Échame más riesgos
No es lo mismo hablar en abstracto de una exfiltración de datos, que referirnos al anuncio del ente JabaR00T de la presunta exfiltración y divulgación de –entre otros– datos de agentes de inteligencia y de la policía de Marruecos. Todo ello accionado al poco tiempo de la llegada masiva a Ceuta de personas procedentes del Reino Alauita, hecho y circunstancia que el Gobierno de España ha terminado declarando Situación de Interés para la Seguridad Nacional.
“Los kilos de legislación y estrategias no son indicador de la buena calidad del sistema de gestión de riesgos de ciberseguridad de un país”.
A JabaR00T se le relaciona con Argelia, y su anuncio (no entraremos aquí en hipótesis sobre actos de falsa bandera) lleva –entre otros juicios profesionales– a sembrar dudas sobre la calidad de gestión de la ciberseguridad nacional marroquí y, a la vez, inocular en el momento justo en el Reino de España un ingrediente más para disparar procesos de desinformación que ceben el comprensible malestar social hoy imperante y lo funda y confunda con las aspiraciones territoriales de nuestro vecino del otro lado del Estrecho de Gibraltar, curiosamente reiteradas a raíz de lo sucedido por algunos personajes significados del país africano.
José de la Peña Muñoz
Director
[email protected]
Y así, la inseguridad digital ha vuelto a la primera línea de la actualidad generalista, en compacto batiburrillo con la desinformación, los efectos ciberfísicos de las quedadas en redes sociales y la emigración masiva, constante y descontrolada de personas en busca de una vida mejor convertida en un boyante negocio y arma. Todos ellos riesgos identificados y sesudamente analizados en decenas y decenas de informes desde hace años.
Políticos, ciberseguridad y dinero
Con este panorama parece difícil no meterse en política, máxime cuando la Comisión Europea ha pedido al Tribunal de Justicia de la UE que multe a España (además de a Irlanda, Francia y Países Bajos) por no haber notificado (como era obligación) las medidas de trasposición al Derecho nacional de la directiva NIS2.
Así es la política, que –dicho sea de paso– todavía guarda memoria del caso Pegasus. Y así está la ciberseguridad en España, necesitada urgentemente de un Plan Nacional correctamente concebido para ponernos a modernizar nuestro sistema de gestión de riesgos de ciberseguridad con las IAs y la transición poscuántica confiable incorporadas en su ADN. Parece que este plan está hecho, y que lo que falta es una dotación presupuestaria suficiente y constante, y voluntad política de ponerse manos a la obra.
Hay muchos más frentes específicos que los antes mencionados. Cito algunos sin ánimo clasificatorio: los concernidos por la soberanía y por la autonomía tecnológicas (esto ya da para un libro); el aprovechamiento del tsunami que van a provocar los sistemas de IA (incluidos los modelos de frontera) en el desarrollo de software; la transformación controlada de los SOC clásicos en SOC agénticos; la supresión de zonas grises en la gestión de ciberseguridad en el tráfico de información entre Administraciones; la identificación de los perfiles profesionales que se van a necesitar para poder tener expertos competentes con la IA de por medio, incluidos los relacionados con la acción policial y judicial contra el delito; la readaptación de las técnicas de auditoría; el refinamiento y la transformación de la legislación sobre privacidad; el impacto del uso de las carteras digitales europeas y la gestión segura de la identidad líquida de humanos y no-humanos…
Y luego, lo de siempre desde hace mucho: la prevención del ransomware, la del phishing y variantes según canal, la carrera permanente entre los defraudadores y los defraudados y sus defensores… Lo viejo se mantendrá mientras funcione, y, al tiempo, evolucionará en consonancia con los dobles usos que permitan las TIC y el ingenio humano asistido por IA y la IA asistida por IA y por humanos.
Y de la figura del CISO, ¿qué decir? Pues que dependa de quien dependa (según regulación, según sector, según la madurez de su organización, según haya caído) es un experto en gestión de riesgos que entiende el alcance de la IA en ciberseguridad y en otros muchos otros frentes. Pocos directivos tienen su conocimiento y vivencias. Pocos han tenido que aprender tan rápido y tan dolorosamente a ser resilientes.
Este apretón de las TIC es una nueva oportunidad para que crezca el aprecio en las empresas por los Responsables de Ciberseguridad, y una razón más para que estos perfeccionen su capacidad de sacrificio y de ubicuidad accionable porque, como dice uno de ellos en esta edición, “Gran parte de la IA que usa una organización está embebida en herramientas de terceros”. Todo claro.