Los pasados 5 y 6 de octubre se celebró en Madrid el  VII Congreso Internacional de Ciberseguridad Industrial [4.0] organizado por el Centro de Ciberseguridad Industrial y que tuvo lugar en el Hotel Meliá Avenida América. Se trata de uno de los más relevantes dentro del panorama nacional e internacional, convirtiéndose en punto de encuentro de intercambio de experiencias y relaciones de todos los actores involucrados en la materia.

El primer día comenzó con la introducción de José Valiente dando la bienvenida a los asistentes y agradecimiento a patrocinadores y empresas colaboradoras. A continuación, se hizo un repaso por la trayectoria del CCI y los distintas personas que han participado en los congresos realizados hasta la fecha, ya que como él dijo “Presente y futuro están ligados”. Otras de las colaboradoras, Susana Asensio (Responsable de Proyectos del CCI) comentó las próximas iniciativas del CCI, como son:

• Membresía profesional del CCI.
• Programa de reconocimiento del Ecosistema CCI.

Finalmente Miguel García-Menéndez, explicó el programa de ambos días, con algún ligero cambio en alguna de las ponencias.

Así comenzó la primera, de la mano de Rossella Mattioli (Security and Resilience of Communication Networks Officer at ENISA) bajo el título “Protegiendo los servicios y la tecnología IoT en Europa”. Hizo una presentación de ENISA y las labores que realizan en referencia no sólo a proteger la información y a los ciudadanos europeos sobre Tecnologías de Información (IT) sino también los entornos industriales e Infraestructuras críticas. Entre ellas, realización de cursos, estudios y recomendaciones, que publican y pueden realizarse para fomentar el conocimiento y compartir la información recaba estos estos ámbitos. Todo ello puede ser consultado en su página web. Más tarde se centra sobre la necesidad de securizar infraestructuras y servicios, como pueden ser transporte, salud, financias, Smart Grids, etc. Se puede encontrar más información en el siguiente enlace. Se aborda el tema de IoT, de lo que implica, nuevos paradigmas y lo que se deriva en materia de ciberseguridad, nuevos desafíos, las redes no son todo lo seguras que deberían, vulnerabilidades en protocolos, perímetro indefinido, etc. También nos hizo referencia a otros escenarios no por ello menos importantes como coches, hogares y ciudades. Más información.

Seguimos con una mesa redonda “La difícil tarea de la Integración IT y OT en Industria 4.0” estando como ponentes David Pozo (Siemens) Joseba Laka (Tecnalia) Jorge Rivera (Telefónica) y Andrés de Castro (IoT Partnet Business Manager, CISCO).- Aquí más que una exposición fue dar los distintos puntos de vista sobre preguntas que detallo a continuación y también algunas ideas rescatadas.

Pregunta: Están colaborando las organizaciones que desarrollan tecnologías IT con las que desarrollan tecnología sOT para crear plataformas Smart Factory?

Sí, hay colaboraciones ya que una empresa no puede abarcar todo y es preciso ayudar entre los distintos actores.

Es una colaboración forzada.

Preguntas: Cuáles consideras que deben tener las directivas que marquen la estandarización de Smart Factory? 

Publicación del documento Industrial internet Security Framework, liberado en setiembre en un avance pero le queda un trecho para que esté optimizado.

Los estándares son necesarios, y algo retrasados con las necesidades del mercado.

Las necesidades es que los sistemas sean abiertos e interoperables.

No es equiparable el Smart Grid, con diversidad que presenta el mundo industrial.

Pregunta: Cuáles son las principales implicaciones para integrar IT y OT en la Smart Factory desde el punto de vista de los riesgos tecnológicos  y su protección?

Supone rediseñar productos OT y mitigar el riesgo de sufrir un ataque o incidente. Uno de los pilares sigue siendo la separación y segmentación.

Se cita a GSMA como referencia a elemento de comunicación.

Uno de los medios es dotar de banda ancha en los polígonos industriales ya que todo está interconectado.

Pregunta: Cómo debería de ser la cualificación de los profesionales de ciberseguridad para proteger los riesgos tecnológicos en Smart Factory?

