Ciberseguridad: «los "hackers" son una amenaza constante»
Bernd y Marcel Steinkühler de Correct Power Institute, empresa especialista en IT, analizan los ataques procedentes de internet y los posibles mecanismos de defensa.
En esta página:
¿Debe resignarse una empresa simplemente a que la ataquen ciberdelincuentes?
Bernd Steinkühler: Cuando un lugar como un centro informático se conecta a internet, el ataque de los «hackers» se produce, en términos estadísticos, a los dos minutos como mucho. Si los delincuentes consiguen acceder a la fuente de alimentación, pueden incapacitar a la empresa. Sin embargo, a menudo ocurre que los «hackers» llaman utilizando un teléfono móvil desechable y dicen «Si no pagan X cantidad en cinco minutos, están acabados». Por lo general, las empresas pagan.
¿Con qué motivación actúan los «hackers»? ¿Los contrata el Banco A y les paga para atacar al Banco B?
Bernd Steinkühler: La mayoría de las veces, se trata de empresas chinas o rusas que contratan piratas informáticos para perjudicar a sus competidores. Tras ellos se esconden grupos perfectamente organizados, que es por lo que las empresas extorsionadas suelen pagar sin pensárselo, ya que saben con certeza que les pueden cortar la electricidad en diez minutos.
¿Es realmente así de sencillo?
Marcel Steinkühler: Es aún más sencillo. Un directivo se deja su teléfono móvil en un taxi; el conductor lo encuentra y se lo vende a un delincuente, que lo usa para acceder al cortafuegos de la empresa. Esto ocurre más rápido de lo que imagina. La red al completo de la empresa puede quedar inservible en minutos. Los teléfonos móviles son actualmente el principal punto de acceso. Este fraude está afectando en estos momentos al sector bancario londinense.
La principal amenaza es la conexión despreocupada de dispositivos a internet.
Bernd Steinkühler
Correct Power Institute
¿Gestionan las empresas sus datos de forma imprudente?
Bernd Steinkühler: No siempre son conscientes de lo que puede suceder. La principal amenaza es la conexión despreocupada de dispositivos a internet. Si hay una arquitectura sensible detrás de ese dispositivo, como por ejemplo, una planta de tratamiento de agua, ese descuido puede tener graves consecuencias. Si los «hackers» desconectan las bombas, varios miles de personas se quedan al instante sin suministro. Por eso son tan importantes las pruebas de penetración, para encontrar vulnerabilidades en la arquitectura. Pero hasta hace poco, estas pruebas no siempre se llevaban a cabo de forma sistemática. Las empresas están empezando a reconsiderar progresivamente esta práctica negligente y la seguridad de la IT está creciendo en importancia. Para los bancos, se ha convertido en el aspecto más importante. Toda la arquitectura que se está desarrollando en este sector es segura desde el punto de vista de la IT . Como proveedores de servicios, nuestra misión es proteger las vías de transferencia de datos mediante la aplicación rigurosa de métodos de cifrado. De esta forma, acabamos con los vectores de ataque en la internet abierta.
Si alguien quisiera, ¿podría protegerse al 100 % de los ciberataques?
Bernd Steinkühler: Siendo sinceros, los «hackers» nos ponen a prueba cada día y no existe un nivel de seguridad del 100 %. Cada sistema tiene un punto débil, independientemente de lo bien construido que esté. Sin embargo, si una empresa hace hincapié en la ciberseguridad y emplea a cien personas para velar por ella, los «hackers» tendrán que esforzarse mucho más para lograr su cometido. Una persona sola, por otra parte, no tiene ni la más mínima posibilidad frente a ellos. Hemos incorporado numerosos obstáculos a nuestro sistema para supervisar los parques de servidores: confiamos en el cifrado y en la detección de intrusos, lo que significa que también vigilamos el tráfico en nuestra red protegida. Si detectamos patrones sospechosos, rechazamos los paquetes de datos e interrumpimos su transferencia. Con ello, también aprendemos a localizar carencias de seguridad. Además, nuestra arquitectura está diseñada para que únicamente determinados servidores, no todos, puedan acceder a la infraestructura supervisada. Los empleados tienen que iniciar sesión mediante un proceso de identificación de dos factores y solo obtienen acceso virtual. Nunca acceden físicamente a la sala de los ordenadores. Esto es esencial: todo debe permanecer oculto para evitar ataques.
¿Cuánto tiempo lleva establecer un concepto de seguridad?
Bernd Steinkühler: Ernst & Young tardó dos años en certificar nuestra arquitectura, y el proceso de optimización aún continúa. En el primer ataque realizado durante la prueba de penetración de Ernst & Young, detectamos 51 vulnerabilidades. Por supuesto, intentamos subsanarlas, pero tras la decimotercera, no había solución posible, porque sencillamente eran demasiadas y no podían solventarse. Tuvimos que aceptar que había demasiados sistemas en uso susceptibles de sufrir penetraciones. Por lo que reformamos completamente la arquitectura; en términos sencillos, levantamos un muro elevado alrededor de ella con cifrado y un producto Netscaler que también funciona de cortafuegos y punto de control: todos los sitios web que pueden establecer conexiones con el exterior se volvieron a blindar y proteger. Nuestra arquitectura de seguridad parece un fortín: Solo unas pocas puertas llevan al exterior, y lo hacen bajo una supervisión minuciosa.
