Bueno, pues Buenas tardes. Estamos aquí en la UNED
y hoy tenemos con nosotros un ponente de excepción.
Se trata de Miguel Ángel Amutio Gómez. Él es de Bilbao, al igual
que nuestra compañera y directora del departamento Carolina Mañoso.
Un saludo Carolina. Estudió en el Colegio Lasalle y es
licenciado en informática por la Universidad de Deustche.
Colegiado de honor por el Colegio Profesional
de Ingeniería Informática en Galicia
y actualmente es el encargado de la dirección del Centro de
Operaciones de Ciberseguridad de la Administración General del Estado.
Es director de planificación y coordinación de ciberseguridad.
También es presidente del órgano técnico de normalización, ENOR, concretamente
del Comité Técnico de Normalización 307 sobre gestión de riesgos.
y vocal de la Asociación Española de Normalización del Comité Técnico de
Normalización 320 sobre ciberseguridad y protección de datos personales.
Ha sido y es ponente en multitud de
eventos de ámbito nacional e internacional.
Es habitual verlo en las conferencias, en los encuentros STIC, etc.
Es también coordinador y editor de diversas publicaciones oficiales y
colaborador también del Instituto Nacional de Administración Pública.
Ha recibido multitud de premios y reconocimientos por su contribución al
desarrollo del esquema nacional de seguridad y de interoperabilidad en España.
Y de eso nos va hoy a hablar.
Ha sido coordinador de la elaboración y desarrollo de dichos
esquemas y de sus normas técnicas de interoperabilidad.
Nadie mejor que él conoce los entresijos
que hay por dentro de ambos esquemas.
Y nada más. Decirle que es un honor para nosotros tenerlo aquí.
Y que muchas gracias por aceptar la invitación desde Cibercam, desde
la UNED y desde su curso de formación permanente en ciberseguridad.
Bienvenido y cuando quieras Miguel Ángel.
Saludos, muchas gracias Antonio por la presentación y muchas gracias a la UNED y a
Cibercam por la oportunidad y la confianza depositada para impartir esta conferencia.
Bueno, vamos a hablar del esquema nacional de seguridad como referente para la ciberseguridad en una jornada en la
que como veremos están ocurriendo cosas importantes y que sin hacer spoilers pues ya mencionaremos más adelante.
Bueno, vamos a ver qué está ocurriendo, dónde
estamos y qué retos de ciberseguridad tenemos.
En primer lugar nos tenemos que ubicar en el proceso en el que nos
desenvolvemos, un proceso complejo de transformación digital, sí o sí.
Porque esto es una expresión que acuñé hace algún tiempo en el sentido de que o tomábamos
las riendas para transformar nuestro ámbito en el terreno de lo digital o nos transformaban.
De ahí esa figurita que nos representa a todos nosotros
entregados como si no hubiera mañana a todo lo digital.
Y bueno, pues ya hemos visto qué impacto tiene como personas y como profesionales en nuestra vida diaria, en nuestro
trabajo, ocio, entretenimiento, consumo, relaciones sociales y cómo impacta en las organizaciones en todos sus procesos.
Bueno, la administración además tiene un impacto porque le permite ofrecer servicios por diversos canales y prácticamente de manera continua y llegar a personas que
en otra época tenían dificultades en acercarse a la administración por la ubicación geográfica o por otras condiciones de movilidad o cualquier otro condicionante.
Además que observamos que cuando se hacen valoraciones de los servicios, por ejemplo, de la administración, suele haber una mejor percepción
entre los internautas y las personas que se acercan por el canal digital, incluso que entre quienes se acercan por el canal presencial.
Bueno, como decía, la transformación digital es un proceso complejo que implica una serie de elementos, las personas en
el centro, porque tenemos que adecuarnos y adquirir y evolucionar nuestras competencias y adquirir competencias digitales.
Y además porque llega a todas las personas de la organización, no sólo
a los expertos de TIC, sino a todas las personas y a todos los niveles.
Tenemos los procesos que tienen que adecuarse a la nueva realidad digital y que además nos permiten implementar metáforas como las del principio
de sólo una vez, que en nuestro ámbito lo conocíamos como el derecho a no aportar datos y documentos que obran en poder de la administración.
Tenemos la tecnología que tiene oportunidades, pero también tiene riesgos. Y los datos, que son una clave fundamental para la prestación de los servicios y también
para la configuración de las políticas públicas, para las decisiones macro, micro, para la transparencia, el sector infomediario, la reutilización, etcétera.
Y además hay unos elementos que veremos que se proyectan transversalmente, que son la ciberseguridad, que se proyecta a las
personas, los procesos, la tecnología y los datos, y la interoperabilidad, que también se proyecta a todos los elementos.
Y todo ello en nuestro contexto de principios y valores democráticos. Esto es algo que ha emergido especialmente desde la declaración de
Berlín de diciembre de 2020 y que permeabiliza lo que estamos realizando y particularmente es visible en todos los actos de la Unión Europea.
En otro momento era menos evidente, pero hoy en día es más evidente porque
hay otros lugares del mundo donde tienen otras agendas y tienen otros valores.
Aquí la clave es que la transformación digital implica que lo digital
es nuestro quehacer, nuestro negocio, por decirlo de alguna manera.
Y eso significa que lo digital adquiere el
valor que antes tenían las cosas tangibles.
También ocurre que al desplazar todo el quehacer al medio digital, cuando
ocurre algo desde el punto de vista de la ciberseguridad, ya no hay plan B.
Hace muchos años podíamos ver noticias en los periódicos, y no voy a citar, de algún gran centro de cálculo
o de alguna gran empresa, que luego el titular era "el follón de resolver todo con papel y bolígrafo".
Hoy en día estamos viendo, cuando han ocurrido determinadas circunstancias como incidentes de ransomware de gran alcance
en entidades del sector público, cómo los servicios no se pueden volver a prestar hasta que no se restauran los sistemas.
Entonces la amenaza sigue al valor, con lo cual nos encontramos con
que la ciberseguridad se ha convertido en una prioridad estratégica.
Y se ha convertido en una prioridad estratégica porque tenemos una gran dependencia de
todo lo digital para desarrollar todas nuestras actividades, que hacer nuestro negocio.
Y bueno, pues hay una grandísima interconectividad y como estamos utilizando toda suerte de dispositivos, ya no
vivimos en aquellos entornos de otro tiempo aislados o amurallados, sino que hay una gran superficie de exposición.
Los actores de la amenaza, los agentes de la amenaza, actúan en coordinación y se aprovechan de esa mayor conectividad
y superficie de exposición y además que amplían su actividad contra toda suerte de organizaciones, individuos y objetos.
Con una mayor frecuencia de las amenazas,
sofisticación, alcance y severidad del impacto.
Si ponemos el foco en las víctimas y nos fijamos en el informe de panorama de amenazas de ENISAE 2023, de otoño
2023, por cierto, el nuevo de 2024 saldrá ahora en octubre o en noviembre, pero suele ser bastante estable.
Si vamos a ese informe, veremos que la
administración pública es el sector más atacado.
Después vienen las personas objetivo, el sector salud, la
infraestructura digital, transportes, manufacturas, etc.
¿Y qué es lo que están haciendo los agentes de la amenaza?
Pues van a por la información, van al robo o
exfiltración de la información con o sin divulgación.
Ahí puede entrar en juego el triple chantaje, es decir, si no me pagas no te doy las claves de cifrado, si no me pagas divulgo esta información o la
comercializo a través de la dark web y encima pende sobre ti la amenaza de una autoridad de control que te pueda inspeccionar, investigar o sancionar.
Está lo que es la alteración de la información, incluyendo la inserción de información o datos
falsos en el sistema, la destrucción de la información a través de ese ransomware destructivo,
las amenazas contra los servicios que van a
interrumpir la prestación de los servicios.
La verdad es que hoy en día con los escudos que tenemos, pues los ataques de denegación de servicio,
aunque hay momentos de campañas intensas, pues conseguimos pararlos y son más o menos molestos,
pero lo que sí es especialmente perjudicial o dañino es un ataque de cifrado destructivo,
porque no solo te destruye esa información, salvo que tengas copias de seguridad,
sino que hasta que no limpies y restaures, pues te quedas sin poder prestar los servicios. Todo esto tiene un
impacto en el cumplimiento de las misiones, ejercicio de derechos, cumplimiento de deberes, normal desenvolvimiento.
Hay un esfuerzo de recuperación que puede llegar a tener un coste significativo
y además hay un esfuerzo de comunicación y habitualmente un daño reputacional,
porque hemos visto cómo lo que hace no mucho tiempo, hace unos años, pues quedaba en la prensa o en los ámbitos de noticias del
sector, pues hoy salta a las primeras planas y a todos los medios de comunicación de todo tipo cuando se produce un incidente.
Ese panorama de amenazas y de tendencias, ¿qué tenemos? Pues en primer lugar el ransomware, en segundo lugar el malware, tenemos las amenazas
de ingeniería social, que además están dando lugar a una actividad muy intensa por parte de unos actores que pueden hacer mucho daño.
y que no necesitan tampoco unas capacidades especialmente sofisticadas y que van orientados, se orientan a conseguir a través de engaño,
fisi, no dar web, por ejemplo, credenciales de acceso a sistemas que no tienen o servicios que no tienen doble factor de autenticación.
y a partir de ahí ya se van moviendo y empiezan a desfiltrar información y normalmente cuando se les descubre, pues cuando les pierde la
codicia, es decir, cuando hacen un movimiento en el que da esa típico el acceso, el volumen de la información descargada, es cuando se descubre,
mientras se están haciendo movimientos que son puntuales, pues pasan
sin ser distinguibles de otros usuarios, vamos a decir, legítimos.
Las amenazas a los datos, que tienen que ver con la pérdida, alteración, destrucción, las amenazas contra la disponibilidad
de los servicios, contra la disponibilidad de Internet, las amenazas relativas a la manipulación y a la influencia
y las amenazas contra la cadena de suministro, que
también es un foco de atención en los últimos tiempos.
Y luego, pues en ISA también he hecho una proyección de las amenazas a 2030, que ya veremos porque esto
probablemente irá evolucionando, irá cambiando con la expansión y extensión de la inteligencia artificial y del 5G,
pero ahí tenemos las amenazas relativas a los sistemas legacy, las deficiencias de parche de
mantenimiento, de capacidades, la manipulación, la vigilancia digital, la cadena de suministro, etc.
En fin, el abuso de la inteligencia artificial.
¿Contra esto qué podemos hacer? Bueno, pues contra esto, ya hemos dicho que los actores actúan de una manera más coordinada, pues por nuestra parte tenemos que reforzar
también la coordinación, las capacidades conjuntas y adaptarnos en una evolución permanente a todo lo que viene y aprender de todo lo que sucede, lecciones aprendidas.
