• Javier Larrea, administrador de sistemas en Gadisa

    La seguridad debe de dejar de considerarse como un proyecto y pasar a formar parte de todos los proyectos de la empresa.

    En los últimos 25 años, el panorama de ciberamenazas ha cambiado mucho más rápido de lo que nadie podía imaginar. En su opinión, ¿cuáles son los principales retos actuales para la industria de la ciberseguridad en España?

    La sociedad española actualmente tiene una conciencia vaga de lo que suponen los peligros de la red. Si bien todo el mundo entiende de forma general que existe la posibilidad de que se comenta un fraude con tarjetas bancarias por ejemplo, cuesta encontrar alguien que tenga interiorizado el hecho de que el acceso a la información personal supone un riesgo directo. Cuestiones como la protección de datos personales, y muy especialmente entre las capas más jóvenes de la población las consecuencias de la exposición en redes sociales son cuestiones que aún están lejos de ser asumidas como riesgos potenciales.

    A nivel industrial y empresarial en general, mi opinión es que todavía no se ha asumido la importancia de la figura del CISO o responsable de seguridad. Debería de ser una figura independiente y con un nivel de comité de dirección es decir, con capacidad de decisión sobre toda la organización, y por ahora en muchos casos es un puesto meramente técnico. La mayoría de empresas ven la seguridad como producto o servicio por el que se paga y con esto están protegidos, pero la seguridad más que un producto, es un proceso de mejora continua, que evidentemente tiene un componente técnico, pero también normativo, de formación, de concienciación, etc. y que debería de ser parte intrínseca del diseño de cualquier proyecto empresarial o industrial. Desde mi punto de vista, no tiene sentido una iniciativa empresarial que no comience con una evaluación de los riesgos, incluidos los relacionados con la información, ya que en ocasiones nos encontraremos que ideas que como concepto puramente de negocio pueden tener sentido pero una vez que se evalúan desde la óptica de la seguridad, es imposible llevarlas a la práctica de manera correcta.

    Nada más declararse la guerra entre Rusia y Ucrania, las autoridades nacionales recomendaron, de forma preventiva, apagar todos los ordenadores de la administración pública cuyo funcionamiento no fuera imprescindible. ¿Cuáles son las ciberamenazas más preocupantes en este contexto para la industria nacional y sus infraestructuras críticas?

    Está claro que en un momento como el que estamos viviendo, existe una amenaza latente contra las infraestructuras que tienen una base tecnológica. Durante años hemos leído noticias relativas a ataques sufridos por sistemas industriales del máximo nivel como las plantas nucleares en Irán o el oleoducto de Colonial en Estado Unidos. Visto este panorama y siendo como es Rusia uno de los actores más importantes, sino el principal, dentro del panorama de las ciberamenazas globales, está claro que su interés estratégico siempre ha estado en mantener un cierto grado de inestabilidad en los países que percibe como potenciales rivales (por ejemplo los de la órbita de la Unión Europea/OTAN) que favorezca sus objetivos. Por tanto en esta situación parece claro que el riesgo existe, y que debería de tomarse en serio.

    Ante la evolución de los sistemas industriales y su longevidad, es imprescindible realizar análisis periódicos, no minusvalorar las posibles vulnerabilidades y tomar medidas de protección ya que muchos de ellos, son anteriores a la era de las interconexiones globales y por tanto no estaban diseñados para protegerse de las amenazas que suponen estas conexiones. Identificar una amenaza concreta no es posible, pero si identificar un riesgo y es la falta de concienciación sobre los riesgos que suponen las potíticas, diseños y sistemas más antiguos, que suelen ser el blanco más probable de un intento de agresión externo.

    Entonces, ¿Qué recomendaciones hace a las empresas industriales para protegerse considerando en este escenario bélico, que se suma a los desafíos que ya estaba planteando la COVID?

