Predicciones de ciberseguridad para 2020
A menudo, cuando llegan estas fechas, nos encontramos con predicciones tecnológicas y proyecciones de tendencias que anticipan lo que ocurrirá a lo largo del próximo año. Desde All4Sec queremos plantear el ejercicio desde una perspectiva diferente. Nos proponemos hacer un análisis de lo que ha sido la actualidad general —nacional e internacional— pasada, y anticipar, en la medida de lo posible, por dónde se moverán los más intensos debates que tendrán a la ciberseguridad como punto de referencia.
Aquí van nuestras propuestas.
La balcanización de Internet
La geopolítica ha venido ejerciendo durante este último año un evidente influjo en las decisiones que afectaban a las selecciones tecnológicas de muchos países del mundo. Las luchas comerciales y las imposiciones arancelarias, cuando no incluso las prohibiciones, han convertido Internet en un entorno cuasi balcanizado en el que cada Estado ha adoptado sus propias medidas y legislaciones para proteger lo que consideran sus fronteras. Fronteras que no solo son geográficas sino también sociales, económicas o de telecomunicaciones. Las luchas comerciales entre EEUU y China han sido el denominador común en los últimos doce meses.
Recientemente descubríamos como el conocido como “Gran Cañón” —una herramienta para realizar ataques de DDoS— de la República Popular de China, había sido activado. Un sistema que permanece oculto tras una gran frontera cibernética —El Gran Firewall Chino— cuyo despliegue se ha desarrollado durante la última década y que ha permitido controlar y monitorizar los servicios de Internet dentro del país. A ambas potencias mundiales debemos ahora unir Rusia que actúa como algo más que un simple actor invitado. Las acusaciones de intromisión a través de redes sociales en determinados conflictos o decisiones supranacionales han sido constantes y recientemente nos desayunábamos con lo que algunos han denominado su nuevo sistema de desconexión de Internet.
Vamos camino de convertir el mapa de Internet en un nuevo escenario de conquistas y reconquistas en las que todos luchan por establecer su control. Es más que probable que en este nuevo año surjan nuevas muestras de esos desencuentros que darán lugar a nuevos retos de ciberseguridad. Solo pondremos dos ejemplos, las próximas elecciones norteamericanas y los futuros juegos olímpicos de Japón. Quizás sean buenas piedras de toque para analizar.
Los satélites como elementos de telecomunicaciones masivas
El espacio se está convirtiendo en el nuevo foco de interés para operadores tecnológicos y de comunicaciones. Incluso para gobiernos. Hace apenas unos días el presidente Donald Trump, consciente del escenario que se le venía encima, anunciaba la creación de una unidad especial con presupuesto asignado para la defensa del espacio. No en vano, desde hace años se viene hablando de las constelaciones de satélites de comunicaciones que compañías como Google, Amazon o SpaceX quieren poner en órbita. Miles de artefactos tecnológicos girando alrededor de la Tierra para conformar redes globales con las que ofrecer servicios de comunicaciones en los lugares más remotos. Posiblemente en 2020 veamos los primeros intentos por poner en marcha alguna de estas iniciativas y estamos seguros de que con ello se abrirá paso a nuevos desafíos de ciberseguridad que hasta ahora no hemos abordado.
El coche autónomo y su relación con el conductor como condición indispensable de seguridad
Cada día avanzamos más hacia la autonomía en la conducción de vehículos. El coche autónomo ha pasado de ser una simple prueba de laboratorio en un circuito cerrado, a compartir su presencia en carreteras, rodeado por vehículos dirigidos por personas. La coexistencia de ambos modelos de conducción está poniendo de actualidad la relación entre autonomía y conducción humana que anticipa problemas de ciberseguridad. Unos problemas que provienen no solo del libre albedrío del ser humano, sino también de los elementos que integran las decisiones que puede tomar un vehículo autónomo. Ambos, usuario final y dispositivos de control de vehículos, van camino de convertirse en más que posibles objetivos de la ciberdelincuencia. La alteración en uno de ellos traerá consigo problemas colectivos que deberán ser tratados adecuadamente. Es muy probable que en 2020 veamos nuevas formas de atentar con ellos, obligándonos a actuar de forma reactiva frente a amenazas que puedan poner en riesgo la circulación o incluso algo más que eso.
RGPD y PSD2, dos reglamentaciones en mantillas
En Europa, la reglamentación de protección de datos, RGPD, ya ha comenzado a dar muestras de que ha venido para quedarse. Las multas a compañías y organizaciones por deficiencias en el tratamiento de datos personales han comenzado a hacerse públicas. Las medidas de protección de datos frente a terceros se han convertido en indispensables; no solo contra el robo sino también contra ataques de ransomware que invaliden su uso. Alemania y el Reino Unido han sido los primeros en divulgar las sanciones que han impuesto. Pero a todas luces resultan escasas. Extraña que todavía haya muchos países de Europa cuyo mecanismo sancionador permanezca prácticamente sin estrenar. Posiblemente, 2020 será el año para hacerlo. Ello traerá consigo la activación de los servicios de ciberseguridad.
