Dinero, talento, concienciación: principales retos de la ciberseguridad

Sin dinero no se puede invertir en tecnología ni en el talento necesario para gestionar la ciberseguridad, pero de nada sirve todo lo anterior sin llevar a cabo una buena política de concienciación. Esos son, a grandes rasgos, los principales retos de la ciberseguridad a los que se enfrentan ahora mismo buena parte de los responsables de seguridad de las diferentes administraciones públicas, especialmente ante los nuevos retos de la ciberseguridad que impone el contexto actual.

El reto de la ciberseguridad en las administraciones públicas españolas es, ante todo, un espejo de las transformaciones y fracturas que experimenta la sociedad digital, con factores presupuestarios, humanos, tecnológicos y organizativos en tensión permanente. Los retos de la ciberseguridad se multiplican conforme crecen las exigencias normativas y la exposición digital.

Así al menos se puso de manifiesto en un reciente encuentro ejecutivo de la comunidad ByTIC que patrocinaron SEIDOR y ESET España, donde responsables de tecnología de distintas administraciones y expertos dibujaron un escenario lleno de dificultades estructurales y paradojas que reflejan los retos de la ciberseguridad pública.

No es país sin presupuestos

La primera preocupación transversal es el presupuesto. León Braga, subdirector de Tecnologías de la Información en INECO, lo anunciaba sin rodeos. “Para mí ahora mismo el principal reto es la finalización de los fondos de recuperación y la incertidumbre sobre si va a haber o no presupuestos generales del Estado. Si esto no se resuelve, la administración va a adolecer, especialmente en la parte de ciber, que es la última que ha llegado”. En este sentido, la disponibilidad presupuestaria es uno de los mayores retos de la ciberseguridad institucional.

Según su experiencia, se ha invertido en servicios clave (desde SIEMs hasta Data Lakes) con fondos extraordinarios, pero nada garantiza la continuidad cuando los recursos extraordinarios cesen. Para Braga, no existe por ahora una estrategia estatal que consolide la ciberseguridad como pilar estructural y no como simple resultado de la oportunidad de gasto. “El 2027 va a ser un año problemático si no hay un movimiento estratégico país”. Los retos de la ciberseguridad, en consecuencia, no solo dependen del dinero, sino también de la planificación y la visión a largo plazo.

Luis Samper, responsable de ciberseguridad en la Casa Real, ratifica ese diagnóstico, asegurando que “todos los organismos públicos estamos igual. Presupuestos congelados, esperando que llueva algo, y con la informática relegada siempre a la cola”. Sin embargo, advierte también que “da igual el dinero que tengas” porque “hay entidades muy pequeñas que lo hacen muy bien y lo gestionan. No se puede asociar el dinero con las figuras de ciberseguridad, hay muchos factores”. Esta idea, que desafía el lugar común de que más fondos implican automáticamente más seguridad, es uno de los leitmotivs recurrentes del debate sobre los retos de la ciberseguridad.

Hablamos de talento

Pero no solo la falta de presupuestos es uno de los principales retos a los que se enfrenta la ciberseguridad en las administraciones públicas españolas. También el talento forma parte de los retos de la ciberseguridad que hoy afrontan las organizaciones. De nuevo, el talento (o, más bien, la falta del mismo) vuelve a salir a la palestra.

La estructura salarial y las condiciones administrativas, otro punto crítico, pasan factura al reclutamiento y fidelización del talento en ciberseguridad pública. Víctor Balbás, Jefe de la División de Sistemas y Tecnologías de la Información – Ministerio para la Transición Ecológica y el Reto Demográfico, evidencia una brecha generacional y de capacitación preocupante.

Además, reconoce que los nuevos perfiles que llegan son jóvenes, formados en lo digital, pero no lo suficientemente entrenados en cuestiones específicas del sector público. Y aún peor: “No somos competitivos en sueldo para atraer talento”. Todo esto alimenta los retos de la ciberseguridad vinculados a la gestión del conocimiento y la retención del talento.

El problema trasciende a la propia administración y afecta también a los proveedores. Carlos Tortosa, Responsable de Grandes Cuentas ESET España, define con crudeza una situación que no solo viven los organismos públicos, sino también los privados e incluso los propios proveedores de seguridad. “Nos cuesta muchísimo encontrar talento. Pocos y buenos. Una persona con ese talento posiblemente se vaya a Londres, a Ámsterdam, a Estados Unidos; el mercado nacional no está preparado para pagar esas cantidades”. Por tanto, los esfuerzos por retener talento se ven lastrados no solo por el salario, sino por el propio atractivo del sector, donde la rotación y la fuga de cerebros son fenómenos constantes y uno de los grandes retos de la ciberseguridad actual.

