Bueno, buenas tardes.
Muchas gracias a los que estáis aquí, a los que estáis en streaming.
Gracias por la invitación
y la oportunidad de poder estar aquí con grandes profesionales
como vosotros.
Para iniciar un poco sobre la temática genérica
que tenía este panel, el tema del Zero Trash, sí que es relevante
de cómo con el tiempo ha ido evolucionando la idea
que teníamos de forma genérica sobre cuál era el elemento
o el perímetro al que teníamos que defendernos.
Antes lo teníamos muy claro, teníamos muy específico,
teníamos un elemento muy delimitado, teníamos nuestras bases de datos
almacenadas y teníamos muy claro cuál era el parámetro
y los perímetros que teníamos que defender.
A partir de aquí eso evoluciona, evoluciona, llega el COVID,
llega una serie de transformaciones
que hacen que nuestra organización despliegue elementos en la nube,
trabajemos de una forma totalmente diferente
y eso hace que lo que antes se concentraba únicamente
y pensábamos que nuestras amenazas
eran únicamente las que estaban externas a nuestra organización,
bueno, pues ha variado ese concepto y el parámetro
y actualmente cualquiera pueda ser una amenaza.
Y de ahí, bueno, un poco
la consecución de la metodología del Zero Trust en el cual se plantea
que cualquiera pueda ser una amenaza,
independientemente que esté dentro o no esté
dentro de nuestra organización.
Se consideraba que por el simple hecho de tener ese firewall,
si ya accedíamos a ese parámetro interior,
pues ya era alguien que le podíamos dar esa seguridad
de estar en nuestro entorno, pero se ha cambiado.
Eso ha variado.
Y aún así, y es un poco la vuelta que comentábamos antes,
y aún así, haciendo ese cambio de paradigma
en el cual no confiamos en nada y verificamos cualquier tipo
de acceso, seguimos teniendo un rol a nivel de ciberseguridad.
Totalmente proactivo,
independientemente de la tecnología antigua o la actual.
El 0-3 sigue siendo totalmente una tecnología,
una metodología que nos permite o intenta defenderse constantemente
de posibles amenazas.
Y yo creo que ahí también habría que ser.
Conveniente abrir el paradigma abrir un poco la mente a la hora
de cómo enfocamos amenazas como comentabas tú en el apartado
anterior amenazas de grupos activistas
o grupos yihadistas o grupos de APT que hacen amenazas concretas
contra organizaciones y empresas y contra el Estado.
¿Y cómo habría que cambiar el planteamiento?
Porque ya no se trata únicamente de defender esos puestos de trabajo
o esos equipos,
sino de cómo podemos hacer para anticiparnos
y no tener únicamente ese rol totalmente reactivo,
sino tener un rol proactivo que nos permita como organización
investigar, prevenir cómo trabajan esas organizaciones
para de una manera poder generar esa proactividad propiamente
a nuestras organizaciones.
Sí, vamos a.
Lo primero, buenas tardes a todos, a los que estáis aquí presencial
y a los que estáis en remoto.
Y gracias a los compañeros y a la organización.
Por empezar por algún sitio
y enlazando varios temas que además comentó también antes Rafael
y un poco ha comentado ahora Carlos y por avanzar un poquito
para que luego a lo mejor abramos el debate
y veamos un poquito más todas las características y aristas
que tiene.
Es evidente que ya la seguridad o ciberseguridad,
esto no es una cosa de informáticos,
ni es una cosa de algo que está circunscrito
a una determinada red de ordenadores,
ni proteger hacia adentro ni hacia afuera.
Es decir, hay otras disciplinas que se ven implicadas en ello.
Y ahora voy a dar un salto y luego, si queréis,
lo vamos rellenando, ¿vale?
Para ver cómo está enlazado todo.
Ha comentado Carlos el tema de la proactividad fundamental.
Permítaseme la expresión, la prevención está muy mal pagada.
O sea, siempre trabajamos de manera reactiva,
o casi siempre.
¿Qué intentamos todos?
Pues desde Incibe, Carlos, Rafael, etc. A los alumnos
hay que inculcarles ese.
Esa manera de pensar,
tenemos que pensar de una manera adelantada.
Cuesta menos prevenir.
¿Qué reaccionar, incluso monetariamente?
¿Qué ocurre?
Lo que hablábamos antes, evidentemente,
el famoso concepto del ROI, el gasto en ciberseguridad.
¿Es inversión o es gasto?
Es inversión, sin duda.
Voy a poner solo un ejemplo.
La pérdida reputacional de una empresa
puede ser grande o pequeña.
Puede ser la más grande o la más pequeña y modesta
de la Comunidad de Madrid
que se puede ver influida por cualquier ciberincidente.
Entonces, ¿cómo afrontar esa proactividad?
Voy a dejar dos pinceladas y luego, si queréis,
andamos en ello.
Y enlazado con el cero atrás, lo decía más Oscar al principio.
No es una cuestión de desconfiar, es una cuestión de,
y aquí yo creo que usaría varios términos,
Y habría que matizarlos, porque en función del ámbito
se puede entender mejor o peor, ¿vale?
Pero sería supervisión, vigilancia, monitorización,
gestión de análisis y gestión de riesgos.
Si queremos algo muy sencillo,
es decir, hacer un listado sería lo más sencillo.
