"Los 'hackers' van rápido y nosotros, con la lengua fuera"

Fuente: El Pais.

Luis Jiménez camina con las manos en los bolsillos en los exteriores del Centro Nacional de Inteligencia (CNI) . Día luminoso, frío intenso a las afueras de Madrid. El fotógrafo le pide si puede hacerle una fotografía junto a la placa del CNI: no, no se puede por motivos de seguridad, indica el director de comunicación del servicio de inteligencia.
Jiménez es un alto cargo del CNI. Es el responsable de la seguridad electrónica del servicio de inteligencia. España fue blanco de más de 40 ataques "graves" a lo largo de 2009, varias instituciones clave fueron tocadas. Lo adelantó EL PAÍS a finales de enero en una semana en que los medios de comunicación de medio mundo se hacían eco de la soterrada guerra entre ciberespías de China y Estados Unidos. Cuatro de los 40 ataques alcanzaron al CNI: dos de ellos, al Centro Criptológico Nacional , la unidad de Jiménez. Ésta es la primera entrevista, cara a cara, que concede a un medio de comunicación de ámbito nacional.
Pregunta. ¿Es exagerado hablar de ciberguerras?
Respuesta. El ciberespacio es un entorno donde se dirimirán conflictos. Y será otro frente más de batalla.
P. ¿Será o es?
R. Es. Si hay una tensión que desemboca en una crisis, y eso desemboca en un conflicto, cada una de esas fases tendrá su reflejo en el cibespacio. Si ese conflicto se convierte en guerra, en el ciberespacio habrá guerra.
Luis Jiménez es militar de carrera y friki. Así le definen sus propios hijos. Siempre le fascinó la tecnología, Internet, los nuevos sistemas de comunicación. Ha convertido su pasión en oficio al servicio de la inteligencia. A sus 46 años, está al mando de la unidad que el CNI usa en las redes de comunicación: el Centro Criptológico Nacional (CCN). Aunque, stricto sensu, el CCN lo dirige el director del CNI, Félix Sanz Roldán , él es el director operativo de la unidad que vela por la seguridad informática en toda la Administración española. Una unidad que intenta evitar que los hackers penetren en el ordenador de algún alto cargo para robar información sensible. En la silenciosa batalla entre sistemas de inteligencia -últimamente, no tan silenciosa- Jiménez encabeza las posiciones de defensa, las de seguridad. De las de ataque, del ciberespionaje activo, se ocupa otra división del CNI, dice.
Sentado a una mesa ovalada en el interior del centro, responde mientras llegan los cafés y las botellas de agua.
P. ¿Es cierto que los hackers van más rápido que el desarrollo de la ciberdefensa por parte de los Estados?
R. Es difícil admitir una afirmación como ésa. Sí que es cierto que los hackers van muy rápido y que nosotros vamos con la lengua fuera, intentando seguirles. Pero les seguimos aunque nos cuesta muchísimo esfuerzo.
Jiménez es una pieza clave del nuevo escenario del ciberespionaje. La cantidad de información que puede extraer un buen troyano, uno de esos dispositivos maliciosos que infectan los ordenadores para robar datos de ellos, habría sido el sueño húmedo de todo espía vieja escuela del siglo pasado. El troyano es silencioso. Barato. Eficaz. Nadie se juega el pellejo en arriesgadas operaciones. Detectar su auténtico origen no es tan fácil.
P. ¿Acaban los troyanos con el espía tradicional?
R. No, siempre van a convivir. La inteligencia humana, la obtención ¿de algo? por fuentes humanas siempre tendrán una importancia crucial. La obtención de información por medios electrónicos tiene su importancia. Es relativamente más barata, se logran éxitos, pero ningún modelo excluye al otro. La prueba es este centro, en el que convivimos los que hacen humint -inteligencia humana- con los que hacen sigint -inteligencia de señales- y los que hacen operaciones de información.
Jiménez no puede hablar demasiado de los 40 ciberataques a España, cuestiones de seguridad nacional. "Ninguno de esos ataques comprometió a la seguridad nacional", asegura, asiéndose a la silla. Y utiliza el símil del ladrón que prueba a entrar a robar en una casa para explicarse.
Intentos de robo, o sea, ataques, se producen todos los días, dice. Son calificados de graves cuando el intruso consigue forzar una puerta o encuentra una ventana abierta. La gravedad consiste en que se detecte que el asaltante tiene conocimientos de la casa y sepa qué puertas debe forzar. Que llegue hasta ellas. "En los 40 casos, el sistema detectó el ataque y pudo contrarrestarlo", asegura. "En ningún caso se produjo un perjuicio significativo".
El caso tipo ataque es la llegada de un correo electrónico con un documento adjunto, donde viaja el troyano. Jiménez confirma que algunos de estos ataques llegaron al ordenador de jefes de gabinete de algún secretario de Estado, directores generales y embajadores. "Lo relevante es que el atacante había realizado una selección de una serie de direcciones de correo, había una elaboración de ingeniería social", explica. "En algún caso, hemos encontrado código malicioso que nunca habíamos visto antes y que no sabemos de dónde ha venido. En otros, nos llevó a pensar que había un Estado detrás, o un grupo organizado". Jiménez es claro. "Nadie está libre de este tipo de ataques, ningún ministro o alto cargo lo está".
Vive volcado en el ciberespacio desde 1987. Procedente de una familia de tradición militar, nació en Ávila y estudió en la Academia General Militar de Zaragoza, de donde salió como teniente. Tras cuatro años en unidades acorazadas, esa pasión suya por las matemáticas y por todo lo que se pueda explicar mediante una secuencia de ceros y unos le condujo a un curso de especialista criptólogo en el CESID, antiguo nombre del CNI. Desde entonces, año 1991, trabaja en el servicio de inteligencia.
