Con la llegada especialmente del anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, ¿qué oportunidades y retos representa para las organizaciones la diversidad y profusión normativa que existe actualmente en ciberseguridad?
Nos enfrentamos a un punto de inflexión importante en materia legislativa asociada a la sociedad de la información. Hace años, la protección de datos de carácter personal era el epicentro en términos normativos vinculado a los sistemas tecnológicos. Con el auge de los ciberincidentes y la preocupación por aspectos esenciales tales como la cadena de suministros, los legisladores han visto la necesidad de que las entidades den un paso adicional, especialmente en lo relativo a la resiliencia, la transparencia y la comunicación para el fortalecimiento conjunto.
La ventaja que vemos es la convergencia de muchas de las normas. Centrados en la evaluación del riesgo y la aplicación de medidas para su mitigación, hay muchos puntos comunes en todas las normas. Luego hay sus particularidades, como en el caso de la normativa Cyber Resilience Act, más enfocada en los desarrollos de software o en fabricantes de hardware, centrada en la gestión de las vulnerabilidades y la actuación temprana ante su detección. No obstante, la normativa NIS2, que es posiblemente la estrella actual dado el alcance y aplicación a entidades esenciales e importantes, favorece una armonización y unas reglas de juego comunes para todas las organizaciones. Y eso es positivo, aunque lastrará posiblemente a la cadena de suministro, porque probablemente tienen menos capacidades en todos los sentidos para adaptarse. Pero debemos entender que el campo de batalla de la ciberseguridad es un juego en el que todos participan, grandes y pequeños, debiendo estar a la altura de nuestros adversarios.
Dado que la situación geopolítica está en plena ebullición, algo que afecta tanto a la ciberseguridad como a la Administración, legislación, ciberespacio y defensa, ¿cómo ayuda su compañía a las organizaciones para reforzar la ciberseguridad, la protección de datos y el cumplimiento de la normativa?
En Izertis trabajamos en coordinación con diversos actores: autoridades, entidades públicas y empresas privadas. Con estas últimas, tanto con clientes finales como con la cadena de suministro. Tenemos, por lo tanto, una visión holística de los diferentes requisitos que nos plantean. También trabajamos en el contexto del adversario, ya que no se puede dar la espalda a una realidad en constante evolución y que en ocasiones tiene la capacidad de adaptarse casi más rápidamente que nosotros a los nuevos escenarios. Aprovechan oportunidades como las que les facilita la situación geopolítica existente.
Es por ello que afrontamos la ciberseguridad desde diferentes prismas. El primero es propio de cada organización. Ayudarle a que se conozca, a determinar las mejoras en cuanto a su protección, a evaluar y mejorar sus procesos operacionales de seguridad y a su alineamiento normativo. Aunque hay puntos comunes, cada entidad tiene su propia realidad y hay que adaptar la ciberseguridad a esta, y no al revés, ya que las organizaciones tienen sus propios genes y manera de hacer las cosas. Hemos desarrollado precisamente una solución, Sidertia, que, vinculada a los servicios que damos, permite conocer muy bien este contexto interno para una mejora en su resiliencia.
También está el prisma del adversario. No podemos darle la espalda. Los grupos de cibercrimen están cambiando y sectorizándose. Están obviando sus arsenales de aplicaciones de ataque tradicionales para interactuar con nuestros sistemas sin que salten las alertas de los sistemas de protección que hemos desplegado. Por lo tanto, este contexto, del que la legislación quiere que pongamos también en valor, es parte fundamental de las estrategias con las que planteamos dotar de más seguridad a las organizaciones.
