Notas 15: Ciberseguridad para desarrollar ciudades más inteligentes

CIBERSEGURIDAD PARA DESARROLLAR CIUDADES MÁS INTELIGENTES

Notas técnicas del evento organizado por el Banco Interamericano de Desarrollo.

Información obtenida en el ©2021 del Banco Interamericano de Desarrollo. Todos los derechos reservados.

Síntesis de información, redacción y diseño por impostergable.

Foto tomada de Unsplash © Uso gratuito bajo la Licencia Unsplash

Las ideas y planteamientos contenidos en la presente edición son de exclusiva responsabilidad de sus autores y no comprometen la posición oficial de impostergable.

Copyrigth@ 2023 Las imágenes y textos que se presentan en esta publicación están tuteladas por una ley de derechos de autor por lo que está prohibida la reproducción parcial o total de sus contenidos, sin las respectivas citaciones y uso de fuentes.

Cibersegridad Ciberseguridad para desarrollar ciudades más inteligentes

La digitalización se ha acelerado muchísimo en los últimos años, por lo que los gobiernos y ciudades han presentando desafíos en los servicios digitales y a su vez han tenido mayor exposición al riesgo y a ataques cibernéticos.

Tatiana Gallegos, jefa de la División de Vivienda y Desarrollo Urbano (HUD) del Sector de Cambio Climático y Desarrollo Sostenible (CSD) del BID, comentó que con la pandemia la digitalización aumentó en todos los sectores y al mismo tiempo ha abierto múltiples canales de comunicación entre autoridades y ciudadanos, logrando el proceso de digitalización global que en las ciudades sea más importante que nunca. Las ciudades concentran personas, capital, empleo, por lo que la óptima conectividad digital es una condición para desarrollar ciudades como motores de innovación, con mayor comunicación, colaboración, equidad y eficiencia.

También comentó que la ciberseguridad en ciudades se ha convertido en una pieza clave de la gobernanza en ellas, pues al mismo tiempo que abre nuevas puertas, aumenta el riesgo y la vulnerabilidad en ataques. Los ciberataques tienen el alto potencial de interrumpir las funciones de las ciudades que puede afectar su reputación financiera y crear daños críticos a los datos. Ella señaló que la pregunta que deben hacerse las autoridades es si va a ocurrir o no un ataque, si no cuando va a ocurrir ese ataque. En las gobiernos todavía no existe un pleno conocimiento sobre cómo abordar la ciberseguridad de forma proactiva por lo que indicó que desde el BID, se produjo la Guía de ciberseguridad para ciudades inteligentes como un aporte para el análisis, la reflexión y la acción en la etapa digital post pandemia para que las ciudades

puedan enfrentar los principales retos a los que se exponen con la digitalización masiva.

Asimismo, Miguel Porrua, coordinador del cluster de datos de gobierno digital en la División de Innovación para Servir al Ciudadano del BID, precisó que es un buen momento para hablar de ciberseguridad porque los países están siendo atacados y en adición a la pregunta que indicó Tatiana de cuándo sería el ataque, él agregó que tal vez se debería preguntar si es que las ciudades ya están siendo atacadas porque tal vez ya sucedió y no lo saben. Mencionó además que , desde el BID se elaboró un reporte de ciberseguridad, en dos ediciones que ha dejado un panorama preocupante. Con base en el reporte, la mitad de los países de LAC no tienen una estrategia de ciberseguridad, de 32 países que son miembros de la OEA solo 7 tienen un plan de infraestructura digital y menos de la mitad de los países de LAC tienen iniciativas de sensibilización del sector público y de ciudadanos sobre el tema de la ciberseguridad. Subrayó que la guía de ciberseguridad producida por el BID es muy práctica e indica cuál es el papel que cada actor tiene que jugar, en ella se reflejan todos los marcos, mejores prácticas y recomendaciones específicas de políticas, además de contar con una versión online gratuita de autodiagnóstico.

