destacados con frecuencia, sin embargo el valor de los procedimientos como elementos de
protección no puede ser sobre valuado. Cambios en los procedimientos pueden ser soluciones efectivas desde el punto de vista de los costos, aun cuando
utilizados por sí mismos sólo protegerán a activos de amenazas menores. Los procedimientos incluyen no sólo los procedimientos de operación y
mantenimiento, sino también la capacitación del personal de la instalación en tener conciencia de la seguridad y de los agentes de seguridad u otras fuerzas
de respuesta sobre en qué momento y de qué forma detener a un adversario. Otra herramienta de diseño de procedimientos es el uso de investigaciones. Las
investigaciones pueden ser la respuesta a un evento de pérdida, o pueden ser utilizadas para anticipar amenazas, tales como investigaciones de antecedentes
de potenciales empleados. Independiente de cómo se utilice la herramienta de investigación, es un elemento de diseño importante en un PPS y debe ser
utilizada apropiadamente. Por supuesto, para activos críticos con pérdidas de graves consecuencias, una investigación posterior al hecho puede ser
demasiado tarde. En estos casos, se requerirá de respuestas más inmediatas para prevenir pérdidas o daños a activos críticos.

Además del uso de la herramienta investigativa, algunas compañías están destinando más recursos al uso de contramedidas de vigilancia técnica, tales
como búsquedas y barridos en busca de dispositivos electrónicos de espionaje. Este es un aspecto adicional de un sistema de seguridad que, al igual que la
protección de ejecutivos, debe ser parte de un enfoque integral de la protección de activos. El uso de hoteles y otros recintos que no son de propiedad de la
empresa para seminarios o encuentros, entrega una oportunidad para el espionaje industrial. Para estas amenazas, un gerente de seguridad puede enviar
personal al lugar de la reunión para asegurarse que la habitación o área está libre de cualquier tipo de equipo de grabación o vigilancia. Técnicas de
vigilancia técnica pueden ser utilizadas dentro de las instalaciones a diario o para eventos especiales, como una reunión de directorio, para prevenir el robo
de información.

Las mediciones de rendimiento para técnicas de investigación o de vigilancia técnica no conducen, por sí mismas, tan fácilmente a una medida de
cuantificación, como lo hacen los elementos técnicos de protección. En estos casos, descubrir al responsable por robo o daño, o la presencia de dispositivos
de vigilancia sirve como una medida de desempeño del elemento de diseño. Estas herramientas son muy útiles, pero pueden no ser suficientes para la
protección de activos críticos en una instalación. Como con cualquier diseño, los elementos de diseño utilizados para cumplir los objetivos del sistema de
protección dependerán de la amenaza, de la probabilidad de ataque y de la consecuencia de la pérdida del activo.
Muchos y distintos elementos de procedimientos diferentes pueden ser incorporados en el diseño de un sistema efectivo en una instalación. Los
procedimientos puede complementar un buen diseño técnico y una buena capacitación. Entre los procedimientos que pueden ser considerados, dependiendo
de la amenaza y del valor del activo, se incluyen triturar todos los papeles antes de su eliminación, procedimientos de bloqueo para cajas fuertes, control de
contraseñas y actualización de sistemas computacionales, búsquedas aleatorias de drogas –en conformidad con las políticas de la empresa y los
requerimientos legales- auditorías periódicas de los archivos computacionales de los empleados y la emisión de permisos de estacionamientos para
empleados y visitantes autorizados.

Como se hizo notar anteriormente, la disuasión es la función secundaria de un PPS y será abordada a continuación, seguida de una discusión de las tres
funciones primarias: detección, demora y respuesta.
 FUNCIONES DE UN PPS
DISUASIÓN

Robo, sabotaje y otros actos malévolos en una instalación pueden ser prevenidos disuadiendo o derrotando al adversario. La disuasión se logra a través de
medidas que los potenciales adversarios perciben como muy difíciles de derrotar; vuelven a la instalación un objetivo poco atractivo, por lo que el
adversario abandona o nunca intenta un ataque. Ejemplos de disuasión son los oficiales de seguridad en parques de estacionamiento, iluminación adecuada
durante la noche, señales y barreras, tales como barrotes en las ventanas. Las medidas de disuasión desalientan a algunos adversarios, pero no son
necesariamente defensas útiles contra un adversario que elige atacar a pesar de todo.

El nivel de disuasión que entrega un PPS es difícil de medir. Un PPS no puede ser considerado efectivo porque ningún adversario haya decidido atacar aún.
A la fecha, sin embargo, no existe información estadísticamente válida que apoye la efectividad de la disuasión. La percepción sobre la probabilidad de
detección y la gravedad de la pena prevista son, ciertamente, factores de disuasión, pero hay empleados que sienten que nunca serán descubiertos, por lo
que no se puede confiar en la disuasión exclusivamente. La disuasión puede servir como una primera línea de defensa, pero si el valor de un activo es lo
suficientemente alto, serán necesarias más medidas. Mientras que algunas amenazas podrán ser disuadidas, no todas podrán serlo. El capítulo siguiente,
aborda la prevención del crimen a través del diseño medioambiental y describe un enfoque importante dentro de la función de prevención.
 CAPÍTULO 3
PREVENCIÓN DEL CRIMEN
A TRAVÉS DEL DISEÑO AMBIENTAL

3.1 TEORÍA DEL CPTED

Desde la década del 70, el término, la prevención del crimen a través del diseño ambiental, (CPTED de ahora en adelante, por sus siglas en inglés; se
pronuncia “sep-ted”) ha llegado a ser la mejor manera de describir el siguiente concepto de seguridad3:

El diseño apropiado y el uso eficiente de la construcción del entorno, pueden conducir a una reducción en la oportunidad, el miedo y la incidencia
de los delitos de extraño-a-extraño, así como en la mejora de la calidad de vida (dónde y cómo vivimos, del trabajo y la diversión).

CPTED es el diseño o rediseño de un lugar para reducir la oportunidad del delito y del temor al delito a través de medios naturales, mecánicos y de
procedimientos. CPTED es una teoría de la prevención de la delincuencia basada en la criminología ambiental, es decir, la proposición de que el diseño
cuidadosamente pensado de lugares tales como edificios, parques, estacionamientos y otras estructuras en los alrededores, pueden mejorar la calidad de
vida, disuadiendo las oportunidades para el delito y reduciendo el miedo al delito. Como tal, también es compatible con una mejora de la seguridad y de
protección de los activos, y una mayor conciencia de seguridad de la organización y/o instalación donde se implementa. En esencia, el CPTED se basa en
el sentido común y en una mayor conciencia respecto de cómo las personas utilizan su espacio con intenciones legítimas y delictuales. CPTED se
implementa mejor utilizando un enfoque multidisciplinario que involucre a planificadores, diseñadores, arquitectos, paisajistas, fuerzas del orden,
profesionales de seguridad y usuarios de la instalación (residentes, empleados, etc.) trabajando en equipo. Los profesionales de seguridad y los encargados
de prevenir el crimen deben tener un profundo conocimiento de los conceptos y de la aplicación del CPTED, para trabajar eficientemente en materias de
prevención de la delincuencia, con los funcionarios locales, los profesionales de la seguridad, las autoridades encargadas del diseño de edificios, arquitectos
y otros, tanto para diseñar nuevas propiedades o renovar las existentes.

La creciente importancia del CPTED en el proceso de planificación y diseño se basa en la creencia que prevenir el delito y las pérdidas es inherente a
muchas funciones, comportamientos y actividades humanas, y no es algo que exclusivamente hace la policía o los profesionales de la seguridad. Lo que
uno hace, bien o mal, con los recursos humanos y físicos deja un legado duradero. Una vez que una propiedad está construida, es mucho más difícil y caro
hacerle cambios estructurales con fines de seguridad.

Para el profesional de la seguridad, el CPTED es un conjunto de herramientas de gestión orientadas a lo siguiente:

• Lugares. Entornos físicos (tales como edificios, oficinas, estacionamientos, parques y espacios públicos, edificios de apartamentos multifamiliares,
almacenes, escuelas, casas de culto y centros comerciales) pueden ser diseñados para producir efectos en el comportamiento, que reduzcan la
oportunidad para ciertos tipos de delitos y para el temor a esos crímenes.

• Comportamiento. Algunos lugares parecen crear, promover o permitir la actividad criminal o los comportamientos insurrectos mientras que otros
entornos provocan conductas respetuosas y obedientes de la ley.

• Diseño y uso del espacio. El rediseño de un espacio o un uso eficiente de él puede fomentar un comportamiento deseable y desalentar la
delincuencia y las conductas indeseadas.

CPTED es congruente con la misión de la seguridad de disuadir, detectar y demorar probables delincuentes.

FUNDAMENTOS DEL CPTED

3.1.1
El CPTED aborda el diseño del espacio físico para apoyar los usuarios legítimos a los que está destinado el espacio, y minimizar el comportamiento
previsible de los delincuentes. Tim Crowe (1991) refinó las ideas de Newman y clasificó las soluciones del CPTED como sigue:

• Medidas mecánicas. También conocidas como medidas de endurecimiento, las medidas mecánicas incluyen el hardware de seguridad física y la
tecnología (tales como cerraduras, cámaras de seguridad en ventanas, cercas y salidas, sistemas de control, detección de intrusos, video vigilancia y
barreras).

• Medidas humanas y organizacionales. Estas incluyen la vigilancia entre los vecinos de la cuadra, vigilancia entre los vecinos del barrio, patrullas y
puestos de seguridad, patrullas policiales, conserjes, botones de vestíbulos y cualquier persona o grupo que actúe como guardián con la capacidad de
observar, informar e intervenir.

• Medidas naturales. Las medidas naturales del CPTED emplean una buena planificación del espacio para reducir los conflictos de los habitantes
teniendo en cuenta los patrones de circulación compatibles. Las medidas naturales incluyen el tener una entrada al edificio bien definida y
organización de jardines, patios y porches para tener una visión sin obstáculos. Las medidas naturales proporcionan una orientación específica para el
uso del espacio, e incluye paisajismo arquitectónico, cunetas, bermas, bolardos, jardineras, fosos y acciones de mejoramiento de la visibilidad, tales
como iluminación y recorte de arbustos o árboles. Aún cuando es suministrada por un equipo mecánico (lámparas), la iluminación es clasificada
como un componente de vigilancia natural.
 Estas medidas se aplican con varios conceptos en mente:

• Control de acceso natural. La idea es emplear barreras tanto reales como simbólicas –incluyendo puertas, cercas y arbustos– para definir y limitar
el acceso a un edificio u otro espacio. Por ejemplo, para disuadir a los ladrones de entrar por las ventanas más bajas, uno podría plantar arbustos
densos y espinosos cerca de las ventanas o instalar dispositivos de bloqueo de ventanas o un sistema de alarmas.

• Vigilancia natural. Aumentar la visibilidad de los ocupantes y los observadores casuales aumenta la detección de intrusos o de malas conductas en
una instalación Por ejemplo, si una cerca de madera alta bloquea la visibilidad de una plataforma de descarga, esa falta de visibilidad puede invitar a
los ladrones. Por el contrario, el uso de mallas metálicas que permitan una visibilidad del área, sin obstrucciones, por trabajadores o transeúntes
puede desalentar a los ladrones. Ventanas, mirillas, espejos y otra característica del diseño que mejore la visibilidad se encuentran dentro de la
vigilancia natural.

• Refuerzo territorial natural. Este es el proceso de establecer un sentido de propiedad, responsabilidad y rendición de cuentas de los propietarios,
administradores u ocupantes para aumentar la vigilancia e identificar los intrusos. Por ejemplo, el uso de pequeños bordes de arbustos a lo largo de
las aceras en un complejo de apartamentos, marca un territorio de apartamentos individuales y desalienta a los intrusos que intenten atravesarlos.
Además, las personas prestan más atención y defienden un espacio en particular si se sienten psicológicamente dueños de ese espacio. Las medidas
de refuerzo territorial, que pueden ser físicas o simbólicas, le dicen a las personas que están en un espacio definido. El color, textura, variaciones de
la superficie y sistemas de señalización son todos parte de la territorialidad y del establecimiento de límites. Por lo tanto, es posible, a través de las
barreras reales (cercas y muros) y marcadores simbólicos (señalización de advertencia, arbustos bajos, cercas de madera bajas) alentar a los
ocupantes o empleados a defender la propiedad de personas con malas intenciones. Tales refuerzos se llaman naturales, porque son el resultado de un
uso normal y habitual del medioambiente.

• Gestión y mantenimiento. Para que los espacios luzcan bien cuidados y libres de delincuencia, deben ser mantenidos. La teoría de “ventanas rotas”
(Wilson & Kelling, 1982) sugiere que dejar las ventanas rotas u otros signos de decaimiento (por ejemplo, grafiti, basura o muebles abandonados) sin
supervisión o no reparados pueden conducir a la impresión de abandono e incrementar las oportunidades de delitos, ya que no se observa ningún
guardián. Un vehículo aparcado demasiado tiempo con un vidrio roto puede muy pronto tener otro más. El mantenimiento de un edificio, incluyendo
la iluminación, pintura, señalización, cercas, caminos y cualquier objeto roto, es fundamental para demostrar que alguien se preocupa por el edificio
y es responsable del mantenimiento.

• Apoyo a la actividad legítima. Algunos lugares son difíciles de proteger por la naturaleza de su ubicación u otras características geográficas. En
tales casos, el apoyo a la actividad legítima es esencial. Un foco de delincuencia podría ser erradicado si la policía instalara allí una subestación o el
personal de mantenimiento se trasladara para ocupar ese espacio, proporcionando el apoyo a las actividades legítimas. Las drogas y otras actividades
delictivas prosperan en espacios en los cuales los residentes y los administradores no utilizan con actividades legítimas.

Después de tomar conciencia de lo que significa el control de acceso y la vigilancia natural, el reforzamiento territorial, la administración y mantención, y
el apoyo a las actividades legítimas, un administrador de la seguridad u otra persona interesada puede abordar mucho mejor los desórdenes en la
comunidad, la violencia en el lugar de trabajo, la delincuencia callejera y los actos de terrorismo. Crowe (1991) señala que las soluciones del CPTED
deberían integrarse en las funciones de los edificios, o al menos, en el lugar donde están siendo implementadas.

La aplicación de estos conceptos diferencia al CPTED del tradicional endurecimiento de objetivos (target-hardening) y de las técnicas de fortalecimiento.
Aplicar los conceptos del CPTED en las consideraciones iniciales de la configuración del espacio y las formas de circulación de personas, vehículos,
materiales e incluso de información, ofrece importantes ventajas de eficiencia por sobre la readecuación de un lugar con fines de seguridad. En muchos
casos, el endurecimiento de los objetivos sin considerar el entorno construido crea un efecto de fortaleza, provocando en los residentes o usuarios una
sensación de inseguridad o aislamiento.

El enfoque de endurecimiento de objetivos no es típicamente arquitectónico o estético, y por lo general provoca resistencia. Para que sea efectivo, en un
programa de prevención del crimen deben participar las partes interesadas, especialmente los residentes (o empleados), en la identificación de estrategias
para el CPTED para lugares específicos que están definidos, designados y diseñados (conocido como las 3 –D) para actividades específicas.

Gráficos y Señalización para el CPTED

Un entorno o un edificio envían señales respecto del uso para el que fue previsto. Los gráficos y la señalización son sólo algunos de sus medios de
comunicación.

Un gráfico es un símbolo que transmite un mensaje gráficamente (por ejemplo, el símbolo de un hombre en los baños para hombres). La señalización se
refiere a transmitir un mensaje mediante letras o palabras. A veces, la señalización de seguridad pone sobre aviso a los usuarios de un espacio, intentando
traspasarle parte de la responsabilidad. Para obtener éxito, el edificio debe establecer claramente las expectativas o reglas básicas, tales como:

• No pisar el césped

• Ingreso bajo su propio riesgo

• Guarde sus objetos de valor

• Prohibido el paso

• Ni se le ocurra cometer un delito

La señalización también puede indicar a los usuarios cómo comportarse. Por ejemplo, en un lugar de estacionamiento, la señalización y los gráficos le
indican a los usuarios las entradas y salidas, la reducción de velocidad, los límites de velocidad, el sentido del tráfico, la importancia de guardar los objetos
de valor, la dirección del estacionamiento, que la administración no se hace responsable de las pérdidas, el uso de cámaras de vigilancia, las salidas y
alarmas contra incendio, los botones de pánico y los intercomunicadores para obtener ayuda. Por supuesto, la sola colocación de una señal no exime de
responsabilidades al propietario del edificio.

Finalmente, la señalización y los gráficos pueden ayudar a dirigir a las personas a determinados lugares o al área apropiada en un edificio/recinto
(especialmente en instalaciones de múltiples usuarios). Esto no sólo es útil para los usuarios de las instalaciones, sino que también reduce el deambular de
personas no familiarizadas con la propiedad o que no tengan buenas intenciones. Asimismo, es compatible con una atmósfera amable y al mismo tiempo
mejora la seguridad y privacidad para el resto de los ocupantes de la instalación. Lo mismo se puede lograr con un quiosco de información ubicado
adecuadamente o con un conserje o recepcionista.

Hay consideraciones de distintas categorías que afectan el uso de gráficos y señalización de seguridad:

• Consideraciones de diseño arquitectónico. El arquitecto o diseñador gráfico puede entregar asesoría sobre temas tales como el tamaño y tipografía
de las letras, la distancia desde la que se pueden leer los gráficos, la reflectividad, la iluminación necesaria, la ubicación y el público objetivo para
que observe las señales y gráficos. Por ejemplo, una señal para que sea claramente leída por una persona con una visión de 20/20 a 50 pies (15m), las
letras deben ser de al menos 6 pulgadas (15cm) de alto y los gráficos o símbolos deben ser de al menos 15 pulgadas (38cm) de alto. Algunos tipos de
letra son más fáciles que otros para leer a distancia. Los niveles de iluminación deben ser de por lo menos 20 pies-candela (215 lúmenes por metro
cuadrado) y las lámparas deben colocarse de tal manera que eviten el reflejo de la señalización.

• Consideraciones de los sistemas. Los gráficos y la señalización deben ser consistentes, uniformes y bien distribuidos. Al igual como la señalización
de salidas de incendio deben estar iluminadas en todas las escaleras, la señalización de seguridad debe estar sistemáticamente desplegada en todas las
áreas críticas.

• Consideraciones de procedimientos. Los gráficos y la señalización se pueden utilizar para aclarar los procedimientos, por ejemplo, para que los
empleados usen insignia de identificación, para que los clientes de un restorán se enteren de un cambio de nivel en el piso o para poner en
conocimiento de los compradores que estén atentos a los hurtos en las tiendas. La señalización también puede identificar las áreas “públicas” de una
instalación donde la información sensible no debería ser comentada, por ejemplo.

Los gráficos y la señalización pueden hacer que la gente tome conocimiento del uso y comportamiento en un determinado entorno. Si los usuarios o
visitantes no siguen las reglas, entonces la responsabilidad se traslada a ellas y puede cuestionarse su intención. Sin el aviso previo con señalización, las
acciones de las personas quedan a interpretación de las personas y son difíciles de cuestionar. La participación de un arquitecto desde la primera etapa
puede ayudar a un administrador de seguridad a emplear mejor la señalización y los gráficos.

3.1.2HISTORIA DEL CPTED

Los primeros estudios extensos publicados sobre la delincuencia y el medio ambiente se realizaron en el año 1920 por un grupo de sociólogos de la
Universidad de Chicago (Robert Park, Ernest Burgess, Clifford Shaw y Henry McKay). Los investigadores consideraron la desorganización social o falta
de control en la comunidad en ciertos distritos urbanos, como generadores de las altas tasas de criminalidad, que disminuían en la medida que se alejaban
del distrito central de negocios. En la elaboración de este caso, rechazaron los principios de la teoría criminológica anterior, la cual se focalizaba en las
características de los individuos como agentes causantes de la delincuencia.

Más adelante, la urbanista Jane Jacobs desarrolló conceptos acerca de “ojos en la calle” y sobre el adecuado uso de la tierra, que llevó a la creación de la
teoría del espacio defendible. Ella sugirió que el crimen residencial podría reducirse mediante la orientación de los edificios hacia la calle, distinguiendo
claramente lo público y lo privado, y la colocación de espacios al aire libre cerca de áreas de uso masivo. Su libro The Death and Life of American Cities
(1961) le entregó a la policía y a los planificadores una conciencia del valor de la vigilancia natural como herramienta de prevención del delito.

Sin embargo, el CPTED como está considerado en la actualidad, tiene su inicio en 1973 en los primeros escritos de Oscar Newman, que publicó un estudio
de las áreas residenciales y de cómo contribuyen a la victimización por los delincuentes. Su libro Defensible Space: Crime Prevention Through Urban
Design (1973) exploró la territorialidad humana, la vigilancia natural y la modificación de las estructuras existentes para reducir el crimen. Newman
sostuvo que la construcción física de un entorno residencial podría provocar comportamientos en los residentes que, a su vez, contribuyan
significativamente a su seguridad. El diseño y agrupación apropiada de los edificios pueden ayudar a los residentes a que ellos mismos puedan controlar el
área.

El espacio defendible libera actitudes latentes de los residentes sobre el control territorial, lo que les permite adoptar conductas necesarias para proteger sus
derechos y propiedades. El término espacio defendible se compone de una serie de mecanismos, las barreras reales y simbólicas, áreas muy definidas de
influencia y un mejoramiento de las oportunidades para la vigilancia, que se combinan para lograr un entorno controlado por sus habitantes. El trabajo de
Newman se convirtió en la base del CPTED.

Desde 1973 a 1975, Law Enforcement Assistance Administration, en los Estados Unidos, financió a Westinghouse Electric Corporation para que
desarrollara un estudio de cuatro proyectos que demostraran el CPTED. Estos incluían una escuela en Broward County, Florida; un centro comercial en
Portland, Oregon; proyectos residenciales en Hartford, Connecticut y Minneapolis, Minnesota; y un centro de transporte público en Washington, DC.

La investigación mantuvo los temas de territorialidad y vigilancia de Newman, pero también agregó factores sociales. Los investigadores de Westinghouse
afirmaban que es necesario que los residentes participen en el logro de los cambios físicos y operativos que puedan servir como medidas para la prevención
del delito.
En Environmental Criminology, Paul y Patricia Brantingham (1981), sostuvieron que “Los actos criminales individuales deben ser entendidos como la
confluencia de los delincuentes, las víctimas u objetivos criminales, y las leyes específicas en determinados momentos y lugares”. En la misma época,
Ronald Clacke, jefe de investigación de la prevención del delito en el Ministerio del Interior del Reino Unido, comprobó empíricamente muchos principios
claves del CPTED, tales como el espacio defendible, el desplazamiento y la difusión de los beneficios.

En 1994, el Departamento de Vivienda y Desarrollo Urbano de Estados Unidos financió una asesoría técnica y un programa de entrenamiento en el
CPTED. Severin Sorensen fue contratado para escribir un programa de capacitación del CPTED. Trabajando con Clarke, incorporó las lecciones teóricas y
prácticas aprendidas de Jacobs, Newman, Crowe y otros. El manual y el plan de estudios resultantes fueron utilizados hasta el año 2002.

En 1996, se formó la International CPTED Association (ICA, por su siglas en inglés); que entre otras actividades ofrece un programa de certificación
profesional en CPTED.

Hoy en día existen programas en todos los niveles de gobierno en Estados Unidos y Canadá, creados en gran medida después del enfoque desarrollado e
institucionalizado por la policía del Reino Unido. El trabajo del CPTED continúa desarrollándose académicamente en departamentos de sociología,
criminología y arquitectura, en asociaciones (por ejemplo, National Crime Prevention Council y ASIS International), y en recursos en línea (por ejemplo, el
grupo CPTED de LinkedIn).

El CPTED ha florecido en una disciplina académica con cuatro escuelas de pensamiento principales: la escuela de Florida, la escuela Australiana/UK, y las
escuelas este y oeste de Canadá. Todas estas escuelas mantienen los tres primeros principios del CPTED (control de acceso, vigilancia natural y
territorialidad), pero difieren en otros aspectos.

SUPUESTOS DE PREVENCIÓN DEL DELITO

3.1.3
La aplicación del CPTED requiere una comprensión de la teoría básica y práctica de la prevención del delito. El National Crime Prevention Institute (NCPI
por sus siglas en inglés) de la University of Louisville, en Kentucky, ha establecido varios supuestos operativos de prevención del delito que se aplican al
CPTED:
• Las potenciales víctimas y los responsables de su seguridad deben ser asistidos para tomar acciones informadas con el fin de reducir su vulnerabilidad
a la delincuencia.
• Las acciones que las potenciales víctimas pueden tomar para prevenir el crimen están limitadas por el control que ellos pueden ejercer sobre su
entorno.
• Se debe hacer hincapié en el entorno de la potencial víctima más que en el potencial criminal.
• La prevención del delito es práctica, no moralista, reduce la motivación criminal al disminuir las oportunidades para cometer delitos.
• Las capacidades de castigo de los tribunales y cárceles, la aprehensión policial, etc., pueden aumentar el riesgo percibido por los delincuentes y tienen
un importante papel, pero secundario, en la reducción de las oportunidades delictivas.
• Las fuerzas policiales deberían tener un rol importante en la reducción del crimen a través de la educación en la forma de prevenir el delito, en la
orientación e información al público, instituciones y otras organizaciones de la comunidad, pero debido a consideraciones presupuestarias y a la
priorización de sus recursos, las fuerzas policiales se involucran principalmente después de ocurridos los hechos, en la aprehensión y resolución, no en
la prevención del crimen.
• La prevención del crimen puede ser tanto causa como efecto en los esfuerzos de revitalizar una comunidad.
• El conocimiento de la prevención del crimen está en continuo desarrollo y es de naturaleza interdisciplinaria; los profesionales deberían analizar
continuamente las prácticas exitosas, las nuevas tecnologías y compartir sus hallazgos.
• Las estrategias de prevención del crimen deben centrarse en el acto, no en el agresor.
• Las estrategias de prevención del crimen deben ser flexibles y creativas. Lo que funciona en una determinada situación puede no funcionar en otra, que
siendo muy similar, tiene diferentes características culturales, ambientales y de otro tipo.

PENSAMIENTO CONTEMPORÁNEO SOBRE CRIMEN Y CRIMINALES

3.1.4
Las características físicas de un lugar pueden influir en la decisión de un delincuente, alterando las posibilidades de detección o cambiando otros factores.
De acuerdo al Ministerio de Justicia de Nueva Zelanda (2005), los crímenes y los comportamientos antisociales ocurren con mayor frecuencia frente a las
siguientes condiciones:

• Rutas peatonales con poca iluminación, indirectas y lejos del tráfico.

• Calles, caminos y callejones con accesos a la parte trasera de los edificios.

• Gente perdida o desorientada.

• Delincuentes que pueden actuar y trasladarse hacia y desde el lugar sin temor a ser vistos.

• Delincuentes confiados en que ni ellos ni sus actividades atraen la atención o que no se tomarán medidas.

• Costados de edificios y espacios circundantes poco visibles para los usuarios o transeúntes.

• Edificios y espacios no diseñados para permitir la vigilancia exterior desde el interior y vice versa.
 • Edificios, calles y espacios dispuestos de tal forma que permiten a los delincuentes moverse alrededor y operar sin ser detectados.

• Lugares que reúnan tanto a personas propensas a agredir como a objetivos propicios para ser agredidos.

• Lugares abandonados o subutilizados que carecen de vigilancia natural.

• Entradas y salidas de edificios o la forma de acceder a asistencia que no están claramente indicados.

• Áreas muy tranquilas o muy ocupadas, según el contexto local y el tipo de delincuencia.

• Grupos de personas que sienten que no hay nada que hacer.

• Lugares que carecen de actividad en determinados momentos del día o la noche, permaneciendo accesible a los delincuentes.

• Espacios en donde no está claro si es público o privado y qué comportamiento se espera.

• Espacios privados fácilmente accesible a personas que no tienen derecho a estar allí.

• Lugares que parecen no estar bajo la supervisión de residentes locales, empresas, organizaciones u otros usuarios.

• Lugares desordenados o poco atractivos que dan la impresión de no estar siendo atendidos o donde se tolera el desorden y los delitos.

• Signos de desorden y abandono, como ventanas rotas, vehículos abandonados, o grafitis que no son retirados de inmediato.

• Ausencia de fuerzas humanas organizadas, como policías, guardias de seguridad o guardias civiles.

• Las medidas de endurecimiento del objetivo (por ejemplo, puertas, ventanas y salidas) no son adecuadas para el edificio o no están integradas,
instaladas o utilizadas adecuadamente en relación al riesgo de delincuencia que enfrenta.

• No hay ningún tipo de indicación de vigilancia organizada o mecánica.

En resumen, la probabilidad del delito aumenta cuando el potencial delincuente siente que las posibilidades de ser detectado o identificado son bajas y las
posibilidades de escapar son altas.

Un estudio de ladrones adolescentes (Erikson, 2003) descubrió que para ellos lo más importante era buscar primero una vía de escape y después el dinero.
Las cámaras y los oficiales desarmados tenían poca diferencia para ellos. Creían que podían hacer prácticamente cualquier cosa con un compañero y un
arma. Cometían especialmente robos violentos, incluyendo atracos callejeros, robo de vehículos, allanamientos a domicilios y asaltos con intimidación.
Muchos de ellos no conducían porque eran muy jóvenes para tener licencia. El 60% vivía a dos millas (3.2km) del sitio del robo, mientras que sólo el 40%
de los ladrones adultos vivía cerca de sus víctimas. La mayor disuasión provenía de barreras resistentes a balas, oficiales armados, patrullas policiales
frecuentes, puertas giratorias, sistemas de alarma, detectores de metal, vallas para evitar fugas, la buena visibilidad y la buena iluminación. Casi un tercio
de los ladrones adultos y adolescentes reconocieron que algo en el lugar les impidió cometer el robo.

Selección del Objetivo

La investigación encontró una relación entre la victimización reiterada, los puntos peligrosos y la repetición de los agresores (Weisel, 2005). Las Medidas
del CPTED pueden reducir la oportunidad presentada por las víctimas y los objetivos más probables de ser victimizados. La repetición de la victimización
refleja el éxito del delito inicial, la información obtenida de aquella experiencia y el uso de dicha información para reincidir. Algunos objetivos son
especialmente atractivos para los delincuentes o particularmente vulnerables ante el crimen. En tales casos, diferentes delincuentes victimizan
reiteradamente a la víctima u objetivo. Ciertos lugares, como las propiedades en las esquinas, pueden tener una mayor victimización porque los
delincuentes son capaces de determinar fácilmente si no hay nadie en casa. Del mismo modo, los apartamentos en la planta baja son más vulnerables a
robos si tienen puertas correderas de cristal. Algunos negocios, como las gasolineras y almacenes abiertos las 24 horas, son fácilmente accesibles y están
abiertos hasta tarde, con pocos clientes, aumentando su exposición al robo (Weisel, 2005).

La repetición de la victimización se produce en zonas de alta criminalidad. Allí, las personas y lugares se ven enfrentados a un mayor riesgo de
victimización inicial para muchos crímenes, y puede que carezcan de los medios para evitar posteriores delitos mediante una mejora de las medidas de
seguridad, y que estas mejoras se realicen rápidamente. En las zonas de alta criminalidad, la delincuencia está tan concentrada en los reincidentes que los
delitos recurrentes pueden crear focos peligrosos o áreas geográficas relativamente pequeñas en las que se agrupan los delitos. El CPTED puede aplicarse
en esos focos con el fin de aumentar la dificultad para cometer delitos y aumentar la posibilidad de ser detectados y detenidos (Weisel, 2005).

Al principio, las medidas del CPTED deben centrarse en la prevención de los actos más graves y en la protección de las personas y lugares victimizados
con más frecuencia. Los siguientes son algunos pasos para evitar la repetición de la victimización (Weisel, 2005):

• Quitar rápidamente los signos de victimización. Es importante eliminar o reparar signos obvios de daños a la propiedad lo antes posible. Las
víctimas pueden necesitar asistencia en las reparaciones. Los administradores de edificios de apartamentos deben reemplazar las ventanas, reparar las
jambas de las puertas, cambiar cerraduras y llaves, reparar las luces, recortar los arbustos que bloquean las vistas y desplegar la amplia gama de
estrategias del CPTED.

• Mejorar la seguridad física. Hacer esto aumenta la vigilancia natural, la visibilidad y el control de acceso. También reduce el ingreso sin
 autorización, traslados y cualquier otro acceso no autorizado.

• Bloquear el fácil acceso a los objetivos. Esto se puede hacer mediante la instalación de puertas, mamparas y otras barreras reales o simbólicas para
lograr que sea más difícil el acceso a objetivos y a llevarse los objetos de valor. Puede ser que cajas registradoras, máquinas expendedoras, vehículos
de servicio, cajeros automáticos (ATM), y otros artículos de alto valor deban ser retirados. En tiendas de artículos de gran valor, estos deberían ser
colocados en vitrinas cerradas. En las gasolineras, los vendedores deberían estar detrás de policarbonato resistente a roturas y balas.

• Proteger objetivos especialmente vulnerables. Algunos objetivos no pueden ser removidos, pero las puertas enrollables, los bolardos retractiles, las
cercas y las cámaras pueden denegar el acceso después de las horas de trabajo.

• Regular el acceso a los activos o áreas de alto riesgo. Puede ser necesario exigir tarjetas de identificación, permisos, tarifas de acceso a zonas como
baños, parques, escuelas y aparcamientos.

Oficiales de Seguridad Competentes

La teoría de la actividad rutinaria sugiere que la presencia de guardias competentes puede disuadir la criminalidad. Los delincuentes generalmente evitan
objetivos o víctimas a las que perciben armadas, capaces de oponer resistencia o potencialmente peligrosas. Los delincuentes suelen mantenerse lejos de las
áreas que consideran que son fuertemente patrulladas por la policía, guardias de seguridad o vecinos alertas. Del mismo modo, evitan barreras pasivas tales
como alarmas, cercas, cerraduras o barreras físicas.

Los criminales suelen buscar el camino más fácil y menos arriesgado. Los conceptos de vigilancia natural y guardianes competentes pueden ayudar a
reducir la vulnerabilidad percibida en determinado sitio y hacerlo menos atractivo a los delincuentes.

Prevención Situacional del Crimen

La prevención situacional del crimen se desarrolló a finales del los años setenta y principios de los ochenta en Gran Bretaña. Aunque influenciada por el
CPTED y los conceptos de espacio defendible, la prevención del crimen situacional procuraba reducir las oportunidades delictivas en todos los contextos,
no sólo en edificios y otros espacios.

En sus inicios, la prevención situacional del crimen consistía en una serie de medidas específicas dirigidas a reducir la oportunidad del delito, por ejemplo,
eliminando o desviando los potenciales delincuentes de las áreas objetivo. Actualmente, la prevención situacional del crimen incluye estrategias para
reducir los motivos y las oportunidades, tales como reglas de fijación de límites y estimulando la conciencia de los potenciales delincuentes. Tales
estrategias de prevención social se unen a esta nueva generación de CPTED que está emergiendo. En resumen, la prevención situacional del crimen
gestiona, diseña o manipula el entorno de manera sistemática, tan permanente como sea posible, con el fin de aumentar las dificultades y los riesgos de los
crímenes y reducir los beneficios percibidos por una amplia gama de delincuentes.

La investigación británica dio origen a cambios en las políticas de control desplazando su atención de los delincuentes (y sus personalidades,
comportamientos o procedencia) hacia el medio ambiente (es decir, factores que favorecen la conducta delictiva creando oportunidades para el delito).
Clarke (1983) contribuyó a desarrollar las técnicas de prevención del crimen que pueden ser aplicadas a casi cualquier situación. Los profesionales de la
seguridad pueden aplicar fácilmente estas técnicas en sus instalaciones. Como hace notar Sorensen et al. (1998):

La prevención situacional del crimen es el tipo de prevención que utiliza la teoría de la elección racional como su marco teórico, siguiendo una
metodología que analiza las posibilidades de que un delito específico pueda ocurrir en una situación particular y entrega soluciones para eliminar las
oportunidades delictivas.

La teoría de la elección racional utiliza el modelo en el cual el potencial delincuente sopesa los costos, riesgos y recompensas de cometer un delito
específico, en un determinado momento y lugar. Las medidas de prevención situacional del crimen son eficaces, porque son una forma práctica,
rentable y permanente de alterar el entorno físico [y] están diseñadas para adaptarse a determinados tipos de delito. Cuatro enfoques generales que
guían las técnicas de prevención situacional del crimen son: aumentar el esfuerzo (necesario para cometer el delito), aumentar los riesgos (asociados
al delito), reducir las recompensas (del delito) y eliminar las excusas (por las conductas ilícitas a través de la vergüenza o la culpa).

Los cuatro enfoques de la prevención situacional del crimen frecuentemente se logran así:

• Incrementando el esfuerzo:
− medidas de endurecimiento del objetivo, las cuales aumentan el esfuerzo mediante la creación de barreras físicas, tales como cerraduras,
cámaras, puertas de acero, cercas y cristal inastillable
− medidas de control de acceso, que aumentan el esfuerzo limitando el acceso a las áreas vulnerables
− eliminación o desviación de los delincuentes
− control de facilitadores del crimen, lo cuales limitan el acceso a las herramientas que los criminales utilizan para cometer delitos (por
ejemplo, eliminar el acceso a latas de pintura en aerosol, instalar exclusivamente teléfonos públicos para llamadas de cobro revertido,
eliminar carros de compra, remolcar vehículos abandonados

• Incrementando el riesgo:
− detección de entrada y salida, lo que aumenta el riesgo mediante el control de quién entra y sale de un área
− vigilancia formal y mecánica con sistemas de CCTV
 − vigilancia a través de empleados, conserjes, estacionadores y oficiales de seguridad
− vigilancia natural, reforzada con la colocación de ventanas adecuadas, iluminación exterior, limitando los puntos ciegos, recortando arbustos
y podando los árboles

• Disminuyendo los beneficios esperados

− Retiro de objetivos, tales como una política de no-efectivo (no-cash), depósito directo de cheques y retiro temporal de las radios de los
vehículos
− Etiquetado de objetos de valor, lo que hace más difícil la venta de ellos a los delincuentes
− Disminuir las tentaciones, por ejemplo, el uso de listas de teléfonos sin identificación del género (femenino o masculino), reparar rápidamente
las acciones de vandalismos o grafitis.
− Denegar al delincuente los beneficios, por ejemplo, a través de colocación de plantas en los muros vulnerables a los grafitis, kits de explosión
de tinta en bolsas de dinero de bancos y números de identificación del personal (PIN) para tarjetas de crédito y radios de vehículos.

• Eliminando las excusas

− Establecer reglas y límites que eliminen la ambigüedad que permita a las personas cometer delitos y excusar sus actos aduciendo ignorancia o
incomprensión

− Estimular la conciencia, a través de declaraciones contra el robo, exceso de velocidad, tabaquismo, consumo de drogas, botar basura, etc.
− Controlar los desinhibidores, por ejemplo, zonas libres de drogas, políticas libre de armas, leyes para el consumo de bebidas alcohólicas, uso
de control parental (V-chips) en las estaciones de juegos de video y restricciones de edad a sitios web pornográficos
− Facilitar el cumplimiento, es decir, haciendo más fácil la conducta deseable que la indeseable, por ejemplo, proporcionando sitios para la
basura a fin de evitar el vertedero ilegal o contenedores adecuados para la eliminación de la basura.

Espacio Defendible
Newman estudió la relación entre las características del diseño y la delincuencia en urbanizaciones públicas en New York. Los cuatro componentes del
estudio de Newman tenían por objetivo:

• Delimitar zonas reconocidas como de influencia territorial

• Proporcionar oportunidad de vigilancia para residentes y visitantes

• Ubicar las estructuras residenciales (áreas públicas y entradas) cerca de áreas seguras

• Diseñar lugares y edificios de tal manera que sus ocupantes no serán percibidos como estigmatizados o vulnerables

Los edificios y lugares percibidos como vulnerables y aislados compartían las siguientes características:

• Espacios abiertos desocupados que se encontraban desprotegidos y descuidados, facilitando la oportunidad para que residentes y foráneos participen
en actividades ilegítimas

• Lugares con acceso ilimitado y sin control, así como con numerosas vías de escape

• Falta de territorialidad y definición de límites, desalentando a los residentes a reclamar por su espacio y tomar el control del sitio, que les impedía
diferenciar a los extraños de los usuarios legítimos

• Falta de vigilancia natural y supervisión

• Conflictos de diseño, colocando actividades incompatibles una al lado de la otra

Usando su teoría del espacio defendible, Newman modificó el desarrollo habitacional implementando elementos de diseño del CPTED: cercas altas,
delimitación de caminos, tratamiento arquitectónico para diferenciar espacios privados, semi-privados, semi-públicos y públicos. El diseño del espacio
defendible debe vincular la territorialidad y la vigilancia mediante la creación de diseños que lleven a las personas a considerar la zona como dentro de su
esfera de influencia, un lugar en el que tienen la responsabilidad de prevenir el delito. Las personas que viven, trabajan o juegan en un área tienden a tener
un sentido de pertenencia y responsabilidad, por lo que tratan de proteger el área.

Posteriores proyectos de demostración del CPTED intentaron ampliar el concepto de espacio defendible a las escuelas, comercio y transporte. Tuvieron
poco éxito, ya que el comportamiento territorial es mucho menos natural en esos entornos que lo que existe en el contexto residencial. A fines de la década
del ochenta, Newman aplicó el concepto de espacio defendible al barrio Oaks en Dayton, Ohio. Controlando el acceso al barrio y reduciendo el tráfico
restringió el acceso a los narcotraficantes de los clientes de la zona. Newman también intentó, con éxito desigual, emplear altos niveles de participación de
la comunidad, atención policial adicional y programas de obtención de vivienda propia (Newman, 1996).

El trabajo posterior de Newman, haciendo eco de lo escrito por Jacobs décadas antes, hizo hincapié en que en el desarrollo de la comunidad, el propio
esfuerzo de los vecinos, tanto social como físico, es el ingrediente necesario para tener comunidades seguras. También puso en marcha los esfuerzos para
llevar el CPTED a un terreno donde la prevención social y la reducción de la posibilidad se equilibren entre sí –un nuevo campo llamado CPTED de
segunda generación.

Crowe y CPTED
Crowe (1991) pulió las ideas de Newman a través de su experiencia en los proyectos de CPTED en Whestinghouse, estableciendo una taxonomía del
CPTED ajustando los métodos a la función de la zona del crimen. Él señala (1991) que

en el enfoque del CPTED, un diseño es adecuado si se reconoce la correcta utilización del espacio, define el problema de la delincuencia circunstancial y la solución
compatible con el uso previsto, e incorpora las estrategias de prevención del delito que mejora (o al menos no perjudica) el uso eficaz del espacio.

Esto llegó a ser conocido como el método 3-D (por definición, designación y diseño). Bajo su liderazgo, a mediados de la década del ochenta, el National
Crime Prevention Institute enseñó el CPTED a miles de agentes de la policía.

Segunda Generación del CPTED

Gregory Saville y Gerar Cleveland (2008) desarrollaron la segunda generación del CPTED para volver el CPTED físico a sus orígenes en el desarrollo de
la comunidad, como lo señala Jacobs en The Death and Life of Great American Cities (1961) y Newman en Communities of Interest (1980). Esas obras
destacaron no sólo la reducción de las oportunidades físicas para el delito sino también la creación de un sentido comunitario para ayudar a reducir los
motivos causantes de la delincuencia en primer lugar. La segunda generación del CPTED ayuda a los profesionales de la seguridad a identificar los
recursos sociales dentro de la comunidad que puede mejorar un proyecto de prevención del delito.

En la segunda generación de CPTED, los apoyos a la actividad legítima de la primera generación de CPTED se refuerzan mediante el desarrollo de la
cohesión de la comunidad y un sentido comunitario más permanente. Newman (1996, p. 48) señala que las modificaciones físicas

han hecho que las personas se den cuenta de que pueden intervenir para cambiar las cosas, y….participar activamente en la política de la ciudad… (R)einvertir en la propiedad
ya no tiene que llevarse a cabo como un acto arriesgado, individual, sino como una actividad realizada en conjunto con los vecinos.

La segunda generación del CPTED emplea cuatro estrategias principales (Saville & Cleveland, 2008):

• Cohesión. Técnicas que incluyen grupos comunitarios, asociaciones de vecinos y programas de desarrollo personal (entrenamiento de liderazgo,
habilidades financieras y organizacionales, resolución de conflictos, etc.)

• Umbral de Capacidad. También conocida como teoría del punto de inflexión, esta estrategia equilibra los usos del suelo y las características
urbanas. Por ejemplo, muchas propiedades abandonadas pueden transformar un área en lugar para la delincuencia, mientras que un sano equilibrio de
propiedades para comercio legítimo, instalaciones recreativas y propiedades residenciales pueden mejorar la calidad de vida.

• Cultura comunitaria. Las actividades recreativas culturales, artísticas, deportivas y otras, reúnen gente del vecindario con un propósito común.

• Conectividad. Estrategias para que unan el barrio con otros barrios de los alrededores y para obtener apoyo político y financiamiento de
corporaciones y de niveles superiores de gobierno.

CPTED 3-D y Posterior

La siguiente es una herramienta para la evaluación de la finalidad o la designación de un espacio, su definición en términos de gestión e identidad, y su
diseño en relación a la función deseada y al manejo del comportamiento (a veces denominado las 3-D, pero que se ha ampliado aquí para incluir otros
aspectos como:

DESIGNACIÓN RESPUESTAS
¿Cuál es el propósito designado al espacio?
¿Cuál era su propósito original?
¿En qué medida ese espacio es compatible con su uso actual o previsto?
¿Existe algún conflicto? Si es así, ¿dónde y cómo?
DEFINICIÓN
¿Cómo está definido el espacio?
¿Está claro quién es el propietario del espacio?
¿Dónde están los límites del espacio?
¿Alguna definición social o cultural afecta la forma en que el espacio es o será usado?
¿Hay normas legales y administrativas claramente establecidas y que se hacen cumplir eficazmente?
¿Hay señales que indiquen el uso adecuado del espacio o que definan los límites de acceso?
¿Hay algún conflicto o confusión entre el propósito y la definición del espacio?
DISEÑO
¿En qué medida el diseño físico apoya a la función prevista?
¿En qué medida el diseño físico apoya el comportamiento deseable o aceptable?
¿El diseño físico representa un conflicto o impide el uso productivo del espacio o del correcto funcionamiento de la actividad humana
prevista?
¿Hay algún conflicto o confusión respecto de la manera en que el diseño físico pretende controlar o modificar el comportamiento?
 DISUASIÓN
¿Existe un comportamiento destinado a impedir o disuadir las actividades ilegales o no autorizadas?
¿La presencia de personal de seguridad impide la actividad ilegítima y promueve el comportamiento deseado?
¿El diseño físico y la distribución permiten una buena vigilancia y control del acceso a la propiedad?
DETECCIÓN
¿Se puede controlar el acceso a la propiedad o edificio?
¿Existe un proceso para evaluar si una intrusión es legítima o ilegítima?
¿Se logra la detección de intrusiones a través del diseño físico, los sistemas tecnológicos o el personal operativo?
¿Después de una intrusión, hay personal de respuesta u otro organismo que sea notificado?
DEMORA
¿Existen barreras pasivas?
¿Existen barreras activas?
¿Existen oficiales de seguridad u otros designados para responder?
¿Cuánta demora se necesita para detectar y responder?
RESPUESTA
¿Cuáles son las responsabilidades y órdenes del personal de seguridad de respuesta?
¿Qué equipo se requiere para dar apoyo a una respuesta completa?
¿Qué tácticas se utilizan para reaccionar con rapidez y claridad?
¿Qué capacitación se entrega para responder adecuadamente a la amenaza?
INFORME
¿Qué red de comunicación se utiliza para documentar las intrusiones o solicitud de ayuda?
¿Cuál es el protocolo escrito para los reportes de incidentes?
¿Cómo está organizada y almacenada la documentación?
¿La información es lo suficientemente clara y detallada?
DISCERNIMIENTO
¿Está el personal capacitado para distinguir entre usuarios legítimos e ilegítimos o amenazas?
¿El equipamiento es lo suficientemente sensible para distinguir entre amenazas reales o falsas?
NEUTRALIZACIÓN
¿La amenaza ha sido suficientemente disuadida?
¿El sistema ha sido reiniciado y probado para evitar la no detección o falsas alarmas?
¿Los delincuentes, atacantes o las amenazas han sido controladas y contactadas las autoridades policiales y la escena re-asegurada?
¿En caso de incendio, humo o inundaciones, se ha neutralizado la amenaza, evaluado el daño y asegurada la escena para prevenir la
contaminación o los robos?

Una vez que las respuestas han sido contestadas, el espacio se evalúa según la medida en que es compatible con el control de acceso, vigilancia natural y la
territorialidad. Las preguntas tienen el propósito de garantizar que no haya conflictos entre el espacio designado, sus actividades y los comportamientos
esperados. Por ejemplo, si un sistema de control de acceso es difícil de usar o experimenta interrupciones frecuentes los empleados optarían por mantener
las puertas abiertas para lograr que sus recorridos rutinarios sean más fáciles. Este caso, indicaría que los diseñadores de seguridad y los administradores de
la propiedad eligieron un sistema deficiente y que también fallaron en la capacitación de su funcionamiento que entregaron a los usuarios.

3.2 REDUCCIÓN DEL CRIMEN A TRAVÉS DEL DISEÑO ARQUITECTÓNICO

Al trabajar en conjunto con las agrupaciones profesionales y con la comunidad, los profesionales de la seguridad pueden integrar las características del
CPTED al diseño de las instalaciones con el fin de reducir las oportunidades para la delincuencia. La integración de CPTED durante la etapa de
planificación inicial es más rentable que hacer los cambios después que la construcción ha comenzado.

PLANIFICACIÓN Y DISEÑO DE LA CONSTRUCCIÓN

3.2.1
Diseñar sin tener en consideración la seguridad puede acarrear acciones judiciales, lesiones, costosas modificaciones y la necesidad de personal de
seguridad adicional. Las medidas de seguridad agregadas después de la construcción pueden distorsionar importantes funciones del edificio, sumar gastos
de personal de seguridad y resultar en instalaciones poco estéticas.

Proceso de Planificación Arquitectónica

Un edificio debe cumplir con criterios funcionales específicos, a partir de los cuales se elabora el diseño. El edificio tiene que permitir un eficiente
desempeño del trabajo, satisfacer las necesidades de los usuarios y protegerlos de los riesgos de seguridad ocupacional y de actos delictivos.

Los siguientes pasos ilustran un proceso típico de planificación de edificación:

• Programación. El propietario informa al arquitecto sobre el propósito del edificio y sus ocupantes.

• Diseño esquemático. El arquitecto procesa la información y desarrolla un diagrama de burbujas que refleje los patrones de circulación y las
relaciones de proximidad. Los diagramas se convierten en los planos del sitio, cimientos y elevaciones como el inicio de las consideraciones de
 ingeniería.

• Desarrollo del diseño. El arquitecto presenta las ideas al cliente y realiza las correcciones al diseño. Los dibujos se vuelven más sofisticados e
incluyen más consideraciones de ingeniería, tales como estructurales, mecánicas, eléctricas, de ventilación y otros temas de planificación. Los
dibujos se llevan a una escala más grande (lo más típico es de ¼ de pulgada a 1 pie en Estados Unidos).

• Documentos de construcción o planos de trabajo. Estos son los planos definitivos para la construcción. Todos los datos técnicos se presentan en
estos dibujos y van acompañados de las especificaciones técnicas escritas.

• Licitación para la construcción y selección del contratista. Los planos arquitectónicos y las especificaciones se publican para la licitación.

Las necesidades de seguridad deben abordarse en la fase de programación del diseño. Es responsabilidad principalmente de los propietarios o clientes el
definir las posibles amenazas a las personas, la información y la propiedad, y determinar el nivel necesario de seguridad y el presupuesto disponible para
ello. Los propietarios, clientes y desarrolladores del proyecto pueden necesitar consultar con un profesional de seguridad para desarrollas las estrategias
apropiadas.

El diseño de seguridad plantea tres desafíos a los arquitectos:

• Determinar los requisitos. El equipo de diseño debe analizar el propósito del espacio o edificio, examinar las definiciones físicas, culturales y
legales de las conductas normadas, deseables y aceptables. El espacio puede entonces ser diseñado para apoyar los comportamientos deseados y la
función que se espera del espacio. El equipo de diseño debe averiguar sobre las políticas y prácticas existentes e integrar la información al proceso de
programación.

• Conocimiento de la Tecnología. Los rápidos avances en tecnología de seguridad hacen que sea difícil mantenerse actualizado. Hoy, muchos
proyectos involucran a especialistas en sistemas de seguridad como parte del equipo. Sin embargo, los arquitectos necesitan tener un conocimiento
básico de los principios de seguridad y deben ser capaces de evaluar y trabajar con especialistas y técnicos de seguridad, así como con los fabricantes
de equipos de seguridad.

• Entender las implicancias arquitectónicas. Los diseños deben integrar los complicados y a veces contradictorios objetivos de seguridad, así como
otras variables y requerimientos del proyecto. El espacio, la función y las personas deben ser planificadas para apoyar los objetivos de seguridad de
detección, demora y respuesta a las situaciones imprevistas de tipo delictivo.

El arquitecto, entonces, convierte los requerimientos de seguridad en un programa arquitectónico. Al igual que en un menú de restorán, el programa define
qué se producirá y cuál será el costo. Los arquitectos generalmente toman las decisiones básicas de diseño como circulación, accesos, material de
construcción, ventanas y otras características que pueden apoyar o hacer frustrar los objetivos generales de seguridad. Desde este punto en adelante las
consideraciones de seguridad requerirán cambios en los planos y especificaciones, y más tiempo y dinero.

Además, muchas jurisdicciones requieren de una revisión de la seguridad por parte de la policía, como parte del proceso de aprobación de los permisos de
construcción. Los inspectores evalúan los lugares más obvios de los planos en donde puedan producirse asaltos, robos y otros delitos de oportunidad.
Muchas jurisdicciones tienen ordenanzas de seguridad que exigen ciertos niveles de iluminación y seguridad de puertas y ventanas. Algunas empresas
tienen políticas de seguridad similares que exigen revisiones de seguridad. Si la seguridad se considera como uno de los muchos requisitos de diseño, la
implementación y los costos para tales medidas no serán más onerosas que las características de seguridad contra incendios o los requisitos de diseño del
paisaje.

El CPTED requiere de un enfoque de diseño diferente al endurecimiento del objetivo tradicional, que se focaliza en barreras como cerraduras, alarmas,
cercas y portones. Este enfoque tiende a pasar por alto las oportunidades de control de acceso y vigilancia natural, pero, a veces, los usos naturales y
normales del entorno pueden lograr el efecto de la vigilancia y endurecimiento mecánico. Cada una de las tres estrategias básicas del CPTED, control de
acceso natural, vigilancia natural y reforzamiento territorial, pueden ser implementadas a través de métodos organizados (personal), métodos mecánicos
(productos tecnológicos) y métodos naturales (planificación, diseño, señalización y diseño del paisaje del lugar).

Una lista de verificación puede ser una herramienta muy útil para identificar las maneras de incorporar los principios de diseño del CPTED a los proyectos.
Un ejemplo de lista de verificación se puede encontrar en el apéndice.

Control de Acceso, Vigilancia y Reforzamiento Territorial

El control de acceso debe ser considerado seriamente en las siguientes áreas:

• Todas las entradas y salidas del lugar y del edificio

• Puntos de acceso internos en áreas restringidas o controladas

• Características ambientales y de construcción utilizadas para obtener acceso (caminos de acceso, árboles, cornisas, claraboyas, balcones, ventanas,
túneles)

• Dispositivos de control de seguridad (puestos para agentes de seguridad, vigilancia, equipos de identificación)

Las estrategias de control de acceso tienen su foco central en la denegación del acceso a un objetivo y crear en los delincuentes la percepción de riesgo, así
como la de detección, demora y respuesta. Un método organizado de control de acceso es la utilización de agentes de seguridad. Los métodos mecánicos
incluyen el endurecimiento del objetivo con cerraduras, sistemas de clave con tarjetas, ventanas con cristales de protección, puertas y ventanas metálicas
especiales, y reforzamiento de muros, pisos y puertas. Los métodos naturales incluyen el uso de la definición espacial y de los patrones de circulación, a
veces, a través de zonas de seguridad.

La vigilancia refuerza el control de acceso. Los métodos organizados de vigilancia incluyen patrullas policiales y de agentes de seguridad. Los métodos
mecánicos incluyen iluminación y video, mientras que las estrategias naturales incluyen ventanas, paisajismo de baja altura y entradas elevadas.

Desarrollo del Lugar y Zonas de Seguridad

En la medida que sea posible, la planificación de seguridad debe comenzar durante la etapa de elección del lugar. El objetivo es encontrar un lugar que
reúna los requisitos arquitectónicos y ofrezca ventajas de seguridad. El análisis de seguridad debe evaluar las condiciones dentro y fuera del lugar, teniendo
en cuenta la topografía, la vegetación, usos de suelos adyacentes, patrones de circulación peatonal, patrones delictuales del barrio, patrones de patrullaje
policial, líneas de visualización, áreas de ocultamiento, ubicación de los servicios públicos y la iluminación existente y la proyectada. Otros factores claves
son los puntos de acceso y los patrones de circulación de vehículos, empleados, personal de servicio, visitantes y peatones fuera de las instalaciones.

El análisis del lugar representa el primer nivel del la planificación de seguridad de defensa, el cual considera el perímetro de emplazamiento y sus
alrededores. Las medidas de diseño del lugar pueden incluir paredes, grandes plantaciones, cercas, muros, zanjas, iluminación y divisiones topográficas
naturales. Las siguientes son preguntas que hay que hacer en esta etapa:
• ¿Cuál es la estructura física del lugar y cómo influye en la seguridad?
• ¿Cuáles son los usos del suelo que rodea el lugar?
• ¿Qué tipo de actividad delictual hay en el área? ¿Con qué frecuencia?

Un lugar con alto riesgo de seguridad no debería ser descalificado automáticamente. El propietario puede elegir el lugar y reconocer las amenazas a la
seguridad y hacer frente a ellas a través del diseño, la tecnología, los recursos humanos y la gestión de seguridad.

Existen muchas maneras de asegurar el terreno contra la intrusión ilegal en una propiedad privada. Las herramientas más comunes son las paredes, cercas,
fosos y otros obstáculos. El diseño del paisaje también puede ayudar, en parte, mediante el establecimiento de una línea de propiedad que desaliente a la
intrusión no autorizada al lugar.

El segundo nivel de planificación de seguridad de defensa es el perímetro o exterior del edificio. Después del perímetro de emplazamiento y alrededores, el
casco del edificio y sus aberturas representa la segunda línea importante de defensa contra intrusiones. Se debe tener presente que el área a ser protegida
tiene cuatro lados, así como una parte superior e inferior. Los principales puntos de entrada son las ventanas, puertas, tragaluces, alcantarillas, techo, piso y
salidas de incendios.

Puertas y ventanas ofrecen intrínsecamente una mala resistencia a la penetración. Se debe prestar atención a los marcos de puertas, picaportes, cerraduras,
bisagras, cierres antipánico y paredes circundantes. Un diseño seguro de ventanas debe considerar el material de los cristales, el marco de la ventana, el
hardware de la ventana y el tamaño de la abertura.

El casco del edificio en sí mismo es una consideración de seguridad, porque el tipo de construcción afecta el nivel de seguridad. La mayoría de las paredes
de entramado y las cubiertas de techo de ensamblaje metálico se pueden alterar con herramientas de mano en menos de dos minutos. Las paredes de
bloques de hormigón no reforzadas se pueden romper fácilmente con un martillo o un coche.

El tercer nivel de seguridad, el cual debe diseñar el arquitecto, es la protección del espacio interno. Las áreas sensibles dentro de una instalación pueden
requerir una protección especial con tecnología de seguridad, personal y restringiendo la circulación de personas. El nivel de protección puede basarse en
zonas de niveles de seguridad diferentes. La idea es que los empleados, visitantes, proveedores y otros puedan llegar a su destino evitando que ingresen a
zonas donde no tienen nada que hacer. El control del acceso a cada departamento de un edificio, cuando sea apropiado, actúa como filtro protegiendo
contra visitantes no deseados, reduce la congestión y ayuda a los empleados a identificar y encarar a personas no autorizadas.

Los siguientes son distintos tipos de zonas de seguridad:

• Zonas sin restricciones. Ciertas áreas de una instalación deben estar absolutamente libres para el ingreso de personas durante las horas estipuladas
para su respectivo uso. El diseño de zonas sin restricciones debe estimular a las personas a llevar a cabo sus actividades y poder salir del
establecimiento sin entrar en zonas restringidas o controladas. Las zonas no restringidas pueden incluir los vestíbulos, áreas de recepción, bares,
algunas oficinas administrativas o para el personal y las salas de reuniones para el público.

• Zonas controladas. Para ingresar a estas zonas la persona debe tener un propósito válido. Una vez admitida, puede trasladarse de un departamento a
otro sin restricciones rigurosas. Las zonas controladas pueden incluir comedores del personal, oficinas de seguridad, oficinas administrativas, áreas
de trabajo y zonas de carga.

• Zonas restringidas. Estas son área sensibles limitadas sólo al personal que está asignado a ellas. Las secciones dentro de las zonas restringidas
pueden requerir de un control de acceso adicional. Los departamentos y funciones ubicadas en zonas restringidas pueden incluir bóvedas, archivos
sensibles, productos químicos y medicamentos, preparación de alimentos, salas de control, áreas mecánicas, equipamientos eléctricos y/o telefónicos,
laboratorios, lavanderías, suministro de elementos esterilizados y áreas de trabajo sensibles.

Una vez que los patrones de circulación se han resuelto exitosamente a través de las zonas de seguridad, se pueden considerar las soluciones mecánicas.
Visibilidad: Privacidad Versus Seguridad
Encontrar el justo equilibrio entre la privacidad y la seguridad puede ser difícil. Un seto bajo o una cerca, psicológica y físicamente, dicen cuál es un bien
público y cuál es privado. Una cerca establece un borde sin ocultar la vista o limitar la vigilancia. Poner árboles puede proporcionar una sensación de
encierro, pero todavía ofrecerá la posibilidad de ver hacia el interior de la propiedad, entre la cerca y la copa de los árboles.

Los muros de hormigón o ladrillo pueden hacer más segura una propiedad, pero también ocultar a los ladrones. Las paredes descubiertas invitan al grafiti.
Paredes complementadas con paisajismo (tal como bouganvillea espinosa, carissa, o wild lime) pueden ofrecer protección y ser barreras más efectivas.
Algunas plantas también pueden desalentar a los intrusos, incluso sin una pared de por medio. Los arbustos muy espinosos podrían representar un problema
de seguridad si hay niños pequeños alrededor y estas plantas pueden suponer un reto adicional de mantenimiento. Muchas plantas espinosas vienen en
diferentes tamaños para adaptarse a las distintas necesidades del paisaje. Por ejemplo, Carissa viene en tres tamaños: Emerald Blanket, que es una variedad
enana; Boxwood Blanket, que crece hasta 6 pies (1.8m); y Carissa Grandiflora, que crece hasta 7 u 8 pies (2.1 a 2.4m).

En usos residenciales, los setos, arbustos pequeños o de baja cobertura pueden desalentar el ingreso al domicilio a través de las ventanas. Es mejor evitar
plantas de mayor altura y hojas grandes, que visualmente podrían proteger al intruso. El uso de Palmeras Enanas frente a las ventanas permiten el paso de
la brisa y las agujas afiladas de las espinas en la base de sus hojas hacen más lenta la subida de alguien a través de ellas. Otras plantas que proporcionan una
cobertura similar son la Espina de Jerusalem y Cinnecord. Incluso si un ladrón entra por una puerta y sale por una ventana, es mucho más difícil salir con
cosas grandes a través de arbustos, setos, helechos y otras barreras de paisajismo.

Las barreras elevadas de tierra (berms) se utilizan habitualmente en paisajismo y puede ser muy efectivo en términos de control de acceso natural. Sin
embargo, se recomienda precaución en algunos casos para no crear obstáculos visuales. Por ejemplo, en un parque público había bermas para romper la
monotonía plana del lugar, pero bloqueaban la vista de la policía hacia las áreas de juego que eran utilizadas por bandas locales. Las bermas tuvieron que
rebajarse a no más de 2.5 pies (0.7m).

El diseño de jardines puede ser una eficiente medida para prevenir el delito, o puede crear la oportunidad para el mismo. Las siguientes consideraciones de
paisajismo y la vegetación son cruciales para un diseño seguro:

• Las plantas no deben ocultar el camino principal o las áreas de recreación

• Debe tenerse en consideración el crecimiento y requisito de mantenimiento de las plantas

• Las plantas de bajo crecimiento deben ser instaladas a 1 yarda (1m) del borde de caminos o senderos

• Los arbustos de bajo crecimiento se deben mantener a no más de 32 pulgadas (81cm) de altura

• Los arbustos espinosos deberían utilizarse en lugares potencialmente ocultos o áreas de actividad ilegítima o a lo largo de las paredes que tienen
ventanas, de las cuales debe procurarse que las personas no se acerquen. Las plantas espinosas pueden atraer basura, sería recomendable poner una
cerca baja en el perímetro para mantener alejados los desechos arrastrados por el viento.

• El paisajismo duro debe ser a prueba de agresiones y no proporcionar potenciales proyectiles, tales como adoquines o grava suelta.

• Las características del paisaje y el mobiliario no deben constituir un medio para obtener acceso a la propiedad o para ver hacia habitaciones y
jardines por encima de muros o setos. Los muebles deben ser diseñados para uso coyuntural y no ser utilizables para dormir.

• Las copas de los árboles deben ser podados a una altura de 8 pies (2.4mt), para proveer de una clara línea del sitio y reducir los puntos de escondites
y oportunidad de emboscadas.

El tipo y ubicación de los árboles pueden afectar drásticamente la cobertura de la iluminación de seguridad exterior. La iluminación para la seguridad debe
ser desde las copas de los árboles hacia abajo. Un profesional de la seguridad debe participar en los planes de iluminación y paisajismo. Es importante
determinar si los árboles son caducifolios y pierden sus hojas o permanecen llenos durante todo el año, como los pinos.

El tipo de árbol y su ubicación también afecta la video vigilancia. En un plano del lugar, la colocación de la cámara puede parecer que proporciona líneas
claras de visión. Sin embargo, los árboles pueden ser causa de puntos ciegos. Tanto la altura como la abundancia de árboles deben ser considerados para la
colocación de las cámaras.

EDIFICIOS DE OFICINAS
3.2.2
La construcción de un edificio de oficinas (ya sea renovación, ampliación o una nueva construcción) puede requerir que el profesional de la seguridad y los
propietarios del edificio trabajen con los diseñadores en una nueva e interesante manera. El arquitecto o cualquier otro profesional del diseño necesitan
información para desarrollar el programa arquitectónico y el diseño de un edificio seguro. La fuente de esta información suele ser el profesional de
seguridad. Si la empresa cliente no tiene un profesional de seguridad propio, debe contratar uno para que aporte con los conocimientos necesarios y la
adecuada asesoría a la empresa y al arquitecto.

El profesional de la seguridad debe identificar los activos vitales de la empresa para protegerlos. Las tres categorías de activos son las personas, la
información y los bienes.

Activo que debe ser protegido: las Personas

Por supuesto, las personas son el activo más valioso que hay que proteger. Al hacer la evaluación de necesidades para el arquitecto, el profesional de
seguridad debe dar respuesta a las siguientes preguntas:

• ¿Quiénes son los usuarios? (empleados, personal de servicio, visitantes, vendedores)

• ¿Qué pueden hacer los usuarios en el edificio? (servicios, recreación trabajo)

• ¿Por qué circunstancia están los usuarios allí? (asuntos oficiales, invitados)

• ¿Cuándo llegan o se van los usuarios? (turnos u otros patrones)

• ¿A dónde pueden ir los usuarios en el edificio? (horizontal, vertical)

• ¿Cómo pueden llegar allí los usuarios? (métodos de acceso, circulación)

El profesional de la seguridad debe preparar una tabla como la siguiente para el arquitecto:

Tomando el ejemplo de la función de limpieza, las implicancias en seguridad podrían ser las siguientes:
• Control de acceso después de las horas de trabajo
• Verificar la condición de empleado de limpieza
• Personal de seguridad para registrar y supervisar la entrada y salida
• Control de llaves

Estas preocupaciones de seguridad podrían entonces traducirse en el diseño de la siguiente manera:

• Mesón de recepción y registro para las operaciones de servicio
• Sistema de control de acceso para permitir al personal el control de entrada y el registro de los movimientos
• Colocación de contenedores de basura
• Colocación de un elevador de servicio
• Colocación de una puerta de servicio
• Sistema de alarma para oficinas y cableado desde y hacia la sala de control
• Estructura y líneas de infraestructura

Lo anterior es sólo una pequeña muestra de los problemas y asuntos que debe enfrentar el arquitecto basado en la información que le provee el profesional
de la seguridad.

El programa arquitectónico debe incorporar la información elaborada a partir de las seis preguntas. Más tarde, la información se utiliza para elaborar los
dibujos esquemáticos, los planos y los documentos para la construcción.

Activo que debe ser protegido: la Información

Las siguientes son las preguntas fundamentales durante la evaluación de necesidades:

• ¿Quién tiene acceso a la información? (personal, gerencia, contratistas/consultores, proveedores, socios, recepción y entrega de correspondencia).
También, ¿quién tendrá acceso después de las horas de trabajo?

• ¿Cuál es la información? (bases de datos, secretos comerciales, registros del personal, planos, programas computacionales, información clasificada
de gobierno, planes de negocios u operativos)

• ¿En qué formato reside la información? (conocimiento personal, papel, medios electrónicos, modelos/prototipos, equipos)

• ¿Qué tan transportable y transferible es la información?

• ¿Por qué la información debe ser protegida? (ventaja competitiva, tecnología fundamental, valor estratégico para el negocio, requisitos legales,
protección de la privacidad, restricciones contractuales/legales)

• ¿Cuándo está la información accesible o vulnerable (y por cuánto tiempo)?

• ¿Dónde está la información accesible o vulnerable?

 • ¿Cómo puede, legítima o ilegítimamente, ser obtenida o puesta en peligro esa información?

Después de responder estas preguntas, el profesional de la seguridad debe preparar un plan de protección de la información para el arquitecto

Con esta información es posible desarrollar respuestas arquitectónicas, tecnológicas y organizativas que apoyen una acabada estrategia de protección de
activos de información.

Podrían realizarse los siguientes cambios en el diseño arquitectónico para atender la preocupación del profesional de la seguridad por la protección de la
información:

• Puertas y ventanas: Minimizar el número de ingresos exteriores y hacerlos fácilmente observables. Las puertas pueden ser controladas y
monitoreadas. La entrada principal puede ser definida arquitectónicamente. La entrada de servicio puede ser asegurada y supervisada. Las salas de
almacenamiento pueden ser monitorizadas y colocar un supervisor que controle el movimiento. Considerar la visibilidad de la información, las
actividades y el equipamiento a través de ventanas (internas y externas).

• Recepción: Diseñar un mesón o área de recepción que permita la visualización de visitantes, vendedores y otras personas ajenas. La recepción debe
diseñarse de manera que permita ver desde allí, todas las puertas y elevadores de entrada. El área de recepción establece la separación entre la zona
privada y la zona pública del edificio. El diseño deber ser tal que las pantallas de los computadores, el registro de los visitantes y cualquier otra
información relacionada con seguridad no sea visible para los visitantes o personal no autorizado.

• Zonas controladas: Distinguir y restringir claramente el acceso a las áreas controladas, según corresponda, incluidas las zonas VIP, las instalaciones
del centro de datos/computadores y en las áreas donde ocurren operaciones sensibles.

• Sala de computadoras: Diseñar la sala de computadoras con un estricto control de acceso, las líneas de suministro protegidas, ventanas con cristales
de alta seguridad para facilitar la supervisión y ubicarlo en un lugar central.

• Anclaje de computadoras: Asegurar las computadoras con dispositivos de anclaje.

• Patrón de circulación de empleados: Controlar la entrada y salida de empleados. La salida controlada permite visualizar paquetes, carteras y
maletines. El área de casilleros para el personal debe estar bien iluminada y vigilada para evitar robos.

• Ascensores: Diseñar ascensores para que abran en el área central supervisada. Los pisos especiales o las oficinas VIP pueden requerir un control de
acceso para el elevador o elevadores exclusivos.

• Muelle de carga: Establecer una vía de acceso separada hacia la plataforma de carga, lejos de la zona de circulación de empleados o visitantes. La
plataforma debe tener bucles a tierra y un intercomunicador con el objeto de notificar al personal de seguridad cuando un camión se encuentre en la
zona de carga en momentos en que no hay supervisión directa. En la medida de lo posible, las áreas de despacho y recepción en la plataforma de
descarga debieran estar físicamente separadas.

• Sala de correo: Instalar la sala de correos al final de una línea de circulación, clara y libre de obstrucciones, en el recorrido de la zona de carga o de
correo. La sala de correo debe ser una sala segura, con monitoreo de la puerta para facilitar el control de acceso y las responsabilidades.

• Bóvedas: Instale bóvedas, cajas fuerte contra incendios y centro de archivos en un lugar apropiado al tipo de instalación y frecuencia de uso. Por
ejemplo, los supermercados ubican las bóveda al frente de la tienda para que sea visible, mientras que otras tiendas ocultan sus bóvedas.

• Sala de reuniones/conferencias: Establecer el centro de conferencias o grupo de salas de reuniones fuera de la zona restringida de un edificio de
oficinas o planta (por lo general en el vestíbulo principal, pero antes del punto de control de acceso de seguridad). Esto evita la necesidad colocar
credenciales a las personas que asisten a las reuniones y eventos, y al mismo tiempo los mantiene fuera de las zonas restringidas (privadas o semi-
privadas) del edificio.

Activo que debe ser protegido: los Bienes

En la revisión del inmueble o bienes, se aplica el mismo proceso (las seis preguntas y se determinan los criterios de seguridad y arquitectura). Las empresas
que trabajan el proceso esmeradamente pueden obtener grandes ventajas en el mercado, a través del diseño contra robo, hurto, espionaje, delincuencia y
terrorismo.

Un edificio puede presentar muchos conflictos ambientales que son una oportunidad para la delincuencia. Los principios del CPTED y del espacio
defendible pueden ayudar a los planificadores y arquitectos a prevenir o reducir las oportunidades.

Los propietarios de edificios puede que no tengan control sobre varios de los factores ambientales, tales como las calles del barrio, estadios cercanos, bares,
parques, sitios eriazos o servicios públicos, incluyendo la protección policial. Sin embargo, si el profesional de la seguridad evalúa debidamente los riesgos
y desarrolla una estimación de las necesidades para el arquitecto, surgirán las soluciones correctas.

CPTED para Oficinas y Edificios de Oficinas

Las oficinas y edificios de oficinas son vulnerables a los robos al paso, robos por engaño o fraude, vandalismo, pérdida de información y robo por parte de
los empleados. Después de identificar los riesgos de delincuencia, el profesional de la seguridad debe considerar varios requisitos de diseño para la
seguridad del lugar, el edificio y la seguridad interna.
 • Ubicación del lugar. Estudiar la zonificación y restricciones de construcción del lugar y sus alrededores. Revisar el paisajismo existente y el
propuesto.

• Áreas Exteriores. Diseñar cuidadosamente las áreas de estacionamientos. Organizar las entradas, salidas, caminos y carreteras para reducir al
mínimo los conflictos de circulación y cuestiones de seguridad. Identificar y priorizar las cercas, portones y la iluminación. Diseñar los sistemas de
video vigilancia después que los patrones de circulación hayan sido trazados. Prestar atención a las áreas de despacho y de recolección de desechos.

• Puntos de acceso. Diseñar puntos de acceso para empleados, visitantes y personal de servicio. Limitar el número de entradas al edificio. Si es
necesario, utilizar puertas adicionales sólo para salidas. Considerar la posibilidad de salidas de emergencia y de incendio en forma temprana, de
modo que no atenten contra la seguridad. Identificar los muelles de carga y diseñarlos pensando en que el envío y recepción de carga sea seguro.
Tener en cuenta las necesidades de seguridad de las áreas del sótano y de máquinas. Considerar el arreglo de las escaleras exteriores, el acceso a los
techos, puertas y ventanas.

• Lugares interiores. Diseñar y organizar cuidadosamente los vestíbulos, las entradas secundarias, las áreas de recepción, el área de oficinas donde se
maneje dinero en efectivo, salas de computadoras, de servicios eléctricos y telefónicos, áreas ejecutivas, comedores, baños del personal, centros de
mando del personal de seguridad, salas de bóvedas y equipos especiales.

• Entrada al vestíbulo: Diseñar la entrada al vestíbulo para establecer claramente a todo el mundo que ése es el lugar correcto para ingresar. Utilizar
materiales de mejor calidad en el vestíbulo, para crear una imagen de éxito, estabilidad y poder.

• Recepción. Diseñar la recepción del vestíbulo de tal manera que sirva como una capa de seguridad del edificio. Considerar la posibilidad de orientar
a la recepcionista para que pueda identificar y aprobar a los visitantes antes de permitir que ingresen más hacia el interior del edificio. Colocar el
mesón de recepción de tal forma que desde allí se tenga una buena vista de las personas que ingresan al edificio, e incluso para evitar el acceso a
áreas privadas, elevadores y escaleras. No sobrecargar a la recepcionista con un número excesivo de responsabilidades que la distraigan de la función
de control. Instalar un botón de llamada de emergencia. Si es necesario, diseñar el mesón de recepción para ocultar los equipos de video vigilancia y
para permitir los ángulos de visión y ventilación necesarios. Además, el diseño del mesón de recepción debe retardar los ataques (como se
construyen los cajeros de bancos para evitar el fácil acceso de los delincuentes o que salten sobre ellos).

• Control de acceso y video vigilancia. Poner atención en estos temas durante la etapa de diseño y programación arquitectónica del edificio. Revisar
las escaleras, elevadores y pasillos para ver los requisitos de seguridad. Seleccionar un sistema clave con suficiente potencial de crecimiento y
cambio.

• Acceso peatonal. Diseñar un camino que conduzca directamente de la calle al frente del edificio.

• Orientación. Orientar el edificio para permitir la vista hacia el lugar.

• Puertas y ventanas. Prestar especial atención a estos, especialmente en la planta baja.

• Conductos. Elaborar un plan de conductos que puedan servir a las necesidades de seguridad. Definir la trayectoria de los conductos (con capacidad
suficiente para necesidades futuras) durante la etapa de diseño para evitar costosas renovaciones posteriormente. Considerar si debiera blindarse
alguna línea para proteger las comunicaciones.

3.2.3EDIFICIOS INDUSTRIALES
Los edificios industriales están sujetos a un alto riesgo de robos por parte de los empleados, robos con fuerza, espionaje comercial, actos de vandalismo e
incendios provocados. Utilizando los principios del CPTED los edificios industriales pueden ser diseñados para reducir las posibilidades de que ocurra este
tipo de delitos. A continuación se enumeran varias medidas que el arquitecto o el profesional de la seguridad pueden adoptar para poner en práctica los
principios del CPTED en un entorno industrial:

• Tráfico. Definir claramente el tráfico entrante y saliente.

• Perímetro. Definir claramente los límites perimetrales usando jardines, cercas, paredes, etc.

• Rutas de circulación. Separar los caminos usados por el público, privados y los de peatones y vehículos de servicio. Proporcionar rutas y puntos de
acceso para peatones que sean fácilmente vistos por los demás.

• Casco del edificio. Minimizar las aberturas del casco del edificio. Los pasillos y las entradas deben estar claramente establecidas y proporcionar una
transición desde el perímetro de seguridad a la zona de la planta o área de producción. Reforzar o asegurar cualquier abertura del casco del edificio
que tenga una altura mayor a 96 pulgadas cuadradas (619cm2) o menor a 18 pies (5,5m). Las opciones incluyen cristales de policarbonato, cristales
laminados, pantallas y otros dispositivos. Si una puerta perimetral debe permanecer abierta para la ventilación, agregar una cadena a la puerta que
permita el flujo de aire y la visibilidad manteniendo al mismo tiempo la seguridad.

• Monitoreo. Prever que las puertas exteriores usadas como salidas de emergencia cuenten con alarma, queden bajo video vigilancia y sean
supervisadas por personal de seguridad.

• Puertas de servicio. Prever que las puertas de servicio conduzcan directamente a las áreas de servicio para minimizar la circulación de personas al
interior. Las puertas de servicio deben estar controladas por una persona o quedar bajo video vigilancia
 • Envío y Recepción. Separar las dos funciones tanto como sea posible, para reducir al mínimo las oportunidades de hurtos y colusión. La zona de
carga debe estar dentro del edificio para minimizar la exposición de los materiales. También debe preverse que las zonas de espera de los
conductores tengan baños, con el objeto de disminuir la circulación a través del edificio.

• Basura. Diseñar el sistema de recolección de basura para que el personal encargado pueda acceder a los compactadores o incineradores sin salir del
edificio.

• Investigación y desarrollo. Colocar las actividades de investigación, desarrollo y otras áreas sensibles del negocio lejos de las rutas de circulación
normal del edificio.

• Entradas para empleados. Ubicarlas de tal manera que tenga conexión con el área de estacionamiento de empleados. Las puertas deben ser lo
suficientemente grandes de modo que permitan el flujo de personas y la supervisión para evitar hurtos.

• Control de asistencia. Colocarlos cerca de la entrada de empleados, separado con barreras para permitir el control de ingreso y la visualización de
las credenciales de identificación por parte del personal de seguridad.

• Oficina de personal. Ubicarla cerca del exterior del edificio para reducir al mínimo la circulación de postulantes a través del edificio.

• Ascensores. Separar los ascensores para el personal y de carga para reducir la exposición de las mercancías ante robos y hurtos.

• Bodegas. Ubicar las bodegas de almacenamiento de productos acabados alejadas de las áreas operativas. Establecer un control de acceso en las
puertas de estas bodegas.

• Otras bodegas. Diseñar las bodegas de herramientas y otras áreas de almacenamiento en zonas con techo.

3.2.4INSTALACIONES DE ESTACIONAMIENTOS
Las áreas de estacionamientos pueden utilizar las características del CPTED para aumentar la seguridad con vigilancia, control de accesos y refuerzo
territorial. La interfaz de diseño, patrullas de seguridad y la tecnología proporcionan los medios para lograr estos objetivos del CPTED.

Evaluación de la Vulnerabilidad
El primer paso hacia la seguridad en los estacionamientos basado en el CPTED es la evaluación de las vulnerabilidades. Generalmente, en los Estados
Unidos los estándares de seguridad exigen que la evaluación incluya la historia delictual del lugar; la revisión del paisajismo, la iluminación, las escaleras,
los elevadores, la capacidad de vigilancia, el equipo de control de acceso, la señalización, los baños; y una inspección de las instalaciones o servicio de
supervisión o recaudación de ingresos. Deben examinarse las políticas y procedimientos para el funcionamiento y dotación de personal de la zona de
estacionamiento.

Así como en otros ámbitos, aquí el profesional de la seguridad también debería hacer las preguntas de quién, qué, por qué, cuándo, dónde y cómo de la
siguiente manera:

• ¿A quién está dirigido el estacionamiento (clientes, pasajeros, estudiantes, empleados)?

• ¿Cuántos vehículos frecuentan la instalación y con qué rapidez los espacios vuelven a ocuparse?

• ¿Las líneas de visión están despejadas o están bloqueadas por muros, columnas o rampas?

• ¿Cuáles son las horas de funcionamiento y cómo afectan esas horas al entorno del usuario?

• ¿La iluminación es por luz natural completamente, sólo una parte o es mayoritariamente luz artificial? ¿Están instalados los aparatos de iluminación
en el techo? Si es así ¿Cuál es el color del cielo y cómo están ubicadas las luces?

• ¿Hay un sistema de video vigilancia en uso? Si es así ¿Cuáles son los detalles del sistema?

• ¿El lugar de estacionamiento dispone de protección a nivel de suelo, tales como puertas, mamparas u otro tipo de barreras?

Otras preguntas podrían estar relacionadas con las entradas para vehículos y peatones, las rutas de acceso para discapacitados, las condiciones de los
elevadores, la ubicación y visibilidad de las escaleras y si existe la posibilidad de cerrar las áreas que sean poco utilizadas.

Entre las amenazas más comunes asociadas a los estacionamientos están los robos de vehículos, robos a los vehículos, los ataques contra las personas tales
como, asalto, robo, violación y vandalismo.

En la Planta
Para maximizar la vigilancia natural lo mejor es ubicar el estacionamiento en la superficie, donde pueda ser visto desde la calle y los edificios cercanos.

La definición perimetral y el control de acceso pueden impedir el acceso peatonal no deseado a un estacionamiento. Puede ser mediante vallas, cambios de
nivel, protección de la planta baja y otras barreras arquitectónicas y ambientales que guíe a las personas a los puntos de entrada designados, y disuada a
otros de esconderse fuera o dentro de las instalaciones.
Deben utilizarse protectores metálicos en el primer nivel para evitar el acceso no autorizado, mientras que los pisos superiores debiesen estar abiertos a los
lados, pero con cadenas para evitar el paso de vehículos hacia los estacionamientos. Se deben privilegiar separadores de pantalla (biombos, mamparas, etc.)
en lugar de paredes; así como los niveles superiores abiertos permiten la vigilancia natural y vuelven más factible oír un llamado pidiendo ayuda. Los
separadores en el primer nivel no deben llegar hasta el techo, puesto que pueden ser una vía para que el delincuente suba a los pisos superiores. Los
arbustos de baja altura cerca de la pared perimetral pueden ser un disuasivo para las personas en el sentido de subir o traspasar los separadores. Las puertas
exteriores del estacionamiento sólo deben permitir la salida.

El diseño de los jardines debe ser variado en tamaño. En vez de plantar setos sólidos, es más eficaz combinar árboles de copas altas y setos bajos. Todos los
árboles y arbustos deben ser mantenidos adecuadamente para permitir un buen campo visual y evitar crear escondites. Las plantas que tienen una altura
superior a 3 pies (1m) no deben colocarse a menos de 10 a 15 pies (3 a 4,5m) de la entrada para evitar lugares de escondite. A los árboles altos y frondosos
se les deben recortar las ramas bajas a una altura de 8 pies (2,5m).

Los ingenieros de transporte prefieren tener múltiples puntos de acceso para aumentar las formas de circulación. Sin embargo, mientras más entradas es
más difícil controlar los usuarios y los usos de la instalación. La teoría del CPTED se inclina por tener una sola entrada y salida para todos los vehículos en
los estacionamientos. Si el volumen de tráfico requiere más, cada punto de acceso debe contar con una caseta de operación, una barrera vehicular (brazo),
mantener la barrera abajo fuera del horario regular, un sistema de video vigilancia y una buena iluminación.

El acceso peatonal en los estacionamientos a menudo se pasa por alto o está mal diseñado. La regla principal es evitar al máximo posible que los peatones
tengan que cruzar entre los vehículos. Cuando este tipo de situación es inevitable, el diseño debe ser capaz de crear una vía de circulación segura para el
peatón hasta que llegue a un cruce peatonal debidamente señalizado.

Los arquitectos pueden diseñar los pasos peatonales de tal manera que tengan que cruzar o pasar por el lado del encargado del estacionamiento, creando así
una posibilidad de vigilancia. El acceso para discapacitados puede requerir de estacionamientos exclusivos y una especial atención en rampas, pasamanos,
suelos, cruces y vías peatonales, así como el diseño de escaleras y diseño y ubicación de los elevadores.

Los encargados de las cabinas de estacionamientos pueden ser tanto guardias como víctimas de la delincuencia. Por ejemplo, en el año 2006 en el City
Place Mall, en West Palm Beach, Florida, una encargada de estacionamiento observó a dos hombres merodeando sospechosamente por el lugar. Se encerró
en la cabina, pero no tenía radio ni teléfono para pedir ayuda. Los delincuentes ingresaron con un bate de béisbol, le pegaron y le robaron el contenido de la
caja.

Las cabinas deben situarse con un campo visual de 360 grados, ser supervisadas por un sistema de video vigilancia y poseer cristales de seguridad, alarmas
de coacción y caja de seguridad con el rótulo de advertencia que el encargado no puede recuperar el dinero. Las cabinas también deben poseer una
iluminación adecuada para apoyar la video vigilancia. La iluminación debe ser regulable para que el encargado pueda ver hacia fuera durante la noche. El
baño del encargado debe esta ubicado cerca de la cabina, en un lugar abierto y que permita la vigilancia. Los baños deben ser cerrados y tener una alarma
personal en el interior en caso de ataque.

Los diseñadores que tienen en mente el CPTED deben excluir los baños públicos de sus diseños, ya que son un punto de encuentro natural para víctimas y
delincuentes, y son difíciles de asegurar por motivos de privacidad. Si es inevitable incluir baños públicos, hay que instalarlos de manera que las puertas
sean visibles desde el puesto normal de trabajo del encargado. Deben tener entradas abiertas, tipo laberinto, que permita oír los gritos de ayuda. También
deben estar equipados con botones de pánico e iluminación activada por el movimiento.

Las cajas de pago automático deben ubicarse en un lugar donde sean visibles a los usuarios y al personal, de manera de reducir la posibilidad de ataques a
los clientes, robos o vandalismo.

Elementos Estructurales
Si una instalación está siendo recién construida, deben utilizarse columnas redondas, ya que permiten una mayor visibilidad que las columnas rectangulares
o cuadradas. Además, el diseño de una rampa orientada al CPTED, es un paso de circulación exterior que permite a los pisos estar a nivel y conservar las
líneas de visión sin obstáculos. Cuando se necesitan muros sólidos, deberían incorporarse ojos de buey, ventanas o aberturas que permitan y fomenten la
observación casual.

Las escalera y ascensores deben estar situados al centro y debiesen ser visibles desde el puesto del encargado. Si tal ubicación no es posible, se debe
instalar video vigilancia para monitorear entradas y salidas. Se deben instalar alarmas de pánico y detectores de posición de puertas que alerten de la
presencia de alguien en las escaleras al encargado de seguridad que está en la cabina .

Las cajas de escalera deben ser visibles desde el primer nivel y construidas de material de vidrio claro para permitir la visibilidad desde la calle. Las
terminaciones de las escaleras en el nivel más bajo no deben ofrecer la posibilidad de escondites, ni el paso hacia la azotea ni a los niveles de aparcamiento,
y evitando el acceso no autorizado. Las puertas de la sala de máquinas en la azotea deben estar siempre cerradas. Tanto las puertas del sótano como las de
la azotea deben estar conectadas a los interruptores de posición de puerta, a los intercomunicadores y alarmas de sonido, y la transmisión de la señal al
personal de seguridad o policial.

Tanto los ascensores como las escaleras deben incorporar la mayor cantidad de vidrio y ser instalados en el lugar de mayor visibilidad que estructuralmente
sea posible. Los ascensores con paredes de vidrio colocados a lo largo del exterior del edificio ofrecen una muy buena visibilidad para las personas en la
calle y dentro del estacionamiento. Deben tener intercomunicadores y alarmas de sonido.

Las escaleras y ascensores de edificios altos o estacionamientos subterráneos que sirven a oficinas, residencias u otros usos mixtos deben tener ascensores
que desemboquen en un hall de entrada, no directamente a los pisos comerciales o residenciales. Las personas al salir al vestíbulo deberían luego usar otro
ascensor o escalera donde puedan ser vistas, controlar su acceso o ser observados por el personal de seguridad.

Vigilancia
Las cámaras de video vigilancia deben ser ubicadas en zonas con luz constante, ya sea luz natural o artificial. Se pueden usar cámaras de luz tenue, pero
son más caras y representa una admisión tácita de que las condiciones de iluminación pueden ser deficientes.

Las cámaras deben ser instaladas para lograr una visión sin obstáculos. En los estacionamientos en superficie, las cámaras deben tener buenas líneas de
visibilidad para abarcar la mayor superficie. Las cámaras deber ser protegidas dentro de domos de policarbonato oscuro para resistir el vandalismo y para
ocultar hacia dónde están apuntando.

Los sistemas de video vigilancia en estacionamientos deben ser monitoreados en grabaciones de tiempo real y digital para su mejor reproducción. Las
cámaras a color hacen que sea más fácil identificar vehículos y personas, una capacidad de gran utilidad para evidencias.

Las cabinas de botón de pánico deben estar integradas al sistema de video vigilancia, permitiendo que se active una cámara cuando se pulsa el botón. Los
sistemas de video vigilancia también pueden estar integrados al sistema de control de acceso para que los números de matrícula de los vehículos sean
capturados cuando estos ingresan o salen de la instalación.

Iluminación
Sin buena iluminación los sistemas de video vigilancia y la vigilancia natural disminuyen su capacidad. La iluminación en los estacionamientos se aborda
en detalle en Guideline on Security Lighting for People, Property, and Public Spaces (Illuminating Engineering Society of North America, 2005). Se
recomienda que los niveles de iluminación sean de 5 a 6 candelas por pie (54 a 65 lúmenes por metro cuadrado) en lugares de reunión como son escaleras,
ascensores y rampas. Los pasillos de los estacionamientos deben tener una iluminación de 5 candelas-pie. Los estacionamientos descubiertos deben tener
un mínimo de 3 candelas-pie (32 lúmenes por metro cuadrado), así debería ser en los estacionamientos de zonas de tiendas de venta al por menor (retails),
en hoteles, moteles y edificios de apartamentos. Las entradas deberían tener 10 candelas-pie (108 lúmenes por metro cuadrado) de iluminación o dos veces
el nivel de iluminación del área o alrededores para que se destaque y aumente la visibilidad. Las cercas perimetrales deben tener por lo menos la mitad de la
iluminación media horizontal en ambos lados de la cerca para reducir la posibilidad de escondites.

La altura de la iluminación hace una diferencia en la capacidad de los peatones para ver más allá de las sombras provocadas por los vehículos y otros
obstáculos. Los típicos postes de luz son de 30 a 45 pies (9 a 14m) de altura y emiten una amplia franja de iluminación, pero crean profundas sombras entre
los vehículos. La iluminación de una zona peatonal de alrededor de 12 a 14 pies (3,6 a 4,2m) de altura proyecta una luz que pasará a través de los cristales
de los vehículos, reflejándose en ellos, lo que reduce las sombras y las manchas oscuras. Los caminos hacia los estacionamientos deben estar iluminados a
3 candelas-pie (32 lúmenes por metro cuadrado) para permitir la visibilidad de personas a lo menos a 30 pies (9m) de distancia, con una relación de
iluminación mínima promedio que no exceda 4:1. Idealmente, un estacionamiento descubierto debería tener una combinación de iluminación alta y baja
para maximizar la cobertura y la visibilidad, reduciendo al mínimo las sombras y las oportunidades para ocultarse.

El interior de cualquier instalación de estacionamientos debe ser pintada de colores claros para aumentar la reflexión de la luz. Las luminarias deben utilizar
lentes de policarbonato para resistir el vandalismo y otro tipo de roturas. Se debe establecer un protocolo de mantenimiento para garantizar la oportuna
reparación de luces dañadas y reemplazar las que están quemadas, las luminarias que están operacionales deben ser reemplazadas según una programación
basada en su expectativa de vida.

Una medida innovadora adoptada en un estacionamiento en Fort Lauderdale, Florida, fue pintar en el techo círculos blancos que reflectaba la luz de las
luminarias. El cielo de este estacionamiento era más alto que la mayoría, permitiendo una mejor distribución de la luz. Las diferentes fuentes de luz
producen diferentes calidades de luz. La mayoría de quienes utilizan el CPTED prefieren las luminarias de haluro metálicas, porque duran
aproximadamente 20.000 horas y reproducen con exactitud el color de los vehículos, la ropa y las personas. Las típicas luminarias de vapor de sodio de
baja presión, duran aproximadamente 50.000 horas y son las más eficientes en energía, pero su reproducción cromática es muy pobre e insuficiente para
capturar los detalles en una escena de crimen.

Las luminarias de vapor de sodio de alta presión y las de vapor de mercurio son un poco más baratas que las de haluro metálico, pero no duran mucho
tiempo y tampoco tienen buena reproducción cromática. No hay una respuesta única para todos los tipos de instalaciones. El enfoque del CPTED permite la
diversidad en la iluminación, basado en la evaluación del riesgo y la amenaza y la experiencia del usuario.

Señalización
La señalización de los estacionamientos debe estar bien iluminada, con letras o símbolos que midan al menos 8 pulgadas (20cm) de alto. La señalética en
paredes para el tráfico peatonal y vehicular debe ser gráfica, en la medida de lo posible, para garantizar la comprensión universal y entregar un sentido
claro de dirección.

Los grafitis en los alrededores de un estacionamiento es una forma ilegítima de señalización, que a menudo representa una señal de guerra entre pandillas o
vándalos. Se debe retirar lo más rápido posible. El arquitecto que tiene en mente el CPTED también puede tomar iniciativas para desalentar los grafitis. Por
ejemplo, las superficies de las paredes pueden ser revestidas con pintura epóxica resistente al grafiti, y aumentar los niveles de iluminación en las áreas
problemáticas para incrementar el potencial de vigilancia natural. Los intentos de prevenir el grafiti le dice a los vándalos que la propiedad es territorio de
sus legítimos dueños.

Usos Mixtos
La territorialidad del sitio deseada por los usuarios está aumentando con una nueva tendencia: hacer que el estacionamiento tenga un desarrollo mixto. Al
tener a los legítimos usuarios alrededor de los estacionamientos con mayor frecuencia, el lugar incrementa el número de usuarios legítimos y de ojos
ocasionales sobre la calle.

Muchos estacionamientos están sumando tiendas de venta al por menor, como por ejemplo, servicios de copia, restoranes de comida rápida o lavado de
automóviles, para proveer actividades acordes y seguras que atraen a los usuarios legítimos. Además, el estacionamiento puede reservarse en el día para las
empresas, pero en la noche pueden ofrecer estacionamiento de tarifa plana para clubes nocturnos, restoranes y residentes de la zona.

ESCUELAS
3.2.5
Las escuelas, con sus grandes poblaciones, múltiples entradas y muchas ventanas en la planta baja, presentan un desafío para su protección. Pueden surgir
problemas cuando se presentan las siguientes condiciones:

• Los límites de los campus no están bien definidos

• Las áreas de reunión informales están fuera de la vista

• La distribución del edificio produce puntos aislados

• El embarque a los autobuses produce conflictos con el tráfico

• Los estacionamientos de los estudiantes están alejados del edificio

• El estacionamiento de los estudiantes en la calle crea conflictos con el vecindario

• Las áreas de estacionamientos están oscurecidas por la forestación

• La zona de casilleros (locker) crea confusión y facilitan el contrabando

• El excesivo uso de corredores crea puntos ciegos

• Los baños se encuentran lejos de la supervisión

Claramente, la seguridad de la escuela se ve muy afectada por su diseño. El CPTED puede contribuir a la seguridad de la escuela a través del control de
acceso natural, vigilancia, territorialidad, definición de límites, administración y mantenimiento. Por otra parte, el CPTED puede hacer esas contribuciones
sin convertir la escuela en una fortaleza. La tecnología de seguridad a menudo puede complementar las medidas del CPTED.

Un profesional de la seguridad que aplica los principios del CPTED al diseño de la escuela debe centrarse en las siguientes zonas y sistemas:

• Sitio: paisajismo, rutas exteriores peatonales, vías vehiculares, estacionamiento y áreas recreativas

• Diseño del edificio: organización del edificio, pasillos exteriores cubiertos, puntos de entrada, espacios exteriores cerrados, edificios auxiliares,
paredes, ventanas, puertas, techos e iluminación

• Espacios interiores: vestíbulo y áreas de recepción, pasillos, servicios y baños, escaleras y cajas de escalas, cafeterías, auditorio, gimnasio,
biblioteca, talleres, salas de música, salas de computación y zonas administrativas

• Sistemas y equipos: alarmas y sistemas de vigilancia, control de incendios, sistemas de climatización (calefacción, ventilación y aire acondicionado)
y equipos mecánicos, máquinas expendedoras, fuentes de agua, ascensores, sistemas de telefonía y sistemas de información

La relación de una escuela con su entorno inmediato es comunicada a través de sus contornos. El diseño del paisaje puede ser usado para denotar los límites
de la escuela y, si se quisiera, restringir el acceso. La territorialidad y el uso definido también puede ser expresado por el cerco perimetral y las puertas, que
deberían ser construidas para permitir la vista para una vigilancia natural. Si bien las plantas pueden mejorar la estética de estas barreras, no deben permitir
que se produzcan lugares de escondite.

Las oficinas administrativas deben tener vistas despejadas hacia las áreas de juego, reunión y estacionamientos. Los delincuentes se ven disuadidos de
ingresar y tener conductas delictuales si ven un alto riesgo de identificación e intervención. Los usuarios legítimos se sentirán más seguros. Las
características del diseño también deben permitir las vistas hacia dentro y fuera de patios, aulas y zonas de alto riesgo.

Surgen otros numerosos temas de diseño de escuelas de acuerdo al CPTED:

• Observación desde las salas de clases. Las áreas de estacionamiento y de circulación deben estar ubicadas a la vista de las salas de clases. El alto
volumen de estudiantes en clases significa una mayor posibilidad de observación casual.

• Observación del tráfico vehicular. Los espacios administrativos deben tener líneas de visión despejada hacia los caminos de acceso y a los
estacionamientos. Nadie debería ingresar a una zona escolar sin ser percibido.

• Puntos de vigilancia. Proporcionando vistas a las áreas con potenciales problemas de espacios de uso público, como por ejemplo una escalera de uso
común, asegura que muchas personas estarán observando en un momento dado.

• Circulación Exterior. Las vías deben ser lo suficientemente grandes para dar cabida a muchos estudiantes. Se debe evitar que los estudiantes
 utilicen estas vías como lugares de reunión informal. Los portabicicletas se deben colocar en una zona de alta visibilidad.

• Descongestión del tráfico. Para evitar el exceso de velocidad, los estacionamientos deben diseñarse con pocas o ninguna calle larga. Debe instalarse
la señalización de velocidad permitida y de detención, como así mismo preocuparse de su mantención. La parada de autobuses para tomar o dejar
pasajeros no debe entrar en conflicto con el resto del tráfico.

• Señalización. La señalización debe ser clara, de tamaño razonable, ubicada en un lugar de fácil visualización y establecer los usos permitidos y
prohibidos.

• Asuntos de orden Espacial/Temporal: Puede ser útil situar las actividades seguras en lugares no seguros, por ejemplo, teniendo los pasillos cerca
de las oficinas para una vigilancia y supervisión natural, o usando la escuela fuera de las horas regulares para escuela de adultos. Separar la entrada y
salida de la cafetería por un espacio puede ayudar a definir el movimiento y evitar conflictos. La separación temporal también puede ayudar, por
ejemplo, a programar diferentes horarios de almuerzo para estudiantes mayores y menores. La realización de una buena educación vial en los
estacionamientos de la escuela aumenta el control en otras zonas de mayor riesgo.

• Iluminación. Es útil tener iluminados los jardines desde el anochecer al amanecer.

• Circulación protegida. Los puntos ciego y de atrapamiento deben minimizarse. También deben eliminarse los potenciales accidentes como
“portazos en la cara”.

• Entrada principal. Las entradas principales deben ser evidentes y pocas en número. El acceso a otras áreas por entradas principales deben ser
cuidadosamente planificadas y no quedar ocultas. Se debe minimizar las posibilidades de confundirse o perderse. En una de las entradas pueden
instalarse detectores de armas.

• Entrada empotrada. Los puntos ciegos deben evitarse. Cuando el diseño de un edificio crea un punto ciego, las esquinas redondeadas permiten a
los estudiantes que vean alrededor de ellas y así evitar emboscadas.

• Puertas y entradas. Las puertas empotradas pueden crear puntos ciegos peligrosos si se diseñan mal. Tanto puertas como marcos debe ser de la
calidad institucional, para soportar el uso y abuso intensivo. Sobre las cerraduras es conveniente instalar placas frontales para evitar que sean
forzadas.

• Patios y otros lugares de reunión. Los lugares de reunión formales deben estar bien definidos e iluminados y bajo observación. Si las canchas de
baloncesto, voleibol o tenis están provocando molestias después de las horas de servicio, se pueden retirar diariamente los aros y redes al final del
día. Si el gimnasio se utiliza después del horario normal de funcionamiento de la escuela, es importante poder bloquear el acceso al resto del edificio
o campus.

• Paredes. Las paredes no deben dar la posibilidad de ser lugares de escondite. En las zonas de alto vandalismo, las paredes deben construirse de
material durable resistente al grafiti y a los vándalos. El paisajismo puede ser una barrera para las paredes que son susceptibles al grafiti.

• Ventanas. Un grupo de pequeñas ventanas puede ofrecer las misma ventajas que una ventana grande, pero con mayor seguridad, ya que las de
tamaño más pequeño hace difícil arrastrase a través de la instalación. Las ventanas en la parte superior de una pared proporcionan luz y ventilación
evitando el fácil ingreso a través de ellas. Una pared de bloques de cristal (o cristal acanalado) con claraboyas minimiza las penetraciones y
proporciona seguridad e iluminación natural. Todas las ventanas deben ofrecer mecanismos de auto bloqueo.

• Video vigilancia. Las cámaras deben estar funcionando permanentemente y las grabaciones deben ser guardadas.

• Alarmas de coacción: Estas deben ser colocadas en zonas aisladas, tales como baños y casilleros (lockers), e integrarse al sistema general de
seguridad.

• Computadores. Como objetos de valor, los computadores deben ser asegurados en forma individual y controlados regularmente.

CAJEROS AUTOMÁTICOS
3.2.6
Los cajeros automáticos (ATM) corresponden al lugar donde se encuentra el dinero fácil4. Los delincuentes saben que los cajeros automáticos
habitualmente están ubicados en lugares aislados, donde los usuarios suelen retirar dinero efectivo o realizar depósitos. Aplicar los principios del CPTED
puede reducir el riesgo de asalto, robo y asesinato a los clientes del banco. A continuación, algunas consideraciones importantes:

• Garantizar una adecuada iluminación. Una buena iluminación en y alrededor de los cajeros permite a los usuarios ver a cualquier persona
sospechosa cerca del cajero automático y también permite que potenciales testigos, incluyendo a la policía, puedan ver mientras se ejecuta un delito y
ver al delincuente. Debe procurarse una iluminación suficiente alrededor de todas las esquinas del edificio adyacentes al cajero automático, así como
de estacionamientos cercanos. La iluminación debe alumbrar el cajero en sí y sus alrededores para evitar escondites y sombras.

En los Estados Unidos no existen directrices o normas nacionales para la iluminación de las instalaciones de los bancos. Sin embargo, algunas
ciudades sí tienen sus normas. Los estándares mínimos de iluminación indican que en y alrededor de un cajero automático deben ser 25 pies-candela
(269 lúmenes por metro cuadrado) en la cara frontal del ATM, de la cara frontal y hasta 5 pies (1,5m) de distancia debe haber una iluminación de 10
pies-candela (107 lúmenes por metro cuadrado) y, de 2 pies-candela (22 lúmenes por metro cuadrado) hasta 50 a 60 pies (15 a 18m) de distancia del
ATM; medidos a 3 pies (1m) del suelo.
 No obstante, según los diseñadores de iluminación, las normas mínimas de iluminación no abordan todos los factores que afectan la visibilidad. Las
sombras, los tipos de luz, los colores claros, la dirección, uniformidad y resplandor de la luz, y las obstrucciones afectan la visibilidad. Cuando la luz
es muy brillante en la cara frontal del ATM y muy baja en los alrededores, los usuarios pueden no ser capaces de ver a personas ocultas o a cualquier
peligro que se acerque. Las luces deben encenderse automáticamente con fotosensores. Una vez realizado el ajuste, los niveles de iluminación deben
ser controlados en forma regular a fin de que no desciendan por debajo de los niveles aceptables. Se recomienda utilizar ampolletas de larga
duración. Monitores automáticos de detección de luz pueden alertar al operador del cajero automático, si esta disminuye. Además, las luminarias
deben protegerse para que los delincuentes no puedan inutilizarlas.

• Garantizar que los jardines alrededor del ATM permitan buena visibilidad. Los árboles y arbustos deben ser podados con regularidad para
evitar posibles escondites y asegurarse que los cajeros estén visibles para los transeúntes. De preferencia instalar arbustos de crecimiento lento.
Obstáculos como contendedores de basura, bancas o paredes que impidan la vista hacia el ATM deben ser eliminados.

• Instalar espejos en el ATM. Los espejos retrovisores en los cajeros automáticos y en las esquinas del edificio adyacentes pueden permitir a los
usuarios detectar comportamientos sospechosos.

• Instalar el ATM donde haya harta vigilancia natural. Los cajeros automáticos deben colocarse en lugares donde tengan vigilancia natural de
peatones y conductores, y que se encuentren a la vista de patrullas de policía y cámaras de vigilancia. Los delincuentes oportunistas suelen evitar los
lugares abiertos y sin obstáculos, porque es más probable que sean vistos y reportados a la policía o seguridad privada de la instalación. Por otra
parte, la vigilancia natural aumenta la probabilidad de ayudar a una víctima de robo. Cuando los ATM se instalan en cabinas o vestíbulos, deben
tener paneles de buena visión, libres de obstrucciones, de modo de permitir a los clientes realizar transacciones sin ser víctimas de emboscadas. Los
vestíbulos deben tener alarmas de coacción que convoquen una respuesta de ayuda real. El personal de servicio de cajeros automáticos también es
vulnerable al robo, por lo que debe ser contemplado en el diseño de seguridad (por ejemplo, haciendo que tengan alarmas de coacción y asegurando
las cabinas para realizar el servicio de la máquina.

Cada vez más los cajeros automáticos están siendo instalados en empresas, tales como tiendas de comestibles y tiendas de 24 horas, que tienen
mucha vigilancia natural. Los ATM ubicados al interior deben estar libres de obstrucciones visuales, como plantas y persianas, y ser visibles desde la
calle.

El ATM en sí es a veces un objetivo. Podrían ser necesarias alarmas, sensores de golpe y sísmicos, peso suficiente para resistir la tracción, detectores
de calor y mecanismos de bloqueo para impedir ataques en contra de la propia máquina.

• Instalar ATM en estaciones de policía. En algunas jurisdicciones se han instalado cajeros automáticos a disposición del público en las estaciones
de policía por seguridad. Las estaciones que no pueden acomodar más vehículos o tráfico peatonal, podrían limitar el uso del ATM a las horas de la
noche, cuando el riesgo de robo es mayor y el nivel de actividad de la estación policial es menor. Los cajeros automáticos también se pueden instalar
en otros edificios gubernamentales o cerca de ellos, tales como las oficinas de correos o estaciones de bomberos, donde hay vigilancia natural
disponible.

• Precauciones extras en sitios de alto riesgo. Los operadores de cajeros automáticos deberán revisar las tasas de delincuencia locales y evaluar el
nivel de riesgo en los potenciales lugares para instalar un ATM. No deben ser ubicados en áreas conocidas por el tráfico de drogas o cerca de
establecimientos de expendio de bebidas alcohólicas, inmuebles abandonados o propensos a la delincuencia. En lugares con tasas de delincuencia
especialmente altas, es necesario cambiar, cerrar o limitar las horas de uso de los ATM.

• Uso de cámaras de vigilancia. Las cámaras de vigilancia alrededor de los ATM tienen doble propósito: disuadir el robo o fraude, e identificar a los
delincuentes. Las cámaras deben registrar imágenes de primer plano de los usuarios y también de las vistas inmediatamente detrás de ellos.

Las cámaras visibles en forma clara son los disuasorios de ladrones más eficaces, pero son las más vulnerables a los actos vandálicos. Las cámaras de
vigilancia ficticias no deben utilizarse, a menos que paralelamente estén operando cámaras en otro lugar, de lo contrario la cámaras simuladas pueden
crear una falsa sensación de seguridad entre los usuarios y dar lugar a demandas judiciales por negligencia de seguridad (llamadas “ilusión de
seguridad”). Al menos un operador de cajeros automáticos ha instalado sensores de calor alrededor del ATM, para detectar la presencia de personas
fuera del ángulo de visión de las cámaras de vigilancia. Los sensores pueden activar un mensaje de voz grabado advirtiendo a la persona que se aleje
del ATM o bien una alarma silenciosa.

• Instalar dispositivos para que las personas llamen a la policía durante un robo. Ejemplos de ellos incluyen los siguientes:
− Botón de pánico: Sin embargo, los botones de pánico pueden acarrear problemas de falsas alarmas.
− Teléfono junto al ATM
− Micrófono en el ATM. Una empresa de seguridad puede monitorearlo y responder si es necesario.
− Alarma en la puerta. Una alarma puede ajustarse para que se active si una puerta de una cabina cerrada permanece abierta demasiado tiempo.
− Tecnología de PIN (número de identificación personal) inversa. Un usuario de ATM puede activar una alarma silenciosa mediante la
introducción de su PIN en orden inverso o mediante la introducción de un dígito adicional después del PIN. Sin embargo, este sistema puede
tener costos prohibitivos y difícil de usar por las víctimas que están bajo estrés.

• Implementar agentes privados de seguridad. Los agentes de seguridad pueden ser asignados a cajeros automáticos de alto riesgo o sólo patrullar
aleatoriamente muchos cajeros. Esta es una medida costosa.
 • Prohibir la vagancia y mendicidad cerca de los ATM. Algunos ladrones merodean alrededor de los cajeros automáticos, en espera de una víctima
adecuada, en otros casos, mendigos agresivos tratan de obtener dinero de los usuarios de los cajeros. Las leyes que prohíben la vagancia y
mendicidad cerca de los ATM dan a la policía la autoridad para mantener a delincuentes oportunistas lejos de las posibles víctimas.

• Exigir que los ATM sean instalados en cabinas cerradas con puertas con llave. Este requisito puede ser útil, pero también puede dar lugar a que
un cliente quede atrapado en la cabina con un delincuente. Por otra parte, los usuarios de cajeros automáticos habitualmente abren o mantienen
abiertas las puertas para los demás y esas cabinas tienden a atraer personas sin casa.

• Establecer límites de retiro de efectivo diario. Estos límites pueden reducir las potenciales pérdidas financieras de un robo, disuadir a los ladrones
y hacerlos pensar que el beneficio del robo no vale la pena correr el riesgo de ser aprehendido.

• Entrenamiento de usuarios. Los clientes debieran ser entrenados para:

− Guardar el dinero discretamente antes de salir
− Mirar a su alrededor para ver si están siendo observados
− De noche ir acompañados al cajero automático
− Mirar al interior de la cabina antes de ingresar

− Impedir que personas en la fila miren por encima de su hombro el PIN

− Mirar el estacionamiento por si hay vagabundos y echar un ojo a los escondites, tales como contenedores de basura y vehículos estacionados

EDIFICIOS FEDERALES DE LOS ESTADOS UNIDOS

3.2.7
La bomba que estalló en el edificio federal Alfred P. Murrah en Oklahoma City en 1995 llevó a que se hiciera un esfuerzo federal para desarrollar
estándares de seguridad en todas las instalaciones federales. Varios gobiernos estatales en los Estados Unidos han establecido estándares para sus edificios.

Los estándares de seguridad de la General Services Administration (GSA) fomentan el espacio defendible del enfoque CPTED. Los márgenes y límites de
las propiedades deben definir claramente los patrones de circulación y movimientos deseado. Deben utilizarse variadas técnicas que permitan diferenciar
los usuarios legítimos de los ilegítimos que podrían estar buscando oportunidades para cometer delitos.

Los estándares de seguridad de la GSA se orientan hacia los cristales de seguridad, el diseño y construcción resistente a bombas, el diseño del paisajismo,
iluminación del lugar, la vigilancia natural y mecánica. Las diversas recomendaciones se aplican a distintos niveles de seguridad. Por ejemplo, en una
instalación Nivel 1 puede no ser necesario un control de entrada y en una de Nivel 4 requerir controles de video vigilancia electrónica.

Las normas instan a los arquitectos e ingenieros a poner en práctica las medidas de seguridad en cuatro categorías diferentes:

• Seguridad perimetral y exterior

− Control de estacionamientos
− Monitoreo mediante video vigilancia
− Iluminación de seguridad con sistemas de emergencia
− Barreras físicas

• Seguridad de entradas

− Sistema de detección de intrusos

− Actualización de los estándares de seguridad
− Detección electrónica de personas, paquetes y correos
− Control de entrada con video vigilancia y portones eléctricos
− Cerraduras de alta seguridad

• Seguridad interior
− Identificación de empleados y control de visitantes
− Control de acceso para los servicios
− Energía de emergencia para los sistemas vitales
− Ubicación de los centros de atención diurna (guarderías infantiles)

• Planificación de seguridad
− Ubicación de residentes en función de sus necesidades de seguridad
− Normas de explosivos
El criterio de balance costo-beneficio, aceptación de cierto riesgo y la necesidad de edificios federales accesibles al público.

Dado el riesgo de explosión en los edificios federales, los profesionales de la seguridad y los arquitectos deben considerar la adopción de las siguientes
medidas defensivas para evitar este tipo de ataques o recudir al mínimo sus efectos:

• Establecer un perímetro de seguridad alrededor del edificio, tan lejos como sea posible. Se sugiere una distancia de 100 pies (30m).

• Diseñar barreras de concreto como jardineras u obras de arte y ubicarlas cerca de las cunetas a una distancia del edificio de a lo menos 4 pies (1,2m)
dejando un espacio entre ellos para bloquear el paso vehicular

• Construir los nuevos edificios en una sencilla planta rectangular para minimizar el efecto de difracción cuando las ondas de explosión rebotan en
edificios en forma de U o en forma de L

• Reducir o eliminar la ornamentación del edificio que podría romperse en una explosión, causando mayores daños a los ocupantes o peatones. El
revestimiento exterior debe ser de material ligero para minimizar los daños si sale volando, debido a una bomba o por condiciones meteorológicas
adversas.

• Eliminar los potenciales lugares de escondite cerca de la instalación

• Proporcionar una buena panorámica alrededor de la instalación, libre de obstrucciones, y ubicarla a la vista de otras instalaciones ocupadas

• Eliminar líneas de aproximación vehicular perpendicular al edificio.

• Minimizar el número de puntos de acceso de vehículos

• Eliminar o controlar estrictamente el estacionamiento debajo de las instalaciones

• Emplazar los estacionamientos lo más lejos posible del estacionamiento y a la vista de otras habitaciones o instalaciones

• Iluminar el exterior del edificio

• Asegurar el acceso a las plantas de energía o calor, gasoductos, suministro de agua y servicios telefónico y eléctrico.

En los próximos años, la delincuencia callejera y la violencia en el lugar de trabajo seguirán como principales amenazas, y a ellas pueden unirse el sabotaje
y el terrorismo contra infraestructuras vitales. El CPTED puede no ser capaz de detener a los terroristas más decididos y otros delincuentes, pero incluso los
actos de terrorismo suelen comenzar con las transgresiones y accesos no autorizados, ya que la propiedad está en el ámbito de las vulnerabilidades. Un
delincuente o terrorista puede buscar un objetivo diferente o más vulnerable si el objetivo original no es de fácil acceso o tiene un buen sistema de
seguridad. Por lo tanto, el CPTED es una estrategia legítima para reducir la oportunidad de actos terroristas tanto como de actos de delincuencia común.
ANEXO A

EJEMPLO DE LISTA DE VERIFICACION PARA CPTED

Esta lista ayuda al usuario a incorporar los principios de diseño del CPTED en los proyectos. Fue adaptada de una lista elaborada por Federal Way
(Washington) Department of Community Development Services (City of Federal Way, 2009).

Por favor complete la lista de verificación para indicar qué estrategias se han utilizado para aplicar los principios del CPTED en su proyecto. Por favor
marque todas las estrategias que sean aplicables a su propuesta de proyecto para cada una de las directrices numeradas. Puede marcar más de una estrategia
para cada pauta.

1. VIGILANCIA NATURAL
1.1 Esquinas ciegas. Evitar esquinas ciegas en las vías y estacionamientos
• Las vías deben ser directas. Todas las barreras a lo largo de las vías deben ser permeables (ver a través de), incluyendo el paisajismo, las cercas, etc.
• Considerar la instalación de espejos para permitir a los usuarios ver hacia delante y alrededor de las esquinas
• Otra estrategia usada:_______________________________________________

1.2 Diseño del lugar y del edificio. Permitir la observación natural de la calle al lugar y de allí a la calle, y entre ellos.

Para el desarrollo de viviendas multifamiliares

• Orientar la entrada principal hacia la calle o a ambas calles si es esquina
• Ubicar las habitaciones con ventanas hacia el frente de la vivienda. El acceso a la vivienda para usos como posada u otros de tipo comercial no debe ir
en la parte posterior de la vivienda.
• Equilibrar el uso de ventanas, puertas y balcones para permitir la observación natural y la privacidad al mismo tiempo.

Para instalaciones comerciales/retail/industrias y servicios públicos

• Ubicar la entradas/salidas principales en la parte delantera del edificio y con vista a la calle
• Si la entrada para los empleados debe ser distinta de la entrada principal, se deben aprovechar al máximo las oportunidades de vigilancia natural desde
la calle.
• En lugares industriales, las oficinas administrativas deberían situarse en la parte delantera del edificio.

Para estacionamientos techados y en superficie.

• Evitar estacionamientos de grandes extensiones. Cuando se han proyectado grandes áreas de estacionamientos, prever vigilancia con cámaras de
seguridad.
• Los accesos a vías peatonales, ascensores y escaleras deben ser claramente visibles desde la zona de estacionamientos adyacente
• Evitar rincones ocultos
• Emplazar las áreas de estacionamiento en lugares donde puedan ser observadas por los usuarios colindantes

Para áreas abiertas o de uso común

• Los espacios abiertos deberán quedar claramente establecidos y situados en lugares que sean fácilmente observables por las personas. Parques, plazas,
áreas comunes y áreas de juego deberían ser ubicadas en el frontis del edifico. Los centros comerciales y otros usos similares también deben quedar
con vista hacia la calle.
• Otra estrategia utilizada: ______________________________________________

1.3 Áreas de espacios abiertos o comunes y públicos. Proporcionar vigilancia natural para las áreas de espacios abiertos o comunes.
• Ubicar los recintos en uso o habitados con ventanas hacia las principales áreas de espacios comunes o abiertos, por ejemplo, a parques infantiles,
piscinas, etc., y en lugares públicos de espacios abiertos.
• Diseñar y situar los contenedores de basura de manera que estos queden tapados, pero evitando crear oportunidades para ocultamientos
• Situar las zonas de espera y las entradas externas hacia ascensores o escaleras cerca de las áreas de uso activo, con el fin de hacerlas visibles desde la
entrada del edificio
• Colocar los asientos en áreas de uso activo
• Otra estrategia utilizada: ______________________________________________

1.4 Entradas. Proveer entradas que sean claramente visibles

• Diseñar entradas que permitan a los usuarios poder ver antes de entrar
 • Las entradas deben estar claramente identificadas
• Otra estrategia utilizada:_______________________________________________

1.5 Cercas. El diseño de las cercas debería maximizar la vigilancia natural desde la calle hacia el edificio y del edificio hacia la calle, y minimizar las
posibilidades de que intrusos puedan ocultarse
• Las cercas delanteras deberían ser de diseño predominantemente abierto, por ejemplo, hierro forjado, con piquetes o de baja altura.
• Diseñar cercas altas y sólidas, pero que incorporen elementos abiertos que permitan la visibilidad por sobre una altura de 5 pies.
• Si se requiere aislar del ruido, instalar cristales dobles en la parte delantera del edificio, en lugar de vallas sólidas que midan más de 5 pies.
• Otra estrategia utilizada:_______________________________________________

1.6 Paisajismo. Evitar el paisajismo que obstruya la vigilancia natural y permita que los intrusos se oculten.
• Los árboles con follaje denso y de crecimiento lento deberían espaciarse entre sí, o bien elevar sus copas para evitar que se conviertan en una barrera
continua.
• Alrededor de las áreas de juegos infantiles, estacionamientos, o a lo largo de las vías peatonales, utilizar cubre suelos y arbustos de una altura máxima
de 32 pulgadas (0,8mt), o árboles de copa alta (recortar a una altura de 8 pies (2.4mt))
• Evitar la vegetación que oculte la entrada del edificio desde la calle
• Otra estrategia utilizada:_____________________________________________

1-7 Iluminación exterior. Proveer iluminación exterior que mejore la vigilancia natural. Para necesidades de iluminación de seguridad específicas,
consulte la Guideline on Security Lighting for People, Property, and Public Spaces (Illuminating Engineering Society of North America, 2005).
• Elaborar un plan de iluminación de acuerdo a los estándares de Illuminating Engineering Society of North America que aborda los proyectos de
iluminación de una forma integral. Seleccionar una estrategia de iluminación que esté en concordancia con las condiciones y problemas locales de
delincuencia.
• Situar las luminarias de altura (postes, luces estándar, etc.) de manera coordinada que proporcione la cobertura deseada. Una luminaria alta cubre una
superficie terrestre de aproximadamente dos veces su altura.
• En las áreas destinadas a ser usadas de noche, prever que la iluminación contribuya a la visibilidad. En áreas donde las luminarias se han colocado a
baja altura para mayor visibilidad de los peatones, procurar que sean resistentes a las acciones de vandalismo.
• Asegurarse que los espacios insertos en la fachada del edificio, en las vías de entrada o salida, y también la señalización, estén bien iluminadas.
• En áreas utilizadas por peatones, asegurarse que tanto la vía peatonal como los lugares de posible trampas queden iluminados.
• Un lugar para tener en cuenta respecto a la iluminación es el de la vegetación, actual y futura, así como cualquier elemento que potencialmente pueda
bloquear la luz.
• Evitar la iluminación en zonas no destinadas a uso nocturno, para evitar crear una falsa impresión de seguridad. Si los puntos peligrosos están
generalmente vacíos de noche, evitar iluminarlos y conviene cerrarlos a los peatones.
• Seleccionar e iluminar los caminos seguros, de tal manera que sean el centro de la actividad peatonal legítima en la noche.
• Evitar las oportunidades de escalamiento ubicando las luminarias y equipos eléctricos lejos de paredes o edificios bajos.
• Usar sensores fotoeléctricos en vez de interruptores de horario para la iluminación exterior.
• En proyectos que serán utilizados principalmente por personas mayores (residencias de ancianos, centros de atención sanitaria, centros comunitarios de
ancianos, etc.) prever un mayor nivel de iluminación en las zonas comunes o públicas.
• Otra estrategia utilizada:______________________________________________

1.8 Mezcla de usos. En los edificios de uso mixto, incrementar las oportunidades de vigilancia natural, al mismo tiempo que se protege la privacidad.
• Cuando esté permitido, emplazar las tiendas y comercios en las plantas inferiores, y las residencias en los pisos superior. De esta manera, los residente
pueden observar los negocios fuera de horas de trabajo, asimismo, las casas comerciales pueden observar las residencias durante el horario laboral.
• Incluir kioscos de comida, restoranes, etc., dentro de los parques y áreas de estacionamientos.
• Otra estrategia utilizada:_______________________________________________

1.9 Rejas de seguridad, puertas y persianas. Cuando se usan rejas de seguridad, persianas y puertas, y si está permitido por las normas de construcción y
fuego, éstas deben permitir la observación de la calle y estar con consonancia con el estilo arquitectónico del edificio.
• Las rejas y puertas de seguridad deben permitir la visibilidad a través de ellas.
• Otra estrategia utilizada:______________________________________________

2. CONTROL DE ACCESO
2.1 Identificación del edificio. Asegurarse que los edificios estén claramente identificados con su número en la calle. para evitar el acceso no deseado y
para ayudar a las personas a encontrar el edificio.
• El número debe ser claramente visible y legible desde la calle en el frontis de la propiedad.
• En los usos residenciales, cada unidad debe estar visiblemente numerada. En los complejos de varios edificios, cada entrada al edificio debe indicar
 claramente el número de unidades a las que se accede desde dicha entrada. Además, incorporar los números de las unidades en cada nivel o piso.
• Los números en la vía pública deben estar hechos de material durable, preferentemente reflectantes o luminosos, y sin obstrucciones (por ejemplo, el
follaje). En proyectos más grandes, proporcionar mapas de localización (formato de placa fija) y la señalización direccional en los puntos de entrada
públicos y a lo largo de todas las vías públicas interiores.
• Otra estrategia utilizada:______________________________________________

2.2 Entradas. Evitar la confusión en la ubicación de las entradas al edificio.

• Las entradas deben ser fácilmente reconocibles a través de las características de diseño y de la señalización direccional.
• Minimizar el número de puntos de entrada.
• Otra estrategia utilizada:______________________________________________

2.3 Paisajismo. Utilizar la vegetación como barrera para impedir el acceso no autorizado.
• Considerar el uso de plantas espinosas como una barrera efectiva.
• Otra estrategia utilizada:_____________________________________________

2.4 Ubicación del paisajismo. Evitar la colocación de vegetación que permita el acceso a un edificio o a los edificios vecinos.
• Evitar la colocación de árboles grandes, garajes, estructuras de servicios públicos, vallas y canaletas próximas a ventanas o balcones que podrían ser un
medio de acceso al segundo piso.
• Otra estrategia utilizada:______________________________________________

2.5 Seguridad. Reducir las oportunidades de acceso no autorizado.

• Considerar el uso de hardware de seguridad y/o medidas humanas para reducir las oportunidades de accesos no autorizados.
• Otra estrategia utilizada:______________________________________________

2.6 Señalización. Asegurarse que la señalización sea claramente visible, fácil de leer y de entender.
• Utilizar colores fuertes, símbolos estándar y gráficos sencillos para los carteles informativos
• Otra estrategia utilizada:______________________________________________

Para estacionamientos techados y en superficie

• En la entrada al estacionamiento prever instrucciones claras para peatones y conductores de escaleras, ascensores y salidas.
• En los estacionamientos de varios niveles, usar señalización creativa para distinguir las diferentes plantas y permitir a los usuarios localizar sus
vehículos fácilmente.
• Advertir a los usuarios sobre las medidas de seguridad disponibles (como teléfonos de seguridad o sistemas de intercomunicación) y dónde
encontrarlos.
• Instalar letreros en las áreas de estacionamiento advirtiendo a los usuarios sobre el cierre de sus vehículos.
• Cuando las salidas de los estacionamientos se cierran fuera del horario regular, asegurarse que esté indicado en la entrada.
• Otra estrategia utilizada:______________________________________________

3. PROPIEDAD
3.1 Mantenimiento. Crear una imagen de “preocupación”.
• Asegurarse de que los jardines se mantengan bien para dar una idea de propiedad, atención y seguridad.
• En residencias de múltiples unidades, en la medida de lo posible, diseñar de tal manera que no más de seis a ocho unidades compartan una entrada
común al edificio.
• Otra estrategia utilizada:_______________________________________________

3.2 Materiales. Usar materiales que reduzcan la oportunidad de vandalismo.

• Considerar el uso de laminados resistentes al uso, cerámicos vidriados impermeables, productos de mampostería tratados, materiales de acero
inoxidable, pinturas anti grafiti, y limpiar la pintura para reducir las oportunidades de vandalismo. Evitar revestimientos planos o porosos en áreas en
que es más probable tener problemas de grafitis.
• En lugares donde los muros grandes sean inevitables, considerar el uso de vegetación.
• Los muebles en las zonas comunes o en la calle deben ser fabricados con materiales de larga duración, resistentes al vandalismo y asegurados con
puntos de anclaje firmes, o ser retirado después de las horas de uso regular.
• Otra estrategia utilizada: _______________________________________________

REFERENCIAS
Agnew, R. (1995). Determinism, indeterminism, and crime: An empirical exploration. Criminology, 33, 83–109.

ASIS International. (2007). Information asset protection guideline. Alexandria, VA: ASIS International.

Atlas, R. (2008). 21st century security and CPTED. Boca Raton, FL: Taylor & Francis Publisher.

Clarke, R. V. (1983). Situational crime prevention: Its theoretical basis and practical scope. In M. Tonry and N. Morris (Eds.), Crime and justice: An
annual review of research (pp. 225–256). Chicago, IL: University of Chicago Press.

Cohen, L., & Felson, M. (1979). Social change and crime rate trends: A routine activity approach. American Sociological Review, 44, 588–608.

Crowe, T. (1991). Crime prevention through environmental design: Applications of architectural design and space management concepts. Boston, MA:
Butterworth–Heinemann.

Erikson, R. (2003). Teenage robbers and how and why they rob. San Diego, CA: Athena Research Corporation.

Illuminating Engineering Society of North America. (2005). Guideline on security lighting for people, property, and public spaces. New York, NY:
Illuminating Engineering Society of North America.

Jacobs, J. (1961). The death and life of great American cities. New York, NY: Vintage Books.

Jeffery, C. R. (1971). Crime prevention through environmental design. Thousand Oaks, CA: Sage Publications, Inc.

Newman, O. (1973). Defensible space: Crime prevention through urban design. New York: Macmillan.

Newman, O. (1976.) Design guidelines for creating defensible space. Washington, DC: U.S. Government Printing Office.

Newman, O. (1980). Communities of interest. New York: Springer Verlag.

Newman, O. (1996). Creating defensible space. Washington, DC: U.S. Department of Housing and Urban Development.

New Zealand Ministry of Justice. (2005). National guidelines for CPTED in New Zealand: Part 1: Seven qualities of safe places. Wellington, New
Zealand: Ministry of Justice.

Pezzin, L. (1995). Criminal careers. Journal of Criminal Law and Criminology, 11, 29–50.

Scott, M. (2001). Robbery at automated teller machines. Washington, DC: U.S. Department of Justice, Office of Community Oriented Policing.

Siegal, L. (1999). Criminology (6th ed.). Florence, KY: West Wadsworth Publishing Co.

Sorensen, S., Walsh, E. M., & Myhre, M. (1998). Crime prevention through environmental design in public housing: Resource manual for situational
crime prevention in public housing and community settings. Bethesda, MD; SPARTA Consulting Corporation.

Taylor, R., & Harrell, A. (1996). Physical environment and crime. Washington, DC: National Institute of Justice.

Weisel, D. L. (2005). Analyzing repeat victimization. Washington, DC: U.S. Department of Justice, Office of Community Oriented Policing.

Wilson, J. Q., & Kelling, G. (1982.) Broken windows. Atlantic Monthly, 211, 29–38.

________________________________________
3El término CPTED fue utilizado por primera vez por C. Ray Jeffery en su libro Crime Prevention Through Environmental Design (Thousand Oaks, CA: Sage Publications, Inc.,
1971). Posteriormente, Tim Crowe lo utilizó en su libro Crime Prevention Through Environmental Design (Boston: Butterworth-Heinemann, 1991). La definición de CPTED que se
entrega aquí es utilizada por el National Crime Prevention Institute y fue reforzada por Randall Atlas en su libro 21st Century Security and CPTED (Boca Raton, FL: Taylor & Francis
Publisher, 2008).
4 Esta sección es una adaptación de Scott (2001) y Atlas (2008)
 FUNCIONES DE UN PPS
DETECCIÓN

La función de detección de los sistemas de protección física se aborda en los siguientes cinco capítulos:
• Sensores
• Subsistemas de video y Evaluación de Alarma
• Iluminación
• Comunicación y Visualización de Alarma
• Control de acceso
 CAPÍTULO 4
SENSORES

4.1 CONCEPTOS CLAVE DEL SENSOR

Este capítulo analiza los sensores que se encuentran en los sistemas de seguridad. Los sensores son los pilares básicos de un sistema de detección de
intrusos. Inician la función de detección del sistema de seguridad, indicando un intento de intrusión o cualquier acto de sabotaje. Toda discriminación
lógica, transmisión, visualización y grabación de las actividades que se producen después de la alarma inicial se debe a la tecnología en la que se basa el
sensor, incluyendo las capacidades óptica, electrónica, electro-mecánica o mecánica. Si el sensor no es apropiado al entorno operativo o a las amenazas, o
si no está correctamente instalado, operado, mantenido y probado, las salidas de todo el sistema son severamente limitadas, convirtiéndose más en una
desventaja que en un beneficio.

La National Burglar and Fire Alarm Association se esfuerza por reducir las alarmas no deseadas a una al año para cada sistema, por lo que la selección del
dispositivo es de suma importancia. En realidad, es muy poco probable que un sensor eficaz tenga tan baja tasa de alarma no deseada. Es fundamental que
el sensor sea el apropiado para la amenaza y el entorno operativo, e integrado al sistema de protección física (PPS).

Los sistemas de detección de intrusión incluyen sensores exteriores e interiores, alarma de video evaluación, control de acceso y sistemas de comunicación
de alarmas, los que trabajan conjuntamente. Detección de intrusos es el proceso de descubrir a una persona o vehículo que intenta obtener acceso no
autorizado a una zona. El límite de detección de intrusiones debe ser pensado como una esfera que rodea el elemento protegido de tal manera que todas las
intrusiones, ya sean por tierra, aire, agua o subterráneas, sean detectadas. La tecnología de detección de intrusión exterior tiende a enfatizar la detección
sobre la superficie terrestre, aunque el énfasis en la intrusión por aire está aumentando. Este capítulo cubre principalmente las intrusiones a nivel de suelo.

CARACTERÍSTICAS DE DESEMPEÑO
4.1.1
Las tres características principales de funcionamiento del sensor de intrusión son la probabilidad de detección (PD), la tasa de alarmas no deseadas y la
vulnerabilidad de anulación. La comprensión de estas características ayuda al diseño y operación de los sistemas de sensores de intrusión. Las
características se aplican tanto a los sensores exteriores como interiores.

Probabilidad de Detección
Una probabilidad de detección perfecta sería 1. Sin embargo, en la vida real la PD de un sensor siempre es menor que 1. Después de miles de pruebas, la
PD de un sensor sólo se aproxima a 1.

Para cualquier sensor y escenario, los dos valores PD y el nivel de confianza (CL de ahora en adelante, por sus siglas en inglés) se utilizan para describir la
efectividad del sensor. Los fabricantes a menudo declaran los valores de PD sin declarar el valor del CL. En tales caso, es probable que estén considerando
un valor de al menos el 90% para el CL.

La probabilidad de detección depende principalmente de los siguientes factores:

• el objetivo a detectar (por ejemplo, caminando/corriendo/arrastrando/cavando un túnel, etc.)
• el diseño del hardware del sensor
• las condiciones de instalación
• el ajuste de la sensibilidad
• las condiciones climáticas
• la condición del equipo

Tales condiciones varían, por lo que no se puede asignar una PD específica a cada componente o conjunto de componentes del sensor. Cualquier PD
asignada a un sensor es condicional, basada en supuestos sobre las condiciones. Un sensor de intrusión puede tener una PD para un nivel de amenaza bajo,
como el vandalismo, y otra PD distinta, menor, para amenazas más sofisticadas. La amenaza como base del diseño conduce al diseño del sistema. Si la
amenaza base del diseño consiste de tres criminales con amplio conocimiento y habilidad, la instalación debe emplear un sensor con una PD más alta, ya
que el adversario es más capaz. Si la amenaza se compone de vándalos adolescentes, se puede tolerar una PD menor. La elección del sensor debe coincidir
con su aplicación y el entorno.

El diseñador del sistema debe especificar los criterios de detección para un sensor o un sistema de sensores. Esta especificación debe tener en cuenta qué es
lo que será detectado, qué acciones se esperan, y cualquier otra consideración, tal como el peso, velocidad de movimiento y qué probabilidad de detección
se requiere. Un ejemplo de criterio de detección podría ser el siguiente:

El sistema de detección de intrusión perimetral será capaz de detectar a una persona, con un peso de 35 kilos o más, cruzando la zona de detección ya sea caminando,
arrastrándose, saltando, corriendo o balanceándose, a velocidades entre 0,15 a 5 metros por segundo, o trepando la valla en cualquier punto de la zona de detección, con una
probabilidad de detección del 90% y de confianza del 95%.
Esto representa un conjunto claro y medible de condiciones y no sólo una declaración como “detección exitosa que debe ocurrir la mayor parte del tiempo”.
Cuando se requiere una alta PD en todo momento y en cualquier condición meteorológica, se recomienda el uso de múltiples sensores. Se necesitan planes
de contingencia y procedimientos para así poner en práctica medidas compensatorias en caso de pérdida de alguno o todos los sensores.

Tasa de Alarmas No Deseadas (NAR)

Se llama alarma no deseada (NAR de ahora en adelante, por sus siglas en inglés) a cualquier alarma que no ha sido causada por una intrusión. La tasa NAR
establece el número de alarmas no deseadas durante un período determinado. En un sistema ideal, la tasa de alarmas no deseadas sería cero. Sin embargo,
todos los sensores interactúan con su entorno y no siempre discriminan entre un intruso adversario y otro evento. Por esta razón es necesario evaluar la
alarma. No es eficiente enviar las fuerzas de seguridad para responder a cada alarma. La evaluación de la alarma determina la causa y resuelve si es
necesario una respuesta. Sin la evaluación, la detección es incompleta.

Las alarmas no deseadas tienen muchas causas. Las causas naturales incluyen la vegetación (árboles y malezas), fauna (animales y aves) y las condiciones
meteorológicas (viento, lluvia, nieve, niebla, rayos). Las causas industriales incluyen la vibración del suelo, los escombros movidos por el viento y la
interferencia electromagnética.

Las falsas alarmas son alarmas no deseadas generadas por el equipo mismo (ya sea por un mal diseño, mantenimiento inadecuado o fallo de un
componente). Los diferentes tipos de sensores de intrusión son más o menos vulnerables a las diversas causas de alarmas no deseadas y falsas alarmas.

En el diseño de un sistema, es importante especificar una tasa aceptable de falsa alarma (FAR de ahora en adelante, por sus siglas en inglés). Se puede
especificar que una FAR para todo el perímetro del sistema de detección de intrusión no promedie más de una falsa alarma por semana por zona,
manteniendo una PD de 0.9. Esta especificación es mucho más significativa que decir simplemente que una medida de FAR y NAR superior se puede
aceptar si no empeora el sistema (lo que es más difícil de medir). Con valores más específicos para la tasa de falsa alarma, es más fácil decidir cuándo
reportar un sensor al personal de mantenimiento.

Vulnerabilidad a la Anulación
El sensor ideal no puede ser burlado, no obstante, todos los sensores pueden ser burlados. Los diferentes tipos de sensores y modelos de sensores tienen
distintas vulnerabilidades a la anulación. El objetivo del diseñador de un PPS es hacer que el sistema sea muy difícil de anular. Hay dos formas para anular
o burlar el sistema:

• Evitándolo. Debido a que todos los sensores de intrusión tienen una zona finita de detección, cualquier sensor puede ser burlado moviéndose
alrededor de su volumen de detección.
• Engañándolo: El engaño es una técnica que permite llegar a destino pasando a través de la zona normal de detección sin generar una alarma.

CONDICIONES DE INICIACIÓN DE ALARMA

4.1.2
En un PPS deberían incluirse sensores de todo tipo para iniciar una alarma bajo cualquiera de las siguientes condiciones:
• Ocurrencia de un potencial acto de intrusión. Estos son sensores de intrusión.
• Un cambio en una condición de seguridad o proceso que está siendo monitoreado (aumento de la temperatura, presencia de humo, etc.,). Estos son
sensores de estado.
• Pérdida de energía eléctrica. Estos son sensores de eventos de fallo.
• Apertura, cortocircuito o puesta a tierra de los circuitos del dispositivo o manipulación de las cajas del sensor o de los paneles de control de
distribución (transponder). Estos son sensores de manipulación.
• Fallo del sensor mismo. Este es otro evento de fallas que debe ser detectado.

4.1.3CONDICIONES DE FUNCIONAMIENTO
Las unidades para uso en interiores deben ser capaces de funcionar en un rango de temperatura de 32ºF a 120ºF (0ºC a 49ºC). Las unidades que serán
instaladas en el exterior o en estructuras sin calefacción deben ser capaces de funcionar a temperaturas que oscilen entre -30ºF a 150ºF (-34ºC a 66ºC).
Todas las unidades deben ser capaces de funcionar a 90ºF (32ºC) con un 95% de humedad relativa.

4.2 ESTÁNDARES
Hay muchos fabricantes de los diversos tipos de sensores disponibles en la actualidad. Es importante que los usuarios tengan estándares con los cuales
juzgar la calidad y propiedades de los sensores. Existen varios organismos competentes que ofrecen orientación al respecto.

4.2.1Estándares UL
Tal vez el más conocido de ellos es Underwriters Laboratories (UL), con su sede central en Northbrook, Illinois. UL elabora normas de seguridad sobre
todo, como una guía para los fabricantes de los dispositivos, y luego certifica que los dispositivos presentados a los laboratorios para su aprobación
cumplan con esos estándares. Las mismas normas se desarrollan en respuesta a los comentarios del público, la industria de seguros, el gobierno,
instituciones académicas, autoridades de control, organizaciones de consumidores y los usuarios finales.

Los estándares UL están disponibles al público, pero UL insta a los usuarios de dispositivos aprobados a guiarse por sus directorios periódicos en vez de
los estándares. Los directorios son listas de dispositivos específicos que han sido presentados, probados y certificados por UL, en el sentido que cumplen
los requerimientos de una norma en particular (el directorio que enumera los dispositivos de seguridad es la Automotive, Burglary Protection and
Mechanical Equipment Directory). No obstante, para los profesionales de protección de activos y otros usuarios avanzados, es importante un conocimiento
más detallado de la norma, de modo que se aprecie el efecto completo de una aprobación de UL.

A menudo sucede que la aprobación UL es un requisito que se encuentra en las especificaciones de los sistemas de seguridad, en las normas de
construcción y de incendio municipales. Los estándares UL se enumeran en www.ul.com. UL ha promulgado numerosas normas que se aplican a los
sistemas de seguridad y contra incendios, en su mayoría relacionados con la ingeniería y fabricación de alarmas y otros relacionados. Es importante
destacar que se trata de normas de seguridad ocupacional (safety), no de estándares de seguridad (security) y, por lo tanto, sólo proporcionan una guía sobre
la forma correcta de instalar dispositivos, de modo de reducir el peligro de incendio u otros incidentes de seguridad ocupacional. Si bien la seguridad es una
consideración importante en la aplicación de un PPS, estas normas no abordan las vulnerabilidades de los dispositivos o su capacidad para detectar
intrusiones por adversarios con malas intenciones.

De las siguientes normas de sistemas de seguridad, aquellas destacadas en negrita son especialmente relevantes para los instaladores de seguridad y los
usuarios, ya que especifican el tipo de instalación o funcionamiento:

Número de la Norma y Nombre:

365 Police Station Connected Burglar Alarm Units and Systems

606 Linings and Screens for Use with Burglar Alarm Systems

609 Local Burglar Alarm Units and Systems

611 Central-Station Burglar Alarm Systems

634 Connectors and Switches for Use with Burglar Alarm Systems

636 Hold-Up Alarm Units and Systems

639 Intrusion Detection Units

681 Installation and Classification of Mercantile and Bank Burglar Alarm Systems

1037 Anti-Theft Alarms and Devices

1076 Proprietary Burglar Alarm Units and Systems

1610 Central Station Burglar Alarm Units

1635 Digital Burglar Alarm Communicator Units

1641 Installation and Classification of Residential Burglar Alarm Systems

Cada una de estas normas UL también han sido nominadas como norma nacional por el American National Standards Institute (ANSI).

ESTÁNDARES ASTM
4.2.2
La American Society for Testing and Materials (ASTM), en Philadelphia, ha establecido un comité para ocuparse de las normas de seguridad (Commitee F-
12, Security Systems and Equipment). El ámbito de aplicación del comité, tal como lo define la norma ASTM es

para desarrollar y estandarizar la nomenclatura, definiciones, métodos de prueba, especificaciones, clasificaciones y prácticas recomendadas para los sistemas de seguridad y
equipos, y promover el conocimiento y su relación con los sistemas y equipos de seguridad de la propiedad y seguridad de la vida. Este trabajo será coordinado con otros
comités técnicos de ASTM, organizaciones e individuos del área.

Los estándares de ASTM aún no se han desarrollado para los sistemas de alarmas de seguridad o sensores. No obstante, ASTM ha publicado Building
Security (Stroik, 1981), el cual se describe como una “publicación para establecer una base de referencia para la evaluación y desempeño de los sistemas de
seguridad relacionados con la construcción, sus componentes y equipos”. Una parte del texto está dedicada a los dispositivos y se titula “Design
Considerations For High Security Interior Intrusion Detection System”.

OTROS ESTÁNDARES Y ESPECIFICACIONES

4.2.3
La General Services Administration (GSA) de los Estados Unidos, publicó una especificación para los componentes del sistema de alarmas en 1969. Esa
especificación, entonces conocida como Especificación Provisoria (Interim Specification) WA-0045A, fue revisada dos veces, una en el año 1973 (Interim
Spec.WA-0045B) y nuevamente en 1990. La última revisión, WA-450C/GEN, es más un documento regular que un documento provisorio.

En 1976, fue emitido un informe completo por Sandia Laboratories, Albuquerque, NM, titulado Intrusion Detection System Handbook. El material fue
preparado por los miembros del personal de Sandia Laboratories, bajo el patrocinio de la Division of Safeguards and Security (DSS) de la antigua ERDA5.
Se basó en datos obtenidos de programas de evaluación, llevados a cabo en varios laboratorios, patrocinados por DSS, ERDA (ahora Department of
Energy), Division of Military Application, Department of Defense (DOD), y otras agencias gubernamentales, así como en información proporcionada por
los proveedores comerciales de equipos de seguridad. La publicación original ha sido objeto de varias revisiones y ahora se publica en los siguientes
volúmenes:
• Intrusion Detection System Concepts
 • Considerations for Sensor Selection and Subsystem Design
• Exterior Intrusion Sensors
• Interior Intrusion Sensors
• Alarm Assessment Systems
• Alarm Reporting Systems
• Intrusion Detection System Integration

Aunque no pretende ser utilizado como especificaciones o estándares para dispositivos, el manual cubre en detalle, de manera muy práctica, varios aspectos
del uso de dispositivos de detección de intrusión.

La National Fire Protection Association (NFPA) publica normas detalladas para el municipio, la estación central, la propiedad y los sistemas de alarma de
incendio locales. Anteriormente publicados en documentos separados, NFPA Codes 71, 72A, 72B, 72C, 72D, 72E, 72F, 72G, 72H, y 74, se consolidaron
en el año 1993 en uno sólo: NFPA 72, National Fire Alarm Code. La asociación también publica el National Fire Alarm Code Handbook, un texto
explicativo para ayudar a la interpretación y aplicación del lenguaje formal del código.

4.3 SENSORES EXTERIORES

CLASIFICACIÓN
4.3.1
Hay varias maneras de clasificar los muchos tipos de sensores de intrusión exteriores. En esta discusión, se utilizan cinco métodos de clasificación:
• Pasivo o activo
• Encubierto o visible
• Línea de visión directa o Seguimiento del terreno
• Volumétrico o Detección Lineal
• Aplicación

Pasivo o Activo
Los sensores pasivos funcionan de dos maneras. Algunos detectan la energía emitida por el objeto de interés, mientras que otros detectan el cambio en el
campo natural de energía causado por el objeto. Los sensores que detectan la energía emitida incluyen aquellos que detectan la energía mecánica del ser
humano caminando sobre la tierra o trepando una valla. Un sensor que detecta los cambios en los campos de energía debe, por ejemplo, monitorear el
campo magnético local causado por la presencia de un metal. Ambos tipos de sensores pasivos usan un receptor para captar las emisiones de energía. Los
sensores pueden detectar la vibración, el calor, el sonido o capacitancia.

Los sensores activos funcionan de manera diferente. Estos transmiten energía y detectan los cambios (causados por la presencia o movimiento de un
objetivo) en la energía captada. Los sensores activos generalmente contienen un transmisor y un receptor. Los tipos de sensores activos incluyen
microondas, infrarrojos y otros dispositivos de radio frecuencia (RF).

Los sensores pasivos y activos tiene fortalezas y debilidades. Debido a que el sensor pasivo no emite energía, el adversario tendrá dificultades para
encontrarlo y, probablemente, este dispositivo es el más seguro para su uso en ambientes con vapores o materiales explosivos. Los sensores activos, tiene la
ventaja de crear un menor número de alarmas no deseadas debido a que sus señales son más fuertes.

Encubierto o Visible
Los sensores encubiertos (o escondidos) presentan ciertas ventajas. Al estar ocultos (por ejemplo, bajo tierra), son más difíciles de detectar para el intruso,
y no afectan la fisonomía del entorno. Por el contario, los sensores visibles (tal vez unidos a una valla o estructura), siendo fácilmente detectables, pueden
disuadir a los intrusos. Los sensores visibles también son más fáciles de instalar, reparar y mantener.

Línea-de-Visión o Seguimiento-del-Terreno
Para que los sensores de línea de visión (LOS de ahora en adelante, por sus siglas en inglés) funcionen bien, requieren una línea de visión despejada en el
espacio de detección entre el transmisor y el receptor. Para utilizar este tipo de sensores en terrenos que no son planos, se requiere un amplia preparación
del lugar.

Un tipo diferente de sensor es el de seguimiento del terreno, que detecta igualmente bien en terreno plano e irregular. Elementos transductores y un campo
radiado siguen el terreno, creando una detección uniforme en toda la zona de detección.

Volumétrico o Detección Lineal

Un sensor volumétrico genera una alarma cuando un intruso entra en el volumen de detección. Puede ser difícil para un intruso determinar qué espacio está
bajo el área de detección.

Los sensores de detección lineal captan el movimiento a lo largo de una línea. Algunos sensores de detección lineal detectan el movimiento en una cerca si
el intruso mueve el material de la cerca donde está conectado el sensor. La zona de captación de un sensor de detección lineal es generalmente fácil de
identificar por un intruso.

Aplicación
Los sensores pueden ser agrupados en varias categorías. Considerando su modo de aplicación en el espacio físico de detección, podemos dividirlos en los
siguientes grupos:
• Enterrado
• Asociado a una valla
• Auto soportados (freestanding)

Se han publicado muchas reseñas sobre tecnología de sensores, las que complementan el material presentado en este capítulo (Barnard, 1988; Cumming,
1992; Fennelly, 1996; Williams, 1988).

TIPOS DE SENSORES DE INTRUSIÓN EXTERIOR

4.3.2
Esta sección describe los sensores de exterior más comunes a un muy alto nivel. Los detalles adicionales se pueden encontrar en Garcia (2006 y 2008). El
uso de sensores perimetrales exteriores generalmente se limita a instalaciones gubernamentales, nucleares o cárceles.

Cable Coaxial con Portadora (Ported Coaxial Cables)

Un sensor de cable coaxial con portadora es activo, encubierto, de seguimiento en terreno y enterrado. También se les conoce como sensores de cable
radiante o coaxiales con fugas, responden al movimiento de material con una alta constante dieléctrica o con alta conductividad. El cuerpo humano y los
vehículos de metal tienen esas características.

El conductor externo de este tipo de cable coaxial no proporciona una completa protección al conductor central, por lo que algunas de las señales se fugan a
través de los agujeros del conductor externo. El volumen de detección de los sensores coaxiales se extiende a unos 1,5 a 3,0 pies (0.46 a .91m) sobre la
superficie y cerca de 3 a 6 pies (0.91 a 1,83m) más ancho que la separación entre cables. Este tipo de sensor es más sensible en suelo congelado que en el
descongelado. Parte de la energía del terreno es absorbida por el suelo conductor y la conductividad del suelo congelado es inferior a la de la tierra
descongelada.

El movimiento de objetos metálicos y el movimiento del agua son las dos mayores fuentes de alarmas no deseadas de los sensores de línea coaxial. Para
evitar distorsionar el campo, los objetos metálicos cercanos o las líneas de servicios públicos (alcantarillado, electricidad, etc.) deben ser excluidos del
volumen de detección.

La probabilidad de detección (PD) del sensor de cable coaxial es afectada por la configuración del procesador, la orientación del intruso, las características
del suelo y la presencia de metales, incluyendo grandes cantidades de sal o de metales en el suelo.

Sensores de Perturbación de Cercas (Fence Disturbance Sensors)

Lo sensores de alteración de vallas o cercas son pasivos, visibles y de seguimiento de terreno. Generalmente se instalan en las cercas de mallas metálicas.
Se consideran de seguimiento de terreno porque la malla metálica sigue el terreno.

Estos sensores pueden captar el movimiento o choque, orientados principalmente a detectar un intruso que trepa o corta el material de la cerca. Para
detectar el movimiento o vibración de la cerca se utilizan varia clases de transductores, tales como interruptores, transductores electromecánicos, cables
sensibles a la tensión, cristales piezoeléctricos, geófonos, cable de fibra óptica y cable eléctrico.

Las alarmas no deseadas pueden ser originadas por el viento, escombros o lluvia arrastrados por el viento, el granizo y la actividad sísmica provocada por
el tráfico y maquinaria circundante. El uso de postes rígidos y cercos de malla de tejido apretado minimiza las alarmas no deseadas. Los postes de la cerca
no deben moverse más de 0,5 pulgadas (12,7mm) por una tracción de 50 libras (22,7kg) aplicada a 5 pies (1,5m) del suelo. El material de la cerca debe
variar un máximo de 2,5 pulgadas (6,4cm) para una tracción de unas 30 libras (13,6kg) centrado entre los postes de la cerca. La instalación de sensores en
el lado interior de la cerca de un sistema de doble valla puede reducir las alarmas no deseadas, permitiendo que la valla exterior bloquee la basura u otros
desecho y mantenga a los animales pequeños alejados de la cerca interior. Es mejor no colocar objetos móviles en la valla (como señales o lazos sueltos),
ya que pueden generar alarmas no deseadas.

Las maneras de derrotar o anular un sensor de perturbación de una cerca incluyen: hacer un túnel debajo de la cerca o cruzar por encima de ella sin tocarla.
Para disuadir la excavación, se puede colocar concreto debajo de la cerca e incluso poner el borde inferior del material de la cerca dentro del concreto. La
PD de los sensores de perturbación de cerca depende no sólo de los problemas de instalación (tensión de la malla, ajustes del procesador de la cerca, la
rigidez de la cerca o el ruido circundante), sino también de la posición del adversario para saltar la valla. Si el adversario sube por encima de la cerca con
una escalera y no toca la valla, la PD será muy baja o cero.

Sensores de Cercas (Sensor Fences)

Los sensores para cercas son pasivos, visibles y siguen el terreno que forma la cerca fuera de los propios elementos transductores. Están diseñados
principalmente para detectar escalamientos o cortes en la cerca. Se encuentran en distintas configuraciones.

El sensor de alambre tensado (Taut-wire) consiste en muchos alambres horizontales, paralelos, con alta resistencia a la tracción, conectados bajo tensión a
los transductores. Los transductores detectan desviaciones de los cables, tales como las causadas por un intruso al cortar los cables, o cuando los escala para
pasar la cerca, o la separación de los cables al subir a través de la cerca. El alambre normalmente es de púas y los transductores son interruptores
mecánicos, medidores de tensión o elementos piezoeléctricos. Los sensores de cable tensado se pueden montar en postes ya existentes, o bien, instalados en
una fila independiente de postes.

Los sensores de cercas tiende a ser menos susceptibles a las alarmas no deseadas que los sensores de perturbación de cercas, debido a que los transductores
no son sensibles a las vibraciones y requieren una fuerza de aproximadamente 25 libras en el alambre para causar una alarma. Sin embargo, los sensores de
cercas son vulnerables a los mismos métodos de anulación de los sensores de perturbación. Para las cercas de alambre tensado, la mayoría de las alarmas
no deseadas provienen de animales grandes que caminan en la cerca, instalación o mantenimiento inadecuado y las tormentas de hielo.

La PD de los sensores de alambre tensado se ve afectada por varios factores: la tensión de los cables, la fricción del alambre y el espaciado del alambre. Si
la separación entre dos alambres es lo suficientemente grande como para permitir que una persona pase a través de ellos sin ser detectada, la PD será
mucho menor que si el espaciamiento se mantiene a 4 pulgadas (10cm) o menos (Greer, VTW-250 y VTW-300, 1990).

Campo Eléctrico o Capacitancia (Capacitance)

Los sensores de campo eléctrico o capacitivos son activos, visibles, siguen el terreno y están diseñados para detectar un cambio en el acoplamiento
capacitivo entre un conjunto de cables conectados, pero eléctricamente aislados, a una cerca. La sensibilidad de este tipo de sensores se puede ajustar para
extenderse hasta 3,3 pies (1m) más allá de los cables. Sin embargo, una alta sensibilidad por lo general da origen a mayor cantidad de alarmas no deseadas.
Los sensores de campo eléctrico o capacitancia pueden ser activados por un rayo, la lluvia, un movimiento en la proximidad y animales pequeños. Las
tormentas de hielo pueden dañar los cables y los aisladores. Una buena toma de tierra de los sensores y de objetos metálicos en el campo del sensor pueden
reducir las alarmas no deseadas. En comparación con otros sensores de cercas, los de campo eléctrico son más difíciles de derrotar pasando por debajo o
encima porque el volumen de detección se extiende más allá del nivel de la cerca (Follis, 1990).

Estos sensores pueden ser montados en sus propios postes en lugar de la cerca. Cuando se usan sin una cerca, la ausencia de la malla metálica produce un
volumen de detección más amplio y una cantidad de alarmas no deseadas menor. Para su uso aislado, algunas técnicas de procesamiento de señales
electrónicas utilizan cables adicionales en el plano horizontal para reducir los efectos de los rayos distantes y de los animales pequeños.

Sensores Infrarrojos Auto soportados

Los sensores infrarrojos (IR) utilizados para la detección de intrusión exterior son activos, visibles, de línea de visión directa y auto soportados. En estos
sistemas un haz infrarrojo se transmite a partir de un diodo emisor de luz infrarroja por un lente colimador. En el otro extremo de la zona de detección, el
haz es recibido por un lente receptor que concentra la energía en un fotodiodo. Si un objeto opaco bloquea el haz, el sensor infrarrojo detecta la reducción
de energía infrarroja recibida. Estos sensores funcionan a una longitud de onda de alrededor de 0,9 micrones, que no es visible para el ojo humano.

Para aplicaciones de seguridad de alto nivel, es usual utilizar sensores de haces múltiples, ya que un solo rayo infrarrojo es muy fácil de derrotar. Un
sistema de sensores infrarrojos de haces múltiples por lo general se compone de dos arreglos verticales, un arreglo con módulos que emiten los rayos IR y
el otro que los recibe. El número y la configuración de los módulos depende del fabricante. El sensor IR crea una valla IR de múltiples haces. Los sensores
de rayos múltiples suelen incorporar la electrónica para detectar los intentos de burlar los rayos con una fuente de IR alternativa.

Las condiciones atmosféricas (niebla, nieve, tormentas de polvo) pueden bloquear los IR y causar alarmas no deseadas. El pasto, cualquier otro tipo de
vegetación y los animales también pueden dar origen a alarmas no deseadas. La zona comprendida entre los postes IR debe permanecer despejada, ya que
incluso la hierba recortada puede ser movida por el viento y causar una alarma. Otras fuentes de alarmas no deseadas incluyen el levantamiento del suelo,
mala alineación óptica y la nieve profunda.

El corte transversal del volumen de detección de un sensor infrarrojo de haces múltiples, comúnmente es de 2 pulgadas (5cm) de ancho y 6 pies (1,8m) de
altura. Por lo tanto, así como los sensores de barrera, los sensores IR tienen un plano de detección estrecho. Los rayos IR viajan en línea recta, por lo que
los sensores IR son considerados de línea de visión directa y requiere un superficie de suelo plana. Un terreno convexo permitiría a un intruso pasar por
debajo del rayo sin ser detectado. Excavar por debajo del rayo es posible, a menos que haya un travesaño de concreto o una superficie pavimentada. El PD
es muy alto para un sensor de haces múltiples, no obstante, estos sensores pueden ser burlados o anulados a través de un puente, un salto con una vara,
pasando o deslizándose entre los rayos.

Sensores de Microondas Biestáticos

Los sensores de microondas biestáticos son activos, visibles, de línea de visión directa y auto soportados. En una instalación típica, se instalan dos antenas
de microondas idénticas en los extremos opuestos de la zona de detección. Uno está conectado a un transmisor de microondas que funciona
aproximadamente a 10 Gigahertz (GHz) o 24 GHz. El otro está conectado a un receptor que detecta la energía de microondas recibida. La cantidad de
energía recibida es igual a la suma vectorial del rayo directo entre las antenas y las señales de microondas reflejadas desde la superficie del terreno y otros
objetos en el haz transmitido. Los sensores de microondas responden a los cambios en la suma vectorial causado por objetos en movimiento. La suma
vectorial puede aumentar o disminuir, en la medida que la señal reflejada pueda adicionarse en-fase o fuera de fase.

Los sensores de microondas biestáticos a menudo se instalan para detectar un ser humano arrastrándose o rodando por el suelo a través del haz del
microondas, manteniendo el cuerpo paralelo al haz. Desde este punto de vista, el cuerpo humano representa el objetivo eficaz más pequeño para un sensor
de microondas biestático. Esto tiene dos consecuencias importantes para la instalación de los sensores de microondas. En primer lugar, la superficie del
terreno entre el transmisor y el receptor debe ser plana para que los objetos no produzcan sombras que impidan al rayo microonda la detección. La
especificación de planitud (flatness) de la superficie para este caso es de +0, -6 pulgadas (15,2cm). Incluso con este nivel de planitud quienes se arrastren
pueden no ser detectados si la distancia entre las antenas es mucho mayor a 120 yardas (109,7m). En segundo lugar, existe una zona de no detección en los
primeros metros frente a las antenas. Esta distancia desde las antenas hasta el primer punto de detección de una persona arrastrándose se denomina
distancia de fuera de detección (Offset distance). Debido a esta distancia fuera de detección, en los perímetros largos, donde los sensores de microondas
están configurados para lograr una línea continua de detección, se requiere que las antenas se superpongan entre sí, en lugar de ser adyacentes entre sí.
Normalmente, con fines de diseño, se asume un desplazamiento de 10 yardas (9,1m); los sectores adyacentes deben superponer dos veces la distancia de
desplazamiento, para un total de 20 yardas (1,83m). Otros requisitos incluyen la altura de la antena, que debe ser de 18-24 pulgadas (45,7-60,1cm) por
sobre la superficie de la base del sensor, y la pendiente del plano de operación no puede permitir más de 1 pulgada (2,5cm) de cambio de elevación en 10
pies (3m) desde cualquier punto en la superficie del plano. Puesto que la primera causa de alarmas no deseadas en sensores de microondas biestáticos es el
agua estancada, el sensor funciona mejor cuando la superficie de la base del sensor está hecha de 4 pulgadas (10,2cm) de grava de lecho de río, no mayor
que 1,5 pulgadas (3,8cm) en diámetro, de color neutro de preferencia para fines de evaluación. Si la grava es mayor, la lluvia seguirá produciendo alarmas
no deseadas. Se puede utilizar roca triturada de 1 pulgada (2,5cm). Las piedras más pequeñas se llenan rápidamente con tierra y no drenan adecuadamente.

El volumen de detección de los sensores de microondas biestático varía, pero es un gran volumen en comparación con la mayoría de los sensores de
intrusión. El corte transversal de detección más grande está en la mitad de la distancia entre las dos antenas y es de aproximadamente 4 yardas (3,7m) de
ancho y 3 yardas (2,7m) de alto.

Los sensores de microondas toleran muchas condiciones ambientales sin producir alarmas no deseadas, pero ciertas condiciones ambientales dan lugar a
problemas. La vegetación no debe ser superior a 1-2 pulgadas (2,5-5cm) de altura, aunque es mejor no tener ningún tipo de vegetación en la zona. Una
cerca de malla metálica suelta que se dobla con el viento puede causar alarmas no deseadas. La superficie plana, requisito para detectar alguien que se
arrastra, debe tener un declive transversal para el drenaje del agua y es recomendable utilizar grava para evitar que el agua se estanque en la superficie de
esa área. Una ventisca de nieve fuerte puede producir alarmas no deseadas, la acumulación de nieve reduce la probabilidad de detección, especialmente
para un intruso arrastrándose y una antena completamente enterrada en la nieve producirá una alarma constante. Derrotar al sensor pasando por arriba o
cavando por abajo es difícil debido a la extensión del volumen de detección. Adversarios más sofisticados podrían utilizar transmisores secundarios como
una forma de derrotar o anular la acción del sensor.

Debería utilizarse algún tipo de barrera alrededor de los sensores de microondas biestáticos exteriores para reducir la posibilidad de alarmas no deseadas y
para ayudar a mantener la zona en buenas condiciones. Estos sensores no son prácticos en aquellos lugares con colinas, árboles u otros elementos naturales
que obstruyen el haz.

Detector Exterior de Movimiento por Video

Los detectores de movimiento por video (VMD de ahora en adelante, por sus siglas en inglés) son sensores pasivos, encubiertos, de línea de visión directa
que procesan las señales de cámaras de video de circuito cerrado de televisión (CCTV). Las cámaras pueden ser usadas simultáneamente para detección,
vigilancia y evaluación de la alarma. Para un funcionamiento de 24 horas se requiere de iluminación.

Los VMD detectan un cambio en el nivel de la señal de video de una porción delimitada del área visualizada. Esta porción puede ser un rectángulo grande,
un conjunto de puntos discretos o una malla o cuadrícula rectangular. La detección del cuerpo humano es confiable excepto con niebla, nieve, lluvia
torrencial o en la oscuridad. Si la resolución del video no es suficiente para permitir que un operador rápidamente determine el origen de una alarma, el
VMD no funcionará bien.

El uso de VMD al aire libre pueden encontrar muchas fuentes potenciales de alarmas no deseadas, tales como un movimiento aparente de la escena debido
a que los soportes de la cámara son inestables, los cambios en la iluminación debido a la sombra de nubes, reflectores brillantes o los faros de los vehículos,
y de objetos que se muevan como aves, animales, escombros que sopla el viento y precipitaciones. Las tácticas para evitar la detección incluyen el
aprovechamiento de las malas condiciones de visibilidad y que se confundan con el fondo (Ringler y Hoover, 1994; Matter 1990). La detección de
movimiento por video permite al personal de seguridad evaluar la alarma proporcionándole una imagen de video. El área de la imagen que contiene el
movimiento detectado generalmente destaca o resalta para permitir una respuesta rápida y apropiada. Una sola cámara puede proteger un área extensa,
limitada solamente por el campo de visión que proporciona la lente y la resolución de la cámara, o puede proteger áreas seleccionadas dentro del campo de
visión a través de la utilización del enmascaramiento (seleccionar sólo una parte o partes de la escena de visualización que la VMD protegerá, ignorando la
actividad en la parte no enmascarada). El enmascaramiento permite al VMD discriminar entre múltiples zonas creadas en la vista de una cámara.
Dependiendo del desempeño deseado, el sistema puede ser extremadamente sensible, hasta un solo pixel de video. Sin embargo, hay un equilibrio entre la
sensibilidad aceptable y la tasa de alarmas no deseadas; la sensibilidad aumentada se traduce en un aumento del número de alarmas no deseadas.

Los VMD antiguos utilizan tecnología analógica. Estos aún están en producción y pueden ser muy eficaces dependiendo de la configuración de la
sensibilidad del sistema, sin embargo, ofrecen una capacidad limitada para analizar una imagen y excluir falsas alarmas, tales como hojas de árboles o las
olas en un estanque de agua dentro de la zona de visión de la cámara. Los VMD digitales son cada vez más comunes. También son más caros, pero abordan
algunas de las deficiencias de sus homólogos analógicos. Los VMD digitales utilizan convertidores A/D (análogo a digital) para probar la señal de video
entrante y electrónicamente la convierten en un valor digital. Cuanto mayor sea la resolución de la señal de video, mayor es la precisión y el desempeño del
VMD. La detección de movimiento de alta resolución permite zonas de detección más largas, menos cámaras y la detección de objetos de movimiento más
lentos, más pequeños, a distancias más largas.

Las variables pueden ser ajustadas en un VMD para optimizar las capacidades de detección y minimizar las alarmas no deseadas. Como se señaló
anteriormente, una función de enmascaramiento permitirá un número variable de zonas de detección y la modificación de las dimensiones del área de
detección. El tamaño del objetivo y la sensibilidad se puede ajustar a una aplicación en particular. Se pueden implementar características de seguimiento
para ayudar a la evaluación del video. Los VMD digitales tienen cierta capacidad de adaptación a los cambios de iluminación graduales del entorno y para
algunas vibraciones en la cámara. Hay también una capacidad limitada para discriminar entre el viento, la lluvia, la nieve, las hojas que mueve el viento y
los animales pequeños o las aves. Incluso con el ajuste óptimo de variables, los VMD analógicos de gama baja son más adecuados para detectar cualquier
movimiento en la escena. Por otra parte, usando los ajustes apropiados, los VMD digitales de gama alta generalmente son buenos para rechazar alarmas no
deseadas, detecciones muy pequeñas (nivel de pixeles) y la estimación de la dirección del movimiento. También pueden ser muy eficaces en zonas de bajo
contraste mal iluminadas con movimiento lento.

La tecnología del VMD es más efectiva al utilizarla en conjunto con otros sensores. Los desarrolladores de VMD continuamente están mejorando los
algoritmos para el uso de la tecnología en una amplia gama de aplicaciones. El uso de VMD siempre ha sido efectivo en usos interiores; con el avance de
los VMD digitales, cada vez se hace más popular su aplicación en entornos exteriores también. Los avances en los últimos años han ampliado la tecnología
del VMD a tres dimensiones. Un VMD en tres dimensiones (3D VMD) aumenta la capacidad de detección y proporciona información 3D que se puede
utilizar como ayuda en las decisiones de evaluación, tales como filtrado inteligente de alarmas no deseadas, clasificación y selección de objetos en
movimiento y detección volumétrica. Las tecnologías VMD son ideales para usos interiores, proporcionando una buena capacidad de detección y bajos
NAR. Con respecto al uso exterior del VMD, es necesario más desarrollo para reducir los excesivos NAR antes de implementarlo en sitios de alta
seguridad. Si el VMD se utiliza en conjunto con otros sensores exteriores, se podría usar un ajuste de sensibilidad inferior para reducir las alarmas no
deseadas y todavía proveer al operador de una cierta capacidad de evaluación visual.

4.3.3 OTROS CONCEPTOS DE SENSOR DE EXTERIOR

Madurez de la Tecnología
Quienes toman decisiones en el gobierno y en el sector comercial están continuamente buscando tecnologías que proporcionen una mayor seguridad dentro
de un presupuesto limitado. Cuando las nuevas tecnologías llegan al mercado ¿Cómo determina la persona que toma la decisión (o el diseñador para este
caso) si la tecnología está lista para la implementación? Hay una preocupación cada vez mayor por el hecho que los encargados de tomar decisiones y los
diseñadores de sistemas de seguridad, sin saberlo, pueden aceptar riesgos significativos si una tecnología de seguridad inmadura, es presentada antes de
tiempo. Uno de los enfoques utilizados para abordar este problema es el modelo de madurez para las tecnologías de seguridad.

El modelo incluye lo siguiente:

• Investigación. Se establece la base científica, pero la aplicación en seguridad no necesariamente ha sido identificada. Un ejemplo podría ser el
descubrimiento de las propiedades ferro eléctricas del niobato de litio, un material que se ha utilizado para detectar la energía IR en los detectores IR.
• Nivel I. Se establece el concepto de Viabilidad en una demostración de laboratorio.
• Nivel II. Prototipo de Investigación. Se construye a mano un prototipo en un laboratorio, se rompe frecuentemente y no puede resistir un entorno
operativo.
• Nivel III. Prototipo de Ingeniería. Este prototipo tiene aproximadamente el 90 por ciento de la funcionalidad; la confiabilidad está mejorando.
• Nivel IV. Prototipo de Campo. Este prototipo totalmente funcional trabaja en un entorno operativo; produce resultados confiables y repetibles; es
impulsado y aceptado por los usuarios; y está listo para pasar a producción a gran escala.
• Nivel V. Tecnología disponible en el comercio (Comercial of the Shelf, COTS de ahora en adelante, por sus siglas en inglés). Las unidades
reproducidas en fábrica están disponibles, con infraestructura necesaria para las piezas de reemplazo y el apoyo tecnológico.
• Nivel VI. Prueba de Funcionamiento. Esta prueba se realiza para establecer parámetros de medición, tales como la probabilidad de detección, las
NAR, la vulnerabilidad de anulación, los factores de degradación de funcionamiento y la interferencia de sensor a sensor. Este tipo de prueba tarda
aproximadamente 12 meses para usos en exteriores, de modo que se puedan observar todas las condiciones climáticas.
• Nivel VII. Pruebas in situ. Esto se hace para determinar el funcionamiento real en el entorno operativo deseado, vegetación, clima y terreno,
incluyendo la integración en la estación de monitoreo del lugar.
• Nivel VIII. Factores de madurez no técnicas. Este es el concepto de funcionamiento del lugar, abordando cuestiones como la forma en que la fuerza
de respuesta debe usar la información proporcionada, la forma en que debe responder, y si motivos legales o normativos impiden el uso de la
tecnología.

Línea Continua de Detección

Un perímetro es un anillo cerrado alrededor de un área que necesita ser protegida. Un digno objetivo de diseño es asegurar la detección uniforme alrededor
de toda la longitud del perímetro. Los sensores deben formar una línea continua de detección en todo el perímetro, por lo que el hardware debe estar
configurado de manera que la zona de detección de un sector del perímetro se traslape con la zona de detección de los dos sectores adyacentes. En las zonas
en que el principal tipo de sensor no pueda ser implementado correctamente, se debe utilizar un sensor alternativo para cubrir la brecha o espacio.

Protección en Profundidad
En este contexto, la protección en profundidad significa el uso de múltiples líneas de detección. En sistemas de alta seguridad, se deben utilizar al menos
dos líneas continuas de detección. Algunos sistemas de sensores perimetrales incluyen tres líneas de sensores (por ejemplo, un sensor enterrado, un sensor
asociado a una valla y un sensor auto sostenido) y algunos tienen cuatro. El uso de múltiples líneas de sensores añade detección, aumenta la confiabilidad y
será a prueba de fallos (seguirá proporcionando algo de protección). En un sistema de líneas múltiples, un sensor puede fallar sin poner en peligro la
seguridad de las instalaciones. La eliminación de un puntos solos o de fallas de componentes garantiza una protección equilibrada, incluso en condiciones
adversas.

Sensores Complementarios
El sistema de sensores perimetrales puede ser mejor no sólo con múltiples líneas de sensores, sino también con múltiples tipos complementarios, por
ejemplo, microondas e infrarrojos activos. Este enfoque aprovecha las ventajas de las distintas tecnologías de sensores y diferentes PD, NAR y
vulnerabilidades. El resultado es la capacidad de detectar una amplia gama de intrusos, mantener la operación durante varias perturbaciones ambientales e
incrementar la dificultad para intrusos de burlar el sistema.

Los sensores complementarios son una alternativa a los sensores de tecnología dual, permitiendo a los sensores individuales rendir al máximo y no verse
comprometidos por la localización conjunta y el filtrado. La instalación de sensores complementarios puede ser cara, pero ofrece un nivel de protección
más alto, razón por la cual es preferida en usos de alta seguridad.

Las combinaciones de sensores complementarios incluyen microondas/infrarrojo, microondas/cable coaxial con portadora, cable coaxial con
portadora/infrarrojo. Los patrones de detección deben sobreponerse para que los sensores sean complementarios. Una combinación de sensor
microondas/sensor de cerca no sería complementaria porque los patrones de detección no se sobrepondrán sin causar graves problemas de alarmas no
deseadas. La combinación Microondas biestático/microondas mono estático tampoco sería complementario, ya que ambos son susceptibles a los mismos
mecanismos de derrota, anulación y fuentes de alarmas no deseadas.

Esquemas de Prioridad
Una desventaja de tener líneas de sensores múltiples es que pueden producirse más alarmas no deseadas. Si el operador del sistema es sobrepasado, la
eficacia del sistema disminuye. La razón es que la probabilidad de detección disminuye, en la medida que se incrementa el tiempo necesario para evaluar
alarmas (este concepto es explicado en profundidad en el Capítulo 5, Subsistemas de Video y Evaluación de Alarmas). El subsistema de evaluación debe
ayudar al operador a evaluar la información de la alarma. Una buena ayuda es un computador que establezca el orden de evaluación de múltiples alarmas
simultáneas. El computador establece la prioridad basado en la probabilidad que un incidente de alarma corresponda a una intrusión real. Las alarmas se
muestran al operador en orden decreciente de prioridad hasta que todas han sido evaluadas. Este punto se analiza con más detalle en el Capítulo 7,
Comunicación de Alarma y Visualización.

Combinación de Sensores
Un sensor o un sistema de sensores debe tener una alta probabilidad de detección (PD) para todos los tipos de intrusión previstos y una baja tasa de alarmas
no deseadas (NAR) para todas las condiciones medioambientales esperadas. Actualmente, ningún sensor exterior cumple totalmente con los dos criterios,
todos tienen una capacidad de detección limitada y altas tasas NAR bajo ciertas condiciones ambientales.

Las dos principales técnicas de combinación de sensores son la combinación OR y la combinación AND. Un sistema puede incluir dos o más sensores con
sus salidas combinadas por una puerta OR de modo que se genera una alarma cuando se activa cualquier sensor. Esta combinación es útil cuando los
sensores compensan las deficiencias de cada uno; cada sensor puede detectar algún tipo de intrusión en particular. Los sensores que detectan a nivel de
suelo, por sobre la cabeza y a través de túneles deberían combinarse con una puerta OR. La tasa de alarmas no deseadas de la combinación OR (NAR
(OR)) es la suma de la NAR de cada sensor. Debido a que los resultados de esta combinación dan lugar a un aumento de la NAR, se considera más útil para
los sensores que tienen baja NAR individualmente.

Si las alarmas no deseadas de los sensores no están correlacionadas, la tasa de alarmas no deseadas se puede reducir significativamente mediante la
combinación de sensores con una puerta AND. Por ejemplo, un sensor sísmico y un sensor de campo eléctrico no dan alarmas correlacionadas, ya que
responden a diferentes cosas. Si ambos son activados al mismo tiempo, es probable que hayan detectado una intrusión. Dado que el intento de intrusión no
puede activar dos o más sensores al mismo tiempo, el sistema se puede diseñar para generar una alarma si dos o más sensores se activan dentro de un
determinado período. Un intervalo largo ayuda a garantizar la detección de intrusos que se mueven lentamente, pero si el intervalo es demasiado largo, la
NAR no podrá reducirse suficientemente.

La probabilidad de detección de la combinación AND (PD (AND)) es menor que la probabilidad de detección de cada sensor. Si el desempeño de
detección es independiente y la cobertura de los sensores es redundante, la PD de la combinación es igual al producto de las PD individuales. Para
garantizar una probabilidad de detección razonable para el sistema, la probabilidad de detección para cada sensor debe ser alta.

La tasa de alarmas no deseadas de la combinación AND, NAR(AND), es menor que la tasa de alarma accidental de cada sensor. Sin embargo, el esquema
AND resulta en una menor PD porque el intruso sólo debe derrotar un sensor.

Zona Despejada
Un sistema perimetral de detección de intrusión funciona mejor en una zona despejada o de aislamiento (clear zone). La zona despejada aumenta la
probabilidad de detección, reduce las alarmas no deseadas y previene la derrota. También facilita la buena evaluación visual de las causas de la alarma del
sensor.

Una zona despejada es definida generalmente por dos cercas paralelas que se extienden por toda la longitud del perímetro. Las cercas mantienen a las
personas, animales y vehículos fuera de la zona de detección, y el área entre ambas cercas habitualmente se mantiene libre de todo tipo de estructuras en la
superficie, incluidas las líneas aéreas de servicios o plantas. Cuando las zonas despejadas están limitadas por dos vallas paralelas, no debería colocarse
sensores por fuera de la valla, donde son susceptibles a las alarmas no deseadas y a los escombros que arrastra el viento o animales pequeños. La
evaluación por video fuera de la valla es difícil debido a la incapacidad de la cámara para ver a través del material de la cerca. Las zonas despejadas, con
múltiples sensores complementarios, generalmente se reservan para el uso en instalaciones de alta seguridad, como centrales nucleares, prisiones, bases
militares, u otras instalaciones de gobierno.

Configuración del Sensor

La superposición de los volúmenes de detección de los diferentes sensores en cada sector mejora el desempeño mediante la creación de un volumen de
detección más grande. Burlar un par de sensores es menos probable debido a que se debe traspasar un volumen más grande o dos tecnologías diferentes. Un
tercer sensor puede mejorar aún más el desempeño, no por la superposición con los dos primeros, sino mediante la formación de una línea de detección
separada. Las líneas de detección separadas físicamente pueden proveer información útil para determinar la prioridad de las alarmas durante un evento de
múltiples alarmas simultáneas. El orden de las alarmas en un sector (o sectores adyacentes) puede corresponder a la secuencia lógica para una intrusión.

Sistema Específico para un Sitio

Un PPS diseñado para un sitio específico no puede ser transferido a otro, ya que cada sitio tiene una combinación única de configuración y entorno físico.
El entorno físico afecta a la selección de los tipos de sensores para un sistema perimetral. Los ambientes naturales e industriales afectan las tasas de alarmas
no deseadas. La topografía determina las formas y tamaños del espacio disponible para la detección, específicamente el ancho de la zona despejada y la
existencia de un terreno plano o irregular. Estos factores generalmente sugieren un conjunto de sensores determinados. Es aconsejable establecer un sector
de demostración en el lugar, considerando los sensores según las condiciones antes de comprometerse con un sistema completo.

Protección Contra Manipulación (Tamper Protection)

Tanto el equipamiento como el diseño del sistema deberían procurar evitar la derrota por manipulación. En otras palabras, el sistema debe ser resistente a la
manipulación y a los indicadores de interferencias. Deben colocarse interruptores de manipulación en los sensores electrónicos y en las cajas de las
conexiones. Los cables de poder y de señal que estén sobre suelo deberían protegerse colocándolos en conductos de tubo metálicos. Las líneas de
comunicación de alarma deben usar línea de supervisión, la cual detecta si la línea ha sido cortada, desconectada, traspasada o se ha provocado un
cortocircuito. Si un sensor es relativamente vulnerable a la derrota, debería instalarse, dentro de lo posible, en un lugar donde el intruso ingrese o pase por
el volumen de detección al aproximarse al receptor.

Auto-Diagnóstico
La capacidad de detección de un sistema de sensores perimetrales debe ser probada regularmente. Se recomienda la prueba manual, pero requiere mucho
tiempo del personal. A través del sistema de control del computador central se pueden hacer pruebas remotas de señales de activación, en forma aleatoria,
por lo general cerrando o abriendo un interruptor. El sistema de control chequea si una alarma se produjo dentro de un tiempo determinado y si fue
restablecida dentro de otro tiempo determinado. Si no es así, puede haber un error en el equipo o manipulación y se debe generar una alarma.

Reconocimiento de Patrones
La tecnología de sensores está cambiando rápidamente debido al desarrollo de computadores de bajo costo cada vez más poderosos. Estos computadores
ahora pueden analizar el patrón de señal de los sensores, buscando patrones que son particularmente característicos de un intruso. Con el uso de redes
neuronales o software de inteligencia artificial, los computadores actualmente pueden aprender de los patrones de señal de un intruso y entonces evitar las
alarmas no deseadas. Cualquier sensor o combinación de sensores (tales como los infrarrojos inteligentes y los de vallas) con señales que no sea sólo
apagar-encender pueden permitir el análisis de sus señales.

Efectos de la Condiciones Físicas y Ambientales

Numerosas condiciones físicas y ambientales pueden afectar a los sistemas de detección exterior, tales como las siguientes:
• Topografía
• Vegetación
• Vida silvestre
• Ruidos de fondo ambientales
• Clima
• Suelo y pavimento

Estas condiciones son diferentes para cada sitio.

En el diseño de un sistema de detección exterior deben estudiarse las características topográficas tales como barrancos, laderas, lagos, ríos y pantanos. Las
colinas y laderas podrían reducirse a través de graduaciones. Para evitar movimientos sísmicos causados por corrientes de agua, puede ser necesario diseñar
drenajes para reducir el flujo del agua a través de acequias y zanjas. En un sistema perimetral se deben evitar los lagos, ríos y pantanos, ya que en el
mercado hay muy pocos sensores adecuados para el uso en agua.

La vegetación puede afectar el funcionamiento de los sensores, tanto a los subterráneos como a los que están en superficie. El movimiento que el viento
produce en árboles y plantas podría transmitirse a sus raíces y causar vibraciones que den lugar a alarmas no deseadas. Un intruso puede utilizar las plantas
o árboles para cubrirse. Ellos también pueden originar alarmas no deseadas. La vegetación atrae animales pequeños, creando más alarmas no deseadas. El
problema de la vegetación se puede controlar cortando, eliminando, limpiando o esterilizando el suelo o superficie.

Los animales grandes pueden chocar con el equipo causando daño y los animales excavadores podrían morder el aislante del cable. Los pájaros e insectos
también originan alarmas no deseadas que pueden ser difíciles de evaluar. Con una doble cerca y con productos químicos se podría controlar la fauna. Una
cerca doble y productos químicos se podrían utilizar para controlar la vida silvestre, sin embargo, las reglas locales norman el uso de venenos y repelentes.

La procedencia de ruidos de fondo ambientales, como el viento, el tráfico, las interferencias electromagnéticas, y otras fuentes sísmicas, podrían detectarse
a través de una inspección del lugar, junto con la información proveniente de las empresas de servicios públicos y de las organizaciones del ámbito de la
ingeniería.

El viento puede transferir energía a la tierra a través de árboles, postes de luz y cercas. Si los sensores están montados en las vallas, pueden generar alarmas
no deseadas debido a los vientos fuertes y la basura que esto acarrea.

El tráfico de carreteras, ferrocarriles y aeropuertos cercanos genera una alarma no deseada en los sensores sísmicos. Los caminos deben mantenerse lisos y
los límites de velocidad bajos para reducir la tasa de alarmas no deseadas. Los sensores sísmicos no son prácticos cuando se utilizan cerca de lugares con
tráfico aéreo o terrestre masivo, ya que estos son capaces de causar alteraciones sísmicas incluso a grandes distancias.

En el caso de las alarmas no deseadas por interferencia electromagnética, estas pueden ser desencadenadas por rayos, transmisiones de radio, soldaduras y
descargas eléctricas. Este tipo de alarmas no deseadas puede ser reducido protegiendo las fuentes o los sensores.

Deben tenerse en cuenta los datos climáticos del lugar. Es importante saber la frecuencia, velocidad, acumulación y duración de las tormentas de granizo,
tormentas eléctricas, tormentas de lluvia y viento. Las temperaturas mínimas y máximas promedio también deben ser consideradas, al igual que otros
factores y condiciones climáticas y ambientales.

Para los sensores sísmicos enterrados, la conductividad sísmica del medio es el factor determinante. Debe ser lo suficientemente alta para hacer que los
sensores sean efectivos, pero no tan alta como para producir alarmas no deseadas. La tierra mojada generalmente tiene buena conducción sísmica,
característica que puede llevar a alarmas no deseadas procedentes de fuentes distantes de actividad sísmica. Es probable que los sensores sísmicos
magnéticos y los sensores sísmicos tengan que ser enterrados en, o instalados bajo zonas pavimentadas con concreto o asfalto. Un sensor empotrado en el
pavimento gana sensibilidad si es acoplado adecuadamente al medio. Si no se acopla bien al medio, puede ser menos sensible que si estuviera instalado en
la tierra o enterrado bajo el pavimento. La conductividad de la tierra también afecta la sensibilidad del sensor de cable coaxial. Un suelo con alta
conductividad reduce el volumen de detección del sensor.

Protección contra Rayos

Debido a que los sensores exteriores están instalados al aire libre, están expuestos a las tormentas eléctricas en la mayoría de los sitios. Los rayos pueden
desactivar, dañar o destruir los componentes electrónicos utilizados en el equipo del sensor. Son tres las precauciones primordiales que se aplican para
reducir el daño causado por los rayos. En primer lugar, los cables de señal deben ser blindados, ya sea por la construcción interna del cable o usando un
conducto de tubo de metal. En segundo lugar, se necesita un buen sistema de tierra. Esto requiere la eliminación de los bucles de tierra y el uso de tierra en
un solo punto. Y en tercer lugar, en los extremos de los cables se pueden instalar dispositivos de supresión de transientes pasivos. Debido a que los cables
de transmisión de fibra óptica no se ven afectados por los rayos, se han vuelto muy populares para transmitir señales a larga distancia fuera de un edificio.

Integración con el Sistema de Evaluación por Video

En muchos sistemas de seguridad perimetral, se utiliza el CCTV para la evaluación de las alarmas. Para obtener mejores resultados, los diseños de los
diferentes sistemas o subsistemas deben ser compatibles. La razón es que la evaluación por video ligada a la activación del sensor reduce en gran medida la
cantidad de tiempo necesaria para determinar el origen de la alarma, maximizando así el uso de cualquier retraso disponible y aumentando la posibilidad de
éxito en la interrupción del adversario. La evaluación puede llevarse a cabo sobre los sistemas de CCTV o realizarla directamente una persona. La
evaluación por video ofrece la ventaja de facilitar la evaluación a distancia del estado de la alarma, lo que elimina la necesidad de enviar constantemente
oficiales de seguridad a determinar la causa de la alarma, lo que puede ser demasiado tarde para hacer una evaluación oportuna. Para mayor efectividad, los
sensores deben colocarse de manera que cuando se produce una alarma, la cámara que apunta a esa zona pueda visualizar toda la zona.

Además, debe ser considerada la ubicación de la torre de la cámara dentro de la zona despejada (clear zone). La cámara debe ser capaz de visualizar toda la
zona. Los sensores deben estar lo suficientemente lejos de la torre de la cámara para evitar las alarmas no deseadas y la distorsión del volumen de
detección. A menudo, la torre de la cámara se coloca a 1-2 yardas (0,9-1,8mt) dentro de la valla exterior de la zona despejada para evitar su uso como
puente por un adversario.

Integración con el Sistema de Barrera de Demora

Un PPS equilibrado e integrado por lo general incorpora barreras o sistemas que no permitan el acceso, a fin de proporcionar un tiempo de retardo para
realizar la evaluación por video del origen de la alarma y para que la fuerza de respuesta responda a una intrusión. En muchos casos esta estrategia incluye
una barrera en el perímetro, sin embargo, la barrera no debe perjudicar el funcionamiento de los sensores u obstaculizar parte de la vista de la cámara. Las
barreras perimetrales generalmente se instalan en, o cerca de la zona despejada interior de la valla. Esta ubicación es importante, ya que evita que el intruso
intente cruzar o cruce la barrera sin pasar primero por la zona de detección. Esta ubicación asegura que la acción de respuesta pueda iniciarse antes de que
comience el tiempo de demora.

Procedimientos
Como se ha señalado, un sistema de seguridad efectivo representa una integración exitosa de personas, procedimientos y equipos. En los sistemas de
detección de intrusión exterior, es importante establecer procedimientos relacionados con la instalación, mantenimiento, pruebas y funcionamiento. El
personal actual y los que vengan necesitan ser capacitados en estos procedimientos, para que aprendan los conceptos básicos y para que estén al tanto de las
nuevas tecnologías.

Las instrucciones de instalación del fabricante pueden ser un punto de partida adecuado, pero debido a que muchos fabricantes satisfacen tanto al mercado
de seguridad de alta y de baja gama, los usuarios deberían ser capaces de optimizar el funcionamiento del sensor yendo más allá de las instrucciones. Por
ejemplo, varios fabricantes de sensores microondas afirma que sus unidades operarán a una separación de hasta 300 yardas (274,3m). Puede que esto sea
así, pero a esa distancia el sensor no detecta un intruso arrastrándose. Muchos fabricantes de sensores de cercas sugieren utilizar un sensor de perturbación
en una esquina, pero no es práctico evaluar ese tipo de zona de sensor.

Todos los sensores y sus componentes asociados necesitan un mantenimiento periódico. Se debe realizar regularmente una calibración, control de
sensibilidad, alineación e inspección visual para mantener los componentes del sensor funcionando en su máximo. Un mantenimiento deficiente afecta la
PD y la NAR y puede hacer que un sistema quede más vulnerable y sea derrotado.

También se deben realizar pruebas de funcionamiento con cierta regularidad, para asegurarse de que el componente del sensor está contribuyendo tal como
se espera a la eficacia global del sistema. Las pruebas se deben hacer de día y de noche para comprobar que el sensor funciona de la manera esperada
contra las amenazas base del diseño. Las pruebas deben hacerse pensando en adversarios que se muevan a distintas velocidades: caminando/corriendo
(lento y rápido) y arrastrándose. Esto también sirve para probar con qué lentitud puede moverse un objeto para evitar la detección. Idealmente deben
utilizarse pruebas estandarizadas. Se necesitan diferentes métodos de prueba para diferentes tipos de sensores. Por ejemplo, para probar los sensores
microondas, se puede usar una esfera de aluminio para simular un intruso arrastrándose. Este tipo de pruebas produce resultados más precisos y repetibles,
que los que se obtienen mediante las pruebas de arrastre real. Para los sensores infrarrojos, una prueba estandarizada sería la de medir los factores de
atenuación.
Es importante desarrollar planes de contingencia y procedimientos para implementarlos en caso de que un sensor en particular u otro equipo se pierda.
Estos planes deben indicar cuándo van a ser utilizados, por ejemplo, si se han perdido dos de los tres sensores perimetrales. Si el plan incluye medidas de
compensación (sensores portátiles, oficiales de seguridad), estas medidas deben ser especificadas. Los procedimientos específicos deben ser definidos de
antemano y estar fácilmente disponibles para los operadores para su aplicación.

Después de establecer los procedimientos para el mantenimiento, prueba y operación de los sensores exterior, es hora de que el personal de la instalación
recolecte, guarde y mantenga la documentación clave. Tendrán que buscar los procedimientos requeridos, recomendados y de solución de problemas, así
como los registros de mantenimiento para cada sensor, los registros de capacitación de los empleados y los resultados de cualquier instancia única, tal como
la causa de una falsa alarma.

4.4 SENSORES INTERIORES

En un sistema con procedimientos administrativos, controles de acceso y la supervisión del material, los sensores de intrusión interiores pueden ser
altamente eficaces contra las amenazas internas. Si los sensores de intrusión están correctamente ubicados, mantenidos y probados, pueden generar alarmas
en respuesta a actos no autorizados o a la presencia no autorizada de tanto de personal propio como de extraños.

Así como con los sensores exteriores, se requiere de criterios específicos para medir la eficacia de los sensores interiores. Por ejemplo, la declaración “Los
sensores volumétricos detectarán a un individuo moviéndose en un rango de 1 pie por segundo (30,5cm/seg) o más rápido dentro del campo de visión total
del sensor” es una especificación clara y medible para el funcionamiento del sensor interior.

Las fuentes comunes de alarmas no deseadas de los sensores interiores incluyen efectos electromagnéticos, acústicos, térmicos, meteorológicos, sísmicos y
ópticos, así como la fauna (pájaros, insectos, animales). Las falsas alarmas son aquellas alarmas no deseadas generadas por el equipo en sí (ya sea por un
mal diseño, mantenimiento inadecuado o fallo de un componente). Los diferentes tipos de sensores de intrusión tienen diferentes sensibilidades frente a
estas fuentes de alarmas no deseadas o falsas alarmas, tal como se discute en detalle más adelante en este capítulo.

Un sistema de detección de intrusión interior es vulnerable a los ataques tanto de personal interno como de extraños. Debido a que al personal interno se le
ha dado autorización de acceso a un área o instalación, muchos de los sensores exteriores perimetrales no están en la línea de detección del personal
interno. Los sensores interiores, por otra parte, pueden ser útiles para la detección de robos o sabotajes proveniente de personal interno, como para los
ataques por parte de extraños.

Los sensores interiores generalmente se colocan en modo acceso durante las horas habituales de trabajo, haciéndolos más susceptibles a la manipulación
por parte de personal interno. En muchos sistemas de monitoreo de alarmas, el modo acceso significa que las alarmas de los sensores se enmascaran
temporalmente para que las alarmas no se muestren en la estación de monitoreo de alarma. El personal interno perteneciente a mantenimiento,
probablemente tiene mayores oportunidades y los conocimientos técnicos necesarios para intervenir los sensores o el sistema, en comparación con otros
empleados. Las vulnerabilidades creadas por el personal interno técnicamente capaz incluyen la reducción de la sensibilidad del sensor, el cambio del área
de cobertura de un sensor o el cambio de las características de un área de la zona. Estas acciones no pueden desactivar por completo el sensor, pero podrían
crear un agujero en la detección.

4.4.1CLASIFICACIÓN
Hay varias maneras de clasificar los tipos de sensores de intrusión. En esta discusión, los siguientes métodos de clasificación se usan para los sensores de
intrusión interior.
• Activo o pasivo
• Encubierto o visible
• Volumétrico o Lineal
• Aplicación

Activo o Pasivo
Una manera útil de ver los sensores interiores y su interacción con el entorno es considerarlos en dos categorías: activos y pasivos. Los sensores activos
transmiten una señal desde un transmisor y, con un receptor, detectan los cambios o reflejos de esa señal. El transmisor y el receptor pueden estar
separados, en cuyo caso la instalación se llama biestática, o pueden estar situados juntos, en cuyo caso la instalación se llama monoestática. Estos sensores
activos generan un campo de energía cuando el sensor está funcionando. Un adversario muy sofisticado podría utilizar este campo para detectar la
presencia del sensor antes de entrar en la zona de detección activa.

Los sensores pasivos se diferencian de los activos en que no producen señal desde un transmisor y son simplemente receptores de energía en la proximidad
del sensor. Esta energía puede deberse a la vibración (una persona que camina o un vehículo), energía infrarroja (de un ser humano o de un objeto caliente),
actividad acústica (sonidos de un ingreso a la fuerza) o un cambio en la configuración mecánica del sensor (en el caso de los dispositivos electromecánicos
más simples). La distinción entre activo y pasivo tiene una importancia práctica. La presencia o ubicación de un sensor pasivo puede ser más difícil de
determinar que la de un sensor activo, lo que pone al intruso en desventaja. En ambientes con vapores o materiales explosivos, los sensores pasivos son
más seguros que los activos, ya que no emiten energía que podría iniciar explosiones.

Encubierto o Visible
Los sensores encubiertos están ocultos a la vista; por ejemplo, los sensores que se encuentran en paredes o bajo el piso. Los sensores visibles están a la
vista de un intruso, por ejemplo, los sensores que están conectados a una puerta o montados en otra estructura de soporte. Para un intruso, los sensores
encubiertos son más difíciles de detectar y localizar y, por lo tanto, pueden ser más eficaces; y además no perturban la fisonomía del entorno. Sin embargo,
otro punto a considerar es que los sensores visibles pueden disuadir al intruso de actuar. Estos sensores siempre son más sencillos de instalar y de reparar
que los sensores encubiertos.

Volumétrico o Lineal
El volumen total o una parte del volumen de una habitación o edificio se puede proteger mediante sensores volumétricos de movimiento. Una ventaja de
estos sensores es que detectan un intruso que se mueve en la zona de detección, independientemente del punto de entrada a la zona.

La irrupción violenta a través de puertas, ventanas o paredes de una habitación puede ser detectada mediante los sensores lineales. Estos sólo detectan la
actividad en un lugar específico o en un área muy estrecha. A diferencia de los sensores volumétricos, los lineales sólo detectan un intruso si ella o él viola
uno punto de entrada en particular de una zona de detección.

Aplicación
Los sensores pueden ser agrupados según su aplicación en el espacio físico de detección. Algunos sensores pueden ser aplicados de distintas maneras. Hay
tres clases de aplicación para los sensores interiores:
• Sensores de perímetro de penetración. Estos detectan la penetración en el perímetro de un área interior.
• Sensores de movimiento interior. Estos detectan el movimiento de un intruso dentro de un área interior delimitada.
• Sensores de proximidad. Estos pueden detectar un intruso en la zona inmediatamente adyacente a un objeto en una zona interior o cuando el intruso
toca el objeto.

TIPOS DE SENSORES DE INTRUSIÓN INTERIOR

4.4.2
En la siguiente discusión sobre tecnologías de sensores interiores, estos se han agrupado por su aplicación. Excelentes reseñas acerca de tecnologías de
sensores de intrusión interior han sido escritas por Barnard (1988), Cumming (1992) y Rodríguez y Matter (1991).

Sensores de Penetración de Perímetros

Los sensores más comunes dentro de esta categoría incluyen la tecnología de vibración y electromecánica. Las zonas interiores mejor protegidas por
sensores de penetración de perímetro contemplan los cielos y pisos de las habitaciones, así como las paredes y puertas.

Sensores de Vibración
Los sensores de vibración de penetración de perímetro son sensores de línea pasiva, ellos pueden ser tanto visibles como encubiertos. Detectan el
movimiento de la superficie en que han sido montados. Un golpe humano u otro impacto repentino hace que la superficie vibre a una frecuencia especial
determinada por su construcción. Las frecuencias de vibración también se ven influenciadas por la herramienta de impacto.

Los sensores de vibración incluyen interruptores de movimiento simple e interruptores inerciales complejos o sensores piezoeléctricos. Los interruptores
inerciales usan como elemento de detección una bola metálica montada sobre contactos metálicos. El cuerpo del sensor es montado en la superficie que
vibra y la bola tiende a permanecer inmóvil en relación con la superficie. Cuando el cuerpo del sensor es movido, la inercia de la bola hace que la bola
pierda momentáneamente contacto con el soporte, provocando la alarma.

Un sensor inercial típico detecta frecuencias de vibración de 2-5 KHz. En un sensor piezoeléctrico, el elemento de detección también está montado en la
superficie que vibra y se mueve en relación a la masa del cuerpo del sensor. Este movimiento flexiona el elemento piezoeléctrico, creando una salida de
voltaje que puede ser revisada para detectar una intrusión. Un sensor de vibración piezoeléctrico detecta frecuencia de vibraciones de 5-50 KHz.

Los sensores de rotura de cristal montados directamente sobre el vidrio que están protegiendo, también son sensores de vibración (Figura 4-1). Estos
sensores están diseñados específicamente para generar una alarma cuando detectan las frecuencias asociadas con la rotura del cristal (normalmente sobre 20
KHz). Los sensores de rotura de cristal activos introducen una vibración en el cristal protegido y escuchan la señal recibida por otro transductor colocado
en otra parte del cristal. La rotura del cristal hace que la señal cambie, causando una alarma. Los sensores de rotura de cristal activos son más caros, pero
producen menos alarmas no deseadas.

Los sensores de intrusión de fibra óptica más recientes también detectan vibraciones. Los sensores lineales pasivos pueden ser tanto visibles como
encubiertos. Estos sensores detectan la micro flexión del cable de fibra óptica. La micro flexión es el movimiento minúsculo del cable debido a la vibración
de la superficie en la cual está conectado. Una unidad de proceso, parte del sensor de fibra óptica, transmite luz por el cable y la recibe en el otro extremo.
La micro flexión cambia la luz recibida en el extremo. Las unidades de procesamiento suelen permitir varios ajustes del usuario, tales como baja y alta
frecuencia, filtro de amplitud y duración del impulso y el recuento. Los ajustes están destinados a reducir la sensibilidad a las fuentes no deseadas. Sin
embargo, antes de seleccionar un sensor de fibra óptica para la detección por vibraciones, es esencial tener en cuenta las vibraciones de maquinaria,
vehículos, trenes y tráfico aéreo en las cercanías. Es posible filtrar las frecuencias no deseadas, pero al hacerlo se puede reducir la sensibilidad a la
intrusión.

Los sensores de vibración dan una alerta temprana de intrusiones. Cuando se aplican sensores de vibración, el diseñador debe tener en cuenta que el
detector podría generar alarmas no deseadas si se monta en paredes o estructuras expuestas a vibraciones externas. Si las estructuras reciben vibraciones
severas, no se deben utilizar los sensores de vibración. Sin embargo, si las estructuras están sometidas a impactos ocasionales, sería posible utilizar los
sensores de vibración con un acumulador de pulso o un contador. Estos circuitos permiten un limitado número de impactos antes de enviar una señal de
alarma.

Sensores Electromecánicos
Los sensores electromecánicos son pasivos, visibles y lineales. El tipo más común es un simple interruptor, generalmente instalado en puertas y ventanas,
usando un diseño magnético consistente en una unidad de interruptor y una unidad magnética. La unidad de interrupción, conteniendo un interruptor de
lámina magnética, se monta en la parte fija de la puerta o ventana. La unidad magnética, que contiene el imán permanente, se monta en la parte móvil de la
puerta o ventana, y cercano a la unidad de interruptor. Cuando la ventana o puerta está cerrada, el espacio entre la unidad de interruptor y la unidad
magnética se ajusta de tal manera que el campo magnético del imán permanente hace que el interruptor de lámina quede en la posición cerrada (o seguro).
Cuando la ventana o puerta se abre, se mueve el imán y el campo magnético del interruptor baja, haciendo que el interruptor se mueva a la posición abierto
(o de alarma). Estas unidades pueden ser fácilmente anuladas colocando un imán cerca de la unidad de interruptor, manteniendo así el interruptor en la
posición segura.

Adicionalmente, un imán de calibrado (bias magnet) se puede ajustar en la unidad de interruptor para ayudar a evitar la anulación. A los sensores
magnéticos con imanes calibrados generalmente se les llama interruptores magnéticos balanceados (BMS de ahora en adelante, por sus siglas en inglés).
Las alternativas disponibles incluyen interruptores de múltiples de láminas y múltiples magnéticos; dispositivos de detección de fallas de voltaje y fusión; y
la construcción de una caja de protección blindada. Algunas unidades contienen electroimanes internos para auto-diagnóstico. Sus complejas interacciones
con las unidades de interruptor aumenta la complejidad de la unidad y disminuye su vulnerabilidad a la anulación.

El BMS proporciona una mayor protección para las puertas y ventanas que los contactos activados, ya sea magnética o mecánicamente, o que los
interruptores de inclinación. Sin embargo, el nivel real de protección es sólo tan bueno como la resistencia de la puerta o ventana. Estos sensores solo se
activan si el intruso abre la puerta o ventana para entrar. El corte a través de una puerta o ventana podría pasar por alto el BMS. Ejemplos de criterios de
diseño para BMS podrían ser los siguientes:

El BMS deberá iniciar una alarma cada vez que la puerta sea desplazada 1 pulgada o más del marco…El BMS no iniciará una alarma para movimientos de la puerta de ½
pulgada o menos.

Un tipo relativamente nuevo de interruptor magnético es el interruptor de efecto Hall. Es completamente electrónico, sin interruptores de láminas
mecánicas y requiere energía. Provee de un mayor nivel de seguridad que los interruptores magnéticos balanceados. Al igual que otros interruptores
magnéticos, incluye una unidad de interruptor y una unidad magnética. Basándose en el efecto Hall, los dispositivos en la unidad de interruptor miden y
monitorean la fuerza del campo magnético de la unidad magnética. El efecto Hall se produce cuando un cable que transporta corriente (o banda metálica)
es expuesta a un campo magnético externo. Cuando eso sucede, el campo magnético hace que los portadores de carga se aceleren hacia un lado del cable,
lo que resulta en una separación de la carga a través del cable. La cantidad y polaridad de la separación de la carga es proporcional a la intensidad del
campo magnético y a la polaridad magnética. La carga puede ser medida a través de los lados de la banda metálica. En un interruptor de efecto Hall se
genera una alarma si el dispositivo del efecto Hall mide el suficiente cambio del campo magnético. Tanto los BMS como los sensores de efecto Hall
ofrecen una mayor protección contra la manipulación interna y la derrota que el interruptor magnético simple. Por otra parte, un interruptor de efecto Hall
es más difícil de manipular y derrotar que un BMS. A medida que la tecnología de los sensores progresa desde un interruptor magnético simple al BMS y
al efecto Hall, un intruso necesita más conocimientos.

Otro sensor electromecánico, llamado sensor de continuidad o de ruptura de alambre, es usualmente colocado sobre o dentro de las paredes, cielos o pisos,
para detectar la penetración. El sensor consta de cables conductores de electricidad pequeños y electrónica que activan una alarma cuando el conductor se
rompe. Los alambres se pueden formaren cualquier patrón para proteger las zonas de formas extrañas. Los sensores de continuidad incluso se pueden hacer
de tecnología de circuito impreso.

Una rejilla o malla de sensores de ruptura de alambre y pantallas pueden ayudar a detectar penetraciones a través de aberturas de ventilación, pisos,
paredes, cielos, armarios de almacenamiento, bóvedas y claraboyas. Estos sensores generan pocas alarmas no deseadas, ya que el alambre debe romperse
para iniciar la alarma. Los sensores de ruptura de alambre deberían ser supervisados eléctricamente para disminuir las oportunidades de manipulación.
Dado que estos sensores requieren una rotura o corte para detectar, pueden ser burlados a través de un puente alrededor de un corte o moviendo el cable
para permitir la penetración. Otra versión del sensor de desconexión utiliza la fibra óptica en lugar de cable eléctrico. El principio es el mismo: la fibra
óptica debe ser rota o dañada lo suficiente para detener o reducir significativamente la transmisión de luz. Estos son sensores de intrusión de fibra óptica,
pero son diferentes y mucho más simples que los sensores de intrusión de fibra óptica descritos anteriormente en los sensores de vibración.

Sensores de Movimiento Interior

Por el momento, los sensores más comunes en esta categoría son los sensores microondas mono estáticos y los infrarrojo pasivos.

Los sensores microondas son activos, visibles y volumétricos. Ellos establecen un campo de energía por lo general a frecuencias del orden de 10 GHz. Los
sensores de movimiento de microondas están casi siempre en la configuración monoestática, usando una sola antena para la transmisión y recepción. La
detección de intrusiones se basa en el cambio de frecuencia Doppler entre la señal transmitida y recibida, provocado por un objeto en movimiento dentro
del campo de energía.
El efecto Doppler requiere un cambio de amplitud y duración suficientes para activar una alarma. El transmisor de microondas envía una frecuencia
conocida, y si retorna al receptor una frecuencia mayor o menor es posible determinar que el objetivo se está moviendo más lejos o más cerca del sensor.
La detección óptima de los sensores microondas se consigue cuando el objetivo se mueve hacia o desde el sensor, y no a través de la zona de detección. Por
lo tanto, el sensor de microondas debe orientarse de modo tal que el adversario se vea obligado a moverse de esa manera.

La forma de la zona de detección, que está dada por el diseño de la antena, es como un globo alargado. La antena por lo general es una antena para
microondas tipo bocina (horn), pero también puede ser un circuito impreso planar o de antenas en fase. En la documentación del proveedor puede aparecer
un patrón de detección, no obstante, el patrón real puede ser diferente. El sensor puede ser desactivado si el objetivo a ser protegido o el área esencial cae
dentro de la parte cóncava del patrón real.

La energía de microondas penetra la mayoría de los vidrios, yesos, empastes, madera enchapadas y otros materiales que normalmente se utilizan para la
construcción de paredes.

Los objetos metálicos (grandes estanterías, mesas, monitores de computadores o cercas) en el área protegida puede causar zonas de sombra y una cobertura
incompleta. Por otra parte, ya que los objetos metálicos reflejan la energía microondas, podría mejorar la detección en zonas de sombra.

La capacidad de penetración de la energía de microondas presenta ventajas y desventajas. Una ventaja es que el intruso puede ser detectado por la energía
de microondas dentro de un volumen protegido, sin embargo, sería una desventaja para detectar algo o alguien moviéndose fuera de la zona protegida o
incluso fuera del edificio. Esto se traduciría en alarmas no deseadas. Un especial cuidado se debe tener al ubicar y dirigir la energía dentro del área que
requiere ser protegida.

Otras ventajas de los detectores microondas serían las siguientes:

• Modelo de detección invisible e inaudible
• Confiabilidad y bajos requisitos de mantenimiento
• Bajo costo para el área de cobertura
• Alta probabilidad de detección
• Inmunidad a altas turbulencias de aire y a los cambios de temperatura y humedad
• Disponibilidad de una variedad de patrones de detección

A pesar de todas sus buenas cualidades, los sensores de microondas presentan algunos inconvenientes más allá de aquellos ya descritos, incluyendo las
siguientes:
• Exigencia de un montaje totalmente rígido
• Susceptibilidad a las variaciones de los patrones
• Necesidad de consideraciones especiales en áreas de construcciones ligeras (por ejemplo, vidrio, yeso, madera).

Los dispositivos de microondas mono estáticos pueden servir como sensores de punto para cubrir un punto o zona en la que otros sensores no proveen una
adecuada cobertura, o son vulnerables a la manipulación. Los sensores de microondas mono estáticos generalmente se usan en las puertas de apertura
automática que se ven en los supermercados y aeropuertos.

Los detectores microondas deberían ser instalados cerca del techo del área que se está protegiendo. Deben apuntar en la dirección de la cobertura deseada,
sin embargo, deben evitar los objetos metálicos que puedan reflejar energía de microondas y provocar alarmas no deseadas. Si se usan múltiples sensores
de microondas en una misma área, deben fijarse a diferentes frecuencias de manera de no interferir entre sí y originar alarmas no deseadas continuas. Las
causas más comunes de alarmas no deseadas para los sensores de microondas incluyen el movimiento de objetos (no humanos) dentro y fuera de la zona de
detección, el movimiento de pequeños animales o aves, y la vibración producida por la mala instalación y montaje del sensor. El gas ionizado en las luces
fluorescentes pueden reflejar la energía de microondas, provocando alarmas no deseadas debido a la tasa de ionización de 60 HZ. Por lo tanto, no debiese
haber luces fluorescentes dentro del área de detección de un sensor de microondas (sin embargo, algunos modelos cuentan con filtros para ignorar el efecto
Doppler creado por las luces fluorescentes). Las vulnerabilidades del sensor de microondas incluyen los objetivos de movimiento lento, la absorción o
reflexión de energía de microondas, la obstrucción del campo visual (por ejemplo, apilando cajas o moviendo muebles en una habitación) y el movimiento
a lo largo de la circunferencia del patrón de detección.

Sensores Infrarrojos Pasivos

Los sensores infrarrojos pasivos (PIR de ahora en adelante, por sus siglas en inglés) son visibles y volumétricos. Responden a los cambios en la energía
emitida por un intruso humano, que es aproximadamente igual al calor emitido por una lámpara incandescente de 50-watt. Bajo circunstancias adecuadas,
estos sensores también pueden detectar los cambios en la energía térmica del fondo causada por alguien que se mueve a través del campo visual del
detector y ocultándose en la energía emanada de los objetos en el fondo. Estos sistemas suelen usar técnicas ópticas y electrónicas especiales que limitan su
detección principalmente a fuentes de energía en movimiento, por lo tanto, no se recomienda confiar en el cambio de energía del fondo para la detección.

La energía infrarroja tiene cuatro características principales:

1. Es emitida por todos los objetos, en proporción a la temperatura del objeto.

2. Se transmite sin contacto físico entre la superficie emisora y la receptora.
3. Calienta la superficie receptora y puede ser detectada mediante cualquier dispositivo capaz de captar un cambio en la temperatura.
4. Es invisible al ojo humano. Los sensores PIR responden a la energía infrarroja en la banda de longitud de onda de 8 a 14 nanómetros (nm).
Un sensor infrarrojo pasivo es un detector de tipo piroeléctrico o termopila que recibe radiación del intruso y la convierte en una señal eléctrica. La señal es
amplificada y procesada a través de circuitos lógicos, los cuales requieren generalmente que la fuente de radicación se mueva dentro del campo visual del
sensor. Si la señal es suficientemente fuerte y el movimiento requerido ocurre, el sensor genera una alarma. La detección se basa en la diferencia de
temperatura entre el intruso y el fondo: esta diferencia se llama temperatura mínima resoluble (MRT de ahora en adelante, por sus siglas en inglés).
Algunos fabricantes especifican una MRT que no supere 1ºC (1,8ºF)

Un detector piroeléctrico funciona porque ciertos materiales dieléctricos de baja simetría de cristal presentan polarización espontánea dieléctrica. La
energía infrarroja se concentra sobre el detector piroeléctrico a través de espejos parabólicos segmentados o lentes ópticos Fresnel. Estos ópticos pueden
proveer tanto un campo visual cónico largo único, como un campo visual de segmentos múltiples. Los sensores de un sólo segmento largo se usan para
proteger corredores; aquellos con múltiples segmentos se usan para proteger grandes áreas abiertas. Al igual que los sensores de microondas, el modelo de
detección no es una forma perfecta. Se debe tener precaución cuando se instalan estos dispositivos. Además, debido a los principios de funcionamiento del
dispositivo, un PIR es más efectivo si el objetivo es obligado a cruzar el patrón de detección, entrando y saliendo de múltiples segmentos de detección.

Los sensores infrarrojos pasivos son susceptibles a las alarmas no deseadas causadas por pájaros e insectos voladores. Los pájaros volando cerca del sensor
pueden bloquear la energía de fondo del sensor térmico, y si el movimiento del pájaro cumple con los criterios de alarma, el resultado será una alarma no
deseada. Esta también puede ser el resultado de un insecto arrastrándose en la lente.

La energía infrarroja no penetra la mayoría de los materiales de construcción, incluyendo el vidrio, por lo tanto la energía infrarroja del exterior de un
edificio protegido generalmente no provoca alarmas no deseadas. Sin embargo, fuentes externas del edificio pueden resultar en efectos de calor local dentro
del edificio. Por ejemplo, mientras que el cristal y los materiales para ventanas Plexiglas® son filtros efectivos para la energía infrarroja para una longitud
de onda de 8 a 14nn, la luz solar que pasa a través de las ventanas puede calentar las superficies interiores, lo cual irradiaría energía en esa banda.

Un sensor infrarrojo debería ser instalado lejos de las fuentes de calor, que podrían producir gradientes térmicas frente a la lente del sensor. No se debe
instalar un sensor infrarrojo sobre o cerca de radiadores, calentadores o tuberías calientes, o cualquier otro elemento de calefacción. La energía radiante de
esas fuentes puede producir gradientes térmicas en el campo visual de la lente del detector, lo que podría cambiar el patrón de energía de fondo. Las
gradientes térmicas pueden causar alarmas no deseadas. Una luz incandescente no protegida que esté dentro de las 3-5 yardas (2,7-4,7m) del sensor
también podría provocar una alarma si se quema o apaga debido a la pérdida de energía.

Los PIR ofrecen varias ventajas:

• tecnología totalmente pasiva
• zonas de detección bien definidas
• no hay interacción entre múltiples dispositivos
• costo de moderado a bajo
• relativamente pocas alarmas no deseadas

También presentan algunas desventajas:

• moderada sensibilidad a las vibraciones
• variación de la sensibilidad por la temperatura ambiente
• operación de línea de visión con fácil bloqueo del campo visual
• posibles alarmas no deseadas por cambios bruscos de temperatura

Sensores de Tecnología Dual

Los sensores de tecnología dual son activos, pasivos, visibles y volumétricos. Intentan conseguir la confirmación absoluta de la alarma manteniendo una
alta probabilidad de detección. La confirmación absoluta de la alarma se consigue idealmente a través de la combinación de dos tecnologías, cada una con
una alta probabilidad de detección y sin compartir la susceptibilidad a las alarmas no deseadas. Actualmente, la mayoría de los detectores de movimiento
de doble canal (tecnología-dual) combinan un sensor de microondas con otro infrarrojo pasivo. Las alarmas que provienen de los sensores de microondas
se combinan lógicamente con las alarmas que provienen del sensor infrarrojo en una puerta AND de configuración lógica. La alarma se produce sólo
después de alarmas simultáneas provenientes tanto de los sensores activos como pasivos.

Cuando los sensores de tecnología dual se aplican apropiadamente, y asumiendo que cada uno tiene una baja tasa de alarmas no deseadas, tales sensores
generalmente tienen un tasa de alarmas no deseadas más baja que los sensores de tecnología simple. Sin embargo, cuando dos sensores son combinados
lógicamente usando una puerta AND, la probabilidad de detección de los detectores combinados es menor que la probabilidad de detección de los
detectores individuales. Por ejemplo, si un sensor microondas tiene una probabilidad de detección de 0,95, y es combinado con un detector infrarrojo que
también tiene una probabilidad de detección de 0,95, el sensor dual tiene el producto de las probabilidades de detección individuales, o sólo 0,90. Los
detectores de microondas tienen la más alta probabilidad de detección de movimiento directamente desde o hacia el sensor, no obstante, los sensores
infrarrojos tienen la probabilidad de detección más alta de alguien que cruza el campo visual. Por lo tanto, debido a una consideración de colocación, la
probabilidad de detección de los sensores combinados en una sola unidad, es menor que si los detectores individuales fueran montados perpendicularmente
entre sí, con superposición de los patrones de energía y del campo visual. Para optimizar la probabilidad de detección de los sensores combinados, es mejor
utilizar sensores montados en forma separada, pero combinados lógicamente. En casos de alta seguridad, nunca debe usarse un solo sensor de tecnología
dual en lugar de dos sensores montados separadamente. Si se va a utilizar sensores de tecnología dual, se deben instalar múltiples unidades de sensores,
cada uno ofreciendo una protección superpuesta con el otro.

Detección de Movimiento por Video

El detector de movimiento por video (VMD de ahora en adelante, por sus siglas en inglés) es un sensor pasivo que procesa la señal de video de una cámara
de CCTV. Una sola cámara visualizando la escena de interés puede ser utilizada para la detección, evaluación y vigilancia. Los VMD vienen en dos tipos:
análogo y digital. El VMD análogo monitorea la señal de la cámara y detecta lo cambios de brillo en la escena. El tamaño del área de detección (un
porcentaje del campo visual total de la cámara) puede variar ampliamente. Se genera una alarma externa cuando se cumplen las condiciones relacionadas
con el brillo u otras condiciones (como el tiempo). Una vez que la alarma se ha generado, la sección en la cual se produjo la detección resalta en el monitor
de CCTV. Los VMD análogos cuestan menos que los digitales.

Los VMD digitales, que son más sofisticados que los analógicos, experimentan un menor número de alarmas no deseadas, lo que hace posible una
utilización mucho más amplia de la detección de movimiento por video. Estos VMD digitalizan la señal de video de manera que pueda ser procesada
digitalmente. Por lo general, dividen la escena en varias zonas, elementos o celdas, procesando cada celda por separado. Se monitorean las celdas según
varios tipos de cambios: por el brillo o contraste, por el movimiento lógico a través de células adyacentes, por la velocidad de movimiento a través de las
áreas de las celdas, por el tamaño de los objetos dentro de las celdas y por cambios globales a través de la mayoría o de todas las celdas. Este
procesamiento permite una mejor distinción entre los movimientos de un intruso y una fuente de alarma accidental. Los VMD digitales se pueden usar
efectivamente en interiores siempre y cuando se considere cuidadosamente las fuentes no deseadas dentro del área, se utilice adecuada iluminación y
buenos equipos de transmisión de video y de cámaras. Las fuentes interiores de alarmas no deseadas incluyen los insectos sobre o cerca la lente de la
cámara, las luces parpadeantes, las mascotas, pájaros y ratones.

Las características de la cámara afectan la capacidad de detección y la susceptibilidad a las alarmas no deseadas. La salida de bajo contraste de una cámara
reduce la capacidad de detección, y los altos niveles de ruido de una cámara pueden provocar alarmas no deseadas. Las cámaras necesitan suficiente luz
uniforme para su correcto funcionamiento.

El VMD detecta los cambios en el nivel de brillo del video, por lo que cualquier cambio puede producir una alarma. El parpadeo de las luces, los
movimientos de la cámara y otros movimientos similares pueden acarrear altas tasas de alarmas no deseadas, y un movimiento muy lento a través de la
zona de detección puede anular la mayoría de los VMD. Para espacios interiores hay muchos VMD efectivos, porque estos espacios están libres de nieve,
niebla, flujo de tráfico y nubes, que son causantes de alarmas no deseadas.

Antes de instalar un VMD en alguna instalación, es importante realizar pruebas tanto en un objetivo de bajo perfil, como una persona arrastrándose, y de
movimientos rápidos, como en un objetivo de alto perfil como lo sería una persona caminando o corriendo. Las pruebas deberían realizarse bajo
condiciones de iluminación esperadas de menor contraste. Cuando se elige un VMD deberían considerarse los siguientes factores:
• Iluminación controlada y consistente (sin parpadeo).
• Vibración de la cámara.
• Objetos que podrían ocasionar puntos ciegos.
• Objetos en movimiento, tales como ventiladores, cortinas y animales pequeños.
• Cambios den la luz del sol o sombras que entran por ventanas o puertas.

Sensores de Proximidad:
Dos tipos de sensores de proximidad son los capacitivos y los de alfombras o tapetes sensibles a la presión. Las alfombras o tapetes sensibles a la presión
están virtualmente obsoletos y están siendo reemplazados por otras tecnologías, principalmente los PIR. En las nuevas instalaciones son extremadamente
poco frecuentes, aunque aún hay algunas que todavía los tienen. Las alfombras sensibles solían instalarse debajo de una alfombra que estuviera cerca de la
puerta, o en los escalones de una escalera, u otros lugares estratégicos. Se activaba una alarma cuando se aplicaba sobre la superficie de la alfombra un peso
de 5 a 20 libras/ pie cuadrado (24,4 a 97,6 Kg/m2).

Todavía se utiliza una versión de la alfombra, en conjunto con otros detectores, para detectar el número de personas o el peso neto máximo permitido a
través de un portal. En estos casos la alfombra o almohadilla es en realidad un transductor de peso y puede ser usado en una tarjeta remota o en un punto de
entrada controlado por teclado, para asegurarse de que ninguna persona que exceda un peso determinado pueda pasar. Cuando se combina con bases de
datos distribuidas y tarjetas o números de identificación personal únicos (PIN), el peso del titular autorizado se puede guardar, con un margen aproximado.
Cuando se introduce el PIN en el teclado o la tarjeta es insertada en el lector, el peso detectado por el transductor será procesado por un software de
algoritmo de entrada.

El otro tipo de sensor de proximidad, el sensor capacitivo, es un gran condensador eléctrico que irradia energía y detecta cambios en el acoplamiento
capacitivo entre una antena y el suelo. En una instalación típica, el cable del sensor capacitivo es conectado a un objeto que debe ser protegido, tal como
una caja de seguridad o un mueble de archivos. Un intruso que toca el objeto absorbe parte de la energía eléctrica, alterando el circuito y provocando una
alarma. Las nuevas tecnologías, tales como los PIR, detectan un intruso mucho antes de que alcance el objeto protegido y han reemplazado a muchos de los
dispositivos capacitivos. Sin embargo, si es muy importante limitar el campo de detección sólo al objeto protegido (una caja de seguridad o mueble de
archivo, por ejemplo), el dispositivo capacitivo aún puede ser la mejor opción.

Sensores Inalámbricos
Entre los sensores inalámbricos, el tipo más común son los sensores de radio frecuencia (RF). En Estados Unidos por lo general operan en bandas de 300 o
900 MHz, y algunos sistemas usan técnicas de espectro ensanchado para la transmisión. Un sistema de sensor de RF inalámbrico típico consiste de una
unidad de sensor/transmisor y un receptor. La unidad de sensor/transmisor incluye el sensor y el transmisor electrónico en un sólo paquete alimentado por
batería. La vida de la batería es de dos a cinco años, dependiendo del número de alarmas y transmisiones. Cada unidad de sensor/transmisor es programada
con un código de identificación que es exclusiva para ella. Los diferentes sistemas tienen distintos rangos de transmisión y pueden adaptarse a los
diferentes números de sensores transmitiendo a un receptor. En la mayoría de los sistemas el receptor puede emitir mensajes de alarma en varios formatos:
RS-232, niveles lógicos o funcionamiento de contacto de relé. Para ahorrar energía de la batería, los transmisores permanecen en modo de suspensión hasta
que un evento requiera una transmisión. En este contexto, evento se refiere a las alarmas, manipulaciones y mensajes de estado operativo. Las alarmas y las
manipulaciones se transmiten cuando se producen, y los mensajes del estado operativo se envían a intervalos establecidos para verificar que el sensor sigue
presente y en funcionamiento. Estos mensajes suelen consistir en el estado de la batería, estado de la alarma y estado de manipulación. Si el receptor no
recibe los mensajes cuando se esperaba, indicará una condición de falla.

La mayoría de los sistemas inalámbricos usan PIR, microondas, tecnología dual o sensores de interruptores magnéticos. Generalmente contienen un
transmisor universal, el cual hace que sea posible la interfaz con otros sensores o controles a través del monitoreo de los contactos de la alarma del sensor
independiente.

El uso de un sistema de sensores RF plantea algunos problemas, entre ellos las colisiones, las caídas de la señal e interferencias. Las colisiones ocurren
cuando múltiples señales, tales como el estado operativo de las señales, se reciben al mismo tiempo: en ese caso, el receptor no recibe los mensajes. Las
caídas pueden producirse cuando la distancia entre el transmisor y receptor es demasiado grande o la vía está bloqueada por el material que protege la señal
de RF, tales como objetos metálicos grandes o edificios de revestimiento metálico. Las interferencias ocurren cuando otras fuentes de RF, transmitiendo en
el mismo rango de frecuencia, dominan la señal del sensor/transmisor. Las técnicas como la transmisión de espectro ensanchado y la vacilación del tiempo
de estado operativo pueden reducir estos problemas. Antes de ubicar e instalar los transmisores y receptores, es beneficioso verificar que haya una buena
ruta de transmisión que evite posibles fuentes de interferencia.

4.4.3 OTROS CONCEPTOS DE SENSORES INTERIORES

Condiciones Ambientales
Los sensores de intrusión están diseñados para detectar diversas condiciones ambientales que pueden producir ruido en el mismo espectro de energía. Estas
fuentes de ruido exterior pueden degradar el desempeño del sensor y causar la generación de una alarma aún cuando no haya un intruso.

Diferentes factores pueden afectar el funcionamiento de un sensor. Estas condiciones a menudo son la causa de las vulnerabilidades del sistema y se debe
tener cuidado de elegir y operar la tecnología adecuada para logar la protección de seguridad deseada. Las condiciones ambientales que pueden afectar los
sensores interiores incluyen las siguientes:

• Energía electromagnética. Los sistemas de detección interior pueden experimentar interferencia de distintas fuentes de energía electromagnética,
tales como la iluminación, las líneas y equipos de distribución de energía, las trasmisiones de radio frecuencia, líneas y equipos telefónicos y los
computadores y equipos de procesamiento de datos. Otras fuentes incluyen los vehículos eléctricos (montacargas o ascensores), equipos de
televisión, sistemas de encendido de automóviles, maquinaria y equipo eléctrico, intercomunicadores y equipos de localización, y aviones.

Detalles del edificio o habitación que se desea vigilar también afectan la naturaleza de la energía electromagnética presente. Si la estructura está
hecha principalmente de madera u concreto, ninguno de los cuales provee protección electromagnética, puede haber un alto fondo de energía
electromagnética generada por fuentes externas al edificio o habitación. Para minimizar los efectos de la pérdida de esta energía, es posible proveer
un blindaje electromagnético para todo los componentes del sistema (incluyendo todos los enlaces de transmisión de datos) y asegurar que todos los
componentes tengan una toma de tierra eléctrica común adecuada.

• Radiación nuclear. La radiación nuclear puede dañar varios componentes del sensor, tales como los semiconductores. Los actuales sistemas no
pueden ser hechos totalmente invulnerables a los efectos causados por cierta radiación ambiental, pero el diseño apropiado, la elección de los
componentes y la protección pueden reducir la vulnerabilidad del sistema. En general, los neutrones afectan el funcionamiento de los dispositivos
semiconductores y de los circuitos integrados, dependiendo de la medida total.

• Energía Acústica. La energía acústica puede provenir de fuentes interiores o exteriores del área que se pretende proteger. Las fuentes de energía
acústica que pueden afectar el funcionamiento de los sensores interiores incluyen los fenómenos meteorológicos, la calefacción, ventilación y
equipos de aire acondicionado, los compresores de aire, equipos de televisión, equipos telefónicos electrónicos, aviones, vehículos y trenes.

• Ambiente térmico. Los cambios en el ambiente térmico pueden afectar el funcionamiento de los sensores de intrusión interior. Tales cambios
pueden causar una distribución desigual de la temperatura, lo que conduce a un movimiento del aire dentro de la zona, y a la expansión o contracción
del edificio. Los cambios de temperatura provienen del clima, la calefacción y los equipos de aire acondicionado, maquinaria que produce calor,
iluminación interior, reacciones químicas y radioactivas, y de las fluctuaciones de la luz solar que pasa a través de ventanas y tragaluces.

• Fenómenos ópticos. Los sensores de intrusión interior pueden verse afectados por la energía luminosa de la luz solar, la iluminación interior, las
superficies altamente reflectantes y las energía infrarroja y ultravioleta de otros equipos.

• Fenómenos sísmicos. Los fenómenos sísmicos afectan los dispositivos de intrusión interior debido a las vibraciones que producen. Las fuentes
incluyen los temblores de la tierra, máquinas u otros equipamientos, el tráfico vehicular, trenes, truenos y vientos fuertes.

• Fenómenos meteorológicos. Los rayos, truenos, lluvia, granizo, temperatura, vientos, temblores de tierra, alta humedad relativa y la luz solar pueden
afectar negativamente todos los sensores de intrusión interior.

Selección del Sensor

Es importante tener en cuenta la interacción entre los equipos, el entorno y los posibles intrusos, antes de seleccionar la tecnología de detección de
intrusión. Dos importantes condiciones físicas que afectan el funcionamiento del sensor son la construcción del edificio o habitación y los equipos u objetos
que ocupan el espacio.

Debido a que los ambientes interiores usualmente son controlados, predecibles y medibles, en general es posible encontrar sensores que funcionarán
aceptablemente en el entorno. Las fuentes de alarmas no deseadas que se pueden presentar también deben ser consideradas, especialmente si se utilizarán
los detectores de movimiento. Con una combinación de sensores y tecnología apropiada, es posible conseguir un desempeño óptimo. Adams (1996) ofrece
un resumen muy útil de esos temas operativos.

Procedimientos
Son varios los procedimientos que pueden aumentar la efectividad del sistema, tales como la regla dos-personas, las pruebas de eficacia del sensor y las
prácticas de buen mantenimiento y adecuada documentación. Cuando se adquieren los sensores, uno debería seleccionar aquellos que mejor cumplen con
los requisitos de funcionamiento y protección, y que demuestren la compatibilidad con futuros sistemas.

La regla dos-personas consiste en que dos personas autorizadas estén en conocimiento de una situación o actividad para evitar así comprometer la
seguridad de la instalación en una sola persona. La regla dos-personas se aplica a funciones como otorgamiento de acceso dentro del sitio, manejo de
activos, información o equipamiento críticos. Cada persona involucrada en una tarea de la regla dos-personas debe ser capaz de detectar la manipulación de
la otra. La regla dos-personas no funcionará si los individuos involucrados relajan las exigencias debido a una larga amistad o sociedad.

Mecanismos de prueba
Con el objeto de realizar pruebas, puede ser muy útil que el sensor tenga un indicador de alarma audible o visible que pueda ser reconocido a una distancia
de 10-35 pies (3-10m) (el indicador debe desactivarse durante el uso normal). En un comienzo, las pruebas de marcha deben realizarse diariamente y luego
distanciarse, si se han obtenido resultados exitosos. Debería probarse el funcionamiento de todos los sensores después de un mantenimiento. Para confirmar
el funcionamiento de un sensor, se puede realizar un análisis de sensibilidad o un test de efectividad; verificar su cobertura y chequear si quedaron puntos
ciegos debido a cambios en la distribución de la habitación. Los mecanismos de auto-diagnóstico (que pueden ser de dispositivos independientes o partes
de un sensor) hacen posible las pruebas de funcionamiento frecuentes del sensor y del sistema de comunicación de la alarma. Los auto-diagnósticos deben
ser activados en forma aleatoria (Graham & Workhoven, 1987).

Instalación y Mantenimiento
La instalación y mantenimiento de los sensores debería ser efectuada al menos según las especificaciones de fábrica, aunque puede haber formas de
optimizar el funcionamiento más allá de las recomendadas por el fabricante. Los sensores y componentes deberían ser revisados periódicamente para
asegurar que se ajustan a los requerimientos de configuración y a las especificaciones. En estas inspecciones, también se deberían buscar las posibles
alteraciones y modificaciones en los componentes. Con el tiempo, las pruebas de aceptación, las pruebas de funcionamiento y los registros de las llamadas
de mantenimiento de cada pieza o equipo, proporcionarán una idea de cuántos y qué tipos de repuestos se deben tener a mano. Los repuestos de reserva
tienen que ser revisados cuidadosamente antes de instalarlos y su almacenamiento debe ser seguro, para impedir cualquier intento de manipulación.

Inspección
Después de cualquier operación de mantenimiento, los sensores deberían ser inspeccionados. A todos los sensores que son monitoreados a través de un
panel de control de recolección de datos se les debería realizar una prueba de marcha después de cualquier mantenimiento del panel. Otro paso para
prevenir los cambios que pudieran afectar el funcionamiento del sistema sería exigir la aprobación previa de los proyectos de modificación de la planta por
parte del personal de seguridad. Tales modificaciones deberían incluir el cambio de ubicación de los detectores, la adición de objetos que podrían causar
alarmas no deseadas y la reubicación de objetos de gran tamaño en el área protegida. Después de una remodelación es necesario reajustar la sensibilidad del
detector.

Documentación
Es importante mantener disponible la documentación que muestra la teoría de operación de los equipos, los diagramas de bloques funcionales, los
diagramas de cableado, los esquemas y listas de piezas que proveen los fabricantes y los números de partes equivalentes en el mercado. Consultando los
registros de mantenimiento, uno puede monitorear la confiabilidad de los componentes del equipo y los problemas de los componentes o de las zonas.

Integración de Sistemas
La integración de los sistemas es el proceso de combinar elementos de tecnología, procedimientos y personal, en un solo sistema para proporcionar la
seguridad de una instalación. Tal integración exige un equilibrio entre equipamiento, personal y procedimientos operacionales. Al igual que los sensores
exteriores, los de intrusión interior deben integrarse al subsistema de visualización y control, al subsistema de control de entrada y a los mecanismos de
demora. Esta integración debería incluir la protección en profundidad, el equilibrio a lo largo de todas las rutas en la instalación, las copias de seguridad de
los sistemas y los planes de contingencia.

Línea de Supervisión
La supervisión de línea es una manera de controlar la comunicación entre un sensor y el centro de control de alarmas. Utilizar la supervisión de línea entre
el sensor y el sistema anfitrión (host) de alarmas, así como el continuo monitoreo de los interruptores de manipulación (tamper), también ayuda a proteger
contra las amenazas internas. El diseñador del subsistema de intrusión interior debiese estar familiarizado con la gama de técnicas de línea de supervisión
disponibles, tales como inversión de polaridad, control de sonido, radio clase C, corriente continua constante clase B, tono y clases digitales A y AB (las
técnicas de línea de supervisión están explicadas con más detalle en el Capítulo 7, Comunicación de Alarma y Visualización). Si un gran número de
sensores interiores están conectados a un solo procesador de alarma, se requiere una línea de supervisión entre el procesador y cada sensor de detección.

4.5 RESUMEN
En este capítulo se han revisado los sensores de detección de intrusión interior y exterior en términos de clasificación y aplicación del sensor, probabilidad
de detección, tasa de alarmas no deseadas y la vulnerabilidad a la derrota. El diseñador que integra sensores individuales en un sistema perimetral de
sensores exteriores debe considerar el diseño de objetivos específicos, los efectos de las condiciones físicas y ambientales, y la interacción del sistema
perimetral con un PPS equilibrado e integrado. Las características deseadas incluyen el uso de una zona despejada, la configuración adecuada del sensor en
la zona despejada, la combinación de alarma y esquema de prioridades, protección contra la manipulación y la capacidad de auto-diagnóstico. El diseño
deber ser específico para el lugar y adecuado a las condiciones físicas, ambientales y operacionales que se encontrarán. Finalmente, el subsistema de sensor
exterior debiese estar bien integrado con subsistemas de video y barreras. La integración de los sensores individuales en un sistema de sensores interiores
debe considerar el nivel de habilidad del intruso, los objetivos de diseño y los efectos de las condiciones ambientales, así como la interacción del sistema
interior dentro de un PPS equilibrado e integrado.

Los principios de seguridad incorporados a un buen sistema de detección de intrusión incluyen la protección en profundidad, el uso de sensores
complementarios, la eliminación de los puntos únicos de fallo y la integración de personas, equipos y procedimientos.

Los componentes del sensor y los subsistemas deberían proveer una alta probabilidad de detección, baja tasa de alarmas no deseadas y baja vulnerabilidad
a la amenaza definida. Otras características incluyen sistemas de comunicación rápida para el envío y evaluación de alarmas, buena iluminación y sistemas
de evaluación, y un sistema equilibrado que provea una adecuada protección en todas las rutas de acceso al perímetro objetivo.

REFERENCIAS

Adams, D. (1996). Operational tips for improving intrusion detection systems performance. SAND 96-0468C. Albuquerque, NM: Sandia National
Laboratories.

Barnard, R. L. (1988). Intrusion detection systems, 2nd ed. Stoneham, MA: Butterworth Publishers.

Cumming, N. (1992). Security, 2nd ed. Boston, MA: Butterworth-Heinemann.

Fennelly, L. J. (1996). Handbook of loss prevention and crime prevention, 3rd ed. Boston, MA: Butterworth-Heinemann.

Follis, R. L. (1990). Stellar Systems Inc. series 800–5000 E-field sensor evaluation. SAND 90-1039. Albuquerque, NM: Sandia National Laboratories.

Garcia, M. L. (2006). Vulnerability assessment of physical protection systems. Boston, MA: Elsevier.

Garcia, M. L. (2008). The design and evaluation of physical protection systems, 2nd ed. Boston, MA: Butterworth-Heinemann.

Graham, R., & Workhoven, R. (1987). Evolution of interior intrusion detection technology at Sandia National Laboratories. SAND 87.0947. Albuquerque,
NM: Sandia National Laboratories.

Greer, G. (1990). Vindicator VTW-250 test report. SAND 90-1824. Albuquerque, NM: Sandia National Laboratories.

Greer, G. (1990). Vindicator VTW-300 test report. SAND 90-0922. Albuquerque, NM: Sandia National Laboratories.

Intrusion detection system handbook. (1980). SAND 76-0554. Albuquerque, NM: Sandia National Laboratories.

Matter, J. C. (1990). Video motion detection for physical security applications. SAND 90- 1733C. Albuquerque, NM: Sandia National Laboratories.

Ringler, C. E., & Hoover, C. (1994). Evaluation of commercially available exterior video motion detectors. SAND 94-2875.

Stroik, J. (Ed.). (1981). Building security. Publication Number STP 729. Philadelphia, PA: American Society for Testing and Materials.

Williams, J. D. (1988). Exterior alarm systems. SAND 88-2995C. Albuquerque, NM: Sandia National Laboratories.

Note: SAND documents may be obtained at Http://www.osti.gov/bridge/advancedsearch.jsp.

________________________________________
5 N. del T: The Energy Research and Development Administration
 CAPÍTULO 5
SUBSISTEMAS DE VIDEO Y
EVALUACIÓN DE ALARMA

En años recientes, la tecnología de circuitos cerrados de televisión (CCTV) ha mejorado enormemente. La transición de tecnología digital a análoga ha
cambiado los cimientos del sistema de diseño. De hecho, el desarrollo vertiginoso puede llevar a un administrador de seguridad ha preguntarse cuánta
información nueva tiene que manejar para mantenerse al día en las tendencias de CCTV. En la medida que la tecnología se vuelve mejor, más pequeña y
más confiable, el número de aplicaciones aumenta, pero afortunadamente la teoría para aplicar CCTV se mantiene igual6. Este capítulo discute la teoría del
diseño de sistemas de seguridad de CCTV, la tecnología cambiante y las pautas para elegir equipo.

En el diseño de una aplicación de CCTV, los administradores de seguridad deben tener en mente los siguientes puntos:
• El CCTV es una herramienta visual de seguridad y debe ser aplicada en conformidad.
• La aplicación determina el equipo, no a la inversa.
• Sin importar qué, el equipo del sistema quedará obsoleto. Sin embargo, obsoleto no significa necesariamente que la aplicación es inefectiva o que está
desactualizado.
• Si un sistema está obsoleto, pero funcionando bien, es porque la aplicación original fue diseñada correctamente para satisfacer las necesidades de
desempeño.
• El sistema de CCTV siempre debe estar diseñado con potencial de crecimiento o para cambios en las necesidades de la aplicación en cuestión.

5.1 TEORÍA DE LA SEGURIDAD VISUAL

El movimiento en video es una ilusión. Es una secuencia de imágenes que destellan frente al ojo a una velocidad que el cerebro percibe como movimiento.
Espacios negros entre imágenes agregan suavidad a una escena y aumentan la ilusión de movimiento. En sistemas análogos, el monitor pinta líneas
individuales (líneas de barrido horizontal) a través de la pantalla, de a una a la vez, de izquierda a derecha, de arriba a abajo. También pinta un número
igual o mayor de líneas de arriba y abajo (líneas de barrido vertical). Donde las líneas horizontales y verticales se encuentran, uno encuentra un punto o
píxel de energía. Mientras más pixeles un monitor muestra, mejor será la resolución global o la calidad de los detalles dentro de la imagen. La resolución
vertical está restringida por los estándares NTSC7 o PAL8. La resolución horizontal está limitada sólo por el generador de imágenes de la cámara, el
monitor, el ancho de banda de la transmisión y el medio de grabación. Consecuentemente, la medida más común de la calidad o de detalle en una imagen
análoga es la resolución horizontal. A mayor líneas de barrido horizontal en una pantalla, mejor será el detalle en la imagen de video.

Todos los monitores y cámaras de CCTV utilizan un patrón de entrelazado de dos a uno (2:1). El monitor primero pinta las líneas de barrido horizontales
impares y luego hace un nuevo barrido con las líneas pares de barrido horizontal. Este proceso crea 60 campos (medias imágenes) de información por
segundo en NTSC y 50 campos por segundo en PAL. Al combinar información de video de un campo impar con la de un campo par produce un cuadro
completo o imagen de video análoga. En NTSC, por ejemplo, el espectador ve 30 cuadros completos cada segundo.

La tecnología de video digital termina con tres cosas. Primero, la tecnología digital no utiliza un entrelazado de 2:1 para producir una imagen en una
pantalla. Las imágenes digitales son presentadas en un monitor como una red completa de pequeños cuadrados de colores o píxeles. Segundo, el video
digital en tiempo real puede no estar representado por “30 cuadros” por segundo. Un fotograma (imagen fija) es medido en imágenes o cuadros por
segundo (ips o fps, respectivamente, por sus siglas en inglés), pero el tiempo real está basado en las necesidades de la aplicación sobre la base de cámara-
por-cámara. Quizás el 20 por ciento de las cámaras en un sistema pueden estar grabando a una frecuencia de imágenes distinta a la de las otras cámaras.
Tercero, el video no se rige más por estándares NTSC o PAL, sino a los variados estándares digitales establecido por los medios visuales. Aun cuando los
estándares visuales varían alrededor del mundo, todo el conocimiento digital se está estandarizando sobre una base universal. Por ello, los videos grabados
o almacenados en estándares digitales en Estados Unidos puede ser igualmente utilizables en el Reino Unido, México o naciones africanas.

5.2 USOS DE SUBSISTEMAS DE VIDEO EN SEGURIDAD

Los sistemas de CCTV tienen el propósito de ser herramientas de evaluación visual o documentación visual, nada más. Evaluación visual se refiere a tener
información visual de naturaleza identificadora o descriptiva durante un incidente. Documentación visual se refiere a tener información visual almacenada
en un formato que permite el estudio o la revisión de las imágenes de manera secuencial. Además, documentación visual incluye varios puntos de
autenticidad incrustados (embebed), tales como una marca de hora/fecha o generación de caracteres.

Existen sólo tres razones para tener cámaras en un aplicación de seguridad:

• Obtener información visual sobre algo que está sucediendo
• Obtener información visual sobre algo que ha sucedido
• Disuadir actividades indeseadas.

Para satisfacer las dos primeras razones se requiere de la combinación adecuada de cámara y lente. Uno debe basar la elección de cámara, primero, en la
sensibilidad de la cámara, segundo, en su resolución, y tercero, en sus características. La sensibilidad hace referencia a la cantidad mínima de luz visible
que es necesaria para producir una imagen de calidad. La resolución define la calidad de la imagen desde la perspectiva de los detalles o reproducción. Las
características de la cámara son los aspectos que le dan a una cámara ventaja por sobre otra, tales como la detección de movimiento, escaneado dual y una
función de generación de caracteres incorporada. La cámara debe ser escogida antes que el lente.

Es una práctica común utilizar diferentes modelos de cámaras en un mismo sistema. Sin embargo, es importante verificar la compatibilidad de lenguajes y
formatos al utilizar en un mismo sistema cámaras que fueron producidas por diferentes fabricantes. Problemas de fases y secuenciamiento suceden
frecuentemente cuando cámaras de varios fabricantes son utilizadas en un sistema. Incompatibilidad con las operaciones, visión o el almacenamiento y la
reproducción, afectan mayormente a los sistemas digitales.

Los lentes determinan qué cantidad y tipo de imagen aparecerá finalmente en el monitor. Un lente debe ser escogido por su habilidad para producir la
información identificadora deseada. Las tres vistas de identificación teóricas de un sistema de CCTV son identificación de sujetos, identificación de acción
e identificación de escena.

IDENTIFICACIÓN DE SUJETO
5.2.1
Esta es la habilidad para identificar algo o alguien dentro de una escena, más allá de toda duda. Un ejemplo de identificación de sujeto sería ver un billete
de $100 dólares a una distancia de 3 pies (0,9m). Una persona con vista mediocre debiese poder identificar un ítem como un billete de $100 sin ninguna
duda. Este tipo de identificación, como la identificación de CCTV, no permite al observador tocar, oler o saborear el objeto (y usualmente tampoco
escucharlo), por lo que la información visual debe ser suficiente para identificarlo. Si el billete de $100 fuese movido a una distancia de 30 pies (9m), una
persona con vista normal no podría identificarlo específicamente.

Otra demostración de identificación de sujeto muestra cómo el ángulo de visión de la cámara afecta el resultado disponible para el sistema de CCTV. Una
persona parada en una mesa, mirando directamente por sobre la cabeza de varios compañeros que van y vienen de una oficina, puede no identificar a las
personas –especialmente si el observador no conoce a las personas. Identificar desde un ángulo tan empinado es aún más difícil con imágenes de CCTV.
Por lo tanto, la identificación de sujetos depende, primero en el tamaño y detalle de la imagen, y en segundo lugar en el ángulo de visión.

Finalmente, para la identificación de sujetos, el objeto debiese ocupar al menos el 10 por ciento del ancho de la escena. La persona promedio tiene un
ancho de dos pies (0,6m). Por lo tanto, para mostrar el cuerpo completo y aún así hacer posible la identificación de la persona, más allá de toda duda, la
escena no puede ser mayor a 20 pies (6m). Esta guía está basada en un mínimo de 325 líneas horizontales de resolución, la calidad de la televisión. Quien
diseña debe poner atención extra al utilizar sistemas digitales de almacenamiento nuevos o sistemas de proyección. A menudo la imagen en la pantalla tiene
una resolución considerablemente menor. Aunque la imagen pudiese verse nítida en una pantalla de computador de 1-2 pulgadas (2,5-5cm) cuadradas, se
puede volver indistinguible al agrandarla a 5 x 7 pulgadas (12,7 x 17,8cm) de impresión.

IDENTIFICACIÓN DE ACCIÓN
5.2.2
Esta forma de identificación captura lo que pasó. Por ejemplo, una persona fija un billete de $100 dólares a una pared y retrocede para mirarlo. Una
segunda persona entra en la sala y la primera persona cierra sus ojos. Ahora el billete de $100 desapareció. La primera persona vio a la segunda persona
entrar en la sala, pero no la vio sacar el dinero. Por lo tanto, la primera persona no tiene suficiente evidencia para probar que la segunda persona lo tomó.

La lección es que un sistema de CCTV debe estar automatizado a través de una señal de activación (trigger). Un sistema puede estar programado para
responder a la detección de movimiento, a la presión sobre un tapete en el suelo o por la ruptura de un haz fotoeléctrico. La respuesta generada puede ser la
de mejorar la resolución o el número de imágenes por segundo que graba. La respuesta también podría ser traer la imagen a la atención de un guardia. Con
una señal de activación automático el sistema registra acciones importantes y captura evidencia útil.

IDENTIFICACIÓN DE ESCENA
5.2.3
Cada escena debe sostenerse en sus propios méritos. Si un oficial de seguridad observa como un empleado se cae a través del CCTV, ella o él podrá
reaccionar de acuerdo al procedimiento y llamar a los paramédicos. Sin embargo, si el oficial de seguridad no lee la generación de caracteres en la pantalla
de video, ella o él podrían enviar a los paramédicos al lugar equivocado –esto es, a un lugar que se parece, pero que no es dónde se cayó el empleado. La
identificación de escena es una forma muy importante de identificación, pero que a menudo se olvida.

El ángulo de visión y los pixeles por pies o metros cuadrados determinan la ubicación y la selección de cámaras y lentes.

5.3 COMPONENTES DE SISTEMA ANÁLOGO

Un sistema de video analógico consta de tres componentes principales:
• Cámara (utilizada para transformar una imagen de luz reflejada en una señal electrónica)
• Cable de transmisión (utilizado para transmitir la señal de video electrónica de la cámara al monitor)
• Monitor (utilizado para traducir la señal de video electrónica en una imagen en una pantalla)

Otras partes de un sistema de video analógico pueden incluir lo siguiente:

• Unidad de movimiento horizontal/vertical. Si el usuario quiere que la cámara se mueva, se necesita una unidad movimiento horizontal (pan) o una
unidad de movimiento horizontal/vertical (pan/tilt). Una unidad de movimiento horizontal mueve la cámara de un lado a otro. Una unidad de
movimiento horizontal/vertical mueve la cámara de lado a lado y de arriba abajo. Las unidades de movimiento horizontal/vertical pueden ser una
parte importante de un sistema de CCTV, pero en la mayoría de las aplicaciones es más rentable utilizar varias cámaras fijas en vez de una sola
unidad de movimiento horizontal/vertical. Los sistemas de movimiento horizontal/vertical actuales, en su mayoría, están integrados en una unidad
 singular protegida dentro de un domo (llamado auto-dome en inglés). Originalmente las unidades de movimiento horizontal/vertical ayudaron a
reducir los costos al disminuir el número de cámaras necesitadas. Sin embargo, hoy en día es posible adquirir varias cámaras fijas por el precio de
una unidad de movimiento horizontal/vertical. Por ello, las unidades de movimiento horizontal/vertical se utilizan normalmente en sistemas que
utilizan lentes de zoom que interactúan con alarmas9 o que utilizan pre-posicionamiento10.

