Tener antivirus y pasar un escáner una vez al año está bien, pero no responde a la pregunta que de verdad importa: ¿qué pasaría si mañana alguien se colara en tu red? Para contestarla sin jugarte el negocio existen los laboratorios de ciberseguridad. En esta guía te contamos qué es un Cyber Range, cómo se construye, en qué se diferencia de un pentest o de un Red Team, qué dice la ley, quién lo ofrece, cuánto cuesta y por qué también interesa a quien trabaja en seguridad física.
- Un Cyber Range es un entorno controlado donde ensayar ataques y defensas sin tocar los sistemas reales.
- No siempre copia tu red: puede simular, emular o replicar solo una parte.
- No sustituye a un pentest, a una auditoría ni a las pruebas que exija la ley.
- Ninguna prueba sin autorización por escrito y alguien con poder para pararla.
- Si no corriges los fallos y vuelves a probar, el ejercicio no sirve de nada.
Qué es un Cyber Range
Imagina un campo de tiro, pero para ciberataques. Un Cyber Range es un entorno tecnológico controlado donde se pueden recrear, simular o emular infraestructuras, servicios y amenazas para comprobar cómo responde una organización. Dicho de otra forma: un sitio donde equivocarse sale gratis, porque nada de lo que pasa dentro llega a los sistemas reales.
Tres formas de montarlo
No todos los Cyber Range son iguales, y no todos copian una red empresarial. A grandes rasgos hay tres enfoques, que se pueden combinar entre sí y que no responden a ninguna clasificación oficial:
- Simulación. Reproduce escenarios y comportamientos sin desplegar una copia completa de los sistemas. Es la opción típica de las plataformas de entrenamiento con ejercicios ya preparados.
- Emulación. Utiliza sistemas reales, virtualizados o una mezcla de ambos para que los componentes se comporten igual que en la vida real.
- Réplica parcial o gemelo digital. Copia solo determinadas piezas de una organización concreta para estudiar cómo reaccionan ante un incidente.
Tenerlo claro te ahorrará más de un malentendido cuando pidas presupuesto: no cuesta lo mismo entrenar con escenarios estándar que construir una réplica de tu empresa.
Diccionario rápido para no perderse
- Virtualización: crear ordenadores y servidores «de software» dentro de una máquina física.
- Contenedores: una forma más ligera de empaquetar aplicaciones para que funcionen igual en cualquier sitio.
- Infraestructura cloud: servidores y servicios alquilados en la nube en lugar de instalados en tu oficina.
- Segmentación de redes: dividir la red en zonas separadas para que un problema en una no se extienda a las demás.
- Directorio de identidad: el sistema que decide quién es cada usuario y a qué puede acceder (el más conocido es Active Directory).
- SOC y SIEM: el SOC es el equipo que vigila la seguridad digital; el SIEM, la herramienta que reúne y analiza los registros de actividad.
- Detección y respuesta: darse cuenta de un ataque y actuar para frenarlo.
- Redes OT: las que controlan máquinas y procesos físicos, como una depuradora o una cinta de equipajes.
- Gemelo digital: una copia virtual de un sistema o instalación que se comporta como el original.
- Datos sintéticos: datos inventados que se parecen a los reales pero no corresponden a ninguna persona.
- Aislamiento lógico y físico: separar el laboratorio de la red real mediante configuración (lógico) o con equipos y cables distintos (físico).
Qué permite medir
Aquí está la gracia: dentro del laboratorio puedes soltar código malicioso de verdad o restaurar una copia de seguridad completa sin que ningún cliente se entere. Así compruebas tres cosas clave: si tus defensas bloquean el ataque, si tu equipo lo detecta a tiempo y si sabéis volver a funcionar después. Eso sí, ningún Cyber Range garantiza una seguridad absoluta: te ayuda a conocer tus puntos débiles, no a hacerlos desaparecer por arte de magia.
Cómo se construye un Cyber Range, paso a paso
Aunque suene raro, nadie empieza un Cyber Range atacando. Antes hay que entender la empresa, decidir qué se reproduce y preparar las reglas del juego. Estas son las ocho fases habituales:
- Analizar la empresa. Qué sistemas importan, qué servicios no pueden caer, de qué depende cada uno y qué se quiere comprobar.
- Diseñar el entorno. Decidir qué se simula, qué se emula y qué se reproduce con más detalle.
