Bueno, como ves.
¿no?
Eh, la idea,
pues, ya os he dado la.
Como tal, algunos factores nos tienen que tener en cuenta para convertir
el periodo de riesgo.
Para las empresas y las administraciones públicas
decidir y ver si las posibilidades que están encima de la mesa,
como ya sabéis, hay una cantidad importante
de riesgos que tienen que ver con muchos espacios de la vida,
de los contenidos falsos, que es un problema importante,
los servicios de seguridad, la manipulación de información
que tiene que ver con temas políticos,
temas geopolíticos, más directa a la integridad,
a las empresas y compañías.
Donde queríamos destacar un poquito
es centrarlo en cómo podemos convertir ese tipo de técnico
en algo que realmente nos ayudaría a prosperar como empresas.
Voy a ser muy rápido porque creo que es más importante
que poco todo el debate.
Las preguntas, pero se puede devolver
en una de esas varias ocasiones que había planteadas.
No sé cuántas partes,
pero si queremos una que termine con.
¿Qué es lo que está pasando?
Cuáles son los factores a decidir lo que son interesantes
en el punto de vista para escribir en esas cuestiones
hay varias cosas que es lo único que hay que marcar aquí una es
normalmente la combinación del tiempo permite que el negocio la vida.
O sea, ¿qué quiere decir eso?
Que si nosotros somos capaces de mantener esas infraestructuras
en nuestro sistema de una manera segura,
nuestra finalidad de negocio va a durar, que nuestros clientes,
cuando los clientes salen, cualquier cliente,
cualquier empresa, tenga esa perfección y continuidad,
que son nuestros negocios digitales, que son las ramas de digitalización,
de sistemas de web o aplicaciones, son fieles y confiables,
¿de acuerdo?
La finalidad de empresa de clientes,
básicamente si yo voy a trabajar con un servicio
que sea el que más funcione siempre o al menos en el 90% del tiempo.
Ese valor no solo se va a aplicar en las instituciones,
sino también en las instituciones.
Bueno, todo lo que tiene que ver con los agentes de estudios,
que tiene que ver con esas terceras de la cadena,
digamos, de suficiencia que existe entre todas las instituciones.
Yo me voy a hacer siempre, voy a poner nombre para la mitad,
En ese caso, yo me voy a hacer siempre
a aquellas empresas que no me van a producir problemas
en cuanto a que están en la presión de datos, etcétera, etcétera.
Bueno, ha pasado que me hacía mucho interés
ver todas las noticias, digamos, que aparecen en televisión
y en radio, y aquellas que son especializadas.
Esas no aparecen en televisión y en radio,
pero que son especializadas en España.
Y así como que son cuatro empresas en España,
son separadas, incluso con presión de seguridad,
con presión de datos, y no tienen acceso a los sociales.
O si llegaron al ejemplo,
pues también para que la compañía se lo sirva.
Y otra parte, para mí que es importante,
es que esa implementación de esos sistemas tiene
que ver con lo que estamos hablando de la vida.
Eso es una ventaja competitiva a las empresas.
En el sentido
de que si yo tengo, digamos, esa seguridad,
me estoy proporcionando negocio fiable a todo el mundo.
Por lo cual, esas tres ventajas son importantes
para convencer a, digamos, en el sentido general,
que esto no es una necesidad de la supercell,
sino que realmente lo que te vale es acceder a un modelo productivo
de inversión que te va a ayudar.
¿De acuerdo?
Porque hay que invertir.
¿De acuerdo?
Eso está claro.
¿Qué cosas son importantes?
Vale.
Desde el punto de vista de la parte de innovación,
como sabéis, hay varias cosas que se están planteando,
ya van a estar planteándose en el ámbito
de la gestión de las empresas, ¿de acuerdo?
, de la aplicación de los sistemas,
que desde el principio cuando se diseñan, ya eran seguros,
porque hasta ahora es verdad que esa cultura de ciberseguridad
no se aplicaba al desarrollo de la cadena de registro de software
en este caso.
Pero la idea es que son todos.
Eso reduce,
significa mucho las brechas que podamos tener incluso,
¿de acuerdo?
Sin perder la confianza que trabajadores, empresas o clientes
producen una mejora en el crecimiento del negocio.
Y luego una parte que nos falta mejor, a lo mejor,
no se crea.
Es decir, lo que es la parte de analizar más
todo, que es la inteligencia artificial, ¿de acuerdo?
Hoy la inteligencia artificial está trabajando en todo el mundo,
pues ahora vamos a ver.
Ha venido para quedarse, ¿de acuerdo?
Y sentir el beneficio de toda la generativa
que se está produciendo cada vez más significativos.
Esto es lo que tiene que ser la gestión de los funcionarios.
¿De acuerdo?
En cuanto a la financiación en general, para todas las empresas,
pero en particular para la financiación de seguridad,
porque eso es lo que se está intentando.
Digamos, dos veces es diferente.
La primera vertiente que tiene que ver con el uso,
o el mouse,
o el uso poco épico, ¿de acuerdo?
Esos intereses que han tenido las generativas, por ejemplo,
la automatización de ataques, de las empresas
y de las instituciones que tenéis.
¿Qué ocurre?
Que la cuarta partida.
Para que automatizar la gestión de los sistemas de los clientes
una parte muy importante de todo el uso.
¿Qué requiere eso?
¿Una gobernanza?
¿Una gobernanza dentro del pueblo de Chile?
Sí.
Dentro del pueblo de Chile.
¿Vale?
Entonces, aquí el tipo de otra vez,
no solamente la concienciación, el gasto,
sino también la invitación del consejo de dirección,
de la universidad.
¿Verdad?
¿Me escucháis?
¿Mejor?
¿Puedo hablar?
Sí, vale.
Bueno, antes de estar hablando de la silencio pedagógica,
porque tiene mucho que ver no solamente con la capacidad
de evitar los ataques,
sino también la capacidad, es importante,
de despegar lo que tiene que ver con todos los elementos de la empresa
cuando pasa esto.
Como los desastres, la recuperación de información
de los dispositivos, etcétera, etcétera,
que también es bastante importante,
como, de acuerdo,
evitar los ataques que han pasado en esa parte de México.
