En los últimos meses, el Instituto Nacional de Ciberseguridad (Incibe) ha incrementado la velocidad en su actividad con varias iniciativas de calado para la industria española. Desde la creación de un número de teléfono público de ayuda para la ciberseguridad, el 017, hasta la firma de un acuerdo con el Ministerio de Defensa para la formación de militares en estas materias y su incorporación a la vida civil. Pero, sin duda, la colaboración que más impacto puede tener es la que acaba de anunciar con Icex España Exportación e Inversiones para fomentar “la aceleración de empresas emergentes y apoyar la expansión internacional del sector” a través de la realización de una serie de misiones comerciales conjuntas como la apertura o consolidación de la presencia española en nuevos mercados. Todas estas estrategias ya se engloban bajo el paraguas de la dirección general del Instituto que ostenta Rosa Díaz desde hace escasos tres meses. La directiva traza, para CSO España, el mapa de la ciberseguridad para este año recién estrenado.
¿Cómo será el panorama de amenazas que nos espera en 2020?
Vamos a mantener la misma tendencia de 2019, con un primer bloque de ransomware que, con diferentes metodologías, está haciendo mucho daño a diferentes organizaciones en España. El encriptado de archivos y el robo de datos que, luego incluso se hacen públicos en el caso de que no haya un pago del rescate, es algo que vamos a seguir viendo. Otra de las amenazas seguirá siendo el fraude. Los ciberdelincuentes trabajan en diferentes formas de ingeniería social, de phishing y de fraude del CEO. Me gustaría hacer un llamamiento: se están haciendo transferencias por mucho importe simplemente por recibir un mail que dice que es confidencial y que te pide, en nombre del director general, que hagas una transferencia. Es un negocio muy lucrativo. Como último bloque destacaría las redes de botnets. Existen organizaciones que toman el control de los ordenadores para cometer cualquier tipo de delito.
¿Cuál es la receta para protegerse de estas amenazas? ¿Qué tendencias tecnológicas serán las más utilizadas?
Hay que trabajar en prevención, pero lo cierto es que las nuevas tecnologías como el big data o la inteligencia artificial, igual que están siendo explotadas por los ciberdelincuentes para localizar vulnerabilidades, deben ser implementadas por el sector de la seguridad. Las nuevas tecnologías están para ser utilizadas y que nos ayuden a estar más protegidos.
¿Cuál es la importancia de que el tejido empresarial español invierta, cada vez más, en seguridad?
Es vital. Las grandes empresas están más concienciadas pero donde tenemos que trabajar más y aunar esfuerzos es en la pyme. España es un país de pequeñas y medianas empresas y deben darse cuenta de que en un segundo, con un ciberataque, pueden llegar incluso a cerrar. La ciberseguridad debe ser el pilar de los negocios, de la transformación digital. Estas compañías tienen que ver este aspecto como una inversión, y no como un gasto. Nosotros animamos a todas las compañías a que inviertan y protejan sus datos.
¿Cómo lo pueden hacer si en muchos casos carecen tanto de recursos humanos como económicos?
Las pymes no tienen especialistas como para poder asumir el rol de todo lo que se necesita. Incibe cuenta con muchos recursos y documentación para que las empresas sepan cómo deben ser los primeros pasos. Lo que deben hacer es confiar en expertos. España cuenta con una fuerza sectorial muy importante y tenemos un catálogo de empresas que prestan estos servicios. Es necesario que confíen en estos proveedores, que pueden hacer análisis de riesgos y les pueden indicar dónde deben empezar a invertir para que consigan el retorno esperado.
«Se debe actuar en la prevención, pasar de la seguridad reactiva a proactiva»
En definitiva, el mensaje podría ser que la ciberseguridad es una inversión y que tampoco es tan difícil aplicarla.
Efectivamente. Muchas veces tampoco se trata de dinero. Lo vemos en organizaciones muy grandes. Hacen grandes inversiones, pero eso no significa que estén más protegidas. Depende de la tipología de empresa y de la adherencia que tengan a la tecnología. No es lo mismo una firma que casi no tiene contacto con lo digital que otra que opera online y que tiene varios sistemas. En definitiva, en España hay mucha oferta como para que todas las empresas puedan recibir esa ayuda.
¿En 2020 se irá cerrando esa brecha en lo que a medidas de seguridad implantadas en todas las empresas se refiere o, por el contrario, puede llegar a ser un año caótico de ciberataques?
La respuesta la tenemos en los medios de comunicación, donde vemos los ataques que se están produciendo. Vivimos en un mundo digital y cada día somos más vulnerables. Tenemos que poner las medidas necesarias para conseguir resiliencia ante esas vulnerabilidades y salgamos fortalecidos. Vamos a seguir viendo este escenario. Todos sabemos lo lucrativo que es el negocio del cibercrimen.