- Construir la infraestructura. Montar con virtualización las redes, los servidores y las aplicaciones necesarias, siempre con datos inventados.
- Aislar el laboratorio. Separarlo de los sistemas reales con los controles técnicos adecuados. Ojo: el aislamiento reduce mucho el riesgo, pero no lo elimina del todo, así que hay que vigilarlo.
- Diseñar los escenarios. Ransomware, phishing, robo de credenciales, caída de un servicio o un ataque a sistemas industriales, siempre dentro de lo autorizado.
- Hacer el ejercicio. El equipo defensor tiene que detectar, contener, analizar y responder al incidente simulado.
- Evaluar los resultados. Cuánto se tardó en detectar y responder, qué decisiones se tomaron, qué falló y si la recuperación funcionó.
- Aplicar mejoras. Documentarlo todo, actualizar los procedimientos y programar la siguiente prueba.
Qué sistemas se pueden replicar de forma aislada
Ahora que ya sabes qué es un Cyber Range, la siguiente pregunta es qué se puede meter dentro. La respuesta corta: casi todo, siempre con datos inventados y sin conexión con los sistemas reales. Toca cada tarjeta para ver qué se comprueba.
Cyber Range frente a otras soluciones de ciberseguridad
En ciberseguridad se usan muchas palabras parecidas, y es fácil liarse. Lo importante es entender que no compiten entre sí: se complementan. Un Cyber Range no sustituye a un pentest, a una auditoría ni a los ejercicios que pueda exigir una norma.
| Solución | Para qué sirve | Dónde se hace | Quién participa | Qué obtienes | Limitación | Relación con un Cyber Range |
|---|---|---|---|---|---|---|
| Cyber Range | Ensayar ataque, respuesta y recuperación | Entorno aislado | Equipos técnicos, SOC, a veces dirección | Equipos entrenados y procedimientos probados | No es tu red real | — |
| Auditoría de ciberseguridad | Revisar controles, políticas y cumplimiento | Documentación y sistemas reales | Auditores | Informe de cumplimiento y carencias | No prueba la reacción ante un ataque | El Cyber Range comprueba en la práctica lo que la auditoría revisa en papel |
| Análisis de vulnerabilidades | Listar fallos conocidos | Sistemas reales | Equipo técnico o proveedor | Listado priorizado | No dice si el fallo se puede aprovechar | Aporta fallos reales para inspirar escenarios |
| Pentest | Demostrar si un fallo se puede aprovechar | Real o preproducción, con ventanas pactadas | Pentesters | Evidencias y plan de corrección | Alcance acotado | Se puede practicar en el laboratorio sin riesgo |
| Red Team | Medir detección y respuesta frente a un atacante realista | Sistemas reales, con reglas estrictas | Equipo atacante autorizado | Rutas de compromiso y tiempos | Caro y delicado | El laboratorio sirve para entrenarlo antes |
| Blue Team | Defender, detectar y responder | Día a día y ejercicios | SOC y equipo de respuesta | Capacidad de defensa | Solo mejora si practica | Es el gran beneficiado del entrenamiento |
| Purple Team | Afinar alertas con atacantes y defensores juntos | Real o laboratorio | Red y Blue Team | Detecciones ajustadas | Requiere coordinación | Encaja muy bien dentro de un Cyber Range |
| BAS (simulación de brecha y ataque) | Comprobar de forma automática que los controles funcionan | Sistemas reales, con pruebas inocuas | Herramienta automatizada | Indicadores periódicos | Solo ataques conocidos | Complementa: BAS mide a diario, el laboratorio entrena |
| Sandbox de malware | Analizar un archivo sospechoso | Entorno aislado y pequeño | Analistas | Comportamiento del archivo | No entrena a las personas | Es una pieza, no un ejercicio completo |
| Gemelo digital | Reproducir un sistema o instalación | Virtual | Ingeniería y seguridad | Copia que se comporta como el original | Caro de mantener al día | Puede ser la base de un Cyber Range |
| Ejercicio de mesa (tabletop) | Ensayar decisiones ante una crisis | Sala de reuniones | Dirección y responsables | Roles y decisiones claros | Sin componente técnico | Se puede combinar con el ejercicio técnico |
Vídeos: introducción al pentesting y la simulación de ciberataques
Explicación: INCIBE
Si es la primera vez que oyes hablar de pentesting, empieza por aquí: INCIBE lo explica de forma muy clara en su serie #AprendeCiberseguridad.