    Está claro que la medida más importante es contar con profesionales, que sepan hacer una evaluación de las infraestructuras existentes y plantear las mejoras oportunas como ya dije antes, en un proceso de mejora continua. La seguridad debe de dejar de considerarse como un proyecto y pasar a formar parte de todos los proyectos de la empresa. Y el conocimiento es la herramienta más eficaz. Existen grandes profesionales y buenos productos en el mundo de la seguridad, lo que hay que hacer es apostar decididamente por ellos y escuchar sus consejos. Realizar evaluaciones periódicas de cara a conocer nuestro grado de exposición e invertir lo que sea necesario, sobre todo en talento.

    Por otra parte, los servicios en la nube y los nuevos modelos de relación laboral no pueden suponer un nuevo vector de ataque para los sistemas de la empresa. A veces se valora solamente la inversión en infraestructura tecnológica como tal frente a la transformación de inversión en gasto, sin entrar a considerar que los riesgos no son distintos por apoyarse en un gigante tecnológico para proporcionarnos una infraestructura, que los que asumimos cuando la infraestructura está en nuestras propias instalaciones. Debemos de aplicar al menos las mismas políticas y principios a las infraestructuras propias que a las que están alojadas en nube. Al final el modelo de la nube frente al despliegue de infraestructura propia es más un modelo financiero que tecnológico, pero los servicios que llevamos a una u otra plataforma, precisan del mismo grado de protección y resiliencia, y esto no es algo intrínseco al modelo de despligue.

    ¿Cómo se encuentra, en su opinión, el mercado laboral en lo que respecta a ciberseguridad? ¿Hay demanda de estos expertos?

    El mercado laboral de la ciberseguridad está en un momento de explosión. Los ataque sufridos por infraestructuras y grandes corporaciones, han despertado la conciencia de las empresas en cuanto al peligro que supone la falta de protección. La demanda de profesionales se ha disparado hasta tal punto que se estima que hay más del doble de puestos por cubrir que oferta de personal cualificado. Se están haciendo grandes esfuerzos en las empresas en la captación de talento y la perspectiva es que en los próximos años esta tendencia va a aumentar la oferta de puestos relacionados con estas áreas, no sólo puestos tecnológicos, sino también para áreas jurídicas, organizativas y de auditoría relacionadas con la gestíon del riesgo y protección de la información

    ¿Qué puede aportar a un profesional industrial un título de Especialista en Ciberseguridad Industrial como el que ofrece la Universidad de Vigo?

    Hasta hace unos años, los sistemas de IT y OT estaban aislados, eran mundos totalmente independientes, pero cada vez más la convergencia e integración entre ambos es un hecho. Con el grado de interconexión y dependencia mutua entre ambos, no es posible concebir un entorno en el que esta relación no exista y por tanto es imprescindible que los profesionales del ámbito industrial sean capaces de hablar en el mismo idioma en cuanto a seguridad que los profesionales de los sistemas de información más tradicionales, con sus especificidades pero desde una óptica común.

    Los diseños deben de contar con el factor de la seguridad desde la base y por tanto los profesionales que los desarrollen han de tener esta formación totalmente interiorizada cuando se enfrentan al reto de idear o mantener un sistema industrial. Por tanto disponer de una formación adecuada como la que ofrece este título, es la base que les puede llevar a alcanzar el éxito en sus proyectos.

     

  • Iago Fortes, founder & CEO de InprOTech

    La ciberguerra ya existe desde hace muchos años, si bien con la guerra en Ucrania se ha intensificado especialmente para Europa

    En los últimos 25 años, el panorama de ciberamenazas ha cambiado mucho más rápido de lo que nadie podía imaginar. En su opinión, ¿cuáles son los principales retos actuales para la industria de la ciberseguridad en España?

