Sin categoría
El futuro de la Ciberseguridad: Un mapa con dos grandes calles. Rubén Fernández-Costa O’Dogherty, Periodista y Miembro del Comité Editorial CyberLideria MGZN
El mapa del futuro de la ciberseguridad tiene dos avenidas transitadas y ambas se escriben con menos letras: para una buena parte de las personas expertas, el futuro será, sobre todo, ‘ciber’; para otras, la ciberseguridad se transformará en ‘seguridad’ sin prefijo, un concepto más amplio, integrado y social.
La mayoría de personas que han participado en este reportaje para CyberLidera MGZN coinciden en una idea básica: no se debe hablar de este tema a largo plazo, porque los futuros cercanos pueden no tener nada que ver con los futuribles. El escritor Bruno Munari desambiguaba entre fantasía, imaginación y creatividad para no crear ‘alucinaciones’. Cuando hablamos de futuro, hemos de hacer según lo que ya estamos viviendo, como si de un auténtico dashboard de gestión de riesgos se tratase: en él, presente y futuro no se pueden separar y sólo podemos entrever desde lo actual. En esta investigación cualitativa, diferentes actores del complejísimo mapa sistémico de la ciberseguridad hablan en entrevista acerca de los cambios que ya se están entreviendo.
EL PUNTO DE VISTA DEL PROVEEDOR
Miguel A. Martos (Netskope): “Vamos hacia una estandarización de los niveles superficiales y una diferenciación de los más profundos”
Para Miguel Ángel Martos, country manager en España y Portugal de Netskope, una de las empresas líderes mundiales en ciberseguridad, el futuro “pasará básicamente por dos cosas, la aplicación de técnicas de IA y la automatización”. Martos aclara a qué se refiere cuando hablamos de IA en ciberseguridad. “La Inteligencia artificial tiene su fundamento en el machine learning, es decir, la máquina aprende, y lo hace en base a un entrenamiento; donde estamos viendo avances más rápidos es precisamente después de esos entrenamientos: somos capaces de generar mecanismos y entrenarlos para que localicen potenciales peligros en entornos cada vez más complejos. Hasta ahora, el entrenamiento podía identificar patrones muy básicos, numéricos como un DNI, ahora un sistema medianamente avanzado puede identificar, por ejemplo, fórmulas químicas escondidas en un dibujo intentando disfrazarlas de trazos aleatorios. Esos entrenamientos van a permitir adaptar cada sistema al entorno que se quiera proteger”.
Es cierto que desde el punto de vista del atacante la aplicación de IA posibilitará “que sea más fácil generar un ataque, porque la IA servirá para simular situaciones tremendamente creíbles, conversaciones y hasta un contexto que te haga pensar que estás hablando con alguien con su voz o vídeo para que te confíes. E incluso los sistemas de IA van a permitir aplicar fuerza bruta con gran cantidad de datos, para dejar al sistema KO. Pero simultáneamente estos mismos avances permitirán que desde el lugar opuesto, en la posición defensiva, la interfaz de usuario podrá manejarse más fácilmente. A cambio, el interfaz entre administrador y sistema será más humano, y eso hará que algunos perfiles de ingeniería puedan dedicarse a tareas de más valor y que las funciones puedan realizarlas más personas”.
A la pregunta de si los sistemas de ciberseguridad tienden a la estandarización o al ‘hecho a medida’, Martos razona que “como en todas las tecnologías tendemos siempre a un proyecto de estandarización entre comillas. Lo que también creo que va a ocurrir es una consolidación del mercado, y eso va a traer menos tecnologías de base: si miras a la ciberseguridad como una suma de mecanismos de defensa en un ámbito mayor, la seguridad, con diferentes capas y niveles, vamos a ver una estandarización en los superficiales pero una diferenciación en los niveles más profundos, donde siempre va a haber nuevas técnicas o técnicas propias de defensa en profundidad de nuestros activos, por ejemplo, con modelos entrenados”.