Fuente: INCIBE · en español · Ver en YouTube
Empresa: Airbus Defence and Space
Y para que veas cómo es uno por dentro, Airbus Defence and Space enseña su plataforma para simular sistemas informáticos e industriales.
Fuente: Airbus Defence and Space · en inglés · Ver en YouTube
Para qué usan las empresas un Cyber Range
No hace falta ser una multinacional para sacarle partido. Lo que cambia según el tamaño es la ambición del ejercicio:
- Empresas pequeñas: entrenar al técnico de sistemas, practicar con simulaciones de phishing, comprobar que las copias de seguridad se restauran y ensayar lo básico de la respuesta a un incidente.
- Empresas medianas: simular un ransomware, poner a prueba al SOC (propio o contratado), ensayar la recuperación y hacer ejercicios en los que participen varios departamentos.
- Grandes empresas: réplicas parciales de infraestructuras complejas, ejercicios de Red Team contra Blue Team, simulación de incidentes coordinados entre sedes y pruebas de los procedimientos de crisis y de ciberresiliencia.
Busca tu perfil y toca la tarjeta para ver por dónde empezar:
Infraestructuras críticas: donde parar no es una opción
En las infraestructuras críticas hay que distinguir dos mundos. El de la IT (ordenadores, correo, bases de datos), donde un ataque roba o bloquea información. Y el de la OT (sistemas que mueven cosas físicas), donde un ataque puede parar una planta, una depuradora o una cinta de equipajes. En la OT no se puede «reiniciar y ya está», y por eso probar en un laboratorio tiene todavía más sentido. Algunos ejemplos de lo que se suele ensayar, sin entrar en detalles sensibles:
| Sector | Qué preocupa más | Qué se puede ensayar |
|---|---|---|
| Aeropuertos | Facturación, embarque, equipajes | Caída de un proveedor y paso a procesos manuales |
| Energía | Sistemas de control de la red | Intrusión que salta de la red de oficina a la OT |
| Hospitales | Historia clínica y equipos médicos conectados | Ransomware y continuidad asistencial |
| Transporte ferroviario y puertos | Señalización, logística y operaciones | Coordinación entre centro de control e IT |
| Telecomunicaciones | Disponibilidad del servicio | Ataques de denegación de servicio y recuperación |
| Agua e industria | Procesos físicos automatizados | Segmentación entre IT y OT |
| Administración pública | Servicios al ciudadano y datos personales | Fuga de datos y continuidad del servicio |
Si te interesa este terreno, en Proseguridad hemos analizado el ransomware contra infraestructuras críticas.
Cyber Range y seguridad física: más cerca de lo que parece
Puede que pienses que esto es cosa de informáticos. Pero hoy casi todo lo que protege un edificio va conectado a una red, y si alguien lo ataca, el problema acaba llegando al puesto de vigilancia. Estos son los sistemas en los que más se nota esa convergencia:
- Videovigilancia IP: ¿qué pasa si las cámaras dejan de grabar o alguien manipula las imágenes?
- Control de accesos: tornos, lectores y tarjetas que dependen de un servidor.
- Centrales receptoras de alarmas: el corazón del servicio, que no puede quedarse ciego.
- Centros de control y comunicaciones: radio, telefonía y plataformas de gestión de incidentes.
- Gestión técnica de edificios: climatización, iluminación o ascensores controlados por software.
- Plataformas de detección e IoT de seguridad: sensores, detectores y dispositivos conectados.
- Infraestructuras aeroportuarias y logísticas: donde seguridad física, operaciones y sistemas van de la mano.
Un Cyber Range permite ensayar algo que rara vez se practica: la coordinación. Que el equipo de IT, el responsable de seguridad física, el personal de operaciones y quien gestiona los incidentes sepan quién avisa a quién cuando las cámaras se apagan o los tornos dejan de responder. Eso sí, conviene no confundir papeles: participar en un ejercicio no convierte a un vigilante en analista de ciberseguridad, igual que un simulacro de incendio no convierte a nadie en bombero. Para quien se está informando sobre cómo ser vigilante de seguridad, es una buena muestra de hacia dónde va la profesión.