¿Qué es más importante ahora mismo, la prevención, la detección o la respuesta ante los incidentes?
Todo es importante. Pero el mensaje que nosotros damos es que se debe actuar en la prevención. Es decir, debemos pasar de una visión totalmente reactiva a una proactiva y poner las medidas necesarias y hacer un análisis de riesgos para que cuando llegue el ataque suframos las menos consecuencias posibles. Hay varios mantras dentro del sector de la seguridad. Uno de ellos dice que hay empresas que saben que son atacadas y otras que no lo saben, pero también lo son. También es importante hablar de otro tipo de medidas como las copias de seguridad (backup, en inglés). Muchas pymes, que en muchos casos no saben de esto, están viviendo verdaderos dramas. Necesitan copias de seguridad que no estén conectadas a la red para poder restaurar los sistemas en el menor tiempo posible.
Una de las complejidades más importantes a la hora de gestionar la seguridad de una empresa es el cumplimiento. ¿Cuáles son los pasos básicos que recomiendan?
Hay tres que diferencian nuestra antigua LOPD (Ley Orgánica de Protección de Datos) de las nuevas legislaciones (destaca el Reglamento General de Protección de Datos –GDPR, de sus siglas inglesas–). Con GDPR hemos dado un paso para homogeneizar la protección de datos personales a nivel europeo desde varios prismas. Por una parte, están las auditorías frente a los análisis de riesgos. Antes venía un auditor y luego tú ya veías si cumplías o no. La nueva legislación tiene otro concepto. Dice a las empresas que son ellas las que tienen que hacer los análisis, tomar medidas, documentarlas y demostrar que están cumpliendo. Pasamos, de nuevo, de la reactividad a la proactividad. Por otra parte, introduce la figura del Delegado de Protección de Datos (DPO, en sus siglas inglesas). Las compañías tienen que contar con este perfil. Por último, hablamos de notificación de brechas, aunque se contemplan multas importantes.
¿Es madura España a nivel de cumplimiento? A pesar de que llevamos casi dos años desde que GDPR entrase en vigor, parece que estamos todavía en período de adaptación a la norma. Por lo menos, en tiempo de no agresión por parte de las entidades con capacidad sancionadora.
No solo tenemos que pensar en la parte negativa de la multa. Es importante que, para medir la madurez, ver cómo esa organización está tomando medidas. Si al final soy atacado y previamente he hecho mi análisis de riesgos y he puesto medidas, al final no se puede entrar desde el punto de vista sancionador. En España parece que somos empresas last minute, nos cuesta y esperamos al último segundo. Pero, de alguna manera, esta regulación obliga a prestar atención.
El primer ejemplo de empresa española que ha tenido una brecha de datos y que no ha sido sancionada por cumplir con todos los requisitos previos ha sido Promofarma.
La seguridad no existe en su totalidad, pero si podemos poner medidas y establecer un plan de crisis. Es importante también que se reconozcan las buenas prácticas.
Fuente: https://cso.computerworld.es/
Cookie | Duración | Descripción |
---|---|---|
__cf_bm | 1 hour | This cookie, set by Cloudflare, is used to support Cloudflare Bot Management. |
_GRECAPTCHA | 6 months | Google Recaptcha service sets this cookie to identify bots to protect the website against malicious spam attacks. |
cookielawinfo-checkbox-advertisement | 1 year | Set by the GDPR Cookie Consent plugin, this cookie records the user consent for the cookies in the "Advertisement" category. |
cookielawinfo-checkbox-analytics | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics". |
cookielawinfo-checkbox-functional | 11 months | The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional". |
cookielawinfo-checkbox-necessary | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary". |
cookielawinfo-checkbox-others | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other. |
cookielawinfo-checkbox-performance | 11 months | This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance". |
CookieLawInfoConsent | 1 year | CookieYes sets this cookie to record the default button state of the corresponding category and the status of CCPA. It works only in coordination with the primary cookie. |
csrftoken | 1 year | This cookie is associated with Django web development platform for python. Used to help protect the website against Cross-Site Request Forgery attacks |
opt_out | 1 year | This cookie is used for preventing the installation of third party advertiser or other cookies on the browser. |
PHPSESSID | 24 minutes | This cookie is native to PHP applications. The cookie stores and identifies a user's unique session ID to manage user sessions on the website. The cookie is a session cookie and will be deleted when all the browser windows are closed. |
rc::a | never | This cookie is set by the Google recaptcha service to identify bots to protect the website against malicious spam attacks. |
rc::b | session | This cookie is set by the Google recaptcha service to identify bots to protect the website against malicious spam attacks. |
rc::c | session | This cookie is set by the Google recaptcha service to identify bots to protect the website against malicious spam attacks. |
rc::f | never | This cookie is set by the Google recaptcha service to identify bots to protect the website against malicious spam attacks. |
