• Los ciberataques crecen en número y en gravedad.
• Las amenazas van más allá de los ciberdelincuentes: falta de medidas técnicas, incumplimiento legal, errores humanos, etc.
• España es uno de los países más ciberatacados y no se encuentra en los primeros puestos en cuanto a inversión en ciberseguridad.

El número de ciberataques creció hasta un 50% en 2021. Se han incrementado de forma exponencial los ataques de ransomware, los dirigidos a OT, IoT y a dispositivos móviles, el conocido como “fraude al CEO”, el robo de credenciales y el phishing o el robo de información con chantaje. Siempre ha existido un mercadeo de credenciales en la Deep Web, pero ahora –además– podemos encontrar a la venta ataques de command and control, en los que, incluso, se facilitan los scripts que automatizan la ejecución del ataque. Y lo peor es que no solo crece el número de ataques, sino la gravedad de los mismos, con motivo, entre otros, de la ciberguerra.

Según David Hernández, Inspector de la Policía Nacional y miembro de C1b3rWall, existe una gran discrepancia entre el número de ciberdelitos conocidos y aquellos que llegan a ser esclarecidos. En este sentido, Escarlata Gutiérrez, Fiscal especialista contra la criminalidad informática, apunta: “La especialización de los operadores jurídicos en cuanto a las TIC es fundamental. Tenemos retos y desafíos muy grandes a la hora de investigar estos delitos. Hay un grado de impunidad muy alto. De hecho, en muchas ocasiones, ni siquiera se llega a denunciar porque supone un daño reputacional muy grande para las empresas”.

Jornada de ciberseguridad

Son algunos de los datos dados a conocer en nuestra jornada “Ciberseguridad: ¿A quién nos enfrentamos?”, en la que nuestro director general, Francisco Valencia, ha advertido: “Van a seguir creciendo los ataques causados por los conflictos geopolíticos. Pero, además, aparece un punto importante: hay un mayor acceso a la ciberdelincuencia, es decir, cualquiera se puede convertir en ciberdelincuente de una forma fácil. Esto se debe, entre otras cosas, a la sencillez en el uso de la tecnología y, desde luego, nos plantea una nueva e importante amenaza”.

No hay que perder de vista que España es uno de los países más ciberatacados del mundo. Pero, por el contrario, no se encuentra entre los primeros puestos en cuanto a inversión en ciberseguridad. Todavía es una de las asignaturas pendientes para muchos organismos y empresas, que viven en una falsa sensación de seguridad.

Según los datos ofrecidos Francisco Valencia, en los Centros de Seguridad Avanzados (A-SOC) de Secure&IT también han visto cómo se incrementaba la actividad sospechosa y, en la actualidad, se gestionan unos 150.000 intentos de ataque mensuales.

Salir de un ciberataque puede costar, de media, entre 60 mil y dos millones de euros. Pero, además de lo económico, tiene un impacto reputacional, operativo, sobre las personas, sobre el cumplimiento y sobre la estrategia. Por todo ello, la ciberseguridad es una de las principales preocupaciones de las organizaciones.

¿A qué nos enfrentamos?

Existen múltiples motivaciones por las que cualquiera se puede convertir en una ciberamenaza: hacktivismo, ciberdelincuencia, ciberterrorismo, ciberespionaje o ciberguerra. Pero, los ciberdelincuentes “solo” son culpables de un 23% de los ataques. ¿A qué corresponde el resto?  Errores humanos, empleados descontentos, competencia desleal, incumplimientos legales o contractuales, falta de medidas técnicas, formación insuficiente, etc. De hecho, los factores que generan la mayoría de problemas en seguridad de la información son, fundamentalmente, tres: la falta de valoración de activos, la falta de comunicación entre los departamentos y la escasa formación y concienciación de los usuarios.

En muchos casos, la conjunción entre tecnología y seguridad se hace complicada y, en este momento, en el que nos enfrentamos a grandes retos en el ámbito de la ciberseguridad, las compañías (de cualquier tamaño o sector) deben estar preparadas. No olvidemos que cualquiera puede ser objetivo de los ciberdelincuentes pero, sobre todo, que las amenazas van más allá y ocasionan pérdidas a las empresas por lo que, intencionalmente o no, debemos denominar ciberataque. Y la empresa no es la única afectada ante un ataque. Por este motivo, es irresponsable y poco ético no aplicar medidas cuando se pueden ver afectados clientes, proveedores, socios, empleados o usuarios, entre otros.

Ciberseguridad industrial: amenazas y retos en el mundo OT

La industria está más que nunca en el punto de mira de los ciberdelincuentes. Por este motivo, en la jornada también se ha hablado de ciberseguridad industrial.  El ransomware en industria se ha multiplicado por 10 en un año y las consecuencias para las compañías pueden ser catastróficas. El coste medio de un ciberataque en entornos industriales se eleva hasta los 10 millones de euros. La intercomunicación con OT abre muchos huecos en ciberseguridad y los ciberdelincuentes saben que pueden hacer mucha presión en este tipo de entornos. “Nos encontramos en un escenario de aumento de las ciberamenazas; un entorno con arquitecturas de red heredadas; desconocimiento “de lo que hay”; una seguridad OT gestionada desde IT; carencia de conocimientos para la protección de ICS y, en muchos casos, escasez de medios y recursos. Por tanto, el elevado nivel de riesgo es un factor determinante en OT”, Hugo Llanos, director del área de Ciberseguridad Industrial de Secure&IT.

A estas dificultades hay que añadir que el panorama normativo en ciberseguridad industrial es complejo e, incluso, ambiguo. Existen diferentes estándares, normas sectoriales, requisitos específicos de los clientes, etc. Por este motivo, como explica Hugo Llanos, “en Secure&IT nos planteamos la necesidad de definir un conjunto de controles de ciberseguridad para el entorno industrial, que se ajustaran a un nivel de seguridad adecuado. Aquí surge la norma SEC-ICSF:2021, que proporciona un marco normativo de ciberseguridad industrial factible. Está orientada a todo tipo de empresas. Permite alcanzar un nivel de riesgo adecuado con un número de controles mínimo, y obtener una certificación por una entidad reconocida a nivel internacional”.

La situación económica actual

Durante toda la jornada se ha hablado de los retos y tendencias del sector. El catedrático en Economía y analista de actualidad económica, José María O´Kean, ha sido el encargado de abordar los aspectos económicos. En su ponencia “Buscando la estabilidad económica después de una pandemia, una guerra y una crisis energética” ha hecho un repaso de la situación desde que comenzó la pandemia hasta la actualidad: “Si las empresas salen del círculo de viabilidad dejan de ser rentables. Se tienen que adaptar a los muchísimos cambios que se están produciendo”. Y ha concluido apuntando que el mundo actual “no es de tener cosas, es de sentir cosas” y en esa línea hay que trabajar.

También participaron en la jornada Jesús Varela, Regional Sales Manager de la empresa Fortinet; Nuria Gálvez, Sales Engineer Iberia de Bitdefender; Víctor García Puerto, Country Manager Iberia de la empresa Radware, y Martín Pérez, Business Development Manager de Safetica.

Igual que en la edición anterior, la jornada se dividió en dos partes. La tarde, que fue inaugurada por Fernando Mairata, presidente de la Asociación Profesional de Peritos de Nuevas Tecnologías (PETEC), se destinó a la realización de varios talleres, en los que los participantes pudieron comprobar, de forma práctica, cómo las tecnologías pueden ayudar a las empresas en la gestión de su seguridad de la información.

by