A la hora de valorar la capacidad de un país para enfrentarse a los ciberataques, es bastante frecuente que nos fijemos únicamente en aquellos incidentes que tienen éxito y provocan algún tipo de disrupción o problema. Sin embargo, esto solo nos dará un resultado sesgado por nuestra percepción y no la imagen real, por lo que resulta importante consultar otros indicadores.
Posición de España
Por desgracia, a la hora de hablar de ciberseguridad, tendemos a pensar únicamente en las malas experiencias y a ignorar todo el trabajo que viene realizándose desde hace años y que impide que muchos de los ciberataques consigan su objetivo. Precisamente, para dar una visión más realista de lo que está sucediendo existen indicadores como el Índice de Ciberseguridad Global (o GCI por sus siglas en inglés), una iniciativa de la Unión Internacional de Telecomunicaciones (UIT) compuesto para medir el compromiso de los Estados miembros (194) con la ciberseguridad.
Este año, España ha obtenido un destacado cuarto puesto a nivel global (compartido con la República de Corea y Singapur) y tercero a nivel europeo, solo por detrás de Reino Unido y Estonia. Esta posición puede sorprender a muchos, puesto que se tiende a pensar que nuestro país no responde adecuadamente a los continuos ciberataques que se producen, cuando la realidad es que somos uno de los países mejor preparados para hacerles frente.
Este índice se actualiza anualmente y viene a reflejar la situación en materia de ciberseguridad de cada Estado miembro en base a cinco pilares respaldados por la Agenda Global de Ciberseguridad, siendo estos:
- Legal: existencia de un marco legal relativo a la ciberseguridad y el ciberdelito.
- Técnico: existencia de un marco de medidas técnicas para afrontar el desarrollo de la ciberseguridad a nivel nacional.
- Organizativo: existencia de un marco organizativo para afrontar la ciberseguridad a nivel nacional. Incluye estructuras de organización y gobernanza para la ciberseguridad.
- Creación de capacidades: existencia de programas de investigación y desarrollo, educación y capacitación, profesionales certificados y de entidades del sector público que los fomentan.
- Cooperación: existencia de asociaciones, marcos de cooperación y redes de intercambio de información.
Como vemos, esta clasificación no se adjudica teniendo en cuenta el aspecto técnico, sino que la parte organizativa y legal también tienen un peso fundamental, como también lo tiene el apartado de cooperación o la creación de capacidades. Este punto es importante, ya que se tiende a pensar que solamente el aspecto técnico es eficaz en la lucha contra el cibercrimen y las ciberamenazas, cuando la realidad nos demuestra que únicamente es una pata de los cinco pilares básicos.
Protegiendo de los ciberataques
En los últimos meses hemos observado como empresas españolas y algunos organismos oficiales han sido víctimas de ciberataques en los que se habría comprometido información importante. El impacto real de alguno de estos ataques es difícil de calcular aun meses después de que se produjeran, pero también representan la punta del iceberg. Por cada ataque que tiene éxito hay otros que se consiguen detener a tiempo, y esto, especialmente en el sector de la administración pública, es gracias al trabajo de organizaciones como el CCN CERT.
La misión de organismos como el Centro Criptológico Nacional es, según indican en su web, “la de contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas, incluyendo la coordinación a nivel público estatal de las distintas Capacidades de Respuesta a Incidentes o Centros de Operaciones de Ciberseguridad existentes.”
Un buen ejemplo de su actividad y de la importancia de la colaboración entre organismos oficiales y las empresas privadas la vimos al inicio del estado de alarma en marzo de 2020 por la situación provocada por la pandemia, situación que algunos actores maliciosos aprovecharon para incrementar sus ciberataques contra sectores específicos. En ese momento, tanto empresas especializadas en ciberseguridad como varios CERTs acudimos a la llamada del CCN para ofrecer una serie de soluciones a las empresas y organismos oficiales para, en un momento de máxima incertidumbre, apoyarlas de forma que pudieran seguir funcionando y adaptándose lo más rápido posible y de la forma más segura a los cambios (como el teletrabajo) que se estaban produciendo y que, aun a día de hoy, siguen persistiendo.
No obstante, a medio y largo plazo hace falta que se realicen acciones que nos permitan garantizar un nivel de ciberseguridad ante un panorama que evoluciona de forma constante. Por ese motivo no solo es importante disponer de soluciones de seguridad cada vez más sofisticadas, sino también contar con un marco legal que permita la persecución del ciberdelito y una cooperación que permita actuar en su persecución tanto dentro como fuera de nuestras fronteras.
De la misma forma, la existencia de un marco organizativo es esencial para poder afrontar los retos de la ciberseguridad a nivel nacional de la forma más eficaz posible. También es importante fomentar aquellos programas de concienciación y formación en ciberseguridad para poder disponer de profesionales especializados, sin olvidar la importancia de la retención del talento, algo indispensable para seguir manteniendo unas capacidades operativas eficaces y actualizadas, pero que debe remunerarse de acuerdo a los conocimientos y capacidades de cada profesional.
Conclusión
En definitiva, esta muy buena posición de España en el índice de Ciberseguridad Global debe animarnos para seguir trabajando pero sin dormirnos en los laureles, ya que queda mucho por hacer. Sabemos que los retos a los que nos enfrentamos son grandes y muchas veces puede parecer que los atacantes juegan con ventaja, pero no debemos olvidar que muchos de los incidentes de ciberseguridad se podrían haber evitado si se cumpliese la normativa vigente y se contase con las soluciones adecuadas correctamente configuradas y monitorizadas por especialistas.