Y, bueno, traemos ese ejemplo que está de momento,
tenemos unas tabletas enteras, que es algo más interesante
entrar un poco en el debate,
pero como conclusión de la parte que se ha hecho,
sería un poco, digamos, decir, o establecer como conclusión,
bueno, ¿Cuál es la condición del entorno digital?
El entorno digital
se basa precisamente en su sistema de confianza
o la confianza que tiene que tener por el uso o mal uso
de sus piezas sociales.
Y aquí es donde entran las empresas.
Son bien de esa capacidad de subir esa realidad.
Y sobre todo al final la parte más importante
de todo esto que es la que tiene que ver con la marca
es generar la confianza en la realidad de los usuarios
por lo tanto eso es importante.
Para finalizar, dejamos un poco de preguntas.
La primera pregunta que quiero decir es,
vamos a dejar de preguntarnos sobre cómo debemos gastar
para protegerlo.
Y la segunda pregunta, que es la que quería hacer más para la mesa,
es, ¿cómo podemos ir cumpliendo el ciclo de excelencia
para que sea más rápida y segura que la competencia?
¿De acuerdo?
Que eso es importante decir.
Pero no sé si pienso un poco de haber avanzado en este tipo de principios
para poder trabajar y no por ninguna manera
no más confiarlo en el reto que va sobre la suerte, ¿eh?
Bueno, entonces lo que os he pedido es ir un poco rápido
con las cuestiones
y, bueno, con este término muchas gracias
y nos vemos en el que nos proporcionamos preguntas.
Bueno, pero bueno, yo creo que la primera pregunta.
Y segundo me gustaría saber también.
¿qué papel o cómo podemos conseguir que los empleados, los trabajadores,
los funcionarios que trabajan en esa empresa,
se involucren de una manera activa y no se convierta, por ejemplo,
en un trastorno en el que cambian las claves tres veces más
que cuando lo estamos haciendo.
Le incomoda y les desapega de lo que es la facilidad de la empresa.
Son dos preguntas muy interesantes.
Yo voy a preguntar dos minutos luego si queréis.
La primera pregunta cuando una empresa o una universidad
o una empresa pública tiene un ciberataque al final
lo que está exponiendo es un problema estructural que tiene
que tener en cuenta fundamentalmente ese problema estructural
puede ser a partir de los sistemas que está gestionando voy
a hacer un ejemplo que no nos pille pero es con otra empresa
y puedo cumplirte que con.
La cuestión ahí sobre todo es que al final lo que te da ese ataque
es una percepción de lo que estás intentando,
de dónde estás, de dónde estás, por lo cual eso te da el paso
para decidir cómo tienes que recuperarte,
o sea en ese fallo.
Y luego la otra pregunta más complicada voy a explicar
por qué el proyecto de la actividad central
es un proyecto integral no es parte solamente de la actividad central
no es parte del sistema no es parte del.
El consejo de dirección en el piso está integrado
con el tío que es el consejo de dirección cada vez
es más importante tener consultas con el consejo de dirección
eso tiene mucho influencia en la marca de importancia
por lo cual lo que te interesa sobre todo es que eso.
Lo que provoca problemas de movilidad de recursos entre las partes
o, de hecho.
Si es un proceso integral,
lo que necesitan es que los empleados tengan esa estructura organizacional
de la terapia de seguridad.
No estamos hablando, digamos, de que seamos expertos en el malware
o en trabajar con sistemas inactuidos
y ser capaces de hacer muchas cosas y muchas tecnologías,
pero lo que tenemos es la intensidad.
Sepan que las acciones suyas pueden derivar no en problemas personales,
sino en problemas de la empresa.
O en problemas que tienen que ver con la inteligencia de la empresa.
O en problemas que pueden ser fácilmente exportables
a otros componentes de la empresa.
La idea es concienciación.
¿Cómo se hace eso?
Es decir, una política de ciberseguridad.
Esa política de ciberseguridad tiene que tener varios ejes.
Hay que tener su gente, tiene que abarcar su condición,
su interés.
Por ejemplo, la OEA.
La OEA es un tipo de concienciación desde el punto de vista, sobre todo,
con cualquiera de los ejes.
Un café o vais al servicio.
Eso es un problema de seguridad.
Puede venir cualquiera
y automáticamente os puede cambiar la clave,
acceder o instalaros algo.
Es muy fácil.
Se tarda un minuto, 30 segundos en hacer estas cosas.
Pasa mucho, por ejemplo, en los aeropuertos.
Esas políticas, que son prácticas al final,
buenas prácticas de seguridad, son las importantes en esos temas,
sobre todo orientadas a.
Conseguir concienciar a los trabajadores
y a las personas que trabajan en las administraciones
y en las empresas que son parte de la solución.
Y cuando hablo de parte
de la solución lo digo con conciencia,
nunca hablo de parte del problema, no parte de la solución.
Gracias.
Es el trabajo, la actividad física,
el empleado, el cabreado,
el despechado, el despedido que decide.
Convertir el conocimiento que tiene de esa empresa, de esa entidad,
en un arma para vengarse, literalmente.
Estamos hablando de cómo se puede hacer frente
a esas posibilidades.
Hay empleados con unas credenciales
que les permiten tener algunos niveles elevados.
¿Cómo se puede evitar ese riesgo que hemos ido alimentando
sin querer dentro de la empresa porque le han costado
todas las prioridades del sistema?
Bueno, pues ahí tienes una solución, normalmente,
que se suele aplicar,
que es lo que hemos hablado del modelo Zero Trust,
el modelo de foco en confianza.
Evidentemente, no vas a poder evitar,
cuando hablamos de trabajadores, vamos a decir,
cabreados o molestos por la organización,
también puedes hablar de trabajadores que puedan vender información que es
muy subconsciente.
A otras organizaciones, por ejemplo,
cuando hablamos de espionaje industrial,
pues eso está a la orden del día.
No es algo que no ocurra, sino que ocurre convenientemente.
Esos modelos de securización lo que sí que te permiten
es tener esos permisos suficientemente para,
no tanto los permisos, quiero decir,
más el tipo de acción que puede realizar ese empleado
o por capas de empleado.
Es decir,
hay unos empleados que pueden acceder a un tipo de información,
otros a otro y otros a otro.
Si el empleado está adentro
es complicado, ¿de acuerdo?
Porque al final tienes esa gestión de permisos
y es difícil.