ts | 1 year 1 month | PayPal sets this cookie to enable secure transactions through PayPal. |
usprivacy | 1 year 1 month | This is a consent cookie set by Dailymotion to store the CCPA consent string (mandatory information about an end-user being or not being a California consumer and exercising or not exercising its statutory right). |
viewed_cookie_policy | 11 months | The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data. |
wordpress_test_cookie | session | WordPress sets this cookie to determine whether cookies are enabled on the users' browsers. |
Cookie | Duración | Descripción |
---|---|---|
cX_G | 1 year 1 month | Cxense sets this cookie for storing the global ID, mapping different ids together into one ID. |
v1st | 1 year 1 month | The v1st cookie is set by TripAdvisor to collect details about how visitors use the website, by displaying user reviews, awards and information received on the TripAdvisor community. |
yt-player-headers-readable | never | The yt-player-headers-readable cookie is used by YouTube to store user preferences related to video playback and interface, enhancing the user's viewing experience. |
yt-remote-cast-available | session | The yt-remote-cast-available cookie is used to store the user's preferences regarding whether casting is available on their YouTube video player. |
yt-remote-cast-installed | session | The yt-remote-cast-installed cookie is used to store the user's video player preferences using embedded YouTube video. |
yt-remote-connected-devices | never | YouTube sets this cookie to store the user's video preferences using embedded YouTube videos. |
yt-remote-device-id | never | YouTube sets this cookie to store the user's video preferences using embedded YouTube videos. |
yt-remote-fast-check-period | session | The yt-remote-fast-check-period cookie is used by YouTube to store the user's video player preferences for embedded YouTube videos. |
yt-remote-session-app | session | The yt-remote-session-app cookie is used by YouTube to store user preferences and information about the interface of the embedded YouTube video player. |
yt-remote-session-name | session | The yt-remote-session-name cookie is used by YouTube to store the user's video player preferences using embedded YouTube video. |
ytidb::LAST_RESULT_ENTRY_KEY | never | The cookie ytidb::LAST_RESULT_ENTRY_KEY is used by YouTube to store the last search result entry that was clicked by the user. This information is used to improve the user experience by providing more relevant search results in the future. |
Cookie | Duración | Descripción |
---|---|---|
_gat | 1 minute | Google Universal Analytics sets this cookie to restrain request rate and thus limit data collection on high-traffic sites. |
dmvk | session | The dmvk cookie is set by Dailymotion to record data of visitor behaviour on the website. |
Cookie | Duración | Descripción |
---|---|---|
_fbp | 3 months | Facebook sets this cookie to display advertisements when either on Facebook or on a digital platform powered by Facebook advertising after visiting the website. |
_ga | 1 year 1 month 4 days | Google Analytics sets this cookie to calculate visitor, session and campaign data and track site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognise unique visitors. |
_gid | 1 day | Google Analytics sets this cookie to store information on how visitors use a website while also creating an analytics report of the website's performance. Some of the collected data includes the number of visitors, their source, and the pages they visit anonymously. |
cX_P | 1 year 1 month | Cxense sets this cookie for site-specific user sessions - across sessions. |
Cookie | Duración | Descripción |
---|---|---|
guest_id | 1 year 1 month | Twitter sets this cookie to identify and track the website visitor. It registers if a user is signed in to the Twitter platform and collects information about ad preferences. |
test_cookie | 15 minutes | doubleclick.net sets this cookie to determine if the user's browser supports cookies. |
VISITOR_INFO1_LIVE | 6 months | YouTube sets this cookie to measure bandwidth, determining whether the user gets the new or old player interface. |
VISITOR_PRIVACY_METADATA | 6 months | YouTube sets this cookie to store the user's cookie consent state for the current domain. |
YSC | session | Youtube sets this cookie to track the views of embedded videos on Youtube pages. |
yt.innertube::nextId | never | YouTube sets this cookie to register a unique ID to store data on what videos from YouTube the user has seen. |
yt.innertube::requests | never | YouTube sets this cookie to register a unique ID to store data on what videos from YouTube the user has seen. |
Cookie | Duración | Descripción |
---|---|---|
__cflb | 1 day | This cookie is used by Cloudflare for load balancing. |
_awl | 1 year 1 month | No description available. |
_pcid | 1 year 1 month | Description is currently not available. |
_pctx | 1 year 1 month | Description is currently not available. |
gckp | 1 year | This cookie is set by the provider Cxense. This cookie is used for building user profile information across all sites in the Cxense network. |
itsec-hb-login-27e4caa2b0fb20a2dee118de04e9de77 | 1 hour | Description is currently not available. |
ntvSession | session | Description is currently not available. |