Rincón del CISO
Las empresas españolas aumentarán un 10% el presupuesto destinado a implementar soluciones tecnológicas Ciberseguridad, analítica avanzada e Inteligencia Artificial serán prioridades claves de inversión en 2025 Un 15% de los proyectos tecnológicos están controlados por áreas “no TI” La firma analista independiente, PENTEO anuncia las perspectivas presupuestarias y tecnológicas de las organizaciones españolas para 2025 a través del Informe “IT Priorities 2025”. En él se destaca como las organizaciones que prioricen la inversión en soluciones tecnológicas estarán mejor capacitadas para capitalizar oportunidades y mitigar riesgos en un entorno económico caracterizados por el dinamismo y la transformación. De cara a los próximos meses, las empresas estiman que el presupuesto tecnológico incrementará en un 10% con respecto al 2024, lo cual refleja una tendencia ascendente subrayando la importancia de las TI en el funcionamiento y desarrollo empresarial. Para el 91% de las empresas la tecnología tiene una percepción estratégica, según los datos recogidos por Penteo, si bien solo el 18% se destinará a estrictamente innovación debido a un enfoque más centrado en la práctica de la rentabilidad. Las organizaciones continúan enfocándose en las tecnologías que fomentan la optimización operativa, la sostenibilidad y la resiliencia frente a riesgos. La Inteligencia Artificial, la automatización avanzada y la ciberseguridad han pasado de ser diferenciadores a convertirse en requisitos básicos para las empresas que buscan mantener la competitividad en el mercado. “Las inversiones tecnológicas para 2025 se centrarán en impulsar la eficiencia y la competitividad, pues las organizaciones ya asumen que las tecnologías innovadoras, la creación de productos y servicios deben responder a las necesidades emergentes y a la diversificación de sus estrategias de mercado”, señala Toni Guerra, Director de Penteo. “La combinación de una visión estratégica y un enfoque en la innovación posicionará a las organizaciones para aprovechar las oportunidades y sortear los desafío presentes y futuros.” Prioridades Tecnológicas Las principales partidas tecnológicas de empresas y organizaciones en nuestro país irán dirigidas a: La Inteligencia Artificial lidera (alineada perfectamente con las prioridades del negocio) con un 95% de las empresas aumentando la inversión y solo un 4% disminuyéndola, lo que indica una fuerte tendencia hacia la mejora de la tecnología de vanguardia. La Analítica y Big data también ven un aumento significativo en la inversión (91% de las empresas) quizás basándose en crear el ecosistema necesario para la implantación de IA. La Ciberseguridad sigue acaparando inversión año tras año, alineado con los objetivos de la empresa de priorizar la seguridad y resiliencia. Workplace y talento En el nuevo entorno digital, el trabajo híbrido y en remoto han alcanzado la madurez impulsando la innovación con herramientas colaborativas y plataformas en la nube. Por su parte, la tecnología orientada a la sostenibilidad va ganando terreno como parte a la respuesta a la demanda de mayor responsabilidad medioambiental y reducción de emisiones. Ambos aspectos continuarán su dinámica de cara a 2025. En cuanto al talento, las empresas están priorizando la retención y el desarrollo interno ante la creciente dificultad de encontrar profesionales cualificados en algunas áreas tecnológicas. Muchas organizaciones están optando por invertir en formación de sus actuales equipos algo que permite cubrir necesidades de proyectos de manera interna y reducir la externalización. Tecnología al margen del CIO Un dato a resaltar en el Informe de este año es el que hace referencia a las partidas presupuestarias destinadas a tecnologías que no dependen del CIO. Un 15% de los proyectos tecnológicos están controlados por áreas “no TI”, tal es el caso de marketing y operaciones, de esta forma evitan los procesos tradicionales de TI y pueden ejecutar soluciones rápidamente manteniendo la competitividad y la respuesta ágil a los clientes. Otro factor determinante de esta tendencia es la democratización de la tecnología; el acceso a herramientas como las plataformas SaaS ha permitido que áreas no técnicas puedan implementar soluciones específicas sin depender del soporte directo de TI. Sobre PENTEO PENTEO es una consultora IT independiente con más de 30 años de experiencia asesorando a CIOs y al equipo IT en sus decisiones digitales. Gracias a nuestro conocimiento de mercado IT desde una visión 100% independiente, acompañamos a líderes digitales en su retos tecnológicos y estratégicos de forma continua. PENTEO lidera la mayor comunidad de CIOs de España a través de Penteo Fórum, un servicio especialmente diseñado para CIOs con influencia o responsabilidad en las decisiones TI a nivel nacional e internacional, para ayudarles a maximizar el éxito de sus decisiones TI-Negocio.
