El WiFi hace posible ver a través de las paredes
Con el paso del tiempo, vamos desbloqueando mitos que creíamos imposibles. Desde poder vernos y hablar con alguien que está en la otra punta del mundo, hasta conseguir que un crucero de 200 toneladas se mantenga a flote sin ningún tipo de impedimento. ¿Pero, esperabas poder ver a través de las paredes algún día, como si de rayos X se tratara?
En 2018, Facebook ensayaba un sistema que permitía ubicar en tiempo real a un objeto en movimiento. Así mismo, avisaban de que un sistema de Inteligencia Artificial llamado Dense Pose, iba un paso por delante, ya que no solo ubicaba los objetos en movimiento, sino que también los identificaba con exactitud.
Hoy día, a principios de 2023, os corroboramos que, gracias a unas investigaciones de la Universidad Carnegie Mellon, de Pittsburgh, se espera que pronto estemos vigilados incluso a través de las paredes. Esto gracias, en parte, a las señales WiFi.
Pero… ¿De qué se trata este sistema realmente? Dense Pose se basa en Inteligencia Artificial. Los sistemas de procesamiento de imágenes de Facebook permiten detectar la posición en tiempo real de un objeto en movimiento. Pero, cuando crearon Dense Pose, vieron que iba un paso más allá, al detectar a varios objetos en movimiento. Entre otras cosas, es capaz de mapear lo que viene siendo la superficie del cuerpo humano (ya sea a través de un video o de una foto 2D). A raíz de ahí, crearon una red neuronal que, junto a los sistemas programados anteriormente. De esta manera consiguieron que fuera capaz de mapear la fase y amplitud de las señales WiFi, tanto entrantes como salientes, en el cuerpo humano.
Una vez programado y en funcionamiento. ¿Cuál sería el siguiente paso para hacer funcionar lo que supuestamente, podría llegar a atentar contra la privacidad de las personas?
Fácil, instalaron un sensor ubicado en una habitación cuya finalidad era detectar cuerpos, ya sea en la oscuridad o incluso detrás de otros objetos. El “algoritmo” terminó prediciendo las poses estrictamente en función de las señales WiFi.
Aunque suene algo contradictorio, Dense Pose asegura que su tecnología es amigable con la privacidad, dado que no es capaz de detectar características de identificación personal: protege la privacidad de las personas. Como la mayoría de los hogares en los países desarrollados ya tienen WiFi, los investigadores creen que esta tecnología puede escalarse para monitorear el bienestar de las personas mayores o simplemente identificar comportamientos sospechosos en el hogar.
¿Creéis que pueden estar en lo cierto? No obstante, no tienen en cuenta un matiz muy importante: una cosa es para lo que está diseñado un producto, servicio o sistema y otra muy diferente para la inmensa cantidad de cosas que se puede terminar utilizando. Si esta tecnología termina en manos equivocadas, podrían utilizarse para espiar y estudiar las actividades de sus posibles víctimas con mayor facilidad. ¡Ni siquiera tendrían que entrar ni hacerse notar… simplemente lo harían con una serie de cámaras externas!
Anteriormente ya nos habíamos interesado en comentaros varios temas sobre WiFi, es recomendamos leeros: Vulnerabilidades en el protocolo WiFi y en cámaras de videovigilancia.
Imagen principal: Web de Dense Pose
- Publicado en Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Seguridad
Primeros malos usos de ChatGPT
Dos meses han tardado los ciberdelincuentes en usar ChatGPT para crear campañas de malware. La herramienta de Inteligencia Artificial de moda, ChatGPT, que fue presentada en noviembre del año pasado, ya ha sido usado para recopilar archivos de Office, PDF o imágenes.
ChatGPT es una nueva herramienta de Inteligencia Artificial que ha sido desarrollada por la compañía OpenAI. Esta empresa, especializada en investigación de IA y que dice que no tiene ánimo de lucro, desarrolló la herramienta y la ofrece gratuitamente a toda persona que tenga una cuenta con ellos.
Se está hablando mucho de ChatGPT, porque puede entablar una conversación en texto, ya que tiene una importante capacidad de generar y enlazar ideas. Además recuerda las conversaciones previas, por lo que va “aprendiendo” a medida que se utiliza.
El hecho de que cualquier persona puede hacer uso (bueno o malo) de esta herramienta es precisamente lo que ha hecho saltar las alarmas de diferentes compañías de seguridad. Por ejemplo la empresa Check Point.
Desde principios de diciembre, investigadores de esta empresa hicieron una serie de estudios y seguimientos. En ellos encontraron indicios de usos maliciosos a través ChatGPT. Además y en paralelo, apareció un hilo sobre el tema en un foro clandestino de piratería. En el se hablaba de las opciones que ofrecía para insertar campañas de malware. Para ello se había utilizado un software malicioso basado en Python para buscar archivos, copiarlos en una carpeta, comprimirlos y subirlos a un servidor FTP codificado. Posteriormente se ha comprobado que, efectivamente, es capaz de crear un malware que recopila archivos de Microsoft Office, PDF o imágenes del sistema.
No solo eso, en caso de encontrar un archivo que le interese y se lo quiera guardar, lo podrá hacer sin ningún tipo de problema. Simplemente tendrá que comprimirlo y compartirlo a través de la web. ¿Lo peor? Que todo eso se haría sin añadir cifrado, por lo tanto, estos archivos podrán terminar en manos de terceros por el hecho de no utilizar ese tipo de sistema de seguridad.
Esa no fue la única evidencia de mal uso del ChatGPT. También han podido crear scripts (secuencia de comandos que se usa para manipular las instalaciones de un sistema existente) con la herramienta. La misma empresa terminó concretando que se trataba de un script con diferentes finalidades como encriptado y cifrado, aunque también tiene una utilidad maliciosa.
Si queréis saber más sobre esta herramienta, podéis obtener más información AQUÍ.
Ya en este blog os hemos hablado de algunas de las opciones que han generado cierta controversia sobre la Inteligencia Artificial. Os recordamos el caso de los autógrafos de Bob Dylan en el artículo “La “estafa” de las dedicatorias
Anteriormente ya nos habíamos interesado por todo lo relacionado con la Inteligencia Artificial, a raíz del proyecto MarIA en el artículo ¿Ya podemos decir que la IA es más presente que futuro?
Imagen principal de: Alexandra_Koch en Pixabay
- Publicado en Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Productos, Seguridad
La nueva ISO 27032 es un estándar de ciberseguridad
Ya se ha hecho pública la nueva versión de la norma ISO 27032, que se convierte en la más específica certificación sobre ciberseguridad. Se trata de una nueva oportunidad para que las empresas demuestren a sus clientes que cumplen con la ley y las diferentes normativas. Y además que son sensibles a los problemas de ciberseguridad, protegiendo y preservando la confidencialidad, integridad y disponibilidad de la información.
Llevamos mucho tiempo insistiendo en la necesidad de que las empresas se certifiquen en los estándares de las tecnologías de la información y os hemos hablado a menudo de la ISO 27001 y del Esquema Nacional de Seguridad (ENS).
