Este organismo es clave en la protección de las infraestructuras críticas de Euskadi desde que se puso en marcha hace tres años.

En el marco del 𝗜𝗜𝗜 𝗙𝗼𝗿𝗼 𝗥𝗲𝗴𝗶𝗼𝗻𝗮𝗹 𝗱𝗲 𝗖𝗶𝗯𝗲𝗿𝘀𝗲𝗴𝘂𝗿𝗶𝗱𝗮𝗱 𝗱𝗲 𝗜𝗦𝗠𝗦 𝗙𝗼𝗿𝘂𝗺 𝗘𝘂𝘀𝗸𝗮𝗱𝗶, que tuvo lugar hace unos días, Javier Diéguez, Director de Cyberzaintza,abordó la importancia de la 𝗰𝗶𝗯𝗲𝗿𝘀𝗲𝗴𝘂𝗿𝗶𝗱𝗮𝗱 𝗲𝘀𝘁𝗿𝗮𝘁é𝗴𝗶𝗰𝗮 como palanca para la resiliencia empresarial y territorial. En esta entreviste realizada tras su intervención destaca el papel clave de esta entidad para liderar la actual Estrategia Vasca de Ciberseguridad para el periodo 2024 a 2029 y cree que la trasposición de NIS2 en nuestro país va a ser un aliado para el desarrollo de la citada Estrategia.

“En estos momentos estamos preparando el llamado Plan de Apoyo de Ciberseguridad que es un mecanismo que está basado en una serie de pasos. Estos pasos van desde el recabar información básica a los agentes que pueda ser relevante, esa información a Cyberzaintza la va a decir en qué nivel de madurez se encuentra esa organización y qué servicios podría tener sentido prestarles”, destaca.

¿Qué puede destacar de su intervención este III Foro Regional ISMS Forum Euskadi y de los dos años de vida de Cyberzaintza, como entidad?

La primera valoración que hacemos es la oportunidad para poder compartir el papel de Cybertzainzta, como agente clave del sistema vasco de ciberseguridad.

ISMS Forum tuvo un gran poder de convocatoria a la hora de reunir a un grupo importante de profesionales de distintas organizaciones para explicarles qué papel está jugando esta Agencia dentro de todo el puzzle de agentes de este ecosistema.

¿Cómo está afectado el fenómeno de los ciberataques a las infraestructuras de Euskadi y qué medidas implementa Cyberzaintza para mitigar ese impacto?

Nos preocupa el incremento que ha habido de ciberataques, tanto a nivel general como en el seno de Euskadi. Al final estamos hablando de una dinámica constante la llegada de ciberataques. Siempre hablamos de las infraestructuras sensibles, es decir aquellas que son importantes para Euskadi pero que no están dentro del ámbito del CNPIC.

Las infraestructuras con el apellido de críticas es una competencia estatal. En Euskadi si tenemos un programa especial para otras infraestructuras que las llamamos sensibles que son suficientemente importantes para el territorio y a esas nos dedicamos.

En ese sentido, les ofrecemos algunos servicios que van a desarrollarse mucho en los próximos doce meses, sobre todo por el paso de la Agencia Vasca de Ciberseguridad al Departamento de Seguridad del Gobierno Vasco vamos a trabajar con la dirección que coordina actualmente la protección de estas infraestructuras en una oficina integral. En ese contexto será Cyberzaintza quien las proteja desde una óptica ciber.

En estos momentos estamos preparando el llamado Plan de Apoyo de Ciberseguridad que es un mecanismo que está basado en una serie de pasos. Estos pasos van desde el recabar información básica a los agentes que pueda ser relevante, esa información a Cyberzaintza la va a decir en qué nivel de madurez se encuentra esa organización y qué servicios podría tener sentido prestarles.

A partir de ahí se establece una relación permanente y continua donde se hace un seguimiento de todas las actividades que se realizan con dicha organización, se hace una relación bidireccional en la que esa organización puede expresar su intención o preferencia por acceder a determinado servicio o por dejar de utilizar alguno que no hiciera falta, amén de proponer mejoras de ese servicio por su uso.

Es una relación permanente y constante. Esperamos arrancar este modelo a la vuelta del verano. A partir de ahí empezaremos con unas organizaciones para extender luego el servicio en todo el 2026 al resto.

¿Qué puede decirnos de la Estrategia Vasca de Ciberseguridad, que Cyberzaintza ha liderado para   el periodo 2024-2029, buscando convertir a Euskadi en un país ciberresiliente?

Uno de los cometidos que se encomendó a la Agencia Vasca de Ciberseguridad en el momento de su creación en el año 2023 fue precisamente fue el definir y dinamizar la Estrategia Vasca de Ciberseguridad. En ese sentido quedaron definidos los cuatro ejes principales de actuación que están orientados tres de ellos a los públicos objetivos de nuestro trabajo: sector público, sector privado y la ciudadanía.