De ahí, bueno, pues tenemos lecciones de las situaciones de alerta generalizada, como cuando se desató la invasión de Ucrania por parte de Rusia, cuando hay vulnerabilidades de
carácter generalizado o hay amenazas o incidentes que van dirigidos a colectivos grandes de nuestras entidades y entonces, bueno, pues vamos aprendiendo de ese tipo de situaciones.
Y ante eso, pues tenemos grandes instrumentos y nuestros grandes
instrumentos son la aplicación del esquema nacional de seguridad.
Decía en algún momento que incidimos en la aplicación y en su implantación más que en la noción de cumplimiento, porque hemos visto que
cuando estamos con las entidades que han sido víctimas de algún tipo de incidente de alcance, pues ya entramos en el análisis de la situación.
Es habitual que reconozcan que de haber tenido una situación de mejor o mayor aplicación del esquema
nacional de seguridad hubieran podido protegerse o eludir ese incidente o el impacto hubiera sido menor.
Luego, pues tenemos que desplegar capacidades de ciberseguridad, pues la Administración
General del Estado, comunidades autónomas, entidades locales, fin, los ámbitos.
Yo suelo poner, pongo foco naturalmente en el sector público y luego, desde hace mucho tiempo, insistimos en una serie de
amenazas que luego ya veremos el detalle, que son amenazas prácticas, pero que son eficaces frente a las amenazas más comunes.
Bueno, lo cierto es que venimos ante esto haciendo un
esfuerzo colectivo, multidisciplinar y sostenido en el tiempo.
Hace ya bastantes años nos podemos remontar a, digamos, cercanías de la Ley 3092 cuando hicimos los criterios de seguridad,
normalización y conservación, pero un hito importante es la publicación del esquema nacional de seguridad en 2010.
Y después vino todo, después vino la legislación de protección de infraestructuras críticas, el reglamento de identidad electrónica y servicios de
confianza, el reglamento general de protección de datos, la primera directiva NIS, dos estrategias nacionales de ciberseguridad, la de 2013 y la de 2019.
Y, bueno, toda esta explosión de la estrategia europea de ciberseguridad en diciembre de 2020, todo el cybersecurity package y luego en diciembre
de 2022, pues la directiva NIS, el reglamento DORA, la directiva CER y, bueno, hasta hoy, como veis, no era intencionado, pero me llamó la atención.
Yo no pretendía este look en escalera, pero al prepararlo dije, ah, qué curioso. A medida que avanzamos en la transformación digital y en
la ciberseguridad se intensifica toda la actividad, especialmente legislativa y regulatoria, en el ámbito europeo y en el ámbito nacional.
Y como cada época tiene su afán, pues el afán en nuestra época es la ejecución, que hablaremos más tarde, del plan
de recuperación, transformación y resiliencia que nos canaliza los fondos europeos de tipo Next Generation, etc.
Bien, y todo esto se desenvuelve en un contexto estratégico. Nuestro contexto estratégico viene dado por nuestra estrategia nacional de ciberseguridad, que tiene unos objetivos en relación con la seguridad y resiliencia
de activos estratégicos, con lo que es el uso seguro y fiable del ciberespacio, la protección de nuestro ecosistema empresarial y social, la cultura de la ciberseguridad y la colaboración en el ámbito internacional.
Y hay una línea de acción, que es la línea de acción 2, que tiene que ver con
garantizar la seguridad y resiliencia de los activos estratégicos para España.
Y ahí es donde se habla de la plena implantación de la esquiva nacional de seguridad, del despliegue del centro de operaciones de ciberseguridad en la
Administración General del Estado y del despliegue de capacidades de ciberseguridad en las demás administraciones, comunidades autónomas, entidades locales, etc.
Bien, y bueno, pues todo esto tiene un reflejo. En el Global Cybersecurity Index de 2020 salíamos en cuarta
posición, empatados con otros países, y hace unos días, el 12 de septiembre, se ha publicado la edición de 2024.
Han cambiado ese modelo de ranking por unas agrupaciones, y el caso es que España está en la agrupación de nivel 1, en el T1, y es un hecho
que puntúa prácticamente al máximo en los grandes pilares, es decir, el Marco legal, organizativo, de cooperación, técnico y de capacidades.
Esto no significa que no tengamos mucho por hacer, pero sí significa que
tenemos, que estamos haciendo los deberes. Aquí la clave es seguir adelante.
Y bueno, lo que sí se muestra es que estamos por encima de la
media de la Unión Europea. Pues así estamos y así se nos reconoce.
Bueno, visto donde estamos, cuál es la situación y qué está ocurriendo,
vamos a ir desarrollando una serie de retos que tenemos por delante.
El primer reto que tenemos, bueno, el orden podría ser otro o discutible, yo he elegido este
reto, este orden. Bueno, el primero que he puesto es un Marco legal crecientemente exigente.
Y es un Marco legal crecientemente exigente, yo diría que porque responde a las inquietudes de la transformación digital, a que son unas disciplinas que en relación
con otras ingenierías y otras materias para las cuales se ha venido regulando durante décadas, pues es todo más novedoso y responde también a la sensibilidad.
Es decir, no podemos poner nuestras vidas, nuestra economía, nuestra sociedad en manos de lo digital y no contar con unas reglas de tráfico y
unos códigos de circulación mínimos y unas obligaciones y unos requisitos y unas responsabilidades mínimas en proporción a ese planteamiento.
Hay que entender que la importancia del Marco legal es que nos proporciona
seguridad jurídica, pero que es una cuestión que nos planteamos desde el principio.
¿Por qué el esquema nacional de seguridad se plasmó un real decreto? Porque en su día se vio esto tiene que proporcionar
seguridad jurídica, tiene que estar escrito en negro sobre blanco y publicado en el boletín oficial del Estado.
Pero si solo tenemos eso, solo tenemos papel. Necesitamos la gobernanza, la cooperación, la colaboración y la comunidad
para que eso no sea una imposición, porque esto requiere un esfuerzo colectivo, pero si solo tenemos eso es buena voluntad.
Necesitamos, por tanto, las capacidades en la trinchera, las capacidades, servicios
y soluciones, porque si no, pues estamos expuestos a todos los agentes de la amenaza.
Y por otra parte, todas esas capacidades requieren
inversiones, son complejas y requieren una dotación.
En este momento tenemos los fondos que vienen del plan de recuperación, transformación y resiliencia en nuestro ámbito y tenemos
también los instrumentos de la Unión Europea, el programa Europa Digital, Horizon Europe o cualquier otro de los instrumentos que tiene.
Por ponernos en ese anclaje, porque lo que hemos hecho, a diferencia de lo que ocurrió en otros países, en otros Estados miembros y lo que ocurría
allí con la interoperabilidad y con la seguridad, es que nosotros lo que hemos es embebido todo esto en nuestro Marco de legislación administrativa.
Por eso nuestras leyes administrativas reconocen entre los derechos, el derecho a la confidencialidad
y a la seguridad de nuestros datos en ficheros, sistemas y aplicaciones de la administración.
Y por eso también es entre los principios generales de funcionamiento de la administración, esta interoperabilidad, y está
la seguridad y la garantía también de la protección de los datos personales y la prestación conjunta de los servicios.
Es decir, todo con una visión integrada y coherente.
Bueno, pues en un determinado momento y con esa
perspectiva se concibió el esquema nacional de seguridad.
¿Y por qué se concibió así hacia mediados de la década de 2000?
Porque se vio que no era posible concebir la administración electrónica que en el momento, digital hoy en día,
sin que fuera acompañada de las medidas adecuadas de seguridad, integradas en toda la legislación administrativa.
Además, vamos a decir, personalizadas o adaptadas a los requisitos y necesidades hoy en día
del sector público y alineado con todos los contextos estratégicos nacionales y europeos.
Por eso el esquema se plasmó en un real decreto que luego, fruto de un esfuerzo colectivo de sector público y
sector privado a través de las grandes asociaciones del sector, lo hemos ido manteniendo actualizado en 2015.
Porque había llegado ya, por ejemplo, el reglamento
de identidad electrónica y servicios de confianza.
Ya habíamos adquirido un bagaje de experiencia de
aplicación y en 2022 lo hemos vuelto a actualizar.
Y luego ya comentaré la importancia de esta actualización de 2022.
Además, se ha convertido en una referencia para la protección de datos porque la disposición adicional
primera de la Ley Orgánica 3/2018 de protección de datos se remite al esquema nacional de seguridad
cuando habla de la adopción de medidas para proteger los datos frente
a su pérdida, alteración, destrucción o comunicación no autorizada.
Y también es un referente que se ha plasmado en la transposición de la primera directiva en isla de 2016
en los instrumentos de transposición al Real Decreto Ley 12/2018 y su Real Decreto de Desarrollo 43/2021.
Entonces, como decíamos, el esquema nacional de seguridad está recogido
en nuestras leyes administrativas en evolución a lo largo del tiempo.
Y establece la política de seguridad y está constituido unos principios
básicos, unos requisitos mínimos para la protección adecuada de la información.
Y está publicado en el Boletín Oficial del Estado. Y esto se concibió para crear unas condiciones de confianza en el uso
de los medios electrónicos de la administración digital, podríamos decir, mediante la aplicación de medidas de seguridad.
Bueno, pues garanticen el ejercicio de derechos, el cumplimiento
de deberes, todo lo que es el quehacer del sector público.
Pero también tuvimos en cuenta que tenía que ser un instrumento
para promover la gestión continuada de la seguridad.
Una de las características de la administración electrónica, de la administración digital, es esa continuidad en la
prestación de los servicios que tiene que ir acompañada de forma continua de esa vigilancia, de esas medidas de seguridad.
También es una forma de promover la prevención, la
detección, la respuesta, la vigilancia continua.
También proporciona los elementos comunes para la interconexión
y la interacción y la comprensión mutua en materia de seguridad,
tanto en el ámbito de las transacciones e interacciones dentro de la administración
como en la relación con proveedores, otros actores, cadena de suministro o la sociedad.
Vimos hace muchos años, y la Unión Europea ha llegado en esto lustros después, pero nosotros vimos que una de las claves para la administración
electrónica, para el flujo de datos y de servicios, para la interoperabilidad, es que hubiera una comprensión común de las medidas de la seguridad.
¿Cómo ibas a hacer que un gran actor de la administración pusiera a disposición de los demás sus bases de datos y sus registros
primarios para que el resto los consumieran ese o un colectivo de actores si no había una comprensión común de los servicios?
