Los datos están en el corazón de la transformación digital. El acceso y la capacidad de utilizar volúmenes de datos cada vez mayores son factores esenciales para la innovación. La importancia de los datos, especialmente en sectores críticos, está atrayendo la atención del cibercrimen. El tema de la ciberseguridad y los ciberataques es cada vez más importante para nuestra sociedad, enfrentada a un aumento masivo de ataques en todo el mundo, con enormes daños económicos para las empresas objetivo, tanto públicas como privadas. Las amenazas cibernéticas al sistema del país se han vuelto cada vez más sofisticadas y generalizadas.
Los resultados del Panorama de Amenazas 2023, el informe anual de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) que ofrece una visión detallada del panorama de amenazas de ciberseguridad, muestran un aumento en los incidentes de ciberseguridad; desde julio de 2022 hasta junio de 2023, hubo aproximadamente 2,580 incidentes, 220 de los cuales afectan específicamente a dos o más Estados miembros de la UE. Los sectores más afectados incluyen las autoridades públicas con un 19% y la salud con un 8%. Sin embargo, el 6% de todos los eventos están dirigidos a los sectores de manufactura, transporte y financiero.
En respuesta a los desafíos del cibercrimen, se realizaron esfuerzos en 2022 para fortalecer el marco de la legislación de ciberseguridad, tanto a nivel europeo como nacional, con una serie de políticas y propuestas regulatorias, certificaciones y nuevas directivas de la UE y nacionales destinadas a gestionar el riesgo cibernético.
Legislación de Ciberseguridad: La Perspectiva Europea
En el paquete de medidas para el futuro digital de Europa, la Estrategia Europea de Datos es de gran importancia en el tejido social, propuesta en febrero de 2022 con el objetivo de crear un mercado único de datos que garantice la competitividad global de Europa y la soberanía de los datos.
Consiste en un conjunto de iniciativas legislativas presentadas por la Comisión Europea y ya en vigor: Ley de Servicios Digitales (DSA); Ley de Mercados Digitales (DMA); Ley de Gobernanza de Datos (DGA); Ley de Datos (DA). También muy recientemente, el 11 de enero de 2024 entró en vigor la Ley de Datos (DA), que garantizará la equidad en el entorno digital al aclarar quién puede crear valor a partir de los datos y bajo qué condiciones. La ley de datos entrará en vigor en más de un año, el 12 de septiembre de 2025.
A nivel europeo y en cascada a través de los estados miembros, es importante recordar la adopción en noviembre de 2022 de la Directiva NIS II que actualizó y revisó la NIS (Directiva UE 2016/1148) con obligaciones más claras y estrictas sobre ciberseguridad, así como la provisión de mayores cargas y responsabilidades en relación con este tema.
La Directiva NIS 2 se integra con las diversas regulaciones y directrices europeas sobre protección de datos y privacidad, en primer lugar el Reglamento General de Protección de Datos de la UE 2016/679 (GDPR) pero también el Reglamento DORA (Ley de Resiliencia Operativa Digital, Reglamento UE 2022/2554), la Directiva CER (Resiliencia de Entidades Críticas), la Ley de Resiliencia Cibernética y a nivel nacional, el Perímetro Nacional de Ciberseguridad, establecido por el Decreto-Ley No. 105 de 2019. Esto asegura que las organizaciones implementen medidas consideradas apropiadas para mitigar riesgos y asegura que los productos y servicios digitales se desarrollen con un nivel mínimo de ciberseguridad.
Las obligaciones de NIS 2
El Artículo 21 de la Directiva NIS 2 define en el párrafo 1 que las entidades obligadas deberán tomar medidas técnicas, operativas y organizativas apropiadas y proporcionales para gestionar los riesgos que se plantean a la seguridad de los sistemas de información y redes que utilizan en sus actividades o en la prestación de sus servicios, así como para prevenir o minimizar el impacto de los incidentes en los destinatarios de sus servicios y en otros servicios.
Si eres una de las entidades obligadas, es necesario definir, a través de un análisis de brechas, cuáles serán las medidas técnicas, operativas y organizativas "adecuadas", con referencia directa al principio de "Responsabilidad" del GDPR, para proteger los sistemas y redes informáticas adoptando un tipo de enfoque multirriesgo. En comparación con el GDPR, la Directiva NIS 2 aclara más qué pueden ser estas medidas. La lista también incluye políticas y procedimientos relacionados con el uso de cifrado y, si es necesario, anonimización o seudonimización.
