Sin categoría
El Centro de Gestión de Ciberamenazas de la Comisión Europea, desarrollado por un consorcio liderado por Leonardo y en el que participa Indra, será el primer centro paneuropeo de monitorización en tiempo real de los riesgos a los que se exponen las infraestructuras digitales en todo el continente. Indra equipará el centro con comunicaciones seguras COMSec, basadas en tecnología desarrollada internamente, capaces de resistir futuros ataques de ordenadores cuánticos y preparadas para el escenario poscuántico. Este sofisticado sistema permitirá el cifrado extremo a extremo de voz, mensajería instantánea y vídeo sobre dispositivos móviles y PC, empleando cualquier red celular, inalámbrica o satelital a nivel mundial. Además, el protocolo poscuántico utilizado cumple con la normativa europea NIS (Security of Network and Information Systems) y ha sido supervisado por el Centro Criptológico Nacional Español. La empresa también ha trabajado en la definición del procedimiento que las plataformas y sistemas del centro siguen para intercambiar datos con el exterior. En una siguiente fase, estudiará la forma en la que se coordinará con la red de Centros de Operaciones de Ciberseguridad de España. Todo ello contribuirá a reforzar la protección de una infraestructura estratégica y favorecerá el desarrollo de la sociedad de la información y el conocimiento en Europa. El director adjunto de la Unidad de Ciberdefensa de Indra, Luis J. García de la Iglesia, destaca la importancia del centro para la seguridad del continente. La implantación del Centro de Gestión de Ciberamenazas llega en un momento delicado debido al aumento de los riesgos cibernéticos, generados por la situación geopolítica y conflictos, que incluyen campañas de desinformación y ciberataques a empresas e infraestructuras críticas, sumándose a las campañas de ransomware, phishing o denegación de servicio de organizaciones criminales. El centro tendrá la capacidad de monitorizar en tiempo real el grado de amenaza a las infraestructuras digitales en todo el continente, rastreando la actividad delictiva en Internet, darkweb y redes sociales. Y se le dotará de mecanismos híbridos de protección para afrontar el escenario poscuántico, en el que la computación cuántica cambiará las reglas de la criptografía, obligando a incorporar nuevos algoritmos más seguros para proteger las comunicaciones. El sistema COMSec, desarrollado íntegramente por Indra, permitirá el cifrado extremo a extremo de voz, mensajería instantánea y vídeo sobre dispositivos móviles y PC, empleando cualquier red celular, inalámbrica o satelital a nivel mundial. Así mismo, el protocolo poscuántico utilizado cumple con la normativa europea NIS y ha sido supervisado por el Centro Criptológico Nacional Español. La coordinación con los Centros de Operaciones de Ciberseguridad de España contribuirá a reforzar la protección de la infraestructura estratégica y favorecerá el desarrollo de la sociedad de la información y el conocimiento en Europa.
31 Mayo 2024
Sin categoría
En mi época de CEO de una compañía americana de energías renovables, me preocupaban fundamentalmente dos cosas: definir y ejecutar la estrategia más adecuada para hacer crecer a la compañía y obtener el beneficio esperado, controlando el riesgo. Desde el punto de vista financiero, usábamos diversas estructuras de financiación de proyectos sin recurso al accionista, que confiaban en la generación de flujos libres de caja del proyecto para amortizar la deuda y, además de contar con coberturas financieras para estabilizar los flujos de caja en un mercado altamente dinámico y volátil, era fundamental contar con una operación eficiente e impecable. Este aspecto constituía un reto nada desdeñable en un negocio industrial que debe funcionar las veinticuatro horas del día, los siete días de la semana y entregar al mercado un producto de calidad, que se consume en tiempo real, además de estar sujeta a complejas estructuras de venta en distintos mercados eléctricos, con regulaciones diferentes y penalidades muy severas si no se entregan. Tanto en el lado operativo, como en el financiero, descubrí que la clave estaba en entender muy bien los factores que podían afectar negativamente a la operación y desplegar las medidas adecuadas para prevenir su ocurrencia y/o mitigar su impacto, con criterios de rentabilidad, o bien contratar un seguro cuando fuese posible En el pasado, los factores de riesgo operacional eran complejos de gestionar, pero conocidos. Desde fenómenos meteorológicos, hasta fallos mecánicos o electrónicos, pasando por actos de sabotaje o robo de material, para casi todos teníamos profesionales expertos, regulaciones claras, estándares de mercado que habían sido mejorados a lo largo de muchos