Opinión
Leer las noticias en los periódicos cada día especialmente en el plano internacional se hace complicado. Conflictos y tensiones geopolíticas, algunos muy visibles en la prensa generalista, otros menos, aparecen y se prolongan en el tiempo mucho más allá de las fronteras de lo razonable, generando consecuencias inaceptables en términos de sufrimiento humano. Estas tensiones están provocando una tendencia cada vez más proteccionista e individualista de los estados, bloques aliados más o menos definidos que se apoyan entre sí y se enfrentan entre ellos, a veces en clara guerra declarada en el plano físico, y otras, en una guerra no declarada en el plano virtual, pero igualmente relevante y de consecuencias también preocupantes. La guerra en el ciberespacio no es nueva, y en muchos ámbitos pasos previos como el espionaje o el compromiso silencioso de objetivos del posible bando rival, de sus infraestructuras críticas, de sus activos relevantes, en preparación ante un posible conflicto, pueden llevar años gestándose. Pero las consecuencias de estas acciones tan silenciosas pueden ser igual de impactantes que otras actividades más visibles en el plano físico. Yendo desde el mero espionaje por el interés de la información sensible, hasta la completa disrupción de servicios que pueden ser esenciales para la ciudadanía en momentos de conflicto. Lamentablemente hemos podido ver algunas de estas consecuencias en los ataques a sistemas de ferrocarriles en distintos países en el conflicto de Ucrania, o al gigante de telecomunicaciones Ucranio dejándolo sin servicio. Ante los conflictos, los ejércitos se rearman, los presupuestos de defensa crecen. Hemos visto el llamamiento de la OTAN a sus países a invertir un 2% de su PIB en la Defensa, que España todavía no ha logrado cumplir. La respuesta de los estados a esta escalada en el plano virtual no se ha hecho esperar, así hemos visto aparecer regulaciones con propósito cada vez más proteccionista como la ley de ciberseguridad del 5G o las nuevas directivas europeas NIS2 o DORA que están llamadas a ser traspuestas por los estados en los próximos meses. Ante este panorama cada vez más defensivo por parte de los gobiernos y estados, me cabe la reflexión, ¿saldremos de esta situación de tensión o escalada simplemente a base de individualismo y proteccionismo? Mi percepción es que probablemente no. ¿Qué podemos hacer? Pues prepararnos, transformar nuestra cultura y mentalidad para adaptarnos a un entorno virtual con otro nivel de riesgo. Igual que hicimos en el mundo físico. Ya no nos acordamos, pero hubo un tiempo en que las casas no tenían cerraduras, las ventanas no tenían rejas y los niños jugaban solos y tranquilos en las calles. El tráfico creciente en las calles, el crecimiento de las urbes donde los vecinos no se conocen tanto y el incremento de los riesgos ha hecho que nos adaptemos y cambiemos algunas de nuestras costumbres, añadiendo mecanismos de protección que hoy nos resultan normales, y que sin ellos nos sentiríamos vulnerables. Y no somos, creo menos felices por ello, simplemente nos hemos adaptado. El camino es esencialmente el mismo, tenemos que crear un nuevo estándar. Necesitamos construir un mundo donde los mecanismos básicos de protección no se discutan, se implanten de base (para esto son básicos). Tanto para empresas, gobiernos, como para los ciudadanos en general. Que la seguridad no sea un valor añadido, un extra, un adorno, que sea el pilar en la que asentamos un mundo virtual seguro. Que estos conocimientos, de nuevo, básicos, sean accesibles para todos. Que sea parte de la cultura de todos los individuos en la sociedad entender ciertos riesgos, y ciertos controles, y hacerlos parte de su vida. Laura Iglesias Head of Cybersecurity Spain & EU Cluster at Vodafone
15 Julio 2024
Opinión