Una vez que sale,
sí que estos modelos automáticamente cuando tú eliminas,
y es una parte muy importante que se tiene que implementar,
eliminas a ese, perdonadme por la expresión de eliminar,
es decir,
que sale de trabajar o deja de estar relacionado con la con la empresa,
sí es importante actuar de manera rápida,
con un proceso sencillo, digamos, inmediato,
pues de dar a esta persona, digamos, esos privilegios alcanzados
que ha tenido también, y una parte muy importante,
de la que se va a hablar muy poquito,
que es el borrar la información, digamos, que ha podido obtener
en sus dispositivos móviles, en sus PCs y compañía,
que tiene mucho que ver con la parte de borrado seguro.
La parte de borrado seguro es una parte prioritaria y fundamental
dentro de lo que es el esquema nacional de seguridad.
Que se implementa poco, también tenemos que decir,
porque son gastos que se hacen
y la gente no suele querer entrar y bueno,
pues si el PC ya se lo damos a alguien que lo formateará,
pues no, la información se queda ahí.
Esa información que la que pueden utilizar,
por ejemplo, estas personas, porque muchas veces incluso tampoco
se entregan esos dispositivos por parte de esas personas
cuando se van.
Es decir, eso también otra vez tiene que ver con la política.
Es decir,
la política no solamente incluye qué hacer cuando estamos dentro,
sino qué hacer también cuando la persona
o las personas se van a todos los niveles,
no solamente a un nivel de un trabajador,
sino también de la parte del consejo de dirección,
que puede ser incluso más problemática
porque se supone que tiene más acceso a más información,
más privilegiada que la que podría tener un trabajador, digamos,
un profesor de la universidad, por ponernos un ejemplo,
para no entrar de nuevo en discursos de localización.
Por ejemplo, es un ejemplo.
Buenas tardes y gracias por esta oportunidad.
Quería preguntarle si desde el aspecto normativo
debería haber unas métricas generales para el ciberriesgo,
de tal manera que.
La función de la ciberseguridad deja de ser vista como ese brazo de gasto
para formar parte de un activo de los activos estratégicos
de cada empresa unas métricas generales
luego ya cada empresa en función de su actividad
tendría que tener otras específicas pero si deberían estar regladas
por norma es una pregunta más que pertinente es una parte
también tiene que ver no me ha dado tiempo
a ponerlo antes las.
Transparencia que tiene que ver con la ventaja competitiva
que tiene la certificación.
Y cuando hablo de certificación estamos hablando de productos,
sistemas y organizaciones medibles.
Precisamente, aquí podemos hablar un poquito,
sacando pecho desde el punto de vista de España.
España trabaja muy bien en los temas de ciberseguridad.
Y, bueno, pues hemos tenido un esquema nacional de seguridad.
Ahí en ese esquema nacional de seguridad sí
que se definen normativas al respecto de los diferentes niveles
de riesgo, ¿de acuerdo?
Probablemente sí que haría falta una escala cuantitativa,
¿de acuerdo?
Porque es una mezcla de cualitativa, cualitativa,
donde podamos decir un porcentaje que solo entendemos todos.
De 0 a 100,
¿cuánto riesgo tiene mi empresa respecto de estas cuestiones?
Hay estándares ya, el NIS tiene algo parecido,
el NIS 2 europeo también, ¿de acuerdo?
Entonces.
Quizá lo que falta es
un poco de estandarización a nivel, no voy a decir mundial,
pero sí una apuesta en común de todas las cuestiones
porque hay varios estándares al respecto.
Tenemos 27.001, tenemos la nueva,
ya no me acuerdo el numerito, tenemos el NIS,
tenemos la GPR, el marco estadounidense,
el australiano que también lo tienen también.
Al final, el problema de esas cuestiones
es que hay muchas cosas que se miden de manera cualitativa.
La decisión de riesgo siempre es bueno
desde el punto de vista, por lo menos de ingeniería,
que luego tiene su trasvaso en los gerentes
o en la toma de decisiones, que sean más cuantitativas.
Medir el riesgo de manera cuantitativa no es difícil,
pero tienes que medir esas escalas.
Como hay diferentes estándares,
se hace complicado el hacer esa disquisición
o buscar una normativa adecuada.
Un marco de fase, un marco de análisis
que sea congruente con todas ellas a la vez.
Al final,
si uno me quiere decir, oye, yo estoy compliant,
estoy de acuerdo a A, B, C y D,
tantas normativas, eso es muy difícil.
Normalmente lo que se hace es buscar siempre una de ellas.
Esas, ya te digo, tienen parte cualitativa
o indicadores cualitativos
y una parte de indicadores cuantitativos.
Yo siempre, yo lo siento, Vengo de ingeniería,
vengo de ciencia, nosotros somos muy de cuantitativo,
porque así medimos las cosas y podemos aplicar algoritmos
a los riesgos, etc. Y existen ya metodologías.
¿Qué ocurre?
Eso implica medir muchos factores dentro de la organización que a veces
no son medibles.
Entonces, lo que se hace es estimarlo.
De hecho,
por eso hay tres niveles dentro del esquema nacional de seguridad.
Se hacen precisamente tres, más todas las especializaciones
que hay de la última modificación del esquema nacional
de seguridad por dominios.
Tenemos uno precisamente para universidades,
para el de salud, universidades, hay varios.
Entonces, lo que se pretende precisamente
es intentar cuantificar toda esa parte
para el nivel de riesgo, sobre todo no tanto por decir
que somos más vulnerables o menos vulnerables,
sino para hacer el análisis introspectivo
para aplicar esas medidas para minimizar esos riesgos.
Fíjate que todo lo que estamos hablando siempre
es minimización de riesgo, porque no sabemos a ciencia cierta,
y más con lo que he comentado antes.
El uso de inteligencias artificiales ahora mismo
ha habido un ataque a CEDENADA a través de IA,
esa gente es IA, ¿de acuerdo?
Creo que es un grupo chino, un APT chino, pero bueno.
No te lo puedo contestar porque no me he leído la noticia.
Esto fue la semana pasada, que lo recordas,
si no me he equivocado.
¿Qué ocurre?
Que al final hay muchas amenazas que son emergentes,
que no sabes cómo van a producirse.
Y ese es el hecho difícil, ¿no?
Entonces, antes de esa amenaza, ¿cómo mides el riesgo?
Si no conoces el presente de la amenaza.
Pero bueno.