    En general la concienciación de la sociedad y de la población siempre es menor de la necesaria o de la deseable, pero en ciberseguridad en España hemos estado especialmente atrás respecto a otros países más avanzados en este terreno como podría ser Estados Unidos o también Reino Unido aunque a cierta distancia. Habiendo llegado en España a un nivel de concienciación en ciberseguridad bastante alto, nos ha quedado por el camino el ámbito industrial. En mi propia experiencia y contando más mi caso en el ámbito de Galicia, entre 2010 -cuando fundé mi empresa: Inprosec- y 2013 tuvimos 3 clientes solamente en los que hicimos algún trabajo, normalmente de auditoría y siempre se era muy reactivo. Desde hace unos pocos años (2018) que hemos entrado en el ámbito industrial, nos encontramos un panorama muy similar.

    Nada más declararse la guerra entre Rusia y Ucrania, las autoridades nacionales recomendaron, de forma preventiva, apagar todos los ordenadores de la administración pública cuyo funcionamiento no sea imprescindible. ¿Cuáles son las ciberamenazas más preocupantes en este contexto para la industria nacional y sus infraestructuras críticas?

    Empiezo por mi opinión personal (pero profesional) sobre el propio enunciado, ya que efectivamente si no necesitamos un sistema o activo de información, lo mejor que podemos hacer es prescindir de él, pero apagar los sistemas no es un solución frente a los riesgos de ciberseguridad, en general. La ciberguerra ya existe desde hace muchos años, si bien con la guerra en Ucrania se ha intensificado especialmente para Europa, incluyendo a España, pero especialmente se ha hecho mucho más visible. El hecho de que haya recursos concretos afectados (como son las reservas energéticas o la propia producción de energía) supone que sean un objetivo mucho más interesante y probable. Por supuesto, cualquier otra infraestructura directamente relacionada con la guerra, como pueden ser las instalaciones y sistemas militares siempre serán activos críticos a proteger.

    Entonces, ¿Qué recomendaciones hace a las empresas industriales para protegerse considerando en este escenario bélico, que se suma a los desafíos que ya estaba planteando la COVID?

    Aunque el contexto actual sea especialmente particular y sí tiene impacto adicional en ciertos sectores y ciertas industrias, en mi opinión las recomendaciones son esencialmente las mismas que siempre. Ahora hay que aprovechar el momento para tomárnoslas más en serio. Suelo utilizar mucho la analogía con la medicina y en nuestro caso, desde Inprosec, pero por mi parte a nivel particular y personal siempre hacemos una recomendación de abordar los riesgos de información y de ciberseguridad de manera proactiva y gestionada siempre buscando la prevención y el control preventivo, que las estrategias reactivas. En general y especialmente a largo plazo son mucho más eficaces, efectivas y eficientes; con una mejor relación coste/inversión VS beneficio. En concreto, una organización industrial debería empezar por identificar su procesos críticos y derivados de los mimos identificar sus sistemas y activos críticos que soportan esos procesos. Ahí es donde se deben enfocar los primeros esfuerzos para gestionar y proteger esos activos lo mejor posible, de manera eficiente y ponderada.

    ¿Cómo se encuentra, en su opinión, el mercado laboral en lo que respecta a ciberseguridad? ¿Hay demanda de estos expertos?

    Existe una brecha enorme entre la demanda por parte de las empresas (tanto clientes finales como consultoras) y la disponibilidad de perfiles cualificados tanto en formación como en experiencia, pero especialmente en este segundo punto. Actualmente tenemos dificultades muy grandes para contratar todo el personal necesario para auditoría y consultoría de ciberseguridad y especialmente con experiencia en ciberseguridad industrial. Se estima un déficit en España de más de 30.000 profesionales solo este año y mayor aun durante varios años.

    ¿Qué puede aportar a un profesional industrial un título de Especialista en Ciberseguridad Industrial como el que ofrece la Universidad de Vigo?

