10 de Octubre de 2017Deepak Daswani es ingeniero superior en informática (ULL), experto en ciberseguridad, conferenciante y colaborador fijo de medios de comunicación. Ha ejercido como Security Evangelist de INCIBE, CERT del Gobierno de España y ejerce como experto en ciberseguridad de la Firma multinacional Deloitte.
¿Qué nota le pondría a la industria en general sobre el nivel de protección de su información?
Tradicionalmente, la seguridad no ha sido algo de lo que la industria en general o las empresas en particular se hayan preocupado mucho. Se trataba de un activo intangible, que sólo adquiría relevancia cuando algo pasaba. Con el paso del tiempo, todo esto ha ido evolucionando. Las organizaciones, fabricantes y todo el conglomerado de actores que forman parte del ecosistema han comenzado a darse cuenta de que todo esto es real, de que los incidentes ocurren sí o sí, que cada semana leemos en medios generalistas noticias relacionadas con diversos tipos de ciberataques y de que es necesario estar preparado para hacer frente a las amenazas a las que nos exponemos. Hoy día ya son unas cuantas las empresas que han ido adquiriendo un nivel de madurez considerable en materia de ciberseguridad, si bien aún nos queda mucho trabajo por hacer.
¿Dónde cree que están los principales riesgos?
Existen muchos tipos de riesgos a los que nos exponemos. Algunos que nos afectan a todos por ser simples usuarios de la tecnología, y otros más específicos del tipo de colectivo u organización de la que estemos hablando, de la actividad que realiza , el sector profesional al que pertenece.. El riesgo más grande al que una organización se enfrenta es al de la quiebra y desaparición total a causa de un ciberataque. Obvia y afortunadamente esto no siempre es así y tampoco es algo que sea tan sencillo, pero en el peor de los casos esta podría ser la consecuencia. Hemos visto ejemplos de organizaciones que jamás han podido recuperarse de los efectos de un ciberataque y han acabado por extinguirse.
Más allá de esto, a día de hoy uno de los mayores peligros es detectar que estamos siendo atacados. Cuando somos víctimas de ataques masivos como los famosos ransomware a los que nos hemos acostumbrado, somos conscientes de que nuestra información y servicios corren peligro. Si no hemos gestionado bien nuestras copias de seguridad, en algunos casos no queda más remedio que acceder a la extorsión de los ciberdelincuentes para poder recuperar la información. Este esquema de ataque es uno de los más habituales a día de hoy y tiene un impacto terrible. Pero aún lo es más, cuando alguien está infiltrado en nuestra red robándonos información y no somos capaces de detectarlo. Hay muchísimos ejemplos de este tipo de ataques sofisticados que en el mundo de la seguridad llamamos APTs. Sin duda alguna este es uno de los mayores riesgos a los que las organizaciones se exponen.
¿Cuáles son las principales recomendaciones que haría a una empresa que empieza a analizar la forma sobre como conectar sus máquinas?
Las recomendaciones pasan por incluir la seguridad en el diseño de la solución adoptada para conectar dichas máquinas. En primer lugar se debe de hacer un análisis exhaustivo de los riesgos a los que el sistema estaría expuesto. A partir de aquí, se trata de llegar a un equilibrio entre el riesgo máximo que la organización puede tolerar y la inversión que se ha de acometer para el diseño de un sistema seguro. A la hora de diseñar la solución, es necesario analizar el entorno, los diferentes elementos del sistema a interconectar, identificar puntos críticos para aislarlos al máximo, clasificar la información en niveles de criticidad… Y por supuesto, contar con un plan de respuesta a incidentes. A día de hoy, las organizaciones asumen que van a ser atacadas sí o sí y que en algún momento algo puede pasar. Es por eso que se ha de desarrollar una hoja de ruta que tener para hacer frente a los incidentes cuando estos ocurran. De cara a intentar que el impacto de un posible ataque sobre la organización sea mínimo , que se recupere la operatividad lo antes posible, que no se pierda información sensible, que no caigan servicios críticos…
Del mismo modo, a la hora de hablar de equilibrio también se ha de pensar entre seguridad y usabilidad. Se pueden hacer sistemas muy seguros pero que cuenten con tantas medidas que sean tediosos de utilizar y en la práctica ralenticen la operatividad de una compañía. Del mismo modo, se pueden crear sistemas orientados a maximizar la usabilidad de sus usuarios en detrimento de la seguridad, lo cual podría redundar en un nivel elevado de riesgo inaudible para la organización. La cibeseguridad es un proceso continuo de desarrollo que no se alcanza de un día para otro y que requiere de la cooperación de todos para poder evolucionar.
Si te ha parecido interesante la entrevista, no pierdas la oportunidad de ver su ponencia en el Congreso de Fabricacion Avanzada y Máquinas-herramienta.
Suscríbete a nuestro boletín.