Muchas amenazas, pocos profesionales.

Falta de vocación y profesionales en el sector y poco especializados en ciberseguridad. Los profesionales de la ciberseguridad están en permanente formación.

Las universidades deben promover los conocimientos.

Las empresas y proveedores deben impulsar certificaciones y especializaciones.

No sólo centrarse en cuestiones tecnológicas, también es necesario otros profesionales en otras entornos como psicología, pedagogía, filosofía, periodismo, comunicación, para aportar un punto de vista distinto al ingeniero o técnico.

Seguimos con la ponencia “La Empresa Digital, en el camino hacia la Industria 4.0” de la mano de David Pozo (Technical Director Industry Automation, SIEMENS). Se habló de los dos grandes bloques EEUU y Europa (Alemania) y de la diferencia conceptual sobre la materia, EEUU habla de IIoT y en Europa, Industria 4.0.

Para el ponente, el concepto de Industria Inteligente bien por la interconexión o inteligencia, no es algo nuevo pero sí se viene materializando progresivamente en los últimos años. No se trata sólo de que todo esté conectado. Tanto en la fabricación de un producto como en el proceso es necesario intercambiar información, por tanto Ingeniería de producción y diseño de producto deben estar ligados. Esto influye en:

• Mantenimiento predictivo.
• Planificación, Ejecución y Servicio de las instalaciones.
• Da lugar al resto de pilares de la industria 4.0.
  1. Simulación. Imitar el funcionamiento de las instalación para saber antes de montar la infraestructura. Esto es un ejemplo a nivel de planta, pero se puede hacer a nivel de celda y nivel de máquina.
  2. Big Data: Explotación de datos generados para llevar a cabo una trazabilidad del producto que lo genera y tomar medidas en tiempo real.
  3. Cloud: Servicio en la nube. Empresas son reticentes pero se implementará cada vez más. Dejar en manos de profesionales ciertos servicios.
  4. Machine Learning: Las máquinas aprenden de su comportamiento y toman deciciones.
  5. Robótica: Específica la colaborativa que interactúa con personas. No son rápidas por seguridad de las personas. Tareas repetitivas sustituirán a las personas, pero hasta cierto punto.
  6. Dispositivos móviles: BYOND, wereables (gafas, picking by voice) todo interconectado.

Ya sobre las 11:30 hasta las 13:00 “Situación de la Ciberseguridad Industrial 4.0 en Europa (Alemania, Francia y España)” con Jens Wiesner (BSI, Alemania) Jérôme Sobecki (ANSSI, Francia) Juan Delfín Peláez (INCIBE, España). En esta ocasión el objetivo era cómo distintos organismos de países europeos abordan la ciberseguridad industrial y protección a Infraestructuras Críticas.

Alemania:

El enfoque de la seguridad en IT es distinta a la OT, exponiendo dos ejemplos sobre incidentes en Hospitales y Plantas Nucleares. Para proteger las insfraestructuras críticas existe The Federal Office for Information Security (BSI) la cual se apoya en la una ley específica que regula lo relacionado con la seguridad para Tecnologías de Información, denominada (ITSecAct).

Ya en concreto sobre la protección a Infraestructuras Críticas se habla de la identificación, categorización, criterios y métodos de protección. Más Información:

Enlace.

Enlace.

Enlace

Enlace

Enlace

Enlace

Enlace

Francia:

La exposición del ponente francés plantea muchas similitudes con el ponente Alemán.

En este caso la responsabilidad recae sobre ANSSI, (Agence Nationale de la Securite Systemes de Information) cuyo dos misiones principales son prevenir y reaccionar ante ciberataques,  constituyendo como deberes: prevenir, defender e informar.

A continuación se realiza la aproximación sobre la protección de Infraestructuras Críticas aplicando el concepto de CIIP (Critical Information Infrastructure Protection). Aquí destacar el concepto sobre el que trabajan que lo denominan Operador de Vital Importancia (OIV) definiendo doce sectores como agua, energía, defensa, etc. Para protegerlas manejan 4 medidas principales como son:

1. Security Rules
2. Notification
3. Inspection
4. Major Crisis

ANSSI establece grupos de trabajo con Fabricantes, compañías privadas, integradores y otros actores. Dentro de su método de protección se definen 3 niveles, Riesgo o impacto, bajo, medio y alto realizando una clasificación, en función del activo, el riesgo y la probabilidad de que tenga éxito, definiendo vectores de ataque, atacantes, vulnerabilidades e impacto del incidente.

