“Por ir a un curso de dos días y rellenar un examen tipo test ya te dan un título de experto en seguridad informática”

Primero fue Wikileaks, el recientemente condenado Bradley Manning, y ahora Snowden. Su repercusión mundial nos ha enseñado la noción de privacidad, qué es eso de la 'nube' en la que están nuestros datos y la existencia de un temible espionaje electrónico. Por el camino nos hemos topado con Anonymous y el 'hacktivismo', los ataques de denegación de servicio, el papel de internet en la Primavera Árabe, la red Tor, la 'Sirian Electronic Army', el secuestro de dominios, la ciberguerra latente entre China y Estados Unidos... Al igual que la crisis nos ha impartido un curso acelerado de economía, noticias como estas nos están obligando a familiarizarnos con la seguridad informática a marchas forzadas.

Está bien que así sea. El primer paso para evitar disgustos es la prevención y solo nos podemos proteger si conocemos los riesgos que implican las nuevas tecnologías. De la noche a la mañana, señores y señoras que vivían muy tranquilos en su ignorancia se han dado de bruces con un montón de términos que no habían escuchado en su vida: red segura, cifrado, protocolo, ciberataque... ¡Menudo lío! Y eso que nos hemos ceñido a los que pueden traducirse del inglés.

“La gente empieza a ser consciente de que hay algo ahí que a lo mejor no es tan seguro como ellos pensaban”, explica José Luis Narbona, presidente de la recién nacida Asociación Nacional de Ciberseguridad y Pericia Tecnológica (ANCITE). “Es importante porque la gente empieza a tomar conciencia y van viendo la figura del asesor de seguridad, del auditor, del perito informático, del experto en seguridad informática, como algo necesario”.

El desconocimiento, sin embargo, sigue siendo enorme. 'Hacker' se ha convertido en una palabra talismán para vender titulares y se utiliza para hablar de perfiles técnicos sin parecido alguno. Se mezclan churras con merinas, se desinforma, se trivializa, y en muchas ocasiones se inflige un daño irreparable a una profesión que resulta indispensable para el presente y el futuro de una sociedad cada vez más dependiente de la tecnología.

Por todo esto y mucho más nace ANCITE, que tiene entre sus impulsores a respetados académicos del mundo de la ciberseguridad y a algunos rostros conocidos de la blogosfera española, como Lorenzo Martínez (Security By Default) o Pedro Sánchez (Conexión Inversa).

¿Qué es eso de un perito tecnológico?

“Actualmente, el 80% de los delitos que se pueden cometer pasan o por un mail o por un móvil”. Así de contundente lo pinta Narbona. “Ya no son firmas. Lo que era el perito calígrafo del S.XX ahora es el perito informático. Es una profesión fundamental para discernir, porque el juez no tiene por qué saber de todo”.

Para que lo entienda todo el mundo, el perito informático es el experto capaz de demostrar ante un juez, con “pruebas fehacientes”, si un correo electrónico es auténtico o, por el contrario, ha sido manipulado. De nuevo podemos recurrir a la actualidad en busca de ejemplos concretos. ¿Son legítimos los SMS entre Bárcenas y Rajoy que hizo públicos el diario El Mundo? ¿Qué ha pasado con el disco duro del portátil del extesorero? “Un juez no sabe de todo y lo tienes que guiar. Un juez te puede pedir que le cuentes lo que es una red social y que le hagas un símil con una discoteca”.

Este tipo de preguntas, y otras muchas, son las que un magistrado puede formular a profesionales como los miembros de ANCITE, que tienen la experiencia y los conocimientos suficientes para responderlas, igual que un perito calígrafo sabe identificar si la firma estampada en un contrato pertenece a una determinada persona.

“Hasta hace cuatro o cinco años, incluso ahora mismo en algunos casos se sigue admitiendo como prueba un mail impreso. Eso es lo que no puede ser, porque habrá gente a la que habrán condenado por un mail impreso” que perfectamente podría haber sido falsificado o manipulado para la ocasión.

“Para nosotros es fundamental que la Justicia funcione mejor”, afirma Narbona. Y por eso es tan importante que los expertos que se sientan delante de un juez sean los más capacitados. Básicamente eso es, tal y como lo ve ANCITE, lo que distingue a un verdadero profesional de la seguridad informática de un simple 'vendehumos'.

No es oro todo lo que reluce

ANCITE no es la primera asociación de ciberseguridad que nace en España. Ni siquiera es la primera en la que este grupo de expertos está involucrado desde el momento de la fundación. Hasta hace bien poco, Narbona y los demás directivos de ANCITE formaban parte de ANTPJI, la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos, de la que han salido enormemente decepcionados.

“Sobre todo por problemas relacionados con la gestión interna de la Asociación, en la que la Presidencia hace y deshace a su antojo, así como sus continuos desplantes y deleznable actitud hacia los ponentes de los eventos (o cursos), la gratuidad por ”regalar“ prácticamente un título de perito a cualquiera que pague su cuota de entrada ”para estar ahí“, es por lo que unos cuantos hemos decidido formar parte de otra asociación”, escribe Lorenzo Martínez en la entrada del blog Security By Default donde anuncia la creación de ANCITE.

