Lo que nos dejó un evento de ciberseguridad con el mar de fondo
Ayer estuvimos en la V Jornada de Ciberseguridad frente al mar, un encuentro organizado por COITTA/AAGIT sobre ciberseguridad con el Mediterráneo de fondo. Suena casi contradictorio: hablar de amenazas digitales, cibercrimen y crisis con el mar tranquilo detrás. Pero quizás por eso funcionó tan bien. Porque lo que se dijo en las mesas no fue la típica charla técnica de siempre, sino una conversación honesta sobre lo mal preparados que seguimos estando, como sociedad, para algo que ya nos ha pasado por encima.
Se habló de inteligencia artificial, de cibercrimen, de presupuestos, de banca y de por qué seguimos separando “lo digital” de “lo real” cuando ya no tiene sentido hacerlo. Nos traemos varias ideas que no dejan de rondarnos la cabeza, y las hemos ordenado para que sirvan también como una foto de dónde está hoy la ciberseguridad en España.
Índice
- “Los dos son reales ahora mismo”: la reflexión de Antonio Fernandes
- Ciberseguridad y Fuerzas de Seguridad: anticiparse al cibercrimen
- El mensaje que se repitió en todas las mesas: la falta de presupuesto
- La inteligencia artificial va más rápido que la capacidad de controlarla
- El sector financiero, en primera línea: NIS2, Banco de España y control criptográfico
- Preguntas frecuentes sobre ciberseguridad, IA y NIS2
- Lo que nos llevamos del evento
“Los dos son reales ahora mismo”: la reflexión de Antonio Fernandes
La frase se la debemos a Antonio Fernandes, docente de EIP, en su mesa sobre Ciberseguridad y Fuerzas y Cuerpos de Seguridad: anticiparse al cibercrimen. Estaba hablando de la relación entre el mundo digital y el mundo físico, y se corrigió a sí mismo en directo, casi sin darse cuenta de lo importante que era esa corrección:
“El mundo digital y el mundo real… no, el mundo digital y el mundo físico. Los dos son reales ahora mismo.”
Ese pequeño tropiezo dice más que muchas ponencias enteras. Durante años hemos hablado de “lo digital” como si fuera un espacio aparte, casi una simulación paralela a la vida “de verdad”. Y no lo es, y cada vez lo es menos. Un ataque a una infraestructura crítica, una filtración de datos personales, una extorsión online a una pyme: todo eso tiene consecuencias tan reales, tan económicas y tan humanas como un robo en la calle. La diferencia es que muchas veces no las vemos venir, porque seguimos pensando en el cibercrimen como algo abstracto, lejano, de otra dimensión.
Ciberseguridad y Fuerzas de Seguridad: anticiparse al cibercrimen
La mesa de Antonio Fernandes giró precisamente en torno a eso: cómo se investigan hoy los incidentes de ciberseguridad y cómo la colaboración entre especialistas en seguridad privada y cuerpos policiales ya no es opcional, es la única forma real de estar un paso por delante del cibercrimen organizado. Se habló de experiencias concretas de investigación, de la dificultad de perseguir delitos que no respetan fronteras, y de la necesidad de que empresas y Fuerzas y Cuerpos de Seguridad del Estado compartan información con mucha más fluidez de la que hoy existe.
La conclusión, aunque nadie la dijo así de forma tan directa, fue clara: el cibercrimen ya no se combate solo con firewalls. Se combate con inteligencia compartida, con protocolos de colaboración público-privada, y con profesionales capaces de moverse entre ambos mundos.
El mensaje que se repitió en todas las mesas: la falta de presupuesto
Hubo una idea que apareció, casi palabra por palabra, en prácticamente todas las conversaciones del día, independientemente del sector del que se estuviera hablando: sigue faltando presupuesto.
No como queja genérica de sector, sino como diagnóstico compartido por gente que está dentro del problema todos los días: consultores, docentes, responsables de seguridad. Muchos de ellos apoyaban sus argumentos con anécdotas propias, casos reales que habían vivido o gestionado, y que nos ayudaron a contextualizar mucho mejor algo que, contado desde fuera, puede sonar abstracto. Escuchado así, con ejemplos de primera mano, el diagnóstico quedó mucho más claro: la ciberseguridad continúa tratándose, en demasiadas organizaciones, como un gasto secundario o como una línea del presupuesto de IT que se recorta cuando aprietan los números. Y eso, con el nivel de sofisticación que tiene hoy el cibercrimen, es simplemente no estar preparado.
No en todas las mesas, pero sí en varias, también surgió otra idea que nos pareció igual de relevante: tratar la ciberseguridad como un problema más del ámbito público que puede desatar una crisis, con planes de contingencia reales como los que ya existen para olas de calor, temporales o disturbios en lugar de protocolos reactivos improvisados. No fue un consenso tan generalizado como el del presupuesto, pero sí una idea que apareció con fuerza en algunas de las conversaciones del día.
La inteligencia artificial va más rápido que la capacidad de controlarla
Este fue el otro hilo conductor de la jornada, y probablemente el más incómodo de todos. En todas las mesas, en algún momento, se habló de la velocidad a la que avanza la inteligencia artificial y de lo difícil que resulta mantenerla bajo control antes de que el cibercrimen la use a su favor a una escala aún mayor de la que ya lo hace.
