L’Agència de Ciberseguretat ha estat i continuarà sent una de les estrelles del sector tecnològic de Catalunya. No només perquè la seguretat i la protecció davant de l’auge d’incidents derivats de la ciberdelinqüència augmenta diàriament, sinó perquè amb els anys, aquesta institució s’ha pogut constituir com una entitat que “vetlla per la seguretat de l’administració, les empreses i les persones”, i amb la consideració de ser “una referència”. Així la descriu el nou director, Tomàs Roy, nomenat després del cessament d’Oriol Torruella arran del darrer canvi de govern a la Generalitat. “Va ser un encàrrec que em va venir per sorpresa, però que no vaig dubtar a agafar perquè tenim maduresa, excel·lència, un equip humà entranyable i molt reptes per superar”, ha assenyalat en una trobada organitzada pel Cercle Tecnològic. I entre ells, un de clau: crear i atraure talent, i motivar la col·laboració amb la intel·ligència de tots els actors que intervenen en el sector. O dit de manera més directa: “Calen cervells i intel·ligències que transformin i repensin la ciberseguretat”.

L’organisme calcula que cada tres hores es pateix un incident de ciberseguretat. I es pot detectar en empreses privades, en entorns de l’administració local o catalans, o en centres sanitaris i escoles, entre altres. Això té dos significats, segons Roy: “Calen més professionals i valen solucions verticals”.

Actualment, tal com apunta, no existeix cap grau o formació específica que formi professionals de la ciberseguretat i “els vuit o nou que entren cada any, provenen d’un màster”, detalla. Una xifra clarament insuficient, pel que apel·la directament a la creació de programes de reskilling i upskilling que permeti el reciclatge de professionals d’àmbits diversos que estiguin disposats a “aprendre nous coneixements, especialitzar-se i estar disposat a formar-se constantment per treballar en un camp que no para de canviar”.

"No vull cervells generalistes, sinó cervells que s’interessin pel municipalisme, per la recerca, per la salut... per crear solucions a mida"

Una de les propostes que ja està en marxa és la Cyberacademy, una plataforma e-learning impulsada per la mateixa Agència de Ciberseguretat de Catalunya per potenciar el reskilling de treballadors, tot i que no és l’única: “He demanat al departament de Recursos Humans que estigui en contacte amb els departaments de Recursos Humans de les empreses, dels nostres proveïdors, per detectar el talent. Necessitem col·laborar per detectar-lo”. Una solució desplegada en paral·lel a la creació d’un grup de ciberseguretat dins de la Digital Catalonia Alliance per informar sobre la previsió de contractació en l’àmbit, un coneixement que pot ajudar a detectar bones ofertes laborals i al traspàs de professionals cap al sector.

El següent pas a la detecció de les persones que lideraran les estratègies de seguretat és el desenvolupament de verticals. En paraules de Roy, “la verticalitat és absolutament mandatària”. “No vull cervells generalistes, sinó cervells que s’interessin pel municipalisme, per la recerca, per la salut... per crear solucions a mida, sense por de trencar amb el que està fet si és necessari”, ha defensat.

Col·laboració, el secret de les millors estratègies

Les estratègies de ciberseguretat eficients són el resultat d’una col·laboració entre els actors que hi intervenen. Aquesta és una de les idees que més clares ha intentat deixar el director de l’organisme, que ha posicionat l’escolta activa i la relació amb totes les entitats i empreses del sector com dos eixos clau per al disseny de bons plans d’actuació. “Al món existeixen milers de milions de vulnerabilitats, però hem de centrar-nos en les principals, en podem ser quatre o cinc. Per això no es pot tenir un sistema de ciberseguretat global, no es podria abastar tot, cal centrar-se en entorns sensibles o amb incidències clares perquè la priorització ens faci efectius”. De fet, una de les rutines diàries de l’equip de l’Agència de Ciberseguretat de Catalunya, tal com ha revelat, és reunir-se tres vegades al dia per “reordenar prioritats i decidir a què cal dedicar-se”. “Estan passant coses i hem de ser dinàmics per saber si la feina està ben enfocada”, ha insistit.

"És estúpid no relacionar-nos amb els altres actors si volem millorar"

El coneixement que permet estructurar les millors estratègies i models no es troba únicament en els organismes públics dedicats a la seguretat a internet o en les empreses, sinó que també es pot trobar de manera pública i gratuïta. Roy ha esmentat MITRE ATT&CK com a exemple principal, el que va ser el primer framework de codi obert creat per Mitre Corporation que va detectar i descriure el comportament d’una amenaça cibernètica tenint en compte les intencions de l’atacant. Va ser capaç de mostrar les tècniques dels hackers i va permetre crear un mecanisme de defensa. “Ara trobem diferents framework que informen sobre grups organitzats i està tot molt ben documentat. Si sumem aquesta intel·ligència a la dels operadors, les agències o les universitats, i es comparteix, tenim un gran poder d’actuació. És estúpid no relacionar-nos amb els altres actors si volem millorar”, ha sentenciat.

Qui i com innova?

El Cyber Investors Day és un altre dels projectes de l’Agència de Ciberseguretat per promoure la creació de start-ups i formació de talent en l’ecosistema. En la passada edició, la primera, hi van participar una desena de companyies que van poder mostrar les seves propostes a escala europea. Enguany, la iniciativa ha atret, en paraules de Roy, “només una empresa catalana, una d’alemanya amb seu a Catalunya, i una d’estatal”, mentre que les altres set són estrangeres. Unes dades que mostren com el potencial encara no ha explotat i que destaca amb la del nombre d’inversors: “Tenim molts de catalans. Això és positiu perquè ens calen diners i ens hem de coordinar bé perquè vagin a projectes d’èxit”.

“No hem de decidir si fem ciberseguretat o fem escoles i hospitals, hem d’aconseguir estar dins d’aquests projectes perquè hi haurà transformació digital"

Tot i que és important donar un impuls al sector des de dins, també ho és incloure’l com a element indispensable en nous projectes d’altres entorns. “Estem en un moment molt sexy per a la ciberseguretat, però competim amb projectes que ens guanyaran”, ha explicat el director, “no hem de decidir si fem ciberseguretat o fem escoles i hospitals, perquè sempre perdrem; hem d’aconseguir estar dins d’aquests projectes perquè tard o d’hora hi haurà transformació digital i serem necessaris”.

Un 2023 que pot ser clau

Si hi ha un tret que defineix Roy, aquest és la sinceritat. Per això no ha dubtat a assegurar que aquest any “estarem pitjor”, ja que serà l’any en el qual “tot seran rècords”. I és que, ha lamentat, “la crisi democratitzarà els cibercriminals, ja han deixat de ser vistos com a marginats i passaran a ser el millor que hi ha tecnològicament”. “Els ha aparegut una oportunitat de negoci en què, si els enxampen, potser els caurà dos anys de presó”, ha continuat”, és un granga al qual no saben renunciar”.

Malgrat que les primeres impressions poden semblar totalment negatives, ha reconegut que hi ha una petita esperança: un canvi en les dinàmiques de treball: “Passarem de les acces lists, de les regles, de les eines que fan alguna cosa, de la seguretat tradicional... a treballar en coses més disruptives de veritat”. “Tindrem solucions als problemes actuals perquè aconseguirem canviar les tendències”, ha conclòs.