Por ello, la forma de abordar un proyecto, “también creo que va a evolucionar. De la misma manera que nuestra aproximación pasó de ser sólo defensiva a otra más de asumir que ibas a ser atacado en cualquier momento, y eso generó que la estrategia no sólo fuera de defensa sino predictiva en función de probabilidades, creo que vamos a barajar diferentes escenarios en la forma de acercarnos a los proyectos. Los fundamentos van a estar ahí, pero vamos a tener que pasar de tener una buena metodología de respuesta antiincidentes, a adoptar una nueva actitud incluso ofensiva, porque desde un punto de vista sociopolítico, los ciberataques van a tener cada vez más protagonismo en nuestras vidas y en la conversación pública”.
EL ENFOQUE ciberSOCIAL
Miguel A. Martos (Netskope): “La IA nos va a permitir ligar los entornos tecnológicos con los entornos sociales: empieza a ser inquietantemente posible la suplantación por técnicas biométricas”
Para Martos, como especialista, el gran cambio tiene que ver con la involucración de lo social. “Vamos a tener que estar mucho más atentos a lo que ocurre en los entornos, porque la ingeniería social es uno de los elementos más utilizados para acceder a los sistemas. Desde el punto de vista del atacante, tiene que ver con acceder a personas, sonsacarles información y después usar medios técnicos para violentar organizaciones. Vamos a tener que ser capaces de ligar la tecnología con estos entornos sociales de antemano, algo que quizás no hayamos tenido en cuenta. Y vamos a tener que ligar también el enfoque de ciberseguridad con el de la privacidad, porque no puede haber privacidad sin ciberseguridad, pero tampoco puedes usar la seguridad de una manera que violente la privacidad. Esto se ha discutido recientemente en relación a interceptar el tráfico SSL. Ha habido ya varias sentencias respecto a ese tema”.
¿Surgirán nuevas profesiones híbridas? “No sabría decirte, pero pienso que probablemente con las IA seamos capaces de ligarlo todo y observar interacciones en Internet de personas con personas, que pertenecen a un contexto, y al unir esta información a la tecnología podremos identificar una amenaza más amplia, eso pasa por la revisión detallada del contexto: hablando de entornos tecnológicos y sociales asociados a los dispositivos (no será lo mismo un dispositivo personal que profesional), y a las personas, por ejemplo, se tendrá en cuenta quién ha tenido acceso a una información y de qué manera”.
En el futuro, explica, nos enfrentaremos a retos aún no imaginados, que recuerdan a los argumentos de muchas películas de acción. “Empieza a ser inquietantemente posible la suplantación por técnicas biométricas. Actualmente, una de las técnicas que más garantías tiene para identificar a una persona es esa, una huella digital o del iris. Yo no descarto que se pueda llegar a simular lo biométrico. En algunos sitios pagan por tener tu iris o retina impresa, esa huella la dejas y vas dejándola en infinidad de sitios, tanto que algunas empresas ya han prohibido que puedas hacer el control de acceso con huella digital por posible fuga de información. Lo que hoy se prohíbe por temor a una fuga de información y a que esta acabe en manos de alguien no deseado, ahora que ya se puede simular la voz de alguien con quince segundos de llamada, o el comportamiento de una persona con un video o cuatro fotos, no me extrañaría que en un futuro se pueda hacer una suplantación biométrica con el uso de una fotografía o un video más detallado. Y eso podría dar un acceso preocupante a según qué sistemas”. Desde este momento, añade Martos, un ciudadano o ciudadana tendría que, lo primero, “aplicar el sentido común y no hacer en Internet nada que no harías en tu vida real. Y tomar ciertas medidas tecnológicas. Hay que tener cuidado con el uso de nuestras contraseñas y datos personales, pero más que eso. Del mismo modo que no le abres la puerta de tu casa a cualquiera o cierras la puerta del coche con alarma, hay que tomar las medidas básicas. Eso implica un poco de educación tecnológica. Si trabajas en casa, establecer algunos mecanismos de protección. Y alguna herramienta que te permita saber si estás accediendo. Si tienes dudas, consulta a alguien con expertise. Son medidas normales”.
