«Las estadísticas sobre ciberataques a industrias sólo muestran la punta del iceberg»

El desembarco de la industria en el mundo 4.0 ha abierto las puertas a una mayor productividad y capacidad de competir en un mundo hiperglobalizado. Pero también a una amenaza que cada vez está más presente, la de los ciberataques. Hoy en día prácticamente todas las industrias han sufrido, o lo harán más pronto que tarde, 'hackeos' por parte de delincuentes informáticos. Porque las estadísticas oficiales «sólo muestran la punta del iceberg». Muchas de ellas no trascienden, o sencillamente se ocultan para no dañar la imagen de la empresa afectada. Así lo cree Jesús Lizarraga, profesor investigador de Mondragon Unibertsitatea, institución académica que junto a PwC ha puesto en marcha en Bilbao un máster especializado en ciberseguridad industrial.

-¿Qué les ha movido a impulsar un máster de este tipo?

-Tenemos otro máster enfocado a la ciberseguridad en general, pero no específicamente a la industrial. Hay que distinguir la ciberseguridad relacionada con la IT (tecnologías de la información), de la referida a la OT (Tecnologías de la Operación). La primera es la de la informática tradicional, el ordenador de la oficina. La segunda es la de la industria: de las plantas productivas y sistemas de control industrial. El motivo por el que surge este máster en Bilbao es porque dentro del ámbito industrial hay una gran necesidad de ciberseguridad. Aunque en el sector IT hay problemas, los tenemos más o menos controlados. En el OT hasta ahora no teníamos problemas.

-¿Por qué?

-Hasta hace pocos años los entornos industriales eran cerrados, sin ningún tipo de conectividad. Aunque eran vulnerables, casi no había posibilidad de atacarlos, a no ser que fueras con un martillo a destrozar las máquinas. Ahora con la Industria 4.0 estamos conectando esos entornos a la red de nuestra empresa, a un sistema para hacer Big Data, a un proveedor externo para que nos monitorice el mantenimiento, etc. Al empezar a abrir esas puertas esos entornos que eran vulnerables se quedan totalmente expuestos y ahí tenemos un problema muy grande. La problemática la sufren sobre todo las pymes. Hasta ahora no eran conscientes de ese problema y tienen las puertas totalmente abiertas.

-¿A quiénes está dirigido el máster?

-Tanto a profesionales en activo como a recién egresados. En el primer caso, a gente que está trabajando en entornos industriales pero que no tiene conocimientos en ciberseguridad y los necesitan cada vez más. Y también a los recién egresados del ámbito de la ingeniería informática, telecomunicaciones o cualquier otra ingeniería. Además está abierto a titulados de ciclos formativos de grado superior pero que tengan al menos tres años de experiencia profesional. Con esto queremos alcanzar dos objetivos: por un lado, formar y especializar a los que ya están trabajando, y a nuevos profesionales que puedan incorporarse a las empresas que lo están demandando.

-¿Está la industria más expuesta a los ciberataques que las empresas de otros sectores, o es que sus consecuencias son más graves?

-La industria está más expuesta porque ahora trabajan en entornos muy vulnerables. Por poner un ejemplo, cuando hablamos de un ordenador, de un puesto de trabajo de oficina, normalmente tenemos un Windows 10, o un 8. Con antivirus y otros mecanismos que nos dan un cierto nivel de seguridad. Cuando vamos a una planta productiva, desde empresas grandes hasta pymes, nos encontramos equipos con Windows XP, que tienen 15-20 años, sin soporte del fabricante, con una serie de vulnerabilidades muy conocidas y sin ni siquiera un antivirus instalado. Son presa de cualquier ataque. Y las consecuencias son muy variadas en función de la empresa. Si fabrica tornillos puede pasar que le paren la producción durante 'X' días con las consiguientes consecuencias económicas. Si vamos a más altos niveles, como los del Estado, lo que más preocupa son las infraestructuras críticas. Hablamos de transporte, suministro eléctrico, comunicaciones.

-Póngame ejemplos de empresas industriales 'ciberhackeadas'. ¿Qué puede ocurrir?