Finalmente se hace un caso de estudio de un túnel para vehículos.

Para más información:

Enlace.

España:

Finalmente llega el turno de España, de la mano de INCIBE. El exponente hace referencia a la Directiva Europea de protección e las Infraestructuras Críticas, la cual obliga a

1. Cada país debe disponer de una estrategia de ciberseguridad.
2. Definir autoridad competente.
3. Implementar medidas para garantizar nivel de ciberseguridad.
4. Obligaciones de los proveedores de servicios

En referencia a las Infraestructuras Críticas, España tiene la ley LPIC y documentación específica sector que regula las medidas a tomar según actividad.

Desde hace poco tiempo ha surgido el CERTSI, que resulta de la colaboración de CNPIC e INCIBE. CERTSI ofrece una amplia variedad de servicios como:

1. Servicios de Information gathering, geolocalización para las empresas u operadores críticos que se adieran a sus servicios.
2. Bitácora de incidentes.
3. Avisos de Sistemas de Control Industrial.
4. Guías y recomendaciones.
5. Habla herramienta

Finalmente se está editando un esquema Nacional de seguridad Industrial (ENSI), un instrumento para la mejora de la ciberseguridad de las empresas del sector industrial, especialmente particularizado a Operadores Críticos, para minimizar los riesgos relacionados con la ciberseguridad. Allí se incluye un indicador de Ciberresiliencia para conocer cómo de fuerte son las infraestructuras críticas para soportar un incidente de seguridad.

La conclusión es ver cómo 3 países a través de las distintas agencias lleva cabo actividades, servicios e iniciativas para proteger sus infraestructuras críticas y sistemas de control industrial instaurados en el sector tanto público como privado.

La siguiente se tituló “Protegiendo la integración de SAP con la planta industrial” con Juan Bautista López (Desarrollo de Negocio Seguridad,Tecnocom) Alfonso Moreno (Gerente de Soluciones de Gestión Empresarial, Tecnocom) Andrés De Castro (IoT Partner Business Manager, Cisco).

Se explica la aplicación de SAP para la industria 4.0 y llevar a cabo los nuevos retos que se presentan. Se habla de una nueva suite de productos denominada S/4HANA,  simplificada y basada en las mejores prácticas para la industria. Se compone de:

1. SAP Manufacturing ERP
2. SAP MII
3. SAP EWM

Un mensaje destacado fue la importancia de proteger este tipo de software como SAP, que almacenan información relevante de la información, más aún cuando éstas interactúan con entornos OT y los dispositivos que subyacen en él. Los sistemas SAP son objetivo de espionaje, sabotaje, fraude o terrorismo. Luego CISCO hace una presentación desde su punto de vista. La integración aporta valor añadido pero aumenta su complejidad que es necesario securizar. Para CISCO es un todo:

1. Seguridad en la comunicaciones y dispositivos.
2. Visibilidad y control de los dispositivos.
3. Análisis e inspección de paquetes. Estudiar patrones y tendencias.

Para conseguirlo se presenta equipos como el ISA 3000 y productos como “Edge Analytic Fabric”.

14:30 – 15:00

La empresa StormShield bajo el titulo “Implemente su política de seguridad industrial 4.0 con protección de la red y de los equipos terminales” con Robert Wakim (Industrial Engineering Director StormShield) Presentó la gama de productos para entornos industriales como “Stormshield NetworkSecurity” y “Endpoint Protection”, basado de seguridad de red (SNi40) y software endpoint.

Se realiza una demostración práctica en el que simula un ataque. El objetivo es un depósito de aguas que es supervisado por un HMI y controlado por un PLC de Shneider y que se comunican por ModBus. Además, en medio hay un FW SIN40 para proteger las comunicaciones. Lo que se demuestra es que al abrir un fichero no autorizado el Endpoint no permite la ejecución una aplicación que lo realiza.