Qué dice la ley
Vamos con la parte jurídica, sin dramas. Un aviso de entrada: ninguna norma obliga de forma general a contratar un Cyber Range. Lo que sí hacen varias es pedir que se prueben las medidas de seguridad, y ahí el laboratorio puede ser una herramienta útil.
NIS2
La Directiva (UE) 2022/2555 obliga a las entidades a las que se aplica a gestionar sus riesgos de ciberseguridad. Su artículo 21 incluye, entre otras medidas, la gestión de incidentes, la continuidad del negocio, la formación y políticas para evaluar la eficacia de las medidas. Su artículo 20 pide además formación a los órganos de dirección. Un Cyber Range puede ayudar a preparar y evaluar algunas de estas capacidades, pero NIS2 no exige contratarlo.
¿Y en España? El plazo para trasponer la directiva terminó el 17 de octubre de 2024. El Gobierno aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero a fecha de esta revisión no consta que la ley se haya publicado en el BOE. Conviene seguirlo de cerca.
DORA
El Reglamento (UE) 2022/2554, en vigor desde enero de 2025 para el sector financiero, exige un programa de pruebas de resiliencia operativa digital. Además, las entidades que identifique la autoridad competente deben hacer al menos cada tres años pruebas de penetración basadas en amenazas (TLPT). Aquí hay un matiz importante: según su artículo 26, estas pruebas se hacen sobre los sistemas de producción que soportan las funciones críticas. Por tanto, un ejercicio en un Cyber Range aislado no equivale a una TLPT reglamentaria, aunque sí sirve para prepararla.
Esquema Nacional de Seguridad
El Real Decreto 311/2022, que regula el ENS para el sector público y sus proveedores, incluye medidas de gestión de incidentes, continuidad y formación del personal. Los ejercicios en laboratorio pueden mejorar la capacidad de respuesta, pero tener un Cyber Range no garantiza por sí solo cumplir el ENS ni obtener su certificación.
Protección de datos
El RGPD pide tratar solo los datos necesarios (artículo 5), proteger los datos desde el diseño (artículo 25) y aplicar medidas de seguridad que incluyan verificar con regularidad su eficacia (artículo 32). Por eso lo recomendable es usar en el laboratorio datos sintéticos o anonimizados siempre que se pueda. Ojo con la diferencia: los datos anonimizados ya no permiten identificar a nadie; los seudonimizados sí podrían volver a vincularse a una persona, así que siguen siendo datos personales.
Código Penal
Entrar en un sistema ajeno sin permiso es delito. El Código Penal castiga en su artículo 197 bis el acceso no autorizado a sistemas de información, y en su artículo 264 los daños informáticos. Por eso cualquier prueba sobre sistemas reales tiene que contar con autorización y respetar el alcance pactado. En un laboratorio propio y aislado el riesgo es menor, pero si el ejercicio toca sistemas de terceros, la autorización vuelve a ser imprescindible.
Contratos: lo que conviene dejar por escrito
Más allá de lo que obliga la ley, la buena práctica profesional recomienda firmar: autorización escrita, alcance de las pruebas, confidencialidad, tratamiento de los datos, restricciones técnicas, registro de actividades, responsabilidades de cada parte y medidas para no afectar a sistemas de terceros. Antes de contratar, pide también al proveedor:
- ☑ Propuesta con alcance, metodología y exclusiones.
- ☑ Autorización firmada y reglas con responsable de parada.
- ☑ Acuerdo de confidencialidad y de tratamiento de datos.
- ☑ Seguro de responsabilidad civil del proveedor.
- ☑ Resumen ejecutivo para la dirección.
- ☑ Informe técnico con evidencias y prioridades.
- ☑ Presentación de resultados al equipo técnico.
- ☑ Retest incluido o presupuestado.
Quién ofrece Cyber Range: algunos proveedores
Estas son algunas organizaciones que ofrecen o han desarrollado plataformas de Cyber Range, según su propia documentación. No es una lista cerrada ni una recomendación: es un punto de partida para que sepas qué tipo de servicio da cada una.