-Uno de los casos más graves ocurrió en marzo de este año, cuando fue atacada Norsk Hydro, una de las mayores empresas metarlúrgicas del mundo en el sector del aluminio. Sufrió un ataque bastante sofisticado que no sólo paralizó sus plantas en Noruega, sino prácticamente todas las filiales de los cinco continentes. Les costó más de tres semanas volver a cierta normalidad. Según declaraciones de la propia empresa las pérdidas económicas fueron de 36 millones de euros. En Euskadi, en octubre hemos tenido varias empresas industriales que han sufrido ataques. En este caso han sido ataques que han entrado por la parte de IT, pero con esa conexión con el mundo OT, lo que paraliza completamente toda la planta. En algunos casos todos los empleados han tenido que ir a casa varios días.

-La preocupación, por tanto, está más que justificada y es creciente.

-Cuando dabas un seminario o hablabas en las empresas sobre ello lo veían como algo que ocurría en países muy lejanos. Y ahora se ve cómo impacta en tu vecino, lo vemos cada vez más cerca. Hay un aumento de los casos. El número de incidentes crece y crece. Y eso que lo que nos muestra las estadísticas sólo es la punta del iceberg. Cuando una empresa sufre un incidente normalmente no lo da a conocer porque afecta a su imagen, a su reputación, sus relaciones con los clientes... Sólo nos enteramos de lo que ha tenido repercusión en los medios, porque ha tenido tal impacto que es difícil ocultar. Hay estadísticas que dicen que tres de cada cuatro empresas han sufrido un cibertataque. Yo lo pongo en duda, porque todas las empresas hemos sufrido alguno. En el último mes en nuestra universidad hemos sufrido tres o cuatro, aunque hemos podido pararlos.

-¿Qué es lo que mueve a los cibercriminales?

-Hace 20 años había 'hackers' que sólo buscaban notoriedad. Si al día siguiente salían en los medios de comunicación ya eran felices. Eso, aproximadamente desde 2015, ha cambiado radicalmente. Ahora hablamos del cibercrimen. Casi todos los ataques hoy en día tienen una finalidad económica. Un porcentaje tiene un fin geopolítico, pero el resto son organizaciones criminales que ven la oportunidad de tener unos ingresos muy grandes con una inversión reducida. Hay un gran negocio y se mueve muchísimo dinero. Algunos de estos ataques son tan sofisticados que ya no son al azar, sino dirigidos a una víctima en concreto. Requieren un trabajo, una preparación, una serie de recursos. La mala noticia es que esto va a ir en aumento, porque es un negocio donde cada vez hay más gente metida.

-Y es un delito que además no conoce fronteras.

-El gran problema que tenemos es ese, el de las fronteras. Puedes denunciar el ataque a la policía. Si el que ha atacado está en España se le puede localizar y detener. Pero puede pasar que aunque esté aquí, lo haya hecho accediendo a través de tres o cuatro países. Y para cuando el juez empieza a investigar tiene que saltar de un país a otro, con los retardos que eso implica. Una investigación en principio sencilla se puede alargar meses, años, hasta que llegas a un país opaco y no te permite acceso.

-¿Se suelen pedir rescates?

-Sí, por ejemplo estos últimos que te he comentado, el 'malware' que entra cifra toda la información de los discos duros, los servidores, e incluso en los 'backups'. Y aparece un mensaje en el que se dice: «te he cifrado todo, no tienes acceso a nada, y tienes que hacerme un ingreso». Normalmente es una cantidad acorde con las dimensiones de la empresa, para que pueda pagar. Muchas veces se paga en bitcoins, con lo que hacer un seguimiento es casi imposible por parte de un juez. Y si me das el dinero, te proporciono una clave para recuperar la información perdida.

-¿Y se paga siempre?

-La recomendación de la policía es no pagar por dos motivos. Primero, porque aunque se les pague, y los cibercriminales estén dispuestos a darte la clave, puede pasar que las policía les detenga antes de que llegue el dinero. Con lo cual no tienen posibilidad de facilitar la clave de recuperación. El segundo motivo para no pagar es que si te conviertes en un buen 'cliente', eres propenso a recibir más ataques. Esto fue lo que pasó hace unos años a los hospitales estadounidenses.