9 Diciembre 2024
Rincón del CISO
De cara a 2025, el panorama de la ciberseguridad evolucionará vertiginosamente a medida que los atacantes sigan perfeccionando su arte. La inteligencia artificial (IA) ya está ayudándoles a crear códigos y señuelos más convincentes, especialmente en idiomas que tradicionalmente han supuesto una barrera de entrada; así como a automatizar los ataques y a dirigirse a las personas con mayor precisión. Al mismo tiempo, los atacantes se centran más en consumidores individuales, utilizando redes sociales y aplicaciones de mensajería antes de pasar a organizaciones más grandes. Sin embargo, no sólo se transforman los vectores de ataque. Las organizaciones también se enfrentan a las complejidades de la gestión de la identidad digital, los entornos multicloud y las nuevas estrategias de datos, con nuevas normativas que exigen controles más estrictos. Por eso, garantizar que se dispone de las herramientas adecuadas se está convirtiendo rápidamente en una prioridad para los equipos de seguridad. Los expertos de Proofpoint, empresa líder en ciberseguridad y cumplimiento normativo, ofrecen sus predicciones sobre ciberseguridad para el año que viene, arrojando luz sobre tendencias y tecnologías que definirán la próxima oleada de retos y soluciones de seguridad. Los ciberdelincuentes explotarán la IA manipulando datos privados Asistimos actualmente a una fascinante convergencia en el ámbito de la IA, a medida que los modelos cuentan con más capacidades y los agentes semiautónomos de IA se integran en flujos de trabajo automatizados. Esta evolución abre interesantes posibilidades para que los ciberdelincuentes satisfagan sus propios intereses y, concretamente, en cuanto a cómo podrían manipular los datos privados utilizados por los grandes modelos de lenguaje (LLM). Dado que los agentes de IA dependen cada vez más de datos privados en correos electrónicos, repositorios de documentos SaaS y fuentes similares para su contexto, asegurar estos vectores de amenaza será aún más crítico. Según Daniel Rapp, director de IA y Datos de Proofpoint, el año que viene empezaremos a ver los primeros intentos de los atacantes de manipular fuentes de datos privados: “Cabría la posibilidad de que los ciberdelincuentes engañasen a propósito a la IA, contaminando los datos privados utilizados por los LLM, como alterar deliberadamente correos electrónicos o documentos con información falsa o engañosa, para confundir a la IA o hacer que haga algo perjudicial; y esto requerirá mayor vigilancia y medidas de seguridad avanzadas para garantizar que la IA no se deje engañar por información errónea”. La era de las máquinas para toma de decisiones a través de la IA “La IA generativa irá más allá de la generación de contenidos para convertirse en el motor de la toma de decisiones detrás de innumerables procesos empresariales, desde recursos humanos a marketing o DevOps”, explica Ravi Ithal, director general del Grupo de I+D y gestión de productos de DSPM. Así, en 2025, la IA se convertirá en una aprendiz de desarrolladores, haciendo de todo, desde automatizar la corrección de errores hasta pruebas y optimización de código. El uso de herramientas de desarrollo asistidas por IA se acelerará en el próximo año, cerrará las brechas en habilidades, reducirá las tasas de error y ayudará a los desarrolladores a seguir el ritmo de los ciclos de lanzamiento más rápidos de DevOps. La IA también potenciará DevOps mediante la predicción de posibles cuellos de botella y la sugerencia preventiva de optimizaciones. Esto transformará los procesos de DevOps en líneas de producción predictivas y creará flujos de trabajo que solucionen los problemas antes de que afecten a la producción. La IA se convertirá en parte esencial al hacer negocios, aunque bajo escrutinio Hace unos años, el cloud, la movilidad y el Zero Trust eran simplemente conceptos que estaban de moda, pero ahora forman parte de la manera en que las organizaciones hacen negocios. “Las tecnologías de IA, y en especial la IA generativa, son consideradas actualmente una amenaza para terceros; y la pregunta que se están haciendo los CISOs es cómo utilizan los empleados la IA para saber dónde pueden estar poniendo en riesgo la información confidencial, de ahí que se produzca un mayor escrutinio en torno a cómo los LLM están potenciando estas herramientas”, apunta Patrick Joyce, CISO global residente de Proofpoint. Entender el riesgo, la materialidad de ese riesgo, los beneficios, así como las garantías en fabricación y seguridad de las herramientas de IA concentrarán la preocupación de los CISOs. La geopolítica influirá en el ciberespionaje y en el aumento de poderes locales Este año se ha demostrado que el ciberespionaje alineado con estados está profundamente entrelazado con la dinámica geopolítica y, en 2025, las operaciones de APT seguirán reflejando los conflictos mundiales y regionales. Para Joshua Miller, investigador de amenazas en Proofpoint, “las campañas de ciberespionaje no se limitarán a las grandes naciones históricamente consideradas como ciberactores maduros, sino que proliferarán una variedad de grupos centrados en conflictos regionales que buscarán las ventajas del mundo cibernético”. Además, los adversarios proestado realizarán operaciones para apoyar otros objetivos nacionales, como la difusión de propaganda o la generación de ingresos. Es probable asimismo que los autores de amenazas selectivas aprovechen la continua balcanización de internet para intentar distribuir sus cargas maliciosas. Los consumidores serán el campo de pruebas para estafas “Con el tiempo, las defensas por capas y la concienciación en materia de seguridad han fortalecido a las organizaciones frente a muchas de las amenazas cotidianas, por lo que hemos asistido a un repunte de los ciberdelincuentes que vuelven a dirigirse a los consumidores particulares para sacar provecho”, declara Selena Larson, investigadora de amenazas de Proofpoint. Las estafas laborales sofisticadas o el pig butchering son dos ejemplos de ingeniería social fuera de un entorno corporativo. En 2025, veremos un resurgimiento en el número de atacantes de amenazas menos refinadas que aprovechan canales de comunicación alternativos, como redes sociales y aplicaciones de mensajería cifrada, para centrarse en desplumar a individuos fuera de la visibilidad de la empresa. El “cómo” evoluciona más rápido que el “qué” entre los ciberdelincuentes El objetivo final de los ciberdelincuentes no ha cambiado mucho en los últimos años, puesto que sus ataques siguen teniendo una motivación económica. Así sucede con el Business Email Compromise (BEC), diseñado para provocar transferencias bancarias fraudulentas o compras con tarjetas regalo, además de los ataques de ransomware y extorsión de datos tras un ataque inicial con malware o una herramienta legítima de gestión remota. “Aun así, la manera en que se ejecutan los ataques sí que está evolucionando a un ritmo vertiginoso. Los pasos y los métodos que emplean los ciberdelincuentes para inducir a una víctima a descargar malware o a efectuar un pago implican técnicas más avanzadas y complejas”, indica Daniel Blackford, jefe e investigación de amenazas de Proofpoint. En el último año, los actores de amenazas con motivaciones financieras han manipulado hilos de correo electrónico con respuestas de múltiples cuentas comprometidas o suplantadas, han utilizado técnicas ClickFix para ejecutar Powershell en vivo y han abusado de servicios legítimos como Cloudflare para añadir dificultad y variedad a sus ataques. El camino desde el clic inicial (o respuesta a la payload de primera etapa) seguirá siendo cada vez más específico y enrevesado para despistar a defensores y soluciones automatizadas. El smishing se vuelve más visual con ciberataques por MMS El abuso basado en MMS, a través de mensajes con imágenes o gráficos para engañar a los usuarios de dispositivos móviles y que proporcionen datos confidenciales o caigan en estafas, es un vector de ataque floreciente que se expandirá rápidamente en 2025. En palabras de Stuart Jones, director de la división Cloudmark, “el MMS permite el envío de imágenes, vídeos y audio, lo que lo convierte en una poderosa herramienta para que los atacantes elaboren estafas más atractivas y convincentes, incrustando enlaces maliciosos para hacerse pasar por empresas o servicios legítimos y engañar a los usuarios, quienes a menudo no son conscientes de que están utilizando MMS, creando así una tormenta perfecta para la explotación”. Cambiará el papel del CISO En 2025 se verá tanto la expansión como la contracción del papel del CISO. Ya presentes en la mayoría de las salas de juntas, muchos CISOs tienen actualmente la tarea de dirigir los debates y determinar la importancia de la ciberseguridad a un alto nivel corporativo, ampliando su responsabilidad tradicional. Y, por el lado de la contracción, también hay más casos de división o subdivisión de la función ya de por sí amplia del CISO con la justificación de que es demasiado para una sola persona. “Aunque no sea o vaya a ser una tendencia generalizada, algunos están empezando a dividir la función entre ciberarquitectura, defensa frente a amenazas y respuesta a incidentes, por un lado, y cibergobierno, riesgo y cumplimiento, por otro. Si esto continúa, se convertirá en una especie de dragón de dos cabezas, y será más difícil saber quién es responsable”, apostilla Patrick Joyce, CISO global residente de Proofpoint. Más plataformas consolidadas, menos soluciones puntuales brillantes El paso de soluciones fragmentadas a plataformas de confianza seguirá ganando impulso los próximos meses. “Las limitaciones presupuestarias y de talento, junto con la complejidad de gestionar múltiples sistemas no integrados, están convirtiendo la consolidación en prioridad para los CISOs”, apunta Nate Chessin, vicepresidente sénior de ingeniería de ventas mundiales. Los CISOs y los CIOs se centrarán en optimizar sus activos de proveedores existentes no sólo para reducir los dolores de cabeza operativos, sino también para mejorar los resultados de seguridad, proporcionando la resiliencia necesaria ante un ciberpanorama de lo más volátil.