¿Qué cosas nos creemos que nos pueden pasar?
Voy a poner un ejemplo.
Es un ejemplo un poco peliculero, pero es cierto.
El gobierno de los Estados Unidos convocó a guionistas de Hollywood
para preguntarles cómo nos pueden atacar.
No llamaron al jefe del Estado Mayor de la Defensa,
que también, sino a guionistas pensando en.
Imaginaos las cosas más extrañas que nos pueden hacer.
Pues esto es un poco lo que hay que sentarse a pensar.
Y como digo siempre, yo digo, pues oye,
como yo no sé de todo, si no sé qué cosas me pueden pasar,
le tengo que preguntar a la gente que sabe.
Oírme a las fuentes de información.
Oye, ¿qué crees que me puede pasar?
Y voy a poner dos de los casos que están enlazados
con todo esto.
¿Dónde es fundamental, por ejemplo, la supervisión?
Demos un salto más adelante y luego lo vamos rellenando,
si os parece.
La inteligencia artificial.
Tanto para los proveedores de herramientas,
para los desarrolladores, incluso para los usuarios,
es fundamental.
Dirá un usuario, yo supervisar, échale un ojo.
Para un usuario, échale un ojo.
Si ves algo raro, llama al 17.
Entonces, es fundamental el tener ese ojo,
el tener ese seguimiento.
Hagamos un paralelo con la medicina.
Cuando alguien tiene una enfermedad de largo recorrido, ¿qué se le hace?
Se le hacen revisiones periódicas y cuanto más grave,
más corto es el periodo de revisión.
¿De acuerdo?
Pues esto es más o menos lo mismo.
Siempre haciéndonos unos análisis.
Hay que ir al médico, hacernos una analítica
y que nos diga, pues esto hay que mejorarlo.
Esto hay que cambiarlo.
A lo mejor deberías reforzar un poquito la seguridad física.
Hay que reforzar a lo mejor la concienciación de los empleados
para que no dejen, que lo comentaba antes Rafael,
las pantallas desbloqueadas.
Hay que bloquearlas.
Para aquellos que quieran saber de dónde viene eso,
que busquen ataque David Hasselhoff.
En Google, que es una historia.
Entonces, yo creo que es importante recalcar
la función preventiva, proactiva, el ir siempre por delante
o el intentarlo.
Y también un poco añadir, pues yo creo que un poco poner
un clavito más a lo que decía Rafael,
porque yo creo que Rafael nos lo ha puesto a huevo
todo.
No existe la ciberseguridad al 100%.
Igual que no existe la salud al 100%.
O sea, no estamos del todo sanos.
Yo puedo estar hoy sano, pero a lo mejor mañana cojo
una gripe, pues me pasa igual.
Puedo tener un malware, puedo tener un ransomware,
puedo tener un robo, una infiltración,
o incluso mi propio cuerpo,
en el caso, por ejemplo, de una empresa,
un empleado puede de alguna manera
provocar un daño bastante importante a la empresa.
Entonces, yo quiero recalcarlo porque es una cuestión que me parece
que subyace en todo, ¿no?
Y que a veces sí que es verdad que olvidamos.
Nos centramos más en la parte reactiva.
De hecho, fijémonos en una cosa.
Guía Nacional de Gestión y Notificación de Incidentes.
Si la leemos, el 80% está escrito en manera reactiva.
Pero luego hay dos cuestiones dentro de las fases,
que son la preparación y la identificación,
que son fundamentales.
Y eso vale para cualquier empresa.
Y esa guía está abierta para que cualquiera la pueda leer.
Un PDF maravilloso.
Yo si solo tuviera que leer un PDF de esto, me leería eso.
Y por mi parte yo creo que está todo enlazado, ¿no?
El estar atento.
Y nos pasa con la inteligencia artificial,
nos pasa con la ciberseguridad, con el firewall que decía Carlos,
con la seguridad, por ejemplo, física de este edificio.
Cuando hemos entrado nos ha ocurrido algo, ¿no?
Pues eso mismo.
Hombre, igual cuatro factores de autenticación es mucho.
Pero bueno, depende del sistema.
Estoy planteando esto.
Es decir, tú lo has dicho antes, la seguridad 100% no existe.
En Telequia no podemos tender a ello,
pero nunca llegaremos a eso.
Pero quizás esa prevención es factible o puede dar
la sensación que estamos previniendo riesgos que realmente no existen.
Bueno, yo en este caso, y haciendo referencia
a lo que comentas, yo más que una tirita,
lo que yo estoy viendo es que tenemos que ser capaces de,
como no tenemos la posibilidad de llamar a los guionistas de Hollywood
para que nos digan qué va a pasar, dentro de nuestras medidas,
yo siempre aboco al tema de la ciberinteligencia
sobre el elemento que nos permite esa proactividad.
Antes habláis, por ejemplo, cómo el desinformador ruso
está en búsqueda y captura por ser un elemento que ha provocado.
Una serie de movimientos en contra de las instituciones españolas.
Pero claro, es más importante, además de conocer quién es,
es conocer, por ejemplo, cómo opera.
¿Cómo opera?
¿Cómo están captando?
¿Qué tipo de perfil están buscando?
Y la única forma para obtener esos datos,
¿de acuerdo?