Por eso, esa vinculación con el ENI y verán en algún momento también ponencias de actores del mundo de la seguridad, fuerzas y cuerpos
de seguridad de Estado, que inciden en el valor que aporta la seguridad para luego lo que es ese flujo de datos y de servicios,
pues esas plataformas que tenemos de redes, de intermediación de datos, de
intercambio de registros, de cualquier otro flujo de datos y de servicios.
La panorámica del instrumento, vamos a ver algunas pinceladas simplemente para tener una
perspectiva global y luego vamos a poner foco en algunas cuestiones especialmente interesantes.
No vamos a desgranar todo, pero sí vamos a tener la fotografía.
Es un instrumento legal con sus 41 artículos, 7 capítulos, las disposiciones adicionales, transición, que va repasando cuáles son los objetivos, los
principios básicos, los requisitos mínimos, el mecanismo de categorización, las medidas, los mecanismos de reacción, de tratamiento de incidentes,
el papel de las infraestructuras y servicios comunes, lo que es la auditoría, cómo lo desarrollamos a través
de las instrucciones técnicas de seguridad, el soporte interpretativo a través de las guías de aplicación,
lo que es la conformidad a través de la certificación de la conformidad con el ENE-S que veremos y la monitorización, lo que es el
cierre del círculo de poder tener un informe anual del estado de la seguridad que nos dé una fotografía de cuál es la situación.
Fotografía que hoy en día tiene 9 o 10 ediciones y que nos da una serie histórica y ya nos permite
ofrecer una visión de cuál es la situación más allá de una serie de apreciaciones subjetivas.
Luego tiene unos anexos con el detalle de cómo aplicamos ese mecanismo de proporcionalidad a través de la categorización en tres peldaños, categorías
básica, media y alta, el anexo con las medidas de seguridad, las precisiones y las precisiones para la auditoría de la seguridad de los sistemas.
Pero, como decía, es mucho más que un instrumento legal porque aparte de su desarrollo, actualización, referencias en
otros instrumentos, lo hemos acompañado de una amplia colección de guías de soporte interpretativo, la serie CCN STIC 800,
de una colección de herramientas del CCNSE, de una guía para la adquisición de productos y servicios de seguridad de la STIC en el
mercado, los perfiles de cumplimiento específico para adaptarnos a situaciones, a colectivos o entornos tecnológicos, que ya veremos.
Tenemos el mecanismo de conformidad en colaboración con la entidad nacional de acreditación, que ha dado lugar a un ecosistema de entidades acreditadas por la ENAC
frente a la ISO/IECE 17.065, que es la Norma ISO que especifica los requisitos de las entidades que certifican la conformidad de productos, procesos y servicios.
Y finalmente tenemos la monitorización con el
informe anual del estado de la ciberseguridad.
Esto es un esfuerzo colectivo y ahí hay elementos tractores.
La Secretaría General de Administración Digital y el Centro Criptológico Nacional, el Centro
Nacional de Inteligencia, trabajamos mano con mano a lo largo de los años en todas estas labores.
Concebimos y lo plasmamos desde el primer día que tenía que ser un instrumento sometido a evolución permanente, porque evoluciona las tecnologías, está
progresando la transformación digital, evoluciona la ciberamenaza, evoluciona nuestro contexto de nuestro Marco legal, evoluciona el contexto estratégico.
Tenemos una mayor aplicación, tenemos una mayor experiencia,
mayor bagaje y tenemos también más datos de su aplicación.
Y por eso, pues emprendimos en su día una actualización que se plasmó en Mayo de 2022,
en el Real Decreto 3.11.2022 y que perseguía tres grandes objetivos estratégicos.
El alineamiento del instrumento con el contexto legal y estratégico nacional y europeo
del momento, porque desde 2015 a 2022 habían pasado muchas cosas y muy importantes.
Vimos que siendo un instrumento general, pues hay colectivos
que tienen requisitos y aspectos específicos comunes.
Tenemos la Administración General de Estado, grandes departamentos,
comunidades autónomas, consejerías, organismos vinculados y dependientes.
Tenemos entidades locales, pero tenemos más de 8.100 entidades locales.
Y hay que pensar que 7.700 tienen menos de 20.000 habitantes y de todas
ellas, pues prácticamente son 250 las que tienen más de 50.000 habitantes
y del orden de 60 o 63 o por ahí, los
que son municipios de gran población.
Tenemos las entidades supramunicipales como
diputaciones, cabildos y consejos insulares.
Entonces, pues había que atender otros contextos,
por ejemplo, la aplicación de servicios en la nube.
Lo vamos a comentar más en detalle.
Y luego, pues hicimos una revisión pormenorizada de principios, requisitos
y medidas a la luz de las necesidades y tendencias en ciberseguridad.
Teníamos el documento abierto, tan
abierto que estábamos al quite de todo.
Y una anécdota, el 12 de Mayo de 2021 se publicó la orden ejecutiva del
presidente Biden de mejora de la ciberseguridad en los Estados Unidos,
con una serie de planteamientos de mejora
de ciberseguridad en las agencias federales,
con foco en el cero-trash, en el doble factor de
autenticación, el uso de servicios en la cloud,
la necesidad de intercambiar información de ciberamenazas, ciberincidentes,
atención a la cadena de suministros y al software Bill of materials,
lo que es la cadena de componentes de software, todo lo que son los playbooks
y la referencia también al análisis de los incidentes para establecer lección.
Entonces, nosotros miramos eso por arriba, por abajo, por el derecho, y inmediatamente destilamos
al borrador, por ejemplo, las referencias que han quedado a la cadena de elementos de software,
reforzamos lo que ya teníamos y consolidamos la protección
de la cadena de suministro, que creo que es el OPX3,
reforzamos lo que es la protección de los servicios en la nube e introdujimos
el cero-trash, pero claro, no aparece la noción de cero-trash con esa voz,
pero uno de los requisitos del ENESE de mínimo privilegio hace
la noción a cero-trash, que no podíamos trasladar esa expresión.
¿Cómo aplicarlo? Esto es genérico. En el supuesto hipotético caso que llegáramos a una organización
que es un folio en blanco, tendríamos que empezar a pensar y elaborar la política de seguridad,
definir los roles, designar las personas, ver los mecanismos
y los comités y los mecanismos de resolución de conflictos,
ver qué es lo que estamos manejando, qué información manejamos y qué
servicios prestamos y ver cuál es categorizarla, hacer el análisis de riesgos,
determinar las medidas aplicables, preparar la declaración de aplicabilidad, implantar,
monitorizarlo, auditarlo, obtener la conformidad y entrar en una serie de ciclos.
Normalmente esto no es así. Estamos haciendo un gran proyecto de adecuación o mejora
de la adecuación al ENESE en las entidades de la Administración General del Estado.
Si siempre hay, entonces hay un gap análisis, un análisis de dónde estamos y lo
que se hace es un plan de mejora porque las entidades ya tienen muchas cosas.
Pero bueno, sirve de concepto. Y a partir de ahora
voy a poner foco en alguna cosa que es muy importante.
Esta adecuación, cómo hacemos y facilitamos la aplicación
del ENESE en determinados colectivos o ámbitos.
Hemos creado una figura muy flexible que es el perfil de cumplimiento
específico que sobre la base del análisis de riesgos y atendiendo a la categoría
podemos concretar un escenario de medidas
de seguridad para ciertos colectivos.
Pusimos el foco en universidades públicas, organismos pagadores, entidades locales segmentadas por población
de menos de 5.000, 5.000 a 20.000, 20.000, 75.000, también diputaciones que habilgan los consejos insulares.
Ahí no están todos los perfiles, pero hemos creado una colección muy
amplia también de perfiles orientados a los servicios en la nube.
Están los de requisitos básicos de seguridad y hemos creado también como un alineamiento temprano un perfil de
cumplimiento específico para las entidades en el alcance de la directiva NIS2, de lo cual hablaremos más adelante.
Tenemos que demostrar la conformidad ante propios y extraños que
hemos implantado todos esos principios, requisitos y medidas.
Para todas las entidades en el alcance del ENS, sector público, sector privado, proveedores,
prestadores de servicios y en base al análisis de riesgos, cadena de suministro.
Mismos procedimientos y mismos documentos.
Ya tenemos un ecosistema con una colección creciente muy amplia de entidades, como
decía, acreditadas por ENAC y con un número muy creciente de entidades certificadas.
También es verdad que es mucho mayor el número de entidades certificadas
del sector privado porque constituye una ventaja competitiva.
Estamos empujando para que eso esté equilibrado con las certificaciones en el sector público porque es la
evidencia, como ahí el proceso es muy riguroso, pues es la evidencia de que todas las medidas están aplicadas.
Aquí hay una cosa muy importante y es que incluimos en la actualización del esquema que los
pliegos de prescripciones técnicas incluyeran los requisitos relativos al cumplimiento del ENS
vía demostración de la conformidad mediante la certificación.
Esto estaba en los borradores de 2008 y
2009, pero todo tiene sus ciclos de madurez.
No podíamos incluirlo en aquella época porque hay que ir adelante, a veces lo mejor es enemigo de lo bueno
y hay que producir instrumentos que la organización, en sentido amplio, puede digerir y puede procesar.
Cuando lo hemos introducido en la actualización de 2022, después de 700-800 comentarios
de todo el ámbito del sector público y del sector privado, nadie puso foco en eso.
Es decir, pareció un elemento obvio, con lo cual todo el
mundo estaba maduro y comprendía que eso era algo natural.
Bueno, he introducido esta transparencia porque siempre hay alguien que pregunta por
el ENS y por la 27001 o los confunde o los compara o dice que hay que cumplir otra...
Bueno, vamos a ver.
El esquema nacional de seguridad es legislación, regulación de nuestro
país para garantizar el ejercicio de derechos y el cumplimiento de deberes.
Y esta es un esquema para la protección de la
información y de los servicios que estamos manejando.
Entre los mandatos que tienen las medidas de Marco organizativo está
el que tú tengas un sistema de gestión de seguridad de la información.
Y ahí tenemos lo que nos ofrece la normalización voluntaria.
Y la normalización voluntaria nos ofrece las especificaciones para la implementación
de un sistema de gestión de seguridad de la información eventualmente certificable.
Y esa es la relación.
Por otra parte, también hemos desarrollado el soporte documental para que entidades que han ido
por la vía de la 27001 vean el gap para completar el camino y llegar a la conformidad con el ENS.
Y también tenemos, aquí he citado la
825, tenemos la 852 que es el reverso.
Es decir, las entidades que han ido por el camino del ENS y que por cualquier circunstancia, especialmente organismos pagadores, etc., todavía
quedan por ahí flecos en la Unión Europea que hacen referencias específicas a cumplimiento con la 27000, pues puedan hacer ese camino hacia la 27001.