Al final lo que tienes es una foto fija
de lo que tienes ahora mismo ante lo que conoces, ¿de acuerdo?
Pero esa evolución, por eso hablamos de innovación,
la diversidad evoluciona.
Y ese ritmo de innovación se tiene que ver desde esa perspectiva,
¿de acuerdo?
Desde la perspectiva del uso cuantitativo de esas métricas.
Y aquí otro detalle más, estamos hablando también
de inteligente artificial.
Hay una rama de la ciberseguridad que se dedica
exclusivamente a ver el problema que tienen de brechas de seguridad
las propias inteligencias artificiales.
¿De acuerdo?
Porque existen una serie de ataques específicamente
para inteligencias artificiales, envenenamiento, etcétera, etcétera,
que permiten modificar el comportamiento
de esas inteligencias artificiales.
¿De acuerdo?
De hecho, tenéis un ejemplo un por ahí.
Hay varias demostradoras, pero hay una que a mí me gusta
bastante, que es acceder a la consola de chat
GPT, que es fácil acceder porque está distribuida en instancias en Amazon,
que lo sepáis.
Entonces tú puedes entrar y puedes entrar precisamente
a las tripas de la consola.
Cuando hablo de tripas de la consola,
estás hablando de los parámetros de la distribución que tiene
el chat GPT, el valor GPT,
el que sea.
El 5.1, el Pro,
lo que queráis, tienen todos allí.
A medida que se van utilizando.
Entonces podéis modificar los parámetros,
podéis modificar todo lo que queráis y se queda ahí,
porque esa instancia se reutiliza.
Ahí tenéis un ejemplo, están por ahí los demostradores.
Lo que quiero deciros es que la confianza de la utilización
de las IAS tiene que ver primero con lo que he comentado antes,
su uso.
Desde el punto de vista ofensivo, podemos llamarlo
de alguna manera ofensivo en el sentido de ataque,
ya sea ataque, digamos, ético o no ético,
ya sabéis que luego hay varias disciplinas,
o defensivo, ¿de acuerdo?
Para analítica, acceso y contramedidas.
Y aquí siempre queremos remarcar las medidas activas,
la proactividad de las herramientas para que sean automáticamente capaces
de no esperar a que un humano decida qué contramedida hay que tomar,
sino que lo hagan automáticamente en base a lo conocido.
¿De acuerdo?
¿Eso cómo se hace?
Con datos cuantitativos.
No se puede hacer de otra manera que con cualitativos,
en diferentes niveles de riesgo.
¿Vale?
Pues desgraciadamente tengo que decirte que no,
o sea, al 100% es imposible.
De hecho, cuando trabajamos en esto,
lo primero que aprendes es que sabes menos que los que atacan,
siempre es así.
Lo tienes por definición porque, digamos que tu trabajo,
y aquí tenemos que distinguir un poco los roles.
Tu trabajo es intentar avanzar
o prever que puede ser un problema a medio o largo plazo, ¿de acuerdo?
Es decir, prever las amenazas,
por decirlo de alguna manera.
¿Qué ocurre?
Normalmente la gente que utiliza de una manera poco legal
las herramientas, lo que suele hacer es estar muy a la última tecnología
siempre, Ejemplo, la generativa que hemos comentado
anteriormente, ¿vale?
Para poder utilizar de distintas maneras,
por la generación de phishing, de malware polimórfico,
tenéis un montón.
La verdad que lo que se puede hacer con estos algoritmos ahora mismo
es brutal, ¿vale?
Más allá de generación de contenido,
que es una cosa más sencilla, ¿no?
Pero que son capaces de hacer cosas que antes llevaban meses.
Ahora, por ejemplo,
esos APTs lo que hacen es o lo venden.
Vais a la web o la VIP y lo compráis.
Y decís, quiero.
Un malware específico para la Universidad Nacional de Educación
en la instancia.
O generar los correos
o generar el malware, tú lo pagas y tienes un ataque
dirigido aproximadamente un día.
¿Qué ocurre con todo eso?
Significa que no puedes estar a todo lo que puede ocurrir, ¿de acuerdo?
Porque además esas amenazas emergentes lo que se, digamos,
siempre aprovechan la última tecnología, ¿de acuerdo?
Y cuando uno está en sistemas productivos
no está la última tecnología, está la tecnología que le funciona
y que le aviona la organización en ese momento,
que puede evolucionar.
Por eso la idea de innovar,
eso, no te quedes aquí solamente, sino intenta acelerar ese proceso
para que cuando vengan esas amenazas emergentes
puedas ser capaz de reaccionarlo.
No te digo responder.
100%, porque no vas a poder,
va a depender mucho de la tecnología que se utilice de última generación,
pero por lo menos haber avanzado en los sistemas de protección,
con lo cual el 100% es imposible ocuparlo,
¿de acuerdo?
Eso sí, lo que tienes que tener son buenos procesos de respuesta,
y eso sí lo puedes tener, ¿de acuerdo?
Para, digamos, proteger tus infraestructuras
o bien, si se produce ya esa brecha, ese problema,
responder de una manera eficiente.
Y eso sí que no tiene que ver tanto con la amenaza en sí,
sino con la capacidad estructural de la organización.
¿De acuerdo?
Y eso sí que te salva, no te digo al 100%,
lo que es la minimización del riesgo dentro de la organización.
Y eso sí se puede hacer,
pero necesitas invertir para que eso no ocurra.
Si lo analizas desde el punto de gasto, que es la primera pregunta
y vamos al origen, pues es que no es un gasto,
¿de acuerdo?
A ver, yo siempre pongo la misma, no sé si metáfora,
es decir, yo para conducir un coche,
un coche me lo compro.
Para un coche necesito un carnet, ¿verdad?
, Un carnet de conducir.
Entonces, si no tengo un carnet de conducir,
para conducir.
Porque se supone que eso me dice que soy fiable y seguro conduciendo.
En principio, igual al 100%.
Aquí ocurre lo mismo.
Si tú tienes un coche,
llámale tecnología, sistemas e infraestructuras,
si no tienes a alguien o el sistema está con un carnet de seguridad,
tienes un problema.
No lo hagas.
Por eso te digo que esa es la concienciación
y no ver la inversión como un gasto,
sino como una inversión.
En marca, en reputación, y en producto y en innovación,
porque es que es así.