Es, como siempre digo yo, el tema de esa infiltración en esos grupos
delincuenciales, criminales, yihadistas, hacktivistas,
y es la única forma que voy a tener yo esas.
Peliculeros, ¿no?
Americanos, pero desde dentro, ¿de acuerdo?
Saber por qué si están buscando insiders, ¿no?
Como comentaba el trabajador descontento,
no están buscando insiders en empresas de energía
o en empresas de telecomunicación,
yo como empresa o como organización tengo
que ser consciente de que si yo soy Endesa
y están buscando potenciales trabajadores
en el ámbito de energía,
pues igual tengo que reforzar la parte preventiva
con respecto a la captación en LinkedIn de mis trabajadores.
O sea, yo lo veo más que como una tirita,
sino elementos realmente activos que prevengan,
podamos obtener esa inteligencia,
que nos prevengan de posibles ataques.
Sí, voy a poner un ejemplo muy rápido,
yo creo que se entenderá muy bien y que anda un poco en lo que dice
Carlos.
La vacuna de la gripe.
Y yo, permitidme que como lector de estadísticas matemáticas,
en cuanto la abrieron dije yo para mí una.
La vacuna de la gripe, ¿qué es lo que hace?
Nos protege de la gripe, de contraerla, ¿cierto?
Pero ¿qué estudia?
No nos estudia a nosotros.
Lo que estudia es los nuevos factores y mutaciones que pueden surgir
en el atacante para atacarnos y enfermarnos.
Esto es lo mismo.
Es lo que hablábamos antes.
Ya no podemos circunscribir esto al muro de la puerta de la empresa.
Tenemos que ir más allá,
entonces tenemos que estudiar lo que hay dentro,
en ese aspecto es importante tener en cuenta factores diversos,
y yo en eso, por ejemplo, lo analizaría,
porque además cada empresa es un mundo,
incluso cada ciudadano es un mundo, con su casa, sus ordenadores,
tiene una Smart TV, el otro no.
Entonces, ¿cuáles son las circunstancias?
No me las sé, no pasa nada, pregunta.
Siempre hay alguien que te puede hacer un plano más o menos certero,
de tu casa
y de los problemas que puedes llegar a tener dentro de ella,
pero luego necesitas inteligencia e ir a ver cuáles son los virus,
las gripes que hay fuera y cómo funcionan.
Y ahí es fundamental la labor de inteligencia.
¿Por qué?
Porque ya no solo te previene de lo que tú crees
que te ocurre en tu propia empresa, en tu propio cuerpo,
sino lo que te está realmente diciendo es,
esto puede que te ocurra.
Y de ahí, por ejemplo, el análisis de riesgos.
El análisis de riesgos te está diciendo, este es el riesgo,
este es el problema que tú puedes enfrentar y tiene una probabilidad.
Es verdad que como nos gustan a los cuantitativos,
a lo mejor asignar esos numeritos es difícil,
pero existe esa probabilidad de que ocurra.
Pero hay que ir a ver qué gripe, qué produce,
cuáles son los efectos tanto directos como secundarios.
Y es un poco el añadir esa capa de no solo hay que mirarnos
al espejo y ver qué tal estamos y qué tal estamos de salud
en nuestra empresa, en nuestro ordenador,
en nuestro smartphone,
sino fuera.
Un ejemplo práctico
que creo que también permite a la gente que nos está escuchando.
Hablaba hace un par de días del sistema malo ruso,
hablando del grupo,
para los que no conozcan, que no me hice los 57,
que una serie de las fuerzas de seguridad
de varios países les asestaron un golpe importante,
les permitieronlo que eran servidores, detenciones y demás.
Pero eso, yo recuerdo haber hablado entonces con responsables
de la Fuerza de Seguridad, que habían participado, españolas,
que habían participado en el acto operativo,
y recuerdo que me decían que esto no eliminaba a ese grupo,
sino que automáticamente lo que hacía el grupo era aprender
de sus propios errores, ver dónde habían cometido,
tenían ellos su propia brecha de seguridad que había permitido
a la policía acceder hasta ellos, identificarlos y localizarlos,
y sabían que en determinado tiempo.
Volverían a producirse esos ciberataques de delegación
de servicios, prácticamente lo que hacen ellos,
y de hecho están ya actuando, ya se han detectado en España,
se han detectado en otros países de Europa
y demás.
Es un poco como la pescaída que se nos da con la lucha sin fin.
Lo que nosotros aprendemos cuando los detenemos,
ellos también lo aprenden de cómo se les han detectado.
Claro, es que lo primero que hacen, en este caso los malos,
es leerse las dirigencias.
Leerse las dirigencias y se ven, vale, mira, por aquí,
por aquí, mira, este fue el que dio información, hicieron esto,
hicieron aquello otro, porque al final.
Nuestra legislación lo que nos obliga es a dejarlo todo plasmado.
Ellos aprenden de los errores.
Aparte, a veces le ponemos nombre, porque tendemos a poner nombre,
pero realmente detrás de esos grupos operativos
hay decenas, centenas de otros microgrupos.
Porque si tú analizas la información que comparte ese informador
o otras grupos criminales, detrás de ellos hay decenas
de otros microgrupos que van trabajando de forma coordinada.
Realmente, al final,
aquí la materia ni se crea ni se transforma.