“Hay muchas asociaciones en España y nosotros precisamente hemos creado esto porque venimos bastante esquilmados de otras opciones en las que por ir a un curso dos días ya te dan un título de X”, nos cuenta Narbona. “Nosotros eso no lo vamos a hacer en la vida, porque vemos que va en perjuicio directo de nuestra profesión. A nosotros no nos vale de nada hacer un título, con un curso avalado por la asociación que certifica que eres perito telemático por haber estado dos días escuchando charlas y rellenar un examen tipo test, porque eso es malo para todos los profesionales”.

Es una clara referencia a lo que, irónicamente, Martínez denomina en su entrada “eventos (o cursos)”. Se parecen más a lo primero, pero dicen tener la validez de los segundos. Es sencillo comprobarlo echando un vistazo al apartado “formación” de la web de ANTPJI, donde se ofrecen cursos de diversa duración y contenido en colaboración con UDIMA, la Universidad a Distancia de Madrid. La gran mayoría de ellos prometen una “titulación universitaria”, palabras textuales, al finalizar el curso. Y, sin embargo, como nos recuerda Narbona, no existe ninguna titulación en el ámbito de la informática forense reconocida por el Ministerio de Educación.

“Ha sido tal el intrusismo que ha habido en los últimos 15 años de otros profesionales que no han estudiado una ingeniería informática, una ingeniería telemática o incluso un módulo de informática...”, lamenta. “Pero como había trabajo, ¿qué es lo que ha sucedido? Que al final todo el mundo sabe de informática y ahora de seguridad informática más. Entonces todo el mundo se pone el letrero. Pero nosotros lo podemos verificar”.

Separar el grano de la paja

La principal obsesión de Narbona y sus compañeros de ANCITE es la “excelencia profesional”. Lo repite por activa y por pasiva durante su conversación con HojaDeRouter.com. Es así como quieren desmarcarse de los errores de otras asociaciones, que han hecho que “el sector de la informática esté tan dilapidado”. Se trata, en definitiva, de hacer una limpieza y quedarse con lo que verdaderamente consideran valioso.

¿Y cómo piensan conseguirlo? Muy sencillo: con una política de admisión estricta y rigurosa. “Nosotros no cojemos a todo el mundo. Tenemos un filtro muy importante, a través de unos criterios y con un procedimiento que hemos desarrollado”, explica Narbona. En primer lugar, exigen al aspirante toda la documentación disponible sobre su vida académica y laboral y la revisan minuciosamente. Además, es necesario que al menos dos socios avalen su candidatura y certifiquen su experiencia y, por si fuera poco, el aspirante deberá someterse a una entrevista personal.

ANCITE prefiere calidad que cantidad. Son conscientes de que su método puede parecer demasiado exigente, incluso elitista para los más críticos, pero lo ven como la única forma de certificar la profesionalidad de un asociado “de cara al cliente final”. Si una empresa o una institución acude a ellos en busca de un auditor o un perito, quieren estar seguros de enviar a uno de los mejores.

Pero, ¿y si alguien no cumple con los requisitos? ¿Se queda fuera? “Nosotros en el caso de que una persona tenga unos conocimientos y le falten otros, le damos un margen para que se prepare”, asegura Narbona. “Estableceremos un procedimiento de examen y les haremos prácticas tuteladas, para que puedan llegar a la categoría de asociado profesional con todos los derechos”. Pero nada de cursos de dos días ni de formar expertos cuyo mayor mérito es haber pagado una cuota de inscripción.

“Luego también tenemos los socios simpatizantes, gente que no puede ejercer ni de perito ni de auditor. Fuerzas de seguridad del Estado, estudiantes que luego quieran pasar a ser peritos, abogados tecnológicos, jueces, fiscales, miembros del Ejército...”. Se trata de que el resto de perfiles profesionales vinculados con la seguridad también tengan alternativas. “Nosotros no nos ponemos ningún techo”, afirma el presidente de ANCITE. “Yo espero que para final de año seamos 50 personas y creo que lo podemos conseguir”.

¿Y a qué se dedica la asociación?

“La asociación lo que hace es hacer de cauce de entrada de trabajo a los profesionales que nos asociemos. Eso es la base”, explica Narbona. “Contribuir con organismos, contribuir con entidades privadas y públicas para mejorar el uso de internet en lo que atañe a la seguridad y, sobre todo, generar estudios, contenidos y formación para que la gente tome conciencia de ello”.

Asesoría, conferencias, congresos, formación... “Eso es una de las labores importantes: que la gente nos conozca, que sepa lo que es la ciberseguridad, que sepa lo que es un perito informático, que sepa cómo eso le puede ayudar en un proceso judicial... Para nosotros ya es mucho el hecho de que la gente conozca lo que hacemos”.

Como decíamos al comienzo de este artículo, la propia actualidad nos está obligando a familiarizarnos con la seguridad informática. Ahora lo que falta es dar voz a los expertos para evitar la desinformación y derribar los falos mitos. Está en juego algo tan importante como la seguridad.