También es verdad que ahí hemos hecho un camino y es que, por ejemplo, en el nodo, en las reglamentaciones relativas a aidas, se
introdujo en relación con la seguridad la conformidad con la Norma que he citado o vía el cumplimiento de la legislación nacional.
Porque hay una serie de países en la Unión
Europea que tenemos este tipo de marcos.
Y ahora, pues también estamos en diálogo con la comisión en estos días porque se está cocinando el acto de implementación de la directiva NIS 2 y lo que queremos es que haya un reconocimiento que es así
porque es una directiva y luego los estados tenemos nuestros mecanismos para garantizar el cumplimiento de ese nivel de la NIS 2 o superior, que ya lo veremos, pues vía nuestros marcos, legislación, etc.
Esto nos lleva a la segunda parte del Marco legal
que es este contexto tan entretenido y tan divertido.
Es cómo explicamos en una sola transparencia
una selva tan complicada como la Unión Europea.
De esta forma, tenemos un contexto estratégico que es el de los documentos estratégicos de transformación digital, la brújula digital 2030, la estrategia de Ciudad
y seguridad de la Unión Europea que planteaba que había que evolucionar la NIS 2 y tener ese reglamento para las entidades financieras y la resiliencia, etc.
Con lo cual, tenemos un Marco legal, ese Marco legal que ha ido desarrollando y que ahí pueden ver todos los aspectos
relativos a lo que nos interesa de administración digital y otros, porque no solo es exclusivo de ciberseguridad.
Estamos construyendo, hay que articular todo esto, hay que construir unas estructuras de gobernanza, de cooperación, de colaboración y hay una
colección de estructuras que se están construyendo y de agentes para construir la comunidad, como el Centro Europeo de Competencias en Ciberseguridad.
o para la gestión de crisis como la red Euciclón o como llevamos
a la práctica la directiva NIS, el grupo de cooperación NIS.
Y luego, las capacidades, porque parte de los objetivos de la Unión
Europea, capacidades en los ámbitos nacional y transfronterizo.
Por eso, se promueve, y ya veremos, esa red de centros cibernéticos y se promueven a través del
programa Europa Digital las capacidades de ciberseguridad en los ámbitos nacional y transfronterizo.
Con lo cual, llegamos también a los fondos.
Ante todo esto, pues tenemos que estar muy atentos, tenemos el alineamiento temprano, la
transposición, la aplicación de la cosa, la participación intensa y la respuesta a la monitorización.
Tenemos que ser, hacemos los deberes, con lo cual tenemos que ser exhaustivos y obsesivos en la entrega a los cuestionarios,
a los ejercicios de monitorización, para que haya un reconocimiento justo y objetivo de nuestros hechos, datos y actuaciones.
Estamos en la directiva NIS2, que es el afán de ciberseguridad de esta época
y que fundamentalmente incluye tres cuestiones, tres grandes cuestiones.
Exige a los Estados miembros como tales que
refuercen capacidades de ciberseguridad, veremos.
Introduce una serie de obligaciones para las entidades en su alcance, medidas especialmente
de gestión de riesgos de ciberseguridad y de notificación de incidentes, entre otras.
Y luego establece una serie de normas relativas a la cooperación, en el
ámbito europeo, en el ámbito nacional, la supervisión y la ejecución.
El plazo que está previsto es que debería estar transpuesta
para el 17 de octubre y aplicable pues del 18 de octubre.
Llegará cuando llegue, porque se está trabajando y entonces surtirá efectos desde el
momento en que esa transposición ya esté publicada en nuestro boletín oficial del Estado.
Se refuerzan, como decía, obligaciones para los Estados miembros.
Si se fijan, lo que se está haciendo es articular
toda la ciberseguridad en la Unión Europea.
Y para que puedas articular esa ciberseguridad, tienes que tener un conocimiento de cuál
es tu escenario de entidades esenciales importantes, que son las voces que se utilizan.
Y tienes que tener a quién llamar. Tiene que haber los puntos de contacto,
tiene que haber coordinadores, tiene que haber puntos de contacto.
Tiene que haber autoridades competentes para la gestión de crisis. Vuelta otra vez, tiene que haber
unos planes de gestión de crisis y tiene que haber unas autoridades y unos puntos de contacto.
Hay que designar los CSIR nacionales, hay que designar cuál de
esos CSIR es el que hace la divulgación de vulnerabilidades.
Hay que garantizar la coordinación a escala nacional.
Es decir, en cualquier momento puede producirse situaciones de ciberseguridad que desbordan el
ámbito fronterizo y que se convierten en transfronterizos o a una cierta escala en la Unión Europea,
y no hay posibilidad de abordar ninguna situación, ninguna respuesta, ninguna crisis sin esa red de autoridades
competentes, de autoridades nacionales, de puntos designados, de puntos de control, de coordinadores.
Y eso en el ámbito nacional también lo
estamos haciendo y lo estamos viendo.
Es decir, la forma de hacer frente es tener una estructura de todos
esos elementos, que es lo que se está construyendo en la Unión Europea.
Y luego las entidades tienen unas obligaciones. Hay muchas novedades, pero la novedad que
destaco aquí es que las entidades de las administraciones públicas están en el alcance.
Entidades de la Administración General del Estado, de las
comunidades autónomas y a determinar de las entidades locales.
Ya se determinará en nuestra transposición.
¿Y qué obligaciones tienen?
Pues tienen obligaciones sus gestores, sus responsables, que tienen que impulsar
la aplicación de esas medidas para la gestión de los riesgos de ciberseguridad,
pero también tienen una responsabilidad por su incumplimiento, más responsabilidades de
formación, concienciación y luego pues una colección de medidas que nos resultan familiares.
Que hay una política de seguridad, una gestión de incidentes, una continuidad, una seguridad
en la adquisición, desarrollo y mantenimiento, protección de la cadena de suministro,
medidas relativas a la ciberhigiene o a la gestión de la ciberseguridad o relación a las
vulnerabilidades, la notificación de los incidentes, que es una figura que ya conocíamos,
más la llamada a utilizar los esquemas europeos de certificación y luego hay
consideraciones también de habilitación del intercambio voluntario de información, etc.
¿Nosotros con qué hipótesis estamos trabajando?
Con la hipótesis de que el esquema nacional de seguridad nos posiciona en una situación muy favorable
para un mejor cumplimiento, más ágil, eficaz y eficiente de las previsiones de la directiva NIS2.
Eso sí, la Comisión Europea nos dice que tenemos que garantizar mismo nivel
superior, con lo cual, bueno, tenemos un escenario que es compatible con la NIS2,
que satisface las previsiones que están en ese artículo 21 de las medidas de gestión de riesgos de
ciberseguridad y, particularmente, para las entidades que se hayan certificado en categoría alta.
Y, por eso, también, bueno, pues estamos preparando instrumentos que terminaremos de, seguramente,
evolucionar, como ese perfil de cumplimiento específico para las entidades en el alcance de la NIS2,
más todo lo que tenemos ya construido de certificación de la conformidad, que
trasladamos constantemente a la comisión en las bilaterales, en las reuniones de grupo.
Y la semana pasada en Bruselas, un evento organizado por el Comité de las Regiones, con
motivo del Mes Europeo de la Ciberseguridad, que tenemos que poder reutilizar todo ese bagaje.
Además, tenemos capacidades, instrumentos y plataformas para compartir
la información de ciberamenazas y ciberincidentes y para la notificación.
Y, bueno, esto es de esta mañana, pues de hace nada. Es decir, hoy
mismo el Consejo ya ha aprobado el reglamento de ciberresiliencia.
Esto es de hace nada, de hace unas horas, con lo cual lo
firmarán los presidentes del Consejo y del Parlamento.
Se publicará en próximos días o semanas, lo que tarde en
tener las versiones lingüísticas en el diario oficial.
A los 20 días entrará en vigor, a los 36 meses determinadas
previsiones y, bueno, antes o después también otro tipo de previsiones.
Con lo cual, más allá de esto, están pasando otras cosas.
Y aquí las apunto porque ya estaríamos bastante rato.
Se está modificando el reglamento de ciberseguridad para incluir los servicios de seguridad
gestionada entre esos ámbitos de certificación de productos, servicios y procesos de TI.
Y eso está en curso. Bueno, el reglamento de ciberresiliencia que se aproba hoy,
que establece normas para comercialización de productos con elementos digitales,
con alguna conexión directa, indirecta, física o lógica a Internet,
con una serie de requisitos para el desarrollo, fabricación, etcétera,
de ese tipo de productos que son de todo tipo, de consumo, de cualquier tipo y obligaciones
para los operadores económicos, requisitos en relación con la gestión de las vulnerabilidades.
Porque se detectó que en todos estos casos se detectó que no había un
tratamiento adecuado de la ciberseguridad ni de las vulnerabilidades, etcétera.
Con unas obligaciones para los operadores económicos y también todos
los mecanismos de supervisión, monitorización, en su caso sanciones,
con todo lo que hay de conformidad detrás, que esto es un
iceberg que arrastra una complejidad y un trabajo inmenso detrás.
Tenemos también en curso la propuesta de reglamento de cibersolidaridad que también está
asociada a esa articulación en la Unión Europea para desplegar una red de centros cibernéticos.
Antes eran centros de operaciones de seguridad, después fueron hubs, que ahora
se llaman centros cibernéticos, bueno, esto es lenguaje de la Unión Europea,
más un mecanismo de emergencia en materia de ciberseguridad
y unos mecanismos también de revisión de incidentes,
un poco en la línea de lo que se planteaba en esta orden
ejecutiva de la presidencia de Estados Unidos que citaba,
para aprender de toda la experiencia.
Ya que he citado a los Estados Unidos, pues resulta que
también han claudicado y han puesto foco en la regulación.
A ver, la Unión Europea ha adoptado un enfoque
muy proactivo en materia de regulación.
para promover la resiliencia frente a la ciberseguridad, para fomentar y
articular toda esa colaboración y para promover todas esas capacidades.
Y también está utilizando la promoción
de la legislación para promover valores,
porque somos conscientes de que en otras partes del mundo,
al este y al oeste, hay otras agendas políticas e ideológicas
y se promueven unos valores que pueden
no ser o no son los de la Unión Europea.
Ya se vio este efecto con el Reglamento General
de Protección de Atos y su influencia en el mundo
y se ha visto con el Reglamento de Inteligencia Artificial.
El caso es que en marzo de 2023 se publica o se adopta
la nueva estrategia de ciberseguridad de
Estados Unidos y hay varias cosas interesantes.
Un reequilibrio de la ciberseguridad que vienen
a decir que toda la seguridad de todo el
sistema no puede descansar en el último
ciudadano que comete un desliz con algo.