Pero hoy queremos hablaros de la ISO/IEC 27032, porque es un nuevo estándar concreto de ciberseguridad.
La ISO 27032 nació en el año 2012 con el objetivo de mejorar el estado de la ciberseguridad o lo que entonces se llamó “la seguridad del ciberespacio”. Se entendía el ciberespacio como “el entorno complejo resultante de la interacción de personas, software y servicios en Internet por medio de dispositivos tecnológicos y redes conectadas a él, que no existe en cualquier forma física”. Por su parte la RAE lo define como “Ámbito virtual creado por medios informáticos”. Y por lo tanto la seguridad del ciberespacio es “la preservación de la confidencialidad, integridad y disponibilidad de la información en el Ciberespacio”.
Podéis ver un artículo sobre la nueva norma en la web del Centro Criptológico Nacional AQUÍ.
La nueva ISO 27032 es un estándar de ciberseguridad
Desde hace un tiempo la Organización Internacional de Normalización estaba trabajando en una nueva versión de esta norma y ahora finalmente se ha presentado. Entre las novedades más destacadas se encuentra el cubrir los espacios que hasta ahora no quedaban encuadrados en anteriores normas de seguridad de la información. También es importante señalar que la empresa que se va a certificar debe ser muy proactiva en las medidas de seguridad y en los mecanismos de prevención.
Con la ISO 27032 se pretende garantizar la seguridad en los intercambios de información en la red con este nuevo estándar, que puede ayudar a combatir el cibercrimen con cooperación y coordinación. La certificación proporciona un marco seguro para el intercambio de información, el manejo de incidentes y la coordinación para hacer más seguros todos los procesos.
Una vez más debemos recomendar a las empresas que consideren el certificarse, porque la ISO 27032 ayuda a prepararse, detectar, monitorizar y responder a los ataques. Al mismo tiempo permite luchar contra ataques de ingeniería social, hackers, malware, spyware y otros tipos de software no deseado.
¿Cómo es la certificación?
TECNOideas puede ayudar a certificaros, como en el caso de la ISO 27001 y del Esquema Nacional de Seguridad. Con el método TECNOideas os será sencillo el trabajo a realizar porque os acompañamos de principio a fin.
La certificación engloba cuatro partes:
- Seguridad de las redes
- Seguridad de la información
- Seguridad en internet
- Protección de las infraestructuras críticas
A partir de ahí, trabajamos con nuestro cliente para revisar los productos y servicios que posee, el marco normativo, su documentación de seguridad, los flujos de información de los procesos, etc. con el fin de llegar al análisis de riesgos.
Sobre ellos establecemos el plan de acción, según las directrices que marca la ISO 27032. Naturalmente, este plan supone la implicación de los diferentes departamentos de la empresa.
En la web de la Organización Internacional para la Estandarización tenéis toda la información sobre esta norma desde sus inicios en 2012, la información general, etc. AQUÍ.
Precisamente la semana pasada publicamos un artículo sobre la necesidad que tienen de certificarse los Centros de Procesos de Datos (CPD). Y es que las certificaciones son necesarias para grandes y pequeñas empresas y por supuesto para los CPD’s, que si no pueden acreditar que cumplen los estándares exigidos, se van a quedar sin clientes.
Esta certificación, como las anteriormente citadas, son de gran ayuda en el modelo de negocio de las empresas que la obtienen porque:
- Asegura el cumplimiento de la ley y las normativas.
- Ofrecen seguridad y seriedad a sus clientes.
- Certifican el buen uso de los datos que sus clientes les confían.
- Ordenan internamente los distintos departamentos en temas de ciberseguridad.
- Ofrecen formación personalizada (según las necesidades de cada departamento) a todo el personal.
- Es una importante ventaja frente a la competencia.
¡Podéis obtener la certificación ISO 27032
con la ayuda de TECNOideas!
Solicitad más información AQUÍ.
Imagen principal: mcmurryjulie en Pixabay
- Publicado en Certificaciones, General, Normativa, Noticias, Seguridad
Entrevista a José Manuel Ortega, ingeniero de software e investigador de seguridad (2ª parte)

Publicamos hoy la segunda parte de la entrevista que realizamos a José Manuel Ortega, un ingeniero de software e investigador de seguridad apasionado por las nuevas tecnologías. Es un autodidacta que se atreve con todo: artículos, docencia, charlas y conferencias, libros…
La semana pasada nos dabas algunos consejos para los jóvenes que quieran iniciarse en este cibermundo. Y acabábamos mencionando tu manual práctico de ciberseguridad. Así que hoy empezamos con eso. Hablas de la seguridad en la nube, en internet, en aplicaciones web, etc. ¿Dónde crees que fallamos más para que los ciberdelitos están creciendo de esta forma?
Por una parte tenemos el usuario, que sigue siendo el eslabón más débil y hay que continuar la labor de divulgación para que cada vez se sienta más seguro y minimizar el éxito de los ataques que se producen. Desde el punto de vista de las empresas también hay un largo recorrido por hacer, relacionado con mantener la integridad de la infraestructura de las organizaciones, sobre todo por las nuevas amenazas que salen cada día.
“Las empresas necesitan aumentar sus recursos
en cuanto a realizar auditorías de seguridad
y mantenimiento de la infraestructura.”
Creo que la evolución a nivel complejidad de las aplicaciones, sistemas e infraestructura en los últimos años, hace que muchas veces las empresas necesitan aumentar sus recursos en cuanto a realizar auditorías de seguridad y mantenimiento de la infraestructura y muchas veces esto no es posible en algunas empresas, sobre todo en las pymes.
Al final la ciberseguridad es una labor de todos y cada uno de nosotros, desde el usuario final, proveedores de servicios de internet, empresas especializadas y administración pública. Lo más importante es perderle el miedo a los ciberdelincuentes y desde el punto de vista de la seguridad hacer un esfuerzo entre todos para que cada día que pase ponérselo un poco más difícil.
La ciberseguridad es dinámica y continuamente cambia, avanza… ¿Habrá una segunda parte de tu guía de ciberseguridad actualizada?
Es posible que en unos años se pueda hacer una revisión e incluir temas que no se han tratado como criptografía o inteligencia artificial, donde el campo de la ciberseguridad cada vez está recurriendo más a este tipo de técnicas para la detección de amenazas.
Otra de tus especialidades es el lenguaje Python. ¿Por qué crees que está de moda en el hacking ético y en la ciberseguridad?
Python es uno de los lenguajes más versátiles que se viene utilizando desde hace algunos años en la creación de herramientas orientadas al pentesting y hacking ético. La gran cantidad de módulos y paquetes para el desarrollo de este tipo de soluciones la hacen una de las mejores plataformas.
Con Python puedes desarrollar herramientas orientadas a la extracción de información de diferentes fuentes de internet como redes sociales, conexión con bases de datos de diferentes tipos, realizar auditorías a aplicaciones web, uso de aprendizaje automático para la detección de ataques y anomalías en una red.
También permite el desarrollo de herramientas desde el punto de vista defensivo y ofensivo gracias a capacidad para interactuar con los sistemas operativos para la ejecución de comandos o la obtención una shell reversa por poner algunos ejemplos.
