Asier Martinez, Responsable CERT en el BCSC: “Euskadi es un referente estatal en emprendimiento en ciberseguridad”

La preocupación por la seguridad informática se ha convertido en un aspecto clave para las empresas en un contexto social y económico hiperconectado. Asier Martinez, lleva algo más de 3 años como Responsable del Equipo de Respuesta ante Emergencias Informáticas (CERT) en el Basque Cybersecurity Centre (BCSC), pero cuenta con una larga trayectoria en el mundo de la ciberseguridad. Le hemos preguntado por la situación actual de la empresa vasca en esta materia.

BANCA PARA EMPRESAS: La innovación y la digitalización se están convirtiendo en aspectos importantes para el futuro, pero ¿cuál dirías que es el nivel de madurez de las empresas vascas en materia de ciberseguridad? ¿Le están dando la importancia que realmente requiere?

ASIER MARTINEZ: “En 2018 hicimos un estudio sobre el nivel de madurez en ciberseguridad de los sectores con mayor auge en la región y mayor peso en la economía vasca (manufactura, eléctrico, tecnologías de la información, industria química, etc). Como parte de dicho estudio, se realizó una encuesta a los responsables de seguridad de 90 empresas con sede en Euskadi, planteándoles preguntas agrupadas en 4 dominios: ámbitos organizativos, de gestión, técnicos y de mercado. A partir del estudio identificamos la necesidad urgente de promover iniciativas que contribuyeran a elevar el nivel de protección del tejido industrial en Euskadi.”

“Ese mismo año pusimos en marcha a través de SPRI, la Agencia Vasca de Desarrollo Empresarial, un plan de ayudas de ciberseguridad pionero en el Estado, el cual, buscaba como objetivo fomentar la protección de las empresas industriales vascas frente a las ciberamenazas, contribuyendo así además a la mejora de su competitividad. En las 3 primeras ediciones, aprobamos cerca de 500 proyectos lo que han supuesto ayudas por un importe superior a 4 millones de euros y una inversión privada de cerca de 10 millones. Recientemente, hemos publicado la 4ª edición con una asignación presupuestaria de 2,4 millones de euros. Esta iniciativa nos permite evaluar el nivel de madurez de la industria vasca atendiendo a la tipología de proyectos que aprobamos y pese a que ha habido una evolución durante este tipo, aún estamos lejos de alcanzar un punto de protección y madurez en ciberseguridad óptimo.”  

B.E.: ¿Cuál es la preparación mínima que deberían tener las empresas con independencia de su tamaño?

A.M.: “Lo primero que debe hacer cualquier empresa, independientemente de su tamaño, es realizar un análisis de riesgos de ciberseguridad de cara a poder llevar a cabo una gestión adecuada de los mismos. Este análisis pasa por identificar los activos que son núcleo fundamental de su actividad como, por ejemplo, su página web o su ERP (Sistema de planificación de recursos empresariales), identificar las amenazas a las que están expuestos y las potenciales vulnerabilidades y calcular el riesgo para tratarlo, o bien transfiriéndolo a un tercero, eliminándolo, asumiéndolo o implantando medidas para mitigarlo. Todo este proceso formaría parte de lo que se conoce como un Plan Director de Seguridad, el cuál recoge la planificación de los proyectos técnicos, de contenido legal, organizativos, etc. que una organización va a llevar a cabo con el objetivo de mejorar su seguridad, y por tanto su nivel de protección frente a las ciberamenazas.”  

B.E.: ¿Un nivel razonable de seguridad conlleva necesariamente una gran inversión para una empresa o autónomo?

A.M.: “No necesariamente. Existen buenas prácticas que reducen significativamente el nivel de riesgo, como, por ejemplo:

• Utilizar contraseñas robustas, distintas para cada servicio, y actualizarlas periódicamente.
• Activar el doble factor de autenticación siempre que sea posible.
• Instalar herramientas antimalware en todos los dispositivos, actualizarlas siempre que sea posible y analizar con ellas.
• Mantener actualizados los dispositivos.
• Realizar copias de seguridad periódicas, manteniéndolas fuera de la red.
• Configurar adecuadamente el nivel de privacidad de los servicios que utilizamos en internet.”

“Así mismo, existe gran cantidad de información gratuita en las páginas de organismos públicos que trabajan en el ámbito de la ciberseguridad, como es nuestro caso, www.basquecybersecurity.eus y que recoge multitud de buenas prácticas adicionales como por ejemplo a la hora de teletrabajar, realizar compras online o utilizar dispositivos móviles de manera segura.”

“Adicionalmente, BCSC realiza jornadas de concienciación (se hicieron más de 270 en 2020) que son de libre acceso y que están enfocadas proveer de los conocimientos necesarios para identificar los riesgos habituales que tienen las empresas y como prevenir vernos afectados por ellos.”  

B.E.: Desde que BCSC comenzó su andadura, ¿se ha notado un crecimiento en la creación de empresas y tecnología relacionada con la ciberseguridad en Euskadi? 

A.M.: “Euskadi aúna un potente ecosistema industrial lo que hace que surjan oportunidades de negocio en ciberseguridad, una gran tradición por el emprendimiento y la apuesta decidida de apoyar este tipo iniciativas por parte del Gobierno Vasco.”

“Esta situación ha hecho que en la actualidad tengamos identificadas 29 startups que trabajan en el ámbito de la ciberseguridad en el País Vasco, un nivel de densidad elevado en proporción con respecto a otras regiones y países. Esto es especialmente relevante ya que en la actualidad existe un alto grado de dependencia tecnológica de otros ecosistemas como Estados Unidos o Israel, y la Unión Europea está poniendo en marcha iniciativas para minimizar esta situación.”

“Este crecimiento local de capacidades de ciberseguridad se vio refrendado hace unos meses con la creación de Cybasque, la Asociación de Industrias de Ciberseguridad de Euskadi, que ha sido la primera entidad a nivel estatal autorizada por parte de la Organización Europea de Ciberseguridad (ECSO) para emitir la etiqueta «Cybersecurity made in Europe».”

“Por todo ello, podemos afirmar que somos un referente estatal en emprendimiento en ciberseguridad y que, de igual modo, estamos a la cabeza a nivel regional europeo.”  

B.E.: ¿Qué reto tienen las empresas vascas en esta materia para los próximos años?

A.M.: “Desafortunadamente, el número de empresas que han sufrido un incidente de ciberseguridad se ha incrementado significativamente en los últimos años. Esto se ve claramente reflejado en que en 2017 la Ertzaintza gestionó 9217 denuncias relacionadas con ciberdelitos, y en 2020, gestionó 15728.”

“El negocio del cibercrimen se ha profesionalizado totalmente y todas las empresas que no gestionen adecuadamente su ciberseguridad corren un riesgo claro de sufrir un incidente que afecte directamente a su supervivencia.”  

Si quieres conocer más sobre esta materia, todavía puedes inscribirte al webinar sobre ciberriesgos de LK Empresas que imparte Asier este viernes junto a Gaizka Aralucea, CISO de Seguros Lagun Aro, y Ainara González, Responsable de cyber del Grupo Asterra este viernes 7 de mayo.