Retos de ciberseguridad durante la presidencia española de la UE
La disponibilidad de herramientas maliciosas contratables como servicio rebaja los requisitos técnicos para atacar
Desde el pasado 1 de julio y hasta el 31 de diciembre, España ostenta por quinta vez la presidencia del Consejo de la Unión Europea, en un mandato que viene marcado por los resultados de las elecciones generales del 23 de julio. Durante el segundo semestre, nuestro país organizará y coordinará todas las formaciones del Consejo, exceptuando el de Asuntos Exteriores, así como los diferentes comités. De este modo, España es responsable de la coordinación de los 27 Estados ante cualquier crisis eventual, de fomentar los retos europeos, organizar las reuniones, potenciar la legislación europea y apostar por sus propias preocupaciones, entre las que se encuentra la transición tecnológica.
Pero, ¿qué supone la presidencia española en materia de ciberseguridad? En primer lugar, un auténtico reto, como es el hecho de garantizar la seguridad de las comunicaciones y de la información durante medio año, en el que se celebrarán hasta 27 actos en 20 ciudades diferentes del territorio nacional.
En un contexto económico inestable, las tensiones políticas derivadas de la invasión de Rusia a Ucrania, unidas a la magnitud de organizar una presidencia europea, obligan a extremar las todas precauciones.
De este modo, uno de los principales objetivos será mitigar ataques cibernéticos DDoS (que colapsan sitios webs). Por otro lado, dado el éxito que el Ransomware-as-a-Service (RaaS) –en el que las herramientas maliciosas se ofrecen como servicio a los clientes interesados– obtuvo en 2022, es probable que un número creciente de vectores de ataque esté disponible en la darkweb, potenciando el Crime-as-a-Service (CaaS). El aumento de la disponibilidad del RaaS implica una reducción de los requisitos o capacidades técnicas necesarias para llevar a cabo un ataque. Esto, a su vez, puede facilitar el acceso de nuevos atacantes al panorama de amenazas.
Otro de los puntos que habrá que tener en cuenta es el del espionaje a los Gobiernos por medio de intrusiones en los dispositivos móviles, utilizando programas maliciosos estilo Pegasus. En este sentido, en los últimos años hemos visto varios casos de mandatarios que han sufrido intrusiones utilizando este método, incluyendo al propio presidente del Gobierno de España y a la ministra de Defensa.
Asimismo, los esfuerzos durante la segunda mitad del año deben estar encaminados a garantizar la seguridad y la conectividad de todos los eventos, potenciar los servicios de monitorización, detección y respuesta ante amenazas e impulsar el análisis forense frente a posibles ciberincidencias.
De este modo, el trabajo institucional para garantizar la seguridad de la presidencia española en la Unión Europea va a estar centrado en el fomento de una mayor cooperación internacional, en la implementación de segmentación y microsegmentación en la red para limitar la capacidad de acción de los ciberdelincuentes, en el desarrollo de las buenas prácticas y de la ciberhigiene, en la creación de mallas de ciberseguridad integradas reforzadas con inteligencia artificial y en el impulso de las políticas zero trust (confianza cero, en las que el acceso de los usuarios se restringe al máximo) a través de arquitecturas SASE.
Todo este trabajo de preparación está enmarcado en un contexto en el que ha habido una mayor concienciación en ciberseguridad debido al aumento del número de ataques. Según el informe Network Threat Trends Research Volume 2 de la empresa estadounidense especializada Palo Alto Networks, durante 2023 la inversión en ciberseguridad aumentará un 13,2% hasta alcanzar los 223.800 millones de dólares.
En este sentido, el Instituto Nacional de la Ciberseguridad (Incibe) gestionó durante 2022 un total de 118.820 incidencias de seguridad, un 9% más que en 2021. Los datos recogidos por el Centro de Respuesta a Incidentes de Ciberseguridad (Incibe-Cert) destacan que 110.294 de esos incidentes afectaron a la ciudadanía y a las empresas, 546 a operadores estratégicos y 7.980 a la Red Académica y de Investigación Española (RedIris).
Ley de resiliencia cibernética
El 15 de septiembre de 2022, la Comisión Europea presentó la Ley de Ciberresiliencia europea con la finalidad de proteger a usuarios y empresas de productos con características digitales que no cumplan con los requisitos de ciberseguridad.
Dicha ley fue reestructurada durante la presidencia sueca, entre enero y junio pasados. El país escandinavo impulsó la división de los productos en críticos y altamente críticos. Por un lado, los críticos son aquellos que hacen una función de seguridad clave como es la autenticación o la prevención de intrusiones, así como los que gestionan sistemas más amplios o pueden dañar a otros dispositivos. Por otro lado, los altamente críticos cumplen con una función de seguridad importante y además son centrales en un entorno de internet de las cosas. Es el caso de redes privadas virtuales o sistemas de gestión de redes para la configuración.
Con la nueva normativa, cada dispositivo conectado debe tener un identificador de producto único para permitir su reconocimiento, y los fabricantes deben facultar a los usuarios para eliminar de forma sencilla y segura todos los datos y configuraciones, incluidos aquellos que permiten el acceso a las redes wifi. Recientemente, la Casa Blanca ha incluido en su Estrategia Nacional de Ciberseguridad un enfoque similar en cuanto a los dispositivos del internet de las cosas, poniendo el foco de la responsabilidad de la seguridad de estos dispositivos en fabricantes y desarrolladores.
Por lo tanto, el desarrollo y perfeccionamiento de esta ley va a ser junto a la garantía de la seguridad en todos los eventos del semestre y el freno a los ataques de ransomware uno de los principales retos de la presidencia española en materia de ciberseguridad.
Y para prevenirlos, será conveniente preparar un plan de respuesta efectivo, reducir la superficie expuesta, apostar por la detección temprana mediante la búsqueda proactiva de amenazas, fomentar la ciberhigiene y hacer de manera regular evaluaciones de vulnerabilidad.
José Manuel Ávalos es General Co-Director de BeDisruptive
Sigue toda la información de Cinco Días en Facebook, Twitter y Linkedin, o en nuestra newsletter Agenda de Cinco Días
