«El 80% de los ataques cibernéticos que sufrimos se podrían prevenir»

Expertos debatieron acerca de los riesgos con los que conviven empresas y particulares y las oportunidades profesionales que generan

Susana Tejedor

Gijón

Sábado, 26 de noviembre 2022, 02:10

La ciberseguridad está de moda y es un riesgo. Además, quien lleva a cabo un ataque nunca lo hace desde el principio hasta el fin él solo. Estas fueron algunas de las afirmaciones que se expusieron ayer en el transcurso de la jornada de 'Ciberseguridad, claves para conocer y responder a una amenaza global' que, organizada por AsturiasInnova+, se desarrolló en el Palacio Maqua, de Avilés.

El robo mensual de datos, explicó José María Urbano, director de AsturiasInnova+, se eleva hasta los 10 terabytes, según datos de la Unión Europea. En España se han detectado 1,2 millones de amenazas al mes en lo que llevamos de año, lo que equivale a un incremento de ataques por encima del 77% respecto al año anterior, 40.000 ataques al día, 1.700 a la hora, con la salvedad de que la mayoría de los incidentes cibernéticos no se denuncian.

Los jóvenes fueron los encargados de abrir el primero de los actos: la mesa redonda 'Estudiantes de ciberseguridad y su doble visión: la del problema y la de la salida profesional', moderada por Cristina Tuero, coordinadora de AsturiasInnova+. Cristina Santervás, Pelayo Campa y Alfonso Orviz hablaron de sus experiencias. Todos ellos cursaron o cursan estudios en el CIFP de Avilés, «un centro modélico que hace 48 horas recibía la noticia de ser seleccionado para formar parte de la red estatal de centros de excelencia 2022 impulsada por el Ministerio de Educación», apuntó Urbano.

Público asistente a la jornada de Ciberseguridad.

Las incidencias más habituales son «la gente que mete mal la contraseña en el Windows», relató Santervás desde su propia vivencia como analista. «Cada día es una aventura», para Campa, autodidacta que ahora está realizando el curso del CIFP para desarrollar sus conocimientos de una forma más teórica.

En el centro docente es profesor de hacking ético Guillermo González Benito, que explicó que el curso académico, de 720 horas de duración y repartido en seis módulos formativos, pretende ser «un recorrido transversal sobre la ciberseguridad para conocer las ramas más potentes y decidir en cuál te quieres detener». Se estudian casos prácticos reales. «La ciberseguridad es un campo mucho más amplio de lo que parece, es el eslabón más débil».

Desconocimiento

Aunque la edad no es un factor determinante a la hora de ser más proclive a sufrir un ataque, Cristina Santervás incidió en que «los mayores tienen más desconocimiento, pero los jóvenes se descuidan más». Orviz señaló que «muchos errores se cometen por desconocimiento», por ello cree que «lo fundamental es ser consciente de ello» porque, añadió Campa, «no se valoran las consecuencias que puedes tener» por desconocimiento. Además, el ataque no solo se sufre a través de las redes sociales, «en una simple llamada telefónica puedes caer», alertó Santervás.

La primera mesa redonda la protagonizaron profesores y alumnos de ciberseguridad del CIFP Avilés.

El profesor aportó un consejo para evitar o prevenir los daños. «Ser igual de cauto en la vida física que en la virtual». Por si acaso, Pelayo Campa recomendó «tener siempre un empleado que sepa de ciberseguridad». Aunque según los primeros cálculos en los próximos años se van a necesitar 1.400 profesionales en la región, Guillermo González cree que igual es un número elevado. Se necesitan perfiles específicos y son complicados de encontrar. Nosotros damos una formación básica y la empresa les da su camino». Este año ha habido más del doble de demandantes que de plazas. «Es muy divertido si les gusta el área, requiere una actualización constante y para los profesores es un reto salvaje porque hemos de enseñar cosas que han pasado ayer».

El siguiente paso es un ciclo superior. Desde hace dos años se implantó en España un curso de especificación de FP que da acceso al Máster. Sigue habiendo pocas mujeres en esta disciplina, lo que González achaca a una cuestión «cultural» y Cristina Santervás cree que son «prejuicios». Un último consejo por parte del docente a los estudiantes: «que no piensen en qué quieren estudiar sino en qué quieren trabajar».

«Aparentar ser experto»

El director de la oficina global de ciberseguridad de Adidas, Julio García, protagonizó una divertida charla basada en 'Cómo aparentar ser un experto en ciberseguridad en media hora' porque, comenzó, «a todos nos encanta aparentar ser un experto», así que aportó una serie de nociones para conseguirlo en el área de ciberseguridad. Hay que partir, dijo, de unos fundamentos básicos y ser hábiles para formular preguntas inteligentes, algo que puede ser muy útil, bromeó, en «una entrevista de trabajo, en una charla informal con el jefe o en una discusión con el cuñado».

