

Secciones
Servicios
Destacamos
Sábado, 1 de febrero 2025, 08:39
Los ponentes del Foro de Empresas y Profesionales avisan de que la Inteligencia Artificial ha simplificado procesos, pero también ha propiciado nuevas amenazas que hacen necesarias medidas de protección
Josep Albors Responsable de Investigación y Concienciación de ESET España
La irrupción de la Inteligencia Artificial (IA) en la vida diaria ha supuesto algunos cambios, principalmente, en la agilización de procesos. Sin embargo, como explicó en su charla Josep Albors, responsable de Investigación y Concienciación de ESET España, «también los ciberdelincuentes han aprendido a manejar la IA para descifrar códigos».
Albors tituló su ponencia 'Poniendo en valor la inteligencia de las amenazas en la era de la IA', y recordó que «la inteligencia artificial es una herramienta muy beneficiosa, pero que también se puede hacer un uso muy malicioso de ella, porque ofrece grandes posibilidades... también a los ciberdelincuentes».
En este sentido, Albors detalló que los delincuentes usan la Inteligencia Artificial «para descifrar códigos. Es algo que no es nuevo, porque lo han venido haciendo desde hace tiempo, pero ahora lo consiguen mucho más rápido. Con ellos se apoderan de credenciales que luego venden a otras empresas», comentó, aunque también avisó de que «no es fácil crear códigos maliciosos. No lo puede hacer tan fácilmente la IA. Se necesitan técnicas de programación porque se topan con barreras y obstáculos, que no son fáciles de salvar».
Pese a ello, Albors sí que advirtió que donde le resulta realmente útil la IA a los ciberdelincuentes es a la hora de desarrollar 'ganchos' que conducen a las amenazas. Llegan como extensiones del navegador o como falsos instaladores, y luego cada vez cobra más relevancia el denominado 'timo del CEO' en el que se suplanta la personalidad de alguien 'importante' y conocido y a través de mensajes, audios o incluso videollamadas (por el robo de datos biométricos) se solicitan datos o hasta trasferencias monetarias a una cuenta.
Diego Coca Especialista en ciberseguridad y Sales Engineer en Arrow
Los nuevos desafíos obligan a una protección completa de toda la superficie ante un ataque informático, no solo lo que guarda relación con la IT (tecnología de la información), sino también de las referidas a tecnologías operacionales (OT), que usan hardware y software para el control de tareas y equipos. Diego Coca, especialista de ciberseguridad y Sales Engineer en Arrow, se centró en una de las plataformas orientada a la gestión de exposición tanto de la parte IT como de la OT, Tenable OT Security, que permite identificar el tipo de ataques que pueden llegar y, con ello, dar respuesta y tratar de adelantarse.
Coca abordó el marco de seguridad de esta herramienta. «Por un lado descubrir todos los activos, porque no puedo proteger aquello que no puedo ver»; por otro, evaluar y tener controlada la configuración de estos activos; asimismo, «auditar y securizar estos entornos detectando la superficie de ataque de estos activos, observando los riesgos que puede tener cada activo y qué impacto real puede tener en nuestra compañía. Todo ello se mide y se plasman en unos reportes».
Habló, asimismo, de alguna de las funcionalidades de Tenable OT Security, como la vigilancia pasiva, «con mecanismos que no sean invasivos para nuestro entorno». Obviamente, se priorizan las vulnerabilidades, para cubrir primero las que puedan hacer más daño. Amenazas, reconoce, existen en muchos entornos y «cada día van evolucionando; la idea es que con esta tecnología se puedan detectar aquellas que te están intentando atacar para que tú puedas responder».
Fernando Garrido Director del Área Programas Públicos de EOI
Fernando Garrido, director del Área Programas Públicos de EOI (Escuela de Organización Industrial), reconoce que «estamos en un momento de abundancia, donde existen múltiples recursos a disposición de las empresas para ayudar a solventar sus inquietudes», incluidas las que tienen que ver con el ámbito de la ciberseguridad.
Pese a ser ellos una escuela de negocios, no se dedican a formarles en esta materia, sino que se han rodeado «de un ecosistema de entidades privadas y públicas que son las que van a desarrollar este tipo de actuaciones». Son programas completamente gratuitos, al estar dentro del Plan de Recuperación, Transformación y Resiliencia. «Son fondos de la Unión Europea que hemos canalizado en estas formaciones».
Uno de ellos es Activa Ciberseguridad, que se engloba dentro de otros programas Activa y cuyo objetivo es dotar de instrumentos a las pymes para ser más competitivas. «Es un asesoramiento especializado y personalizado para que tengan un análisis de su situación actual en materia de ciberseguridad», además de elaborar un Plan de Ciberseguridad específico. Por medio de este programa se incide en la situación de la empresa, en sus riesgos y vulnerabilidades «y a partir de ahí construir un plan de choque con medidas concretas que no financiamos; es decir, les aconsejamos adquirir una tecnología, parchear un sistema..., pero no entramos en financiar, por ejemplo, la cobertura de esos riesgos».
Tiene un mínimo de horas de asesoramiento, con una duración estimada de 4 o 5 meses y con varias etapas. «Tenemos el objetivo de impactar a 4.500 pymes, sin limitación por su tamaño». La cuantía de la ayuda asciende a 2.200 euros +IVA y podrán solicitarse hasta final de 2025 o se agote el crédito.
