Las elecciones, como las del 23 de julio, son un acontecimiento crucial para la vida y el rumbo de un país. Pero para los ciberdelincuentes son una oportunidad de oro para perpetrar sus ataques contra las Administraciones Públicas (AAPP). Según datos del Departamento de Seguridad Nacional, las Administraciones Públicas españolas sufrieron el año pasado 55.000 ciberataques, 71 de los cuales fueron calificados como críticos. Sólo en 2022, el Centro de Respuesta a Incidentes de Seguridad del Instituto Nacional de Ciberseguridad de España (INCIBE-CERT) gestionó 118.820 incidentes de ciberseguridad, un 9% más respecto al año anterior.
Los ataques recibidos abarcaron desde los dirigidos contra el Servicio Público de Empleo Estatal de España (SEPE), que paralizó el pago de la prestación por desempleo de dos millones de personas, hasta los perpetrados contra hospitales públicos, como en el caso del Clínico de Barcelona, que cerró servicios como consultas externas, análisis de pacientes o intervenciones quirúrgicas.
Muchos de estos tipos de ataques tienen su origen en la violación de credenciales o accesos privilegiados y, según Forrester, este tipo de accesos está implicado en el 80% de las brechas de ciberseguridad. Si los ciberdelincuentes consiguen credenciales de cuentas privilegiadas pueden acceder a información crítica. Pero estos riesgos de ciberseguridad se pueden prevenir aplicando una serie de medidas encaminadas a la protección en la gestión de accesos con privilegios e identidades, así como llevando a cabo una política basada en la ciber-higiene y la concienciación de todos los trabajadores de la administración pública, especialmente en un momento tan crítico como es el caso de unas elecciones generales. Más aún teniendo en cuenta que, según el último informe de Sophos, «el estado del ransomware en la Administración Pública 2022» sólo el 20% de las AAPP fueron capaces de detener un ataque de ransomware antes de que los datos fueran cifrados
Protegiendo los accesos a los datos críticos
En primer lugar, es imprescindible evitar que un ciberdelincuente obtenga las credenciales adecuadas para acceder a la identificación personal u otros datos sensibles. Para ello, es fundamental contar con un almacenamiento seguro de contraseñas, control granular de acceso, autenticación multifactor de contraseñas (MFA), así como monitorización y registro de sesiones, con gestión centralizada y visibilidad completa, para minimizar el riesgo cuando se trabaja con otros organismos y/o proveedores. Es importante recordar que también existen identidades no humanas, como servicios o aplicaciones externas (las llamadas «máquinas») que pueden tener acceso a los sistemas de la AAPP y que también necesitan ser aseguradas.
En segundo lugar, es esencial aplicar siempre un enfoque de Zero Trust. Esto significa que se requiere una verificación constante de la identidad cada vez que un usuario necesita acceder a aplicaciones o datos, incluso después del inicio de sesión inicial con éxito en el sistema. Y, en tercer lugar, es primordial promover la concienciación en materia de seguridad entre los empleados de las Administraciones Públicas de todos los niveles jerárquicos, ofreciéndoles periódicamente formación en ciberseguridad, enseñándoles las prácticas más adecuadas para mantener las medidas de ciberhigiene en todos los ámbitos de su trabajo.
Una referencia importante para estas y otras medidas es el Esquema Nacional de Seguridad. Con este tipo de medidas, los riesgos disminuyen considerablemente y cobran aún más relevancia en momentos tan cruciales como unas elecciones generales. Es fundamental prepararse adecuadamente.