LA VISIÓN SOCIAL Y FUNDACIONAL
Maite Arcos (Fundación ESYS): “La ciberseguridad se extiende: ya no será posible hacer una checklist, hablaremos de seguridad integral”
Maite Arcos, Directora General de la Fundación ESYS y consejera independiente, defiende la idea de “seguridad integral”. Como explica, la ciberseguridad ya está en la mesa de los consejos de Administración, pero vamos cada vez más hacia una “cultura general de la ciberseguridad, que se está extendiendo al ámbito de aplicación porque todo es digital, a medida que nos transformamos digitalmente, la ciberseguridad se extiende, todo lo que está conectado es ahora potencialmente vulnerable, especialmente cuanto más aumente la superficie de exposición y hablamos ya de ‘seguridad’”.
Este nuevo mundo “apasionante y retador” es simplemente una evolución lógica, no tecno-lógica del actual. “La aplicación de tecnologías como el 5G no implica solo más velocidad, sino que trae consigo el iOT, es decir, todo va a estar conectado, todo. Ahora mismo no lo imaginamos, pero probablemente en el futuro dejaremos que algunas decisiones de salud las tome la inteligencia artificial”. En este nuevo panorama, para Maite Arcos, la ciberseguridad va a crecer, “ampliando su ámbito de aplicación: todo tiene que ser repensado, el grado de digitalización y potenciales amenazas adquiere otra dimensión. Venimos de un pasado no conectado a un momento en que estamos avanzando hacia un futuro en que todo estará digitalizado y conectado, hablamos de coches conectados, agricultura conectada, sensores de presión arterial. Esto va a tener ventajas, está claro, pero conlleva tener más responsabilidad y atender a ese cambio”.
Otra de las tendencias, explica, es que “pasamos de una ciberseguridad de checklist, con una propuesta cerrada y estable cuyo cumplimiento legal te deja tranquilo a un nuevo enfoque, que ya indica la nueva imposición regulativa, como la directiva NIS2, aprobada en diciembre 2022, hasta octubre de 2024 y en otras normas europeas, no nacionales sino europeas, donde el enfoque es de gestión del riesgo. Es necesario un análisis de riesgos propios, porque evidentemente no es lo mismo un centro de datos que una tienda de ropa. Es decir, ya no existen recetas únicas, ni café para todos, cada uno tiene que hacer su propio análisis de riesgos”.
Además, recuerda que las amenazas aumentan en el entorno geopolítico, porque el temor va hacia otro lugar. “Ya no se trata sólo de hackers que quieran secuestrar datos y pedir un rescate por ellos, es que hay estados que están interesados en que España deje de proveer gas, por ejemplo, a otro país. Estas potenciales amenazas superan la actividad económica, hablamos de geopolítica de ciberataques por motivos políticos (llamados SSCs- State Sponsored Cyberattacks), que ya existen con motivos electorales. Como sociedad, nos tenemos que asegurar de que no haya ataques, pero tampoco desinformación, bulos y bots que desestabilizan los procesos electorales. La UE debe analizar y evaluar sus riesgos de proceso electoral, cuáles son, con qué probabilidad y qué daño podrían causar. Se ha de estudiar cada probabilidad con su potencial daño, y con ese mapa, superindividual cada entidad, no solo empresas, estados, instituciones deben adoptar las medidas para reducir el impacto”.
Maite Arcos (Fundación ESYS): “Esa fractura natural entre seguridad física y la ciberseguridad va a desaparecer”
Como explica Arcos, ya “nadie se siente seguro, no se aspira a riesgo cero, es minimizar el impacto del riesgo. El riesgo cero, no existe. Se trata de que, si un ataque ocurre, tenga menor impacto, para lo cual hay que definir las medidas y recursos humanos y técnicos, y rápidamente tomar acción. Este enfoque de gestión del riesgo lo invade todo”.