Desde el punto de vista de la detección de amenazas y vulnerabilidades también podemos utilizar Python como lenguaje de scripting para obtener información sobre vulnerabilidades que puedan surgir en nuestra infraestructura y aplicaciones y correlacionar esta información con diferentes bases de datos de vulnerabilidades como CVE Y NVD para tener una primera visión de aquellas que pueden ser más críticas.
También haces conferencias a nivel internacional y alguno de tus libros se ha publicado en inglés. Teniendo en cuenta que es la eterna asignatura pendiente de nuestro país, ¿cómo has conseguido esto?
Pues la editorial me contactó a raíz de una conferencia que impartí en la EuroPython, que es una conferencia internacional de Python. Me ofrecieron escribir un libro tomando como base lo que había explicado en la conferencia y bueno, la decisión fue fácil ya que me gusta bastante escribir.
“Lo más importante es perderle el miedo a los ciberdelincuentes
y, desde el punto de vista de la seguridad, hacer un esfuerzo entre todos
para que cada día que pase ponérselo un poco más difícil.”
En mi caso, lo que más me ha costado han sido los procesos de revisión y estoy bastante contento, ya que publicar en inglés no es nada fácil. El tema del inglés cuesta un poco al principio, pero gracias al apoyo y al trabajo de la editorial al final el proyecto acaba saliendo y queda un buen trabajo que tiene mayor público objetivo que si lo publicara en español.
Eres un hombre muy dinámico. Vamos, que no paras. Es imprescindible que nos digas en qué estás metido en la actualidad, ¿qué estás preparando ahora mismo?
Pues ahora mismo sigo escribiendo y tengo previsto publicar un libro sobre Python con temas de Big data, ciencia de datos e inteligencia artificial que es otra temática que me atrae bastante y probablemente escriba una nueva edición del libro de seguridad en Python.
A nivel de conferencias, estoy viendo la posibilidad de presentar alguna ponencia relacionada con arquitecturas y seguridad en la nube a raíz de los estudios que estoy realizando en ciberseguridad.
Hasta aquí la entrevista a José Manuel Ortega, esperamos que os haya resultado interesante todo lo que dice y hace.
Si queréis recordar la primera parte de la entrevista, podéis leerla AQUÍ.
- Publicado en Congresos, Entrevistas, General, Noticias, Productos
J.M. Ortega: “Hay que tener formación reglada y luego complementarlo con asistencia a congresos.”
Nos acercamos a la figura de José Manuel Ortega, un autodidacta que se atreve con todo: artículos, docencia, charlas y conferencias, libros… Algunos son de temática bastante profesional, como los dedicados a Python, pero otros están pensados para el gran público. Este es el caso del libro “Ciberseguridad. Manual práctico”, editado por Paraninfo.
En este mundo ligado a la ciberseguridad encontramos todo tipo de profesionales. Los hay que desarrollan sus aptitudes desde una formación reglada, ya sea técnica o empresarial. Otros lo hacen desde el mundo laboral, a costa de los cambios naturales de sus empresas. Y finalmente hay otras personas que llegan a la ciberseguridad desde el interés por la tecnología, lo que les ha llevado a ser auténticos hackers (en la definición que reivindicamos siempre desde TECNOideas) o frikis.
José Manuel Ortega es ingeniero de software e investigador de seguridad apasionado por las nuevas tecnologías. Ha impartido formación a nivel universitario y ha colaborado con la escuela oficial de ingenieros informáticos. Algunos de sus libros están relacionados con el lenguaje de programación Python, seguridad, docker y devops.
Publicamos la entrevista en dos fases. La primera hoy y la segunda la próxima semana.
“Lo más importante es tener una mente abierta y despierta
para aprovechar al máximo los congresos.
Todo va muy rápido y la cantidad de información es abrumadora.”
Nunca has trabajado realmente en empresas de ciberseguridad. ¿Cómo llegaste a este mundo?
Bueno, llevo trabajando en una empresa de ciberseguridad solo desde hace aproximadamente un año. Si bien es cierto que mi perfil es más de desarrollador que auditor de seguridad, me han interesado los temas de ciberseguridad sobre todo a raíz de trabajar en diferentes proyectos relacionados con la seguridad en aplicaciones para móviles y al descubrimiento del lenguaje de programación Python como una de las plataformas más usadas para el desarrollo de herramientas orientadas al pentesting. Gracias al conocimiento adquirido dentro de la ciberseguridad, he podido aplicarlos al desarrollo de arquitecturas y desarrollo seguro de aplicaciones.
Algunos autodidactas empiezan a introducirse en este mundo a través de encuentros, jornadas y congresos del sector. ¿Es un buen sistema?
No sólo es un buen sistema, sino que creo que es la mejor opción para conocer qué empresas hay, realizar networking con otros asistentes y estar al tanto de todo lo que se mueve en este sector. La mayoría de los congresos ofrecen talleres para introducirse en nuevas tecnologías y las charlas son impartidas por profesionales del sector. Lo más importante es tener una mente abierta y despierta para aprovechar al máximo este tipo de congresos. Las veces que he podido asistir tengo la sensación que todo va muy rápido y en ocasiones la cantidad de información es abrumadora. Lo difícil y complicado es cuando llegas a casa con todo lo que has aprendido y todo lo que te falta por aprender y entonces te preguntas ¿por dónde empiezo?
Participaste en la segunda edición de una de las cons decanas de España, la Navaja Negra. ¿Qué tal resultó la experiencia de las ponencias en general?
Navaja Negra es hoy por hoy una de las conferencias más importantes a nivel de ciberseguridad y participar en ella me abrió un mundo de posibilidades hasta ese momento desconocido para mí. Fue una de las primeras conferencias a las que asistí para dar una charla sobre seguridad en aplicaciones móviles y la experiencia fue muy buena. En los sucesivos años he estado en alguna ocasión como asistente y el nivel de las ponencias es muy alto.
Queremos recordar a todos los seguidores de nuestro blog, que este año se celebra la décima edición de esta conferencia. Se espera que sea una de las ediciones más espectaculares, porque vuelve trans dos años de sequía. Apuntaros las fechas: del 10 al 12 de noviembre en Albacete. Tenéis aquí toda la información sobre Navaja Negra 2022 .

¿Cómo ves la formación de ciberseguridad en España? ¿Qué les recomendarías a los jóvenes frikis amantes de la tecnología?
La formación en ciberseguridad ha crecido mucho en los últimos años y cada año es más amplia y variada en diferentes formatos como cursos online, másteres reglados y bootcamps. Para tener el perfil más completo posible mi recomendación es tener tanto formación reglada ya sea a nivel universitario o formación profesional y luego complementarlo con la asistencia a congresos que tengan relación con alguna de sus motivaciones.
A los más jóvenes pues comentarles que al final la motivación, actitud y
ganas de superarse son la clave, más allá de los conocimientos que
uno puede adquirir en los cursos o conferencias donde aquellos que
les gustan más cacharrear se encontrarán como pez en el agua con las competiciones CTF (Capture The Flag) y los talleres que se imparten.
¿Para quién está pensado el libro “Ciberseguridad. Manual práctico”?
