Así funciona la sala del Ayuntamiento de Madrid que combate 14.000 ciberamenazas por segundo

—Operaciones, ¿podrías verificar esto?—pide el responsable en la sala.

—Estoy con ello.

—Auditoría, ¿estáis realizando algo en la carpeta?

—No.

—¿Algún informe de operaciones? ¿Nivel de amenaza?

—Se están quejando los usuarios.

—Por favor, Tecnología, ¿podéis ir vigilando esas páginas?

El rápido intercambio entre operadores termina con una frase: «CCMAD, confirmo plan de cibercrisis». Un puñado de ellos se apresura hacia la sala contigua, portátil en mano, la llamada sala de gestión de cibercrisis, con otra pantalla iluminada en rojo. «Equipo, informe de situación», ordena el responsable. Según este simulacro, hay 368 puestos de trabajo comprometidos en dos juntas municipales de distrito. Los trabajadores replican el protocolo, solicitan autorización para aislar los sistemas de las juntas del resto de la red, despliegan la vacuna cibernética y frenan la infección.

«Los ataques son continuos, no son solo personas, sino robots», señala el director del CCMAD, José Ángel Álvarez, que este martes guió al alcalde por las nuevas instalaciones, ubicadas en el polígono de Julián Camarillo, una antigua zona industrial (en el distrito de San Blas-Canillejas) que sirve de autopista al 65% del tráfico de datos de internet de toda España. Todo luce impoluto, desde los tiradores plateados de la entrada principal hasta las mesas de trabajo de contornos modernos, cuyas esquinas brillan con luces azules y el logo del CCMAD. «Es imposible evitar que haya ciberataques, lo que sí es posible es prevenir y reducir su cantidad, y en eso se va a trabajar en este centro», informó José Luis Martínez-Almeida durante la visita.

Noticia Relacionada

Madrid multiplica por cuatro el presupuesto contra los 'hackers'

Sara Medialdea

Crea un Centro de Ciberseguridad para blindar el aumento de trámites digitales

El blindaje absoluto no existe, pero sí se pueden minimizar los daños. Detección, contención inicial, análisis, remediación y despliegue son los cinco pasos para proteger los 25.000 puestos de trabajo de la administración municipal, sus áreas de gobierno y organismos autónomos. El CCMAD registra cada día 1.200 millones de eventos de seguridad, potenciales brechas que pueden resultar en peligrosos ciberataques; son 14.000 amenazas por segundo. La mayoría se descartan mediante herramientas automatizadas. «Cada día hay unas 70 alertas que requieren investigación en profundidad, nuestros operadores las analizan una a una y evolucionan en una mayor o menor peligrosidad», explica Álvarez.

La terminología distingue entre eventos de seguridad (posibles amenazas), alertas (brechas de seguridad), incidentes (alertas en resolución) y ataques, que podrían detonar una cibercrisis (de categoría muy alta o crítica). «En última instancia, se valora la activación del Plan Territorial de Emergencia Municipal del Ayuntamiento de Madrid (PEMAM)», puntualiza Álvarez, el plan que se utiliza para gestionar situaciones catastróficas, como la nevada histórica de Filomena. ¿Cómo se combate un asalto en código binario? «Mediante contención, como si fuera un virus biológico, para que no se extienda: aislar equipos, redes de edificios... y que no se propague al resto de la red municipal», incide el director.

Después de erradicar el virus, limpiar los sistemas contagiados o resetear los equipos, el CCMAD investiga 'a posteriori' el ataque para identificar su origen. Aunque el 80% de las alertas son falsos positivos, la mayoría de los asaltos reales proceden de cibercriminales. «Es lo que se conoce como 'ransomware', secuestran tus datos o te impiden acceder a algún servicio y piden un rescate. También roban datos y los venden en el mercado negro», cuenta Álvarez. El domingo, el hospital Clínic de Barcelona colapsaba ante uno de estos 'ransomware', que ha desprogramado miles de citas y cirugías y obligado a los sanitarios a recuperar el papeleo mientras se soluciona el mayor ciberataque de su historia.

Los ciberdelincuentes cada vez están más profesionalizados y sus atracos son cada vez más sofisticados. En consecuencia, la ciberseguridad es un mercado en crecimiento, que mueve 100.000 millones de dólares al año, y una de las principales preocupaciones de las instituciones públicas, gigantes archivadores de datos y las víctimas predilectas de los ciberataques. El Ayuntamiento de Madrid, además, ha pisado el acelerador para digitalizar sus servicios.

En los últimos cuatro años, el registro general ha pasado de tramitar el 15% de presentaciones electrónicas, en 2019, al 80% en enero de 2023; los certificados de padrón con firma electrónica se han multiplicado por 12 y el papeleo interno ha disminuido un 80%. Una metamorfosis en bits que aumenta la superficie para los ciberdelincuentes: hay más dispositivos, más conexiones en remoto por el teletrabajo, más información digitalizada. Para reforzar las defensas municipales, Almeida ha cuadruplicado la inversión en ciberseguridad, hasta los 2 millones de euros.

La sala de control del CCMAD apenas es la punta del iceberg. El consistorio también subcontrata estos servicios de monitorización a empresas privadas que cuentan con sus propias salas de control y que ahora colaborarán con la quincena de operadores con modernas pantallas combadas y panorámicas del nuevo centro municipal. El resto del ejército 'antihackeo' lo completa el equipo de Informática del Ayuntamiento de Madrid (IAM), organismo del que depende el CCMAD. «Son 500 informáticos que trabajan de forma más o menos directa en la ciberseguridad, ellos deben ocuparse de que los sistemas que crean sean seguros», asevera Álvarez. Esos 500 informáticos son el hielo bajo la superficie.

El CCMAD, que empezó a andar en diciembre de 2021 al constituir su unidad orgánica, «es una pieza indispensable dentro de la estrategia de transformación digital» de Cibeles, dijo este martes el alcalde, que aprovechó para anunciar, en plena precampaña electoral, una partida de 1.000 millones de euros entre 2023 y 2027 a tal fin. Hasta la fecha, ¿cuál ha sido el ciberataque más grave? Almeida recordó el asalto cibernético a Calle 30, la empresa mixta que gestiona los túneles de la M-30. El máximo responsable del CCMAD, por su parte, mantuvo el misterio: «Trabajamos en un sector complejo y difícil. Debemos mantener la confidencialidad».