Cataluña, camino de la primera división de la ciberseguridad

BarcelonaEn marzo de 2023, el grupo de ciberdelincuentes RansomHouse atacó el Hospital Clínic de Barcelona a través de un software de secuestro (ransomware) que paralizó una parte de la actividad asistencial, especialmente urgencias vitales como ictus e infartos, que tuvieron que derivarse a otros centros. Fue un ciberataque muy sonado que duró días, pero ha habido muchos más en los últimos años. Los hospitales Moisès Broggi, Dos de Mayo y General de Hospitalet de Llobregat o en la Universidad Autónoma de Barcelona (UAB), entre otros, son sólo algunos ejemplos.

Según datos de la Autoridad Catalana de Protección de Datos (ACPD), en los últimos cinco años, hasta 5,8 millones de personas han sido afectadas por el robo de información personal con ciberataques en Catalunya, sólo teniendo en cuenta los ataques a organismos públicos ya empresas de la Generalitat. Sin embargo, mientras que el mercado negro de compraventa de datos se convierte en un negocio cada vez más lucrativo, el sector de la ciberseguridad también está en auge en Catalunya, tanto desde el sector público como del privado.

Desde la Generalitat se ha puesto en marcha una nueva estrategia de ciberprotección integral de Cataluña y de los servicios públicos; un plan dotado con 18,6 millones de euros. "La mayor inversión jamás hecha en ciberseguridad desde el Govern", en palabras del consejero de Presidencia, Albert Dalmau. A través de la Agencia de Ciberseguridad y con el apoyo de INCIBE, el plan del Gobierno es financiado a través de los Fondos Next Generation de la Unión Europea y busca ser "un impulso inédito en la ciberseguridad del país". Un plan que, a través de 27 acciones concretas, quiere fomentar la concienciación social y profesional, acompañar a las empresas a protegerse e incentivar la innovación en el sector, entre otros.

El episodio del Clínic supuso un antes y un después también en concienciación tanto para las empresas como para la ciudadanía: los ciberataques son la nueva manera de generar, también, guerras geopolíticas. "El riesgo cero no existe, pero lo que se debe conseguir es que si hay ataques, tengan el menor impacto posible", explica la directora de la Agencia de Ciberseguridad, Laura Caballero. "El 99% de los ataques no logran penetrar en nuestros sistemas, esto evidencia que en Catalunya tenemos un sistema robusto", asegura.

De hecho, el año pasado, la Agencia gestionó 3.372 incidentes, un 26% más que el año anterior, e identificó más de 6.900 millones de ataques dirigidos contra personas y sistemas de información de los ámbitos gestionados por este organismo. De estos 6.900 millones, 1.275 millones fueron en el ámbito sanitario, uno de los sectores con los datos mejor pagados en el mercado negro.

Un sector en crecimiento

En Catalunya hay, según Caballero, más de 550 empresas de ciberseguridad que emplean a 10.600 profesionales y evidencia un sector "con importancia creciente". Según un estudio elaborado por el organismo, el sector suma ya un volumen de negocio de 1.473 millones de euros anuales, un 18,4% más que el año anterior, y se prevé que la facturación global en ciberseguridad crezca un 8% anual en los próximos cinco años, hasta los 272.000 millones de dólares. la obra en este ámbito. Cristina Pitarch, directora general EMEA de Google Cloud Security, lo describe en cifras: "El sector del cibercrimen mueve 3,5 billones de dólares; si se comparara como PIB de un país, sería el tercer país del mundo" Asimismo, asegura que "en Catalunya es un sector en crecimiento, hub tecnológico, se necesitan más profesionales del sector para defender a las empresas". La ciberseguridad es, también, "una oportunidad económica para cualquier país y empresa", apunta la directiva. "Hay una importancia muy grande en la confianza que emite una empresa cuando recibe un ciberataque", recuerda.

ciberseguridad a través de Minsait. El responsable de la Zona Nordeste de Minsait Cyber, Manel Garcia, explica que la ciberseguridad es un tema que apela a nuestra soberanía. hackers normales, sino de grandes grupos de delincuentes y también de guerras geopolíticas", apunta Garcia, al tiempo que coincide con Pitarch en que "estar protegido digitalmente añade una gran ventaja competitiva como empresa".

Un mundo de 'start-ups'

Más allá de las grandes empresas, cada vez hay más start-ups dedicadas al sector. Google for Startups, a través del programa Growth Academy, es un plantel de empresas emergentes en este ámbito. La responsable de Google for Startups, Sofía Benjumea, apunta que "hay que ayudar a aquellas empresas que están innovando en el sector, porque hay muchas áreas que pueden haber amenazas y las start-ups pueden ser una herramienta. Debemos unir fuerzas entre todos porque hay un mal común a combatir", dice Benjumea.

