'Ciberseguridad. Retos y oportunidades de un nuevo medio', por Alonso Hurtado, socio de Information Technology de ECIJA
Durante los pasados días 23 y 24 de octubre de 2012 el Instituto Nacional de Tecnologías de la Comunicación – INTECO ha celebrado el sexto encuentro Internacional de la seguridad de la información – ENISE, donde tuve la oportunidad de participar como ponente junto con los principales referentes nacionales e internacionales en seguridad de la información. El eje del encuentro ha girando en todo momento sobre un tema apasionante, al mismo tiempo que clave, como es la Ciberseguridad y el Cumplimiento Normativo.
Siempre he sido partidario de considerar que el espacio electrónico no es más que un reflejo de la realidad que diariamente vivimos en el “mundo analógico”, dado que en el mismo se replican tanto aquellos aspectos positivos, como los riesgos y amenazas que existen en el entorno no electrónico. No obstante, no debemos perder de vista que el impacto habitualmente derivado de una vulnerabilidad o fallo de seguridad en entornos electrónicos puede implicar daños de mayor envergadura, dada la viralidad propia del medio.
Me gustaría profundizar en uno de los temas que tuvimos ocasión de tratar durante el evento, y que desde mi punto de vista tiene un trasfondo de absoluta actualidad y que todos, tanto sector público, como sector privado, deberíamos plantearnos.
Cada vez más, disponemos de normativa específica reguladora de entornos tecnológicos, parece que contamos con los profesionales adecuados para llevar a cabo la planificación y trabajos encaminados a lograr la adecuada seguridad de los activos implicados, tanto de entidades públicas, como privadas, pero ¿Conocemos cómo debemos realizar un análisis de riesgos sobre un posible ataque cibernético a sistemas críticos para el funcionamiento de una compañía privada o un organismo público? ¿Y si dicha entidad privada es considerada una infraestructura crítica para el Estado?
Todo cálculo de riesgos requiere el cálculo previo de la probabilidad y el impacto en caso de materializarse el riesgo. Parece que todos tenemos claro que el impacto, en caso de materializarse un posible ataque exitoso a alguna de las infraestructuras consideradas críticas para el correcto funcionamiento del Estado, sería de dimensiones descomunales y con efectos, no sólo económicos, sino muy probablemente personales sobre miles de ciudadanos, lo que sin lugar a dudas hace que el riesgo aumente de forma exponencial.
¿Podemos permitirnos valorar el impacto derivado de un Ciberataque con los mismos parámetros si existen únicamente riesgos económicos o si además, existen riesgos para la vida o integridad física de personas? ¿Es útil para este tipo de casos un análisis de riesgo tradicional? ¿Es el análisis de riesgos tradicional la herramienta adecuada para evaluar riesgos de la tipología anteriormente comentada? ¿Podríamos plantearnos ante determinados tipos de riesgos, cuyo impacto en caso de materializarse tiene efectos desastrosos para millones de vidas, no incluir la probabilidad como un factor a tener en cuenta, sino únicamente valorar el impacto?
La adopción de medidas de prevención y protección de entidades públicas y privadas implica necesariamente fuertes inversiones en personal altamente especializado, herramientas de monitorización, adquisición de dispositivos y software específicos, así como el diseño, establecimiento y mantenimiento de procesos de protección. Todo esto implica un coste, que como no puede ser de otra forma, debe ser debe ser debidamente valorado
Ahora bien, el coste asociado a la protección de los activos implicados o a las pérdidas, directas o indirectas, en caso de materializarse un riesgo, al menos desde mi humilde punto de vista, no debe ser tenido en cuenta a la hora de valorar dicho riesgo y a la hora de llevar a cabo las medidas preventivas y de protección, con la misma escala en todos los casos.
No debemos olvidar, que a pesar estar hablando en todo momento de un escenario de Ciberataques, los efectos derivados de éstos tendrán su materialización, con absoluta probabilidad, en el plano analógico físico, pudiendo en algunos casos implicar que, además de existir un impacto económico, se produzca un impacto a nivel personal, afectando a la vida y/o integridad física de miles de personas que pueden verse afectadas. Por ejemplo, supongamos que derivado de un Ciberataque una determina central nuclear ve como aumenta la temperatura de su reactor provocando fugas o inclusión una explosión nuclear, o cómo se abren automáticamente todas las compuertas de un embalse provocando graves inundaciones, o cómo fallan los sistemas de control aéreo de un país. Todas estas situaciones pueden venir derivadas directamente de un posible ataque Cibernético.
Como hemos indicado anteriormente, el aspecto económico es uno de los elementos que debe ser tenido en cuenta en la mayoría de casos antes de asumir determinadas acciones y decisiones en materia de seguridad, siendo un ingrediente más a tener en cuenta a la hora de realizar las valoraciones de riesgos, así como determinar el retorno de las inversiones realizadas para adoptar las medidas de prevención y protección oportunas. Ahora bien, ¿Debe estar presente siempre ese factor económico a la hora de valorar la adopción o no de las medidas de prevención y protección recomendadas para la anulación o en su caso prevención y/o protección frente a un determinado riesgo?
Desde nuestro punto de vista, esta reflexión debe ser tenida en cuenta, tanto por parte de Administraciones Públicas, como entidades privadas, dada cuenta del tipo de efectos que pudieran llegar a derivarse para la ciudadanía en caso de un ataque que pusiera en riesgo determinadas Infraestructuras Críticas.
Link al artículo: 'Ciberseguridad. Retos y oportunidades de un nuevo medio'