Quien diseña un sistema no debiese agregar una unidad de movimiento horizontal/vertical sin considerar cuidadosamente las necesidades de la
aplicación, dado que los sistemas de movimiento horizontal/vertical pueden aumentar los requerimientos de tiempo adicional del personal.

• Controlador. Un controlador controla la función de una unidad de movimiento horizontal/vertical, o de lente automático. Al seleccionar un
controlador es importante recordar que la aplicación escoge el equipo, no al revés. Una vez que se decidió la aplicación, el equipo caerá en su lugar.

• Switcher. Para mostrar las pantallas de varias cámaras en uno o más monitores, un sistema generalmente requiere de un conmutador de video
(switcher). Los switchers ahorran dinero al hacer posible utilizar más cámaras que monitores. Los hay de todo tipo. Con un switcher pasivo de cuatro
posiciones, el usuario aprieta un botón y una imagen aparece en la pantalla. El tiempo de permanencia es el tiempo en que un switcher secuencial
cambia automáticamente de cámara a cámara. Un divisor cuádruple (quad spliter) muestra cuatro imágenes en una pantalla. Un usuario con un
switcher secuencial o con un divisor cuádruple debe considerar actualizar a un selector secuencial multiplexado (multiplexing switcher), que puede
interactuar con el sistema de grabación de video para almacenar más información por cámara. Un selector secuencial multiplexado (multiplexing
switcher) puede reproducir videos en forma separada o en un formato cuádruple, de acuerdo a las necesidades. Otro tipo de switcher es el switcher de
matriz (matrix switcher), el que puede organizar grandes grupos de entradas (inputs) y salidas (outputs) de video e integrarlas con las alarmas y
opciones de visualización.

• Lente. Si enfoca la luz en un chip o en un tubo dentro de una cámara, es un lente. Los lentes vienen en varios tamaños, permitiendo muchos campos
de visión (el alto y ancho de una escena). El lente apropiado hace posible capturar una imagen que provea la cantidad correcta de identificación
dentro de la escena general.

• Transmisor/receptor de video. Este tipo de dispositivo permite que la señal de video sea transmitida por cable, línea de teléfono, ondas de radio,
ondas de luz o cualquier otro medio. Es común utilizar varios métodos de transmisión de video dentro de un mismo sistema. El cable coaxial es el
medio más comúnmente usado, pero no necesariamente el mejor para todas las cámaras de un sistema. Es posible tener una ruta exterior larga de
fibra óptica en el mismo sistema que utiliza transmisión de dos alambres (par trenzado) como el método de transmisión primario.

• Amplificador. Los amplificadores refuerzan la señal de video en rutas de larga distancia, pero uno debiese evitar los amplificadores en la medida de
lo posible, puesto que la mayoría de los instaladores no tienen las herramientas adecuadas para ecualizar los amplificadores dentro del sistema. Si un
sistema utiliza corridas de cable coaxial que es lo suficientemente larga para utilizar un amplificador, puede ser mejor reemplazar el cable coaxial
con fibra óptica, microondas o un sistema de transmisión de doble hilo.

• Grabador de video. Este dispositivo mantiene la información de video en una cinta magnética, CD, DVD, disco duro u otro medio. La forma
correcta de grabación está determinada por la necesidad. Características de grabación incluyen time-lapse11, activado por eventos, 24 horas, 72 horas
y más.

Una vez que el diseñador entiende lo básico de cada categoría precedente, es posible diseñar en el papel un sistema simple o complejo, y hacer que
funcione en terreno.

Los puntos clave a recordar son los siguientes:

• Una vez simplificado, el sistema electrónico más complejo puede ser manejado casi por cualquiera.
• La aplicación determina la elección de equipos.

5.4 COMPONENTES DE SISTEMA DIGITAL

El mundo de los CCTV análogos ha quedado en segundo plano detrás del digital. Incluso el nombre CCTV cambiará. Un ecosistema completamente digital
usará términos como sistemas de imágenes digitales (DIS de ahora en adelante, por sus siglas en inglés) o sistemas de imágenes visuales (VIS de ahora en
adelante, por sus siglas en inglés).

Las tres partes principales de un sistema de video digital son las siguientes:

• Cámara
• Portador de señales electrónicas digitales, tales como cables Category 6e (Cat 6e) o red digital
• PC con software de visión o grabación (algunos accesibles a través de un navegador web o de un dispositivo de video remoto, como un teléfono
inteligente o tableta

Otras partes de un sistema de video digital incluyen:

• Software de escaneo electrónico digital. Estos programas permiten que una cámara de megapíxel fija parezca como si estuviese montada en un
dispositivo mecánico de movimiento horizontal/vertical. Esto se logra al escanear a través del generador de imágenes un recorrido predeterminado,
en oposición a hacerlo moviendo la cámara físicamente. También se puede desplegar cámaras con dispositivos mecánicos tradicionales de
 movimiento horizontal/vertical dentro de un domo.

• Controlador. En su mayoría, los controladores digitales son programas computacionales instalados en un servidor, computador personal o en un
dispositivo portátil. Los controladores digitales pueden funcionar con un joystick o ser controlados al apuntar y hacer click con el ratón (Mouse) de la
computadora. Muchas cámaras de protocolos de Internet12 (IP de ahora en adelante, por sus siglas en inglés) y sistemas digitales utilizan interfaces
gráficas propietarias de usuario (proprietary graphical user interfaces, GUI de ahora en adelante, por sus siglas en inglés)13.

• Switcher. Un sistema de CCTV digital puede usar tres tipos de switching. Primero, se puede usar un codificador (encoder) análogo-a-digital de alta
velocidad que acepte múltiples señales análogas y que entregue (output) a una sola señal digital multiplexada14. Segundo, el sistema puede usar un
switcher digital de alta velocidad que es en esencia un multiplexor. Tercero, algunos grabadores de video digital (DVR de ahora en adelante, por sus
siglas en inglés) tienen incorporados un multiplexor. Una vez que una cámara está conectada a un PC, la información de video es almacenada en un
disco duro, CD, DVD o en Internet. La información no es necesariamente multiplexada, pero puede ser almacenada como secuencias individuales o
archivos de imágenes.

• Lente. El lente es uno de los pocos elementos de un sistema de video que no se está convirtiendo a lo digital. Sin embargo, debido a que las
capacidades de las cámaras IP y otros puntos de control dentro de un sistema IP, varias funciones del lente (por ejemplo iris automático, zoom y
enfoque) pueden ser automatizadas para que no se necesite la instalación de un técnico en terreno y no tenga partes móviles.

• Transmisor/receptor de video. Ethernet es el medio de transmisión más común para los sistemas digitales, aunque no es necesariamente la mejor
aplicación para todas las cámaras dentro de un sistema. Es posible tener una ruta exterior larga de fibra óptica en el mismo sistema que utiliza la
transmisión de dos hilos como su método primario de transmisión. Cabe señalar que los cables coaxiales RG-59/U, RG-6/U y RG-11/U se pueden
utilizar para llevar una señal de video digital mediante un equipo especializado de modificación de señal.

• Amplificador. En su mayor parte, los amplificadores en el mundo digital son repetidores. Dado que las señales digitales son códigos binarios, la
propia señal no requiere amplificación. Es el portador15 (carrier) que se debe mantener. Una señal es recibida y una copia exacta con una renovada
fuerza portadora es emitida. La longitud máxima del cable para transmisión digital es de 100 metros o 312 pies, a menos que se utilicen medios
inalámbricos, microondas, fibra óptica, sistemas de cable coaxial modificados u otro medio diseñado para transmisiones de larga distancia.

• Grabador de video. A pesar que los DVR hicieron una gran entrada a comienzos de este milenio, muchas aplicaciones grandes demostraron que
DVR apilados o múltiples no eran necesariamente el camino a seguir. Los DVR tienen entradas fijas, aceptando señales de 4, 6, 8, 12, 16 o más
cámaras. Sin embargo, la mayoría de los DVR no son grabadores digitales verdaderos, ya que sólo aceptan entradas (inputs) análogas y sus salidas
(outputs) son igualmente análogas. En los sistemas más grandes, los DVR están siendo reemplazados por discos duros grandes o sistemas de
almacenamiento de base de datos digitales.

5.5 DISEÑO DEL SISTEMA

Los sistemas de CCTV no son tan complicados como aparentan. El diseño de sistema se puede enfrentar siguiendo unas pocas reglas simples:

• Mantén el sistema en perspectiva. Los sistemas de CCTV contienen sólo tres grandes componentes: cámara, cable y monitor. Cualquier otro ítem
es periférico.
• Deja que la aplicación escoja el equipo, no al revés. Los vendedores aseguran que el equipo resolverá todas las necesidades del usuario –sin
siquiera preguntar cuáles son esas necesidades. El usuario debe primero determinar sus necesidades y después seleccionar el equipo.
• Diseñe en forma genérica. El mejor diseño de sistema no necesariamente especifica modelos o marcas, sino que se mantiene basado en las
necesidades de la escena o la instalación.
• Diseñe primero para la mejor opción. Cualquier cosa puede ser hecha con los recursos adecuados. Es mejor diseñar la aplicación antes de
establecer el presupuesto. Una vez que el diseño está completo, el diseñador debe calcular los costos y después, si es necesario, remover algunos
elementos.
• No sienta que el sistema debe ser hecho de una sola vez. Una vez que el diseño esté completo, la instalación puede extenderse a lo largo de varios
presupuestos anuales. La clave es trabajar con equipos que sean sólidos, que están probados y que probablemente se mantendrá disponible en los
años venideros.

El usuario debe seguir los pasos siguiente antes de poner el nuevo sistema en licitación:

PASO 1: ESCRIBA EL PROPÓSITO DEL SISTEMA DE CCTV PROPUESTO.

Si el propósito es monitorear el pasillo trasero de una tienda, no es necesario un diseño muy avanzado para volver un sistema viable. Si la intención es
cubrir varias locaciones en varios complejos, más trabajo es necesario. En cualquier sistema, con el tiempo, partes del sistema pueden terminar sirviendo
otros propósitos distintos a la seguridad. El diseñador debe considerar las muchas formas en que el sistema puede ser utilizado. En el proceso, ella o él
puede describir opciones desconocidas. Por ejemplo, puede ser posible dividir el sistema de manera que algunos segmentos sirvan propósitos de seguridad
y otros monitorear el tráfico o el flujo de producción. Entonces puede ser posible dividir el presupuesto del CCTV con otros departamentos de la compañía.

Lo primordial es escribir el propósito. Tenerlo escrito mantendrá al diseñador en línea y permitirá que las actualizaciones cambien de manera lógica de ser
necesario.

PASO 2: ESCRIBA EL PROPÓSITO DE CADA CÁMARA EN EL SISTEMA

Para definir el propósito de cada cámara es necesario sopesar el riesgo para la seguridad de cada área que será vista. Para un área de alta seguridad, quizás
valga la pena interconectar el sistema de CCTV con un dispositivo de alarma, como por ejemplo un contacto de puerta, detector de movimiento de
microondas, haz de fotos o detector de movimiento por video. En un área de baja seguridad, una interfaz de alarma puede no ser necesaria y grabar la señal
de video como una copia de respaldo de referencia puede ser la mejor opción.

Otro punto es si la unidad debe ser visible o estar cubierta. La visibilidad de una cámara puede, en un grado limitado, disuadir ciertos crímenes indiferentes
o crímenes de conveniencia en centro comerciales. Cámaras cubiertas, por otra parte, a menudo promueven la seguridad al tiempo que permite que los
individuos se sientan cómodos en su entorno. Si las aplicaciones deben ser usadas, el administrador de seguridad debe asegurarse de respetar los derechos a
la privacidad.

PASO 3: DEFINA LAS ÁREAS QUE SERÁN VISTAS POR CADA CÁMARA
En este paso uno define la vista real de cada cámara propuesta, en términos de su altura y puntos cardinales. Por ejemplo, el diseñador puede escribir que la
cámara #1 estará a 30 pies de altura en la esquina noreste del edificio 5, mirando a la puerta oeste, y que la cámara #2 se montará encima de la salida oeste
en el pasillo norte del edificio 6, mirando hacia el este.

PASO 4: ESCOJA UN ESTILO DE CÁMARA

La elección del estilo de cámara debiese estar basado en sensibilidad, resolución, funciones y otros factores de diseño.

Sensibilidad. Este es la cantidad mínima de luz requerida por la cámara para producir una imagen. La primera consideración al escoger una cámara es la
iluminación en el área. ¿Es brillante u opaca? ¿Es constante o variable? ¿Tiene la ubicación luces que puedan iluminar la escena durante la noche o en días
nublados? ¿El área de visualización tiene grandes ventanas? ¿Se encuentran las cortinas cerradas durante el día o se abren de acuerdo a las condiciones
variantes de luz de afuera? ¿Tendrá la escena propuesta un fondo claro que transformará en siluetas a las personas bajo observación?

Para cámaras de interior, generalmente la sensibilidad no es una preocupación importante, a menos que, por ejemplo, las áreas vistas por esas cámaras no
están iluminadas adecuadamente durante la noche. Si el diseño del sistema incluye varias cámaras exteriores, se puede requerir un estudio de la luz. Un
estudio como ese no es especialmente difícil, pero requiere de cierto entrenamiento y un buen medidor de luz. Si se requiere iluminación adicional para la
operación nocturna, uno puede considerar tanto iluminación visible como iluminación infrarroja, (IR). La IR no es visible al ojo humano, pero muchas
cámaras la ven de la misma manera que los humanos ven la luz visible. Si la decoración de un edificio o la presencia de vecinos impide la instalación de
iluminación visible, iluminación de IR puede ser la solución.

Las cámaras tienen tres sensibilidades básicas: luz completa (full-light), menos luz (lower-light) y luz baja (low-light). Las cámaras de luz completa están
diseñadas para producir fotos buenas y parejas, bajo condiciones de luz completa, consistentes o con variaciones mínimas. Las cámaras de menos luz están
diseñadas para producir imágenes de video buenas, utilizables, bajo condiciones de luz equivalentes al amanecer o atardecer (crepúsculo). Las cámaras de
luz baja están diseñadas para producir imágenes dónde existe poca o nada de luz. Usualmente las cámaras de luz completa son las menos caras, las cámaras
de menos luz se ubican en el rango de precio medio y alto y las cámaras luz baja son las más costosas.

Resolución. Esta es una medida crítica de la calidad de imagen, específicamente el número de líneas de barrido horizontales y los conjuntos de pixeles
digitales que la cámara captura. Las cámaras escogidas deben capturar video a una resolución suficiente para producir imágenes con detalles suficientes
para producir evidencia visual viable. Ambos, el lente y la cámara deben ser escogidos por su habilidad para producir la información identificadora
deseada. Las mejoras en calidad de imagen disponibles gracias a la creación de imágenes visuales digitales han aumentado el número y los tipos de
identificación disponible por medio de vigilancia por video. En análogo, uno aún se refiere al número de líneas horizontales en una imagen para determinar
el nivel de identificación de la resolución final de una imagen. Sin embargo, con creación de imágenes digitales, uno hace referencia al número de pixeles
por pie o metro cuadrado en el punto de la grabación para niveles de identificación. Gracias a la tecnología de alta densidad (HD de ahora en adelante, por
sus siglas en inglés)16 y megapíxel17, uno ahora puede realizar identificaciones extremas de sujetos que eran imposibles de distinguir en el pasado con una
cámara análoga. En lugar de los tres niveles de identificación disponible con las cámaras análogas, la creación de imágenes digitales hace posible siete
perspectivas teóricas de identificación:

• General. Ropa y colores no distinguibles. No se puede ampliar la imagen para obtener detalles de objetivos del tamaño de personas. 5 pixeles/pie (16
pixeles/m).
• Monitor. Flujos generales de tráfico humano o vehicular. No hay grandes detalles al ampliar la imagen. 7 pixeles/pie (23 pixeles/m).
• Detectar. Objetivos del tamaño de una persona, lo suficientemente grandes para ser detectados, pero no identificados. No hay detalles significativos
al ampliar la imagen. 11 pixeles/pie (35 pixeles/m).
• Observar. Ropa y colores comienzan a ser distintivos. No hay buenos detalles al ampliar la imagen de objetos del tamaño de personas. 18
pixeles/pie (58 pixeles/m).
• Reconocer. Alto grado de precisión para identificar y separar individuos conocidos. Buen detalle para ampliación general de una imagen. 35
píxeles/pie (118 píxeles/m).
• Identificación de sujeto. Establece la identidad de las personas más allá de toda duda. Excelente ampliación de imagen. 46 píxeles/pie (150
píxeles/m). En vista análoga, el sujeto es igual al 20 por ciento del ancho total de la escena en el punto de grabación, sobre la base de una resolución
mínima de 325 líneas horizontales.
• Identificación de matrículas. Identificación de las placas y objetos de tamaño similar con excelentes detalles al ampliar la imagen. 70 píxeles/pie
(231 píxeles/m).
• Reconocimiento facial. Detalle extremo. Excelente resolución de ampliación de imagen. 88 píxeles/pie (289 píxeles/m).

Características. Las características de las cámaras de CCTV incluyen las siguientes:

• Control automático de ganancia (AGC de ahora en adelante, por su siglas en inglés). Un circuito de AGC está integrado en la mayoría de las
cámaras que tienen un amplio rango de sensibilidad. Este es un sistema de amplificación de video interno que trabaja para mantener la señal de video
 en un nivel específico en la medida que la cantidad de luz disponible decrece. El AGC fue diseñado originalmente para asegurar que una cámara
produjera en forma continua una imagen consistente mientras paneaba a través de una área sombreada. Todas las cámaras montadas en el exterior
deben tener la AGC encendida. Muchas cámaras con dispositivos de carga acoplada (CCD de ahora en adelante, por sus en inglés) que se venden en
la actualidad no tienen la opción de apagar el AGC.

Desafortunadamente, el AGC aumenta el ruido en la imagen de video en un factor de 10, degradando la calidad del video dramáticamente en
situaciones de baja luminosidad. Sin embargo, AGC es extremadamente útil cuando la cámara se mueve a un área que está justo por debajo de los
requerimientos mínimos de luz, permitiendo que la persona de seguridad continúe viendo en áreas que normalmente se irían a negro.

La sensibilidad AGC de una cámara no debe ser confundida con su sensibilidad general. La sensibilidad AGC, que provee de una imagen utilizable,
pero de baja calidad, es a veces citada como una manera de hacer aparecer las cámaras, en el papel, más sensibles de lo que realmente son.

• Obturación electrónica. La obturación electrónica (manual o automática) se refiere a la habilidad de una cámara para compensar por cambios de luz
sin el uso del iris, automático o manual, de los lentes. La función es el equivalente a usar anteojos que se oscurecen al exponerse a luces brillantes.
Esos lentes reducen la cantidad de luz que llega al ojo, del mismo modo que el obturador electrónico reduce la cantidad de luz que alcanza al
generador de imágenes de una cámara. Con el obturador electrónico, una cámara puede trabajar en una amplia gama de luz sin un lente con auto-iris,
o bien produce imágenes de alta velocidad para capturar objetos en movimiento rápido.

Con la introducción de la cámara IP y el híbrido digital, el obturador electrónico cambió. Ya la imagen no se oscurece más entera. Ahora cada píxel
en el CCD o creador de imágenes es analizado y filtrado. Si la imagen tiene un punto brillante, el obturador electrónico atenúa los puntos de brillo
extremo sin afectar el desempeño global de la cámara o la reducción de su sensibilidad. Todo esto se puede hacer con o sin un lente de autoiris. Sin
embargo, sigue siendo recomendable que ponga a prueba el equipo para verificar las especificaciones que se sostienen.

• Compensación de contraluz. Una de las tareas más difíciles para una cámara de CCTV es ver a un sujeto al frente de un fondo brillante. Una
situación muy común como esta involucra mirar a alguien parado delante de una puerta de cristal hacia el exterior. Los fabricantes han desarrollado
varios métodos para superar este problema:
− Lente de iris automático. La herramienta más común para controlar el brillo de una imagen enfocada en un chip es el objetivo de iris
automático. Lamentablemente, muchos diseñadores de sistemas de CCTV no entienden cómo funciona un lente de iris automático. Esta
ignorancia con frecuencia conduce a aplicar la cámara en situaciones que van más allá de sus capacidades, lo que resulta en imágenes
silueteadas o muy oscuras.

Todos los lentes de iris automático electrónico análogos son diseñados para responder a la amplitud promedio de la señal de video sin
procesar (raw) producida por una cámara a través de un circuito de muestreo de video. En la medida que un CCD (creador de imágenes) es
expuesto a más luz, la señal de video sin procesar aumenta. A medida que la luz decrece, la señal de video sin procesar decrece. El lente de
iris automático, si es instalado apropiadamente, asegura que la imagen de video se mantenga a un promedio de un voltio de pico a pico (vpp
de ahora en adelante, por sus siglas en inglés) bajo condiciones óptimas de luz. En la medida que la señal de video aumenta o decrece, el lente
de iris automático se cierra o abre en directa proporción. Para condiciones y fluctuaciones de luz normales, este método de control funciona
bien. Sin embargo, dado que los muestreos de video funcionan con promedios, la cámara direccionada a áreas brillantes compensará el brillo.
Esto deja a todas las otras partes de la imagen oscuras o en silueta. Es por esto que los lentes de iris automático no pueden resolver este
problema cotidiano en esta aplicación .
− Enmascaramiento. Este método de interfaz digital con la señal de video está integrado en algunas cámaras y controladores específicos. El
enmascaramiento divide la imagen de video en secciones de cuadrícula. A continuación, varias secciones son programadas para ser ignoradas.
Luego, la superposición se apaga y la imagen se ve sin obstrucciones.
− Iris electrónico. Este es el primer método de mejora digital de la señal que elimina la necesidad de lentes de iris automático. A diferencia de
sus predecesores, el iris electrónico trabaja al promediar la señal de video verdadera. Esta forma de mejora electrónica literalmente des-
amplifica los súper-brillos y amplifica los sub-negros, creando una imagen de video pareja, de 1 vpp. El resultado es que una persona de pie
frente a una puerta de vidrio brillante es completamente visible en detalle, como lo son las características circundantes de la imagen. Los
fabricantes utilizan una variedad de nombres para este proceso.

− Súper Dynamics 18. Este método analógico de compensación de contraluz electrónica escanea dos veces el CCD. El primer escaneado se
realiza en el estándar de 1/60 de segundo, capturando imágenes en áreas de menor luz, pero limpiando la imagen en las áreas brillantes.
Simultáneamente, el generador de imágenes es escaneado a 1/10.000 de segundo, produciendo una imagen en las áreas brillantes. A
continuación, el procesador integrado combina las dos imágenes y lo mejor de cada uno se mantiene, mientras que el resto se descarta. El
resultado neto es una sola imagen que tiene lo mejor de ambos mundos. Sin embargo, esta técnica no funciona en todas las situaciones. En
cámaras digitales, este método de mejora de la imagen se denomina multi-escaneo.

Las cámaras utilizan varios métodos para lidiar con condiciones de luz adversas y los fabricantes utilizan distintos nombres para estos
métodos. Sin embargo, pocos métodos son más eficaces que apuntar el objetivo de la cámara lejos de la luz directa. Eventualmente, obtener
un buen video en múltiples situaciones de iluminación será tan sencillo como colgar una cámara en la pared y que se oriente correctamente.
− Enfoque automático. Este término se refiere a la capacidad de una cámara para enfocar una escena automáticamente. Al seguir una acción o
cambiar la escena, la cámara y el lente trabajan en forma concertada para enfocar la imagen. Sin embargo, si la cámara es direccionada a algo
que está en medio de diferentes objetos que están más cerca, la electrónica puede tener problemas determinando qué enfocar. Las cubiertas de
domo también pueden interferir con el enfoque automático. En su mayoría, sin embargo, los híbridos digitales y las cámaras IP con enfoque
automático trabajan bien. El mejor equipo tiene la opción de apagar el enfoque automático, de manera que el operador puede enfocar
manualmente situaciones difíciles.
 − Bloqueo de privacidad o protección de la imagen. Al añadir un control específico o un efecto digital incorporado en la cámara, es posible
oscurecer áreas específicas dentro de una imagen. Sólo se requiere de un caso de responsabilidad civil (liability) para darse cuenta de que hay
gente detrás de unidades de movimiento horizontal/vertical y lentes con zoom. Algunos millones de cámaras de CCTV instaladas en todo el
mundo han abandonado sus usos previstos y se convirtieron en juguetes invasivos. Incluso en lugares públicos, invasiones menores a la
privacidad pueden escalar en graves problemas, generalmente después que las imágenes capturadas se vuelven públicas.

El bloqueo de privacidad hace posible bloquear elementos específicos dentro de una escena, como una ventana en particular. Gracias a la
tecnología digital, la máscara que es sobrepuesta en una imagen está matemáticamente adjuntada a los pixeles relevantes, por lo que el
sistema funciona aun cuando la cámara realiza movimientos horizontales, verticales o zoom. Esta eficaz característica es asequible y viene
con varias opciones como bloqueo de posición, o la capacidad de hacer movimientos horizontales/verticales o zoom in (acercarse) o zoom out
(alejarse) mientras la máscara continua en el área deseada; dibujo flexible, o la capacidad para enmascarar una sección de la imagen
independiente de su tamaño o forma; oscurecer completamente o manipular el enfoque del área especificada; protección por contraseña en
contra de reprogramaciones no autorizadas de las áreas protegidas; y la capacidad para temporalmente remover la máscara o ver a través de
ella durante la reproducción (después del hecho) para propósitos válidos bajo circunstancias controladas.

Otros factores de diseño. Los diseñadores también deben considerar lo siguiente:

• Medioambiente. ¿Es necesario proteger la cámara de vándalos, clientes o empleados? ¿Debe la carcasa de la cámara mimetizarse con el resto de la
decoración? Hay disponibles carcasas de interior para cámaras en configuraciones que van desde soportes de techo (diseñados para ser montados en
sustitución de la losa o del cielo falso) a burbujas aéreas a carcasas montadas en esquinas de acero inoxidable o bronce. ¿Es el medioambiente
extremadamente sucio? Suciedad excesiva o polvo acumulado en la cámara hace que la unidad se caliente y puede limitar su desempeño o vida útil.
Si la cámara será montada en el exterior, surgen otras consideraciones. Si en invierno las temperaturas del local caen bajo los de 35°F (1.7°C), la
carcasa de protección de la cámara necesitará un calentador. Aunque las cámaras CCD pueden operar en temperaturas frías, los lentes de zoom y de
iris automático tienden a ralentizarse o congelarse por el tipo de grasa utilizado en el iris, en el enfoque y en los anillos del zoom. Si en verano las
temperaturas se elevan por encima de 80°F (26,7°C), la carcasa puede necesitar un ventilador o, posiblemente, de aire acondicionado.

Si la unidad será instalada al sol, un protector de sol será necesario para prevenir una excesiva acumulación de calor en la carcasa. Si la cámara mira
al este u oeste, puede ser necesario un parasol o visera para reducir el resplandor del amanecer o atardecer y para evitar un sobrecalentamiento. A
menudo un escudo solar puede actuar como una visera.

• Montaje. El montaje plantea varias consideraciones. Si una cámara será montada en lo alto, ¿Cómo será alcanzada para su mantenimiento? ¿Será el
ángulo de la cámara tan empinado que sólo la parte superior o trasera de las cabezas serán visibles? ¿Se montará la unidad bajo un alero, junto a una
pared o sobre obstáculos como unidades de aire acondicionado? ¿Habrá el suficiente espacio para abrir la carcasa desde arriba, o una unidad con
bisagras por abajo será mejor? ¿Debe la unidad ser montada sobre un brazo basculante para facilitar el acceso desde una ventana, techo o desde pisos
superiores? Si la unidad será montada en una carcasa de placas de techo ¿Hay el suficiente espacio arriba del cielo falso para instalar la carcasa?

Otras consideraciones de montaje concierne lo que se requiere que cada cámara vea y desde qué distancia. Para una visualización adecuada de
seguridad, uno no debe depender en que una cámara vea más de dos objetivos (uno mayor y otro menor) y la cámara no debe hacer movimientos
horizontales automáticos (moverse de lado a lado), ni digital ni físicamente, más de 45 grados de izquierda a derecha desde el centro de su foco
principal. Una buena vigilancia por video muchas veces es afectada por esperar demasiado de una sola unidad o por instalar menos cámaras de las
que son necesarias. Se debe recordar el objetivo del sistema de video en todo momento. Con sistemas análogos, mientras más alto el riesgo de
seguridad del área de visualización, menor el número de objetos que cada cámara debiera estar obligada a vigilar. Si se utilizan sistemas digitales de
megapíxeles, una sola cámara se puede utilizar para ver la misma área que dos, o posiblemente tres cámaras analógicas, con la misma calidad o
resolución de la imagen. En lugares de alta seguridad, se necesitan al menos cuatro cámaras analógicas para ver un área de 360°, aunque el
presupuesto puede obligar a algunas renuncias. Con la tecnología digital moderna, hay cámaras de megapíxel de 180° y 360° que trabajan con
software que promueven vistas múltiples, individuales o panorámicas.

PASO 5: ELEGIR EL LENTE ADECUADO PARA CADA CÁMARA

Esta elección está determinada por tres factores: formato de la cámara, distancia desde la cámara a la escena y el campo de visión.

Tamaño del formato. Formato se refiere al tamaño del área del creador de imágenes sobre el cual el lente enfoca la luz. Ese tamaño es medido en
diagonal. El tamaño del formato debe ser igual o superior al tamaño del formato de la cámara. Si el formato del lente es muy pequeño, el lente no llenará el
creador de imágenes con una imagen y el resultado se asemejará a la visión de túnel. Entonces, una cámara de formato de ¼ pulgada requiere un lente de ¼
pulgadas o más grande (tales como ½ pulgadas o ⅔ pulgadas, etc.).

Distancia desde la cámara a la escena. Este factor determina qué distancia focal se necesita en el lente. La distancia es medida desde la parte delantera de
la cámara al sujeto principal que es observado. Esta distancia debe ser medida con precisión. Si la cámara será montada al costado de un edificio, a 40 pies
del suelo, y el centro de la escena está a 30 pies del edificio, la distancia relevante no es 30 pies, sino 50 pies. El teorema de Pitágoras muestra que A2 (el
cuadrado de la distancia desde el costado del edifico al centro de la escena, o 30 pies x 30 pies) más B2 (el cuadrado de la altura, o 40 pies x 40 pies) debe
ser igual al cuadrado de la distancia de la cámara a la escena. Este ejemplo resulta en una ecuación de (30 x 30) + (40 x 40) = 2500, lo que es igual a 50.
Entonces, la distancia de la cámara a la escena es de 50 pies.

Campo de visión. El campo de visión (alto y ancho del área que se visualiza) determina la longitud focal adecuada del lente. En el ejemplo anterior la
distancia desde la cámara al centro de la escena era de 50 pies. Quizás la escena deseada es de 20 pies de ancho. Con el uso de matemática simple, una
calculadora de campo de visión, una hoja con recordatorios, o un visor, es posible calcular la distancia focal apropiada del lente. Es importante tener en
cuenta, sin embargo, que mientras mayor sea el área que la cámara ve, menor es el detalle que recoge. Si se trabaja con tecnología de megapíxel, se puede
obtener un área más grande sin perder los detalles requeridos, o se puede obtener un área equivalente con dos o tres veces más de detalle en la imagen. Con
la tecnología de megapíxeles, se trata de pixeles por pie, en lugar de estar restringidos a un numero fijo de líneas horizontales de definición del píxel.

PASO 6: DETERMINAR EL MEJOR MÉTODO PARA TRANSMITIR LA SEÑAL DE VIDEO DESDE LA CÁMARA AL MONITOR.
Este paso puede ser difícil para el administrador de seguridad típico, quien podría preferir dejárselo al contratista de la licitación. El cable coaxial es
generalmente suficiente para cámaras análogas, pero no funcionará para sistemas basados en IP que no cuenten con la conversión electrónica adecuada para
transmitir señales codificadas digitalmente en coaxial. Para distancias de 1.000 pies (305m) o más, entre la cámara y el punto de control, puede ser mejor
utilizar cable de fibra óptica, independiente del tipo de cámara. Hay disponibles muchos métodos de transmisión y cada uno tiene sus ventajas, desventajas
y costos. Entre estos métodos hay cables coaxiales, cables de fibra óptica, cables de par trenzado (dos hilos), cables Cat 5 o Cat 6 (para trabajo en red),
tecnología microondas, radio frecuencia y otras tecnologías inalámbricas, transmisión infrarroja y transmisión por vía telefónicas, la Internet o una intranet.
Un sistema puede usar más de un método de transmisión.

PASO 7: DISPOSICIÓN DEL ÁREA DE CONTROL Y DETERMINAR QUÉ MEJORAS SON NECESARIAS CON BASE EN LOS
REQUERIMIENTOS INDIVIDUALES DE CADA PUNTO DE EVALUACIÓN VISUAL
El paso 2 definió el propósito de cada cámara. Con esas definiciones, el diseñador del sistema puede asignar las señales de activación (triggers) y las
prioridades, y luego determinar qué funciones debe tener el equipo de control. Por ejemplo, el diseñador puede concluir que la cámara 1 requiere detección
de movimiento de video digital, un poste extensible y una interfaz de alarma; que la cámara 2 requiere un controlador de movimiento horizontal/vertical y
zoom con posicionamiento previo; que la cámara 3 requiere activación de alarma a través de un contacto en la puerta; y que la oficina del director, en el
edificio 5, necesita de acceso con contraseña para la visualización o el control parcial o total del sistema.

Determinar las señales de activación y las prioridades para cada cámara ayuda a automatizar el sistema de video. Es ineficiente e ineficaz asignar a gente a
ver decenas o cientos de escenas en forma continua.

Se necesita también de un sistema de grabación o almacenamiento. Sistemas como esos están disponibles en muchos formatos. En su mayoría, los sistemas
de cinta VHS estándar y SVHS han quedado atrás en favor de la grabación digital. La grabación digital o sistemas de almacenamiento incluye DVR
simples (para uso con cámaras análogas exclusivamente), grabadores de video en red (NVR, para uso con cámaras análogas, IP e híbridas) y sistemas de
almacenamiento independientes, ubicados en un servidor, red, o en instalaciones de almacenamiento fuera de las instalaciones con acceso vía Internet
(almacenamiento en la nube). Las claves para los sistemas de almacenamiento digital se reducen a formatos compatibles entre cámaras comunicantes,
factores de compresión y espacio de almacenamiento necesario en una base por imagen. Al comienzo todo se trata de matemáticas y al final todo se trata de
la calidad de la imagen recuperada.

5.6 SELECCIÓN DE EQUIPO

Esta sección discute el mayor detalle el equipo de CCTV. El punto no es escoger el proveedor del equipo, sino que definir los parámetros operacionales
requeridos por la aplicación.

CÁMARA
5.6.1
Las cámaras para CCTV vienen en cuatro grandes tipos. Entender las diferencias hace posible escoger la cámara adecuada para cada tarea y evita gastar
más dinero del necesario comprando cámaras con características innecesarias. Los tipos son los siguientes:

• Cámaras CCD análogas estándar. Éstas pueden ser en blanco y negro o color. La más común de todos los tipos de cámaras, funcionan bien en
todas las aplicaciones interiores y en muchas exteriores. Son de base analógica y pueden tener o no efectos digitales. Su resolución oscila entre las
220 líneas horizontales (muy baja) a 580 líneas horizontales (muy alta). La sensibilidad a la luz varía entre .005 lux (.00046 pies-luz de vela19), lo
que es muy bajo, a 10 lux (.929 pie-luz de vela), lo que es muy alto. Las cámaras a color son las que están más restringidas en situaciones de poca
luz. Para compensar esa limitación, los fabricantes han desarrollado cámaras análogas híbridas. Algunas usan sensibilidad infrarroja para capturar
más luz. Otras combinan en una misma unidad la capacidad de color con blanco y negro, capturando imágenes de color durante el día e imágenes en
blanco y negro durante la noche, cuando la luz es menor. Otras cámaras usan un intensificador entre el lente y el CCD para amplificar la luz
disponible por decenas de miles de veces.
• Cámaras IP. Estas cámaras digitales vienen en blanco y negro o a color. Al igual sus homólogas analógicas, las cámaras IP requieren de luz visible
para generar una imagen. Estas cámaras están disponibles en tres estilos básicos: estándar, megapíxel e inteligente (smart). Todas las cámaras IP
miden su resolución como un múltiplo del Formato Intermedio Común (CIF de ahora en adelante, por sus siglas en inglés), que es una resolución de
352 x 240. Esto significa 352 píxeles en una base horizontal y 240 en una vertical. Para todos los efectos, la resolución CIF es igual a cerca de la
mitad del promedio de resolución análoga de 325 líneas y por tanto no es recomendada como un formato de almacenamiento usable. Las cámaras IP
estándar oscilan entre un cuarto de CIF (176 x 120) a cuatro veces CIF. 4 CIF significa que el usuario tendrá el doble de píxeles horizontales y
verticales que una sola imagen o 704 x 480. Las cámaras de megapíxel oscilan entre 16 (1408 x 960) a 32 (2816 x 1920) veces CIF o más. Las
cámaras inteligentes pueden tener cualquier rango de resolución. Son llamadas inteligentes, porque se aprovechan de estar basadas en un servidor y
utilizan programas de computación dentro de las cámaras. Estos programas permiten a las cámaras realizar funciones variadas, como detección de
movimiento por video digital, reconocimiento facial, bloqueo de privacidad, movimiento horizontal/vertical digital, zoom y mucho más. A menudo
se les llama dispositivos limítrofes (edge devices), porque llevan los factores o capacidades computacionales al límite exterior del sistema, en
contraposición a enviar la información al controlador en el interior para que la descifre.

Las cámaras IP pueden ser cargadas a través de transformadores o pueden estar clasificadas como “carga por medio de Ethernet” (power over
Ethernet, POE de ahora en adelante, por sus siglas en inglés), en cuyo caso reciben su potencia operativa del sistema de switching digital a través de
la red.

• Cámaras infrarrojas. Estas cámaras requieren de una fuente de luz IR para crear una imagen. Se utilizan donde la luz visible no es una opción.
 • Cámaras termales. Éstas no requieren ni luz visible ni luz IR para producir una imagen. Utilizando filtros y lentes especiales, las cámaras
monitorean las temperaturas de los objetos en su campo de visión y utilizan colores para representar las temperaturas. Los objetos fríos se muestran
en distintos tonos de azul, mientras que los objetos calientes se muestran en distintos tonos de rojo. Las cámaras termales se utilizan generalmente en
vigilancia de larga distancia, tales como el monitoreo de barcos en un puerto a cinco millas. Dado que estas cámaras no requieren de luz para crear
una imagen, ellas son populares entre la policía y las patrullas fronterizas.

LENTES
5.6.2
Después de elegir una cámara. La elección de un lente es la segunda decisión más importante del proyecto. La selección depende principalmente en el
tamaño de la escena y en el nivel de identificación visual requerido. Los lentes vienen en cinco tipos principales: gran angular, estándar, teleobjetivo,
objetivo de óptica variable o varifocal, y zoom:

• Lente gran angular. Un lente gran angular captura escenas muy anchas y por lo mismo es más adecuado para rangos cortos, esto es 0 a 1 pies (o a
4,5m).
• Lente estándar. Para un escena promedio de media distancia se necesita un lente estándar. Este tipo de lente reproduce una vista equivalente a lo
que el ojo humano ve a la misma distancia, con la diferencia que el ojo humano tiene una visión periférica aproximada de dos a una y media vez
respecto de la vista del lente estándar. Se considera una distancia media 15 pies a 50 pies (4.5 a 15.25m).
• Lente zoom. Un lente zoom tiene incorporado ópticas móviles que producen las mismas vistas que los lentes gran angular, estándar y teleobjetivo,
todo en un mismo dispositivo. Estos lentes pueden ser manuales o motorizados, con un lente zoom manual, el instalador ajusta manualmente el
campo de visión y el foco del lente. Una vez configurado, el lente se mantiene fijo. Un lente zoom motorizado tiene instalado un motor dentro de la
carcasa del lente. Este lente permite al operador, por medio de un controlador, ajustar la vista óptica del lente desde una locación remota. El lente
zoom motorizado también incluye un mecanismo de seguimiento, un vínculo físico entre la óptica focal y la óptica de zoom diseñada para ajustar
automáticamente el foco del lente mientras se aleja (zoom out) el lente (desde teleobjetivo a gran angular).

• Lente varifocal. Esta es una versión más pequeña de un lente de zoom manual, que ofrece la oportunidad de ajustar la vista en el lugar. Estos lentes
permiten a los instaladores llevar unos lentes en stock para cubrir una multitud de gamas de escena. Los lentes de distancia focal variable difieren de
los lentes de zoom de dos maneras:
− Estos no cubren una gama completa de gran angular a teleobjetivo, sino sólo una ligera gama en cualquiera de los dos extremos de un lente
estándar de distancia focal fija (v.gr. 8 a 12,5mm).
− No tienen un mecanismo de seguimiento y deben ser reenfocados cada vez que se cambia su rango.

El siguiente factor al escoger un lente es la compatibilidad entre lente y cámara. No sólo las cámaras se han vuelto más pequeñas, sino que la tecnología ha
cambio la capacidad de los lentes para dejar pasar la luz; para reproducir una imagen detallada; controles electrónicos (ahora trasladados del lente a la
cámara); y costos. Entonces, los lentes deben cumplir con varios criterios para satisfacer las necesidades físicas y electrónicas de una cámara. La
incompatibilidad puede causar daños físicos y problemas de imagen. Con el tiempo, los problemas de compatibilidad se están eliminando en la industria a
través del diseño, pero mientras tanto se deben responder las siguientes preguntas para determinar la compatibilidad de un lente, con la aplicación y la
cámara:

Pregunta 1: ¿Estará instalada la cámara en un área en que la iluminación es fija, varía mínimamente o es altamente variable?
Esta pregunta determina si la aplicación requiere de un lente de iris fijo, iris manual o iris automático. Puesto que la iluminación tiene el mayor impacto
sobre el desempeño, un lente de iris fijo o de apertura fija no tiene control físico ajustable sobre la cantidad de luz que pasa a través suyo. Un lente de iris
manual, o de apertura manual, puede ser abierto o cerrado durante la instalación para incrementar o reducir la cantidad de luz que pasa a través de él. Un
lente de auto-iris utiliza un motor para abrir o cerrar el iris. La necesidad de más o menos luz es determinada automáticamente por un circuito de toma de
muestras de video en el lente o cámara.

Los lentes de iris automático se han vuelto más pequeños, livianos y menos costosos que los lentes de iris fijo, o manual. Un lente de iris automático cuesta
sólo una fracción del precio de un lente de iris fijo o manual. En muchas aplicaciones es financieramente prudente utilizar lentes de iris automático en todas
las cámaras.

Sin embargo, puede tener sentido utilizar un lente de iris fijo, o manual, si la cámara tiene un rango de luz grande, obturador electrónico automático o un
iris electrónico. Un lente de iris electrónico podría entrar en conflicto con la electrónica de la cámara, generando vibración extrema en la imagen o un
oscurecimiento total.

Pregunta 2: ¿Es la cámara de ¼ de pulgada, ⅓ de pulgada, ½ de pulgada, ⅔ de pulgada, o de 1 pulgada o de formato de megapíxel?
El tamaño del formato del lente debe ser igual o exceder el tamaño del formato de la cámara. Sin embargo, el tamaño del formato del lente no tiene nada
que ver con el tamaño final de la imagen, el que es determinado por la distancia focal del lente.

Pregunta 3: ¿Es la cámara una cámara de color?

Si es así, se debe utilizar un lente de color corregido. Un lente con corrección de color tiene una conexión a tierra diferente y tiene un recubrimiento
especial en la óptica del lente. Estas medidas garantizan que los centros de coordinación de todos los colores en el espectro de luz visible llegan al mismo
punto focal de la imagen. Muchas cámaras blanco y negro antiguas usan lentes sin corrección. Entonces, reutilizar lentes puede generar problemas.

Pregunta 4: ¿Es la cámara una cámara de estándar C o CS?

Las cámaras CS se comenzaron a producir a finales de la década de los 1990. Sus CCD fueron trasladados 15mm más cerca de la montura del lente, por lo
que los lentes CS no penetran tan profundamente en la cámara. Sin embargo, muchas cámaras que cumplen la norma estándar anterior C siguen en uso, y
los lentes que cumplen la norma estándar C aún se venden. Por lo tanto, es importante comprobar si la cámara acepta lentes C o CS. Montar un lente C en
una cámara CS sin un anillo adaptador romperá el CCD. Sin embargo, con un anillo adaptador la imagen y la cámara estarán bien. Montar un lente CS en
una cámara C generará problemas de enfoque que no tienen solución. Algunas cámaras pueden trabajar con ambos tipos de lentes, C y CS.

Pregunta 5: ¿Aceptará la cámara un lente AC/EC (video) o un DC/LC?

AC significa autocircuito y EC (circuito electrónico) es su equivalente métrico. DC significa circuito directo y LC (control lógico) es su métrico
equivalente. En su mayor parte, el lente DC/LC se ha convertido en el estándar para el diseño de cámaras y lentes.

El lente SC/EC (también llamado de video) utiliza el antiguo diseño original del lente de iris automático. Cuenta con un circuito de toma de muestras de
video incorporado a su cuerpo para controlar al iris basado en el nivel de la señal de video de la cámara. Para reducir los costos e incrementar la eficiencia
de los lentes de iris automático, se desarrolló el DC/LC. Este lente no tiene electrónica incorporada en él para el control de iris, sino que depende de la
cámara para que le proporcione los voltajes de motor positivos o negativos para operar el iris.

Cámaras más antiguas aceptan y operan lentes de video, pero no los lentes DC/LC. La mayoría de las cámaras diseñadas después de 1995 y antes de 2002
aceptan lentes de video o lentes DC/LC. Las cámaras diseñadas desde 2002 sólo aceptan lentes DC/LC.

Pregunta 6: ¿Es la cámara una cámara de megapíxel?

La diferencia primaria entre un lente estándar (de cualquier formato mencionado anteriormente) y un lente de megapíxel es que el lente de megapíxel es
considerado un lente de mayor calidad. Todos los lentes están diseñados para enfocar o definir la imagen vista sobre la base de píxel por píxel. Por ejemplo,
con un lente y cámara 4 CIF, el lente está diseñado para enfocar en un área equivalente al tamaño de un punto de píxel. Si el lente 4 CIF es montado en una
cámara 16 CIF (1.3 megapíxel), la diferencia primaria es que habrá instalados el doble de píxeles horizontales y verticales en el CCD de 16 CIF, lo que
significa que son la mitad de grandes en el área de superficie. Esto también significa que la cámara de 1.3 megapíxel tiene dos píxeles verticales y dos
píxeles horizontales (cuatro píxeles en total) en el mismo espacio que la cámara 4 CIF tiene uno. Por lo tanto, el lente 4 CIF en una cámara 1.3 megapíxel
enfocará la imagen en 4 píxeles en vez de uno, causando que la imagen sea igual a 4 CIF. El resultado es tecnología, dinero y esfuerzos perdidos.

Pregunta 7: ¿Utiliza la aplicación mejoramiento infrarrojo (IR) de la iluminación?

Si es así, la cámara debe usar un lente con corrección de infrarrojos. Al igual que un lente con corrección de color, un lente con corrección de infrarrojos
utiliza una óptica y recubrimientos especiales para asegurar que las ondas de luz IR más largas sean enfocadas en el CCD.

Al final, los problemas de compatibilidad entre cámaras y lentes pueden evitarse con una cuidada atención a las hojas de especificaciones de los lentes y
cámaras. Las hojas de especificación de las cámaras dicen qué lentes acepta la cámara. Las hojas de especificaciones de los lentes dicen si el lente estará a
la altura de las exigencias de la cámara. No es esencial entender todos los procesos que hacen funcionar a un equipo. Sin embargo, es esencial entender los
principios y la nomenclatura básica.

5.7 FORMATOS DE CÁMARAS Y LENTES

A medida que los CCD se encogen, se hace cada vez más difícil hacer coincidir lentes y cámaras. Por ejemplo, un sitio puede tener cámaras de ¼ pulgada
con lentes de zoom de 6.5mm-65mm. Si el administrador de seguridad desea añadir una cámara de ⅓ de pulgada en un sitio, ella o él debe determinar qué
lente en la cámara de ⅓ pulgada proveerá la misma vista. La clave es saber cuál es el lente estándar para una cámara y luego calcular a partir de ahí. Un
lente de 25mm es el lente estándar para una cámara de 1 pulgada (un lente estándar recrea un imagen equivalente a lo que el ojo humano ve a la misma
distancia).

Un CCD de formato ½ pulgadas es la mitad del tamaño de un CCD de formato de 1 pulgada. Por lo tanto, el lente estándar para una cámara de ½ pulgadas
debe ser 12.5mm –la mitad del tamaño de un lente estándar para una cámara de 1 pulgada. Del mismo modo, el lente estándar para una cámara de ⅓ de
pulgada es de un tercio de la de estándar de 1 pulgada, o 8,333, redondeado a 8mm.

Es un poco más difícil determinar el lente correcto si una cámara de ½ pulgadas, con un lente de 8mm, que está en terreno será mejorada a una de formato
de ⅓ de pulgada, y se quiere el mismo tamaño de imagen. El primer paso es convertir la cámara de ½ pulgadas y el lente en términos equivalentes a
cámaras y lentes de 1 pulgada. Una cámara de 1 pulgada es del doble de tamaño de una cámara de ½ pulgadas, por lo que el lente de una cámara de 1
pulgada será del doble de tamaño también. Por lo tanto, el lente de 8mm equivale a un lente de 16mm en una cámara de 1 pulgada. El paso siguiente es
convertir los equivalentes de 1 pulgada a ⅓ de pulgada. Entonces, 16mm dividido en tres es igual a 5.33mm. Una alternativa sería seleccionar un lente con
una distancia focal fija cercana a 5.33mm en un formato de ⅓ de pulgadas o más grande.

El campo de visión es el tamaño final del área de visualización, medido en anchura y altura. Los sistemas analógicos crean imágenes rectangulares que son
cuatro partes de ancho por tres de alto. Si una imagen es de 12 pies de ancho, debe ser de 9 pies de alto. El campo de visión de una cámara IP o digital
funciona de la misma manera, excepto que la imagen no está fijada en 4 x 3.

La resolución de las cámaras digitales está medida en términos CIF. Las clasificaciones de resolución de todas las cámaras digitales son múltiplos o
divisiones de CIF. Las resoluciones de IP más comunes (hasta la fecha) son las siguientes:

Una imagen de 4 megapíxeles tiene la misma resolución que una película de 400 ASA. Una imagen de 6 megapíxel tiene la resolución de una película de
100 ASA.

La resolución de una imagen está determinada primero por la cámara, en segundo lugar por el método de transmisión, en tercer lugar, el eslabón más débil,
en el sistema de interfaz de video, y en cuarto lugar por la capacidad de reproducción de los sistemas de almacenamiento de imágenes. A mayor resolución,
más nítida es la imagen.

Cámaras de alta resolución producen imágenes de baja resolución si se utilizan monitores de baja resolución o algoritmos de compresión alta. El monitor,
sin embargo, rara vez es el problema. Grabadoras de video análogas promedian una reproducción de 325 líneas horizontales. Por lo tanto, la imagen de alta
resolución de la cámara se puede ver bien en el monitor, pero verse mal cuando la grabación se reproduce. Otra fuente de pérdidas son los multiplexores.
Estas unidades toman la señal de video, la digitalizan para características y switching, y luego la devuelven a análogo, perdiendo hasta el 25 por ciento de
la resolución en el proceso. Aún más, los cables coaxiales pueden reducir entre un 10 y 15 por ciento de la resolución, debido a una instalación descuidada,
malas conexiones o cables baratos.

La resolución digital, en contraste, es en última instancia ilimitada y extremadamente flexible. Una imagen digital puede ser reducida tanto en ancho de
banda como en requisitos de almacenamiento, a través de algoritmos de compresión. El estándar de compresión más efectivo y de crecimiento más rápido
en el mercado de las imágenes digitales es H.264. Este algoritmo permite una buena compresión con poca o ninguna perdida efectiva de detalle. Lo que es
importante recordar es que una vez que una imagen se comprime, muy rara vez se puede regresar a su calidad o detalle original.

La resolución no es una gran preocupación en la mayoría de las aplicaciones de interior o exterior. No obstante, si el administrador de seguridad debe
basarse en imágenes grabadas para obtener información, ella o él deben asegurarse que el objeto de interés es lo suficientemente grande para ser
identificado claramente o que después de la compresión, existen los suficientes pixeles por pies (o metros) para asegurar el reconocimiento preciso de
acuerdo a los requerimientos originales del diseño del sistema.

5.8 SOFTWARE DE CONTROL

La mayoría de los sistemas modernos en la actualidad están vinculados o bien a un DVR (analógico), NVR o a un servidor. En el caso de los sistemas DVR
o NVR, todos los controles, funciones o beneficios son parte de las unidades que se utilizan en forma conjunta. Para aplicaciones más grandes y complejas,
toda la información de video se reunirá en una red y controlará en un punto central a través de aplicaciones de software. Nuevamente, dependiendo del
tamaño final del sistema, el software requerido por el sistema puede ser lo suficientemente simple para ser operado desde un computador personal. Para
aplicaciones más grandes y complejas, el paquete de software completo puede requerir capacidad de proceso de datos (computing power) extrema y
software equivalente. Se debe tener cuidado al responder ciertas preguntas clave, necesarias para un buen diseño de sistema o aplicación:

• ¿Cuántas cámaras serán manejadas en cada punto nodal? Con los sistemas digitales, debido a las restricciones en el largo del cable y accesos, la
mayoría de las cámaras será cableada al nodo más cercano, en vez de ser dirigidos directamente al punto de control central. Nuevamente, esto será
determinado por el tamaño global de el área de instalación. Un nodo es un punto central para que piezas individuales se reúnan para ser insertadas en
la ruta de una red. La ruta de red es exactamente lo que parece: una conexión central entre todos los nodos de campo y la cabecera. Hay que
considerar cuántos equipos estarán conectados en cada punto nodal para asegurar que la codificación, la energía y los equipos de switching
apropiados están instalados junto con la cantidad de ancho de banda que cada nodo utilizará, finalmente, mientras se comunica con la cabecera.

• ¿Alguna de las cámaras será vista en más de un punto de monitoreo? Si es así, los puntos de monitoreo individual necesitarán capacidades
de control separadas?20 El propósito de esta pregunta es determinar los requerimientos de cableado, los requerimientos de bando de ancha
individual para datos transmitidos o emitidos y las capacidades o requerimientos del software de base que dirige el sistema.

• ¿Habrá algún punto de activación de alarma interconectado? En la medida que un sistema de video crece, puede resultar ventajoso instalar
dispositivos de alerta (tales como contactos en las puertas, detectores de movimiento infrarrojos y sensores de foto), para gatillar a un sola cámara en
la pantalla cuando es detectado un intruso o movimiento en un área. Una ventaja es que el operador puede concentrarse en otras tareas hasta que la
alarma es gatillada. Esto evita la necesidad de cableado adicional desde el contacto de la alarma al nodo más cercano o a la cabecera.

• ¿Se requerirá del operador del switch que active otros dispositivos, como vibradores o luces, en el caso de una alarma? ¿Sería ventajoso
transmitir un correo electrónico, texto o imagen de video a un dispositivo portátil, como un teléfono móvil?

• ¿Existen planes para expandir el sistema en el futuro? Si es así, ¿puede la red y los nodos individuales manejar esta expansión? Si un nodo es
instalado con 16 entradas y una unidad de energía pequeña en una caja montada en la pared y hay planes para añadir seis a siete cámaras a través de
la línea, puede ser necesario reemplazar la unidad de energía, el sistema de switching o la caja de la cerradura –a menos que el diseñador deje el
espacio suficiente y escoja el equipo adecuado desde el inicio. Planear por adelantado puede ser la diferencia entre cientos o miles de dólares cuando
llegue la hora de expandirse.

• ¿Qué unidades tendrán que ser montadas en Racks? ¿Es mejor usar una aplicación de tabla o una de escritorio? La respuesta influencia algunas
decisiones auxiliares en la selección del tipo de estación de monitoreo.

La disposición final de los nodos, la cabecera y todos los switching, codificadores, red y software asociados no puede ser tomadas antes que la visión
inicial de las cámaras esté totalmente decidida.

5.9 SISTEMAS DE GRABACIÓN

Cuando se trata de la retención y el uso de imágenes de eventos de seguridad, el usuario debe decidir si el propósito del sistema es el de verificar
información, probarla, o ayudar en un juicio con ella. Esta decisión conduce a la elección del tipo de imágenes de video, el grado de calidad o resolución y
el número de imágenes por segundo/por cámara que son mejor para la situación. Por ejemplo, si la información de video se va a utilizar en una corte, su
admisibilidad puede estar determinada por la calidad de la información grabada, la manera en que se obtuvo y la prueba de originalidad. Tiene sentido
verificar con el equipo legal de la organización antes de instalar un sistema. Aparte de eso, los sistemas modernos de almacenamiento se reducen a una
simple fórmula de cuántas imágenes, a qué resolución se pueden almacenar durante cuánto tiempo.

Por ejemplo, si una sola cámara de 1.3 megapíxeles de formato H.264 está proporcionando 15 imágenes por segundo a una tasa de almacenamiento de 2.35
Mb por imagen, uno necesita 3.25 Mb de espacio de almacenamiento por segundo, para esta sola cámara. Esa es una cantidad irreal para almacenar. Para
ahorrar espacio, se puede reducir el número de imágenes por segundo, la cantidad de resolución requerida (usualmente a través de factores de compresión),
la cantidad real de tiempo de grabación por unidad (a través de señales de activación como detección de movimiento de video) y más. Puede ser útil
reunirse con el fabricante de un servidor o sistema de NVR para calcular requerimientos de almacenamiento basados en los requisitos del diseño final. Al
final del día, la única razón para disminuir la cantidad de requisitos de ancho de banda de la red y la cantidad de espacio de almacenamiento son los costos.

Los siguientes son los tipos básicos de grabadores:

• Grabadores de video digital (DVR) (análogos). Los DVR capturan señales análogas y las convierten a formatos digitales. Estos grabadores
almacenan información de video en discos duros, CD, DVD u otros medios. El desafío es que la información de video requiere de grandes espacios
de almacenamiento. Por ello, los DVR comprimen la imagen de video, utilizando un códec particular (un motor de compresión o secuencia de
comando que hace que la unidad combine colores, reduzca la resolución, o ambas). Una vez comprimido, sin embargo, la calidad de la imagen puede
ser peor. Es importante probar los DVR (las funciones de reproducción y ampliación en particular) antes de la compra.

• Grabadores de video en red (NVR) (digital). Los NVR están diseñados para aceptar señales digitales o análogas desde el terreno. Son bastante
mejores que los DVR y están igualmente diseñados para ser controlados a través de una red. Estas unidades también tienen un grado de sofisticación
mayor y son usualmente adecuadas para sistemas con varios cientos de cámaras. A pesar que la mayoría de los NVR tienen buenas técnicas de
búsqueda, generalmente están limitados en la cantidad de interfaces o funciones externas disponibles para aplicaciones externas, como los sistemas
de control de acceso o alarma. Adicionalmente la mayoría de los sistemas de NVR no son accesibles a soluciones de software externas que pueden
ser requeridas por la seguridad global y el diseño de respuesta.

• Aplicaciones de servidor/la nube (digital). Para sistemas que requieren aplicaciones de software sofisticadas para el control, análisis u otras
interfaces intrincadas, y para sistemas muy grandes, el almacenamiento usualmente consiste en la compresión de las señales digitales entrantes y
almacenarlas en complejos niveles en servidores. Estos sistemas ofrecen métodos de búsqueda sofisticados, así como múltiples salidas visuales para
la entrega tanto a aplicaciones fijas como móviles. Estos sistemas de software pueden ofrecer todo, desde una tasa de cuadros variable cámara a
cámara, a una control digital completo de funciones de zoom y movimiento horizontal/vertical.

5.10 CONSIDERACIONES DE DISEÑO ADICIONALES PARA EVALUACIÓN DE VIDEO

Un sistema de evaluación de video debe ser diseñado como un componente del sistema total de detección de intrusos. Muchas interacciones entre el
sistema de video, sensores de intrusión y sistema de visualización deben ser considerados durante el diseño conceptual, como las siguientes:

• distribución del sitio/sector –la distribución de los sensores para que la evaluación sea posible a un costo razonable
• interferencias de video/sensor –diseño del sistema de evaluación para evitar contribuir a causar alarmas no deseadas
• ubicación del monitor –ubicación de los monitores de video en el sistema de visualización
• construcción –construcción común y requerimientos de instalación, técnicas y lugares

Distribución del Sitio/Sector

Uno de los requerimientos de un sistema de evaluación del perímetros es que visualice tanto como sea posible la zona despejada (clear zone), incluyendo
tanto las vayas interiores como las exteriores. La selección de cámara/lente y su posicionamiento deben asegurar la detección y clasificación de cualquier
causa visible de alarmas en la cerca y sensores, para la zona despejada, en cualquier momento. Por estas razones es importante que el siguiente criterio sea
observado: (a) el espacio interior/exterior de la cerca debe ser relativamente uniforme; (b) se deben considerar restricciones de ancho mínimo para la zona
despejada; (c) se debiese seleccionar o remover la vegetación de la zona despejada: y (d) proveer de una iluminación adecuada. Cambios a estos criterios
generalmente reducirán la eficiencia del sistema y aumentarán los costos globales del sistema al aumentar los requerimientos de cámaras y equipos para
alcanzar un nivel aceptable de efectividad del sistema. Cada zona de evaluación exterior debe utilizar una cámara fija por zona para proveer capacidad de
evaluación.

Se debe considerar el efecto de usar más de una cámara para evaluar una sola alarma en locaciones interiores. En instalaciones de amenaza pequeña o baja,
tan sólo con algunas cámaras o con determinados requisitos de cobertura de video, múltiples cámaras por alarma podrían entregar una evaluación aceptable
sin repeticiones innecesarias de equipos, visualización y grabación. Los sistemas grandes tienden a ser más simples si cada alarma es evaluada sólo por una
cámara, dado que las decisiones relacionadas con qué cámaras deben ser seleccionadas serán simples y que el operador será capaz de concentrarse en un
selección limitada de videos para revisión.

Interferencias de Video/Sensor
Los sistemas de exteriores típicos requieren de instalación de torres de cámara cerca de la zona donde se instalan los sensores. La altura y ubicación de las
torres debe ser escogida de manera que la vibración del poste provocada por el viento no cree una fuente de energía sísmica suficiente para provocar
alarmas en cables enterrados. Adicionalmente, las torres de cámara deben estar colocadas para prevenir que un adversario las utilice para cruzar el
perímetro o la zona de aislamiento. Energía, video, sincronización y líneas de control deben ser ubicadas donde no se pueda inducir ruido entre cables de
video y cables de sensores.

Ubicación de los Monitores

Los monitores de video debiesen estar instalados en la consola de control del sistema en una ubicación que permita una evaluación rápida y efectiva, sin
interferencias de otros sistemas de control o salidas (outputs).

Construcción
Es común en un sistema de detección de intrusos la instalación de cables de señal y de distribución de alimentación, así como modificar edificios para la
instalación de equipos. Se puede alcanzar una reducción en los costos de construcción y un diseño de sistema más efectivo al combinar los requerimientos
del subsistema de sensores y el subsistema de evaluación, tales como los conductos y la instalación de la caja de conexiones. Dentro de estos elementos de
construcción se debe incluir espacio para la expansión del sistema.

Evaluación de la alarma por la fuerza de respuesta

La evaluación de video de alarmas puede complementarse con inspecciones visuales de los oficiales de seguridad. Si el sistema de evaluación de video no
está en operaciones (mantenimiento, condiciones climáticas) o si la evaluación de video no está disponible por alguna razón en particular (v.gr. el uso
dentro de algunas instalaciones clasificadas), los oficiales de seguridad deben ser capaces de evaluar la alarma.

Independiente de si las alarmas son evaluadas utilizando video u oficiales de seguridad, para que sea efectiva la alama debe ser evaluada rápidamente una
vez que ha sido reportada. Para instalaciones que usan torres, los oficiales de seguridad en torres pueden proveer evaluación efectiva si el número, diseño y
ubicación de las torres están adecuados para entregar una cobertura visual completa del perímetro.

Integración con los Sistemas de Protección Ocupacional

En la actualidad es común añadir muchas cámaras de CCTV a una instalación para ayudar a determinar la presencia de un evento crítico de seguridad
ocupacional. Si bien estas medidas pueden reducir los costos laborales, puede también haber una reducción en la eficacia de los sistemas de seguridad. En
las instalaciones o complejos grandes, puede ser mejor separar estas dos funciones, para que las fuerzas de seguridad no sean distraídas por eventos de
seguridad ocupacional, los que podrían encubrir un ataque malévolo en la instalación. En instalaciones simples con niveles de amenazas bajos, la co-
ubicación de estas funciones puede ser aceptable; sin embargo, aún así esto puede comprometer la efectividad del sistema de seguridad durante un ataque.

Cuestiones Legales
Una adecuada preocupación por la privacidad es una consideración mayor al utilizar sistemas de CCTV. Por lo general es inapropiado ubicar cámaras en
vestuarios, baños u otros lugares en los que tanto empleados como visitantes tienen expectativas razonables de privacidad. La utilización de cámaras
escondidas o encubiertas es legal bajo varias circunstancias, pero se recomienda consultar con un abogado para asegurarse que existe la suficiente
justificación legal o la autoridad legal para este uso. También es motivo de responsabilidad penal el uso de cámaras ficticias en una instalación. Al hacerlo
se establece una expectativa de protección, la que puede crear una responsabilidad si una persona que está bajo ataque cree que el ataque está siendo
observado y que ayuda bien en camino. También es una práctica legal aceptada colocar señales informando a la gente que el área está bajo monitoreo de
video o vigilancia. Estas señales están usualmente ubicadas en los puntos de acceso de una instalación para minimizar el número de señales para advertir a
los visitantes y al personal del sitio que la presencia de CCTV.

La utilización de información de video grabada debe cumplir con ciertos estándares para ser admisible como evidencia legal. Dependiendo de la
jurisdicción, también se exige una determinada calidad de la imagen, sello de hora/fecha y el porcentaje de la escena ocupada por el sujeto y testigos
oculares. Además, en muchos estados la presencia de un identificador único de escena también es requerido. Este identificador sirve para establecer
concluyentemente dónde la imagen fue grabada. Por ejemplo, es necesario diferenciar una oficina o pasillo de otro. Las imágenes electrónicas usan ahora
marcas de agua digital para asegurar la integridad de la imagen y eliminar la manipulación, pero éstas han alcanzado diferentes niveles de aceptación legal.
Para asegurarse que las imágenes cumplirán con los requisitos legales, se recomienda consultar con un abogado o agencia legal de la jurisdicción.

Procedimientos
La selección de la cámara debe estar basada primordialmente en la sensibilidad requerida para una señal de salida de video completa en el entorno de
iluminación del área a ser evaluada. La sensibilidad debe coincidir con los objetivos del diseño, independiente del generador de imágenes. La resolución
del generador de imágenes es la segunda en importancia, porque determina el número de cámaras requeridas para una selección de perímetro de línea recta
dado. Mientras mayor sea la resolución, mayor puede ser el espacio entre las cámaras. La resolución requerida para un objeto debe ser determinada antes de
seleccionar la cámara, pero en la práctica la resolución de objeto deseada puede ser levemente modificada cuando las opciones de cámaras posibles son
limitadas.

El formato de la cámara es una consideración importante en el proceso de selección de cámara. El tamaño del formato determina la sensibilidad del tubo de
imagen, en que los formatos pequeños tienen menor sensibilidad y resolución más baja. En esta situación el costo de oportunidad (trade-off) es el precio,
pero el costo de la cámara es sólo una parte del costo total del sistema. El tamaño del formato también afecta el campo de visión, el que dictamina el
número de lentes disponibles en una variedad de longitudes focales. Los requerimientos de lentes diseñadas especialmente para longitudes focales no
estándar deben ser cuidadosamente considerados y evaluados.

Durante el proceso de selección, la evaluación de las cámaras se debiese realizar bajo las mismas condiciones ambientales de iluminación a las del sitio. En
muchos casos la experiencia en otras instalaciones puede ayudar a reducir el número de opciones a considerar. La literatura de los fabricantes no debe ser el
criterio exclusivo de selección de cámaras. Las especificaciones, o las condiciones bajos las que las especificaciones son desarrolladas, pueden ser irreales
en relación al problema de diseño en cuestión.

Otras consideraciones en el proceso de selección deben incluir la dificultad de mantenimiento, el envase de la cámara para el medioambiente en el que se
va a utilizar, el soporte de mantenimiento del fabricante y la documentación de soporte del equipo. La documentación debe incluir la operación, ajuste y
procedimientos de mantención; teoría de la operación; diagramas de bloques; esquemas; y listado de las piezas de repuestos del fabricante y comercial. Se
debe considerar seriamente la posibilidad de eliminar cualquier producto que no incluya dicha documentación.

Pruebas de Aceptación
Un subsistema de evaluación de video requiere un enfoque consciente de la instalación y del mantenimiento para asegurar un desempeño máximo. Debe
hacerse una inspección de entrada de cualquier cámara adquirida para la evaluación o instalación final del sistema. Se evaluarán diferentes parámetros en
dos situaciones. Las cámaras de evaluación se compararán con otras cámaras adquiridas con el mismo propósito. Al recibir las cámaras para la instalación
final, el desempeño de la cámara debe ser evaluado para determinar la conformidad con las especificaciones del fabricante, compatibilidad con el criterio
de diseño y un desempeño consistente, cámara a cámara. La experiencia muestra que la inspección final en la planta del fabricante no es consistente y que
el desempeño puede diferir considerablemente de las especificaciones. Con frecuencia, durante el transporte algún equipo puede dañarse o algunas de sus
partes se sueltan. Operar el equipo en forma continua por unas pocos cientos de horas antes de la instalación final, usualmente disminuye los problemas de
mantenimiento durante la fase de instalación de la construcción del perímetro. Cualquier problema descubierto en este momento debe ser remitido al
fabricante para ser resuelto mientras aún está en garantía.

Las cámaras de exterior deben ser instaladas de acuerdo a las especificaciones del fabricante y enfocadas durante la noche, bajo la misma iluminación que
se espera durante su operación normal. De ser posible, las cámaras deben ser evaluadas de acuerdo a sus capacidades de resolución antes de ser compradas.
Un método simple para verificar la resolución de una cámara es utilizar objetivos del tamaño apropiado en las zonas de evaluación y verificar que pueden
ser clasificados. Por ejemplo, uno puede usar un objetivo con forma circular de 1 pie (0.3m) de diámetro, un cuadrado de un 1 pie y un triángulo de 1 pie de
alto. Los objetivos son de color negro en un lado y blanco del otro. Al ubicar los objetivos en el campo lejano del perímetro exterior de una zona de
evaluación, y al tener a un operador que vea las imágenes y reconozca cada una de la formas distintivas (clasificar), uno puede rápidamente determinar si la
resolución del sistema es adecuada. Los objetivos también se pueden mover a las áreas brillantes y oscuras para verificar que las imágenes aún son
identificables (utilizando el lado del color apropiado –negro para las zonas oscuras y blanco para las zonas brillantes). El tamaño del objetivo puede variar
dependiendo de la amenazas esperadas en la instalación, o se pueden usar gráficos de resolución para determinar la resolución en zonas de evaluación
interiores o exteriores. Objetivos de altura de un pie simulan la sección transversal de un hombre arrastrándose; objetivos más grandes o pequeños pueden
ser útiles en otras instalaciones, basándose en la amenaza. Ayudas adicionales para determinar la resolución incluyen el uso de grandes diagramas de
resolución en las zonas de evaluación o el uso de objetivos de prueba hechos por los fabricantes de CCTV, como Rotakin. Debido a la falta de estándares o
requerimientos de resolución aceptados para los integradores de sistemas de seguridad privada, el diseñador del sistema o el administrador de seguridad
debe determinar qué resolución necesita y especificarlas al licitar contratos o comprar equipos.

El desempeño de una cámara puede ser verificado en un laboratorio utilizando un banco de pruebas. Esto permite medir la resolución, enfoque y
sensibilidad y puede ser más rentable que hacer pruebas. La verificación inicial del desempeño de una cámara utilizando un banco de pruebas no es
suficiente para asegurar un desempeño aceptable en un sistema de protección. Algunas cámaras de CCTV son enviadas pre-enfocadas; sin embargo, el
medioambiente en el que estas cámaras están enfocadas puede no ser igual al medioambiente de operación de la instalación. Las pruebas y verificación
iniciales deben ser seguidas con pruebas apropiadas en interior y exterior para confirmar que las cámaras se desempeñarán como se requiere. Se pueden
realizar en esta etapa ajustes finales al enfoque, sensibilidad y campo de visión de la cámara, para tener en cuenta la iluminación real u otras
consideraciones medioambientales, .

Se deben realizar pruebas de iluminación exterior utilizando medidores de luz de alta calidad y un patrón de cuadrícula –por ejemplo a intervalos de 3 pies
(0,9m), 1 pie (0,3m) sobre el suelo. El estudio debe realizarse con la iluminación de la instalación y debe repetirse anualmente. Se debiese preparar una
mantención preventiva para reemplazar luces. Dependiendo del tamaño de la instalación y el presupuesto disponible, todas las lámparas pueden ser
reemplazadas al mismo tiempo o pueden ser reemplazadas en la medida que fallan. En muchos casos, el reemplazo de lámparas en zonas de exterior
requiere de un camión de cubo o equipos similares. Si estos equipos están disponibles permanentemente en el lugar, hay mayor flexibilidad en el programa
de mantenimiento a que si el equipo debe ser alquilado. Este equipo puede también ser usado para reemplazar o dar mantenimiento a cámaras de exteriores.
Con el tiempo, se puede recolectar la suficiente información para establecer un ciclo rutinario de reemplazo de lámparas. Además, la iniciación de la
iluminación es importante. Existe una variedad de enfoques, como utilizar un foto sensor que activa todas las luces; una célula por luz, por lado, o por
sector; o la activación manual.

La iluminación interior también debe ser evaluada en forma continua, pero no requiere de un esfuerzo substancial como las áreas de evaluación exterior.
Existen especificaciones para la cantidad de luz que debe estar presente, que permite realizar diversas tareas como la lectura, inspecciones o trabajo de
oficina en general. En la mayoría de las aplicaciones de interior, la iluminación entregada para iluminar el trabajo que se realiza es adecuada también para
las cámaras de CCTV; sin embargo, esto aún debe ser revisado. En las áreas de evaluación interior debe ponerse particular atención al mover muebles u
otros objetos, para eliminar sombras o puntos ciegos.

La velocidad del subsistema de video también debe ser puesta a prueba para asegurar que la respuesta de la alarma y las capturas de video sucedan lo
suficientemente rápido para capturar el evento de intrusión. Pruebas de desempeño con el número de alarmas que pueden ser capturadas y reportadas en un
segundo, los tiempos de switching entre cámaras, y tiempos de grabación también pueden ayudar a determinar si el sistema está funcionando como se
espera. Además de pruebas de desempeño en el subsistema de video y sus componentes, se recomienda encarecidamente el uso de pruebas de aceptación
para cualquier subsistema de video proporcionado por un proveedor o integrador de sistemas. Estas pruebas deben abordar la resolución adecuada en
ambientes reales de operación, velocidad de grabación, número de alarmas que pueden ser adquiridas y almacenadas para revisión en un segundo, y
detalles relacionados, como la proporción luz/oscuridad. Las especificaciones deseadas y la declaración de aceptación de las pruebas deben estar incluidas
como parte de los términos y condiciones en los contratos con los proveedores.

Con la inspección de recepción y el equipo probado antes de la instalación, los problemas de mantenimiento debiesen ser minimizados a corto plazo. El
ajuste de la cámara probablemente consumirá gran parte del tiempo de mantenimiento. El foco óptimo del lente de la cámara ha sido consistentemente un
gran factor que consume tiempo en la instalación. Los niveles de iluminación del día a la noche y los cambios en el espectro de energía son los
responsables de la mayoría de estos problemas. El enfoque óptico es más confiable y se alcanza durante la noche, bajo la iluminación apropiada de la
escena desde la ubicación final de la cámara. Las cámaras en carcasas selladas imponen una seria restricción para este procedimiento.
Los problemas de mantención son resueltos mejor por personal competente del lugar, capaz de entender las complejidades e interrelaciones de todos los
conceptos utilizados en el diseño del sistema original, así como la experiencia en la solución de problemas electrónicos. Los requisitos específicos de
mantenimiento periódico deben provenir del fabricante en la forma de documentación impresa. También, es útil tener especificaciones de las tasas de
alarmas no deseadas, puesto que permitirá que se produzcan un número de alarmas no deseadas sin penalidades. El valor de las alarmas no deseadas
ocasionales es que mantienen la confianza en el equipo mientras el sistema funciona. Un ejemplo de una especificación de alarma no deseada puede ser una
alarma no deseada por zona, por día. El número debe ser lo suficientemente pequeño para permitir la operación continua bajo condiciones cambiantes
esperadas, pero no tan alto que cree una vulnerabilidad. Esto puede ocurrir si hay tantas alarmas no deseadas que los oficiales de seguridad se ven tentados
a ignorarlas. Cualquier molestia recurrente o alarma no deseada debe ser investigada para la posible mejora del sistema. Así como con cualquier
mantención de equipos de seguridad realizada por personal externo, todos los equipos deben ser revisados después de la actividad de mantenimiento para
asegurar que los sistemas están plenamente operativos y sin modificaciones.

La documentación de los fabricantes de los equipos debe ser preservada en el lugar en que se utilizan, así como en una ubicación de almacenamiento
central de documentos. Cualquier modificación de equipos realizada en el lugar también debe ser documentada y almacenada en ambas locaciones. Un
registro de mantenimiento de todas las reparaciones y ajustes de todas las cámaras debe mantenerse para tener un archivo histórico de cada pieza del
equipo. Se pueden establecer tendencias de mantenimiento para identificar problemas y fallas recurrentes en los equipos. Esta práctica reducirá
substancialmente el tiempo de reparación e identificará a cualquier equipo de desempeño bajo los estándares.

5.11 EVALUACIÓN DE LOS SISTEMAS DE EVALUACIÓN DE VIDEO

Los siguientes parámetros determinan la efectividad de un subsistema de evaluación de video:

• Tiempo mínimo entre el sensor de alarma y la visualización de video

• Cobertura completa de la zona de detección del sensor (llamada zona de evaluación cuando los sensores y el video están integrados)
• Capacidad para clasificar un objetivo de 1 pie (0,3m) en el borde lejano de la zona de evaluación (clasificación significa un objeto en una imagen de
video que puede ser diferenciado con precisión como humano, animal, escombros volando u otra categoría. Algunos sistemas de protección deben
identificar el objeto en la imagen; identificación es la capacidad para diferenciar entre personas, por ejemplo, Juan no Jaime. Estas capacidades son
una función de la calidad de la imagen, la que es medida utilizando la resolución de video)
• Campo de visión vertical en el borde más lejano de la zona de evaluación exterior para dar cuenta de la altura de una cerca estándar (si está presente)
y una persona escalando por sobre la valla
• Operación continua, 24/7
• Sensibilidad mínima a las condiciones medioambientales para todas las cámaras
• Oscurecimiento mínimo de la zona de evaluación (en las zonas exteriores árboles, vallas, o cajas de conexiones; o muebles que bloqueen la vista de
la cámara en áreas interiores)
• Campo de visión de la cámara e integración con el sistema de grabación de video que muestre la fuente de la alarma al operador

Mientras más se aleje el subsistema de evaluación de estos requerimientos, más baja será la calidad de la imagen de video y más se degradará el desempeño
del subsistema.

La evaluación del sistema de vigilancia de video generalmente verifica que los controladores de las cámaras y de las unidades de movimiento
horizontal/vertical/zoom están operacionales y con los sellos de fecha/hora y otros mensajes de texto exactos.

Para apoyar las pruebas del subsistema de video, se pueden utilizar objetivos de prueba para verificar la calidad de la imagen de video. Estos objetivos son
simples formas geométricas que incluyen un círculo de 1 pie (0,3m) de diámetro, un cuadrado de 1 pie y un triángulo de 1 pie de altura. Los tamaños de los
objetivos de prueba se basan en una resolución requerida de un campo de visión horizontal de seis líneas horizontales de televisión (HTLV de ahora en
adelante, por sus siglas en inglés) por pie, que es suficiente para clasificar, bajo iluminación adecuada, un intruso que se arrastra. Si la amenaza esperada
siempre proporcionará un perfil más grande al sistema de video, una resolución horizontal inferior es aceptable. El uso de los objetivos de prueba es
apropiado en ambos casos. Los objetivos están pintados de color negro en un lado y blanco del otro, para que puedan ser utilizados para comprobar la
resolución de la imagen en zonas oscuras y brillantes, respectivamente. Debido a que la evaluación debe tener en cuenta desempeño de los componentes
bajo una variedad de condiciones cambiantes, esta es una manera simple de probar si los objetivos de prueba pueden ser vistos en condiciones de
iluminación extrema en el área. Estos objetivos son usados para probar cámaras en blanco y negro y a color.

Los objetivos son ubicados en varios puntos en las zonas de evaluación (o a través del campo de visión de la cámara, si se utiliza un sistema de vigilancia)
y se le pide al operador del subsistema que distinga entre los diferentes objetivos. Mientras más objetivos sean claramente diferenciados, más confianza
uno tendrá en la calidad de la imagen de video. Se seleccionan, para ser probadas, las ubicaciones que no parecen hacer fácil la identificación de un objeto,
como puntos oscuros o brillantes o lugares donde la visión de la cámara está obstruida o donde la superficie no es plana. Las pruebas se pueden realizar
tanto en las cámaras internas como externas. Estos objetivos ponen a prueba los extremos de las capacidades de blanco y negro del subsistema de
evaluación contra el color de fondo de la zona de evaluación. Otros aspectos de la calidad de la imagen que deben ser considerados son la iluminación, la
montura de la cámara, el sistema de transmisión utilizado y la integración de switchers y controles en el subsistema para facilitar la evaluación de la alarma.

Los objetivos también son utilizados para probar la resolución de campo lejana, particularmente en la evaluación de zonas exteriores. Puesto que la
resolución de campo lejana representa la distancia más alejada de la cámara, tendrá la menor cantidad de líneas por pie, por lo que es una manera rápida de
verificar que la resolución horizontal se mantiene a través de toda la zona de evaluación.
La calidad de la imagen de video es sólo un aspecto de la evaluación. Porque es poco probable que todas las alarmas puedan ser evaluadas utilizando video
en tiempo real (imagine múltiples alarmas, la atención del operador en otras tareas cuando se inicia la alarma, o un adversario corriendo muy rápido a
través de la zona de detección), se necesita también un sistema de grabación y almacenaje. Como con las cámaras, existen muchas opciones para lograr
esto, pero lo que es importante es que la grabación y reproducción sucedan lo suficientemente rápido y con el suficiente detalle para determinar la causa de
la alarma. La velocidad de reproducción y la visualización son menos importante cuando la respuesta sucederá después de la revisión del hecho, en la
medida que la calidad de la imagen sea la suficiente para evaluar la alarma. Los objetivos de prueba de video pueden ser utilizados para verificar la calidad
de la imagen en imágenes grabadas. Es probable que la imagen grabada no tenga la misma resolución (v.gr. calidad) que la imagen en tiempo real, pero ello
varía de acuerdo a los diferentes medios de grabación y sus ajustes.

Los objetivos de prueba también pueden ser utilizados para probar el sistema de vigilancia de video. En este caso, la calidad de la imagen de video se puede
probar, aunque estos sistemas dependen de operadores humanos para ver realmente un evento de seguridad sucediendo en una toma en tiempo real, o
asumir que una respuesta tardía utilizando la grabación es todo lo que se necesita. Si este enfoque funciona para la instalación, la prueba puede ser
apropiada. Además, muchos sistemas de vigilancia de video utilizan cámaras de movimiento horizontal/vertical/zoom (pan-tilt-zoom, PTZ de ahora en
adelante, por sus siglas en inglés), por lo que pueden no estar viendo un área de actividad sospechosa.

5.12 A DÓNDE SE DIRIGEN LOS CCTV

Los CCTV quedarán absolutamente obsoletos, mientras sean reemplazados totalmente por los sistemas de imagen digital (DIS). Sus funciones y
características continúan expandiéndose, así como las capacidades del diseño general del sistema son cada vez más automatizados. Con los sistemas de
almacenamiento y control digital, es cosa de sólo unos pocos años para disponer de sistemas totalmente automatizados e inteligentes. Esos sistemas, una
vez programados, no requerirán seguimiento manual de ningún tipo. Estos sistemas incluirán el reconocimiento facial total en un sistema promedio, así
como seguimiento de individuos o grupos, de punto a punto, de sistema a sistema (en toda la ciudad).

________________________________________
6 Gran parte de este capítulo viene de The Professional´s Guide to CCTV, de Charlie R. Pierce, publicado por LeapFrog Training & Consulting, y es usado con su permiso.
7NTSC proviene del inglés National Television Standards Committee (Comité Nacional de Estándares de Televisión) y es el estándar de resolución en Estados Unidos, Japón y partes
de Latinoamérica. El Estándar NTSC es de 60 campos por segundo a 525 líneas verticales.
8PAL proviene del inglés Phase Alternation Line (Línea de fase alternada) y es el estándar de resolución en Europa, Australia, China y partes de Latinoamérica. El estándar PAL es de
50 campos por Segundo a 625 líneas verticales.
9En la interconexión con alarmas, un evento (como activar el contacto de una puerta, un haz fotovoltaico o detección de movimiento) es utilizado para desencadenar una respuesta de
un sistema de cámaras. La respuesta puede ser llevar una imagen a una pantalla específica o varias imágenes en serie, o un diseño en la pantalla, o disparar un sistema de grabación a
una mayor velocidad de cuadros. La interconexión con alarmas disminuye la cantidad de tiempo destinado a ver imágenes.
10El pre-posicionamiento es un ajuste mecánico o electrónico que dirige la cámara para volver a una posición de movimiento horizontal/vertical y zoom específica cuando la señal se
dispara.
11N. del T: un time-lapse es una secuencia de imágenes capturadas a intervalos regulares, prefijados y espaciados, generalmente de una misma toma o plano, y que al reproducirlos en
forma consecutiva simulan el efecto de aceleración.
12Cámaras análogas son comercializadas a veces como si fueran “digitales” si es que tienen efectos digitales. Cámaras completamente digitales también pueden ser llamadas cámaras
de protocolo de Internet (IP). IP es un lenguaje de transmisión digital.
13 Una interfaz gráfica de usuario es la pantalla visible (como aquella presentada por Windows de Microsoft) utilizada para controlar un computador.
14
La multiplexación combina las señales de varias cámaras de video en un único flujo de datos. La señal combinada no lleva el número total de cuadros de cada cámara. Si un sistema
tiene tres cámaras, cada una produciendo 30 cuadros por segundo, una señal multiplexada de las tres llevará 10 imágenes por segundo de cada una.
15 El portador es la señal electrónica sobre la cual corre el flujo digital o la secuencia de comandos electrónicos.
16Video de alta densidad (HDV, por sus siglas en inglés): un término utilizado con cámaras, imágenes o monitores de alta resolución. HDV no implica la tecnología de megapíxeles,
pero cumple con los estándares internacionales de HDV TV a 1080p (1.080 píxeles en una relación de pantalla de 16:9). Además, HDV permite la transmisión de video por anchos de
banda pequeños y almacenamiento.
17Megapíxeles: un término usado para referirse a una cámara que tiene un generador de imágenes que se compone de millones de puntos de píxeles. Tecnología de megapíxeles
permite muy amplias vistas, equivalentes a 4 CIF o mejor resolución.
18 Super Dynamics es un nombre registrado para una tecnología particular de Panasonic.
19N. del T: foot-candle es una unidad de medida de iluminancia que no pertenece al sistema Internacional de Unidades. Una vela es equivalente a un lumen por pie cuadrado, o 10,764
lux.
20 Capacidades de control incluyen la capacidad para levantar imágenes individuales o lentes de control o unidades de movimiento horizontal/vertical.
 CAPÍTULO 6
ILUMINACÍON

El estudio de la iluminación involucra muchas disciplinas: ciencia y tecnología de iluminación, sistemas eléctricos, diseño estético de los accesorios y
consideraciones socioeconómicas, tales como los costos, la contaminación lumínica y el efecto de los químicos en nuestra ecología (como el mercurio que
se usa en las lámparas). En contraste, con la naturaleza tecnológica de la iluminación, la aplicación de la iluminación en los escenarios de la vida real, en
particular para la seguridad y la seguridad ocupacional, requiere una apreciación de la reacción subjetiva de la gente a los diferentes ambientes de
iluminación. La iluminación artificial se ha desarrollado casi exclusivamente para el beneficio de los seres humanos, para que pueda continuar
desempeñando sus ocupaciones, deportes, actividades de ocio y cualquier otra actividad en ausencia de la luz solar.

La iluminación de seguridad sirve a tres funciones principales, puede actuar como factor disuasivo para las actividades delictuales, proporciona funciones
de seguridad de vida (como la iluminación de vías y estacionamientos) e ilumina el área para el uso de subsistemas de video. No obstante, la iluminación
viene en muchas formas. Algunas son más efectivas o más caras que otras. Este capítulo entrega el conocimiento básico de la ciencia de la iluminación y su
terminología, las características y beneficios de los diferentes tipos de luminarias y su efectiva aplicación para incrementar la seguridad y la seguridad
ocupacional en entornos laborales.

6.1 ILUMINACIÓN Y DEFINICIONES DE ILUMINACIÓN

La cantidad de luz emitida por una lámpara es medida en lúmenes. Por ejemplo, un ampolleta de hogar típica de 100 watts debería emitir alrededor de 1700
lúmenes. Un foco y un reflector deberían emitir la misma cantidad de luz, pero el foco concentra la luz que emite en un área pequeña, mientras que el
reflector dispersa la luz sobre un área mayor. Iluminancia es la concentración de luz sobre un área en particular. La iluminancia es medida en lux,
representando el número de lúmenes por metro cuadrado o en pies-candelas (fc de ahora en adelante, por sus siglas en inglés) el número de lúmenes por pie
cuadrado. Un pie candela es igual a 10,76 lux (a menudo aproximado a un ratio de 1:10).

La sensibilidad de una cámara de CCTV puede ser definida como la mínima cantidad de iluminación requerida para producir un señal de salida
especificada. Los siguientes factores están involucrados en la producción de una señal de TV:
• Nivel de iluminación de la escena
• Distribución espectral de la fuente de iluminación
• Reflectancia del objeto
• Reflectancia total de la escena
• Apertura del lente de la cámara
• Transmitancia del lente de la cámara
• Respuesta espectral del reproductor de imágenes de la cámara
• Ganancia del amplificador de video, ancho de banda y la relación señal/ruido
• Circuito de procesamiento electrónico

Generalmente, la sensibilidad de la cámara se especifica como el nivel mínimo de iluminancia que producirá una señal de video de 1 voltio de pico a pico.
La especificación debería indicar si el nivel de iluminancia es la iluminación de la escena o la iluminación de la placa frontal. La fuente de iluminación
generalmente es una luz incandescente que funciona a una temperatura de color 2,854ºK. En algunos casos, los parámetros que se usan para exigir esta
sensibilidad son irreales. Dos de los parámetros más utilizados son el reflectante de escena más alto y la mayor transmitancia, que las que habitualmente se
encuentran, en los lentes de autoiris con puntos de filtro de densidad neutra.

La Figura 6-1 ofrece una medida de niveles de luz tomadas de la experiencia común.
La cantidad de luz necesaria para producir una señal de video utilizable de cualquier cámara de video es una función de los siguientes factores:
• El tipo y el brillo de la fuente
• La cantidad de energía luminosa iluminando la escena de interés
• La porción de luz reflejada desde la escena
• La cantidad de luz transmitida por el lente al reproductor de imagen
• La sensibilidad del propio dispositivo productor de imagen

Para la implementación exitosa hasta del más sencillo de los sistemas de CCTV es importante la comprensión de los niveles relativos de iluminación de la
escena producida por fuentes naturales, la cantidad de luz reflejada de escenas típicas, y los niveles de iluminación resultantes en la placa frontal requeridos
por la variedad, de tubo de imagen y dispositivos de imágenes de estado sólido (solid-state).

El porcentaje de luz reflejada de una escena (reflectancia) depende del ángulo de la luz incidente y de la textura y composición de la superficie reflectante.
Para la iluminación natural, la reflectancia de varias escenas es relativamente independiente de los ángulos de incidencia y reflexión. La figura 6-2 enumera
algunas superficies comunes y sus reflectancias aproximadas (McGhee & Pierce, 1990).

Los dos parámetros más importantes de un sistema de iluminación para un CCTV son su mínima intensidad y su uniformidad de iluminación. La intensidad
debe ser lo suficientemente grande para asegurar el adecuado funcionamiento del sistema de cámaras elegido. Se requiere un mínimo de 1,5 fc para un
sistema de cámara usando un lente de f/1,8 o más rápida y un reproductor de imágenes de estado sólido (Greenwoll, 1991). Esto supone una reflectividad
de la superficie terrestre del 25 por ciento. De igual importancia es la uniformidad de la iluminación, que se caracteriza por la relación de claro-a-oscuro
(máxima intensidad a mínima intensidad). Una relación claro-a-oscuro excesiva producirá imágenes inaceptables en las cuales las áreas brillantes aparecen
descoloridas y las áreas oscuras aparecen negras. Se prefiere una relación de 4:1 para permitir el medioambiente y otros factores de degradación para lograr
un máximo de 6:01 con el tiempo.

Las cámaras son dispositivos que promedian la luz, por lo que cuando se instalan, es necesario garantizar que el nivel de luz en todo del campo visual de la
cámara quede iluminado uniformemente, y no sólo el área de evaluación. Los contornos de luz se distribuyen a través del campo visual y todo el campo
visual contribuye a la proporción claro-oscuro, no sólo el área entre las cercas. Se pueden utilizar programas computacionales que modelan el nivel de luz
que se desea de una variedad de luminarias, para ayudar al diseño inicial de la iluminación exterior e interior.

Estos resultados deben validarse mediante la medición de los niveles de luz reales en una zona con condiciones similares a las que se espera aplicar.
Después de implementar el diseño final de iluminación, se deben llevar a cabo estudios de iluminación con el fin de establecer una referencia de la
proporción claro-oscuro, y en forma periódica posteriormente para establecer un adecuado programa de mantenimiento y reemplazo.

La temperatura de color corregida (CCT de ahora en adelante, por sus siglas en inglés) es la medida de calor o frío de una luz. Se mide en grados Kelvin,
que es la escala de temperatura absoluta en centígrados (Celsius), donde 0ºK es aproximadamente -272ºC. Para entender mejor el concepto de temperatura
de color, ayuda pensar en una pieza de metal que se calienta en un horno. Cuando comienza a dar un brillo rojo vivo es alrededor de los 2700ºK, blanco
cálido a los 4100ºK, y azul cálido a los 5000ºK aproximadamente, similar a la luz del día. Las personas a menudo perciben el rojo vivo como cálido y el
blanco o azul cálido como frío.

La temperatura de color de una fuente de luz tiene un impacto considerable en el estado de ánimo y en el medioambiente. La Figura 6-3 resume la
temperatura de color de varios tipos de luminarias y sus aplicaciones (Phillips Lighting Company, 1999).
El personal de seguridad requiere la habilidad para describir el color con precisión. Es un aspecto importante en la detención y procesamiento legal de los
delincuentes que se capturen en las pantallas y grabaciones del CCTV. La capacidad de una luz de reproducir fielmente los colores que se observan en un
objeto es conocida como reproducción cromática, y se mide como un índice de reproducción cromática (CRI de ahora en adelante, por sus siglas en inglés)
en una escala de 0 a 100. Un CRI de 70 a 80 es considerado bueno, sobre 80 es considerado excelente, y 100 por ciento se considera como luz de día. La
Figura 6-4 muestra los valores CRI de varias luces. Las luces de vapor de mercurio de alta y baja presión tienen valores CRI muy bajos y no se deben
utilizar junto con aplicaciones de cámaras de color donde la identificación del color sea crucial. Bajo una luz de sodio de baja presión, una camisa verde
tendrá una tonalidad azul.

Además de las operaciones de seguridad, para las tiendas de minoristas, restoranes y lugares de trabajos que requieren precisión manual, es importante
contar con un alto índice de reproducción del color. Un CRI alto también aumenta la claridad visual y se ha descubierto que ayuda a obtener una mayor
productividad y una moral más alta. Un alto CRI en lugares al aire libre durante la noche hace que los peatones se sientan más seguros, porque les permite
ver a mayor distancia y tener una mejor percepción de la profundidad.

Brillo y resplandor son términos más subjetivos. El brillo es la percepción humana de la cantidad de luz que llega a los ojos. El resplandor es brillo
excesivo y tiene importancia en la aplicación de la seguridad. El resplandor produce dolor en los ojos y afecta la eficiencia de estos; crea un contraste
excesivo con otros objetos, hace que la persona mire hacia otro lado y generalmente no permite ver con claridad. El resplandor se puede usar para disuadir
una actividad no autorizada dentro de un perímetro. Sin embargo, tiene un efecto igualmente negativo en las patrullas y fuerzas de respuesta. Además,
puede traspasar a propiedades colindantes, incluyendo las aceras y carreteras. Es importante que la luz que traspase más allá de la propia instalación no
provoque un excesivo resplandor o contraste a los conductores y peatones, tanto a los que están dentro o fuera de ella. Muchas comunidades establecen
límites, mediante las restricciones de zonificación, a los niveles de iluminación y a la cantidad de luz que puede traspasar las áreas vecinas.

6.2 SISTEMAS DE ILUMINACIÓN

Un sistema de iluminación consiste en un número de componentes, todos los cuales son importantes para la implementación de una iluminación efectiva. A
continuación se muestra una lista de los principales componentes y sus funciones.

• Lámpara (también conocida como bombilla, ampolleta, bombita o foco) es una fuente de luz artificial que incluye un filamento o tubo en forma de
arco, una funda de vidrio y conectores eléctricos. Los distintos tipos de lámparas son: incandescentes, de sodio a baja o alta presión, vapor de
mercurio, diodos emisores de luz (LED de ahora en adelante, por sus siglas en inglés) y otros. Los términos describen el tipo de tecnología utilizada
para crear la luz.

• Luminaria (también conocida como aparato o instalación fija) es la unidad de iluminación completa, que consta de una lámpara, su soporte, y los
reflectores y difusores utilizados para distribuir y enfocar la luz. Algunas lámparas, tales como los focos o reflectores (spot/flood) están diseñadas en
forma integral para enfocar y distribuir la luz. La luminaria también tiene la posibilidad de conectarse a la fuente de iluminación y –dependiendo de
la tecnología de la lámpara- incluye balastos (para generar la puesta en marcha y el voltaje de funcionamiento, la corriente y la forma de onda) y los
 foto-sensores (para controlar el cambio en los niveles de luces basados en condiciones ambientales de iluminación). La selección de la luminaria
depende de la estética, así como de las características de funcionamiento.

• Soporte Físico, como un soporte para montaje en una pared o un poste de luz, se usa para fijar la lámpara en la ubicación y altura correcta.

• La Energía eléctrica opera la lámpara, los balastos y las fotocélulas. Ciertas tecnologías de lámparas son sensibles a las bajas de voltajes, en
particular, la familia de lámparas de descarga de alta densidad (HID de ahora en adelante, por sus siglas en inglés) como las de halogenuros
metálicos, vapor de mercurio y de sodio de alta presión. Si el voltaje de alimentación es suficientemente bajo, el arco se apagará. El tiempo de
reinicio por lo general es largo (hasta 20 minutos). Para la iluminación de zonas de seguridad o de protección, tales como bóvedas, cajas
registradoras y vías de salidas de emergencia, se debe tener en cuenta las baterías de respaldo, los generadores y el sistema de alimentación
ininterrumpida (UPS de ahora en adelante, por sus siglas en inglés).

6.3 ECONOMÍA DE LA ILUMINACIÓN

El costo de la iluminación es un factor importante en el nivel de iluminación que se instalará para lograr la seguridad y protección. Cierta iluminación está
dispuesta por cifras. Sin embargo, en muchas ocasiones la iluminación de seguridad es un costo electivo que debe ser justificado sobra una base de ahorros
identificables o una reducción cuantificable del riesgo.

Esta sección entrega una guía del costo de la iluminación de seguridad. Las estimaciones de costo de capital asociado a la adquisición e instalación es mejor
dejársela a un ingeniero en iluminación. En Outdoor Lighting Pattern Book (Leslie & Rodgers, 1996) se encuentran muchos ejemplos de equipos,
mantención, y costos de energía asociados a proyectos de iluminación para estacionamientos, edificios de oficinas, áreas de carga, casetas y centros
comerciales.

Para una instalación de iluminación típica, el costo de operación consiste en bienes de capital (por ejemplo, lámparas y balastos), energía y mantenimiento.
La proporción de estos costos es aproximadamente de un 8% en bienes de capital, 4% en mantenimiento y 88% en energía. La eficiencia energética de la
iluminación se conoce como eficacia de la lámpara y se mide por la luz que emite la lámpara en lúmenes dividida por la potencia consumida por la lámpara
en watts (vatios). El siguiente mayor costo es el de las lámparas de repuesto y es una función de la tecnología y de la calidad de la lámpara. La Figura 6-5
muestra los niveles típicos de eficacia y vida útil de la lámpara. A modo de guía, hay 8.760 horas en el año –una lámpara que se enciende 8 horas diarias
tendrá una vida útil de 2.920 horas por año.

La cifras de los costos que se muestran en la última columna (McCauley, 1991) representan los costos habituales para proporcionar 16.000 lúmenes de luz
por 8 horas al día durante 5 años (sin incluir los gastos de mantenimiento y mano de obra por limpieza y recambio de ampolletas o focos). Supongamos que
la electricidad tiene un costo de 10 centavos de dólar por kilowatt/hora (KWH de ahora en adelante, por sus siglas en inglés). Ya que los precios de las
lámparas se mantienen relativamente constantes, fácilmente podemos calcular el costo de la electricidad para 5 años multiplicando el valor del dólar por los
centavos por KWH y dividiendo por 10. Por ejemplo, el costo de la electricidad para una lámpara de sodio de alta presión en un área dónde la energía
cuesta 15 centavos sería (328x15)/10=$492.

El costo de mantenimiento incluye la mano de obra de reemplazo y limpieza. La limpieza no puede ser ignorada, ya que la salida de lúmenes de una
lámpara se verá reducida por suciedad acumulada con el tiempo en el equipo. En un medio ambiente limpio, como una sala de computación o un área de
oficina, el porcentaje de salida se reducirá aproximadamente de 3 a 4% por año, y se recomienda un intervalo de limpieza de tres años. En un entorno muy
sucio, una luminaria podría estar emitiendo solamente el 80% (reducción del 20%) de la salida para la que fue diseñada, tan sólo un año después.

Dado que el consumo de energía sigue siendo el mismo independientemente de la cantidad de suciedad acumulada en la luminaria, tiene sentido
implementar una limpieza regular para mantener la luz de salida de su diseño original. Cabe señalar que el rendimiento de la mayoría de las lámparas
disminuye con los años. Al final de su vida nominal pueden producir sólo un 80% de la salida para la que fue diseñada, incluso cuando se mantiene limpia.

Las lámparas necesitan ser reemplazadas cuando alcanzan su vida útil, y cuesta menos la mano de obra cuando se prevé un reemplazo de todas, o de un
grupo de lámparas, en lugar de esperar que caduquen individualmente y reemplazarlas de a una o dos. La previsión del reemplazo también asegura que no
haya zonas oscuras, incluso por corto tiempo, debido a fallas individuales. Tiene sentido desde el punto de vista económico utilizar un múltiplo adecuado al
ciclo de limpieza para el recambio de lámparas. Por ejemplo, si el promedio de vida útil de una lámpara es de 6 años y la limpieza se programa cada dos
años, todas las lámparas deberían ser reemplazadas cada tres ciclos de limpieza.

La cantidad de luminarias requeridas tiene relación con el área que va a ser cubierta, los niveles de iluminación necesarios, la altura y diseño de las
luminarias, y el tipo de tecnología de iluminación que se utilizará. Lograr una distribución uniforme de la luz, particularmente al aire libre, es caro. Cierta
variación en los niveles de luz se considera aceptable y se mide como uniformidad, la relación entre el promedio de nivel de luz máximo y el nivel de luz
mínimo. La relación normal de uniformidad debería ser 1:0,7 para ambientes de trabajo, 4:0,1 en un paseo peatonal y 10:0,1 en una carretera. Una
uniformidad más alta proporciona una mejor percepción de la profundidad y una mayor sensación de seguridad en las personas de la zona.

6.4 ARRANQUE Y REINICIO

Algunas lámparas requieren de tiempo para volver a encenderse si se apagan intencionadamente o por un fallo de energía o una baja de voltaje. El tiempo
de reencendido extendido es muy típico de las lámparas de descarga de alta densidad (HID), ya que se basan en un arco para producir la luz. El tubo de la
lámpara debe enfriarse lo suficiente antes de que el arco pueda ser reencendido. Además, las lámparas HID (y en menor medida las lámparas fluorescentes)
toman tiempo en encender en frío y llegar a los niveles de emisión de luz para los que originalmente fueron diseñadas.

Estas limitaciones funcionales de las lámparas son de interés de los profesionales de la seguridad. Aunque el encendido de las lámparas puede ser
programado para permitir su tiempo de arranque, una falla de energía total o parcial, por breve que sea, puede significar una pérdida de iluminación durante
un tiempo considerable. La Figura 6-6 muestra los tiempos habituales de encendido y reencendido para los diferentes tipos de lámparas.

Las nuevas tecnología y métodos de fabricación buscan reducir estos tiempos. Por ejemplo, algunas lámparas HID están disponibles con dos tubos. Sólo
uno se utiliza a la vez, por lo que el otro permanece frío para un rápido reencendido.

6.5 APLICACIONES DE ILUMINACIÓN DE SEGURIDAD

El profesional de seguridad necesita considerar la iluminación de diferentes áreas de la instalación que está siendo asegurada. Una regla general para los
niveles de iluminación es 0.5 fc para detección, 1.0 fc para reconocimiento, y 2.0 fc para identificación (McGhee, 1988). La siguiente lista ofrece un
ejemplo de los tipos de áreas junto con las recomendaciones de iluminación:

• Cerca perimetral. La iluminación, así como las barreras físicas, puede actuar como un elemento disuasivo para intrusiones no autorizados. Si se está
usando un sistema de detección de intrusión perimetral, la iluminación también ayuda a los sistemas de CCTV en la evaluación de las alarmas y
coopera a la fuerza de respuesta en el retraso o aprehensión de los autores. Las normas NRC especifican 0,2 fc de iluminación en el perímetro y en la
zona despejada entre las dos cercas. Ya que la cerca perimetral puede bordear con la propiedad de los vecinos, debe tenerse en consideración el
traspaso de la luz en el diseño de solución.

• Paisajismo y enfoque perimetral. Las carreteras y vías peatonales están iluminadas tanto por razones de seguridad como de protección. La
iluminación vertical, brillando en una vía peatonal horizontal en una carretera, es ideal para identificar baches u objetos que pueden causar tropiezos.
Sin embargo, cuando se instala iluminación para que los peatones se puedan ver entre sí, o para un uso más efectivo de las cámaras de CCTV,
algunos de los componentes de la iluminación deben ser horizontales para iluminar las superficies verticales. El paisajismo es particularmente difícil
y caro de iluminar, especialmente si los árboles o arbustos ofrecen un escondite para los intrusos. La iluminación del suelo focalizada en los árboles y
arbustos es más efectiva en la disuasión de su uso como escondite. Ese tipo de iluminación también provee un fondo de alto contraste para detectar
los movimientos. Los niveles de iluminación habituales son de 1-4 fc para vías peatonales, 0,5-2 fc para carreteras, 10 fc para entradas y 2 fc para
patios abiertos.

• Fachada del edificio. Cuando los objetos exteriores individuales no pueden ser iluminados adecuadamente, darle un alto contraste servirá para una
buena identificación de formas y movimientos. La proyección de la luz de una fachada de edificio logra este objetivo. Si la fachada tiene buena
reflectancia, habrá una medida de la luz horizontal para el espectador (persona o cámara) situada entre la fachada y el objeto para identificar el
objeto. Los niveles de iluminación de seguridad típicos son 0,5-2 fc.

• Estacionamientos. Estas áreas son difíciles de iluminar, ya que hay pocos elementos verticales para reflejar la luz o proveer un contraste con los
objetos en movimiento. En algunos municipios, las normas de construcción exigen una franja horizontal de color blanco brillante en las paredes, a la
altura de la cintura, para mejorar el contraste. La falta de espacio libre en el techo restringe la altura de las luminarias y requiere de accesorios para
difundir la luz horizontal. Esto es excelente para la iluminación de superficies verticales; sin embargo, si se usan cámaras de CCTV, debería
utilizarse un diseño de luminaria que reduzca el brillo en la lente de la cámara. Un nivel de iluminancia horizontal de 5 fc con una relación uniforme
de 4:1 ofrece una adecuado nivel de seguridad.

• Estacionamiento abierto. La altura de las luminarias es menos restringida en un estacionamiento abierto que en uno cubierto, a menos que las
 normas locales y el traspaso de la luz se conviertan en factores. Las fuentes de luz más altas tienden a proporcionar iluminación horizontal. Los
niveles de iluminación recomendados van de un mínimo de 0,2 fc en estacionamientos y zonas peatonales de baja actividad a 2 fc in zonas
vehiculares de gran actividad. El cobro en efectivo y las áreas de control de acceso de vehículos deberán ser mantenidas en un mínimo de 5 fc.

• Áreas de carga. La iluminación nocturna depende de la actividad fuera de horario. Para mantener un adecuado nivel de seguridad en zonas
exteriores, sin estacionamiento de camiones, se recomienda 1 fc para la fachada del edificio (puertas enrollables, escaleras, rampas, etc.) y 0,2 fc en
patios abiertos. Para las operaciones de despacho y recepción nocturna, la iluminación debería ser aumentada a 5 fc. Las áreas de carga interiores,
tales como muelles de carga, deberían iluminarse a 15 fc, y las áreas de desempaque y clasificación a 20 fc. Para las áreas de embalaje y despacho se
recomiendan 30 fc.

• Salas de monitoreo y control de seguridad. La mayoría de las actividades en esta área están basadas en el uso de computadores y deberían ser
iluminadas a 30-50 fc y las áreas de trabajo, como la consola, a 50-70 fc. El resplandor de los computadores y de las pantallas de monitoreo de video
pueden ser un problema. La colocación de las luminarias y el ángulo de las pantallas son fundamentales para minimizar el deslumbramiento. El tipo
de pantallas que se utilizan también es importante: las pantallas planas y las con protección anti-reflejo, o cubiertas, ayudan a reducir o eliminar el
resplandor. Si la función predominante es el monitoreo de pantallas, por ejemplo de alarma y CCTV, es probable que el personal de monitoreo desee
reducir considerablemente los niveles de iluminación ambiental con el fin de minimizar el resplandor e incrementar el contraste de las pantallas. El
administrador de seguridad debería discutir con el diseñador de iluminación el uso de atenuadores.

• Guardia y Porterías. El área que rodea una salida o una portería debería estar bien iluminada, a 2,5 fc en el exterior durante la noche. La
iluminación interior debe ser alta, a 30 fc, durante las operaciones diurnas, pero debe reducirse en la noche por debajo de los niveles exteriores, con
el objeto de permitir una buena visibilidad de los alrededores y de las áreas de aproximación peatonal y vehicular. La Figura 6-7, basada en Leslie
and Rodgers (1996) resume el nivel de percepción de seguridad en los diferentes niveles de iluminación para diversos usos. Los autores proporcionan
ejemplos prácticos de cómo la iluminación puede mejorar y señalan costos de capital y operativos para cada actualización. Con un buen diseño de
iluminación, el aumento de la luz mejora la seguridad.

6.6 ILUMINACIÓN DE SEGURIDAD Y SISTEMAS DE CIRCUITO CERRADO DE TELEVISIÓN

Cuando se utilizan las cámaras de CCTV para aumentar la seguridad, se aplican algunas consideraciones adicionales de iluminación:

• Índice de reproducción cromática (CRI) para una reproducción precisa e identificación de los colores
• Reflectancia de materiales
• Direccionalidad de la iluminación reflejada

Otro importante factor es la longitud de onda de la fuente de iluminación. El ojo humano, por definición, ve la luz en el espectro visible, que tiene un ancho
de banda entre 400 nanómetros (nm) (violeta) y 700 nm (rojo). El espectro electromagnético, del cual el espectro visible es sólo una pequeña parte, tiene un
alcance mucho más amplio, pero el ojo humano no es sensible a él. Cerca de cualquiera de los extremos del espectro visible están las longitudes de onda
ultravioletas e infrarrojas. Tanto el sol como las fuentes de luz artificiales producen energía más allá de la sensibilidad humana. Las cámaras de CCTV
están diseñadas generalmente para ver lo que la gente ve, pero muchas cámaras pueden detectar la iluminación en un rango cercano al infrarrojo (700nm –
1,100nm). El uso de una fuente de luz infrarroja (IR) en conjunto con una cámara que incorpora un elemento especial de detección, tal como Ex-onda
CCD, permite vistas que se muestran incluso donde no hay luz visible. Esto es útil cuando las restricciones de zonificación limitan la cantidad de traspaso
de luz o cuando se desea la vigilancia encubierta. El uso de iluminadores IR se limita a las cámaras monocromáticas, no en color. El sistema de iluminación
IR debe ser colocado con la cámara y debe proporcionar una dispersión del haz consistente con el ajuste de la lente de la cámara. Para las cámaras
dinámicas (PTZ) la fuente IR puede ser montada en el mecanismo de movimiento horizontal y vertical para seguir la dirección a la que apunta la cámara. El
diseño debe garantizar que el movimiento horizontal y vertical está clasificado para el peso de la cámara además de la luminaria.

Las temperaturas de color de distintas fuentes de luz se muestran en la Figura 6-3. La mayoría de las hojas de datos de las cámaras manifiestan su
rendimiento en función de un filamento de tungsteno (2.700ºK) de una fuente de luz incandescente. Ninguna de las cámaras de color, que en general se
usan para CCTV, son efectivas a 1.700ºK en lámparas de sodio de baja presión, pero los elementos CCD más nuevos, como el Hiper Had, mejora
considerablemente la reproducción del color de una escena ilumina por una luz de sodio de alta presión (2.200ºK).

En general, las cámaras en color requieren el doble de luz que las cámaras monocromáticas para una misma calidad de imagen. Además una cámara en
color necesita al menos el 50% de su señal de video o el registro del color empieza a desvanecerse, mientras que en blanco y negro necesita sólo el 20-30%
de video.

A continuación, se detallan otras especificaciones de las hojas de datos de las cámaras:

• Se citan niveles mínimos de iluminación de 75 u 89% de reflectancia.

• Se citan niveles mínimos de iluminación para características específicas de las lentes. Por ejemplo, una cámara a color estándar puede funcionar en
una iluminación mínima de .25 fc con una lente f/1.2; con una lente f/2.0, la iluminación mínima aumenta a .68 fc, un aumento de 2.7 veces el nivel
de iluminación. Es importante la elección y calidad de la lente.
• El Balance de blancos es el control automático de la cámara a la temperatura de color de una fuente de luz. Este parámetro va de 2.200ºK a 7.000ºK.
El rango de balance del blancos de la cámara debe ser compatible con la iluminación existente o la diseñada.

6.7 ESTÁNDARES PARA NIVELES DE ILUMINACIÓN DE SEGURIDAD

La primera norma nacional se publicó en 1942 y fue modificada y patrocinada por la Illuminating Engineering Society of North America (IES) como ANSI
A85.1, American National Standard Practice for Protective Lighting, en 1956. Fue ratificada en 1970, pero desde entonces ha sido retirada de circulación.

El manual de iluminación de IES Lighting Handbook (1993) contiene el capítulo 33 “Emergency, Safety and Security Lighting”. IES también publica
numerosas guías para el diseño de iluminación y recomienda prácticas para ser aplicadas, por ejemplo, en las carreteras (RP-8-1983), en estacionamientos
(RP-20-1985), en cajeros automáticos (DG-9- 97), en ciclo-vías (DG-5-94), y en ambientes exteriores (RP-33-99). Existen otras fuentes de normas de
iluminación como son el U.S. Army Field Manual y los reglamentos de la Nuclear Regulatory Commission (NRC), que regula las licencias de quienes
poseen materiales nucleares especiales. Estos cuerpos describen normas significativamente diferentes sobre los niveles mínimos de iluminación, lo que
puede causar confusión en los administradores de seguridad, diseñadores de sistemas y arquitectos. Los niveles mínimos de iluminación se presentan en la
Figura 6-8. Ellos fueron extraídos de una serie de fuentes y su intención es tan sólo ser una guía.
REFERENCIAS

Greenwoll D. A. (1991). An evaluation of intensified solid-state video cameras. SAND90- 2566. Albuquerque, NM: Sandia National Laboratories.

Lighting handbook. (1993). New York, NY: Illuminating Engineering Society of North America.

Leslie, R. P., & Rodgers, P. (1996). The outdoor lighting pattern book. New York NY: McGraw-Hill.

McCauley, M. L. (1991, September). Lighting principles. Security.

McGhee, T. (1988, March). Spotlight on the night. Security Management.

McGhee, T., & Pierce, C. (1990, December). Lighting the way to security. Security Management.

Phillips Lighting Company. (1999). Lamp specification and application guide.

U.S. Army field manual. (1979). Washington, DC: U.S. Government Printing Office.

Nota: Los documentos SAND se pueden obtener en:

http://www.osti.gov/bridge/advancedsearch.jsp
 CAPÍTULO 7
COMUNICACIÓN Y VISUALIZACIÓN
DE ALARMA

La comunicación y visualización de alarmas (alarm communication and display, AC&D de ahora en adelante, por sus siglas en inglés) es la parte de un
PPS que transporta información de alarma y evaluación a un punto central y presenta la información a un operador humano. Nuevos desarrollos en
tecnología electrónica y computacional han cambiado el diseño de la comunicación y visualización de alarmas en el tiempo. Ahora es posible recoger y
procesar rápidamente una amplia gama de información; el desafío es presentar esta información de manera efectiva a una persona para ayudarlo a ella o él a
tomar una decisión sobre las acciones que se necesitan. Este capítulo describe el equipamiento y las técnicas disponibles para reportar alarmas a un
operador, enfocándose en la función de detección de intrusión de un sistema de AC&D.

Los dos elementos críticos de un sistema de AC&D son:

• el transporte o comunicación de datos, y
• la presentación o visualización de datos a un operador humano de una manera significativa.

7.1 ATRIBUTOS DE LA AC&D

Los sistemas de AC&D más útiles tienen ciertas características. Los sistemas deben estar diseñados para soportar los ambientes en los que están
emplazados. Si un componente experimentará grandes variaciones de temperatura, como en un ambiente exterior, el equipo debe estar diseñado para
soportar esas variaciones sin fallar. La robustez es una medida del desempeño del sistema en todo los ambientes probables.

Los componentes y los sistemas de AC&D debiesen ser diseñados para durar mucho tiempo. Los componentes individuales debiesen ser confiables y
deben tener un tiempo largo entre fallos (mean time before failure, MTBF de ahora en adelante, por sus siglas en inglés). Un sistema fiable requiere de
menos mantención y es de más confianza para los operadores. Otros aspectos de la fiabilidad incluyen la comunicación y visualización confiable de datos
de alarma y sin pérdida de información. Ningún sistema de comunicaciones tiene 100 por ciento garantizado la entrega de información; sin embargo, los
equipos de comunicación modernos se pueden acercar a esa meta mediante la implementación de técnicas de control y verificación de datos.

Los componentes electrónicos eventualmente fallan. Los sistemas de AC&D buenos incluyen la posibilidad de falla y proporcionan capacidad redundante o
de respaldo para los componentes críticos. Maximizando la robustez, la confiabilidad y la redundancia de los sistemas AC&D se puede minimizar el
tiempo en que un AC&D está inoperable o sin funcionar por reparaciones.

La información de alarma debe estar disponible para el personal de seguridad de manera oportuna. La velocidad del sistema de AC&D debiese ser una
pequeña fracción del tiempo global de evaluación de la alarma y de la fuerza de respuesta. Estos tiempo variarán de un lugar a otro, pero la velocidad del
AC&D debe ser un factor insignificante en el cálculo del tiempo de respuesta o evaluación.

El sistema de AC&D es el mayor componente en un PPS general. Porque un PPS protege los activos críticos de los sitios, se desprende que el sistema de
AC&D debe estar protegido de ataques de adversarios. Por ejemplo, los procedimientos deben limitar quien tiene acceso a las visualizaciones del AC&D y
a la configuración del sistema, y sólo personas autorizadas debiesen tener acceso a la información del AC&D, sus componentes y sus cables. Como parte
de esta protección, el subsistema de comunicación de alarma también debiese estar protegido de atacantes.

Los sistemas AC&D deben ser fáciles de usar por un operador. Aún cuando una multitud de sensores pueden entregar datos considerables, estos datos
deben ser visualizados de una manera que presente la información esencial al operador. Además, el usuario no tiene que ser abrumado con datos, la
interacción con el sistema debe ser eficiente, y los usuarios deben ser capaces de realizar las operaciones necesarias en forma rápida y fácil. Un sistema que
es fácil de usar también reduce la cantidad de capacitación y re-capacitación necesaria.

Cada una de estas características generales juega una parte en la efectividad global de un sistema AC&D, pero la medida más importante de la efectividad
de un AC&D es cuán bien comunica rápida y claramente al operador del sistema los datos de alarma de los sensores. Cuando un evento de alarma ocurre,
el sistema AC&D debe comunicar al operador la siguiente información

• dónde ha ocurrido la alarma

• qué o quién causó la alarma
• cuándo ocurrió la alarma

El operador también debiese saber cómo responder. Esto se puede lograr a través del entrenamiento y las indicaciones del sistema de AC&D. Más aún, toda
la actividad del AC&D debe ocurrir en forma oportuna, por lo que la velocidad del sistema de AC&D es una medida de su efectividad.

La dificultad con esta medida de efectividad es su relación con el tiempo de respuesta del operador humano. Medir la respuesta de un operador es un
proceso muy difícil. Los sistemas de comunicación electrónica, por otra parte, son cuantificables. Este carácter dual de los sistemas de AC&D vuelven más
compleja la medición de la efectividad del sistema. Los sistemas de comunicación pueden ser entendidos, las topologías de redes modeladas y los tiempos
de los sistemas medidos. Con humanos, sin embargo, también se necesita de ciencias blandas, como la ergonomía, ingeniería de factores humanos y
estudios de fisiología.

El sistema de AC&D está dividido en varios subsistemas: comunicaciones, supervisión de línea y seguridad, manejo de la información, control y
visualización, evaluación y subsistemas fuera de línea.

7.2 SUBSISTEMA DE COMUNICACIÓN DE ALARMA

El sistema de comunicación transfiere datos desde una ubicación física a otra. Específicamente, un subsistema de comunicaciones de AC&D mueve datos
desde el punto de recolección (sensores) a un repositorio central (visualización). Si el repositorio central consiste de múltiples computadoras o pantallas,
entonces el subsistema de comunicación puede también mover datos a través del repositorio.

Los conceptos básicos de las comunicaciones en AC&D incorporan un modelo de diseño, funciones de sistema detalladas y cómo se relacionan con los
otros requerimientos del AC&D, el tamaño del sistema y las topologías utilizadas, y la combinación (jerarquías) de configuraciones de sistema simple. Los
sistemas de comunicación de alarma tienen varias características que dirigen el diseño. Estas características incluyen la cantidad de datos de alarma, la alta
confiabilidad necesitada para el sistema y la velocidad a la que los datos deben ser entregados. La discusión siguiente detalla cada una de estas
características del sistema y describe el rol de estas características en el diseño del sistema.

Si un sensor se activa, el sistema de comunicación de alarma debe asegurarse que los datos exactos relativos a la activación son recibidos por las
computadoras de AC&D. La entrega asegurada de mensajes significa que el sistema de comunicación debe ser confiable. Además, los datos de alarma
deben ser transmitidos en forma oportuna. Tanto las consideraciones de factor humano como las interacciones entre la AC&D y los sistemas de evaluación
determinan las velocidades de reportes.

Los factores humanos requieren que las alarmas sean reportadas sin demoras perceptibles. Para un operador, demoras no perceptibles son unos décimos de
segundo. Las interacciones entre el AC&D y el sistema de evaluación requiere que los tiempos de reporte sean una pequeña fracción del tiempo total de
evaluación. Mientras que los tiempos totales de evaluación pueden variar ampliamente, las interacciones entre el AC&D y los sistemas de evaluación
debiesen tomar sólo unos milisegundos. Estos tiempos de reporte requieren de comunicaciones de alarma rápidas, puesto que los tiempos de las
comunicaciones son sólo una parte del tiempo total de reporte de alarmas.

Otros factores también son importantes cuando se diseña un sistema de comunicaciones de alarma efectivo. Los medios físicos deben tener el suficiente
ancho de banda para manejar las comunicaciones del sistema cuando opera a toda capacidad. Componentes importantes del diseño del sistema son los
protocolos, o el conjunto especial de normas para la comunicación que los puntos extremos de una conexión de telecomunicaciones utilizan cuando envían
señales de un lado a otro. La velocidad del sistema dicta los tipos de protocolos utilizados en el sistema, y la sobrecarga de protocolo debe ser apropiada
para los tipos de datos que se transmiten. Además, el ancho de banda del canal y de sobrecarga de protocolo deben ser equilibradas para proporcionar la
velocidad requerida del sistema.

El mejor sistema de comunicaciones posible proveería comunicaciones instantáneas con 100 por ciento de fiabilidad. En la realidad, no es posible lograr
este estándar. Más aún, los sistemas de alta velocidad y alta fiabilidad son caros. Un buen diseño de un subsistema de comunicaciones equilibra el costo del
sistema con su desempeño. Dependiendo del diseño, se pueden usar una variedad de protocolos para equilibrar velocidad, fiabilidad y costo.

Para asegurar que en los sistemas de mayor seguridad o los más complejos los mensajes llegarán a los operadores, se requiere de hardware redundante para
manejar casos de falla de hardware, y el sistema debe ser capaz de, automáticamente, direccionar los mensajes a través del hardware redundante cuando se
requiera. Además, los protocolos utilizados debiesen detectar y corregir errores y mensajes duplicados.

7.3 COMUNICACIONES DE SEGURIDAD

Numerosos proveedores ofrecen una extensa gama de servicios de telecomunicaciones utilizando una amplia variedad de tecnologías. Una tarea importante
para el profesional de protección de activos es abordar las preocupaciones relevantes al considerar una aplicación de seguridad. La tarea será complicada
por la creciente gama de tecnologías de comunicaciones disponible.

Para muchas aplicaciones, el medio de comunicación escogido es la fibra óptica o satelital, más que el alambre de cobre. La fibra óptica es menos costosa
que el alambre de cobre y entrega seguridad, transmisión de alta velocidad y versatilidad. Es el cable escogido para transportadores de comunicaciones
terrestres. La tecnología satelital –versátil y particularmente útil en áreas en desarrollo– ha experimentado un crecimiento explosivo.

En toda comunicación los profesionales de la seguridad están preocupados de lo siguiente:

• integridad de los medios de comunicación (disponibilidad del camino del mensaje)

• integridad del mensaje (transmisión de datos completa y sin errores)
• puntualidad de la transmisión (comunicación de datos dentro de un lapso aceptable)
• seguridad del mensaje (accesibilidad de la comunicación sólo al personal autorizado)

Las secciones a continuación abordan la seguridad de comunicaciones verbales y no verbales, incluyendo el status y monitoreo de la alarma, control de
acceso y video vigilancia. También examinan alambres, radio, microondas y luz como medios de comunicaciones terrestres y las configuraciones de
satélite de tierra.
 COMUNICACIONES DE ALAMBRE Y CABLE
7.3.1
Las señales de alarma pueden ser transmitidas en un par de conductores sin blindaje de corriente directa (DC, por sus siglas en inglés). El tamaño del
alambre y su resistencia deben ser considerados, porque la resistencia varía directamente con el largo de la línea, e inversamente con el diámetro del
alambre. El largo efectivo de una línea está limitado por la resistencia del alambre.

Las transmisiones de audio requieren del uso de un par de alambres trenzados blindados de corriente alterna (AC, por sus siglas en inglés), referidas en
jerga telefónica como líneas con grado de voz. Las señales de alarma y las transmisiones de audio pueden transmitirse ambas en el mismo par de alambres
trenzados protegidos.

Las señales también pueden ser transmitidas en líneas instaladas para conducir electricidad. En Estados Unidos, la energía es generalmente transmitida a 60
Hz (ciclos por segundo). En otros países, la transmisión puede ser en otra frecuencia. Un dispositivo puede ser instalado en la línea para acoplar las señales
de comunicación de alta frecuencia a la ruta del alambre de AC. En el recibidor, las frecuencias mayores a 60 Hz son separadas y visualizadas o grabadas,
mientras que la corriente eléctrica normal de 60 Hz no es afectada. La ruta de la comunicación puede ser bloqueada en un transformador de AC, y la
interferencia en el camino del cable de AC puede degradar o distorsionar las frecuencias de la señal.

Fibra Óptica
La capacidad de la fibra óptica de transmitir volúmenes de información extremadamente grandes a la velocidad de la luz ha revolucionado la industria de
las comunicaciones. Esta capacidad de transmitir señales hace posible transportar más señales sofisticadas de las que nunca se hubiesen podido manejar por
una cantidad equivalente de cables de cobre (un sistema operando a 56 Mbits -565.000.000 bits por segundo- soporta 8.064 conversaciones de teléfono por
fibra). Las tecnologías de transmisión pueden soportar virtualmente cualquier combinación de video, datos y audio transmitido por separado o
simultáneamente, en un solo sentido o bidireccional, en una fibra.

Una fibra óptica es una hebra de fibra de vidrio o vidrio hilado (spun glass) de alta pureza, típicamente del grosor de un cabello humano. Una fuente de luz,
como un láser o un diodo emisor de luz (Light-emitting Diode, LED de ahora en adelante, por sus siglas en inglés), introduce una fuente de luz modulada
en la fibra y es acarreada, esencialmente sin atenuaciones ni cambios, a una unidad en el otro extremo, en el que el haz modulado es decodificado y la
información original es recuperada. La fuente de luz escogida es LED. Tiene una vida más larga sin mantención, y es menos sensible a las fluctuaciones en
la fuente de energía y a cambios en temperatura y humedad.

Las fibras ópticas pueden ser usadas para portar señales con grado de voz, señales de video y señales digitales o de grado de datos. Las fibras ópticas
difieren de alambres de metal convencionales en varias maneras:

• No son afectadas por interferencia electromagnética (EMI de ahora en adelante, por sus siglas en inglés) o interferencia de radio frecuencias.
• No conducen corriente eléctrica y no irradian señales.
• Pueden portar una mayor cantidad de mensajes multiplexados diferentes que los alambres convencionales.
• Son mucho más pequeñas y livianas que los alambres convencionales.
• Son flexibles y pueden tomar un curso irregular de punto a punto.
• No son vulnerables a la intercepción por acoplamiento acústico o inductivo.

Transmisión de Video
Las señales de video no pueden ser transmitidas directamente en líneas DC. Sin embargo, el video sí puede ser transmitido en cables coaxiales o de fibra
óptica, en líneas de teléfono estándar, o en pares de alambres entrelazados balanceados.

Para cables coaxiales de transmisión, la señal de video no requiere de mayor procesamiento entre la cámara y el monitor si la distancia de transmisión es lo
suficientemente corta, de 1.000 pies (305m). Transmisiones más largas se pueden lograr si la señal es amplificada a lo largo del camino.

Las señales de video que son transmitidas por medio de circuitos telefónicos normales primero son convertidas a digital, luego a señales de audio. El audio
se reconvierte a video en el extremo receptor. Los proveedores de telecomunicaciones continuamente amplifican los circuitos de transmisión; por
consiguiente, no hay un límite teórico a la distancia de esas transmisiones. La señal puede moverse de alambre a microondas a rutas de satélite, según lo
requiera el control de switching telefónico.

Para transmisiones de fibra óptica, se requiere de conversión de video a señales ópticas en el transmisor, con reconversión en el recibidor. La distancia de
transmisión sin amplificación es de 1 milla (1,6km) o más. Si el trazado de transmisión es vía fibra óptica y la señal de teléfono es en formato digital, es
posible una transmisión en tiempo real, porque la fibra óptica puede transmitir más datos, más rápido, que el par de alambres de cobre estándar.

Los sistemas soportarán equipos de video a color o monocromos. Las señales de datos para controlar la unidad de movimiento horizontal/vertical, el lente
zoom y equipos auxiliares, tales como calentadores de vivienda y limpiaparabrisas, se transmiten a la ubicación de la cámara sobre la misma fibra óptica
que está transmitiendo la señal de vídeo. Tres funciones pueden ser transmitidas en forma simultánea, en forma bidireccional, en una fibra.

El video puede ser transmitido en pares de alambres entrelazados dedicados, siempre que no exista puente o acoplamiento y que no existan otras
conexiones en la ruta del cable entre el transmisor y el receptor de video. También se puede transmitir el video si el equipo utilizado puede realizar las
conversiones, la coincidencia de impedancia y las compensaciones de frecuencia requeridas, para asegurar una señal de video utilizable. Un buen
desempeño se puede alcanzar con distancias de cables de hasta 4.000 pies (1,2km).

Estatus y Transmisión de la Alarma

Tres tipos de instalaciones de líneas de transmisión se utilizan usualmente en sistemas de protección electrónica: loop, punto a punto y múltiplex. Los tres
tipos se pueden usar con redes de alambre propios o con líneas de teléfono arrendadas. Con cualquier sistema de configuración de alarma, el acceso a la
unidad de control permitirá deshabilitar el sistema completo; por ello, es crítica la seguridad física de la unidad de control o consola.

Loop (bucle)
En un sistema de loop, los dispositivos son instalados en un par de alambres que han sido loopeados a través de un área, edificio o instalación, y luego
conectados a un centro de control. Una señal en el centro de control indica cuando una situación anormal ocurre en el loop. Este sistema puede ser
adecuado para un espacio pequeño o una sola instalación; sin embargo, el mejor método es codificar la señal de cada detector para que la fuente de cada
señal puede ser definida en un punto central.

Un corto circuito o una interrupción de la conexión en el loop puede interrumpir todas las señales en el lado más alejado de la ruptura. Este problema puede
ser parcialmente corregido utilizando un circuito McCulloh. En este circuito, cuando ocurre una apertura, el circuito se cambia y comienza a emitir
corriente desde la unidad de control a los dos extremos del circuito de alambres hasta el punto de la ruptura. La integridad del circuito es entonces
restablecida a todos los dispositivos en ambos lados de la apertura. Si dos quiebres en el circuito ocurren, cualquier dispositivo entre los dos quiebres estará
perdido, dado que no habrá ninguna ruta de circuito entre los quiebres.

Punto a punto
En una instalación de punto a punto cada sensor está conectado directamente a un centro de control por un par de alambres. Esta instalación de cableado es
más cara que un sistema de loop, porque se requieren más cables; sin embargo, sólo un detector está afectado en caso de fallo de una línea individual. Un
atacante que intenta deshabilitar el sistema deberá definir cada cable que controla cada sensor en un área a ser penetrada, y cada línea de alarma debería ser
deshabilitada. Con el sistema de loop, todos los detectores en un área pueden ser deshabilitados al interrumpir el loop en la ubicación apropiada.

Multiplexación
Multiplexar es una técnica para transmitir varios mensajes simultáneamente en un mismo medio. Una gran número de señales pueden ser codificadas en
una señal compuesta para ser transmitida en un circuito (Figura 7-1). En el extremo receptor, las señales son separadas y enviadas a una unidad de control
para que sean grabadas y visualizadas. El medio de transmisión puede ser alambre, radio frecuencia (RF), microondas o fibra óptica. Una instalación
múltiplex puede ser más eficiente en términos de costo que una instalación de loop o punto a punto, puesto que múltiples señales son transmitidas a través
de distancias más largas a un centro de control. En la medida que el número de fuentes de datos o sensores aumenta, un sistema de loop o una línea de
transmisión separada para cada uno se vuelve poco práctica. Sin embargo, los equipos de multiplexado son costosos, y no se puede asumir que multiplexar
es menos costoso. Se debe realizar un análisis de costos para cada sistema.

La interrupción o la destrucción de un link de comunicación multiplexada resulta en una interrupción de todas las señales en ese link. En instalaciones
grandes o activos altamente protegidos, un trazado de comunicación redundante es deseable para que, si el trazado de múltiplex principal es interrumpido,
las señales no se pierdan. El trazado redundante puede ser un tronco múltiplex alternativo, un comunicador digital utilizando circuitos telefónicos entre
transpondedores remotos y la consola, o un link RF entre el transpondedor y la consola. El costo de un trazado de transmisión redundante debe estar
incluido en el análisis de costo-beneficio de cualquier sistema. Considerando la gran reducción en costos laborales de cableado, la instalación múltiplex
generalmente tiene ventajas sobre los cables duros.

Señales individuales en el proceso multiplexor comparten un camino de transmisión, pero deben estar separadas para que no interfieran unas con otras. Los
dos métodos generalmente utilizados son (1) separación de tiempo o división de tiempo multiplexada (TDM de ahora en adelante, por sus siglas en inglés)
y (2) separación de frecuencia o división de frecuencia multiplexada (FDM, por sus siglas en inglés).

Con TDM un segmento de tiempo es asignado a cada sensor o fuente de datos y cada uno puede transmitir sólo durante su segmento asignado. Las
diferentes señales utilizan el mismo trazado de transmisión, pero no simultáneamente. La señal en cada canal está muestreada en intervalos regulares.
Cuando todos los canales han sido muestreados, la secuencia comienza de nuevo con el primer canal. Puesto que ningún canal es monitoreado
continuamente en un sistema de división de tiempo, el muestreo debe ser lo suficientemente rápido para que la amplitud de la señal en un canal en
particular no varíe tanto entre muestreos. La velocidad de transmisión electrónica vuelve transparentes las pequeñas variaciones de tiempo para el personal
de control o monitoreo (Figura 7-3).

En el extremo receptor del sistema, filtros de paso de banda separan los canales, enviándolos a discriminadores individuales para demodulación y recuperar
la señal original. La salida de cada discriminador termina en un centro de control de visualización.

Con cada tipo de multiplexor, el demultiplexor receptor debe ser operado en la exacta misma frecuencia que el multiplexor, para distribuir las partes de la
señal multiplexada a un dispositivo de salida adecuado en el centro de control. Porque un sistema de división de tiempo está basado en un tiempo preciso,
es de vital importancia que ambos multiplexores y demultiplexores estén sincronizados exactamente.

En FDM, las señales de un número de sensores en una línea de transmisión común ocupan diferentes porciones del espectro de frecuencia. Aún cuando se
transmite simultáneamente, sus frecuencias diferentes las vuelven identificables en el receptor. Un ejemplo de multiplexación por división de frecuencia
sería un sistema en que el producto de tres transductores modulan tres subporteadores de frecuencia (Figura 7-4).

El oscilador para el canal 1 está centrado a 400 Hz y la señal de datos aplicada produce un pico de desviación de ±30 Hz. El canal 2 está centrado a 560 Hz,
y su pico de desviación es ±42 Hz, y el canal 3 desvía ±55 Hz alrededor de la frecuencia de 730 Hz. Estos tres canales pueden ser ubicados a un medio de
transmisión común para formar una banda de frecuencia entre los 370 Hz a 785 Hz. No hay superposición entre canales, y las Bandas de reserva
(GuardBands) sin usar aseguran separación entre ellas.

COMUNICACIONES INALÁMBRICAS
7.3.2
Una comunicación inalámbrica requiere de lo siguiente:

• Un transmisor para suministrar la energía de la radio frecuencia

• Una antena para irradiar la energía en la atmósfera
• Un recibidor
• Energía para el transmisor y el recibidor

El transmisor modula o varía un onda portadora para crear valores diferentes, los que representan las características de la señal de la fuente. La modulación
es modulación de la amplitud (AM), en la que las variaciones están en la amplitud o en el rango de la señal portadora, o modulación de la frecuencia (FM),
en la que las variaciones están en el portador de la frecuencia. El recibidor resuena o sintoniza las señales, luego las amplifica, y luego las demodula o
detecta la fuente original de las señales para reproducirlas por una impresora o un parlante.

Cualquier comunicación transmitida por tecnología inalámbrica sin codificar o encriptar debería considerarse posible de ser interceptada.

Radiofonía
La radiofonía es utilizada en muchos sistemas de protección. Una estación transmisora de base usualmente se localiza en el centro de control, donde
terminan todas las otras señales del sistema de alarma. El personal de seguridad que requiere de comunicación con el centro de control usa unidades
móviles o portátiles. Todas las unidades que se comunicarán directamente una con otra deben usar la misma frecuencia. Sin embargo, una unidad de base
utilizando varias frecuencias puede transmitir datos desde y hacia las unidades que no comparten la frecuencia.

El nivel de potencia de salida requerido y el costo del equipo está determinado por las distancias de transmisión deseadas, las barreras físicas presente y la
interferencia de señal en el área. Además de estaciones de base y equipos receptores más potentes, se podrían requerir estaciones repetidoras o transmisores
remotos. Estos reciben y amplifican la señal original y la retransmiten.

Señales Inalámbricas de Alarma

Un sistema de alarma inalámbrico en un sitio protegido consiste en una matriz de detección de alarma y un modulo de interfaz RF. El proveedor del
sistema proporciona una red de sitios receptores RF, o estaciones base, las que están unidas por líneas redundantes arrendadas al proveedor de la estación
central. Algunos proveedores de redes consisten de miles de estaciones base, las que esencialmente proveen del sistema a nivel nacional. Cuando un sensor
de alarma es activado, una señal codificada de alarma es transmitida por una antena omnidireccional a todas las estaciones de base dentro del rango de
transmisión. La estación de base que recibe la señal más fuerte transmitirá la alarma a través de la línea arrendada a la estación central. La estación central
envía un acuso de recibo de la alarma al panel de control en el sitio protegido utilizando en mismo canal en el que la alarma fue transmitida.

El sistema proporciona la selección de RF o alambre digital. En modo dual, la señal de alarma es transmitida simultáneamente sobre las dos carreteras de
comunicación. La estación central puede sondear el sistema a intervalos regulares para asegurar la funcionalidad.

Teléfonos Inalámbricos
Usualmente los teléfonos inalámbricos no son usados en operaciones de seguridad, pero una llamada relacionada con seguridad a la residencia de un
ejecutivo puede ser contestada utilizando un conjunto inalámbrico. El conjunto consiste de una base y un auricular transceptores, entre los que la
comunicación se transmite por frecuencia de radio. El rango de transmisión es nominalmente de 700-1,000 pies (213-305m); sin embargo, con algunos
conjuntos o en algunas condiciones atmosféricas, las señales pueden ser recibidas a través de grandes distancias. Mientras que las leyes de Estados Unidos
prohíben la interceptación de transmisiones telefónicas inalámbricas, escuchar las comunicaciones inalámbricas de un vecino no es poco común. Teléfonos
inalámbricos operando en ciertos rangos de frecuencia ofrecen más seguridad. Algunos conjuntos también ofrecen códigos de seguridad y la configuración
de múltiples frecuencias. Una regla básica es que la información sensible no debiese ser discutida en ningún llamada telefónica inalámbrica.

Teléfonos Celulares
La tecnología de la telefonía celular ha revolucionado las telecomunicaciones alrededor del mundo. En algunos países, en los que la telefonía de alambre no
ha sido desarrollada, varias generaciones de tecnología fueron pasadas por alto y los teléfonos celulares digitales son de uso generalizado. El principio de
funcionamiento básico es proporcionar al usuario móvil un enlace de radio a través de un centro de conmutación controlado por ordenador, con la red fija o
de otra unidad móvil.

En el concepto celular, las áreas de servicio están divididas en células, las que se agrupan en conjuntos. Las células pueden tener cualquier forma y no
tienen que ser uniformes. Un grupo de frecuencias es asignado a cada conjunto, con diferentes frecuencias utilizando células contiguas. Una frecuencia no
se usa dos veces en un mismo conjunto, pero el mismo patrón de frecuencias puede ser utilizado en conjuntos contiguos. El nivel de potencia para cada
frecuencia transmitida previene que las señales lleguen a células en otros conjuntos que usan la misma frecuencia. Al menos un sitio de la célula sirve cada
célula. Un sitio de célula incluye transmisores de baja potencia, receptores, un sistema de control y antenas. Troncales de voz y datos dedicados conectan
las células a una computadora, el que controla las operaciones de las células, conecta las llamadas de celulares a la red de línea fija, captura la información
para facturación y controla la actividad de la unidad. Cuando un usuario se mueve de una célula a otra, una llamada en curso se entrega a la segunda célula
en una nueva frecuencia. Así, un gran número de usuarios pueden usar simultáneamente las frecuencias en el área de servicio.

El servicio celular está disponible en diferentes formatos, los que son transmitidos en varios rangos de frecuencia. En Estados Unidos, dependiendo de la
tecnología utilizada, los sistema celulares usan el rango de frecuencia de 800 MHz o 1.900 MHz. En otros países, se utiliza el rango de frecuencia de 800
MHz o 1.800 MHz. El profesional de protección de activos no debe asumir que el servicio celular en uso en un área será compatible con el servicio
ofrecido en otra área. Teléfonos celulares de multifrecuencia pueden resolver muchos problemas de compatibilidad

Compresión de Señal
Los proveedores de telecomunicaciones usan dos formas de compresión de transmisión digital para maximizar el uso del espacio del espectro tanto en los
teléfonos celulares como en los sistemas de comunicación personal –llamados acceso múltiple por división de tiempo (TDMA de ahora en adelante, por sus
siglas en inglés) y acceso múltiple por división de códigos (CDMA de ahora en adelante, por sus siglas en inglés). Estas tecnologías no son compatibles
una con la otra.

TDMA divide las llamadas en pedazos de datos que son identificados en el extremo receptor por los intervalos de tiempo que tienen asignados. TDMA
permite que un canal celular maneje varias llamadas simultáneamente.

CDMA propaga segmentos de llamadas a través de una amplia franja del espectro de frecuencias para comunicaciones. Los segmentos llevan un código,
los que identifican al teléfono de origen. El equipo receptor utiliza el código adjunto para identificar y reconstituir la señal original. DMA digital ofrece de
10 a 20 veces la capacidad de transmisión celular analógica.

El servicio celular puede ser utilizado de muchas maneras:

• Como un respaldo a la red de alambres para transmisión de alarma
• En un desastre donde la red de alambres está interrumpida
 • En una situación de rehenes
• Como respaldo para comunicaciones de seguridad rutinarias

Codificación
La seguridad de una comunicación se puede mejorar mediante el uso de codificadores. Esta técnica es aplicable a una conversación celular. Normalmente,
se requiere un codificador, tanto en el lugar de origen como en el de destino. Sin embargo, vendedor de servicio de telefonía privada puede ofrecer un
servicio especializado en el que el cliente requiere sólo un codificador. Utilizando un teléfono al que está conectado el dispositivo de telefonía privada, el
cliente llama a un número de teléfono gratuito en el sitio del proveedor, donde se ha instalado un dispositivo similar. A partir de ese momento, la red
privada genera un nuevo tono de llamada y el usuario marca el número de destino deseado. La conversación se codifica por el dispositivo de privacidad en
el teléfono de origen y es decodificada por el dispositivo de la red de privacidad. Las voces de ambas partes de la comunicación son aseguradas a través de
la red celular por el equipo de conmutación del servicio de privacidad.

Dos conjuntos de celulares equipados con dispositivos de privacidad pueden llamarse directamente uno a otro para comunicaciones seguras. Sólo llamadas
que requieran de privacidad necesitan ser realizadas a través de servicios de privacidad o codificadas entre dos teléfonos celulares equipados con estos
dispositivos. Otras llamadas pueden ser realizadas normalmente a través del equipo del proveedor de servicio celular. Llamadas seguras pueden ser
realizadas y recibidas tanto a nivel local como internacional. El proveedor del servicio de privacidad también puede asignar un número de teléfono privado
gratuito a un subscriptor para habilitar la recepción segura de llamadas entrantes. Una versión de red fija del dispositivo de privacidad está disponible para
oficinas o teléfonos de hogar, y los dispositivos son compatibles con máquinas de fax.

Celular Análogo
Las transmisiones de celular análogo, o servicio telefónico móvil avanzado (AMPS de ahora en adelante, por sus siglas en inglés) en Estados Unidos están
en el rango de frecuencia de 800 MHz. En muchos otros países, AMPS no es compatible con la tecnología celular local. La transmisión análoga se envía
normalmente “en forma abierta” y puede ser utilizada inmediatamente por una persona interceptando la señal.

Celular Digital
Las transmisiones del servicio de celular digital (DCS de ahora en adelante, por sus siglas en inglés) en Estados Unidos están en el rango de frecuencia de
1.900 MHz. Este servicio también se conoce como servicio de comunicación personal (PCS de ahora en adelante, por sus siglas en inglés). En muchos
otros países, las transmisiones de celular digital están en el rango de 900 MHz o de 1.800 MHz.

En una transmisión digital, el mensaje de voz análogo es convertido a una cadena de dígitos binarios, y la intercepción de la señal entrega una cadena de
bits que no puede ser utilizada inmediatamente por la persona interceptando la señal. Sin embargo, la transmisión puede ser grabada y luego convertida a
formato análogo para revelar el contenido del mensaje.

Sistemas Inalámbricos Fijos Privados

Una central automática de intercambio privada (private automatic board Exchange, PABX de ahora en adelante por sus siglas en inglés) utiliza un
transmisor de baja potencia para comunicarse con teléfonos portátiles en un rango limitado. La mayor ventaja es que es una comunicación bidireccional
que se puede establecer con un empleado cuyas funciones requieren que deambule a través de la instalación. Como en los sistemas celulares digitales, la
señal puede ser interceptada utilizando un receptor sintonizado en la frecuencia de la transmisión. El uso de tecnología de compresión de la transmisión, tal
como TDMA, añade una medida de seguridad al sistema.

Sistemas Inalámbricos Fijos Digitales Locales

La Comisión Federal de Comunicaciones de Estados Unidos (FCC de ahora en adelante, por sus siglas en inglés) decidió que los proveedores de
telecomunicaciones pueden competir para proporcionar servicios de telecomunicaciones locales. Se espera que un proveedor de la competencia arriende las
instalaciones del proveedor de servicios locales cuyos cables ya están en el lugar.

Un importante proveedor de telecomunicaciones ha desarrollado un sistema inalámbrico fijo digital en el que transmisores de baja potencia sirven una serie
de propiedades en un área limitada. El transmisor se comunica con un dispositivo instalado en cada propiedad para enviar y recibir voz y datos. El sistema
elimina la necesidad de instalar o arrendar las instalaciones de cables. La seguridad de las comunicaciones transmitidas queda por evaluarse.

Comunicaciones Satelitales
Están aumentando las comunicaciones satelitales que utilizan tecnologías recientemente desarrolladas. Los satélites en órbita geoestacionaria (geo-
stationary earth orbit, GEO de ahora en adelante, por sus siglas en inglés) que se utilizan actualmente a grandes alturas, tienen una demora inherente en la
señal, la que puede ser un problema en algunas aplicaciones de comunicaciones. Las comunicaciones sensibles a la demora se beneficiarán de la tecnología
emergente que se usa en los sistemas satelitales de órbita terrestre baja (low earth orbit, LEO de ahora en adelante, por sus siglas en inglés).

Los satélites que transmiten señales a la tierra cubren una amplia zona de recepción o huella. Cualquier receptor sintonizado correctamente situado en la
huella puede recibir la señal. La tecnología más reciente reducirá el problema de demora. Una comunicación utilizando tecnología satelital debe ser
considerada susceptible a la intercepción.

Los teléfonos móviles globales que utilizan tecnología satelital han reducido drásticamente su precio. Un modelo portátil con antena de satélite integrada en
la tapa actualmente cuesta alrededor de US$ 500, mientras que en 1993, costaba US$ 20.000. Este tipo de teléfonos pueden ser compatibles con las redes
celulares existentes y alternar entre una y otra dependiendo de la disponibilidad del servicio celular.

Los sistemas que utilizan satélites GEO y una red mundial de estaciones, pueden transmitir televisión, voz digital, fax, datos y correo electrónico. Estos
satélites mantienen una posición fija a una altura nominal de 22.300 millas (36.000km) por encima de la superficie de la tierra.

Sistemas de satélites de órbita terrestre media (medium earth orbit, MEO de ahora en adelante, por sus siglas en inglés) utilizan satélites a 6.500 millas
(10.300km) por encima de la tierra. El servicio está diseñado principalmente para su uso por teléfonos portátiles de modo dual, que se comunican con
satélites y sistemas celulares, teléfonos de buques y aeronaves, y teléfonos fijos en áreas en desarrollo.

Un sistema de 28 satélites LEO, a una altitud de 480 millas (770km) fue diseñado para proporcionar servicio de mensajes de datos para empresas e
individuos. Las aplicaciones específicas incluyen el monitoreo de instalaciones industriales y el seguimiento de camiones y barcazas.

Teléfonos portátiles de modo dual, buscapersonas y comunicaciones de datos de baja velocidad y de fax, son los mercados de destino para un sistema de 66
satélites LEO –a una altitud de 421 millas (675km). Otro sistema de 48 satélites LEO, a una altitud de 763 millas (1.220km) ofrece servicios de telefonía
fija y móvil en todo el mundo.

Un sistema de 840 satélites LEO tiene las características de redes de cable coaxial y de fibra óptica terrestre. La baja órbita a 440 millas (700km) –elimina
la demora de la señal de los satélites de altura y aloja aplicaciones sensibles a la demora. La órbita baja y la transmisión de alta frecuencia (30 GHz de
carga y 20 GHz de descarga) permite el uso de terminales pequeñas de baja potencia y antenas.

Las empresas de transporte en Estados Unidos y en áreas en desarrollo han equipado a los camiones con dispositivos de mensajería por satélite
bidireccionales, los que requieren que el mensaje para el vehículo sea tecleado. Este sistema permite que el operador del vehículo se concentre en la
conducción y asegura la entrega de los mensajes si el vehículo no está ocupado. Una característica del sistema de posicionamiento global (GPS) de estos
servicios permite que la base interrogue en cualquier momento a un transpondedor para determinar la ubicación del vehículo.

Interferencia Inalámbrica
Una recepción de señal adecuada depende de la capacidad del equipo para discriminar entre señales deseadas, señales no deseadas y ruido. Señales no
deseadas (interferencia) se pueden encontrar en cualquier sistema de comunicación por radio. Algunas de las causas más comunes de interferencia son
señales de otros transmisores y el ruido industrial y atmosférico.

Las autoridades regulatorias han adoptado estándares en relación a la tolerancia de desviación central de frecuencia (frecuency departure tolerances) y
energía máxima autorizada, pero la interferencia de otros transmisores puede ser recibida porque se ha permitido que otro transmisor de frecuencia quede a
la deriva. Las condiciones atmosféricas podrían permitir interferencia de otra estación en la misma frecuencia en una parte diferente del mundo.

La interferencia de ruido puede ser generada por el hombre o ser natural. Una de las principales fuentes de ruido originado por el hombre son transientes
eléctricas que irradian de circuitos en los que suceden arcos eléctricos. Este ruido es causado por interruptores, motores, ignición y precipitadores
industriales, calefactores de alta frecuencia y otros equipos. El ruido originado por el hombre es un problema más serio para transmisores de radio AM que
para los FM. El uso de FM es una manera de prevenir los problemas de ruido. Ruido de fuentes naturales es caracterizado por la estática. Una tormenta
eléctrica es un ejemplo de un fenómeno natural que puede causar estática. En transmisiones de video, el ruido se manifiesta como un quiebre momentáneo
de las imágenes, líneas u ondas en la pantalla, o como nieve.

La construcción de la instalación también puede afectar a la emisión y recepción de radio y vídeo. El acero pesado y el concreto tienden a limitar la
distancia a la que se puede recibir señales y son comunes los espacios muertos en los que no se pueden recibir señales. A menudo este problema se puede
resolver mediante el uso de antenas, ya sea conectadas a la unidad de recepción o irradiando de un bucle o pierna colocada a lo largo de la estructura.

7.3.3TRANSMISIONES MICROONDAS
Un transmisor de microondas opera a frecuencias súper altas, entre los 30 y 300 billones de Hz (30-300 GHz). Consiste de un generador de microondas, un
amplificador de energía, un medio para modular el portador de microondas y una antena para transmitir la señal a la atmósfera. Son posibles
comunicaciones unidireccionales y bidireccionales, y la antena transmisora también puede ser utilizada para la recepción de señales. Debido a las
frecuencias utilizadas y los niveles de energía necesarios, las instalaciones microondas generalmente requieren de licencias FCC. Las microondas penetran
la lluvia, neblina y la nieve y no son afectadas por el ruido originado por el hombre. Las microondas se usan en transmisiones de televisión, señales de
teléfono multiplexadas, circuitos de alarma multiplexados y transmisión de datos de alta velocidad.

Las microondas viajan en línea recta. Un haz transmitido que golpea un objeto físico es reflejado, con una posible pérdida de energía dependiendo de la
forma, tamaño y las propiedades reflectivas del objeto en cuestión. Para evitar obstrucciones, se utiliza un reflector pasivo (una superficie contra la cual una
microonda puede rebotar como un tiro de billar). El reflector puede ser cualquier superficie plana, tal como el costado de un edificio o una placa de metal
especialmente diseñada. También podría ser usada otra estación de microonda como repetidora en un tercer punto, con visibilidad común para los dos
extremos entre los que se quiere establecer comunicación. Un repetidor también puede ser utilizado para extender el alcance del sistema microondas. El
mismo hardware es utilizado en un repetidor y en una estación.

En distancias cortas, las microondas pueden ser una solución eficiente en términos de costos en sistemas de protección electrónica. El transmisor de
microondas completo puede ser conectado a una antena exterior con un cable de alimentación de bajo voltaje y un cable para llevar las señales. No se
requiere de ningún conducto o instalación elaborada. En el extremo receptor, se instala un reflector de metal o una antena para recoger las señales que están
dirigidas a ella. El receptor está conectado a la antena con un cable de alimentación y un cable para llevar la señal en el punto de término.

7.3.4COMUNICACIÓN LÁSER
La palabra Láser en inglés es el acrónimo de “light amplification by stimulated emision of radiation” (amplificación de luz por emisión estimulada de
radiación). La luz de un láser es coherente (bien enfocada en una dirección) y puede ser modulada para transportar señales, como las ondas de radio. El haz
del láser es modulado al pasarlo a través de un cristal. Un campo eléctrico aplicado al cristal modula la polarización del haz de luz monocromático del
láser. Una señal convencional de audio, vídeo o de datos se aplica al circuito electrónico del transmisor, cambiando el campo eléctrico, lo que hace al
cristal rotar el eje del haz del láser para variar la cantidad de luz transmitida. El haz del láser se hace parpadear a una velocidad extremadamente alta; la tasa
de parpadeo corresponde a la información que se está transmitiendo en la señal.

En el receptor, el haz de láser se enfoca en un foto-detector que demodula o recupera los cambios de campo eléctrico que se aplicaron al cristal siguiendo
los rápidos cambios en la intensidad de la luz de láser. Luego, la señal eléctrica del foto-detector se convierte en señales de audio y vídeo convencional por
un circuito electrónico en el receptor. Es prácticamente imposible interceptar el haz sin ser detectado.

Es necesaria una línea visual para la transmisión y es posible una comunicación de hasta 4 millas (6.4km) sin repetidores. Si no es posible una línea visual,
el haz de láser puede ser reflejado en un espejo o espejos, pero cada reflexión reduce la calidad de la resolución. La nieve, neblina y la lluvia interfieren con
el haz, pero el haz puede ser expandido para superar estas interferencias. No se requiere una aprobación FCC para esta instalación.

INTERCONEXIÓN
7.3.5
La FCC ha establecido que los sistemas de comunicaciones privadas pueden estar interconectados con la red telefónica pública, siempre que el equipo sea
compatible en forma segura con el equipo de red telefónica. El equipo debe cumplir con la Parte 68 de las reglas de la FCC para asegurar la compatibilidad.

Al conectar un equipo, los usuarios están obligados a notificar a la compañía telefónica del número de registro FCC y una calificación de equivalencia de
repique o timbre en el equipo.

7.4 SEGURIDAD DE LAS COMUNICACIONES

PROTECCIÓN DE LA LÍNEA
7.4.1
La red telefónica conmutada, líneas telefónicas dedicadas o circuitos de propiedad se pueden utilizar en un sistema de protección. Para proteger las
comunicaciones, el cableado externo debe ser instalado bajo tierra y el cableado interior debe instalarse en conductos. Se le debiese solicitar al proveedor
de servicios de telecomunicaciones que proporcione una conexión de servicio subterráneo. En situaciones especialmente vulnerables, el servicio
subterráneo no debe ser tomado desde el poste de luz más cercano, sino desde otro más lejano para ocultar la ruta del alambre.

Tanto los servicios de telecomunicaciones locales como de larga distancia están abiertos a la competencia. Aún cuando las redes de los grandes
proveedores de telecomunicaciones son altamente confiables, han ocurrido varios cortes de gran escala en las redes. La confiabilidad de cualquier
proveedor de telecomunicaciones propuesto debe ser evaluada en detalle. Dividir los requerimientos de comunicaciones entre dos proveedores dará una
medida de seguridad de que las comunicaciones se podrán mantener.

Supervisión de Línea
Un sistema de alarma de alambre debe ser diseñado con supervisión de línea para comprobar los circuitos de forma automática e inmediatamente señalar
fallos en la línea. La supervisión de línea más simple es instalar un resistor de fin de línea, para introducir una corriente eléctrica constante medible. Una
variación del nivel normal, más allá de un umbral determinado, será detectada y generará una alarma. Este tipo de supervisión de línea simple,
normalmente detecta un circuito abierto (conexión rota), una tierra o un corte de alambre a alambre. Un intento de interceptar o burlar el circuito
normalmente provocará una variación del valor del circuito de base y será detectado. Métodos de manipulación que tienen poco efecto sobre el valor del
circuito no serán detectados si se emplea sólo la supervisión de línea básica.

Donde el valor de los activos protegidos o de la información que se transmite es alta, pueden ser necesarios otros métodos de seguridad de línea, como los
siguientes:

• Minimizar la varianza admisible en el valor del circuito

• Utilizar pulsos cuasi-aleatorios, que deben ser reconocidos por el equipo de control
• Utilizar cambios en la frecuencia de transmisión

Una comunicación análoga es simplemente una reproducción de audio de la señal original, ya sea voz humana, instrumento musical u otro tono. Cualquiera
con acceso a la línea de transmisión puede alcanzar a oír una transmisión inteligible. Esto llevó al desarrollo de ciertos dispositivos diseñados para
modificar la inteligibilidad de los mensajes hablados.

En un ambiente digital, el mensaje de voz análogo es convertido en una cadena de dígitos binarios (ceros y unos). El acceso al enlace de transmisión sólo
produce la cadena de bits, que no es inmediatamente inteligible. Se podría hacer una grabación de la comunicación y luego convertir la cinta a formato
analógico en el equipo apropiado, sin embargo, el contenido del mensaje también puede ser encriptado.

7.4.2CODIFICADORES
Las comunicaciones transmitidas a través de alambre de cobre en la red de teléfonos pueden ser interceptadas en cualquier punto del circuito. Un
codificador es una herramienta para manipular información para que sea ininteligible para aquellos que están escuchando. Se han desarrollado una serie de
diferentes tipos de codificadores. El tipo de codificador seleccionado depende de la importancia de la información a transmitir y la habilidad de aquellos
que podrían interceptarlo.

La voz tiene dos características que pueden ser modificadas para reducir o destruir su inteligibilidad –la frecuencia (el tono de la voz) y la amplitud (su
volumen). Los demoduladores siempre distorsionan el contenido de frecuencia de la voz.

Inversores de Frecuencia
Los codificadores más simples son conocidos como inversores de frecuencia. Operan invirtiendo el contenido de frecuencia de la voz (Figura 7-5). Su
principal ventaja es su bajo costo y la tolerancia a malas condiciones en los canales de comunicación. Sin embargo, la voz codificada puede ser entendida
por un oyente entrenado. Son inherentemente dispositivos de código único y pueden, por lo tanto, ser decodificados por cualquier oyente con un
codificador similar o equivalente.

Separadores de Banda
Los separadores de banda son extensiones del convertidor de frecuencia, en el que la banda exclusiva de discurso se divide en una serie de bandas de
frecuencia más pequeñas. Estas bandas son invertidas e intercambiadas previo a su transmisión (Figura 7-6). Un separador de banda de cinco bandas en
teoría puede codificar las bandas de frecuencia en exactamente 3.080 formas diferentes, de los cuales el 90 por ciento no proporcionan mayor seguridad
que un convertidor de frecuencia. Un oyente entrenado puede obtener una cantidad sorprendente de información al escuchar la transmisión codificada.

Separadores de Banda Variables

Los separadores de banda pueden mejorarse mediante la modificación continua de la forma en que las bandas de frecuencia se intercambian, de acuerdo
con un patrón predeterminado. Este codificador es muy similar a un separador de banda simple. Sin embargo, normalmente no puede ser decodificado
sobre la base de ensayo y error ejecutando simplemente las combinaciones disponibles de intercambios de banda. Aún así, un oyente entrenado puede
obtener algo de información al escuchar la transmisión codificada.

Moduladores de Frecuencia o Fase

Los codificadores del tipo moduladores de frecuencia hacen que el espectro de la voz se invierta y cambie de frecuencia continuamente de acuerdo a un
patrón predeterminado. Los moduladores de fase operan de una manera similar, pero es la fase de la onda de la voz, más que la frecuencia, lo que cambia.
Estos dispositivos son similares a un separador de banda rodante, pero generalmente tienen un mayor nivel de seguridad, ya que el patrón se puede cambiar
con más frecuencia. Un oyente entrenado todavía puede obtener algo de inteligencia de la transmisión codificada.

Enmascaramiento
El enmascaramiento es una técnica para modificar la amplitud de la voz mediante la adición de otra señal en la banda de voz. Esta señal de
enmascaramiento se elimina en la unidad receptora para restaurar la voz original. La máscara puede ser un solo tono, una combinación de tonos
conmutados, o ruido de RF. Esta es una técnica muy eficaz para destruir algún contenido silábico de la voz. Si es usado solo, su seguridad no es muy
buena, porque una voz clara se puede leer a través de la máscara con bastante facilidad. Usado en conjunto con un separador de banda, con un modulador
de frecuencia o de fase, el enmascaramiento proporciona un alto grado de seguridad.

Códigos Variables (Rolling Codes)

Los separadores de banda variables, los moduladores de frecuencia y de fase, y muchos codificadores de voz enmascarados, requieren que el formato
codificado sea cambiado periódicamente de una manera predeterminada, por lo general a velocidades de entre 100 veces por segundo y una vez por 10
segundos. Las señales de control electrónicos que cambian el formato codificador son llamados flujos de claves (key stream). Idealmente el flujo de claves
debe ser completamente aleatorio para evitar que un descifrador de códigos lo duplique. Como el codificador de decodificación tiene que ser capaz de
reproducir un flujo de claves idéntico, el flujo de claves tiene que estar predeterminado.

Los flujos de claves normalmente tienen un patrón de longitud fija y luego repiten el mismo patrón cuentas veces sea necesario. Generalmente, la longitud
del patrón es de entre 15 bits y miles de millones de bits. A primera vista, pareciese ser costoso y difícil generar flujos de claves más largos, pero esto no es
necesario, gracias a la utilización de un dispositivo electrónico conocido como generador pseudo-aleatorio. Este dispositivo consiste en un registro de
cambio electrónico con retroalimentación conectada apropiadamente. Cuando se ajusta en forma correcta, genera un flujo de claves de 2N-1 bits de longitud
(donde N es el número de etapas en el registro de cambios). Por ejemplo, un registro de cambios de 23 etapas puede generar un flujo de claves de
8.388.607 bits de longitud, que se repite cada 9,7 días cuando se cambia 10 veces por segundo.

Una segunda característica del generador pseudo-aleatorio es que tiene un gran número de configuraciones de conexión que le permiten generar flujos de
claves de máxima-longitud y totalmente diferentes. El registro de desplazamiento de 23 etapas tiene 364.722 configuraciones o códigos de conexión
diferentes. Un codificador es incapaz de decodificar una transmisión de otro codificador programado con diferentes códigos.

Todos los codificadores degradan la calidad de la voz de un enlace de comunicaciones. Esto es un problema en particular cuando se degrada el rendimiento
del enlace, y los codificadores de seguridad más altos requieren un mayor rendimiento de la conexión de comunicación básica, que el rendimiento
requerido por las unidades de seguridad menores. Una comunicación digitalizada puede ser encriptada por cualquier método de cifrado de datos. Una
computadora de alta velocidad procesando el cifrado producirá una comunicación en tiempo real en el que la presencia de las contramedidas no será
evidente para las partes de la conversación.

7.5 CONTROL Y VISUALIZACIÓN DE ALARMAS

El control del sistema de AC&D y el subsistema de visualización proveen información a un operador de seguridad y le permite a ella o él ingresar
comandos que afectan la operación del sistema de AC&D.

El objetivo del subsistema es apoyar la rápida evaluación de alarmas.

El equipo de visualización de alarmas (la consola del operador) recibe información de los sensores de alarmas. Varias consideraciones se deben abordar en
el diseño de la consola:

• Qué información se le muestra al operador

• Cómo es presentada
• Cómo el operador se comunica con el sistema
• Cómo disponer los equipos en la estación de trabajo del operador

Un subsistema de control y visualización efectivo presenta la información a un operador en forma rápida y clara. El subsistema también responde
rápidamente a cualquier comando del operador. El subsistema de visualización no debe abrumar al operador con detalles, sino que debiese mostrar sólo la
información necesaria. Las funciones de control disponibles debiesen ser sólo aquellas que son relevantes en el contexto de la visualización en curso.

Se pueden presentar distintos tipos de información para ayudar a la seguridad zonal, tales como:

• Estatus de la zona (acceso/seguridad/alarma/manipulación)

• Ubicación de la zona
• Tiempo de la alarma
• Peligros especiales o materiales asociados a la zona
• Instrucciones de acciones especiales
• Números de teléfono de personas a las que llamar
• Mapas de la zona

También es importante examinar cómo el operador será alertado del hecho cuando se requiera una acción –específicamente considerando el tipo de equipo
de visualización, el formato y otras características visuales de la información que será visualizada, así como del diseño de los equipos de entrada.

7.5.1 ERGONOMÍA: FACTORES HUMANOS

El subsistema de control y visualización debiese ser diseñado para servir al operador humano. Garantizando la temperatura, humedad y ruido normales, y
los factores de confort general, se crea un medio ambiente adecuado para la efectividad del operador y reduce la frustración y la fatiga. Una iluminación
ajustable permite a los operadores graduar los niveles de iluminación según la necesidad para una buena visualización de los monitores de video. El diseño
de la consola debe facilitar al sistema y los operadores el intercambio de información, como reportes de alarma, indicaciones de estado y comandos. Los
datos deben presentarse de una manera que vuelva claras sus interrelaciones, y las técnicas para la transferencia de información de persona a máquina
deben limitar la posibilidad de errores.

Entonces, el diseño del área de trabajo debe considerar los siguientes factores:

• Lo que el operador necesita ver: personas, equipos, visualizaciones y controles

• Lo que el operador necesita escuchar: otros operadores, equipos de comunicaciones e indicadores de alerta
• Lo que el operador necesita alcanzar y manipular: controles de mano y pie y equipos de comunicación

El área alrededor del operador consiste de zonas de accesibilidad y visibilidad variables. Todas las pantallas deben estar más o menos perpendiculares a la
línea de visión del operador y debiesen ser fácilmente visibles desde la posición de trabajo normal. Las indicaciones y aportes del operador necesitan ser
priorizadas, las más importantes se deben colocar en el área primaria de la interfaz (figura 7-7). Las pantallas en el área primaria de la interfaz no debiesen
requerir grandes movimientos de ojos o de cabeza desde la línea de visión del operador, por lo que debiesen estar dentro de un cono de visión de 30 grados.
Las visualizaciones operacionales que se utilizan con frecuencia deben ser colocadas en la zona secundaria, donde el operador puede tener que mover sus
ojos, pero no la cabeza. Visualizaciones de apoyo de uso poco frecuente, como el sistema de copia de seguridad e indicadores de potencia, se pueden
colocar fuera del área secundaria.

Debido a que el operador no siempre está mirando el panel de visualización, se utilizan señales audibles para alertar al operador de un cambio significativo
de la condición. Se pueden utilizar diferentes tonos y volúmenes para distinguir las clases de alarmas, como seguridad, seguridad ocupacional o
mantenimiento. Salidas de voz computarizadas también puede ser utilizadas. El número de señales audibles diferentes debe mantenerse bajo. Las señales
deben ser distinguibles en el entorno sonoro complejo de una sala de control AC&C.

Las pantallas están instaladas usualmente en el centro de la consola, con controles fáciles de identificar puestos encima, debajo o alrededor de las pantallas.
La claridad se mejora con un etiquetado limpio, codificación por color, agrupaciones bien espaciadas y con codificación por forma. Ubicar cada control
cerca de la pantalla apropiada reduce búsquedas y movimientos de ojos. Paneles táctiles que sitúan los controles en la pantalla eliminan la necesidad de
muchos otros dispositivos de control.

Además de señales audibles, las consolas de sistemas debiesen proveer señales visuales, tales como luces intermitentes o mensajes parpadeantes. Luces o
indicadores de color pueden transmitir estados de alarma con claridad. Por ejemplo, los colores del semáforo (rojo, amarillo y verde) son fácilmente
reconocibles para los indicadores de alarma/acción, precaución/anormal, y proceder/normal, respectivamente.

La ubicación de los equipos de apoyo depende de su importancia y la frecuencia de su uso. A los equipos de comunicaciones (teléfonos, micrófonos,
monitores de CCTV adicionales, y controles) se les debe dar el espacio de consola apropiado. El equipo que no es necesario para las funciones de
visualización y control debe ser colocado fuera del área de trabajo inmediata del operador. Ofrece varias ventajas instalar en una habitación separada los
equipos y circuitos de control automático (por ejemplo, equipos de conmutación de CCTV y electrónica de comunicación que no sean micrófonos y
controles). El personal de mantenimiento tendrá más espacio para trabajar en el equipo, los operadores no se verán perturbados por el mantenimiento, y se
reduce la distracción de ruido, como la de los ventiladores. El equipo puede estar mejor protegido contra la manipulación y se pueden mantener las
condiciones medioambientales apropiadas para el equipo. Por ejemplo, el equipo puede tener requisitos de refrigeración y humedad que no sean cómodos
para los operadores.

Si más de una persona operará al mismo tiempo la consola, se deben considerar las interrelaciones operador/equipo. El equipo esencial debiese ser
duplicado para cada operador, pero los operadores pueden compartir el acceso a los equipos secundarios o de uso poco frecuente.

7.5.2 ERGONOMÍA: VISUALIZACIONES GRÁFICAS

Interfaces gráficas de usuario (GUI de ahora en adelante, por sus siglas en inglés) bien diseñadas pueden mejorar la visualización de la información de
alarma de seguridad, así como las GUI mal diseñadas pueden rápidamente abrumar a un operador. Varios tipos de información gráfica se pueden visualizar
en un monitor de computadora, sujeto a las pautas sobre la manera de visualizar mejor la información.

Un buen indicador gráfico tiene un número limitado de características. Las GUI actuales proporcionan una gran cantidad de características para la
visualización de la información, pero una buena visualización limita las maneras en que la información se ve y en que se permiten las operaciones.

Una ventana de visualización en pantalla puede presentar texto, gráficos o controles. Puede ser de cualquier tamaño y hasta tres ventanas se pueden mostrar
a la vez. Una debiese ser del tamaño completo de la pantalla y debiese contener una descripción general del estado del sistema. Otra ventana más pequeña
debiese presentar información subordinada, según sea necesario. Las ventanas subordinadas no deben ser más grandes que la mitad de la pantalla. Una
tercera ventana puede mostrar los menús y otros controles operacionales. Limitar el número y tamaño de las ventanas ayuda a los operadores a encontrar
información importante de manera rápida. Los operadores no deben tener que cambiar el tamaño o mover las ventanas para ver la información.

Los menús se muestran normalmente a lo largo de la parte superior de la ventana y se pueden agrupar, por lo que la selección de un ítem genera un menú
subordinado que se expone. Los menús organizan los comandos del sistema en forma clara y concisa, y su estructura no debiese ser muy complicada. Un
buen menú contiene no más de nueve ítems y tres niveles (los usuarios podrían perderse en menús agrupados más profundamente). Un menú corto reduce
el tiempo requerido para encontrar un ítem en particular. Estructuras de menú complicadas intimidan a los usuarios nuevos y molestan a los operadores
experimentados.

Los comandos comunes no tendrían que estar ubicados en menús, sino que debiesen estar disponibles como botones. Un botón en pantalla es como un
botón de interruptor. Sólo los comandos que son válidos en el contexto debiesen estar disponibles. Se puede hacer que los íconos de sensores o mapas
actúen como botones, y los botones puedan ser agrupados en la barra de botones, la que agrupa botones para facilitar su acceso. Los botones visibles
debiesen estar limitados a nueve. Los botones deberían proveer etiquetas de texto que indican su función.

Las GUI también pueden mostrar mapas o gráficos del área asegurada. Los mapas muestran rápidamente la ubicación de una alarma de seguridad. Los
mapas pueden ser copias escaneadas de papel o gráficos creados electrónicamente. Los mejores gráficos son dibujos estilizados que dejan afuera detalles
excesivos. Las visualizaciones generalmente requieren de mapas de pequeña escala, de 1:5000. Los mapas cuyo propósito es anunciar debiesen ser
interactivos, mostrando en el mapa los sensores y entregándole mecanismos al operador para ver y controlar esos sensores mediante la realización de
operaciones en el gráfico.

Los íconos de sensores debiesen utilizar gráficos, tamaños y colores consistentes. Cuando sea posible, los sensores deben visualizarse juntos como un solo
ícono para reducir el desorden en la pantalla. Ningún mapa debiese contener más de 50 sensores o íconos de grupo. Los íconos de sensores agrupados
deberían indicar el estado del sensor en peores condiciones del grupo. Por ejemplo, si un sensor en el grupo está en alarma, el ícono del grupo debiese
indicar alarma.

También se necesita visualización de texto. Áreas dedicadas de la pantalla pueden proporcionar descripciones de sensores. Sólo la información vital debe
ser visualizada; los detalles pueden ser ubicados en ventanas subordinadas. Un buen sistema también proporciona ayuda rápida.

El color puede destacar la información importante, pero debe usarse con moderación. Un usuario no debería tener que depender de colores para operar un
sistema, puesto que un 10 por ciento de la población tiene algún grado de daltonismo. No se deben utilizar más de siete colores. Menús, botones y fondos
deben ser en tonos consistentes, a menudo gris. Los mapas deben ser en blanco y negro o de colores de poca saturación. Rojo, amarillo y verde deben
reservarse para indicar el estado del sensor.

La filosofía predominante del diseño es “el operador primero”. Los diseñadores debiesen seguir las siguientes reglas:

• El número de acciones necesarias para ejecutar un comando debe ser minimizado. Para un comando importante, un operador sólo debe hacer clic en
el ratón una vez o presionar una sola tecla.
• Sólo las operaciones que son válidas en el contexto actual deben estar disponibles. Por ejemplo, el operador no debe ser capaz de acceder a un sensor
si éste ya ha sido accedido.
• El sistema debe guiar al operador a través de operaciones complejas. Una selección de comandos basada en el contexto puede dirigir las acciones de
los operadores sin quitarles el control.
• Los sistemas anunciadores no deben anular las operaciones en curso. Si el usuario está evaluando una alarma, el sistema no debe reemplazar la
información actual con la notificación de una nueva alarma. La evaluación debe continuar mientras sucede una notificación no intrusiva del nuevo
acontecimiento. El operador puede luego decidir si abortar la operación actual.
• Los sistemas no deben ser molestos y deben evitar alarmas fuertes y continuas o pantallas brillantes y parpadeantes.
• Un comando dado debe ser realizable de varias maneras. Volver los comandos disponibles como opciones de menú, botones y pulsaciones de
teclado, crea un sistema más amigable, lo que permite a los usuarios seleccionar sus métodos preferidos.

Un sistema de AC&D existe para mejorar la seguridad del sitio. Si falla en su tarea de seguridad, falla como sistema. Los gráficos elaborados no pueden
salvar un sistema ineficaz. Un sistema que es fácil de usar, tiene muchas más probabilidades de éxito que uno innecesariamente complejo.

7.6 RESUMEN
Este capítulo describió la evaluación de alarmas mediante el uso de un subsistema de video y el sistema de monitoreo de alarmas. Evaluación y vigilancia
no son lo mismo. Un sistema de evaluación asocia la captura inmediata de imagen con un sensor de alarma para determinar la respuesta. Los sistemas de
vigilancia recogen información de video sin sensores asociados.

Un sistema de evaluación de alarmas de video consta de cámaras en áreas de evaluación, monitores de pantalla en el extremo local y varios sistemas de
transmisión, conmutación y grabación. Los principales componentes son los siguientes:

• cámara y lente para convertir una imagen óptica de la escena física en una señal eléctrica
• sistema de iluminación para iluminar la ubicación de la alarma de manera uniforme con la suficiente intensidad para la cámara y la lente
• sistema de transmisión para conectar las cámaras a distancia para los monitores de video locales
• equipos de conmutación de video para conectar las señales de video de múltiples cámaras para monitores y grabadoras de video
• sistema de grabación de video para producir el registro de un evento
• monitores de video para convertir una señal eléctrica en una escena visual
• controlador de video para hacer de interfaz entre el sistema de sensor de alarma y el sistema de evaluación de alarma

El nivel de resolución requerido en el subsistema de video depende de la amenaza esperada, las tácticas previstas, el activo a proteger y la manera en que se
utilizará la información de video. El rendimiento del sistema de evaluación de alarma debe brindar apoyo con los objetivos del sistema de protección. El
subsistema de evaluación de alarma debe ser diseñado como un componente del sistema de detección de intrusos. También se deben considerar las
interacciones entre el sistema de video, sensores de intrusión y sistema de visualización.

El sistema de comunicación de alarma y visualización es un elemento clave en la respuesta satisfactoria y oportuna a una amenaza. El sistema controla el
flujo de información de los sensores al operador y visualiza esta información rápida y claramente. El sistema de comunicación de alarma y visualización
recopila datos de alarma, presenta la información a un operador de seguridad y permite al operador introducir comandos para controlar el sistema. El
objetivo del sistema de visualización es el de promover la rápida evaluación de las alarmas. En este capítulo también se discutió los dispositivos de
comunicación, de control y visualización, ubicación de equipos, la interfaz del sistema de evaluación y la carga del operador.
 CAPÍTULO 8
CONTROL DE ENTRADA

Un subsistema de control de entrada permite la circulación de personal y material autorizado hacia y desde las instalaciones y, al mismo tiempo, detecta y
posiblemente retrasa, la circulación de personal no autorizado y el contrabando. Los elementos de control de entrada se pueden encontrar en el límite o
perímetro de la instalación, por ejemplo, salidas de vehículos, puntos de entrada al edificio o puertas de acceso a las habitaciones u otras áreas especiales
dentro de un edificio. El subsistema de control de entrada es una parte de la función de detección.

Los objetivos de un sistema de control de entrada utilizado para la protección física son los siguientes:

• Permitir la entrada y salida sólo de personas autorizadas

• Detectar e impedir la entrada o salida de material de contrabando (armas, explosivos, herramientas no permitidas o activos críticos)
• Entregar información al personal de seguridad para facilitar la evaluación y la respuesta

Control de entrada se refiere al equipo físico utilizado para controlar la circulación de personas o material en un área. Control de acceso se refiere al
proceso de gestionar bases de datos u otros registros y determinar los parámetros de entrada autorizada, por ejemplo, a quién o a qué se le concederá
acceso, cuándo pueden entrar y el lugar de acceso. Generalmente, los términos se usan indistintamente en la industria; sin embargo, existen ventajas al
diferenciarlos. Muchos sistemas de control de acceso industriales incluyen un software de gestión de bases de datos de aquellos que tienen acceso
autorizado, así como el medio físico para restringir la entrada o salida. Debido a que los problemas técnicos asociados con la instalación y uso de hardware
de control de entrada son diferentes de los controles administrativos necesarios para administrar el acceso autorizado, ellos requieren una consideración
aparte, con el fin de lograr un subsistema efectivo e integrado.

Las medidas de funcionamiento de los subsistemas de control de entrada incluyen el movimiento y la tasa de errores. El movimiento es una medida del
tiempo que tarda una persona o material autorizado en pasar exitosamente por un punto de entrada o salida. Los componentes tecnológicos que requieren
tiempos de rendimiento más largos pueden no ser aplicables en todas las situaciones, tales como el ingreso a una instalación industrial en los cambios de
turno. Las tasas de errores se describen detalladamente más bajo en la sección titulada “Verificación de Identidad Personal (Biometría)”.

8.1 PERSONAL DE CONTROL DE ENTRADA

El personal de control de entrada es la parte de un sistema de control de entrada que se utiliza para autorizar el ingreso y para verificar la autorización de las
personas que deseen entrar a un área controlada. Esta decisión de verificación generalmente se basa en determinar si la persona (1) lleva una credencial
válida, (2) conoce el número de identificación personal, (3) posee las características físicas únicas que coincidan con las características de inscripción
(biométricas, tales como huella digital, geometría de la mano, etc.). Estos tres conceptos se resumen en: lo que tienes, lo que sabes, lo que eres. Con
excepción de los dispositivos biométricos, los dispositivos de control de entrada se pueden utilizar en forma independiente de la persona autorizada. La
coincidencia de una característica física verificará la identidad de la persona; una credencial o un número de identificación (ID) sólo verifica que la persona
que solicita entrar tiene una credencial válida o sabe el número válido. Las combinaciones de las tecnologías de control de entrada pueden ser usadas
eficazmente para proteger el acceso a la instalación. Estas combinaciones podrían reducir el desempeño, pero harán que el sistema sea más difícil de
derrotar. Los métodos de autorización de entrada del personal incluye un número de identificación personal, credenciales y la verificación de identidad
personal positiva o biometría.

8.1.1NÚMERO DE IDENTIFICACIÓN PERSONAL

Algunos sistemas se basan en un número memorizado, llamado número de identificación personal (PIN de ahora en adelante, por sus siglas en inglés). Para
poder entrar, el usuario ingresa el PIN en un teclado. Ciertos sistemas usan una credencial codificada para localizar el archivo de referencia asociado a ese
número de placa en la base de datos de control de accesos. En ese caso, un individuo que solicita ingresar, primero inserta en el teclado el código de la
credencial y luego el número memorizado. Este número se compara con el que está registrado en el archivo de referencia de cada persona. Si los números
son los mismos, se le concede la entrada. El número memorizado puede ser elegido por el individuo al registrarse, o puede ser asignado. Usualmente se
utiliza un número de 4 a 6 dígitos. Este método simple tiene algunas debilidades: (1) un individuo podría pasar el PIN y la credencial a otro individuo no
autorizado; (2) el PIN podría ser observado subrepticiamente por un adversario (espiar por encima del hombro) ; o (3) el PIN podría haber sido obtenido a
través de coerción. Además, la gente a menudo anota el PIN, por lo que es más fácil para el adversario obtenerlo.

Hay dos consideraciones importantes para seleccionar un PIN seguro. El PIN debe ser lo suficientemente largo, y no debe ser un número que sea
demasiado significativo para el individuo al cual se le asigna. El PIN debe tener suficientes dígitos para evitar conjeturas fáciles. Esto es especialmente
importante cuando el PIN es el único criterio para permitir la entrada. Para una población de unos pocos cientos, un PIN de cuatro dígitos debería ser
suficiente. Cuatro dígitos permiten un total de 10.000 combinaciones, lo que es mucho más que el número de personas de la población. La probabilidad de
acertar el PIN correcto es baja en tales circunstancias.

Si a la persona se le permite elegir su propio PIN, él o ella no deberían adoptar la fecha de cumpleaños, parte del número de seguridad social, teléfono u
otro número que pueda ser fácilmente adivinado por un adversario. También deben evitarse otros números fáciles, como 1-1-1-1 o 1-2-3-4.
Algunos sistemas permiten un número máximo de intentos de introducción del PIN antes de denegar la credencial o generar una alarma a la central del
sistema de control. Usar el PIN en combinación con las credenciales y la biometría ayuda a elevar el nivel de seguridad.

DISPOSITIVOS DE IDENTIFICACIÓN (TOKEN)

8.1.2
Existen mucho tipos de dispositivos de identificación, (comúnmente llamados token) que se utilizan para el control de entrada. Ellos incluyen lo siguiente:

• Credencial con fotografía

• Credencial de intercambio
• Credencial con imagen almacenada
• Credencial codificada

Los primeros tres requieren una comprobación manual, que debe realizar un guardia con un alto grado de vigilancia. Las credenciales codificadas se
comprueban en forma automática.

8.1.3CREDENCIAL CON FOTOGRAFÍA

El distintivo con fotografía es una credencial común que se utiliza para el control de entrada del personal, pero no siempre es efectiva. Se podría elaborar
un distintivo falso, o una persona podría maquillarse para hacer que su cara se parezca a la de un distintivo robado. Además, debido a que este tipo de
distintivo es revisado manualmente, un guardia que no esté bien atento, puede reducir su efectividad, especialmente a una hora en que un gran número de
personas esté ingresando a la instalación.

Credencial de Intercambio
Un sistema de credenciales de intercambio requiere que la comprobación de la credencial se lleve a cabo en el punto de control de entrada. Cuando un
empleado presenta su credencial y solicita el ingreso, un guardia compara la persona con la foto de la credencial de intercambio guardada en el punto de
control de entrada. Si las dos coinciden, el guardia cambia la credencial y le permite la entrada. La credencial de intercambio que permanece guardada,
puede contener más información que la que contiene la credencial que se le entrega al empleado, y también puede ser de un color diferente. Las
credenciales de los empleados se guardan en el punto de control de entrada hasta que este abandona el área, momento en el cual nuevamente se cambia la
credencial. De esta manera, la credencial utilizada dentro de una zona segura nunca abandona dicha área. Esto reduce la posibilidad de que la credencial de
la instalación sea falsificada, perdida o robada. El sistema de credencial de intercambio no impide que alguien pueda maquillarse o arreglar su cara para
parecerse a la imagen de una credencial que haya sido robada.

Credencial con imagen almacenada

El uso de un sistema de almacenamiento de imágenes (video-comparador) requiere que un guardia verifique la identidad del individuo en base a
características visuales. El almacenamiento seguro de la imagen se utiliza para que esta sea comparada con otra imagen, tomada en tiempo real, de la
persona que está solicitando la entrada.

Dos de las características más importantes de este sistema son la capacidad de registro y el tiempo de acceso. La capacidad de registro es el número
máximo de imágenes que puede almacenar el sistema. El tiempo de acceso es el tiempo que se necesita desde la entrada del número de identificación hasta
que la imagen almacenada aparezca y pueda ser visualizada. Estos sistemas usan una tarjeta codificada o un teclado para encontrar la imagen almacenada
de modo que el guardia la visualice y pueda compararla.

Los sistemas de almacenamiento de imágenes no se basan en una característica única y medible, tal como la huella digital, por lo tanto no se les considera
como un verificador de identidad personal. Sin embargo, tienen una ventaja sobre los sistemas manuales de identificación de fotografía, ya que es difícil
manipular la imagen guardada. De este modo, los sistemas de almacenamiento de imágenes son comparables a los sistemas de intercambio de credenciales.
No obstante, aún son susceptibles al empleo de maquillaje para disfrazar a una persona no autorizada.

CREDENCIAL CODIFICADA
8.1.4
Los sistemas de credenciales codificadas, también conocidos como sistemas de tarjetas de acceso, están disponibles en el mercado con una amplia gama de
capacidades, incluyendo estas:

• Mantenimiento de registros de autorización de entrada para cada credencial codificada

• Entrega de número de código de identificación único que puede ser leído por una máquina
• Revocación de la autorización de entrada para una persona sin la necesidad de recuperar la tarjeta o credencial de esa persona
• Entrega de varios niveles de autorización de entrada, tales como entrada sólo en puntos de control de entrada seleccionados o sólo a cierta hora del
día

Los registros de autorización de entradas pueden ser actualizados cada vez que se solicite la entrada mediante una credencial codificada. Cada acción de
entrada y el momento en que ocurrió, la ubicación de la entrada y el número de identificación de la credencial codificada, pueden ser registradas y listadas
cuando se requiera. Muchas credenciales codificadas tienen forma de tarjeta o placa que se usa o lleva mientras se permanece en la instalación. Wright
(1988) proporciona una introducción técnica del uso y aplicación de credenciales codificadas.

Hay muchas técnicas disponibles para la codificación de credenciales. Las técnicas más comunes incluyen banda magnética, alambre Wiegand, código de
barras, proximidad y tarjetas inteligentes.

La banda magnética codificada es la más utilizada en los sistemas de tarjetas de crédito comerciales. La tarjeta o placa tiene una banda magnética
codificada con datos, colocada a lo largo de uno de los bordes de la tarjeta. Estos datos son leídos mientras la banda magnética se desliza por un lector
magnético. La medida de resistencia del material magnético a los cambios en la información almacenada cuando es expuesto a un campo magnético se
denomina su coercitividad. La coercitividad se define como la intensidad magnética necesaria que debe aplicarse a un campo para cambiar la información.
La unidad de la intensidad magnética utilizada para describir la coercitividad es el Oersted.

Dos materiales se usan como medio de banda magnética. El más utilizado en las tarjetas de créditos es el material magnético de 300 Oersted (baja
coercitividad); material que es relativamente fácil de borrar. El segundo material usado en bandas magnéticas tiene una coercitividad que está en el rango
de 2.500 a 4.000 Oersted (alta coercitividad). Este material es el que se utiliza con mayor frecuencia en las credenciales de seguridad, y es muy poco
probable que se borre accidentalmente. Los imanes domésticos comunes no son lo suficientemente fuertes como para borrar las bandas de alta
coercitividad. Por otra parte, los menos comunes son los imanes de tierras raras, que sí producen intensidades lo suficientemente fuertes como para alterar
las bandas de alta coercitividad magnética.

El uso de codificación alfanumérica permite incluir tanto el nombre de quién usará la placa como el número de ella. La falsificación de credenciales es
relativamente fácil, ya que la información de las bandas magnéticas puede ser decodificada o se pueden duplicar las placas codificadas para usarlas en
equipos disponibles en el mercado. Esta vulnerabilidad se puede mitigar en gran medida a través del uso de técnicas de lectura y codificación propias, no
estandarizadas. Sin embargo, el uso de sistemas propios puede limitar la capacidad de interactuar con otros equipos o subsistemas. Esto también puede
limitar las opciones cuando se piense en una actualización o expansión.

La tecnología de alambre Wiegand existe desde hace algún tiempo y el formato de señal de salida Wiegand se ha convertido en el estándar de facto en la
industria. Aunque esta tecnología ya no se utiliza mucho, el protocolo de datos Wiegand sigue siendo de uso común.

El código de barras es ampliamente utilizado en el comercio minorista para identificar automáticamente los productos en los puntos de ventas; a veces, se
usa en las credenciales codificadas. Los diferentes anchos de barra y los espacios entre ellas establece el código. Para leer la tarjeta, un sensor óptico
escanea el código de barras y transmite la información a una unidad de decodificación. Generalmente, el código de barras se imprime en la credencial y se
usa mucho de la misma manera que una banda magnética. A menos que el código de barras esté cubierto con un revestimiento opaco, es relativamente fácil
duplicar. Este revestimiento opaco se hace cada vez más común, en la medida que el código de barras se mueve en el mercado de las credenciales de
seguridad. Las simbologías bidimensionales (códigos de barras 2-D) también se usan en las credenciales de seguridad y son capaces de almacenar más
información que sus homólogas de una sola dimensión.

La credencial de proximidad es una cuya información puede ser leída sin que la credencial se coloque físicamente en el dispositivo lector. Las credenciales
de proximidad se pueden clasificar según el método de alimentación de la tarjeta, el rango de frecuencia de funcionamiento de la tarjeta y la capacidad de
sólo leer o leer/escribir (Wright, 1987).

La credencial de identificación de proximidad electrónica, un pequeño transpondedor/transmisor de RF, debe ser alimentada de alguna manera. Una batería
de larga duración ensamblada con la unidad, alimenta las tarjetas activas. Para algunos tipos de credenciales, la energía de la batería es aplicada sólo
cuando la credencial entra en el campo de interrogación. Para otros, la credencial está continuamente transmitiendo y la antena del lector capta los datos RF
cuando la credencial entra en el campo de lectura. La credencial pasiva obtiene su energía de la unidad lectora a través de la señal RF, cuando entra en el
campo de interrogación.

Las credenciales de proximidad se dividen en dos grupos de acuerdo a la frecuencia. La credenciales de baja frecuencia están en el rango de 125 KHz, y las
de alta frecuencia van de 2.5 MHz a más de 1 GHz. Una credencial de sólo lectura contiene un código específico que generalmente se fija en el momento
de su fabricación y no puede ser cambiado. Por otro lado, la credencial de lectura/escritura usualmente tiene un campo de datos más grande que la de sólo
lectura, y puede ser programada por el administrador del sistema cuando sea necesario.

La tarjeta inteligente es del mismo tamaño de una tarjeta de crédito bancaria, tiene un circuito integrado dentro de la tarjeta. Los contactos dorados en la
superficie de la tarjeta permiten la comunicación con el dispositivo de lectura. Las tarjetas inteligentes sin contacto usan comunicaciones RF para hablar
con el lector y no tienen contactos dorados. Las tarjetas que poseen sólo circuito de memoria tienen la misma función que las tarjetas de banda magnética:
número de tarjeta, nombre del usuario y otra información que puede ser almacenada y leída. Una verdadera credencial inteligente incluye un
microprocesador que hace que la credencial sea inteligente y que la diferencia de la tarjeta de memoria. El tamaño de la memoria en la tarjeta inteligente va
de 8 kilobytes a 64 kilobytes, con proyecciones de llegar a un megabyte en el futuro.

Las principales ventajas de la tarjeta inteligente son su gran capacidad de memoria y su alto grado de resistencia a la falsificación. Estas ventajas deben
considerarse en relación al alto costo que tienen. Muchas tarjetas inteligentes tienen la capacidad de encriptar (codificar) las comunicaciones, lo cual le
añade otro nivel de protección. Cuando la población de la instalación es grande y el nivel de seguridad no es extremadamente alto, el costo de la tarjeta
inteligente es prohibitivo. Sin embargo, puede ser apropiado emitir tarjetas inteligentes para una pequeña población en una instalación de alta seguridad, o
para limitar el acceso a ciertas áreas en grandes instalaciones. Ejemplos de este último caso podrían ser la entrada a áreas que contengan metales preciosos,
o suites ejecutivas. Una instalación también puede tener grandes preocupaciones administrativas, tales como capacitación, registros de salud, o control de
inventarios; una tarjeta inteligente que combine una o todas estas funciones de conservación de registros con características de seguridad, podría ser
rentable.

Homeland Defense Presidential Directive 12 (HSPD12) es una directiva presidencial firmada por el Presidente George W. Bush en Agosto 2004, que llevó
a todo el gobierno federal y agencias contratadas a usar una sola credencial de alta seguridad. La credencial se basa en la Federal Information Processing
Standard 201 (FIPS201) y utiliza la tecnología de tarjetas inteligentes con contacto y sin contacto. La implementación de esta nueva credencia está en
curso. Esta directiva afecta principalmente a las instalaciones federales y las agencias contratadas, pero también puede tener un impacto en la industria
privada. Por ejemplo, puede ser necesario que el personal de conductores de vehículos en las instalaciones federales o contratadas de manera rutinaria
requieran tener una ID federal. La supervisión del desarrollo y prueba de credenciales y equipos relacionados (lectores y sistemas de control de entrada) así
como de los procedimientos de emisión, están siendo proporcionados por la General Services Administration (GSA) y el National Institute of Standards
and Technology (NIST). Si una empresa requiere cumplir con la directiva, los detalles deben ser resueltos caso a caso con el gobierno. Una considerable
información se puede obtener mediante la realización de una búsqueda en Internet en HSPD-12 o FIPS 201. Se debe tener cuidado con la revisión de la
información obtenida en la Web, porque un importante número de sitios de vendedores aparecerán en los resultados de la búsqueda. Algunos vendedores
afirman que sus productos cumplen con la HSPD-12, pero no mencionan la certificación. El cumplimiento podría significar simplemente que el vendedor
cree que los productos cumplen con los requisitos, mientras que para ser certificado el producto debe ser sometido a prueba por la GSA y el NIST. Cuando
el producto ha pasado la prueba exitosamente, puede ser colocado en la lista de productos oficialmente aprobados por el gobierno, lo que se puede
encontrar en http://fips201ep.cio.gov/apl.php.

VERIFICACIÓN DE IDENTIDAD DEL PERSONAL (BIOMÉTRICOS)

8.1.5
Los sistemas de verificación de identidad del personal corroboran las identidades buscadas sobre la base de una o más características físicas biométricas de
una persona. Los equipos disponibles en el mercado usan la geometría de la mano o dedo, la escritura a mano, el patrón de ojo, la huella digital, la voz, la
cara y varias otras características físicas. Todos los sistemas de verificación de identidad del personal consideran la singularidad del rasgo usado para la
identificación, la variabilidad de la característica y la dificultad para implementar el sistema que procesa la característica.

Los dispositivos biométricos pueden diferenciar entre verificación y reconocimiento. En el modo verificación, la persona inicia una solicitud de identidad,
presenta el rasgo biométrico específico para la autorización, y el equipo confirma. En el modo reconocimiento, la persona no inicia la solicitud, el
dispositivo biométrico intenta identificar a la persona, y si la información biométrica concuerda con la base de datos, se permite la entrada.

Muchas tecnologías biométricas usan las tasas de error como indicador del desempeño del sistema. Un error Tipo I, también llamado falso rechazo, es el
rechazo indebido de un usuario válido. Un error Tipo II, o falsa aceptación, es la aceptación indebida de una persona no autorizada. A menudo, estas curvas
de error están combinadas y se exponen gráficamente para mostrar la tasa de error igual. Este es el punto de error de cruce, donde los errores Tipo I igualan
los errores Tipo II. Este punto no necesariamente es el punto en el que debe funcionar el dispositivo. La tasa de error igual no ocurre en el punto donde los
errores Tipo I o Tipo II son los más bajos. Sin embargo, la figura puede ser útil cuando se comparan varios dispositivos biométricos.

Al seleccionar o poner en uso los dispositivos biométricos, se requieren las consideraciones de los objetivos de seguridad para asegurar que el dispositivo
funcionará como se necesita. Algunos sistemas pueden ajustarse para funcionar en un área donde el dispositivo minimizará los falsos rechazos, mientras
que en otras puede minimizar las falsas aceptaciones. El dispositivo no puede minimizar ambos tipos de errores simultáneamente, por lo tanto, la decisión
debe ser tomada considerando el equilibrio entre las tasas de falsa aceptación y falso rechazo. Esto tiene una importante implicancia en el funcionamiento
del sistema. Una baja tasa de falsa aceptación compromete la seguridad del sistema, pero permite la entrada de todos los usuarios autorizados. Los falsos
rechazos, por otra parte, pueden denegar el acceso a usuarios autorizados para mantener una alta seguridad. El administrador de la seguridad
indudablemente deberá poner atención a los casos de falsos rechazos, particularmente cuando a un alto directivo u otro empleado influyente se le ha
denegado el acceso. Por otro lado, es poco probable que se reporte que un adversario lograra la entrada debido a una falsa aceptación.

Geometría de Mano y Dedo

La verificación de identidad del personal utilizando el sistema de geometría de la mano se basa en la caracterización de la forma de la mano. La técnica
subyacente mide tres rasgos dimensionales de la mano, tales como ancho y largo de dedos y grosor de la mano.

Se inicia la secuencia de la lectura de mano con la presentación de la credencial codificada o ingresando el PIN. El usuario coloca la mano sobre la placa
reflectante; el dispositivo cuenta con clavijas que sirven de guía para que el usuario pueda alinear correctamente los dedos. Aunque la disposición de las
clavijas se adapta mejor a la exploración de la mano derecha, la mano izquierda puede ser escaneada y registrada colocando la mano izquierda sobre la
placa con la palma de la mano hacia arriba. Una cámara de estado sólido toma una imagen de la mano, la cual incluye una vista lateral para el espesor de la
mano. Debido a la combinación de iluminación infrarroja y la placa reflectante, la imagen de la mano aparece como una silueta a la cámara. El sistema
mide el ancho y largo necesario y crea una representación de la mano llamada vector de rasgo.

Durante la verificación, el vector de rasgo es comparado con las mediciones anteriores (la plantilla) obtenidas durante la inscripción de la persona. Si el
vector de rasgo y la plantilla coinciden dentro de un margen de tolerancia permitida, la verificación es exitosa. La prueba de un sistema de geometría de
mano en los laboratorios Sandia National indica que son posible de alcanzar tasas de error Tipo I y Tipo II de menos de 1% (Holmes, Wright, y Maxwell,
1991). Ruehley y Ahrens (1997) elaboraron un informe sobre el uso de una unidad de geometría de mano en un entorno operativo.

Un sistema similar usa dos dedos para verificar la identidad. Este sistema de geometría de dos dedos mide el largo y ancho del dedo índice y medio. Debido
a que se utiliza sólo una clavija de guía (entre los dos dedos), los dedos de la mano izquierda o derecha funcionan igual de bien. El concepto funcional de
este dispositivo es similar al sistema de geometría de la mano.

Escritura
La verificación de la firma ha sido utilizada durante mucho años por la industria bancaria, aunque las firmas son fácilmente falsificables. Se han
desarrollado sistemas automáticos de verificación de escritura a mano que utilizan características dinámicas, tales como desplazamiento, velocidad y
aceleración. Los análisis estadísticos de esos datos indican que la firma de una persona es única y razonablemente constante de una firma a la siguiente. Los
transductores que miden estas características pueden ser ubicados en el instrumento de escritura o en la placa. Estos sistemas proveen un bajo nivel de
seguridad y es mejor usarlos en aplicaciones donde las firmas ya se utilizan para autorizar transacciones.

Huellas Dactilares
Las huellas dactilares han sido utilizadas como un identificador de personas por más de 100 años, y aún se consideran como las más confiables para
distinguir entre un individuo y otro. La técnica del procesamiento de huellas dactilares para la identificación ha mejorado mucho en los últimos años debido
al desarrollo de sistemas automatizados. Estos sistemas, se basan en el procesamiento de la imagen y el patrón de reconocimiento, tiene aplicación en el
control de entrada del personal. Actualmente, hay disponible en el mercado muchos sistemas que realizan la verificación de las huellas dactilares.
La mayoría de los sistemas de verificación de huellas dactilares usan puntos minúsculos, terminaciones y bifurcaciones de la huella como característica de
identificación de la huella digital, aunque algunos sistemas utilizan la imagen entera para la comparación. Todos los sistemas de identificación de huellas
dactilares requieren especial cuidado en el posicionamiento de los dedos y un análisis preciso de la impresión para una identificación confiable.

Los métodos ópticos que utilizan un prisma y una cámara de estado sólido son los más comunes para capturar la imagen de la huella. Las huellas dactilares
secas o desgastadas pueden ser difíciles de captar por métodos ópticos, por lo que se le han aplicado recubrimientos especiales a las placas ópticas para
mejorar la calidad de la imagen. El propósito de estos recubrimientos es asegurar un buen acoplamiento óptico entre la placa y la huella dactilar.

El ultrasonido es otro método de obtención de imágenes de huellas dactilares. No es tan sensible a las huellas dactilares secas o desgastadas debido a que
puede captar imágenes por debajo de la superficie superior de la piel hasta las capas más bajas, donde la huella dactilar no está dañada. Debido al escáner
de barrido que requiere el transductor ultrasónico, las imágenes de ultrasonido no son tan rápidas como los métodos ópticos.

Los sensores de imagen directa que usan dispositivos de estado sólido también están disponibles para obtener imágenes de huellas dactilares. Los métodos
capacitivos, campos eléctricos y térmicos se han desarrollado comercialmente. Se cree que la proyección de un menor costo de estos dispositivos, gracias a
la eficiente fabricación de chips de silicio, harán que los dispositivos de verificación de huellas dactilares se transforme en algo común en los escritorios
para lograr un inicio de sesión seguro en las computadoras. Superar los inconvenientes de endurecer los delicados chips de silicio para el uso diario, ha
retrasado su implementación generalizada. La descarga electroestática, el aceite de los dedos y el sudor son dañinos para los dispositivos de silicio.

Patrón Ocular
Existe una tecnología que utiliza el iris para lograr la identificación. El iris es la parte coloreada del ojo, cuya función es controlar la cantidad de luz que
penetra en el ojo. Este sistema usa una cámara de video para captar la estructura del iris del ojo. La estructura única del iris puede utilizarse para identificar
a una persona. El sistema funciona en el modo reconocimiento, por lo que no es necesario ingresar un PIN. Una clara ventaja de este sistema es que la
cámara capta el iris a una distancia de unos 10-12 pulgadas (25-30cm), por lo tanto no se requiere un contacto físico entre la cara y el escáner. Además, el
ojo está iluminado externamente con luz visible, por lo que no hay un LED brillando a través de la lente.

Los datos de un ensayo de laboratorio de un prototipo de escáner de iris indicaron algunas dificultades con el brillo de los anteojos. Esto provocaba un error
Tipo I (falso rechazo). No se encontraron errores Tipo II (falsa aceptación) en la prueba de laboratorio (Bouchier, Ahrens, & Wells, 1996). Dispositivos
posteriores incorporaron la detección del brillo y la forma de compensarlo para contrarrestar el problema. El tiempo de transacción varía de 4 a 5 segundos
(por un usuario con práctica) hasta 15 segundos (para aquellos que son nuevos en el sistema). Aproximadamente el 2% de la población no puede ser
registrado debido a la ceguera u otro daño en el iris, ojos extremadamente dilatados, o iris muy oscuros, por lo que requieren de otro método para el control
de entrada seguro.

Voz
La voz es un atributo muy útil para la verificación de identidad y es adecuado para el procesamiento automáticos de datos. Las mediciones del habla útiles
para distinguir al orador incluyen la forma de onda, el período del tono de la voz, espectro de amplitud relativa, frecuencia de resonancia del tracto vocal.
El sistema le pide al usuario que diga una palabra predeterminada o que repita una serie de palabras o números seleccionados por el sistema para verificar
el acceso.

Si bien esta tecnología actualmente ofrece poca seguridad, es una alternativa atractiva debido a su facilidad de implementación y aceptación por parte del
público. Los sistemas de reconocimiento de voz sólo necesitan ser instalados en un extremo de un sistema telefónico, o quizás situado en el centro, lo que
reduce el número de unidades necesarias. Además, la mayoría de las personas tienen experiencia en el uso de teléfonos, por lo tanto el entrenamiento es
mínimo y la desconfianza en la tecnología es menor. Como resultado, las unidades están siendo comercializadas actualmente para su aplicación en
seguridad y su desarrollo está activo.

Los sistemas de voz también tienen asociado ciertos procedimientos. La voz de una persona pueda cambiar debido a una enfermedad o por estrés, por lo
tanto, se debe prever un procedimiento o método de respaldo para controlar el acceso en este tipo de circunstancias.

Rostro
Los sistemas de verificación facial usan las características distintivas del rostro para identificar a una persona. La mayoría de los sistemas capturan la
imagen del rostro usando una cámara de video, aunque hay un sistema que captura imágenes térmicas utilizando una cámara infrarroja. Las características
distintivas se extraen de la imagen y se comparan con las que han sido almacenadas previamente. Si coinciden dentro de un margen de tolerancia
determinado, la verificación de identidad resulta positiva.

Aunque los sistemas faciales se vienen estudiando y proponiendo desde hace varios años, sólo recientemente se encuentran disponibles en el mercado. Los
desarrolladores han tenido que lidiar con dos problemas difíciles: (1) amplias variaciones en la presentación de la cara (inclinación y rotación de la cabeza,
presencia o ausencia de anteojos, cambios de vello facial, cambios de expresión facial, etc.) y (2) las variaciones de la iluminación (día versus noche,
ubicación A versus ubicación B, etc.). El funcionamiento de los sistemas faciales disponibles actualmente aún no se acercan a las tecnologías biométricas
más maduras, pero la tecnología facial tiene el atractivo de no necesitar contacto, y el potencial de proporcionar identificaciones de caras en la multitud
permitiendo identificar criminales conocidos o buscados. Esta última aplicación podría ser útil en casinos, centros comerciales, u otros lugares con alta
concentración de público. Esta tecnología se usa exitosamente en algunas situaciones, pero se ha eliminado después de varios años de resultados
desfavorables en otras aplicaciones. Se recomienda realizar exhaustivas pruebas en el mismo entorno donde se utilizará el dispositivo, antes de
implementarlo.

Otras Técnicas
La tecnología del Tecleo (forma de pulsar teclas o mecanografiar), aunque se ha desarrollado y comercializado fundamentalmente para el inicio de sesión
en las computadoras. Se han estudiado otras técnicas de verificación basándose en cosas tales como la forma de las orejas, la forma de caminar, el lecho
ungueal de las uñas, y el olor corporal, pero no ha habido muchos avances.

Debido a que la tecnología biométrica tiene algunos límites en términos de la imposibilidad de registrar a ciertas personas, se deben desarrollar
procedimientos para lidiar con estos eventos. Los ejemplos incluyen la piel muy seca o seriamente dañada, las firmas irrepetibles y los patrones del habla.
Además los usuarios autorizados ocasionalmente pueden sufrir lesiones como quebrarse dedos o manos, cirugías o lesiones en los ojos, u otras condiciones
médicas que podrían afectar temporalmente su capacidad para utilizar estos dispositivos biométricos. Para hacer frente a este problema, se podría necesitar
mayor tecnología o la intervención del oficial de seguridad. Jain, Bolle y Pankanti (1999) escribieron un estudio acucioso de las técnicas biométricas y sus
aplicaciones. Otros (Rejman-Greene, 1998), han analizado los dispositivos biométricos y sus consideraciones de seguridad.

8.1.6Control Secundario de Entrada del Personal

Cuando se utilizan las credenciales codificadas o las tecnologías biométricas para autorizar la entrada de personal a las habitaciones, se debe prever una vía
secundaria con una cerradura con llave. Esta vía secundaria es útil en caso de una falla de energía o del dispositivo. La posible vulnerabilidad introducida
con esta vía alternativa de acceso puede ser contrarrestada con el uso de un sensor en la puerta. Si la puerta es abierta, se registrará una alarma que puede
ser investigada. Esto sucederá si se utiliza una llave o si la cerradura se saca o se rompe. Para zonas o habitaciones donde existen muchas puertas de
entrada, sólo una puerta requiere ser equipada con la cerradura con llave.

8.2 DETECCIÓN DE CONTRABANDO

Cualquier elemento prohibido en un área es contrabando. La detección del contrabando generalmente se produce al entrar en una zona segura. Las armas no
autorizadas, explosivos y herramientas son contrabando, porque pueden ser usados para robar, para tener acceso a equipos vitales, o para dañarlos. Las
drogas, teléfonos móviles, radios, computadoras o archivos multimedia son algunos de los elementos que también podrían ser considerados contrabando en
una instalación. Cuando estos elementos son parte de la definición de la amenaza, todo el personal, materiales y vehículos deberían ser revisados para
detectar contrabando, antes de permitir su entrada. Los métodos para detectar armas, herramientas y explosivos se discuten en las siguientes secciones. Las
tecnologías discutidas incluyen: búsqueda manual para todas las amenazas; detectores de metal para armas, herramientas y componentes de bombas;
revisiones de paquetes (sistemas de rayos-X) para fabricación de armas, herramientas y componentes de bombas; y detectores de explosivos para cargas
explosivas a granel y trazas21 de residuos de explosivos. Además, hay una breve discusión sobre el rol de la detección de agentes químicos y biológicos en
la protección de las instalaciones.

REGISTRO MANUAL
8.2.1
La búsqueda manual no debe ser pasada por alto como método de detección del contrabando. Los encargados de revisar pueden ser muy efectivos si están
entrenados en forma adecuada para reconocer los elementos de amenaza y si permanecen atentos. Las ventajas de la revisión manual son el bajo costo de
inversión y la flexibilidad. Dos desventajas, en comparación con las tecnologías que se describen a continuación, son el lento rendimiento y los mayores
costos laborales.

8.2.2DETECTORES DE METAL
Un sistema que se emplea para la detección de metal es el magnetómetro. Este es un dispositivo pasivo que controla el campo magnético de la tierra y
detecta los cambios causados en el campo por la presencia de materiales ferromagnéticos. Este método detecta sólo materiales ferromagnéticos (aquellos
que son atraídos por un imán). No detecta materiales como el cobre, aluminio y zinc. Aunque la mayoría de las armas de fuego están hechas de acero, hay
otras que no, por lo tanto, no serán detectadas por el magnetómetro. A pesar que el magnetómetro no se ha utilizado para la detección de contrabando
durante muchos años, las investigaciones y el desarrollo han conducido a un moderno magnetómetro en los últimos años. Aunque el término magnetómetro
a menudo se utiliza para referirse a detectores de metales en general, este dispositivo difiere en gran medida de los detectores de metal activos modernos, y
no se recomienda su uso continuado.

La mayoría de los detectores de metal actualmente en uso para detectar contrabando que transporta el personal, generan un campo magnético variable por
un corto período. Estos dispositivos, detectan los cambios en el campo debido a la introducción de metal al campo, o detectan la presencia de corrientes
Eddy (inducidas) que existen en objetos metálicos provocados por un campo pulsado. La magnitud de la respuesta del detector de objetos metálicos se
determina por varios factores, incluyendo la conductividad del metal, las propiedades magnéticas del metal (permeabilidad relativa), la forma y tamaño del
objeto, y la orientación del objeto dentro del campo magnético.

En la actualidad, se pueden usar dos métodos para detectar metales activos: detectores de onda continua y de campo pulsado. Los detectores de onda
continua (no disponibles en el mercado) generan un campo magnético en estado estable dentro de una frecuencia de banda de 100Hz a 25kHz. Los
detectores de campo pulsado generan pulsos de frecuencia fija en un rango de 400 a 500 pulsos por segundo.

Una señal sinusoidal en estado estable se aplica a la bobina del transmisor situado a un costado del arco detector. Esta bobina produce un campo magnético
de baja resistencia. Las bobinas del receptor se montan en el lado opuesto del arco de manera que la persona sea revisada mientras pasa entre la bobina
transmisora y las receptoras. Las bobinas receptoras detectan la señal y la envían a un amplificador diferencial balanceado, el cual amplifica sólo la
diferencia entre las dos señales. Cuando no hay metal presente en el arco, no hay diferencia de señal en las entradas del amplificador diferencial, por lo
tanto, no hay señal de salida desde el amplificador. Cuando un objeto metálico entra en el arco, los cambios que produce en el campo magnético alteran el
equilibrio de las bobinas receptoras. El campo desbalanceado produce una diferencia en el amplificador diferencial provocando una señal de salida.
Entonces, la señal se amplifica más y se verifica en fase. Si la señal excede un umbral determinado, se genera una alarma. La detección de fase permite una
optimización de la detección, ya sea de metales ferromagnéticos (alta permeabilidad relativa) o no ferromagnéticos (baja permeabilidad relativa) .

La disposición de la bobina es similar a la del detector de metal de onda continua. La gran diferencia es que la bobina del receptor balanceado no se
necesita para operar el campo pulsado. Las múltiples bobinas transmisoras producen patrones de flujo del campo magnético que reducen los efectos de la
orientación del objeto en la respuesta del detector. Las bobinas transmisoras de baja inductancia son impulsadas con una serie de impulsos que producen
ráfagas cortas del campo magnético (tan cortas como 50 microsegundos), 200 a 400 veces por segundo. Durante el tiempo en que el campo magnético está
presente, los amplificadores del receptor se desconectan. Tras el final del impulso transmitido, los amplificadores del receptor se encienden durante un
periodo, generalmente, unas pocas decenas de milisegundos. Cuando no hay metal presente en el arco, la salida de los amplificadores del receptor es de
bajo nivel de ruido electromagnético de fondo. Cuando hay un objeto metálico presente en el arco, el colapso de los impulsos magnéticos inducen una
corriente Eddy en el metal. Esta corriente Eddy disminuye rápidamente como función de la resistividad del metal, pero persiste el tiempo suficiente para
estar presente cuando se encienden los amplificadores del receptor. Entonces, la señal se amplifica más y es detectada por la fase. Si la señal excede un
umbral determinado, se genera una alarma. La fase de detección permite nuevamente la optimización de la detección de metales ferromagnéticos y no
ferromagnéticos. La tecnología digital moderna permite un mayor análisis de la señal, resultando en una mejor discriminación entre los diferentes tipos de
metales y sus objetivos reales, y los objetos metálicos inofensivos que transportan las personas que están siendo revisadas.

Cuando se utiliza un detector de metales tipo pórtico, para detectar pequeñas cantidades de metal como el oro, la detección puede ser muy difícil. En el
caso de detectores de onda continua, el uso de una frecuencia más alta que la de costumbre mejorará la detección; en todos los casos se requerirá una
operación de alta sensibilidad. Debido a que esta operación de alta sensibilidad aumentará considerablemente la tasa de alarmas no deseadas, podría
necesitarse un área donde el personal se saque los zapatos con puntas de acero y cualquier otro objeto metálico de su cuerpo. Los detectores de metal de
mano pueden detectar muy pequeñas cantidades de metal y son más adecuados para la tarea de detección de objetos pequeños. La desventaja de los
detectores de metal de mano es que requieren la participación de guardias activos en el proceso de revisión y el tiempo que se necesita para llevar a cabo el
procedimiento. Los detectores de metal también pueden ser considerados intrusivos debido a la proximidad del detector frente a la persona que está siendo
chequeada. Esto puede ser especialmente intrusivo cuando el oficial que controla y la persona revisada son de sexo opuesto. En muchos sitios,
especialmente en los aeropuertos, hay oficiales de ambos sexos controlando, para contrarrestar esta preocupación.

Debido a que el campo magnético no se limita a la zona comprendida entre las bobinas, y a que los detectores de metal son sensibles al metal moviéndose
fuera de los límites físicos del detector, se debe tener cuidado en la decisión de la ubicación de los detectores. Cualquier objeto metálico en movimiento, ya
sea al frente o al lado del detector, tales como puertas, montacargas y carros, pueden provocar alarmas no deseadas. Los electromagnéticos transitorios,
como radio transmisores, fluctuaciones en la alimentación de energía y el parpadeo de la luz fluorescente, pueden causar alarmas no deseadas.

Los detectores de metal están diseñados para ser tolerantes a los metales inmóviles que haya a su alrededor. El reforzamiento de acero en los pisos y
paredes de concreto y otros materiales metálicos del edificio pueden ser tolerados hasta cierto grado; sin embargo, no se recomienda la instalación de un
detector de metal en un soporte o viga de acero. Grandes cantidades de metal podrían causar distorsiones graves en el campo magnético. En algunos casos
el detector no funcionará y puede generar una alarma de error; en otros casos el detector puede continuar funcionando, pero tiene áreas de extrema
sensibilidad, alta o baja. Estas distorsiones pueden conducir a la no consecución de objetivos o a una gran cantidad de alarmas no deseadas originadas por
elementos inocuos. Los objetos metálicos, tales como equipos de seguridad, contenedores de basura, sillas y otros, podrían no interferir completamente con
el detector de metal si se colocan cerca de él, pero pueden distorsionar el campo de detección. Por esta razón, algunas instalaciones instituyen la regla de no
mover estos objetos metálicos de las proximidades del detector, después de las pruebas de instalación.

8.2.3REVISIONES DE PAQUETES
Las revisiones de paquetes en búsqueda de contrabando puede ser realizada en forma manual o mediante una interrogación activa. Los métodos de
interrogación activa usados para detectar objetos de contrabando incluyen la familia de rayos-X: de transmisión de energía simple, de transmisión de
energía múltiple, de tomografía computarizada (CT de ahora en adelante, por sus siglas en inglés) y de retrodispersión. En general, estos métodos no son
seguros para ser usados en las personas, no obstante, la tecnología de retrodispersión de rayos-X será analizada en la siguiente sección. Las imágenes de
transmisión de energía simple se pueden utilizar para detectar objetos metálicos (por ejemplo, armas, herramientas, y componentes metálicos para bombas),
y las otras técnicas están diseñadas para imágenes de materiales de bajo número atómico. El número atómico (Z) es el número total de protones que tiene el
núcleo de un átomo. Ejemplos de material de contrabando de bajo-Z son los explosivos, las drogas y algunos alimentos. Los átomos de bajo-Z incluyen
hidrógeno, oxígeno, carbono y todos los elementos hasta el aluminio, que es el Z número 26.

Un sistema de revisión de paquetes de rayos-X convencional, de transmisión de energía simple, produce una imagen que es inspeccionada por un operador.
Esto es efectivo si el operador está alerta y muy bien entrenado, y cuando la imagen no es demasiado confusa. Los metales atenúan fuertemente los rayos-
X, no así el caso de los materiales menos densos y de bajo-Z. Los rayos-X convencionales no penetran los materiales pesados que a veces se usan en
contenedores para transporte y en los vehículos. Los rayos-X de energía alta o de energía múltiple se pueden usar para evaluar los contenedores más
grandes y densos y para los vehículos. Debido a que la mayor parte del desarrollo de los dispositivos de escaneo de bajo-Z se orienta a la detección de
explosivos, a continuación se discutirán en detalle estas tecnologías. A pesar que la discusión respecto de estos dispositivos se centra en la detección de
explosivos, muchas de estas tecnologías pueden servir también para la búsqueda de drogas.

Detección de Explosivos
Las tecnologías de detección de explosivos están divididas en métodos a granel y trazas. Esta división se basa en el objetivo de la tecnología macroscópica
(granel), en las cantidades de explosivos detonables, o en la de partículas y residuos de vapor (trazas) asociadas a la manipulación de explosivos. Las
tecnologías a granel tienen la ventaja de focalizarse en la amenaza específica de la cantidad de explosivos.

Las técnicas que se focalizan en el seguimiento de residuos pueden llevar a una pesquisa secundaria. Por lo general, las técnicas a granel utilizan radiación
ionizante, que no es adecuada para ser usada en las personas debido a consideraciones de salud. Los métodos de detección de explosivos a granel y de
trazas de explosivos se presentan en la siguiente sección. Las referencias sobre la detección de explosivos incluyen una excelente descripción de varias
tecnologías (Yinon, 1999), un estudio de los equipos disponibles en el mercado (Theisen et al.,2004), y un estudio de tecnologías de detección a distancia
(National Academy of Sciencies, 2004).

Detección de Explosivos a Granel

Las tecnologías de detección de explosivos a granel miden las características de los materiales a granel, y con ello detectan la presencia de explosivos.
Algunas de las características que se pueden medir son el coeficiente de absorción de rayos-X, el coeficiente de retrodispersión de rayos-X, la constante
dieléctrica, la interacción de gamma o neutrones, y las emisiones de microondas o infrarrojos. Un análisis más detallado de estos parámetros pueden llevar
a la masa calculada, densidad, contenido de nitrógeno, carbono y oxígeno, y el número atómico efectivo (Z efectivo). Aunque ninguna de estas
características son exclusivas de los explosivos, tienen la suficiente singularidad como para indicar una alta probabilidad de presencia de explosivos.
Afortunadamente, muchos materiales a granel que comparten similares características con los explosivos, no son comunes entre los objetos de uso
cotidiano. Algunos dispositivos de detección de materiales a granel son lo suficientemente sensibles (la cantidad mínima detectable es menor que la masa
de amenaza) y son lo suficientemente específicos (baja tasa de alarmas no deseadas) para permitir una detección de explosivos automatizada. La detección
automatizada proporciona ventajas significativas, incluyendo la reducción de los costos laborales y una menor dependencia de la interpretación humana de
las imágenes para la detección.

Las tecnologías de rayos-X están en un continuo crecimiento cada vez más sofisticado, y son ampliamente utilizados en muchas configuraciones, desde
imágenes de paquetes portátiles a sistemas muy grandes, capaces de tomar la imagen de un gran camión y su carga. Con el uso de tecnologías de
retrodispersión, las personas pueden ser escaneadas sin problemas para su salud, aunque las tecnologías de rayos-X son más comunes en la revisión de
paquetes. Estos dispositivos generalmente sirven a un doble propósito. El paquete que se está revisando en búsqueda de armas u otro tipo de contrabando,
es analizado simultáneamente para detectar la presencia de explosivos.

Los escáneres de rayos-X de transmisión de energía simple no proveen de suficiente información para la búsqueda de explosivos, por lo que se necesita
otro método para extraer más información. La tecnología de energía dual mide el coeficiente de absorción de masa y permite aproximarse efectivamente al
número Z. La imagen mostrada puede ser resaltada usando colores para llamar la atención del operador en las áreas de la imagen con un número Z menor,
que coincida con los explosivos. La tecnología de retrodispersión puede tomar una imagen de un Z bajo, utilizando la cantidad relativamente grande de
energía de rayos-X dispersada de vuelta en la dirección de la fuente por materiales de Z bajo. Estas áreas aparecen brillantes en la imagen de
retrodispersión, llamando la atención del operador.

La tomografía computarizada (TC) es una tecnología automatizada para la detección de explosivos que provee detección de masas de pequeña amenaza. La
fuente de rayos-X y los detectores son montados en un pórtico que gira alrededor del paquete, obteniendo imágenes del contenido desde muchos ángulos
diferentes. La computadora usa los datos para construir una representación tridimensional del contenido. Los escáneres TC son la única forma de rayos-X
que puede extraer la suficiente información para calcular la masa del material, la densidad y el coeficiente de absorción de masa. Esta información extraída
puede ser usada para la detección automatizada de materiales que podrían constituir una amenaza. Comparado con los dispositivos de transmisión de rayos-
X simple, los dispositivos de CT tienen costos de adquisición y mantención significativamente más altos debido al pesado pórtico giratorio. La TC también
sufre de tasas relativamente altas de alarmas no deseadas (hasta 20%), comparado con las tecnologías de seguimiento de trazas, principalmente de
alimentos y algunos polímeros.

Para la búsqueda en vehículos y contendedores de cargas, hay disponibles dispositivos de rayos-X de alta energía. A menudo, estos dispositivos son
grandes y se instalan en lugares fijos, incluso en sus propios edificios, para la revisión de los envíos de cargas comerciales. La iluminación de alta energía
es muy penetrante, permitiendo una imagen razonable que se produce a través del compartimiento del motor o de un remolque lleno de un camión
comercial. El método para producir la luz de alta energía es inmaterial. Los dispositivos de rayos gamma que usan fuentes radioactivas en lugar de un tubo
de rayos-X, también se utilizan para este propósito. La tecnología de rayos-X de retrodispersión se puede combinar con tecnología de alta energía para
proporcionar una detección de Z bajo.

Los dispositivos de rayos-X de retrodispersión de bajas dosis pueden examinar de manera saludable a las personas en búsqueda de elementos ocultos,
obteniendo una imagen del cuerpo bajo la ropa. Una persona que pasa por la cabina del escáner debe analizarse dos veces, por delante y por detrás, para
garantizar que la persona no secreta explosivos. La dosis de radiación de una persona que está siendo escaneada es de aproximadamente 10 milirem. Esta
dosis baja cumple con los requerimientos de la NRC que estipula que el personal no debe recibir una dosis de radiación superior a 100 milirem/año (10
CFR parte 20, sección 20.1301 (a) (1), 1991). La exposición a la radiación debe ser siempre lo más baja posible (10 CFR Parte 20, Sección 20.1301 (d) (3),
1991).

Las tecnologías nucleares interrogan a un vehículo (o paquete) utilizando rayos gamma o neutrones. Los dispositivos de rayos gamma son similares a los
dispositivos de rayos-X de alta energía mencionados anteriormente. Los dispositivos de activación con neutrones térmicos (TNA de ahora en adelante, por
sus siglas en inglés) determinan el contenido de nitrógeno de un material. Un neutrón térmico (energía baja o lenta) es absorbido por el núcleo del
nitrógeno-14, produciendo nitrógeno-15 en estado excitado. Este átomo excitado irradia un rayo gamma de una longitud de onda específica, y la detección
de este rayo gamma específico es una evidencia de contenido de nitrógeno. Debido a que muchos explosivos son ricos en nitrógeno, estos dispositivos
pueden detectar su presencia automáticamente. Tanto los rayos gamma como los neutrones son muy penetrantes, lo que los hace apropiados para la
búsqueda en elementos grandes y densos. La absorción de neutrones pulsados rápidos (PFNA de ahora en adelante, por sus siglas en inglés) puede
determinar el contenido de oxígeno y carbono. Aquí, “rápidos” significa alta energía (muchos MeV). Las leyes internacionales prohíben la irradiación de
alimentos con energías superiores a 10mili-electrón-voltio (MeV) debido a la preocupación de transformar el alimento en radioactivo, por lo tanto, es un
potencial riesgo si un sistema de más de 10MeV se utiliza para escanear envíos de alimentos. Cuando un dispositivo PFNA se combina con TNA, también
puede medir el contenido de nitrógeno. En teoría, la medición de contenido de carbono, nitrógeno y oxígeno permite una identificación más específica de
explosivos y un mejor rechazo a los materiales no deseados (que pueden ser ricos en nitrógeno). Los mayores inconvenientes de estos dispositivos son sus
costos (para vehículos, US$ 500,000 y más, aunque el TNA es más barato), el tamaño, y el uso de materiales radioactivos en la fuente de neutrón o tubo
generador de neutrón. Algunos sistemas TNA para búsqueda de paquetes pequeños (menos de 100 lb (45 kg)) se encuentran disponibles en el mercado.

La tecnología de la resonancia cuadrupolar (QR de ahora en adelante, por sus siglas en inglés) es un tipo de tecnología prometedora que usa ondas de radio
pulsadas de baja energía para determinar la presencia de materiales ricos en nitrógeno. La QR es muy sensible a algunos explosivos (detecta masas de
pequeña amenaza). El contrabando puede ser ocultado de la interrogación de radio con una cubierta delgada de metal, el dispositivo puede detectar la
presencia de esta cubierta y advertir al operador. El escáner QR es compacto, relativamente de bajo costo (cerca de USD 100,000) y no somete el paquete a
radiación ionizante. Los sistemas QR portátiles se encuentran en desarrollo y pueden ser una herramienta muy útil en la revisión manual de personas en
busca de explosivos.

El análisis Raman usa un láser para interrogar, seguido de un análisis del espectro de luz dispersada, para identificar los materiales. Los sistemas portátiles
y livianos han sido desarrollados para detección de materiales peligrosos, incluyendo los explosivos. Un láser puede brillar a través de algunos
contenedores (como el vidrio) o directamente en la superficie del material sospechoso. Se requiere pequeñas, pero visibles cantidades de material para la
detección. Con su configuración actual, esta nueva tecnología podría ser utilizada para revisar botellas o bolsas de plástico, pero no es apropiada para la
búsqueda en paquetes.

La tecnología de detección de explosivos alejados tiene una gran demanda debido a la necesidad de detectar artefactos explosivos a una distancia segura.
Pero, actualmente la detección a distancia sigue siendo un área de mucha investigación y de pocos productos en el mercado, lo cual cobra mucha validez en
la detección de ataques suicidas con bombas y de vehículos bomba grandes. Las cámaras infrarrojas pueden utilizarse para captar personas con objetos
ocultos que podrían ser explosivos. Existen sistemas de escáner pasivo y activo de onda milimétrica (aproximadamente 100 GHz, a veces llamado terahertz
o THz) que funcionan como sistemas infrarrojos, pero en una parte diferente del espectro de frecuencia. Los métodos láser que buscan la característica
fluorescente o la emisión atómica, son otro ejemplo de técnicas aún en desarrollo. La detección de explosivos a distancia es un reto difícil. Los proveedores
reclaman que los dispositivos de detección a distancia (standoff detection) deberían ser investigados para verificar su funcionamiento frente a la amenaza
definida en un entorno previsto.

Todas las tecnologías de detección de explosivos a granel tienen fortalezas y debilidades. Un buen sistema de detección a granel podría consistir en una
combinación de dos o más tecnologías. Si se recopila suficiente información de algún material sospechoso a través de la combinación, podría efectuarse
una determinación real de presencia de explosivos.

Detección de Restos de Explosivos

El uso de detectores de trazas de explosivos se ha convertido en algo común en los puntos de control de detección en la última década. Los restos de
vapores y de partículas microscópicas se asocian con explosivos y con su manipulación. Las tecnologías de detección de trazas de explosivos incluyen la
espectrometría de movilidad de iones, colorimetría, quimioluminiscencia, espectrometría de masas, fluorescencia y olfato canino. Las mediciones de
desempeño claves para los detectores de trazas incluyen el límite de detección (la cantidad mínima detectable) y la selectividad (capacidad para distinguir
un material de otro). Muchos detectores de trazas son increíblemente sensibles, detectando menos de un nanogramo. No obstante, las aseveraciones de los
proveedores, en relación al funcionamiento del detector, debiesen ser verificadas antes de la adquisición. Una efectiva detección de trazas de explosivos
lleva al operador del detector a buscar más allá de los materiales de la definición de amenaza.

La toma de muestras es una parte clave en la detección efectiva de trazas, porque se deben recolectar las trazas de los residuos y luego pasarlos a un
detector para su análisis. La toma de muestras al pasar, donde una esponja de tela frota el objeto (por ejemplo, persona, paquete, o vehículo), es el método
más eficiente para reunir partículas de residuos de superficies duras y produce una buena cantidad para el análisis. La muestra recogida en la esponja se
evapora por el calor y se dirige al detector. La muestra de vapor, de donde se obtiene el aire que está próximo a ella (con cierta agitación), es la más
eficiente para obtener muestras del interior de los contenedores o de superficies suaves. Debido a que no es necesario tocar el objeto, la muestra de vapor es
menos invasiva que la muestra de la esponja.

El desafío que supone la detección de trazas de explosivos de vapores es evidente después de examinar las bajas concentraciones de vapor de varios altos
explosivos comunes. Los rangos de concentración típicos son de partes-por billón22 o partes-por-trillón, con mayores reducciones de las presiones de
vapores encontrados cuando el explosivo constituyente está empaquetado en un gel a base de aceite o disolvente (por ejemplo, RDX en explosivo plástico
C-4). Las moléculas explosivas también se absorben rápidamente sobre la mayoría de los materiales a temperatura ambiente, y se descomponen por
calentamiento moderado o por la exposición a dosis grandes de energía; por lo tanto, el transporte y recolección de moléculas explosivas de vapor se logra
sólo a expensas de una significativa pérdida de muestras.

En un Espectrómetro de Movilidad Iónica (IMS de ahora en adelante, por sus siglas en inglés), las moléculas de analito de una muestra de aire son
ionizadas negativamente usando una fuente radioactiva de Ni-63 y cloruro dopado, luego pasan a una celda de deriva a través de una rendija de entrada,
que se abre periódicamente (cada 20 milisegundos aproximadamente). Dentro de la región de deriva, las especies ionizadas mueven hacia abajo una
gradiente de campo eléctrico contra el flujo de un gas inerte. Los iones se separan por la movilidad, con el peso liviano de las especies y sus pequeñas
secciones transversales avanzan más rápidamente que las especies de mayor tamaño. Al final de la región de deriva, los iones impactan la placa de Faraday
que registra la salida de voltaje en función del tiempo de deriva del ion. Una celda de deriva de IMS típica es de unos 5cm de longitud con una gradiente de
campo eléctrico de 200 V/cm. Bajo estas condiciones, los tiempos de deriva de las moléculas explosivas van de 5 a 15 milisegundos. Mientras que los altos
explosivos comunes forman iones negativos, algunas de las nuevas amenazas de explosivos como el triperóxido de triacetona (TATP de ahora en adelante,
por sus siglas en inglés) también forman iones positivos.

Los instrumentos IMS con la capacidad de análisis de iones tanto positivos como negativos se encuentran ahora disponibles en el mercado.

Los detectores basados en IMS proporcionan alta sensibilidad (cantidad en nanogramos) a la dinamita, TNT militar y compuestos de explosivos plásticos, a
un costo de USD 40.000 para los modelos de sobremesa, o USD 25.000 para las unidades portátiles. La combinación de ionización selectiva y el tiempo de
vuelo de separación que alcanza en la región de deriva provee suficiente especificidad para ser aplicada en detección. Las tasas de interferencias y de
alarmas no deseadas son bajas en este campo, con algunas excepciones tales como los compuestos usados como aromas en lociones y perfumes. Las
ventajas de un IMS son la sensibilidad, fácil operación, robustez del instrumento y baja mantención. Aunque su costo de adquisición sea inferior, los
detectores portátiles tienen requisitos de mantención más altos y necesitan corriente alterna para operar después de algunas horas.

Varios proveedores ofrecen tecnologías donde el cambio de color es la evidencia de presencia de explosivos. Generalmente, estos equipos tienen algunos
materiales como un spray, papel de prueba o ampolla que se consume durante la prueba. Las reacciones químicas producen los cambios de color. Con
frecuencia, se utilizan varias soluciones en secuencia para determinar qué explosivo está presente (si hay uno). La gran ventaja de este método es el bajo
costo y su portabilidad. Las desventajas incluyen una alta tasa de alarmas no deseadas y la eliminación de productos químicos consumibles. Algunos tienen
un fuerte olor.

Los detectores de quimioluminiscencia utilizan detección fotoquímica. Se toma la muestra de vapor y se separa en sus componentes por medio de un
cromatógrafo de gases rápido. Luego, la muestra es calentada de modo que cualquier componente de nitrógeno presente se descompondrá para formar
óxido de nitrógeno (NO). La reacción de NO con ozono forma un estado excitado de dióxido de nitrógeno (NO2), el cual emite fotones que pueden ser
detectados utilizando un fototubo. La combinación de la fotoemisión y la cromatografía permiten la identificación de los componentes explosivos basados
en nitro. Sin la etapa de la cromatografía de gases, sólo se podría saber que estuvo presente un material con nitrógeno. Con la separación cromatográfica, es
posible la identificación de varios explosivos en una sola muestra en menos de un minuto.

Los detectores de quimioluminiscencia tienen excelente sensibilidad (cantidad de picogramos) para altos explosivos, incluyendo componentes de muy baja
presión de vapor, como RDX y PETN. Sin embargo, los instrumentos de quimioluminiscencia son también los más caros de los detectores en el mercado,
tienen un tiempo de análisis más largo y requieren más mantención que otros detectores de trazas.

Es posible colocar otro detector después de la etapa de la cromatografía, por ejemplo, un detector de captura de electrones. Estos detectores de captura de
electrones (ECD de ahora en adelante, por sus siglas en inglés), aprovechan la alta electroafinidad de los componentes de nitro para identificar las trazas
explosivas en una muestra de vapor. La tecnología de captura de electrones por sí sola no puede determinar el explosivo específico detectado, pero a través
de la combinación de ECD con otra tecnología como la cromatografía de gases (GC de ahora en adelante, por sus siglas en inglés), sí puede ser identificado
el tipo de explosivo. GC/ECD es más utilizada para análisis de laboratorio que para escaneo rutinario en los puntos de control. Las ventajas de GC/ECD
son el bajo costo, buena especificidad y bajos límites de detección. Las desventajas son los largos tiempos de análisis (generalmente minutos) y
mantenimiento frecuente de la columna GC.

En la espectrometría de masa, los iones son procesados en campos magnéticos y eléctricos para determinar su relación masa/carga. La espectrometría de
masa cuadrupolar y el tiempo de vuelo de trampa del ion cuadrupolar son dos ejemplos de este método. Existe una amplia variedad de configuraciones de
espectrómetros de masa.

En un espectrómetro de masa cuadrupolo, la muestra de moléculas son ionizadas negativamente con una descarga eléctrica, aceleradas en un campo
eléctrico y luego centralizadas en un detector de iones con el campo magnético de un cuadrupolo. Números de masa seleccionados, característicos de los
explosivos, pueden ser monitoreados individualmente o un rango escaneado continuamente. Se puede determinar la masa del ion padre y el fragmento
característico o ion hija. Las alarmas se producen cuando se excede un umbral de corriente para un número de masa o una combinación de números de
masa.

Una trampa de iones cuadrupolo, o tiempo de vuelo del espectrómetro de masa captura iones en la trampa, donde ellos orbitan. Periódicamente la trampa se
vacía y se mide el tiempo que demoran los iones en viajar al detector. El tiempo de vuelo depende de la raíz cuadrada de la masa del ion (energía cinética).
El IMS es similar a la espectrometría de masa de tiempo de vuelo, excepto que el IMS ocurre a presión atmosférica y la espectrometría de masa se produce
bajo condiciones de vacío. Las alarmas se producen en el espectro de masa de la misma manera descrita más arriba.

La espectrometría de masa es el estándar de oro del laboratorio de la química analítica. Las ventajas de la espectrometría de masa son la especificidad y los
límites de detección bajos. Estos dispositivos pueden ser fácilmente reprogramados para detectar analitos adicionales, una característica deseable en un
mundo de amenazas en constante evolución. Sin embargo, los altos costos, los requisitos de alto mantenimiento y la necesidad de operadores expertos han
demorado la utilización de los espectrómetros de masa para la detección rutinaria. Los instrumentos recién desarrollados se ajustan mejor a la detección de
explosivos en los puntos de control, y las mejoras continúan.

La amplificación de polímeros fluorescentes puede cambiar su fluorescencia en presencia de algunos explosivos. Los sistemas han sido desarrollados con
una fluorescencia que se extingue en la presencia de una molécula de explosivo como TNT. La molécula de TNT extingue la fluorescencia de todos los
monómeros (miles de ellos por molécula), amplificando así el efecto muchas veces. La detección sumamente sensible de bajos picogramos a cantidades de
femtogramos es posible. Los polímeros están cubiertos en un tubo capilar y ubicado junto al tubo fotomultiplicador. Los vapores son atraídos a través del
tubo, y los cambios en la fluorescencia por encima de un umbral produce una alarma. Las ventajas de estos sistemas son su pequeño tamaño, bajo costo y
alta sensibilidad. No todos los explosivos producirán una respuesta con los polímeros existentes; la investigación para desarrollar recubrimientos para más
explosivos está en proceso.

El olfato canino se utiliza mucho en la policía y el ejército para localizar explosivos y drogas ocultas. Cuando es necesaria la movilidad, como la búsqueda
en edificios o la capacidad de cambiar la detección rápidamente, los canes son excelentes. La detección la realiza actualmente el controlador quién observa
el comportamiento del perro. Los canes y sus controladores requieren un constante reentrenamiento para identificar compuestos sintéticos, tales como
explosivos. Por otra parte, la fiabilidad de la inspección canina está sujeta a la vigilancia y la habilidad del controlador y a la salud y disposición del perro.
Los equipos caninos también requieren descansos frecuentes, lo que puede crear la necesidad de tener varios equipos. Mientras el costo de adquisición es
bajo, la labor del controlador es un costo recurrente. Como resultado, el uso de caninos es menos común en los puestos de control fijos, donde los
detectores de explosivos comerciales están ganando mayor aceptación como método preferido para la detección.

Los portales detectores de trazas de explosivos se han desarrollado en la última década, y ahora están en muchos aeropuertos. Un portal de detección de
trazas recoge muestras de partículas y de vapor de una persona después de agitar la ropa de la persona con pequeñas ráfagas de aire. Estos impulsos de aire
ayudan a desprender los residuos de explosivos, mientras se filtra el aire que rodea a la persona. El filtro recoge los vapores explosivos y las partículas por
varios segundos, y luego el filtro se calienta para remover todo los explosivos recogidos y enviarlos a un detector de trazas (espectrómetro de movilidad de
iones o espectrómetro de masas). La duración de escaneo oscila entre los 10 a 25 segundos. Las ventajas incluyen la detección automática, alta sensibilidad
(nanogramos) y una detección que no es invasiva para la persona. Las desventajas son el tamaño, costo (aproximadamente USD 150,000) y la mantención.
Con fines de comparación, es factible la toma de muestra en una persona al pasar, pero es considerada invasiva y requiere más de un minuto por persona.
Está disponible un resumen (Theisen, 2004) de muchos detectores de explosivos comerciales. Los detectores de trazas de explosivos comerciales deben ser
cuidadosamente seleccionados para satisfacer las necesidades de cada instalación. Las solicitudes a los proveedores siempre deben ser verificadas con
pruebas en el entorno operativo apropiado. La sensibilidad, resistencia a alarmas no deseadas, tiempo de respuesta, costos de operación y mantención, y la
lista de materiales explosivos en la definición de la amenaza, son factores a considerar al seleccionar un detector.

Detección de Agentes Químicos y Biológicos

La detección de agentes químicos y biológicos normalmente se realiza con sensores de punto, buscando evidencias de un ataque en el perímetro del lugar.
En el caso de ataque con agentes químicos, un adversario puede atacar sorpresivamente con grandes concentraciones (y por lo tanto rápidamente letal) y el
objetivo del sistema de seguridad es la alerta temprana para lograr la interrupción y neutralización del adversario. Con este propósito, se han desarrollado a
lo largo del siglo pasado los detectores químicos militares y ambientales (trazas). Podrían ser necesarias algunas modificaciones si se requiere un
funcionamiento continuo durante períodos de tiempo prolongados. Debe ponerse una cuidadosa atención respecto a las alarmas no deseadas. Debido a que
la respuesta a un ataque químico debe ser rápida y total, las alarmas no deseadas o los simulacros pueden no ser bien tolerados por los sujetos encargados
de responder. Los detectores químicos normalmente prueban el aire en varios partes del perímetro y pueden no ser apropiados para su uso en los puestos de
control. Algunos sensores químicos utilizan métodos ópticos para lograr la detección a distancia (standoff) .

La detección de agentes biológicos difiere de la detección química en dos formas. Primero, la mayoría de los agentes biológicos no son inmediatamente
letales, por lo que el tiempo de respuesta puede no ser tan crítico como para los ataques químicos. Segundo, los métodos de detección generalmente
incluyen un filtrado del aire por varias horas y luego el análisis del filtro (varias horas más). Como resultado de esta demora, puede ser difícil detectar los
agentes biológicos a tiempo para prevenir la exposición; sin embargo, una vez que se ha identificado el agente, cualquier persona que se ha expuesto puede
ser tratada. Como consecuencia de esta limitación, la detección biológica es un área de investigación muy activa actualmente. Otros materiales que cruzan
el perímetro del lugar, tales como agua (lluvia, arroyos, agua potable) y aire (polen, contaminantes) también pueden ser monitoreados, pero estos
generalmente son considerados como parte del control ambiental, no de la detección de contrabando.

8.3 CERRADURAS
Las cerraduras son elementos importantes en el sistema de control de entrada de una instalación, ya que aseguran las partes móviles de las barreras. Sin
embargo, las cerraduras generalmente no deberían tomarse como el único medio de protección física para la áreas importantes de una instalación. Debido a
que un individuo con suficiente habilidad y tiempo puede violar las cerraduras, deberían ser usadas junto con medidas de protección complementarias, tales
como sensores y controles periódicos de un vigilante.

La cerradura es el método de control de acceso físico más utilizado. Las cerraduras se usan en casas, vehículos, oficinas, hoteles, cajas de seguridad,
escritorios, armarios, archivos, maletines, vitrinas y cajas de joyas. Las cerraduras están entre los dispositivos de seguridad más antiguos y han acumulado
un montón de jerga técnica para definir el arte de la cerrajería.

Las cerraduras se pueden dividir en dos grandes clases: 1) aquellas que operan con principios netamente mecánicos; y 2) aquellas que son eléctricas y
combinan la energía eléctrica con la operación mecánica, y se asocian generalmente con los sistemas de control de acceso automatizados.

CERRADURAS MECÁNICAS
8.3.1
La cerradura mecánica usa una configuración de barrera de partes físicas para prevenir la apertura de un cerrojo o pestillo. En este tipo de cerradura el
conjunto de componentes funcionales son:

• El cerrojo o pestillo que en realidad sostiene la parte móvil (puerta, ventana, etc.) a la parte inmóvil (bastidor, marco, etc.).
• La contrachapa o cerradero en el cual el pestillo o cerrojo encaja. El cerradero no es una parte integral del mecanismo de cerraduras, pero provee una
carcasa segura para el cerrojo cuando está en posición cerrada.
• Tambor o cilindro que constituye la barrera o laberinto que se debe pasar para mover el cerrojo; y
• La llave o dispositivo de desbloqueo, que está diseñado específicamente para pasar la barrera y operar el cerrojo

En la mayoría de las cerraduras mecánicas, el cerrojo y la barrera van situados en el hardware instalado permanentemente; la llave o dispositivo de
desbloqueo está separada. Sin embargo, en algunas cerraduras mecánicas que usan dispositivos físicos lógicos, la cerradura entera es un conjunto único.
Ejemplos de éstas incluyen las cerraduras con teclados digitales integrados que liberan mecánicamente el cerrojo si se ingresa la secuencia correcta y la
cerradura de combinación tipo dial.

Tipos Principales
Los principales tipos de cerraduras mecánicas son los siguientes:
• Cerradura de Guarda (Warded): La cerradura mecánica de más larga data y la primera en ser desarrollada es la cerradura Warded. La cerradura es
ejemplificada por una ranura de llave abierta que permite la visión y por la llave larga de tipo barril. En la ilustración, se muestran seis diferentes
llaves más una llave maestra o skeleton que abre las seis cerraduras. Aún se pueden encontrar en casas viejas, casas de campo y albergues antiguos,
la cerradura de guarda es un dispositivo muy simple.
Las mayores debilidades de este tipo de cerradura son su vulnerabilidad a la manipulación del resorte por cualquier llave que no es detenida por las
guardas y la corrosión debido a la intemperie y la edad. Un programa de cerraduras moderno y bien planificado, no incluye las cerraduras de guarda.
En cualquier instalación donde ya existan numerosas cerraduras de guarda, se recomienda su sustitución gradual o agregar otras cerraduras.
• Cerradura de Palanca (Lever): Una significativa mejora en las cerraduras después de la cerradura de guarda se produjo en el siglo XVIII con la
perfección del principio de la palanca. (La cerradura de palanca no debe confundirse con la manilla de palanca de un juego de cerradura). Los
 tambores de palanca son piezas planas de metal sujetas a un pivote común y permanecen en su sitio dentro de la caja de la cerradura por la tensión
del alambre de resorte. Cada palanca se corta en el borde opuesto del pivote para dar cabida a una oreja o apéndice unido al cerrojo, diseñado como
una valla. Cuando todas las palancas están en posición, de modo que la valla se deslice hacia los espacios cortados en las palancas, se puede retirar el
cerrojo.

La cerradura de palanca ofrece más seguridad que la cerradura de guarda. Por otra parte, colocando dos o más cortes de valla en cada tambor de
palanca, es posible que dos o más llaves, cortadas en diferentes dimensiones, puedan operar la cerradura. Esto permite la existencia de llave maestra,
que se discutirá más adelante en este capítulo.

La cerradura de palanca encuentra aplicación hoy en situaciones tan diversas como escritorios y armarios de vestuario, cajas de seguridad de bancos
y cajas de correos en Estados Unidos. Aunque la cerradura de palanca es intrínsecamente susceptible a ser retirada, puede ser diseñada para
proporcionar un alto grado de seguridad a través de la resistencia a su retiro.

• Cerradura de Tambor de Pines. El más importante desarrollo en la historia de las cerraduras mecánicas a la fecha, ha sido la invención de los
tambores de pines en el siglo XIX por Linus Yale, un americano que también desarrolló la cerradura de combinación tipo dial. El tambor de pines es
probablemente la cerradura más usada en Estados Unidos para aplicaciones en puertas de edificios tanto exterior como interior. Un número de
afinamientos muy útiles se han añadido al tambor de pines básico en los últimos años, por lo que ahora se puede lograr en muchos modelos de
cerraduras un nivel muy alto de seguridad.

El tambor de pines consiste en los mismos elementos básicos de todas las cerraduras mecánicas: el dispositivo de movimiento del cerrojo, el
laberinto o dédalo y la ranura. La diferencia está en el laberinto o segmento de obstáculo.

Un cilindro convencional siempre tiene sus pines equidistantes en una sola fila. Cuando se utiliza la llave maestra, se introducen los pines, y el
número de cambios de la llave se reduce considerablemente. Los cilindros convencionales generalmente contienen solo cinco, seis o siete pines.

En un cilindro de alta seguridad, los pines y el conductor están entrelazados de tal manera que el movimiento aleatorio de los pines mediante
ganzúas o llaves no codificadas específicamente para la cerradura no alinearán los pines y los controladores correctamente. En este tipo de cerradura,
las llaves son cortadas en ángulos precisos, así como en profundidad, de modo que cuando se inserte la llave elevará el tambor del controlador y los
pines a una línea de corte y, al mismo tiempo, girará cada pin de modo que el mecanismo de entrelazado se posicione para pasar a través de una
ranura especial en la base de la clavija, de esta manera permite que toda la clavija gire lo suficiente para mover el cerrojo. Una variante de este
principio se encuentra en el cilindro de alta seguridad Medeco. En la cerradura Medeco, en lugar de estrías en el fondo de la clavija, a través de la
cual pasa la función de entrelazado de los pines, una barra lateral es movida dentro de un recorte de la carcasa en el cilindro, o retirada en las ranuras
en los pines. En ambos tipos de cerraduras de alta seguridad, las llaves son cortadas en ángulos específicos, haciendo muy difícil la duplicación de las
llaves, excepto por equipos especiales utilizados por el fabricante.

• Cerradura de tambor de oblea. Con un desarrollo bastante tardío, la cerradura de tambor de oblea, utiliza tambores planos de metal u otro material
para enlazar la clavija a la carcasa. Sus diseños permiten una llave maestra. Además, las cerraduras de tambor de oblea pueden ser diseñadas para
llaves de doble paletón.

• Cerradura de combinación de disco. Las cerraduras de combinación, mientras no empleen una llave, se asemejan a las cerraduras de tambor de
palanca en muchos aspectos. Ellas operan alineando las salidas en los tambores para permitir la inserción de una valla en el cerrojo. Sin embargo, los
tambores son completamente circulares e interdependientes; es decir, el movimiento de uno mueve los otros. Esto hace que el orden de movimiento
sea importante, y es porque estas son verdaderas cerraduras de combinación en lugar de cerraduras de permutación.

Con las cerraduras de combinación, el número teórico máximo de combinaciones es el número base de posiciones de cada tambor (generalmente 100
en una cerradura de buena calidad), elevado a la potencia del número de tambores. Por lo tanto, una cerradura de combinación de cuatro tambores,
cada uno de cuyos tambores tiene 100 números de posiciones de disco, tendría un máximo teórico de 1004 o 100.000.000 cambios.

