El miércoles 4 de noviembre estuve en la primera jornada del VI Encontro CIBER.gal, el encuentro gallego de ciberseguridad que organizan CIBER.gal y la AMTEGA, con el CPEIG como coorganizador, en el Edificio Fontán de la Cidade da Cultura. Fui en nombre de ACBSEC y de Usoarit, con mis socios Anxo Pereira y Melissa Toledo. Estas son las ideas con las que me quedo.
Priorizar las industrias críticas
Se habló mucho del sector del agua, y con razón. Pero las últimas semanas han dejado dos ejemplos más cercanos.
El 28 de octubre hubo el choque de trenes de Urda, en Toledo. Las primeras informaciones apuntan a un fallo de comunicación entre ordenadores del sistema de seguridad de la línea. No hay indicios de que fuera un ciberataque y la investigación sigue abierta. Aun así, que falle un sistema informático del que depende la seguridad de las personas en una infraestructura crítica también es ciberseguridad: disponibilidad, resiliencia y capacidad de respuesta cuando algo se sale de lo previsto.
El otro ejemplo son los supermercados franceses. Desde el 11 de octubre, varios ataques han afectado a controladores de refrigeración conectados: según el Gobierno francés, unos 700 supermercados, con una segunda oleada a comienzos de noviembre en otros países europeos. La atribución no está confirmada. Aquí no se ha robado ningún dato: se ha cortado el frío.
Para decidir qué se protege primero hay que mirar lo que sostiene la vida diaria, y eso incluye el agua, el transporte y la cadena de frío.
Gobierno y legislación
Varias charlas trataron la estrategia y las leyes como si fueran lo mismo. La ley (NIS2, el Reglamento de IA) fija lo mínimo exigible y ante quién se responde. El gobierno de la ciberseguridad lo decide cada organización: qué activos importan, qué riesgo asume, qué recursos dedica y quién rinde cuentas. Se puede cumplir sobre el papel sin tener un gobierno real de la seguridad. Para el punto de partida en NIS2 tienes esta guía.
La IA no se bloquea
La IA es el presente. No tiene sentido plantearse «no utilizarla» o «bloquearla»; lo que toca es decidir cómo se usa y con qué controles.
En el café salió un problema concreto: al filtrar currículums con IA aumenta el riesgo de que los candidatos finjan todo su CV para pasar ese primer filtro. Fue una conversación entre cafés, no un dato medido, pero encaja con lo que tratamos en la guía de IA en selección de personal.
Desde ACBSEC
Por los proyectos que tenemos ahora mismo sobre la mesa, la IA y su adecuación a las normas está en boca de todos. Todo el mundo quiere usarla bien y pocos saben cómo. Es el terreno de la consultoría de ciberseguridad en IA.
Desde Usoarit
Hay una preocupación general por cómo va a afectar la IA a los equipos de recursos humanos y a su relación con las personas trabajadoras. El componente social es clave. Para mí no tiene sentido que no concibamos la IA como un trabajador más, con el que la gente tiene que saber interactuar.
Toni
Ayudo a empresas a encajar la IA con sus obligaciones de cumplimiento, desde la política de IA hasta la relación real entre la ISO/IEC 42001 y el Reglamento de IA. Si estás en ese punto, hablamos.