P. ¿Cómo es España de vulnerable en esta era del ciberespionaje?
R. No más vulnerable que cualquier otro país europeo. Somos un país muy avanzado en la sociedad de la información (presentamos la declaración de la renta online; hay un gran número de móviles por habitante; utilizamos mucho las redes sociales); ese dato, junto al de que somos un país bastante confiado en el uso de esas tecnologías, hace que seamos un país de riesgo. No quiero ser alarmista, pero tenemos mucha tecnología y poca conciencia de los riesgos asociados: eso nos hace más vulnerables.
Además de prevenir la entrada de troyanos, el CCN también debe estar atento a los sistemas de información de las infraestructuras críticas (bancos, aeropuertos, hospitales, centrales nucleares, etcétera). Debe evitar ciberataques que puedan colapsar la red eléctrica, por ejemplo. "Ha habido casos de información robada sobre infraestructuras críticas que han ido a parar a manos de criminales", confirma.
P. La Agencia Europea de Seguridad de las Redes y de la Información (ENISA) ya advirtió en 2008 del riesgo de un 11-S digital. ¿Existe ese riesgo?
R. Existe el riesgo de que un ataque terrorista convencional, del tipo que sea, venga complementado con un ciberataque. Un ciberataque por sí mismo podrá ocasionar perjuicios temporales de funcionamiento, por ejemplo, un apagón; pero no causará los daños en víctimas, ni los daños materiales de un ataque convencional.
P. ¿Los terroristas islamitas o ETA utilizan este tipo de armas?
R. Creemos que no tienen capacidad, hoy por hoy, de hacer una agresión de ese estilo. Tienen capacidad de ataque, pero muy limitada, en objetivo, en daño y en alcance.
P. Pero las nuevas tecnologías abren nuevas posibilidades a este tipo de grupos, ¿acaso no aprovechan el nuevo escenario?
R. Hoy existen herramientas en Internet muy sofisticadas para realizar ataques. Pero estos grupos no tienen la expertise -pericia, experiencia, formación- para crear herramientas propias o nuevas. Eso limita mucho su capacidad de actuación.
Jiménez se muestra como un hombre pausado. Habla con voz grave, suave, profunda. Seguro de lo que puede y de lo que no puede decir, escapa a determinadas preguntas refugiándose en símiles y vericuetos técnicos.
P. Un informe del FBI que se filtró en enero afirmaba que China posee un ejército de 180.000 ciberespías: 30.000 militares y 150.000 de células privadas que trabajan para el Gobierno chino. ¿Le parecen verosímiles estas cifras?
R. No lo sé, en principio no. ¿Puede que tengan más de 300.000 personas especializándose para trabajar en estos ámbitos? Eso sí. Hay 45 millones de chinos millonarios, con más de un millón de dólares, ésa es la población española, los márgenes de cifras en China son otra dimensión. ¿Que hay 180.000 ciberespías? Puede, pero lo dudo.
P. Esos informes señalaban a China como país que quiere convertirse en primera potencia del ciberespionaje.
R. China ha entendido el ciberespacio como un entorno más donde habrá conflictos. Ha dado el paso y ha creado unidades específicas para obtener esa superioridad en el ciberespacio. Pero eso no sólo lo ha hecho China, también lo han hecho otros países. El ciberespionaje es mucho más barato. Ha vivido una época dorada cuando ha dado mucha información, desde 1998 hasta 2008, pero ahora todo el mundo ha levantado las orejas.
P. El caso Google parece haber producido un cambio en las relaciones internacionales entre las grandes potencias, el ciberespionaje ha emergido. ¿Considera que estamos ante un cambio de escenario?
R. Desde el punto de vista técnico puro y duro, por supuesto que se ha producido un cambio de escenario: está saliendo a la luz la capacidad que tienen Estados, Gobiernos, grupos de presión y organizaciones de actuar en el ciberespacio con ese tipo de herramientas. Y esas capacidades se utilizan para obtener ventajas competitivas, económicas, para obtener información, para posicionarse... Hay un punto de inflexión a raíz del caso Google.
Jiménez cuenta con una media sonrisa que en gran parte de su trabajo consiste en una "labor de evangelización, de adoctrinamiento": sensibilizar a la sociedad en torno a la necesidad de una mayor seguridad en las telecomunicaciones.
P. En Estados Unidos, varios senadores demócratas criticaron el Homeland Security de Obama diciendo que la ciberdefensa encubre espionaje global así como interceptación de mails personales sin orden judicial. Parece inevitable escapar a la sensación del Gran Hermano, el "nos escuchan y nos leen".
R. Nosotros no tenemos ese problema. Tenemos un sistema garantista donde las reglas del juego están mucho más claras para todos. Las operadoras saben que tienen que cumplir una ley de protección de datos, una ley general de telecomunicaciones, unas leyes que amparan el secreto en las comunicaciones.
P. El Gobierno norteamericano ha asumido que las prácticas de defensa online del país han sido, hasta la fecha, un fracaso. Hablaban de que su enfoque había sido "tradicional" con el asunto de la ciberseguridad. ¿Y aquí?
R. Hay que reconocer que Estados Unidos ha sido un país pionero y, por tanto, nosotros nos hemos beneficiado de su experiencia. De hecho, al principio, se asumía un enfoque reactivo que se ha demostrado fallido. Ahora intentamos prevenir las amenazas, no nos limitamos a reaccionar cuando éstas se materializan. La mejor defensa es ir un paso por delante.