Las cerraduras de combinación electrónica se han desarrollado en reemplazo de las cerraduras de combinación de discos en cajas fuerte y gabinetes
de documentos de seguridad. Estos dispositivos son accionados por el usuario girando el disco; el número de combinaciones se muestran a través de
un LCD en lugar de graduaciones en el disco. La pantalla sólo es visible desde un ángulo limitado y el número que está siendo marcado no guarda
directa relación con la posición del disco mecánico. Las características adicionales incluyen un tiempo de espera de un número específico de
segundos entre cada número marcado, y una regla de dos-personas cuando deban ser marcados dos números antes de que la cerradura se abra. Como
se le asigna un número individual a cada usuario, hay disponible un registro de auditoría de cuáles fueron las combinaciones usadas para abrirla y
cuando fue abierta. La cerradura puede memorizar el número de intentos fallidos de apertura. Debido a la precisión electrónica del sistema, no hay
reducción en el número de combinaciones debido a la falta de disponibilidad de números adyacentes. Estas cerraduras parecen ser inmunes a todos
los típicos modos de derrota de una cerradura de combinación mecánica regular, así como de los ataques eléctricos y magnéticos.

Llave Maestra
El principio de la llave maestra es que una sola cerradura puede ser operada por más de una llave mediante el diseño de varias llaves diferentes, para
acoplar o trabajar en diferentes tambores o diferentes aspectos de los mismos tambores. La llave maestra se utiliza para proveer una jerarquía de acceso a
grupos de cerraduras, desde el acceso a una sola cerradura a través del acceso a grupos cada vez más grandes de cerraduras, y finalmente, para acceder a
todas las cerraduras en la población. La llave maestra es defendida y apoyada sobre la teoría de que en grandes programas de bloqueo, que implican cientos
o miles de cerraduras individuales, sería totalmente impracticable requerir a aquellas personas con exigencias de acceso amplias o variables, tener una llave
separada para cada cerradura. Así, las agrupaciones maestras se desarrollan de modo que una sola llave abre todas las cerraduras de ese grupo.
Tres grandes dificultades en materia de seguridad se presenta debido a la técnica de la llave maestra y que deben equilibrarse con la supuesta comodidad de
contar con la llave maestra.

Primero, la obligación de rendir cuentas respecto de la llave maestra debe ser efectiva. La pérdida, el compromiso o el uso no autorizado de este tipo de
llave deja expuestas todas las cerraduras del grupo. El acceso restringido al armario de llaves y a los software que se ejecutan en las computadoras
personales son productos que pueden ayudar al profesional de la seguridad en el logro de una adecuada rendición de cuentas de la llave.

Segundo, en cualquier manipulación de la cerradura, se presentan posiciones adicionales o posibilidades para la apertura subrepticia debido a la creación de
múltiples líneas de corte o aperturas de puertas.

Tercero, en cerraduras de cilindro, las piezas adicionales que requiere el núcleo de la cerradura crean la necesidad de una mantención adicional. Algunos
tipos de cerraduras mecánicas de llave maestra, es frecuente que se atasquen o se peguen, debido a que los elementos de la llave maestra adicional, a
menudo muy frágiles, se desencajan o se rompen y necesitan un desmontaje mecánico y la extracción de la cerradura involucrada.

Vulnerabilidades de Seguridad de las Cerraduras Mecánicas

Las cerraduras mecánicas están sujetas a una variedad de ataques que pueden derivar en un fallo o compromiso. Algunos tipos de ataques requieren un alto
nivel de destreza, mientras que otros casi son invitados por la simple apariencia de la cerradura.

• Ataque por la fuerza: por ejemplo, separación de la puerta o del elemento móvil del marco o del elemento fijo; sacando la cerradura de su carcasa y
exponiendo el cerrojo a la manipulación manual, o rompiendo el tambor de pines para que pueda girar la clavija libremente.
• Ataque subrepticio: por ejemplo, abriéndolos con diferentes herramientas
• Ataque por toma de impresiones y llaves de “intento”: Si una llave en blanco diseñada para una ranura en particular, puede ser introducida en la
cerradura antes de que se haya realizado cualquier corte, sería posible, aplicando presión de torneado, hacer marcas tenues en la llave en blanco. Las
“llaves de intento” o “llave cascabel” como se les llama a veces, son llaves en blanco que se ajustan correctamente a una ranura en particular y que
contienen muescas al azar. La inserción en la ranura y los movimientos giro/rastrillo combinados puede hacer que la cerradura se abra.

Cambio de las Cerraduras Mecánicas

De vez en cuando, un sistema de cerraduras instalado requiere cambios en la disposición del tambor debido a que los cambios de personal autorizado
comprometen el sistema; a la pérdida o falta de responsabilidad de las llaves o a los grandes cambios en la tenencia de ellas. Hay varias formas en que se
puede llevar a cabo el cambio del tambor o el efecto equivalente. Uno es la simple reubicación de la cerradura.

Las cerraduras de puertas pueden ser rotadas entre las puertas, las cerraduras de armarios entre armarios, y así sucesivamente. Para beneficiar la seguridad
utilizando la simple reubicación, no debe haber ninguna identificación en la cerradura que permita a un ex titular de la llave (tal vez aún con la llave en su
poder) reconocer la cerradura en su nueva ubicación.

La segunda y más efectiva forma es reconfigurar los actuales tambores dentro de cada cerradura a una nueva combinación. Con los tambores de palanca y
oblea esto significa el desmontaje de la cerradura y el cambio en el orden de los tambores. Los mismos tambores, sin embargo, pueden ser usados muchas
veces en tales cambios. Con las cerraduras de tambor de pines se puede hacer lo mismo; es decir, pueden usarse los mismos pines en diferentes tambores.

El núcleo convertible o intercambiable es una característica de diseño disponible en algunos fabricantes de cerraduras de tambor de pines, que hace posible
la rápida redistribución de combinaciones. Puede ser sustituido en el lugar por otro núcleo ya arreglado conforme al nuevo esquema.

8.3.2MECANISMOS DE CERRADURAS ELECTRIFICADAS

Los mecanismos de cerraduras electrificadas permiten que las puertas sean bloqueadas y desbloqueadas mediante un dispositivo remoto. El dispositivo
puede ser un simple botón pulsador eléctrico o un sensor de movimiento, o tal vez, un sofisticado dispositivo de control de acceso automatizado, tal como
un lector de tarjeta o un teclado digital. Además, muchos sistemas de control de acceso permiten el uso de la lógica Booleana para aumentar el control de
los dispositivos electrificados. La lógica Booleana permite organizar conceptos en un conjunto. La lógica Booleana se refiere a la combinación de
condiciones; por ejemplo, “si la puerta A está bloqueada y la puerta B está bloqueada, entonces la puerta C se puede desbloquear”.

Esto es muy útil en el diseño de trampas humanas y otras operaciones de alta seguridad. Considerando el fracaso y derrota de los mecanismos de
cerraduras, la adición de dispositivos de control remoto requieren que estos otros dispositivos estén incluidos en el análisis.

Antes de describir los diferentes tipos de mecanismos de cerraduras electrificadas, es útil definir claramente dos importantes términos –a prueba de fallos y
a prueba de seguridad. Estos términos generalmente se aplican en referencia a los códigos de seguridad contra incendio/vida y en relación a las puertas en
la vía de salida de un espacio ocupado que requiere ser desbloqueado, ya sea en cualquier momento de ocupación o sólo durante una emergencia de
incendio. Los códigos también establecen que los medios de salida deben ser por una simple acción que no requiere conocimiento especial aunque hay
algunas excepciones para los bancos, joyerías y otras aplicaciones de alta seguridad. Girar la manilla de una puerta o empujar un dispositivo de salida
(barra de pánico) son acciones simples permitidas. Presionar un botón, girar una llave, utilizando un lector de tarjetas o digitando un número en un teclado
digital antes de girar la manilla no constituyen acciones simples. Los códigos de incendio locales varían según el municipio y el lector deberá referirse a
ellos cunado cuando se especifique algún mecanismo de bloqueo de puerta.

Un mecanismo de cierre a prueba de fallo es uno que se abrirá bajo cualquier condición de falla. El modo de fallo que generalmente se considera es el de
pérdida de energía, pero es necesario considerar también la falla del mecanismo en sí mismo y de cualquier dispositivo de control conectado. La mayoría,
pero no todas, de las cerraduras relacionadas con una salida que requiera un código son a prueba de fallo, para asegurar que ofrezcan una salida libre si
ocurre una falla de energía al mismo tiempo que un incendio. Nótese, sin embargo, que la cerradura de una puerta que normalmente provee un egreso libre
simplemente girando una manilla o presionando la barra de salida desde el lado seguro, no necesita ser a prueba de fallo. Por ejemplo, un dispositivo de
salida electrificado (barra de pánico) desbloqueará mecánicamente la puerta cuando se empuja independientemente de si está energizado eléctricamente o
no.

Una cerradura a prueba de seguridad es aquella que permanecerá cerrada cuando se corta la energía o cualquier otra falla ocurra. Como se señaló antes, una
cerradura de seguridad puede ser usada en una puerta de salida con la condición de que el libre egreso esté disponible, independientemente del estado de la
energía de la cerradura o de otro mecanismo de control.

Tipos Principales
Los principales tipos de mecanismos de cerraduras electrificada son:

• Cerrojo dormido (deadbolt) eléctrico: El cerrojo dormido es el más antiguo y simple de todos los dispositivos de bloqueo eléctricos. Un solenoide
(electromagneto) mueve el cerrojo que generalmente va montado en el marco de la puerta, ya sea dentro o fuera de la placa metálica (strike plate) de
la cerradura de la puerta. El mecanismo puede ser tanto a prueba de fallo, abriéndose automáticamente al faltar la energía, o a prueba de seguridad,
permaneciendo cerrada ante un corte de energía. El cerrojo dormido eléctrico no se recomienda normalmente para la aplicación en puertas que
requieran ser abiertas automáticamente en respuesta a una señal de alarma de incendio. Esto se debe a que el cerrojo puede atascarse con la placa si
se hace presión en la puerta cuando no hay energía. Esto puede ocurrir en una situación de pánico cuando la gente presiona la puerta antes que la
cerradura sea desactivada. Ciertos cerrojos dormidos son diseñados con tornillos cónicos para evitar que se atasquen, pero el lector debe verificar los
códigos de construcción e incendio locales antes de especificar este tipo de dispositivo para una puerta de salida de emergencia.
• Pestillo (latch) eléctrico. Algo similar a un cerrojo dormido es el pestillo eléctrico. También es activado por un solenoide, se monta en el marco de
la puerta y usa una placa metálica en la puerta. En lugar del cerrojo dormido, usa un pestillo biselado. Tiene una ventaja sobre el cerrojo, porque el
pestillo no necesita ser retirado de la puerta para cerrarla, puesto que se empuja en el mecanismo de la cerradura contra la presión del muelle
(resorte), ya que pasa encima de la placa metálica de la cerradura.
• Contrachapa (strike) eléctrica. La contrachapa eléctrica opera como un complemento de cualquier cerradura mecánica estándar. El principio de
operación es simple: la energía eléctrica es enviada a un solenoide que abre o cierra el pestillo mecánico o la placa metálica (nótese que la
contrachapa eléctrica no es una cerradura, pero funciona como cerradura para mantener la puerta cerrada o permitir que se abra). Tales dispositivos
han sido utilizados por muchos años en casas, apartamentos, oficinas, instalaciones comerciales y otras en general.

Una aplicación típica de la contrachapa eléctrica es para controlar el tráfico en uno o en ambos sentidos. La manilla de la cerradura se fija (es decir,
no gira) en el lado desde donde se controla el tráfico. El único medio de acceso se convierte en remoto, desbloqueándose la contrachapa eléctrica a
través de un botón o interruptor dentro del espacio seguro, o con un dispositivo de control de acceso automatizado, tal como un lector de tarjeta o un
teclado digital. Si la manilla o pomo está fijado en el lado seguro de la puerta se mantiene operacional (es decir, gira), entonces la salida puede ser
libre. Si la manilla o pomo están fijos en ambos lados, la salida puede realizarse a través de los mismo tipos de dispositivos descritos para el acceso.
Adicionalmente, si el juego de cerradura mecánica está equipado con un cilindro en uno o en ambos lados, la puerta puede ser abierta con una llave.

• Set de Cerradura eléctrica. El set de cerradura eléctrica es simplemente una cerradura de embutir común que ha sido electrificada para controlar la
capacidad de girar la manilla. Como la cerradura está contenida dentro de la puerta, esta debe ser perforada para permitir que el cable de energía
alimente el lado de la bisagra. El cableado debe alimentar ya sea a través o alrededor de la bisagra de la puerta.

Este tipo de cerradura eléctrica se está haciendo cada vez más popular para aplicaciones de control de acceso automatizado. La manilla del lado no
seguro, normalmente fija, de una cerradura eléctrica de un almacén es controlada por un dispositivo de control de acceso (por ejemplo, un lector de
tarjeta) mientras que la manilla del lado seguro permanece operacional en todo momento para la salida sin obstáculos. Algunos modelos ofrecen la
opción de un interruptor de sensor en la cerradura que es activado cuando la manilla interior es girada. Esto provee una señal de solicitud de salida al
sistema de control de acceso para que en forma automática cambie el sentido de cualquier interruptor magnético o bocina local asociado con la
puerta, de esta forma, esa alarma no suena en una salida válida. Esta opción requiere la especificación de transferencia con cable de 4 hilos (en lugar
de dos hilos) a la bisagra para alojar tanto la energía de la cerradura como el cableado del interruptor del sensor.

• Dispositivo de salida. También conocido como barra de pánico o barra antipánico, el dispositivo de salida es usado generalmente en puertas
ubicadas en el camino de salida de estructuras con alta ocupación. El dispositivo de sobreponer (rim mounted) requiere pocas modificaciones de la
puerta, ya que va montado en la superficie. El dispositivo de embutir (mortise mounted) requiere que el mecanismo de bloqueo sea embutido en el
borde de la puerta de la misma manera que una cerradura de embutir común. Los dispositivos de fallebas (vástagos) verticales son utilizados en
puertas con doble hoja donde no hay marco fijo para aceptar un cerrojo de leva (latchbolt). Las fallebas, que se mueven en los agujeros o en las
placas metálicas en la parte superior del marco y en el suelo para frenar la puerta, pueden ser montadas en la superficie u ocultadas dentro de una
puerta hueca.

Los dispositivos de salida pueden ser electrificados para permitir el reingreso, controlado en forma remota a través de un botón pulsador o de un
lector de tarjeta/teclado digital. Una aplicación especial de este tipo de equipo es el sistema de bloqueo de salida con retardo. Desarrollado como una
solución entre seguridad ocupacional (safety) y seguridad (security), este sistema se aplica generalmente a las puertas destinadas para ser usadas sólo
en salidas de emergencia contra incendios. En lugar de permitir la salida inmediata cuando se empuja, la activación de la barra se inicia con un
retardo de 15 o 30 segundos, después de lo cual la puerta se abre. Se requiere señalización especial para informar a los usuarios de la demora; el
sistema debe ser conectado al sistema de alarma de incendios; y la demora no debe ocurrir en el caso de un incendio u otra emergencia definida como
seguridad de vida. Aunque por lo general esto no suele proporcionar un retraso suficiente que permita la interceptación de un ladrón que se escapa, el
sistema hará sonar una alarma local y reportará la condición de la alarma a una central de monitoreo. Se puede utilizar una cámara de CCTV para
identificar al autor y cualquier artículo que se lleve, y registrar el incidente.

• Cerradura electromagnética. La cerradura electromagnética, también conocida simplemente como cerradura magnética, utiliza un electroimán y
una armadura de metal o placa metálica. Cuando se activa, el imán ejerce una fuerza atractiva sobre la armadura y por lo tanto mantiene la puerta
 cerrada. Aunque la cerradura generalmente es montada en la parte superior de la puerta, también se puede montar en el costado. Esta ubicación,
reduciendo la anchura de paso de la puerta, otorga una puerta considerablemente más segura.

Las cerraduras magnéticas son clasificadas por las libras de fuerza necesaria para separar la armadura o placa metálica del electroimán, y están
disponibles desde 500 a 2,000 libras. Aunque la mayoría de las aplicaciones necesitarán solamente una cerradura magnética instalada en una puerta,
se pueden utilizar múltiples cerraduras para requisitos de alta seguridad.

Una característica importante de las cerraduras electromagnéticas comunes es que no tienen partes móviles y son menos sensibles al mantenimiento que los
dispositivos mecánicos o electromecánicos. Mientras las superficies de los imanes y la armadura se mantengan limpias y alineadas, y se asegure la energía
eléctrica, los dispositivos operarán según lo previsto. Las mejores cerraduras electromagnéticas tienen interruptores incorporados para monitorear la unión
del imán y la armadura, y controlar la posición de la puerta. Estos sensores son importantes para anular el simple mecanismo de derrota que consiste en
colocar una hoja no metálica entre el imán y la placa para reducir el poder de unión.

Las cerraduras electromagnéticas son intrínsecamente a prueba de fallos, ya que la desconexión de la energía libera la placa metálica. En aplicaciones de
alta seguridad, se debe usar energía de respaldo para asegurar que la cerradura cumpla su función en el caso de una falla de energía. Es posible usar
cerraduras electromagnéticas y cerrojos eléctricos o cerraduras de placas metálicas en combinación. Por ejemplo, considerar un área bajo control de acceso
de ingreso y egreso que deba permanecer protegida contra la entrada no autorizada, pero permitir la salida libre durante una emergencia definida.

Estos tipos de cerraduras también son usadas en sistemas de salida con retraso, como se describió anteriormente para los dispositivos de salida. Un
interruptor en el imán detecta que la puerta ha sido empujada e inicia la cuenta regresiva. Se deben observar las mismas salvedades descritas más arriba.

8.3.3DISEÑO DE SISTEMAS DE CIERRE SEGUROS

A pesar de la sofisticación de los modernos sistemas de control de acceso, tales como tarjetas y lectores biométricos autorizando el ingreso vía programas
informáticos, la tradicional cerradura mecánica y la llave siguen siendo los sistemas más usados para restringir el acceso a las instalaciones corporativas o
institucionales y a los activos. Las justificaciones de esta elección incluyen el bajo costo, la simplicidad de funcionamiento y la confiabilidad.

Sin embargo, todos estas ventajas podrían verse anuladas si los sistemas de bloqueo no están planificados y administrados profesionalmente. La pérdida de
una llave maestra podría exigir el reemplazo de todos los cilindros principales dentro de una instalación a un costo de miles de dólares. Del mismo modo, la
falta de control sobre la emisión de las llaves y su devolución podrían llevar a la pérdida de activos por robos o destrucción que pueden costar millones de
dólares a la organización.

Los sistemas de cierre por lo general controlan la apertura de una puerta o la entrada a un área, por ejemplo, la puerta al perímetro del edificio, a una
habitación, a una sala de almacenamiento de archivos confidenciales, o a un pequeño contenedor, como un fichero o caja fuerte. Los sistemas de bloqueo
también se usan para controlar el uso de los equipos, por ejemplo, las operaciones de los cajeros, el control de los operadores de puertas, y para asegurar
activos individuales, por ejemplo, seguros para cables de computadoras portátiles. Cada una de estas aplicaciones debe ser considerada en la planificación
de un sistema de cierre.

De igual importancia en el diseño de medidas de protección está la evaluación de la totalidad del área, por ejemplo, la fuerza física de todas las barreras que
podrían proporcionar acceso al espacio. La puerta y el marco –así como las paredes circundantes, las ventanas, el techo y el piso- también deben
considerarse. Una cerradura onerosa en una puerta de madera hueca puede disuadir a los aficionados, pero, aparte de dejar evidencia de una irrupción, no
detendrá a un profesional. Asimismo, una puerta de metal resistente instalada en un marco frágil que puede romperse fácilmente, o rodeado de un muro de
construcción de placas de yeso estándar, no impedirá el acceso de un determinado intruso, independientemente de la fuerza o sofisticación de la cerradura.

Al igual que con la planificación y el diseño de cualquier sistema de seguridad o de seguridad ocupacional, el profesional primero debería hacerse las
siguientes preguntas:

1. ¿Qué activos (personas, estructura, equipo, instrumentos negociables, operaciones, información, etc.) necesitan ser protegidos y cuál es su valor para la
organización?
2. ¿Cuáles son las amenazas para esos activos y cuál es la probabilidad de que esas amenazas ocurran?
3. ¿Quiénes necesitan acceso a los activos y con qué frecuencia?
4. ¿Cuál es el nivel de flexibilidad del sistema que debería tenerse en cuenta?
5. ¿Cuál será el impacto en las operaciones normales implementando los controles?
6. ¿Qué consideraciones debiesen darse a la cultura o imagen de la organización?
7. ¿Tiene la organización disponibles los recursos humanos y capacidades para planificar, diseñar, implementar, operar y mantener los sistemas o se
subcontratarán algunas, o todas estas funciones?
8. ¿Cuál es el presupuesto disponible para implementar las estrategia de protección y, generalmente, lo más importante ¿cuáles son los fondos disponibles
para operar y mantener el sistema?

El Plan de Diseño
Los sistemas de cierre son una variedad de elementos coordinados que se apoyan y complementan mutuamente. Se basan en los planes de diseño que
consideran:

• La necesidad de diferentes niveles concurrentes de control de seguridad para espacios cerrados;

• La probabilidad de que dichos niveles cambien con el tiempo
• La probabilidad de que algunos (o muchos) usuarios requerirán un acceso común a algunos espacios y acceso exclusivo a otros
 • La posibilidad de que los dispositivos de acceso (llaves, tarjetas o tarjetas inteligentes (token)) se puedan perder, comprometer o dañar; y
• El requerimiento de que haya formas eficaces de adaptar el sistema a los cambios, tanto previstos como inesperados.

Un sistema de cierre debe ser diseñado, no simplemente instalado. Es importante la diferencia entre agregar o quitar cerraduras dentro de una instalación
basándose solo en “cuando sea necesario”, el desarrollo del concepto de bloqueo que permitirá cambios en el tamaño del sistema y en la ocupación o uso
manteniendo el control de seguridad. Sin una planificación, la seguridad se degrada a una mera privacidad y personas no autorizadas pueden tener la
capacidad de acceder a zonas protegidas, o se puede perder la responsabilidad por los dispositivos de accesos entregados, o sacrificar la conveniencia del
nivel de administración. Si no está claro quién tiene acceso a qué espacios, un programa de cierre no es seguro. Si no es posible proveer múltiples niveles
de acceso, el programa no es conveniente. En cualquier caso, el programa también será antieconómico porque no otorgará lo que se requiere, y cualquier
dinero gastado en él será mal aplicado.

Las precauciones y principios discutidos aquí van dirigidos a la elaboración de un sistema de cierre seguro y cómodo, teniendo en cuenta la tensión entre
estos objetivos. Mayor comodidad a menudo significa menor seguridad y reforzar la seguridad con frecuencia implica menos comodidad. Se puede lograr
el equilibrio, siempre y cuando las necesidades del sistema se definan correctamente al comienzo. Este es un aspecto de la planificación del sistema de
cierre –otro aspecto es seleccionar los mecanismos de cierre más apropiados a la aplicación en particular. Estos pueden ser cierres convencionales
mecánicos o electrónicos y pueden incluir códigos y características fisiológicas personales. Las consideraciones de planificación son comunes a todos los
sistemas.

Consideraciones de Planificación del Sistema de Cierre

Los siguientes son diseños comunes o criterios de planificación, y requieren de un estudio sistemático antes de decidir finalmente sobre el equipamiento o
el esquema:

• Número total de cerraduras

• Principales categorías o sectores del sistema
• Objetivos de seguridad
• Tamaño y movimiento de personal
• Subsistemas de seguridad relacionados o de apoyo
• Requerimientos de inteligencia o información
• Criticidad de la exposición de los activos

Políticas de Cierre
Al igual que con la mayoría de las funciones de seguridad, el programa de cierre debe basarse en políticas escritas. Esto es especialmente cierto en las
grandes organizaciones con muchos empleados o muchas instalaciones. La política de cierre debería hacer lo siguiente:

• Exigir que se adopte un enfoque sistemático para el uso de cierres con fines de seguridad
• Asignar la responsabilidad específica para el desarrollo del programa de cierre. Donde hay una organización de seguridad formal, la asignación
lógica es a Seguridad. Donde no hay un profesional o personal especialista en seguridad a tiempo completo, la designación debe ser hecha a un
gerente responsable; y
• Hacer que todas las personas que usarán o tendrán acceso a llaves, cerraduras o dispositivos de acceso, o la información de combinación, sean
responsables por el cumplimiento de los requisitos del programa. Esta responsabilidad puede ser reforzada a través de la línea regular de la
organización para que cada empleado pueda ser evaluado en su desempeño bajo esta política, junto con el rendimiento en general, en el momento de
la revisión salarial.

8.4 CUESTIONES DE INTEGRACIÓN E INSTALACIÓN DEL SISTEMA

Deben tenerse en cuenta varios aspectos cuando se instalan los componentes de control de entrada de un sistema de protección. Al más alto nivel se debe
determinar si la funcionalidad del control de entrada y del AC&D será implementada en la misma computadora (host) o separadamente, es decir, totalmente
integrados o sistemas paralelos. Se deben considerar muchas interrogantes, entre ellas las siguientes:

• ¿Las entradas y salidas de las zonas de seguridad estarán bajo vigilancia de un CCTV?
• ¿Existen requerimientos para enmascarar los sensores?
• ¿Habrá alguna conexión electrónica entre el subsistema de control de entrada/AC&D y el equipo de detección de contrabando?

Estos aspectos y muchos otros deben ser tratados en la etapa de diseño del sistema de protección.

Muchos sistemas AC&D incorporan funciones de control de entrada. Los sistemas AC&D y los de control de entrada totalmente integrados son atractivos
por una variedad de razones. A menudo hay un costo menor para el usuario en equipamiento y programas (hardware y software) cuando se instala un
sistema totalmente integrado en lugar de dos sistemas separados. Por ejemplo, los paneles que reciben las alarmas también tienen interfaces de lectores de
tarjetas y relés de puerta en el mismo tablero. La instalación se simplifica debido a esta integración. Es importante que el sistema AC&D esté informado
cuando el sistema de control de entrada autorice a una persona para abrir una puerta, porque la señal de alarma del sensor de la puerta debe ser suprimida
por un periodo para permitir a la persona ingresar al área sin provocar una alarma. El enmascaramiento de los sensores de puerta se producen
automáticamente en un sistema totalmente integrado, pero esta función debe ser implementada mediante otros medios, generalmente con hardware
proporcionado por el usuario, al instalar sistemas independientes.
Por otra parte, los sistemas totalmente integrados pueden sufrir la degradación de su rendimiento debido a la integración. La notificación de alarmas debe
tener prioridad sobre la tramitación de las solicitudes de control de entrada. Aunque estos requerimientos parecen obvios, las pruebas de laboratorio indican
que algunos sistemas de alarmas demoran varios segundos en ser recibidos por el sistema AC&D debido a que el sistema está ocupado procesando las
solicitudes de control de entrada. Se debe tener cuidado con la elección del sistema totalmente integrado con el fin de asegurar que el desempeño del
sistema AC&D no sea degradado por la función de control de entrada. Esta es la razón por la que deberían realizarse pruebas del sistema en condiciones
normales, anormales y malintencionadas, de modo de verificar el rendimiento del sistema. No es suficiente probar un sistema sólo operando en forma
normal, es probable que este nivel de rendimiento no represente el estado operativo más crítico del sistema. Esta limitación se compensa en parte a través
del uso de microprocesadores de alta velocidad y protocolos de comunicación.

Las entradas y salidas a través de puertas y torniquetes normalmente no son grabadas por el sistema de CCTV. Sin embargo, cuando el nivel de seguridad
es lo suficientemente alto y el nivel de tráfico es bajo, se puede utilizar el CCTV y la grabación de video de lapso de tiempo (time-lapse). Las grabaciones
de la información visual, junto con los registros de entrada y salida, pueden ser útiles para determinar la secuencia de los eventos cuando se produce un
incidente de seguridad. Además de las cámaras de registro de eventos, las alarmas de los sensores de puertas y salidas deberían estar sujetas a los mismos
requisitos de evaluación de video que otros sensores en el área que se está protegiendo.

Por lo general, los equipos de detección de contrabando que se encuentran en una entrada están en el modo de operación de alarma local. Debido al elevado
número de alarmas no deseadas que se espera de los detectores de metal, por las cosas que se llevan en los bolsillos, estos detectores rara vez operan sin
supervisión. Se requiere personal de seguridad para que verifique que se sigan los procedimientos, se revise el contenido de los bolsillos y así se resuelva el
tema de las alarmas. Generalmente, la decisión de usar detectores de metal involucra la revisión manual o el uso de un detector de metal de mano. Las
máquinas de rayos-X utilizadas en la búsqueda de paquetes necesita un operador para que interprete la imagen que se genera. El análisis automatizado de
imágenes de rayos-X tardará aún muchos años en ser una realidad. Aunque el personal de seguridad generalmente está presente en los puestos de control de
contrabando, algunas veces es ventajoso que estén controlando estos equipos desde la estación de monitoreo de alarmas. Se pueden controlar las alarmas de
los detectores de metal y también duplicar las imágenes generadas por las máquinas de rayos-X desde la estación de monitoreo de alarmas, así hay una
segunda observación por parte de los operadores de seguridad.

Otra importante preocupación a la hora de diseñar un sistema de control de entrada es el impacto de los códigos de fuego. A menudo es deseable mantener
un control seguro para las salidas tanto como para las entradas a un área; lo que por lo general es difícil de aplicar sin violar los códigos de fuego. Una
puerta de emergencia normalmente debe tener un dispositivo de salida manejable con un solo movimiento y con una sola mano. Se pueden instalar
dispositivos de control de salida tales como lectores de tarjetas y placas eléctricas, pero pueden ser fácilmente esquivadas por cualquier equipo clasificado
como salida de emergencia. Las señales que indican que el equipo de salida de emergencia no se usa excepto para emergencias, pero sin precisar las
consecuencias para los infractores, pueden alentar a algunos usuarios a eludir los controles de salida. Cuando las puertas contra incendios tienen entrada y
salida libre, debe implementarse un medio adicional de alarma oculto para la puerta. Enmascarar las alarmas en las salidas usualmente se logra a través del
uso de un sensor de solicitud de salida. Estos sensores infrarrojos detectan las personas acercándose a la puerta desde dentro de la zona de seguridad y
alertan al sistema respecto a que la puerta está a punto de ser abierta. Este método es útil durante las horas de funcionamiento normal de una instalación. Un
método adicional para atender los requerimientos de un código de fuego manteniendo el control incluye el uso de equipos de retraso de salida, en el cual la
puerta puede ser abierta sólo después de un corto periodo. Esto permite el uso de CCTV para monitorear la actividad en la salida o para extender el tiempo
de retraso mientras se verifica la condición de emergencia. Estos sistemas han sido útiles en las escuelas y otros lugares donde las falsas alarmas de
incendio se han iniciado para interrumpir las actividades normales. El método usado se determina después de una cuidadosa revisión de los códigos de
fuego locales y federales y las implicaciones de seguridad del sistema; sin embargo, algunas instalaciones de activos críticos deben permanecer protegidas
aún en situaciones de emergencias. Ejemplos incluyen las plantas de fabricación de semiconductores, los reactores nucleares comerciales y ciertas
instalaciones de elaboración de medicamentos. En esos casos, la salida de la instalación podría conducir a un área adicional segura pero de protección o
incluir el uso de procedimientos.

La interconexión de dispositivos biométricos con el sistema de control de entrada del lugar es otro problema que surge durante el diseño del sistema. La
mayoría de los identificadores biométricos se implementan como un sistema de control de entrada, más que como un componente de un sistema de control
de entrada más grande. Consecuentemente, aún cuando el dispositivo biométrico tiene una interfaz de datos a un sistema más grande, no hay un estándar en
la industria para dicha interfaz. Esto, algunas veces, obliga al diseñador a engañar los componentes en un funcionamiento al unísono combinando lectores
de tarjeta y teclados para PIN (PIN pads) con dispositivos biométricos. Un método sencillo es colocar el dispositivo biométrico y el relés de desbloqueo del
sistema de control de entrada en serie. Una integración más elaborada es posible si los dispositivos biométricos tienen una tarjeta de lectura intermedia o
una zona de almacenamiento de datos compartida. En este caso, el dispositivo biométrico captura el flujo de datos de la tarjeta de lectura. Después de que
la verificación biométrica se ha completado exitosamente, el dispositivo envía el flujo de datos al sistema de control de entrada. En este método el sistema
de control de entrada no está consciente de que el dispositivo biométrico está conectado. En algunos casos el sistema de control de entrada tiene una
interfaz específica del dispositivo que permite a los patrones biométricos ser almacenados en el servidor (host) del sistema de control de entrada. Este es un
ejemplo de integración al más alto nivel.

8.4.1PROCEDIMIENTOS
Al igual que cualquier elemento de tecnología de protección, los sistemas de control de entrada también requieren un componente procedimental. Estos
procedimientos abordan aspectos como la presentación de credenciales a la entrada, llevarlas a la vista mientras se está en la instalación, y la protección de
las credenciales u otro tipo de identificación cuando se está fuera de la instalación. Además, debería haber una norma que prohíba la divulgación de los
números PIN. La práctica de colarse (pasar muy cerca de otro), o permitir a otros que pasen detrás para entrar sin pasar por el proceso de control de
entrada, también debería estar prohibida. Se recomienda la aplicación de este procedimiento. Todos los empleados debiesen recibir entrenamiento sobre el
correcto uso de las credenciales de entrada de la empresa y entender que es un tema importante en la instalación. Debería considerarse el estimular a los
empleados a desafiar a quienes traten de colarse y ubicar teléfonos cerca de los puntos de entrada para reportar estas prácticas. Aunque es un gesto de
cortesía mantener la puerta abierta para los compañeros de trabajo u otras personas, esta costumbre puede comprometer la seguridad de la instalación,
particularmente si un empleado ha sido finiquitado recientemente o si un visitante no ha recibido la autorización para entrar. Junto con esto, los empleados
no deberían permitir el acceso a otros empleados que han olvidado o perdido su credencial.
Otras consideraciones al instalar equipos de control de entradas incluyen la decisión de cuántos intentos se aceptarán antes de que una solicitud de entrada
se invalide, qué hacer si el acceso es denegado por este motivo y establecer un programa de mantención preventiva para los equipos. Se debe realizar una
calibración periódica de los detectores de metal. Cuando se usan detectores de metal, se recomienda que el procedimiento para aquellos a quienes se detecte
con metal se le quite dicho metal y vuelva a pasar por el detector. Una variación de este procedimiento es usar detectores de metal de mano para escanear a
quienes se les ha detectado algún metal. Una vez que se ha encontrado el objeto, debería quitársele y volver a escanear. Este proceso debe repetirse hasta
que no se detecte nada. Es importante repetir el escaneo después que se ha encontrado un objeto de metal, porque la detección de una pieza no indica que
sea la única. Permitir la entrada después de encontrar un objeto metálico sin realizar un escaneo adicional puede crear una vulnerabilidad en el sistema de
protección. Si se usarán detectores de explosivos en la instalación, es necesaria una cuidadosa reflexión para decidir qué hacer si se detecta alguno. Esta
respuesta puede ser problemática, porque hay una variedad de elementos que pueden generar una alarma no deseada, o un adversario puede haber sido
detectado legítimamente. Si se usan cámaras para verificar la identidad antes del acceso, los usuarios deben ser instruidos o entrenados para sacarse los
anteojos, sombreros u otros elementos que puedan obstruir la imagen, y también haberles dicho donde colocarse y hacia dónde poner la cara. Además, la
búsqueda aleatoria de paquetes, maletines y carteras puede implementarse junto con los componentes de tecnología. Si es el caso, en las políticas de la
empresa para el entrenamiento de los empleados, y como parte del control de visitantes, debe incluirse la prohibición de armas de fuego u otro tipo de
armas, explosivos, drogas, alcohol, dispositivos de grabación y teléfonos móviles.

8.4.2ADMINISTRACIÓN
Además de los procedimientos que complementan el uso de la tecnología de control de entrada, también es necesario que se establezca un sistema de
control de acceso. Este sistema define quiénes tienen acceso a la instalación, durante cuáles horas, cuántos niveles de acceso diferentes se requieren y a
dónde pueden entrar las personas. También incluye los procedimientos para el control de visitantes, para los empleados que olviden o pierdan las
credenciales y para otras funciones, tales como los pases de estacionamientos. Una parte explícita de estos procedimientos debería describir el acceso para
personas con discapacidades o condiciones médicas temporales, como piernas o manos quebradas. Se requerirán procedimientos de respaldo donde se usen
dispositivos biométricos, tanto para empleados que estén imposibilitados en forma temporal para utilizar el sistema, como para los visitantes que no pueden
ser registrados. Estas excepciones pueden ser manejadas a través del uso de salidas intermedias de gran tamaño o enviando a las personas a las oficinas con
personal escolta.

Deben existir procedimientos para el manejo de visitantes. Claramente todas, hasta las instalaciones más pequeñas o simples, necesitan un procedimiento
para autorizar el acceso a los visitantes. El empleado respectivo debe hacer la solicitud para el acceso, y esta solicitud debería incluir cierta información, tal
como el día y hora de la visita, el punto de contacto, y el propósito de la visita. Los procedimientos también podrían requerir la firma del gerente que
autoriza la solicitud. Si se utilizan dispositivos biométricos para permitir la entrada, es necesario que los visitantes se registren aunque sea temporalmente
en la base de datos, o bien, que el empleado escolta proporcione el acceso al momento de la entrada. La colocación de teléfonos internos en los puntos de
entrada pueden ser útiles cuando se trata del manejo de visitantes. Debe proporcionarse una lista de los números de teléfonos de los empleados o una mesa
de ayuda.

Muchas instalaciones grandes designan un funcionario o gerente especial para administrar el proceso de control de entrada. Un aspecto importante de estos
controles es la administración de la base de datos. Debe actualizarse continuamente la base de datos del sistema de control de entrada para reflejar los
empleados desvinculados, los permisos por licencias o las suspensiones. Además, se debe realizar un seguimiento de las credenciales de los visitantes y
asignarles una duración para su uso. El acceso a la base de datos debería ser limitado y requerir el consentimiento de dos empleados para protegerse contra
la manipulación indebida de información privilegiada.

La oficina o persona asignada para administrar el control de entrada también debería ser la unidad que emite las credenciales para empleados y visitantes.
Esta función incluye las tareas descritas anteriormente, así como el reemplazo de credenciales antiguas o perdidas, la eliminación de las credenciales viejas
o inactivas de la base de datos, la adición de nuevas credenciales, y la recolección de las credenciales de los visitantes al término de la visita. Debido a que
esto puede ser un proceso que consume tiempo, es recomendable que la computadora de control de entrada esté separada de la computadora anfitriona
(host) del AC&D, particularmente si esta computadora también generará las credenciales. Las computadoras personales son bastante económicas y el
dinero ahorrado mediante la realización de estas funciones en la misma computadora no justifica poner en peligro la seguridad.

8.5 RESUMEN
Este capítulo describió los sistemas de control de entrada y los equipos para el control de entrada del personal y la detección de contrabando. Estos sistemas
cumplen el objetivo de permitir el movimiento autorizado de personal y material a través de las rutas normales de acceso, así como la detección y retraso de
movimiento de personal y material no autorizado hacia y desde las áreas protegidas.

Los métodos de autorización de entrada del personal incluyen credenciales, números de identificación personal, y verificación de identidad automatizada.
Dos tipos de errores encontrados en esos sistemas son: el falso rechazo y la falsa aceptación. La mayoría de las credenciales pueden ser falsificadas.
También, durante el proceso de autorización de entrada se verifica la credencial más que a la persona. Aunque el sistema de verificación de identidad
personal comprueba una característica personal física y única, tales como la geometría de la mano o el patrón del iris, requiere de sofisticados equipos y
personal para operarlos y mantener el sistema. Estos sistemas también requieren de métodos de respaldo para el acceso de aquellos que no pueden
registrarse o están temporalmente impedidos de usar el dispositivo biométrico.

El contrabando incluye elementos tales como armas no autorizadas, explosivos, drogas y herramientas. Los métodos de detección de contrabando incluyen
detectores de metal, revisión de paquetes y detectores de explosivos. Los detectores de metal deberían ser ubicados en las entradas y salidas, y los
detectores de explosivos en las entradas. La detección de explosivos incluye tanto técnicas de traza como de granel. Recientemente, ha habido una
considerable actividad en el área de las armas de destrucción masiva, incluyendo grandes explosivos y agentes químicos y biológicos. Si estas son
capacidades de una amenaza definida para una instalación, existen algunas tecnologías que pueden ayudar en la detección, aunque aún se necesita una
considerable investigación para mejorar su funcionamiento.
Un sistema de control de entrada efectivo permite la entrada y salida sólo de personal autorizado, detecta y evita la entrada de material de contrabando,
detecta y evita la salida de materiales críticos o de alto valor no autorizados, y provee información a las fuerzas de protección para facilitar la evaluación y
la respuesta. El sistema de control de entrada es una parte importante de la función de detección de un PPS integrado. Cuando se combina con los
procedimientos de control de entrada y un proceso de control de acceso, el control de entrada provee otro método de entrega de una equilibrada protección
en profundidad en la instalación.

REFERENCIAS

Bouchier, F., Ahrens, J. S., & Wells, G. (1996). Laboratory evaluation of the IriScan prototype biometric identis er. SAND96-1033. Albuquerque, NM:
Sandia National Laboratories.

Holmes, J. P., Wright, L. J., & Maxwell, R. L. (1991.) A performance evaluation of biometric identis cation devices. SAND91-0276. Albuquerque, NM:
Sandia National Laboratories.

Jain, A., Bolle, R., & Pankati, S., eds. (1991). Biometrics: Personal identification in networked society. Boston: Kluwer Academic Publishers.

National Academy of Sciences. (2004). Existing and potential standoff explosives detection techniques. Washington, DC: National Academies Press.

Rejman-Greene, M. (1998). Security considerations in the use of biometric devices. Information Security Technical Report. Vol. 3, No. 1.

Ruehle, M., & Ahrens, J. S.(1997). Hand geometry field application data analysis. SAND97-0614. Albuquerque, NM: Sandia National Laboratories.

Theisen, L., Hannum, D. W., Murray, D. W., & Parmeter, J. E. (2004). Survey of commercially available explosives detection technologies and equipment.
Washington, DC: National Institute of Justice Office of Science and Technology. Available: http://www.ncjrs.gov/pdffiles1/nij/grants/208861.pdf [2012,
April 18].

Wright, L. J. (1987). Proximity credentials—A survey. SAND87-0080. Albuquerque, NM: Sandia National Laboratories.

Wright, L. J. (1988). Coded credentials—A primer. SAND88-0180. Albuquerque, NM: Sandia National Laboratories.

Yinon, J. (1999). Forensic and environmental detection of explosives. Chichester, England: John Wiley & Sons.

Nota:

Los documentos SAND se pueden obtener en http://www.osti.gov/bridge/advancedsearch.jsp.

________________________________________
21 En este caso se refiere a una cantidad minúscula de una sustancia
22 En este caso la palabra está referida al billón estadounidense, que equivale a mil millones
 FUNCIONES DE UN PPS
DEMORA

La segunda función principal de un PPS es la demora. Esta función se aborda en el Capítulo 9, Barreras de Demora.
 CAPÍTULO 9
BARRERAS DE DEMORA

Para ser efectivo, un sistema de protección física (PPS) debe primero ser capaz de detectar los actos maliciosos de modo que una fuerza de respuesta (como
un oficial de seguridad o fuerzas policiales) puedan intervenir. Debido a que la fuerza de respuesta generalmente no puede estar en cada posición del activo,
el PPS debe también demorar al adversario. La demora proporciona tiempo para que la fuerza de respuesta llegue o se activen los sistemas de demora y
respuesta adicionales controlados a distancia. Para las amenazas que se originan fuera de la instalación, la detección en el perímetro del sitio, más que al
interior del edificio o bóveda, da a la fuerza de seguridad más tiempo para responder. El tiempo de respuesta puede ser reducido minimizando el tiempo
necesario para evaluar la situación.

Las barreras pueden disuadir o derrotar ciertas amenazas. Sin embargo, debido a que la efectividad de las barreras es incierta, sólo hay potenciales
obstáculos. La demora que proporcionan depende en gran medida de las técnicas y herramientas del adversario. Determinar el tiempo de retardo real puede
requerir pruebas, espescialmente cuando se trata de barreras únicas.

9.1 PRINCIPIOS Y TIPOS DE BARRERAS

Las barreras de demora de acceso pueden adoptar la forma de barreras pasivas, oficiales de seguridad, o barreras prescindibles. Las barreras pasivas
incluyen elementos estructurales como las puertas, ventanas, pisos, cerraduras, rejillas de ventilación, tuberías y cercas. Los oficiales de seguridad pueden
demorar al adversario que está tratando de ingresar, pero pueden no ser capaces de detener al adversario que hace uso de la fuerza, a menos que los
oficiales estén en posiciones fijas y protegidas. Las barreras prescindibles, tales como nieblas químicas y humos, espumas e irritantes, se usan sólo cuando
es necesario durante un ataque. Cada tipo de barrera tiene sus ventajas y un PPS bien diseñado puede combinar los tres tipos.

Los oficiales de seguridad pueden proporcionar una demora flexible y continua. Se pueden mover alrededor de un lugar, y sus cambios pueden ser
organizados para proveer la cobertura necesaria. Sin embargo, una fuerza de oficiales de seguridad es cara y puede ser sobrepasada por un número superior
de adversarios. Más aún, los oficiales de seguridad, al ser humanos, pueden verse comprometidos. Por contraste, las barreras pasivas están siempre en su
lugar y son a prueba de seguridad, significando esto que incluso si fallan, proporcionarán una valiosa demora. Muchas barreras pasivas se comercializan en
el mercado y por lo tanto son relativamente disponibles y asequibles. Sin embargo, la mayoría de las barreras pasivas no son una buena defensa contra los
ataques con explosivos, y generalmente afectan las operaciones y apariencia de la instalación. Las barreras prescindibles son compactas y de rápido
despliegue. Pueden demorar a un adversario y tienden a funcionar sin importar cuáles son las tácticas del adversario. No obstante, las barreras prescindibles
plantean algunos aspectos operacionales y de protección, tales como la activación no deseada o posibles lesiones en aquellos que están expuestos.

Las barreras tradicionales (tales como cercas, puertas con llave, ventanas con rejas, muros de albañilería e incluso bóvedas) no son capaces de demorar a un
adversario bien equipado y decidido por mucho tiempo. Asegurarse de que todas las barreras necesarias sean efectivas en todo momento requiere especial
atención. Ciertas operaciones en el lugar, tales como los simulacros de incendio, el movimiento de activos críticos o la mantención efectuada por
contratistas, puede aumentar el riesgo o disminuir la demora de la barrera, necesitándose el uso de medidas compensatorias, como oficiales de seguridad
extras. Un desafío adicional es que las barreras no deben impedir en forma indebida las operaciones normales de la instalación.

La selección y ubicación de las barreras depende de los objetivos del adversario. Un adversario que penetra o destruye barreras en el camino hacia su
objetivo podría no ser demorado por esas barreras en el camino de salida. Las salidas de emergencia proporcionan un cierta demora desde el exterior, pero
permiten una rápida salida desde el interior. Mientras la naturaleza provee algunas barreras en forma de costas escarpadas, altos acantilados y grandes
distancias, en la mayoría de los casos las barreras deben ser cuidadosa y deliberadamente ubicadas en el camino del adversario. La demora que las barreras
proporcionan depende del obstáculo en particular empleado y de las herramientas utilizadas para quebrantarlas.

Un ejemplo de ubicación deliberada sería instalar sistemas de detección y barreras próximas una de otras, de modo que el adversario encuentre primero el
sensor y luego la barrera. Este tipo de organización demora al adversario en el punto de detección, aumentando la probabilidad de hacer una evaluación
precisa.

De acuerdo a los principios del diseño equilibrado, cada aspecto de la configuración de una barrera debería proveer la misma demora, es decir, no debería
haber eslabones débiles. Un adversario no hará un agujero en una puerta para ver si las bisagras de la puerta son fáciles de vencer. La demora en
profundidad es análoga a la protección en profundidad para los sistemas de detección. La instalación de varias capas de diferentes tipos de barreras a lo
largo de todos los posibles caminos que el adversario podría tomar, dificulta la tarea del adversario. Actualizar una barrera para obligar al adversario a usar
herramientas más sofisticadas, es elevar la logística, entrenamiento y habilidades que requiere el adversario, si bien no siempre se aumente el tiempo de
penetración.

Generalmente, las barreras de seguridad en una instalación industrial están diseñadas para disuadir o vencer los actos poco frecuentes de robo casual y
vandalismo. En un contexto con crecientes amenazas, las cercas, paredes, puertas y cerraduras tradicionales pueden no ser suficientes para disuadir o
demorar. Cuanto más se demora al adversario, más tiempo tiene el personal de seguridad para evaluar la situación y enviar la fuerza de respuesta. Unos
pocos minutos de demora pueden hacer una gran diferencia en el resultado de la intrusión.
Una barrera se considera penetrada cuando una persona pasa a través de ella, sobre, bajo o por el lado. Este capítulo asume que el esfuerzo de penetración
empieza a 6m delante de la barrera y termina 6m después de ella. El tiempo de penetración incluye el tiempo de viaje a través de la barrera. Por ejemplo,
los cortes a través del hormigón y las barras de refuerzo pueden ser muy irregulares, y los cortes hechos con herramientas de corte por calor pueden
requerir refrigeración, agregando tiempo de demora a la barrera.

Una barrera contra vehículos se considera penetrada cuando (1) un vehículo pasa a través de ella o sobre ella a la fuerza y sigue siendo un vehículo en
funcionamiento, o un segundo vehículo es conducido a través de la barrera violada, o (2) la barrera contra vehículos es retirada o saltada y un vehículo
funcionando pasa sobre o a través de ella. La elección de la barrera depende en gran medida del tipo de vehículo que puede ser utilizado en un ataque. Una
cerca de alambre debería ser capaz de detener a una motocicleta o un vehículo todo terreno pequeño, pero no sería efectiva contra un gran camión.

A medida que el adversario encuentra obstáculos cada vez más difíciles, se le complica transportar y montar herramientas sofisticadas, especialmente si el
adversario debe arrastrarse a través de varias aperturas pequeñas. La distancia del área de vehículos hasta el área objetivo también hace una diferencia. Si el
adversario tiene que arrastrar equipamiento pesado un largo trecho, la demora aumenta significativamente. Algunas instalaciones instalan barreras fuera del
perímetro de detección para obligar al adversario a cambiar su táctica y abandonar su vehículo. Obligarlos a caminar o correr y llevar sus herramientas los
hace más lentos, pero hasta que ellos sean descubiertos esta demora adicional no se incluye en las medidas de efectividad del sistema. No se recomiendan
las barreras contra vehículos fuera de la zona de detección y evaluación .

El tiempo de penetración de la barrera depende en parte del método de ataque, incluyendo el equipamiento necesario. Las herramientas de ataque
consideradas en este capítulo son las siguientes:

• Herramientas de mano: martillo pesado, hachas, corta-pernos, barras para demolición, sierras para metal.
• Herramientas eléctricas de mano: corta-pernos hidráulico, sierras abrasivas, taladro eléctrico, martillo eléctrico, cortador abrasivo por chorro de agua.
• Herramientas térmicas para cortar: antorchas de oxiacetileno, lanzas de oxígeno
• Explosivos
• Vehículos: camiones, automóviles, trenes, barcos, aviones, helicópteros, motocicletas y vehículos ATV (todo terreno).

Las herramientas a batería han mejorado enormemente en la última década. Ahora pueden dar energía a pequeños sistemas hidráulicos y todo tipo de
cortadores, son livianas, potentes y desechables. Deberían ser consideradas cuando se evalúe los elementos de demora de un sistema de protección física.
Debido a estas nuevas capacidades, es posible que se requieran nuevas barreras o mejorarlas para incrementar la demora lo suficiente, de modo que permita
una adecuada respuesta.

9.2 BARRERAS PERIMETRALES

Las barreras perimetrales, la capa de protección más exterior de un sistema de protección física, son diseñadas para dejar fuera de una zona al personal no
autorizado. Las cercas de alambre comunes constituyen un límite legal visible alrededor de una instalación y proveen un medio para instalar carteles sobre
intrusión, medidas de seguridad e incluso el uso de fuerza mortal. Sin embargo, tales cercas no representan un obstáculo serio para un adversario
empecinado. En segundos, una persona puede embestir la cerca con un vehículo, pasar por encima de ella, arrastrarse por debajo o cortarla. El alambre de
púas y el alambre de concertina le suma sólo un valor de pequeña demora. En un minuto o menos, una persona puede usar una ayuda portátil como puente
(por ejemplo, una cuerda o escalera) para cruzar casi todo tipo de barrera perimetral que esté a pocos metros de altura y en el orden de los 30 pies de ancho.

No obstante, las actuales barreras perimetrales ofrecen varias ventajas importantes:

• El acoplamiento de barreras vehiculares y de personas en un perímetro, en el interior y junto al sistema de detección perimetral, demora al intruso en
el punto de detección, mejorando la función de evaluación.
• Retrasar al intruso en el perímetro puede permitir a la fuerza de respuesta interceptar al intruso cerca del punto de la alarma. Sin la demora, el intruso
probablemente habrá dejado el punto de alarma cuando la fuerza de respuesta llegue.
• Hacen que sea posible proteger un lugar cuyos activos están almacenados en varios edificios de un sitio fácilmente penetrable.
• Las barreras vehiculares alrededor del perímetro de un sitio (dentro de los sensores perimetrales) pueden obligar a un intruso a recorrer a pie y
transportar las herramientas y armas que necesite.

9.2.1CERCAS
Uno no puede evitar la intrusión solamente llenando de cercas con hileras de alambre de púas o púas de concertina (BTC de ahora en adelante, por sus
siglas en inglés). Sin embargo, el rollo de alambre de púas en, o próximo a, una cerca estándar, puede aumentar la capacidad de demora de la cerca
(Kodlick, 1978).

Una de las anexiones más rentables para una cerca es adosar un rollo de alambre de púas a las vigas de unión, lo que obliga al intruso a tener ayuda
adicional o usar equipos más grandes para trepar la cerca. La dirección de las vigas de unión no hace gran diferencia en el tiempo de escalada (Kodlick,
1978), aunque la dirección de estas cintas apuntando hacia el interior elimina el asidero usado por los intrusos cuando trepan una cerca.

Además, los rollos de alambre de púas pueden ser colocados horizontalmente sobre el suelo o contra el material del cerco. Generalmente, estos rollos están
puestos dentro del cerco perimetral exterior y fuera del cerco interior (doble). Este orden evita accidentes y lesiones por el paso de transeúntes ocasionales,
tanto fuera como dentro del sitio. Los rollos colocados horizontalmente deben ser enterrados en el suelo, y requerirán mantención, por ejemplo, prevenir el
crecimiento excesivo de las plantas y otros desechos que los obstruyan. Los rollos de alambre de púas tienden a ocultar las vistas de los CCTV en las zonas
despejadas, por lo que aumenta el tiempo de evaluación.
Normalmente toma varios minutos penetrar un cerco que está fortificado con rollos de alambre de púas. Los pocos minutos de demora que los montículos
de concertinas (BTC) añaden pueden no justificar su costo, especialmente para sitios grandes (Kane & Kodlick, 1983).

PORTONES
9.2.2
Los portones establecen puntos de entrada y salida a un área definida por una cerca o pared. Ellos limitan o prohíben el flujo de peatones o el tráfico
vehicular y establecen patrones de tráfico controlado. Las barreras de portones y cercas perimetrales en un sitio deberían proveer el mismo nivel de demora.
Las bisagras de los portones, cerraduras y cerrojos pueden requerir un reforzamiento adicional.

Debido a que los portones generalmente enfrentan el camino de entrada de vehículos, pueden ser especialmente susceptibles a ser embestidos por un
vehículo. Elegir cuidadosamente la orientación de estos portones y sus caminos de acceso puede reducir la probabilidad de embestidas violentas. Al diseñar
los caminos de acceso con múltiples vueltas a cada lado del portón se puede reducir la velocidad de aproximación y de retirada que los vehículos pueden
alcanzar.

Una forma de actualizar los portones para vehículos es usando varias puertas reforzadas en el perímetro. Los portones pueden estar interconectados, lo que
requiere que un portón se haya cerrado antes que el otro pueda ser abierto. El espacio entre portones proporciona un área de espera y entrega más tiempo
para determinar si hay contrabando de materiales o personas no autorizadas que puedan estar tratando de entrar o salir.

BARRERAS VEHICULARES
9.2.3
Los vehículos motorizados privados deben mantenerse fuera de las áreas seguras en la medida de lo posible, ya que pueden ser usados para introducir
herramientas y explosivos, aún sin conocimiento de su conductor. Los automóviles y camiones pueden chocar la mayoría de las cercas. Las barreras
vehiculares deberían ser instaladas dentro de la zona de detección y evaluación para asegurar una demora válida. Los siguientes son los pasos clave a la
hora de seleccionar el tipo y ubicación de los sistemas de barreras vehiculares:

• Definir la amenaza que se intenta detener con el sistema de barrera, considerando peso, velocidad de impacto y otras características físicas.
• Definir el activo y área que se va a proteger.
• Examinar el lugar, estudiar el terreno, el trazado de los caminos en y alrededor del área protegida, los edificios y zonas de estacionamientos, el clima
y los patrones de tráfico alrededor del área.
• Tener en cuenta todo el sistema de protección física.

Una vez que el sistema de barreras se ha establecido, el siguiente paso es seleccionar el tipo de barreras más adecuadas para protegerse contra la amenaza
vehicular definida. La instalación correcta es esencial. En áreas donde no se puede monitorear continuamente, pero puede ser chequeada periódicamente
con rondas de los oficiales de seguridad, tiene sentido instalar barreras que sean difíciles de vencer. Se pueden instalar tubos llenos de hormigón para
demorar un adversario el tiempo suficiente para que sea detectado por un oficial de seguridad. Por el contrario, las barreras de cables pueden ser violadas
fácilmente con herramientas para cortar que pueden ser llevadas en la mano. Las barreras de cable deberían utilizarse sólo en áreas que son bien
patrulladas, o sino, controladas con sensores y vigiladas desde un CCTV. La altura óptima de una barrera depende del tipo de vehículo, pero generalmente
es de aproximadamente 76cm (Sena, 1984).

Todas las barreras pueden ser violadas si permiten al adversario el tiempo y equipo necesario. Al denegar el acceso vehicular rápido se obliga al adversario
a llevar herramientas o ayudas para violar otras barreras o gastar tiempo tratando de mover el vehículo a través de la barrera vehicular. Evitando que el
adversario use un vehículo para penetrar el área lo vuelve más lento en el interior del área y también hace más lento su escape.

Un sistema de barreras debe ser capaz de detener un vehículo amenaza definido a una distancia específica del área protegida, independientemente de dónde
se inicia el ataque. La capacidad de interrupción de barreras fijas y móviles debe equilibrarse entre sí para evitar cualquier eslabón débil en el sistema. En
algunos casos, se puede necesitar protección bidireccional con barreras.

Para que un vehículo sea detenido, se debe disipar su energía cinética (proporcional al cuadrado de su velocidad y masa). La mayoría de las barreras
vehiculares son diseñadas para detener vehículos a través de uno o más de los siguientes métodos:

• Supresor de vehículo: Este absorbe la mayor parte de la energía cinética de un vehículo, aplicando una fuerza resistente de baja a moderada para
detener a un vehículo gradualmente dentro de una distancia relativamente larga. Ejemplos de este método son los pesos que son arrastrados por un
vehículo y se acumulan con la distancia recorrida, o un montón de arena suelta.
• Amortiguador de choque: este absorbe la energía cinética del vehículo, proporcionando una fuerza resistente fuerte para detener un vehículo en una
distancia más corta. Ejemplos de este método incluyen contenedores de plástico llenos de líquido y una serie de barriles de acero vacíos apoyados en
sólidos soportes.
• Dispositivo de inercia: este intercambia impulso y energía cinética con un vehículo durante el impacto, utilizando una fuerza muy resistente para
detener un vehículo a la distancia más corta. Ejemplos de este método incluyen formas sin anclar, relativamente pequeñas de hormigón y barriles
llenos de arena.
• Dispositivo rígido: Este proporciona una alta fuerza resistiva para detener vehículos en distancias muy cortas. El vehículo disipa casi toda su propia
energía cinética, ya que se deforma durante el impacto. Ejemplos de este método incluyen formas voluminosas de hormigón y estructuras de acero
bien ancladas.

El Departamento de Estado de Estados Unidos establece estándares de funcionamiento para barreras perimetrales y barreras de vehiculares. Un estándar
nuevo es ASTM F 2656-07, que se aplica a barreras vehiculares fijas. Especifica cómo deben realizarse las pruebas; cuál es la gama de pruebas que debe
hacerse para certificarse; qué tipo de vehículos, pesos, y velocidades usar; y cuáles son los índices de penetración. Las especificaciones, de 16 páginas,
pueden adquirirse en ASTM. El rango de clasificación incluye desde pequeños automóviles a moderada velocidad, hasta camiones pesados a alta
velocidad. Las barreras para vehículos varían en grosor desde menos de 1 metro (3,3ft) a más de 30 metros (98ft).
9.3 BARRERAS ESTRUCTURALES

Las barreras estructurales incluyen paredes, puertas, ventanas, puertos de servicios, techo y pisos. La mayoría de las paredes de los edificios industriales y
de las puertas cerradas pueden ser penetradas en menos de un minuto, y las ventanas y ductos de servicio proveen a los intrusos de rutas adicionales para
entrar o salir. Las rejillas metálicas expandidas ofrecen una pequeña demora a los adversarios decididos. En menos de cinco minutos, un adversario con
explosivos y herramientas de corte puede hacer un agujero para arrastrarse a través de una pared de hormigón reforzada de 18 pulgadas de espesor. Las
pruebas en el Sandia National Laboratories muestran que el hormigón es rápidamente removido con cargas explosivas (White, 1980).

El reforzamiento de un edificio normalmente construido contra la penetración por la fuerza durante un periodo significativo rara vez es práctico o rentable.
Además, debido a que las puertas deben ser abiertas o desaseguradas durante las horas de trabajo para las necesidades operacionales y para el uso como
salidas de emergencia, proveen un camino fácil al adversario a través de las paredes. La demora que se puede lograr con el reforzamiento del edificio es
limitado.

9.3.1PAREDES
Las paredes son generalmente más resistentes a la penetración que las puertas, ventanas, rejillas de ventilación, y otras aberturas. Sin embargo, la mayoría
de las paredes pueden ser violadas con las herramientas correctas. En efecto, una pared puede ser el mejor camino para un adversario que entre a la fuerza.
Los vehículos grandes pueden arremeter a través de bloques de hormigón, estructuras de madera y muchos otros tipos de paredes comunes. Dependiendo
de la resistencia de la pared y del tipo de vehículo, ésta puede o no puede ser operable después del impacto.

Los explosivos pueden producir agujeros lo suficientemente grandes como para arrastrarse a través de ellos. El mejoramiento de las paredes o el aumento
de su grosor por lo general sólo añade una demora moderada en contra de los explosivos, aunque la cantidad de necesaria de explosivos aumenta
sustancialmente con el grosor de las paredes. El mejoramiento puede ser más efectivo al extender la demora de penetración con las herramientas de mano,
de energía o térmicas.

Estos son los tipos de paredes más comunes en instalaciones:

• Hormigón armado
• Metal/concreto expandido
• Bloque de hormigón
• Teja de barro
• Prefabricados de hormigón secciones T
• Asbesto corrugado
• Lámina de metal
• Estructura de madera

Los muros de hormigón armado generalmente son utilizados en estructuras donde se almacenan o usan materiales sensibles y, generalmente, se cree que
son barreras formidables. Si embargo, las pruebas han mostrado que los muros de hormigón armado comunes pueden ser penetrados rápidamente (White,
1980). Habitualmente son diseñados para soportar cargas estructurales, no para impedir o demorar la penetración. En las construcciones convencionales,
los requerimientos estructurales, no las necesidades de seguridad, son las que generalmente determinan la fuerza y el grosor de hormigón y el tamaño y
espaciamiento de los materiales de refuerzo.

La colocación de dos o más paredes de hormigón armado en serie generan demoras de penetración más largas que la utilización de una pared tan gruesa
como las dos paredes combinadas. Para penetrar múltiples paredes se requiere múltiples esfuerzos individuales y el transporte de herramientas a través de
las paredes antecesoras. Si se usan explosivos, la presión contenida de la explosión podría colapsar el techo y las estructuras circundantes, creando más
barreras en forma de escombros.

El refuerzo del hormigón generalmente extiende la demora de penetración. Aún después de una explosión, las barras de refuerzo generalmente permanecen
intactas, al menos lo suficiente para que el adversario deba quitarlas antes de pasar. Quitar las barras de refuerzo a menudo toma más tiempo que quitar el
hormigón. La demora puede ser aumentada utilizando barras de refuerzo adicionales, aumentando el tamaño de las barras de refuerzo, o disminuyendo el
espaciamiento centro-a-centro de las barras de refuerzo.

Otra forma de incrementar la demora es usar una cubierta de tierra u otra sobrecarga para demorar el acceso a la pared misma. La sobrecarga es una defensa
barata y efectiva contra todos los métodos de ataque.

9.3.2PUERTAS
La parte más débil de una barrera determina el valor máximo de la barrera. El principio de equilibrio de diseño se aplica particularmente a las puertas. Estas
se clasifican de la siguiente manera:

• Puertas industriales estándar

• Puertas para el personal
• Puertas a prueba de balas y ataques
• Puertas de acceso de vehículos
• Puertas de bóvedas
• Puertas resistentes a explosiones
 • Puertas torniquetes

La demora de la penetración proporcionada por las paredes puede ser aumentada con materiales más gruesos o compuestos. Las puertas, sin embargo,
tienden a ser un eslabón débil en la estructura debido a sus requerimientos funcionales y el equipo asociado. Por ejemplo, muchos edificios con paredes de
hormigón pesado ofrecen accesos peatonales a través de puertas de acero huecas. El valor de barrera de las paredes es relativamente alto, pero se debilita
por el uso de puertas, marcos y bisagras comunes.

El principio de diseño equilibrado requiere que las puertas y sus correspondientes marcos, bisagras, pernos y cerraduras sean reforzadas de modo que
proporcionen la misma demora que la que proveen los pisos, paredes y techos de la estructura principal. Si el montaje de la puerta no puede ser lo
suficientemente reforzado, es probable que no sea rentable mejorar la estructura del edificio. En los últimos años un gran número de fabricantes de puertas
las han hecho resistentes a balas y ataques. Cuando se instalan correctamente, estas puertas aumentan la resistencia a la penetración.

La mayoría de las puertas exteriores son de 44mm de espesor con una superficie de lámina de acero de 1,5 o 1,2mm. Su construcción suele ser hueca o de
material compuesto (composite) y las puertas pueden tener cristal o celosías de ventilación. Una puerta de material compuesto contiene materiales no
combustibles y aislantes de ruido, generalmente espuma o placa de poliuretano. A veces, como refuerzo, se usan canales verticales finos en el interior del
núcleo hueco de las puertas, lo que añade resistencia y rigidez.

Las puertas peatonales de acero se encuentran en configuraciones simples o dobles. Las puertas exteriores por lo general se mueven hacia fuera y tienen sus
dispositivos de cierre instalados internamente. Las bisagras van sujetas con pernos removibles o fijos. La barras de pánico en las salidas de emergencia
hacen que esas puertas sólo sean una barrera unidireccional. Tales puertas son más fáciles de vencer en el camino, y también hacen que sea más fácil
abandonar el edificio para el atacante. En algunos casos, un sistema de demora de 30 a 45 segundos puede incluir una puerta de salida de emergencia. Bajo
circunstancias normales, los mecanismos de demora evitan la apertura de la puerta en un tiempo determinado. Sin embargo, si se jala una alarma de
incendio o el sistema automático de extinción de incendios se activa, el mecanismo de demora es anulado.

Los tiempos de penetración varían para una puerta estándar de lámina de acero liviana. Un ataque con explosivos es ruidosa y obviamente produce
evidencias de penetración, lo cual puede ayudar en la detección de un ataque. Los atacantes pueden también utilizar herramientas de corte térmicas. Las
herramientas eléctricas pueden producir un hoyo lo suficientemente grande para pasar a través de él en tres minutos.

Las llaves para cerraduras estándar, si son accesibles, son susceptibles de ser retiradas. El tiempo para sacarlas depende del tipo y de la condición de la
cerradura, pero el promedio es de un minuto aproximadamente para un cerrajero experto. Usando un tubo o una cinta de correa en una llave para cerradura
de manilla, un intruso puede entrar fácilmente en menos de un minuto. Las herramientas para sacarlas funcionan sólo si la ranura está disponible, y la llave
de tubo funciona sólo en la cerraduras expuestas. Las puertas que no necesitan el modo de entrada (estrictamente de salida) pueden ser totalmente
empotradas sin equipo exterior. Si se requiere ranura, se pueden obtener mayores demoras de las cerraduras de alta seguridad con largos tiempos para
sacarlas. El uso de sensores de puertas reduce las vulnerabilidades de las cerraduras.

En las puertas exteriores, los pines de las bisagras generalmente están expuestos y por lo tanto son objetivos naturales de ataque. Incluso los pernos no
removibles de las bisagras pueden ser sacados rápidamente con herramientas de mano. También pueden ser utilizadas las herramientas térmicas o los
explosivos. Se requiere tan sólo un minuto para vencer las bisagras (normalmente tres) de una puerta exterior. Las persianas, ventanas y rejillas en las
puertas pueden ser penetradas con herramientas de mano, que también pueden crear un hoyo para arrastrarse en el vidrio laminado, templado o blindado en
15 segundos. Tarda sólo 30 segundos sacar a la fuerza una persiana o rejilla.

Las puertas exteriores son susceptibles de ser embestidas por un vehículo. También pueden ser usadas las herramientas de búsqueda y rescate, como las
escopetas especiales que utiliza la policía para violentar puertas, y los separadores hidráulicos que utilizan los bomberos.

Para coincidir con la demora prevista para toda la estructura, se necesitan mejores diseños para las puertas industriales. Los tiempos de penetración para las
puertas industriales varían bastante, partiendo de los 10 segundos. Las barras de pánico interiores pueden ser requeridas por los códigos de incendio y
construcción.

Cuando el reemplazo de todas las puertas no es una opción, se pueden actualizar las puertas más antiguas. En las instalaciones nuevas o cuando es
necesario un reemplazo de todas las puertas, deberían instalarse las nuevas puertas de alta seguridad resistentes a ataques.

A menudo la estructuras existentes cuentan con puertas peatonales de acero montadas en marcos de acero estampado. Tales puertas ofrecen una pequeña
resistencia a los ataques con fuerza, pero pueden ser actualizadas para resistir mejor los ataques con herramientas de mano, eléctricas o térmicas.

La eliminación de las puertas innecesarias es el primer paso en el mejoramiento de la resistencia a la penetración en una instalación. La eliminación de
ventanas, persianas, manillas exteriores y ranuras innecesarias es el paso siguiente. Añadir láminas de acero a las superficies de las puertas aumenta la
resistencia contra la penetración con herramientas de mano y eléctricas. El peso adicional puede ser soportado con bisagras de alta resistencia, y revestir los
marcos con hormigón puede fortalecer la estructura de soporte. Colocando núcleos de madera, especialmente de Secoya roja, entre las láminas de la puerta,
se incrementa el tiempo de demora para cortes con una herramienta térmica en tres a cuatro veces más que con la de aire.

Los atacantes pueden usar herramientas de mano para atacar el área de cerradura/marco de una puerta, forzando el marco lejos del cerrojo. La separación
forzada de 13 a 19mm generalmente es suficiente para abrir una puerta. Para evitar el fácil acceso al área de cerradura/marco, se puede soldar o apernar una
tira de lámina de acero a la puerta. La tira debería ser de la misma altura de la puerta y a lo menos de 51mm de ancho con una superposición de 25mm en el
marco de la puerta contigua. El marco de la puerta debería ser rellenado con hormigón al menos 18cm sobre la ubicación del marco, y en ambos lados del
marco. Las puertas peatonales exteriores deben ser equipadas con cerraduras de alta seguridad. Reemplazando una cerradura convencional simple con una
de alta seguridad, con sistema de múltiple cerrojo, se debería prácticamente eliminar los ataques de forcejeo haciendo palanca.
Las bisagras pueden verse comprometidas en alrededor de un minuto, ya sea removiendo los pernos o cortando los nudillos de la bisagra. Soldar la parte
superior del perno a la bisagra extiende el tiempo de penetración si es que sólo se utilizan herramientas de mano; sin embargo, si se cortan los nudillos de la
bisagra con herramientas térmicas o eléctricas, el tiempo de penetración sigue siendo de un minuto aproximadamente. Mejorar las bisagras con un
espárrago (tornillo) roscado puede extender el tiempo de penetración. Otra forma de evitar la extracción de una bisagra lateral de la puerta es apernar o
soldar un tira de acero-Z a la cara posterior de la puerta. Si se quitan las bisagras y se realiza un intento de quitar la puerta de su marco, una pierna de la
tira-Z hará contacto con la superficie interna del marco o con la superficie del tope posterior de la puerta. Una vez que la tira-Z entra en contacto con el
marco de la puerta, los adversarios deberían usar herramientas más grandes y mayor fuerza para poder sacar la puerta. Las bisagras con diseños de larga
duración también pueden extender significativamente los tiempos de penetración.

Las barras de pánico (o choque) pueden ser vencidas en alrededor de un minuto con pequeñas herramientas de mano, lo cual produce menos ruido que el
corte térmico. Si el ruido no es un factor, se pueden utilizar las herramientas de mano o eléctricas. Una forma de mejorar la barra de pánico de una puerta es
instalar una placa de metal doblado con una sección resistente al taladro sujeta a la misma. La placa impide el cincelado y el enganchamiento con un
alambre de la barra de pánico. La sección resistente al taladro extiende el tiempo de penetración considerablemente si es atacada el área entre la barra de
pánico y la pierna horizontal de la placa. La salidas de emergencia también pueden utilizar dispositivos de control electrónico que requiere que la barra de
empuje sea presionada por un periodo determinado antes que la cerradura electrónica sea liberada. Esta demora le permite al oficial de seguridad un tiempo
para evaluar la situación a través del CCTV y responder si es necesario. Otra recomendación es eliminar las manillas exteriores y otros equipos de las
puertas de salidas de emergencia. Haciéndolo así, se dificulta los ataques de forcejeo desde el exterior, pero no pone en peligro la salida de emergencia
rápida.

Debido a que las persianas y el material de cristales pueden ser penetrados fácilmente con herramientas de mano, su uso debería ser reducido al mínimo en
las puertas exteriores. Si todavía sigue siendo necesario, debería reducirse en tamaño así nadie puede arrastrarse a través de ellas. También pueden ser
reforzadas con una malla o rejilla dentro de la abertura.

9.3.3VENTANAS Y PUERTOS DE SERVICIO

Sin una mejora, las ventanas demoran al adversario sólo ligeramente. Las ventanas deberían seguir el principio de diseño equilibrado, de este modo no
serían el eslabón débil en un sistema de barreras. Esta sección describe los marcos, cristales, cubiertas protectoras y otros medios para mejorar los tiempos
de demora de penetración de las ventanas.

Aparte de las puertas y ventanas, las instalaciones industriales tienen muchas aberturas estructurales desatendidas, tales como los ductos de ventilación,
túneles y aberturas de servicios, los cuales pueden ser utilizados como vías de intrusión. Sobre todo si las aberturas están diseñadas especialmente para
otorgar fácil acceso para mantenimiento, pocas de estas aberturas estructurales podrían demorar a un adversario decidido por mucho tiempo. Debido a que
estas aberturas ofrecen caminos ocultos, deberían tener barricadas y sensores. Puertos de servicio son todos los tipos de aberturas enmarcadas desatendidas
aparte de las puertas y ventanas. Cualquier rejilla que se ponga puede proporcionar protección u ornamentación, o evitar el paso de insectos, pero ofrecen
poca seguridad. Las ventanas estándar y los puertos de servicio constituyen potenciales eslabones débiles en un sistema de barreras. La mayoría de las
ventanas que no han sido mejoradas pueden ser penetradas con herramientas de mano en menos de 30 segundos. Los puertos de servicio pueden tener
cubiertas que no están cerradas o protegidas con barreras interiores.

La resistencia y peso del marco de una ventana varía ampliamente. Algunos fabricantes ofrecen una faja de seguridad pero fallan en endurecer el material
del marco. Cuando las ventanas son instaladas en puertas, por lo general pueden ser penetradas en pocos segundos con herramientas de mano. Algunos
marcos de ventanas especiales contienen materiales ocultos que resisten el corte. En una ventana que se puede abrir y cerrar, el mecanismo de cierre de la
ventana puede ser un punto débil, permitiendo que se abra si el mecanismo es forzado. Los mecanismos de cierre no debiesen ser fácilmente accesible
desde el exterior. Las opciones de mejora incluyen ventanas fijas o dispositivos de cierre más sustanciales.

La fijación del marco de la ventana a la estructura puede ser reforzada con elementos de fijación adicionales o más pesados, o mediante una soldadura del
marco. El tiempo de demora a través de una ventana no se puede aumentar, a menos que se hagan mejoras adicionales a los cristales y los revestimientos
protectores. Los materiales cristalizados incluyen vidrio laminado, templado y de alambre estándar. Estas barreras son una defensa contra los elementos,
pero no contra los intrusos.

El cristal estándar es muy frágil. La penetración con herramientas de mano por lo general toma solo pocos segundos. Para una mayor resistencia a la
penetración, se puede hacer uso de cristal de espesor grueso. Además, los materiales de acristalamiento con frecuencia se mejoran con una rejilla de
protección de malla de acero expandido u otras formas de rejas de metal. El vidrio templado, formado a través del recalentamiento y rápido enfriamiento,
presenta mayor resistencia mecánica y mejores características de estrés térmico, pero puede ser quebrado con el golpe de herramientas de mano en pocos
segundos.

El cristal de alambre se utiliza frecuentemente en puertas y ventanas contra incendios. El material grueso (6mm) es fabricado con los modelos de alambre
cuadrado, hexagonal o diamante. El cristal de alambre puede ser penetrado con herramientas de mano en 20 minutos aproximadamente. El cristal laminado
es hecho de dos o más hojas de cristal flotado (float) recocido, lámina o placa de cristal unida a una capa o capas de plástico. El cristal inastillable ocupado
en seguridad ocupacional, que es de 6mm de grosor, puede ser penetrado en 30 segundos, mientras que el cristal ocupado en seguridad física que es de
14mm, requiere 15 minutos de trabajo con herramientas de mano para producir un agujero que permita pasar a través de él. El cristal de seguridad no es un
blindaje transparente, pero resiste la penetración forzada mejor que el cristal estándar.

A veces, el plástico transparente puede sustituir el cristal, aunque algunos son combustibles y su empleo puede estar restringido por los códigos de
incendio. Los plásticos acrílicos como Lucite® y Plexiglas®, si tienen menos de 25mm de grosor pueden ser rotos con herramientas de mano en menos de
10 segundos. Los policarbonatos, por el contrario, resisten el impacto casi tan bien como el cristal a prueba de balas. Las pruebas muestran que el Lexan®
de 13mm de grosor resiste la penetración con herramientas de mano por un máximo de dos minutos (Nuclear Security System Directorate, 1989). Los
ataques con herramientas térmicas requieren alrededor de un minuto, pero también causan combustión y la liberación de gases tóxicos.
El acristalamiento compuesto de cristal/policarbonato contiene un núcleo duro de policarbonato entre dos capas de vidrio. El acristalamiento fue
desarrollado para el uso en prisiones. En la pruebas, los compuestos de cristal/policarbonato fueron penetrados cuando se usaron herramientas de mano y
hachas de fuego, pero los paneles más gruesos demoraron 10 minutos frente a diversas herramientas de acero (Nuclear Security Systems Directorate,
1989).

La resistencia a la penetración de las ventanas y los puertos de servicio puede aumentarse con rejillas, barras, mallas de metal expandido o pantallas. Las
mallas y las rejillas de red de acero, metal expandido, barra de acero, tubos o barrotes pueden ser usados para reducir el tamaño de una abertura en un
puerto de servicio y así evitar que alguien se pueda arrastrar a través de ellos. Esta cubiertas deben ser colocadas en o después de las medidas de detección
apropiadas. Las mejoras en las ventanas deben ser guiadas por el concepto de diseño equilibrado. Con el mejoramiento apropiado (cubierta de protección,
rejillas y mallas), diferentes materiales de acristalamiento o métodos actualizados de fijación de marcos, el tiempo de demora de las ventanas puede
aproximarse al tiempo de demora de las puertas, o incluso de las paredes para algunas amenazas.

La mayoría de los túneles usados para unir edificios no están bien protegidos. El acceso puede ser controlado sólo por cubiertas de elevación desbloqueadas
o tapas de alcantarillas (manhole). Las canalizaciones de tuberías interiores de los edificios a menudo están congestionadas, pero aún dejan espacio para el
trabajo de mantención. Los ductos asociados a la calefacción, ventilación y sistemas de aire acondicionado podrían proporcionar una ruta para el
adversario. Los túneles, alcantarillas, techos, aberturas en las paredes para equipos, y conductos pueden ser mejorados con las barreras interiores.

En el caso de los edificios nuevos, los diseñadores deberían considerar múltiples ventanas de menor tamaño que un ser humano y aberturas pequeñas para
los ductos de servicios. El empleo de ventanas muy estrechas –102mm o menos- aumenta el tiempo de penetración, ya que aún con el retiro del cristal, la
abertura tendrá que ser ampliada para crear un agujero del tamaño de una persona. Se podrían quitar algunas ventanas de las estructuras existentes para
permitir que la abertura de la ventana original sea mejorada para que tenga los mismos tiempo de demora de penetración que la pared contigua.

TECHOS Y PISOS
9.3.4
Los techos y pisos protegen del clima, proveen espacios para trabajar y sirven como barreras protectoras. Al considerar su valor de seguridad, habría que
examinar las amenazas de penetración de adversarios decididos que usan una combinación de herramientas de mano, eléctricas y térmicas, así como de
explosivos.

Los techos y pisos se construyen utilizando métodos similares, pero varían en grosor, tipo y cantidad de refuerzo de acero, y de resistencia del hormigón
necesario para soportar la carga. En general, comparados con los techos, los pisos ofrecen mayor resistencia a la penetración porque están protegidos por la
estructura principal y son diseñados para resistir cargas más pesadas.

Los tipos de techos actuales incluyen lo siguiente:

• Viga en T de hormigón pretensado

• Hormigón armado y sub-cubiertas de metal
• Cubiertas de techo metálicas con hormigón liviano
• Cubiertas de techo metálica con aislamiento
• Techo de metal
• Viga de hormigón armado y losas
• Revestimiento de madera con membrana

Los techos, tanto los nuevos como los existentes, pueden ser mejorados de diversas formas. Las mejoras por debajo de la línea del techo generalmente
otorgan el mayor valor. A continuación algunos métodos de mejoras de techos:

• Mejora de las membranas con pantalla incorporada

• Añadir varios centímetros de aislamiento rígido
• Usar hormigón armado con barras de acero deformadas y mallas de acero expandido
• Formar grandes barras en varias filas o capas de hormigón armado
• Aumentar el número de elementos de fijación y añadir miembros estructurales a los techos corrugados
• Usar fijaciones mecánicas o uniones y soldadura continua y material de mayor calibre en sistemas de techos metálicos
• Usar grandes barras para reforzar el área del borde de las vigas T prefabricadas de hormigón.

Las pruebas de penetración sugieren que las barreras colocadas debajo del techo pueden ser más efectivas contra la penetración que aquellas en el techo
mismo. En algunas estructuras, esas barreras se pueden añadir sin hacer grandes modificaciones. El empleo de mejoras debajo de la línea de techo podría
obligar al adversario a realizar una segunda penetración, y podría estar en un espacio limitado y requerir diferentes tipos de herramientas, lo que le añade
un desafío al adversario. La distancia óptima entre el techo y la barrera secundaria es de 254 a 305mm. El pequeño espacio puede crear un efecto de
agujero o poner trabas al adversario para penetrar la siguiente barrera. Los materiales de mejoramiento incluyen malla de cantera, malla de acero de bóveda
de banco y rejillas de piso.

Agregar una cubierta de tierra puede incrementar la demora tanto a través del techo como de las paredes. Tanto las estructuras bajo tierra como las de corte-
y-cubierta (cut-and-cover) usan una cubierta de tierra para demorar el acceso y proteger contra explosiones.

BARRERAS PRESCINDIBLES
9.3.5
Las barreras prescindibles se instalan sólo cuando es necesario (específicamente, durante un ataque), y pueden ser activas o pasivas.
Las barreras prescindibles activas pueden –cuando son activadas- detener o demorar el logro del objetivo de un adversario. Un sistema común de barreras
prescindibles activas incluye estos elementos:

• Un proceso para decidir cuando activar la barrera prescindible

• Equipos de mando y control
• Material que se despliega para demorar el acceso o incapacitar al adversario
• Un mecanismo de distribución
• Oficiales de seguridad en el lugar

El proceso de decisión puede empezar con el oficial de seguridad, un sensor de intrusión o la combinación de ambos. El diseño del equipo adecuado y los
procedimientos operacionales pueden ayudar a encontrar el justo equilibrio entre asegurar que se produzca la activación ante un ataque y minimizar el
riesgo de activación accidental.

El equipo de mando y control recibe la decisión de activación y opera el equipo de distribución. Por lo tanto, el equipo de mando y control se sitúa entre el
mecanismo de decisión y el equipo de distribución, lo que puede estar ampliamente separado. Por ello, es necesario considerar el riesgo de que el proceso
podría ser interrumpido por radiación electromagnética, rayos, terremotos, subidas de tensión y otras condiciones graves. El equipo de mando y control
hace posible evitar los peligros para el personal que estén en el área si se produce una activación involuntaria.

El material prescindible, normalmente almacenado en formas compactas, se expande a un estado de demora efectiva a través de reacciones químicas o
físicas. El equipo de distribución es único para cada material y aplicación, pero generalmente consiste en tanques de almacenamiento, válvulas de
activación, reguladores de presión, válvulas de seguridad, filtros, fuentes de energía, y equipo de fontanería. El equipo de distribución tiende a ser caro, y
debe estar asegurado para que un adversario no pueda usarlo o inutilizarlo.

Las barreras prescindibles obligan al adversario a vencer la barrera y evadir la fuerza de respuesta. Tales barreras generalmente aíslan al adversario
visualmente, acústicamente, en un lugar determinado, o los tres. Este desafío adicional para el adversario aumenta la probabilidad de que el sistema global
de protección física funcionará como se desea.

Las barreras prescindibles pasivas presentan muchas de las mismas ventajas, pero no requieren un sistema de mando y control. En cambio, el intento de
penetración del adversario activa el mecanismo de distribución. Eliminar el equipo de mando y control, hace que las barreras prescindibles pasivas sean
más baratas que las activas.

Las barreras estructurales tienen el atractivo de la simplicidad; a pesar de eso, a veces las barreras prescindibles son más baratas y pueden ajustarse mejor a
las necesidades operacionales del lugar. Los materiales prescindibles y los equipos asociados que se están desarrollando y probando incluyen espuma de
poliuretano rígida, espuma acuosa estabilizada, humo o niebla, espuma pegajosa termoplástica y varios dispositivos de enredo.

La espuma rígida ha sido utilizada para el almacenamiento de activos o para protegerlos en tránsito. La espuma acuosa estabilizada, la cual se ha usado en
lugares de gobierno en el extranjero, también es un retardador de fuego, añadiendo beneficios de seguridad. Los irritantes, incluyendo la pimienta maza
(mace), se puede agregar a la espuma acuosa para demorar más aún al adversario. Los humos y nieblas son fáciles de distribuir con máquinas de hielo seco
disponibles en el mercado u otras máquinas de nebulización (como las que se utilizan en el teatro). La espuma pegajosa ya ha sido utilizada en aplicaciones
especializadas y se ha considerado para su uso en aplicaciones no letales, tales como sacar prisioneros de su celda o controlar multitudes. Los dispositivos
de enredo incluyen bobinas de alambre o mallas suspendidas en los techos y el lanzamiento de papel picado sobre el adversario. Tales elementos funcionan
mejor en combinación con barreras de humo o niebla, que pueden ocultar los dispositivos de enredo. La seguridad de las personas es una consideración
importante al decidir si hay que usar ciertas barreras prescindibles.

Las barreras prescindibles generalmente se instalan muy cerca de los activos que se desea proteger. Esa ubicación es la más efectiva (es más fácil llenar un
pequeño espacio con humo o niebla que uno grande) y, al mismo tiempo, es la ubicación más asequible. El uso de materiales prescindibles cerca del
objetivo (idealmente en la habitación donde se guarda el activo), minimiza la limpieza y la contaminación colateral.

Los diversos materiales prescindibles tienen sus propias fortalezas. Elegir el mejor material para una determinada aplicación requiere equilibrar las
siguientes fortalezas de la barreras prescindibles:

• Mínimo impacto en las operaciones

• Capacidad para proteger volúmenes
• Seguridad para el personal
• Capacidad para operar independientemente de las barreras
• Múltiples opciones de activación
• Larga vida de almacenamiento
• Proporciona protección en profundidad
• Puede ser rentable

Las tecnologías que combinan demora y respuesta, están siendo desarrolladas en la actualidad para proteger activos de alto valor. Por ejemplo, un nuevo
sistema de arma de fuego de activación remota es operado por un oficial de seguridad en una ubicación remota, bien asegurada. Fuera del peligro, el oficial
puede evaluar mejor la situación y responder adecuadamente. Otro sistema, utiliza ondas milimétricas para producir una sensación de ardor severa en la
piel del adversario (pero no un daño físico), alejando al intruso.
9.3.6PROCEDIMIENTOS
La mayoría de las barreras pasivas requieren solamente una limpieza normal, inspección periódica o mantenimiento. Por ejemplo, cercas, puertas y
ventanas deberían ser reparadas o reemplazadas si se sueltan o rompen. Los procedimientos de mantención para los sistemas de demora prescindibles
varían ampliamente. Los sistemas prescindibles pasivos deben ser chequeados por daños evidentes y la presión adecuada en los diseños presurizados. Los
sistemas prescindibles activos requieren pruebas de rutina del sistema de mando y control. Los sistemas de demora prescindibles tienden a durar entre 10 a
25 años.

Algunos puntos de acceso –puertos de servicio, ductos o tuberías de drenaje- pueden ser equipadas con sensores para proporcionar una alarma cuando son
alteradas. Ubicar el sensor donde será activada tempranamente en el rango de demora del punto de acceso, puede crear una combinación efectiva de
detección y demora.

9.4 CAJAS FUERTES

Las cajas fuertes pueden ser una importante contribución en cualquier programa de seguridad, pero no porque un contenedor se llame caja fuerte
necesariamente protegerá en forma adecuada lo que se guarde allí. Las características y limitaciones de varios tipos de cajas fuertes deben ser
comprendidas. Una caja fuerte diseñada para protección contra el fuego no sería eficaz en la prevención de una entrada forzada. Los materiales usados para
disipar el calor pueden hacer poco para resistir el golpe de un martillo. Una caja fuerte diseñada para proteger dinero dará poca protección contra el fuego
debido a que sus gruesas paredes de acero transmiten rápidamente el calor hacia el interior. Los papeles se destruirán rápidamente por el fuego en un
contenedor de ese tipo.

Underwriters Laboratories Inc. (UL) ha establecido un servicio de etiquetado para definir el nivel de protección que debe proporcionar cada caja fuerte. Los
diferentes niveles y estándares para la clasificación de cada una se tratan más adelante.

Los tipos de caja que se han incluido en esta discusión, en general se pueden clasificar como portátiles. Esto quiere decir que, a menos que se hayan
anclado en el lugar, pueden ser movidas con equipos básicos y fácilmente disponibles. Incluso si el contenedor se ha clasificado como resistente a robos,
podría ser sacada del recinto intacta para ser penetrada por los ladrones cuando les sea conveniente. Una caja fuerte con ruedas no es resistente a robos. Un
contenedor de este tipo, en un área aislada, sin algún otro tipo de protección como alarmas o vigilancia, debe considerarse vulnerable. Lo estándares UL
exigen que una caja fuerte que pesa menos de 340kg debe ser anclada.

Esta sección examina (1) registro de cajas fuertes diseñadas para protección contra fuego y (2) cajas fuertes diseñadas para protección de objetos de valor
contra la penetración forzada.

CAJAS PARA PROTECCIÓN DE REGISTROS CONTRA INCENDIOS

9.4.1
Los registros son la savia vital de toda organización. El volumen de registros ha ido aumentando constantemente y los formatos de los registros han
cambiado incluyendo los medios magnéticos (tales como discos o cintas), los cuales son más vulnerables al calor y las llamas que los papeles.

Los registros pueden ser protegidos en cajas fuerte que han sido científicamente aisladas y construidas para resistir el daño de altas temperaturas causados
por el calor y las llamas. La típica caja fuerte para registros incorpora humedad en su aislación para ayudar a disipar el calor del fuego de manera que la
temperatura interior no suba a un punto en que los registros puedan ser destruidos. Una vez perdida dicha humedad, no puede ser reemplazada. Por esa
razón, una caja fuerte para registros que se ha expuesto al fuego no tiene la capacidad de proteger los registros. La humedad también se evapora con el
tiempo. Una caja fuerte resistente al fuego mantiene su valor nominal por aproximadamente 20 a 30 años, dependiendo del clima.

El nivel de protección se puede encontrar en las etiquetas de las cajas fuerte aprobadas por UL o la antigua Safe Manufacturers National Association
(SMNA).

UL utilizaba clasificaciones de letras hasta 1972, cuando sus etiquetas comenzaron a enumerar el tipo de contenedor y el nivel de protección. Las etiquetas
UL ahora indican si el contenedor es resistente al fuego o un contenedor de aislamiento (a continuación se discuten las diferencias). Además, las etiquetas
UL indican las horas de protección y la temperatura que el interior del contenedor puede soportar. Por ejemplo, la designación “350ºF - 4 Horas” indica que
el contenido de la caja soportará una temperatura de 350ºF (177ºC) por cuatro horas. Se espera que el papel pueda ser protegido durante 4 horas en esta
clase de caja (la misma clase de resistencia al fuego usadas en las etiquetas de UL se definen en la NFPA 232, Standard for the Protection Records). Para la
protección de medios magnéticos (cajas de 150º), la humedad relativa del contenedor protector durante el periodo de protección nominal es más alto que el
de las cajas convencionales (350º), las primeras un 80% y las segundas 65%.

Esta sección discute tres tipos de cajas fuerte diseñadas para la protección de registros: resistentes al fuego, dispositivos de aislamiento de archivos,
contenedores para proteger medios magnéticos.

Cajas Fuerte Resistentes al Fuego

Las cajas fuerte resistentes al fuego pueden ser etiquetadas de la siguiente manera:

SMNA ANTERIOR – UL ACTUAL UL

A A 350 - 4 horas
B B 350 - 2 horas
C C 350 - 1 hora
Las tres clases deben pasar las pruebas contra incendio, explosión e impacto. Durante la prueba de resistencia al fuego, la temperatura interior de la caja
fuerte se registra y no puede exceder los 350ºF (177ºC). Al final de las pruebas todos los papeles en el interior de la caja deben estar completamente
legibles y no romperse en pedazos o desintegrarse durante la extracción o revisión.

Dispositivos de Aislamiento de Archivos

Los dispositivos de aislamiento de archivos, definidos Clase 350 - 1 (antigua Clase D) y Clase 350 - ½ (antigua Clase E) ofrecen mucho menos protección
a los registros que los tres niveles de contenedores resistentes al fuego. En el procedimiento de prueba el termopar (o termocupla) para medir el calor
interior está ubicado en el centro del compartimento interior, mientras que en la primera caja fuerte resistente está localizado a una pulgada de los lados y
de la puerta. Los dispositivos de aislamiento de archivos no están diseñados para pruebas de caída como lo son las cajas resistentes al fuego y los
contenedores de registros. Como es posible confundir el 350-1 dispositivo de aislamiento de archivos con el 350-1 caja resistente al fuego y el 350-1
contenedor de aislamiento de archivos, la etiqueta debería ser cuidadosamente revisada. Una etiqueta indicará si un contenedor es una caja resistente al
fuego o un contenedor de registros, o si es un dispositivo de aislamiento de archivos.

Un dispositivo de aislamiento de archivos puede dar protección sólo contra el desgaste del fuego en edificios resistentes al fuego, donde el área alrededor
del contenedor tiene una pequeña cantidad de material combustible (un edificio resistente al fuego es definido por la NFPA Norma 220 como “uno en el
cual todos los miembros estructurales incluyendo columnas, vigas, pisos y techo son de material no combustible o de limitada combustión” con indicación
del índice de resistencia). Además, los dispositivos de aislamiento de archivos no deberían guardarse en un piso que podría colapsar durante un incendio
porque si ellos caen podrían romperse y abrirse, dejando el contenido expuesto a daños o destrucción.

Protección del Registro de Procesamiento de Datos Electrónicos

Las computadoras y medios electrónicos de almacenamiento de datos representan un nuevo problema de protección de registros. Debido a que los medios
magnéticos empiezan a deteriorarse a los 150ºF (66ºC) (inferior a los niveles de humedad de más del 80%), los contenedores de registros diseñados para
proteger papel no pueden usarse para proteger medios magnéticos y otros. Lo que se necesita es un contenedor que pueda soportar altos niveles de
humedad así como de calor extremo.

Uno de los enfoques es la “caja fuerte dentro de una caja fuerte”, que consiste en un depósito sellado interior con aislamiento en el cual se almacenan los
medios magnéticos, junto con una caja fuerte exterior protegida por una gruesa pared de aislamiento. Este tipo de contenedor ha sido diseñado para
proteger registros electrónicos contra 125ºF (52ºC) o 150ºF (66ºC) y 80% de humedad por un periodo de cuatro, tres, dos o una hora. Otros modelos
proporcionan la misma protección sin la caja fuete dentro de una caja fuerte.

Las etiquetas en los contenedores deberían indicar las clasificaciones UL contra la exposición al fuego entre una a cuatro horas. Las etiquetas que definen
las capacidades de protección de los contenedores se muestran en la Figura 9-1.

En la prueba de resistencia al fuego, el contenedor es rellenado con cintas, discos y microfilm grabados. Se emplean dos temperaturas límites: 150ºF (66ºC)
para cintas magnéticas y microfilm, y 125ºF (52ºC) para diskettes.

El contenedor es colocado en un horno de prueba que empieza con una temperatura interior de 70ºF (21ºC). El fuego continúa a la temperatura nominal
para el tiempo requerido por la prueba, después de la cual se apaga y el equipo se deja enfriar sin abrir el horno. Durante el ciclo de enfriamiento la
temperatura interior y la humedad relativa son registradas hasta que se llega a una temperatura de 120ºF (49ºC). Una segunda unidad también es sometida a
una prueba de impacto de fuego – una caída de 9m después del calentamiento.

Después de que el contenedor de registros sometido a la prueba de resistencia al fuego se ha enfriado a temperatura normal, se abre y se revisa para ver si
hay muestras visibles de penetración de la humedad en el interior, y para determinar el estado del contenido. Luego se utilizan en una computadora con el
fin de verificar su legibilidad. La caja pasa la prueba si la pérdida de información después del fuego no excede el 1%.

9.4.2CAJAS DISEÑADAS PARA PROTEGER OBJETOS DE VALOR

Los contenedores diseñados contra robos se clasifican de acuerdo a datos de prueba y especificaciones que se ajustan a las exigencias de la Insurance
Services Office y UL. Las cajas de este tipo, generalmente no protegen contra el fuego. Si se requiere proteger contra fuego y robo, se puede instalar un
contenedor de objetos de valor dentro de una caja fuerte más grande o bóveda diseñada para la protección contra incendio, o se puede utilizar una caja
fuerte que cumpla ambos requisitos. El interior de las cajas fuerte para objetos de valor generalmente son más pequeños que los de las cajas fuerte para
registros, debido a que el dinero y los objetos de valor normalmente requieren menos espacio que los registros y los documentos de negocios. Para evitar
que este tipo de caja se extraiga, debería instalarse en un bloque de hormigón revestido de acero, o bien anclarla firmemente.

Resistente a Robo
Los equipos resistentes a robo soportan un ataque en el que el ladrón usa herramientas, una antorcha, o explosivos y tiene suficiente tiempo para operar.
Este tipo de equipo está hecho de acero laminado o sólido. El acero laminado se define como dos o más hojas de acero, con las superficies enfrentadas
unidas entre sí, sin otro material entre las hojas. Está diseñado para evitar entradas forzadas.

Contenedores Resistentes a Robo/Fuego

Desde 1975, contenedores individuales especiales han sido capaces de pasar las pruebas UL de protección contra fuego y robo. Un contenedor puede
resistir el robo durante 30 minutos a una hora y resistir el fuego de una a dos horas. El contenedor típico usa una fuerte aislación alrededor del contenido de
la caja, sin dejar huecos para que penetre el calor. El cuerpo está hecho de acero soldado eléctricamente, de alta resistencia, con puertas también de alta
resistencia y blindaje de acero diseñado para resistir ataques con taladro eléctrico, con brocas de carburo, ruedas abrasivas y otras herramientas para robo.

Debido a que las empresas aseguradoras prestan mucha atención a la clasificación de los contenedores de seguridad para el establecimiento de las primas
de seguros, este factor debería ser sopesado antes de seleccionar un contenedor. La adquisición de un contenedor apropiado por lo general resulta ser una
ventaja sustancial en la reducción de las primas. En algunos casos, el ahorro anual en las primas puede igualar el costo de equipo en un corto tiempo.

Cajas Fuerte Aprobadas por GSA

Aunque no están diseñadas para proteger objetos de valor, hay seis clases de cajas fuerte para la protección contra entradas forzadas o subrepticias que han
sido aprobadas por U.S. General Services Administration (GSA) para el almacenamiento de información clasificada de gobierno. Los estándares están
disponibles en www.gsa.gov.

9.5 BÓVEDAS
Las bóvedas son áreas o habitaciones especialmente construidas con la intención de limitar el acceso y proporcionar protección a los activos en el espacio.
Generalmente una bóveda se usa para impedir la entrada forzada y la extracción de los activos. El término bóveda también se aplica a las habitaciones o
áreas especialmente construidas y diseñadas para la protección contra el fuego y no necesariamente contra robo. En comparación con las bóvedas diseñadas
contra robo, las bóvedas diseñadas contra fuego generalmente son menos caras, siguen estándares de construcción muy diferentes, y ofrecen mucho menos
protección contra robo.

Al decidir los estándares a seguir (de incendio o seguridad), el propietario debe considerar el activo que desea proteger y su vulnerabilidad. Otra
consideración es la responsabilidad legal y civil del depositario para cumplir las exigencias reglamentarias especiales o las normas establecidas por una
compañía de seguros o una agencia de gobierno.

BÓVEDAS RESISTENTES AL FUEGO

9.5.1
La norma principal de los Estados Unidos para las bóvedas resistentes al fuego es la National Fire Protection Association (NFPA) 232. La norma no
considera la entrada por la fuerza.

Un tema clave es si la bóveda se instalará en un edificio resistente al fuego. Tal como se define en la NFPA 220, Standard on Types of Building
Construction, un edificio resistente al fuego usa paredes, tabiques, columnas, pisos y techos de material no combustible o de combustión limitada. El grado
de protección de la bóveda es mayor en estructuras no resistentes.

Los registros de valor excepcionalmente altos o fuera de lo común, requieren medidas de protección individuales fuera del alcance de las normas existentes.
Los registros esenciales para la reconstrucción de otros registros deberían recibir protección especial.

Las bóvedas requieren un diseño y construcción inusualmente bueno para asegurar que la estructura resista todas las condiciones que podrían ser impuestas
por el fuego. Se debe evitar la instalación de bóvedas en sótanos, porque bajo ciertas condiciones pueden acumularse allí escombros ardiendo o humeantes
y producir un efecto de cocción de larga duración que supera las cualidades protectoras de la bóveda. Además, las bóvedas bajo nivel pueden ser húmedas,
permitiendo que los registros se dañen, y además pueden estar sujetas a inundaciones.

Tradicionalmente, la construcción de bóvedas cumple los siguientes estándares:

• Hormigón armado con barras de acero de por lo menos 13mm de diámetro, espaciadas en 152mm en el centro y perpendicular en ambas
direcciones. Las barras son unidas firmemente en las intersecciones separadas por no más de 305mm en ambas direcciones e instalada centralmente
en la pared o panel.
• Una estructura de acero protegida con al menos 102mm de hormigón, ladrillo, o su equivalente atado con lazos de acero o malla de alambre
equivalente a un cable de grosor Nº8 ASW23 de 203mm de diámetro. Cualquier protección con ladrillo que se utilice se rellena firmemente con
hormigón.
• La resistencia al fuego está determinada por el grosor de la pared. El espesor mínimo de una pared para una bóveda de 4-horas es de 305mm
para el ladrillo y 204mm para el hormigón armado. El mínimo espesor para una pared de una bóveda de 6-horas es de 305mm para ladrillo y 254mm
para hormigón armado.

ALMACENAMIENTO Y PROTECCIÓN DE INFORMACIÓN

9.5.2
Los medios magnéticos en general se almacenan en las mismas bóvedas usadas para productos de papel. Es poco práctico y nada rentable construir la
bóveda entera a un nivel que proteja tales medios cuando la mayoría de los contenidos de las bóvedas no requieren esa protección especial. Es mejor
colocar un contenedor adicional dentro de la bóveda para proteger ese tipo de activos.

Los siguientes son algunos estándares y clasificación para almacenamiento de información:

• American National Standards Institute (ANSI): ANSI IT9.11, Estándar para los medios de imagen - Almacenamiento de Películas Fotográficas
Procesadas.
• American Society for Testing and Materials (ASTM): ASTM E 119, Método de Prueba para Pruebas de Fuego de Materiales de Edificación.
• Factory Mutual Research Corporation (FM): Aprobación FM Clase 4200, Almacenamiento de Registros y Objetos de Valor.
• National Fire Protection Association (NFPA): NFPA 232, Estándar par ala Protección de Registros; NFPA 40, Estándar para la Manipulación y
Almacenamiento de Registros de Películas de Nitrato de Celulosa; NFPA 232 AM, Estándar para la Evaluación de Riesgo de Incendio en Estructuras
que Contienen Registros Vitales; NFPA 75, Estándar para la Protección de Equipos de Procesamiento Electrónico de Datos/Computadoras.
• Underwriters Laboratory (UL): UL 72, Prueba de Resistencia al Fuego de los Equipos de Protección de Registros; UL 155, Prueba de Resistencia al
Fuego de Bóvedas y Puertas de Salas de Archivos.

BÓVEDAS DE PROTECCIÓN CONTRA ENTRADAS FORZADAS

9.5.3
Protección para Superficies de Bóvedas
Un aspecto importante es la ubicación de la bóveda. La ubicación exterior no es recomendable, porque la pared exterior puede ofrecer un punto
conveniente a un individuo para atacar las superficies de la bóveda desde afuera.

Además, las seis superficies de una bóveda deberían otorgar la misma protección contra una entrada forzada. Sería un error instalar una puerta pesada en un
recinto y asumir que, sólo porque parecen resistentes e imponentes, las paredes de hormigón que rodean la puerta son las adecuadas. Aunque el hormigón
puede parecer que da la protección adecuada contra la penetración, por lo general es vulnerable y de rápida penetración cuando se utilizan herramientas
modernas. Ese tipo de paredes normalmente están diseñadas para soportar cargas estructurales, no para disuadir o demorar la penetración forzada. El
hormigón es frágil y tiene una escasa resistencia a la tracción así como propiedades de flexión, por lo que es relativamente fácil de penetrar.

El hormigón sin refuerzo no debería usarse para la protección contra la penetración forzada. Las barras de acero de refuerzo, conocidas como “rebar”,
usualmente se utilizan como refuerzo para el hormigón. Las Barras de refuerzo normalmente son dimensionadas por un número, los números representan
múltiplos de 1/8 pulgada (3mm) de diámetro. Por ejemplo, un número 3 sería una barra de refuerzo de 3/8 pulgadas (10mm). La actual norma ASTM de
construcción de bóvedas exige el uso de las barras de refuerzo.

Todas las superficies de la bóveda son vulnerables a la penetración. Una bóveda sólo demorará, no detendrá un intruso decidido. Es imposible construir una
bóveda que no pueda ser penetrada. Las bóvedas están diseñadas para resistir la penetración por un tiempo determinado. Incluso, el hormigón más grueso y
más reforzado es vulnerable a un intruso con la habilidad, trabajo y herramientas necesarias.

Técnicas de Penetración
Los explosivos son particularmente efectivos en la penetración del hormigón debido a que las ondas de choque de una explosión se propaga a todas partes,
resultando en una fragmentación y ensanchamiento del interior, así como de las superficies exteriores. El refuerzo de acero aumenta la demora de la
penetración porque, a pesar de que el hormigón puede ser penetrado por una explosión, el material reforzado generalmente permanece intacto. El material
de refuerzo de acero debe entonces ser retirado, lo que exige más tiempo.

El tamaño del acero de refuerzo usado tiene un efecto significativo en las cualidades de protección de una superficie de hormigón armado. Por ejemplo, la
barra de refuerzo Número 4 o menor puede ser cortada con cortadores de pernos operados manualmente, mientras que la barra de refuerzo Número 5 a la 8
requieren cortadores de pernos hidráulicos operados eléctricamente, antorchas de corte (soplete), o barras de abrasamiento. La barras de refuerzo mayores
al Número 8 sólo pueden ser cortadas con una antorcha, barra de abrasamiento, sierra eléctrica o explosivos.

Construcción de Paredes y Penetración

Una ventaja de las paredes de hormigón armado más gruesas es que cualquiera que intente hacer una penetración debe usar sofisticadas herramientas y
explosivos. Además, para penetrar la pared también se requieren otros elementos tales como tanques de acetileno. Debido al tipo de herramientas y
elementos que se requieren, al ruido que provoca, al humo y calor, la penetración debe ser hecha en un lugar oculto. Hay casos en que se ha alquilado un
edificio cerca de un banco, y se ha utilizado para hacer un túnel y penetrar a través del piso. En una ocasión, una banda arrendó un edificio al otro lado de
la calle frente a un banco y pasaron mucho tiempo cavando un túnel bajo la calle para llegar a la bóveda del banco. Sin embargo, la bóveda del banco
estaba con alarma, y tan pronto como penetraron el piso, sonó la alarma y fueron descubiertos.

Aún así, puede ser difícil aislar un intento de penetración a través del piso de una bóveda alarmada si la bóveda está cerrada con una cerradura de tiempo,
como es el caso de las bóvedas bancarias modernas. Incluso, si una alarma señala una penetración, será imposible abrir la puerta de la bóveda hasta el
tiempo programado. El CCTV con audio e iluminación, instalado en el interior de la bóveda, puede permitir la observación, y si se graba, crear un registro
de la intrusión.

Consideraciones de las Vulnerabilidades de las Bóvedas

Políticas y procedimientos inadecuados para la apertura y cierre de las bóvedas son, a menudo, la perdición, incluso de las bóvedas mejor diseñadas. Por
ejemplo, la “regla dospersonas” para el uso de la combinación de la cerradura es vulnerable. En una ocasión, individuos no familiarizados con el
mecanismo de la cerradura, la cual tenía una combinación de tres posiciones y de tipo dial cambiante, pensaron que la combinación tenía cuatro números;
estaban contando el índice de apertura (el último número) como parte de la combinación. La organización le entregó los dos primeros número a una
persona y el tercero y cuarto a otra. Sin embargo, en realidad sólo había tres números en el índice de apertura. Si la primera persona quisiera, él o ella
probablemente podría determinar el resto de la combinación en menos de 40 intentos. La práctica común sugiere no establecer el primero y último número
de la combinación sobre 10 o bajo 90, y que las salidas en la ruedas de bloqueo sean dos dígitos de ancho.

Cuando no se usa a un cerrajero y no se siguen exactamente las instrucciones para cambiar la combinación, la cerradura puede ser abierta marcando el
último número y rotando el dial hacia el índice de apertura. Este es un serio problema. Es un error muy simple causado por no seguir la secuencia de
marcado, y provoca que la cerradura se fije en un número. Una manera de probar esta posible debilidad es que el custodio de la bóveda gire el dial tres
veces a la izquierda y pare en el tercer número, y luego gire el dial a la derecha hasta el índice de apertura. Si el cerrojo de la cerradura se abre, la
combinación se fija en un solo número, y será necesario cambiar la combinación inmediatamente.

Un error de procedimiento adicional en el caso descrito, es que a menudo ambos individuos estuvieron parados en la puerta de la bóveda cuando el otro
estaba marcando sus números, y pudieron ver fácilmente la combinación que estaba marcando el otro.

Otra potencial vulnerabilidad es el mecanismo de escape, tal como una manilla o la liberación dentro de la bóveda.

Finalmente, un cerrajero de confianza debería inspeccionar periódicamente el mecanismo de la cerradura para:

• Realizar el mantenimiento preventivo de rutina en la cerradura y la puerta, y

• Inspeccionar la cerradura para asegurarse que no se han hecho modificaciones no autorizadas

Los niveles de resistencia de la bóveda son invalidados por la instalación de una puerta, ventilador, u otro puerto cuyas instrucciones de instalación del
fabricante no se hayan seguido.

9.6 RESUMEN
Este capítulo describió las diversas barreras que se utilizan para demorar al adversario durante un ataque. La mayoría de las barreras convencionales, tales
como cercas, cerraduras, puertas y barreras para ventanas, proporcionan un corta demora de penetración contra métodos de ataque a la fuerza (y quizás
furtivos) que no usan explosivos. Contra las gruesas paredes de hormigón armado y otras barreras de apariencia impresionante, los explosivos se convierten
en el método de penetración más probable. Asegurarse de que las barreras significativas son efectivas en todo momento del día y la noche puede ser difícil
sin afectar negativamente el funcionamiento normal de la instalación. Con frecuencia se requiere el uso de medidas compensatorias, tales como oficiales de
seguridad adicionales, para contrarrestar la disminución de la demora y el aumento del riesgo encontrados durante ciertas operaciones, tales como
simulacros de incendio o la mantención efectuada por empleados subcontratados.

Un sistema de barrera se puede configurar o mejorar para que proporcione tiempos de demora eficaces. Por ejemplo, la presencia de múltiples barreras de
diferentes tipos a lo largo de todos los posibles caminos del adversario, podrían complicar su avance exigiéndole que esté equipado con una serie de
herramientas y habilidades de ataque diferentes. Colocando las barreras cerca de las alarmas de detección ayudaría en la evaluación y respuesta al
adversario.

Si la instalación a ser protegida aún no se ha construido, las barreras pueden ser incorporadas en su diseño. Por ejemplo, ubicando la instalación ya sea bajo
tierra o sobre ella con sobrecarga voluminosa es una opción que debería considerarse seriamente. Utilizando los principios de diseño equilibrado, sistemas
de detección apropiados y fuerzas de respuesta, una instalación se puede hacer altamente resistente a las amenazas internas y externas, y a los métodos de
traslado usados por el adversario (a pie, vehículo terrestre o aeronave).

La consolidación de los activos en una habitación o bóveda individual es una de las maneras más efectivas para reducir el tiempo de respuesta y el costo del
mejoramiento de la demora. Teniendo los activos dispersos en el sitio, se requiere una fuerza de guardia para que evalúe acuciosamente la ubicación de la
amenaza y lidie con las posibilidades de tácticas de distracción del adversario.

Las barreras prescindibles, como los dispositivos entrelazados, y los químicos prescindibles, como los cortinas de humo, irritantes y las espumas ofrecen un
potencial significativo para incrementar la demora del adversario. Estos elementos disuasivos deberían ir acompañados con barreras estructurales pasivas
para aumentar sinérgicamente el tiempo de demora. También, las técnicas convencionales de perforación y los equipos usados por un adversario pueden ser
tan ineficaces que el adversario podría optar por no continuar con el ataque a esa barrera. Cualquier barrera prescindible activada requiere protección del
sistema de activación completo para evitar o demorar adecuadamente la inhabilitación por el adversario. Finalmente, el uso de cajas fuertes y bóvedas
como recintos de activos puede proteger ciertos elementos de alto valor y registros importantes.

REFERENCIAS

Kane, J. W., & Kodlick, M. R. (1983). Access denial systems: Interaction of delay elements. SAND83- 0362. Albuquerque, NM: Sandia National
Laboratories.

Kodlick, M. R. (1978). Barrier technology: Perimeter barrier penetration tests. SAND78- 0241. Albuquerque, NM: Sandia National Laboratories.
Available: http://www.osti.gov/bridge/servlets/purl/6526792-TIdDTb [2012, April 6].

Nuclear Security Systems Directorate. (1987). Access delay technology transfer manual. SAND87- 1926. Albuquerque, NM: Sandia National Laboratories.

Sena, P. A. (1985). Security vehicle barriers. SAND84-2593. Albuquerque, NM: Sandia National Laboratories.
White, I. B. (1981). Explosive penetration of concrete walls. SAND80-1942. Albuquerque, NM: Sandia National Laboratories.

________________________________________
23 American Steel and Wire Co.

Nota: Los documentos SAND se pueden obtener en http://www.osti.gov/bridge/advancedsearch.jsp.

 FUNCIONES DE UN PPS
RESPUESTA

La tercera y última función primaria de un PPS es la respuesta. La función de respuesta incluye al personal de respuesta y al sistema de comunicaciones
que ellos usan. El capítulo 10, Respuesta, provee una visión general de los principios y conceptos de respuesta. Hay más información disponible en el
volumen de operaciones de seguridad Protección de Activos.
 CAPÍTULO 10
RESPUESTA

10.1 OPERACIONES DE SEGURIDAD

La composición de la fuerza de respuesta varía de instalación en instalación. Una parte o toda la fuerza de respuesta puede estar ubicada en el sitio o fuera
de él. La fuerza de respuesta puede incluir guardias propios o contratados, policía local o federal y, para algunos incidentes, agencias federales como el
FBI, DEA o Aduanas. En este texto, el término guardias hace referencia al personal en el sitio que responde a un incidente; fuerza de respuesta es un
término más general que incluye a todo el personal de seguridad de respuesta que puede estar involucrado en la respuesta en una determinada instalación,
tanto en el lugar como fuera del sitio.

La respuesta se puede dividir en dos grandes categorías –inmediata, respuesta en el sitio (respuesta oportuna) y recuperación, después del hecho.
Dependiendo de las necesidades y objetivos de una instalación, es prudente decidir con anticipación qué tipo de respuesta será usada en un sitio bajo varias
circunstancias. Por ejemplo, detener a un intruso a punto de sabotear una válvula crítica en una refinería puede requerir una respuesta en el lugar inmediata,
mientras que la recuperación puede ser una mejor técnica para el robo de algo de propiedad de la compañía de bajo valor. Para una respuesta basada en la
recuperación, el uso del video grabador para una revisión después del hecho puede ser muy eficaz y jurídicamente aceptable. Además, la recuperación
después de los hechos, probablemente utilizará herramientas de investigación. Este subsistema de seguridad se describe en detalle en el volumen
Protección de Activos en investigación.

Una respuesta oportuna requiere más una mejor detección y demora, que una mejor estrategia de respuesta, que se centra en la recuperación del activo. Una
estrategia de recuperación puede no ser aceptable para todos los activos. Por ejemplo, la recuperación de documentos o información robada puede no ser
significativa, ya que el ladrón pudo haber copiado o distribuido la información. De manera similar, una vez que se ha producido un incidente de violencia
en el trabajo, la captura del autor es meritoria, sin embargo, aún habrá que considerar las consecuencias tras el evento. Estas consecuencias pueden incluir
acciones legales por parte de la víctima o la familia de la víctima en contra de la instalación, mala publicidad para la instalación, baja de moral entre los
empleados y la acción reguladora sobre la instalación.

Debido a la amplia variedad de personal de la fuerza de respuesta, es difícil proveer información concerniente a los procedimientos o tareas específicas que
se puede esperar que realice la fuerza de respuesta en una instalación específica. Dependiendo de la amenaza, la consecuencia de la pérdida del activo y de
la instalación en particular, la fuerza de respuesta debe prevenir que los adversarios logren sus objetivos o trabajar para recuperar el activo. Los esfuerzos
de recuperación pueden incluir la investigación del incidente para encontrar al culpable, presentación de reclamos ante el seguro o perseguir al adversario
inmediatamente después del incidente. La asignación de tareas específicas para lograr estas funciones se verá reflejada en las variaciones de los estándares
de cualificación, los requisitos de formación y los criterios de rendimiento, medidos por pruebas reales, que se rigen por las políticas y procedimientos de la
instalación.

10.2 CONSIDERACIONES GENERALES

La gestión y contratación de la fuerza de respuesta es fundamental para el desempeño de la función de respuesta. La fuerza de guardias propios es aquella
en que sus miembros son empleados directos de la instalación. También existen servicios de contrato para instalaciones que prefieren contratar este servicio
a terceros. Existe un considerable debate acerca de cuál de estas dos opciones es mejor en una instalación (Fisher & Green, 1998). Es probable que la
respuesta dependa de las metas y objetivos de cada empresa y de las instalaciones. El tamaño de la instalación, los activos, ubicación, costos y otros
factores pueden favorecer el uso de un sistema sobre el otro. Muchas instalaciones utilizan una combinación de los dos, que puede proporcionar
flexibilidad. Además de la utilización de guardias propios y contratados, algunas instalaciones también contratan a miembros de la autoridad local para
ayudar en las noches o en períodos de gran demanda, como por la mañana o en las horas punta por la noche . El uso de la policía local es atractivo debido a
que estos funcionarios tienen la autoridad legal para arrestar o detener a sospechosos y para utilizar la fuerza apropiada.

Más allá de qué tipo de fuerza de guardia sea usado en la instalación, la clave para un uso efectivo de la fuerza de guarda es la capacitación. La contratación
de guardias puede reducir costos, pero no exime a la instalación contratante de la responsabilidad de sus acciones. Por esta razón, es importante proveer
capacitación en la instalación o incorporar las expectativas de capacitación en los términos del contrato con el proveedor. Hertig (Considering, 1999) ha
escrito sobre las consideraciones de fuerzas contratadas versus propias.

Los detalles de las cuestiones jurídicas relacionadas con los guardias y la fuerza de respuesta son demasiado numerosos y complejos para ser tratados
exhaustivamente aquí. Los lectores deben consultar el volumen de asuntos jurídicos de La Protección de Activos para obtener más detalles.

Los problemas generalmente se dividen en las categorías de derecho civil, derecho penal y responsabilidad (liability). Bajo derecho civil son comunes los
agravios intencionales como asalto, agresión, detención ilegal y el encarcelamiento, difamación, invasión de la privacidad, persecución maliciosa y la
negligencia. El derecho penal es pertinente cuando se trata de intrusos, el uso ilegal de drogas, asalto sexual, recepción de propiedad robada y fraude. En
estos casos, es posible que el personal de guardia deba reunir pruebas para presentar a los agentes de la ley para acciones legales. Otra área de aplicación de
la ley es la ley laboral. La legislación laboral trata cuestiones tales como despido injustificado, actividades de los sindicatos y la vigilancia de huelgas. Se
requiere considerar estas y otras cuestiones legales para proteger a la empresa y a sus empleados de acciones legales. Debido a que cada estado y país tiene
diferentes leyes relativas a estas cuestiones, se debe consultar a la policía local o abogados para obtener orientación en el establecimiento de
procedimientos. Hertig (Legal, 1999) ha escrito un excelente resumen de las cuestiones jurídicas y la función de seguridad. Además, algunas acciones,
como el secuestro, exigen la notificación a las agencias federales que pasarán a tener jurisdicción legal. Este principio también se aplica a los bombardeos
en las instalaciones privadas o ataques a la propiedad del gobierno.

10.3 PLANIFICACIÓN DE CONTINGENCIA

La planificación de contingencia es una parte importante de la capacidad de una instalación para resolver con éxito un incidente. La planificación previa
ayuda a un gerente de la instalación a identificar potenciales objetivos, responder a las diferentes amenazas, interactuar con organismos externos y
determinar el nivel de la fuerza de guardias que puede utilizar en las diversas situaciones. Procedimientos bien documentados se deben desarrollar con
antelación como una parte importante de la planificación de contingencia.

Una parte esencial del proceso de diseño y análisis de un PPS es la identificación de los activos que se abordó en el Capítulo 1, Definición del Problema.
Una vez que se identifican los activos en una instalación, el administrador de seguridad puede evaluar las vías probables que un adversario podría utilizar
para acercarse a los límites de la instalación y al activo específico. Esta información ayudará a los responsables de la elaboración de los planes tácticos
detallados para hacer frente a las diversas amenazas de la instalación. Además, será útil para determinar las rutas y los horarios de patrulla de los guardias.
Basado en el objetivo del adversario y la consecuencia de la pérdida del activo, se utilizarán diferentes estrategias de la fuerza de respuesta. Estas
estrategias incluyen la contención, la negación y ocasionalmente el asalto.

La contención es la estrategia utilizada contra un adversario cuyo objetivo es el robo. La contención es la capacidad de los guardias y de la fuerza de
respuesta para evitar que el adversario abandone el sitio con el activo robado. Una estrategia de negación se utiliza cuando la meta del adversario es el
sabotaje o un ataque violento. En este caso, los guardias de la fuerza de respuesta deben prevenir que el adversario complete su tarea de sabotear el equipo
o llevar a cabo el ataque violento sobre otra persona. Debiese ser evidente que para que una estrategia de negación sea exitosa, la fuerza de respuesta debe
estar presente en el lugar y al momento del sabotaje o ataque. Una estrategia de contención para un objetivo de sabotaje no es buena, porque la respuesta
llegará después que el evento de sabotaje ha sido completado. En ocasiones, la fuerza de respuesta necesitará usar la fuerza para superar a un adversario.
Esto es más común en los incidentes de toma de rehenes o cuando se trata de personas mentalmente inestables.

La planificación táctica también debiese ser parte de una planificación de contingencia general. Los procedimientos y planes para las acciones de los
guardias ante eventos de un ataque adversario debiesen estar bien establecidos. La cadena de mando y la sucesión del mando en caso de emergencia
debiese ser bien conocida. Los planes deben ser hechos para asegurar que los miembros de la fuerza de respuesta posean o tengan acceso rápido al equipo
apropiado, consistente con la amenaza definida. Los planes tácticos deben contener detalles específicos para que la fuerza de respuesta se despliegue
satisfactoriamente. Las estrategias de respuesta de la contención, la negación y asalto deben estar bien planificadas y practicadas.

El rol de la fuerza de guardias también debe tenerse en cuenta en el plan de contingencia de la instalación. Una fuerza de guardias cuya función
fundamental es la contención de los adversarios hasta que la ayuda adicional llegue, se desplegará en forma diferente a una fuerza de guardias capacitados
para operaciones de recuperación. Es posible que haya dos grupos de guardias en una instalación –un grupo de control de credenciales, patrullas y
cumpliendo la función de disuasión/demora, y otro grupo, más calificado, con la responsabilidad principal de responder a un evento malévolo.

Los administradores de seguridad deben considerar el uso de apoyo de agencias externas cuando hacen su planificación de contingencia. Una instalación
puede crear acuerdos de apoyo con las autoridades policiales locales o estatales, o acuerdos de ayuda mutua con otros sitios locales. Para facilitar esto, se
debe desarrollar un acuerdo de apoyo por escrito con los organismos o los sitios externos. Este acuerdo escrito debe detallar la interacción entre guardias y
estos organismos. El acuerdo debe ser desarrollado con el aporte de todos los participantes afectados por el acuerdo y aprobado por cada organización.
Debiesen ser consideradas cuestiones tales como el papel de la agencia externa en un incidente, la búsqueda fuera de las instalaciones de los guardias y la
comunicación. El papel de las agencias externas debe estar bien definido y debe ser comunicado entre todos los participantes. Los administradores de
seguridad también pueden considerar el uso de otras agencias para apoyar la recuperación. Estas decisiones deberán basarse en tiempo de respuesta de la
agencia, capacitación, equipamiento y disponibilidad para apoyar la instalación. Además, los administradores de seguridad pueden decidir proveer a sus
guardias con credenciales para fuera de la instalación y la autoridad para facilitar la capacidad de la fuerza de respuesta para operar fuera de los límites de
las instalaciones del sitio. Esto puede ser una consideración importante durante el despliegue o el ejercicio.

Debido a su acceso y familiaridad con una instalación, el personal de seguridad es la opción natural para asistencia bajo condiciones anormales en un sitio.
La instalación le puede pedir al personal de seguridad que ayude en un evento de desastre natural, malas condiciones climáticas o un accidente. Estos
servicios son razonables, pero no debiesen comprometer la protección de activos en la instalación. Los procedimientos debiesen estar determinados con
anterioridad con el personal de seguridad ocupacional, asesores legales, oficiales de la ley locales y otras agencias de seguridad pública. Estos
procedimientos debiesen estar documentados e incluidos en la capacitación de los guardias. Oficiales de paz part-time que trabajen en una instalación
debiesen conocer estos procedimientos y de cualquier peligro que exista en la instalación. Estos procedimientos no necesitan especificar cada condición
anormal, sino que pueden ser usados según corresponda. Por ejemplo, en caso de malas condiciones climáticas, el procedimiento puede requerir que el
personal de mantenimiento llegue más temprano a la instalación para colocar protecciones en las puertas y prevenir resbalones, u otras medidas de
precaución en el sitio, tales como remover nieve. El procedimiento puede incluir notificar a los empleados de un atraso en el horario de trabajo a través de
la radio local, correo de voz de los empleados o a través de una hot line. La fuerza de guardias debe estar al tanto de estos procedimientos y entender su rol
en esos momentos. En el evento de una falla de energía o incendio, el personal de seguridad puede ser utilizado para asistir en la evacuación del edificio y
controlar a la gente hasta que se establezca que es seguro regresar o se tome otra determinación. Estos elementos de procedimientos pueden luego ser
aplicados según lo requiera una emergencia en particular. El administrador de seguridad por sí mismo no puede crear estos procedimientos; estos requieren
de los aportes de varios componentes de la instalación.

Además, los desastres naturales o causados por el hombre que provoquen el cese de la actividad en la instalación, pueden requerir de la ayuda de la
organización de seguridad. Si la detención se debe a un ataque adversario, la compañía debe tener procesos y procedimientos para reanudar la operación a
la brevedad, mientras se busca y conserva la evidencia. En el evento de un incidente anormal, el uso de procedimientos operacionales diarios, tales como el
respaldo diario de archivos computacionales o el almacenaje de archivos de respaldo de una locación fuera del sitio puede reducir los efectos de un evento
catastrófico. La organización de seguridad puede jugar un rol al ayudar a que la instalación vuelva a operar regularmente después de un evento anormal, y
ciertamente estará involucrada en la investigación de cualquier evento malévolo y sus consecuencias. Condiciones anormales pueden revelar debilidades en
la protección de seguridad de una instalación y ser una oportunidad para mejorar la protección de activos.

La comunicación será un factor clave en la interacción entre el personal de la instalación y otras agencias. Dado que diferentes agencia pueden operar en
distintas frecuencias de radio, el administrador de seguridad tendrá que evaluar medios alternativos de comunicación durante condiciones anormales o
malintencionadas. Se puede usar una línea fija dedicada para la notificación inicial a las agencias externas; rutas pre-planificadas y posiciones de
contención pueden ayudar a resolver preocupaciones de comunicación en el lugar del siniestro. Para una comprensión más profunda de la respuesta y
planificación de contingencia, consulte el volumen Protección de Activos en gestión de crisis.

10.4 MEDICIONES DE DESEMPEÑO

Diversas medidas pueden utilizarse para evaluar la respuesta inmediata a un evento de seguridad. Una medida es el tiempo que toma a los guardias llegar a
la ubicación correcta. Otra es la probabilidad de comunicación, la que incluye la transmisión de una alarma a un lugar de monitoreo, la evaluación de la
alarma y el contacto entre los guardias y personal de respuesta mientras se despliegan a sus lugares asignados.

Otras formas de medición de la efectividad de la respuesta incluyen la interrupción y neutralización. Interrupción significa la llegada de personal de
respuesta a una ubicación para detener el progreso del adversario en su ataque. La interrupción la puede lograr una o más personas; por ejemplo, la llegada
de una persona a una ubicación puede ser suficiente para asustar a vándalos adolescentes, pero amenazas con mayor motivación pueden requerir más
personal de respuesta. Para amenazas medias a bajas, la interrupción puede ser suficiente, pero para amenazas medias a altas, puede ser necesaria la
neutralización del adversario. La interrupción depende de un reporte y evaluación de alarma confiable, preciso y rápido, junto con una comunicación
confiable y un despliegue efectivo a la ubicación correcta.

La neutralización se refiere a la derrota del adversario por el personal de respuesta. Algunas amenazas requieren más que la sola presencia del personal de
respuesta para ser derrotadas. Elementos de neutralización incluyen respuestas tácticas, procedimientos en materias como el uso de la fuerza y acciones
post detención, entrenamiento, el número de personal que responde a la alarma y el equipo que llevan consigo. La neutralización puede utilizar la fuerza
continua completa, desde su presencia, órdenes verbales y contención física, como armas de fuerza intermedias, como porras y gas pimienta, a fuerza letal
(en algunos lugares de alta seguridad). La fuerza de respuesta debe ser por lo menos igual al adversario en términos de equipamiento, armas y número, para
neutralizar con éxito el adversario.

Un factor adicional en la eficacia de la respuesta es la fatiga de los guardias. Miller (2010) resume los problemas de fatiga de los guardias (por ejemplo, la
interacción hombremáquina, la disminución del rendimiento por falla cognitiva y los medios para cuantificar los efectos de fatiga), y analiza las formas de
mitigar los efectos de la fatiga. Una solución es la programación inteligente, que se basa en estos principios (Miller, 2010):

• Principio 1: Descompensación horaria por turnos. Use un plan de turnos que mantenga el ritmo circadiano humano del ciclo de 24 horas de
luz/oscuridad locales. Por lo general, los planes de rotación rápida son mejores en esto que los planes de rotación lenta.
• Principio 2: Duración de los turnos. Utilice un turno no más largo de ocho horas, con la excepción del uso de turnos de 12 horas para trabajos con
bajas presiones físicas y emocionales.
• Principio 3: Turnos nocturnos. Programe un número mínimo de turnos consecutivos de noche en el plan de turnos, preferentemente no más de tres
consecutivos.
• Principio 4: Recuperación. Programe 24 horas de recuperación (no tiempo libre) después de cada turno nocturno.
• Principio 5: Fines de semana. Programe la mayor cantidad de días libres en los fines de semana.
• Principio 6: Días de Descanso. Programe al menos 104 días libres por año (igual a 52 fines de semana)
• Principio 7: Equidad. Proporcione a todos los trabajadores las mismas exigencias para largas jornadas de trabajo, trabajo nocturno, así como el
acceso equitativo a fines de semana y días libres de buena calidad.
• Principio 8: Predictibilidad. Asegúrese que el programa es tan fácil de entender que los trabajadores pueden aplicar aritmética simple para predecir
sus futuros días de trabajo y días libres.
• Principio 9: Tiempo libre de buena calidad. Programe períodos largos contiguos de tiempo libre; operacionalmente, ello se traduce en tres o más
días consecutivos de descanso.

REFERENCIAS

Fischer, R. J., & Green, G. (1998). Introduction to security, 6th ed. Boston: Butterworth-Heinemann.

Hertig, C. A. (1999). Considering contract security. In S. J. Davies & R. R. Minion RR (Eds.), Security supervision: Theory and practice of asset
protection. Boston: Butterworth-Heinemann.

Hertig, C. A. (1999.) Legal aspects of security. In S. J. Davies & R. R. Minion RR (Eds.), Security supervision: Theory and practice of asset protection.
Boston: Butterworth-Heinemann.
Miller, J. C. (2010). Fatigue effects and countermeasures in 24/7 security operations. CRISP report. Alexandria, VA: ASIS Foundation.
 RESUMEN PARTE II
DISEÑO DE SISTEMA DE
PROTECCIÓN FÍSICA

La parte II, que contiene los Capítulos 2 – 10, describe las funciones de un PPS con cierto detalle. Las funciones principales de un PPS son demora,
detección y respuesta; la disuasión es una función secundaria. La disuasión es la primera capa de defensa de un PPS y puede ser efectiva contra algunas
amenazas. El subsistema de detección incluye sensores, video, comunicación y visualización de alarma y control de entrada/accesos. Cada uno de estos
componentes combina a personas, procedimientos y tecnología para entregar una notificación de un posible evento de seguridad. La diferencia entre
vigilancia de video y evaluación de video también fue descrita; la mayor diferencia es el uso de sensores para gatillar un evento y la presentación inmediata
de un video pre y post alarma a un operador humano para su acción inmediata. El sistema de monitoreo de alarma debe comunicar la activación de un
sensor a un punto central de monitoreo, y luego los datos apropiados son visualizados por el operador. Se requiere de la integración estrecha entre
tecnología, factores humanos, procedimientos y entrenamiento, para volver el sistema de monitoreo de alarmas lo más eficaz posible. Otro elemento del
subsistema de detección es el sistema de control de entrada/acceso, el que controla el paso de personas y de material dentro y fuera de una instalación.

La siguiente función de un PPS es la demora, en la que el progreso del adversario es disminuido con el fin de entregar más tiempo para una respuesta
adecuada después de la detección. Este subsistema utiliza barreras estructurales o prescindibles, en conjunto con barreras contra vehículos y guardias para
demorar a los adversarios. Además, cajas fuertes y bóvedas son dos tipos de recintos para activos que añaden demora contra los adversarios.

La función final de un PPS es la respuesta, la que se generalizó en dos categorías – inmediata en el lugar y tardía después de los hechos. Se requiere una
respuesta inmediata en el lugar para proteger activos críticos, mientras que una respuesta tardía puede ser más apropiada para activos de bajo valor. Se
describieron estrategias de respuesta, entre las que se incluyen contención, negación y ocasionalmente asalto (o fuerza). La planificación de contingencia es
un aspecto mayor de la respuesta y debe ser cuidadosamente considerada por el administrador de seguridad para asegurarse que el plan de respuesta provee
el desempeño deseado. Después que se ha diseñado un PPS, el paso siguiente es evaluar la eficacia del diseño para cumplir las metas y objetivos de
protección. Ese es el tema de la siguiente materia respecto a los sistemas de protección física, el análisis.
 PARTE III

ANÁLISIS

La Parte I de este libro revisó las metas y objetivos de un sistema de protección física. La Parte II estudió el diseño de un sistema de protección física,
viendo los numerosos principios, medidas y herramientas para asegurar un sitio. La Parte III discute el análisis, presentando varias herramientas para
determinar la efectividad de un sistema de protección física.

La Parte III presenta su discusión en el Capítulo 11, Análisis de un Sistema de Protección Física.
 CAPÍTULO 11
ANÁLISIS DE UN SISTEMA
DE PROTECCIÓN FÍSICA

11.1 INTRODUCCIÓN

Hasta esta etapa, se han establecido los objetivos del sistema de protección física y se ha desarrollado un diseño nuevo o actualizado. El siguiente paso es
analizar cuán efectivo será el diseño en el cumplimiento de los objetivos. Este capítulo examina el proceso de análisis, la evaluación del PPS en
comparación con las amenazas y el valor de los activos (no el análisis de riesgo global, que también se lleva a cabo). La evaluación de riesgos se describe
en el capítulo 1, Definición del Problema.

El análisis evalúa si las personas, los procedimientos y la tecnología del PPS están logrando las funciones de detección, demora y respuesta del PPS. Esta
evaluación, también llamada estudio del sitio o evaluación de la vulnerabilidad, puede ser cualitativa o cuantitativa.

El análisis cualitativo se utiliza en evaluaciones de aplicaciones de menor seguridad. Tales instalaciones tienen una menor consecuencia por pérdida de
activos y pueden soportar mejor la pérdida o el daño de un activo. Ejemplos incluyen una tienda de retail, edificios de departamentos, pequeños negocios y
restoranes. Algunos sitios tienen una combinación de activos, lo que requiere que el diseñador del PPS provea una mayor protección a los activos críticos y
menor protección a los otros activos. Otras restricciones también pueden afectar el diseño del sistema de protección. Por ejemplo, a pesar de lo trágico de
los tiroteos en las escuelas, no sería adecuado convertir las escuelas en campamentos armados con muchas capas de seguridad que los rodeen. El diseño e
implementación del sistema depende en gran medida de los objetivos y las limitaciones de la instalación.

Para activos con una consecuencia de pérdida inaceptablemente alta, es necesario llevar a cabo un análisis cuantitativo riguroso, incluso si la probabilidad
de ataque es baja. Los sitios que cumplen con esta descripción incluyen plantas comerciales de energía nuclear, prisiones y algunas instalaciones de
gobierno o instalaciones militares. En algunos casos, la categoría incluiría también los museos, las refinerías, los servicios públicos, aeropuertos, centros de
telecomunicaciones y grandes complejos industriales. Estos son sitios en que la pérdida o el daño de algunos activos pueden tener grandes consecuencias –
pérdida de muchas vidas, pérdida de piezas culturales o históricas irremplazables, daño al medioambiente o comprometer la seguridad nacional. La
estrategia de respuesta para estos activos es usualmente una respuesta inmediata en el sitio. Un análisis cuantitativo sólo se justifica si los activos necesitan
de este nivel de protección y están disponibles las medidas de desempeño para los componentes del sistema.

El análisis del PPS provee dos beneficios clave:

• Establece los supuestos bajos los cuales se formó el diseño.

• Relaciona el desempeño del sistema a la amenazas y los activos, lo que hace posible una decisión de costo-beneficio.

Más allá de si se utiliza un análisis cualitativo o cuantitativo, la apropiada aplicación de los conceptos y principios descritos en los capítulos anteriores
asegurará la protección efectiva de los activos en una instalación. Un principio clave del análisis es que se debe establecer una línea de base inicial en
primer lugar; luego se consideran mejoras si la línea de base muestra que el PPS no cumple con las metas y objetivos.

Un PPS es una configuración compleja de los elementos de detección, demora y respuesta. Analizarlos muestra las deficiencias del sistema, ayuda a
evaluar las mejoras y facilita comparaciones del tipo costo versus efectividad. Uno puede analizar un sistema de protección existente o un diseño de
sistema propuesto. Un sistema de protección existente debiese ser revisado y actualizado periódicamente para tomar en cuenta los avances en el hardware y
los sistemas de protección, así como en los nuevos procesos, funciones o activos de la instalación. Más aún, circunstancias cambiantes (tales como una
escalada en las amenazas) exigen cambios al diseño del PPS en el tiempo. Reanálisis periódicos permiten medir el efecto de estas condiciones cambiantes.

11.2 VISIÓN GENERAL DEL ANÁLISIS

Dos enfoques básicos de análisis se utilizan en la evaluación de vulnerabilidades (VA) – basados en cumplimiento y basados en desempeño. Los enfoques
basados en cumplimientos dependen de la conformidad con las políticas o regulaciones específicas; la medida de este análisis es la presencia de los equipos
y procedimientos especificados. Los enfoques basados en el desempeño, por otra parte, evalúan como opera cada elemento del PPS y en qué contribuye a la
efectividad global del sistema. Como se discutió en el Capítulo 1, Definición del Problema, el uso de sistemas basados en el cumplimiento (o basados en
características) sólo es efectivo contra amenazas menores, cuando los activos tienen una baja consecuencia de pérdida o cuando los análisis de costo-
beneficio muestran que las medidas de protección física no son la alternativa más rentable de administración del riesgo. Un análisis basado en el
cumplimiento es más fácil de realizar debido a que la medida de la efectividad del sistema es la presencia del equipo, los procedimientos y las personas
prescritas en un PPS. El análisis consiste en una revisión de la instalación en conformidad a los requisitos de cumplimiento, el uso de listas de verificación
para documentar la presencia o ausencia de componentes, y un informe de las deficiencias que indican que la instalación está fuera de cumplimiento. El
informe VA resume estos hallazgos y la instalación hace mejoras de acuerdo a la política de la empresa.

A pesar que las técnicas de análisis cualitativas y cuantitativas se discuten separadamente, ambos enfoques se pueden utilizar en un análisis basado en el
desempeño; el aspecto exclusivo del análisis cuantitativo es el uso de medidas numéricas para los componentes del PPS. Incluso, un análisis cuantitativo
tiene aspectos cualitativos, pero mediante el uso de medidas de desempeño cuantitativas en los elementos del PPS, particularmente de hardware, se puede
eliminar gran parte de la subjetividad de los enfoques basados en el cumplimiento y de los análisis cualitativos. Un enfoque cuantitativo no es aplicable a
todas las instalaciones, pero sin duda lo es para activos críticos o únicos, y desde los ataques del 11/9 hay un mayor interés en aplicar este enfoque a
infraestructuras críticas o activos de seguridad nacional.

Los análisis cualitativos debiesen estar basados en la aplicación de los primeros principios de seguridad física para verificar la efectividad de los elementos
de protección instalados (equipos, personas y procedimientos). Algunos de los principios más críticos se revisan más abajo. La efectividad del sistema es el
resultado de la implementación apropiada de los siguientes principios:

• Detectar un ataque adversario mientras hay suficiente tiempo para responder como se desea (detección oportuna). Los elementos de
detección son mejores al inicio de la ruta, mientras que los de demora son mejores después. Si la detección ocurre en el activo, el PPS está
fundamentalmente defectuoso.
• Proveer una evaluación de alarmas oportuna y precisa para distinguir entre intrusiones válidas y alarmas no deseadas. La frecuencia de
alarmas no deseadas debe ser baja para mantener una efectividad alta del sistema. La mejor técnica de evaluación de alarma es el uso rápido y
automático de la visualización de video mostrando el sensor que originó la alarma.
• Comunicar la información de una alarma a la fuerza de respuesta en forma oportuna o registrar toda la información requerida para una
respuesta-después-del-evento.
• Establecer medidas de desempeño para cada función del PPS –detección, demora y respuesta- para cada categoría o nivel de amenaza
definido. Las estimaciones deben ser realizadas considerando todos los estados de la instalación, tales como mal tiempo, condiciones de operación
variables y emergencias.
• Asegurar que la detección ocurra antes que la demora. La detección no está completa sin la evaluación, y la demora anterior o sin detección no
contribuye a la efectividad global del sistema.
• Demorar al adversario lo suficiente para registrar la alarma o para una respuesta inmediata para interrumpir al adversario.
• Utilizar la protección en profundidad (múltiples capas). La protección en profundidad permite más oportunidades para derrotar al adversario,
requiere más planificación y habilidad del adversario y evita puntos únicos de fallo (un ejemplo de un punto único de fallo es la presencia de una sola
capa, con una debilidad aprovechable). En esencia, si existe una debilidad en la capa, la capa es vulnerable y requerirá de mejoras.
• Asegurar una protección equilibrada. La protección equilibrada verifica que todas las rutas al activo tienen aproximadamente la misma
efectividad. El equilibrio debiese ser mantenido en cada capa y bajo todos los estados de la instalación. Si no hay equilibrio, la efectividad del
sistema se reducirá.
• Enfrentar y neutralizar a los adversarios, utilizando la fuerza si corresponde.
• Realizar análisis de rutas y de escenarios y usar herramientas de análisis para predecir la efectividad del sistema, utilizando como medida
del desempeño global sólo la interrupción, o en combinación con la neutralización. Existen muchas rutas a una instalación y la más vulnerable es
aquella con la menor efectividad. Por lo tanto, el análisis caracteriza la efectividad global de un sistema para detectar, demorar, interrumpir y
neutralizar la amenaza definida a través de todas las rutas posibles.

El análisis cuantitativo también aplica estos principios, pero usa estimaciones numéricas, tales como probabilidad y tiempos de demora o respuesta, para
representar su aplicación. Aunque este enfoque es más objetivo, no es matemáticamente riguroso. Sin embargo, caracterizando la tecnología, probándola
con estándares estadísticos sigue siendo la mejor técnica para evaluar objetivamente los sistemas y elementos de seguridad. El proceso de prueba permite
recolectar datos al considerar técnicas de ataque (caminando, arrastrándose, desviando, engañando, etc.) y los efectos del clima, instalación, operación y
mantenimiento del dispositivo. Las pruebas entregan información sobre la expectativa del mejor desempeño de un dispositivo dado para una amenaza dada,
y sirve como base para la aplicación de factores de degradación utilizados en los análisis de VA.

11.3 HERRAMIENTAS DE ANÁLISIS

Varias herramientas se pueden utilizar en el análisis de un PPS. Algunas están basadas en software, mientras que otras son simples métodos de lápiz y
papel. Una sencilla herramienta informática de análisis de rutas se encuentra disponible en http://www.elsevierdirect.com/companion.jsp?
ISBN=9780750683524. Muchas de las grandes empresas cuentan con herramientas de software propio que ayudan en la recopilación de información y
documentación de VA y automatizan el proceso de análisis. La clave para el uso de herramientas de análisis es entender que son sólo herramientas –el
análisis aún depende de la correcta interpretación de los datos por el equipo de VA. No es suficiente comprar o desarrollar una herramienta de software y
luego descansar en ella para los resultados. Es imperativo que las personas con conocimientos interpreten los resultados de la herramienta y saquen las
conclusiones apropiadas. Además de los software comerciales complejos (y muchas veces muy costosos) para recopilación y análisis de datos de seguridad,
también existen modelos de simulación simples para captar y representar aspectos de seguridad física en una instalación. Las herramientas de investigación
usadas para apoyar el análisis incluyen el análisis de línea de tiempo (la secuencia de acciones que han sido descritas por testigos o evidencia de apoyo) o
software de gestión de investigación que permite que la información de un incidente se ingrese en un sistema compartido por los investigadores.

Este capítulo se enfoca en dos herramientas que apoyan el análisis –CARVER + Shock y Diagramas de Secuencia del Adversario (ASD de ahora en
adelante, por sus siglas en inglés). CARVER es una herramienta de focalización originalmente desarrollada por el gobierno de Estados Unidos durante la
Segunda Guerra Mundial. Un ASD –una representación funcional de una instalación y la ubicación de sus activos– es una ayuda en el análisis de ruta.
Cualquiera de ellas, o ambas, pueden ser utilizadas en un análisis. La elección es a menudo una cuestión de políticas de la empresa o del dominio de
algunas de las dos técnicas. Las listas de verificación, herramientas de análisis cualitativo utilizadas comúnmente, fueron descritas anteriormente en el
Capítulo 1, Definición del Problema.

11.3.1ANÁLISIS CUALITATIVO – CARVER

Como se mencionó anteriormente, CARVER fue desarrollado por el gobierno de Estados Unidos como una herramienta de focalización. Era proporcionada
por la Oficina de Servicios Estratégicos (Office of Strategic Services, predecesora de la CIA) a grupos de resistencia detrás de las líneas del enemigo para
seleccionar los mejores blancos para un ataque. En 2003 fue desclasificada y desde entonces ha gozado de un resurgimiento en su uso. CARVER es un
acrónimo para los siguientes seis atributos utilizados para evaluar el atractivo de un blanco para un ataque (Food and Drug Administration, 2007, p.2):

• Criticidad: una medida de los impactos económicos y en salud pública de un ataque.

• Accesibilidad: la habilidad para acceder y salir físicamente del blanco.
• Recuperabilidad: la habilidad de un sistema para recuperarse de un ataque.
• Vulnerabilidad: qué tan fácil es llevar a cabo un ataque.
• Efecto: cuál sería la pérdida directa por un ataque medida según las pérdidas de producción.
• Reconocimiento24: que tan fácil es identificar el blanco.

Una herramienta CARVER modificada evalúa un séptimo atributo, la combinación de impactos en salud, económicos y psicológicos de un ataque, o los
atributos de conmoción de un blanco, considerado a nivel nacional (Food and Drug Administration, 2007, p. 7).

CARVER aplica un proceso de múltiples pasos para evaluar subjetivamente un activo como un blanco de ataque de un adversario, desde la perspectiva del
adversario. Las medidas incluyen el establecimiento de escenarios e hipótesis, la reunión de un equipo de expertos, la descripción del sistema a ser
evaluado, y la asignación de puntaje al séptimo atributo (Food and Drug Administration, pp 3-4). La herramienta puede ser usada cuando se realiza una
VA, puesto que rápidamente ayuda a determinar los activos que pueden ser atractivos para un adversario. Sin embargo, de acuerdo a Cummings et al.
(2006):

CARVER funciona mejor cuando se comparan los activos que comparten una misma misión, o se encuentran en la misma infraestructura, de otra
manera no hace mucho. Los resultados netos simplistas de CARVER pierden información valiosa acerca de los resultados individuales, y la
implementación de CARVER está llena de decisiones subjetivas que pueden producir resultados inconsistentes. Por último, al cambiar los criterios
anteriores, uno debe hacerlo con cuidado, de una manera que evite la doble contabilización cuando se suman las puntuaciones.

Además, el uso de un enfoque basado en escenarios tiene algunos inconvenientes, como se describió en el Capítulo 1.

11.3.2ANÁLISIS BASADO EN EL DESEMPEÑO

Al llevar a cabo, ya sea un análisis cualitativo o cuantitativo, basado en el desempeño, se utiliza el mismo proceso de seis pasos. Los pasos son los
siguientes:

1. Crear un diagrama de secuencia de adversario (ASD) para todas las ubicaciones de los activos.
2. Llevar a cabo un análisis de ruta.
3. Realizar un análisis de escenarios.
4. Completar un análisis de neutralización, si corresponde.
5. Determinar la efectividad del sistema.
6. Si la efectividad del sistema (o riesgo) no es aceptable, desarrollar y analizar mejoras.

Como se describió en el Capítulo 10, Respuesta, interrupción es definida como la llegada de personal de respuesta a un determinado lugar para detener el
avance del adversario. La interrupción puede conducir a la neutralización. La neutralización es la derrota de los adversarios por el personal de respuesta en
un encuentro cara a cara. La probabilidad de interrupción (PI) y la probabilidad de neutralización (PN) son las medidas de desempeño utilizadas para estos
elementos. Estas probabilidades son tratadas como variables independientes cuando la amenaza definida selecciona una ruta para aprovechar las
vulnerabilidades en un PPS y está dispuesta a encontrarse con el personal de respuesta. En este caso, la efectividad del sistema de protección física (PE de
ahora en adelante, por sus siglas en inglés) se calcula con la siguiente fórmula:

PE = PI x PN

Algunos adversarios pueden no ser violentos y se rendirán al ser confrontados con cualquier respuesta inmediata; por lo tanto, el PN no es un factor. En
otros casos, no hay una respuesta inmediata, entonces el PN puede no ser una medida útil de la efectividad del sistema. Bajo estas condiciones, la PE es
igual a la PI. Si se quiere, una instalación puede también evaluar un PPS utilizando el riesgo como indicador, aunque este método es más comúnmente
usado en la evaluación de riesgo y no en la evaluación de vulnerabilidades. La ecuación de riesgo fue descrita con algún detalle en el Capítulo 1, Definición
del Problema.

En un análisis cualitativo basado en el desempeño, uno utiliza indicadores como alto, medio y bajo para representar interrupción, neutralización y
efectividad del sistema. Estos valores son considerados por el equipo de VA utilizando estimaciones de desempeño de los componentes y la aplicación de
los principios de seguridad descritos anteriormente.

PROCESO DE ANÁLISIS
11.3.3
Esta sección describe los procesos de análisis basados en desempeño a un alto nivel y describe cómo se pueden usar las técnicas cualitativas o cuantitativas
para evaluaciones basadas en desempeño. Los principios y modelos de análisis y evaluación utilizados aquí están basados en la existencia de rutas de un
adversario hacia un activo. La ruta de un adversario es una serie ordenada de acciones en contra de una instalación, la que, de completarse, resulta en un
robo, sabotaje o cualquier otro resultado malévolo exitoso. El análisis de insiders es similar, pero elimina algunas capas de protección debido a su acceso
autorizado a algunas áreas de la instalación, a lo menos.

Un diagrama de secuencia de adversario (ASD) es una representación funcional de un PPS en una instalación que se usa para describir los elementos
específicos de protección presentes. Ilustra las rutas que el adversario puede seguir para lograr el sabotaje o robo. Puesto que un análisis de rutas determina
si un sistema tiene suficiente detección y demora para lograr interrumpir, se realiza primero. El análisis de rutas utiliza medidas de desempeño estimadas,
basada en las herramientas y tácticas de la amenaza definida, para predecir debilidades en el PPS a lo largo de todas las rutas creíbles del adversario hacia
la instalación. Este paso se facilita al usar un ASD de la instalación para su análisis.

Para un PPS específico y una amenaza específica, se puede determinar la ruta más vulnerable (la ruta con la menor probabilidad de interrupción, o PI). Al
utilizar la PI como una medida de vulnerabilidad de la ruta, se pueden comparar múltiples rutas y estimar la vulnerabilidad global del PPS. El analista
puede construir una ASD manualmente utilizando lápiz y papel o crear una electrónica con herramientas de software.

Hay tres pasos básicos en la creación de una ASD para un sitio específico:

• Describir la instalación separándola en áreas físicas adyacentes

• Definir capas de protección y los elementos de la ruta entre áreas adyacentes
• Registrar la detección y los valores de demora para cada elemento de la ruta

Una descripción más detallada de la creación y uso de una ASD se entrega en Garcia (2008, pp. 283-288). Se debe tener cuidado al crear una ASD.
Mientras que la técnica parece simple, puede ser difícil dibujar una ASD debido a la superposición de las capas y a los puntos de entrada desconocidos o no
descubiertos, tales como escotillas en el techo, un ascensor al penthouse, u otros sitios no detectados cuando uno no ve la instalación en capas concéntricas.
El mayor error es seguir una sola ruta desde fuera del sitio hacia la ubicación del objetivo y sólo realizar un análisis de esa ruta. Este enfoque obviamente
no considera todas las rutas hacia la instalación. El mejor método para crear una ASD es caminar o conducir alrededor del área exterior y luego repetir lo
mismo al interior. Esto se complementa con el uso de dibujos del sitio que muestran la distribución del sitio y detalles específicos de los edificios al
interior.

La ASD representa áreas adyacentes de una instalación utilizando rectángulos concéntricos y modela un PPS al identificar capas de protección entre áreas
adyacentes. La primera capa es siempre fuera del sitio (v.gr. fuera de los terrenos de la instalación), y la última capa es siempre el activo. Cada capa de
protección consiste de un número de elementos de la ruta (path elements, PEs de ahora en adelante, por sus siglas en inglés) los que son los elementos
básicos de construcción de un PPS. Un punto clave al desarrollar una ASD es que debe ser creada para cada activo (ubicación de un blanco), a menos que
los activos estén ubicados en el mismo lugar. En instalaciones complejas, varios activos críticos pueden requerir de protección, y se debe desarrollar una
ASD para cada ubicación.

Una vez que se ha creado una ASD, el analista asigna probabilidades de detección y evaluación, tiempos de demora para cada elemento del PPS bajo
diferentes estados de la instalación, y cualquier nota adicional para cada elemento de la ruta. Los valores registrados son las estimaciones entregadas por los
expertos en materias específicas del equipo de VA, como el resultado de su evaluación. Estas estimaciones incluyen la probabilidad del tiempo de
comunicación y del equipo de la fuerza de respuesta, cuando hay una respuesta inmediata. Este es el paso inicial en el análisis de ruta. Se pueden modelar
tanto los segmentos de las rutas de acceso como de salida. El segmento de acceso va desde el exterior de la instalación hasta el activo, y el segmento de la
ruta de salida va desde el activo de vuelta hacia el exterior. Un elemento dado en la ruta puede ser atravesado una vez, ya sea al entrar o salir; o dos veces,
al entrar y en la dirección opuesta al salir. El adversario intenta en forma secuencial derrotar al menos un elemento en cada capa de protección mientras
atraviesa la ruta a través de la instalación hacia el activo. El ASD representa todas las rutas del adversario a un activo: las rutas que no son creíbles son
identificadas en el análisis de escenario (sección siguiente). Mientras que sólo algunas rutas son creíbles para amenazas específicas, se recomienda
representar el PPS completo en la ASD. Esto provee de un buen sistema de documentación, permite replicar los análisis más rápido si aumentan las
amenazas y facilita el análisis de sensibilidad (cuán bien se desempeña el diseño frente a amenazas mayores o menores). Esta simple mirada funcional,
también proporciona información adicional sobre rutas creíbles del adversario, las que pueden no ser advertidas si se han omitido algunos elementos de la
ruta.

Para el análisis de sabotaje sólo se evalúan las rutas de acceso, y el supuesto es que los elementos de la ruta serán atravesados sólo en una dirección. Esto es
porque un acto de sabotaje exitoso sólo requiere estar cerca del activo el tiempo suficiente para causar daño; no requiere que un adversario salga de la
instalación. Para el análisis de robos, los elementos de la ruta son atravesados dos veces –al entrar y al salir de la instalación. Cuando sólo se consideran
rutas de acceso, el número total de rutas es el producto del número de elementos de protección en cada capa. Cuando se evalúan ambas rutas, de acceso y
salida, el número total de rutas es el cuadrado del número de rutas de acceso.

El análisis de rutas se usa para proporcionar una visión general de cuán robusto es el PPS – si el sistema tiene muchas rutas débiles o sólo unas pocas. Al
estudiar las potenciales rutas del adversario y las estimaciones de desempeño para los elementos de la ruta, el analista puede rápidamente determinar cuán
efectivo es el PPS y dónde están las vulnerabilidades. Por ejemplo, si no hay detección a lo largo de la ruta hasta el activo, esto es revelado rápidamente.
Los análisis de ruta también identifican elementos de desempeño para múltiples rutas del adversario. Esta información entrega datos sobre puntos débiles
comunes a lo largo de las rutas que requieren de detección o de demora adicional para apoyar a las fuerzas de respuesta. Durante el análisis de ruta, el
supuesto es que la interrupción y neutralización ocurrirá a tiempo para proteger al activo, aunque la estrategia de respuesta real depende del activo. Por
ejemplo, si un activo es blanco de sabotaje utilizando una estrategia de negación, la respuesta debe ocurrir no más tarde que en el activo; los blancos de
robos pueden usar una estrategia de contención. Cuando una instalación tiene distribuidos múltiples activos que son blancos de diferentes objetivos de
ataque del adversario (sabotaje y robo) la respuesta debe estar cuidadosamente planeada para apoyar ambos objetivos de protección. El objetivo clave de un
análisis de ruta es evaluar el PPS de una instalación a un alto nivel y determinar cuán bien protegidos están los activos en todo momento.

La revisión de la ASD durante el análisis de ruta también puede revelar si el PPS es equilibrado o no. Para cada capa de protección, la detección y demora
proporcionadas por los elementos de la ruta deben estar equilibradas. Examinar los valores globales de detección y demora puede mostrar rápidamente los
elementos o capas desequilibradas que serán preferidas por las rutas de los adversarios. Verificar el equilibro a lo largo de las capas de protección, también
ayudará a saber si se requiere mejoras. Si una capa ya está equilibrada, las mejoras deben ser aplicadas a cada elemento de protección para mantener el
equilibrio. Si una capa no está equilibrada, las mejoras se deben aplicar de manera que lleven la capa al equilibrio.
Probablemente habrá al menos dos ASD para cada objetivo –una para cada estado de la instalación, día/noche o abierto/cerrado. Dependiendo de los otros
estados de la instalación, se pueden necesitar más ASD. Ejemplo de otros estados de la instalación que merecen ser considerados incluyen los cambios en
los turnos de los empleados, cambios en los turnos de la fuerza de guardias, incendios y otras emergencias, fallas de energía, mal tiempo, sensores y modos
de acceso durante horas operacionales. Este proceso no es tan oneroso como suena. Una vez que se realizó una ASD para un activo específico, las
revisiones siguientes sólo deben incorporar los cambios desde una estado de la instalación al siguiente. El análisis es usualmente más expedito haciendo
varias copias de la ASD original y luego modificando sólo los elementos de la ruta que cambiaron. Una vez que estas diferencias son entendidas, es
simplemente cosa de describirlas en un párrafo corto en el reporte de VA. El análisis de los estados de las instalaciones debería enfatizar las
vulnerabilidades de rutas adicionales en este momento.

El desarrollo de una ASD también puede revelar si un sistema de protección es equilibrado. Para cada capa de protección la detección y demora
proporcionados por los elementos de la ruta deben estar equilibrados. Revisar los valores de detección y demora pueden mostrar rápidamente los elementos
o capas desequilibradas que serán preferidos por las rutas de los adversarios. Verificar el equilibro a lo largo de las capas de protección también ayudará a
saber si se requiere de mejoras. Si una capa que necesita mejoras ya está equilibrada, las mejoras deben ser aplicadas a cada elemento de protección para
mantener el equilibrio. Si una capa no está equilibrada, las mejoras se deben aplicar de manera que lleven a la capa al equilibrio.

Análisis de Escenario
El análisis del ASD identificará las rutas con el PI más bajo, lo que es el punto de partida para el desarrollo y análisis de escenario. Un análisis de escenario
se conduce para determinar si un sistema tiene vulnerabilidades que pueden ser aprovechadas por adversarios utilizando diversas tácticas, lo que resulta en
menor efectividad del PPS. Algunas instalaciones usan el análisis de escenario como substituto de una amenaza definida, en la que proponen ataques, luego
deciden qué equipos o capacidades se requieren para tener éxito. Esta es otra opción, pero puede llevar a algunos vacíos en el análisis. Analizar el PPS
utilizando amenazas definidas y análisis de rutas, y luego generar escenarios mirando las rutas débiles, es el enfoque preferido para estar seguros que no
serán descartadas las rutas creíbles. Utilizando el escenario, se desarrolla una descripción de tarea por tarea o de capa por capa. Esta descripción debiese ser
lo suficientemente detallada para proporcionar una línea de tiempo del escenario y la suficiente información para que se puedan realizar estimaciones de
desempeño para detección, evaluación, comunicación, demora y respuesta.

En este punto el analista reduce todas las rutas posibles a aquellas más creíbles. Las rutas pueden ser descartadas de la combinación final debido a un
número de razones tácticas. Por ejemplo, una ruta que parece muy débil (bajo PI) al usar elementos de medidas de desempeño puede no ser tan creíble,
porque hay un gran número de personal de respuesta en el otro lado de la puerta con la menor demora. En otra instancia, el adversario podría usar una
puerta de entrada, en vez de otra, porque está ubicada en un esquina aislada de la instalación, a pesar que ambas puertas tienen la misma demora. En
realidad, un adversario escogería la puerta que entrega la mayor posibilidad de una entrada exitosa, asumiendo tiempos de demora similares. Por supuesto,
algunas rutas serán eliminadas, porque el adversario no tiene el equipo o la capacidad para atacar algunos elementos de protección (por ejemplo, paredes
gruesas y sólo herramientas de mano).

Una vez que el análisis de ruta está completo, comienza el análisis de escenario. Los pasos para conducir un análisis de escenario son los siguientes:

• Desarrollar ataques y tácticas diseñados para aprovechar rutas débiles. Considere ataques durante diferentes estados de la instalación utilizando las
amenazas definidas y la capacidad.
• Modifique estimaciones de desempeño para elementos de ruta utilizando estas tácticas o bajo estos estados.
• Documente los supuestos utilizados y los resultados del análisis de escenario.

El análisis de escenario se ayuda mediante la creación de líneas de tiempo de las tareas del adversario y los desempeños asociados a los elementos de la
ruta a lo largo de ella. El análisis de escenario considera tácticas específicas a lo largo de la ruta, así como los ataques al propio PPS o a la fuerza de
respuesta. Estas tácticas incluyen robo, fuerza y engaño, y pueden ser usadas individualmente o en combinación durante un escenario. Por ejemplo, un
equipo de VA puede determinar qué adversarios pueden fácilmente bloquear las comunicaciones de radio en una instalación. Los ensayos de evaluación
indican que, en promedio, se requiere de un período adicional de cinco minutos para que la fuerza de respuesta se comunique utilizando medios alternativos
durante ataques de interferencia. Este tiempo se añadiría al tiempo de respuesta usado en el análisis de ruta para evaluar cómo cambia la PI. Otros ataques
al sistema pueden incluir interferencia con la transmisión de alarmas, inhabilitar el centro de monitoreo de alarmas o apuntar luces brillantes a las cámaras.
Ejemplos de ataques a la fuerza de respuesta pueden incluir ataques abiertos o encubiertos a patrullas, desvíos o emboscadas durante el despliegue. Otros
aspectos del análisis de escenario incluyen considerar qué herramientas existen en el sitio u otro equipamiento que pueda ser usado por el adversario para
apoyar su ataque. Por ejemplo, en la instalación pueden haber montacargas, explosivos, sopletes, escaleras portátiles o herramientas eléctricas. En este
caso, el adversario no tendría que traer estos equipos, y el análisis de escenario debiese agregar la adquisición de estos elementos a las tareas que el
adversario debe completar para tener éxito.

Además de los tiempos de las tareas del adversario, los tiempos de respuesta inmediata también deben ser determinados, si corresponde. El tiempo de
respuesta depende de los tiempos y procedimientos específicos de cada ataque, pero una idea general de cuánto personal de la fuerza de respuesta llegará al
área y en qué intervalos es efectivo un primer paso en los tiempos de respuesta. El tiempo para que la información de evaluación de alarma sea
retransmitida a la fuerza de respuesta está incluido en los tiempos de repuesta. También debe ser considerada la habilidad de la fuerza de respuesta para
aproximarse desde variadas ubicaciones, tales como posiciones iniciales, en tránsito y desde las posiciones de despliegue.

Si la táctica de un adversario es eliminar a la fuerza de respuesta, se desarrollan escenarios en los que el ataque comienza asaltándolos. Porque la PI calcula
la posibilidad de llegar de la fuerza de respuesta, y en este caso la confrontación con el adversario es segura, la PE es igual a la probabilidad de que la
fuerza de respuesta gane la confrontación (la que es la PN). Es importante que el analista durante esta etapa del análisis, trabaje en la respuesta en conjunto
con los expertos en la materia del equipo de VA, de manera que se consideren las rutas de ataque más creíbles y las tácticas más realistas. Como resultado
de este análisis, se realizan modificaciones al modelo de ruta que muestran cambios en los valores de desempeño que reflejan estos ataques más realistas.
Esta etapa del análisis amplia el análisis de ruta para considerar ataques en dispositivos del PPS o en la fuerza de respuesta, además de ataques directos al
activo.
El análisis de escenarios también considera la respuesta a ataques a múltiples activos distribuidos en la instalación. Si la instalación tiene activos que son
blanco de robo y sabotaje, la respuesta a ataques debe ser cuidadosamente considerada. Durante las etapas tempranas de un ataque puede no ser aparente
cuál activo es el blanco del ataque. En estos casos, el equipo de respuesta puede tener que esperar hasta que esto se aclare, o bien debe haber el suficiente
personal de respuesta para implementar tanto estrategias de negación como de contención. Durante los análisis de escenarios, estos ataques y las respuestas
pueden ser considerados, y se puede evaluar la habilidad para proteger a todos los activos bajo varios tipos de ataques. Este es un buen ejemplo del uso de
guiones gráficos (storyboards) de respuesta o tablas de arena (sand tables) (herramientas de representación, descritas más adelante), las que pueden ser
usadas para mostrar las inadecuaciones de la respuesta a múltiples ataques simultáneos o diferentes ataques individuales, incluyendo robo y sabotaje.
Además, los análisis de escenario pueden considerar la efectividad de la neutralización de una respuesta inmediata en varios puntos a lo largo de la ruta del
adversario. En este caso, se asume que ha ocurrido la interrupción, y que la meta es que la instalación sepa cuánto personal de respuesta puede llegar a un
punto específico en la ruta y su efectividad después de llegar a este punto. Este análisis proporciona información adicional sobre las vulnerabilidades del
sistema y las mejoras potenciales al PPS global, especialmente las tácticas de respuesta.

En la mayoría de las instalaciones, sólo se considera un equipo de amenaza; sin embargo, en algunas instalaciones de alta seguridad, es muy probable que
el adversario se divida en múltiples equipos, cada uno con una tarea distinta. Un equipo probablemente estará dedicado a atacar el activo. Una tabla de
tareas de escenario y de tiempos de tareas puede ser completada para cada equipo, pero es más directo completar una línea de tiempo sólo para el equipo de
ataque al activo, con los efectos de los otros equipos incluidos en los valores de detección o evaluación o disminuir la efectividad de la respuesta. Es poco
probable que escenarios de fuerza como estos sean usados durante la VA de una instalación industrial.

Como en el análisis de rutas, un aspecto importante del análisis de escenario es considerar los diferentes estados operativos en la instalación o próximos al
activo. Hay generalmente al menos dos estados de la instalación –abierta y cerrada. Por ejemplo, una puerta puede ser dejada abierta durante la operación
de día, pero dejada cerrada en la noche. Un buen análisis incluirá escenarios prediciendo el desempeño bajo ambas condiciones. Incluso para instalaciones
que operan 24/7 puede haber diferencias durante los turnos, y estas deben ser analizadas para verificar que la protección está equilibrada durante todos los
turnos. Además de las diferencias entre abierto y cerrado, pueden haber otros estados operativos predecibles en una instalación, incluyendo emergencias
ocupacionales, actividades de mantenimiento, mal tiempo (particularmente para componentes exteriores del PPS) y cortes de energía. Cada uno de estos
estados puede representar un nuevo conjunto de vulnerabilidades para el activo, el PPS o los guardias de seguridad.

Como parte de un análisis de escenario, se hace un esfuerzo para identificar los peores casos de ataque. Aunque el análisis no está limitado a estas
situaciones, estas son muy útiles, porque ellas definen los ataques de adversarios que ponen a prueba los límites de la efectividad del PPS. El análisis de los
peores escenarios es usado generalmente en análisis de neutralización, puesto que predice la más baja efectividad de respuesta. Aunque es importante
determinar los peores escenarios, otros escenarios menos severos, pero más creíbles, también son creados y evaluados. Estos escenarios se usan luego en
los análisis de ruta para calcular la PI y también para estimar la PN, que es el otro término que se requiere para establecer la PE.

Estimar la Neutralización
Después de que se han determinado las rutas débiles y los escenarios de ataques adecuados, se puede realizar un análisis de neutralización. Esta parte del
análisis sólo se realiza en instalaciones donde hay una respuesta inmediata que resulta en una confrontación cara a cara con los adversarios. La
neutralización puede tomar muchas formas, que van desde la presencia al uso de fuerza letal (v.gr. el uso legal de la fuerza25). El análisis de neutralización
proporciona información sobre cuán efectiva es la respuesta bajo diferentes escenarios de ataque y es una medida de la capacidad, idoneidad, entrenamiento
y tácticas de la fuerza de respuesta. Este análisis asume que la interrupción ha ocurrido. Si la amenaza definida para un activo o instalación incluye
adversarios que usarán la fuerza para prevenir que la fuerza de respuesta los interrumpa o neutralice, el análisis debiese considerar el resultado probable de
un enfrentamiento físico. Este análisis puede usar técnicas cuantitativas o cualitativas. En muchas instalaciones de alta seguridad, se usan simulaciones
computacionales para predecir cuantitativamente la probabilidad de neutralizar adversarios violentos después de interrumpirlos. Para otras instalaciones, la
PN puede ser estimada sobre la base de los registros de respuestas exitosas a incidentes de seguridad o en ejercicios de simulación. En un análisis
cualitativo se puede determinar el bando que tiene la ventaja –en número, armas, destrezas, tácticas y otras áreas– y asignarle una probabilidad alta, media
o baja.

Otros Análisis
Además de las herramientas de análisis descritas anteriormente, otras herramientas pueden ser útiles cuando se analiza el PPS de una instalación. Estas
incluyen el modelado de efectos de explosión, guiones gráficos de respuesta y tablas de arena. Muchos sitios están especialmente preocupados por la
amenaza de autos-bomba u otros artefactos explosivos en puntos críticos en la instalación. En estos casos, puede ser útil proporcionar un análisis de los
efectos de tal dispositivo en estas estructuras. Hay disponibles en el mercado un número de herramientas de modelado de explosión, para apoyar esta parte
del análisis. Si bien algunos no son extremadamente robustos, ellos permiten una simple aproximación a los daños de una explosión en edificios utilizando
estándares de construcción. Generalmente las entradas (inputs) son simples e incluyen el trazado de la construcción, la construcción de edificios, el tamaño
y la ubicación de la carga explosiva y el terreno circundante. El resultado (output) es un gráfico que muestra una aproximación de los daños de la
explosión. Estas imágenes y los supuestos de apoyo pueden ser incluidos en el informe final de VA.

Otra herramienta útil, particularmente durante el análisis de escenarios, es el guión gráfico de la respuesta. Un guión gráfico (storyboard), similar a una
serie de paneles de dibujos animados, ilustra dónde está la fuerza de respuesta y los adversarios a intervalos periódicos. Por ejemplo, el primer panel podría
comenzar en tiempo cero y muestra la ubicación de cada grupo; luego, cada 30 o 60 segundos se puede tomar una “instantánea”. Por medio de esta técnica
se puede obtener información para lograr respuestas más rápidas y más eficaces. La creación de un guión gráfico de respuesta permite que el analista y los
expertos tácticos tengan una idea de cuánto le tomará a la fuerza de respuesta para llegar a un encuentro físico con el adversario y qué tácticas son las
apropiadas en las diferentes etapas de un ataque y respuesta. A menudo, el guión gráfico de respuesta se utiliza para el análisis de neutralización y para el
desarrollo de escenarios. Una herramienta similar es la tabla de arena, en la que la fuerza de respuesta y los adversarios se muestran usando soldados de
juguete, los que se mueven para mostrar las diferentes aproximaciones y tácticas. Estas se encuentran generalmente en instalaciones militares y otras
instalaciones de activos críticos.
11.4 CALCULAR LA EFECTIVIDAD DEL SISTEMA

En este punto se puede calcular la efectividad del PPS, utilizando las estimaciones cualitativas y cuantitativas descritas más arriba. De cualquier manera, la
eficacia del sistema se puede representar utilizando únicamente la PI (como en el caso de una respuesta tardía usando la revisión del video e investigación,
cuando la mera presencia de una respuesta inmediata llevará a un adversario lejos, o cuando un adversario se rendirá si es interrumpido), o mediante el uso
de ambos PI y PN (en los sitios en donde una respuesta inmediata va a confrontar físicamente al adversario). Si sólo se utiliza la PI, el análisis consistirá del
análisis de ruta y del desarrollo de escenarios para apoyar la estimación de la efectividad del sistema. Cuando se utilizan tanto la interrupción como la
neutralización, la efectividad del sistema es el producto de la PI y la PN. En un análisis cuantitativo, los dos términos son multiplicados para establecer la
efectividad del sistema, en un análisis cualitativo, los dos términos se combinan para representar el estado global de la efectividad del sistema. Al igual que
en una multiplicación matemática, si un término es bajo, el otro término decrecerá a ese nivel, aún si es muy alto. Por ejemplo, si la PI es alta y la PN baja,
la PE será baja. En general, la PE no puede ser mayor que el menor de los dos valores y esta es una buena guía para un análisis cualitativo (por ejemplo, 0,9
x 0,2 = 0,18. Incluso si el producto se redondea a la décima más cercana, todavía es el menor de los dos números). La PE se calcula para cada categoría de
amenaza, dado que se espera que el mismo sistema tendrá un desempeño variable para diferentes amenazas.

11.4.1ANÁLISIS DE MEJORAS
Si el análisis de línea de base del PPS muestra que el sistema no cumple sus objetivos de protección, y por lo tanto es vulnerable, el equipo de VA puede
sugerir mejoras para enfrentar las vulnerabilidades. Usualmente, estas mejoras no son recomendaciones técnicas específicas, sino mejoras funcionales que
se pueden lograr aumentando el desempeño en ciertos lugares. Estas recomendaciones se pasan al equipo de diseño de mejoras para apoyar la selección de
las mejoras apropiadas. Por ejemplo, el equipo puede sugerir una PD mejorada en un cierto punto o que una demora adicional en un activo aumente la PE.
En estos casos, el análisis asume un desempeño funcional mejorado sin identificar el sensor específico o el dispositivo de barrera, aun cuando el equipo de
evaluación cree que esta es una meta alcanzable. Las opciones de mejoras generalmente consideran la interacción entre la detección, demora y las
características de respuesta, así como los efectos operacionales, ciclo de vida, costos de desempeño, costos de oportunidad, puntos únicos de fallo,
confiabilidad, calidad y el mantenimiento del sistema de seguridad.

Luego, el análisis se repite utilizando estos incrementos en el desempeño para estimar el incremento global en la habilidad del sistema para alcanzar sus
objetivos. Estos resultados (los que se convierten en nuevos requerimientos del sistema para el diseño de mejoras) pueden proporcionar a los diseñadores
del sistema de seguridad, quién determinará qué equipamiento específico o qué otras mejoras proporcionarán el desempeño requerido. Estos detalles
específicos de diseño generalmente se abordan en una actividad subsiguiente a la VA, a menudo capturada en un proyecto de diseño conceptual o fase. Una
vez que el análisis está completo, es importante presentar claramente tanto la línea de base como los análisis de mejoras, para establecer la necesidad de
mejoras y mostrar el retorno de la inversión en mejoras.

El análisis de mejoras es también el momento apropiado para considerar y evaluar la efectividad de los planes de contingencia y del equipo. Los planes de
contingencia se usan por varias razones, incluyendo cuando el equipamiento del PPS está en reparaciones o cuando los impactos (costo, plazos,
operaciones, aceptabilidad) del equipamiento del PPS requerido para cumplir los objetivos de protección se consideran demasiado grandes. Por ejemplo, si
un centro no puede permitirse el lujo de cumplir con los objetivos de protección de todas las amenazas en todo momento, los procedimientos temporales o
equipos portátiles podrían aplicarse durante períodos de alerta máxima. Cuando los planes de contingencia son parte de los planes de protección de
seguridad en condiciones de amenaza elevadas, deben ser evaluados utilizando estimaciones de desempeño y herramientas de análisis para asegurarse de
que funcionará como debe.

11.5 RESUMEN

Este capítulo describió el análisis del PPS utilizando técnicas tanto cuantitativas como cualitativas. Además, el análisis del PPS puede ser basado en
cumplimiento o basado en desempeño. Los enfoques basados en el cumplimiento dependen de la conformidad con las políticas y reglamentos específicos;
el indicador para este análisis es la presencia de los equipamientos y procedimientos que se especifican. Los enfoques basados en desempeño, por otra
parte, evalúan cómo cada elemento del PPS opera y en qué contribuye a la eficacia global del sistema. El análisis debe basarse en la aplicación de los
principios básicos de la seguridad física para comprobar la eficacia de los elementos de protección instalados (equipamiento, personal y procedimientos).
La efectividad del sistema es el resultado de la correcta aplicación de estos principios de seguridad.

Se describen dos herramientas de análisis, CARVER y diagramas de secuencia de adversario, y se explicó la técnica de análisis de ruta. El capítulo describe
el uso de la interrupción, la neutralización, y mide la eficacia del sistema para establecer una línea de base, y se examinó el uso de un análisis de mejoras.

REFERENCIAS

Cummings, M. C., McGarvey, D. C., Vinch, P. M., & Colletti, B. W. (2006). Homeland security risk assessment, volume II: Methods, techniques, and
tools. Arlington, VA: Homeland Security Institute.

Garcia, M. L. (2008). The design and evaluation of physical protection systems, 2nd ed. Boston: Butterworth-Heinemann.

U.S. Food and Drug Administration. (2007). An overview of the carver plus shock method for food sector vulnerability assessments. Available:
http://www.fsis.usda.gov/PDF/Carver.pdf [2012, April 18].

________________________________________
24 N. del T: en inglés el término usado es recognizability, el cual no tiene traducción directa al castellano, por lo que se ha decido adaptar la palabra.
25N. del T: el texto original menciona el concepto de force continuum, un estándar que provee a las autoridades de un marco de referencia de hasta dónde usar la fuerza en contra de
un sujeto que se resista.
 PARTE IV

IMPLEMENTACIÓN

La Parte IV, Implementación, es la última etapa de un proceso que comenzó en la Parte I, Definición del Problema, y continuó en la segunda parte con el
Sistema de Protección Física, y en la Parte III, Análisis. Esta etapa final lleva a una visión detallada de los pasos a seguir en la implementación de un
sistema de protección física. Se analizan temas como la base de diseño, criterios de diseño, diseño, adquisición, instalación, capacitación, pruebas y
mantenimiento.

La Parte IV presenta su discusión en el capítulo 12, Implementación del Sistema de Protección Física.
 CAPÍTULO 12
IMPLEMENTACIÓN DEL
SISTEMA DE PROTECCIÓN FÍSICA

12.1 INTRODUCCIÓN

Al llegar a este punto, el problema ha sido identificado, se ha considerado el diseño existente o la propuesta, y el desempeño del PPS ha sido analizado. La
última etapa del proceso es la implementación de un diseño final. El correcto uso y aplicación del proceso de diseño de sistemas integrados de seguridad es
el elemento más importante en la defensa contra las amenazas dinámicas y posibles pérdidas catastróficas. En otras palabras, una cerca utilizada
fundamentalmente para demorar la entrada proporciona sólo uno de los cuatro elementos de un diseño físico, que son disuasión, detección, demora y
respuesta. Por lo general, el diseño y la integración se realizan para introducir y fusionar los elementos tecnológicos y físicos en el programa general de
protección de activos. Cuando se sigue diligente y cuidadosamente el proceso, resulta en un programa de seguridad totalmente integrado, que fusiona
elementos arquitectónicos, tecnológicos y operativos en un sistema de respuesta flexible.

El diseño de sistemas integrados de seguridad puede abordar cualquier cantidad de subsistemas de seguridad o elementos para formar un sistema completo.
Factores particularmente importantes en el diseño del sistema son el entorno o las necesidades propias de la instalación. Todas las amenazas previstas,
riesgos, vulnerabilidades y limitaciones deben ser tenidos en cuenta para determinar la mejor solución.

Este capítulo entrega un visión general de las tareas y actores involucrados en un proyecto de implementación de los sistemas de seguridad desde el inicio
hasta la finalización del proyecto y operación de los sistemas. Las tareas básicas de la implementación de los sistemas de seguridad son las siguientes:

• Planificación y evaluación para determinar los requerimientos de seguridad

• Desarrollo de soluciones conceptuales para resolver las vulnerabilidades
• Preparación del diseño de los sistemas de seguridad y documentación de la construcción
• Llamar a licitación y realización de negociaciones de precios y proveedores
• Instalación, prueba (la cual es más probable que se pase por alto), y puesta en marcha de los sistemas de seguridad

Este capítulo se centra en las tres últimas tareas. Un sistema, en el contexto de seguridad, es una combinación de equipos, personal y procedimientos,
coordinados y diseñados para asegurar el óptimo logro de los objetivos establecidos para el sistema. Un sistema incluye más que los componentes del
equipamiento. Un sistema de protección se evalúa según el desempeño y rentabilidad de cada una de las medidas para contrarrestar las amenazas, reducir
las vulnerabilidades y disminuir la exposición al riesgo, considerado como un todo integrado. Aunque gran parte de la discusión que sigue se relaciona con
la tecnología, el proceso también se aplica al diseño, adquisición e implementación de otros elementos de seguridad.

12.2 PROCESO DE DISEÑO DE SISTEMAS

La Figura 12-1 entrega una visión general del proceso de diseño de sistemas.

En su forma más simple, el proceso se inicia con la fase de planificación y evaluación. La primera tarea de esta fase es la identificación de los activos
críticos, las potenciales amenazas, las vulnerabilidades subsecuentes, los riesgos probables y los requerimientos funcionales. Por ejemplo, para impedir el
robo, un método común es reforzar el objetivo para impedir o disminuir la oportunidad de cometer el delito. En un sentido más amplio, este es el momento
de recoger la información sobre las necesidades de seguridad, los objetivos y limitaciones, de manera que la gestión del riesgo y el control puedan ser
realizados antes de que ocurra un evento en lugar de después. Este concepto de proactividad versus reactividad, en la planificación de seguridad, es el
aspecto clave de una gestión y control del riesgo eficaz. La segunda tarea de la fase de planificación y evaluación es analizar los requerimientos de
seguridad y formular soluciones o contramedidas para reducir o eliminar las vulnerabilidades y mitigar los riesgos. Una vez que estos conceptos han sido
validados, tanto en términos operacionales como presupuestarios, se puede dar inicio a la fase de diseño. El producto de la fase de diseño es la
identificación del hardware y software, la ubicación, integración y documentación del funcionamiento que es suficientemente claro y completo para
asegurar su interpretación precisa y coherente por parte de los proveedores e instaladores para la adquisición e implementación de los sistemas.

El proceso de diseño de sistemas es un proceso en serie. Cada fase y tarea debe ser realizada secuencialmente antes que la siguiente comience –el producto
de una tarea se convierte en la entrada de la siguiente. Este es un importante concepto para la alta dirección. Dependiendo de la naturaleza del entorno,
organización y potenciales riesgos, el proceso requiere un esfuerzo significativo para desarrollar las bases del diseño y la consecuente documentación del
diseño y la ejecución de la construcción. El proceso se puede acortar sólo un poco cuando el usuario establece una relación diseño/construcción con un
contratista, versus una relación diseño, adquisición y construcción con un arquitecto o propietario. Por lo general, aumentando el personal o el presupuesto,
no se acorta sustancialmente el proceso. Aún más, si el proyecto del sistema de seguridad es parte de un proyecto de construcción o actualización mayor de
una instalación, el diseño e implementación de los sistemas de seguridad serán ejecutados y documentados conforme a los programas y documentación del
diseño arquitectónico y de construcción, normalmente gestionado por un arquitecto certificado como supervisor del proyecto. En ese caso, los responsables
del diseño de seguridad trabajarán directamente con el arquitecto y su equipo de trabajo, con el fin de documentar los requerimientos de seguridad e
incluirlos en los documentos contractuales para la licitación y construcción.

12.3 FASES INICIALES

La fase de planificación y evaluación es la primera fase de cualquier proyecto de diseño de seguridad. Esta fase consiste en recopilar toda la información de
activos relevantes previo al diseño, y analizarla en términos de necesidades y limitaciones del proyecto. Los esfuerzos de planificación y evaluación
siempre culminan en “las bases del diseño de seguridad”, el primero y más importante producto del proceso de diseño. Las bases del diseño se centran en
los requerimientos específicos del proyecto y en una solución de diseño conceptual basada en esos requerimientos. Estas fases se focalizan en la definición
de las amenazas, identificación de los activos, considerando las vulnerabilidades a través del análisis y la evaluación del riesgo.

Por lo tanto, la planificación de seguridad, evaluaciones y auditorias operacionales, son procesos formales para la identificación y análisis de los aspectos
de seguridad y problemas asociados con la protección de activos, y del desarrollo de los requerimientos de protección de activos, objetivos, criterios,
conceptos, y métodos que se usarán en el eventual diseño detallado de la solución. La evaluación o estudio es efectiva si se realizan acciones en las
recomendaciones y los resultados se miden con estándares aceptables. Esta fase involucra un importante trabajo en equipo entre los representantes de
operaciones, instalaciones, ingeniería y arquitectura para presentar la propuesta de solución a la gerencia, para su aprobación y elaboración del presupuesto.

Tres ingredientes claves en la fase de planificación determinan su eventual éxito. Primero, se necesita un enfoque multidisciplinario y comprometido, ya
sea de un individuo o un equipo. Segundo, el gasto de tiempo y esfuerzos necesarios en la fase de planificación resulta en un diseño de solución más
preciso y sensible, en la reducción de los riesgos y de los costos globales de potenciales pérdidas, y en el aumento de la longevidad y efectividad de los
sistemas instalados. Tercero, las decisiones tomadas durante la fase de planificación y evaluación deben ser hechas sobre la base de una información sólida
y relevante de la evaluación del riesgo y el entorno del activo. En esencia, el diseño de seguridad depende de una recolección de datos de buena calidad que
conduzcan a decisiones informadas por gente con conocimiento, como cualquier otro proceso analítico donde se diseñe y construya una solución.

El resultado de la fase de planificación global es un conjunto de requerimientos, u objetivos, de seguridad que se usa como base de un eventual diseño
(también conocido como bases de diseño). La evaluación consiste en el estudio y análisis de los activos y la protección, normalmente a través de un estudio
inicial del sitio y una evaluación de las vulnerabilidades, la aplicación de la evaluación del riesgo y el proceso de diseño para llegar a una solución
conceptual basada en los requerimientos de protección. Por lo tanto, la fase de planificación y evaluación resulta en un diseño de solución conceptual que
clasifica las vulnerabilidades por su criticidad e identifica el mejor y más rentable esquema de protección para mitigar o eliminar los riesgos de los activos.
El diseño de solución inicial en esta fase del proceso está basada totalmente en la interpretación que hace el diseñador de los requerimientos funcionales de
la solución conceptual. Sin estos requerimientos, no puede haber un diseño de solución significativo y se puede desperdiciar un capital valioso en una
costosa construcción.

Otro importante resultado de la fase de planificación es el desarrollo del caso de negocios (business case) para el sistema de seguridad nuevo o actualizado.
Los sistemas deberán ser evaluados no sólo en calidad y fiabilidad, sino también en costo. El caso de negocios documenta el impacto del diseño de solución
en el negocio, la inversión necesaria, la expectativa de ahorro cuantificable, y otras medidas que permiten a quien toma decisiones, resolver sobre la
inversión en un proyecto de seguridad. La característica principal de un caso de negocios de seguridad es una serie de medidas económicas (retorno de la
inversión, rentabilidad, valor presente neto de un flujo de caja, etc.) que se usan para justificar la solución de seguridad en la cadena de gestión. Una
presentación formal de las necesidades de seguridad, el caso de negocio, los costos y beneficios, las alternativas y el impacto en las operaciones suelen ser
obligatorios antes de los gastos de capital. En el mundo de la arquitectura y la ingeniería, la fase de planificación generalmente se refiere a la programación
y a la fase de diseño esquemático que conduce a las bases del diseño (análisis de requerimientos) y al diseño conceptual.

Es necesario un análisis de requerimientos para una planificación efectiva. El análisis de requerimientos utiliza la amenaza, los activos y el análisis de
riesgos como base.

La definición de los requisitos de diseño es el proceso de desarrollar una guía específica de diseño funcional que conduce a las estrategias de seguridad.
Antes de ver los requerimientos específicos de protección de activos, es recomendable formular una declaración de los objetivos globales o misión del
sistema de seguridad integrado (ISS de ahora en adelante, por sus siglas en inglés). Los objetivos deben reflejar y apoyar la misión corporativa global si el
ISS será financiado y apoyado por la dirección. Los objetivos generales de protección debiesen ser validados al completar cada tarea de planificación de
diseño. A medida que avanza el proceso aparecerán nuevas ideas. Podría ser necesario revisar la declaración de la misión, pero al final de la tarea la
definición de requerimientos debería reflejar con precisión los objetivos globales de la protección de activos.

Se recomienda añadir un factor de nivel de confianza para cada requerimiento funcional de seguridad. Por lo tanto, son útiles los términos detectar y
demorar, en lugar de impedir. Un sistema de seguridad basado en objetivos absolutos, tales como la denegación total de una entrada no autorizada (100%
confianza), será tan imposible de diseñar o costosa como poco práctica. El verdadero peligro no es la entrada no autorizada en sí misma, sino las
consecuencias de dicha entrada. La definición de requerimientos debería centralizarse en prevenir, demorar o modificar las consecuencias.

El diseño de soluciones para diversas vulnerabilidades de los activos puede ser el mismo, similar o complementario. Por ejemplo, un requerimiento de
seguridad que conduce a la detección y demora de un acceso no autorizado debe ser parcial o totalmente aplicable a otra vulnerabilidad de los activos, tal
como la prevención y la disuasión del robo de secretos comerciales por un competidor. Un proceso de planificación exhaustivo debe evaluar todas las
vulnerabilidades de los activos y enunciar los requerimientos funcionales específicos y las estrategias de protección resultantes.

El nivel de protección para un grupo de activos debe cumplir con las necesidades de protección de la mayoría de los activos críticos en el grupo. Sin
embargo, el diseñador de un sistema de seguridad puede separar un activo crítico para una protección específica en lugar de proteger todo el grupo en ese
nivel superior. Por lo tanto, el análisis de requerimientos y el proceso de definición es diseñado para hacer lo siguiente:

• Asegurar que las soluciones seleccionadas mitigarán las vulnerabilidades reales y específicas
• Proveer una justificación de costo/beneficio para cada solución
• Identificar todos los elementos (tecnología, personal y procedimientos) y recursos necesarios para cada solución
• Proveer una base para la especificación completa y precisa del sistema que será usada para adquirir e implementar las soluciones.

La Figura 12-2 entrega un ejemplo de un análisis de requerimientos para un proyecto específico.

12.3.1 BASES DEL DISEÑO

Una vez que se ha completado la definición de requerimientos y los requerimientos individuales de diseño se han identificado, el diseñador elabora una
base de diseño y lo presenta al equipo de diseño. Las bases de diseño documentan la designación inicial de los activos considerados críticos, exponen los
objetivos globales del programa de protección de activos, describen los resultados del análisis de riesgos, enumeran los requerimientos funcionales que
deben ser cumplidos por el diseño eventual, y provee una descripción narrativa de la operación de los sistemas propuestos, personal y procedimientos que
constituyen el sistema o programa de seguridad.

Las bases del diseño se convierten en el medio del diseñador para obtener el consenso del equipo de diseño en las metas y objetivos del proyecto, lo que
constituirá el proyecto y cómo el proyecto asegurará los activos. Cada miembro del equipo de diseño debería tener participación en las bases del diseño.
Este no es el momento para identificar los detalles de ingeniería, elaborar los presupuestos, o identificar y debatir las contramedidas específicas. Es el
momento en que el proyecto es concebido por primera vez, los requerimientos se derivan de una rigurosa evaluación de riesgos y se entregan las
descripciones funcionales de los subsistemas para indicar el posible funcionamiento del sistema. También, es el momento en que se puede realizar el
estudio inicial del sitio para obtener información de las condiciones y medidas existentes y sobre las necesidades de mejoras o adiciones.

12.3.2 DISEÑO CONCEPTUAL

El diseño conceptual, también conocido como concepto del diseño, es la última tarea del proceso de planificación y evaluación, y es desarrollada
inicialmente como un producto de la VA. En esta tarea, el diseñador formula una solución de seguridad completa para el activo que requiere ser protegido.
La solución de seguridad generalmente consiste en estrategias de protección agrupadas para crear un programa de protección de activos o para aumentar
uno ya existente. Por lo tanto, la solución generalmente incluye sistemas de seguridad complementados con procedimientos y personal. En la etapa
conceptual, sin embargo, la solución se expresa en una narrativa general y en términos descriptivos acompañados por una estimación presupuestaria inicial
para el diseño y la construcción.

El concepto de diseño incorpora las bases del diseño; documenta los hallazgos, conclusiones y recomendaciones de cualquier estudio inicial; y es la
primera oportunidad para documentar el diseño del proyecto. Desde el punto de vista arquitectónico, el concepto de diseño generalmente se conoce como
diseño conceptual inicial o fase esquemática.

El diseñador de seguridad colabora con el propietario del sitio en un enfoque integrado y holístico para la protección de activos. El diseñador se ocupa
principalmente de establecer medidas de protección configuradas en anillos concéntricos alrededor del activo protegido para hacer que sea cada vez más
difícil para un intruso alcanzar los objetivos críticos y escapar sin ser detectados. Estas protecciones-en-profundidad, o esquemas redundantes, crean
barreras o demoras en el trayecto del intruso hacia los activos protegidos y hace posible que otros recursos de seguridad respondan.

La importancia de tener un sistema de seguridad redundante está basado en los 10 principios de la probabilidad, desarrollado por el matemático y
astrónomo francés Marquis de Laplace (1749-1827). De acuerdo a la fórmula de Laplace, cuando los eventos son independientes el uno del otro, la
probabilidad de su correncia simultánea es el producto de sus probabilidades separadas. Por lo tanto, la probabilidad de que un sistema de detección del
sistema de seguridad pueda ser eludido es alta, pero la probabilidad de que todos los detectores y barreras en un esquema de seguridad en profundidad o
redundante se vean comprometidos es muy baja.

Existe cierto debate sobre el nivel de detalle que se incluye en el concepto de diseño. Normalmente, el concepto incluye los elementos señalados
anteriormente, más algunos detalles del diseño inicial. Los detalles del concepto de diseño nunca deberían ser más que una descripción de alto nivel de los
distintos elementos previstos en el sistema de seguridad, subsistemas y sistemas de apoyo.

Los subsistemas deberían ser descritos de manera narrativa en el concepto, al igual que su interacción con otros para formar un sistema completo. Los
detalles de narrativa deberían ser acompañados de detalles representativos en los aspectos de diseño específicos previstos, como una puerta de entrada con
acceso controlado, una salida de emergencia, etc. Finalmente, los diagramas de bloque generales deberían ser elaborados describiendo sistemas,
subsistemas y elementos representativos básicos de conectividad, acompañado de los costos de construcción estimativos del proyecto.

Con fines arquitectónicos, es común agregar en los planos de arquitectura de pisos los dispositivos que se pretende usar, los puntos de control y la
conectividad del sistema, para entregar a los planificadores del proyecto una indicación del alcance y profundidad de la interfaz (energía, etc.) para la parte
de seguridad del proyecto. Los arquitectos aumentan los detalles y aprovechan cada oportunidad para exigir que ese nivel de detalle se incluya desde el
comienzo en sus proyectos.

En algún momento el proyecto debe ser aprobado. El nivel de concepto es el momento ideal para buscar la aprobación de la gerencia, ya que el equipo del
proyecto ha llegado a un consenso en los alcances del proyecto, y se han desarrollado los detalles suficientes para crear un presupuesto inicial.

La elección del diseñador respecto de las contramedidas, depende en gran medida de su rentabilidad. El criterio de costo-efectividad que se debe usar
incluye las restricciones operacionales, susceptibilidad a las alarmas no deseadas, costos de instalación, costos de mantención, probabilidad de detección,
tiempo medio entre fallos, contribución a la reducción de la mano de obra, contribución a la vulnerabilidad de los activos, y el riesgo reducido,
normalmente expresado en la consecuencia monetaria de pérdida o destrucción. Un diseñador puede elegir entre muchas opciones de contramedidas. La
mayoría de los diseñadores de seguridad identifican 4 estrategias principales de seguridad: prevención, detección, control e intervención, como los
requisitos funcionales más importantes del diseño de seguridad. La seguridad nacional cuenta con cinco estrategias principales: preparación, prevención,
detección, respuesta y recuperación. La Figura 12-3 muestra una tabla de desarrollo de contramedidas como ejemplo.

12.4 CRITERIOS DE DISEÑO

Los criterios de diseño constituyen la regla básica y directriz para el diseño. En efecto, estos son los requerimientos de diseño adicionales que el diseño
debe considerar junto con los riesgos. Los criterios se dividen en varias categorías, algunas basadas en las expectativas de desempeño del sistema, en las
consideraciones operacionales y financieras, y otras en el estilo, diseño, códigos y estándares. No todas las medidas de protección de activos son posibles o
prácticas. Otro criterio identificará las restricciones o limitaciones que aplican al diseño, implementación y operación del sistema.

En esta fase del proceso de diseño, sólo es necesario enumerar los criterios en vez de incluir una completa descripción de los detalles. Estos se incluirán en
las especificaciones de diseño y construcción o en los documentos contractuales. Algunos de los criterios de diseño más influyentes se describen más abajo.

12.4.1 CODIGOS Y ESTÁNDARES

Para el diseño de seguridad de una instalación en especial, y para los proyectos de actualización, el diseño e implementación probablemente tendrá que
respetar los códigos nacionales y locales de incendio y protección de la vida. Los códigos aplicables deben ser identificados y aplicados en el diseño inicial
para asegurar su cumplimiento. Además, diversas leyes pueden entrar en el juego, incluyendo aquellas relativas al registro y entrenamiento del oficial de
seguridad. También, la organización puede tener sus propios estándares para el diseño, adquisición, modificación y construcción, tales como normas de
trabajo, cobertura de seguros, esquemas de colores aceptables y normas de licitación pública. Algunas organizaciones incluso tienen un conjunto de normas
de seguridad o directrices que establecen los estándares de diseño y construcción para la implementación del sistema de seguridad. Ciertos códigos de
protección de la vida tienen un efecto significativo en la selección, configuración y operación de los componentes elegidos para el control de puertas. El
incumplimiento de estos códigos y estándares puede llevar a un eventual rechazo del diseño de solución en la fase de construcción, y el cumplimiento de
los códigos puede requerir cambios muy costosos en el sistema construido. Esto ocurre particularmente cuando los controles de seguridad se aplican en
lugares de las rutas establecidas del edificio y luego se determina que tales controles violan los códigos de seguridad ocupacional y deben ser eliminados.
Otros casos implican el uso de mecanismos particulares de cierre (tales como cerraduras eléctricas, electromagnéticos y cerraduras con pines verticales), su
aplicación a ciertos tipos de puertas, y la consiguiente configuración del hardware de la puerta necesaria para cumplir con los códigos.

12.4.2 CALIDAD
Un diseñador siempre debería estar consciente de las diferencias de calidad y desempeño de los componentes. Generalmente, el uso de componentes de
calidad en un diseño superior lleva un largo camino. Un buen diseño siempre encuentra un justo equilibrio entre la calidad de los componentes y el costo
global. También, es necesario aplicar la calidad en forma coherente. Por ejemplo, no tiene mucho sentido instalar una cerradura de alta calidad en una
puerta de madera hueca, una puerta de metal rodeada de una construcción de tabiquería seca simple, o un sistema de alarma de intrusión con sensores y
unidades de control, pero sin un sistema de comunicación y visualización. El sistema de alarma también debe tener protección contra manipulaciones, que
proporcione una señal de alarma si el sistema está en peligro. El diseñador siempre identifica las opciones para hacer más fácil la comprensión por parte de
la gerencia, de los factores de costo y el desempeño relativo de diferentes configuraciones. También es importante documentar la compensación (tradeoffs)
entre costo y calidad.

12.4.3 CAPACIDAD
Los requerimientos de capacidad, tamaño y espacio son los principales determinantes de las soluciones del sistema de seguridad. La capacidad deseada (por
ejemplo, el número de titulares de tarjetas para un sistema de control de acceso, el número de zonas de alarmas controladas, el número de puertas con
control de acceso, etc.) puede ser modificada según como se va desarrollando el sistema. No obstante, tener una estimación general en esta etapa reduce el
número de iteraciones del diseño. Nada complica más un diseño que un replanteamiento de los requerimientos de capacidad del sistema en la mitad del
proceso de diseño. El diseñador siempre considera la capacidad de expansión en el diseño desde el principio mismo, generalmente añadiendo un 10 a 15%
de capacidad de reserva.

12.4.4 DESEMPEÑO
El desempeño de los componentes usualmente es detallado en una especificación del proyecto de desempeño. Los parámetros del desempeño global del
sistema, sin embargo, deberían establecerse como criterios de diseño en la documentación de las bases de diseño, sobre todo si el diseñador pretende que
los sistemas interactúen con sistemas o condiciones existentes. Los siguientes son ejemplos de parámetros de desempeño:

• El sistema de control de entrada debe conectar a una red de área local existente
• El sistema de control de entrada debe gestionar eficientemente el tráfico de personal en los cambios de turno
• El subsistema de torniquete controlado por el lector de tarjeta debe tener una capacidad mínima de 500 titulares por hora y ser capaz de permitir la
evacuación del edificio en 10 minutos.

La lista de desempeño también puede incluir criterios de confiabilidad y mantenimiento, por ejemplo, que el torniquete deba tener un tiempo promedio
entre fallos (MTBF, por sus siglas en inglés) de 2.000 horas.

12.4.5 CARACTERÍSTICAS
Las principales características del sistema deberían ser definidas en forma resumida en la documentación de las bases del diseño y, en términos más
detallados, en las especificaciones de desempeño. Un buen ejemplo es la ubicación de torniquetes ópticos en el vestíbulo de un edificio de gran altura,
basado en exigencias de rendimiento y evacuación. La característica de rendimiento de tráfico generalmente dicta el número de pistas, y la mayoría de los
vestíbulos pueden tener un número limitado de pistas. Si las bases de diseño requieren de funciones que incluyen características de diseño que no suelen
estar disponibles, la competencia para las adquisiciones será limitada y los costos podrían escalar. Las características personalizadas también pueden
complicar la interfaz del componente, requerir contratación y tiempo de implementación adicional, y ser más difícil de mantener. Los diseñadores deberían
tener un conocimiento detallado de las características de desempeño que se encuentran disponibles en el comercio normal. Vale la pena realizar una
verificación de realidad tanto del desempeño de los sistemas y de los criterios de diseño con varios fabricantes antes de finalizar la lista.

12.4.6 COSTO
Dos de los principales factores de costo para un diseño de seguridad son los honorarios de diseño y los costos de construcción del sistema proyectado. En
cuanto a los costos de diseño, algunos propietarios buscan la ayuda del instalador/integradores para diseñar los sistemas, así se ahorran los costos de diseño.
Otros prefieren buscar la ayuda profesional de un ingeniero asesor experto. En el largo plazo, es beneficioso tener una persona con conocimientos que
lidere el proceso de diseño integrado. La experiencia de la persona puede ayudar a reducir los costos de construcción, personal y procedimientos. Algunas
personas experimentan una conmoción cuando ven lo cara que puede ser una seguridad razonable, sistemas de seguridad especialmente integrados con
control de entrada, detección de intrusión y CCTV. Si el análisis de riesgos ha sido documentado a cabalidad y basado cuantitativamente, entonces el
financiamiento adicional puede ser más fácil de justificar. Un presupuesto, a menudo es un objetivo de diseño requerido, y debería ser incluido como uno
de los criterios de diseño iniciales.

12.4.7 OPERACIONES
Dos principales criterios de diseño de seguridad. En primer lugar, los programas de seguridad necesitan tener un impacto negativo mínimo en la
productividad y en las operaciones de la instalación. El acceso restringido en áreas de producción puede afectar las operaciones, especialmente si esas áreas
experimentan altos volúmenes de tráfico. Por lo tanto, los gerentes de operaciones deberían ser consultados al comienzo del proceso para encontrar
soluciones alternativas (tal como un nuevo diseño para un área de producción). En segundo lugar, las operaciones de seguridad deberían ser vistas como un
uso natural de los sistemas de seguridad. Por ejemplo, un diseño de sistemas debería incluir la capacidad de adaptarse a las operaciones de patrullaje
normal y de cambios de turno. El diseño de un buen sistema permite la sincronización de las activaciones del sistema mientras que también provee una
ubicación central donde se puedan controlar alarmas, evaluación, vigilancia por video y las comunicaciones.

12.4.8 CULTURA E IMAGEN

La cultura empresarial es un factor importante en el diseño e implementación de los sistemas y programas de seguridad. La cultura es lo que distingue una
organización de otra, y determina cómo se define e implementa la seguridad en una organización en particular. Se debe tener cuidado para asegurar que los
procedimientos y entrenamiento maximicen la aceptación de las personas al cambio. Relacionada con la cultura está la imagen, cómo percibe la
organización el mundo exterior. Varios factores, tales como el servicio al cliente, las actividades promocionales, y el diseño del interior y exterior de la
instalación, ayudan a formar una imagen. Si la función de seguridad es apoyar los objetivos corporativos, el programa de seguridad debe reflejar la imagen
corporativa. Si el programa hace hincapié en una seguridad de alto perfil o bajo perfil, debería considerar siempre la estética de los componentes de
seguridad visibles, tales como los uniformes de los oficiales de seguridad o el equipamiento. Algunos de estos tópicos de diseño pueden ser cubiertos por
los estándares corporativos discutidos con anterioridad; los criterios no contemplados anteriormente deberían ser enumerados aquí.

12.4.9 SUPERVISIÓN Y RESPUESTA

Un componente esencial en cualquier sistema y programa de seguridad es el diseño de un centro de operaciones de seguridad ubicado centralmente, y la
asignación del personal de seguridad para supervisar los sistemas de alarmas y responder a las condiciones de alarma. El diseño de una central de control se
hace cada vez más importante en la medida que la necesidad de continuidad del negocio aumenta. Además, a medida que más organizaciones aplican
sistemas integrados de seguridad a nivel mundial, la supervisión y respuesta eficaz y eficiente puede llegar a ser aún más importante.

Si el presupuesto limita el diseño de un centro de operaciones de seguridad o la disponibilidad de personal adecuado, el diseño del sistema tendrá que
minimizar los requerimientos de supervisión, o el personal, o incorporar la capacidad de supervisión exterior. Para los sistemas de empresas, la
tercerización de la supervisión y respuesta pone en duda la inversión en un sistema de empresa en el primer lugar. Sin embargo, para algunos sitios alejados
o solos, la detección de intrusión y alarmas de control de entrada pueden reportar a una estación comercial central de alarma o ser anunciada y controlada a
través de un sistema propio local. Los sistemas de CCTV también pueden ser aplicados en la empresa. Tales sistemas pueden ser supervisados
remotamente y usarse como herramientas de evaluación para las alarmas locales, y ellos también pueden ser utilizados como mecanismos de registro para
recuperar la alarma previa o secuencia de escenas en puntos seleccionados a través de la red de la empresa. La función de supervisión y respuesta usada en
sistemas rudimentarios para instalaciones de tamaño mediano o pequeño puede ser proporcionada por una estación central. Para sistemas más complejos y
organizaciones grandes, el método preferido de supervisión y respuesta es a través de personal de seguridad local en un centro de operaciones de seguridad
bien diseñado y equipado. En algunos casos, las organizaciones optan por utilizar personal en el lugar durante la jornada laboral y supervisión remota
después del horario normal. Para las funciones en el lugar, las habilidades y entrenamiento del personal deberían coincidir con la complejidad de los
sistemas de supervisión, control y respuesta.

12.4.10 ESTIMACIÓN PRELIMINAR DE COSTOS

Un producto adicional de la fase de planificación es el presupuesto inicial, tanto para los gastos de capital como para costos recurrentes asociados al
sistema propuesto. Dado que en esta primera fase no se ha realizado ningún trabajo de diseño detallado, ni se ha dado por terminada la cantidad de
componentes, el presupuesto puede ser una estimación conceptual de la magnitud en el mejor de los casos. Algunos diseñadores con experiencia en
estimación de los sistemas a implementar pueden estimar un 10% del precio final de la oferta. La mayoría de la gente, sin embargo, necesita ayuda de los
proveedores, fabricantes, o contratistas para obtener el precio de venta sugerido por el fabricante (MSRP de ahora en adelante, por sus siglas en inglés) para
el equipo, instalación, software y sistemas de apoyo. Pueden ser necesarios los servicios de un consultor experto en seguridad independiente.

Uno de los peligros de un presupuesto inicial inadecuado es que el diseñador pueda tener que repetir un largo y difícil proceso de aprobación. Si un
proveedor de hardware específico proveerá la mayor parte de los equipos, la experiencia del proveedor puede ser muy útil en el desarrollo de una
estimación inicial. Aunque esa estimación es conceptual, su precisión es importante. Generalmente, debería ser dentro de un 15 a 20% del precio final de la
oferta. Si es demasiado bajo, del descubrimiento posterior del costo real del proyecto podría llevar a su cancelación o a una insuficiencia de fondos para
construir un sistema de seguridad totalmente responsivo. Si el costo estimativo es demasiado alto, puede que el presupuesto inicial no sea justificable y no
lo aprueben.

Los siguientes son ejemplos de elementos que deberían ser considerados en la estimación:

• Proyecto de capital
— Todo el equipamiento y sistemas de apoyo y sus costos de instalación, incluyendo todos los sistemas principales y de respaldo, software,
componentes, accesorios para montaje de hardware, sensores, paneles de terminación, paneles de control, cajas porta aparatos, cajas de
conexiones, conductos, baterías de respaldo para alimentación de energía, fuentes de poder ininterrumpida y circuito de alimentación
principal
— Fletes, impuestos, etc.
— Administrador del proyecto y labor de supervisión
— Presentación de planos de taller
— Pruebas
— Puesta en marcha
 — Entrenamiento de operadores y usuarios
— Planos de construcción (registro)
— Garantía
— Honorarios de diseño

• Proyectos de servicio y costos recurrentes

— Nómina del personal de seguridad, incluyendo supervisión, beneficios, feriados, vacaciones y ausencias por enfermedad
— Uniformes y equipos
— Entrenamiento
— Mantención de equipos, reparación y reemplazo
— Materiales consumibles, incluyendo papel de impresora, cartuchos de tinta o tóner, y medios de respaldo de seguridad
— Reemplazo de tarjetas de control de acceso, credenciales y revisión de los procedimientos de desarrollo
— Estación central de monitoreo de alarma y respuesta

En las primeras fases del proyecto, la estimación debería ser una sola, a suma alzada para cada subsistema y del total de los sistemas, y generalmente, en un
formato de narrativa simple. Posteriormente, las estimaciones presupuestarias son más detalladas, como la que se muestra en la Figura 12-4.

Un análisis más detallado se presenta en el Apéndice A: Estimación.

12.5 EQUIPO DE DISEÑO

El diseño de seguridad no existe en el vacío. Los administradores y directores de seguridad necesitan determinar quién debería participar, en su
organización, en el proceso de diseño y cuál debe ser su relación con los profesionales del diseño y la construcción. Los participantes debiesen ser
designados al inicio del proceso de planificación, tan pronto como se conozca el alcance del proyecto, de manera que puedan contribuir al proceso de
diseño preliminar inicial y se beneficien del conocimiento de este. El estilo de gestión de la organización determinará la selección de los miembros del
equipo, así como el lugar y naturaleza del proyecto. No todos aquellos de la siguiente lista necesariamente serán incluidos en el equipo. Por ejemplo, las
funciones del equipo de diseño del CEO y el CFO26 pueden ser realizadas por sus delegados. Los siguientes son los posibles miembros de un equipo de
diseño:

• Gerente General o Presidente: El CEO está involucrado en el proyecto por dos razones principales. La primera es asegurarse que los objetivos del
programa de seguridad reflejen la misión de la empresa y que la imagen corporativa se mantenga o refuerce. La segunda es proporcionar al programa
de seguridad el apoyo desde arriba hacia abajo (top-down). Nada puede sabotear más rápidamente un programa bien diseñado que la falta de interés
en él por parte de la gerencia o dirección.
• Gerente de Finanzas: El CFO vela por el factor costo/beneficio del proyecto y aprueba el financiamiento una vez que está justificado. El CFO está
acostumbrado a revisar cuantitativamente los datos y basa la decisión de inversión en el retorno.
• Gerente de Recursos Humanos: Algunos procedimientos de seguridad son gestionados por el departamento de recursos humano, tales como la
contratación cuidadosa y las prácticas de despidos, y la mantención de la base de datos de titulares de tarjetas del sistema de control de acceso.
Además, en muchas organizaciones la función de seguridad reporta al gerente de recursos humanos.
• Gerente de Tecnología de Información: la tecnología de información es una ventaja y una vulnerabilidad al mismo tiempo. Particularmente,
cuando el sistema de seguridad opera en una red de empresa, el departamento de tecnología de información debería participar para asegurar que los
estándares corporativos se mantengan.
 • Gerente de la Instalación: En las grandes organizaciones, la administración de la instalación está estrechamente alineada con la función de
seguridad, especialmente en materias de tecnología de seguridad y sistemas de vigilancia.
• Arquitecto del Proyecto: Para proyectos que implican una construcción importante, suele participar un arquitecto.
• Gerente de Construcción: Los proyectos de construcción más grandes pueden incluir una empresa especializada que se encarga de toda la
construcción e implementación. El gerente de construcción generalmente se involucra al inicio del proceso de diseño para estar atento a la viabilidad
de construcción, aprobación del diseño y materias de costos.
• Diseñador del Sistema de Seguridad: Los subsistemas de seguridad y su integración se están volviendo cada vez más complejos, por lo que se
requiere una considerable experiencia para diseñar un sistema que aborde tanto los aspectos de vulnerabilidad y los operacionales. En las grandes
organizaciones esta capacidad puede estar disponible dentro de la organización. Sin embargo, debido a que los proyectos de nuevos sistemas no
ocurren con frecuencia, podría ser útil contratar un consultor que tenga una basta experiencia y ningún interés personal en algún servicio o
equipamiento que se provea.
• Gerente de Seguridad: La función del gerente de seguridad es esencial para el éxito del diseño y la implementación del sistema. El gerente de
seguridad debería comprender estos importantes conceptos:
— El sistema no pertenece al arquitecto, al consultor de seguridad, al proveedor de sistemas, a los usuarios, ni al CEO ni a los accionistas. El
gerente de seguridad vive con las consecuencias del fallo del sistema, por lo tanto debe asumir la responsabilidad y titularidad del sistema. La
titularidad se logra entendiendo el proceso de diseño e implementación y manteniendo una participación directa en el proyecto.
— Una persona no puede dominar todos los aspectos de diseño y construcción. Los gerentes de seguridad que se resisten a contratar especialistas
pueden llegar a depender de la inexperiencia de empleados de la empresa o de proveedores de seguridad. El gerente de seguridad debería
identificar dónde hay falta de experiencia y estar dispuesto a contratar especialistas, ya sea como empleados o consultores, para que lo ayuden
a mantener el nivel de participación necesaria y así lograr la titularidad.
— Para tener éxito, las soluciones del sistema deben reflejar la misión de la organización, deben responder a la cultura de la organización y a las
operaciones del negocio, y deben tener la aprobación y participación de la gerencia ejecutiva. Por estas razones, el equipo del proyecto
debería preparar un caso de negocios de seguridad utilizando términos y enfoques comunes a otros proyectos de inversión de capital de la
empresa.

12.6 FASE DE DISEÑO Y DOCUMENTACIÓN

Luego el proyecto pasa a la fase de diseño y documentación. En la industria del diseño de la construcción, esto puede dividirse en dos fases, la fase de
desarrollo del diseño y la fase de documentos de construcción. Alternativamente, puede ser considerada una sola fase conocida como documentación de la
construcción, o CD (de ahora en adelante, por sus siglas en inglés), con la finalización del trabajo de desarrollo del diseño que se refiere al 30, 35 o 50%.
Generalmente, el desarrollo del diseño incluye un diseño preliminar (30 a 35%) siguiendo con el diseño conceptual o esquemático y concluye con un
desarrollo del diseño de 50 a 60%. Los porcentajes representan el nivel de finalización de los documentación final de la construcción.

Tras el desarrollo del diseño, los CD suelen comenzar con un 60% del diseño y llegan a un 90% de los CD en la fase de presentación para finalizar con un
set del 100%. Si el diseñador de seguridad está trabajando con un arquitecto, las fases de diseño y presentación generalmente coinciden con las del contrato
entre el arquitecto y el propietario. Sin embargo, si el diseñador de seguridad no está trabajando con un arquitecto, esta presentación del diseño por lo
general está hecha para el proyecto específico y casi siempre incluye el set de presentación conceptual, preliminar y de construcción, con los
correspondientes comentarios de cada fase del diseño.

El objetivo de la fase de diseño y documentación es completar el diseño y documentar el proceso con el nivel de detalle necesario para la selección del
método de adquisición. Un mayor nivel de detalle en el diseño dará lugar a mejores respuestas por parte de los oferentes y menores costos del proyecto.

El set completo de los documentos de adquisición, conocido como documentos del contrato (u oferta), consistirá de tres secciones: detalles contractuales,
especificaciones de construcción y planos de construcción. En la contratación de servicios (tales como los servicios de un oficial de seguridad), la tercera
sección no es necesaria. En una construcción relacionada con adquisiciones (que incluye, por ejemplo, control de acceso y CCTV), las especificaciones y
planos se denominan documentos de construcción. En proyectos más pequeños, es común ver todas las especificaciones escritas en los planos de
construcción.

12.6.1 DETALLES CONTRACTUALES

Esta sección de los documentos del contrato describe la forma de contrato que se usará cuando se haya elegido el proveedor. Cubre los requerimientos de
seguros y fianza, la normativa local, las leyes laborales (sindicalizados o no, tarifas salariales, etc.), condiciones de pago y de entrega, los métodos de
medición del avance del proyecto para el pago parcial, los recursos del propietario en caso de incumplimiento, las condiciones de término, la aplicación del
precio por unidad para adiciones y supresiones, instrucciones para los oferentes, etc. Para grandes proyectos de construcción, el arquitecto o gerente de
construcción del propietario desarrolla este documento para cubrir todas las operaciones, incluyendo seguridad. Para trabajos más pequeños, el
departamento de adquisiciones de la empresa puede desarrollar esta sección. En la mayoría de los casos, el documento se incluye en los documentos del
contrato y se modifica de acuerdo a las exigencias del proyecto, a medida que este avanza.

12.6.2 ESPECIFICACIONES
Las especificaciones de los sistemas reflejan y complementan el diseño de sistemas reales con el suficiente detalle para alcanzar lo siguiente:

• La implementación final refleja cuál era la intención. En todos los casos, las especificaciones de los sistemas contienen las instrucciones y criterios
del funcionamiento real para la construcción de los sistemas comprendidos en el diseño. En las especificaciones debería estar incluida la prueba
funcional para garantizar que el sistema hará aquello para lo que fue diseñado, así como pruebas continuas periódicas programadas para asegurar la
 integridad del sistema en el tiempo. Los dibujos y planos son prácticamente inútiles y están abiertos a la interpretación, salvo que hayan
especificaciones asociadas detallando la construcción y los criterios de funcionamiento del los sistemas. Los dibujos y planos muestran qué se va a
construir, mientras que los detalles de las especificaciones detallan la intención del propietario y cómo se va a construir.
• Todos los licitadores obtienen lo mismo, un total conocimiento de los requerimientos. Especificaciones poco exactas o incompletas pueden dar lugar
a ofertas demasiado diferentes y a la incapacidad del comprador de compararlas.

Debido al nivel de detalle requerido, las especificaciones tienden a ser extensas y muy técnicas. Se requiere una considerable experiencia técnica en el
diseño, adquisición, construcción y operación de un sistema de seguridad para elaborar buenas especificaciones. Con especificaciones pobres los
proveedores pueden hacer la elección de la calidad y desempeño para el propietario, sin el conocimiento de éste hasta que el sistema está instalado y en
operaciones.

Existen especificaciones modelo disponibles que sirven como punto de partida para ser adaptadas a las necesidades específicas de cada proyecto. Los
diseñadores de sistemas de seguridad más experimentados han desarrollado su propio modelo de especificaciones. Estas deberían reflejar las lecciones
aprendidas de los proyectos de sistemas de seguridad anteriores. Por ejemplo, un contratista puede haber interpretado mal una frase de las especificaciones,
provocando una menor funcionalidad del sistema o un aumento de los costos.

Las secciones de las especificaciones se enumeran según el área de construcción, por lo que cada sección puede ser publicada por separado.
Especificaciones estándar se encuentran disponibles en el American Institute of Architects (www.aia.org) y en el Construction Specifications Institute
(www.csinet.org). Por ejemplo, Construction Specifications Institute publica las normas MasterFormat™ y MasterSpec™. Un gerente de proyecto o un
arquitecto debería usar las distintas divisiones de esas normas para documentar todo el proyecto de construcción. La seguridad ocupacional electrónica y la
seguridad es la División 28 del Subgrupo de Servicios de Instalaciones.

Especialmente con la tendencia hacia la integración entre los subsistemas y la adquisición de todos los sistemas de seguridad a través de un solo contratista,
es común salirse de este formato e incluir todos los sistemas de seguridad en una sola sección de diseño personalizado. La mayoría de los arquitectos y
gerentes de proyecto prefieren todos los sistemas de seguridad en una sola especificación.

Cada sección individual de las especificaciones consiste en un formato estándar dividido en tres partes: general, productos y ejecución. Cada parte está
dividida en subsecciones y sub-subsecciones. No todos los títulos son aplicables a todos los proyectos, por lo que el formato de especificaciones
frecuentemente son modificados por el diseñador de seguridad para adaptarlo a las circunstancias particulares del proyecto. La importancia del formato
estándar es para asegurar lo siguiente:

• Las especificaciones finales están completas en todos los detalles

• Los contratistas pueden encontrar fácilmente los detalles específicos cuando preparan la propuesta u oferta, o cuando implementan el sistema.

Las especificaciones de un sistema de seguridad debería incluir, al menos, lo siguiente:

• Instrucciones para los licitadores con una lista de todos los documentos incluidos en el pliego de condiciones
• Lista de referencias del proyecto
• Descripción funcional del diseño de todos los sistemas, su operación funcional prevista en un concepto de las operaciones, el mantenimiento y los
requisitos de garantía, las disposiciones de aseguramiento de la calidad y el programa de instalación
• Lista de planos del diseño
• Lista y descripción de los productos y servicios que se incluyen en el contrato
• Lista de los productos y servicios requeridos que se incluyen en otros contratos (tales como hardware de la puerta eléctrica, el cual es
proporcionado e instalado bajo el contrato de hardware de la puerta, pero debe ser conectado al sistema de seguridad por el contratista de seguridad)
• Lista de códigos y estándares aplicables
• Servicios de apoyo, tales como presentaciones de dibujo, muestras, y documentación, puesta en marcha, pruebas, entrenamiento, garantía,
mantención y piezas de repuesto.
• Descripciones técnicas de todos los principales subsistemas y sus componentes, incluyendo capacidad, habilidad, idoneidad, expansibilidad,
funcionamiento, parámetros operacionales, parámetros ambientales de operación, detalles de instalación e integración, aspecto y acabado, modelos y
marcas aceptables.
• Condiciones generales del lugar, normas de instalación y normas de control de calidad.

Apéndice B: La implementación muestra un modelo de especificación de referencia.

12.6.3 DIBUJOS
Junto con las especificaciones, los dibujos son la piedra angular de cualquier proyecto de construcción. Un dibujo o diagrama de la intención del diseño es
menos probable que sea malinterpretado por los contratistas. Sin embargo, para evitar la ambigüedad y manejar las discrepancias entre los dibujos, las
especificaciones tienen prioridad sobre los dibujos.

La mayoría de los planos se hacen con los sistemas de dibujo y diseño asistido por computadoras (CADD de ahora en adelante, por sus siglas en inglés).
Comparados con los dibujos manuales, los archivos CADD son más claros, las modificaciones más rápidas y menos caras de hacer, y los documentos se
pueden compartir con mayor facilidad. Además, muchos diseñadores de seguridad trabajan ellos mismos directamente con los sistemas CADD en lugar de
hacer bocetos para que un dibujante los convierta en el dibujo terminado. El enfoque directo elimina los errores de transcripción y la necesidad de entrenar
a una persona adicional en los requerimientos de ingeniería del proyecto.
Los dibujos del sistema de seguridad generalmente consisten en planos, elevaciones, detalles, canalizaciones y programación de hardware. Cada dibujo es
un plano del sitio o un plano de la planta que muestra los dispositivos de los sistemas de seguridad por tipo y ubicación. El plano del la planta en la Figura
12-5 es uno de esos dibujos.

Planos
Todo plan de un sistema de seguridad muestra un mapa de enfoque descendente (topdown), como la vista de un área donde están ubicados los dispositivos
y sistemas. El área puede ser un sitio completo, la planta de un edificio o parte de una planta. Tantas hojas de plano como sea necesario para mostrar todas
las áreas donde se instalarán los sistemas de seguridad. La información de antecedentes de un plano de una planta consta de elementos tales como líneas de
cerca, ubicación de paredes, tabiques interiores, puertas, muebles, número de puertas y habitaciones (conocidas como blancos o etiquetas), nombres de
habitaciones, materiales del piso, escaleras, equipos fijos, etc. El arquitecto usualmente proporciona los planos de fondo para un proyecto de construcción.
Para el proyecto de actualización de un sistema, la empresa puede ya tener los planos de fondo. Para la elaboración manual de los planos, la información de
fondo se provee en hojas transparentes (también conocidas como reproducibles) tales como papel vitela o papel Mylar, en el cual se dibujan los símbolos
que representan los diversos elementos de los equipos de seguridad y, en algunos casos, líneas entre equipos para mostrar las interconexiones. El nivel de
detalle del fondo debe ser suficiente, pero no tan amplio que los dibujos llenen y los equipos de seguridad se tornen insignificantes.

El archivo del plano del fondo consiste en un número de capas (por ejemplo, una es para las paredes, puertas, muebles y diseño de iluminación). El CADD
puede seleccionar qué niveles se requieren y puede hacerlos aparecer y desaparecer. Los símbolos de seguridad generalmente se dejan en su propia capa y
se copian en los lugares deseados como bloques predefinidos. Si el arquitecto cambia el diseño de fondo, la antigua capa de seguridad puede ser
superpuesta en el nuevo fondo arquitectónico. Los cambios en la capa de seguridad sólo se necesitan hacerlos cuando la seguridad se ve afectada por los
cambios arquitectónicos, tales como una nueva alarma de puerta o una reubicación de ella.

Muchas empresas, revistas de seguridad, arquitectos, ingenieros, consultores de seguridad, y organizaciones elaboradoras de normas han desarrollado
conjuntos de símbolos de seguridad. El conjunto de símbolos más comunes para el dibujo manual es publicado por ASTM International in Standard
Practice for Security Engineering Symbols, (2011). En el año 1995 se desarrolló una norma para los símbolos en conjunto con la International Association
of Professional Security Consultants y la Security Industry Association. Bajo el título Architectural Graphics Standard –CAD Symbols for Security System
Layout, el estándar proporcionó los símbolos que fueron incorporados en la norma ASTM. Cualquiera sea el conjunto de símbolos que se usen, las
especificaciones deberían exigir que la presentación de los planos del contratista usen el mismo conjunto. La Figura 12-6 presenta un detalles del plano que
muestra la simbología para representar los dispositivos de seguridad. También representa un esquema de numeración para los dispositivos de seguridad
para su posterior referencia en las programaciones.
Elevaciones
La elevaciones son vistas de superficies verticales y se incluyen para mostrar la altura de montajes y las ubicaciones de dispositivos montados en las
paredes, tales como cámaras, lectores de tarjetas y sensores de movimiento. Las elevaciones de los fondos pueden ser entregadas por el arquitecto o de los
archivos de la organización. Un ejemplo de elevación de una puerta se puede ver en la Figura 12-7

Detalles
La mayoría de los planos y elevaciones se muestran en pequeña escala en los dibujos (por ejemplo, 1/8 cm igual a 1pie). Las hojas de dibujos detallados se
pueden desarrollar para definir elementos del sistema en más detalle. Tales detalles pueden incluir técnicas especiales de montaje, dimensiones de diseño
de piezas especiales o terminaciones de cables. Estos por lo general son desarrolladas específicamente para un proyecto. Sin embargo, un diseñador de
sistema de seguridad puede tener acceso a los dibujos de proyectos anteriores que pueden ser reutilizados o modificados.

Tuberías
Los diagramas de tuberías son representaciones de subsistemas completos, tales como CCTV o control de acceso. Ellos demuestran esquemáticamente
todos los dispositivos asociados y componentes y sus cables de interconexión. Para un entorno de un campus, cada edificio puede ser mostrado como un
bloque diferente. Para un edificio de gran altura, cada piso se puede mostrar en formato de elevación vertical. En proyectos más pequeños, todos los
diagramas de subsistemas de tuberías, con sus interconexiones e interfaces, se pueden colocar en una sola hoja. Debido a que se representa mucha
información en un solo dibujo, los diseñadores y contratistas suelen usar un dibujo maestro. En particular, los contratistas tienden a usar los diagramas de
canalizaciones para el recuento de dispositivos cuando desarrollan el precio de oferta para el proyecto. Por estas razones, es importante que los diagramas
de tuberías sean precisos y completos. La Figura 12-8 muestra un ejemplo de un pequeño diagrama de tuberías.

Programación de Hardware
Las programaciones de Hardware son tablas de dispositivos de seguridad relacionados. Proporcionan información detallada que no se puede mostrar
fácilmente en dibujos o en el texto de una especificación. Las programaciones se utilizan para el hardware de puertas, dispositivos de control, sensores de
intrusión, cámaras, monitores y otros dispositivos que aparecen repetidamente, tales como paneles de terminación. Las Figuras 12-9 y 12-10 muestran un
ejemplo de programación de hardware para dispositivos de seguridad de puertas relacionados y cámaras de CCTV. Las programaciones a menudo se
muestran en los dibujos de seguridad pero también pueden ser agregadas a las especificaciones del sistema de seguridad.
12.6.4 COORDINACIÓN DE DISEÑO
El diseño de seguridad en un proyecto de construcción se ve afectado por muchas otras disciplinas de diseño. Una coordinación cuidadosa entre el
diseñador del sistema de seguridad y otros miembros del equipo de diseño es esencial para evitar que falten elementos del diseño o que se adquieran cosas
dos veces. Algunos elementos en el sistema de seguridad se adquieren y describen en las secciones de las especificaciones que están elaboradas por otras
disciplinas. Por ejemplo, en una construcción nueva es común para toda la energía eléctrica, incluyendo la requerida por el sistema de seguridad, que sea
descrita en una sola especificación y adquirida e instalada por un solo contratista eléctrico. A continuación se enumera los diferentes miembros del equipo
de diseño con quienes el diseñador de seguridad generalmente necesita coordinar.

Arquitecto
El arquitecto traza el espacio dentro de una instalación. Cualquier espacio que requiera el sistema de seguridad, tal como una consola, salas para vestidores,
salas de tuberías o habitaciones para almacenamiento de equipos de seguridad, deben ser coordinados con el arquitecto. Cuanto antes esto se haga en el
proceso de diseño, es más probable que el departamento de seguridad obtenga el espacio que necesita. El arquitecto generalmente especifica el hardware de
la puerta. Además, el arquitecto garantiza que la apariencia y las terminaciones sean sólidas y que cualquier recorte necesario para la instalación del
hardware se lleve a cabo en la fábrica.

Ingeniero Eléctrico
La coordinación primordial con el ingeniero eléctrico es para asegurar el suministro de la energía eléctrica a todos los lugares donde se requieren equipos
de seguridad. Se deben especificar el amperaje de circuitos dedicados y los requerimientos de apoyo eléctrico (por ejemplo, un generador o una fuente de
alimentación ininterrumpida).

Asimismo, es común incluir las cajas eléctricas, las cajas de distribución (o empalmes), y los conductos en las especificaciones de la sección eléctrica.
Estos son instalados por el contratista eléctrico.

Si el ingeniero eléctrico diseña un sistema de alarma de fuego por separado, la interfaz para cortar la energía de las cerraduras de puertas de seguridad a
prueba de fallos, tal cómo lo exige el código, debe estar totalmente coordinada.

Ingeniero Mecánico
Aquí la coordinación se refiere a los requisitos de calefacción, ventilación y aire acondicionado (HVAC)27 para los espacios de seguridad. El ingeniero
mecánico necesita los datos de las cargas de calor y la duración de su ocupación (por ejemplo, 24hrs para la sala de control de seguridad o para equipos de
seguridad con necesidades medioambientales particulares) para asegurar que se proporcione el medioambiente requerido. Si es necesario que el conducto
para el cableado de seguridad vaya por encima del cielo terminado (su ruta no es diseñada por el ingeniero eléctrico), se requiere coordinar las ubicaciones
de los conductos con HVAC.

Diseñador De Transportación Vertical

Los equipos de seguridad asociados con los ascensores, ya sea dentro o fuera de las cabinas, requiere una especial coordinación. La ubicación y montaje de
las cámaras de CCTV en las cabinas es fundamental para su efectividad y muy dependientes de diseño de la cabina. El diseñador puede ser parte del equipo
del arquitecto, o el ingeniero mecánico o eléctrico, o puede ser un consultor especializado. Otros aspectos de coordinación son las inclusiones del trayecto
que requieren los cables de los equipos de seguridad, las necesidades de energía eléctrica en el techo de la cabina, y cualquier interfaz necesaria en la sala
de máquinas del ascensor. El uso de equipos de seguridad en las escaleras mecánicas también debe ser coordinado.

12.7 REVISIÓN, APROBACIÓN Y EMISIÓN DE LOS DOCUMENTOS DE CONSTRUCCIÓN

Durante la elaboración de los documentos de construcción, es común establecer ciertos hitos en los que se revisa el progreso. Los hitos pueden ser plazos o
porcentajes nominales de terminación, tales como 35, 60, 75, 95 y 100 por ciento. En los proyectos pequeños no es necesario exigir tantas revisiones. En
cada hito, es importante comparar el estado del diseño con los requerimientos originales de seguridad y los criterios de diseño para asegurar que las
vulnerabilidades identificadas originalmente están siendo abordadas por el sistema de seguridad y que los objetivos del programa de seguridad se estén
cumpliendo. A medida que avanza el diseño, los costos estimativos de construcción deberían actualizarse para confirmar que el proyecto se mantiene
dentro del presupuesto. Las estimaciones deben ser más exactas a medida que el diseño se acerca a su finalización.

Cuando las partes afectadas se involucran en la revisión, su alcance debería limitarse a la porción del diseño que les afecta. Algunos miembros del equipo
del proyecto puede que no estén familiarizados con los documentos de construcción y que los encuentren difíciles de comprender. Suele ser beneficioso
para el diseñador de seguridad hacer una presentación de los conceptos y operaciones previstas del diseño del sistema de seguridad. Los comentarios y
solicitudes de cambios deberían entregarse por escrito, y la respuesta, junto con los detalles de cualquier programación o implicaciones de costo, deben
documentarse. Los cambios hechos al comienzo del proceso de diseño tienen mucho menos impacto en los costos y programación que aquellos que se
hacen posteriormente. Además, los cambios hechos durante la fase de diseño son menos caros de implementar que aquellos que se hacen durante o después
de la instalación. Los cambios son inevitables, pero grandes cambios o muy frecuentes pueden indicar un proyecto con un diseño incompleto o poco
preciso.

Si se requiere una aprobación formal, ya sea de cada hito o sólo del término, debería obtenerse antes de la emisión de los documentos de construcción
finales. Para los grandes proyectos de construcción, puede que sea necesario que los documentos finales sean visados, es decir, que lleven la firma de un
ingeniero profesional (PE de ahora en adelante, por sus siglas en inglés) o un arquitecto. Para visar los diseños de sistemas de seguridad, generalmente es al
diseñador PE eléctrico a quién se acude para la firma. Si el ingeniero/consultor de seguridad no tiene una licencia de PE, ella o él debe ser un empleado de,
o trabajar muy estrechamente con una empresa que tenga empleados con licencia de PE. Un ingeniero profesional no acreditado que debe autorizar los
documentos de construcción del diseño, deriva la responsabilidad al profesional que firmará los planos. El ingeniero profesional necesita haber estado
involucrado en el proceso de diseño y debe realizar una exhaustiva revisión del diseño (y esos servicios no son baratos). Dado que el diseño de sistema de
seguridad trabaja normalmente basado en sistemas eléctricos de bajo voltaje, la necesidad de firmar los planos de seguridad es poco frecuente y este gasto
adicional no suele ser necesario.

El set completo de documentos del contrato (documentos de construcción y detalles contractuales) pueden ser publicados a los oferentes por el propietario
de la organización, el consultor de seguridad, el arquitecto del propietario o el gerente de la construcción. Los detalles contractuales, las especificaciones y
las programaciones de los equipos generalmente son producidas en papel tamaño carta y pueden ser fotocopiados. Los planos finales suelen ser hojas
grandes de las que se hacen los dibujos técnicos (blueprint). Toma tiempo hacer la reproducción y publicación. Algunas organizaciones gubernamentales
que anuncian públicamente los proyectos requieren reunir oferentes y pagar por los sets de documentos de construcción.

12.8 FASE DE ADQUISICIONES

Las tres formas principales de adquisición de los sistemas de seguridad son adquisiciones con un solo proveedor, solicitud de propuesta (RFP de ahora en
adelante, por sus siglas en inglés) y el llamado a licitación ( de ahora en adelante, por sus siglas en inglés), con algunas variaciones, dependiendo de si el
comprador es una agencia de gobierno o una empresa comercial. Cada una de las formas de adquisición tiene sus beneficios, pero el tipo debe ser elegido
antes que empiece la fase de diseño. La razón es que la forma de adquisición afecta el nivel de detalle requerido en los documentos de construcción. Si un
propietario ya tiene un proveedor a bordo, la forma apropiada sería la adquisición con un solo proveedor, y el nivel de detalle del diseño tiene que
complementar los conocimientos que ya posee el proveedor. Sin embargo, si el proveedor debe ser elegido competitivamente en una amplia variedad de
factores, tales como costo, programación, habilidad técnica, etc., entonces la solicitud de propuesta es la forma de adquisición adecuada. El proveedor
solicitará los detalles del proyecto suficientes para enviar una propuesta, y el propietario requerirá los suficientes detalles del proveedor para hacer una
selección apropiada. Los llamados a licitación normalmente necesitan información del diseño bastante detallada para ofrecer a la empresa un precio fijo
para instalar y poner en marcha los sistemas especificados. Debido a que la clave de las es el precio del proveedor, el propietario debe estar absolutamente
seguro que se entregaron todos los detalles e instrucciones del diseño de manera de no dejar vacíos que permitan a los proveedores sustituir los equipos por
otros inferiores, o inadecuados, simplemente para ganarse el proyecto.

Algunas organizaciones grandes tienen la capacidad de instalar, poner en marcha, probar y mantener sus propios sistemas de seguridad. Aunque su fase de
diseño pueda ser muy extensa y detallada, su fase de adquisición puede ser tan simple como emitir las órdenes de compra para el hardware a precios pre-
negociados con proveedores pre-calificados.

12.8.1 ADQUISICIONES CON UN SOLO PROVEEDOR

Para proyectos pequeños, este puede ser el método de adquisición más apropiado. La organización precalifica un contratista de sistema de seguridad
acreditado, trabaja con el contratista en el diseño del sistema y negocia los costos de equipamiento, instalación y servicio. El lado positivo es que los
documentos de construcción suelen ser simples, reduciendo los costos de diseño del propietario y ahorrando tiempo. El lado negativo, es la tendencia a
centralizarse en el hardware y tecnología solamente, dejando a otros el personal, procedimientos y subsistemas de las instalaciones, que tienen la misma
importancia. Además, el propietario puede tender a saltarse todo el importante proceso de planificación de seguridad y confiarse en el asesoramiento del
proveedor que tiene un gran interés en la venta de equipos. Por otra parte, sin un proceso de proveedores compitiendo, la organización no tiene como
comparar precios. Este método de adquisición se recomienda sólo cuando el propietario de la seguridad tiene la capacidad de realizar el análisis de las
necesidades de seguridad y tiene un buen conocimiento previo de los sistemas y precios.

12.8.2 SOLICITUD DE PROPUESTA (RFP)

La RFP está casi siempre basada en un set de detallados documentos de diseño y construcción. Las especificaciones generalmente son genéricas y basadas
en el funcionamiento. Los equipos y modelos suelen enumerarse con la frase “o un equivalente aprobado”. En algunos casos, los modelos específicos
pueden tener el imperativo de la compatibilidad o concordancia con los equipos ya existentes. En general, en el proceso de RFP el propietario normalmente
procura un socio de negocios en seguridad, no sólo un instalador de sistemas por única vez.

Una RFP puede estar abierta a cualquier contratista o limitarse a una lista de contratistas precalificados. Además, para entregar una propuesta de costos, el
proponente debe presentar una propuesta técnica que describa la comprensión de los requerimientos por parte de la empresa y cómo se cumplirán los
objetivos. Es usual permitir a los oferentes proponer soluciones alternativas, llamadas “alternas”. Para comparar acertadamente las propuestas de los
diferentes contratistas, por lo general es necesario solicitar a los contratistas que respondan al diseño especificado y luego, si ellos lo desean, permitirles
proporcionar alternativas como soluciones adicionales. No es infrecuente instruir a los oferentes que las alternativas deben producir alguna mejora definida
en el funcionamiento y tener un costo igual o menor que el de la oferta base. De esta manera el propietario se beneficia de la experiencia del contratista,
manteniendo un total control sobre el proceso de diseño. La organización puede seleccionar uno o más proponentes para participar en la negociación final.

La RFP no tiene que restringir la organización a aceptar la propuesta más baja. En cambio, su objetivo es lograr el mejor valor. Este puede ser definido por
la organización para satisfacer sus necesidades, pero debería incluir factores como el precio, la calidad, experiencia, y calendario. Si el precio no es un
factor determinante en la selección del proveedor, la RFP debería decirlo.

La respuesta del contratista a una RFP por lo general toma más tiempo de preparación que las respuestas a otros tipos de adquisiciones, porque se debe
preparar tanto la propuesta técnica como la de costos. Tres a cuatro semanas es el tiempo mínimo de preparación de la propuesta para un proyecto de
tamaño medio a grande.

12.8.3 LLAMADO A LICITACIÓN ()

El es utilizado comúnmente por el gobierno y otras organizaciones cuyos procedimientos de adquisición exigen que los proyectos sean licitados y que la
adjudicación se la llevará el oferente que presente la propuesta calificada más baja. No se buscan propuestas técnicas o soluciones alternativas, por lo que
los documentos de construcción deben ser extremadamente explícitos. La responsabilidad de seleccionar equipos de marcas y modelos, y la exactitud del
diseño del sistema de seguridad, recae solamente en el equipo de diseño. Los proponentes presentan una propuesta de costos u oferta, que puede contener el
precio unitario, y sea cual sea el precio, se solicita un desglose. También puede ser necesario que los oferentes muestren sus calificaciones. Luego se hace
la adjudicación de la propuesta, generalmente sin negociación, al postor más calificado con el precio más bajo, que se ha ajustado a las instrucciones de la
licitación.

El requiere un tiempo adicional y un costo en diseño y especificaciones, pero generalmente necesita sólo una a dos semanas para la contratación,
dependiendo del tamaño y complejidad del proyecto. Es usual requerir que las ofertas sean selladas y entregadas en un tiempo y en una ubicación
específica. En el momento y lugar, las ofertas son abiertas (a menudo públicamente) y se anuncia el aparente ganador. Los contratos son firmados cuando
la propuesta del aparente ganador ha sido verificada en integridad, exactitud y calificaciones.

12.8.4 PROCESO DE ADQUISICIONES

Puede ser importante tener una reunión previa a la licitación a la cual se invita un representante de cada contratista. En esa reunión, el propietario o el
ingeniero asesor del propietario proporciona una revisión completa de los documentos de licitación y un recorrido por los edificios y lugares afectados. Si
corresponde, la reunión puede realizarse en el lugar donde se instalará el nuevo sistema de seguridad, así los oferentes pueden ver las condiciones del
terreno. La reunión debiera llevarse a cabo aproximadamente una semana después de que los documentos de construcción han sido publicados para la
licitación. Esto le da a los licitantes tiempo suficiente para revisar los documentos, pero también da tiempo para incorporar información adicional a la
propuesta si fuese necesario. Todas las preguntas y respuestas durante la reunión deberían ser registradas en el acta de la reunión por un representante del
equipo de diseño. Cualquier pregunta por parte de los contratistas después de dicha reunión debiese ser realizada por escrito, y las respuestas enviadas a
todos los potenciales contratistas. Es mejor fijar un plazo de una semana antes de la fecha de vencimiento de la propuesta, luego de la cual, ya no se
recibirán preguntas. Debería designarse un punto único de contacto para todas las preguntas.

Una vez que la propuesta u oferta del contratista se ha recibido, es necesario chequear su exactitud y que esté completa. Los detalles del contrato pueden
decir que si la propuesta tiene cualquier inexactitud o está incompleta será motivo de rechazo, pero la mayoría de las organizaciones comerciales no
rechazan las ofertas a menos que muestren grandes signos de incompetencia o faltas graves. Es útil desarrollar una matriz con columnas que representan a
los contratistas y filas con las principales características del sistema de seguridad y sus componentes. La matriz ayuda al revisor a chequear que las
propuestas técnicas de cada oferente hayan abordado todos los aspectos de los documentos de construcción. Puede desarrollarse una matriz similar para
comparar los precios de las propuestas y cualquier alternativa.

Cuando se comparan los costos de la propuesta, debe calcularse el costo del ciclo de vida de cada sistema propuesto. El primer paso es identificar los
objetivos específicos y las metas que el sistema debería realizar, y declarar la expectativa de vida del sistema. En su forma más simple, el costo del ciclo de
vida es la suma del costo de capital y el costo de la mantención de la vida útil del sistema. Por lo general, el costo de mantención y el costo de garantía es
igual al 11% del total del costo de capital de construcción del sistema. El cálculo de esas cifras se puede revelar si un oferente ha fijado el precio del
sistema con un bajo margen de ganancia, pero planea compensar la diferencia con altos cargos de mantención.

Si los costos de una propuesta para el sistema son mucho más bajos que las otras propuestas, debiese revisarse cuidadosamente la propuesta baja por los
siguientes motivos:
• Errores matemáticos
• La calidad de los equipos que se están proponiendo
• La experiencia del contratista en proyectos de ese tamaño y complejidad
• La comprensión del proyecto por parte del contratista
 • La estabilidad financiera del contratista

Las referencias de todos los contratistas deben ser chequeadas antes que la decisión de adjudicación se realice.

La entrevistas con los principales candidatos pueden ser reveladoras. En particular, el diseñador debería solicitar que el gerente de proyecto de cada
contratista, y el supervisor responsable (posiblemente la misma persona) estén presente en la reunión. El diseñador debería tratar de determinar lo siguiente:
• ¿Hay buena química con los representantes del contratista?
• ¿Tienen experiencia y personalidad para trabajar bien con los otros profesionales en el proyecto?
• ¿Cómo han resuelto los problemas ocurridos en otros proyectos?

Esto también ayuda a encontrar qué piensan los otros clientes acerca de cómo fueron resueltos los problemas.

La negociación del precio final con una corta lista de contratistas, si lo permiten las normativas de adquisiciones, debiese hacerse sobre la base del valor. Si
el margen de ganancia del contratista es muy pequeña, la calidad y la capacidad de respuesta se verá afectada. Un buen contratista con una ganancia realista
irá más allá para garantizar que los problemas de implementación sean resueltos y que todas las partes podrán mirar con orgullo la implementación final.
Finalmente, es beneficioso para el propietario y el contratista entrar en una alianza de negocios, y no en una venta aislada.

12.9 INSTALACIÓN Y OPERACIÓN

En esta etapa, el gerente del proyecto debería instruir al contratista en la instalación de todos los componentes del sistema, incluyendo cualquier equipo
proporcionado por el cliente. El contratista debe instalar todos los subsistemas de acuerdo a las instrucciones del fabricante y cualquier estándar de
instalación pertinente. El contratista debe proporcionar todos los conectores, terminadores, interconexiones, servicios y ajustes necesarios para un sistema
completo y operable. Después de la instalación, el gerente del proyecto puede adaptar el sistema a las operaciones específicas de la instalación.

12.9.1 PLANIFICACION DE LA INSTALACIÓN

El paso más importante en la instalación de un PPS es planificar correctamente. Todo el hardware de puertas, lectores de tarjetas, sensores, paneles,
cámaras, monitores y equipos de consolas debiesen ya estar incluidos en el paquete de diseño y ubicados en los planos. El contratista de instalación debería
verificar las ubicaciones y tener en cuenta cualquier cambio que sea necesario. En conjunto, el gerente del proyecto y el contratista de instalación deberían
revisar los requerimientos de instalación y asegurarse que todos los problemas y diferencias han sido resueltas antes de continuar.

Luego, el contratista debería visitar el lugar y verificar que las condiciones estén de acuerdo con el paquete de diseño. El contratista está obligado a
elaborar un informe escrito de todos los cambios del lugar o condiciones que afectarán el funcionamiento del sistema. Además, el contratista deberá ser
instruido de no hacer correcciones sin el permiso escrito del cliente.

También, es importante que el contratista inspeccione, pruebe y documente todos los equipos de protección física existentes y las líneas de señal que serán
incorporadas al nuevo sistema. Para los elementos que no funcionan, el contratista debiese proporcionar hojas de especificaciones o requerimientos
funcionales escritos para apoyar los hallazgos y tener en cuenta el costo estimativo para corregir las deficiencias. Además, en el informe el contratista
debiese señalar la fecha prevista para la conexión a los equipos existentes. El contratista no debe desconectar ninguna línea de señal o equipo, ni crear un
tiempo de inactividad del equipo sin la previa autorización por escrito del cliente. Si algún dispositivo, señal o línea de control falla después que el
contratista ha comenzado a trabajar en ella, el contratista debiese hacer el diagnóstico de la falla y corregirla. El contratista es el responsable de los gastos
de reparación debido a negligencia o abuso de los equipos del cliente.

12.9.2 INSTALACIÓN DE COMPONENTES

Los detalles para la instalación de los componentes de un PPS se encuentran en la norma NFPA731: Standard for the Installation of Electronic Premises
Security Systems (2011) de la National Fire Protection Association. Las consideraciones generales para la instalación se indican en las siguientes
secciones.

Lectores de Tarjetas
Los lectores de tarjetas deberían ser adecuados a la superficie, montados en un pedestal, o semi-empotrados, o resistentes a la intemperie según la
necesidad. Deben instalarse de acuerdo a los códigos locales, los requisitos de la autoridad competente (AHJ por sus siglas en inglés) y a cualquier otra
norma local, estatal o federal atingente.

Cerraduras Eléctricas o Cerrojos para Puertas

Las cerraduras eléctricas o cerrojos deberían estar diseñados para soltarse automáticamente (fail-safe) o permanecer cerrados (fail-secure)28 dependiendo
de la aplicación, en caso de una falla de energía. Deberían utilizar corriente continua (DC, por sus siglas en inglés) para activar los solenoides. Las
cerraduras eléctricas o cerrojos deben incorporar la resistencia de fin de línea para facilitar la supervisión de línea por el sistema. Las siguientes son algunas
otras consideraciones de instalación:

• Solenoides: la bobina de accionamiento para las cerraduras o cerrojos no debería disipar más de 12 voltios y debe funcionar a 12 o 24 voltios DC. La
corriente de entrada no debería exceder de 1 amperio, y la corriente de mantenimiento no ser superior a 500 miliamperios. La bobina de
accionamiento del solenoide debería pasar de la posición totalmente segura a totalmente abierta en no más de 500 milisegundos.
• Conmutador de señal: las cerraduras o cerrojos deberían incluir un interruptor de señal que le indique al sistema cuándo el cerrojo no está activado
 o el mecanismo de la cerradura está desbloqueado. El conmutador de señal debiese reportar una entrada forzada al sistema.
• Resistencia a la manipulación: la cerradura eléctrica o el mecanismo del cerrojo deberían ser reforzados con una carcasa de protección para evitar
la entrada forzada.
• Tamaño y peso: las cerraduras eléctricas o cerrojos deberían ser compatibles con los marcos de puerta estándares.
• Métodos de montaje: las cerraduras eléctricas o cerrojos deberían ser aptas para el uso en puertas simples o de doble hoja, ser embutidas o de
sobreponer, y compatibles con su montaje a mano derecho o izquierda.