Por un lado, Qalea, una de las start-ups seleccionadas por Google, ha creado una plataforma de ciberseguridad para medianas empresas, que simplifica la gestión de la seguridad unificando diversas tecnologías de protección en una única interfaz. Aprovechando la IA y grandes modelos lingüísticos, Qalea automatiza los procesos de seguridad. Su fundador, Olmo Rayón, explica que su misión es "democratizar la ciberseguridad" a través de la IA: "Los atacantes ponen una cantidad de recursos proporcionales a lo que pueden extraer; yo digo que un sistema está bien protegido cuando va a costar más entrar que lo que puedes quitar", simplifica.

"Qalea nació en Barcelona con la visión de que las empresas deben gastarse mucho dinero para estar bien protegidas, y quería democratizar esto. Hay muchos elementos en la ciberseguridad empresarial que se pueden repetir y automatizar. Hay que protegerse lo suficientemente bien para que ya no seas atractivo para los atacantes, al tiempo que cumplir la regula." Por su parte, Maria Taberna, fundadora de Steryon, también catalana y seleccionada por Google, se centra en el mundo de la ciberseguridad industrial: es una plataforma de ciberresiliencia y gestión de riesgos para empresas industriales, principalmente infraestructuras críticas como energéticas, hospitales, etc.

"En la industria, el objetivo número uno es que no pare la actividad", explica Taberna. "Con nuestra plataforma nos conectamos a todos los elementos que tienen en sus plantas ya toda la inteligencia que hay fuera, y les damos monitorización activa y visión de riesgo. De esta forma, si entra uno malware, tenemos la capacidad de ser el ojo que lo ve todo. Nuestro lema es que no sólo hay ciberriesgo, sino que es un riesgo de negocio", explica Taberna. Según dice, a menudo las industrias son más fáciles de atacar porque hay maquinaria anticuada, y apunta que "el 90% de ataques en infraestructuras críticas pasan por un ransomware que se cuela en una infraestructura industrial".

Errores humanos y datos sanitarios

Todos los expertos consultados aseguran que la mayor parte de los ciberataques provienen de errores humanos. "El eslabón más vulnerable siempre es la persona, a través de lo conocido phishing", apunta Manel Garcia. Rayón (Qalea), explica que, generalmente, "la primera puerta de entrada de un ciberataque es a través de los empleados", y luego con la IA, "que ha abaratado mucho la generación de sistemas automatizados para entrar por las rendijas", apunta.

conseguimos que buena parte del fraude no se materialice –dice el directivo de Indra–, porque tienen una temporalidad, se puede cancelar la tarjeta o hacer algo. Sin embargo, los datos médicos tienen validez siempre, incluso más allá de la vida, y se pueden utilizar para hacer medicamentos, estudios... Son muy jugosos", dice.

Con todo, el futuro nos ofrece nuevas amenazas. Las tecnologías cuánticas –también previstas en el plan del Gobierno– son una de ellas, por el hecho de que puede suponer para el cifra. para "conseguir que las comunicaciones que se producen tengan un nivel de cifrado cuántico", al tiempo que se está "empezando a trabajar con entidades gubernamentales y financieras para aumentar claves para cifrar la información", explica Garcia. ciberseguridad "es el ámbito profesional con mayor escasez con mucha diferencia". 2023 eran 962. En cuanto al número de ofertas de trabajo, hemos pasado de 420 en 2018 a 1.095 en 2023. Como reto de país, Arrufí considera que "hay que conseguir que la ciberseguridad sea familiar ya desde la escuela"

Conciencia

Pese a que se haya avanzado en concienciación, "aún queda camino por hacer", explican los expertos. "La industria es mucho más consciente que hace unos años, pero todavía falta que los líderes de las compañías prioricen este tema; la empresa industrial sigue dedicando más importancia a proteger la parte IT (ordenadores, soportes) que a las plantas industriales", dice Taberna.

Además, "las personas a menudo somos inconscientes y poco cuidadosas a la hora de aceptar ciertas condiciones, como las cookies", apunta Garcia, que recuerda el caso de la gente haciendo cola para escanearse los iris a cambio de criptomonedas. "Un mal uso de estos datos biométricos es muy peligroso", dice. Con todo, todos los profesionales consultados coinciden con una conclusión: "Nunca se está suficientemente preparado. Estamos en el buen camino, pero hay mucho trabajo por hacer".