La ventaja de este libro es que no es excesivamente técnico y tiene un público bastante amplio. Los primeros capítulos son de introducción y tienen un objetivo más divulgativo. Luego a partir del capítulo 5 se tocan temas más específicos donde el público objetivo va variando
al tratar temas sobre desarrollo seguro, hacking ético, investigación en fuentes abiertas
y centros de operaciones de seguridad. Lo escribí pensando en una línea que va desde lo más generalista a lo más específico, dando una visión global de lo que se puede encontrar un usuario que se introduce en la ciberseguridad, sin dejar de lado usuarios con conocimientos más específicos.
Hasta aquí la primera parte de la entrevista mantenida con José Manuel Ortega. En la próxima entrega os seguiremos mostrando interesantes temas relacionados con su actividad y sobre la seguridad de la información.
- Publicado en Congresos, Entrevistas, Formación, General, Noticias, Seguridad, Sistemas operativos
La UE quiere que los dispositivos sean más ciberseguros
Adquirir teléfonos móviles, televisores, cámaras o frigoríficos que sean ciberseguros es lo que pretende la nueva normativa común que está preparando la Unión Europea. Se busca que todos los consumidores estén protegidos al adquirir un dispositivo electrónico. La responsabilidad será de los fabricantes y durará toda la vida útil de los aparatos.
Hace ya tiempo que se trabaja en esta nueva normativa, anunciada en septiembre de 2021. La novedad más interesante de la propuesta la encontramos en que la responsabilidad de los fabricantes no se circunscribirá al momento de la compra, sino que se deberá mantener durante toda la vida de los dispositivos.
La norma forma parte de la Estrategia de Ciberseguridad Europea y antes de que se convierta en ley aun tendrá que superar diversas etapas, que pueden durar años. La maquinaria europea no solo es lenta, sino que también es pesada. Pero no debemos menospreciarla por eso. Muy al contrario, lo que pretende es que los particulares y empresas dispongan de toda la información posible sobre la ciberseguridad de los dispositivos que se adquieran. Y va a tener un efecto importante en la industria, donde el IoT o Internet de las cosas afecta a dispositivos de muy larga vida.
El tema es importante, porque muchos de los ciberataques con ransomware en empresas comienzan precisamente a través de estos dispositivos. Y la Comisión Europea asegura que cada 11 segundos se produce un ataque de ransomware a una organización de cualquier parte del mundo. El coste de ello se eleva a 5,5 billones de euros.
Hace unos pocos meses ya publicamos el artículo “Ciberseguridad a golpe de ley” en el que explicábamos que la Comisión Europea había decidido reglamentar la seguridad de los rúters y dispositivos IoT conectados. Y lo hizo mediante la Ley de Resiliencia Cibernética.
Y ahora la Comisión da un paso más, interesándose por los dispositivos que más afectan al ciudadano de a pie. Podéis leer el documento en la web de la Comisión Europea AQUÍ. Pero si preferís un documento más asequible, os invitamos a enlazar ESTE ARTÍCULO de la web CyberSecurity News, como sabéis una revista líder en cibereguridad.

Imagen de OpenClipart-Vectors en Pixabay
En este contexto legal hay que recordar el interés creciente de la Unión Europea por todos los temas de ciberseguridad. Ya en diciembre de 2020 el portal de administración electrónica del Gobierno publicó un artículo con el título “La nueva Estrategia de Ciberseguridad de la UE”. Y podéis acceder a la resolución del Parlamento Europeo del 10 de junio de 2021 sobre la Estrategia de Ciberseguridad de la UE para la década digital AQUÍ.
También podéis leer un artículo sobre la directiva de los dispositivos inalámbricos publicado este año en la web de la Oficina de Seguridad del Internauta.
Nosotros no cesamos de repetiros que seáis cautos y toméis medidas para evitar en lo posible este tipo de acciones. En este blog de TECNOideas ya publicamos el año pasado el artículo “Ciberseguridad en dispositivos móviles” donde explicábamos el peligro que pueden representar si no actuamos con diligencia.
Y hoy os recordamos tres de las más sencillas y esenciales medidas de seguridad:
- Actualizar los programas. Las actualizaciones, que nos parecen tan pesadas, suelen llevar potentes herramientas de seguridad.
- Proteger las cuentas. No basta con proteger los dispositivos. Proteged vuestras cuentas con contraseñas seguras (más largas y complicadas, cambiarlas a menudo, etc.).
- Haced copias de seguridad de los datos importantes.
- Publicado en Ataques / Incidencias, General, Normativa, Noticias, Seguridad
Buzoneo maldito y llave USB maliciosa
El ser humano es curioso por naturaleza. Pero a veces nos olvidamos que la curiosidad mató al gato. Recibir en el buzón una memoria USB que no hemos pedido nos llevará ineludiblemente a ponerla en nuestro ordenador para ver el contenido. ¡Cuidado! Seguramente albergará un ransomware. Y el falso remitente será un avispado ciberdelincuente.
Esta práctica, que parece sacada de una película de Bond, James Bond, acaba de ser una realidad en el Reino Unido. El tema es como sigue: uno recibe un paquete en su buzón. Al abrirlo hay una supuesta copia nueva y original de Microsoft Office Professional Plus (valorado en unos 400 euros) con una llave USB. Al poner el USB aparece un mensaje en el que se informa que tienes un virus. Y aparece un número de teléfono. Se bloquea el ordenador. El ransomware ha cumplido con su razón de ser. Solo queda llamar al teléfono en cuestión. Se piden los datos y la estafa es un hecho.
Martin Pitman es un experto consultor de la empresa especializada en seguridad cibernética, defensa y sector nuclear Atheniem. Pitman ha examinado el USB y el estuche de Microsoft y ha manifestado su sorpresa por lo bien que han copiado todos los elementos del paquete. Lo que implica que los ciberdelincuentes se han molestado en crear un producto de alta calidad y por lo tanto bastante caro. Pero con solo un puñado de estafados ya les sale a cuenta. Por su parte Microsoft declaró que la estafa era real.
Hay que decir que este método no es nuevo. El buzoneo con trampas varias ya había sido usado hace años por ciberdelincuentes. Esta práctica fue cayendo en desuso, porque los buzones cada vez están más vacíos. Sin embargo, la locura de comprar por internet en plataformas tipo Amazon, ha hecho que los delincuentes la recuperen. Para saber más sobre esta estafa, podéis leer un artículo de Sky News donde explican lo que ha sucedido en Gran Bretaña. Y si lo preferís, en nuestro país ha sido Computer Hoy la que le ha dedicado un artículo que podéis leer AQUÍ.
La curiosidad mata al gato decíamos al inicio. Y es que lo sabemos a ciencia cierta porque lo hemos probado. Hace unos años, esta empresa se dedicó a dejar en las oficinas de algunos de nuestros clientes una memoria USB con el título “Importe nóminas dirección”. La tasa de apertura fue del 98%. Debemos decir que esa actuación nuestra contaba con el beneplácito de la dirección. Fue una prueba para ver el grado de sensibilización de los trabajadores ante memorias desconocidas. Y por supuesto, no había el contenido anunciado.
