-¿Cuál es la importancia actual de la seguridad informática?
-En el desarrollo de la sociedad de la información la tecnología tiene una importancia en todas las acciones de gobierno. Hoy todo gira en torno a la tecnología y es importante poder confiar en ella, porque si no, no harías un pago por internet, con la tarjeta de crédito o en el cajero. Sería un problema y un impedimento para el desarrollo del gobierno electrónico y la sociedad de la información. En este contexto es clave darle seguridad a la tecnología. Empezamos a pensar una estrategia a nivel nacional para generar confianza en la tecnología. Existen modelos de referencia y la Agesic adoptó el de la International Technological University [ITU] de California, que define que sólo con más tecnología o sólo con un marco legal no es suficiente. Hay que tener un enfoque integral: lo legal y el desarrollo de capacidades con la cooperación internacional con la tecnología.
-¿Qué objetivos tiene el CERTuy?
-Funciona como un centro coordinador. Es el único punto focal a nivel nacional e internacional y coordina todos los sectores que participan en un incidente. Cuando sucede uno, vemos qué pasó, articulamos con gente que tenga capacidad para atender el incidente, damos apoyo técnico y coordinación con el exterior si es necesario. Nos comparan con centros de bomberos, lo que hacemos es apagar incendios. Contenemos el problema y recuperamos el servicio en cuestión, pero también tenemos actividades proactivas para evitar que sucedan incidentes. Lo que no hacemos es el proceso judicial, la parte criminal de un incidente. Eso lo coordinamos con Delitos Informáticos de la Policía, pero no hacemos investigaciones ni somos peritos. Como somos los que estamos en la primera línea, si la Policía lo requiere le damos información, y después el peritaje lo hace Policía Técnica. En mayo de este año, mediante la Organización de Estados Americanos conseguimos traer instructores del Servicio Secreto de Estados Unidos que dieron cursos para hacer análisis forenses de computadoras. Ellos trabajaron con gente del MDN y del Ministerio del Interior en delitos informáticos, en temas que nosotros no manejamos en el ámbito civil.
-¿Por eso surge la idea de crear un CERT en el ámbito del MDN?
-Los servicios militares hacen uso de las tecnologías para funcionar, como por ejemplo, un radar; en algún lugar tiene una computadora, un sistema informático que lo controla, una red de comunicaciones, de transporte de información. Y aparece a nivel mundial una tendencia que dice que hay que tener estrategias de ciberseguridad específicas para esos sistemas. Lo que vamos a empezar a analizar con el MDN es cuáles son los sistemas sobre los que van a trabajar, cuánta gente necesitarán para los servicios que quieren dar y cómo coordinar con el CERTuy, porque vamos a seguir siendo el centro nacional, coordinando a todos los demás que haya.
-¿En qué tipo de incidentes han tenido que actuar recientemente?
-La mayoría de los incidentes que tuvimos el año pasado estuvieron asociados a lo que se denomina fishing, que es un tipo de ataque que pretende engañar al usuario enviándole un mail que dice que proviene de su institución bancaria y le explica que se detectó un problema en la cuenta y que por favor entre al sitio y la revise. Te ponen un link que te manda a una página idéntica a la del banco en la que ingresás tu número de cuenta y contraseña, pero en realidad estás navegando en el sitio del atacante. Creemos que eso ocurre porque hay muchos usuarios que caen. Hemos visto que hay usuarios que entran al sistema y dan todas sus credenciales. Cuando ocurre esto, respondemos contactando a todos los proveedores de servicios de internet, se bloquea el acceso a la página falsa y el usuario no va a poder acceder desde Uruguay. Luego nos contactamos con el CERT de donde es la página y empezamos a recolectar información sobre las herramientas que utilizó el hacker.
-¿Eso puede prevenirse?
-No, es casi imposible, porque la página puede estar alojada en Rusia, por ejemplo. Para prevenirlo, la única manera es que el usuario entienda cómo lo están estafando. Es como tratar de no recibir caramelos de un extraño. Un banco nunca te va a pedir la contraseña por mail. Las instituciones financieras a nivel mundial son las que están más desarrolladas y maduras en ciberseguridad. Por eso vamos a lanzar una campaña de sensibilización que le transmita al usuario que hay determinadas técnicas que se usan para estafas electrónicas, para que no conteste. Otros incidentes se producen por malware, que son los virus en general, y por compromiso de información, que es cuando hay información que no debería ser pública y por algún motivo se hace pública. Puede ser un problema de configuración o un error humano.
-¿Ustedes se encargan de actuar, por ejemplo, si hay una falla que deja a todos sin energía eléctrica?
-Ésa es nuestra comunidad objetivo. Protegemos todos los sistemas de información críticos, que para el Estado son el suministro energético y de agua potable, las comunicaciones, el sector financiero, los recursos clave como la ganadería y la agricultura. También la trazabilidad ganadera, que es sumamente importante para nuestra economía, y el sistema de atención del 911. Casi todo, salvo lo que tiene que ver con defensa, porque entendemos que eso está por fuera. Las hipótesis de conflicto no nos cambian la manera de respuesta y no manejamos hipótesis de guerra o de un eventual ataque militar. Para eso trabajamos con Defensa, porque ellos tienen esa formación y saben ver ese tipo de estrategias. Si se trata de una ciberguerra, o no.