15:00 – 15:30

Siguiendo con más llegó el turno de Marc Blackmer (Director de Servicios de Ciberseguridad Industrial, CISCO) y de la ponencia “Educando por Diversión y sin Ánimo de Lucro”. Nos presenta la idea de demanda de profesionales en el sector  de la ciberseguridad y la manera de iniciar a jóvenes en este ámbito por medio de la diversión y el aprendizaje progresivo.

Como dijo, “Puedes decepcionar a un adulto pero no a un niño”. Para ello hace un repaso de distintos eventos donde se propone a los asistentes tratar de hacer con un equipo algo distinto a lo que estaba destinado originalmente. En el camino se descubren nuevas deficiencias, mejoras, funcionalidades, vulnerabilidades y se establece un proceso de enseñanza práctico.

Para alcanzar este propósito se habla de la iniciativa en la que participa y promueve junto con otras personas como es 1NTERRUPT.

16:00 – 16:30

Más tarde Arkaitz Gamino (CTO, ITS Security) Iñaki Eguía (CINO, ITS Security) nos presentaron “Defensa activa de la zona OT”. Nos hablaron de Unit71 y de cómo desde el respaldo de otras empresas del grupo industrial al que pertenecen ofrecen una gama de servicios basados en el principio “seguridad industrial, desde la industria”. Se habla de cómo afecta la ciberseguridad considerando las características de la actual y de la importancia que cobra la protección y reducción de riesgos, mostrando la fórmula:

Overall Equipment Efficency = Disponibilidad x Rendimeinto x Calidad.

Se citan vectores de ataques, como USB, redes Wifi inseguras, Redes no separadas y segmentadas, etc. y sobre todo resaltar  la seguridad como un proceso que requiere una vigilancia activa, basado en Defensa Pasiva (Antivirus, IP/IDS, Firewall. Etc) y Defensa Activa (Caracterización de las amenazas, Monitorización, Respuesta ante incidentes, Análisis Forense y Aprendizaje). En base a esto, presentan los servicios de iSOC (Industrial Security Operation Center) de Unit71 desde donde se ofrecen servicios que cubren estos aspectos.

16:30 a 17:00

Continuando con las ponencias llegó “Cómo lidiar con la amenaza interna en entornos de operación e infraestructuras críticas. El Insider Threat Program (ITP)” con Fernando Sevillano (Director de Ciberseguridad Industrial, LOGITEK). Ésta se centraba en la amenaza humana basado en la figura “Insider Threat” y de cómo ha aumentado suponiendo un riesgo cada vez más elevado. Sus características son,

1. Conocimiento de redes, sistemas
2. Hay una mala intención
3. Ha afectado a la seguridad con intención o desconocimiento.

Y dentro de las acciones que llevan a cabo se pueden centrar en:

1. Acceso no autorizado,
2. Exponer datos sensibles,
3. Denegación de servicio.

De esta manera se plantean una serie de medidas para mitigarlo, centrándose especialmente en prevenir, detectar y responder. Se repite la canción. Logitek propone desde su punto de vista, los controles que podemos llevar a cabo para detectarlos. Un checklist con 13 puntos donde nos dice, qué debemos comprobar, cómo analizar candidatos en los procesos de selección, considerar a los trabajadores como amenazas, corroborar políticas, monitorizar accesos y sistemas que detecten comportamientos anómalos, etc.

17:00 – 17:30

Aquí Miguel García-Menéndez (Vicepresidente, Centro de Ciberseguridad industrial) nos habló del “El directivo 4.0”. La ponencia trata sobre todo de los retos y oportunidades que presenta la era digital. Comenzó por habladnos de la actividad de KPCB.