Es decir, que hay que reequilibrar esa ciberseguridad, que hay
que prestar atención a las tecnologías de la
nueva generación y un enfoque más coordinado, etc.
¿Y qué han introducido?
Pues han introducido el establecimiento de
regulaciones en materia de ciberseguridad.
y se han dado cuenta que tienen que armonizar y revisar la
regulación o legislación existente y nuevas regulaciones.
Es decir, han visto el modelo de la Unión Europea
y aunque ellos tienen otro modelo, otro enfoque
porque vienen teniendo legislación y
regulaciones, regulan para las agencias federales.
Está la ley, la Federal Information Security and Modernization Act,
o sea, la ley de modernización de la seguridad de la información.
Regulan también en el ámbito sectorial
para el ámbito de salud y financiero.
Están las regulaciones de la Comisión de Bolsa y Valores, la SEC.
Han regulado también habilitar el intercambio de información
de ciberseguridad entre el sector privado y el gobierno.
Ellos vienen teniendo un modelo en que la
carga la ponen con un foco en el mercado,
de forma que especialmente las entidades cotizadas tienen
que reportar los incidentes a la Comisión de Bolsa y Valores.
y tienen que ser transparentes y describir cuáles son sus políticas,
prácticas, estrategias políticas y procedimientos
de ciberseguridad para que lo valore el mercado.
Es decir, que de alguna manera lo que están
persiguiendo es que en esos mercados de valores
las entidades que son dirigentes en materia
de ciberseguridad tengan una mejor valoración.
Bueno, vamos a seguir con más capacidades de ciberseguridad.
Ya hemos visto nuestra colección de
amenazas y yo creo que ya había comentado.
la aplicación del ENESE, las capacidades de ciberseguridad y
ciertas medidas que tienen un impacto práctico muy inmediato.
Es decir, el tener la protección frente al
ransomware, el doble factor de autenticación,
que es un coladero tremendo en nuestro
mundo de trabajo a distancia virtual, etc.
Los servicios y los sistemas constantemente. ¿Qué ha pasado?
Pues que había un sistema que no tenía doble
factor y se han colado por ahí los malos.
Bueno, pues hay que tener los sistemas también
parcheados, actualizados, sin vulnerabilidades,
desde luego obvias, evidentes y manidas,
y una vigilancia y una monitorización.
Y lo he expresado ahí para que sea más directo en
términos de medidas del esquema nacional de seguridad.
En las capacidades, bueno, pues estamos utilizando esos fondos.
Bueno, ya sabemos la colección de soluciones que nos
proporciona el Centro Criptológico Nacional de todo tipo,
auditoría, detección, intercambio, etc.
El catálogo, que ahora hablaremos de él,
de productos y servicios de seguridad.
Estamos desplegando el Centro de Operaciones de
Ciberseguridad de la Administración General del Estado
con más de 120 entidades en cobertura y
promoviendo también capacidades de ciberseguridad
en comunidades autónomas y entidades locales,
pues a través de los fondos de recuperación.
Ha habido una serie de instrumentos de canalización
de esos fondos para proyectos de digitalización
y en todos había una condición.
Todos proyectos de transformación digital
tenían que incluir la ciberseguridad,
que podía ser por mejora de la adecuación al ENESE
o por despliegue de capacidades de ciberseguridad.
Con foco en los productos. Tenemos un elemento
de atención que son los productos certificados,
que eso es un mecanismo que nos permite
consolidar una confianza en los productos
que han pasado por unos procesos de evaluación y certificación
que acreditan que ese producto hace lo que
dice que hace y sus funciones de seguridad.
Y eso interesa a usuarios, a consumidores, a
fabricantes, a distribuidores y ahí tenemos ya un bagaje.
En España se ocupa de esto el organismo de
certificación del Centro Criptológico Nacional.
España es país productor y consumidor.
Consumidor de certificados por supuesto, pero
productor reconocido desde septiembre de 2006
en el Common Criteria Recognition Arrangement,
es el arreglo de reconocimiento mutuo
de certificados de seguridad de las tecnologías de la información
y tenemos desde el reglamento de ciberseguridad el 881/2019,
el Marco europeo de certificación y
los esquemas europeos de certificación.
El primero ha sido el de, creo que es
desde enero de 2024, si no me equivoco,
el esquema europeo de Common Criteria
orientado a la certificación de productos
y ahí dejo la referencia al plan continuo de certificación.
Hay otros esquemas en elaboración, está muy
avanzado, aunque ha tenido una serie de dificultades,
el esquema europeo de certificación de
servicios en la nube, estará el de 5G
y lo que se pueda desarrollar también para
acompañar el reglamento de ciberresiliencia.
Y uno de los grandes avances también que hemos hecho
con la actualización del esquema nacional de seguridad.
es el enlace de las medidas de seguridad con el mercado,
con esos productos y con los mecanismos de contratación.
Hemos incluido, aparte de perfeccionar los redactados relativos
a la adquisición de productos y servicios de seguridad
y en relación con los componentes certificados,
hemos incluido la referencia al catálogo de productos y
servicios de seguridad de las tecnologías de la información.
Pero la jugada maestra ha sido que los
procedimientos de contratación centralizada.
incluyen la referencia a los requisitos de seguridad como el
sistema dinámico 25 para adquisición de componentes de software.
y la forma de acreditar esa seguridad mediante certificación,
reconocida por el organismo de certificación, incluso adelantando
los esquemas europeos de certificación de producto y de nube.
y la referencia al catálogo. Esto ha sido el
enlace que ha pasado, yo creo que desapercibido,
pero el enlace entre los hilos que estábamos
persiguiendo desde hace bastantes años
y que cuando hemos estado con colegas de otros Estados
miembros, pues lo han visto efectivamente como un Paso
y esto nos lo han trasladado como algo que deseaban lograr también.
Bueno, más capacidades de ciberseguridad.
He incluido dos slides, dos transparencias.
sin generar para no generar ahí una colección muy amplia de retos.
Bueno, hay un déficit de profesionales
en ciberseguridad. La semana pasada,
Boryana Gistova de la DG Cone nos trasladó una cifra de un déficit
de 350.000 profesionales de ciberseguridad en la Unión Europea.
Yo creo que debe haber del orden de 25.000 o 29.000 en España.
Sabemos que el mercado está muy tensionado,
resulta difícil conseguir perfiles.
Bueno, Unión Europea ha consolidado un Marco de capacidades
y de perfiles con 12 perfiles plenamente descritos
y bueno, pues hasta el detalle.
Aquí he puesto unas capturas parciales del CISO,
pero bueno, ahí es una herramienta a tener
presente y que seguramente puede ser de gran ayuda.
Retos de seguridad. Tercero, pues una
mayor gobernanza de la ciberseguridad.
Muy rápido, en la perspectiva nacional, tenemos
un escenario de actores de seguridad nacional,
en una serie de planos. Bueno, uno de los
grandes retos es acomodar todos esos actores
en relación con la colección de figuras, de puntos
de coordinación, de autoridades competentes,
de coordinadores, etcétera, que aparecen en la
directiva NIS2 y que van a ir apareciendo también
en los otros instrumentos legislativos y
regulatorios que nos vienen de la Unión Europea.
En el ámbito del ENS, pues en lo que es ámbito de administración
digital, pues tenemos nuestros grupos de seguridad,
la Administración General del Estado y en la
Comisión Sectorial de Administración Electrónica,
que los manejamos prácticamente en paralelo y
hay un Consejo de Certificación del ENS de 2018
que preside el Centro Criptológico Nacional, y
ahí estamos la Entidad Nacional de Acreditación,
la Secretaría General de Administración Digital
y todas las entidades acreditadas por ENAC,
que ya las reuniones empiezan a ser muy amplias, y
lo que llamamos los organismos de auditoría técnica,
que son ciertas entidades que en sus decretos de
estructura, entre sus competencias, tienen las de auditoría.
Y luego tenemos la gobernanza en cada entidad.
Aquí es muy importante que el responsable de la seguridad,
que ya se singulariza en el Real Decreto 43/2021, que
tiene que ver con la implementación de la Directiva NIS
y que va a tener protagonismo singular
en la transposición de la Directiva NIS2,
tenga un posicionamiento en la organización y en la
estructura adecuado, con un equipo y una dotación de recursos
y unos presupuestos proporcionales a los requisitos,
obligaciones, alcance, importancia de su labor.
El quién manda aquí es muy importante cuando
lleguemos a cualquier organización. Tenemos roles,
tenemos personas designadas, tenemos mecanismos de
resolución de conflictos, tenemos órganos, comités,
tenemos una política y ese papel del CISO.
Siguiente reto, el de la financiación.
Un par de transparencias.
Estamos diciendo que necesitamos más capacidades de
ciberseguridad adaptadas a tendencias de ciberamenazas,
ciberataques y tecnología, pero claro, estas capacidades
requieren un contexto organizativo, una gobernanza,
personas que se ocupen y una dotación de recursos porque
las cosas hay que implantarlas, hay que hacer inversiones,
hay que operarlas, evolucionarlas, realizar el mantenimiento.
Todo esto tiene una vida y es una época singular,
sin comparación en la historia, si nos remontamos.
a otro instrumento similar que era el European Recovery
Program, conocido popularmente como Plan Marshal
y que tiene ese nombre oficial que podría pasar
prácticamente por los nombres que utilizamos hoy.
Pero claro, estos fondos tienen un recorrido con una
fecha y orientados fundamentalmente a las inversiones,
a lo que llamamos capítulo 6 y como suelen decir
nuestros colegas del Centro Criptológico Nacional,
un SOC son personas, es decir, un centro de operaciones
de ciberseguridad requiere equipos de personas,
de expertos, etc. Con lo cual, tenemos un reto, cómo
manejamos todas las inversiones que estamos realizando
todos en esta época y cómo les damos mantenimiento
porque claro, los agentes de la amenaza siguen ahí
y van a estar esperando, bueno, no están
esperando, están actuando continuamente.
Bueno, pues de la mano de esos fondos, pues
ahí vamos progresando con lo que decía,
el centro de operaciones, mejorando las soluciones
del CCN, mejorando la aplicación del ENES,
las capacidades de ciberseguridad, etc.
y otras inversiones. Pero claro, nos tenemos que acordar
que eso hay que hacerlo. Y una vez que hemos visto
esos retos fundamentales, un reto, un Marco legal.
más exigente, unas capacidades, unas mayores capacidades
de ciberseguridad en relación con las tendencias,
una mayor gobernanza, cooperación, comunidad, etc.
Y el reto de la financiación, pues hay otros retos
que ya lo que he hecho es, creo que son cuatro,
concentrarlos en este. Bueno, uno de los retos,
la verdad es que si no mencionara la inteligencia
artificial, yo ya me sonreía. Digo, es que como no hable
de Pongo en el slide, inteligencia artificial, no soy nadie.
