A nivel ciberseguridad, ¿cómo se encuentran las Administraciones Públicas?
J. M. P.: Lo que percibimos desde Innovery es que los responsables de las Administraciones Públicas están muy concienciados de los peligros que hay a nivel de ciberseguridad. No obstante, debido a la gran complejidad y tamaño de estos entornos, es necesario proporcionarles suficientes recursos, tanto a nivel presupuestario como de personal, que les permitan asegurar la continuidad del servicio contratado. La seguridad es un proceso de calidad continuo, que debe mantenerse día a día para obtener resultados. Por lo que este es un punto fundamental en el que se debe reflexionar.
El pasado 2022 se registraron más de 350.000 incidentes en el ámbito público, ¿han cambiado los ciberdelincuentes su foco de ataque?
J. M. P.: Al final las cadenas se rompen por el eslabón más débil y, en el caso de las organizaciones, el eslabón más débil de la ciberseguridad es el ser humano. Los ciberdelincuentes atacan de manera indiscriminada a todas las organizaciones, sin tener en cuenta su titularidad. Aunque algunas organizaciones pueden ser objeto de ataques específicos, como el hacktivismo o motivos políticos, estos casos son menos comunes. Los ciberataques continúan evolucionando, y los delincuentes están constantemente buscando nuevas formas de explotar las debilidades humanas, siendo la ingeniería social su técnica más utilizada. Por esta razón, es crucial que pongamos a las personas en el centro de nuestra estrategia de ciberseguridad, y que comprendamos las diversas amenazas que enfrentamos en este nuevo entorno. Se trata de un asunto humano, no simplemente técnico, desde luego.
¿Qué deben plantearse las administraciones públicas a la hora de hacer frente a estos ataques?
J. M. P.: Las Administraciones Públicas deben plantear soluciones tanto a retos tecnológicos como humanos. Dentro de la parte del personal, es fundamental desarrollar un servicio que incluya dos componentes clave: concienciación y respuesta. La concienciación debe proporcionar información sobre las tipologías de ataques y armas más utilizadas por los ciberdelincuentes y cómo podemos ser susceptibles a ellos. En la parte de respuesta, se deben proporcionar indicaciones sobre cómo actuar en caso de detectar un posible ataque, cómo alertar a los sistemas técnicos de la organización, qué hacer después del aviso, cómo responder a nivel técnico, etc.
Es fundamental que el personal comprenda que son una parte esencial en la protección, detección y respuesta ante incidentes de seguridad, así como los riesgos asociados en este nuevo entorno. De esta manera, podrán ayudar al equipo técnico y ser parte de la estrategia de protección de la organización.
Por otro lado, desde el punto de vista técnico, es esencial ser conscientes de que es muy probable que suframos un ciberataque que bloqueará nuestros sistemas, ya que muchos de los ataques actuales buscan hacer precisamente eso, y exigir un rescate a cambio, lo que se conoce como ransomware. Debemos estar preparados tanto si esto ocurre como no, pues cualquier empresa u organización puede ser objetivo de ataque. Es posible que se de algún fallo, ya sea en el momento de protección, detección o de respuesta, pero nuestros esfuerzos deben estar en la fase de recover, pues es vital para que la actividad de la institución continúe.Es importante destacar que contar con una plataforma sólida de protección de correo electrónico es fundamental, ya que es la principal vía de entrada para los ataques a las organizaciones. Otro aspecto a tener en cuenta es la distribución de información. La pandemia ha tendido a incrementar aún más la distribución de información y de los profesionales que acceden a ella. Para proteger y controlar esta información, ya que es el activo más importante de la organización, es necesario saber dónde está, quién accede a ella y ser capaces de protegerla, utilizando tecnologías SSE, teniendo en cuenta la protección End Point, etc.
¿Qué papel juega la concienciación en este contexto?
J. M. P.: Los principales avances en la defensa de los activos digitales tienen que ver con el rol del usuario final y las políticas de seguridad dirigidas hacia ellos. Por lo que la mejor defensa contra los ciberataques es la concienciación. Sin embargo, no se trata de una concienciación superficial. Esta debe ser profunda y efectiva, donde se busque transmitir a los trabajadores que son una parte fundamental en la protección, detección y respuesta ante incidentes digitales, enseñarles cómo identificar una amenaza y cómo deben reaccionar y actuar ante ella en su día a día.
Además, involucrarlos en el proceso de seguridad convierte a los empleados en parte de la estrategia de protección de la compañía y en una gran ayuda para la parte técnica de la ciberseguridad. En estos casos, la solución depende de la unión organización-empleado: si los empleados no son conscientes de los peligros, no tomarán medidas para evitarlos, poniendo en riesgo la seguridad de toda la institución. Por otro lado, si no se establecen políticas claras y efectivas para informar sobre estos peligros, los trabajadores no serán conscientes del importante papel que desempeñan en la seguridad digital de la organización. Es fundamental entender que no solo el equipo TI es responsable de la ciberseguridad, todos los empleados son vulnerables a los ataques y deben asumir la responsabilidad de proteger la seguridad digital de la organización.
¿Qué cambio necesitan las AAPP en materia de ciberseguridad?
J. M. P.: Creemos que los responsables de las AAPP están plenamente conscientes y sensibilizados con la necesidad de inversión en ciberseguridad. El punto es que tengan el presupuesto necesario para poder dotar esos proyectos, no solo de adquisición de nuevas tecnologías o de sustitución de tecnologías más antiguas, sino de servicios que les permitan mantener la seguridad a largo plazo. Como comenté antes, la ciberseguridad es un proceso de calidad continuo, por lo que tiene que haber un nivel de inversión y gasto servicios que permita mantener el servicio, para así poder obtener resultados.
¿De qué manera los fondos NextGen europeos pueden contribuir a mejorar la inversión en esta materia?
J. M. P.: Hay dos grandes bloques que nos pueden ayudar en la mejora de la ciberseguridad: la tecnología y las personas. Pero todo esto yace en la situación económica. Al final hay que dotar presupuestariamente a esos proyectos y servicios, que pueden suponer un cambio, y poder mantenerlos a lo largo del tiempo, dando un servicio continuado. Si queremos tener un buen nivel de protección necesitamos tecnología, pero también disponer de un equipo que sea capaz de mantenerlo, hacerlo evolucionar y operarlo día a día, por lo que los fondos NextGen pueden ser una ayuda fundamental en este punto.