A lo largo de la ponencia analiza las estadísticas mostradas en los reportes anuales que hace esta empresa donde se ve que lo digital sigue siendo un campo de oportunidades. Se citan estimaciones del dinero que se espera mover en este ámbito. Sin embargo no todo son alegrías, solo el 25 % aporta valor. Para esos retos en el proceso de digitalización se abordan distintas cuestiones a la hora de emprender como:

1. Arrancar
2. Metas cambiantes.
3. Preguntas inquietantes.
4. No compensa
5. Miedos
6. Incentidumbres
7. …..

17:30 – 18:00

Para terminar llegamos a “Implantación y Certificación SGCI en Sistema de Supervisión de Plantas Industriales” de la mano de Juan Luis Carús (Director de Proyectos, Grupo TSK). Tras una presentación de TSK se nos habla de un caso de uso de la implementación de la Guía editada por el CCI sobre Sistema de Gestión de la Ciberseguridad Industrial donde José Valiente explica el objetivos y características destacando Premisas (Aplicación inmediata y Facilidad en el uso) y otras guías sobre las cuales se han basado para editarla (ISO/IEC 27001, ISO/IEC 27002, IEC-62443).

Así llegó el momento de presentar un caso de uso. Se centraba precisamente en la implantación la guía del CCI en el puesto de telecontrol para la herramienta propia de TSK SisRem para plantas solares de sus clientes.

Tras ésta, se dio por finalizada la primera de las jornadas. Variada, con distintas temáticas pero en cualquier caso interesante y muy productivas, aunque como siempre uno tiene sus preferencias y hay algunas que gustan más que otras.

En breve, publicaré la crónica del segundo día, pero por ahora aquí os dejo esta.

Un saludo!

El pasado 18 de junio se celebró en San Sebastián la primera edición de “Euskalhack Security Congress”, un evento organizado por la asociación de lleva su nombre “Euskalhack” y que su propio nombre ya da pistas sobre qué iba el tema…

Pasadas las 09:15 Jokin Guevara empezó con su ponencia sobre “IoT Toys, scary but real” en la que nos habló de esos “inocentes” juguetes conectados a Internet que ofrecen la posibilidad de interactuar con el usuario (en este caso niños). Poniendo como ejemplo el análisis sobre un coche teledirigido, se exponía su modo de funcionamiento, la manera en la que se conectaba con otros dispositivos (se creaba un Punto de Acceso propio) y cómo se emitían las imágenes que su cámara captaba. Encontradas vulnerabilidades y debilidades del producto, el fabricante fue notificado y como en otras circunstancias aún se sigue sin respuesta. En fin…

 

La siguiente charla estaba programada para que fuese impartida por Pedro Sánchez bajo el lema “Evasión de Antivirus y ataques en canales encubiertos”, pero por circunstancias debió ser reemplazada por Adrián Ramirez con “Autopsia a un Rasomware”. Uno de sus clientes tuvo una infección de Locky en sus sistemas y tanto él como su equipo les ayudaron a recuperar la información y solventar el problema. Por el camino fueron haciendo un análisis del “bichito en cuestión” abordando temas como cambios en registro, comportamiento, comunicación con C&C, métodos de infección, y vacunas contra las distintas versiones que les fueron sucediendo hasta un total de 4. Una curiosidad, si el idioma y el teclado del sistema estaba en ruso, no se ejecutaba…

Tras el café, Pablo San Emeterio y Jose Miguel Cañete se metieron en el tema de “Vigilancia Autónoma con Drones”. La idea surgió ante el desafío de un amigo sobre cómo poder ahorrarse los 600 € de instalación y 40 €mensuales de mantenimiento para la instalación de un sistema de vigilancia privado en su casa. Primero introdujeron un coche teledirigido dotado cámaras con funciones de reconocimiento facial, que podría identificar la posición de un intruso. También etiquetas QR pero a modo de balizas para definir una posición concreta. Una vez detectada la anomalía manda una señal a un dron que inicia su vuelo para dirigirse a la ubicación de ladrón, paparazzi, sacarle unas fotos y poderlas enviar a un almacenamiento externo. Para ello utilizaban una RasperryPI y componentes afines. Todo se desarrollaba bajo el radio de una red wifi, pero la idea era ampliarlo a señales tipo UMTS.

