En la industria 4.0, los hackers ponen la mira en los empleados

A pesar de los beneficios que el internet de las cosas (IoT), los sistemas ciberfísicos, el big data y la computación en la nube pueden generar a las empresas, los riesgos percibidos en términos de ciberseguridad están retrasando la adopción de estas tecnologías “dramáticamente”, según un informe del Mobile World Congress. Por eso, uno de los temas que se debatirán durante el congreso es si la industria conectada puede ser tan segura como la automatizada.

En la mesa redonda dedicada a este asunto, que se celebrará el miércoles 27 de febrero (a las 13.30 en la sala 4 del auditorio 3), se preguntará a un panel de expertos por qué una compañía que podría perder vidas y dinero a causa de un ataque informático, debería de arriesgarse a confiar en decisiones de inteligencia artificial o abrirse a la piratería.

Fernando Anaya, responsable de desarrollo de negocio en España de la firma de ciberseguridad Proofpoint, confirma que la adopción del IoT ha supuesto una gran innovación en determinados sectores; sin embargo, está más expuesta a amenazas. “Se trata de dispositivos conectados a la red que están recogiendo gran cantidad de datos potencialmente sensibles”, explica.

En 2017, último año del que se disponen estadísticas oficiales, el Centro Criptológico Nacional gestionó más de 26.500 incidentes, lo que supone un 27% más que los 20.940 de 2016.

En su informe de tendencias, la agencia gubernamental advierte de que la ausencia de cifrado o las escasas o nulas actualizaciones de software hacen que los dispositivos conectados a internet sean especialmente vulnerables a ataques con ransomware, un código malicioso que restringe el acceso a datos clave y exige un rescate a cambio de desbloquearlos.

Los dispositivos conectados a internet están más expuestos a ciberdelitos por la gran cantidad de datos sensibles que recogen

El caso más sonado de un ataque con ransomware se produjo en mayo de 2017, cuando WannaCry, un virus de este tipo, infectó 300.000 ordenadores alrededor del mundo, paralizando hospitales públicos en Reino Unido, trenes en Alemania y fábricas de coches en Francia. En España, la compañía más afectada fue Telefónica, aunque no repercutió en el servicio a sus clientes.

“Los riesgos son reales”, dice Xabier Mitxelena, director general de Accenture Security. “Las empresas españolas han sufrido y seguirán sufriendo ataques cibernéticos, algunos de forma aleatoria y otros de forma dirigida en búsqueda de datos personales, diseños, patentes, know-how, estrategias, clientes...”, añade Carlos Gallego, director general y responsable de industria X.O de la consultora.

Los expertos de Accenture recomiendan trabajar de forma proactiva en modelos de prevención, incluir la seguridad en cada proceso y producto y certificar la relación con clientes y proveedores.

Objetivo: los VAP

Anaya, de Proofpoint, aconseja realizar un análisis en profundidad que permita encontrar patrones de comportamiento irregulares. “Hasta ahora, el email es el principal vector de ataque de los hackers. No obstante, observamos un cambio importante: los ciberdelincuentes ya no se centran en los servidores de las empresas, sino que eligen como objetivo a las personas, en concreto, a las llamadas VAP (very ­attacked people)”, avisa.

VAP es aquel empleado que tiene acceso a información sensible, pero que debido a su posición intermedia en el escalafón de la empresa, recibe poca atención por parte de los equipos de seguridad de su organización. “Por eso, recomendamos a las compañías adoptar un enfoque más orientado a las personas que a las infraestructuras, con soluciones basadas en la nube”, indica.

José Arias, director de ventas de seguridad de T-Systems Iberia, recuerda que la idiosincrasia de una fábrica conectada es muy diferente a la de un entorno informático. “Mientras que en los sistemas TIC lo importante es que no se pierdan datos, en las industrias lo fundamental es garantizar que no se pare la producción, ya que los costes son muy elevados. Y es aquí donde queda mucho por hacer”, sostiene. Añade la importancia de contar con profesionales cualificados que sepan interpretar y prevenir esos riesgos.

“No hay que olvidar que el eslabón más débil es el usuario”, afirma Pedro Viñuales, vicepresidente de cuentas claves, servicios de seguridad y telecomunicaciones de Panda Security. “De nada sirve tener las mejores protecciones de seguridad en una organización si los usuarios no han recibido una correcta educación”, precisa.