La Plataforma de ONG analiza los riesgos en materia de ciberseguridad para entidades del Tercer Sector Social

- El foro "Digitalización y nuevas tecnologías: avances y problemas asociados a la ciberseguridad en ONG" tuvo lugar en la sede de Cruz Roja Española y asistieron más de 50 entidades sociales.

- El foro se ha desarrollado haciendo un diagnóstico que detecte las oportunidades y problemáticas de la Ciberseguridad para las entidades sociales, así como las buenas prácticas en esta materia, contando con la colaboración de PwC, Policía Nacional e INCIBE, entre otras.

28/11/2019

La Plataforma de ONG de Acción Social ha celebrado un foro destinado a sensibilizar y formar a las entidades de acción social en materia de ciberseguridad. La iniciativa de los foros que la Plataforma desarrolla es crear un clima de debate donde se expongan de la mano de expertos y expertas en el tema a tratar y generar un clima de aprendizaje mutuo en el seno de las entidades del tercer sector social. En este caso se ha querido profundizar, en el marco del III Plan Estratégico del Tercer Sector de Acción Social y a partir de la Comisión de Transparencia e Innovación de la Plataforma de ONG que lo coordina, sobre ciberseguridad y la importancia de identificar y prevenir el riesgo de los ciberataques en las entidades del Tercer Sector Social.

Pero ¿qué es la ciberseguridad y que implica para las ONG?

Se entiende por Ciberseguridad, todas las actuaciones de las organizaciones o particulares para reducir el riesgo de convertirse en victimas de ciberataque. El objetivo de la ciberseguridad es proteger todos los dispositivos que usamos (teléfonos móviles, portátiles, tabletas y ordenadores) y los servicios de acceso – online y en el trabajo- de ser dañados. También se trata de prevenir accesos no autorizados a gran cantidad de información o información personal que almacenamos en nuestros dispositivos u online.

La ciberseguridad es importante para las organizaciones porque se ha extendido el uso de internet no sólo en sus oficinas sino también en los centros de atención a personas, debiéndose proteger no solo la información y recursos sino también los servicios y la misma identidad de las personas que pueden ser también objeto de ataque.

Profundizando en ciberseguridad: objetivos para las entidades sociales del Tercer Sector 

Asunción Montero, la presidenta de la Plataforma de ONG inauguró el foro destacando, como objetivos, promover avances de las entidades sociales en la digitalización y nuevas tecnologías del Tercer Sector Social; dar pautas para trabajar en las problemáticas asociadas a la digitalización de las entidades sociales a partir de un diagnóstico de riesgos (seguridad, consumo, desempeño vs utilidad, etc.) e identificar riesgos y soluciones asociados la incorporación de las nuevas tecnologías en la atención a los colectivos de atención.

Para lograr estos objetivos se ha contado con dos mesas de debate que han generado el clima oportuno para que las entidades puedan conocer cómo realizar un diagnóstico de riesgo en materia de Ciberseguridad, así como a conocer las oportunidades y problemáticas que esta entabla. Así mismo, también se ha analizado, en una segunda mesa, qué tiene que tener una organización del Tercer Sector Social para estar bien preparada ante un ciberataque.

Ante de finalizar su discurso y dar paso al foro, Asunción Montero ha agradecido a la Policía Nacional, INCIBE, PwC y a las entidades que se han sumado para aportar su experiencia en esta materia, su colaboración.

Mesa Redonda sobre las oportunidades y problemáticas para las entidades de la Ciberseguridad. Diagnóstico de riesgos

Esta mesa ha sido moderada por Enrique Galván, coordinador de la Comisión de Transparencia e Innovación de la Plataforma de ONG, y ha contado con la estimable participación de la inspectora María Riesco García, Comisaría General de Información del Cuerpo Nacional de Policía, que ha sido presentada por Raquel Valle (Confederación Autismo España); y de Elisa Vivancos del área de empresas y profesionales del Instituto Nacional de Ciberseguridad (INCIBE), presentada por Adolfo García (Confederación Estatal de Personas Sordas).

María Riesco García ha explicado en su intervención algunos conceptos relativos a la Ciberseguridad y a cómo la Policía se encarga de atender los delitos en esta materia siendo necesario para ello la vulneración de la seguridad existente en el sistema atacado, o que se haya visto comprometida información de carácter personal.  Ello quiere decir que, si no hay seguridad establecida previamente, ante un robo de daos la Policía no podrá actuar porque no se trata de un delito. Durante su intervención ha destacado también que para prevenir estos ciberincidentes se debe tener siempre el sistema de protección actualizado, renovando cada cierto tiempo los parches de seguridad, y en el caso de sufrir uno se debe, ante todo, contener el ataque y avisar a la Policía en caso se duda de si, realmente, dicho ciberataque constituye un delito o no, para que asesore a la entidad que lo haya sufrido.  

Igualmente, y a pesar de las amenazas que supone para las entidades el campo de las nuevas tecnologías María Riesco ha destacado que hay que “fomentar siempre el uso de las herramientas que ofrece Internet de una manera responsable,” y que España se sitúa a la cabeza en materia de Ciberseguridad y aunque el número de denuncias crece, también la colaboración de la policía en el ámbito europeo y con Estados Unidos.

