Javier Diéguez, Director General de CyberZaintza: ”No podemos pensar en el cibercrimen como algo desestructurado. Es un negocio”

La Comisión de Transformación Digital de la Cámara de Comercio de Bilbao tiene por objetivo facilitar la digitalización y promover la innovación y transformación digital a través de la divulgación de diferentes conocimientos relacionados con la materia, entre ellos el de la ciberseguridad. Por ello, celebró una sesión que contó con la intervención de Javier Diéguez Barriocanal, Director General de CyberZaintza, Agencia Vasca de Ciberseguridad, que expuso el funcionamiento de los servicios, así como los retos a los que se enfrentan.

Esta intervención comenzó recalcando la importancia de la ciberseguridad, que “más que una tecnología que puedes decidir si usas o no en tu organización, es algo que tienes que hacer para proteger tu negocio, tu actividad. No puedes tomar el riesgo”.

En estos seis años desde su creación, desde el Gobierno Vasco se ha trabajado para “dar a conocer la necesidad de la práctica de la ciberseguridad en las empresas industriales y, también, de visibilizarla como una actividad económica muy pujante en Euskadi”.

“Hemos buscado siempre posicionar la marca Euskadi – Basque Country en el ámbito estatal, europeo e internacional en dos ámbitos: el desarrollo económico y la respuesta y protección. Fruto de ello hemos conseguido formar parte de comunidades de confianza internacionales que nos comparten información de inteligencia. Esto nos permite detectar y comunicar qué actividades maliciosas están teniendo impacto a nivel local en cada momento”, comentó Diéguez.

El pasado día 13 de septiembre se anunció la creación de CyberZaintza, Agencia Vasca de Ciberseguridad, “esto supone una evolución en las capacidades: a las actividades que venían realizándose, la agencia añadirá la protección y de la coordinación interinstitucional, y va a trabajar coordinadamente con otros ámbitos del sector público vasco donde haya complementariedad”.  “Vamos a intentar que esta transición, cuyos detalles se conocerán en los próximos meses, sea lo más natural y transparente posible para que las empresas vascas puedan seguir encontrando valor en la colaboración con el ámbito público”, recalcó Diéguez.

Un 68% de la ciudadanía vasca muestra preocupación ante la posibilidad de ser víctima de un ciberdelito

“La sociedad vasca está preocupada por este problema a nivel ciudadano. Un 68% de los vascos y las vascas creen que pueden ser víctimas de un ciberdelito”, como se extrae del estudio de Gobierno Vasco. Diéguez quiso destacar el dato de que “entre enero y julio de 2023 se detectaron más de 26.000 nuevas vulnerabilidades de los sistemas tecnológicos”. “Cada día se publican nuevas amenazas, centenares de ellas, de forma muy rápida y que requieren de una respuesta que hay que desarrollar”, añadió.

Ejemplificando, Diéguez expuso que se detectaron “126.559 ataques en un solo día que se encontraban distribuidos en diferentes tipos de empresas y sectores. Son como olas pequeñas que llegan a la orilla, que no causan daños, pero a veces llega un tsunami y te pilla. Estas 126 mil serían de esas olas que llegan pero no hacen nada”.

“Mediante las campañas maliciosas de correo electrónico tenemos unos señuelos que atacan, y que es por donde muchas veces entran. Atacan sobre todo haciéndose pasar por Facebook, Amazon, Apple, Microsoft… y a nivel local haciéndose pasar por operadores de banca, de administración pública, etc. Es decir, aquellos con los que muchas empresas y ciudadanos tienen relación. Es algo cotidiano y con mucha insistencia”, destacó.

“No podemos pensar en el cibercrimen como algo desestructurado. Es un negocio. Hay todo un sector de actividad económica: organizada, con personal contratado y que funciona como una empresa con sus departamentos, como cualquier empresa normal. Y cualquiera puede contratar con estas empresas”, advirtió Javier Diéguez. “Estamos hablando de que contratar con estas empresas para hacer daño a alguien cuesta decenas o centenares de dólares. Ese es el precio. No requiere de una inversión millonaria”.

Nuestro ponente subrayó que el cibercrimen “es una actividad corporativa que mueve muchísimo dinero. No es alguien que se ha confundido o ha hecho daño por error o por notoriedad. No, es por dinero. Y cuando no es por dinero es por posicionamiento de mercado, geopolítico, etc.”.

“Una crisis ocurre porque no se ha prestado suficiente atención a las señales”

“Una crisis es una situación poco probable que genera un gran impacto y con efectos que perduran en el tiempo. Esto nos obliga a tomar decisiones bajo presión, de forma rápida, con información limitada y teniendo que priorizar”. Sobre estos incidentes destacó que “no ocurren por error, son intencionados”.  “Ocurren porque no se ha prestado suficiente atención a las señales, no se ha invertido lo suficiente o porque se ha confiado pensando en que ‘aquí no ocurre nunca’”.