Cerraduras Electromagnéticas
Las cerraduras electromagnéticas no deben contener partes movibles y depender únicamente del electromagnetismo para asegurar un portal generando al
menos 1,200 libras (544kg) de fuerza de sujeción. Una cerradura electromagnética debiese soltarse automáticamente en caso de falla de energía. Debe
interactuar con los procesadores locales sin alteración externa, interna o funcional del procesador local. La cerradura electromagnética debe incorporar una
resistencia de final de línea para facilitar la supervisión por el sistema. Las siguientes son algunas otras consideraciones:

• Armadura: la cerradura electromagnética debiese contener circuitos internos para eliminar el magnetismo residual y el regreso de corriente
inductiva (inductive kickback). La armadura de accionamiento debería operar a 12 o 24 voltios DC y no disipar más de 12 voltios. La corriente de
sujeción no debiera ser superior a 500 miliamperios. La armadura de activación no debería demorar más de 300 milisegundos en cambiar el estado de
la cerradura de totalmente segura a totalmente abierta o de totalmente abierta a totalmente segura.
• Resistencia a la manipulación: la cerradura electromagnética debe ser reforzada con una carcasa de protección para evitar la entrada forzada.
• Métodos de montaje: la cerradura electromagnética debe ser apta para el uso en puertas simples o de doble hoja, ser embutidas o de sobreponer, y
compatibles con su montaje a mano derecha o izquierda.

Caja de la Campana o Alarma

Esta debería ser montada en el frontis de la instalación o en una ubicación donde quede totalmente a la vista de vecinos y transeúntes. Esta ubicación sirve
como elemento de disuasión para muchos potenciales ladrones. La alarma debiera ser instalada en lo más alto del edificio para mantenerla fuera de un fácil
alcance.

Paneles de Control
Idealmente, los paneles de control deberían estar ubicados cerca de la entrada principal y punto de salida. Se debe ubicar de forma que no puedan ser
alcanzados sin una escalera, estar cerca de la fuente principal de energía y no estar apegados a material combustible.

Detectores Infrarrojo Pasivos (PIR)

Los detectores PIR estándar no deberían ser montados donde puedan estar expuestos a luz infrarroja. La ubicación cerca de ventanas, fuego, lámparas de
filamento y fuentes de calor, como radiadores y calefactores podrían producir alarmas no deseadas.

Contactos de Puertas y Ventanas

Estos por lo general están instalados en puertas y ventanas exteriores. Sin embargo, pueden instalarse en cualquier puerta o ventana vulnerable para detectar
su apertura.

Interconexión de Equipos de Video Consola

Entre el equipo de video, el contratista debería conectar rutas de señal de 25 pies (7,6 m) o menos con un cable coaxial RG-59/U; las rutas de señal más
largas usan cable coaxial RG-11/U o cables de fibra óptica. Los cables debieran ser tan cortos como sea posible para cada ruta de señal sin causar tensión
en los conectores. Los equipos montados en monturas de corredera deberían tener cables de un largo suficiente que permita la extensión completa de los
rieles deslizantes del bastidor. La NFPA 731 provee más información en la conexión de equipos con “categoría” de cable de red.

Cámaras
Una cámara necesita una lente de distancia focal adecuada para la visualización del área protegida. El contratista debería hacer lo siguiente:

• Conectar la energía y las líneas de señal a la cámara

• Si la cámara tiene una lente de iris fijo, ajustar la cámara en un punto f (f-stop) apropiado para entregar un completo nivel de video.
• Orientar la cámara para cubrir la zona de alarma
• Para una cámara de montaje fijo instalada al exterior y frente al sol naciente o poniente, orientar la cámara por debajo del horizonte lo suficiente para
que no enfrente el sol directamente.
• Enfocar la lente para dar una imagen nítida de todo el campo visual
• Sincronizar todas las cámaras para que la imagen no ruede en los monitores cuando las cámaras están seleccionadas.

El capítulo 7 de la NFPA 731 brinda información sobre cómo seleccionar la ubicación y las lentes apropiadas para las cámaras.

Montura Fija Exterior

El contratista deberá instalar la montura de la cámara según lo especificado por el fabricante y también debe hacer lo siguiente:

• Proporcionar el hardware de montaje de tamaño apropiado para asegurar el soporte, la cámara y la carcasa con la carga máxima de viento y hielo
 encontrado en el lugar.
• Proporcionar una base para cada poste de la cámara según lo especificado
• Proporcionar un polo a tierra para cada poste de la cámara, y conectar el poste de la cámara al polo a tierra según lo especificado
• Proporcionar el cableado eléctrico y de señal de transmisión a la ubicación del montaje según lo especificado
• Conectar las líneas de señal a la corriente alterna (AC) para montar las interfaces
• Conectar el juego de cables del poste a la cámara

Montura Exterior Pan/Tilt

El contratista debiese instalar la montura pan/tilt, el receptor/conductor, y los accesorios de la montura según lo especificado por el fabricante y también
debe hacer lo siguiente:
• Proporcionar el hardware de montaje de tamaño apropiado para asegurar el dispositivo pan/tilt, la cámara y la carcasa con la carga máxima de viento
y hielo encontrado en el lugar.
• Instalar el cableado de control del dispositivo pan/tilt según lo especificado
• Conectar el dispositivo de pan/tilt al cableado de control y a la energía CA.

Monitores
El contratista debería instalar los monitores cerca del nivel de los ojos de los operadores o más abajo. El contratista debería unir todas las entradas de señal
y salidas según lo recomendado por el fabricante, terminar las señales de entrada de video, y unir los monitores a la corriente alterna.

Grabación de Videos y Equipos de Conmutación

El contratista debiera instalar el equipo de grabación y conmutación de acuerdo a las instrucciones del fabricante y también hacer lo siguiente:
• Conectar todos los subconjuntos según lo especificado por el fabricante.
• Conectar las entradas y salidas de la señal de video
• Terminar las entradas de video según sea requerido
• Conectar las señales de entrada y salida de la alarma
• Conectar las señales de control de entrada y salida para los equipos auxiliares o de control secundario o lugares de monitores según lo especificado
por el fabricante
• Cargar todo el software según lo especificado y requerido para un sistema de CCTV operacional configurado para las necesidades del lugar,
incluyendo las bases de datos, los parámetros de funcionamiento, y el sistema, comando y sus programas de aplicación.
• Programar los comentarios de video para cada cámara.

12.9.3 OTRAS CARACTERÍSTICAS Y CONSIDERACIONES

Conductos
Todo el cableado interior, incluyendo el de bajo voltaje fuera de la consola del centro de control de monitoreo de seguridad, y los bastidores de los equipos,
gabinetes, cajas y similares, debieran ser instalados en conductos de acero galvanizado de acuerdo a los estándares UL. El cableado de interconexión entre
componentes montados en el mismo bastidor o gabinete no necesita ser instalado en conductos. El tamaño mínimo del conducto debiese ser ½ pulgada. Las
conexiones deben ser apretadas, cónicas y roscadas. No utilizar accesorios sin rosca o acoplados. Los alojamientos para los conductos deben ser de metal
fundido o hierro maleable con centros o cuerpos roscados. La tubería metálica eléctrica (EMT de ahora en adelante, por sus siglas en inglés), el cable
blindado, cables enfundados en metal y los conductos flexibles no debiesen ser permitidos, excepto donde sea requerido y aprobado específicamente por el
cliente. Los medios de transmisión de datos no deben ser deslizados en los conductos o ubicados en canaletas, compartimentos, cajas de salida, cajas de
empalme, o accesorios similares, con otros cables del edificio. Los cordones flexibles o conexiones de cordones no deberían utilizarse para suministrar
energía a ningún componente del PPS excepto cuando es requerido y aprobado específicamente por el cliente.

Conexión a Tierra
Toda conexión a tierra debe ser conforme a la NFPA 70 National Electrical Code (2011), artículos 250 y 800. Cualquier conexión a tierra adicional debe
cumplir los requerimientos de los fabricantes. Todos los otros circuitos deben probar ser libre de tierra. Las conexiones a tierra deberían ser instaladas
según sea necesario para evitar que los bucles a tierra, el ruido y el exceso de voltaje afecten negativamente el funcionamiento del sistema.

Penetraciones al Recinto
Todas la penetraciones al recinto debieran ser desde la parte inferior, a menos que el diseño del sistema necesite penetraciones desde otra dirección. Las
penetraciones de recintos interiores que implican el paso de conductos desde el interior al exterior, y todas las penetraciones en recintos exteriores deberían
ser selladas con un sellador aprobado para evitar la entrada de agua. La canalización vertical del conducto debe terminar en un terminador de cable de metal
galvanizado por inmersión en caliente. El terminador debe ser impregnado con un impermeabilizante recomendado por el fabricante del cable, de tal
manera que éste no se dañe.

Galvanización en Frío
En todos los ámbitos, las soldaduras fuertes y blandas en fabricación de cajas, recintos y conductos galvanizados, deberían ser cubiertos con una pintura
galvanizada en frío, conteniendo al menos 95% de zinc en peso.
Puesta en Marcha del Sistema
El contratista no debería aplicar energía al sistema de protección física hasta que los siguientes elementos se hayan completado:
• Todos los elementos del PPS se han establecido de acuerdo a las instrucciones de los fabricantes
• Se ha realizado una inspección visual del sistema de PPS para garantizar que no se han instalado equipos defectuosos y que no hay conexiones
sueltas
• El cableado del sistema ha sido probado y verificado para ser conectado correctamente
• Se ha verificado que todo el sistema de conexión a tierra y los sistemas de protección transitoria han sido instalados y conectados correctamente
• Se ha verificado el voltaje, fases y frecuencia de las fuentes de alimentación para conectar el PPS

Datos de Configuración
El contratista debería ingresar todos los datos necesarios para hacer operacional el sistema en la base de datos del PPS. El contratista debe entregar los
datos al cliente en formularios adecuados. Los datos deberían incluir los estudios de campo del contratista y cualquier otra información pertinente. Los
formularios completos deben ser entregados al cliente para revisión y aprobación al menos 30 días antes de la prueba de la base de datos.

Gráficos
Cuando se requieren gráficos y serán entregados con el sistema, el contratista debería crear e instalar los gráficos necesarios para hacer operacional el
sistema. El contratista debe usar el formulario de datos de los documentos del contrato, los estudios de campo y otra información pertinente para completar
los gráficos. Los gráficos debiesen ser del suficiente nivel de detalle para que el operador del sistema evalúe la alarma. El contratista también debería
proporcionar una copia impresa, ejemplos en color (al menos 8 x 10 pulgadas o 20 x 25cm de tamaño) de cada tipo de gráfico que será usado para todo el
sistema. Los ejemplos deberían ser entregados al cliente para revisión y aprobación al menos 30 días antes de las pruebas de aceptación.

Supervisión de Línea del Sistema de Transmisión de Señal y Datos (DTS)

Todas las líneas de señal y DTS (de ahora en adelante, por sus siglas en inglés) debiesen ser supervisadas por el sistema. El sistema debe supervisar las
líneas de señal monitoreando el circuito ante cambios o alteraciones en la señal y por las condiciones descritas en la norma UL 1076: Standard for
Proprietary Burglar Alarm Units and Systems (1995) para líneas de equipos de seguridad. El sistema debería iniciar una alarma en respuesta a un cambio
de corriente del 10% o superior. El sistema también debería iniciar una alarma en respuesta a apertura, cierre, corte, o conexión a tierra de la señal y las
líneas del DTS.

Carcasas
Los sensores y la electrónica del sistema necesitan diferentes tipos de carcasas dependiendo de su ubicación:
• Sensores interiores: los sensores que se usarán en un ambiente interior debieran ser colocados en un recinto que ofrezca protección contra el polvo,
la suciedad y goteo de líquidos no corrosivos.
• Sensores exteriores: los sensores que se usarán en un ambiente exterior debieran ser colocados en recintos que ofrezcan protección contra el polvo
que arrastra el viento, la lluvia, las salpicaduras de agua, el agua directa de mangueras y de la formación de hielo.
• Electrónica de sistemas interiores: la electrónica de sistemas que serán usados en un ambiente interior deberían ser colocados en recintos que
cumplan los requerimientos de NEMA Standards Publication 250-2008: Enclosures for Electrical Equipment (1000 Volts Maximum) (2008), Type
12.
• Electrónica de sistemas exteriores: la electrónica de sistemas que serán usados en ambientes exteriores deberían ser colocados en recintos que
cumplan los requerimientos de NEMA Standards Publication 250-2008: Enclosures for Electrical Equipment (1000 Volts Maximum) (2008), Type
4X.
• Configuración de corrosivos: la electrónica de sistemas que serán usado en ambientes corrosivos, como se define en NEMA 250, deberían ser
colocados en recintos metálicos que cumplan los requerimientos de NEMA Standards Publication 250-2008: Enclosures for Electrical Equipment
(1000 Volts Maximum) (2008), Type 4X.
• Ambientes peligrosos: La electrónica de sistemas que serán usados en ambientes peligrosos deberían ser colocados en recintos que cumplan los
requerimientos de los fabricantes para entornos peligrosos específicos.

Placas de Identificación
Se deben proporcionar placas de identificación plásticas laminadas para la mayoría de los componentes del sistema. Cada placa debería identificar el
dispositivo y su ubicación dentro del sistema. El plástico laminado debería ser de 1,8 pulgadas (3,2 mm) de espesor, blanco con un centro negro. Las placas
deberían ser de mínimo 1x3 pulgadas (25 mm x 76 mm), con letra grabada de un mínimo de ¼ de pulgada (6,4 mm) de altura. Las placas debiesen estar
fijadas en el interior del recinto o carcasa de la mayoría de los componentes. Todos los componentes principales deberían también tener el nombre del
fabricante, dirección, tipo o estilo, modelo o número de serial, y número de catálogo en una placa resistente a la corrosión, fijada al equipo. Las placas no
son necesarias para dispositivos menores a 1x3 pulgadas (25 mm x 76 mm).

Interruptor de Sabotaje
Recintos, armarios, cajas, gabinetes y accesorios que tienen puertas con bisagras o cubiertas removibles, y que contienen circuitos del sistema o conexiones
y fuentes de energía, deben contar con tapas, interruptores de sabotaje resistentes a la corrosión, dispuestos para iniciar una señal de alarma cuando la
puerta o la tapa se mueve. La caja y el interruptor de sabotaje debiesen funcionar juntos y no permitir una línea de visión directa a los componentes internos
antes de que se active el interruptor. Los interruptores de sabotaje deberían hacer lo siguiente:
• Ser inaccesible hasta que el interruptor se active
• Tener un hardware de montaje oculto de manera que no se pueda observar la ubicación del interruptor desde el exterior de la caja
 • Estar conectados a circuitos que se encuentran bajo supervisión eléctrica en todo momento, con independencia del modo de protección en el cual el
circuito está funcionando.
• Ser accionado por resorte y sostenido en posición cerrada por la puerta o tapa
• Ser cableados de manera de que rompan el circuito cuando la puerta o tapa es alterada

Cerraduras
Por motivos de mantenimiento, se debiese proveer de cerraduras en los recintos del sistema. Las cerraduras deben ser aprobadas por UL, con tipo de llave
redonda, con tres duales, un hongo, o tambor de tres pines simples, o una cerradura de llave convencional, cilindro con 5 pines y 5 puntos, con una barra
lateral de tres posiciones. Las llaves deberían tener estampada la frase “NO DUPLICAR”. Las cerraduras deben estar dispuestas de tal manera que las
llaves sólo puedan ser sacadas en la posición de bloqueo. Las cerraduras de mantenimiento deberían estar igualmente cerradas, y proporcionarse sólo dos
llaves. Estas deberían administrarse de acuerdo al plan de control de llaves.

Alambres y Cables
El contratista debe entregar todos los alambres y cables no proporcionados por el equipo del cliente. Los alambres deben cumplir las normas NFPA 70. El
contratista debiese instalar el sistema de acuerdo con las normas de seguridad ocupacional (NFPA 70, UL 681, UL 1037 y UL 1076) y el correspondiente
manual de instalación de cada equipo. Los componentes dentro del sistema deberían ser configurados con los puntos de servicio adecuados para identificar
claramente los problemas del sistema en menos de 20 minutos. El tamaño mínimo del conducto debe ser de ½ pulgada (1,3cm).

Cableado de la Red de Área Local (LAN)

El cableado de la red de área loca (LAN de ahora en adelante, por sus siglas en inglés) debe realizarse de acuerdo a las normas de la Telecommunications
Industry Association /Electronic Industries Alliance EIA-568 A o B, categoría cinco.

Aseguramiento de la Calidad
Todo el trabajo debe cumplir con los siguientes códigos:
• National Electrical Code (NEC) recientemente aprobado.
• Códigos aplicables de las leyes federales, estatales y locales
• Códigos de uniformidad de edificación recientemente aprobado
• Códigos eléctricos locales si corresponde
• Códigos de las normas de seguridad ocupacional de Occupational Safety and Health Act (OSHA)
• Cualquier código adicional atingente del lugar de trabajo
• Códigos del Americans with Disabilities Act (ADA)

Todos los materiales deben cumplir con los siguientes códigos:

• National Electrical Manufacturers Association (NEMA)
• American National Standards Institute (ANSI)
• Underwriters Laboratories, Inc. (UL)

12.9.4 AJUSTE DEL SISTEMA

Después de la instalación, el sistema debe ajustarse al funcionamiento de la instalación. De lo contrario, el sistema puede generar demasiadas alarmas no
deseadas y confundir al personal de operaciones en lugar de ayudarlos. El ajuste del sistema requiere el conocimiento de cómo funciona la instalación, qué
empleados vienen y van, y qué tipo de actividades se llevan a cabo.

Períodos de Tiempo para las Alarmas

Para ajustar el sistema, el gerente de seguridad periódicamente debe controlar los reportes del sistema y ver el historial de alarmas, el cual muestra las
alarmas no deseadas y la ubicación, frecuencia y tiempo de las alarmas. De allí pueden surgir patrones. Por ejemplo, las alarmas pueden sonar en ciertas
ocasiones solamente debido al día a día del negocio. En esos casos, el gerente de seguridad puede ajustar los tiempos de operación de la alarma de manera
que no se active y el personal de seguridad no se distraiga innecesariamente.

Responsabilidad de la Supervisión de Alarmas

Si el centro de control de seguridad está constantemente recibiendo una alarma asociada a la puerta del muelle de carga durante las horas de trabajo,
entonces la responsabilidad del control de este punto de alarma debería ser transferido al personal de esa área. Si se reciben alarmas de las salas de
máquinas o de servicios porque el personal de mantención necesita el acceso, debiesen establecerse procedimientos para notificar a la central de control que
se desarrollará un trabajo en determinada área por un tiempo específico, permitiendo al operador de los sistemas de seguridad ignorar temporalmente esos
puntos de alarma en particular. Las entradas aseguradas, donde se controla el movimiento de materiales, debe tener un procedimiento, como una llamada a
la estación central. Pudiese ser necesario un guardia de seguridad para controlar el acceso a esas áreas.

Personal Autorizado
Si el personal autorizado es de confianza y se le permite entrar en cualquier momento a la zona, las alarmas deberían ser derivadas (bypassed) para que no
se generen.
Alarmas No Deseadas
Muchas alarmas no deseadas son provocadas por errores de los empleados tales como la apertura de puertas equivocadas, la mantención de puertas
abiertas, o el olvido de desarmar un subsistema de alarma. Otras, pueden ser causadas por el mal funcionamiento del hardware de la puerta. La
señalización, por ejemplo, “mantenga las puertas cerradas”, puede ayudar, así como también se pueden ajustar los tiempos de las patrullas de guardias de
modo que sea más probable que detecten las instancias en que los empleados cruzan las puertas y las dejan abiertas. Los oficiales de las patrullas debiesen
chequear todas las puertas y asegurarse que están cerradas. El gerente de seguridad debería revisar el programa de mantención para garantizar que las
puertas se mantengan en buen estado de funcionamiento. La mantención debe incluir frecuentes inspecciones de las puertas y el rápido reemplazo de los
componentes defectuosos.

Aplicación Incorrecta
Algunas veces, los componentes del sistema de alarma de seguridad e incendio seleccionados no son los apropiados para su aplicación. Por ejemplo, los
detectores de movimiento estándar no deberían ser ubicados en un ambiente adverso, y los sensores de microondas no deben ser usados en una habitación
que tiene un pasillo exterior. Estos dispositivos deberían ser cambiados para eliminar las alarmas no deseadas.

12.9.5 MANTENIMIENTO DE LOS PROCEDIMIENTOS DE FUNCIONAMIENTO

Es importante revisar periódicamente los procedimientos de funcionamiento. Cuando se cambien los procedimientos, deben ser documentados con un
nuevo número y fecha de revisión. Guardando la revisiones anteriores es posible determinar qué políticas y procedimiento estaban vigentes en ciertos
momentos, información muy útil si un gerente de seguridad alguna vez tiene que defender acciones del pasado. También es importante unificar las
compensaciones y consecuencias. En otras palabras, el gerente de seguridad debiese compensar a las personas que hacen bien su trabajo en seguridad y
dejar claro que hay consecuencias si no se respetan los procedimientos de funcionamiento.

La políticas de respuesta a incidentes deberían ser revisadas periódicamente por el asesor legal. La revisión legal debe garantizar que los procedimientos
• son legalmente defendibles y aplicables
• cumplen con las políticas y procedimientos generales de la empresa
• reflejan el conocimiento de las mejores prácticas de la industria que demuestran el empleo de la debida diligencia
• se ajustan a las leyes y reglamentos nacionales, estatales y locales, y
• protegen al personal de demandas judiciales

Además, el asesor legal debería considerar los siguientes factores:

• Cuándo proceder judicialmente y qué se debe hacer para enjuiciar a una persona atrapada violando las reglas de acceso de la instalación
• Qué procedimientos garantizarán la admisibilidad de las pruebas
• Cuándo reportar un incidente a los organismos nacionales, estatales o locales encargados de hacer cumplir la ley

El asesor legal puede ayudar al gerente de seguridad a desarrollar procedimientos y a entrenar a los oficiales de seguridad de tal manera de evitar problemas
que puedan conducir a pleitos judiciales en los siguientes aspectos:
• No adherir a las directrices de deberes. Esto ocurre cuando los oficiales se involucran en una conducta más allá de sus deberes establecidos
• Incumplimiento de las obligaciones. Esto ocurre cuando los oficiales se involucran en conductas irracionales
• Causa inmediata. Este término significa que un oficial sea la causa inmediata de lesión a una víctima
• Previsibilidad. Este término se refiere a los eventos, especialmente aquellos que podrían causar pérdidas, daño o perjuicio, que los oficiales o la
gerencia podrían haber determinado que era probable que sucediera

Si no se consideran adecuadamente los elementos humanos y los procedimientos de personal cuando se diseña e instala un nuevo sistema integrado de
seguridad, puede transformarse de una bien fundada inversión a una pesadilla operativa. Los gerentes de seguridad pueden evitar este error asegurándose
que su planificación para los sistemas de seguridad contiene un completo análisis de cómo los sistemas serán operados y cómo la fuerza de seguridad
responderá a los incidentes de seguridad.

12.10 ENTRENAMIENTO
Aunque las amenazas terroristas y los desastres naturales son considerados de interés noticioso, las actividades que protegen las instalaciones a menudo se
consideran comunes. No obstante, todas las precauciones tecnológicas y procedimentales en el mundo serán ineficaces si no son ejecutadas
apropiadamente. A través de programa de entrenamiento de seguridad bien concebidos y bien ejecutados, el personal puede estar preparado para prevenir
que los incidentes ocurran, responder adecuadamente a los incidentes que surgen, y contribuir efectivamente a los esfuerzos de recuperación. Sin un
entrenamiento adecuado, es más probable que el personal contribuya a los riesgos de seguridad accidentalmente.

12.10.1 REQUISITOS GENERALES DE ENTRENAMIENTO

El cliente debe exigir que el contratista de instalación o el integrador de sistemas presente una propuesta para llevar a cabo cursos de entrenamiento para el
personal designado en la operación y mantenimiento de un PPS. El entrenamiento debiera abordar todos los sistemas que serán instalados. Por ejemplo, si
se está instalando un sistema de CCTV junto con otros sistemas, el entrenamiento del CCTV debiese ser concurrente con, y parte del entrenamiento para
los otros sistemas.

Los manuales y ayudas de entrenamiento debieran entregarse a cada alumno, y proporcionarse varias copias adicionales para archivarlas en el sitio del
proyecto. Los manuales de entrenamiento deben incluir una agenda, objetivos definidos para cada lección, y una detallada descripción de las materias para
cada lección. El contratista debe suministrar los equipos audiovisuales y otros materiales de entrenamiento. Cuando el contratista presenta parte del curso
mediante material audiovisual, debe entregar copias de este material al cliente en la misma forma que se usó durante las sesiones de entrenamiento. El
contratista también debe recomendar el número de horas para cada día. La aprobación del contenido de la planificación de entrenamiento y el horario deben
estar en manos del cliente al menos 30 días antes del entrenamiento.

Todo el personal que hace instrucción debe estar certificado por el fabricante del equipo para la aplicación del hardware y software. Los entrenadores deben
tener experiencia en la conducción de capacitaciones en otras instalaciones y ser aprobados por el cliente.

12.10.2 TEMAS DE CAPACITACION

Administración del Sistema
Este entrenamiento se centra en la determinación e implementación de los parámetros de funcionamiento del sistema y en la realización de los ajustes
operativos necesarios. La primera clase debiese ser programada de manera tal que se haya realizado 30 días antes de la prueba de aceptación de fábrica (si
se realiza) o la prueba de aceptación en la instalación. Al completar este entrenamiento, los administradores del sistema aprenderán a usar todas las
funciones del sistema, incluyendo el diseño y producción de la placa de identificación, a configurar el titular de la tarjeta y la asignación del nivel de
acceso, a programar las puertas de acceso, a configurar e implementar la alarma, y a almacenar datos y recuperarlos a través de reportes y copias de
seguridad de la base de datos del sistema. Si los sistemas de CCTV están incluidos en el PPS, los administradores aprenderán la arquitectura y
configuración del sistema de CCTV, las especificaciones de su hardware y el diagnóstico de fallos y corrección. En la segunda clase de entrenamiento, que
debe realizarse una semana antes del inicio de la prueba de aceptación, los administradores del sistema deberían participar en las pruebas de aceptación y
de fiabilidad.

Supervisión del Sistema

Este entrenamiento se centra en el funcionamiento cotidiano del sistema. Al finalizar la capacitación, los operadores sabrán cómo usar las funciones de
control del sistema según lo determinado por el personal administrativo del sistema, incluyendo la supervisión de los eventos de alarma; el control del
acceso del personal a la instalación, evaluación, respuesta y clarificación de alarmas y mensajes; supervisión del estado de la puerta de acceso; ejecución de
informes de rutina. La primera clase de entrenamiento debiera ser programada de tal manera que se haya realizado 30 días antes del inicio de la prueba de
aceptación en la instalación. Al finalizar este curso, cada operador, utilizando la adecuada documentación, debe ser capaz de realizar operaciones
elementales con una guía y describir la arquitectura general del hardware y la funcionalidad del sistema.
Este entrenamiento debería cubrir los siguientes temas:
• Arquitectura general del hardware del PPS
• Operación funcional del sistema
• Comando del operador
• Ingreso de la base de datos
• Generación de reportes
• Evaluación de alarma
• Diagnósticos simples

La segunda clase de entrenamiento debería realizarse alrededor de una semana antes de la prueba de aceptación, y los operadores del sistema debiesen
participar en las pruebas de aceptación y fiabilidad. El curso debe incluir instrucciones sobre la configuración específica del hardware de los subsistemas
instalados y enseñar a los alumnos cómo operar el sistema instalado. Al finalizar el curso, cada alumno debe ser capaz de iniciar el sistema, operarlo,
recuperar el sistema después de una falla, y describir la arquitectura específica del hardware y el funcionamiento del sistema.

Evaluación de Alarmas y Envío

Este entrenamiento enseña a los operadores de un PPS a evaluar la causa de diferentes condiciones de alarma y cómo enfrentarlas. Antes que se realice este
entrenamiento, el cliente y el contratista deberían haber desarrollado los procedimientos de evaluación y respuesta de alarmas descritos en el Capítulo 5.
Este entrenamiento debe basarse en los tipos de alarma que pueden esperarse de los distintos subsistemas de PPS.

Respuesta a Incidentes
Este entrenamiento enseña a la fuerza de respuesta de seguridad cómo responder a las diferentes alarmas y escenarios. Antes que este entrenamiento se
lleve a cabo, el cliente y el contratista debieran haber desarrollado los procedimientos de respuesta a incidentes descritos en el Capítulo 5. Este
entrenamiento se basa en los distintos escenarios que la fuerza de respuesta podría encontrar cuando responda a una condición de alarma.

Localización de Fallas y Mantenimiento del Sistema

Este entrenamiento se centra en el funcionamiento interno del PPS de manera que los alumnos puedan localizar las fallas y reparar la mayoría de los
problemas. Los temas de esta clase incluyen las comunicaciones y diagnósticos del sistema de redes; configuración de los dispositivos y programación;
configuración del controlador, alambrado y diagnósticos; localización de problemas de software; programación de dispositivos. El curso de mantención del
sistema debiese ser efectuado en el lugar del proyecto, alrededor de dos semanas antes de la prueba de fiabilidad, y estos alumnos deben participar en
dichas pruebas. El entrenamiento debiese cubrir lo siguiente:

• Distribución física de cada pieza del hardware

• Procedimientos de localización de fallas y diagnóstico
 • Instrucciones de reparación
• Procedimientos de mantención preventiva y programación
• Procedimientos de calibración

Funciones de IT
Este entrenamiento es para el personal del departamento de IT29, quienes necesita entender cómo funciona el sistema de seguridad dentro de una
infraestructura de red LAN/WAN30. Los temas en esta clase incluyen topologías de red y comunicaciones específicas para cada subsistema de seguridad, el
impacto de las funciones del sistema tales como almacenamiento digital de video en el ancho de banda de red y la mantención de la seguridad de los datos.

Descripción del Sistema

Este entrenamiento muestra cómo el sistema ayudará a cumplir con las metas y objetivos generales de seguridad, cómo el sistema ha sido adaptado para
cumplir los requerimientos, y cómo comunicar la conciencia de seguridad a todos los empleados.

12.11 PRUEBAS Y ASUNTOS DE GARANTÍA

Las pruebas realizadas por el equipo de implementación pueden involucrar equipos, personal, procedimientos o cualquier combinación de estos. Las
pruebas ideales de aceptación estresan el sistema hasta los límites establecidos por las amenazas específicas del lugar. Las pruebas debiesen simular las
condiciones de amenaza reales y aportar evidencias concluyentes respecto a la efectividad del sistema de seguridad.

Las pruebas de desempeño del equipo están diseñadas para determinar si el equipo es funcional, tiene adecuada sensibilidad y si cumplirá con los objetivos
de diseño y desempeño. No es suficiente que un componente cumpla con los estándares del fabricante si dicho componente resulta ineficiente durante la
prueba. Las pruebas de desempeño de los equipos deben ser siempre coordinadas con el personal correspondiente de la instalación.

Las pruebas de desempeño del personal tienen por objeto determinar si los procedimientos son efectivos, si el personal conoce y sigue los procedimientos,
y si el personal y los equipos interactúan eficientemente. Algunas pruebas de desempeño del personal requieren que el personal sea probado sin su
conocimiento. Se debe tener especial cuidado para garantizar que esos tipos de pruebas estén bien coordinadas y que los factores de seguridad ocupacional
se hayan considerado cuidadosamente.

Esta sección describe cuatro tipos de pruebas:

• Pruebas previas a la entrega o de aceptación de fábrica

• Pruebas de aceptación en la instalación
• Pruebas de confiabilidad o disponibilidad
• Pruebas posteriores a la aceptación

Para determinar qué pruebas llevar a cabo en los sistemas de seguridad, deben considerarse varios factores:

• Priorización de las amenazas específicas del lugar

• Identificación de los peores escenarios (menor probabilidad de detección, menor cantidad de demora, diversas rutas hacia la instalación)
• Identificación de las funciones del sistema (detección, evaluación, demora) que son las más críticas para la protección de activos de la empresa
• Determinación de las supuestas probabilidades de detección y vulnerabilidad de anulación de cada subsistema
• Determinación del tiempo para la evaluación de incidentes (evaluación inmediata versus evaluación retardada)
• Identificación de los últimos posibles puntos en los cuales un adversario debe ser detectado para permitir una adecuada respuesta por parte de la
fuerza de protección de la instalación
• Comparación de las vulnerabilidades frente a los resultados y las resoluciones de anteriores inspecciones de seguridad e incidentes

Generalmente, las copias originales de toda la información producida durante las pruebas de fábrica, de aceptación en el lugar y de confiabilidad, deben
entregarse al cliente al final de cada fase de prueba, antes de la aprobación de la prueba.

El cliente debería entregar la documentación al proveedor de equipos o al integrador del sistema describiendo las pruebas que deben realizarse durante la
instalación y puesta en marcha del sistema. Esta documentación describe el personal, equipamiento, instrumentación y materiales necesarios para llevar a
cabo la prueba de aceptación. Esta documentación también describe quién será testigo de la verificación del desempeño y la prueba de confiabilidad. El
contratista tiene que ser informado de que debe obtener la autorización por escrito del cliente antes de continuar con la siguiente fase de pruebas.

Esta sección también analiza el concepto relacionado con los aspectos de garantía.

12.11.1 PRUEBA DE ACEPTACIÓN DE FÁBRICA

Dependiendo del tamaño y complejidad del sistema, el cliente puede exigir que el contratista monte una prueba del sistema incluyendo todos o algunos de
los componentes del sistema, y luego realice las pruebas para demostrar que el desempeño del sistema cumple con los requerimientos especificados
conforme con los procedimientos de prueba de fábrica aprobados. Las pruebas pueden ser diseñadas por el cliente, o el cliente puede exigir al contratista
que diseñe las pruebas. Las pruebas debieran programarse con antelación a cualquier instalación del nuevo sistema, y el cliente debe asistir y observar las
pruebas. Los números de modelo de los componentes probados debieran ser idénticos a aquellos que se entregarán a la instalación. Las copias originales de
toda la información producida durante la prueba de fábrica, incluyendo los resultados de cada procedimiento de prueba, deben ser entregados al cliente al
final de la prueba de fábrica para la aprobación de la prueba. El informe de la prueba debe ser de tal manera que todos los comandos, estímulos y respuestas
estén correlacionadas para permitir una interpretación lógica.

La configuración de la prueba debería incluir lo siguiente:

• Todos los equipos de monitoreo del centro de control de seguridad

• Al menos uno de cada tipo de los enlaces de transmisión de datos, junto con el equipo asociado, para proveer una representación de un sistema
integrado
• Un número de procesadores locales (paneles de campo) igual al número requerido por el diseño de la instalación
• Al menos un sensor de cada tipo utilizado
• Suficientes simuladores de sensores para proporcionar entradas de señal de alarma al sistema (generadas manualmente o por el software) igual al
número de sensores requeridos por el diseño
• Al menos uno de cada tipo de dispositivo de terminal utilizado
• Al menos uno de cada tipo de configuración de portal con todos los dispositivos de interfaz según lo especificado

Los equipos para la prueba de los sistemas de CCTV incluyen lo siguiente:

• Al menos cuatro cámaras de video y cada tipo de lente especificada
• Tres monitores de video
• Grabador de video (si es necesario para el sistema instalado)
• Conmutador de video, incluyendo módulos de entrada de video, módulos de salida de video, y software de control y de aplicaciones (si es necesario
para el sistema)
• Panel de entrada de alarma (si es necesario para el sistema instalado)
• Montaje pan/tilt y controlador pan/tilt si el sistema instalado incluye cámaras en montaje pan/tilt
• Cualquier equipo auxiliar asociado con un circuito de cámara, tales como ecualización de amplificadores, detectores de pérdida/presencia de video,
terminadores, correctores de bucles de tierra, protectores de sobretensión, u otros dispositivos de video en línea
• Cableado para todos los componentes

El cliente debiese exigir un reporte escrito para la prueba de fábrica indicando todas las pruebas realizadas y los resultados. Todas las deficiencias
advertidas durante la prueba previa a la entrega debieran ser resueltas a satisfacción del cliente antes de la instalación y de la prueba de aceptación.

12.11.2 PRUEBA DE ACEPTACIÓN EN EL SITIO

El cliente debiese exigir al contratista que desarrolle un plan para calibrar y probar todos los componentes, verificar el funcionamiento del sistema de
transmisión de datos, instalar el sistema, poner el sistema en servicio, y probar el sistema. Antes de llevar a cabo la prueba en la instalación, el contratista
debiese entregar un reporte al cliente describiendo los resultados de las pruebas funcionales, diagnósticos y calibraciones, incluyendo la certificación escrita
de que el sistema completo instalado ha sido calibrado y probado y está listo para empezar la prueba de aceptación en la instalación. Este reporte debería
ser recibido al menos dos semanas antes de iniciar la prueba en la instalación. También, el reporte debería incluir una copia de los procedimientos de la
prueba de aceptación en la instalación aprobada.

Utilizando los procedimientos para la prueba de aceptación en la instalación, el contratista debería demostrar que el sistema completo cumple con todos los
requerimientos del contrato. Todos los requerimientos físicos y funcionales del proyecto debiesen ser demostrados. A través de la prueba de desempeño, el
contratista muestra la confiabilidad y operatividad del sistema en las tasas de desempeño especificados para cada portal, así como las tasas de error del Tipo
I y el Tipo II especificadas para el sistema completo. El contratista debería calcular las tasas de alarmas no deseadas y de falsas alarmas para garantizar que
las tasas de desempeño del sistema están dentro de los máximos especificados en la probabilidad de detección para cada subsistema especificado.

La prueba de aceptación en la instalación debería iniciarse después de que se ha recibido la aprobación escrita del cliente. El contratista debe ser informado
que el cliente puede terminar la prueba en cualquier momento que el sistema no funciones como se ha especificado. Al terminar la prueba de aceptación en
la instalación exitosamente, el contratista debe entregar los informes de prueba y demás documentación al cliente antes de dar inicio a las pruebas
ulteriores.

Para las pruebas de aceptación de un PPS, debería hacerse lo siguiente:

• Verificar que se han instalado los datos y el sistema de transmisión de video y todos los cables de señal o control, probados y aprobados como se
especificó.
• Cuando el sistema incluye control remoto/estaciones de monitoreo o paneles de interruptores remotos, verificar que los dispositivos remotos están
operativos, se comunican con el centro de monitoreo de seguridad, y realizan las funciones que se especificaron
• Verificar que el interruptor de video está totalmente operativo y que el software del interruptor ha sido programado según las necesidades de la
instalación
• Verificar que todas las funciones del software del sistema funcionan correctamente
• Verificar el funcionamiento de todos los controles eléctricos y mecánicos y que los controles realizan las funciones diseñadas
• Verificar que todas las fuentes de video y las salidas de video proporcionan una señal de ancho de banda total
• Verificar que todas la señales de entrada terminan correctamente
• Verificar que todas las cámaras están orientadas y enfocadas correctamente
• Verificar que las cámaras que enfrentan la salida o puesta del sol están orientadas suficientemente por debajo del horizonte, que no miran al sol
 directamente
• Si se utilizan vehículos cerca de las áreas de evaluación, verificar las capacidades de evaluación nocturna (incluyendo si los focos delanteros causan
una sobreexposición (efecto “blooming”) o una degradación de la imagen).
• Verificar que todas la cámaras están sincronizadas y que la imagen no ruede cuando las cámaras son cambiadas
• Verificar que la interfaz de la alarma al subsistema de detección de intrusión está operativa y que la llamada automática de cámara (call-up) está
operativa para todos los puntos de alarmas y cámaras designadas
• Cuando se usa montaje pan/tilt en el sistema, verificar que los topes se hayan ajustado correctamente, que todos los controles de pan/tilt o los
mecanismos de zoom estén operativos, y que los controles realicen las funciones deseadas
• Si se utilizan controles de pre-posicionamiento, verificar que todas las posiciones iniciales hayan sido ajustadas correctamente y probadas para la
función de reposicionamiento automático en posición de partida (auto home function).

El contratista debiese entregar un reporte describiendo los resultados de las pruebas funcionales, diagnósticos y calibraciones, incluyendo una certificación
escrita de que el sistema completo instalado ha sido calibrado y probado y está listo para la prueba de confiabilidad. El reporte debiese incluir también una
copia de los procedimientos de la prueba de aceptación aprobados.

12.11.3 PRUEBA DE CONFIABILIDAD O DISPONIBILIDAD

La prueba de confiabilidad se realiza mejor alternando las fases de prueba y evaluación para permitir la validación de las pruebas y las acciones correctivas.
La prueba de confiabilidad no debería iniciarse hasta que el cliente notifica al contratista, por escrito, que la prueba de aceptación se ha completado
satisfactoriamente, el entrenamiento (si se ha especificado) se ha terminado, y todas las deficiencias pendientes han sido corregidas. El contratista debe
proporcionar un representante que esté disponible las 24 horas del día, incluyendo los fines de semana y festivos (si es necesario) durante la prueba de
confiabilidad. El cliente debiese terminar las pruebas cada vez que el sistema no funciona según lo especificado.

Prueba Fase I
La prueba de confiabilidad debe ser realizada 24 horas al día durante 15 días consecutivos, incluyendo los festivos, y el sistema debiera funcionar según lo
especificado. El contratista no debe hacer reparaciones durante esta fase de prueba a menos que el cliente lo autorice por escrito. Si el sistema no
experimenta fallas durante la prueba de la Fase I, el contratista puede continuar directamente a la prueba de la Fase II después de recibir la autorización por
escrito del cliente.

Evaluación Fase I
Después de la prueba de la Fase I, el contratista debiera identificar todas las fallas, determinar las causas de todas las fallas, reparar todas las fallas y
entregar un reporte escrito al cliente. El reporte debiese explicar en detalle la naturaleza de cada falla, las acciones correctivas tomadas y los resultados de
las pruebas realizadas; también debiese recomendar cuando reanudar las pruebas. Alrededor de una semana después de recibir el reporte, el cliente debe
convocar a una reunión de revisión de pruebas, en el lugar de trabajo, para analizar los resultados y recomendaciones. En la reunión, el contratista debe
demostrar que todas las fallas han sido corregidas mediante la realización de la parte correspondiente de las pruebas de aceptación. Basado en el reporte del
contratista y la reunión de revisión de pruebas, el cliente puede establecer una fecha de reinicio o puede exigir que la Fase I se repita. Si la nueva prueba se
completa sin ninguna falla, el contratista puede continuar directamente a la prueba de la Fase II, después de recibir la autorización escrita del cliente. De lo
contrario, el ciclo de prueba y evaluación continúa hasta que las pruebas se completen satisfactoriamente.

Prueba Fase II
La prueba de la Fase II debe realizarse 24 horas al día durante 15 días consecutivos, incluyendo festivos, y el sistema debe funcionar según lo especificado.
El contratista no debe hacer reparaciones durante esta fase de prueba a menos que el cliente lo autorice por escrito.

Evaluación Fase II
Después de la conclusión de las pruebas de la Fase II, el contratista debe identificar todas las fallas, determinar las causas de las fallas, reparar las fallas y
entregar un reporte escrito al cliente. El reporte debe explicar en detalle la naturaleza de cada falla, las acciones correctivas tomadas y los resultados de las
pruebas realizadas; también debe recomendar cuando reiniciar las pruebas. Alrededor de una semana después de recibir el reporte, el cliente debiese
convocar a una reunión de revisión de pruebas en el lugar de trabajo para analizar los resultados y las recomendaciones. En la reunión, el contratista debe
demostrar que todas las fallas han sido corregidas mediante la repetición de las correspondientes partes de la prueba de aceptación en la instalación. Basado
en el reporte del contratista y la reunión de revisión de pruebas, el cliente puede establecer una fecha de reinicio o exigir que la prueba de la Fase II se
repita. El contratista no debe comenzar ninguna prueba nueva antes de recibir la notificación escrita del cliente. Después de la conclusión de cualquier
prueba nueva, la evaluación de la Fase II se debe repetir.

12.11.4 PRUEBA POSTERIOR A LA IMPLEMENTACIÓN

Varias pruebas pueden realizarse después de la implementación, tales como:

• Pruebas de funcionamiento. Las pruebas de funcionamiento se realizan periódicamente para comprobar el correcto funcionamiento del sistema pero
no implica la verificación de las especificaciones de operación del equipo, tal como los patrones de detección de sensores de movimiento o la
distancia exacta en que se abre una puerta protegida antes de alarmarse. Las pruebas funcionales pueden comprobar si las alarmas se activan
correctamente cuando se abren las puertas protegidas, si los sensores de movimiento se activan cuando la gente camina por un lugar determinado, o
si los interruptores de manipulación o los botones de coacción funcionan correctamente.
• Pruebas de desempeño. Las pruebas de desempeño verifican que los equipos cumplen con las especificaciones del equipo o del sistema. Estas
 pruebas determinan parámetros tales como probabilidad de detección y pueden requerir dispositivos de medición, instrumentos calibrados o métodos
de prueba especiales.
• Pruebas post-mantenimiento. Las pruebas de post-mantenimiento son pruebas de funcionamiento que se llevan a cabo después de un
mantenimiento preventivo o correctivo que se ha realizado en los sistemas de seguridad para garantizar que están trabajado adecuadamente y de
acuerdo a las especificaciones.
• Pruebas del subsistema. Las pruebas del subsistema aseguran que las grandes partes del sistema están todas trabajando en conjunto como se diseñó
originalmente. Se pueden incluir la detección con respuesta normal y la detección con demora.
• Pruebas de alcance limitado. Las pruebas de alcance limitado se usan para probar un sistema complejo, el cual se divide en varios subsistemas o
segmentos que son probados en forma separada. Este tipo de prueba es útil cuando es difícil y requiere mucho tiempo probar el sistema completo al
mismo tiempo.
• Pruebas de Evaluación. Las pruebas de evaluación son periódicas, independientes de las pruebas del PPS para validar el análisis de vulnerabilidad y
asegurar que se mantiene la efectividad general. Una prueba de evaluación debería realizarse al menos una vez al año.

12.11.5 ASPECTOS DE GARANTÍA

El contratista debe estar obligado a reparar, corregir o sustituir cualquier defecto por un periodo de 12 meses desde la fecha de emisión del certificado de
término real. El tiempo común para que el contratista se reporte en el lugar de trabajo para abordar un aspecto de garantía es dentro de las cuatro horas
desde que se ha reportado un problema. Además, el contratista debería mantener la suficiente existencia de repuestos que permitan la rápida reparación o
sustitución del equipo. No es aceptable esperar a los fabricantes para reemplazar o reparar el equipamiento.

El contratista debe entregar al cliente los números de contacto de teléfono y fax para reportar todos los problemas y defectos. La garantía debe incluir el
mantenimiento completo de los equipos de acuerdo a las recomendaciones del fabricante. El contratista debe registrar todas las visitas de servicio en una
base de datos y proporcionar formularios de reporte al cliente. Los formularios de reporte deben registrar la fecha y hora en que fue reportada la falla, la
naturaleza de la falla reportada, la fecha y hora de la visita, la falla real identificada y el trabajo correctivo que se realizó.

Algunas preguntas a tener en cuenta respecto a las garantías son las siguientes:
• ¿El proveedor del PPS ofrecerá el servicio de garantía o lo hará un tercero?
• ¿Los niveles del servicio de garantía son compatibles con los niveles del servicio de mantenimiento del sistema?
• Si los elementos bajo garantía fallan ¿qué sucederá con respecto a los servicios de mantenimiento que cualquiera de las otras partes están ofreciendo?

12.12 MANTENIMIENTO, EVALUACIÓN Y REEMPLAZO

La creciente confianza de las organizaciones en los sistemas de protección física, junto con la creciente escala y complejidad de estos sistemas, exige una
cuidadosa consideración de los requerimientos de mantención. El software no está libre de errores, ni el hardware es inmune a las fallas eléctricas o
mecánicas. Por lo tanto, la inversión en seguridad de una organización debe incluir los servicios de mantenimiento y un plan para minimizar el potencial de
impactos y fracasos.

Un programa de mantenimiento efectivo normalmente incluye la provisión de técnicos en las instalaciones, incrementado con los representantes del
contratista, para realizar todas las pruebas, el mantenimiento, calibraciones y reparaciones necesarias para mantener operacional el sistema de protección
física. Frecuentes errores del sistema, procedimientos de pruebas superficiales y un número excesivo de componentes en espera de reparación, son indicios
de un programa de mantenimiento pobre. Esta sección identifica los aspectos prácticos de soporte hardware y software, y ofrece una guía práctica para las
organizaciones que consideran un acuerdo de mantenimiento del sistema. Las empresas al negociar los contratos de mantenimiento debieran buscar
también el asesoramiento legal si es necesario. La sección también plantea el aspecto de evaluar si y cuándo se debe cambiar el sistema de protección
física.

El mantenimiento del sistema de protección física es de dos tipos principales:

• Mantenimiento correctivo. Este corrige fallas y devuelve el sistema a la operación en caso que falle un componente de hardware o software. El
mantenimiento correctivo incluye las siguientes medidas:
— Establecimiento de una función de mantenimiento que actúa sobre las solicitudes y registros de los usuarios en caso de un problema del
sistema
— Investigación del problema
— Resolución del problema directamente o gestión de la solución si es necesario el servicio de terceros
— Restauración del sistema o devolución de su uso al cliente
— Actualización de la documentación en relación al problema y su solución

• Mantenimiento preventivo. Este consiste en el mantenimiento programado para mantener el hardware y software en buenas condiciones operativas.
El mantenimiento preventivo incluye las siguientes actividades:
— Mantenimiento de equipos electromecánicos (ventiladores, filtros, baterías de respaldo, hardware de puertas, etc.) operando correctamente.
— Reemplazo de componentes de hardware para mantener el equipo de acuerdo a las especificaciones actuales (por ejemplo los cambios de
ingeniería).
— Sistema de actualización y aplicación de software (corrección de errores, nuevas versiones, etc.)
— Reportes de pruebas y análisis del sistema (errores de acceso, auto-test, parámetros del sistema, medidas de desempeño, etc.)
 — Mantenimiento de la documentación del sistema

Normalmente, un acuerdo de mantención del sistema incluye dos categorías de servicios.

Un PPS requiere que todos los componentes trabajen conjuntamente en forma correcta para dar servicio a los usuarios del sistema. La falla de un solo
componente puede no tener un gran impacto, o bien, puede echar abajo el sistema. Un acuerdo de mantenimiento debe, por lo tanto, ser estructurado para
resolver tanto los problemas no críticos como aquellos que podrían causar graves alteraciones a la organización y sus procesos de negocios.

Una práctica común en el pasado ha sido que las organizaciones subcontratan el mantenimiento de su hardware, software, redes y servicios por separado.
Como los sistemas se han vuelto más complejos e integrados, las dificultades para identificar y resolver problemas o falla han aumentado. No sólo existe la
posibilidad de acusaciones entre las partes sobre un problema, sino que la pérdida de tiempo de trabajo por distintos aspectos resultan en más frustración y
atrasos.

Frecuentemente, la mejor solución es seleccionar a un solo contratista que se haga responsable de los requerimientos de mantenimiento del sistema. Como
único punto de contacto, el contratista diagnosticará la causa del problema y gestionará el proceso de búsqueda de solución. Esta resolución puede incluir a
terceros que provean o mantengan ciertos componentes del sistema, o pueden necesitar la ayuda de otros proveedores de servicios, tales como de
comunicaciones o empresas de software de aplicación.

12.12.1 MANTENIMIENTO CORRECTIVO

Plan de Mantenimiento
La mantención del sistema de hardware y software puede ser realizada por el fabricante de los equipos, un integrador de sistemas, un contratista de
mantenimiento, los usuarios o una combinación de los mismos. Es esencial desarrollar directrices para identificar quién es el responsable de la
identificación de fallas, diagnóstico y verificación del problema, corrección de la falla, prueba de reparación, registro de reparación y coordinación de
mantenimiento y seguimiento. El aspecto de coordinación es especialmente crítico porque las tecnologías de seguridad pueden requerir varios tipos
diferentes de habilidades de mantención dependiendo de dónde se produzca el fallo.

También es una buena idea entrenar al personal para desarrollar el mantenimiento preventivo; esto los ayudará a comprender y operar mejor los sistemas de
seguridad. Este entrenamiento es mejor que sea proporcionado por los proveedores como parte de las fases de adquisición e instalación de los nuevos
sistemas. También es útil para darle tiempo a los técnicos para que actualicen sus habilidades y conocimientos intercambiando información con otros
técnicos durante la instalación. Además, el plan de mantenimiento debiese considerar afinamientos periódicos del sistema de seguridad de cada instalación
para eliminar las alarmas falsas y las no deseadas que crean problemas al personal de monitoreo y respuesta del sistema.

Al contratar los servicios de mantención, el cliente y el contratista deberían hacer lo siguiente:

• Acordar las bases del documento contractual

• Documentar en detalle los componentes del sistema que se van a mantener
• Establecer los niveles del servicio para cada componente o subsistema
• Definir roles y responsabilidades de las partes en el acuerdo
• Acordar los precios y pagos
• Establecer cómo será dirigido y administrado el acuerdo

Niveles del Servicio

La falla de varios componentes tendrá diferentes niveles de impacto en el sistema. La falla de una sola cámara tendrá menor impacto que el fallo del
servidor de comunicaciones para toda una red. Sin embargo, otra estación de trabajo de la red puede sustentar un servicio esencial de seguridad y requiere
un servicio de alta prioridad.

El cliente y el contratista necesitarán desarrollar juntos un plan de soporte, el nivel de servicio apropiado y el tiempo de respuesta para cada componente.
Los componentes cuya falla tienen un alto impacto en el sistema requieren un mayor nivel de soporte. En caso extremo, sería necesario que un ingeniero se
instalara en el lugar con todos los repuestos a mano. Es muy probable que el cliente requiera la garantía de que se le devolverá inmediatamente una llamada
telefónica de un técnico de mantenimiento y una respuesta en la instalación en un plazo de dos a cuatro horas. El cliente debe considerar y especificar que
los niveles de servicio sean reales, medibles y acordes con las necesidades de negocio específicas de la organización, especialmente si implica viajar. Los
costos para garantizar tiempos de respuesta menores a cuatro horas pueden subir rápidamente debido a las exigencias de horas de personal, viajes y
equipos.

Por otra parte, pueden haber componentes del sistema que el cliente elija no incluir en el plan de mantenimiento total. Las estaciones de computadoras
personales puede que ya estén cubiertas por un acuerdo de mantenimiento con el proveedor de equipos. Sin embargo, excluir del mantenimiento algunos
elementos o tener otros elementos en niveles más bajos requiere una cuidadosa reflexión.

Los niveles de servicio y los costos dependen de la ubicación del sistema en relación al proveedor, y de la habilidad para diagnosticar y reparar los
problemas en forma remota. El uso de un proveedor de mantenimiento correctivo que está en otra ciudad puede extender significativamente los tiempos de
respuesta. Exigir el soporte fuera de las horas normales de trabajo también afecta los niveles y costos de los servicios.

Roles y Responsabilidades
El objetivo principal de los acuerdos de mantenimiento del sistema es asegurar que el sistema de seguridad funciona en su capacidad óptima con un
mínimo de tiempos de inactividad. Otro objetivo es minimizar el número de diferentes partes involucradas en la gestión del programa de mantenimiento.
Los roles y responsabilidades de todas las partes que proveen servicios debe estar claramente definida, documentada y acordadas con el proveedor de
mantención del sistema.

En algunos casos, el proveedor del servicio de mantención también es el proveedor del hardware o software o un agente de ese proveedor. Sin embargo,
por lo general los integradores de sistemas toman la responsabilidad del mantenimiento como contratista principal.

Al establecer un contrato de mantenimiento del sistema, es necesario desarrollar un plan que indique las responsabilidades de todas las partes, establezca el
punto central de contacto de la empresa, y facilite los acuerdos entre las partes. Las siguientes partes pueden estar involucradas:

• Fabricante o proveedor del hardware

• Integrador de sistemas
• Proveedor de herramientas y utilidades del sistema cuando no son proporcionadas por el proveedor de hardware
• Proveedor del software de aplicación
• Dueño del edificio (por los servicios del edificio tales como circuitos de electricidad, agua, teléfono/datos)
• Proveedor del servicio de aire acondicionado (en relación a ciertos equipos en la sala de control de seguridad)
• Sistema de Alimentación Ininterrumpida (UPS por sus siglas en inglés) o un agente generador de emergencia
• Equipos de LAN y WAN y proveedor de servicios
• Proveedor de servicios de telecomunicaciones (teléfonos, línea de datos arrendada, y acceso a la red privada/pública)
• Proveedor de PC
• Proveedor de cableado

El ideal puede ser que el proveedor principal o el integrador de sistemas administre todas estas partes en la resolución de averías o realización del
mantenimiento programado. En la práctica, esto puede no siempre ser adecuado o rentable. Cada cliente necesita incluir o excluir las responsabilidades
específicas de terceros.

Precios y Pagos
Los contratistas de mantenimiento generalmente tienen una escala de honorarios para el soporte de sus productos y para la prestación de sus servicios.
Estos honorarios pueden obtenerse a partir de una compleja combinación de factores, incluyendo la complejidad del PPS, el costo de los repuestos, el
número estimado de fallos por año, la frecuencia de uso del producto, el número de usuarios del PPS, y la antigüedad del PPS. Para un alto volumen o
sistemas estándar, los honorarios pueden ser simplemente un porcentaje del precio de adquisición. Las tarifas de soporte también pueden verse afectadas
por la ubicación geográfica del sistema o la habilidad para diagnosticar y dar soporte en línea. En forma alternativa, se puede acordar que los costos de
viaje y alojamiento sean facturados por separado.

Las economías de escala también pueden afectar los precios del proveedor de soporte de mantenimiento. Un gran número de unidades o de clientes en una
ubicación geográfica pueden ser una oportunidad para traspasar ahorros en viajes, inventarios de repuestos, personal, costos de entrenamiento y costos de
instalación.

Del mismo modo, el ciclo de pago para los costos de mantenimiento pueden variar de acuerdo al alcance y naturaleza del servicio requerido. Un enfoque
podría consistir en una tarifa fija por un plazo (mes, trimestre o año) además de una asignación o una fórmula para lo siguiente:

• Descuentos para las economías de contratos de más largo plazo

• Créditos cuando no se cumplan los tiempos de respuesta objetivos
• Costos adicionales asociados con viajes, alojamiento o trabajo no cubierto por el acuerdo
• Llamadas fuera de las horas de servicio acordadas

Con el tiempo, los factores que determinan el precio de mantención cambian. Algunos pueden disminuir, pero la mayoría aumenta junto con las presiones
inflacionarias o el envejecimiento de los productos. Es usual que para la revisión de los precios se incorporen hitos en el acuerdo de mantenimiento y para
que haya un entendimiento entre las partes en cuanto al tamaño de cualquier aumento de estos hitos. Por lo general no están cubiertos en el acuerdo de
mantenimiento elementos como el mal uso, vandalismo, falta de entrenamiento debido a la rotación, actos de fuerza mayor, etc.

Administración
La mantención del sistema se lleva a cabo en un ambiente que cambia durante el período del contrato. El acuerdo en sí mismo necesita ser monitoreado y
mantenido para que refleje tales cambios. El gerente de seguridad debe revisar regularmente el acuerdo, medir el desempeño del proveedor y enfocarse en
el alcance del acuerdo. La revisión debe cubrir los siguientes aspectos:

• Desempeño del proveedor respecto a los niveles de servicio y desempeño del sistema para el periodo anterior
• Registro de llamadas y administración de la cuenta
• Cambios en los servicios o niveles de los servicios que son solicitados por el cliente o recomendados por el proveedor
• Cambios en la lista de equipos o software del sistema
• Planes futuros del cliente para el sistema (incluyendo personal, nuevos proyectos, actualizaciones, eventos especiales, o cambio de prioridades)
Documentación
El fabricante o integrador de sistemas debe proporcionar la documentación completa sobre la configuración del sistema y todos los componentes,
incluyendo la configuración de interruptores, diagramas de cables, listado de piezas y pasos de instalación. Es importante que todos los subsistemas tengan
niveles avanzados de diagnóstico que identificarán la falla de componentes, de modo que puedan ser fácilmente cambiados en terreno. Para sistemas
grandes y descentralizados, la habilidad de realizar diagnósticos remotos es especialmente útil. La suscripción de un servicio de actualización para el
hardware y software después de la instalación garantiza que las últimas órdenes de cambio de ingeniería y de cambios en terreno serán incorporadas al
sistema, extendiendo así la vida útil del sistema.

Registros
Manteniendo los registros exactos del sistema de seguridad, especialmente los registros de mantención y del operador, puede ayudar al gerente de
seguridad de muchas maneras. Sabiendo qué partes están fallando o causando problemas, el operador puede contribuir a identificar puntos de conflicto y
deficiencias. Hacer un seguimiento de los costos ayuda a justificar el reemplazo de los sistemas poco confiables.

Registros de Mantenimiento
Los registros de mantenimiento de todos los componentes, con referencias cruzadas a los subsistemas, debe mantenerse para identificar los patrones de
reparación. Estos registros pueden apuntar a los componentes que se deben revisar detenidamente durante la mantención preventiva. El contratista de
mantenimiento (o cualquiera que realice la mantención del sistema) debe mantener los archivos y registros de cada tarea de mantenimiento y organizar los
registros acumulativamente para cada componente principal y para todo el sistema cronológicamente. Se debe mantener un registro continuo para todos los
dispositivos. El registro debe contener calibración, reparación y datos de programación. Los registros completos deben guardarse y estar disponibles para
una revisión en la instalación, demostrando que se han hecho los ajustes y las reparaciones sistemáticas y planificadas para el sistema de seguridad.

Registros del Operador del Sistema

Los registros del operador del sistema deben mantenerse para identificar los problemas que los operadores tienen con ciertos subsistemas o componentes.
Estos reportes deben ser analizados periódicamente para identificar los subsistemas y componentes del problema y para actualizar los procedimientos de
operación.

Piezas de Repuesto
Es muy útil adquirir repuestos y reparar equipos con antelación (quizás como parte de la adquisición del dispositivo original) para minimizar el tiempo de
inactividad en el evento que se requiera una reparación correctiva. La cantidad apropiada de repuestos disponibles a mano, varía de acuerdo al tiempo
necesario para obtener los repuestos, el costo de mantención del inventario y la probabilidad de reemplazo. Como regla general, anualmente debe asignarse
alrededor del 5 por ciento del costo de capital del equipo de un lugar para adquirir piezas de repuesto. Los inventarios de repuestos deben reflejar las
recomendaciones del proveedor. La estandarización de los dispositivos, a través de las relaciones con un solo proveedor o de especificaciones de
adquisición justas, pueden reducir las necesidades de inventario así como las de entrenamiento. Se recomienda un presupuesto centralizado para pagar por
el reemplazo inesperado de dispositivos.

Manuales de Mantenimiento
El contratista debe entregar al cliente un manual que describa la mantención para todos los equipos, incluyendo la inspección, mantención preventiva
periódica, diagnóstico de fallas y reparación o sustitución de componentes defectuosos.

12.12.2 MANTENIMIENTO PREVENTIVO

Deben elaborarse listas de verificación para asegurar que las tareas de mantenimiento preventivo se realicen adecuadamente, y las listas de verificación
deben incorporar cualquier directriz de los fabricantes de los equipos. El mantenimiento preventivo se aplica a la mayoría de los elementos de la
infraestructura del sistema e incluye tareas tales como el reemplazo de ampolletas y la limpieza de las lentes de las cámaras.

El presupuesto y las decisiones de asignación de recursos debe tener en cuenta no sólo los técnicos de seguridad, sino también el soporte de la tecnología de
información. Para ahorrar tiempo de viaje, las actividades de mantenimiento preventivo deben aplicarse simultáneamente con las actividades de
mantenimiento correctivo en la medida de lo posible. Las siguientes son tareas de mantenimiento preventivo típico:

• Inspeccionar los gabinetes para asegurar que existe una señal de advertencia del voltaje en equipos como fuentes de poder
• Asegurar que las señales de advertencia del sistema de seguridad están en la ubicación correcta
• Inspeccionar los recintos por daños, aperturas no autorizadas y corrosión de objetos de metal. Reparar y pintar según sea necesario
• Inspeccionar los conductos de aire y retirar cualquier obstrucción
• Inspeccionar, investigar y resolver las condiciones de olores extraños
• Inspeccionar los dispositivos de cierre. Reparar según sea necesario
• Si el equipo está en funcionamiento y probado, escuchar, investigar y resolver las condiciones para ruidos inusuales
• Inspeccionar el montaje de los equipos para su correcta instalación
• Inspeccionar en busca de alambres y componentes sueltos
• Inspeccionar las conexiones eléctricas por decoloración y corrosión. Reparar según sea necesario
• Inspeccionar el aislamiento eléctrico por decoloración y degradación. Reparar según sea necesario
• Inspeccionar los componentes del equipo de conexión a tierra tales como conductores y conexiones. Reparar según sea necesario
• Limpiar el equipo. Retirar residuos, suciedad y otros sedimentos extraños de todos los componentes y áreas del equipo no encapsulado, tales como
 paneles de control de ventilación
• Apretar las conexiones eléctricas
• Girar todas las conexiones eléctricas a los valores de diseño adecuados
• Realizar pruebas de funcionamiento periódicas para comprobar la operación correcta de los subsistemas, no necesariamente para verificar las
especificaciones de funcionamiento del equipo
• Abrir las puertas protegidas
• Entrar en las habitaciones protegidas
• Probar los detectores de metal pasando un metal a través de la zona de detección
• Comprobar el funcionamiento de los sensores de perturbación de cercas agitando la cerca
• Realizar inspecciones visuales y pruebas de funcionamiento del sistema de CCTV, incluyendo interruptores, equipos periféricos, paneles de interfaz,
dispositivos de grabación, monitores, controles eléctricos y mecánicos de los equipos de video, y calidad de imagen de cada cámara
• Comprobar el funcionamiento de los botones de coacción y de los interruptores anti-sabotaje.

Ajustes
Podría ser necesario realizar ajustes periódicos a los sistemas de seguridad para asegurar que están funcionando efectivamente. Los patrones de detección
de los sensores de movimiento podrían necesitar ser ajustados según los resultados de las actividades de prueba. Se puede necesitar hacer ajustes en las
lentes varifocales de las cámaras de CCTV para garantizar que se están viendo las escenas adecuadas.

Equipo de Respaldo
Dado que los subsistemas de seguridad requieren energía, debe estar disponible una fuente auxiliar de poder consistente en baterías o generadores. La
conmutación debe ser inmediata y automática si la fuente de energía principal falla. En la mayoría de los casos, la conmutación inmediata y automática no
ocurre si un generador es la única fuente de respaldo de energía; se requieren baterías y el generador asume el rol una vez que obtiene la máxima potencia.
Para asegurar el funcionamiento efectivo de todos los dispositivos, los gerentes de seguridad deben establecer un programa de prueba y mantenimiento
regular. Dicho programa incluye pruebas periódicas de los equipos y circuitos incluyendo la energía de respaldo, así como las inspección minuciosa de los
equipos y circuitos por personal de servicio calificado. Los registros de estas pruebas deben incluir la fecha de la prueba, el nombre de la persona que
realizó la prueba y los resultados.

12.12.3 EVALUACIÓN Y REPOSICIÓN

En algún momento, el sistema completará su vida útil y comienza el proceso de reposición. Para justificar los costos de reposición, el gerente de seguridad
debe considerar factores tales como el costo de mantención, falta de repuestos, obsolescencia de software y hardware, costos de operación y falta de
confiabilidad. La reposición también puede ser justificada por nuevas tecnologías y características que proporcionen una mayor seguridad, la capacidad de
reducir la mano de obra u otros beneficios.

El gerente de seguridad debe formar un equipo de partes interesadas en la organización, incluyendo miembros del grupo de IT de la empresa, para
seleccionar un sistema que cumpla las necesidades de todas las partes. Es necesario abordar las deficiencias de desempeño del sistema antiguo, tales como
incapacidad de leer múltiples tecnologías de tarjetas o escaso tiempo de respuesta del sistema. Los posibles usos futuros del sistema y las tarjetas de ID,
como una función de tarjeta de débito en la cafetería de los empleados, también debieran ser incorporados.

El equipo debería construir el potencial de expansión considerable para dar cabida a futuros planes para locaciones adicionales, paneles y tarjetas. El equipo
también debe comenzar a reunir información de empresas conocidas, apoyados por una red nacional de integradores. También es crucial asegurarse que el
software del sistema contará con la aprobación del departamento de IT, el que tendrá que trabajar con él y con el departamento de recursos humanos, que
necesitarán una interfaz perfecta entre su software de base de datos de empleados y el software del sistema de seguridad.

12.13 RESUMEN

Este capítulo describió la implementación de un diseño de PPS. Se hizo hincapié en el uso de la integración de sistemas y de un proceso estructurado. Se
describió la relación entre (1) metas, objetivos, diseño y análisis y (2) la implementación. Además, se describieron los detalles de implementación de un
PPS. Estos incluyen el uso de requerimientos, especificaciones de diseño, planos y costos estimados. El proceso de elaboración de un contrato y de
selección de un proveedor para la implementación del sistema fue revisado en un alto nivel. El capítulo también incluyó la información de detalles de
instalación y de funcionamiento que se deben tener en cuenta, así como del entrenamiento, pruebas, aspectos de garantía, mantención y reemplazo del
sistema.

________________________________________
26 N. del T: CEO, Chief Executive Officer (Presidente o Gerente General); CFO, Chief Financial Officer (Gerente de Finanzas o Director Financiero)
27 N. del T: HVAC corresponde a las siglas en inglés de calefacción, ventilación, y aire acondicionado.
28N. del T: Fail-safe y fail-secure son conceptos similares, pero distintos. Ambos significan a prueba de fallos, sin embargo el primero se refiere a no poner en peligro vidas o activos
cuando falla. El segundo se refiere a que en caso de falla las personas o activos no queden expuestas riesgos de ser atacadas.
29 N. del T: IT corresponde a las siglas en inglés Information Technology, que se traduce como Tecnología de Información.
30 N. del T: WAN corresponde a las siglas en inglés Wide Area Network, que se traduce como Red de Área Extensa.
ANEXO A

ESTIMACIÓN

Tipos de Costos Estimados

Se utilizan varios tipos de costos estimados en la implementación de un sistema de protección física: estimaciones presupuestarias, estimaciones
preliminares de diseño, estimaciones para el diseño final.

Estimaciones Presupuestarias
Las estimaciones presupuestarias se preparan durante la fase inicial de planificación para un nuevo PPS. La meta es llegar a una cifra de costo que pueda
ser usada para obtener el nuevo PPS en el ciclo presupuestario. Dependiendo de las políticas de adquisiciones de la empresa, el ciclo presupuestario puede
requerir que los sistemas sean identificados y sometidos a consideración varios años (hasta 5) antes de la implementación prevista. Debido a que estas
estimaciones se usan para fines presupuestarios, tienen una gran contingencia, aproximadamente 10 a 20 por ciento. Estas estimaciones son difíciles de
preparar sin realizar una buena parte del diseño del sistema.

Para preparar la estimación presupuestaria, el gerente del proyecto puede discutir los costos con otras compañías que recientemente hayan instalado
sistemas y pedir a los posibles proveedores que desarrollen una estimación presupuestaria. Otro recurso son los datos elaborados por RSMeans, una
empresa que provee información de costos de construcción.

Estimaciones Preliminares de Diseño

Si el proyecto del PPS es parte de un proyecto de construcción más grande, el proceso puede requerir una estimación preliminar del diseño. Esta estimación
debe desarrollarse en la etapa de revisión de diseño del 50% y normalmente tiene una contingencia de alrededor del 10%. Dado que el diseño del sistema
está en marcha, las especificaciones del proyecto, planos y programación de equipos se pueden utilizar para desarrollar los costos. Los posibles
proveedores, también pueden proporcionar estimaciones.

Estimaciones para el Diseño Final

La estimación es afinada a medida que el proyecto avanza hasta completar el 100%. En este punto, la estimación del diseño final se desarrolla usando los
documentos completos, planos y programación. Esta estimación debería tener una contingencia mínima del orden del 5% aproximadamente.

Costo del Ciclo de Vida

El costo real de un PPS es el costo de su ciclo de vida. La estimación del costo del ciclo de vida incluye los siguientes componentes:
• Costos de ingeniería y diseño: estos son los costos asociados con el diseño del PPS, tales como la determinación de los productos apropiados para
cumplir las funciones especificadas y producción de dibujos que muestran la ubicación de los equipos, las conexiones de los subsistemas y los
detalles del cableado de varios dispositivos.
• Hardware: los costos de hardware incluyen los equipos originales más las piezas de repuesto inicial.
• Software: los costos de software son para el sistema operativo y el software de aplicación del sistema necesarios para operar el PPS
• Costos de instalación: los costos de instalación incluyen el trabajo invertido en la instalación de los equipos y el software, el trabajo para realizar la
inspección, las pruebas y puesta en marcha, el arriendo de equipos, los permisos, la unión, supervisión y gastos generales.
• Costos operativos: los costos operativos incluyen los gastos de personal, consumo de energía y artículos fungibles (como papel y cartuchos de tinta).
• Costos de mantención: los costos de mantención incluyen la mano de obra y las piezas de repuesto para la mantención preventiva y correctiva.
• Otros costos: estos incluyen los impuestos estatales y locales, las ganancias (10%), las garantías de desempeño (3-5%) y la contingencia (5-10%).
• Ajustes: los datos de RSMeans se basan en promedios nacionales. Para lugares específicos es posible que sea necesario ajustar los datos de costos.

Procedimientos de Estimación Detallado

A continuación un proceso paso a paso para preparar una estimación para un sistema de protección física:

• Identificar los subsistemas del PPS: Los típicos subsistemas para un PPS incluyen los siguientes:
– Cercas y barreras: cercas perimetrales; cierres o cercas alrededor de los servicios públicos esenciales; y barreras automáticas, portátiles y
fijas.
– Centro de control de seguridad o subsistema de monitoreo: consolas, estaciones de trabajo, computadoras, impresoras, grabadoras y
pantallas
– Subsistema de control de acceso: lectores de tarjetas, credenciales, equipo de preparación de credenciales, dispositivos de bloqueo de
puertas, dispositivos de detección de posición de puertas
– Subsistemas de CCTV: cámaras, interruptores, grabadores, montajes, recintos y monitores
– Subsistema de detección de intrusión interior y exterior: sensores de detección de intrusión, dispositivos de sonido de alarmas,
dispositivos de visualización
– Iluminación: accesorios de iluminación, montajes, recintos, postes y balastros
– Electricidad, control, y distribución de datos: energía de respaldo, protección para alzas de voltaje, canalizaciones, tierra, conductos,
alambres, y cables
– Subsistema de comunicaciones: red de comunicaciones usada para conectar todos los subsistemas, intercomunicadores, radios, redes, y
 equipos telefónicos
– Equipos de búsqueda: detectores de metal, detectores de explosivos y máquinas de rayos-X
• Identificar otras actividades de instalación: antes de instalar los componentes del PPS, el lugar debe prepararse de la siguiente manera:
– Modificaciones civiles o estructurales del lugar: clasificación, drenaje, torres, fundaciones, cercas, salidas y barreras
– Construcciones especiales: casetas de vigilancia, estaciones de monitoreo, estructuras resistentes a balas y explosiones
• Desarrollo de la lista de componentes para cada sistema: esta información se puede obtener de los catálogos y directrices de los proveedores de
equipos o de las publicaciones de la RSMeans
• Establecer el precio de los componentes: los datos de costos se pueden obtener de los proveedores y de RSMeans
• Estimación de la mano de obra de instalación: los integradores de sistemas y los fabricantes de equipos pueden proporcionar información sobre la
cantidad de personal y cuánto tiempo requerirá instalar cada componente. Ellos también informan las tarifas normales por hora.
• Identificar los equipos especiales y sus tarifas: para las actividades de construcciones especiales necesarias para instalar un PPS, se debe
identificar, para cada actividad, el número de personal y horas necesarias, todo el equipamiento que se requiere y los costos de renta de dichos
equipos.
• Uso de un programa de hoja de cálculo: una vez que se ha reunido toda la información, el gerente del proyecto debe elaborar una hoja de cálculo
para calcular la estimación del proyecto.

En resumen, es importante utilizar los datos de costos reales o cotizaciones recientes de los proveedores en la medida de lo posible. Los promedios de la
industria de RSMeans son útiles, pero deben estar ajustados a la localidad específica. También, debido a que las estimaciones contienen algunas
contingencias, el gerente del proyecto debe esperar variaciones cuando se reciben las ofertas.

Además, una revisión de la calidad es esencial. Después de reunir los datos y preparar la estimación, el gerente del proyecto debe someterlo a un completo
proceso de revisión para asegurar que todos los componentes están considerados y en las cantidades correctas. La revisión debe tener una doble
verificación de los costos de manos de obra de la cantidad de personal necesario para la instalación de cada componente, asegurarse que no ha habido un
alza de precios y determinar si los cambios en curso o a corto plazo en el lugar podrían afectar el proyecto.

Ejemplo de Estimación
La figura 12-11 muestra un ejemplo de hoja de cálculo para un PPS integrado. El ejemplo del sistema de seguridad consiste en los siguientes componentes:
• 2 puertas torniquetes perimetrales
• 10 puertas interiores de hoja simple
• 12 cámaras fijas de CCTV
• 1 cámara PTZ en el techo del edificio
• 2 monitores de CCTV
• 1 grabador de video digital
• 1 monitor de computadora para control de acceso
ANEXO B

ESPECIFICACIONES

Una especificación típica puede ser dividida en los siguientes apartados. Se proporcionan sugerencias para algunos elementos específicos que pueden ser
pasados por alto. La mayoría de las compañías y autoridades locales incluyen impresionantes y voluminosas condiciones para el contrato con el fin de
protegerse. La especificación debe cumplir con tres secciones estándar: general, productos y ejecución. El siguiente ejemplo muestra subsecciones
adicionales.

Especificación Modelo

Parte 1: General
Autoridad y Responsabilidad
En esta sección, se establece quién está haciendo la especificación, quién tiene la responsabilidad para hacer cambios, quién debe ser contactado, y de qué
manera, para todas las preguntas y comentarios.

Resumen
Esta sección contiene lo siguiente:
• Descripción general del proyecto: descripción de alto nivel de todo el proyecto si el PPS es parte de un proyecto de construcción más grande
• Lista de todos los documentos incluidos en el paquete de oferta
• Descripción del PPS: una descripción general de alto nivel del sistema
• Funcionamiento del sistema: una breve descripción de cómo se operará el proyecto
• Descripción de todos los productos y servicios que se incluirán en el contrato, incluyendo el suministro, instalación y conexión de los componentes
del PPS y cables

Objetivos
Esta sección enumera los objetivos del sistema para que todos los oferentes puedan comprender lo que el sistema pretende conseguir. Los objetivos deben
ser SMART31 (específicos, medibles, alcanzables, pertinentes, y de plazo determinado)

Formato de Presentación
Aquí el cliente describe el esquema y formato para las propuestas y especifica todos los elementos que se incluirán en la presentación. Esta sección también
debe especificar todas las opciones del sistema que deben cotizarse por separado. El proceso de evaluación, los criterios de evaluación y los criterios de
ponderación también son explicados en esta sección. Las instrucciones claras en esta sección simplificarán en gran medida el proceso de evaluación de
propuestas.

Especificaciones de Desempeño
Cuando se utiliza el método de adquisición RFP, la especificación está dada como requerimientos de desempeño funcional para el sistema y el equipo. Es
responsabilidad de los oferentes seleccionar el equipo más apropiado para cumplir con los objetivos y requerimientos del sistema. Ciertos elementos
pueden ser especificados por el fabricante y el número de modelo cuando sea necesario asegurar la compatibilidad o desempeño. Parte del proceso de
evaluación de la propuesta consiste en evaluar la calidad, confiabilidad y aplicabilidad del equipo propuesto.

Futura Expansión
Esta sección describe toda la capacidad, habilidad o desempeño para los requerimientos de expansión.

Interfaces del Sistema

Aquí el cliente indica si otros sistemas serán o podrán ser conectados o interactuarán con este sistema.

Códigos y Reglamentación
La instalación debe cumplir con todos los reglamentos pertinentes, tales como los siguientes:
• ADA: Americans with Disabilities Act
• ASCII: American Standard Code for Information Interchange
• ASTM: American Society for Testing and Materials
• EIA: Electronic Industries Alliance
• FCC: Federal Communications Commission
• NEC: National Electrical Code
• NEMA: National Electrical Manufacturers’ Association
• NFPA: National Fire Protection Association
• UL: Underwriters Laboratories, Inc.
Materiales y Servicios Suministrados por el Cliente
Esta sección enumera todos los elementos proporcionados por el cliente, tales como instalaciones de bodegaje, suministro de energía o herramientas.

Programación
Aquí el cliente establece el calendario probable para la colocación del contrato y la terminación del trabajo.

Declaración de Cumplimiento
Todos los oferentes deben incluir una declaración de que el sistema propuesto y los precios cumplen con las especificaciones. Las variaciones y
sugerencias para cambiar o mejorar el sistema deben ser enumeradas y cotizadas por separado.

Indemnización y Seguros
El contratista debe indemnizar y mantener indemnizado al cliente contra lesiones o muerte de cualquier persona y pérdida de, o daños a, cualquier
propiedad que surja de o como consecuencia de las obligaciones del contratista, en virtud del contrato y contra todas las acciones, reclamos, demandas,
procedimientos, daños, costos, cargos y gastos en relación con los mismos. Todas las reclamaciones contras las cuales se le exige al contratista asegurar, la
cobertura de seguro de un mínimo de US$1 millón o más según el contratista puede elegir en relación a cualquier incidente. Se espera que el contratista
presente evidencia de suficiente cobertura de seguro para cumplir estos requerimientos antes de algún trabajo se lleve a cabo en el lugar.

Fianza
Una fianza es un instrumento tripartito entre un garante (o compañía de seguros), el contratista y el dueño del proyecto o cliente. El acuerdo obliga al
contratista a cumplir con los términos y condiciones del contrato. Si el contratista es incapaz de cumplir satisfactoriamente el contrato, el garante asume las
responsabilidades del contratista y asegura que el proyecto se complete. A continuación se presentan cuatro tipos de fianzas que pueden ser necesarias:
• Oferta: este tipo de fianza garantiza que el oferente en un contrato lo firmará y proporcionará el pago requerido y las fianzas de cumplimiento
• Pago: este tipo de fianza garantiza el pago del contratista a las personas que suministran la mano de obra, materiales, equipos, o suministros para
usar en la ejecución del contrato
• Desempeño: este tipo de fianza garantiza que el contratista ejecutará el contrato de acuerdo con sus términos
• Auxiliar: estas son fianzas que son incidentales y esenciales para la ejecución del contrato

Modificaciones y Variaciones
No se deben permitir modificaciones o variaciones en el contrato sin el consentimiento escrito del cliente.

Notificación
El contratista deberá notificar al cliente inmediatamente si detecta cualquier circunstancia imprevista durante el curso del contrato que pueda requerir
modificaciones o variaciones. El contratista debe entonces esperar instrucciones antes de proceder con cualquier parte del contrato que pueda resultar
afectada.

Garantía
El contratista estará obligado a reparar, corregir o sustituir cualquier defecto de cualquier naturaleza que pueda ocurrir por un periodo de 12-24 meses desde
la fecha de emisión del certificado de terminación real. El tiempo típico para que el contratista reporte al lugar de trabajo para hacer frente a un problema de
garantía es dentro de las cuatro horas de reportado el problema. El problema debe ser corregido sin demora indebida. Por lo tanto, el contratista debe
mantener el inventario de repuestos suficiente para permitir la reparación o reemplazo del equipo rápidamente. No es aceptable tener que esperar a los
fabricantes debido a reparación o sustitución de equipos. El contratista debe entregar al empleador la información de contacto para reportar todos los
problemas y defectos. La garantía incluye la mantención total de los equipos de acuerdo a las recomendaciones del fabricante. El contratista debe tener en
funcionamiento un sistema en el cual todas las visitas de servicio se registren en una base de datos, y entregar un formulario de reporte al cliente. En el
formulario se tiene que registrar la fecha y hora en que se reportó una falla, la naturaleza de ella, la fecha y hora de la visita, la falla identificada, y el
trabajo correctivo que se realizó.

Mantenimiento
El contratista deberá presentar un programa completo de mantenimiento para realizar durante el período de garantía del sistema y de contratos de
mantención posteriores. Esta sección también establece que el contratista debe instalar todas las actualizaciones y mejoras del hardware y software
disponibles durante el tiempo que el sistema está instalado bajo su garantía. Esta disposición se incluye para proteger al cliente de tener que aceptar un
sistema que quede obsoleto después de la instalación.

Parte 2: Productos
Esta parte de la especificación cataloga el equipamiento. Un enfoque es especificar cada elemento por el número de modelo y fabricante. La ventaja de este
enfoque es que se puede hacer una comparación totalmente objetiva de todas las ofertas. La desventaja es que dicha especificidad excluye el empleo de
otro, probablemente menos caro, o quizás mejores dispositivos de seguridad que tienen características de funcionamiento tan buenos o mejores que las
especificadas. Al especificar un modelo, el cliente otorga una ventaja a la empresa que tiene los mejores términos con ese fabricante en particular. Un
enfoque alternativo es hacer una especificación de funcionamiento en relación a las descripciones de dispositivos genéricos. Sin embargo, este enfoque
requiere una evaluación de la oferta especialmente cuidadosa. Generalmente, una especificación de desempeño lleva a precios más competitivos. Otra
técnica que se suele utilizar es especificar el fabricante y el número de modelo pero seguido de las palabras “o igual”.
Las siguientes son algunas categorías de productos para catalogar en esta sección:
• Lector de tarjetas
• Distribución de amplificadores
• Matriz de interruptores
• Recintos
• Panel de control de acceso
• Monitores
• Receptor de telemetría
• Equipo intercomunicador
• Tarjeta de Identificación
• Contenedor de cámara
• Unidad quad
• Botón de coacción
• Estaciones de trabajo
• Unidad PTZ
• Impresora de video
• Detector de Movimiento
• Transmisión de video y telemetría
• Grabador de video
• Consola
• Contacto de puerta
• Lentes
• Multiplexor
• Contacto de puerta
• Cableado
• Fuentes de energía
• Cámaras

Equipamiento Sin Marca Registrada

Esta sección establece que todo los equipos, consolas, telemetría, interruptores y multiplexores, y otro hardware, deben ser productos comerciales estándar
(off-the-shelf) disponibles en el mercado. Este requerimiento asegura que se puedan realizar futuras ampliaciones del sistema con cualquier empresa
instaladora. El uso de componentes especializados de fabricación propia, no deben permitirse a menos que se soliciten como parte de los requerimientos.

Parte 3: Ejecución
Preparación del Lugar
Aquí el cliente describe la condición del lugar donde será instalado el sistema y el trabajo que deberá realizar el contratista para preparar el lugar para el
nuevo sistema.

Instalación y Estándares de Control

Esta sección establece cómo se harán las inspecciones y los procedimientos de control de calidad y cómo se guardarán los registros.

Coordinación Comercial
Esta sección establece si se requiere la coordinación con otros contratistas en relación a, por ejemplo, la instalación de cable de fibra óptica o la
conectividad de una red de área local (LAN) o red de área extensa (WAN).

Subcontratación
Ninguna parte del contrato debe ser subcontratada a otra compañía o individuo sin la autorización expresa por escrito del cliente. A menos que se haya
especificado lo contrario, se asume que todo el trabajo será realizado por el contratista. Si el contratista tiene la intención de subcontratar parte del diseño o
de la instalación, esa intención debe quedar claramente establecida en la oferta y proporcionar el nombre del subcontratista. El cliente se reserva el derecho
de aceptar o rechazar al subcontratista designado.

Equipos Especiales
El contratista normalmente debe ser responsable de proveer todos los equipos especiales necesarios para la instalación segura de todos los equipos de alto
nivel. Será responsabilidad del contratista proporcionar todos los equipos requeridos para completar la instalación de acuerdo con las buenas prácticas de
seguridad.

Salud y Seguridad
Se espera que el contratista cumpla con todos los requisitos de seguridad ocupacional y salud del cliente y de la autoridad que tiene la jurisdicción (AHJ,
por sus siglas en inglés).

Pre-montaje y Prueba
Todos los equipos deben ser pre-montados y probados en los locales del contratista antes de ser llevados a la instalación. Los controles de telemetría y de
multiplexores, y la central de registro de generación de fecha/hora debe ser ensamblada y probada a satisfacción del representante del cliente antes de
llevarla a la instalación.

Prueba y Puesta en Marcha

Cuando se considera que el contrato está completo, se emite un certificado de finalización después de terminar exitosamente la prueba de confiabilidad.

Instrucciones de Funcionamiento
El contratista debe proporcionar un mínimo de cuatro juegos completos de manuales de operación, instrucciones de operación, folletos descriptivos y
manuales técnicos de todos los subsistemas incluidos en el contrato.

Planos Conforme a Obra (as-built drawings)

El contrato debe exigir al contratista que proporciones los diagramas esquemáticos y el cableado según lo construido.

Entrenamiento
Esta sección especifica qué entrenamiento se requerirá, en qué periodo y dónde. Esta sección también establece qué calificaciones (tales como
certificaciones de los fabricantes) debe tener el entrenador.

Programación
Aquí el cliente debe solicitar al contratista que presente una lista de todas las actividades de programación propuestas, incluyendo los nombres de los
dispositivos, descripciones, tiempos y secuencia de las operaciones. Esta sección también debe especificar toda la programación que debe realizar el
contratista para todos los sistemas.

Actualizaciones
El contratista debe proporcionar e instalar todas las actualizaciones de hardware y software que estén disponibles para el PPS durante el periodo de garantía
sin costo adicional.

REFERENCIAS

ASTM International. (2011). Standard practice for security engineering symbols. F967-03. West Conshohocken, PA: ASTM International.

National Electrical Manufacturers Association. (2008). NEMA standards publication 250-2008: Enclosures for electrical equipment (1000 volts maximum).
Rosslyn, VA: National Electrical Manufacturers Association.

National Fire Protection Association. (2011). NFPA 70: National electrical code. Quincy, MA: National Fire Protection Association.

National Fire Protection Association. (2011). NFPA 731: Standard for the installation of electronic premises security systems. Quincy, MA: National Fire
Protection Association.

SIA/IAPSC. (1995). Architectural graphics standard—CAD symbols for security system layout. New York, NY: American National Standards Institute.

TIA/EIA. (2001). Commercial building telecommunications cabling standard. TIA/EIA-568-B.1. Arlington, VA: Telecommunications Industry
Association.

Underwriters Laboratories. (1999). UL 681: Standard for installation and classification of burglar and holdup alarm systems. Camas, WA: Underwriters
Laboratories.

Underwriters Laboratories. (1999). UL 1037: Standard for antitheft alarms and devices. Camas, WA: Underwriters Laboratories.

Underwriters Laboratories. (1995). UL 1076: Standard for proprietary burglar alarm units and systems. Camas, WA: Underwriters Laboratories.

________________________________________
31 N. del T: acrónimo en inglés que hace referencia a Specific, Measurable, Attainable, Relevant and Timebound.
ÍNDICE

A
adquisiciones, 479, 488, 502, 503, 504, 505, 507, 550
alarmas no deseadas, 45, 61, 143, 144, 146, 152, 154, 155, 156, 157, 158, 160, 161, 162, 163, 166, 167, 168, 169, 170, 171, 172, 173, 176, 180, 181, 183,
185, 186, 188, 189, 190, 191, 196, 198, 199, 200, 241, 249, 336, 337, 340, 341, 346, 349, 350, 370, 442, 475, 511, 519, 520, 521, 531
amenaza, 20, 25, 26, 27, 28, 29, 30, 31, 41, 43, 44, 49, 50, 58, 59, 62, 63, 89, 90, 117, 143, 145, 200, 242, 247, 251, 315, 334, 339, 340, 342, 343, 344,
349, 376, 388, 389, 419, 424, 427, 442, 443, 444, 447, 448, 452, 455, 456, 457, 458, 460, 470, 527
análisis, 21, 24, 28, 41, 44, 47, 48, 49, 50, 51, 60, 95, 170, 197, 241, 287, 329, 336, 339, 343, 344, 345, 346, 347, 350, 358, 370, 426, 436, 437, 439, 440,
441, 442, 443, 444, 446, 447, 448, 449, 450, 451, 452, 453, 454, 455, 456, 457, 458, 459, 460, 469, 470, 471, 472, 473, 479, 484, 503, 522, 535, 537,
549
arquitectura, 74, 105, 469, 470, 475, 524, 525

B
barreras, 46, 58, 59, 64, 67, 68, 73, 78, 80, 81, 82, 89, 93, 98, 109, 110, 111, 119, 129, 131, 173, 200, 267, 291, 351, 365, 381, 382, 383, 384, 385, 386,
387, 388, 389, 390, 392, 397, 398, 400, 402, 403, 404, 405, 418, 419, 435, 474, 552, 553
barreras prescindibles, 381, 382, 402, 403, 404
barreras vehiculares, 386, 388, 389, 390
base de datos, 32, 33, 214, 319, 327, 374, 485, 515, 524, 525, 536, 548, 560
biométricos, 318, 326, 327, 333, 364, 371, 372, 373, 374
bóvedas, 97, 104, 106, 183, 263, 382, 393, 412, 413, 414, 415, 417, 420, 435

C
cajeros Automáticos, 80, 122, 124, 125, 126, 127, 274
cámaras, 67, 71, 78, 80, 82, 100, 115, 122, 124, 125, 132, 161, 162, 191, 204, 205, 206, 208, 209, 210, 211, 212, 213, 214, 217, 218, 219, 221, 222, 223,
225, 226, 227, 228, 229, 231, 232, 233, 234, 235, 237, 238, 239, 240, 242, 244, 245, 246, 247, 248, 249, 250, 251, 252, 253, 258, 259, 261, 268, 269,
272, 273, 315, 343, 369, 373, 453, 495, 497, 500, 507, 512, 530, 532, 545, 547, 552, 554
CCTV, 48, 83, 161, 173, 190, 203, 204, 205, 206, 207, 208, 209, 212, 213, 214, 215, 216, 219, 220, 223, 228, 244, 247, 248, 254, 256, 257, 258, 261, 267,
268, 269, 270, 272, 273, 310, 363, 368, 369, 371, 387, 388, 397, 417, 479, 481, 488, 496, 497, 500, 513, 523, 524, 529, 547, 552, 554
cercas, 30, 67, 68, 69, 80, 81, 82, 85, 93, 95, 106, 108, 116, 131, 133, 155, 156, 157, 168, 171, 174, 185, 259, 268, 381, 382, 383, 385, 386, 387, 388, 405,
418, 547, 552, 553
cerraduras, 46, 67, 80, 81, 82, 93, 94, 96, 121, 351, 352, 353, 354, 355, 356, 357, 358, 359, 360, 363, 364, 366, 367, 368, 381, 383, 387, 393, 394, 396,
418, 477, 499, 509, 510, 518, 554
codificadores, 239, 294, 303, 304, 305, 306, 307
comunicación de alarma, 55, 143, 166, 169, 199, 279, 280, 315
contrabando, 118, 317, 333, 334, 335, 338, 340, 342, 350, 368, 370, 375, 376, 388
control de acceso, 68, 69, 75, 80, 82, 90, 93, 94, 95, 97, 98, 101, 104, 105, 107, 109, 110, 111, 115, 119, 128, 136, 142, 143, 240, 269, 282, 317, 318, 319,
351, 358, 361, 364, 373, 376, 476, 478, 483, 484, 488, 496, 552, 554, 561
control de entrada, 45, 101, 128, 199, 317, 318, 320, 321, 322, 326, 329, 331, 351, 368, 369, 370, 371, 372, 373, 374, 375, 376, 435, 478, 479, 481, 513
CPTED, 65, 66, 67, 69, 70, 72, 73, 74, 75, 79, 80, 81, 85, 86, 87, 88, 91, 93, 94, 105, 107, 109, 110, 112, 113, 117, 119, 120, 122, 127, 130, 131, 140, 141

D
definición de amenaza, 26, 31, 34, 44, 50, 344
demora, 20, 42, 44, 46, 55, 57, 63, 89, 93, 94, 174, 199, 297, 298, 350, 362, 380, 381, 382, 383, 384, 385, 386, 387, 388, 390, 391, 392, 393, 394, 395,
396, 397, 398, 400, 402, 403, 405, 416, 418, 419, 424, 427, 435, 439, 440, 442, 443, 448, 449, 450, 451, 452, 459, 465, 471, 528, 535, 560
detección, 20, 42, 44, 45, 46, 55, 57, 60, 61, 63, 64, 67, 68, 76, 83, 89, 90, 93, 94, 123, 128, 142, 143, 144, 145, 146, 147, 151, 153, 154, 155, 157, 158,
159, 160, 161, 162, 163, 164, 165, 166, 167, 168, 169, 170, 172, 173, 174, 175, 176, 177, 178, 179, 180, 181, 182, 184, 185, 186, 187, 188, 189, 190,
191, 192, 194, 196, 199, 200, 206, 208, 209, 227, 229, 240, 241, 242, 243, 250, 252, 267, 272, 277, 292, 315, 317, 331, 333, 334, 335, 336, 337, 338,
339, 340, 341, 342, 343, 344, 345, 346, 347, 348, 349, 350, 368, 370, 373, 375, 376, 381, 383, 384, 386, 388, 394, 400, 405, 419, 424, 435, 439, 440,
442, 443, 448, 449, 450, 451, 452, 455, 459, 465, 471, 474, 475, 479, 481, 528, 531, 532, 534, 535, 546, 547, 552
detectores de movimiento, 161, 189, 190, 196, 216, 238, 521, 554, 561
diseño equilibrado, 383, 393, 397, 400, 419
documentación, 47, 90, 175, 184, 197, 198, 205, 246, 249, 250, 444, 449, 466, 468, 478, 479, 487, 488, 491, 524, 528, 531, 537, 538, 543

E
efectividad del Sistema, 43, 47, 48, 49, 50, 57, 60, 197, 242, 244, 279, 384, 441, 442, 443, 446, 447, 458, 460, 527
electromagnética, 146, 172, 194, 195, 284, 363, 403, 510
enfoque de sistemas, 20
entrenamiento, 42, 74, 87, 217, 279, 331, 372, 373, 383, 430, 435, 456, 477, 480, 481, 491, 523, 524, 525, 526, 532, 539, 542, 543, 545, 549, 563
escuelas, 66, 75, 80, 85, 118, 120, 371, 440
espacio defendible, 73, 74, 81, 85, 105, 127
estacionamiento, 64, 71, 109, 110, 111, 112, 114, 116, 117, 118, 119, 120, 127, 130, 132, 137, 138, 269
estándar, 19, 110, 123, 127, 128, 134, 137, 148, 149, 150, 151, 204, 205, 222, 227, 228, 229, 230, 231, 232, 233, 234, 235, 236, 245, 247, 250, 251, 258,
273, 274, 281, 284, 285, 299, 323, 348, 360, 365, 371, 386, 390, 393, 394, 398, 399, 406, 412, 413, 414, 424, 443, 456, 457, 469, 476, 477, 480, 485,
490, 491, 494, 507, 510, 511, 514, 521, 527, 542, 556, 562
estándares UL, 148, 406, 514
estimación, 31, 34, 43, 105, 162, 458, 473, 478, 482, 483, 550, 551, 552, 553
evaluación, 20, 21, 22, 23, 25, 26, 27, 28, 29, 30, 32, 34, 41, 42, 43, 44, 45, 47, 48, 51, 88, 100, 102, 110, 117, 143, 146, 150, 151, 160, 161, 162, 163, 166,
168, 173, 190, 200, 205, 241, 242, 243, 245, 246, 247, 248, 250, 251, 252, 259, 267, 277, 278, 280, 281, 307, 314, 315, 317, 365, 370, 376, 383, 384,
386, 387, 388, 419, 430, 435, 439, 441, 442, 443, 447, 449, 452, 453, 454, 455, 459, 466, 467, 468, 469, 473, 480, 481, 524, 525, 528, 532, 533, 534,
535, 557, 561
evaluación de riesgos, 22, 439
evaluación de vulnerabilidad, 20

F
fuego, 38, 136, 334, 370, 371, 373, 399, 404, 405, 406, 407, 408, 409, 410, 411, 412, 413, 414, 415, 472, 499, 511

G
guardias, 78, 80, 81, 112, 337, 423, 424, 425, 426, 427, 428, 429, 430, 431, 435, 451, 456, 520

I
identificación, 34, 50, 70, 72, 80, 83, 94, 109, 120, 126, 192, 193, 206, 207, 208, 210, 218, 230, 250, 252, 261, 267, 268, 272, 318, 319, 320, 321, 322,
324, 327, 329, 330, 342, 346, 357, 372, 375, 426, 467, 469, 517, 524, 538
iluminación, 55, 115, 121, 128, 134, 142, 191, 271, 275, 552
integración, 20, 42, 46, 51, 55, 91, 164, 174, 199, 200, 251, 252, 369, 371, 435, 465, 468, 486, 490, 491, 549
intrusión, 9, 89, 95, 96, 143, 144, 145, 146, 147, 151, 152, 154, 157, 160, 166, 167, 168, 169, 173, 174, 175, 176, 177, 179, 180, 181, 183, 184, 194, 195,
196, 199, 200, 241, 248, 267, 277, 315, 384, 385, 386, 397, 402, 417, 477, 479, 481, 497, 532, 552

L
lámparas, 68, 72, 248, 255, 262, 263, 264, 265, 266, 267, 273, 51113, 267
lente, 157, 161, 188, 191, 206, 210, 213, 217, 220, 221, 222, 225, 226, 228, 230, 231, 232, 233, 234, 235, 242, 249, 256, 257, 258, 269, 272, 273, 285, 315,
330, 511, 512, 530
línea de supervisión, 169, 199

M
manipulación, 147, 169, 170, 176, 183, 186, 193, 197, 198, 199, 200, 245, 302, 308, 311, 339, 344, 352, 356, 357, 374, 509, 510, 535
mantención, 69, 120, 246, 248, 249, 263, 278, 284, 341, 346, 349, 356, 372, 382, 387, 400, 405, 419, 475, 485, 491, 506, 520, 526, 536, 538, 539, 540,
541, 543, 544, 545, 548, 549, 551, 560
medidas de desempeño, 61, 440, 442, 447, 448, 452, 537

O
oficiales de seguridad, 45, 46, 64, 83, 89, 173, 175, 243, 250, 381, 382, 388, 418, 480, 522
oficinas, 66, 97, 100, 101, 102, 104, 105, 106, 114, 120, 121, 125, 132, 264, 271, 295, 351, 361, 374

P
paredes, 59, 95, 96, 98, 99, 108, 111, 114, 117, 119, 122, 124, 135, 178, 179, 181, 183, 184, 268, 337, 365, 383, 390, 391, 392, 393, 400, 402, 406, 413,
415, 416, 418, 452, 493, 495
pérdidas, 25, 31, 33, 34, 35, 36, 38, 39, 40, 62, 66, 71, 127, 236, 445, 465, 469, 522
PIR, 186, 187, 188, 192, 193, 511
planificación de contingencia, 42, 426, 427, 428, 430, 436
planos, 91, 92, 93, 102, 138, 153, 354, 475, 483, 488, 489, 491, 492, 493, 494, 495, 501, 508, 549, 550, 551, 563
prevención del crimen, 55, 64, 65, 70, 76, 81
probabilidad de detección, 44, 45, 61, 64, 144, 145, 155, 160, 164, 166, 167, 168, 185, 189, 190, 199, 200, 475, 528, 531, 535
protección de la información, 103
protección en Profundidad, 165
protección equilibrada, 57, 59, 165, 443
puertas, 59, 68, 78, 79, 80, 82, 90, 93, 94, 96, 103, 106, 108, 109, 110, 111, 113, 114, 119, 121, 127, 132, 136, 178, 179, 181, 182, 186, 191, 238, 269,
317, 333, 337, 353, 356, 357, 358, 359, 360, 362, 365, 369, 370, 381, 382, 383, 387, 390, 391, 392, 393, 394, 395, 396, 397, 398, 399, 400, 405, 411,
418, 429, 452, 477, 478, 493, 497, 499, 507, 510, 511, 517, 520, 524, 534, 537, 546, 552, 554

R
radiación nuclear, 195
respuesta, 20, 28, 42, 44, 45, 46, 48, 55, 57, 58, 61, 63, 89, 93, 94, 100, 117, 124, 146, 148, 161, 165, 173, 176, 208, 209, 239, 241, 243, 248, 253, 262,
267, 278, 279, 314, 315, 317, 335, 336, 348, 349, 350, 360, 373, 376, 381, 383, 385, 386, 403, 405, 419, 422, 423, 424, 425, 426, 427, 428, 430, 431,
435, 436, 439, 440, 442, 443, 446, 447, 449, 450, 452, 453, 454, 455, 456, 457, 458, 459, 465, 475, 481, 483, 501, 504, 507, 516, 521, 524, 525, 528,
535, 539, 540, 542, 548
RF, 152, 193, 194, 287, 292, 306, 324, 325
RFP, 502, 503, 504, 557

S
seguridad ocupacional, 27, 42, 57, 59, 91, 148, 244, 255, 309, 362, 365, 399, 428, 477, 490, 518, 519, 527, 563
sensores de microondas, 159, 160, 185, 186, 187, 189, 521
sensores de movimiento, 161, 189, 184, 358, 495, 534, 547
sensores de tecnología dual, 166, 189
sensores de vibración, 179, 180, 181, 184
sensores exteriores, 143, 144, 163, 172, 176, 199, 516
sensores Inalámbricos, 193
sensores infrarrojos, 157, 158, 175, 186, 188, 189, 371
sensores interiores, 175, 176, 177, 178, 179, 194, 195, 199, 200, 516
sensores volumétricos, 176, 178
señalización, 68, 69, 70, 71, 72, 94, 110, 117, 120, 134, 136, 137, 362, 520
sistema de protección física, 24, 26, 143, 381, 385, 388, 437, 439, 447, 463, 515, 536, 537, 550, 552

T
techos, 19, 106, 119, 393, 400, 401, 404, 413
transmisión de video, 191, 211, 218, 284, 531, 561

U
UL, 148, 150, 406, 407, 408, 409, 411, 415, 516, 518, 519, 558, 565

V
ventanas, 59, 64, 67, 68, 69, 78, 80, 83, 93, 94, 95, 96, 98, 99, 103, 104, 106, 107, 113, 118, 119, 122, 131, 132, 133, 137, 178, 181, 182, 188, 191, 196,
217, 312, 313, 365, 381, 382, 390, 391, 395, 397, 398, 399, 400, 405, 418, 511
video, 55, 67, 84, 95, 100, 106, 107, 108, 110, 112, 113, 114, 115, 128, 142, 143, 161, 162, 166, 168, 173, 190, 191, 200, 202, 203, 204, 205, 208, 209,
210, 211, 212, 213, 214, 216, 217, 218, 219, 221, 222, 225, 226, 227, 229, 232, 233, 236, 237, 238, 239, 240, 241, 242, 243, 244, 245, 246, 248, 249,
250, 251, 252, 253, 255, 256, 257, 269, 273, 276, 282, 283, 284, 285, 299, 308, 314, 315, 321, 330, 332, 369, 423, 435, 442, 458, 480, 511, 512, 513,
526, 530, 531, 547, 554, 561
vigilancia, 42, 62, 67, 68, 69, 71, 73, 74, 75, 77, 78, 80, 81, 83, 84, 85, 89, 90, 93, 94, 95, 97, 100, 106, 107, 108, 109, 110, 111, 112, 113, 114, 115, 117,
119, 120, 121, 122, 124, 125, 128, 131, 132, 133, 134, 135, 161, 190, 218, 225, 230, 244, 251, 252, 253, 272, 282, 314, 320, 348, 368, 406, 426, 435,
476, 480, 486, 553

Z
zona despejada, 168, 169, 173, 174, 200, 242, 268,
Derechos Reservados ® 2011 por ASIS International

ISBN 978-1-934904-54-1

El libro Protección de Activos está elaborado bajo la premisa de que la editorial no se compromete a prestar servicios legales, contables y otros servicios
profesionales. Está diseñado como una guía y referencia de los temas tratados. Aunque se ha hecho todo lo posible para asegurar la precisión de los
contenidos en este documento, no es una publicación oficial y el editor no asume ninguna responsabilidad por los errores u omisiones.

Todos los derechos reservados. Ninguna parte de esta publicación puede ser reproducida, traducida a otro idioma, almacenada en sistemas de recuperación
o transmitida en cualquier forma o por cualquier medio, ya sea electrónico, mecánico, fotocopia, grabación o cualquier otro sin el consentimiento previo
por escrito del propietario de los derechos de autor.

Impreso en los Estados Unidos de América.

10 9 8 7 6 5 4 3 2 1

Traducido por OZ Translations, Santiago, Chile

AGRADECIMIENTOS

ASIS International (ASIS), la sociedad líder en el mundo para los profesionales de la seguridad, fundada originalmente en 1955 como Sociedad Americana
para la Seguridad Industrial, adquirió Protección de Activos en diciembre de 2003. La adquisición de esta obra pone de relieve el papel de liderazgo de la
sociedad en la educación profesional. Es el deseo sincero de ASIS y su personal de editorial seguir incrementando el valor de esta importante guía.

Protección de Activos, que ha estado en vigencia desde 1974, es reconocida como la referencia principal para profesionales de la seguridad y el editor desea
agradecer a los dos autores fundadores y a los editores posteriores.

Timothy J. Walsh, CPP Richard J. Healy, CPP

Timothy L. Williams, CPP

Editor Jefe

Editores Asociados
David G. Aggleton, CPP
Milton E. Moritz, CPP
Mike Hodge, J.D.
Sanford Sherizon, Ph.D., CISSP
Timothy J. Walsh, CPP, Editor Emeritus

A medida que avanzamos, enfrentados a problemas que representan un desafío para la industria de la seguridad, nuestra misión es asegurar que Protección
de Activos proporcione las soluciones estratégicas necesarias para ayudar a los profesionales cumplen con las exigencias del siglo 21 y los venideros.
También nos comprometemos a reunir a un grupo de expertos en la materia que mejore esta guía si fuera necesario para lograr nuestra misión.

Un agradecimiento por su valiosa colaboración en la revisión de la traducción a:

Alfredo Iturriaga, CPP
Jaime Owens, CPP
Carlos Degiorgis, CPP
Carlos Ramirez, CPP
Jaime Oliva, CPP, PSP
Michael E. Knoke, CPP
Editor Jefe

Eva Giercuszkiewicz, MLS, Jefe de Proyecto

Evangeline Pappas, Jefe de Producción
Peter E. Ohlhausen, Editor Técnico
 PREFACIO

OBJETIVOS DE PROTECCIÓN DE ACTIVOS

Protección de Activos (POA) está destinado al profesional de la seguridad, donde pueda encontrar en forma actualizada, precisa y práctica el manejo de la
amplia gama de temas de protección de activos, estrategias y soluciones en una sola fuente.

La necesidad de un recurso tan exhaustivo es bastante generalizada, según los editores, escritores y muchos colegas profesionales cuyo consejo se ha
buscado en la elaboración de este texto. El creciente tamaño y la frecuencia de todas las formas de pérdidas de activos, junto con el aumento de los costos y
la complejidad relacionada con la selección de medidas, exigen una presentación sistemática y unificada de la doctrina de la protección en todos los
ámbitos, así como las normas y especificaciones a medida que se emiten. Por supuesto, sería presuntuoso asumir que un pequeño grupo de autores pudiera
presentar este material sin ayuda. Es, por lo tanto, un objetivo fundamental de Protección de Activos el recurrir a la amplia base de fuentes calificadas que
se haya desarrollado. Los autores, revisores y editores tratan de extraer de los datos disponibles, las características comunes o recurrentes, tendencias y
otros factores que identifican o señalan las estrategias de protección vigentes. El objetivo es proporcionar un documento fuente, donde se puede obtener
información sobre cualquier problema de protección.

LECTORES
Protección de Activos está destinado a un amplio número de lectores: todos los profesionales de la seguridad y administradores de empresas con
responsabilidad en la protección de activos. La discusión coherente y el material de referencia pertinente en cada materia deben ayudar al lector a conducir
una investigación única que sea eficiente y organizada. De particular importancia son las diversas formas, matrices y listas de comprobación que le dan al
lector un comienzo práctico hacia la aplicación de la teoría de la seguridad de su propia situación. POA también sirve como una referencia central para los
estudiantes que siguen un programa de protección de la seguridad o de activos.

DIÁLOGO
Esperamos que Protección de Activos se convierta en una importante fuente de conocimiento profesional para aquellos que lo lean y que estimule el
diálogo serio entre los profesionales de la seguridad. Cualquier lector que esté lidiando con un problema de seguridad inusual, nuevo o difícil, que quisiera
recibir opiniones de otros, se le agradece escribir en forma sucinta una descripción del problema y nos lo envíe a ASIS
[protectionofassets@asisonline.org]. Si el lector lo solicita, su identidad se mantendrá anónima, pero el problema se publicará con las invitaciones para
hacer comentarios. También se anima a los lectores a comunicar su acuerdo o desacuerdo con las estrategias o aplicaciones recomendadas en el POA y a
sugerir alternativas. Nos reservamos el derecho de publicar o no el material presentado. Los editores también solicitan las opiniones de los lectores sobre
políticas de protección de activos, en los que una visión transversal sería muy útil.

FORMACIÓN COMPLEMENTARIA
Los lectores con responsabilidades de supervisión o administración de personal de seguridad y protección de activos, encontrará en el POA un recurso útil
para asignar lecturas obligatorias. Estas lecturas pueden ser elementos de un programa de capacitación formal y pueden ser asignadas como parte de las
sesiones de un curso.

Con todos estos objetivos en mente, presentamos a ustedes Protección de Activos, con la sincera convicción que le ayudará a mejorar su experiencia en el
campo de la seguridad.

Michael E. Knoke, CPP

Editor General
COLABORADORES

El éxito de esta publicación está directamente relacionado con el proceso de revisión por pares (peer review) reconocida por la mayoría de las profesiones.
Muchos profesionales de la seguridad, académicos y otros expertos en la materia participaron con el aporte de información actualizada, realizando
investigación, revisando las entregas y aportando con comentarios constructivos, para que fuésemos capaces de ofrecer una publicación que sea reconocida
como la “referencia” para los profesionales de la seguridad de todo el mundo.

Es con sincero aprecio que me gustaría dar las gracias a las personas que nombro a continuación que han contribuido a Protección de Activos.

Teresa M. Abrahamsohn, CPP Sean A. Ahrens, CPP Marene N. Allison

Randy I. Atlas, CPP George J. Barletta, CPP Mark H. Beaudry, CPP
Regis W. Becker, CPP Brent Belcoff, CPP Howard J. Belfor, CPP
Adolfo M. Benages, CPP Lawrence K. Berenson, CPP Alexander E. Berlonghi
Raymond J. Bernard, PSP Henri A. Berube Martin T. Biegelman, J.D.
Daniel E. Bierman, CPP, PSP Patrick C. Bishop, CPP Dennis R. Blass, CPP, PSP
Keith C. Blowe, CPP Paul F. Boyarin, CPP, PCI Tom Boyer
Pete Brake, Jr., CPP Darryl R. Branham, CPP Joseph P. Buckley, III
Jason Caissie, CPP, PSP Lucien G. Canton, CPP James P. Carino, Jr., CPP
Sue Carioti James S. Cawood, CPP, PCI, PSP Steve Chambers, CPP, PSP
Richard E. Chase, CPP John C. Cholewa, III, CPP Tom M. Conley, CPP
Geoffrey T. Craighead, CPP Michael A. Crane, J.D., CPP Bruce A. Dean, CPP
Fritz X. Delinski Edward P. De Lise, CPP David A. Dobbins, PSP
Colin Doniger, CPP, PSP Clifford E. Dow, CPP Christina M. Duffey, CPP
Brandon Dunlap Nick Economou Cheryl D. Elliott, CPP, PCI
James W. Ellis, CPP, PSP William R. Etheridge Gregory Alan Ewing, CPP, PSP
Kenneth G. Fauth, CPP Lawrence J. Fennelly Donald J. Fergus
Eugene F. Ferraro, CPP, PCI James H. Fetzer, III, CPP Michael T. Flachs, CPP
Linda F. Florence, Ph.D., CPP Richard H. Frank, CPP Kenneth M. Freeman, CPP
Peter J. French, CPP Mary Lynn Garcia, CPP John W. Gehrlein, CPP
Eva Giercuszkiewicz, MLS Gregory A. Gilbert, CPP Frederick G. Giles, CPP
Timothy D. Giles, CPP, PSP David H. Gilmore, CPP Christopher Giusti, CPP
Leo Gonnering, PSP Brian D. Gouin, PSP Richard P. Grassie, CPP
Benjamin P. Greer Steven R. Harris Ronald D. Heil, CPP
Ed Heisler, CPP, PSP Richard J. Heffernan, CPP Chris A. Hertig, CPP
William T. Hill, CPP Ronald W. Hobbs, CPP Mark D. Hucker, CPP
W. Geoffrey Hughes, PCI John L. Hunepohl Gregory L. Hurd, CPP
Gregory W. Jarpey, PSP Sheila D. Johnson, CPP, PSP Thomas R. Jost
Diane Horn Kaloustian Cathy M. Kimble, CPP R. Michael Kirchner, CPP
Glen W. Kitteringham, CPP Michael E. Knoke, CPP Terrence J. Korpal
James M. Kuehn, CPP David Lam, CPP Rich LaVelle, PSP
Robert F. Leahy, CPP, PSP Robert E. Lee Jeff Leonard, CPP, PSP
Todd P. Letcher Emblez Longoria, CPP, PSP Cynthia Long
Richard E. Maier, CPP Loye A. Manning, CPP, PSP Robert L. Martin, CPP
Ron Martin, CPP Roger B. Maslen, CPP Judith G. Matheny, CPP
Edward F. McDonough, Jr., CPP Richard A. Michau, CPP Bonnie S. Michelman, CPP
Owen J. Monaghan, CPP Wayne Morris, CPP, PSP Patrick M. Murphy, CPP, PSP
Carla Naude, CPP James W. Nelson Robert L. Oatman, CPP
Gerald A. O’Farrell, CPP Peter E. Ohlhausen Leonard Ong, CPP
Harm J. Oosten, CPP S. Steven Oplinger Denis A. O’Sullivan, CPP
Jaime P. Owens, CPP Gerard P. Panaro, J.D. James F. Pastor, Ph.D.
David G. Patterson, CPP, PSP John T. Perkins, CPP Karl S. Perman
Kevin E. Peterson, CPP Charlie R. A. Pierce Doug Powell, CPP, PSP
Patrick K. Quinn, CPP Roy A. Rahn, CPP John D. Rankin, CPP
William G. Rauen, CPP David L. Ray, LL.B. Joseph Rector, CPP, PCI, PSP
Ty L. Richmond, CPP Lisa M. Ruth Jeffrey J. Ryder, Jr., CPP, PSP
Mark A. Sanna, CPP Stephen Saravara, III, J.D., CPP Charles A. Sennewald, CPP
Dennis Shepp, CPP, PCI Shari Shovlin Marc Siegel, Ph.D.
Laurie Simmons, CPP, PSP Dennis Smith, CPP Stan Stahl, Ph.D.
Paul J. Steiner, Jr., CPP Pamela M. Stewart, PCI Dan E. Taylor, Sr., CPP
Lynn A. Thackery, CPP, PSP Mark L. Theisen, CPP Dave N. Tyson, CPP
Joann Ugolini, CPP, PSP Darleen Urbanek Mike VanDrongelen, CPP, PCI, PSP
Karim Vellani, CPP Barry J. Walker, CPP Michael W. Wanik, CPP
Roger D. Warwick, CPP Fritz Weidner Richard C. Werth, CPP
Allan R. Wick, CPP, PSP Anthony S. Wilcox, CPP Donald S. Williams, CPP
Reginald J. Williams, CPP Richard F. Williams, CPP Timothy L. Williams, CPP
Gavin Wilson, PSP Coleman L. Wolf, CPP Loftin Woodiel, CPP
Richard P. Wright, CPP Allison Wylde Richard Y. Yamamoto, CPP
Scott S. Young, CPP
This page Intentionally left blank.
This page Intentionally left blank.
 CAPÍTULO 1
PERROS EN LA PROTECCIÓN DE
ACTIVOS

Por muchos años los perros se han utilizado eficazmente en aplicaciones militares, policiales y en seguridad. Al planificar un sistema de protección, los
profesionales de la seguridad debiesen considerar las capacidades únicas de los perros, así como también sus limitaciones.

Los perros, tanto los salvajes como los domésticos, son cuadrúpedos carnívoros con cuatro garras no retráctiles en cada pata delantera y cuatro en cada pata
trasera, y tienen una cabeza estrecha que forma un hocico. Junto con los lobos, chacales y zorros, los perros pertenecen a la familia de los cánidos. La vida
media del perro doméstico–canis familiaris es de alrededor de 12 años, pero algunas razas de perros pueden vivir 20 años o más si son bien cuidados, y con
una atención médica que ayude a prolongar su vida.

El Kennel Club Americano reconoce más de 150 razas de perros, las que están clasificadas en ocho grupos o clases: deportivos, de caza, de trabajo, terrier,
mascota (toy), no deportivas, de pastoreo y misceláneas. En aplicaciones de seguridad suelen utilizar perros de los grupos de trabajo y pastoreo, aunque
también se usan otros. Lo más relevante es la motivación general del perro una vez que ha sido entrenado para el trabajo de seguridad.

Los perros en el grupo de trabajo son criados para realizar labores tales como el cuidado de una propiedad, tirar de los trineos de rescate y realizar rescates
acuáticos. Las razas en este grupo incluyen akita, alaskan malamute, perro de montaña bernés o boyero de berna, bóxer, bullmastiff, dóberman, gran danés,
gran pirineo, komondor, kuvasz, mastín1, terranova (newfoundland), perro de agua portugués (cão de água português), rottweiler, san bernardo, samoyedo,
husky siberiano y schnauzer estándar.

Los perros en el grupo de los pastores comparten una gran capacidad de controlar el movimiento de otros animales. Las razas en este grupo incluyen el
pastor ovejero australiano, pastor australiano, collie barbudo, malinois belga, pastor belga, tervuren belga, border collie, boyero de flandes, pastor de brie,
perro de canaán, collie, pastor alemán, pastor inglés, puli, pastor de shetland, y corgi galés.

1.1 HISTORIA

En tiempos ancestrales, los griegos y romanos usaron perros grandes, tipo mastín, con armaduras y collares de cuero con cuchillas durante la guerra
para atacar y en general alterar las líneas enemigas. Tras el descubrimiento de la pólvora, los perros fueron utilizados en operaciones militares
principalmente como centinelas, exploradores y mensajeros, y para vigilar a los presos y suministros. Durante la Segunda Guerra Mundial, el
ejército de Estados Unidos utilizó cerca de 10.000 perros. Hoy en día, las fuerzas armadas de todo el mundo siguen usando perros para muchas
tareas.

El uso organizado de perros en el cumplimiento de la ley data de al menos 1899, cuando la ciudad de Gante, Bélgica, estableció un programa de
capacitación en la aplicación de la ley para los perros. En 1906, la policía utilizaba 50 a 60 perros en esa ciudad. Alrededor de 1910, los perros eran
usados para el cumplimiento de la ley por los organismos policiales de Inglaterra y Alemania. En 1956, el Departamento de Policía de Baltimore
comenzó un programa experimental, siendo pionero en el uso policial de perros en Estados Unidos. Los perros son usados ahora habitualmente por
agencias policiales de todo el mundo.

Funciones de protección comunes para las que los perros pueden ser entrenados en operaciones de seguridad privada incluyen las siguientes:

• ataques agresivos
• búsquedas en edificios
• detección de explosivos y aceleradores incendiarios (substancias que estimulan los incendios)
• detección de drogas
• vigilar o mantener a una persona en un lugar
• protección o patrullaje de áreas, con o sin guías
• rastreo

1.2 COMPORTAMIENTO DEL PERRO Y CARACTERÍSTICAS DE MOTIVACIÓN

1.2.1 IMPULSOS INSTINTIVOS

Dos instintos básicos prevalecen en el uso de perros para tareas de seguridad –el instinto de caza y el instinto de manada. El instinto de caza es el
impulso de los perros por cazar, perseguir y atrapar una presa. Es un requerimiento básico para que los perros sean de utilidad para los profesionales
de seguridad. Este instinto tiene que estar presente para llevar a cabo las tareas de detección y protección. En un perro sin adiestramiento este
instinto está usualmente asociado a obtener alimento; a través del adiestramiento, este instinto puede ser canalizado para ayudar al perro a perseguir
 y ubicar otros ítems, tales como drogas o niños perdidos. Asociado con el instinto cazador está la capacidad depredadora natural del perro. Los
perros pueden ser entrenados para atacar humanos sin considerar su propia seguridad. Con adiestramiento, el instinto natural del perro es asociado
con el deseo de una recompensa.

El instinto de manada es la propensión de los perros a operar en grupos o manadas. Cuando es domesticado, el perro adopta a humanos como
miembros de su manada y defiende a la manada y al territorio que la manada ocupa. El can ideal es uno con instintos iguales de caza y manada.

1.2.2 SENTIDOS
Los humanos y los perros tienen los mismos sentidos básicos, pero algunos de los sentidos de los perros son mucho más agudos y desarrollados. En
seguridad, los sentidos del olfato y audición son más importantes, no tanto los de vista y tacto.

Durante la etapa de impronta del adiestramiento, un perro debe ser enseñado a confiar en el olfato en vez de la vista. Esto es especialmente
verdadero cuando se les enseña a rastrear edificios. Un perro que ha sido condicionado a atacar un señuelo debe ser reentrenado y condicionado para
encontrar un señuelo escondido utilizando el olor de la persona. Los perros deben ser condicionados para usar los medios más rápidos y fáciles para
satisfacer sus necesidades básicas. Por ejemplo, si la presa es una persona escondida, el perro aprende que si busca por el olfato más que por la vista,
obtendrá más rápido la recompensa deseada.

• Olfato. La capacidad de un perro para detectar olores es usualmente descrita como 100 veces superior a la de los humanos, aunque el grado
específico de diferencia probablemente no puede ser probado. Independientemente de eso, la capacidad de un perro para detectar olores es
mucho mayor que la de los humanos, y algunas razas tienen un sentido del olfato realmente extraordinario.

A diferencia de los humanos, que dependen más de la vista, los perros se abren camino a través de su entorno por el sentido del olfato. Para un
perro el olfato es un sentido primario. El poderoso sentido del olfato le permite a los perros buscar muchos objetos diferentes (incluyendo
cuerpos y substancias) tanto en edificios como en espacios abiertos, aun si el olor está enmascarado. Cuando el aire que respira un perro
contiene partículas olorosas, el perro comienza a olfatear, aumentando la cantidad de aire en su nariz y sobre las zonas con un mayor suministro
de nervios que detectan olores.

Un perro puede detectar olores a grandes distancias. Por ejemplo, un perro entrenado puede sentir en el aire el olor de un intruso a más de 250
yardas de distancia. Más aún, los perros pueden distinguir entre olores que a los humanos les parecen idénticos. Esta capacidad permite que los
perros sean entrenados para reconocer y detectar una gran variedad de materiales básicos.

• Audición. La agudeza auditiva de un perro supera con creces a la humana, tanto en rango como en tono. El límite superior de frecuencia de los
perros es aproximadamente el doble del de los seres humanos, llegando a 30,000Hz o más. La constante percepción de sonidos que no son
detectados por el oído humano es fácilmente observable en un perro. El sentido de la audición del perro es el medio principal de comunicación
que utiliza su guía. Algunos perros parecen entender los sentimientos y los deseos de sus guías, ya que se transmiten mediante la voz. Por lo
general, un perro puede aprender rápidamente a asociar el sonido y el tono de una palabra con la acción esperada.

• Vista. En general, la visión de un perro no puede ser comparada favorablemente con la de un humano normal. Es ampliamente sostenido que
los perros no ven en colores y que su claridad visual es débil. Sin embargo, la capacidad de un perro para detectar movimiento es significativa y
el perro generalmente estará capacitado para alertar satisfactoriamente a su guía si hay movimiento.

• Tacto. La sensibilidad de los perros al tacto es utilizado primariamente durante el adiestramiento, cuando el animal es recompensado o
corregido físicamente. Existe una gran variación entre los perros en relación a su respuesta al sentido del tacto. Algunos perros responden a una
caricia o corrección física, mientras que otros parecen ser bastante insensibles a ellas. La sensibilidad de un perro al tacto se puede determinar
cuando es acariciado o corregido.

1.2.3 INTELIGENCIA

Los perros son más inteligentes que muchos otros animales, excepto humanos y primates no humanos. Un perro puede ser entrenado para responder
efectivamente a un largo número de palabras habladas. La inteligencia de un perro se mide en términos de la rapidez con la que aprende una orden,
el tiempo en que conserva la orden y el instinto del perro de seguir la orden. Un vocabulario de alrededor de 20 palabras es la norma bajo
condiciones de trabajo habituales; sin embargo, algunos perros han sido entrenados para responder hasta 200 órdenes verbales.

Un perro puede ser considerado altamente inteligente si es inusualmente capaz de aprender rápido a través de la experiencia. Algunos perros
aprenden rápido, pero son difíciles de entrenar, porque se ponen de mal humor o son tercos. Algunos perros responden sólo a un guía que les gusta.
Cada perro se diferencia en cuánto quieren complacer a su manada.

1.2.4 SENSIBILIDAD
La sensibilidad es el grado y tipo de reacción a un estímulo dado. Un perro hipersensible puede sobresaltarse por un estímulo de menor intensidad
que el que se requiere para perturbar a un perro menos sensible. La respuesta de un perro hipersensible puede ser de timidez o miedo, mientras que
un perro menos sensible puede simplemente girar la cabeza o no mostrar ninguna reacción en absoluto. Las sensibilidades a diferentes estímulos son
independientes; un perro que se encoge cuando se le da una reprimenda oral puede mostrar poca respuesta a la corrección física severa. Por otra
parte, las características del entrenador afectan la respuesta de un perro. Un perro puede responder a una voz del entrenador en particular, pero no a
 su toque. En términos de sensibilidad, los perros se dividen generalmente en tres grupos principales:

• Perros hipersensibles. Si un perro reacciona excesivamente a un estímulo dado, puede ser hipersensible. Un perro hipersensible no podrá
demostrar su inteligencia en ninguna forma realmente útil. Los perros que son hipersensibles al sonido, tacto o ambos, son difíciles de entrenar
y son considerados poco confiables. Ellos se pueden echar o temblar, como si tuviesen miedo al ser acariciados. Usualmente estas
características están relacionadas con eventos que sucedieron antes que el perro fuese adquirido para tareas de seguridad. En cualquier caso, un
perro así es poco probable que sea utilizable para el trabajo en protección de activos.

• Perros menos sensibles. Un perro que es menos sensible tanto al sonido como al tacto, es generalmente difícil de motivar a través del estímulo
negativo (corrección) o estímulo positivo (recompensa). Si el perro es menos sensible al sonido, puede que no reaccione a las órdenes dadas por
el guía; si es menos sensible al tacto, puede que no reaccione cuando es acariciado y puede no interpretar el afecto como una recompensa.

• Perros moderadamente sensibles. Un perro moderadamente sensible tiene una sensibilidad normal tanto al sonido como al tacto. Con
adiestramiento adecuado, el perro probablemente responderá a órdenes manuales u órdenes vocales. La destreza con la que sea controlado es el
factor decisivo en cuán bien se desempeñará. Entrenado en forma adecuada, un perro con una sensibilidad moderada se considero ideal para el
trabajo de protección.

1.2.5 ENERGÍA

Los perros varían en la cantidad de energía que demuestran en sus movimientos generales. Algunos son perezosos y se mueven poco, a menos que
sea requerido, mientras que otros están siempre en movimiento. Un perro entre los extremos es generalmente considerado como el más adecuado
para el trabajo de protección. Energía por sobre la media no es particularmente necesaria ni conveniente; perros que poseen este rasgo por lo general
pueden ser entrenados para controlarlo. Un perro con poca energía normalmente es difícil de entrenar.

1.2.6 AGRESIVIDAD

La agresividad no debe ser confundida con energía. Un perro agresivo es uno que es propenso a atacar a cualquier persona o cosa que es percibida
como disponible para el ataque, que invada su espacio. En términos de agresividad, la que está relacionada con los instintos de caza y de manada,
los perros se pueden categorizar de la siguiente manera:

• Perros híper-agresivos. Cuando un perro híper-agresivo ve un agitador, el perro usualmente se vuelve muy excitado, tira en el extremo de su
correa, ladra y continúa ladrando incluso después que el agitador desapareció. Se debe ejercitar la prudencia al trabajar con un perro híper-
agresivo, porque puede intentar morder a cualquiera que esté a su alcance durante un período de excitación. El adiestramiento se debe enfocar
en controlar a estos perros, más que estimularlos. Los perros híper-agresivos son difíciles de adiestrar.

• Perros poco agresivos. Un perro que se queda quieto o es indiferente a un agitador no es necesariamente un perro poco agresivo. El perro
simplemente puede no percibirlo como amenaza. Un perro de verdad poco agresivo reacciona ante un agitador que se aproxima con miedo,
escondiéndose detrás de su guía o intentando escapar. Tales perros son difíciles, sino imposibles de adiestrar.

• Perros moderadamente agresivos. Perros moderadamente agresivos son los más fáciles de adiestrar y son ideales para el uso en protección de
activos. Al ver un agitador, el perro se pone en alerta, muestra sospechas del agitador y exhibe un deseo de moverse hacia el agitador.

1.2.7 DISPOSICIÓN

La disposición hace referencia a la respuesta de un perro a las órdenes, su actitud al realizar tareas y su reacción respecto al aprendizaje de nuevas
tareas. Un perro es clasificado como alto en disposición si responde continuamente a una orden en un esfuerzo por cumplirla, a pesar que la
recompensa o la corrección no sea percibida fácilmente como inmediata. La disposición no es lo mismo que la inteligencia o la fuerza; es el deseo
de realizar una tarea.

Un perro que debe ser constantemente persuadido o castigado es considerado un perro poco dispuesto a trabajar. Un perro reacio a trabajar puede
distinguir entre trabajo y juego. Durante el período de juego, el perro puede sentir placer en traer o buscar objetos o en saltar. Sin embargo, cuando
se reinicia el adiestramiento, el perro podría estar poco dispuesto a obedecer órdenes.

La disposición de un perro puede ser aumentada o retardada por el guía. Si el guía no tiene paciencia, el perro puede trabajar voluntariamente
durante los primeros minutos de un periodo de adiestramiento, pero de mala gana en lo que resta.

1.2.8 MOTIVACIÓN

A diferencia de la mayoría de los animales, un perro no siempre requiere de recompensas tangibles o incentivos especiales, tales como comida, para
trabajar o para ser adiestrado. La amabilidad, mostrada con la alabanza oral o una caricia casual, es usualmente suficiente para motivar a un perro.
Más que cualquier otra forma de recompensa, un perro quiere aprobación de su guía –probablemente debido a su instinto de manada.

Un perro tiene una tendencia natural a apegarse y a buscar la compañía de su guía. Este apego crece en la medida que el guía lo alimenta, limpia,
 adiestra y trabaja con él. A través del uso apropiado de principios de adiestramiento canino, el perro aprende a distinguir entre alabanza y
corrección. Una relación de amistad y confianza entre perro y guía es la motivación necesaria para adiestrar al perro para que se vuelva altamente
eficiente.

Una recompensa tangible –como un trozo de comida- no se debe dar de manera rutinaria después que el perro ha ejecutado un comando
correctamente. Hacerlo puede llevar a una dependencia de tal recompensa y el perro la esperará aún cuando la comida no esté disponible.

1.3 CUIDADOS DEL PERRO

El entorno, alimentación y atención médica son factores críticos para mantener un perro sano y efectivo. Una atención inadecuada de estos factores
pueden volver a un animal espléndido en uno no apto.

1.3.1 CANILES

Salud, comodidad y seguridad deben ser consideradas al planear la ubicación, construcción y mantención de un canil (perrera). Los siguientes
criterios son de especial importancia:

• Ruido. Un perro utilizado para actividades de protección debe estar bien descansado para estar alerta y ser eficiente durante el trabajo. Un perro
continuamente distraído por ruido exterior en la zona del canil no puede descansar, y por lo tanto su desempeño se verá afectado. La instalación
del canil no debiese estar ubicada en un área en que el nivel de ruido promedio, para un período de 24 horas, supere los 75 decibeles. Los
caniles deben estar al menos entre 150 a 200 yardas (137 a 183m) de áreas residenciales o comerciales para minimizar los ruidos distractores.
Para reducir aún más los ruidos y otras distracciones, barreras naturales –tales como cerros, árboles y arbustos grandes- deben ser ubicados
entre las áreas construidas y el canil. Barreras artificiales pudiesen ser necesarias mientras crecen los arbustos a la altura y densidad apropiadas,
o cuando no hay barreras naturales disponibles.

• Drenaje. Los caniles deben construirse sobre el nivel del suelo en una plataforma elevada y situada en suaves pendientes para eliminar
cualquier posibilidad de agua estancada en la zona. Para reducir la contaminación cruzada, el sistema de drenaje debiese estar diseñado para
que cada canil desagüe de forma independiente.

• Suministro de agua. Un adecuado suministro de agua es necesario para aseo y para beber. Puesto que el agua impura es fuente de
enfermedades para perros y guías, el suministro de agua debiese ser aprobado para consumo humano. Además, el adecuado suministro de agua
debe estar disponible para protección contra incendios.

• Protección contra incendios. Extintores de fuego del tipo de agua (Clase A) son los que generalmente se usan en áreas de caniles, con un
extinguidor para cada 2.500 pies cuadrados (232 metros cuadrados) de espacio en el piso en el canil e instalaciones de apoyo2. Los
requerimientos debiesen ser revisados con las autoridades de bomberos locales. El acceso al sitio del canil por bomberos debe ser considerado
al seleccionar la ubicación. También son apropiados los rociadores automáticos con agua limpia. Los sistemas químicos pueden ser tóxicos
tanto para perros como para humanos.

• Iluminación, ventilación y calor. Iluminación adecuada es necesaria para operaciones nocturnas y seguridad ocupacional (safety3). También
se pueden proporcionar ventiladores de techo que pueden ser abiertos y cerrados. Cualquier otra abertura exterior debe ser diseñada para que se
pueda cerrar. Cables de calefactores eléctricos pueden ser incrustados en el concreto para proveer de calor durante climas fríos. La temperatura
ideal varía entre las razas, pero generalmente un canil debería estar en el rango de 60 a 75 grados Fahrenheit (15.5 a 23.0 grados Celsius) con
una humedad relativa de 40 por ciento.

• Áreas relacionadas con los caniles. Por lo general se necesitan “pistas” exteriores para los perros. Una cerca de tela metálica de 8 pies (2,4
metros) de alto rodeando el canil es adecuada para contener a la mayoría de los perros. Sin embargo, los perros que pueden trepar cercas
requieren de una jaula cerrada. En la cerca perimetral debería colocarse señalética instruyendo a los individuos no autorizados a no ingresar al
área.

• Higiene. Los caniles deben mantenerse en condiciones higiénicas. Todos debiesen ser cuidadosamente aseados a diario. Además, los caniles
debieran ser desinfectados periódicamente de acuerdo a instrucciones de un veterinario. Las deposiciones son una fuente común de infecciones
y deben ser retiradas de los pistas con la frecuencia que sea necesaria y siempre antes que los caminos sean aseados, para evitar contaminar
otras áreas. El método para disponer de las deposiciones depende de las condiciones locales y el tipo de sistema de alcantarillado. Si se retiran
en latas, las latas debiesen ser aseadas y desinfectadas después de cada uso. Tampoco se debe permitir que se acumulen desechos y basura,
puesto que pueden atraer ratas e insectos. En regiones donde los mosquitos son un problema, se deben tomar medidas de control alrededor de
zanjas y áreas de pantanos cercanas a los caniles.

• Mantenimiento. Un mantenimiento preventivo apropiado de los caniles resultará en una manutención más fácil y menos costosa. Los guías
debiesen inspeccionar cada canil diariamente. Bisagras sueltas o desgastadas en puerta o portón deben ser reemplazadas o reparadas, e
inspeccionar los costados del canil y los contenedores de agua.

• Área de alimentación. El área de preparación de alimentos debe mantenerse limpia. Los recipientes de agua y comida deben ser aseados a
diario, y cualquier utensilio usado para preparar comida debe ser lavado inmediatamente después de utilizarlo. Si se usa comida enlatada, los
abrelatas deben mantenerse limpios. La comida deshidratada debe ser guardada en contenedores a prueba de roedores e inspeccionados por
 contaminación antes de alimentar a los perros.

1.3.2 ASEO

El aseo cumple un doble propósito. Es esencial para el cuidado del perro y ayuda a forjar la unión entre el perro y su guía. El aseo a fondo es
necesario para la piel y pelaje del perro y se debe hacer rutinariamente, preferentemente de día. Se debe dar al perro un masaje ligero primero, con
las yemas de los dedos moviéndose a contrapelo del sentido de los granos del cabello. Esto suelta cualquier piel muerta, pelo o suciedad y lo lleva a
la superficie. También masajea la piel. Luego el guía debe realizar un cepillado suave y cuidadoso en el sentido de los granos del pelaje. Este paso
ayuda a distribuir el aceite natural y entrega al abrigo una apariencia brillante. Ocasionalmente, el pelaje de perro debe ser peinado y examinado en
busca de garrapatas, rebabas, cortes, abrasiones y grumos.

El baño no forma parte del aseo rutinario, pero puede ser necesario ocasionalmente. La piel de un perro tiene muchas glándulas y produce una
sustancia oleosa que mantiene la piel suave y repele el agua. Baños excesivos pueden conducir a sequedad en la piel, resultando en una variedad de
enfermedades de la piel. El guía debiese preguntarle a un veterinario sobre la frecuencia adecuada de baños, tipo de jabón y protección de los ojos y
orejas del perro. Un enjuague minucioso después del baño es importante, puesto que si queda jabón en el pelaje, se vuelve pegajoso, acumula
suciedad y puede ser causa de irritación de la piel. Después que el perro ha sido cuidadosamente secado con toallas, en un clima cálido, puede ser
ejercitado suavemente al sol para completar el secado. Un perro no debe ser bañado en climas fríos o húmedos, a menos que pueda mantenerse en
un lugar cálido hasta completar su secado.

1.3.3 INSPECCIONES

Durante el aseo regular, cada parte de la anatomía del perro debiese ser revisada en busca de indicios de enfermedad o lesiones. Con el tiempo, el
guía adquirirá una noción de cómo el perro debería verse y cómo debiese actuar si está sano. El guía sabe qué es normal para cada perro en
particular, cómo se ve su pelaje, cuántas deposiciones tiene cada día y cuánto come rutinariamente. Por ejemplo, el guía debería poder discernir si el
animal no comió toda su comida en uno o dos días, si está sufriendo pérdida de pelo o si tiene la piel enrojecida en alguna área de su cuerpo, o si
tiene descargas por su nariz.

Cuando un guía nota cualquier cosa anormal respecto de la apariencia o acciones del perro, ella o él debe contactar a un veterinario inmediatamente.
La detección temprana de una enfermedad o lesión mejora las posibilidades de recuperación, así como un tratamiento no uniforme puede hacer más
daño que bien. Los siguientes son los principales elementos de inspección:

Ojos
Se debe tener cuidado de no herir los ojos del perro al examinarlos. Las enfermedades del cuerpo están frecuentemente acompañadas de cambios en
los ojos, y muchas enfermedades afectan sólo a los ojos. Normalmente, los ojos de un perro son brillantes y claros, mientras que las membranas que
los rodean tiene un color rosáceo sano. Síntomas de anormalidad incluyen los siguientes:

• decoloración rojiza o amarillenta de las membranas y la esclerótica (parte blanca) de los ojos
• palidez de las membrana del ojo
• descargas blanquecinas o amarillentas de los ojos
• nubosidad u otra decoloración de la parte clara de los ojos
• hinchazón de los párpados
• cierre parcial o completo de los párpados
• membranas que cubren la córnea más de lo normal

Orejas
La parte externa erecta de la oreja se llama aleta del oído. A continuación hacia abajo desde la base de la aleta del oído está el canal del oído. La
porción del canal que se puede ver a simple vista se conoce como el canal vertical; la porción más profunda, que no puede ser vista, es el canal
horizontal. Pequeñas cantidades de cera de color marrón se ven con frecuencia en el canal vertical, y esto es normal. Para descartar problemas, los
oídos deben ser revisados por el veterinario, incluso cuando pareciesen necesitar sólo de limpieza. El guía no debe sondear en el canal auditivo con
ningún objeto. Se debe informar al veterinario de cualquiera de los siguiente síntomas de anormalidad en las orejas:

• decoloración rojiza, hinchazón o una gran cantidad de descarga en el canal auditivo

• mal olor proveniente de los canales
• sacudidas de cabeza
• sostener la aleta de la oreja hacia abajo
• sostener la cabeza hacia un lado
• espasmos de la oreja
• rascarse o manosearse la oreja
• evidencia de dolor cuando la oreja es tocada

Nariz
El guía no debe sondear en la nariz del perro con ningún objeto. La almohadilla negra al final de la nariz del perro es generalmente brillante y
húmeda. Una nariz persistentemente seca y sin brillo puede ser un síntoma de enfermedad. Otros síntomas de anormalidad incluyen los siguientes:

• secreción acuosa, amarillenta o teñida de rojo

 • estornudar, resoplar y rascarse con las patas la nariz

Boca
Normalmente las encías y la parte interior de los labios son de un rosado saludable, mientras que los dientes son de un blanco firme y reluciente.
Dientes sueltos o quebrados, acumulación de sarro y objetos extraños entre los dientes requieren de la atención de un veterinario. Los guías no
deberían olvidar que los perros requieren atención dental periódica para prevenir la pérdida de dientes y enfermedades periodontales. Síntomas de
enfermedad incluyen los siguientes:

• palidez de las encías • llagas

• babeo persistente • arcadas o manotadas (pawing) en la boca

• saliva ensangrentada

• mal aliento

Pies
El cuidado apropiado de los pies es esencial para que un perro se desempeñe efectivamente. Los pies debiesen ser revisados en búsqueda de objetos
extraños que pueden quedar atrapados en las almohadillas, así como también por cortes, moretones o abrasiones en las almohadillas.

En climas fríos, los perros de pelaje largo deben tener los pelos de las patas recortados para facilitar la remoción de nieve y limpieza. La sal de roca
(rock salt) y otros productos químicos pueden ser irritantes para las almohadillas de las patas. Si el perro trabaja en áreas donde se utilizan
compuestos para derretir hielo, las patas deben enjuagarse y secarse meticulosamente después del contacto para evitar la irritación.

Los perros generalmente mantienen sus uñas al largo apropiado, de manera que las puntas de las uñas no tocan el suelo cuando están de pie. Sin
embargo, en ocasiones las uñas crecen tanto que interfieren con el trabajo del perro. Se debe poner atención con cualquier uña demasiado larga,
quebrada o partida. Los guías no deben descuidar las uñas en los espolones –las garras internas- puesto que no se desgastan por contacto con el
suelo y pueden crecer hasta que se encorvan devuelta hacia la pata del perro.

Piel y Pelaje
Si el perro está bien alimentado y cepillado, su pelaje tendrá un aspecto brillante y la piel será suave y flexible. El pelaje está sujeto a cambios en la
apariencia cuando el clima y la estación cambia, por lo que se espera que peleche (pérdida o cambio de pelaje) en estaciones cálidas y un
engrosamiento en estaciones frías. Siempre se debe revisar el pelaje en búsqueda de pulgas, garrapatas y piojos. Señales de anormalidades en la piel
incluyen las siguientes:

• enrojecimiento
• costras
• rascado persistente
• pelechar en forma anormal para la estación o el clima
• pérdida de pelo en uno o más puntos
• sequedad
• pérdida de flexibilidad

Extremidades
Las patas de un perro también deben ser inspeccionadas para buscar heridas, inflamación o llagas. En las patas delanteras normalmente hay un área
en el lado exterior de cada codo conocido como callo. Esta es un área sin pelo, en la que la piel se ha engrosado en una pulgada de diámetro
aproximadamente. Si el callo se inflama debe ser tratado por un veterinario.

Genitales
En un perro macho el pene es sujeto de una variedad de lesiones. Se debe llamar a un veterinario para inspeccionar cualquier secreción en el pene o
la vaina, sangrado del prepucio o inflamación, enrojecimiento o formación de costras en el escroto. En una perra, generalmente no hay secreciones
de la apertura externa del aparato genital. Debiese consultarse a un veterinario por enrojecimiento de la vulva o de la piel en esa área o de
secreciones de la vulva.

Región Anal
A cada lado del recto, cerca del ano, hay un pequeño saco conocido como el saco anal. Estos sacos son una fuente frecuente de problemas. El guía
debe revisar buscando cualquier inflamación o enrojecimiento de la piel en esta área o en el ano mismo. Cuando los sacos anales necesitan ser
vaciados o se infectan, el perro puede tender a morder la zona o deslizarse por el suelo en una posición sentada. Esto indica un problema que
requiere de la atención de un veterinario.

Temperatura
La temperatura de un perro se determina en forma rectal y es uno de los mejores indicadores de su salud. Normalmente la temperatura corporal es
de entre 101 a 102 grados Fahrenheit (38.3 a 38.9 grados Celsius). Las variaciones fuera de este rango frecuentemente son indicios de una
enfermedad. Sin embargo, algunas variaciones en la temperatura pueden no ser anormales después del ejercicio o agitación. Un veterinario debiese
ser consultado cuando suceden variaciones inesperadas o cuando las variaciones son más largas que lo normal.

Funciones corporales
Alteraciones de la respiración y la digestión se acompañan de muchos síntomas, tales como letargo en un perro normalmente activo, u hostilidad en
un perro normalmente amigable. El guía tiene que estar alerta a estas condiciones.
 Se debe señalar cualquier cambio en el apetito, sed, o en la manera de respirar, por ejemplo, una cantidad de jadeo inusual. Pueden producirse
vómitos o cambios en la naturaleza de los contenidos intestinales, como lo evidencian las deposiciones blandas o acuosas. También se puede ver
sangrado en el vómito o las deposiciones. Si hay sangre en la orina, el guía debería poner atención si fue en la primera o última porción, o si se
distribuyó durante todo el vómito. El guía debe poner atención a la frecuencia de orinado y defecado y debiese notar cualquier incremento o
decrecimiento en la frecuencia.

Actitud
Uno de los mejores indicadores de la salud de un perro es su actitud. El guía, por lo general puede detectar un cambio en la actitud. Si un perro
comienza a estar inusualmente nervioso, muestra una pérdida en la vitalidad y energía o muestra un mayor deseo de dormir o está desatento, se debe
evaluar la condición física del perro.

1.3.4 ALIMENTACIÓN
Para una buena salud, un perro debe ser alimentado con una dieta apropiada, la que incluye un número adecuado de calorías. Las calorías requeridas
dependerán del peso y la actividad del perro, así como de las condiciones climáticas bajo las que el perro debe trabajar.

Los perros son carnívoros, pero requieren más que sólo carne en su dieta; ellos también necesitan vegetales y cereales. Como los humanos, los
perros necesitan carbohidratos, grasas, proteínas, vitaminas y minerales. Un perro requiere de 36 nutrientes para mantenerse en buena salud
(National Research Council, 1985, p.44).

Antiguamente los perros eran alimentados con los restos de comida o con cualquier alimento que fuese abundante en la región en la que vivían, pero
una dieta que no tiene un equilibrio nutricional enfermará al perro. Los productores de comida de mascotas ahora producen alimentos atractivos
para perros, que también son nutricionalmente completos. Los alimentos para perros deshidratados o blandos tienen normalmente los mismos
valores nutricionales. Ese valor puede ser determinado leyendo la etiqueta. En Estados Unidos, si la etiqueta indica que la comida es “equilibrada” o
“completa”, entonces cumple o supera los estándares establecidos por la Asociación Americana de Oficiales de Control de Alimentación (AAFCO
de ahora en adelante, por sus siglas en inglés). La AAFCO es una asociación de funcionarios reguladores del gobierno y representantes de los
fabricantes que provee de un foro para el desarrollo de los estándares y de las leyes de alimentación animal. La AAFCO conduce un programa de
muestreo analítico para ayudar a los laboratorios a mantener análisis precisos de los alimentos.

En Estados Unidos, a los fabricantes no se les exige listar en la etiqueta los 36 ingredientes especificados por el National Research Council. Sin
embargo, están obligados por la regulación federal y estadual a listar los ingredientes que efectivamente contiene. Los nutrientes requeridos pueden
obtenerse de muchas fuentes. Proteínas, por ejemplo, pueden obtenerse de harina de soja, levadura, pescado o queso cottage, mientras que los
granos como maíz o arroz pueden ser usados para proveer de carbohidratos.

También pueden ser necesarios suplementos vitamínicos y minerales en la dieta del perro. Si se espera buena salud y un buen desempeño, el perro
debe ser alimentado con la cantidad correcta de cada uno de los nutrientes requeridos. Si se agrega cualquier cosa, como sobras de comida, el
intrincado e interrelacionado equilibrio entre nutrientes puede ser alterado y la salud del perro puede ser influenciada en forma adversa. Si se
utilizan suplementos, un veterinario debiese prescribirlos. Siempre se debe proveer un adecuado suministro de agua limpia junto con la comida.

La cantidad de comida con que un perro debe ser alimentado puede medirse mediante la observación de la cantidad que el perro come con gusto. En
climas fríos, un perro que pasa mucho tiempo al aire libre, o un perro de trabajo, necesita calorías adicionales para regular su temperatura corporal.
Como regla general, los perros de un peso determinado debiesen ser alimentados con las siguientes tasas

Figura 1-1
Requerimientos de Alimentación Promedio

Los perros debiesen ser alimentados a la misma hora una vez al día, usualmente al término de su jornada de trabajo. Cada perro debe ser alimentado
en su propio plato, el que debe ser retirado y limpiado una vez que el perro ha terminado de comer. El alimento no debe estar servido más de 20 a 30
minutos. Si el perro no come en ese periodo, debe ser retirado. Hacer esto entrena al perro a comer cuando la comida se sirve.

Un perro también debiese ser entrenado para rechazar comida de extraños y a no comer comida que encuentre, por la posibilidad que puede tener
veneno. El adiestramiento de perros requiere de un experto, y el entrenamiento especializado para rechazar comida de extraños debe ser incluido
dentro de los ítems a enseñar por el adiestrador.

1.3.5 ENFERMEDADES Y SU PREVENCIÓN

Las siguientes son algunas de las enfermedades más comunes que pueden afectar el desempeño de un perro. Muchas de estas enfermedades se
pueden prevenir a través de la inmunización.

Enfermedades Contagiosas
Estas enfermedades son causadas por organismos microscópicos –tales como un virus o bacteria- transmitido entre animales (incluyendo humanos).
A continuación se presentan las enfermedades contagiosas más comunes que afectan a los perros:
 • Distemper canino. Una enfermedad viral generaliza, altamente contagiosa, y usualmente fatal, el distemper canino se presenta principalmente
en perros jóvenes o en perros viejos que no han sido inmunizados contra la enfermedad. Es un virus de transmisión aérea que se transmite
fácilmente de perro a perro. Esta enfermedad no afecta a los humanos. Algunos de los primeros síntomas son letargo, nariz seca y falta de
apetito.

• Hepatitis canina infecciosa. La hepatitis canina infecciosa, una enfermedad viral, se ve más comúnmente en cachorros, pero también puede
afectar a perros más viejos que no han sido inmunizados. La tasa de mortalidad por hepatitis no es tan alta como la de distemper canino, pero la
recuperación es usualmente lenta. El virus se propaga a través de la orina de animales infectados. Puede contagiarse de un animal a otro por el
uso de utensilios de comederos o bebederos comunes que fueron contaminados con orina. El virus de hepatitis canina no causa hepatitis en
humanos.

• Leptospirosis. Conocida comúnmente como “lepto”, esta enfermedad es causada por una bacteria de forma espiral llamada espiroqueta y es
muy común en perros. Esta enfermedad también puede infectar a otros animales además de los perros, y puede ser transmitidas a los humanos.
La lepto se propaga a través de la orina de animales infectados, comúnmente perros o ratas. La comida y el agua del perro deben mantenerse sin
contaminar. El control de roedores es importante para prevenir el contagio de esta enfermedad. Si se sabe o se sospecha de la presencia de lepto
en un área, no se debe permitir a los perros entrar innecesariamente a los ríos, acequias u otros cuerpos de agua, puesto que el agua puede estar
contaminada con la orina de animales infectados. También, dada la posibilidad de contagio humano de lepto, aquellos a cargo de los perros
deben mantener una cuidadosa higiene personal a todo momento.

Un perro infectado con cualquier de las tres enfermedades precedentes –distemper, hepatitis o leptospirosis- por lo general exhibe uno o más de los
siguientes síntomas: temperatura elevada, pérdida de apetito, depresión, pérdida de peso, pérdida de energía, diarrea, vómitos, tos, secreción espesa
por los ojos y nariz, rigidez muscular o convulsiones. Cuando un perro exhibe alguno de estos síntomas u otros cambios en funciones corporales
normales, se debe notificar a un veterinario.

• Rabia. Al igual que la lepto, la rabia (hidrofobia) puede ser transmitida a humanos. El virus de la rabia en la saliva de animales infectados se
contagia a las personas a través de las heridas por mordeduras. La rabia afecta al sistema nervioso central de animales de sangre caliente y es
fatal si no es tratada. La muerte ocurre generalmente dentro de 10 días desde que el animal ha mostrado síntomas de la enfermedad. Los signos
pueden aparecer en humanos de tres a seis semanas después de una mordedura por un animal infectado. En Estados Unidos algunos de los
animales más comúnmente infectados son zorrillos, mapaches, murciélagos, zorros, perros, coyotes, ganado y gatos.

Los síntomas de la rabia en perros pueden incluir un abrupto cambio en la temperatura o actitud, chasquidos o mordeduras indiscriminadas,
excitación, dificultad al tragar agua o alimentos, expresión en blanco o vacía, mandíbula floja, babeo excesivo de la boca, parálisis, coma y
finalmente la muerte. Los animales salvajes rabiosos suelen perder el miedo a los seres humanos y animales domésticos.

• Enfermedad de Lyme. La enfermedad de Lyme es un síndrome infeccioso contagiado primariamente por una garrapata tan pequeña como el
punto al final de esta oración. Es causada por una espiroqueta que se transmite a animales y humanos por la mordida de esta garrapata. En
personas, la enfermedad puede parecer tan simple como un resfrío o tan grave como el mal de Alzheimer. Si no es tratada, puede llevar a daño
articular y complicaciones neurológicas y del corazón. En animales, la enfermedad asemeja los síntomas del resfrío o de la artritis crónica y
lleva a daño articular, complicaciones cardiacas y problemas a los riñones.

En Estados Unidos la enfermedad de Lyme ha sido reportada en 45 estados; no obstante, la enfermedad se concentra principalmente en el
Atlántico medio, noreste, norte central y en las regiones costeras del Pacífico. El mayor riesgo de infección por mordedura de la garrapata
ocurre entre mayo y septiembre. Existe un riesgo moderado en otoño y un riesgo bajo en invierno. Es importante recordar que no todas las
garrapatas portan la enfermedad de Lyme. Una mordedura de garrapata no significa necesariamente que la seguirá la enfermedad, y la pronta
eliminación de la garrapata reduce la posibilidad de transmisión de la enfermedad (el procedimiento apropiado para quitar una garrapata se
discute más abajo en “Parásitos Externos”).

Hay vacunas disponibles para perros y humanos para protegerse contra la enfermedad de Lyme. Se debiese consultar un veterinario sobre el
tratamiento de la enfermedad de Lyme en el área en que el perro duerme y trabaja.

• Otras enfermedades. Algunas enfermedades animales contagiosas para las que no hay vacunas disponibles son infecciones del tracto
respiratorio superior, neumonía y gastroenteritis. Los perros infectados con estas enfermedades pueden presentar síntomas similares a los
animales infectados con distemper, hepatitis infecciosa canina o leptospirosis. Los síntomas incluyen temperatura elevada, pérdida de apetito,
pérdida de energía, vómitos, diarrea y tos.

Enfermedades Parasitarias
Los perros también pueden ser afectados por infecciones parasitarias. Parásitos animales infestan animales de otra especie animal –llamada
huésped- para alimentarse del cuerpo del huésped. La mayoría de los parásitos que utilizan al perro de huésped son perjudiciales para su salud.
También, algunos parásitos del perro pueden contagiar organismos productores de enfermedades perjudiciales para los humanos. No son siempre
discernibles para el ojo inexperto y en ocasiones pueden estar presentes en un gran número antes de que el perro exhiba síntomas de su presencia.
Síntomas de infestación incluyen rascado frecuente, puntos de calvicie, o inflamación de la piel.

Parásitos Externos
Los parásitos externos causan daño por succionar la sangre desde la piel o, de hecho, por comer el tejido de la piel. El perro entonces muerde y rasca
las áreas irritadas, lo que puede conducir a infecciones de la piel severas y afectar drásticamente la capacidad de trabajo del perro. Los parásitos
externos que más comúnmente afectan a los perros son las garrapatas, pulgas, piojos y ácaros.

• Garrapatas. Estos son pequeños parásitos comunes en muchas partes del mundo. Ellas chupan sangre del perro, lo que lleva a una seria
pérdida de sangre. Las garrapatas son usualmente vistas sin movimiento con sus cabezas profundamente enterradas en la piel del perro. Las
 garrapatas son capaces de propagar una variedad de enfermedades por chupar la piel u otros fluidos de los tejido de un animal enfermo y luego
trasladarse a otro animal y enterrarse en su piel.

Quitar garrapatas requiere de mucho cuidado porque son capaces de transmitir enfermedades que pueden infectar a los humanos y porque la
piel de los perros se puede inflamar si la garrapata no es removida completamente. Al remover una garrapata, se deben usar los dedos o un par
de pinzas sobre la garrapata lo más próximo a la piel posible. La cabeza de la garrapata debe ser retirada de la piel por un tracción lenta y
suave.

Las garrapatas al fondo del canal de la oreja deben ser removidas sólo por un veterinario. Después de removidas, las garrapatas deben
eliminarse por inmersión en alcohol y luego botadas por el desagüe más cercano. El personal deberá lavarse las manos siempre después de
manipular garrapatas. En casos de situaciones de mordedura grave de garrapata puede ser útil preservar la garrapata muerta para que un
veterinario la inspeccione.

Cuando no están en perros, las garrapatas se pueden encontrar en aberturas en el piso, a los costados del canil o en el pasto o arbustos. Las
garrapatas pueden vivir fuera del cuerpo del perro por hasta un año. El control, entonces, requiere del tratamiento de los caniles y las áreas
circundantes con insecticidas. El uso de insecticidas debiese ser aprobado primero por un veterinario.

• Pulgas. Ellas irritan la piel del perro y transmiten enfermedades. Se arrastran o saltan a través del pelaje del perro. También se pueden transferir
a un huésped humano. A veces viven en grietas en el canil o en el pasto. Son una causa primaria de transmisión de la Tenia entre los perros.
Para controlar las pulgas es necesario asegurar que el canil se mantenga sanitario y que el perro y las áreas circundantes al canil sean tratadas
apropiadamente. Los perros infectados pueden requerir de inmersión en una solución especial para remover las pulgas.

• Piojos. Ellos también irritan la piel del perro. Los piojos mordedores viven del tejido del perro y los piojos chupadores succionan la sangre.
Cuando la succión de la sangre es extensa, puede provocar anemia y debilitar mayormente al perro. Los piojos son tan pequeños que
generalmente no son avistados. A menudo los perros con unos pocos piojos desarrollan mucho rascado, mientras que los que tienen a miles de
piojos pueden no rascarse a si mismos en lo absoluto. Los piojos mordedores usualmente están inmóviles y se paran perpendiculares a la piel.
Las hembras ponen huevos que eclosionan y se vuelven piojos adultos en sólo tres semanas. Los huevos de piojos (liendres) son objetos
pequeños con forma de media luna de color blanco o gris, amarrados a los pelos. Los piojos pueden vivir sólo un corto tiempo cuando no están
en el cuerpo de un perro.

• Ácaros del oído. Ellos viven en el canal de la oreja y causan irritación severa. Los perros afectados no sólo se rascan las orejas, sino que
también inclinan su cabeza hacia un costado. Los canales de las orejas usualmente contienen gran cantidad de una secreción cerosa de color
oscuro cuando los ácaros están presentes. Los ácaros del oído son pequeños, pero visibles a simple vista como diminutas motas blancas que se
arrastran.

Los ácaros que viven en la piel del animal se conocen como ácaros de la sarna. Dos tipos de sarna son comunes y pueden estar presentes en
cualquier época del año. La sarna demodecica, o sarna roja, es común en animales de pelaje corto y se caracteriza en etapas tempranas por
pequeñas áreas con pérdida de pelo y una apariencia roja e irritada. La sarna sarcóptica, o sarna (scabies), se caracteriza por picazón severa,
irritación y pérdida de pelo. Este tipo de sarna se puede transmitir a humanos y otros perros por contacto directo. Cualquier persona que trata un
perro afectado debe practicar una muy buena higiene personal. Los dos tipos de sarna son enfermedades de la piel serias, que pueden
transformarse en infecciones de la piel. Los ácaros de la sarna son muy pequeños para poder verlos a simple vista y sólo pueden ser observados
tomando un raspado de la piel de la zona infestada bajo un microscopio. Los ácaros, al igual que los piojos, pasan toda su vida en el perro.

Parásitos internos
Los parásitos internos viven en el cuerpo del perro y causan daño por irritación de tejido, constantemente le despojan sangre al cuerpo, robándole
nutrientes esenciales o interfiriendo con una acción corporal específica. Sólo una parte del ciclo de vida de los parásitos internos discutido aquí
sucede en el cuerpo.

• Anquilostoma. Estos parásitos, que viven en el intestino del perro, están entre los parásitos internos más dañinos. Son pequeños y filiformes,
de sólo la mitad a tres cuartas partes de una pulgada de longitud (13mm a 19mm). Ellos chupan la sangre y también causan pérdida de sangre
agarrando y desgarrando la pared intestinal con los múltiples anzuelos de su boca. Los anquilostomas hembras producen huevos que se pasan
en las heces de los perros infectados. Las larvas de anquilostomas inmaduros se desarrollan a partir de estos huevos. Las larvas entonces puede
infectar al mismo o a otro perro. La larva entra al cuerpo al penetrar la piel del perro o siendo tragado cuando el perro lame la tierra o la piel.
Después que las larvas entran al cuerpo pasan directamente al intestino o viajan a través de los tejidos del cuerpo a los pulmones. Aquellas que
llegan a los pulmones son estornudadas y luego tragadas, y así llegan al intestino. Una vez que están en el intestino, se convierten en
anquilostomas adultos, y el ciclo de vida comienza de nuevo.

Los perros infectados con anquilostoma pueden tener una variedad de síntomas. Membranas de la boca u ojos pueden estar pálidas, las
deposiciones blandas o ensangrentadas, o el animal puede estar perdiendo peso. Un veterinario debe examinar las heces de un perro infectado
al microscopio para encontrar huevos de anquilostomas. El control de los anquilostomas generalmente se logra dándole al perro un químico que
interrumpe el ciclo de vida de los gusanos.

• Ascárides. Estos parásitos también viven en el intestino4. Son más grandes que los anquilostomas, variando entre 2 a 8 pulgadas de largo
(51mm a 203mm). Su ciclo de vida es similar al del anquilostoma, pero sus huevos no se transforman en larva hasta que el perro se los ha
tragado. Los ascárides adultos causan problemas por robar a los animales infectados los nutrientes esenciales, mientras que las larvas producen
irritación a medida que viajan a través de los pulmones. Los síntomas de un animal infectado pueden incluir vómito, diarrea, pérdida de peso, o
tos. El diagnóstico se realiza mediante la búsqueda de los huevos en las heces. De vez en cuando, los gusanos adultos pueden ser vomitados o
se pasan en un taburete, en cuyo caso puede ser visto. Las medidas de control incluyen el tratamiento de los animales y la garantía de buenas
 prácticas sanitarias en el área del canil.

• Tricocéfalos. Estos parásitos intestinales son más pequeños que los ascárides, pero más grandes que los anquilostomas. El ciclo de vida es muy
similar a la de los ascárides, pero las larvas no viajan a los pulmones antes de convertirse en adultos en el intestino del animal infectado. Los
síntomas de la infección pueden incluir diarrea, pérdida de peso o palidez de las membranas de la boca y los ojos. Los huevos microscópicos se
encuentran en las heces. Este tipo de parásito puede ser controlado tratando a cada animal y manteniendo el área del canil limpia.

• Tenia. Este parásito tiene muchos segmentos y una cabeza. Son largas, planas, con apariencia de cintas o anillos y utilizan su cabeza para
adherirse a las paredes del intestino. El ciclo de vida de la tenia es complejo. Después que los huevos se pasan a las heces del perro, son
comidas por las larvas de la pulga del perro. La larva de la tenia se desarrolla en la pulga y cuando un perro se come la pulga adulta, la larva de
la tenia entra al intestino del perro, donde se desarrolla en lombrices adultas.

Los síntomas que produce la tenia pueden no ser advertidos con excepción de la diarrea. Algunas tenias pasan por los cuerpos de conejos,
ratones o ardillas durante su ciclo de vida. Los perros se infectan al comer un animal que contiene larvas de la tenia. Los huevos de la tenia
pueden no ser detectados durante los exámenes de heces, sin embargo, los segmentos se pueden ver en las heces o entre los pelos en la región
anal de los perros. Son pequeños objetos blancos sobre un cuarto de pulgada de largo (6mm) y pueden estar moviéndose de una manera rítmica.
Las medidas de control incluyen el tratamiento del animal infectado, un buen aseo en el área del canil, control de pulgas y prevenir que el perro
coma animales infectados.

• Gusano del corazón (dirofilariasis). Estos no se encuentran en el intestino, sino en el corazón y pulmones. Los gusanos del corazón interfieren
en la acción del corazón y en la circulación de un perro. Los gusanos adultos en el corazón producen una larva llamada microfilaria. Las
microfilarias circulan en el torrente sanguíneo del animal infectado, donde pueden ser tomadas por mosquitos, los que transmiten el parásito
dirofilariasis de un perro a otro. La larva continua su desarrollo en el mosquito y luego es inyectada en el tejido del mismo o de otro perro,
cuando el mosquito se alimenta. La microfilaria gradualmente viaja hacia el corazón del perro y se transforma en adulto, donde el ciclo de vida
comienza de nuevo. Los perros infectados con el gusano del corazón pueden presentar tos, pérdida de peso, dificultad para respirar o una
pérdida rápida de energía. La enfermedad la diagnostica el veterinario cuando se descubren microfilarias durante un examen de sangre. El
tratamiento entonces se da para matar los gusanos adultos y las microfilarias. Además, se pueden utilizar productos químicos para interrumpir
el ciclo de vida de los gusanos. Los mosquitos debiesen ser controlados también.

Enfermedades no Infecciosas
Muchas enfermedades que afectan a los perros no son causadas por virus, bacterias u otros agentes infecciosos. Algunas de estas enfermedades son
la artritis, distensión abdominal, enfermedad renal crónica y alergias. Algunos síntomas de una enfermedad no infecciosa pueden asemejarse a los
de una enfermedad infecciosa. Otros síntomas son casi imperceptibles y pueden incluir pérdida gradual de peso, excesivo consumo de agua, exceso
de orina y cojera indeterminada. Cualquier cambio anormal en la salud o actividades de un perro debiese ser informado a un veterinario.

1.4 SELECCIÓN, ADIESTRAMIENTO, DESPLIEGUE Y VENTAJAS DE COSTOS DE LOS PERROS DE

PROTECCIÓN

Esta sección examina lo siguiente:

• Evaluación y selección de un perro para protección de activos y tareas relacionadas con la seguridad.
• Adiestramiento de perros para estos trabajos
• El uso de perros en áreas de protección, solos o con guía
• Ventajas de costo de la utilización de perros en seguridad

Para ser eficaz, un programa de selección y entrenamiento de perros debe abordar las tareas específicas de protección que se deben realizar. Las
tareas habituales de protección de activos para los que están seleccionados y entrenados los perros incluyen las siguientes:

• protección de un área con un guía

• protección o patrulla de un área solo, sin guía
• custodia o retención de una persona en un lugar
• ataque agresivo
• búsqueda
• detección de drogas, explosivos, aceleradores y otras substancias

Debido a las restricciones de tiempo y esfuerzo requerido para mantener estas destrezas a un nivel óptimo, generalmente un perro debe ser
entrenado específicamente para protección o detección, no para ambas. Los perros de detección necesitan de constante readiestramiento.

1.4.1 SELECCIONANDO AL PERRO

En general, cualquier perro puede calificar para trabajos de protección. El animal, sin embargo, debe poseer tamaño, inteligencia, coraje, vitalidad,
fuerza y otras características necesarias para realizar su función. El perro puede tener cualquier color, debiese ser audaz, pero no feroz y debe
responder bien al entrenamiento alrededor de los 12 meses de edad. Normalmente sólo se utilizan perros machos, aunque las hembras pueden ser
aceptables si son esterilizadas. El pastor alemán y el dóberman pinsher son las razas más usadas para tareas de protección en Estados Unidos. El
pastor alemán (correctamente cruzado, no de línea endogámica) es probablemente la mejor raza. En otras partes del mundo se utilizan en forma
exitosa razas autóctonas para tareas relacionadas con la protección. Rasgos hereditarios deficientes pueden causar problemas de temperamento,
emocionales, físicos o mentales.

Criterios Generales
• Antecedentes. Un perro considerado para tareas de protección no tiene que ser necesariamente de raza pura o de calidad de competición, pero
al mismo tiempo, no debe ser seleccionado de un refugio de animales. Generalmente, un refugio no puede determinar el pasado del perro. El
medioambiente anterior del perro pudo haber dañado su instinto de protección territorial.

Usualmente, lo mejor es seleccionar un perro de un criadero profesional –si la reputación del profesional es creíble y comprobable. Un criador
de renombre normalmente reemplazará o realizará algún tipo de ajuste si el perro se muestra poco saludable o físicamente incapaz de trabajar.
El criador generalmente entrega una garantía escrita contra problemas físicos. Un perro que ha vivido con el criador por un año o más, es poco
probable que haya tenido contacto suficiente con seres humanos y por lo general no es un buen candidato para adiestramiento. Un perro como
éste también puede sufrir de dolencias como ceguera de canil y debe ser examinado cuidadosamente por un veterinario.

• Características físicas. El perro debe al menos ser de tamaño medio, según lo definido por los estándares internacionales de competición. Las
proporciones debiesen ser armoniosas; el perro debe tener una espalda y hombros rectos y sólidos. Las extremidades posteriores deben ser
fuertes y todos los dientes del animal deben estar presentes y saludables. La timidez de un perro puede ser determinada por la observación de su
comportamiento y el acercamiento a extraños. Otra prueba de la timidez es disparar una pistola de fogueo desde aproximadamente 30 pies (9m)
detrás del perro. Un guía capacitado puede estimar la timidez por la reacción del perro. La mera presencia de timidez en un perro suele ser
suficiente para cuestionar su valor para el trabajo de protección. Un veterinario debe examinar al perro, y se deben tomar radiografías para
evaluar la estructura esquelética. Un perro macho debe ser examinado para determinar que no es un monorquideo –un animal que tiene sólo un
testículo descendido. Los monorquideos tienden a ser temperamentales y también pueden verse afectados negativamente por la condición
física.

• Temperamento. Un perro aceptable tiene un temperamento parejo. Puede ser reservado y prudente en un entorno tranquilo, pero también tiene
un fuerte deseo de jugar y estar activo. El perro puede aparecer alerta y precavido cuando se acerca gente, pero no debe mostrar agresividad
injustificada. El perro aceptable es curioso e inclinado a investigar sonidos y objetos.

• Coraje. El coraje es la falta de miedo en un entorno amenazante. El perro aceptable defiende su posición frente una amenaza. El perro no debe
mostrar agresión injustificada, pero tampoco debe estar totalmente pasivo –y nunca debe retroceder. Cuando la amenaza ya no está presente, el
perro debe volver a su estado normal, pero permanecer alerta y vigilante por un tiempo. La edad, formación previa y la madurez del perro se
deben considerar cuando se realiza una prueba de coraje. El objetivo de una prueba de coraje no es forzar al perro a la sumisión, sino
determinar el punto en el que el coraje aparece y el punto en el que comienza a disminuir.

• Dureza. La dureza es la voluntad del perro de vencer fuerzas indeseables para lograr un objetivo. Una prueba para un perro sin entrenamiento
es lanzar una pelota o un juguete favorito en un rincón de una habitación en la que hay muchas sillas y mesas apiladas al azar. Un perro de
carácter duro trepará en y alrededor de los objetos con muy poca aprensión para conseguir la pelota.

Después de cumplir los criterios de selección, el perro debe ser puesto a prueba por un período de adiestramiento de dos semanas, de manera que su
capacidad para responder pueda ser observada de cerca. Usualmente durante este tiempo se puede determinar la idoneidad del perro. Sin embargo,
incluso después del período inicial, el perro puede presentar rasgos que lo hacen inadecuado para el trabajo de protección. De ser así, debiese ser
dado de baja del programa de adiestramiento inmediatamente.

Pastor Alemán
El pastor alemán es conocido en todo el mundo por su asombrosa inteligencia y su lealtad. El pastor alemán es el perro más popular de la policía y
para trabajos de protección en Estados Unidos. Hasta cierto punto, esta raza se parece a su ancestro, el lobo. Se caracteriza por su fuerza, agilidad,
equilibro y coordinación. El pastor alemán, macho en uso en Estados Unidos, tiene una altura de 28 pulgadas o más a la altura del hombro, aunque
los estándares del American Kennel Club especifican que el macho debe tener entre 24 a 26 pulgadas. Idealmente, el pastor alemán pesa entre 75 y
90 libras; tiene una cabeza de corte limpio, poderosas mandíbulas y 42 dientes; orejas moderadamente puntiagudas y erguidas; un pelaje externo
recto y un pelaje interno de protección lanudo; y una cola larga y tupida que cuelga en una ligera curva cuando el animal está en reposo. La nariz
debe ser negra; los ojos oscuros y almendrados. El color de la capa del perro varía en tonos y mezclas de negro y marrón.

Este perro es muy popular, porque responde bien al entrenamiento, tiene un agudo sentido del olfato y por lo general tiene la capacidad para
responder a instrucciones. Es un animal muy fuerte. Su mandíbula puede ejercer un presión de 500-600 libras por pulgada cuadrada (35-42kgf/cm2)
y pueden fácilmente quebrar el brazo de una persona.

Conocidos en Gran Bretaña como alsacia, el pastor alemán se originó en Europa occidental y se introdujo en Estados Unidos en 1904. El pastor
alemán moderno fue desarrollado por Rittmeister von Stephanitz, quien seleccionó a tres perros pastores y con un cruza cuidadosa y selectiva
desarrolló la raza actual.

No todos los pastores alemanes pueden ser un buen perro de protección. A lo largo de los años, prácticas de cruzas indiscriminadas, han causado un
declive consistente en el temperamento y en la capacidad de adiestramiento de la raza. Como resultado, hay tantos buenos pastores alemanes, como
los hay malos. Algunos son tímidos, otros demasiado agresivos. Los adiestradores de perros generalmente afirman que sólo uno de cada 10 tiene las
calificaciones necesarias para trabajo de protección. Sin embargo, los números son más favorables si se siguen los programas de crianza utilizados
en Alemania o por el ejército de Estados Unidos. Estos programas de crianza rigurosos están sujetos a altas exigencias y selectividad. En algunas
parte de Estados Unidos se siguen programas de formación alemanes. Muchos criadores profesionales ven la capacidad de adiestramiento y el
carácter como criterios esenciales para sus programas de crianza.
 Dobermann Pinsher
El pinsher se originó alrededor de 1890 en Thuringen, Alemania, y fue creado de la mezcla del pastor alemán, rottweiler, el terrier negro y fuego y
el pinsher alemán. A lo largo de los años este animal ha sido cuidadosamente cruzado y seleccionado para crear a un luchador y a un excelente perro
para fines de protección. Lo desarrolló Louis Dobermann, de quien la raza toma su nombre. Se volvió popular en Estados Unidos alrededor de 1921.
Es un perro grande, compacto, musculoso y poderoso, con gran resistencia y velocidad.

Es enérgico, alerta y no tiene miedo. Aprende rápidamente y atacará cualquier cosa sin ningún cuidado por su propia seguridad. El macho debe ser
de 25-28 pulgadas (64-71cm) desde el suelo hasta los hombros, la hembra de 24-26 pulgadas (61-66cm). El pelaje es corto y los colores son
normalmente negro, rojo, azul y beige. Los perros negros generalmente tienen marcas de óxido sobre los ojos y en el hocico, garganta, pecho y pies,
y también por debajo de la cola. La cabeza tiene forma de cuña. En Estados Unidos, las orejas son recortadas normalmente. La cola se corta
generalmente en la segunda articulación poco después del nacimiento del cachorro.

1.4.2 ADIESTRAMIENTO
Sólo un profesional calificado debe realizar el adiestramiento de un perro de protección. Adiestradores calificados, presentes en la mayoría de los
lugares, pueden, o bien entregar animales ya adiestrados, o bien adiestrar a los que entregue el usuario. El adiestramiento es una tarea compleja que
involucra técnicas y métodos específicos. Comprender las fortalezas y limitaciones del adiestramiento entrega una apreciación del uso de los perros
en trabajos de protección y algunas ideas de cómo manejar a los perros con eficacia una vez que han sido entrenados.

Métodos de Adiestramiento
Los adiestradores profesionales de perros usan una variedad de métodos, puesto que no todos los perros responden igual a los mismos métodos. El
adiestrador debe comprender bien el comportamiento animal y ser capaz de estudiar el comportamiento de cualquier perro en particular. Las
fortalezas y debilidades en los instintos del perro son fundamentales para determinar qué métodos de adiestramiento utilizar. Por lo general, se
utilizan varios métodos con el mismo perro.

Los métodos más comunes son los siguientes:

• refuerzo positivo (elogios) adaptados a los instintos predominantes específicos del perro
• compulsión (correcciones negativas) por medio de la voz del guía con un equipo como un collar de shock
• incentivos (pelotas, juguetes, compañía o comida)

Un curso de adiestramiento para perros que serán usados con un guía (un equipo canino) puede incluir las siguientes materias:

• obediencia o predominio (controlability)

• agilidad (curso de autoconfianza)
• búsqueda de artículos
• búsqueda de cajas o búsqueda de sospechosos en un edificio
• búsqueda y seguimiento básicos
• trabajo de mordedura en presa y defensa
• aprehensión de criminales, protección y control
• despliegue táctico

Por lo general el perro puede aprender más rápido si un ejercicio está estructurado de manera que el perro pueda completarlo en la medida que la
tarea esté circunscrita en un instinto específico que es natural para ese perro en particular. Por ejemplo, en el adiestramiento inicial de agilidad o de
autoconfianza, se pueden usar incentivos en la forma de una pelota o alguna otra recompensa para estimular al perro a superar un obstáculo. Un
perro en particular puede requerir que la recompensa se le de después de cada salto. Cuando el perro está condicionado a la conducta deseada, el uso
de incentivos debiese reducirse y se debe usar la compulsión para completar el entrenamiento para esa tarea. El adiestrador exitoso evita el
antropomorfismo (atribuir características humanas a los animales) y se enfoca en la conducta del perro. La mayoría de los adiestradores exitosos
parecieran gustar de los perros, pero evitan apegarse extremadamente a un perro en particular.

Limitaciones del Adiestramiento

Los perros no entienden el significado mismo de las palabras, sino que asocian el sonido de una palabra con un movimiento o acción requerida. Los
perros no son capaces de razonar como pueden los humanos o los primates no humanos, y se cree que no tienen nociones abstractas de orden,
obediencia, deber, culpa, castigo, moralidad, bien o mal. Los perros pueden ser adiestrados, porque sus instintos naturales son estimulados durante
el adiestramiento.

El instinto de manada de un perro lo motiva a mantenerse en contacto cercano con sus pares. Mientras el perro vive con humanos, este instinto
influencia al perro a mantenerse cercano a los humanos y a depender de ellos para el liderazgo. El resultado es que un perro puede ser entrenado
para proteger humanos de la misma manera que puede ser entrenado para proteger a otros miembros de su manada. Más aún, existe un instinto
natural para aceptar rangos dentro de una manada. El líder de una manada de perros salvajes tiene poder absoluto y todos los miembros de la
manada se subordinan a él.

Al adiestrar a un perro, un humano toma el rol de líder de la manada. Consecuentemente, el perro se subordina a sí mismo al líder humano como si
fuese el líder canino de una manada. No obstante, el instinto de subordinación generalmente no es suficiente para garantizar que el perro actuará
efectivamente para proteger humanos o la propiedad. El perro debe aprender a responder de la manera requerida.

Un perro también tiene instintos que probablemente interferirán con el trabajo de protección. Éstos deben ser controlados a través del
 adiestramiento. Por ejemplo, un perro sin adiestrar caminando con su amo en el campo puede perseguir a un conejo, porque tiene el instinto natural
de cazar. Este instinto es probablemente más fuerte que cualquier tipo de influencia que un humano pueda ejercer. Después de la persecución, el
perro normalmente volverá a su amo y mostrará mucho placer al reunirse. Para controlar ese comportamiento, el perro no debe ser castigado
después de un incidente como ese, porque no entenderá qué ha hecho mal. En cambio, una acción correctiva debe ser correlacionada directamente e
inmediatamente con perseguir a un conejo.

Medidas disciplinarias duras, tales como pegar, regañar, amenazar, negarse a hablar, encerrarlo o negar comida, no son exitosas para enseñar tareas
a un perro. Tienen efectos depresivos sobre el animal y causan una mala disposición.

Cuando tales castigos se repiten frecuentemente, el perro pierde confianza en su guía. Esta pérdida se puede ver si el perro muestra miedo cuando se
acerca su guía. Un perro que ha perseguido un conejo debiese ser acariciado y se le debe mostrar que le gusta al guía que vuelva con él.

Para adiestrar a un perro a evitar alimentos que no fueron entregados por su guía, se puede poner una ligera corriente eléctrica –inofensiva para el
perro- en pedazos de carne u otra comida en el área de entrenamiento. En la medida que el perro intenta comer, recibe leves descargas eléctricas –
una experiencia desagradable. Este tipo de adiestramiento se continúa hasta que el perro ha aprendido a no aceptar comida en ninguna parte ni de
ninguna otra persona, más que en el lugar normal por la persona apropiada. Este mismo método de refuerzo negativo también puede ser utilizado
para enseñar a un animal a evitar áreas y circunstancias poco seguras.

Estímulos Primarios y Secundarios de Adiestramiento

Tanto los estímulos primarios como secundarios se utilizan en el adiestramiento de perros. El sentido del tacto del perro se utiliza como el aliciente
principal, mientras que los incentivos secundarios son órdenes verbales o gestuales u otros tipos de señales. En el uso de estímulos primarios, se le
muestra físicamente al perro lo que se espera de él a través de una variedad de métodos que incluyen caricias, tirones, presiones, sacudidas,
empujones o infligiendo resultados desagradables.

Un perro puede asociar el sonido de una palabra con el movimiento requerido. Por esta razón, las instrucciones se deben dar de manera consistente
con un mismo tono de voz, firme, claro y categórico. No hace ninguna diferencia si la voz es de tono alto o bajo. También, de ser posible, se deben
utilizar palabras de una sílaba para todas las instrucciones.

Las palabras utilizadas para darle órdenes a un perro pueden no significar nada para un humano, o incluso indicar lo opuesto de lo que se espera que
haga el perro. Algunos adiestradores utilizan palabras de idiomas extranjeros para dar órdenes a los perros que adiestran para ayudar a prevenir que
el perro responda a una orden dada equivocadamente. Cuando se enseñan gestos, ellos usualmente se utilizan simultáneamente con la orden de voz
apropiada. Una vez que el perro se ha vuelto competente en la respuesta a ambas órdenes, entonces se pueden utilizar sólo los gestos. El propósito
de los dos tipos de incentivos es el de enseñar a un perro que si no responde correctamente a una orden, o estímulo secundario, puede esperar que
será seguido de un estímulo principal, tal vez en la forma de una experiencia desagradable. Por el contrario, un perro que responde correctamente a
una estímulo secundario puede esperar recibir una caricia, alguna otra manipulación placentera o una recompensa.

Elogio –Un Factor Motivador

Otro factor motivador esencial en el adiestramiento de un perro es el elogio. Más que cualquier otro tipo de recompensa, un perro desea la
aprobación de su guía –el líder de la manada. Una relación amistosa entre el perro y su guía es esencial. Un perro que no recibe elogios o que no le
gusta su guía simplemente no responderá en forma efectiva. Después de una orden ejecutada apropiadamente, incluso si ha tomado más tiempo del
necesario, un perro debe ser recompensado con un elogio, porque sentirá que ha realizado algo bien y lo hará así nuevamente. También, es más
probable que el perro responderá adecuadamente la próxima vez que se le de la misma instrucción. Los perros pueden ser elogiados de muchas
maneras. Las palabras amables son efectivas como recompensa, así como lo es el reconocimiento físico, tales como caricias o palmoteos, y un
período para jugar y retozar. El mejor método para cada animal puede ser determinado por el guía que con regularidad está junto al perro.

Readiestramiento
Después que un perro ha completado el adiestramiento inicial, para mantener sus capacidades y competencia se le debiese dar periódicamente un
adiestramiento para refrescar lo aprendido. Esto es particularmente importante en un complejo industrial o de negocios, en los que el perro no tendrá
que reaccionar a problemas tan frecuentemente como en un ambiente de cumplimiento de la ley. Los perros utilizados en el sector privado debiesen
recibir breves readiestramientos al menos una vez al mes.

1.4.3 COSTOS DEL ADIESTRAMIENTO

Aun cuando un perro de protección debe ser adiestrado, alimentado y cuidado, el costo de utilizar un perro de protección no es grande cuando se
compara con el costo de sumar más personal humano o ciertas técnicas de seguridad basadas en tecnología. Un usuario podría adquirir un perro y
luego dejar que el animal sea adiestrado por una empresa especializada en adiestrar perros de protección. Alternativamente, el usuario puede
adquirir un perro completamente adiestrado. Además, un perro adiestrado puede ser arrendado y luego ubicado y mantenido en las instalaciones que
se pretende proteger. También puede ser enviado y recogido al y desde lugar de trabajo cada día.

Los adiestradores proveen tanto del perro y del adiestramiento, o bien sólo el adiestramiento. En el último caso, el dueño provee el perro. Los costos
varían dependiendo del tipo de centro de adiestramiento y del tipo de adiestramiento requerido. Usualmente se considera que el adiestrador provea
el perro.

Patrullar
Este adiestramiento incluye la protección del guía, obediencia, agilidad, búsqueda en edificios y áreas, y rastreo básico. Los adiestradores
generalmente prefieren proveer el perro y el adiestramiento, porque están más seguros de que se cumplieron los criterios de selección correctos. En
la primera fase del entrenamiento (de cuatro a 12 semanas), el adiestrador trabaja con el perro solo (sin el guía) para preparar al animal para el
 adiestramiento posterior con el guía.

La segunda fase del adiestramiento une al perro con el guía y requiere de aproximadamente dos semanas para un curso de patrullaje básico. El costo
de tal entrenamiento, excluyendo costos de traslado y estadía para el guía, va desde los $4.000 a $5.000 dólares. El costo del perro puede variar de
varios cientos de dólares a $1.000 o más. Para adiestramiento de patrullaje, la mayoría de los adiestradores prefiere que el perro viva en la casa del
guía.

Detección y Recuperación
Este tipo de adiestramiento puede ser agregado al de patrullaje básico o puede ser entregado en forma separada. El adiestramiento de detección
puede ser altamente especializado. Generalmente un mismo perro no es entrenado para detectar drogas y explosivos, por dos razones: (1) la
posibilidad de confundir al perro en una búsqueda real, y (2) la necesidad de un método de búsqueda agresivo al rastrear drogas y el de uno pasivo
al rastrear bombas y explosivos. Un perro que rasguña y daña un contenedor en búsqueda de drogas podría morir (junto con las personas alrededor)
si utiliza las mismas tácticas en la búsqueda de bombas o explosivos.

El adiestramiento de detección de explosivos o drogas por lo general suma otros US$1.000 a US$5.000 al costo de adiestramiento, junto con otras
cuatro a ocho semanas de período de adiestramiento.

Guardia o Trabajo Compuesto

Adiestrar a un perro para trabajar sin un guía en un área confinada cuesta alrededor de US$1.000 a US$1.500 para una sesión de dos semanas, las
cuales no todas incluyen al guía.

Algunas compañías proveen adiestramiento en el lugar del dueño o del usuario. Generalmente, en estos casos el adiestrador está más dispuesto a
trabajar con un perro que ya posea el usuario.

Además de la compra inicial y los gastos de adiestramiento, otros costos que se deben anticipar incluyen el alojamiento (canil), alimentación y
vitaminas, correas, equipo de aseo, señales de advertencia y gastos de veterinario.

Por lo general el costo del arriendo de un perro para trabajar como perro de guardia en un ambiente cerrado y seguro, donde no haya personas
presentes, es de US$500 a US$1.000 por mes.

1.4.4 DESPLIEGUE DE PERROS DE PROTECCIÓN

Un perro representa un gran disuasivo psicológico para potenciales violadores. Además, un perro es extremadamente efectivo en asistir en la
ubicación y retención de violadores una vez que el área protegida ha sido penetrada. Los perros, desplegados apropiadamente, aumentan la
protección y pueden reducir los costos substancialmente al minimizar los requerimientos de personal. Al igual que otras técnicas de protección, los
perros deben ser usados conjuntamente con una variedad de medidas para asegurar una protección completa.

Utilización sin un Guía

En algunos casos, los criadores arriendan perros en forma diaria y los entregan sin guía en los sitios que los perros protegen, usualmente durante
horas no laborales. Ellos pueden ser publicitados como adiestrados, pero puede ser que no estén adiestrados y de hecho podrían haber estado
recientemente en un refugio de animales.

Un perro sin adiestramiento o cobarde puede entregar alguna protección y actuar como un disuasivo psicológico. La mayoría de los intrusos
potenciales no escogerán poner a prueba cuán bien está adiestrado el perro para atacar; por ello simplemente evitarán las áreas protegidas por perros.
Sin embargo, esta sección sólo trata sobre perros adiestrados.

Cuando un perro es usado sin un guía, no es suficiente dejar al perro suelto en el área a ser protegida. El usuario también debe estar preparado para
aceptar las responsabilidades que vienen con una decisión como esa. Otras preocupaciones incluyen la relación con los clientes, visitas, la
comunidad, empleados, así como la posibilidad de publicidad desfavorable si el perro ataca a un niño.

Un perro no piensa en forma lógica, no puede razonar y no reconoce la diferencia moral entre el bien y el mal. Un perro adiestrado para proteger
una instalación sin supervisión no puede distinguir entre un intruso con la intención de generar daño, como un ladrón, y uno que entra en la
propiedad inocentemente, como un niño persiguiendo una pelota. Un perro adiestrado para atacar, es un fabuloso oponente, porque ha sido enseñado
para mantener el recinto libre de intrusos y para ganar cualquier combate. Heridas graves e incluso la muerte pueden resultar de un ataque.

Debido al riesgo que significa un perro sin un guía, son esenciales las señales de advertencia y las barreras estructurales. Se deben hacer arreglos
para que alguien que pueda controlar al perro responda en caso que el área sea penetrada o que el perro se escape. Un perro puede no dar una
advertencia (gruñendo o ladrando), sino que se puede esconder hasta que el intruso ha entrado en el área y luego atacar salvajemente. Es
fundamental ubicar señales de advertencias a intervalos frecuentes alrededor del área protegida son. Ellas advierten a los potenciales intrusos (para
desincentivarlos) y también advierten al inocente (para ayudar a reducir la responsabilidad legal).

También son necesarias las barreras estructurales o electrónicas. Si un área abierta es protegida, se debe instalar una cerca de tela metálica bien
construida, de por lo menos 8 pies (2.4m) de altura. La cerca debe estar firmemente sujeta al nivel del suelo, para que un perro no pueda cavar
debajo de ella o aflojarla. Alternativamente, se pueden colocar cercas eléctricas en la parte inferior para evitar la excavación. Todas las demás áreas
y aberturas (tales como alcantarillas y zanjas de drenaje a nivel del suelo) también deben ser aseguradas adecuadamente.

Todas las aberturas de los edificios deben ser inspeccionadas y reforzadas, donde sea necesario. Un perro de 75-90 libras (34-41kg) salvaje e
iracundo puede poner una gran presión sobre cualquier superficie que ataque. Las ventanas deben estar aseguradas con barras o pantallas metálicas
expandidas de alta resistencia. Las puertas deben ser reforzadas, donde sea necesario, con láminas de metal o de madera contrachapada pesada y
cerradas en forma segura. Todas las cercas y superficies del edificio deben ser inspeccionadas diariamente por lo menos, para asegurarse de que no
hay zonas que se hayan debilitado tanto como para que un perro pueda escapar.

Existen varias maneras de monitorear un área protegida para determinar cuándo es necesaria una respuesta. Un método simple es instalar un
micrófono en el sitio y conectarlo a un punto central de monitoreo. Puede también ser útil usar un detector de audio con circuitos de discriminación
para descartar sonidos irrelevantes. Un ladrido o gruñido de un perro o un ruido sostenido de un intento de penetración, causaría que el detector
transmita una alarma al punto central de monitoreo. Se pueden instalar Circuitos Cerrados de Televisión. Alternativamente, oficiales de seguridad
en patrulla pueden revisar periódicamente la actividad del perro de protección, cuando realizan sus rondas. Por supuesto, sólo un guía con
experiencia puede controlar al perro de protección.

Un intruso determinado puede deshacerse de un perro de protección de un área de varias maneras. Un disparo bien colocado con un rifle, pistola o
pistola tranquilizante puede ser eficaz en la neutralización de un perro. Si un perro no ha aprendido a sólo aceptar los alimentos en su lugar de
alimentación regular, podría ser eliminado por envenenamiento. Dado que un perro tiene tendencia a deshidratarse con facilidad, es esencial que el
agua potable esté disponible en todo momento en el área protegida. Por lo que, incluso si un perro ha sido adiestrado para rechazar alimentos, le
podrían aplicar una droga inhabilitante o un veneno en su agua. Finalmente, si solamente un perro está protegiendo el área, un transgresor podría
distraerlo, mientras que otro penetra el área.

Personal de seguridad debiese verificar rutinariamente a los perros de protección para cerciorarse que los animales se encuentran aún en las áreas
que están siendo protegidas y de que están en buenas condiciones. Además, los agentes de la ley responsables de patrullar las áreas donde se utilizan
perros deben saber de su presencia y ubicación. También deben estar al tanto de los peligros asociados con el ingreso a este tipo de áreas, porque los
perros de protección atacarán a un oficial de la ley con la misma facilidad que atacarán a cualquier otra persona.

Otro enfoque consiste en arrendar el perro. Los proveedores pueden proporcionar un canil en las instalaciones del usuario y los alimentos y agua a
diario. Durante las horas de trabajo de la instalación, el perro estará encerrado en el canil lejos del personal. El canil puede estar equipado con una
puerta de accionamiento a distancia, que puede ser activada por el último empleado al salir por la noche. Entonces el perro se mantiene libre y en
paz hasta la hora programada –por lo general en la mañana- cuando el proveedor visita las instalaciones, limpia y asea al perro, renueva la comida y
el agua, y regresa al perro al canil.

Utilización con un Guía

Los perros utilizados con guías generalmente están más altamente entrenados que aquellos que protegen áreas por sí mismos. Un animal que es
enseñado a trabajar con un guía es enseñado a responder sólo a las órdenes del guía. Un perro así, está bajo la total supervisión del guía, y un perro
bien entrenado de este tipo puede trabajar alrededor de personas sin ponerlas en peligro. Cuando se utilizan apropiadamente con un guía, los perros
aumentan considerablemente la posibilidad de detectar intrusos y su mera presencia es un disuasivo. Un guía y un perro deben ser adiestrados en
conjunto antes de salir a trabajar. Un perro trabajando con un guía (un equipo canino) es usualmente utilizado en las siguientes aplicaciones:

• patrullaje a pie o vehicular

• aprehensión
• rastreo
• búsquedas en edificios o áreas
• vigilancia de estacionamientos
• escolta de personal y fondos
• control de multitudes
• detección de substancias
• mantención de custodia

Patrulla
Un equipo canino puede patrullar a pie o en vehículo. En un patrullaje a pie, un equipo canino normalmente es usado para rutinas de edificios,
estacionamientos y verificación de áreas. Un perro usualmente tiene la suficiente estamina para trabajar un turno regular con un oficial de seguridad.
Sin embargo, un perro fácilmente puede deshidratarse en un clima cálido. El guía debe recordar esta limitación, hacer descansar al perro a la sombra
cuando sea necesario y proveerle agua potable adecuada.

Los climas muy fríos presentan problemas diferentes, tales como acumulación de hielo entre las almohadillas de las patas. El pelo entre las
almohadillas debiese ser recortado cuando el equipo trabaja en la nieve por periodos prolongados. Mientras se patrulla con mal tiempo, el guía
debiese mantener al perro con una correa.

Cuando el perro se utiliza en una patrulla vehicular, se deben tener provisiones especiales para su salud y seguridad. Por ejemplo, los asientos de un
automóvil no están bien adaptados para el transporte de perros. El tapiz se puede ensuciar e impregnar con olor. También acumula el pelo del perro
y puede ser destrozado por sus garras. Además, un perro no se puede sentar o parar cómodamente en asientos regulares, por la falta de tracción y,
por lo mismo, se puede cansar cuando viaja por períodos largos. El vehículo más práctico para un perro es una camioneta (station wagon) o un
furgón (van), porque sus interiores son duros, resistentes al olor y fáciles de limpiar. Si se utilizará un sedan, el asiento trasero puede ser retirado e
instalar una plataforma de madera contrachapada o una jaula para acomodar al perro. La plataforma debiese instalarse alrededor de 2 pies (0,6m)
debajo de las ventanas traseras y puede estar cubierta con una alfombra para entregarle tracción y confort al perro. Una aspiradora de mano pequeña
se puede usar para limpiar el área.

Cuando se realiza una patrulla vehicular, un perro puede estar sin correa, pero se le debe exigir que se mantenga en posición “sentado”. No se le
debiese permitir sacar la cabeza por la ventana del vehículo mientras éste se encuentra en movimiento, por el peligro de lesiones por insectos u otros
objetos extraños. Mientras se realiza la patrulla, las ventanas de ambos costados debiesen mantenerse abiertas alrededor de cuatro pulgadas, para
entregar ventilación cruzada. Si el perro es dejado en el vehículo estacionado, las ventanas se debiesen abrir lo suficiente para permitir que saque la
cabeza. El guía nunca debiese dejar al perro fuera de su vista en un vehículo estacionado. Antes que el perro entre a un vehículo, tiene que estar con
correa y se le debiese pedir que se siente hasta que se le dé la orden de subir. Antes de bajarse del auto, el perro debiese estar con correa y se le debe
enseñar a mantenerse en el vehículo hasta recibir la instrucción de bajarse.

Detención
Un perro bien entrenado es particularmente útil durante una detención. Si un transgresor es descubierto e intenta escapar, el guía libera al perro de la
correa y le da las instrucciones necesarias para que persiga y ataque al transgresor o para que lo retenga. Cuando el individuo es aprehendido se
detiene, se rinde, y es retenido por el perro, el guía da la instrucción al perro para que lo suelte. Entonces se le ordena al individuo que se mueva
lentamente hacia atrás, generalmente alrededor de 10 pies (3m). Al perro se le ordena sentarse. Finalmente, el individuo es informado que el perro
atacará sin instrucciones si el individuo intenta escapar o atacar al guía.

Un perro que ha sido adiestrado para trabajar con un guía, por lo general ha aprendido que el único momento para atacar sin una orden es cuando un
transgresor que ya ha sido detenido intenta escapar o atacar al guía. Si el individuo detenido va a ser revisado, el perro permanece en posición
sentado hasta que la revisión ha sido completada. Si los infractores serán tomados en custodia y escoltados a pie, el guía se ubica a sí mismo a
alrededor de 10 pies (3m) detrás y alrededor de 2 pies (0,6m) a la derecha de los individuos detenidos. El perro está sin correa y ubicado a la
izquierda, de manera que el perro está justo detrás del transgresor. El perro está en una posición de ataque inmediato si el individuo escoltado
intenta escapar. Si el individuo detenido será transportado en un vehículo, el guía ubica al perro entre él y el transgresor.

Si un individuo se entrega sin resistirse o intentar escapar, se sigue el mismo procedimiento. Sin embargo, en esta instancia el perro se pondrá
inmediatamente en posición sentado, sin correa, mientras el guía procede con los pasos necesarios para revisar a la persona y poner a ella o él en
custodia.

Rastreo
Comúnmente los perros de protección no están entrenados específicamente para rastrear. Para buscar a una persona que ha estado perdida durante
un tiempo, debería conseguirse un perro que esté específicamente entrenado para ese trabajo.

Por supuesto, los perros de protección tienen un gran sentido del olfato, el que puede ser usado como una ventaja para seguir y perseguir a un
sospechoso que intenta escapar de una detención o que ha abandonado un lugar recientemente. Se debiese permitir que el perro olfatee cualquier
cosa disponible, como ropa, con el olor del sospechoso. A continuación, el guía debiese llevar al perro a un área en la que tiene la mejor oportunidad
para olfatear el olor del sospecho, entonces se le debe animar a que rastree.

El éxito del rastreo depende en gran medida de la cantidad de tiempo que ha pasado, puesto que la fuerza del olor decrece con el tiempo. La
superficie del suelo también afecta el éxito del rastreo. Un perro puede rastrear mejor en el pasto y arbustos, porque el olor humano se adhiere bien
en esas superficies. En áreas pavimentadas o de gravilla u olores muy fuertes como el de fertilizantes, pasto quemado, aceite o combustible
derramado inhiben la capacidad de rastreo de un perro. El olor humano se mantiene por más tiempo en terrenos fríos o húmedos. El olor humano se
disipa rápidamente bajo luz solar directa o en tierras extremadamente secas, o en lluvia excesiva.

Búsquedas en Edificios o Áreas

Los sentidos del olfato y oído de un perro pueden ser efectivos al revisar en una habitación, edificio o un área como un estacionamiento o un patio
de almacenamiento. El perro es más efectivo cuando trabaja sin correa, porque sus movimientos no están restringidos y puede revisar áreas más
grandes en menos tiempo. Como una medida de precaución legal y de seguridad, antes de soltar al perro dentro de un área, el guía debe anunciar en
voz alta y clara que el perro será soltado si nadie aparece dentro de un tiempo específico. Esta precaución permite al sospechoso rendirse y protege a
personas inocentes. Si nadie aparece dentro del tiempo especificado, el perro es liberado para que busque. El guía debe permitir al perro el tiempo
suficiente para revisar y despejar el área antes de proceder. El guía entonces sigue al perro, utilizando las mismas advertencias de precaución en
habitaciones o áreas no registradas.

En algunos casos, un perro puede no encontrar intrusos, porque están bien escondidos. Sin embargo, cuando un transgresor escucha la advertencia
que el perro será soltado, por lo general salen de sus escondites y se entregan.

Vigilancia de Estacionamientos
Los equipos caninos pueden patrullar a pie o en vehículo para detectar y detener intrusos en un estacionamiento. Un equipo debe patrullar en un
vehículo por un período y luego patrullar a pie. Durante la oscuridad, cuando no hay actividad en un estacionamiento, el equipo debe patrullar
moviéndose en dirección contra del viento. Si el perro alerta, el guía debiese pedir a los individuos identificarse y detenerlos si están cometiendo un
acto ilegal. Si una persona intenta escaparse o evadir la detención, el guía puede soltar al perro para perseguirlo y atacarlo o retenerlo.

Escolta de Fondos y Personal

Durante el trasporte de fondos u otros ítems de valor, un perro con un guía pueden disuadir el robo y proveer protección adicional si se intenta uno.
Si el equipo canino escolta a un guardia de fondos, el equipo debe estar levemente detrás del guardia, de manera que puede observar rápidamente
cualquier acto hostil. Si se intenta un robo, se suelta al perro y se le ordena que ataque. Dentro de un vehículo, el guardia de fondos debe sentarse en
el asiento trasero y el equipo canino en el delantero.

Además, un equipo canino puede entregar una excelente protección al escoltar personas, tales como empleados que tiene que caminar en
estacionamientos desolados en la noche.

Control de Multitudes
Cuando el control de multitudes es necesario, los perros proveen un efecto psicológico efectivo. El solo hecho que el perro está en el área puede
instar a miembros de la multitud a comportarse en forma ordenada. Los perros en esas circunstancias están con correa. Si es necesario restablecer el
orden, los equipos caninos puede ayudar a dividir la multitud, detener a los líderes o despejar una calle o área.
 Detección de Substancias
Un mismo perro puede ser adiestrado para patrullar, proteger áreas y detectar substancias, pero usualmente la detección de substancias se vuelve una
especialidad, por el tiempo requerido para el adiestramiento. Los perros pueden ser enseñados a detectar substancias como drogas, explosivos o
aceleradores utilizados en incendios.

Mantener Custodia
Un perro puede mantener la custodia de una o más personas que han sido detenidas o que están agrupadas en un área. Si esas personas están en una
habitación o cualquier otro espacio de confinamiento con una sola salida, el animal puede ser ubicado en la salida e instruido para retenerlos en ese
espacio o atacar a cualquier persona que intenta salir. Una táctica como esa sólo puede ser usada brevemente y sólo si las personas involucradas no
tienen armas.

Incluso si las personas están en un espacio abierto, la velocidad del animal asegurará que el primero en intentar escapar será atacado. En esta
situación el perro será ordenado para retener al grupo y atacar a cualquier persona que se mueva. En una emergencia o mientras se espera ayuda de
otro personal de seguridad, un equipo canino puede mantener la custodia de esta manera, incluso si el guía debe dejar al perro brevemente.

1.5 APLICACIONES ESPECIALES Y CONJUNTO DE HABILIDADES

Los perros pueden ser adiestrados para detectar drogas, explosivos, aceleradores de incendios y personas. Cuando se utilizan para rastrear, seguir o
detectar substancias, el perro requiere de la asistencia y dirección de un guía. El guía planea la revisión y toma las medidas necesarias para
optimizar las capacidades del perro. Para combinar efectivamente el intelecto del guía y el sentido del olfato del perro, el perro y el guía deben ser
entrenados como un equipo.

Generalmente se recomienda que un perro sea adiestrado ya sea para protección o para detección. Los perros para trabajo de detección
constantemente son re- adiestrados lo que es distinto y puede generar conflictos con el adiestramiento para protección. Por ejemplo, un perro de
detección usualmente utiliza un collar de cuero especial de manera que, cuando se le coloca el collar al perro, él sabe que está trabajando.

1.5.1 RASTREO Y SEGUIMIENTO

Para rastrear, a un perro se le entrega un artículo con olor y luego sigue ese mismo olor a través del aire, o el rastro dejado en el pasto, árboles,
hojas, etc. El perro también huele cambios en el terreno –esto es, vegetación quebrada o aplastada o marcas en el suelo. En el seguimiento, el perro
usa sólo la primera técnica, siguiendo el olor dejado en el aire.

Los perros de rastreo y seguimiento son motivados por un instinto natural por la presa. Sin embargo, para asegurar concentración y dedicación a la
tarea única asignada, a un perro de seguimiento no se le debe permitir cazar.

El perro de presa o sabueso (bloodhound) es un reconocido perro de rastreo, pero otras razas son igualmente competentes, tales como el pastor
alemán, dobermann pinsher, Airedale, Rottweiler, terrier irlandés, Labrador retriever, schnauzer, Beagle, golden retriever y el Malinois. Los perros
con narices chatas o planas, como el mastín, bóxer y dogo, generalmente no están tan bien adaptados para el rastreo. También, los perros de casa
que normalmente se mantienen en el interior y que tienen contacto cercano con personas, no son perros de rastreo óptimos, porque su sentido del
olfato está disminuido por estar en el ambiente artificial de un hogar.

Adiestrar a un perro para rastreo y seguimiento toma cerca de dos años y usualmente sólo puede ser realizado por un experto a través de un
entrenamiento continuo, constante y desafiante.

Técnicas de Detección
Cada persona tiene un olor único que un perro puede distinguir. La transpiración, el olor más distintivo de los humanos, contiene varios ácidos
glandulares. En la medida que una persona pasa por un área, deja estos químicos en el terreno y el aire (cabe destacar que cuando una persona ha
tomado alcohol, la transpiración tiene un olor distinto, uno que es desagradable para los perros). Los pies generan mucha transpiración, la que se
pasa a los zapatos y la ropa mientras una persona camina. Las manos también dejan un olor, pero casi todos los rastros son dejados por los pies. A
pesar que los olores de la transpiración de manos, pies y axilas difieren, su esencia está muy relacionada y pueden ser fácilmente seguidos por un
perro.

La transpiración no es el único olor que un perro puede seguir. Por ejemplo, las capas de tierra descubiertas por la huella de una pisada están
generalmente más húmedas que la superficie sin perturbar del terreno, y debido a la evaporación donde cae el pie, el olor de la tierra es más fuerte.
La fuerza de un olor como ese es variable, porque la presión de las pisadas puede variar. Si hay presente maleza y las plantas están holladas, la
fuerza y el carácter del aroma de las plantas le puede entregar al perro información útil. Los betunes para calzado también pueden dejar olores
detectables.

Condiciones del Terreno y Clima

El tipo de terreno y las condiciones climáticas afectan la capacidad de rastreo y seguimiento de un perro. Es difícil rastrear y seguir en terrenos
polvorientos, arenosos o pedregosos, o en pavimento seco. La arena húmeda puede retener olor en condiciones favorables por hasta 12 horas. En un
terreno con mucho pasto y vegetación, una pista o rastro se mantendrá en el aire húmedo, sin sol y con vientos moderados, por hasta 24 horas.
Condiciones de aire seco, mucho viento, calor y sol en regiones sin sombra, a veces pueden destruir un rastro en tres horas. Huellas hechas después
de la puesta del sol por lo general se mantienen en buenas condiciones hasta la mañana siguiente, antes que el suelo se seque. Si cae nieve en huellas
existentes, el olor de la huella a veces se mantiene hasta que la nieve fresca tiene alrededor de 1,5 pulgadas (3,8cm) de profundidad. A pesar que el
 olor se mantendrá en una atmósfera ligeramente húmeda, los aguaceros y las lluvias de larga duración extinguirán una huella.

La temperatura también afecta la capacidad de rastreo. La disipación del olor ocurre más rápido cuando la temperatura es alta. Temprano en la
mañana o en las últimas horas del atardecer son los períodos más favorables para que un perro rastree. También la humedad, que mejora el olor, es
por lo general inferior durante períodos de temperaturas máximas. Olores que entran en conflicto, como los vapores producidos por el humo,
químicos o fertilizantes, reducen la capacidad de un perro para detectar y seguir un rastro. Todo tipo de tráfico debe mantenerse alejado del rastro,
para que olores extraños no confundan al perro. A pesar que un perro sigue una rastro con su nariz en el piso, en la medida que se acerca al objeto
puede cambiar de seguir el olor de la huella hacia el olor del cuerpo. Entonces, se acerca al objetivo con el hocico levantado mientras sigue el cono
de olor –el patrón de disipación del olor- (una brisa fuerte lleva el olor en un patrón angosto y profundo, siguiendo la dirección del viento, mientras
que una brisa débil lleva el olor en un patrón amplio pero no tan lejos). Con este cambio en la operación del perro, un guía experimentado puede
determinar si el perro se está acercando al objetivo.

Las características del terreno y estructuras hechas por el hombre también afectan el cono de olor. El olor no pasa bien a través de árboles, arbustos,
piedras grandes y pastizales altos, sino que tiene que rodearlos o pasarlos por arriba o abajo.

Un olor transportado por el viento que choca contra la cresta de una colina puede dividirse en dos y hasta tres conos de olor. Montañas, cerros,
quebradas, depresiones, edificios, paredes y cercas pueden hacer que el cono de olor se mueva y gire en remolinos. Se pueden encontrar bolsones de
aire muerto, sin olor, en el sotavento a los pies de un cerro. Un perro siguiendo un olor de cuerpo puede perder el olor y tener que devolverse para
rastrear el olor. El cono de olor ideal es uno que se sopla sobre una superficie plana y uniforme, sin obstáculos.

Un perro adiestrado trabajando desde un bote puede sentir el olor de una persona que está bajo la superficie del agua y respirando a través de una
caña hueca o de un tubo. La Armada de EE.UU. ha entrenado perros en esta técnica para ubicar a intrusos bajo el agua. Un equipo canino también
puede trabajar para ubicar a personas enterradas o atrapadas después de terremotos, deslizamientos de tierras, avalanchas y deslizamientos de barro.

1.5.2 CONDICIONES DEL PERRO PARA TAREAS DE RASTREO, SEGUIMIENTO Y DETECCIÓN

Al comenzar una misión de seguimiento, el perro debe estar fresco y no excitado. El exaltamiento es notorio cuando la boca del perro está abierta y
su lengua afuera. En esta condición, el perro no puede mantener su nariz en el piso para rastrear. Una técnica probada es rociar agua fresca en la
nariz del perro antes de empezar el seguimiento, para lavar cualquier partícula de polvo que pueda estar alojada en los canales de la nariz.

Un perro de rastreo o seguimiento debe estar adiestrado no sólo para perseguir, sino que también para obedecer. El perro debe ser re-adiestrado
constantemente para mantener la efectividad. El equipo de adiestramiento para rastrear incluye un collar, una correa de alrededor de 10 yardas
(9,1m) de largo. Normalmente, el perro se mantiene con correa durante el rastreo, de manera que el guía pueda seguirlo de cerca. El guía debe estar
preparado para ayudar al perro a interpretar cualquier señal que el perro pueda dar durante su misión. También, el guía debe estar en una condición
física lo suficientemente buena para seguir al perro mientras trabaja.

Adicionalmente, el perro debe estar muy deseoso de trabajar, ser inteligente, saludable, tener un temperamento estable y estar dispuesto a satisfacer
al guía. A pesar que la mayoría de las razas de perros de trabajo son aceptables para trabajo de detección, el Pastor Alemán es la raza favorita en las
Américas y Europa. La capacidad olfativa del Pastor Alemán, junto con su inteligencia y disposición al trabajo por una recompensa intangible, son
los rasgos más deseables de este perro. El Malinois y otras razas también han probado ser muy eficaces para este tipo de trabajo.

1.5.3 DETECCION DE DROGAS, EXPLOSIVOS Y ACELERADORES

Los perros son el método más eficiente para detectar drogas, explosivos y aceleradores en la mayoría de las situaciones.
Adiestrando a un Perro para Trabajo de Detección
Enseñar a un perro a detectar drogas o explosivos es una tarea que consume tiempo y requiere de un adiestrador profesional. El perro es enseñado a
rastrear el olor incorporando el olor en una pelota u otro objeto que el perro perseguirá y traerá de vuelta. Cuando el perro responde correctamente,
se le da incentivos y recompensas. El ejercicio se repite hasta que el perro aprende a ubicar y traer cualquier artículo que contenga el olor. Una
fórmula para el régimen de adiestramiento es esta: olor + respuesta = recompensa.

Las pruebas aumentan su dificultad para desarrollar en el perro la habilidad y el interés. Además, durante el adiestramiento y en búsquedas reales, el
guía usa un collar de cuero especial, el que el perro asocia con la búsqueda. El collar es ajustado para que pueda ser puesto y retirado sin tener que
ser desabrochado. Se le coloca al perro al comienzo de cada ejercicio y se retira apenas la tarea termina. Un perro de detección debe tener
adiestramiento continuo y diario para mantener su competencia al máximo –quizás dos horas diarias.

Los perros que rastrearán explosivos deben ser enseñados a no golpear con las patas o intentar de ninguna manera tomar el explosivo una vez que ha
sido ubicado. Debido al riesgo de detonación, los perros deben ser enseñados a sentarse y ladrar para alertar al guía. De igual manera, se deben
entrenar para no entrar en contacto directo con las drogas, las que pueden ser dañinas o fatales para el perro si se las traga.

El entrenamiento básico para detección toma entre seis a ocho semanas, más una o dos semanas para entrenar a un equipo detector. Toma alrededor
de nueve meses a un año para que un guía y un perro se vuelvan altamente efectivos en conjunto, para asumir los desafíos de detección más
difíciles.

Detección de Drogas
Las técnicas de detección de drogas, explosivos y aceleradores son diferentes de las usadas para rastrear y seguir humanos. El espíritu de la
persecución se reduce, y en lugar de lanzarse a buscar un olor y luego seguir al objetivo, el perro debe buscar el olor de una manera detallada y
prescrita. La tarea es exigente y a menudo aburrida, porque el perro puede trabajar durante largos períodos sin detectar un olor.

El ruido y la actividad en un área pueden distraer al perro. Si una revisión continúa por un período largo, el perro puede cansarse o perder el interés.
Normalmente un perro de detección puede trabajar efectivamente entre 20 minutos a una hora. Si el perro pierde interés y el guía no puede
motivarlo para continuar, se le debe dar un recreo.

La confiabilidad de detección de un perro bien adiestrado supera el 95 por ciento. También, los perros pueden revisar un área rápidamente. Por
ejemplo, en cerca de dos minutos un perro puede realizar una revisión de explosivos en un corredor de casilleros de 50 yardas (45,7m). Cuando se
buscan drogas, un perro puede revisar un vehículo en cerca de 1,5 minutos, 125 paquetes en cerca de siete minutos y 50 cajas en alrededor de tres
minutos. Los perros pueden detectar la droga misma o bien el rastro dejado por el olor de las drogas.

Frecuentemente los criminales intentan enmascarar el olor de la droga con el olor de perfumes, gasolina u otro formaldehído. También pueden
intentar utilizar distractores artificiales, substancias que tienen un olor tan similar al de la droga que el perro puede dar una alerta falsa. Por ejemplo,
distractores artificiales que podrían confundir a un perro adiestrado para detectar marihuana incluyen el orégano, alfalfa, cilantro y otras especies.
Cualquier substancia que contenga ácido acético puede confundir a un perro buscando heroína.

Con un entrenamiento adecuado, sin embargo, la mayoría de los perros aprenden a descartar completamente distractores artificiales. Es razonable
esperar que el perro de drogas promedio detecte la presencia de la mitad de una onza (14gr) de marihuana o una cantidad pequeña de opio en un
vehículo, un paquete, un ítem de equipaje o una habitación de tamaño razonable.

Detección de Explosivos
Un perro de detección de explosivos puede reconocer las esencias de explosivos comunes, tales como las siguientes:

• Dinamita comercial. Ésta se encuentra usualmente en dos formas:

- Gelatina: una dinamita pegajosa o de goma de nitro-algodón, tal como algodón colodión disuelto en nitroglicerina y gel de nitroglicerina.
- TNT (trinitolueno): compuesto de nitrógeno, hidrógeno, carbón y oxígeno, hecho por nitración del compuesto químico tolueno.

• Pólvora sin humo. Esta es un mezcla de azufre, carbón de leña y nitrato, sea este de sodio o de potasio, y grafito recubierto durante la
manufacturación para reducir la electricidad estática.

• Explosivo plástico C-4. Este consiste predominantemente del Departamento de Investigación de Explosivos (RDX de ahora en adelante, por
sus siglas en inglés) en una mezcla de plastificante. El C-4 es inodoro, de color blanco a café claro, como material de masilla.

• Otros. Los perros pueden ser entrenados para detectar las siguientes substancias:
- pólvora negra (en forma de polvo, fusible de tiempo y fusible de seguridad)
- cordón detonante (basado en PETN, [tetranitrato de pentaeritritol])
- cordón detonante que contiene RDX (trinitramina ciclotrimetileno)
- binarios (como Kinepak)
- sucedáneos de pólvora negra
- agentes explosivos
- impulsores de fundición
- Composición-B
- emulsiones y lodo
- geles de agua
- explosivos plásticos (como el Semtex)
- Tetril
- explosivos improvisados (ANFO [nitrato de amonio y fuel oil], cloratos, nitratos

La Figura 1-2 enumera los ítems que han hecho que los perros alerten falsamente.

Figura 1-2
Ítems que han Causado Falsas Alarmas en la Detección de Explosivos
Búsquedas en Áreas Abiertas
Los mismos factores que afectan la capacidad de rastreo de un perro –como el viento, condiciones atmosféricas, características del terreno,
estructuras hechas por el hombre- también influencian la capacidad de búsqueda de drogas o explosivos en un área abierta. La búsqueda debiese ser
comenzada desde el lado contrario al viento. Luego, el área es revisada sistemáticamente utilizando el método de cuarteo, según el cual el equipo
recorre ida y vuelta un área, moviéndose de un extremo a otro.

Búsqueda en Edificios
Las corrientes de aire al interior de un edificio también pueden afectar la capacidad receptiva de un perro. Corrientes, ventilación cruzada, la
calefacción y las unidades de aire acondicionado, todas afectan los patrones del olor. Si es posible, estas condiciones debiesen ser controladas,
apagando el aire acondicionado, estufas o ventiladores. El viento y las corrientes intermitentes pueden hacer que el perro alerte sobre un olor, pero
no puede ubicar la fuente.

Antes de revisar un edificio, todo el personal tiene que ser desalojado, minimizar las influencias distractoras y permitírsele al perro que se
familiarice con el ambiente al interior del edificio. Se debiese realizar una búsqueda sistemática en el sentido de las manecillas del reloj. Si se notan
corrientes de aire, el guía debe mirar atentamente al perro en búsqueda de señales de olores en el aire. Cada ítem –como un escritorio, gabinete,
tapas de libros, ductos de ventilación y otros equipos- deben ser revisados. Cada área debe ser limpiada –declarada como limpia- la primera vez que
se revisa. Así, el perro debe buscar tanto arriba (paredes, casilleros, mesas) como abajo (bajo sillas, alrededor de guardapolvos)

El guía debe incentivar al perro durante la revisión, especialmente cuando el perro requiere saltar o parase para olfatear un lugar en particular. El
guía puede tener que asistir al perro, mediante toques y mostrándole al perro los ítems a ser revisados. El guía debe reconocer permanentemente una
señal de alerta del perro.

Revisión de Vehículos
Una revisión de vehículo debe comenzar desde sotavento y continuar en la dirección del reloj. El perro debe poner particular atención a
guardabarros (o tapabarros), ruedas, pasos de rueda, tapacubos y parachoques. Si el perro muestra interés en el interior del vehículo, el guía debe
dejar que el perro vaya para que pueda buscar en los asientos, piso y tablero de instrumentos. El guía debe ser particularmente consciente de la señal
de alerta del perro, porque el perro puede tener dificultad para mostrarla en un área confinada. Si nota una alerta, el guía debe ayudar al perro a
sentarse.

El perro encontrará la mayor dificultad al revisar por debajo del compartimiento del motor. Debido a condiciones inseguras, condiciones de trabajo
estrechas y el riesgo de ser quemado por el motor caliente, se debe poner especial cuidado al llevar al perro a trabajar en esas áreas. El guía debe ser
especialmente paciente y atento para dar incentivos al perro. Por ejemplo, si el perro está entrenado para sentarse para alertar cuando detecta un
explosivo, se puede confundir, por la falta de espacio para sentarse debajo del vehículo. En esta situación, el guía debe convencer al perro y
animarlo a sentarse. Sin embargo, uno nunca debe estimular al perro a responder; tal estímulo es conocido como señal (cue).

Revisión de Aviones
Los procedimientos para revisar aviones son esencialmente los mismos de aquellos para revisiones de edificios. Un avión presenta muchas
distracciones: olor de humanos, comida y otras fuentes; ruidos propios de un avión y su equipo de apoyo; movimiento de vehículos alrededor. El
avión debe ser revisado lejos de estructuras y personal, en un área abierta en la que la velocidad del viento es alta. Todos los equipos de energía
asociados al avión deben ser apagados antes que comience la revisión.

Un método para revisar un avión es aproximarse al avión desde sotavento y revisar su exterior. Las partes más accesibles son el tren de aterrizaje,
los pozos de las ruedas y la bodega de carga. El guía debe revisar en busca de objetos sospechosos que estuviesen fuera del alcance del perro. De ser
posible, el perro debe revisar la bodega de carga con el equipaje dentro. Si eso es imposible, el equipaje debe ser descargado y revisado
separadamente; luego la bodega de carga puede ser revisada. También puede que tengan que ser revisadas las unidades de apoyo de tierra –como
generadores, unidades de poder y vehículos.

A continuación se debe revisar el interior del avión. Idealmente, las puertas deben estar cerradas y los sistemas de ventilación apagados para
permitir que algún olor sature un área específica en vez de filtrar todo el avión, confundiendo al perro. En climas extremadamente calurosos, se
puede abrir una puerta. Si hay muchas puertas abiertas y el aire fluye por la aeronave, el guía debe vigilar al perro por cualquier señal de una alerta
en el aire e incentivar al perro para seguirla a su origen.

Si la revisión se comienza desde la parte delantera de la aeronave, la cabina debe ser despejada primero. Luego el guía debe revisar el
compartimento de pasajeros en busca de posibles lugares de ocultamiento. Se debiese seguir un patrón de búsqueda de ida y vuelta, de lado a lado,
seguir en la parte trasera y delantera de cada fila de asientos, y revisar el área por debajo. También el perro debiese subir a los asientos y revisar las
áreas del equipaje de mano, así como cualquier compartimiento de carga usado por la tripulación.

Las cocinas también deben ser registradas. Los dispositivos de preparación de alimentos pueden estar calientes, por lo que el guía debe asegurarse
de que estos dispositivos no lesionen al perro. Los alimentos y las especias en los compartimentos pueden interferir con la revisión.

Los baños son los espacios más cerrados para que un perro revise. Lo mejor es permitir que el perro busque en estas áreas sin correa. Para asegurar
una búsqueda minuciosa, el guía debe observar al perro y lo guiará a los posibles lugares de ocultamiento.

Detección de Aceleradores
Se han usado perros para la detección de aceleradores para ubicar líquidos inflamables desde 1987. Los perros son entrenados para ayudar a los
investigadores a ubicar el punto exacto desde el cual recolectar una muestra de restos de incendio que tiene una alta probabilidad de contener
líquidos inflamables. El valor de utilizar un perro de detección de aceleradores es su capacidad para discriminar entre los productos de la pirolisis –
escombros del fuego-, que se encuentran normalmente en un incendio, y productos pirólisis que contienen un líquido inflamable. Los Labradores
retreiver son especialmente adecuados a este tipo de detección.
 En el entrenamiento de detección de aceleradores, un perro es expuesto al olor de gasolina evaporada al 50 por ciento. El perro es entrenado para
asumir una posición de sentado al detectar un líquido inflamable (se utiliza una recompensa de comida para reforzar esta respuesta). El perro es
entrenado a diario para discriminar entre productos de la pirólisis normales y aquellos que contienen líquidos inflamables. A través del
adiestramiento diario, el perro puede alcanzar hasta un 95 por ciento de precisión. Por supuesto, la alerta canina por sí misma no es prueba que se ha
cometido un crimen. Tales pruebas requieren de un esfuerzo concertado entre un investigador de incendios, un guía de perros y un técnico de
laboratorio.

Los perros de detección de aceleradores pueden ser usados para revisar escenas de incendios, equipos, vehículos y multitudes. En la escena de un
incendio la movilidad y el agudo sentido del olfato del perro pueden reducir significativamente el tiempo requerido por el investigador de incendios
para completar la investigación. Sin un equipo canino de detección de aceleradores, el investigador de incendios tendría que tomar un gran número
de muestras para su análisis, sobre la base de una revisión del comportamiento del fuego y los patrones de quemado. Sin embargo, el investigador
puede pasar por alto un área en la que el autor vertió un líquido inflamable que no se quemó. Un perro entrenado puede reducir significativamente el
número de muestras requeridas para asegurar que las áreas con líquido no quemadas no se pasen por alto.

La revisión de un vehículo incendiado puede resultar en múltiples alertas de un perro de detección de aceleradores. Depende del investigador
determinar si un líquido inflamable estaría normalmente ubicado en algún lugar en particular del vehículo. El perro puede revisar el vehículo en
búsqueda de evidencia física utilizada por un sospechoso de incendio.

Un pirómano frecuentemente se quedará en la escena del incendio, mezclándose con los espectadores. El perro de detección de aceleradores, que
normalmente es muy amable y no supondrá un peligro para las personas en la multitud, se puede pasear a través de los espectadores en un esfuerzo
por detectar el olor de los líquidos inflamables. Si el perro alerta, el investigador puede interrogar al individuo para determinar por qué el perro
alertó. Si un sospechoso ha sido identificado, y se cumplen todos los requisitos legales, el sospechoso puede ser colocado en una fila con personas
que no tienen líquidos inflamables sobre o cerca de ellos. El perro, entonces busca en la fila para identificar a la persona con el olor de los líquidos
inflamables.

Un pirómano usualmente abandonará un contenedor de líquido u otra evidencia física en un campo cercano o en un área de madera. Comparado con
humanos, un perro de detección de aceleradores puede revisar un área mejor y más rápido.

1.5.4 COSTOS
La mayoría de las empresas utilizan perros de rastreo, seguimiento y detectores de sustancias con poca frecuencia. Arrendar este tipo de perros,
según sea necesario, suele ser el enfoque más rentable.

Una tarea de rastreo o seguimiento generalmente cuesta entre US$1.500 a US$2.000 por un período de 24 horas. El costo de una revisión canina por
substancias varía de acuerdo al tipo de substancias a ser detectadas y al número de perros y guías requeridos. Una revisión de drogas con un solo
perro puede costar en promedio $1.000 dólares por día. Una revisión por explosivos que involucra un área grande o varios aviones puede requerir
varios equipos caninos. Si se necesitan seis equipos caninos, por ejemplo, el costo básico puede ser de US$4.000 por día.

1.6 RESPONSABILIDAD LEGAL

El uso de perros en operaciones de protección de activos puede dar pie a varias acciones de responsabilidad civil o penal por lesiones.

1.6.1 RESPONSABILIDAD PENAL

Las preguntas siguientes pueden ayudar a determinar el riesgo de responsabilidad criminal:

• ¿Hay alguna ley que establezca como crimen la conducta final, incluyendo la negligencia criminal, que es distinta de la responsabilidad civil
por negligencia?
• ¿Es definido como un crimen el uso intencional de un perro para lograr un propósito o participar en una conducta?

La responsabilidad criminal ocurre cuando una de las partes, sin justificación o excusa, causa que su perro ataque a otra persona. En la jurisdicción
en la que se produce el ataque, si fuese un crimen que la primera persona ataque a la segunda con su cuerpo, arma u otro objeto, entonces el uso del
perro para realizar un ataque también sería un crimen. En general, el animal puede ser visto como un arma o una extensión del controlador. Es el uso
humano consciente del perro que, en el tribunal, establece la intención.

1.6.2 RESPONSABILIDAD CIVIL

En relación a la responsabilidad civil, las preguntas importantes a examinar son las siguientes:

• ¿Qué condiciones o circunstancias pueden dar pie a responsabilidad civil?

• ¿Qué relación entre las partes puede alterar la existencia o el grado de la responsabilidad?
• ¿Qué doctrina legal especial aplica a las condiciones y relaciones de manera que se produzcan resultados inusuales o extraordinarios?
 Condiciones y Circunstancias
Las condiciones y circunstancias que gatillan casos de responsabilidad son aquellas bajo las cuales el animal entra en contacto con o afecta a una
persona o propiedad. En protección de activos, las siguientes condiciones y circunstancias son instancias típicas en las que pueden surgir casos de
responsabilidad:

• Cuando el perro está en descanso o no en labores. El perro puede estar descansando entre turnos, confinado a su lugar o canil habitual, o
libre, pero no específicamente con un propósito de protección (como cuando está siendo ejercitado).
• Cuando el perro está en labores. El perro está trabajando –con o sin correa, con o sin guía- en relación con una tarea de protección.
• Cuando el perro amenaza a una persona. El perro ataca, ladra o bien provoca miedo en una persona sin un ataque físico real.
• Cuando el perro ataca a una persona. El perro físicamente ataca y tiene un contacto real con una persona.
• Cuando el perro pone en marcha un instrumental de intervención. Por ejemplo, el perro golpea un objeto al correr sobre él, y el objeto
lesiona una persona o crea un temor a lesiones.

Relaciones
Las condiciones y circunstancias antes descritas tienen diferente significado dependiendo del tipo de relaciones entre aquellos involucrados. Los
siguientes son los tipos de relaciones que se pueden dar con un perro adiestrado para detección:

• La persona herida es un intruso en la propiedad protegida por el perro.

• La persona herida es un licenciado5 en la propiedad protegida.
• La persona herida es una visita6.
• La persona que controla al animal es una persona cuya propiedad está siendo protegida, como el dueño de casa o el propietario.
• La persona que controla al animal es un empleado del dueño de la propiedad o de la persona siendo protegida.
• La persona que controla al perro es un contratista independiente o empleado de un contratista independiente.

Doctrinas Legales Especiales

Varias doctrinas y tópicos legales se relacionan con los casos de responsabilidad en el uso de perros para protección de activos. Por ejemplo, un
perro puede ser considerado un arma o instrumental peligroso 7. Un instrumental peligroso es cualquier instrumental construido o usado de tal
manera que puede producir la muerte o un grave daño corporal. Una persona usando o gatillando un instrumental peligroso es estrictamente
responsable legalmente por el daño o las heridas consecuentes. Más aún, una persona que es estrictamente responsable será responsabilizada a pesar
de los esfuerzos por controlar los instrumentos o prevenir los efectos indeseables que se produzcan. Los perros de protección grandes, adiestrados
específicamente para intimidar, disuadir, atacar y retener, probablemente serán considerados instrumentos peligrosos.

Un perro puede ser considerado peligroso o cruel si el dueño o el controlador sabía o debió saber de la propensión del perro a la crueldad (Prosser,
1971, Section 76). Una persona que posee o controla un animal cruel debe ejercer el debido cuidado para prevenir que el animal cause daño o
lesione a personas inocentes. Un perro de protección que ha atacado o causado daño en el pasado –independientemente de si el objeto del ataque era
inocente- probablemente será considerado un animal cruel, incluso si el perro está adiestrado para ser agresivo sólo cuando se le da la orden.
Actualmente, la mayoría de los casos no dependen de si el perro era cruel, sino de si su uso en las circunstancias constituían fuerza razonable.

Quien tiene control de una propiedad o un recinto está obligado a

• no causar o permitir, deliberadamente, daño o lesiones a cualquier persona en la propiedad sin justificación legal y
• no permitir que un invitado o a una visita de negocios sean dañados o lesionados por ningún evento o circunstancia de la que la persona en
control estuviese en conocimiento o debió haber conocido (Restatement of Torts, 1977, Section 332).

1.6.3 RESPONSABILIDAD EN RELACIÓN A INTRUSOS

El uso de perros de protección en contra de un intruso puede o no generar un caso de responsabilidad. Los siguientes son ejemplos de la aplicación
de responsabilidad en varias circunstancias:

• Si un intruso –una persona que sabe que está en un lugar sin tener el permiso para estar o bien con una intención ilegal- entrara en la propiedad,
el perro puede ser usado para detenerlo, retenerlo o controlar al intruso en la misma medida en que el dueño o la persona en control de la
propiedad lo pudiese hacer. Por lo tanto, se puede usar fuerza razonable –casi fuerza letal- contra el intruso para prevenir o detener la intrusión.
• Si un perro de protección muerde o causa lesiones a un intruso y el intruso no ha realizado ningún acto violento o usado la fuerza, las acciones
del perro podrían constituir fuerza innecesaria.
• En el caso de fuerza innecesaria, tanto el guía del perro como el dueño de la propiedad serán declarados responsables por los daños. El guía será
responsable por el uso intencional de fuerza excesiva o por negligencia (esto es, no haber impedido al perro el uso innecesario de la fuerza). El
dueño será responsable en virtud de la teoría de la responsabilidad vicaria por el acto del guía (empleado del dueño) o en virtud la teoría de
responsabilidad objetiva por un animal peligroso o un instrumento peligroso.
• Si el intruso fue seriamente dañado por un perro de protección después que el perro sólo aprehendió al intruso, y el intruso respondió atacando
o provocando al perro, no habrá responsabilidad, porque el ataque al perro será considerado provocación. Bajo la doctrina de la ley común de
animales feroces, una provocación que causó que el animal atacase será suficiente para eliminar al animal de la clase que se caracteriza como
bravo (similar a la doctrina de la autodefensa). Bajo la doctrina de instrumental peligroso, el intruso habría causado la reacción previsible al
provocar al animal. Así, el intruso no tendría derecho a protección o tenía un deber de cuidado.

Un elemento clave en la responsabilidad del dueño o del controlador de un perro de protección es la existencia de un miedo razonable a favor del
intruso. Si el intruso sintió realmente que el perro lo iba a atacar, y tal miedo puede ser comprobado, entonces una defensa razonable en contra del
ataque anticipado estaría permitido. En tal caso, se podría considerar que el intruso, de acuerdo a la ley, no provocó al animal y que el ataque del
 animal fue fuerza excesiva, bajo la cual el dueño y el controlador serían responsables.

Un ataque canino a un invitado8 o una visita de negocios9, –si no es provocado por la persona- dará lugar a responsabilidad legal para el guía y el
dueño de la propiedad. La ley impone un mayor deber de cuidado para el visitante que para un licenciado; sin embargo, una doctrina en desarrollo
trata a todas las personas presentes con autorización expresa o implícita como invitados, a quienes se les debe un deber de prevenir lesiones
previsibles. La magnitud de los daños y perjuicios de los que los acusados serán responsables será una cuestión de hecho. Se puede anticipar que las
simpatías naturales de los miembros del jurado recaerán en la persona inocentemente atacada por el perro, lo que lleva a un aumento de las
indemnizaciones monetarias por daños para el demandante.

1.6.4 PRECAUCIONES
Quienes utilizan perros en la protección de activos pueden tomar varias precauciones para reducir el riesgo de responsabilidad criminal o civil:

• Seleccionar al perro de protección cuidadosamente para asegurarse que es adiestrable, estable y apropiado para el trabajo de
seguridad. El perro debiese ser adiestrado por un profesional competente y debiese ser adiestrado para responder de la manera menos dañina,
consistente con las circunstancias. Por lo tanto, una orden para retener será más apropiada que una para atacar (no es el lenguaje preciso
utilizado, sino el condicionamiento y la respuesta esperada del animal lo que determina si las acciones del perro son legalmente permisibles.
Aún así, palabras como “ataque” pueden tener un impacto indeseable en un jurado).
• Estar seguro que el perro está bajo control al trabajar donde una persona inocente podría ser dañada. Si se patrullan las inmediaciones
cuando personas están legalmente presentes, como durante las horas de trabajo, el perro debe estar bajo una restricción física (correa) excepto
en respuesta a una emergencia de seguridad genuina o que razonablemente se piense que existe una.
• Coloque al público un claro sobre aviso de la presencia del perro. Tal advertencia debiese prohibir el acceso a todos menos quienes están
específicamente autorizados. Esta prominente doble advertencia también advierte a los intrusos, a quienes se les debe un menor grado de
cuidado. Las advertencias deben estar en el idioma o idiomas que es más probable que el público entenderá.
• Asumir que el perro de protección será tratado ya sea como un instrumento peligroso o como un animal cruel en cualquier juicio
resultante del uso del perro.
• Adquirir un seguro de responsabilidad civil, o si está auto-asegurado, proporcionar los recursos adecuados para cubrir esta posible
contingencia.

La discusión de la responsabilidad no tiene por objeto desalentar el uso prudente de los perros de protección de activos, puesto que un perro
correctamente adiestrado es a menudo el mejor recurso para su uso. Sin embargo, para cualquier medida de seguridad, todos los costos deben ser
considerados, y el costo del seguro de responsabilidad civil no es más que añadido a los costos de adquisición, adiestramiento y despliegue de los
perros. Estos costos deben ser proporcionales a la reducción de riesgos alcanzado. En el ambiente litigioso actual en la que funcionan las
operaciones de seguridad, es más prudente tomar todas las precauciones razonables para reducir al mínimo la responsabilidad.

REFERENCIAS

Black’s law dictionary (5th ed.). (1979). St. Paul, MN: West Publishing Co.
Carrow v. Haney, 203 Mo. App. 485.
Commonwealth v. Tarrant, 314 NE (2) 448 (Mass).
Dobrin v. Stebbins, 122 Il. App. (2) 387.
Flynn v. Lindenfeld, 6 Ariz. App. 459.
Green v. Ross, USDC, Florida, 338 F. Supp 365.
Nutrient requirements of dogs: Revised 1985. (1985). Washington, DC: National Research Council.
Prosser. W.L. (1984). Law of torts (5th ed.). Eagan, MN: West Publishing Company. Restatement of torts (2d ed.). (1977). Philadelphia, PA: American
Law Institute.
Tompson v. Wold, 47 Wash. 2d 782.
Zareb v. Frederick, 138 F.2d 689.
 CAPÍTULO 2
ESTRUCTURAS DE GRAN ALTURA:
PROTECCIÓN DE LA VIDA Y
CONSIDERACIONES DE SEGURIDAD

2.1 INTRODUCCIÓN

Este capítulo aplica la información del volumen Protección de Activos en seguridad física para abordar la protección de la vida (life safety) y
consideraciones de seguridad para estructuras de altura. Material adicional en relación a conceptos y principios que son discutidos, se pueden
encontrar en otros capítulos de Protección de activos.

2.1.1 ¿QUÉ ES UNA ESTRUCTURA DE ALTURA?

Generalmente es considerada una estructura de altura una que se extiende más arriba del alcance máximo de los equipos de extinción de incendios
disponibles. En números absolutos, esto se ha fijado de diversas maneras entre 75 pies10 (23 metros) y 100 pies (30 metros), o aproximadamente 7-
10 pisos (dependiendo de la altura de losa a losa entre pisos). Como señala una fuente (Craighead, 2003, p.1):

La altura exacta sobre la cual un edificio es considerado de altura es especificada por los códigos11 de incendio y construcción del área en la que el
edificio se ubica. Cuando la altura excede la altura especificada, entonces un incendio, un peligro siempre presente en tales lugares, debe ser
combatido por personal de bomberos desde el interior del edificio, en vez de desde afuera utilizando mangueras y escaleras.

Las primeras estructuras de altura en el mundo fueron construidas en Estados Unidos alrededor de finales del siglo XIX. Desde entonces su diseño y
construcción ha cambiado, dando lugar a los rascacielos que hoy dominan el skyline12 de la mayoría de las principales ciudades de todo el mundo.

A pesar que el mundo contiene diferentes tipos de estructuras altas, este capítulo considera como de altura esencialmente un edificio de oficinas,
ubicado en un área urbana o metropolitana, accesible directamente desde una o más calles públicas, y que tiene una ocupación mixta entre áreas de
encuentro, espacio para el comercio y oficinas convencionales.

2.2 CONSIDERACIONES DE PROTECCIÓN DE LA VIDA

2.2.1 PREOCUPACIONES ESPECIALES DE ESTRUCTURAS DE ALTURA

El riesgo, o “la posibilidad de pérdida resultante de una amenaza, incidente de seguridad o evento (ASIS General Security Risk Assessment
Guideline, 2004, p. 5), es una función de factores como el tamaño de la instalación, el número de ocupantes y, para amenazas intencionadas13, de el
valor14 del objetivo.

Para una estructura de gran altura los riesgos y pérdidas potenciales son más grandes, debido al gran tamaño de las áreas de los pisos ocupados, las
potenciales dificultades para responder y contener una amenaza y la inhabilidad para efectuar una evacuación inmediata de un edificio completo
(debido a la capacidad limitada de las escaleras y ascensores, no todos los ocupantes pueden abandonar una instalación simultáneamente. También,
en algunos incidentes –especialmente incendios- los ascensores que llegan a los pisos afectados usualmente no son considerados un medio de escape
seguro).

La capacidad de mitigar amenazas para estructuras de altura depende de el diseño estructural y del uso de tecnología para disuadir y detectar una
amenaza, para comunicar su naturaleza y ubicación y para iniciar respuestas automáticas y organizacionales. Los conceptos de protección de riesgos
de vida son similares a aquellos desarrollados para un programa de seguridad: la planificación debe abordar los activos identificados en riesgo, y las
soluciones debiesen seguir los principios de disuadir, detectar, demorar y responder.

La protección de riesgos de vida está determinada, primordialmente, por los códigos de construcción e incendios. A primera vista, esto parece
simplificar la toma de decisiones, pero los estándares15 son diseñados sólo para una protección mínima y su interpretación requiere a menudo de un
experto en códigos y de la aclaración de la autoridad local que hace cumplir la ley o reglamento.

Los problemas de protección de la vida pueden tener impactos en la seguridad. El administrador de seguridad de un edificio puede tener ambas
tareas a su cargo, a pesar que, en ocasiones, estas funciones pueden tener objetivos opuestos. Por ejemplo, la seguridad de la vida obliga que todos
los ocupantes tengan permitido un egreso sin impedimentos de un área; sin embargo, la seguridad preferiría no permitir que un ladrón, que ha
robado algo, tenga tal libertad de escape. Muchas veces se requieren medidas de control de acceso creativas, conformes a los códigos de seguridad
de vida aplicables (ver una discusión detallada más adelante en este capítulo).

Aspectos de Protección de la Vida

Las amenazas16 más importantes en estructuras de altura incluyen incendio, explosión y la contaminación de los sistemas de soporte vital, como el
aire y el suministro de agua potable. Estas amenazas pueden ser actualizadas de forma accidental o intencional, y debido a que se propagan
rápidamente, pueden llegar prontamente a niveles catastróficos.

Las factores más significativos que afectan la protección de la vida en estructuras de altura son los siguientes:

1. Detección temprana y precisa de la ubicación de peligros incipientes

2. Comunicaciones confiables a través de la estructura y con agencias exteriores
3. Garantizar rutas de escapes seguras
4. Aplicación oportuna de medidas de control (como extinguidores de incendios, contención o reemplazo de aire contaminado, cortar o filtrar agua
potable y contención y remoción de explosivos)

Se le da especial atención a los incendios en estructuras de altura. Los edificios tienden a contener grandes cantidades de material combustible, y la
posibilidad de que un incendio grave podría moverse hacia arriba (sobre todo si la estructura no está protegida con un sistema de rociadores
automáticos) está siempre presente. Como hace notar una fuente:

A pesar de que los incendios son casos poco frecuentes, si uno se produce, todos en un edificio deben reaccionar rápidamente. En otras situaciones
de emergencia, como una tormenta de invierno o disturbios civiles, la reacción inicial a las alertas tempranas de este tipo de emergencia no
determinará necesariamente su impacto en el edificio. En una emergencia de incendio, sin embargo, los primeros 3 a 4 minutos son críticos. El
manejo oportuno de una emergencia de incendio de acuerdo con los procedimientos adecuados, puede ayudar a detener que el evento se convierta
rápidamente en un problema mayor (Craighead, 2003, p. 308).

Aspectos de Vulnerabilidad del Edificio

La integridad estructural y los servicios esenciales, como la iluminación, comunicaciones, ascensores y escaleras, pueden verse amenazadas en el
evento de un incendio o una explosión. Varias amenazas a estructuras de gran altura pueden propagarse hacia arriba, abajo u horizontalmente, el
fuego, por ejemplo, puede propagarse a pisos superiores, por la tendencia natural de los gases calientes a elevarse. Pero si los materiales
combustibles (tales como los revestimientos para paredes y suelo) siguen un patrón descendente, particularmente en la ausencia de una adecuada
separación de tabiques de piso a techo. En grandes incendios, sin contención ni supresión temprana, el fuego podría propagarse en las tres
direcciones. En explosiones o incendios sostenidos, el colapso parcial o total del edificio podría causar múltiples heridos y muertes.

Contaminantes en el aire, como el humo17 o agentes químicos o biológicos, pueden viajar en el aire desde el punto de entrada por medio de un
patrón de distribución. Si el patrón involucra regreso y recirculación, los contaminantes pueden ser distribuidos repetidamente a través de las misma
áreas, a menos que sean filtrados o se apague el sistema de distribución. Si una sola unidad de tratamiento de aire sirve a múltiples pisos, la
contaminación puede afectar a todos los pisos servidos por esa unidad. Dependiendo del sistema de tratamiento de aire, los contaminantes pueden
viajar hacia arriba, abajo u horizontalmente en cualquiera de los pisos involucrados.

Los contaminantes en el suministro de agua se mueven con el agua desde el punto de introducción. Un ataque exitoso en el sistema de suministro de
agua puede ser difícil, porque cualquier abertura en una cañería cargada causará un derrame. Pero si se encuentra una válvula o un punto de control
y el flujo de agua se detiene temporalmente, el contaminante puede ser introducido aguas abajo de la válvula y se moverá con la corriente cuando la
válvula sea reabierta. Si se puede encontrar un punto como este cerca del comienzo de la cañería de distribución, sería posible contaminar una gran
parte del sistema. Gases y sólidos disueltos en una solución pueden ser insertados en el agua para puntos de salida como lavabos, fuentes de agua y
baños. Contaminantes más pesados podrían acumularse en las rejillas y adherirse a las cañerías, pero también podrían ser liberados en los puntos de
salida. Para los agentes altamente tóxicos, el grado de exposición puede ser suficiente para causar graves daños. Incluso si es introducida sólo una
pequeña cantidad de un agente altamente letal, su efecto podría generalizarse, debido al uso sostenido del agua antes que la contaminación sea
detectada.

Por lo general las instalaciones de comunicaciones en una gran altura se enrutan a través de canalizaciones verticales comunes para toda la altura de
la estructura y se distribuyen horizontalmente a través de empalmes o puertos de servicios en cada piso. En los sistemas de alambre de este tipo, una
ruptura completa del cable podría detener todo el servicio hacia abajo del punto de corte y también podría afectar el uso arriba del corte, al
interrumpir la vía directa. La interrupción de las comunicaciones, tanto adentro como afuera del edificio, puede tener graves consecuencias,
afectando particularmente las comunicaciones de emergencia. Por esta razón, los sistemas de comunicación de señales de alarma y de
comunicaciones debiesen ser distribuidos de manera que los puntos localizados puedan operar independientemente, incluso cuando la comunicación
con un panel de control central o procesador haya sido interrumpida.

Amenaza de Bomba
La planificación de la protección de la vida también debe tener en cuenta las bombas. El riesgo de que un ocupante, visitante o un repartidor pueda
introducir una cantidad de material explosivo en un edificio es posible. El uso de equipos de detección, tales como detectores de explosivos,
máquinas de rayos X y detectores de metales, puede mitigar esta amenaza. Rigurosos procedimientos de control a vehículos pueden reducir la
posibilidad que una gran cantidad de material explosivo sea transportado a la parte inferior de un edificio, o a la zona de estacionamiento
subterráneo o muelle de carga. Sin embargo, en un entorno urbano lleno de gente, es difícil prevenir la destrucción que podría causar vehículo
cargado con bombas estacionado cerca de un edificio.

Para construcciones nuevas, una posibilidad es diseñar estructuras que soportan la detonación de una cantidad definida de explosivo sin una falla
progresiva de la estructura. Maximizar la distancia entre un vehículo estacionado y el edificio –v.gr setback18- es importante, como lo es el diseño
de ventanas. Desafortunadamente, tales soluciones involucran costos que tienen que estar justificados por la probabilidad19 de ocurrencia de tal
evento. Para edificios existentes, el costo de estas soluciones puede ser prohibitivo, aun cuando algunas mejoras en la distancia entre vehículos
estacionados y el edificio se pueden alcanzar por medio del uso de jardineras pesadas, bolardos y otras barreras y restricciones de estacionamiento.
También se pueden aplicar películas de seguridad a ventanas existentes para reducir la posibilidad de fragmentos de vidrio volando, lo que podría
 causar serias lesiones y daños.

Al evaluar si una instalación en particular está en riesgo de un ataque con bomba, se deben considerar las siguientes preguntas:

1. ¿Es el edificio un objetivo probable (por ejemplo, ser un punto de referencia que pueda atraer la atención)?
2. ¿Alguno de los ocupantes del edificio es un objetivo específico/particular para terroristas domésticos o internacionales?
3. ¿Es el edificio un objetivo obvio, fácil y débil debido a pobres medidas de seguridad?
4. ¿Alguno de los edificios cercanos es un probable objetivo? (y, por lo tanto, ¿una explosión en algún edificio cercano podría causar daño
colateral?)

En muchos casos, la probabilidad de que un edificio en particular sea un objetivo es mínima. Sin embargo, debiesen estar actualizados y ensayados
los planes de manejo de emergencias, incluyendo la preparación para evacuación de los ocupantes, para que si una amenaza como esa se
materializa, el edificio esté preparado para responder apropiadamente. Tal preparación es particularmente importante para estructuras de gran altura,
comparado con las de baja altura. Un edificio de un piso permite una evacuación de emergencia rápida para sus ocupantes, por medio de múltiples
rutas horizontales, mientras que el egreso desde los pisos superiores de uno de gran altura necesita las mismas rutas horizontales, más vías verticales
de descenso a través de ascensores (si su uso está disponible y es seguro20) y escaleras. Las escaleras se podrían congestionar si ocurre una
evacuación total del edificio. También descender muchos pisos por la escalera puede ser muy difícil para personas con movilidad completa y
virtualmente imposible para personas discapacitadas o con problemas de movilidad sin la asistencia de otros o del uso de dispositivos mecánicos de
evacuación, como sillas.

2.2.2 TRATANDO CON EL PROBLEMA DE PROTECCIÓN DE LA VIDA

La amenaza de un incendio o de un evento relacionado con fuego obviamente afecta tanto a personas como a la propiedad. Muchas contramedidas
que ayudan a la protección de la vida tienen un impacto directo en la protección de activos. Cualquier cosa que ayude a una respuesta segura a una
emergencia contribuye a la protección total de activos, en particular, la protección de la vida de los ocupantes de un edificio. Sin embargo, algunas
emergencias que pueden parecer como amenazas a la protección de la vida pueden ser distracciones diseñadas para permitir el acceso sin
impedimentos o un ataque a activos físicos. Un buen ejemplo involucra a un edificio de oficinas en el que las escaleras de emergencias del edificio
están normalmente cerradas desde el interior de la caja de escaleras (para prevenir el reingreso a un piso), pero están equipadas con un sistema de
detección de fuego que automáticamente desbloquea las puertas cuando ocurre una alarma de incendio. Un intruso con conocimientos podría
generar un evento, quizás activando una estación manual de alarma de incendios21, la que podría gatillar una respuesta automática, y así proveer
acceso a una determinada ubicación a través de la escalera. Durante un incidente como ese, los ocupantes probablemente estarán más preocupados
de responder a la emergencia percibida y no de asegurar los activos físicos, lo que aumenta la probabilidad de éxito del ataque.