Una vez más insistimos en la necesidad de usar el sentido común. Pensar unos segundos antes de realizar cualquier acción desconocida como abrir correos electrónicos o sus adjuntos es una práctica que debemos recomendar.
Imagen principal: Esa Riutta en Pixabay
- Publicado en Ataques / Incidencias, General, Malos hábitos, Noticias, Seguridad
Mañana empieza IntelCon, el congreso online gratuito de ciberinteligencia
Un año más nos citamos con IntelCon, el importante evento que organiza la Comunidad de Ciberinteligencia Ginseg. Este año tiene lugar del 26 al 29 de julio y las inscripciones todavía están abiertas. Para hablarnos de todo ello charlamos con Iván Portillo, analista sénior de ciberinteligencia y docente y con Wiktor Nykiel, ingeniero de ciberseguridad, emprendedor y docente. Ambos son miembros destacados de la Comunidad Ginseg.
Antes de nada, si alguno de vosotros todavía no sabe lo que es IntelCon, os invitamos a ver las ponencias y talleres de las ediciones anteriores en su canal de Youtube.
Como seguro que os va a interesar, no debéis esperar más y registraros ya en el congreso de este año AQUÍ.
Y para tener toda la información, os presentamos la entrevista conjunta que mantuvimos con Iván Portillo y con Wiktor Nykiel.
IntelCon sigue siendo un congreso abierto a la participación. Ya en abril abristeis el CFP o Call for Papers, como os anunciamos en este mismo blog. ¿Cómo ha ido este año? ¿Habéis recibido muchas propuestas? ¿Estáis contentos con el nivel de las mismas?
En este punto quiero destacar la gran participación y excelente involucración de todos los ponentes. Volvemos a los dos tracks en simultáneo con una agenda llena de sorpresas y casi sin hueco para los propios descansos. Como novedad este año, aparte de las magníficas ponencias y talleres, hemos incluido mesas redondas donde expertos nos van a dar una visión desde perspectivas que se complementan, estad atentos que se abrirán los horizontes de la percepción que se puede tener sobre la disciplina.
¿Cómo hacéis la selección?
Tenemos un proceso de revisión que incluye valorar el contenido de la ponencia, la novedad o aporte a la comunidad de la temática propuesta y las referencias del ponente y participación en otros congresos. Con estos parámetros elaboramos una lista de las ponencias y talleres que consideramos aptas y confirmamos a los ponentes su participación. En la medida de lo posible involucramos a la propia comunidad Ginseg para que valore las ponencias más interesantes y se puedan priorizar los temas de más interés para todos los participantes.
¿Podéis destacarnos algunos temas que aparezcan como más interesantes o novedosos en esta edición? ¿Y algún ponente destacado?
Respondiendo a las temáticas interesantes, tenemos muchas, nos va a tocar mirar los videos después del congreso para poder revisar los que nos hayamos perdido por estar en paralelo. En lo que más se focaliza es en temáticas de OSINT, Cyber Threat Intelligence, análisis y obtención, como desinformación y relación con el conflicto de Ucrania o los tan importantes aspectos legales de las ciberamenazas.
“El objetivo de IntelCon es difundir conocimiento de calidad
en la materia de ciberinteligencia, cibervigilancia, inteligencia de amenazas,
OSINT, SOCMINT, VirtualHUMINT, DeepWeb, respuesta a incidentes,
técnicas de análisis, herramientas, ciberamenazas…”
Como ponentes destacados, no seríamos capaces de mencionar a uno o dos, porque todos tienen un valor increíble para nosotros, por la dedicación y amplio conocimiento que comparten en esta edición del congreso de ciberinteligencia.
Si tuviéramos que mencionar, destacaríamos la amplia lista, ya que gracias a ellos podemos repetir edición con más fuerza que nunca, así que gracias a Agustin Bignú, Ana Isabel Corral, Ana Páramo, Antonio Javier Maza, Antonio Maldonado, Arnaldo Andrés Sierra, Belén Delgado Larroy, Carlos Caballero, Carlos Cilleruelo, Carlos Diaz, Carlos Seisdedos, Casimiro Nevado, Claudia Castillo, David Moreno, Eduvigis Ortiz, Edwin Javier Peñuela, Eugenia Hernández, Eva Moya, Francisco Carcaño, Gemma Martínez, Gonzalo Terciado, Javier Junquera, Javier Rodríguez, Javier Valencia, Jezer Ferreira, Joan Martínez, Joan Soriano, Jon Flaherty, Jorge Coronado, Jorge Martín, José Dugarte, Josep Albors, Juan Carlos Izquierdo Lara, Juan Maciel, Julián Gutiérrez, Lennart Barke, Lorien Domenech, Malachi Cecil, Manuel Huerta, Marc Rivero, Matías Grondona, Miguel Ángel Liébanas, Mikel Rufian, Nounou Mbeiri, Pablo González, Pablo López, Pablo San Emeterio, Pino Penilla, Roberto González, Salvador Gamero, Susana Lorenzo, Tabatha Torres, Vicente Aguilera y, bueno, claro, también estamos nosotros, ja, ja, ja… Debemos dar gracias a todos por hacer posible esta tercera edición.
También ofrecéis talleres y otras muchas cosas. ¿Podéis explicarnos un poco más detalladamente todo el contenido? Seguro que interesa a nuestra audiencia.
Aquí según hemos comentado, se añade además de las ponencias y talleres, mesas redondas que esperamos que aporten una perspectiva diferente sobre la materia, involucrando la vista que requeriría el nivel más estratégico o ejecutivo y que esperaría de un producto de inteligencia así como la perspectiva desde el punto de vista empresarial mostrando las capacidades de empresas especialistas en el sector como la perspectiva del CISO que podría ser uno de los referentes de estos servicios.
Ya hemos hablado en varias ocasiones de la Comunidad Ginseg, organizadora del congreso. ¿Nos recordáis los puntos básicos de vuestros objetivos?
Claro. Los tres pilares de Ginseg son:
1. Colaboración en comunidad hispanohablante.
2. Formación, difusión y concienciación
3. Investigaciones y desarrollo de herramientas.
Para el primer punto, lo que hacemos es crear esta comunidad y hacerla participe de todas las iniciativas. Cada día suben las cifras de seguidores en nuestros perfiles de redes sociales y en el grupo de Telegram (https://t.me/ginseg), pero lo realmente importante es el valor humano detrás de cada una de las personas que suma para que todos podamos crecer.
Referente al segundo punto, e IntelCon es un ejemplo claro, nuestro objetivo es difundir conocimiento de calidad en la materia de ciberinteligencia, cibervigilancia, inteligencia de amenazas, OSINT, SOCMINT, VirtualHUMINT, DeepWeb, respuesta a incidentes, técnicas de análisis, herramientas, ciberamenazas entra otras.
Y en cuanto al tercero, dejaremos un punto de misterio que ampliaremos en futuras entrevistas…
La formación es uno de los pilares de la Comunidad. ¿Cómo veis los cambios que se van produciendo en la Formación Profesional, en temas como ciberseguridad, con la implicación de las empresas, etc.?