Jesús Martínez COO de ABF Ciberseguridad
Activa Ciberseguridad no fue el único programa que se destacó en este segundo foro que se celebró en el Espacio Lagares. Jesús Martínez, COO de ABF Ciberseguridad, fue el encargado de hablar de Kit Consulting, cuyo objetivo también es el del asesoramiento –las empresas que ya se han beneficiado de este último pueden acceder a Activa Ciberseguridad, pero no al revés–.
«A diferencia del Kit Digital, no se puede comprar nada físico, sino que lo que se hace es contratar a una consultora, que esté adherida a este programa». Esa consultoría no está exclusivamente dedicada a la ciberseguridad, pero en su píldora Jesús Martínez se ciñó a este ámbito y desarrolló su servicio de asesoramiento básico y avanzado.
«Es un programa que se abre hasta el 31 de mayo a cualquier tipo de pyme y de sector, pero deberá tener una plantilla de entre diez y 250 empleados» y dependiendo del tamaño, la cuantía que recibe es diferente. Esta ayuda se divide en bonos, cada uno de ellos de 6.000 euros, y la empresa solo debe pagar el IVA.
En cuanto al servicio de asesoramiento en ciberseguridad básica, comentó que los programas tienen una duración de tres meses y durante ese periodo se llevan a cabo actuaciones como la realización de un análisis de vulnerabilidades, la elaboración de un plan de protección del negocio y de continuidad y se establecen las medidas para el cumplimiento de la RGPD.
En el de ciberseguridad avanzada, entre otras actividades, se hace la evaluación de vulnerabilidades, un plan de concienciación para empleados, se elaboran las políticas de seguridad y se establecen procedimientos de vigilancia activa. «No se puede solicitar este bono si no se ha hecho el básico y una vez concedido tienen tres meses para usarlo», matiza.
Laura Urbieta Responsable de Innovación y Tecnología de la FER
La nueva normativa europea en ciberseguridad, la directiva NIS2, surge como respuesta ante los retos actuales en ese ámbito y como actualización de las medidas establecidas en la NIS1. Pese a que se aprobó formalmente en noviembre de 2022, Laura Urbieta, responsable de Innovación y Tecnología de la Federación de Empresas de La Rioja y secretaria general de AERTIC, ha recordado que no ha sido hasta este 14 de enero cuando el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad «para trasponer a nuestro país esta directiva. Ahora mismo se encuentra en tramitación urgente».
Entre las novedades principales destacan la ampliación de los sectores a los que implica la ley –se han incluido dos anexos en donde se tipifican–, subraya Urbieta. La NIS2 aplica a entidades públicas y privadas que sean mediana o grandes empresas y las distingue como esenciales e importantes.
Igualmente, establece una serie de sanciones, «en el caso de que haya incumplimientos o incidentes», establece una obligación de notificar incidentes relevantes de ciberseguridad con impacto significativo al CSIRT o autoridad competente correspondiente y recoge la formación a gestores sobre los riesgos de ciberseguridad; «son los gestores de las empresas los responsables últimos de los riesgos y las incidencias que tenga la organización». El personal y los directivos deberán recibir formaciones en materia de ciberseguridad.
Además, en el anteproyecto de ley se indica que se crea el Centro Nacional de Ciberseguridad.
José Valiente Director general del CCI, Centro de Ciberseguridad Industrial
«Cuando una organización intenta llevar a cabo una red de ciberseguridad en su empresa, lo que intenta es perder el menor tiempo y cumplir la normativa», asegura el director general del Centro de Ciberseguridad Industrial, José Valiente, quien reconoce que cada vez «tenemos más sistemas IoT». Valiente quiso desarrollar su ponencia sobre las 'Claves y lecciones preparando un Plan de Ciberseguridad Industrial' de forma interactiva.
Y para ello presentó ante los asistentes una empresa ficticia dedicada a la fabricación de impresoras 3D. En función de cómo sea la organización, admitió, se abordará la ciberseguridad «de una manera u otra; no se puede aplicar el mismo modelo a todas». Y para aplicarla correctamente «hay que conocer muy bien el contexto».
Valiente ahondó en las características de esa fábrica ficticia para que los presentes tuvieran la información necesaria para poder trazar un plan de protección ante un ciberataque. Para ello, con un presupuesto también imaginario se 'gamificó' la elaboración de un plan de ciberseguridad. Y aportó claves para llevarlo a cabo: identificar los procesos de negocio y evaluar el riesgo de los mismos o fijar medidas acompañadas de un presupuesto.
«Los atacantes suelen intentar acceder por donde tienen una conexión más fácil», recordó. Redujo a doce las medidas que podrían aplicar para que priorizasen e insistió en que la evaluación de riesgos debe servir para concienciar «y no debe hacerse sin que estén los responsables del proceso, porque así serán conscientes de la importancia de la ciberseguridad». El juego sirvió para conocer los pasos que siguen los atacantes, ahondar en la relevancia de la formación y apostar por incrementar la segmentación de la red para limitar el movimiento lateral de los atacantes.
Publicidad
Publicidad
Te puede interesar
Circula sin dos ruedas, en sentido contrario y triplica la tasa de alcohol
El Norte de Castilla
Publicidad
Publicidad
Favoritos de los suscriptores
Destacados
Esta funcionalidad es exclusiva para suscriptores.
Reporta un error en esta noticia
Comentar es una ventaja exclusiva para suscriptores
¿Ya eres suscriptor?
Inicia sesiónNecesitas ser suscriptor para poder votar.