Introducción

El objetivo de este capítulo es esbozar el nuevo panorama de la ciberseguridad en las empresas y explicar los retos en un contexto de extrema ansiedad.

1. Ciber

En primer lugar, el término "cibernético" (del griego "kubernân", gobernar), utilizado como prefijo de otro término (-seguridad, -riesgo, -resiliencia, -actitud, -ataque, -espacio, -guerra...) indica una dimensión de gestión de la disciplina estudiada. En el caso de la seguridad informática, esto significa tener en cuenta todo lo relacionado con la gestión de los sistemas digitales en general: sistemas de información, objetos conectados, ordenadores, computación en la nube, bases de datos, redes de comunicación, software empresarial, ofimática, almacenamiento... e incluso recursos humanos.

2. Ciberseguridad

Si profundizamos en el tema y partimos de la siguiente definición, podremos delimitar el alcance de la ciberseguridad:

"La seguridad informática, también conocida como ciberseguridad es el área relacionada con la informática y la telemática que se enfoca en la protección de la infraestructura computacional y todo lo vinculado con la misma, y especialmente la información contenida en una computadora o circulante a través de las redes de computadoras. Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas, y leyes concebidas para minimizar los posibles riesgos a la infraestructura y/o a la propia información. La ciberseguridad comprende software (bases de datos, metadatos, archivos), hardware, redes de computadoras, y todo lo que la organización entienda y valore como un riesgo si la información confidencial involucrada pudiera llegar a manos de otras personas, por ejemplo, convirtiéndose así en información privilegiada." - Wikipedia - Octubre de 2020.

3. Proteger

En otras palabras, se trata de PROTEGER los activos informáticos de una empresa. Esto se aplica a todo tipo de organizaciones, sea cual sea su tamaño: PYMES, grandes empresas, establecimientos sanitarios, gobiernos, autoridades locales, etc.

a. Simplemente proteger

Precisamente porque existe una gran codicia por parte de personas ajenas a la empresa - los atacantes (hackers)...

Las ramas de la ciberseguridad

1. Los cinco ámbitos de cobertura

Para comprender plenamente la "disciplina" de la ciberseguridad y poder proyectar la empresa hacia la era de la resiliencia cibernética, es necesario abordar ciertos temas que, por otra parte, servirán de hilo conductor a lo largo de este libro; más concretamente, se trata de identificar y describir cinco ámbitos:

Los cinco temas de la ciberseguridad

Ámbito	Temas	Ejemplo
Normativa	Leyes, decretos, órdenes, directrices de certificación, normas...	Directivas NIS, la norma ISO 27001...
Gobernanza	Plan director, documentos estratégicos (políticas)	Política de seguridad del sistema de información (PSSI), política de autenticación de usuarios, política de gestión de contraseñas, etc.
Metodología	Métodos de análisis de riesgos	Métodos, herramientas y programas informáticos para la realización de análisis de riesgos: EBIOS, MEHARI...
Tecnología	Medios técnicos de protección	Productos/software/servicios tecnológicos/plataformas, on-premise, nube privada o nube pública
Recursos humanos	Formación, buenas prácticas	Plan de formación, plan de concienciación, campaña de phishing, serious game...

2. El ámbito reglamentario

a. Directiva Network and Information Security (NIS 2016/1148)

Objetivo general

El objetivo de esta directiva, adoptada en julio de 2016 por el Parlamento Europeo y el Consejo de la Unión Europea, es aplicar medidas de seguridad para "garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión Europea". Responde así a la necesidad de asegurar y proteger las actividades sensibles y críticas de los Estados europeos, de cooperar entre los distintos miembros de la Unión Europea y, más en general, de aplicar cualquier medio para elevar el nivel de ciberseguridad ante la explosión del volumen de ciberataques a escala mundial.

Proveedores de servicios esenciales (PSE)

Definición

Son entidades que prestan servicios en línea (sitios de comercio electrónico, motores de búsqueda, servicios en la nube). Estos servicios también los utilizan los OSE.

Esto plantea una verdadera pregunta a los OSE: ¿pueden...

Los retos de la ciberseguridad

El contexto actual es de ansiedad, y con razón; las empresas se enfrentan a un impulso particular en forma de tríptico:

Aumento de los ciberataques

Los ciberdelincuentes están cada vez más organizados, y pueden pasar de la infección inicial a la parálisis total de todo el SI y la red con peticiones de rescate en menos de 45 minutos.

Creciente complejidad de la seguridad de los sistemas de información

Dado que el espacio de exposición aumenta constantemente, es preciso definir, aplicar y revisar constantemente las configuraciones y normas de seguridad y ciberhigiene en entornos tecnológicos y empresariales en constante evolución.

Escasez de talentos

En el año 2020, hubo miles de puestos vacantes en Europa en el sector de la ciberseguridad, debido a la falta de sensibilización de su sistema de educación inicial y de su política de formación profesional. No cabe duda de que estos puestos se cubrirán en los próximos años, pero mientras tanto, las empresas tienen que hacer frente y externalizar masivamente la gestión de los ciberriesgos a empresas especializadas.

El contexto de la ciberseguridad induce a la ansiedad

Este nuevo panorama de la ciberseguridad es aún más complejo debido a una fortísima huella tecnológica ligada a la hibridación; de hecho, tenemos que lidiar con sistemas de información cada vez más fragmentados en tres ecosistemas con fronteras a veces difusas:

On-premise
Intelligent Edge
Nube

Ejemplo de cibercontexto aplicado al mundo sanitario

1. Las dos caras de la transición digital

La transición digital, iniciada hace unos años, afecta ya a todos los sectores de actividad. Se aceleró drásticamente en 2020 con los trastornos sociales y organizativos impuestos por la crisis sanitaria COVID-19.

Como una moneda, esta transición tiene dos caras, que deben...

Convergencia inevitable de la nube y la ciberseguridad

La década de 2000

A mediados de la década de 2000, la seguridad informática aún no se llamaba ciberseguridad y se reducía más o menos a la implantación de cortafuegos, antivirus y antispam. Todos estos elementos se instalaban, por supuesto, en las salas de servidores de las empresas donde la virtualización empezaba a imponerse. Los virus se contentaban con borrar archivos, reiniciar ordenadores y colapsar sistemas, hacer caer sitios web bombardeándolos con solicitudes de red, enviar publicidad inoportuna, etc.

La década de 2010

A mediados de la década de 2010, se produjo un nuevo punto de inflexión con la llegada de los cryptolockers y su estela de ransomware, que bloqueaban las máquinas y se podía obtener la clave de descifrado mediante el pago de un rescate. Al mismo tiempo, como contramedida, se organizó una aceleración de la resiliencia a tres niveles:

Gobernanza: la llegada de la función de RSSI a las organizaciones, la normalización del alojamiento de datos sanitarios con las aprobaciones HD y luego las certificaciones HDS (en el ámbito francés) que exigen la certificación ISO 2700A para la gestión de la seguridad de los sistemas de información, la llegada del concepto de SOC (Security Operations Center) para encargarse de la supervisión y el tratamiento de los incidentes de seguridad.
Escudo técnico: la llegada de los EDR, las soluciones antivirus de nueva generación basados en el análisis del comportamiento, el filtrado web (proxies), las funcionalidades reforzadas de los cortafuegos (sondas de detección y prevención...

Una dosis "verde" en ciberseguridad

El sector de la ciberseguridad no es una excepción en lo que respecta a los retos de la tecnología digital responsable. Los dispositivos tecnológicos estarán certificados para garantizar la menor huella de carbono posible. Los registros tendrán que ser capaces de devolver información relevante para optimizar el espacio de almacenamiento o adaptar el consumo de energía en función de los picos de actividad. La inteligencia artificial proporcionará escenarios para reducir la huella de carbono de la tecnología digital.

Los sistemas de mensajería se reducirán drásticamente, al igual que los datos de producción, cuyo uso debe medirse para aplicar políticas eficaces de almacenamiento y archivo.

Los flujos de Internet y de las redes también se verán afectados, con la puesta en marcha de mecanismos de reducción del uso; así, es posible imaginar una IA capaz de adaptar el nivel de ciberseguridad de toda una SI en función de la hora del día, el sector de actividad, los hábitos de trabajo de los empleados, la estacionalidad... Todo ello con el único objetivo de producir menos gases de efecto invernadero, una verdadera eco-actitud automatizada podría ver la luz.