En paralelo, explica cómo “la tendencia regulatoria, que viene del derecho anglosajón, no muy extendido en la normativa europea, es que las normas no te obligan a un listado a, b y c, sino que se me pide realizar el análisis de riesgo, y como regulador se me penaliza si no he adoptado las medidas necesarias y suficientes para que el impacto sea minimizado. La sanción no llega porque ocurra el ciberataque, sino porque no se ha sido precavido: ahí entran los consejos de administración y la dirección, ahí está la ley de sociedades, por la cual debe incluirse en el Consejo de administración la gestión de los riesgos en un dashboard concreto y claro”.
Para ello, existen dos necesidades. En primer lugar, “entender que la ciberseguridad depende de todos los miembros, no sólo por responsabilidad ejecutiva, cualquier empleado puede ser involucrado, porque en el 80% de los casos es la vía humana de entrada para cualquier ataque. Si tengo un móvil de empresa, puede ser la vía de ataque a toda la empresa. Si lo pierdo y no lo comunico, o lo uso para cosas arriesgadas, estoy poniendo en riesgo a mi empresa”. En segundo lugar, que “ya no existe nunca más en la historia una ciberseguridad separada de la seguridad física. A veces se siguen viendo por separado, por ejemplo, los controles de acceso y el sistema de vigilantes y por otro lado los cibersistemas. Pero realmente cada vez más hay cámaras de vigilancia conectadas, que tienen un software, y eso es vulnerable, y las personas también son una vía de entrada con sus dispositivos. Esa fractura natural entre seguridad física y la ciberseguridad va a desaparecer: todo lo que tenga un software o esté conectado es potencialmente vulnerable”.
LA VISIÓN DE UN HACKER
Antonio Fernandes (Hacker): “Desde 2017 el cibercrimen mueve más que el narcotráfico”
Antonio Fernandes es hacker . “Hackers somos los buenos, ciberdelincuentes los malos”, explica con ironía. Fernandes augura sin paños calientes un crecimiento del cibercrimen, por dos razones. “Una será la de siempre, la que tiene que ver con dinero, secuestro de datos y extorsión por recuperarlos. Otra serán las múltiples estafas con la llegada de la IA que se van a utilizar para hacer deepfakes: hace poco ocurrió a través de Teams, y con las caras incluso de los directivos, los ciberdelincuentes consiguieron una transferencia de millones de euros. En marzo, un colega y yo presentamos en Rooted, el mayor evento de ciberseguridad de España, un ejemplo en tiempo real: yo hablaba por un micrófono y se escuchaba la voz de un CEO de los que organizaban ese track. La estafa que ahora está de moda por WhatsApp es la de ‘Mamá, he perdido el móvil, hazme un bizum’: imagínate eso con la voz de tu hija’”.
“Cuando sabes cómo atacar, sabrás cómo defenderte”, señala. “Hay un montón de cosas que la gente cree que son fantasía o ciencia ficción, hay muchos neoluditas que niegan la tecnología y sus aplicaciones, pero no es ni buena ni mala, es tecnología. Estafadores siempre hubo, ahora se utiliza el canal ciber”. En el caso de secuestro de datos, añade, “se suele aún asociar a las empresas grandes. Pero hasta una mercería de barrio tiene hoy en día un programa de facturación. Desde 2017 el cibercrimen mueve más que el narcotráfico, los malos se han pasado al teletrabajo, porque es más fácil robar desde casa, sentado, y es de guante blanco, así que la tendencia es que crezca. Existen grupos de secuestro de datos que ofrecen un kit, un virus, y ellos ya se dedican a negociar con la víctima, tú solo tienes que poner un usb o abrir ciertos correos, cualquier persona puede hacer esto”.
“Otro peligro de Europa”, señala, “es que somos muy dependientes de tecnología extranjera: los routers, los firewalls y los antivirus. En caso de conflicto global, con un botón nos quitan todos esos servicios. Europa se está quedando atrás en creación de software y de hardware, para ordenadores, pero también para coches o neveras. Depender de la nube es otro tema. Sí que tenemos CPDs con ubicación en España, pero la cuestión es que esos discos duros están cifrados, aunque entremos físicamente ahí no podremos tener acceso a los datos. Al perder la soberanía digital, en un futuro estaremos cada vez más vendidos, sobre todo hablo del software y del suministro de componentes”.