-¿En esta lucha los 'malos' van siempre por delante?

-Es una carrera sin fin porque la principal ventaja de los ciberdelincuentes es que tienen todo el tiempo del mundo, y por ejemplo en las pymes no hay tiempo para protegerte y el informático de turno está a mil guerras. Si vamos a empresas más grandes que tienen empresas especializadas en ciberseguridad, ahí sí que se da una auténtica carrera: sus expertos están aplicando la última tecnología y los ciberdelincuentes están viendo cómo adaptarse a ella. Y hay un momento en el que suben de peldaño y son capaces de atacarte. Entonces la empresa tiene que dar otro paso. Y estamos así todo el rato.

-Las empresas están cada vez más concienciadas de avanzar en la digitalización. Pero, ¿va pareja la preocupación por la ciberseguridad?

-Cada vez más las empresas, los consejos de dirección empiezan a estar más mentalizados. Pero hasta ahora no ha sido así. Había un interés por la digitalización, la tecnología, etc., pero el tema de la ciberseguridad quedaba relegado a un segundo plano, porque se ve como un gasto. Poner un antivirus, un sistema de 'backup', ¿qué me aporta?, puede pensar un director financiero. En cambio, ves claro el resultado de instalar un 'software' que te gestione la producción. Pero gracias a los últimos incidentes que se están dando, está calando como un riesgo que está ahí y que hay que tener en cuenta. Pero estamos lejos de que la ciberseguridad sea una prioridad. Avanzamos, pero a base de acción-reacción.

-¿Es muy cara la ciberseguridad?

-Te puedes gastar todo lo que quieras o tengas. Las empresas tienen que hacer un análisis de riesgos. Tengo que proteger este activo, proceso productivo, baso de datos o lo que sea. Tiene un valor 'X'. Analizo las amenazas, y en función de eso defino los mecanismos que tengo que implantar para protegerlo. Lo que hacemos es reducir riesgo, porque la seguridad al cien por cien es imposible. Si tengo un activo cuya pérdida me puede suponer 10.000 euros, es absurdo que invierta 100.000 euros en ciberseguridad para protegerlo.

-Es un claro nicho de empleo, según diversos estudios. Pero lo cierto es que los perfiles profesionales especializados en ese ámbito escasean. La Comisión Europea advierte que el 40% de las empresas ya tienen dificultades para encontrar expertos en TIC.

-Hay una gran escasez de profesionales especializados. Está surgiendo esa figura del responsable de ciberseguridad en las empresas y hay demanda tanto por las empresas del sector industrial o de servicios que necesitan este tipos profesionales, pero también por compañías que se dedican a dar servicios de ciberseguridad. En Euskadi tenemos muchas y buenas empresas del sector, y que tienen una necesidad creciente de incorporar profesionales muy especializados y preparados. Y no los encuentran en el mercado.

-En Euskadi tenemos dos centros avanzados de ciberseguridad, el Basque Cybersecurity Centre, y Ziur, en Gipuzkoa. ¿Qué papel están jugando en la lucha contra el cibercrimen?

-A nivel del Estado Español está en Incibe, que es el que intenta promover y coordinar la actividad de ciberseguridad. Y en Euskadi tenemos en Vitoria el Basque Cybersecurity Centre que da servicio a empresas, administraciones públicas y al ciudadano. Y sin entrar en competencia con las empresas especializadas en ciberseguridad. Es un primer punto de contacto para las empresas que pueden sufrir estos ataques. Se les intenta encaminar y aconsejar sobre los productos y servicios que deben contratar. La semana pasada se inauguraron oficialmente las instalaciones de Ziur, que es el centro guipuzcoano de ciberseguridad industrial. Es una iniciativa de la Diputación de Gipuzkoa, coordinado con el Basque Cybersecurity Centre, y su ámbito es el industrial y dirigido a ese territorio. Se enfoca mucho en la prevención: cómo ayudar a las empresas para sensibilizaras y que estén en condiciones de hacer frente a esa amenaza.