Año tras año se incrementa el número, tipología y gravedad de los ataques contra los sistemas de información de las Administraciones Públicas y Gobiernos, de las empresas e instituciones de interés estratégico o aquellas poseedoras de importantes activos de propiedad intelectual e industrial y, en general, contra todo tipo de entidades y ciudadanos.
Esta afirmación, que aparece en el informe de Ciberamenazas 2015 y Tendencias 2016, que elabora el CCN-CERT, no es muy escuchada hasta que ocurren ataques informáticos como el que recientemente comenzó en España y se expandió por medio mundo. El llamado Wannacry (Quiero llorar) afectó a 600 compañías españolas, según confirmó el Instituto Nacional de Ciberseguridad (Incibe), de las que menos de diez corresponderían a empresas estratégicas. Pero también, a electrodomésticos conectados a internet, algo de ciencia ficción hasta hace poco tiempo.
Los hechos, muestran algo que ya es sabido por los expertos: España ha sido y es uno de los países más castigados por las ciberamenazas, especialmente en materia de ciberespionaje y ciberdelincuencia organizada. Basta ver los datos de los años 2014 y 2015 para ser conscientes de las dimensiones del problema.
En el año 2014, se abordaron 12.916 incidentes, de los cuales, 132 fueron catalogados como críticos, es decir, “aquellos que pueden causar degradación de los servicios para un gran número de usuarios, implicar una grave violación de la seguridad de la información, pueden afectar a la integridad física de las personas, causar importantes pérdidas económicas, ocasionar daños irreversibles a los recursos de la organización, se puede incurrir en delitos y/o sanciones reglamentarias u ocasionar un daño muy grave en la imagen de la organización.”
En el año 2015, el CCN-CERT gestionó un total de 18.232 incidentes detectados en las Administraciones Públicas y en empresas de interés estratégico, de los cuales 430 fueron catalogados con un nivel de riesgo muy alto o crítico. Lo que representa un incremento del 41,45 por ciento con respecto al año 2014.
Esta información, que puede leerse en el Informe de Ciberamenazas 2014 y Tendencias 2015 y en el Informe de Ciberamenazas 2015 y Tendencias 2016 que elabora el CCN-CERT, tiene que llevar a las instituciones, a las empresas y también a los ciudadanos a ser conscientes de las amenazas a las que estamos expuestos en esta nueva sociedad tecnológica. Y también a actuar para poder evitarlas en lo posible.
Es cierto que hay centros, como el Centro Criptográfico Nacional, que las estudia, analiza y señala medidas para evitarlas. Pero es importante que los ciudadanos pasemos de la información a la formación y educación ante estas nuevas amenazas.
Las tecnologías están cambiando nuestras vidas a una velocidad para la que en muchos casos no estamos preparados ni individual, ni colectivamente ya sea en el plano social, político, o económico. Además, se eluden debates éticos necesarios, porque lo importante es el incremento de la velocidad y la inmediatez.
Un camino, que nos impide en muchos casos reflexionar sobre la seguridad en esta sociedad interconectada las veinticuatro horas del día, los trescientos sesenta y cinco días del año, en todos los lugares donde nos encontramos, y también en el terreno donde hasta ahora se guardaba nuestra intimidad y máxima seguridad: nuestro hogar.
Durante el último año, con las denuncias y hechos ocurridos en distintos procesos electorales, sobre todo, en la campaña a la Presidencia de EE.UU, el grado de alerta de los ciudadanos ha aumentado y se presta más atención a informaciones que hasta hace poco tiempo estaban ubicadas en el terreno conspirativo y de la ciencia ficción para la mayoría de las personas.
Así, cobran más vigencia para la población amenazas que hay que combatir y que anteriormente ya eran puestas de manifiesto en distintos informes del Centro Criptográfico Nacional:
- El ciberespionaje (político o industrial) ha constituido la mayor amenaza para los países, estando especialmente dirigida a los sistemas de información de las corporaciones industriales, empresas de Defensa, alta tecnología, automoción, transportes, instituciones de investigación y Administraciones Públicas.
- La delincuencia en el ciberespacio se está organizando de manera más profesional, usando Internet para la perpetración de múltiples tipos de delitos y con el objetivo final del beneficio económico.
- Hay Hacktivistas: Personas o grupos, más o menos organizados, cuyas prácticas persiguen el control de redes o sistemas para promover su causa o defender sus posicionamientos políticos o sociales, basados en motivos ideológicos.
- En 2015 ha aparecido una nueva amenaza: el ciberyihadismo, que usando métodos, procedimientos y herramientas del terrorismo, el hacktivismo y la ciberguerra constituye una realidad incipiente y supone una de las mayores amenazas con las que se enfrentarán las sociedades occidentales en los próximos años.
- Existen otros actores como Cibervándalos, Script kiddies, actores internos, ciberinvestigadores, y organizaciones privadas.
Y ante estas amenazas, hay que elevar a deber ciudadano el conocimiento, la divulgación y la permanente puesta en funcionamiento del decálogo de ciberseguridad que plantea el Centro Criptográfico Nacional:
1.- Aumentar la capacidad de vigilancia de las redes y los sistemas. Es indispensable contar con el adecuado equipo de ciberseguridad.
2.- Monitorización y correlación de eventos. Uso de herramientas capaces de monitorizar el tráfico de red, usuarios remotos, contraseñas de administración, etc.
3.- Política de Seguridad Corporativa restrictiva. Adecuación progresiva de los permisos de usuario, servicios en la “nube” y la utilización de dispositivos y equipos propiedad del usuario (BYOD).
4.- Configuraciones de seguridad en todos los componentes de la red corporativa. Se incluirán los equipos móviles y portátiles.
5.- Uso de productos, equipos y servicios confiables y certificados. Redes y sistemas acreditados para información sensible o clasificada.
6.- Automatizar e incrementar el intercambio de información. Reciprocidad con otras organizaciones y Equipos de Respuesta a Incidentes de Seguridad de la Información (CERTs).
7.-Compromiso de la Dirección con la ciberseguridad. Los cargos directivos deben ser los primeros en aceptar que existen riesgos y promover las políticas de seguridad.
8.- Formación y la Sensibilización de usuarios (eslabón más débil de la cadena). Todos y cada uno de los niveles de la organización (dirección, gestión e implantación) deben ser conscientes de los riesgos y actuar en consecuencia.
9.- Atenerse a la legislación y buenas prácticas. Adecuación a los distintos estándares (en el caso de las Administraciones Públicas al Esquema Nacional de Seguridad –ENS-).
10.- Trabajar como si se estuviese comprometido. Suponer que los sistemas están ya comprometidos o lo estarán pronto y proteger los activos fundamentales.
Tenemos que generalizar el uso de medidas de seguridad. Y ponerlas al mismo nivel de utilización que los propios medios electrónicos.
Ese es el cibercamino.