Entorno de la ciberseguridad, guía de ciberseguridad para ciudades inteligentes

Marco Sánchez, abogado de la Dirección de Gobierno Digital del Ministerio TIC y quien es uno de los autores de la guía mencionada, evidenció que las ciudades inteligentes son las ciudades que deben colocar en el centro de aten-

ción al ciudadano y que al utilizar herramientas para estimular a los gobiernos a ser eficaces y eficientes, se enfrentan a unos retos que le van a permitir un desarrollo integrado, sostenible a partir de la innovación y competitividad.

Los retos plantean 4 elementos entornos a los que deben girar las ciudades:

• garantizar la seguridad en el ciberespacio, la seguridad es un derecho, detrás de la tecnología hay ciudadanos con derechos

• enfrentar los riesgos digitales en el uso de tecnologías de la información en las comunicaciones, lo que no significa no usar tecnología sino enfrentar los riesgos que esta genere

• conocer los impactos que genera un ciberataque, en escenarios intermedios y en los peores

• actuar de manera urgente y proactiva

Además, Marco expresó que el ciberespacio es un lugar invisible y complejo donde los ciudadanos digitales se relacionan, donde existen relaciones no tan fáciles de entender entre personas y sistemas de información, entre conectividad y dispositivos que atrae a ciberatacantes por lo que si se cuenta con una muy buena estrategia de ciberseguridad probablemente anticipe y elimine los problemas.

• En ese sentido, la ciberseguridad es el camino que busca la protección de los activos dentro del gran ecosistema de ciudad que está usando tecnología. Los activos pueden ser datos, información, recursos, personas e infraestructuras. Para proteger el conjunto de activos se requiere de una serie de acciones como:

• Entender el entorno en el que se encuentra la

ciudad, colaborar y articular con ese entorno

• Contar con un conjunto de actores que tengan muy buenas estrategias para reducir los riesgos y amenazas

• Entender la gobernanza y contar con políticas, lineamientos y estrategias que apunten a la ciberseguridad.

• Entender e incorporar metodologías y buenas prácticas para gestionar riesgos, vulnerabilidades y mejorar los incidentes

• Buscar una formación y capacitación permanente

Las ciudades son vulnerables a los ciberataques, porque autoridades y ciudadanos no comprenden el ecosistema, estas fallas las hacen vulnerables ante los atacantes quienes aprovechan la falta de estrategia y plan para destruir los sistemas de información.

Es fundamental conocer las consecuencias que pueda generar un ataque para poder hacerles frente. Entre estas consecuencias se encuentran: la interrupción de servicios, reducción de productividad, suspensión de recaudación de impuestos, imposibilidad de prestar servicios, pérdida de inversiones por parte de actores, desestabilización política, desestabilización social, afectación de la integridad y confidencialidad, autenticación de los datos, etc.

Las autoridades deben proteger todo (información datos, sistemas, etc.) porque cualquiera de las puertas puede ser el punto de ingreso de un ataque cibernético. Se debe proteger redes wifi, ruteadores, dispositivos de conexión a redes, cámaras, teléfonos, sensores de alumbrado, movilidad, sistemas financieros de gestión, aplicaciones, datos de seguridad, de impuestos, de movilidad y

todo lo relacionado con infraestructura social.

Marco compartió la ruta hacia una ciudad segura o hacia la ciberseguridad urbana planteada en la guía. La ruta comprende lo siguiente:

1. Identificar los activos y actores que se van a proteger, si no se tienen identificado todos los elementos no se sabe qué se va a proteger;

2. Establecer una gobernanza de la ciberseguridad: tener una comprensión integral del problema y abordarlo desde la gestión de la ciberseguridad;

3. Institucionalizar la ciberseguridad, llevarla al nivel estratégico más importante, dar políticas y normas de seguridad;

4. Integrar la seguridad de los datos confidenciales de la ciudad y los datos personales: proteger la información y los datos de los ciudadanos y de la ciudad, conocer las tipologías de información, y de los datos personales;

