Diez años fortaleciendo la ciberseguridad nacional

“Ha habido días más felices que otros”, decía lacónico Luis Jiménez, subdirector general del Centro Criptológico Nacional (CCN), a modo de resumen, “y si hemos señalado que ha habido más de 12.000 ataques de riesgo alto en la última década, de los cuales 516 han sido muy altos y 42 críticos, es porque en realidad han sido muy peligrosos. Los ciberataques constituyen hoy día la amenaza más importante y real para los intereses nacionales y la seguridad pública, porque pretenden poner en riesgo el normal funcionamiento de nuestra sociedad, de su economía y de su desarrollo futuro”.

En cualquier caso, no ha reventado ninguna presa, ni fuga radiactiva de una central nuclear, ni apagón en un hospital, por lo que nos podemos dar por satisfechos. Realmente los “malos” se toman esto como un negocio, y están más por la labor de secuestrar información vital para pedir un rescate, o directamente transferir fondos de cuentas particulares a las suyas propias. Y los más idealistas o fundamentalistas, por fortuna, tienen capacidad para rastrear y pasearse por las redes internas para hacer un desaguisado, pero aún dista mucho de poder llamar a eso ciberterrorismo. Por este orden, los principales ámbitos de los ciberataques se deben a espionaje (tanto industrial como promovido por Estados, los que más, el 90% del total), delincuencia organizada por mafias, hacktivismo (y no precisamente del ético), y más recientemente ciberyihadismo.

Según datos del CCN, cada día se registran 2,5 millones de eventos relevantes relativos a escaneos masivos de IP, accesos no autorizaos, suplantaciones de identidad, ataques más o menos sofisticados, infecciones de código malicioso, phising, redireccionamientos… incluso se puede decir que cada dos días hay tres incidentes de peligrosidad crítica o muy alta y cuatro intentos de ransomware con éxito. El papel del CCN se circunscribe a las administraciones públicas o de interés estratégico, dejando al resto de empresas y particulares a su propia suerte (aunque no están solas, hay muchas otras instancias como el Incibe, o los black-hats de la Policía Nacional y la Guardia Civil que velan en este otro ámbito).

Eso no significa que le falte trabajo: sectores como el aeronáutico, energético, gubernamental, defensa, farmacéutico, químico, grandes constructoras, medios de comunicación y financiero están adscritos por ley al ámbito del CERT, el centro de alerta temprana y respuesta a incidentes de seguridad creado en 2006 a semejanza de otros organismos gubernamentales del resto de países avanzados. Básicamente, el Ibex35. La adscripción al servicio es voluntario, y al principio había cierta desconfianza, pero hoy día demostrada su validez y efectividad del CCN hay cola por pertenecer a esta red, que encima ofrece el servicio de manera gratuita.

Se ha mejorado mucho en estos diez años en cuanto a prácticas, por ejemplo fundamental es la salida de la conexión a Internet agregada a través de una red segura y monitorizada como es la red SARA. El CCN ha colocado 135 sondas que vigilan su tráfico, de las cuales 30 han sido en el presente año, garantizando su seguridad lo más cercano posible al 100%. Es un trabajo arduo, pero todavía queda mucho por hacer, en especial en la administración local y diputaciones, que se van sumando a un ritmo de diez por año. Otra novedad inminente va a ser la protección y actualización de las redes y sistemas industriales, algo muy delicado puesto que no suelen admitir intrusiones y suelen corresponder a equipos al otro lado del perímetro que igual no se han tocado en quince años.

Entre las últimas tendencias señaladas, destaca el aumento de la superficie de exposición debido a las redes sociales, la nube, el Internet de las cosas y en especial a los móviles, con especial vulnerabilidad en la descarga de apps y archivos adjuntos, así como el correo dirigido (spear phising). El CCN prevé acabar el año 2016 con 19.000 incidentes resueltos, un 5% más que en 2015. “No aumentan porque haya más hackers, sino porque se detectan más. En algunos casos extremos, hemos detectado la presencia de código dañino que llevaba cuatro o cinco años residiendo en los sistemas. No están todos los que son, pero sí son todos los que están”, afirma Luis Jiménez. “Si queremos mejorar nuestro nivel de seguridad, es fundamental la colaboración público-privada. El factor determinante es que haya confianza mutua y que no esté ningún nombre en los medios al día siguiente, si no se podría arruinar el trabajo de diez años”.

X Jornadas de Ciberseguridad

Para concienciar a los usuarios de las autopistas de la información y ofrecer mejores prácticas y hábitos más saludables, el STIC CCN-CERT lleva diez años organizando un evento especializado que tiene una gran reputación en el sector, y que este año pretende batir todos sus récords. Se prevé una asistencia de 1.400 expertos de diverso perfil, y un centenar de ponencias (el call for papers se vio desbordado) en dos tracks. De igual manera, las peticiones de esponsorización y presencia en la zona de exposición también se colapsó, siendo finalmente admitidas 32 empresas y ocho entidades públicas porque no caben más en el recinto del Kinépolis-Ciudad de la Imagen de Madrid donde tendrán lugar los días 13 y 14 de diciembre.