De forma análoga ocurre con la PSD2. La nueva normativa para las transacciones bancarias ha comenzado a enfrentar a la banca tradicional con los nuevos actores, las FinTechs, generando cruces de reproches en cuanto a cómo, unos y otros, contribuirán a la economía. Sin embargo, pocos son los que se han parado a pensar en el impacto que la nueva normativa traerá consigo en cuanto a la ciberseguridad: la gestión de la identidad, las autenticaciones robustas, el cifrado de la información o incluso la integridad de las transacciones serán elementos a tener en cuenta en 2020. Quién sabe si la mala praxis de alguno de estos actores hará saltar la noticia.
Las Cosas de Internet
La proliferación de dispositivos IoT en el mundo industrial y doméstico ha traído consigo un buen repertorio de noticias interesantes en relación a la ciberseguridad. La incorporación del diseño seguro en los nuevos dispositivos que incorporamos a la red de redes continúa siendo una asignatura pendiente. La domótica, la sensorización de los vehículos, los sistemas de monitorización y control… todos son elementos novedosos del mercado. Los asistentes de voz han sido quizás los que han copado la mayor parte de los titulares de los periódicos; desde aquellos que escuchaban lo que no debían a aquellos que eran vulnerables a nuevas modalidades de ataques basadas en técnicas avanzadas como la incorporación de sonidos inaudibles en elementos aparentemente inocuos, como música o mensajes de voz.
El mundo del IoT se ha apalancado en las nuevas redes de telecomunicaciones —por ejemplo, la futura 5G— y nos ha situado en una dimensión de la ciberseguridad en la que las fronteras parecen diluirse, obligándonos a plantear la seguridad desde otra perspectiva —Zero Trust. Estamos seguros de que no faltarán ejemplos de avances en los próximos doce meses.
Los MSP frente a la necesidad de expertos en ciberseguridad
Mucho se viene hablando de que los robots están sustituyendo las tareas rutinarias de nuestra industria. La automatización plantea un nuevo modelo laboral en el que la cualificación de las personas debe evolucionar hacia nuevos paradigmas. En el ámbito de la ciberseguridad, las técnicas de Inteligencia Artificial han comenzado a formar parte de las múltiples aproximaciones que el mercado está incorporando. Una aproximación que está siendo seguida por los modernos MSP o Gestores de Ciberseguridad.
Sin embargo, aún estamos lejos de conseguir un modelo plenamente automatizado. Antes, al contrario, los ciberdelincuentes se han dado cuenta de que también estos gestores de ciberseguridad pueden ser víctimas de sus ataques y que en caso de tener éxito podrían tener acceso a las infraestructuras de sus clientes. Nada excluye pues que los MSP se conviertan en objetivos prioritarios. Y es que cada día resulta más evidente la escasez de recursos cualificados que permitan abordar los retos que la ciberseguridad plantea. La necesidad de personal con conocimientos en protección de infraestructuras o información sigue y sigue creciendo.
El WEF —World Economic Forum— ya alertó sobre este problema en 2017 y algunas consultoras estiman que tendremos un déficit de personal cualificado de más de tres millones de trabajadores antes de que acabe el próximo año. Habrá que mantenerse alerta frente a esta debilidad del mercado.
A vueltas con la sensibilización de usuarios
La concienciación de los usuarios sigue siendo el caballo de batalla de toda organización a la hora de articular la ciberseguridad de sus infraestructuras. A pocas personas se les escapa ya lo que significan conceptos como el phishing o el shadow IT. Sin embargo, continuamos aceptando correos de orígenes desconocidos —algunos estudios calculan que el 97% de los usuarios no somos capaces de identificar un correo de phishing— o instalando aplicaciones fuera del control de las organizaciones. Y con ello se generan evidentes problemas de seguridad.
Los casos de malware propagados a través de cualquiera de estos medios son incontables. Pues bien, es casi seguro que una vez más tendremos que enfrentarnos a la misma realidad de siempre. Una realidad que convierte al usuario en el eslabón más débil de la cadena. Nadie se atrevería a negar que en 2020 nos volveremos a encontrar con los mismos titulares que muestren la débil concienciación de nuestros usuarios.
Y más…
Y así podríamos continuar dentro del extenso conjunto de conceptos clave de ciberseguridad que dominan Internet: Nube, Big data, Inteligencia Artificial, Gestión de Identidad, Blockchain, Deep Learning, Autenticación, SIEM, EPP, Firewall, CASB, cifrado… Una lista de términos que no deja de crecer. Quizás la longitud de esa lista sea una buena medida de la complejidad a la que nos enfrentamos.
