Segunda parte de la entrevista a Amador Aparicio que iniciamos la semana pasada. Amador es ingeniero informático y docente y es uno de los profesionales más reconocidos de España. Tras hablarnos de la situación de la enseñanza de la ciberseguridad hoy abordamos temas más específicos. ¡Esperamos que os guste!

Terminamos la primera parte de la entrevista hablando de tus libros. Hoy damos un paso más en tu carrera y nos gustaría comenzar por tu trabajo como miembro del Comité CTN 320 de ciberseguridad y protección de datos personales en la Asociación Española de Normalización. ¿Qué objetivos persigue esta asociación?
Cierto, desde enero de 2021 formo parte de este comité. El trabajo es más de asesoramiento para la normalización de actividades, que técnico. El principal objetivo es la normalización de los métodos, técnicas y directrices en el ámbito de la ciberseguridad, la seguridad de la información, las comunicaciones y las TI, lo que incluye las siguientes áreas:
Metodología para la captura de requisitos.
Técnicas y mecanismos de seguridad, incluidos los procedimientos para el registro de los componentes de seguridad.
Gestión de la ciberseguridad, la seguridad de la información, las comunicaciones y las TI.
Documentación de apoyo a la gestión, incluyendo las normas relativas a la terminología, la evaluación de la conformidad y los criterios de evaluación de la seguridad.
Los requisitos y directrices para la protección de los datos personales y la privacidad de las personas, incluyendo los aspectos de gestión y requisitos de privacidad por diseño y por defecto.

Formas parte del equipo de captación de talento de Telefónica, Talentum Startups desde 2013. Los jóvenes tienen la mirada puesta en California, pero ¿tenemos mucho talento en España? ¿Hay futuro para los jóvenes que deseen quedarse y no salir al extranjero?
Sí, formo parte del Programa de Captación de Talento de Telefónica desde diciembre de 2013 y me ha permitido conocer a gente de todas las universidades españolas durante todos estos años. Las universidades en España están haciendo un buen trabajo porque estamos exportando jóvenes formados en España al extranjero con puestos de responsabilidad que exigen un alto conocimiento técnico y capacidad. Sin ir más lejos, el responsable de seguridad de Google es o era un chico de Valencia, Fermín Serna, lo que indica que en España las universidades tienen un buen nivel y que la gente sale bien preparada de ellas.

«Lo que buscamos en las universidades
es gente con actitud y con capacidad y
habilidades tecnológicas
que se apasionen haciendo cosas y
no los mejores expedientes.»

Lo que buscábamos (y buscamos) en las universidades (y fuera de ellas) era gente que hubiera hecho cosas por su cuenta en forma de proyectos tecnológicos, no sólo que tuviese buenas ideas, sino que tuviera la capacidad tecnológica de transformar esa idea en producto, gente que tuviese pasión por la tecnología y que hiciera cosas por su cuenta. No buscábamos los mejores expedientes (aunque los ha habido), sino gente con actitud y con capacidad y habilidades tecnológicas que se apasionase haciendo cosas, que hubiera hecho pequeños proyectos que pudiéramos ver.

Sobre lo que planteas de si hay talento es España, conozco a grandes profesionales del sector, pero la COVID-19 ha revelado información al respecto: se ha producido un incremento en el desempleo mayor al de la oferta de puestos de trabajos especializados, y esa es una de las razones por la que hay más ofertas de empleo, por ejemplo en ciberseguridad, frente a la demanda de empleo, lo que podría indicar que en España no hay tanto talento digital como aparece en los medios y redes sociales y donde más ha crecido el número de empresas que ofrecen trabajo a expertos en nuevas tecnologías, de ahí que sea complicado cubrir toda la demanda de profesionales. Sobre este tema os propongo leer este artículo del diario El País Financiero.

Amador Aparicio es un destacado docente.

Para acabar este bloque sobre tu aportación en varias instituciones, debemos hablar también del programa CSE (Chief Security Envo) de ElevenPaths, del que formas parte. ¿En qué consiste realmente el programa?
Desde ElevenPaths, la Unidad de Ciberseguridad de Telefónica, se creó un programa similar a los MVP de Microsoft, pero en este caso aplicado al mundo de la ciberseguridad. La idea del programa es doble, por un lado hacer un reconocimiento público a profesionales del sector y por otro realizar aportaciones de ciberseguridad para llegar a más lugares.

En mi caso, si me preguntas quién tuvo la culpa, te diría que Pablo González, que fue quien me puso en contacto con el programa en diciembre de 2018. Después, Pablo San Emeterio fue quién realizó el proceso de selección y al final quedamos seleccionados 10 personas en España y 6 personas en Ecuador. Por cierto, este año también he vuelto a recibir el reconocimiento y para mí es muy motivador poder estar relacionado con ElevenPaths porque podemos probar algunos de sus productos, proponer mejoras, tener acceso a tecnología disruptiva en algunos casos y poder estar presentes en foros especializados.