Están operando exactamente igual que operaban los grupos yihadistas.
Los grupos yihadistas trabajaban, operaban de forma totalmente aislada
y temporalmente se unían, tenían un objetivo común
en este caso, pues es Europa
o es España, trabajan con un objetivo común,
incluso hay activistas de Marruecos que están también apoyando,
en este caso, a la causa de prorrusia,
pero mañana cambiarán.
O sea, en este caso no hay intereses,
únicamente son objetivos.
Y evolucionar, y por lo tanto, como comentas,
el conocer en este caso, y la analogía me ha gustado mucho,
el tema de conocer a los virus exactamente,
cómo evolucionan, cómo mutan, es primordial,
porque el momento que yo esté monitorizando una serie
de canales, perfiles, movimientos, y yo detecte que se comparte
una serie de información, de IPs, de aplicaciones,
ya puedo inferir a dónde puede ir o cuáles pueden ser, en este caso,
los posibles víctimas.
Y a partir de ahí, ya es mi obligación comunicarlo
y.
Y trabajar sobre eso.
No sé si hay alguna pregunta.
Alguien del público quiere hacer alguna pregunta.
Si no, continuamos con esta charla.
Héctor, no sé si quieres aportar algo que ha planteado Carlos.
La verdad es que es redundante un poco
y redundar en ello.
Parece que son, decir, vais a estar una hora hablando de lo mismo.
Si yo pudiera y me dejaran ellos dos, sí.
Porque al final es verdad que son cuestiones básicas que a veces
olvidamos.
Es decir, no vamos a desvelar aquí el algoritmo más fascinante
hoy de inteligencia artificial ni el ciberincidente más extraño
que hayamos visto, sino esos principios básicos
que conocemos en una experiencia de 20 años metidos en estas cosas.
Es decir, oye, al final, ¿qué es lo que funciona?
Pues a veces funciona lo más simple, normalmente,
y sí que tener un plan.
Y normalmente eso es lo que hablaba también y comentaba antes Rafael,
un plan que puede llamarse plan director de seguridad,
plan de seguridad, tiene que estar apoyado
por la dirección, etcétera, etcétera, etcétera,
calar hasta abajo, que llegue a los empleados,
pero no solo por una cuestión ya normativa e impositiva,
sino de concienciación, de, oye, esto influye.
Entonces, toda esa serie de medidas,
Por un lado, el tener claro,
el hacer lo que se llama un análisis de riesgos.
Y la gente se asusta cuando oye análisis, riesgos,
esto va a ser malo.
No, no tiene por qué.
De hecho,
muchas de las certificaciones que hay,
tanto en calidad como seguridad, como en otras cuestiones,
lo primero que hacen es un análisis de riesgos.
Incluso se hace a nivel de ciberseguridad.
Tiene sus apartados.
Y voy a decirlo así, permítaseme un poco la imprecisión.
No es una cuestión de aprobar o suspender el examen.
Es una cuestión de encontrar ciertas cuestiones
que se hagan dentro de la organización
y mejorarlas.
Y a la siguiente iteración, volver a hacer el examen
y las que no se hayan corregido, intentar mejorarlas.
Y otras que hayan aparecido,
corregirlas e iterar.
Seguir iterando.
Entonces, al final es una cuestión.
De capacidad, de perseverancia, de seguir intentándolo
y de estar atentos, sobre todo.
Igual que la medicina avanza, hablábamos de la gripe.
Es decir, nos vacunamos de la gripe una vez al año, ¿no?
Si no, nos vacunaríamos una vez cada diez años.
El antivirus ahora ya nadie se acuerda,
pero antes nos decían, oye, pásalo una vez a la semana.
Ahora ya ni se acuerda nadie porque ya lo pasan solo.
El firewall, oye, hay que comprobar las reglas.
Ahora lo tenemos automatizado.
Pero todas esas cuestiones que ahora ya están,
casi todas son intrínsecas, automatizadas e imbuidas
en el conocimiento general de ciberseguridad,
ya vienen per se.
Entonces, eso no significa que no miremos.
Que es lo que puede venir de fuera para analizarlo.
Es decir, tenemos que mirarnos dentro de lo que hemos dicho
y mirar fuera un poco las amenazas.
Y ojo, ahora ya, y también creo que comentabais antes,
las amenazas ya no es la empresa que tengo enfrente.
Estamos hablando de, y voy a ponerlo con un ejemplo real,
sin dar nombres.
Para que nos demos cuenta de la importancia.
Dentro de la Guía Nacional de Gestión y Notificación de Incidentes
se clasifican en distintos niveles de peligrosidad e impacto.
Pues el nivel más alto de criticidad, en él están
los incidentes transfronterizos.
Hay otra serie de ellos,
dicen que se afecta a la seguridad nacional,
se afecta, por ejemplo, a la seguridad física
de las personas, hay otros niveles menores,
por ejemplo, se afecta a bienes, pero no a la seguridad física,
etc. Pero en cuanto a un incidente o un ciberincidente.
Pasa una frontera hacia afuera, es crítico ya.
Es decir, información total, comunicación total,
privada, pública, CERS, españoles, franceses o los que sean empleados.
Es decir, el mundo es pequeño y lo que decíais antes,
las amenazas ya no vienen de un disquete.