Nos parece muy positivo toda la formación, tanto reglada como no reglada, que está saliendo en torno a la ciberseguridad. Esto denota que cada vez tendremos más profesionales preparados para la demanda que se hace cada vez más evidente. En torno a ciberinteligencia, siendo una disciplina más de nicho, queda bastante trabajo por delante, pero se va viendo progreso a buen ritmo.

Desde la perspectiva de la empresa poner en práctica lo aprendido en todas estas formaciones en un entorno real es un requerido, que al final nos formamos para ser mejores profesionales, realizar nuestro trabajo de una forma más eficiente con las herramientas y metodología adecuada, incrementando nuestro valor y a la vez nuestro salario por destacar de esta forma en el mercado laboral.
Resumiendo, la formación de calidad es clave para incrementar nuestro valor y con ello subir nuestras horquillas salariales, que al final tenemos que comer y darnos nuestros caprichos.
Hablando de empresas, también en el Congreso IntelCon hay empresas implicadas. ¿Cómo conseguís mantener vuestros principios e independencia con la necesidad de tener empresas que colaboren y patrocinen el congreso?
Las empresas que participan nos ayudan a seguir impulsando y difundiendo nuestro cometido de compartir contenidos de calidad a través de marketing y anuncios patrocinados en medios especializados y redes sociales. Con esto conseguimos aún más personas que descubren la disciplina y se enamoran de la misma. Ya lo hemos vivido con varias personas que agradecen la iniciativa, afirmándonos que gracias a IntelCon, han profundizado más en la temática para finalmente reenfocar su carrera profesional y empezar en este sector. Al final estos comentarios nos ayudan a seguir impulsando esta iniciativa y a seguir haciendo el nexo entre estas empresas que buscan talento y los participantes del congreso.
TECNoideas apoya un año más este congreso. ¿Cómo valoráis nuestra aportación?
Contar con el apoyo de empresas como la vuestra, desde la primera edición y año tras año, primero nos enorgullece y segundo nos ayuda a seguir promoviendo y mejorando en el desarrollo de este punto de obligado encuentro para todos los interesados en ciberinteligencia, cibervigilancia y OSINT. Estamos enormemente agradecidos y esperamos seguir contando con vosotros en futuras ediciones.
“Cruzamos los dedos para que el uso del Kit Digital sea más utilizado en la parte ciber,
ya que se da un aporte de valor innegable que puede que de entrada se valore menos,
pero cualquier incidente serio o secuestro de datos para pedir un rescate a una pyme
puede acabar en su bancarrota o cese de actividad.”
Parece que ahora la ciberseguridad está en boca de todo el mundo. ¿Cuál es vuestra opinión del Kit Digital? ¿Vale tal y como se plantea o se queda corto?
Respecto a este punto, nos parece una excelente iniciativa apostar y apoyar el entorno digital, así a las pymes y autónomos participantes se les da un soplo de aire fresco para poder mejorar sus capacidades digitales. Creemos que para poder valorar la eficacia de este Kit Digital habría que revisar las estadísticas de uso de estos fondos, si se destinan más a hacer marketing, SEO, webs, CRM o si realmente estas cuestiones ya las tienen cubiertas las empresas que piden esta ayuda y se centran en mejorar capacidades, incluyendo la ciberseguridad como una de ellas. Aquí creemos que se está haciendo más foco y publicidad en lo primero y puede que la ciberseguridad no sea de un interés inmediato para un autónomo o una pequeña empresa si no se ha hecho la concienciación adecuada y que prefieran usar los fondos para hacerse la web y posicionarla en buscadores para intentar vender más. Cruzamos los dedos para que el uso de este Kit Digital sea más utilizado en la parte ciber, ya que se da un aporte de valor innegable que puede que de entrada se valore menos, pero cualquier incidente serio o secuestro de datos cifrando los mismos para pedir un rescate a una pyme puede acabar en su bancarrota o cese de actividad y eso, evidentemente, no se lo deseamos a nadie.
Hasta aquí esta entrevista que esperamos os haya gustado, pero sobre todo os haya despertado las ganas de seguir estos 4 días de congreso.
Todas las jornadas son de tarde y hay dos salas, así que tendréis que escoger.
Tenéis todo el programa, los ponentes, agenda, horarios, etc. AQUÍ.
Pero no olvidéis que todos los temas los tendréis después del congreso en las diferentes plataformas y canales de la comunidad, como esta plataforma de formación y recursos.
José Manuel Redondo: “hace falta una concienciación ciudadana para prevenir los delitos comunes de ciberseguridad.”
Como sabéis, de vez en cuando nos gusta presentaros a personalidades dentro de este mundo tecnológico que a muchos de vosotros todavía os parece un extraño al que cuesta entender. En la entrevista de hoy charlamos con José Manuel Redondo López, una persona que se encarga precisamente de comunicar, formar y hacer más fácil y comprensible la ciberseguridad. Profesor Titular del Departamento de Informática de la Universidad de Oviedo, especialista en Ciberseguridad y en Lenguajes y Sistemas Informáticos, José Manuel es Ingeniero Superior Informático por la Escuela Técnica Superior de Informática de Gijón y Doctor por el Departamento de Informática de la Universidad de Oviedo. En esta primera parte de la entrevista nos habla de la universidad, de sus investigaciones en el campo del lenguaje informático y de lo que deben hacer los aficionados a este mundo para entrar en él.
Cuando tus alumnos te ven entrar en el aula por primera vez, ¿todavía piensan que un ingeniero informático es un sabio distraído que vive en un mundo irreal o eso ya ha pasado a la historia a pesar de las imágenes tópicas que nos muestra Hollywood?
Lo cierto es que cuando no te conocen sí que he detectado gente que te mira “raro” al principio. Lo primero es por ese motivo, por si tengo los “pies en la tierra” o espero que mis alumnos tengan ya muchos conocimientos previos y yo parezca que venga solo a confirmárselos (¡pobre de mí y de ellos si fuera así!). Pero yo creo que hoy en día lo que más les importa es algo que en muchos debates y noticias parece que queda en segundo plano: la habilidad para transmitirlos.
Esto no es algo trivial y, de hecho, bajo mi punto de vista es lo más importante. A nivel técnico yo puedo ser mejor o peor en según qué ramas. No hace falta ser un experto de clase mundial para dar clase de algo; sólo tener la suficiente habilidad y conocimientos teóricos para impartir los contenidos con solvencia para un perfil de alumnado concreto. Pero si lo mucho o poco que sé de algún tema no puedo transmitirlo adecuadamente, entonces la labor de un profesor queda desvirtuada totalmente. Y el perfil de público también es clave: no es lo mismo dar clase en primero que en cuarto de informática. Ni dar clase de informática a Licenciados en Historia que en Telecomunicaciones: las expectativas, experiencia previa y necesidades son completamente distintas. Y no es algo que carezca de importancia. Si no transmites los conceptos bien, si no eres capaz de llegar a las cabezas de quien te escucha, puedes causar incluso que tu alumnado odie tu asignatura y la rama de la informática que representa. Esto es muy grave, y pasa mucho más de lo que se habla. Y es una responsabilidad enorme que un profesor debe asumir. Si la ignora, entonces puede convertirse en esa imagen de Hollywood que mencionas. Pero para mí eso es una “persona contando cosas”, y un montón de otras personas tratando de descifrar “el misterio” de lo que cuenta , o buscando trucos para salir de allí cuanto antes. Y yo no quiero ser así.