| Organización | País | Qué ofrece | Para quién | Formato | Precio |
|---|---|---|---|---|---|
| TECNALIA | España (Vitoria-Gasteiz) | Laboratorio de Cyber Range con formación práctica Red Team y Blue Team, I+D y validación de tecnologías IT/OT | Industria, energía, salud, automoción, aeronáutica | Instalación física con sala y SOC | Precio no publicado |
| Indra | España | Plataforma Cyber Range usada en ejercicios con la Policía Nacional; desarrollo de un Cyber Range para la formación ciber de las Fuerzas Armadas | Defensa, seguridad pública, grandes organizaciones | Proyectos a medida | Presupuesto personalizado |
| Airbus CyberRange | Europa (Airbus) | Plataforma para diseñar y simular sistemas IT y OT, entrenar y hacer pentests en entorno aislado; según la empresa, la usan más de 50 organizaciones | Defensa, industria, centros educativos | SaaS, instalación propia o caja móvil | Precio no publicado |
| RISE Cyber Range | Suecia | Banco de pruebas para entornos OT, arquitectura de red, pruebas de intrusión y ejercicios Red y Blue Team | Industria y sector público, con foco en pymes | Instalación en Kista | Precio no publicado |
| CybExer Technologies | Estonia | Plataforma de Cyber Range con biblioteca de ejercicios, simulacros, competiciones tipo CTF y gemelos digitales | Defensa, administraciones y empresas | SaaS o instalación propia a medida | Pago por uso, sin importes publicados |
Cómo se contrata: modalidades
| Modalidad | En qué consiste | Cuándo encaja |
|---|---|---|
| Plataforma propia | Compras o construyes tu propio laboratorio | Organizaciones grandes con equipo técnico estable |
| Cyber Range gestionado | El proveedor lo mantiene y lo opera por ti | Quien quiere ejercicios frecuentes sin mantener la infraestructura |
| Cyber Range como servicio (CRaaS) | Accedes a la plataforma en la nube y pagas por uso | Empresas medianas y formación recurrente |
| Ejercicios puntuales | Un ejercicio concreto, con fecha y objetivo | Para empezar o probar un escenario concreto |
| Formación individual | Cursos y laboratorios para personas | Técnicos que quieren especializarse |
| Servicio personalizado | Réplica a medida de tu organización | Infraestructuras críticas y entornos OT |
¿Cuánto cuesta un Cyber Range?
La respuesta honesta: depende muchísimo, y casi ningún proveedor publica tarifas. El precio final suma varias piezas:
- Infraestructura: servidores propios o recursos en la nube.
- Licencias de la plataforma.
- Implantación y puesta en marcha.
- Personal especializado para operar el laboratorio y dirigir los ejercicios.
- Diseño de escenarios, sobre todo si son a medida.
- Mantenimiento para que la réplica no se quede desfasada.
- Formación de los participantes.
- Almacenamiento y recursos cloud durante los ejercicios.
- Evaluación y documentación de resultados.
Lo que sí está publicado
- Pentest de referencia: un proveedor español, Hard2bit, publica en 2026 precios desde 1.490 euros para un pentest web o de API limitado y desde 2.500 euros para un pentest externo de infraestructura, sin IVA. Como referencia de mercado, ese mismo proveedor sitúa una web sencilla entre 2.000 y 6.000 euros y los alcances complejos a menudo por encima de 15.000.
- Red Team: los proveedores no suelen publicar tarifas. Son proyectos de varias semanas y bastante más caros que un pentest.
- Plataformas de Cyber Range: TECNALIA, Airbus y RISE no publican precios; CybExer cobra por uso, pero tampoco publica importes.
- Una referencia pública, pero no comparable: en diciembre de 2025, el Consejo de Ministros autorizó un contrato con un valor estimado de 57,85 millones de euros para que Indra desarrolle un Cyber Range clasificado para la formación ciber de las Fuerzas Armadas, según El Debate. Es un proyecto militar de enorme escala y no sirve como referencia para una empresa.
¿Construir o contratar?
Para la mayoría de empresas tiene más sentido contratar un servicio externo o un Cyber Range como servicio: no hay que mantener infraestructura, pagas por lo que usas y tienes acceso a escenarios ya preparados. Construir uno propio solo compensa si vas a hacer ejercicios con mucha frecuencia, tienes un equipo técnico estable o necesitas reproducir sistemas muy específicos que no puedes sacar fuera, como algunos entornos OT.
Vídeos: cómo trabaja un equipo Red Team y cómo responde un Blue Team
Explicación: Red Team y Blue Team
Rojo ataca, azul defiende. Este vídeo explica muy bien los dos papeles de cualquier ejercicio.