4 Diciembre 2024
Rincón del CISO
AENA, Banco Santander, BBVA, Inditex, Caixabank, Telefónica y Mapfre son las empresas del IBEX más transparentes en ciberseguridad. Watch&Act Protection Services presenta la IV edición de su ‘Informe de transparencia en la información sobre seguridad en las empresas del IBEX 35’, con un ranking a partir de la información publicada en sus memorias anuales de información no financiera. Por sectores, las empresas de finanzas y seguros han pasado a una primera posición relegando a un segundo lugar el liderato que tenía el sector de telecomunicaciones.. Entre las conclusiones generales resalta la implicación de los miembros de los Consejos de Administración y de los Comités de Dirección para un conocimiento y cumplimiento de la normativa en ciberseguridad con una participación cada vez más activa aportando experiencia y formándose en materia de ciberseguridad.. Según el informe Anual de Seguridad Nacional, en 2023 se produjeron en España un 94 por ciento más de ataques que en 2022 y en los primeros meses de 2024 se ha producido un aumento del 13,5 por ciento respecto a enero y febrero de 2023. En este contexto, las empresas del IBEX 35, pilares clave de la economía española por su volumen de datos gestionados y su interconexión global, son un objetivo constante para los ciberdelincuentes. La publicación transparente de su información sobre ciberseguridad no solo es una responsabilidad corporativa, sino también un factor esencial para proteger sus intereses económicos y la confianza de sus grupos de interés. Así lo destaca el IV Informe de Transparencia en Ciberseguridad elaborado por Watch&Act Protection Services, presentado en Madrid. Este análisis anual clasifica a las empresas del IBEX 35 según la claridad y exhaustividad con la que informan sobre sus medidas de ciberseguridad en sus informes anuales de sostenibilidad y gobernanza. En esta edición, se incorpora la evaluación de dos nuevos indicadores clave: la mención a pólizas de ciberriesgo y la inversión en tecnologías de protección en ciberseguridad. Para la presentación del Ranking se organizó una mesa redonda titulada "La responsabilidad de los órganos de administración por ataques cibernéticos en la empresa". Moderada por José María Méndez, Socio del área de TMT de Baker McKenzie, contó con la participación de destacados expertos: Pablo Uslé, director del equipo de Tecnologías de la Información y Comunicaciones en Baker McKenzie; Javier Huergo, responsable de Watch&Act Protection Services; Ramón Franco, CEO de Mr. Houston; y Pedro Coll, director de Crisis y Riesgos en LLYC. Seguimos constatando que todavía nos queda mucho camino por recorrer en la transparencia de la información en ciberseguridad en lo que respecta a la divulgación de información no financiera e información sobre diversidad por parte de determinadas grandes empresas y determinados grupos. Sostiene Javier Huergo, responsable de Watch&Act Protection Services y autor del informe. La inclusión de nuevos indicadores junto con la evaluación completa de los añadidos en el año anterior (la mención y descripción de ciberataques sufridos durante ese año, y la mención al control y requisitos en materia de ciberseguridad exigidos a los proveedores en la cadena de suministro) indica una amplia visibilidad y toma de conciencia por parte de estas empresas en cuanto al significado, repercusión e impacto que esta información puede provocar en las cuentas de resultados de estas. Resultados destacados del ranking 2024 Liderazgo en transparencia: AENA, Banco Santander, BBVA, CaixaBank, Inditex y Telefónica comparten el primer puesto, con una puntuación perfecta de 141. Top 10: Completan la lista MAPFRE, Fluidra, Ferrovial y Enagás. Sectores destacados: Las finanzas y seguros lideran, seguidos de telecomunicaciones y energía. Empresas con mayor mejora: Grifols, Fluidra, Banco de Santander y Caixabank RANKING IBEX 35 . TRANSPARENCIA EN INFORMACIÓN SOBRE CIBERSEGURIDAD Por otro lado, sectores como el inmobiliario y construcción enfrentan el desafío de mejorar su transparencia en ciberseguridad, al igual que empresas como ArcelorMittal y Laboratorios Rovi, quienes cierran el ranking por tercer año consecutivo. Ciberseguridad: entre la regulación y la estrategia empresarial El informe refleja que la transparencia no solo cumple con las normativas europeas, como la Directiva (UE) 2022/2555, sino que se ha convertido en una ventaja competitiva. Según Pablo Usle, la normativa está evolucionando y cada vez establece más obligaciones para más compañías en materia de ciberseguridad, llegando incluso a establecer responsabilidad personal para los órganos directivos. Por ese motivo, es fundamental estar preparados para prevenir y saber de antemano cómo gestionar un posible ciberataque. Además, “la ciberseguridad debe representar actualmente una de las mayores preocupaciones técnicas de una empresa, pues las amenazas siguen una senda alcista en volumen y complejidad”, añade Ramón Franco, CEO de Mr. Houston. Conclusiones del informe De esta edición del informe se desprenden varias conclusiones relevantes. En primer lugar, se destaca una mayor implicación de los consejos de administración en las estrategias de ciberseguridad, lo que refleja un compromiso directivo cada vez más firme en este ámbito. En segundo lugar, se observa un aumento significativo en los presupuestos destinados a tecnología e innovación, con un especial esfuerzo en ciberseguridad. Asimismo, aunque ha habido avances en las medidas de protección dentro de la cadena de suministro, este sigue siendo un aspecto con margen de desarrollo y mejora. Por último, las empresas han ampliado considerablemente la formación interna en ciberseguridad, aunque sería deseable un mayor nivel de detalle en la divulgación de los programas implementados. Recomendaciones para 2024 El informe ofrece dos recomendaciones clave para las empresas. Por un lado, se destaca la importancia de los seguros de ciberriesgo como una herramienta fundamental para mitigar los impactos económicos derivados del aumento de los ciberataques. Por otro lado, se subraya la necesidad de un uso responsable de la inteligencia artificial (IA), ya