Quiero decir que, bueno, la inteligencia artificial
es una, lo que nos importa aquí, es una tecnología de uso dual.
Se puede utilizar para hacer el bien,
para hacer el mal. Desde el punto de vista de la
ciberseguridad, nos interesa mucho, los que estamos
manejando, pues escenarios complejos, con muchas
herramientas y muchas entidades y grandes caudales.
de información y tenemos que filtrar, manejar todas
y ver todo ese caudal de eventos, cuando esos eventos
se convierten en un incidente, cuando ese incidente ya
se convierte en un ataque, cuando ese ataque es una.
campaña, manejar toda esa masa y orquestarla toda,
aparte de poder utilizarla para generar, bueno,
simulaciones, pruebas, etcétera, pero el caso es
que los malos, pues lo van a utilizar para generar
o industrializar amenazas y ataques, para generar
información falsa, oficin o lo que fuera, o fakes
de una forma sofisticada. Y el otro elemento también
que nos preocupa, desde el punto de vista de la
ciberseguridad y la protección de datos, es la
extensión del uso de los servicios de inteligencia.
artificial generativa y claro, el que de una forma,
vamos a decir, inadvertida, pues el usuario pueda
de alguna forma colocar en los PROMS, etcétera,
pues datos personales, datos de la ciudadanía, datos
sensibles de la información, documentos sensibles, etcétera.
Esto nos ha puesto de frente de algo que
ya sabíamos de lustros para atrás en relación con
la gestión documental, los esquemas de metadatos.
y la medida de protección de la información
MPINFO2, calificación de la información, es que
verdaderamente nos va a forzar en los próximos
tiempos a verdaderamente meternos con lo que es la
calificación de los datos y la información, para que,
bueno, pues en esas respuestas, en ese uso, no solo.
de la inteligencia artificial, pues la información
fluya y fluya de forma que los sistemas de seguridad
puedan manejar esas etiquetas y esa necesidad de conocer
o lo que haya de cualidades que haya que heredar,
pues se pueda manejar. Hay un reglamento que estaba,
una fase que ahora en un momento estuve más pendiente,
que es el reglamento de seguridad de la información
de las instituciones de la Unión Europea,
que trata sobre requisitos de la información
clasificada y la información sensible no clasificada,
que tiene un artículo muy curioso, donde habla
que se aplicarán metadatos para el tratamiento
automatizado de la información, es decir, que tú
puedas tener metadatos con las categorías de la
información y las puedas procesar en consecuencia.
Quisimos hincarle ese diente en la actualización
del ENES y hacer la cuadratura del círculo con el
esquema de metadatos, pero bueno, hay momentos en los
que somos muy temerarios y también habrá
que ver la cosa como madura y evoluciona.
El impacto de la criptografía poscuántica.
A ver, lo apunto porque esto hay que tenerlo en el radar.
Hay que tenerlo en el radar y, en principio,
debería ir ganando protagonismo y foco de atención.
en los próximos años. Aquí hay una serie de
conceptos que ya veníamos pensando con motivo de una
instrucción técnica de seguridad y criptografía de
empleo en el ENES que tenemos por ahí en borrador
desde hace tiempo. Ahí están los conceptos de agilidad
criptográfica, es decir, que tú tengas un control
y un conocimiento de los elementos criptográficos
que estás manejando para que los puedas actualizar
o sustituir o evolucionar. Y esto importa, con
independencia o no, de la evolución de la criptografía.
poscuántica o que fuera. También es verdad que es
previsible que nos encontremos en una serie de escenarios
híbridos donde tengamos que combinar el cifrado,
la criptografía precuántica con la poscuántica,
pero aquí hay un hecho fundamental y es saber lo
que tenemos entre mano. La noción de inventariado,
que es por lo que han empezado los americanos con
el memorándum SNSM-10 y con la orden ejecutiva
o memorándum también de la presidencia del presidente
de Estados Unidos o de la Oficina de Gestión
y el Presupuesto, vamos, de ese ámbito en relación
con la migración a la criptografía poscuántica.
Y hay una serie de mandatos. El mandato a las
agencias federales que se hagan con un inventariado.
y con un conocimiento preciso de los elementos de
criptografía que están manejando y que reporten anualmente.
Y hay una hoja de ruta que va hasta el año 2035
con unos correspondientes planes de migración.
Desde hace años el NIST viene trabajando en los
algoritmos poscuánticos y ahora en agosto de 2024
ya ha empezado a publicar unos estándares.
En la Unión Europea, en abril, se publicó una comunicación.
también sobre una hoja de ruta para llevar de una manera
coordinada una transición hasta la criptografía poscuántica.
Ahí se van a generar unos grupos de trabajo y unas
orientaciones para que luego puedan configurarse
unos planes nacionales de transición. También habrá
actividades en relación con la evaluación y selección.
de algoritmos para la criptografía poscuántica.
Desde hace también bastante tiempo existe una guía.
del Centro Criptológico Nacional sobre recomendaciones
en relación con la migración a la transición poscuántica.
Y vuelve a incidir en esas nociones de que tenemos que
tener inventariado y en algún momento un plan de migración.
Esto va a necesitar una madurez porque habrá que
hacerlo con una cierta coordinación y garantizando
la interoperabilidad en la Unión Europea para que esto
no se descavalgue todas las interacciones, transacciones.
Otra cosa que nos preocupa es la medición de la ciberseguridad.
He citado el Global Cyber Security Index.
En ISA ha empezado a hacer unos ejercicios
similares y ya nos ha circulado resultados en 2004.
No se han difundido pero nos preocupa. Y nos ocupa esto
en el nivel global pero luego en nuestras organizaciones
es muy importante para las decisiones técnicas,
organizativas, dotaciones de recursos.
Aquí fundamentalmente hay que saber tres cuestiones.
Si la cosa funciona, si mejoramos y si cumplimos
con nuestro referente. Son las tres grandes cosas a mirar.
El caso es que no hemos terminado, yo desconozco
por la investigación que he hecho, referentes.
Me refiero a normalización, claros sobre métricas
y el documento fundamental y que yo recomiendo.
es esta guía, la 815 si no Leo mal, que son métricas
e indicadores en el esquema nacional de seguridad.
Que es el documento que yo diría de referencia.
Y como último reto apuntaría el de ampliar la
perspectiva porque nosotros vivimos en la obsesión
de esas medidas organizativas y técnicas para
la gestión de los riesgos de ciberseguridad
con todo lo que nos pueda afectar de prevención,
protección, detección, respuesta, etc.
Pero tenemos que tener presente que hay una
vida más allá que es la actuación de las fuerzas
y cuerpos de seguridad del Estado y que tiene
que ver con la investigación, la atribución,
la persecución, detección, actuación penal,
en particular frente a la cibercriminalidad.
Porque esas actuaciones, esos incidentes que
estamos experimentando, a las pocas horas
suelen concluir o suelen incluir una notificación,
si hay datos de personales, a la Agencia Española
de Protección de Datos y una denuncia a las
fuerzas y cuerpos de seguridad del Estado.
Entonces, tenemos que tener esa perspectiva, la doble perspectiva.
Nosotros estamos en una fase, digamos,
en una etapa, pero luego hay una etapa.
Bueno, y la verdad es que este es un mundo apasionante.
Esta mañana se ha aprobado ese reglamento
de ciberresiliencia que se publicará en el
boletín oficial en los próximos tiempos.
Es un reglamento sin transposición.
Que a la Unión Europea le ha tomado mucho
afecto a los reglamentos, que son muy directos.
Ya vio los problemas que había con la protección
de datos y puso sobre la mesa el reglamento de protección de datos.
Con la identidad electrónica también había problemas.
Reglamento de identidad electrónica, también para
las entidades financieras, para la ciberseguridad.
En el tema de la directiva NIS, pues
había disparidades en las transposiciones.
Había limitaciones en la propia directiva de 2016.
Había falta de claridad.
Había una serie de insuficiencias.
Ha venido la directiva NIS2 y quién sabe si al
día de mañana, depende de cómo vaya la cosa,
pues cuando vuelvan a hacer una evaluación,
que creo que van a hacer ya, van a empezar
en 2004, o sea, en los próximos tiempos ya
van a hacer una evaluación de la propia NIS2,
pues al día de mañana se plantean un reglamento,
porque los reglamentos son de aplicación
directa, obligatorios en todos sus detalles,
mientras que las directivas ya sabemos que
marcan unos objetivos y luego esos objetivos
hay que cumplirlos, pero los Estados lo que
hacen es transponer a su legislación.
Luego, bueno, pues todos estos elementos o instrumentos de soft law.
Por delante tenemos lo que pueda venir de
los esquemas europeos de certificación,
el de los servicios en la nube que lleva mucho
tiempo dando vueltas y a ver si algún día.
llega el acto de la comisión, lo que pueda
venir del 5G, de ciber solidaridad, bueno,
todo lo que pueda venir en los próximos
tiempos de la inteligencia artificial y, bueno,
lo que nos pueda deparar todo este mundo
de la ciberseguridad en los próximos años.
Lo importante, pues seguir haciendo.
Y ya que estamos aquí, a mí me gusta hacer
siempre una llamada, es decir, ya que estamos
en esta sesión, pues llamo a quienes estéis
viendo esta sesión en algún momento a que
seáis partícipes y agentes activos de la ciberseguridad.
Si trabajáis en el sector público, directa
o indirectamente, vuestra colaboración para
la aplicación del ENES y para la gobernanza
de la ciberseguridad y vuestra colaboración
allá donde os encontréis para la implantación
de las capacidades en ciberseguridad.
Y finalmente dejo una colección de referentes.
Si no me he despistado, prácticamente en
todas las transparencias donde hay alguna.
referencia hay pervínculos y luego, pues,
con esta documentación, pues prácticamente
tenemos de la mano lo más inmediato que es necesario conocer.
La Estrategia Nacional de Ciberseguridad,
el Código de Administración Electrónica
por nuestro contexto administrativo, las
ciberamenazas y tendencias, el ENES, la colección
de las guías de la serie 800, los
documentos de NISA como profesionales.
Nos interesa la descripción de los perfiles
de lo que estemos trabajando y luego, pues, otros documentos.
El rolling plan, el plan continuo de normalización
TIC que ya de la Unión Europea tiene un capítulo
muy interesante sobre ciberseguridad que enumera
todas las normas que afectan prácticamente
y que nos interesa controlar en nuestro ámbito
y luego ya tendríamos otros documentos de
otros contextos como la Estrategia Nacional
de Ciberseguridad que tiene también un plan
nacional y, bueno, pues que ahí en
algún momento puede resultar de interés.
