Els reptes de la ciberseguretat, a debat a Llinars

El Teatre Auditori de Llinars del Vallès ha acollit aquest dijous 6 de març la quarta edició dels cicles de conferències organitzades per l’Ajuntament. La temàtica ha estat la ciberseguretat i les amenaces i solucions reals que es plantegen.

L’alcalde de Llinars, Martí Pujol, ha inaugurat les conferències amb una intervenció en què ha avisat que “algú pot pensar que es tracta d’un tema farragós, però ens afecta a tots”.

El cap de la Unitat de Ciències i Analítiques de Dades de l'Agència de Ciberseguretat de Catalunya, Santi Romeu, ha parlat de la necessitat d’activar la ciberseguretat a les organitzacions. Ha alertat que els delinqüents busquen el robatori de credencials a través de programari maliciós i amb tècniques com el fishing (l’enviament de missatges simulant ser una entitat bancària o financera per redirigir cap a pàgines falses), l’smishing (l’afectat rep un SMS que suplanta la identitat d'una empresa de missatgeria i logística i si es fa clic a l’enllaç que s’envia s’instal·la un codi maliciós al telèfon que roba les dades) o el vishing (el delinqüent busca obtenir dades personals o bancàries dels usuaris a través d'una trucada telefònica.

A més, no s’ha volgut oblidar del ransomware: “T’ho xifren tot i demanen un rescat”. Avisa que aquesta extorsió afecta la part operativa de l’organització perquè t’impedeix treballar i la informació que tens per operar. Reconeix que la recomanació és no pagar, però també que moltes persones ho acaben fent “perquè l’alternativa és tancar”.

Romeu ha recomanat tenir ben actualitzada la web de l’organització i anar en compte amb les estafes a través dels correus professionals, que també són objectiu dels delinqüents.

Pel que fa a possibles mesures per mitigar els atacs, ha insistit en la necessitat de la formació: “Ha de ser continuada i hauria de ser obligatòria”, ha defensat. I ha parlat de la importància de definir una política d’empresa en aquest àmbit i de fer una bona gestió de contrasenyes, tenir un referent tècnic a qui contactar, comptar amb doble factor d’autenticació i regular el teletreball.

I per protegir els sistemes i els processos, ha posat sobre la taula la importància de comptar amb còpies de seguretat, tenir les dades xifrades, comptar amb antivirus i els anomenats antivirus ADR (que analitzen comportaments estranys), l’ús de xarxes segures, verificar els nous clients i definir una política destrucció de documents físics i digitals, entre d’altres.

L’ENS com a full de ruta

Per la seva banda, el cap de l'Àrea de Tecnologia de la Informació de l'Ajuntament de Llinars, Albert Pagès, ha parlat sobre la ciberseguretat en l’administració pública i el paper que pot jugar l’Esquema Nacional de Seguretat (ENS) en aquest camí.

Ha recordat que per llei és obligatòria la seva implementació, però que serveix per reforçar la protecció de la informació i els serveis prestats. I ha recordat l’atac ransomware que va patir el consistori fa una dècada i que va afectar una part dels arxius del servidor de fitxers xifrats així com una part de les còpies de seguretat.

Pagès ha explicat que l’ENS té tres fases i 73 controls de seguretat, que ha detallat juntament amb les diverses mesures que s’apliquen.

Per exemple, s’ha categoritzat el sistema “per saber què estem volent protegir”. També s’han implementat diverses mesures per reduir la superfície dels atacs, com un anàlisi de riscos amb l’eina PILAR (que avalua els riscos dels sistemes d’informació, identifica vulnerabilitats i aporta recomanacions) i Metodologia Magerit 3.0; un doble factor d’autenticació en les aplicacions que es poden executar des de zones no controlades; configuració de salvaguardes mitjançant polítiques de grup amb mesures com configurar el protector de pantalla perquè s’activi cada 15 minuts d’inactivitat i requereixi credencial o l’obligació del canvi de contrasenya cada tres mesos, entre d’altres; monitorització del sistema o mesures de continuïtat de tot el servei, còpies de seguretat entre d’altres.