que, aunque esta tecnología es un aliado crucial en la ciberseguridad por su capacidad para innovar y mejorar las defensas, también puede ser aprovechada para realizar ataques más sofisticados. Por ello, su adopción debe combinar innovación con ética para garantizar su efectividad y seguridad. Sobre Watch&Act Protection Services Es una correduría de seguros especializada en seguros de ciberriesgo, de responsabilidad civil, administradores y directivos, riesgos especiales, vida, accidentes y salud, participada por Watch&Act International Consulting. www.waprotection.com Watch&Act Watch&Act International Consulting es una empresa española de consultoría de transformación que nace en 2013 con el objetivo de ayudar a las grandes empresas a acelerar sus procesos internos y a reorientar sus estrategias de negocio mediante un tratamiento eficaz de la gestión del cambio. Ofrece un servicio integral de consultoría especializada en la transformación del modelo organizativo desde cuatro enfoques clave: el compromiso de las personas como verdadero motor del cambio, la tecnología y la innovación como sello de identidad, el aseguramiento como garantía y la excelencia como máxima para acometer con éxito los retos de cada cliente. www.watchandact.eu
2 Diciembre 2024
Rincón del CISO
Mariano J. Benito Gómez, CiberSecurity & Privacy Advisor. GMV y miembro del Grupo Seguridad AUTELSI Cyberlideria celebró su II Festival Solidario[1] este 26 de Noviembre. Asistieron 650[2] grandes profesionales que compartieron casi 5 horas de encuentros y emociones. No se preocupe si no pudo saludar a Samira en 20 segundos por asistente de que disponía si dedicaba todo su tiempo sólo a saludarnos. Los CIOs y los CISOs se ven diariamente así de exigidos[3] respecto de las cadenas de suministro[4]. Las organizaciones continuamente incorporan servicios y productos de su cadena de suministro en un proceso que involucra múltiples y variados participantes: áreas internas compradoras, posibles suministradores, áreas de compras, y también otros participantes como jurídicos, cumplimiento, privacidad, o seguridad. También puede haber más actores que no participan formalmente pero que pueden influir. Algunas áreas (fundamentalmente compras y comprador) dedican suficiente tiempo y esfuerzo para analizar los posibles suministros, proveedores, realizar pruebas, … y toman decisiones fundamentadas con sus criterios e intereses. Sin embargo, es posible que otras áreas de la organización compren productos y servicios sin apoyo ni conocimiento de compras ni otras áreas. Y además, los suministros que siguen el procedimiento suelen centrarse en los proveedores y productos concretos suministrados, pero ni analizan ni pueden analizar la seguridad de los proveedores de estos proveedores (Tier2), ni de sus proveedores (Tier3), y así recursivamente. Se genera una Shadow Supply-Chain[5] compuesta de todas las organizaciones que intervienen en una compra o suministro pero que no son explícitamente conocidos por el comprador. Cada miembro de la Shadow Supply-Chain puede ser un riesgo para el comprador. Y pueden ser un millón de proveedores´. Como señaló AUTELSI[6], es una situación desfavorable para CISOs, CIOs y otros. Además de sus responsabilidades habituales, se les exige adicionalmente verificar la seguridad de los proveedores y ser responsables de los proveedores inseguros. Por el volumen de compras, difícilmente tienen capacidad suficiente para analizar en detalle cada una, concentrándose en verificar que el suministro cumpla requisitos de seguridad mínimos preestablecidos, pidiendo información adicional, correcciones o vetando ese suministro en caso contrario. Este escenario se simplifica para el CIO/CISO comprador. Puede preparar un cuestionario que cubra esos requisitos mínimos, pedir que el proveedor lo complete, y automatizar el análisis de las respuestas. Aquí los 20 segundos de Samira pueden ser suficientes para el comprador. A costa del vendedor, quien debe responder a cuestionarios de, literalmente, cientos de preguntas. Pero … ¿Cuántas organizaciones simplemente se suministran, sin tener clientes a quienes proporcionar productos y servicios? En este caso, el escenario simplificado del CISO/CIO desaparece. Puede mantenerlo para sus proveedores, pero va a tener que consumir recursos en completar los N diferentes cuestionarios de sus M diferentes clientes que, además, son distintos entre sí. No solo eso. También debe aumentar el tamaño de sus cuestionarios de comprador para garantizar que recoge de sus proveedores información que eventualmente pueda precisar para completar los cuestionarios de sus clientes. Y debe recoger esta información más frecuentemente. Más cuestionarios, más largos, más complejos, más frecuentes, más diferentes. Un incremento enorme en recursos consumidos. Este escenario es real, y cada vez más presente. La gestión de la seguridad de la cadena de suministros ya era requisito en ISO 27001 (5.19 a 5.23), NIST 800 (SR.X) o en Esquema Nacional de Seguridad (controles op.ext, exigible a administraciones públicas y sus proveedores). Pero ahora será un requisito legal inexcusable para las organizaciones sujetas a cumplimiento de DORA, NIS2 o CRA. Y para sus proveedores, incluyendo su Shadow Supply-Chain. Eventualmente, cualquier empresa del mercado. Urge evolucionar la operativa de seguridad de la cadena de suministros tanto para gestionar la Shadow Supply-Chain como optimizar los recursos necesarios. [1] https://cyberlideriamgzn.es/cyberlideria-y-fundacion-adelias-dan-la-bienvenida-al-ii-festival-solidario/ [2] https://www.linkedin.com/posts/cyberlideria-mgzn_solidaridad-madrid-dana-activity-7267465283508871168-xH8k [3] https://cyberlideriamgzn.es/la-paradoja-del-ciso-una-gran-responsabilidad-con-poco-o-ningun-poder/ [4] https://www.computerworld.es/article/3607924/la-paradoja-del-ciso-una-gran-responsabilidad-con-poco-o-ningun-poder.html [5] https://autelsinsights.es/shadow-supply-chain-y-responsabilidad-ante-ciberincidentes/ [6] https://autelsinsights.es/shadow-supply-chain-y-responsabilidad-ante-ciberincidentes/
2 Diciembre 2024
Rincón del CISO