    Precisamente en relación a la falta de profesionales, y en concreto en el ámbito de la ciberseguridad industrial, el título ECSI es una apuesta muy importante y necesaria para colaborar y apoyar ese desarrollo de profesionales especializados en ese ámbito. Me consta además que la formación combina acertadamente los contenidos más teóricos con una parte más práctica que es necesaria para acercarnos a ámbitos más realistas y cercanos a lo que nos vamos a encontrar en el mundo profesional y real. Sin embargo, será a base de concienciación y de la apuesta por parte de las empresas y organizaciones consumidoras (demandantes) para que cuenten con incorporar a estos profesionales en plantilla y apoyarlos con los recursos económicos necesarios para que las empresas integren la ciberseguridad dentro de la gestión diaria de sus procesos, para poder no solo ser más competitivas, sino para permitir y garantizar su subsistencia.

  • Pablo Casal Rey, soporte técnico de la División Industrial de DIGAMEL

    Muchos de los incidentes, que no ataques de ciberseguridad, son desde dentro de la propia empresa. Y no siempre de forma voluntaria.

    En los últimos 25 años, el panorama de ciberamenazas ha cambiado mucho más rápido de lo que nadie podía imaginar. En su opinión, ¿cuáles son los principales retos actuales para la industria de la ciberseguridad en España?

    En mi opinión, aunque cada vez se toma más conciencia a todos los niveles de las amenazas que conlleva el mero uso de la red, sigue sin calar la idea de que la primera barrera para evitar que esas amenazas son las personas, y que el buen uso de la red, el conocimiento y cumplimiento de unas reglas básicas son fundamentales para que esas amenazas no acaben convirtiéndose en incidentes reales. Sigue existiendo la falsa sensación de que todo depende de herramientas tecnológicas que nos protejan.

    En el caso específico de la industria el principal problema es precisamente de concienciación y de asumir que las instalaciones ya no están aisladas, si no que forman parte activa de la red, a través de la cual reciben y envían cada vez un mayor número de datos, y que por lo tanto corren los mismos riesgos que desde hace tiempo se vienen teniendo en cuenta en la parte IT de esas instalaciones.

    Nada más declararse la guerra entre Rusia y Ucrania, las autoridades nacionales recomendaron, de forma preventiva, apagar todos los ordenadores de la administración pública cuyo funcionamiento no sea imprescindible. ¿Cuáles son las ciberamenazas más preocupantes en este contexto para la industria nacional y sus infraestructuras críticas?

    La falta de concienciación de la que hablaba anteriormente es la que hace que muchas instalaciones industriales y en menor medida las infraestructuras críticas, todavía no estén preparadas para afrontar un escenario como el actual.

    Hoy en día, tanto la industria nacional como las infraestructuras críticas se encuentran en un ecosistema altamente digitalizado y cada día se enfrentan a ransomware más efectivos, a un aumento del phishing corporativo, a malware diseñados a medida y a otros ataques desde el exterior y también desde el interior, muchas veces realizados de forma intencionada pero otras muchas no. No solo hay que centrarse en Hacker con intenciones maliciosas, también hay que centrarse en las personas que forman parte del proceso y en el propio proceso. Está claro que hay que garantizar la confidencialidad, integridad y disponibilidad, pero yo añadiría también la resiliencia.

    Entonces, ¿Qué recomendaciones hace a las empresas industriales para protegerse considerando en este escenario bélico, que se suma a los desafíos que ya estaba planteando la COVID?

    Que asuman que la parte de OT de sus instalaciones está igual de interconectada e igual de expuesta que la parte de IT, y que por lo tanto es igual de necesario que en estas últimas adoptar medidas y dotarse de herramientas que permitan minimizar los riesgos a los que por el hecho de estar conectadas están expuestas.

    Y como ya comenté anteriormente, muchos de los incidentes que no ataques de ciberseguridad son desde dentro de la propia empresa. Y no siempre de forma voluntaria. Insisto en el tema de concienciación, buenas praxis, buenas políticas. Con pequeños cambios en nuestros hábitos, se puede aumentar la ciberseguridad en nuestras empresas. Algo tan sencillo como eliminar las contraseñas por defecto de un HMI, puede hacer que un empleado descontento no provoque un incidente de ciberseguridad. Con pequeños cambios, se consiguen grandes cosas.