Y con esto, pues, llego al final de mi presentación.
Gracias.
Muchísimas gracias, Miguel Ángel, por esta magnífica conferencia.
Realmente impresionante todo el barrido que
has dado de la ciberseguridad y concretando
en el caso del esquema nacional de seguridad
y de las cuestiones relativas a la Unión Europea.
Y, bueno, pues llega la hora de las preguntas.
No sé si en la sala hay alguna pregunta o empezamos por online.
Bueno, acabo de dejar en el chat un requerimiento
ciberseguro para que podáis hacer algún tipo de pregunta.
A pesar de estar utilizando un software americano,
que no sabemos si está en la guía de las
cepstick, que eso habría que mirarlo
también, pero me suena que web sí que está.
A ver si hay alguna pregunta, porque si no
me va a tocar a mí hacer y yo soy bastante denso con las preguntas.
Entonces yo preferiría que haya alguna pregunta específica.
Sobre el tema de los retos que has planteado,
nos tocan algunos, a nivel particular de lo
que trabajamos dentro de la universidad,
los temas de inteligencia artificial.
Esto es una cuestión que yo creo que también
enlazo con la tercera pregunta, que tiene
que ver con la parte de competencias digitales para ciberseguridad.
Pero bueno, por no mezclarlas.
En este caso, yo sí que veo que la parte
regulatoria está como desconectada un poquito
esas capacidades de inteligencia artificial
con lo que sería la integración con los servicios de tiempo real.
Me explico.
Cuando se está hablando de esto, hablando de,
por ejemplo, día generativa, que en realidad es IA, ¿de acuerdo?
Porque se tiende a confundir demasiado que
la parte de día generativa es IA predictiva,
aplicada en determinados modelos de
contenido, de texto, de lo que haga falta.
Y la cuestión es que hay otro tipo de estructura
de inteligencia artificial que se está aplicando
para defensa, para ataque o para cualquier
cuestión que tiene que ver con la protección,
incluso con la comprobación de la
regulación cumplida por las organizaciones.
Porque la inteligencia artificial se basa en
datos y hacen los algoritmos lo que hacen,
es decir, blanco sobre negro, esto simplifica, ¿no?
Probabilidad X, sí o no.
¿De acuerdo?
Puedes llevarlo hasta ese extremo.
La cuestión ahí es que sí que he hecho
de menos, por ejemplo, y eso sí que lo he
hablado alguna vez con gente de CCN u otras
instituciones, que no haya una, no sé cómo
llamarlo, una estructura que permita, por
ejemplo, los investigadores que trabajamos
en estos temas, que sabes que en España tenemos
RENIC, hay varios grupos de trabajo fuertes,
hay una estructura bastante sólida de gente
trabajando en esos temas, de hecho, dentro
de nada está el ENISE que funciona y incide,
pero está el RESTIC que es en león, que
es en la Carta de Acción de Seguridad,
donde se junta mucha gente de ese estilo.
Y estamos de menos, pongo, teniendo
acceso a tipo de información, ¿de acuerdo?
Por ejemplo, el caso más típico que tiene
que ver con la información que se
genera a través de los SOC, por ejemplo.
Eso lo hemos pedido muchas veces, que dice,
oye, mira, es bueno que el conocimiento sea
abierto porque nos permitirá a investigadores
aportar, como agentes de ciberseguridad, en
este caso activos, y yo sé que es un problema complejo, ¿no?
Pero es por virtudísimo, porque esta discusión
la tengo muchas veces y siempre me dicen lo
mismo, no, es que hay que estar en la administración privada.
Yo soy de la administración pública, lo que
pasa es que estoy en el ámbito del trabajo al otro lado, ¿no?
Y eso nos lleva a un algo que, bueno, que
está ahí, pero en este momento no lo estamos
fraguando, pero que está ahí, sería un espacio
de datos, de información de ciberseguridad.
convenientemente sanitizado para que toda la
comunidad de ciberseguridad y la comunidad
de investigadores pudiera explotarlo, pues
como se viene trabajando en el espacio de
datos de la Administración General de
Estado y en el espacio de datos de salud.
Y eso es lo que en algún momento habría que
plantear y es en lo que me dices, porque
claro, una vez que tienes el espacio, tienes
los datos, tienes la capacidad, si tienes
la capacidad computacional y tienes los algoritmos
y la inteligencia artificial para explotar
el espacio de datos, pues adelante.
Pero bueno, eso es… No quería pronunciar la palabra mágica,
espacio de datos, por si acaso, porque es un tema delicado.
Lo digo así porque yo soy consciente de
eso, pero en este momento, pues, no… tenemos
muchos partidos… a ver, la Liga está…
la campaña… el campeonato está intenso
y hay como muchas jornadas y muchos partidos por jugar.
Lo mismo lo que decía antes, que lo he apuntado,
pero lo he apuntado también lo de las entidades
locales, porque más o menos es conocido, pero
no digo nada porque es un momento, cuando
llegue, si llega, pues ya se dirá lo que se tenga que decir.
Pero sí, sí, eso me apunta a… si eso sería la Carta a los Reyes Magos.
Claro, cuando he tenido que hacer presentaciones
en su día, cuando estábamos fraguando el
centro de operaciones de ciberseguridad, me
planteaban una serie de pilares y yo siempre.
ponía el Pilar de los datos, porque ya vislumbraba
que se iba a generar una masa… claro, se
genera una masa de información, hay que fijarse,
de un colectivo de más de 120 entidades y 200.
000 usuarios, que eso en un determinado
momento lo que decía, cómo esa información
vemos que es el caudal de eventos, cuándo son
un incidente, cuándo son un ataque, cuándo
son una campaña y cuándo eso está afectando
a un colectivo de entidades o qué patrones
tiene o qué recurrencias o qué técnicas
aplica o lo que fuera. Es decir, eso es un
caudal que da un juego… pero eso es Carta a los Reyes Magos.
Bueno, yo me alegro que por lo menos lo tengáis en mente.
Lo que te quiero decir es que es
la Carta a los Reyes Magos, pero que como
habréis dejado de decir a la gente que contéis
con los demás, en particular con los investigadores
de otras áreas, porque te digo, hay cuestiones
que se repiten en los patrones que hay y eso
se ve bien en ciertas estructuras.
Con lo cual, evidentemente, desde el punto de vista del
trabajo, ese es casi más nuestro trabajo
que otra cuestión en cuanto a investigación de aplicaciones.
Sí, pero la clave es tener ahí un espacio sanitizado y poder actuar.
Vale, y ya la última. Ya hay una pregunta
en la esta, pero sí, la última pregunta
que me interesa mucho que es el Centro de
Competencia de Ciberseguridad, digamos, europeo
y, digamos, no sé si la transposición o la
integración, porque en España igual tenemos
también bastantes, digamos, grupos de trabajo,
grupos docentes, trabajando, por ejemplo,
en universidades. Tenemos muchos de los grupos
de investigación, estamos en universidades
y tenemos ya, digamos, formación profesional
a nivel reglado y a nivel no reglada en estos ámbitos.
Este es un ejemplo de lo que estamos
haciendo hoy, ¿de acuerdo? Que este es un
poco formación no reglada. Entonces, ¿cómo
tenéis pensado si se puede pensar en esas
competencias, en ese Marco de competencias?
Yo estuve trabajando en su momento en el
nuevo Marco de competencias para el tema de
TIC generalista, no en de ciberseguridad,
porque ese ya no me ha dado la vida en todas partes.
Pero, ¿tenéis pensado un poco cómo
se van a hacer las transposiciones de esas
cuestiones y cómo implementar programas activos?
Porque evidentemente, como ya lo has dicho,
hace falta profesional de la ciberseguridad
a todos los niveles, a nivel tráctico, a
nivel administrativo, a nivel negociativo
y a nivel técnico, por tener ese perfil.
Entonces, no sé si tenéis planificado una
cuestión más allá del final de 2025 o junio
de 2026, que es cuando hay que finalizar la ejecución de los fondos.
Ya, bueno. A ver, una precisión.
Yo he sido miembro del Governing Board de ese centro
europeo hasta el 30 de junio de 2024.
Estaba en toda la fase de fraguar la cosa.
Bueno, como sabéis, INCIBE es el Centro Nacional
de Coordinación de Ciberseguridad en España
y se ha concebido como un instrumento, correa
de transmisión de los equivalentes en Europa
y de toda la figura para la interacción con
el ámbito académico, con el ámbito de las
pymes, sector privado, sociedad civil, para
construir ecosistemas de ciberseguridad, promover.
capacidades, digamos, soluciones, etcétera,
y canalizar fondos europeos a proyectos en
los que puede participar el sector público,
el sector privado y el mundo de la academia,
los profesionales, la seguridad social.
Esto está dentro de lo que decíamos antes en ese
gráfico de construcción de comunidad, de
construcción de ecosistema. Entonces, una.
de las piezas del ecosistema es tener los profesionales.
Ahí sabéis que se lanzó
en tiempos recientes la Cyber Skills Academy,
la Academia de Capacidades, y ahí, bueno,
pues hay actividad en el ámbito del Centro
Europeo de Competencias en relación con ese
asunto, con lo que es la promoción de las capacidades.
Pero ahora, en este momento, yo ya no podría… Efectivamente, está en
el radar, está dentro de los elementos de
la agenda estratégica del Centro Europeo de
Competencias en Ciberseguridad y, de alguna manera, pues bueno, se irá
concretando y plasmando en el tiempo.
Pues, de nuevo, muchas gracias, Miguel Ángel.
Voy a… Si queréis, Leo la pregunta.
Sí. La tienes tú, Antonio, pues está ahí.
Sí, Miguel, si me la pones la pregunta… Sí.
Es María… No, arriba, ¿no?
Sí. No, tenéis…
Yo solo veo la parte final. Claro, como no tenéis ratón…
Si queréis, Leo yo. La tengo entera, porque yo tengo el web exámen.
Pues, espera, que se te larga. Venga.
Digo, María dice, ante todo, agradecer una ponencia
tan detallada y completa. Aunque en España
quizás no se ha adaptado el nivel de ciudadanía,
ya tanto la autenticación por voz, si más,
quizás en cuanto a cuerpos del Estado, sí
que se aplica más para la identificación en
reconocimiento de voz en llamadas intervenidas, por ejemplo.
Pero cada vez con más frecuencia
este tipo de medidas de seguridad sí que
se está incluyendo en bancas, por ejemplo.
Ahora, con la inteligencia artificial, ha
surgido el riesgo del deep fake speech, que podría
amenazar a lo que respecta a la autenticación por voz.
¿Se está investigando desde estos
centros de ciberseguridad a este respecto?