Ángel Arenillas, Country Manager de Auriga para España y Portugal Las amenazas digitales son una realidad. Todos recibimos diariamente emails, SMSs, llamadas fraudulentas que tratan de hacerse, sobre todo, con nuestros datos bancarios. En caso de que tengan éxito, por la necesaria protección del consumidor, en la mayoría de los casos son los bancos quienes sufren las consecuencias y deben hacerse cargo de las pérdidas. Vivimos en un contexto de ‘escalada armamentística del fraude’ donde estas entidades sufren especialmente, lo que les provoca no solo grandes pérdidas financieras, sino también un daño irreparable a su reputación. Los cajeros automáticos son un elemento especialmente vulnerable: guardan dinero, guardan datos y, sobre todo, son un punto de acceso fácil para cualquiera. Y es por ello que son uno de los puntos más débiles y de los que más pérdidas provocan en la infraestructura bancaria: de media, más de 500€ por cajero al año en toda Europa. Aunque los ataques físicos (alunizajes, explosiones o accesos por la fuerza) suelen llevarse la atención mediática por su naturaleza dramática, apenas suponen un 5% de las pérdidas relacionadas con estos dispositivos. Los ataques al software o intentos de fraude mediante malware, sin embargo, son mucho más frecuentes. De hecho, 85,4% de ellos lo son, frente a solo un 14,6% de los físicos, según la Asociación de Seguridad de Cajeros Automáticos. Aunque su incidencia no deja de aumentar, y en este 2024 prácticamente la totalidad de los más de 8.000 incidentes registrados en Europa fue un ataque de fraude. Malware especializado en cajeros automáticos Ya sea a través de dispositivos insertados en los puertos externos o mediante conexiones remotas, en la historia reciente hemos visto numerosos casos de infecciones por software malicioso en cajeros automáticos. Este malware específico tiene varias características que le permiten ejecutar ataques sofisticados a estos dispositivos: su capacidad para adaptarse, para evadir las defensas y para operar de manera sigilosa dentro de las infraestructuras. Su objetivo puede ser tanto el dinero en sí, mediante asaltos de tipo jackpotting, como –y a día de hoy mucho más relevante- los datos de usuarios que guardan, con ataques de skimming. Los bancos, por supuesto, toman todas las medidas a su alcance, pero el desarrollo de malware específico para cajeros automáticos ha evolucionado al mismo ritmo (o más), y hoy las entidades se enfrentan a la necesidad de estar siempre alerta mediante una vigilancia continua y proactiva, porque solo así podrán mantener la integridad y la seguridad de las transacciones financieras de los clientes. En este entorno, el modelo Zero-Trust o de Confianza Cero se está convirtiendo poco a poco en el estándar de seguridad cibernética (no solo en lo que se refiere a cajeros automáticos): no confiar en nada ni en nadie. O, lo que es lo mismo, partir de la presunción de culpabilidad y de que cualquier componente o acceso puede ser vulnerable y, por tanto, verificar y autorizar cada interacción con el cajero automático, reduciendo así al mínimo la posibilidad de intrusión forzosa o ataque. Y todo ello sin olvidar que la experiencia de cliente debe seguir siendo fácil y sencilla, ¡además de muy segura! Todo un reto para la banca actual. La lucha contra el malware en cajeros automáticos no es solo una batalla técnica, sino también una cuestión estratégica para la banca del futuro. Adoptar modelos como el Zero Trust y reforzar las medidas de ciberseguridad es esencial para proteger no solo los activos financieros, sino también la confianza de los clientes en el sistema bancario. Porque, al final, en un entorno donde las amenazas son cada vez más sofisticadas, la verdadera seguridad reside en anticiparse, innovar y nunca bajar la guardia. Ángel Arenillas, Country Manager de Auriga para España y Portugal
2 Diciembre 2024
Rincón del CISO
Federico Florez, Consejero Independiente y Miembro del Consejo Asesor de CyberLideria entrevista a Jose Antonio Toledo, Director General Adjunto de MUFG Bank (Europe) N.V. en España. Federico Florez: Jose Antonio, cuéntanos sobre tu trayectoria profesional y cómo llegaste a donde estás ahora. ¿Qué factores crees que han sido clave en tu éxito hasta el momento? Jose Antonio Toledo: A lo largo de mi trayectoria profesional, creo que ciertos valores y estrategias han sido fundamentales para mi crecimiento y éxito. Primero, la proactividad me ha permitido buscar nuevos desafíos, identificar oportunidades. Segundo, siempre he creído en ir más allá y dar más de lo esperado por los demás, en dar esa milla extra; para mí, esta mentalidad demuestra compromiso y fomenta la confianza tanto del equipo como el resto de miembros de la organización, lo que es algo esencial para el éxito en entornos de alta competencia. Un tercer aspecto clave ha sido la adaptabilidad. En especial en un contexto de evolución a través de diversas áreas como Operaciones, IT, HR, lo que me ha requerido afrontar desafíos de distintas características. Y el cuarto aspecto clave en mi desarrollo profesional ha sido el autoconocimiento y aprendizaje permanente. Siempre han sido una prioridad para mí, me han permitido desarrollar mi capacidad de adaptación y me ha impulsado a mejorar mis habilidades, tanto técnicas como personales. Claro ejemplo, es como he desarrollado las habilidades 'soft', ya que sé del impacto que tienen en el liderazgo. Para ello he trabajado y trabajo con un coach en este proceso. La guía profesional de un coach me ha ayudado a identificar áreas de mejora, desarrollar nuevas perspectivas y fortalecer mi autoconocimiento. Esta colaboración me ha permitido abordar desafíos con mayor claridad y confianza, y ha acelerado mi desarrollo personal y profesional. En conjunto, estos principios y aprendizajes han sido herramientas estratégicas en mi carrera, ayudándome a crecer y a contribuir de manera significativa en mi organización. F.F.: En la actualidad, el talento digital es más importante que nunca, y como líder, ¿cómo haces para gestionar y asegurar la motivación del talento y mantener un equipo comprometido y orientado a la innovación? J.A.: La motivación del talento digital es esencial para garantizar no solo el rendimiento, sino