    ¿Cómo se encuentra, en su opinión, el mercado laboral en lo que respecta a ciberseguridad? ¿Hay demanda de estos expertos?

    La demanda de profesionales con formación específica en ciberseguridad va a continuar creciendo de manera importante en los próximos años. El entorno está cambiando y cada vez es más complejo.
    Y bajo mi punto de vista, el perfil de este nuevo profesional no solo va a necesitar formación específica en ciber, también va a ser muy importante que tenga empatía con su entorno, capacidad de adaptación, que sea capaz escuchar y sobre todo, entender bien el proceso y el negocio. Es imprescindible y fundamental que la dirección se alinee con la ciber.

    De hecho, en Digamel, estamos apostando por este nuevo “nicho” de negocio, para poder dar un mejor servicio a nuestros clientes. Nos estamos anticipando a la ola que va a llegar a nuestras empresas. No nos olvidemos que el mayor porcentaje de empresas en España son PYMES y en la gran mayoría de estas PYMES, la ciber ni está ni se le espera.

    ¿Qué puede aportar a un profesional industrial un título de Especialista en Ciberseguridad Industrial como el que ofrece la Universidad de Vigo?

    Además de la toma de conciencia de la importancia de la ciber, este curso está aportando, tanto a la gente de OT como en IT, los conocimientos necesarios para empezar a implementar en la parte de OT medidas orientadas a minimizar el riesgo de un posible ataque/incidente de ciberseguridad.

    Y desde una perspectiva más individual, este curso aumenta nuestra capacitación para mejorar nuestra carrera profesional y nos introduce en un mercado laboral que está creciendo de forma exponencial.
    De hecho, muchos de nosotros estamos esperando con los brazos abiertos a que la Universidad de Vigo, tenga dentro de su plan formativo el Master de Ciberseguridad Industrial, para realizarlo.

    Aprovecho desde aquí, para dar las gracias y felicitar tanto a los organizadores, como a los profesores y colaboradores que están haciendo posible este “espectacular” curso.

  • El impacto en el beneficio del segundo trimestre tras las sanciones impuestas a Rusia ascendió a 600 millones de euros. El segundo trimestre tuvo un 7% más de ingresos en términos comparables

  • La consultora tecnológica vasca informa de un crecimiento de su cifra de negocio del 8,8%, hasta alcanzar los 276 millones de euros. También ha incrementado su cifra de contratación en un 84%

  • El integrador especializado en soluciones de almacenaje automatizadas centradas en el sistema AutoStore concluye el ejercicio con una cifra de negocios histórica de 230 millones de euros. En marzo Element Logic adquirió la empresa estadounidense SDI Industries

  • Los galardonados con el premio de diseño son el Motoman GP4, el robot de 6 ejes más pequeño de la gama de general purpose de Yaskawa, y el Motoman SG400 SCARA, para aplicaciones en las que se requieren altas velocidades y alto grado de precisión

  • EL salón del packaging, proceso y logística ofrecerá en el Hall 3 una agenda basada exclusivamente en casos de uso de la mano de ABB, Swisslog, Inser Robótica, Omron, Mecalux, Dismaq, Colorsensing, Beckhoff, Macsa ID, GS1, Aer Automation, Packaging Cluster entre otros proveedores de tecnología

  • Una reciente investigación de la Federación Internacional de Robótica identificó 13 ODS en los que los robots ayudan a crear un planeta mejor. Aquí tres ejemplos recogidos en las conclusiones del análisis

  • D-Link ha anunciado la celebración del tour de conferencias en Mayo y Junio. Para la industria presentará su portfolio de switches industriales y routers 4G M2M que ahora se completa con llegada de puntos de acceso WiFi

Descargas