La cuestión de la formación y la concienciación del usuario (“el eslabón más débil” que citaba Balbás) articula buena parte de la conversación. Emilio González, responsable de sistemas en el Ayuntamiento de Alcorcón, subraya la dificultad de generar conciencia real. “Tenemos un problema de concienciación de los de arriba. Cuando hemos sido capaces de crear una política de seguridad y de aprobarla, que el responsable máximo sea nuestra alcaldesa ha supuesto que de repente exista una preocupación mayor por todos estos temas, porque ya se ha subido a nivel de la corporación”. Este enfoque conecta directamente con los retos de la ciberseguridad cultural y organizativa.

Zonas grises entre los retos de la ciberseguridad

Pedro Alejandro Moreno, account manager en SEIDOR, subraya la complejidad de las zonas grises. “La pandemia nos llevó a securizar muchos equipos que no eran de las propias organizaciones. Cumpliendo la política de seguridad, no hay más remedio que pasar por ciertas soluciones, pero las fronteras entre lo personal y lo profesional se difuminan constantemente”. En la administración, la permeabilidad de los dispositivos personales y la flexibilidad respecto a la norma generan riesgos añadidos que son difíciles de erradicar, y esto multiplica los retos de la ciberseguridad híbrida.

Willy Obispo, coordinador del CCMAD y con larga experiencia en la administración estatal, plantea una crítica al enfoque reactivo dominante. “Si esperas a que te ataquen para defenderte, te van a atacar primero; deberíamos ser proactivos, cambiar el momento, intentar ponerte por delante. Eso solo se consigue cambiando los procesos.” Tales afirmaciones reflejan cómo los procesos internos deben ser revisados para afrontar los retos de la ciberseguridad de forma sostenible.

Daniel Acuña, director de operaciones de ISDEFE, fue el encargado de introducir una nueva arista en la conversación: las presiones regulatorias. “Europa nos va a exigir pronto la transposición de su normativa y va a condicionar importantes progresos y mejoras en los sistemas de información. Ahí soy optimista”, añade, señalando que la adaptación normativa se suma a los retos de la ciberseguridad de la administración.

Más inversión, ¿más defensa?

El debate en la celebración de este encuentro ejecutivo también dejó espacio para la relación entre inversión, tecnología y resultado en materia de ciberseguridad. Dado, sobre todo, que la jornada se inició con un lamento sobre la falta de presupuestos y la problemática que eso podía conllevar para todos los responsables de área, la pregunta lazada fue si tener más dinero para invertir en ciberseguridad conllevaba una correlación en estar más asegurado frente a las amenazas. Los expertos coincidieron en que la inversión sin estrategia no resuelve los retos de la ciberseguridad.

Los retos de la ciberseguridad se multiplican conforme crecen las exigencias normativas y la exposición digital

Rafael Carlos de Celada, coordinador de la gestión de pacientes y con experiencia en el sector hospitalario, plantea el desfase de los usos tecnológicos. “Conozco muchos casos donde la gente ni siquiera sabe que tiene un ecosistema digital entrelazado y que puede gestionarlo. Hay quienes no son conscientes de la protección del dato o de volcar datos de calidad en los sistemas. Inversión sí, pero formación y concienciación también. Todo debe ir de la mano”.

Va de personas

Carlos Tortosa narra el caso de una administración local que sufrió un incidente grave de seguridad. “El atacante había estado moviéndose por la red durante meses porque no tenían un EDR adecuado.” Este tipo de hechos evidencian cómo los errores humanos y técnicos son parte inseparable de los retos de la ciberseguridad contemporánea.

Para muchos ponentes, la clave reside en el proceso más que en la persona. Obispo explica: “El primer enemigo soy yo mismo porque tengo acceso a más de lo que debiera. Por eso lo fundamental es primero restringirse a uno mismo y luego trabajar la cultura del cumplimiento.” Esta reflexión sintetiza uno de los retos de la ciberseguridad más profundos: el equilibrio entre confianza y control.

Así, la realidad de las administraciones públicas en España denota avances notables, pero está profundamente condicionada por una suma de factores: ciclos presupuestarios imprevisibles, rigidez normativa, dificultad para retener talento, dependencia del compromiso directivo y la eterna batalla contra la fragilidad humana ante el riesgo digital. Todos ellos son, en última instancia, los grandes retos de la ciberseguridad pública del presente y el futuro.»