Fue en el último evento organizado en Valencia por ISMS Forum donde Javier Candau, Subdirector del CCN (Centro Criptológico Nacional), afirmó categóricamente que "donde ahora se tiene que gastar el dinero, es en Ciberseguridad".
Según esgrime Candau: "España (se entiende que los organismos públicos oficiales) han recibido 1600 cibertaques, de los cuales 90 han sido de riesgo muy alto y 8 muy críticos", supongo que con pérdidas de información sensible. "España tiene que pasar de la defensa al ataque… para batir a nuestros enemigos la ciberdelincuencia, ciberterrorismo y ciberespionaje, así como el hacking político (anonymous)"
Cuando leí estas declaraciones en Nacionred me quedé francamente sorprendido. En el resto del articulo, el autor piensa en voz alta sobre las cantidades invertidas en proyectos de ciberdefensa como Indect para la monitorización y vigilancia en redes sociales, así como contratos millonarios a empresas privadas de seguridad.
Para empezar, entiendo y apoyo perfectamente que para la ciberseguridad, haya que INVERTIR dinero. El concepto de "gasto", quizá suene demasiado agresivo. Cuando compras un coche, si tienes la oportunidad de pedir como extra un dispositivo que refuerce la seguridad de los ocupantes, yo lo considero una inversión, más que un gasto: "Invierto en proteger mi vida, en vez de gastar en protegerla".
Aclarado este concepto, entiendo que haya que invertir dinero en disponer de mecanismos de protección, herramientas, auditorías de seguridad, planes de contingencia, políticas de procedimientos, etc,… para contar con niveles de seguridad extremos para la protección de la información sensible del Estado Español, y de sus ciudadanos, por parte de las Administraciones Públicas.
Lo que no atino a comprender es por qué un alto cargo del CCN habla de provisionar recursos para el ciberataque, aunque sea contando con empresas privadas. ¿A quién vamos a atacar? ¿Qué tiene en mente al respecto el CNI, la agencia de Inteligencia Española? Las empresas dedicadas a seguridad, lógicamente, disponen de personal especializado y experimentado en "hacking ético", para efectuar servicios de auditoría de empresas cliente que quieran evaluar, ya sea por cumplir una normativa o por verdadero interés, la seguridad de sus recursos expuestos, así como solucionar los problemas encontrados. En este caso el objetivo está claro: Contrato atacantes profesionales confiables para poder defenderme de otros atacantes desconocidos no-confiables.
Siempre me leeréis (y oiréis) decir que hay que estar preparados para cualquier contingencia, así como disponer de aquellos recursos necesarios acorde a una estrategia planificada pero, habiendo la crisis que hay en la economía española actualmente, ¿es prioritario invertir (o gastar, según los términos utilizados) grandes cantidades de dinero público en disponer de recursos para ciberatacar otras potencias?
Y ya puestos ¿No sería mejor formar un ciberejército digital, como hacía el gobierno del Tío Sam? Aún así, sea privado o un ciberejército estatal ¿Cómo nos puede proteger de ataques de Anonymous el reclutar un "ejército especializado en ataques"? ¿A quién va a atacar ese cuerpo de élite si no sabe quién le ataca? ¿Es lícito partir en dos los sistemas de un país desde el que te han llegado ataques, a modo de represalia?
Estoy de acuerdo que es deseable disponer de un ciberejército formado por los mejores hackers de España. Además, en el caso de que fueran parte de un Cuerpo de Profesionales de la Administración Pública, se crearían unos cuantos puestos de trabajo (que buena falta hace). Sin embargo, no veo la prisa ni la necesidad de atacar a nadie,… pero claro, es mi opinión.
En este caso, quizá la frase "La mejor defensa es un buen ataque" no sea lo más apropiado.
En este caso, quizá la frase "La mejor defensa es un buen ataque" no sea lo más apropiado.
