Un negocio de más de 1.000 millones de euros

La facturación de la industria de la ciberseguridad en España rondará los 800 millones a finales de este ejercicio.

La industria de la ciberseguridad en España facturará más de 1.000 millones de euros anuales antes de 2020. Del último informe publicado por el Observatorio Nacional de las Telecomunicaciones (Ontsi), en colaboración con el Instituto Nacional de Ciberseguridad (Incibe), se desprende que al cierre de 2014 la cifra de facturación de este subsector era de 598,2 millones de euros. Pero la tasa de crecimiento anual es del 8% –un 16% en el acumulado–, por lo que expertos consultados estiman que, a finales de este ejercicio, la»caja» rondará los 800 millones de euros y aseguran que el potencial de la industria aumentará tras el virus «WannaCry», que ha hecho saltar las alarmas en medio mundo.

En cualquier caso, se trata de estadísticas que deberían tomarse con cierta cautela, ya que no registran los servicios relacionados con este subsector que prestan numerosas empresas cuya actividad principal no es la ciberseguridad. Según un estudio realizado por la UE, denominado proyecto Ipacso, el tamaño del mercado europeo de ciberseguridad, incluyendo a Rusia, era de 18.800 millones de euros en 2014 y que podría alcanzar los 26.700 millones en 2019. Europa representaría en torno al 26% del mercado global y España, cerca del 3% del mercado europeo.

A nivel mundial, según Gartner, el sector de la ciberseguridad facturará este año, aproximadamente, 85.000 millones de euros. Y las proyecciones señalan un aumento para esta industria superior al 25%, llegando a escalar hasta los 107.000 millones de euros en 2020. Sin embargo, Gianluca D’Antonio, director académico del máster en Ciberseguridad del IE Business School, opina que estas cifras se quedan cortas, y que es difícil hacer estimaciones acertadas, debido a la volatilidad de un sector en continua evolución, con la incorporación de las nuevas fronteras tecnológicas como la robótica en todas sus aplicaciones, o el uso de autómatas en el sector automovilístico y del transporte». La transformación digital derivará en un intenso proceso de cambio tecnológico que requerirá mucha más atención a la gestión de los riesgos relacionados con el uso de las nuevas tecnologías», sostiene.

Mayor potencial

El también presidente de la Asociación Española para la Seguridad de la Información (ISMS Forum) considera que el potencial de la industria de la ciberseguridad en España podría ser mayor que el de otros países del entorno por las propias características socioculturales. D’Antonio recuerda que España tiene empresas de referencia en sectores estrechamente ligados a las nuevas tecnologías, como en el de las telecomunicaciones y el de defensa. Asimismo, nuestras universidades ofrecen formación de muy alto nivel en licenciaturas técnicas y de gestión. «Ha sido uno de los primeros países de Europa en dotarse de una Estrategia Nacional de Ciberseguridad. Y alberga, a lo largo de su geografía, polos tecnológicos de muy alto nivel que podrían facilitar el desarrollo de una industria muy competitiva por precio y capacidades», agrega.

El coste actual de la ciberdelincuencia, a nivel global, es de unos 500.000 millones de dólares. Pero en apenas tres años podría situarse en torno a los dos billones. Y pese a que pueda parecer evidente que tras el reciente ataque, aumentará el potencial económico de la industria de la ciberseguridad, los expertos coinciden en que resulta prematuro extrapolar previsiones a medio y largo plazo, ya que se trata de un subsector que depende en gran medida del grado de sensibilización de la sociedad. Sea como fuere, D’Antonio asegura que si este tipo de ataques globales llegaran a ser recurrentes, sin lugar a dudas asistiríamos a una escalada de la ciberseguridad en la agenda de políticos, ejecutivos y ciudadanos. Y es que, hasta la fecha, el nivel de seguridad de los sistemas de información que utilizamos no ha sido un criterio de elección en nuestras preferencias de compra.

El director académico del máster en Ciberseguridad del IE Business School remarca la necesidad de tomar conciencia acerca de la creciente dependencia de las nuevas tecnologías de la información y, por ende, de la vulnerabilidad de estos sistemas». Si no queremos encaminarnos hacia la Jungla Digital, en un futuro, no tan lejano, en el que los robots vivirán entre nosotros, debemos exigir a gobiernos y organismos internacionales un marco regulatorio que nos garantice protección y seguridad», apostilla.

CIBERCRIMEN

El cibercrimen ya se sitúa como uno de los «negocios» más rentables, junto con el del narcotráfico y el de la prostitución. Lejos de que resulte posible lanzar un ataque con un coste mínimo de 6,5 euros por hora, para la empresa víctima las pérdidas pueden llegar a ser millonarias. Alfonso Ramírez, director general de Kaspersky Lab, afirma que existen muchos factores que inciden en el precio del servicio, como el tipo de ataque, su fuente, su duración o la ubicación del cliente. Al mismo tiempo, revela que los ataques sobre websites gubernamentales y sobre otros recursos protegidos por soluciones anti-DDoS específicas tienen un coste mucho mayor, pues «mientras que los primeros son más arriesgados, los segundos son más difíciles de llevar a cabo. Por ejemplo, en una página web de DDoS-as-a-Service, el coste por un ataque sobre una página web desprotegida puede ir desde los 46 a los 92 euros, mientras que un ataque a una página protegida sube hasta los 370 euros o más».

