Ciberseguridad en Infraestructuras Críticas

Esta mañana he acudido, como representante de Coteco, a la Jornada de "El Economista" sobre la Protección de las Infraestructuras Críticas en España.

La apertura de la jornada ha corrido a cargo de D. Javier Candau, Jefe del departamento de Ciberseguridad del CCN (Centro Criptológico Nacional). Buen orador, se le entiende con mucha claridad. Por lo menos yo he entendido algunas cosas...

"Si no estás pagando por el producto... tú eres el producto" Es sencillo, lo deberíamos tener todos en mente siempre.

No quiero aburrir con datos, unas pinceladas tan solo. Durante 2017 España ha sufrido más de 26.000 ataques ciber, de los que aproximadamente 1.200 son calificados como muy graves -de estos, el 4,5% críticos-.

Para reflexionar un poco. ¿Qué consideramos "crítico"? ¿Acaso un estadio de fútbol con 80.000 espectadores no es una infraestructura -en ese preciso momento- crítica?  ¿Por qué nos preocupamos tanto de la seguridad en las Redes IT y tan poco en las OT, cuando todo esta interrelacionado y cada vez más? Y por último... como siempre (o me parece a mi) ¿Por qué no se ha desarrollado la
transposición de la Directiva Europea NIS de Ciberseguridad, sí ya tendría que haber entrado en vigor el pasado mes (Directiva 1148/2016 de 06 de Julio ¡Ya ha llovido (y nunca mejor dicho)!?

Se ha creado un sistema centralizado de recogida de "incidentes" llamado LUCÍA que funciona como una especie de "ventanilla única" y facilita el proceso.

Por último, dejo la imagen del "decálogo" de la ciberseguridad en España

Posteriormente se ha celebrado una mesa redonda entre personalidades de la protección ciber, precisamente de algunas de estas infraestructuras críticas o de empresas que luchan contra ella: Sociedad Nuclear Española, Telefónica, Kaspersky, Oracle, Global Omnium.

Muy interesante también, aunque me limitaré a dar algunas pinceladas:

• La Ciberseguridad no da votos, es por tanto difícil conseguir la financiación necesaria del político de turno
• Tenemos herramientas, pero no sabemos usarlas, o directamente no las empleamos como cuando autorizamos todos los requerimientos de un a APP  para instalarla en nuestro móvil.
• Perseguir a los ciberdelincuentes es complejo, difícil y largo, pero si se consigue, llevarles ante la Justicia, sobre todo si hay que poner de acuerdo a jueces de distintos países, es casi un imposible.
• Aunque Ley y Reglamento marquen sanciones tras los ataques, la responsabilidad normalmente es compartida entre proveedores de sistemas, cloud, distribuidores, etc. Acabemos con el "barato" y demos peso al "bueno y el bonito", usemos plataformas certificadas, productos comprobados, etc
• En breve, igual que se clasifica la solvencia de entidades financieras, se hará igualmente un scoring de ciberseguridad en todo tipo de empresas.
• Si la tecnología evoluciona con enorme rapidez, los ataques lo hacen aun más rápido. Lo más importante es la capacidad de respuesta  inmediata ante el ataque.

La seguridad -ciberseguridad en este caso- está formada por personas, procesos y tecnología, por lo que su "pata" más débil es precisamente la humana. Las barreras, las tecnologías, los filtros, etc, nunca podrán dar seguridad al 100%; ¿De qué me sirven todas las barreras si, a la hora de la verdad, acepto cualquier cosa? Empecemos a aplicarnos el cuento o mañana ya será tarde.