CIONET España celebró la semana el último encuentro de su calendario 2017. En la sede de Cuatrecasas en Barcelona, alrededor de 50 asistentes se reunieron para hablar de ciberseguridad, de la mano de ponentes como Román Ramírez, Responsable de Seguridad en Arquitectura en Ferrovial, David Barroso, Fundador de Countercraft, Andreu Bravo, CISSP, CISM en Gas Natural Fenosa y Albert Agustinoy, Socio Cuatrecasas en el Área de IP/IT.
Conociendo al adversario…
“¿Estás seguro?”, era la pregunta que encabezaba la agenda del evento y el primer ponente en romper el hielo fue Román Ramírez, Responsable de Seguridad en Arquitectura de Ferrovial, quien comenzó haciendo una comparación entre la ciberseguridad y nuestro desconocimiento de los riesgos, con las amenazas y miedos que imaginaban nuestros antepasados ante el descubrimiento del nuevo mundo. Cuando los primeros conquistadores llegaron a América su imaginación les había llevado a pensar en un mundo más allá de esas fronteras, lleno de peligros y monstruos desconocidos que acechaban.
Tras esta comparación Román hizo un repaso y explicación los riesgos a los que nos enfrentamos con los “malos” en la ciberseguridad, el enemigo al que toda compañía teme, y de qué amenazas es poseedor. “Los ciberdelincuentes tienen recursos infinitos y defenderse es difícil, ya que con una sola brecha es suficiente que nos ataquen y se desplacen por todo nuestro sistema”, afirma Ramírez. A su vez, Ramírez también afirmó que “los humanos tenemos tendencia a pensar que somos especiales ante la tecnología” y la actitud de las personas ante las amenazas muchas veces no atiende a la importancia de la advertencia o responde con la precaución suficiente.
Prevención y defensa activa
David Barroso, Fundador de Countercraft, explicó que realmente son los incidentes los que hacen evolucionar a la ciberseguridad. Tiene que pasar algo para que los humanos reaccionemos. “En el caso del Wannacry he visto que la seguridad ha mejorado, ahora se le hace un poco más de caso a los de ciberseguridad. Las personas y los grupos estamos siendo más activos ante las amenazas, porque hemos visto que esperar a que pase algo no es la mejor forma”, confiesa Barroso.
Ante una amenaza o incidente, existen diferentes fases por las que pasa una empresa u organización, que son: la negación, el enfado, la negociación, la depresión y la aceptación.
La fase de aceptación no solo debería presentarse al final, sino también es un aspecto que se debería de presentar antes de cualquier incidente. “Es muy importante porque la seguridad 100% no existe, nos va a ocurrir a todos. La gente que apunta con el dedo a su competidor y se ríe de ellos cuando son atacados son unos ilusos, porque pronto les va a tocas a ellos mismos”, afirma Barroso.
¿Y cómo se responde y se gestiona un incidente?
Andreu Bravo, CISSP y CISM de Gas Natural Fenosa ha sido quien ha respondido a esta pregunta. Andreu afirma que lo mejor es que las empresas pasen cuanto antes por un ataque, porque se aprende y se mejora mucho.
Es importante plantear qué tipo de incidentes pueden ocurrir a la empresa y cuáles son los que más afectan, entendiendo esto, se sabe en qué hay que invertir más. “Una vez tengamos previstos los casos hay que definir un protocolo de actuación para después entrenarlo y practicarlo. Porque a la hora de la verdad surge el pánico y la gente se bloquea”, explica el CISSP de Gas Natural Fenosa.
Un punto de vista legal
El último ponente de la tarde fue Albert Agustinoy, Socio de Cuatrecasas en el Área de IT/IP quien ha abordado la ciberseguridad desde el punto de vista legal.
Agustinoy comenzó su ponencia analizando el caso práctico del hackeo de la página web de citas para personas casada o en una relación, Ashley Madison. En julio 2015 un grupo de hackers robó toda la información de sus clientes y pidió a la agencia que cancelara sus servicios y cerrara la plataforma online. Un mes más tarde, se hizo pública la lista completa de la base de datos de los usuarios de la plataforma. Esto tuvo como consecuencia, numerosas víctimas, como las parejas de los usuarios, pero también se vio afectada la propia credibilidad de la agencia.
La oferta de la página web resultó ser falsa, porque numerosos perfiles, sobre todo de mujeres, eran perfiles inactivos, creados por la propia empresa. Por lo tanto, se trató de un caso que escaló a consecuencias legales muy graves. La empresa se enfrentó a una multa de 2,2 millones de dólares, por prácticas de competencia desleal y engañar a los consumidores.
El problema de la ciberseguridad es transversal. Una vez se constate un ataque, existe un problema que afecta a empresas, consumidores y distintos ámbitos que tienen una traducción jurídica.
Los diferentes puntos de vista y casos del encuentro dieron paso al cierre, con una sesión de preguntas y el espacio de networking en el que los asistentes pudieron compartir sus dudas y preocupaciones de forma más personal.
Así fue el encuentro en imágenes: