Incapaces de proteger nuestras redes

Repasando las noticias que me había dejado atrás en estos últimos días he dado con una entrevista a John Lyon, publicada bajo el título "En 2020 ya no podremos proteger nuestras redes frente a los ataques".

Lo que dice quizá no sea nada nuevo, pero sí está bien contado: que vivimos en un mundo interconectado en el que, especialmente con eso de la Internet de las cosas, nuestra superficie de exposición ante todo tipo de amenazas es cada vez mayor. Que las defensas van siempre por detrás de los ataques. Que todos somos potenciales objetivos. Que los gobiernos deberían hacer campañas de concienciación, igual que lo hacen con el tabaco o los cinturones de seguridad...

Y, que si la cosa no cambia, de aquí a cuatro años proteger nuestras redes va a ser misión imposible.

Pero cambiar cuesta. Y no sólo trabajo. En la entrevista se señala que las organizaciones deberían gastar en seguridad el 15% de su presupuesto en tecnología. Desde luego, esto me inclina a ser pesimista.

Pesimista porque muchas organizaciones, casi todas, quieren resultados cuando se gastan el dinero y la seguridad no es un producto que puedas comprar. Es algo que debes perseguir siempre, sin llegar nunca a alcanzarlo. Un proceso, que diría Bruce Schneier. 

Pesimista porque creo que el título es demasiado positivo. No hace falta esperar cuatro años. Si uno mira las noticias se encuentra con que entidades de las que se espera un alto nivel de seguridad, como bancos u hospitales, aparecen en los titulares por haber sido víctimas de los ciberdelincuentes. La gente cree estar segura mientras las botnets controlan un elevado número de ordenadores. El router que nos conecta a Internet posiblemente tenga graves vulnerabilidades...

Pesimista porque nuestras redes, poco a poco, están dejando de ser nuestras y escapando de nuestro control a medida que el cloud computing entra en nuestras vidas y en nuestros negocios. Ya nos están vendiendo la "LAN como un servicio" y es cuestión de tiempo que vayamos cayendo.

Y pesimista porque me parece que el titular se queda corto. Muy corto. Tanto que puede ocultar el verdadero alcance del problema, que va mucho más allá de las redes. Las redes son sólo un instrumento. Lo que realmente no vamos a poder proteger, casi no estamos en condiciones de proteger ya hoy, es la información con la que trabajamos, nuestros propios datos, nuestra vida privada, nuestros derechos, nuestra seguridad, los negocios de nuestras empresas, los intereses públicos...

En todo caso, lo que no quiero ser es derrotista. Que demasiadas veces he oído eso de "si van a por nosotros nos van a coger de todos modos" como argumento para no proteger como es debido las cosas. 

Pesimistas o no, hay que ponerse a trabajar ya para arreglarlo.