La Inteligencia Artificial parece, de un modo u otro, haber invadido casi todos los espacios de nuestra vida. Recurrimos a ChatGPT buscando ayuda para revisar ese documento que tenemos pendiente, las funciones ya integradas en nuestro teléfono móvil empiezan a gestionar nuestra agenda y, en nuestro entorno laboral, los asistentes (copilotos) no solo automatizan procesos de manera autónoma, sino que gestionan nuestras reuniones, priorizando unas tareas sobre otras. En este nuevo escenario, los profesionales de Ciberseguridad comenzamos a plantearnos los beneficios que a medio y largo plazo tiene la Inteligencia Artificial a la hora de detectar, responder y prevenir amenazas, pero también nos planteamos los riesgos que supone desde un punto de vista del atacante. Sin duda, uno de los principales beneficios de la IA para ciberseguridad es su capacidad para identificar amenazas en tiempo real, al ser capaces de identificar patrones de ataque sin depender de la existencia de un patrón o una regla previamente definida. También nos van a ayudar a optimizar la gestión de vulnerabilidades, ya que seremos capaces de identificar posibles caminos de explotación de vulnerabilidades sin depender de la ejecución de ejercicios de Red Team o pentest. Y, en caso de incidente, los sistemas de respuesta basados en inteligencia Artificial son capaces de proveer una mejor capacidad de respuesta, conteniendo el incidente mediante la aplicación de bloqueos en tiempo real o de revertir cambios no autorizados en el sistema. Todo ello nos ayuda a reducir esfuerzos manuales y liberar recursos de analistas en el contexto actual de falta de profesionales de ciberseguridad. Pero del mismo modo, los profesionales de Ciberseguridad comienzan a plantearse los riesgos que la excesiva dependencia de la Inteligencia Artificial puede llegar a tener, así como el uso que los atacantes pueden hacer de la IA para lleva a cabo y optimizar sus técnicas de ataque. Por un lado, los sistemas de IA requieren grandes cantidades de datos para entrenar sus algoritmos, lo que plantea preocupaciones sobre la privacidad y la protección de datos, especialmente en un momento regulatorio tan importante como el que estamos viviendo. Por otro lado, los modelos de Inteligencia Artificial también pueden ser usados por los atacantes para automatizar y llevar a cabo ataques a gran escala. Podrían desarrollar malware más sofisticado, llevar a cabo ataques de phishing más efectivos y descubrir vulnerabilidades en tiempo real, reduciendo a segundos el periodo de tiempo que hay entre la identificación de la vulnerabilidad y el comienzo de su explotación. Todavía estamos viviendo los primeros días de lo que la IA puede hacer en el ámbito de la Ciberseguridad, y la pregunta es: ¿Qué veremos en el futuro? Una Inteligencia Artificial al servicio de los profesionales de la Ciberseguridad, ¿o modelos de ataque cada vez más eficientes gracias a una aplicación “maliciosa” de la IA? Yo personalmente quiero ser optimista, y creer que los beneficios que nos va a aportar nos van a hacer mejores y podremos ayudar a nuestras organizaciones a defenderse de una manera más efectiva. La industria tecnológica, y en especial aquellas compañías detrás del desarrollo de los modelos de IA, tienen una responsabilidad enorme para hacer que así sea y que no sean los atacantes los nos que ganen en esta batalla digital que libramos todos los días. Iván Sánchez CISO RSI
17 Junio 2024
Opinión
Si a principios del siglo XX alguien hubiese escrito un artículo sobre el futuro de la seguridad vial, seguramente habría vislumbrado un panorama bastante desolador. A medida que se popularizaba el uso del automóvil, iban aumentando los accidentes de tráfico, que llegaron a convertirse en la primera causa de muerte accidental. A pesar de los esfuerzos del regulador por crear una serie de normas de seguridad vial y darlas a conocer a la sociedad, no parecía posible llegar a tener control sobre el comportamiento de los conductores. Y la tecnología seguía evolucionando rápidamente, haciendo los vehículos cada vez más accesibles, rápidos y peligrosos. Aún no había semáforos, ni una señalización estandarizada en las vías de