Tenemos otra pregunta, que me gustaría también poder echar
a la gente que está asumiendo online.
Carmen pregunta, ¿qué intereses mueven los ciberataques
a las empresas?
La lista está larga.
Hay muchos, de hecho, Garspesky, creo recordar,
o la otra empresa, se hagan un reporte todos los años
precisamente de un poco ver las motivaciones económicas,
las motivaciones no económicas, hay una motivación económica
clara que es un porcentaje amplio de esas motivaciones, ¿no?
Tendría que buscaros el reporte de, no sé si ya es el de este año,
pues suelen sacarlo en noviembre o diciembre,
que hacen un análisis de los ataques, ¿de acuerdo?
Porque digo que es cada pesca
y porque lo suele tener bien etiquetado.
Entonces, ahí básicamente los dos ataques
que se corresponden a un 60-70%,
si no me equivoco y no recuerdo mal, tienen motivaciones o bien económicas
o bien geopolíticas.
Estas son las dos principales.
Las económicas son obvias, es decir, robo de información,
espionaje industrial, ¿de acuerdo?
O simplemente daño a la marca.
De acuerdo,
que muchas veces suele ser de la propia competencia.
Cuando hablamos de eso, también aplicarlo a la geopolítica.
Tenemos grupos en ciertos países,
todos conocidos, no lo voy a decir aquí,
en donde su función o sus atribuciones fundamentales
normalmente suelen estar, digo normalmente,
y esto cogerlo con pinzas,
porque si está grabado luego puedo tener problemas,
por esos países, ¿de acuerdo?
, para producir campañas o daños,
especialmente en infraestructuras.
Y cuando hablamos de infraestructuras,
podemos hablar de infraestructuras críticas,
que esto es un problema.
Pueden ser aeropuertos, pueden ser uno de los problemas
más graves que podemos tener, y bueno, aquí no ha pasado,
aunque se habló mucho del famoso apagón de abril,
recordad que tuvimos un apagón y en principio
se abrió un ciberataque.
Que algo hubo, pero no fue la causa principal,
también os decimos que fue así,
hubo algunas caídas y unas cosas que se vieron,
y por lo tanto, cuando se habló, tenía parte de fundamento, para mí,
porque a todo el mundo es su valor.
Y eso es un ataque con infraestructura crítica
que puede ser, desde el punto de vista tan grave
como la que vimos en abril,
si hablamos de luz, por ejemplo, de la cadena de suministro,
en todo lo que tiene que ver con mensajería, por ejemplo,
es decir, aquellos negocios donde van a afectar
desde un punto de vista a la sociedad de una manera muy evidente,
¿de acuerdo?
Esas son un poco las, y por supuesto las campañas políticas,
que yo tampoco me voy a remitir, es otra de las partes.
Dentro de eso también recordar
que tenéis una serie de actores que son, digamos,
lo que llamamos los activistas,
que precisamente están fuera de esas organizaciones,
¿de acuerdo?
Y entonces lo que tienen, pues eso,
es, digamos, una capacidad, en principio limitada, ¿de acuerdo?
Pero bastante grande de, digamos, producir o afectar
a ciertas situaciones, ¿de acuerdo?
Y os recuerdo el de la máscara blanca,
por no poner el nombrecito.
¿Vale?
Esa es una.
Todos sabéis, ha lanzado campañas
con el mundo en la compra a Rusia, en la guerra de Ucrania,
y que, bueno, pues ha involucrado a activistas
de numerosos países,
incluidos españoles, en funciones de defensa española,
en una búsqueda pura de estos activistas
a nivel internacional y demás.
Pero realmente, por ejemplo,
¿es posible combatir este tipo de activismo geopolítico
que busca.
Bueno, por ejemplo, estos llegaron a atacar
la web del Ministerio del Interior durante la noche electoral,
no llegó a afectar al tema del recuento,
pero sí estuvo, la gente agregó los resultados
durante un tiempo, no estuvo accesible,
son ataques de delegación de servicios.
¿Es posible combatir este tipo de activismo?
¿Las empresas, las entidades públicas
pueden ser eficaces para minimizar, no te digo eliminar,
pero sí minimizar.
Los daños, las posibilidades de dañar el sistema.
Como he comentado antes,
desde el punto de vista de las amenazas,
no vas a poder predecir todas las amenazas que vas a tener.
Este tipo de organizaciones normalmente suelen planear en canales
privados la forma de actuar en esas.
Normalmente suelen ser atacas de relaciones de servicio
porque es lo más fácil de implementar de manera generalista.
Porque es fácil, entre comillas,
si volvemos al tema de trabajo de esa compañía,
tomar el control, entre comillas, de ciertos dispositivos,
servidores y otros sistemas, ¿de acuerdo?
Lo que son redes de, lo que se llaman botnet, ¿no?
Eso hace complicado digamos la detección
lo que sí que se puede hacer desde el punto de vista
de la organización y probablemente si te pones a nivel
un poco de país un poco que es lo que se está organizando aquí
en España yo no sé si a lo mejor Héctor puede contar luego
algo de esas cuestiones que se está hablando acerca de los SOC nacionales
por ejemplo, toda la parte de detección de amenazas
en tiempo real, que en España se está haciendo
yo creo que razonablemente bien en cuanto a administraciones
públicas.
Y empresas públicas y privadas, ¿de acuerdo?
En el sentido de poder avanzar o detectar ciertos síntomas
de los ataques, porque evidentemente no puedes detectarlo casi
hasta que está al final, ¿de acuerdo?
Y volvemos a lo que decíamos antes.
Al final no es tanto el ataque en sí,
sino la capacidad de resiliencia que tenga el sistema.
Con lo cual, si esas administraciones públicas, esas empresas privadas
o empresas públicas son capaces o deberían de tener sistemas
suficientemente asegurados como para que se pueda minimizar el riesgo,
que digo que no puede ser nunca al 100%,
pero que el daño sea el mínimo posible,
eso sí se puede hacer.
Asegurando bien los sistemas y haciendo que sean seguros
en la medida de lo que conocemos.
Y eso siempre.
Lo que no conocemos.
Podemos defendernos ahora mismo, podemos avanzarlo, ¿de acuerdo?
¿Es adecuado, si ya se ha instalado una estructura empresarial,
que exista un área específica de ciberseguridad
en sus estructuras?
