Félix Barrio (Incibe): “Los ciberataques a la red sanitaria se han disparado en los últimos dos años y van a seguir creciendo”

Con ocho meses a la espalda como director general del Instituto Nacional de Ciberseguridad (Incibe), Félix Barrio (50 años, Ponferrada, León) acudió el pasado mes de febrero a su primer Mobile World Congress (MWC) ocupando este cargo. “Nuestro mayor objetivo ahora mismo es preparar la presidencia española de la Unión Europea (en el segundo semestre de este año) y hacer del 017, el teléfono de ayuda en ciberseguridad, una iniciativa de dimensión europea”, asegura nada más empezar esta entrevista, celebrada en una pequeña sala de reuniones del pabellón de España en el MWC de Barcelona.

Barrio, ingeniero de software y sistemas y doctor por la Universidad de Salamanca, dista de ser un recién llegado: han pasado 16 años desde que inició sus pasos en el Incibe como gerente. De su antecesora en la dirección, Rosa Díaz, ha heredado este 017, puesto en marcha en 2020 y una de las insignias que luce con más orgullo la entidad, pero también el problema creciente del phishing y el reto de concienciar a los ciudadanos y a las empresas de la necesidad de prevenir y protegerse ante las amenazas en internet, que no hacen más que multiplicarse.

Esta entrevista se produjo antes de que se produjera el ciberataque al Hospital Clínic de Barcelona que dañó gravemente el funcionamiento del centro. Las dos primeras preguntas que siguen las respondió Barrio por escrito después de la entrevista presencial, para aportar más información sobre ese asalto.

Pregunta. El ciberataque que ha sufrido el Hospital Clínic de Barcelona ha puesto de manifiesto que los centros sanitarios también son objetivo de los ciberdelincuentes. ¿Cómo ha podido ocurrir esto y qué solución tiene?

Respuesta. Los ciberataques a la red sanitaria se han disparado en los últimos dos años. Es uno de los sectores preferidos por las organizaciones criminales para extorsionarles y que intenten recuperar el control de sus sistemas informáticos lo antes posible para evitar daños a la salud de las personas. Se aprovechan del crecimiento vertiginoso del número de dispositivos que existen en estos centros sanitarios y que están conectados a internet. El creciente número de tecnologías conectadas, que caracterizan al internet de las cosas, lleva asociadas muchas vulnerabilidades desde el punto de vista de la ciberseguridad y requieren una preparación técnica para evitar que sean una vía de entrada de los atacantes. La cadena de suministro es otro vector de ataque, ya que la existencia de múltiples proveedores hace que la infección de los sistemas sanitarios pueda ocurrir por razón de que una empresa o profesional que presta sus servicios externamente carezca de una preparación suficiente en ciberseguridad. La previsión es que los ataques a la red sanitaria sigan creciendo.

P. Entonces, ¿puede ocurrir de nuevo lo que le ha sucedido al Clínic? ¿Cómo se puede proteger la sanidad para evitarlo?

R. El modo de lograr una incidencia menor de los ciberataques es invertir en concienciación, formación y prevención de los profesionales, desarrollar herramientas específicas para la seguridad de los sistemas sanitarios y realizar ciberejercicios que pongan a prueba la resiliencia y la continuidad de negocio de estas organizaciones, de modo sistemático. Incibe ha creado este mes de marzo un departamento de ciberseguridad para el sector de la salud privado, mientras que la sanidad pública depende de la otra agencia nacional, el Centro Criptológico Nacional.

P. Sobre el nuevo teléfono 017 de ayuda en ciberseguridad, ¿considera que los ciudadanos lo conocen y recurren a él cuando la situación lo requiere? ¿Cómo es el balance que hace después de los tres años que lleva en funcionamiento?

R. Según un estudio que hemos hecho, el 55% de los españoles tiene identificado el servicio y al Incibe. Hemos hecho unas campañas de concienciación muy importantes y, además, se ha producido un cambio: al principio, el 80% de las llamadas eran de personas que habían sido víctimas de un ciberataque, de una infección o de un fraude, y ahora mismo el 50% de las llamadas son de prevención. La gente llama para preguntar cómo configurar el control parental de los niños o cómo protegerse si le está llegando algún tipo de mensaje sospechoso. Eso demuestra que el usuario lo está asumiendo como un servicio al que puede acudir periódicamente y no solo cuando ya ha tenido un problema. Tenemos unas 6.000 llamadas al mes.

El 017, el teléfono de ayuda en ciberseguridad, recibe unas 6.000 llamadas al mes

P. Lleva muchos años en el Incibe , pero desde la dirección habrá podido comprobar mejor cuáles son las amenazas a las que se enfrentan los ciudadanos y las empresas. ¿Es el phishing el gran enemigo o qué otros peligros le preocupan?