también la innovación y el compromiso continuo en un entorno en constante cambio. Como líder, implemento estrategias clave que combinan desarrollo profesional, reconocimiento, propósito y bienestar. Proporciono oportunidades de formación en tecnologías emergentes y habilidades digitales, además de fomentar una cultura de autoaprendizaje. Esto no solo refuerza sus capacidades, sino que también incrementa su confianza y satisfacción personal. Reconocer y valorar las contribuciones, tanto individual como grupal, es una de las formas más efectivas de mantener la motivación. Aseguro que cada miembro del equipo comprenda cómo su rol contribuye a los objetivos generales de la organización. Además, les doy la autonomía para tomar decisiones, proponer ideas y ser protagonistas en la solución de problemas. Priorizar el bienestar y el equilibrio hace que un profesional se sienta motivado. Por eso, promuevo el equilibrio entre la vida laboral y personal, ofreciendo flexibilidad, recursos para el bienestar y un entorno que respete sus necesidades individuales. En definitiva, en un entorno digital tan competitivo, asegurar la motivación del talento no es solo una cuestión de fidelización, sino de crear un equipo que se sienta comprometido, empoderado y preparado para liderar el cambio. La clave está en equilibrar el crecimiento profesional con el bienestar personal y un propósito claro. F.F.: La resiliencia se ha convertido en una competencia clave en tiempos de incertidumbre. ¿Qué necesita un profesional del ámbito digital para ser resiliente? ¿Qué pueden hacer las organizaciones para fomentar la resiliencia de estos profesionales? J.A.: Desde mi punto de vista, un profesional del ámbito digital necesita, ante todo, una mentalidad de aprendizaje continuo. Esto significa estar dispuesto a explorar nuevas herramientas, actualizarse constantemente y aprender tanto de los éxitos como de los errores. También es fundamental desarrollar la capacidad de gestionar la incertidumbre, ya que en el mundo digital es habitual trabajar en entornos dinámicos donde las prioridades y tecnologías cambian rápidamente. Además, la inteligencia emocional juega un papel crucial, ya que ayuda a manejar el estrés, mantener la calma bajo presión y generar empatía en las interacciones. Por último, el pensamiento orientado a soluciones es esencial: en lugar de centrarse en los problemas, un profesional resiliente busca alternativas y aborda los desafíos de forma creativa y colaborativa. En cuanto a lo que pueden hacer las organizaciones para promover la resiliencia, yo citaría: fomentar una cultura de aprendizaje continuo, promover un enfoque basado en soluciones, proporcionar un ambiente de apoyo y reconocer y celebrar los logros. Al integrar estas prácticas, las organizaciones no solo fortalecen la resiliencia de sus profesionales digitales, sino que también crean equipos más ágiles, cohesionados y preparados para afrontar cualquier desafío. F.F.: Fuera de tu faceta profesional, ¿qué actividades o pasatiempos disfrutas en tu tiempo libre? ¿Cómo te ayudan a mantener el equilibrio? J.A.: Fuera de mi faceta profesional, paso mucho tiempo con mi familia, que es mi mayor fuente de alegría y energía. Tengo esposa y tres maravillosos hijos: uno de 8 años y dos gemelas de 6, quienes llenan mis días, especialmente los fines de semana, de actividades y diversión. El tiempo con ellos lo disfruto plenamente y considero que me ayuda a desconectar y a mantenerme equilibrado. Además, soy un apasionado del Real Madrid, tanto en fútbol como en baloncesto. Trato de ir al estadio siempre que puedo, y últimamente he podido compartir esta afición con mi hijo mayor, lo cual hace la experiencia aún más especial. También creo que mantenerse activo físicamente es fundamental para el bienestar. Intento caminar una hora diaria y practico baloncesto, actividades que me ayudan a liberar el estrés y mantenerme en forma. Para mí, es importante mantener un buen balance entre la vida personal y profesional. Por eso estas actividades no solo me permiten desconectar, sino que creo que contribuyen a mejorar mi rendimiento profesional. Sin embargo, creo que no existe una receta única para todos; cada persona debe encontrar lo que mejor le funcione para equilibrarse. En mi caso, estas experiencias han sido clave, y siempre estoy abierto a aprender de las prácticas y enfoques de los demás para enriquecer mi propio balance. F.F.: ¿Crees que tener hobbies fuera del ámbito laboral puede contribuir a la productividad en el trabajo? Sí, creo firmemente que tener hobbies fuera del ámbito laboral puede mejorar la productividad. Los estudios muestran que realizar actividades recreativas reduce el estrés y fomenta la creatividad, lo cual impacta positivamente en el desempeño profesional. Por ejemplo, diversas investigaciones revelan que los empleados con hobbies tienden a ser más efectivos en resolver problemas y mantener un enfoque renovado en sus tareas diarias. Además, la desconexión que ofrecen estos hobbies permite recargar energías y regresar al trabajo con una mejor perspectiva, lo que en mi caso ha sido clave para mantener el equilibrio y el rendimiento en el día a día. F.F.: El entorno digital está en constante cambio, y ahora la Inteligencia Artificial está en boca de todos, ¿Cómo visualizas el impacto de la IA y la automatización en el sector financiero u otros sectores? ¿Qué habilidades serán esenciales para los profesionales que trabajen junto a estas tecnologías? J.A.: Como apasionado de la Inteligencia Artificial, veo en ella una herramienta con un enorme potencial para impulsar el cambio, algo de lo que me considero firme defensor. Visualizo la Inteligencia Artificial y la automatización como elementos transformadores para el sector financiero y por supuesto otros sectores. En el mundo financiero, por ejemplo, la IA no solo puede optimizar los procesos comerciales y operativos, sino también aportar valor en áreas como el cumplimiento legal, gestión de riesgos y la gestión de recursos humanos. La IA tiene el poder de liberar a las personas de tareas repetitivas, permitiéndoles enfocarse en actividades de mayor valor añadido y brindándoles oportunidades