Para él, “a día de hoy no es un peligro la idea del apagón digital, porque tenemos en algunos casos la vuelta atrás, pero según avance la tecnología lo de volver al papel va a ser imposible. Un banco por ejemplo hoy en día lo tendría sumamente difícil . En diez años, será imposible la vuelta atrás para todos. Los delincuentes no pagan impuestos, no tienen ni limitaciones económicas por presupuesto anual, ni remilgos. No tienen regulaciones del Estado, algo que a veces es importante para el ciudadano, porque exploramos territorios, a los malos les da igual que sea ilegal imitar las voces, lo van a hacer. Si prohibimos explorar las cosas, si restringimos investigar bien, en las universidades y en empresas, nos llevarán mucha ventaja”. Como ejemplo positivo recuerda el caso de “Mapfre que sufrió un ciberataque hace unos años y es un gran ejemplo de cosas bien hechas en tiempo y forma. La ciberseguridad no es solo técnica, implica aspectos regulatorios y de comunicación. Los medios os informáis y si solo hay un relato el daño reputacional, ya está hecho. La ciberseguridad es también transmitir, comunicar y hacer entender”.
LO QUE VIENE
Antonio Fernandes (Hacker): “¿Que las máquinas tengan conciencia propia? Eso ocurrirá, cuando pasen el Test de Turing”
“El foro económico mundial explica que uno de los principales problemas que tendremos será la ciberseguridad y otro el de las noticias falsas y la propaganda”, resume el hacker. “Irá a más porque según avanzamos somos más dependientes de la tecnología: el ser humano es vago, lo que te hace la vida más fácil, lo utilizarás. Vamos hacia un sitio donde la IA nos hará la vida más fácil, pero se tendrán más datos nuestros. Por mucho que los expertos avisemos. Los malos lo usarán, unos para sacar dinero a través de estafas o secuestros de datos, otros a través de desestabilización de gobiernos y manipulación de la opinión pública. Ya nos ha pasado con casos como el de Cambridge Analytica, el algoritmo de las redes sociales está pensado para que pases mucho tiempo conectado, y se crean cámaras de eco con sesgo de confirmación para que estés a gusto y no pienses. Si nos dejamos llevar por que la tecnología nos haga la vida más fácil, eso hará más vulnerable a la gente que no sepa usar bien la tecnología”.
Confiesa que ha visto de todo. “Yo soy vieja escuela. Me compraron un ordenador de pequeño, empecé a programar, llegó Internet a España y me fui conectando, conocí a gente muy buena y era algo así como la mascota de algunos mayores. La seguridad informática a nadie le importaba, nadie se esperaba ese cambio que vino, porque ahora manejamos un cacharro que tiene más potencia de cálculo que lo que nos llevó a la luna”. Algo que le llamó la atención fue “un grupo que se llamaba Lapsus, muy jóvenes que extorsionaban, robaban códigos de videojuegos, a base de sobornos a empleados sacaban contraseñas y con esas llegaban a grandes corporaciones y a veces te sorprende que con un usuario y password consigan acceder a grandes corporaciones”.
Antonio Fernandes (Hacker): “Se sigue diferenciando entre el mundo virtual y el mundo real. No. Internet es real. Y te pueden hacer más daño ahí que en la calle”
“No creo que sea posible un apagón digital a nivel global”, añade, “pero sí a pequeños niveles, ya están ocurriendo. Muchos de los conflictos actuales son guerras híbridas, en las que se ataca lo ciber antes de lo físico, como apagar centrales energéticas. Y se pueden apagar cosas fácilmente durante un tiempo, en un área concreta del mundo. Si tenemos soberanía de la tecnología somos menos vulnerables”.