Y, en ese caso, ¿qué tipo de perfil habría
que tener como profesional para trabajar en ese ámbito?
Bueno, a ver, es una pregunta muy específica.
Los procesos del digital on-boarding y de
identificación en línea están trabajados
también en la Administración y ámbitos
donde ya se vienen utilizando. Hay una serie
de, digamos, de cautelas y de medidas compensatorias
que tienes que hacer una serie de pasos y
moverte y hacer una serie de cosas y mostrar el DNI.
Bueno, hay una serie de pautas para
evitar ese tipo de circunstancias, ¿no?
, donde haya un deep fake y pueda haber una suplantación.
En el sector privado, pues
sabemos que son las empresas que ofrecen esos
servicios, se está investigando.
Y, en cuanto a qué tipo de profesional de ciberseguridad.
en esos perfiles, dice, ¿qué perfil?
Bueno, pues habría que profundizar.
Entiendo que en todos los aspectos que están
relacionados con la identificación digital.
Y digo todos los aspectos que están relacionados y colaterales.
Todo lo que está relacionado con la identificación.
digital en el más amplio sentido.
Y ahí, en la constelación, pues aparecen una serie.
de aspectos que pueden tener que ver con biometría,
todo lo que es el reglamento EIDAS, a una
serie de elementos que entrarían en juego.
Pues muy bien, muchas gracias.
Yo, si me permites, una consideración adicional.
Las empresas están yendo ahora a sistema multifactor.
Ya no es un factor doble, que puede ser una autenticación por voz, más
la contraseña habitual que es la que produce el problema.
De hecho, en algún banco económico
ha habido cuatro factores ya. Estos factores
de reconocimiento facial, reconocimiento por
voz, contraseña y pasaporte adicional por
aplicación propia en autenticación.
Con lo cual, ya tienes cuatro factores. Identifican dos
biométricos que tienen que ver con identificación
personal y las otras dos tienen que ver con
las técnicas habituales. Que al final también
es biométrica porque ya es el móvil normalmente
en la mano, que es donde está la aplicación
de identificación. Pero van a cuatro y se
habla de más, de más estructuras.
Lo que se pretende, precisamente, es evitar que pueda
haber, lo he comentado en mi imagen antes,
el uso de DeepFace porque ya ha habido bastantes
casos recientemente suficientemente graves
con rango de dinero de cerca de 25 millones
que fue con el último director en una subursa
bancaria allí en Singapur, utilizando técnicas
DeepFace para, en este caso era vídeo, porque
era realmente una simulación realista del director del banco original.
La cuestión es que ahora mismo para esos perfiles se necesita no
solamente el perfil tradicional de ciberseguridad,
además de eso también hay que conocer un
poco técnicas también que tienen que ver
con temas de inteligencia artificial.
No hace falta ser un experto en esas cuestiones, pero
sí saber cómo funciona. Vamos a siempre, yo
creo que a perfiles, por eso le preguntaba
a Miguel Ángel por el tema de las skills,
porque las skills ya no son tan específicas
como antes ocurría, que tú eras un experto
en, llámale, me gusta mucho el jamón, la
pezuña negra del 0.2. Yo sé de esto y no
sé de nada más, ya no funciona una cosa
así y cada vez son perfiles mucho más transversales
y en ciberseguridad cada vez va más y más
porque se toca, la ciberseguridad toca a todos,
transversal a todo el sistema, a todos los
negocios, a todo lo que hay, entonces tienes
que saber prácticamente de casi cualquier cosa que tengas que trabajar.
Simplemente por finalizar, si no hay más
preguntas en el chat. Ah, perdón, tenemos
una pregunta en directo, si le podéis pasar el micro.
Encantado, gracias, y de luego muchas gracias
por la exposición porque ha sido realmente
espectacular, resumir tanto y tan denso en
tan poco tiempo y además prácticamente
sin ningún papel es digno de alabar.
Se nota que se lo sabe, vamos, lo típico, se lo sabes.
Y yo quería preguntar, yo personalmente he
tenido más relación con el mundo de la defensa.
y se sabe que hay un listado de capacidades
estratégicas mínimas que tienes que cumplir,
empresas del mundo de la defensa que sabes
que son intocables, que son estratégicas
no de esas que nadie entra y te las coja,
mínimas cantidades de combustible que tienes.
que tener para salir a funcionar.
Entonces me preguntas, en el mundo de la ciberseguridad
existe algo parecido, algún sistema de capacidades
mínimas que tenemos que tener para asegurarnos
y incluiría el tema del software porque ha
salido publicado que Google ha quitado de
su aplicación de su tienda la aplicación de
Kaspersky, el antivirus, y que la ha quitado
todas las tiendas incluyendo Europa, es decir,
tienes en tu móvil... Yo personalmente tengo
Kaspersky hace años porque era pesado y caro,
pero gente que lo tenga porque no es solamente
legal de repente se encuentra que no puede
hacer uso de él, creo que me estoy liando
un poquito, bueno, haciendo uso de la famosa
tirada de la CIA, la availability estaría interrumpida.
Digo lo del software porque
qué pasaría si a lo mejor tenemos un sistema,
un editor de texto o algún programa y de
repente alguien dice "pues te lo Quito"
resulta que media administración o un montón
de empresas se quedan colgadas, o de cualquier
otro nivel, algún tipo de sistema estético
de capacidades mínimas que tendría que tener
la ciberseguridad. Muchas gracias.
Bueno, vamos a ver, voy a segmentar el problema.
La ley 36/2015 de seguridad nacional habla
sobre recursos de la seguridad nacional y.
entraríamos en ese ámbito y no entro en
más detalles porque no debo y cabría que
entre los ámbitos siguiendo los modelos conocidos
de defensa pues hubiera de ciberseguridad.
Y en relación con el otro escenario de la
administración, pues claro, le hemos dado
muchas vueltas a muchas cosas. De las vueltas
que hemos dado es que, claro, cuando hay.
determinados… hay quien podrá quitar ciertos
productos de su tienda manual, por decisión.
de la noche a la mañana, pero en la administración
cuando hay una solución o un producto, pues.
hay una contratación y hay unas obligaciones
de las partes y hay unas responsabilidades.
Y de una forma arbitraria retirar una solución,
pues el juez puede opinar que se ha incumplido.
un contrato y unas obligaciones y no le hables
de la geoestrategia y de los de aquí y de.
allá y hay unos daños y perjuicios y ahí
termina terriblemente la cosa. Es decir, que.
hay que tentarse la ropa para cierto tipo
de actuaciones porque habría que tener un
amparo y el amparo es que hay una ley de contratos
y unas obligaciones. Entonces, hay cosas que
no se pueden hacer a la ligera.
Sí, adelante Rafa.
Un apunte. Eso ha pasado con el tema de la
Ciudad de Sudeuk cuando ha cogido más cuestiones.
con el… no sé si se me escucha. Cuando llegó el maillot…
Ahí llega el micrófono.
Lo que quiero decir es que eso ha pasado
con el tema de ley de contratos con todos
los proveedores que habían firmado desarrollo
de software con administración pública antes
de que se aplicara el esquema nacional de
seguridad de manera forzosa el 24 de Mayo.
Te lo digo porque ha habido varias bufetas
de abogados que han entrado ya en tema de
litigios con administración pública porque
les decían "usted no puede quitar este
contrato porque ya tiene un contrato firmado
antes de que se pusiera a la disposición en breve".
Te lo digo por eso, porque ha pasado precisamente por la implantación.
Eso es como es obligatorio que cualquier parte
y tercera parte adicional que esté contratando
software o desarrollo tecnológico tiene que
cumplir el esquema nacional de seguridad.
La inscripción era la fecha del contrato,
de cuándo estaba firmado, de dónde estaba
firmado, para decir "usted tiene que cumplir
categoría alta, media o Baja, la que sea".
Ya te digo por qué ha pasado.
Sí, sí.
Bueno, las casuísticas….
Bueno, si os parece, voy a hacer, Tenei,
una última pregunta, porque yo sé que entre.
nuestros estudiantes hay cantidad de ellos
que o son cibervoluntarios o quieren serlo.
Entonces, me gustaría que te dijeras un poco
a ese perfil de estudiantes que tenemos y
que les dieras un poco tu opinión
sobre ese futuro o esas posibilidades.
Bueno, el futuro es muy interesante para las
personas que estén contemplando dedicarse
a la ciberseguridad, porque, como decía antes,
hay una demanda de profesionales muy alta
en el ámbito europeo, en el ámbito nacional
y a nivel global, con unas posibilidades de.
trabajo interesante y de promoción en un
mercado que está muy tensionado y que, además,
genera mucha rotación y movilidad precisamente
por el interés que hay por los profesionales.
con un cierto rodaje. Y mi percepción es
que este tipo de regulaciones, como la NIS2.
y el reglamento de ciberresiliencia, van a
generar una cantidad de actividad enorme.
Hay que fijarse en lo que puede suponer que, ahora
que todos los dispositivos que se comercializan,
prácticamente cualquier cosa, tiene componente
digital, desde electrodomésticos hasta ocio,
juguetería, no lo sé, tradicional de informática,
todo eso va a generar una actividad enorme.
en relación con la ciberresiliencia y las
obligaciones que se derivan van a ser crecientes.
Pasamos de unos colectivos de entidades que
estaban en el alcance de NIS, vamos a decir,
razonablemente reducidos o acotados a unos
colectivos muy grandes, de miles y miles de
entidades, que necesariamente tienen
una demanda de apoyo, de servicios, etc.
Aparte de que la propia evolución de la transformación
digital y de la tecnología, de todo lo que viene,
lo que decíamos de inteligencia artificial, 5G, la
auto, lo que fuere, va a generar previsiblemente,
va a hacer que esa demanda de profesionales
se incremente, con todo lo que ello implica.
de su valoración y reconocimiento. También es verdad
que es muy interesante cómo se van formalizando
esos perfiles, aunque luego uno tenga que tener
un conocimiento ecléctico de unas cosas y otras.
Hay profesionales que pueden orientarse más en
un perfil orientado a la regulación o orientado.
al hacking ético, orientado a los servicios de prevención,
detección y respuesta, orientados al desarrollo seguro.
Los Campos de actuación son interesantes y
las perspectivas también son de oportunidad.
Como decía una de las personas presentes en la sala, nos
has hablado del pasado, nos has hablado del presente,
nos has traído noticias muy calientes y nos has hablado del futuro.
Muchísimas gracias Miguel Ángel por tu presencia hoy aquí en la UNED.
Seguiremos aprendiendo, seguiremos escuchándote y
seguiremos encantados porque en el fondo esta es tu casa.
Muchas gracias.
(Silencio)