Segurtasuna hasieratik, ez azken orduan

Gero eta zailagoa da gure eguneroko bizitza sistema digitaletatik bereiztea. Gaur gauean etxea berotuko dizun galdara, ospitaleko monitorea edo zure janaria ekoizten duen lantegia: denek egiten dute lan software eta konektatutako gailuen bidez. Eta gauza bera gertatzen da gure azpiegitura kritikoekin, hasi energiatik eta uretik eta garraioraino. Horregatik, segurtasun digitala ez da arazo informatikoa: gure ekonomiaren, zerbitzuen eta gizartearen funtzionamenduaren parte da.

Esan ohi da kate bat bere katebegirik ahulena bezain sendoa dela. Mundu digitalean ere hala da: sentsore, gailu, software-osagai edo hornitzaile babesgabe bakar bat sistema oso baterako sarrera-ate bihur daiteke. Arriskua ez dator delitugileetatik soilik: azpiegitura digitalak estatuen arteko gatazka hibridoen parte ere badira. Halako sistema bat geldiarazten duen erasoak ez du “arazo informatiko” bat sortzen; negozio-, zerbitzu- eta gizarte-arazo bat sortzen du.

Testuinguru horretan norabide-aldaketa garrantzitsua dakar Europako Cyber Resilience Act araudiak. Irailaren 11tik aurrera, fabrikatzaileek aktiboki ustiatutako ahultasunak eta intzidentzia larriak jakinarazi beharko dituzte; eta 2027 amaieratik aurrera, elementu digitalak dituzten produktuek —sentsoreek, gailu konektatuek, industria-ekipoek, softwareek edo haien osagaiek— zibersegurtasun-baldintza zorrotzagoak bete beharko dituzte merkaturatzeko.

Ideia sinplea da, baina sakona: segurtasuna ezin zaio amaieran itsatsi produktuari. Diseinutik bertatik hasita, garapenean eta bizi-ziklo osoan hartu behar da kontuan. Ez da nahikoa sistema amaieran babestea; segurtasuna hasieratik txertatu behar da produktu eta osagaietan. Eta hor dago benetako kultura-aldaketa: zibersegurtasuna ez da informatika-sailaren ardura bakarrik. Produktua diseinatzen duen ingeniari mekanikoak, elektronikoak edo automatizaziokoak ere bere egin behar du ardura hori, kalitatea edo fidagarritasuna kontuan hartzen dituen bezala.

Bide horrek, jakina, kostua du: baliabideak, denbora eta ezagutza eskatzen ditu, eta haren balioa askotan ez da ikusten zerbaitek huts egiten duen arte. Baina horretan aurrezten duenak ez du gastu bat soilik murrizten, egun batean ekoizpen-lerrorik gabe geratzeko arriskua handitzen baitu. Gero eta nabarmenago, zibersegurtasuna ez da babes-neurri huts bat, produktu industrial batek merkatuan lehiatzeko eta bezeroen konfiantza irabazteko baldintza baizik. Makina-erreminta bat esportatzen duen enpresa batek gero eta maizago entzungo du galdera hau: “eta zure produktuak betetzen al du Cyber Resilience Act araudia?”. Betetzen ez badu, jokoan dagoena ez da araudia betetze hutsa, kontratua lortzea baizik.

Euskadin badugu horretarako oinarri sendoa: zibersegurtasunean espezializatutako zentro teknologikoak eta 90 ikertzaile baino gehiagoko masa kritikoa. Baina gaitasuna izatea ez da nahikoa. Ezagutza hori produktuetan, makinetan, prozesuetan eta zerbitzuetan hasieratik txertatzea da erronka.

Eta hor dator galdera, denoi dagokiguna: noiz arte jokatuko dugu segurtasun digitala “informatikarien kontua” balitz bezala? Katebegirik ahulenak sistema osoa geldiarazten duen arte?