No fue un debate abstracto sobre “el futuro de la IA”. Fue una preocupación muy concreta y muy presente: las mismas herramientas que hoy usamos para automatizar procesos, optimizar operaciones y detectar amenazas son las que, en las manos equivocadas, aceleran el fraude, el phishing hiperpersonalizado, la suplantación de identidad mediante voz o vídeo, y la ingeniería social a escala industrial. La IA no ha creado el cibercrimen, pero le ha dado velocidad, escala y un nivel de sofisticación que hace unos años era impensable para un atacante individual.
La brecha entre la velocidad de desarrollo tecnológico y la velocidad de la regulación y la formación de profesionales fue, sin que nadie lo dijera con esas palabras exactas, el elefante en la sala durante todo el día.
El sector financiero, en primera línea: NIS2, Banco de España y control criptográfico
La mesa de Sergio Padilla y Óscar Sánchez, La ciberseguridad como eje estratégico del sector financiero, bajó todo esto a un terreno muy específico y muy tangible: la banca.
Algunos de los puntos que se trataron:
- Cómo se está preparando el Banco de España frente a los riesgos actuales de ciberseguridad, en un contexto donde las entidades financieras son uno de los objetivos más atractivos para el cibercrimen organizado, precisamente por el valor directo de lo que hay en juego.
- La importancia de la actualización de la NIS2 (la directiva europea de ciberseguridad que amplía las obligaciones de gestión de riesgos, notificación de incidentes y supervisión a un número mucho mayor de sectores y empresas) como marco regulatorio que ya no es “para dentro de un tiempo”, sino una exigencia presente que ya está condicionando cómo se organizan los equipos de seguridad dentro de las entidades.
- El peso creciente del control criptográfico, la gestión, rotación y protección de las claves que cifran la información sensible como pieza central de cualquier estrategia de seguridad financiera seria, y no como un detalle técnico secundario.
Y quedó una pregunta abierta flotando en la sala, quizás la más difícil de todas: ¿cuál es la capacidad inmediata que el sector financiero necesita desarrollar ya, no a futuro, para garantizar la seguridad de sus usuarios? No hubo una respuesta única, y probablemente no la hay. Pero el hecho de que se plantee así, como urgencia y no como hoja de ruta a cinco años, dice mucho de dónde estamos como sector.
Preguntas frecuentes sobre ciberseguridad, IA y NIS2
¿Qué es la directiva NIS2 y a quién afecta?
La NIS2 es la directiva europea que actualiza las obligaciones de ciberseguridad para un número mucho más amplio de sectores considerados esenciales o importantes, entre ellos el financiero. Exige, entre otras cosas, una gestión de riesgos más estricta, notificación temprana de incidentes y mayor supervisión de la cadena de suministro tecnológico.
¿Por qué se dice que la inteligencia artificial es un riesgo para la ciberseguridad?
No porque la IA sea maliciosa en sí misma, sino porque multiplica la capacidad de los atacantes: automatiza el phishing, permite crear contenido falso muy convincente y reduce el tiempo y el conocimiento técnico necesarios para lanzar un ataque sofisticado.
¿Cómo colaboran hoy las empresas de ciberseguridad con las Fuerzas y Cuerpos de Seguridad del Estado?
Principalmente a través del intercambio de información sobre incidentes, la investigación conjunta de casos y protocolos de colaboración público-privada que todavía tienen mucho margen de mejora, según se comentó en el evento.
¿Qué salidas profesionales tiene formarse en ciberseguridad hoy?
Desde roles técnicos de análisis y respuesta a incidentes, hasta perfiles más estratégicos vinculados a cumplimiento normativo (como la NIS2), gestión de riesgos en banca, o colaboración entre el sector privado y organismos públicos.
Lo que nos llevamos del evento
Si hay algo que conecta todas las mesas de ayer es esto: la ciberseguridad dejó de ser un tema exclusivo de los departamentos de IT. Es presupuesto, es política pública, es regulación financiera, es colaboración con cuerpos de seguridad, y cada vez más, es una carrera contrarreloj contra el desarrollo de la inteligencia artificial.
Frente al mar, con todo eso sobre la mesa, quedó claro que el sector necesita perfiles que entiendan el problema en toda su dimensión: técnica, estratégica y regulatoria a la vez. Es exactamente el tipo de mirada que intentamos formar desde el Máster en Ciberseguridad de EIP, donde trabajamos con docentes como Antonio Fernandes que viven este mundo desde dentro, no solo desde la teoría.
Con todo eso sobre la mesa, quedó claro que el sector necesita perfiles que entiendan el problema en toda su dimensión: técnica, estratégica y regulatoria a la vez. Es exactamente el tipo de mirada que intentamos formar desde el Máster en Ciberseguridad de EIP, donde trabajamos con docentes como Antonio Fernandes que viven este mundo desde dentro, no solo desde la teoría.
Gracias también a COITTA por hacer posible una jornada así, con un nivel de ponentes que no es nada fácil de reunir. Esperamos que no sea la última.
