Madrid
Los confinamientos por la pandemia del coronavirus evidenciaron la necesidad de tener una protección básica en la red ante la constante amenaza de que alguien entrase en nuestro sistema y robase nuestros datos, dinero, o suplantara nuestra identidad. Se trabajaba en remoto (como sigue siendo habitual) y se realizaban compras prácticamente en exclusiva a través de internet. Ahora, además, el conflicto en Ucrania ha puesto sobre relieve que las guerras no solo son el intercambio de disparos entre dos beligerantes sino que la guerra informática toma especial protagonismo en la guerra moderna.
A estos y otros retos de ciberseguridad se enfrentan las empresas de un país, con más énfasis en aquellas que son parte de la infraestructura crítica necesaria para que el mismo funcione. Los datos (y garantizar que no acaben en malas manos) se han convertido en el principal activo del mundo y la ciberseguridad se ha vuelto indispensable para minimizar el hackeo o los secuestros de información.
Los ataques informáticos crecen día a día, siendo difícil preverlos o saber que los has sufrido, y defender la estructura digital de un país requiere de tres cosas para que la transformación digital siga su curso: más tecnología, más inversión y más talento humano. Y es que sin ciberseguridad no habrá avances en esta línea, como recoge el consenso generado en el VII Foro de Ciberseguridad, organizado por elEconomista.
El tráfico de datos ya genera más dinero que el mercado negro de armas y mientras sigan existiendo individuos (y hasta organizaciones apoyadas por países, que supone un crimen como servicio de Estado) que saquen beneficio de ello la ciberseguridad será el único escudo contra esta amenaza. "Si el cibercrimen fuera una economía, se situaría como el tercer país del mundo por detrás de Estados Unidos y China", sintetizó el director de Ciberseguridad de Cisco, Ángel Ortiz, para ejemplificar el alcance de los crímenes en la red. El responsable de Cisco asegura que al día se detectan más de 20.000 millones de amenazas en internet, lo que supone más de 2,5 eventuales riesgos por habitante del planeta. "Este es el reto al que nos enfrentamos todos los días los que nos encargamos de proteger datos", según Ortiz.
El cibercrimen se ha sofisticado
Y es que aunque los crímenes siguen siendo en esencia los mismos sus métodos se vuelven cada vez más complejos, como reconoce el CISO (responsable de ciberseguridad, en inglés) de EVO Banco, Jaime Castro. Sin embargo, el experto de la entidad entiende que las empresas españolas han hecho los deberes en la materia. No en vano, España se sitúa como el cuarto país a nivel mundial en ciberseguridad. Sin embargo, no hay que bajar la guardia porque las amenazas siguen existiendo, según Castro. "Es básico mejorar el grado de conocimiento del usuario y que sepan las herramientas que tienen a su alcance para protegerse", apunta el responsable de EVO Banco.
En esta línea también se mueve el CISO de Cepsa, Rafael Hernández, quien considera esencial proteger a uno de los eslabones más vulnerables de la cadena (el usuario) mejorando la concienciación del ecosistema, tanto individual como en el entorno empresarial, donde también se producen grandes brechas de seguridad. "Tenemos que dar el siguiente paso para que nuestros compañeros puedan abordar este problema y segurizar a las empresas más pequeñas", según el CISO de Cepsa.
Y es que en el seno de este coloquio se llegó al consenso de que las grandes compañías tienen buenos protocolos de seguridad (lo que no garantiza que no se puedan recibir ataques) mientras que las más pequeñas no suelen tener como prioritario para su negocio los cortafuegos contra amenazas en la red. Esto supone un riesgo para el conjunto de la cadena empresarial, dado que si una empresa subsidiaria o un proveedor es vulnerado por un ataque informático puede suponer el punto de entrada para una infección mayor.
"Cada organización depende de otros cientos que pueden afectar a la cadena. Al final el ataque viene por el que menos protegido está", apunta el Head of Strategic Demand Generation en SIA, en el seno de Indra, Javier Jarauta quen también entiende que la transformación digital no puede prosperar si no existe una seguridad en la red. "Hay que hacer un esfuerzo para que las pymes se preocupen por esto", entiende el responsable en seguridad para Indra. Además, varios ponentes defendieron la falta de transparencia a la hora de conocer el ataque a una compañía que puede afectar al resto y, por tanto, dificulta detectar el origen.
La Ciberresiliencia
En España hay cerca de 400 infraestructuras críticas para su correcto funcionamiento, según calcula el Head of Cyber Security Business de Evolutio, Ricardo Sanz, "y el 80% de ellas está gestionado por empresas privadas". "Nos tenemos que apoyar en la tecnología, proveedores, pero también en partners con los que ayudar a que el cliente se mueva en un marco de cibersegurdad adecuado", apunta el responsable de Evolutio.
Ante unos ataques cada vez más veloces e impredecibles, la mejor estrategia no es solo la defensa, sino también tener preparados planes de contingencia o de crisis con los que reponer los sistemas de la forma más rápida. En el sector es recurrente la frase: "Hay dos tipos de empresas: las que han sido atacadas y las que lo han sido pero todavía no lo saben". En esta línea el CISO de Cepsa pone en valor los planes continuidad de negocio en caso de ataque "no como un Plan B, sino como el prioritario". "Siempre decimos que los que están fuera [los criminales] van un paso por delante. Cuanto más estrechemos la brecha con ellos, mejor preparados estaremos", sintetiza Ricardo Sanz de Evolutio. Por eso el director de Ciberseguridad de Cisco, Ángel Ortiz, aboga por mantener la tecnología actualizada y ser capaces de detectar ataques antes de que sucedan. "Todo lo que sea coordinar los sistemas [entre empresas o instituciones] es positivo. Pero hay mucho que hacer en esta línea".
Para conseguirlo, estos expertos consultados por elEconomista concuerdan en que la inversión es uno de los pilares esenciales, como también lo es el talento. Lamentablemente para este segundo punto ponen en valor la falta de capital humano especializado en la materia y la escasa oferta formativa. Por la parte de la inversión, no solo se apuntó en el VII Foro de Ciberseguridad la necesidad de no reducir las partidas, sino también concentrar los recursos para mejorar la eficiencia. "Esto no consiste en tocar techo. Consiste en evaluar los riesgos, acotarlos y trabajarlos. Y cuando lo tienes, volver a empezar", explica el CISO de EVO Banco.