para aprender y desarrollarse continuamente. Creo que, en este contexto, las habilidades clave para los profesionales que trabajen junto a estas tecnologías son la apertura al cambio, la curiosidad, y una actitud proactiva hacia su uso. La actitud del profesional es fundamental, ya que aquellos que adoptan una mentalidad de aprendizaje y experimentación estarán mejor preparados para aprovechar todo el potencial de la IA. En resumen, creo que la Inteligencia Artificial nos ofrece una oportunidad única para replantearnos y mejorar cada proceso y función, y quienes abordan esta tecnología con mente abierta serán los que lideren el cambio. F.F.: ¿Qué consejo le darías a otros profesionales que buscan construir equipos de alto impacto? J.A.: Mi consejo para quienes desean construir equipos de alto impacto es reconocer que el liderazgo va más allá de dirigir procesos y tareas para obtener resultados: implica un compromiso profundo con el desarrollo de cada miembro del equipo, tanto en lo profesional como en lo personal. Como líderes, tenemos la responsabilidad de guiar a nuestros equipos, lo que a veces requiere tener conversaciones difíciles sobre rendimiento, expectativas o planes de carrera. Estas conversaciones son la base de un equipo de alto rendimiento, pues ayudan a alinear los objetivos y generan confianza. Además, creo que proporcionarles los recursos necesarios y escuchar activamente son pilares clave en este proceso. Pero también es fundamental entender a cada persona desde una perspectiva personal. Conocer sus motivaciones, valores e inquietudes nos permite ofrecer una orientación que realmente resuene con ellos. Cuando un líder se toma el tiempo para entender a su equipo más allá de sus roles laborales, se fortalece el vínculo, y esto genera un ambiente de trabajo donde los miembros se sienten valorados y comprendidos. Al final, el auténtico foco de un líder debe ser ayudar a su equipo a crecer, apoyándolos en su desarrollo como profesionales y personas. Cuando un equipo sabe que su líder los entiende y los respalda, es mucho más probable que se comprometa y alcance su máximo potencial. Así, el éxito del equipo se convierte en un logro compartido, que no solo beneficia a cada individuo, sino también a la organización en su conjunto. F.F.: ¿Alguna reflexión o mensaje final sobre la importancia del factor humano en la era digital? J.A.: En esta era digital, el factor humano es más crucial que nunca. Las tecnologías avanzadas, como la Inteligencia Artificial y la automatización, nos ofrecen herramientas poderosas, pero su verdadero valor radica en cómo las utilizamos para beneficiar a las personas y la sociedad. Cuando integramos la tecnología de manera sostenible y enfocada en el desarrollo humano, creamos un entorno donde las personas no solo pueden crecer profesionalmente, sino también a nivel personal. Este enfoque centrado en la persona, con un compromiso hacia la sostenibilidad y el impacto positivo, forma un cóctel perfecto para el crecimiento de las personas, las organizaciones y la sociedad en general. Al final, cuando la tecnología está al servicio de la humanidad y se utiliza para empoderar y desarrollar a las personas, logramos un mundo mejor, más inclusivo y mejor preparado para enfrentar los desafíos del futuro.
2 Diciembre 2024
Rincón del CISO
Esther Mateo, Directora General de Seguridad, Procesos y Sistemas Corporativos en ADIF entrevista a Domingo Mirón, Consejero Delegado Grupo UAX Esther Mateo: Domingo, cuéntanos un poco sobre tu trayectoria y cómo llegaste a convertirte en el profesional que eres hoy en día. ¿Qué te ha motivado a lo largo de este camino? Domingo Mirón: Estudié Ciencias Matemáticas, desarrollé una larga carrera profesional de 35 años en puestos de alta dirección en Accenture a nivel internacional, y ahora soy Consejero Delegado del Grupo Educativo UAX. Siempre me ha apasionado el uso intensivo de la tecnología con propósito. En este sentido, la digitalización está empujando estos días la transformación empresarial y social que vivimos de manera vertiginosa. Pero para no generar una brecha social, la formación de nuestras personas es clave y necesaria para generar el talento capaz de usar la tecnología generando impacto positivo en las empresas, en las personas y en el planeta. ¡Un sueño para mí! A ello contribuimos en el Grupo UAX, donde creamos entornos de aprendizaje dinámicos que preparan a los líderes del futuro y les ayudan a comprender la huella que pueden dejar en el mundo. También se refleja en mis colaboraciones con la Fundación Accenture, enfocada en mejorar la digitalización para ampliar oportunidades laborales, y la Fundación Iter, que trabaja para que jóvenes vulnerables en la Comunidad de Madrid encuentren empleo y construyan un futuro mejor. En Grupo UAX quiero impulsar la innovación, evolucionar los modelos educativos para alinearlos a los nuevos perfiles profesionales demandados y consolidar nuestra posición como un referente a nivel nacional e internacional. Desde el inicio de mi carrera, me han impulsado la pasión, la energía y los valores; es importante para mí poder explicar con principios cada decisión que tomo en mi vida. E.M.: El talento es un recurso esencial en cualquier organización. ¿Cómo atrae y retiene Grupo UAX a los mejores profesionales, y qué papel juegan las personas en la evolución de la institución? D.M.: Para empezar, nuestra trayectoria de 30 años innovando y evolucionando los modelos de formación para generar el talento que han demandado las empresas en cada momento hace muy atractiva la pertenencia al Grupo UAX. Esta misión es común a todas las instituciones educativas del grupo, y la vinculación y trabajo conjunto con el tejido empresarial para alcanzarla están en nuestro ADN. También lo está la excelencia, y para garantizarla es indispensable contar con los recursos adecuados. Hablamos de instalaciones de vanguardia, de programas actualizados a la realidad empresarial y social, pero por supuesto y fundamentalmente, de profesores conectados con la realidad profesional y capacitados para impulsar el desarrollo de nuestros estudiantes. Así que como ves, las personas son un recurso clave para nosotros