Un ejemplo como este no sugiere que el sistema de seguridad de vida de incendios no debiese tener un sistema de desbloqueo automático para las
puertas de las escaleras en una emergencia. La preocupación primaria es la protección de la vida y, a menos que se sepa claramente que una
emergencia es un engaño, las medidas de seguridad de vida deben tener la prioridad. El ejemplo sí sugiere que no es sabia la dependencia completa
en puertas de escaleras bloqueadas, como medida de control de acceso, en un edificio equipado con mecanismos de desbloqueo automático.

Medidas de protección adicional se deben agregar para aumentar la confiabilidad de las escaleras de incendio bloqueadas22 como medida de control.
Este problema se discute detalladamente más adelante en este capítulo.

Cumplimiento del Código Local

El primer paso para garantizar la protección de la vida es cumplir con los códigos locales de construcción e incendios aplicables a la estructura. Sin
embargo, un edificio, particularmente una estructura antigua, aun cuando cumpla con los códigos locales al momento de la construcción,
posteriormente no reflejará necesariamente los mejores enfoques, o los más avanzados, de protección de la vida23. El edificio puede requerir
cambios subsecuentes para actualizarse y cumplir con los códigos nuevos.

En relación a las consideraciones de costos, cumplir o exceder los requerimientos de los códigos actuales puede lograr concesiones en otros ámbitos
que compensen el incremento en los costos. Por ejemplo, puede ser posible lograr reducciones en las primas de seguros comerciales o de las
cantidades establecidas en los fondos de reserva por el gasto en riesgos retenidos.

Detección de Incendios
Esta debe ser la primera prioridad. La detección de incendios –más apropiadamente, la detección de productos de combustión o del proceso de
combustión- es el primer paso en cualquier respuesta, que va desde el confinamiento a extinguir, evacuar y escapar.

La detección de incendios debe considerar la naturaleza especial de una estructura de altura; esto es, debe ser precisa en indicar dónde se encuentra
el incendio y qué etapa ha alcanzado. Hace tiempo que los códigos de incendio requieren que dispositivos manuales de alarma de incendios se
ubiquen en la ruta de salida normal de un área, en cada piso de una estructura de múltiples pisos. Sin embargo, la dependencia exclusiva de un
sistema como este no es suficiente. Por ejemplo, si quien detecta un incendio en el cuarto piso de una instalación, sale corriendo escaleras abajo y en
su escapada del edificio activa la estación de accionamiento manual de alarma de incendios del lobby, ¿qué dice eso respecto del incendio? El
sistema de alarma de incendios puede decir “Incendio en el Lobby” –la inferencia lógica dada la ubicación de la estación de accionamiento manual
de la alarma. Eso puede generar una respuesta equivocada. Una estación de accionamiento manual garantiza que las personas tengan la oportunidad
de señalar una emergencia de incendio, y advertir a los demás ocupantes, mientras escapan, pero no garantiza que el área de emergencia será
identificada con precisión. La respuesta no está en la eliminación o reubicación de dispositivos manuales, sino en mejorar el sistema con
mecanismos de detección que ayuden a determinar la ubicación exacta de la emergencia de incendio. El medio de detección de incendios
subsecuente debiese ser distribuido a lo largo de una estructura de gran altura para optimizar una detección temprana y precisa (también, ver el
volumen Protección de Activos de seguridad física, para información adicional sobre sensores de detección de incendios).
Detectores de Humo
Los detectores de humo son dispositivos de detección automática de incendios diseñados para detectar la presencia de humo. Una fuente los
describe como sigue (Craighead, 2003, p.187):
Los detectores de humo generalmente están localizados en áreas abiertas, espacios bajo cielos falsos, espacios bajo pisos elevados (sobre todo en salas de informática y
centros de datos), áreas de cafetería, sistemas de ductos de aire, vestíbulos de ascensores de personas y de servicio/carga, cajas (shaft) de ascensores, salas de máquinas de
ascensores, escaleras cerradas, cajas del montacarga (dumbwaiter24), rampas y las salas de equipos eléctricos y mecánicos. La ubicación y el espaciamiento específico de los
detectores de humo son determinados por una evaluación de las leyes, códigos y normas locales y por cuestiones de ingeniería.

Incluso un fuego incipiente, controlado antes de que se queme la estructura, puede tener costosas consecuencias en muchos espacios interiores
dentro de una instalación de gran altura.

Detectores de Calor
Los detectores de calor son dispositivos de detección automática de incendios diseñados para sentir una temperatura determinada o un cambio
rápido en la temperatura. El Manual de Protección de Incendios25 señala (Roberts, 2003, p. 9-17):
Los detectores de calor son muy confiables y tienen la tasa de falsas alarmas más baja de todos los detectores automáticos de incendios. Ellos son los más adecuados para la
detección de incendios en espacios pequeños y cerrados, donde se espera la generación rápida de incendios de alta temperatura, en zonas donde las condiciones ambientales
no permitirían el uso de otros dispositivos de detección de incendios, o donde no se requiere la advertencia muy temprana de incendios.

Alarmas de Rociadores y Tuberías Verticales

Donde se han instalado sistemas de tuberías verticales, mangueras y rociadores automáticos, son apropiadas las alarmas de flujo de agua y de
posición de válvula. Un sistema de tuberías verticales en un edificio de gran altura está diseñado para transportar agua verticalmente a los pisos
superiores del edificio, de manera que un incendio pueda ser combatido manualmente con mangueras. Un sistema de rociadores está definido como
(Puchovsky, 2003, p.10-189):
una combinación de tuberías subterráneas y aéreas conectadas a un suministro automático de agua y que se instala en todo el edificio. La tubería es de un tamaño especial o
hidráulicamente diseñado con esa porción de la tubería dentro del edificio, situado generalmente en lo alto. Los rociadores están unidos a la tubería aérea en un patrón
sistemático y una válvula que controla cada elevador se encuentra, ya sea directamente en el tubo de subida, o en el sistema de tuberías de suministro. El sistema se activa
normalmente por el calor del fuego y descarga agua sobre el área de fuego. En la tubería de retorno del sistema se encuentra un dispositivo de accionamiento de una alarma
cuando el sistema opera.

Naturaleza de los Sistemas de Alarma de Incendios

Los sistemas modernos de alarmas de incendio son computarizados y son similares en la arquitectura del sistema a los sistemas de alarma de
seguridad. Dispositivos de campo, tales como detectores de humo y mecanismos de control de aire, se conectan a los paneles de campo, los que se
conectan a la computadora central. Algunos de los dispositivos de campo pueden estar conectados en series largas, pero aún así ser contactados
individualmente usando, por ejemplo, nombres individuales, los que reportan cuando comunican su estatus.

Algunos códigos prohíben que el sistema de alarma de incendio realice otra función que no sea la de protección de la vida y además prohíben el uso
de cualquier componente o dispositivo que no ha sido aprobado para aplicaciones de protección de la vida. Dependiendo de las autoridades locales,
esto puede impedir el uso de los sistemas de alarmas de incendio para monitorear o controlar los dispositivos de seguridad y puede también impedir
el uso del sistema de seguridad para monitorear o controlar un dispositivo de protección de la vida.

Donde existen tales restricciones, la liberación obligatoria de ciertos dispositivos eléctricos de bloqueo (normalmente controlados por un sistema de
control de acceso/monitoreo de alarma) durante una emergencia de incendio, requiere un cuidadoso diseño coordinado de los sistemas.
Normalmente, el sistema de alarma de incendio puede no enviar una señal directamente al sistema de seguridad, o sus paneles de campo, sino que
controla un relé aprobado que se conecta a un bloqueador de fuente de energía aprobado. Todo el alambrado asociado debe cumplir con el código, y
el sistema de bloqueo en sí mismo debe ser a prueba de fallas (v.gr.disenado para desbloquear bajo cualquier condición de falla, como cuando se
desconecta la energía).

Extinguidores
Los rociadores automáticos son un aspecto esencial de la protección contra incendios en estructuras de gran altura. Como lo señala el Fire
Protection Handbook
Cuando hay rociadores presentes, la posibilidad de morir en un incendio y de pérdida de la propiedad por incendio se reducen en uno a dos tercios, comparado con incendios
reportados a los departamentos de bomberos en los que no hay rociadores...Cuando los rociadores no producen resultados satisfactorios, las razones usualmente involucran a
uno o más de las siguientes: (1) sistemas parciales, anticuados, mal mantenidos o inapropiados; (2) explosiones o combustiones súbitas que sobrepasan al sistema antes que
pueda reaccionar26; o (3) incendios muy cercanos a personas que pueden morir antes que el sistema reaccione.

Otros Sistemas Fijos

Los sistemas de tuberías verticales y mangueras se encuentran por lo general en edificios altos o áreas grandes (Shapiro, 2003, p. 10-351). Ellos
consisten de pequeñas conexiones de mangueras, o quizás pequeños bastidores de manguera para uso interno, junto con conexiones más grandes
para el uso de bomberos. El Fire Protection Handbook señala:
Los sistemas de cañerías verticales pueden mejorar significativamente la eficiencia de operaciones contra incendios manuales, al eliminar la necesidad de mangueras largas e
incómodas de aparatos de fuego a un incendio. Incluso en edificios que están protegidos por rociadores automáticos, los sistemas de cañerías verticales juegan un rol
importante en la seguridad contra incendio de un edificio, al servir como respaldo por, y complementar a, los rociadores (Shapiro, 2003, p. 10-351).

Además del agua (el agente primario en la extinción de incendios en la mayoría de las estructuras de gran altura), los agentes extintores incluyen
sistemas de químicos secos y húmedos, dióxido de carbono, halón y sistemas de substitución de halón27, los que tienen aplicaciones especializadas
para estas estructuras. Los sistemas de químicos secos y húmedos se utilizan mayormente para campanas de restaurantes, conductos y equipamiento
de artefactos de cocinas que se encuentra en las cocinas y cafeterías. Halón y substitutos de halón y, en algunas circunstancias, dióxido de carbono,
son usados en salas de conmutación de equipos eléctricos y en instalaciones de computadoras e instalaciones de procesamiento de datos. En un
edificio con rociadores de agua, el costo de otros sistemas fijo separados, y el costo estimado de los daños posibles en un evento de activación de
este tipo de sistemas, debiese ser comparado con el costo de protección de rociadores y el costo probable de daños relacionados con el agua de un
sistema de rociadores.

Control de Humo
El humo puede ser dañino para las personas y la propiedad, incluyendo al edificio mismo y sus contenido. Una manera obvia de controlar el humo
es restringir el uso de materiales sintéticos inflamables en el mobiliario y muebles modernos. Tales materiales, si es posible, debiesen mantenerse al
mínimo y sólo aquellos con calidad resistente al fuego debieran ser permitidos en edificios. Por supuesto, la proliferación de sistemas de
computación personal en el lugar de trabajo ha vuelto más difícil la restricción de materiales combustibles. Las medidas de control de humo son
afectadas por el diseño y construcción de un edificio. El Fire Protection Handbook señala:
El humo se puede comportar de forma muy diferente en edificios altos que en edificios bajos. En edificios bajos la influencia del fuego, ya sea como calor, el movimiento
convectivo y la presión del fuego, generalmente son los factores que causan el movimiento del humo. La remoción del humo y las prácticas de ventilación reflejan esta
conducta. En edificios altos, estos mismos factores son complicados por el efecto de succión (o chimenea), que es el movimiento natural vertical del aire a través de un
edificio, causado por la diferencias en temperatura y densidad entre el aire interior y exterior. Este efecto de succión puede volverse un factor importante en el movimiento
del humo y en el diseño de las características del edificio utilizadas para combatir el movimiento. Los factores predominantes que causan el movimiento de humo en
edificios altos son el efecto de succión, la influencia de fuerzas de viento externas y el movimiento forzado de aire dentro del edificio28 (Mike, 2003, p.12-116)

El movimiento forzado de aire es causado por el equipo de tratamiento de aire de un edificio y por los sistemas de aire acondicionado y ventilación.
Calefacción, ventilación y aire acondicionado (heating, ventilating, and air-conditioning, HVAC de ahora en adelante, por sus siglas en inglés) y
aire acondicionado y sistemas de ventilación (ACV de ahora en adelante, por sus siglas en inglés) se encuentran en la mayoría de los edificios de
gran altura.

Como observa un autor, “Los sistemas de aire acondicionado y de ventilación, excepto por las unidades auto-contenidas, invariablemente involucran
el uso de ductos para distribución de aire. Los ductos, a su vez, presentan la posibilidad de propagar el fuego, los gases del fuego y el humo por todo
el edifico o el área servida” (Webb, 2003, p.12-237). Por lo tanto, “la ubicación del equipo y de las tomas de aire fresco, los tipos de filtros de aire y
limpiadores, los sistemas de ductos y plenums29, y la utilización del humo y cortafuegos son cruciales para limitar y contener un incendio” (Webb,
2003, p.12-237).

No es posible tratar a fondo un tema tan complejo como el control del humo dentro del alcance de este capítulo, en particular porque el
funcionamiento de los sistemas diseñados para controlar el movimiento del humo varían sustancialmente de un fabricante a otro y de un edificio a
otro, y también difieren de acuerdo con las leyes, códigos y normas en vigor en el momento que se ha instalado el sistema. Sin embargo, en
términos generales, hay dos enfoques básicos en esta edición. Para restringir la propagación del fuego y el humo en todo un edificio o área “se
puede apagar el sistema HVAC y aislar el fuego o compartimentarlo en la zona30. Otra aproximación es permitir que los ventiladores continúen
funcionando, utilizando el sistema de ductos de aire para control de emergencia del humo” (Webb, 2003, p.12-241). Más aún, “en muchos edificios
de gran altura, cuando ocurre una alarma de incendios, hay una presurización automática de la caja de escaleras que utilizan ventiladores mecánicos
que mantienen el humo fuera de la caja de escaleras” (Craighead, 2003, p. 207).

Notificación a Bomberos o Servicios de Emergencia

Cuando ocurre un incidente que involucra al sistema de protección de la vida de un edificio, inmediatamente deben ser notificados el departamento
de bomberos o los servicios de emergencias. Además de la notificación por parte del personal designado en el edificio, el código local podría
requerir la supervisión del sistema de protección de la vida mediante una estación central fuera del lugar, o por el propio departamento de bomberos,
o bien, ésta puede ser una medida adicional de protección de la vida tomada por el dueño o administrador del edificio.

Notificación a los Ocupantes

Cuando ocurre un incendio o una alarma de incendio en una estructura de gran altura, es fundamental que todos los ocupantes afectados y los
equipos de respuesta sean notificados con prontitud. Como indica el Fire Protection Handbook:
Los sistemas de alarma de incendio...protegen la vida al indicar automáticamente a los ocupantes la necesidad de evacuar o de reubicarse en un área de seguridad. También
pueden notificar a las fuerzas de emergencia u otras personas responsables quiénes pueden ayudar a los ocupantes o ayudar a controlar y extinguir el fuego. Aparatos de
notificación audibles y visuales alertan a los ocupantes y, en algunos casos, a las fuerzas de emergencias, y les entregan información a ellas (Schifiliti, 2003, p.9-35). Un
sistema de alarma de incendios que simplemente emite una señal audible [en la forma de campana, sirena o pito] y luces estroboscópicas parpadeantes en un espacio
transmiten sólo una parte de la información: alarma de incendio. Los sistemas que envían anuncios de voz31 o que usan textos o anunciadores gráficos generalmente
transmiten múltiples partes de la información. Estos pueden señalar una alarma de incendio y entregar una ubicación e información específica sobre cómo y dónde evacuar o
reubicarse...Cuando se entrega información detallada acerca de la emergencia de incendio, las personas tienden a evacuar más rápida y efectivamente...Aparatos audibles y
visibles también pueden ser usados para señalar una condición de problema32 en el sistema de alarma de incendio, o pueden ser usados como señales supervisoras para
indicar una condición o estatus de otros sistemas de protección de incendio, por ejemplo, rociadores automáticos (Schifiliti, 2003, p.9-35).

Un sistema de megafonía (public address, PA de ahora en adelante, por sus siglas en inglés) es un sistema de un solo sentido que permite la
comunicación de voz del anunciador de incendio y del panel de control del edificio (que en muchas estructuras de gran altura se encuentra en una
sala conocida como el centro de comando de incendios o la sala de control de incendios) a los ocupantes del edificio.

Planificación de Emergencia
Para abordar adecuadamente la protección de la vida en una estructura de gran altura, es esencial la creación de un plan integral de manejo de
emergencias. Un plan de gestión de emergencias describe las acciones a ser tomadas por una organización para proteger a los empleados, el público
y otros activos contra las amenazas de desastres naturales y de origen humano. En el desarrollo de un plan de gestión de emergencias, los gerentes
anticipan posibles amenazas y diseñan reacciones iniciales antes de que sucedan, para que, en caso de emergencia, pueden concentrar su tiempo y
esfuerzos en las acciones más importantes que se requieren.

Para una estructura de gran altura, el plan debiese abordar materias como las siguientes:
 • señalización de evacuación publicada que marca claramente los medios de evacuación desde las áreas dentro del edificio
• descripción de los tipos de sistemas de emergencia y de los equipos, y cómo operan
• la naturaleza de la organización del personal de emergencia del edificio (incluyendo la administración del edificio y el director de seguridad de
incendios; ingeniería, seguridad, conserjería y personal de estacionamiento; y personal de respuesta de cada piso, como encargados de piso y
otras personas necesarias, incluyendo a aquellos responsables de asistir a las personas discapacitadas) que se encargarán de la respuesta de
emergencia hasta que lleguen las agencias de respuesta exteriores
• detalles de contacto de personas y agencias necesarias en una emergencia
• procedimientos para el personal de emergencia del edificio para tratar cada emergencia prevista para el edificio, incluyendo los métodos de
evacuación y reubicación33
• cómo los ocupantes, encargados de piso y el personal de emergencia del edificio son entrenados en protección de la vida, incluyendo la
frecuencia y la naturaleza de los simulacros de emergencia –comúnmente llamados simulacros de incendios

Por supuesto, el plan debe mantenerse actualizado para ser efectivo.

2.3 CONSIDERACIONES DE SEGURIDAD

2.3.1 PREOCUPACIONES ESPECIALES DE ESTRUCTURAS DE ALTURA

Previamente, este capítulo abordó las preocupaciones especiales de estructuras de gran altura desde una perspectiva de protección de la vida. Ahora
estas preocupaciones se abordarán desde una perspectiva de seguridad. Como observa una fuente (Craighead, 2009, p. 28-29):

Desde una perspectiva de seguridad, los edificios de gran altura difieren de los edificios de baja altura de la siguiente manera:

1. La existencia de múltiples pisos ocupados, uno sobre otro, usualmente34 significa una mayor concentración de ocupantes y, por lo tanto,
más bienes que pueden resultar dañados o robados, comparado con edificios de baja altura. El potencial de robo aumenta, porque la
concentración de propiedad vuelve al sitio más atractivo para criminales; también, a mayor concentración de personas, mayores
posibilidades de la anonimidad del ladrón, particularmente si ella o él se viste y comporta como los otros usuarios del edificio.
Kitteringham señala que “muchos edificios altos y de gran altura están ubicados en distritos de negocios centrales. Su proximidad a
tránsito masivo y su facilidad de acceso al público general los pone en un particular riesgo para ladrones profesionales”35.

2. Mientras más individuos reunidos en una misma ubicación al mismo tiempo, mayores son las posibilidades que una de estas personas
cometerá un crimen contra otra. Una de las dificultades de hacer (tales) aseveraciones es la falta de análisis de patrones de crímenes36 para
edificios de gran altura. La incidencia de crímenes en cualquier edificio, ya sea si es de baja o gran altura, es afectada por factores como el
vecindario en el que se encuentra ubicado, el diseño del edificio, el uso y el tipo de ocupantes, y el programa de seguridad del lugar.

3. Además, aun cuando esto puede parecer evidente, todos los edificios de gran altura tienen escaleras y ascensores, y un edificio bajo, de un
piso, no. Una caja de escalera, porque es un área relativamente no usada (además de las evacuaciones de emergencia), puede ser el lugar de
un crimen, como un asalto (incluyendo aquellos de naturaleza sexual) o un robo. Un ascensor también puede ser la escena de vandalismo y
crímenes contra las personas.

El acceso y la salida de un edificio de gran altura generalmente está concentrada en el centro de la estructura del edificio, donde se provee
transportación vertical, como ascensores y escaleras. La autentificación y control de ingreso y egreso requiere especial consideración. La aplicación
de medidas de seguridad significativas y eficaces para el entorno de un edificio de gran altura ayuda a minimizar el impacto de la mayoría de las
amenazas de seguridad.

El Problema de Activos Expuestos

Activos significativos pueden estar en riesgo en estructuras de gran altura. Como ha observado ASIS International Commission on Guidelines
(General Security Risk Assessment Guideline, 2003, p.6):

Los activos incluyen personas, todo tipo de propiedad, el negocio principal, redes e información. Las personas incluyen empleados, arrendatarios,
invitados, vendedores, visitas y otros directa o indirectamente relacionados o involucrados con la empresa. La propiedad incluye activos tangibles
como efectivo y otros bienes de valor [v.gr. muebles, accesorios y objetos de arte] y activos intangibles como propiedad intelectual y derechos de
demanda. El negocio principal incluye el negocio o emprendimiento primario de una empresa, incluyendo su reputación y buena fe. Las redes
incluyen sistemas, infraestructuras, equipamiento relacionado con datos, telecomunicaciones y activos de procesamiento computacional. La
información incluye varios tipos de datos privados.

Muchos de estos activos son vulnerables no sólo a peligros naturales, sino que también a robo y daño malicioso. En edificios abiertos al público,
generalmente el gran número de personas que se mueve en halls, corredores, ascensores, escaleras y áreas públicas vuelve a los activos aún más
vulnerables.

Para efectos de la protección a gran altura, no es relevante que el riesgo de pérdida sea compartido por varias organizaciones. La necesidad de
protección se deriva de la naturaleza de los activos y no de la identidad de los propietarios. Si un arrendatario con una alta exposición opta por no
proteger sus activos, puede haber una amenaza para otro arrendatarios, porque los activos no protegidos podrían atraer a los atacantes al edificio. El
esquema de protección final debe implicar un esfuerzo cooperativo entre el propietario del edificio, el administrador y los propios arrendatarios.
2.3.2 PROTECCIÓN DE LA VIDA Y EL DILEMA DE LA SEGURIDAD

Como se mencionó anteriormente en este capítulo, los factores que complican la protección de la vida en estructuras de gran altura también pueden
crear problemas de seguridad. Por ejemplo, disposiciones del código que requieran capacidad de salida sin obstáculos en todo momento cuando el
edificio está ocupado, significa que es posible salir con poca o ninguna vigilancia. Durante emergencias reales, las fuerzas de seguridad puedan no
estar preparadas para la demanda conjunta de respuesta a la emergencia y refuerzo de la seguridad.

Más aún, algunos requerimientos de protección de la vida hacen posible que dos personas monten un evento que puede volver vulnerable una
ubicación dentro de un edificio. Una persona puede simular una emergencia de incendio en un nivel y activar una alarma de incendio manual, y un
cómplice en otro nivel muy lejos de la ubicación objetivo puede aprovecharse de las puertas destrabadas debido a la emergencia. Para mantener la
seguridad bajo tales circunstancias se pueden usar contramedidas. Estas pueden incluir alarmas de intrusión y vigilancia por video con visualización
de cámaras con alarmas de activación y grabación de video.

Las secciones siguientes abordan los recursos de seguridad disponibles y sus aplicaciones adecuadas en la protección de estructuras de gran altura.
Con fines de ilustración, a continuación se describe un edificio de gran altura típico.

2.3.3 EDIFICIO DE GRAN ALTURA TÍPICO

El vestíbulo principal de la planta baja de un edificio de oficinas de gran altura típico se ilustra en la Figura 2-1.

Figura 2-1
Planta Baja de un Edificio de Oficinas de Gran Altura

Los datos del perfil para el edificio ficticio son los siguientes:

• El edificio tiene 40 pisos de alto.

• Tiene alrededor de 6.000 ocupantes divididos en más o menos 150 ocupantes por piso.
• Los ascensores para personas en cada uno de los tres bancos sirven aproximadamente a un tercio del edificio, mientras que los ascensores de
servicio o carga sirven a todos los pisos, desde el nivel de subterráneo al 40.

Los dos niveles subterráneos, B-1 y B-2, tienen áreas mecánicas y de almacenamiento servidas por dos cabinas de ascensor y por el banco de
ascensores de baja altura (banco C). El nivel B-1 cuenta con una entrada de vehículos a través de la rampa que se muestra en la figura H. La entrada
de la rampa es asegurada al nivel de la calle por una puerta de metal enrollable de altura y en la parte inferior de la rampa por una reja de metal
enrollable de altura. En el interior del área protegida por esta última, hay una plataforma de carga con capacidad para cuatro camiones, que es
servida por los ascensores de servicio.

2.3.4 MODOS DE OPERACIÓN DEL EDIFICIO

Antes de discutir las medidas de seguridad, es útil entender algunos conceptos de seguridad comunes para estructuras de gran altura. El primer
concepto es edificios “abiertos” o “cerrados” :

1. Edificios “Abiertos”. Generalmente el acceso no tiene restricciones en el nivel de entrada del edificio. Los arrendatarios y empleados del
edificio y las visitas se dirigen directamente a su piso de destino, a través de las escaleras del edificio, donde quien ocupa el espacio determina
el nivel de control de entrada y de seguridad. Los edificios abiertos pueden tener un conserje o un escritorio de seguridad al nivel de la calle
para entregar instrucciones y disuadir el acceso de “indeseables” (si estos son fácilmente identificables como tales) y para implementar
procedimientos de seguridad para mensajeros, repartidores y contratistas.

2. Edificios “Cerrados”. El acceso a las cajas de ascensores en el nivel de entrada del edificio es controlado por alguna forma de revisión de
credenciales, las visitas son autentificadas antes de dirigirse a los ascensores y en ocasiones se provee un centro de mensaje separado.
 3. Edificios “Híbridos”. Cuando una importante cantidad de arrendatarios ocupa gran parte del edificio, uno o más ascensores pueden designarse
como cerrados, mientras que otros ascensores que dan acceso a múltiples arrendatarios son operados en modo abierto.

El segundo concepto es que los edificios operan en diferentes modos, dependiendo del tráfico, el nivel de ocupación, horas del día y días de la
semana:

1. Horario laboral. El modo regular de la seguridad de un edificio opera durante las horas laborales regulares para la mayoría de los arrendatarios.

2. Horario intermedio. Este es usualmente una a dos horas antes y después del horario laboral regular y posiblemente los sábados, cuando la
ocupación es leve y se requiere de seguridad reforzada. Las puertas principales pueden permanecer desbloqueadas, pero los arrendatarios y
visitas son revisados más detenidamente.

3. Horario no laboral o después del horario laboral. Durante la noche, fines de semana y festivos, cuando hay pocos arrendatarios presentes, se
requiere una seguridad reforzada, particularmente cuando los equipos de mantención y limpieza están trabajando y cuando se desarrollan
actividades especiales (como entregas a los arrendatarios y modificaciones de espacios de los arrendatarios). Las puertas principales del edificio
están usualmente bloqueadas y la entrada requiere de una credencial, como una tarjeta de control de acceso, o que concurra un empleado del
edificio o un oficial de seguridad con un dispositivo de señalización (como un intercomunicador o timbre).

2.3.5 ELEMENTOS DEL EDIFICIO

Existen maneras sistemáticas de ver una estructura de gran altura.

El enfoque clásico es ver un propiedad en términos de anillos. El límite de la propiedad es el primer anillo, el edificio es el segundo y el espacio
interior específico es el tercero (Healy, 1983, Chapter 3). Este esquema necesita pequeñas variaciones para calzar con una estructura de gran altura:
la línea del edificio es usualmente el primer anillo, en un ambiente urbano normalmente la línea del edificio está adyacente a una acera pública; el
acceso al transporte vertical (escaleras, escaleras mecánicas y ascensores) es el segundo anillo; los pisos individuales y los pisos divididos el tercero.

Para efectos de control de acceso es útil dividir la estructura de gran altura en tres clases o tipos de espacios interiores:

1. Áreas comunes o de acceso público. Estas incluyen el vestíbulo de entrada de nivel de calle, el vestíbulo principal de los ascensores, las rutas de
acceso a espacios comerciales y restaurantes dentro de la estructura, las ramblas, entrepisos y, cada vez más en edificios nuevos, los atrios.

2. Ocupaciones arrendadas o asignadas (v.gr. espacios de los arrendatarios). Estas áreas son arrendadas, o son espacios ocupados por sus dueños,
en varios pisos. Dependiendo del ocupante, tales espacios pueden estar abiertos al acceso público durante las horas laborales o pueden estar
restringidos a personas identificadas o autorizadas.

3. Espacios de mantención. Estos incluyen salas y pisos de máquinas, puntos de acceso a comunicaciones y servicios públicos, salas de máquina
de los ascensores, clóset del conserje y espacios de acceso limitado estricto.

Las medidas de control de acceso son diferentes para cada clase o tipo de espacio, dependiendo del programa de seguridad.

Control de Acceso a Áreas Públicas

Para controlar el acceso de las personas que entran al vestíbulo principal del edificio, es necesario categorizar a dichas personas. Por ejemplo, los
arrendatarios regulares pueden tener una credencial –como una tarjeta de control de acceso- que permite una verificación rápida de su permiso para
entrar. Sin embargo, si las visitas necesitan ser autentificadas, se puede exigir una comunicación con el anfitrión de la visita. La Figura 2-2
ejemplifica algunas de las categorías de personas entrando al edificio y las áreas donde ellas pueden requerir el acceso. Para las áreas marcadas con
“?”, el acceso depende de las operaciones específicas y del nivel de seguridad requerido.

Figura 2-2
Tipo de Tráfico y Acceso

Un posible esquema de control para un edificio es que el acceso a todos los pisos sobre el vestíbulo principal sea controlado cerrando las cajas de
escalera del edificio o las escaleras de incendio contra la entrada desde vestíbulo, mientras se permite la salida libre al vestíbulo, y se ubican puntos
de control en cada banco de ascensores para personas. Para ser completamente efectivo, tal sistema requeriría que todas las personas que utilicen los
ascensores presentaran algún tipo de identificación personal y/o permitir la inspección de quienes entran a la propiedad. Esto puede ser aceptable
durante los períodos de seguridad reforzada. Sin embargo, en circunstancias normales, algunos arrendatarios del edificio pueden resistirse a medidas
de seguridad tan estrictas. Esto es especialmente cierto para arrendatarios con clientes sin cita previa. Si el edificio tiene un banco, por lo general se
encuentra en la planta baja y tal vez también utiliza parte de un sótano (por su bóveda y zonas de seguridad). El acceso al vestíbulo del banco suele
ser sin restricción.

Si las operaciones comerciales se limitan a la planta baja y se puede proporcionar acceso independiente desde la calle, la seguridad del edificio no
tiene por qué verse comprometida (dicha disposición es especialmente importante para un edificio cerrado que alberga, por ejemplo, un restaurante
o una cafetería abiertos al público. Es importante que las visitas puedan entrar en la cafetería o restaurante libremente, pero que no tengan acceso al
resto del edificio). Sin embargo, si el dueño de edificio ocupa algunos pisos y alquila otros, es importante planificar la asignación del espacio o
agrupación de los arrendatarios para facilitar el control de acceso, minimizar los costos y las molestias. Si, por ejemplo, el propietario planea ocupar
la mitad del edificio y alquilar la otra mitad, o hacer cualquier otra asignación entre los pisos de su propiedad y los de alquiler, el edificio puede
funcionar como un híbrido, y los siguientes puntos de planificación de seguridad deberían ser considerados:

1. Identificar ocupaciones particularmente sensibles del dueño. Estas incluyen oficinas ejecutivas, instalaciones de procesamiento de datos,
manipulación de efectivo o valores, actividades que involucran grandes cantidades de datos privados sensibles y cualquier otro espacio que el
dueño haya designado como crítico.

2. Aislar los espacios sensibles del dueño. En la medida de lo posible, los espacios sensibles debiesen estar agrupados en pisos que constituyan un
solo sector (a baja, media o gran altura) de la estructura.

3. Imponer control de acceso en el sector del edificio que contiene las ocupaciones sensibles. En un edificio típico de gran altura, asuma que el
dueño ha escogido ocupar los pisos servidos por los ascensores de gran altura (banco “A”) más la mitad de los de media altura (banco “B”), y
arrendar los otros. Las ocupaciones sensibles puede estar agrupadas en los pisos servidos por el banco de gran altura. Si en la ocupación del
sector de media altura, la división de pisos es más o menos igual, el vestíbulo de media altura podría estar dividido en mitades y los ascensores
de media altura programados para que la mitad de los carros sirvan a los pisos entre el 13 y el 19 y la otra mitad a los pisos entre el 20 y 27. La
mitad sirviendo a las ocupaciones sensibles (por ejemplo, pisos 20 a 27), entonces serán controladas de la misma manera y probablemente
usando al mismo personal de seguridad que controla el banco de gran altura, utilizando lectores de tarjetas y líneas u otros dispositivos de
control de tráfico. Si el ratio de ocupación cambia en la media altura, los controles pueden fácilmente ser abandonados sin afectar el elemento
de media altura.

4. Asegurarse que los controles no puedan ser anulados. Si los ascensores se han diseñado de manera que ciertas plantas sean comunes o
“cruzadas” por dos o más bancos de ascensores, es importante asegurarse que el traslado a un piso como estos no permita el acceso sin control a
una zona sensible. Por ejemplo, si el piso 27 se sirve tanto de los de gran altura como de los de mediana altura para permitir el cruce en esa
planta, sería necesario ya sea instalar un puesto de control de acceso con el personal de seguridad en el piso 27, o controlar el acceso a los pisos
sensibles utilizando lectores de tarjetas en los carros de los ascensores que sirven a ambas bancos. Si no se proporciona ningún piso de cruce, las
personas que deseen ir desde la gran altura a la altura media, o viceversa, deben descender al vestíbulo principal para trasladarse al otro banco
de ascensores.

Control del Ascensor

A lo largo de la vida de una estructura de gran altura, los cambios en la ocupación pueden requerir modificaciones a los requerimientos de control
de acceso. Es una gran ventaja si los ascensores para personas están diseñados originalmente (o adaptados cuando eso sea rentable) para permitir el
control de acceso de todas las plantas. Con un control como ese, es posible programar cada carro individualmente en cuanto a cómo responderá a las
llamadas dentro del carro desde los vestíbulos de ascensores. También es una medida de seguridad robusta la instalación de lectores de tarjetas en
todos los carros de ascensores, incluso si los lectores no están activados todo el tiempo. Una medida de seguridad adicional para examinar a las
personas antes que entren al ascensor es el uso de torniquetes. Si, en el futuro, debido a modificaciones en las necesidades de seguridad, el edificio
debe cambiar de ser un edificio abierto a uno cerrado, la transición se puede lograr programando los ascensores para estar bajo control de acceso con
tarjeta las 24 horas del día, los siete días de la semana, y entregando tarjetas de acceso sólo a aquellas personas autorizadas a acceder a los pisos
designados, por períodos de tiempos determinados por el administrador de los arrendatarios.

Ascensores de Servicio o Carga

Los ascensores de servicio o carga plantean problemas especiales en estructuras de gran altura, porque usualmente sirven a todos los niveles del
edificio. Si son auto servicio, la totalidad del programa de seguridad puede estar comprometido, a menos que los carros de servicio sean

• programados para no acceder a pisos sensibles sin disposiciones especiales

• que las puertas de las cajas del ascensor bloqueadas en los pisos sensibles, o
• que los ascensores de servicio lleguen a los pisos donde el vestíbulo o las puertas del vestíbulo estén bloqueadas, donde sea necesario

Más aún, los carros de servicio ofrecen una oportunidad para el movimiento no autorizado de bienes desde o entre los pisos accesibles. Asignar a un
operador a los carros de servicio o tenerlos disponibles sólo a petición del operador de seguridad ayuda a eliminar esta posibilidad. También puede
ser útil instalar lectores de tarjetas en los carros de los ascensores y cámaras de vídeo en los carros o en los vestíbulos de los ascensores. Bajo
cualquier circunstancia, se debe evitar el uso de los carros de servicio para el movimiento general de personas.

Caja de Escalera del Edificio

Las escaleras de salida de emergencia del edificio (cajas de escaleras del edificio) o las escaleras de incendios son parte de las áreas comunes o de
acceso público y deben estar accesibles para los ocupantes para escapar37 (especialmente cuando los ascensores del edificio no están disponibles o
es inseguro usarlos, como durante una emergencia de incendio). Dos factores controlan cómo se aseguran las cajas de escalera de un edificio. Uno
es determinado por las exigencias de los códigos locales de incendio y construcción. Durante el tiempo de ocupación, las cajas de escaleras del
edificio nunca deben estar bloqueadas en las rutas de salida. Sin embargo, el código puede permitir restricciones para reingresar desde la caja de
escaleras. Por ejemplo, algunas jurisdicciones permiten que las puertas que conducen desde la caja de escaleras al piso se bloqueen, siempre y
cuando cada cuatro pisos las puertas estén desbloqueadas para permitir que un ocupante pueda dejar el recinto de la caja de escaleras. Otras
jurisdicciones permiten el bloqueo de las puertas de la escalera siempre y cuando estas se desbloqueen automáticamente (o a prueba de fallos)
cuando se activa el sistema de protección de la vida contra incendios. El otro factor es si está permitido el movimiento de los ocupantes entre pisos,
a través de las escaleras. Se podría solicitar este movimiento (particularmente con arrendatarios en múltiples pisos), puesto que puede ahorrar
tiempo, reducir la demanda de ascensores, ahorrar energía, y es más conveniente para los ocupantes de un edificio moverse entre pisos. Sin
embargo, un arreglo como ese puede perjudicar la seguridad de las mismas escaleras (una mejor solución, quizás más costosa, es proveer una caja
de escaleras interna que sirva las necesidades de los arrendatarios de múltiples pisos). Si la jurisdicción local permite el uso de las escaleras, las
puertas de las escaleras tienen que estar equipadas con dispositivos de control de acceso, como lectores de tarjetas, así como de intercomunicadores
para permitir la comunicación de doble vía entre los ocupantes con el personal de seguridad del edificio. La selección de dispositivos de bloqueo
para puertas de cajas de escaleras de edificios de gran altura es fundamental para cumplir con los requerimientos de los códigos. Estas disposiciones
deben coordinarse estrechamente con las autoridades locales. La siguiente cita enfatiza el reto de las puertas de salida de escalera (Craighead, 2003,
pp. 130-131):

El hecho que la seguridad y protección de la vida contra incendios son disciplinas diferentes, y que sus prioridades a veces entran en conflicto
unas con otras, está muy bien demostrado en la puerta de salida de una escalera...la necesidad de mantener una salida inmediata [sin
restricciones] de la caja de escalera en la planta baja, ofrece una oportunidad para que una persona que ha cometido un crimen dentro del edificio
pueda realizar una salida rápida.

Para tratar el tema antes mencionado, algunas autoridades permiten la instalación de un dispositivo de bloqueo retardado de salida, que permite, en
tiempos que no son de emergencia, un retraso de 15 a 30 segundos en la apertura de la puerta de salida de emergencia de incendio, desde la parte
interior de la caja de escalera en la salida de la planta baja. Tal disposición de bloqueo puede ser útil cuando se utiliza junto con lo siguiente:

• una alarma que notifique al personal de seguridad que una persona está intentado salir del lugar
• un intercomunicador para comunicarse con la persona
• una cámara de video para ver y grabar el evento

El tiempo de retraso puede ser suficiente para que el personal de seguridad intercepte a la persona. Estos bloqueos deben desbloquearse
automáticamente si hay una pérdida de energía en el bloqueo o si se activa el sistema de emergencia de protección de la vida.

Las alarmas de intrusión (abordadas más adelante en este capítulo) son importantes en las puertas de las escaleras. Las alarmas indican una entrada a
la caja de escalera y por lo tanto permiten una respuesta. Donde las puertas de las escaleras estén generalmente bloqueadas contra reingresos, una
respuesta apropiada sería enviar a un oficial de seguridad a la puerta de la planta baja de la caja de escalera involucrada y enviar un segundo oficial
de seguridad para que ingrese a la escalera en un punto superior al punto de entrada indicado por la alarma de intrusión. Esa respuesta podría
permitir interceptar al intruso mientras está aún en la caja de escaleras. Para puertas de cajas de escaleras que generalmente están desbloqueadas, las
alarmas de intrusión en los pisos sensibles indican el uso de la puerta de la caja de la escalera de incendios en esos pisos. Para que funcionen
correctamente, las alarmas de intrusión de la caja de escaleras del edificio (de hecho, las alarmas de intrusión en cualquier lugar) deben ser
zonificadas para indicar con precisión qué puerta o zona ha sido violada.

Control de Acceso de Pisos y Espacios Interiores

La discusión precedente trató sobre las áreas de acceso público; sin embargo, muchos pisos y espacios interiores dentro de los pisos también
requieren control de acceso. Esta puede ser la única medida de control, o puede ser llevada a cabo además del control general en el nivel del
vestíbulo del edificio.

Los ascensores programables permiten algún nivel de control del piso. Una variante de ese enfoque, incluso cuando el control total del piso no es
posible utilizando el sistema de ascensores, es instalar lectores de tarjetas en los carros del ascensor para controlar el acceso a ciertos pisos. Las
visitas y otras personas sin tarjeta de acceso tendrán entonces que requerir un trato especial por parte del personal de seguridad del edificio. En un
piso con alto tráfico de visitas, una mejor solución sería permitir el acceso libre a los ascensores que sirven a ese piso, y luego tener un punto de
recepción en el piso para proteger la entrada. Además, el control de ascensores con tarjetas de acceso exige a los usuarios autorizados que ayuden a
impedir, lo que en inglés se conoce como “piggybacking” o “tailgating”, es decir el acceso de una persona no autorizada acompañando o siguiendo
a una persona que es portadora de una tarjeta de acceso. Esta actividad también se puede controlar con el uso de torniquetes cerca de los ascensores,
para la revisión de las personas antes de que suban a un ascensor.

Dependiendo del diseño, a menudo se puede lograr que la recepción del piso quede en el mismo vestíbulo del ascensor. En el edificio que se
muestra en la Figura 2-1, un extremo del vestíbulo del ascensor de un piso superior necesitaría ser bloqueado en contra de la entrada al piso (tal vez
con la posibilidad de un desbloqueo automático remoto o tarjeta de entrada), y el control de la recepción se podría establecer en el extremo opuesto
del vestíbulo del ascensor.

En un sistema de seguridad altamente integrado, el personal de la consola central puede ejercer fácilmente el control de acceso remoto para uno o
varios pisos o áreas dentro de los pisos. El acceso a los espacios más pequeños dentro pisos individuales se puede controlar con los teclados
convencionales, lectores de tarjetas, desbloqueo automático remoto y con la capacidad de comunicaciones/vigilancia, o a través de una
recepcionista.

Se debe tener especial consideración con el uso de dispositivos de bloqueo en puertas que conducen a los vestíbulos de ascensores en pisos de la
planta baja. Por ejemplo, en muchos edificios, durante una emergencia de incendio –en particular, la activación de un detector de humo en el
vestíbulo del ascensor, un detector de humo en la caja del ascensor, o un detector de humo en la sala de máquinas de los ascensores - los carros de
ascensores sirviendo al banco del ascensor afectado automáticamente regresarán al nivel designado o a un piso alternativo (si la activación del
detector de humo del vestíbulo del ascensor se produjo en el nivel designado38). Por lo tanto, la selección de cualquier dispositivo de bloqueo para
las puertas del vestíbulo de los ascensores es fundamental, porque cualquier persona que esté en el vestíbulo cuando el ascensor sea recuperado,
debe poder salir del vestíbulo del ascensor y dirigirse a una escalera de emergencia. Se debería revisar con las autoridades locales que tienen
jurisdicción respecto al tipo de dispositivos de bloqueo permitidos en estas puertas.
 Control de Acceso a los Espacios de Mantenimiento del Edificio
El acceso a áreas críticas, tales como pisos y salas de máquinas, salas de aire acondicionado, salas de bomba de incendio y control de incendios,
instalaciones de telecomunicaciones y de servicios públicos (incluyendo bóvedas de transformadores eléctricos), cajas de ascensores y salas de
máquinas de ascensores, se puede controlar con el uso de dispositivos de admisión selectivos y monitoreados con el uso de alarmas de intrusión.
Cada puerta controlada, si se abrió con otra que no sea una llave autorizada, dispositivo de acceso automatizado, o desbloqueo automático remoto,
enviaría a una alarma de intrusión distintiva una posición de supervisión diseñada para iniciar una respuesta a la intrusión.

Incluso en edificios grandes con múltiples espacios de mantenimiento, es posible mantener el control de acceso. El número limitado de personas que
requieren de tal acceso debe ser rápidamente identificado. En un sistema completamente automatizado, tales personas usarán tarjetas de acceso o
serán admitidas remotamente utilizando desbloqueo automático, video vigilancia y comunicación de doble vía. Incluso en estructuras pequeñas para
las que no se justifica una importante inversión en un sistema de seguridad integrado, un control mínimo involucraría lo siguiente:

• cerradura convencional en la puerta del área

• emisión controlada de llaves
• alarma de intrusión con zonas distintivas
• inmediatamente antes o después de entrar, contacto telefónico o radial por un titular autorizado de la clave (la necesidad de la comunicación
podría ser eliminada equipando a la alarma de intrusión con un interruptor de derivación operado con una llave autorizada)

Las desventajas de utilizar llaves es que pueden perderse o ser comprometidas.

El personal de servicios necesita tener acceso a algunos de estos espacios de mantenimiento de edificios, en particular los instaladores de teléfonos a
las salas de líneas telefónicas y paneles terminales. El problema todavía puede ser manejado sin renunciar totalmente al control de seguridad. A un
instalador, asignado regularmente a la estructura, se le puede entregar una llave o un dispositivo de entrada automático. Para un trabajador temporal,
después de que se ha verificado su identidad, se le puede entregar un dispositivo para un solo día; sin embargo, se debe garantizar la devolución del
dispositivo antes de que el trabajador abandone las instalaciones.

Control de Acceso de Tomas de Aire Fresco y Servicios de Telecomunicaciones

Se debería proteger el acceso a tomas de aire fresco y a los servicios de telecomunicaciones.

Tomas de Aire Fresco. Las tomas de aire fresco para los sistemas de HVAC son generalmente ubicadas en la planta baja o cerca de ella, donde
suelen estar cubiertas con rejillas tipo persianas. Estas se deben proteger contra la introducción de químicos de acción aérea o agentes biológicos. La
Figura 2-3 sugiere un enfoque utilizando una rejilla a 90 grados de la toma de aire con una alarma de intrusión en la parrilla. Ciertamente, la
aspiración de entrada aún podría succionar los vapores de una fuente colocada en la parrilla. Una solución aún mejor es ubicar esos puertos de
entrada de aire lo suficientemente lejos del suelo para que el acceso sea imposible39.

Figura 2-3
Esquema de Protección de Toma de Aire Fresco

Servicios de Telecomunicaciones. Por lo general, los servicios de telecomunicaciones suelen salir de un edificio en uno o más cables troncales y se
conectan con las redes de distribución en los conductos y túneles de la calle. Todos los sistemas de telefonía, computación y alarma, usan las rutas
de comunicación y son vulnerables a ataques a lo largo del sistema de cableado telefónico. Para un edificio de alta seguridad, se recomiendan dos
caminos separados físicamente para cables de telecomunicaciones para separar los centros telefónicos.

Los puntos más peligrosos o críticos para un ataque se encuentran en los puntos después de que todos los servicios del edificio están conectados,
con uno o dos cables troncales principales en la estructura del edificio. No es raro encontrar en este tipo de estructuras más antiguas los cables
troncales expuestos en el sótano o en espacios de áreas de servicios dentro del edificio. En las estructuras más nuevas, por lo general se ha tomado
un mayor cuidado para ocultar los cables.

Es importante realizar una revisión cuidadosa de las rutas principales de los cables de las canalizaciones verticales de comunicaciones en la parte
trasera del edificio a través de la entrada de servicio. Cualquier punto de acceso a lo largo de la ruta debe ser protegido. Si el cable se encuentra en
un espacio cerrado, entonces se requieren dispositivos de detección de intrusiones para puntos de acceso, tales como cubiertas y puertas. Si los
cables están expuestos, debe considerarse la posibilidad de reforzar la ruta del cable mediante una construcción resistente.

2.3.6 MEDIDAS DE SEGURIDAD

Se pueden aplicar un gran número de medidas de seguridad a estructuras de gran altura. Estas incluyen iluminación selectiva, reforzamiento
selectivo del sitio, construir cerraduras y dispositivos de bloqueo, sensores de alarma, alarmas de pánico, sistemas integrados de video y seguridad,
personal de seguridad, políticas y procedimientos utilizados para salvaguardar activos de un edificio. Más información sobre esta materias, más allá
de lo que sigue, se encuentra en el volumen de seguridad física Protección de Activos, en ASIS Facilities Physical Security Measures Guideline.

Iluminación
La iluminación es un aspecto importante en la protección de estructuras de gran altura. Es un elemento de disuasión de la actividad criminal,
incluyendo robos y agresiones físicas. Puede ser utilizada para aproximaciones perimetrales (tales como carreteras y caminos peatonales), barreras
perimetrales, paisajismo, fachadas de edificios, zonas de estacionamientos al aire libre y estructuras de estacionamiento, y todas las áreas dentro de
un edificio, incluidas las zonas de carga. La iluminación también ayuda en el uso efectivo de los sistemas de vídeo.

El volumen Protección de Activos en seguridad física entrega una comprensión básica de la iluminación, las características y beneficios de los
diferentes tipos de lámparas y la aplicación efectiva de la iluminación para mejorar la seguridad ocupacional y la seguridad.

Endurecimiento Selectivo del Sitio

Un individuo o una compañía que ya es un objetivo de alto riesgo para un ataque criminal, incluyendo actos de terrorismo, puede estar aún más
expuesto en una estructura de gran altura. Además de los esfuerzos de control de acceso ya mencionados, se puede necesitar el endurecimiento
específico de la estructura en o dentro de los pisos objetivo particulares. Idealmente, tales medidas de seguridad se debiesen considerar durante la
construcción inicial, puesto que las opciones disponibles serán menores en una remodelación, y potencialmente más costosas de implementar.

Características de la construcción. Una razón principal para una construcción especial es la resistividad a impactos y armas de fuego (sin
embargo, los atentados terroristas con bombas han añadido la necesidad de evaluar diseños a prueba de explosiones en construcciones nuevas de
alto perfil). Los materiales capaces de proveer esta resistencia incluyen albañilería estándar, hormigón armado resistente a explosiones, chapa de
acero, policarbonatos, material acrílico, fibra de vidrio comprimida, telas balísticas, vidrio resistente a balas, y películas de seguridad para ventanas
(para mantener firmes los vidrios rotos, evitando que sus fragmentos se conviertan en proyectiles letales). El volumen Protección de Activos en
seguridad física discute los materiales para acristalamiento, su resistencia a los proyectiles y las bombas, y sus propiedades de reflexión.

Una combinación de estos materiales puede ser estéticamente integrada al diseño para proveer protección en un espacio designado. Por ejemplo, en
el edificio ejemplificado en la Figura 2-1, en un piso ocupado por personal clave, ambos extremos del pasillo del ascensor pueden estar bloqueados
con material resistivo y tener puertas controladas del mismo material o equivalente. La partición puede ser hecha de albañilería y fibra de vidrio, o
de acero entre los paneles de yeso convencionales, y la puerta se podría construir de vidrio o policarbonato resistivo. Es menos costoso y menos
limitado a la arquitectura total del piso si se utilizan barreras de control y materiales endurecidos tan cerca como sea posible de los puntos normales
de entrada al piso. Endurecer y controlar el vestíbulo del ascensor y todas las puertas de las escaleras es menos costoso que el endurecimiento de
oficinas o espacios individuales dentro del piso.

Debido a que muchos edificios de gran altura tienen techos falsos (o espacios por debajo de los pisos) con cámaras de aire acondicionado o ductos
que pueden entregar espacios para intrusiones, es importante que al endurecer pisos seleccionados se ponga atención a estos espacios en los cielos (o
espacios debajo el piso). La protección se puede lograr continuando la partición resistiva por encima o por debajo de la losa del piso, o usando una
malla de alambre de calibre pesado para cerrar el espacio, pero permitir el movimiento de aire. Se recomiendan dispositivos de intrusión en conjunto
con dicha protección.

Área de recepción clave. Si el control de entrada para un piso objetivo está en el mismo piso, el punto de recepción debe ser resistente a ataques.
Sin embargo, los ejecutivos generalmente se oponen a barreras protectoras alrededor de los puntos de recepción de los pisos ejecutivos,
argumentando que esas barreras entregan el mensaje equivocado o dan una mala impresión. Existen varias soluciones disponibles. Una es establecer
en un piso distinto al protegido –quizás un piso más arriba o abajo. En ese punto de recepción las visitas pueden ser identificadas y su presencia
comunicada a una persona de control del piso sensible. Las visitas entonces pueden ser autorizadas a dirigirse al piso sensible, el que normalmente
está bloqueado a la entrada, donde la persona de control los puede dejar pasar.

Otra enfoque es crear dos puntos de control en el piso protegido. El punto externo o de recepción tendría personal y estaría separado del espacio
interior del piso por barreras protectoras en las que, en o a través de ellas, con la capacidad de observación que permita que una persona en el
interior, o detrás de las barreras, las desbloquee para permitir una visita autorizada al área interior. De este modo, las visitas no sabrán que las
puertas interiores del piso ejecutivo estaban bloqueadas. El desbloqueo puede ser realizado antes de que se mueva del área de recepción hacia la
puerta. A pesar que el recepcionista estaría potencialmente expuesto, la ausencia de un mecanismo de desbloqueo en ese punto prevendría el acceso
no autorizado; uno tendría que, o bien ser admitido por la persona dentro del área protegida, o bien tener una llave u otro dispositivo de entrada para
abrir la puerta desde el lado de la recepción. El recepcionista no debe tener esa llave o dispositivo.

Barreras físicas. Se pueden usar varias barreras físicas para proteger las estructuras contra amenazas tales como vehículos bombas. Estas incluyen
vallas perimetrales, paredes, paseos peatonales, aceras, caminos, jardines, fuentes, piscinas, esculturas, bancos, jardineras, cercas y bolardos. El
volumen Protección de Activos en seguridad física examina barreras estructurales y el tiempo que podría tomar superarlas. La dificultad es lograr la
suficiente separación espacial entre la barrera y la estructura misma. Puesto que muchas estructuras de gran altura ya existen, esta meta es muchas
veces inalcanzable. Sin embargo, las barreras perimetrales diseñadas apropiadamente pueden impedir que un vehículo con explosivos sea conducido
dentro de la estructura misma, antes de su detonación.

Los controladores estacionamiento y las barreras se pueden utilizar para controlar la entrada de vehículos en estacionamientos y muelles de carga,
en especial los situados debajo de los edificios40. Los brazos de las puertas y, en aplicaciones de alta seguridad, las barreras hidráulicas de impacto
con calificación de choque, pueden ser activadas manual o automáticamente para restringir la entrada sólo a vehículos autorizados.

Cerraduras de Edificios y Dispositivos de Bloqueo41

Las estructuras de gran altura usan muchos tipos de cerraduras y mecanismos de bloqueo. El tipo de dispositivo de bloqueo usado en cualquier
ubicación depende del tipo de puerta o barrera en la que está instalado y los códigos de construcción y protección de la vida prevalentes. Los
siguientes son varios tipos de aplicaciones y cerraduras apropiadas:
 • Puertas principales de entrada/salida del edificio y puertas de salida perimetrales legales: cerraduras electromagnéticas. Utilizando un
temporizador, estas cerraduras pueden ser diseñadas para bloquear y desbloquear automáticamente acomodándose a los requisitos operativos de
un edificio. Como señala un fuente: “Cuando las puertas están aseguradas, el acceso desde el exterior del edificio se puede obtener conectando
un lector de tarjetas (se permite la salida normal con el uso de hardware de pánico42 o con dispositivos de desbloqueo automáticos, tales como
detectores de movimiento)...Los códigos de protección de la vida obligan a que la fuente de energía de todas las cerraduras que restringen las
vías de salida de los ocupantes deben ser supervisadas por el sistema de protección de la vida contra incendios del edificio. En caso de una
emergencia, como un corte de energía o la activación de una alarma de incendio, cesa la corriente eléctrica al electroimán y las puertas se
desbloquean (es decir, a prueba de fallos). Los ocupantes pueden salir libremente del edificio y pueden entrar las agencias de respuesta de
emergencia, como bomberos” (Craighead, 2003, pp. 127-128).
• Interior de las puertas de las escaleras: un dispositivo de bloqueo eléctrico híbrido especial conocido como cerradura embutida (mortise)43de
función high tower o cerradura de torre de escalera. Dichas cerraduras fueron desarrolladas para que la puerta de una caja de escalera pueda ser
bloqueada por el lado de la escalera para proporcionar seguridad. Una fuente observa “Generalmente las cerraduras embutidas high-tower están
energizadas y bloqueadas todo el tiempo. El control de acceso se logra por una llave mecánica, teclado digital o lector de tarjeta...La fuente de
energía de estas cerraduras es controlada por el sistema de protección de la vida del edificio, para que en caso de emergencia, las puertas se
desbloqueen inmediatamente, pero aún así permanecerán cerradas y aseguradas, protegiendo la caja de escalera del humo y del fuego”
(Geringer, 1991, p. 2). También, como se mencionó anteriormente, algunas autoridades permiten la instalación de dispositivos de bloqueo con
salida retardada que permiten, durante períodos de no emergencia, un retraso en la salida de 15 a 30 segundos en la apertura de la puerta de
salida de emergencia de incendio desde el interior de la caja de escalera. Se requiere que dichas cerraduras se desbloqueen automáticamente si
hay una pérdida de energía de la cerradura o si el sistema de protección de la vida de incendio del edificio está activado.
• Exterior de las cajas de escaleras por donde salen del edificio: cerraduras de tambor de pines operados con llaves y cerraduras
electromagnéticas. Las puertas de salida de la caja de escaleras que normalmente salen a la planta baja “pueden estar bloqueadas en el lado
exterior siempre y cuando, en todo momento, el lado interior de la puerta sea operable, permitiendo una salida sin límites. Cuando un ocupante
aplica presión en el hardware de salida de incendios, la puerta inmediatamente se desbloqueará [con la excepción de las cerraduras con salida
retardada]” (Craighead, 2003, p.131).
• Puertas del vestíbulo o vestíbulo de ascensores: dispositivos retenedores electromagnéticos. Al activarse el sistema de protección de vida del
edificio, cesa la energía eléctrica en cada dispositivo retenedor, lo que libera la puerta del vestíbulo para que se cierre y protege el vestíbulo
contra la intrusión de humo y fuego.
• Puertas que conducen a espacios de los arrendatarios: cerraduras de tambor de pines operados con llaves y dispositivos de control de acceso con
tarjetas.
• Puertas dentro del espacio de los arrendatarios que no conducen a una salida de incendios legal: cerraduras de tambor de pines operadas con
llaves, cerraduras operadas con tarjeta, cerraduras operadas con fichas, cerraduras operadas con sistema de identificación biométrica,
mecanismos de bloqueo electrificados y cerraduras de combinación.
• Puertas que conducen a áreas de mantenimiento: cerraduras de tambor de pines operadas con llaves, cerraduras operadas con tarjeta, cerraduras
operadas con fichas, cerraduras operadas con sistema de identificación biométrica, mecanismos de bloqueo electrificadas y cerraduras de
combinación.

Las cerraduras de tambor de pines se encuentran por toda la estructura de gran altura. Como observa una fuente:

El mecanismo de tambor de pines es el mecanismo operado con llaves más común utilizado en hardware arquitectónico de construcción en
Estados Unidos. La seguridad que proporciona este mecanismo de tambor va en un rango desde corriente, con ciertos cilindros de bajo costo con
amplias tolerancias de ancho y un mínimo de tambores, a uno excelente con varios tipos de cilindros de alta seguridad (Edgar, 2004, p. 168)

Las cerraduras de tambor de pines se pueden usar con llave maestra. El principio de la llave maestra es que una misma cerradura puede ser operada
por más de una llave, al diseñar varias llaves para que funcionen en diferentes tambores o diferentes aspectos del mismo tambor. El sistema de llave
maestra entrega una jerarquía de acceso a grupos de cerraduras, desde el acceso a una cerradura al acceso a todas las cerraduras. El volumen
Protección de Activos en seguridad física aborda los conceptos generales de cerraduras y recomienda métodos para mantener niveles aceptables de
protección de cerraduras. Con esos principios en mente, se realizan las siguientes sugerencias para el programa general de cerraduras en una
estructura de gran altura:

1. Usar cerraduras con núcleo intercambiable o removible. Estos permiten el cambio rápido y frecuente sin mano de obra del piso o la tienda. La
planificación adecuada asegura que habrá a mano para uso inmediato los suficientes núcleos de reemplazo para los distintos grupos de control y
grupos maestros. Si hay un cerrajero dentro del personal, gran parte de la preparación de los núcleos se puede hacer “en casa”.

2. Limitar drásticamente el uso a un control único o una gran llave maestra. El peligro obvio es el compromiso total del sistema de cerraduras a
través de la pérdida física o la pérdida de control de la rendición de cuentas o de la gran llave maestra (o código) o un solo núcleo que contiene
el control y la gran combinación maestra.

3. Usar múltiples controles y múltiples maestras. El edificio puede ser dividido en diferentes unidades funcionales. Por ejemplo, los pisos en baja,
mediana y gran altura pueden ser considerados como zonas de bloqueo separadas. Cada zona puede tener su propio esquema de control y de
llaves maestras.

4. Establecer múltiples llaves blancas. Al crear diferentes esquemas de control y maestras para los principales elementos del edificio, el estilo de la
llave blanca (el perfil de la llave y la ranura) debiesen ser diferentes para cada uno de ellos, de modo que una llave blanca en uso en un
elemento no entrará en la ranura de otro elemento. Tal disposición ayuda a prevenir el uso no autorizado de llaves. También hace que los
mismos códigos de combinación de cerraduras utilizados en un sector estén disponibles para su uso en otro, con un bajo riesgo de compromiso,
debido a que las llaves blancas no serán intercambiables.

5. Establecer zonas individuales. Cualquier distinción por ocupación o piso, o ambos, servirá al propósito. Por ejemplo, si la altura media es una
 sección de arrendatarios, entonces a cada uno de los pisos se le podría proporcionar una llave sub-maestra, y todos los pisos podrían incluirse en
una zona de llave maestra. Al mismo tiempo, los espacios dentro de la zona de arrendatarios no destinados al uso de arrendatarios, como los
espacios de mantenimiento, podrían permanecer en sistemas de llaves maestras independientes que cubran todo el edificio, pero limitados a una
función especial, como eléctrica, mecánica o de limpieza.

6. Mantener un control estricto de la llave maestra del piso. Llaves sub-maestras en el nivel de piso debiesen ser estrictamente contabilizadas y
entregadas sólo a personal de categoría mayor de los arrendatarios individuales. Si varios arrendatarios ocupan un mismo piso, ninguno debiese
tener la llave maestra del piso. Las llaves entregadas sobre esta base se debiesen reemplazar después de que se realicen cambios en la
ocupación.

7. Mantener control de las llaves maestras de zonas. Estas llaves debiesen ser entregadas sólo en forma diaria, y únicamente a personal con
necesidad imperativa demostrada. Utilizar múltiples zonas de maestras reducirá la vulnerabilidad, pero no la eliminará. Entregar llaves maestras
de zonas sólo en forma diaria (v.gr. a ser devueltas al custodio de seguridad antes que quien las tiene deje el edificio) limita aún más la
exposición. Escoger muy cuidadosamente a quienes serán entregadas las llaves maestras de zona (o incluso permitir la custodia temporal de
ellas) también reduce la exposición. Se debe desincentivar el porte de llaves maestras de zona como símbolo de estatus.

8. Limitar el acceso a las llaves de control44 y combinaciones. Obviamente nadie lo necesita, a menos que se vaya a reemplazar un núcleo de
cerradura o se instalará un nuevo núcleo de pines. Un mismo cerrajero tendrá acceso a ambos ítems, de manera que la confiabilidad de esa
persona es de importancia crítica. Las llaves de control no deberían llevarse en ningún momento, excepto cuando sea específicamente necesario
para hacer cambios de núcleos.

9. Poner particular atención a las puertas exteriores. Estas no debiesen ser incluidas en ninguna llave maestra del edificio o sistema de control,
puesto que la mayoría están en la planta baja o en niveles inferiores, las puertas45 involucradas generalmente llevarán a espacios de
mantenimiento o a espacios de acceso público controlados por el dueño o el administrador del edificio. Las puertas exteriores que están
bloqueadas para el acceso al edificio, también requieren protección de alarma contra intrusión.

10. Mantener la calidad y complejidad de los esquemas de combinación. A pesar que las cerraduras de máxima seguridad probablemente no son
normalmente requeridas en estructuras de gran altura, con un sistema equilibrado de control de seguridad, las cerraduras elegidas deben ser de
buena calidad. Se deben evitar las cerraduras de núcleo intercambiable que usan un solo tambor (cámara de tambor) para establecer el control
de las combinaciones, por la facilidad de crear una llave de control dada cualquier llave de operación y un poco de ingenio.

Crucial para cualquier sistema de bloqueo es un sistema de control de llave efectivo (Finneran, 2004, p.193):

Antes de que se pueda establecer un sistema de control de llaves efectivo, se debe contar todas las llaves de cada cerradura que se utilizará en la
protección de la instalación y de la propiedad. Es muy probable que ni siquiera sea posible contabilizar las llaves más importantes o tener la certeza
de que no se han copiado o han sido comprometidas. Si este es el caso, sólo hay una alternativa –volver a poner llaves nuevas en toda la instalación.

Dependiendo del tamaño de la estructura, el cambio de llaves puede ser una tarea muy costosa.

Sensores de Alarma
Se pueden desplegar sistemas de detección de intrusos en estructuras de gran altura para varios perímetros, cajas de escaleras y áreas de
mantenimiento y de arrendatarios. Por ejemplo, los siguientes dispositivos de detección de intrusión se pueden encontrar en estructuras de gran
altura:

• Sensores infrarrojos pasivos (PIR de ahora en adelante, por sus siglas en inglés) se usan para proteger perímetros, áreas y objetos; tomas de
calefacción, ventilación y aire acondicionado; áreas interiores de arrendatarios; y las puertas principales de salida del edificio (para facilitar la
apertura automática cuando salen los ocupantes).

• Contactos magnéticos son usados en puertas perimetrales de salida, puertas de caja de escalera del edificio, puertas que conducen a espacios de
mantenimiento y puertas al interior de áreas de arrendatarios.

• Sensores de rotura de alambre se utilizan en tomas de calefacción, ventilación y aire acondicionado del edificio o en espacios intersticiales del
cielo o piso.

• Detectores de movimiento de video se usan en cajas de escaleras y en varias ubicaciones donde se utiliza video en el edificio.

Las tecnologías de sensores para detección y alerta de intrusión se examinan en más detalle en el volumen Protección de Activos en seguridad física.

Alarmas de Coacción
Una alarma de coacción (a veces referida como alarma de pánico) es “un dispositivo que permite a una persona bajo coacción pedir ayuda sin
levantar sospechas” (ASIS Threat Advisory System Response Guideline, 2004, p.8). En una estructura de gran altura dichas alarmas pueden ser
necesarias en las cabinas de estacionamiento y otras áreas en las que se manipula efectivo, y en los puntos de recepción incluyendo las áreas de
recepción de ejecutivos. Es crucial que cualquiera que active dichos dispositivos, y aquellos responsables de responder a tales alarmas, sean
entrenados para hacerlo de acuerdo a políticas y procedimientos responsables. También, es imperativo que la operación de estos dispositivos sea
probada regularmente.

Video Vigilancia
La video vigilancia es un elemento de seguridad rentable para ayudar a proteger las estructuras de gran altura y sus ocupantes. Como señala una
fuente (Craighead, 2003, p 153.):
 El propósito primario de un sistema de CCTV es mejorar las medidas de seguridad existentes y amplificar el rango de observación del personal
de seguridad. Para aumentar la seguridad, puede ser útil interconectar el sistema de CCTV con intercomunicadores y con dispositivos de
detección de intrusión, como contactos magnéticos de puertas, detectores de movimiento o video detectores de movimiento. El propósito
principal del sistema de grabación de video es grabar una imagen desde una cámara y entregar archivo permanente para una posible revisión
posterior. Al igual que con otros sistemas y equipos de seguridad, como barreras físicas, sistemas de bloqueo y sistemas de iluminación y
detección de intrusión, un CCTV es parte de las medidas básicas de seguridad que forman parte de un programa total de seguridad.

El volumen Protección de Activos en seguridad física incluyen una discusión completa de la tecnología de video y su aplicación a seguridad. Este
capítulo se enfoca en la ubicación de las cámaras y sus capacidades de monitoreo y respuesta.

Ubicación de las cámaras. Las cámaras de video se pueden encontrar en las siguientes ubicaciones en estructuras de gran altura:

1. Áreas de entrada o salida críticas para peatones. Estas incluyen las salidas de la planta baja desde la caja de escaleras del edificio, el perímetro
del edificio, puntos de recepción en pisos críticos, pisos mecánicos y pisos de cruce entre bancos de ascensores. El propósito es monitorear la
actividad y, en el caso de las escaleras de incendio, identificar personas que dejan el edificio a través del recinto de las escaleras.

2. Puntos de acceso peatonal operados remotamente. Estos incluyen puertas peatonales controladas desde una ubicación remota. Se necesita que
la cámara ayude a asegurar que la entrada sea permitida sólo a personal autorizado, sin que ocurra “tailgating or piggybacking”46.

3. Puntos de acceso en los que se encuentran dispositivos de control de acceso, tales como lectores electrónicos de tarjeta. El propósito es ayudar
a asegurar que sólo aquellas personas que usen una tarjeta sean admitidos, sin que ocurra “tailgating”.

4. Al interior de los carros de ascensores para personas y de servicio/carga. Una cámara instalada en una ubicación visible dentro de un ascensor
puede disuadir las amenazas contra la propiedad y personas, incluyendo el vandalismo en el mismo ascensor.

5. Espacios interiores sensibles. Estos son espacios donde la vigilancia remota entrega ventajas significativas. Tales áreas incluyen áreas
mecánicas, tomas de aire de HVAC, bóvedas, áreas de almacenamiento y vestíbulos de ascensores.

6. Entradas y salidas de vehículos. Cámaras en los puntos de entrada y salida pueden ser usadas para monitorear la actividad vehicular. Para
entradas donde el acceso de vehículos es controlado en forma remota, una cámara puede ayudar a determinar si se le debe conceder o no acceso
a un vehículo. Para garajes debajo de un edificio, es importante grabar imágenes de todos los vehículos, incluyendo las matrículas y los
conductores que entran y salen.

7. Áreas de vigilancia encubierta. Las cámaras pueden estar ocultas en una variedad de formas y se utilizan para monitorear y registrar la actividad
en lugares sensibles. Sin embargo, antes de ser utilizados, se deben revisar las leyes locales en cuanto a su legalidad. Estas cámaras pueden ser
de gran utilidad en las investigaciones de seguridad.

Cuando se utilizan cámaras de vídeo en conjunción con el control de acceso remoto, también hay necesidad de comunicaciones de voz de doble vía
entre las personas en los puntos de entrada y de control.

Monitoreo y respuesta. Video vigilancia sin análisis crítico de la actividad bajo observación, o sin un recurso de respuesta si se necesita uno, es
operacionalmente inadecuado y económicamente una pérdida.

El monitoreo de vigilancia requiere todo lo siguiente:

• una salida (output) de cada cámara para ser visualizada en todo momento a menos que pueda ser impulsada la alarma para activar la
visualización cuando sea necesario
• disposición de las pantallas del monitor para permitir un rápido análisis visual por un observador capacitado
• un medio para traer cualquier cámara en particular de interés inmediato a una pantalla del monitor en el campo de visión directa del operador
• la capacidad para grabar de forma permanente la visualización de una o más cámaras, según sea necesario, y para identificar el material grabado
por la ubicación de la cámara y la hora del reloj

En los sistemas de video más pequeños con dos o tres cámaras, los requisitos que acabamos de mencionar se pueden cumplir fácilmente con un
monitor por cada cámara, además de un grabador de vídeo. Para sistemas más elaborados, particularmente aquellos que involucran 10 o más
cámaras, se necesita un diseño más sofisticado. En el diseño de un sistema de vídeo para una estructura de gran altura, es importante recordar este
consejo: “Diseñar la aplicación primero y ajustar el equipo a ella”47

Sistemas Integrados de Seguridad

Es importante tener una ubicación central dentro de una estructura de gran altura donde los sistemas y equipos de seguridad puedan ser
monitoreados y controlados. El volumen Protección de Activos en seguridad física discute el diseño y operación de sistemas integrados.

Si se establece un gran sistema integrado, idealmente no se debería intentar usar el centro de control del sistema en ninguna otra forma, más que en
una instalación dedicada. Sin embargo, debido a consideraciones de personal de seguridad y costos, a veces el área de control de una estructura de
gran altura se establece en el vestíbulo principal o cerca de los puntos de entrada usados regularmente. Se espera que el personal de monitoreo
maneje tanto las demandas del sistema como las demandas del lugar con las personas circulando por el área. Los ahorros teóricos obtenidos, al
exigir que los operadores atienden otras tareas relacionadas con puestos fijos, pueden causar falta de atención a los eventos monitoreados por el
sistema, con una consecuencia de pérdida mucho mayor. Una disposición como esta, también expone al sistema de control a que sea comprometido
o atacado. Si el sistema ha sido diseñado correctamente, lo ideal es que la estación de monitoreo y control debiese estar en el lugar más seguro de la
estructura.
 Personal de Seguridad
El personal de seguridad es un aspecto importante de la protección de la vida y seguridad de estructuras de gran altura. Su rol primario es
implementar la protección de la vida y el programa de seguridad. El número necesario de personal de seguridad depende del tipo de ocupación y de
sus actividades, los objetivos de seguridad y del programa de protección de la vida, y del rol que la seguridad juega en él. Por ejemplo (Craighead,
2003, p.267),

Los niveles de dotación de personal necesarios para la mayoría de los edificios de oficinas de gran altura son más altos durante el horario normal
que después del horario de trabajo. Durante las horas de oficina normales, la mayoría de los arrendatarios está abierto para los negocios y hay un
aumento de la población de empleados, visitantes, vendedores, comerciantes, personal de administración del edificio, contratistas de
construcción, mensajeros, repartidores, abogados, inspectores de construcción y otros, que pueden requerir la atención del personal de seguridad
del edificio. Después del horario laboral, el tráfico de peatones (y vehículos) por lo general se reduce y sólo aumenta [por lo general] el número
de personal de limpieza (a menos que sucedan actividades especiales en el edificio).

Políticas y Procedimientos
Políticas y procedimientos claramente definidos son importantes para la protección de la vida y para las consideraciones de seguridad en estructuras
de gran altura. Instrucciones de seguridad documentadas apropiadamente –comúnmente llamadas órdenes permanentes o procedimientos de
operación estándar- son una referencia esencial para el personal de seguridad para saber qué se espera de ellos. También, instrucciones de
protección de la vida detalladamente documentadas son un componente fundamental del plan de manejo de emergencias de un edificio.

2.4 RESUMEN

Generalmente se considera como una estructura de gran altura a aquella que se extiende más alto que el alcance máximo de los equipos disponibles
por bomberos. Dichas estructuras tienen necesidades únicas de protección de la vida y de seguridad. Dado que usualmente contienen grandes
concentraciones de personas y bienes, estas necesitan ser protegidas en contra de amenazas que van desde incendios y desastres naturales hasta la
actividad criminal, incluyendo el robo de activos, violencia en el lugar de trabajo y actos de terrorismo.

Cuando sucede cierto tipo de incidentes –particularmente incendios y explosiones- es esencial evacuar inmediatamente a los ocupantes a un lugar
seguro. Sin embargo, debido a la capacidad limitada de las escaleras y ascensores de la salida de emergencia del edificio, no todos los ocupantes
puedan salir de la instalación a la vez. Por lo tanto, los edificios deben tener un actualizado, minucioso y bien pensado plan de manejo de
emergencias, y todos los ocupantes deben ser entrenados para reaccionar adecuadamente en caso de producirse una emergencia.

Muchas medidas de seguridad y de protección de la vida están disponibles para ayudar a proteger las estructuras de gran altura. Deben desplegarse
de una manera que no sólo cumplan con los estrictos códigos de construcción y de protección de la vida, sino también abordar las necesidades de
seguridad que varían de estructura a estructura, en función de su tipo de tenencia y patrón de uso. Algunas veces las consideraciones de protección
de la vida y de seguridad están en conflicto entre sí, por lo tanto, se debe dar una consideración especial para abordar de manera adecuada los
requisitos de protección de la vida sin poner en peligro los objetivos de seguridad.
This page Intentionally left blank.
REFERENCIAS

9/11 Commission report: Final report of the National Commission on Terrorist Attacks Upon the United States (2004). New York: W. W. Norton &
Company.
ASIS International Commission on Guidelines (2004). General security risk assessment guideline. Alexandria, Virginia: ASIS International.
ASIS International Commission on Guidelines (2004). Threat advisory system response guideline. Alexandria, Virginia: ASIS International.
ASIS International Commission on Guidelines (2009). Facilities physical security measures guideline. Alexandria, Virginia: ASIS International.
Black’s law dictionary, 8th ed. (2004). St. Paul, Minnesota: West Publishing.
Clarke, F. B., PhD (2003). Fire hazards of materials. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire
Protection Association.
Craighead, G., CPP (2003 and 2009). High-rise security and fire life safety, 2nd and 3rd editions. Burlington, Massachusetts: Elsevier Butterworth-
Heinemann.
Donoghue, E. A., CPCA (2003). Building transportation systems. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National
Fire Protection Association.
Edgar, J. M., & McInerney, W. D., AHC, CPP (2004). The use of locks in physical crime prevention. In L. J. Fennelly (Ed.), Handbook of loss prevention
and crime prevention, 4th ed. Stoneham,
Massachusetts: Elsevier Butterworth Heinemann. Used with permission of the National Crime Prevention Institute, School of Justice Administration,
University of Louisville.
Emergency evacuation elevator systems guideline (2004). Chicago: Council on Tall Buildings and Urban Habitat.
Finneran, E. D. (1981). Security supervision: A handbook for supervisors and managers. Stoneham, Massachusetts: Butterworths, 1981. Quoted in L. J.
Fennelly (Ed.), Handbook of loss prevention and crime prevention, 4th ed. Stoneham, Massachusetts: Elsevier Butterworth Heinemann.
Geringer, R. G. (1991, June). High-rises look to lock out problems. Access Control, p. 2.
Gips, M. A. (2001, April). Let’s get digital. Security Management, p. 82.
Guidance for protecting building environments from airborne chemical, biological, or radiological attacks (2002). Publication No. 2002-139. National
Institute for Occupational Safety and Health, Department of Health and Human Services, Centers for Disease Control and Prevention, May 2002,
http://www.cdc.gov/niosh.
Hall, J. R., Jr., & Cote, A. E., PE (2003). An overview of the fire problem and fire protection. In A. E. Cote (Ed.), Fire protection handbook, 19th ed.
Quincy, Massachusetts: National Fire Protection Association.
Healy, R. J. (1983). Design for security, 2nd ed. New York: John Wiley & Sons.
Holmes, W. D., PE (2003). Occupancies in special structures and high-rise buildings. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy,
Massachusetts: National Fire Protection Association.
Kitteringham, G. W., CPP (2001). A study of two types of vertical crime pattern analysis in the commercial, multi-tenanted high rise structure. Thesis for
Master of Science in Security and Crime Risk Management, Scarman Center for the Study of Public Order, Canada, February 2001.
Lathrop, J. K. (2003). Concepts of egress design. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire Protection
Association.
Milke, J. A., PhD, PE, & Klote, J. H., DSc, PE (2003). Smoke movement in buildings. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy,
Massachusetts: National Fire Protection Association.
Moore, W. D. (2008). Fire alarm systems. In A. E. Cote (Ed.), Fire protection handbook, 20th ed. Quincy, Massachusetts: National Fire Protection
Association.
National fire code (2001). Quincy, Massachusetts: National Fire Protection Association.
Puchovsky, M. T., PE (2003). Automatic sprinkler systems. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire
Protection Association.
Roberts, J. C., PE (2003). Automatic fire detectors. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire Protection
Association.
Schifiliti, R. P., PE (2003). Notification appliances. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire
Protection Association.
Shapiro, J. M. (2003). Standpipe and hose systems. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire Protection
Association.
Taylor, G. M. (2003). Halogenated agents and systems. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts: National Fire
Protection Association.
Webb, W. A., PE (2003). Air-conditioning and ventilating systems. In A. E. Cote (Ed.), Fire protection handbook, 19th ed. Quincy, Massachusetts:
National Fire Protection Association.
FUENTES ADICIONALES

Broder, J. F. (2006). Risk analysis and the security survey, 3rd ed. Burlington, Massachusetts: Butterworth-Heinemann.
Challinger, Dennis (2008). From the ground up: security for tall buildings. CRISP Report Alexandria, Virginia: ASIS International.
Emergency evacuation elevator systems guideline (2004). Chicago: Council on Tall Buildings and Urban Habitat.
Emergency planning guidebook (1994). Washington, DC: Building Owners and Managers Association.
Emergency planning handbook, 2nd ed. (2003). Alexandria, Virginia: ASIS International.
Hopf, P. S. (1979). Handbook of building security planning and design. New York: McGraw-Hill.
Kitteringham, Glen, CPP (2006). Security and fire life safety for the commercial high-rise. Alexandria, Virginia: ASIS International.
NFPA ready reference: Fire safety in high-rise buildings (2003). Quincy, Massachusetts: NFPA International.
San Luis, E., Tyska, L. A., & Fennelly, L. J. (1994). Office and office building security, 2nd ed. Woburn, Massachusetts: Butterworth-Heinemann.
U.S. Marshals Service (1995). Vulnerability assessment of federal facilities. Washington, DC: Government Printing Office.
World Trade Center building performance study: Data collection, preliminary observations, and recommendations, (2002). FEMA 403. Washington, DC:
Federal Emergency Management Agency.
www.ctbuh.org The Council on Tall Buildings and Urban Habitat (CTBUH) was established to facilitate professional exchanges among those involved in
all aspects of the planning, design, and operation of tall buildings. CTBUH publishes a list of the 100 tallest buildings in the world.
www.emporis.com This site contains a valuable database of high-rise buildings throughout the world.
This page Intentionally left blank.
 CAPÍTULO 3
ADMINISTRACIÓN DE EVENTOS
CORPORATIVOS ESPECIALES

En un evento especial, la función primaria del personal de seguridad es proporcionar seguridad a todos los presentes. Una tarea secundaria es cuidar la
propiedad. Para llevar a cabo estas tareas, los profesionales de la seguridad pueden mezclar los conceptos fundamentales de seguridad con medidas
especiales apropiadas a las condiciones únicas de los eventos especiales. Ellos necesitarán desarrollar planes de seguridad que incluyan medidas
preventivas y reactivas, implementar bien los planes y administrar al personal de seguridad en forma eficiente.

En este contexto, los términos evento especial y evento se utilizan indistintamente para designar una asamblea pública o privada. La asamblea puede ocurrir
una vez, periódicamente o a diario, y puede ser en una propiedad privada (v.gr. un hotel o centro de convenciones) o en un espacio público (v.gr. un estadio
o una calle). Los eventos pueden estar orientados al entretenimiento (deportes, fiestas de convenciones de negocios) o no (convenciones políticas,
manifestaciones, procesiones funerarias), y pueden incluir un número grande o pequeño de participantes. De acuerdo con Rules of the City of New York (56
R.C.N.Y §1-02):

“Evento especial” se refiere a una actividad de grupo, incluyendo -pero no limitado sólo a eso- un acto, reunión, asamblea, concurso, exhibición,
ceremonia, desfile, competición atlética, recital o picnic que involucre a más de 20 personas o a una actividad de grupo que involucre a menos de 20
personas para la cual se solicita reservar un espacio específico.

3.1 OCASIONES ÚNICAS

Los eventos especiales tienen circunstancias específicas que pueden desafiar la manera en que el personal de seguridad planifica la protección de
personas y la propiedad. Algunos eventos son simples, mientras que otros son espectáculos complejos, con comida, bebidas, decoración, puesta en
escena, entretenimiento, iluminación, sonido, equipos de proyección y efectos especiales. Cada evento especial es una realización única y cada lugar
presenta desafíos especiales para el personal de seguridad.

Nunca hay dos eventos iguales, incluso si tienen el mismo nombre y se realizan en el mismo lugar en forma regular. Por ejemplo, una reunión anual
de acciones, convenciones de ventas o una reunión de directorio pueden enfrentar preocupaciones de seguridad significativamente distintas año a
año, dependiendo de factores internos y externos a la empresa (tales como una mala economía, actividades de protesta o despidos inminentes).

Muchos factores deben ser considerados: ubicación del evento, número esperado de personas que asistirán, distribución general de la multitud,
ingreso y salida, accesos de emergencia, etc. Un evento abierto al mundo presenta riesgos diferentes a un evento completamente privado,
exclusivamente con invitación y con una audiencia pequeña.

A pesar de las diferencias entre los eventos específicos, algunos principios básicos aplican a varias categorías de eventos, por ejemplo, el U.S.
Occupational Safety and Health Administration promulgó “Crowd Management Safety Guidelines for Retailers”
(www.osha.gov/OshDoc/data_General_Facts/Crowd_Control.pdf). Las instrucciones (guideline) aluden a la muerte en 2008 de un empleado de
Wal-Mart, quien murió después de ser botado al suelo y pisoteado por una multitud de 2.000 compradores que ingresaron a la tienda para una venta
de “Viernes Negro (Black Friday)”.

3.2 ALCANCE DE LAS RESPONSABILIDADES DE SEGURIDAD

El desafío de un evento de seguridad es proteger a una gran cantidad de personas –público general, invitados, personal del lugar y del evento,
artistas, VIP, voluntarios y proveedores de servicios- de manera que mantenga la hospitalidad del evento. En general, la responsabilidad del equipo
de seguridad es reducir el riesgo.

Si una organización está planificando un evento y su administrador de seguridad tiene poca experiencia en protección de eventos, surgen cuatro
opciones:

• Hacer lo mejor que se pueda con las capacidades de seguridad actuales.

• Proveer personal con entrenamiento específico en materias de seguridad de eventos especiales
• Contratar a un proveedor de seguridad de eventos especiales.
• Aceptar el riesgo y no dar seguridad al evento.

Independiente de la elección, alguien será responsable por cualquier herida o accidente que pueda haber sido previsto y evitado. El entorno de
seguridad de eventos es particularmente sensible a la necesidad de satisfacer un estándar de cuidados aceptable.
 Muchos profesionales de la seguridad que no se ocupan principalmente de la seguridad de eventos pueden ser responsables de uno en forma
ocasional. Por ejemplo, centros comerciales grandes y pequeños pueden realizar shows, muestras, demostraciones, visitas de celebridades y
conciertos. Entonces, el administrador de seguridad de un centro comercial podría tener la responsabilidad de la seguridad del evento. El atentado
contra la congresista de EE.UU. Gabrielle Giffords en Tucson, Arizona, el 8 de enero de 2011, muestra las consecuencias de una inadecuada
planificación de un evento especial en un centro comercial. Un profesional de la seguridad al proteger un evento especial en un local pequeño puede
enfrentar muchos de los mismos riesgos que uno que protege eventos en un estadio, centro de convenciones, desfiles o maratones.

En la planificación de seguridad, es imposible identificar el alcance de la responsabilidad sin conocer los riesgos asociados al evento. Sin una
evaluación de riesgos, la seguridad se reduce a asignar personas (warm bodies) aquí y allá en el lugar de un evento, sin una idea previa o estrategia.
Para evaluar los riesgos, un profesional de la seguridad puede utilizar varias herramientas. Aquí hay tres ejemplos:

• La Protección de Activos aborda los conceptos que son la base de la evaluación de riesgos.

• La Herramienta de Identificación y Autoevaluación (Vulnerability Identification Self-Assessment Tool, ViSAT de ahora en adelante, por sus
siglas en inglés) fue desarrollada por el Department of Homeland Security (DHS de ahora en adelante, por sus siglas en inglés) de EE.UU. para
evaluar las fortalezas y debilidades de las operaciones de seguridad individuales en todo tipo de locales. Esta evaluación online incluye más de
200 preguntas que cubren siete áreas importantes: plan de seguridad, políticas y procedimientos; fuerza de seguridad y educación de conciencia
de seguridad; control de acceso de carga, personas y vehículos; materias de seguridad física; tecnología de seguridad; comunicación de
seguridad; e información de seguridad. El DHS provee un informe resumido así como las directrices para establecer prioridades para aumentar
la seguridad. Enfatiza el enfoque de equipo en la planificación de seguridad.

• La herramienta de autoevaluación del riesgo (Risk Self-Assessment Tool, RSAT de ahora en adelante, por sus siglas en inglés) del DHS es un
aplicación web diseñada para ayudar a los administradores de estadios y arenas a identificar y administrar las vulnerabilidades de seguridad.

En términos de personal, en cada evento se debe designar una sola persona como director de seguridad del evento, persona que tiene la
responsabilidad final. Esa persona es responsable del diseño general del plan de seguridad, de su implementación y de la administración del personal
de seguridad. Una vez definido, el alcance de la seguridad, dicta las tareas del personal de seguridad. Cada miembro del equipo de seguridad debe
estar familiarizado con el plan general de seguridad y entender dónde ella o él encaja.

Algunos eventos pueden requerir un oficial de seguridad o una empresa contratada para proporcionar la planificación de seguridad, el personal y el
equipo, mientras que otros eventos implican mucho personal de seguridad y numerosas organizaciones. Los eventos también pueden incluir
diferentes tipos de agencias de aplicación de la ley: de la ciudad, del condado, estatales y federales. Los Juegos Olímpicos de Invierno de 2010 en
Vancouver, Canadá, fueron protegidos por agentes de policía de todo el país, así como también por las fuerzas armadas canadienses.

La mayoría de las leyes federales, estatales y municipales no especifican las responsabilidades de seguridad privada para eventos especiales, con
excepción de la licencia y la capacitación en seguridad básica, selección y requisitos de armas de fuego. Sin embargo, una jurisdicción puede
requerir ciertas medidas de seguridad de un planificador de eventos que solicita un permiso para realizar un evento en propiedad pública.

3.3 FACTORES EN LA PLANIFICACIÓN DE EVENTOS

Al planificar la seguridad para un evento especial, el objetivo es mantener un entorno seguro para hacer frente a interrupciones o emergencias
rápidamente, de tal forma que permita continuar el evento y minimice los efectos de la emergencia. Los siguientes factores afectan directamente el
diseño y la implementación del plan de seguridad. El planificador de seguridad debe anticipar circunstancias relacionadas con estos factores y
prever dificultades o fallos que pueden surgir al implementar el plan de seguridad.

3.3.1 URGENCIAS

El personal de seguridad debe estar preparado para la llegada de la multitud, incluso si los otros involucrados en el evento no están listos. El
personal de seguridad también debe estar preparado para manejar los constantes cambios en el entorno. A veces, se incluyen invitados VIP en el
último minuto, se cambian las áreas de estacionamiento designadas, se modifican los patrones de entrada y salida, se intercambia una actividad del
evento por otra, se modifican los pasillos de desplazamiento de las multitudes o se añaden actividades al evento. La seguridad debe estar preparada
para las contingencias apropiadas.

3.3.2 ESTRUCTURA ORGANIZACIONAL

Los accidentes e incidentes generalmente resultan de la falta de comprensión de las responsabilidades de los organizadores del evento, de los
administradores del lugar o del personal de seguridad. Dichos malentendidos pueden ser causados por la falta de una cadena de mando
organizacional clara, inexperiencia del personal, falta de entrenamiento adecuado, acuerdos contractuales, mala comunicación o falta de políticas y
procedimientos escritos. Una estructura organizacional buena y clara puede minimizar los malentendidos.

3.3.3 VOLUNTARIOS
 Es difícil manejar y coordinar a un gran número de voluntarios de tiempo parcial (part time), quienes pueden tener mucho entusiasmo, pero poca
experiencia. Si bien pueden ser útiles, deben entender claramente los límites de sus tareas y saber cómo contactar al personal correcto para resolver
problemas.

3.3.4 UBICACIÓN
Muchos eventos se realizan en instalaciones o locales designados para multitudes y eventos (estadios, arenas, centros de convenciones, salas de
conciertos). Los planes de operación básicos, que ya están establecidos y documentados, son fácilmente modificables para cada evento. Estas
ubicaciones ya tienen áreas claramente designadas para entrada y salida, varios baños bien distribuidos, señalética de direcciones clara, barreras de
control de acceso y de control de multitudes, instalaciones médicas, centros de comando y operaciones, control de estacionamientos y tráfico, y
equipo de video vigilancia.

Algunos eventos se llevan a cabo en ubicaciones inusuales, no diseñadas específicamente para recibir multitudes. Estos sitios de eventos
circunstanciales pueden crear problemas tanto de seguridad ocupacional (safety) como de seguridad (security) relacionados con la disposición de los
asientos, el movimiento de la multitud, instalaciones de baños, estacionamientos y tráfico, acceso de emergencia, de evacuación y la colocación de
los equipos. La seguridad siempre debe solicitar los mapas más recientes de los sitios para eventos, que muestran cómo será distribuido el sitio antes
y durante el evento. Seguridad debe evaluar la configuración y sugerir los cambios necesarios sobre la base de los problemas de seguridad
ocupacional y de seguridad.

3.3.5 MULTITUDES, PARTICIPANTES Y ASISTENTES

Una de las preocupaciones es que los eventos pueden atraer a una multitud que excede la capacidad. A medida que el número de personas aumenta,
también lo hace la probabilidad de accidentes e incidentes. Para grandes multitudes, puede ser necesario tomar precauciones adicionales de
seguridad y de personal de seguridad, para el control del tráfico, estacionamientos, puntos de control de entrada y acceso, y las concesiones. Para un
director de seguridad de eventos no siempre es fácil determinar el número de personas previstas. Por lo tanto, la planificación de contingencia es
crítica.

El departamento de Seguridad también debe saber cuánto personal del evento está involucrado. Un evento podría incluir a proveedores de servicios
que instalan andamios, vallas, equipos musicales, carteles y decoraciones. En las primeras etapas de la planificación del evento, sólo unas pocas
personas pueden estar involucradas, pero muchas más (cientos o miles) pueden unirse a medida que se acerca la hora de inicio del evento.

Un factor crítico es conocer a la audiencia. Las preocupaciones del personal de seguridad son diferentes dependiendo de la edad media de la
audiencia, el número de hijos pequeños o de adultos mayores que podrían estar presentes, y si se esperan personas en silla de ruedas. Algunos
eventos atraen a manifestantes u otras personas que utilizan el evento para ganar publicidad o cometer delitos. Las fuerzas de orden son una valiosa
fuente de información sobre este tipo de grupos.

Algunos eventos implican asistentes extranjeros que no entienden el idioma local, que no están acostumbrados a las prácticas sociales locales, o que
no conocen las leyes locales. Puede que no sean capaces de leer la señalización de seguridad ocupacional o de seguridad, o de entender
instrucciones verbales. Los anuncios públicos –especialmente para circunstancias de emergencia y evacuación- deben elaborarse en los idiomas de
la audiencia prevista.

Las multitudes plantean preocupaciones de estacionamiento y de flujo de tráfico. El equipo de seguridad debe tener en cuenta el flujo de tráfico de
vehículos designado en los puntos de entrada y de salida, así como el flujo de tráfico peatonal a través de los estacionamientos y accesos al evento.
Una señalización clara de estacionamiento y tráfico es esencial. Barreras de tráfico portátiles hacen posible el cambio de rutas en la medida que
cambia el flujo de tráfico o para una evacuación de emergencia.

3.3.6 TIPO DE EVENTO

Probablemente la naturaleza general del evento será la que sugiera el enfoque de la seguridad. El evento puede ser artístico, musical, deportivo,
político, relacionado con causas, cívico, orientado a la comunidad o religioso. Dentro de cada categoría, las diferencias entre eventos particulares
pueden influenciar aún más la planificación de seguridad. Por ejemplo, un concierto de heavy metal representa riesgos diferentes que el concierto
del coro de una iglesia. Eventos deportivos pueden presentar riesgos diferentes, dependiendo del deporte en particular, equipos rivales, la
importancia del partido y el lugar (interior o exterior).

El plan de seguridad debe considerar también las numerosas actividades secundarias asociadas con la actividad primaria. La actividad primaria de
una maratón es la carrera en sí misma, pero el evento puede incluir muchas actividades secundarias, como conciertos, concesiones, presentación de
stands, recolección de fondos o actividades relacionadas con causas, actividades para niños y presentaciones políticas.

Muchos eventos presentan circunstancias que no tienen un precedente exacto. Un evento puede ser publicitado extensivamente, puede ser
programado para durar varios días o semanas o puede incluir la presentación de líderes políticos, celebridades o figuras controversiales. Para
cualquiera de estas circunstancias, los efectos son difíciles de predecir.

3.3.7 COMUNICACIÓN
 La coordinación de seguridad durante el evento requiere de comunicaciones claras, tanto para operaciones normales, como para acontecimientos
inesperados. En eventos pequeños, el personal puede estar visible entre ellos. En eventos grandes se puede necesitar un centro de comando, un
centro de operaciones o ambos. Dependiendo del tipo de evento, puede ser necesario establecer un nexo de comunicación con el gobierno u otras
organizaciones.

Las comunicaciones electrónicas pueden ser afectadas por el terreno o el tamaño del lugar. Usualmente el personal de seguridad, el personal médico
y de incendios utiliza comunicación de radio de doble vía, aunque en algunos eventos son importantes otros equipos de comunicaciones como
teléfonos celulares, tableros de anuncios electrónicos, marcadores, tableros electrónicos de megafonía, televisores y megáfonos. El personal de
seguridad debe garantizar que todos los equipos de comunicación sean probados y que estén en condiciones de servicio antes del evento. También
debe tener una clara comprensión de las políticas y procedimientos para el uso de equipos de comunicación durante las operaciones normales del
evento y frente a emergencias.

El plan de seguridad también debiese abordar los espacios para los medios (salas de computadoras, teléfonos y sitios para cámaras de televisión fijas
y móviles), políticas para las etiquetas y credenciales de prensa, control de acceso, detección y revisión, y protocolos para entrevistas y peticiones de
la prensa.

3.3.8 TIEMPO ATMOSFÉRICO

El tiempo puede afectar tanto a los eventos bajo techo, como aquellos al aire libre. Se debe prestar atención al calor, lluvia, granizo, nieve, hielo y
climas extremos, cualquiera de los cuales podría afectar el bienestar del público y aumentar los riesgos en el estacionamiento y control de tráfico.
Las distintas condiciones climáticas requieren diferentes equipos de seguridad, herramientas, maquinarias y vehículos.

3.3.9 PRESUPUESTO

Un plan de seguridad completo debe incluir una propuesta de presupuesto para la seguridad del evento. Los organizadores generales de eventos
pueden creer que la seguridad tiene una importancia secundaria, pero un presupuesto de seguridad inadecuado podría convertir un evento premiado
en un desastre. El presupuesto real debe basarse en la decisión del comité de planificación de aceptar, transferir o evitar el riesgo.

3.4 COMPONENTES DEL PLAN DE SEGURIDAD DE UN EVENTO ESPECIAL

Las consideraciones precedentes deben culminar en un plan de seguridad integral. Un plan bien documentado permite la implementación eficaz de
las medidas de seguridad. En el anexo se presenta un esbozo de plan de seguridad de un evento. Debido a que el plan probablemente cambiará
durante el proceso de planificación, es importante fechar cada página del documento y descartar viejas versiones para evitar confusiones. Por
motivos de seguridad, puede ser prudente proporcionar las copias completas a un número limitado de personas y entregar a los demás sólo aquellas
partes que les atañen. El plan de seguridad para un evento pequeño puede ser breve, mientras que uno para un gran evento puede contener incluso
más temas que los que se sugieren a continuación.

• Declaración de misión. La declaración de misión debe describir simplemente lo que se le ha encomendado a la operación de seguridad. Por
ejemplo, la misión puede ser la de proporcionar seguridad y protección integral a todos en un concierto en el parque. La declaración podría
ampliarse, pero define claramente el propósito.

• Alcance. El alcance de la responsabilidad de seguridad (el qué y cómo) debe definirse para que incluya el alcance logístico así como el
delineamiento de las tareas, tales como el control de acceso y patrullaje del estacionamiento.

• Mapas del sitio del plan de seguridad. El plan debiese incluir mapas actuales del sitio que reflejen la mayor cantidad de información
necesaria para que el personal de seguridad complete sus tareas.

• Personal de seguridad y de enlace. La sección personal del plan de seguridad del evento especial incluye la cadena de mando, así como los
contactos y enlaces con agencias gubernamentales. El director de seguridad del evento debiese considerar proveer copias de bolsillo de esta
sección.

• Centro de comando u operaciones. En esta sección, el plan identifica el centro de comando de incidentes o centro de operaciones, que servirá
como un centro de información y respuesta en el lugar del evento. El centro proporciona una ubicación central desde la cual dirigir las
operaciones, monitorear el lugar del evento y manejar las respuestas a situaciones de emergencia y de no emergencia. Dependiendo de la
naturaleza del evento, puede tener sentido establecer un centro de comando principal, con múltiples centros de campo en diferentes lugares.
También pueden resultar útiles centros de comando móviles.

El centro debe estar en un lugar que esté protegido, tanto como sea posible, de todo tipo de condiciones climáticas, incluyendo tormentas y grandes
inundaciones. El centro debe tener sólo el número mínimo de puntos de acceso requeridos para operaciones eficientes. El acceso debe ser
restringido al personal que tiene funciones en el centro.

En el interior del centro debería haber representantes de distintos departamentos y organizaciones: la organización anfitriona del evento, la
administración de la instalación, los organismos encargados de hacer cumplir la ley, el departamento de seguridad, jefe de bomberos, director
médico, patrocinadores, promotores, transporte y estacionamiento, y del alojamiento. Los representantes primarios en el centro deben tener a
alguien de respaldo, en caso de que se establezca un puesto en terreno durante una emergencia. Información adicional se puede encontrar en el
volumen de Protección de Activos en gestión de crisis.

• Control de acceso y revisiones. El control de acceso es una forma de detección de quiénes pueden entrar a un área determinada y en qué
condiciones (por ejemplo, con una entrada o credencial). El control de admisión se refiere al control de los artículos u objetos que no están
permitidos en el área del evento (tales como armas de fuego, fuegos artificiales, alcohol, cadenas, cuchillos, hieleras, botellas, latas, cámaras,
clavos o tornillos). El plan amerita un perímetro del sitio claramente definido, y establecer políticas y procedimientos para controlarlo y
asegurarlo.

En algunos eventos se podrían necesitar revisiones en la puerta de admisión. En 2001, en un partido de fútbol en que la Universidad de Oklahoma
jugaba de local contra del Estado de Kansas, con una multitud de 84.000 personas en el Memorial Stadium, una bomba detonó fuera del lugar. Al
parecer el presunto terrorista habría intentado entrar en el estadio, pero escapó cuando vio que su mochila sería revisada.

El plan de seguridad del evento debería especificar los siguientes puntos:

– Los revisores e inspectores deben recibir una capacitación adecuada y documentada, junto con procedimientos escritos claros basados en
asesoramiento legal.
– Todas las personas que intenten ingresar deben ser tratadas igualmente.
– Señalética comprensible y fácil de leer debe identificar los artículos que buscarán los revisores. Los carteles deben colocarse en todos los
accesos públicos y de empleados, en las áreas de estacionamiento y a lo largo de los senderos peatonales desde las plazas de estacionamiento
a la entrada del evento. La señalética debe indicar las opciones de una persona si él o ella decide no ser revisado. Esa información también se
debe colocar en boletos, folletos y programas.
– Si se realizarán revisiones manuales, los asistentes deberían recibir aviso con bastante antelación y ser informados de por qué se realizarán
dichos procedimientos. También se les debe informar que si no consienten la revisión, no podrán entrar (se podría necesitar asesoría legal
antes de realizar revisiones en instalaciones de propiedad del gobierno).
– Si se utilizan detectores de metal y máquinas de rayos X, se debe asegurar un número apropiado de máquinas y de operarios capacitados.
– Si una persona activa una alarma en un detector de metal, debiese haber un segundo detector cercano en las inmediaciones para una segunda
detección.
– Si las personas pueden entrar y salir libremente del sitio de un evento, entonces se deben realizar revisiones cada vez que vuelven.
– Sólo mujeres debiesen revisar a mujeres y sólo hombres a hombres.
– A cada individuo se le debiese pedir permiso para la revisión.

• Respuesta de Emergencia. El personal de seguridad puede ser el primero en responder a una emergencia en el lugar. Ellos podrían tener que
enfrentar problemas médicos, incendios, materiales peligrosos, rompimientos de cañerías de agua o desagües, inclemencias del tiempo,
terremotos, fallas de comunicaciones o servicios públicos, fallo de proveedores clave, explosiones, descontento civil o disturbios, huelgas,
secuestros o terrorismo. El plan de seguridad debiese abordar contingencias y adjuntar instrucciones específicas para responder a cada una,
incluyendo los planes de evacuación.

Diseñar un plan de seguridad de un evento puede involucrar mucho más que designar la ubicación y las horas de los oficiales de seguridad. Los
profesionales de seguridad con experiencia en eventos saben que cada evento requiere una planificación detallada e individualizada que considera
una amplia gama de factores. Afortunadamente, una combinación de estrategias básicas de seguridad, medidas de seguridad distintivas para eventos
especiales y herramientas de evaluación de riesgos pueden entregar un marco de trabajo para un evento tranquilo y seguro.
ANEXO A

MODELO DE PLAN DE SEGURIDAD DE UN EVENTO

PLAN DE SEGURIDAD DE EVENTO

Para

[Nombre del evento]

[Fecha del evento]
[Lugar del evento]

Este es un documento estrictamente confidencial para ser usado por el director de seguridad del evento. Sólo [Nombre del director de seguridad del
evento] puede aprobar, con un permiso escrito y firmado, cualquier copia o distribución de este documento.

Sección 1: Declaración de la Misión

Ejemplo: es nuestra misión proveer de seguridad (security) y seguridad ocupacional (safety) en el lugar a todas las personas involucradas en la
operación de este evento y los asistentes, según lo designado por contrato (si aplica). Estamos comprometidos a proveer un servicio competente,
cortés, profesional y efectivo. Nosotros ejercitaremos un cuidado razonable para reducir la severidad de los riesgos de vida y daños a la propiedad
bajo nuestro control. Con este fin, estableceremos toda la necesidad de persona antes, durante y después de las actividades del evento (según lo
especificado por el contrato) para la protección de las personas, propiedad, información privilegiada y cualquier otro activo [incluya en el anexo una
copia del acuerdo firmado. Número de páginas].

[Cada página debe estar fechada y numerada como página 2 de 25, 3 de 25, etc.]

Sección 2: Alcance
Ejemplo: el alcance de las responsabilidades [nombre de la empresa o individuo] en este plan de seguridad está limitado a entregar [seguridad en los
estacionamientos, seguridad VIP, seguridad en el escenario, seguridad en las áreas de concesión, u otra].

Ejemplo alternativo: El alcance de las responsabilidades en este plan de seguridad incluye todos los aspectos del evento. Todas las agencias de
seguridad y organizaciones, tanto públicas y privadas, están incluidas en este plan de seguridad.

2-A. Equipo de Planificación de Seguridad

Los siguientes individuos han sido designados para tomar decisiones en la planificación de seguridad en este evento:

Nombre Cargo Agencia/Compañía Número de Teléfono

2-B. Descripción del Evento

Aquí se incluye o adjunta los más actualizados o el definitivo

• folletos,
• programas o
• información para los medios.

Sección 3: Diagrama del Sitio del Evento y Mapa de las Proximidades

Aquí se incluye o adjunta los más actualizados o el definitivo

• mapa del sitio del evento,

• mapa de la instalación o del lugar, si no son el mismo,
• mapa de calles del vecindario local indicando la ubicación de hospitales, departamentos de policía, estaciones de bomberos, terrenos baldíos,
estacionamientos fuera de las instalaciones, tiendas de licores (botillerías), zonas de construcción, parques, escuelas y otras características
relevantes, y
• en países extranjeros, mapas del área general indicando puentes, ríos, embajadas y hoteles.

Sección 4: Personal de Seguridad y de Enlace

4-A. Descripción General de la Compañía o Agencia

Aquí se incluye o adjunta una descripción de todos los tipos específicos de personal de seguridad o de cumplimiento de la ley con el número de cada
uno, los nombres de las organizaciones, personas de contacto y números de teléfono. Estos pueden no ser personal en el lugar mismo del evento. La
lista debiese incluir a los siguientes:

• el personal de seguridad propio de la instalación,

• personal de seguridad externo contratado,
• personal municipal de cumplimiento de la ley,
• personal del condado de cumplimiento de la ley,
• policía estatal y de carreteras
• agencias federales: Servicio Secreto de EE.UU., FBI, Oficina de Alcohol, Tabaco, Armas de Fuego y Explosivos, y Cumplimiento de
Inmigración y Aduanas (Immigration and Customs Enforcement)
• policía militar o personal utilizado como oficiales de seguridad
• cualquier personal de seguridad o policía extranjero con responsabilidades relevantes para el evento

4-B. Enlace Efectivo en el Lugar

Cada entidad interna o externa involucrada en la operación del evento debe proveer el nombre de alguien que tome la decisión final para su
segmento en la operación. También debe designar un sustituto. Se necesitan los números de líneas fijas y teléfonos móviles. En caso de una
pregunta durante un evento en desarrollo, quien toma las decisiones debe estar disponible inmediatamente. Estos responsables de la toma de
decisiones incluyen representantes de bomberos, instalaciones médicas, agencias de manejo de emergencias y, si el evento se realiza en el
extranjero, oficiales de US State Department.

4-C. Cadena de Mando en el Lugar

Quizás el ítem más importante relacionado con la implementación del plan de seguridad y la administración de todo el personal de seguridad,
especialmente para eventos grandes, es una cadena de mando estipulada para las operaciones de seguridad.

4-D. Personal del Centro de Operaciones/Comando

Esta es una lista de todo el personal que estará autorizado a ingresar al centro de operaciones o comando.

4-E. Cumplimiento Legal

Todo el personal de seguridad debe estar en total cumplimiento con las leyes y reglamentos.

4-F. Documentación de la Compañía de Seguridad

Si se utiliza una fuerza laboral contingente para proporcionar seguridad, cada entidad debe proporcionar una declaración que documenta las leyes a
las que está sujeta en relación con el servicio de seguridad que proporcionará. La documentación también incluye manuales de operaciones,
políticas y procedimientos, normas y reglamentos, manuales y libros de capacitación, y folletos del evento.

Sección 5: Comunicación
El personal de seguridad debe revisar el plan general de comunicaciones del evento desde una perspectiva de seguridad y hacer las recomendaciones
apropiadas. Las comunicaciones de seguridad deben poder enlazar el sistema de comunicaciones del evento. El plan de seguridad del evento debiese
abordar los siguientes ítems:

• evaluación de los requerimientos de las comunicaciones de seguridad tanto para puestos fijos, como para patrullas o seguridad itinerante
• evaluación de los requerimientos de comunicación de incendios, médicas y de emergencias
• necesidad de micrófonos de cuello, auriculares y audífonos
• almacenamiento, instalación, recarga y reparación de equipos
• instrucciones de uso y entrenamiento
• políticas y procedimientos de distribución
• asignaciones de canales de radiofrecuencia
• pruebas pre-evento
• sistemas de respaldo
• protección y seguridad de los equipos de comunicación
• puesto de mando o centro de operaciones
• Regulaciones de la Federal Communication Commission (Comisión Federal de Comunicaciones)
• pruebas de todos los equipos de comunicación

Sección 6: Programa y Cronograma del Evento

Se debiese entregar el programa y cronograma del evento y un calendario general de todo lo que sucederá en la preparación del evento, durante y
después del evento. Se debiese destacar en el cronograma lo siguiente:

• sesiones de planificación y reuniones de cuenta regresiva • intermedios

• capacitación • reubicación de la seguridad
• reunión informativa (briefing) del evento • protección de VIP
• registro y emisión de equipos • cierre de las concesiones
• instalación • final de la actividad principal del evento o entretenimiento
• entrega de suministros y materiales • final de otras actividades del evento
• montaje de señalética • cierre del estacionamiento
• comienzo del control de tráfico • recolección de equipos
• apertura de las zonas de estacionamiento • sesiones de preguntas
• inicio de admisiones • firma de salida
 • apertura de concesiones • Cierre
• comienzo del evento • desmontaje
• grandes movimientos de multitudes a anticipar • limpieza
• seguridad después del evento
• pago al personal de seguridad

Sección 7: Asignaciones de Puestos de Seguridad

Las asignaciones de puestos son los lugares específicos y las descripciones de trabajo dadas a cada oficial de seguridad. Cada uno debe saber
exactamente lo que debe hacer en el lugar determinado, especialmente cuando se reasigna a otra posición como lo exige el programa de actividades.
Las tareas cambian de un lugar a otro. La descripción del trabajo no debe ser muy larga (a menos que sea necesario) y puede consistir en dos o tres
funciones particulares. Las asignaciones de puestos más comunes incluyen los siguientes:

• centros de comandos y operaciones

• áreas de perímetros: cercas, paredes, límites naturales, barricadas, etc.
• áreas de control de tráfico: calles e intersecciones
• áreas de estacionamiento para el público, personal, asistente con discapacidades, VIP, entregas, etc.
• zonas de carga y descarga de buses
• zonas de venta de entradas y accesos
• áreas de admisión para el público, personal, voluntarios, VIP, entregas, servicios de emergencias, etc.
• áreas de público general: vestíbulos, entradas, pasillos, concesiones, servicios sanitarios, etc.
• áreas de acceso restringido: bambalinas (backstage), escenarios, oficinas administrativas, áreas de almacenamiento, garajes, medios de
comunicación y zonas de prensa, estaciones médicas, boleterías, objetos perdidos y encontrados, etc.
• equipos móviles
• equipos especiales: patrullas en bicicleta, moto, caballo y bote
• equipos de recogida de dinero en efectivo
• seguridad encubierta o vestidos de civil
• habitaciones para dormir para el personal del evento, artistas, participantes, etc.
• seguridad durante la noche
• almacenamiento, instalación, recarga y reparación de equipos

Sección 8: Equipamiento de Seguridad

El equipo de seguridad debe estar debidamente dotado del equipamiento para realizar su misión. Poner las necesidades del equipo en papel requiere
que uno piense en lo que se necesita, lo que falta y cuáles podrían ser los costos. Las siguientes son categorías de equipos de seguridad:

• señalética
• equipos de control de acceso: barreras, barricadas, puntales, cuerda, esgrima, etc.
• equipos de revisión: detectores de metal (portales y manuales), guantes, etc.
• equipos de comunicación
• vehículos: automóviles, bicicletas, carros de golf, motocicletas, embarcaciones, motos de nieve, caballos, transportadores personales (segways),
etc.
• armas
• uniformes y otras prendas personales
• otros equipos: linternas, portapapeles, detectores de metales, sombreros, cascos, esposas, cámaras, etiquetas de evidencia, binoculares, informes
de incidentes, bolígrafos, lápices, etc.
• equipo de oficina en el lugar: computadoras, impresoras, artículos de oficina, etc.

Sección 9: Procedimientos de Respuesta a Emergencias

El personal de seguridad se puede encontrar con diversos tipos de emergencias. Cada oficial de seguridad debe estar capacitado en políticas y
procedimientos respecto a lo siguiente:

• informes y documentación de incidentes y accidentes

• respuesta de seguridad a incendios
• respuesta de seguridad a lesiones
• respuesta de emergencia
• evacuación
• temas de medios de comunicación y de relaciones públicas

Sección 10: Reunión Post-Evento

Se debería celebrar una reunión posterior al evento para revisar todos los aspectos de la operación del evento y todas las medidas adoptadas en el
transcurso del evento.

Sección 11: Adjuntos

El plan de seguridad del evento debe incluir como archivos adjuntos:
• todos los informes de evaluación de riesgos y conclusiones:
– de consultores de seguridad privada
– de cualquier agencia de cumplimiento de la ley u oficina gubernamental
– de la Herramienta de Autoevaluación de Identificación de Vulnerabilidades (ViSAT)
– de la Herramienta de Autoevaluación de Riesgos (RSAT)
 • reportes de inteligencia de seguridad de vulnerabilidades y amenazas
• inspecciones del jefe de bomberos
• inspecciones del sitio
• plan de desastre
• plan de detenciones masivas
• plan del escuadrón antibombas
• plan de manifestaciones o protestas
• plan de dignatarios y VIP

LECTURAS ADICIONALES

Bellavita, C. (2007). Changing homeland security: A strategic logic of special event security. Homeland Security Affairs [Online], v. III, no. 3. Crowd
Management Magazine, International Association of Assembly Managers (IAAM).
Facility Manager [bimonthly], [Online]. (2006, October to date). Coppell, TX: International Association of Venue Managers, Inc. Available:
http://www.iavm.org/facility_manager/pages/facility_issues.htm [2011, October 14].
Facility Manager [bimonthly]. Coppell, TX; International Association of Venue Managers, Inc. International Association of Venue Managers. (1998).
IAAM crowd management curriculum project report [Online]. Available: http://www.iavm.org/cvms/crowd_management.asp [2011, October 14].
Journal of Crowd Safety & Security Management [irregular], [Online]. (2009 to date). International Centre for Crowd Management and Bucks New
University. Available: http://www.crowdsafetymanagement.co.uk/journal [2011, October 14].
Journal of Convention and Event Tourism [quarterly]. Binghamton, NY: Haworth Press. Public Risk Magazine [10x year]. Arlington, VA: Public Risk and
Insurance Management Association (PRIMA). Public Venue Security [Online]. (2003, Sept/Oct, to 2004, March/April). Phoenix, AZ: Virgo Publishing.
Available: http://www.publicvenuesecurity.com/archives.html [2011, October 14].
Risk Management Magazine [monthly], [Online]. (2003 to date). New York, NY: The Risk Management Society. Available:
http://www.rmmag.com/MGTemplate.cfm?section=MagArchive&Template=/Magazine/ArchivedMagazines.cfm [2011, October 14].
Risk Management Magazine [monthly]. New York, NY: The Risk Management Society. Security Management [monthly], [Online]. (2004, June, to date).
Alexandria, VA: ASIS International. Available: http://securitymanagement.com [2011, October 14].
Security Management [monthly]. Alexandria, VA: ASIS International. Venue Safety & Security [irregular], [Online]. (2007, Summer, to 2010, May).
Boise, ID: International Festival and Events Association. Available: http://www.ifea.com/joomla1_5/index.php?
option=com_content&view=article&id=112&Itemid=62 [2011, October 14].
 CAPÍTULO 4
SEGURIDAD EN UN ENTORNO GLOBAL

La siempre cambiante economía global presenta desafíos únicos para el profesional de la seguridad. Las operaciones en el extranjero representan un gran
inversión para cualquier organización. Usualmente el profesional debe actuar como un administrador holístico de riesgos, contantemente monitoreando,
evaluando y ajustando las necesidades. Los profesionales de la seguridad deben estar plenamente conscientes de los niveles apropiados de apoyo para la
protección de personas, procesos, bienes e información, dondequiera que residan o vayan.

En 2005, el bestseller “The World is Flat” de Thomas Friedman, describe un incremento en las oportunidades para externalizar operaciones de negocios a
destinos en el extranjero, utilizando tecnología que avanza rápidamente. Operaciones de negocios occidentales migraron al mundo en desarrollo, y
economías que antes eran pequeñas se vigorizaron con las oportunidades de negocios y se volvieron nuevos consumidores de productos y servicios
globales.

Con este rápido crecimiento de los negocios en un entorno global, se comenzaron a presentar cuestiones de riesgos de seguridad adicionales. El
advenimiento de las redes sociales y otras tecnologías influyen todos los días en el panorama de riesgos, tanto positiva como negativamente. Estos riesgos
afectan a las personas, la reputación, el funcionamiento y la rentabilidad de una empresa.

La planificación de emergencia y de continuidad debe ser incorporada en cualquier enfoque global de seguridad. En la medida que la fluidez de los riesgos
geopolíticos globales continúe, los profesionales de la seguridad deben anticiparse a los problemas y tener planes para salvaguardar al personal, al tiempo
que se asegura la continuidad de las operaciones. La planificación de seguridad debe considerar las leyes y cultura local, así como cualquier sesgo de parte
del profesional de la seguridad.

Las operaciones en el extranjero y las comisiones de negocios traen riesgos diferentes, y a veces más grandes que las operaciones nacionales. Si la empresa
quiere triunfar, debe analizar el riesgo de cada actividad y decidir si acepta, mitiga o transfiere ese riesgo.

4.1 POLÍTICAS Y LINEAMIENTOS PARA OPERACIONES DE SEGURIDAD INTERNACIONALES

4.1.1 ESTRUCTURA ORGANIZACIONAL

Las entidades debiesen desarrollar políticas y directrices aplicadas al personal que realiza viajes internacionales o comisiones de negocios en su
nombre. Estas políticas pueden aplicar al personal de la compañía alrededor del mundo, más allá de su lugar de origen o de residencia, o se pueden
ajustar a locaciones o situaciones específicas. Muchas organizaciones usan contratistas en misiones en el extranjero, y se debe tener cuidado para
entender las expectativas por su seguridad. En algunos casos, la organización podría incluir tales contratistas en su programa de protección
internacional.

Las políticas y directrices deben abordar la seguridad de, por lo menos, estas categorías de personas:

• empleados: tanto de tiempo completo como de tiempo parcial

• expatriados: empleados residiendo o trabajando temporalmente en otro país
• empleados locales nacionales: empleados residentes permanentes en el país donde trabajan (cuando la organización tiene su base en otro país)
• contratistas: personas que trabajan para una firma que tiene un contrato con la organización, o personas que trabajan directamente para la
organización bajo un contrato de servicios personales o de empleo.

4.1.2 PROPÓSITO DE LAS POLÍTICAS Y DIRECTRICES

Las políticas y directrices delinean los principios rectores y los términos y condiciones generales que se aplican a la seguridad para viajes o
disposiciones de vida internacional.

Las políticas y directrices intentan

• proporcionar a la empresa la información apropiada para evaluar los riesgos empresariales y personales relacionados con países específicos,
• proporcionar al personal las herramientas y los métodos apropiados para reducir estos riesgos, y
• reducir el riesgo de pérdida de personal de la empresa y otros activos.

Los viajes y comisiones de trabajo internacionales traen riesgos adicionales que son diferentes a los que se encuentran en las operaciones
nacionales. Tanto el empleado como el empleador deben estar conscientes de estos riesgos y tomar decisiones sobre la base de la capacidad para
implementar contramedidas apropiadas. El trabajo internacional también requiere un alto grado de sensibilidad y respeto por las culturas y las leyes
 extranjeras.

Tanto las expectativas de la organización como las del empleado (o contratista) deben ser completamente revisadas y definidas. Por ejemplo, los
empleados que se lesionan en una excursión turística de fin de semana debiesen conocer de antemano las responsabilidades de cada una de las
partes.

Las aplicaciones internacionales de seguridad deben regirse por los siguientes principios:

• Los valores y principios fundamentales de la empresa. En los negocios internacionales debiesen mantenerse la integridad, los altos
estándares y el liderazgo en la industria.
• Análisis de riesgos. La organización y sus empleados, los contratistas y los miembros de la familia deberían entender la naturaleza y el alcance
de los riesgos involucrados en los viajes internacionales y en las asignaciones del empleado. Estos principios involucran el deber de cuidado
(duty of care) y el deber de información (duty of disclosure) según lo descrito en Travel Risk Management Maturity Model (iJet Intelligent Risk
Systems, 2009).
• Niveles aceptables de riesgo. Se debiesen implementar contramedidas apropiadas para reducir el riesgo a un nivel aceptable. Este paso se
conoce como estándar de cuidado (standard of care) (iJet Intelligent Risk Systems, 2009).
• Responsabilidad personal por la seguridad ocupacional. Empleados, contratistas y miembros de la familia debiesen implementar estos
estándares para asegurar que los viajes y las comisiones se desarrollen de una manera segura. Esto se conoce comúnmente como deber de
cumplir (duty to comply).
• Responsabilidad de proteger los activos de la organización. Los empleados deben tomar las medidas adecuadas para proteger los activos de
la organización, incluidas las personas, los bienes, la información y las relaciones con las partes interesadas (stakeholders).
• La responsabilidad de proteger la reputación de la organización. Los empleados y las personas que trabajan directamente con la
organización deben apoyar y mantener su reputación.
• Observancia de las leyes y costumbres. Los empleados deben respetar y cumplir con las leyes, reglamentos, costumbres y normas comerciales
del país de origen y del país anfitrión. Esto, también, es parte del deber de cumplir.

4.2 RENDICIÓN DE CUENTAS Y RESPONSABILIDADES

Las siguientes subsecciones establecen la rendición de cuentas y responsabilidades claves de las distintas partes de la organización:

Líder del Negocio

• Se asegura de que los empleados y contratistas en comisiones internacionales están conscientes de los requisitos de seguridad.
• Les ayuda a cumplir con esos requisitos.
• Se asegura de una respuesta apropiada a una crisis.
• Evalúa las necesidades de comunicación de la comisión, incluyendo el contacto y la protección de la información confidencial y privada.

Líder de Capital Humano

• Se asegura que los empleados estén cubiertos por un seguro apropiado, incluyendo seguro de viaje, médico y evacuación (médica/seguridad).
• Se asegura de mantener los perfiles personales, incluyendo información médica básica.
• Establece un proceso y las expectativas con respecto a la política de viajes.

Líder de Viaje
• Se asegura que los empleados conozcan el apoyo disponible y la conducta esperada a través de una política extensa.
• Promueve una política de viajes que permite a los viajeros ser responsables y rendir cuentas de sus acciones en situaciones extremas.

Líder de Seguridad
• Ayuda en los asuntos delicados que afectan a las operaciones de negocio, tales como la investigación de antecedentes de los empleados en
negocios conjuntos (joint ventures), la evaluación de las prácticas corruptas en la cultura, el clima extremo, etc.
• Proporciona evaluaciones de riesgos para la ruta del viaje, preocupaciones médicas, transporte terrestre, hoteles, etc.
• Proporciona la gestión de un plan internacional de gestión de crisis y se prepara para acontecimientos previsibles.
• Se asegura que los viajeros tengan acceso a las herramientas y recursos apropiados para evaluar los riesgos y reciban la asesoría específica del
país en tiempo real.

Viajero Internacional
• Obtiene y revisa la evaluación de riesgos.
• Toma acciones apropiadas para proteger al viajero y a la compañía de daño físico y daño a la reputación.
• Reporta cualquier incidente, pérdida o condición que pueda causar riesgo al viajero.
• Monitorea y reporta cualquier evento que pueda cambiar el nivel de riesgos durante el curso de la comisión.

4.3 CATEGORÍAS DE RIESGO PAÍS

Se utilizan varias metodologías para determinar la clasificación del riesgo; no hay un estándar global para la clasificación del riesgo. Algunos
analistas utilizan simplemente una clasificación de “bajo, medio, alto”, mientras que otros emplean un sistema de clasificación numérico de
múltiples niveles.

Cuando se utiliza un servicio privado que clasifica el riesgo en una ciudad, país o región, es importante estudiar los componentes que conducen a
esta clasificación. Estos servicios revisan medios de fuentes abiertas y reportes oficiales de gobierno, y usualmente utilizan personas en el lugar para
seguir el desarrollo y realizar clasificaciones oportunas. Sin embargo, ellos no operan desde una línea de base común.

Adicionalmente, organizaciones gubernamentales, como el Department of State de EE.UU. (en especial su Overseas Security Advisory Council,
www.osac.gov), el British Foreign and Commonwealth Office (www.fco.gov.uk) y otros proporcionan informes y consejos útiles. Si bien estas
organizaciones no evalúan los riesgos, ellas emiten alertas y recomendaciones según lo determinan las situaciones. De hecho, el Department of State
de EE.UU. vende una aplicación de advertencias para teléfonos inteligentes.

El gerente de seguridad debe tener acceso a proveedores que puedan suministrar evaluaciones de riesgos en los países de destino. La evaluación del
riesgo también puede estar basada en la naturaleza de las actividades corporativas, incluyendo la reacción pública esperada por la iniciativa y de
cualquier historia de incidentes de las actividades propias de la organización en el país. Otras empresas multinacionales que trabajan en el área
también pueden ser una fuente de información sobre las tendencias del riesgo y servir de referencia a las contramedidas. El personal de la
organización en el extranjero también puede ofrecer puntos de vista relevantes.

Los servicios funcionan tanto en el modelo de atracción como de empuje (pull and push). Bajo la metodología de atracción (pull), el usuario debe ir
a un sitio web y buscar datos en forma activa de un país o región. Bajo la metodología de empuje (push), los sistemas pueden ser automatizados
para interactuar con un itinerario de la aerolínea, la ubicación de una instalación, u otros factores, para enviar robóticamente los cambios en la
clasificación del riesgo o en la información de interés para el usuario. Estos servicios pueden proporcionar información en tiempo casi real para un
viajero o expatriado.

El nivel del riesgo se evalúa sobre la base de informes elaborados por el departamento de seguridad de los países, o recibidos de los consultores de
seguridad asignados para llevar a cabo la revisión. Los riesgos pueden cambiar con el tiempo y deben ser actualizados de forma regular. Una
clasificación de alto riesgo no significa automáticamente una cancelación arbitraria de los viajes a ese país, pero servirá como un recordatorio de la
necesidad de adoptar contramedidas apropiadas.

Las clasificaciones de riesgos continuamente son monitoreadas y ajustadas a los cambios, por todas las organizaciones. La tecnología permite un
fácil acceso tanto a las organizaciones como a los viajeros en tránsito.

Las siguientes son características de países con varias clasificaciones de riesgos:

Riesgo Bajo
• comunicaciones avanzadas
• profesionales médicos bien formados
• instalaciones médicas modernas y bien equipadas
• fuerzas de la ley y fuerzas armadas confiables
• gobierno estable con un alto grado de continuidad o cambio a través de un debido proceso
• no hay trato arbitrario a empresas o viajeros por el gobierno o el sistema legal
• índices de delincuencia controlados
• historia de derechos civiles

Riesgo Medio
• red de comunicaciones que no es confiable o sujeta a fallos
• alta proporción de médicos mal preparados
• suministros e instalaciones médicas limitadas
• historia de altos índices de delincuencia o actividades terroristas en algunas zonas del país
• historia de interrupción de viaje
• cierta falta de control de los elementos criminales o terroristas por el gobierno de ese país
• debilidad de la economía
• fuerzas de la ley y fuerzas armadas no confiables
• historia de rebelión o derrocamiento del gobierno
• seguridad política a corto plazo, pero no es garantía de largo plazo
• falta del debido proceso

Riesgo Alto
• una amplia historia de delincuencia, terrorismo y amenazas en contra de los extranjeros
• profesionales médicos mal preparados
• suministros e instalaciones médicas limitadas
• instituciones políticas, económicas y jurídicas altamente vulnerables o han dejado de funcionar
• insurgencia reciente o de larga duración e inestabilidad política
• facciones violentas dentro del país o la existencia de guerra o guerra civil
• fuerzas de la ley y fuerzas armadas que no existen o no pueden controlar la delincuencia o el terrorismo
• historia de advertencias a viajeros procedentes de fuentes reputadas
• poca o ninguna protección para los viajeros extranjeros

Las evaluaciones de riesgos se basan en la gravedad del riesgo y la probabilidad de la ocurrencia.

4.4 IMPACTO DE LA CLASIFICACIÓN EN EL VIAJERO

El personal que viajará al extranjero por negocios debiese seguir las medidas siguientes, basado en el nivel de riesgo evaluado:

Riesgo Bajo
• cumplir con las políticas de viajes aéreos, incluyendo los requerimientos de chárter
• reportar incidentes y accidentes, incluyendo amenazas
• presentar un perfil personal

Riesgo Medio
• seguir todas las medidas anteriores
• realizarse un examen médico básico
• obtener un evaluación de salud de viajes
• evaluar las capacidades de comunicación en el país de destino antes de viajar
• obtener capacitación en primeros auxilios
• llevar un botiquín médico de emergencia
• llevar un botiquín médico de emergencia para vehículos si los viajes en carreteras son extensos
• contactar a la embajada o consulado en el país de destino
• utilizar un consultor de seguridad local
• utilizar un conductor local para transportarse
• obtener consejos de seguridad física para el alojamiento
• capacitarse en conciencia de seguridad

Riesgo Alto
• seguir todas las medidas anteriores
• llevar un teléfono satelital, si es apropiado

4.5 PERSONAL RESIDIENDO EN EL EXTRANJERO

Empleados o contratistas que vivirán en el extranjero por un período extendido podrían considerar las siguientes medidas:

Riesgo Bajo
• obtener entrenamiento de medios de comunicación (sólo empleados)
• presentar un perfil personal (del empleado y cada miembro de la familia que lo acompaña)

Riesgo Medio
• seguir todas las medidas anteriores
• registrarse en la embajada o consulado en el país de destino
• obtener un evaluación de riesgos de cualquier lugar de alojamiento y oficinas o de un sitio de operaciones
• obtener un evaluación de salud de viajes para cada persona que viaja

Riesgo Alto
• seguir todas las medidas anteriores
• todas las personas que viajan deben obtener capacitación en primeros auxilios (exceptuando los niños)

4.6 RIESGOS QUE SE PUEDEN ENCONTRAR

Los viajes y operaciones en el extranjero introducen una serie de riesgos a la organización. Idealmente el profesional de la seguridad está para
identificar riesgos a través del análisis y para identificar contramedidas que ayuden a administrar esos riesgos.

4.6.1 CRIMEN

El crimen es uno de los riesgos más comunes para los viajeros al exterior. Un extranjero en un país en desarrollo o en crisis tiene se percibe como de
alto perfil y riqueza. Además, la falta de entendimiento del sistema legal extranjero y del lenguaje, junto con la necesidad de mantener una agenda
de negocios, hacen del viajero un blanco para la oportunidad. Es común que los delincuentes frecuenten hoteles de lujo y restaurantes, o que
empleen operarios dentro del personal como cómplices criminales (a veces incapacitando a las víctimas con drogas o alcohol).

El robo de autos y los “secuestros tigre” (tiger kidnappings) han llegado a ser frecuentes en algunos países. Estas actividades por lo general son un
intento de obtener del viajero dinero en efectivo rápido u objetos de valor. La conciencia de seguridad es de gran ayuda, al igual que mantener un
perfil bajo en cuanto a la vestimenta y al vehículo.

Los tipos y niveles de crímenes varían de un país a otro. En algunos países el sistema de justicia es casi inexistente y los extranjeros están en alto
 riesgo. El programa de conciencia de una compañía debiese enseñar a los empleados que viajan a enfrentarse con este riesgo, a evitar situaciones
que los pongan en peligro. Los empleados deben aprender a tener inteligencia callejera (streetwise) en lugares en el extranjero para evitar la
violencia y las estafas locales. También se les debiese entregar herramientas a los empleados para enfrentar una confrontación criminal o un robo.

Las mujeres pueden ser especialmente vulnerables en culturas que no aceptan fácilmente su participación en negocios. El acoso y los asaltos
sexuales pueden ocurrir en estos entornos. Se deberían utilizar contramedidas como transporte seguro y la “regla del compañero” (buddy rule).

4.6.2 ARRESTO Y ENCARCELAMIENTO

Los viajeros ocasionales no están conscientes de las costumbres o las leyes locales y son arrestados por las autoridades locales por una acción que
no sabían que era una infracción. Las autoridades pueden retener el pasaporte de un viajero hasta que se tome alguna acción (como la firma de un
acuerdo). Los viajeros deben mantener la calma y pedir ayuda a la representación diplomática de su país.

4.6.3 ENFERMEDAD

Muchos países no cuentan con suministros médicos apropiados, profesionales médicos formados o instalaciones médicas adecuadas. El gerente de
seguridad debe asegurarse que los viajeros entienden el sistema de atención médica local, incluyendo el transporte de emergencia y las técnicas
especializadas. Por ejemplo, un empleado destinado a una ubicación remota en países en desarrollo que tiene una condición cardiaca pre-existente,
debiese estar consciente de los riesgos de no recibir tratamiento durante los “minutos dorados” (el período cuando el tratamiento médico tiene las
mayores probabilidades de evitar la muerte).

Las organizaciones pueden optar por utilizar proveedores privados de asistencia médica y de evacuación, algunas de las cuales agrupan las
calificaciones de riesgo país con sus servicios. Estas empresas pueden ayudar a los viajeros a encontrar atención médica adecuada en el país y
evacuarlos si es necesario. Además, pueden darles consejos médicos por teléfono cuando un viajero necesita un diagnóstico de alto nivel y una
posible remisión.

Los viajeros de países desarrollados están acostumbrados a los servicios de evacuación médica proficientes como ambulancias, ambulancias aéreas
y equipos de respuesta a emergencias. Estos servicios no están fácilmente disponibles en países en desarrollo, ni hospitales y clínicas. Una respuesta
es equipar a los empleados con un botiquín médico contundente y con capacitación de primeros auxilios, para que ellos se puedan tratar a sí mismos
o a otros.

4.6.4 ACCIDENTES
Los accidentes de tráfico representan una amenaza para los viajeros, especialmente en países que carecen de tráfico controlado. Clasificaciones de
caminos y tráfico están disponibles en fuentes privadas y gubernamentales.

4.6.5 DESASTRES NATURALES

En el mundo desarrollado, muchas empresas esperan la ayuda de los equipos de atención primaria (first responders) en caso de un desastre natural.
Los recientes acontecimientos mundiales han demostrado que en la mayoría de los eventos los equipos de respuesta están sobrepasados. En el
mundo en desarrollo, el impacto de los desastres se multiplica por la respuesta mínima. En los primeros días de un evento allí, un viajero de
negocios y gerente de la instalación tendrá que ser autosuficiente, actuando sin el apoyo del gobierno.

4.6.6 EVENTOS GEOPOLÍTICOS

Los desafíos al gobierno local pueden arrastrar en su torbellino a los viajeros de negocios y empleados nacionales locales. Estos eventos también
pueden afectar a la instalación del negocio o la cadena de suministro.

4.7 CONTRAMEDIDAS

Las contramedidas toman varias formas y pueden ser parte de un enfoque global, o bien de uno localizado, dependiendo de la situación.

4.7.1 SESIONES INFORMATIVAS DE INTELIGENCIA GENERAL

Los viajeros a destinaciones extranjeras necesitan conocer los entornos que atravesarán o en los que operarán. Las organizaciones debiesen dar a los
empleados información general sobre seguridad, seguridad ocupacional y comodidades antes que viajen. Estas sesiones informativas pueden
abordar transporte terrestre, embarcaciones, seguridad del agua y comida, clima severo y otras materias de viajes, así como amenazas criminales y
 terroristas en el país o región.

4.7.2 SESIONES INFORMATIVAS DE AMENAZAS ESPECÍFICAS

Los viajeros también necesitan información específica sobre amenazas emergentes y un cierto conocimiento de la historia de la amenaza. Por
ejemplo, las nuevas actividades de muchos grupos terroristas están programadas para coincidir con aniversarios clave. Varias empresas privadas
monitorean en fuentes abiertas y fuentes extraoficiales (back-channel sources) las fechas de aniversarios y actividades en curso y pueden compartir
esa información con la organización o sus viajeros.

4.7.3 PRONÓSTICOS DE INTELIGENCIA

Estos pronósticos, generalmente creados a nivel de país y región, pueden usarse antes de invertir en una actividad comercial. Generalmente estos
pronósticos abordan anticipadamente los riesgos de seguridad y los aspectos culturales y geopolíticos.

4.7.4 PLANIFICACIÓN DE CONTINGENCIA Y EVACUACIÓN

Los planes de contingencia deben prever una respuesta al aumento del riesgo o a un evento específico, y deben aclarar las responsabilidades durante
y después de un evento. Para entrenar, el grupo de respuesta a emergencias debe llevar a cabo ejercicios de contingencia. El grupo de
comunicaciones corporativas debería considerar también un plan de comunicaciones de crisis para hacer frente a la prensa y la publicidad en el caso
de un evento mayor.

El plan de contingencia corporativo debería crear un equipo corporativo de respuesta a emergencias e incluir un plan de emergencia internacional
que aborde las emergencias médicas, amenazas criminales y evacuación. La mayoría de los planes incluyen tres fases: una fase de alerta, una etapa
de preparación-para-la-evacuación, y una etapa de evacuación. El plan también debe incluir procedimientos para resistir (stand-fast) en caso de que
no sea seguro trasladar a los empleados o sus familiares fuera del país.

Donde exista la posibilidad de un desastre natural o de disturbios civiles o políticos severos, el empleador debería preparar un plan de evacuación
con los siguientes elementos:

• Declaración de la política. Esta es una declaración del compromiso de la organización con la protección de sus empleados y de un requisito
para que los empleados tomen precauciones personales.
• Requerimientos generales de seguridad para la oficina, vehículo y hogar. Los empleados pueden necesitar almacenar provisiones,
pasaportes, otros documentos esenciales, dinero en efectivo para emergencias, etc. Se deben abordar los procedimientos de comunicaciones y
de capacidad de llamada por radio o por teléfono satelital, al igual que la seguridad del vehículo y la seguridad física de la casa.
• Equipo de manejo de crisis. El equipo de manejo de crisis puede incluir un equipo local en el país extranjero y un equipo corporativo que
maneje la crisis desde el país de origen. El plan debiese incluir las responsabilidades y el rol de cada miembro del equipo.
• Niveles de alerta. Los niveles de alerta generalmente incluyen un nivel de monitoreo, donde hay signos de que el nivel de riesgo del personal
está incrementándose; un nivel de “espera (stand-by) de información”; un nivel de evacuación, donde se toman medidas para retirar al personal
del país; y un nivel de permanecer (stand-fast) cuando las condiciones son muy peligrosas para realizar una evacuación.

4.7.5 COMUNICACIONES

Aunque el mundo está cada día más conectado gracias a la tecnología, todavía existen desafíos. Algunas áreas no tienen cobertura de telefonía en
absoluto, mientras que otros sistemas de uso no son compatibles con los teléfonos celulares del país de origen de los viajeros. Otro desafío es saber
los protocolos de llamada en diferentes países. En algunos casos pueden ser necesarios los teléfonos satelitales. Los líderes de seguridad deben
garantizar que los viajeros tienen la tecnología adecuada y saber utilizarla.

4.8 CONSIDERACIONES MÉDICAS

Los viajes internacionales implican una serie de riesgos médicos, y la calidad de los servicios médicos varía. Los servicios de ambulancias pueden
ser rudimentarios. Muchos países tiene profesionales médicos bien formados, pero un acceso limitado a insumos médicos. Los empleados pueden
minimizar el riesgo médico con precauciones como capacitación en primeros auxilios, botiquines, vacunas, seguros de viaje y planes de evacuación.
En algunos casos, las precauciones pueden ser extensivas a los miembros de la familias.

Los empleados tienen el derecho a ser informados acerca de los riesgos para la salud laboral que se conocen. También tienen derecho a disfrutar de
estándares de salud y seguridad ocupacional equivalentes, independientemente de su ubicación. Los empleados deberán informarse acerca de los
potenciales peligros de su futura destinación y tomar las precauciones necesarias.

Se deben realizar evaluaciones de salud de viaje al personal que viajará o residirá en el extranjero. Estas evaluaciones debe incluir los siguientes
elementos:
 • revisión de los requisitos sanitarios específicos del país de destino
• revisión de los riesgos para la salud de ese país
• inmunización según se requiera
• recomendaciones médicas para viajes y protección de la salud personal
• Evaluar si está “apto para viajar” (fitness to travel)

4.8.1 GRUPOS DE ASISTENCIA MÉDICA

Muchas entidades ofrecen a sus viajeros acceso a asistencia médica a través de un plan médico internacional, el uso de un grupo de asistencia
médica, o una combinación de ambos. En las organizaciones que sólo tienen un plan médico internacional, el individuo es responsable de la
coordinación de la cobertura y la presentación de reclamaciones a la organización correspondiente.

Un grupo de asistencia médica privada es una forma rentable de obtener servicio médico al estilo de país de origen del viajero. Por ejemplo, un
viajero de un país occidental puede no estar acostumbrado a los servicios de salud al estilo oriental o a las normas sanitarias. Los grupos de
asistencia médica mantienen bases de datos de los lugares de entrega cualificados y, en algunos casos, operan sus propias clínicas médicas.

Estos grupos de asistencia también ofrecen consejos médicos en forma provisoria por teléfono. Un ejemplo podría ser el de un viajero con una
diarrea severa en la habitación de su hotel. El viajero podría ser capaz de abstenerse de recibir tratamiento médico siguiendo las medidas médicas
básicas dadas por el servicio, podría recibir la visita de un médico en su habitación, o podría ser estabilizado mientras se hacen los arreglos para
trasladarlo.

El grupo de asistencia médica también puede ofrecer a los viajeros los siguientes servicios adicionales (Institute of Business Travel Management &
National Business Travel Association, 2003):

• Ayuda para superar las barreras del idioma

• seguimiento de los avances en el tratamiento y la recuperación
• apoyo en la comunicación con la familia, negocios y médicos personales
• gestión de las evaluaciones médicas y traslados necesarios o la repatriación de los restos
• facilitación del ingreso al hospital
• coordinación de la garantía o de los pagos directos a los proveedores de atención de salud
• coordinación de la transferencia de sangre de emergencia, vacunas y medicamentos o recetas perdidas o robadas
• arreglo del retorno de los hijos dependientes de un empleado sin vigilancia a su lugar de residencia
• transporte para los miembros de la familia u otros que necesitan llegar al empleado enfermo o lesionado

Los empleados deben estar preparados para hacer frente a las emergencias médicas como lesiones por accidentes de tráfico. El personal que
realizará largos viajes por carretera en países con riesgos de moderado a alto, deben considerar llevar un botiquín de primeros auxilios en el
vehículo, así como su propio plasma o sangre.

El plan y los procedimientos de contingencia deben tener en cuenta la ubicación de clínicas internacionales de viaje para el tratamiento de los
viajeros o los expatriados que se lesionan o enferman en el extranjero.

Al regresar a casa, los empleados deben tener acceso a una evaluación de salud posterior al viaje (PTA de ahora en adelante, por sus siglas en
inglés), en especial cuando el estado de salud podría haber cambiado durante el viaje o podría haber estado expuesto a enfermedades infecciosas.

4.8.2 INMUNIZACIONES E HISTORIA MÉDICA

El traslado a destinos internacionales debe considerar la salud de la persona designada, tanto desde la perspectiva de inmunización como de
emergencia. Hay recomendaciones disponibles en la World Health Organization (www.who.int), los U.S. Centers for Disease Control and
Prevention (www.cdc.gov) y el British National Health Network Travel and Centre (www.nathnac.org). Cada uno entrega información oportuna y
precisa sobre los desafíos de salud en varios países.

El libro CDC Health Information for International Travel 2010 sirve como una guía para la práctica de medicina de viaje y es la fuente autoritativa
del gobierno de EE.UU. para recomendaciones acerca de inmunizaciones y profilaxis para viajes al extranjero.

Los viajeros pueden protegerse mejor al viajar con suficientes medicamentos con su receta, llevando registros médicos apropiados, y
comprendiendo el nivel de apoyo médico en el país de destino.

4.9 ENTRENAMIENTO DE CONCIENCIA DE SEGURIDAD

El conocimiento es poder, ya sea en las manos de un gerente de una instalación, un viajero, o miembros de la familia desplegados con un expatriado.
Los programas de sensibilización para los empleados que viajan deben incluir consejos para la seguridad personal al caminar, usar el transporte
público, conducir, viajar en avión y alojarse en hoteles.

La capacitación también debería abordar la protección de la información confidencial. Los empleados que viajan al extranjero a menudo poseen
 información confidencial que tiene un valor económico. Los residentes de la zona podrían tratar de obtener esa información. Podría ser necesaria la
encriptación y otros métodos de protección.

Los programas de concientización también deben abordar la relación con las autoridades locales. En los cruces fronterizos a menudo se exigen
sobornos, y el empleado que viaja debe ser entrenado sobre la mejor manera de lidiar con los funcionarios locales. También se debe advertir a los
empleados de las consecuencias de involucrarse con drogas o prostitución en el extranjero.

En algunos casos, los viajeros pueden requerir instrucciones de viaje globales. Normalmente, la mejor manera de proporcionar esta información es a
través de folletos, que podrían incluir lo siguiente:

• identificación de riesgos
• preparación (médica, documentos de viaje, etc.)
• vestimenta adecuada para el viaje, debido a razones ambientales o religiosas
• qué hacer al llegar (materias de transporte, contactos de embajada y consulados, etc.)
• relación con las autoridades fronterizas
• precauciones en el país de destino
• crimen
• qué hacer si uno es arrestado o encarcelado
• qué hacer en el evento de una enfermedad o accidente
• qué hacer en el evento de un desastre natural o agitación política
• contactos telefónicos en el país de destino y origen

4.9.1 EMBAJADAS Y CONSULADOS

El personal debe contar con los números y las direcciones de las embajadas y consulados más cercanos a su destino. Algunos países permiten el
registro y monitoreo a través de la Web de viajeros residentes para que puedan ser localizados por su gobierno en caso de emergencia.

4.9.2 ORIENTACIÓN CULTURAL

En la medida que los negocios se expanden a lo largo del mundo, la conciencia global y las habilidades empresariales transfronterizas son más
importantes que nunca. La capacitación en conciencia cultural en salas de clase e Internet ayuda a los viajeros y expatriados a aumentar sus
conocimientos, habilidades y estrategias para trabajar y sobrevivir a nivel mundial. Esta formación puede ayudarles a

• entender diferencias culturales y su impacto en el día a día de los negocios

• mejorar la comunicación intercultural, lo que resulta en menos conflictos, malentendidos y errores potencialmente costosos, y
• entender el potencial para el fraude, abuso y corrupción, como una manera de hacer negocios en algunos países.

4.9.3 PERFIL DEL EMPLEADO E INFORMACIÓN DE EMERGENCIA

Un perfil personal es una colección de información personal que puede ser útil cuando un empleado viaja al extranjero o si es secuestrado. Los datos
a ser recopilados incluyen los medicamentos requeridos, condiciones médicas, contacto con el médico, tipo de sangre, y los signos distintivos y
cicatrices. Los datos del perfil pueden ayudar a determinar si una amenaza es real o un engaño y también pueden ser útiles en la investigación de los
hechos y para formular una respuesta. Con el perfil en el lugar apropiado, hay una mayor posibilidad de un rescate exitoso.

Para países con riesgos de moderado a alto, se debe completar un perfil y guardarlo en un sobre sellado marcado como sigue:

Perfil Personal
[Nombre]
A ser abierto sólo en el evento de una emergencia

Hay empresas que levantan huellas dactilares, prototipo de escritura a mano e impresión, grabaciones de voz y contraseñas secretas.

Un ejemplo de un perfil personal se encuentra en el anexo de este capítulo.

4.9.4 SEGUIMIENTO DE EMPLEADOS Y ACTIVOS

Un sistema de posicionamiento global (GPS) de seguimiento de empleados y activos puede ser útil tanto para su tranquilidad como para un rescate.

4.9.5 ANÁLISIS DE LA SEGURIDAD OCUPACIONAL EN TRANSPORTES

Las aeronaves y embarcaciones en el mundo no están reguladas por una organización central. Los transportes de algunos países son más propensos a
tener problemas debido a deficiencias de mantenimiento, capacitación y personal. Algunas empresas revisan estos transportes y califican su valor
 por aire –o mar- en general.

4.9.6 TRANSPORTE TERRESTRE

Los viajes por carretera en algunos lugares son difíciles y peligrosos. Las empresas deben evaluar el riesgo de las distintas formas de transporte para
sus empleados.

Ejemplos de las preocupaciones de transporte terrestre son los siguientes:

• Taxis. ¿Se debe permitir a una mujer sola tomar un taxi?

• Arriendo de autos. ¿Será capaz un viajero procedente de un país en que se conduce a la derecha arrendar un vehículo en un país en el que se
conduce a la izquierda?
• Transporte público. ¿Se le debe permitir a un viajero tomar el tren en un país en vías de desarrollo?

Una buena fuente sobre el transporte por carretera es la Association for Safe International Road Travel (www.asirt.org).

4.9.7 INVESTIGACIÓN DE ANTECEDENTES DE DOMICILIOS Y HOTELES

Los viajeros a países extranjeros tienen muchas consideraciones en la selección de un hotel o domicilio. ¿Es inocua la zona desde una perspectiva de
seguridad? ¿Hay controles adecuados en el lugar?

Los profesionales de la seguridad deben conocer los problemas de seguridad ocupacional locales. ¿Existe una respuesta médica adecuada? ¿Existen
detectores de humo instalados? ¿Hay un cuerpo de bomberos cercano?

Los peligros de seguridad ocupacional pueden suponer un riesgo mayor que las amenazas de seguridad (security). Por ejemplo, en los países en
desarrollo el riesgo de incendio (debido a los métodos de calefacción y las normas de construcción inadecuados) pueden ser significativos.

4.9.8 INVESTIGACIÓN DE ANTECEDENTES DE PERSONAL DE SERVICIO

La utilización de mano de obra local para la limpieza, cuidado de niños, conducción y otras funciones de apoyo, es común en algunos países. La
ayuda doméstica debe ser revisada cuidadosamente. En la medida de lo posible, es ventajoso el uso de trabajadores que previamente hayan servido
(y con éxito) a otros expatriados.

4.10 SEGURIDAD FÍSICA DE LA INSTALACIÓN Y OFICINA

Los controles de seguridad física para el funcionamiento de la instalación y de la oficina pueden verse afectados por la energía poco confiable en los
países en vías de desarrollo. Incluso apagones programados pueden afectar el control de acceso, alarmas y sistemas de circuito cerrado de televisión.

4.11 TRABAJO A DISTANCIA

Permitir a los empleados trabajar desde sus casas es un beneficio para el empleado y rentable para el empresario, pero presenta desafíos a la
seguridad.

Cuando los empleados expatriados trabajan a distancia desde un hotel o desde su domicilio en el extranjero, deben seguir una estricta política de
seguridad física y cibernética.

4.12 DEBIDA DILIGENCIA (DUE DILIGENCE) DE LA CADENA DE SUMINISTRO

En el ambiente empresarial global de hoy, las empresas dependen de otras organizaciones en todo el mundo. Por tanto, un profesional global de la
seguridad debe asegurarse que los socios estratégicos internacionales de la organización emplean garantías satisfactorias.

4.13 VERIFICACIÓN DE ANTECEDENTES PRE-EMPLEO Y PRUEBAS DE DROGAS

Otras secciones de Protección de Activos describen el enfoque estándar para la creación e implementación de una política integral de detección pre-
empleo. Sin embargo, en algunas partes del mundo, las bases de datos que contienen los antecedentes penales no son digitalizadas, no están
 centralizadas, o no existen. Los fraudes –respecto de los antecedentes penales, historial de empleo, credenciales y educación- complican esta
materia.

Las leyes de privacidad pueden controlar estrictamente la difusión y utilización de los registros. El profesional de seguridad debe trabajar en
estrecha colaboración con el personal de recursos humanos para saber qué datos están disponibles, cuán confiables pueden ser, y la forma en que se
pueden emplear en el proceso de contratación.

Los mismos desafíos son válidos para el uso de pruebas de drogas y psicológicas. El profesional debe investigar la legalidad de la prueba con
relación al trabajo.

4.14 RESPUESTA A SECUESTRO / RESCATE / EXTORSIÓN

Muchas empresas que despliegan personal en zonas peligrosas compran un seguro de secuestro/rescate/extorsión (KR&E de ahora en adelante, por
su siglas en inglés). Las políticas de KRE normalmente ofrecen cobertura para los siguientes (Saul, 2009):

• pagos de rescate y extorsión como resultado de un secuestro o amenaza de extorsión

• pérdida del pago de un rescate o extorsión, mientras se está entregando
• honorarios y gastos de los negociadores independientes, así como los gastos de viaje y alojamiento
• cobertura de los gastos debido a amenaza política cuando una persona está ilegalmente detenida por cualquier persona que actúe por un
gobierno o con la aprobación del gobierno

La extorsión es definida como una amenaza, que se realiza en conjunto con la demanda de un rescate, para realizar un acto como los siguientes:

• muerte, lesión, o secuestro de una persona

• dañar la propiedad o contaminar productos
• divulgación de secretos comerciales
• la introducción de un virus informático

Otros gastos, como estos, también pueden ser cubiertos:

– recompensa a un informante
– costos de medidas de seguridad temporales recomendadas por una compañía certificada
– honorarios de un consultor de relaciones públicas
– honorarios de un intérprete
– salario para los empleados que ayudan en las negociaciones
– pérdida financiera personal debido a la inhabilidad física de atender materias financieras personales
– intereses sobre los préstamos destinados a cubrir pérdidas aseguradas
– convenios o sentencias impuestas a los asegurados por o en nombre de una persona asegurada o los accionistas como consecuencia directa de
la extorsión

Las empresas suelen mantener su cobertura KR&E confidencial para evitar ser blanco de ataques.

4.15 SOBORNO Y CORRUPCIÓN

En algunos países el soborno y la corrupción son aceptados tanto cultural como legalmente. Transparencia Internacional (www.transparency.org),
que se promociona a sí misma como “la coalición global contra la corrupción”, publica su Índice de Percepción de la Corrupción anualmente. El
índice es una herramienta que puede ayudar a un profesional a medir los riesgos de seguridad en un país en particular. Además, el Eastern Michigan
University College of Business (www.cob.emich.edu) proporciona enlaces web para la investigación de sobornos y corrupción internacional.

Las leyes de algunos países abordan la conducta de sus ciudadanos, independientemente de dónde se encuentren. Por ejemplo, la Foreign Corrupt
Practices Act (FCPA de ahora en adelante, por su siglas en inglés) en Estados Unidos considera ilegal que una persona en Estados Unidos pague a
un funcionario extranjero con el propósito de obtener o retener negocios para o con, o dirigir un negocio hacia, cualquier persona. En el Reino
Unido, las leyes contra el soborno se fortalecieron con la Bribery Act de 2010.

Los profesionales de la seguridad deben estar conscientes de estas leyes y su potencial impacto en las organizaciones que apoyan. La seguridad
puede ayudar a la organización al disponer o proporcionar investigaciones de posibles proveedores, socios de empresas conjuntas (joint venture) u
otras entidades, que puedan tener una relación comercial con la empresa.

4.16 SEGURIDAD DE LA INFORMACIÓN SEGURIDAD DE LA INFORMACIÓN

Los rápidos cambios en las tecnologías de la información exigen esfuerzos especiales para la protección de los activos de información en el
extranjero. En algunos países, puede que no existan leyes y reglamentos de protección suficientes. Muchas empresas tienen que basarse en el
derecho contractual para encontrar la solución cuando un socio del negocio sufre una pérdida o intrusión.

Viajar a través fronteras con información, ya sea escrita o digital, puede exponer la información a revisiones. Los empleados no deben esperar
privacidad de la información cuando viajan al extranjero. De hecho, al analizar el riesgo de hacer negocios en un país en particular, tiene sentido
considerar la postura cultural y jurídica del país sobre la protección de la propiedad intelectual, así como la propensión del país a tratar de recopilar
información a través de medios electrónicos.

Además, otros países pueden no tener, o no hacer cumplir, las leyes contra las escuchas telefónicas. El gerente de seguridad podría tener que tomar
regularmente contramedidas electrónicas (anti-espionaje), barrido (sweep) de oficinas o habitaciones de hotel donde se realicen las operaciones. Las
telecomunicaciones son especialmente susceptibles al espionaje, y a los empleados se les debe exhortar a no utilizar los teléfonos (fijo o móvil) o
fax para obtener información confidencial. El personal que viaja con computadoras portátiles puede utilizar software de encriptación para proteger
los documentos transmitidos electrónicamente (el gerente de seguridad debe asegurarse de que el tipo de cifrado se pueda usar legalmente en el país
de destino). Los teléfonos satelitales también pueden proporcionar un mayor nivel de seguridad para las comunicaciones con la sede principal.

La economía global presenta desafíos únicos para los profesionales de la seguridad. Ellos necesitan actuar como administradores holísticos de
riesgos, constantemente monitoreando, evaluando y ajustando, según sea necesario, y deben estar preparados para administrar un problema desde
cualquier lugar.
ANEXO A

PERFIL PERSONAL CONFIDENCIAL

Este formulario es para el uso de aquellos que viajan a destinos internacionales. Debe ser completado y sellado en un sobre confidencial y remitido a
Seguridad. La información estará entonces disponible en caso de una emergencia. Por favor adjunte una fotografía reciente y un conjunto de huellas
dactilares de todos los miembros de la familia, si corresponde.
REFERENCIAS

iJet Intelligent Risk Systems. (2009). Travel risk management maturity model. Alexandria, Virginia: National Business Travel Association.
Institute of Business Travel Management & National Business Travel Association. (2003). Emergency guidelines & procedures for corporate travel
programs. Available: http://www.travelriskcenter.com/TRC/trc_files/Kroll_Crisis_Plan.pdf [2011, October 1].
Saul, D. (2009, September). Kidnap, ransom and extortion policy. AGL. Available: http:www.aglmag.com [2011, October 1].

1 Nota del Traductor: los mastines son un grupo de razas caninas de gran tamaño, que incluyen al Dogo argentino bullmastiff y Terranova, entre muchas
otras.
2 En Estados Unidos, de acuerdo con el estándar #10 para extinguidores de fuego portátiles de la National Fire Protection Association, el área más grande
para ser protegida dentro de una ocupación de riesgo ligero por un solo extintor portátil sería de 6.000 pies cuadrados (557 metros cuadrados) y el
extintor más pequeño permisible sería 2A.
3 N. del T: el concepto anglosajón safety es traducido y entendido tanto como seguridad ocupacional así como prevención de accidentes. Para evitar
confusiones con la noción de riesgo asociado al concepto de seguridad, en el presente manual safety será traducido como seguridad ocupacional.
4 N. del T: también se conocen como lombrices intestinales.
5 Un licenciado es aquel que tiene el consentimiento expreso o tácito de entrar a la propiedad para sus propios fines y no para cualquier propósito o interés
en el poseedor (Black’s Law Dictionary, 1979).
6 Una visita de negocios es quien es invitado o se le permite entrar al recinto de otro, con un propósito directa o indirectamente conectado con negocios
entre ellos (Black’s Law Dictionary, 1979).
7 Commonwealth v. Tarrant; Green v. Ross.
8 Zareb v. Frederick; Flynn v. Lindenfeld.
9 Tompson v. Wold; Carrow v. Haney; Dobrin v. Stebbins.
10 “NFPA 101 [Life Safety Code] define un edificio de altura como un edificio de más de 75 pies (22,5m) de altura, donde la altura del edificio se mide
desde el nivel más bajo de acceso para vehículos de bomberos hasta el piso ocupable más alto. Esta definición es consistente con muchos códigos de
modelo de construcción, pero se debe hacer notar que existen muchas definiciones diferentes en jurisdicciones locales que utilizan criterios de altura y
medición variables.
11 Un código es definido como “una colección sistemática o una revisión de las leyes, reglas o regulación. Estrictamente, un código es una recopilación no
sólo de las leyes existentes, sino también de gran parte de la ley no escrita sobre una materia” (Black’s Law Dictionary, 2004, p.253).
12 N. del T: Este concepto anglosajón no tiene traducción directa; hace referencia al perfil en el horizonte que dibujan las diferentes construcciones de una
ciudad.
13 “Un intento de daño o lesión; una indicación de algo inminente” (ASIS General Security Risk Assessment Guideline, 2004, p. 5).
14 En el caso de terrorismo, el valor del objetivo para los terroristas puede incluir su estatus dentro de una ciudad o país y el tipo de arrendatarios. Por
ejemplo, si el edificio objetivo es un símbolo de la fuerza económica o es el edificio más alto de la ciudad, un acto terrorista “exitoso” será lograr las
metas del agresor, es decir, amplia publicidad.
15 Un estándar es “un modelo, tipo o calibre utilizado para establecer o verificar lo que está comúnmente considerado como aceptable o correcto”
(Webster’s New Universal Unabridged Dictionary, 2nd ed., as quoted in Protection of Assets, 1999).
16 Garantizar la seguridad de las personas puede implicar amenazas que pueden incluir delitos, como robos o asaltos, o puede estar relacionada con
emergencias de construcción, tales como atrapamientos en ascensores, cortes de energía o desastres naturales.
17 “El efluente aerotransportado total proveniente de un material caliente o en llamas” (Clarke, 2002, pp. 8-9).
18 N. del T: setback es un concepto anglosajón que, en relación al uso de los espacios, hace referencia a la distancia entre una estructura (edificio, casa, etc.)
y la calle o camino exterior.
19 “La posibilidad o, en algunos casos, la certeza matemática que un evento dado ocurrirá” (ASIS General Security Risk Assesment Guideline, 2004, p.4).
20 En muchas emergencias, particularmente aquellas que involucran la amenaza de incendio, usualmente los ascensores no se consideran un medio seguro
de evacuación y por lo tanto las escaleras de emergencia son generalmente el único medio de escape.
21 Estaciones manuales de alarma de incendio también se conocen como cajas manuales de alarma de incendio, estaciones manuales o alarmas de arranque
manual.
22 Las escaleras de incendio (fire stairs) son “escaleras de salida de emergencia de la construcción” (o comúnmente llamadas “escalera de torre”. “El
nombre refleja la razón tradicional para evacuar, que es un incendio (fire) en un edificio” (Emergency Evacuation Elevator Systems Guideline, 2004,
p.45).
23 Adicionalmente, los municipios que adoptan determinadas ediciones de las normas en la ley, pueden no actualizar la ley de manera oportuna cuando los
estándares relevantes cambian.
24 “Un mecanismo para subir y bajar, utilizado exclusivamente para transportar materiales, con un carro de tamaño limitado que se mueve en las guías en
una dirección sustancialmente vertical” (Donoghue, 2003, p. 12-204).
25 Las citas en este capítulo del Manual de Protección de Incendios se usan con el permiso de la National Fire Protection Association.
26 En el ataque del 11 de septiembre de 2001 a las Torres Gemelas (New York World Trade Center), los sistemas de rociadores automáticos,
particularmente aquellos en o cerca de donde cada impacto tuvo lugar, fueron destruidos por el impacto o vueltos sin efecto por el combustible en
llamas.
27 La producción de halón terminó el 1 de enero de 2000, “salvo en la medida necesaria para satisfacer los usos esenciales para los que no existen
disponibles alternativas adecuadas” (Taylor, 2003, p. 6-281). Los stocks se pueden reciclar hasta que se agoten. Un número de sustitutos del halón se
 han desarrollado como agentes alternativos al halón.
28 El movimiento del humo en edificios de gran altura también se puede complicar por las modificaciones de construcción posterior a la construcción que
dan lugar a aberturas mal selladas en los pisos. Llamado poke-throughs en inglés, cuando son pequeños y son instalados para permitir que alambres de
telecomunicaciones u otros conductos pasen entre pisos, tales aberturas permiten que el humo se mitigue. Si tales aberturas ocurren sobre bastantes
pisos, el sistema de tratamiento de aire del edificio puede verse afectado.
29 Un plenum (cámara impelente) es “un compartimiento o cámara a la que están conectados uno o más conductos de aire y que forma parte del sistema de
distribución de aire. Puede ser utilizado para suministrar aire a la zona ocupada o para devolver o hacer escapar el aire de la zona ocupada” (Webb,
2003, p. 12-241).
30 “Los obstáculos como paredes, tabiques, suelos y puertas con resistencia al fuego suficiente para conservar su eficacia durante una exposición al fuego,
tienen una larga historia de proporcionar protección contra la propagación del fuego. Estas mismas barreras proporcionan algún nivel de protección
contra humo a los espacios alejados del fuego” (Milke, 2003, p. 12-120). Compartimentación también incluye el cierre automático de las puertas
cortafuegos, tales como ascensores o puertas del lobby.
31 Los anuncios pueden ser en vivo o grabados, dependiendo de los requerimientos de la autoridad local.
32 Una señal de problema “indica una falla en un circuito o componente de monitoreo del sistema de alarma de incendio o un desajuste de la fuente
primaria o secundaria de energía” (Moore, 2008, p-14-5).
33 La necesidad de evacuar o reubicar a los ocupantes depende de la naturaleza de la emergencia. Para la mayoría de las emergencias a gran altura, no es
necesario evacuar a los ocupantes fuera del edificio, sino conducir una evacuación por etapas, por la que son reubicados en zonas seguras dentro del
edificio, ni tampoco es necesario realizar una evacuación total de todos los ocupantes del edificio.
34 El término “usualmente” se usa aquí puesto que algunos edificios de gran altura, dependiendo de su uso, pueden no tener un gran número de ocupantes
(por ejemplo, algunos edificios residenciales y departamentos, y aquellos utilizados principalmente para albergar equipos de telecomunicaciones).
35 Kitteringham, Glen K., Security and Life Safety for the Commercial High-Rise, Alexandria, VA: ASIS International; 2006, según citado en Challinger
D., From the Ground Up: Security for Tall Buildings, Alexandria, VA: ASIS Foundation Research Council, 2008.
36 Glen W. Kitteringham observa que “el análisis de patrones de crímenes es un proceso que implica un número de técnicas, todas las que pueden ayudar a
la administración del riesgo de crímenes. Es, por lo tanto, mejor considerada como un término genérico, que abarca una serie de enfoques y técnicas
para el análisis de la incidencia y distribución de la delincuencia” (Un patrón para el crimen: una visión general del proceso de trazado bidimensional
para la evaluación de riesgo de crimen. A pattern for crime: an overview of the two dimensional mapping process for crime risk evaluation. Canadian
Security, Facility Management Supplement, Aurora, Ontario, Canada; November 2001).
37 Muchos códigos obligan que se provean de al menos dos escaleras de salida de emergencia por piso. Esto permite que al evacuar a los ocupantes se
pueda usar una segunda escalera si la más cercana está inutilizable debido a las condiciones de emergencia.
38 “Nivel Designado se define como el piso principal o el otro piso que mejor satisface las necesidades del personal de emergencia con fines de extinción
de incendios o de rescate” (Donoghue, 2003, p. 12-203). “El regreso automático o manual, o recuperación, de los ascensores a un nivel designado o a un
nivel alternativo” (Dohoghue, 2003, p. 12-202) se conoce como operación de la Fase I. Una vez que los ascensores han sido retirados, entonces están
disponibles para los bomberos mediante una clave especial. “La disposición que permite al personal de extinción de incendios operar el ascensor desde
dentro del carro, u operación de emergencia en el carro, comúnmente se conoce como la Fase II” (Donoghue, 2003, p. 12-2002). Dado que el uso de los
ascensores es exclusivo para el personal de bomberos, no para ingenieros o el personal de seguridad del edificio, el uso de dicha clave debe ser
estrictamente controlada y restringida para la finalidad par la que fue diseñada.
39 Las maneras para proteger las tomas de aire exteriores están documentadas en Guidance for Protecting Building Environments from Airborne Chemical,
Biological, or Radiological Attacks, Publication No. 2002-139 by NIOSH (National Institute for Occupational Safety and Health), Department of Health
and Human Services, Centers for Disease Control and Prevention, May 2002, www.cdc.gov/niosh.
40 Desafortunadamente, debido a los espacios de estacionamiento insuficientes en áreas metropolitanas, las estructuras de gran altura, particularmente las
construidas recientemente, por lo general necesitan proveer instalaciones de estacionamiento bajo el edificio.
41 El volumen Protección de Activos en seguridad física entrega una descripción general de los diferentes tipos de mecanismos de bloqueo y sus relativas
fortalezas y debilidades, así como información sobre cerraduras y (conjuntos de cerraduras) para aplicaciones particulares.
42 “Los dispositivos de hardware de pánico [tales como barras cruzadas y almohadillas de empuje] están diseñados para facilitar el desbloqueo del
dispositivo de enganche en la puerta cuando se aplica una presión que no exceda de 15 libras (6,8kg) en la dirección de desplazamiento de salida”
(Lathrop , 2003, p. 4-72).
43 Una cerradura embutida es aquella en el que el bloqueo se establece en una mortaja o rebaje en la propia puerta.
44 Los cilindros de núcleo extraíbles utilizan “una llave especial que se llama llave de control para quitar todo el mecanismo del tambor (denominado
núcleo) de la carcaza [la carcaza es el alojamiento del cilindro]. Esto hace que sea posible reemplazar rápidamente uno con otro núcleo que tiene una
combinación diferente y que requiere una llave diferente para operar. Debido a esta característica, los cilindros centrales extraíbles son cada vez más
populares para uso institucional, y para uso en grandes empresas comerciales donde se cambian las cerraduras a menudo” (Edgar, 2004, p. 169-170).
45 Por propósitos de seguridad, las puertas de emergencia de las escaleras no debiesen tener mecanismos de bloqueo en el exterior de las puertas.
46 N. del T: ver página 120
47 Charlie R. Pierce, CPP, in Gips (2001, p. 82).
ÍNDICE DE FIGURAS

1-1 Requerimientos de Alimentación Promedio

1-2 Items que han Causado Falsas Alarmas en la Detección de Explosivos
2-1 Planta Baja de un Edificio de Oficinas de Gran Altura
2-2 Tipo de Tráfico y Acceso
2-3 Esquema de Protección de Toma de Aire Fresco
ÍNDICE

accidentes, 25, 154, 156, 171, 183, 187, 193

alarma de intrusión, 119, 122, 123
alarmas de coacción, 135
alimentación, 23, 26, 33, 56, 59
arresto, 186
ascensores, 90, 91, 92, 95, 98, 104, 108, 109, 111, 112, 113, 114, 115, 116, 117, 118, 120, 121, 122, 130, 137, 141
asistencia médica, 187, 191, 192

barreras, 24, 57, 58, 95, 104, 125, 127, 128, 136, 155, 171, 192
bombas, 55, 94, 126, 128
búsqueda en edificios, 55

cadena de suministro, 188

cajas de escaleras, 117, 120, 130, 135
caniles, 24
CCTV, 136
centro de comando, 105, 158, 160
cerraduras, 125, 129, 130, 131, 132, 133, 134
código Local, 97
comunicación, 18, 94, 105, 114, 118, 122, 124, 152, 154, 158, 168, 170, 171, 179, 184, 192, 196
contaminación, 24, 26, 91, 93
control de acceso, 91, 97, 100, 113, 115, 116, 118, 120, 121, 122, 126, 130, 137, 138, 152, 155, 158, 160, 161, 171, 198
control de Humo, 102
corrupción, 196, 201
crímenes, 107, 108, 186
cronograma del Evento, 168

desastres naturales, 187

despliegue, 50, 86
detección de drogas, 16, 45, 71
detección de explosivos, 16, 56, 72
detectores de Calor, 99
detectores de humo, 98, 100, 198
detención, 62
director de seguridad del evento, 153, 160, 164

edificio abierto, 117

edificio cerrado, 115
embajadas, 166, 195
empleados locales nacionales, 176
enfermedades, 24, 27, 28, 29, 35, 36, 38, 39, 40, 44, 193
entrenamiento, 35, 44, 45, 47, 48, 51, 52, 55, 67, 71, 72, 78, 151, 154, 168, 184
entrenamiento de conciencia de seguridad, 194
equipamiento de Seguridad, 170
estructura de gran altura, 90, 98, 104, 105, 113, 116, 126, 131, 136, 139, 141
evacuación, 90, 95, 106, 155, 156, 157, 163, 171, 179, 187, 189, 190, 191
evaluación de riesgos, 152
evaluación de salud de viajes, 183, 185
expatriados, 176, 193, 195, 198, 199
extinción de incendios, 88, 101, 121
extorsión, 200

G
guías, 16, 18, 24, 26, 29, 30, 60, 79, 99

herramienta de Autoevaluación de Riesgos, 172

herramienta de Identificación y Autoevaluación, 152
híbridos, 112

iluminación, 92, 125, 136, 150

incendios, 90
inpecciones, 27
instintos, 16, 17, 21, 50, 51, 52
inteligencia de un perro, 19
investigación de antecedentes, 198

KR&E, 200, 201

lugar del evento, 160

manejo de crisis, 190

militar, 166

notificación a Bomberos o Servicios de Emergencia, 104

notificación a los Ocupantes, 104

operación del edificio, 112

orientación cultural, 195

pastoreo, 14
perfil personal, 183, 184, 196
perros de trabajo, 70
personal de Seguridad, 140
plan de contingencia, 189
planificación de Emergencia, 105
planificación de eventos, 153
políticas y directrices, 176, 177
políticas y procedimientos, 125, 136, 152, 154, 158, 161, 168, 171
precauciones, 85
primeros auxilios, 184, 185, 187, 191, 193
protección de la vida en estructuras de altura, 91

rastreo, 62
reforzamiento, 125
responsabilidad civil, 80, 86
responsabilidad legal, 58, 84
responsabilidad penal, 80
reunión informativa, 169
riesgo país, 180, 187
riesgos, 86, 90, 97, 150, 152, 157, 158, 163, 164, 172, 174, 175, 177, 179, 180, 181, 182, 183, 184, 185, 186, 189, 191, 193, 195, 196, 201, 203

secuestro, 200
seguridad de la información, 202
seguro de secuestro/rescate/extorsión, 200
sentidos, 17
sesiones informativas, 188
sistema de alarma de incendios, 98, 105
sistemas de rociadores, 101
sistemas Integrados de Seguridad, 139

tiempo atmosférico, 158

trabajo a distancia, 199
transporte terrestre, 179, 188, 197
tuberías verticales, 99

viajeros, 179, 181, 182, 183, 185, 186, 187, 188, 190, 191, 192, 193, 194, 195, 198
vigilancia, 60, 109, 110, 121, 122, 136, 137, 138, 155, 193
Copyright © 2012 por ASIS International

ISBN 978-1-934904-12-1

El libro Protección de Activos está elaborado bajo la premisa de que la editorial no se compromete a prestar servicios legales, contables y otros servicios
profesionales. Está diseñado como una guía y referencia de los temas tratados. Aunque se ha hecho todo lo posible para asegurar la precisión de los
contenidos en este documento, no es una publicación oficial y el editor no asume ninguna responsabilidad por los errores u omisiones.

Todos los derechos reservados. Ninguna parte de esta publicación puede ser reproducida, traducida a otro idioma, almacenada en sistemas de recuperación
o transmitida en cualquier forma o por cualquier medio, ya sea electrónico, mecánico, fotocopia, grabación o cualquier otro, sin el consentimiento previo
por escrito del propietario de los derechos de autor copyright.

Impreso en Estados Unidos de América.

10 9 8 7 6 5 4 3 2 1

Traducido por OZ Translations, Santiago, Chile, 2014.

ISBN: 978-1-934904-71-8
AGRADECIMIENTOS
ASIS International (ASIS), la sociedad líder en el mundo para los profesionales de la seguridad, fundada originalmente en 1955 como Sociedad Americana
para la Seguridad Industrial, adquirió Protección de Activos en diciembre de 2003. La adquisición de esta obra pone de relieve el papel de liderazgo de la
sociedad en la educación profesional. Es el deseo sincero de ASIS y su personal de editorial seguir incrementando el valor de esta importante guía.

Protección de Activos, que ha estado en vigencia desde 1974, es reconocida como la referencia principal para profesionales de la seguridad y el editor desea
agradecer a los dos autores fundadores y a los editores posteriores.

Timothy J. Walsh, CPP Richard J. Healy, CPP

Timothy L. Williams, CPP

Editor General

Editores Asociados
David G. Aggleton, CPP
Milton E. Moritz, CPP
Mike Hodge, J.D.
Sanford Sherizon, Ph.D., CISSP
Timothy J. Walsh, CPP, Editor Emeritus

A medida que avanzamos, enfrentados a problemas que representan un desafío para la industria de la seguridad, nuestra misión es asegurar que Protección
de Activos proporcione las soluciones estratégicas necesarias para ayudar a los profesionales cumplen con las exigencias del siglo 21 y los venideros.
También nos comprometemos a reunir a un grupo de expertos en la materia que mejore esta guía si fuera necesario para lograr nuestra misión.

Un agradecimiento por su valiosa colaboración en la revisión de la traducción a:

Alfredo Iturriaga, CPP

Jaime Owens, CPP
Jorge Creado, CPP

Michael E. Knoke, CPP

Editor General

Eva Giercuszkiewicz, MLS, Jefe de Proyecto

Evangeline Pappas, Jefe de Producción
Peter E. Ohlhausen, Editor Técnico
 PREFACIO

OBJETIVOS DE PROTECCIÓN DE ACTIVOS

Este trabajo de referencia de Protección de Activos (POA) es proporcionado por una simple, básica razón: la anterior falta de disponibilidad de un recurso
integral.

Aunque la disponibilidad de la literatura de seguridad está creciéndo rápidamente, con textos generales y especializados, no ha sido posible –hasta ahora-
para un gerente de empresa o profesional de la proteccion encontrar en forma actualizada, precisa y práctica el manejo de la amplia gama de temas de
protección de activos, estrategias y soluciones en una sola fuente.

La necesidad de un recurso tan exhaustivo es bastante generalizada, según los editores, escritores y muchos colegas profesionales cuyo consejo se ha
buscado en la elaboración de este texto. El creciente tamaño y la frecuencia de todas las formas de pérdidas de activos, junto con el aumento de los costos y
la complejidad relacionada con la selección de medidas, exigen una presentación sistemática y unificada de la doctrina de la protección en todos los
ámbitos, así como las normas y especificaciones a medida que se emiten.
Por supuesto, sería presuntuoso asumir que un pequeño grupo de autores pudiera presentar este material sin ayuda. Es, por lo tanto, un objetivo
fundamental de Protección de Activos el recurrir a la amplia base de fuentes calificadas que se haya desarrollado. Los autores, revisores y editores tratan de
extraer de los datos disponibles, las características comunes o recurrentes, tendencias y otros factores que identifican o señalan las estrategias de protección
vigentes. El objetivo es proporcionar un documento fuente, donde se puede obtener información sobre cualquier problema de protección.

LECTORES
Protección de Activos está destinado a un amplio número de lectores: todos los profesionales de la seguridad y administradores de empresas con
responsabilidad en la protección de activos. La discusión coherente y el material de referencia pertinente en cada materia deben ayudar al lector a conducir
una investigación única que sea eficiente y organizada. De particular importancia son las diversas formas, matrices y listas de comprobación que le dan al
lector un comienzo práctico hacia la aplicación de la teoría de la seguridad de su propia situación. POA también sirve como una referencia central para los
estudiantes que siguen un programa de protección de la seguridad o de activos.

DIÁLOGO
Esperamos que Protección de Activos se convierta en una importante fuente de conocimiento profesional para aquellos que lo lean y que estimule el
diálogo serio entre los profesionales de la seguridad. Cualquier lector que esté lidiando con un problema de seguridad inusual, nuevo o difícil, que quisiera
recibir opiniones de otros, se le agradece escribir en forma sucinta una descripción del problema y nos lo envíe a ASIS [protectionofassets@asisonline.org].
Si le lector lo solicita, su identidad se mantendrá anónima, pero el problema se publicará con las invitaciones para hacer comentarios. También se anima a
los lectores a comunicar su acuerdo o desacuerdo con las estrategias o aplicaciones recomendadas en el POA y a sugerir alternativas. Nos reservamos el
derecho de publicar o no el material presentado. Los editores también solicitan las opiniones de los lectores sobre políticas de protección de activos, en los
que una visión transversal sería muy útil.

FORMACIÓN COMPLEMENTARIA
Los lectores con responsabilidades de supervisión o administración de personal de seguridad y protección de activos, encontrarán en el POA un recurso útil
para asignar lecturas obligatorias. Estas lecturas pueden ser elementos de un programa de capacitación formal y pueden ser asignadas como parte de las
sesiones de un curso.

Con todos estos objetivos en mente, presentamos a ustedes Protección de Activos, con la sincera convicción que le ayudará a mejorar su experiencia en el
campo de la seguridad.

Michael E. Knoke, CPP

Editor General
Enero 2011
COLABORADORES
El éxito de esta publicación está directamente relacionado con el proceso de revisión reconocido por la mayoría de las profesiones. Muchos profesionales
de la seguridad, académicos y otros expertos en la materia participaron con el aporte de información actualizada, la realización de la investigación, la
revisión de las comunicaciones, y los comentarios constructivos para que fuéramos capaces de ofrecer una publicaciòn que sea reconocida como “la
referencia” para los profesionales de la seguridad de todo el mundo.

Es con sincero aprecio que me gustaría dar las gracias a las personas que nombro a continuación que han contribuido a Protección de Activos.

Teresa M. Abrahamsohn, CPP

Sean A. Ahrens, CPP
Marene N. Allison
Randy I. Atlas, CPP
George J. Barletta, CPP
Mark H. Beaudry, CPP
Regis W. Becker, CPP
Brent Belcoff, CPP
Howard J. Belfor, CPP
Adolfo M. Benages, CPP
Lawrence K. Berenson, CPP
Alexander E. Berlonghi
Raymond J. Bernard, PSP
Henri A. Berube
Martin T. Biegelman, J.D.
Daniel E. Bierman, CPP, PSP
Patrick C. Bishop, CPP
Dennis R. Blass, CPP, PSP
Keith C. Blowe, CPP
Paul F. Boyarin, CPP, PCI
Tom Boyer
Pete Brake, Jr., CPP
Darryl R. Branham, CPP
Joseph P. Buckley, III
Lucien G. Canton, CPP
James P. Carino, Jr., CPP
Sue Carioti
James S. Cawood, CPP, PCI, PSP
Richard E. Chase, CPP
John C. Cholewa, III, CPP
Tom M. Conley, CPP
Geoffrey T. Craighead, CPP
Michael A. Crane, J.D., CPP
Bruce A. Dean, CPP
Fritz X. Delinski
Edward P. De Lise, CPP
David A. Dobbins, PSP
Clifford E. Dow, CPP
Christina M. Duffey, CPP
Brandon Dunlap
Cheryl D. Elliott, CPP, PCI
James W. Ellis, CPP, PSP
William R. Etheridge
Gregory Alan Ewing, CPP, PSP
Kenneth G. Fauth, CPP
Lawrence J. Fennely
Donald J. Fergus
Eugene F. Ferraro, CPP, PCI
James H. Fetzer, III, CPP
Michael T. Flachs, CPP
Richard H. Frank, CPP
Kenneth M. Freeman, CPP
Peter J. French, CPP
Mary Lynn Garcia, CPP
John W. Gehrlein, CPP
Eva Giercuszkiewicz, MLS
Gregory A. Gilbert, CPP
Frederick G. Giles, CPP
Timothy D. Giles, CPP, PSP
David H. Gilmore, CPP
Christopher Giusti, CPP
Brian D. Gouin, PSP
Richard P. Grassie, CPP
Benjamin P. Greer
Steven R. Harris
Ronald D. Heil, CPP
Richard J. Heffernan, CPP
Chris A. Hertig, CPP
William T. Hill, CPP
Ronald W. Hobbs, CPP
Mark D. Hucker, CPP
W. Geoffrey Hughes, PCI
John L. Hunepohl
Gregory L. Hurd, CPP
Gregory W. Jarpey, PSP
Sheila D. Johnson, CPP, PSP
Thomas R. Jost
Diane Horn Kaloustian
Cathy M. Kimble, CPP
R. Michael Kirchner, CPP
Glen W. Kitteringham, CPP
Michael E. Knoke, CPP
Terrence J. Korpal
James M. Kuehn, CPP
David Lam, CPP
Robert F. Leahy, CPP, PSP
Robert E. Lee
Todd P. Letcher
Emblez Longoria, CPP, PSP
Cynthia Long
Richard E. Maier, CPP
Loye A. Manning, CPP, PSP
Robert L. Martin, CPP
Roger B. Maslen, CPP
Judith G. Matheny, CPP
Edward F. McDonough, Jr., CPP
Richard A. Michau, CPP
Bonnie S. Michelman, CPP
Owen J. Monaghan, CPP
Patrick M. Murphy, CPP, PSP
Carla Naude, CPP
James W. Nelson
Robert L. Oatman, CPP
Gerald A. O’Farrell, CPP
Peter E. Ohlhausen
Leonard Ong, CPP
Harm J. Oosten, CPP
S. Steven Oplinger
Denis A. O’Sullivan, CPP
Jaime P. Owens, CPP
Gerard P. Panaro, J.D.
James F. Pastor, Ph.D.
David G. Patterson, CPP, PSP
John T. Perkins, CPP
Karl S. Perman
Kevin E. Peterson, CPP
Charlie R. A. Pierce
Patrick K. Quinn, CPP
Roy A. Rahn, CPP
John D. Rankin, CPP
William G. Rauen, CPP
David L. Ray, LL.B.
Joseph Rector, CPP, PCI, PSP
Ty L. Richmond, CPP
Lisa M. Ruth
Jeffrey J. Ryder, Jr., CPP, PSP
Mark A. Sanna, CPP
Stephen Saravara, III, J.D., CPP
Charles A. Sennewald, CPP
Dennis Shepp, CPP, PCI
Shari Shovlin
Marc Siegel, Ph.D.
Dennis Smith, CPP
Stan Stahl, Ph.D.
Paul J. Steiner, Jr., CPP
Pamela M. Stewart, PCI
Dan E. Taylor, Sr., CPP
Lynn A. Thackery, CPP, PSP
Mark L. Theisen, CPP
Dave N. Tyson, CPP
Darleen Urbanek
Karim Vellani, CPP
Barry J. Walker, CPP
Michael W. Wanik, CPP
Roger D. Warwick, CPP
Fritz Weidner
Richard C. Werth, CPP
Allan R. Wick, CPP, PSP
Anthony S. Wilcox, CPP
Donald S. Williams, CPP
Reginald J. Williams, CPP
Richard F. Williams, CPP
Timothy L. Williams, CPP
Coleman L. Wolf, CPP
Richard P. Wright, CPP
Richard Y. Yamamoto, CPP
Scott S. Young, CPP
 CAPÍTULO 1
PROTECCION DE ACTIVOS
DE INFORMACIÓN

1.1 INTRODUCCIÓN
La protección de activos consiste de información sensible e información patentada, datos con derecho a la privacidad, propiedad intelectual, activos
intangibles e información definida bajo las leyes internacionales, federales, y estatales, que rigen los secretos comerciales, patentes y derechos de autor.
Algunos activos de información específicos son los conocimientos científicos, las marcas, la reputación y los procesos de negocios.

Los activos de información existen en muchas formas, incluyendo el conocimiento de una persona, la información hablada, un proceso o procedimiento, la
información escrita en papel, un elemento (como un modelo, prototipo, dispositivo o máquina), datos en una tecnología de información (TI) o sistema de
comunicaciones, una transmisión electrónica y datos almacenados en medios electrónicos (CD, DVD, cinta magnética, disco, tarjeta de memoria,
dispositivo USB, memoria volátil, etc.). La gran variedad de formas amplía el espectro de métodos de protección que se deben considerar.

Este capítulo aborda la protección de activos de información (IAP de ahora en adelante, por sus siglas en inglés), también conocida como seguridad de la
información o protección de información patentada. El objetivo es ayudar al lector a formular un programa IAP, implementar una estrategia de mitigación
basada en el riesgo, e identificar las brechas en la protección y las soluciones –al mismo tiempo que contribuir, no obstaculizar, la misión de la empresa u
organización. Como señala Richard Heffernan, ex Presidente del Consejo de Protección de Activos de Información de ASIS, “Evaluar y abordar los riesgos
permite trabajar”.

1.2 HISTORIA DEL ESPIONAJE Y DE LA RECOPILACIÓN DE INTELIGENCIA DE NEGOCIOS

A lo largo de la historia, las organizaciones han intentado robar los activos de información de otras organizaciones. Probablemente el primer registro de
espionaje data de alrededor de 1274 a.C. durante la guerra del Faraón Ramsés con los Hititas (Crowdy, 2006, p.15). Posteriormente, alrededor del 500 a.C.,
el estratega militar chino Sun Tzu escribió acerca de cinco clases de espías: espías locales, espías internos, espías convertidos, espías condenados y espías
sobrevivientes. Él los llama “la facultad más valiosa del soberano” (Sun Tzu, 1983, pag.78) y sugiere que ellos pueden ser utilizados más allá del campo de
batalla, instando a sus lectores a “¡ser sutiles! y usar sus espías para cada tipo de negocios” (Sun Tzu, 1983, p.81).

El histórico comercio de seda entre Asia y Europa proporciona un ejemplo específico de la falta de protección de activos de información. Durante años
China ha intentado mantener en secreto sus técnicas para crear gusanos y producir seda. En 552 d.C. el emperador Bizantino Justiniano envió dos monjes a
China para sacar de contrabando huevos del gusano de seda y las semillas del árbol de morera (mulberry). Como resultado, China tuvo que enfrentar una
significativa competencia en la producción de seda.

Otro ejemplo de recopilación de inteligencia involucra al zar de Rusia Pedro el Grande. En 1967-98, viajó hacia occidente para recoger información sobre
tecnología. Con un equipo de expertos militares e industriales, viajó a Polonia, Alemania, Holanda e Inglaterra, estudiando la artillería, construcción naval,
operaciones de puerto, cultura occidental, la comunidad científica y la casa de moneda en Inglaterra. A principios de 1700, Pedro estaba empleando mucha
de la tecnología y conocimientos de negocios que había adquirido. Años más tarde, bajo otro liderazgo, Rusia usó en contra de Europa occidental el poder
económico y militar obtenido por Pedro el Grande.

Uno de los primeros ejemplos de espionaje industrial en Estados Unidos involucra a Francis Cabot Lowell. En 1810, utilizando una historia ficticia de que
estaba en Escocia por motivos de salud, Lowell “visitó varias fábricas [textiles] normalmente cerradas a los visitantes, y con su memoria fotográfica, fue
capaz de evadir los inspectores de aduana británicos que buscaban planes y bosquejos robados. De regreso en casa, Lowell construyó su primera planta
textil en Waltham, Massachusetts, y Estados Unidos entró en buen camino hacia la revolución industrial” (Poteat, 2001). La Agencia Nacional de
Detectives Pinkerton, fundada en 1850, continuó la tendencia de Estados Unidos desarrollando un negocio en inteligencia y contrainteligencia.

Cerca del final del siglo diecinueve, Frederick Taylor, considerado el padre de la gestión científica, también se involucró en el espionaje industrial. Él usó
varias técnicas subrepticias para investigar denuncias de violaciones de patentes:
• dirigir un agente para obtener un empleo en una compañía sospechosa bajo falsos pretextos
• dirigir un agente para que se haga amigo de los empleados de esa compañía para recopilar información de los procesos de fabricación propios
• dirigir un agente para establecer un falso acuerdo comercial con una compañía para aprender los detalles de sus procesos de fabricación
• reclutando un empleado de la compañía para que proporcione información de los procesos de fabricación
• desarrollando ingeniería inversa
En la década de 1940, los secretos de las armas nucleares de Estados Unidos fueron el blanco de muchos espías. Había demasiado en juego: “el espionaje
soviético dirigido al Proyecto Manhattan probablemente aceleró al menos en 12-18 meses la adquisición soviética de la bomba atómica (United States
Department of Energy, 2007).

Durante la Guerra Fría, el espionaje floreció tanto en el ámbito nacional y comercial. Gran parte de la actividad apuntaba a tecnologías de doble uso y a la
información –aquellas con aplicaciones militares y comerciales. Desde la perspectiva occidental, la amenaza predominante era la del servicio de
inteligencia soviético, la KGB, y su contraparte militar, el GRU. La Línea X de la KGB (Directiva de Ciencia y Tecnología) y sus agencias equivalentes en
los estados de Europa del Este apuntaron a las tecnología de doble uso de las compañías privadas, las agencias de gobierno y las universidades.

En la década de 1970, para mitigar las amenazas de espionaje, la recopilación de fuentes abiertas y la búsqueda agresiva de objetivos (aggressive targeting),
el FBI instauró el programa Developing Espionage and Counterintelligence Awareness (DECA), el cual estaba destinado a educar a la industria de Estados
Unidos –particularmente a los contratistas de defensa- y solicitar su apoyo para reportar actividades sospechosas que podrían representar un blanco de
inteligencia. El programa DECA evolucionó hacia el programa Awareness of National Security Issues and Response (ANSIR) y luego al programa
Counterintelligence Domain. Actualmente es conocido como Programa de Alianzas Estratégicas de Contrainteligencia (Counterintelligence Strategic
Partnerships Program). Estos programas de enlace del FBI fomentan el acercamiento al sector privado y se centran en la protección de la competitividad de
Estados Unidos salvaguardando los activos de información de las empresas.

Un hito en la lucha para proteger las tecnologías comerciales y de doble uso en Estados Unidos fue la promulgación de la Economic Espionage Act (EEA)
de 1996. La ley transformó en una ofensa federal robar secretos comerciales y dio al FBI la autoridad para investigar el espionaje económico. La ley fue
redactada con el aporte de ASIS International y su Consejo de Protección de la Información Privada, ahora el Consejo de Protección del Activo de
Información (http://www.asisonline.org/councils/SPI.xml).

Con los años, mientras que las tecnologías empleadas en el espionaje han avanzado enormemente, las tácticas y técnicas generales se han mantenido muy
consistentes. Incluso los planteamientos defendidos por Sun Tzu y Frederick Taylor siguen siendo ampliamente usados hoy en día.

1.3 ENFOQUE DE GESTIÓN DEL RIESGO PARA LA IAP

Todas las organizaciones poseen y usan los activos de información que merecen protección. La naturaleza de esa protección debiera basarse en un buen
enfoque de la gestión del riesgo.

El siguiente es un proceso de evaluación para uso en la IAP:

• Identificar los activos de información.
• Valorizar los activos de información (asignando un valor cuantitativo, como dólares, o un valor cualitativo, como alto, medio o bajo).
• Evaluar amenazas para los activos de información. Evaluar los probables adversarios.
• Evaluar la probabilidad de ocurrencia de las amenazas.
• Identificar las vulnerabilidades existentes y las previstas.
• Evaluar el impacto de un evento de pérdida o divulgación en la organización.
• Identificar los controles de seguridad existentes y planificados u otras opciones para enfrentar el riesgo.
• Evaluar y priorizar los riesgos, basado en su probabilidad e impacto organizacional.

Una estrategia de protección de la información debe ser diseñada para apoyar los objetivos, la estrategia y la cronología de la organización. Tal como
señala el autor Ira Winkler (2005, p.35):
Sólo cuando usted comprende los verdaderos componentes del riesgo puede crear una estrategia efectiva y apropiada para proteger su organización y gestionar sus riesgos.
Abordando sus vulnerabilidades y optimizando, en lugar de maximizando, sus esfuerzos de contraespionaje, usted puede mejorar enormemente su seguridad.

Por lo que el objetivo de su programa de seguridad es optimizar el riesgo, nunca minimizarlo. Esta es una diferencia extremadamente importante.

1.3.1 EL ACTUAL ENTORNO GLOBAL DE LA INFORMACIÓN

En términos de intercambio de información, el mundo está interconectado como nunca antes. Debido a este nivel de interconectividad enorme –de hecho
global-, las amenazas a los activos de información han llegado a ser más difusas y difíciles de reconocer y pueden actuar más rápido. El nivel de riesgo está
aumentando. Como señala Michael D. Moberly, ex presidente del Consejo de Protección de Activos de Información de ASIS International (2006):
 Una lamentable realidad de las transacciones comerciales internacionales es que la probabilidad de que una compañía…experimente alguna forma…de infracción, apropiación
indebida, falsificación o piratería de productos, es cada vez mayor.

Hoy en día, los activos de información que están en peligro son casi siempre imposibles de recordar o contener en términos de diseminación (ASIS
International, Trends, 2007, p.41). Ellos pueden estar en cualquier parte o en todas partes en un instante.

La Office of the National Counterintelligence Executive de Estados Unidos, en su Annual Report on Foreign Economic Collection and Industrial
Espionage (2006), reconoció los desafíos del entorno global de la información cuando afirmó:
La feroz competencia económica global permanente alimentará el robo de tecnología comercial…[y] las adquisiciones ilegales de elementos militares y de doble uso…En la
medida que la globalización continúa presionando a las compañías estadounidenses para mover importantes tecnologías e incluso instalaciones de investigación y desarrollo en el
extranjero, lugares en terceros países pueden llegar a ser cada vez más importantes para la adquisición de tecnología de Estados Unidos. Tanto la seguridad como el marco legal
para la protección de las tecnologías en el exterior tienden a ser más débiles…

1.3.2 CATEGORÍAS DE AMENAZAS Y EJEMPLOS

Un elemento clave del modelo de evaluación de riesgos es un estudio exhaustivo de las amenazas existentes y proyectadas. Ellas pueden incluir las
amenazas intencionales, naturales e involuntarias.

Amenazas Intencionales
Históricamente, gran parte de la atención se ha centrado en las amenazas intencionales. Para evaluarlas, uno identifica los potenciales adversarios y evalúa
sus capacidades e intenciones de dirigirse hacia los activos de información clave. Es importante pensar en términos amplios cuando se consideran los
potenciales adversarios. Además de los competidores extranjeros y nacionales, los adversarios pueden incluir gobiernos extranjeros, grupos activistas,
grupos terroristas, organizaciones criminales, agentes de información y vándalos.

El FBI (2011) entrega el siguiente resumen del entorno de amenazas actuales:

La Guerra Fría no ha terminado, simplemente se ha trasladado a un nuevo escenario: el mercado global. El FBI estima que cada año billones de dólares se pierden por los
competidores extranjeros y nacionales que deliberadamente apuntan a la inteligencia económica en la floreciente industria y tecnologías estadounidenses, y que sacrifican la
inteligencia al dejar de lado las tecnologías explotando las fuentes abiertas de información y los secretos comerciales de la compañía. Los competidores extranjeros que buscan
criminalmente información económica, por lo general operan de tres maneras:

1. Ellos apuntan agresivamente y reclutan personas informadas (a menudo de los mismos antecedentes nacionales) trabajando para empresas
estadounidenses e instituciones de investigación;
2. Ellos realizan inteligencia económica a través de operaciones como soborno, intrusiones cibernéticas, robo, hurgando en la basura (en búsqueda de
propiedad intelectual o prototipos desechados), interceptando teléfonos y;
3. Ellos establecen relaciones de negocios aparentemente inocentes entre compañías extranjeras e industrias de Estados Unidos para reunir
inteligencia económica incluyendo los secretos comerciales.

La investigación sobre las capacidades e intenciones de los adversarios puede ser desarrollada internamente o mediante un consultor de confianza o una
empresa de análisis de amenazas.

Amenazas Naturales
Después de los desastres naturales, muchas compañías se disuelven, no porque perdieron sus instalaciones, sino porque perdieron su información. Por lo
general, no tenían un plan de preparación eficaz (incluyendo un respaldo de la información crítica fuera de la instalación y un sitio listo (hot site) o semi-
listo (warm site) como parte de un plan integral de continuidad del negocio. A menudo, las compañías que dejan de operar son pequeñas, de un solo sitio,
sin funciones robustas de seguridad y gestión de riesgos. Todas la entidades, grandes y pequeñas, deben prepararse para desastres naturales que puedan
afectar gravemente sus operaciones.

Amenazas Involuntarias
Tal vez, las amenazas que con mayor frecuencia se pasan por alto son las amenazas involuntarias. Estas también son las más difíciles de identificar y
evaluar, pero no pueden ser ignoradas. Como señala Winkler (2004, pp.53-54):
A pesar que la gente quiere escuchar acerca de los terroristas y hackers (piratas informáticos), el hecho es que las pérdidas más grandes son de la gente en el espejo (people in the
mirror)…Las personas cometen errores y esos errores lo más probable es que les hagan daño…Los errores humanos y los accidentes…causan cientos de billones de dólares (en
pérdidas) al año. Cuando no se han anticipado apropiadamente, los incidentes pueden literalmente destruir una vida o una compañía.

Las amenazas involuntarias pueden ser atribuidas a un inadecuado entrenamiento de los empleados, malos entendidos, falta de atención a los detalles,
aplicación relajada de la seguridad, presión para producir entregas, insuficiente personal u otros factores. Por lo tanto, es esencial desarrollar, promulgar y
hacer cumplir políticas prácticas para la IAP.

Unas cuantas amenazas específicas merecen ser mencionadas, porque son prevalentes o representan una tendencia. Los siguientes temas deben ser
considerados, según corresponda, cuando se realiza una evaluación de riesgos de IAP o para desarrollar estrategias de mitigación.

Minería de Datos
De acuerdo a Trends in Proprietary Information Loss (ASIS International, 2007), el informe de una encuesta realizada por ASIS International, la minería
de datos (basada en un software de recopilación de datos de fuentes abiertas e información pública) se ha convertido en una amenaza importante. Del
mismo modo, la Office of the National Counterintelligence Executive (2006) expresa las siguientes preocupaciones por el futuro:
La continua expansión de vínculos internacionales…crearán agentes mundiales especializados en el movimiento de tecnologías a través de las fronteras y socavando la
capacidad…para controlar las exportaciones.
 Una gran preocupación es el hecho que las naciones mejor preparadas para usar las herramientas cibernéticas para acceder a las tecnologías estadounidenses también son los
países que tradicionalmente han sido los más agresivos.

Las entidades del sector gubernamental y privado están usando cada vez más las herramientas automatizadas para recopilar, filtrar, organizar, analizar y
diseminar la información. Un resultado es el crecimiento de los agentes de información. Otro es el desarrollo sitios Web de cursos de recopilación, libros de
cómo hacerlo e incluso “inicie su propio negocio casero” en el tema de la minería de datos y corretaje de información. De mayor preocupación es que
grupos terroristas internacionales están utilizando la minería de datos y las técnicas avanzadas de gestión del conocimiento para apoyar su obtención de
inteligencia y planificación de actividades de ataque.

Personas Informadas (Insiders)

Trends in Proprietary Information Loss (ASIS International, 2007) encontró que la explotación de relaciones de confianza también es una creciente
amenaza. Las personas en ese tipo de relaciones incluyen a proveedores, clientes, socios de empresas mixtas (joint venture), subcontratistas y proveedores
externalizados. Asimismo, un informe del Defense Personnel Security Research Center (Kramer, Heuer & Crawford, 2005) señala:
Debido a su conocimiento de las agencias públicas y compañías privadas que los emplean, su familiaridad con los sistemas computacionales que contienen información
clasificada y patentada, y su conciencia del valor de la información protegida en el mercado global, los insiders constituyen una importante área de vulnerabilidad para la
seguridad nacional…

La revolución de la información, la competencia económica global, la evolución de los nuevos y no tradicionales adversarios de inteligencia y otros cambios en el entorno
nacional e internacional, han convergido para crear un campo inusual y fértil para el espionaje de los insiders. Las principales conclusiones de esta investigación son las
siguientes:

• Los avances tecnológicos en el almacenamiento y recuperación de la información están mejorando dramáticamente la capacidad de los insiders para
acceder y robar información clasificada y patentada.
• El mercado global para la información protegida de Estados Unidos se está expandiendo. Los insiders estadounidenses pueden vender tipos de
información a una amplia gama de compradores extranjeros como nunca antes.
• La internacionalización de la ciencia y el comercio está colocando más empleados en posiciones estratégicas para establecer contactos con científicos,
empresarios y recolectores de inteligencia extranjeros, y para transferirles material científico y tecnológico.
• El aumento de la frecuencia de viajes internacionales está creando una nueva oportunidad para los vendedores de información motivados para
establecer contacto con y transferir información a entidades extranjeras. Los compradores extranjeros tienen mayores oportunidades para contactar y
evaluar las vulnerabilidades del personal estadounidense con acceso a información protegida.
• La expansión global de Internet está proporcionando nuevas oportunidades para el espionaje interno. Internet permite a los vendedores y buscadores
de información permanecer en el anonimato y proporciona los medios por los cuales se pueden transmitir grandes cantidades de material digitalizado
a terceros en el extranjero de manera segura.
• Los estadounidenses son más vulnerables a experimentar graves crisis financieras debido a hábitos de gasto agresivo de los consumidores y otros
factores. Los problemas financieros son una fuente común de motivación para el espionaje interno.
• La creciente popularidad de las apuestas y la prevalencia de los trastornos del juego sugieren que un mayor número de insiders cometerán delitos en el
lugar de trabajo, tales como el espionaje, para pagar deudas y mantener las actividades de juego.
• Debido a que la lealtad organizacional está disminuyendo, menos empleados pueden ser disuadidos de cometer espionaje debido a al sentido de
obligación con sus empleadores. Las condiciones cambiantes en el lugar de trabajo en Estados Unidos sugiere que un mayor número de insiders
pueden ser motivados a robar información de sus empleadores para vengarse por el maltrato recibido.
• Ahora, más insiders tienen vínculos étnicos con otros países, se comunican con sus amigos y familiares en el extranjero, e interactúan con empresarios
y gobiernos extranjeros. Las conexiones en el extranjero le proporcionan a los insiders oportunidades para transmitir información fuera de Estados
Unidos, y los vínculos extranjeros pueden proporcionar la motivación para hacerlo.
• Más estadounidense ven la sociedad humana como un sistema evolutivo de diversidad étnica e ideológica, de grupos y personas interdependientes. Si
bien esto es beneficioso en muchos aspectos, también es posible que algunos insiders con una orientación global en los asuntos mundiales, verán el
espionaje, en circunstancias extremas, como moralmente justificable si ellos sienten que compartiendo la información beneficiarán la comunidad
mundial.

Un estudio de 49 incidentes de insiders concluyó lo siguiente (United States Secret Service, 2005, pp.11-16):
• De los autores, el 59 por ciento eran ex empleados o contratistas de la organización afectada, mientras que el 41 por ciento eran actuales empleados o
contratistas.
• El rango de edad de los autores era de 17 a 60 años.
• Tres de diez autores tenían registros de arrestos anteriores.
• Un evento negativo relacionado con el trabajo gatilló sus acciones en casi todos los casos.
• En el 80 por ciento de los casos, el autor llamó la atención de la gerencia debido a comportamientos inapropiados antes del incidente (v.gr, atrasos,
ausencias, discusiones con los compañeros de trabajo, o un deficiente desempeño laboral).
• En el 31 por ciento de los casos, otros tenían información acerca de los planes del autor de causar daño; en el 20 por ciento de los incidentes se realizó
una amenaza directa.

Falsificación y Piratería
Desde los tejanos (jeans) y las carteras hasta los productos químicos y farmacéuticos, la falsificación y la piratería son problemas cada vez mayores, con
implicancias tanto económicas como de seguridad. En una declaración reciente, la United States General Accountability Office (2007) afirmó que:
 Los esfuerzos del gobierno para proteger y hacer valer los derechos de propiedad intelectual (IP de ahora en adelante, por sus siglas en inglés), en el país y en el extranjero son
cruciales para prevenir billones de dólares en pérdidas para la industria estadounidense y los los propietarios de derechos IP y para evitar los riesgos de salud y seguridad
asociados al comercio de productos falsificados y pirateados.

La amenaza de falsificación y piratería tiene grandes consecuencias, particularmente sobre las pequeñas empresas, las cuales están entrando cada vez más
al mercado global y operando internacionalmente. Como señala Moberly (2006):
Emprendimientos, empresas en etapa inicial y pequeñas y medianas empresas que son ricas en activos intangibles, por lo general no reconocen el alcance o impacto económico de
la falsificación y piratería a nivel mundial. Tampoco parecen darse cuenta de cuán reactivas son la mayoría de las defensas convencionales (v.gr., patentes, derechos de autor,
marcas registradas) frente a la piratería de nanosegundos y la falsificación.

1.3.3 EVALUACIÓN DEL RIESGO Y DUE DILIGENCE1

A veces, en el mundo de los negocios se dice que “usted no puede gestionarlo si no puede medirlo”. Las evaluaciones de riesgos deben identificar los
riesgos, cuantificarlos y priorizarlos de acuerdo al criterio de aceptación del riesgo de la organización. Los resultados de la evaluación deben ayudar en la
selección y priorización de las acciones para gestionar los riesgos.

Se deben realizar evaluaciones regularmente e incluir un seguimiento de los riesgos para enfrentar los cambios en los requerimientos de seguridad, así
como los cambios en la naturaleza de los activos de información, amenazas, frecuencia de ocurrencia de la amenaza, vulnerabilidades e impactos. Además,
el seguimiento ayuda a evaluar la efectividad de la seguridad y otras medidas de mitigación de riesgo.

1.3.4 LOGRAR EL COMPROMISO

EL compromiso de los ejecutivos es esencial para la IAP. Debido a que la información, los activos intangibles y la propiedad intelectual son parte integral
de casi cualquier organización, se podría esperar que fuera fácil convencer a los ejecutivos de adoptar y apoyar un programa de protección de activos de
información. Sin embargo, a menudo es difícil lograr tal compromiso, debido a la naturaleza intangible de los activos. Por lo tanto, los profesionales de IAP
deben esforzarse para tener un argumento de negocios (business case) convincente a favor de estrategias proactivas, dedicación de recursos y la capacidad
de hacer aportes al proceso de toma de decisiones del negocio –en otras palabras, para conseguir un puesto en la mesa.

Un paso hacia este fin es articular los impactos en el negocio de un evento de pérdidas. De acuerdo a Trends in Proprietary Information Loss (ASIS
International, 2007), los principales impactos en el negocio son los siguientes:
• pérdida de la reputación/imagen/predisposición comercial de la empresa
• pérdida de la ventaja competitiva de un producto/servicio
• reducción del retorno o rentabilidad proyectada/anticipada
• pérdida de las tecnología o procesos fundamentales del negocio
• pérdida de ventajas competitivas en múltiples productos/servicios

Otros impactos de la pérdida de información patentada incluyen la pérdida de uso, propiedad o control de los derechos de propiedad intelectual, así como la
pérdida de información confidencial o prototipos que facilitarían la falsificación del producto.

El personal de gestión de seguridad también puede destacar que la IAP beneficia el negocio porque hace lo siguiente (Moberly, 2007):
• mejora la supervisión fiduciaria, el control y la administración de activos intangibles clave
• alinea los activos de información con las operaciones del negocio y la visión estratégica de la organización
• permite una asignación más eficiente de los recursos de seguridad tradicionales y de TI
• permite una búsqueda más oportuna de los compromisos de los activos de información y de las violaciones a los derechos de propiedad intelectual
(IPR de ahora en adelante, por sus siglas en inglés)
• sirve como ventaja en la negociación de la cobertura y de las primas de seguros de propiedad intelectual (IP) y de tecnología de información (TI)
• proporciona consistencia en los informes reglamentarios de activos intangibles
• estandariza el manejo interno y externo de los activos intangibles
• identifica las fuentes internas y externas clave de activos intangibles y capital intelectual

Otros enfoques sugeridos por Moberly incluyen el uso de métodos cuantitativos por parte de los profesionales de IAP cuando sea posible y asumir el rol de
un recurso de negocios (uno facilitador, no un impedimento) para la empresa. Finalmente, la responsabilidad por la protección de los activos de
información recae en los líderes de una organización.

Gerentes de nivel medio, también, deben ser convencidos para que un programa IAP tenga éxito (Winkler, 2005):
Obtener el apoyo de la gerencia de primer y segundo nivel es fundamental. Los gerentes que ven a los empleados todos los días son los que realmente estarán allí para darse
cuenta cuando las personas siguen las prácticas de seguridad y cuando no. Estas son las personas que más pueden influir en seguridad.

Finalmente, el programa de IAP debe ser asimilado por cualquier otra persona –dentro o fuera de la empresa- que tenga acceso a los activos de información
de la compañía.
1.4 MÉTODOS PARA LA MITIGACIÓN DEL RIESGO
Gran parte del siguiente contenido proviene de Information Asset Protection Guideline (2007) de ASIS International.

1.4.1 PRÁCTICAS BÁSICAS DE PROTECCIÓN

El FBI (2011) enumera los siguientes pasos para proteger una empresa del espionaje:
• Reconocer que hay una amenaza interior y una exterior a su empresa.
• Identificar y valorar los secretos comerciales.
• Implementar un plan proactivo para proteger los secretos comerciales.
• Tener versiones físicas y electrónicas de los secretos comerciales.
• Circunscribir el conocimiento intelectual sobre la base de la “necesidad de saber”.
• Hacer una capacitación a los empleados sobre el plan de propiedad intelectual y de seguridad de la compañía.

Las medidas que siguen son consistentes con el enfoque del FBI. La mayoría puede ser aplicada a cualquier organización privada o pública.

Sensibilización y Políticas de la IAP

Políticas claras, prácticas y bien promulgadas fortalecen cualquier programa de seguridad. Al desarrollar una política, hay varios pasos vitales:
• La dirección de la organización debe demostrar su compromiso con la IAP, proporcionando los recursos apropiados y exigiendo a todas las unidades
de la empresa que desarrollen las estrategias para alinear los negocios y los objetivos de protección.
• Un grupo, persona o departamento específico debe ser asignado a la gestión y auditoría de la política
• Se les debe exigir adherirse a la política a todas las unidades de la empresa, personal, empleados temporales, proveedores, consultores, contratistas y
socios del negocio.
• Se debe entregar en forma reiterada una capacitación de la IAP en las sesiones de orientación para los nuevos empleados; durante las inspecciones, en
conferencias con todo el personal, y visitas a otras instalaciones; en la intranet de la empresa; los boletines; y como parte de la capacitación de TI o de
recursos humanos.
• Los esfuerzos de sensibilización y capacitación de la IAP deben ser documentados.

Es importante identificar qué información debe ser protegida y cuándo, y luego identificar las muchas formas que puede tomar esta información durante su
ciclo de vida. Sólo un cierto segmento de la información de la organización puede justificar la protección. Una vez que esa información es identificada, se
debe clasificar de modo que los activos de información más importantes reciban el mayor grado de protección.

La declaración de la política establece el tono para la organización y, si se hace cumplir, puede apoyar acciones legales si se vuelve necesario. La política
debe clarificar que la información es uno de los recursos más importantes de la organización, que toda la información necesita ser evaluada apropiadamente
según su sensibilidad, y que las medidas de protección deben ser suficientes para garantizar la confidencialidad, integridad, disponibilidad, responsabilidad,
capacidad de recuperación, auditabilidad y autenticación de la información, tanto en el entorno físico y cibernético. Se deben realizar al azar para asegurar
el cumplimiento de la política de IAP.
En el Anexo A se encuentra un ejemplo de declaración de política para IAP.

Identificación y Marca de la Información Protegida

La información que merece protección debe ser adecuadamente identificada y marcada. Se usan varios niveles para distinguir el grado de sensibilidad o el
grado de protección que requiere: confidencial, restringida, limitada, no pública, etc. La mayoría de las organizaciones usan dos o cuatro niveles de
sensibilidad.

Por ejemplo, muchas empresas dividen la información en tres categorías: aprobada para divulgación externa (acceso sin restricción), interna (limitada a los
empleados y contratistas) y confidencial (limitada por una necesidad de conocimiento específica). La información puede ser electrónica, oral, escrita u otras
formas. Siempre que sea práctico, el material debe ser marcado o etiquetado. Generalmente, quien originó la información determina el nivel de
clasificación y los usuarios autorizados no pueden divulgar los contenidos sin la aprobación del propietario.

El acceso a la información interna debe restringirse al personal de la compañía u otras personas que hayan firmado un acuerdo de no divulgación. Las
normas para autorizar el acceso también pueden incluir una investigación de antecedentes satisfactoria. El acceso de un empleado se debe basar en su
función de trabajo actual y en la necesidad de conocimiento, no solamente en el cargo o nivel de gerencia.

1.4.2 SEGURIDAD FÍSICA

Los profesionales de IAP deben coordinar estrechamente con el personal de seguridad física para armonizar los esfuerzos de protección en varias
categorías.

Protección en Capas (Defensa en Profundidad)

Este concepto, que aplica una visión de anillos o capas concéntricas de protección para cualquier activo, comúnmente se utiliza más en términos de
seguridad física. El mismo enfoque, no obstante, debe ser empleado en la protección de los activos de información sensible. La defensa en profundidad
puede ser vista desde tres perspectivas diferentes, en las cuales los anillos concéntricos o capas de protección representan lo siguiente:
 • Incremento de los niveles de confianza para aquellos a quienes se les da acceso a capas sucesivas. Por ejemplo, un miembro del personal de
mantenimiento probablemente tendrá un nivel de confianza menor (y por lo tanto acceso) que el director de investigación y desarrollo de la empresa.
Basado en sus respectivos niveles de confianza, cada uno de ellos tendría niveles de acceso apropiados, pero diferentes, a la información o
instalaciones.
• Diferentes tecnologías o medidas de seguridad que operan concertadamente. Mediante la aplicación de tecnologías o medidas de seguridad
superpuestas y diversas, el personal de seguridad puede identificar y llenar los vacíos en la cobertura de protección. Los beneficios deben ser
sopesados con los costos.
• Capas sucesivas empleadas para demorar, detectar y disuadir a los intrusos. Cada capa de protección sucesiva puede demorar aún más a un adversario,
ofrecer una oportunidad adicional para detectar la intrusión y disuadir al adversario de avanzar.

Estas perspectivas aplican igualmente a los sistemas de protección automatizados y a la información en otras formas (disco duro, proceso, conocimiento,
intangible, etc.).

Para implementar la protección en capas, un profesional de IAP debe hacer lo siguiente:

• Aplicar múltiples niveles o capas de medidas de protección a los activos de información críticos, apropiados a su sensibilidad y exposición a la
pérdida.
• Garantizar que los sucesivos niveles o capas de medidas de protección se complementen en lugar de entrar en conflicto entre ellas.
• Elaborar una estrategia coordinada que integre diferentes familias de medidas de protección, tales como seguridad física, personal de seguridad,
seguridad técnica, control de acceso, educación y concienciación, y políticas y procedimientos.

Normalmente, las instalaciones y los sistemas de información de la compañía deben contar con protección de entrada no autorizada en todo momento. El
acceso a información interna o confidencial debe requerir autenticación vía presentación de credenciales de acceso única, previamente autorizadas, físicas y
lógicas. El nivel de acceso otorgado debe ser consistente con el nivel de información que la persona necesita para su trabajo.

Manejo de Documentos y Registros

Estas funciones representan la gestión diaria de la información sensible en papel o en forma electrónica. Se recomiendan los siguientes pasos de protección:
• Colocar trituradoras o receptáculos seguros de recolección cerca de las impresoras, fotocopiadoras y máquinas de fax.
• Colocar avisos en esas áreas para recordar a los empleados que deben destruir las copias sobrantes o con error de impresión.
• Cuando corresponda, documentar cualquier transferencia (interna y externa) de registros o documentos sensitivos.
• Seleccionar cuidadosamente los contratistas que destruyen registros, documentos o información sensible.
• Destruir registros e información sensible de manera que impida una reconstrucción consistente con su nivel de sensibilidad, y documentar la fecha y
lugar de destrucción.
• Destruir los registros obsoletos regularmente, conforme a la programación de retención de registros.
• Destruir los registros incidentales y duplicados sobre una base regular.
• Almacenar los medios en espera de destrucción en contenedores seguros.
• Si es posible, evitar desechar los medios destruidos en receptáculos de basura accesibles al público.
• Cuando los registros y la información estén siendo transportadas, protegerlos con contenedores cerrados, sellos, escoltas, etiquetas de identificación de
radiofrecuencia, registros de transporte y otros medios.

En el Anexo E se presenta más información sobre la eliminación y destrucción de documentos.

Protección de la Información en Forma Física

• Prototipos y modelos
− A estos se les debe otorgar la misma seguridad física, control de acceso, clasificación, investigación de antecedentes de los empleados, verificación
y documentación que a los otros activos de información.
− Los prototipos, modelos y artículos de prueba obsoletos deben ser destruidos de modo que no se pueda realizar ingeniería reversa.
− Los contratistas y proveedores encargados de prototipos, modelos o artículos de prueba deben ser contractualmente obligados a protegerlos de
acuerdo a las políticas y procedimientos del propietario. Además, se les deben dar las instrucciones para la devolución o disposición de los
artículos cuando ya no se necesiten.
• Equipos y Procesos de Fabricación
− El acceso a las instalaciones de producción o procesamiento se debe restringir a los empleados que necesitan acceso para llevar a cabo sus
responsabilidades
− Se debe restringir la fotografía en las áreas de producción o procesamiento
− Los contratistas con acceso a las áreas de producción o procesamiento deberían firmar acuerdos de no divulgación como los que se requieren para
el manejo de otra información sensible
− Los empleados, contratistas y visitantes que entran a las áreas de producción o procesamiento deben mostrar sus credenciales de identificación
indicando su estado y nivel de acceso autorizado. Además, los visitantes deben ser obligados a firmar en un sistema automatizado de control de
visitas o registro de visitas
 − Los equipos de producción obsoletos o dañados, así como la chatarra, deben ser eliminados de manera que no se ponga en peligro o se divulgue
información respecto al área de producción o procesamiento.
− La información relacionada con la actividad del muelle de carga (como materiales y cantidades recibidas en los envíos) también pueden requerir
protección
• Compartimentación y barreras físicas o visuales
− La información de diferentes clasificaciones deben ser almacenadas separadamente
− Se deben usar protecciones como barreras y cubiertas cuando la información sensible pueda ser expuesta a la vista de personas no autorizadas

1.4.3 PERSONAL DE SEGURIDAD

La seguridad del personal juega un rol clave en un IAP. Esto incluye aspectos como investigación de due diligence de potenciales socios, investigaciones
estándar de selección previas al empleo e investigación de antecedentes de subcontratistas, proveedores y consultores.

El proceso de selección a menudo está fuera del control de seguridad, gestión de riesgos o las funciones de IAP, y en su lugar pueden ser manejados por los
departamento de recursos humanos o legal. Un desafío adicional es que esas investigaciones por lo general requieren largos plazos. Por lo tanto, los
procedimientos a veces son eludidos, y posiblemente ponen los activos de información en mayor riesgo.

Para superar estos desafíos, el profesional de IAP debe establecer un canal de comunicación eficaz con los otros elementos organizacionales involucrados
en estas funciones de selección; garantizar que la investigación de antecedentes cubra todas las potenciales personas de confianza con quienes la
información protegida pudiera ser compartida; y revisar periódicamente la selección de personal, due diligence y procedimientos de investigación de
antecedentes.

1.4.4 PROTECCIÓN DE LA PRIVACIDAD

Todas las organizaciones manejan información privada que pertenece a sus empleados, la gerencia, sus relaciones, clientes u otras personas. En algunas
organizaciones esto incluye información que es clasificada como “Información de Identificación Personal” o “PII” (por sus siglas en inglés). Para mantener
la confianza y cumplir los requerimientos legales, los profesionales de IAP deben hacer lo siguiente:
• Establecer políticas de privacidad específicas y designar un empleado responsable de implementar y administrar el programa de privacidad.
• Evaluar la información de privacidad relacionada con los empleados, proveedores, clientes y otras personas, y determinar los requerimientos legales y
reglamentarios.
• Asegurar los sistemas establecidos para proteger la privacidad de empleados y clientes.
• Proporcionar un mecanismo para investigar el compromiso de la privacidad de la información (incluyendo el robo de identidad) e informar los
incidentes a las personas u organizaciones afectadas (víctimas) según corresponda.
• Revisar las directrices federales, estatales e internacionales aplicables, tales como aquellas mostradas en el sitio Web de U.S. Federal Trade
Commission (www.ftc.gov/privacy) y en varias directivas de protección de los datos de la Union Europea para garantizar el total cumplimiento con
las leyes y reglamentos aplicables.
• Marcar claramente la privacidad de la información para indicar cómo se usará la información y cómo se pondrá a disposición de otros, qué
notificaciones y acciones se deben realizar si se ve comprometida y las instrucciones para su destrucción o disposición cuando la información ya no
sea necesaria.
• Realizar un programa de auditoría para garantizar que las políticas de privacidad se han implementado apropiadamente.

1.4.5 PRÁCTICAS EMPRESARIALES

ASIS International sostiene que la seguridad es una función de negocios. Por lo tanto, los principios de IAP deben ser incorporados a las prácticas
cotidianas y a la cultura de la empresa. Por otra parte, los aspectos clave de la misión y filosofía de negocios de la organización deben ser incluidas en la
estrategia de la IAP. Los siguientes son algunos pasos para la armonización de la IAP y las prácticas generales de negocios:
• Coordinar las materias de IAP con todos los medios apropiados de la compañía: legal, recursos humanos, seguridad, gestión de riesgos, protección,
TI, investigación y desarrollo, contrataciones, marketing, relaciones públicas, capacitación, logística, inteligencia competitiva, relaciones
internacionales, contabilidad y finanzas, instalaciones y otros.
• Incorporar la IAP en el plan de continuidad del negocio de la organización para garantizar que la información crítica conserva su disponibilidad,
confidencialidad e integridad durante todas las fases de situaciones de crisis, incluyendo la respuesta y recuperación.
• Incorporar el material relacionado a la IAP en los programas de capacitación y desarrollo profesional de los empleados.
• Comunicar los asuntos de la IAP a todos los niveles de gestión.

Una actividad de negocios que plantea riesgos especiales para la información de una compañía es el establecimiento de relaciones (tales como sociedades o
acuerdos de externalización) con otras compañías, nacional e internacionalmente. En esas relaciones, las compañías pueden bajar la guardia sin darse
cuenta respecto a la protección de la información. En estados Unidos, miles de compañías de fachada se han establecido, a menudo a través de gobiernos
extranjeros, para recolectar información de las empresas estadounidenses. Por lo tanto, es esencial realizar investigaciones de due diligence antes de
asociarse con –y compartir información con- otras compañías.
1.4.6 OPERACIONES DE SEGURIDAD O GESTIÓN DE RIESGOS DE LA INFORMACIÓN

Seguridad de las operaciones (OPSEC de ahora en adelante, por sus siglas en inglés) es un método de protección desarrollado en las fuerzas armadas para
proteger la información no clasificada que pudiese revelar planes y operaciones sensibles. En 1988, en Estados Unidos, la National Security Decision
Directive instituyó la OPSEC en toda la rama ejecutiva del gobierno federal. Desde entonces, ha sido aplicada con éxito a la protección de la investigación
y desarrollo de información sensible, información técnica, datos de prueba de productos, información sensible de los organismos encargados de hacer
cumplir la ley y a la información comercial de los esfuerzos de inteligencia competitiva.

En efecto, OPSEC es un sistema de “gestión de riesgos de la información” y a veces es llamado por ese nombre en el sector privado. Llama a visualizar el
panorama general e identificar cualquier vacío en la protección que permanezcan a pesar de las actuales medidas de seguridad. Esos vacíos representas
caminos por los cuales los activos de información podrían estar en peligro, ya sea intencionalmente o involuntariamente. Los vacíos pueden existir, por
ejemplo, entre las estrategias legales y de seguridad o entre las medidas de protección en diferentes países. OPSEC o gestión del riesgo de la información se
debe practicar en las organizaciones de cualquier tamaño, pero es particularmente valiosa para las pequeñas empresas que pueden no tener una gran
cantidad de personal de seguridad o de IAP o de recursos de seguridad (Peterson, 2005).

OPSEC responde al hecho que pequeños pedacitos de información tomada de distintas fuentes pueden ser combinadas para revelar información sensible.
Los siguientes pasos pueden ayudar a las organizaciones a prevenir la revelación de esos pequeños, pero combinables pedacitos de información:
• Desarrollar políticas de IAP específicas, hechas a medida para los proyectos clave.
• Asegurarse que la información periférica (como las órdenes de suministro o planes de contratación), mejoras a la instalación y otras actividades
observables e indicadores no proporcionen inteligencia valiosa a un adversario o competidor.
• Considerar la vulnerabilidad de la información revelada a entidades externas como parte acuerdos con una empresa mixta o socio de confianza
(proveedor, vendedor, cliente). La otra entidad puede no tener suficientes medidas de IAP.
• Examinar la información de la compañía disponible al público para determinar si, en su conjunto, revela información sensible. Revisar periódicamente
el sitio Web de la compañía y los sitios de cualquier socio.
• Evaluar las vulnerabilidades adoptando la perspectiva del adversario. Defenderse de las técnicas de recolección realistas.
• Implementar un proceso de autorización para cualquier presentación, ponencias, o artículos que puedan contener información pertinente a actividades
sensibles o planes.

1.4.7 SEGURIDAD DE VIAJES Y REUNIONES

La información sensible puede ser particularmente vulnerable cuando los empleados viajan, asisten a ferias y participan en reuniones dentro o fuera de la
empresa.

Viajes Nacionales e Internacionales

Circunstancias especiales, amenazas y vulnerabilidades pueden surgir durante un viaje de negocios. Los que viajan por negocios con cualquier forma de
información sensible pueden hacer lo siguiente para reducir el riesgo de esa información:
• Tenga una reunión informativa de seguridad previa al viaje o consultar las recomendaciones de viajes, notificaciones, servicios de información y
publicaciones antes de la salida. El U.S. Department of State’s Overseas Security Advisory Council (OSAC) es una fuente para esa información.
• Mantener un bajo perfil para minimizar ser un blanco. Evitar usar elementos que visiblemente divulguen el empleador del viajero o identidad personal
o nacional.
• Restringir la información que se lleva a lo que es estrictamente necesario.
• Portar la información personalmente, no en equipaje facturado, y no entregar el equipaje que contiene información sensible a encargados de equipaje
o botones.
• Estar consciente del riesgo de la vigilancia técnica (interceptación electrónica).
• Evitar trabajar o conversar información sensible en áreas públicas o en transporte público.
• Usar filtros de privacidad para pantallas, candados de cable y otras medidas para proteger la información en las computadoras.
• Evitar el uso de máquinas de fax de hoteles, instalaciones de fotocopias y centros de negocios para la información sensible.
• Si es necesario transferir archivos electrónicos a la computadora de otra persona para facilitar la impresión, copia o proyección, asegúrese después de
borrar esos archivos y cualquier archivo temporal.
• Reportar el intento, sospecha o real obtención de información durante el viaje.

Ferias Profesionales
Las ferias profesionales son un lugar de reunión tradicional para la recolección de inteligencia empresarial y gubernamental. La U.S. Office of the National
Counterintelligence Executive (2006) llama a las convenciones y exposiciones una amenaza particular:
Estas visitas siguieron proporcionando información útil a los recolectores. Las convenciones, exposiciones y seminarios ofrecían fantásticas oportunidades de recolección para las
entidades extranjeras, debido a que vinculaban directamente los expertos extranjeros con los especialistas, programas y tecnologías estadounidenses. Más aun, estos lugares
dieron a los especialistas extranjeros la oportunidad de comparar y contrastar las diferentes tecnologías y hacer preguntas técnicas para llenar los vacíos de inteligencia.

Los siguientes pasos pueden ayudar:

• Establecer un programa de sensibilización para la IAP y un mecanismo de información adaptado a las personas que viajan a las ferias profesionales,
 conferencias, simposios, y reuniones técnicas. El programa debe abordar las técnicas de obtención, entre otros tópicos, y recordar a los viajeros de
cualquier acuerdo de no divulgación.
• Identificar los viajeros de alto riesgo basado en sus cargos, proyectos, accesos o acreditación dentro de la compañía. Desarrollar procedimientos
especiales para ese tipo de viajeros.
• Considerar documentar toda la información y equipamiento (tales como computadoras portátiles o dispositivos portátiles) que se llevarán a las
reuniones. Si corresponde, hacer copias de respaldo de la información.
• Interrogar a los viajero a su vuelta cuando sea apropiado (por ejemplo, viajero de alto riesgo o viajeros que asisten a conferencias técnicas en el
extranjero).

Reuniones Dentro y Fuera de la Empresa

La reuniones dentro y fuera de la empresa, especialmente aquellas de naturaleza comercial o científica, tienen una larga historia de ser blancos de
recolección de información y desarrollo de relaciones con los asistentes. Los siguientes pasos pueden ayudar a los profesionales de IAP a reducir el riesgo
que representan ese tipo de reuniones:
• Obtener un programa anual de las reuniones de negocios estratégicas y críticas de la organización y desarrollar una estrategia de IAP para cada
reunión si es necesario, basado en la evaluación de riesgos.
• Antes de confirmar un lugar, obtener los planos del piso y detalles relativos a las telecomunicaciones e infraestructura audiovisual del lugar.
• Alentar a los planificadores de reuniones a seleccionar sitios y habitaciones basados en cuestiones de protección de la información.
• Organizar eventos de bajo perfil cuando sea apropiado, minimizando la señalización y anuncios electrónicos de los eventos, patrocinadores, ubicación
de las salas y horarios. Usar nombres de reuniones que no sugieran el tema o identifiquen a los asistentes.
• Determinar la necesidad de realizar una inspección técnica de contramedidas de vigilancia antes y durante las reuniones. Las vulnerabilidades pueden
incluir micrófonos inalámbricos no encriptados, auriculares inalámbricos, salidas de audio, equipos electrónicos traídos por los participantes u otras
personas, y equipos de telecomunicaciones sin seguridad, cables y terminales.
• Determinar la necesidad de envíos y almacenamiento seguro antes, durante y después del evento.
• Mantener la seguridad de los materiales impresos y los medios informáticos durante la reproducción, transporte y almacenamiento.
• Minimizar la distribución de información impresa.
• Asegurarse de que las presentaciones electrónicas están protegidas durante la creación, edición, transmisión y presentación. También, asegurarse que
sean completamente eliminadas de cualquier computadora usada para la presentación que no sea de propiedad de la compañía.
• Asegurarse que los proveedores siguen prácticas de seguridad de la información apropiadas.
• Hacer los arreglos necesarios para limitar el acceso a las salas de reuniones. Si corresponde, usar oficiales de seguridad para proveer seguridad durante
las 24 horas en las salas de reunión y equipos electrónicos, incluyendo las computadoras portátiles
• Recoger la información y notas dejadas por los asistentes. Hacer los arreglos para su eliminación segura

1.4.8 PREVENCIÓN Y DETECCIÓN DE LA FALSIFICACIÓN Y COPIA ILEGAL

Los siguientes pasos pueden ayudar a los profesionales de IAP a prevenir y detectar la falsificación y copia ilegal:
• Monitorear Internet para identificar los productos falsificados.
• Entrenar a los empleados para observar productos falsificados y sospechosos conocidos, competidores u otros esquemas comunes.
• Exigir a todos los empleados, proveedores, subcontratistas que firmen acuerdos de no divulgación (NDA por sus siglas en inglés).
• Emplear tecnología anti-falsificación.
• Numerar todos los informes y memorandos técnicos.
• Realizar regularmente auditorias de cumplimiento y control de inventario, dentro y fuera de la organización.
• Trabajar con los organismos encargados de hacer cumplir la ley y las agencias fiscales en la detección, conciencia, alertas e intercambio de
información
• Considerar la participación en el programa U.S. Customs and Border Protection (CBP) Intellectual Property Rights e-Recordation
(https://apps.cbp.gov/e-recordations). Bajo el programa, los dueños de propiedad intelectual pueden registrar sus derechos de autor y marcas aunque
mediante un proceso de registro electrónico. Este programa de inscripción permite a CBP detener cualquier producto registrado sospechoso de ser una
violación de los derechos de autor o leyes de marca registrada de Estados Unidos, y a notificar al propietario del activo.

1.5 PROTECCIONES LEGALES

En Estados Unidos, la privacidad de la información protegida está regulada específicamente por la Health Insurance Portability and Accountability Act
(HIPAA), la Ley de Privacidad y Ley de los Servicios Financieros (Gramm-Leach-Bliley Act); en la Unión Europea por la Data Protection Directive; y por
otras leyes y reglamentos en todo el mundo2. Todos los programas exitosos de IAP asignan a un especialista la responsabilidad de monitorear la legislación
y reglamentos en trámite relacionados con la protección de los activos de información. Es muy importante evaluar cualquier posible efecto que esos
cambios puedan tener en la organización.
A continuación se enumeran los temas a discutir con el asesor legal de la organización:
• tomar medidas coercitivas sobre cualquier patente, derecho de autor, o violación a una marca comercial/de servicio
• conocer los actuales protocolos legales y jurisprudencia para ayudar a determinar la pérdida de beneficios (lucro cesante) y daños financieros y decidir
las estrategias de protección apropiadas
• conocer el estado de protección de los derechos de propiedad intelectual y la naturaleza de las violaciones en cada jurisdicción donde la organización
planea hacer negocios

Además, los propietarios de los activos de información deben reconocer que las protecciones legales son eficaces sólo si el propietario está dispuesto a
perseguir el recurso cuando se produce una violación. Esta actividad puede consumir una gran cantidad de tiempo y recursos financieros. Los propietarios
de los activos deben analizar por anticipado el criterio previsto para resolver violaciones cuando ocurran.

Según la Patent and Trademark Office de Estados Unidos (2007), una patente es un derecho de propiedad concedido a un inventor para excluir a otros de
fabricar el invento, usarlo, ofrecerlo para la venta, o venderlo el invento por tiempo limitado; una marca comercial consiste de palabras, nombres, símbolos,
dispositivos, o imágenes aplicadas a productos o usadas en relación a bienes o servicios para identificar su origen; y un derecho de autor es usado para
proteger la expresión de ideas en obras literarias, artísticas y musicales.

La mejor manera de empezar a abordar la infracción de patentes, derechos de autor y marcas comerciales es registrando esos derechos. Es responsabilidad
del dueño de la propiedad intelectual conocer y cumplir los requisitos relacionados con la protección de esos derechos en cada jurisdicción relevante. Es
importante buscar la ayuda de un experto cuando se registren patentes, marcas comerciales y derechos de autor y cuando se enfrente una potencial
infracción. También puede ser útil la participación en organizaciones de lucha contra la falsificación.

El Departamento de Estado de Estados Unidos proporciona asesoría en los temas de derechos de propiedad intelectual en muchos países, generalmente
listados bajo “IPR Tool Kit” (kit de herramientas de derechos de propiedad intelectual) en el sitio Web de la embajada específica. Por ejemplo, los temas de
derechos de propiedad intelectual en China se discuten en http://beijing.usembassychina.org.cn/ipr.html.

1.5.1 DERECHOS DE AUTOR

Según el derecho internacional, los derechos de autor no tienen que ser registrados para ser protegidos. No obstante, un autor o poseedor de derechos de
autor puede formalizar su propiedad a través del registro de gobierno, el cual puede ayudar en cualquier acción de cumplimiento posterior.

El titular de los derechos de autor no debe permitir que el control de los derechos caiga en manos de los agentes o distribuidores de la organización. Es
importante hacer lo siguiente:
• Incorporar los derechos de autor en los contratos y estrategias de marketing.
• Suscribir contratos escritos que exijan que agentes, proveedores, distribuidores y empleados protejan los derechos de autor.
• Negarse a ceder o autorizar los derechos de autor hasta que las consecuencias sean totalmente comprendidas.
• Asegurarse que los derechos de autor se mantienen en la organización hasta el término de la cesión, licencia, transacción o inversión.

Si una organización descubre que su derecho de autor ha sido violado, es esencial adoptar medidas inmediatamente. Las herramientas de respuesta
incluyen:
• contratación de un asesor legal;
• informar a las autoridades correspondientes;
• realizar investigaciones, allanamientos e incautaciones; y
• iniciar litigios civiles, procedimientos administrativos y procesos criminales.

Al decidir qué herramientas usar, ayuda el formularse las siguientes preguntas:

• ¿El derecho de autor está registrado o susceptible de protección en el país en particular?
• ¿El daño se está causando en ese país o en el extranjero?
• ¿Cuál es el origen del daño: competidores, empleados, agentes o contratistas?

1.5.2 MARCA COMERCIAL, IMAGEN COMERCIAL, MARCA DE SERVICIO

Los nuevos participantes del mercado deben desarrollar una estrategia para proteger la propiedad intelectual de la compañía en las primeras etapas de
planificación de la actividad comercial en cualquier país. El registro de las marcas comerciales antes de que el producto entre en la corriente del comercio
en cualquier país es el medio más importante para asegurarse que la marca es susceptible de protección bajo las leyes de ese país y garantizar que la
infracción de la marca comercial puede ser remediada a través de procedimientos administrativos o judiciales. También es importante aplicar la marca
comercial o de servicio apropiada y los avisos a materiales producidos por la compañía.

Cuando se realizan negocios fuera del país de origen de la organización, la mejor arma es la prevención. Los siguientes son algunos pasos prácticos:
• Familiarizarse con los derechos de la organización antes que el producto cruce la frontera.
• Desarrollar y registrar una versión en el idioma del país anfitrión. De lo contrario, el mercado puede hacerlo, creando un apodo para el producto. A la
compañía puede que no le guste ese nombre, o alguien más en el país puede registrarlo, obligando a la compañía a comprar los derechos.
 • Registrar la marca comercial en los países vecinos para proporcionar la protección para una potencial expansión y evitar que otros registren las marcas
en productos que los consumidores pueden confundir con los de la compañía.
• Realizar una investigación para identificar los productos que infringen la marca comercial o que tenga una marca registrada tan similar que se puede
confundir con la de la compañía, pero registrada por un tercero.

1.5.3 PATENTES

Un inventor puede proteger una invención patentándola o considerándola un secreto comercial. Las patentes conllevan una serie de beneficios, pero
requieren que el inventor divulgue públicamente los elementos de la invención, y una patente dura sólo 20 años. Por el contrario, un secreto comercial no
es divulgado y puede durar indefinidamente. Además, mientras que el robo de un secreto comercial puede violar leyes criminales, no existen leyes
criminales relacionadas a la infracción de patentes (United States Department of Justice, 2006). Lo que sigue es un enfoque para la protección de
invenciones:
• Seguir las directrices del secreto comercial para todos los procesos o productos recientemente descubiertos hasta que la patente haya sido emitida.
• Asegurarse que la protección de la patente es adquirida en todas las jurisdicciones correspondientes.
• Considerar el uso de la U.S. International Trade Commission como un lugar para resolver las controversias sobre patentes.

1.5.4 SECRETOS COMERCIALES

Los secretos comerciales no necesitan ser registrados en ninguna agencia externa, así el propietario puede mantener un mayor grado de control sobre el
activo. Para que la información sea considerada un secreto comercial, el propietario debe ser capaz de probar que la información añadió un valor o
beneficio al propietario, el secreto comercial fue específicamente identificado y el propietario proporcionó un nivel razonable de protección al secreto
comercial. El término “razonable” implica un alto estándar; el propietario debe demostrar un programa de seguridad robusto y medidas de protección
estrictas que estén clara y consistentemente definidas, comunicadas y que se hagan cumplir.

Los siguientes pasos deben ayudar a la organización a proteger sus secretos comerciales:
• Documentar la identificación y valoración de los secretos comerciales, su rol en el establecimiento de una ventaja competitiva en la industria y el
alcance total de las medidas de protección instituidas para protegerlos.
• Asegurar que existen medidas de seguridad, tradicionales y cibernéticas, razonables para evitar el acceso no autorizado a los secretos comerciales.
• Realizar auditorias de seguridad aleatorias y periódicas, para asegurar su cumplimiento
• Llevar a cabo acuerdos de no divulgación con los empleados, proveedores, consultores, y otras personas antes de cualquier divulgación.
• Establecer los criterios de necesidad-de-conocimiento para garantizar que las personas tengan acceso sólo a la información específica que necesitan
para hacer sus trabajos.
• Instituir notificaciones de información de advertencia eficaces para garantizar que las personas están conscientes de lo que exactamente necesita ser
protegido.
• Adoptar medidas apropiadas para la destrucción de materiales que ya no se necesiten.

1.5.5 PREOCUPACIONES INTERNACIONALES

Una compañía que planea introducir propiedad intelectual en otro país debe trabajar con los abogados con mucha antelación, y esos abogados deben tener
experiencia en el mercado previsto. La compañía también debe inventariar su propiedad intelectual y otra información sensible y desarrollar planes para
proteger cada tipo de información.

Además de solicitar las patentes, la asignación de cualquier derecho de autor y licencias de tecnología según corresponda, las compañías deben evaluar los
riesgos que representan las relaciones contractuales. Muchas disputas de propiedad intelectual surgen entre compañías que hacen negocios en conjunto. Las
compañías deben utilizar los acuerdos de no divulgación en las negociaciones y contratos, identificar y restringir la divulgación de toda información técnica
sólo a aquellos que tienen necesidad de saber, y compartimentar el conocimiento. Algunas formas de información, tales como herramientas, matrices o
fórmulas, pueden ser protegidas a través de medidas de seguridad física tradicionales.

La compañía también debe realizar una investigación de due diligence de propiedad intelectual, revisando el mercado del país bajo consideración por
infracciones de los derechos de la compañía y analizar las experiencias de compañías similares en ese país. Más aún, la compañía debe familiarizarse con
las normas y reglamentos de propiedad intelectual del país. Los titulares de licencias deben consultar abogados cualificados para determinar qué proporción
de una licencia debe ser registrada para garantizar que los derechos de los titulares no se vean afectados.

Una excelente fuente de consejos para hacer negocios en el extranjero es el U.S. State Department’s Overseas Security Advisory Council (OSAC). Su sitio
Web (www.osac.gov) proporciona una variedad de documentos útiles, incluyendo las Security Guidelines for American Enterprises Abroad. OSAC
también ofrece consejos sobre normas y leyes de propiedad intelectual de un país específico, así como información de las tendencias en infracciones.

1.5.6 ACUERDOS DE NO DIVULGACIÓN Y CONTRATOS

Los acuerdos escritos de no divulgación (NDA) garantizan un comprensión común y una obligación legal respecto a la protección de los activos de
información. Los NDA deben reconocer que cualquier información sobre cualquier medio que registre comunicaciones comerciales o transacciones es
considerado un registro oficial ante las leyes y será manejado de acuerdo a las políticas y procedimientos relacionados con los activos de información. Las
obligaciones de confidencialidad pueden necesitar ser extendidas a los miembros del consejo, empleados, agentes u otras personas.

Todos los empleados deben firmar una NDA como una condición de empleo. Mediante el acuerdo, ellos deben reconocer que todos los activos de
información relacionados con el empleador, proveedores y clientes son considerados confidenciales. El NDA de los empleados también debe incluir la
verificación de que el empleado ha leído, entendido y se atendrá a las políticas y procedimientos de IAP. Cuando su empleo termine, a los empleados se les
debe recordar que su obligación bajo el NDA continúa.

Del mismo modo, un contratista, subcontratista, consultor o proveedor con acceso a los activos de información deben estar contractualmente obligados a
proteger la información en la misma medida en que se encuentra protegida en la empresa.

En el Anexo C se proporcionan ejemplos de NDA.

1.6 MEDIDAS TÉCNICAS DE PROTECCIÓN

Esta sección aborda los medios de mitigación de las amenazas de recolección técnica. La incorporación de medidas tradicionales de protección con estos
métodos técnicos representa una aplicación de convergencia en la protección de activos. Muchos de estos métodos descritos aquí requieren conocimientos
especializados, y puede ser necesario externalizar algunos servicios. Es esencial seleccionar cuidadosamente los socios para externalización, ya que ellos
necesariamente obtendrán acceso a información sensible.

1.6.1 CONTRAMEDIDAS DE VIGILANCIA TÉCNICA

Las contramedidas de vigilancia técnica (TSCM de ahora en adelante, por sus siglas en inglés) son servicios, equipos y técnicas diseñadas para localizar,
identificar y neutralizar actividades de vigilancia técnica (escuchas clandestinas). Las TSCM deben ser parte de la estrategia global de protección de la
organización.

Como parte de los esfuerzos de TSCM, los profesionales de IAP deben disponer inspecciones periódicas de los equipos de telecomunicaciones, cables y
terminales con equipos, métodos y personal capaz de detectar las amenazas actuales. Las oficinas y salas de reuniones deben ser inspeccionadas regular y
aleatoriamente para detectar vulnerabilidades de vigilancia técnica y también inmediatamente antes de cualquier conversación sensible.

1.6.2 PROTECCIÓN EN UN ENTORNO DE TI

Esta sección presenta los aspectos más destacados de los problemas de seguridad de TI relacionados con los programas de IAP. La seguridad de TI está
cubierta en mayor detalle en otras secciones de Protección de Activos.

Debido a que existe mucha información en forma electrónica, los profesionales de IAP deben considerar la protección de redes (alámbricas e inalámbricas)
y también de las computadoras independientes. Lo más eficaz es un enfoque estratificado que integre las medidas de protección físicas, de procedimientos
y lógicas. Los siguientes son algunos pasos recomendados:
• Cambiar las contraseñas por defecto, nombres de usuarios y cuentas administrativas.
• Asignar adecuadamente los privilegios administrativos. Los administradores deben usar cuentas sin privilegios cuando no están realizando la
administración del sistema.
• Limitar y monitorear los accesos físicos a los componentes de la red.
• Asegurar una separación de responsabilidades para el personal de TI cuando sea posible.
• Instalar y actualizar el software de antivirus y cortafuegos en los servidores de la red y los dispositivos de clientes (computadoras portátiles, estaciones
de trabajo y dispositivos electrónicos personales). Los cortafuegos pueden proteger la información de intrusiones externas e internas.
• Implementar protocolos formales de gestión de parches y gestión de configuración.
• Capacitar a los usuarios en la conciencia de seguridad informática, incluyendo los riesgos asociado a accesos remotos, accesos móviles y tecnología
inalámbrica.
• Exigir a las organizaciones externas con acceso a los sistemas de información de la compañía que mantengan una postura de seguridad equivalente.

Un sistema de detección de intrusión (IDS de ahora en adelante, por sus siglas en inglés) supervisa programas maliciosos y cambios no autorizados de
archivos y configuraciones. También supervisan el tráfico de la red y proporcionan alarmas para los ataques a la red. Para algunos entornos, se debe
considerar un sistema de prevención de intrusión, especialmente donde el personal podría no estar disponible para monitorear activamente o actuar en las
alertas del IDS. Adicionalmente, se pueden configurar sistemas de prevención de extrusión para prevenir la salida de información no autorizada.

Especial atención se debe dar a la protección de datos y al control de acceso en entornos informáticos en la nube y/o cuando terceros tengan algún acceso
legítimo a los recursos informáticos o contenido de la información. Esto también aplica cuando una organización emplea un respaldo en línea, una
almacenamiento de datos o proveedor de administración de archivos.

Los profesionales de IAP también deben estar conscientes de lo siguiente:

• Control de acceso lógico a la red. Este es el proceso por el cual los usuarios son identificados y se les otorga privilegios para la información,
sistemas, o recursos.
 • Seguridad de las aplicaciones. Las aplicaciones comerciales modernas generalmente consisten de un código personalizado, software de terceros y
uno o más servidores. La integración inadecuada de estos componentes puede resultar en una vulnerabilidad que posteriormente puede ser explotada
para obtener acceso no autorizado a los datos.
• Desinfección de los sistemas de información y medios de comunicación. La desinfección es el proceso de eliminación de datos de un medio de
almacenamiento (como un disco duro) antes de que el medio sea reutilizado. Los métodos incluyen sobrescribir y desmagnetización (borrado
magnético). Una alternativa es la destrucción física.
• Encriptación. La encriptación obscurece el significado de la información alterándola o codificándola de tal manera que sólo pueda ser decodificada
por las personas a quienes va destinada
• Firma digital. Esta autentifica la identidad del remitente de un mensaje. Las firmas digitales son especialmente importantes para el comercio
electrónico y los correos electrónicos.
• Entorno inalámbrico. Las redes de área local inalámbricas (WLAN de ahora en adelante, por sus siglas en inglés) son convenientes pero pueden
introducir riesgos. Ellas por lo general son consideradas menos seguras que las redes alámbricas (LAN), de modo que los tipos de datos transportados
por ellas deben ser cuidadosamente evaluados.

1.6.3 PROTECCIÓN EN ENTORNOS ESPECIALES

Varios entornos plantean requerimientos especiales para la protección de los activos de información.

Teléfonos Móviles, Computadoras Portátiles y Asistentes Digitales Personales (PDA)

Los dispositivos móviles o portátiles por lo general no están protegidos por la infraestructura de seguridad de TI de la empresa o de la seguridad física de
una instalación cerrada. Las personas a menudo no reconocen la cantidad e importancia de los datos almacenados y comunicados en ese tipo de
dispositivos. Los siguientes pasos pueden mejorar la seguridad de los dispositivos portátiles:
• Exigir a los empleados que reconozcan, por escrito, que los equipos emitidos por la empresa y toda información producida o almacenada en ellos es
de propiedad del empleador.
• Controlar y desincentivar el uso de dispositivos móviles con cámaras incrustadas, particularmente alrededor de materiales sensibles o en áreas
restringidas.
• No almacenar números de seguridad social, números de tarjetas de crédito o contraseñas en dispositivos inalámbricos.
• Bloquear los teléfonos móviles cuando no están en uso.
• Considerar la instalación de un software que pueda bloquear remotamente un teléfono o borrar sus datos si el teléfono se pierde o es robado.
• Etiquetar o grabar las computadoras portátiles con el nombre, dirección, y teléfono de la organización para aumentar las probabilidades de recuperar
los objetos perdidos.
• Evitar que se visualice el nombre del último usuario que inició sesión.
• Utilizar un maletín difícil de describir.
• Tenga cuidado cuando utilice un punto de servidor inalámbrico (como en un hotel o aeropuerto). Existe un riesgo de que se inicie sesión en una
computadora cercana que puede ser utilizada para el robo de identidad.
• Configurar la computadora para que no se conecte automáticamente a puntos de acceso inalámbricos listados como poco seguros.
• Chequear regularmente con el fabricante del dispositivo para ver las actualizaciones de software o noticias de vulnerabilidades de seguridad.

Conferencias Electrónicas
Las reuniones vía video, teléfono y tecnologías basadas en la Web son convenientes, pero no necesariamente seguras. El profesional de IAP debe averiguar
cómo protege la información el proveedor del servicio. También es importante averiguar las políticas del proveedor respecto a las contraseñas. Cuando sea
posible, se debe utilizar la encriptación para la transferencia de datos.

A menos que las medidas de seguridad puedan ser validadas, los usuarios deben asumir que sus conversaciones no son privadas.