Luego llegó la hora de Ben Herzberg con “Emerald City of Cyber Security”. En esta ocasión se hizo un recorrido con por el errores existentes en los sistemas y herramientas de seguridad que se creen avanzados o en vías de serlo. Curiosa la puesta de escena por momentos en los que para ver las diapositivas de la presentación hubo que ponerse unas gafas tipo 3D. Entiendo sería una analogía a lo que no vemos pero, realmente sucede. En una de ellas se podía apreciar en el caso de la autenticación, cómo en el proceso de autenticación, éstas pasaban por varios sistemas y por tanto si alguno de ellos son vulnerables, pues… adiós «user» and «password».

Pasada la anterior vino Gorka Vicente con su “From WAF to RASP”. Aquí la ponencia se basó en la evolución de estos sistemas y lo que se pretende cubrir. Se parte de la base de que las aplicaciones web no son diseñadas para ser seguras sino funcionales. La seguridad viene a posteriori, una vez que ya está hecha la herramienta. En el paso de la securización esto presenta un problema ya que la implantación de un WAF requiere un aprendizaje para detectar un comportamiento correcto y a partir de ahí definir lo que es bueno y malo. Al final se llega a la idea de RASP (Runtime Application Self-Protection), esto es, las aplicaciones sean diseñadas contemplando la seguridad, evitando así derivar ésta en otros equipos. Esto proporciona beneficios como evitar falsos positivos, la aplicación conoce su funcionamiento y conoce lo que se puede o no hacer; no es necesario un aprendizaje como el WAF; no es necesario dispositivos o appliances extras; y otros varios más.

Llegó la hora de reponer fuerzas y aprovechar para comer y conversar un poco sobre todo lo visto. En las propias instalaciones disponíamos del restaurante con lo que no tuvimos que pasear buscando sitio por los alrededores y evitar esperas, que luego quieras que no, pueden hacerte llegar tarde a las presentaciones siguientes. El menú, estupendo, pasta, pollo asado, patatas, coca-cola y postre, todo incluido con la entrada.

 

Las charlas por la tarde comenzaron con Pedro Candel “TEMPESTad en OSX “El Capitán” 10.11.3”. Bueno , bueno, bueno, yo creo que aquí no hubieron preguntas no por vergüenza sino por lo “acojonaos” que nos quedamos según comentó uno de los asistentes. Por mi parte, opino igual. A ver si lo explico, el propósito era cómo, a partir de las señales electromagnéticas generadas por los dispositivos electrónicos, poder captar éstas y hacerse con los la información que las produce. Esta técnica puede ser empleada por los servicios de inteligencia para hacerse con la información que es procesada por equipos electrónicos en ese instante. Una cosa es leer acerca de Tempest y otra es verlo funcionar… De acuerdo que el ponente lo hizo con una radio, a pocos centímetro de su PC, y eso, pero con los recursos que tiene los Gobiernos y Agencias de Inteligencia, como que… nada se les resiste. En fin tela, telita, tela…

Vino la hora de Kaspersky sobre “Ladrones, espías y otros adversarios: el mundo real de las amenazas digitales”. En principio la iba a dar Dani Creus y Koldo Valle, pero fue expuesta por Luis Brande. El objetivo era claro, repasar la trayectoria de los incidentes y los que lo producen para así ser conscientes de lo que ha habido, hay y está por venir. Aquí el fabricante expone su posición y la manera en la que colabora para poder aprender de lo conocido y tratar en la medida de los posible y preparase para lo que nos pueda caer. En cualquier caso se pasa de la notoriedad de los inicios hasta la organización de individuos para llevar a cabo campañas para la obtención de beneficios económicos y sabotajes. Una vez más concienciar y formar para no caer en las trampas.