EINSTEIN 3 Y LOS MENSAJES SECRETOS

En Estados Unidos se llama Einstein 3 y aquí, salvando todas las distancias, Sistema de Alerta Temprana. La Casa Blanca desclasificó la semana pasada informes sobre su plan de ciberseguridad y dio a conocer al mundo a Einstein 3, su sistema de seguridad para detectar intrusiones de hackers en las redes gubernamentales. Su equivalente en España es el Sistema de Alerta Temprana, que protege las comunicaciones en la red SARA, la Intranet de la Administración.
El Centro Cripotológico Nacional (CCN) es el organismo que se encarga de la defensa de las redes de la administración y del estudio de riesgos y amenazas. De él dependen las comunicaciones secretas de los altos cargos del Estado -la criptología es la ciencia que permite cifrar y descifrar información, que facilita que alguien envíe un mensaje cifrado que sólo el receptor podrá descifrar-. Sus técnicos estudian los troyanos que llegan a las máquinas de altos cargos y funcionarios y pasan sus informes a otras unidades del servicio de inteligencia.
El CCN diseña dispositivos que permiten que las comunicaciones sean cifradas: ha configurado 50 cifradores y tiene más de 8.000 equipos en servicio. Además, forma al personal de seguridad informática de la administración y supervisa la adquisición de equipos.
Aunque el CNI no da datos de cuánta gente está adscrita al CCN, sí facilita una cifra: el 90% de la plantilla tiene menos de 35 años. Sólo hay media docena de personas de más de 35. Hay matemáticos, físicos, militares, ingenieros en telecomunicaciones, informáticos... Desde su creación en 2004, el CCN ha triplicado su personal y, según su responsable ejecutivo, ha vivido un continuo crecimiento. Los grupos de investigación de las Universidades son un caladero interesante para sus fichajes.

CCN: LOS DATOS

» El Centro Cripotológico Nacional (CCN), integrado en el CNI, se encarga de garantizar la seguridad electrónica en la Administración. Vela porque los 'hackers' no penetren en los ordenadores de los altos cargos y funcionarios.
» Creado en 2004, forma parte del Esquema Nacional de Seguridad desde enero de 2010.
» Diseña dispositivos para ordenadores y teléfonos que se utilizan en lugares como la Casa Real, las Fuerzas Armadas o Presidencia del Gobierno.
» En los últimos cuatro años
el CCN ha triplicado su personal.
» En
2009 detectó más de 40 ataques "graves" a organismos e instituciones clave españoles. Dos ataques directos fueron contra el CNI y otros dos, contra el propio CCN.