Ante la pregunta de qué hacer en caso de ser víctima de un ataque, Diéguez comentó que “hay empresas que pagan y empresas que no. Pero es importante saber que no tienes ninguna garantía una vez has pagado. El escenario puede ser que hayas pagado y no te den la clave para acceder, o que te la den y en unos meses vuelvan a atacarte”. “Mi percepción del espacio empresarial es que ante estas situaciones hay que dedicar tiempo”. Preguntado por si es recomendable pagar apuntó que “en ocasiones puede haber duda de si es un delito pagar un rescate por un ciberataque. El ámbito jurisdiccional también puede ser difícil de acotar, ya que no es sencillo atribuir desde qué lugar se han realizado… Nuestra recomendación es la de no pagar, y para no pagar debes prepararte. Lo importante es poder recuperarse en un plazo y con una pérdida que puedas predecir, de forma que el ataque no sea excesivamente dañino. Por tanto, animamos a que las empresas se preparen”.

“Que te ocurran estas cosas es incómodo, pero si eres capaz de recuperar la información en un tiempo razonable el daño no es tanto. Nadie está libre en la vida real como cuando conducimos; intentamos ser prudentes al volante, pero lo que tienes que hacer es contar con sistemas de seguridad que funcionan, con un airbag, con unos neumáticos…”

Las empresas deben contar con un protocolo que establezca niveles de crisis y determine los pasos para actuar ante los posibles escenarios y así poder gestionarlos. Este protocolo servirá para poder poner en marcha las acciones concretas, destinar los recursos necesarios que cada escenario requiere y comunicar la evolución de la situación de la manera más adecuada posible. Estos protocolos por niveles son adaptables en función de las características y los recursos con los que cuenta una empresa.

“Todo el mundo tiene muy interiorizado el simulacro por incendio, aunque nunca haya tenido un incendio. En este caso es lo mismo. Si no tienes una crisis es una práctica recomendada realizar un simulacro para prepararte ante un posible caso real de crisis”. En este simulacro no deben faltar las condiciones que habitualmente intervienen en un escenario de crisis: incertidumbre, ambigüedad, escasez de tiempo, información insuficiente, factores desconocidos, presiones, etc. El simulacro servirá para “aprender y mejorar los protocolos de actuación”.

Iniciativas y recursos a disposición de las empresas

La intervención de Javier Diéguez Berriocanal finalizó destacando algunos de los recursos a disposición de las empresas en ciberseguridad.eus para poder actuar y prepararse frente a las posibles situaciones de crisis provocadas por un ciberataque.

Existe la ayuda de ciberseguridad industrial, un programa con bastante demanda que entre 2018 y 2022 contó con un importe subvencionado de 10,71 millones de euros repartidos en 1.252 proyectos, de los cuales el 13% correspondían a proyectos de monitorización.

Estar al día de lo que ocurre en materia de ciberseguridad es fundamental. Por ello, a través de los medios digitales, es posible acceder a alertas tempranas sobre los distintos tipos de avisos de seguridad que ocurren. Estas alertas, publicadas a diario, sirven para conocer qué tipo de amenazas están afectando a las empresas de tu entorno y cómo actuar ante ellas. Del mismo modo, es posible suscribirse un boletín lamado “Ciber Eguraldia” con información útil y de actualidad relacionada con la ciberseguridad.

Nuevo Bootcamp en ciberseguridad

Cámarabilbao Professional Development ha incorporado a su oferta formativa un nuevo Bootcamp en Ciberseguridad. El programa preparará a profesionales para enfrentarse a los desafíos en materia de seguridad que presenta el entorno digital. Esta formación, ofrecida en formato presencial y online, combina la enseñanza teórica con la aplicación práctica en casos reales mediante trabajos prácticos.

Lo distintivo de este Bootcamp en Ciberseguridad está en su enfoque práctico, respaldado por expertos en ciberseguridad. Prepárate para convertirte en un profesional de la ciberseguridad capaz de enfrentar los desafíos dinámicos de la seguridad informática y contribuir a la protección de la información en un mundo digital cada vez más interconectado.

Kit Digital te ofrece soluciones en materia de ciberseguridad

Si tienes una empresa con menos de 50 personas trabajadores, ahora puedes solicitar la ayuda del Kit Digital para reforzar la ciberseguridad en tu empresa. Las empresas pueden acceder a ayudas de entre 12.000 y 2.000 euros, en función del número de empleados, y solicitar la ayuda registrándose en la web de Acelera Pyme y completando el test de autodiagnóstico.

Posteriormente tendrá que consultar el catálogo de soluciones digitales y seleccionar la solución o soluciones de digitalización que desee en la sede de Red.es. En el caso de la ciberseguridad, la ayuda busca proporcionar seguridad básica y avanzada para los dispositivos de empresa. Mediante esta solución podrás analizar y detectar amenazas, monitorizar la red, asegurar la navegación segura o actualizar tus protocolos de seguridad, entre otras.