Me comentan que este domingo 30 de Noviembre es el día internacional de la Ciberseguridad o lo que es lo mismo, el día de la seguridad de la información. Estoy seguro que en este momento los tres o cuatro lectores de este blog (entre los que se incluye mi hijo de 4 años) se han lanzado a google (mi hijo también) a verificarlo, encontrando otras fechas como el 6 de abril por ejemplo. En cualquier caso esta celebración es un buen momento (ya nos ponemos serios) para revisar uno de los aspectos más importantes y peor cubiertos en la actualidad, como es la formación en Ciberseguridad.

Es evidente que la sociedad actual depende de las nuevas tecnologías e Internet para su correcto funcionamiento, bienestar y progreso. Lo observamos en todos los ámbitos de la vida, tanto a nivel profesional como personal. Es precisamente esta altísima dependencia en la tecnología lo que nos hace vulnerables. Imaginemos el impacto en la economía de una empresa si ésta viera comprometidos sus datos más sensibles y estratégicos. Dependiendo del tamaño y función de la empresa podría incluso a suponer un impacto a nivel país. Acaba de suceder recientemente en Estados Unidos, en un ciberataque coordinado que ha comprometido una cantidad ingente de datos sensibles de varias entidades financieras, incluyendo la institución financiera más grande del mundo, JPMorgan. El FBI y el Servicio Secreto están involucrados en la investigación. Y se presume que otras infiltraciones en grandes bancos europeos pueden estar relacionadas con este hecho. Y debemos tener en cuenta que el sector financiero es probablemente de los que tienen un nivel de madurez más alto en materia de ciberseguridad. Imaginemos otros sectores mucho más desprotegidos, como las PYMES. Podríamos poner innumerables ejemplos de ataques a grandes empresas, organizaciones estratégicas, y gobiernos, dado que esto ocurre diariamente.

Esta situación se debe a múltiples causas, complejas y quizá no siempre bien comprendidas. Pero sí podemos resaltar la falta de personal cualificado en Ciberseguridad como una de las más importantes. Profesionales que sepan construir tecnología más fiable, utilizar su conocimiento para la erradicación de ciberamenazas, bien sea desde los cuerpos policiales o el sector privado, u ofrecer sus servicios a las empresas para proteger eficazmente sus activos. En definitiva, se necesita más personal y mejor preparado para hacer frente a los retos que, desde el plano de la ciberseguridad, supone haber gestado una sociedad tan altamente tecnificada

Según cálculos publicados por CISCO, solo en 2014 hacen falta más de un millón de profesionales de esta especialidad a nivel mundial. En España, los datos del Servicio Público de Empleo Estatal (SEPE) (http://www.sepe.es/contenidos/observatorio/perfiles/pdf/Especialistas_ciberseguridad.pdf ) apuntan a que el número de expertos en ciberseguridad ha ido disminuyendo en los últimos años hasta situarse en niveles previos a 2005, una situación que contrasta con el aumento exponencial de los cibercrímenes y de los costes asociados. En la actualidad, una media de 23.000 personas –15.000 menos que en 2007– trabajan en España bajo perfiles como los de administrador de seguridad de red, arquitecto de sistemas de seguridad TI, comercial de software de seguridad o especialista en seguridad de la información. En la práctica, todos ellos son considerados técnicos de ciberseguridad. En España, a pesar de que según diversos estudios es el tercer país más castigado por los ciberataques, hay pocos técnicos verdaderamente preparados para prevenir y gestionar estos riesgos.

No obstante, según se refleja en el estudio de la fundación ESYS: “Necesidades de Formación en el Sector de la Seguridad 2013” hoy en día:

• No existe formación específica en ciberseguridad
• Las acreditaciones y formación exigida vienen de la demanda concreta de las empresas.
• Actualmente, sólo existen acreditaciones profesionales en los aspectos de capacidad técnica, bien proporcionadas por fabricantes de sistemas de seguridad TIC, bien otorgadas por organizaciones internaciones no sujetas a ningún tipo de legislación:
  • Todas estas certificaciones son voluntarias.
  • Sería deseable contar con un sistema de acreditación español, armonizado con Europa, centrado en características técnicas y apoyado en estudios universitarios.

Como estamos comentando en la serie de entradas sobre las estrategias nacionales de Ciberseguridad, todas incluyen como objetivo “Mejorar la capacitación de los profesionales de la Ciberseguridad así como la sensibilización y concienciación de los ciudadanos.”

A pesar de todas estas circunstancias, actualmente la oferta de grados y postgrados con alta especialización en ciberseguridad es muy escasa, y en general éstos adolecen de una adecuada orientación para formar a profesionales que cubran necesidades reales del mercado laboral. También se requiere desarrollar un Marco de Conocimientos de Ciberseguridad en los ámbitos técnico, operativo legal y jurídico y extender y ampliar los programas de captación de talento, investigación avanzada y capacitación en ciberseguridad en cooperación con Universidades y centros especializados.

Desde Indra estamos aportando nuestro granito de arena con iniciativas que se han convertido ya en realidades como el Máster Indra en Ciberseguridad por la U-tad (http://www.u-tad.com/estudios/master-indra-en-ciberseguridad/) que ya ha comenzado sus clases o la cátedra Indra de Ciberseguridad con la Universidad Carlos III (http://www.inf.uc3m.es/investigacion/19-articulos-sin-categoria/44-catedra-ciberseguridad-de-indra)

La semana que viene se celebra en Madrid Cybercamp (www.cybercamp.es) un evento sobre Ciberseguridad organizado por INCIBE enmarcado dentro del Eje V “Programa de Excelencia en Ciberseguridad” del Plan de Confianza Digital, con el objetivo de divulgar y concienciar en materia de Ciberseguridad, así como de captar talento en Ciberseguridad.