Ramírez informa de que un ataque DDoS puede costar desde los 4,6 euros por 300 segundos de duración hasta los 370 euros por un ataque de 24 horas. «El precio medio de un ataque está en los 23 euros por hora». El director general de Kaspersky Lab también avisa de otro escenario que ofrece una gran rentabilidad a los cibercriminales: el de chantajear a las víctimas con el pago de una cantidad de dinero a cambio de no sufrir un ataque de DDoS o de suspender un ataque en marcha». El importe exigido puede ser el de bitcoins equivalentes a miles de euros, llevando la rentabilidad del ataque hasta sobrepasar el 95%. De hecho, aquellos que llegan a chantajear a sus víctimas puede que incluso no cuenten con los recursos necesarios para lanzar el ataque mismo, siendo suficiente la simple amenaza», puntualiza.

No obstante, si el móvil de los ciberataques por el virus WannaCry era económico, el resultado ha sido un fracaso estrepitoso, ya que a mediados de semana se habían transferido a las cuentas asociadas a este malware un total de 43,30 bitcoins. Es decir, el botín amasado por los hackers para que las víctimas pudieran pagar el rescate de los archivos de sus equipos apenas era de 70.000 euros. Y si los ciberdelincuentes exigen bitcoins para recuperar el acceso a los ordenadores infectados se debe a las peculiaridades de esta moneda virtual, que complican sobremanera su rastreo. Aun así, ninguna de las nueve empresas españolas víctimas del ataque ha pagado, según cuentan a LA RAZÓN fuentes conocedoras del asunto.

Mejor les ha ido a las compañías de antivirus, que en tan sólo tres días registraron ganancias en el mercado bursátil superiores a los 7.000 millones. Si bien es cierto que las empresas vienen sufriendo ataques de «ransomware» y pagando rescates de información desde hace años, también lo es que el «WannaCry» se ha convertido en el ataque informático global más importante, conocido y propagado en la historia de internet». Sin lugar a dudas, este ataque supondrá un mayor nivel de conciencia a partir de ahora, pues ha demostrado los daños que puede causar, y los costes que ello origina, tanto directos –costes de técnicos, de equipos de reparación, de tiempo perdido...– como indirectos –daño reputacional, pérdidas operativas por indisponibilidad de información, pérdida de información importante...–», afirma Carlos Alberto Sáiz, socio de Ecix Group y vicepresidente de ISMS Forum.

Microsoft ha llegado a pedir a los gobiernos de todo el mundo ver el ciberataque global, que ha dejado más de 200.000 afectados en más de 150 países, como una «llamada de atención» sobre sus métodos de «acumulación de vulnerabilidades». España, por su parte, ocupa el puesto 18 de entre los 170 países afectados, con 1.200 infecciones y nueve empresas perjudicadas.

Los expertos consideran que el reciente ciberataque»es sólo el principio». Y Eusebio Nieva, director técnico de Check Point España y Portugal, lamentablemente, no podría estar más de acuerdo. Piensa que este tipo de ataques a escala global se repetirán a lo largo de los próximos meses. Además, apunta que en esta lucha los ciberdelincuentes lo tienen relativamente fácil para lanzar nuevas amenazas exitosas, porque, en muchos casos, lo único que tienen que hacer es modificar el código para hacerlo indetectable a los sistemas de seguridad convencionales, como ha pasado con WannaCry.»La versión que ha infectado a estas grandes empresas es la 2.0, después de que expertos descubrieran el ransomware en marzo», detalla.

Pero estos ciberataques, al margen de poner patas arriba importantes empresas para el normal funcionamiento de un país, podrían llegar a colapsar la economía mundial. Nieva anima a imaginar que el ataque hubiera afectado a los equipos a través de los que se realizan los movimientos monetarios entre las compañías. O que, en lugar de atacar a los ordenadores de los empleados, el objetivo hubieran sido las cuentas bancarias de las diferentes entidades.»Podrían haber bloqueado todas las transacciones, robado dinero, hacer compras fraudulentas...». El director técnico de Check Point España y Portugal señala el caso de Renault, en el que se tuvo que parar la producción con pérdidas millonarias, para advertir de que este tipo de ataques podrían afectar a cualquier industria, incluso a infraestructuras críticas que son vitales para el funcionamiento de una ciudad. Y alerta de que hackeando los ordenadores de una planta potabilizadora se podría alterar la composición química del agua suministrada a una ciudad, envenenando a todos los ciudadanos que abrieran el grifo.

Ciberderecho

En nuestro país tenemos una Ley que regula la protección de las infraestructuras críticas, ya que existen muchos servicios esenciales para la sociedad que son prestados por operadores privados (agua, energía, nuclear, etc.), así como organismos que trabajan en la prevención o reacción ante ataques como éste. No obstante, Sáiz pone de manifiesto la necesidad de promulgar y ser conscientes de la responsabilidad que todos tenemos en materia de seguridad: El Estado, la Administración Pública, las Empresas y también los usuarios. Y añade que para una lucha contra la ciberdelincuencia eficaz y coherente hay que seguir dando pasos en la colaboración público-privada, invertir en crear una cultura de privacidad y ciberseguridad, aumentar los recursos especializados y profesionales de seguridad, y entrenarnos para la reacción ante cibercrisis. Asimismo, teniendo en cuenta que el marco normativo actual no ofrece una respuesta ágil a los problemas que se generan en el ciberespacio, ya que los países regulan bajo su competencia y en su territorio, aunque se trate de problemas multijurisdiccionales –de ciberproblemas-, reivindica el desarrollo del ciberderecho y la creación de herramientas que supongan cibersoluciones reales y eficaces ante los ciberproblemas que ocurren en el ciberespacio.