El retraso de la Estrategia Nacional de Ciberseguridad así como el reciente escándalo provocado por las noticias del potencial caso de espionaje masivo americano que podría haber afectado a España, socavan la confianza que pudiésemos tener sobre la ciberestrategia nonata y evidencian que no es el mejor contexto para que vea la luz y se desarrolle adecuadamente.
Es por esto que cabe recordar cuáles son los pilares más relevantes sobre los que una estrategia nacional sobre ciberseguridad, moderna y avanzada debería descansar y cuáles son los puntos focales que permiten que la estrategia no quede en un mero ejercicio literario y acabe ocupando un espacio inerte en la estantería, como tantos otros documentos del pasado sobre este campo.
Los rumores sobre la próxima publicación de la Estrategia Nacional de Ciberseguridad son muy notorios. Aunque, no obstante, es obligatorio reconocer que desde hace unos años se vienen escuchando muchos rumores y lamentablemente hasta la fecha todos fueron desacertados.
No obstante, como se ha comentado en diversas ocasiones en multitud de foros, la peor situación no es que España no disponga de una Estrategia, sino que la que vea la luz no sirva para nada, ya que no sólo sería un jarro de agua fría importante para el sector, y más en los tiempos que corren, también lo sería para los propios ciudadanos y para la imagen internacional de nuestro país. Adicionalmente, en un momento en el que estos asuntos forman parte de la esfera política y desde el punto de vista mediático, tienen un gran impacto.
Ya mencionamos en su día en varios artículos y documentos los pilares sobre los que debe descansar una estrategia de cibseguridad: en primer lugar el liderazgo del Estado, con una clara estructura organizativa de control y la identificación de las organizaciones dependientes en materia de gestión; en segundo lugar el impulso económico y la colaboración publico-privada; en tercer lugar las alianzas internacionales y la política exterior; en cuarto lugar la gestión del I+D+i en materia de ciberseguridad; en quinto lugar los programas de ciber-educación y ciber-concienciación; en sexto lugar la normalización y la legislación; y, finalmente, y tanto o más importante, los programas específicos que darán contenido y continuidad a la Estrategia y la dotarán de un grado de realismo adecuado.
Dicho lo cual, nos aventuramos a dilucidar cuáles son los principales puntos focales que la Estrategia SI contendrá y cuáles NO:
- Marco de gestión: SI. Sin el marco de gestión y la identificación de una estructura con roles y responsabilidades bien definidos (sin duplicidades), la Estrategia no servirá de nada. Es más que evidente, y sobre esto se han escrito ya ríos de tinta, que la fragmentación actual es insostenible desde el punto de vista no sólo económico sino también de eficacia y eficiencia. Además, no cabe duda de que si no existe una estructura organizativa detrás de un documento de este calado que permita su posterior control, gestión y la rendición de cuentas a los ciudadanos, la estrategia será un simple documento de lectura, interesante o no, que caerá en el olvido en cuestión de meses.
- Impulso económico. Lamentablemente tenemos pocas esperanzas, y creemos que NO. Si la estrategia no viene acompañada de un presupuesto consolidado adecuado, como ciudadanos no tendremos la garantía de una correcta implementación de la misma. Y no esto no estamos mencionando que haya un presupuesto adicional al actual, solamente que el mero ejercicio de conocer el presupuesto nos indicará claramente que tras el documento existe un análisis importante, que además es necesario, sobre la ciberseguridad en materia económica. Sin este punto la estrategia no tendrá aplicabilidad o la misma será muy difícilmente alcanzable. Los países que lo han conseguido en el pasado, no por casualidad son los mas punteros en esta materia.
- Colaboración publico privada. Lamentablemente también tenemos pocas esperanzas por lo tanto consideramos que NO, con matices. Si que esperamos que este asunto sea mencionado en la estrategia, pero tenemos pocas esperanzas de que se aplique a posteriori, ya que por desgracia tenemos muy pocos ejemplos actuales en la Administración Pública sobre este tipo de colaboración, sea en la materia que sea.
- Alianzas internacionales y política exterior. Tenemos claras esperanzas y decimos que SI. Esperamos que se mencionen no sólo aquellas organizaciones conocidas por la gran mayoría y que de alguna manera tienen ya establecidos vínculos con nuestro país en esta materia, pues no aportará nada nuevo a lo ya conocido, sin embargo también esperamos que se concreten esas alianzas con programas y proyectos reales.
- Gestión de I+D+i en ciberseguridad. Esperamos que SI. Los profesionales de del ramo conocen la importancia que tiene el I+D+i en esta materia. No conocemos ningún caso de éxito de un programa serio de ciberseguridad sin una inversión importante en investigación y desarrollo. Por eso tan importante es contar con entidades en materia de investigación como universidades y centros de investigación, como también con la propia industria para que exista una colaboración real en este campo que, con la dimensión adecuada, nos permitiría competir a nivel internacional.
- Cibereducación y concienciación. Esperamos también que SI. Es vital dotar de programas específicos en materia de educación y concienciación ciudadana. Lo están haciendo los países más avanzados con un notable éxito.
- Legislación y normalización: le pondremos un SI. Es más que evidente que sin este pilar la estrategia no tiene una estructura sobre la que sustentarse. Deben de establecerse, al menos, los vínculos mínimos que permitan la armonización con el resto de estrategias del Estado en cuanto a políticas tecnológicas, económicas, de educación, industria, seguridad y defensa.
- Sobre los programas específicos, fechas objetivos y planes no tenemos grandes esperanzas, pero si que podemos decir que la estrategia debe marcar un marco temporal de implantación y con fechas objetivo, planes y programas. Esperamos, por tanto, un SI.
En definitiva, tenemos parejas esperanzas y dudas sobre algunos aspectos críticos de la futura Estrategia Nacional de Ciberseguridad.
Por José Ramón Coz, miembro de THIBER
