?C¨®mo recuperarte de un ciberataque? La clave est¨¢ en la educaci¨®n

La capacidad de recuperarte de un trauma y salir fortalecido es lo que los psic¨®logos llaman resiliencia. Cuando lo aplicamos a la ciberseguridad es f¨¢cil entender que implica aprender lecciones de los ataques ya sufridos para que la compa?¨ªa sea cada vez m¨¢s inaccesible para los hackers. La clave de este concepto es que implica un cambio de mentalidad: pasamos de plantearnos la posibilidad de sufrir un ciberataque a tener la seguridad de que ocurrir¨¢.

Es decir, ¡°ya hemos entendido que los ciberataques son inevitables y la ciber-resiliencia nos ayuda a plantear qu¨¦ hacer cuando sucedan: nos preparamos mejor para afrontarlos¡±, explica Alberto Hern¨¢ndez, director general de INCIBE. Adem¨¢s, este cambio de mentalidad afecta tambi¨¦n a la forma en que se percibe la inversi¨®n del dinero. Si hablamos de la posibilidad de sufrir un ciberataque, el dinero dedicado a la protecci¨®n de la compa?¨ªa es un gasto; si hablamos de algo que suceder¨¢ con certeza, ese mismo dinero se convierte en una inversi¨®n.

Los participantes en un desayuno informativo organizado la semana pasada por EL PA?S RETINA y patrocinado por Accenture coinciden en que la coordinaci¨®n internacional y de equipos dentro de las compa?¨ªas es indispensable para adquirir esta ciber-resiliencia. ¡°La ciberseguridad es una cuesti¨®n internacional: no tiene fronteras y la colaboraci¨®n es imprescindible porque muchos ataques que suceden en nuestro pa¨ªs vienen de otros pa¨ªses¡±, sostiene Hern¨¢ndez. ¡°Uno de cada tres ataques internacionales tiene ¨¦xito¡±, apunta Xabier Mitxelena, responsable de ciberseguridad de Accenture para Espa?a, Portugal e Israel. Adem¨¢s, en este ecosistema, la comunicaci¨®n es clave. ¡°Las grandes organizaciones y el pa¨ªs tienen que tener un gran interlocutor para compartir informaci¨®n durante las crisis¡±, a?ade Mitxelena.

Esa es una forma de gestionar las crisis una vez que se ha producido el ataque. Pero, dado que los ataques inform¨¢ticos son imposibles de evitar, otra de las claves en la que los participantes se mostraron de acuerdo fue en la necesidad de concienciar a los trabajadores de las compa?¨ªas, a las pymes y a los usuarios. ¡°Es fundamental el cambio cultural que tiene que producirse en las organizaciones. No solo es cuesti¨®n de dinero¡±, asegura Rosa Kariger, directora global de ciberseguridad del grupo Iberdrola. ¡°Tambi¨¦n me preocupa en qu¨¦ situaci¨®n estamos dejando a las pymes: no tienen recursos y adem¨¢s no est¨¢n concienciadas. Un Wannacry en las pymes podr¨ªa parar el pa¨ªs y hacer mucho m¨¢s da?o que el virus que atac¨® a las grandes compa?¨ªas¡±, a?ade Alejandro Villar, director de ciberseguridad y riesgo tecnol¨®gico de Repsol.

• ?Qu¨¦ hacemos entonces?

Uno de los puntos a tener en cuenta es que las cuestiones de seguridad son reactivas, es decir, somos conscientes de la gravedad del asunto cuando nos atacan, no antes. Por eso, es importante dejar de castigar el fracaso y entender que nos sirve de aprendizaje. ¡°Es importante hacer simulacros, ensayar es una asignatura pendiente¡±, explica Juan Cobo, CISO global de Ferrovial. Y la historia lo demuestra. Tras el ataque Wannacry se supo que menos del 20% de las empresas se hab¨ªan enfrentado a un ransomware y la inmensa mayor¨ªa de las que fueron infectadas no hab¨ªan hecho los ejercicios de parcheo necesarios. ¡°Es necesario saber c¨®mo est¨¢ pensando el atacante y qu¨¦ quiere de m¨ª¡±, a?ade Xabier Mitxelena, responsable de ciberseguridad de Accenture para Espa?a, Portugal e Israel. ¡°El 80% de los ataques que se sufren son aleatorios pero el otro 20% restante est¨¢ pensado y orientado a tu compa?¨ªa por X motivos¡±.

Otra de las propuestas que se puso sobre la mesa fue la necesidad de obligar a los fabricantes a incorporar servicios de seguridad en sus productos. Ahora, si compras un ordenador, instalar un antivirus y actualizarlo es responsabilidad del usuario pero si ya trajera esa configuraci¨®n predeterminada, se podr¨ªan evitar grandes contagios. ¡°Un producto por defecto tiene que venir con la seguridad necesaria. Y luego podemos a?adir los refuerzos que queramos. Esta podr¨ªa ser una forma de ayudar a las pymes, d¨¢ndoles el producto hecho¡±, propone Kariger. Y lo compara con la seguridad en los coches: ¡°los autom¨®viles ya tienen que venir de f¨¢brica con el sistema ABS instalado, no podemos esperar a que el conductor se haga cargo de eso¡±, explica. Y Hern¨¢ndez, de INCIBE, recalca que ¡°seguimos necesitando educaci¨®n: ¡°los conductores tienen que saber utilizar los sistemas de seguridad de un coche y responsabilizarse de mantenerlos. Igual con la ciberseguridad¡±.

?Y c¨®mo hacemos todo esto? Tirando de talento y mejora de procesos. ¡°A pesar de la fuga de cerebros de la crisis espa?ola, seguimos teniendo mucho talento, mucha capacidad de generar industria¡±, asegura Mitxelena. Y Juan Cobo, de Ferrovial, est¨¢ de acuerdo a medias: ¡°Hay mucho talento en Espa?a, pero est¨¢ mal pagado y se acaba yendo. Por ahora, nos apoyamos mucho en terceros, que s¨ª que tienen ese talento. Pero eso es un error. Muchos de los ataques comienzan con los empleados, que no instalan actualizaciones o descuidan los sistemas operativos. Por eso la concienciaci¨®n es tan importante¡±.

Desde un punto de vista m¨¢s pr¨¢ctico y tirando de inteligencia artificial, Villar, de Repsol, propone automatizar tareas donde ahora mismo falla el ser humano. Kariger, por su parte, apuesta por la formaci¨®n de los trabajadores: ¡°M¨¢s que contratar a un ej¨¦rcito de hackers, es mejor trabajar la formaci¨®n en ciberseguridad de los t¨¦cnicos que ya tenemos, fomentar el talento interno y el trabajo transversal. La tecnolog¨ªa ya la tenemos, es necesario el talento y la formaci¨®n¡±.