Alhora, ha explicat que es disposa de dues fibres òptiques de diferents proveïdors i dos firewalls i que la majoria de dispositius tenen dues fonts d’alimentació. També que es protegeixen els equips amb una solució que protegeix els equips d’amenaces persistents avançades i de ‘ransomware’.

Finalment, Pagès ha insist en la importància de comptar amb grups electrògens que protegeixin el sistema en casos de talls de llum, de formar el personal del consistori i de monitoritzar els correus electrònics per detectar casos de ‘phishing’ i ‘malware’.

Grans incidents informàtics

En les conferències també s’ha comptat amb la presència d’Eduard Bardají, co-fundador d’ESED, especialistes en ciberseguretat. En el seu cas, ho ha fet per parlar dels grans incidents informàtics, que són aquells en què es perd el control de la infraestructura i no es pot restablir l’ordre perquè tenen un impacte substancial en la seguretat dels sistemes o de les persones, en la continuïtat del negoci i en la confidencialitat de la informació.

L’expert ha afirmat que en un món cada cop més digitalitzat, la ciberseguretat “ja no pot ser una opció”. En aquest sentit, també ha demanat a les organitzacions que han d’assumir que seran atacades i, per tant, “centrar-se en com respondre quan es produeixi un gran incident”.

Per minimitzar aquests riscos, ha recomanat implantar una bona gestió de la ciberseguretat i comptar amb un director de seguretat, un equip especialitzat, el suport del personal de TI i dels administradors de sistemes, la col·laboració dels empleats i usuaris, així com proveïdors de serveis de seguretat.

També ha explicat que, i fins i tot amb totes les mesures preventives, els incidents poden ocórrer. Per això, és fonamental tenir un pla d’acció definit. I, un cop resolta crisi, creu que cal continuar vigilant l’evolució del sistema, fer una avaluació post-incident i implementar millores contínues.

Consells policials

Finalment, cap de la regió policial virtual dels Mossos d'Esquadra, Roger Salas, ha destacat que “Internet ofereix infinites possibilitats, però també molts riscos. La bona notícia? La seguretat depèn, en gran part, de nosaltres mateixos”.

El responsable policial ha xifrat en un 90% el percentatge dels atacs digitals que tenen un component humà. Diu que la majoria no són dirigits a persones concretes, sinó que són indiscriminats, aprofitant la pressa, la curiositat o la manca de precaució de les víctimes. Per això, és essencial actuar amb prudència i desconfiar de tot allò que sembla massa bo per ser cert. Ha demanat comportar-se a la xarxa igual que a la vida real, sense compartir informació sensible sense pensar en les conseqüències. I ha avisat que l’engany i el jugar amb les nostres emocions són la base de molts atacs.

També ha enumerat bones pràctiques per navegar amb seguretat, com ara protegir la privacitat i la seguretat amb opcions adequades en els nostres dispositius i comptes, fer pagaments en línia només en entorns segurs, revisant la gramàtica de les webs i desconfiant d’ofertes sospitosament barates, i utilitzar l’acrònim SANA per identificar possibles estafes: Stop (No actuïs amb pressa), Analitza (Què et demanen? És sospitós?), No (En cas de dubte, no cliquis ni responguis) i Actua (Si tens sospites, demana ajuda i esborra el missatge).

Pel que fa a les xarxes socials, ha demanat tenir especial cura amb la informació que publiquem i acceptar només sol·licituds d’amistat de persones conegudes.

I quant al ransomware, ha insistit com altres ponents que pagar no és la solució: “Són cada cop més habituals. No obstant això, pagar no garanteix la recuperació de les dades i fins i tot pot convertir-nos en una nova víctima en el futur”.