Ignacio Pérez: "La ciberseguridad es una variable que debe estar integrada en la toma de decisiones"

La localidad zaragozana de Calatayud reunirá a profesionales de la seguridad en la red en las III Jornadas Aragonesas de Protección de Datos, Transparencia y Ciberseguridad organizadas por la AADPD. Del 16 al 17 de abril, el Salón Claretianos bilbilitano acogerá diversas ponencias sobre el reglamento de la Inteligencia Artificial, las cookies, el móvil en las aulas o la biometría, entre otros.

Uno de los ponentes de esta cita es el responsable de Seguridad de Aragonesa de Servicios Telemáticos, Ignacio Pérez, quien versará el miércoles 17 sobre en qué punto se encuentra Aragón con respecto a la ciberseguridad.

P.- Participa en las III Jornadas de Protección de Datos, Transparencia y Ciberseguridad. ¿Es importante poner en común conocimientos sobre la seguridad informática?
R.- Hay muy pocas actividades que no tengan un componente tecnológico hoy en día. Vuestro propio trabajo, cualquier pyme, por pequeña que sea, siempre va a tener un ordenador, un teléfono, una agenda de contactos, unos pedidos... Eso hay que protegerlo y hay que tener unos mínimos de educación de ciberseguridad, porque al final, quien ejecuta la acción es una persona. Si no se conciencia a las diferentes capas productivas de que hay que tener en cuenta la ciberseguridad, su propia actividad se puede ver afectada.

P.- ¿Cómo han evolucionado los ciberataques?
R.- De manera exponencial y no van a parar. La imagen que tenemos todos del ciberdelincuente como un adolescente con capucha se ha quedado atrasada. Los atacantes, sobre todo, los que buscan rédito económico cada vez son más profesionales, tienen más herramientas y hay un negocio muy importante en ello. Por lo tanto, han venido para quedarse. ¿Qué tenemos que hacer el resto? Convivir con ese peligro de manera natural igual que cuando vamos a comprar el pan, tenemos que cruzar una carretera y nadie prohíbe que existan ni carreteras, sino que ponemos pasos de peatones, semáforos… Es decir, gestionamos los riesgos de alguna manera y nos adecuamos a ese contexto de riesgo.

P.- Como responsable de Seguridad de Aragonesa de Servicios Telemáticos, ¿goza de buena salud la seguridad informática de la Comunidad?
R.- Es importante tener claro que la seguridad no es un estado, sino que es un proceso. La evolución está siendo muy positiva en los últimos años, en el aumento de inversión, el aumento de los equipos, de las capacidades de detección y respuesta. Estamos razonablemente bien y comparados con cualquier otra entidad de nuestro tamaño, de nuestro funcionamiento, del entorno público.

Por fortuna, hasta el día de hoy no hemos tenido grandes incidentes de ciberseguridad, lo que no quita que eventualmente ocurran y para eso nos preparamos. Es un poco como los bomberos. No nos preparan para que no existan los incendios, sino para que el día que existan se acoten lo más rápido posible y se eviten los incendios. Trabajamos mucho en prevención, en detección y en respuesta. En ese aspecto, la evolución es correcta.

P.- ¿Qué medidas deben tomarse tanto en empresas como en la Administración para evitar ciberataques?
R.- Si yo solamente tuviera que decir tres medidas serían: actualiza tus sistemas operativos y bastiona tu sofware, quita funcionalidades que no necesitas y haz que las redes y comunicaciones sean pequeñas, y por último, ten un backup fuera de línea, es decir, ten una copia de seguridad con la que puedas restaurar tu actividad.

A niveles más generales de ciberseguridad, es muy interesante que tengas hecho un análisis de impacto a negocio. Y a partir de ahí que sepas qué es importante para ti, prepárate para el desastre y qué es lo que necesitas para recuperar tu actividad ante un ciberataque.

P.- Compañías aéreas, entidades financieras e instituciones han sufrido recientemente ciberataques, ¿se aprende de ellos?
R.- Cualquier respuesta a un incidente es una lección aprendida. En la Agencia de Servicios Telemáticos tenemos muy integrado que lo primero hay que decir qué hemos hecho bien porque al equipo también hay que darle ánimo. Luego ya viene analizar qué podemos mejorar y visualizar al enemigo como nuestro maestro. Tras un ciberataque, cambia el contexto y, lo que originalmente parecía seguro, con el tiempo salió una vulnerabilidad. Por eso nosotros también hacemos ataques simulados en que el equipo defensor, el blue team, no lo sabe que se está defendiendo, mientras que el red team está atacando. Eso te permite tener una visión global de todo un ataque y te permite tener métricas.

Cualquier respuesta a un incidente es una lección aprendida

La mayor parte de las organizaciones, cuando mejoran en ciberseguridad, es porque o bien han sufrido un incidente o bien porque lo han visto en una entidad homóloga. En Aragón hemos visto ejemplos que empresas privadas han sufrido ciberataques y de repente eso ha sido una luz para muchas otras que han dicho, “ah, ya no solamente ocurre en Estados Unidos”. Resulta que el que está en el mismo polígono se ha quedado paralizado, le ha supuesto un coste e igual ha estado a punto de cerrar.

La experiencia es algo muy valioso y tenemos que darnos cuenta de que hay que asumir con cierta naturaleza que no venimos de una situación que es perfecta, sino que la realidad nos hace tener huecos y que hay que ir priorizando según las vulnerabilidades que vayamos viendo.

P.- La tecnología mejora la vida de las personas, pero también la puede complicar. ¿La seguridad es un reto?
R.- Diría que la ciberseguridad es una variable que tiene que estar integrada en la toma de decisiones de tu elemento tecnológico. Hoy en día los teléfonos inteligentes están muy extendidos porque te permiten hacer unas cosas que no queremos renunciar fácilmente a tenerlas. Pero claro, tenemos que tener cuidado que, si estamos usando esa tecnología, estamos poniendo en valor mucha información y muchos servicios, que son activos importantes y de alguna manera hay que protegerlo.

La ciberseguridad es una variable que tiene que estar integrada en la toma de decisiones de tu elemento tecnológico

Al igual que la seguridad vial tuvo que aparecer porque la mortalidad en carretera era un problema, la ciberseguridad tuvo que aparecer porque siempre va a haber algún tipo de incidente. Puede haber un atacante o un fenómeno natural que interrumpa tu actividad basada en la tecnología, desde un incendio hasta que se te ha roto el disco duro. Simplemente es que no nos coja con el pie cambiado y que analicemos qué es importante para nosotros y cómo está protegido.