Con el internet de las cosas, los riesgos y la gravedad de los ciberdelitos crecen de forma exponencial

José Vicente Morata (Cámara Valencia), Margrete Raaum (FIRST), Vicent Soler (Conselleria de Hacienda), Miguel A. Juan (S2 Grupo), Vicente Aguiló Lucia (Conselleria de Hacienda), y José M. Rosell (S2 Grupo)

En las instalaciones de Adeit en Valencia se celebró, los pasados días 23, 24 y 25 de enero, un Congreso Mundial del que apenas trascendió más allá de la noticia de su inauguración, a pesar de que durante tres días estuvieron en Valencia cerca de 200 especialistas inernacionales de primer nivel, en una de las materias que más preocupan en estos momentos a gobiernos y grandes corporaciones: la ciberseguridad. Si no fuera por el temario del congreso -articular respuestas coordinadas a los ciberataques-, la falta de información y noticias sobre su desarrollo sería cuanto menos extraña, pues uno de los objetivos de cualquier congreso es lograr la mayor trascendencia ciudadana en el lugar de celebración. 

«Al tratarse de ciberseguridad, debemos cambiar el concepto. Todos los años, este evento es de acceso restringido. Hasta el extremo de que los asistentes son muy susceptibles a que les hagan fotos pues, buena parte de ellos trabaja en proyectos confidenciales”, explica José M. Rosell, socio-director de S2 Grupo.

Una vez al año, la asociación europea TF CSIRT y la mundial FIRST se coordinan para hacer un congreso mundial conjunto en el que intercambiar experiencias y conocimientos sobre la lucha contra la ciberdelincuencia. El de Valencia fue ese congreso mundial conjunto de las dos organizaciones que agrupan a todos los CERT homologados y reconocidos.

Y la empresa valenciana de ciberseguridad S2 Grupo actuó de entidad anfitriona. “Ambas asociaciones tienen sus propios comités para organizar contenidos, ponentes, inscripciones, etc. Nosotros les hemos ayudado en las cuestiones logísticas del montaje del evento”, describe Miguel A. Juan, socio-director junto a José M. Rosell de S2 Grupo.

En las sesiones de Valencia participaron más de 200 congresistas, que vinieron de unos 40 países, en representación de unos 90 CERT. Hay que tener presente que en todo el mundo tan solo hay 369 CERT repartidos en 79 países. “El objetivo de estas agrupaciones internacionales de CERT es el intercambio de información, porque hay una premisa básica: si tu vecino está siendo atacado, tarde o temprano tú serás atacado con lo mismo que tu vecino. Por eso, todos los CERT compartimos información, porque lo que te pase a ti me pasará a mí”.

– En todo congreso suele haber un lema que resume las prioridades de las sesiones. El Congreso de CERT celebrado en Valencia, ¿qué lema tenía?

Miguel Á. Juan: En estos congresos no hay lema. Las personas que quieren hacer una presentación, envían una propuesta-resumen de dicha presentación, a la que se le asigna un código de color -blanco, verde, ámbar o rojo-, que nos indica el grado de confidencialidad de lo que van a exponer, para que se sepa qué perfil de gente puede participar en la sesión.

José M. Rosell: El sistema de código de colores se utiliza siempre, incluso para enviar y compartir información entre los CERT sobre incidentes, porque hay información que está clasificada y marcada con rojo, a la que solo pueden acceder determinados CERT gubernamentales y las entidades que colaboran con ellos, y el resto no pueden acceder. Por ejemplo, el CERT del Centro Criptológico Nacional (CCN), tiene reglas sensibles a las que no podemos acceder ni siquiera nosotros, que somos entidad colaboradora y las despliegan donde ellos las necesiten. Puede que les interese compartir dicha información con otro CERT similar de otro país, porque a lo mejor estamos hablando de cuestiones relacionadas con la seguridad nacional o la defensa militar.

Miguel Á. Juan: Incluso dentro de un CERT, hay personas con un nivel de acceso e información, y otras con otro nivel de acceso y conocimiento.

– Si no hubo lema del congreso, al menos sí se extraerían algunas conclusiones.

José M. Rosell: Quedó patente, una vez más, que están creciendo mucho los incidentes y, por lo tanto, las amenazas se incrementan de forma exponencial a la misma velocidad e intensidad que aumenta la tecnología, pero la ciberseguridad siempre va un paso retrasada respecto a las ciberamenazas.

Miguel Á. Juan: Hace apenas unos días, los holandeses han anunciado que en las próximas elecciones que van a celebrar, el sistema de recuento de votos será manual porque temen una intervención rusa en los sistemas automáticos de conteo. Cuando el Gobierno de un país democrático y tecnológicamente avanzado como Holanda decide contabilizar los datos manualmente para no correr riesgos, es para preocuparse seriamente.

La tecnología nos dice que los coches autónomos serán factibles en breve. Es más, estoy convencido de que, si todos los vehículos que hay en estos momentos fueran autónomos, habría muchísimos menos accidentes, porque siempre es más fiable un sistema automático que de un conductor humano. Pero imaginemos que con coches autónomos circulando por todas partes, un hacker terrorista se hace con el control de los vehículos. La situación que se plantea es espantosa.

– Deduzco de lo que dice que el gran riesgo de la ciberdelincuencia es cuando la relacionamos con el internet de las cosas (IoT).

Miguel Á. Juan: Efectivamente. Hay que tener presente que todos los dispositivos se van a conectar cada vez más: teléfono, coche, zapatos, ropa, casa, etc. En el ámbito particular, todo estará conectado para hacernos la vida muchísimo más cómoda; y en el ámbito laboral vamos hacia una interconexión cada vez mayor, para ganar en eficiencia, eficacia, fiabilidad, etc. Los humanos nos dedicaremos a hacer lo que nos guste, y eso lo haremos mil veces mejor de lo que lo podamos hacer ahora.

Pero esas grandísimas oportunidades que nos abre el internet de las cosas, la interconexión de las máquinas, pueden convertirse es terribles amenazas si no somos conscientes de la necesidad de aplicar medidas de ciberseguridad y los ciberdelincuentes hacen un mal uso de la nueva situación creada

– Ante ese horizonte, ¿cuál debe ser la respuesta de las empresas? ¿Contratar profesionales en plantilla para defenderse de los ciberataques?

José M. Rosell. No tiene mucho sentido que empresas que no se dediquen específicamente a esto, tengan especialistas en ciberseguridad en su plantilla, porque son perfiles muy escasos con un conocimiento muy especializado que no suele estar en línea con los conocimientos requeridos para el desarrollo de negocio de las compañías y que necesitan una formción e intercambio continuo de información con personal de equipos equivalentes. En nuestra opinión, la mejor solución para las empresas es subcontratar este tipo de actividades tan específicas a equipos de expertos que puedan acreditar tanto el conocimiento como las certificaciones personales y de empresa adecuados.