Cada día, se resuelven en España más de 330 incidentes de ciberseguridad. Dos tercios de los españoles han sufrido algún tipo de intento de fraude a través de internet. Los datos del Instituto Nacional de Ciberseguridad (Incibe) son de 2017 y este año serán, probablemente, más abultados. Hackers, phishing, ransomware y demás términos llenan titulares. La ciberseguridad está en boca de todos y ocupa un espacio cada vez más importante de la agenda pública.
En el meollo de la ciberseguridad global, protegiendo uno de los centros mundiales de investigación (del que han salido 12 premios Nóbel), está Soledad Antelada (Buenos Aires, 1977). Apasionada de la bahía de San Francisco, llegó a la ciudad en 2010 tras haber pasado casi toda su vida en Málaga. Pensaba que venía por un año, pero desde 2011 forma parte de la exclusiva División de Seguridad del Laboratorio de Investigación Nacional Lawrence Berkeley, o Berkeley Lab. La ingeniera hispanoargentina es también una de las expertas de la Fundación Cotec para la innovación.
– Cuando llegaste al Berkeley Lab, eras la primera mujer y la primera persona de origen hispano en hacerlo. ¿Sigue siendo así?
Sí, ojalá hubiese cambiado, pero no. Ahora al menos tenemos una chica becaria. Mujeres ingenieras en ciberseguridad no hay ni ha habido nunca. Profesionalmente hablando, ser mujer en el Berkeley Lab es igual que ser hombre. Pero, quieras o no, soy diferente. El esteorotipo de un ingeniero de ciberseguridad está muy marcado. De repente te encuentras en una situación a la que no perteneces. Me enfrento a este tipo de cosas a diario. Hasta que no haya una normalización de ver mujeres en este tipo de profesión esto no va a cambiar.
– Has hablado en muchas ocasiones de la necesidad de atraer talento más diverso a tu campo de trabajo, la ciberseguridad. ¿Qué es Girls Can Hack?
Es una asociación sin ánimo de lucro que cree en 2014. La fundé porque no veía mujeres en ciberseguridad ni veía que eso fuese a cambiar. Esta iniciativa busca atraer más mujeres a la profesión. Lo que hacemos es, sobre todo, proporcionar muchísima información, ofertas de trabajo, tickets para conferencias, meetups, charlas en colegios e institutos… En 2019 espero darle un empujón bastante grande en el área de la bahía de San Francisco y, aprovechando mi background, en América Latina y España.
– Cuando llegas a Silicon Valley, ¿qué diferencias notas con la forma de trabajar de España?
La principal diferencia que noté fue la eficiencia en el trabajo. El decir «hay que hacer una cosa» y se hace. La puntualidad también se toma muy en serio. No hay que preocuparse de ciertas cosas, como ir detrás de la gente, así que la productividad es mayor. En esta área en particular (San Francisco y Silicon Valley) no existe prejuicio a la hora de expresar ideas. Siempre hay gente dispuesta a escuchar. La genialidad está ahí, solo hace falta gente que escuche las ideas. Se incentiva el pensamiento out-of-the-box.
– Sobre todo, suponemos que hay inversores dispuestos a escuchar.
Exacto. Los inversores no quieren escuchar siempre la misma idea. No quieren ver a una persona que va a hacer una idea normal. Quieren alguien con una pasión, que vaya a hacer algo extraordinario, que apunte a la luna. Así es como se consiguen las grandes cosas. Esto es algo que funciona a nivel de startup, pero también a nivel de empleo. Al final, se potencia mucho la creatividad.
Cuando algunos conocidos me pedían que les mirase algo en el ordenador no lo hacía. Porque yo veo cosas que nadie ve. Y no quiero ver nada que no tenga que ver.
– ¿Qué es lo que te lleva a trabajar en ciberseguridad?
La curiosidad. Fui mucho tiempo programadora, pero me aburrí. Me gustaba, pero era un trabajo demasiado estático para mí. No había tantos retos. En 2010 nadie sabía qué era la ciberseguridad. Poca gente sabía qué eran los hackers. Se empezaban a intuir los problemas que había por robo de información, por hackeo de sistemas… Me atrajo que mucho saber que existía un campo desconocido en que solo un puñado de personas eran expertas. Era misterioso. Así que me lancé y me puse a estudiar ciberseguridad.
Fui al City College de San Francisco a estudiar un máster. Pensé en dónde iba yo a aprender sobre este campo. No había muchas cosas entonces, ni siquiera en Estados Unidos. Encontré un programa de Network Security en el City College de San Francisco. De repente, tienes una universidad que te enseña cómo entrar en sistemas, cómo encontrar vulnerabilidades… No me lo pensé. Después conseguí una pasantía en el Berkeley Lab y el resto es historia.
– ¿Qué es lo que te impidió ir un paso más allá y convertirte en una cracker o una black hat hacker?
Cuando estás en el mundo de la ciberseguridad, siempre hay alguien que sabe más, siempre hay cosas nuevas, y eso me motiva. Pero al final yo creo que es carácter. Nunca me he sentido tentada por el lado oscuro. No me atrae en absoluto. Soy una firme defensora de la privacidad. Incluso cuando me pedían, que ahora ya no lo hacen, algunos conocidos que les mirase algo en el ordenador no lo hacía. Porque yo veo cosas que nadie ve. Y no quiero ver nada que no tenga que ver. (Risas). Mi trabajo me divierte mucho, no tengo necesidad de probar el lado oscuro.
– ¿En qué trabaja el Berkeley Lab para que sea necesario tener un equipo tan potente de ciberseguridad?
Yo trabajo en operaciones, en la ciberdefensa del Berkeley Lab. Hago algo de investigación de producto, tendencias, pero no hago investigación científica. En el Berkely Lab se investiga en muchas otras áreas [energía, genómica o nuevos materiales, entre otras], tenemos un centro de supercomputación y somos miles de empleados trabajando en un complejo de 76 edificios. Depende del Departamento de Energía de los Estados Unidos, responsable de la política energética y la seguridad nuclear, por lo que es muy importante. Toda la investigación que se hace es no clasificada, pero se trabaja en áreas sensibles.
– La administración Trump recortó el gasto en investigación en casi todas las áreas. Ciberseguridad fue una de las pocas que se salvó del recorte. ¿Dirías que los gobiernos están empezando a tomarse en serio la seguridad de la red?
El Berkeley Lab ha recibido el máximo presupuesto en su historia. El gobierno de Estados Unidos se la toma muy en serio, es una prioridad nacional. Creo que el resto de los gobiernos se la están tomando en serio poco a poco. Además, tras los ataques y escándalos recientes, como el de Cambridge Analytica y Facebook, ha quedado todavía más clara la importancia que tiene la ciberseguridad.
– Hoy por hoy, ¿cuáles son las grandes amenazas para la ciberseguridad global?
La falta de conciencia del usuario final. A menudo los ataques empiezan por un fallo cometido por un elemento humano. Los fraudes bancarios, por ejemplo, empiezan por ingeniería social, que es mucho más antigua que internet y los ordenadores. Con paciencia y poco a poco, los delincuentes se ganan la confianza de un empleado hasta que este comete un error y consiguen entrar en el sistema.
Por otro lado, los ataques son cada vez más prolíferos y cada vez más destructivos. Las infraestructuras están manejadas por tecnología y son un objetivo claro de ataque. En Estados Unidos, por ejemplo, la gestión de la red eléctrica o las presas están informatizadas y automatizadas. Los expertos en ciberseguridad llevamos mucho tiempo alertando sobre los riesgos que esto implica.
El fabricante de una nevera conectada a internet tiene que entender que es su responsabilidad, y no la del usuario que abre la nevera para coger leche, hacer que su dispositivo sea seguro
– ¿Qué retos plantea el ecosistema de internet de las cosas para la ciberseguridad?
Todo lo conectado es vulnerable. Hoy tenemos más de 3.000 millones de smartphones en el mundo y 8.000 millones de dispositivos IoT conectados. Seguro que vas a encontrar alguno que sea hackeable. Esto supone un reto enorme para todos.
¿Cómo le hacemos frente? Pues con formación y responsabilidad. El fabricante de una nevera conectada a internet tiene que entender que es su responsabilidad, y no la del usuario que abre la nevera para coger leche, hacer que su dispositivo sea seguro. Es complicado hacerlo entender, es cierto que hay ciertas resistencias, pero hay que hacerlo.
– ¿Y qué papel juega y jugará la inteligencia artificial para mejorar en esa detección?
A nivel ataques, la inteligencia artificial está siendo muy importante. A nivel defensa se está usando para monitorizar la red, analizar datos en tiempo real, detectar patrones de comportamiento malicioso y lanzar alertas de ciberseguridad… Hay que pensar también que todo evoluciona de una forma muy rápida. Hay que estar siempre adaptándose.
– Se suele decir que el elemento más débil de una red marca el nivel de seguridad de todo el sistema. ¿Es el factor humano el elemento más débil?
Sin duda. Creo que tenemos que comunicar mejor la importancia de cuidar la ciberseguridad, sin caer en la psicología del miedo, de decir tienes que hacer esto porque si no te van a robar los datos. Hay que comunicarlo de forma más efectiva, explicar en qué consiste y por qué es necesario.
A nivel empresarial, hay que recalcar que la responsabilidad no es tanto del empleado, sino de la organización. Los ataques se producen por negligencia humana, pero esta, a menudo, es inconsciente. Las empresas necesitan invertir más en información y en equipos de ciberseguridad.
-Entonces, a nivel empresa, ¿la mejor herramienta para aumentar la ciberseguridad es la educación?
Sí, las mejores herramientas son la formación y la comunicación. La primera línea de ataque y de defensa es siempre el empleado. Es también la puerta de entrada más sencilla. Para un hacker, es más fácil atacar al empleado que saltarse un control técnico. Es la primera capa y la más importante. Después, evidentemente, hay más cosas. Cuantas más capas tenga el sistema, siendo funcional y operativo, mejor.
En Nobbot | 25 españoles a los que llamar en caso de crisis de ciberseguridad
Imágenes | Soledad Antelada, Berlkely Lab Public Affairs/Roy Kaltschmidt