La importancia de afianzar la cultura de la ciberseguridad

En los últimos meses, los organismos públicos han tenido que cambiar sus modelos de trabajo internos y adaptarse a una nueva atención a los ciudadanos. ¿Qué medidas y tecnologías han tenido que adoptar para seguir funcionando?

El principal reto al que se ha tenido que enfrentar el sector público en los últimos meses es a la seguridad del teletrabajo. El desplazamiento fuera del entorno de las oficinas y de las instalaciones propias de cualquier organismo plantea dificultades añadidas. El manto de protección de la información, de las redes y sistemas y de los propios dispositivos que se tiene en una oficina ha tenido que ampliarse, en muy poco tiempo, a esta nueva situación.

Por ese motivo, los organismos han tenido que incrementar el control de la información, las mejoras de seguridad en los dispositivos, limitar el acceso físico de terceros a dichos dispositivos, revisar las conexiones, el correo electrónico y, por supuesto, evitar cualquier acceso a las aplicaciones corporativas si no es a través de una comunicación cifrada, como puede ser una VPN.

Del mismo modo, ha tenido que revisar las soluciones basadas en la nube y en los sistemas locales (equipo cliente), las reuniones virtuales y los procedimientos de actuación de las personas o equipos con acceso remoto. En este sentido, y sabedores de que tan importante como las medidas tecnológicas son las medidas personales y la concienciación del usuario, el Centro Criptológico Nacional ha hecho un esfuerzo especial por realizar iniciativas de comunicación y sensibilización para ofrecer buenas prácticas en el uso seguro de distintas tecnologías[1]. Además hemos apostado por reducir la superficie de exposición y aumentar la vigilancia, con especial hincapié en la monitorización y análisis de los dominios sanitarios en busca de vulnerabilidades. Para ello, potenciamos dos de nuestras principales herramientas, que son ANA y EMMA.

¿Cuáles son los principales retos a los que se han enfrentado en 2020 y con cuáles cree que se van a encontrar en 2021?

Pues ante las circunstancias generadas por la pandemia del COVID-19, el Centro Criptológico Nacional reforzó todas sus capacidades para la defensa del ciberespacio español y, en especial, de su sector público y de los sectores estratégicos, con prioridad absoluta en el de la salud. Su Equipo de Respuesta a Incidentes, CCN-CERT, estuvo a pleno rendimiento, brindando apoyo y colaboración a todas las organizaciones ante cualquier emergencia que sufrieran, incluyendo la coordinación a nivel público estatal de los distintos CERT/CSIRT. Otro reto fue reducir la superficie de exposición del sector sanitario y proteger las plataformas empleadas por universidades para realizar exámenes en formato online, de forma que fueran lo suficientemente resilientes al incremento continuo de ciberataques.

Del mismo modo, y como ya hemos señalado anteriormente, tuvimos que enfrentarnos a una situación generalizada de teletrabajo con los retos que supone y, en nuestro caso, uno de nuestros pilares, la Formación presencial tuvo que cancelarse. Sin embargo, conseguimos trasladarlos a un formato online para que pudieran realizarse y, de este modo, continuar con nuestro Plan de Formación.

En cuanto a 2021, nos hemos propuesto reducir la superficie de exposición de los organismos, afianzar la cultura de ciberseguridad, establecer el Esquema Nacional de Certificación de Personas, conseguir que la Administración tenga puestos de trabajo categorizados como responsables de ciberseguridad, ya que a día de hoy es una función, pero no un cargo como tal, así como seguir protegiendo el teletrabajo y promover un aumento de la vigilancia, seguridad y monitorización de los accesos remotos.

¿Considera que la Administración estaba preparada para dar respuesta a este nuevo escenario?

Ha sido necesario que la Administración, así como el sector privado, tomaran medidas adicionales de seguridad para adaptarse a la situación excepcional que ha marcado 2020. Es decir, ya tenía implementadas las necesarias herramientas de ciberseguridad y cumplía con todas las normativas, aunque estas han tenido que incrementarse para hacer frente a la vulnerabilidad que ha propiciado la pandemia y los nuevos ciberataques y amenazas que se han aprovechado de la misma.

¿Qué soluciones tecnológicas utilizan en estos momentos? ¿Qué ventajas destacaría de esta implementación?

El Centro Criptológico Nacional tiene como una de sus principales funciones la coordinación, promoción y desarrollo de soluciones que garanticen la seguridad de los sistemas y contribuyan a una mejor gestión de la ciberseguridad en las organizaciones. En este sentido, el CCN ha desarrollado a lo largo de los últimos años, en colaboración con empresas nacionales, más de 20 soluciones que facilitan esta labor[2]. Son herramientas de auditoría, detección, intercambio de información, vigilancia, análisis o formación.

Las últimas incorporaciones han sido MÓNICA, un sistema automatizado de gestión de información y eventos de seguridad, o microCLAUDIA, que proporciona protección a organismos contra ransomware. Además, próximamente estarán disponibles CARLA, una solución que permitirá una mejor protección de datos, y ADA, plataforma para llevar a cabo análisis avanzados de malware.

¿Qué balance realiza sobre el funcionamiento de las Administraciones públicas de este año que va a concluir? ¿Ha sido fácil adaptar sus infraestructuras a este nuevo escenario?

Sin duda alguna, este año ha supuesto un reto para todos. Especialmente para los servicios esenciales que han tenido que adaptarse rápidamente para preservar su buen funcionamiento. Y fácil no ha sido, pues las amenazas han sido constantes y especialmente diseñadas para este escenario imprevisto. No obstante, en general la Administración respondió rápido, consiguiendo reducir los riesgos y mitigando sus consecuencias, lo cual es encomiable.

[1] Informes de Buenas Prácticas (https://www.ccn-cert.cni.es/informes.html), Ciberconsejos (https://angeles.ccn-cert.cni.es/index.php/es/ciberconsejos), Guías CCN-STIC y Cursos de Formación online y a través de su plataforma Vanesa (https://angeles.ccn-cert.cni.es/index.php/es/menu-formacion-es)

[2] Soluciones del CCN: https://www.ccn-cert.cni.es/soluciones-seguridad.html