Alejandro Ramos: "Las compañías deben ofrecer entornos seguros a los usuarios de Internet"

Ramos lleva tan solo unos meses como máximo encargado de la ciberseguridad en Telefónica a escala global después de cinco años en ING. El directivo combina su labor en la empresa con un rol de peso en la comunidad investigadora, además de haber sido uno de los fundadores del popular blog "Security By Default" y autor del libro "Hacker Épico". También es profesor asociado en la Universidad Europea de Madrid donde imparte clases desde 2009. Fruto de esta actividad, recibió el pasado mes de septiembre el premio "ComputerWorld" al CISO del año.

-¿En qué consiste exactamente su trabajo?

-Soy el responsable global de la ciberseguridad de Telefónica. Vigilo la integridad, confidencialidad y disponibilidad de la información que maneja el grupo.

-¿Con qué tipo de datos trabaja?

-Todos los que generamos y recibimos de nuestros proveedores. En realidad, todos los datos de la compañía. El departamento de ciberseguridad trata de anticiparse a todos los ataques informáticos que se puedan producir y de controlar todas las posibles amenazas.

-¿Van los "malos" más rápido que ustedes?

-Es la historia del policía y el ladrón. Los malos siempre van por delante. Tecnológicamente hablando es muy difícil anticiparse y lo que hacemos es intentar pensar como ellos, deducir en qué están trabajando para que, cuando tengan el ataque listo, podamos prevenirlo.

-¿Su tecnología está más avanzada?

-En general, no, pero intentan buscar grietas en nuestros sistemas de seguridad.

-¿Qué tipo de amenazas hay?

-Debemos diferenciar a los cibercriminales, que por lo general "solo" buscan conseguir dinero fácil, y luego otras amenazas más peligrosas como pueden ser organismos gubernamentales que están buscando objetivos estratégicos.

-¿De dónde vienen los ataques?

-Es difícil atribuirlos, porque en Internet es fácil hacerse pasar por otra persona. Pero hay ciertos patrones. Se ven muchos de países asiáticos, de Turquía, Brasil o de Rumanía si hablamos de dentro de Europa. Pero en general no nos fiamos. Basta decir que hay gobiernos que simula sus propios ataques como procedentes de otros países.

-¿Qué tipo de información buscan?

-Sensible o estratégica. Nosotros somos una empresa de telecomunicaciones y ciertos datos, como quién llama a quién, pueden tener muchas repercusiones. En el caso de grandes empresarios, por ejemplo, las llamadas cruzadas pueden ser indicativas de alguna negociación. También hay otro tipo de ataques que buscan dinero, cambiar los números de cuenta de algunas grandes transacciones para que se ingresen en sus cuentas.

-Vemos qu e la ciberseguridad ya es tenida muy en cuenta por los gobiernos y por las grandes compañías. ¿Es necesario hacer más hincapié con el ciudadano de a pie?

-Queda mucho por avanzar. No tanto en los nativos digitales, que ya han nacido con esta tecnología, sino en las personas de mediana edad a las que les cuesta mucho comprender según qué cosas.

-¿Y hace falta más concienciación?

-Es un tema generacional, irá llegando con el tiempo. Pero creo que las compañías tendrían que apostar porque esta concienciación no fuera tan necesaria. Me explico. La estrategia debe ser facilitar la vida al usuario creando un entorno seguro en Internet. No queremos enseñar a todo el mundo a poner una contraseña segura, lo que pretendemos es que el sistema no deje poner una que no lo sea. Delegar la responsabilidad total al usuario sobre la seguridad el Internet es un error y las compañías debemos entregar productos que, por defecto, sean seguros.

-¿Es la sociedad ahora más vulnerable?

-Desde el punto de vista tecnológico, desde luego. Estamos mucho más expuestos. Ahora pasamos un momento de transición tecnológica y habrá que trabajar hasta que controlemos la seguridad y lleguemos a un nivel superior.

-Hace años muchos no habrían pensado siquiera en acceder a su cuenta bancaria a través del móvil y ahora se ha convertido en algo habitual. ¿Cuál es el futuro?

-Nadie niega que caminamos hacia el "Internet de las cosas", que la lavadora nos avise cuando ha terminado o que podamos encender la calefacción de casa desde el trabajo. Cada vez tendremos más dispositivos. Ahora cualquier persona ya tiene muchos, desde la televisión a la iluminación de la casa, pero en el futuro habrá bastantes más, todo estará conectado.

- Esto les supone nuevos retos.

-Desde luego. Son cambios en el paradigma y las medidas a tomar en el futuro están ahora encima de la mesa. Más que nuevos estándares, hay que decir que ahora hay ciertos puntos reconocidos internacionalmente pero que no son de obligado cumplimiento. Hace falta una regulación para que las pruebas de seguridad se realicen de forma obligatoria.

-¿Qué debe primar, la seguridad o la privacidad de los usuarios?

-Es un tema delicado. En el mundo anglosajón prima la seguridad y no importa tanto la privacidad del usuario. De hecho, estos países son la cuna de las redes sociales. En Europa se legisla más mirando a la privacidad. Creo que debe haber un equilibrio, debemos ser capaces de establecer las medidas de seguridad necesarias sin vulnerar la privacidad de los usuarios.

-¿Qué recomendaciones haría a un usuario de a pie sobre cómo mantener su ciberseguridad?

-Básicamente, tener sentido común. El mayor problema suele ser utilizar el mismo par de usuario-contraseña en muchos sitios, lo que nos hace más vulnerables. También conviene instalar antivirus y organizaciones para que no nos infecten el sistema.

-Siempre se oyen recomendaciones para tener cuidado con las redes wifi públicas. ¿Hasta que punto es un riesgo?

-Lo mismo, sentido común. La conexión suele ser segura, pero siempre existe un riesgo a tener en cuenta. Si vamos a acceder a información especialmente sensible o se desconocen las implicaciones que puede tener el acceso desde una red pública, lo mejor es no entrar. Sin embargo, para navegar por redes sociales, páginas de Internet sin mayor riesgo aparente o en foros, no debería haber problemas aunque utilicemos una wifi pública.