¿O es algo todavía que no está extendido o dependiente
o que depende del tamaño de la empresa?
Eso último.
Fundamentalmente, al final, depende A ver, teóricamente, bueno,
no teóricamente, en empresas públicas,
administraciones, ya hay estructuras para ese estilo, ¿de acuerdo?
En el sentido de que, finalmente, se tiene que tener un ciso.
A veces, digo, como lo he dicho antes,
se combina con el.
Con el CTO, con el de tecnología,
y a veces incluso el CEO,
el director es una persona que tiene esos conocimientos
o es capaz de tomar decisiones en base a lo que conoce.
Desgraciadamente, como al final se ve como un gasto,
en pequeñas y medianas empresas,
que es el 90% del tejido productivo español,
por ejemplo, en España, Pues eso no está,
digamos, implementado.
Ahí yo sí, esto es una opinión particular que yo creo
que he expresado en varios foros,
sí que debería la administración pública actuar de manera eficiente
para proporcionar esa seguridad a esos modelos digitales
de servicio que tienen las empresas pequeñitas,
por ejemplo, los pymes.
¿Por qué?
Porque al final.
Y queremos implementar esa cultura y no verlo como un gasto,
hay que ayudar a las, digamos, pymes,
porque no tienen capacidad de recursos y, por supuesto,
personal técnico cualificado para según qué cuestiones.
No tienen infraestructuras muy grandes, ¿de acuerdo?
Al final suelen ser pequeños ordenadores
donde llevo la contabilidad del negocio.
Pero al final son informaciones que pueden revertir
o que pueden aparecer por ahí.
Usuarios de las propias pymes, etcétera, etcétera,
tienen pequeñas infraestructuras
y normalmente siempre suelen subcontratar esas infraestructuras
a una empresa, digo normalmente, depende mucho de la desigualdad.
A partir de las empresas ya más medianas y grandes empresas,
ya eso sí que está bastante bien establecido, ¿no?
Y existe una cultura cibersegura cada vez más fuerte y más potente,
pero las pymes, No, el problema es que estamos hablando
de un porcentaje muy alto del negocio productivo español,
¿de acuerdo?
Insisto, yo ahí sí que iría a pedirle a la administración pública
a quien corresponda que implemente algún tipo de plan
porque más tarde o más temprano vamos a tener problemas con eso,
¿de acuerdo?
Gracias.
Me pones en un compromiso porque se hace difícil resolverlo.
Javier, me pones en un compromiso.
A ver, yo no soy parte de eso
y te digo por qué.
Yo no hablaría de ingenieros informáticos,
yo hablaría de ingenieros en tecnología en general,
porque aquí estamos hablando de informáticos por la zona sovia,
pero también hay otros profesionales de las ramas, industriales,
telecomunicaciones, hay varios, que también se dedica a esto,
aunque realmente hay gente que habla de intrusismo, pero bueno,
ahí vamos a dejarlo.
Quiero decir que hay una familia de profesionales alrededor de esto.
Para la parte de cultura de ciberseguridad y empresa,
yo creo que hace falta algo más que saber de ciberseguridad
o de tecnología per se, ¿de acuerdo?
Esa es mi opinión personal.
Necesitas una cultura de la gestión de la organización, ¿de acuerdo?
Y eso yo creo que, digo, con lo que sale de las universidades
o de la formación que tenemos ahora mismo,
no tienen esa capacitación,
esas capacidades, esas habilidades para llevarlo a cabo.
No quiere decir eso que con una formación adicional
sean capaces de gestionar desde el punto de vista de un CEO,
de un gestor, de la empresa.
Eso, ¿de acuerdo?
De lo que es la organización en sí.
Pasaba antiguamente, yo creo que, no sé si aquí hay
un ingeniero en telecomunicaciones con un MBA, que era lo habitual,
¿de acuerdo?
En este tipo de roles.
Esto también ha cambiado, ¿de acuerdo?
Como digo, hablamos de varios perfiles profesionales,
ya está un poco difuminadalo que son las competencias.
De hecho, en informática no hay competencias profesionales.
Por ejemplo, si lo hablas con un ingeniero industrial,
un ingeniero de telecomunicaciones que tiene sus colegios
y está todo establecido.
En informática no hay.
Pues se considera mucho más transversal
y no hay unas conveniencias específicamente claras
de las responsabilidades, que cada vez se ven más.
Yo, por ejemplo,
cuando estas cuestiones las estamos comentando,
si tenemos a un ingeniero en informática,
dedicado es el gestor de ciberseguridad
a una organización grande,
cuando ocurre un problema, ¿quién le pide responsabilidad?
Eso es lo que tiene que ver con los colegios
y las actividades profesionales.
No tenemos.
Por lo cual, al no tener esa definición,
es muy difícil hacer que un ingeniero de informática
sea capaz o tenga esas capacidades para,
una vez que sale de la universidad, con un tiempo determinado,
sea capaz de asumir esas responsabilidades de más nivel.
Sí con formación complementaria.
Esa es mi opinión.
Si Microsoft te dice eso es porque Microsoft
es una tecnológica, básicamente.
Entonces te va a decir.
Eso lo estoy haciendo bien o mal,
porque si me preguntan tanto, yo no sé si.
Si me preguntaras en ciberseguridad es más fácil, pero tecnología.
Bueno, eso es una discusión también que hemos tenido cada vez más,
porque es verdad.
Y hablo un poco, esto es mi opinión personal,
que también quede claro porque luego otros directores y decanos
de otras facultades de informática me pueden.
Cambiar la opinión y es otra opinión distinta.
Yo creo que la cuestión es que hemos tendido siempre,
pero es una cuestión que tiene que ver muchas veces
con los requerimientos de la empresa,
hacer siempre grados muy generalistas en el sentido
de abarcar lo máximo posible,
pero conceptos más básicos e intermedios.
No entrar en especializaciones muy genéricas,
dejarlas a los másteres.
¿Por qué?
Porque al final lo que queremos son ingenieros
que sean capaces de responder en varias situaciones.
Que sepan de un poco de ciberseguridad,
que sepan un poco de inteligencia artificial,
que sepan de sistemas, de ingeniería de software,
que sepan un poquito de todo,
para que luego sean capaces de adaptarse,
una vez que se incorporan al mercado profesional,
a la especialización.
La empresa que te dice, no, no, yo no quiero eso,
yo quiero una persona que sepa de esto, de esto, de esto.