O sea, nos llegan a través de un DDoS que lo pueden
provocar desde la otra punta del mundo y ni siquiera igual
son ellos los que lo provocan.
También vuestra metáfora de la gripe,
de la necesidad de vacunarnos todos los años.
Igual que hay campañas publicitarias
para que la gente se vaya a vacunar de la gripe,
¿creéis que las campañas que está lanzando la Administración,
el Ministerio del Interior,
para concienciar a la gente sobre los riesgos del uso
no suficientemente consciente de las redes sociales,
¿Crees que es suficiente?
¿Que se llega a lo suficiente?
Esto lo ha levantado la mañana.
Esta me la ha puesto para sacarla del campo.
Supongo que todos habréis visto, en mayor o menor medida,
la campaña del 17.
En radio, en televisión,
yo la he visto en paradas de autobús,
la he visto en algún aeropuerto, en las pantallitas,
y diréis, ¿y eso de verdad llama a la gente?
Pues os voy a dar un dato.
Luego, si queréis, os explico un poquito más de ello,
por si alguien no lo conoce.
Pero muy breve.
El dato.
En algún momento hemos multiplicado por 10 las yemas.
O sea, lo que la gente llamaba.
Hay distintas vías de comunicación.
Hay Telegram, hay WhatsApp,
hay un formulario.
Y yo siempre lo recalco, además,
y permíteme que haga este pequeño momento publicitario
para recalcar una cosa.
Esto no es cosa de informáticos.
Detrás del 017 hay informáticos, expertos en ciberseguridad,
hay psicólogos, hay expertos en leyes,
hay expertos en ciberseguridad en distintos niveles.
Y no es una cuestión para ciudadanos.
Una empresa.
Grande o pequeña, puede llamar.
¿Qué ocurre?
Algunos que ya vienen con el escudo
y han peleado y han sangrado mucho, ya saben cuál es,
hay otras vías.
Pero para el que tenga la duda y no sepa lo que hacer,
llama.
Es que si llega, por diez.
En las últimas semanas, además,
pensamos que iba a ser llamativa, Pero nos ha sorprendido,
nos ha sorprendido a todos los niveles.
Yo creo que es importante que haya esa labor por parte de INCIBE,
pero si volvemos a las cifras que presenta el Ministerio del Interior,
como comentamos, llevamos 10 años que es increchendo.
Da igual las medidas, da igual los cortafuegos,
da igual la herramienta, los hierros que compremos.
Algo no está funcionando.
Algo no está funcionando en la forma que se está planteando
el tema de ciberseguridad.
Quizás sea el planteamiento que decimos
que somos totalmente reactivos y no tenemos esa capa de proactividad
para defendernos.
Pero las cifras aumentan.
Y por poner un ejemplo, dando datos, ¿no?
Creo que la cifra de 2024 son 464.000 víctimas, ¿vale?
Baja un poquito con respecto a 2023,
que son 10 o 12.000 víctimas,
que habría que ver si esa bajada corresponde a algún elemento,
modificación del nivel cuantitativo, ¿vale?
Pero igualmente se estima que en el ámbito de la ciberseguridad
hay un concepto en criminología que se llama la cifra negra, ¿vale?
Se estima que es entre, la Unión Europea lo estima es un 70%
y Naciones Unidas un 80%.
Realmente estaríamos hablando que las cifras reales
de víctimas en España no son 460.000,
estaríamos en un rango entre un millón y medio
y dos millones trescientos.
De víctimas que no denuncian por vergüenza, por desconocimiento,
por lo que sea.
Yo creo que es muy importante la labor que hace INCIBET
como un libro para visibilizar que si alguien tiene una duda
de saber si ha podido ser víctima o no, le puede ayudar a dirigir.
Veremos a ver si aumentan el volumen de denuncias de cara al futuro
que hace esta campaña.
Pero eso también lleva a otro problema.
Y es que, por desgracia, en España y en general
en el ámbito de la administración,
los recursos se dan en función de datos.
¿Qué pasa?
Los recursos que van a tener tanto INCIBE como las policías
para poder defender o investigar va en función del número
de denuncias, que son 464.000, no de los 2 millones de víctimas.
Por lo tanto, estamos trabajando de ventaja constantemente.
Primero, porque tenemos que seguir unas leyes
que los malos no tienen que seguirla.
Y segundo,
porque las herramientas que tenemos van muy por detrás de las capacidades
que tienen los cibercriminales.
Una parte del incremento de su exponencial en algunos casos,
sobre todo en el éxito de estafa de los últimos años,
puede ser precisamente porque se ha concienciado,
aunque sea viendo una cifra negra de gente que no denuncia por el problema
de la molestia de la comisaría y cualquier otra cosa.
Pero te planteo,
tú decías que dependiendo del volumen será más medio,
pero también hay un componente político.
Si las cifras son muy altas, se convierte en arma política
dentro del curso político de una España más insegura,
una España sin.
Bueno, pero en este caso hay que tomar la diferencia
de que, como comentaba, la gran mayoría de amenazas
o de cibercriminales vienen de fuera de la frontera.
O sea, no son autóctonos.
Vienen de.
Pueden estar tranquilamente ahora en las Bahamas
tomando un mojito y preparando un ciberataque
o un phishing a cualquiera de nuestras empresas.