Junto a ellos hay un cuarto eje que es más transversal. Tiene que ver con el posicionamiento internacional del territorio, que también tiene que ver con la ciberseguridad. En este contexto estos son los cuatro ejes principales, durante mi ponencia en el Foro Euskadi ISMS Forum me centré sobre todo en el eje del sector privado porque era el que más venia a cuento con el foro en el que estábamos

Esta Estrategia trata de ser algo transversal, para cubrir esos cuatro ámbitos que le he mencionado y también es cierto queCyberzaintza no aspira a hacer todas las actividades de la estrategia.

Lo único que aspira es que se hagan esas actividades, que se dinamicen y coordinen desde el lugar que tenga más sentido hacerlo, eso sí, todo ello bajo el paraguas de unos órganos de gobernanza definidos y coordinados por la Agencia que hagan que todas las actuaciones de ciberseguridad en Euskadi respondan, sean coherentes y respondan a dicha Estrategia

Recientemente su entidad puso en marcha un simulacro de ciberataque con algunas entidades públicas de Euskadi ¿Qué resultados han tenido y que importancia tiene la realización de estos ejercicios?

Nosotros desde que arrancamos como AgenciaVasca de Ciberseguridad siempre hemos recomendado como buenas prácticas generales a empresas y organizaciones que hagan este tipo de entrenamientos de cara a prepararse cuando llegue un ciberincidente.

De esta manera se trata que en el momento que se enfrenten con un episodio a nivel práctico, no tengan que pensar y sepan lo que tienen que hacer en cada momento. Se trata de implementar el protocolo que hayan definido con anterioridad para este tipo de situaciones. Es una insistencia que llevamos haciendo en los últimos tres años.

Todo empezó con la invasión rusa de Ucrania, incluso cuando no éramos Agencia. Pusimos en marcha un  grupo de colaboración interinstitucional, con el cual, sobre todo con instituciones públicas empezamos una dinámica de entrenamiento y simulación de incidentes. Utilizamos role playes y determinadas acciones puntuales orientadas a que se aprendiera dicha dinámica.

De cara al futuro, ahora que nos vamos a ocupar de las infraestructuras sensibles que van más allá del sector público, vamos a extender la dinámica a todos los sectores. Haremos prácticas globales y otras sectoriales tratando de simular escenarios de alta probabilidad que puedan producirse desde un ataque de ransomware, o de denegación de credenciales por grupos activistas. Esta tendencia se intensificará el año que viene con los nuevos servicios que pondremos en marcha.

¿Cómo cree que puede ayudar al tejido empresarial y a las propias infraestructuras la aprobación de la normativa como Dora o Nis2?  

Creo que la regulación tiene varios ámbitos positivos. Al obligarte a realizar ciertas cosas empuja a empresas y organizaciones hacia la madurez. Además, desde la óptica privada hay otra perspectiva que deben tener en cuenta que son las posibles sanciones por no cumplir con la normativa vigente.

Al mismo tiempo, si nos abstraemos de este entorno y nos centramos en NIS2 hay que darse cuenta de que se extiende su ámbito de actividad de 12 a 18 sectores. El Plan de Protección de Infraestructuras Sensibles de Euskadi estaba basado en la sectorialización en doce grupos que no eran los mismos de la Ley PIc 8/2021 de 28 de abril de protección de infraestructuras críticas, pero eran similares.

La extensión a dieciocho sectores por la futura trasposición de Nis2 nos va a permitir meter en este paraguas de protección a un numero mayor de organizaciones y sectores de los que estábamos haciendo hasta hoy. Desde ese puno de vista es positivo y al mismo tiempo un reto que abordamos con ilusión porque es uno de los objetivos de la propia Estrategia Vasca de Ciberseguridad. Esta nueva NIS encaja bien con nuestra Estrategia y con el role de Cybertzainzta para posicionarse como un elemento clave en la mejora de la resiliencia

Por último, ¿Qué impacto puede tener el uso de la tecnología de IA para la lucha contra los ciberataques?  ¿Está ya la Ciberzaintza, trabajando con alguna herramienta de forma específica?

Estamos en el momento de evaluar algunas herramientas para la labor de protección que hacemos en nuestra actividad diaria, no solo a nivel técnico sino incluso en el ámbito normativo donde hay que revisar documentación y ofrecer respuestas a cierto tipo de dudas de las organizaciones afectada etc., por ahí tiene otro uso.

Al mismo tiempo el uso de la IA como herramientas nos puede permitir dar un mejor servicio, sobre todo en comunidades heterogéneascomo la nuestra. Gracias a esta tecnología disruptiva podemos ser más eficientes. En el futuro, las organizaciones se dirigirán a un servicio y esta IA podrá atenderles de forma independiente del volumen e intensidad de esa interacción.

La utilidad es clara para la respuesta y prevención de ciber incidentes, y al mismo tiempo hay ámbitos distintos como antes le comentaba en nuestra relación con las organizaciones. Es un aliado para que Cyberzaintza a corto y medio plazo sea más eficiente.