Lo primero de lo que hay que partir, insistió, es qué quieren proteger las empresas. «Desde el punto de vista técnico se dice que quieren proteger sus activos y esto es cualquier cosa que tenga valor para la empresa; puede ser desde las personas, la propiedad intelectual, un archivador o la propia reputación de la empresa», pero normalmente en el mundo de hoy, advirtió, «todo es digital y todo está en los ordenadores».

«¿En un incendio qué salvaría la empresa?», formuló. «Los discos duros antes que muchos muebles u otros activos», respondió, ya que la seguridad de la información «es intentar preservar la confidencialidad, es decir, que nadie más pueda tener acceso». También muy importante es la integridad, «que los datos que hay ahí se puedan modificar cuando se quiera y con suficientes garantías» y la disponibilidad, o que significa «que podamos tener esa información cuando la necesitemos».

Por muchas obligaciones que las empresas tengan, Julio García las redujo a tres: buenas prácticas, una especie de normas políticas de la empresa; las legales, están definidas, y la parte de riesgos, que no están escritos, es una posibilidad de que ocurra, pero que no queremos que suceda.

Así es que, y siguiendo con el afán de «aparentar», Julio García recomendó tener presente a qué perfil nos enfrentamos, por lo que habló del riesgo de seguridad «para principiantes». Lo primero, activos (archivo, fichero, persona), sigue la amenaza, cualquier evento potencial, «solemos pensar en los hackers, pero pueden ser cosas completamente accidentales, como un incendio, o una caída de red». Luego, la probabilidad, «con qué frecuencia me cae la red»; la vulnerabilidad que es cualquier debilidad o exposición a la que ese activo puede estar expuesto y alguien se aproveche; el impacto, el efecto de que ocurra un incidente, «normalmente es una pérdida monetaria, pero puede ser un daño en la reputación»; y la mitigación, que es cualquier medida o elemento que pongamos para reducir las vulnerabilidades o las probabilidades. Todo esto se resume en definir el riesgo de seguridad, una combinación de todo. En las empresas, la mayor parte del tiempo se trabaja en reducir las vulnerabilidades porque no se tiene control sobre ellas.

Ciberseguridad, ¿un problema o una oportunidad?

La ciberseguridad ya no es un problema sino una realidad, una oportunidad y un reto, se comentó en el debate último. Pero hay un problema de base, «faltan cimientos» porque «¿quién no dejó a sus hijos el móvil para bajar juegos?». Sigue primando el «a mí no me va a pasar», tanto en particulares como empresas. Se apeló a la unión «porque es un pastel para todos». «La ciberseguridad ha llegado para quedarse», matizó Jesús Daniel Salas, director de operaciones de Delivery de DXC, que insistió en que mientras haya tecnología habrá «ciberriesgos». Además, ha surgido un nuevo negocio: los ciberseguros. Todos remarcaron que los ataques «están más presentes de lo que creemos» y recomendaron estar alerta, ya que, por ejemplo, «en las cuentas bancarias» hay caldo de cultivo para ello.

«A quién nos enfrentamos»

«La ciberseguridad está de moda», dijo Miguel Ángel Lubián, socio fundador y director del Área de cumplimiento de Ciberseguridad del grupo CIES, antes de hablar de 'Lecciones no aprendidas desde la trinchera. Modus operandi de un ciberataque', Partió de un simulacro de ataque de seguridad, un terremoto. «Las primeras preguntas son por qué hay incidentes de seguridad, ¿la tecnología es ahora más insegura que hace 15 años?». Puede que haya negocio, que se intensifique el uso de la tecnología profesional y personal, que aumente la superficie de exposición, que desconozcamos la amenaza, que nos falten protocolos o que carezcamos de todo lo anterior. «Es importante saber a quién nos enfrentamos» y tener presente que los que nos atacan «están muy organizados y son muy sofisticados» y quien lleva a cabo un ataque «nunca lo hace solo desde el principio hasta el fin, está especializado. Hay gente que se dedica exclusivamente a conseguir direcciones de correos válidas». Por ello, recomendó «compartir ciberinteligencia; los buenos debemos coordinarnos para que los malos no nos ataquen. Es esencial conocer la amenaza, conocerse a sí mismo, para discernir los puntos débiles, anticiparse e invertir en seguridad». Porque, Lubián no duda: «el 80% de los ataques que sufrimos se podrían prevenir». Las contraseñas, advirtió, «son un mal invento, pues se venden en internet y hay que reforzar ese aspecto». Tener una hoja de ruta, formarse y antivirus de última generación fueron algunas recomendaciones.