Fuente: Campus de Ciberseguridad · en español · Ver en YouTube
Empresa: Indra
Y así es por dentro un centro de operaciones de ciberseguridad, el «puesto de vigilancia» digital: Indra Group enseña el suyo.
Fuente: Indra Group · en español · Ver en YouTube
Casos reales: qué está documentado y qué no
La teoría está muy bien, pero se entiende mejor con casos. Antes, un aviso para leerlos bien. Distinguimos tres tipos de resultados: medidos (con cifras contrastables), declarados (la organización cuenta una mejora, pero sin datos independientes) y capacidades anunciadas (lo que una plataforma dice que puede hacer). Y una advertencia: no hemos encontrado ningún caso público que demuestre que un Cyber Range evitó un ciberataque real. Lo que sí hay son ejercicios bien documentados.
Indra y la Policía Nacional: WannaCry en laboratorio
Ejercicio de formación · España, 2019
En junio de 2019, más de cincuenta agentes de la Policía Nacional se enfrentaron a una recreación del famoso ransomware WannaCry en la plataforma Cyber Range de Indra, durante el congreso C1b3rwall de la Academia de Ávila, según contó la propia empresa. Divididos en siete equipos, tuvieron que limpiar equipos infectados, identificar el malware y recuperar los datos. Fue un entrenamiento, no un ataque real, y es un buen ejemplo de colaboración público-privada, en la línea de el programa Red Azul o el Programa Coopera.
Tipo de resultado: ejercicio de formación con resultados declarados por la empresa. Fuente: Indra, junio de 2019.
Locked Shields 2026: el mayor ejercicio de ciberdefensa del mundo
Tipo de resultado: ejercicio con clasificación de equipos; no mide prevención de ataques reales. Fuente: CCDCOE.
CISA: dos organizaciones, dos resultados
Evaluación real autorizada · Estados Unidos, 2026
La agencia estadounidense CISA publicó el 25 de agosto de 2026 el aviso «A Tale of Two SOCs» (AA26-237A), que compara dos evaluaciones Red Team simultáneas en infraestructuras críticas. En la primera, del sector de servicios gubernamentales, el equipo atacante llegó hasta sistemas sensibles y nadie se dio cuenta. En la segunda, de agua y aguas residuales, el SOC detectó el ataque y aisló los equipos en cuestión de minutos. Aun así, cuando CISA simuló que el intruso ya estaba dentro, su equipo terminó haciéndose con el control del dominio. La moraleja de CISA: las herramientas valen lo que valgan las personas y los procedimientos que hay detrás.
Ojo: no es un Cyber Range, sino una evaluación Red Team sobre sistemas reales. Lo incluimos porque muestra justo lo que un laboratorio permite entrenar antes. Fuente: CISA, aviso AA26-237A.
Aeropuertos: probar sin parar la operación
Recomendación sectorial · Aeropuertos, 2025
En septiembre de 2025, un ciberataque contra un proveedor de software de facturación y embarque obligó a varios aeropuertos europeos a volver al papel y al bolígrafo. Un mes antes, en agosto, ACI Europe había publicado unas directrices para hacer pruebas de penetración en los sistemas operativos e industriales de los aeropuertos minimizando las interrupciones. Y tras el ataque, Cipher, la unidad de ciberseguridad del Grupo Prosegur, recomendó auditorías periódicas que incluyan también a los proveedores. Ojo: son recomendaciones, no un caso de éxito.
Fuentes: Passenger Terminal Today sobre ACI Europe y Cipher.
La nueva superficie de ataque: asistentes de IA, RAG y agentes conectados
La inteligencia artificial ya está en muchas empresas: asistentes que responden dudas, sistemas que consultan documentos internos (lo que se llama RAG) y agentes capaces de enviar correos o mover archivos por su cuenta. Como pasa con la robótica y la IA en la seguridad privada, cada nueva capacidad es también una nueva puerta para los atacantes.