“La forma de salir adelante de universidades pequeñas/medianas
es apostar por la especialización, destacar en una serie de titulaciones
que le den una identidad de ‘especialista en…’ ofreciendo titulaciones que traten aspectos mucho más específicos de una profesión para ‘hacerse un nombre’,
y tener una identidad propia en el ecosistema de universidades españolas.”
En los últimos años hemos visto como ciudades medias, como Oviedo, Málaga, León o Ciudad Real están creando polos profesionales muy interesantes, desplazando un poco a las grandes universidades de ciudades también más grandes. Háblanos de tu caso particular. ¿Por qué Oviedo?
Bueno, nací en Asturias y mi alma mater es la Universidad de Oviedo. Mi carrera universitaria está ligada a centros de esta universidad y tengo mi familia aquí, así que lo de moverme a otro sitio, aunque tuve oportunidades, al final lo descarté por decisión personal. Ojo, se que mucha gente opina que alguien que estudió en la universidad X no debería luego desarrollar su carrera en esa misma universidad, y puedo entender los motivos que se esgrimen para eso. Pero también es cierto que se criminaliza a toda la gente que elige eso para su vida, sin tener en cuenta que no pocos decidimos hacerlo porque queremos devolver a nuestra tierra, lo que nos dio al permitir formarnos hasta el punto que lo hemos hecho. Yo creo que se debería juzgar a un profesional por la calidad de su trabajo y no por su procedencia, o no asumir que su procedencia inmediatamente le hace peor profesional.
En relación a la segunda parte de la pregunta, es muy buena observación. Una universidad de tamaño pequeño/mediano como la nuestra no tiene ni los recursos ni las infraestructuras de una más grande. Esto no es una crítica en absoluto, siempre en todo negocio ha habido empresas grandes y más pequeñas, porque ambas son necesarias. Lo que no pueden hacer es pretender competir en la misma liga, porque la diferencia de medios convierte eso en una competición en la que casi siempre pierden los mismos. Por tanto, yo creo que la forma de “salir adelante” de universidades pequeñas/medianas es apostar por la especialización. No digo que una universidad grande no pueda abarcar todas o casi todas las ramas de conocimiento de una determinada disciplina, porque probablemente pueda hacerlo. Tampoco que una más pequeña no pueda ofertar títulos de disciplinas generales de calidad también (aunque no tanta variedad). Pero una pequeña en mi opinión debe apostar por destacar una serie de sus titulaciones que le den una identidad de “universidad especialista en X”, ofreciendo titulaciones que traten aspectos mucho más específicos de una profesión para “hacerse un nombre”, y tener una identidad propia en el ecosistema de universidades españolas. Si todas hacemos lo mismo, no faltarán voces que quieran cerrar algunas por “redundancia”, privando a los estudiantes de una región de un acceso a estudios superiores que no les suponga un desembolso económico quizá inasumible para ellos o sus familias.
¿Es exagerado decir que ya tenemos grandes expertos en ciberseguridad en España y que los alumnos ya apuestan por ella tras ver lo que ha pasado con la pandemia y el teletrabajo, por ejemplo?
Tenemos grandes expertos, sí. Y los alumnos están apostando por ella cada vez más, principalmente porque el teletrabajo ha traído consigo la exposición de más servicios a Internet y en consecuencia una escalada en ciberataques sin precedentes, con lo cual hacen falta profesionales que puedan lidiar con ellos. Como no son suficientes en la actualidad y, en mi opinión, hay una gran diferencia entre oferta y demanda en este aspecto, cada vez más gente se siente atraída por este mundo. Ya no solo a nivel de Universidad, sino a nivel de FP. También creo que haría falta una concienciación a nivel de ciudadanía, aunque para prevenir los delitos comunes. Hay que entender que estamos viviendo un cambio, y donde antes se decía “no vayas nunca con extraños” ahora hay que añadir “no descargues documentos o cliques en enlaces de correos extraños”, por ejemplo.
Tus principales áreas de investigación son la Ciberseguridad, Máquinas Virtuales Orientadas a objetos, la compilación JIT y la optimización de lenguajes dinámicos. Eres un ejemplo más de que se puede alcanzar una excelencia sin tener que ir a California, Madrid o Barcelona.
Sí, tuve la suerte de integrarme en un grupo de investigación oficial de mi Universidad que trabaja en técnicas punteras en el diseño de lenguajes de programación. Se han hecho muchas cosas, algunas de las cuales tuvieron impacto internacional a través de artículos de revistas, proyectos de investigación nacionales y premios de Microsoft Research. En la universidad, sin un grupo de investigación tus posibilidades de progresar académicamente disminuyen exponencialmente. Salvo que seas un auténtico genio, la investigación como “llanero solitario” es imposible, tienes que nutrirte de la experiencia de investigaciones pasadas para intentar subir un peldaño, acceder a los recursos que el grupo consigue y con ello aportar un grano de arena al enorme circulo del conocimiento, si tienes suerte, que es a lo que todo científico aspira. ¿Excelencia? No considero que sea un investigador excelente, de esos puedo darte nombres y yo no formo parte de esa lista. Pero bueno, creo que soy competente y, sobre todo, me encanta mi trabajo. Supongo que eso segundo ha suplido las carencias en lo primero, además de, como decía, formar parte de un grupo de investigación puntero que te da las herramientas y la oportunidad.
¿Puedes explicarnos tus áreas de investigación con ejemplos sobre la practicidad de ellas?
Sí puedo. Es complejo, pero si no fuera capaz de explicarlo sería contradictorio con mi primera respuesta, ¿no? Jajajaja. Mira, voy a hablarte de las últimas cosas que tengo en mente. Todo el mundo sabe o se imagina que los programas se construyen con lenguajes de programación. Lo que ya no todo el mundo sabe es que se pueden construir infraestructuras e instalar cosas en ellas con ellos también. ¿Cómo es eso? Quien tenga un mínimo interés en la informática sabe que los programas se escriben con lenguajes de programación, se ejecutan y “pasan cosas”: sale una ventana, se muestra un mensaje, se piden datos… De lo que yo hablo es de lenguajes con los que puedes programar algo que equivalga a “quiero un Ubuntu 18 con 4Gb de RAM y 80Gb de disco duro” y al ejecutar ese programa te sale una máquina virtual con esas características. U otro programa con el que dices “ahora quiero que instales WordPress, pongas esta clave de administrador y subas estas páginas a la máquina anterior” y eso ocurra. Todo puede ser construido con código, y toda la infraestructura se puede poner en marcha a través de la ejecución de programas, lo que facilita que pueda distribuirse a otros sitios en forma de simples ficheros de texto (además pequeños) y tener formas de crearlas “a gusto del consumidor” de forma automática.