circulación. Los fabricantes de automóviles no tenían ninguna obligación de incluir medidas de seguridad de serie, ni responsabilidad alguna sobre los accidentes. El único responsable era el propietario del vehículo, que además de sufrir un accidente, podía ser sancionado. Este panorama es tremendamente similar al que tenemos actualmente en el ámbito de la ciberseguridad. Pero, como en la seguridad vial, si tocamos las teclas adecuadas, podemos ser optimistas. Casi un siglo después, se ha logrado reducir significativamente la tasa de accidentalidad y, sobre todo, el índice de gravedad de los accidentes de tráfico. Y esto ha sido posible gracias al esfuerzo de toda la sociedad por medio de tres palancas clave: tecnología, regulación y cultura. Hasta la fecha, donde mayor foco se ha puesto en materia de ciberseguridad, es en el ámbito de la tecnología, desarrollando sistemas de defensa para proteger los nuevos entornos tecnológicos a medida que se iban desplegando, en una difícil carrera por avanzar al ritmo vertiginoso de la digitalización y anticiparnos a los atacantes. Ahora, la inteligencia artificial generativa y la computación cuántica convertirán nuestras carreteras en autovías de alta velocidad y tendrán el potencial de disparar la probabilidad y la gravedad de los incidentes. Pero la tecnología no es el problema, también se beneficiarán de estos avances nuestros mecanismos de defensa. El principal problema es que sigamos llegando tarde con las medidas de ciberseguridad. Al igual que no se puede empezar a pensar en la seguridad de un puente una vez finalizada su construcción, la ciberseguridad debe tenerse en cuenta desde el diseño, desde la propia concepción de la tecnología. Y esto se consigue a través de las otras dos palancas: regulación y cultura. En el ámbito de la regulación, necesitamos urgentemente una agencia de ciberseguridad equivalente a la DGT, que establezca normas y estándares, asigne responsabilidades no solo a los conductores (usuarios y empresas), sino también a los fabricantes de los vehículos (tecnología) y a los responsables de las carreteras (comunicaciones), y supervise su cumplimiento a través de inspecciones y campañas de vigilancia, y fomente un uso responsable y seguro de la tecnología. La creación de este organismo se encuentra actualmente en el centro de un agitado debate en torno a la transposición de la directiva europea de seguridad de las redes y sistemas de información (NIS2). Pero, en el ámbito competencial, no deberíamos confundir el medio con el fin, los riesgos con las amenazas, ni la ciberseguridad con los ciberataques. Al igual que la DGT es responsable de que el ecosistema vial sea seguro en su conjunto, pero no de prevenir o actuar ante coches bomba, ataques contra las infraestructuras, o persecuciones de criminales cuando se producen por carretera, la inteligencia de amenazas (ciber o físicas), la persecución del crimen (virtual o material), y la protección de las infraestructuras críticas y de los ciudadanos frente a ataques maliciosos (ciber o físicos), deberían seguir residiendo en los mismos organismos que ostentan dichas responsabilidades en el ámbito físico y continuar haciéndolo en una sociedad cada vez más digital, con una visión integral de la seguridad. Siguiendo con el símil de la seguridad vial, lo que necesitamos es una agencia que, en coordinación con otros organismos internacionales, se centre en que los fabricantes (y no los usuarios) sean responsables de poner cinturones de seguridad y ABS de serie, normalice y supervise la señalización de las carreteras, despliegue certificaciones e ITVs obligatorias para los usuarios y lance campañas de vigilancia y concienciación. Este último ámbito, el de la cultura, es clave para que tengamos una ciudadanía consciente de los riesgos a los que se expone en un entorno cada vez más digital y formada en un uso seguro y responsable de la tecnología que todo lo impregna. Esta formación, como sucede con la seguridad vial, debería