Entonces, sí que puede convertirse, pero en este caso,
al no ser algo que tengamos aquí instalado como tal.
Podría darse el caso, pero yo creo que sería algo más,
no tan específico, no tan acertado.
Gracias.
Yo quería hacer una matización porque estamos hablando
desde el punto de vista de los ciberataques a las empresas.
El problema fundamental de las empresas
es que se mueven desde la óptica del balance.
O sea, el eje fundamental de toda empresa
es la cuenta de resultados.
Estamos hablando de inversión o gasto.
Desde el punto de vista contable.
Esto no es una inversión,
porque hay que demostrar la reversión de esa inversión.
O sea, no nos ha pasado nada para que vamos a invertir.
El Consejo de Administración solamente ve los números
y el reparto de dividendos.
Entonces, el problema fundamental que hay es que,
si viene la sensibilidad en materia de seguridad corporativa,
viene de arriba abajo, vamos bien.
Cuando haya que intentar implementarla de abajo arriba,
eres un catastrofista, a nosotros nunca nos ha pasado nada,
si invertimos en esto, mis hijos no tengo bufanda
ni van a ir este año a Disney World.
Entonces, es un problema que creo que es muy importante
y, en primer lugar, lo primero que habría que hacer
es modificar, lo digo claramente, el plan general contable
donde se establece que las medidas profilácticas
que se puedan implementar,
salvo que se pueda demostrar que hay una reversión,
es un gasto.
Y estamos hablando siempre de inversión, inversión, inversión,
pero eso, al director financiero,
como que no.
Entonces, tenemos que ser capaces, perdón, con eso concluyo.
Tenemos que ser capaces
de que quien tiene que promover las medidas de protección sea capaz
de convencer a la parte que tiene que tomar las decisiones
desde el punto de vista financiero de que esto,
aunque el plan general contable,
el asiento correspondiente está en gasto,
Vamos a valorarlo como una inversión.
Y entonces, si seremos capaces de poder gastar dinero,
digo gastar, invertir dinero, dependiendo de los resultados.
Pero como nunca nos pasa nada,
y a nosotros nunca nos va a pasar nada,
hasta que llega el tío Paco con la rebaja
y nos da un estacazo.
Momento en el cual, como no hemos hecho.
Bueno, es que se ha propuesto.
Ya, ya, pero ¿por qué nos ha pasado a nosotros?
Nos ha pasado a nosotros en tanto en cuanto,
porque no hemos puesto 100% seguridad,
no vamos a tener.
Pero vamos a intentar incrementar porcentualmente del 20,
porque creemos que tenemos.
Una puerta blindada, y hago yo el similar ahora,
porque tenemos una cortina de chapas,
de estas que había antes en los bares.
Eso no es una puerta blindada.
Eso no sirve para nada.
Pero lo que tenemos que hacer es ver la necesidad
a quien, desde el Consejo de Administración,
tiene que tomar las decisiones.
Y eso en ocasiones es especialmente fácil.
¿Me permitís?
Voy a poner un ejemplo muy sencillo.
Esto, a ver, y desde el punto de vista
de que digamos, y es nuevo, va muy rápido,
como decía Rafael antes, esto va a toda pastilla.
Llevamos pocos años con ello.
A lo mejor poco cuesta hacerlo entender.
Vale, vamos a intentar pensarlo de otra manera.
¿A día de hoy duda alguien de que los planes de prevención físicos,
laborables y psicosociales en las empresas no funcionen?
No, ¿verdad?
Pues esto es lo mismo.
Prevención de riesgos.
Estamos previniendo riesgos.
¿Qué ocurre?
En determinadas empresas con determinados sectores,
pues influye más una cuestión u otra.
En este caso pasa igual.
Hay empresas, por ejemplo,
que pueden tener una información de muy alta sensibilidad,
que tienen una serie de certificaciones,
que tienen que hacer una serie de análisis de riesgos,
etcétera, etcétera.
Y decir, es que, bueno, que no.
¿Vamos a salir sin ponernos la vacuna?
¿Salimos todos a la calle sin la vacuna del COVID?
Que yo recuerdo, ¿no?
Esto es lo mismo.
Lo que pasa es que es verdad.
En la cuenta de resultados, lo que decíamos,
la prevención es difícil justificarla.
¿Por qué?
Porque además es que es complicado
porque si pasa, dices, jo, me he gastado este dinero
y ha pasado.
Y si no te lo has gastado, ha pasado.
Claro, pero eso es un sesgo.
O sea, la cuestión es, solo hay que mirar alrededor a aquellos,
de alguna manera, que no hicieron tan bien sus deberes
para darnos cuenta de que al final eso influye.
Yo creo que también, a partir de un poco
la visión que comentas, es cuando las normativas actuales
empiezan a obligar a los consejos de dirección a que se lo tomen
en serio.
Dicen, vale, ya no se trata
de que el departamento de ciberseguridad o el informático,
que hablábamos antes de las pymes, el informático que tengo allí,
que lleva del tema de las redes y tal.
No, no, es que a partir de ahora va a tener que involucrarse
y si no hay una relación real de todo el circuito
para que realmente simplemente a nivel transversal
dentro de la organización,
pues tendrá usted sanciones, tendrá usted multas,
entonces cuando realmente.
