La guía sobre la gestión de la ciberseguridad de los sistemas de seguridad física, presentada en SICUR Cyber

SICUR Cyber, espacio organizado por Seguritecnia y Red Seguridad con la colaboración de la Fundación Borredá en el marco del Salón Internacional de la Seguridad (SICUR) de Madrid, acogió la presentación de La gestión de la ciberseguridad de los sistemas de seguridad física. Recomendaciones y casos de uso, una guía elaborada por uno de los grupos de trabajo del Foro Nacional de Ciberseguridad.

Concretamente, por el grupo de trabajo Cultura de Ciberseguridad, que, liderado por la Fundación Borredá, se ocupó de confeccionar el documento. Un texto en cuya elaboración participó Enrique González Herrero, subdirector de Segutecnia, encargado de moderar la mesa en SICUR Cyber en la que se detallaron las funciones del Foro Nacional de Ciberseguridad y el proceso de elaboración de la guía.

Mónica Mateos: “Debería haber más productos de seguridad física con certificaciones de ciberseguridad”

La primera en intervenir fue Mónica Mateos, consejera técnica del Departamento de Seguridad Nacional (DSN), quien observó que el ciberespacio es un ámbito crítico que requiere una comunicación constante con la sociedad civil, motivo por el cual se creó el Foro Nacional de Ciberseguridad en 2020.

“El Foro Nacional de Ciberseguridad nació para fomentar la colaboración público-privada y tener una visión de 360 grados”, explicó. Y sus primeros pasos consistieron en realizar un diagnóstico de la situación en España para identificar fortalezas y carencias en materia de ciberseguridad. En la actualidad, cuenta con cinco grupos de trabajo.

Y si bien se mostró satisfecha por la elaboración de la guía, advirtió que aún queda camino por recorrer, especialmente en la concienciación de quienes adquieren tecnología de seguridad. En este sentido, subrayó la importancia de que los responsables de contratación apuesten por productos certificados: “Al comprar no debe primar el precio, sino la seguridad. Es fundamental que los productos sean ciberseguros y, no menos relevante, se configuren y actualicen correctamente”.

Alfonso Bilbao: “La guía ha logrado unir el mundo físico y el cíber bajo un lenguaje común”

A continuación, Alfonso Bilbao, ingeniero de Telecomunicaciones y coordinador de uno de los subgrupos de trabajo, recordó que, aunque la Asociación Española de Ingenieros de Seguridad (AEINSE) realizó un primer acercamiento a esta temática, la guía es un trabajo mucho más completo. Para Bilbao, el valor diferencial ha sido la integración de dos disciplinas históricamente separadas: “La parte más interesante de elaborar el documento era juntar los mundos físico y cíber”, explicó.

El ingeniero destacó que el primer gran reto era establecer un lenguaje común, ya que conceptos como el análisis de riesgos se interpretan de forma distinta en cada ámbito. En este sentido, agradeció la flexibilidad de los profesionales de la ciberseguridad para adaptarse a la terminología de la seguridad física: “Fueron generosos para hablar nuestro idioma y, por ejemplo, logramos que en la guía apareciesen los grados 1, 2, 3 y 4 de los sistemas de seguridad física, identificados con colores para determinar el nivel de riesgo”.

Finalmente, Bilbao lanzó una propuesta de futuro y señaló que el documento tiene la solidez necesaria para trascender lo divulgativo: “Esta guía podría ser de gran ayuda para desarrollar una orden ministerial sobre cómo gestionar la ciberseguridad de los sistemas de seguridad física”.

Mariano J. Benito: “Hay que securizar dispositivos, sistemas y servicios con un componente digital”

En sintonía con Alfonso Bilbao, Mariano J. Benito, CISO en GMV, comentó que hubo un gran entendimiento entre la parte física y cíber durante la elaboración de la guía. Algo lógico, pues, al final, “lo esencial es la seguridad de las organizaciones, no si es más relevante lo físico o lo cíber. Para lograr ese propósito, además de dispositivos, hay que securizar los sistemas y servicios con un componente digital”, argumentó.

Y coincidió con Mónica Mateos en que la seguridad va más allá del precio. “Esta es una cuestión de cultura. Que es primordial adquirir productos certificados en ciberseguridad es algo que han de entender tanto los departamentos de compras como los ciudadanos particulares”, razonó.

Ricardo López: “Las certificaciones de ciberseguridad tendrían que contemplarse desde el diseño”

Seguidamente, Ricardo López, director de Consultoría y Ciberseguridad de Grupo Eulen, precisó que “en el apartado de la guía dedicado al análisis de ciberriesgos buscábamos un estándar común y elegimos Magerit”, en referencia a la metodología desarrollada en su día por el Consejo Superior de Administración Electrónica (CSAE).

Por lo que respecta a los casos de uso incluidos en el texto, López indicó que abarcan desde los ataques contra la red de comunicaciones hasta el ransomware, pasando por la modificación de sensores de detección de intrusión, los ataques a elementos de control de acceso, interfonía y televigilancia o la explotación de vulnerabilidades en los protocolos de comunicaciones. “Sin duda, fue un trabajo muy interesante”, comentó.

En cuanto al asunto de las certificaciones de ciberseguridad de los sistemas de seguridad física, opinó que es algo que tendría que contemplarse desde el diseño, puesto que “lo físico forma parte del perímetro y del riesgo”.

Estefanía Linares: “La ciberseguridad es transversal y no debe hablarse de mundos aislados”

Por último, Estefanía Linares, del Centro Criptológico Nacional (CCN), recordó que “las tecnologías de la información y la comunicación (TIC) determinan nuestra vida, al igual que la ciberseguridad”. Sobre esta última, apuntó que es “transversal” y que “no debe hablarse de mundos aislados, pues los ciberataques se producen en cualquier ámbito TIC”. En este sentido, especificó que la Ley de Ciberresiliencia (Cyber Resilience Act) afecta a los dispositivos y sistemas de seguridad física que tengan capacidades de conexión en red.

Y si bien se va avanzando, consideró que “hay mucho margen de mejora en la ciberseguridad de los productos y sistemas de seguridad física”. En ese aspecto, opinó que sería conveniente que España se equiparase a Estados Unidos en materia de certificaciones de ciberseguridad, “buenas para los fabricantes, al aportar valor añadido y contribuir a generar más oportunidades de negocio, y, lógicamente, también para los usuarios finales”.

Objetivo de la guía: crear cultura de ciberseguridad y concienciar para robustecer los sistemas de seguridad física

En definitiva, tal y como reza en el documento, el objetivo de la guía es fomentar una cultura de ciberseguridad en el sector de la seguridad física (fabricantes, instaladores, mantenedores y prestadores de servicios de seguridad), así como concienciar:

• A la Administración, para que impulse las acciones necesarias en el ámbito regulatorio.
• A la industria, para que ofrezca soluciones con la ciberseguridad por diseño.
• Y a los directores de seguridad y los responsables de ciberseguridad, para que tengan en cuenta los riesgos y, actuando conjuntamente, pongan los medios necesarios para anularlos o mitigarlos.