Las palancas clave de la Ciberseguridad. Rosa Kariger, Directora de Análisis y Prospectiva de Seguridad en Iberdrola

Si a principios del siglo XX alguien hubiese escrito un artículo sobre el futuro de la seguridad vial, seguramente habría vislumbrado un panorama bastante desolador. A medida que se popularizaba el uso del automóvil, iban aumentando los accidentes de tráfico, que llegaron a convertirse en la primera causa de muerte accidental.

A pesar de los esfuerzos del regulador por crear una serie de normas de seguridad vial y darlas a conocer a la sociedad, no parecía posible llegar a tener control sobre el comportamiento de los conductores. Y la tecnología seguía evolucionando rápidamente, haciendo los vehículos cada vez más accesibles, rápidos y peligrosos. 

Aún no había semáforos, ni una señalización estandarizada en las vías de circulación. Los fabricantes de automóviles no tenían ninguna obligación de incluir medidas de seguridad de serie, ni responsabilidad alguna sobre los accidentes. El único responsable era el propietario del vehículo, que además de sufrir un accidente, podía ser sancionado. 

Este panorama es tremendamente similar al que tenemos actualmente en el ámbito de la ciberseguridad. Pero, como en la seguridad vial, si tocamos las teclas adecuadas, podemos ser optimistas. Casi un siglo después, se ha logrado reducir significativamente la tasa de accidentalidad y, sobre todo, el índice de gravedad de los accidentes de tráfico. Y esto ha sido posible gracias al esfuerzo de toda la sociedad por medio de tres palancas clave: tecnología, regulación y cultura.

Hasta la fecha, donde mayor foco se ha puesto en materia de ciberseguridad, es en el ámbito de la tecnología, desarrollando sistemas de defensa para proteger los nuevos entornos tecnológicos a medida que se iban desplegando, en una difícil carrera por avanzar al ritmo vertiginoso de la digitalización y anticiparnos a los atacantes. Ahora, la inteligencia artificial generativa y la computación cuántica convertirán nuestras carreteras en autovías de alta velocidad y tendrán el potencial de disparar la probabilidad y la gravedad de los incidentes. Pero la tecnología no es el problema, también se beneficiarán de estos avances nuestros mecanismos de defensa. El principal problema es que sigamos llegando tarde con las medidas de ciberseguridad. Al igual que no se puede empezar a pensar en la seguridad de un puente una vez finalizada su construcción, la ciberseguridad debe tenerse en cuenta desde el diseño, desde la propia concepción de la tecnología. Y esto se consigue a través de las otras dos palancas: regulación y cultura.

En el ámbito de la regulación, necesitamos urgentemente una agencia de ciberseguridad equivalente a la DGT, que establezca normas y estándares, asigne responsabilidades no solo a los conductores (usuarios y empresas), sino también a los fabricantes de los vehículos (tecnología) y a los responsables de las carreteras (comunicaciones), y supervise su cumplimiento a través de inspecciones y campañas de vigilancia, y fomente un uso responsable y seguro de la tecnología. 

La creación de este organismo se encuentra actualmente en el centro de un agitado debate en torno a la transposición de la directiva europea de seguridad de las redes y sistemas de información (NIS2). Pero, en el ámbito competencial, no deberíamos confundir el medio con el fin, los riesgos con las amenazas, ni la ciberseguridad con los ciberataques. Al igual que la DGT es responsable de que el ecosistema vial sea seguro en su conjunto, pero no de prevenir o actuar ante coches bomba, ataques contra las infraestructuras, o persecuciones de criminales cuando se producen por carretera, la inteligencia de amenazas (ciber o físicas), la persecución del crimen (virtual o material), y la protección de las infraestructuras críticas y de los ciudadanos frente a ataques maliciosos (ciber o físicos), deberían seguir residiendo en los mismos organismos que ostentan dichas responsabilidades en el ámbito físico y continuar haciéndolo en una sociedad cada vez más digital, con una visión integral de la seguridad. 

Siguiendo con el símil de la seguridad vial, lo que necesitamos es una agencia que, en coordinación con otros organismos internacionales, se centre en que los fabricantes (y no los usuarios) sean responsables de poner cinturones de seguridad y ABS de serie, normalice y supervise la señalización de las carreteras, despliegue certificaciones e ITVs obligatorias para los usuarios y lance campañas de vigilancia y concienciación.  

Este último ámbito, el de la cultura, es clave para que tengamos una ciudadanía consciente de los riesgos a los que se expone en un entorno cada vez más digital y formada en un uso seguro y responsable de la tecnología que todo lo impregna. Esta formación, como sucede con la seguridad vial, debería comenzar desde la más tierna infancia, en la medida en que los niños nacen en una sociedad que ya es digital y tienen acceso a la tecnología cada vez más temprano. 

Pero es especialmente importante que se extienda al ámbito académico y profesional. No es aceptable que, especialmente en las carreras técnicas (y no me refiero solo a las informáticas), los futuros responsables de innovar y de producir u operar las tecnología digitales o industriales, no reciban una formación exhaustiva en materia de ciberseguridad. Sin embargo, parece que solo nos estamos centrando en formar a superespecialistas de ciberseguridad que se van a enfrentar a una carrera cada vez más vertiginosa y difícil de ganar para intentar solucionar los problemas causados por otros, cuando ya es demasiado tarde. Y al llegar el incidente (que llegará), sobre ellos caerá toda la responsabilidad.

Pero seamos optimistas y pensemos que, como en el caso de la seguridad vial, si actuamos sobre las palancas adecuadas, el futuro de la ciberseguridad será halagüeño. Esperemos no tardar un siglo…

Rosa Kariger

Directora de Análisis y Prospectiva de Seguridad en Iberdrola y Presidenta del Consejo Asesor de CyberLideria