Pero aquí lo que me veo, aparte de esto,
lo que veo siguiente es, las empresas lo que están haciendo es,
llevo una licitación, de acuerdo, tengo tres propuestas,
¿cuál es la más cara?
Me da igual si es lo mejor.
Es la más cara.
¿Por qué?
Porque si pasa algo, diré, oiga, yo cogí la más cara.
Que teóricamente diría que será mejor,
no tiene por qué ser, lo sabemos, ¿no?
Pero es como el tema de certificaciones.
Vale, yo puedo tener una certificación,
pero mis proveedores a lo mejor no la tienen.
Y claro, ya no soy yo, soy yo y mi ecosistema.
Mi ecosistema es mucho más grande que únicamente mi propia organización.
Estamos viendo que la gran mayoría de ataques que ha habido
a grandes empresas en los últimos años
no están atacando a Iberia, ni al BBV,
ni al Santander, están atacando a proveedores.
Y a partir de los proveedores es donde entran, por lo tanto.
Aquí, aparte de.
Tiene que entrar a partir de la junta directiva,
tiene que cambiar el paradigma que mi ecosistema
no es solo mi organización.
Mi ecosistema es mi organización y todas las pequeñas empresas
o proveedores que tenga yo a mi alrededor.
Porque al final van a ser el vector de entrada.
¿Por qué?
Porque saben que yo me voy a gastar X y mi proveedor
se va a gastar 10 veces menos.
También es verdad.
Que vamos a tener que esperar
a que llegue la NIS 2 cuando ya esté transpuesta realmente
cuando la Cyber Resilient Act diga hay que certificar esto,
esto y lo otro hay que esperar a eso a que el médico nos diga
o te vacunas no deberíamos sé que duele evidentemente duele
en la cuenta de resultados es que es lo que hay es que la pandemia.
Va a pasar va a pasar.
Pero va a pasar cuando una macroempresa,
llamémosle macro, todo lo que no sea micro y pyme
o mediana,
le diga, como dice Carlos, tú estás dentro de mi cadena productiva.
Tú me estás proveyendo del software que me da
los sensores de movimiento en las instalaciones,
por ejemplo.
Pues tú tienes que cumplir esto, esto.
Es que.
Es decir, va a ocurrir.
Y estoy poniendo un ejemplo, pensemoslo en generalizable.
Hay miles de cosas.
Esto no es una cuestión solo de seguridad física,
seguridad lógica, seguridad del software, seguridad del hardware.
Es decir, ¿eso cómo lo justifico?
Pues al final una justificación quizás.
Y desde el punto de vista económico,
y yo no soy especialista en economía,
o sea, pues si tú no ofreces o no tienes la certeza,
que no la puedes tener nunca del todo,
pero una alta probabilidad o certeza probable
de que haces o das tus servicios, bienes y productos
con cierta seguridad, a lo mejor pierdes un cliente.
Si os parece, vamos a dar paso, porque además se nos está echando
el tiempo encima para el siguiente panel.
Y quiero que, por lo menos, un par de preguntas
a las que nos llegan por internet.
Y esta va dirigida hacia ti, Viento.
Nos pregunta José si puedes explicar cómo cambia el concepto de perímetro
en una arquitectura aterritorial.
Si es que cambia.
¿Cuánto tiempo tenemos?
A ver.
¿Cómo explicamos esto, manjete?
Lo voy a intentar resumir
con ejemplos que ya hemos visto ahora, ¿de acuerdo?
Antes protegíamoslo que era la parte interior,
las desmilitarizadas,
donde allí dejábamos tranquilamente cosas, ¿vale?
Eso ya no vale.
Es decir, a mí no me gusta la palabra desconfiable o desconfiado,
pero es que no lo sé, a lo mejor, y corrígeme, Carlos,
si me equivoco, para mí el perímetro ya no existe.
O sea, esto es como un modelo de capas, ¿vale?
Y no hay una frontera final,
no hay un lugar donde allí no hay nada más, no, no.
Esto es.
Un perímetro infinito.
¿Hasta dónde llegamos?
Pues hasta un satélite.
Hay vulnerabilidades para hardware en satélite.
Entonces, no existe para mí ese ya concepto de perímetro.
La cuestión es conocer
cuál es la red que tiene tanto de salida de comunicaciones
la organización como de entrada.
Es decir, intentar identificar tanto los nodos de salida
que sale como los nodos de entrada y que llega.
Pero sin perímetro, esto no es.
Esto, la frontera está en Vladivostok.
Hay otra pregunta, que estaba dirigida
a la estrategia de Rod.
En otra manera, si el pre-traps es un producto que se compra
o es más una estrategia.
Yo creo que es más una metodología.
Es más una metodología, una forma de implementar,
como comentamos.
Ya no es que no desconfíes de todos,
sino que quieres verificar exactamente ese perímetro
que comentamos antes,
que antes teníamos muy delimitado y que ahora realmente
no tenemos perímetro.
Ahora lo que decimos es, bueno, como ese perímetro es tan difuso
porque tenemos trabajadores que tienen sus ordenadores,
trabajan desde casa, tienen sus teléfonos,
tienen como no puedo verificar, o sea,
no puedo autentificar realmente que el equipo que yo di,
porque resulta que esté trabajando desde casa y entra por un VPN
y entra por unas credenciales, es tan complejo, ¿vale?
