En verano: 'Debemos tomar ciertos hábitos de ciberhigiene que permitan mantener a salvo nuestra identidad digital'

Como cada verano, el Diario Digital uah.esnoticia muestra algunos de los contenidos con mayor impacto durante el curso académico. Las redes sociales y el diario digital de la UAH han seguido consolidando sus buenos resultados durante este curso 2019-2020, superando el millón de visualizaciones y los 291.000 usuarios.

Con el objetivo de trasladar a la comunidad universitaria y a la sociedad en general la actividad que se desarrolla en la UAH, desde el Departamento de Marketing Institucional y Comunicación Digital se ha impulsado la publicación de varios cientos de noticias y materiales gráficos y audiovisuales en el Diario Digital y en las redes sociales, donde la UAH sigue ocupando una posición de liderazgo.

Asimismo, se ha promovido la participación de la Universidad en los principales rankings nacionales e internacionales, la mejora y actualización del Portal de Comunicación de la UAH, y la organización de diversas actividades de promoción, como el Programa de Puertas Abiertas, AULA o las Jornadas Virtuales de Grado y Posgrado, en colaboración con los Vicerrectorados de Estudios de Grado y Estudiantes y Estudios de Posgrado. Igualmente, este curso se han seguido consolidando los acuerdos con varios medios de comunicación de Madrid y de Castilla-La Mancha para divulgar la actividad científica que realizan nuestros investigadores entre los ciudadanos.

José Luis Narbona, especialista en Ciberseguridad y Profesor Asociado del Área de Ingeniería Telemática de la Escuela Politécnica de la Universidad de Alcalá, comenta en esta entrevista las claves más importantes de esta ciencia informática. José Luis imparte asignaturas del ámbito de la Ciberseguridad desde el año 2005, así como en distintos Máster como el de Ciberseguridad, ‘Blockchain, Smart Contracts y Criptoeconomía’ y Ciberdefensa en la UAH.

-¿Qué importancia tiene la ciberseguridad en la actualidad para las instituciones y empresas?

Siendo conscientes de la importancia que hoy en día tiene la privacidad de los datos a todos los niveles, debiéramos considerar la ciberseguridad como un factor totalmente transversal en empresas e instituciones. Los riesgos que se presentan en los sistemas que manejan información de todo tipo se suceden día a día por lo que es vital prevenir la aparición de riesgos y vulnerabilidades que abran la puerta a ciberataques que expongan los datos de nuestras empresas y organizaciones. Más allá de la reputación está el factor económico y de continuidad del servicio que puede dañar de manera definitiva el negocio de una empresa y provocar hasta su desaparición.

A nivel mundial, existe toda una industria en auge dedicada a la realización de ciberataques cuyo rédito es muy superior a los delitos económicos convencionales. El cambio de paradigma es muy sencillo: desde cualquier parte del mundo pueden extorsionar, robar o chantajear a cualquier empresa y/o persona cuyos sistemas no estén convenientemente protegidos, por ello es vital ser conscientes de lo que está sucediendo para afrontar este reto con suficientes garantías.

Jose Luis Narbona iterior 400x600
José Luis Narbona

- ¿En qué situación se encuentra España? ¿Están protegidas nuestras empresas?

Por desgracia España está muy por detrás de otros países europeos en cuanto a inversión y concienciación en el área de la ciberseguridad. Nos seguimos encontrando con una aversión muy importante a establecer herramientas preventivas que minimicen la probabilidad de un ciberataque. Uno de los mayores problemas que tenemos es que la mayoría de las empresas no asumen, que el mal llamado, gasto en plataformas y servicios de seguridad informática es una de las inversiones que mayor rentabilidad les puede aportar. Recientemente se publicó un informe sobre el estado de la Ciberseguridad en España que arrojaba conclusiones preocupantes para las empresas e instituciones españolas.

-¿Qué consecuencias puede tener un ciberataque? ¿Qué consecuencias económicas puede conllevar?

La consecuencia más inmediata puede ser el cese del servicio, el factor de la disponibilidad. Esto puede suponer que una empresa deje de facturar y por tanto que su negocio cese.

A partir de aquí, las consecuencias que pueden aparecer por un incidente de seguridad y/o brecha de seguridad en los sistemas puede tener una relevancia imposible de determinar a priori. Una vez que se produce una filtración de datos tenemos que ser conscientes de que nuestro día de cero de conocimiento del incidente no tiene porque coincidir con el real, es por ello por lo que debemos ser cautos y establecer los protocolos de mitigación lo antes posible para conseguir una respuesta eficaz. Idealmente, las empresas e instituciones debieran revisar sus protocolos preventivos e invertir en estos. En España, sigue siendo complicado trasladar esta visión, que siempre es más eficiente y económica.

