El robo de información a la Secretaría de la Defensa Nacional (Sedena) nos hace reflexionar en la importancia de una buena ciberseguridad, sobre todo cuando se trata de datos tan sensibles. Al respecto, hablamos con Carlos Kornhauser (CK), ejecutivo de la empresa Cybolt y especialista en ciberseguridad.
Carlos Kornhauser (CK): La ciberseguridad es un tema de trascendencia, no sólo para las organizaciones públicas y privadas, sino para cada una de las personas que tenemos información. Este mundo digital tiene muchas ventajas, dada la gran conectividad que nos da el estar en contacto con gente que está lejos, saber de personas que hace muchos años no vemos, pero que al mismo tiempo nos pone en riesgo dada esa cantidad de información que existe en un ciberespacio no controlado, no regulado hoy por ninguna política, por ninguna reglamentación internacional, y entonces vienen los atacantes.
P: Vimos el robo de información a la Defensa Nacional, pero también como sucedió con la gasera Colonial Pipeline, aquí podrían dejar sin gas, sin luz, sin agua, un estado completo.
CK: Exactamente, y ahora en temas de seguridad digamos que hay dos mundos, el de la IT, Information Technologies, y el mundo de la OT, que es la Operation Technologies, que ya los atacantes no van sólo a sacar seis Teras de correos, como acaba de pasar con Sedena, ahora van y paralizan unas líneas de gas, y extorsionan, los ciberterroristas que van y controlan una planta con una caldera y en la cual dicen: “si no me pagas, la voy a hacer explotar”, con toda la gente que pueda estar, con todo el daño que pueda haber alrededor. Entonces, realmente el mundo conectado es una maravilla, pero es un riesgo también.
P: Esto puede suceder en la aviación.
CK: Claro, los aviones. No nos vayamos tan lejos, los nuevos automóviles; está saliendo una nueva reglamentación en Europa por la gran preocupación que tienen de la facilidad con la que pueden tomar control, hoy en día. De nuevo, es una maravilla que, si alguien se roba mi coche, le hablo a la agencia y le digo: “apágalo”, pero eso también lo podría tomar un atacante y en ese momento decir: “voy a apagar todos los coches que vienen en la carretera”, con la cantidad de accidentes que eso podría provocar. Entonces, ese mundo conectado, ese mundo vulnerable donde la ciberseguridad juega ese papel primordial, de cómo realmente podernos defender. Hay una estadística realmente impresionante porque dice que para 2025 el cibercrimen va a representar 10.5 trillones de dólares. Si lo pasamos a una economía de país, solamente está por debajo de Estados Unidos y China, éste es el tamaño del negocio.
P: La inversión que tiene que haber en seguridad, las empresas privadas, todas, muchas grandes empresas tienen una inversión altísima en temas de ciberseguridad; llama la atención que el Estado mexicano no invirtió en ciberseguridad, por un tema político, en el 2019 y 2020; en el 2021 se invirtió el 40 por ciento de lo que se había invertido en 2018; para este 2022, que se supone que iban a aumentar 60 por ciento, todavía no se han realizado en la mayoría de los casos, y la información que tenemos es que, por ejemplo, la Defensa Nacional tuvo un gasto en ciberseguridad de cuatro millones de pesos en lo que va del año.
CK: Aquí hay puntos que son importantes, uno es hoy el trabajo de ciberseguridad, el responsable de la seguridad, al que llaman el CISO, el Chief Information Security Officer, está considerado uno de los trabajos más ingratos que existe, porque no se puede equivocar ni una sola vez, con una vez que se equivoque, el atacante va a tener éxito, el atacante tiene infinitas posibilidades y oportunidades de poder atacar, entonces es un trabajo ingrato, de verdad, el de seguridad, por esa relevancia.
P: El delincuente está constantemente generando ataques direccionados para ver en qué momento puede entrar.
CK: Son millones de ataques los que cada día suceden y México está entre los 10 países más atacados del mundo, no sólo a nivel gubernamental, sino a nivel privado, porque es una economía importante.
P: ¿Cómo tiene que funcionar un sistema de ciberseguridad eficiente?
CK: Lo primero que tenemos que tener claro es cuál es el riesgo al que estamos expuestos, no es igual si me llamo Sedena, si me llamo universidad, si me llamo bancos, o manufactura, porque los riesgos son diferentes, y el interés de los atacantes también es diferente. Entonces, conociendo nuestros riesgos, podemos determinar y generar estrategias de en dónde debemos de invertir realmente recursos, no sólo financieros, tecnológicos, humanos, para poder contener ese tipo de ataques. El pensar que vamos a proteger el cien por ciento de la información es ilusorio, no se puede, no existe la seguridad al cien por ciento, eso es una utopía, entonces sí tenemos que ser muy conscientes de en dónde están nuestros principales riesgos y defendernos contra esos riesgos.
P: ¿Qué tan grave es la cantidad de robo de información a la Sedena?
CK: Hoy no lo podemos saber, es una gran cantidad de información. Lo que dicen es que fueron muchos días que se estuvo minando la información, tampoco lo sabemos.
P: ¿Se pueden dar cuenta cuando están vaciando la información de algún sistema?
CK: Hay sistemas de monitoreo que se deben de implementar, precisamente para darnos cuenta de si se está extrayendo información de manera no autorizada, porque vemos, por ejemplo, conductas anómalas en el tráfico. Si yo tengo una línea normal de este tipo y de repente tengo picos, pues algo está sucediendo, esos sistemas deberían alertarnos y decirnos que algo no está bien. Pero también es cierto que hay ataques que son tan sofisticados, que jalan poquita información cada día, muy poquita información, pero muy poquita información, entonces no hay sistema que se dé cuenta de eso, hay que meter otro tipo de controles, por eso la carrera es tan complicada. Y otro tema importante es el talento que existe a nivel global para poderse defender. Hoy, el Foro Económico Global dice que al menos hay un déficit de tres millones de especialistas en ciberseguridad en el mundo, es muchísima gente; entonces las empresas, digamos, están peleando por esos talentos, la gran demanda que existe hace que sea muy caro contratar a este tipo de personas, también por eso están volteando mucho a contratar empresas especializadas.
P: ¿Cómo podemos proteger nuestra información?
CK: Lo primero es estar conscientes de la información, desde el ámbito personal hasta el ámbito empresarial, por ejemplo, ¿cuántas personas no vemos que en Facebook suben información de “me fui de viaje a tal lado”, “ahora estoy en tal parte”? Eso para un atacante es oro puro, porque sabe que es una persona que tiene tal capacidad económica, que no está en su casa, que puede hacer ciertas cosas. Entonces, lo más importante es ser consciente de lo que representa la información que estamos compartiendo o divulgando o utilizando. Lo segundo, como lo comentaba, es tener una clara visión de en dónde están los riesgos, dónde están las amenazas que se pueden presentar. Y lo tercero, es que realmente diseñemos estrategias sistémicas, holísticas, que consideren a las personas, a la tecnología y a los procesos, dándole las inversiones adecuadas, es “si no invierto, el riesgo se puede materializar”.