No obstante, eso no es en lo que investigo yo, porque ya está inventado. Lo que yo quiero intentar es dotar a esos lenguajes de características de lenguajes más “tradicionales” (de los primeros que describí) que los hagan más “robustos”. ¿Qué quiere decir eso? Pues algo parecido a intentar dividir por un número una cadena de caracteres: el procesador del lenguaje te dirá en tiempo de compilación que eso no se puede hacer. Ahora imagina que intentas crear una máquina inválida por algún motivo: quiero que el procesador del lenguaje también te avise: no inviertas tiempo en ejecutar esto porque va a fallar por este motivo. En la actualidad te das cuenta de estos fallos mientras la máquina está en construcción, es decir, tarde, de la misma forma que la que quien programa en Python sabe que si su programa tiene un fallo va a verlo cuando lo ejecuta. Eso hace que desarrollar sea más lento, tanto en unos lenguajes como en otros. En los primeros hay muchos avances en esa vía, y mi grupo de investigación ha hecho los suyos propios. Ahora vamos a ver qué se puede hacer con los segundos.
“La autoformación es clave en temas de seguridad,
pero yo recomiendo a cualquier persona interesada en este mundo
que empiece con una formación reglada, ya sea FP o Universidad.
¿Por qué? Sin unas bases sólidas que te da una formación así,
es muy fácil “perder el hilo” autoformándote, cometiendo errores,
entendiendo conceptos de forma equivocada o incompleta
y adquiriendo “vicios” que luego son muy difíciles de quitar.”
Hablemos de formación. Tu siempre has buscado que sea más abierta y dinámica, lejos de las clases magistrales de antaño. ¿Crees que la incorporación de temas como la gamificación, las nuevas tecnologías, quizá ahora el metaverso, ofrecen unas posibilidades mayores de aprendizaje?
¡Por supuesto! Y cada vez más gente en mi profesión piensa lo mismo. El conocimiento tiene que llegar a los alumnos, y eso requiere dos piezas claves: cómo lo transmites y el valor que le das a lo que transmites (dejar claro para que sirve y lo que puedes hacer con él). Lo primero es lo más difícil, y en mi opinión tienes que adaptarlo a lo que estás tratando de explicar. Pongamos un ejemplo con mis zines o fanzines, que ofrezco gratuitamente AQUÍ.
Los fanzines son una idea que se usa mucho en otras partes y lleva ya mucho tiempo como método docente, aunque a algunas personas les causa rechazo. Yo tengo que impartir una asignatura en la cual si no se tienen claros unos conceptos básicos no se puede lograr realmente superarla. Estos conceptos (firewalls, redes, IPs, puertos, servicios…) no son complejos ni largos que explicar, pero en mi experiencia se entienden mejor con un soporte gráfico. Los zines son eso: un soporte gráfico rápido para conceptos específicos que “se atragantan” a un buen número de alumnos. No sustituyen a la lección magistral, pero la intentan complementar allí donde por mi experiencia se muestra menos efectiva. Las nuevas tecnologías para mí son el medio ideal para hacer de refuerzo.
También hay que tener en cuenta que hay lecciones magistrales… y lecciones magistrales. Yo intento no “contar el rollo” o simplemente leer las transparencias (lo que algunos de mis alumnos llaman ser un “Loquendo humano” 😊). Me apoyo en imágenes, ejemplos reales, preguntas, uso las noticias recientes para ejemplificar conceptos (por desgracia en temas de seguridad no me faltan 🙁) y lo intento hacer todo más dinámico, incluso introduciendo humor. Recientemente he empezado a grabar mis clases en el aula según las doy presencialmente (sólo las transparencias y mi voz), y luego las subo en video a la plataforma de streaming de mi Universidad para que el que quiera las repase o las escuche si no pudo venir un día, algo que se dio varias veces por el tema COVID.
Esto es posible ahora gracias a que la tecnología de grabación en vivo asequible es una posibilidad para nosotros, seguramente por el tema de la pandemia. Y a que la universidad nos da la oportunidad de dejar nuestras clases en streaming. Además, la grabación en el aula gusta más que simplemente grabar tú la clase en tu casa: algunos alumnos me dicen que queda todo más “natural” y mejora la atención. Además, de ahí a hacerlo “en vivo”, como un streamer de Twitch hay un paso jajajajaja.
La gamificación de momento la he introducido animando a mis alumnos a que compitan en CTFs para practicar (y que además le da valor a lo que explicas), y tengo por ahí algún videojuego pequeño que solo se puede vencer aplicando conceptos de ciberseguridad que aún no he introducido…así que sí, creo que esos elementos bien aplicados pueden ser un gran beneficio para los alumnos y para nosotros a la hora de explicar. No obstante, reconozco que al metaverso aún no le he visto aplicaciones en mi caso.

En nuestro sector ha habido, tradicionalmente, mucho aprendizaje autónomo. Pero ahora hay mucho margen, con la Formación Profesional, la apuesta decidida por la ciberseguridad en muchos centros y, por supuesto, la universidad. ¿Qué le recomendarías a un joven que le gusten estos temas?
La autoformación es clave en temas de seguridad, un campo en el que debes estar constantemente aprendiendo porque te lo exige. Yo ahora soy 100% autónomo formándome, aunque debo confesar que, no sé si por deformación profesional, me diseño mis propios planes de estudio a seguir. Eso es porque creo que tener una organización de los temas a estudiar, que los agrupe por su relación entre ellos, mejora la forma de estudiarlos.
Y precisamente basándome en eso último yo recomiendo a cualquier persona interesada en este mundo que empiece con una formación reglada, ya sea FP o Universidad, en función del tiempo que pueda o se vea capaz de invertir en ella y si busca algo más práctico o algo más amplio a nivel conceptual. ¿Por qué? Sin unas bases sólidas que te da una formación así, es muy fácil “perder el hilo” autoformándote, cometiendo errores, entendiendo conceptos de forma equivocada o incompleta y adquiriendo “vicios” que luego son muy difíciles de quitar. Creedme, yo estuve ahí :). Me autoformé en programación desde los 14 años y cuando llegué a la carrera tuve que “desaprender” por la cantidad de malas prácticas de programación que había interiorizado…
Otra razón es que sin una base sólida también es mucho más difícil distinguir buenos de malos materiales, y es más difícil que sigas o pagues una formación que más que ayudarte de induzca a errores. Por tanto, mi consejo honesto es que intenten formarse de forma reglada primero, y con esas bases, y sabiendo los distintos campos que se abren, profundicen en los que más les gusten (aspecto clave para mi) bien de forma autónoma, con más formaciones regladas o con un híbrido de ambas. Es como aprender a conducir: primero te enseñan y te ayudan, luego ya tú decides si necesitas más clases o te animas a ir sólo ya. Es más, nuestro curso de seguridad del grado es precisamente esto lo que pretende.
Hasta aquí la primera parte de la entrevista. Esperamos que esta mezcla de realidad universitaria, docencia vanguardista y datos de investigación de lenguaje algo complejos os haya gustado y anime a seguir la segunda parte de la entrevista que publicaremos en breve. ¡Vale la pena! Os lo podemos asegurar.
- Publicado en Entrevistas, Estudios, Formación, General, Noticias, Programacion, Tecnología