El riesgo más comentado es la inyección de instrucciones: engañar a la IA con palabras para que se salte sus normas, ya sea escribiéndolo en el chat (directa) o escondiéndolo en un documento o un correo que la IA leerá después (indirecta). El perfil de IA generativa del NIST (AI 600-1) incluye la seguridad de la información y la privacidad entre sus doce riesgos, y MITRE ATLAS recopila tácticas de ataque contra sistemas de IA. La lógica es la de siempre: mejor descubrir el fallo en una prueba que en un incidente, así que cualquier IA conectada a los datos de la empresa merece su propia auditoría.
| Riesgo de IA | Ejemplo empresarial sencillo | Defensa prioritaria |
|---|---|---|
| Inyección directa | Un usuario logra que el chatbot revele sus instrucciones internas. | Filtros y no confiar secretos al modelo. |
| Inyección indirecta | Un currículum con texto oculto manipula al asistente de selección. | Contenido externo como no fiable y revisión humana. |
| Fuga de datos | El asistente muestra nóminas a quien no debe verlas. | Control de acceso por usuario. |
| Documentos contaminados | Un manual alterado lleva a respuestas erróneas. | Control de origen y cambios de las fuentes. |
| Exceso de permisos y abuso de herramientas | Un agente reenvía información tras leer un correo malicioso. | Mínimo privilegio, acciones permitidas y aprobación humana. |
| Suplantación con IA | Una voz clonada del director pide una transferencia. | Verificación por otro canal. |
| Ataques de coste | Peticiones masivas disparan la factura del servicio. | Límites de uso y alertas de consumo. |
Más allá de la IA, las defensas de siempre siguen siendo la base: dar a cada usuario solo los permisos que necesita, separar la red por zonas, usar doble factor de autenticación (MFA), protección avanzada en los equipos (EDR), un sistema que registre y analice la actividad (SIEM), copias de seguridad que no se puedan borrar ni cifrar y practicar con regularidad. La segunda parte de nuestro análisis sobre robótica e IA amplía este enfoque.
Hacia dónde va el Cyber Range: tendencias 2026-2030
Aquí conviene separar lo que ya se puede comprar de lo que todavía está en el laboratorio de los investigadores:
- Ya disponible: plataformas en la nube que se contratan como servicio, gemelos digitales e integración de escenarios IT y OT, que proveedores como Airbus o CybExer anuncian en sus catálogos, y ejercicios con equipos en varias sedes a la vez.
- En desarrollo e investigación: la generación automática de escenarios con inteligencia artificial y el análisis automatizado de los resultados de cada ejercicio.
- Tendencias emergentes: agentes de IA que ayudan al equipo defensor y entrenamientos de equipos mixtos de personas e IA.
- Hipótesis de futuro: laboratorios capaces de simular por sí solos amenazas que todavía no existen. Hoy por hoy es más una idea que una realidad.
Y un aviso sobre la IA: también se equivoca. Puede generar escenarios poco realistas, depende de la calidad de los datos con los que trabaja, crea dependencia tecnológica y produce falsos positivos. Por eso la supervisión humana sigue siendo imprescindible.
Cómo medir si el ejercicio ha servido
Un ejercicio sin números es una anécdota. Estos son los indicadores más útiles:
| Indicador | Qué mide |
|---|---|
| Tiempo medio de detección (MTTD) | Cuánto se tarda en darse cuenta del ataque desde que empieza |
| Tiempo medio de respuesta (MTTR) | Aquí lo usamos como el tiempo desde la detección hasta que se actúa para frenarlo; hay quien lo define como tiempo hasta la recuperación, así que pacta la definición antes |
| Tiempo de contención | Cuánto se tarda en impedir que el ataque se extienda |
| Tiempo de recuperación | Cuánto se tarda en volver a funcionar con normalidad |
| Escenarios superados | Cuántos de los objetivos de defensa se cumplieron |
| Eficacia de las alertas | Qué alertas saltaron, cuáles no y cuántas fueron falsas alarmas |
| Fallos de procedimiento | Pasos que no se siguieron o que no estaban escritos |
| Cumplimiento de objetivos | Si el ejercicio respondió a la pregunta que se planteó al principio |
| Coordinación entre departamentos | Si IT, seguridad física, operaciones y dirección se entendieron a tiempo |
Dos consejos. Primero, mide una línea base en el primer ejercicio y repite escenarios comparables para ver si mejoras. Segundo, no te fíes ciegamente de los números: lo que se consigue en un entorno simulado no tiene por qué coincidir con lo que pasaría en un ataque real.