años, y un vasto historial de eventos que nos permitía entender e incluso cuantificar el riesgo estadísticamente. El mercado asegurador también era capaz de entender el riesgo y nos ofrecía una amplia gama de productos para cubrir los posibles daños o el lucro cesante, a precios razonables. Mi trabajo como CEO era sencillo: los expertos me presentaban los posibles riesgos y el presupuesto para su mitigación y yo solo debía decidir hasta donde tenía sentido invertir en medidas de protección y cuándo era preferible aceptar el riesgo o contratar un seguro. Podía dedicarme a la estrategia. Pero a medida que empezamos a digitalizar nuestros procesos, aparecieron los riesgos de ciberseguridad. Al principio, nos preocupaba la protección de la información, el espionaje y el fraude financiero, pero nuestro equipo de informática parecía tenerlo controlado. Sin embargo, pronto nos dimos cuenta de que también podía afectar a nuestras operaciones industriales, a nuestros activos físicos, e incluso a la seguridad de las personas. En nuestro caso, riesgo exacerbado por ciertas regulaciones del sector eléctrico norteamericano que impedían en la práctica usar soluciones en la nube, y en su lugar exigían la implementación y uso de centros de datos propios, que aumentaban exponencialmente nuestra exposición al riesgo ciber. Recuerdo que, como CEO, traté de aplicar la misma lógica que siempre me había funcionado para el resto de los riesgos operativos, y que yo mismo aplicaba en mis tiempos de ingeniero. Llamar al experto para que me explicase bien el riesgo en términos de probabilidad de ocurrencia e impacto sobre la operación, entender la rentabilidad de las medidas necesarias para mitigarlo, comparar también con el coste de contratar un seguro, y decidir. Para mi sorpresa, ninguna de estas premisas se cumplía. Iba a tener que volver a dedicarle más tiempo a la operación. Nadie, era capaz de explicarme cómo - en concreto - podían afectarnos en la operativa esos aterradores ataques de ransomware, phishing o DDoS que, según me reportaban, se lanzaban por miles cada minuto con terribles pero inciertas consecuencias para muchas empresas y, ni mucho menos la probabilidad de que nos afectase o cuánto nos podría costar si sucediese. El experto de ciberseguridad, que era del Equipo de Sistemas, y no entendía de nuestras operaciones industriales, me pedía un presupuesto millonario para instalar una serie de medidas fundamentales con el objetivo de protegernos contra esos ataques, pero sin indicar el retorno de esa inversión, y el responsable de operaciones, que no entendía de ciberseguridad, opinaba que era innecesario y que las medidas propuestas impactarían negativamente en la eficiencia. Debido a esta falta de capacidad para entender la probabilidad de ocurrencia y cuantificar las potenciales consecuencias, las pólizas de seguros tradicionales, que inicialmente ni mencionaban el riesgo ciber (cobertura silenciosa, o fuente de litigio), cuando lo hicieron fue para excluirlo. Y cuando ciertas aseguradoras empezaron a incluirlo, ofrecían pocos productos alternativos con multitud de exclusiones, límites insuficientes, y a precios desorbitados. En definitiva, seguros que no suponían ninguna transferencia real de riesgo. Decidimos probar algunas soluciones de cuantificación del ciberriesgo que había en el mercado, pero solo abarcaban los entornos TI y estaban basadas en una mera observación externa de nuestro perímetro que, a medida que migrábamos a la nube, se iba desdibujando. Tanto me obsesionó esta cuestión que, en 2017, y una vez completado el proyecto anterior, decidí fundar DeNexus, una compañía dedicada a cuantificar y gestionar los riesgos de ciberseguridad en entornos industriales con datos reales de ataques, controles y vulnerabilidades, tanto internos, como externos, y que permite priorizar las inversiones necesarias para mitigarlos, con base en su rentabilidad. Mi objetivo era ayudar a otros CEOs a entender el riesgo ciber, y tomar decisiones informadas de gestión o transferencia. Pronto encontré una gran acogida entre los responsables de las empresas energéticas. También un gran interés en mi solución por parte de las aseguradoras que, por fin, podían disponer de una estadística real de eventos e impactos en la que basar sus cálculos financieros y ofrecer productos de cobertura a precios razonables. Actualmente, ayudamos a multitud de empresas de diferentes sectores industriales y estamos evolucionando nuestra solución para cubrir también entornos TI, a la vez que seguimos avanzando con el mercado asegurador para poder ofrecer coberturas adecuadas para este importante, pero cada vez menos desconocido riesgo. José Seara Fundador y CEO de DeNexus
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