R. El phishing es la vía por la que los ciberatacantes comprometen a los usuarios, obteniendo sus contraseñas, por ejemplo, para luego utilizarlas con diferentes propósitos. La mayor peste digital que estamos viviendo es la de las infecciones de dispositivos tipo ransomware y el fraude online, el fraude bancario, que se aprovecha de los datos que obtienen con el phishing. Esto se acentúa con los menores de edad, con las personas muy mayores y con las pymes. Estamos reforzando la inversión para que nuestra industria de ciberseguridad, los que proveen de esas soluciones que instalamos en nuestros teléfonos, tabletas y ordenadores, sean las más avanzadas y seguras. Y esa es la mayor apuesta que tenemos ahora mismo desde el Gobierno de España. Solamente Incibe va a superar los 600 millones de euros de inversión hasta el 2026 para reforzar todo el mercado de soluciones de ciberseguridad para los ciudadanos.

P. Y este año su presupuesto es de 150 millones.

R. Estamos invirtiendo unos 150 millones al año entre fondos de Next Generation (de la Unión Europea) y fondos propios, y eso nos está permitiendo destinarlo a la investigación y al desarrollo. Acabamos de conceder una primera tanda de 137 millones de euros a 96 proyectos liderados por pequeñas y medianas empresas españolas que están desarrollando soluciones de ciberseguridad para los ciudadanos. Y eso nos va a permitir alcanzar algo muy importante: la soberanía digital, que tengamos productos alternativos a otros que vienen de otros países para que los usuarios cada vez tengan más opciones y no dependamos de caídas de servicio por parte de terceros.

P. Hemos hablado de amenazas, pero ¿qué fortalezas tiene España en el ámbito de la ciberseguridad?

R. El 017 es un servicio pionero a nivel mundial, pero, además, España es el segundo país en centros de respuesta de ciberseguridad (CERTS), por detrás de EE UU. Según Naciones Unidas, nuestro país es el cuarto con mejor nivel de capacidades de ciberseguridad para la sociedad y la economía. Por lo tanto, estamos demostrando que hemos crecido mucho en la última década.

P. Sin embargo, según algunos analistas, España es de los países que más ciberataques y phishing reciben. ¿A qué se debe?

R. Somos el centro de referencia en nuevas tecnologías para el mundo de habla hispana, una comunidad hispanohablante que hace que los ciberdelincuentes intenten sistemáticamente aprovecharse y a veces encuentren en España un lugar de preferencia en sus ciberataques. Lo sabemos, pero es parte de ese liderazgo. A veces no somos conscientes de la importancia que, desde el punto de vista cultural en el mundo digital, tiene lo español para el mundo.

Según Naciones Unidas, nuestro país es el cuarto con mejor nivel de capacidades de ciberseguridad para la sociedad y la economía

P. ¿Podría deberse también a que las empresas españolas, sobre todo pymes, todavía no tengan el nivel de concienciación suficiente para protegerse y para prevenir los ataques?

R. No lo creo. Hace apenas dos semanas, Italia lanzó una alerta de una oleada de ataques que aprovechaba la vulnerabilidad de una aplicación. Hicimos un seguimiento y los sistemas españoles que realmente fueron atacados no llegaban al 3%. Yo creo que tenemos un muy buen nivel de preparación, aunque evidentemente los ciberatacantes están siempre innovando y hay que esforzarse. Es muy importante que continuemos con la concienciación, no conformarnos.

P. En lo que se refiere al 5G, España sigue la tendencia de EE UU de vetar a empresas chinas, o por lo menos de tratar de no dejar en sus manos el despliegue por razones de seguridad. ¿Cómo se está trabajando en eso y cómo va a continuar el despliegue, sobre todo de cara al 6G, del que ya se habla en el sector?

R. Se está regulando desde la UE para establecer unas bases del juego que permitan controlar bajo sus reglas, pero también trabajamos desde el punto de vista de la autorregulación. En el Incibe estamos desarrollando un laboratorio de 5G que nos permita actuar como entidad de certificación, que ayude a las empresas que fabrican y distribuyen sistemas de 5G y que dé tranquilidad al usuario; que podamos, de alguna manera, comprobar que lo que va a llegar a los domicilios y a las empresas es algo seguro. No existe una tecnología propiedad de una sola marca, nos encontramos entornos en los que puedes tener 10, 20 o 30 fabricantes distintos de diferentes nacionalidades; lo más importante es que tengamos sistemas de evaluación tecnológica que nos aseguren que esa tecnología no tiene riesgos. La tecnología no es mala por sí misma, lo importante es asegurarnos de que es transparente y responde a lo que se quiere.

P. Ya que menciona la legislación, ¿considera que es más fácil lograr un consenso político en materia de ciberseguridad?

R. Yo creo que sí. La ciberseguridad es algo en lo que cualquier gobierno de cualquier país de las democracias modernas occidentales va a estar de acuerdo en los principios básicos, aunque podemos discrepar en si los países tienen una regulación más o menos rigurosa. La UE es quizá el ámbito más exigente porque hay algo irrenunciable: la protección de los derechos de los ciudadanos, la privacidad, la protección de los datos personales…

Puedes seguir a EL PAÍS Tecnología en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.