Externalización
La externalización transfiere el control operacional y la responsabilidad a terceros y puede aumentar el riesgo de los activos de información. En ciertos
casos, los riesgos de la información no son fácilmente identificables y pueden ser el resultado de cláusulas sutiles u ocultas en los contratos. Debe realizarse
una due diligence para los potenciales proveedores. Los siguientes son algunos pasos sugeridos:
• Revisar el desempeño financiero y la reputación, incluyendo las violaciones a los derechos de propiedad intelectual, denuncias comerciales, asuntos
de control de exportaciones, vínculos con gobiernos extranjeros y vínculos con empresas sospechosas.
• Establecer acuerdos, individuales y corporativos, de no divulgación con los proveedores y sus subcontratistas
• Llevar a cabo revisiones de la seguridad en el sitio del proveedor antes de firmar un acuerdo de externalización y posteriormente en forma periódica.
• Identificar, física y lógicamente, dónde trabajará el personal subcontratado y asegurarse de que existen medidas apropiadas de seguridad física y de
tecnología de información en el sitio
• Consultar un asesor legal sobre las leyes y reglamentos (de todos los países participantes) sobre exportaciones e importaciones de tecnología, personal
e información privada, e implementar procedimientos de protección para ayudar a asegurar el cumplimiento
1.7 RESPUESTA Y RECUPERACIÓN DESPUÉS DE UNA PÉRDIDA DE INFORMACIÓN
Los siguientes son pasos clave a tomar después de una pérdida de información:

Investigación
• Investigar exhaustivamente la información comprometida ya conocida y la que se sospecha para apoyar a los encargados de hacer cumplir la ley, las
causas judiciales, recuperación de activos, identificación de la causa raíz del incidente, prevención de futuros incidentes y evaluación de las pérdidas o
daños.
• Establecer un plan de investigación y coordinar con el asesor.
• Identificar los recursos de investigación que se requieren de las fuentes internas o externas.
• Establecer y mantener enlaces con los organismos encargados de hacer cumplir la ley y los proveedores de servicios de investigación así como con
diversas fuentes de información.

Evaluación del Daño

• Tan pronto y lo más completamente posible, determinar cuál es la información que ha sido comprometida.
• Determinar las implicancias del compromiso en términos de pérdidas económicas, demora en los proyectos, impacto operacional, imagen corporativa,
confianza de los accionistas, responsabilidad legal y relaciones corporativas (con socios, proveedores, vendedores, subcontratistas, etc.).
• Informar el impacto real y potencial al nivel de gerencia correspondiente.

Recuperación y Seguimiento
• Darse cuenta que los dos elementos primordiales de la recuperación son (1) volver el negocio a las operaciones normales tan pronto como sea posible
y (2) implementar medidas para evitar una recurrencia del problema.
• Implementar cualquier parte aplicable del plan de continuidad de negocios de la organización.
• Realizar un análisis de la causa raíz e implementar acciones correctivas basadas en sus conclusiones. Mantener una base de datos de incidentes
(incluyendo denuncias y presuntos incidentes) para apoyar el análisis de la causa raíz y analizar cualquier tendencia.

1.8 RESUMEN
En la protección de los activos de información, una estrategia de protección eficaz comienza con una política clara y práctica que es compartida con todas
las partes interesadas y aplicada imparcialmente. La adecuada combinación de medidas de protección varía en cada organización. Generalmente, una
organización necesitará emplear tanto las medidas de seguridad (personal, equipos, entrenamiento de conciencia) como las medidas legales (derechos de
autor, patentes, marcas registradas, acuerdos de no divulgación, cláusulas de contratos) para proteger sus activos de información.

Un programa de IAP debe esforzarse para evitar la pérdida de información, pero también debe estar preparado para responder a las pérdidas que se
producen, y recuperarse de un evento de pérdida que involucre los activos de información. Finalmente, para una gestión de riesgos penetrante, el programa
de IAP debe ser desarrollado en paralelo con las principales operaciones del negocio y la planificación de continuidad de negocios para garantizar
estrategias de protección consistentes y bien orquestadas.
ANEXO A

EJEMPLO DE POLÍTICA DE PROTECCIÓN DE ACTIVOS DE INFORMACIÓN

El siguiente ejemplo de política protección de activos de información puede ser adaptado a cualquier organización y difundido en papel y en la intranet de
la empresa. Ha sido adaptado de la política de ASIS International Information Asset Protection Guideline (2007).

A. RESUMEN DE LA POLÍTICA
Estamos comprometidos a proteger los activos de la organización, incluyendo empleados, información y entorno laboral, que nos permiten lograr
nuestras metas de negocios. Por lo tanto, hemos establecidos esta política de protección de activos de información (IAP). Establece los principios
rectores respecto de la protección de los activos de información de la organización.
La información es un activo organizacional clave y será protegido de acuerdo a su valor y basado en los resultados de las evaluaciones de riesgos
periódicas. La estrategia de protección se basa en los siguientes principios:
• La protección de los activos de información consistirá en la identificación, valoración, clasificación y etiquetaje en un esfuerzo para protegerlos
contra el acceso no autorizado, uso, divulgación, modificación, destrucción o negación.
• Los controles representarán medidas rentables en función de los riesgos coherentes con otras políticas y objetivos estratégicos de la organización.
• La estrategia IAP integra la seguridad tradicional, la seguridad de la tecnología de la información y las funciones legales y administrativas.
• La responsabilidad y obligación se extiende a todos los empleados, así como a los consultores, contratistas, subcontratistas, empleados de tiempo
parcial, empleados temporales, pasantes, equipos asociados y socios.
• Cumpliremos todos los requerimientos legales y reglamentarios aplicables.

B. GERENTE DEL PROGRAMA IAP

Todas las preguntas, problemas y preocupaciones relacionadas con esta política serán dirigidas al gerente del programa IAP (proporcionar la
información de contacto).

C. APLICABILIDAD
La política IAP aplica a todos los empleados y a toda la empresa, es decir, individuos y entidades con acceso a los activos de información de la
organización, personas e instalaciones.

D. ACTIVOS DE INFORMACIÓN
Nuestros activos de información se encuadran en una variedad de categorías, algunas de las cuales están sujetas a leyes y reglamentos específicos. En
esos casos, cumpliremos con todas las leyes y reglamentos aplicables. Esto puede llegar a ser complicado en algunas circunstancias cuando puedan
aplicar todas las leyes y reglamentos locales, estatales, federales e internacionales. Contactar al asesor legal de la organización o al gerente del
programa IAP para recibir orientación en casos específicos.
Las principales categorías de los activos de información incluyen la información privada, información patentada, secretos comerciales, patentes,
derechos de autor, marcas comerciales, datos financieros e información regulada. Cada categoría garantiza ciertas protecciones según la política de
IAP.

E. CLASIFICACIÓN E INTERCAMBIO DE INFORMACIÓN

Es esencial compartir información tanto interna como externamente para logar los objetivos del negocio. Sin embargo, también es nuestra
responsabilidad asegurar que los activos de información sensible estén protegidos de pérdidas o compromiso. Todos los empleados y miembros de
nuestra empresa son responsables por compartir la información adecuadamente y protegerla de divulgaciones inapropiadas, modificaciones, uso
indebido o pérdidas.
Para proteger la información (papel, electrónica, oral, etc.) según su valor para el negocio, hemos desarrollado políticas, prácticas y procedimientos
como parte de nuestro programa de IAP. Está incluido un mecanismo para clasificar nuestros activos de información en cuatro categorías: altamente
restringida, restringida, uso interno y sin restricciones:
• Altamente restringida: es usada para la información patentada que podría permitir a los competidores tomar acciones que podrían dañar
seriamente nuestra posición competitiva o que, si se divulga, podría dañar significativamente las finanzas de la organización o la posición
competitiva. Se usan precauciones estrictas para eliminar la divulgación accidental o deliberada y para detectar los intentos de acceso no
autorizado. El acceso para los empleados está limitado a las personas específicamente autorizadas. El acceso para los que no son empleados
está limitado a las personas que están autorizadas y cubiertas por un acuerdo de no divulgación (NDA).
• Restringida: se utiliza para la información que es organizacionalmente o competitivamente sensible o que podría presentar riesgos legales o de la
privacidad de los empleados. Las precauciones se toman para reducir la divulgación accidental o deliberada. El acceso para los empleados se
basa en el rol de cada individuo. El acceso para los que no son empleados está limitado a las personas que están aprobadas y cubiertas por un
NDA.
• Uso interno: es utilizada para la información generada dentro de la organización que no está diseñada para su distribución pública. Se usan las
precauciones de sentido común para proteger razonablemente esta información. El acceso generalmente está limitado a los empleados. El
acceso para los que no son empleados está limitado a las personas que están aprobadas y cubiertas por un NDA.
• Sin restricciones: es usada para la información que puede ser compartido dentro y fuera de la organización.
Todo el mundo está obligado tomar estas medidas:
 • Seguir todos los procedimientos y prácticas respecto a la protección de los activos de información.
• Participar en la gestión de incidentes, evaluaciones de riesgos, procesos de trabajo y mecanismos de control para apoyar la política.
• Garantizar que existen controles de acceso adecuados para toda la información que se ha creado o propia.
• Usar el sentido común y la previsión en la divulgación de información relacionada con la organización.
A los empleados en determinados roles se les ha dado responsabilidades específicas para el despliegue, implementación y mantenimiento de la política
de IAP. Estos roles y responsabilidades son los siguientes:
• El gerente del programa IAP es responsable de la política en general, incluyendo:
− la determinación de los niveles y la protección que requiere en cada nivel
− proporcionar la línea de base de la seguridad de la información mediante la infraestructura tecnológica de la organización
− proporcionar informes de la gestión del iap según corresponda
− coordinar el programa con los otros miembros de la organización
• Otros gerentes y directores son responsables de la comprensión y cumplimiento de los empleados de la política de IAP así como las prácticas y
procedimientos organizacionales. Estos gerentes y directores pueden ser responsables de:
− capacitación de los empleados sobre todos los niveles de clasificación
− garantizar que los procesos de trabajo y controles apoyen la política
− garantizar que las evaluaciones de riesgos son realizadas en la medida que se necesitan y que los incidentes son gestionados dentro del marco
de la política de IAP

F. PRIVACIDAD DE LOS EMPLEADOS

La información de los empleados es un recurso que debe ser protegido contra la alteración, pérdida o divulgación no autorizada. Protegemos la
información que es esencial para el funcionamiento del negocio y protegemos esta información de su divulgación a cualquier persona que no tenga una
necesidad comercial legítimamente o el derecho legal de tenerla.
Se debe garantizar la privacidad y confidencialidad de los registros del personal. Cualquier información personal recopilada por la organización, será
necesaria y relevante y se obtendrá y mantendrá utilizando métodos que respeten el derecho a la privacidad del individuo así como las leyes y
reglamentos aplicables. Además, todo empleado tiene el derecho a saber qué tipo de información personal mantiene la organización acerca de ella o él
y cómo es o puede ser usada.
Se pueden realizar auditorías periódicas para garantizar el cumplimiento de la política organizacional, así como las leyes y reglamentos relacionadas
con la gestión de la información privada y personal.

G. ASEGURAR NUESTRA PROPIEDAD

Estamos comprometidos a proporcionar seguridad a nuestros activos tangibles e intangibles para evitar pérdidas. Cada uno de nosotros debe hacer lo
siguiente:
• Ayudar a asegurar que el acceso a las instalaciones de la organización se limite a las personas autorizadas o las visitas aprobadas.
• Usar y mostrar la identificación adecuada según lo definido por la política organizacional.
• Enfrentar los problemas de seguridad de manera proactiva, buscando desde el inicio la participación del departamento de seguridad en las
iniciativas de nuevas marcas, construcción de proyectos y temas relacionados.
• Tener en cuenta y tomar las medidas apropiadas acerca de los potenciales riesgos de seguridad en el trabajo.
Los gerentes de las sucursales de la compañía garantizarán que las instalaciones cumplan los estándares de control de acceso recomendados y cumplan
con las otras directrices de seguridad y responderán a los incidentes o preocupaciones de seguridad, asegurándose de informar adecuadamente al
departamento de seguridad.
El departamento de seguridad, en conjunto con otros departamentos, tiene la responsabilidad de realizar cualquier actividad investigativa en casos,
conocidos o presuntos, de pérdida, compromiso, robo, manipulación, denegación de acceso, fraude o conflicto de intereses respecto de la
información. Seguridad también tiene la responsabilidad de hacer partícipe a las autoridades locales según corresponda. Cuando corresponda, se debe
contactar especialistas externos a través de proveedores de confianza.
Las medidas específicas para el manejo, marcado, almacenamiento, transmisión, transporte, copia, desclasificación y destrucción de información
sensible se encuentran en las prácticas y procedimientos de la organización, disponibles en nuestra intranet.

H. CONCIENCIA Y ENTRENAMIENTO DE SEGURIDAD

Todo empleado y miembro de la empresa es responsable por la protección de los activos de información. Cada persona debe también estar consciente
de las razones o necesidades de controles, así como de las prácticas y procedimientos que conforman nuestro programa de IAP. Seguridad, en conjunto
con el gerente del programa de IAP, proporcionarán entrenamiento periódico de conciencia de seguridad que incluirá una información actualizada sobre
los riesgos de los activos de información y de las medidas defensivas prudentes. La concienciación también será facilitada regularmente a través de
artículos en el boletín de noticias, recordatorios y recursos basados en la Web.
Nuestra intención es mantener la seguridad en el primer plano de la mente de las personas y darle a cada una las herramientas de IAP necesarias, así
como un fácil y rápido acceso a las prácticas y procedimientos de la compañía y a respuestas útiles para cualquier pregunta.

I. COMUNICACIÓN PÚBLICA DE LA INFORMACIÓN

 Dirigir todas las preguntas de los medios de comunicación al director de relaciones externas para garantizar que la información pública se presenta
consistentemente y que las solicitudes de información son monitoreadas.

J. PUBLICACIONES Y PRESENTACIONES
Estimulamos el adecuado intercambio de información a través de presentaciones y publicaciones. Ese intercambio fomenta la innovación, las redes de
trabajo, el desarrollo del mercado, las relaciones públicas y la sensibilización de la comunidad.
Cualquier intercambio de información debe seguir las políticas de IAP respecto a las precauciones de seguridad para cada respectivo nivel de
clasificación. Contacte a su gerente si usted tiene preguntas relacionadas con la información que va a ser compartida.
El departamento de relaciones externas debe ser informado de todas las presentaciones planificadas y publicaciones para el público externo. Las
presentaciones y publicaciones que potencialmente podrían incluir información restringida o altamente restringida deben ser consistentes con la política
de IAP de la organización.

K. PLANIFICACIÓN DE LA SEGURIDAD DE VIAJES

Los activos de información son particularmente vulnerables cuando nuestros empleados y asociados viajan. Por lo tanto, debe desarrollarse un
entrenamiento de seguridad de viajes enfocada en la IAP. El entrenamiento debe abordar el entorno de seguridad del destino del viaje y revisar las
prácticas y procedimientos relevantes de seguridad. Estos pueden incluir solicitud de visitas o notificaciones, procedimientos para presentación de
informes, material de empaquetado o reenvío y la preparación de los medios de almacenamiento. Cualquier problema de seguridad, actividad
sospechosa u otro problema encontrado durante el viaje, debe ser informado al departamento de seguridad, al gerente del programa de IAP o al propio
gerente del viajero.
Las computadoras y dispositivos portátiles son particularmente vulnerables al robo durante los viajes. El uso de dispositivos inalámbricos y redes fuera
de las instalaciones de la organización está sujeto a restricciones descritas en las prácticas y procedimientos de la organización. Además, los empleados
no deben conversar temas de información sensible en lugares públicos donde las conversaciones puedan ser escuchadas o grabadas o con personas que
no tienen necesidad de saber.

L. NUEVOS PROYECTOS E INICIATIVAS

Todas las nuevas investigaciones, desarrollos, línea de productos o iniciativas de marca, deben ser protegidas usando los principios y estrategias de
seguridad detalladas en la política de IAP y en las prácticas y procedimientos de apoyo. Se debe considerar un plan de IAP para cada proyecto que
implique información restringida o altamente restringida.

M. RECURSOS DE TI
Las computadoras, periféricos y dispositivos portátiles e inalámbricos pertenecientes u otorgados por la organización siguen siendo propiedad de la
organización y están destinados sólo para uso del negocio. Todos esos sistemas y la información contenida en ellos están sujetos a monitoreo o revisión
por parte de los ejecutivos o representantes de la organización y no existe expectativa de privacidad en la posesión o uso de esos sistemas.
Los individuos (empleados y miembros de toda la empresa) son responsables del adecuado manejo y protección de todo hardware, firmware, software,
datos e información asociada a esos sistemas. Esto incluye asegurar que el software tiene su respectiva licencia y que el equipamiento está
razonablemente protegido de robo, falsificación y mal uso.
Además, las personas son responsables de la protección de toda la información que puede residir en esos sistemas, independientemente de su
sensibilidad o contenido. La información debe ser protegida correctamente mientras resida en el sistema y mientras está siendo procesada, copiada,
transmitida, recibida o intercambiada.
Aunque en algunos casos se puede tolerar una cantidad limitada y razonable de uso no relacionado con el negocio (por ejemplo, la recepción de una
llamada telefónica personal en un teléfono móvil de la compañía), ese uso debe ser mínimo y se aplicarán las medidas de seguridad adecuadas. Bajo
ninguna circunstancia se accederá, descargará, almacenará, transmitirá o procesará materias inapropiadas (por ejemplo, pornografía, actividades
ilegales, material difamatorio, amenazas, etc.) en sistemas pertenecientes o emitidos por la empresa.

N. PRESENCIA EN LA WEB
Las personas deben asegurarse de que cualquier información que ellos publiquen en línea siga la política de procedimientos del IAP para el uso de
información altamente restringida, restringida e interna.

O. RELACIONES DE CONFIANZA (TODA LA EMPRESA)

Las obligaciones específicas, prácticas y procedimientos para la IAP serán documentados en acuerdos escritos antes de la ejecución de cualquier
contrato, compromiso de consultoría u otra relación comercial que pueda implicar el intercambio de o acceso a información sensible. Los acuerdos
pueden incluir un NDA, cláusulas contractuales, memorandos de comprensión u otros formatos. El acuerdo debe especificar el tipo de información a la
que aplica, la identificación de las partes involucradas, el propósito del acuerdo y el período de tiempo por el cual seguirá siendo válido. En todos esos
acuerdos se hará una referencia específica a la política de IAP y otras políticas, prácticas y procedimientos organizacionales relevantes.
Los individuos y entidades en una relación de confianza con nuestra organización deben ser advertidos de que sus obligaciones para proteger cierta
información puede extenderse más allá del período de su relación con nosotros o del fin de un proyecto en particular. Además de nuestro acuerdo
escrito, también aplicarán las leyes y reglamentos locales, estatales, federales o internacionales a la protección de la información y materias de no
divulgación.

P. INFORMAR CUALQUIER ACTIVIDAD SOSPECHOSA O PRESUNTAS PÉRDIDAS O COMPROMISOS

Las personas deben notificar al gerente del programa de IAP o al departamento de seguridad acerca de (1) cualquier acercamiento inapropiado (en
persona o electrónico) de individuos solicitando información sensible, (2) cualquier otra actividad sospechosa y (3) cualquier presunta pérdida o
compromiso de información sensible. Estos asuntos pueden ser informados de la siguiente manera [información de lista de contactos]
Esta organización se rige por los derechos de autor, marca registrada, secreto comercial y derecho de patente.
Los empleados que violen esta política –ya sea en forma intencional o por negligencia- pueden estar sujetos a acciones disciplinarias, incluyendo el
posible despido. Además, los empleados, individuos y entidades cubiertos bajo esta política pueden estar sujetos a acciones administrativas, procesos
criminales o acciones civiles por violaciones.
ANEXO B

GUIA DE REFERENCIA RÁPIDA PARA LA PROTECCIÓN DE ACTIVOS DE INFORMACIÓN

Esta guía esta diseñada para ayudar a todos los empleados o asociados de confianza de una organización a determinar la apropiada clasificación del
material y los procedimientos relevantes para el manejo de la información sensible. Se ha adaptado de la ASIS International Information Asset Protection
Guideline, mayo 2007.
PASO 1 Este documento es una guía de referencia rápida para los propietarios y usuarios de activos de información. Para información más detallada
sobre materias específicas, por favor ver la política, prácticas y manual de procedimientos disponible en___________.

A continuación se encuentran las cuatro categorías usadas para clasificar la información y una breve explicación de los procedimientos a seguir para cada
clasificación. Toda la información debe ser clasificada bajo una de las siguientes cuatro categorías: Sin restricción, Uso Interno, Restringida o Altamente
Restringida. Sólo se requiere que la información bajo las categorías de Uso Interno, Restringida y Altamente Restringida sea marcada. Para compartir o
difundir esta información siga los procedimientos indicados a continuación para cada categoría. Si la información aún no ha sido clasificada, proceda al
paso 2.

PASO 2 ¿Usted creó o de alguna forma es dueño de la información?

NO, pero me gustaría compartirla. Comparta la información siguiendo la guía proporcionada en la tabla del PASO 1. Si usted tiene una fuerte
sensación de que información no marcada debería estar marcada, porque tiene un valor para los competidores o puede tener un valor para el propietario,
contacte al dueño de la información para compartir su preocupación. Es responsabilidad del dueño o creador de la información marcarla inicialmente y
actualizar las clasificaciones de la información.
SÍ, necesito determinar la clasificación y tener la autoridad para clasificar mi información. Yo determinaré la clasificación de la información
utilizando las siguientes preguntas. La columna con la mayoría de las selecciones sugiere la clasificación de protección. Advertencias: (1) use un buen
juicio de negocios cuando comparta cualquier información comercial; y (2) comparta los documentos sólo en forma de lectura.
Ejemplos:

Si la información no cumple los criterios mínimos para “Uso Interno” indicados anteriormente, podría ser considerada información pública, a menos que se
encuadre bajo una categoría especial como datos restringidos por finanzas, salud o regulaciones de privacidad. Compruebe con su gerente del programa de
IAP.

REQUISITOS DE PROTECCIÓN PARA COMPARTIR INFORMACIÓN DE DISTINTAS CLASIFICACIONES

A continuación se muestran algunos ejemplos y sugerencias de procedimientos a seguir para marcar y difundir documentos. Nota: las leyes o reglamentos
internacionales, federales, estatales o locales pueden sustituir los requisitos de protección. Para todos los sistemas electrónicos, los empleados deben usar
software, medios y herramientas de propiedad de la organización o aprobados por ella.
ANEXO C

Este anexo contiene dos ejemplos de acuerdos de no divulgación. El primero protege los activos de información de sólo una parte, mientras que el segundo
proporciona protección mutua. Para obtener mayor información, ver Daniel B. Hassett, “¿Is Your Model Non-Disclosure Agreement Adequate? Wireless
Watch, Abril 2003, disponible en www.wileyrein.com/publication_newsletters.cfm?id=12&publication_ ID=10040.

MUESTRA 1: ACUERDO DE NO DIVULGACIÓN DE INFORMACIÓN QUE RIGE A UNA PARTE

(Fuente: Word Intellectual Property Association, septiembre 2003, disponible en http://www.wipo.int/expZort/sites/www/sme/en/documents

/doc/model_nda.doc).

ESTE ACUERDO está fechado el_________, 20[ ] y elaborado

ENTRE

[1] [Nombre y dirección] ……..……………………..(“Propietario”) y

[2] [Nombre y dirección ……..………………….…..(“Destinatario”)

CONSIDERANDO
(A) Que el propietario posee cierta información patentada que está dispuesto a revelar al destinatario en los términos que se establecen a continuación
(B) El destinatario está dispuesto a aceptar la información patentada en esos términos y usarla sólo para el propósito de……………………………(“el
Propósito Permitido”).

AHORA SE ACUERDA SEGÚN COMO SIGUE

1. “Información Confidencial” quiere decir cualquiera y toda la información, ya sea comercial o técnica, relacionada con el negocio del Propietario,
incluyendo sin limitación, conocimientos, datos, procesos, diseños, fotografías, dibujos, especificaciones, programas de software y muestras, que
están marcadas con un indicador como “Confidencial” o “Patentada”, pero excluyendo la información que:
1.1 es o entra en el dominio público, que no sea por divulgación o incumplimiento por parte del destinatario;
1.2 era o es legalmente obtenida o disponible desde un tercer que estaba legalmente en posesión de la misma y libre de divulgarla; o
1.3 ya era conocida por el destinatario como lo demuestra la constancia escrita antes de dicha divulgación.
2. Teniendo en cuenta que el Propietario revela información patentada, el Destinatario se compromete por un período de [cinco] años a partir de la
fecha del presente Acuerdo
2.1 a mantener el carácter confidencial de toda la información patentada que pueda adquirir de cualquier forma;
2.2 a usar la información patentada exclusivamente para el Propósito Permitido y no usar la información patentada para propósitos o beneficio
propio del Destinatario
2.3 no divulgar esa Información Patentada a nadie, excepto a los empleados autorizados u otros agentes del Destinatario que necesiten tener acceso
a la Información Patentada con el fin de realizar sus obligaciones en relación con el Propósito Permitido;
2.4 a informar a todas las personas a las que se revela la Información Patentada que es confidencial y a obtener su compromiso para mantenerla
confidencial en los mismos términos de este Acuerdo
2.5 a mantener la seguridad de todos los dibujos, documentos, muestras o materiales proporcionados en préstamo por el Propietario, a no
reproducir, desprenderse, modificar o interferir con esos elementos, a devolverlos inmediatamente en el momento que lo solicite el Propietario
y espontáneamente en cualquier caso cuando ya no se necesiten para los propósitos del presente Acuerdo;
2.6 a notificar al Propietario inmediatamente después de haber tenido conocimiento de cualquier violación a la confianza por alguien a quien el
Destinatario haya revelado la Información, y a dar todo el apoyo necesario en relación a cualquier medida que el Propietario pueda desear
tomar para prevenir, detener u obtener una indemnización por ese incumplimiento o amenaza de incumplimiento
3. Nada de lo dispuesto en este Acuerdo se considerará que concede al Destinatario una licencia expresa o por implicación bajo ninguna patente,
derecho de autor u otro derecho de propiedad intelectual. Por el presente el destinatario reconoce y confirma que todos derechos de propiedad
intelectual actuales y futuros que se relacionen con la Información Patentada son de exclusiva propiedad del Propietario. El Destinatario no
solicitará u obtendrá ninguna protección de propiedad intelectual respecto a la Información Patentada. Todos los derechos de propiedad intelectual
relativos a cualquier dibujo, documento y trabajo realizado por el Destinatario (ya sea pasado, presente o futuro) utilizando la Información
Patentada pertenecerá y serán ejercidas por el Propietario. El destinatario desempeñará todas las actividades y ejecutará todos los documentos
necesarios para permitir al Propietario obtener, defender o hacer valer sus derechos en esos dibujos, documentos o trabajo.
4. Este Acuerdo se regirá y se interpretará de acuerdo con la ley Inglesa y está sujeto a la jurisdicción no excluyente de los Tribunales Ingleses.
En nombre y por cuenta del Destinatario:
Firmado:_________________________
Nombre:_________________________
Cargo:___________________________
En nombre y por cuenta del Propietario:
 Firmado:_________________________
Nombre:_________________________
Cargo:___________________________

MUESTRA 2: ACUERDO DE NO DIVULGACIÓN QUE RIGE LA INFORMACIÓN DE AMBAS PARTES

Fuente: Gene Quinn, “Mutual Non-Disclosure Agreement,” enero 2008, disponible en http://www.ipwatchdog.com/tradesecret/mutual-confidentiality-
agreement/

Queda entendido y convenido que las partes en el presente Acuerdo, cada una proporcionaría a la otra cierta información que pueda ser considerada como
confidencial. Para asegurar la protección de esa información y en consideración al acuerdo para intercambiar la información indicada, las partes acuerdan
lo siguiente:
1. La información confidencial a ser divulgada bajo este Acuerdo (“Información Confidencial”) se puede describir como e incluye:
Información técnica y comercial relacionada a ideas propias, ideas patentables y/o secretos comerciales, productos y servicios existentes y/o
previstos, investigación y desarrollo, producción, costos, información de rentabilidad y margen, finanzas y proyecciones financieras,
consumidores, clientes, marketing y planes de negocios actuales o futuros y modelo, independientemente de si esa información es señalada como
“Información Confidencial” en el momento de su divulgación.
Además de lo anterior, la Información Confidencial también incluirá, y que las partes tendrán el deber de proteger, cualquier otra información
confidencial y/o sensible que es (a) revelada como tal por escrito y marcada como confidencial (o con otra denominación similar) en el momento
de la divulgación; y/o (b) divulgada de cualquier otra forma y denominada como confidencial en el momento de la divulgación así como también
resumida y denominada como confidencial en un memorando escrito entregado dentro de treinta (30) días a partir de la divulgación.
2. Las partes usarán la Información Confidencial sólo con el propósito de evaluar potenciales negocios, empleo y/o relaciones de inversión.
3. Las partes limitarán la divulgación de Información Confidencial dentro de su propia organización a sus directores, funcionarios, socios, miembros
y/o otros empleados que tengan una necesidad de saber y no divulgarán la Información Confidencial a terceros (ya sea un individuo, corporación u
otra entidad) sin el previo consentimiento por escrito. Las partes cumplirán las obligaciones contraídas en virtud del presente párrafo si toman las
medidas para asegurar el cumplimiento de estas obligaciones de confidencialidad por parte de sus empleados, agentes, consultores y otras personas
a las que se les permita el acceso a o el uso de la Información Confidencial.
4. Este Acuerdo no impone ninguna obligación a las partes con respecto a cualquier Información Confidencial (a) que tenía antes de la recepción; (b)
que es o se convierta en asunto de conocimiento público no por culpa de la parte receptora; (c) se reciba legítimamente de un tercero, que no tiene
un deber de confidencialidad; (d) se divulgue sin una obligación de confidencialidad a un tercero mediante, o con la autorización de la parte que la
revela; o (e) se desarrolla de manera independiente.
5. Las partes garantizan que tienen el derecho para hacer las divulgaciones en virtud del presente Acuerdo.
6. Este Acuerdo no se interpretará como creación, transmisión, transferencia, concesión u otorgamiento a cualquiera de las partes de ningún derecho,
licencia o autoridad en o para la información intercambiada, excepto el derecho limitado a utilizar la Información Confidencial especificada en el
párrafo 2. Aun más, y específicamente, ninguna licencia o transmisión de ningún derecho de propiedad intelectual es concedido o está implícito en
este Acuerdo.
7. Ninguna de las partes tiene la obligación bajo los términos de este Acuerdo a la compra de ningún servicio, mercancía o intangible de la otra parte.
Además, ambas partes reconocen y aceptan que el intercambio de información en virtud de este Acuerdo no confirma u obliga a ninguna de las
partes a una relación contractual presente o futura (salvo en los casos en que esté expresamente indicado en este documento), ni tampoco el
intercambio de información se entenderá como un incentivo para actuar o no actuar de una determinada manera.
8. Ninguna de las partes será responsable ante la otra en forma alguna por las decisiones, obligaciones, costos o gastos incurridos, cambios en las
prácticas empresariales, planes, organización, productos, servicios o de otra manera, basado en la decisión de cualquiera de las partes de utilizar o
confiar cualquier información intercambiada en virtud de este Acuerdo.
9. Si existiera un incumplimiento o amenaza de incumplimiento de cualquier disposición de este Acuerdo, se acepta y entiende que la parte que no
incumplió no tendrá una compensación adecuada en dinero u otros daños y, en consecuencia, tendrá derecho a un desagravio por mandato judicial;
a condición, sin embargo, de que ninguna especificación en el presente Acuerdo de algún recurso en particular sea interpretado como una renuncia
o prohibición de cualquier otro recurso en el caso de un incumplimiento o amenaza de incumplimiento del presente Acuerdo.
10. Este acuerdo establece el acuerdo completo entre las partes sobre la divulgación de Información Confidencial y reemplaza cualquier acuerdo
previo, entendimiento o representación con respecto al mismo. Cualquier adición o modificación a este Acuerdo debe ser hecha por escrito y
firmada por representantes autorizados de ambas parte. Este Acuerdo se realiza bajo y será interpretado en conformidad a las leyes del estado
de_____________, U.S.A. En caso de que este acuerdo, sea incumplido, cualquiera y todas las disputas deben ser resueltas en una corte de
jurisdicción competente en el estado de_____________, U.S.A.
11. Si cualquiera de las disposiciones de este Acuerdo se declara inejecutable, el resto se ejecutará en la medida de lo posible y la disposición
inejecutable se considerará modificada en el grado necesario que permita la ejecución del Acuerdo en su conjunto.

POR TANTO, las partes reconocen que han leído y comprendido este Acuerdo y voluntariamente aceptan los deberes y obligaciones establecidas aquí.

Destinatario de la Información Confidencial:

Nombre (a máquina o letra imprenta):_____________________________

Compañía:__________________________________________________
Cargo:_____________________________________________________

Dirección:__________________________________________________

Ciudad, Estado, Código postal:__________________________________

Firma:_____________________________________________________

Fecha:_____________________________________________________

Destinatario de la Información Confidencial:

Nombre (a máquina o letra imprenta):______________________________

Compañía:___________________________________________________

Cargo:______________________________________________________

Dirección:___________________________________________________

Ciudad, Estado, Código postal:____________________________________

Firma:______________________________________________________

Fecha:______________________________________________________
ANEXO D

INFORMES TÉCNICOS Y CUADERNOS DE LABORATORIO

MANEJO DE INFORMES TÉCNICOS

Las empresas con instalaciones de investigación y desarrollo deben poner especial atención a los informes técnicos y cuadernos de laboratorio como parte
de su estrategia de protección de activos de información (IAP). En primer lugar, es una buena práctica de negocios y, en segundo lugar, los procedimientos
adecuados para el manejo de esos documentos asegurarán una sólida base legal en el evento de una demanda por secreto comercial o infracción de patente.

Los responsables de formular políticas a veces no consideran los pasos interdependientes que conducen a la producción de un informe técnico. Esto puede
provocar una situación en la que cual hay un complejo sistema para la protección del producto terminado, pero relativamente poca preocupación para los
numerosos pasos intermedios. Sin embargo, a menudo es en las etapas intermedias donde se produce la mayor posibilidad de compromiso con la menor
posibilidad de detección. Esto, en parte, es la razón por la que se requiere un intenso y exhaustivo sistema de auditoría y elaboración de informes.

Como se indica en el gráfico, el período de mayor vulnerabilidad para la posible pérdida de información crítica es en las fases intermedias de un proyecto.
Generalmente, la información disponible en los inicios de un proyecto, sobre todo un esfuerzo de investigación, está relacionada con las ciencias básicas y
a menudo no se le considera altamente sensible. Las medidas de protección no son muy robustas en este punto, así que generalmente coinciden bastante
bien con la sensibilidad de la información.

Durante la investigación de mercado y cerca del lanzamiento del producto, puede haber una gran cantidad de información sensible, pero generalmente hay
una seguridad robusta en el lugar –nuevamente una buena coincidencia entre los niveles de sensibilidad y protección.

En las fases medias, sin embargo, la sensibilidad y cantidad de información relacionada con la iniciativa generalmente aumenta rápidamente, algunas veces
de manera inesperada. Las medidas de protección de la información pueden no ser una alta prioridad o pueden no estar a la altura de la cantidad o
sensibilidad de la información. Del mismo modo, el personal clave puede no darse cuenta de la importancia o sensibilidad de la información en este punto.
Por último, este período suele ser más largo que otras fases del proyecto, y los participantes pueden llegar a ser complacientes respecto a la protección de la
información. Generalmente, por estas razones éste es el periodo cuando la información está más vulnerable, tanto a las amenazas intencionales como a las
accidentales (Peterson, 2005).

Otro asunto que a menudo se pasa por alto es cómo se almacena y manipula la información una vez que se ha comercializado el producto o publicado el
informe técnico. A menudo, la atención se ha desplazado a un nuevo producto en desarrollo, y el material es trasladado a un lugar de almacenamiento
diferente, que puede estar bajo el control de empleados no familiarizados con la importancia de la información. Este es un ejemplo perfecto de por qué un
programa de IAP eficaz debe incorporar la protección de la cuna a la tumba, incluyendo el control de la distribución secundaria de informes técnicos y
acceso a los datos sin procesar. Esto es además de la protección del producto final o proceso, que generalmente es más sencillo.

Las consecuencias de una pérdida pueden ser dependientes del tiempo. En otras palabras, el compromiso de un secreto comercial en particular o una
pequeña cantidad de información patentada puede tener un enorme impacto en un proyecto en la fase de investigación de las aplicaciones, pero sólo un
impacto menor en la fase de comercialización. La oportunidad, dependencia del tiempo y fases del proyecto siempre deben considerarse al medir las
posibles consecuencias de una pérdida de información.

Los plazos involucrados en un proyecto de investigación o desarrollo pueden ser largos, lo que aumenta la complejidad del enfoque del IAP. La
investigación inicial, los esfuerzos de desarrollo, los datos en bruto, los resultados de los ensayos, los prototipos, los resultados de pruebas intermedias y los
datos técnicos deben ser considerados activos para ser protegidos, así como los productos terminados, informes y procesos.

PROCEDIMIENTOS PARA LOS CUADERNOS DE LABORATORIO

Las siguientes son directrices generales para manejar y proteger los cuadernos de laboratorio.
1. GENERAL
Mantener los cuadernos de laboratorio es parte de la responsabilidad profesional de científicos e ingenieros. Los cuadernos de laboratorio bien
documentados son un importante activo para la compañía, ya que, por ejemplo, ayudan a evitar la reiteración de trabajo experimental, permiten la
reconstitución de pasos para aislar los aspectos críticos de un nuevo descubrimiento o invento, establecer legalmente importante documentación de un
invento o descubrimiento y permitir la correcta decisión del inventor.
El requerimiento, desde el punto de vista legal, de mantener los documentos adecuados para las patentes es el más estricto. Por lo tanto, los cuadernos
mantenidos apropiadamente con ese propósito normalmente serán suficiente para todos los demás efectos. Los requerimientos para registros de patente
han sido establecidos a través de precedentes legales en los cuales los tribunales consideran el testimonio de un inventor como inadecuado para
establecer la prueba de su propia invención. En todos los casos, los tribunales exigen que el testimonio del inventor sea corroborado por partes
desinteresadas que tengan conocimiento de primera mano de la realización del invento.

2. PRINCIPIOS BÁSICOS LEGALES

Los procedimientos para la mantención de los cuadernos de laboratorio se basan en varios principios jurídicos básicos, que se resumen a continuación:

2.1. Un invento completo se compone de dos eventos:

• Concepción de la idea
• Reducción a la práctica3 (demostrando la utilidad de los datos para el propósito previsto

2.2. El testimonio del inventor y los registros por sí mismos no son suficientes para establecer la concepción y reducción a la práctica. El testimonio
debe ser corroborado en todos los sentidos por otros.

2.3. La concepción, estando totalmente dentro de la mente del inventor, puede ser probada sólo por su revelación a otros.

2.4. La concepción se prueba mejor a través de un documento escrito que revele el invento en forma completa, fechado, firmado por el inventor y en
presencia de un testigo que entienda el invento

2.5. La reducción a la práctica (ejecución real del invento) debe ser probada (corroborada) por alguien más que pueda jurar que, ella o él, o bien
• vio al inventor realizar todos los aspectos importantes del invento o
• personalmente realizó el invento en nombre de o en la dirección del inventor.

2.6. Ni el testigo de la concepción ni el que corrobora la reducción a la práctica puede ser un coinventor. Donde participan dos o más inventores en
conjunto, ninguno de ellos puede corroborar ningún otro invento conjunto. El testimonio de cada uno de ellos debe ser corroborado por alguien
mas que no sea un de los inventores conjuntos.

2.7. Tanto el testigo de la concepción y el corroborador de la reducción a la práctica deben entender el invento.

2.8. El testimonio del testigo y del corroborador debe ser apoyado por evidencias tangibles preparadas en el momento. Esa evidencia puede ser en
forma de escritos, bocetos, croquis, planos, muestras, modelos, etc.

2.9. Documentos sin fecha o fechas anteriores no son evidencias admisibles.

3. REQUISITOS LEGALES MÍNIMOS DE MANTENCIÓN DE CUADERNOS PARA PROBAR LA CONCEPCIÓN Y REDUCCIÓN A LA

PRÁCTICA
Teniendo en cuenta las reglas anteriores, la siguiente práctica debe ser seguida por cada empleado involucrado en el trabajo de laboratorio que implique
investigación y desarrollo:

3.1. En la concepción de una idea origina, el inventor debe documentar inmediatamente esta idea en un cuaderno con los bocetos, dibujos y
discusiones apropiadas, con el fin de un experto en el campo involucrado pueda comprenderlos. El registro en el cuaderno debe entonces estar
fechado y firmado por el inventor. El registro en el cuaderno luego debe ser leído y comprendido por dos testigos que firmen la parte inferior de
la siguiente forma:
“Visto, leído y comprendido por___________(nombre) en___________(fecha)”.

3.2. La reducción a la práctica por el inventor pude ser probada solamente por el testimonio de alguien más que personalmente observó la reducción a
la práctica y sabía lo que se hacía. La reducción a la práctica puede ser desarrollada por el inventor o por otra persona bajo la dirección del
inventor. En el caso de una invención de proceso, el corroborador de la reducción a la práctica necesita observar sólo los pasos esenciales del
proceso. La reducción a la práctica debe documentarse en un cuaderno de laboratorio. Pero, los planos, dibujos, órdenes de compra, etc.,
relacionados con la reducción a la práctica pueden ser incorporados por referencia en el cuaderno haciendo una clara y positiva identificación de
estos documentos. La entrada relativa a la reducción a la práctica debe ser hecha por el inventor o la parte que hace la reducción en nombre del
inventor en su cuaderno y luego firmado y fechado por el inventor. La entrada debe entonces ser leída y aceptada por dos personas que
presenciaron, de primera mano, los aspectos esenciales de la reducción a la práctica.
Estos testigos corroboradores no pueden ser coinventores, pero deben ser personas competentes del campo científico implicado que estén
trabajando en otros proyectos. Después de leer la entrada y aceptarla, los testigos corroboradores deben firmar directamente bajo la entrada de la
siguiente manera:
“Visto, leído y entendido por___________________(nombre) en___________________(fecha)”.
 Si una reducción a la práctica se lleva a cabo durante un largo período de tiempo, cada paso significativo debe ser ingresado en el cuaderno en la
fecha que se hizo y atestiguado en la manera descrita anteriormente.

3.3. Se deben respetar los siguientes detalles administrativos en el uso y manejo de los cuadernos de laboratorio:

3.3.1.El cuaderno debe ser anillado y no hojas sueltas.

3.3.2.Cada entrada debe, en general, establecer por qué fue hecho el trabajo, qué se hizo, quién lo hizo, cuándo, con qué resultados y las
conclusiones extraídas de los resultados.

3.3.3.Todas la entradas en el cuaderno deben ejecutarse consecutivamente sin espacios en blanco. Todas las partes no utilizadas deben ser
bloqueadas, fechadas y firmadas.

3.3.4.No se debe usar terminología codificada a menos que el código esté plenamente definido en el cuaderno. Se permiten abreviaturas
comúnmente aceptadas.

3.3.5.El registro no debe ser falsificado.

3.3.6.El registro no debe ser alterado. Cualquier error que se produzca no debe ser borrado o alterado. En su lugar, se debe dibujar un sola línea
sobre el error y las correcciones se efectúan inmediatamente después. Las entradas anteriores pueden ser corregidas o revisadas por una
nueva entrada, la cual hace referencia específica a la anterior.

3.3.7.Todas las entradas deben ser hecha con tinta o lápiz indeleble.

3.3.8.Las entradas no deben ser retroactivas.

3.3.9.Todos los registros deben mantenerse actuales, ya que cualquier demora en el registro de las materias de concepción o reducción a la
práctica disminuye seriamente el valor de la entrada. La entrada hecha debe ser suficientemente completa de modo que un experto en la
materia pueda comprender el invento. Cualquier crítica o punto óptimo debe ser establecido específicamente.

3.3.10.Asimismo, debe ingresarse cualquier esfuerzo fallido o que no funcione como se esperaba. Pero, se debe tener precaución para evitar
demasiadas conclusiones negativas.

4. CONTROL DEL CUADERNO

4.1. Cada nuevo empleado involucrado en el trabajo de laboratorio de investigación y desarrollo debe adquirir un cuaderno de la biblioteca de
investigación.

4.2. Todos los cuadernos serán numerados consecutivamente por el bibliotecario de investigación y serán registrado a nombre de la bibliotecaria y
emitidos directamente a la persona que utilizará el cuaderno.

4.3. Un cuaderno totalmente lleno debe ser devuelto a la biblioteca de investigación, pero el cuaderno debe ser guardado en la oficina del autor para
fines de referencia.

4.4. Al término, un empleado devolverá todos los cuaderno a la biblioteca de investigación. Cualquier otro empleado que vaya a continuar el trabajo
puede tener el registro de los cuadernos transferidos a fin de que puedan ser guardados en su oficina para fines de referencia.

5. DIVULGACIÓN DE LOS INVENTOS

5.1. Después de realizar las entradas según lo establecido anteriormente, la revelación de un invento debe completarse como se establece en Standard
Procedure.

5.2. Los empleados no divulgarán los datos de los cuadernos y la información relativa a los invento a nadie fuera de la compañía excepto en
cumplimiento de los estándares de procedimientos de divulgación

6. DISPOSICIONES PARA LOS CUADERNOS DE LABORATORIO ELECTRÓNICOS

6.1. En el entorno actual, las organizaciones utilizan cada vez más cuadernos de laboratorio electrónicos en lugar de cuadernos de hojas impresas.

6.2. Cuando los cuadernos de laboratorio electrónicos están en uso, serán protegidos de manera acorde con los procedimientos descritos anteriormente
y consistentes con las políticas sobre IAP y de seguridad de TI de la organización.

6.3. Deben existir controles para prohibir o manejar cuidadosamente la eliminación de los cuadernos de laboratorio electrónicos de las instalaciones
donde normalmente se utilizan y almacenan. Con el predominio del robo de dispositivos electrónicos y la habilidad para transferir, copiar o
modificar fácilmente enormes cantidades de datos, la integridad de los cuadernos de laboratorio es altamente vulnerable a ser comprometida.
ANEXO E

DESTRUCCIÓN Y ELIMINACIÓN DE INFORMACIÓN

Lo siguiente se base en material de la National Association for Information Destruction (www.naidonline.org) y es usado con autorización.

Toda empresa tiene información que requiere destrucción.

Las listas de clientes, las listas de precios, estadísticas de ventas, borradores de ofertas y correspondencia, e incluso memorandos que contienen
información acerca de la actividad de la empresa que sería de interés para cualquier competidor. A todas las empresas también se le ha encomendado
información que debe mantenerse en privado.
Sin la adecuada seguridad, la información termina en el basurero, donde queda fácilmente y legalmente disponible para cualquier persona. Cualquier
establecimiento que simplemente descarta información privada y patentada se expone al riesgo de demandas criminales y civiles y a pérdidas de la
empresa.

Los registros almacenados deben ser destruidos con una programación periódica.
Ningún registro debe mantenerse más tiempo de lo necesario para fines comerciales o de cumplimiento. Destruyendo rutinariamente los registros
almacenados, una compañía puede evitar aparecer como sospechoso en el evento de un litigio o auditoría. La destrucción regular también limita la
cantidad de material que la empresa debe proporcionar en procedimientos legales.

Los registros de la empresa desechados incidentalmente a diario deben ser protegidos.

La basura diaria de toda empresa contiene información que podría ser usada en su contra. Esos registros incluyen mensajes telefónicos, memos y
borradores de ofertas y correspondencia.

El reciclaje no es una alternativa apropiada para la destrucción de información.

El reciclaje no es equivalente a destrucción segura. Los papeles son regalados o vendidos y no hay ninguna forma práctica de establecer dónde y
cuando fue destruido un documento. Es mejor organizar el reciclaje después que los materiales se han destruido adecuadamente.

La Due Diligence es esencial.

Cualquier empresa que contrate un servicio de destrucción de la información debe exigir que le entreguen un testimonio firmado documentando la
fecha en que los materiales fueron destruidos. El certificado de destrucción, es un importante registro legal. Esto, sin embargo, no transfiere la
responsabilidad de la confidencialidad de los materiales al contratista.
Si surge información privada después que el contratista acepta, un tribunal puede preguntar por el proceso mediante el cual el contratista fue
seleccionado. Cualquier empresa que no muestre debida diligencia en su selección de un contratista podría ser encontrado negligente. La Due Diligence
podría consistir de una revisión de las políticas y procedimientos del contratista y seguida de una auditoría del lugar.

La mayoría de las empresas de almacenamiento de registros no brindan ellas mismas servicios de trituración seguros.
Si la empresa de almacenamiento subcontrata sus servicios de destrucción, el cliente debe realizar una investigación de due diligence de la empresa de
destrucción de documentos que usa.

REFERENCIAS
ASIS International. (2007). Information asset protection guideline. Alexandria. VA. Available:
http://www.asisonline.org/guidelines/guidelinesinfoassetsfinal.pdf [2008, August 14].

ASIS International. (2007). Trends in proprietary information loss. Alexandria, VA. Available: http://www.asisonline.org/foundation/noframe/loss.pdf
[2008, August 14].

ASIS International Information Asset Protection Council. (2005). IAP toolkit. Available: http://www.asisonline.org/councils/InfoToolkit.exe [2008, August
14].

Crowdy, T. (2006). The enemy within: A history of espionage. Westminster, MD: Osprey Publishing. Federal Bureau of Investigation. Focus on economic
espionage. Available: www.fbi.gov/about-us/investigate/counterintelligence/economic-espionage [2011, April 6].

Hassett, D. B. (2003, April). Is your model non-disclosure agreement adequate?, Wireless Watch. Available:
www.wileyrein.com/publication_newsletters.cfm?id=12&publication_ID=10040 [2008, August 14].

Kramer, L. A., Heuer, R. J., Jr., & Crawford, K. S. (2005). Technological, social and economic trends that are increasing U.S. vulnerability to insider
espionage. PERSEREC Technical Report 05-10. Monterey, CA: Defense Personnel Security Research Center.

Microsoft Corporation. (2006). Regulatory Compliance Planning Guide. Available:

http://www.microsoft.com/technet/security/guidance/complianceandpolicies/compliance/rcguide/ default.mspx?mfr=true [2008, August 14].

Moberly, M. D. (2006). Positioning intellectual property, intangible assets and proprietary competitive advantages to beat the odds against counterfeiting
and piracy. White paper. Memphis, TN: Knowledge Protection Strategies.
Moberly, M. D. (2007). Risk assessments and due diligence for business transactions. White paper. Memphis, TN: Knowledge Protection Strategies.

Peterson, K., CPP. (2005). A strategic approach to information protection for small businesses and organizations: Getting started. White paper. Herndon,
VA: Innovative Protection Solutions.

Poteat, S. E. (2001, Winter). The attack on America’s intellectual property: Espionage after the Cold War, The Bent of Tau Beta Pi.

Sun Tzu. (1983). The art of war. Ed. J. Clavell. New York, NY: Dell Publishing.

United States Department of Energy. Espionage and the Manhattan Project (1940-1945). Available: www.mbe.doe.gov/me70/Manhattan/espionage.htm
[2008, August 14].

United States Department of Justice. (2006). Progress report of the Department of Justice’s task force on intellectual property. Available:
http://www.usdoj.gov/opa/documents/ipreport61-906.pdf [2008, August 14].

United States General Accountability Office. (2007, April 12). Intellectual property: National enforcement strategy needs stronger leadership and more
accountability. Statement of Loren Yager, Director International Affairs and Trade.

United States Office of the National Counterintelligence Executive. (2006). Annual report to Congress on foreign economic collection and industrial
espionage—2005. Available: http://www.fas.org/irp/ops/ci/docs/2005.pdf [2008, August 14].

United States Patent and Trademark Office. Inventor resources. Available: http://www.uspto.gov/web/offices/com/iip/index.htm [2008, August 14].

United States Secret Service and Carnegie Mellon Software Engineering Institute. (2005). Insider threat study: Computer system sabotage in critical
infrastructure sectors. Available: http://www.cert.org/archive/pdf/insidercross051105.pdf [2008, August 14].

Winkler, I. (2005). Spies among us. Hoboken, NJ: Wiley Publishing.

World Intellectual Property Organization. (2003). Non-disclosure agreement. Available: www.wipo.int/sme/en/documents/disclosing_inf.htm [2008,
August 14].
 CAPÍTULO 2
LA CRECIENTE
IMPORTANCIA DE LA
SEGURIDAD DE LOS
SISTEMAS DE INFORMACIÓN

En la película Ocean’s Eleven4, el dueño del casino Terry Benedict descubre que Danny Ocean ha puesto en peligro el sistema de vanguardia de video
vigilancia que protege la bóveda de Benedict y sus millones en dinero efectivo. El ataque contra el supuestamente inquebrantable sistema de seguridad se
basó en parte en el pirateo a los sistemas de información. La película describe a Benedict como alguien que toma muy seriamente la protección de su dinero
y no le da una segunda oportunidad a su personal de seguridad. También en el mundo real, los cibercriminales5 a diario se aprovechan de las debilidades de
seguridad en los sistemas de información corporativos, robando, destruyendo, malversando o abusando de los activos corporativos.

El cibercrimen –uso de los sistemas de información para cometer delitos- es real. En mayo de 2009, el Presidente Obama dijo, “Se estima que sólo el año
pasado los cibercriminales robaron propiedad intelectual de las empresas en todo el mundo por un valor de hasta 1 trillón de dólares” (Obama, 2009). A
diferencia de lo que ocurre en el mundo físico, los sistemas de información están plagados de vulnerabilidades. Para hacer frente a los nunca-antes-vistos
desafíos de la seguridad de los sistemas de información (ISS de ahora en adelante, por sus siglas en inglés), los profesionales de la seguridad deben
aumentar su paradigma de seguridad física con un nuevo paradigma de seguridad lógica (Lam & Stahl, 2010).

En The Structure of Scientific Revolutions (1962), Thomas Kuhn revolucionó la manera de pensar de los filósofos respecto a la ciencia. Él introdujo la
palabra paradigma como una herramienta teórica para comprender todo lo que se piensa cuando se considera una escuela de pensamiento científico u otra
disciplina rigurosa, como la seguridad física o ISS. Desde esta perspectiva, el paradigma de la seguridad física es el marco que se utiliza en asuntos de
procesamiento específicamente centrados en el ámbito de la seguridad física, tales como las cámaras, los autores, la protección de la vida humana y la
seguridad de las instalaciones contra las pérdidas físicas. El marco que comprende el paradigma de la seguridad lógica trata con asuntos similares, pero las
pérdidas ocurren en el espacio virtual, donde son invisibles desde una perspectiva física y por lo tanto requieren una comprensión diferente para
contrarrestarlas.

El propósito de esta parte de Protección de Activos es para proporcionar al profesional de la seguridad ya con conocimientos en el paradigma de la
seguridad física con una comprensión práctica de un nuevo paradigma de seguridad lógica.

2.1 EL DESAFÍO HUMANO: FALTA DE IMAGINACIÓN

El 11 de septiembre de 2001, los terroristas estrellaron aviones contra las torres gemelas del World Trade Center y en el Pentágono. Un cuarto avión se
estrelló en Pennsylvania, en lugar de su objetivo previsto, sólo como resultado del heroico esfuerzo de los pasajeros. El FBI y otras agencias de inteligencia
de Estados Unidos tuvieron todos los elementos que necesitaban para ver que el 11/9 venía. Si ellos hubieran conectado los puntos se podrían haber salvado
más de 3.000 personas. ¿Por qué los puntos no estaban conectados? En el informe final de la Comisión 911 (National Commission on Terrorist Attacks,
2004, p.336), una respuesta dada fue “falta de imaginación”.

Aquí hay otro ejemplo, mucho menos grave, de falta de imaginación. En la puerta de la piscina de un hotel, los huéspedes pueden insertar sus llaves de
tarjeta en una ranura, abrir la puerta y entrar al área de la piscina. La seguridad parecía estar funcionando perfectamente, hasta que una joven caminó hasta
la puerta, extendió su delgada mano a través de las barras por debajo del pestillo, lo alcanzó y abrió la puerta.

En la pantalla de ingreso en un sitio Web, los usuarios podrían haber esperado entrar su identificación de usuario y contraseña, lo mismo que en la piscina
los huéspedes podrían esperar ingresar sus llaves de tarjeta en la ranura de la puerta. Sin embargo, un usuario podría ser capaz de acceder al sitio
ingresando “‘ o 1=1 – ” o incluso algo muy complicado como lo siguiente:6

http://www.sanitized.net/Communications/PhoneList/directory.asp?fieldValue0=1′%20UNION%20ALL%20select%20″,name,″,″,″,″,″,″
%20from%20MASTER..SYSDATABASES&fieldName0=EE_ID&fieldType0=202&fieldValue1=&fieldName1=LastName&fieldType1=202&fieldValue2=&fieldName2=FirstN

Ataques como estos -con nombres arcanos, por ejemplo, SQL- injection, cross-site scripting, content spoofing, e information leakage- son como las
delgadas muñecas de la joven que entró en la piscina sin una llave, proporcionando a los cibercriminales el acceso al back-end (lado interno) de los activos
corporativos.7

Antes de que este tipo de ataques ocurriera, nadie se lo había imaginado. Incluso después de imaginado, muchos sitios Web siguen siendo vulnerables a
esos ataques, entregando a los piratas acceso total a la información subyacente.

No hace mucho tiempo, un director corporativo de tecnología de la información (TI) escribió lo siguiente acerca de la susceptibilidad de su empleador a los
fraudes bancarios en línea:
Teresa tiene un dispositivo electrónico (fob) que genera códigos de contraseñas, el cual cambia cada 30 segundos. El dispositivo no está conectado a la computadora en modo
 alguno. Para completar la autorización de una transacción en la computadora, ella necesita ingresar un código de contraseña de su dispositivo en un lapso de 30 segundos. No
puedo imaginar la forma en que un pirata informático podría manipular [hackear] eso. [Énfasis añadido].

No obstante, dos semanas atrás, un artículo del Washington Post sobre el robo de US$ 447.000 de la cuenta bancaria de una compañía había dicho esto
acerca de la seguridad de la autenticación multifactorial, como el dispositivo de Teresa (Krebs, 2009):
Algunos tipos de malware (software maligno), especialmente un tipo de programa Troyano de robo de datos conocido como “Zeus”, permite a los piratas informáticos cambiar la
visualización de la página de acceso a un banco cuando la víctima está ingresando sus datos de identificación. Por ejemplo, cuando una víctima envía su contraseña temporal
junto con sus datos de identificación, el malware puede forzar al navegador a volver a una página falsa (que sigue mostrando el nombre de dominio del banco en la barra de URL)
indicando que el sitio del banco no está en activo por mantenimiento y que por favor intente volver en 15 minutos. Mientras tantos, esas credenciales no son enviadas al banco
sino que a los piratas informáticos.

Esta táctica es notablemente eficaz: Cuando un cliente involuntariamente espera las instrucciones, los ladrones usan esos datos de identificación para iniciar sesión como si fueran
la víctima e iniciar transferencias no autorizadas desde esa cuenta.

La falta de imaginación es parte del ser humano. Después de experimentar una mala situación, una persona puede imaginar escenarios similares. El desafío
radica en situaciones que una persona no ha experimentado antes.

2.2 ESTADO DE LA SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN

La revolución de la microcomputadora –y con ello el surgimiento de las redes de área local, redes de área amplia e Internet- cumplió 35 años en 2010.8 La
interconexión de computadoras y redes ha traído grandes beneficios de productividad y abrió emocionantes nuevos campos de entretención e información.
Acercó al mundo. Sin embargo, estas virtudes no están exentas de consecuencias imprevistas y, a veces, no deseadas.

El 01 de julio de 2003, entró en vigencia la California Senate Bill 1386, la primera ley de incumplimiento de divulgación de la nación. La ley exige que
cualquier organización que realice negocios en California notifique a los residentes afectados si la organización tiene razones para creer que información
personal no encriptada de los residentes de California ha sido adquirida por una persona no autorizada.9 La mayoría de los estados ha seguido a California
con sus propias leyes de incumplimiento de divulgación, y es probable una ley nacional.

En poco más de seis años desde que la ley de California entró en vigencia, la Privacy Rights Clearinghouse (2009) ha identificado más de 340 millones de
registros de consumidores que han sido violados. Aquí hay sólo unas pocas de las muchas compañías que han reconocido que sufrieron violaciones de su
información:

Choicepoint
Sam’s Club
MCI
Bank of America
T.J. Maxx
Citi Financial
Kodak
Time Warner
Ernst & Young
Ralph Lauren
Motorola
Ford Motor
JP Morgan
DSW
Deloitte
Hanover

La cifra de 340 millones incluye sólo violaciones reportadas. No incluye las violaciones descubiertas, pero no reportadas, las violaciones no descubiertas u
otras pérdidas de información –tales como robo en la banca en línea- que legalmente no es necesario que sea revelada.

Los 340 millones de registros de datos violados representan sólo la punta del iceberg. Ellos también demuestran cómo el cibercrimen ha cambiado en los
últimos años. En el pasado, las grandes amenazas de los sistemas de información eran internas. Existían pocos piratas informáticos; de esos que lo hicieron,
la mayoría era para su propio ego; y el máximo daño que causaban se limitaba al robo de los recursos informáticos y a la negación del servicio producto de
ataques con virus.

Los piratas informáticos que usaban la piratería por placer o para hacer crecer su reputación, ahora están en eso por dinero (Herley & Florencio, 2009).
Ellos son cada vez más sofisticados y aprenden a burlar las defensas. Una fuente informa que “los chicos malos están adaptando sus actuales estrategias de
protección e inventando nuevas maneras para alcanzar los datos que ellos valoran” (Verizon Business RISK Team, 2009, p.47).

En julio de 2009, los cibercriminales se dirigieron a las cuentas de los titulares de YouTube con ataques de phishing10 (Harwood, Junio 2009). El 17 de
agosto de 2009, tres hombres fueron acusados de robar más de 130 millones de números de tarjetas de crédito. Ellos eran capaces de obtenerlas explorando
las vulnerabilidades de los sitios Web corporativos (Trotta, 2009). También en agosto de 2009, el sitio de la red social Twitter fue deshabilitada por piratas
informáticos que intentaron tomar represalias en contra de un solo usuario, pero derribó todo el sitio (Acohido, 2009). Por cierto, tomó casi 100.000 bots11
(software de aplicaciones que ejecutan tareas automatizadas) bajo el control de los piratas informáticos para derribar el sitio. Costó alrededor de US$ 5.000
arrendar esos bots. Además, continúan descubriéndose nuevas formas de acceder a las redes inalámbricas, en detrimento de las empresas (Mills, 2009).
En testimonio ante el Congreso, un experto en seguridad informática señaló lo siguiente acerca de los ataques de piratas informáticos (kellerman, 2009):
los ciberataques se han convertido en un fenómeno totalmente generalizado, que se basa en parte en:

• el aumento de la conectividad y disponibilidad de las redes atacables y de las vulnerabilidades de sistemas y aplicaciones
• la capacidad de los cibercriminales para obtener importantes recompensas financieras a través de ataques exitosos
• las federaciones mundiales entre las distintas clases de cibercriminales y desarrolladores de malware
• el Estado-Nación, terrorista y políticamente dirigido a impulsar los esfuerzos del cibercrimen
• la carencia de aplicación de una ley cohesiva alrededor del mundo

La extorsión cibernética ha empezado a levantar su fea cabeza y ahora es un problema para las empresas en Estados Unidos (Wagley, 2009). Los
cibercriminales han descubierto que no necesitan cambiar su malware tan pronto, sino que pueden implementarlo en más sitios (Harwood, agosto 2009).
Además, utilizan técnicas automatizadas que continuamente ponen en peligro sitios Web legítimos, aumentando la oportunidad de que los usuarios
finalmente sean redirigidos a un sitio ilegítimo. Más aun, los criminales están cambiando el código de malware por lo que no es detectado por los sistemas
antivirus tradicionales.

Tal vez, el desafío más serio es la reciente seguidilla de robos de banco en línea. Según el FBI (2009), los ladrones cibernéticos pirateando la empresas se
pequeño y mediano tamaño han robado alrededor de US$ 100 millones de cuentas bancarias estadounidenses. Algunos de estos ataques son lo
suficientemente sofisticados para derrotar los sistemas de autenticación de dos factores.

El Computer Security Institute (CSI) Computer Crime and Security Survey (Richardson, 2008) descubrió que el fraude informático financiero promedio
cuesta a la empresa víctima US$ 500.000 y un ataque bot promedio –un ataque a través de las computadoras cuya seguridad está en peligro, a veces cientos
de miles- cuesta US$ 350.000. Esos ataques pueden tener serios impactos. Un caso afectó las operaciones de un hospital de Seattle (U.S. Attorney’s Office,
2006). El informe del CSI también señala que el 27 por ciento de los ataques en 2008 fueron los ataques en los cuales una parche de malware fue escrito
directamente para atacar una compañía específica.

La investigación de Verizon de 500 violaciones descubrió que durante el curso de estas violaciones, fueron robados 285 millones de registros (Verizon
Business RISK Team, 2009). El estudio concluyó que el 74 por ciento de los registros fueron robados por fuentes externas. Kellerman (2009) corrobora la
opinión de que los internos ya no son la causa de la mayoría de las pérdidas.

Además, el informe del CSI señala que los ataques de menor importancia siguen siendo un problema. Mischele Kwon, ex director del United States
Computer Emergency Readiness Team (US-CERT) llama a esos ataques un “problema de higiene” (Kwon, 2009), es decir, un problema conocido que
puede ser solucionado con due diligence. Sin embargo, es el ataque más sofisticado que está obteniendo la mayor parte de los registros robados (Verizon
Business RISK Team, 2009).

El informe de Verizon señala que el profesionalismo del crimen informático está aumentando. La amenaza ya no viene de los “script kiddies”12, sino de
consorcios del crimen organizado, el cual tiene los fondos para realizar ataques más sofisticados. De hecho, Verizon concluyó que el 91 por ciento de los
registros robados en 2008 fueron hechos por grupos del crimen organizado. CSI señala que los programas cortafuegos y antivirus son “fundamentalmente
imperfectos”, y que el malware y otros ataques pueden eludir controles basados en la firma. Además, Verizon afirma que en la mayoría de las violaciones
exitosas, alguien fue capaz de tomar ventaja de un error cometido por la víctima e instaló el malware para obtener ventaja de ello.

Las noticias no son tan malas. Aparentemente, hay un exceso de oferta en el mercado del inframundo para los números de tarjetas de crédito, por lo que
ahora los números de identificación personal (PIN) son los objetos de interés (Verizon Business RISK Team, 2009, p.7):
El valor potencial de participación en el cibercrimen no existiría sin un mercado para el robo de información. Como con cualquier sistema de mercado legítimo, el valor unitario
de bienes y servicios fluctúa con la oferta y demanda…Los criminales han rediseñado sus procesos y desarrollado nuevas herramientas –como el memory-scraping malware13-
para robar este valioso producto. Esto ha llevado a la exitosa ejecución de las complejas estrategias de ataque que antes se pensaba que sólo eran posibles teóricamente.

Más aun, el malware personalizado va en aumento. Verizon estima que el 8 por ciento de los 285 millones de registros violados fueron tomados con
malware personalizado creado específicamente para el ataque.

Los criminales también están ocultando su trabajo, creando desafíos para quienes tienen que capturarlos o investigar las consecuencias de los crímenes. Los
investigadores descubrieron “anti-forenses” – intentos de ocultar sus pistas- en más de un tercio de los casos en la investigación de Verizon.

También está aumentando el uso del ciberespacio por entidades gubernamentales. Por ejemplo, en el 2008, “el estado-nación de Georgia fue atacado por
piratas informáticos, presumiblemente desde Rusia” (Wilson, agosto 2009). Wilson también escribe acerca de los ataques contra Estonia y del uso de la
guerra cibernética en los enfrentamientos entre Israel y Hamas. En julio de 2009, sitios Web de Corea del Sur también fueron atacados presuntamente por
Corea del Norte (Kim, 2009).

Rogueware, el software que pretende ser un software de seguridad, pero que realmente pone en peligro una computadora, también va en aumento. Se
estima que los cibercriminales están haciendo US$ 34 millones al mes logrando que los usuarios descarguen este software malicioso (Correll, 2009).

Ahora, incluso los teléfonos no son seguros. El malware móvil es un centro de beneficios prometedor para los criminales (Dunham, 2009). Los usuarios de
teléfonos podrían estar comprometidos antes de que incluso comiencen a realizar actividades bancarias en el teléfono.

Stewart Baker, ex secretario adjunto de seguridad nacional de Estados Unidos, ofrece este resumen (2009):
En quince años, las redes descentralizadas se han trasladado de usos novedosos como el monitoreo de máquinas de café comunitarias a la gestión de activos financieros,
telecomunicaciones, y la red eléctrica. Eso es bueno y malo, porque esta revolucionaria nueva tecnología representa riesgos reales. Confiamos mucho más de nuestros activos
críticos a las redes TI de lo que alguna vez lo hicimos, y las vulnerabilidades de seguridad que pueden haber sido tolerables hace quince años pueden tener devastadoras
consecuencias hoy en día.
Un informe de IBM concluye que “todo sitio Web debe ser visto como sospechoso y todo usuario es un riesgo” (IBM Global Technology Services, 2009).

El crimen y las situaciones descritas en esta sección afectan sistemas que los profesionales de seguridad usan en su trabajo cotidiano y que ellos están
encargados de proteger. Los profesionales de la seguridad deben instruirse ellos mismos en las formas de la seguridad de la información –y también
mantenerse al tanto de los cambios que se están produciendo.

2.3 ECONOMÍA DE LA SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN

Los incidentes de seguridad de la información cuestan dinero. Por ejemplo, un virus informático produce la pérdida en productividad del personal de una
organización además del tiempo y los gastos para que el personal de TI elimine el virus y restaure la disponibilidad. Por lo general, la pérdida de
productividad es más costosa que el costo de la limpieza del ataque de virus. En un caso, eliminar el virus de la red de un bufete de abogados requirió tres
días de trabajo por dos personas de TI y dos consultores, costando a la oficina aproximadamente US$2.400 en tiempo del personal y otros $10.000 en
honorarios de los consultores. Mientras tanto, el bufete estimó que la productividad de sus 100 abogados se redujo en un 20 por ciento. El costo en pérdidas
de facturación excedió los US$ 25.000, más del doble del costo de limpieza del ataque de virus.

El costo del robo de un secreto comercial por un ladrón cibernético es el valor del secreto comercial de la compañía. Las compañías deben preguntarse qué
les costaría a ellos si un competidor tuviera la propiedad intelectual como sus listas de clientes, información de precios, estructura de costos, planes
estratégicos o procesos patentados.

El costo del robo de los números de seguridad social de los clientes incluye el costo de notificar a los clientes además de los servicios de robo de identidad
proporcionado para proteger a los clientes y los gastos legales, si se presentan demandas, más la pérdida de la buena disposición. El promedio de costo para
cumplir con las leyes de violación de divulgación ahora excede los US$ 200 por registro (Claborn, 2009). Esto se traduce en los costos del incumplimiento
de divulgación de más US$ 2 millones por un incumplimiento de una base de datos relativamente pequeña de 10.000 personas.

La implementación de la seguridad también tiene costos. Los cortafuegos y otras tecnologías ISS se llevan el capital lejos de otros usos. ¿Una compañía
debería invertir en un nuevo sistema de gestión de ventas o aumentar su actual sistema de antivirus basado en la firma con un sistema moderno de
prevención contra intrusos basado en el comportamiento?

El personal de seguridad de los sistemas de información (ISS) está a expensas del personal que puede contribuir más directamente al balance final. Un
nuevo vendedor podría contribuir US$1 millón o más en nuevas ventas. ¿Qué contribuye un analista de seguridad de la información al balance final?

Cada hora que la gerencia pasa en reuniones de seguridad, o que el personal pasa en entrenamiento de conciencia de seguridad, es una hora que podría
contribuir también al balance final.

En la gestión básica de riesgos, cuánto se debe gastar para prevenir un incidente de ISS es igual a la probabilidad del incidente multiplicado por su costo
(Gordon & Loeb, 2006). En relación con la gestión de riesgos, es un deber legal de la empresa tomar medidas para asegurar sus activos de información.
Este aspecto fue precisado más de 60 años atrás por el Juez Learned Hand en el caso Estados Unidos v. Carroll Towing Co. (1947), en el cual Hand
escribió que una parte es negligente si el costo (B) de tomar medidas adecuadas para prevenir el daño es menor que la pérdida monetaria (L) multiplicado
por la probabilidad (P) de su ocurrencia (B < PL).

Un incidente de ISS crece en número y el costo de la recuperación sube, las compañías deben estar preparadas para invertir más recursos en prevención.
Usando los recursos corporativos eficientemente para proteger la información sensible y los sistemas, es uno de los objetivos clave de un programa de ISS
(Braun & Stahl, 2005). Dicho programa consiste en todas las actividades y gastos que la organización necesita para proteger la información sensible. El
programa puede ser formal, con un ejecutivo específico encargado de la responsabilidad de la gestión (recomendado), o informal, con las actividades y
gastos efectuados según sea necesario. En cualquier caso, el objetivo del programa debe ser manejar prudentemente y en forma rentable el riesgo de que la
información crítica pueda
• ser comprometida
• ser cambiada sin autorización, o
• no estar disponible

2.4 FACTORES CRÍTICOS DE ÉXITO

Tres dominios que co-evolucionan definen si el programa de ISS de una compañía cumple con el estándar de seguridad del debido cuidado:
• la legislación y regulación en cuanto a la obligación de quienes poseen la información para proteger la información privada de los demás en sus
sistemas informáticos
• el derecho contractual y responsabilidad extracontractual sobre la seguridad de la información y los activos de información
• las prácticas de seguridad recomendadas por la comunidad profesional de ISS

En An Emerging Information Security Minimum Standard of Due Care (2005), Braun and Stahl analizan esos tres dominios e identifican siete factores
críticos de éxito que un estándar de cuidado de la seguridad de la información debe cumplir:
• Responsabilidad de la dirección ejecutiva. Alguien de la alta gerencia tiene la responsabilidad de la gestión del programa de seguridad de la
información de la empresa, la cual es gestionada de acuerdo con sus políticas de seguridad de la información.
 • Políticas de seguridad de la información. La empresa ha documentado su enfoque de gestión para la seguridad de la información de manera que
cumpla con sus responsabilidades y deberes para proteger la información.
• Educación y entrenamiento de la conciencia del usuario. Los usuarios reciben educación y entrenamiento en las políticas de seguridad de la
información y de sus responsabilidades personales para proteger la información.
• Seguridad de redes y computadoras. El personal de TI está gestionando de forma segura la infraestructura de tecnología de una manera definida y
documentada que adhiere a las prácticas efectivas de ISS.
• Garantía de terceros de la seguridad de la información. La compañía comparte información con terceros sólo cuando se tiene la seguridad de que
esos terceros protegen la información al menos con el mismo estándar de cuidado con que la empresa lo hace.
• Seguridad física y personal. La empresa proporciona protección física adecuada a la información, investiga los candidatos al empleo e incorpora la
seguridad de la información en las responsabilidades del cargo.
• Evaluación de riesgos periódica. La empresa realiza una evaluación o revisión de su programa de ISS, preferiblemente a través de un tercero,
abarcando la tecnología y la gestión, al menos una vez al año.

Un octavo factor –la clasificación y control de la información sensible- generalmente es parte del marco de recomendaciones de la política de seguridad de
la información (como en ISO 27001 y 27002). Este factor llama a la empresa a comprender las leyes, regulaciones y contratos que le impone las
obligaciones de seguridad de la información; identifica su propiedad intelectual que requiere protección; hace un inventario de la información sensible e
implementa las medidas de seguridad apropiadas para protegerla; distingue la información como pública, para uso interno, o restringida; y asigna a los
propietarios de la información la responsabilidad de definir quién necesita acceso a qué información. El personal que no pertenece al ISS obtiene una
mayor comprensión del ISS cuando este octavo factor está incluido.

2.5 IMPLICACIONES PARA LA SEGURIDAD FÍSICA EN UN MUNDO CONVERGENTE

La convergencia de la seguridad física y de la información tiene numerosas definiciones. La Alliance for Enterprise Security Risk Management ofrece esta
definición básica (Booz Allen Hamilton, 2005, p.3):
la identificación de los riesgos de seguridad y las interdependencias entre las funciones empresariales y los procesos dentro de la empresa y el desarrollo de soluciones de
procesos de negocios gestionados para abordar esos riesgos e interdependencias.

Aquí hay una definición más detallada (Tyson, 2007, p.4):

La convergencia de la seguridad es la integración, de manera formal, colaborativa y estratégica, de los recursos acumulativos de seguridad de la organización con el fin de brindar
beneficios a toda la empresa a través de una mayor mitigación del riesgo, aumento de la eficacia y eficiencia operacional, y el ahorro de costos.

La convergencia permite que los dispositivos de seguridad física interactúen a través de una red para beneficio sustancial de la organización. Al mismo
tiempo, crean un riesgo adicional para la organización debido a que los dispositivos de seguridad física ahora son accesibles desde cualquier parte en la red.
En el antiguo paradigma, las cámaras de video, grabadoras de video, sistemas de detección de intrusiones y cuentas bancarias no eran accesibles a menos
que una persona físicamente se acercara a ellos. Actualmente son potencialmente accesibles desde cualquier lugar del mundo.

Un buen resumen de estos asuntos proviene de un testimonio ante el congreso del director de Sandia National Latoratories’ Information Operations Center
(Varnado, 2005):
Hoy en día, los sistemas heredados están siendo reemplazados gradualmente por los nuevos sistemas SCADA (supervisión del control y adquisición de datos) que usa Internet
como la columna vertebral del control. Este cambio se está implementando para reducir costos y aumentar la eficiencia de la operación. Sin embargo, esta tendencia aumenta
sustancialmente la posibilidad de disrupciones debido a (1) el número de personas que tienen acceso al sistema es significativamente mayor, (2) las disrupciones pueden ser
causadas por piratas informáticas que no tienen formación en ingeniería de sistemas de control y, (3) el uso de Internet expone los sistemas SCADA a todas las vulnerabilidades
inherentes a las redes informáticas conectadas entre sí que están siendo explotadas actualmente por piratas informáticos, el crimen organizado, organizaciones terroristas, y
Estado-naciones. Los gusanos, virus, network flooding (inundación de la red), ataques imprevistos a través de routers (enrutadores) comprometidos, spyware (programas espía),
ataques internos, extracción de datos por externos que obtienen privilegios internos (phishing), y ataques distribuidos de denegación de servicio son todos habituales. El combate
eficaz a estos ataques requiere el aumento de la sensibilización, nuevas tecnologías y mejores respuestas y capacidad de recuperación.

Este paradigma es virtualmente idéntico a la actual situación en el campo de la seguridad física.

La Figura 2-1 muestra un sistema de video vigilancia, en el cual se necesitaría el acceso físico al sistema para comprometerlo. El acceso físico al sistema
podría ser evitado con una barrera, un oficial de seguridad u otras medidas.

La Figura 2-2 muestra un diseño moderno de video vigilancia.

Múltiples computadoras en la red son capaces de acceder a un servidor que ahora almacena datos de video. Las cámaras en la red están poniendo esos datos
de video en ese mismo servidor.

La seguridad física puede usar distintos modos de comunicación. En primer lugar, puede haber una conexión propia entre un dispositivo y otro. En segundo
lugar, puede haber una conexión estándar de la industria entre dos dispositivos, tales como el protocolo Weigand entre un lector de tarjeta y un controlador.
Y en tercer lugar, los dispositivos de la red generalmente conversan a través de TCP/IP (protocolo de control de transmisión/protocolo de Internet), el
estándar mundial de Internet para la comunicación.

Los dispositivos pueden ser divididos en dos tipos de sistemas, integrados y basados en host (anfitrión). Los sistemas integrados (también conocidos como
sistemas especiales) generalmente son programados por el fabricante y operan en sistemas operativos propios o no estándar. Estos pueden incluir cámaras
de video, lector de tarjetas, controladores de acceso, paneles de control de detección de intrusión (alarma), convertidores de video análogo a digital, y así
sucesivamente. Los sistemas basados en host operan en sistemas operativos más estándar, generalmente un sistema operativo Windows o Linux (Macintosh
OS opera en una versión de UNIX, hermana del sistema operativo Linux). Los sistemas integrados son mucho más difíciles de cambiar que los sistemas
operativos Windows, pero todos esos sistemas pueden ser comprometidos.

Dado que cualquier sistema que se comunica con algo más está potencialmente expuesto a un peligro, los profesionales de la seguridad física necesitan
tomar decisiones informadas sobre qué sistemas pueden ir dónde. Por ejemplo, Underwriters Laboratories (UL) tiene reglas estrictas sobre cómo se deben
implementar los sistemas de incendio, especialmente considerando los problemas de seguridad de la vida que surgen de esos sistemas. ¿Qué pasa si el
servidor de un sistema de seguridad física de detección de intrusión fuera tomado e inutilizado por personas empeñadas en acceder al sitio?

La video vigilancia IP proporciona muchas ventajas sobre los anteriores sistemas, pero también es vulnerable. Los profesionales de la seguridad deberían
hacerse estas preguntas:
• ¿Qué pasa si alguien tomó una cámara?
• ¿Qué pasa si alguien colocó una secuencia de video grabada anteriormente en lugar de la secuencia original?
• ¿El fabricante del equipo puso en práctica algún control para hacer esto difícil o imposible?
• ¿Qué pasa si los terroristas estuvieran viendo la secuencia de video?
• ¿Qué pasa si los ladrones apagaron el interruptor que trae el video en el sistema?
• ¿Qué pasa si alguien borró la evidencia de video?
• ¿Qué pasa si alguien apagó el video analítico por lo que no se enviaron las alarmas al oficial de seguridad?
• ¿Qué pasa si un ladrón cambió la función del video analítico de modo que repetidamente cause falsas alarmas?

Asimismo, el control de acceso electrónico proporciona muchos beneficios de seguridad, no obstante, también es vulnerable. Los sistemas de control de
acceso generalmente contienen tres grandes componentes y hasta dos medios de transporte diferentes. El lector de tarjeta por lo general es la parte que ve el
usuario, y presenta una tarjeta para, ya sea un mecanismo de contacto o un método sin contacto, a veces llamado tarjeta “prox” (proximidad). El lector de
tarjetas se comunica a través de algún medio, ya sea por cable o inalámbrico, a un controlador que decide si la puerta se debe abrir o algo más debiera
suceder (aunque esos dos sistemas pueden estar integrados). Finalmente, el controlador generalmente conversa con un servidor o una aplicación desde la
cual obtiene instrucciones sobre qué hacer y qué información de la tarjeta almacenar localmente.
Los sistemas tradicionales de control de acceso han sido comprometidos en una serie de maneras fuera de la red. En primer lugar, la mayoría de las tarjetas
de control de acceso no requiere autenticación mutua antes de dar el número secreto a la tarjeta. Una tarjeta heredada HID (dispositivo de identificación
Hughes) tiene dos componentes: el número secreto de la instalación, el cual no está impreso en la tarjeta, pero puede ser conocido por el propietario de la
instalación, y un número de identificación que está impreso en la tarjeta. Cuando un lector de tarjetas solicita este número, una combinación del número
secreto y el impreso, la tarjeta simplemente lo suministra. Si fuera tan fácil conseguir la llave de la casa de alguien como llegar a caminar en un pie de una
persona con un escáner en la mochila o bolso y así obtener la información de la tarjeta, uno estaría muy preocupado. No obstante, muchas compañías aún
están utilizando y comprando sistemas basados en esta modalidad.

La segunda gran vulnerabilidad que se aplica a los sistemas de control de acceso que no son accesibles desde Internet o cualquier otra red gira en torno a un
protocolo denominado Wiegand. Muchos de los actuales sistemas de control de acceso se basan en este protocolo, desarrollado a fines de la década de los
ochenta, el cual utiliza un mecanismo de texto plano para pasar las credenciales entre el lector y el panel de control.

Desafortunadamente, dado que la información en texto plano no está codificada, cualquiera que puede obtener acceso al cable puede obtener acceso a la
información. Una herramienta denominado gecko, la cual puede ser construida por US$ 10 por pieza, puede dar a un intruso un completo control sobre una
puerta. Está claro que es importante informarse sobre los posibles riesgos asociados con cualquier dispositivo, incluso si los elementos de seguridad física
no convergen con las redes.

En la típica implementación de control de acceso en red, los sistemas de control de acceso operan directamente en la red. Por lo general, la red está hecha
de dos piezas: la conexión de sistemas integrados entre un lector y un controlador y luego una red TCP/IP en la cual los controladores conversan con los
servidores y los usuarios conversan con los servidores.
Casi todos los sistemas de control de acceso en uso hoy en día funcionan con una base de datos en una computadora. La base de datos determina cuando
alguien puede entrar, cuáles son las reglas para ese acceso, y si una tarjeta está habilitada o deshabilitada. Una persona que puede controlar la computadora
puede hacer esos cambios.

Se presentan dos peligros. Primero, un administrador válido podría añadir una tarjeta adicional o backdoor (puerta trasera). Por lo tanto, es esencial emplear
metodologías de evaluación de riesgos de seguridad de la información para asegurarse de aplicar adecuadamente las reglas del sistema. Incluso los
administradores autorizados no deberían ser capaces de cometer errores fácilmente, y si de todos modos se equivocan, una pista de auditoría debe mostrar
los que sucedió.

Segundo, el sistema puede ser accesible a Internet. Un servidor puede ser accesible solamente desde algunas otras máquinas, pero una de esas máquinas
podría ser tomada por un individuo malicioso. Si eso sucediera, todo el sistema de control de acceso de una compañía podría estar en manos de una persona
desconocida.

Los profesionales de la seguridad deben usar tanto la inteligencia como la imaginación para tomar buenas decisiones cuando implementan sus sistemas.
Ningún sistema es impermeable a ser cambiado, detenido o modificado externamente si está conectado a una red TCP/IP o computadora.

2.6 CIBERCRIMEN: UN DESAFÍO NACIONAL

El discurso del Presidente Obama sobre la seguridad de la infraestructura cibernética de la nación ofrece varias observaciones útiles. Los siguientes son
extractos de ese discurso; después de cada uno hay un comentario que aplica las observaciones del presidente a las preocupaciones del profesional de la
seguridad (Obama, 2009):
Es la gran ironía de nuestra Era de la Información –las tecnologías que nos dan poder para crear y construir, también empoderan a aquellos que interrumpen y destruyen. Y
esta paradoja –visible e invisible- es algo que experimentamos todos los días.

La tecnología permite a los expertos en seguridad gestionar los riesgos de las organizaciones más que nunca antes. Sin embargo, también es necesario
entender y aplicar un paradigma de seguridad lógico para proteger eficazmente los activos.
Es acerca de la privacidad y la seguridad económica de las familias estadounidenses. Confiamos en Internet para pagar nuestras cuentas, las actividades bancarias, comprar y
presentar nuestros impuestos. Pero, hemos tenido que aprender todo un nuevo vocabulario tan sólo para adelantarnos a los cibercriminales que nos harían daño - spyware,
malware, spoofings14, phishing and botnets15- Según una encuesta, sólo en los dos últimos años el cibercrimen ha costado a los estadounidenses más de 8 billones.

El cibercrimen está costando a los ciudadanos y a las empresas una gran cantidad de dinero. Los riesgos son altos.
Esta es una materia, también de competitividad económica de Estados Unidos. La pequeña empresa de una mujer en St. Louis, el operador de bonos en la Bolsa de Valores de
New York, los trabajadores de una empresa naviera mundial en Memphis, el joven emprendedor en Silicon Valley- todos ellos necesita las redes para hacer la próxima nómina
de pago, el próximo negocio, el próximo envío, el próximo gran avance. El E-commerce (comercio electrónico) sólo el año pasado representó alrededor de US$ 132 billones en
ventas al por menor (retail).

El problema afecta no sólo a la propia empresa, sino también a los socios de la empresa.
Pero, diariamente vemos olas de robos cibernéticos buscando información sensible –el empleado descontento al interior de la empresa, el pirata informático solitario a miles de
kilómetros de distancia, el crimen organizado, el espionaje industrial y, cada día más, los servicios de inteligencia extranjeros. El año pasado, en un acto descarado, ladrones
usaron la información de una tarjeta de crédito robada para robar millones de dólares de 130 cajeros automáticos (ATM) en 49 ciudades alrededor del mundo- y lo hicieron en
sólo 30 minutos. Un solo empleado de una empresa estadounidense fue declarado culpable del robo de propiedad intelectual supuestamente de US$ 400 millones. Se estima que
el año pasado solamente los cibercriminales robaron propiedad intelectual de empresas de todo el mundo por US$ 1 trillón.

La amenaza proviene de múltiples vectores de amenazas, que los profesionales de la seguridad están en posición de detener.
En breve, la prosperidad económica de Estados Unidos en el siglo XXI dependerá de la seguridad cibernética.

El éxito o fracaso de cada organización puede depender de las acciones de los profesionales de la seguridad.
Nuestra ventaja tecnológica es la clave del predominio militar de Estados Unidos. Pero, nuestra defensa y redes militares están bajo constante ataque. Al Qaeda y otros grupos
terroristas han hablado de su deseo de lanzar un ataque cibernético en nuestro país –ataques que son difíciles de detectar y difíciles para defenderse. De hecho, en el mundo
 actual, los actos de terror podrían venir no sólo de unos pocos extremistas con chalecos suicidas, sino de unos pocos golpes de teclas en la computadora- un arma de disrupción
masiva…
Por todas esta razones, queda claro que esta amenaza cibernética es una de los desafíos económicos y de seguridad nacional más graves que enfrentamos como nación.

En 1937, Alan Turing creo la Máquina Turing, antecesora de lo que se convertiría finalmente en la microcomputadora. Su máquina creó un nuevo mundo,
un nuevo paradigma en el cual los responsables de la protección de las personas y activos ahora deben comprender. La amenaza es real y los ataques ya
están en marcha.
REFERENCIAS

Acohido, B. (2009, August 9). Twitter troubles show fragility of social network. USA Today.

Baker, S. (2009, April 28).Testimony before the U.S. Senate Committee on Homeland Security and Governmental Affairs. Available:
http://hsgac.senate.gov/public/index.cfm?FuseAction=Files.View&FileStore_id=98c47739-98ac-43d5-a161-0fa82e2f5243[2010, December 5].

Booz Allen Hamilton. (2005). Convergence of enterprise security organizations. Arlington, VA: Alliance for Enterprise Security Risk Management.

Braun, R., & Stahl, S. (2005). An emerging information security minimum standard of due care. In H. Tipton and M. Krause (Eds.), Information security
management handbook (6th ed.). Boca Raton, FL: Auerbach Publications.

Claborn, T. (2009, February 3). Data loss costing companies $6.6 million per breach. Information Week.

Correll, S. (2009, September). Rogueware on an explosive trend. ISSA Journal.

Dunham, K. (2009, August). Mobile malcode threats. ISSA Journal.

FBI. (2009, November 3). Press release: Fraudulent automated clearing house (ACH) transfers connected to malware and work-at-home scams. Available:
http://www.fbi.gov/pressrel/pressrel09/ach_110309.htm [2010, December 5].

Gladwell, M. (2008). Outliers: The story of success. New York, NY: Little, Brown and Company.

Gordon, L., & Loeb, M. (2006). Managing cyber-security resources: A cost-benefit analysis. New York, NY: McGraw-Hill.

Harwood, M. (2009, August). Cybercriminals keep malware alive longer. Security Management.

Harwood, M. (2009, June). YouTube account holders target of phishing scam. Security Management.

Herley, C., & Florencio, D. (2009). Nobody sells gold for the price of silver: Dishonesty, uncertainty and the underground economy. Microsoft research.
Available: http://research.microsoft.com/pubs/80034/nobodysellsgoldforthepriceofsilver.pdf [2010, December 5].

IBM Global Technology Services. (2009). IBM Internet Security Systems X-Force 2009 mid-year trend and risk report. Available:
http://www.servicemanagementcenter.com/main/pages/IBMRBMS/SMRC/ShowCollateral.aspx?oid=68843&ssid=66&sf=1 [2010, December 5].

ISO 27001. (2005). Information technology—security techniques— information security management systems—requirements. Geneva, Switzerland:
International Organization for Standardization.

Kellerman, T. (2009, April 28). Testimony before the United States Senate Homeland Security and Government Affairs Committee. Available:
http://hsgac.senate.gov/public/index.cfm?FuseAction=Hearings.Hearing&Hearing_ID=fd18b89f-b540-4e9a-9c52-823013751b9b [2010, December 5].

Kim, H. (2009, July 9). Official says seven South Korean websites attacked again. USA Today.

Krebs, B. (2009, September 9). Cyber thieves steal $447,000 from wrecking firm. Washington Post. Available:
http://voices.washingtonpost.com/securityfix/2009/09/cyber_theives_steal_447000_fro.html#more [2010, December 5].

Kuhn, T. (1962). The structure of scientific revolutions. Chicago, IL: University of Chicago Press.

Kwon, M. (2009, September 20). Speech to the ISSA gala 25 year anniversary event.

Lam, D., & Stahl, S. (2010, January). Convergence, paradigm shifts and reaching the village. ISSA Journal.

Lemos, R. (2009, September 18). Real-time hackers foil two-factor security. Technology Review (MIT). Available:
http://www.technologyreview.com/computing/23488/?a=f.

Mills, E. (2009, August 24). Cisco wireless LANs at risk of attack, ‘skyjacking.’ CNET News. Available: http://news.cnet.com/8301-27080_3-10316870-
245.html [2010, December 5].

National Commission on Terrorist Attacks. (2004). The 9/11 commission report: Final report of the National Commission on Terrorist Attacks upon the
United States. New York: W.W. Norton.

Obama, B. (2009, May 29). Remarks by the President on securing our nation’s cyber infrastructure. Available: http://www.whitehouse.gov/the-press-
office/remarks-president-securing-our-nations-cyber-infrastructure [2010, December 4].

Privacy Rights Clearinghouse. (2009). Chronology of data breaches. Available: http://www.privacyrights.org/data-breach [2010, December 4].

Richardson, R. (2008). CSI computer crime & security survey. Available: http://www.cse.msstate.edu/~cse6243/readings/CSIsurvey2008.pdf [2010,
December 5].

Symantec Corporation. (2008). Symantec internet security threat report: Trends for July-December 2007. Available:
http://eval.symantec.com/mktginfo/enterprise/white_papers/b-whitepaper_exec_summary_internet_security_threat_report_xiii_04-2008.en-us.pdf
 [2010, December 5].

Trotta, D. (2009, August 17). Three indicted in largest US identity theft scheme. Reuters. Available:
http://www.reuters.com/article/idUSTRE57G4GC20090817 [2010, December 5].

Tyson, D. (2007). Security convergence: Managing enterprise security risk. Burlington, MA: Butterworth- Heinemann.

United States v. Carroll Towing Co., 159 F.2d 169, 173-74 (2d Cir. 1947).

U.S. Attorney’s Office, Western District of Washington. (2006, August 25). Press release: California man sentenced for “botnet” attack that impacted
millions. Available: http://www.usdoj.gov/usao/waw/press/2006/aug/maxwell.html [2010, December 5].

Varnado, S. (2005, October 18). Statement to U.S. House of Representatives Committee on Homeland Security, Subcommittee on Economic Security,
Infrastructure Protection, and Cyber Security and the Subcommittee on Emergency Preparedness, Science, and Technology. Available:
http://www.sandia.gov/news/resources/testimony/pdf/051018.pdf

Verizon Business RISK Team. (2009). 2009 Data Breach Investigations Report. Available:
http://www.verizonbusiness.com/resources/security/reports/2009_databreach_rp.pdf.

Wagley, J. (2009, August). Preparing for cyber extortion. Security Management. Available: http://www.securitymanagement.com/article/preparing-cyber-
extortion-005952 [2010, December 5].

Willson, D. (2009, August). A global problem: Cyberspace threats demand an international approach. ISSA Journal.
 CAPÍTULO 3
BASE DE CONOCIMIENTOS
DE LA SEGURIDAD DE LOS
SISTEMAS DE INFORMACIÓN

El objetivo de un programa de seguridad de los sistemas de información (ISS) de una organización es manejar prudente y rentablemente el riesgo de que la
información crítica pudiera
• ser comprometida
• ser cambiada sin autorización, o
• no estar disponible

En otras palabras, el profesional de la seguridad se esfuerza para proteger la confidencialidad, integridad y disponibilidad de la información (a veces
llamado CIA16 en este contexto). El esfuerzo es importante ya que el riesgo de los sistemas de información conduce a otros riesgos, como los siguientes:
• pérdida de dinero a través del robo, fraude y malversación
• costos de recuperación del incidente
• costos por pérdida de la productividad
• pérdida de propiedad intelectual
• abogados y otros gastos legales
• pérdida de valor de la marca

Esta parte de Protección de Activos presenta una visión general del cuerpo de conocimiento de la ISS, incluyendo los riesgos de la ISS y numerosos
desafíos técnicos, legales y de gestión de la ISS.

3.1 LOS ELEMENTOS DE RIESGO DE LA ISS

3.1.1 TÉRMINOS DE LA ISS

El lenguaje básico de la ISS puede ya ser familiar para el profesional de seguridad tradicional:
• Amenaza de los sistemas de información: cualquier circunstancia, capacidad, acción o acontecimiento con el potencial para impactar adversamente
un sistema de información a través del acceso no autorizado, destrucción, divulgación, modificación de datos y/o denegación del servicio.17
• Vulnerabilidad de los sistemas de información: un defecto o debilidad en el diseño, implementación u operación y gestión de un sistema de
información, incluyendo políticas, procedimientos, procesos y controles internos que podrían ser explotados para violar la política de seguridad del
sistema.18
• Riesgos de los sistemas de información: producto del nivel de amenaza y nivel de vulnerabilidad.19
• Contramedidas de los Sistemas de Información: una acción, dispositivo, procedimiento, técnica u otra medida que reduce una amenaza, una
vulnerabilidad o un ataque eliminándolo o evitándolo, mediante la minimización del daño que puede causar o descubriéndolo e informándolo de
modo que se pueda tomar una acción correctiva.20
• Riesgo de amenaza residual: por cada amenaza, el potencial riesgo que queda después de que todas las contramedidas de ISS son aplicadas.21
• Riesgo residual: el restante potencial riesgo que queda después que todas las contramedidas de ISS son aplicadas para todas las amenazas.22

3.1.2 ECUACIÓN FUNDAMENTAL DE ISS

Los conceptos de riesgo antes mencionados conectan en la ecuación fundamental de ISS (Quigley & Stahl, 1987):

Esta ecuación pretende ser cualitativa, no cuantitativa. Se dice que el riesgo residual aumenta a medida que aumenta la amenaza y a medida que aumenta la
vulnerabilidad. El riesgo residual disminuye en la medida que se apliquen las contramedidas. Si todo lo demás sigue siendo igual (ceteris paribus),
mientras más vulnerabilidades se tienen, más alto es el riesgo residual. Asimismo, cuanto más cuidadosamente se planifique y administre el sistema de
contramedidas, más bajo es el riesgo residual.
3.1.3 AMENAZAS DEL SISTEMA DE INFORMACIÓN

Las amenazas son llevadas a cabo por factores de amenaza. Las primeras dos categorías de factores de amenaza ya son conocidas para los profesionales de
la seguridad física. La tercera categoría demuestra la necesidad de un paradigma de seguridad lógica (en contraposición a la física). Las categorías son:

Naturaleza:
• terremotos
• huracanes
• otros desastres naturales

Personas:
• empleados y otras personas con acceso legítimo que desea aprovechar las oportunidades
• cibercriminales y otras personas con legítimo acceso
− ladrones de banco a través de sistemas informáticos (online)
− botnet herders (recolectores de botnet)
− ladrones que se dedican al fraude de tarjetas de crédito y robo de identidad
− espías corporativos
− gobiernos extranjeros que participan en la guerra cibernética
− personas enojadas, hostiles o trastornadas o grupos que participan en el ciberterrorismo

Amenaza Virtual:
• un programa informático o script instalado ilegítimamente en una estación de trabajo, servidor, router u otro dispositivo de sistemas de información y
capaz de alguno o todos los siguientes:
− enviar información desde el dispositivo el cual es instalado para el propietario del programa (su control)
− recibir instrucciones de mando y control desde su control y ajustar su comportamiento en consecuencia
− ejecutar comandos en el dispositivo en el cual está instalado

Un factor de amenaza virtual es el equivalente a un fantasma en la red, un fantasma que ni siquiera se sabe que está presente hasta que, actuando en nombre
de su verdadero dueño, roba, cambia o destruye la información de una organización o hace mal uso de su sistema.

Las amenazas no existen en el mundo real. Para robar la bóveda real de un banco, uno debe ir al banco. Un criminal no puede decirle a Scotty “Beam me
up”23 y esperar a ser transportado a la bóveda y luego volver a salir con el botín. Por contraste, el equivalente virtual de esto se hace diariamente en el
ciberespacio. Más que nada, la capacidad del cibercriminal para “ir virtualmente” es lo que hace tan diferente el paradigma de seguridad lógica del
paradigma de seguridad física.

Las amenazas virtuales aprovechan la propia lógica de los sistemas informáticos y de comunicaciones. Esos sistemas son tan complejos que su lógica es
inherentemente defectuosa. Estos defectos son la fuente de una serie interminable de vulnerabilidades. Los cibercriminales y otras personas aprovechan
estas vulnerabilidad –por lo general con la ayuda involuntaria de los seres humanos- para instalar y ejecutar sus factores de amenaza virtuales en las
plataformas de tecnología.

Antes de usar un factor de amenaza virtual, un cibercriminal u otro delincuente debe acceder a la computadora de destino. Los métodos incluyen acceso
físico directo en la computadora (a través de la unidad de USB u otro periférico); pirateando el equipo en forma remota; colocando un malware en la
computadora, quizás mientras el usuario está navegando en un sitio Web; y haciendo phishing (suplantar la identidad) y social engineering (ingeniería
social)24.

Algunas amenazas virtuales actuales a partir de la redacción de este documento incluyen estas:
• marketing spyware (programa espía para comercialización), recolecta información sobre los sitios Web visitados, envía la información a su
propietario y muestra las ventanas emergentes.
• Keyloggers (registrador de teclas), graba las pulsaciones del teclado y envía los datos a su propietario
• Koobface (anagrama de Facebook), gusano informático que se dirige a las personas que usan sitios de las redes sociales
• Zeus, troyano para fraudes bancarios online

3.1.4 VULNERABILIDADES DE LOS SISTEMAS DE INFORMACIÓN

Las amenazas no pueden manifestarse sin una vulnerabilidad de la que aprovecharse. Las vulnerabilidades del ISS se encuadran en cinco grandes
categorías:
• vulnerabilidades de la infraestructura de los sistemas de información, tales como links (vínculos) a redes sin protección, configuración incorrecta
del sistema o estaciones de trabajo sin parches
• vulnerabilidades de las personas que usan la infraestructura de los sistemas de información (usuarios), significa que los usuarios permiten que
 otras personas, a través de la ingeniería social u otros medios, accedan a sus computadoras
• vulnerabilidades en las personas que mantienen la infraestructura de los sistemas de información (custodios), incluyendo demasiados permisos,
inadecuada supervisión y registro de acciones de inicio de sesión e inadecuada capacitación
• vulnerabilidades de los ejecutivos y la alta gerencia, incluyendo la falta de responsabilidad, políticas y procedimientos inadecuados, falta de
entrenamiento de conciencia de seguridad, inadecuada administración de terceros y vulnerabilidades físicas
• vulnerabilidades en los procesos de gestión de los sistemas de información, incluyendo una incorrecta gestión del control de la infraestructura de
los sistemas de información, inadecuada gestión de parches, inadecuado control de cambios, inadecuada protección de redes y dispositivos,
inadecuado desarrollo de software y metodologías del administrador de bases de datos e inadecuada planificación de la continuidad de la información

3.1.5 OBJETIVOS DE CONTROL DE LOS SISTEMAS DE INFORMACIÓN

Antes de esbozar la gama de contramedidas disponible para la gestión del riesgo residual de los sistemas de información, es importante especificar los
objetivos de control del ISS que esas contramedidas deben cumplir.

Tal como en otras disciplinas de seguridad, no basta decir que uno protege los activos corporativos. Deben cumplirse otros tres objetivos de control:
detección, recuperación y cumplimiento. Como se muestra en la Figura 3-1, para cada uno de los cuatro objetivos de control es necesario mantener la
confidencialidad, integridad y disponibilidad de los datos de la organización.

3.1.6 CONTRAMEDIDAS DE LOS SISTEMAS DE INFORMACIÓN

Como en otras disciplinas de seguridad, las contramedidas de los sistemas de información se pueden dividir en tres grandes clasificaciones:

controles administrativos: gestión, políticas, procedimientos, estándares, directrices, investigación del

personal, entrenamiento de conciencia, etc.

controles técnicos: inicio de sesión en redes y contraseñas, cortafuegos, auditoría de inicios de

sesión, encriptación, antivirus y filtros de spam (correo electrónico no
deseado)

controles físicos: cierre de puertas, cámaras, controles del entorno, guardias, etc.

Además de la clasificación de las contramedidas por tipo, es muy útil clasificar las contramedidas por el lugar en el que están siendo implementadas:
• contramedidas en la infraestructura de los sistemas de información (técnica)
• contramedidas en la gestión de la infraestructura de los sistemas de información (administrativa, técnica, física)
• contramedidas de los ejecutivos y la alta dirección (administrativa, técnica, física)
• contramedidas basadas en la comunidad (administrativa, técnica, física)

Cada una de las anteriores se aborda a continuación.

Contramedidas de la Infraestructura
Las contramedidas de infraestructura son los controles ubicados en la infraestructura del sistema de información para prevenir la explotación de las
amenazas. Tales contramedidas incluyen las siguientes:
• perímetro de seguridad, incluyendo dispositivos que crean o aseguran un perímetro, tales como los interruptores, cortafuegos, etc.
• protección del dispositivo de seguridad, incluyendo protección específica en dispositivos (antivirus, cortafuegos personal, discos duros encriptados,
etc.)
• control de acceso y autenticación, incluye asegurarse que una persona está autorizada antes de que pueda hacer algo en un dispositivo (identificación
de usuario, contraseñas, segundo factor para dispositivos electrónicos, etc.)

Contramedidas en la Gestión de la Infraestructura de los Sistemas de Información

Las contramedidas en esta categoría incluyen las reglas sistémicas para la protección de todo el sistema. Ellas incluyen las siguientes:
• vulnerabilidad y gestión de parches, para hacer frente a cualquier vulnerabilidad conocida en el sistema
 • supervisión del sistema y revisión de ingresos, para saber qué está sucediendo en los sistemas y ser capaz hacer una investigación forense de
cualquier cosa que ocurra
• métricas de seguridad de los sistemas de información, para garantizar que se puede medir el éxito de los esfuerzos
• seguridad física de la infraestructura de los sistemas de información, para asegurarse que las personas no pueden obtener acceso físico a los
sistemas
• capacitación al personal de TI en seguridad de la información, para asegurarse que aquellos en los que la organización confía sus sistemas estén
capacitados apropiadamente.

Contramedidas de los Ejecutivos y la Alta Dirección

Quizás lo más importante en seguridad de la información, así como en seguridad física, es tener el compromiso de la gerencia ejecutiva en el apoyo a las
iniciativas de seguridad. Las contramedidas de la gerencia incluye las siguientes:
• un sistema de gestión de ISS explícito con responsabilidad, autoridad y rendición de cuentas (accountability) otorgada a toda la organización; un
liderazgo ejercido desde arriba; y responsabilidades claras para todos los gerentes y empleados
• las políticas y procedimientos de seguridad de la información que incorporan el ISS a través de toda la organización, incluyendo la gerencia ejecutiva
• programas de sensibilización y educación del ISS para todos los usuarios
• incorporación de las materias de seguridad de los sistemas de información en los planes de continuidad del negocio, contingencia y emergencia.
• gestión de la seguridad de la información incorporada en todos los acuerdos para compartir información e implementaciones

Contramedidas Basadas en la Comunidad

En cierto sentido, se necesita una aldea para asegurar una aldea. Las vulnerabilidades generalizadas a través de los sistemas informáticos en todo el mundo
los pone a todos en un riesgo cibernético mayor. Autores que escriben en el ISS Journal señalan (Lam, Pease, Stahl & Takamine, 2007):
En el mundo actual, todo el mundo está expuesto al riesgo del cibercrimen. Y, nos corresponderá a todos disminuir el riesgo a niveles aceptables. La seguridad de la información
ya no involucra simplemente a aquellos que trabajan profesionalmente en el campo. En el mundo actual, todos debemos participar en la disminución del riesgo. Todo gerente de
TI, proveedor de TI, CIO, CTO, CFO, COO, CSO y CEO; cada miembro de la Junta de Directores, cada empleado, ya sea en TI, adquisiciones, auditoría, ventas o recursos
humanos debe ser una parte de la solución de la seguridad de la información. Todo usuario de computadora tiene un rol que cumplir en la disminución del riesgo de la
información de la comunidad. Nosotros los profesionales de la seguridad no podemos asegurar nuestras organizaciones por nosotros mismos.

Todo el mundo en los negocios (incluyendo los ejecutivos, personal de primera línea, y gerentes de seguridad) y en las organizaciones comunitarias es
responsable de la seguridad de la información. Una sola máquina que quede sin parche puede ser la plataforma de lanzamiento de una serie de ataques
sobre todas las demás.

3.2 CAYENDO POR LA MADRIGUERA DEL CONEJO: LÓGICA INFORMÁTICA, COMPLEJIDAD

DEL SISTEMA Y VULNERABILIDAD INHERENTE
En 1936, un joven matemático británico, Alan Turing, publicó un documento que puede ser considerado el comienzo de la era informática moderna. En él
exploró matemáticamente lo que significa que un número sea computable, es decir, para que sus sucesivos decimales sean calculables por medios finitos.
El resultado fue que el marco matemático que él creó hoy es conocido como la Máquina Turing, una máquina para calcular los decimales de los números.
Matemáticamente, una computadora no es nada más que una Máquina de Turing finita, un dispositivo increíblemente sofisticado para desarrollar lo que
esencialmente son operaciones lógicas muy simples.

Todos los niños en la escuela, por ejemplo, aprenden a calcular los decimales de fracciones simples como ½, ¾, 7/8, etc., En la medida que se avanza en la
escuela, uno aprende algoritmos para calcular decimales de raíces cuadradas y la expansión decimal de números como Pi.

Lo que Turing hizo en su monumental documento de 1936 fue investigar explícitamente el carácter matemático deL aparentemente simple concepto de
contabilizar. Haciendo eso, él descubrió que el concepto no era nada de simple; en 75 años transcurridos desde su documento, la teoría de la
computabilidad ha llegado a ser una parte rica y profunda de las matemáticas, quedando en el corazón de los fundamentos lógicos de las matemáticas.

Tres años después de la publicación de su documento y con el estallido de la II Guerra Mundial, Turing empezó a aplicar sus matemáticas al desafío de
descifrar las señales alemanas. De esta manera, él y sus colegas diseñaron y construyeron la primera computadora moderna del mundo. Irónicamente, esta
primera computadora puede ser pensada como una herramienta de pirateo informático usada para descifrar la información alemana altamente sensible y
confidencial!

Central para el trabajo de Turing –y para la comprensión de los desafíos de seguridad de los sistemas informáticos modernos- es el concepto de un
algoritmo. Un algoritmo es un método preciso para resolver un problema utilizando una secuencia finita de instrucciones precisas.

Los programas computacionales son extremadamente grandes, algoritmos extremadamente complejos. Debido a su tamaño y complejidad, los programas
computacionales contienen errores o fallas (bugs). Estos errores a veces son el resultado de no ser lo suficientemente preciso en la definición del problema
a resolver, las instrucciones a seguir, o el orden en el cual se procesan las instrucciones. Estos errores pueden ocasionar vulnerabilidades para la seguridad
de la información. Para comprender el paradigma de la seguridad lógica y lo que significa para la seguridad de los sistemas de información, es importante
entender algunos de los desafíos de escribir buenos algoritmos, es decir, software que contiene relativamente pocos (y relativamente poco dañinos) errores.

3.2.1 CÓMO FUNCIONAN LOS SISTEMAS INFORMÁTICOS

Las primeras computadoras digitales construidas durante la II Guerra Mundial por Turing y otras personas, fueron diseñadas para hacer una cosa, ejecutar
un programa. En los años 70 o más o menos a partir de entonces, las computadoras han evolucionado en tamaño, velocidad y complejidad. En 1968,
cuando Intel fue fundada por Robert Noyce y Gordon Moore, en realidad nadie tenía idea de lo que estaba por venir. En la medida que Intel creció, Moore
desarrolló la hipótesis, ahora conocida como la Ley de Moore, de que el poder de procesamiento en cualquier línea de computadoras se duplicaría cada 18
meses. Para algunos investigadores en la frontera entre la antropología y la ciencia informática, la Ley de Moore caracteriza el crecimiento exponencial de
las tecnologías humanas que se remonta a más de 100.000 años.25

¿Por qué esto es relevante para el profesional de la seguridad física? El poder de procesamiento de un Smartphone BlackBerry o iPhone de Apple es mayor
que el de la primera computadora lanzada por IBM en 1981. Una consecuencia del trabajo de Turing es que una mayor complejidad, permitida por más
poder de procesamiento, conduce a una mayor posibilidad de error. No sólo eso, sino que estos dispositivos están conectados entre sí de maneras ni siquiera
imaginables cuando Intel fue fundada.

En la medida en que las computadoras son usadas en nuevas e innovadoras maneras, y se vuelven más interconectadas, se han vuelto más vulnerables. Los
sistemas de seguridad física que hoy se ejecutan como parte de tecnologías de convergencia en redes de TI alrededor del mundo ilustran esto
perfectamente. Lo que anteriormente se entendía como un activo físico, ahora presenta un nuevo tipo de riesgo porque es un activo virtual. Debido a que es
campo del profesional de la seguridad física proteger esos sistemas, ya sean cámaras o alarmas, y si existen físicamente, virtualmente, o ambas, ahora es
necesario que el profesional de la seguridad física comprenda cómo se interrelacionan estos dispositivos y cuáles son los riesgos adicionales que podrían
representar para la organización.

Como en otros lugares del mundo virtual, existe una pequeña pero vital sutileza aquí: un programa puede hacer lo que está programado que haga y aún
tener vulnerabilidades. La razón es que la seguridad está especificada inadecuadamente. Por ejemplo, una especificación de seguridad puede decir que la
interfaz del usuario a una base de datos back-end 26 sensible requiere un nombre de usuario y una contraseña. El sistema de base de datos es construido de
acuerdo con esta especificación, pero permite que cualquier persona con un acceso directo a la base de datos back-end lea los datos. Lo que la
especificación debiera haber dicho es que no se permite el acceso a los datos sin que el usuario sea autenticado en el momento del acceso. Ahora el fondo
ya no puede asumir que el usuario ya ha sido autenticado en el front-end.

La Figura 3-2 muestra los aspectos básicos del funcionamiento de una computadora. Al comenzar el proceso de encendido del equipo, las instrucciones
básicas de cómo se pone en marcha están almacenadas en su hardware. Tiene una serie de instrucciones sobre qué hacer cuando se enciende por primera
vez. Este proceso se conoce como booting up (arranque o inicio), que es una referencia al concepto de una computadora que se levanta mediante su propio
esfuerzo.

A continuación la computadora empieza a leer las instrucciones sobre qué hacer. Las instrucciones pueden estar almacenadas en distintos lugares, pero en
pro de la discusión, el área de almacenamiento de las instrucciones puede ser llamada firmware. El firmware permite que las instrucciones de la
computadora sean actualizadas periódicamente.

Después de leer esas instrucciones, la computadora pasa al sistema operativo. El sistema operativo, como Microsoft Windows, Linux o Mac OS, contiene
millones de líneas de instrucciones necesarias para hacer funcionar una computadora moderna. Entre otras cosas, un sistema operativo se ocupa del input
(entrada) y output (salida). Eso significa que un usuario u otro agente puede ingresar instrucciones y recibir a cambio un resultado. Además, los sistemas
operativos por lo general son responsables de la autenticación del usuario –el proceso de verificación (autenticación) de que la persona accediendo al
dispositivo es quién dice ser.

El siguiente nivel de la arquitectura de un sistema informático tiene relación con los periféricos, elementos dentro de la computadora o conectados a ella.
Un ejemplo es el disco duro. Generalmente, el sistema operativo se carga en el disco duro y esas instrucciones son cargadas por la computadora cuando se
enciende. Otro periférico es un lector de CD-ROM. Durante la secuencia de inicio, una computadora puede tomar instrucciones del CD-ROM y actuar
sobre él. En una serie de situaciones de piratería informática, los hackers (piratas informáticos) colocaron en los lugares del almuerzo CD-ROM
especialmente diseñados con títulos tentadores como “datos de nómina de pago”. Un usuario al poner el CD-ROM en su computadora ha comprometido su
PC, ya que el CD-ROM ejecuta su programa de inicio.

Es importante señalar que una computadora funciona en dos modos principales: como un dispositivo de computación independiente (stand-alone) y como
un dispositivo que puede comunicarse con otras computadoras. Una computadora opera como dispositivo independiente almacenando y manipulando
información en su memoria. La memoria puede contener información que sólo está disponible cuando la computadora está encendida (memoria volátil) o
información que está disponible sin energía aplicada al sistema (memoria estática).

Los cambios de los datos y las manipulaciones se llaman cálculos, lo cual ocurre en el procesador de la computadora. En el modo stand-alone, una
computadora sigue un conjunto de instrucciones para manipular los datos, generalmente a través de la entrada en un teclado, desde la memoria, o desde un
periférico. Luego, la computadora actúa sobre los datos, desarrollando un cálculo básico o escribiendo datos en la memoria. Este es el modelo básico de
Turing de un algoritmo.

Una PC original de IBM en 1981 no necesariamente habría sido conectada a otra computadora. Por lo que uno tendría dificultad para añadir o eliminar algo
de la computadora sin acceder a ella físicamente. En esa era, la seguridad de las PC era más fácil que hoy. A medida que avanzaron los ochenta, las
computadoras empezaron a hablar entre ellas. No obstante, incluso entonces, la mayor parte del trabajo de la ISS consistía en asegurar los mainframes
(macro-computadora o computadora central) al interior de los centros de datos.

Con respecto a las comunicaciones informáticas, las computadoras en Internet se comunican a través de un protocolo llamado Protocolo de Internet (IP de
ahora en adelante, por sus siglas en inglés) el cual también se conoce como TCP/IP (Protocolo de Control de Transporte/Protocolo de Internet). Casi todas
las comunicaciones modernas vía computadora siguen un modelo llamado Interconexión de Sistemas Abiertos (OSI) Modelo de Red de Siete Capas,
desarrollado por la International Organization for Standardization. El modelo (Reed, 2003)
Describe siete capas de interacción para un sistema de información que se comunica a través de una red, presentando una pila de capas que representan la principales áreas de
funciones que generalmente son necesarias o útiles para la comunicación de datos entre nodos en un entorno distribuido.

Las siete capas del modelo OSI son las siguientes:

Generalmente, la lista se lee de abajo hacia arriba.

Capa 1
En la capa física, las computadoras se comunican, ya sea enviando impulsos eléctricos, o no. Este nivel define el voltaje real y las interfaces que una
computadora utiliza para comunicarse.

Capa 2
En el nivel de enlace de datos, las computadoras realmente se están comunicando lógicamente. En la comunicación de la capa 2, las computadoras sólo
pueden hablar entre sí cuando pueden conectarse directamente entre ellas. Para que una máquina converse con otra, las dos deben estar conectadas. En la
forma más simple, esto puede ocurrir cuando dos máquinas están conectadas con un cable. En una red moderna, los cables van desde una computadora a
una ubicación centralizada, generalmente conocida como una instalación de distribución intermedia (IDF por sus siglas en inglés). En cada una de estas
instalaciones, por lo general hay un switch (interruptor). El switch es análogo a un conmutador de teléfono, en el cual múltiples teléfonos se conectan y por
el cual un teléfono puede conversar con otro. En términos simples, cada computadora directamente conectada a un switch puede hablar con cualquier otra
computadora directamente conectada al mismo switch. En esta capa, las comunicaciones ocurren automáticamente sin una configuración adicional.

Una persona en una habitación con varias otras personas, por lo general, puede conversar directamente con esas personas. Es fácil hablar alrededor de una
mesa en una sala de reuniones, porque uno puede ver a las otras personas en la habitación. Esto se parece a las computadoras conectadas el mismo switch o
un conjunto de switches. Una computadora es capaz de conversar con otra computadora simplemente diciendo su nombre.

Los switches proporcionan un poco de privacidad, análogos a una conversación susurrada entre dos personas que se sienta una al lado de la otra en una
mesa de reuniones. Aunque una conversación susurrada se supone que es privada, existe una gran cantidad de maneras de escucharla. Una podría pararse
cerca de las personas que están conversando o usar un micrófono especial. Del mismo modo, en el mundo virtual, los hackers pueden meterse en medio de
una conversación de la que se supone ellos no son parte. Ciertamente, esto aplica a la comunicación a través de un switch local. Un switch no sólo es un
dispositivo de back-end que conecta computadoras, sino también es un host (anfitrión) que se puede configurar. Ejecuta programas, lo que significa que
puede ser comprometido (por ejemplo, si un cibercriminal obtiene acceso a la configuración del programa).

Capa 3
En la capa de red, las computadoras son capaces de verse unas a otras directamente. Esto también es conocido como la comunicación de capa 3. Esta capa
fue creada de modo que las máquinas que no pudieran verse inmediatamente entre ellas puedan seguir comunicándose.

Para que esto ocurra, es necesario tener un intermediario que permita la comunicación a través de muchos intermediarios en el proceso. En el mundo físico,
las oficinas de correos y las compañías de teléfonos saben cómo entregar información de un lugar a otro basado en algún tipo de código de enrutamiento. El
dispositivo informático que permite que esto suceda se llama router (enrutador). Un router sabe cómo llegar de un lado a otro de modo que las
computadoras puedan conversar entre sí. Los routers también conversan entre sí, de modo que cada router en un camino crítico sepa como llegar a otro
router en otro lugar.

Capas Restantes
Las otras cuatro capas del modelo OSI también son importantes para la comprensión de la forma en que las computadoras interactúan. Por ejemplo, la
cuarta capa, la de transporte, determina el mecanismo de cómo las computadoras van a transportar la información entre dos computadoras ahora que ellas
pueden conversar. Las últimas tres capas –sesión, presentación y aplicación- dirigen cómo las computadoras organizan los datos en flujos, estandarizan los
datos y realizan funciones que no pertenecen directamente al funcionamiento de la red.

También son importantes las aplicaciones que se ejecutan en una computadora que realizan tareas específicas. Estas pueden ser cosas como servidores de
Web que permiten a los usuarios obtener acceso a los datos, las bases de datos que realmente mantienen los datos o algo tan simple como Microsoft Word.
Estas aplicaciones pueden acceder a los datos, y es importante pensar acerca de cómo ellas podrían ser mal usadas.

Desafíos del Ingreso de Datos (Input)

Hay varios mecanismos por los cuales alguien pueden acceder o manipular información en una computadora.

Una computadora normalmente tiene tres puntos de entrada lógica para conseguir hacer algo: entrada, programas y gran cantidad de comunicaciones. La
entrada es el medio más fácil para hacer llegar información a una computadora –se escribe en un teclado o se usa otro dispositivo de entrada. Los
programas, también, son capaces de pedirle a la computadora que haga algo. La parte peligrosa es la gran cantidad de comunicaciones, a través de la cual
una computadora puede enviar entradas o pedirle a un programa que haga algo desde cualquier parte del mundo.
Las entradas vienen en muchas formas. Puede consistir en escribir texto en un procesador de texto desde el teclado; podría ser un usuario ingresando su
nombre de usuario y contraseña; o podría ser el programa de la computadora controlando la entrada/salida del sistema enviando un registro de acceso al
programa de la computadora evitando que los usuarios que no se encuentra en el edificio de acceso a un servidor que contiene información sensible.

Un modo de ataque mediante la entrada es para ingresar un texto inusual en un campo de inicio de sesión en una página Web, por ejemplo “o 1=1-”. Si la
computadora no está preparada para enfrentar adecuadamente esta entrada, la computadora podría devolver información que el usuario no debería ver.

Otra categoría de ataque se llama desbordamiento de búfer (buffer overflow). En esta instancia, un usuario malintencionado o un programa puede dar más
información al programa de la computadora que lo que está esperando. Las palabras o caracteres extras pueden producir un estado de desbordamiento de
búfer, dando instrucciones a la computadora para que haga algo no planeado.

Los errores lógicos pueden tener similares consecuencias. Si el programador no escribe el código correctamente, un usuario mal intencionado realmente
pude conseguir que haga algo. Además, si la computadora asume que algo sucederá en una secuencia determinada, pero la secuencia es interrumpida
debido a que un programa o la red está lenta, entonces algo puede burlar la computadora y provocar un evento malicioso.

Hosts: Es una Parte

Una computadora host almacena información y permite manipularla o comunicarse con otra computadora. Un host necesita un mecanismo para aceptar un
comando de un usuario y la manipulación de la información dentro de ella. Esto generalmente se conoce como la plataforma de la computadora. En la
mayoría de los casos, la plataforma es una de un limitado número de sistemas operativos.

En cada una de estas plataformas, pueden ejecutarse uno o más programas de aplicaciones. Una aplicación podría ser Microsoft Word. Otra podría ser un
navegador de Internet como Safari o Internet Explorer. Estas aplicaciones contienen millones de líneas de instrucciones. Aunque cada instrucción por lo
general es muy simple, la complejidad lógica asociada a cómo interactúan estas instrucciones se convierte en un caldo de cultivo para los errores.27

Cualquier sistema que es una computadora host tiene un peligro potencial de un modo u otro, incluyendo los siguientes sistemas:
• Servidores. Esto por lo general son máquinas que sirven a más de una persona en su aplicación específica. En algunos casos, cuando la gente se
refiere a un host, se están refiriendo a un servidor, aunque técnicamente esto no es correcto. Los servidores son de mayor preocupación debido a que
suelen servir a más de una persona y como resultado, generalmente son un repositorio de datos o algún mecanismo de acceso a los datos.
• Estaciones/Puestos de trabajo. Estos generalmente son máquinas que ejecutan un sistema operativo estándar y en el cual los usuarios ejecutan
múltiples programas. Estas clases de máquinas incluyen a las computadoras de escritorio y las computadoras con dispositivos de CPU aparte. Lo más
notable, es que estas máquinas no son portables. Estación/Puesto de trabajo también puede significar una computadora de escritorio high-end (gama
alta), pero aquí el término se refiere a una computadora que no se puede mover fácilmente.
• Computadora Portátil. Estas generalmente son idénticas en función a las estaciones de trabajo, pero son portables. Ellas pueden tener más
problemas simplemente porque se pueden mover.

Los asistentes personales digitales (PDA por sus siglas en inglés), como un iPod Touch, pueden contener tanta información como una computadora de los
noventa. Los teléfonos inteligentes, como el iPhone o la BlackBerry, también son computadoras potentes. Otros dispositivos, tales como las unidades USB
o flash, pueden carecer de inteligencia pero aún así llevan datos de un lugar a otro. Los reproductores MP3 y las cámaras digitales también pueden
transferir una inmensa cantidad de datos.

Cualquier cosa conectada o que se pueda conectar a una red está en riesgo. Eso ahora incluye teléfonos, cámaras e impresoras.

Ya que cualquier dispositivo que pueda comunicarse con otra computadora y tenga memoria se conoce como un host, un host también podría ser una
impresora, la que por lo general tiene un servidor Web como parte de su sistema operativo.

Normalmente, cuando un usuario inicia sesión en un host, necesita ser identificado y autorizado para tener acceso. Esto es lo mismo que ir a un oficial de
seguridad y mostrarle la identificación. El oficial revisa la identificación y la cara de la persona para determinar que es quién dice ser. Una computadora
generalmente identifica una persona solicitando su nombre de usuario y contraseña.

Después de la identificación del usuario, la computadora revisa una base de datos para ver qué tipo de autorización tiene ese usuario en particular. Las
cosas que un usuario tiene permitido hacer se llaman derechos, permisos y privilegios.

Este proceso de autenticación y autorización es parte de lo que se conoce como la tríada AAA28. La tercera parte de esta tríada es la
auditoría/responsabilidad, la cual es una parte esencial de asegurar de que lo que se supone que debería estar sucediendo, realmente está sucediendo.
Entre los muchos programas que operan simultáneamente en una computadora están los programas que simplemente mantienen la computadora
funcionando. Llamados servicios, estos programas se ejecutan como usuarios privilegiados, capaces de hacer muchas cosas en la computadora. Esto crea
un problema si alguien puede obtener esos servicios para hacer algo no deseado.

El concepto de la tríada CIA (por sus siglas en inglés; confidencialidad, integridad y disponibilidad) aclara los tipos de temas relevantes en la seguridad de
la información. La Figura 3-8 amplía la tríada CIA.

Confidencialidad
La autenticación del usuario es fundamental para asegurarse que las personas no consigan datos a los cuales no tienen derecho a acceder. Un mecanismo
para aumentar la seguridad es usar un factor de autenticación adicional más allá del nombre de usuario y contraseña.

Las contraseñas pueden ser descubiertas, pero otros mecanismos de autenticación son mucho más difíciles de descubrir o copiar. Un ejemplo es la
autenticación biométrica, como los escáneres de huellas digitales, escáneres de la geometría de la mano o escáner del iris. Otro mecanismo para un segundo
factor de autenticación es el token (señal) de contraseña de un solo uso (OTP por sus siglas en inglés) que cambia cuando una persona presiona un botón en
un dispositivo o después de un período de tiempo, generalmente cada un minuto más o menos.

Otro mecanismo para garantizar la confidencialidad es la encriptación. A menos que una persona sepa cómo descifrar los datos, no puede llegar a ellos. La
encriptación tiene muchas formas y ha sido usada por miles de años. Uno de los primeros métodos conocidos de encriptación se denomina cifrado César,
en el cual las personas usan una cuadrícula en cada extremo del método de encriptación permitiéndoles mover una letra un determinado número de
posiciones más adelante del mensaje real. Por ejemplo, cada instancia de la letra A podría ser reemplazada con la letra M. Las tecnologías modernas de
encriptación son mucho más sofisticadas que esta. No obstante, a lo largo del tiempo los mecanismos de encriptación son descifrados y es necesario
aumentar la intensidad de la encriptación en forma repetida.

Integridad
La encriptación también puede ayudar a la integridad, debido a que es muy difícil de modificar algo que uno no puede leer. Otra herramienta para mantener
la integridad es la comprobación de la redundancia cíclica (CRC por sus siglas en inglés), la cual muestra si los datos han sido manipulados.

Quizás los archivos más importantes cuya integridad debe ser conservada son los archivos que contienen los nombres de usuarios y contraseñas, y los roles
permitidos (derechos, permisos y privilegios) para todos los usuarios. Una organización quedaría a merced de cualquier cibercriminal capaz de cambiar
tales archivos.

Disponibilidad
Si los usuarios no pueden obtener sus datos, no es de mucha utilidad. Un viejo chiste de TI dice que hay dos tipos de usuarios de computadoras: aquellos
que sus discos duros han fallado y aquellos cuyos discos duros fallarán. Si la información desaparece, no está disponible. También puede desaparecer al ser
robada. Un principio básico en informática es respaldar la información fuera del sitio, de preferencia en una bóveda adecuada de almacenamiento de
información. De lo contrario, si una computadora falla, la oficina se incendia u otra tragedia, podrían dejar a la organización sin información.

La confiabilidad es una preocupación relacionada. Si un servicio adquirido no es altamente confiable, los usuarios podrían no ser capaces de acceder al
servicio cuando lo necesitan. Si una determinada conexión a Internet se cae todo el tiempo, los trabajadores no podrán hacer sus trabajos.

La redundancia ayuda al esfuerzo de asegurar la disponibilidad de los datos. Las computadoras, meras máquinas, sí se rompen. Cuando se diseña un
sistema de información, es importante incluir sistemas redundantes para garantizar la continuidad. Por ejemplo, si un servidor de grabador de video se cae,
debe estar disponible otro servidor de grabación de video. La redundancia también requiere tener una batería de respaldo y un generador de energía en el
evento que no haya suministro eléctrico. Dependiendo de la criticidad del sistema informático, uno puede necesitar sólo la suficiente energía para apagar el
sistema o suficiente para mantener el sistema funcionando. Esta última situación puede requerir un generador.

3.2.2 GESTIÓN DE LA INFRAESTRUCTURA DE TI

Después de comprender los principios básicos de cómo funcionan y se comunican las computadoras, es importante comprender cómo se gestionan. Los
profesionales de la seguridad son responsables de los activos de las empresas, incluyendo los activos entrelazados con la red informática. Por lo tanto, ellos
deben asegurarse que TI está sirviendo a las necesidades de la organización.

Uno de los mecanismos que los profesionales de TI utilizan para la gestión de su trabajo es la Biblioteca de Infraestructura de Tecnologías de Información
(ITIL por sus siglas en inglés). Este es un marco desarrollado por la British Office of Government Commerce en la década de los ochenta. Ha sido
adoptada como un estándar internacional para la gestión de TI. El estándar aborda el concepto de un acuerdo de nivel de servicio (SLA por sus siglas en
inglés). Esta es la forma que se negocia con los profesionales de TI para los servicios que una organización requiere haber entregado.

Todo lo que una organización desea, desde servicios regulares a servicios de emergencia, debe ser codificado de esta forma. De lo contrario, cuando algo
no está funcionando, los profesionales de TI puede que no sean capaces de cumplir las necesidades de la organización. Por ejemplo, si una organización no
especifica la cantidad apropiada de ancho de banda necesaria tanto para situaciones normales como de emergencia, el departamento de TI no puede crear la
configuración adecuada en sus equipos para que cumplan esas necesidades. En una situación en que participa un francotirador activo, cinco personas
podrían necesitar acceso al servidor de video al mismo tiempo. Si esta necesidad no ha sido abordada por adelantado, los recursos necesarios podrían no
estar disponibles cuando llegue el momento.

Los requerimientos de las instalaciones también son importantes desde la perspectiva del profesional de TI. Los profesionales de TI requieren seguridad
física así como controles ambientales adecuados para asegurarse de que sus sistemas trabajan apropiadamente. La humedad, las vibraciones y el aire
acondicionado son consideraciones importantes para el profesional de TI. Además, los profesionales de seguridad física deberían consultar con los
profesionales de TI para asegurarse que existen sistemas adecuados de detección de intrusión, control de acceso y video vigilancia para proteger el espacio
físico alrededor de la infraestructura basada en computadoras.

Esta preocupación incluye cada lugar en el cual los usuarios puedan conectarse a la red o tener acceso a los servidores. Si una persona obtiene acceso
físicamente a una computadora o servidor, generalmente puede obtener acceso a los datos que hay en ellos. Los profesionales de seguridad física deben
asumir que si alguien puede obtener acceso al switch físico, está cerca de obtener otros recursos de la red. Todas estas áreas deben ser aseguradas en forma
apropiada.

3.2.3 SISTEMAS INFORMÁTICOS DEL MUNDO REAL

El tipo más común de conexión de red es Internet, y desde un punto de vista lógico, es lo mismo si uno se conecta a Internet desde su casa o una empresa.
Una vez que el tráfico entra en Internet abierta, es imposible saber quién, si es que hay alguien, está protegiendo los datos.

Las empresas han abordado esto de múltiples maneras. En algunos casos, las empresas pagan proveedores de telecomunicaciones para redes privadas en las
cuales sólo sus datos viajan. Muchos niveles de privacidad están disponibles, pero sigue habiendo riesgos.

Uno no debería confiar en los sistemas que no están bajo nuestro control, por lo que es prudente colocar un dispositivo entre Internet y los sistemas que uno
necesita proteger: un firewall (cortafuego). Los firewall para las computadoras son como los firewall en los automóviles. La intención es mantener el fuego
lejos de los ocupantes del compartimento para pasajeros del automóvil en el evento que el motor se incendie. Sin embargo, los incendios incluso pueden a
veces abrirse camino a través de un firewall.

Los firewall para computadoras permiten que sólo cierto tráfico fluya desde una red no confiable, como la de Internet, a una red interna (donde
normalmente se almacenan los datos). Ellos debieran ser considerados sólo una herramientas del arsenal de defensa en profundidad.

Si una empresa está verdaderamente preocupada de la seguridad de su información, en Internet abierta o dentro de una red más privada, puede usar una
tecnología denominada red privada virtual (VPN por sus siglas en inglés), la cual cifra los datos desde un punto a otro. Para que los datos sean
comprometidos, asumiendo el uso de un algoritmo de encriptación adecuado, alguien tiene que conocer los secretos usados para encriptar los datos.
Un tema importante en la ISS es la nube informática, la cual permite a las empresas ofrecer servicios sin una inversión en infraestructura de tecnología. Un
atractivo es que mucho de lo que concierne a TI es gestionado por otra persona. Lamentablemente, la nube informática también despierta inquietudes sobre
la protección de datos.

Vulnerabilidades Reales: Un ejemplo de E-Mail

El e-mail (correo electrónico) se ha convertido en el mecanismo de comunicación estándar de facto en el ámbito empresarial. Lo que es sumamente
interesante es que el e-mail está directamente disponible en Internet. Alguien pueden enviar un e-mail directamente al servidor de correos de otra persona, y
ese servidor de correos entregarlo a la segunda persona. En general, esto es bueno; a la gente le gusta tener e-mail porque la conecta a otra gente en forma
eficiente.

Sin embargo, para hacer su trabajo, el software de correos debe tener un cierta cantidad de permisos en el servidor del destinatario. Un e-mail
especialmente diseñado puede hacer que el sistema de correos haga algo no deseado (al destinatario). Ese ataque de “escalada de privilegios” (escalation of
privileges) tiene éxito porque el programa de e-mail es engañado al ejecutar el e-mail como si fuera un programa más que procesarlo simplemente como
texto.29

Este tipo de ataque en ninguna parte es más prevalente que en las aplicaciones Web. Tal como los profesionales de seguridad física, los profesionales de
ISS aplican la defensa en profundidad para proteger los activos. Mientras más capas deba penetrar alguien para atacar a su objetivo, menos probabilidad de
tener éxito en el ataque.

Generalmente, las aplicaciones Web hacen que esos ataques sean mucho más fáciles. Los usuarios de Internet anuncian su presencia, haciendo que los
datos estén disponibles. Esto está bien cuando el usuario correcto está en el sitio Web de su banco. Sin embargo, abundan los riesgos.

Los nombres de usuario y contraseñas sólo son buenas si son secretas y no se pueden adivinar. La primera cosa que puede buscar un hacker es el nombre de
usuario de alguien. A menudos es predecible, quizás una dirección de correo electrónico. Es una tarea un poco más difícil adivinar la contraseña o usar un
programa llamado ataque de contraseña por fuerza bruta (brute force password hack) para repasar todas las combinaciones de contraseñas. Uno debe
suponer que un cibercriminal puede penetrar estas dos defensas, los nombres de usuario y contraseñas.

Las aplicaciones de oficina típicas como Microsoft Word o Apple Pages generalmente parecen benignas. Sin embargo, en algunos casos, las personas han
sido capaces de enviar archivos que le indican a esos programas que hagan cosas que no debieran hacer. Un usuario hace clic en ese archivo en un e-mail o
lo descarga vía página Web, con permiso o no, y se produce el ataque.

A algunas personas les gusta usar un servicio llamado protocolo de transferencia de archivos (FTP por sus siglas en inglés) para compartir archivos.
Lamentablemente, este es otro mecanismo a través del cual se puede tener acceso a la computadora de otro. Los programas hacen lo que se les dice, en el
mejor de los casos, y a menos que estén adecuadamente especificados e implementados –una tarea que implica un gran desafío- no distinguen entre lo
correcto y lo incorrecto.

Periféricos Relacionados
Muchos periféricos computacionales son motivo de preocupación para los profesionales de seguridad física. Ya se mencionó los variados dispositivos
portables que pueden almacenar información, tales como los discos duros externos, las unidades flash, los iphones, etc. Estos dispositivos pueden cargar
software malintencionado y sacar datos que no deberían sacarse.

La impresora, tal vez la forma de comunicación más antigua que se conecta a una red informática, también es motivo de preocupación. Las impresoras son
conectadas a la red, por lo que las comunicaciones hacia y desde ellas pueden ser interceptadas. Más aun, algunas impresoras tienen unidades de discos
duros o memoria interna, los cuales deben borrarse cuando se imprime información confidencial. Por último, la copia que la impresora crea puede ser
llevada de un lugar a otro. Es esencial asegurarse que las impresoras de la organización tienen la seguridad y ubicación apropiada.

Las copiadoras modernas ahora se conocen como dispositivos de multifunción, los que pueden faxear, escanear, imprimir y copiar. Los profesionales de la
seguridad deben considerar si la información de estos dispositivos puede ser eliminada y utilizada para motivos incorrectos. El escáner es otra
preocupación debido a que convierte las copias impresas en documentos de formato electrónico que puede ser enviado al través del mundo en segundos.
Todo dispositivo conectado a la red puede tener un efecto adverso.
Telecomunicaciones
Los sistemas de telecomunicaciones son fundamentales para los negocios y la vida de las personas. Mientras que la mayoría de estos sistemas todavía están
basados en tecnologías antiguas, las nuevas tecnologías han cambiado el panorama de las preocupaciones respecto a las telecomunicaciones.

Aunque considerados antiguos por los estándares modernos y denominados sistemas legacy (heredados) por los profesionales de TI, los sistemas de
centrales telefónicas privadas (PBX private branch exchange) siguen siendo dispositivos de computación complejos que pueden verse comprometidos. Un
PBX es el núcleo central de muchos sistemas telefónicos corporativos. Se debe entender una gran cantidad de funciones para asegurarse que están
protegidos. Estos incluyen el correo de voz, las llamadas de larga distancia nacionales e internacionales, el desvío de llamadas, las conferencias telefónicas,
control de llamadas y muchas otras funciones.

Además, algunos números, tales como los tradicionales números 976, cobran una tarifa cuando reciben la llamada, de modo que deben estar bloqueados. La
compañía operadora de telefonía puede asegurarse de que esos números no puedan imputarse a la cuenta de la organización. Los sistemas PBX
tradicionales se conectan al sistema telefónico internacional utilizando una o más tecnologías. Estas tecnologías son análogas a las conexiones de Internet
que van a la oficina central. La oficina central actúa sobre comandos emitidos por el PBX. Este es otro lugar donde se puede ver comprometida la
seguridad.

Los sistemas telefónicos son como cualquier otro sistema informático. Son simplemente sistemas operativos patentados que se ejecutan ya sea en un
sistema integrado grabado en un hardware o en la parte superior de un servidor informático, como cualquier otra aplicación.

La mayoría de los sistemas telefónicos legacy no están realmente en la red. Los sistemas que unen un sistema legacy y un sistema moderno de voz sobre IP
(VOIP por sus siglas en inglés) pueden estar en la red, pero son menos frecuentes. Esos sistemas suelen tener un mantenimiento remoto y una
administración terminal (RMAT por sus siglas en inglés) que pueden utilizarse para marcar en el sistema y hacer cambios en su configuración. Además, los
sistemas telefónicos legacy pueden activar una auditoría para ayudar al seguimiento de costos y detectar fraudes.

Cada teléfono en un sistema PBX legacy está conectado directamente al PBX. En la mayoría de los sistemas, esto se hace vía conexión digital, pero
también puede ser a través del tradicional servicio de telefonía plana (POTS por sus siglas en inglés). Una línea telefónica POTS es una línea antigua, dos
pares de líneas de teléfono que está conectado mediante cableado de cobre desde el teléfono a la oficina central (CO por sus siglas en inglés). Las líneas
POTS también son conocidas como líneas análogas, las que son necesarias para los sistemas de incendio en la mayoría de las jurisdicciones, y son una
buena idea para la intrusión en las conexiones de las alarmas de detección.

Las tarjetas para llamadas telefónicas también han disminuido considerablemente el costo en los últimos 20 años. Aún así, si se ven comprometidas, por
ejemplo al ser vistas por encima del hombro del usuario, el usuario puede terminar con una cuenta más grande de lo esperado. Muchas compañías ahora
están utilizando tarjetas de llamadas telefónicas de prepago para mitigar los riesgos de recibir grandes cuentas inesperadas.

El jugador más reciente es el sistema VOIP completamente automatizado. La convergencia de los teléfonos en la red tiene muchas ventajas: es menos cara
debido a que el cableado es el mismo que el de una computadora; un teléfono se puede mover más fácilmente desde una ubicación a otra, porque se
comporta como una computadora; y debido a que los sistemas se comportan como computadoras, el personal de TI es más capaz de administrarlos.
Además, estos sistemas generalmente tienen funciones más avanzadas que los antiguos sistemas legacy. También pueden usar tecnologías avanzadas para
reducir significativamente los costos telefónicos.

Sin embargo, los sistemas VOIP son totalmente accesibles en la red. Esto significa que cada teléfono y cada servidor que aloja información relacionada con
un teléfono, incluyendo el correo de voz y las llamadas reales en curso, tienen el potencial de ser comprometidas.

El típico sistema telefónico moderno tiene un servidor que gestiona el proceso de obtener la voz del teléfono del que se habla, lo cual es realmente otro
host, hacia el sistema telefónico tradicional y a otro teléfono. Como se muestra en la Figura 3-13, el tráfico de voz desde el teléfono a la oficina central de
la compañía de teléfonos viaje en parte sobre una red.

Además, para ahorrar dinero algunas compañías conectan su oficina central vía Internet, lo que quiere decir que existe una exposición adicional del sistema
a un compromiso potencial. Más aun, el mismo sistema telefónico, incluyendo los componentes adicionales, están disponibles en la red y podrían ser
potencialmente comprometidos a través de distintos ataques basados en la red, incluyendo los ataques provenientes de Internet. Este riesgo afecta servicios
como el correo de voz y la marcación mediante un software ejecutado en la computadora, así como la información de contacto. Todas estas preocupaciones
deben ser consideradas en las políticas de ISS.

En un sistema telefónico tradicional, toda la energía viene del PBX hacia los teléfonos, y los teléfonos residenciales obtienen su energía de la compañía de
teléfonos. Los profesionales de la seguridad deben asegurarse que, en el caso de un corte de la energía, las rutas fundamentales para la información del
teléfono tengan una energía de respaldo de 12 horas o más, la expectativa típica de un sistema telefónico moderno.

También es necesario garantizar la redundancia a través de todos los componentes necesarios para mantener el sistema telefónico. Un PBX legacy por lo
general está construido sólidamente con pocas partes móviles, tales como discos duros, ventiladores, etc. Un sistema telefónico VOIP generalmente se
ejecuta en computadoras normales, las cuales son más propensas a los fallos que un simple dispositivo de estado sólido. Una instalación profesional de un
VOIP por lo general tiene dos de estas máquinas en una configuración redundante de modo que si falla, la otra asuma el control.

La necesidad de redundancia se extiende a los routers que se conectan con el sistema telefónico, las líneas que conecta al sistema telefónico y los switches
que conectan toda las redes. Los profesionales de seguridad física deben planificar para diferentes escenarios de emergencia. Por ejemplo, en un edificio
que no permite el uso de teléfonos celulares, ¿qué pasaría si no hubiera ningún teléfono disponible para llamar al número telefónico policial para
emergencias?

Varias de las nuevas tecnologías que vienen junto con los sistemas telefónicos modernos pueden mejorar en gran medida la productividad y seguridad de
los teléfonos de una organización. Por ejemplo, E911, puede decirle al equipo de respuesta a emergencias exactamente desde qué ubicación del edificio se
llamó al número telefónico Policial para emergencias. Integrando esta tecnología con la seguridad del centro de operaciones de la organización puede
ayudar al personal de seguridad del lugar a manejar mejor las emergencias. Otras características de los sistemas telefónicos modernos incluyen sistemas
integrados de altavoces, sistemas automatizados para envío de mensajes, y la capacidad de acceder a otros sistemas a través del teléfono.

Otro tema relacionado con el teléfono es el fax. La seguridad tradicional del fax se centraba en quién estaba encargado de recibir el fax y si se dirigía a la
persona adecuada. Por ejemplo, el envío de un fax a un área de recepción pública, como un hotel, hace que el fax ya no sea confidencial. No obstante, los
sistemas modernos de fax vienen con otras preocupaciones. Primero, algunas maquinas de fax modernas tienen memoria para almacenar las imágenes de
fax. Esa memoria puede o no ser borrada adecuadamente cuando el fax ha sido transmitido. Segundo, más y más sistemas pueden transmitir y recibir faxes
electrónicamente, complicando la seguridad. Por ejemplo, en estados donde la información confidencial debe ser encriptada, los faxes confidenciales deben
ser encriptados también. Además, los usuarios deben tomar precauciones especiales para proteger los faxes; antes simplemente se imprimían, ahora están
disponibles electrónicamente.

Los teléfonos móviles y los PDA complican aún más la situación de las telecomunicaciones. Como dispositivos portables, presentan dos tipos de riesgos.
Primero, alguien puede escuchar subrepticiamente la conversación. En el 2009, el algoritmo usado para encriptar la mayoría de los teléfonos de consumo
fue descifrado (O’Brien, 2009). Los profesionales de seguridad física ciertamente deben preocuparse de la seguridad de las comunicaciones inalámbricas.
Los Smartphones plantean preocupaciones aún más grandes. La enorme cantidad de información sensible, que solía estar contenida dentro del perímetro de
la red de una compañía, puede ahora residir en un dispositivo pequeño, permanentemente móvil y fácil de perder.

3.2.4 CONCEPTOS ADICIONALES DE SEGURIDAD DE LA INFORMACIÓN

Calidad del Servicio

Otro concepto fundamental es la calidad del servicio (QoS por sus siglas en inglés). En una red de computadoras, muchos dispositivos diferentes compiten
por la atención y la capacidad de comunicarse. La información sensible oportuna, como la información de las cámaras de video, debe ser capaz de pasar
bajo cualquier circunstancia. Después que un profesional de seguridad identifica cuáles son los datos críticos en una red, los administradores de la red
pueden decirle a la red para que le den la prioridad a los datos.

Revisión de Terceros
La revisión de terceros es un aspecto crítico de cualquier programa de seguridad de la información. Básicamente, una organización no es indemnizada por
la externalización de ningún elemento en particular de la seguridad de su información o los programas de tecnología de información. Cada organización es
responsable por la gestión de sus proveedores y de asegurarse que ofrezcan un nivel específico, al menos el mismo que la organización contratante, en sus
prácticas de seguridad de la información.

El Payment Card Industry Data Security Standard (PCI DSS)30 señala lo siguiente (PCI Security Standards Council, 2010, p.11):
Aquellas entidades que subcontratan a terceros prestadores de servicios para el almacenamiento, procesamiento o transmisión de los datos de los titulares de las tarjetas, [la
entidad] deben documentar el rol de cada proveedor de servicio, identificando claramente cuáles requerimientos aplican a la entidad revisada y que aplican al proveedor del
servicio. Hay dos opciones para validar el cumplimiento de los estándares de los proveedores de servicio: 1) ellos pueden someterse a una evaluación del PCI DSS por cuenta
propia y entregar las pruebas a sus clientes para demostrar su cumplimiento, o 2) si ellos no se someten por cuenta propia a la evaluación del PCI DSS, será necesario que sean
revisados durante el curso de cada una de las evaluaciones del PCI DSS de sus clientes.

En una plantilla de política de extranet (red externa) de SANS, una conocida autoridad en seguridad de la información, los siguientes son los cursos de
acción apropiados cuando se permite el acceso de terceros a los datos de la organización (2006):
• una revisión de seguridad del tercero en cuestión por el departamento de seguridad de la información
• un análisis de viabilidad para tener el acceso a los datos
• una acuerdo de los requisitos para el acceso
• una nueva revisión de la seguridad en el sitio del tercero cuando se produzcan cambios

Adicionalmente, es prudente incluir revisiones periódicas de todos los accesos externos a la información, incluyendo el derecho a auditar al tercero.

3.2.5 TECNOLOGÍAS DE SEGURIDAD DE LA INFORMACIÓN

La siguiente es una breve reseña de tecnologías de seguridad de la información seleccionadas:31

Intrusion Detection Systems (IDS) (Sistema de Detección de Intrusión)

Un sistema de detección de intrusión supervisa la red e intenta descifrar vía comportamientos o patrones/firmas si alguien está tratando de atacar el sistema.
Una variación del IDS es un sistema de prevención de intrusión (IPS por sus siglas en inglés), el cual es diseñado para detener automáticamente un ataque
en curso. Sin embargo, un IPS puede detener un servicio válido, impidiendo innecesariamente que los usuarios accedan a la red.

Host Intrusion Protection System (HIPS) (Sistema de Protección de Intrusión Basado en Host)
Este es como un IDS excepto que funciona en un sistema host, como una computadora o servidor. El HIPS es una evolución de la protección del host de
antivirus, debido a que es capaz de mirar tanto las firmas y los comportamientos para proteger una máquina. Cuando la gente afirma que un software
antivirus está muerto, quieren decir que los programadores no pueden escribir las firmas lo suficientemente rápido para identificar y mantener alejada la
embestida de amenazas de virus, gusanos o troyanos y es necesaria esa protección basada en el comportamiento.

Certificates (Certificados)
Un certificado es un mecanismo a través del cual las personas que no se conocen entre ellas pueden garantizar una transacción segura. Los certificados son
herramientas asimétricas que funcionan como una cerradura y la llave, permitiendo a las personas intercambiar información en forma segura a través de
canales no confiables. Los certificados también son usados frecuentemente para permitir la encriptación, debido a que usando un par de certificados, es
posible pasar un secreto compartido utilizado para descifrar la información. Debido a que los certificados generalmente son lentos al encriptar los datos, es
preferible utilizar el certificado simplemente para intercambiar el secreto y luego usar un algoritmo mucho más rápido para intercambiar la información.

Security Information and Event Manager (SIEM) (Gestión de la Seguridad de la Información y de Eventos)
Un SIEM es un dispositivo que observa toda la actividad de registro en una red e intenta señalar lo que es más importante para facilitar la respuesta a las
incursiones y otros problemas en la red. Ahora hay una clase de software para el campo de la seguridad física que hace lo mismo, llamado gestión de la
información sobre la seguridad física (PSIM por sus siglas en inglés).

E-mail Gateway (Puerta de Enlace de Correo Electrónico)

Este es un dispositivo que observa la entrada y salida de correos para determinar si hay un riesgo de seguridad. Uno de los propósitos de un e-mail gateway
es reducir la cantidad de correos spam (correo masivo), o los correos no deseados que ingresan a la red. Una gran cantidad de spam puede tener malware, y
los sistemas gateway hacen lo posible para reducir la amenaza.

Web Gateway/Proxy Server (Puerta de Entrada a Sitio Web / Servidor Procurador).

Los web gateways y proxy servers filtran lo que puede ser descargado de la Web. Pueden impedir que los usuarios tengan acceso a sitios particulares, tales
como los sitios pornográficos, o funcionan como un proxy, o intermediario, que elimina las páginas que podrían tener contenido malintencionado.

Data Loss Protection (DLP) (Protección de Pérdida de Datos)

Esta tecnología evita que la gente envíe cierta información, como los secretos comerciales u otra propiedad intelectual, fuera de la rede, ya sea
involuntariamente o a propósito.

Web Application Firewall (WAF) (Cortafuego de Aplicaciones Web)

Un WAF es un dispositivo con un propósito especial que filtra el tráfico antes de que llegue al sitio Web de la organización. Los WAF son usados para
evitar que los ataques malintencionados de código vulnerable logren alcanzar su objetivo, específicamente en un servidor Web.

Network Access Control (NAC) (Control de Acceso a la Red)

NAC es una tecnología mediante la cual las computadoras no son admitidas en una red a menos que estén autorizadas, no tengan un software
malintencionado y cumplan lo estándares de la red.

802.1x
Este es un estándar del Institute of Electrical and Electronics Engineers (IEEE) que permite la autenticación específica antes de que una computadora pueda
entrar en una red. Generalmente se usa con el control de acceso a la red.

Common Vulnerabilities and Exposures (CVE) (Vulnerabilidades y Exposiciones Comunes)

Este es un diccionario online de las vulnerabilidades y exposiciones de la seguridad de la información de conocimiento público. Forma la columna
vertebral de la National Vulnerability Database y es una herramienta esencial en las disciplinas gemelas de gestión de las vulnerabilidades y gestión de
parches. Está disponible en http://cve.mitre.org.

3.3 MARCO PARA LOS PROFESIONALES DE ISS

El ISS es suficientemente complejo como para requerir un marco sistemático si se quiere asegurar de que las contramedidas son adecuadas para manejar el
riesgo. Un marco de seguridad organiza el cuerpo de conocimientos del ISS de una forma estratégicamente buena y focalizada, que apoya la planificación y
la acción.

Existen varias perspectivas de los profesionales de ISS en uso. Han sido desarrolladas por diferentes organizaciones, y cada una tiende a reflejar un punto
de vista diferente. Al exponerse a múltiples puntos de vista, el profesional de la seguridad es capaz de comprender mejor toda la gama de desafíos y
soluciones en ISS.

Cada una de estas perspectivas se ocupa de un nivel abstracto del tema de los estándares para la protección de los activos de los sistemas de información.
Sus puntos de vista son bastante diferentes, así como su historial.
• ISO/IEC 27001: 2005 e ISO/IEC 27002:2005 son extensiones de la ISO 17799, la cual se originó en Australia y Gran Bretaña antes de ser adoptada
por la International Organization for Standardization.
• El Cuerpo Común de Conocimientos CISSP fue desarrollado para caracterizar el conjunto de conocimientos necesarios para la certificación como un
profesional de ISS. Fue desarrollada por ISSA y es administrada por (ISC)2 32
• La Guidance for Boards of Directors and Executive Management (Guía para la Junta de Directores y Gerencia Ejecutiva) fue desarrollada y publicada
por la Information Systems Audit and Control Association.
• La “Generally Accepted Information System Security Practices” están siendo desarrolladas por un consorcio internacional bajo el liderazgo de ISSA,
con una mayoría de participantes que provienen de Estados Unidos.

3.3.1 ISO/IEC 27001:2005 e ISO/IEC 27002:2005

Estos dos estándares, conocidos informalmente como ISO 27001 y 27002, forman un estándar internacional emergente para la gestión de la seguridad de la
información. Ellas son las primeras normas conocidas en todo el mundo para identificar un código de prácticas para la gestión de la seguridad de la
información.

En conjunto los estándares identifican 11 prácticas específicas vitales de gestión de la seguridad de la información, integrándolas en un marco denominado
sistema de gestión de la seguridad de la información (ISMS). La información de una organización está segura sólo en la medida en que estas 11 prácticas
sean sistemáticamente gestionadas y reforzadas a través del ISMS. Las debilidades en una sola práctica o en el ISMS en sí mismo puede negar la fuerza
combinada de otras prácticas.

La pieza central de la ISO 27001 es su concepto de un ISMS. Un ISMS de una organización es esa parte del sistema global de gestión de la organización
(p.2)
basado en un enfoque de los riesgos del negocio, para establecer, implementar, operar, supervisar, revisar y mejorar la seguridad de la información…El sistema de gestión incluye
la estructura organizacional, las políticas, actividades de planificación, responsabilidades, prácticas, procedimientos, procesos y recursos.

Las 11 prácticas de gestión de la seguridad de la información son las siguientes:

• política de seguridad
• organización de la seguridad de la información
• gestión de activos
• seguridad de recursos humanos
 • seguridad física y ambiental
• gestión de comunicaciones y operaciones
• control de acceso
• adquisición de los sistemas de información, desarrollo y mantención
• gestión de incidentes de seguridad de la información
• gestión de la continuidad del negocio
• cumplimiento

3.3.2 CUERPO COMÚN DE CONOCIMIENTOS CISSP

Tal como la ISO 27001 y la ISO 27002 proporciona la directriz de certificación definitiva para una organización, el cuerpo de conocimientos del Certified
Information Systems Security Professional (CISSP) proporciona los requerimientos de certificación definitiva apropiados al profesional de ISS individual.
CISSP es el estándar de facto para la certificación ISS. El Common Body of Knowledge CISSP organiza las ISS en 10 dominios, enumerados a
continuación, seguidos por una breve discusión de cada uno:
• Control de acceso. El control de acceso es definido por la tríada AAA autenticación, autorización y auditoría (responsabilidad). El hecho de que toda
una sección esté dedicada al control de acceso indica la importancia de este principio básico de la seguridad de la información.
• Seguridad del desarrollo de Aplicaciones: un principio clave en seguridad de la información es la necesidad de escribir un código seguro. Esto
significa que las instrucciones de programación dadas a la computadora deben hacer lo que se supone que deben hacer y no responder
incorrectamente a los comandos.
• Planificación de continuidad del negocio y recuperación de desastres. Según Gregg (2009, p.280):
El dominio de plan de continuidad del negocio (BCP por sus siglas en inglés) y el plan de recuperación de desastres (DRP por sus siglas en inglés) aborda la necesidad
de prepararse para y cómo responder a las ocasiones cuando las cosas van mal. Para que una empresa tenga éxito bajo la presión de una dificultad o catástrofe, debe
planificar cómo mantener las operaciones del negocio ante estas grandes disrupciones.

• Criptografía. La criptografía es un aspecto importante de la seguridad de la información, ya que evita que las personas accedan a los datos reales
(Gregg, 2009, p.118):
La criptografía se relaciona con las formas en las que la información puede ser cifrada o encriptada para evitar su divulgación. Está estrechamente vinculada a tres
pilares básicos de seguridad: integridad, confidencialidad y no repudio.

• Gestión de la seguridad de la información y gestión del riesgo. La sección se ocupa de cómo una organización gestiona la seguridad de la
información, identificando específicamente los riesgos y ocupándose de ellos a través de políticas, procedimientos y directrices.
• Aspectos legales, regulaciones, investigaciones y cumplimiento. Estas preocupaciones son una parte importante de la seguridad de la información.
Además, es importante para el profesional de seguridad de la información conocer los elementos para conducir una investigación informática forense.
• Seguridad de las operaciones. Según Gregg (2009, p.450):
Los lectores que se preparan para el examen ISC2 Certified Information Systems Security Professional y aquellos que están repasando el dominio de seguridad
operacional deben conocer los recursos que deberían ser protegidos; los principios de las mejores prácticas, los métodos de restricción de acceso, los potenciales abusos
de acceso, la selección de los controles apropiados, y la respuesta a los ataques.

• Seguridad física (ambiental): obviamente, la seguridad física es una segunda naturaleza para los profesionales de la seguridad física. El objetivo es
evitar que las personas accedan físicamente a los dispositivos electrónicos y mantener un entorno apropiada en el cual los sistemas puedan funcionar.
• Diseño y arquitectura de seguridad: esta sección se ocupa específicamente del hardware, software, controles de seguridad y la documentación. Es
importante entender cómo funcionan los sistemas y para construirlos apropiadamente de modo que se comporten como se espera.
• Seguridad de las telecomunicaciones y redes. Esta sección es análoga a la discusión anterior sobre cómo se comunican las computadoras y cómo
asegurar la red sobre la cual se comunican.

Para los profesionales de seguridad física interesados en aprender más acerca de la seguridad de la información, el CISSP es un excelente lugar para
empezar. Proporciona una amplia base de conocimientos sobre los principios de la seguridad de la información.

3.3.3 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN: GUÍA PARA LA JUNTA DE DIRECTORES Y GERENCIA EJECUTIVA

La tercera perspectiva, proporcionada en la Gestión de la Seguridad de la Información: Guía para la Junta de Directores y Gerencia Ejecutiva (ISACA,
2001), representa el punto de vista de los responsables de auditar el nivel de madurez del ISS de una organización.

El modelo ISACA fue elaborado en un marco de madurez de gestión de ingeniería de software que había sido desarrollado en los ochenta por el Software
Engineering Institute, un centro nacional de tecnología en la Carnegie Mellon University. El modelo mide el grado en el que la seguridad de la información
es formal y proactivamente gestionada a través de la organización.

Las organizaciones pueden aplicar el modelo de madurez de gestión ISACA a su propia organización como:
• una herramienta de evaluación “fotográfica” del momento, ayudando a la organización a identificar las fortalezas relativas a sus prácticas de gestión
de la seguridad de la información,
• una herramienta para identificar el nivel apropiado de madurez de gestión de la seguridad, a la cual la organización puede evolucionar,
 • un método para identificar la brecha entre su actual nivel de madurez de seguridad y el nivel deseado,
• una herramienta para planificar y gestionar un programa de mejora de la gestión de seguridad de la información en toda la organización, para mejorar
sistemáticamente las capacidades de gestión de seguridad de la información de la organización, y
• una herramienta de planificación y gestión de proyectos específicos de mejora de la gestión de la seguridad de la información.

La Figura 3-14 proporciona una visión general de cada nivel de madurez de gestión de la seguridad de la información.

El mayor beneficio del marco ISACA es que permite niveles de madurez, haciendo posible medir qué tan bien lo está haciendo una organización
comparado con qué tan bien podría hacerlo.

3.3.4 PRINCIPIOS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN GENERALMENTE ACEPTADOS (GAISP)

La cuarta perspectiva proviene del proyecto de norma de los “Principios de Seguridad de los Sistemas de Información Generalmente Aceptados (GAISP de
ahora en adelante, por sus siglas en inglés) en fase de desarrollo por la Information Systems Security Association (ISSA). Se distingue por la codificación
de las prácticas reales de ISS que abarcan tanto la gestión, como la entrega de las capacidades del ISS.

GAISP es un proyecto en marcha para recolectar y documentar los principios de seguridad de la información que han sido probados en la práctica y
aceptados por los profesionales. GAISP se basa en directrices y estándares de seguridad establecidos para crear una orientación integral, objetiva para los
profesionales de la seguridad de la información, las organizaciones, gobiernos y usuarios. El uso de documentos y estándares existentes aceptados está
diseñado para garantizar un alto nivel de aceptación para el producto final de GAISP.

3.4 EL NUEVO PANORAMA LEGAL, REGULADOR Y CONTRACTUAL RELACIONADO AL ISS

Además de comprender los marcos del profesional de ISS, los profesionales de la seguridad deben estar en conocimiento del conjunto de leyes y
reglamentos de seguridad de la información que van apareciendo. El marco legal generalmente es diseñado para obligar a las organizaciones a proteger la
información sensible a su cuidado que pertenece a otras personas. Esta sección examina los siguientes temas legales:
• Payment Card Industry Data Security Standard (Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago)
• Health Care and Insurance Portability and Accountability Act (Ley de Portabilidad y Responsabilidad del Seguro de Salud)
• Ley de Gramm-Leach-Bliley
• Children’s Online Privacy Protection Act (Ley de Protección de la Privacidad de Menores en Internet)
• Ley de Sarbanes-Oxley
• Red Flag Rules (Regla de las Banderas Rojas)
• Medidas de Cumplimiento de la FTC
• Incumplimiento de Divulgación y relacionados con ISS y las leyes de privacidad
• Directiva de Protección de Datos de la Unión Europea
• Nueva jurisprudencia
3.4.1 PAYMENT CARD INDUSTRY DATA SECURITY STANDARD (PCI DSS)

El Payment Card Industry Data Security Standard (Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago) es un estándar mundial definido
por el Payment Card Industry Security Standards Council (2010). Con su origen en los distintos programas de ISS de Visa, MaterCard, American Express,
Discover y JCB International, el estándar está diseñado para proporcionar un conjunto uniforme de estándares de ISS para proteger la información de las
tarjetas de crédito. El estándar se aplica a todas las organizaciones que mantienen, procesan o intercambian información de los titulares de las tarjetas desde
cualquier tarjeta marcada con el logo de una las empresas anteriores.

El estándar contiene 12 requisitos organizados en seis grandes categorías. Están incluidos los requisitos para la gestión de seguridad, las políticas y
procedimientos. El PCI DSS está estructurado de la siguiente manera (pp.2-3):

Construir y Mantener una Red Segura

• Requisito 1: Instalar y mantener una configuración de cortafuegos (firewall) para proteger los datos de los titulares de las tarjetas.
• Requisito 2: No usar las contraseñas y otros parámetros de seguridad predeterminados por el proveedor

Proteger los Datos de los Titulares de las Tarjetas

• Requisito 3: Proteger los datos almacenados de los titulares de las tarjetas..
• Requisito 4: Encriptar los datos de los titulares de las tarjetas para la transmisión a través de redes abiertas, públicas.

Mantener un Programa de Gestión de Vulnerabilidades

• Requisito 5: Usar y actualizar regularmente los programas o software de antivirus.
• Requisito 6: Desarrollar y mantener sistemas y aplicaciones seguras.

Implementar Fuertes Medidas de Control de Acceso

• Requisito 7: Restringir el acceso a los datos de los titulares de las tarjetas por la necesidad de saber del negocio.
• Requisito 8: Asignar una identificación única a cada persona con acceso a una computadora.
• Requisito 9: Restringir el acceso físico a los datos de los titulares de las tarjetas.

Supervisar y Probar las Redes con Regularidad

• Requisito 10: Seguir y supervisar todo acceso a los recursos de la red y a los datos de los titulares de las tarjetas.
• Requisito 11: Probar regularmente los sistemas de seguridad y procesos.

Mantener una Política de Seguridad de la Información

• Requisito 12: Mantener una política que abarque la seguridad de la información para empleados y contratistas.

El incumplimiento de la norma trae graves consecuencias. En enero de 2010, Heartland Payment Systems acordó pagar 60 millones de dólares como parte
de un acuerdo establecido con Visa. Anteriormente Heartland acordó con American Express 3,6 millones de dólares. Aún están por venir los acuerdos con
MarterCard y Discover. Los pagos son el resultado de una vulnerabilidad en el 2008, cuando cibercriminales robaron la información de las tarjetas de
crédito de millones de titulares de tarjetas de crédito (Cordeiro, 2010).

3.4.2 HEALTH CARE AND INSURANCE PORTABILITY AND ACCOUNTABILITY ACT (HIPAA)

La Ley de Portabilidad y Responsabilidad del Seguro de Salud (HIPPA por sus siglas en inglés) fue uno de los primeros intentos significativos de adoptar
una norma para las transacciones electrónicas en el campo del cuidado de la salud. Si bien HIPPA aborda gran parte de los derechos de los pacientes según
los planes de los seguros de salud, HIPPA también incluye disposiciones clave relacionadas con los derechos de privacidad de los pacientes. Las compañías
de seguros, médicos, hospitales, laboratorios y empleadores que mantienen planes de salud de los empleados están sujetos a las disposiciones de HIPPA.

HIPPA se ha ampliado y modificado significativamente por la adopción, en el 2009, de la Ley de Tecnología de Información Económica y de Salud Clínica
(Health Information Techology for Economic and Clinical Health - HITECH). Entre otras cosas, la ley HITECH exige que las empresas asociadas de las
entidades cubiertas también adopten medidas de seguridad específicas.

El Department of Health and Human Services (HHS) de Estados Unidos ha emitido reglamentos que prevén la protección de la privacidad de “la
información personal de salud” creada, recibida, o en posesión de las entidades cubiertas por HIPAA (45 CFR 160, 162, 164).

Las normas de seguridad de la información de HIPAA exige a las entidades cubiertas y empresas asociadas que hagan lo siguiente para proteger dicha
información (45 CFR 162):
• Mantener un programa de gestión de la seguridad de la información orientado a los riesgos, basado en una combinación de controles administrativos,
técnicos y físicos.
• Asegurar la confidencialidad, integridad y disponibilidad de toda la información electrónica de salud protegida que la entidad cubierta cree, reciba,
mantenga o transmita.
• Proteger contra cualquier amenaza razonablemente esperada o riesgos de la seguridad o integridad de dicha información.
• Proteger contra cualquier uso o divulgación razonablemente esperada de dicha información que no esté autorizada o haya sido requerida.
 • Asegurar el cumplimiento por su fuerza de trabajo.
• Asegurar el cumplimiento por terceros con los cuales se comparta la información.

HIPPA ilustra la tendencia general que requiere una organización para gestionar proactivamente la seguridad de la información que se le ha confiado.

La ley HITECH y las regulaciones asociadas publicadas por HHS y la Federal Trade Commission exige a las entidades cubiertas, empresas asociadas, y
otras entidades que mantengan registros de atención de salud que informe a los pacientes –y agencias reguladoras- la ocurrencia de una violación de la
seguridad que afecte la información de salud protegida en formato electrónico o en papel.

3.4.3 GRAMM-LEACH-BLILEY ACT (GLBA)

En 1999 el Congreso aprobó la ley Gramm-Leach-Bliley33, la cual regula el uso y divulgación de información personal privada sobre las personas que
obtienen productos o servicios financieros de instituciones financieras (15 USC 6801):
Es política del Congreso que toda institución financiera tenga una obligación afirmativa y continua para respetar la privacidad de sus clientes y para proteger la seguridad y
confidencialidad de la información personal no pública de esos clientes.

En cumplimiento a la política …toda agencia o autoridad…establecerá estándares apropiados para las instituciones financieras sometidas a su jurisdicción con respecto a medidas
de seguridad administrativas, técnicas y físicas

(1) para garantizar la seguridad y confidencialidad de los registros de los clientes y la información;
(2) para proteger contra cualquier amenaza o riesgo esperado para la seguridad o integridad de dichos registros; y
(3) para proteger contra el acceso no autorizado o el uso de esos registros o información que podría resultar en un daño sustancial molestias para
cualquier cliente

GLBA, en la superficie, aplica sólo a las instituciones financieras. Sin embargo, las definiciones amplias de GLBA implican que aplica no sólo a los bancos
u otras instituciones financieras tradicionales, sino también a una amplia variedad de empresas e individuos que ayudan a efectuar las transacciones
financieras. Estas incluyen corredores/agentes de bolsa, asesores de inversión, prestamistas hipotecarios, prestamistas en efectivo, compañías financieras,
corredores hipotecarios, servicios de contabilidad, cambiadores de cheques, servicios de transferencias electrónica de fondos, agencias de viaje operadas en
conexión con servicios financieros, agencias de cobranza, asesores de créditos y otros asesores de finanzas, empresas de preparación de impuestos, y
cooperativas de créditos no aseguradas federalmente.

GLBA generalmente prohíbe a una institución financiera revelar información personal no pública a un tercero no afiliado, ya sea directamente o a través de
una filial, a menos que la institución haya informado al cliente, de forma clara y manifiesta, que la información puede ser revelada a un tercero; le ha dado
al cliente una oportunidad de disponer que la información no sea divulgada; y ha descrito la manera en la cual el cliente puede ejercer la opción de no
divulgación.

Las instituciones financieras también deben preparar y promulgar las declaraciones de privacidad que describen las políticas de la institución respecto a la
divulgación de información personal no pública a los terceros afiliados y no afiliados; la divulgación de información personal no pública de personas que
han dejado de ser clientes de la institución; y las categorías de información personal no pública que la institución recopila. La institución está obligada a
informar claramente y de forma manifiesta esas políticas y prácticas en el momento en que establece una relación con el cliente y, al menos una vez al año,
durante al duración de la relación con el cliente. Eso ha dado lugar a una avalancha de papeles de los bancos, casas de corretaje, contadores, y otros que
proporcionan servicios financieros.

GLBA también regula las medidas que una empresa debe tomar para evitar el intercambio involuntario de información personal no pública en sus sistemas
informáticos. Toda agencia federal y estatal con jurisdicción GLBA tiene distintas regulaciones de protección de seguridad de la información.34 Aunque no
son idénticas, por lo general destacan lo siguiente:
• participación de la gerencia ejecutiva
• medidas dirigidas al riesgo y la vulnerabilidad, basadas en evaluaciones periódicas
• políticas escritas de seguridad de la información
• entrenamiento de los empleados
• control de terceros

Un efecto indirecto de la GLBA es un mayor cumplimiento de la actividad por la Federal Trade Commission. Además, muchas de las industrias
directamente afectadas por la GLBA están empezando a aplicar los estándares que les han impuesto para sus clientes. Por ejemplo, las compañías de
seguros están comenzando a revisar las declaraciones de privacidad y políticas de sus asegurados, y los bancos están empezando a considerar estos asuntos
en sus decisiones de suscripción.

Numerosas regulaciones que tienen implicaciones de seguridad significativas aplican a las instituciones financieras. Por ejemplo, reglas especiales exigen a
las instituciones financiera usar dos factores de autenticación con el fin de identificar los usuarios de sus servicios on line. Otras regulaciones definen las
medidas que las instituciones financieras deben tomar en el evento de una violación a la seguridad.

3.4.4 CHILDREN’S ONLINE PRIVACY PROTECTION ACT (COPPA)

La Ley de Protección de la Privacidad de Menores en Internet (COPPA por sus siglas en inglés) (efectiva a partir del 21 de abril de 2000) aplica a cualquier
operador on line que recopila información personal de niños menores de 13 años. Las normas adoptadas en virtud de COPPA explican lo que un operador
de sitio Web debe incluir en una política de privacidad, cuándo y cómo buscar el consentimiento verificable de un padre, y qué responsabilidades tiene un
operador para proteger la privacidad y seguridad on line de los niños. Además de crear desafíos para el diseño de los sitios Web –por ejemplo, muchos
operadores Web han rediseñado sus sitios para hacerlos menos atractivos para los niños menores de 13 años- COPPA y las normas que implementa impone
requisitos para los avisos de privacidad y crea procedimientos específicos que se deben seguir antes de que un operador pueda obtener información de los
niños. COPPA ha sido la causante de que muchas empresas (y debería motivar a todas las empresas) a considerar sus políticas de privacidad tanto en la
forma como en el fondo y a desarrollar guías prácticas.

La Federal Trade Commission (Comisión Federal de Comercio) hace cumplir COPPA. Algunas de las multas que ha impuesto incluyen las siguientes:35
• US$100.000 multa contra la Sra. Fields
• US$85.000 multa contra Hershey Foods
• US$1.000.000 multa contra el sitio de red social Xanga.com
• US$75.000 multa contra Bonzi Software
• US$130.000 multa contra el sitio de red social Imbee.com
• US$1.000.000 multa contra Sony BMG Music
• US$250.000 multa contra Iconix Brand

3.4.5 SARBANES-OXLEY ACT (SOX)

La ley Sarbanes-Oxley del 2002 (SOX por sus siglas en inglés) ha sido denominada la nueva ley de valores más importante desde que fue creada la
Securities and Exchange Commission (Comisión de Bolsa y Valores, SEC) en 1934. SOX impone responsabilidades adicionales sustanciales a los
funcionarios y directores de compañías públicas e impone sanciones criminales significantes a los directores ejecutivos (CEO por sus siglas en inglés),
directores financieros (CFO por sus siglas en inglés), y otras personas que violen sus disposiciones.

Los nuevos requisitos de SOX transforma la manera en que todas las compañías públicas se gestionan de arriba hacia abajo. Incluso las corporaciones que
no son públicas hoy, pero que esperan llegar a ser de propiedad pública o ser vendidas a una compañía pública en el futuro, necesitan estar en conocimiento
de los requisitos básico para el funcionamiento de una compañía en cumplimiento a SOX, particularmente los requerimientos para el establecimiento,
seguimiento y divulgación de controles y procedimientos internos. Los requisitos obligan a todas las compañías públicas a abordar sus procedimientos y
prácticas de seguridad de la información de una manera muy pública.

La sección 404 de SOX exige a la gerencia de una compañía pública evaluar la efectividad del control interno de la compañía sobre los informes
financieros. La sección 404 también exige a la gerencia incluir en el reporte anual de la compañía para los accionistas, las conclusiones de la gerencia
respecto a esa evaluación. La sección 404 tiene la mayor relevancia para la seguridad de la información con su requerimiento de que la gerencia desarrolle,
documente, pruebe y supervise sus controles internos y sus controles de divulgación y procedimientos.

La responsabilidad nueva más importante que afrontan el CEO y CFO de toda compañía pública es el requerimiento de certificación personal de los
reportes anuales y trimestrales de la compañía. Para cumplir los requerimientos de certificación relacionados con los controles internos y los controles de
divulgación, la SEC recomienda que toda compañía establezca un comité de divulgación conformado por el CFO, el contralor, los jefes de divisiones, y
otras personas que tengan una responsabilidad significativa en las divisiones operativas principales de la compañía. El comité de divulgación debería
revisar los controles internos existentes de la compañía, los controles de divulgación y los procedimientos, documentarlos, evaluar su adecuación, corregir
cualquier debilidad material y crear procedimientos de supervisión y prueba que se usarán cada trimestre para evaluar continuamente los controles internos,
los controles de divulgación y los procedimientos de la compañía.

Si bien la SOX fue adoptada en respuesta a las deficiencias y mal comportamiento de directores y funcionarios corporativos, su focalización en los sistemas
y certificación de la adecuación de los esquemas de presentación de informes ha tenido un amplio efecto en el establecimiento de controles y estándares
corporativos. Estos cambios no existen en el vacío; los principios del gobierno corporativo que se aplicaron por primera vez a las corporaciones públicas ha
menudo han sido extendidas a las compañías privadas, a veces a través de leyes y reglamentos estatales, otras veces a través de las fuerzas del mercado (por
ejemplo, cuando los auditores y las compañías de seguros adoptan normas similares para compañías públicas y privadas).

3.4.6 RED FLAG RULES

La Regla de las Banderas Rojas pone en práctica las Secciones 114 y 315 de la Ley de Transacciones Crediticias Justas y Exactas (Fair and Accurate Credit
Transaction – FACT). Diferentes versiones de la Regla de Banderas Rojas han sido adoptadas por las distintas agencias que regulan las instituciones
financieras, así como la Federal Trade Commission (FTC). 36 Por ejemplo, la 16 CFR 681 (FTC) exige:
a cada …acreedor que mantiene alguna cuenta de consumidor, u otra cuenta que represente un riesgo razonablemente previsible de robo de identidad, desarrollar e implementar
un Programa de Prevención de Robo de Identidad (Programa) para combatir el robo de identidad.

El programa debe incluir políticas y procedimientos razonables para detectar, prevenir, y mitigar el robo de identidad y permitir al…acreedor:

1. Identificar patrones relevantes, prácticas, y formas específicas de la actividad que son “banderas rojas” señalando un posible robo de identidad e
incorporar esas banderas rojas en el Programa;
2. Detectar las banderas rojas que han sido incorporadas en el Programa;
3. Responder apropiadamente a cualquier bandera roja que sea detectada para prevenir y mitigar el robo de identidad; y
4. Asegurarse que el Programa es actualizado periódicamente para que refleje los cambios en los riesgos de robo de identidad.
El propósito del programa es la detección temprana y la prevención del robo de identidad.

Las “Cuentas Cubiertas” Requieren Protección

De acuerdo a las regulaciones de la FTC, una “cuenta cubierta” significa cualquiera de estas dos cosas:
Una cuenta que una institución financiera o un acreedor ofrece o mantiene, principalmente para fines personales, familiares, o domésticos, que implica o se diseña para permitir
múltiples pagos o transacciones, tales como cuenta de tarjeta de crédito, préstamo hipotecario, préstamo automotriz, cuenta de margen, cuenta de teléfono móvil, cuenta de
servicios, cuenta de cheques, o cuenta de ahorros; y

Cualquier otra cuenta que la institución financiera o acreedor ofrece o mantiene por la que hay un riesgo previsible razonable de robo de identidad para los clientes o para la
seguridad y solidez de la institución o acreedor, incluyendo riesgos financieros, operacionales, de cumplimiento, reputación, o de litigios

Categorías de Bandera Roja

Las banderas rojas que deben ser identificadas, detectadas y respondidas, incluyen las siguientes:
• Alertas, notificaciones, o advertencias de una agencia de información del consumidor
• Documentos sospechosos
• Información de identificación personal sospechosa, como una dirección sospechosa
• Uso inusual de –o actividad sospechosa relacionada a- una cuenta cubierta
• Avisos de los clientes, víctimas de robo de identidad, autoridades competentes, o de otras empresas sobre posibles robos de identidad relacionado con
las cuentas cubiertas

3.4.7 MEDIDAS DE CUMPLIMIENTO DE LA FTC

La Federal Trade Commission ha estado a la vanguardia de las normas de privacidad y seguridad de la información. En ese papel, ha adoptado una “regla
de seguridad” bajo la GLBA, la cual exige que toda institución financiera dentro de su jurisdicción (16 CFR 314)
desarrolle, implemente y mantenga un programa integral de seguridad de la información que esté escrito en una o más partes fácilmente accesibles y contenga medidas de
seguridad administrativas, técnicas y física que sean apropiadas a su tamaña y complejidad, la naturaleza y alcance de sus actividades, y la sensibilidad de cualquier información
del cliente en cuestión

Conforme a su autoridad para proteger a los consumidores, la FTC está en posición de adoptar normas que cruzan las fronteras de toda las industrias.
También exige que toda empresa dentro de la jurisdicción de la FTC toma las determinaciones que sean consistentes con el tamaño y complejidad de la
empresa y sus actividades, así como de la sensibilidad de la información del consumidor en cuestión. No proporciona reglas específicas; exige que las
empresas se autorregulen. Por lo tanto, las empresas son forzadas a analizar sus operaciones, necesidades, y vulnerabilidades para cumplir con las reglas de
seguridad de la FTC y GLBA.

Otra herramienta de la FTC para abordar la privacidad o violaciones de la seguridad ha sido la aplicación de la Sección 5 de la Ley de la FTC, que prohíbe
las prácticas desleales y engañosas. Esta ley ha sido utilizada en las medidas de cumplimiento contra una amplia variedad de empresas, incluyendo Tower
Records, DSW Wharehouse, Microsoft, Eli Lilly y VCS Caremark. Según la Ley FTC, la FTC está orientada a prevenir los métodos de competencia
desleal y los actos o prácticas desleales o engañosas en o que afecten al comercio. En su sitio Web, la FTC destaca su intención de regular las privacidad
online como parte de sus iniciativas de privacidad:37
Una parte clave del programa de privacidad de la Comisión es asegurarse de que las compañías cumplan las promesas que hacen a los consumidores acerca de la privacidad y, en
particular, las precauciones que toman para asegurar la información personal de los consumidores. Para responder a las preocupaciones de los consumidores sobre la privacidad,
muchos sitios Web publican las políticas de privacidad que describen cómo la información personal de los consumidores se recopila, utiliza, comparte y asegura. De hecho, casi
todos los 100 mejores sitios comerciales ahora publican sus políticas de privacidad. En uso de su autoridad según la Sección 5 de la Ley FTC, que prohíbe las prácticas desleales
o engaños, la Comisión ha traído una serie de casos para hacer cumplir las promesas de las declaraciones de privacidad, incluyendo las promesas sobre la seguridad de la
información personal de los consumidores.

Las Primeras Medidas de la FTC

La FTC has estado haciendo cumplir la Sección 5 de la Ley FTC al menos desde el caso GeoCities en 1998. Otras medidas tempranas de la FTC
relacionadas con la privacidad online incluye las demandas con Eli Lilly y la Compañía (relacionadas con la información sensible recopilad de sus sitio
Web Prozac); Microsoft Corp. (relacionado con la privacidad y seguridad de la información personal recopilada de los consumidores a través de sus
servicios Web “Pasaportes”); y Guess Incorporate (relacionada a la potencial divulgación de las tarjetas de crédito y otra información).38

Resoluciones de la FTC con TJX, Reed Elsevier (REI) y Seisint

En marzo de 2008, la FTC anunció una resolución con el distribuidor TJX que “falló al usar medidas de seguridad razonables y apropiadas para evitar el
acceso no autorizado a la información personal en sus redes informáticas”. Según la FTC, un intruso
Aprovechó estas fallas y obtuvo decenas de millones de tarjetas de pago de crédito y débito que los consumidores usaron en las tiendas TJX, así como la información persona de
aproximadamente 455.000 consumidores que devolvieron las mercancías a las tiendas. Los bancos han afirmado que decenas de millones de dólares en cargos fraudulentos se han
hecho en las tarjetas y millones de tarjetas han sido canceladas y vueltas a emitir.

En concreto, la agencia denunció que TJX:

• Creó un riesgo innecesario para la información personal almacenándola y transmitiéndola entre y dentro de sus diferentes redes informáticas en
texto claro;
• No usó las medidas de seguridad fácilmente disponibles para limitar el acceso inalámbrico a sus redes, permitiendo así que un intruso se
conectara inalámbricamente a sus redes sin autorización;
 • No exigió a los administradores de la red y otras personas que usaran contraseñas robustas o que usaran diferentes contraseñas para acceder a los
diferentes programas, computadoras y redes.
• No utilizó medidas de seguridad fácilmente disponibles, como los cortafuegos, para limitar el acceso entre sus computadoras e Internet; y
• No empleó medidas suficientes para detectar y prevenir el acceso no autorizado a las redes informáticas o para realizar investigaciones de
seguridad, como los parches o la actualización de los software de antivirus.

En el mismo comunicado de prensa anunciando la resolución, la FTC anunció resoluciones similares contra los corredores Reed Elsevier (REI) y Seisint.
La demanda de la FTC alega que los sistemas REI y Seisint contenían numerosas fallas de seguridad que fueron aprovechadas por ladrones de identidad
para obtener acceso a la información sensible de al menos 316.000 consumidores de las bases de datos de Seisint. Los ladrones de identidad usaron la
información para activar tarjetas de crédito y abrir nuevas cuentas, e hicieron compras fraudulentas con las tarjetas y las nuevas cuentas. La FTC explica:
La resolución para TJX exige que establezca y mantenga un programa integral de seguridad razonablemente diseñado para proteger la seguridad, confiabilidad e integridad de la
información personal que recopila de o sobre los consumidores. La resolución para REI y Seisint exige que establezcan y mantenga programas integrales de seguridad para
proteger la información persona que es total o en parte información privada. Las resoluciones exigen que los programas contengan medidas de seguridad administrativas, técnicas
y físicas apropiadas para el tamaño, naturaleza de sus actividades, y la sensibilidad de la información personal que recopila cada compañía. Específicamente, las compañías
deben:

• Designar un empleado o varios empleados para coordinar el programa de seguridad de la información;

• Identificar riesgos internos y externos para la seguridad y confidencialidad de la información personal y evaluar las medidas de seguridad existentes;
• Diseñar e implementar medidas de seguridad para controlar los riesgos identificados en la evaluación de riesgos y supervisar su efectividad;
• Desarrollar las medidas razonables para seleccionar y supervisar a los proveedores de servicios que manejan la información personal que reciben de
las empresas; y
• Evaluar y ajustar sus programas de seguridad de la información para que reflejen los resultados de la supervisión, cualquier cambio material en sus
operaciones, u otras circunstancias que puedan impactar la eficacia de sus programas de seguridad;
Las resoluciones requieren que las compañías mantengan auditores de seguridad independientes para evaluar sus programas de seguridad sobre una base bianual para los
próximos 20 años. A los auditores se les exigirá certificar que los programas de seguridad de las empresas cumplen o exceden los requisitos de las órdenes de la FTC y están
funcionando con la suficiente eficacia para proporcionar una seguridad razonable de que la información personal de los consumidores está siendo protegida.

Al anunciar estas resoluciones, la presidenta de la FTC, Deborah Platt Majoras dijo

Por ahora, el mensaje debe ser claro: las empresas que recopilan información sensible de los consumidores tienen la responsabilidad de mantenerla segura. Estos casos llevan a 20
el número de demandas en las cuales la FTC ha sancionado a las empresas por las deficiencias en la protección de la información sensible de los consumidores. La seguridad de la
información es una prioridad para la FTC, como debiera ser para todas las empresas en Estados Unidos.

Resoluciones para la CVS Caremark

En febrero de 2009, CVS Caremark estableció que la FTC la acusa de que no tomó medidas de seguridad razonables y apropiadas para proteger la
información financiera y médica de sus consumidores y empleados, en violación a la ley federal. 39 En un acuerdo separado pero relacionado, la cadena de
farmacias de la compañía acuerda pagar 2.25 millones de dólares para resolver las demandas de HHS de que violaba HIPPA.

En el comunicado de prensa de la FTC, William E. Kovacic, Presidente de la Federal Trade Commission, dijo
Este es un caso que restaurará las protecciones de la privacidad apropiadas a decenas de millones de personas a lo largo del país…También envía un fuerte mensaje a otras
organizaciones que poseen información personal protegida de los consumidores. Están obligados a asegurar la información privada de los consumidores.

Otras Resoluciones de la FTC por la Falta de Protección de la Información Sensible de los Consumidores
La FTC ha realizado numerosas acciones de cumplimiento contra las empresas. Aproximadamente 30 han dado lugar a una resolución pública. Entre ellas
se encuentran las siguientes:40
• BJ’s Wholesale Club (minorista), 2005
• Life is Good (minorista de ropa), 2008
• Goal Financial, LLC (préstamos para estudiantes), 2008
• Choice Point (corredor de información del consumidor), 2006 y 2009
• Estas resoluciones de la FTC demuestran que las empresas que ignoran sus responsabilidades en la protección de sus activos de información tendrán
que responder por sus actos.

3.4.8 DIVULGACIÓN DE INCUMPLIMIENTO ESTATAL Y LEYES RELACIONADAS CON LOS ISS Y LA PRIVACIDAD

Para complicar más aún el panorama legal están las numerosas leyes estatales relacionadas con la seguridad de la información. Debido a que son 50
estados, el volumen de leyes puede ser abrumador.

El 01 de julio de 2003, El Código Civil de California 1798.80-84 se convirtió en la primera ley estatal que exige que los consumidores sean notificados si
una organización tiene razones para creer que ha sufrido una violación informática en la cual la información personal de los residentes de California
hubiera sido comprometida.

En el momento de escribir este artículo, 46 otros estados, más el Distrito de Columbia, Puerto Rico y las Islas Vírgenes, han promulgado leyes que
requieren la notificación de las violaciones a la seguridad que afecten la información.41 El cumplimiento debe incluir todas estas leyes que aplican a la
organización.
Los estados también han sido muy activos en la redacción de leyes de seguridad de la información y protección de la información privada (por ejemplo,
California Civil Code 1798.81.5). Las Leyes de Massachusetts (201 CMR 17.00) proporcionan estándares mínimos para la protección de la información
personal para cualquier empresa que posea o venda información personal de los residentes de Massachusetts. Las empresas que poseen ese tipo de datos
están obligadas a desarrollar y supervisar un programa integral escrito de seguridad de la información, designar un empleado responsable del programa,
implementar el entrenamiento, establecer políticas relacionadas con el acceso a la información, usar encriptación y exigir que los proveedores de servicios
cumplan con estos requerimientos en todos los contratos escritos.

Minnesota, Nevada y Washington han promulgado leyes que permiten a los bancos recuperar los costos y daños de los minoristas y procesadores de
tarjetas de crédito que sufran violaciones a la información después de no cumplir con los estándares actuales de la Industria de las Tarjetas de Pago (PCI).

El panorama va a complicarse más. El abogado de propiedad intelectual Stephen Wu señala (2010):

Espero que los estados sigan probando la eficacia de la legislación relativamente modesta e incremental. No obstante, con el enorme costo de las violaciones de datos, pequeñas y
grandes, es más importante que nunca que las empresas adopten programas de seguridad desde una perspectiva de gestión del riesgo, incluso si no tienen ningún requerimiento
legal o reglamentario para hacerlo.

3.4.9 DIRECTIVA DE PROTECCIÓN DE DATOS DE LA UNIÓN EUROPEA

En 1995, la Comisión Europea emitió la Directiva de Protección de Datos de la UE (Directiva 95/46/EC). La directiva está diseñada para armonizar las
leyes nacionales de los estados miembros de la UE que están dispuestas a proteger la privacidad y proteger toda la información personal recopilada sobre
los ciudadanos de la UE. La directiva, la cual entró en vigencia en 1998, crea un marco estandarizado para los derechos de privacidad online, establece
estándares mínimos que la legislación de protección de la información de todas las naciones miembro de la UE deben cumplir.

La directiva se complementa con la Directiva 2002/22/EC o ePrivacy Directive, que aborda la privacidad de las comunicaciones electrónicas y el uso de
cookies y aclara las reglas que aplican a los mensajes comerciales no solicitados. Esa directiva ha sido modificada por la Directiva 2009/136/EC, en la que
la UE exige a los estados miembros que modifiquen sus leyes nacionales acordadas en junio 2011.

US - EU Safe Harbor
La Directiva de Protección de Datos de la Unión Europea exige que las leyes nacionales de los estados miembros prohíban la transferencia de datos
personales fuera de la UE excepto cuando el destinatario demuestre que proveerá un nivel adecuado de protección a la privacidad individual consistente
con los estándares de la directiva.

Para proporcionar un medio ágil para que las organizaciones de Estados Unidos cumplan con la directiva y tengan en cuenta los diferentes enfoques de
privacidad entre la Unión Europea y los Estados Unidos, el Departamento de Comercio de Estados Unidos en consulta con la Comisión Europea desarrolló
un Puerto de Protocolo Seguro (safe harbor framework) a través del cual las organizaciones estadounidenses podrían demostrar que proveen un adecuado
nivel de protección a la información personal de los ciudadanos de la UE.

El Departamento de Comercio de Estados Unidos (2000) ha documentado siete principios clave de privacidad que exige la Directiva de la UE 94/96 EC:

AVISO (notice): Una organización debe informar a las personas acerca de los propósitos por los cuales recopila y utiliza información sobre ellos,
cómo contactar a la organización ante cualquier pregunta o reclamo, los tipos de terceras partes a los que revela la información, y las opciones y
medios que la organización ofrece a las personas para limitar su uso y divulgación…

OPCIÓN (choice): Una organización debe ofrecer a las personas la oportunidad de elegir (opt ut) si su información personal va (a) a ser revelada a un
tercero* o (b) a ser utilizada con un propósito que es incompatible con los propósitos para los cuales originalmente fue recopilada o subsecuentemente
autorizada por la persona…

TRANSFERENCIA SUCESIVA (onward transfer): para revelar la información a un tercero, las organizaciones deben aplicar los Principios de
Aviso y Opción…

SEGURIDAD (security): las organizaciones que crean, mantienen, usan o difunden información personal deben tomar precauciones razonables para
protegerla de pérdidas, mal uso, acceso no autorizado, divulgación, alteración y destrucción.

INTEGRIDAD DE LA INFORMACIÓN (data integrity): consistente con los Principios, la información personal debe ser relevante para los
propósitos para los cuales se va a utilizar…

ACCESO (access): las personas deben tener acceso a la información personal de ellas que una organización mantiene y tener la posibilidad de
corregir, modificar, o borrar esa información cuándo sea inexacta…

CUMPLIMIENTO (enforcement): la protección eficiente de la privacidad debe incluir mecanismos para asegurar el cumplimiento de los Principios,
el recurso para las personas con quienes se relacionan los datos afectados por el no cumplimiento de los Principios, y las consecuencias para la
organización cuando los Principios no se cumplan…
* No es necesario avisar o dar a elegir cuando se hace la divulgación a un tercero que está actuado como un agente para realizar tareas en nombre de y bajo las instrucciones de la
organización. El principio de transferencia, por el contrario, aplica a esas divulgaciones.

3.4.10 NUEVA JURISPRUDENCIA

Responsabilidad por el Robo Bancario Online

Era sólo cuestión de tiempo que los cibercriminales descubrieran que irrumpir en los sistemas informáticos de las empresas podría darles acceso a las
credenciales bancarias online. Eso parece haber sucedido en gran escala en el tercer trimestre de 2009, cuando los cibercriminales robaron más bancos
online que en el tradicional robo de bancos con ladrillo y mortero. Krebs (2010, “Cyber crooks”) señala que en el tercer trimestre de 2009 los
cibercriminales robaron más de 25 millones de dólares en robo a bancos online, mientras que los tradicionales ladrones de banco obtuvieron menos de 9,5
millones de dólares durante el mismo período.

Los cibercriminales son capaces de lanzar el ataque “man-in-the-middle” (hombre en el medio o ataque de suplantación de identidad) y otros sofisticados
ataques contra las empresas aprovechando las vulnerabilidades técnicas de los sistemas informáticos junto con los ataques de ingeniería social dirigidos a
las personas clave. Los cibercriminales también instalan software maliciosos en la computadora de la víctima para robar las credenciales de la banca en
línea, y luego usar esas credenciales para desviar dinero desde las cuentas objetivo.

Debido a que estos ataques utilizan credenciales de banca en línea legítimas, los bancos reclaman que ellos no tienen la obligación legal de reembolsar a las
empresas sus pérdidas, ya que el banco usa medidas de seguridad comercialmente razonables según se establece en el Uniform Commercial Code § 4A-202
(Authorized and Verified Payment Orders) (Órdenes de Pago Autorizadas y Verificadas).

Varias empresas víctimas han presentado demandas contra sus bancos en un intento de recuperar sus pérdidas:
• En septiembre de 2009, un tribunal del distrito de Illinois dio lugar a la demanda de una empresa contra su banco con el argumento de que puede
haber fallado en asegurar suficientemente su cuenta, después que un hacker no identificado obtuvo un préstamo de 26.500 dólares en la cuenta usando
el nombre de usuario y contraseña de los clientes (Zetter, 2009).
• En septiembre 2009, una empresa constructora en Maine demandó a un banco local después que ladrones cibernéticos robaron más de medio millón
de dólares de la empresa en un sofisticado robo online (Citadel Information Group, 23 septiembre 2009).
• En diciembre 2009, una empresa de pruebas electrónicas en Lousiana demandó a su banco, Capital One, alegando que la institución financiera fue
negligente al no detener una transferencia de los hackers de casi 100 mil dólares desde su cuenta (Citadel Information Group, 07 diciembre 2009).
• En marzo 2009, una empresa de tasaciones de bienes raíces en Hammond, Louisiana, perdió más de 27 mil dólares cuando se hicieron cuatro retiros
automáticos no autorizados (ACH)42 y se enviaron a personas en Estados Unidos. La empresa está demandando a su banco, también el Capital One,
para recuperar sus pérdidas (Krebs, 2010, “Victim”).

En un caso inusual, el banco PlainsCapital en Lubbock, Texas, está demandando a su cliente, Hillary Macinery Inc. El banco PlainsCapital citó una carta de
Hillary que exigía el pago de una pérdida online, alegando que el banco no había empleado las medidas de seguridad comercial razonable. La demanda
pide a la Corte del Distrito de Estados Unidos del Distrito Oriental de Texas, certificar que la seguridad de PlainsCapital era de hecho razonable, y que
procesó las transferencias electrónicas de buena fe. En los documentos presentados a la corte, el banco alega que las transacciones fraudulentas fueron
iniciadas utilizando las credenciales de banca online válidas del demandado (Krebs, 2010, “Texas”).

Demandas Colectivas
No es extraño que se hayan presentado demandas colectivas en contra de las empresas que han perdido información sensible de los clientes. Una demanda
colectiva de los accionistas contra Heartland Payment System por la violación de sus datos fue desestimada en diciembre de 2009. La demanda había sido
presentada por lo accionista que alegaban que Heartland no protegió adecuadamente la información de los clientes comprometidos y no notificó a los
clientes sobre de la violación de manera oportuna como lo exige la ley (Mills, 2009).

En una demanda colectiva de clientes por la misma violación de datos, Heartland Payment Systems acordó el pago de un mínimo de 1 millón de dólares y
hasta un máximo de 2,4 millones a los miembros que presentaron solicitudes válidas de pérdidas como resultado de la intrusión. La empresa también será
responsable de 1,5 millones de dólares por el costo de notificar los demandantes y USD$ 760.000 para cubrir los honorarios legales (Heartland, 2009).

En otra demanda colectiva de consumidores, en abril de 2010, la Corte de Distrito de Estados Unidos del distrito occidental de Kentucky comenzó
alertando a los consumidores que proporcionaron su información personal o hicieron pagos hipotecarios a Countrywide sobre un acuerdo propuesto
alcanzado en una demanda colectiva sobre el robo de información personal y financiera (Court, 2010). La demanda afirma que un alto asesor financiero
que había sido empleado por Countrywide tomó la información confidencial de millones de registros de clientes y los vendió a terceros. La demanda
alegaba que Countrywide no protegió adecuadamente la información personal y financiera de sus clientes. Bajo el acuerdo propuesto, Countrywide debe
proporcionar la supervisión del crédito y el seguro de robo de identidad de estos clientes; reembolsar en efectivo más de 6,5 millones de dólares a las
víctimas de robo de identidad; y los honorarios del abogado demandante de 3.625 millones de dólares.

Obviamente, como los sistemas de información se convierten en omnipresentes, el panorama legal aún es incipiente. Como afirma Francoise Gilbert en su
conferencia sobre aspectos de seguridad y privacidad de la información (2008):
Hace un tiempo atrás, no hace mucho, cuando Internet era un mundo aparte. Distinguíamos e-commerce (comercio electrónico) y otras actividades en el “ciberespacio” de
aquellos que han existido durante siglos en lo que hemos denominado el mundo de “ladrillo y mortero”. Este ya no es el caso. Estos mundos han convergido.

Claramente hay un mayor sentido de responsabilidad por la seguridad de la información, un panorama legislativo complejo y un escenario legal que cambia
rápidamente. El asesor legal debe participar no sólo durante el desarrollo de un programa de ISS de una organización, sino que también después,
periódicamente, para asegurarse que el programa cumple con los cambios en las leyes y otras obligaciones legales.

3.5 TEMAS ESPECIALES DE LOS ISS

Esta sección examina tres temas adicionales:

1. Evaluación del riesgo y vulnerabilidad del ISS

2. Implementación de la política
 3. Respuesta a incidentes

Después de este examen, el lector habrá sido expuesto a todos los elementos de la gestión de la seguridad de los sistemas de información (ISMS por sus
siglas en inglés). La siguiente sección usa esos elementos para elaborar un marco integral para los ISMS conforme a lo requerido por la norma ISO 27001.

3.5.1 EVALUACIÓN DEL RIESGO Y VULNERABILIDAD DE LOS ISS

Todo estándar profesional y legal descrito aquí exige que una organización gestione el ISS utilizando un enfoque basado en el riesgo.

Generalmente, una evaluación del riesgo y vulnerabilidad se realiza para medir el cumplimiento de una norma específica. Por ejemplo, el Payment Card
Industry Data Security Standard exige a las compañías que tienen tarjetas de crédito o débito que lleven a cabo una evaluación con respecto al actual PCI
DSS. Una empresa que busca ser certificada en conformidad a la ISO 27001 deberá realizar una evaluación del riesgo y vulnerabilidad de acuerdo a los
estándares de ISO 27001. Un tercero que reciba información de los pacientes desde un centro médico necesitará evaluar su capacidad para cumplir los
requisitos de privacidad del HIPAA.

Una evaluación de ISS por lo general aborda los objetivos tradicionales del ISS: proteger los sistemas de información; detectar los ataques al sistema, tanto
los exitosos como los bloqueados; y cumplir con las leyes, reglamentos y obligaciones contractuales – garantizando la confidencialidad, integridad y
disponibilidad de los datos de la organización.

Una evaluación de riesgo y vulnerabilidad del ISS generalmente tiene componentes de gestión y técnicos. El componente de gestión puede ser desde muy
formal a muy informal. En su modo más formal, el componente de gestión puede tener el rigor de una auditoría formal realizada para demostrar el
cumplimiento con una norma documentada. En su modo más informal, el componente de gestión puede consistir en entrevistas estructuradas con personal
y directivos seleccionados, junto con una revisión de la documentación disponible. El componente técnico de la evaluación del riesgo proporciona a la
organización una evaluación formal del momento de la seguridad de su infraestructura de TI.

Independientemente de lo específico o general, de lo formal e informal, una evaluación del riesgo y vulnerabilidad del ISS puede responder las siguientes
interrogantes:
• ¿Cuáles son las necesidades, obligaciones y oportunidades de la seguridad de la información de la organización?
− obligaciones legales para proteger la información
− obligaciones éticas para proteger la información de los clientes, socios comerciales y otras personas
− riesgo de incidente de seguridad de la marca
− responsabilidades fiduciarias
− oportunidades competitivas
• ¿Qué tan efectiva es la organización en la gestión de la seguridad de sus activos de información críticos?
− controles administrativos, técnicos y físicos
− estructura de gestión
− políticas de ISS
− clasificación y control de la información
− educación y entrenamiento de la conciencia del usuario
− seguridad de computadoras y redes
− seguridad física
− seguridad del personal
− garantía de terceros del ISS
• ¿Cuáles son las brechas entre sus necesidades y sus realidades?
− brechas de gestión
− brechas de tecnología
− brechas culturales
• ¿Qué capacidad existe para subsanar la brecha?
− Tiempo y recursos
− Capacidad de atención
− Cultura

Armada con esta información, ahora la organización puede hacer planes para subsanar metódicamente sus brechas del ISS.

3.5.2 IMPLEMENTACIÓN DE LA POLÍTICA DEL ISS

Según la norma ISO 27002, las políticas de seguridad de la información deben incluir, como mínimo, las siguientes directrices:
 • una definición de seguridad de la información, sus objetivos generales, el alcance y la importancia de la seguridad como un mecanismo propicio para
el intercambio de información
• una declaración de las intenciones de la gerencia, apoyando los objetivos y principios de seguridad de la información
• una breve explicación de las políticas, principios, estándares y requerimientos de cumplimiento de seguridad de particular importancia para la
organización

El desafío más grande de la gerencia no radica en la escritura de las políticas específicas sino en el desarrollo ordenado y la implementación de las
políticas. Una organización puede aumentar las posibilidades de que sus políticas de seguridad de la información influirán realmente en la seguridad
mediante los siguientes pasos. Más aún, siguiendo una rigurosa metodología de desarrollo de las políticas de ISS prepara a una organización para la
implementación de un sistema de gestión de la seguridad de la información.

Este proceso de ocho pasos ilustra una metodología:

Paso 1 Identificar los problemas organizacionales que afectan a la política de ISS
Paso 2 Identificar la información que necesita protección y la protección requerida
Paso 3 Identificar las distintas clases de usuarios de la política
Paso 4 Elaborar las políticas de ISS basándose en los pasos 1-3
Paso 5 Revisar las políticas elaboradas con la gerencia, los usuarios, y el asesor legal, y luego finalizarlas.
Paso 6 Capacitar a todo el personal en las políticas de ISS de la organización
Paso 7 Hacer cumplir las políticas de ISS
Paso 8 Revisar y modificar las políticas, según proceda, pero al menos anualmente.

3.5.3 RESPUESTA A INCIDENTES

La respuesta a incidentes de seguridad de la información es un conjunto de habilidades críticas para los inevitables problemas relacionados con la seguridad
de la información. Esos problemas comprenden todos los tipos de incidentes ya descritos, incluyendo malware, hacking, y errores. De acuerdo a NIST
(Scarfone, K., Grance,T., & Masone, K., 2008, p.ES-1):
La respuesta a incidentes de seguridad de computadoras ha llegado a ser un componente importante de los programas de tecnología de la información (TI). Las amenazas
relacionadas con la seguridad no sólo se han convertido en más numerosas y diversas, sino también en más dañinas y disruptivas. Los nuevos tipos de incidentes relacionados con
la seguridad surgen frecuentemente. Las actividades preventivas basadas en los resultados de las evaluaciones de riesgo pueden disminuir el número de incidentes, pero no todos
los incidentes pueden ser evitados. Una capacidad de respuesta a incidentes es, por lo tanto, necesaria para la rápida detección de incidentes, minimizar las pérdidas y destrucción,
mitigar las debilidades que fueron aprovechadas y restaurar los servicios informáticos.

Según CERT, una conocida unidad de respuesta de seguridad de la información de la Carnegie Mellon University, existen 19 pasos para desarrollar un
equipo de respuesta a seguridad de incidentes informáticos (CSIRT por sus siglas en inglés) (CERT, 2006):
1. Identificar las partes interesadas y los participantes.
2. Obtener el apoyo y patrocinio de la gerencia.
3. Desarrollar un plan de proyecto CSIRT.
4. Reunir información.
5. Identificar la circunscripción de CSIRT.
6. Definir la misión del CSIRT.
7. Asegurar los fondos para las operaciones del CSIRT.
8. Decidir el alcance y nivel de servicios que el CSIRT ofrecerá.
9. Determinar la estructura de presentación de informes del CSIRT, la autoridad y el modelo organizacional.
10. Identificar los recursos necesarios tales como personal, equipos e infraestructura..
11. Definir las interacciones e interfaces.
12. Definir roles, responsabilidades y la respectiva autoridad
13. Documentar el flujo de trabajo.
14. Desarrollar políticas y los procedimientos respectivos.
15. Crear una implementación del plan y solicitar la retroalimentación .
16. Anunciar el CSIRT cuando esté operacional.
17. Definir métodos para evaluar el rendimiento del CSIRT..
18. Tener un plan de respaldo para cada elemento del CSIRT
19. Ser flexible.

La creación de un equipo de respuesta a incidentes también es analizada por SANS, una notable autoridad en seguridad de la información (utilizando un
nombre diferente para el equipo):
 Ninguna política de seguridad de la empresa debe ser considerada completa hasta que se apliquen los procedimientos que permiten el manejo y recuperación de incluso el más
devastador de los incidentes. Una posible solución es la inclusión de un Equipo de Respuesta a Incidentes Informáticos (CIRT por sus siglas en inglés) dentro de los
procedimientos de respuesta a incidentes de la empresa.

NIST, CERT y SANS tienen muchos documentos de ayuda para desarrollar planes de respuesta a incidentes de seguridad de la información. Uno de los
elementos más críticos del plan es el documento de política. NIST define los elementos de la política de respuesta a incidentes para ser (Scarfone, K.,
Grance, T., & Masone, K., 2008, p.2-3):
• Declaración del compromiso de la gerencia
• Propósitos y objetivos de la política
• Alcance de la política (a quién y qué se aplica y bajo qué circunstancias)
• Definición de incidentes de seguridad informática y sus consecuencias dentro del contexto de la organización
• Estructura organizacional y delimitación de funciones, responsabilidades, y niveles de autoridad; debe incluir la autoridad del equipo de respuesta a
incidentes para confiscar o desconectar equipos y para supervisar actividades sospechosas, y los requerimientos para informar cierto tipo de incidentes
• Priorización o calificación de la gravedad de los incidentes
• Medidas de funcionamiento
• Informes y formularios de contacto

El CSIRT o CIRT forman la capacidad esencial de respuesta para remediar un incidente. La seguridad física puede ser un elemento crítico de este equipo,
especialmente debido a las similitudes en la respuesta a incidentes entre los paradigmas de seguridad física y de la información. Como bien saben los
profesionales de seguridad física, estar preparados para responder a incidentes es un aspecto crítico de cualquier programa de seguridad.

3.6 GESTIÓN TOTAL DEL ISS

Los riesgos, amenazas, vulnerabilidades y contramedidas son todos cambiantes. Como los ciberdelicuentes mejoran su oficio, los defensores deben mejorar
los suyos. Asimismo, mientras mejores son los chicos malos, más probabilidad de que leyes, reglamentos y contratos serán fortalecidos para exigir una
mejor seguridad de los sistemas de información. La carrera de armamentos resultante da lugar a lo que se conoce como Red Queen Effect43 (Efecto Reina
Roja).

En un sentido amplio, de acuerdo con otras mejores prácticas de gestión en constante evolución, el Efecto Reina Roja requiere que el programa de gestión
de los sistemas de información de una organización sea mejorado continuamente.

Esto significa que la función de la gerencia no puede ser sólo proporcionar un nivel apropiado de seguridad de los sistemas de información hoy. La
gerencia del ISS también debe aceptar la responsabilidad de hacer un mejor trabajo mañana. Este es el propósito del sistema de gestión de seguridad de la
información (ISMS).

3.6.1 ISO 27001 SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

La pieza central de la norma ISO 27001 es el ISMS, la piedra angular para la mejora continua de la capacidad de la organización para gestionar
eficientemente la seguridad de sus activos de información.

El ISMS de una organización es esa parte de la organización que corresponde al (ISO 27001, p.2)
sistema general de gestión, basado en un enfoque de riesgo empresarial, para establecer, implementar, operar, supervisar, revisar y mejorar la seguridad de la información…El
sistema de gestión incluye la estructura organizacional, políticas, actividades de planificación, responsabilidades, prácticas, procedimientos, procesos y recursos.

Un ISMS se basa en una perspectiva de modelo de proceso de gestión de seguridad de la información (ISO 27001, p.v):
El enfoque del proceso para la gestión de la seguridad de la información presentado en este Estándar Internacional estimula a sus usuarios a destacar la importancia de:
a. Comprender los requerimientos de seguridad de la información de una organización y la necesidad de establecer políticas y objetivos para la seguridad de la información;
b. Implementar controles de operación para manejar los riesgos de la seguridad de la información de una organización en el contexto de los riesgos empresariales globales de la
organización
c. Supervisar y revisar el funcionamiento y eficacia del ISMS; y
d. La mejora continua basada en una medición objetiva

El siguiente diagrama basado en la ISO 27001 ilustra el modelo espiral planificar-hacer-verificar-actuar (PDCA por sus siglas en inglés).
A la izquierda, como entrada continua al modelo PDCA, están los requerimientos y expectativas cambiantes de la seguridad de la información. A la
derecha, como salida continua del modelo PDCA, está la constante capacidad de mejora para gestionar las necesidades de la organización. Un ISMS
basado en la progresión continua de planificar-hacer-verificar-actuar puede generar la mejora continua.

La ISO 27001 define las cuatro fases del PDCA como sigue:

Planificar Establecer el ISMS

Establecer la política, objetivos, procesos y procedimientos relevante del ISMS para gestionar el riesgo y mejorar la
seguridad de la información en alineación con las políticas globales y objetivos de la organización.

Hacer Implementar y Operar el ISMS

Implementar y operar la política, controles, procesos y procedimientos del ISMS

Verificar Supervisar y Revisar el ISMS

Evaluar y si es el caso medir el funcionamiento del proceso comparado con la política del ISMS, los objetivos, y la
experiencia práctica; informando los resultados a la gerencia para la revisión.

Actuar Mantener y Mejorar el ISMS

Mejorar continuamente el ISMS tomando las medidas correctivas y preventivas sobre la base de los resultados de auditorías
internas del ISMS, revisión de la gestión, y otra información relevante.

3.6.2 HACIENDO POSIBLE LA MEJORA CONTINUA

La idea fundamental detrás de un ISMS es la mejora continua, siempre logrando lo mejor, siempre la vara más alta. Muchos programas de mejora continua
se han desarrollado, implementado y probado en los últimos 40 años. Se ha aprendido mucho sobre lo que funciona y lo que no funciona al implementar
esos programas. Sin duda un factor clave es la cultura organizacional.44

Una Cultura de Conciencia del ISS

La efectividad de un programa de seguridad de la información depende finalmente del comportamiento de las personas 45 . El comportamiento, a su vez,
depende de lo que las personas saben, de cómo se sienten y de lo que sus instintos les digan que hagan. Si bien un programa de entrenamiento de
conciencia de ISS puede impartir conocimientos sobre seguridad de la información, rara vez tiene un impacto significativo en los más profundos instintos
de seguridad de las personas. El resultado es una brecha entre lo que dictan las políticas de seguridad de la información y los comportamientos de las
personas. A menos que los sentimientos e instintos de las personas sobre la seguridad de la información cambien, la brecha seguirá existiendo. Es función
de la cultura eliminar esa brecha.

La cultura de una organización se puede definir de la siguiente manera (Shein, 1992):

Un patrón de suposiciones compartidas básicas que el grupo aprendió como ello resolvió sus problemas de adaptación externa e integración interna, que ha funcionado lo
suficientemente bien para ser considerado válido y, por lo tanto, ser enseñado a los miembros nuevos como el modo correcto de percibir, pensar y sentir en relación a esos
problemas.

En la medida que una organización evoluciona, descubre las maneras de adaptarse al mercado, la competencia, las leyes y otros cambios en su entorno
externo. También llega a comprender las formas de organizarse internamente –tanto formal (según el diagrama de la organización) como informal (la
manera en que realmente se hace el trabajo). Estas maneras se convierten en la norma de la organización; se convierte en su cultura.

ISS Desafío Cultural

Varias realidades culturales afectan la capacidad de la organización para asegurar sus sistemas de información y la información sensible que contienen:
• El ISS es un chico nuevo en el barrio. En la mayoría de las organizaciones la función del ISS no existe desde hace tanto tiempo como otros
departamentos. Este campo en sí sólo se remonta a 1970.46
• El ISS dista mucho de ser lo principal de la organización. Incluso cuando existen requerimientos legales para los controles de la seguridad de la
 información, estos son impulsados por la alta gerencia, sólo porque son exigidos legalmente. El apoyo de alto nivel para la ISS podría agotarse en un
instante si el panorama legal y reglamentario cambiara.
• Las preocupaciones del ISS parecen desconectadas de las de marketing, ventas, operaciones y financieras. Como resultado, la subcultura del
ISS se encuentra subordinada a las otras subculturas más dominantes.
• “La seguridad de los sistemas de información” contiene la palabra “seguridad”. La expectativa cultural es que el grupo ISS será, al igual que
otras funciones de seguridad, se ocupa de sus propios asuntos sin la necesidad de que otros empleados se involucren.
• La cultura de Seguridad del ISS toca el resto de la organización principalmente cuando alguien olvida su contraseña o cuando el sistema
evita que alguien haga su trabajo. Excepto por la educación anual de la conciencia, hay pocas oportunidades naturales para fusionar la cultura,
llevando a que la subcultura del ISS evolucione en forma aislada de la cultura dominante.

Contra este telón de fondo es que la organización de seguridad de la información debe incrustar su cultura en la más amplia cultura organizacional. Esa es
la única manera de transmitir a la organización más grande la forma correcta de percibir, pensar y sentir en relación a los desafíos del ISS. Shein (p.15)
señala:
La cultura y el liderazgo son dos lados de la misma moneda…Si la cultura se convierte en disfuncional, es la única función de liderazgo para percibir los elementos funcionales y
disfuncionales de la cultura existente para manejar la evolución cultural y cambiar de tal manera que el grupo pueda sobrevivir en un entorno cambiante.

El liderazgo…es la capacidad de salirse de la cultura…y empezar procesos de cambio evolutivos que son…adaptables. Esta capacidad para percibir las limitaciones de la propia
cultura y para desarrollar la cultura adaptativa es la esencia y último desafío del liderazgo.

Este aspecto del liderazgo –para cambiar la cultura más grande en la dirección de la seguridad de la información- es una función crítica para los
profesionales de la seguridad. Hasta que la manera de ver el mundo de la seguridad de la información se convierta en parte de la cultura de la organización,
la organización es disfuncional. Toda vez que hay una brecha de seguridad cuya causa es humana, proporciona la evidencia de la disfunción.

El ISS ha llegado a entrelazarse para siempre con la práctica del profesional de la seguridad física. Los profesionales de la seguridad deben examinar la
cultura de sus organizaciones desde fuera, moldeando y dando forma a su evolución, de modo que con el tiempo los empleados hagan lo correcto: sean
cuidadosos, pongan atención, e incluso se capaciten entre sí – todo debido a que una mentalidad de seguridad de la información se ha incrustado en la
cultura más grande.
ANEXO A

RECURSOS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN

Organizaciones relacionadas con el ISS

ASIS International. ASIS proporciona numerosos recursos relacionados con el ISS, incluyendo una red de miembros; el Information Resources Center; la
revista Security Management, junto con ediciones en línea diarias y semanales; y el Information Technology Security Council, http://www.asisonline.org.

Center for Internet Security (CIS). CIS es un líder en métricas de seguridad de la información y proporciona directrices de endurecimiento para
garantizar que los sistemas están configurados adecuadamente. Ofrece servicios gratuitos y de pago, http://cisecurity.org.

Community Emergency Response Team (CERT). Este programa de la Carnegie Mellon University proporciona una amplia gama de recursos para
abordar los problemas de seguridad de la información, http://www.cert.org.

Computer Security Institute (CSI). CSI es quizás más conocido por sus dos conferencias anuales y su encuesta anual de delitos informáticos y de
seguridad, publicado en conjunto con el FBI, http://www.gocsi.com

Information Systems Audit and Control Association (ISAC). Esta organización, que se focaliza en auditorías y controles, tiene 86.000 miembros
repartidos a través de 160 capítulos en todo el mundo, http://isaca.org.

Information Systems Security Association (ISSA). ISSA, la organización preeminente para profesionales de la seguridad de la información, es una
organización internacional, sin fines de lucro que promueve la educación y defensa. ISSA tiene 142 capítulos y 10.000 miembros en 70 países en todo el
mundo, https://www.issa.org.

InfraGard. Esta colaboración del sector privado del FBI proporciona numerosos recursos de seguridad de la información, http://www.infragard.net.

The National Institute of Standards and Technology (NIST). NIST es una agencia federal no reguladora del gobierno de Estados Unidos dentro del U.S.
Department of Commerce. Su misión es promover la innovación estadounidense y la competitividad de la industria a través de los avances de la ciencia de
las mediciones, los estándares y la tecnología. NIST ofrece mucha orientación en seguridad de la información, y su sitio Web lista muchas organizaciones
profesionales de seguridad de la información, http://www.nist.gov.

Open Web Application Security Project (OWASP). Este es un recurso relacionado con temas de la seguridad de las aplicaciones Web,
http://www.owasp.org.

Privacy Rights Clearinghouse (PRC). Esta, sin fines de lucro, proporciona información a los consumidores y defensa de los intereses del consumidor y es
una fuente de datos de violación a la divulgación, http://www.privacyrights.org.

Secunia. Esta es una fuente muy útil para parches y vulnerabilidades, http://secunia.com.

System Administration, Networking, and Security Institute (SANS). Este es uno de los repositorios preeminentes de capacitación y conocimientos en la
industria de la seguridad de la información. Ofrece programas de capacitación de muy buena reputación y también controla el Internet Storm Center
(http://isc.scans.org), el cual es conocido por su actualización diaria mediante voluntarios administradores de incidentes, http://www.sans.org.

Certificaciones en Seguridad de la Información

Certified Information Security Manager (CISM) and Certified Information Security Auditor (CISA). Estas certificaciones provienen de ISACA,
http://www.isaca.org.

Certified Information Systems Security Practitioner (CISSP). Esta certificación de la International Information System Security Certification
Consortium es considerada el estándar de oro, https://www.isc2.org.

Global Information Assurance Certification (GIAC). Esta certificación está disponible en varias especialidades del ISS, http:///www.giac.org.

Una lista de certificaciones de ISS se puede encontrar en https://www.issa.org.

Recomendaciones de Seguridad de los Sistemas de Información y Blogs Técnicos

CERT Coordination Center/Carnegie Mellon University, http://www.cert.org/

Google Online Security Blog, http://googleonlinesecurity.blogspot.com/

Microsoft Malware Protection Center: Threat Research & Response Blog, http://blogs.technet.com/mmpc/default.aspx.

SANS Internet Storm Center, http://isc.sans.org

US CERT, http://www.uscert.gov

Blogs No Técnicos del ISS

CitadelOnSecurity. CitadelOnSecurity ofrece noticias y perspectiva sobre el mundo del cibercrimen. Las categorías incluyen empresas en riesgo, leyes y
reglamentos, seguridad de los sistemas financieros, redes sociales, seguridad nacional, y gestión de vulnerabilidades, http://blog.citadel-information.com.
KrebsOnSecurity. Brian Krebs es un ex reportero del Washington Post cuya área incluía los delitos informáticos. El blog publica una serie de temas
recurrentes, incluyendo las investigaciones del crimen online, las últimas amenazas, actualizaciones de seguridad, violaciones de datos y, de vez en cuando,
justicia cibernética, http://www.krebsonsecurity.com/

Schneier on Security. Bruce Schneier es un técnico en seguridad internacionalmente reconocido y autor, descrito por The Economist como un gurú de la
seguridad, http://www.sheneier.com.

Nuevo Marco Jurídico

Leyes Federales y Reglamentos de Estados Unidos

Federal Trade Commission, Standards for Safeguarding Customer Information, 16 CFR 314

Health Insurance Portability and Accountability Act, 45 CFR 160 & 164

Privacy and Consumer Financial Information, 12 CFR 40 Sarbanes-Oxley Act of 2002, Public Law 107-204, Section 404

California Civil Code

Breach Disclosure Law, California Civil Code 1798.80-84

California Office of Privacy Protection. (2008). California business privacy handbook. http://www.privacy.ca.gov/ business/ca_business_privacy_hb.pdf

Otras Referencias Legales

Braun, R., & Stahl, S. (2005). Un estándar mínimo emergente del debido cuidado de la seguridad de la información. In H. Tipton and M. Krause (Eds.),
Information security management handbook (6th ed.). Boca Raton, FL: Publicaciones Auerbach.

Braun, R., & Stahl, S. (2006, March). Un estándar mínimo emergente del debido cuidado de la seguridad de la información, Privacy and Data Security
Law Journal.

Cook, W. (2004, June). Secretos (comerciales) abiertos: CSO Online. Disponible en: http://www.csoonline.com/article/219313/open-trade-secrets [2010,
December 5].

Gestión de la Seguridad de la Información

Mesa Redonda. (2004) Asegurando el ciberespacio: Mesa redonda empresarial del marco para el futuro. Disponible en: http://citadel-
information.com/library/2/securing-cyberspace-business-roundtables-framework-for-future-040520.pdf [2010, December 5].

ISACA. (2001). Gobernanza de la seguridad de la información: Guía para juntas de directores y gerencia ejecutiva, 2ª ed. Rolling Meadows, IL: ISACA,
2001.

National Cyber Security Summit Task Force. (2004) Informe de la Corporate Governance Task Force: Gobernanza de la seguridad de la información: Un
llamado a la acción. National Cyber Security Partnership. Disponible en: http://citadel-information.com/library/2/infosec-governance-national-
cybersecurity-partnership-040412.pdf [2010, December 5].

Directrices de Gestión, Estándares y Prácticas de ISS

Tecnología de la Información –técnicas de seguridad- código de prácticas para la gestión de la seguridad de la información, ISO 17799. (2000). Ginebra:
International Organization for Standardization.

PCI Security Standards Council. (2010). Payment Card Industry (PCI) data security standard. Disponible en:
https://www.pcisecuritystandards.org/documents/pci_dss_v2.pdf [2010, December 5]. Publicaciones del National Institute of Standards & Technology:

Bowen, P., Hash, J. & Wilson, M. (2006). Information security handbook: A guide for managers. Special Publication 800-100. Gaithersburg, MD: NIST.

Grance, T., Hash, J., Peck, S., Smith, J., & Korow-Diks, K. (2002). Security guide for interconnecting information technology systems. Special Publication
800-47. Gaithersburg, MD: NIST.

Kent, K., Chevalier, S., Grance, T., & Dang, H. (2006). Guide to integrating forensic techniques into incident response. Special Publication 800-86.
Gaithersburg, MD: NIST.

Kent, K., & Souppaya, M. (2006). Guide to computer security log management. Special Publication 800-92. Gaithersburg, MD: NIST.

Kissel, R., Stine, K., Scholl, M., Rossman, H., Fahlsing, J., & Gulick, J. (2008). Security considerations in the information system development life cycle.
Special Publication 800-64. Gaithersburg, MD: NIST.

Kuhn, D., Walsh, T., & Fries, S. (2005). Security considerations for voice over IP systems. Special Publication 800-58. Gaithersburg, MD: NIST.

Mell, P., Kent, K., & Nusbaum, J. (2005). Guide to malware incident prevention and handling. Special Publication 800-83. Gaithersburg, MD: NIST.

Scarfone, K., Grance, T., & Masone, K. (2008). Computer security incident handling guide, Special Publication 800-61. Gaithersburg, MD: NIST.
Scarfone, K., & Mell, P. (2007). Guide to intrusion detection and prevention (IDP) systems. Special Publication 800-94. Gaithersburg, MD: NIST.

Wilson, M., & Hash, J. (2003). Building an information technology security awareness and training program. Special Publication 800-50. Gaithersburg,
MD: NIST.
Especificación para el sistema de gestión de seguridad de la información. En ISO 2700. (2005). Requisitos de tecnología de la información –técnicas de
seguridad - sistemas de gestión de la seguridad de la información. Ginebra: International Organization for Standardization.

Guías de Configuración de la Tecnología

Microsoft Corporation. (2009). Windows Server 2003 security guide. Disponible en: http://www.microsoft.com/downloads/en/details.aspx?
FamilyID=8A2643C1-0685-4D89-B655-521EA6C7B4DB [2010, December 5]

National Security Agency. Múltiples guías disponibles en: http://www.nsa.gov.

Encuestas de Delitos en Sistemas Informáticos y de Seguridad

Annual CSI Computer Crime and Security Survey. http://gocsi.com

REFERENCIAS

Borodkin, M. (2001). Computer incident response team. SANS Institute. Available: http://www.sans.org/reading_room/whitepapers/incident/computer-
incident-response-team_641 [2010, December 5].

CERT. (2006). Action list for developing a computer security incident response team (CSIRT). Available:http://www.cert.org/csirts/action_list.html [2010,
December 5].

Citadel Information Group. (2009, September 23). Company sues bank after $588,000 stolen by cyberthieves. Citadel on Security. Available:
http://citadelonsecurity.blogspot.com/2009/09/another-corporate-victim-of-cybertheft.html [2010, December 5].

Citadel Information Group. (2009, December 7). La. firm sues Capital One after losing thousands in online bank fraud. Citadel on Security. Available:
http://citadelonsecurity.blogspot.com/2009/12/la-firm-sues-capital-one-after-losing.html [2010,December 5].

Cordeiro, B. (2010, January 8). UPDATE 2-Heartland in $60 mln settlement with Visa, shares rise. Reuters.
http://www.reuters.com/article/idUSSGE6070I920100108.

Court to notify Countrywide customers about a class action settlement involving the theft of personal and financial data. (2010, April 12). PR Newswire.
Available: http://www.prnewswire.com/news-releases/court-to-notify-countrywide-customers-about-a-class-action-settlement-involving-the-theft-of-
personal-and-financial-data-90601539.html [2010, December 5].

Gilbert, F. (2008, February). Hot issues in cyberspace: Critical information privacy and security issues. The Practical Lawyer. Available:
http://www.itlawgroup.com/resources/articles/139-marketing-and-sales.html [2010, December 5].

Gregg, M. (2009). CISSP exam cram. New York, NY: Pearson Publishing.

Heartland to pay up to $2.4 million to settle cardholder class action suit. (2009, December 21). DataBreaches.net. Available: http://www.databreaches.net/?
p=8991 [2010, December 5].

ISACA. (2001). Information Security Governance: Guidance for Boards of Directors and Executive Management, 2nd ed. Rolling Meadows, IL: ISACA,
2001.

ISO 27001. (2005). Information technology—security techniques—information security management systems—requirements.

ISO 27002. (2005). Information technology—security techniques—code of practice for information security management.

Krebs, B. (2010). Cyber crooks leave traditional bank robbers in the dust. Krebs on Security. Available: http://krebsonsecurity.com/2010/03/cyber-crooks-
leave-bank-robbers-in-the-dust [2010, December 5].

Krebs, B. (2010). Texas bank sues customer hit by $800,000 cyber heist. Krebs on Security. Available: http://krebsonsecurity.com/2010/01/texas-bank-
sues-customer-hit-by-800000-cyber-heist[2010, December 5].

Krebs, B. (2010). Victim asks Capital One, ‘Who’s in your wallet?’ Krebs on Security. Available: http://krebsonsecurity.com/2010/03/another-la-e-
banking-victim-suing-capital-one/#more-700 [2010, December 5].

Kurzweil, R., The Age of Spiritual Machines, Viking Penguin, 1999.

Lam, D., Pease, K., Stahl, S., & Takamine, K. (2007, July). Creating the information security village. ISSA Journal.

Mills, E. (2009, December 10). Heartland data breach lawsuit dismissed. CNET News. Available: http://news.cnet.com/8301-1009_3-10413194-83.html
[2010, December 5].

O’Brien, K. (2009, December 28). Cellphone encryption code is divulged. New York Times.

Organisation for Economic Co-operation and Development. (2002). OECD guidelines for the security of information systems and networks—Towards a
culture of security. Paris: OECD. Available: http://www.oecd.org/dataoecd/16/22/15582260.pdf [2010, December 5].

PCI Security Standards Council. (2010). Payment card industry (PCI) data security standard. Available:
https://www.pcisecuritystandards.org/documents/pci_dss_v2.pdf [2010, December 5].

Quigley, F., & Stahl, S. (1987). Fundamental elements of information security. TRW internal report.

Reed, D. (2003). Applying the OSI Seven Layer Network Model to information security. NIST. Available:
http://www.isd.mel.nist.gov/projects/processcontrol/members/minutes/7-Sep-2004/OSI.pdf [2010, December 5].

SANS. (2006). Extranet policy. Available: http://www.sans.org/security-resources/policies/Extranet_Policy.doc [2010, December 5].

Scarfone, K., Grance, T., & Masone, K. (2008). Computer security incident handling guide. Gaithersburg, MD: National Institute of Standards and
Technology.

Schein, E. (1992). Organizational culture and leadership (2nd ed.). San Francisco, CA: Jossey-Bass.
Stahl, S. (2006). Beyond information security awareness training: It’s time to change the culture. In H. Tipton and M. Krause (Eds.), Information Security
Management Handbook (3rd ed.). Boca Raton, FL: Auerbach Publications.

Turing, A. (1936-7). On computable numbers, with an application to the Entscheidungsproblem. Proceedings of the London Mathematical Society, Ser 2,
vol. 42, pp. 230-265; corrections, ibid, vol 43, pp. 544-46.

U.S. Department of Commerce. (2000). Safe harbor privacy principals. Available: http://www.export.gov/safeharbor/eg_main _018247.asp [2010,
December 6].

Wright, R. (2000). Nonzero: the logic of human destiny. New York, NY: Vintage.

Wu, S. (2010). Trends in state security and privacy laws and regulations. In Privacy and Data Security Law Institute. New York, NY: Practising Law
Institute.

Zetter, K. (2009, September 4). Court Allows Woman to Sue Bank for Lax Security After $26,000 Stolen by Hacker. Wired (on-line). Available:
http://www.wired.com/threatlevel/2009/09/citizens-financial-sued [2010, December 5].
 CAPÍTULO 4
DESAFÍOS EN
CONVERGENCIA DE LA
SEGURIDAD

Según una definición, la convergencia es (Tyson, 2007, p.4)

la integración, de manera formal, colaborativa y estratégica, de los recursos de seguridad acumulativos de la organización, con el fin de beneficiar a toda la empresa a través de la
mitigación del riesgo, el aumento de la eficiencia y la efectividad operacional y del ahorro de costos.

La convergencia de la seguridad puede, efectivamente, incrementar la mitigación del riesgo, pero también puede aumentar el riesgo organizacional total.
Esta sección examina los desafíos de la convergencia presentando en primer lugar dos ejemplos comunes (cámaras y sistema de control de acceso). Luego
se describe cómo un sistema integral de gestión de la seguridad de la información (ISMS) puede ser el elemento “formal, colaborativo y estratégico” que se
requiere para mitigar el riesgo.

4.1 RIESGO PARA LA RED

Cuando los profesionales de seguridad física ponen tecnología de seguridad física en la red, abren la puerta a importantes riesgos de seguridad basados en
la red. Por ejemplo, todas las siguientes materias de interés para el profesional de seguridad de los sistemas de información (ISS) también pueden debilitar
la seguridad física:
• Denegación de servicios (DOS por sus siglas en inglés): capacidad de un individuo malintencionado para detener el funcionamiento de un sistema
informático
• Inserción de datos inexactos: agregar datos incorrectos en una base de datos o archivo
• Robo de datos: robar datos desde un sistema
• Modificación de Datos: cambiar datos o información en un sistema
• Destrucción de Datos: destruir datos en un sistemas

Los principios del ISS se centran en tres elementos básicos: confidencialidad, integridad y disponibilidad, también denominada tríada CIA. Estos principios
aplican a los temas mencionados anteriormente de la siguiente manera:
• Denegación de servicios (DOS): disponibilidad
• Inserción de datos inexactos: integridad
• Robo de datos: confidencialidad
• Modificación de Datos: integridad
• Destrucción de Datos: disponibilidad

Para hacer frente a los riesgos de seguridad provocados por la convergencia, los profesionales de seguridad física deben ser capaces de clasificar el riesgo
del ISS conforme a la tríada CIA. Este enfoque ayuda a evaluar rápidamente los tipos de riesgos que se enfrentan y luego aplicar las estrategias adecuadas
para mitigar esos riesgos.

4.1.1 ESTUDIO DE CASO DE RED: SISTEMA DE CÁMARAS

Un sistema de video vigilancia moderno depende en gran medida de las redes, como se muestra en la Figura 4-1.
El lado izquierdo de la Figura 4-1 muestra a los usuarios externos en Internet que potencialmente podrían conectarse a los sistemas internos de una
organización. Esos usuarios son segregados de la red interna mediante un firewall y un dispositivo de red virtual privada (VPN por sus siglas en inglés). En
la parte inferior del diagrama están los usuarios internos, que normalmente tienen acceso a los activos de información a través de un switch (interruptor) de
red, el dispositivo que une los activos de la red. En la parte superior del diagrama están las cámaras de video, las cuales generalmente están dispersas en
toda la empresa. Todas las cámaras conectan a un switch permitiendo que cada cámara converse con los otros dispositivos de la red. Algunos switches se
conectan a otros switches por lo que todos los dispositivos pueden intercambiar información entre ellos.

En el lado derecho del diagrama se muestran los servidores que controlan las cámaras de video. Un servidor registra el video mientras otro proporciona
comandos y control para todo el conjunto del sistema de seguridad física. Por debajo de estos dos servidores está el área de almacenamiento de la red, en la
cual residen todos los datos.

Los cinco temas de riesgo nombrados anteriormente podrían aplicarse al sistema de video en red de la Figura 4-1 de la siguiente forma:
• Denegación de servicios (DOS). Las cámaras de video pueden tener un bloqueador de video para llegar a las estaciones de trabajo de clientes y
dispositivos de grabación. Las personas empeñadas en tener acceso no autorizado a la instalación podrían apagar la capacidad de visualización del
video.
• Inserción de datos inexactos. Se puede insertar datos inexactos en el video grabado, por ejemplo agregando un video inválido entre las secuencias de
video válidas. Alguien que robó algo de la instalación podría insertar un video durante ese tiempo que mostrara que allí no había nadie.
• Robo de datos. Las secuencias de video podrían ser robadas y utilizadas con malas intenciones. Los ladrones de bancos, por ejemplo, podrían ser
capaces de analizar las imágenes de las cámaras para ayudarlos a planificar el robo del banco.
• Modificación de datos. Los datos podrían ser modificados mientras el video estuviera en tránsito, interceptando el video correcto y mostrando un
video grabado previamente al operador, por ejemplo mientras se comete el delito.
• Destrucción de datos. La evidencia de video grabada en un disco duro podría ser borrada, ocultando la evidencia de un robo.

Cada dispositivo en el diagrama se está comunicando en la red y es potencialmente capaz de comunicarse con todos los demás en la red. Los usuarios en la
red interna son capaces de intercambiar información con los servidores y de intercambiar información con las cámaras de video. Alguien que pueda
intercambiar información con un dispositivo disponible en la red puede tener la capacidad de controlar un elemento de seguridad física o elementos
conectados a ella, posiblemente desde cualquier parte del mundo.

4.1.2 ESTUDIO DE CASO DE RED: CONTROL DE ACCESO

Un sistema de control de acceso electrónico plantea a los profesionales de seguridad física matices adicionales importantes. La Figura 4-2 representa una
disposición del sistema.
La arquitectura de la red es similar a la del sistema de video (Figura 4-1). En la Figura 4-2, los usuarios internos se muestran en la parte inferior, mientras
que los usuarios externos están en el lado izquierdo. Los usuarios externos son segregados de los usuarios internos por un dispositivos de seguridad, en este
caso un firewall. Todos los elementos de la red están conectado mediante switches (interruptores), incluyendo el servidor de control de acceso, los usuarios
y el controlador integrado. El lector de la puerta, también llamado lector de tarjetas, está conectado al controlador integrado, que está conectado a la red.

El lector de tarjetas de control de acceso intercambia infromación directamente con un dispositivo integrado que intercambia información con la red. El
controlador integrado decide si alguien puede pasar por esa puerta.

Alternativamente, un servidor habla directamente a la red. No necesita un intermediario.

Los dispositivos de control de acceso en la Figura 4-2 están conectados directamente a la red o conectados a un dispositivo que puede controlarlos, el cual
está conectado a la red.

Las computadoras se comunican directamente e indirectamente. Las computadoras se comunican directamente (también llamadas capa 2) cuando pueden
verse entre ellas e indirectamente (también llamadas capa 3) cuando necesitan un intermediario. La comunicación directa es como hablar con alguien más
en una sala de reuniones. Si John quiere conversar con Mary en esa sala de reuniones, él dice, “¿Mary, puedo hablarte?” Cuando Mary reconoce a John,
tienen una conversación. Si John necesitara conversar con alguien fuera de la sala de reuniones, él necesitaría un intermediario –un teléfono que sepa cómo
marcar el teléfono de la otra persona y permitir la conversación.

La comunicación directa entre computadoras, que es la comunicación de la capa 2, ocurre de la misma manera. El puesto de trabajo que quiere conversar
con el servidor de control de acceso dice, “¿el servidor de control de acceso está disponible para mí para hablar directamente?” En otras palabras, ¿la
computadora está en la sala? Si es así, tienen la conversación.

La Figura 4-5 muestra el flujo lógico de comunicación que se lleva a cabo durante una conversación entre un puesto de trabajo y el servidor que maneja
toda la información de control de acceso.
El puesto de trabajo, a la izquierda, intercambia información con el servidor de control de acceso. El servidor de control de acceso toma cualquier solicitud
que El puesto de trabajo le hace (activar una tarjeta), comunica la solicitud al servidor de la base de datos, y cuando el servidor de la base de datos
responde, el servidor de control de acceso envía una comunicación de vuelta a El puesto de trabajo. Todo esto ocurre en conversaciones individuales entre
dos computadoras, una después de la otra.

Para que esta conversación suceda directamente, todas las máquinas deben estar en el mismo switch y por lo tanto, capaces de verse unas a otras. La Figura
4-6 muestra los elementos del control de acceso conectados a un switch.

En la Figura 4-6, para que El puesto de trabajo se comunique al servidor de control de acceso, necesita enviar una señal al switch, que entonces envía una
copia de esa señal al servidor de control de acceso. Por lo general, el switch no enviaría la misma señal al servidor de base de datos, ya que no está
destinada al servidor de la base de datos. La Figura 4-7 muestra como se produce dicha comunicación en la capa 2:

Primero, El puesto de trabajo envía la solicitud para hablar al servidor de control de acceso. Si el servidor de control de acceso puede ser visto por El
puesto de trabajo, envía de vuelta una dirección única en la forma de un reconocimiento para que El puesto de trabajo pueda comunicarse con él.

Volver al ejemplo de la sala de reuniones puede ayudar a explicar el siguiente nivel de la comunicación informática. Si John no puede ver a Mary, él sabe
que Mary no está en la sala. Por lo tanto, el levanta el teléfono y la llama. El teléfono es un intermediario que facilita la comunicación. John y Mary están
en diferentes habitaciones, diferentes ciudades o diferentes países. En el ejemplo de la computadora, si dos computadoras no pueden verse entre ellas
directamente, están en redes separadas y debe usar un router (enrutador) como un intermediario para comunicarse entre ellas.
Tal como muestra la Figura 4-8, si El puesto de trabajo quiere intercambiar información con el controlador del control de acceso, puede hacerlo sólo porque
El puesto de trabajo puede ver al controlador del control de acceso. Está en el mismo switch (análogo a esta en la misma sala de reuniones). Para
comunicarse con el servidor de control de acceso, no obstante, El puesto de trabajo primero comienza por ver si el servidor de control de acceso está en la
misma red. Si no, le pregunta al router si puede llegar hasta el servidor de control de acceso. Si el router puede redirigirlo, lo hace.

La comunicación de la capa 3 es el mecanismo que permite a las computadoras interactuar a través de Internet en todo el mundo. Hay poca diferencia entre
el diagrama de la Figura 4-9 y lo que sucede cada día en Internet. En un paradigma convergente, las computadoras y los activos físicos de seguridad son
potencialmente accesibles desde todo el mundo –y por lo tanto- vulnerables.

Estas reglas de las comunicaciones aplican a todos los elementos que operan en la red. Todo dispositivo conectado a la red es accesible para cualquier otro
conectado a la red.

Los cinco temas de riesgo mencionados anteriormente podrían aplicarse al sistema de control de acceso en red de la Figura 4-2 de la siguiente manera:
• Denegación de servicio (DOS). Un ataque de DOS podría impedir a una organización la actualización de su servidor de control de acceso.
• Inserción de datos inexactos. La inserción de un registro inexacto podría dar acceso a una persona no autorizada a la instalación física. Un grupo
terrorista podría entrar en una computadora disponible de la red, y luego otorgar acceso a una tarjeta no autorizada de modo que su grupo podría
ingresar al centro de envío de la instalación.
• Robo de datos. Alguien podría robar los registros de una compañía y averiguar con quién, con ingeniería social, obtener una credencial. Por ejemplo,
alguien podría averiguar el nombre de un empleado con el acceso apropiado al edificio, encontrarse con el empleado en un bar, y subrepticiamente
copiar la credencial del empleado.
• Modificación de datos. Alguien podría modificar un registro y otorgarse acceso dónde no lo tiene. Una vulnerabilidad del sistema podría hacer que el
sistema de acceso esté disponible en la red. Por ejemplo, un empleado podría obtener acceso a una zona inapropiada de un banco aprovechando la
vulnerabilidad del sistema y modificando sus registros para obtener un permiso de acceso adicional sin autorización.
• Destrucción de datos. Alguien podría destruir el rastro de su acceso a un área en particular de la compañía. Por ejemplo, después de acceder a un área
sensible donde se almacenan los valores de comprobación, un empleado interno podría destruir el rastro de auditoría que mostraba que estuvo allí.

Los dos ejemplo –un sistema de video y un sistema de control de acceso- ilustran que cuando los dispositivos de seguridad física se colocan en la red
corporativa, el profesional de seguridad debe manejar el aumento de un conjunto de riesgos. La siguiente sección analiza la variedad de tipos de ataques
contra los sistemas de seguridad de la red.

4.2 ATAQUES DE COMUNICACIÓN

Una vez que los sistemas de seguridad se comunican sobre la red, son susceptibles al ataque. Estos ataques pueden provenir de múltiples vectores. Aquí se
presentan algunas de las posibilidades:

Ingeniería social: Alguien convence a un usuario que comparta sus credenciales para entrar en la red.

Hacking directo: Alguien sigue un sistema, accediendo directamente en él a través de canales normales o explotando una
 vulnerabilidad.

Malware: Alguien ataca un sistema instalando un software en él, ya sea con el conocimiento del usuario (generalmente
oculto en otro software o e-mail) o automáticamente, sin conocimiento del usuario.

Ataque a la Web: Alguna parte de la interfaz Web con el usuario (como buscando en una página Web) permite el acceso al
sistema.

4.2.1 INGENIERÍA SOCIAL

La ingeniería social es la manipulación de las personas para conseguir que hagan algo que debilite la seguridad de la red. Una de las formas en que los
criminales usan la ingeniería social es convencer a las personas que les den su identificación de usuario y contraseñas.

En el caso de un sistema de grabación de video, algunos usuarios son capaces de acceder al sistema. Generalmente, necesita entrar un nombre de usuario y
contraseña (en muchos casos, el mismo que utilizan para acceder a la red). Muchas empresas también hacen que el software esté disponible desde
ubicaciones remotas, en Internet. Ciertamente, es conveniente para un número de personas tener la posibilidad de acceder al video en cualquier momento,
sin importar su ubicación.

Sin embargo, sin controles adecuados, el software de grabación de video podría verse comprometido. En un ataque común de ingeniería social, el hacker
llama, simula ser del departamento de TI, y le dice al usuario que le diga su contraseña para poder arreglar el sistema. Si el usuario no está educado en
forma apropiada (o es una persona amable por naturaleza) dará su nombre de usuario y contraseña. El intruso ahora puede acceder fácilmente al sistema de
grabación.

Un sistema de control de acceso podría ejecutarse en un servidor Web en Internet (“cloud computing”), o en su lugar podría ejecutar en un servidor interno.
De cualquier modo, un hacker podría obtener acceso al servidor de control de acceso utilizando las credenciales de ingeniería social. Una vez dentro, el
podría crear su propia credencial o quizás incluso abrir una puerta.

4.2.2 HACKING DIRECTO

En un ataque de piratería informática (hacking) directo, un hacker trabaja con herramientas bajo su control para obtener el acceso a la red. La analogía con
la seguridad física para esto es el ladrón de bancos que hace túneles en una bóveda para robar el dinero. Él está directamente involucrado en el crimen. Del
mismo modo, el hacker necesita identificar qué defensas existen y luego derrotarlas. Mientras menos defensas existan, más fácilmente puede el hacker
comprometer el sistema.

Con respecto al software de grabación de video, los hackers suelen empezar comprobando un sitio Web fácilmente accesible. Si pueden robar la contraseña
mediante la ingeniería social, lo harán.

Si no, podrían utilizar un crackeador (adivinador) de contraseñas de fuerza bruta que les permita intentar muchas contraseñas muy rápidamente. Sin
embargo, muchos sistemas ahora tienen herramientas para bloquear los hackers después de intentar demasiadas contraseñas.

A continuación, los hackers buscan las vulnerabilidades (fallas del programa que permiten a las personas hacer cosas que no debieran). Por lo general, usan
herramientas gratis automatizadas para aprovechar esas vulnerabilidades. En el caso de un servidor que ejecuta un sistema de grabación de video, un hacker
podría aprovechar un error desconocido o no reparado en el sistema para obtener el acceso a la máquina y crearse una cuenta o cambiar una contraseña.

En algunos casos, un sistema actualizado, incluso uno totalmente “patched” (parchado), puede llegar a ser vulnerable. Un ingeniero podría configurar el
sistema de forma incorrecta o cometer un error de arquitectura, como enchufar un servidor interno en un switch que es accesible a través de Internet.

Las consecuencias son idénticas a las de la ingeniería social. Con acceso total a un sistema, un hacker puede hacer cualquier cosa que un administrador del
sistema pueda hacer, es decir, todo.

4.2.3 MALWARE

Uno de los más insidiosos mecanismos que los hackers utilizan hoy en día para atacar sistemas es el malware (programa maligno). El malware –virus,
worm (gusano), spyware (programa espía), rootkit47, troyano, etc.- está diseñado para dar al cibercriminal o hacker el control de la computadora en la cual
está instalado. El malware a menudo elude las medidas preventivas. Entre las razones se encuentran:
• El software antivirus no se mantiene actualizado
• Usuarios inexpertos abren correos y archivos caza bobos (booby-trapped) o visitan sitios caza bobos en Internet
• Los administradores del sistema permiten a los usuarios instalar software en el escritorio

El malware puede instalarse, ya sea como parte de otro software, automáticamente cuando se abre un correo electrónico y mediante varios otros métodos.
Es particularmente insidioso, porque sus diseñadores lo programan para ser principalmente silencioso. En los primeros días de la piratería, los hackers
querían hacer una declaración –querían que las personas supieran que se habían apoderado de la máquina. Ahora, muchos hackers están interesados
solamente en ganar dinero. Mientras más tiempo pueden permanecer sigilosos, apropiándose de los sistemas de una organización y robando su
información, más pueden obtener.

La primera cosa que un hacker necesita es acceso al sistema. Normalmente hay dos tipos de mecanismos para obtener acceso con un malware. Un ataque
general se centra en obtener acceso a cualquier sistema que podría dar al hacker acceso a un sistema; un ataque focalizado se dirige a una persona
específica y toma medidas como pasar información a un intruso o permitiendo el control remoto del sistema.

Las estaciones de trabajo dentro de la red generalmente están protegidas por un firewall y VPN, de modo que no parezcan ser inmediatamente accesibles.
Sin embargo, los usuarios pueden recibir malware en una serie de formas: desde un e-mail, descargando una parte del software, o a través de un ataque
basado en la Web. Una vez que el malware ha sido descargado en una computadora, puede conceder el control remoto a un hacker o realizar cualquier cosa
que esté programado para hacer.

Una vez que un criminal ha tomado control de El puesto de trabajo de un usuario, especialmente si captura las contraseñas de usuario, puede hacer todo lo
que el usuario puede hacer, incluyendo tomar el control del sistema de seguridad física.

4.2.4 ATAQUES A LA WEB

Los ataques a la Web pueden centrarse en los clientes (estaciones de trabajo de los usuarios, por ejemplo) o en los servidores (obtienen acceso directo no
autorizado a los recursos e información del sistema). Un ataque a la Web es particularmente peligroso, debido a que puede derrotar casi todos los controles.

Con respecto a los ataques a los clientes, cuando los usuarios están accediendo a la Web, pueden tomar el malware simplemente yendo a un sitio Web
comprometido. Una serie de sitios, algunos de ellos de grandes marcas, han sido comprometidos con malware en el pasado. Por ejemplo, en el 2010, un
código maligno fue añadido a los sitios alojados por Network Solutions (Krebs, 2010).

Una vez que un usuario va a un sitio Web en el que se ha insertado un malware, el malware podría ser descargado en la computadora del usuario incluso si
el usuario no hace click en ninguna parte (porque un navegador Web ejecuta el código en la página Web automáticamente).

Los hackers también atacan los sitios Web para obtener información de las personas que visitan esos sitios. El Proyecto de Seguridad de Aplicaciones Web
Abiertas (Web Application Security Project) (http://www.owasp.org) publica periódicamente una lista de los 10 ataques top a la Web. Los siguientes son
los tipos de defectos encontrados comúnmente en los sitios Web, permitiendo a los hackers el acceso o control no autorizado:

Injection (Inyección)
Las fallas de inyección, particularmente inyección de Lenguaje de Consulta Estructurado (SQL por sus siglas en inglés), son comunes en las aplicaciones
Web. La inyección permite a un atacante ejecutar un comando directamente en una base de datos contrario a los derechos de acceso permitido. Los usuarios
generalmente sólo pueden ingresar datos, no comandos. Un ataque de inyección SQL ocurre cuando un hacker es capaz de enviar la entrada a un servidor a
través de un campo de formulario o URL que le da al servidor una instrucción para devolver información que no debiera devolver.

Cross-site scripting (XSS) (Secuencia de Comandos entre sitios)

Un error de secuencia de comandos entre sitios Web permite a un atacante ejecutar un código maligno desde un segundo sitio Web (controlado por el
cibercriminal) en el navegador de la persona que está viendo el primer sitio Web. Este código malicioso puede hacer cualquier cosa para la cual el
cibercriminal lo haya programado, incluyendo la instalación de un troyano en la computadora del usuario.

Broken authentication and sesión management (Autenticación interrumpida y gestión de sesión)

Esta clase de vulnerabilidades permite a los cibercriminales comprometer las contraseñas, claves, o dispositivos de autenticación (token) para asumir la
identidad de un usuario legítimo.

Insecure direct object references (Referencias a objetos inseguros directos)

El no prohibir el acceso directo a “objetos” internos –archivos, directorios, programas, etc.- en un servidor Web puede llevar a uso ilegítimo del servidor.

Cross-site request forgery (CSFR) (Falsificación de solicitud entre sitios)

La falsificación de solicitud entre sitios es un ataque en el cual el navegador de la víctima es engañado para emitir un comando a una aplicación Web
vulnerable. A diferencia del cross-site scripting (XSS), el cual aprovecha la confianza que un usuario tiene por un sitio en particular, la CSFR aprovecha la
confianza que el sitio tiene en el navegador de un usuario.