Por su parte Elisa Vivancos, representante del INCIBE  ha iniciado su intervención destacando los distintos servicios y portales que tiene esta entidad, uno de los mayores exponentes en materia de ciberseguridad en nuestro país, para implementar la protección, destacando el área enfocada a proteger empresas y organizaciones  o el portal para menores, con contenidos específicos para niños, niñas y adolescentes en Internet. Vivancos ha resaltado también, en relación a los problemas de las entidades del Tercer Sector Social en ciberseguridad que, sobretodo, las ONG son más propensas a este tipo de ataques porque manejan datos sensibles: datos personales, informaciones importantes, donaciones… “datos muy cotizados en el mercado negro” y que se ha de tener cuidado porque, además, el daño reputacional en caso de sufrir un ciberataque puede ser muy alto. Además de las amenazas a las que está expuesta el  Tercer Sector (fraude, robo de datos, ataques contra la web) Vivancos también ha hablado de la técnica de seguridad para empresas y profesionales de INCIBE  destacando que lo que se  debe hacer es analizar  los riesgos y prevenirlos mediante formación; para ello ha destacado que en su portal web han desarrollado manuales y juegos de roll, con toda una serie de materiales que puede ser empleada por las organizaciones para formar a sus equipos.

Tras esta segunda intervención y algunas preguntas del público moderadas por Enrique Galván se ha dado pasado a la segunda mesa del foro.

Mesa de Buenas Prácticas de Ciberseguridad en entidades sociales: ¿Qué tienen que hacer una organización del Tercer Sector Social para estar bien preparada?

Esta mesa ha sido moderada por Marisa Gómez Crespo, directora de la Plataforma de ONG de Acción Social, quien ha destacado “la importancia de identificar el riesgo de la ciberseguridad como un riesgo estratégico relacionado con la actividad de las organizaciones, pero también con los derechos de las personas a las que se atiende.” En la mesa han participado María Jesús Más Tomás, responsable de la Unidad de Seguridad Informática de ONCE; Tomás Mateos, director de Sistemas de Información de Cruz Roja Española y Marta Colomina, directora de la Fundación Pwc.

Por su parte Marta Colomina ha destacado que, según sus datos, el Tercer Sector invierte “un 42% menos que una empresa en ciberseguridad” cuando el riesgo de las ONG, especialmente a nivel reputacional y con la sensibilidad que tienen los datos con los que trabajan, es el mismo o incluso más alto que el de las empresas. En este sentido destacó que la ciberseguridad debe ser un área de trabajo para el sector y que se pueden conseguir medios y compartir estrategias para afrontar este riesgo, para lo cual recomendó:

1. “Sacar este tema de informática y moverla a los patronatos de las fundaciones y juntas directivas de las entidades” para abordarlo con la importancia que se merece y crear conciencia sobre el riesgo estratégico para la actividad de la organización.  
2. Buscar recursos prioritarios para poner en marcha lo que se  ha catalogado como “Modelo de tres líneas de defensa” que abarcar a las personas que trabajan en la organización, teniendo en cuenta que cualquiera puede abrir  el fichero malicioso y cuya línea de defensa es la formación y concienciación; el propio sistema a través de los recursos, procesos y tecnologías cuya defensa es analizar cuáles son los datos sensibles y, en base a ellos, determinar una estrategia de ciberseguridad; y en  tercera línea ver si funciona mediante ataques preventivos tanto hacia las personas que trabajan en la organización  como hacia el propio sistema.

Tras esta primera intervención tomó la palabra Tomás Mateo, quien destaco que sí que se debe estar alerta y algo asustados, ya que los ciberataques son, dijo, “algo que está en el día a día constantemente y que, aunque no se ve no significa que no exista.” En esta línea dio algunos datos como que el 76% de las empresas españolas han sido atacadas en los últimos 6 meses, por lo que, en su opinión, es “algo relevante y a lo que se le debe destinar una gran partida presupuestaria.” Destacó también que el 95% de los ciberataques se deben a fallos o actos humanos, de ahí la importancia de, formar y sensibilizar en este ámbito para generar conciencia, así como generar una capa de seguridad perimetral, externa e interna en todos los proyectos de las organizaciones. Como recomendaciones básicas para la prevención de los ciberataques resaltó también el mantener los sistemas actualizados; hacer un cambio frecuente de contraseñas, teniendo diferentes para cada cuenta y con suficiente nivel de seguridad; realizar tareas de concienciación a los empleados; y contratar, si es posible, una póliza de ciberseguridad.

Por último, intervino María Jesús Más Tomás que también animó a mantener la guardia en alto y a no relajarse ya que, dijo, “los ataques son cada vez más sofisticados y se debe estar al tanto de todas las nuevas tecnologías, especialmente en las que se implementan en nuestras organizaciones.” Destacó que ahora mismo los ciberataques son una industria y que no solo suponen pérdidas económicas, sino también perdida reputacional.

Para concluir este foro, Enrique Galván, coordinador de la Comisión de Innovación y nuevos retos de la Plataforma de ONG de Acción Social, agradeció a todas las personas e instituciones que han querido compartir su conocimiento,  concluyendo que hay que “mirar juntos a esta realidad que nos reta y de la que no podemos escapar.” Estamos, dijo, en una “sociedad digital con muchas oportunidades, pero también con riesgos y amenazas” y destacó la importancia de espacios como el acontecido donde se comparten historias y vivencias que muestra que “las ONG deben incorporar a su misión y visión esta perspectiva y protegerse.” Concluyó diciendo también que tenemos el “reto de defendernos como entidades y como promotores de la lucha contra la brecha digital para llegar mejor a nuestros colectivos y personas más vulnerables” que, son al final, el objetivo de las entidades del tercer sector de acción social.

Para cerrar el foro concluyó destacando que las ONG “compartimos una reputación, somos un sistema interdependiente que debe estar conectado y ser más fuerte.” En esta línea y dirigiendo su mirada hacia la Administración, subrayó la importancia de generar un “plan de fortalecimiento del Tercer Sector Social, para que el Gobierno lo incorpore como líneas de apoyo a las ONG y estas a su vez puedan integrarlo en su estructura.”