5. Integrar los proveedores a la ciberseguridad;

6. Formar, comunicar y concientizar acerca de la ciberseguridad. La cultura de la ciberseguridad es fundamental a todo nivel nivel, desde los colegios hasta programas más especializados estratégicos;

7. Disponer de financiamiento y seguros para ciberseguridad, tener seguros que cubran riesgos que generan los ataques.

Además, la hoja de ruta de la guía se plantea a través de niveles de gestión pues la ciberseguridad es una responsabilidad compartida. Los niveles de gestión de ciberseguridad son:

• estratégico: lleva la dirección general, designa los recursos, asume liderazgo político y responsabilidades;

• táctico: determina las estrategias que se van a implementar en el escenario de trabajo: ciberespacio;

• operativo: ejecuta actividades, da alcance a los servicios que va a proteger, aplicación de estrategias, procesos de evaluación y gestión permanente, responsabili-

dades específicas que cada uno va a tener.

Finalmente, Marco recalcó que en el proceso hacia ciudades inteligentes es importante que se incorporen capacidades técnicas, administrativas y financieras, y estas capacidades deben forjarse para que los ataques sean enfrentados de mejor manera

¿Cómo pueden apoyar los gobiernos nacionales a los gobiernos locales para prevenir y enviar los ciberataques y cuál ha sido la experiencia de Chile al respecto?

Ingrid Inda, jefa de la división de redes y de seguridad informática de la subsecretaría del interior de Chile indicó que la primera tarea que tienen los gobiernos es ocuparse de la problemática macro que plantea la ciberseguridad, teniendo una política nacional de ciberseguridad conformada por todos los actores nacionales que no estén vinculadas a un gobierno en particular sino que sean de la sociedad. Además, señaló que en el ciberespacio no existen fronteras, se pueden relacionar todos con todos, por lo que es importante tener desarrollo y relaciones internacionales para garantizar la operatividad productiva de la solución en el ciberespacio.

Ingrid considera que el apoyo a los gobiernos locales debe ser a través de una normativa para tener estándares que proveen servicios a la ciudadanía, es importante que los gobiernos locales resguarden los datos de los ciudadanos. Asimismo, el estado debe proteger el uso de los datos, dar certificación a las aplicaciones seguras, así puede tener mecanismos para que el ciudadano tenga la certeza de que los servicios que se le están brindando, buscan la integridad, confidencialidad y disponibilidad de la información.

También indicó que es de suma importancia contar con educación cívica digital, es nece-

ES FUNDAMENTAL CONOCER LAS CONSECUENCIAS QUE PUEDE GENERAR UN ATAQUE PARA PODER HACERLES FRENTE

organizativos o compartimentos que generan aislamiento, afectan a todo el conjunto y genera dificultades al intercambiar datos. Como consecuencia a ello, las secretarías trabajan en compartimentos con una visión parcializada; es decir, sin la visión común para hacer frente a los grandes desafíos.

sario formar a un ciudadano responsable y que el estado se haga cargo de las distintas edades de ciudadanos, comentó que a los niños se les enseña a cerrar la puerta al salir, pero no les enseñan qué hacer en el ciberespacio, y por otro lado a los adultos mayores se les pide que realicen sus trámites de manera digital cuando no se les ha provisto de centros de ayuda. Un ciudadano responsable es el rol del gobierno nacional.

Desde la municipalidad ¿En qué momento fue necesario trabajar con el alcalde de Campinas en ciberseguridad? ¿Cuáles fueron los principales desafíos que tuvieron que enfrentar en Campinas sobre ciberseguridad?