En resumen: probar antes para no improvisar después
Piénsalo así: una ronda o un simulacro de evacuación no buscan pillar a nadie, sino descubrir fallos antes de que importen. Con un Cyber Range pasa igual. No se trata de «jugar a hackear», sino de saber de verdad cómo de expuesto estás, entrenar a tu gente y llegar mejor preparado al día que toque. No garantiza que nunca te ataquen, pero sí que no te pille de nuevas. Por eso interesa también a quien protege instalaciones, y ferias como Exposecurity 2026 en Madrid demuestran que la seguridad física y la digital van cada vez más de la mano.
Vídeos: seguridad de la IA y protección frente a la inyección de instrucciones
Explicación: IBM
¿Cómo puede un simple texto engañar a una IA? IBM lo explica en pocos minutos.
Fuente: IBM Technology · en inglés, con subtítulos automáticos · Ver en YouTube
Empresa: Telefónica
Hackers «buenos» contratados para atacar a la propia empresa. Telefónica explica en qué consiste el hacking ético.
Fuente: Telefónica · en español · Ver en YouTube
Preguntas frecuentes sobre el Cyber Range
¿Qué es un Cyber Range?
Es un entorno controlado donde se recrean, simulan o emulan sistemas y amenazas para ensayar ciberataques y respuestas sin poner en riesgo los sistemas reales.
¿Para qué sirve?
Para entrenar a los equipos, comprobar que los procedimientos funcionan, ensayar la recuperación tras un ataque y practicar la coordinación entre departamentos.
¿Cómo funciona?
Se diseña un escenario, se monta un laboratorio aislado con datos inventados, se lanza un ataque autorizado y se mide cómo detecta y responde el equipo defensor. Después se corrigen los fallos y se repite.
¿Qué diferencia hay entre un Cyber Range y un pentest?
El pentest comprueba si unos fallos concretos de tus sistemas se pueden aprovechar. El Cyber Range es un entorno aislado para entrenar y ensayar respuestas. Son complementarios.
¿Puede simular ataques de ransomware?
Sí, es uno de los escenarios más habituales: se comprueba si el cifrado se detecta a tiempo y si las copias permiten recuperar la actividad.
¿Es necesario copiar toda la infraestructura de la empresa?
No. Muchos Cyber Range usan escenarios genéricos o replican solo las piezas que interesa probar.
¿Qué riesgos tiene?
Si el aislamiento falla, un ejercicio podría afectar a sistemas reales, y si se usan datos personales sin proteger, puede haber problemas de privacidad. Por eso hacen falta aislamiento, datos inventados, autorización y un responsable que pueda parar el ejercicio.
¿Cuánto cuesta un Cyber Range?
Casi ningún proveedor publica precios: se presupuesta según participantes, días, escenarios y si hay que construir una réplica a medida. Como referencia, un pentest web limitado parte de unos 1.500 euros.
¿Qué empresas ofrecen Cyber Range en España?
Entre otras, TECNALIA tiene un laboratorio de Cyber Range en Vitoria-Gasteiz e Indra ha desarrollado plataformas para la Policía Nacional y las Fuerzas Armadas. También operan en España proveedores internacionales.
¿Es obligatorio para cumplir NIS2 o DORA?
No. Ninguna de las dos obliga a contratar un Cyber Range. Puede ayudar a preparar las pruebas que piden, pero un laboratorio aislado no sustituye a una TLPT de DORA, que se hace sobre sistemas de producción.
¿Puede usarse en sistemas de seguridad física?
Sí. Se pueden emular cámaras IP, controles de accesos o sistemas de gestión de edificios para ensayar qué pasa si fallan y cómo se coordinan los equipos.
¿Cómo sé si mi empresa necesita uno?
Si dependes de sistemas que no pueden parar, tienes un equipo de seguridad que necesita practicar o ya has hecho pentests y quieres ir un paso más allá, merece la pena planteártelo. Si estás empezando, primero un análisis de vulnerabilidades y un pentest acotado; la línea 017 de INCIBE te puede orientar gratis.
Fuentes oficiales y documentos consultados
- Directiva (UE) 2022/2555 (NIS2), artículos 20 y 21.
- Reglamento (UE) 2022/2554 (DORA), artículos 24 a 26.
- Real Decreto 311/2022, Esquema Nacional de Seguridad.
- Reglamento (UE) 2016/679 (RGPD), artículos 5, 25 y 32.
- Código Penal, artículos 197 bis y 264.
- NIST AI 600-1, perfil de IA generativa.
- CISA, aviso AA26-237A.
- INCIBE, guía de ransomware para empresarios.