Nuestra arquitectura de seguridad parece un fortín: Solo unas pocas puertas llevan al exterior.
Bernd Steinkühler
Correct Power Institute
Su clientela está compuesta por empresas de diferentes sectores. ¿Hay alguna solución de seguridad que pueda servir de modelo para todo?
Bernd Steinkühler: Cada solución debe verificarse siempre individualmente. El concepto correcto se basa en última instancia en cómo se supone que salen los datos del centro informático. Las distintas posibilidades deben incorporarse al departamento de seguridad del cliente. Además, son varias las normas aplicables. El nivel de protección básica del BSI se considera la biblia de la ciberseguridad. Su simple consideración significa que al menos se ha alcanzado un nivel de protección básica. El resto debe adaptarse a los requisitos individuales.
Su clientela está compuesta por empresas de diferentes sectores. ¿Hay alguna solución de seguridad que pueda servir de modelo para todo?
Bernd Steinkühler: Cada solución debe verificarse siempre individualmente. El concepto correcto se basa en última instancia en cómo se supone que salen los datos del centro informático. Las distintas posibilidades deben incorporarse al departamento de seguridad del cliente. Además, son varias las normas aplicables. El nivel de protección básica del BSI se considera la biblia de la ciberseguridad. Su simple consideración significa que al menos se ha alcanzado un nivel de protección básica. El resto debe adaptarse a los requisitos individuales.
El nivel de protección básica del BSI se considera la biblia de la ciberseguridad. Su simple consideración significa que al menos se ha alcanzado un nivel de protección básica.
Bernd Steinkühler
Correct Power Institute
¿Qué papel desempeñan los controladores WAGO en su concepto de seguridad?
Bernd Steinkühler: Uno bastante decisivo. Los sistemas operativos basados en PC tienen que recibir actualizaciones de seguridad semanales para poder prestar el grado de ciberseguridad suficiente. Los controladores WAGO no necesitan revisiones porque se basan en un reforzado sistema operativo Linux®; la seguridad es prácticamente intrínseca. Además, los controladores de WAGO incorporan dos interfaces que permiten separar el nivel de aplicación del nivel de gestión, lo que también constituye una importante función de seguridad.
Marcel Steinkühler: Y no nos podemos olvidar de que los sistemas basados en PC incorporan interfaces USB. Desde el punto de vista de la seguridad, estas interfaces son las más débiles. Si inserta una memoria Flash infectada, el virus se propagará inmediatamente por el sistema. Es difícil de creer, pero esto ocurre continuamente en los centros informáticos; alguien accede a los servidores, abre el rack del servidor y se acabó. El gusano informático Stuxnet penetró en la red a través de una memoria Flash USB y manipuló los equipos de control de instalaciones industriales repartidas por todo el planeta. Estos tipos de problemas se pueden evitar con las funciones de seguridad adecuadas.
Y ahora Industria 4.0 está llamando a la puerta.
Marcel Steinkühler: Los peligros que representan los «hackers» pueden ser colosales. Si combinamos el suministro de materias primas, las fábricas y todo el proceso de fabricación (que, por supuesto, es el objetivo) y no mejoramos simultáneamente la ciberseguridad, empresas enteras pueden venirse abajo. Por este motivo, nuestras aplicaciones de supervisión se ejecutan en la nube alemana. La seguridad está prácticamente integrada en la arquitectura.
Entrevistas con WAGO
Opiniones expertas sobre ciberseguridad
Entrevista
Ciberseguridad en la industria de la construcción naval
Los constructores de barcos, los integradores de sistemas y las empresas navales están entusiasmadas con las nuevas oportunidades que ofrece Naval 4.0 El catedrático Karl-Heinz Niemann analiza con WAGO las oportunidades y desafíos.
Entrevista
Fábrica inteligente y ciberseguridad
El catedrático Jörg Wollert explica los primeros pasos en el camino hacia la fábrica inteligente. También señala los aspectos en los que las corporaciones no pueden permitirse un descuido.
Digitalización con WAGO:
Estaremos encantados de responder a sus preguntas.
Estaremos encantados de responder a sus preguntas.
Oficina Principal Madrid
Servicios adicionales
Lectura recomendada
Ideas para los retos del mañana
Gestión de la energía
Identificar y explotar el potencial
Ahorrar energía beneficia al medioambiente y también a su negocio. Un análisis adecuado y adoptar las medidas oportunas pueden proporcionar beneficios sostenibles. WAGO es su partner en gestión efectiva de la energía.
Gestión de la iluminación
La solución inteligente para los controladores de iluminación
Poner en marcha su sistema de iluminación más rápidamente y reducir los costes con una sencilla operación: ¡con WAGO, es posible!