comenzar desde la más tierna infancia, en la medida en que los niños nacen en una sociedad que ya es digital y tienen acceso a la tecnología cada vez más temprano. Pero es especialmente importante que se extienda al ámbito académico y profesional. No es aceptable que, especialmente en las carreras técnicas (y no me refiero solo a las informáticas), los futuros responsables de innovar y de producir u operar las tecnología digitales o industriales, no reciban una formación exhaustiva en materia de ciberseguridad. Sin embargo, parece que solo nos estamos centrando en formar a superespecialistas de ciberseguridad que se van a enfrentar a una carrera cada vez más vertiginosa y difícil de ganar para intentar solucionar los problemas causados por otros, cuando ya es demasiado tarde. Y al llegar el incidente (que llegará), sobre ellos caerá toda la responsabilidad. Pero seamos optimistas y pensemos que, como en el caso de la seguridad vial, si actuamos sobre las palancas adecuadas, el futuro de la ciberseguridad será halagüeño. Esperemos no tardar un siglo… Rosa Kariger Directora de Análisis y Prospectiva de Seguridad en Iberdrola y Presidenta del Consejo Asesor de CyberLideria
14 Mayo 2024
Opinión
Querido lector: En un ecosistema cada vez más digital y en constante evolución, todos nosotros – grandes y pequeñas empresas, instituciones públicas, mundo académico y sociedad en general - debemos ser capaces de comprender y abordar los desafíos que nos plantea la ciberseguridad hoy y anticipar los retos del mañana, para lograr una sociedad más resiliente. Con este espíritu lanzamos esta primera edición de nuestra revista CyberLideria MGZN, que aspira a crear una plataforma de debate y reflexión sobre los importantes retos presentes y futuros que la ciberseguridad plantea para nuestras empresas y para la sociedad en general, y sobre el importante papel que cada uno de nosotros tiene o debería tener para poder abordarlos. CyberLideria MGZN no es una revista para los responsables de ciberseguridad o “CISOs”, sino de los CISOs para los altos cargos y profesionales de empresas e instituciones, públicas y privadas, así como para todas aquellas personas que están preocupadas por este creciente riesgo. CyberLideria MGZN no es una revista técnica, aunque la tecnología esté en el centro del problema. Queremos poner el foco en los aspectos humanos y relacionales, en los roles, las responsabilidades y las preocupaciones que tenemos cada uno de nosotros, según nuestra función, y cómo podemos, entre todos, encontrar soluciones compartidas. Queremos generar conversaciones abiertas y sinceras con las que podamos compartir nuestras preocupaciones, experiencias, expectativas y necesidades, y encontrar espacios comunes de colaboración y mejora. ¿Eres un alto ejecutivo y no sabes nada de ciberseguridad, pero es un tema que te inquieta? Este es tu espacio. Cuéntanos qué te preocupa, háblanos de tu visión del riesgo, de la información que necesitas, de lo que esperas de los responsables de ciberseguridad. ¿Eres responsable de ciberseguridad en tu empresa, y te sientes solo ante el peligro? Este es tu espacio. Háblanos de tu experiencia, dirígete a los directivos, proveedores, reguladores, conversa con ellos y comparte tu carga. ¿Has sufrido un incidente relevante y puedes ayudar a otros? Este es tu espacio. Comparte con otros profesionales tu experiencia y las lecciones aprendidas. ¿Eres un líder tecnológico y tienes una propuesta disruptiva? Este es tu espacio. Cuéntanos tu visión, comparte tus propuestas con la comunidad. En definitiva, os invitamos a todos a participar en este importante debate con opiniones, artículos y, por supuesto, con vuestras críticas constructivas y recomendaciones, que recibiremos con mucho gusto en contacto@cyberlideria.es. Gracias por leernos y por contribuir a reforzar la ciberseguridad y la resiliencia de nuestras empresas y de la sociedad en general. Consejo Asesor de CyberLideria
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