La verdad es que las opciones de la ciberseguridad van alcanzando cotas importantes en diversos sectores. En este blog ya hemos hablado de la importancia de que los coches sean ciberseguros. ¿Puedes hablarnos del Hacking Car y por qué está tan de moda?
Creo que estuvo más de moda hace 2 ó 3 años. En congresos de seguridad hubo ponencias relacionadas con Car Hacking, de hecho, Jordi Serra y yo estuvimos en Navaja Negra y en las Jornadas CCN-CERT en 2018 con ponencias sobre Car Hacking. En nuestro caso estudiamos técnicas para leer las tramas que viajaban por la red CAN BUS de los coches, modificarlas y volver a inyectarlas al coche para que éste hiciera cosas y cambiar así su comportamiento.

Las ponencias de Car Hacking estaban relacionadas con las comunicación interna de la red del coche sobre el bus CAN, y sobre radiofrecuencia aplicada en llaves sin contacto y el sistema de monitorización de presión y temperatura de las ruedas.
Los estudios de Charlie Miller y Chris Valasek en ese campo fueron tremendamente impactantes con el hackeo del Jeep, pero ellos tenían toda la información de los fabricantes de los distintos dispositivos del coche.

Sobre los coches ciberseguros:
«La Unión Europea hará cumplir la norma a partir de julio de 2022 y

afectará a todos los vehículos nuevos a partir de julio de 2024.
Para lograr el certificado de ciberseguridad,
los fabricantes deberán demostrar que sus modelos
están protegidos frente a 70 vulnerabilidades.«

Ahora es más complicado encontrar ponencias de este tipo porque una de las conclusiones a las que llegamos es que los fabricantes no aportan ningún tipo de información, hay que disponer de un buen  laboratorio y material de medición y monitorización de datos y, sobre todo, hay que tener coches para hacer pruebas, y eso no está al alcance de cualquiera, de ahí que sea complicado avanzar por ese campo si no es con el apoyo de un fabricante interesado que te proporcione el material para realizar todas las pruebas necesarias.
Y no debemos olvidarnos del cine, en muchas películas puedes ver como hackean un coche y toman el control total sobre él…. Y eso es prácticamente imposible por la segmentación que existe en las redes internas de los automóviles.

¿Puedes hablarnos de la legislación al respecto? El 1 de enero de 2022, ¿todos los coches deberán ser ciberseguros? ¿Solo los nuevos, los de segunda mano no?
Cierto, la Unión Europea ya ha anunciado que hará cumplir la norma a partir de julio de 2022 y afectará a todos los vehículos nuevos a partir de julio de 2024. Para lograr el certificado de ciberseguridad, los fabricantes deberán demostrar que sus modelos están protegidos frente a 70 vulnerabilidades. Ese listado de riesgos a evitar incluye posibles ciberataques durante el www, producción y posproducción del vehículo, por lo que aquellos modelos que logren el certificado estarán protegidos a lo largo de todo su ciclo de vida. Además, se especifica que debe ser una entidad autorizada e independiente del fabricante la que acredite si el vehículo analizado cumple esos requisitos.

TECNOideas entrevista a Amador Aparicio: "estamos exportando jóvenes formados en España con puestos de responsabilidad"

En el caso de que algún fabricante ponga a la venta en la UE un vehículo que no cumpla con la normativa ONU / UNECE WP.29 o se demuestre que engañaron a la entidad autorizada para obtener el certificado de manera irregular, se enfrentaría a sanciones de hasta 30.000€ por vehículo y se podría retirar o suspender la homologación de los modelos afectados, lo que impediría que se pudiesen vender.

La normativa no detalla qué medidas deben tomar los fabricantes para hacer frente a esas 70 amenazas. Tampoco indica qué tipo de pruebas se deben realizar para saber si un vehículo puede obtener el certificado APTO de ciberseguridad.

Este sector avanza muy rápido, gracias a que la tecnología no tiene freno. ¿Cómo te imaginas el sector de aquí a veinte años?
Ni idea, creo que tendría que preguntárselo a mis hijas dentro de unos años… (risas).

¿Habéis aprendido muchas cosas? Esperamos que os haya gustado esta entrevista. Si todavía no habíais leído la primera parte, os lo ponemos fácil: sólo tenéis que clicar AQUÍ.

Para todos los que queráis conocer más y mejor a Amador,
os invitamos a visitar este enlace.

Leave a comment