Carlos Alberto dos Santos, representante y experto de Brasil comentó que el trabajo con la municipalidad de Campinas resultó relativamente más fácil porque la ciudad tiene una empresa informática relacionada con la municipalidad que refleja las mejores prácticas en el mercado y tiene historia en el ámbito de la seguridad. Sin embargo, hubo desafíos que resolver, se hicieron notorios los silos

Carlos señaló que los silos son herencias del pasado, antes no había una lógica de integración o de compartir datos, en la gestión municipal se tiene la idea de que los datos pertenecen solo a un área o secretaria cuando los datos pertenecen a todos. Asimismo, a nivel municipal sucede que un gestor que tiene un problema a resolver, ya sea de ciberseguridad o tecnología informática, busca resolver el problema de la mejor manera posible, pero debe entender que el problema es parte de un conjunto y debe compartir las soluciones con las demás áreas porque en en ciberseguridad los silos crean una serie de barreras que impiden la práctica de seguridad integrales y pueden implicar vulnerabilidades. Por su parte, Carlos consideró importante tener un comité de gestión a nivel superior para facilitar el intercambio de información y que esta pueda ser mejor aprovechada en una gestión integral.

¿Cuáles son las barreras más importantes que las ciudades enfrentan para mejorar su ciberseguridad?

Para Marco Sánchez, son muchas las barreras a las que se enfrentan las ciudades, entre ellas se encuentran:

• Comprender el lugar donde están desarrollando la ciberseguridad para que puedan establecer estrategias.

• Reconocer la falta de capacidades humanas, capacidades técnicas, administrativas y financieras.

• Comprender al adversario, conociendo los tipos de ataques, que actúan de manera individual colectiva.

• Dejar de lado el miedo para colaborar, compartiendo experiencias si su entidad o empresa ha sido atacada.

• Comprender cómo ha cambiado la sociedad, tener una formación y cultura digital a todo nivel.

Por su parte Ingrid Inda consideró que la principal barrera es la falta de educación cívica digital así como la inversión y la colaboración. En cuanto a la inversión, ella señaló que los ciberatacantes trabajan colaborativamente, comparten vulnerabilidades, son solidarios pero las personas que trabajan en el lado de las fuerzas del bien, no comparten sus conocimientos generando un gran problema. En cuanto a la inversión, ella examinó que cuando se habla de ciber siempre se piensa en invertir mucho dinero pero se restringe el trabajo de racionalizar, no todo debe asegurarse o digitalizarse, hay mecanismos que pueden ser muy baratos y seguros, se ve todo como una gran inversión cuando se puede racionalizar los procesos.

Carlos dos Santos destacó la complejidad de la arquitectura tecnológica pues cada vez requiere de más habilidades para su seguridad cuando se habla de ciudades inteligentes, es importante contar con personas realmente capacitadas porque en las ciudades inteligentes aumenta la complejidad y el número de actores responsables por los sistemas, aumenta la necesidad de compartir la información y a su vez hay más exposición a los riesgos.

¿Cuáles son los pasos a seguir y los requisitos para el éxito en la protección de ciudades frente a los ciberataques?

Marco indicó que la ciberseguridad se debe abordar desde la responsabilidad compartida, es necesario entender el papel que cada actor juega dentro del ecosistema. Desde la institucionalidad, el papel que juegan los altos mandatarios: alcaldes, gobernadores, presidentes, es un requisito para el éxito pues deben enviar un mensaje político claro porque usar tecnologías debe implicar asegurar el cumplimiento de un conjunto de elementos mínimos que permitan enfrentar el riesgo que genera el uso masivo de tecnologías Es importante que el nivel político tenga una buena gobernanza, lineamientos, estándares e institucionalidad para la aplicación de la propia estrategia, así como tenga una línea clara en la formación, planificación de la estrategia a corto mediano y largo plazo, a nivel táctico - operativo se cuente con la planeación y aplicación de todo ese conjunto de responsabilidades a nivel local y nacional. Por otro lado, Marco recalcó que el papel que juegan los actores externos como el sector privado, debe ser entender la seguridad desde el diseño y deben ser parte de la colaboración. También es clave la relación con el conjunto de instituciones que investigan los hechos delictivos digitales, tener coordinación con la policía y la fiscalía.

¿Cuál debería ser la colaboración entre los distintos niveles de gobierno para superar las barreras?