Entonces eso, digamos, esa discusión la tenemos,
además en varios cámaras de comercio lo hemos discutido muchas veces,
porque claro, yo entiendo la posición que te dicen ellos,
pero al final.
Yo tengo que formar profesionales que tengan un amplio espectro
en ese sentido.
Yo, lo digo yo, hablo de la Facultad de Informática,
la Escuela de Informática de España, e insisto, mi opinión,
otra vez, ¿de acuerdo?
Porque si no luego tengo esas discusiones fuera.
En donde lo que necesitas es formar de manera generalista, ¿de acuerdo?
Ahora bien, pensado así,
el modelo a lo mejor hay que darle una vueltecita,
porque ya sabéis que, por ejemplo, en otros países como Holanda,
como Alemania, hay que dar de tres años.
Y también son especializaciones también, con lo cual hay
que darle una pensada, pero yo creo que ahora mismo,
y esto también lo discutí ayer precisamente con una persona,
un ingeniero español que está trabajando en Alemania,
que me decía, no, es que en Alemania
dicen que no quieren ingenieros españoles,
porque dicen que saben mucho de todo.
¿Son buenos o son malos?
Quiero decir, ¿sabes de todo?
¿Mucho?
¿Hasta qué?
¿Hasta qué punto?
¿Qué necesitas?
Porque ahí, por ejemplo, puedes también argumentar,
pues oye, necesitamos dinero porque necesitamos formar
la especialización.
¿A quién?
A estos chicos, a estas personas que salen.
¿De acuerdo?
¿Por qué?
Porque no saben.
Entonces, no van a hacer el máster,
pero necesitan esa especialización.
¿De acuerdo?
Según está montado, digamos, el sistema educativo,
pues tienes dos niveles.
Grado máster.
El máster es el que realmente te da la especialización
en ciberseguridad.
Nosotros tenemos máster en ciberseguridad,
tenemos máster en investigación artificial,
tenemos máster en investigación.
Tenemos nueve másteres,
con lo cual tienes un poco todas las posibles especializaciones
que hay, pero exige tener ese máster,
¿de acuerdo?
Para esas cuestiones, ¿vale?
Entonces, ¿la solución cuál sería?
Pues la solución sería realmente analizar
si efectivamente esa necesidad de las empresas es conveniente
o no es conveniente, inventando el punto de vista
de la universidad, porque ya se intentó, de hecho,
en la década de los.
Del 2010 al 2020, creo que hubo una explosión de títulos
de todo tipo.
Biotecnología, bioquímica de no sé cuánto,
y lo que se ha quedado es que estamos igual,
con lo cual realmente la solución de intentar especializar
no ha llegado realmente a tener, esa es nuestra visión,
una finalización adecuada para lo que requieren las empresas.
A lo mejor también es una cultura de ver entre las dos partes.
Qué es lo que debe dar una parte
y que la otra empresa debe invertir también en talento de personal
en las cosas que necesita.
Es un tema muy delicado, ¿eh?
Es un tema muy delicado.
Sí, hay más gente que tiene que hablar.
Sí.
Evidentemente, las empresas han avanzado
a incorporar a su sistema el árbol inteligente artificial,
pero se ha avanzado a la vez en la protección frente a los riesgos
que supone la introducción de estas nuevas tecnologías
en el sistema productivo de cada una de las empresas.
Porque evidentemente cada vez van más deprisa
y yo no sé si la ciberseguridad va tan deprisa
como las empresas están introduciendo esas nuevas tecnologías en el mundo.
Pues es fácil.
Es fácil.
No.
La cuestión no es,
digamos, incrementar, como decimos en tecnología,
Hace tiempo que está todo inventado.
Le damos muchas vueltas
porque la tecnología evoluciona mucho,
pero los métodos siguen siendo los mismos.
Por ejemplo, cuando estamos hablando de lo más habitual,
desplegar inteligencias artificiales,
ya sea para predecir el siguiente viaje de.
La empresa X, ¿vale?
O tu personalización de compra en la empresa Y,
¿de acuerdo?
De la nube, por ejemplo, hablando de Microsoft
u otras.
Al final esos algoritmos se están implementando en sistemas.
Lo he comentado antes, por ejemplo, con ChatGPT.
ChatGPT es un sistema que tienes desplegado en la web
y que es muy fácil.
Desde el punto de vista ciberseguro tiene poca ciberseguridad.
Las empresas están lanzando a esto,
implementando esos modelos productivos sin poner esas medidas.
Acuérdate que hemos hablado al principio de Security by
Design.
Eso lo estamos quitando de en medio.
¿Por qué?
Por razones de eficiencia y velocidad de despliegue
de esos servicios digitales.
¿Qué ocurre?
Cada vez más empieza a haber muchos más problemas
y de hecho hay una parte,
y os animo sobre todo a la gente que está pendiente de estudiar,
trabajando en el área de los despliegues
de la inteligencia artificial y todo lo que tiene que ver
alrededor de la protección de información,
porque tened en cuenta que muchas de las interacciones que se hacen
con esas inteligencias artificiales.
Esa información que se recoge automáticamente.
De hecho, ya ha habido demandas en Estados Unidos
respecto a, por ejemplo, temas de propiedad industrial,
que se ha preguntado.
No digo nada de los temas de los suicidios,
que ha pasado también con chavales que se han suicidado
después de estar hablando con un chat GPT.
Entonces tienes varias áreas de trabajo ahí.
Una es en la propia definición de cómo vas a utilizar
esas infraestructuras desde el punto de vista de la confiabilidad,
de la seguridad.
Y te digo yo que las empresas ahora mismo se han lanzado
a una innovación pura sin mirar esos retos.
Probablemente esa parte va a ser a nivel de futuro
una profesión probablemente.
¿De acuerdo?
Así lo avanzo.
Si me equivoco luego ya me daréis en la cara
para decirme que te equivocaste.
Pues yo creo que no me estoy equivocando.
Porque se están lanzando sin ningún tipo de riesgo,
sin prever efectivamente
que esos son puntos de acceso de entrada a sus sistemas,
a la información que gestionan, ¿de acuerdo?
Y, sobre todo, que también producen efectos colaterales
en los usuarios, ¿de acuerdo?
Con lo cual, esa parte, ¿de acuerdo?