Recuerda que “se trata de un riesgo real para la vida. Se sigue diferenciando entre el mundo virtual y el mundo real. No. Internet es real. Y te pueden hacer más daño ahí que en la calle. Porque bajo el sol tienes herramientas para defenderte, pero online no todo el mundo tiene esos mecanismos. Si vas por la calle de noche y te viene un tío que te da mal rollo, pones ojo: en Internet no te das cuenta. Eso hay que desarrollarlo. Ese componente divulgativo, presente en el día a día. También es necesaria la psicología. En el futuro de la ciberseguridad habrá mucho de psicología. Ya la usan los malos, con los sesgos psicológicos, para hacer que pinches en un enlace, en concreto el sesgo de autoridad”.
“El sistema global de comunicaciones móviles (GSM), que sería carísimo de cambiar, no se pensó para la situación actual”, explica. “Internet se creó siendo una red de confianza, nadie pensó que se fuera a usar así: es fácil coger un dominio que parezca correcto, ahí está el sesgo de confirmación. Muchas veces, si tú como organización estás seguro y tus empleados están bien formados, se ataca a gente que trabaja contigo, a las empresas colaboradoras, si son más pequeñas y están menos protegidas, pero tienen acceso VPN a tu compañía. Y ojo, porque las empresas del IBEX35 también trabajan con empresas pequeñas. Simplemente en LinkedIn puedes ver a día de hoy quién trabaja en una empresa y las interacciones que tiene otras personas. Alguien con ganas y más con IA puede hacer muchos más ataques sofisticados. El ser humano es siempre el eslabón más débil. ¡En un año, el video en tiempo real estará disponible!”.
Antonio Fernandes (Hacker): “Será posible hablar con tus padres después de que mueran o con una máquina para paliar la soledad, pero… ¿querremos hacerlo?”
Pronostica que “habrá robots muy avanzados que harán engaños de forma automática. Se les entrenará para que puedan dar entrada a empresas, que encadenarán varios fallos distintos para hacer llamadas y dejar a la máquina que trabaje. En un año podremos hacer más cosas en menos tiempo, las tareas más tediosas y repetitivas las hará la IA. Los textos aún son impersonales, no tienen estilo, son feos, para escribir algo que llame la atención aún queda. Pero entrenando modelos, será posible automatizar el conocimiento de cada persona. Antes te llegaba el correo phising con faltas de ortografía, ahora llegarán bien escritos… No será la IA, te quitará el trabajo alguien que sepa usar las IAs”.
Para él, “será lo cuántico lo que realmente traerá un cambio en la computación. Con la cuántica muchos de los cifrados se abrirán inmediatamente. Eso no quita que ya hay gente trabajando en cifrados cuánticos, pero la tecnología aún se desestabiliza y aguanta muy poco encendida. Si juntas la IA con lo cuántico, puede nacer cualquier cosa. Ya no me quiero meter en si llegará la ‘singularidad’, fechada por algunos para 2030. ¿Que las máquinas tengan conciencia propia? Eso ocurrirá cuando pasen el Test de Turing”. Pese a todo, tiene una visión optimista. “Para mí los nativos digitales somos realmente los del 81 u 80, los que hemos vivido en un mundo puramente analógico, cuando llamabas a casa de tu novia y te contestaban sus padres. Y como hemos visto el cambio del mundo, sabemos movernos en otras cosas. No digo que no haya que aprender lo digital, pero que tengamos otras habilidades nos da mucho valor. La gente que sufre soledad podrá hablar con una máquina. Será posible hablar con tus padres una vez que mueran. Habrá robots colaborativos. Habrá más tiempo libre para la música, leer y pensar y otras cosas. ¿Querremos hacerlo? Pero ojo, estamos en el momento histórico en el que más información libre hay en el mundo, ¡y es cuando existen más terraplanistas!. ¿Sabremos cómo afrontar lo que viene? Tenemos que pensar en una propuesta de valor real. Mucha gente me dice ‘No confío en mi pareja, ¿podrías hackearle la cuenta?’… La tecnología no puede ser un paliativo, hay que trabajar sobre el paso anterior. Hay que reflexionar no sólo sobre el futuro de la ciberseguridad sino sobre el futuro del ser humano”.
Rubén Fernández-Costa O'Dogherty
Periodista, Asesor, y Miembro del Comité Editorial de CyberLideria MGZN.
14 Mayo 2024