Ingrid comentó que el estado central debe promover el desarrollo de soluciones colaborativas con los gobiernos locales. Para ello puede entregar fondos que vayan más allá de proyectos, generando una economía de escala, por ejemplo: todas las ciudades van a querer tener un portal ciudadano para temas de emergencia y servicios a

la comunidad, sería una oportunidad para tener una plataforma segura con la misma funcionalidad para todos en lugar de tener un portal distinto para cada ciudad. Es importante promover el desarrollo de sistemas ciudad - centralizado con gran producción de big data para distintos análisis donde se promueva la colaboración y las relaciones entre municipalidad - gobierno regional y nacional.

¿Qué recomendación darías para darle más importancia a la ciberseguridad en la agenda de la alcaldesa o alcalde?

Para Carlos la primera recomendación es que las autoridades no esperen a ser atacados para tomar acciones, pues la reacción ante algo que ya sucedió no va a ser la más eficaz y aumentará la posibilidad de más ataques por lo que es mejor prevenir. Es importante que piensen cuándo va a ocurrir, para que se protejan de los ataques cibernéticos. Otra de las cosas que deberían tener en cuenta es el reclutamiento de personal calificado en los municipios, el personal es contratado por razones políticas, en este sentido se necesita retar las habilidades técnicas, y tener un diagnóstico de la situación en la que se encuentran. Otro punto importante es tener una comisión especial para las TICS para elaborar planes administrativos junto con las personas que tienen que monitorear o lidiar con este problema, es urgente que los alcaldes inviertan en modernizar la infraestructura

¿Cuáles serían algunos ejemplos de educación cívica digital?

Ingrid sostuvo que la educación cívica digital debe ser tomada como estado, la educación digital del ciudadano debe es-

tar incorporada dentro del Ministerio de educación en sus programas de educación en los distintos niveles educativos. También, es importante hacer alianzas con la industria para hacer campañas comunes y personalizarlas. La educación se debe estar recordando continuamente, trabajando con todos los sectores y actuando bajo lo que se predica continuamente. La primera barrera para todo tipo de ataques es el ciudadano.

¿Cuál sería el mensaje claro que se llevan de esta discusión?

Carlos resaltó el hecho que la ciberseguridad tiene que ser parte de la agencia prioritaria de las municipalidades. Estas deben fortalecer los programas de respuesta y tener protocolos de respuesta específicos ante los ataques digitales y la recuperación de desastres. Además, más allá de imaginarse que algo puede suceder debe saber cómo lo van a resolver. Por otro lado, es importante la capacidad de los gestores en el campo de la ciberseguridad, pues es un factor que determinan el éxito o fracaso. Encarar la ciberseguridad debe ser prioritario porque puede ser mucho más caro resolver emergencias.

Por su parte, Marco señaló que es vital comprender el entorno donde se está realizando la actividad. Así como se necesita de un mandato político claro desde el nivel estratégico en torno a la garantía de ciberseguridad. Es clave la formación, capacitación, colaboración y responsabilidad compartida, el trabajo de la ciberseguridad no se hace solo. Prepararse para lo peor, implica resolver las cosas cuando pasen.

Ingrid resaltó el trabajo de colaboración y trabajar en una cultura digital, el mun-

do ya cambió hoy, se habla mucho de regulación pero se debe tener cuidado con tanta regulación versus la libertad que se tiene en el ciberespacio, para tener democracia hay que tener una cultura digital.

Finalmente, Mauricio Bouskela, especialista senior de la División de desarrollo urbano y vivienda BID, concluyó el webinar comentando que ha aumentado los riesgos y vulnerabilidades de los ataques cibernéticos por lo que la ciberseguridad es una pieza clave para la gobernanza pero no hay planes en las ciudades de cómo abordar la ciberseguridad de forma proactiva a nivel municipal. Señaló que el BID está trabajando en cursos de capacitación para los países de la región, así como ha elaborado la Guía de ciberseguridad para ciudades inteligentes y la herramienta de autoevaluación digital para proporcionar instrumentos a las regiones a estar preparadas para la seguridad y no preguntarse si va a pasar si no cuándo va a suceder el ataque. .

Foto tomada de Unsplash © Uso gratuito bajo la Licencia Unsplash