Mitigar un Ciberataque es mucho más costoso que prevenirlo más allá del coste en sanciones que según la normativa vigente (RGPD) puede suponerle a la empresa que puede llegar hasta el 6% de su facturación anual. El coste reputacional siempre es complicado de valorar, pero el deterioro de la imagen que puede sufrir una empresa implicada en un incidente de seguridad nunca será positivo. La confianza es un factor fundamental en los negocios y los clientes la necesitan para seguir contribuyendo.

-¿Qué recomendaciones nos da?

Sin ninguna necesidad de ser alarmistas sí debemos ser conscientes de lo que está sucediendo a nivel global. Nos encontramos con un escenario donde nuestros datos se han convertido en el santo grial que las empresas recopilan y que los ciberdelincuentes intentan robar. Es por ello por lo que debemos tomar ciertos hábitos de ‘ciber-higiene’ que permitan mantener a salvo nuestra identidad digital. La sobreexposición de nuestros datos en Internet no es nada recomendable habida cuenta de que esa exposición puede convertirnos en objetivo de un ciberataque.

Es fundamental tener una política real para la gestión de nuestras contraseñas y su cambio, porque son el garante de la confidencialidad de nuestros datos. No es adecuado tener las mismas contraseñas para distintos servicios ya que en el momento que un servicio quede expuesto todos los demás serán víctimas potenciales. Se trata de ponérselo difícil a los ciberdelincuentes adquiriendo hábitos sencillos de sentido común y, sobre todo, teniendo cierta cultura preventiva para evitar quedar expuestos.

A nivel de formativo, es vital que las instituciones y empresas realicen cursos cada año para que ese eslabón más débil, que son los empleados, adquieran ciertos conocimientos básicos y tomen conciencia de la importancia de fomentar estos hábitos de sentido común en su puesto de trabajo. En la UAH se realizan estas acciones periódicamente tanto para PDI como para PAS, en los cuales hacemos énfasis en distintas técnicas y herramientas sencillas que garanticen la confidencialidad de los datos tanto en el puesto de trabajo como fuera de él.

- Aparecen continuamente noticias sobre los distintos Ciberataques que se están produciendo desde que se declaró la pandemia global por el COVID-19 ¿Se aprovecha la situación por parte de los Ciberdelicuentes? ¿Cuáles son los incidentes más destacados de los tres últimos meses?

Existen dos factores relevantes que tienen su origen en la necesidad de quedarnos en casa en estos últimos meses. Por un lado el teletrabajo se ha convertido en obligatorio y muchas empresas no lo tenían previsto, esto ha provocado un incremento en este tipo de ataques por la falta de planificación y el uso de tecnologías obsoletas para trabajare en remoto. La mayoría de las empresas no estaban preparadas y al principio han tenido importantes riesgos de seguridad en sus sistemas que en muchos casos han sido aprovechados por Ciberdelincuentes. Por otro lado, al estar más tiempo en casa, ha crecido exponencialmente el acceso a servicios de ocio en línea. Esta demanda ha posibilitado campañas de Phishing asociadas a los servicios de streaming más populares, con el objetivo de sustraer nuestras credenciales así como nuestros datos bancarios.

La sobredemanda de información sobre el COVID-19 ha sido otro vector de ataque a través de aplicaciones con supuesta información sobre la pandemia. Se han registrado desde marzo más de 24.000 dominios relacionados, de los cuales se estima que más del 60% tienen un fin malicioso para distribuir distintos tipos de Malware que pueda sustraer información de nuestros ordenadores. Se han reportado distintas campañas relacionadas con otros temas de actualidad vinculados a la pandemia, como es el cobro de la prestación de los ERTES a través del envío de SMS y e-mails con objetivos ilícitos.

A nivel institucional unos de los sectores más afectados, ha sido el sanitario, en este caso podemos hablar de Ciber-espionaje asociado a los datos e investigaciones biomédicas y farmacéuticas que los Ciberdelicuentes pretenden explotar y monetizar.

Ante este contexto es vital que ciudadanos y empresas tengan la formación adecuada que permita continuar la actividad  minimizando este tipo de riesgos así como las herramientas técnicas necesarias para garantizar la confidencialidad de sus datos.

Publicado en: Entrevista