Security misconfiguration (Mala configuración de seguridad) Cuando un servidor Web o aplicación no está configurado de acuerdo a requerimientos de
seguridad apropiados, entonces es sujeto de ataques y peligros que afectan la confidencialidad, integridad y disponibilidad.

Insecure cryptographic storage (Almacenamiento criptográfico inseguro)

Las claves criptográficas y otros elementos de criptografía deben ser almacenados en forma segura de modo que no puedan ser comprometidos. (Fue un
almacenamiento criptográfico inseguro la vulnerabilidad que llevó a TJ MAXX a la pérdida de 34 millones de tarjetas de crédito).

Failure to restrict URL Access (No restringir el acceso al URL)

Si bien los sitios Web a menudo tienen subpáginas que no se muestran a los usuarios sin derechos de acceso (páginas de administrador, por ejemplo), si no
se restringe el acceso al URL, un cibercriminal puede escribir la URL sospechosa directamente en la barra del navegador URL, obteniendo por lo tanto, un
acceso ilegítimo a las páginas.

Insufficient transport layer Protection (Insuficiente protección de la capa de transporte)

Los sitios Web que no protegen los datos en tránsito con Secure Sockets Layer (SSL) o con Transport Layer Security (TLS) son vulnerables a la
interceptación y modificación del tráfico.

Unvalidated redirects and forwards (redirecciones y reenvíos inválidos)

Las aplicaciones Web a menudo redirigen y reenvían a los usuarios a otros sitios y páginas. Un redireccionamiento y reenvío debe ser validado por el
servidor antes de ser ejecutado. Si el redireccionamiento y reenvío no es validado por el servidor, entonces un cibercriminal puede comprometer la
redirección o reenvío previsto hacia sitios de phishing o malware o usando reenvíos para acceder a páginas no autorizadas.

Muchas organizaciones utilizan plataformas de aplicaciones Web, usando una interfaz de servidor Web que ejecuta el software al que se accede a través de
un navegador Web. En la interfaz de la Web, después que los usuarios inician sesión, pueden interactuar con la aplicación. Por ejemplo, un usuario podría
acceder a un registro de acceso para hacer modificaciones. En un código mal escrito, esa consulta podría ser una parte del URL- por ejemplo,
http://www.yourcompany.com/query.asp?employeeid=5551111.

Si el software no está escrito en forma segura, poniendo datos incorrectos en la consulta (por ejemplo, http://www.yourcomany.com/query.asp?
employeeid=999999’99) podría divulgar si es posible obtener más información. Si el servidor y la aplicación son configurados en forma inadecuada,
pueden devolver un conjunto de mensajes de error. Examinando los mensajes de error, un hacker podría crear comandos apropiados para la siguiente
consulta, la cual podría verse así:
www.yourcompany.com/query.asp?employeeid=99999999’%20or%201=1--

Dependiendo de la base de datos y de la aplicación, esta consulta podría decirle a la base de datos que devuelva los registros incorrectos del empleado o
más registros a los cuales el hacker no debería tener acceso. Un comando enviado a la base de datos podría divulgar los contenidos de la base de datos,
destruyéndolos, o tomar el control del servidor.

Los profesionales de la seguridad deben examinar si sus sistemas son susceptibles de tales ataques, averiguar cómo arreglar el código (en forma interna o
con un proveedor), y si se pueden poner controles de mitigación en el medio.

4.3 SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN

Los profesionales de la seguridad física mitigan los riesgos a través de las políticas, referencias y marcos. Los profesionales de ISS mitigan los riesgos a
través de los sistemas de gestión de la seguridad de la información (ISMS), como el que describe la norma IDO 27001 y 27002).

Como señalan los autores que escriben en ISSA Journal (Lam, Pease, Stahl & Takamine, 2007):
En el mundo actual, todo el mundo está en riesgo de un delito informático. Y, nos llevará a todos reducir el riesgo a niveles aceptables. La seguridad de los sistemas de
información ya no involucra simplemente a aquellos que trabajan en el campo como profesionales.

Los profesionales de la seguridad pueden contribuir a la gestión del riesgo y a las perspectivas de seguridad para los esfuerzos de protección.

Según la ISO 27001, los siguientes son elementos esenciales de un ISMS:

• la existencia de un sistema de gestión de la seguridad de la información (ISMS)
• la adecuación de cualquier sistema en el lugar para la organización
• permanente identificación y gestión del riesgo
• incorporación de los controles adecuados en el ISMS
• apropiada supervisión, revisión, mantención y mejora del ISMS
• adecuada responsabilidad de gestión
• auditoría interna o revisión
• revisión de la gestión del ISMS

El primer trabajo de la persona encargada del ISS de la organización es crear un ISMS adecuado al tamaño de la organización. Si la ISO ISMS no se adapta
bien, uno puede encontrar buenos modelos de ISS online para empresas pequeñas.

La evaluación de riesgos continua, hace posible identificar cualquier riesgo nuevo y planificar los controles o contramedidas. Este es un proceso común en
seguridad física; en ISS es un proceso más fluido, ya que los riesgos cambian significativamente y continuamente. Los controles apropiados deben existir
desde el inicio y luego actualizados constantemente para enfrentar el cambiante panorama. Por ejemplo, un firewall podría haber sido suficiente control
hace 20 años, pero ya no es así.

Debe existir una responsabilidad de gestión adecuada para el ISMS en cada organización. Esto generalmente significa asignar el rol de oficial jefe de
seguridad de la información (CISO por sus siglas en inglés) a una persona, de preferencia a tiempo completo. Para fortalecer la cultura de ISS de la
organización, la alta gerencia debe apoyar el proceso. En realidad, la gerencia debiera esta preocupada por el ISS. Por ejemplo, al CEO se le podría entregar
un informe trimestral del ISS. Además, la alta gerencia debe asignar funciones de auditoría interna para asegurarse que el ISMS está haciendo lo que
necesita hacer. El CISO podría informar directamente al comité de auditoría.

Es fundamental para el profesional de seguridad física colaborar con el departamento de ISS para garantizar que la seguridad física es un buen socio del
ISS y cumple con las políticas y procedimientos.

La norma ISO 27002 (p.4) enumera los siguientes elementos como fundamentales para el éxito de un ISMS:
• política de seguridad
• organización del ISS
• gestión de activos
 • seguridad de recursos humanos
• seguridad física y ambiental
• gestión de las comunicaciones y operaciones
• control de acceso
• adquisición, desarrollo y mantención de los sistemas de información
• gestión de incidentes de seguridad de la información
• gestión de continuidad del negocio
• cumplimiento

4.3.1 POLÍTICA DE SEGURIDAD

Sin una política, es difícil decirle a la gente lo que deben hacer para estar seguros. La creación de una política de seguridad es, por lo general, una función
multidisciplinaria y multidepartamental. La participación de seguridad física es fundamental por dos razones. Primero, la política de ISS afecta las
operaciones de seguridad física cotidiana (la interacción del personal con las computadoras y las conexiones de los dispositivos de seguridad a la red y la
interacción con la red). Segundo, la política de ISS define qué tipo de dispositivos están permitidos en la red. Algunos dispositivos de seguridad física no
son maduros desde una perspectiva de ISS; la participación en la creación y actualización de la política de ISS puede ayudar a garantizar que se han
abordado las preocupaciones de la seguridad física y se han seleccionado los elementos de seguridad física adecuados.

4.3.2 ORGANIZACIÓN DEL ISS

Algunos elementos de la organización del ISS son familiares a los profesionales de la seguridad física, tales como contactos con las fuerzas del orden y los
grupos con intereses particulares. Algunos problemas específicos del ISS incluyen el acceso al sistema y la revisión por terceros.

Respecto a la video vigilancia, un profesional de la seguridad podría querer un proveedor para configurar las cámaras. Para intercambiar información con
esas cámaras, el proveedor puede necesitar acceso a la red de la organización. Para lograr ese acceso, el proveedor probablemente necesita autenticación, lo
que significa que el proveedor necesita credenciales. La autenticación también puede ser necesaria para el hardware de seguridad física real. Si la
organización terceriza la gestión del sistema de video, las políticas del ISMS aplican también al proveedor.

Asimismo, en la medida en que la nube informática se convierte en prevalente (permitiendo a terceros acceder a la información o sistemas de una
organización), los proveedores de la nube deben adherir a las políticas de la organización, y los profesionales de la seguridad física deben asegurarse que
esos proveedores cumplen. En la mayoría de los casos, antes que un tercero pueda tener acceso a los datos de una organización, debe pasar por un proceso
de investigación. Ese proceso debe garantizar que su ISMS es adecuado para la información que está siendo compartida y que el cliente será capaz de
auditar al proveedor en el futuro.

4.3.3 GESTIÓN DE ACTIVOS

Esto se refiere a los requerimientos especiales para la información que es transmitida en la red y almacenada en dispositivos que residen en la red. Alguna
información relacionada con seguridad física puede requerir un manejo especial. Un video podría contener contenido altamente sensible que necesite ser
especialmente protegido. Un sistema de control de acceso contiene las claves para las puertas de una organización y deben existir controles especiales para
garantizar que no se vea comprometida.

4.3.4 GESTIÓN DE RECURSOS HUMANOS

Las necesarias verificaciones de antecedentes, las condiciones de la selección para el empleo, la conciencia y educación en materia de seguridad, procesos
disciplinarios y prácticas de terminación en el contexto de ISMS son similares a los que los profesionales de seguridad física ya conocen. Debido a que los
profesionales de seguridad física tienen una comprensión madura de la gestión de recursos humanos, pueden contribuir mucho en este ámbito.

4.3.5 SEGURIDAD FÍSICA Y AMBIENTAL

En esta materia, claramente, el profesional de seguridad física puede y debe ofrecer su experiencia para ayudar al profesional de ISS. La capacidad para
asegurar las áreas en las cuales residen los activos de ISS es fundamental para la protección de esos activos. Asimismo, dañaría la organización si un
servidor de control de acceso o de grabación de video fuera robado. A medida que se incrementa la colaboración entre la seguridad física y lógica, se
producirán mejores soluciones para todos los involucrados.

4.3.6 GESTIÓN DE COMUNICACIONES Y OPERACIONES

La gestión de las comunicaciones y operaciones se ocupa de muchos asuntos que deben ser abordados desde una perspectiva de seguridad (ISO 27002,
pp.37-59):
• encendido del sistema computarizado
• apagado del sistema computarizado
 • procedimientos de apagado de emergencia
• gestión del cambio
• segregación de funciones
• prestación de servicios de terceros
• gestión de la capacidad
• gestión del sistema
• aceptación del sistema
• protección de códigos maliciosos
• sistema de respaldo
• controles de seguridad de red
• manejo de medios de comunicación
• seguridad de la documentación del sistema
• intercambio de información
• transacciones en línea
• supervisión
• sincronización del reloj

Encendido, Apagado y Procedimiento de Apagado de Emergencia del Sistema Informático

Los sistemas computarizados pueden tomar un tiempo inesperadamente largo para encender y apagar. En los antiguos sistemas de video vigilancia, después
de que un apagón fuera restaurado, las cámaras de video se encenderían rápidamente y se conectarían a través de un cable coaxial al grabador. En el caso
de una falla de un sistema moderno, un determinado número de sistemas pueden necesitar encender en un cierto orden, incluyendo los servidores, las áreas
de almacenamiento de redes y las conexiones a Internet. Esos sistemas pueden necesitar esperar por energía una determinada cantidad de tiempo (para que
un generador cargue las baterías en un sistema de alimentación ininterrumpido) o puede enfrentar ciertas fallas que no estaban consideradas previamente.
Los profesionales de seguridad física se benefician al comprender estas limitaciones y planificarlas.

Del mismo modo, los sistemas computarizados pueden tomar mucho más tiempo en apagarse. La repetición (reinicio) de un sistema en caso de un
problema podría representar importantes problemas, tales como dejar abajo el sistema de video de una organización durante el reinicio.

Otras emergencias pueden forzar el apagado de un sistema. Una fuga de agua, por ejemplo, puede requerir que toda una sala de equipos computacionales se
cierre. Aunque en un entorno análogo uno podría haber sido capaz simplemente de mover el grabador de video digital (DVR por sus siglas en inglés) a otra
ubicación, no es posible llevar fuera una sala completa de servidores, especialmente si hay varios sistemas involucrados en la operación del sistema de
video. Una solución es tener otra sala de servidores disponible en una ubicación diferente para hacerse cargo de las operaciones de grabación de esas
cámaras.

Gestión del Cambio

La gestión del cambio es fundamental para TI, y puede afectar seriamente las operaciones de seguridad física. Por ejemplo, las unidades de seguridad física
no pueden simplemente actualizar sus sistemas de control de acceso sin tener un intercambio de información con TI. Un cambio puede afectar toda la red.
La actualización de una cámara de video, por ejemplo, podría causar un tormenta de difusión en la red debido a una falla en la cámara, provocando no sólo
que esa cámara de video, sino que también otros sistemas dejen de funcionar.

Por el contrario, los departamentos de TI deben trabajar con los profesionales de seguridad física para asegurarse que los cambios hechos en la red no
perjudiquen los activos de seguridad física. Por ejemplo, una actualización a un sistema operativo del servidor puede impedir que el software del servidor
de control de acceso funcione correctamente.

Segregación de Funciones
La segregación de funciones también es familiar para muchos profesionales de seguridad física. En el contexto de TI, es importante entender que algunos
de los sistemas al cual los profesionales de seguridad física tienen acceso son altamente sensibles. En un sistema de control de acceso, los usuarios pueden
crear sus propias credenciales para acceder prácticamente a cualquier área de la compañía. Sin una separación de funciones, la misma persona que tiene
acceso a crear las tarjetas de control de acceso podría ser la misma persona que está patrullando un edificio y no debe ingresar con acceso no autorizado.

Prestación de Servicios de Terceros

Desde una perspectiva operacional, debido a que terceras partes pueden ahora prestar servicios, todos los acuerdos de nivel de servicio existentes para los
proveedores internos también deben ser para las terceras partes. Los sistemas críticos son críticos independiente de quién los provea. Por ejemplo, a un
proveedor externo de video se le debe exigir tener suficiente ancho de banda para mostrar los videos de una organización 24 horas al día. Los profesionales
de ISS pueden ayudar a garantizar que la organización está protegida con los acuerdos de nivel del servicio.

Gestión de la Capacidad
En un ambiente moderno de video, un video normal puede fluir a una soEl puesto de trabajo. En una emergencia, un importante número de personas
pueden necesitar ver el video, incluyendo a través de Internet. Si estas preocupaciones operacionales no se expresan con antelación, la amplitud de banda
necesaria no existirá. Desde una perspectiva de seguridad, la A48 en CIA sería violada, en la medida que el sistema no estaría disponible haciéndola inútil
en ese momento.

Gestión de Sistemas
Los sistemas que se ejecutan en las computadoras tienen necesidades específicas que no eran necesariamente críticas cuando eran sistemas integrados. Por
ejemplo, los sistemas ahora necesitan ser parchados para solucionar problemas con el software. Esto puede significar que un sistema en particular puede
quedar temporalmente fuera de servicio. El profesional de la seguridad física debe considerar si a un activo (como una cámara fundamental) se le puede
permitir que quede fuera de funcionamiento. Si no, debería haber una forma de mantener esa cámara en funcionamiento, o podría ser posible instalar un
reemplazo temporal. En algunos casos, puede ser conveniente tener muchas cámaras enfocadas en un solo lugar para garantizar que el nuevo paradigma no
se interpone en los elementos operacionales críticos del sistema.

Aceptación del Sistema

La aceptación del sistema es el proceso de asegurarse de que los sistemas estén acorde a las especificaciones. Es un proceso útil para los usuarios finales (la
gente que realmente usa el producto), pero también es una exigencia para el personal del ISS garantizar que los sistemas que se ejecutan en la red no van a
poner en peligro la red u otros dispositivos conectados a ella. Los profesionales de la seguridad física deben estar preparados para pasar el proceso de
aceptación para asegurarse que están obteniendo lo que ellos quieren y que el sistema es seguro para la red.

Protección de Código Malicioso

Los virus, troyanos y otros códigos maliciosos, pueden dejar inoperables los sistemas y toda una red. En el caso de control de acceso, no colocar un
antivirus u otro software de protección del host en la máquina que ejecuta el sistema podría dejarlo susceptible a ser comprometido o de fallar. Peor aún,
esa máquina podría echar abajo toda la red. Los sistemas de seguridad física necesitan tener protección para esos ataques, y esas protecciones requieren ser
actualizadas.

Respaldo del Sistema

Las computadoras son máquinas con partes en movimiento y en ocasiones pueden fallar. Si no se ha hecho copia de seguridad de los datos, se pueden
perder. Una organización podría tener un requisito de cumplimiento para conservar un video por un cierto período de tiempo, por lo que necesita respaldar
esa información en caso de falla del hardware o del sistema. Respecto al software de control de acceso, si la información no es respaldada y se pierde, es
posible que sea reconfigurada a mano, volviendo inoperativo el sistema por un periodo, provocando una denegación de servicio y probablemente los costos
de reparación de un consultor.

Controles de Seguridad de la Red

Los sistemas de seguridad necesitan cumplir con determinados tipos de tecnologías y controles. Por ejemplo, un DVR que no está diseñado correctamente
podría no tener la seguridad adecuada para estar en la red. Además, si las cámaras no son “.1x compatible”, es posible que no se puedan conectar a la red en
forma segura.

Manejo de los Medios de Comunicación

La información puede existir en diversos medios, tales como los discos duros, memorias USB o cintas de respaldo. Los profesionales de la seguridad deben
considerar la importancia de la información y lo que pueden hacer para protegerla, tanto de ser perdida como de verse comprometida. Por ejemplo, sería
desastroso si alguien robara una unidad USB que contiene un importante video para una investigación en desarrollo.

Seguridad de la Documentación del Sistema

Una necesidad fundamental es la importancia de proteger la documentación del sistema. Si los hackers obtienen la documentación de un software de
control de acceso de la organización, pueden ser capaces de descubrir cómo crear y agregar tarjetas de proximidad no autorizadas. Si saben cómo opera el
sistema de cámaras de video de una organización, pueden ser capaces de ver tanto los videos grabados como en vivo para averiguar la manera de
comprometer la instalación.

Intercambio de Información
A menudo es útil intercambiar información con las fuerzas de respuestas primaria. Sin embargo, pueden no estar totalmente conscientes de las
implicaciones de acceder a los datos de una organización en Internet. Una empresa podría querer que la policía local tenga acceso a sus videos en el caso de
un ataque terrorista, pero no querría compartir con ellos inapropiadamente las credenciales de inicio de sesión. Las personas que tienen acceso a los
sistemas de una organización deben ser capacitadas en las políticas de seguridad para que no pongan en peligro el sistema.

Transacciones En Línea
Si una compañía proporciona servicios en línea o transacciones comerciales electrónicas, debe aplicar los correspondientes estándares, políticas y
procedimientos de la industria, así como el cumplimiento de todas las leyes y reglamentos pertinentes. Muchas compañías han sido sancionadas por no
tener adecuados sistemas de gestión del ISS o políticas durante la realización de comercio electrónico.

Supervisión
Así como los profesionales de seguridad física supervisan los perímetros de los edificios, los profesionales de ISS supervisan diversos aspectos de la red y
sus sistemas, revisando los registros (asegurándose que los cortafuegos no estén siendo atacados) y revisando las máquinas (asegurándose que no estén en
peligro).

Sincronización del Reloj

Una práctica notable del ISS es la sincronización del reloj. Esto por lo general se hace con un protocolo llamado Network Time Protocol (NTP) y permite
que todos los sistemas en la red tengan la misma hora. Cuando se correlacionan eventos en la red, ya sea una intrusión de seguridad física, un ataque a la
red o incluso ajustar la hora en el sistema de video vigilancia, con el objetivo de dejar evidencias, es importante que todos los elementos registren la misma
hora.

4.3.7 CONTROL DE ACCESO

Los sistemas de seguridad que residen en una red, como los sistemas de control de video vigilancia y de acceso físico, requieren un control de acceso
lógico de algún tipo. Un mecanismo de nombre de usuario/contraseña puede no ser suficiente dado la sensibilidad y criticidad de la información
almacenada en el sistema. Los profesionales de seguridad física deben analizar este tema con los especialistas de ISS de modo que los datos de seguridad
sean tratados como fundamentales.

El control de acceso también es un concepto familiar para el profesional de la seguridad física. La idea es dejar entrar sólo a aquellas personas que están
autorizadas, después de una adecuada identificación. En seguridad física, esto es hecho normalmente con un oficial de seguridad, una clave o una tarjeta de
acceso.

Debido a que en la actualidad alguien puede acceder a los sistemas de la empresa desde cualquier parte del mundo, la verificación de la identidad es vital.
Por ejemplo, un proveedor de seguridad física puede querer que el video esté disponible en Internet. Sin embargo, las políticas de ISS corporativas
prohíben el acceso a la información confidencial sin la utilización del segundo factor de autenticación. El segundo factor de autenticación utiliza algo como
una contraseña única o un escáner de huella dactilar para que sea mucho más difícil que alguien ingrese al sistema.

Esta situación hace más compleja la selección de un proveedor, debido a que el proveedor de servicios preferido puede no ofrecer un segundo factor de
autenticación. El proveedor puede ser bueno desde una perspectiva de seguridad física y malo desde una perspectiva del ISS. El profesional de la seguridad
física debe trabajar con los expertos de ISS para tomar una decisión apropiada.

Otro tema es que el servidor de control de acceso que desea el departamento de seguridad para instalar en la red puede ejecutar un sistema operativo que no
adhiere a la política corporativa de seguridad. Puede ser incapaz de autenticar debidamente a los usuarios, dejando el sistema susceptible a ataques, o puede
ser un sistema operativo antiguo, no actualizado, con vulnerabilidades sin parches.

4.3.8 ADQUISICIÓN, DESARROLLO Y MANTENCIÓN DE LOS SISTEMAS DE INFORMACIÓN

Cuando una operación de seguridad adquiere nuevos sistemas, desarrolla nuevos software o actualiza los sistemas existentes, debe asegurarse que ninguna
de esas acciones expongan a la organización a riesgos indebidos o creen un problema en alguna parte de la tríada CIA: confidencialidad, integridad o
disponibilidad.

Respecto a las cámaras de video, por ejemplo, el profesional de la seguridad debe asegurarse que la grabación de video muestra lo que realmente está
sucediendo y las vistas de las cámaras estén todo el tiempo disponibles. Más aun, es importante encriptar la transmisión de video y garantizar que cada vez
que las credenciales pasen entre un puesto de trabajo y el dispositivo, no puedan ser fácilmente robadas de la red. De lo contrario, la organización puede
enfrentar uno de esos problemas familiares: denegación de servicios, inserción de datos inexactos, robo, modificación y destrucción de información.

4.3.9 GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN

En cuanto a la gestión de incidentes de seguridad de la información, los profesionales de seguridad física pueden ser de ayuda, ya que tienen una práctica a
gran escala en el manejo de incidentes. Los examinadores forenses, que a menudo son fundamentales para el proceso de respuesta a incidentes, a menudo
también provienen del ámbito de la seguridad física.

Los profesionales de seguridad física pueden estar especialmente interesados en los aspectos legales de la gestión de incidentes de seguridad de la
información, específicamente respecto a las evidencias de una computadora, servidor o pista de red incautado.

4.3.10 GESTIÓN DE CONTINUIDAD DEL NEGOCIO

En la medida que la continuidad del negocio está planificada, existen numerosas áreas de participación para el profesional de la seguridad física.

Primero, los activos de tecnología de seguridad física requeridos para la operación tienen que ser capaces de continuar funcionando en el evento de un
incidente inesperado. Por ejemplo, TI debe seguir proporcionando servicios de video vigilancia a los departamentos de seguridad física, de modo que ellos
puedan mantener la seguridad. Si la información (imágenes, videos de datos de control de acceso) no están disponibles porque no fueron planificados
adecuadamente para un estado de emergencia, entonces la empresa puede verse comprometida cuando más se necesiten estas herramientas. En el caso de
que no haya energía, es importante que los sistemas basados en la red, tales como el control de acceso, mantengan la funcionalidad.

Segundo, el personal aún tiene que estar disponible en caso de una emergencia. El personal de seguridad física generalmente es muy versado en el cuidado
de estos tipos de necesidades logísticas, tales como la forma de albergar una gran cantidad de personas por un largo período. De este modo, la activa
participación del profesional de seguridad física puede ser una ayuda fundamental para los profesionales de ISS.

Tercero, puede ser necesario un lugar fuera de la instalación como parte del plan de continuidad del negocio. Si es así, el personal de seguridad física puede
trabajar con el personas de ISS y el personal de TI puede estar tranquilo de que el lugar es seguro, está disponible y es capaz de albergar al personal.

4.3.11 CUMPLIMIENTO
Algunos problemas de cumplimiento afectan directamente a la seguridad física y al ISS. En primer lugar, algunas decisiones de seguridad pueden no ser
negociables desde una perspectiva legal. Por ejemplo, ciertas organizaciones gubernamentales deben tener un nivel de control de acceso específico en el
lugar. Las organizaciones bajo la jurisdicción de la ley Sarbanes-Oxley (SOX) deben cumplir otros requerimientos para estar en conformidad.

Es fundamental para el profesional de seguridad física entender muy bien este aspecto de la política de seguridad, para que no ponga otros sistemas en
riesgo o tenga la posibilidad de que sus propios sistemas fallen de manera que provoquen que la empresa quede fuera de cumplimiento.

4.3.12 RESUMEN DEL ISMS

Esta revisión de los elementos de un ISMS analizó numerosas intersecciones donde el profesional de la seguridad física y el profesional de ISS pueden
beneficiarse trabajando juntos. Muchos ejemplos se han proporcionado para mostrar la forma en que ISS es fundamental para asegurar los activos de
seguridad física en un entorno convergente. Al mismo tiempo, los elementos vulnerables de la seguridad física pueden debilitar el ISS. Comprendiendo el
ISMS y trabajando dentro de su marco junto al ISS, los profesionales de la seguridad física pueden los obtener beneficios de la convergencia en tanto que
reduce los riesgos.

4.4 CONCLUSIÓN
En la medida que las organizaciones siguen el proceso de convergencia con el fin de aprovechar los beneficios de incorporar los sistemas de seguridad en la
infraestructura de la red, la seguridad de los activos físicos se entrelaza con la seguridad de los sistemas de información. Las inseguridades en la
convergencia de los sistemas físicos e informáticos amplían el portafolio de riesgos contra los cuales el profesional de la seguridad física debe responder.
Ellos necesitan un flujo de datos protegidos, ya sea que el flujo sea un cable de punto a punto o vaya a través de la red.

La convergencia en seguridad destaca la importancia de unir el paradigma de la seguridad física, el punto de vista del profesional de la seguridad física, al
de la contraparte de los profesionales de la seguridad de los sistemas de información, el paradigma de la seguridad lógica. Para hacer frente al nuevo
desafío, los profesionales de seguridad física deben (Lam & Stahl, 2010)
aumentar su Paradigma de Seguridad Física con un nuevo Paradigma de Seguridad Lógica adecuado para enfrentar los únicos, nunca antes vistos, desafíos de la seguridad de los
sistemas de información.

Los profesionales de la seguridad física deben intercambiar información con sus colegas de ISS, comprender los problemas del ISS y el paradigma de la
seguridad lógica que impregna ese trabajo y compartir el paradigma de la seguridad física con el personal de ISS. La alta gerencia, también, puede jugar un
rol en la integración de los paradigmas de seguridad física y lógica en una organización.
REFERENCIAS

ISO 27001. (2005). Information technology—security techniques— information security management systems—requirements. Geneva, Switzerland:
International Organisation for Standardization.

ISO 27002. (2005). Information technology—security techniques— code of practice for information security management. Geneva, Switzerland:
International Organisation for Standardization.

Krebs, B. (2010). Network Solutions again under siege. Krebs on Security. Available: http://krebsonsecurity.com/2010/04/network-solutions-again-under-
siege [2010, December 5].

Lam, D., Pease, K., Stahl, S., & Takamine, K. (2007, July). Creating the information security village. ISSA Journal.

Lam, D., & Stahl, S. (2010, January). Convergence, paradigm shifts and reaching the village. ISSA Journal.

Tyson, D. (2007). Security convergence: Managing enterprise security risk. Burlington, MA: Butterworth-Heinemann.
1 Nota del Traductor: el término en general se utiliza para referirse a la investigación de empresas o personas. No existe una traducción oficial, las más
comunes son “debida diligencia”, “auditoría”, o se mantiene el uso del término en inglés, el cual se utilizará en este trabajo de traducción.
2 Para más información sobre las regulaciones de la información automatizada, ver la Regulatory Compliance Planning Guide en
http://www.microsoft.com/technet/security/guidance/complianceandpolicies/compliance/rcguide/default.mspx?mfr=true.
3 Nota del Traductor: en la ley de patentes de U.S.A., reducción a la práctica (reduction to practice) es un concepto que significa la realización y prueba del
invento.
4 Nota del Traductor: conocida también en Latinoamérica como “La Gran Estafa”.
5 N. del T.: a pesar de no estar reconocido por el Diccionario de la lengua española (RAE), en este trabajo de traducción se utilizará el término por ser de
uso masivo.
6 Este segundo ejemplo es un código limpio utilizado en una prueba de penetración para obtener números de seguro social y otra información confidencial
de una supuesta base de datos segura.
7 Los cross-site scripting realizados en los sitios Web representaron más del 80% de las vulnerabilidades de seguridad documentadas en la segunda mitad
del 2007
8 Malcolm Gladwell data el inicio de la revolución de la microcomputadora en enero de 1975, cuando “la revista Popular Electronics lanzó un reportaje
sobre una máquina extraordinaria llamada Altair 8800” Gladwell, 2008, p.63)
9 Códigos Civiles de California 1798.29, 1798.82, y 1798.84.
10 N del T: estafas por suplantación de identidad
11 N del T: aféresis de robot, programa informático que imita el comportamiento humano.
12 N. del T: anglicismo propio de la jerga de Internet que hace alusión a una persona falta de habilidades técnicas, sociabilidad o madurez.
13 N. del T: tipo de malware que ayuda a encontrar datos personales examinando la memoria RAM.
14 N. del T: ocultar la propia identidad o falsificar la de otro usuario
15 N. del T: varias computadoras infectadas con software malicioso
16 N. del T: CIA corresponde al acrónimo confidentiality, integrity and availability.
17 Esta definición combina las definiciones del Committee on National Security Systems Instruction (CNSSI) 4009, el SANS Institute (SysAdmin, Audit,
Network, Security) y RFC2828 (Glosario de Seguridad de Internet). La CNSSI 4009 define “amenaza” como “cualquier circunstancia o acontecimiento
con el potencial para afectar adversamente un sistema de información mediante el acceso no autorizado, destrucción, divulgación, modificación de datos
y/o denegación del servicio”. SANS y RFC2828 define “amenaza” en forma más o menos análoga como “potencial de violación de la seguridad, la cual
existe cuando hay una circunstancia, capacidad, acción o evento que podría violar la seguridad y causar daño”. La diferencia principal es que CNSSI
4009 es más explícita respecto al significado de “violación de la seguridad” y “causar daño”.
18 Esta definición de vulnerabilidad es una amalgama de la CNSSI4009 y la RFC2828. La CNSSI4009 define “vulnerabilidad” como cualquier “debilidad
en el IS, procedimientos de seguridad del sistema, controles internos o implementación que podrían ser explotados”. La RFC2828 define
“vulnerabilidad” como un “defecto o debilidad en el diseño, implementación u operación y gestión que podría ser explotada para violar la política de
seguridad del sistema”.
19 Esta definición es del SANS Institute, muy conocido en la comunidad de la seguridad de los sistemas de información por el manejo del Internet Storm
Center y por la calidad de sus programas de capacitación. La CNSII4009 define “riesgo de la seguridad de los sistemas de información” como la
“posibilidad de que una amenaza en particular impacte adversamente un IS mediante la explotación de una vulnerabilidad en particular”. Una variación
común es incluir la cantidad de pérdida en la definición de riesgo. Por ejemplo, la RFC2828 define “riesgo de la seguridad de los sistemas de
información” como la “expectativa de pérdida expresada como la posibilidad de que una amenaza en particular explote una vulnerabilidad en particular
con un resultado de daño en particular”.
20 La CNSSI4009 define una “contramedida” como una “acción, dispositivo, procedimiento, técnica u otra medida que reduce la vulnerabilidad de un
sistema de información”. La RFC2828 la define como “una acción, dispositivo, procedimiento o técnica que reduce una amenaza, vulnerabilidad o
ataque eliminándolo o evitándolo, minimizando el daño que puede causar o descubriéndolo o informándolo de modo que se pueda tomar una acción
correctiva.
21 Esto simplemente es llamado riesgo residual en el National Institute of Standards and Technology’s Glossary of Key Information Security Terms,
(NISTIR 7298, 2006)
22 Esta definición integra la definición de riesgo residual del NIST con la definición de la ISO27001:2005 de riesgo residual (“riesgo que queda después
que se ha tratado el riesgo”) y la de RFC2828 “el riesgo que queda después que las contramedidas han sido aplicadas”.
23 N. del T: “Teletranspórtame Scotty” (frase utilizada por los personajes de la serie de televisión de ciencia ficción Star Trek antes de ser
teletransportados).
24 N. del T: acto de manipular usuarios para conseguir información confidencial
25 Ver, por ejemplo, Kurzweil (1999) y Wright (2000).
26 N. del T: back-end es la parte de la aplicación que el usuario no ve. Front-end es la parte de la aplicación orientada al usuario-cliente.
27 Por ejemplo, una instrucción simple puede decir, “Sume el número N1 en la ubicación de almacenamiento S1 y el número N2 en la ubicación de
almacenamiento S2 y ponga la suma en la ubicación de almacenamiento S3”. Otra instrucción simple puede decir, “Lea el número N1 en S1 y ejecute la
instrucción N1”. El programa obtendrá diferentes resultados dependiendo de que el número N1 pase a ser almacenado en S1 en el momento en que se
ejecuta la instrucción. Si bien las instrucciones como esta son muy comunes en los programas –y proporcionan al programador una gran capacidad- ellas
también son una fuente de complejidad que se encuentra en el corazón del desafío de seguridad de los sistemas de información.
28 Más información sobre la tríada en http:///datatracker.ietf.org/wg/aaa (Internet Engineering Task Force).
29 Un corolario simple del principal resultado del documento de Turing de 1936, es que no hay ningún algoritmo para distinguir entre programa y datos
30 N. del T: Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago.
31 N. del T: Se conservarán los nombres en inglés porque corresponde a la denominación de uso masivo de las distintas tecnologías.
32 N. del T: International Information Systems Security Certification Consortium, conocido como (ISC)2
33 N. del T: Ley de Modernización de Servicios Financieros, más conocida como Ley Gramm-Leach-Bliley (GLBA)
34 Por ejemplo, la 12 CFR 30 (Office of Comptroller of the Currency); 12 CFR 208, 211, 225, 263 (Board of Governors of the Federal Reserve System); 12
CFR 308, 364 (Federal Deposit Insurance Corporation); 12 CFR 568, 570 (Office of Thrift Supervision); 16 CFR 314 (Federal Trade Commission); y 17
CFR 248 (Securities and Exchange Commission).
35 Los detalles de cada multa están disponibles en http://www.ftc.gov/opa
36 Por ejemplo: 12 CFR 41 (Comptroller of the Currency); 12 CFR 222 (Federal Reserve Board); 12 CFR 334 y 364 (Federal Deposit Insurance
Corporation); 12 CFR 571 (Office of Thrift Supervision); 12 CFR 717 (National Credit Union Association); y 16 CFR 681 (Federal Trade Commission).
37 http://www.ftc.gov/privacy/privacyinitiatives/promises.html.
38 Detalles de todos estos casos están disponibles en http://www.ftc.gov/opa. TJX, así como la información persona de aproximadamente 455.000
consumidores que devolvieron las mercancías a las tiendas. Los bancos han afirmado que decenas de millones de dólares en cargos fraudulentos se han
hecho en las tarjetas y millones de tarjetas han sido canceladas y vueltas a emitir.
39 Los detalles están disponibles en http://www.ftc.gov/opa
40 Los detalles están disponibles en http://ftc.gov/opa
41 La National Conference of State Legislatures mantiene una lista de las notificaciones de violaciones a la seguridad estatal, incluyendo vínculos a las
leyes estatales,
http://www.ncsl.org/IssuesResearch/TelecommunicationsInformationTechnology/SecurityBreachNotificationLaws/tabid/13489/Default.aspx
42 N. del T: una transferencia ACH (Automatic Clearing House) es una transferencia electrónica de fondos entre bancos y cooperativas de crédito.
43 La frase proviene de la novela de Lewis Carroll Through the Looking Glass, en la cual la Reina Roja le dice a Alicia, “Ahora, aquí, usted ve, es preciso
correr mucho, para permanecer en el mismo lugar”.
44 Véase, por ejemplo, lo siguiente: W.E. Deming en la mejora continua (The New Economics, 1994); Igualmente el transcendental libro de Peter Senge en
el aprendizaje de organizaciones, (The Fifth Discipline, 1990); La explicación de Stan Stahl de la teoría W de Barry Boehm, (“User Involvement in
Project Success” en Information Security Management Handbook de H. Tipton & M. Krause, 1997); y en las agudas historias de lo que realmente
funciona en la línea del frente de Tom Petzinger, (The New Pioneers, 1999).
45 Esta sección se basa en S.Stahl, “Beyond Information Security Awareness Training. It’s Time to Change the Culture”, en H. Tipton y M. Krause (Eds.),
Information Security Management Handbook (3ª ed.), Boca Raton, Fl.; Publicaciones Auerbach, 2006.
46 El origen del campo se puede fijar en la fecha de publicación de Security Controls for Computer Systems, Report of Defense Science Board Task Force
on Computer Security, editado por W.Ware. Una versión clasificada se publicó en 1970 por la Office of the Secretary of Defense. La Rand Corporation
publicó una versión no clasificada en 1979.
47 N. del T: Herramienta que se oculta a sí misma, u otros programas o procesos, permitiendo un acceso de privilegio continuo no autorizado para obtener
información sensible o comandar remotamente una computadora.
48 N. del T: corresponde a la disponibilidad (availability) de la tríada
ÍNDICE

A
acuerdo de no divulgación, 34, 44, 64, 73
Almacenamiento criptográfico inseguro, 242
almacenamiento de información, 155
amenazas de los sistemas de información, 106
Amenazas Naturales, 24
amenazas virtuales, 134
ANSIR, 20
anti-forense, 109
antivirus, 55, 107, 108, 111, 136, 137, 169, 180, 191, 239, 251
Aplicabilidad, 63
aplicaciones Web, 160, 214, 241, 242, 243
archivos electrónicos, 43
armas nucleares, 20
arquitectura de seguridad, 175
ataque de DOS. Véase Denegación de servicios
auditorías, 66, 209, 213

B
barreras, 38
Blogs, 215

C
capacitación, 7, 32, 33, 40, 66, 131, 135, 138, 214
China, 18, 48
cibernética, 107, 109, 122, 123, 124, 133, 216
ciberterrorismo, 133
Clasificación e intercambio de información, 63
computabilidad, 140
comunicaciones informáticas, 144
contraespionaje, 22
Contramedidas de los Sistemas de Información, 131
Contramedidas de Vigilancia Técnica, 54
contraseñas, 55, 57, 58, 104, 136, 137, 154, 155, 160, 179, 191, 237, 238, 240, 241
controlador integrado, 229, 230
controles administrativos, 136, 181, 202
controles físicos, 136
controles técnicos, 136
Convergencia de la Seguridad, 225
cortafuegos, 55, 108, 111, 136, 137, 179, 191, 253
Criptografía, 174
Cuentas Cubiertas, 188

D
Defensa en Profundidad, 34
Demandas Colectivas, 199
Denegación de servicios, 226, 228
desastres naturales, 24, 132
Directiva de Protección de Datos, 179, 195
Due Diligence, 29

E
espías, 18, 20, 133
espionaje industrial, 19, 123

F
Falsificación de solicitud entre sitios, 241
Firma digital, 56
firmware, 70, 143

G
gestión de activos, 110, 173, 245
gestión de incidentes, 65, 173, 245, 255
gestión de la capacidad, 248
gestión de las comunicaciones, 245, 248
Gestión de Vulnerabilidades, 180
gestión del sistema, 246, 248
Gobernanza de la seguridad de la información, 217
gusanos, 18, 115, 169

H
hackers, 25, 127, 143, 147, 198, 238, 239, 240, 252
hardware, 70, 143, 162, 175, 246, 251

I
incidentes de seguridad, 110, 204, 205, 206
información altamente restringida, 70 información periférica, 41
Informes Técnicos, 87
infraestructura de los sistemas de información, 135, 137, 138
Infraestructura de Video, 116
ingeniería reversa, 37
ingeniería social, 134, 135, 197, 236, 237, 238, 239
Inserción de datos inexactos, 226, 228, 235
integridad de la información, 191
intercambio de información, 22, 46, 68, 73, 84, 203, 248, 249

K
Keyloggers, 134
Koobface, 134

L
lector de tarjeta, 117, 118, 230
Ley de Privacidad, 47

M
malware, 104, 107, 108, 109, 110, 123, 125, 134, 170, 204, 218, 239, 240, 242
manejo de medios de comunicación, 248
Máquina de Turing, 140
Modificación de Datos, 226

N
nombre de usuario, 142, 149, 152, 154, 160, 198, 237, 253
nube informática, 159, 246

O
OPSEC, 41

P
PBX, 161, 162, 163, 165
pérdida de información, 30, 59, 60, 87, 89
phishing, 106, 115, 123, 126, 134, 42
PIN, 109
piratería, 22, 28, 29, 106, 143, 238, 239
plan de continuidad del negocio, 40, 174, 256
planificar-hacer-verificar-actuar, 208, 209
Política de protección de activos de información, 62
políticas de seguridad de la información, 113, 203, 210
POTS, 163
privacidad de los empleados, 64
Procedimiento de Apagado de Emergencia, 248
proceso de autorización, 42
Protección de Código Malicioso, 251
protocolo de Internet, 117
Puntos de Entrada Lógica, 149

R
Recursos de TI, 69
red social, 106, 185
Regla de las Banderas Rojas, 178, 187
reputación, 17, 30, 58, 75, 106, 188, 214
requerimientos de seguridad, 29, 208, 242
respaldo, 24, 44, 56, 156, 165, 205, 248, 252
respuesta a incidentes, 204, 205, 206, 255
robo de datos, 104
rootkit, 239
router, 133, 147, 233, 234

S
SANS, 130, 131, 168, 205, 214, 215, 220, 222
Sarbanes-Oxley, 178, 186, 216, 256
sección 404, 186
secreto comercial, 50, 51, 71, 75, 87, 89, 111
segregación de funciones, 248, 250
Seguridad de Aplicaciones, 241
Seguridad de las operaciones. Véase OPSEC
seguridad del personal, 38, 202
seguridad nacional, 26, 110, 124, 215
Seisint, 190, 191
sistema operativo, 117, 143, 151, 152, 249, 254
sistemas informáticos, 113, 132, 134, 139, 140, 184, 197
sistemas integrados, 117, 121, 166, 251
spyware, 115, 123, 134, 239

T
TCP/IP, 117, 121, 122, 144
tecnología de la información, 62, 104, 204, 218
Tecnologías de seguridad de la información, 169
tríada AAA, 153, 174
tríada CIA, 153, 226, 254
troyano, 134, 239, 241
TSCM, 54

U
URL, 104, 241, 242, 243

V
VOIP, 163, 164, 165, 166
VPN, 158, 227, 240

W
WAF, 170
WLAN, 56

X
XSS, 241, 242

Z
Zeus, 104, 134
Copyright © 2011 por ASIS International

ISBN 978-1-934904-13-8

El libro Protección de Activos está elaborado bajo la premisa de que la editorial no se compromete a prestar servicios legales, contables y otros servicios
profesionales. Está diseñado como una guía y referencia de los temas tratados. Aunque se ha hecho todo lo posible para asegurar la precisión de los
contenidos en este documento, no es una publicación oficial y el editor no asume ninguna responsabilidad por los errores u omisiones.

Todos los derechos reservados. Ninguna parte de esta publicación puede ser reproducida, traducida a otro idioma, almacenada en sistemas de recuperación
o transmitida en cualquier forma o por cualquier medio, ya sea electrónico, mecánico, fotocopia, grabación o cualquier otro, sin el consentimiento previo
por escrito del propietario de los derechos de autor copyright.

Impreso en Estados Unidos de América.

10 9 8 7 6 5 4 3 2 1

Traducido por OZ Translations, Santiago, Chile, 2014.

ISBN 978-1-934904-63-3
AGRADECIMIENTOS

ASIS International (ASIS), la sociedad líder en el mundo para los profesionales de la seguridad, fundada originalmente en 1955 como Sociedad Americana
para la Seguridad Industrial, adquirió Protección de Activos en diciembre de 2003. La adquisición de esta obra pone de relieve el papel de liderazgo de la
sociedad en la educación profesional. Es el deseo sincero de ASIS y su personal de editorial seguir incrementando el valor de esta importante guía.

Protección de Activos, que ha estado en vigencia desde 1974, es reconocida como la referencia principal para profesionales de la seguridad y el editor desea
agradecer a los dos autores fundadores y a los editores posteriores.

Timothy J. Walsh, CPP Richard J. Healy, CPP

Timothy L. Williams, CPP

Editor General

Editores Asociados
David G. Aggleton, CPP
Milton E. Moritz, CPP
Mike Hodge, J.D.
Sanford Sherizon, Ph.D., CISSP
Timothy J. Walsh, CPP, Editor Emeritus

A medida que avanzamos, enfrentados a problemas que representan un desafío para la industria de la seguridad, nuestra misión es asegurar que Protección
de Activos proporcione las soluciones estratégicas necesarias para ayudar a los profesionales cumplen con las exigencias del siglo 21 y los venideros.
También nos comprometemos a reunir a un grupo de expertos en la materia que mejore esta guía si fuera necesario para lograr nuestra misión.

Un agradecimiento por su valiosa colaboración en la revisión de la traducción a:

Alfredo Iturriaga, CPP

Jaime Owens, CPP
Carlos Ramírez, CPP
Pablo Colombres, CPP

Michael E. Knoke, CPP

Editor General

Edward P. De Lise, CPP

Co-Editor

Eva Giercuszkiewicz, MLS, Jefe de Proyecto

Evangeline Pappas, Jefe de Producción
Peter E. Ohlhausen, Editor Técnico
 PREFACIO

OBJETIVOS DE PROTECCIÓN DE ACTIVOS

Este trabajo de referencia Protección de Activos (POA) es proporcionado por una simple y básica razón: la inexistencia de un recurso integral.

Aunque la disponibilidad de la literatura de seguridad está creciendo rápidamente, con textos generales y especializados, no ha sido posible–hasta ahora-
para un gerente de empresa o profesional de la proteccion encontrar en forma actualizada, precisa y práctica el manejo de la amplia gama de temas de
protección de activos, estrategias y soluciones en una sola fuente.

La necesidad de un recurso tan exhaustivo es bastante generalizada, según los editores, escritores y muchos colegas profesionales cuyo consejo se ha
buscado en la elaboración de este texto. El tamaño y frecuencia cada vez mayor de todas las formas de pérdidas de activos, junto con el aumento de los
costos y la complejidad relacionada a la selección de medidas, exigen una presentación sistemática y unificada de la doctrina de la protección en todos los
ámbitos, así como las normas y especificaciones a medida que se emiten. Por supuesto, sería presuntuoso asumir que un pequeño grupo de autores pudiera
presentar este material sin ayuda. Por lo tanto, es un objetivo fundamental de Protección de Activos, recurrir a la más amplia base de fuentes calificadas que
se pueda. Los autores, revisores y editores tratan de extraer de los datos disponibles, las características comunes o recurrentes, las tendencias y otros
factores que identifican o señalan las estrategias de protección vigentes. El objetivo es proporcionar un documento fuente, donde se pueda obtener
información sobre cualquier problema de protección.

LECTORES
Protección de Activos está destinado a un amplio número de lectores: todos los profesionales de la seguridad y administradores de empresas con
responsabilidad en la protección de activos. La discusión coherente y el material de referencia pertinente en cada materia deben ayudar al lector a conducir
una investigación única que sea eficiente y organizada. De particular importancia son las diversas formas, matrices y listas de comprobación que le dan al
lector un comienzo práctico hacia la aplicación de la teoría de la seguridad de su propia situación. POA también sirve como una referencia central para los
estudiantes que siguen un programa de protección de la seguridad o de activos.

DIÁLOGO
Esperamos que Protección de Activos se convierta en una importante fuente de conocimiento profesional para aquellos que lo lean y que estimule el
diálogo serio entre los profesionales de la seguridad. Cualquier lector que esté lidiando con un problema de seguridad inusual, nuevo o difícil, que quisiera
recibir opiniones de otros, se le agradece escribir en forma sucinta una descripción del problema y nos lo envíe a ASIS [protectionofassets@asisonline.org].
Si le lector lo solicita, su identidad se mantendrá anónima, pero el problema se publicará con las invitaciones para hacer comentarios. También se anima a
los lectores a comunicar su acuerdo o desacuerdo con las estrategias o aplicaciones recomendadas en el POA y a sugerir alternativas. Nos reservamos el
derecho de publicar o no el material presentado. Los editores también solicitan las opiniones de los lectores sobre políticas de protección de activos, en los
que una visión transversal sería muy útil.

FORMACIÓN COMPLEMENTARIA
Los lectores con responsabilidades de supervisión o administración de personal de seguridad y protección de activos, encontrarán en el POA un recurso útil
para asignar lecturas obligatorias. Estas lecturas pueden ser elementos de un programa de capacitación formal y pueden ser asignadas como parte de las
sesiones de un curso.

Con todos estos objetivos en mente, presentamos a ustedes Protección de Activos, con la sincera convicción que le ayudará a mejorar su experiencia en el
campo de la seguridad.

Michael E. Knoke, CPP

Editor General
Enero 2011
COLABORADORES
El éxito de esta publicación está directamente relacionado con el proceso de revisión reconocido por la mayoría de las profesiones. Muchos profesionales
de la seguridad, académicos y otros expertos en la materia participaron con el aporte de información actualizada, la realización de la investigación, la
revisión de las comunicaciones, y los comentarios constructivos para que fuéramos capaces de ofrecer una publicación que sea reconocida como “la
referencia” para los profesionales de la seguridad de todo el mundo.

Es con sincero aprecio que me gustaría dar las gracias a las personas que nombro a continuación que han contribuido a Protección de Activos.

Teresa M. Abrahamsohn, CPP

Sean A. Ahrens, CPP
Marene N. Allison
Randy I. Atlas, CPP
George J. Barletta, CPP
Mark H. Beaudry, CPP
Regis W. Becker, CPP
Brent Belcoff, CPP
Howard J. Belfor, CPP
Adolfo M. Benages, CPP
Lawrence K. Berenson, CPP
Alexander E. Berlonghi
Raymond J. Bernard, PSP
Henri A. Berube
Martin T. Biegelman, J.D.
Daniel E. Bierman, CPP, PSP
Patrick C. Bishop, CPP
Dennis R. Blass, CPP, PSP
Keith C. Blowe, CPP
Paul F. Boyarin, CPP, PCI
Tom Boyer
Pete Brake, Jr., CPP
Darryl R. Branham, CPP
Joseph P. Buckley, III
Lucien G. Canton, CPP
James P. Carino, Jr., CPP
Sue Carioti
James S. Cawood, CPP, PCI, PSP
Richard E. Chase, CPP
John C. Cholewa, III, CPP
Tom M. Conley, CPP
Geoffrey T. Craighead, CPP
Michael A. Crane, J.D., CPP
Bruce A. Dean, CPP
Fritz X. Delinski Edward P. De Lise, CPP
David A. Dobbins, PSP
Clifford E. Dow, CPP
Christina M. Duffey, CPP
Brandon Dunlap
Cheryl D. Elliott, CPP, PCI
James W. Ellis, CPP, PSP
William R. Etheridge
Gregory Alan Ewing, CPP, PSP
Kenneth G. Fauth, CPP
Lawrence J. Fennely
Donald J. Fergus
Eugene F. Ferraro, CPP, PCI
James H. Fetzer, III, CPP
Michael T. Flachs, CPP
Richard H. Frank, CPP
Kenneth M. Freeman, CPP
Peter J. French, CPP
Mary Lynn Garcia, CPP
John W. Gehrlein, CPP
Eva Giercuszkiewicz, MLS
Gregory A. Gilbert, CPP
Frederick G. Giles, CPP
Timothy D. Giles, CPP, PSP
David H. Gilmore, CPP
Christopher Giusti, CPP
Brian D. Gouin, PSP
Richard P. Grassie, CPP
Benjamin P. Greer
Steven R. Harris
Ronald D. Heil, CPP
Richard J. Heffernan, CPP
Chris A. Hertig, CPP
William T. Hill, CPP
Ronald W. Hobbs, CPP
Mark D. Hucker, CPP
W. Geoffrey Hughes, PCI
John L. Hunepohl
Gregory L. Hurd, CPP
Gregory W. Jarpey, PSP
Sheila D. Johnson, CPP, PSP
Thomas R. Jost
Diane Horn Kaloustian
Cathy M. Kimble, CPP
Michael Kirchner, CPP
Glen W. Kitteringham, CPP
Michael E. Knoke, CPP
Terrence J. Korpal
James M. Kuehn, CPP
David Lam, CPP
Robert F. Leahy, CPP, PSP
Robert E. Lee
Todd P. Letcher
Emblez Longoria, CPP, PSP
Cynthia Long
Richard E. Maier, CPP
Loye A. Manning, CPP, PSP
Robert L. Martin, CPP
Roger B. Maslen, CPP
Judith G. Matheny, CPP
Edward F. McDonough, Jr., CPP
Richard A. Michau, CPP
Bonnie S. Michelman, CPP
Owen J. Monaghan, CPP
Patrick M. Murphy, CPP, PSP
Carla Naude, CPP
James W. Nelson
Robert L. Oatman, CPP
Gerald A. O’Farrell, CPP
Peter E. Ohlhausen
Leonard Ong, CPP
Harm J. Oosten, CPP
S. Steven Oplinger
Denis A. O’Sullivan, CPP
Jaime P. Owens, CPP
Gerard P. Panaro, J.D.
James F. Pastor, Ph.D.
David G. Patterson, CPP, PSP
John T. Perkins, CPP
Karl S. Perman
Kevin E. Peterson, CPP
Charlie R. A. Pierce
Patrick K. Quinn, CPP
Roy A. Rahn, CPP
John D. Rankin, CPP
William G. Rauen, CPP
David L. Ray, LL.B.
Joseph Rector, CPP, PCI, PSP
Ty L. Richmond, CPP
Lisa M. Ruth
Jeffrey J. Ryder, Jr., CPP, PSP
Mark A. Sanna, CPP
Stephen Saravara, III, J.D., CPP
Charles A. Sennewald, CPP
Dennis Shepp, CPP, PCI
Shari Shovlin
Marc Siegel, Ph.D.
Dennis Smith, CPP
Stan Stahl, Ph.D.
Paul J. Steiner, Jr., CPP
Pamela M. Stewart, PCI
Dan E. Taylor, Sr., CPP
Lynn A. Thackery, CPP, PSP
Mark L. Theisen, CPP
Dave N. Tyson, CPP
Darleen Urbanek
Karim Vellani, CPP
Barry J. Walker, CPP
Michael W. Wanik, CPP
Roger D. Warwick, CPP
Fritz Weidner
Richard C. Werth, CPP
Allan R. Wick, CPP, PSP
Anthony S. Wilcox, CPP
Donald S. Williams, CPP
Reginald J. Williams, CPP
Richard F. Williams, CPP
Timothy L. Williams, CPP
Coleman L. Wolf, CPP
Richard P. Wright, CPP
Richard Y. Yamamoto, CPP
Scott S. Young, CPP
 CAPÍTULO 1
GESTIÓN DE
INVESTIGACIONES

1.1 NATURALEZA DE LA GESTIÓN DE INVESTIGACIONES

Una definición comúnmente aceptada de investigación es una exhaustiva y sistemática revisión o indagación de algo o alguien (la recopilación de hechos y
de información) y el registro de esa revisión en un informe (Dempsey, 1996, p.3). Esta definición aplica tanto al sector privado como al público y cubre
claramente la amplia gama de investigaciones, desde verificación de antecedentes hasta pesquisas administrativas en materias criminales. Gestión es
definida como el acto de llevar a cabo o supervisar algo o “el uso criterioso de medios para alcanzar un fin” (Merriam-Webster, 2009).

El propósito principal de cualquier investigación –particularmente en el entorno corporativo u organizacional, generalmente se encuadra en una o más de
las siguientes categorías (Webster University, 2004):

• documentar exhaustivamente los incidentes (como aquellos reportados al personal u oficiales de seguridad)
• identificar la causa de situaciones no deseadas (por ejemplo, pérdidas notables, repentina disminución de ingresos o de la cuota en el mercado,
mermas inexplicables, discrepancias en los inventarios, desfalco {no administrar adecuadamente dinero de fondos fiduciarios}, etc.) cuando se
sospecha de una actividad corrupta
• documentar y correlacionar hechos que rodean una situación o alegato
• identificar sospechosos involucrados en un delito o acto de mala conducta
• recopilar información que prueba o descarta un alegato o que implica o exonera a un individuo sospechoso de cometer un delito o mala conducta
• permitir que se tome una decisión, a menudo en lo que concierne a una determinación de nivel de confianza o conveniencia en relación a una persona
(por ejemplo, habilitación del personal de seguridad) o a una organización (por ejemplo, una posible empresa socia o un objetivo de adquisición)
Desde una perspectiva de gestión, es importante considerar el propósito de la investigación, tanto a nivel de caso como a nivel estratégico. A nivel de caso,
el propósito establece el contexto dentro del cual se llevará a cabo la investigación y ayuda a mantener a las personas trabajando (y gestionando) centradas
en el caso. A nivel estratégico, el propósito de una investigación dicta la necesaria planificación, organización, equipamiento, personal y preparación. Los
gerentes de unidad y directores de seguridad necesitan considerar todos los posibles propósitos que pueden enfrentar, a pesar que la mayoría de los casos
puede encuadrarse claramente en una categoría. Aunque deben focalizar sus recursos y enfoques en los tipos de casos más frecuentes, ellos también deben
anticiparse a otras posibilidades.

1.1.1 CUALIDADES DE UNA INVESTIGACIÓN EFECTIVA

Cinco atributos caracterizan una investigación eficaz y confiable: objetividad, exhaustividad, relevancia, exactitud y oportunidad. Es papel de la gerencia
asegurarse de que estas cualidades estén presentes a nivel estratégico (teniendo un sistema que facilite las investigaciones caracterizadas por estas
cualidades) y a nivel de caso individual (mediante la revisión del caso y control de calidad).

El proceso investigativo implica ciencia y arte. Gran parte del arte se manifiesta en las cualidades expuestas más adelante. La piedra angular de cada
cualidad está resumida en letra cursiva como una declaración introductoria.

Objetividad: Manteniéndose objetivo y enfocándose en el uso de una hipótesis investigativa racional, evitando cuidadosamente la intervención del
prejuicio.

Este puede ser uno de los requerimientos más difíciles para el investigador, incluso para el profesional con experiencia, debido a que desafía a la naturaleza
humana. Muchas investigaciones se basan en una hipótesis de trabajo, la cual se puede desarrollar al inicio o más tarde, y puede cambiar una o más veces.
La hipótesis se usa adecuadamente como una herramienta mientras permanece dentro de los límites de la objetividad.

Según un artículo de la revista Security Management, esto significa no adelantarse a las conclusiones, incluso ante lo que parece ser una evidencia
abrumadora y concluyente, sin primero corroborar los hechos independientemente. No corroborar las evidencias es un error común de investigadores sin
experiencia, pero le puede suceder a cualquiera. El objetivo general es permitir que los hechos hablen por sí mismos, de manera concisa, precisa y
profesional (Albrecht, 2004, p.78).

Para ayudar a mantener la objetividad, todo investigador debe reconocer conscientemente sus prejuicios personales y neutralizar los efectos de esos
prejuicios en las actividades investigativas, incluyendo la formación de la hipótesis. En otras palabras, el investigador profesional debe garantizar que los
hallazgos de la investigación constituyen la base de sus impresiones, no a la inversa.
Además, el enfoque y actitud del investigador es de importancia crítica para el resultado exitoso de un caso. Antes que todo, el investigador debe proyectar
un aire de objetividad. Esto se logra eligiendo cuidadosamente las palabras y frases durante el proceso investigativo y evitando las expresiones faciales y el
lenguaje del cuerpo que podrían proyectar una actitud inapropiada o un prejuicio.

Exhaustividad: Seguir todas las pistas relevantes hasta su conclusión lógica y centrarse en la corroboración de todos los hallazgos clave de la
investigación.

Una investigación exhaustiva implica la verificación de todas las pistas, y la verificación de las pistas clave más de una vez, para asegurarse de su
consistencia. Corroborar los aspectos importantes a través de diferentes recursos es un medio probado para lograr la exhaustividad. Las diversas fuentes
también deben ser diferentes tipos de fuentes, en la máxima medida posible. Diversos tipos de fuentes para una información en particular podrían ser los
entrevistados o testigos, los expertos en la materia, las evidencias físicas y electrónicas, los registros públicos, los resultados de vigilancias, las fuentes
abiertas, las bases de datos, etc.

En el curso de una investigación, las pistas suelen generar otras pistas, algunas de las cuales pueden parecer superfluas; sin embargo, estas pistas
secundarias y terciarias pueden ser de gran valor, tanto en sentido directo como corroborativo. En aras de la exhaustividad, debe haber un equilibrio entre el
esfuerzo de seguir todas las pistas posibles hasta su conclusión lógica y la obtención de tanta información que confunda el resultado o llegue a ser
contraproducente. Este no es un equilibrio fácil de encontrar. Es por ello que la gestión, independiente del caso, es una función importante en el sector
público y en el privado. Este equilibrio es de especial importancia, ya que a menudo existe presión para truncar la investigación debido a las limitaciones de
tiempo (impaciencia frecuentemente) o de recursos, particularmente en el entorno empresarial.

Relevancia: Determinar eficazmente la relevancia de la información, considerando un espectro adecuado y la profundidad de detalles, sin recolectar
tantos datos que confundan los hechos del caso y empantanen la investigación o, incluso, oscurezcan la verdad.

Relevancia significa que la información en cuestión pertenece de algún modo al asunto de la investigación, y está en un nivel de detalle apropiado. Otro
aspecto difícil del trabajo del investigador es determinar la relevancia y el necesario nivel de detalle (v.gr. cuán profundo buscar).

El espectro de detalles se refiere a la amplitud de la red que el investigador necesita extender para recopilar toda la información relevante. Por ejemplo, en
la investigación de un problema de robo en un edificio de oficinas ¿Debe el investigador gastar tiempo o energía mirando un proyecto de construcción en
un edificio vecino? La respuesta es “quizás”. Varios años atrás, un gran número de incidentes de abusos sexuales de menores tuvo lugar en un vecindario
en particular. Los investigadores no fueron capaces de identificar ningún sospechoso hasta que un investigador se dio cuenta que el marco de tiempo de los
incidentes reportados coincidía exactamente con la fecha de inicio y término de un proyecto de construcción local. El principal sospechoso fue identificado
entre los miembros del equipo de construcción y posteriormente confesó.

El otro factor determinante es la profundidad de los detalles. Esto puede ilustrarse con un ejemplo un tanto humorístico, de pedirle a una persona que
describa lo que ella o él hizo ayer. Una respuesta puede ser muy detallada: “Salí de la cama, cepillé mis dientes, me lavé la cara, luego me afeité, busqué un
tazón de cereales, tomé desayuno, puse el tazón en el lavaplatos...”. Por el contrario, otro podría decir, “Me levanté, fui a trabajar y volví a casa”.
Obviamente, el nivel apropiado o la profundidad de los detalles se encuentra en algún punto entre esos dos extremos.

Los investigadores lidian con este tema a diario. La profundidad adecuada de detalles es difícil de lograr con algunos entrevistados, especialmente aquellos
que pueden ser menos inteligentes o muy inteligentes (por ejemplo, científicos e ingenieros) o las personas que se ponen nerviosas, están apuradas, intentan
ocultar algo o simplemente son muy callados o muy habladores. Un entrevistador experto puede ayudar a guiar la conversación hacia la adecuada
profundidad de detalles sin disminuir el valor de la información proporcionada.

Otro aspecto relevante es la causa y efecto. Por ejemplo, el sujeto de una investigación de antecedentes personales puede tener una baja calificación
crediticia. En lugar de simplemente informar la potencial debilidad del postulante, el investigador debe intentar determinar y verificar la causa de la
calificación crediticia. El sujeto puede haber sido víctima de un robo de identidad o haber sufrido la pérdida de un familiar cercano y cargar grandes deudas
financieras secundarias hasta que puedan solucionarse. En cualquier caso, el tema podría ser completamente resuelto durante la investigación, eliminando
así la potencial debilidad. Similares relaciones de causa-efecto pueden surgir y llegar a ser extremadamente relevantes en cualquier tipo de investigación.

Exactitud: La credibilidad de una fuente, ya sea una evidencia humana, física o electrónica, o el resultado de una observación o vigilancia.

Las declaraciones de testigos presenciales están entre las formas de información investigativa menos exactas. Como señala un director universitario de
psicología forense, “Dada la naturaleza de la memoria, un testigo presencial nunca puede ser totalmente exacto o confiable” (Cassel, 2000, p.2).

El proceso mental que recoge y ordena los datos de los sentidos humanos generalmente produce errores.

La montaña vista en el aire claro de Arizona puede parecer estar medio kilómetro más allá, pero en realidad está a tres kilómetros de distancia. ¿La persona
que abandonaba la escena de un crimen era baja y gorda, mediana altura, corría con una cojera, usaba un largo abrigo, no llevaba abrigo? Los testigos
frecuentemente reportan datos contradictorios.

Otro ejemplo de este fenómeno puede ser tomado de un reciente ejercicio de entrenamiento de vigilancia, en el cual el autor estaba actuando. Él fue
descrito por un observador como “un hombre bajo, rechoncho, con una camisa de golf verde, cabello castaño claro, y bigotes”. Otro observador del mismo
ejercicio lo describió como “un hombre delgado, de mediana estatura, que usaba camiseta azul, con cabello oscuro y bigotes.

En el ambiente empresarial, la información más creíble de pérdidas, acoso sexual y otros incidentes denunciables, proviene de avisos de los empleados. Sin
embargo, los trabajadores también son una fuente de mucha información incorrecta o mal interpretada (Albrecht, 2004, p.80).
Las buenas técnicas investigativas exigen pruebas de verificación frecuentes. Esto es similar a las auditorías financieras donde la evaluación debe ser
exacta, oportuna y la integridad de los registros de las transacciones comerciales son fundamentales. Si la información es susceptible a medición física,
debe ser medida. Si un informante es la única fuente de información clave, el informante debe ser comprobado al menos en la consistencia. Además, la
información misma se debe probar por contradicciones inherentes. (Por ejemplo, una persona puede afirmar que ha viajado en automóvil desde un lugar en
un determinado tiempo y haber llegado a destino a una determinada hora, pero la revisión de la distancia y lapso de tiempo indican que habría sido
necesario que la persona viajara a 135 millas por hora para hacerlo).

Todos los datos investigativos que entran deben ser evaluados cuidadosamente por el equipo de gestión de la investigación. No se deben aceptar a primera
vista, incluso si parecen ser sinceros. Por ejemplo, la indicación de día/hora como las de computadoras, cámaras (fijas o de video), y máquinas de fax
pueden ser inexactas si el reloj interno del dispositivo está configurado incorrectamente. Del mismo modo, un sistema de registro de control de acceso que
indica que una determinada persona entró por una puerta determinada, un día y hora determinada, debe ser considerado sospechoso. En primer lugar se
debe establecer si el sistema puede ser manipulado o falsificado y si otra persona pudo haber utilizado la tarjeta de acceso de la primera persona en esa
ocasión.

La exactitud también es un elemento clave en las investigaciones de antecedentes personales y previas al empleo. Algunas personas creen que la
información provista por las referencias personales (listadas) no tiene valor porque son de amigos y sólo dirían cosas buenas acerca del sujeto. La
experiencia muestra que esto, por lo general, no es verdad. Las referencias personales pueden proveer gratuitamente de información desfavorable de la
persona que lo mencionó. Ese hecho, en sí mismo, debe hacer que el investigador considere las posibles motivaciones del entrevistado.

Oportunidad: Capacidad para completar rápidamente una investigación, pero no demasiado rápido, y para resistir la presión de fuerzas externas que,
inapropiadamente, apuran o demoran un caso, dañando así la calidad de la resolución.

En investigaciones, es importante:

• iniciar una investigación lo más pronto posible,

• completar una investigación lo más rápidamente posible y
• evitar el cierre de una investigación prematuramente.
Aunque estos aspectos puedan sonar contradictorios, una vez más la clave es el equilibrio. En relación al inicio rápido, “Las investigaciones se deben
realizar tan pronto como sea informado o descubierto un incidente” (Rudewicz, 2004, p.49). La razón más importante para hacerlo es que el valor de las
evidencias físicas o electrónicas disminuye rápidamente. Además, los testigos y otras personas que poseen información relevante aportan su mejor
información cuando el incidente está fresco en sus memorias. Con el tiempo, normalmente sus memorias comienzan a desvanecerse, o la información que
entregan puede empezar a contaminarse debido a la racionalización, en la medida que tienen más tiempo para pensar en el incidente, y en la implicancia de
sus respuestas a las preguntas del investigador. Su recuerdo también puede verse prejuiciado por los informes de los medios de comunicación, las
conversaciones con otros testigos u otros factores.

Una vez que la investigación está en curso, se debe completar de manera expedita para conservar los recursos, permitir que las operaciones vuelvan a la
normalidad lo más pronto posible y disuadir a otros potenciales delincuentes. Finalmente, las investigaciones rápidas y decisivas reflejan el profesionalismo
del personal de investigaciones o de seguridad, por lo tanto mejora su eficacia global.

Sin embargo, se debe tener cuidado de no apresurar una investigación en detrimento de la calidad, exhaustividad y exactitud. Los investigadores pueden ser
presionados a cerrar un caso debido a la falta de tiempo o de recursos, o debido a factores de publicidad o políticos. Se debe evitar ceder a estas presiones
cuando sea posible. El jefe de la unidad investigativa o director de seguridad pueden necesitar educar a sus superiores respecto a los potenciales efectos
adversos al apurar una investigación, incluyendo la posibilidad de un mayor riesgo de responsabilidad legal.

Además, los ejecutivos que toman las decisiones y los ejecutivos corporativos deben ser advertidos de que la solución no se consigue en todos los casos.
Ellos no pueden asumir que todo caso será resuelto rápidamente o por completo. Esos conceptos erróneos pueden llevar a expectativas poco realistas de
una Unidad Investigativa (UI) o del departamento de seguridad. Comunicaciones regulares y oportunas entre el gerente de seguridad o los gerentes de
investigaciones y los gerentes corporativos, o quienes toman decisiones organizacionales, ayudarán a minimizar el problema de expectativas poco realistas.

1.2 INVESTIGACIONES EN EL SECTOR PÚBLICO VERSUS SECTOR PRIVADO

Aunque las herramientas, técnicas y procesos a menudo son similares, hay una diferencia fundamental entre la función investigativa en el sector público
(generalmente fuerzas policiales) y en la seguridad privada. Las organizaciones del sector público existen para servir y proteger a la sociedad en general.
Sus actividades por lo general son medidas en términos de números de arrestos y condenas. Por ejemplo, las unidades investigativas del sector público
enfocarán sus métodos principales para abordar una serie de robos, con una estrategia proactiva con vigilancia o una estrategia reactiva con asignación de
más recursos humanos para resolver los casos. La investigación de una escena de crimen es un ejemplo de medida reactiva. Los ejemplos de agencias del
sector público con una misión investigativa incluyen a las agencias policiales a nivel federal, estatal y local; las unidades regionales o con propósitos
especiales (por ejemplo, autoridades de aeropuertos, transporte o parques); las agencias de inteligencia y contrainteligencia; las oficinas del inspector
general; y las agencias reguladoras que hacen cumplir las normas o estatutos administrativos.

Sin embargo, el propósito principal de una organización de seguridad del sector privado es proteger los intereses de la empresa empleadora. Los actores del
sector privado generalmente calzan en una o dos categorías: (1) unidades internas de investigación o de seguridad dentro de una compañía u organización,
o (2) compañías que proveen servicios de investigación o conocimientos especiales a base de honorarios. Este capítulo se centra en las unidades internas
del sector privado, pero reconoce la contribución esencial de los proveedores de servicios especiales y se refiere a ellos cuando corresponde.

El rol de las investigaciones de seguridad privada, incluyendo las del ámbito corporativo, está creciendo. En muchos casos, las agencias públicas
encargadas de hacer cumplir la ley, a pesar que tienen jurisdicción, deciden no investigar un incidente debido a su carga de trabajo u otras prioridades.
Según An Introduction to Public & Private Investigations “El poder policial y los recursos son limitados... y existen áreas de actividades criminales y no
criminales donde los organismos convencionales que hacen cumplir la ley están pobremente equipados o tienen prohibido involucrarse” (Dempsey, 1996,
p.75).

La distinción entre sector público y sector privado tiene implicancias para la autoridad legal, la asignación de recursos, la gestión de programas y los
resultados investigativos. En lugar de bien público, el valor de la capacidad investigativa del sector privado, por lo general se mide en términos de
recuperación, restitución y reducción del riesgo.

Los intereses de la sociedad y los intereses de una determinada empresa no necesariamente son los mismos. Por ejemplo, si ocurre una actividad criminal
dentro de una empresa, el interés público es servido por el procesamiento y encarcelamiento del delincuente. Sin embargo, el interés de la empresa del
sector privado puede ser servido mejor mediante alguna combinación de aceptar la restitución o de tomar acciones administrativas o de empleo.

El proceso investigativo debe reflejar esta diferencia. Por ejemplo, al investigador del sector público frecuentemente se le exige que cumpla un estándar de
pruebas más alto que el que se exige al investigador del sector privado. La distinción fluye de las reglas particulares de procedimientos en las diferentes
cortes. En la corte criminal, el querellante debe probar el caso más allá de toda duda razonable, mientras que en la corte civil la preponderancia de las
evidencias conduce al veredicto. Generalmente, se requiere una mayor carga de pruebas para un juicio que para una acción disciplinaria para el empleado,
incluyendo el término del empleo. En el sector privado, los resultados que se desean del caso dictan la exigencia de la carga de pruebas. Sin embargo, aún
cuando la restitución y el término del empleo sea un resultado aceptable, en lugar de un juicio, la organización igual debe realizar la investigación en forma
profesional y llegar a una conclusión razonable.

Las investigaciones corporativas también tienden a ser más amplias en su alcance que aquellas iniciadas en los organismos públicos encargados de hacer
cumplir la ley. Más que centrarse en un acto específico o violación criminal, las investigaciones del sector privado pueden explorar más profundamente las
violaciones de las políticas de la compañía y pueden incluso expandirla más allá de las violaciones individuales, para revisar asuntos sistemáticos que
puedan garantizar los cambios en los procesos de la empresa o en las políticas corporativas relacionadas con la materia en cuestión (Garcia, 2002, p.8).

Al inicio de la investigación en el sector privado, la empresa debe determinar el o los resultados aceptables para el caso. Esta determinación debe
considerar los requerimientos legales en la jurisdicción, los contratos de trabajo vigentes o pendientes, las relaciones públicas y con los inversionistas, y las
prácticas anteriores de la empresa en casos similares. De hecho, en algunas instancias puede ser aconsejable tener las políticas corporativas bien definidas
respecto a los resultados investigativos y la consiguiente acción corporativa que se tendrá que tomar. Para la elaboración de este tipo de determinaciones,
siempre se debe consultar al asesor legal. En el sector privado, debe establecerse una relación formal entre la investigación y el asesor legal apropiado
(asesor de la empresa o asesor externo contratado) para evitar que los resultados de la investigación, los objetos expuestos y la información sean
descubiertos por la parte contraria en caso de un litigio. (La información se convierte en un producto de trabajo del abogado). El investigador debe
comunicarse sólo con el asesor asignado o con aquellos aprobados por el asesor.

Otra diferencia de las unidades investigativas (UI) entre el sector público y privado es que los investigadores corporativos generalmente se centran en un
tipo o en algunos tipos concretos de investigaciones. Por ejemplo, los investigadores en una empresa pueden pasar el 90 por ciento de su tiempo en
investigaciones de robo. La unidad de otra compañía puede centrarse principalmente en las violaciones a la seguridad ocupacional, la mala conducta de los
empleados, el acoso sexual o el daño a la propiedad. No obstante, los directores y jefes de unidades deben estar preparados para enfrentar otros tipos de
investigaciones también (y en corto plazo), ya sea manteniendo un cierto nivel de capacidad interna (experiencia, educación, equipamiento, etc.) o teniendo
recursos exteriores que ellos pueden llamar cuando sea necesario.

Finalmente, aunque las UI de las empresas suelen abordar asuntos internos, también pueden enfocarse en materias externas. Esto es cierto, por ejemplo, con
los proveedores de servicios de Internet, las compañías de telecomunicaciones, las compañías de seguros y las organizaciones de servicios básicos, cuyos
servicios son particularmente susceptibles al fraude o uso ilegal. Los asuntos internos generalmente se generan por la ausencia o debilidad de los controles
internos. Muchas empresas que enfrentan investigaciones internas y externas, establecen unidades separadas para cada una. Hacer eso permite a los
investigadores focalizarse en una actividad en particular y desarrollar experiencia, redes de enlace y contactos legales especiales. También reduce la
confusión respecto a los resultados de la investigación y los procesos. En algunos casos, las organizaciones contratan firmas externas para realizar sus
investigaciones internas y externas. En muchas jurisdicciones, en una investigación policial, el sector público ocasionalmente contrata una empresa privada
para que les proporcione conocimientos específicos de investigación (por ejemplo, contabilidad forense). Ese acuerdo podría ser indicio de una futura
expansión de cooperación entre el sector público y privado.

1.3 ASUNTOS DE GESTIÓN EN INVESTIGACIONES

Esta sección examina los asuntos de gestión relativos a las investigaciones de seguridad y criminales en el ámbito empresarial. Los temas incluyen la
organización para las investigaciones; la gestión de las investigaciones a nivel estratégico, operacional y de caso; y una variedad de temas relacionados,
tales como los asuntos legales y de enlaces.

Como cualquier otra función empresarial u organizacional, la gestión de las investigaciones implica funciones básicas de gestión: planificación,
organización, dirección, coordinación y control. La Figura 1-1 muestra que las cinco funciones aplican a cada nivel de gestión investigativa: nivel
estratégico, nivel operacional y nivel de caso.
El nivel estratégico implica la gestión de alto nivel de toda la unidad y su relación con el liderazgo ejecutivo de la compañía. El asesor legal debe estar
involucrado en este nivel para garantizar el adecuado enfoque de la investigación en lo que respecta a la política y procedimiento de la compañía o estatuto
civil o criminal. Aquí es donde debiese ocurrir la retención formal de los investigadores para establecer la protección del producto de trabajo del abogado.
Los problemas en este nivel incluyen quién encabezará la función investigativa, dónde se encuadrará en la estructura organizacional, cuáles serán sus metas
y objetivos estratégicos, dónde concentrará sus esfuerzos y cómo se asignarán los recursos financieros y humanos a la función.

El nivel operacional aborda los aspectos técnicos de la función investigativa y cómo la función opera dentro de su departamento. Se consideran en este
nivel asuntos tales como la carga de trabajo, evaluación de casos, control de calidad, políticas y procedimientos investigativos, formato de los informes, los
enlaces, la composición del equipo, los suministros y equipos, la gestión de las evidencias y los contratos externos.

El nivel de caso implica las investigaciones y los investigadores individuales, las técnicas investigativas y los protocolos de gestión de casos asociados con
ellos (Webster University, 2004).

El jefe de la UI 1 debe pensar en estos tres niveles mientras que, simultáneamente, considera los factores que trascienden los niveles de gestión
investigativa.

Las metas y objetivos son fundamentales para la función de investigaciones en los tres niveles. Las metas se articulan a largo plazo y son de gran alcance, y
se pueden expresar en términos generales. Las metas deben ser consistentes con la dirección estratégica de la organización matriz y deben ser incorporadas
en la declaración de la misión de la UI.

Los objetivos están basados en las metas, pero son más específicos y pueden ser de más corta duración. Generalmente son medibles y pueden ser usados
para medir el progreso, éxito o logro de una unidad. Las metas medibles específicas, también son conocidas como métricas en las organizaciones
modernas. Las métricas pueden ser utilizadas para evaluar el desempeño de los individuos, equipos y organizaciones; sin embargo, deben estar relacionadas
con la metas globales más que ser vistas como un fin en sí mismas. Más aún, cualquier estrategia investigativa desarrollada, debe ser compatible con el
plan de negocios estratégico global de la organización.

Los objetivos investigativos tienden a ser tácticos y específicos para las expectativas a corto plazo del proyecto. Cuando se desarrollan los objetivos
tácticos para un proyecto investigativo, el jefe de la UI debe consultar el plan de negocios táctico de la organización para asegurar la compatibilidad. Por
ejemplo, puede surgir una denuncia de un proyecto secreto. Si se inicia una investigación, sus objetivos deben ser consistentes con los objetivos del
proyecto global. Es necesario considerar los cambios a objetivos operacionales cuidadosamente y tratarlos como las órdenes de cambio, en términos de
gestión de proyectos.

Un problema significativo que trasciende los tres niveles de gestión investigativa es el de la ética. Desde una perspectiva organizacional, la publicación de
estándares escritos de comportamiento ético, la adopción de políticas de tolerancia cero para las infracciones de comportamiento ético y la imposición de
multas para aquellos que cometan esas infracciones, tendrá un mayor impacto. Aunque los lapsos éticos han afectado tanto a la comunidad investigativa
pública como privada a lo largo de la historia, la falta de estándares éticos sólidos puede dañar seriamente la efectividad de una UI o de un investigador
individual. Esto es cierto principalmente porque los investigadores y las UI se basan en su credibilidad y respetabilidad para la recopilación, corroboración
e integración de los hechos.

Casi todas la fuentes humanas sobre las cuales dependen los investigadores –víctimas, testigos, respuesta primaria, contactos de enlace, expertos en la
materia e informantesproporcionan información basada en un cierto nivel de confianza en el investigador o agencia. La reputación de comportamiento poco
ético tiene un impacto adverso importante sobre esa relación de confianza y, por lo tanto, reduce la cantidad, exactitud o franqueza de la información
provista. También puede dañar el respeto del que goza la unidad dentro de la estructura corporativa y, por ende, puede afectar el cómo se use la UI y en
cómo son tratados sus miembros.

Los siguientes ejemplos de comportamiento poco éticos o deshonestos son inaceptables en los profesionales de investigaciones:

• abrir, cerrar, apurar, o demorar selectivamente las investigaciones basado en una relación entre el investigador o la unidad y la víctima, sospechoso, u
otro actor clave o basado en un deseo de beneficio personal
• manipular indebidamente las evidencias con el fin de influir en el resultado de una investigación
• manejar indebidamente las evidencias o la información investigativa por incompetencia
• fabricar evidencias o información investigativa
• hacer amenazas o promesas inapropiadas durante una entrevista o interrogatorio
• comprometer la información investigativa sensible
• utilizar técnicas investigativas no probadas científicamente, poco confiables, inapropiadas o aplicando innecesaria mano dura
 • tratar inadecuadamente a los contactos de enlace (por ejemplo, entregar información engañosa o falsa, o explotar abusivamente la relación)
• mentir durante los procedimientos judiciales o administrativos
Ninguna de las actividades mencionadas debe dar lugar a una sanción más dura para el delincuente. Ese comportamiento, en un miembro del equipo de
investigación, puede dañar las investigaciones previas sobre la cual trabajaba la persona. Todo lo que ha hecho un investigador en virtud de su cargo antes
de que se descubra el comportamiento poco ético, ahora será sospechoso.

Además de disminuir la eficacia, un comportamiento poco ético puede dejar a una organización expuesta a responsabilidad civil o criminal. Los jefes de UI
deben hacer de la ética un pilar subyacente de sus operaciones, procedimientos y relaciones, así como inculcar la importancia de la conducta ética en el
personal de investigaciones. Un artículo de la revista Security Management señalaba que los investigadores con experiencia saben “que es más probable
que resuelvan un caso con exhaustividad y búsqueda tenaz de la verdad, que con tácticas de mano dura o engaños” (Albrecht, 2004, p.85).

El resto de la Sección 1.3 proporciona información sobre la organización y gestión de las UI y del personal, así como de algunos problemas clave que los
administradores de UI deben considerar.

ORGANIZACIÓN PARA LAS INVESTIGACIONES

En organizaciones que previamente no tenían una UI o dónde la UI se está expandiendo, rediseñando o modificando de alguna manera, una de las primeras
decisiones es cómo organizar la función. Para las organizaciones pequeñas con necesidades de investigaciones infrecuentes, el uso de una agencia externa o
el contrato del servicio (tercerización) es la opción lógica. Muchas organizaciones pequeñas mantienen consultores de investigación cualificados o
investigadores privados a contrata para responder rápidamente a los distintos problemas que requieren una respuesta investigativa. De esta manera, los
gastos en investigaciones generalmente se limitan al costo de la solicitud específica y se incurre en ellos sólo cuando surge la necesidad.

En las grandes organizaciones u otros entornos con una constante necesidad de servicios de investigaciones, puede justificarse un investigador a tiempo
completo o un equipo de investigaciones. El racional para una capacidad investigativa depende, en parte, de las necesidades de la organización. Los asuntos
que requieren investigaciones en el ámbito corporativo pueden incluir las investigaciones de antecedentes personales (BI de ahora en adelante, por sus
siglas en inglés), los problemas de seguridad o manipulación de productos, los delitos de cuello blanco (incluyendo fraude de adquisiciones, malversación y
otros tipos de fraudes), la mala conducta de los empleados, los robos y hurtos, las pérdidas de información, las due diligence 2 , el mal uso de los sistemas
de tecnología de la información (TI) y el incumplimiento de las normas.

Las mayoría de las empresas de tamaño mediano tienen suficiente trabajo para mantener un investigador o un equipo de investigaciones ocupado,
particularmente en la medida en que las necesidades de investigación y los problemas regulatorios se vuelven cada vez más complejos en el siglo XXI. La
meta principal de una investigación de cumplimiento es proporcionar una guía en relación a las posibles o potenciales violaciones a las exigencias
reglamentarias.

En casi todas las situaciones, el costo es el principal factor en la decisión de externalizar o mantener una capacidad investigativa interna. Los elementos de
costos incluyen gastos en personal, equipamiento, contratos y asesores permanentes, fungibles y gastos de oficina. El retorno de la inversión se puede
demostrar utilizando las cifras de restitución. El análisis de costo-beneficio es una herramienta útil para determinar la conveniencia de subcontratar una
unidad investigativa.

Los presupuestos de investigación son difíciles de predecir con exactitud, ya que uno o dos casos inesperados pueden dar lugar a considerables gastos
imprevistos. El mejor método es basar las estimaciones presupuestarias en datos históricos, estimaciones cuantitativas de la evitación del riesgo, apoyo a
las metas organizacionales y factores de los cambios previstos. Los cambios en la empresa (por ejemplo, crecimiento, nuevas instalaciones, expansión
internacional, nuevos mercados, etc.) o los cambios en la reglamentación, pueden impactar significativamente los presupuestos de la UI. Si no se dispone
de información histórica, se debería intentar buscar un punto de referencia en las empresas que tienen tamaño, localización o misión similar. Deben
considerarse entre los factores los costos de equipos, suministros, servicios externos, viajes (locales y fuera del área), apoyo administrativo y la gestión de
contratos o de personal.

Las investigaciones externalizadas pueden ser gestionadas de modo que los cargos de la investigación pasen a la unidad de negocios donde o en cuyo
nombre se realizó la investigación. Entonces, este costo afecta el presupuesto del usuario y sólo por el costo real de los servicios.

La Figura 1-2 resume las principales ventajas y desventajas de externalizar las necesidades de investigación y de la mantención de una capacidad
investigativa o de una UI.
1.3.1 ENCUADRANDO LA MISIÓN INVESTIGATIVA EN LA ORGANIZACIÓN
Dónde precisamente se encuadra la UI dentro de la organización y cómo se utiliza, varía mucho entre una organización y otra. Por ejemplo, muchas
empresas comerciales mantienen una UI como parte del departamento de seguridad o bajo el oficial jefe de seguridad (CSO de ahora en adelante, por sus
siglas en inglés), mientras que otras no tienen una capacidad investigativa exclusiva. Óptimamente, la estructura de una función investigativa es el
resultado de una evaluación de las necesidades y de un análisis costo-beneficio. Sin embargo, demasiado a menudo, esta importante decisión se hace en
forma indiscriminada, arbitraria o en un vacío. Los profesionales directivos de seguridad, evaluación de activos o gestión de riesgos deben aconsejar a los
ejecutivos líderes sobre las necesidades investigativas reales y la estructura más eficiente para cubrir esas necesidades.

Las siguientes están entre las estructuras más comunes para una capacidad investigativa en las empresas y otras organizaciones:

• una UI separada, con el jefe de la unidad (o investigador jefe) reportando al director de seguridad corporativo o al CSO
• una UI separada, con el jefe de la unidad (o investigador jefe) reportando al director de gestión de riesgos o de protección de activos
• una UI separada, con el jefe de la unidad (o investigador jefe) reportando al departamento legal

• investigaciones especializadas apoyadas por el auditor interno o IT

• investigaciones desarrolladas mediante una función independiente, por ejemplo, un inspector general o su equivalente, el cual reporta directamente a
la alta dirección
• investigaciones realizadas personalmente por el director de seguridad, ya que no existe una UI exclusiva o un investigador
• el director de seguridad supervisa la capacidad investigativa subcontratada, llamando a un proveedor externo cuando sea necesario, en virtud a un
acuerdo previo
En compañías más grandes o geográficamente dispersas, se puede establecer una UI o personal de carácter regional, con el fin de conservar los gastos de
viaje y tiempo. Esta fórmula, también permite a los investigadores que se familiaricen con los problemas locales (cultura, geografía, procedimientos, leyes,
normativa, etc.) y provee una oportunidad para trabajar más eficazmente con los contactos de enlace locales.

Las compañías también pueden establecer capacidades investigativas separadas dentro de las diferentes unidades de negocios. Por ejemplo, puede haber
una UI para la división comercial y una para la división gubernamental, o para la división de productos de consumo y la división empresa a empresa
(business-to-business).

Otro problema clave en la organización de las investigaciones es reconocer las áreas de especial atención para la UI. En algunas organizaciones, la
necesidad primordial es la investigación del personal, mientras que en otras el foco puede ser la mala conducta de los empleados, los robos externos o la
prevención y detección de fraudes. La UI debe considerar las áreas de especial atención cuando organiza la unidad, contratando y capacitando al personal,
organizando el espacio de oficina, comprando equipos y suministros, desarrollando mecanismos de comunicación y estableciendo relaciones. Sin embargo,
los gerentes deben reconocer (y decirle a los ejecutivos líderes) que pueden surgir, y probablemente surgirán, otros tipos de investigaciones. En otras
palabras, no debería ser una sorpresa que una UI enfocada principalmente en las BI, en forma inesperada deba abordar un caso de asalto o robo. Los
investigadores deben estar preparados para esta eventualidad –mentalmente y en términos de equipos, contactos y posibles proveedores externos de
servicios de investigaciones.

Los contactos de enlace, las potenciales fuentes de servicios de investigación externas, los especialistas y proveedores de equipamiento deben ser
adecuados a las áreas de especial atención de la UI (pero, como se mencionó anteriormente, deben incluir una cierta flexibilidad). Ya sea que la capacidad
investigativa de una organización consista en una unidad exclusiva, en un investigador individual, solo el director de seguridad u otra fórmula, debe
designarse a una persona específica (y un reemplazante) para gestionar estos recursos investigativos externos. Esto otorga continuidad y facilita la rápida
implementación de las capacidades. Las necesidades de investigar generalmente surgen con poca antelación y repentinamente.

Otros dos asuntos relacionados con la forma en que la misión investigativa encaja en la organización, son la cadena de reporte y la ubicación física de la
capacidad investigativa. La cadena de reporte para la información de investigaciones o de resultados es fundamental, y puede afectar tanto al resultado de
casos específicos como a la eficacia de la propia unidad. Generalmente, son mejores las cadenas de reporte cortas entre la fuente de información y quién
toma la decisión final. En muchas ocasiones, especialmente si se esperan litigios o se sospecha cierta culpabilidad de la compañía, el investigador debe
entregar el informe, directamente a y sólo al asesor legal del caso de la empresa. De esta forma se protege toda la investigación como producto de trabajo
del abogado. El asesor legal puede entonces, mantener el secreto profesional (attorney-client privilege) mientras asesora a la compañía.

El responsable de tomar la decisión final podría ser el director general, el director de operaciones, el director de asesoría legal, el presidente u otro alto
ejecutivo. Es importante identificar al responsable de tomar las decisiones, establecer una relación de trabajo estrecha (y de confianza) con ella o él, y
desarrollar un mecanismo de reporte formal. En algunas situaciones, puede ser aconsejable establecer un mecanismo de reporte alternativo o de
contingencia, en caso que el responsable de tomar las decisiones no esté disponible o es posible que esté implicado en la materia investigativa.

La cadena de reporte no necesariamente requiere seguir el organigrama cotidiano de la organización o de la cadena de supervisión. En algunas
organizaciones, seguir un camino no estándar puede ser incómodo o ir contra la cultura de la empresa. Es por eso que una función de inspector general, con
un canal de reporte directo e independiente hasta el responsable de tomar las decisiones, puede funcionar mejor en algunas estructuras.

La ubicación física de los investigadores o de la UI también puede ser un factor en algunas instancias. La ubicación física debe proporcionar a la unidad un
adecuado acceso a los funcionarios y los departamentos con los cuales debe interactuar más estrechamente. Estos, por lo general incluyen la oficina
ejecutiva, el consejo general, recursos humanos, el auditor interno y seguridad. Por otro lado, la unidad puede operar más eficientemente si está distante de
los departamentos que intentan microgestionar la actividad investigativa.

Las siguientes son consideraciones fundamentales en la selección de la ubicación física y del diseño de la UI:

• acceso a la información y personas clave

• privacidad
• la necesidad de llamar a la gente o tener acceso a ella para entrevistas (si corresponde)
• la necesidad de moverse rápidamente alrededor de la instalación (o a otras instalaciones)
• la posibilidad de almacenar grandes cantidades de información o evidencias
• espacio de almacenamiento seguro para equipos y suministros
• necesidades de comunicación
Idealmente, la UI debería tener una sala a prueba de ruidos con amplio espacio para que el equipo de investigaciones trabaje junto y exponga objetos
(imágenes, mapas, etc.). La sala debería tener acceso a Internet, teléfonos y pizarrones, y quedar protegida cuando no está en uso. Algunos equipos se
refieren a ese lugar como la sala de guerra.

Finalmente, las funciones y capacidad investigativa dentro de una organización pueden ampliarse o contraerse según como evolucione el entorno
empresarial. Por ejemplo, una compañía con UI alrededor del mundo puede disminuir el número de esas unidades durante un periodo de austeridad de la
compañía. Del mismo modo, la compañía puede eliminar las unidades regionales y consolidar las funciones investigativas en la sede corporativa principal.
La externalización de las investigaciones en esas regiones puede ser una solución a esta reducción.

La respuesta empresarial al comportamiento criminal y poco ético, también puede cambiar con el tiempo. Donde, una vez la compañía habría perseguido
agresivamente las denuncias internas y externas de irregularidades, el nuevo paradigma podría ser abordar sólo los casos que puedan conducir a una mayor
restitución o recuperación, o que pueda tener un alto perfil. Por otra parte, una empresa podría elegir invertir sus escasos recursos investigativos en un tipo
de actividad en particular, por ejemplo, poniendo mano dura contra los abusos relacionados con TI, desatendiendo los robos menores o las malversaciones.
La crisis económica y las consiguientes nuevas normativas de gobierno han hecho que los robos de menor importancia sean más significativos. Las nuevas
disposiciones gubernamentales han exigido a las compañías tomar acciones rápidas y decisivas cuando se enteran de una violación a estas regulaciones.

Estas variaciones, evoluciones o ciclos de énfasis pueden ocurrir en la medida en que la salud financiera de una empresa fluye y refluye, en la medida que
el sector de la industria evoluciona, o en la medida en que surge la conciencia pública sobre un problema. Por ejemplo, a raíz del 11 de septiembre de 2001,
de los ataques al World Trade Center y del Pentágono, muchos de los focos de investigación del FBI cambiaron del crimen organizado y económico a las
actividades de contraterrorismo. Del mismo modo, el énfasis dentro del ámbito corporativo respecto al fraude y al mal manejo financiero se expandió
significativamente tras los escándalos de Enron y WorldCom el 2001 y 2002. Los responsables de la función de investigaciones en las organizaciones
deben basarse en la agilidad para cumplir los objetivos investigativos clave en un entorno dinámico.
1.3.2 EXTERNALIZACION DE LAS INVESTIGACIONES

Para la función de investigaciones corporativa, externalización puede significar (1) contratar a una agencia externa para que lleve a cabo toda la función de
investigaciones o (2) contratar servicios de apoyo investigativo especializado o seleccionado según sea necesario.

La decisión de contratar y el método de externalización generalmente se basan en un análisis costo-beneficio y en las necesidades globales de investigación
proyectadas. Casi sin excepción, las organizaciones están conscientes de los costos y muchas sólo tienen requerimientos de investigación esporádicos.
Además, algunas prefieren una fuente independiente cuando se trata de investigaciones. Otra razón común para contratar los servicios es una política
corporativa general que fomente la externalización de los servicios periféricos. La contratación de servicios investigativos de amplio alcance es menos
común que la de contratación de servicios según las necesidades. Las externalización de servicios especializados y expertos, sin embargo, casi siempre es
una parte importante del presupuesto y del método de satisfacer las necesidades investigativas de una organización.

Los siguientes son servicios especializados que comúnmente se contratan para apoyar las investigaciones corporativas.

• Informática forense
• Auditoría forense
• Análisis de escritura

• Revisión de documentos cuestionados

• Análisis de declaraciones
• Psicología forense
• Poligrafía forense (donde sea legal)
• Vigilancia o contra-vigilancia técnica para disuadir la actividad criminal
• Gestión de proyectos de investigaciones (proyectos especializados, trabajo encubierto, interrupción laboral, etc.)
• Ciencia de comportamientos criminales o realización de perfiles
• Recolección de evidencias físicas
• Servicios de laboratorio
• Mejoramiento de audio o video
• Análisis de inteligencia criminal
• Investigaciones de integridad de marca que requieren una densidad geográfica
• Investigaciones internacionales con conocimientos o contactos locales
Ya sea se necesite un proveedor de servicios especializados o uno de amplio alcance, puede ser un desafío encontrar el proveedor o la combinación de
proveedores. Dos decisiones fundamentales tienen relación con el tamaño del proveedor elegido y si los servicios que se requieren serán separados o como
parte de un paquete. Un proveedor grande, reconocido nacional e internacionalmente, puede brindar un conjunto importante de recursos al proyecto. No
obstante, las empresas pequeñas también tienen ventajas y suelen ofrecer un compromiso de servicio más personalizado o de experiencia local. Además, el
uso de empresas pequeñas puede ser recomendado para servicios de apoyo especializado o experto, ya que la experiencia necesaria puede ser el fuerte
específico y el interés particular del proveedor. También, puede haber una variación en el costo y disponibilidad entre los grandes y pequeños proveedores.
Se debe ser cauteloso con las empresas pequeñas o locales que hacen alarde de ser expertas en todos los aspectos de las investigaciones. Es
extremadamente raro que una empresa tenga experiencia significativa en áreas tan diversas como la informática forense, análisis balístico, BI y casos de
secuestro de ejecutivos.

Sin importar el tamaño y alcance del proveedor elegido, se deben establecer y hacer cumplir criterios claros a los potenciales proveedores de servicios. Es
aconsejable que los proveedores sean pre-aprobados a través de un proceso de selección. Las siguientes son algunas preguntas importantes que hacer y
tener en cuenta en la identificación del proveedor y el proceso de selección:

• ¿Tiene el proveedor reputación de servicio ético y honesto?

• ¿Ha demostrado el proveedor tener experiencia técnica suficiente para cumplir las necesidades particulares del cliente?
• ¿Está autorizado el proveedor en todas las áreas geográficas a las cuales podrían conducir las necesidades investigativas del cliente?
• ¿Están capacitados y certificados los investigadores del proveedor en las técnicas y equipos que se usarán?
• ¿Ha servido el proveedor a otras empresas en la industria del cliente?
• ¿Ha servido el proveedor a otras empresas en el área geográfica del cliente?
• ¿Tiene el proveedor el personal y los recursos físicos para responder a las necesidades investigativas del cliente a corto plazo, largo plazo y de alta
demanda?
• ¿Tiene el proveedor una fuerza laboral investigativa talentosa, experimentada y estable?
• ¿Cuál es la estructura de facturación del proveedor (incluyendo periféricos, según sea necesario, y subcontratación de servicios así como gastos
 reembolsables)?
• ¿Mantiene el proveedor relaciones profesionales con contactos de enlace, agencias y otras empresas (incluyendo potenciales subcontratistas) que
puedan mejorar su eficacia operacional?
• ¿Qué mecanismo emplea el proveedor para garantizar la calidad y retroalimentación del desempeño del contrato?

• ¿Qué mecanismo emplea el proveedor (formal e informal) para comunicarse con el cliente, en forma rutinaria y no rutinaria?
• ¿Es conocido el proveedor por proteger la información y los intereses de sus clientes?
• Para los proveedores de amplio alcance, ¿tiene la empresa las capacidades internas de apoyo especializado, según fuese necesario, tales como
vigilancia, servicios técnicos, informática forense, etc.?
• ¿Cuál es el perfil profesional de los directivos y personal clave de la empresa?
• ¿Cuál es la historia de adquisiciones y de fusiones de la empresa proveedora?
• ¿A qué asociaciones profesionales, cívicas y empresariales está afiliado el proveedor?
• ¿Mantiene el proveedor una cobertura de seguros de responsabilidad profesional adecuada?
Identificación de potenciales proveedores. Una de las fuentes de información de potenciales proveedores son las recomendaciones boca a boca de los
colegas y contrapartes. Esta forma de evaluación comparativa puede producir información espontánea y valiosa.

Otra excelente estrategia es usar fuentes de información confiables, tales como Security Industry Buyers Guide de ASIS International o de redes basadas en
membresías como Intelnet (www.intelnetwork.org/locator.asp), las cuales entregan listas de empresas de servicios de investigaciones e investigadores
privados seleccionados. Además, la mayoría de los estados norteamericanos, provincias canadienses y muchos países alrededor del globo, tienen
asociaciones profesionales de investigadores privados y empresas de investigaciones. Estas asociaciones generalmente imponen un código de ética, de
capacitación y de requisitos para la concesión de licencias a sus miembros y, con frecuencia, tienen un proceso de selección. Las asociaciones también
pueden ayudar a los clientes a encontrar proveedores cualificados en determinadas regiones.

Una vez que se ha seleccionado el proveedor, el jefe de la UI debe asegurarse que las disposiciones fundamentales o las cláusulas del contrato pasen a
través de todo consultor o subcontratista que el proveedor pueda utilizar. Esto es especialmente importante respecto a temas como la manipulación de
evidencias, protección de la información, revelación pública de la información, requisitos para obtener licencias, disponibilidad para testificar y asuntos de
responsabilidad.

Finalmente, la responsabilidad de velar por la capacitación y concesión de una licencia adecuada de los investigadores contratados recae en la organización
de contratación (es decir, la empresa que emite el contrato). Estos asuntos siempre deben estudiarse a fondo y verificarse exhaustivamente durante el
proceso de selección de la fuente. Algunas empresas con menos reputación son conocidas por interpretar libremente la concesión de licencias, la
capacitación y los requisitos de calificación de armas.

1.3.3 CREACIÓN DE UNA UNIDAD DE INVESTIGACIONES

No hay una estructura de organización típica para la misión investigativa en el entorno corporativo. Factores tales como la industria y la misión de la
empresa, el tamaño y alcance, todos cumplen un rol en la determinación de la apariencia de la función investigativa y cómo se encuadra en la organización.
Al crear o rediseñar una función investigativa, el jefe de la UI debe usar la información proporcionada previamente en este capítulo, como un punto de
partida para el proceso de análisis. Ella o él debe trabajar con los ejecutivos líderes para asegurarse que las decisiones no se tomen sobre una base
emocional, improvisada o desinformada. La estructura y operación de la función investigativa de una organización puede tener un gran impacto en la salud
financiera y operacional de la organización.

Cartas Funcionales y Declaración de Políticas. A la UI se le da credibilidad y autoridad a través de una carta funcional emitida por el CEO o un oficial
equivalente. Este documento conciso (a menudo de una página o menos) establece el propósito y la dirección de la función investigativa dentro de la
organización y establece los objetivos estratégicos de la unidad. Define quién es el responsable de la función investigativa, la naturaleza y principal énfasis
de la función, y la relaciones internas esenciales con el resto de la organización.

El siguiente nivel de definición para la unidad, generalmente es una declaración de la política. Este documento resume los procedimientos para iniciar y
conducir investigaciones, y aborda los canales de reporte, mecanismos de coordinación y disposición. La declaración de políticas también aplica a otros
departamentos en la organización. Por ejemplo, recomienda al departamento de recursos humanos sobre cómo solicitar BI del personal.

Un tercer nivel de definición para una unidad nueva o rediseñada es el conjunto de objetivos. A diferencia de la carta funcional y la declaración de política,
los objetivos serán revisados con bastante frecuencia (generalmente anual). Los objetivos para la unidad incluirán las métricas de desempeño y las metas
por áreas de mejoramiento en el siguiente periodo.

Desarrollar una carta funcional bien pensada y adecuada a la misión, una declaración de políticas y un conjunto de objetivos desde el principio de la
creación de una UI, contribuye enormemente a la introducción paulatina y a la eficiencia a largo plazo de la unidad.

El siguiente paso en el proceso es la identificación y obtención de los recursos apropiados para la unidad, con base en los documentos de fundación
desarrollados previamente. Los recursos pueden ser categorizados como humanos, físicos y otros.

Recursos Humanos
Para estimar el tamaño de la unidad, es necesario considerar la carga de casos proyectada, la naturaleza de los casos, el área geográfica cubierta y las
necesidades de apoyo administrativo u otros. Si las necesidades de personal no pueden proyectarse o medirse con exactitud, el mejor método es empezar en
pequeña escala, utilizando recursos externos cuando se requiera y hacer crecer la unidad con el tiempo, si es necesario.

Un determinante clave para el tamaño de la unidad es el tipo de casos previstos. Por ejemplo, el número de casos por investigador normalmente puede ser
mucho más alto para las BI que para los casos de fraude de adquisiciones complejos. Por lo tanto, una unidad que aborda principalmente casos de fraude,
probablemente requerirá un complemento investigativo más robusto (y experimentado), así como personal administrativo y de apoyo, que el que requiere
una unidad que se focaliza principalmente en el trabajo de las BI.

La selección de personal profesional es un importante aspecto en la creación de una UI propia. Si bien se hace referencia a la información, la interrogación
y la instrumentación como las tres “I” de un investigador, son la complejidad y el perfil de las investigaciones típicas dentro de una unidad las que
determinen las cualificaciones, educación y experiencia que se requieren de los candidatos que se seleccionarán. En el ámbito empresarial actual, muchos
puestos requieren experiencia en campos especializados, tales como investigaciones informáticas, fraudes contractuales o delitos financieros.

Históricamente, un gran porcentaje del personal de investigaciones corporativas proviene del sector público o de organismos encargados de hacer cumplir
la ley. La principal ventaja de esa formación es la experiencia, el entrenamiento de excelencia y un historial de desempeño probado. Eso también facilita el
desarrollo de relaciones de enlace más estrechas con los organismos encargados de hacer cumplir la ley y otros de respuesta primaria. Sin embargo, no es
seguro que un investigador del sector público con experiencia o un oficial de las fuerzas policiales se adapte bien al ámbito empresarial. Los candidatos
deben ser capaces de operar eficazmente en un ambiente de negocios, ser una interfaz con la alta gerencia e interactuar bien con los miembros del personal
corporativo, en todos los niveles y en todas las especialidades. Entre las diferencias están las líneas de autoridad y la jurisdicción, los objetivos
investigativos (para cierto grado), la naturaleza de las relaciones y las exigencias de coordinación. Ellos deben tener la capacidad para utilizar herramientas
investigativas como los gráficos de dispersión, para identificar debilidades en los sistemas manuales o computarizados. En pocas palabras, la transición
desde los organismos públicos encargados de hacer cumplir la ley hacia las investigaciones empresariales, a veces es difícil y suele depender mucho de la
personalidad.

Cualificaciones del Investigador. Los criterios deben incluir tanto las cualificaciones profesionales como los rasgos personales del individuo. En las
páginas siguientes se recomiendan las cualificaciones y rasgos a tener en cuenta cuando se contrata o asigna personal investigativo (Webster University,
2004):

Cualificaciones Profesionales
Educación: La educación formal es un punto a considerar. Muchas posiciones investigativas requieren al menos el grado de licenciatura (bachelor).
Aunque la educación formal pueda no ser específica para el campo investigativo, implica un nivel general de inteligencia, madurez y disciplina, así como
de conocimiento de una amplia gama de temáticas. Una educación universitaria (college) familiariza a las personas con las estructuras y procesos de la
cultura y la sociedad, que favorecen la comprensión de los acontecimientos y circunstancias del mundo real que enfrentan los investigadores, en el curso de
su trabajo profesional. La educación también demuestra una capacidad del investigador para continuar aprendiendo, porque los especialistas y expertos
requerirán de educación especializada –a menudo de grados avanzadosen su particular campo (por ejemplo, ciencia forense, comportamiento psicológico,
etc.).

Capacitación. Un factor importante en la evaluación de los candidatos es la capacitación que ellos han recibido. Una amplia variedad de cursos está
disponible en técnicas investigativas generales y en aspectos específicos de investigaciones. Las fuentes van desde los organismos del sector público
encargados de hacer cumplir la ley a las escuelas y proveedores comerciales. El nivel de capacitación, actualización del entrenamiento y fuente de
entrenamiento (por ejemplo, agencia o escuela) debe ser considerado cuidadosamente.

Certificación: Las certificaciones relacionadas tales como PCI (Professional Certified Investigator; ASIS International,
www.asisonline.org/certification/pci/pciabout.xml) o CFE (Certified Fraud Examiner; Association of Certified Fraud Examiners, www.cfenet.com/cfe/)
indican un nivel de conocimientos demostrado, así como un compromiso del individuo con el campo y el esfuerzo para mantenerse actualizado. Además, la
mayoría de las certificaciones profesionales exigen que el candidato posea un nivel de experiencia en una disciplina específica para ser capaz de rendir el
examen. A las certificaciones profesionales se le debería dar un peso significativo en el reclutamiento y evaluación de los postulantes y para las
promociones.

Experiencia (General): La experiencia investigativa real suele ser la cualificación más importante y debe ser considerada detenidamente. Como regla
general, los candidatos deben poseer dos años de experiencia conduciendo investigaciones, de preferencia, distintos tipos de investigaciones. La
experiencia general debe incluir entrevistas e interrogatorios, manipulación de evidencias, enlaces, vigilancia, búsqueda de registros, fotografía, informes y
presentación de casos. Muchas veces, las personas equiparan la experiencia en patrullas de policía con las investigaciones. No obstante, no hay una
correlación suficiente, a menos que hubiese estado incluida la actividad investigativa específica y detallada.

Experiencia (Especializada): La experiencia específica en la industria pertinente, en el ambiente empresarial o en una especialidad investigativa,
generalmente es un punto a favor –algunas veces muy importante. Esto permite al investigador aportar no sólo experiencia a la nueva posición, sino
también un valioso conjunto de lecciones aprendidas y mejores prácticas, muchas de las cuales pueden ser transferidas para mejorar la eficacia de la
unidad. Por supuesto, algunas posiciones de “especialistas” requerirán experiencia especializada también. Se debe solicitar a los postulantes una detallada
información sobre la experiencia especializada para las posiciones que requieran de esas capacidades.

Habilidades de Comunicación: Esta es una de las habilidades más críticas que necesita un investigador. Es absolutamente esencial la habilidad para
obtener información (el corazón de cualquier investigación) de todo tipo de personas, cooperadoras y no cooperadoras, con muchas perspectivas diferentes
y en diferentes niveles. Además, el investigador debe ser altamente eficiente en la presentación de la información, oral y escrita, a los altos ejecutivos,
abogados, fiscales, personal de las fuerzas del orden y a los profesionales de la seguridad. Ellos deben ser, al mismo tiempo, concisos y convincentes,
equilibrando los hechos con las conclusiones. Aunque las habilidades de comunicación son, en cierto grado, un rasgo personal, ellas deben ser consideradas
más bien como una cualificación profesional.

Rasgos Personales
Altos Estándares Éticos: La aptitud personal para la posición es la clave. Los candidatos deben tener un historial de confiabilidad y ética profesional. Este
rasgo traspasará cualquier aspecto de la relación del individuo con la unidad y con cualquiera que ella/él tome contacto como representante de la
organización.

Persistencia: Un importante rasgo de éxito en el investigador es un adecuado nivel de persistencia. El proceso investigativo generalmente conduce a un
callejón sin salida u otras frustraciones. La habilidad para avanzar hacia la resolución de un caso u objetivo a pesar de los obstáculos, demuestra ser de gran
valor.

Equilibrio: Sin embargo, al mismo tiempo la persona debe ser capaz de establecer un equilibrio adecuado entre la búsqueda agresiva de un resultado
exitoso y el seguimiento de las normas establecidas y los protocolos (de modo de no amenazar las bases legales del caso o aumentar indebidamente el
riesgo de responsabilidad legal para la organización).

Madurez: Una visión madura y realista de uno mismo y del entorno es un importante rasgo para alguien que se ocupa de asuntos investigativos,
información privada, temas legales y actividades que pueden afectar las vidas y carreras de las personas –y de la organización misma. Eso permite a una
persona mantener sus actividades en perspectiva y colocar la información, eventos y situaciones, dentro del contexto apropiado.

Habilidad para Tratar de Forma Efectiva con las Personas: A pesar de que nuestra sociedad está centrada en lo tecnológico, las personas conforman el
corazón de casi todas las investigaciones en el mundo, en el sector público y privado. La habilidad para tratar con todo tipo de personas, en cada rol, de
manera altamente eficaz, es absolutamente esencial en un investigador.

Auto-motivado y Pro-activo: En la mayoría de los ambientes, los investigadores operan con muy poca supervisión directa de la gerencia (salvo desde una
perspectiva legal y normativa) y se espera que se desenvuelvan en forma autónoma. La habilidad para auto-motivarse, conjuntamente con una energía
interior inherente, es de valor extremo.

Capacidad para Múltiples Tareas: La capacidad para manejar varias actividades simultáneamente es un atributo extremadamente útil para un investigador.
Toda investigación tiene numerosos elementos –y a menudo una gran número de entradas de información. Además, la mayoría de los investigadores son
asignados a varias investigaciones en un momento dado.

Comportamiento Profesional: En todos los aspectos de la función investigativa, incluyendo el trato con las personas, la recolección y análisis de la
información, y la presentación de los hechos y conclusiones, el investigador debe mantener una conducta profesional. De lo contrario, pondrá en peligro su
eficacia, así como la credibilidad de la unidad (y de la organización).

Buena Capacidad de Observación: La habilidad para observar (la curiosidad es muy importante) personas, lugares, actividades y situaciones, es un
elemento clave de cualquier investigación, y alimenta la base de información para un caso en particular así como para ayudar a orientar los futuros pasos de
la investigación y la dirección. Las personas con excelentes habilidades de observación, interpretación y correlación suelen ser buenos investigadores.

Flexibilidad: Una persona que puede operar sin problemas en una amplia variedad de entornos, se siente cómoda en un rango de situaciones y que puede
distinguir entre cuándo rendirse y cuándo persistir, será un investigador más eficaz que una persona inflexible.

Perspectivas Adicionales: Un profesional de la seguridad de mucha experiencia sugiere que los mejores investigadores son las personas que tienen buenas
habilidades matemáticas. En muchos aspectos, una investigación es un proceso analítico (Thompson, 2004). Otro individuo, un investigador veterano
federal, nombra los rasgos de un buen investigador en la Figura 1-3.
Recursos Físicos
Espacio de Oficina: Aunque puede no ser la primera cosa que se viene a la mente cuando se piensa en las necesidades de una UI, el espacio de oficina es
un tema importante. En el ambiente de oficina actual, muchos diseños se basan en un modelo de cubículo en lugar de oficinas privadas. Esto puede ser un
serio problema para una UI, especialmente si el espacio de oficina es compartido con otros departamentos o funciones. Si es posible, debieran asignarse
oficinas privadas o semiprivadas al personal de investigaciones, quiénes también necesitarán espacio para mantener los archivos, una sala de producción
(con una máquina de fax, copiadora, impresora, equipos de correos, etc.), y una sala de entrevistas o reuniones. Si los cubículos son la única alternativa,
debe haber al menos un par de oficinas privadas que se pueda usar para las entrevistas, almacenar los archivos, reunir al equipo y tener conversaciones
telefónicas privadas.

Además, las investigaciones complejas suelen ser más fáciles con el uso de una cronología gráfica manual (por ejemplo, una pizarra de borrado en seco) o
software electrónico para el seguimiento de pistas, escribir enlaces investigativos (análisis de los vínculos) y planificar los siguientes pasos. Esta
información, al igual que otros datos de la investigación, debe ser protegida de la vista de alguien que no está directamente asociado con el equipo de
investigación. El uso de una sala de guerra puede ayudar.

Almacenamiento de Evidencias: No todas las unidades tendrán la necesidad de instalaciones para almacenar evidencias, pero si tienen la necesidad,
puede ser esporádica. Debe considerarse la posibilidad de preparar un almacenamiento de evidencias a corto y largo plazo. Se deben dar las llaves o
combinaciones de teclados del almacén de evidencias sólo a unas pocas personas. Además, la mayoría de las salas de almacenamiento de evidencias están
equipadas con contenedores individuales con cerradura. También es apropiado en la mayoría de los casos un sistema de detección de intrusos separado por
zonas.

Registros y Almacenamiento de Archivos: Muchos archivos de investigación son altamente sensibles o confidenciales y están sujetos a restricciones de
acceso práctico y legal. Además, los requerimientos de conservación de los archivos y registros varían ampliamente. Por eso, es importante asegurase que
haya disponible un almacén seguro, adecuado para los registros, y que aquellos registros estén organizados de modo que puedan ser fácilmente
identificados para su conservación y destrucción (o disposición) en el momento adecuado. Todos los documentos y evidencias deben ser conservados en su
formato original hasta que todas las acciones legales, incluyendo las apelaciones, se hayan completado.

En algunas circunstancias, los registros se pueden almacenar más fácilmente en forma electrónica. Este almacenamiento requiere menos espacio físico y a
menudo se traduce en una recuperación más eficiente, pero hay algunas precauciones que considerar. Las copias de respaldo seguras deben ser
almacenadas fuera del sitio y deben ser accesibles de inmediato si la información principal, el sistema computacional o la instalación de la UI no estuviese
disponible (por ejemplo, debido a un ataque informático, un desastre de la naturaleza, u otra catástrofe). Además, aún cuando los registros de investigación
y la información asociada estén digitalizados, podría ser necesario, en algunos casos, conservar los documentos originales, las fotografías y otros
elementos. Los elementos que pueden ser requeridos como evidencia (como las fotografías y declaraciones escritas originales) no deben ser destruidos o
desechados.

Suministros y Equipos de Investigación: Las UI del sector privado varían ampliamente en el tipo y cantidad de equipos que requieren. Algunas unidades
se focalizan en investigaciones que implican entrevistas e informes. Otras unidades pueden realizar investigaciones de equipo intensivas que requieren la
recopilación y manipulación de evidencias, equipamiento técnico y consumibles.

La mayoría de la UI necesitan al menos un equipo básico de recopilación de evidencias y algún equipo de grabación de audio y video. Una grabadora
digital activada por voz y una cámara digital suele ser suficiente. La unidad debe considerar sus necesidades reales y equiparse ella misma en consecuencia.
En algunas empresas, se puede pedir prestado los equipos de grabación de audio o video y los equipos de procesamiento al departamento de audiovisual o
su equivalente.

La evidencia original (de naturaleza audiovisual o TI) no debe ser comprometida o cuestionada debido a la duplicación, mejoramiento u otra manipulación
técnica. El personal de investigaciones debe familiarizarse minuciosamente con cualquier equipo antes de utilizarlo en una operación real. Los
investigadores deben probarlo bajo diferentes condiciones (por ejemplo, niveles de luz, ubicación de micrófonos, ruidos de fondo, etc.) y practicar su uso.

Ayudas de Investigación Física: Aunque en la mayoría de los ambientes no se necesita un equipo de laboratorio de crimen extenso, algunas ayudas de
investigación simples suelen ser útiles. Ejemplos de elementos que se mantienen en la mayoría de las UI corporativas incluyen un equipo de huella dactilar
latente, bolsas y contenedores para evidencias, guantes de látex y materiales para marcar o identificar evidencias. Los materiales para marcar e identificar
vienen en muchas formas, incluyendo sustancias que muestran fluorescencia bajo la luz ultravioleta, etiquetas de código de barras, lápices de grabado, e
incluso dispositivos de identificación de radio-frecuencia (RFID por sus siglas en inglés) y dispositivos de seguimiento de sistemas de posicionamiento
global (GPS por sus siglas en inglés). Los organismos de aplicación de la ley y empresas de suministros para investigaciones ofrecen varios equipos que
combinan una serie de ayudas de investigación necesarias a un costo razonable.

Otros Equipos: También debe tenerse en cuenta los equipos computacionales necesarios para apoyar la misión. Además de los requerimientos
administrativos, los computadores pueden ser necesarios para manejar los registros digitales así como para el almacenamiento de evidencias electrónicas y
el trabajo forense informático. Otros posibles equipos necesarios para la unidad incluyen el equipamiento para vigilancia encubierta tales como equipos
fotográficos para el uso durante los reclamos de discapacidad, vehículos y sistemas de comunicación. El equipamiento para vigilancia encubierta ya no es
caro y la tecnología inalámbrica hace más fácil y eficiente la instalación. Algunos equipos básicos deben estar disponibles para su rápido despliegue. Si es
comprado, debe mantenerse apropiadamente y cualquier miembro del personal que lo use debe ser muy bien entrenado.

Si a la unidad se le asignará un vehículo, es preferible un vehículo de bajo perfil, sin marcas de la compañía. Los equipos de comunicaciones podrían
incluir teléfonos móviles, asistentes personales digitales (PDA por sus siglas en inglés, como los dispositivos inalámbricos BlackBerry) y teléfonos de
oficina. En algunos casos, un teléfono con un prefijo diferente de los otros teléfonos de la compañía podría ser apropiado. Los dispositivos de seguridad de
las comunicaciones también podrían ser útiles en algunos ambientes. Se deben establecer los procedimientos para el uso de este tipo de equipos así como
para la seguridad de las comunicaciones.

Recursos Adicionales
Otros recursos de la unidad que deben ser previstos, tanto tangibles como intangibles, son los siguientes:

Capacitación: El equipo de investigación requerirá una gran cantidad de entrenamiento, y para ello se debe asignar tanto el tiempo como el dinero. El
entrenamiento incluye la capacitación informal, el entrenamiento interno, y la asistencia a cursos y conferencias. Los requerimientos de entrenamiento para
los especialistas son más substanciales que para los investigadores generales, pero todos los miembros de la unidad necesitan algún grado de
reentrenamiento y actualización para mantenerse al día en las técnicas investigativas y asuntos legales para mejorar sus habilidades.

Relaciones: Las relaciones y contactos de enlace, tanto internos como externos, debieran ser vistos como un recurso y deben desarrollarse
deliberadamente. Estos es especialmente verdadero cuando la función investigativa se establece por primera vez.

Comunicaciones: Se deben establecer canales efectivos de comunicación dentro de la organización y con las entidades externas (como los organismos de
aplicación de la ley y otros enlaces de contacto externos). Los procedimientos para compartir información, reuniones informativas de casos, solicitud de
apoyo y la asignación de recursos deben ser claras y realistas. Los canales de comunicación que se desarrollen serán tanto formales como informales y
deben incluir los procedimientos para situaciones rutinarias y de crisis.

Recursos Financieros: Los presupuestos y la gestión financiera siempre son temas importantes, particularmente cuando se crea una nueva unidad o
función. Los presupuestos deben ser planificados cuidadosamente y basados en las mejores proyecciones posibles. Dentro de algunas estructuras y culturas
organizacionales, tiene sentido colaborar con otros departamentos (por ejemplo, servicios, seguridad, seguridad ocupacional, legal, gestión de riesgos, etc.)
para aprovechar las asignaciones presupuestarias de la otra.

Activos de Información: El alma de la misión investigativa es la información, y se debe establecer una amplia variedad de activos de información desde el
principio y debe mantenerse a lo largo de la vida de una UI. Entre estos activos están el reclutamiento, el manejo y conclusión del caso de los informantes,
los contactos de enlace, las bases de datos (internas y externas) y el acceso a personal clave dentro de la organización, las fuentes de información abiertas y
datos operacionales. Además, la UI debe establecer (o hacer los arreglos para) una línea directa de empleados para quejas, denuncias, avisos y otra
información relevante. Una línea directa para empleados es una manera rentable de obtener información con respecto a la mala conducta de los empleados.

Activos geográficos: Hoy en día la mayoría de las organizaciones cubren una gran área geográfica y muchas operan en todo el mundo. Tener fuentes de
información, contactos de enlace, proveedores de contingencias y otros recursos disponibles para apoyar las investigaciones en cada zona general donde
opera la organización, tiene sentido desde el punto de vista comercial y genera eficiencias. Los acuerdos previos de estas relaciones y el equipamiento pre-
configurado, los suministros y tal vez el personal de investigaciones, puede contribuir en gran medida a la eficacia y éxito de las operaciones investigativas.

GESTIÓN DE LAS INVESTIGACIONES

Tanto para las nuevas funciones de investigaciones, como para las ya establecidas, numerosas cuestiones de gestión merecen atención, a nivel estratégico y
en el día a día. Esta sección aborda varios temas importantes en cuatro áreas temáticas clave: funciones de investigación, recursos investigativos, gestión de
la unidad y gestión de casos.
1.3.4 FUNCIONES DE INVESTIGACIÓN

La mayoría de las UI se centran en una función en particular o en un conjunto de funciones. Ellas pueden ir desde actividades relativamente simples, como
documentar los hechos relacionados con una fuerza de respuesta de seguridad a un incidente en el lugar de trabajo, a complejas investigaciones de fraude
de adquisiciones. Estas funciones generalmente se denominan tipos de investigaciones, y con frecuencia el sistema de gestión de incidentes de la unidad
está organizado según los tipos de incidentes. Los tipos más comunes de investigaciones en el ámbito organizacional y corporativo son los siguientes:

• incidente o accidente
• mala conducta de empleados
• mal uso o abuso del sistema computacional o de ti
• abuso de sustancias
• due diligence (diligencia debida)
• violaciones al cumplimiento de las normas
• investigaciones de estilo de vida o financieras de ejecutivos y personal corporativo
• de seguridad o antecedentes del personal

• robo, hurto o apropiación indebida

• lapping (acreditar una cuenta con dinero de otra cuenta)
• asaltos y delitos contra las personas
• daño a la propiedad y vandalismo
• discrepancias de inventario o mermas inexplicables
• sabotaje
• espionaje industrial
• violaciones al derecho de autor y a la propiedad de la información
• malversación o desfalco (apropiación de bienes por una persona a quién han sido confiados esos bienes)
• fraude (general, recuperación, de seguros, viajes, contables, etc.)
• falsificación de productos (real o falsos)
• contrabando o desviación de productos
• skimming (quedarse con algo de dinero)
• comunicación de amenazas
• acoso (incluyendo acoso sexual)
• violencia en el lugar de trabajo (real o potencial)
• apoyo a litigios (varían de acuerdo a si la empresa es el demandante o el demandado en un caso en particular)

En diversas industrias y entornos se realizan otros tipos de investigaciones. En algunos sectores, una UI puede ser empleada para apoyar directamente la
misión fundamental de la organización. Por ejemplo, una empresa de bienes raíces puede usar su unidad para determinar el paradero de dueños de
propiedades desconocidos, o llevar a cabo búsquedas de títulos difíciles. Del mismo modo, algunas veces las UI se usan para apoyar la investigación de
mercado, inteligencia competitiva y otras funciones corporativas. Lo principal es que en muchas organizaciones la UI es vista como un recurso corporativo
y se emplea de forma que apoye los objetivos globales del negocio.

Los gerentes de las UI (y los directores de seguridad si corresponde) deben comprender cómo encaja la capacidad investigativa en la organización y cómo
los ejecutivos líderes prevén su aplicación (es decir, el panorama general). Óptimamente, el gerente de la unidad de investigaciones o del director de
seguridad juegan un rol clave en la definición del ajuste y de la naturaleza de las funciones investigativas. Este rol puede variar de directa a sutilmente,
dependiendo del entorno y el estilo de liderazgo, pero en la medida de lo posible, los profesionales de investigaciones y de seguridad deben ejercer una
influencia tan fuerte como sea posible, reconociendo el objetivo global de la empresa.

La Sección 1.4 proporciona información más detallada de algunos de los más importantes tipos de investigaciones en el sector privado. Entre ellas están las
investigaciones de incidentes (que son los tipos de investigación más comunes en muchas organizaciones), las investigaciones de cumplimiento, las
investigaciones de antecedentes, y las investigaciones de abuso de sustancias. Un tipo, particularmente importante, pero que a menudo se desatiende, es la
investigación de due diligence. Antes de entrar en una nueva relación comercial, una organización prudente realizará una investigación para verificar la
información proporcionada por el potencial socio comercial. Esta actividad normalmente es solicitada al cierre de las negociaciones y debe ser completada
de manera oportuna. El investigador experto es capaz de confirmar rápidamente los activos, responsabilidades, problemas legales, potenciales conflictos de
interés y cualquier afiliación o identidad no divulgada del sujeto (ver otras secciones en Protección de Activos para mayores detalles respecto a
investigaciones de due diligence).
1.3.5 RECURSOS DE INVESTIGACIÓN

Los principales recursos de una UI son las personas, la información, la credibilidad, los activos físicos y los activos financieros. El enfoque funcional
principal dicta cómo se estructurará la unidad y cómo se asignarán y aplicarán los recursos. Por ejemplo, el enfoque afecta qué tipo de investigadores se
contratarán, qué mecanismos de búsqueda de información se usarán, cómo y dónde será estructurada la unidad y el tipo de equipamiento y suministros que
requiere. El enfoque también enmarca en gran medida la solicitud de presupuesto de la UI a la organización madre.

Las necesidades de financiamiento para investigaciones por lo general son difíciles de proyectar debido a que pueden ser drásticamente afectadas por uno o
unos pocos casos grandes, así como por nuevos requerimientos regulatorios o legislativos. Por lo tanto, justificar la solicitud del presupuesto de
investigaciones es una tarea desalentadora.

Una de las mejores formas de ayudar a lograr una solicitud de presupuesto favorable es mostrar el valor para la organización o demostrar que la unidad se
paga por sí misma. El apoyo para la justificación del presupuesto puede ser reforzada por una o todas de las formas siguientes:

• enfoque investigativo adecuado para apoyar la misión organizacional, así como la estrategia y los objetivos del negocio
• seguimiento preciso y detallado de los costos de investigaciones
• implementación efectiva de gestión de costos y medición de eficiencia

• demostración de los beneficios de restitución y recuperación

• estimación cuantitativa de la evitación de riesgos en términos monetarios
El seguimiento cuidadoso y la gestión de los costos operacionales y los gastos generales pueden mejorar significativamente la respuesta a la solicitud de
financiamiento. Los costos pueden ser rastreados por el tipo de caso, ubicación, unidad de negocios u otra variable. Adicionalmente, las cifras de
recuperación y restitución deben ser objeto de seguimiento e informarse a la alta gerencia para que ayude a demostrar un beneficio financiero para la
organización y un apoyo a los argumentos de retorno de la inversión (ROI de ahora en adelante, por sus siglas en inglés). A menudo, las UI pueden
demostrar el ROI a través de los esfuerzos de recuperación civil, recuperando no sólo las pérdidas, sino también los costos de investigación asociados.

Generalmente los costos para personal y servicios externos representan las partidas presupuestarias más grandes de una UI, mientras que los gastos
generales a menudo son los más fáciles de controlar. Los gerentes de UI deben aprovechar el uso de contactos de enlace y otros departamentos
organizacionales (como TI, servicios, contabilidad y finanzas, legal y gestión de riesgos) para conservar los recursos financieros.

1.3.6 GESTIÓN DE LA UNIDAD

Los gerentes de las UI enfrentan un importante desafío para equilibrar las responsabilidades administrativas y operacionales de sus funciones. La Figura 1-
4 muestra el ciclo de vida del proceso investigativo. Ilustra muchas de las funciones que se producen a nivel de la unidad y caen bajo las amplias
responsabilidades del gerente de la UI. Este gráfico está dividido en cuatro fases. La primera muestra distintas maneras por las que se inicia una
investigación (por ejemplo, reporte de incidente, auditoría, reporte de discrepancia o solicitud de investigación). Incluye la razón de la investigación y el
mecanismo mediante el cual se abre el caso. La segunda fase es la investigación misma, y el gráfico proporciona ejemplos de tipos de caso para
incidentes/denuncia/situación de investigación y nivel de confianza de las investigaciones. La siguiente fase se ocupa del informe de los resultados, pero
también incluye el uso posterior de la información resultante. Gran parte de la información investigativa se mantiene formalmente (a menudo en una base
de datos automatizada) en el campo especificado, un resumen o el formato completo. La fase final aborda el uso de la información resultante en base a
casos específicos (por ejemplo, acción disciplinaria, remisión al sistema judicial o de aplicación de la ley, o adjudicación) y también sobre una base
agregada o de seguimiento. Ejemplos del uso de la información agregada o de seguimiento incluyen análisis estadístico, evaluación del programa,
planificación estratégica y previsiones presupuestarias.

El gerente de la UI es responsable del diseño e implementación de sistemas para administrar la actividad dentro de cada una de las cuatro fases del ciclo de
vida investigativo. Aunque es fácil empantanarse en el día a día de las operaciones de la unidad y de las actividades de investigación específicas, es
importante mantenerse al día con las gestión de la unidad y las tareas administrativas.
Iniciación
En la fase de iniciación del caso, un tema importante en la mayoría de las configuraciones es algún tipo de mecanismo de reporte mediante el cual
empleados y otras personas puedan proporcionar, en forma conveniente, información que consideren que podría justificar una investigación o apoyar un
caso en curso.

La información más fidedigna sobre pérdidas, acoso sexual y otros problemas proviene de los avisos de los empleados (los cuales también pueden producir
información falsa, incorrecta o mal interpretada) (Albrecht, 2004, p.80). Desestimar las denuncias anónimas va contra las mejores prácticas en cualquier
organización. La Federal Sentencing Guidelines and Sarbanes-Oxley Act3 del año 2002 exige, como parte integral de un efectivo programa de ética y
cumplimiento, que las empresas que negocian públicamente (en el caso de la ley Sarbanes-Oxley) y las compañías condenadas por actividad criminal (en el
caso de la Federal Sentencing Guidelines) tengan en el lugar un sistema de reporte interno, sin represalias, para que los empleados reporten sospechas de
violaciones. Muchas corporaciones, organizaciones y agencias han establecido líneas directas para reportar el fraude, malgasto, abuso, amenazas,
violaciones a la seguridad y otras posibles situaciones adversas. También es importante mantener un programa de sensibilización, el cual incluye carteles,
insertos en la nómina de pago, tarjetas de bolsillo y documentos de comunicaciones de la empresa, tales como boletines de noticias. A las empresas se les
exige tener un proceso en el lugar para evaluar cada comunicación y para investigar aquellas que se estime requieren un seguimiento. Las compañías deben
hacer todos los esfuerzos para prevenir cualquier represalia para el denunciante, por lo que es prudente hacer todas llamadas anónimas. En algunas
organizaciones, la línea directa puede ser compartida con departamentos que rastrean las denuncias de riesgos para la seguridad ocupacional, los virus
computacionales o quejas por discriminación.

Investigación
Las responsabilidades de gestión en la fase de investigación incluye la implementación de un sistema de gestión de casos y controles administrativos
apropiados. El sistema de gestión de casos puede ser manual o automatizado; en el entorno actual, la mayoría de los sistemas usa software computacional.
Estos software ayudan a la eficiencia y a la recolección y mantención de datos. Los software modernos también ofrecen asistencia en el esfuerzo de
redactar los informes. Aunque existen programas elaborados, la mayoría de las organizaciones elige un paquete más simple y asequible, o crea un software
personalizado diseñado para la compañía y el tipo de investigación que se manejan con más frecuencia.

Estos programas también pueden ayudar a otras tareas críticas, tales como la asignación de casos y la gestión de la carga de trabajo, aunque la tarea por lo
general es hecha manualmente. La asignación de casos en las unidades grandes (con varios investigadores) se puede basar en la carga de casos, la
experiencia, especialización, geografía o una combinación de estos factores. Independiente de qué factores se usen para hacer la asignación de casos, el
proceso debe realizarse cuidadosa y deliberadamente. Una mala asignación de casos puede llevar rápidamente a un desencanto del investigador y a la
disminución de la efectividad de la UI y de su habilidad para resolver los casos exitosamente. Algunos investigadores podrían estar recargados mientras
que otros tener una carga de casos mucho más liviana. Del mismo modo, los investigadores con una experiencia especial pueden estar trabajando en casos
generales mientras que las investigaciones que requieren de habilidades especiales son asignadas a otros. La asignación de casos requiere una estrecha
atención del gerente de la UI.

La supervisión y controles administrativos son esenciales en una UI. La gestión de un libro de control de asignación de investigaciones recae en la función
del Controlador o el Gerente. Los aspectos de cada caso, tanto operacionales como administrativos (v.gr. costos) requieren una estrecha vigilancia por parte
del gerente, y deben ser evaluados al menos mensualmente. Se deben llevar a cabo controles y balances para garantizar, por lo menos, lo siguiente:

• Que las solicitudes de investigaciones estén documentadas y respondidas.

• Que estén las correspondientes autorizaciones para abrir un caso.
• Que a los investigadores se le de un número apropiado de casos y que los investigadores correctos estén asignados a los casos correctos.
• Que el estado del caso sea informado regularmente (interna y externamente según corresponda).
• Que se haga el seguimiento de caso en forma adecuada.

• Que los activos de valor (incluyendo pérdida estimada, recuperaciones, etc.) están registradas adecuadamente y actualizadas.
• Que los contactos de enlace tengan seguimiento y sean administrados.
• Que se realicen los reportes escritos según lo dispuesto.
• Que la resolución de casos y los objetivos sean actualizados regularmente.
• Que los recursos de los casos tengan seguimiento y sean administrados.
• Que se registre la información posterior a los casos (disposición, archivo, etc.).
Los controles deben operar de modo que todas las investigaciones hayan sido autorizadas, que se pueda identificar todos los trabajos asignados a un
investigador en particular y se puedan determinar rápidamente los resultados y tareas pendientes.

En los primeros días de una nueva UI, la necesidad de controles formales puede no ser aparente. Sin embargo, en la medida que la unidad crece en tamaño
o actividad y que el personal cambia, se requiere un sistema formal para obtener el máximo beneficio de los datos acumulados de las investigaciones. El
sistema debe intentar responder a preguntas como cuánto debe hacer un investigador competente en un día de trabajo y cuánto tiempo debe demorar en
completar una investigación.

La producción investigativa se ve afectada por el temperamento, competencia y ritmo de trabajo del investigador; por la complejidad del caso; y por la
disponibilidad de informantes y fuentes de información. Con frecuencia es imposible predecir qué pasos investigativos se pueden realizar en un día
determinado. Por lo tanto, el investigador experto pone en marcha tantas pistas o vías de investigación como puedan ser manejadas simultáneamente. El
objetivo es crear entradas de información que puedan ser explotadas en la medida que surge la oportunidad y en la menor cantidad de tiempo.
Una medida de efectividad es el tiempo que demora en terminar un caso. Aunque esta cifra varía drásticamente, los datos estadísticos se pueden usar para
obtener un promedio del tiempo requerido para ciertos tipos de pistas o casos. Luego, el promedio del caso, se descompone en factores en la programación,
presupuesto y la rutina de asignación de casos. Este método puede no funcionar bien en todos los ámbitos o estructuras, pero puede ser útil en algunas
organizaciones y se puede aplicar tanto a los esfuerzos de gestión de casos como a la planificación estratégica.

Presentación de Informes
La fase de presentación de informes se aborda aquí y también en la siguiente subsección (1.3.7 Gestión de Casos) y en la Sección 1.7 Documentación
Investigativa. El formato, frecuencia y distribución de los informes y otros requerimientos, deben llegar a ser parte de las políticas y procedimientos de la
unidad y seguirse cuidadosamente. Las actividades de documentación formal suelen estar entre los primeros elementos en ser desatendidos cuando aumenta
la carga de casos y se sufre la presión del tiempo. Sin embargo, la falta de adecuada y efectiva documentación, junto con el mantenimiento descuidado de
los registros, puede llevar rápidamente al fracaso. La documentación y el mantenimiento de los registros son aspectos tediosos, pero importantes, de la
responsabilidad de la gestión de investigaciones.

Seguimiento
Los ejecutivos líderes y los gerentes de UI deben reconocer que los resultados o la fórum van más allá de simplemente determinar una acción disciplinaria,
administrativa o judicial. Por ejemplo, algunas veces las conclusiones investigativas apuntan no sólo a la culpabilidad individual, sino también a las
características sistémicas o prácticas comerciales que representan factores causales significativos (a veces incluso las vulnerabilidades de seguridad) y
claramente merecen medidas correctivas. La sinergia se crea con el uso de los resultados de la investigación no sólo para resolver el tema en cuestión, sino
también para corregir las condiciones que permitieron que ocurriera el incidente, en primer lugar.

Los resultados de las investigaciones también deben mantenerse en archivos o bases de datos con fines estadísticos y análisis de tendencias, de acuerdo a
las políticas de mantención de registros de la unidad. Esta información puede ser utilizada para evaluar la efectividad de los programas de investigaciones y
de seguridad o de protección de activos, apoyar las decisiones de asignación de recursos y perfeccionar las correspondientes políticas y procedimientos.
También representan una valiosa contribución a los análisis de inteligencia criminal que se puede emplear en términos generales, o aplicar a futuros casos
que involucren a los mismos individuos, organizaciones, departamentos, lugares o modus operandi.

Tres temas claves restantes en la gestión de la UI son el establecimiento de objetivos, la motivación del personal de investigaciones y el entrenamiento. El
establecimiento de objetivos y monitoreo del avance hacia ellos es una responsabilidad que a menudo se descuida, pero es importante para una operación
eficaz de la unidad, así como para demostrar valor a la organización. Los objetivos deben ser específicos y medibles. También deben ser establecidos para
diferentes aspectos de la unidad, por ejemplo la gestión financiera, la resolución de casos, desempeño global de la unidad, flujo de información,
solicitudes/quejas/manejo de pistas, etc. Además, deben ser medidos, documentados y actualizados periódicamente, al menos una vez al año.

La motivación del personal de investigaciones es una tarea clave. Los siguientes problemas que enfrentan los investigadores pueden afectar su auto-imagen
y actitudes:

• Testificar en la corte y los procedimientos administrativos suelen someter a los investigadores a intensos interrogatorios, reprimendas y
cuestionamientos por parte de los abogados u otros oficiales.
• Los investigadores pueden comprometer mucho tiempo y esfuerzo en casos que posteriormente demuestran estar basados en acusaciones,
información o informes falsos, de manera que sienten que sus esfuerzos han sido desperdiciados.
• Las investigaciones, algunas de las cuales requieren una gran cantidad de esfuerzo investigativo, pueden no ser resueltas, pueden ser terminadas antes
de resolverlas o pueden resultar en lo que el investigador percibe como una disposición inapropiada.
• Algunas investigaciones (por ejemplo, fraude y crimen de cuello blanco) pueden extenderse por largo tiempo, provocando en los investigadores la
sensación de que no están haciendo el suficiente progreso.

• Los investigadores pueden estar sujetos a tentaciones éticas (por ejemplo, tratar con gente poco ética que puede ser financieramente muy exitosa
debido a su mal actuar, la posibilidad de que les ofrezcan sobornos, usar información privilegiada en beneficio personal, abusar de su autoridad, usar
técnicas investigativas impropias o ilegales, etc.)
• Los testigos, entrevistados y contactos de enlace pueden ser poco cooperativos o ser frustrante tratar con ellos.
• Las decisiones de la gerencia ejecutiva de no proseguir en una materia (ya sea antes o después de una investigación) puede frustrar a los
investigadores que creen que existe un probable caso importante.
• La renuencia de parte de los oficiales encargados de aplicar la ley o los fiscales de gobierno para aceptar un caso después que se ha puesto un
importante esfuerzo puede resultar frustrante
• Los investigadores pueden convertirse en cínico, permitiendo que las presiones o problemas de trabajo se transfieran a su vidas personales.
Sin tratar de actuar como psicólogos, los gerentes de UI deben estar alerta a los signos de esas frustraciones. Algunas medidas que pueden ayudar en la
motivación de los investigadores y a mantenerlos en el máximo rendimiento son los descansos o vacaciones periódicas; enviarlos a cursos de capacitación
que los alejen un tiempo del trabajo de casos; realizar eventos sociales de oficina; formar equipos de investigadores de modo que puedan motivarse entre
ellos; reconocer sus logros personales y profesionales; apoyarlos en la participación en organizaciones profesionales y comunitarias; y emplear un estilo de
gestión participativa.

La capacitación se puede usar para beneficio de la unidad y del investigador. Aunque tome tiempo y dinero de otras prioridades investigativas, el
entrenamiento es una parte esencial de la mantención de una unidad con personal profesional. Periódicamente, debiera hacerse el tiempo para sesiones de
entrenamiento interno para revisar políticas, procedimientos, protocolos y problemas que afecten a la organización empleadora. Además, a los
investigadores se les debe dar la oportunidad de asistir a cursos y seminarios de entrenamiento en el exterior, tanto en temas de especialidad como en
técnicas generales avanzadas de investigación. Los temas de especialidad deben estar relacionados con la función de trabajo del individuo o industria
correspondiente y puede incluir las siguientes materias:

• investigaciones informáticas
• manipulación de evidencias

• crimen de cuello blanco

• auditoría forense
• análisis de inteligencia criminal
• investigaciones ambientales
• investigaciones de seguridad ocupacional
• investigación de accidentes
• acoso sexual
• violencia en el lugar de trabajo

• fraude de seguros
• entrevistas e interrogatorios
• gestión general
• comunicaciones
• auto-superación

1.3.7 GESTIÓN DE CASOS

La sección anterior discute el establecimiento y monitoreo de los objetivos de la UI. Sin embargo, también se necesita establecer los objetivos para los
casos individuales. Aun cuando el objetivo de una investigación es obvio, es útil identificar deliberadamente y documentar el enunciado y principal
objetivo del caso y, por lo general, también los objetivos secundarios del caso (Webster University, 2004). Esto puede ayudar bastante a mantener la
actividad investigativa focalizada y a dirigir los pasos de la investigación. En investigaciones de mayor compromiso (complejidad o no rutinaria) y en todas
las investigaciones proactivas, se debe elaborar un plan detallado, coordinado con todas las partes interesadas, y aprobado por el gerente de la UI o una
autoridad superior. Los investigadores deben reconocer que los objetivos primarios y secundarios pueden cambiar durante el curso de una investigación y
todos los cambios deben ser documentados.

Archivos del Caso. Al inicio de toda investigación, y hasta la aprobación del gerente de la UI, se debe establecer un expediente del caso. Este expediente
contiene el formulario de queja original u otro mecanismo de iniciación, el número de caso o de expediente asignado, el nombre de todo investigador
asignado, la queja o información del sujeto, las pistas iniciales y la documentación de aprobación de la gerencia. La apertura del expediente del caso pone
en marcha los siguientes pasos:

• asignación de un número de caso o de expediente

• ingreso en el sistema de gestión de casos (u otra base de datos según corresponda)

• notificación a la gerencia y otros si es apropiado

• coordinación con el personal de acuerdo a lo que corresponda
• esfuerzos para corroborar la información inicial
Administrativamente, el expediente del caso debe incluir la siguiente información, la cual puede ser rastreada manualmente o a través de un sistema
automatizado de gestión de casos:

• tipo de caso o categoría

• título o sujeto del caso (si el sujeto es conocido)
• número de expediente
• ubicación del incidente precipitante, si es que hubo
• valor de los activos perdidos o robados
• investigadores asignados
• fecha de apertura (y ubicación de la apertura si aplica)
• fecha de vencimiento para el informe u otra acción
• fecha de cualquier informe provisorio
 • fecha del informe final o de cierre
• valor de los activos recuperados
Seguimiento del Avance de un Caso: Un sistema automatizado generalmente puede proporcionar informes de apertura de casos por orden de fecha de
vencimiento, investigador asignado u otro factor. El gerente de la UI puede usar el sistema para revisar el estado de todos los casos abiertos (u otros) en
cualquier momento. Se pueden revisar los reportes provisorios electrónicamente o en una copia impresa. También se recomienda en la mayoría de los
ambientes, reuniones informativas orales periódicas del estado del caso. Las UI más grandes podrían tener un coordinador de operaciones que revise los
casos, entregue una orientación y haga recomendaciones sobre los pasos investigativos. Ya sea que los investigadores estén trabajando individualmente o
en equipos, es una buena idea usar a supervisores u otros investigadores como cajas de resonancia para el intercambio de ideas en la unidad. La
investigación es, en parte, un proceso creativo y las mejores ideas y enfoques suelen ser el resultado del trabajo colaborativo.

La administración de expedientes puede presentar dificultades si no existe un sistema formal, incluso en una UI pequeña o un departamento de seguridad.
Los expedientes impresos deben estar guardados en contenedores seguros (por ejemplo, una caja fuerte o un gabinete de archivos con cerradura o barra de
bloqueo). Una o más personas deben ser designadas para hacerse responsables del gabinete o caja fuerte. Nadie debe ser autorizado a sacar o poner un
expediente por ninguna razón. Se debe utilizar una tarjeta de control (se inserta en el lugar del expediente sacado) para indicar quién sacó el expediente y
cuándo. De esta manera, el expediente puede ser localizado cuando sea necesario por el gerente de la UI u otro miembro del equipo de investigaciones. Las
versiones de expedientes archivados electrónicamente (tanto los que están en curso como después de la investigación) deben controlarse cuidadosamente,
con autorizaciones de acceso y gestión de registros de auditorías, establecidos por el administrador de los sistemas u otro oficial designado por el gerente de
la UI. El uso de un diagrama de análisis vinculará los detalles respecto a las personas, eventos, etc., durante una investigación, mientras que un diagrama
horizontal es una comparación de los diferentes periodos de un estado financiero de una empresa que será beneficioso en una investigación de fraude.

Durante el curso de la investigación, el investigador debe asegurarse que se realicen las siguientes tareas:

• Seguimiento de los contactos de enlace y la información proporcionada.

• Mantención de registros de vigilancia (físico y técnico).
• Mantención de registros de evidencias (junto con los recibos y los documentos de la cadena de custodia).
• El archivo de las declaraciones escritas originales y las evidencias documentales.
• Cuando corresponda, seguimiento de los costos de investigaciones por caso (a veces los costos de una investigación pueden ser facturados a otra
cuenta corporativa o una externa).
• Mantención del registro de pendientes (una lista de vencimiento de informes, estados de comprobaciones, pistas investigativas y otros hitos de la
investigación) y asegurar que las tareas delegadas se están cumpliendo de acuerdo a lo programado, siempre que sea posible.
• Informar a las entidades regulatorias cuando sea necesario.
Estos pasos ayudan a garantizar no sólo la credibilidad de un caso, sino también una alta probabilidad de éxito en el resultado de la investigación y un alto
grado de eficiencia.

Informe del Caso e Información: Por lo general, los resultados investigativos se dan a conocer en un informe formal de investigación. Se puede elaborar
un informe definitivo y una serie de informes intermedios, así como resúmenes o sinopsis de la investigación, periódicos o finales. Si se entregan informes
provisorios, cada uno debe incluir la información contenida en el informe provisorio anterior. Esta técnica elimina la necesidad de que el lector esté
constantemente acudiendo a los informes anteriores para clarificar o entender toda la investigación. Esto significa que el último informe contiene toda la
información hasta la fecha. Durante y después de completar un caso, debe lograrse un cuidadoso equilibrio entre el compartir la información con personas
que la necesitan, para apoyar la investigación o tomar decisiones, y proteger la información para garantizar su integridad y la privacidad de las personas
involucradas. La mayoría de las UI tienen políticas específicas sobre la distribución de la información investigativa, pero igual surgen zonas grises. Los
investigadores debieran considerar detenidamente la divulgación de cualquier información sensible y coordinar su divulgación con el gerente de la UI o una
autoridad apropiada. Esta recomendación es especialmente importante cuando la investigación ha sido iniciada por un asesor legal y el privilegio del
producto del trabajo del abogado es un problema. Ninguna información debiera ser divulgada a menos que el abogado le de la instrucción a la UI para
hacerlo.

La distribución de informes y otra información investigativa debe incluir una portada o una nota que identifique claramente el nivel de sensibilidad de la
información y provea instrucción para desechar el material cuando ya no se necesite más (por ejemplo, triturar en forma transversal la información,
devolver al remitente, etc.). Los destinatarios también deben ser avisados, cuando corresponda, de que ellos no pueden retransmitir la información o
compartirla con alguien más. Se debe mantener un registro indicando la distribución de los informes, incluyendo a quién se enviaron y cuándo. En algunos
casos, se puede establecer una fecha para devolver el material a la UI. Esto ayuda a mantener la información sensible, así como al seguimiento de su
distribución.

OTROS PROBLEMAS DE LA GESTIÓN DE LAS INVESTIGACIONES

1.3.8 PROBLEMAS LEGALES

Los problemas legales descritos en esta sección se relacionan con las investigaciones en Estados Unidos. Las materias legales se deben considerar por dos
razones: (1) para proteger la compañía contra la responsabilidad legal y (2) para garantizar que se puede llegar a una conclusión adecuada si el caso va a la
corte u otro foro legal. Otras consideraciones legales incluyen las siguientes:

• cumplimiento de las leyes relativas a la concesión de licencias para investigadores privados y para realizar investigaciones privadas
• la posibilidad de demandas civiles (en algunos casos, denuncias criminales) basadas en acusaciones de difamación, detención ilegal, falso
encarcelamiento, venganza y hostigamiento

• la posibilidad de citaciones a declarar, producir registros escritos de la investigación, o ambos

Es de incumbencia del jefe de la UI garantizar que la organización se familiarice con todas las leyes y regulaciones aplicables, así como con las políticas
corporativas. Esto puede llegar a ser una tarea importante, especialmente si la compañía tiene locaciones en varias jurisdicciones diferentes, incluso en
otros países. La sede de un caso en particular puede no necesariamente estar dentro de la jurisdicción prevista. Un procedimiento legal podría ser
mantenerla donde reside la sede central de la empresa, donde en realidad ocurrió el incidente (el que puede no ser en la propiedad de la empresa), donde se
encuentra el demandante o en algún otro lugar geográfico conectado con el incidente. Las leyes, regulaciones y restricciones aplicables pueden variar a
través de las diferentes jurisdicciones. Muchas organizaciones nunca consideran la participación de un representante legal en la gestión de casos.

Requisitos Locales para Concesión de Licencias: la mayoría de las jurisdicciones exigen que los investigadores pagados tengan licencia, y los
procedimientos y requerimientos para la concesión de licencias varían ampliamente de un estado a otro dentro de Estados Unidos, y de una provincia a otra
en Canadá. Estos requerimientos deben ser revisados cuidadosamente antes de contratar investigadores y antes que los investigadores sean asignados a
realizar una actividad que puede llevarlos a otras jurisdicciones. En el caso de la tercerización para el uso de investigadores, consultores o expertos, el
estado de las licencias, tanto individuales como de las empresas que los emplean, deben ser verificadas. El estado actual y apropiado de las licencias no
puede asumirse cuando se usan servicios externos, y las violaciones pueden resultar en problemas de responsabilidad legal significativos, multas y la
anulación de un buen caso. Para los empleadores con operaciones en varias jurisdicciones, deben revisar las leyes de cada jurisdicción en la cual se
realizará una actividad investigativa.

1.3.9 ENLACES
Las relaciones profesionales de trabajo son invaluables en la operación de una UI eficiente. Garantizar que se establezcan relaciones de enlace adecuadas,
que se cultiven y se empleen correctamente es una responsabilidad clave del gerente. Estas relaciones incluyen contactos individuales y organizacionales,
internos y externos, formales e informales. Algunos ejemplos de contactos de enlace generalmente útiles para las UI corporativas se enumeran en la Figura
1-5. Información adicional sobre enlaces y sus beneficios se encuentra en la Sección 1.6.2 Liaison in Investigations.

1.3.10 ANALISIS DE INTELIGENCIA CRIMINAL

Para las organizaciones que requieren investigaciones frecuentes, grandes o más complejas, la función de análisis de inteligencia criminal puede ser
aconsejable. De acuerdo a Marilyn Peterson ex presidente de la International Association of Law Enforcement Intelligence Analysts, el análisis criminal es
“la aplicación de métodos analíticos particulares a la información recolectada para...investigación criminal o búsqueda criminal” y es “practicada en las
fuerzas policiales...y en las organizaciones de seguridad privada alrededor del mundo” (M. Peterson, 1998, p.11).

1.3.11 PROTECCIÓN DE LA INFORMACIÓN INVESTIGATIVA

Un aspecto importante de la gestión investigativa, la cual a menudo recibe menos atención de la que merece, particularmente en el sector privado, es la
protección de la información de las investigaciones de casos específicos. La protección de esa información es importante debido a la posibilidad de que su
compromiso pueda dañar la futura efectividad de los investigadores o de la UI involucrada, conduzca a potenciales responsabilidades civiles contra la
organización, dañe la reputación y carrera de las personas (como sujetos, testigos, entrevistados, gerentes, compañeros de trabajo, etc.), y dañe las
relaciones de enlace importantes. Además, el manejo inapropiado de información investigativa puede activar el rumor, perjudicando la investigación, los
precios de las acciones, la participación en el mercado y la reputación corporativa. En muchas jurisdicciones, las investigaciones que involucran
información electrónica documentada y otras, requieren protección y seguridad extraordinaria. Las organizaciones y los investigadores están sujetos a
sanciones reglamentarias si no toman las medidas apropiadas para asegurar la información personal obtenida de las investigaciones y la vigilancia. En la
mayoría de los países europeos, Australia y Canadá, las investigaciones están sujetas a estrictas leyes que gobiernan la privacidad de la información
personal de un individuo.

Las aplicaciones donde es particularmente importante la protección de la información investigativa incluyen a las siguientes:

• casos en los que los sujetos son altos ejecutivos o personas de alto perfil
• las fuerza de tarea conjuntas
• investigaciones importantes de cumplimiento o de regulación
• casos relacionados con temas sensibles, como terrorismo, pornografía infantil, violencia en el lugar de trabajo, grandes fraudes o seguridad de los
productos

• casos que involucran información definida como protegida, información personal que requiere medidas de seguridad en virtud de la legislación de
privacidad (como en Canadá, Reino Unido, la Unión Europea y Australia)
Es particularmente difícil proteger la información investigativa en las fuerza de tarea conjunta, ya que por lo general cada agencia participante tiene
diferentes políticas, definiciones, perspectivas y actitudes hacia lo que es sensible y merece protección (K. Peterson, 2002-2005).

De hecho, la protección de la información crítica es un elemento clave de cualquier investigación. Esto es cierto incluso en las BI del personal, como queda
de manifiesto en el principio ampliamente conocido de que el investigador no revela la información negativa recibida de sus entrevistados o de otras
fuentes subsecuentes de los entrevistados.

Junto con los protocolos formales (como los sistemas de clasificación de gobierno), la seguridad operacional y seguridad de las operaciones representan
medios eficaces para identificar y proteger la información investigativa valiosa. La seguridad operacional es la totalidad de toda la seguridad y medidas de
planificación empleadas para asegurar un resultado exitoso de una operación o actividad en particular, así como de la protección de los investigadores
involucrados. Eso incluye medidas tales como historias de fachada, respaldos (acciones tomadas para apoyar las fachadas o identidades inventadas),
protocolos de comunicaciones, planes de infiltración de agentes, contra-vigilancia, seguridad de reunión encubierta (medidas para encubrir una reunión
secreta), el uso de carding (la práctica de mantener los datos sobre las fuentes de información) y supervisión técnica. En el sector público y en el privado, la
seguridad operacional generalmente se aplica a las actividades especiales, tales como operaciones encubiertas o de señuelo (revisar el Capítulo 2 para
mayores detalles relacionados con las investigaciones encubiertas).

Por el contrario, la seguridad de las operaciones (OPSEC de ahora en adelante, por sus siglas en inglés) es un método simple y sistemático de empleo de
medidas para proteger la información crítica (Interagency OPSEC Support Staff, 2000). El proceso OPSEC incluye cinco pasos cíclicos:

• Identificar activos (información crítica).

• Definir la amenaza (recolectores, capacidades, motivaciones).
• Evaluar las vulnerabilidades.
• Analizar el riesgo (impacto, prioridad, contramedidas existentes, etc.).

• Desarrollar e implementar contramedidas.

Un paso clave, pero que con frecuencia se pasa por alto, es determinar realísticamente en cada fase de la investigación u operación, qué información es
sensible y, por lo tanto, merece protección. Este es el proceso para definir la información crítica. En el caso de las operaciones de fuerza de tarea conjunta,
por ejemplo, se debe realizar un proceso deliberado al inicio para definir la información crítica y llegar a un acuerdo entre todas las agencias participantes.

La definición de la amenaza consiste en identificar, dentro de lo razonable, todos los potenciales recolectores de información o adversarios que pueden
apuntar a una investigación u operación utilizando medios legales o ilegales. Los siguientes están entre los candidatos más probables como potenciales
adversarios:

• individuos u organizaciones con un interés en el resultado de la investigación

• amigos o simpatizantes del sujeto de la investigación
• cómplices aún no identificados (individuos y organizaciones)
• medios de noticias y simple curiosidad pública (especialmente en casos de alto perfil)
• potenciales falsificadores u otras personas involucradas en prácticas ilícitas similares
Una regla de oro importante es nunca subestimar hasta dónde puede llegar el adversario para obtener lo que desea. Muchos elementos criminales (y otros)
aplican las mismas técnicas de recolección y vigilancia humana que utilizan los organismos encargados de hacer cumplir la ley y los investigadores
legítimos (Interagency OPSEC Support Staff, 2000). Ellos pueden vigilar las comunicaciones (radio, teléfono fijo, teléfono móvil, etc.), recolectar
información de los tribunales y procedimientos, realizar ingeniería social, explotar oficinas de relaciones públicas, usar fuentes abiertas (tales como fuentes
de noticias e Internet), reunir información desde la basura y de los equipos objetivo.

Las vulnerabilidades pueden ser directas (como la interceptación física o electrónica de información investigativa) o indirectas (como el aumento de
actividad en el departamento de seguridad justo antes de una operación importante). Ambas deben ser consideradas cuidadosamente. Los investigadores
deben preguntarse a sí mismo si están exhibiendo patrones previsibles de comportamiento o haciendo algo que podría ser usado por el adversario para
bloquear el éxito de su operación (Interagency OPSEC Support Staff, 2000).

Un análisis de riesgos –basado en la naturaleza de la información crítica, las amenazas creíbles, las vulnerabilidades identificadas y las consecuencias de un
compromiso de la información- asigna niveles de prioridades a los riesgos de la información. Estos riesgos pueden, entonces, ser abordados mediante
contramedidas adecuadas. Esencialmente, una contramedida es algo que anula o reduce la habilidad del adversario para explotar la información o las
vulnerabilidades (Townley, 2003). Las contramedidas típicas incluyen las siguientes:

• restringir las conversaciones a cara a cara lo máximo posible

• limitar el uso de los teléfonos móviles, radio y comunicaciones inalámbricas
• usar la encriptación cuando sea posible
• evitar las conversaciones en áreas públicas como restoranes, aeropuertos, etc.
• seleccionar cuidadosamente los vehículos, técnicas y participantes de las vigilancias

• coordinar estrechamente con las oficinas de relaciones públicas de las agencias y empresas participantes
• aplicar los procedimientos de la “necesidad de saber” dentro de la UI, agencia o empresa
• asegurar adecuadamente la información escrita y los espacios de oficinas
• destruir inmediatamente la basura que pueda contener información sensible
• aplicar buenos procedimientos de seguridad de TI a los sistemas que contienen información sensible
• incluir cláusulas de protección de la información en los acuerdos y contratos de servicios de seguridad o apoyo administrativo
La Figura 1-6 muestra un diagrama de flujo de procesos de aplicación general, describiendo los pasos para proteger la información investigativa.

Las medidas eficaces de protección de información no deben obstaculizar las operaciones investigativas, sino que mejorarlas. Las contramedidas rentables
deben ser utilizadas por todos los participantes en una investigación u operación, así como por todo el que tenga acceso a información relacionada
(Townley, 2003). Esas medidas ayudan a proteger evidencias, garantizar los resultados exitosos de la investigación (incluyendo las condenas) y a proteger
a los individuos y organizaciones.

En resumen, al inicio de una investigación u operación investigativa, es importante definir la información crítica; evaluar las capacidades del adversario y
la motivación para recopilar información en contra de la actividad; determinar los probables (posibles o factibles) métodos de recolección; y aplicar las
contramedidas para prevenir, neutralizar, o mitigar los esfuerzos de recolección.

1.3.12 TRABAJANDO EN UN AMBIENTE MULTICULTURAL O INTERNACIONAL

En el clima de la globalización, los investigadores del sector público y privado deben ser capaces de operar en un ambiente multicultural. La cultura puede
llegar a ser un factor en una investigación en casi cualquier tipo de compañía, industria u organización. Los ejemplos incluyen los siguientes:

• una investigación corporativa dentro de una empresa nacional donde la investigación involucra sujetos o testigos que son de diferentes orígenes
étnicos o son ciudadanos de otro país
• una investigación corporativa que se lleva a cabo (o se siguen pistas) en otro país
• una investigación corporativa que involucra empresas asociadas, subsidiarias, empresas conjuntas (joint ventures), vendedores o proveedores situados
o incorporados en otro país
• investigaciones de due diligence que implican empresas o personas que de alguna manera están asociados con un país extranjero
• una investigación que involucra organizaciones internacionales o multinacionales
• una fuerza de tareas conjunta que involucra agencia de más de un país

Según un profesional de la seguridad que ha trabajado en ambientes multinacionales en el Fondo Monetario Internacional y en las Naciones Unidas, las
diferencias en las investigaciones multinacionales e internacionales caen en una o más de tres categorías: leyes, enlace y enfoque (Nebo, 1999., p.4).

Leyes: Estas varían no sólo de un país a otro, sino también entre jurisdicciones dentro de un país. También pueden ser afectadas por los acuerdos y
regulaciones dentro de entidades regionales, tales como la European Union, North American Free Trade Zone o la Association of South East Asian
Nations. Los investigadores deben estar bien informados y sensibles a las leyes y regulaciones pertinentes –así como a las costumbres- dentro del ámbito
internacional en el cual operan.

Enlace: Tal como otras funciones investigativas, el enlace debe ser enfocado con los factores culturales específicos en mente. Cuando se opera en naciones
extranjeras, el enlace con los organismos locales encargados de aplicar la ley, de seguridad y de inteligencia, son comunes y a menudo una necesidad. La
relaciones con esas agencia pueden ir desde muy cercanas y confiables a extremadamente tenues. Independientemente de ello, trabajar con estas agencias
en general y en casos específicos suele ser recomendable. En la mayoría de los casos, una relación de trabajo cercana con la contraparte extranjera o
agencia de apoyo puede tener beneficios enormes y acelerar en gran medida la resolución exitosa. Sin embargo, antes de que se tome una decisión de
consultar con agencias en países extranjeros, es fundamental una investigación discreta de la reputación y prácticas de esas agencias.

Un equipo de enlace interno también es esencial cuando se trabaja con fuerza de tarea conjuntas multinacionales. La comprensión de las tácticas
investigativas del otro, las restricciones legales y la cultura, contribuyen grandemente a la efectividad de la fuerza de tareas y reduce los esfuerzos en vano
y la duplicación de los esfuerzos. Información adicional sobre el enlace como una fuerza investigativa multiplicadora se entrega en la Sección 1.6.2 Enlaces
en las Investigaciones.

Enfoques: Técnicas investigativas particulares, así como enfoques y estrategias globales, son más apropiadas en algunas culturas y países que en otros. Por
ejemplo, ofrecer dinero por una información puede ser un insulto en algunas culturas, mientras que es prácticamente una necesidad en otros. Se debe
consultar un asesor legal antes de ofrecer dinero por información. Las técnicas de entrevistas, la relevancia de ciertos tipos de evidencias, las operaciones
de vigilancia y las técnicas de vigilancia, todas pueden tener importantes ramificaciones dependientes de la cultura también.

Las naciones difieren drásticamente en cómo interpretan el delito y los asuntos de tecnología. Por ejemplo, no todos los países reconocen el crimen
informático como una amenaza grave. Además, las reglas de evidencias y capacidades técnicas de las agencias de aplicación de la ley pueden variar mucho,
por lo tanto, afectan la capacidad y disponibilidad de las agencias para ayudar en las investigaciones relacionadas con la tecnología. (Nebo, 1999, p.7).

Otro factor es la relación de una nación con otra en materias políticas, diplomáticas o económicas. Si las relaciones entre los gobiernos son menos que
cordiales, esos países y sus representantes pueden estar reacios a cooperar en la investigación o prosecución de crímenes inter-jurisdiccionales.

Las diferencias culturales son el problema de mayor desafío en las investigaciones internacionales. Por lo tanto, el investigador encargado de apoyar la
actividad investigativa en un ambiente multinacional o internacional debe entender la diversidad cultural en general, así como los asuntos culturales y
legales específicos correspondientes ese país o grupo étnico (Nebo, 1999, p.13).

1.3.13 GARANTIZAR UNA ADECUADA CONCLUSIÓN DEL CASO

El objetivo general es el resultado exitoso de una investigación o resolución de un caso (ya sea que el sospechoso identificado sea implicado o exonerado).
La mejor manera de ayudar a garantizar una conclusión del caso apropiada es centrarse en las cualidades básicas de una investigación: objetividad,
exhaustividad, relevancia, exactitud y oportunidad. Los gerentes de investigaciones también deben centrar la atención en los aspectos legales, como las
licencias y responsabilidades; los aspectos técnicos, como las técnicas de investigación apropiadas y la protección de la información investigativa; y la
gestión, como una efectiva coordinación, documentación y presentación del caso. Al equilibrar cuidadosa y eficazmente estos aspectos clave, la gestión
puede ayudar a garantizar el éxito de la resolución del caso y la protección de los activos organizacionales.
1.4 TIPOS DE INVESTIGACIONES

Como se mencionó en la Sección 1.3, la mayoría de las UI ponen el acento en uno o unos pocos tipos particulares de casos, los cuales representan sus
materias más prevalentes o la mayor parte de su carga de trabajo. Los tipos de casos típicos en un entorno empresarial y organizacional se enumeran en esa
sección. Algunos tipos de casos, no obstante, merecen una discusión específica. Por ejemplo, las investigaciones de antecedentes (background
investigations) merecen una detallada discusión, ya que representan una función investigativa distinta en términos de método, recursos, informes,
disposición del caso y aspectos legales asociados (consultar el Capítulo 4 para mayores detalles respecto a las investigaciones de antecedentes). En todos
los casos, las investigaciones eficaces y confiables son oportunas y exactas. Aunque algunas discusiones están más detalladas que otras, cada una de las
siguientes subsecciones discute cómo se diferencia el tipo de caso, qué técnicas especiales podrían aplicarse, y los problemas asociados de los que los
investigadores y gerentes de UI deben estar conscientes.

1.4.1 INVESTIGACIÓN DE INCIDENTES

El evento de iniciación en una investigación de un incidente en el sector privado generalmente es un reporte del incidente de la fuerza de seguridad. En el
A, al final de este capítulo, se muestran dos ejemplos de formatos de reportes de incidentes usados comúnmente por las fuerzas de seguridad en las
instalaciones comerciales y gubernamentales. Otros eventos de iniciación de investigaciones de incidentes incluyen las reclamaciones directas, las llamadas
a la línea directa, y las auditorías o evaluaciones de seguridad. Por esta razón, algunas veces son denominadas investigaciones por reclamos.

Este es el tipo más común de investigación en muchas empresas y estructuras organizacionales. De hecho, las investigaciones de incidentes son necesarias
en casi todas las organizaciones, muchas de las cuales no mantienen unidades o capacidades de investigaciones formales. Por lo tanto, este tipo de
investigación, por lo general, la lleva a cabo un supervisor de seguridad o el director de seguridad, en lugar de un investigador profesional a tiempo
completo.

Se recomienda una orientación de procedimientos detallada y directa para las investigaciones de incidentes. Las listas de verificación, formularios y un
manual de investigación de incidentes, deben ser adaptados a la organización y estructura, de modo que puedan cumplir con las necesidades particulares de
la entidad, ser consistentes con la cultura de la organización y satisfacer los factores legales aplicables.

Al igual que las BI, las investigaciones de incidentes requieren un enfoque particularmente metódico y sistemático, mientras que otros tipos de
investigaciones a menudo claman por una estrategia más creativa de resolución del problema, o un enfoque flexible basado en la situación. Las empresas y
organizaciones, especialmente aquellas sin una UI o un investigador a tiempo completo, deben desarrollar procedimientos sencillos (protocolos) para llevar
a cabo e informar sobre investigaciones de incidentes. Aquellas que tienen UI podrían considerar el establecimiento de directrices (o incluir las directrices
en sus declaraciones de políticas para investigaciones) para delinear las responsabilidades para esas investigaciones. La siguiente es una directriz de
muestra:

Los siguientes incidentes serán investigado por o con el auspicio del supervisor jefe de seguridad:

Robo (pérdida estimada ≤ $1000)

Pérdida desconocida (pérdida estimada ≤ $1000)
Asalto simple
Peligro para la seguridad Accidente de vehículo
Daño a la propiedad o vandalismo (pérdida estimada ≤ $1000)
Zona insegura

Las siguientes situaciones serán remitidas a la Unidad Investigativa para la acción:

Robo (pérdida estimada > $1000)

Pérdida desconocida (pérdida estimada > $1000)
Asalto grave
Daño a la propiedad o vandalismo (pérdida estimada > $1000
Mala conducta de los empleados
Mala conducta de los ejecutivos
Violencia en el lugar de trabajo (real o potencial)
Acoso sexual
Agresión sexual
Pérdida de información confidencial
Fraude o delito económico
Irregularidades contractuales
Zona insegura o entrada forzada

Los umbrales precedentes también pueden aplicar a las fuerzas del orden o recomendación legal. Incluso si existe interés de las fuerzas del orden, puede
tomar un esfuerzo considerable establecer la existencia de un crimen específico o iniciar realmente una investigación criminal. Esta situación varía de una
jurisdicción a otra y puede depender de factores tales como el énfasis de las fuerzas del orden, las capacidades, la carga de trabajo y la experiencia anterior.
En muchas jurisdicciones, las UI de la policía están sobrecargadas de trabajo y, por lo general, no harán una investigación a menos que implique una clara
amenaza al orden público o una pérdida sobre un determinado umbral. Cada empresa debe establecer sus propios umbrales de pérdida para determinar si
corresponde una investigación y, si es así, cuáles deben ser sus parámetros.

Los mismos hechos que establecen un crimen también pueden establecer un agravio u otra conducta civil procesable. Una entidad con fines de lucro puede
estar tan interesada en soluciones civiles como en condenas penales. En cualquier caso, penal o civil, es necesaria una investigación exhaustiva y exacta.
Por ejemplo, durante una investigación de malversación, los desembolsos en efectivo son la forma más común de malversación en el lugar de trabajo. Por
lo tanto, debe ser revisado el libro de cuentas por pagar que refleje las fechas y cantidades pagadas a los proveedores de la empresa. Además, los resultados
investigativos pueden ser cruciales en cualquier procedimiento administrativo o de personal. La unidad investigativa puede trabajar con los departamentos
para garantizar que hay una separación de funciones, de modo que un empleado de cuentas por pagar no tenga acceso a agregar o borrar nombres del
archivo maestro de vendedores.

Proceso Investigativo para Investigaciones de Incidentes

Los protocolos investigativos deben ser aprobados por la gerencia ejecutiva con el fin de darle credibilidad y autoridad al proceso, independiente de si la
organización tiene una UI separada o un investigador a tiempo completo. Un protocolo generalmente debe incluir una matriz lógica de decisión, para
identificar rápidamente quién tiene la responsabilidad de la investigación, quién debe ser notificado y si se remite inmediatamente a las fuerzas policiales o
al departamento legal. El protocolo debe entonces describir los pasos investigativos prescritos.

Los siguientes ejemplos proporcionan una idea general de contenidos recomendados para un protocolo:

• Evaluar la credibilidad de la fuente de información y la información misma.

• Determinar si existen evidencias físicas que merezcan ser recolectadas (v.gr. ¿Hay una escena para ser procesada?).
• Realizar entrevistas iniciales a los testigos.

− Dar prioridad a aquellos que estaban directamente involucrados en el incidente o pueden tener información perecedera.

− Dar prioridad a aquellos que pueden no estar disponibles posteriormente para una entrevista (por ejemplo, visitantes, empleados con un viaje o
asignación programada, informantes sólo temporalmente en el área, etc.).

− Obtener recomendaciones para seguir con las entrevistas (es decir, averiguar quién más debe ser entrevistado y obtener su identificación o
información de contacto.

• Documentar individuos (entrevistados, espectadores, etc.) que declinaron ser entrevistados o que no estaban disponibles para la entrevista.
• Documentar otras condiciones situacionales o ambientales relevantes.
• Listar todo el personal de seguridad, corporativo y otros oficiales que estuvieron involucrados en la respuesta inicial, evaluación y pasos
investigativos.
• Realizar entrevistas a terceros (de individuos o agencias que no fueron testigo del incidente o no estaban presente pero pueden tener información
relevante).
• Revisar los índices de seguridad y de investigaciones o las bases de datos para obtener información relevante.
• Elaborar y documentar todas las notificaciones sobre el incidente.
• Determinar vacíos de información e identificar las fuentes o métodos que puedan llenar esos vacíos (a través de entrevistas, recolección de
evidencias, vigilancia, observación, investigación, revisión de registros, etc.)
• Recomendar la siguiente acción o referirlo.
• Completar la documentación apropiada y la base de datos.
Los oficiales de seguridad y el personal deben recibir capacitación en los protocolos de investigación aplicables, incluyendo la necesidad de proteger la
información. Se debe tener especial cuidado con la línea directa o los llamados de denuncias. A los que llaman se les debe hacer sentir que la información
que entregaron es importante y apreciada y que el tema será investigado. No hacerlo puede desalentar futuros reportes de información valiosa. Al mismo
tiempo, la potencial información sensible no debe ser entregada a los denunciantes u otras personas, porque las denuncias pueden llevar a la iniciación de
operaciones encubiertas u otras actividades investigativas que deben mantenerse confidenciales.

El informe de investigación para este tipo de pesquisa es, por lo general, un formulario estandarizado. Es particularmente importante que los informes sean
archivados apropiadamente o ingresados en una base de datos para que la información que contienen sea recuperable posteriormente. Los informes deben
señalar si se requiere o recomienda un seguimiento, y si se requiere o aconseja referirlo a la UI o a una empresa de servicios de investigación externa, o a
los organismos de cumplimiento de la ley.

1.4.2 INVESTIGACIONES POR MAL COMPORTAMIENTO

Una importante subcategoría de investigaciones de incidentes constructivas es la investigación de mal comportamiento. Esta es generalmente una
investigación interna realizada cuando un empleado, u otra persona estrechamente asociado con la organización, es sospechoso de violar una política
corporativa escrita, una directiva, las condiciones del empleo, o una ley federal, estatal o local.

Una característica importante de las investigaciones de mal comportamiento en el trabajo es que dejan al empleador particularmente expuesto a acciones
legales por parte de los empleados o antiguos empleados que sienten que han sido tratados injustamente. Entre las causas de acciones legales están la
discriminación, el despido injustificado, el acoso sexual, la difamación y la detención ilegal. La mejor manera de prepararse para esas investigaciones es
coordinar la materia, tan pronto como sea posible, con el director de recursos humanos y el asesor legal de la empresa (o su equivalente). Esta
recomendación se aplica a la mayoría de los tipos de investigaciones del sector privado, pero es particularmente importante para los casos de mal
comportamiento de los empleados.

Técnicas Investigativas y Problemas en los Casos de Mal Comportamiento

En general, aquellos implicados en una investigación de mal comportamiento deben considerar las diferentes perspectivas de las partes en ambos lados –
demandante y sujeto. Desde la perspectiva del empleador, el problema es una política de rutina o un asunto disciplinario. Desde la perspectiva del sujeto,
puede ser una situación traumática. Los sujetos pueden sentir que sus carreras, sustento y reputación están en riesgo.

Los investigadores con experiencia no usan técnicas que puedan inducir a una persona inocente a confesar culpabilidad. El uso de técnicas de entrevista
coercitivas pueden dañar significativamente la reputación de equidad en un entorno corporativo –y así se daña la credibilidad y la confianza en la UI y en
un investigador individual. Algunas personas son fácilmente intimidadas y, aunque inocentes, pueden confesar crímenes y maldad cuando son confrontados
con infundadas promesas de indulgencia o evidencias fabricadas y supuestamente apabullantes. El empleo de técnicas inapropiadas y la falta de protección
de información personal o confidencial durante la investigación puede llevar a una situación embarazosa para la corporación, conclusiones investigativas
erróneas y demandas judiciales contra la empresa.

Las prácticas sugeridas en las investigaciones de mal comportamiento incluyen las siguientes:

• Determinar el resultado propuesto o la acción disciplinaria (si se prueba la denuncia) al inicio de la investigación. Esto ayuda a evitar las
reclamaciones de discriminación personal o la apariencia de que la acción prevista fue modificada durante el curso de la investigación sobre la base
de qué o quién se demostró que estaba involucrado.

• Usar fuentes de información internas y externas a la organización, para ayudar a probar o refutar las acusaciones. Depender únicamente de fuentes
internas puede limitar el alcance de la información recopilada y puede ocultar hechos o datos de puntos críticos.
• Reunir información relevante de empleadores anteriores del individuo en cuestión. La información puede mostrar patrones de comportamiento y
revelar información importante que puede ser usada para dirigir los esfuerzos investigativos, fortalecer el caso, explicar hechos conocidos existentes
y proporcionar pistas adicionales. Las altas tasas de rotación, común hoy en día, hacen aun más importante realizar comprobaciones exhaustivas y
considerar entrevistar a compañeros de trabajo anteriores, supervisores, colegas y otros relacionados.
• Incluso en los casos que no implican abuso del sistema de TI, considerar la recolección de evidencias electrónicas, como los registros de e-mail,
solicitudes de acceso, inicios de sesión, descarga de archivos y sesiones de acceso remoto.
Finalmente, se deben considerar los potenciales efectos secundarios de una investigación de mal comportamiento y la forma en que es conducida. Por
ejemplo, cuando se decide usar vigilancia (monitor encubierto para lograr inteligencia), es importante recordar que es difícil y vulnerable el descubrimiento
si se realiza en movimiento. Sin embargo, una vigilancia abierta, cuyo principal objetivo es evitar el crimen o mal comportamiento, puede ser eficaz. Los
efectos pueden incluir la disminución de la productividad de la fuerza laboral, relaciones tensas entre las oficinas y amenazas e intimidación. Una
investigación interna (o incluso el rumor de una) puede volver a los trabajadores contra los compañeros de trabajo, crear otras fricciones en la oficina y
tener un impacto a corto o largo plazo en el nivel de confort del lugar de trabajo y en las relaciones de confianza. A pesar de no se puede permitir que
potenciales efectos secundarios dicten la agresividad o el resultado de una investigación interna, se deben considerar en términos de estrategia global
investigativa, difusión de la información, tratamiento de las personas y conducta profesional de aquellos implicados en el caso.

Ejemplos de Tipos de Casos de Mal Comportamiento

A menudo las investigaciones de mal comportamiento se centran en los conflictos de interés, abuso de recursos corporativos, robo de empleados, violencia
en el lugar de trabajo y abuso de sustancias. Para cada problema, la existencia de una actitud hacia una determinada política de la empresa es fundamental
para la detección, los resultados exitosos de las investigaciones y la validez legal.

Varias características de la política corporativa pueden ayudar a la protección de los activos de la empresa, así como a los derechos de las personas que
pueden ser acusadas o implicadas en irregularidades. De acuerdo al comentarista (Rudewicz, 2004, pp. 46-49), es importante que la gerencia tenga políticas
claras y que “garantice que ningún empleado o gerente pueda afirmar, en forma verosímil, que no ha sido bien informado de su significado y
consecuencias”. Además, esas políticas deben “alentar o exigir a los empleados ayudar a la compañía a detectar tempranamente signos claros de
advertencia de otros trabajadores, vendedores o clientes, informando amenazas sospechosas o comportamientos inadecuados” y debe “establecer que el
empleado está obligado a cooperar” en cualquier investigación, incluyendo las de casos de mal comportamiento.

Además de una buena política y claramente comunicada, el proceso investigativo mismo también es fundamental para disuadir, detectar y resolver malos
comportamientos. De hecho, “si bien algunos tipos de investigaciones están prohibidas por la ley, otras son obligatorias. Por ejemplo, los cargos de acoso
deben ser investigados” (Goemaat, 2004, p.54). El gerente de la UI debe familiarizarse con las prohibiciones y requerimientos investigativos a nivel
internacional, federal y local. Además, “Antes de realizar una investigación de la conducta de un empleado, el empleador debe determinar si la conducta es
un tema legítimo de disciplina y si la investigación está bajo las leyes estatales y federales” (Goemaat, 2004, p.57). Algunos factores para tomar la
determinación incluyen si el incidente ocurrió dentro o fuera de la propiedad del empleador, si la conducta del empleado fue durante su horario de trabajo o
fuera de él y si el ofensor se representaba a sí mismo o como representante de la organización.

Una vez que se ha iniciado una investigación, la compañía debe tomar varias decisiones. Estas decisiones incluyen si la ofensa o infracción ocurrió
realmente, si es requisito o apropiado informarla a los organismos de aplicación de la ley, y cómo fue notificado el empleado del descubrimiento y de las
acciones a tomarse. (Ray, 2003, p.58). Esas decisiones generalmente se hacen mientras procede la investigación y se logra una estrecha coordinación con el
asesor legal y otros funcionarios de la organización.

Conflicto de Interés: La definición de este tipo de casos puede variar ampliamente y ser influenciada por la misión, estructura y cultura de la organización.
Generalmente, los problemas de conflicto de interés están claramente definidos en las políticas de la empresa y en los materiales de los empleados. Desde
una perspectiva legal, es esencial que todos los empleados y afiliados (consultores, contratistas, subcontratistas, vendedores, etc.) estén plenamente
conscientes de las definiciones de conflicto de interés, las políticas y las consecuencias. En los casos en que un investigador tiene un conflicto de interés,
este debe ser informado al cliente y el investigador no debe asociarse con esta tarea de ninguna manera.

Abuso de Recursos Corporativos y Robo de Empleados: Este fenómeno representa una pérdida significativa y, por lo tanto, es importante desde una
perspectiva investigativa corporativa. Los siguientes están entre los problemas que pueden ser abordados como abuso o mal uso de los recursos
corporativos:

• uso personal del teléfono o de los sistemas de TI

• uso inapropiado de los sistemas de TI (por ejemplo, descargar pornografía, acceder a información no autorizada, envío de correos no solicitados
(spamming), suplantación de identidad (phishing), etc.)
• uso personal de los vehículos de la empresa
• uso no autorizado o inapropiado de información de la empresa
• uso inapropiado de las aeronaves de la empresa
Las principales características del robo interno incluyen la distracción, conversión, encubrimiento y divergencia. Adicionalmente, los robos internos,
motivados por condiciones económicas, siguen siendo una importante fuente de pérdidas en todo el mundo. De acuerdo a la National Retail Security
Survey, 2002, los gerentes de seguridad del comercio minorista (retail) atribuyeron más del 48,5 por ciento de sus pérdidas al robo de los empleados, un 46
por ciento más que el año anterior. Más aún, el robo interno de los empleados le cuesta a los minoristas un récord de 15 billones de dólares (University of
Florida, 2002).

Violencia en el Lugar de Trabajo: Las investigaciones deben ser consideradas un componente dentro de un programa global de
prevención/respuesta/recuperación para la violencia en el trabajo. Al igual que la mayoría de los problemas de mal comportamiento, los incidentes de
violencia en el trabajo suelen ir precedidos por indicadores o señales de advertencia (que por lo general son reconocidas, desafortunadamente, sólo después
del hecho). La mejor prevención para la exposición a la violencia en el trabajo es un programa de investigación de antecedentes previo al empleo. A falta
de esto como medida preventiva, las investigaciones deben iniciarse tan pronto como sea posible cuan se informan signos de alerta. Dependiendo del nivel
de la amenaza y de otros factores, puede ser conveniente suspender simultáneamente al sujeto de la investigación Rudewicz, 2004, p.49).

Abuso de sustancias: Según fuentes del gobierno de Estados Unidos, el abuso de sustancias en el lugar de trabajo le cuesta a las empresas estadounidenses
de 81 a 100 billones de dólares anualmente. Estos costos incluyen el ausentismo, disminución de la productividad, accidentes, robo y un aumento en los
costos de atención de salud. El abuso de sustancias en el lugar de trabajo también puede representar una amenaza a la seguridad pública y a la seguridad en
el trabajo, causar problemas entre los compañeros de trabajo y llevar al tráfico de drogas en el trabajo (U.S. Department of Labor, 2005) (Drug
Enforcement Administration, 2003).

Algunas fuentes también sugieren que, si bien los empleados debieran ser alentados a hacer uso de los programas de apoyo al empleado de la empresa
(EAP de ahora en adelante, por sus siglas en inglés), el inicio de una acción disciplinaria que sigue a la infracción por droga o alcohol, no puede ser
pospuesta durante la participación del empleado en el programa (Drug Enforcement Administration, 2003). En Canadá, un empleado con abuso de
sustancias se considera que tiene una discapacidad física y el empleador debe estar consciente de los requisitos legales para darle un tiempo razonable al
empleado (por ejemplo, EAP y tiempo para la recuperación).

En todo tipo de investigaciones, las acusaciones falsas representan una molestia importante para la UI y consume recursos investigativos valiosos. Además,
pueden dañar la reputación de las personas, causar desconfianza dentro de la organización y afectar la moral de los investigadores.

Las acusaciones falsas pueden ser no intencionales, sino producto de la mala interpretación del observador de ciertas acciones, como un delito donde, de
hecho, realmente no hubo delito o no se cometió una infracción. Las denuncias falsas también pueden ser intencionales, como producto de un denunciante
perturbado que intenta llamar la atención, obtener revancha o cubrir una falta propia (desviando la atención hacia otra persona para evitar ser descubierto o
una acción adversa).

Los investigadores deben seguir todas las pistas investigativas razonables para resolver el problema, crean o no que podría ser una falsa denuncia. No
obstante, los profesionales de la seguridad y de investigaciones deben mantenerse alerta a la posibilidad de falsas denuncias y estar preparados pata tomar
acciones apropiadas en respuesta.

1.4.3 INVESTIGACIONES DE CUMPLIMIENTO

Las investigaciones sobre cumplimiento comparten muchas características con las investigaciones de incidentes y mal comportamiento y, de hecho, pueden
caer en cualquiera de esas categorías. Los problemas de cumplimiento son cada vez más significativos para las organizaciones, así como las personas que
las dirigen.

A la luz de los recientes escándalos corporativos y al aumento de la normativa de gobierno, las empresas están adoptando un enfoque más proactivo para
identificar y responder a actos ilícitos. De acuerdo a un profesional de privacidad y cumplimiento, de una de las compañías de telecomunicaciones más
grandes de U.S., tener una capacidad interna para investigar problemas de cumplimiento tiene buen sentido para el negocio. Los miembros del equipo
deben ser capacitados en los temas regulatorios actuales y en métodos investigativos, y tener sólida comprensión de las prácticas de negocios y
procedimientos en su industria y en los negocios en general. Incluso las empresas pequeñas y medianas están recurriendo, en forma creciente, a programas
de cumplimiento formales y a UI internas para limitar sus riesgos de exposición a las investigaciones gubernamentales (Garcia, 2000, pp.2 y 7).

Con la nueva legislación post-Enron, como la Ley Sarbanes-Oxley y las recientemente directrices mejoradas del U.S. Federal Sentencing Guidelines for
Organizational Crime, los programas corporativos de cumplimiento cobran aún mayor énfasis y visibilidad ejecutiva. El propósito de un programa
corporativo de cumplimiento es proteger la organización contra violaciones a la ley, faltas a la ética de negocios y sanciones legales concomitantes. Un
programa efectivo alienta, refuerza, supervisa y entrena al empleado (Garcia, 2000, p.11).

Al igual que otros problemas investigativos, un programa de cumplimiento debe ser construido sobre políticas corporativas claras, por lo general
formuladas dentro de un código de conducta general. Los siguientes son algunos problemas de políticas que pueden ser cubiertos en una organización bajo
un código de conducta de cumplimiento:

• igualdad de oportunidades en el empleo

• acoso
• seguridad en el lugar de trabajo
• información confidencial y de propiedad
• derechos de autor, patentes y marcas
• registros y propiedad de la empresa
• sistemas informáticos, acceso a la información y usos autorizados
• conflictos de interés

• entidades gubernamentales
• violaciones antimonopolio
• actividades políticas e intentos de influenciar
• requerimientos de seguridad de varias jurisdicciones
• violaciones regulatorias
Debido a que los problemas de cumplimiento pueden dañar los resultados financieros de una empresa, es importante que los empleados sean entrenados y
se familiaricen con las violaciones a los códigos, de modo que puedan identificar inmediatamente cuando se ha producido una violación y sepan a quién
reportar el problema (García, 2000, p.6).

Un elemento clave de un programa de cumplimiento es un mecanismo efectivo de reporte. Como señala García “El desafío más grande en los problemas de
investigaciones de cumplimiento es hacer que los empleados reporten las irregularidades en cualquier nivel de la organización...Debe haber una forma de
reportar las violaciones y tener un mecanismo para investigar estas denuncias” (García, 2000, p.5). Muchas organizaciones tienen una línea directa para
empleados, pero eso tiene escollos. Muchas líneas directas pueden ser confusas y la falta de reacción o de seguimiento puede desalentar a la gente de hacer
denuncias. (Algunas empresas han separado las líneas directas para violaciones regulatorias; fraude, desechos y abuso; violaciones de seguridad; riesgos de
seguridad ocupacional; y problemas de gestión). Cuando se combina una línea directa consolidada con operadores profesionales con un buen
entrenamiento, con un sistema eficaz de distribución y seguimiento, generalmente resultará en un sistema de denuncia de alta calidad, válido y útil. Esta
línea directa puede ser administrada internamente o mediante una empresa externa (suele ser más rentable). Una ventaja del uso de empresas externas es
que los empleados pueden sentirse más confiados de que sus voces no serán reconocidas. Una línea directa eficaz puede reducir significativamente las
pérdidas en la mayoría de los ambientes corporativos y organizacionales. La eficacia de la línea directa puede ser mejorada en gran medida a través de un
programa de sensibilización que se comunique con todos los grupos de empleados, por medio de tarjetas de bolsillo, insertos en la nómina de sueldos,
noticias en los recibos de las nóminas de sueldo y señalización en las áreas de trabajo y las salas de descanso.

Un artículo en el National Law Journal señala que una vía efectiva de denuncias, como una línea directa, no sólo demuestra el nivel de importancia que la
empresa da al cumplimiento, sino también proporciona a la compañía información que puede ser usada para prevenir futuras pérdidas (Ackerman, 2004).

Una vez que sale a la luz información creíble, indicando que una violación ha ocurrido, una investigación exhaustiva recopila y correlaciona los hechos del
caso. Según García, las investigaciones generadas internamente en el ámbito empresarial tienden a ser más amplias en alcance que las investigaciones de
los organismos encargados de hacer cumplir la ley y las investigaciones de agencias reguladoras de gobierno. Por lo general, los casos que implican
violaciones de políticas o procedimientos internos no enfrentan el escrutinio judicial de una investigación criminal, y puede abordar un amplio rango de
problemas que implican prácticas de negocios de la empresa. Por otro lado, los casos que se llevan adelante debido a una violación de gobierno (como el
uso información privilegiada o violaciones a la Federal Communications Commission) tienden a ser de menor alcance, debido a las restricciones legales,
aunque pueden involucrar sanciones criminales severas (García, 2000, p.8).

Las entidades corporativas no sólo proveen de capacidades investigativas internas, sino que también están preparadas para cooperar con las investigaciones
llevadas a cabo por los organismos encargados de hacer cumplir la ley o las agencias reguladoras de gobierno. Esto es incluso más importante a la luz de
las directrices revisadas de la Federal Criminal Sentencing Guidelines. Según esas directrices, la culpabilidad de una organización en el caso de una
infracción criminal disminuye al tener un programa eficaz de detección y prevención de violaciones (RSA Security, 2000, p.4). De hecho, “Las directrices
para imposición de sentencias han llegado a ser estándares universalmente aceptados para los programas corporativos de cumplimiento” (Ackerman, 2004).

Las directrices dan un periodo razonable para llevar a cabo una investigación interna y asumir que la cooperación de la empresa será oportuna y exhaustiva
(United States Sentencing Commission, 2002). Sin embargo, las directrices también establecen lo siguiente (United States Sentencing Commission, 2004,
p.1):

El incumplimiento de las normativas gubernamentales aplicables y de los estándares de la industria y la recurrencia de faltas similares, socaban la posibilidad de crédito de
cumplimiento de una organización...Las directrices imponen multas altas a las organizaciones que, o tienen programas significativos para prevenir y detectar conductas
criminales, o en las cuales la gerencia estuviera implicada e el delito.
La Figura 1-7 contiene agencias a nivel internacional y también a nivel federal, estatal y local en Estado Unidos, que pueden tener un interés, función o
misión de ejecución en las investigaciones de complimiento en el ámbito empresarial.

1.5 TÉCNICAS Y HERRAMIENTAS DE INVESTIGACIÓN

Esta sección describe las principales técnicas y herramientas empleadas por los investigadores en el desarrollos de sus funciones. Su objetivo es asesorar a
los gerentes, jefes de unidades y directores de seguridad en los métodos generales empleados en investigaciones. La técnicas investigativas están sujetas a
políticas y normativas aplicables a la UI en particular y a la jurisdicción en la cual opera. Los investigadores deben ser capacitados exhaustivamente en
investigaciones básicas y en cualquier área de especialidad relevante, y en las restricciones legales a las cuales están sujetas.

1.5.1 ENTREVISTA E INTERROGATORIO

El éxito de un investigador a veces es medido por su habilidad para entrevistar o interrogar personal. Mientras las técnicas pueden ser aprendidas, las
habilidades necesarias para ser un investigador exitoso pueden tomar años en ser desarrolladas (consultar el Capítulo 5 para mayores detalles en relación a
las técnicas de entrevistas e interrogatorios).

1.5.2 REVISIÓN DE REGISTROS Y BASES DE DATOS

La revisión de registros y bases de datos representan un elemento clave en casi todas las investigaciones. Una excelente referencia para información sobre
técnicas y recursos para revisión de registros es Derek Hinton, Criminal Records Manual - Criminal Records in America: A Complete Guide to the Legal,
Ethical, and Public Policy Issues and Restrictions, Third Edition (Tempe, Arizona: Facts on Demand Press, 2008). El libro está disponible en la librería de
ASIS y de otros vendedores.

1.5.3 RECOLECCIÓN Y MANIPULACIÓN DE EVIDENCIAS

La recolección, manipulación, procesamiento y uso de evidencias es un componente clave de las investigaciones. Los procedimientos adecuados en la
recopilación, protección, revisión, almacenamiento y presentación de evidencias es crucial para la resolución exitosa del caso. Algunos casos son resueltos
rápidamente con una acción de despido del empleo, restitución o ambas. Otros casos pueden proceder a través del sistema judicial y algunos pueden no ir a
juicio durante años. Las tareas de evidencias pueden ser tediosas y de uso intenso de recursos (incluyendo el posible consumo de una gran cantidad de
espacio de almacenamiento seguro). No obstante, las evidencias físicas, técnicas y otras formas de evidencias, pueden ser absolutamente fundamentales
para la resolución del caso y resultar en determinaciones de acciones (judiciales, administrativas, etc.) en todas las estructuras investigativas.
1.5.4 VIGILANCIA

El Security Dictionary define vigilancia, en parte, como “observación del comportamiento de otro, generalmente en secreto” (Fay, 2000, p.239). El objetivo
principal de la vigilancia es obtener información sobre identidades o actividades de quienes están bajo investigación. Es esencial que se tomen notas
durante la vigilancia. La vigilancia, una herramienta investigativa clave, puede ser descompuesta en tres grandes categorías, física (es decir, observación
humana o seguimiento), psicológica (es decir, análisis del comportamiento) y la información (es decir, técnica o electrónica). La vigilancia se usa
extensivamente en las investigaciones públicas y privadas. Ejemplos de métodos efectivos son el método ABC en la realización de vigilancia a pie y de
puntos de control en la vigilancia móvil.

1.5.5 INFORMÁTICA FORENSE

Electronic Crime Scene Investigation: A Guide for First Responders (National Institute of Justice, 2001, p. 2) describe las evidencias electrónicas de la
siguiente manera:

La evidencia electrónica es información y datos de valor investigativo que se almacena en o es transmitida por dispositivos electrónicos. Como tal, la evidencia electrónica es una
evidencia latente en el mismo sentido que la impresión de huellas digitales o el ADN...evidencias que son latentes. En su estado natural, no podemos “ver” lo que contiene un
objeto físico que tiene sostiene nuestra evidencia. Se requieren equipos y software para hacer visible la evidencia.

La ciencia de la informática forense es la ciencia de la adquisición, preservación, recuperación y presentación de datos que han sido procesados
electrónicamente y almacenados en medios informáticos. Es diferente de la mayoría de las disciplinas forenses tradicionales. Los procedimientos forenses
tradicionales normalmente son realizados en un ambiente de laboratorio. Los exámenes de informática forense pueden realizarse en laboratorios forenses,
departamentos de procesamiento de datos y en algunos casos prácticamente en cualquier ubicación física. La ciencia forense tradicional descansa en la
habilidad de los científicos para producir un informe basado en los resultados objetivos de un examen científico. La ciencia forense informática, por
contraste, extrae o produce información.

La ciencia forense generalmente no necesita detalles específicos de la investigación. Por ejemplo, un examen de ADN se puede realizar sin saber el nombre
de la víctima, la materia u otra información específica. Por el contrario, la ciencia forense informática, para ser efectiva, debe ser dirigida por información
descubierta durante la investigación. Como un asunto práctico, el examinador forense informático no puede examinar todos los archivos almacenados en un
sistema computacional. Las computadoras personales actualmente disponen de una capacidad de almacenamiento de cientos de gigabytes. La capacidad de
almacenamiento de un gran disco duro o un servidor central que hace esencialmente imposible la tarea de leer cada archivo en detalle en el tiempo
disponible para el examen. Por lo tanto, el investigador debe proporcionar al examinador forense los detalles de la investigación. Así, el examinador puede
crear una lista de palabras clave o frases para buscar. Para ser efectivo, el examen debe ser un esfuerzo coordinado entre el investigador y el examinador.

1.6 MULTIPLICADORES DE FUERZA INVESTIGATIVA

El término multiplicador de fuerza se originó en el ámbito militar y aplica a actividades como la guerra electrónica, operaciones de inteligencia y gestión de
la percepción. La definición oficial del Departamento de Defensa es la siguiente (U.S. Department of Defense, 2005):

Una capacidad que, cuando es añadida a y empleada por una fuerza de combate, aumenta significativamente el potencial de combate de esa fuerza y por lo tanto, aumenta la
probabilidad de éxito del cumplimiento de la misión

Para el presente propósito, un multiplicador de fuerza es cualquier actividad, capacidad o recurso que aumente la eficacia o eficiencia de la función
investigativa. Dos ejemplos ilustran la importancia de los multiplicadores de fuerza en el campo de las investigaciones:

• El programa de la Fuerza Aérea de Estados Unidos conocido como Eagle Eyes (Ojos de Águila) fue implementado a raíz de los ataques terroristas
del 11 de septiembre de 2001. El programa se centró en conseguir la ayuda de ciudadanos (incluyendo personal militar, familiares, retirados,
residentes locales y colegas de organismos encargados de hacer cumplir la ley) para servir como ojos y oídos y reportar cualquier actividad
sospechosa que pudiera estar relacionada con el terrorismo u otras amenazas. El programa combina entrenamiento, sensibilización, publicidad
(marketing) y el establecimiento de nuevos canales para informar. La información sobre las mejores prácticas de Eagle Eyes es compilada desde las
instalaciones en todo el país y compartida con otras UI y agencias homólogas. El comandante de la Air Force Office of Special Investigations ha
afirmado, “Soy reacio a usar el término “multiplicador de fuerza”,... pero si alguna vez un programa concordó con el término, ese es ‘Eagle Eyes’ ”
(Patterson, 2002).
• El esfuerzo conjunto como el del FBI Safe Streets Violent Crime Initiative, reunirá los investigadores de los organismos federales y locales
encargados de hacer cumplir la ley y los fiscales, para centrarse en problemas específicos de alto perfil. Esa colaboración conserva recursos valiosos,
alienta el intercambio de información, elimina la duplicación de esfuerzos y reduce efectivamente el crimen. Este tipo de esfuerzo es considerado un
verdadero multiplicador de fuerza en el ámbito investigativo (Ashley, 2003).
Tres importantes multiplicadores de fuerza en investigaciones son las fuentes de información en línea, los enlaces y la información de inteligencia. Cada
uno puede contribuir significativamente a resultados exitosos y expeditos de investigaciones. Sin embargo, tienen costos y, por lo tanto, representan una
inversión en la función investigativa de una organización o empresa. Esto debe ser comprendido muy claramente por los gerentes de investigaciones y por
los ejecutivos que toman las decisiones (es decir, la oficina principal).

Las siguientes subsecciones describen estos tres multiplicadores de fuerzas. Algunas fuentes también consideran la tecnología como un multiplicador de
fuerza en las investigaciones, ya que puede contribuir a hacer más rápida la fusión de datos y análisis, mejor gestión del conocimiento y un método más
predictivo y más eficiente de difusión de la información (Parsons, 2000).
1.6.1 FUENTES DE INFORMACIÓN EN LÍNEA

El corazón de cualquier investigación es la información. Cualquier cosa que mejore significativamente la velocidad y eficiencia en la recolección,
comparación, análisis u organización, es un importante multiplicador de fuerza. Los recursos en línea son una herramienta de ese tipo y se están
expandiendo a un ritmo acelerado. Los siguientes son ejemplos de esos recursos:

• bases de datos
• herramientas de colaboración
• herramientas de análisis automatizadas
• información sobre proveedores (expertos, laboratorios, etc.)
La búsqueda en línea puede representar tanto una fuente de información excepcional como una medida de economía de costos para una UI típica. Aunque
se recomienda el entrenamiento específico para la investigación en línea –y en algunos casos una persona o equipo dedicado- las siguientes referencias
pueden proporcionar una descripción inicial de la técnica. Ellas contienen información valiosa sobre técnicas de búsqueda, estrategias sugeridas y fuentes:

• Find It Online: The Complete Guide to Online Research, 3ª Edición, de Alan M. Schlein, publicado por Facts On Demand Press, Tempe, Arizona,
2002.

• Public Records Online: The National Guide to Private & Government Online Sources of Public Records, 4ª Edición, editado por Michael L. Sankey
y Peter J. Weber, publicado por Facts On Demand Press, Tempe, Arizona, 2002.
En general, los gerentes de UI deben evaluar sus necesidades de investigación y determinar la misión y enfoque más efectiva y rentable para enfrentarlas.
Algunas unidades mantienen a una persona o un equipo de personas a tiempo completo para las búsquedas investigativas. Otras asignan miembros del
equipo a la función como una obligación adicional o externalizan la función. En algunas organizaciones, puede que ya exista una función o departamento
de búsqueda –tal vez para realizar búsquedas jurídicas o de contratos. Puede ser más eficiente reclutar a un miembro de ese departamento, e investigar los
antecedentes, para apoyar a la UI en la medida que sea necesario (manteniendo en mente la necesidad de confidencialidad).

Los cursos de entrenamiento para técnicas de búsqueda están disponibles ampliamente para búsquedas en línea generales e investigaciones específicas.
Esos cursos se recomiendan y deben ser incluidos en el presupuesto de la UI. Se aconsejan reentrenamientos periódicos o cursos avanzados, debido a que
las técnicas, tecnologías, y ramificaciones legales cambian rápidamente.

En general, las fuentes para búsquedas en línea incluyen las siguientes:

• buscadores de internet y recursos de la web

• recursos de bibliotecas
• base de datos internas (incluyendo el sistema de gestión de datos de investigación o de seguridad de la organización
• recursos de asociaciones de la industria y profesionales
• bases de datos comerciales
• bases de datos de agencias encargadas de hacer cumplir la ley
Todas estas fuentes potenciales deben ser consideradas cuando se busca información para apoyar las investigaciones.

No obstante, se deben indicar tres grandes preocupaciones. Primero, los investigadores y miembros del personal pueden irse por la tangente, gastando una
gran cantidad de tiempo ineficientemente buscando en línea en aras de la búsqueda en línea. Esta es una tentación común, especialmente en la típica
persona que se vuelve cada vez más familiarizada con el trabajo en línea. En algunos casos, se puede necesitar establecer directrices respecto a este tema,
tales como una política de uso apropiado de los sistemas de TI o bases de datos.

Segundo, hay una tendencia natural a asumir que esa información extraída de las bases de datos o fuentes en línea es creíble (en términos de exactitud,
relevancia, oportunidad y fiabilidad de la fuente). Los miembros de equipo deben recordar periódicamente emplear las técnicas investigativas estándar de
corroborar las fuentes y verificar la información en el mayor grado posible. Las bases de datos en línea son actualizadas en diferentes intervalos y muchas
no verifican la información que aceptan. Los investigadores deben averiguar esos asuntos antes de confiar en información proveniente de las fuentes en
línea.

Tercero, si bien la mayoría de los investigadores disfruta de las búsquedas en Internet, puede no ser el mejor uso de su tiempo. En algunos casos puede ser
más rápido y rentable usar un contratista experto en búsquedas.

Bases de Datos Comerciales

Muchas herramientas y servicios de búsqueda están disponibles, particularmente en servicios de investigación de empleados. Algunos de ellos ofrecen
capacidades de búsqueda integrales para diferentes tipos de investigaciones en un sola fuente.

Entre los usos de las bases de datos comerciales están las investigaciones de preselección y las investigaciones de antecedentes, las investigaciones
corporativas generales, las investigaciones legales, las investigaciones empresariales, las investigaciones de due diligence y la planificación investigativa.
Algunas bases de datos operan únicamente sobre la base de una suscripción, mientras que otras permiten el acceso una sola vez, sobre una tarifa, según
necesidad.
Además, algunos servicios han interconectado o relacionado sistemas que señalan a los individuos que proveen información que contradice los datos en los
archivos, devolviendo nombres, direcciones y números de seguridad social, basado en el ingreso de la información. Algunos pueden encontrar la dirección
actual y anterior de cualquier persona en un archivo, identificados por su número de seguridad social.

Las bases de datos comerciales pueden requerir un acuerdo previo por parte de un usuario de sus servicios de que ni el proveedor de la red comercial ni el
proveedor de la información es responsable del uso o mal uso del servicio. El acuerdo para un sitio comercial establece, en parte, “Ni el proveedor ni
ningún proveedor de bases de datos tiene alguna representación o garantía en cuanto al funcionamiento de la red o de la exactitud de la indexación, entrada
de datos o información incluida en la red”.

Bases de Datos de Fuerzas del Orden

Varias bases de datos se han establecido para apoyar las necesidades específicas de las agencias encargadas de hacer cumplir la ley, particularmente a nivel
federal en Estados Unidos y en varios niveles en Canadá. Muchas de esas bases de datos están disponibles para las agencias de las fuerzas del orden
estatales y locales y, en algunos casos, internacionales.

Aunque la información contenida en estas bases de datos generalmente está limitada a la comunidad de las fuerzas del orden, puede estar disponible para
los investigadores corporativos en algunas instancias, particularmente cuando una investigación conjunta interna/fuerzas del orden está en curso. El acceso
a las bases de datos específicas puede ser coordinado sobre una base de caso a caso con las agencias de aplicación de la ley.

Resumen de Fuentes En Línea

La proliferación de información disponible, el fácil acceso y las restricciones presupuestarias actuales, exigen a los departamentos de protección de activos
modernos usar las técnicas de investigación en línea. Cada día, nuevos sitios Web y bases de datos quedan disponibles mientras otras se vuelven obsoletas.

1.6.2 ENLACE EN INVESTIGACIONES

Uno de los multiplicadores de fuerza más importante en la función investigativa es la de enlace. Los enlaces se dan en varias formas: internos y externos,
formales e informales, e individuales y organizacionales. En todas sus formas, permite a las UI y a los investigadores individuales aprovechar los recursos
de otros; compartir las mejores prácticas y lecciones aprendidas; colaborar en casos específicos; abordar más eficazmente problemas comunes; y compartir
información, equipos e instalaciones –en pocas palabras, hacer más con menos. Además, los enlaces efectivos permiten a las UI ser más proactivas en su
enfoque, lo que las hace ser un activo de gran valor agregado para la organización (K. Peterson, 1998, p.1)

A los investigadores se les debe permitir, de hecho estimular, a desarrollar y mantener sus contactos de enlace formales e informales. Las agencias grandes
encargadas de hacer cumplir la ley, pueden tener agentes apostados en todo el mundo con alto nivel de acceso a los funcionarios y la información. Los
investigadores y directores de seguridad en el ámbito corporativo, generalmente, no tienen ese lujo. Por lo tanto, para ser efectivo en la evaluación de
amenazas, obtención de información y realización de investigaciones, las UI y los investigadores individuales deben establecer relaciones profesionales en
la comunidad. Estas relaciones deben incluir las fuerzas del orden, los servicios gubernamentales, los colegas de seguridad y las asociaciones. Las
relaciones efectivas proveen recursos que pueden producir resultados investigativos o proveer los hechos, evidencias y testigos que lleven a esos resultados
(Hudak, 2005). Aun cuando una organización tenga una red activa a gran escala, los enlaces pueden expandir la red y ayudarla a funcionar más
eficientemente.

En un artículo de Security Management titulado “Guilt by Investigation and Other Pitfalls” se destaca otra razón para mantener los contactos de enlace.
Según los autores, ciertas violaciones o problemas pueden surgir en una organización con muy poca frecuencia, por lo que los investigadores y otros
actores corporativos no estarán acostumbrados a lidiar con ellos (Albrecht, 2004, p.78). Estos problemas pueden incluir fraudes a gran escala, ataques
cibernéticos, violencia en el lugar de trabajo o mal comportamiento de los ejecutivos. En estos casos es fundamental una coordinación temprana y estrecha
con los contactos de enlace internos, como el consejo general y el director de recursos humanos. Llamar a contactos externos, como consultores o expertos
en funciones, puede ser útil también para garantizar que se están empleando los protocolos apropiados y actualizados.

Las UI se esfuerzan por ser lo más proactivas posible. Esto aumenta su efectividad y credibilidad, y demuestra su valor para la empresa o comunidad a la
que ellas sirven. Aunque es posible que el enlace ocurra en un ambiente reactivo (por ejemplo, durante una crisis o emergencia), es principalmente un
medio proactivo. De hecho, muchos lo consideran una herramienta esencial en la lucha contra los problemas sociales generalizados, como las drogas
ilícitas, violencia callejera, violencia en el lugar de trabajo y fraudes. Al trabajar juntos, las agencias de las fuerzas del orden, el personal corporativo, los
profesionales de la seguridad y la comunidad legal, pueden ser más efectivas en la protección de los activos, la resolución de incidentes de mala conducta y
en la prevención de futuras pérdidas (K. Peterson, 1998, p.10).

Finalmente, una razón más filosófica para el enlace es simplemente el profesionalismo. La mayoría de los verdaderos profesionales están deseosos de
compartir su experiencia y aprender de otros. Este beneficioso intercambio mutuo contribuye a la profesión en general y al mismo tiempo ayuda a las
personas a perfeccionar su bagaje de conocimientos personales y de la organización.

Cómo Establecer un Enlace

Las relaciones profesionales se establecen mediante presentaciones, referencias, contactos (formal y social) y ayuda mutua. Una excelente oportunidad para
establecer contactos de enlaces es a través de las asociaciones profesionales y cívicas. Los directores de seguridad, los gerentes de UI y los investigadores
deben ser alentados a afiliarse a organizaciones profesionales, deportivas, de servicios, comunitarias y sociales (Hudak, 2005).

Los ejercicios de planificación de emergencias también pueden ser una lugar excelente para conocer colegas y desarrollar contactos de enlace. Tiene mucho
sentido lograr conocer a las personas y agencias que apoyarán la organización en una emergencia. Ellos pueden ser de gran ayuda no sólo en momentos de
crisis sino también en la revisión de planes, proporcionando entrenamiento de sensibilización, familiarizándose con la instalación e intercambiando
información general.
Se debe promover la participación en foros multilaterales. Algunos ejemplos de esos foros incluyen los siguientes:

• empresas locales y asociaciones e seguridad de la comunidad

• asociaciones de seguridad industrial (por ejemplo, de salud, de servicios, minoristas, etc.)

• capítulos locales de InfraGard6 u organizaciones similares

En algunos casos, puede ser necesario justificar esa participación a la alta gerencia. Por lo general no es difícil. Puede ser aconsejable invitar a un alto
representante de un foro en particular para que conozca (o cooperar a capacitar) a los ejecutivos corporativos o el personal.

Las asociaciones profesionales son una parte importante de las relaciones público-privadas entre las fuerzas del orden y los profesionales de seguridad
corporativa. El director del Bureau of Alcohol, Tobacco, Firearms and Explosives insistió en ese punto cuando dijo: “Las sociedades profesionales como
ASIS juegan un rol clave en la promoción de estas relaciones fundamentales” (Magaw, 1998). El entrenamiento y los cursos de desarrollo profesional son
excelentes lugares para conocer gente que se sumarán a la red de un investigador. Una recomendación adicional para el establecimiento de contactos de
enlace proviene de un experimentado profesional de la seguridad y las investigaciones (Hudak, 2005):

Establezca relaciones con profesionales de diferentes niveles en las organizaciones. Cuando ingrese por primera vez a una comunidad, realice visitas de cortesía al funcionario de
más alto grado de la agencia que usted pueda gestionar. Luego, puede usar ese encuentro como una referencia para otros en esa organización. No limite sus contactos con las
fuerzas del orden, extienda sus visitas de cortesía al departamento de bomberos, servicios de emergencia, servicios generales, oficina de la Alcaldía, oficina del Inspector Postal,
directores de seguridad de hospitales y cualquier organización que pudiera ser de servicio para su compañía.

Internamente, es recomendable desarrollar relaciones de trabajo estrechas con las personas clave dentro de la empresa mediante una visita introductoria y
continuar con visitas periódicas para intercambiar información y favores. ¡Una crisis o una investigación importante no es el mejor momento para conocer
colegas por primera vez! Los contactos internos que se sugieren son los siguientes:

• ayudante de la dirección y personal de recepción

• consejo general
• oficial de contrataciones y adquisiciones
• director de recursos humanos
• gerente de la instalación
• oficial de relaciones públicas o informaciones o su equivalente
• director de contabilidad y finanzas u oficial jefe de finanzas
• gerente de operaciones
• gerente de tecnología de información u oficial jefe de informática
• director de seguridad o seguridad ocupacional
• personal de salud ocupacional
• líderes del sindicato o unidad de negociación colectiva
Dependiendo del tamaño de la empresa, es aconsejable desarrollar contactos de enlace internos en diferentes niveles dentro de cada una de las funciones
anteriores.

En el entorno empresarial global, las relaciones de enlace son fundamentales para las investigaciones eficaces. La complejidad de la cultura, leyes y normas
de la nación anfitriona, fuerzas del orden locales y procedimientos, diferencias de lenguaje y familiaridad local, pueden tener una tremenda influencia en
las investigaciones en países extranjeros. Los contactos de enlace locales pueden hacer toda la diferencia en los resultados exitosos de las investigaciones y
en la capacidad investigativa de los miembros del equipo para evitar problemas y mantener un bajo perfil.

Cuando sea posible, las relaciones de enlace internacionales –con agencias e individuos- se deben establecer con suficiente antelación a una crisis o
investigación. Muchas agencias de seguridad y fuerzas del orden extranjeras tienen unidades especiales en temas como el contraterrorismo, delitos
informáticos, delitos financieros, problemas de importaciones/exportaciones y crimen organizado. Los investigadores deben establecer los enlaces, lo más
ampliamente posible, con sus contrapartes directas e intercambiar correspondencia periódicamente. Cuando se visita una instalación corporativa en otros
países, es útil conocer a los investigadores de la contraparte familiarizarse con sus políticas, procedimientos y preocupaciones. Esto hará más fluidas y
efectivas las subsecuentes interacciones para ambas partes (K. Peterson, 198, p.5).

Cómo Mantener los Enlaces

Una vez establecidas las relaciones de enlace, es necesario mantenerlas. Los enlaces se basan en relaciones profesionales de confianza y requieren
intercambio periódico, así como beneficio mutuo. Las siguientes sugerencias ayudan a las relaciones fuertes y sustentables:

• Asegúrese de que cada parte recibe algún beneficio sin aprovecharse indebidamente de la otra. Las relaciones de enlace deben ser mutuas y naturales,
aunque no necesariamente quid pro quo.
• Para evitar acciones disciplinarias y un daño a las relaciones de enlace, siga los límites legales y las regulaciones de la agencia sobre el valor máximo
de los regalos al enlace.
• Nunca viole la confianza del contacto de enlace. Hacerlo terminará la relación y marca al investigador ofensor y a su agencia por un largo tiempo. Un
 activo clave de cualquier investigador o UI es una buena reputación.

• Mantenga periódicamente el contacto, incluso cuando no haya información específica para intercambiar. Hacerlo de este modo demuestra que la
relación es importante y ayuda a mantener la familiaridad con las personas y sus organizaciones.

Fuerzas de Tarea Conjunta

Una forma de enlace altamente estructurada es la fuerza de tarea. Las fuerzas de tarea conjunta (JTF de ahora en adelante, por sus siglas en inglés) suelen
abordar temas complejos, a menudo multi- jurisdiccionales como el terrorismo, el crimen informático y los fraudes de grandes adquisiciones. Las JTF
pueden ser para casos específicos (por ejemplo, en el 2002, el National Capital Area Sniper Case y el Unabomber Task Force) o de larga duración (por
ejemplo, la President’s Corporate Fraud Task Force y la National Joint Task Force). La Figura 1-8 muestra algunos de los recursos y actividades de las
JTF.

Las JTF a menudo tienen conocimientos especiales y atraviesan límites jurisdiccionales. Pueden incorporar muchas agencias de fuerzas del orden
internacionales, federales y locales, así como recursos de la industria, auditores, analistas, consultores, fiscales y otros. La diversidad de miembros en una
fuerza de tarea introduce muchos beneficios, pero también puede llevar a malos entendidos, conflictos e ineficiencias. Las JTF deben gestionarse de manera
que compense cualquier efecto adverso mientras se capitalizan las fortalezas de la diversidad.

Cuando los investigadores operan dentro de una JTF o la dirigen, deben estar alertas a una serie de otros problemas importantes, incluyendo el localismo, la
protección de la información sensible, la gestión de datos y las cadenas de reporte. El localismo puede suceder cuando los miembros de la JTF llegan con
programas diferentes, ya sea individual u organizacionalmente. Esto causa conflictos inevitables, explícitos o sutiles, y puede disminuir seriamente la
efectividad de la unidad. Junto con limitar los resultados de la investigación o del proceso judicial, este comportamiento puede erosionar la confianza
pública o corporativa en la fuerza de tarea.

La protección de la información en un entorno JTF presenta varios desafíos. Los miembros tienen diferentes perspectivas sobre lo que es información
sensible (o en qué momento en particular la información es sensible). Además, la mayoría de los miembros se enfrentan con múltiples cadenas de reporte,
diferentes políticas departamentales, presión para informar a las distintas circunscripciones y diferentes capacidades de comunicaciones seguras. Para
minimizar esos desafíos, las JTF deben tener un plan de seguridad de las operaciones (OPSEC) adaptado a la protección de la información tanto en formato
físico como electrónico (ASIS International, 2002-2005).

Las cadenas de reporte pueden ser confusas en un entorno de JTF. Esa confusión puede llevar a la difusión de información fragmentada y aparentemente
contradictoria, respecto a los avances de la fuerza de tarea, éxitos, necesidades, y relaciones. Las cadenas de reporte bien definidas, que involucran tanto la
fuerza de tarea misma como a los miembros de los departamentos, seguirán un largo camino hacia la reducción al mínimo de la confusión y de la aparente
falta de comunicación.

La recomendación anterior respecto a las JTF también puede tener valor en el ámbito corporativo. Por ejemplo, se puede aplicar a los equipos
multidisciplinarios o de productos integrados dentro de una organización o de esfuerzos colaborativos multi-organizacionales7.

En resumen, los enlaces vienen en diferentes formas y tamaños, van desde las conversaciones informales cara a cara, a detallados acuerdos internacionales
(K. Peterson, 1998, p.11). Con respecto a la forma que toma o el nivel en el que ocurre, el enlace es un importante multiplicador de fuerzas para cualquier
UI. En palabras de un antiguo Agente Especial a Cargo del destacamento más grande de U.S. Air Force Central Systems Fraud Detacment, “El
establecimiento de buenos enlaces es muy similar a un buen programa de informantes...Sin él, usted simplemente no puede ser proactivo o establecer una
postura proactiva” (Smith, 1997).

1.6.3 INFORMACIÓN DE INTELIGENCIA

Aunque la información de inteligencia es un multiplicador de fuerzas clave para las UI en casi cualquier estructura, en el ámbito corporativo generalmente
falta un método organizado para gestionarla. Los gerentes de UI deben establecer un programa formal de gestión de inteligencia que incluya políticas,
procedimientos y sistemas para lo siguiente:
 • definir objetivos generales y específicos
• obtener información de inteligencia
• integrar y analizar la información
• organizar y almacenar la información (en formato físico o electrónico)

• compartir la información interna y externamente, según corresponda

• recuperar la información
• controlar el acceso a los datos en sí
• controlar el acceso a la información sobre métodos y fuentes
• evaluar y mejorar periódicamente el programa
Como parte del programa, la unidad debe establecer los objetivos generales y específicos de inteligencia, incluyendo los temas que deban ser enfatizados.
Además, se deben desarrollar las estrategias para la recolección y uso de la información y, en algunos casos, los requerimientos de inteligencia se deben
asignar a investigadores o lugares específicos.

Las potenciales fuentes de información se definen por el tipo de investigación que se está realizando y el enfoque funcional de la UI. Por supuesto, los
investigadores experimentados y con habilidades, generalmente están más capacitados que los novatos para reconocer y explotar rápidamente las fuentes de
inteligencia. Estas habilidades son enseñadas en casi todos los cursos básicos y avanzados de investigaciones, e incluso los investigadores más nuevos, si
están entrenados adecuadamente, tiene una comprensión básica de la función de inteligencia.

Una máxima básica de investigaciones es “verificar sus propios archivos primero”. No es poco frecuente que fuentes valiosas de información dentro de la
organización sean ignoradas. Esto es particularmente cierto en las empresas grandes, complejas o con muchas ubicaciones. El software de gestión de casos
que pone en orden objetos y fotografías y permite el análisis de vínculos es extremadamente útil, especialmente si está alojado en la red de la organización
y puede acceder a él todo el personal de la UI. El uso de programas listos para usar, muchos de los cuales permiten personalizarlos, son más rentables que
los programas construidos desde cero.

Las fuentes más significativas pueden ser aquellas reconocidas y utilizadas debido a su relevancia específica, y quizás única, para una investigación en
particular. Posiblemente utilizadas una sola vez, esas fuentes pueden proporcionar información fundamental para resolver el caso.

Las fuentes de información continuas de largo plazo también tienen un tremendo valor. Ellas pueden incluir los contactos de enlace, los informantes
controlados que tienen el mayor potencial para entregar y las fuentes confidenciales. Además, cada investigador desarrolla fuentes personales que pueden
proporcionar ciertos tipos de información sobre una base regular. Cuando es posible, estas fuentes deben ser compartidas con la UI; no obstante, el contacto
debe ser coordinado a través del investigador inicial.

Un elemento clave en cualquier programa de inteligencia es proteger la información sobre los métodos y fuentes, algunos de los cuales pueden ser
extremadamente sensibles. (Por supuesto, sólo se deben utilizar métodos y fuentes legales). Se debe establecer un mecanismo para codificar nombres o
números, cuando proceda, para ocultar las identidades de las personas, organizaciones, o fuentes técnicas de información. El mecanismo de
confidencialidad debe esforzarse para minimizar la posibilidad de compromiso mediante la divulgación involuntaria y a través de procesos legales como
descubrimiento, particularmente cuando el compromiso de la fuente representaría una vergüenza importante o causaría una amenaza física a las personas u
organizaciones.

Las fuentes de inteligencia varían ampliamente y suelen depender del enfoque funcional de la UI, la ubicación geográfica o la industria implicada. Las
siguientes son algunas fuentes de inteligencia comunes:

• medios de noticias
• fuentes de internet
• archivos internos y registros históricos
• archivos y registros del tribunal local (provincia, estado, condado, ciudad)
• archivos de la agencia de justicia criminal
• registros del departamento de TI y rastros de auditoria
• registros de contrataciones y adquisiciones
• registros de cuentas por pagar y por cobrar
• registros de operaciones y producción
• notificaciones reglamentarias y agencias
• archivos de impuestos
• registros de vehículos motorizados
• corredores de seguros y historias de reclamos
• registros de seguridad ocupacional e incidentes
 • sistemas de gestión de inventarios
• datos de recursos humanos
• archivos de evaluaciones del personal, premios y acciones disciplinarias
• registros de nóminas de sueldo y de viajes

• registros médicos y financieros (varias regulaciones federales y estatales protegen estos registros; se debe tener mucho cuidado en garantizar que no
se acceden ilegalmente. Si lo son, la información no es útil y la fuente, investigador y compañía, pueden ser procesados criminalmente.
• archivos de seguridad
• concesión de licencia o permisos y otros registros estatales, municipales, o del condado

1.7 DOCUMENTACIÓN DE INVESTIGACIONES

1.7.1 REDACCIÓN DE INFORMES

Un informe de investigación es un documento escrito en el cual el investigador registra la actividad en la investigación y las evidencias reunidas. Si no es
un informe final de la investigación, aun puede proporcionar pistas para que sigan otros investigadores. El informe también sirve como base para las
acciones administrativas posteriores a la investigación, tales como procesamiento o acción disciplinaria. Un informe permite al lector entender fácilmente
lo que el investigador hizo, por qué fue hecho y lo que resultó. La investigación más diligente y profesionalmente realizada pierde valor si el esfuerzo no es
informado adecuadamente. Los cinco pasos básicos para la redacción de informes son reunir los hechos, registrar los hechos inmediatamente, organizar los
hechos, escribir el informe y evaluar/editar el informe si es necesario.

Tipos de Informes
Aunque la naturaleza exacta del proceso de elaboración de informes varía, los siguientes son los tipos de informe típicos:

• Informe inicial. El informe inicial es elaborado unos pocos días después que se abre la investigación. Describe el progreso de la investigación y los
detalles de las pistas, si las hay, que aún hay que seguir. En un caso simple, el reporte inicial puede ser el informe final o de cierre.
• Informe de avance. Una investigación puede durar meses en el sector privado; los casos del sector público pueden permanecer abiertos y bajo
investigación durante años. Los informes de avance o provisorios del estado del caso se presentan a intervalos fijos para detallar el avance de la
investigación y cualquier pista que aún se ha de seguir. En el sector privado, los intervalos normales para la presentación de informes de avance son
de 30 días.
• Informe especial. El informe especial documenta una acción que no sea normal en el curso de la investigación. El informe especial puede ser un
complemento al informe de avance, pero debe ser capaz de mantenerse separadamente del informe de avance. Un ejemplo de informe especial sería
un informe de vigilancia realizada en una investigación encubierta.
• Informe final. Es muy importante que un informe final sea lógico y presentado bajo estas circunstancias: cuando la investigación es llevada a un
cierre exitosamente; cuando todas las pistas investigativas han sido seguidas sin éxito y mayores acciones investigativas parecen ser improductivas; o
según lo indique la persona u oficina que autorizó la apertura del caso.

Elementos del Informe

El formato del informe de investigación varía ampliamente entre las organizaciones. Un método es separar el informe en varios temas, tales como
declaraciones, registros de vigilancia, etc. Muchas empresas exigen los informes impresos; sin embargo, la presentación electrónica de informes, en un
archivo maestro y base de datos centralizada, se vuelve cada vez más común. Independiente del formato del informe, debe contener la información
relevante obtenida durante la investigación, así como la información administrativa, un resumen, una narrativa, conclusiones y adjuntos.

Información Administrativa: el informe debe estar completo y fácilmente comprensible sin referencia a otros informes. Por lo tanto, debe incluir la
siguiente información administrativa:

• nombre del sujeto del caso

• número del caso o expediente
• tipo de caso (si no se identifica por el número de caso o expediente)
• estado del caso (abierto o cerrado)
• investigador que informa
• fecha del informe
Resumen: un resumen o síntesis del informe, dado al principio, permite una rápida evaluación por parte de los lectores. La regla general es que cada punto
principal cubierto por el informe requiere al menos una frase en la síntesis. Los hechos que apoyan no son citados en el resumen. Se permiten las
conclusiones si representan adecuadamente la información detallada en el cuerpo del documento.

Narrativa: el segmento narrativo del informe contiene los detalles del esfuerzo investigativo. Proporciona un relato de fácil comprensión de la cronología
del proceso investigativo y de los hechos de la materia. Cada paso en la investigación debe ser cubierto en un párrafo separado. Debe ser claro, simple y
breve. El vocabulario debe ser fácilmente comprensible. Se deben evitar los términos técnicos o al menos definirlos. La parte narrativa de un informe de un
operativo encubierto debe ser escrita en primera persona para por lo que su actividad sea fácil de entender.

Conclusiones: algunas organizaciones exigen que las conclusiones y recomendaciones del investigador sean proporcionadas como parte del informe
investigativo. Por ejemplo, después de una investigación exitosa de fraude, un investigador puede recomendar acciones correctivas (como la mejora del
control) o después de una investigación por robo, el investigador puede recomendar mejorar las medidas de seguridad física (alarmas, guardias y circuito
cerrado de televisión). Sin embargo, el investigador es principalmente un recolector de evidencias relevantes, y la autoridad competente en la organización
debe decidir cualquier acción judicial o administrativa que se tomará.

Adjuntos: los s del informe deben incluir al menos lo siguiente:

• la denuncia inicial
• declaraciones de los denunciantes y testigos
• declaraciones escritas de otros entrevistados
• documentación de evidencias e informes de resultados de análisis (incluyendo evidencia física, documental, electrónica, y técnica)
• registros de vigilancia (si corresponde)

• fotografías, grabaciones de audio, cintas de video, o DVD)

Distribución y Protección de Informes de Investigación

Los informes de investigación pueden estar sujetos a divulgación durante el proceso judicial del descubrimiento. A través de este proceso, una agencia o
unidad investigativa puede ser compelida a liberar su informe y otros archivos a la parte contraria en una acción judicial. Por esa razón, es importante
mantener el informe libre de material extraño e irrelevante, particularmente los nombres de las personas y lugares no relevante para la investigación. El
informe debe ser entregado a, y conservado por el abogado de la compañía del expediente exclusivamente. Entonces, es probable que sea clasificado como
producto de trabajo del abogado y sea protegido de citación. Esta técnica no es infalible, pero al menos el descubrimiento del informe generalmente
requerirá una orden judicial después de una audiencia.

Por lo general, a los informes de investigaciones debidamente controlados se les concederá privilegio calificado y, por lo tanto, no son enjuiciables por
delito de difamación, incluso cuando contienen información falsa (a menos que se pueda demostrar que la información falsa fue colocada allí con mala
intención). Aun así, se debe tener cuidado de no incluir opiniones y conclusiones del investigador. Los elementos en el informe deben ser las declaraciones
de otros o las observaciones personales del investigador y deben ser claramente identificadas como tales.

El proceso final en un informe de investigación es la distribución. La distribución debe ser restringida a aquellos que realmente tienen la necesidad de
saber. El informe podría contener información dañina sobre los empleados o declaraciones de ellos u otras personas. Las copias del informe deben ser
estrechamente controladas. Finalmente, cualquier persona que reciba una copia o tenga un archivo debe tener la protección de seguridad adecuada y ser
advertida de la naturaleza sensible del documento y de las instrucción de manipulación relevantes.

Los requisitos de difusión en base a la necesidad del saber, también afectan el privilegio calificado otorgado a un informe de investigación. Posteriormente,
si se detecta que el informe contiene material inexacto o perjudicial, el privilegio se puede perder debido a una difusión muy amplia. Nuevamente, muchas
organizaciones distribuyen los informe de investigaciones sólo al interior de la organización o asesores legales contratados para garantizar que el privilegio
abogado-cliente proteja los informes.

1.7.2 OTROS FORMATOS DE INFORMES

Se pueden usar otros formatos para fines específicos o ciertos tipos de investigaciones. Por ejemplo, una simple investigación de incidente realizada por un
supervisor de seguridad puede ser documentada en el informe y presentarse tanto en forma impresa o electrónicamente (por ejemplo, en un sistema
automatizado de gestión de incidentes).

Las investigaciones previas al empleo y las investigaciones de antecedentes también pueden usar formatos ligeramente diferentes, diseñados por la
organización o la autoridad requirente.

1.7.3 TESTIMONIO Y DECLARACIÓN JURADA

En la mayoría de los campos, los investigadores a menudo son llamados a testificar en los procedimientos judiciales o administrativos. La preparación para
una comparecencia ante un tribunal o una declaración es fundamental para la credibilidad de un investigador. (Consultar Protección de Activos para
mayores detalles en relación a los testimonios).

1.8 PROYECCIONES

Una serie de temas relacionados con el futuro de las investigaciones se puedes extraer de las perspectivas históricas presentadas al inicio de este libro.
Primero, la diferencia entre investigación pública y privada es cada vez más difusa, como se evidencia en la experiencia de Pinkerton y Burns, y de hecho,
a lo largo de la historia. Esta misma situación se presenta hoy en los primeros años del siglo XXI (Bayley, 2001, p.39).

Segundo, la historia muestra una fuerte y consistente correlación entre las funciones de seguridad y de investigaciones (Webster University, 2004). Los
ejemplos incluyen el valor disuasivo (seguridad) de las investigaciones, al asignar la función investigativa al departamento de seguridad en la estructuras
corporativas más modernas, y al hecho que muchas compañías privadas (incluyendo Pinkerton, Burns, Wackenhut, y Wells Fargo) a través de la historia,
han ofrecido tanto servicios de seguridad como de investigaciones.

Tercero, las denuncias de corrupción en las empresas de investigaciones privadas, así cómo en los departamentos de policía han sido un lugar común. Es
importante trabajar duro hoy en día y en el futuro para mantener la realidad y la imagen de altos estándares éticos. Esos estándares tienen un impacto
directo en la credibilidad de los investigadores y de la UI, y esa credibilidad tiene un impacto directo en su efectividad.

Finalmente, los problemas contemporáneos en el entorno global del siglo XXI han sido, de hecho, una preocupación a lo largo de la historia. Unos pocos
ejemplos de estos problemas, los cuales a menudo moldean la dirección y el foco de la función investigativas, son los siguientes:

• preocupaciones sobre el terrorismo (por ejemplo, Inglaterra en la década del 1800)

• robos y delincuencia callejera
• delitos violentos

• necesidades de protección ejecutiva

• delitos económicos y de cuellos blanco
• necesidades de protección de activos corporativos
• crímenes internacionales y transfronterizos
• robos a gran escala y delitos de cargas o en tránsito
• bandas de crimen organizado
• robo de información e inteligencia empresarial
• cumplimiento corporativo (Sarbanes-Oxley)
• inteligencia competitiva y espionaje
Por supuesto, los adelantos de la ciencia, la tecnología, teoría del derecho y de las relaciones internacionales van a seguir afectando la función de
investigaciones. Independiente del enfoque de una UI, los nuevos avances científicos ofrecerán adelantos en las herramientas investigativas, las técnicas de
recolección y análisis de evidencias, las capacidades de vigilancia, la gestión de bases de datos y del conocimiento, y los mecanismos de intercambio de
información. El crecimiento permanente de la dependencia de la TI en cada faceta de la vida, está estrechamente relacionado con esos avances. Esto traerá
mayores demandas a las UI para desarrollar conocimientos de TI y capacidades de informática forense cada vez más sofisticadas (interna o contratada).

Además, hay una tendencia hacia el aumento de la autonomía por parte de las entidades corporativas, organizaciones y comunidades en términos de
satisfacer sus necesidades de seguridad e investigaciones. Según la International Foundation of Protection Officers, debido a las limitaciones
presupuestarias y de otra índole, las fuerzas del orden y la sociedad en general pondrán cada vez más mayores expectativas en las empresas para que
realicen sus propias investigaciones internas de delitos de cuello blanco (Davies, 1999, p.14). Esta posición es compartida por el National Institute of
Justice en The New Structure of Policing (Bayley, 2001, pp.vii y 1):

Gradualmente... la policía ha sido “multilateralizada”: una serie de grupos no gubernamentales han asumido la responsabilidad de su propia protección, y una serie de agencias no
gubernamentales se han comprometido a ofrecer servicios de seguridad...Creemos que la actual reestructuración es a nivel mundial...En la mayoría de los países, la policía privada
supera en número a la policía pública. En esos mismos países, la gente pasa más tiempo de su vida diaria en lugares donde la prevención y control del crimen visible es
proporcionado por grupos no gubernamentales en lugar de agencias policiales de gobierno.

Hoy en día la esfera de la seguridad nacional también juega un rol importante en el entorno de las investigaciones de gobierno y corporativas. La
cooperación y el intercambio de información no sólo entre las agencias policiales federales, estatales, locales e internacionales, sino también entre el
gobierno y el sector privado ha llegado a ser fundamental en la protección de activos. Por ejemplo, un paso importante hacia el acercamiento de vínculos e
intercambio de información entre las agencias federales y la comunidad empresarial surgió de los esfuerzos del Critical Infrastructure Protection a fines de
la década de los noventa (President’s Commission on Critical Infrastructure Protection, 1997). Estos esfuerzos se expandieron hacia los Centros de
Intercambio de Información y Análisis semi-formales dentro de los sectores clave de la industria y ahora han forjado relaciones mucho más productivas
bajo el ámbito de la seguridad nacional. Estas relaciones y la confianza en las cuales están fundadas deben continuar su expansión y desarrollo (General
Accounting Office, 2004, pp.3-4). Como se indica en el sitio Web de Homeland Security Information Network, “La seguridad nacional ya no es
responsabilidad únicamente de los organismos encargados de hacer cumplir la ley, sino que necesita un esfuerzo de colaboración entre los ciudadanos, las
empresas y el gobierno” (Southwest Emergency Response Network, 2004).

En resumen, el siglo XXI probablemente verá una continuación de varias tendencias históricas en las investigaciones. Estas incluyen una expansión de las
responsabilidades y capacidades de investigación en el sector privado; una relación más estrecha entre la función de investigaciones y la seguridad o la
función de protección de activos; y un énfasis en altos estándares éticos y profesionalismo en el campo de las investigaciones corporativas u
organizacionales (incluyendo la industria de servicios profesionales de investigación). Los nuevos adelantos científicos serán rápidamente incorporados en
el proceso investigativo, y las ciencias de la información, como las bases de datos, gestión del conocimiento y los mecanismos de intercambio de
información basados en la tecnología desempeñarán un rol cada vez más integral en el campo.
Hasta cierto grado, estos desarrollos repercutirán necesariamente en la trayectoria, entrenamiento, cualificaciones y uso de personal de investigaciones en el
futuro, así como en la utilización de expertos externos. Aun así, continuará teniendo una fuerte dependencia de las técnicas y procesos tradicionales de
investigación, como las entrevistas, interrogatorios, uso de fuentes humanas, vigilancia física, y redacción de informes.

______________________________

1 El jefe de la unidad investigativa es la persona directamente responsable de la función de investigaciones en una organización y también podría ser
denominado oficial jefe de seguridad, director de seguridad, director de investigaciones, u otro título.
2 Nota del Traductor: el término en general se utiliza para referirse a la investigación de empresas o personas. No existe una traducción oficial, las más
comunes son “debida diligencia”, “auditoría”, o simplemente se mantiene el uso del término en inglés, el cual se utilizará en este trabajo de traducción.
3 Nota del Traductor: la ley Sarbane-Oxley es una ley de U.S.A. que nace con el fin de monitorear las empresas que cotizan en la bolsa de valores.
4 N. del T: es un Programa del FBI que proporciona información de sensibilización para reducir la vulnerabilidad de los ciudadanos y empresas de USA
frente a la inteligencia y actividades terrorista.
5 N. del T: es una asociación de personas que facilita el intercambio de información entre empresas y las fuerzas del orden para prevenir actos hostiles
contra EE.UU.

6 InfraGard es una iniciativa del FBI para facilitar las relaciones pública/privada con las empresas asociadas con las infraestructuras críticas de la nación.
Los capítulos de InfraGard se han establecido cerca de cada oficina del FBI y se reúnen regularmente para compartir información, redes de trabajo, y
educación.
7 Ejemplos de esos esfuerzos incluyen el Identity Theft Assistance Center, establecido en el 2004 como una iniciativa de la Financial Services Roundtable
(www.fsround.org) un grupo de representantes de las principales instituciones financieras; y la iniciativa de los proveedores de servicios de Internet
AOL, Earthlink, MSN y Yahoo conocida como la Anti-Spam Technical Alliance.
ANEXO A

Informes de Incidente de Seguridad

Los dos formatos de muestra que siguen son representativos de aquellos usados por el gobierno y en el ambiente empresarial. Los informes de incidentes
por lo general comprenden una denuncia inicial que se utiliza para iniciar la investigación. Los formatos son cortesía de MVM Security, Incorporated, of
Vienna, Virginia.
REFERENCIAS

Ackerman, N. (2004, July 5). New guidelines’ impact. National Law Journal.

Albrecht, W. S., Albrecht, C., Albrecht, C., & Williams, T. L., CPP (2004, November). Guilt by investigation and other pitfalls. Security Management.

Ashley, G. D. (2003, September 17). Assistant director, Criminal Investigative Division, Federal Bureau of Investigation. Testimony before the Senate
Judiciary Committee.

Anderson, T. (2004, December). The earnings factor. Security Management, p. 36. Available: http://www.securitymanagement.com [2009, December 22].

ASIS International, Commission on Guidelines (2004). Private security officer selection and training guideline. Alexandria, VA: ASIS International.
Available: http://www.abdi-secureecommerce.com/asis/ps-74-30-1586.aspx [2009, December 22]

ASIS International (2006). Security industry buyers guide, Alexandria, VA: Author, [Online]. Available: http://www.sibgonline.com [2009, December 22].

Bayley, D. H., & Shearing, C. D. (2001). The new structure of policing (NCJ 187083). Washington, DC: National Institute of Justice, U.S. Department of
Justice.

Brown, M. F. (2001). Criminal investigation: Law and practice (2nd ed.). Woburn, MA: Butterworth- Heinemann.

Cassel, E. (2000, February). Behavioral science research leads to Department of Justice guidelines for eyewitness evidence. Virginia Lawyer.

Davies, S. J., & Minion, R. R. (Eds.). (1999). Security supervision: Theory and practice of asset protection (2nd ed.). Woburn, MA: Butterworth-
Heinemann.

Dempsey, J. S. (1996). An introduction to public and private investigations. St. Paul, MN: West Publishing Company.

Drug Enforcement Administration. (2003). Guidelines for a drug-free workplace (4th Ed.), [Online]. Available: http://www.
usdoj.gov/dea/demand/dfmanual/index.html [2006, February 22].

Eco, U. (1983). The name of the rose. New York: Harcourt.

Fay, J. J., CPP. (2000). Security dictionary. Alexandria, VA: ASIS International.

Federal Bureau of Investigation. (2002). Handbook of forensic services, Chapter 16, Crime-scene search tips, [Online]. Available:
http://www.fbi.gov/hq/lab/handbook/forensics.pdf [2009, Dec 22].

Garcia, R. (2002). Conducting corporate compliance investigations. Washington, DC: Webster University.

General Accounting Office. (2004). Critical infrastructure protection: Improving information sharing with infrastructure sectors. Washington, DC:
Author.

General Accounting Office, Office of Special Investigations. (1997). Investigator’s guide to sources of information (Report Number GAO/OSI-97-2),
[Online]. Available: http://www.gao.gov/special.pubs/soi.htm [2009, December 22].

Gifis, S. H. (1975). Law dictionary. Woodbury, NY: Barron’s Educational Series.

Goemaat, J. (2004, May). A case of good judgment. Security Management, p. 53. Available: http://www.securitymanagement.com [2009, December 22].

Hinton, D. (2002). Criminal records book: The complete guide to the legal use of criminal records. Tempe, AZ: Facts on Demand Press.

Hudak, R. (2005). Former FBI, Adjunct Professor at John Jay College, and Director of Corporate Security for Loews Corporation. Unpublished document.

Interagency OPSEC Support Staff (Producer). (2000). Applying OPSEC to criminal investigations [Motion picture]. (Available from Interagency OPSEC
Support Staff, 6411 Ivy Lane, Suite 400, Greenbelt, MD 20770)

Interpol. (no date). Criminal intelligence analysis, [Online]. Available: http://www.interpol.int/public/cia/default.asp [2009, December 22].

Jackson, G. (1999). Golden nuggets for investigators. U.S. Air Force Office of Special Investigations.

Magaw, J. W. (1998, March). Comments of the director of the Bureau of Alcohol, Tobacco and Firearms at the ASIS Washington, DC, Chapter Leadership
Awards Luncheon.

Merriam-Webster. (2009). “Management” entry, [Online]. Available: http://www.merriam-webster.com/dictionary/management [2009, December 16].

National Institute of Justice, Office of Justice Programs. (2001). Electronic crime scene investiga- tion: A guide for first responders. Washington, DC:
Author.
National Institute of Justice, Office of Justice Programs. (2000). Crime scene investigation: A guide for law enforcement. Washington, DC: U.S.
Department of Justice.

National Institute of Justice, Office of Justice Programs. (2000). Fire and arson scene evidence: A guide for public safety personnel. Washington, DC: U.S.
Department of Justice.

Nebo, P., CPP. (1999). Multinational and international investigations: Cultural analysis. Washington, DC: Webster University.

Office of Justice Programs. (2003). Applying Security Practices to Justice Information Sharing. Washington, DC: U.S. Department of Justice.

Panaro, G. P. (2004). Attorney at Howe & Hutton, Ltd. Unpublished document.

Parsons, M. (2000). Computer investigations and operations update. Washington, DC: Naval Criminal Investigative Service.

Patterson, E., Brigadier General, Commander, Air Force Office of Special Investigations. (2002, May/June). Eagle eyes up and running around Air Force.
Global Reliance.

Peterson, K. E., CPP. (1998). The liaison advantage. Herndon, VA: Innovative Protection Solutions.

Peterson, K. E., CPP. (2002–2005). National Operations Security Program. Presentation to the Federal Protective Service Physical Security Academy.

Peterson, M. B. (1998). Applications in criminal analysis: A sourcebook. Westport, CT: Praeger Publishing Company.

President’s Commission on Critical Infrastructure Protection. (1997). Critical Foundations. Washington, DC: Author.

Presley, L. (2004). Director of Criminalistics, National Medical Services. Interview. Willow Grove, PA.

Presley, L. (2002). The use of forensic science in private and corporate investigations. Presentation to the ASIS International Seminar & Exhibits.

Ray, D. (2003, February). Don’t make a federal case out of it. Security Management, p. 56.

Repetto, T. A. (1978). The blue parade. New York: The Free Press.

RSA Security. (2000). A guide to security policy: A primer for developing an effective policy. Bedford, MA: Author.

Rudewicz, F. E., CPP. (2004, February). The road to rage. Security Management, p. 40. Available: http://www.security management.com [2009, December
22].

Securitas Security Services USA. (2004). History, [Online]. Available: http://www.pinkertons.com [2004, October].

Smith, R. (1997). Former Special Agent in Charge, Central Systems Fraud Detachment, Air Force Office of Special Investigations. Unpublished document.

SouthWest Emergency Response Network (SWERN). (2004). Homeland security information network—Critical infrastructure, [Online]. Available:
https://www.swern.gov [2004, November].

Thompson, A. L. (2004). President, Applied Communications & Technology, Columbia, MD. Interview.

Townley, M., Chief, Office of Operations Security, U.S. Bureau of Alcohol, Tobacco and Firearms. (2003). Protecting critical information. Presentation to
the National Operations Security Conference, Monterey, CA.

U.S. Department of Defense. (2005). DOD dictionary, [Online]. Available: http://www.dtic.mil/doctrine/dod_dictionary/ [2009, December 22].

U.S. Department of Justice, National Drug Intelligence Center. (2005). National drug threat assessment for 2005, [Online]. Available at
http://www.justice.gov/ndic/pubs11/12620/12620p.pdf [2009, December 22].

U.S. Department of Labor, Office of the Assistant Secretary for Policy. (2005). Working partners for an alcohol and drug -free workplace, [Online].
Available: http://www.dol.gov/workingpartners [2009, December 22].

U.S. Sentencing Commission. (2002). Federal sentencing guidelines, chapter 8: Sentencing of organizations, [Online]. Available:
http://www.ussc.gov/2002guid/tabconchapt8.htm [2009, December 22].

U.S. Sentencing Commission. (2004). Sentencing Commission toughens requirements for corpo-rate compliance and ethics programs. News release, April
13, 2004.

University of Florida (2002). National retail security survey.

Webster University, Business and Organizational Security Management Program (2004). Investigations management (Graduate Course Material, SECR
5130). Washington, DC: Author.
 CAPÍTULO 2
INVESTIGACIONES
ENCUBIERTAS

2.1 NECESIDAD DE UNA INVESTIGACIÓN ENCUBIERTA

Las investigaciones encubiertas, aunque complicadas y difíciles, en ocasiones pueden ser de gran valor para la protección y preservación de los activos
corporativos. Sin embargo, se debe optar por la investigación encubierta sólo como una medida preventiva, cuando no existen otras alternativas disponibles
y cuando la compañía puede esperar, en forma razonable, un importante retorno de la inversión. Por lo tanto, saber cuándo y cómo emplear la investigación
encubierta es fundamental para su éxito.

El propósito y los objetivos de una investigación encubierta deben ser identificados claramente con antelación. Se debe seleccionar a un investigador
cualificado, de una agencia de buena reputación, para llevar a cabo la investigación de los hechos y dirigir el proceso. Un equipo de gestión del proyecto,
formado por representantes de la compañía y la agencia, deberían comunicarse a menudo durante el curso de la investigación. Los organismos encargados
de hacer cumplir la ley y el personal deben intervenir solamente cuando sea necesario. Después de la investigación, la comunicación adecuada con la fuerza
de trabajo es fundamental.

A pesar de las buenas intenciones, cada investigación encubierta se encuentra con problemas únicos, y los que están participando en la investigación deben
anticipar las dificultades y establecer contingencias. Con una adecuada planificación y la asignación de recursos necesarios, se pueden evitar muchos
problemas.

El principal problema posible de una investigación encubierta es la posibilidad de que la investigación sea descubierta o comprometida. Por lo general no
es deseable para la fuerza laboral, clientes, proveedores o público en general, que se descubra una operación encubierta, ya sea durante o después de la
investigación. Si los empleados se enteran de una investigación encubierta antes de su término a través de alguna forma de comunicación por parte de la
gerencia, la moral y la productividad podrían verse afectadas de manera adversa. Los clientes o proveedores pueden sentirse disgustados por haber sido
parte de la actividad investigada y podrían optar por descontinuar su relación o patrocinio. La exposición pública de una investigación comprometida puede
provocar más resentimiento y una dolorosa avalancha de publicidad negativa.

Para prevenir un compromiso o exposición no deseada de una investigación, se debe mantener la confidencialidad. Sólo aquellos con una absoluta
necesidad de saber deben ser involucrados o informados de la investigación. Hacerlo de otra forma puede poner en riesgo la inversión de la organización y
poner en riesgo a las personas (incluyendo el investigador encubierto).

2.2 HISTORIA DE LAS INVESTIGACIONES ENCUBIERTAS

Si bien no existe una historia oficial del desarrollo y utilización de las investigaciones encubiertas en Estados Unidos, Alan Pinkerton parece ser el primero
en escribir acerca de la práctica. Pinkerton, un inmigrante escocés, formó una de las primeras agencias de detectives privados en Chicago durante la década
de 1850. Los agentes de Pinkerton se establecieron rápidamente como innovadores y audaces.

Poco después del inicio de la Guerra Civil en 1861, Pinkerton llegó a ser el jefe del Servicio Secreto del general de la Union, George McClellan. En su
libro sobre la época, The Spy of the Rebellion (1883), Pinkerton detalla el funcionamiento interno de la primera red organizada de espías de Estados
Unidos. Con gran admiración y afecto, Pinkerton revela las hazañas de su agente encubierto favorito, Timothy Webster. Pinkerton escribe, “Ningún
historiador contará nunca los miles de peligros por los que pasó al servicio de su país”. No obstante, la carrera de Webster como un investigador encubierto
de Pinkerton no fue larga. Fue arrestado, rápidamente condenado a muerte como espía y ejecutado el 13 de abril de 1862, en Richmond, Virginia, por orden
del Presidente Confederado Jefferson Davis.