Basado en la Directiva, será esencial poder monitorear constantemente los niveles de seguridad informática y actualizar las medidas tomadas en consecuencia según las vulnerabilidades y amenazas reales, tanto internas como externas, que puedan afectar la seguridad. Por lo tanto, la Directiva NIS 2 requiere un enfoque continuo para la gestión de la Ciberseguridad, a través de la definición de objetivos claros y el monitoreo constante de los resultados obtenidos.
Cumplir con NIS2 no solo es una oportunidad para cumplir con las regulaciones, sino también una oportunidad para introducir una cultura de seguridad así como mejores prácticas técnicas y organizativas que pueden aumentar el nivel de seguridad informática.
Certificaciones y Estándares de Seguridad
Al mismo tiempo, los sistemas de certificación y los estándares de seguridad de la información, como ISO 27001:2022 y el marco de ciberseguridad NIST, también se han actualizado, en relación con los cuales se ha anunciado la Versión 2.0 para su lanzamiento en febrero de 2024. Es una de las herramientas más prácticas y efectivas para el análisis de riesgos cibernéticos, que las organizaciones pueden usar para examinar su infraestructura y tomar medidas proactivas para identificar y abordar vulnerabilidades. Recientemente, en diciembre de 2023, se publicó una enmienda al proyecto de ley de la UE de 2022 sobre la ciberseguridad de productos conectados, la Ley de Resiliencia Cibernética (o CRA), con el objetivo de fortalecer las regulaciones de ciberseguridad y garantizar productos de hardware y software más seguros.
Con referencia al marco regulatorio italiano, entre las iniciativas para contrarrestar el fenómeno de los ciberataques, también vale la pena mencionar la adopción, por decreto del Presidente del Consejo de Ministros del 17 de mayo de 2022, de la Estrategia Nacional de Ciberseguridad 2022-2026 con un Plan de Implementación adjunto, y el inicio de operaciones por el Centro Nacional de Evaluación y Certificación (CVCN). La estrategia, definida por la Agencia Nacional de Ciberseguridad (ACN), está dirigida a lograr 82 medidas para 2026 para hacer que el país sea más ciberresiliente en varios frentes.
SECO: protección garantizada de hardware y software
El propósito de este complejo y articulado escenario regulatorio es, por un lado, crear las condiciones para el desarrollo de productos digitales seguros, reduciendo sus vulnerabilidades, y por otro lado, llevar a quienes desarrollan soluciones y tecnologías para la nueva generación de dispositivos digitales a prestar mayor atención a la seguridad durante todo el ciclo de vida del producto, considerando que las elecciones hechas por los usuarios se centran cada vez más en productos seguros.
SECO se compromete a garantizar la seguridad de sus productos, tanto en términos de hardware como de software, asegurando una respuesta proactiva a los desafíos de ciberseguridad. A través del diseño orientado a la seguridad, los dispositivos de hardware de SECO y la suite de software Clea se desarrollan para facilitar el cumplimiento de los clientes con las regulaciones de la industria, como la Ley de Resiliencia Cibernética, CRA, mejorando la seguridad de los dispositivos IoT y fortaleciendo la resiliencia digital.
Los dispositivos de hardware de SECO integran componentes de seguridad dedicados, como el Módulo de Plataforma Confiable (TPM), un procesador criptográfico diseñado para implementar medidas de seguridad avanzadas como el cifrado de datos, y el temporizador watchdog, un componente que asegura la estabilidad y seguridad de un dispositivo. Al monitorear constantemente el funcionamiento del sistema, el watchdog detecta fallos o bloqueos y puede desencadenar acciones correctivas automáticas, minimizando el tiempo de inactividad y manteniendo la seguridad operativa.
Estas tecnologías avanzadas complementan las medidas de seguridad del software, incluida la función de Arranque Seguro, que evita que el software malicioso se inicie al permitir solo la ejecución de controladores de Interfaz de Firmware Extensible Unificada (UEFI) previamente autorizados y seguros. Además, cada dispositivo viene con un sistema operativo robusto que admite actualizaciones remotas seguras y tolerancia a fallos en sistemas críticos gracias al uso de particionamiento dual, optimizado para la integración con la suite de software Clea. Este enfoque integrado asegura el más alto