La están haciendo con métodos muy tradicionales
que no están dentro de esa cadena que hemos hablado de diseño seguro,
¿vale?
Entonces, ya te digo yo, y es así, ¿eh?
No te voy a decir el 100%,
pero Y no te hablo de pymes, ¿eh?
Te hablo de grandes empresas.
Tanto sombrío como me lo parece a mí no, es para innovar estamos
en la sesión de innovación vamos a ver.
Cuando uno,
y esto es también, insisto, otra opinión personal,
está desarrollando un producto digital nuevo,
como es el caso de la implementación de este tipo de herramientas,
sobre todo porque está todo el mundo trabajando con agentes,
con chatbots, que es lo que está todo el mundo
implementando porque es lo más sencillo de hacer.
Hay otras muchas herramientas que se están implementando
que tienen otras utilidades mucho más eficientes.
Se prima más la velocidad.
De acceso al mercado digital,
es decir, el acceso de la viabilidad del servicio
para que la gente lo tenga, ¿de acuerdo?
Más que el hecho
de las posibles consecuencias colaterales, ¿de acuerdo?
¿Vale?
Y está pasando convenientemente.
De hecho, hay muchos métodos ahora mismo,
muchos chats tradicionales
de todas las empresas que te puedas trabajar, ¿eh?
De todas las que puedas imaginar en los chats, ¿de acuerdo?
De estos de ayuda,
te voy a ayudar no sé cuánto, para entrar directamente
en los sistemas a partir de ahí, ¿de acuerdo?
Porque están todos basados en mucha tecnología ya conocida
y que precisamente.
Las personas poco éticas o los malos, ¿de acuerdo?
, conocen ya, ¿vale?
¿Qué ocurre?
Si tú eres capaz de desplegar esa información,
digamos, de manera aislada de la organización
y que controlas los sistemas, no tendrás problemas.
El problema es que,
como se lanza muy rápidamente a esa innovación rápida,
¿de acuerdo?
,
porque estamos hablando de innovación rápida con inteligencia artificial,
pero sin ver todos los pros y los contras que hay
alrededor de esa implementación de esos servicios digitales,
que tiene muchos, puede tener problemas,
vamos a dejarlo ahí, ¿de acuerdo?
, ¿vale?
, no es preocupación, es lo que hemos hablado antes,
tú puedes tener, digamos, unas amenazas controladas,
¿de acuerdo?
, sabiendo el nivel de riesgo que tienes detrás, ¿de acuerdo?
, Yo creo que ahora hay un nivel de riesgo grande,
tampoco conozco las implementaciones,
pero me da la impresión por las cosas que leo
y la parte que viene de información día tras día,
que esa es una parte que cada vez tiene más vulnerabilidades
y que cada vez están siendo más explotadas.
Pero te digo, porque es una velocidad de reacción
del mercado digital a los nuevos servicios, ¿de acuerdo?
Y a las empresas hay que decirle, háganlo ustedes con cabeza
primero y no se metan en una cuestión de esas porque luego el problema
lo van a tener en la filtración de información,
en el acceso a los sistemas que eso es peor
desde el punto de vista de marca que cualquier otra cuestión
de la inversión que se haga precisamente en los servicios nuevos
y, por tanto, el retorno de inversión.
¿De acuerdo?
Ya para terminar,
por ejemplo, las estadísticas del Ministerio del Interior
sobre la delincuencia,
lo que podríamos llamar la delincuencia tradicional
que se produce en el mundo físico,
por decirlo de alguna forma, va en retroceso,
depende del delito, pero bueno, en general se mantiene.
Ahora la acción de delincuencia ha subido de manera exponencial,
no solo porque afecta a las empresas,
sino que también afecta al ciudadano que usa.
Todos prácticamente usamos el mundo online para comprar,
para consultar, para viajar,
para informar a los médicos y demás.
Es un poco eso, que se nos ha dado el instrumento,
pero no se nos ha enseñado cómo utilizarlo con seguridad.
Tal cual, tal cual.
A ver, siempre ponemos también más ejemplos
para que la gente lo entienda.
Dicen, bueno, yo me he comprado una casa, ¿no?
Tengo una casa que vendría a ser como mi servicio.
Yo lo que no voy a hacer nunca es dejar mi casa abierta,
de par en par, ¿no?
Pues esto es lo mismo.
Es decir, lo que no puedo hacer es comprar la casa
y dejar las puertas abiertas.
Para que entre alguien,
normalmente la gente normal no va a entrar, ¿de acuerdo?
No tiene ningún interés,
pero aquellos que tengan un interés no lícito,
pues van a entrar.
Entonces, lo que ocurre es que es más fácil
hacerlo digitalmente que no apuntarte con una pistola
o pedirte.
¿Por qué es más fácil?
Básicamente estoy desde mi casa haciéndolo
y te estoy robando lo lleno de la cuenta del banco
y no te estás enterando.
Es mucho más fácil eso que no que salir a la calle.
Es una cuestión de comodidad digital,
también te digo eso.
Por eso es lógico que bajen la incidencia de clientes.
Es una discusión que tenemos convenientemente.
Lo hemos dicho muchas veces.
Hemos avanzado mucho en tecnología, pero ¿a costa de qué?
Y dicho todo esto,
también hay que lanzar una pica en favor de la tecnología,
que también nos ha ayudado mucho para muchas cosas.
Yo creo que ha provocado una evolución brutal en 20-25 años
que no se ha visto nunca en la historia de la humanidad,
o por lo menos la que tenemos registrada.
¿De acuerdo?
Vamos a hablar de la transaccionalidad,
principalmente de la transaccionalidad del crimen delito.
Me alertaban sobre el uso de la inteligencia artificial,
pero también me alababan y me aplaudían que el uso
de la inteligencia artificial también les habría facilitado
que caer en su trabajo.
Un arma de lo de crimen, ¿no?
Por un lado, que abre nuevas fechas de seguridad,
pero por otro, que permite también cerrar.
Eso, eso.
Tiene los dos aspectos, ¿de acuerdo?
La herramienta no es el problema, es el uso de la herramienta.
¿De acuerdo?
Igual que vamos a los coches.
Un coche lo puedo utilizar para conducir
o lanzarlo contra la joyería.
Es que.
Vamos a perder un coche.
No, vamos a perder un coche por eso.
Yo creo que la conversación es muy interesante.