Es la metodología que entendamos de que tenemos que verificar
ya no únicamente por usuarios,
como antiguamente, sobre contraseña, etcétera,
sino también una serie de parámetros,
que ahí entra también el tema de identificación artificial,
que nos va a ayudar a poder identificar
si ese elemento o ese activo pertenece
a la organización.
Y lo que está haciendo tiene rol para ello.
Pasaría un poco como yo podía trabajar desde mi casa,
pero sabemos que hay una muy mala higiene digital.
Sabemos que nos obligaban, ahora está cambiando el paradigma,
pero nos obligaban a que nuestro usuario y contraseña
tuvieran más de tantos dígitos.
Pero claro,
como teníamos tantas contraseñas en tantas plataformas,
resulta que al final, para darme de alta en LinkedIn
o en Tinder, utilizo el del trabajo.
Porque ¿para qué?
No quiero que me llegue porquería ni al trabajo,
ni que me llegue spam, ni nada.
¿Qué pasa?
De repente llegan a LinkedIn, le roban la base de datos,
se filtra usuario y contraseña, y como la mía es tan predecible,
que era 27, yo qué sé, bombero torero 27,
y cuando se filtra, el siguiente que cogerá es,
dirá, bueno, bombero torero 28, o menos de 29,
hasta que encuentre, y resulta que podrá acceder
a mi organización.
Pero ahí, ¿qué pasará?
El sistema debería darse cuenta
de que yo normalmente accedo desde un Windows,
Y este está accediendo desde un Linux y yo accedo siempre
desde 9 a 5 de la tarde y son las 4 de la mañana y desde Hawái.
Pues detectará esa falta de concordancia
y lo bloqueará temporalmente, simplificando.
Entonces, yo lo complemento más
como una metodología para implementar dentro de las organizaciones,
que tenemos diferentes tipos de microservicios
que podemos aplicar, y ya por ahí.
Luego dependerá del tipo de organización,
veremos realmente si tenemos la capacidad
o cuál de ellas, en función de la madurez,
cuál de ellas debemos implementar primero o después.
Si me permitís una frase muy rápida, lo que acaba de explicar.
Carlos, se llama principios básicos del análisis de riesgos.
Lo primero que se hace en un análisis de riesgos en ciberseguridad
es listar los activos.
Y cuando digo activos, es hardware y software.
¿Qué es hardware?
Él utiliza un portátil, yo otro.
Él usa Linux, yo Windows.
Él usa LibreOffice y yo Office no sé qué.
Él está conectado a tales horas desde un local
o en un lugar con una IP y yo otra.
Todo eso se lista.
¿Vale?
Todo.
Y hay que tenerlo todo clarito, todo listado.
Servidores, puestos, etcétera, etcétera.
Y luego ya empieza el resto de la análisis.
Es decir, ¿qué problemas puede haber sobre ellos?
Ese es el perímetro conocido.
Pero luego está qué es lo que hay fuera de eso.
Pero lo primero sería conocer esa parte, ¿no?
Que es lo que comentaba él.
Sí, claro.
Sí, bueno.
En primer lugar, quería apostillar
sobre lo que ha dicho antes el compañero
acerca de que la modificación del plan contable
sería una muy buena idea.
Porque yo también he trabajado en otras adaptaciones regulatorias,
por ejemplo, y para el consumo de las inversiones en países
como era Grecia, la inversión en deuda
no te daba riesgo.
Entonces, en un tema de finanzas, ¿de acuerdo?
Cuando teníamos que cumplir con solvenciados
las entidades aseguradoras.
Si tú invertías en la deuda de Grecia,
como ella era parte de la Comunidad Europea,
pues te consumía cero carga de capital,
cuando todos sabíamos que Grecia estaba como estaba.
Con lo cual, todo es maleable.
Y luego, en cuanto al tema del cero trust,
lo que sí me gustaría preguntar es, el cero trust
es como el tema de los coches eléctricos,
que en el futuro será muy bueno, pero quizá antes de llegar
al coche eléctrico, si todos tuviéramos un coche mejor.
Más moderno, que consumiera menos
o que tuviera menos emisiones, sería mejor que no tener,
seguir aguantando los viejos por no poder hacer el Zero Trust.
Y lo digo por la inversión que puede suponer el Zero Trust
y la pregunta también va en el sentido
de que ¿siempre es recomendable el Zero Trust?
Es que teniendo en cuenta el tejido empresarial español
que el noventa y pico por ciento son pymes,
es el Zero Trust.
Lo bueno para las pymes ahí es lo que comentábamos antes sí, sí,
sí dependerá de cada tipo hay pequeñas organizaciones
que hacer otras será muy sencillo de implementar porque tendrán muy
pocos activos y serán 5 trabajadores o 10 trabajadores será muy fácil
implementarlo y otras empresas que será mucho más complejo aquí hay
que aplicarlo para cada una de ellas puede haber algunas
de que con los sistemas tradicionales pero me compro un coche mejor
tengo suficiente para proteger mi organización en cambio
otras que quizá no.
Depende del sector, de la actividad,
del tamaño, de mil factores que hacen de cada caso un caso particular.
El esgrimir aquí una ley general para todas las pymes nos induciría
seguramente a cometer más errores de los que quisiéramos.
Gracias.