Bueno, bueno, bueno menuda sorpresa. No me podía imaginar lo amena que puede llegar a ser una charla de un Fiscal de Delitos Informáticos como es Jorge Bermúdez en materia de “Medidas de Investigación Tecnológica”. Otro punto totalmente distinto, pero con una similitud que quedó resumida en una frase que me quedó grabada “Al fin y al cabo los Fiscales y los Informáticos no somos tan diferentes; ambos aplicamos “Código” vosotros sobre máquinas y yo sobre personas (el penal, claro)”. Se abordó el tema de cómo ha cambiado la justicia para hacer frente al nuevo escenario de delito en materia informática para que fiscales y jueces puedan ser más eficaces en su lucha. Se contaba con una legislación inexistente o que no contemplaba los nuevos escenarios y que ha sido adaptada. Ya no se pueda hablar de autorizar escuchas telefónicas, sino además las telemáticas; ya no se habla del propietario de la línea sino también del usuario; ya es sólo inspeccionar un portátil, ahora también se incluyen las cuentas Cloud; y un largo etcétera. Y por supuesto mencionar el problema a los que se encuentran las autoridades por desconocimiento en la materia, que al fin y al cabo son los que tiene estas responsabilidades.

Otro descansito para coger fuerzas y seguimos con los otros temas. El relevo lo tomó Josep Albors con “El desmadre del Internet de las Tortas”. Madre mía, que peligro de que todo esté tan interconectado y no se tomen las medidas. Nos contó algo que ya había adelantado Jokin Guevara al inicio del congreso y es que hasta los calentadores de agua, hornos, frigoríficos y todo cuanto podáis imaginaros tiene una tarjeta de red wifi y se conecta a internet o a otros dispositivos. No me podía creer que hasta un consolador podría conectarse al móvil y desde allí tener una aplicación para ver tus “estadísticas”. ¡Pero a quién se le ocurren estas cosas! Ya con temas más serios se metió con un rifle que corregía su posición mediante una aplicación; un marcapasos con vulnerabilidades que podrían llegar a ser explotadas; equipamiento médico con pantallazos de “Error” en las aplicaciones controlan suministros de medicamentos; bombas de insulina. También como no, hornos conectados a redes wifi y a los que se les podría modificar temperaturas, temporizados y demás parámetros. Muy interesante y concienciador el tema.

Y para cerrar la jornada de ponencia llegó Joxean Koret con “La gran mentira: la seguridad como producto”. Comentó al inicio que estaba algo nervioso ya que era la primera que daba que no fuese meramente técnica, pues la verdad que lo hizo con la misma soltura y dominio que cualquier otra. Nos hizo ver cómo la seguridad no pasa por tener un antivirus o solución de seguridad, y que los mensajes que estas transmiten no son ciertos. No hay seguridad con un “click”; que te proteja contra “0 Days”; te garantice el 100% de la seguridad. Nada de eso. Aparte dependiendo si eres un usuario doméstico, una PYME, una gran organización, un Gobierno o una ONG puede las medidas son, eso sí 100% inútiles. Falsas creencias como anonimatos, cifrado de comunicaciones, uso de TOR, VPNs, y otras tantas se en que son ineficaces contra los recursos de los que disponen sobre todo los Gobiernos y Agencias. Puede que puedas resistir un poco, pero al final ellos son más fuertes. No disponemos ni de sus medidas tecnológicas ni de sus recursos económicos.

Y ya por concluir se hizo entrega de los premios del CTF y sorteo de unos libros a los asistentes. Un puntazo que al ganador del ejercicio le hiciese una “Txapela” como se hace a los ganadores en estos lares.

Luego vino el disfrute con unas copas en un ambiente más relajado, al que no pude acudir ya que había que volver a casa. Me quedé con las ganas. Otra vez será.

Como conclusión es que la jornada se pasó muy rápido, lo que denota lo interesante y bien organizado que estuvo todo. Agradecer a la organización, voluntarios y patrocinadores que lo han hecho posible, pero sobre todo a los que han tomado la iniciativa de hacer una evento de estas características y de asumir la responsabilidad que eso conlleva. Las primeras veces siempre hay riesgos de que haya cosas que no salgan todo lo bien que esperas, o que surjan imprevistos para los que haya que buscar soluciones “on the fly” pero en este caso que, para mi forma de ver las cosas, no ha podido salir mejor. En cualquiera de los casos la organización se ha ocupado de hacerse eco de los puntos de vista que cada cual pueda aportar para seguir perfeccionando este evento que para el año que viene seguro nos sorprende como lo ha hecho éste.

Muchas gracias!!!!

Un saludo.