En su libro, Pinkerton también identifica a la Sra. Carrie Lawson como la primera mujer agente encubierta de Estados Unidos. Según Pinkerton, los
esfuerzos de la Sra. Lawson y su mayordomo, John Scobell (también empleado y agente encubierto de Pinkerton), proveyeron al Servicio Secreto de
McClellan de información fundamental que, en no poca medida, ayudó al norte y cooperó a derrotar al sur.

Tras la guerra, Pinkerton fue enviado a Washington, D.C., a formar el Servicio Secreto de Estados Unidos. Los agentes encubiertos de Pinkerton también
estaban ocupados después de la guerra. Por ejemplo, fue James McParlan, de Pinkerton, quién en última instancia condujo a la ruina a Molly Maguires, una
organización secreta de irlandeses-estadounidenses que operaba en los distritos mineros del centro y este de Pennsylvania. Al parecer, el nombre
inmortalizó a una mujer que había liderado una rebelión contra los propietarios de las minas en Irlanda durante la década de 1840.

Entre 1865 y 1875, los Mollies y su movimiento se levantaron contra las prácticas laborales opresivas en la industria minera del carbón y las condiciones
de vida miserables en sus comunidades rurales. Debido a que la policía y el sistema judicial penal estaban totalmente controlados por los propietarios de las
minas, los Mollies solían recurrir al asesinato o intimidación de los organismos encargados de hacer cumplir la ley o agentes gubernamentales y
funcionarios de la compañía.
En una muestra de poder, en 1875 los Mollies crearon un sindicato en una región de Pensilvania no organizada y llamaron a huelga. Franklin Gowen,
presidente de Reading Railroad, que tenía muchos intereses mineros, contrató a Alan Pinkerton y su agencia para infiltrar el sindicato. Pinkerton insertó a
su mejor agente encubierto, McParlan, en la organización y su sindicato ilegal. Finalmente, diez Molly Maguires fueron ahorcados. Por razones
desconocidas McParlan murió como un hombre rico. Sospechando colusión, los antepasados de esos condenados presionaron al Congreso de Estados
Unidos para que liberara los informes secretos de McParlan, pero no fueron liberados para su estudio hasta 1947.

Durante las décadas de 1920 y 1930, según lo revelado por agentes reales años más tarde, las compañías de automóviles en Detroit usaban agentes
encubiertos para enfrentar el robo de los empleados y el consumo de alcohol en el trabajo. Aunque, las principales empresas de seguridad física como
Pinkerton, Wackenhut y Burns ofrecían a sus clientes un servicio secreto, seguía siendo sólo una actividad complementaria. Como resultado, las
investigaciones encubiertas como un factor importante en la protección de la industria privada no vuelve a aparecer en registros escritos hasta la década de
1980.

En 1981, la industria se dio cuenta de que el abuso de sustancias había comenzado a tomar el control sobre los trabajadores en Estados Unidos. A través de
artículos publicados en los principales medios de comunicación de la época, los gerentes se vieron forzados a reconocer que un problema social se había
convertido en un problema laboral. En 1985, el método encubierto llegó a ser, y sigue siendo hasta hoy, el método preferido de investigación de abuso de
sustancias y actividad delictiva en el lugar de trabajo.

2.3 ¿QUÉ ES INVESTIGACIÓN ENCUBIERTA?

La investigación encubierta corporativa es la colocación subrepticia de un investigador experto correctamente entrenado, que se hace pasar por un
empleado, en una fuerza laboral confiada, con el propósito principal de reunir información. Ellas son, por naturaleza, operaciones encubiertas. Las
investigaciones encubiertas son complicadas y no se ajustan a todos los ambientes. Como resultado de ello, la investigación encubierta es la forma de
investigación menos comprendida y la más infrautilizada.

La principal diferencia entre las investigaciones encubiertas y otro tipo de investigaciones, es que el investigador encubierto no oculta su presencia ni
intenta operar en forma inadvertida. Los aspectos subrosa 8 de la investigación se centran en la verdadera identidad del investigador, llamado agente, o en
el propósito del estudio. Junto con las entrevistas, la investigación encubierta es una forma de investigación interactiva. Esta cualidad única permite al
agente experto no sólo reunir información respecto al problema del lugar de trabajo, sino también aprender el “cómo” y el “por qué” detrás de las acciones
de aquellos que son objeto de la investigación.

2.4 ¿CUÁNDO SE DEBE USAR LA INVESTIGACIÓN ENCUBIERTA?

La investigación encubierta debe ser la excepción, no la regla. La técnica sólo debe ser contemplada cuando no existen otras opciones disponibles. Si bien
la técnica podría parecer engañosamente simple, la verdad, es complicada, demandante y llena de potenciales desafíos y responsabilidades legales para el
empleador y el investigador. Las prácticas encubiertas también demandan una inversión de tiempo, paciencia y recursos de la compañía. Requiere un
proceso altamente estructurado y un plan perfectamente ejecutado.

Debido a que el agente encubierto hace más que recolectar información periódicamente, y se mezcla con los compañeros de trabajo, ella o él pueden
necesitar interactuar socialmente, así como profesionalmente con el grupo o individuo objeto de la investigación. La relación con el objeto de la
investigación puede ser estrecha y continua, como en un trabajo diario, o periódica o casual, como cuando el investigador se encuentra ocasionalmente con
el objetivo en una actividad recreacional o toma el mismo transporte público. Como consecuencia, la búsqueda profesional de información puede llevar a
entrampamiento y puede colisionar con la necesidad personal de seguridad, inmunidad y privacidad. Esta maraña de consideraciones y complejidades están
entre las razones por las que la investigación encubierta no es para todo el mundo o todo tipo de organización

El cómo se desarrolle una investigación encubierta será determinado por la naturaleza de la información buscada. Las siguientes situaciones son las típicas
que se prestan para el empleo del encubrimiento:

• Información consistente y confiable que sugiere mala conducta del empleado; la conversión (término usado para recibir dinero o una propiedad de
otro y quedarse con ella de forma fraudulenta o aplicarla para uso propio) o actividad criminal, pero que los escasos detalles obstaculizan los
esfuerzos de prevención o la identificación de los implicados.
• Pérdidas que se sabe que están ocurriendo en un sector específico de la compañía, como sería el caso de no registrar el dinero en efectivo aceptado de
los clientes, pero la información disponible no puede precisar cómo ocurre o quién es el responsable o si fue una conspiración (dos o más individuos
involucrados).
• La gerencia sospecha fuertemente que el uso de alcohol, abuso de drogas o tráfico de drogas está ocurriendo en el trabajo, o se han detectado
indicadores reales de estos comportamientos.
• El abuso de alcohol o droga está perjudicando el desempeño en el trabajo, pero los supervisores son indiferentes o incapaces de intervenir.
• Las prácticas del trabajo real necesitan ser comparadas con las políticas exigidas o establecidas, y no es posible una auditoría de rutina
• La gerencia cree que integrar agentes producirá importantes resultados y todas las demás opciones razonables han sido descartadas.
2.5 CUÁNDO LAS OPERACIONES ENCUBIERTAS NO SON APROPIADAS

Claramente, las investigaciones encubiertas no se deben usar para recoger o recolectar información de naturaleza personal o confidencial o para
entrometerse ofensivamente en la vida privada de alguien, donde se espera que exista una privacidad razonable. Esos esfuerzos son enjuiciables y pueden
dar origen a demandas legales contra el empleador y sus investigadores. Específicamente, la opción no se debe considerar en las siguientes circunstancias:

• Para investigar cualquier actividad permitida o protegida por algún estatuto gubernamental, regla o regulación.
• Para reemplazar alguna otra forma de investigación o averiguación de hechos que probablemente producirán los mismos resultados mientras
consume menos tiempo y recursos
• Para investigar las actividades sindicales protegidas. Las leyes federales prohíben la vigilancia o investigación de actividades sindicales.
El uso de actividades encubiertas no debe ser automáticamente descartado simplemente porque una fuerza laboral está sindicalizada. Se le permite al
empleador usar actividades encubiertas e incluso colocar investigadores encubiertos en una fuerza laboral sindicalizada en la medida que no vulnere las
actividades legales y protegidas de ese sindicato o sus miembros. Sin embargo, un empleador no debe usar empleados de un sindicato existente en un rol
encubierto.

2.6 LOS CINCO PASOS DE LA INVESTIGACIÓN

Ninguna organización debe sentir temor de usar la investigación encubierta cuando la situación amerita esa acción. Mientras que la práctica puede ser
compleja y onerosa, la operación puede ser gestionada eficazmente con un plan bien pensado. Las investigaciones exitosas en el lugar de trabajo se
desarrollan en cinco fases distintas: planificación y preparación, recopilación de información, verificación y análisis, medidas disciplinarias y correctivas, y
prevención y educación.

2.6.1 FASE UNO: PLANIFICACIÓN Y PREPARACIÓN

Cuando se ha tomado la decisión de avanzar con una operación encubierta, se deben preparar los planes cuidadosamente, implicando a las personas
adecuadas. En esta fase, se forma un equipo de investigación, se deciden los objetivos de la investigación, se selecciona una agencia de investigaciones y a
los agentes, y se planifican las restantes fases. La planificación es la clave para una investigación encubierta eficaz.

Objetivos de Investigación
Antes de embarcarse en un proyecto de investigación encubierta, la organización debe seleccionar un equipo de investigación. Como mínimo, el equipo
debe incluir un responsable de la toma de decisiones de la empresa, un representante de recursos humanos, un profesional de seguridad corporativo, y un
abogado familiarizado con las leyes laborales, estatales y locales.

Este equipo debe reunirse para decidir sobre los resultados u objetivos que se esperan de la investigación. Si se descubre una mala conducta del empleado,
el resultado podría ser incluir medidas disciplinarias para el empleado, el procesamiento judicial y la restitución. Antes de decidir el curso de acción a
seguir, sin embargo, la organización debe revisar las prácticas anteriores, los precedentes en la industria, las políticas organizacionales, los contratos
laborales aplicables y la tipificación penal de la supuesta actividad. Además, se debe tener en cuenta el efecto en las relaciones con los empleados, en la
opinión pública, la cultura y reputación de la organización, junto con el posible retorno de la inversión cuando no hay otras alternativas disponibles. Estas
consideraciones, a veces incompatibles, deben ser analizadas exhaustivamente y sopesadas antes que se puedan decidir objetivos realistas. Por ejemplo, el
riesgo de malversación puede ser mayor en una organización donde el valor cultural predominante es el económico.

Los objetivos de la investigación regirán el tipo y estructura de la investigación pendiente. Aunque una investigación encubierta puede ser llevada a cabo
para un sólo propósito, podría surgir información no relacionada con ese propósito o sujeto. Prever que surgirá información no prevista y establecer un
mecanismo para tratarla, es una parte necesaria de la fase de planificación.

Algunas situaciones pueden producir información útil para el empleador, pero inadecuada para una investigación. Tratar de determinar la fuerza relativa de
una campaña del sindicato de la organización identificando a los trabajadores que simpatizan con el sindicato, sería un buen ejemplo y podría ser
determinada como una práctica laboral injusta.

Los objetivos de una investigación encubierta pueden incluir los siguientes:

• Identificar la verdadera naturaleza, alcance y autores de un problema.

• Recopilar información para que la gerencia pueda hacer cumplir sus políticas y tomar acciones correctivas.
• Recolectar información de manera que sea lo menos perjudicial para la organización y sus operaciones.
• Garantizar que el proceso provea el mejor retorno de la inversión.
Estos objetivos no sólo son alcanzables, sino también el sello de cualquier investigación encubierta exitosa. Ellos comunican que quienes realizarán la
investigación comprenden las necesidades de la organización y saben cómo satisfacerlas.

Selección de una Agencia

Una vez constituido, el equipo de investigación debe buscar un proveedor que pueda proporcionar el investigador encubierto y llevar a cabo la
investigación. Aunque los organismos encargados de hacer cumplir la ley pueden realizar investigaciones encubiertas en el lugar de trabajo, la mayoría no
tiene ni tiempo ni recursos para dedicarse a una adecuada investigación. Como tal, gran parte de los empleadores se dirigen a las agencias privadas que se
especializan en operaciones encubiertas.

Cuando se está detrás de la selección de una agencia encubierta, el cliente debe:

• Solicitar una copia de la licencia de la agencia y los permisos requeridos. En varios estados, los investigadores privados y sus agencias deben contar
con licencia.
• Pedir ver el currículo de entrenamiento de la agencia y los archivos de entrenamiento de los agentes. La agencia seleccionada debe realizar una
investigación exhaustiva previa al empleo, realizar pruebas de drogas periódicas después de contratarla y debe proporcionar entrenamiento
profesional a sus investigadores.
• Obtener respuestas a las preguntas difíciles respecto al conocimiento y experiencia de la agencia en investigaciones similares al tipo en cuestión.
• Pedir referencias y verificarlas minuciosamente. Las mejores agencias son bien conocidas en la comunidad empresarial y están activas en sus
asociaciones comerciales.
• Averiguar sobre la experiencia en litigios y demandas de la empresa. Todos los investigadores encubiertos deben estar dispuestos a testificar y llevar
sus casos hasta su completo término.

• Pedir muestras de los reportes y examinarlos muy de cerca.

• Exigir a la agencia que proporcione un Certificado de Seguros que nombre a la organización como un asegurado adicional. También asegurarse de
que la cobertura esté basada en la “ocurrencia” del evento (la protección se proporciona sin importar cuándo se hizo la demanda), no en la “demanda
efectuada” (la protección se proporciona sólo durante la vigencia de la póliza).
• Pedir a la agencia que provea referencias policiales y casos en que los organismos encargados de hacer cumplir la ley los ayudó en investigaciones
anteriores. Si bien el procesamiento del empleado no siempre es necesario, las investigaciones que involucran drogas ilegales no pueden ser hechas
sin la ayuda de la policía.
Además, el cliente debe ser advertido de la cantidad de tiempo que se necesita para el trabajo, todos los costos asociados y el método de comunicación que
se usará entre el cliente y el investigador. La compañía también debe garantizar que su abogado corporativo se reúna con el potencial proveedor. Ella o él
jugará un rol fundamental y debe ser un activo participante durante la investigación.

Selección y colocación de un Investigador

Una vez que se ha seleccionado la agencia, el siguiente paso es elegir el investigador. Actualmente, la mayoría de los investigadores encubiertos
profesionales corporativos tienen buena educación, y están entrenados adecuadamente y altamente motivados. Las mejores agencias también les hacen
pruebas de drogas a sus agentes en forma rutinaria. Debido a que es probable que los investigadores nunca sepan cuando se expondrán a drogas y abuso de
sustancias en el lugar de trabajo, ellos deben ser examinados aleatoriamente para garantizar su credibilidad y desalentar su descuido. Salvo una
circunstancia que amenace su vida, el agente nunca debe usar, o incluso probar, drogas ilegales. Hacerlo puede amenazar su credibilidad, poniendo en
peligro toda la investigación.

Los investigadores encubiertos vienen en todas las formas, tamaños y colores. Ellos también varían en experiencia y capacidad. El cliente debe ayudar a la
agencia a elegir un investigador que se homogeneizará con la fuerza laboral de destino. Para garantizar que el investigador calza con el público objetivo, se
debe tener en consideración una serie de factores personales, incluyendo sexo, edad, experiencia laboral, educación y origen étnico. Además, el
investigador debe encajar fácilmente en el nivel socioeconómico y estilo de vida de los trabajadores con los que ella o él se juntará. Por ejemplo, si el
investigador debe trabajar con una fuerza laboral poco capacitada en un trabajo que, generalmente, cumplen personas con educación inferior a la escuela
secundaria, el estilo o gestos del agente no deben dejar entrever que ella o él posee educación universitaria o gasta más que un empleado típico.

Los agentes profesionales también deben tener buenas capacidades de comunicación. No sólo deben hacer informes escritos detallando sus actividades
diarias, también deben ser capaces de comunicarse verbalmente en forma eficaz con el supervisor del agente y ocasionalmente con el empleador o cliente.

El cliente debe proporcionar un puesto al agente que le permitirá al investigador un alto grado de interacción con un gran número de empleados. El puesto
debe permitir al agente la suficiente movilidad para una efectiva red de trabajo y obtener la información deseada en la menor cantidad de tiempo. Para
lograr este objetivo, el operativo debe ser colocado en un puesto que le permita encontrarse con un gran número de empleados y realizar las
responsabilidades de la posición encubierta.

Si bien los agentes encubiertos pueden hacerse pasar por un contratista in situ, también puede ser eficaz como un empleado interno. En estas circunstancias,
el investigador encubierto debe ser tratado sólo como cualquier empleado y no debe recibir ningún tratamiento preferencial o consideraciones especiales.

La adecuada colocación del agente es crucial para la investigación, porque el trabajo seleccionado debe ser uno desde el cual se puedan lograr los objetivos
de la misión. Como ejemplo, si el cliente sospecha que los productos terminados se están desviando a la plataforma de embarque de un centro de
distribución, el trabajo óptimo le daría al investigador el máximo de oportunidades para estar en el muelle o cerca de él. La actividad más importante para
un agente encubierto es aprender el trabajo y familiarizarse con el entorno.

Algunos de los mejores puestos internos para el agente encubierto se encuentran en los siguientes departamentos:

• Manejo de material
• Envío y recepción
• Sala de correos
• Servicio al cliente
 • Seguridad uniformada

Si el puesto requiere habilidades especiales, el agente debe ya contar con esas habilidades necesarias para el trabajo. Si es necesario, se puede proporcionar
un entrenamiento antes que el investigador se reporte al trabajo. Sin embargo, si surge este asunto, el cliente puede encontrar más rentable simplemente
seleccionar otro investigador que ya tenga el nivel de habilidades requeridas. Si se debe usar un vehículo, el cliente debe garantizar que no se pueda rastrear
al investigador.

El investigador puede ser ubicado en un puesto encubierto de dos maneras. En el primero, un contrato en frío, el investigador postula al cargo y es
procesado igual que cualquier otro postulante. Este tipo de entrada es preferible, pero es la menos práctica. En la segunda, un contrato controlado, el
proceso de empleo es manipulado en forma encubierta para que el agente sea contratado y en la capacidad deseada y colocado en el puesto objetivo.

Antes de reportarse en el trabajo, el agente debe idear por adelantado una historia de fachada verosímil, una razón o motivo ficticio para ocultar su
verdadera intención. La historia encubierta debe explicar los detalles de la identidad del investigador y cómo ella o él obtuvo el trabajo. El nivel de detalle
puede ser superficial o muy profundo, dependiendo de las circunstancias. Por lo general, mientras más deba el investigador intimar con los miembros del
grupo objetivo, más profunda debe ser la historia encubierta.

Aunque los detalles necesitarán ser adaptados a la situación específica, la historia de un agente encubierto debe incluir los siguientes puntos:

• Una conexión con el pasado real del agente. En las mejores circunstancias, el agente habrá tenido un trabajo similar antes.

• Una buena “historia de respaldo” que incluya detalles personales que no son verdad, pero los cuales son conocidos para el empleado objetivo. Por
ejemplo, el agente podría aducir que ella o él asistió a una escuela específica, trabajó en un lugar determinado o vivió en el mismo vecindario de su
objetivo.
• El respaldo para las acciones contempladas por el plan de investigaciones. Por ejemplo, si el agente debe pedirle al objetivo que conozca a su “fence”
(comprador de mercancías robadas), entonces el agente debe tener ese tipo de conexión. O, si el agente afirma poseer un vehículo utilitario deportivo,
entones ella o él debe conducir un automóvil de ese tipo.
• Documentos que apoyen la historia encubierta. El agente debe ser capaz de producir los documentos normales que necesita un empleado en situación
similar. Sin embargo, nunca debe portarse ningún documento que indique la real identidad del investigador mientras esté en una misión.

2.6.2 FASE DOS: RECOPILACIÓN DE INFORMACIÓN

Una vez que el cliente, la agencia de investigaciones y el agente han acordado los detalles de la misión encubierta, puede empezar la fase de recopilación de
información. Esta fase implica dos tipos de activos: las personas, o aquellos que participan en el equipo de gestión del proyecto; y los procesos, o cómo
será comunicada la información, reportada y conservada en los archivos del caso.

El Equipo de Gestión del Proyecto

El equipo de gestión del proyecto supervisa el trabajo de casos de investigación real. Puede ser construido a partir del equipo de investigación, no obstante,
debiese incluir cinco personas distintas, pero interconectadas, que trabajen en estrecha relación: el investigador encubierto, el gerente del proyecto, el
representante del cliente, un abogado corporativo y, si es necesario, un representante de los organismos encargados de hacer cumplir la ley. Cada
participante juega un rol muy diferente, pero coordina y comunica cada esfuerzo con los otros miembros del equipo. Esta participación activa y el trabajo
en equipo posibilitan una investigación exitosa.

El investigador encubierto puede hacer exitosa o fallida la investigación. La investigación progresa mediante su capacidad para pensar, planificar, y
ejecutar bajo circunstancias a menudo difíciles y peligrosas. Una vez que la investigación empieza, el investigador primero se ocupa de “construir las
relaciones”. Durante esta fase muy importante, el agente aprenderá el trabajo, se familiarizará con el entorno y conocerá personas. El investigador debe
resistir la tentación de presionar por información o aparecer muy inquisitivo, porque eso puede crear sospechas y posteriormente obstaculizar la capacidad
de recopilar información.

El gerente del proyecto, por lo general alguien de la agencia de investigaciones, debe ser responsable de la administración del día a día del caso, así como
del cuidado y mantención a diario del agente. El gerente del proyecto también debe mantener un contacto regular con el empleador, así como con los otros
involucrados en el proyecto. El gerente del proyecto además debe garantizar que los otros miembros del equipo se mantengan al corriente de los progresos
del agente. Respecto a esto, el gerente del proyecto funciona como el vehículo mediante el cual fluye y se difunde toda la información del caso.

Para ser eficaz, el gerente del proyecto debe ser un buen comunicador, tener habilidades excepcionales de escritura y una buena base de investigaciones y
gestión. La experiencia previa en organismos encargados de hacer cumplir la ley o militares, aunque es útil, no es absolutamente necesaria. Los mejores
gerentes de proyecto tienen altos estándares éticos, comprenden las complejidades del derecho civil y penal, según aplica al proceso de investigaciones, y
tienen excelentes habilidades interpersonales.

El gerente del proyecto también tiene que tener paciencia. Para el agente, la posición encubierta puede ser dura, sucia y agotadora. Los casos que se alargan
por seis meses o más pueden ser tediosos y, a veces, frustrantes. El agente necesita ser vigilado y guiado de cerca, de modo que el caso se mantenga
enfocado y avance con un propósito. El gerente del proyecto debe supervisar y motivar al agente y mantener la misión en curso.

El representante del cliente actúa como principal punto de contacto para el empleador, y toda la información que pasa hacia y desde la organización debe
pasar por esa persona. De este modo, se protege la confidencialidad y se reduce significativamente el riesgo de compromiso accidental. La persona
seleccionada para ese puesto debe estar en un lugar lo suficientemente alto en el organigrama de la organización para que tenga la autoridad de tomar
decisiones políticas y gastar dinero de la organización. La persona también debe ser de carácter fuerte y, por supuesto, digno de confianza.
Muchas agencias de investigaciones y sus respectivos clientes nunca consideran la participación de un abogado en una investigación encubierta. Este
notable error de juicio se evidencia en las demandas que estos malogrados esfuerzos precipitan. Los profesionales de la seguridad que descansan en su
propio conocimiento y en el asesor legal de una agencia de investigaciones para navegar a través de las complejidades de las misiones encubiertas típicas
en el lugar de trabajo, ponen sus trabajos y carreras en riesgo. Una razón importante para involucrar al asesor legal como parte del equipo de gestión es la
de proteger el producto de trabajo del investigador de ser descubierto.

El asesor seleccionado debe ser un especialista en derecho laboral con experiencia en casos que implican demandas laborales. Ella o él también debe
entender las complejidades de los procesos penales y sus efectos en la responsabilidad del empleador. El abogado seleccionado puede ser más eficaz si ella
o él se une al equipo durante la fase de planificación de la investigación, porque la necesaria preparación pre- litigio en los casos encubiertos, es sofisticado
y único en la comunidad investigadora. A diferencia del litigio, la fiscalía tiene la obligación de presentar todas las evidencias que serán usadas por la parte
acusadora, incluso si es perjudicial para la fiscalía. No hacerlo da lugar a que cualquier otra evidencia sea inadmisible y efectivamente inútil para el
propósito de interponer una acción judicial. Por lo tanto, el abogado debe estar cualificado para abordar las dudas laborales, contractuales y las acusaciones
que se presenten.

Los organismos de las fuerzas del orden juegan un rol fundamental en la mayoría de las investigaciones encubiertas en el lugar de trabajo. En casos que
implican drogas ilegales, por ejemplo, no debe realizarse ninguna compra de drogas sin la aprobación de las fuerzas del orden con jurisdicción. En otros
tipos de casos, esos organismos pueden proveer recursos y en algunas instancias participar activamente en la supervisión del agente.

Comunicación
Sin embargo, el equipo del proyecto no puede funcionar sin comunicaciones eficaces. La información puede ser recopilada y compartida a través de
informes escritos, comunicaciones electrónicas o telefónicas.

Los informes escritos son la forma de comunicación fundamental utilizada en las misiones encubiertas. Incluso, antes del informe del agente para el lugar
de trabajo, ella o él puede empezar a generar informes. Aunque las prácticas varían de agencia en agencia, la mayoría de las empresas exige que sus agentes
hagan informes diarios tan pronto como sea posible después de cada turno. Estos informes, en sus formas más básicas, especifican el quién, qué, cuándo,
dónde, cómo y por qué de las observaciones y experiencias diarias del investigador. Cualquiera sea el formato elegido, los informes deben ser fáciles de
leer, y describir con exactitud las observaciones y experiencias del agente. Generado por el agente al final de la jornada de trabajo, los informes luego son
transmitidos al gerente del proyecto para revisión y difusión.

En un informe escrito, el investigador debe asumir que el lector no conoce absolutamente nada sobre el caso que no sea lo que se está informando. Por
ejemplo, descripciones como “corto”, para describir la altura de una persona, o “pequeña cantidad”, para cuantificar el uso de droga, obliga al lector a
imaginar lo que el redactor está tratando de decir. Incluso “en la tarde” y “a primera hora” son términos relativos. El uso de lenguaje simple y directo
mejora la exactitud y claridad del informe.

En Anexo A se muestra un informe básico de un agente, utilizando una línea de tiempo u orden cronológico. La información contenida en el informe está
organizada de manera que los hechos se suceden el uno al otro en una secuencia lógica, y el material relacionado a un incidente o evento en particular
puede ser localizado y entendido fácilmente.

Uno de los formatos más populares para los informes de investigación hoy en día, la narrativa estructurada, se muestra en el Anexo B. Este simple, pero
sofisticado formato también presenta información en orden cronológico, pero incluye información más detallada. Igualmente es digno de mención por su
sencillez y facilidad de lectura, ya que usa un tono coloquial.

El informe narrativo es escrito en tercera persona, usando texto descriptivo o “el agente”, en lugar de primera persona usando el pronombre “Yo”. Se
prefiere esta técnica por dos razones. La primera es muy práctica: si el informe es escrito en primera persona, técnicamente no puede ser editado por nadie
que no sea el autor. Por ejemplo, supongamos un agente que envía un informe al gerente del proyecto, el cual incluyó la siguiente frase: “Yo observé a Ben
Richards abandonar su máquina asignada”. Antes que el gerente del proyecto pudiera preparar un informe para presentárselo a un cliente, la frase
necesitaría ser editada a tercera persona: “el agente observó a Ben Richards abandonar su máquina asignada”. En este caso, el informe tendrá que volver a
ser autenticado por el agente antes de que pueda transmitirse. Este dilema es fácil de superar, simplemente generando todos los informes en tercera persona,
una práctica que elimina las reescrituras masivas y ahorra tiempo y esfuerzo.

La segunda razón para preferir los informes en tercera persona es más complicada. Supongamos que los resultados de la investigación fueron impugnados,
y el gerente del proyecto que editó los informes del agente fue depuesto o llamado a testificar. Mientras está bajo juramento, al gerente del proyecto se le
podría pedir que identificara al autor del documento. Ella o él tendría que admitir que el informe del agente fue alterado (editado). Cuando se le pidiera que
identifique las alteraciones, el gerente podría ser incapaz de comparar la versión editada con la original y podría fácilmente omitir algo o cometer un error.
El error puede ser aprovechado en un intento de demostrar que el informe presentado al cliente (y finalmente utilizado para tomar decisiones) posiblemente
sea inexacto, ya que el gerente del proyecto ni siquiera pudo reconocer lo que ella o él modificó.

Si el informe del agente ha sido creado en tercera persona, no obstante, el gerente del proyecto podría explicar lógicamente que el informe que generó para
el cliente no fue una versión adulterada del trabajo de otra persona. De este modo, el gerente podría dar fe de la exactitud del documento y explicar
cualquier diferencia con el informe original del agente. La versión presentada no luciría como un informe corregido hecho pasar por un original.

Para ver esta importante diferencia, compare el informe del agente en el Anexo A y el Anexo B con el consiguiente informe del gerente del proyecto en el
Anexo C. Queda claro que sería difícil conseguir del Anexo A el informe para el cliente proporcionado en el Anexo C sin hacer uso de una gran licencia
literaria y tinta roja.

También note que cada entrada en el Anexo B es un párrafo independiente precedido por un código alfanumérico. Estos códigos permiten posteriormente al
gerente del proyecto, fusionar los informes diarios del agente y luego ordenarlos por tema o por fecha. Electrónicamente, el gerente del proyecto puede
preparar rápidamente un informe para el equipo de investigación, en el cual la información es ordenada cronológicamente así como por tema. Este
“resumen de la investigación”, también escrito en tercera persona, se proporciona a los miembros adecuados del equipo de investigación en lugar de los
informes diarios. El Anexo C es un ejemplo de un típico resumen de la investigación.

La frecuencia de los resúmenes de investigación dependen de las necesidades y deseos del usuario. Por lo general, esos resúmenes son preparados después
que el agente ha completado diez días consecutivos de trabajo. Este tiempo permite la acumulación de suficiente información que admita un análisis
reflexivo de los acontecimientos y provea el contenido con cierta continuidad.

La información de los informes diarios del agente se puede combinar perfectamente en el resumen de informe de la investigación –como en el párrafo A-13
del informe diario en el Anexo B y el último párrafo del informe resumen en el Anexo C. Debido a que el informe del agente fue escrito en tercera persona,
se desliza fácilmente en el informe resumen. Reorganizando la información por temas hace el resumen de la investigación más fácil de leer y mucho más
fácil de usar por el equipo del proyecto.

Otro informe que normalmente se produce durante la investigación se denomina “informe especial”. Estos informes documentan un evento especial
observado por el agente o algo que no sean los acontecimientos normales en el curso de la investigación. Aunque no hay un formato establecido para estos
informe especiales, deben ser fáciles de leer y preparar. Un ejemplo de esos informes se muestra en el Anexo D. Observe que fue creado fácilmente del
informe resumen de la investigación (Anexo C). Si el documento pudiera ser utilizado como evidencia criminal, debiera ser revisado y firmado por el
agente antes de ser enviado a la empresa cliente.

Otra manera del equipo de gestión del proyecto de difundir eficazmente la información, es a través de las comunicaciones electrónicas, las cuales han
reemplazado muchos métodos tradicionales de comunicación en la era digital actual. Por ejemplo, el correo electrónico, método de comunicación preferido
por gran parte del mundo empresarial, ha ensombrecido los correos escritos y otros medios físicos de mover información debido a su rapidez, eficiencia y
bajo costo. Un informe de un agente subido a la red de la agencia de investigación, al final de la jornada laboral, puede se descargado, editado y reenviado
a los pocos minutos de haberlo recibido un destinatario en la ubicación del cliente. Usando video digital, la agencia de investigación sofisticada puede
transmitir escenas de una transacción de drogas en el lugar de trabajo a prácticamente cualquier persona con acceso a Internet.
Las comunicaciones telefónicas, ya sean convencionales o inalámbricas, son un componente necesario en las investigaciones encubiertas modernas de hoy.
Además de proporcionar un informe escrito diario, el agente debe hablar con el gerente del proyecto todos los días. Sin embargo, generalmente ella o él no
necesitan tomar o conservar notas sobre las conversaciones telefónicas. Como una función de las operaciones normales, el gerente del proyecto puede
elegir documentar los contactos telefónicos para garantizar al cliente que la comunicación con el agente se produjo. En última instancia, lo tangible, los
informes escritos, serán usados por las partes involucradas como base para las acciones.

Expedientes del Caso

Al término de la investigación, se debe conservar todos los documentos del expediente del caso, incluyendo las notas originales, los informes y los
resúmenes de la investigación, así como cualquier evidencia. La persona designada para mantener y archivar el expediente del caso cerrado, se denomina
“custodio del expediente”.

La gestión y formato de los expedientes del caso es, principalmente, una cuestión de preferencia del gerente del proyecto. Sin embargo, el sistema elegido
debe ser simple y ordenado. Debido a que las investigaciones encubiertas tienden a generar una gran cantidad de papeles, las carpetas grandes de tres
anillas funcionan bien como porta documentos.

Como mínimo, el expediente debe incluir secciones para los siguientes documentos: informes diarios del agente, informe de resumen de la investigación,
informes especiales, correspondencia e información de facturación y gastos.

La carpeta del caso debe ser marcada como “confidencial”, y no debe tener ninguna referencia al agente o a la investigación en la cubierta exterior. Incluso
un nombre en código o número de caso en la parte exterior del expediente podría despertar sospechas e invitar a alguien con acceso casual a dar un vistazo.

Los archivos y carpetas electrónicas se deben descargar y almacenar en forma segura, de preferencia en CD o DVD grabable. Cada disco puede contener
cientos de megabytes de información, espacio suficiente para albergar el expediente de un caso, incluso de la investigación más grande. Las imágenes
digitales, hojas de cálculos y bases de datos también pueden ser descargadas al disco y almacenadas para su custodia. Aunque los duplicados de los
archivos y de la información se pueden borrar para ahorrar espacio en los servidores, los documentos y archivos originales siempre deben mantenerse.

2.6.3 FASE TRES: VERIFICACIÓN Y ANÁLISIS

Una vez que el agente ha sido retirado, los otros miembros del equipo de gestión del proyecto asumen la tarea de llevar el caso a su conclusión, mediante la
realización de entrevistas al empleado. Las entrevistas son el componente más crítico de toda la investigación encubierta. Aquellos que utilizan esta
poderosa herramienta, darán testimonio de que la mayor cantidad de información recabada durante el proceso investigativo proviene de sus entrevistas. La
información sobre cómo realizar entrevistas apropiadas se puede encontrar en el capítulo de Protección de Activos dedicado a la entrevista y el
interrogatorio.

Cabe señalar una diferencia. En las investigaciones más generales, el proceso de entrevista se cierne sobre los autores con el paso del tiempo. Sin embargo,
las entrevistas que siguen a una investigación encubierta, por lo general empiezan con aquellos más involucrados y luego sigue con los menos implicados.
Esto se hace por una serie de razones, la más obvia es que el o los autores ya han sido identificados por el agente y las entrevistas a otras personas antes de
interrogar al sospechoso puede poner a este sobre aviso.

Después de las entrevistas, el equipo de gestión del proyecto debe compilar toda la información recabada durante la investigación y separarla por individuo.
Por lo general, la información puede provenir de tres fuentes: información desarrollada por el agente, detalles provistos por el empleado durante una
entrevista personal o relatos proporcionados por otras personas durante sus entrevistas. El equipo de gestión del proyecto puede, a continuación, prepararse
para guiar a los representantes de la compañía a través de la información, analizando la totalidad de la información de cada delincuente.
2.6.4 FASE CUATRO: MEDIDAS DISCIPLINARIAS Y CORRECTIVAS

Una vez que se ha completado el proceso de entrevistas, el equipo de gestión del proyecto entrega la información a los responsables de tomar las decisiones
por parte del cliente, quienes luego determinan cómo se administrará la disciplina. En esta instancia, el profesional de seguridad, y los otros miembros del
equipo de gestión del proyecto de investigación, son los recolectores de la información; son otras las personas en la empresa quienes toman las decisiones
disciplinarias. Una vez que se han tomado las medidas disciplinarias y correctivas, todos los archivos, registros, cintas y evidencias deben ser entregadas al
custodio del expediente para su almacenamiento y resguardo.

Después de la aplicación de disciplina, se recomienda la comunicación con los demás trabajadores. Las comunicaciones, ya sea escritas o habladas, no
deberían hacerse hasta después que todas las medidas disciplinarias y correctivas se han llevado a cabo. Toda reunión debe ser directa y sencilla.

2.6.5 FASE CINCO: PREVENCIÓN Y EDUCACIÓN

No hay una discusión a fondo sobre el mal comportamiento de los empleados sin mencionar la prevención. Generalmente, el delito en el lugar de trabajo es
una función de tres elementos fundamentales:

• La calidad de las personas que la organización contrata.

• El entorno en el cual esas personas están ubicadas.

• La calidad de la supervisión que gestiona ese entorno y esas personas.
La mayoría de los delincuentes descubiertos durante una investigación encubierta no disfrutaban los trabajos que tenían y nunca debieron haber sido
contratados. Es razonable detener el problema en la puerta mediante una investigación previa al empleo eficaz.

Muchas lecciones se pueden aprender de una investigación encubierta. Los resultados pueden revelar fallas en la capacitación y dejar en evidencia
deficiencias educativas. El equipo de gestión del proyecto debe hacer recomendaciones apropiadas a la gerencia corporativa, la cual puede seleccionar las
que le proporcionarán el mayor retorno sobre la inversión.

Con frecuencia, los supervisores y gerentes no cuentan con las habilidades o herramientas necesarias para evitar que los problemas se repitan. En este caso,
la educación y el entrenamiento es la respuesta. Los módulos de entrenamiento desarrollados para este propósito podrían cubrir los siguientes temas:

• Detección y prevención del abuso de sustancias en el trabajo

• Prevención de pérdidas y protección de activos
• Prevención del robo de empleados
• Prevención de la violencia en el trabajo
• Supervisión básica y gestión de personas

2.7 RETIRO DE UN AGENTE

La cantidad de información útil recopilada en cada investigación encubierta, finalmente alcanza un punto de rendimiento decreciente. Por lo general, la
investigación ha generado suficiente información que permite que el agente sea retirado. El momento para retirar el agente por lo general es uno de los
temas más debatidos entre los supervisores encubiertos. Sin embargo, la respuesta es simple: el agente debe mantenerse tanto como sea posible. No
obstante, si el agente es retirado, ella o él debe salir con una explicación razonable.

En los casos donde las entrevistas siguen al esfuerzo encubierto, el agente debe permanecer en el lugar hasta que sea mencionado como co-autor por
bastantes entrevistados, de modo que ella o él ilógicamente también deba ser entrevistado. El mejor momento para retirar un agente es una vez que ella o él
ha sido denominado como autor. Retirar el agente muy pronto sólo levantaría sospechas. Si es retirado antes que las entrevistas empiecen, quedará claro
para todos que la persona en cuestión era un informante.

Si el investigador encubierto no se ve comprometido o por el contrario descubierto cuando el caso está terminado, ella o él puede continuar siendo muy
valioso si se le deja en su sitio. Después de una investigación altamente visible en el lugar de trabajo, las comunicaciones deben abrirse a todos los niveles
de la organización. Una vez que un empleador ha tomado la acción disciplinaria u otra acción correctiva tras un caso de alto perfil, los delincuentes que no
han sido capturados pueden sentirse confiados. Algunos, incluso, presumir de su astucia y habilidad para zafarse de ser capturados por la gerencia. Estas
personas, entonces, se convierten en blancos fáciles para el agente encubierto y continuar la investigación.

2.8 TIPOS DE INVESTIGACIONES ENCUBIERTAS

Si bien las investigaciones encubiertas pueden revelar una serie de aspectos de prevención de pérdidas, dos tipos han llegado a ser las más comunes en los
últimos años: las investigaciones de drogas y las de robos.
2.8.1 INVESTIGACIONES DE DROGAS

Contrariamente a la creencia popular, las investigaciones de drogas en su mayor parte son relativamente fáciles y no siempre son peligrosas. Una vez que
un investigador encubierto se ha integrado exitosamente a la fuerza laboral y es aceptado por los compañeros de trabajo, su esfuerzo puede ser más
concreto. Aprovechando los contactos establecidos durante la fase inicial de la investigación de construcción de relaciones, el agente puede empezar a
identificar los abusadores de sustancias. Con la orientación del gerente del proyecto y de los organismos encargados de hacer cumplir la ley, el agente
puede, sistemáticamente, seguir la información de cada abusador de sustancias a medida que son identificados. El agente eventualmente puede tener la
oportunidad de comprar drogas de aquellos que están dispuestos a venderlas, de modo de separar los usuarios de los traficantes. Para evitar problemas, se
deben establecer directrices para dirigir al agente durante esta importante etapa de la investigación.

Las directrices para la compra de drogas no son un asunto de política pública o ley. Más aun, son elaboradas por el equipo de investigación para darle una
dirección al agente. Las directrices deben abordar los siguientes detalles:

• Calificar al Distribuidor. Entrampamiento se define mejor como inducir a una persona a cometer un delito. Para superar cualquier demanda de
potencial entrampamiento (el que en realidad no es un delito, sino una defensa penal), el agente debe calificar cada persona a la que tiene intención de
comprarle. La calificación puede ser hecha a través de un simple informe cubriendo dos puntos. Primero, el agente debe establecer que el
comportamiento o actividad en cuestión era preexistente, o que el traficante había vendido drogas anteriormente. Segundo, el agente debe establecer
por qué el traficante quiere venderle. El motivo perfecto sería ganancia financiera. Estableciendo un motivo adecuado, los traficantes no pueden
alegar que fueron inducidos en forma inapropiada a participar en una actividad que ellos sabían que no era correcta. Para evitar cualquier demanda de
entrampamiento, el agente nunca debe invitar a otro empleado a cometer una actividad delictual.
• Coordinar con las Fuerzas del Orden: toda compra de droga en el lugar de trabajo debe ser realizada bajo el control y supervisión de las fuerzas del
orden. Aunque este paso no siempre es posible, se debe hacer todo intento posible para asegurarse que los organismos encargados de hacer cumplir la
ley están conscientes y aprueban la compra de la droga. Esto es especialmente cierto durante un “operativo de compra” al final de una operación
encubierta. Sin esta inmunidad, el agente y la agencia de investigaciones podrían verse enfrentados a un procesamiento penal por posesión, transporte
o compra de una presunta sustancia controlada.
• Comprar Menos no Más: Como un asunto práctico, los agentes encargados de hacer cumplir la ley, por lo general compran cada vez mayores
cantidades de drogas a los traficantes que ellos persiguen. Ellos compran su camino hacia la cadena de distribución esperando finalmente eliminar el
suministro en su origen. Sin embargo, en las investigaciones de drogas en el lugar de trabajo, el agente debe comprar la menor cantidad posible que el
traficante esté dispuesto a vender. El empleador sólo debe demostrar que se cometió una violación a la política. La cantidad vendida no es un tema.
Más aun, comprando pequeñas cantidades el agente puede comprar más seguido y a más personas. Compras mejores o más grandes se deben hacer
próximas a la conclusión de una operación encubierta.
• Comprar en Horario de Trabajo de la Empresa: En la mayoría de las circunstancias, el empleador no puede controlar lo que un empleado hace fuera
del trabajo. El foco de la investigación en el lugar de trabajo debe estar en los problemas y malos comportamientos dentro del lugar de trabajo, no en
la aplicación del derecho público.
• Evitar el Uso de Drogas: Salvo una situación que ponga en riesgo su vida, el agente no debe usar drogas ilegales. Para ayudar a preservar la
credibilidad del agente a ojos del cliente, se deben hacer las pruebas rutinarias de drogas. Los resultados de pruebas periódicas de pelo y orina pueden
demostrar que el investigador no es un abusador de sustancias y no ha usado una droga ilegal.
La compra de drogas da credibilidad a la demanda del empleador de abuso de sustancias en el trabajo. No obstante, la falta de una compra de drogas real no
es algo fatal para una investigación de drogas. Muchos factores y situaciones pueden surgir que fuercen al investigador a renunciar a una compra que, de lo
contrario, sería permitida. Por ejemplo, un traficante calificado podría insistir en que toda compra de drogas se realice fuera de la propiedad de la empresa,
en lugares donde ella o él estaría a solas con el investigador. En otros casos, el traficante podría insistir en que el agente use la droga antes de que él se la
venda. No obstante, la investigación correctamente diseñada, contempla estas situaciones durante la fase de planificación e identifica soluciones.

Investigadores con experiencia (y árbitros) saben que las compras de drogas no son necesarias para hacer buenos casos relacionados con drogas. Más bien,
las buenas investigaciones hacen buenos casos relacionados con drogas. Producto de ello, la investigación de un posible uso de drogas debe incluir más que
un agente encubierto. El equipo de investigación también puede recurrir a una serie de técnicas investigativas. Desde pruebas químicas y tecnología de
exploración de iones, hasta el uso de perros entrenados para narcóticos, el proceso de investigación debe emplear todas las herramientas de recopilación de
información disponibles.

Si los objetivos de la investigación incluyen la acusación judicial, el equipo debe estar seguro de que es necesaria. Lo más importante, el valor de acusar al
empleado debe ser calculado cuidadosamente cuando se determine el retorno global de la inversión. Sorprendentemente, el procesamiento judicial de un
empleado raramente proporciona un verdadero retorno de la inversión para la empresa. Son preferibles los recursos de las acciones disciplinarias, ya que la
acusación judicial, desde la perspectiva del negocio, sólo erosiona más el balance final de la empresa y ha demostrado tener poco valor disuasivo.

2.8.2 INVESTIGACIONES POR ROBO

Las investigaciones encubiertas se utilizan a menudo para determinar si se está produciendo un robo en el lugar de trabajo. Las investigaciones por robo
son el espejo de cualquier otra investigación encubierta. Sin embargo, se debe tener especial cuidado durante la fase de planificación.

La estrategia y las tácticas juegan roles importantes en casi todas las investigaciones por robo que tienen éxito. El investigador debe convertirse en visible y
accesible para aquellos que están robando. Debido a que la identidad de los perpetradores puede no ser conocida al inicio de la investigación, esta parte de
la investigación puede ser particularmente difícil, onerosa y consumidora de tiempo.
Como una alternativa, los agentes deben tratar de atraer a los ladrones hacia ellos. En una de las tácticas más básicas usadas para investigar el robo de
empleados, el agente parece ya estar involucrado en alguna forma de actividad delictual. Los empleados que están implicados en un quebrantamiento de la
ley de una manera, por lo general fácilmente se unen al agente en el intento de violar la ley de otra manera también, un fenómeno conocido como
consistencia cognitiva.

Un conocido axioma encubierto dice que donde uno encuentra abuso de sustancias también encontrará robo. Por lo tanto, el investigador encubierto
prudente, buscando resolver un problema de robo, primero debe buscar un problema de abuso de sustancias. Por estar aparentemente en el medio del
problema de abuso de sustancias del cliente, el agente puede obtener acceso directo a aquellos implicados en robos o desvíos de activos de la compañía.

Otro investigador, o un tercero, puede hacerse pasar por un sombrío socio del agente con conexiones criminales. Sin una gran cantidad de tiempo de espera
o preparación, este socio puede ser arrastrado dentro o fuera del juego. Sin en realidad llamar al socio un comprador, un ladrón o traficante de drogas, el
agente cuidadosamente lo presenta como un amigo sumamente confiable, un pariente o un miembro de la banda.

En las investigaciones por robo, es perfectamente aceptable que los agentes participen en un plan para robar. Pero, debido a que su credibilidad está en
juego, todas las actividades de robos deben ser hechas con un propósito explícito y ser pre-aprobadas por el equipo de gestión del proyecto.

A todo el mundo le gusta obtener algo a cambio de nada y los criminales no son la excepción. El ofrecimiento de pequeños artículos, cigarrillos o
herramientas comunes a precios ridículos, es uno de esos que provocan el aumento de la credibilidad delictual del agente, haciendo que los compañeros de
trabajo piensen que los productos son robados. Incluso las entradas para eventos son otro popular regalo o artículo para vender.

Sin embargo, una advertencia: introducir armas de cualquier tipo en una investigación es un peligro innecesario y probablemente ilegal. A un investigador
ocupado en la venta de mercaderías de precios más bajos de lo habitual, le podrían pedir que consiga un arma, por ejemplo. Al investigador no se le debe
permitir hacer algo que disminuirá su seguridad o la del lugar de trabajo o hacer algo que sea ilegal o inapropiado. Un caso puede ser trabajado de muchas
maneras sin colocar a la gente en riesgo.

Operaciones de Compra (Buy-Bust) y Encubiertas (Sting)

La operación de compra no es nada más que arrestar al delincuente en el momento en que ella o él está comprando o vendiendo la propiedad en cuestión.
Generalmente, la otra parte de la transacción es un miembro de un organismo encargado de hacer cumplir la ley o un agente designado. Ante una señal
previamente acordada, el sospechoso es confrontado y arrestado en el punto. Arrestar al delincuente en esta etapa de la investigación evita la pérdida o
destrucción de una evidencia valiosa y elimina la necesidad de perseguir después a los delincuentes peligrosos y posiblemente armados.

En los casos de robo, así como en la mayoría de los casos de drogas, esta técnica funciona mejor hacia el final de la investigación. Debido a que las
operaciones de compra generalmente culminan la investigación, la verdadera identidad del agente encubierto y del agente policial pueden,
intencionalmente, ser descubiertas durante la operación, aunque no siempre es el caso ni siempre es necesario.

Por otra parte, las operaciones encubiertas son similares, pero el término generalmente tiene una connotación de esfuerzo investigativo más largo y más
complicado. Las operaciones encubiertas generalmente implican montajes elaborados y operaciones de compra. Ellas podrían incluir el montaje real y la
operación de una empresa como un frente o lugar donde se venden o transan bienes robados. Debido a su complejidad, las buenas operaciones encubiertas
generalmente son caras y consumen tiempo.

Marcadores de Evidencia
Los marcadores invisibles de evidencias han existido durante años. Estos interesantes productos permiten al usuario marcar subrepticiamente una
propiedad, por lo que si es robada y luego recuperada, su verdadero dueño puede ser identificado. La información específica de este tipo de marcadores
invisibles se puede encontrar a través de una búsqueda en Internet o en un catálogo de suministros de cualquier organismo encargado de hacer cumplir la
ley.

Evidencias de Corroboración
En la mayoría de los casos por robo, la evidencia de corroboración de la evidencia más allá de lo previsto por el investigador encubierto, a menudo es
invaluable. La forma más común y económica de evidencia corroborativa es la cinta de video. Mediante una acción cuidadosamente diseñada, el agente y el
ladrón pueden ser colocados en una posición perfecta para ser grabada. De esta forma, se puede documentar los bienes robados, el dinero y la transacción
completa.

Compras Múltiples
Al igual que en las investigaciones de drogas, las compras múltiples del ladrón hacen un caso más sólido. Como una cuestión de práctica, el agente siempre
debe tratar de hacer más que una compra de cada participante. Las compras múltiples ayudan a eliminar el alegato de que la actividad fue espontánea o una
anormalidad. Las compras múltiples también ayudan a probar que el autor es un verdadero delincuente y no sólo alguien que cometió un error una sola vez.
Inicialmente, el investigador debe comprar una cantidad mínima.

Recuperaciones
Las recuperaciones pueden ser una gran parte de las investigaciones por robo. Si bien la determinación de quién está robando y qué están robando es muy
valiosa, de igual valor es por qué están robando y cómo el bien robado está siendo dispuesto. Si otras partes están recibiendo el bien, la recuperación civil
puede ser posible. Una vez que estos ladrones adicionales son identificados, la investigación puede ser diseñada para permitir su recuperación, así como los
principales autores. Mientras que las recuperaciones típicas incluyen el bien mismo o la consideración del bien, del mismo modo se pueden recuperar los
costos de la investigación. Un acuerdo de este tipo aumenta significativamente el retorno de la inversión de cualquier investigación, no sólo de las
encubiertas.
2.9 COSTO DE LAS OPERACIONES ENCUBIERTAS

Una investigación encubierta exitosa requiere dinero. El tamaño, alcance y naturaleza del problema determinará la cantidad de dinero que el empleador
debe invertir. Hoy en día, las empresas de investigaciones encubiertas más experimentadas cobran por semana (o un incremento mayor). La tarifa semanal
generalmente está basada en una semana laboral de cuarenta horas más un “salario mínimo” pagado al investigador encubierto. La tarifa semanal incluye
cargos tanto para el tiempo del investigador y su supervisor, como para la redacción del informe, transcripción, franqueo y comunicación con el punto de
contacto designado por el empleador. Esta tarifa debe cubrir todo, excepto los gastos menores y el costo de otras investigaciones especiales usadas para
aumentar el esfuerzo encubierto. Cuando se factura de esta manera, el investigador mantiene el salario mínimo, y la agencia paga la diferencia entre eso y
el salario normal del agente.

2.10 EL FUTURO DE LAS INVESTIGACIONES ENCUBIERTAS

En el futuro, las demandas de una población que envejece y el compromiso de la sociedad con ellos alterará significativamente la economía mundial. Las
empresas emprendedoras aprovecharán la oportunidad y satisfarán estas necesidades. Como ocurre siempre, las nuevas industrias generan nuevos
problemas y oportunidades delictivas.

Una de las herramientas que probablemente serán utilizadas para abordar estos desafíos son las investigaciones encubiertas. Ya, el abuso y mal trato de
ancianos ha sido noticia de primera plana. Incapaces de defenderse solos y, a menudo, sin poder informar efectivamente el abuso, los ancianos son víctimas
fáciles. Los investigadores encubiertos instalados correctamente en esos entornos pueden ayudar a encontrar una solución.

Una oportunidad similar es el cuidado de los niños. Nuevamente, la potencial exposición al abuso y conducta criminal no sólo es enorme sino que horrible.
Los investigadores encubiertos, haciéndose pasar por personal, enfermeras y médicos, pueden infiltrar las instalaciones y monitorear la operación y sus
empleados de una manera que ninguna otra forma de investigación puede. Incluso ni las cámaras ocultas pueden captar lo que se dice detrás de las puertas
cerradas o qué se les está diciendo a los niños que digan o piensen. Los agentes encubiertos manejados adecuadamente pueden identificar el abuso y la
negligencia.

También es evidente el desafío creciente en la industria del cuidado de la salud. Los hospitales e instituciones de salud ya no pueden permitir que las visitas
y miembros del personal deambulen libremente alrededor del hospital o sus campus. El robo de bebés, sabotaje de equipos y los asaltos han intensificado
las preocupaciones de todos los administradores de hospitales y profesionales de la seguridad. Debido a su entorno abierto, los hospitales son el principal
blanco de los ladrones, los vándalos y otras formas de actividad criminal. Desafortunadamente, más cerraduras, cámaras o guardias no eliminará el
problema. Aunque estas herramientas juegan un rol crítico en la mantención de la seguridad de las instituciones de la salud, será necesario hacer más.

Los agentes encubiertos bien colocados entre el personal, o haciéndose pasar por pacientes y visitantes, pueden fácilmente servir como herramientas
rentables para aumentar las arquitecturas de seguridad existentes. Debido a la alta movilidad de la que goza la mayoría de los empleados y visitantes de
hospitales, se transforman en entornos perfectos para investigaciones encubiertas eficaces y exitosas.

Las compañías de tecnología actuales, mañana serán estrellas del pasado si no pueden mantener su ventaja competitiva. Los grandes avances tecnológicos
que han creado serán usados contra ellos para robar sus secretos, sus ideas y su gente. Las empresas más audaces ya están tomando medidas.
Discretamente, algunas de las grandes potencias de la alta tecnología en Estados Unidos están utilizando agentes encubiertos para monitorear y proteger sus
secretos más importantes. El esfuerzo es rentable y tremendamente apropiado.

Los gobiernos también pueden ser consumidores de servicios encubiertos. Algunas posibles aplicaciones incluyen la investigación de reclamos de
discriminación o la vigilancia encubierta de las instalaciones de procesamiento de alimentos y lugares de eliminación de residuos. Todo el sector
empresarial podría beneficiarse de las operaciones encubiertas, incluyendo la industria del transporte y la de los alimentos y medicamentos. El entretejido
de las cadenas de empresas que forman estas industrias y que tienen alta rotación de personal entre puestos financieros clave, los dejan plagados de posibles
despilfarros y fraudes –el engaño intencional perpetrado con el propósito de retener ilegalmente la propiedad del otro.

El futuro de las operaciones encubiertas es brillante en la medida en que más organizaciones se den cuenta que esta opción puede ofrecer una solución
donde otros métodos de seguridad no pueden. Para mantenerse competitivo en la economía global actual, las compañías no pueden permitirse el lujo de
absorber las pérdidas que se pueden descubrir y corregir discretamente. La conciencia corporativa se transformará en acción, como debe ser.

______________________________
8 Nota del Traductor: expresión latina que significa “bajo la rosa” y se usa para denotar secreto o confidencialidad.
ANEXO A

REPORTE CRONOLÓGICO

INFORME DIARIO DE LA EMPRESA DE INVESTIGACIÓN XYZ

*** INFORMACIÓN CONFIDENCIAL***

AGENTE: A1234B MISIÓN: 000-000-000

DIA: JUEVES FECHA: 26/08/2010

06:00 LLEGUÉ A 000-000-000 Y MARQUE EL INGRESO.

07:45 TOMÉ UN DESCANSO Y OBSERVÉ A BEN RICHARDS (EMPLEADO, SOSPECHOSO #1) Y A MIKE MILLER
(EMPLEADO, SOSPECHOSO #2) REUNIDOS DE MANERA SOSPECHOSA.
10:00 FUI A UN DESCANSO (NO PROGRAMADO) Y HABLÉ ACERCA DE NO PODER FLOJEAR MÁS EN EL
TRABAJO, PORQUE EL SUPERVISOR, CHRIS WATTS (EMPLEADO, SOSPECHOSO #3) HABÍA VUELTO DE
VACACIONES EL MIERCOLES 25/08/2010. WATTS DIJO QUE EL VIERNES SERÍA UN TURNO DE 12 HORAS.
12:00 MARQUÉ SALIDA Y FUI A ALMORZAR CON MIKE KILNER (EMPLEADO)
13:10 ABANDONÉ MI ÁREA DE TRABAJO PARA CONVERSAR CON JOHN (LNU, CONSERJE)
13:15 LE COMPRÉ MARIHUANA A RONNY SANDERS (EMPLEADO, SOSPECHOSO #7). VER EL INFORME DE
INCIDENTES #7
14:50 LIMPIÉ MI ÁREA DE TRABAJO
15:00 MARQUÉ SALIDA Y ME FUI DE 000-000-000
15:30 FUI AL BAR J.J. Y ME TOMÉ UNA CERVEZA CON VARIOS EMPLEADOS.
16:00 ME FUI DE J.J.

***FIN DEL INFORME***

ANEXO B

INFORME NARRATIVO

A-13 Actividad Sospechosa de Droga

El jueves 26 de agosto 2010, aproximadamente a las 7:45 a.m., en el área de producción, el agente observó a Ben Richards (operador/temporal) abandonar
su máquina asignada acompañado por Mike Miller (supervisor de producción). Richards y Miller entraron al armario de suministros y cerraron la puerta
detrás de ellos. Ambos empleados permanecieron en el armario por alrededor de 3 minutos. Richards regresó a su máquina. Miller salió del departamento.
El agente se propone seguir y hablar con Richards sobre el incidente mañana.

E-23 Mensaje de Gerencia

El jueves 26 de agosto 2010, aproximadamente a las 10:00 a.m., en el área de producción, Chris Watts (supervisor de piso) informó al departamento de
producción que el viernes 27 de agosto 2010 iba a haber un turno de 12 horas obligatorio, debido al exceso de órdenes de los clientes. Watts advirtió a
todos los empleados de producción que no llegaran tarde o se ausentaran. Aproximadamente 15 empleados de producción se quejaron con Watts por el
tiempo extra. Watts les dijo a todos que era normal trabajar largas horas el primer trimestre del año. La reunión terminó y producción reanudó el trabajo.

B-2 Registros de Tiempo Falsos

El jueves 26 de agosto 2010, aproximadamente a la 1:10 p.m., en el área de producción, John (apellido desconocido/conserje/temporal) fue observado
marcando 3 tarjetas de tiempo. El agente le preguntó a John a quién pertenecían las tarjetas. John le explicó que pertenecían a otros conserjes (nombres
desconocidos) que estaban atrasados. No se hizo más preguntas debido a la conducta de John. John salió del área y se interrumpió la conversación. John
es descrito como un hombre blanco, de alrededor de 22 años, altura 6’ 1’’, 200 libras, pelo corto castaño, ojos marrones, y vestía un overol azul de
uniforme de limpieza y zapatillas de tenis blancas.

A-4 Venta de Marihuana

El jueves 26 de agosto 2010, aproximadamente a la 1:15 p.m., en la recepción, Ronny Sanders (funcionario de recepción) entregó lo que Sanders
identificó ser 1/16 de una onza de brote (marihuana) a Mike Lance (operador del montacarga) a cambio de $20,00 (dos billetes de diez dólares). Lance
colocó la marihuana en el bolsillo derecho del pantalón. Lance agradeció a Sanders y salió del departamento a través de la puerta 11 del muelle. Sanders
afirmó que Lance le compra marihuana al menos una vez a la semana en el trabajo. Sanders fue llamado por el intercomunicador por Tony Lucas (gerente
de recepción) para recibir una orden en la puerta 14 del muelle. Sanders respondió al llamado y terminó la conversación. Sanders no proporcionó más
información respecto a la transacción de marihuana.

B-1 Ausentismo
El jueves 26 de agosto 2010, aproximadamente a las 14:10, en el área de producción, John (apellido desconocido/conserje/temporal) afirmó que planeaba
estar enfermo el sábado (28 de agosto 2010). John dijo además que se iba de caza de alces con varios amigos (no empleados/nombres desconocidos). John
terminó la conversación diciendo que él a menudo falta al trabajo. No se revelaron más detalles. John es descrito como un hombre blanco,
aproximadamente 22 años, altura 6’ 1’’, 200 libras, pelo corto castaño, ojos marrones, y vestía un overol azul de uniforme de limpieza con zapatillas de
tenis blancas.

C-17 Sabotaje
El jueves 26 de agosto 2010, aproximadamente a las 3:30 p.m., en el Bar J.J. (Cedar, Springs, Colorado), Kenny Sánchez (conductor de camión) afirmó
que él y otros dos conductores (nombres desconocidos) frecuentemente perforaban los neumáticos de sus camiones para evitar conducir a ciertos lugares de
entrega (desconocidos). Sánchez dijo además, que él había perforado los neumáticos de su camión asignado en 3 ocasiones en un período de 12 meses.
Sánchez cambió el tema de conversación porque Randy Clark (embarque) se sentó a la mesa con el agente y Sánchez. La conversación fue cambiada a
temas de deportes y actualidad. No se obtuvo más información.
*** Fin del Informe***
ANEXO C

INFORME RESUMEN DE LA INVESTIGACIÓN

INFORME RESUMEN DE LA INVESTIGACIÓN

***INFORMACIÓN CONFIDENCIAL***

El siguiente Resumen de la Investigación refleja los resultados de nuestros esfuerzos investigativos en la instalación de Cedar Springs. Las fechas incluidas
son desde el lunes 16 de agosto 2010, al viernes 27 de agosto 2010. El agente desarrolló información relativa a la venta de cocaína y la conversación de
venta/uso de marihuana. Adicionalmente, la información fue documentada involucrando asuntos de seguridad/protección, mal comportamiento de los
empleados y relaciones empleador/empleado.

A la fecha nuestros esfuerzos han producido:

• 12 compras de cocaína en horas de trabajo y dentro de la empresa

• 6 compras de cocaína en horas de trabajo y fuera de la empresa
• 7 compras de marihuana en horas de trabajo y dentro de la empresa
Adicionalmente, hemos identificado:

• 16 empleados usando cocaína en horario de trabajo y dentro de la empresa

• 12 empleados usando marihuana en horario de trabajo y dentro de la empresa

VENTA DE COCAÍNA
El martes 17 de agosto 2010, aproximadamente a las 11:35 a.m. en el área de montaje de la instalación, Ben Richards (operador/temporal) le hizo señas al
agente para que caminara hacia la salida localizada detrás del carril. El agente caminó hacia la salida en el momento en que Richards sacó del bolsillo
izquierdo de su camisa un envoltorio de cigarrillo y puso en él un gran roca blanca envuelta en celofán, y se la dio al agente. Richards le explicó al agente
que podía romper un pedazo, ponerlo en una pipa y fumarlo, la forma es porque era tan puro y mejor que el último “paquete” (cocaína) que el había
vendido al agente el viernes 13 de agosto 2010.

Aproximadamente a las 11:40 a.m. el agente tomó posesión de la cocaína que Ben Richards (operador/temporal) le había dado.

Aproximadamente a las 11:45 a.m. el agente puso la cocaína obtenida de Ben Richards (operador/temporal) en una bolsa de evidencias que el agente
especial Kenny Berger le dejó, y luego la guardó en la caja de evidencias en el maletero de su vehículo. El agente concurrió al banco First State para
encontrarse con el Agente Especial Berger.

Aproximadamente a las 12 p.m. el agente se encontró con el Agente Especial Berger y le entregó la caja cerrada de evidencias. El Agente Especial
Berger abrió la caja y retiró la bolsa de evidencias. Después de una inspección satisfactoria de la bolsa y con la evidencia dentro de ella, el Agente
Especial Berger le entregó al agente un recibo (ver Muestra A) y volvió a cerrar la caja de evidencias. El Agente Especial Berger le permitió al agente
fotografiar el paquete después que él mismo lo examinó (ver Muestra C). El agente colocó la caja cerrada en el maletero de su vehículo. Aproximadamente
a las 12:10 p.m. el agente abandonó el estacionamiento del banco y volvió a la instalación.

Aproximadamente a las 12:35 p.m. en el área de montaje de la instalación, el agente le dio a Ben Richards (operador/temporal) $300,00 completando la
transacción de cocaína. El agente le dio a Richards tres billetes de cien dólares proporcionados por la Colorado State Police Narcotics Task Force. Los
números de serie de los billetes son: AB67547008I, AL04508146D, and AJ35735194A (ver Muestra B).

SOSPECHA DE ACTIVIDAD DE DROGA

El jueves 19 de agosto 2010, aproximadamente a las 11:00 a.m. en el área de montaje de la instalación, el agente tuvo una conversación con Ben Richards
(operador/temporal), Richards le dijo al agente que a Chris Watts (supervisor de piso) le gusta usar cristal de metanfetamina, porque abandona el sistema
del cuerpo en dos o tres días. Richards además le dijo al agente que cuando Watts se cortó la mano en el trabajo y recibió puntos de sutura, no le hicieron
la prueba de drogas como a los otros empleados que se lesionan en el trabajo.

El jueves 26 de agosto 2010, aproximadamente a las 7:45 a.m. en el área de producción, el agente observó a Ben Richards (operador/temporal) abandonar
su máquina asignada acompañado de Mike Miller (supervisor de producción). Richards y Miller entraron al armario de suministros y cerraron la puerta
detrás de ellos. Ambos empleados permanecieron en el armario por alrededor de 3 minutos. Richards volvió a su máquina. Miller salió del departamento.
***Fin del Informe***
ANEXO D

INFORME ESPECIAL

The Very Big XYZ Company

Any Street
Any Town, USA 55555

Re. Diamond-Back
000-000-000

INFORME ESPECIAL #16

El martes 17 de agosto 2010, aproximadamente a las 11:35 a.m., en el área de ensamblaje de la instalación, Ben Richards (operador/temporal, hombre,
caucásico, altura 5’ 11’’, 200 libras, pelo castaño hasta los hombros, ojos azules y un gran dragón azul tatuado en su antebrazo izquierdo), se dirigió al
Informante Confidencial #1 para ir hacia la salida localizada detrás del carril. El Informante Confidencial #1 abandonó la salida en el momento en que
Richards sacó del bolsillo izquierdo de su camisa un envoltorio de cigarrillo y puso en él un gran roca blanca envuelta en celofán, y se la dio al agente.
Richards le explicó al agente que podía romper un pedazo, ponerlo en una pipa y fumarlo, la forma es porque era tan puro y mejor que el último “paquete”
(cocaína), que el había vendido al agente el viernes 13 de agosto 2010. Aproximadamente a las 11:40 el Informante Confidencial #1 tomó posesión de la
cocaína que Ben Richards (operador/temporal) le había dado.

Aproximadamente a las 11:45 a.m. el Informante Confidencial #1 puso la cocaína obtenida de Ben Richards (operador/temporal) en una bolsa de
evidencias que el Agente Especial Kenny Berger le dejó, y luego la guardó en la caja de evidencias en el maletero de su vehículo. El Informante
Confidencial #1 procedió al banco First State para encontrarse con el Agente Especial Berger.

Aproximadamente a las 12 p.m. el Informante Confidencial #1 se encontró con el Agente Especial Berger y le entregó la caja cerrada de evidencias. El
agente especial Berger abrió la caja y retiró la bolsa de evidencias. Después de una inspección satisfactoria de la bolsa y con la evidencia dentro de ella, el
Agente Especial Berger le entregó al Informante Confidencial #1 un recibo (ver Muestra A) y volvió a cerrar la caja de evidencias. Berger le permitió al
Informante Confidencial #1 fotografiar el paquete después que él mismo lo examinó (ver Muestra C). El Informante Confidencial #1 colocó la caja
cerrada en el maletero de su vehículo. El Agente Especial Berger se quedó con la única llave de la caja. Aproximadamente a las 12:10 p.m., el Informante
Confidencial #1 abandonó el estacionamiento del banco y volvió a la instalación.

Aproximadamente a las 12:35 p.m. en el área de montaje de la instalación, el Informante Confidencial #1 le dio a Ben Richards (operador/temporal)
$300,00 completando la transacción de cocaína. El Informante Confidencial #1 le entregó a Richards tres billetes de cien dólares proporcionados por la
Colorado State Police Narcotics Task Force. Los números de serie de los billetes son: AB67547008I, AL04508146D, and AJ35735194A (ver Muestra
B).

***Fin del Informe***

Informante Confidencial #1 Fecha

REFERENCIAS

Barefoot, J. Kirk (1995). Undercover Investigation, 3rd Edition. Woburn, Massachusetts: Butterworth- Heinemann.

Columbia Encyclopedia, Sixth Edition [Online], (2004). Molly Maguires. Available: http://www.encyclopedia.com/html/M/MollyM1ag.asp [2004, October
1].

Ferraro, Eugene (2000). Undercover Investigations in the Workplace. Woburn, Massachusetts: Butterworth-Heinemann.

Pinkerton, Alan (1883). The Spy of the Rebellion. New York, New York: W. G. Dillingham.

Rosen, Mark B. (1992). “Going Undercover: An Inside or an Outside Job.” Security Management, vol.36, no.6. Alexandria, Virginia: ASIS International.

Simmons, R. J. (1994). Employer’s Guide to Workplace Security and Violence Prevention. Los Angeles, California: Castle Publications.

U.S. Department of Justice (1995). Crime Data Brief: Crime and Substance Abuse. Washington, DC: Government Printing Office.

U.S. Department of Justice (1993). State Drug Resources: 1992 National Directory. Washington, DC: Government Printing Office.

U.S. Department of Labor (1993). Workplaces Without Drugs. Washington, DC: Government Printing Office.
 CAPÍTULO 3
DUE DILIGENCE

3.1 DEFINICIONES

Due Diligence (Debida Diligencia)9 es “una medida de prudencia o actividad que se espera de una persona razonable y prudente bajo circunstancias
especiales; no se mide en absoluto por un estándar, sino que depende de las circunstancias del caso en particular (ASIS International, 2007).

El Black’s Law Dicctionary (Diccionario Jurídico de Black (2004) la define como:

La diligencia razonablemente esperada de, y normalmente ejercida por, una persona que procura satisfacer una exigencia legal o cumplir una obligación. –También llamada
diligencia razonable; diligencia común. Corporations & Securities. Es una investigación de un posible comprador o intermediario, el análisis de una empresa objetivo, una parte
de un bien, o un valor de nueva emisión. No realizar una due diligence, a veces puede dar lugar a responsabilidad legal...

El uso comercial común define due diligence como el proceso de investigación para evaluar una empresa objetivo o los activos de una empresa, con el
propósito de ser adquirida por un potencial comprador/adquirente.

El término due diligence, en su acepción libre, significa hacer su tarea sobre una materia en particular. Se lleva a cabo cuando un persona investiga un
tema, individuo, negocio o cualquier otra cosa, en un esfuerzo por determinar si es legítimo –si “aprueba”. El diccionario en línea Merriam-Webster (2009)
define due diligence como:

1: el cuidado que una persona razonable ejerce bajo las circunstancias para evitar dañar a otras personas o sus bienes
2: investigación y análisis de una compañía u organización realizado en preparación para una transacción de negocios (una fusión corporativa o compra
de valores)
El término se originó en la industria de valores, pero se ha convertido en un expresión popular para una metodología de gestión de riesgos. La Securities
Act (Ley de Valores) de 1933, entregó el primer uso común del término due diligence. La ley incluyó una defensa llamada “la Defensa Due Diligence”, la
cual podía ser utilizada por los agentes de bolsa –intermediarios acusados por los inversionistas de una divulgación inadecuada de información relevante.
La ley absolvió a los agentes-intermediarios de la responsabilidad sobre cualquier información que no lograran descubrir respecto a una compañía, siempre
que llevaran a cabo una investigación de due diligence y divulgaran sus hallazgos a potenciales inversionistas. En otras palabras, ellos no tenían la
responsabilidad por la información negativa que no descubrieran. Para protegerse, los agentes- intermediarios adoptaron la due diligence como una práctica
estándar. La due diligence ahora es un término común para cualquier investigación en casi cualquier industria. Algunos tipos de investigaciones de due
diligence son las financieras, operacionales, encubiertas, culturales, de propiedad intelectual, fusiones y adquisiciones, recursos humanos, legales,
tecnología de la información y medioambientales.

Las investigaciones de due diligence son valiosas en cualquier situación donde una o más partes están decidiendo futuras acciones o no acciones, basadas
en la condiciones existentes o en representaciones hechas por otra parte. En otras palabras, la due diligence es valiosa en cualquier momento en que una de
las partes esté tratando de tomar una decisión respecto a si hacer algo, y depende de la información de otra persona o condiciones que necesitan
verificación.

Como señala la definición de ASIS International, no hay una due diligence absoluta. En su lugar, el estándar para una investigación de due diligence
depende del tipo de investigación, los objetivos de la investigación, la persona que realiza la búsqueda y de la información disponible. De hecho, dos
investigadores mirando el mismo problema pueden llegar a diferentes conclusiones basados en su búsqueda y su análisis de la información que
descubrieron. Aunque se pueden encontrar algunas sugerencias estándar para garantizar la due diligence (el Anexo A proporciona una lista de due diligence
sugeridas para una adquisición corporativa), en la mayoría de los casos son únicas y deben ser abordadas desde una perspectiva distante. Si la materia bajo
revisión resulta en litigio, un revisor de los hechos puede encontrar due diligence y el otro no.

Puede determinarse si la due diligence se ha ejercido puede determinarse mirando hacia atrás. Puede ser difícil cerciorarse si una investigación de due
diligence fue realizada correctamente, hasta después de que se concrete el acuerdo y los observadores revisen la investigación y la comparen con los
resultados. Por ejemplo, si una investigación aborda una investigación de due diligence en una propiedad, los observadores argüirían que el investigador
llevó a cabo una exhaustiva investigación de due diligence. No obstante, si un investigador realiza una due diligence en una parte de la propiedad y no
encuentra problemas, pero posteriormente el comprador descubre que la tierra no puede ser explotada debido a los cambios de zonificación, los
observadores dirán que el investigador no realizó una investigación completa. Es irrelevante si el investigador tuvo acceso a la información de los cambios
de zonificación o las intenciones de la junta de zonificación. La suposición es que el investigador debió haber descubierto la información que habría
afectado la decisión del comprador sobre la conveniencia de proceder con la negociación.

Las investigaciones de due diligence pueden ser requeridas en cualquier situación en la cual una o más partes esperan cambiar la posición, basadas en
condiciones aparentes o en representaciones hechas por una o más partes. Para situaciones recurrentes, tales como fusiones corporativas o la selección de
personas para actuar en una capacidad fiduciaria, es posible desarrollar modelos para garantizar la due diligence. Aunque no todas las transacciones pueden
ser reducidas a una lista de verificación, muchas sí pueden. Cada caso, sin embargo, es independiente y debe cumplir con la regla “persona razonablemente
prudente”.
La doctrina de la due diligence puede ser comparada con la doctrina de la negligencia. La diligencia enfatiza los aspectos positivos de la debida atención,
mientras que la negligencia describe la imposibilidad de ejercer la due diligence. Como conducta negligente, la incapacidad de ejercer la due diligence
puede resultar en daños legales si otra parte resulta dañada. La falta de due diligence puede también ser costosa para la persona o entidad que es incapaz de
ejercerla, incluso si no hay daños a otros. La incapacidad de ejercer la due diligence –debido cuidado en la investigación- puede causar enormes costos a
todas las partes involucradas, incluyendo la pérdida de dinero, oportunidades y tiempo.

Los siguientes son algunos tipos de investigaciones de due diligence:

• Financiera
• Operacional
• Encubierta
• Cultural
• Propiedad intelectual
• Fusión y adquisición
• Recursos humanos

• Legal
• Tecnología de la información
• Ambiental

● CSC10 ( “Conozca a su cliente”, un término bancario)

3.2 RELEVANCIA PARA LA PROTECCIÓN DE ACTIVOS

Una de las razones más importantes para realizar investigaciones de due diligence es proteger los activos. Sin la garantía de que una transacción o persona
es legítima, una parte apuesta sus activos.

La due diligence es un requisito fundamental para la protección de los activos empresariales, particularmente en las transacciones con partes externas. Por
ejemplo, si un fabricante busca un distribuidor para sus productos, debe investigar a los potenciales vendedores, asegurándose que el candidato es
competente para completar las ventas, tiene capacidades financieras y logísticas para mantener el inventario, tiene una reputación positiva, de modo que el
fabricante no se verá desacreditado por la relación, y si tiene una bodega segura, entre otras materias. Sin garantías del distribuidor, el fabricante se arriesga
a perder productos, tiempo y reputación, todo lo cual tiene un costo para el fabricante. Además de la pérdida directa, tales como pérdidas de productos, el
fabricante también puede sufrir costos en términos de pérdida de oportunidades, pérdida de cuota en el mercado y reputación negativa.

En este ejemplo, antes de contratar al distribuidor, el fabricante puede desear conocer lo siguiente:

• Historia comercial del potencial distribuidor. ¿Cuánto tiempo ha estado en el negocio? ¿Cuál es su nivel de éxito? ¿Qué productos distribuye
actualmente?
• Método de distribución. ¿Cómo distribuye el producto? ¿El distribuidor tiene sus propios camiones? ¿Cuántos?

• Seguimiento del Producto. ¿Qué sistema usará el distribuidor para hacer el seguimiento de los productos y garantizar su seguridad desde la bodega al
punto de distribución? ¿Existen métodos de identificación del producto para garantizar su seguridad a través del sistema de distribución? ¿Cuáles
son?
• Seguridad y Seguros. ¿Cuán segura es la bodega? ¿La red de distribución? ¿Qué tipo de seguros lleva el distribuidor?
• Relaciones. ¿El distribuidor está asociado con otras compañías? ¿Competidores? ¿Tiene una historia de relaciones comerciales positivas o de
relaciones problemáticas? ¿Tiene la habilidad para asociarse con otras compañías que podrían ayudarlo en la distribución/venta/marketing del
producto?
• Litigios. ¿El distribuidor se ha visto implicado en litigios anteriores? ¿Con quién? ¿Por qué? ¿Los juicios reflejan el “costo general de hacer
negocios” o parecen reflejar problemas sustanciales con el distribuidor? ¿El distribuidor fue el demandante o el demandado? ¿Parece ser un
incumplidor de contratos? ¿Demanda regularmente a sus socios?
• Reputación. ¿Cuál es la reputación de la compañía? ¿Cuál es la reputación de los gerentes, ejecutivos, y otros responsables de tomar decisiones en la
compañía? ¿Esto dañará o ayudará al fabricante al asociarse con el distribuidor?
• Asuntos financieros y de crédito. ¿Cuál es la situación actual financiera y crediticia de la compañía? ¿Cuál es su historia financiera y crediticia? ¿El
distribuidor tiene suficientes recursos para mantener el inventario? ¿Cuál es la fuente y magnitud de los fondos disponibles de la compañía? ¿Cuántas
deudas tiene la empresa?
• Ventas y Marketing. ¿El distribuidor ayudará con las ventas y el marketing del producto? ¿Qué canales tiene? ¿Qué tan grande es su fuerza de ventas
y de marketing? ¿Qué medios utiliza para publicitar?
• Ejecutivos y Gerentes. ¿Quiénes son los responsables de tomar decisiones en la empresa? ¿Tienen algún “esqueleto en el armario”? ¿Cuál es su
 historia comercial? ¿Cuál es su reputación? ¿Cuál es su situación financiera?

• Volumen total de ventas. ¿Cuál es el volumen de ventas actualmente reservado por el distribuidor? ¿Qué capacidad puede manejar?
• Instalaciones. ¿Qué instalaciones posee o arrienda actualmente el distribuidor? ¿De qué tamaño son? ¿Cuál es el estado actual de las instalaciones?
¿Dónde están ubicadas?

• Rentabilidad. ¿Cuál es la rentabilidad actual e histórica del distribuidor (como un indicador de su eficiencia operativa)?
En la búsqueda de respuestas confiables a estas preguntas, el fabricante ejerce due diligence. No obstante, estas categorías no son exhaustiva, y el
fabricante podría revisar muchos otros asuntos. Las investigaciones de due diligence más amplias también pueden examinar la estrategia, tecnología de la
información, operaciones, capital humano y cultura de una compañía.

La dificultad para obtener la información depende del tipo de acuerdo y del tipo de información buscada. Los acuerdos amistosos pueden proporcionar fácil
acceso a la información, mientras que los acuerdos hostiles hacen más difícil la obtención de datos de parte del objetivo.

En una adquisición o asociación amistosa, las partes pueden fácilmente intercambiar información para ayudar a facilitar el acuerdo. Sin embargo, un error
común en las investigaciones de due diligence es confiar en la información que proviene del objetivo. Si bien un objetivo puede procurar entregar datos
exactos, a menudo está sesgado (algunas veces involuntariamente), o la información puede ser omitida o ignorada. Si el objetivo desea que el acuerdo
prospere, intentará proporcionar la información más favorable posible. La verificación de la información de fuentes primarias es fundamental para dar lugar
a una due diligence imparcial.

3.3 EFICACIA DE LAS INVESTIGACIONES DE DUE DILIGENCE

Las investigaciones de due diligence integrales y coherentes no sólo son eficaces, sino también fundamentales al sopesar los pros y contras de las fusiones,
contrataciones, alianzas, adquisiciones, inversiones y otros acuerdos. Debido a que no existe una sola “lista de verificación” para una due diligence, los
resultados pueden variar ampliamente. Mientras que una buena investigación de due diligence es la piedra angular que se necesita para tomar una decisión,
una mala due diligence puede inducir a error a las partes interesadas.

Una verdadera due diligence va más allá de la verificación de la información proporcionada por las partes. Intenta verificar esa información, pero va más
lejos y descubre nueva información, plantea interrogantes e indica nuevas áreas de investigación. No investigar acabadamente puede tener consecuencias
desastrosas (por ejemplo, no descubrir una investigación interna sobre actividades financieras fraudulentas del director de finanzas podría ser un factor que
termine una negociación). Las partes involucradas en cualquier transacción con otras partes –incluso partes a las que piensan que “conocen”deberían llevar
a cabo un investigación de due diligence imparcial antes de proceder.

En Estados Unidos, la USA Patriot Act de 2001, asignó nuevas responsabilidades a las instituciones financieras y compañías multinacionales, las cuales
deben hacer todo lo posible para detectar violaciones a la Foreign Corrupt Practices Act y a la Patriot Act. En una investigación de due diligence después
del 11 de septiembre de 2001, una compañía que estaba considerando establecer una relación con otra compañía, descubrió que el presidente ejecutivo de
esa segunda compañía estaba asociado con Osama bin Laden (Shaffer, 2004, p.57).

Grandes acuerdos comerciales han fracasado debido a una investigación de due diligence inadecuada. En 1997, por ejemplo Comp-U-Card (CUC)
International se fusionó con HFS, una compañía de servicios de viajes. En el momento de la fusión, ambas compañías estaban impacientes por unirse, y
ninguna de las dos realizó una investigación seria de due diligence. En 1998, después de la fusión, los contables de HFS notaron irregularidades en las
reservas de la fusión de CUC. En abril de 1998, la compañía reveló problemas de ganancias de CUC, lo que causó la violenta caída del precio de las
acciones de Cendant –eliminando 14 billones de dólares en capitalización de mercado en un día. En 2004, los fiscales procesaron a los dos más altos
ejecutivos de CUC, acusándolos de fabricar 252 millones de dólares de ganancias no existentes. HFS prácticamente perdió todo debido a que, en sus
entusiasmo por fusionarse con CUC, no realizó una investigación de due diligence completa.

Una due diligence minuciosa proporciona información para ayudar a tomar una buena decisión, incluso si no incluye toda la información. Si bien una
investigación de due diligence no garantiza el éxito de una empresa, entrega una información valiosa. Incluso información incompleta o falta de
información puede ser útil. Por ejemplo, si es prácticamente imposible obtener los datos financieros de una compañía, esa compañía puede tener razones
para ocultar la información financiera. Lagunas en la historia de empleo de una persona son técnicamente una falta de información, pero puede hablar
mucho sobre la historia de un individuo. Del mismo modo, si una compañía no tiene prestigio en su sector, sin cobertura de prensa, ni reconocimiento en
las revistas de negocios, puede no tener el historial que publicita. Como mínimo, una investigación de due diligence sólida puede plantear cuestiones para
una investigación adicional, verificar o contradecir la información entregada, e indicar puntos de partida para nuevas orientaciones.

Una investigación de due diligence no es garantía de éxito, ni siempre es posible obtener toda la información que impediría cometer errores de juicio. Sin
embargo, si se siguen las mejores prácticas, el informe de una due diligence sirve como base para nuevas consultas y negociaciones.

El escándalo de Bernard Madoff muestra claramente la necesidad de una due diligence. En este caso, el Sr. Madoff atrajo a los inversionistas a sus fondos
de inversión prometiendo y demostrando retornos más altos que cualquier otro fondo o valores de inversión. A fines de 2008, las autoridades descubrieron
que en realidad no estaba haciendo las inversiones que él afirmaba. En lugar de eso, su fondo era en realidad un esquema Ponzi de 50 billones de dólares.

La sólida reputación del fondo Madoff obnubiló a los potenciales (y ambiciosos) inversionistas, por lo que ignoraron el proceso habitual de due diligence, a
cambio de una rápida acción y participación en el fondo. Es probable que una adecuada investigación hubiera demostrado que era prácticamente imposible
que el fondo tuviera el nivel de ganancias que el Sr. Madoff representaba. De hecho, según el Wall Street Jounal, algunos de los analistas que desarrollaron
la investigación de due diligence del señor Madoff fueron incapaces de reproducir la rentabilidad histórica del fondo, realizando las mismas transacciones
que él supuestamente hizo. Ellos concluyeron que era improbable que el señor Madoff hiciera todas o algunas de las transacciones requeridas que su
estrategia dictaba. Barron planteó la posibilidad de que su rentabilidad probablemente se debía a una inversión ventajosa (front running) de los clientes de
su empresa de corretaje. Los inversionistas decidieron ignorar las advertencias y no realizaron la due diligence adicional debido a que el Sr. Madoff
desalentó la investigación y sugirió que el cuestionamiento podría limitar la capacidad de invertir de las personas.

Detalles de varios casos importantes de due diligence se pueden encontrar en www.marketing-intelligence.co.uk/pubs/case-studies.htm y en The Art of
M&A: Due Diligence, Navigating Critical Steps and Uncovering Critical Data ( Lajoux, 2000).

3.4 GUÍA DE DUE DILIGENCE

Como se ha señalado, no hay un único criterio objetivo para una investigación de due diligence. El investigador primero debe mirar de que se trata el tema
y determinar qué es importante para el problema en particular. Por lo tanto, el primer paso de cualquier investigación de due diligence es examinar el tema
en su conjunto –el acuerdo, la persona, la inversión, etc.y comprender cuáles son los factores en que debe centrarse para dar respuesta al problema.

Una estrategia para due diligence debería incluir al menos las siguientes preguntas:

• ¿Cuál es la naturaleza del problema? ¿Qué está en riesgo?

• ¿Cuáles son los antecedentes de la situación? ¿Qué tan bien se conocen la partes entre ellas?

• ¿Quiénes son los principales actores?

• ¿Qué factores son importantes para las partes que están realizando el acuerdo?
• ¿Cuáles son los posibles problemas más costosos? ¿Qué otros problemas menores podrían afectar el tema?
• ¿Qué tipo de transacción esperan las partes? ¿Cuál es el tamaño de la transacción? ¿Qué tan compleja es?
• ¿Cuál es el costo de la investigación en términos de tiempo y dinero? ¿Qué tan difícil será obtener la información?
• ¿Cuáles son los riesgos de los actores? ¿Cuál es el costo para los actores si la transacción falla?
La clave para una buena investigación de due diligence es comprender las necesidades del cliente y la transacción que está en juego. Si los investigadores
carecen de la comprensión del objeto de la investigación, casi con seguridad fracasarán en su due diligence, porque no harán las preguntas correctas.

3.5 FUENTES DE INFORMACIÓN

Están disponibles numerosos recursos de investigación para llevar a cabo investigaciones de due diligence. En general, los recursos se pueden desglosar en
herramientas de búsqueda primarias y secundarias.

Las fuentes primarias incluyen:

• Entrevistar a las personas

• Observaciones directas de las personas, lugares, o eventos
Las fuentes secundarias incluyen:

• registros públicos que mantiene el gobierno

• registros de fuentes comerciales
• informes anuales y otros registros de la empresa
• noticias y otros fuentes de comunicación
Muchos recursos secundarios ahora están disponibles electrónicamente, a través de la World Wide Web. Algunos son gratis, mientras que otros están
disponibles mediante sitios de pago. Algunos sitios requieren que los usuarios tengan una licencia válida de investigador privado para acceder, mientras
que otros están disponibles al público en general. Debido a que los accesos y registros disponibles cambian diariamente, los investigadores regularmente
deben evaluar los recursos para determinar el tipo y ubicación de la información disponible. Una ventaja de los registros gubernamentales es que tienden a
ser imparciales. Las siguientes son fuentes de información que los investigadores de due diligence pueden desear consultar:

• Registro de Empleados. Cada condado mantiene registros de gravámenes, juicios, litigios, matrimonios, divorcios, propiedades, hipotecas y otra
información vital. Estos registros son importantes, porque también pueden mostrar relaciones, direcciones y patrones de comportamiento. Además, a
menudo entregan pistas de otros lugares para buscar información.
• Archivos de la Comisión de Bolsa de Valores. La Comisión de la Bolsa de Valores de Estados Unidos mantiene registros de las empresas públicas,
proporcionando información valiosa respecto a esas empresas. También mantiene registros de licencias de corredores de bolsa y fondos de inversión.
Las empresas públicas reguladas por las leyes de valores deben presentar una serie de informes ante la SEC (Securities Exchange Commission). El
informe anual (10-K) y el informe trimestral (10-Q) son extremadamente informativos. El 10-K provee información sobre la organización de la
empresa, las actividades comerciales, las finanzas, las actividades legales, los ejecutivos y otros temas relacionados con la empresa. Los informes
 trimestrales actualizan los informes anuales y contienen cualquier cambio importante desde que se presentó el informe anual. Las empresas privadas
no están obligadas a presentar informes a la SEC.
Los informes de la SEC están disponibles en línea en www.sec.gov, o personalmente en las salas públicas de lectura. Las personas que deseen tener
acceso a las presentaciones ante la SEC también puede pedir los documentos por correo.

En Canadá, cada provincia tiene su propia Comisión de Valores, las cuales proveen información a los investigadores en línea. El anexo B contiene
una lista de los organismos reguladores de valores en varios otros países.

• Secretaría de Estado o División de Corporaciones. Cada estado en Estados Unidos tiene una Secretaría de Estado o División de Corporaciones que
registra y guarda los documentos relacionados con las compañías constituidas en ese estado. Dependiendo del estado, estos registros pueden incluir
los informes anuales y los documentos de cambios de nombre y también pueden proporcionar información de fusiones y adquisiciones, fechas de
incorporación, estatus, nombres y direcciones de los ejecutivos. Muchos estados dan acceso en línea, por teléfono, por correo, o en persona.
• Agencias reguladoras y Juntas de Licencia estatales. Estados Unidos tiene agencias que regulan las personas en diversas ocupaciones, tales como
profesionales médicos, abogados, terapeutas, investigadores privados, guardias de seguridad, y las personas que trabajan en la industria del juego.
Estas agencias o juntas pueden proporcionar información sobre el estatus de las licencias de las personas, las demandas, juicios, especialidades,
formación y otros asuntos.
• Código Comercial Unificado (UCC). En Estados Unidos los vendedores o acreedores presentan informes al Código Comercial Unificado (Uniform
Commercial Code) para registrar las deudas comerciales. El UCC tiene en cuenta el tipo de transacción, el monto involucrado, el acreedor y deudor
(o vendedor y comprador) y la forma en que la deuda está asegurada. La información de la UCC está disponible en Internet.
En Canadá, información similar a la de la UCC se puede obtener a través de las agencias de gobierno provincial, tales como aquellas relacionadas
con el consumidor y las relaciones comerciales.

• Documentos de la Ley de Libertad de Información. La Ley de Libertad de Información (Freedom of Information Act (FOIA)) permite al público
pedir documentos a las agencias de gobierno que normalmente no serían considerados registros públicos. Por ejemplo, el Federal Bureau of
Investigation, la policía local y el Departamento de Estado tienen funcionarios FOIA para proporcionar acceso a documentos previamente
clasificados. Algunas oficinas estatales y del condado también tienen acceso FOIA. Si bien estos documentos pueden ser valiosos, a menudo toma un
largo tiempo obtenerlos. Generalmente contienen grandes secciones tachadas que no están a disposición del público.
• Registros criminales. En Estados Unidos, el público puede acceder a los registros de antecedentes criminales a través del secretario del condado. No
existe un método legal para que el público busque en todos los registros criminales del país.
En Canadá, el público puede llevar a cabo una verificación criminal a nivel nacional con un permiso firmado, a través de la Canadian Police
Information Computer.

Diversas fuentes en línea ofrecen búsquedas internacionales en más de 200 países. Sin embargo, parte de la información puede ser difícil de verificar
y el proceso puede ser lento y costoso.

• Registro de Bienes. La mayoría de los condados de Estados Unidos tienen oficinas de tasadores de propiedades que ofrecen información sobre
títulos y valor de la propiedad, información de venta, escritura de transferencia y anteriores propietarios. En los mapas de Google Earth, Yahoo y
otros servicios satelitales gratis, también ofrecen vistas aéreas y vistas a nivel de calle de las propiedades.
• Registro de Patentes. La oficina de patentes y marcas de Estados Unidos (United States Patent and Trademark Office) ofrece acceso gratuito en
línea a las patentes. Otros sitios, como Google Patents, también permite la búsqueda gratis de patentes.
• Informes Crediticios. Las principales compañías de informes de créditos –TransUnion, Equifax y Experian- son valiosas fuentes de información
financiera, organizacional y personal de empresas e individuos. No obstante, para obtener esos documentos, los investigadores deben conseguir
permisos firmados y la autorización del objetivo. Los informes crediticios por sí mismos no son una buena fuente pública de información, y el
material de un informe de crédito comercial debe ser confirmado mediante fuentes primarias.
• Informes corporativos. Dun & Bradstreet proporciona informes corporativos, principalmente de las compañías que cotizan en bolsa. Lexis-Nexis y
Dialog son excelentes fuentes para recopilar noticias sobre las empresas públicas y privadas.
• Datos de Watchdog. Un número de organizaciones watchdog (vigilancia contra acciones ilegales) también proporciona información sobre las
empresas. Sin embargo, su información puede ser sesgada y reflejar su particular punto de vista. Un grupo, CorpWatch, proporciona enlaces a otros
sitios con una guía paso a paso para la investigación de antecedentes de empresas. Otros grupos incluyen Corporate Watch (la versión británica de
CorpWatch), Public Information Network, Public Citizen, Corporate Governance, CSRWire y CSR Forum.
• Entrevistas. Las entrevistas realizadas por investigadores profesionales son valiosas por una serie de razones. Proveen información y antecedentes, y
dirigen al investigador a otras fuentes de información. A pesar que la persona que está siendo entrevistada presenta la información a través de su
propio filtro, un investigador hábil puede sonsacar importante información.
• Observaciones directas de los investigadores. Los investigadores profesionales podrían necesitar inspeccionar visualmente las instalaciones,
materiales o actividades.
• Medios de comunicación. Por lo general, los reportajes impresos y televisados están disponibles en línea o en microfilm directamente a través de los
servicios de noticias, de las bibliotecas locales o de servicios como Dialog y Lexis- Nexis. Estos por lo general contienen información valiosa sobre
las empresas y las personas, así como también conducen hacia otras fuentes de información.
• Búsquedas general en Internet. La explosión de recursos en Internet le ha otorgado a los investigadores acceso a mucha información corporativa y
personal. Sitios Web generales, blogs, e incluso sitios de redes sociales como MySpace y Facebook proveen gran cantidad de información. Los
 investigadores deben verificar en forma independiente toda la información de Internet, ya que no hay ninguna garantía de que los comentarios sean
exactos.

3.6 EXTERNALIZACIÓN DE LA INVESTIGACIÓN DE DUE DILIGENCE

Varios tipos de empresas anuncian la capacidad para realizar investigaciones de due diligence. Entre estas se incluyen las empresas de investigaciones
privadas, las de búsqueda de información, las de selección pre-empleo, las de contabilidad y los estudios de abogados. Sin embargo, las empresas tienen
diferentes visiones de una “due diligence” y puede que no desarrollen el mismo nivel de inspección. Los clientes deben entrevistar cuidadosamente esas
empresas para conocer sus fuentes y métodos antes de contratar la empresa.

3.7 GESTIÓN DE LAS INVESTIGACIONES DE DUE DILIGENCE

Para recibir el tipo de servicio correcto, el cliente de una empresa de due diligence debe proporcionar información detallada y trabajar estrechamente con la
empresa. La comunicación entre el cliente y la empresa de investigación es fundamental para el éxito de la investigación. El cliente y el investigador deben
analizar y especificar los temas que son más importantes para el cliente.

A través de la investigación, el cliente y el investigador deben continuar comunicándose; el investigador informa los hallazgos y el cliente coopera en la
decisión de si proseguir con una pista o si la información obtenida es suficiente para responder la pregunta.

El informe de due diligence debe ser coherente, fácil de leer y completo. El investigador debe informar los hallazgos por escrito y debe estar preparado para
defender el informe si es necesario.

Los grandes fraudes, altamente publicitados, como en el caso de Madoff, hacen la due diligence aún más crítica y más normal en cualquier empresa. La
demanda de una due diligence internacional se ve acentuada por la economía global y el terrorismo. Por ejemplo, una empresa puede estar interesada en
saber si un potencial socio para una joint venture (empresa conjunta) ha participado en prácticas laborales o medioambientales no deseadas, o si fue un
objetivo de extremistas de los derechos de los animales. Las zonas comerciales internacionales especiales, también elevan la importancia de –y la demanda
por- investigaciones de due diligence internacionales.

______________________________
9 Nota del Traductor: ver nota al pie de la página #17.
10 N. del T: KYC “know your customer”, por sus siglas en inglés.
ANEXO A

LISTA DE VERIFICACIÓN PARA DUE DILIGENGE

ANEXO B

ORGANISMOS REGULADORES DE VALORES

ANEXO C

MUESTRA DE INFORME DE DUE DILIGENCE

CONFIDENCIAL

07 de Diciembre de 2005

Sra. Mary Smith, Director

Anyville School District
Facilities Contracts Administration
555 Grand Avenue, 11th Floor
Anyville, CA 90000

Estimada Señora Smith:

Este es nuestro informe de due diligence de la compañía ABC. La revisión fue iniciada a solicitud suya. El informe contiene información resumida respecto
a la compañía en lo que se refiere a asuntos financieros y materias de due diligence, incluyendo litigios civiles, juicios, quiebras y violaciones a la
normativa.

Por favor tenga en consideración que este informe está clasificado como “Confidencial”. La discusión y difusión de esta materia debe limitarse sólo a
aquellas personas de District que tienen una necesidad de saber oficial.

Si usted tiene alguna pregunta, por favor comuníquese conmigo al (555) 555-6789.

Atentamente,

John Doe
Subinspector General de Investigaciones.

Trabajo Realizado
Este informe resume los resultados de la investigación en línea realizada, conforme a su solicitud, relacionada con la compañía ABC y los ejecutivos Joe
Subject y Jane Subject. Respecto a la entidad, esta fase de la investigación consistió en consultar los registros públicos disponibles en Internet en las
jurisdicciones pertinentes, incluyendo litigios, quiebras, juicios, gravámenes federales y estatales, UCC11, declaraciones reglamentarias, licencias
profesionales y registros de empresas, así como una búsqueda de presencia adversa en medios de comunicación. En relación a las personas, esta fase de la
investigación consistió en consultas a los registros públicos disponibles en Internet en las jurisdicciones pertinentes, incluyendo registros de identificación,
juicios, quiebras, litigios, gravámenes federales y estatales, UCC, declaraciones reglamentarias, licencias profesionales y afiliaciones comerciales, así como
una búsqueda en medios de comunicación adversos. Considere que nos focalizamos principalmente en los registros positivamente identificables con las
personas a través de números de seguridad social, direcciones, jurisdicciones, fechas de nacimientos, u otros identificadores conocidos.

Basado en direcciones residenciales y comerciales informadas en línea para los sujetos, nuestra búsqueda se focalizó en los registros en línea civiles,
criminales, y de quiebras relacionados con los sujetos en los siguientes distritos de los Estados Unidos y Tribunales de Quiebras:

• Distrito Central de California (para personas y entidades)

Basados en estas mismas direcciones, también realizamos búsquedas en línea a nivel de condado de antecedentes penales, litigios, gravámenes, juicios y
UCC en los siguientes condados:

• Condado de Los Ángeles, California (personas y entidades)

• Condado de Orange, California (personas)
También se realizó una búsqueda a nivel nacional de los registros relevantes de la secretaría de estado, constitución de sociedad limitada, nombre de
fantasía (“dba”), e informes comerciales para identificar las empresas con las cuales los individuos, en la actualidad o anteriormente, han estado asociados
como ejecutivo o director, así como filiales o subsidiarias de la empresa.

Revisamos los archivos disponibles en Internet conteniendo acciones disciplinarias y sanciones recolectadas de varias agencias federales y estatales como
la National Association of Securities Dealers, la Securities and Exchange Commission, HUD, bolsas de valores, organismos reguladores hipotecarios e
inmobiliarios, el Departamento del Trabajo, y otras agencias federales y estatales para los registros de nombres de la entidad o ejecutivos.

También buscamos en el U.S. Department of the Treasury, Office of Foreig Assets Control, listas maestras de Specially Designated Nationals and Blocked
Persons/Entities, U.S. Department of Commerce Bureau of Export Administration Denied Persons/Entities List, y otras listas de riesgos de valores de
Estados Unidos e internacionales para todos los registros que nombren la entidad o los ejecutivos.

Tenga en consideración que la cobertura en línea a nivel nacional de registros penales a nivel estatal y del condado es muy limitada en su alcance. Salvo
que se indiquen las jurisdicciones en las cuales los sujetos se encuentran, están cubiertos en las búsquedas en línea en la medida que la información está
disponible en línea.

También se llevó a cabo una revisión mundial de los medios de comunicación en línea, de numerosas fuentes en Inglés, incluyendo periódicos, revistas,
revistas de comercio e industria, transcripciones de radiodifusión y servicios de cable, por cualquier tipo de referencias negativas a la entidad o de los
ejecutivos. Construimos búsquedas para los medios de comunicación adversos, utilizando términos negativos, incluyendo los siguientes, pero sin limitarse
a ellos: demanda, escándalo, sexual, fraude, ilegal, delito, incriminación, criminal, convicto, culpable, arresto, litigio, quiebra, mafia, acusación, lavado de
dinero, crimen organizado, corrupto, testificar, acoso, falsificar cuentas, acusado, contrabando, terrorismo, conducir en estado de ebriedad, conducir bajo la
influencia del alcohol.

Limitaciones del Informe

No asumimos ninguna responsabilidad de actualizar este informe para sucesos y circunstancias ocurridos después de la fecha de este informe. Cualquier
informe escrito, horarios, otros materiales o documentos preparados o proporcionados por nosotros no puede ser divulgado, publicado o usado en su
totalidad o parcialidad, sin nuestro consentimiento previo por escrito.

Usamos nuestro juicio profesional para identificar las fuentes en Internet para realizar las búsquedas, las cuales dependen en gran medida del alcance de la
investigación, la ubicación de los sujetos, y las consideraciones presupuestarias. Aunque tenemos acceso a numerosas potenciales fuentes de datos, no es
posible buscar en todas ellas en el curso de cualquier investigación. Advertimos que otras empresas de servicios profesionales podrían llegar a otros juicios
respecto a las bases de datos en las cuales buscar o producir resultados diferentes.

Además, ya que pude haber información adicional que tampoco ha sido informada o no está disponible en las fuentes en línea, no podemos asumir la
responsabilidad de la exactitud de la información obtenida de estas fuentes, ni podemos garantizar que encontraremos toda la información relevante que
podría existir respecto a un determinado tema.

Basados en la información de identificación desarrollada para los sujetos, centramos nuestra investigación en las jurisdicciones especificadas en el informe.
No obstante, en cada jurisdicción investigada varía el alcance de los registros públicos disponibles en Internet. En la mayoría de los casos, los registros
disponibles sólo cubren los últimos 5 a 10 años, pero algunas jurisdicciones son aún más limitadas. Respecto a los litigios a nivel estado/condado, por lo
general sólo están disponibles en línea los registros relacionados con las empresas, no aquellas relacionadas con temas personales.

Se debe tener en cuenta que las acciones de la SEC no son indexadas hasta después que el caso es desechado. Por lo tanto, es posible que puedan existir
acciones pendientes de la SEC contra los sujetos, las cuales no pueden ser identificadas en este momento.

En relación a nuestras búsqueda de afiliaciones empresariales de los sujetos, se debe considerar que aunque la información de la Secretaría de Estado puede
ser buscada por los nombres de los oficiales, en la mayoría de los estados las entidades empresariales no están obligadas a proporcionar esos nombres en la
incorporación o calificación. Por consiguiente, es posible que existan otras afiliaciones empresariales que no han sido identificadas mediante las consultas
en línea. Además, por favor tenga en cuenta que los nombres de fantasía de constitución de las empresas (“dba”) por lo general no están disponibles en
línea, y que se recomienda las búsqueda manual en los condados pertinentes para identificar otros posibles nombres de empresas adicionales bajo las cuales
los sujetos pueden estar llevando a cabo negocios.

Resumen Ejecutivo
No se encontraron referencias para la Compañía ABC, Inc., Joe Subject, o Jane Subject en las siguientes búsquedas:

• Archivos penales
• Litigios federales
• Archivos de quiebras
• Juicios y embargo
• Presentaciones Reglamentarias
• Medios de comunicación adversos
Afiliaciones Comerciales
Los registros en línea proporcionan información general respecto a la Compañía ABC, la que se ha incorporado en el cuerpo de este informe. Se encontró a
la Compañía ABC afiliada a una entidad conocida como Compañía XYZ .

Se encontró que Joe y Jane sólo están afiliado a la Compañía ABC.

Litigio Estatal
Localizamos dos registros en línea nombrando a la Compañía ABC como demandante y otros tres registros como demandada. Considere que varios de
estos casos también nombran a uno o ambos individuos sujetos de este informe. Ni la naturaleza ni el estado de estos litigios está disponible en línea. Por
favor ver el cuerpo de este informe para mayores detalles.

Encontramos cuatro registros en Internet que coinciden con el nombre de Joe Subject. Todos los caos fueron presentados en el condado de Los Ángeles,
California. Considere que tres de estos casos también mencionan a la Compañía ABC como una de las partes. El estado de estos litigios no son informados
en línea. Joe es mencionado como demandando en tres de los cuatro casos. Por favor ver el cuerpo de este informe para mayores detalles.

Hallamos seis registros en línea que involucran a Jane Subject. Todos los casos fueron presentados en el condado de Los Ángeles, California. Considere
que cinco de estos casos también mencionan a la Compañía ABC como una de las partes. El estado de estos litigios no está disponible en línea. Jane es
mencionada como demandada en cuatro de los seis casos. Por favor ver el cuerpo de este informe para mayores detalles.

Uniform Commercial Codes

Encontramos dos registros que mencionan la Compañía ABC. Ambos registros del UCC fueron presentados en California; uno de los dos UCC presentados
se informa como vigente. Por favor leer el cuerpo de este informe para mayores detalles.

No se localizaron registros que mencionen a Joe o Jane como partes deudoras o acreedoras.

Resultados Encontrados

COMPAÑÍA ABC
234 MY STREET
TARZANA, CALIFORNIA 91356 (CONDADO LOS ÁNGELES )

Licencias
De acuerdo a una revisión a nivel nacional de la base de datos de licencias profesionales, se informa que la Compañía ABC mantiene la siguiente licencia
profesional:

• Según el Departamento de Asuntos del Consumidor del estado de California, de la Junta Estatal de Licencias para Contratistas del Estado de
California, la Compañía ABC tiene licencias como Contratista de Ingeniería General, Contratista de Obras Generales, y de Pintura y Decoración en el
estado de California. De acuerdo a los registros en línea, la licencia de la entidad (número 123456789) está activa. La licencia fue emitida el 04 de
febrero de 1998, y expira el 28 de febrero de 2006. Considere que Joe Subject aparece asociada a la clase Contratista General de Ingeniería de esta
licencia, y también tuvo la Certificación Home Improvement desde el 06 de marzo de 2000 hasta el 01 de enero de 2004. Los informes indican que
Jane Subject es responsable de la clase Contratista de Obras Generales y de Pintura y Decoración de esta licencia. Una búsqueda en el sitio Web de la
Junta de Licencias para Contratistas del Estado de California confirmó esta información.
Cabe señalar que nuestra investigación también reveló una joint venture entre la Compañía ABC y la Compañía CBA, en la cual las dos empresas fueron
autorizadas para Contratistas de Obras Generales, Pintura y Decoración, y Techos bajo el nombre de Compañía XYZ (número de licencia 987654321). Esta
licencia de joint venture fue emitida el 11 de febrero de 1999 y expira el 28 de febrero de 2007, pero no está al día debido a la falta de una fianza del
contratista, la que fue cancelada el 09 de febrero de 2004. CBA aparentemente proporcionaba la parte de Techos de los servicios que ofrecía esta joint
venture.

Afiliaciones de Empresas
Para todas las entidades relacionadas con la Compañía ABC se realizó una revisión a nivel nacional de los registros en línea de la Secretaría de Estado, de
las sociedades limitadas, de los nombres de fantasía de empresas, y de los reportes de información empresarial.

• Compañía ABC. Según el reporte de información empresarial proporcionado por su oficina, esta entidad se inició en 1993. Jane Subject aparece
como presidente y fundadora. Joe Subject aparece como vicepresidente. Conforme a los registros en línea de la Secretaría de Estado de California,
esta entidad fue constituida en California el 01 de octubre de 1997. John Doe aparece como el agente registrado. ABC aparentemente fue suspendida
brevemente por la Secretaría de Estado desde el 09 de noviembre 2004 hasta el 17 de noviembre de 2004. No hay información adicional en línea.
Según la información proporcionada por su oficina, esta entidad previamente estuvo localizada en 123 City Street, Any Town, CA 999999.
Se ubicó la siguiente entidad adicional:

• Compañía XYZ. Al parecer esta fue una joint venture entre la Compañía ABC y la Compañía CBA, en la que las dos compañías proporcionaban
servicios de construcción de obras generales, pintura y decoración, y techos bajo el nombre de Compañía XYZ. Una licencia para esta joint venture
aparece emitida el 11 de febrero de 1999 y expira el 28 de febrero de 2007, pero no está vigente debido a la falta de fianza de un contratista, que
aparentemente fue cancelada el 09 de febrero de 2004. La investigación sobre CBA fue realizada bajo cobertura separada. Se realizará una
investigación adicional respecto a la Compañía B&K a solicitud del cliente.

Antecedentes Criminales
Con base en las direcciones asociadas a la Compañía ABC, se llevó a cabo una búsqueda de registros criminales en el Tribunal de Distrito de Estados
Unidos para el Distrito Central de California, así como en los tribunales a nivel estatal/condado en Los Ángeles, California, de todos los registros que
mencionan la entidad. Además, se realizó una búsqueda a nivel nacional de los registros criminales federales disponibles de cualquier materia que
mencionara la compañía.

No se encontraron registros en línea para la Compañía ABC.

Demandas / Quiebras
Litigios Federales
Con base en las direcciones asociadas a la Compañía ABC, se realizó una búsqueda a nivel nacional de los registros civiles federales disponibles en todos
los Tribunales de Distrito de Estados Unidos, incluyendo el Tribunal de Distrito de Estados Unidos para el Distrito Central de California, de todos los
registros que mencionan la compañía.

No se encontraron registros en línea para la Compañía ABC.

Quiebras
Se llevó a cabo una búsqueda a nivel nacional de los archivos disponibles en línea de los tribunales de quiebra para cualquier materia que mencione la
Compañía ABC.

No se encontraron registros en línea para la Compañía ABC.

Litigios Estatales
Con base en las direcciones asociadas a la Compañía ABC, se realizaron búsquedas en línea de los registros civiles disponibles en todos los condados en el
estado de California, incluyendo el condado de Los Ángeles, para cualquier materia que mencione el nombre de la Compañía ABC. También se realizó una
búsqueda a nivel nacional de los registros disponibles de demandas a nivel estatal.

Encontramos seis registros en línea que mencionan la Compañía ABC. Ni la naturaleza ni el estado de estas disputas se informa en línea. Las copias de los
documentos relevantes del tribunal se obtendrán a su solicitud.

• Compañía ABC v. Johnny Nobody, caso número BC 111111, fue archivado el 21 de febrero de 2003, en el Tribunal Superior del Condado de Los
Ángeles en Los Ángeles, California.
• Jerry Somebody v. Compañía ABC, caso número BC 222222, fue archivado el 10 de abril de 2001, en el Tribunal Superior del Condado de Los
Ángeles en Los Ángeles, California.
• Marty Berry v. Joe Subject, Jane Subject, y Compañía ABC caso número BC 333333, fue archivado el 26 de marzo de 2001, el Tribunal Superior del
Condado de Los Ángeles en Los Ángeles, California.
• Jane Subject v. Andy Wanabee, caso número BC 444444, fue archivado el 13 de marzo de 2001, en el Tribunal Superior del Condado de Los Ángeles
en Los Ángeles, California.
• Compañía ABC v. Joe Subject, caso número BC 555555, fue archivado el 23 de enero de 2001, en el Tribunal Superior del Condado de Los Ángeles
en Los Ángeles, California.
• Jerry Somebody v. Compañía ABC, caso número BC 666666, fue archivado el 19 de octubre de 2000, en el Tribunal Superior del Condado de Los
Ángeles en Los Ángeles, California.
Embargos y Sentencias
Se llevó a cabo una búsqueda en línea de los registros de embargos y sentencias a nivel estatal en todos los condados cuyos registros están disponibles en
línea, incluyendo el condado de Los Ángeles, California, para todos los registros que mencionan la Compañía ABC. También se realizó una búsqueda a
nivel nacional de todos los gravámenes de impuestos federales relacionados con el sujeto.

No se encontraron registros que involucren a la Compañía ABC.

Código Comercial Unificado (UCC)

Se realizó una búsqueda en línea a nivel nacional en el Código Comercial Unificado (UCC) de todos los registros que mencionen a la Compañía ABC en
calidad de deudor o acreedor.

Encontramos dos registros que mencionan la Compañía ABC.

• La Compañía ABC aparece como deudor en una UCC presentada el 08 de agosto de 2001, número112233445566, nombrando a Citibank (West),
FSB, sucesor en interés por la fusión de California Federal Bank, y por California Federal Bank como los acreedores garantizados. Esta UCC
aparentemente expira el 08 de agosto de 2006.
• La Compañía ABC aparece como deudor en una UCC presentada el 16 de junio de 2000, número 2233445566, nombrando al Bank of America, NA,
como acreedor. Esta UCC aparentemente terminó el 03 de julio de 2001.

Investigaciones de Normativa
Revisamos los archivos disponibles en línea que contienen acciones disciplinarias y sanciones recopiladas de varias agencias federales y estatales, tales
como la National Association of Securities Dealers, la Securities and Exchange Commission, la HUD, bolsas de valores, organismos reguladores
hipotecarios e inmobiliarios, el Departamento del Trabajo, y otras agencias federales y estatales. Estos archivos por lo general datan de 1989, aunque la
cobertura varía según la agencia. Además, revisamos en línea el material de la Securities and Exchange Commission incluyendo las decisiones
administrativas y los procedimientos y resoluciones administrativas que datan de 1933.

También buscamos en el U.S. Department of the Treasury, Office of Foreig Assets Control, las listas maestras de Specially Designated Nationals and
Blocked Persons/Entities, U.S. Department of Commerce Bureau of Export Administration Denied Persons/Entities List, y otras listas de riesgos de valores
de Estados Unidos e internacionales para todos los registros que nombren la entidad o los ejecutivos.

No se encontraron registros en línea para la Compañía ABC.

Medios de Comunicación y Publicaciones Comerciales

Se llevó a cabo una revisión de los medios de comunicación en línea en todo el mundo, de numerosas fuentes en inglés, incluyendo revistas, periódicos,
revistas de negocios y de la industria, transcripciones de radiodifusión y servicios de cable para cualquier referencia adversa de la Compañía ABC.

No se encontraron artículos adversos para Joe Subject. [Similar información respecto a Jane Subject se omite por razones de mayor brevedad].
ANEXO D

DUE DILIGENCE: APRENDA DEL PASADO, PERO MIRE HACIA EL FUTURO

Por Craig Thornton y Dan Ruskin

Universal Advisor, 2004, Nº3 (publicación de la firma de contabilidad Plante & Moran)

Aunque la due diligence se realiza rutinariamente cuando se adquiere o vende una empresa, por lo general se lleva a cabo demasiado rápido o demasiado
estrecha, centrándose en cómo ha sido la historia financiera de la empresa. En otras palabras, las empresas se centran en el pasado más que en el futuro de
las empresas combinadas.

La tradicional due diligence financiera, legal y ambiental es crucial para el éxito de cualquier adquisición; sin embargo, nos hemos dado cuenta que es
insuficiente para predecir el éxito a largo plazo de una transacción. Más bien, recomendamos un enfoque multidisciplinario. Además de la due diligence
financiera, las empresas deben focalizarse en otras cuatro, a veces olvidadas, áreas de due diligence: estrategia, tecnología de la información (TI),
operaciones y capital humano, incluyendo la cultura de la organización.

Due Diligence Estratégica

La due diligence estratégica considera una adquisición en el contexto de su industria y hace una pregunta simple: ¿Tiene sentido – beneficiará la
adquisición a la organización?

Por ejemplo, para una compañía manufacturera, ¿Cómo está posicionada la organización dentro de la cadena de suministro de sus clientes? ¿Qué fabrica
actualmente? ¿A quién le vende? ¿Qué sabe usted de los clientes? Esta es la clave –es posible que una compañía aparentemente floreciente pueda estar a 12
meses de salir del negocio, porque sus clientes están cambiando su base de proveedores desde América del Norte a una región de bajo costo. No importa lo
bien que una empresa se desempeñe, si los productos que fabrica están en riesgo, no existe razón para continuar con la adquisición.
Óptimamente, este es el primer paso en el proceso de la due diligence. La due diligence estratégica proveerá a la organización compradora la información
para hacer el cambio y mejorar la rentabilidad o ayudar al comprador a determinar que no vale la pena seguir el acuerdo.

Due Diligence Financiera

La due diligence financiera analiza, cualitativa y cuantitativamente, cómo una organización se ha desarrollado financieramente, para hacerse una idea de las
ganancias sobre una base normal. Es crucial mirar el desarrollo esperado de un negocio según lo que representa el vendedor, mirar los supuestos
subyacentes que han usado en la preparación de sus proyecciones, y asegurarse que son razonables y objetivos. A menudo, las compañías pueden entender
el futuro comprendiendo el pasado –es importante garantizar que se puede construir un puente plausible para cumplir con los parámetros que el vendedor
afirma que pueden lograrse en el futuro.

Además, la due diligence financiera analiza los activos y los pasivos que se adquirirán. Por ejemplo, ¿el precio de las materias primas está a la par con el
valor del mercado? ¿Existen productos terminados en stock que es poco probable que se vendan dentro de los próximos tres a seis meses? Respecto a los
pasivos, es importante adquirir sólo los pasivos que han sido contraídos por el vendedor para las compras de inventario o servicios que ocurrieron antes de
la fecha del cierre. Usted no quiere pasivos que aparezcan posteriormente y se pregunte, “¿de dónde aparecieron?”

Finalmente, la due diligence financiera mirará si los impuestos federales y estatales han sido presentados correctamente por el vendedor. ¿El vendedor tiene
un nexo en otros estados? ¿Se pagan en esos estados? Es importante asegurarse que el vendedor haya cumplido con todos los requisitos fiscales.

Due Diligence Operacional

La due diligence operacional mira una transacción para determinar qué puede hacer el comprador para realizar mejoras en la productividad y rentabilidad.
Esto incluye examinar los centros de trabajo, flujo de materiales, generación de desechos y los niveles de inventario –en definitiva, el empleo de los
principios de manufactura esbelta para lograr el máximo de rentabilidad.

Un precio de compra basado en un múltiplo de ganancias puede incluir ciertas ineficiencias operacionales. La due diligence operacional definirá este
potencial junto con el costo de la implementación de mejoras de la eficiencia para el comprador.

Asimismo, el vendedor puede beneficiarse de la due diligence operacional al identificar e implementar los cambios necesarios para aumentar el EBITDA 12
(ganancias antes de intereses, impuestos, depreciación y amortización) y aumentando los múltiplos debido al menor riesgo.

Due Diligence de TI
La due diligence de TI considera preguntas como: ¿Cuál es el nivel actual de la tecnología? ¿Está al día? ¿Qué tan bien la compañía usa la tecnología
existente? ¿Es suficiente para permitir que la organización siga creciendo? ¿Cuánto dinero necesitará invertir el comprador para proveer a la compañía de
las herramientas necesarias para operar de manera eficaz?

La tecnología es un componente clave de las actividades de fusión y adquisición; es imperativo tomar en cuenta las consideraciones de TI en los inicios del
proceso de adquisición. Una temprana y cuidadosa planificación simplifica la integración post-fusión de los sistemas de información.

Due Diligence del Capital Humano

Cuando una adquisición no se concreta, generalmente se debe a las personas o problemas conexos. Los gerentes clave y el escaso talento se alejan
inesperadamente. Valiosas sinergias operativas se evaporan debido a las diferencias culturales entre las compañías que no son comprendidas, o
simplemente son ignoradas. Los recortes en los programas de salarios o beneficios generan mala voluntad, lo cual reduce la productividad. La gerencia no
comunica su lógica de negocios o sus objetivos para la nueva compañía y el personal se tambalea en la confusión.

El 75 por ciento de todas las fusiones y adquisiciones no logran cumplir sus expectativas; por lo general esto se debe a la falta de un plan de integración
eficaz. Es crucial considerar el tema del personal por adelantado; de lo contrario, las organizaciones con frecuencia se encuentran lidiando con un pantano
de problemas que podrían haberse evitado.

Mirar Hacia el Futuro

En nuestra experiencia, aproximadamente un tercio de las investigaciones de due diligence destapan problemas graves – potenciales causales para terminar
la negociación. De esas, aproximadamente la mitad no llega a completar el proceso de fusión/adquisición. Es crucial que, cuando se lleva a cabo una due
diligence, las organizaciones consideren todos los aspectos – estratégicos, financieros, operacionales, TI y de capital humano- para garantizar el éxito de la
transacción. Aquellos que ignoran el pasado están condenados a repetirlo. Quienes no logran mirar hacia el futuro les puede ir de manera similar.

______________________________
11 Nota del Traductor: la sigla corresponde a Uniform Commercial Code (Código de Comercio de los Estados Unidos).
12 N. del T.: acrónimo en inglés de Earning Before Interest, Taxes, Depreciation, and Amortization (Ganancias Antes de Intereses, Impuestos,
Depreciaciones y Amortizaciones)
REFERENCIAS

Arvedlund, Erin E. (2001, May 7). Don’t ask, don’t tell – Bernie Madoff is so secretive, he even asks his investors to keep mum. Barron’s, [Online].
Available: http://www.sec.gov/news/studies/2009/oig-509/exhibit-0156.pdf. [2009, August 12].

ASIS International. (2007). International glossary of security terms. Available: www.asisonline.org/library/glossary/index.xml [2007, May 15].

Berenson, A., & Henriques, D. B. (2008, December 13). Look at Wall St. wizard finds magic had skeptics. The New York Times, [Online]. Available:
http://www.nytimes.com/2008/12/13/business/13fraud.html. [2008, December 15]

Cullinan, G., LeRoux, J-M, & Weddigen, R-M. (2004, April). The secrets of great due diligence. Harvard Business Review.

Garner, Bryan A., Editor. (2004). Black’s Law Dictionary, Eighth Edition. St. Paul, MN: Thomson West.

Lajoux, A. R., & Elson, C. (2000). The art of M&A: Due diligence, navigating critical steps and uncovering critical data. New York, NY: McGraw-Hill.

Merriam-Webster. (2009). “Due diligence” entry, [Online]. Available: http://www.merriam-webster.com/dictionary/duediligence [2009, March 6].

Shaffer, S. (2004, November 1). Making the case for due diligence. Franchising World.

Thornton, C., & Ruskin, D. (2004). Due diligence: Learn from the past, but look toward the future. Universal Advisor. Publication of Plante & Moran
(www.plantemoran.com).
 CAPÍTULO 4
INVESTIGACIÓN DE
ANTECEDENTES Y
VERIFICACIÓN PRE-EMPLEO

Un empleado deshonesto puede causar estragos en una empresa. Sólo basta una mala decisión de contratación, un ladrón, un abusador de drogas o un
criminal violento, pueden dañar significativamente la productividad, ganancias, reputación y moral de una compañía. Una investigación de antecedentes
exhaustiva, legalmente permisible y ejecutada en forma imparcial y un programa de verificación pre-empleo, es de naturaleza confirmatoria e investigativa,
encuentra a la persona más apropiada para un trabajo en particular y pueden ayudar mucho en la prevención de pérdidas y la mitigación de daños causados
por una mala decisión de contratación.

Esta parte de Protección de Activos discute la historia de las investigaciones de antecedentes, los beneficios de la verificación pre-empleo, el desarrollo de
una política y un programa, la ejecución de la evaluación e investigación, y el análisis y utilización de información desarrollada.

4.1 HISTORIA DE LA INVESTIGACIÓN DE ANTECEDENTES

Durante siglos, la obtención de información de antecedentes sobre las personas fue fácil. La gente vivía en comunidades más pequeñas, menos móviles y se
conocían entre sí, al menos por su reputación. Hoy en día, la sociedad es muy diferente. Las compañías son globales, y las cualificaciones laborales son
más definidas y específicas. La industria de la verificación pre-empleo es relativamente nueva, surge en Estados Unidos sólo en los años ochenta (Rosen,
2005). El interés en la verificación pre-empleo ha continuado aumentando en la medida que los recientes incidentes terroristas alrededor del mundo han
impulsado a las empresas a revisar y mejorar sus políticas de verificación.

Al mismo tiempo, las investigaciones de antecedentes y las verificaciones pre-empleo son cada vez más importantes para las empresas, instituciones y
personas, en muchos países la legislación está restringiendo la verificación y evaluación pre-empleo. Las principales preocupaciones son la privacidad y la
protección de la información. Muchos países establecen excepciones a la hora de seleccionar los postulantes. Por ejemplo, en Estados Unidos, el Título VII
de la Ley de Derechos Civiles de 1964 exime a los contratistas de defensa de contratar extranjeros. Los tipos de información disponibles y las
estipulaciones que rodean el uso de información personal varía ampliamente de un lugar a otro. Actualmente, muchos países están en el proceso de
determinar cómo regular y distribuir la información.

Esta parte de Protección de Activos utiliza principalmente ejemplos de Estados Unidos y Canadá, pero la mayoría de la información contenida aquí puede
ser usada para tomar buenas decisiones de contrataciones alrededor del mundo.

4.2 ESTUDIOS E INVESTIGACIONES SOBRE LA VERIFICACIÓN PRE-EMPLEO Y LA

INVESTIGACIÓN DE ANTECEDENTES

Las pérdidas debido a robos, fraudes, violencia en el lugar de trabajo, y uso de drogas ilegales y alcohol por parte de los empleados son asombrosas. La
verificación de los postulantes y la socialización de los empleados son las principales estrategias de prevención de pérdidas. La mejor manera de reducir el
robo interno es contratar empleados íntegros. La cruda realidad es que el delito ocurre en el lugar de trabajo y los empleados a menudo están implicados
como autores o víctimas.

4.2.1 FRAUDE DE CURRÍCULUM VITAE

No es sencillo contratar a un empleado honesto, no violento y libre de drogas. Las personas honestas y las deshonestas lucen parecidas. Como dijo
sucintamente un profesional de la seguridad, “Sería bueno si los postulantes honestos usaran trajes azules y los estafadores tela a cuadros, pero no es así”
(D’Aaddario, 1990). Lo que agrava el problema es que muchos currículum vitae son falsos. Un estudio realizado en el 2006 por ADP Screening and
Selection Services reveló una discrepancia entre lo que los postulantes informan respecto al empleo, educación o credencial de referencia, y lo que las
fuentes informaron en el 49 por ciento de las verificaciones de antecedentes (ADP Screening and Selection Services, 2006).

Las tendencias en el fraude de currículum vitae se han mantenido durante los últimos años. Con el reciente foco en la seguridad, está aumentando el
número de compañías que realizan verificaciones pre-empleo. De hecho, una reciente encuesta realizada por Society for Human Resource Management
(SHRM) mostró que el 96 por ciento de la empresas estadounidenses llevan a cabo algún tipo de verificación de antecedentes o referencias de las personas
que postulan a puestos de trabajo. Una de las cinco empresas encuestadas por SHRM señaló que ha agregado o actualizado servicios de verificación como
resultado de los ataques terroristas del 2001 (Geller, 2005).
En Estado Unidos y otros países, la verificación e investigación pre-empleo puede ayudar a minimizar el riesgo de responsabilidad legal por una
contratación indebida. Ha quedado bien establecido que un empleador asumirá la responsabilidad por la negligencia en el servicio o la negligencia
relacionada con el trabajo de los empleados.

También hay un precedente legal importante para sostener que un empleador es responsable por la mala conducta intencional de los empleados, si se puede
demostrar que el empleador sabía o debía haber sabido de cualquier antecedente que sugiriera que ellos podrían cometer ese tipo de mala conducta. De este
modo, los propietarios han sido responsables por contratar a ex convictos que atacaron a los residentes de la propiedad, y los empleadores han sido
responsables por contratar personas con antecedentes criminales que luego hirieron a sus compañeros de trabajo de una manera similar a sus delitos
anteriores.

4.2.2 ROBO DE EMPLEADOS

El robo de empleados es uno de los mayores problemas que enfrentan las empresas hoy. Entre 2009 y 2010, Ernst & Young realizó la 11ª Encuesta Global
de Fraude (Ernst & Young, 2001), la cual incluyó información proporcionada por 1.400 entrevistas a altos ejecutivos de las principales empresas en 36
países. Aquí están algunas de las alarmantes conclusiones:

Muchas compañías todavía son víctimas de fraude. El 16% de los encuestados en la presente encuesta reportó que su empresa ha experimentado un caso
importante de fraude en los últimos dos años. En Europa occidental, residencia de más de un cuarto de nuestros encuestados, no fue sorpresa que la
encuesta indicara que el nivel de preocupación ha aumentado con el incremento de los riesgos de fraude y corrupción por la difícil coyuntura económica.

Si bien esta encuesta abordó principalmente la evaluación y mitigación del riesgo de fraude, encuestas anteriores realizadas por Ernst & Young reflejan:

• El fraude no estaba concentrado en ningún área geográfica, industria o tamaño de organización

• De los fraudes más costosos, el 85 por ciento fue cometido por empleados. De esos empleados, el 55 por ciento pertenecía a la gerencia
• La mayoría de las pérdidas eran relativamente pequeñas, pero el 13 por ciento ascendía a cantidades sobre el millón de dólares.

4.2.3 VIOLENCIA EN EL LUGAR DE TRABAJO

La violencia en el lugar de trabajo es un motivo de seria preocupación para los profesionales de la seguridad. En Estados Unidos, el homicidio, la forma
más extrema de violencia laboral, es la cuarta causa de lesiones laborales mortales. Según el Bureau of Labor Statistics Census of Fatal Occupational
Injuries, en el año 2009 hubo 521 homicidios en el lugar de trabajo de un total de 4.340 accidentes del trabajo mortales (Bureau of Labor Statistics, 2010).

4.2.4 USO DE DROGAS Y ALCOHOL ENTRE LOS TRABAJADORES

Todos los involucrados en un negocio –ya sea el propietario o un empleado- se perjudican por el abuso de alcohol y drogas en el lugar de trabajo. Algunos
efectos son costosos obvios, como el ausentismo, accidentes y errores. Otros efectos son menos evidentes, pero también son costosos y perjudiciales, como
una moral baja y altas tasas de enfermedades.

En Estados Unidos, la vasta mayoría de los consumidores actuales de drogas ilícitas está empleado. De los aproximadamente 12,3 millones de
consumidores adultos actuales de drogas ilícitas, 9,4 millones (77 por ciento) trabaja (Substance Abuse and Mental Health Services Administration, 2000).

4.3 BENEFICIOS DE LA VERIFICACIÓN PRE-EMPLEO

El propósito principal de una investigación de antecedentes es prevenir las pérdidas y mitigar los daños. Desde una perspectiva legal, las investigaciones
pre-empleo proporcionan a las organizaciones la mitigación de contrataciones negligentes y discriminación. Una mala decisión de contratación implica
muchos costos. Por ejemplo, si un empleado mal elegido le roba a la empresa, las pérdidas incluirán el valor de la propiedad o servicio robado; el costo de
la investigación; y el costo de reclutar, contratar y entrenar al empleado de reemplazo. (Para información sobre el cálculo del costo de rotación, ver Anexo
B). Una vez que los costos se han calculado, se hace evidente que un programa de protección de activos tiene que reunir y analizar el máximo de
información relevante sobre los candidatos que permita la ley. La política debe ser rentable y realizar los componentes más costoso del proceso al final. Un
programa de verificación pre-empleo completo le entrega a los gerentes la información crítica que ellos necesitan para tomar decisiones de contratación
exitosas, y deben ser realizadas y evaluadas antes de ofrecer el puesto al potencial empleado.

Un programa de verificación pre-empleo beneficia a las empresas de varias maneras:

• Desalienta a los postulantes a ocultar algo y los alienta a ser honestos durante el proceso de entrevista. Los postulantes saben que la información que
ellos proporcionaron será analizada.
• Demuestra que la empresa ha ejercido la debida diligencia, la que puede proporcionar protección legal en un juicio y también puede alentar a los
buenos candidatos a postular. Un especialista hace notar que, “Los postulantes a un empleo tienen el deseo de trabajar con compañeros de trabajo
cualificados y seguros en un ambiente beneficioso” (Rosen, 2002).
• Garantiza que el candidato a un trabajo tiene los antecedentes, educación, experiencia y habilidades que ella o él afirma. Una vez que se ha
 confirmado la información, las decisiones de contratación se pueden basar en hechos, no en instintos o promesas.

4.4 DESARROLLO DE UN PROGRAMA DE VERIFICACIÓN

El desarrollo de un programa eficaz de investigación de antecedentes y verificación pre-empleo requiere la participación de muchas personas y
departamentos de la organización. La alta gerencia, primero, debe aprobar y apoyar la política. Luego, idealmente, a un equipo de profesionales de
seguridad y de recursos humanos se le debe asignar la tarea de desarrollar e implementar la política. Otras funciones de la organización, como
adquisiciones o compras, pueden ser útiles en el análisis de los paquetes de ofertas (si la investigación es subcontratada). Finalmente, debido a la miríada de
asuntos judiciales y de cumplimiento relacionados con la recolección y utilización de información personal, un asesor legal debe revisar y aprobar el
programa.

Los programas de verificación varían de una organización a otra, dependiendo de los siguientes factores:

• acceso a la información
• naturaleza del cargo
• posible responsabilidad asociada al desempeño incorrecto del trabajo

• normas de la industria

4.4.1 ACCESO A LA INFORMACIÓN

En el actual entorno empresarial global, los profesionales de la seguridad enfrentan desafíos únicos para obtener y verificar la información de los
postulantes. Las compañías internacionales luchan por mantener la consistencia en las políticas de contratación debido a las diferencias en la información
disponible. Los candidatos multinacionales presenta complicaciones únicas.

Las costumbres globales y los asuntos de cumplimiento varían enormemente, haciendo la verificación aún más compleja. Por ejemplo, Australia considera
los registro de educación fuera de los limites de los investigadores, y las leyes de China exigen que las solicitudes de registros criminales tengan el apellido
escrito en caracteres chinos (Lashier, 2003).

En Estados Unidos, el acceso a la información personal, como créditos, seguros y antecedentes criminales, se rige por la Fair Credit Reporting Act
(FCRA). Por lo general, los antecedentes criminales de condenas son información pública. Bajo la Freedom of Information Act “Public Interest Issues” los
registros deben estar disponibles para su revisión. La historia crediticia no está cubierta por esa ley y no es considerada información pública. La
información en Canadá está protegida por la Personal Information Protection and Electronic Documents Act (PIPEDA). La Unión Europea protege la
privacidad de la información conforme a una estricta directiva, y Japón recientemente promulgó la Ley de Protección de Información Personal.

Debido a estas diferencias, si una organización está externalizando este servicio, generalmente es mejor utilizar una empresa de investigaciones bien
versada en la justicia criminal local y las leyes de privacidad, y que se base en el país donde reside la información.

4.4.2 NATURALEZA DEL CARGO

No todos los cargos en una organización requieren el mismo nivel de verificación. A algunos empleados se les confía información altamente sensible y
grandes cantidades de dinero u otros instrumentos financieros. Otros empleados están en estrecho contacto con el público o trabajan en los hogares de los
clientes o con niños. Ciertos empleados manejan materiales peligrosos o se les confía la protección de otros. Esos cargos a menudo ameritan un mejor nivel
de escrutinio. Una organización debe revisar cuidadosamente sus descripciones de cargos y seleccionar el nivel de verificación más apropiado.

4.4.3 ASUNTOS DE RESPONSABILIDAD LEGAL

Algunos cargos permiten un margen de error. Los capitanes de barcos, pilotos, médicos, trabajadores que cuidan niños y muchos otros, se supone tienen la
formación, habilidades y educación correcta. Es de incumbencia del empleador verificar los antecedentes del postulante. Generalmente, cuanto mayor sea
el nivel de responsabilidad, más comprometida debe ser la verificación.

Considere las ramificaciones de un desempeño incompleto o incompetente de un trabajo en particular. ¿Qué pasaría si un piloto no tuvo el entrenamiento ni
los antecedentes de drogas y alcohol que ella o él informó? ¿Qué pasa si un trabajador que cuida niños tuvo una historia de violencia criminal? ¿Qué pasa si
el director financiero de la empresa tenía antecedentes de malversación de fondos? Las leyes varían, pero los accidentes y lesiones que son el resultado del
error o incompetencia de los empleados, por lo general, se convierten en responsabilidad del empleador. Los juicios y acuerdos asociados cuestan una
cantidad de dinero sustancial y podrían, de hecho, dejar a una empresa fuera de negocio.

4.4.4 NORMAS DE LA INDUSTRIA

En Estados Unidos, los estatutos federales y estatales establecen requisitos para la verificación de antecedentes para muchas industrias. A menudo estas
industrias exigen licencias profesionales; implican contacto con poblaciones vulnerables, como niños o ancianos; o de alguna otra forma representan un
alto riesgo. Ejemplos de industrias reguladas incluyen la banca, el transporte, el cuidado de niños, la educación y la seguridad. Una compañía debe
considerar las normas de la industria cuando desarrolla su programa de verificación.

A pesar de la variación basada en factores anteriores –el acceso a la información, la naturaleza del cargo, la responsabilidad y las normas de la industria- los
programas de verificación pre-empleo tienen una base común:

• recopilación de datos: utilizando un formulario de postulación estandarizado, específico de la compañía y documentación complementaria
• investigación de antecedentes y verificación: seguimiento de políticas escritas y procesos estandarizados
• análisis de datos y decisiones de contratación

4.4.5 SIETE PASOS FÁCILES PARA UNA POLÍTICA DE VERIFICACIÓN PRE-EMPLEO

COMPLETA
Los siguientes pasos pueden ayudar a desarrollar una política de verificación pre-empleo legal, eficaz y justa:

1. Crear descripciones de cargo bien definidas y claramente escritas para todos los cargos. La descripción de cargos describe las tareas que se deben
desarrollar en un cargo y las cualificaciones personales necesarias para realizar esas tareas en forma satisfactoria. En la compilación de la descripción
del cargo, se debe delimitar las cualificaciones personales a aquellas que claramente se requieren para el cargo. Un prerrequisito que no se puede
demostrar sea necesario para la realización exitosa de las tareas descritas, puede dar lugar a quejas ante la autoridad regulatoria o incluso a una acción
civil. Desde el 26 de julio de 1994, en Estados Unidos, los empleadores con al menos 15 empleados deben cumplir con las disposiciones de la
Americans with Disabilities Act en la definición de las cualificaciones necesarias del postulante.

Debido a que los requisitos establecidos en la descripción de cargo son los estándares para la verificación preliminar del postulante, una descripción de
cargo precisa y bien redactada es crucial para el éxito del programa.

2. Evaluar el riesgo de cada clasificación de cada cargo en términos de potenciales problemas razonables (o previsibles). Las siguientes preguntas
pueden ayudar en esa evaluación:

− ¿Tendrá el empleado acceso a instrumentos financieros o información sensible?

− ¿Tendrá el empleado un contacto regular o sin supervisión con el público? (Ejemplos de cargos con un importante contacto con el público
incluyen el lector de medidor, persona que repara artefactos, instalador de alfombras y muchos otros)

− ¿Se le otorgarán al empleado claves, códigos de alarmas y acceso al edificio después de las horas de trabajo?

− ¿Requiere el cargo que la persona posea credenciales, licencias o conocimientos profesionales específicos?

− ¿Tendrá que manejar el empleado un arma de fuego?

− ¿El empleado tendrá acceso a materiales peligrosos, como explosivos o ciertos productos químicos?

− ¿Tendrá el empleado que conducir un vehículo motorizado?

3. Sobre la base de la evaluación de riesgo precedente, determinar el alcance de la verificación pre-empleo de la clasificación de cada cargo. Esto
significa establecer medidas de verificación estandarizadas y consistentes para contratos temporales, permanentes, a tiempo completo, a tiempo parcial y
trabajadores voluntarios en distintos cargos. La política de verificación de la empresa debe ser administrada escrupulosamente a lo largo de toda la
clasificación de los puestos de trabajo, para evitar acusaciones de prácticas injustas o ilegales en materia de contratación.

Sin embargo, se pueden usar diferentes niveles de verificación para diferentes cargos, mientras el nivel de verificación sea apropiado y administrado en
forma consistente y justa. Por ejemplo, un chequeo crediticio se puede hacer para un contador, pero no para un trabajador del servicio de alimentos. Si
esa es la política, entonces todos los postulantes a contador estarán sujetos al chequeo crediticio y todos los trabajadores del servicio de alimentos no.

La política también debe especificar periodos adecuados para cada uno de los componentes del programa. Por ejemplo, la política podría establecer que
se realizará un chequeo de delitos de siete años para todos los postulantes en una clase de trabajo en particular. (En algunos casos, el estándar puede ser
exigido por la ley).

4. Trabajar con personal de recursos humanos y jurídico para desarrollar un paquete de contratación apropiado. Este paquete debe incluir un
formulario de postulación exhaustivo y los formularios de autorización y liberación pertinentes. El asesor jurídico puede ayudar a garantizar que el
contenido del paquete cumple con las leyes aplicables. Si, en el curso de la investigación de antecedentes pre-empleo, se descubren inconsistencias en
los antecedentes del candidato, el departamento de recursos humanos debe ser informado de que puede ser necesario investigar un poco más.

5. Establecer criterios para la evaluación de la información. Es importante determinar lo que constituirá información de descalificación y quién
decidirá la contratación. El criterio debe especificar, por ejemplo, qué tipos de conductas criminales anteriores son lo suficientemente importantes para
impedir el empleo de un postulante en un determinado cargo. Muchas empresas usan un equipo de personal de recursos humanos, seguridad y jurídico,
para revisar los hallazgos negativos. El estándar de prueba necesario para negarse a contratar a un postulante es “la buena fe”.

6. Comunicar la política de verificación pre-empleo y sus propósitos a la fuerza laboral. La política y las explicaciones pueden ser publicadas en
 tableros de anuncios, en sitios de la intranet, en el manual del empleado, o en cualquier lugar que mejor se adapte a la cultura de la organización. Las
explicaciones de la política deben enfatizar los beneficios del aumento de la seguridad y protección, la disminución de la rotación y el aumento de la
eficacia operacional.

7. Revisar periódicamente el cumplimiento de la política. Este paso garantiza que se está siguiendo sistemáticamente la política en toda la empresa.

4.5 RECOPILACIÓN DE DATOS: LAS HERRAMIENTAS BÁSICAS PARA REUNIR

INFORMACIÓN
Una investigación de antecedentes inicialmente se centra en información provista por el postulante, la cual generalmente se encuentra en la solicitud de
empleo, el cuestionario de antecedentes personales, el currículum vitae y otros documentos biográficos. Independientemente de si el postulante presenta un
currículum vitae, el empleador debe pedir al postulante que complete un formulario de postulación estándar, el que debe ser diseñado por la empresa. No se
debe usar una sola herramienta de verificación para evaluar a un postulante. Ese enfoque ayuda a la compañía a obtener el máximo de información
relevante y legal posible sobre el postulante.

4.5.1 CURRÍCULUM VITAE

Un currículum provee la primera indicación de si un aspirante está calificado para un cargo. Como tal, es un elemento importante en la pre-selección de los
postulantes. Si el currículum vitae no muestra la experiencia o educación necesaria, el postulante debiera ser eliminado del grupo de contratación. Un
currículum vitae es un elemento de promoción y es difícil considerar un aspirante estrictamente responsable de la información que contiene. Por lo tanto, es
importante para una empresa no aceptar un currículum vitae en lugar de un formulario de postulación o historia de trabajo completa. Un currículum vitae
puede ser una importante fuente de información adicional sobre un aspirante y siempre debe ser revisado como parte del proceso de verificación pre-
empleo. Sin embargo, el formulario de postulación del empleador debe ser la fuente principal para recopilar información y debe ser revisado antes de llevar
a cabo una investigación previa a la contratación.

4.5.2 SOLICITUD DE EMPLEO

Las solicitudes de empleo son el punto de partida básico para la verificación pre-empleo. El cuerpo de la solicitud de empleo consiste en preguntas que se
usan para obtener información que ayudará al empleador a determinar si el postulante cumple con los criterios mínimos para el cargo a llenar. En la
redacción de esta sección, el gerente de seguridad puede ser útil para ayudar a determinar si la solicitud contiene suficiente información para trazar la
historia del aspirante, y que sólo se hayan incluido preguntas legales. En Estados Unidos, las solicitudes son consideradas pruebas en el mismo sentido que
cualquier otra herramienta utilizada para determinar la idoneidad. Como resultado, las solicitudes deben mostrar que no tienen un impacto adverso sobre
los postulantes que están protegidos por las leyes federales contra la discriminación laboral. El asesor legal puede ayudar en esa determinación.

Idealmente, las solicitudes deben abordar los siguiente elementos:

• Omisiones y errores materiales: Una solicitud debe establecer que omisiones y errores materiales (importantes o consecuenciales) son motivos para
terminar el proceso de contratación en cualquier momento que se descubra.
• Nombre completo y correcto del solicitante: La solicitud también debe pedir otros nombres por los cuales el solicitante sea conocido en cualquier
lugar de educación, residencia, o empleo.

• Domicilio actual y anteriores: es necesario conocer no sólo el domicilio actual del aspirante (y domicilio permanente o legal diferente del actual),
sino también todos los domicilios anteriores en los que el postulante residió durante cualquier periodo de empleo o educación o cualquier otro
periodo de actividad que se va a comprobar.
• Educación. Lo siguiente se debe obtener para cada nivel de educación:
− nombre y dirección de la institución educativa

− curso o programa seguido

− fecha de asistencia

− estado final (por ejemplo, graduado, obtención de título, retirado, etc.)

− grado específico o certificado obtenido, si existiese

− promedio de notas o calificación

− razón del retiro antes de completarlo, si procede

Muchas instituciones educacionales son reacias a revelar información del registro académico, más allá del simple hecho de que asistió o se graduó.
La autorización del postulante para la liberación de información adicional es útil en esos casos.

• Empleo. Al postulante se le debe pedir toda la historia de empleo, incluyendo auto-empleo, para el periodo que será revisado. Si la organización
 comprobará los últimos cinco, siete o diez años, el postulante debe proporcionar una presentación de empleos, auto-empleo y desempleo ordenada
cronológicamente durante ese periodo. Los formularios de postulación que proporcionan sólo dos o tres espacios en blanco en esta sección sugieren
que no se espera más información. Por lo tanto, las instrucciones de postulación deben establecer claramente que se espera una historia de empleo
completa y que deberá usarse una hoja en blanco extra si es necesario más espacio. Debe haber un lugar en el formulario para que el postulante
indique si el actual empleador puede ser contactado como referencia. Para cada empleo anterior, se requieren los siguientes datos:

− nombre y dirección del empleador

− título del cargo (inicial y final)

− periodo de empleo

− compensación final

− razón por la que se fue

− nombre y teléfono de el último superior inmediato

• Referencias. Después de que varias referencias hayan sido entrevistadas, debería comenzar a surgir una tendencia en términos del desempeño y
estilo de trabajo del postulante. La solicitud debe pedir nombres, empresas y direcciones de residencia y teléfonos de al menos tres personas, no
familiares del postulante que lo hayan conocido por un año o más.
Un empleador anterior que aún conoce al sujeto sería una excelente fuente de referencia. El postulante también debe indicar la cantidad de tiempo
que lo conoce y la base del conocimiento (v.gr., vecino, amigo o compañero de trabajo).

• Servicio Militar. La solicitud debe pedir la siguiente información respecto al servicio miliar en Estados Unidos. Fuera de Estados Unidos, uno
primero debe consultar con el asesor jurídico.
− periodo del servicio

− rama del servicio

− carácter del alejamiento o baja

− rango o calificación en el momento de la baja

La Ley de Privacidad (Privacy Act) y las regulaciones relacionadas han impuesto restricciones sobre lo que los servicios militares pueden revelar
acerca de un postulante con un servicio militar desfavorable sin una orden legal, pero un postulante puede voluntariamente revelar esa información.
Por lo tanto, se le debería pedir al postulante que revele una baja honorable o deshonrosa en el formulario de postulación. Al postulante también se le
puede pedir que entregue el documento de baja – Formulario DD-214- para confirmar el carácter del alejamiento.

• Historia Criminal. Una comprobación de registros criminales es el método más común de verificación pre-empleo. Como este tema probablemente
es el más variable, tiene sentido contactar al asesor jurídico antes de formular las preguntas sobre la historia criminal en la solicitud. Idealmente, la
información criminal debe ser solicitada en el más amplio contexto posible, por ejemplo, solicitar información sobre condenas, admisión de
culpabilidad y nolo contendere. La solicitud también debe establecer que una condena criminal no es automáticamente un motivo de rechazo.
• Liberación. El formulario de postulación debe indicar que el postulante da su consentimiento para la verificación pre-empleo y que la liberación es
válida para una futura verificación para retención, promoción o reasignación. Muchas fuentes de información se rigen por los estatutos o se han
vuelto cautelosos y reticentes respecto a revelar datos sobre antiguos empleados o estudiantes. En Estados Unidos, si un empleador utiliza un servicio
externo de verificación, el FCRA exige (1) informar al postulante de que se podría solicitar un informe de consumidor y (2) una autorización escrita
del postulante. La liberación y autorización escrita deben estar separadas del formulario de postulación.

4.6 PRIMERA REVISIÓN DE LA SOLICITUD Y ENTREVISTA INICIAL

La primera revisión de la solicitud es una herramienta importante en el proceso de verificación pre-empleo. Las falsificaciones de los postulantes
generalmente se dividen en dos categorías:

• omisiones deliberadas de hechos materiales

• inexactitud de hechos materiales
Un postulante puede tratar de omitir información que podría ser un obstáculo para el empleo. De hecho, el postulante pudo haber estado falsificando la
misma información durante años y haber llegado al convencimiento de que un potencial empleador no hará la comprobación. Con demasiada frecuencia, el
solicitante está en lo correcto!

4.6.1 BANDERAS ROJAS EN LA PRIMERA REVISIÓN DE LA SOLICITUD

Una de las inexactitudes u omisiones más comunes encontradas en las solicitudes de empleo se enumeran a continuación:
 • Formularios sin firmar.
• Direcciones incompletas o números de casillas de correos.
• Conflicto con las fechas de empleo, educación o servicio militar. Algunos postulantes listan los nombres de centros de estudio, pero no las fechas
de asistencia o los títulos conferidos. Un centro de estudio con un nombre poco conocido siempre debe ser verificado.

• Brechas en el empleo. Deben ser investigadas todas las brechas en la historia de empleo o de vida, si son superiores a un mes.
• Cambios de ocupación. La gente tiende a seguir una línea general de trabajo la mayor parte de su vida, por lo tanto, si hay algún indicio de un patrón
anormal de empleo debe ser examinado de cerca.
• Escasa información de empleo o ex empleador fuera del negocio.
• Variación del número de Seguridad Social (sólo en U.S.A.). El número de seguridad social puede ser distinto al de la zona del país en el cual el
postulante afirma que fue emitido. En sí mismo, esto podría no ser un elemento de información importante, pero puede servir como una valiosa pista
si se debe ampliar la investigación o el postulante cuestionado por mayores detalles.
• Omisión de razones de abandono. Los postulantes pueden intentar evitar dar sus razones por las que abandonaron un empleo, especialmente cuando
ellos están seguros de la respuesta que el ex empleador podría dar sobre su desempeño en el anterior trabajo. Sin embargo, cuando se pregunta
directamente, la mayoría de los postulantes tratan de dar una respuesta.

4.6.2 ENTREVISTA INICIAL DEL POSTULANTE

De preferencia, este paso debe ser realizado en persona y después que el postulante entregue los documentos de la postulación. La entrevista inicial
proporciona una oportunidad para aclarar cualquier omisión, como la falta de firmas y fechas, preguntas no contestadas o historial de trabajo incompleto.
Los entrevistadores no deben hacer preguntas negativas o preguntas que inciten a una fuente a emitir un juicio, porque esto produce respuestas engañosas.
Si el proceso de clarificación revela que el postulante claramente no califica para el trabajo, la empresa puede decirle inmediatamente al postulante y
evitarle cualquier falsa esperanza.

4.7 FASE DE SELECCIÓN FINAL

Un esfuerzo cooperativo dentro de la organización se traducirá en un óptimo proceso de selección de empleados. Si el postulante pasa las fases iniciales del
proceso, ella o él entrará en la fase de selección final, el punto en el cual se produce la verificación más rigurosa.

Los términos comprobación de antecedentes, investigación o verificación de antecedentes y verificación pre-empleo, a menudo se usan indistintamente. En
realidad, son disciplinas distintas, pero relacionadas.

Por lo general, una comprobación de antecedentes es un tipo de investigación confirmatoria. Esta incluiría la verificación de la información proporcionada
por un postulante, tales como educación e historial de empleo.

La investigación o verificación de antecedentes busca información en forma activa, realizando tareas como desarrollar las referencias o la búsqueda de
antecedentes criminales. El objetivo es descubrir información que un postulante podría tratar de ocultar, como una actividad delictiva o despidos anteriores.
El glosario de ASIS define verificación de antecedentes como una “Investigación sobre la historia y comportamientos de un individuo considerado para un
empleo, un crédito, el acceso a activos sensibles (como la información de defensa nacional) y otras razones”. Una investigación o verificación de
antecedentes puede variar ampliamente, desde simplemente comprobar la experiencia laboral anterior y las credenciales educativas hasta la comprobación
de la historia civil, criminal y médica.

La verificación pre-empleo es un proceso para determinar si el potencial empleado es confiable o capaz de desarrollar las funciones requeridas para un
trabajo en particular. Puede incluir todo lo anterior y también puede incluir cualquiera de los siguientes:

• verificación de drogas o alcohol

• prueba psicológica (prueba de personalidad e integridad)
• prueba de inteligencia general o aptitud
• verificación médica y pruebas de habilidades físicas
• pruebas de poligrafía
La legalidad de determinados tipos de verificaciones y las etapas en la cual se den las pruebas están estrictamente reguladas en muchos lugares. Es mejor
consultar con el asesor jurídico para los requerimientos específicos.

4.7.1 VERIFICACIÓN DE DROGAS Y ALCOHOL

Debido a que el uso ilegal de drogas y alcohol puede ser un grave problema para las empresas, las leyes federales en Estados Unidos requieren pruebas
obligatorias para algunos cargos. Para cualquier cargo en el que no se requiera la verificación obligatoria, la evaluación de riesgos detallada anteriormente,
ayudará a una organización a determinar los niveles de verificación apropiados. Cualquier organización que realiza la prueba de drogas, de cualquier tipo,
debe tener una política escrita clara, especificando cuándo se realizará la prueba y cómo será llevada a cabo y cuáles son las implicancias de los resultados.
La política debe ser comunicada a todos los postulantes y empleados. Los programas de drogas y alcohol se discuten en detalle en otra parte de Protección
de Activos.

4.7.2 PRUEBA PSICOLÓGICA

El objetivo principal de estas herramientas de selección pre-contratación es ayudar a un empleador a tomar decisiones de contratación informadas.

Prueba de Personalidad e Integridad

Las pruebas de personalidad proporcionan una medida psicológica de las características básicas de un individuo, tales como actitudes, ajustes emocionales,
motivaciones, habilidades interpersonales e intereses. Este tipo de prueba es particularmente útil para determinar la compatibilidad del postulante con el
cargo. Por ejemplo, un individuo que prueba ser tímido o introvertido, no necesariamente sería apropiado para un cargo de ventas. La prueba de integridad
u honestidad mide la propensión del postulante a comportamientos indeseables, tales como mentir, robar y abusar de drogas o alcohol. Este tipo de prueba
generalmente se divide en dos categorías. Las pruebas directas o manifiestas que hacen preguntas explicitas acerca de actos o comportamientos deshonestos
pasados en un postulante, mientras que las pruebas orientadas a la personalidad o indirectas examinan conceptos como la confiabilidad y el respeto por la
autoridad.

Las pruebas generalmente son de “papel y lápiz” o realizadas a través de software especializados. Es imperativo que la prueba sea administrada, calificada
e interpretada correctamente. Los resultados de las pruebas psicológicas deben ser utilizadas sólo como uno de los factores en la toma de decisión para la
contratación. Como con otros tipos de pruebas, el uso inadecuado podría haber consecuencias negativas para la organización. Antes de iniciar el programa
de pruebas, es prudente buscar ayuda legal. (La bibliografía lista fuentes de información que pueden ayudar a los empleadores a desarrollar y administrar
los programas de pruebas pre-empleo).

Prueba de Inteligencia y Aptitud

Las pruebas de inteligencia a veces son parte de las evaluaciones pre-empleo, debido a que la inteligencia es un buen predictor del rendimiento laboral. Las
pruebas de inteligencia podrían consistir en problemas lógicos, problemas verbales, identificación de patrones u otro tipo de preguntas.

Las pruebas de aptitudes miden la habilidad cognitiva en un área en particular, tales como memoria, vocabulario o percepción numérica.

Las pruebas de inteligencia y aptitud pueden ser utilizadas si se administran y califican correctamente, pero no son infalibles y deben ser usadas sólo como
un factor en la toma de decisiones de contratación. El uso de estas prueba debe ser discutido con el asesor jurídico anticipadamente.

Verificación Médica y Pruebas de Habilidad Física

La revisión médica es un área sensible debido a la naturaleza personal de las pruebas y los riesgos legales que crean. En general, la verificación médica
puede ser desarrollada si está relacionada específicamente con el trabajo. Si un examen médico revela una enfermedad o discapacidad que no está
directamente relacionada con el cargo al cual el individuo está postulando, la organización no puede negarse a emplear esa persona. Las pruebas de
habilidad física miden características específicas, tales como fuerza, resistencia o capacidad de movimiento. Esas prueba le dicen al empleador si los
postulantes serían capaces de desarrollar funciones esenciales de un cargo sin riesgo de lesionarse a sí mismo o a terceros.

Este tipo de prueba y el programa que lo dirige debe ser revisado y aprobado por el asesor jurídico antes de su implementación, debido a la potencial
discriminación o impacto de diferentes quejas. Por lo tanto, la revisión de la información de registros médicos no se encuentra en una investigación de
antecedentes pre-empleo típica. Además, en Estados Unidos este tipo de prueba podría ser considerado un examen médico y en algunos estados puede ser
administrado sólo después de que se hizo la oferta de empleo.

Pruebas de Poligrafía
En Estados Unidos, antes de la promulgación de la Employee Polygraph Protection Act de 1988, que prohíbe el uso del examen de poligrafía pre-empleo,
el polígrafo era considerado el método más rápido y efectivo para verificar la información de los antecedentes de los postulantes. Ahora, rara vez se utiliza.
Para mayor información sobre el polígrafo, ver la sección de Asuntos Legales de Protección de Activos.

4.8 PROCEDIMIENTOS DE INVESTIGACION

Una vez que se ha tomado la decisión de realizar una verificación pre-empleo y existe la política, uno debe determinar cómo se cumplirá la verificación.
Los tres recursos más comunes son:

• departamento de seguridad o protección de activos

• departamento de recursos humanos
• agencia externa de informes del consumidor e investigaciones
Estos tres recursos no son mutuamente excluyentes. Muchas organizaciones usan diferentes recursos para realizar distintos segmentos de la investigación.
El tamaño y estructura organizacional de la empresa, generalmente son los principales factores en la selección de los recursos que se usarán. Cuando se
decide qué servicios se desarrollarán internamente y qué servicios serán externalizados, también se deben considerar la dotación de personal, experiencia,
eficiencia y rentabilidad.

4.8.1 UTILIZACIÓN DEL DEPARTAMENTO DE SEGURIDAD O PROTECCIÓN DE

ACTIVOS

Si el departamento de seguridad o protección de activos, la cual es la función de investigación que mejor sirve a la organización, será quién lleve a cabo las
investigaciones, va a necesitar ciertos recursos:

• personal de investigación con experiencia y bien entrenado

• suficiente material de referencia
• comunicaciones adecuadas
El personal de apoyo administrativo puede realizar algunas búsquedas en las bases de datos y ayudar a obtener y organizar la información de anteriores
empleos, educación y referencias. Sin embargo, un investigador con experiencia debe conducir la investigación y analizar los resultados de la búsqueda.

4.8.2 UTILIZACIÓN DEL DEPARTAMENTO DE RECURSOS HUMANOS

Si tiene el personal suficiente, el departamento de recursos humanos puede jugar un importante rol en el proceso de verificación de antecedentes. Los
profesionales de recursos humanos están versados en las leyes laborales y capacitados en técnicas de entrevistas. Ellos son ideales para la realización de
verificaciones preliminares, tales como llamadas telefónicas iniciales de referencias para un cargo en particular. A menudo, como resultado de esta
comprobación inicial, se toma la determinación de si el candidato continuará en el proceso. Si es así, el resto de la investigación puede ser efectuada por un
investigador con experiencia.

4.8.3 TILIZACIÓN DE UNA AGENCIA EXTERNA DE INFORMES DEL CONSUMIDOR E

INVESTIGACIONES
El número de empresas que ofrecen servicios de verificación pre-empleo ha crecido fenomenalmente. Si la organización tiene planificado externalizar esta
función, se debe tener mucho cuidado en la elección de la empresa. Las siguientes preguntas pueden ayudar a tomar la decisión.

• ¿Provee la empresa información al cliente (gerente de seguridad de la compañía) y a los sujetos según las leyes aplicables (por ejemplo, FCRA en
Estados Unidos y PIPEDA en Canadá)?
• ¿Puede la empresa proveer al cliente con asistencia sobre las regulaciones?
• ¿Es la información suministrada la más actual y exacta disponible?
• ¿Provee la empresa todos los servicios de verificación que requiere el cliente, o necesitará usar más de un proveedor?
• ¿La empresa provee métodos convenientes de orden?
• ¿Cuánto tiempo toma recibir la información solicitada?
• ¿Cuál es el precio por los servicios prestados? ¿Cómo se compara ese precio al de otras empresas competidoras de servicios similares?

• ¿Cuáles son los pasos que lleva a cabo la empresa para establecer la verdadera identidad del postulante?
• ¿Qué procedimientos de control de calidad realiza la empresa para asegurar la exactitud?
• ¿La empresa tiene seguros de errores y omisiones u otra cobertura aplicable?
• ¿La empresa tiene procedimientos adecuados para garantizar la seguridad y confidencialidad de la información?
• ¿La empresa ha prestado servicios similares a otras organizaciones en la industria del cliente?
• ¿La empresa proporcionará referencias de otros clientes que el cliente pueda contactar?
• ¿Qué garantía de satisfacción provee la empresa?
• ¿La empresa proporciona a sus clientes los recursos materiales o actualizaciones relacionadas a temas legales y prácticos en la verificación pre-
empleo?
• ¿La empresa proporcionará un informe de muestra?

4.8.4 ANALISIS DE LA INFORMACIÓN

Cuando todos los resultados de la verificación sean devueltos, empieza el proceso de análisis. En el mejor de los escenarios, es verificada toda la
información de los postulantes y mayores verificaciones no muestran resultados negativos. Sin embargo, si se encuentran resultados negativos, la decisión
puede llegar a ser más complicada. El gerente de seguridad debe referirse a la política escrita de la empresa, respecto al tipo de comportamiento criminal
anterior que puede descalificar del empleo a un individuo. La ley de privacidad puede entrar en juego en la ubicación particular de la empresa. En Estados
Unidos, los empleadores deben revelar los resultados negativos a un postulante y permitirle corregir la información falsa o mal aplicada.

Además, el formulario de postulación al empleo debe indicar que las omisiones y errores materiales son motivos de término del proceso de empleo cuando
se descubran. Ese tipo de declaración sienta las bases para el término del proceso por deshonestidad en el suministro de la información y no sólo por la
información negativa en sí.

4.9 FUTURO DE LAS INVESTIGACIONES DE ANTECEDENTES Y LAS VERIFICACIONES

PRE-EMPLEO
La legislación de privacidad afectará significativamente el futuro de las investigaciones de antecedentes y las verificaciones pre-empleo. Muchos países
están lidiando con los problemas de recolección de datos, almacenamiento y transferencia segura de la información, mientras equilibran la privacidad con
los derechos humanos. En todo el mundo los cambios recientes han sido hacia la restricción de la información.

En general, los avances tecnológicos están agilizando el proceso de verificación e investigación, y mejorando la economía de la realización de
investigaciones en todo el mundo. Muchas bases de datos pueden consultarse en línea, permitiendo plazos casi instantáneos. No obstante, debido a que esas
bases de datos pueden tener severas limitaciones y contener información no confirmada, la información que proveen debe ser tratada como
complementaria. La tecnología también está mejorando la forma como se reúne y difunde la información en toda la empresa. Estas mejoras tecnológicas
pueden simplificar un proceso lento, y a veces tedioso, y ayudar a garantizar que la información sobre el trabajo sea recopilada, protegida y compartida de
manera eficiente y segura.

La verificación pre-empleo es un componente esencial de cualquier programa de seguridad bueno. Los profesionales de la seguridad centran mucha
atención en la prevención del robo de empleados, la violencia en el trabajo y otros incidentes de seguridad. La comprobación de antecedentes y la
verificación pre-empleo podrían ser útiles en ese esfuerzo.
ANEXO A

TABLA DEL NÚMERO DE SEGURIDAD SOCIAL – TRES PRIMEROS DÍGITOS

Desde 1973, los números de seguridad social han sido emitido por la oficina central de la Social Security Administration. Los primeros tres dígitos del
número de seguridad social de una persona está determinado por el código postal de la dirección de correo indicada en la solicitud del número de seguridad
social. Antes de 1973, los números de seguridad social eran asignados por las oficinas sede. El número sólo establecía que la tarjeta de una persona fue
emitida por una oficina de ese estado. La siguiente tabla muestra los tres primeros dígitos del número de seguridad social a lo largo de Estados Unidos y
sus territorios.

NOTA: Cuando la misma zona se muestra más de una vez, significa que ciertos números han sido transferidos de un estado a otro o que un área ha sido
dividida para su uso entre ciertas localidades geográficas.

Cualquier número que comience con 000 nunca será un SSN 13 válido.
*= Nuevas áreas asignadas aunque no emitidas
**La emisión de estos números a los empleados del ferrocarril fue descontinuada el 01 de Julio de 1963.
ANEXO B

CALCULADOR DE ROTACIÓN

Calculadoras de rotación gratis, basadas en la Web, pueden ayudar a determinar los costos asociados al reemplazo de un empleado. Un ejemplo se
encuentra en http://www.uwex.edu/ces/cced/publicat/turn.html.

El reemplazo de un empleado, debido a una mala selección y verificación, tiene una alto costo financiero en una organización. Siguiendo el proceso de
siete-pasos, más abajo, uno puede calcular el costo real. El primer paso es seleccionar un trabajo que experimente una alta rotación, debido a la mala
selección o verificación, y luego ingresar el salario promedio de ese cargo en la línea 1. Luego, multiplicar por 1.3 para incluir los costos de beneficios.
Multiplicando el salario total por 25 por ciento produce el costo de rotación por empleado. Ese costo puede entonces ser multiplicado por el número de
anteriores empleados para calcular el costo total de rotación para ese cargo.

______________________________
13 N. del T: Social Security Number (número de seguridad social)
 CAPÍTULO 5
ENTREVISTA E
INTERROGATORIO

El propósito de una investigación es determinar la verdad en una materia bajo cuestionamiento. Las tres herramientas que un investigador utiliza durante
una investigación se conocen como las tres “I”: información, interrogación e instrumentación. En este capítulo nos concentraremos en la obtención de
información a través de la herramienta principal de entrevista/interrogatorio. La razón es que, en la mayoría de las investigaciones, las personas implicadas
en la materia son las fuentes de información más disponibles y valiosas (Fay, 1993). Las entrevistas de víctimas, testigos, informantes e informantes
confidenciales son considerados los aspectos más críticos de una investigación, ya que son una fuente primaria de información.

El valor de cada entrevista o interrogatorio está basado en el conocimiento del investigador, habilidades para obtener información, y capacidad para evaluar
la veracidad de la información obtenida. El más preciado talento que un investigador puede tener es la habilidad para obtener información de las personas a
través de las preguntas. Preguntándole a testigos, sujetos y sospechosos, uno puede desarrollar información que ayuda a cerrar una investigación en forma
exitosa, rentable y oportuna. Durante el proceso, es vital realizar entrevistas en conformidad con los estatutos, regulaciones y estándares de justicia.

Hay muchos tipos de entrevistas e interrogatorios, así como hay muchos tipos de investigaciones. Por ejemplo, un investigador privado puede estar
involucrado principalmente en investigaciones nacionales, secuestros parentales o accidentes de tráfico. Una corporación puede emplear investigadores
privados para investigar un fraude corporativo o irregularidades similares. El rol del investigador corporativo generalmente está restringido a asuntos que
pueden tener efectos adversos en el personal, la estabilidad financiera o la reputación de la empresa. La información obtenida de las investigaciones puede
ser utilizada para mejorar la prevención de pérdidas. Los investigadores del sector público manejan materias relacionadas con violaciones a la ley.

Una entrevista puede ser realizada en una residencia privada, en la esquina de una calle o en una sala formal para entrevistas. El propósito de la entrevista
puede ser conocer acerca de los antecedentes de un postulante, obtener información de un individuo que está directamente involucrado en una materia bajo
investigación u obtener una declaración escrita de un testigo. Cuando las entrevistas son llevadas a cabo de una manera acusatoria o confrontacional –por
ejemplo, para obtener la confesión de un empleado que ha estafado a la compañía en una gran suma de dinero- se pueden llamar interrogatorios. La calidad
de una entrevista o interrogatorio juega un rol crucial en la realización exitosa de una investigación y en cualquier litigio resultante.

5.1 DEFINICIONES
Webster’s New World Dictionary (Agnes, 2003) define entrevista como “Una reunión en la cual a una persona se le preguntan opiniones personales”.
Define interrogar como “hacer preguntas, sobre todo formalmente”. Muchos investigadores se refieren a una entrevista como un proceso de obtención de
información y a un interrogatorio como la interrogación a una persona acusada o sospechosa. Una regla empírica general es que cuando el entrevistado se
convierte en tema, objetivo o persona acusada en la entrevista, esta se transforma en interrogatorio.

Otros han usado distintas definiciones para el proceso de entrevista e interrogatorio. Por ejemplo, Interviewing Techniques (Deming, 1997) usa los términos
entrevistas informativas y entrevistas confrontacionales. Una entrevista informativa no es acusatoria, mientras que la entrevista confrontacional puede ser
acusatoria y generalmente es altamente estructurada. Las definiciones de Deming se recomiendan para la estructura corporativa y privada para diferenciar
aún más el enfoque investigativo de los profesionales de la seguridad empresarial, del enfoque de los profesionales de organismos encargados de hacer
cumplir la ley.

Undercover Investigations in the Workplace (Ferraro, 2006) usa los términos entrevista administrativa y entrevista indagatoria en la descripción de las dos
funciones. La entrevista administrativa, la cual es simple y generalmente no estructurada, es el proceso de entrevistar testigos, amigos, supervisores y
cualquier otra persona ajena al sujeto o sospechoso de la investigación. La entrevista indagatoria es un proceso complejo, estructurado, que se utiliza
cuando se sabe que el sujeto ha cometido el delito solo o con otras personas y el investigador tiene razones para creer que el sujeto cometió el delito.

Criminal Interrogations and Confessions (Inbau, 2001), un texto líder en el campo, distingue entre una entrevista y un interrogatorio de la siguiente
manera: una entrevista es una conversación no acusatoria en la que se hacen preguntas investigativas y de provocación del comportamiento con el fin de
desarrollar información investigativa; un interrogatorio es un proceso acusatorio diseñado para persuadir al sujeto de decir la verdad acerca de su
participación en, o reconocimiento de culpa de, el tema bajo investigación. El interrogatorio no es un proceso de pregunta-y-respuesta, sino más bien un
monólogo en el cual el investigador habla, ofreciendo al sujeto algún tipo de justificación psicológica para el comportamiento errado.

En resumen, la diferencia clave entre una entrevista y un interrogatorio está en la persona que es entrevistada. La entrevista, la entrevista informativa o la
entrevista administrativa, implican preguntas no acusatorias de alguien con información que pertenece a la materia bajo investigación. Un interrogatorio,
entrevista confrontacional o entrevista indagatoria es una sesión muy directa y a veces acusatoria con una persona sospechosa de haber cometido un delito.

Este segmento usa los términos generales de entrevista y entrevista confrontacional, definiéndolos así:

• Entrevista general: interrogación no acusatoria de una persona para obtener información que pertenece a la materia bajo investigación. Todas las
personas en una investigación deben ser entrevistadas –víctimas, testigos y sospechosos.
 • Entrevista confrontacional: interrogación confrontacional de una persona sospechosa de cometer un delito o una infracción grave de la política
corporativa. También conocida como un interrogatorio, este proceso se debe reservar para aquellos individuos cuya participación en el tema bajo
investigación es razonablemente segura.
Esta discusión de entrevista utiliza las siguientes definiciones de sospechoso y testigo:

• Sospechoso: una persona que se cree que ha cometido un delito con base en la evidencia acumulada, proximidad al incidente, motivo, acceso a zonas
restringidas, declaraciones de testigos, etc.
• Testigo: cualquier persona distinta al sospechoso, con información relacionada con un incidente. El testigo puede no haber observado directamente el
incidente pero puede tener hechos que conciernen a la materia objeto de la investigación o puede ser un informante por única vez que está dispuesto a
proporcionar información basado en argumentos morales. Es necesario tener precaución con los informantes anónimos, ya que son los más propensos
a proporcionar información falsa o tendenciosa. La protección y seguridad del informante es una prioridad.
En el sentido más elemental, la finalidad de la entrevista es facilitar la investigación de la verdad. Las técnicas de interrogatorio deben ser objetivas,
preguntas fácticas centradas en la obtención de evidencias. Sin embargo, el proceso tiene una variedad de objetivos, los cuales son definidos por las
circunstancias o la naturaleza de la materia bajo investigación. John E. Reid and Associates, Inc., una empresa que enseña técnicas de entrevista y de
interrogatorio, refiere a, por lo menos, cuatro objetivos de una entrevista (Fay, 1993, p.422):

• obtener datos valiosos

• eliminar al inocente
• identificar al culpable
• obtener una confesión
Existen diferencias importantes entre la entrevista general y la entrevista confrontacional (interrogatorio). La siguiente lista contrasta los dos tipos de
entrevistas (basándose en Fay, 1993, p.423). Las diferencias afectan la forma en cómo el entrevistador se prepara para la sesión:

Entrevista General Entrevista Confrontacional

No acusatoria Acusatoria
Diálogo Monólogo
Entorno variable Entorno controlado
Privada/semi privada Absoluta privacidad
Culpabilidad desconocida Culpabilidad definida
Sin notificación de derechos* Notificación de derechos*
No muy extensa Extensa
Cooperadora Hostil
No estructurada Estructurada
Poca planificación Bien planificada
Se acepta tomar notas No se acepta tomar notas

* Varía según el país. También varía según el cargo del entrevistador. V.gr: en custodia por autoridad policial versus privado versus agente del orden
público

5.2 ASPECTOS PSICOSOCIALES

Una entrevista es un proceso de interacción humana entre el entrevistador y el entrevistado. Cada parte trae emociones, experiencias y deseos a la
entrevista. Para lograr el objetivo de la entrevista –información veraz- el entrevistador debe reconocer las emociones y sentimientos del entrevistado. Más
aun, el entrevistador debe ser capaz de lidiar con esas emociones y sentimientos con dignidad y sensibilidad. Lo que sigue es una mirada a las necesidades
psicosociales, acciones y reacciones del entrevistador y el entrevistado.

5.2.1 CIENCIA DEL COMPORTAMIENTO

Los estudios y teorías de Abraham H. Maslow son instructivas en este tema. Maslow menciona las siguientes necesidades humanas (Maslow, 1987):

• necesidades psicológicas o de supervivencia, tales como alimentos, bebidas y salud

• necesidades de seguridad o físicas y emocionales, tales como, vestimenta, refugio y protección contra el ataque
 • necesidades de afecto, tales como la pertenencia a una familia u otro grupo pequeño
• necesidades de estima, tales como autoestima, cumplimiento y reconocimiento de logros y ser apreciado por alguien más
• necesidades de autorrealización, es decir, ser capaz de usar el máximo potencial en el trabajo con y para el prójimo
Maslow teoriza que una vez que se satisfacen las necesidades primarias, ellas ya no impulsan las necesidades y son reemplazadas por las necesidades más
altas que sigue. Por lo tanto, cuando las necesidades primarias están satisfechas, predominan las necesidades de orden superior.

Estas necesidades existen en cada parte de la vida de una persona, incluyendo la entrevista. Si el entrevistador entiende las necesidades del entrevistado y
puede relacionarse con ellas, ella o él puede comunicarse más eficazmente con el entrevistado. Un entrevistador exitoso satisface el máximo de necesidades
posibles de la persona entrevistada.

5.2.2 MOTIVACIÓN
Todo comportamiento es motivado por y dirigido a la consecución de un objetivo. La fuerza impulsora es satisfacer una necesidad. La dirección del
comportamiento siempre es hacia la percepción de recompensa o lejos de la percepción de castigo.

Las explicaciones de por qué la gente roba, históricamente se han referido al triángulo del robo, el cual consiste en la necesidad o tener ganas (deseo), la
racionalización (motivo) y la oportunidad. La persona debe tener una necesidad o deseo por un activo, ser capaz de racionalizar una base para tomar el
activo y tener acceso al activo (oportunidad). Por ejemplo, un contador que trabaja jornadas excesivas y rara vez toma vacaciones, puede estar
comprometido en una actividad deshonesta y no querer que otros tengan acceso a los registros.

En cuanto al lado del triángulo de la racionalización, necesidad y querer no necesariamente son sinónimos. Una persona podría necesitar un seguro de vida
adicional, pero querer un televisor nuevo de pantalla grande. La persona podría racionalizar que el orgullo que viene con el ser dueño del televisor supera la
preocupación por la muerte. Otro factor en la racionalización podría ser la percepción de una baja probabilidad de detección del robo o de un castigo
mínimo cuando se detecte. Un factor importante en la obtención de una confesión es la habilidad del entrevistador de ayudar al delincuente a formar una
racionalización aceptable por haber cometido el delito.

5.2.3 ENTREVISTADOR

El entrevistador debe parecer profesional, exudar confianza e interactuar bien con los demás. La conducta del entrevistador establece el tono de la
entrevista. Una actitud negativa rápidamente se traduce en resultados negativos. Por el contrario, hacer comentarios positivos sobre la investigación y la
entrevista demuestra profesionalismo y una expectativa de entrevista exitosa.

Los entrevistadores deben conocer sus propias habilidades y emociones, y reconocer las características personales del entrevistado mientras obtiene
información de esa persona. Los entrevistadores deben desarrollar las habilidades para evaluar la veracidad de la información suministrada y,
simultáneamente, formular líneas adicionales de cuestionamiento. Utilizando la estrategia de punto flotante de reevaluar constantemente una hipótesis en la
medida que se obtiene información, un investigador puede adaptar las preguntas en consecuencia. Los investigadores inexpertos a menudo olvidan la
habilidad de escuchar cuando entrevistan a los sospechosos. La escucha activa incluye atención, concentración, aceptación, desapego y paciencia. Los
entrevistadores deben ser capaces de evaluar los hechos previamente establecidos a la luz de la información proporcionada por el entrevistado.

Lograr la cooperación del entrevistado es la clave para una entrevista exitosa. El factor más importante para que una entrevista tenga éxito es la habilidad
del entrevistador de establecer una relación favorable con el entrevistado. El entrevistador exitoso reconoce las características de la personalidad del
entrevistado que puede usar para recabar la cooperación necesaria. El entrevistador exitoso intentará comprender el comportamiento del entrevistado y
satisfacer las necesidades que subyacen al comportamiento.

La habilidad para perseverar y escuchar atentamente es fundamental. El entrevistador debe resistir la tentación de formular mentalmente la siguiente
pregunta lógica mientras el entrevistado responde a la pregunta anterior. Un entrevistador sin experiencia en investigaciones, por lo general es impaciente.
La escucha atenta o activa es una habilidad adquirida que requiere paciencia y mucha práctica. Un buen entrevistador no asume un rol contradictorio, pero
debe seguir siendo un averiguador de hechos neutral y objetivo.

Los entrevistados mentirosos con frecuencia experimentan un alto grado de estrés durante las entrevistas. Ellos pueden exhibir su ansiedad a través de una
variedad de comportamientos verbales y no verbales. Los entrevistadores deben ser capaces de evaluar esos comportamientos para estimar la veracidad de
las respuestas del sujeto.

5.3 PREPARACIÓN

Un investigador debe tomar una serie de medidas en preparación para una entrevista. La más crítica de estas acciones preliminares es conocer
minuciosamente la información del caso. El investigador normalmente toma conocimiento con suficiente antelación para adoptar las medidas apropiadas.
Sin embargo, a veces la necesidad de investigar un incidente inmediatamente hace imposible completar todos los pasos.

5.3.1 RECOPILACIÓN DE INFORMACIÓN

El investigador debe familiarizarse con toda la información histórica disponible sobre el tema en cuestión antes de realizar una entrevista. Bajo condiciones
ideales, el investigador tiene tiempo de averiguar el asunto en detalle. No obstante, a veces, sólo es posible tomar unos pocos minutos para mentalmente
repasar los hechos conocidos. El investigador debe usar cualquier momento disponible para prepararse para la entrevista.

Óptimamente hablando, antes de la entrevista, el entrevistador conoce los siguiente en detalle:

• quién será entrevistado

• de qué se trata la entrevista
• las condiciones bajo las cuales se realizará la entrevista

Materia Objeto de la Investigación

En la fase inicial de información de una investigación, los esfuerzos se centran en la recopilación de toda la información básica legalmente disponible.
Toda investigación finalmente desarrolla una teoría o tema que coteja las diferentes evidencias y explica cómo se cometió el crimen. El entrevistador debe
tener una comprensión básica de la actual teoría del caso. Todos los hechos conocidos sobre la materia bajo investigación deben ser revisados. Particular
atención se debe prestar a los hechos que no han sido revelados a los empleados o al público. El entrevistado que tiene conocimiento de esos hechos,
obviamente es un testigo o un participante en el crimen.

Información de Antecedentes del Entrevistado

Con el conocimiento de algunas características personales del entrevistado, el entrevistador puede establecer más fácilmente una relación. Una
comprensión adecuada de esas características facilita la evaluación precisa de la veracidad del entrevistado. Durante una investigación de fraude, por
ejemplo, saber que el entrevistado tenía motivo, habilidad y oportunidad para cometer el crimen, son hechos relevantes. Es útil saber la edad, residencia,
historia criminal, historia laboral, educación y hobbies del entrevistado. Los investigadores criminales hacen todo lo posible para realizar un perfil de la
personalidad, con el fin de identificar las características mentales, emocionales y psicológicas de un individuo. Las influencias étnicas en las respuestas no
verbales se discuten más adelante.

Revisión de Registros
Antes de llevar a cabo entrevistas, el entrevistador debe revisar los registros de la organización y otras entidades por información pertinente. En una gran
empresa, los archivos de investigación y del personal normalmente se mantienen en bases de datos. Si la materia bajo investigación es por una falta de
productos de la bodega, los registros de la investigación deben ser accesibles por nombre del producto, número del producto, instalación y nombres de
personas supuestamente involucradas. La información de otras investigaciones, abiertas o cerradas, que implican el producto, instalación o personal, puede
sugerir un curso de investigación o método de entrevista.

Deben recibir prioridad alta los archivos personales de los individuos que se cree que están involucrados en la materia objeto de la investigación.
Evaluaciones de desempeño e informes de retrasos habituales, peleas u otras conductas inaceptables son muy útiles en la evaluación del individuo.

Los archivos de las nóminas de pago son útiles para evaluar la estabilidad financiera de la persona. Los embargos o retención de salarios y las órdenes de
manutención pueden ser indicios de necesidad de fondos adicionales.

En la medida de lo posible, se deben revisar los archivos de la justicia penal, por implicación adversa con los organismos policiales. El acceso a los
registros criminales debe buscarse de manera ética, conforme a los estatutos y políticas.

Discusión con el Asesor Jurídico

La política de investigaciones de la empresa o la del cliente, por lo general, dicta cuáles materias deben discutirse con el asesor jurídico. En muchos casos,
el cliente no está consciente de los matices propios de un asesor jurídico y dependerá de la experiencia del investigador. La acción investigativa debe ser
planificada con el objetivo en mente; siempre se deben considerar las posibles acciones civiles o penales. Por ejemplo, en Estados Unidos, las
investigaciones que incluyen búsquedas deben cumplir con la Cuarta Enmienda de la Constitución. Esta incluye la revisión de casilleros donde se espera
que haya privacidad si a los empleados se les permite usar sus propios candados.

En algunas jurisdicciones alrededor del mundo, los informes de investigación incluyen las declaraciones tomadas en el curso de las entrevistas, están
sujetas a divulgación en los procedimientos civiles o criminales. Sin embargo, los informes de las acciones investigativas, incluyendo las entrevistas que
han sido hechas con la asesoría de un abogado, pueden quedar protegidas de la divulgación como producto del trabajo del abogado. Por ejemplo, en
Estados Unidos cualquier confesión obtenida por un ciudadano privado que realiza un interrogatorio en violación del debido proceso, pero que por otro
lado sigue una conducta constitucionalmente reglamentaria, puede ser admisible. Un entrevistado que está en duda sobre el curso de acción apropiado debe
consultar con un asesor jurídico.

5.3.2 PLANIFICACIÓN DE LA ENTREVISTA

La naturaleza de la situación puede imposibilitar la planificación detallada. Sin embargo, si hay tiempo, el entrevistador debe considerar una serie de
factores clave en la planificación de la entrevista.

Ubicación
Una entrevista se debe llevar a cabo en un entorno al que una persona objetiva, ajena al tema, consideraría justo. Un juez, árbitro o jurado puede considerar
las circunstancias de la entrevista para decidir la admisibilidad de una declaración o el resultado legal de un procedimiento. La privacidad del entrevistado
es un asunto muy importante. Una conversación tranquila en un área aislada, dentro del área del incidente, se podría considerar aceptable. Una
conversación intensa en una habitación donde los entrevistados enfrenten una puerta abierta a un pasillo muy concurrido durante un cambio de turno, sería
otra cosa. Un abogado opositor competente, rápidamente llamaría la atención del jurado, juez o árbitro ante cualquier condición aparentemente injusta.

La elección del lugar de la entrevista depende de la naturaleza y la fase de la investigación, de la aparente participación del entrevistado, del tema de la
confidencialidad del entrevistado y del nivel de formalidad deseado. El investigador experto evalúa todas las facetas de la investigación hasta la fecha, para
determinar la ubicación óptima para cada entrevista.

Un testigo que no tiene otra participación aparente en la materia bajo investigación, puede ser entrevistado en la oficina o en la casa. En esos lugares, el
testigo puede sentirse menos tenso y más confiado. No obstante, la actividad normal de un hogar u oficina puede interrumpir la entrevista. En algunas
circunstancias, las entrevistas deben ser realizadas en o cerca del lugar del incidente.

Para una entrevista con un sujeto del que se espera poca cooperación, una oficina de seguridad o sala de entrevistas es la mejor ubicación. Esos lugares
proporcionan un entorno controlado, con equipamiento y muebles apropiados.

Se requiere flexibilidad y adaptabilidad en la selección de los lugares de entrevistas. La necesidad de confidencialidad para el entrevistado puede dictar que
la entrevista sea realizada en un lugar discreto. En ocasiones, se necesita una entrevista en una residencia privada, un restorán público u otro lugar no
asociado con el lugar del incidente o el personal de seguridad. A veces, la edad o enfermedad del entrevistado exige una entrevista en un hospital o clínica
de reposo. En estos casos, los arreglos físicos para las entrevistas pueden estar fuera del control del entrevistador. En cualquier lugar se debe mantener la
privacidad y confidencialidad.

La sala de entrevistas debe estar libre de objetos distractores innecesarios. Por lo tanto, la oficina del sujeto, que probablemente tiene fotos y recuerdos, no
es la ubicación ideal para la entrevista. Si no se puede dedicar una sala para entrevistas, generalmente es suficiente una pequeña sala de reuniones. Se debe
proporcionar al entrevistado una silla recta y sin ruedas.

Se deben evitar las sillas mullidas y reclinables, ya que animan a encorvarse o inclinarse hacia atrás. Esas posiciones son psicológicamente poco deseables,
ya que un sospechoso que está muy relajado mientras se le interroga puede no prestar total atención al investigador.

El sujeto debe quedar frente al entrevistador, y ningún testigo de la sesión debe sentarse al lado. La vista delantera del sujeto no debe incluir distracciones,
por ejemplo, una ventana. La entrevista no se debe llevar a cabo a través de una mesa o escritorio, ya que esos muebles inhiben la relación y no permiten
una observación completa de las respuestas no verbales del sujeto. Las técnicas de investigación y de entrevistas particulares utilizadas por el entrevistador
dictarán el espaciado de las sillas. En términos generales, la distancia entre el sujeto y el investigador durante la entrevista debe ser de unos cinco pies. El
entrevistador debe evitar el contacto visual continuo, porque puede ser percibido como un esfuerzo de dominar al entrevistado.

El sujeto de la entrevista siempre debería tener un camino despejado hacia la salida de la habitación. De otro modo, se podrían hacer denuncias de coacción
o privación de libertad ilegítima.

Para obtener información precisa, los entrevistadores deben entrevistar sólo a un entrevistado por vez. Hacerlo de este modo y asegurándose de que la
conversación no puede ser escuchada, evita que un testigo influya en otro.

El entrevistado puede usar un lenguaje coloquial o de la calle en el curso de la entrevista. Por lo tanto, es conveniente que el entrevistador tenga
conocimiento de la jerga actual. No obstante, el entrevistador no debe usar él mismo un lenguaje callejero o improperios.

Factores de Tiempo
Varios asuntos de tiempo deben considerarse en las entrevistas:

• tiempo desde el incidente

• tiempo programado para entrevistas en otras investigaciones

• disponibilidad del entrevistado

• disponibilidad del entrevistador
• duración prevista para la entrevista
En una investigación de incidente, las entrevistas se deben realizar tan pronto como sea posible luego del evento, para capturar los recuerdos de los testigos
mientras están frescos. Detalles y matices importantes se olvidan rápidamente.

En una investigación de rutina, el entrevistador no programa una entrevista en un momento inadecuado para el entrevistado. En una situación de negocios,
la entrevista debería realizarse durante las horas normales de trabajo, cuando se espera que el entrevistado esté trabajando. Sin embargo, varias
circunstancias pueden requerir una programación diferente.

Habitualmente, la cantidad de tiempo requerido para una entrevista general no representa un problema. En la entrevista de un testigo, el entrevistador
recopila la información y prepara una declaración rápidamente. No obstante, las entrevistas informativas de posibles perpetradores pueden durar varias
horas. Aún así, estas entrevistas largas deben realizarse en una cantidad de tiempo razonable para evitar denuncias de coerción.

Orden del Interrogatorio

Los testigos que serán interrogados, en prioridad descendente, son los siguientes:

• las personas que no probablemente no estarán disponibles fácilmente después, como un empleado que será trasladado a un lugar distante
• las persona que se cree tienen la información más pertinente respecto a la materia bajo investigación
 • las personas que probablemente serán testigos hostiles
El infractor o grupo infractor se entrevista al final. La teoría del caso ayuda a identificar la o las personas. La información reunida de personas no
sospechosas puede ayudar a confirmar o descartar la culpabilidad de un sospechoso, antes de que el sospechoso sea interrogado.

Preguntas para Hacer

Se deben fijar fuertemente en la mente del entrevistador los puntos más destacados de la materia bajo investigación, junto con las personas que se sabe o se
cree están involucradas. El entrevistador también debe estar familiarizado con los elementos de prueba del delito que se le imputa. Luego, se puede elaborar
un formato de interrogatorio general, basado en esos dos aspectos de la investigación.

Si se utilizan notas preparadas o si se hacen preguntas de memoria, es materia de la técnica de entrevista. Las notas preparadas pueden indicar una
cuidadosa preparación para la entrevista. También pueden ser un factor perturbador si se abusa de él. Las notas preparadas son aceptables si el entrevistador
no se refiere a ellas regularmente durante la entrevista. El punto esencial es que el entrevistador debe prepararse para la entrevista. En general, las preguntas
aleatorias no son productivas e indican una falta de profesionalismo, el que fácilmente puede observar el entrevistado.

Personas Presentes
Normalmente, las únicas personas en la habitación son el entrevistado y uno o dos entrevistadores. Es importante no llenar la habitación con
entrevistadores. Sin embargo, el investigador puede querer tener una segunda persona en la habitación que pueda resguardar al entrevistador de posibles
acusaciones por parte del entrevistado y corroborar las declaraciones en contra de sus intereses, confesiones, etc. Si hay un testigo presente en la entrevista
(generalmente otro investigador), ella o él debe sentarse al lado de ambos, entrevistador y entrevistado, a una distancia razonable de ellos. La disposición
de los asientos debe ayudar a mantener el entrevistado centrado en el entrevistador.

Es fundamental que el entrevistado entienda claramente todos los procedimientos de la entrevista. Si el entrevistado no es competente en el idioma del
entrevistador, se debe traer un intérprete calificado.

Si el entrevistador y entrevistado son de distinto sexo, puede ser prudente incluir en la entrevista un testigo del mismo sexo que el entrevistado. De lo
contrario, la puerta de la habitación debe permanecer abierta. Si el entrevistado está preocupado de la confidencialidad, de sentarse mirando lejos de la
puerta.

5.4 DOCUMENTACIÓN DE LA ENTREVISTA

5.4.1 GRABACIÓN DE AUDIO Y VIDEO

Una grabación de audio y video es una valiosa herramienta para confirmar las declaraciones hechas por las personas presentes. Ayuda a confirmar la
participación voluntaria del entrevistado y evitar los cargos de coerción. Con un equipo de cámara moderno, el proceso de grabación puede ser discreto y es
ideal para retener la información, ya que la grabación es más confiable para documentar textualmente la evidencia de una entrevista. El equipo debe ser
probado antes de cualquier entrevista. Debido a que la grabación puede finalmente llegar a un procedimiento judicial, el audio debe estar razonablemente
libre de ruidos generados por el equipo, y cualquier grabación de video debe contener imágenes que distingan a los participantes de la entrevista. Tanto en
las grabaciones de video como de audio, las voces de los participantes deben ser comprensibles. Los entrevistadores deben tener en cuenta que el uso
frecuente de la misma cinta se puede traducir en una inferior calidad de grabación. El costo de una cinta nueva de video o audio es insignificante
comparado con el valor de la información que se grabará. La mayoría de los dispositivos utilizados en la actualidad son digitales. Independientemente del
tipo utilizado, se deben aplicar las normas y disposiciones para la cadena de custodia.

Se debe ejercer el sentido común y la discreción cuando se determine si la entrevista será grabada electrónicamente. Para que sea útil en el caso y para
evitar dañar el caso, la grabación debe ser hecha en conformidad con la ley y bajo las circunstancias que un tribunal consideraría justas.

Si el caso requiere grabación de audio, es mejor si el entrevistado da su consentimiento y que la grabación se realice abiertamente. Puede ayudar explicarle
al entrevistado que la grabación protege a todos los participantes.

Cuando una entrevista requiere ser grabada sin el conocimiento del entrevistado, es fundamental consultar previamente con el asesor jurídico. Es una mala
práctica grabar la entrevista y asumir que nadie lo sabrá. Si el entrevistado no consiente y una grabación discreta no es factible, el entrevistador debe
tenerlo en cuenta.

La grabación de una entrevista debe capturar al menos lo siguiente:

• el consentimiento del entrevistado al comienzo

• fecha, hora y lugar de la entrevista
• identificación completa del entrevistado
• identificación de todas las personas presentes
• declaración de los posibles usos de la información proporcionada
• identificación de las personas que abandonan la sala y la hora de salida
• identificación de las personas que ingresan a la sala y hora de entrada
 • hora de inicio, hora de término y propósito de cualquier descanso
• grabación de la reafirmación del consentimiento del entrevistado para la entrevista
El libro Electronic Recording of Interrogations (Buckley, 2005) describe el tipo de equipamiento que se puede usar; el comportamiento adecuado del
investigador durante la grabación; métodos de testimonios eficaces sobre entrevista e interrogatorios grabados; y las experiencias y lecciones aprendidas de
los que han realizado entrevistas grabadas durante años. (Por ejemplo, Minnesota y Alaska hace tiempo que exigen los organismos encargados de hacer
cumplir la ley graben electrónicamente las entrevistas.)

5.4.2 NOTAS
Tomar nota documenta las respuestas de los sujetos. Para minimizar la distracción, el entrevistador debe tomar notas breves de todas las respuestas del
sujeto, utilizando la forma manuscrita. Por ejemplo, es fundamenta mantener la calma y documentar respuestas tales como, “vamos a suponer que soy
culpable”. Es importante que el entrevistador mire al sujeto responder cada pregunta y luego haga algunas breves notas acerca de la respuesta.

En la fase pregunta-y-respuesta de una entrevista, el entrevistador debe tomar nota de las respuestas verbales y no verbales del entrevistado (discutidas más
adelante).

5.4.3 REGISTRO DE LA ENTREVISTA

Se debe hacer un registro de la entrevista. Debe incluir los mismos detalles exigidos en una grabación de audio (mencionados anteriormente).

5.5 FACTORES DEL SUJETO

INTOXICACIÓN
La información obtenida de una persona bajo la influencia del alcohol u otra sustancia, no es fiable hasta cierto punto. Una declaración tomada a una
persona así puede ser invalidada en un procedimiento judicial. Al entrevistado se le debe preguntar si consumió bebidas alcohólicas dentro de las últimas
24 horas y si ha tomado algún medicamente. El entrevistador debe tomar nota de la cantidad de alcohol y el nombre y dosis de cualquier medicamento.

Cada situación debe ser considerada por sus propios méritos. Puede ser imposible entrevistar a un alcohólico sin hogar en un estado de sobriedad; sin
embargo, ella o él puede ser el mejor testigo disponible en un incidente. Alguien que está excesivamente activo, tiene las pupilas dilatadas o no ha comido
o dormido durante días, puede estar bajo la influencia de anfetaminas y a lo mejor no es fiable. La utilidad de la información obtenida debe ser sopesada a
la luz de las condiciones de la persona entrevistada.

Condición Física y Psicológica

La condición física y psicológica del entrevistado puede tener un profundo efecto en la confiabilidad y admisibilidad de la información obtenida. Por
ejemplo, los rehenes pueden formar un vínculo emocional con sus captores (conocido como el síndrome de Estocolmo) que hace que su entrevista sea
sospechosa. Asimismo, un entrevistador pudiera tener el efecto Pigmalión sobre el entrevistado, influenciando su comportamiento. El Efecto Pigmalión es
la sostenida creencia en otra persona, tanto que la creencia se convierte en realidad. El concepto principal del Efecto Pigmalión es que si usted cree que
alguien es capaz de lograr grandes resultados, entonces esa persona de verdad logrará esos grandes resultados.

Una persona que ha estado involucrada en una situación físicamente debilitante debe ser entrevistada brevemente en los aspectos cruciales del caso, antes
de que se le permita descansar. Los efectos psicológicos de un incidente podrían no ser fácilmente evidentes, pero son igualmente debilitantes. Las
respuestas serán coloreadas por el estrés del incidente y pueden no ser exactas. Los efectos psicológicos de una situación pueden persistir, tal vez
subliminalmente, durante un largo periodo. Las preguntas relacionadas a una situación pasada lejana pueden gatillar una respuesta emocional inesperada.

Una persona que está físicamente debilitada o psicológicamente estresada no debe ser sometida a una larga entrevista. Por ejemplo, una mujer dependiente
económicamente, puede estar en una relación física abusiva y no ser sincera. El largo de la entrevista y la condición del entrevistado pueden ser utilizados
posteriormente por el abogado de la persona para invalidar cualquier declaración tomada. Al entrevistado se le debe pedir que confirme que la entrevista no
está contraindicada por ninguna condición física o mental.

Prejuicio
El prejuicio de un entrevistado hacia una persona o grupo puede contaminar el proceso de la entrevista. Una persona prejuiciosa puede responder las
preguntas con generalidades que incluyen las características percibidas de la persona o grupo. Las respuesta pueden estar influidas tanto negativa como
positivamente. Esas respuestas son útiles en la evaluación del entrevistado, pero rara vez son útiles en la obtención de información específica respecto del
caso. El entrevistador debe asegurarse que las respuestas dadas aplican a la materia objeto de la investigación y a las personas específicas involucradas.

El prejuicio por parte del entrevistador dañará todo el proceso. Puede, de hecho, hacer que la entrevista sea improductiva y tener un efecto negativo en
futuras entrevistas y en toda la investigación. El entrevistador debe reprimir los prejuicios personales y mantenerse neutral durante toda la entrevista. Es
delito de calumnia si un investigador deliberadamente y en conocimiento hace una declaración falsa y perjudicial acerca del sujeto de una investigación. Si
el entrevistador tiene una particular aversión a una persona o grupo involucrado, puede que lo mejor sea que otro investigador realice la entrevista.

Percepción
La percepción física y mental del entrevistado debe establecerse en el curso de la entrevista. La habilidad del entrevistado para haber visto los eventos o
documentos pertinentes a la investigación es fundamental al sopesar sus declaraciones. Los factores cruciales incluyen la agudeza visual del entrevistado, la
luz disponible y la distancia del evento o documento en cuestión.

La percepción mental del entrevistado es igualmente importante. Un miembro del personal de finanzas podría reconocer inmediatamente un documento
financiero, pero tener dificultad con un mapa detallado de la instalación. Un trabajador de mantenimiento podría comprender fácilmente el mapa de la
instalación, pero no reconocer la importancia de un documento financiero.

Edad
La edad puede tener serios efectos en el proceso de la entrevista. En el entorno corporativo, rara vez se encuentran entrevistas con niños. En algunas áreas
de la investigación privada, las entrevistas con niños son comunes. Las entrevistas con personas mayores son necesarias en todos los elementos del trabajo
de investigación.

No es infrecuente que los niños sean tímidos y desconfiados de los extraños. De hecho, a los niños generalmente se les enseña que desconfíen de los
extraños. Si un testigo joven es entrevistado, permitir que el niño se siente en la falda de uno de los padres proporciona una sensación física de seguridad y
facilita la cooperación.

Las personas mayores con frecuencia divagan durante las entrevistas y pueden disfrutar de la compañía del entrevistador. Más aun, las personas mayores
pueden poner extraordinaria atención a los detalles de un incidente. El investigador que pasa unos minutos extras en una conversación amistosa puede ser
recompensado con una cooperación inesperada y detallada información.

5.6 REALIZACIÓN DE LA ENTREVISTA

5.6.1 PROCEDIMIENTOS DE APERTURA

Los siguientes son los pasos clave a tomar al comienzo de una entrevista:

• Identificar al entrevistado. La persona que va a ser entrevistada es identificada por su nombre, domicilio, fecha y lugar de nacimiento y, si aplica, el
título del cargo, lugar de trabajo y número de seguridad social o número de licencia de conducir.
• Identificar el entrevistador. Al entrevistado se le dice el nombre del entrevistador, el título del cargo y el lugar de trabajo, así como el nombre y
función de otras personas presentes
• Aclarar el tema de la entrevista. El tema de la entrevista debe quedar claro para el entrevistado. Esto se cumple mejor pidiendo al entrevistado su
comprensión de las razones de la entrevista. La respuesta del entrevistado, utilizando términos o matices particulares, puede dar información sobre la
materia bajo investigación. Cualquier malentendido de parte del entrevistado del propósito de la entrevista debe ser aclarado. Los detalles de la
investigación no son necesarios en este punto. Mayor explicación se puede dar en la medida que avanza la entrevista.
• Establecer una relación. La función del entrevistador es obtener información del entrevistado. Con este fin, una comunicación clara es esencial, por
lo que debe existir una buena relación entre el entrevistado y entrevistador. Un enfoque altivo o superior del entrevistador perjudicará su objetivo.
Mostrar autoridad, parado con un entrevistado sentado, o señalar con un dedo acusatorio obtiene una respuesta defensiva y obstaculiza una buena
relación. Si un entrevistado ataca verbalmente al entrevistador, este debe mantener el control, ser comprensivo y no prejuzgar.
Los entrevistadores con experiencia frecuentemente terminan presentando a las otras personas presentes invitándolas a pasar algunos minutos con el
entrevistado. Esta técnica, conocida como “sí condicionado”, generalmente logra una respuesta afirmativa y facilita la cooperación del entrevistado.
El entrevistado debe exhibir signos de congruencia que señalen una actitud positiva.

La relación se puede logar utilizando persuasores ocultos, iniciando una conversación general antes de las preguntas directas. La situación de entrevista
generalmente está llena de tensión para el entrevistado, cuya imagen de una entrevista probablemente la obtuvo de los programas de detectives de la
televisión. Una conversación casual acerca de mascotas, jardinería, deportes o temas similares pone al entrevistado en un estado mental receptivo. La visión
de la personalidad del entrevistado, obtenida en esta conversación casual, puede ser muy útil más tarde en la entrevista. El objetivo es conocer al
entrevistado y establecer al entrevistador como una persona amable y comprensiva. La mantención del contacto visual con el entrevistado promueve la
relación.

5.6.5 PREGUNTAS DE LA INVESTIGACIÓN

Una entrevista con un testigo, custodio de registros u otra persona que no está directamente involucrada en la materia bajo investigación, normalmente es
un proceso sin complicaciones. El entrevistador y el entrevistado son identificados, la naturaleza de la investigación es brevemente explicada y la
información necesaria es recopilada.

El entrevistado debe empezar con preguntas amplias y generales, y luego hacer las más específicas. Incluso si se ha formulado la teoría del caso y el
entrevistador ha preparado un formato de preguntas, la respuesta a una pregunta amplia puede dar lugar a otras preguntas. La respuesta a cualquier pregunta
puede llevar a una corrección de la teoría del caso o a un ajuste del formato de preguntas.

Normalmente, la pregunta inicial en la entrevista es una solicitud al entrevistado para que relate los eventos de la materia bajo investigación. Tanto como
sea posible, el entrevistador debe abstenerse de interrumpir o guiar al entrevistado en esta etapa. Sin embargo, si el entrevistado se desvía muy lejos del
tema objeto de la investigación, el entrevistador debe guiarlo para que vuelva al tema principal.

Mientras el entrevistado relata los sucesos, el entrevistador toma notas mentalmente de los puntos que más tarde desarrollará. Cuando el relato ha
terminado, el entrevistador hace preguntas sobre los puntos pertinentes, y la atención se desplaza hacia preguntas más definidas. En las entrevistas, los dos
tipos de preguntas que generalmente se formulan son abiertas y cerradas. Para que el entrevistado se sienta cómodo, el inicio de la entrevista debe consistir
en preguntas “Cerradas”, las cuales son preguntas específicas que ofrecen un número limitado de posibles respuestas. En la fase primaria de una entrevista,
debe haber un tipo de pregunta narrativa.

En la medida que avanza la entrevista, las preguntas deben enunciarse de modo de obtener una respuesta narrativa, no un simple sí o no. Los interrogativos
básicos (quién, qué, cuándo, dónde, por qué y cómo) son los más útiles en la formulación de preguntas abiertas sencillas. Pedir, por ejemplo, “Por favor
cuénteme cómo se corrobora esa cuenta al final de la jornada” es más productivo. Las preguntas sugestivas deben evitarse.

Las preguntas deben ser tan simples como sea posible, dada la naturaleza de la materia bajo investigación y el involucramiento del entrevistado en la
materia. Es fundamental que el entrevistado tenga una comprensión precisa de cada pregunta. Si hay cualquier duda en cuanto a la comprensión del
entrevistado, la pregunta debe ser reformulada.

La respuesta a cada pregunta debe estar terminada antes de hacer otra pregunta. Varias preguntas abiertas pueden resultar en una mezcla de varias
respuestas, que luego deben ser aclaradas para evitar la confusión.

5.7 COMPORTAMIENTO VERBAL Y NO VERBAL

Durante el proceso de la entrevista, el investigador debe observar cuidadosamente las respuestas verbales y no verbales del sujeto, debido a que la
recopilación de información se basa en la comunicación y observación, particularmente cuando el sujeto responde las preguntas sobre los detalles de la
materia, de cualquier coartada, y de la relación del sujeto con la víctima. En la fase primaria esto es especialmente importante. El entrevistador debe
analizar y comparar tanto la evidencia de hecho o de información, como la del comportamiento de la persona que es fuente de información. Todo
investigador que interroga a una persona acerca de los procedimientos seguidos, la secuencia de eventos en un día determinado, o las razones por las que
una acción fue ejecutada de una manera en particular, evalúa el comportamiento de la persona y saca conclusiones en cuanto a la veracidad o engaño de esa
persona.

5.7.1 DIFERENTES TIPOS DE RESPUESTAS

Las respuestas verbales incluyen las palabras habladas y los gestos que sirven como sustitutos de palabras, tales como asentir con la cabeza para indicar sí o
sacudir la cabeza para indicar no. Dentro de la categoría de respuestas verbales, también están las características vocales como el tono, la velocidad, la
inflexión y la claridad.

Un oyente cuidadoso considera no sólo las palabras mismas, sino también los tiempos y énfasis del entrevistado. Los individuos socializados en forma
normal no disfrutan mintiendo; el engaño conduce a un conflicto que se traduce en ansiedad y estrés. Un sospechoso que ofrece una respuesta evasiva o
una objeción a responder a una pregunta directa, lo hace porque intenta evitar la ansiedad interna asociada con la negación absoluta.

Las respuestas no verbales incluyen movimientos del cuerpo y cambios de posición, gestos, expresiones faciales y contacto visual. El comportamiento no
verbal es motivado internamente para reducir la ansiedad. Ya sea a través de la distracción (como cambios en la postura del cuerpo, llevarse una mano a la
cara o cruzar los brazos) o del comportamiento de desplazamiento (como recoger pelusas de la ropa, llevar el ritmo o movimientos rápidos repetitivos),
todos los comportamientos no verbales que acompañan a una respuesta engañosa, emanan de los esfuerzos del sospechoso culpable para aliviar la ansiedad.

5.7.2 PRECAUCIONES PRELIMINARES

Las siguientes precauciones están en orden:

• Ninguna palabra sola o comportamiento no verbal significa automáticamente que una persona esté mintiendo o diciendo la verdad. Cada
característica del comportamiento demostrado debe ser considerada en el contexto del entorno y de la intensidad del trasfondo, y en comparación con
el normal comportamiento del sujeto.
• La evaluación de la veracidad de un sujeto se debe basar en el patrón general de comportamiento demostrado, no en una sola observación
• Las señales de comportamiento deben ser evaluadas en base a cuándo ocurren (momento) y con qué frecuencia ocurren (consistencia). Para que sean
señales confiables de verdad o engaño, los cambios conductuales deben ocurrir inmediatamente en respuesta a una pregunta o simultáneamente con la
respuesta del sujeto.
• La evaluación de los síntomas de comportamiento debe considerar la inteligencia, sentido de responsabilidad social y madurez del sujeto. Como regla
general, las conductas más confiables son mostradas por personas socialmente responsables –que tienen más cosas en juego con el resultado del caso
(como su familia, trabajo o reputación), o son más maduros. Se debe tener precaución en la evaluación del comportamiento de las personas que son
emocional o psicológicamente inestables.
• Algunas características del comportamiento que sugieren engaño también pueden verse en sujetos veraces que sienten miedo, ansiedad, rabia o
desconfianza.
5.7.3 RESPUESTAS VERBALES

Generalmente, una persona veraz responde las preguntas en forma directa, sencilla, espontánea y sincera, sobre todo si la pregunta es simple y sin
ambigüedades. Por el contrario, una persona engañosa puede demorar la respuesta o repetir la pregunta para ganar tiempo e idear una respuesta falsa. Por
ejemplo, el sujeto puede decir, “déjeme ver ahora”, tratando de recordar declaraciones anteriores o camuflar reacciones con una pretendida reflexión seria.
La persona veraz no tiene que reflexionar sobre una respuesta y un entrevistador eficaz usará el silencio para ahondar en la entrevista. Los sujetos veraces
tienen sólo una respuesta para cualquier pregunta dada, y será sustancialmente la misma respuesta independientemente de la veces que le repitan la
pregunta. Por el contrario, si a un sujeto engañoso se le pregunta si él ha robado dinero de una caja fuerte, el puede dar una respuesta evasiva, como “estuve
todo el día en casa” o “ni siquiera sé la combinación”. Algunas personas engañosas pueden responder las preguntas demasiado rápidamente, incluso antes
que la pregunta haya sido completada.

Un sujeto mentiroso a veces hablará de manera irracional o usará frases fragmentadas o incompletas, tales como “es importante que...,” “si usted piensa
que...” o “yo espero que usted...” El mentiroso también puede desarrollar una mala memoria cuando es confrontado con una pregunta de sondeo y puede
responder con una mentira a medias, por ejemplo, “no me acuerdo”, “hasta donde yo sé” o “no recuerdo”. Ella o él pueden intentar reforzar una respuesta
con frases como “para ser totalmente honesto con usted....” o “para ser muy franco...”. Los mentirosos más sofisticados generalmente planifican con
anticipación y dan sus respuestas con un aire verbal protector, tales como “en este momento”, “si recuerdo correctamente”, “a mi entender”, “si mi
memoria no me falla” o “puedo estar equivocado, pero...”. Mediante esas tácticas, los sujetos engañosos buscan establecer una escotilla de escape en lugar
de arriesgarse a una mentira descarada. Algunos sujetos mentirosos pueden mostrar una memoria excesivamente buena o selectiva. Sin embargo, el
resultado final será tan inverosímil que revelan el intento de engaño.

Los sujetos engañosos responden las preguntas con explicaciones detalladas y complicadas, que incluyen información factual y son demasiado amplios
para la pregunta. Los mentirosos patológicos son propensos a inventar historias cuando relatan los hechos que en la realidad serían más sencillos y
prácticos.

Los sujetos veraces tienden a usar palabras ásperas, realista, tales como robo, violación, matar, asaltar o apuñalar, mientras que los sujetos engañosos
generalmente evitan ese lenguaje con el fin de mitigar su sentimiento de culpa. Una persona que usa una fachada falsa de religión o juramentos para apoyar
una respuesta, no está diciendo la verdad, en la mayoría de los casos. Los típicos ejemplos de expresiones usadas por los sujetos mentirosos que tratan de
hacer creíbles sus declaraciones son “Juro por Dios, señor”, o “Juro sobre una montaña de Biblias” o “Con Dios como mi testigo”. Algunos incluso pueden
afirmar, “sobre la tumba de mi pobre madre, señor”. Un sujeto que usa la religión como defensa –afirmando, por ejemplo, “no habría podido hacer algo
como eso, señor. Soy [afiliación religiosa]”, por lo general no está diciendo la verdad.

Las personas veraces no sólo responden directamente, sino también hablan claramente, por ejemplo, “No, yo no robé el dinero”. Algunos mentirosos habla
entre dientes o muy suavemente de modo que no se les pueda escuchar claramente, mientras que otros pueden hablar en forma rápida o mostrar cambios
erráticos en el tono o inflexión de sus voces. De la misma manera, una respuesta verbal junto con una risa nerviosa o un chiste es un intento común de
camuflar el engaño.

Los sujetos engañosos son más propensos a desafiar los mínimos detalles de una información objetiva de un caso, tal vez diciendo, “ellos dijeron que esta
cosa sucedió a las 1:30 y yo no volví hasta la 1:45”. Los sujetos engañosos tienden a ofrecer excusas o justificaciones que apoyen sus afirmaciones de
inocencia y pueden dar negaciones muy específicas: “Yo no tomé esos $12.437,18”. El sujeto veraz generalmente ofrecerá negaciones muchos más
generales: “Yo no robé esos $12.000 o lo que sea”. “No he robado ni un centavo de eso”.

En resumen, el comportamiento verbal de una persona que está diciendo la verdad difiera de aquella que está ocultando información relevante.

La persona honesta:
• hace negaciones amplias y generales
• ofrece respuestas sin calificación, directas y espontáneas

• muestra una memoria razonable; y

• responde a las preguntas de forma racional y en un claro tono de voz.

La persona engañosa:
• ofrece negaciones con detalles muy específicos
• evita las palabras realistas
• hace comentarios aparentemente irrelevantes
• da respuestas demoradas, evasiva o vagas
• muestra una memoria excesiva o pobre y selectiva
• califica las respuestas o usa la religión o juramentos para apoyar sus declaraciones; y
• habla de manera irracional, fragmentada, entre dientes, o tenue.

5.7.4 RESPUESTAS NO VERBALES

El comportamiento no verbal es responsable de más de la mitad de la información y significado de un mensaje comunicado en una conversación. Mientras
que las declaraciones verbales que una persona hace por lo general son cuidadosamente pensadas y ciertamente bajo el control consciente de la persona, la
mayoría de la gente no pone la misma atención a sus movimientos físicos y gestos. Como resultado, el verdadero significado de la declaración de una
persona, en mucho casos, puede ser discernida sólo analizando el contenido verbal en conjunto con el comportamiento no verbal que lo acompaña

Por ejemplo, si el entrevistador le pregunta a una persona si ella o él estuvo involucrado en un acto en particular (como una malversación), y la persona
responde con voz firme, diciendo “absolutamente no; no tengo nada que ver con eso”, mientras se inclina hacia delante en la silla, en una postura abierta y
manteniendo el constante contacto visual, todo el mensaje transmitido es de sinceridad y franqueza. Pero, si el entrevistado responde con una variedad de
gestos para aliviar la tensión, en un tono de voz débil, cambia posiciones en la silla, baja los ojos al piso, cruza sus brazos y piernas en una postura cerrada
y se inclina hacia atrás en la silla mientras completa la respuesta, incluso si usa las mismas palabras, transmite un mensaje totalmente diferente – uno de
falta de sinceridad y franqueza, y puede ser un indicio de engaño. La mayoría de las personas reconocerían la diferencia incluso si no pudieran explicarlo.

Actividades que Sugieren Engaño

Un número de comportamientos no verbales específicos, observables, puede ser evaluado conscientemente para indicios de engaño. Las actividades físicas
de la persona engañosa pueden ser categorizadas en los siguientes tipos generales:

• Cambio de postura significativo. Este incluye movimientos rápidos y repentinos de la parte superior e inferior del cuerpo, o quizás incluso
abandonando la habitación mientras está siendo interrogado.
• Gestos de acicalamiento y arreglos cosméticos. Esos gestos incluyen el frotamiento y retorcimiento de manos; acariciarse la parte posterior de la
cabeza; tocarse la nariz, el lóbulo de las orejas o los labios; morderse las uñas; arrastrar, golpear, balancear o arquear los pies; arreglarse la ropa o las
joyas; recoger las pelusas o tirar los hilos de la ropa; arreglarse o limpiar los anteojos; y alisarse o acariciarse el cabello.
• Gestos de apoyo. Entre estos están colocar una mano sobre la boca o los ojos cuando está hablando, cruzar los brazos o piernas, ocultar las manos o
pies, sostener la frente con una mano, o colocar las manos bajo o entre las piernas.
• Cuando un sospechoso combina repetidamente una o varias de estas reacciones no verbales con respuestas verbales, hay un fuerte indicio de que las
respuestas verbales pueden no ser veraces.

Posturas Comparativas
Las personas veraces tienden a exhibir una postura diferente a las de las personas engañosas.

Una persona sincera:

• se sienta erguida pero no rígida;
• se ubica ella misma frente al interrogador;
• se inclina hacia el interrogador cuando remarca un punto; y
• se ve relajada y casual.

Una persona engañosa:

• se sienta con los hombros caídos o se inclina atrás en la silla;
• se sienta rígidamente de manera poco natural;
• se sienta de lado, no directamente delante del interrogador;
• pone los codos a los lados, los brazos cruzados y cerrados al frente, con las piernas cruzadas; y
• muestra cambios de postura rápidos y erráticos.

Contacto Visual
Una importante señal no verbal es el grado de contacto visual del sospechoso con el entrevistador. Las personas engañosas generalmente no miran
directamente al entrevistador; miran hacia abajo al piso, hacia el lado o hacia el techo. Alivia la ansiedad –y es más fácil mentir- si sus ojos están
focalizados en otra parte que no sea el interrogador. En consecuencia, los mentirosos o bien tratan de evitar el contacto visual con el interrogador haciendo
movimientos compensatorios, o bien reaccionan exageradamente mirando de manera desafiante.

La gente sincera, por otra parte, no es defensiva en sus miradas o acciones y puede mantener fácilmente el contacto visual con el interrogador. Su discurso
es fluido y directo al grano; no se mueven excesivamente durante el interrogatorio y se abstienen de moverse cuando responden. Las personas veraces se
mantienen relajadas y muestran confianza aunque aprensivas. No muestran preocupación acerca de la credibilidad de sus respuestas. Son atentas y su forma
casual es natural.

La evidencia es la piedra angular de cualquier decisión investigativa. La habilidad de un investigador para obtener la información completa de otros y para
evaluar la veracidad de esa información afecta la dirección de la investigación. Un investigador con conocimiento de estos síntomas del comportamiento y
con la capacidad de analizarlos, puede ser mucho más eficaz y distinguir el hecho de la ficción. La habilidad es una herramienta valiosa para determinar si
fue dicha la verdad.

Influencia de la Cultura
En la evaluación del comportamiento mostrado durante la entrevista, las culturas del entrevistador y entrevistado deben tenerse en cuenta. Los comentarios
y acciones que son normales y aceptables en algunas culturas, son consideradas ofensivas en otras. El entrevistador que muestra respeto por la cultura del
entrevistado establecerá una relación más fácilmente. Estas consideraciones culturales, si son bien entendidas, también pueden ser utilizadas para ventaja
del entrevistador durante la entrevista.
En las culturas occidentales, el contacto visual indica sinceridad. En las culturas asiáticas, sin embargo, el contacto visual con una persona de una posición
superior es considerada descortés. Una persona de cultura asiática podría aparecer como poco sincera al evitar el contacto visual, pero ella o él puede
realmente intentar ser cortés.

En algunas culturas, es común el uso frecuente de gestos con las manos para enfatizar los comentarios verbales. Una persona demostrativa puede utilizar
con frecuencia gestos con las manos para enfatizar respuestas verbales en el curso de la entrevista. Una persona menos demostrativa puede evitar los gestos
con las manos, pero esa práctica no puede ser comparada con la verdad o la prevaricación.

5.8 ENTREVISTA DE ANÁLISIS DEL COMPORTAMIENTO

La Entrevista de Análisis del Comportamiento (BAI de ahora en adelante, por sus siglas en inglés) fue desarrollada primero hace casi cuarenta años por
John E. Reid, fundador de John E. Reid & Associates, Inc. Un BAI es una evaluación sistemática del comportamiento verbal y no verbal de una persona
durante el curso de una entrevista estructurada, en la cual se hacen preguntas investigativas y de provocación del comportamiento. Las preguntas
investigativas (sobre el quién, qué, cuándo, dónde, por qué y cómo del incidente) ya han sido discutidas. Lo que viene a continuación es una discusión de
las preguntas de provocación del comportamiento.

Las preguntas de provocación del comportamiento en una BAI son diseñadas para extraer determinadas respuestas verbales o comportamientos que pueden
ser estudiados para distinguir entre una persona veraz y una persona que está mintiendo. Los modelos teóricos fueron desarrollados y estadísticamente
probados y validados para las diferencias previstas en el tipo de respuestas dadas por sujetos veraces y mentirosos. Más de 30 preguntas de provocación del
comportamiento han sido desarrolladas y utilizadas durante las BAI (Horvath, 1994). Cinco de esas preguntas se presentan aquí para ilustrar algunas de las
diferencias en las características del mensaje.

Las siguientes preguntas son hechas en el contexto de una investigación sobre el robo de tarjetas de crédito desde una sala de correos.

• Pregunta de propósito: “¿Cuál es su comprensión del propósito de esta entrevista?” La respuesta verdadera proporciona una descripción exacta de
los acontecimientos. El sujeto puede usar palabras directas, tales como robar y puede mencionar número de tarjetas robadas o nombres de víctimas,
si se conocen. La respuesta del sujeto mentiroso es una descripción vaga e inespecífica de los acontecimientos. Puede usar un lenguaje no descriptivo
(un incidente, algo sucedió, etc.), o usar calificadores tales como aparentemente, evidentemente, puede tener. No menciona ningún detalle acerca del
número de tarjetas robadas o nombres de las víctimas.
• Pregunta de “Usted”: A menudo un investigador novato no vendrá derechamente a preguntarle al sospechoso si él cometió el delito, pero con
frecuencia es el camino más corto para identificar al autor. “Durante las últimas semanas hemos tenido una serie de tarjetas de crédito que
desaparecen del banco y específicamente de la sala de correos. Si usted tiene algo que ver con el robo de estas tarjetas de crédito que faltan, usted
debería decírmelo ahora”. Una negación directa, inequívoca, breve –por ejemplo, “No, yo no robé ninguna tarjea de crédito” caracteriza la respuesta
veraz. Puede usar un leguaje amplio, que abarque todo: “¡Absolutamente no! Yo no he robado nada de aquí”. La respuesta del engañoso es una
negación más larga y sin emociones –por ejemplo, “No sé nada acerca de esto” (una respuesta evasiva) o “Yo no sabía que faltaban las tarjetas de
crédito”, o la objeción “¿Por qué arriesgaría yo mi trabajo haciendo algo como eso?”
• Pregunta de Conocimiento: “¿Está seguro que no sabe quién robó alguna de las tarjetas de crédito faltantes?” Los sujetos veraces a menudo
sospechan en forma voluntaria: “No estoy seguro, pero tengo algunas ideas”. Ellos pueden expresar preocupación o rabia: “Ojalá lo supiera, pero no
tengo idea”. El sujeto engaños entrega una negación breve y sin emociones: “No, no sé”. El sujeto no entrega pensamientos o sentimientos
espontáneos.
• Pregunta de Sospecha: “¿Quién sospecha usted que podría haber robado estas tarjetas de crédito faltantes? El sujeto veraz piensa cuidadosamente la
pregunta y cuando entrega un sospechoso puede fundamentar su base. Una respuesta engañosa sería, “No tengo idea”, sin pensar detenidamente en la
pregunta. Los engañosos pueden nombrar sospechosos improbables, tales como personas sin oportunidades o acceso.
• Pregunta de Confirmación. “¿Hay alguna persona con la cual usted trabaje que sienta que está fuera de todas sospecha y que no haría algo así?”
Esta pregunta también es conocida como una pregunta “de Confianza”. El sujeto veraz pensará en la pregunta y por lo general eliminará los posibles
sospechosos. Sin embargo, el engañoso no confirmará a otros de modo de no reducir el campo de los sospechosos. Hacerlo podría aumentar su riesgo
de exposición.
Incorporando estos tipos de preguntas de provocación de comportamiento en el proceso de la entrevista, en conjunto con las preguntas investigativas, el
investigador puede desarrollar una comprensión más amplia de la probable veracidad o engaño del sujeto. El investigador puede eliminar con más
confianza a las personas de los sospechosos y realizar una entrevista confrontacional (interrogatorio) de la persona que se sospecha culpable. 14

5.8.1 ENTREVISTA CONFRONTACIONAL

Cuando se han realizado todas las entrevistas generales apropiadas, y la evidencia acumulada apunta a una persona específica como el probable autor, debe
llevarse a cabo una entrevista confrontacional o un interrogatorio.

La siguiente es una descripción de lo que generalmente se considera el proceso más eficaz para persuadir a un sospechoso engañoso de decir la verdad. El
Proceso de Nueve Pasos del Interrogatorio de Reid se debe realizar sólo cuando el investigador está razonablemente cierto sobre la participación del
sospechoso en el acto.

Paso Uno: Confrontación Positiva

La mayoría de los interrogadores entran a la habitación con un expediente con el resumen de los resultados de la investigación. Después de el intercambio
de saludos, el interrogador confronta al sospechoso con una acusación de culpabilidad. Este tipo de acusación se hace sólo cuando la culpa del sospechoso
parece muy clara. De lo contrario, la afirmación debe ser menos directa. Después de la confrontación, el interrogador se detiene para evaluar la reacción del
sospechoso a la afirmación y entonces repite la afirmación inicial de participación. Luego el interrogador coloca el expediente de al lado, se sienta
directamente frente al sospechoso y hace una transición a una manera amable y comprensiva.

Paso Dos: Desarrollo del Tema

El siguiente paso es presentar una justificación moral para el comportamiento criminal del sospechoso. Una manera de hacerlo es echarle la culpa moral de
una actividad ilegal a otra persona o a un conjunto de circunstancias externas. Este esfuerzo apela a un aspecto básico de la naturaleza humana, la tendencia
de una persona que actúa mal a minimizar la responsabilidad de sus acciones culpando a alguien o algo más. En el caso de la tarjeta de crédito, por
ejemplo, el interrogador podría sugerir que el sospechoso no recibe un pago suficiente por parte del empleador o que alguien dejó la tarjeta donde era una
abierta tentación. Otras justificaciones morales incluyen los gastos familiares inusuales, las circunstancias desesperadas, la influencia de un amigo, la
retribución para un argumento, o dependencia de droga o alcohol. Al minimizar la situación, el investigador hará más fácil para el sujeto el admitir su
culpa.

La justificación moral debe ser presentada de una manera amable y comprensiva. Un interés en trabajar con el sospechoso para resolver el problema rompe
el hielo. El interrogador debe expresar la justificación en un monólogo, no dando al sospechoso una oportunidad de hablar hasta que esté lito para admitir
su culpa.

Paso Tres: Manejo de las Negaciones

Cuanto más el sospechoso niegue la culpa, más difícil será que admita la culpa más tarde. Por lo tanto, el interrogador debe intervenir con una declaración
de bloqueo cuando el sospechoso entre en un alegato de “Yo no lo hice”. Apegándose al desarrollo del tema, el interrogador debilita la negación de culpa
del sospechoso. Mucha gente culpable cambia de una posición defensiva a una ofensiva, poniendo objeciones. El sospechoso inocente generalmente no
pide hacer una declaración, sino que, en su lugar, sin ninguna muestra de etiqueta, con prontitud y de manera inequívoca mantendrá su inocencia. Un
sospechoso inocente nunca va más allá de esta etapa de negación y se mantiene firme en la afirmación de inocencia.

Paso Cuatro: Vencer las Objeciones

La mayoría de las declaraciones de objeciones de los sospechosos se pueden clasificar en dos grupos generales: las objeciones de rasgo (por ejemplo, “Yo
no fui criado así” o “Una persona que haría algo como eso es realmente estúpido”) y las objeciones fácticas (por ejemplo, “Yo no tengo ni la combinación
de la caja fuerte”, “Ni lo conocía” o “No necesito el dinero”). Las declaraciones de cualquier de los grupos son explicaciones débiles, aun cuando pueden
ser parcialmente ciertas. En cualquier caso, el interrogador no debe discutir sobre la declaración o mostrar sorpresa o irritación. Una reacción desapegada
desalienta al sospechoso, quién luego percibe que la declaración fue un error o al menos ineficaz. Si el interrogador vence las objeciones, un sospechoso a
menudo se encierra en sí mismo y se focaliza en el inminente castigo.

Paso Cinco: Mantener la Atención del Sospechoso

Después de la etapa de objeción, el sospechoso culpable a menudo se pone pensativo, apático y callado. Es muy importante durante esta etapa asegurarse
que el sospechoso escucha atentamente el tema (justificación psicológica para el comportamiento del sospechoso) y no se concentra en el castigo (el cual
serviría para reforzar una resolución de negar el delito). Para mantener la atención del sospechoso, el interrogador debe acercarse más a ella o él. Esta
proximidad con frecuencia recupera la atención y el sospechoso mirará y escuchará más atentamente. El interrogador empieza a canalizar el tema hacia los
probables componentes alternativos.

Paso Seis: Manejar el estado de ánimo pasivo del sospechoso

En esta etapa, algunos sospechosos pueden llorar, una reacción que a menudo expresa remordimiento. Muchos otros sospechosos no lloran, pero expresan
su estado emocional asumiendo una postura derrotista – bajar la cabeza y los hombros, piernas relajadas y una mirada perdida. Para facilitar la inminente
declaración inculpatoria o admisión de culpabilidad, el interrogador debe intensificar la presentación del tema y concentrarse en la justificación psicológica
para el acto ilícito. Los gestos de amabilidad, tales como una mano en el hombro del sospechoso, también ayudan a decir la verdad.

Paso Siete: Presentar una Pregunta Alternativa

La pregunta alternativa consiste de dos opciones incriminatorias sobre aspectos del delito o incidente. Los elementos de la alternativa son desarrollados
como extensiones lógicas del tema. Si el tema contrasta el comportamiento impulsivo con los actos premeditados, la pregunta alternativa es, “¿Usted
planificó esta cosa o sólo sucedió en el calor del momento?” Cualquier opción es una admisión de culpa. La pregunta alternativa debe basarse en una
presunción de culpabilidad. No se debe preguntar, “¿Hizo usted esto o no?” Una pregunta mal enunciada invita a la negación. Un sospechoso que acepta
una alternativa ha hecho una primera admisión de culpa. La tarea entonces, es desarrollar esta admisión en una confesión aceptable.

Paso Ocho: Tener al Sospechoso Relatando Detalles

Una vez que la pregunta alternativa ha sido contestada, el interrogador responde con una declaración de refuerzo. Esencialmente, es una declaración que
reconoce la admisión de culpabilidad del sospechoso. El objetivo es obtener un breve repaso oral de la secuencia básica de los acontecimientos, mientras se
obtiene suficiente detalle para corroborar las culpabilidad del sospechoso. En la búsqueda de una confesión, es importante ayudar al entrevistado a
racionalizar las acciones y evitar la vergüenza. En el intento de obtener una confesión, el investigador no debe hacer preguntas ambiguas.

Las preguntas hechas en este momento deben ser breves y claras, pidiendo sólo respuestas verbales cortas al sospechoso. Es prematuro decir, “Bueno, sólo
dígame todo lo que sucedió”. Las preguntas deben ser abiertas y libres de palabras cargadas de emocionalidad. Una vez que el interrogador ha obtenido una
breve declaración sobre la secuencia del delito, ella o él debe hacer preguntas detalladas para obtener información que pueda ser corroborada por una
investigación posterior. Después de que esta declaración está completa, puede ser necesario volver a la elección de alternativas del sospechoso, o a alguna
otra declaración del sospechoso, para establecer el propósito real e intención en el momento del delito.
Paso Nueve: Conversión de una Confesión Oral
Después de aconsejar al sospechoso, el interrogador abandona la habitación ostensiblemente para comprobar algo. Ella o él vuelve con un testigo, que
puede ser presentado como alguien que ha estado involucrado en la investigación. El interrogador repite los detalles esenciales de la confesión del
sospechoso, entonces el testigo hace unas pocas preguntas de confirmación. Este es el momento para convertir una confesión oral en una escrita. Se puede
utilizar uno de cuatro formatos:

• declaración escrita por el sospechoso

• declaración escrita por el interrogador pero leída y firmada por el sospechoso
• declaración tomada por una secretaria o taquígrafo y transcrito a un documento para que el sospechoso la lea y firme
• declaración grabada (audio o video) por el sospechoso
La declaración de culpabilidad debe ser legible y comprensible por alguien que no esté familiarizado con lo que el sospechoso ha hecho. Por lo tanto, debe
incluir el relato de los hechos o acontecimientos. La declaración se debe hacer usando el vocabulario general, las irregularidades gramaticales, las palabras
soeces y las anormalidades idiomáticas que la persona que hace la declaración utilizaría en su discurso cotidiano.

Cualquier error, cambio o tachado de palabras debe ser firmado por el sospechoso con un visto bueno (OK) escrito al margen. La declaración debe reflejar
que el sospechoso fue tratado apropiadamente, que no se hicieron amenazas ni promesas, y que la declaración fue entregada libremente por el sospechoso.
A un sospechoso que ha completado la lectura de la declaración escrita se le instruye “escriba su nombre aquí” mientras el interrogador indica la línea para
la firma. Es mejor evitar decir al sospechoso “firme aquí” porque “firmar” tiene una connotación legal de mucha significancia. El sospechoso firma cada
página de la declaración en frente del interrogador y del testigo, y luego ambos firman también.

Para que una declaración escrita o confesión sea creíble y admisible en los tribunales de Estados Unidos, debe ser dada voluntariamente, ser digna de
confianza e incluir la siguiente información esencial:

• fecha, hora y lugar don se elaboró la declaración

• identificación completa de la persona que hizo la declaración: nombre completo, fecha y lugar de nacimiento, domicilio y número de seguridad social
o de licencia de conducir
• todos los puntos pertinentes de la discusión de la entrevista, con particular énfasis en los elementos de prueba del delito bajo investigación
• una afirmación de que la declaración se hace libremente después de un tratamiento justo en el curso de la entrevista y sin remuneración, amenazas,
coerción o promesas
• numeración secuencial de todas las páginas, con la firma de la persona que está haciendo la declaración en cada página
• la persona que hace la declaración debe colocar las iniciales en cualquier adición a, tachadura de, o alteración de la declaración.
• firma, en la última página de la declaración, de la persona que hace la declaración, el entrevistador y un testigo
La obtención de la confesión escrita al final del interrogatorio no es la culminación. Se debe hacer todo el esfuerzo para verificar la declaración y obtener
las evidencias necesarias de apoyo para el juicio. Antes de ir a juicio, una declaración formal, entregada bajo juramento, puede ser solicitada por cualquiera
de los abogados para determinar cómo el investigador realizó la investigación, qué evidencias se obtuvo y lo que el testigo(s) y sospechoso(s) dijeron
durante la investigación.

5.9 PROCEDIMIENTOS DE CIERRE

El cierre de la entrevista puede no ser la última vez que el entrevistador y entrevistado se encuentren. El desarrollo del caso puede requerir otra entrevista, o
el entrevistado puede ser llamado como testigo en un procedimiento legal.

El entrevistador debe mostrar aprecio por la cooperación del entrevistado. Incluso cuando el entrevistado no haya cooperado, el entrevistador debe evitar
terminar la entrevista en un tono hostil. Hay casos que han sido resueltos, porque un individuo se ha contactado nuevamente con el investigador con
información que anteriormente no fue revelada. La mejor estrategia de cierre, además de la conversación general, sería preguntar al entrevistado si hay algo
que le gustaría agregar y, si fuera necesario, puede ser llamado nuevamente.

5.10 ASPECTOS LEGALES GENERALES

Los entrevistadores deben tener una clara comprensión de los requerimientos legales respecto a las entrevistas en la jurisdicción en la cual trabajan. En
Estados Unidos, los entrevistadores deben ser informados especialmente sobre los requerimientos de la decisión Weingarten (NLRB v. Weingarten, Inc.,
420 U.S. 251 (1975) sobre el derecho del entrevistado de tener otra persona presente en una entrevista.

El derecho Weingarten es un derecho derivado de la decisión en el caso Weingarten de la Corte Suprema de 1975, donde la Corte reconoció los derechos
de los trabajadores sindicalizados a tener un delegado del sindicato en las entrevistas investigativas. En el año 2000, la National Labor Relations Board
amplió el derecho Weingarten y sostuvo que el derecho a tener un delegado en las entrevistas investigativas se aplica igualmente a los empleados
sindicalizados como a los que no lo están.
Los derechos Weingarten incluyen el derecho a tener un compañero de trabajo presente en una entrevista investigativa en la que el empleado
razonablemente considere que podría resultar en medidas disciplinarias. Los derechos Weingarten deben ser invocados por un empleado antes que un
empleador tenga cualquier obligación correspondiente. Un empleado puede requerir la presencia de un compañero de trabajo en un entrevista investigativa.

La parte del estatuto federal relevante establece que:

(2) Un representante exclusivo de una unidad apropiada en un organismo se le dará la oportunidad de estar representado en

• cualquier discusión formal entre uno o más representantes del organismo y uno o más empleados de la unidad o sus representantes con
respecto a cualquier queja o cualquier política o práctica del personal u otras condiciones generales de empleo; o

• Cualquier examen de un empleado en la unidad por un representante del organismo en relación con una investigación si

− el empleado razonablemente cree que el examen puede resultar un una acción disciplinara contra el empleado;

y − el empleado solicita la representación

(3) Cada organismo informará anualmente a sus empleados de sus derechos establecidos en el párrafo (2) (B) de esta subsección.

El 15 de junio de 2004, la National Labor Relations Board dictaminó que los empleados no sindicalizados, en virtud del artículo 7 de la Ley Nacional de
Relaciones Laborales, no tienen el derecho de tener un compañero de trabajo acompañándolos en un entrevista con su empleador, aun si el empleado
razonablemente cree que la entrevista podría resultar en una medida disciplinaria. Esto fue una revocación de la decisión de la Junta Clinton de julio 2000,
que amplió los Derechos Weingarten a los empleados no sindicalizados.

Declaraciones y Confesiones
Una confesión o declaración jurada debe ser competente, material, relevante y obtenida voluntariamente bajo circunstancias legalmente aceptables, por lo
que será admisible en cualquier procedimiento legal o audiencia posterior.

Promesas y Garantías
En el curso de la entrevista, puede ser necesario hacer una promesa al entrevistado. El entrevistador debe estar seguro que todo lo que se prometa puede ser
legalmente realizado (Grau, 1981). El entrevistador debe evitar hacer alguna promesa o garantía, explícita o implícita, que sea ilegal, no pueda ser
confirmada por el cliente o alta gerencia, o que no pueda cumplirse.

Un entrevistado puede pedir una opinión sobre el resultado de la materia bajo investigación. El investigador generalmente no puede garantizar un resultado
específico y, de hecho, no de debería estar en condiciones de hacerlo. La función del investigador es la de recopilar los hechos. Una aseveración del
entrevistador de que la cooperación por parte del entrevistado llevará a un resultado más favorable, probablemente invalidará la confesión obtenida.

Amenazas, Intimidación y Coacción

Cualquier coerción, coacción o forzamiento psicológico ejercido sobre el entrevistado es inaceptable y puede hacer una confesión inadmisible. Asimismo,
el abuso verbal, las amenazas y la intimidación, son poco éticas, poco profesionales e inaceptables. Cualquier tipo de abuso invalida las confesiones o
declaraciones obtenidas y puede dar lugar a acciones civiles o penales en contra del entrevistador. Los entrevistados deben entender que ellos son libres
para abandonar el lugar de la entrevista. Una indicación, expresa o implícita, de que el entrevistado no es libre de irse, crea las condiciones para denuncias
de detención ilegal.

Consentimiento
El entrevistado debe consentir a la entrevista y a hacer cualquier declaración. El consentimiento debe ser totalmente voluntario y no puede ser coaccionado
de ninguna manera. De lo contrario, una confesión o declaración será dictaminada como inadmisible en los procedimientos legales posteriores.

El entrevistado debe ser legalmente competente para dar el consentimiento. Por ejemplo, un menor de edad no puede dar su consentimiento, como tampoco
puede una persona bajo la influencia del alcohol u otros intoxicantes.

El entrevistado también debe comprender que el consentimiento, una vez dado, puede ser retirado en cualquier momento.

Acceso a Baños y Comidas

El entrevistado debe tener acceso a los servicios sanitarios a intervalos razonables y especialmente a petición de él. En una entrevista extensa, se debe
programar un tiempo para comidas en los momentos apropiados. Los descansos para un café y otras bebidas son útiles cuando el entrevistador quiere
cambiar el estado de ánimo. Si las comidas o descansos se toman en un área pública, el entorno no suele ser el propicio para una conversación sobre el
tema de la entrevista. Sin embargo, las comidas y descansos pueden mejorar la comunicación entre el entrevistador y entrevistado. Para evitar la posibilidad
de una interrupción durante la entrevista, el investigador debe preguntar, “¿Se siente mal? ¿Tiene sed? ¿Tiene que ir al baño?”

5.11 CONCLUSIÓN
La clave para el proceso investigativo es la habilidad del investigador para entrevistar a los sospechosos involucrados en la materia objeto de la
investigación. Si bien los programas de televisión perpetúan la idea de que cuando los investigadores examinan cuidadosamente la escena de un crimen
ellos, generalmente, encuentran una pista que los lleva al autor, la mayoría de los casos se resuelven con la información desarrollada durante las entrevistas
y los subsecuentes esfuerzos para corroborar o descartar los resultados de la entrevista.

Los entrevistadores capacitados deben ser pacientes, persistentes y preparados. Deben realizar cada entrevista de forma profesional, siempre tratando al
sujeto con respeto y adhiriendo cuidadosamente a todos los requerimientos legales. En el futuro, puede llegar a ser un requisito el registrar electrónicamente
todas las entrevistas e interrogatorios. Consecuentemente, todas las entrevistas e interrogatorios deben ser llevados a cabo de tal manera que puedan resistir
el escrutinio de una revisión judicial. Las prácticas y técnicas descritas en esta discusión son una base para las técnicas eficaces y respetuosas.

______________________________
14 Una lista completa de preguntas de provocación del comportamiento en una BAI aparece en Criminal Interrogations and Confessions (Inbau, 2001)
REFERENCIAS

Agnes, M. (2003). Webster’s new world dictionary. New York, NY: Pocket Books.

Buckley, D., & Jayne, B. (2005). Electronic recording of interrogations. Chicago, IL: John E. Reid and Associates.

Deming, P. S. (1997). Interviewing techniques. King of Prussia, PA: Philip S. Deming and Associates.

Fay, J. J. (1993). Encyclopedia of security management. Woburn, MA: Butterworth-Heinemann.

Ferraro, E. F. (2000). Undercover investigations in the workplace. Woburn, MA: Butterworth-Heinemann.

Grau, J. J. (1981). Criminal and civil investigation handbook. New York, NY: McGraw-Hill.

Horvath, J., & Buckley, D. (2004, May). Differentiation of truthful and deceptive criminal suspects in behavior analysis interviews. Journal of Forensic
Sciences.

Inbau, F. E., Reid, J. E., Buckley, J. P., & Jayne, B. (2001). Criminal interrogation and confession (4th ed.). New York, NY: Aspen Publishers.

Maslow, A. H. (1987). Motivation and personality. New York, NY: HarperCollins.

FUENTES ADICIONALES

Association of Certified Fraud Examiners (Producer). (1994). Beyond the numbers [Motion picture].

Bilek, A. J., Klotter, J. C., & Federal, R. K. (1980). Legal aspects of private security. Dayton, OH:Anderson Publishing Company.

Buckley, D. M. (1993, April). Dealing with artful dodgers. Security Management.

Buckley, J. P. (1983, May). The nine steps of interrogation. Security Management.

Buckley, J. P. (1986, March–April). How do I know if they told me the truth? Internal Audit Advisor.

Buckley, J. P. (1991, first quarter). The behavioral profile of a liar. NEWS (International Association of Credit Card Investigators), Vol. 118.

Buckley, J. P., & Jayne, B. C. (1987, June). Read between the lines. Security Management.

Buckley, J. P., & Jayne, B. C. (1992, October). Criminal interrogation techniques on trial. Security Management.

Buckley, J. P., & Mullenix, P. A. (1985). The use of behavior symptoms in the search for the truth. Prosecutor, Vol. 19, No. 1.

Buckwalter, A. (1983). Interviews and interrogations. Stoneham, MA: Butterworth Publishing.

Fennelly, L. J. (1996). Handbook of loss prevention and crime prevention. Woburn, MA: Butter-worth-Heinemann.

Fischer, R. J., & Gree, G. (1998). Introduction to security (6th ed.). Woburn, MA: Butterworth-Heinemann.

Fisher, R. P., & Geiselman, R. E. (1992). Memory-enhancing techniques for investigative inter- viewing. Springfield, IL: Charles C Thomas Publishers.

Force, H. R. (1972, September). Interrogations. Security Management.

French, S. R., & Van Houten, P. (1987). Never say lie. Boulder, CO: Paladin Press. Hinerman, J. W. Self-incriminatory statements. Security Management.

Inbau, F. E., Farber, B. J., & Arnold, D. W. (1996). Protective security law. Woburn, MA:Butterworth-Heinemann.

Jannsen, M. J. (1995, September). The case of the missing money. Security Management.

Jayne, B. C. (1994, February). Interviewing strategies that defeat deceit. Security Management.

Link, F. C., & Glenn, F. D. (1989). The kinesic interview technique. Riverdale, CA: Interrotec Associates.

MacHovec, F. J. (1989). Interview and interrogation: A scientific approach. Springfield, IL: Charles C Thomas Publishers.

Marshall, K. D. (1985, January). Unmasking the truth. Security Management.

Maxwell, D. A. (1993). Private security law. Woburn, MA: Butterworth-Heinemann.

McDonald, P. (1993). Make ’em talk: principles of military interrogation. Boulder, CO: Paladin Press.
Morgan, R. C. (1986). Interviewing techniques in the detection of deception. Idaho Assessment Center.

O’Hara, C. E., & O’Hara, G. L. (1994). Fundamentals of criminal investigation. Springfield, IL: Charles C Thomas Publishers.

Penley, W. J. (1979, November). Interviews Do Not Always Lead to the Truth. Security Management.

Pupura, P. P. (1998). Security and loss prevention: An introduction (3rd ed.). Woburn, MA: Butterworth-Heinemann.

Rabon, D. (1992). Interviewing and interrogation. Durham, NC: Carolina Academic Press.

Royal, R. E., & Schutt, S. R. (1976). The gentle art of interviewing and interrogation. Englewood, NJ: Prentice-Hall.

Royal, R. F., & Schutt, S. R. (1978). The art of interviewing and interrogating. Security Management.

Rudacille, W. C. (1994). Identifying lies in disguise. Dubuque, IA: Kendall/Hunt Publishing Company.

Scanning words for true confessions. (1992, August). Security Management.

Sennewald, C. A. (1981). The process of investigation: Concepts and strategies for the security professional. Woburn, MA: Butterworth-Heinemann.

Wygant, J. R. (1986, September). The language of truth. Security Management.

Yeschke, C. L. (1993). Interviewing: A forensic guide to interrogation. Springfield, IL: Charles C Thomas Publishers.

Yeschke, C. L. (1987). Interviewing: An introduction to interrogation.

Springfield, IL: Charles C Thomas Publishers.

Zulawski, D. E., & Wicklander, D. E. (1993). Practical aspects of interview and interrogation. Boca Raton, FL: CRC Press.
ÍNDICE

a
abuso de sustancias, 57, 59, 93, 95, 96, 142, 149, 161, 164, 166
acciones civiles, 259, 290
acciones disciplinarias, 115, 120, 165, 207, 214
activos geográficos, 56
adjuntos, 122
agencias reguladoras, 195
ambiente multicultural, 83
amenazas, 32, 58, 63, 80, 93, 105, 110, 131, 286, 287, 290
análisis de datos, 229
análisis de riesgos, 80
aplicaciones, 77, 170
armas, 44, 166
asesor jurídico, 231, 235, 236, 239, 241, 259, 265
asignación de casos, 63, 65
aspectos psicosociales, 254
asuntos culturales, 85
asuntos de responsabilidad legal, 228

b
bases de datos, 20, 56, 66, 90, 102, 106, 108, 109, 110, 127, 128, 159, 208, 242, 245, 258

c
cadena, 38, 72, 163, 216, 265
calculador de rotación, 248
capacidades investigativas, 37
capacitación, 44, 47, 55, 68, 90, 160
ciclo de vida de la investigación, 61
ciencia del comportamiento, 254
comportamiento no verbal, 273, 277
comportamiento poco ético, 31, 32
compras múltiples, 168
comprobación de registros, 235
conciencia corporativa, 171
confesiones, 264, 290
conflicto de interés, 94
confrontación positiva, 283
consentimiento, 290
contabilidad forense, 28
contacto visual, 261, 271, 273, 277, 279, 280
contactos de enlace, 31, 32, 37, 43, 55, 56, 60, 64, 68, 72, 75, 110, 111, 112, 113, 114, 119
contratos, 27, 30, 33, 34, 81, 107, 146, 188, 200, 202, 230
controles, 28, 63, 64, 65

d
denuncias, 40, 56, 62, 74, 90, 96, 98, 99, 126, 261, 262, 290
denuncias falsas, 96
departamento de seguridad, 25, 36, 71, 80, 125, 242
drogas, 96, 111, 144, 148, 149, 154, 157, 162, 163, 164, 166, 167, 168, 178, 221, 222, 223, 225, 228, 239, 240
due diligence, 183, 189, 192, 198, 205, 216

e
ejercicios de planificación de emergencias, 112
enlaces, 29, 30, 48, 52, 55, 75, 106, 110, 111, 112, 114, 117, 197
entrevista de análisis del comportamiento, 280
espacio de oficina, 37, 52
ética, 31, 32, 44, 49, 63, 67, 97, 259
evidencia electrónica, 103
evidencias físicas, 20, 24, 41, 89, 103
expedientes, 71, 158
externalización, 198

f
factores de tiempo, 262
factores del sujeto, 267
fase de seguimiento, 66
fuerzas de tarea conjunta, 115
funciones investigativas, 39, 59, 84

g
garantías, 187
gestión de casos, 30, 57, 63, 65, 70, 74, 118

h
habilidades de comunicación, 49

i
industria del cuidado de la salud, 170
información de inteligencia, 106, 117, 118
informática forense, 41, 42, 43, 104, 127
informe de due diligence, 198, 205
informe narrativo, 155
interrogatorios, 48, 67, 69, 102, 128, 250, 266, 291
intimidación, 290
intoxicación, 267
investigación de antecedentes, 21, 95, 197, 221, 225, 226, 229, 231, 232, 241
investigaciones encubiertas, 78, 139, 140, 142, 143, 145, 147, 154, 158, 162, 165, 168, 169, 170

l
línea de tiempo, 155

m
multiplicador de fuerzas, 117

o
objeciones, 284
omisiones y errores materiales, 233
organismos encargados de hacer cumplir la ley, 46, 79, 99, 105, 128, 139, 141, 147, 148, 152, 153, 162, 163, 251, 266

p
política corporativa, 41, 91, 93, 252
posturas comparativas, 278
presupuestos, 34, 56
procedimientos de cierre, 288
protección de activos, 36, 59
proveedores, 76
pruebas de habilidades físicas, 239
pruebas de inteligencia, 240, 241
pruebas de poligrafía, 239

r
recopilación de datos, 229
recuperaciones, 64, 168
recursos humanos, 46, 76
relevancia, 18, 20, 21, 84, 85, 108, 119
retorno de la inversión, 33, 60, 139, 146, 147, 165, 168
revisión de registros, 258
robo de empleados, 93, 161, 165, 224, 245

s
sector público, 20, 25, 26, 27, 28, 46, 48, 50, 78, 83, 121, 250
seguridad de las operaciones, 78, 116
seguridad operacional, 78
sospechosos, 18, 249, 252, 256, 282, 284, 285, 291

t
tabla del número de seguridad social, 246
técnicas y herramientas, 102
tecnología de la información, 33, 184, 189, 216
testigos, 20, 22, 24, 31, 68, 77, 83, 89, 110, 123, 249, 251, 252, 262, 263
testimonio, 159
ti. véase tecnologías de la información triángulo del robo, 255

u
unidades investigativas, 25, 27

v
violencia en el lugar de trabajo, 58, 69, 77, 93, 111, 222, 22