y en el Grupo UAX tienen un proyecto con mucho futuro, ya que ha experimentado de primera mano la rápida evolución que hemos visto en el mundo empresarial debido al impacto de la tecnología y la necesidad de cerrar la brecha digital que ha generado. Un ejemplo claro es que hoy estamos formando a perfiles híbridos – Business & Tech - donde la formación práctica en negocios y tecnología se integra como un todo. A todo esto se suma una oferta de valor para nuestros empleados y docentes, que va desde la formación para ellos y para sus familias en las instituciones del Grupo, hasta programas para cuidar del bienestar integral de la persona en nuestras propias instalaciones y de la mano de nuestros expertos. Apoyamos su desarrollo profesional con programas de mentoring específicos para nuestro equipo académico y con oportunidades de movilidad interna a lo largo de todas las empresas del Grupo. Nuestro compromiso es cuidar del talento de nuestros equipos para que, a su vez, pongan a nuestros estudiantes en el centro de todo lo que hacemos. E.M.: Hoy en día, hablamos mucho de la transformación digital, pero ¿cómo ves el concepto de "humanismo digital"? ¿De qué manera crees que se puede promover el equilibrio entre la tecnología y el bienestar humano? D.M.: La combinación de tecnología y personas es esencial; la tecnología no es ni será un fin en sí misma. La tecnología es una herramienta que nos permite mejorar nuestra vida, y ya tenemos muchos ejemplos de cómo puede hacerlo. Además, como grupo educativo que forma a personas para que sean agentes del cambio responsables, creemos firmemente en el valor que cada uno de nosotros aporta en su puesto de trabajo. En este sentido, el pensamiento crítico es un complemento fundamental en los procesos de investigación e innovación para el desarrollo de los negocios, y la llegada de tecnologías como la IA lo evidencia aún más. Tenemos la responsabilidad de ayudar a nuestros estudiantes a desarrollar y aplicar esta habilidad, ya que será un factor determinante en su valía profesional futura y garantizará ese equilibrio entre tecnología y bienestar social. E.M.: En un entorno cambiante y digitalizado, ¿qué tipo de formación consideras que será clave para el talento del futuro? ¿Cómo se pueden formar profesionales resilientes y adaptables? D.M.: En la última década, hemos integrado cada vez más las innovaciones tecnológicas en el negocio. Al principio, se trataba de utilizar dispositivos; hoy entendemos que la tecnología es mucho más: es el tiempo que ahorramos en la ejecución de tareas, la reducción de costes, la agilidad que ganamos e, incluso, la disminución de emisiones. En este entorno cambiante y digitalizado, la formación en tecnología, específica y general, es clave en todos los ámbitos. Y además de desarrollar competencias digitales, es esencial formar en habilidades blandas que permitan la adaptación a un entorno profesional en constante evolución. Para lograrlo, promovemos una cultura de aprendizaje continuo entre nuestros estudiantes y hemos creado el primer Observatorio del Impacto de la Tecnología en las Profesiones, que nos permite anticiparnos a las necesidades de talento de las empresas en los diferentes sectores para acelerar la innovación de nuestro modelo educativo y la actualización de nuestra oferta formativa. Creemos en la inclusión de Tecnología Curricular en nuestros programas, para formar a profesionales que manejan la mejor y última tecnología aplicable a su puesto. No solo a tecnólogos, si no a médicos, enfermeras, arquitectos o gestores empresariales. Queremos hacerlo como su socio estratégico en el aprendizaje a lo largo de la vida, apoyando a individuos y empresas en el necesario upskilling y reskilling. E.M.: La resiliencia es un tema clave en tiempos de incertidumbre. ¿Qué medidas se están tomando en Grupo UAX para asegurar que la Universidad y sus estudiantes sean resilientes frente a los desafíos? D.M.: Despertamos su curiosidad integrando en su plan de estudios la participación en proyectos donde aplican los conocimientos adquiridos en el aula, entienden su potencial, y se enfrentan al reto de crear e innovar en un entorno complejo. En estas experiencias desarrollan soluciones alineadas con los ODS a través de retos reales de la mano de empresas. Estos entornos de trabajo suponen también una toma de contacto con la cultura de empresa que domina el mercado, donde para ser una pieza fundamental en un equipo deben mantener ese espíritu de aprendiz con una gran capacidad de escucha. Además, trabajamos el autoconocimiento con programas de mentoring para ayudarles a encontrar su propósito personal y a vincularlo con el de la empresa, algo que impulsa su motivación y, con ella, su carrera. E.M.: Como líder, ¿qué valores personales consideras fundamentales para guiar una organización como la vuestra? ¿Cómo se reflejan esos valores en tu estilo de liderazgo? D.M.: Como decía al inicio, mis valores están presentes en todo lo que hago, y estar seguro de que actuó de acuerdo a ellos es fundamental para mí. Destacaría especialmente la tolerancia, pues considero importante saber escuchar opiniones diversas y valoro enormemente la oportunidad de enriquecer mi visión con la de los miembros de mi equipo y la de nuestros grupos de interés. Esta actitud de apertura a la innovación nos ayuda a evolucionar nuestro modelo educativo de forma continua y adaptar la labor académica investigadora para ser verdaderamente relevantes para las empresas y la sociedad. E.M.: Fuera del ámbito profesional, ¿qué hobbies o actividades disfrutas en tu tiempo libre? ¿Cómo crees que esos intereses personales te han ayudado a mantener el equilibrio en tu vida? D.M.: Me gusta mantenerme en forma, dedicar tiempo al deporte me carga de energía y positividad, y tengo la suerte de poder hacerlo en las instalaciones de UAX Rafa Nadal School of Sport, en el campus que la Universidad Alfonso X el Sabio tiene en Villanueva de la Cañada, con un equipo magnífico y muy a mano del trabajo. Disfruto mucho también de mi familia, estoy orgulloso de mis hijos, ya en edad de empezar a volar, y mi mujer es un pilar fundamental en mi vida. Su perspectiva me ha ayudado a tomar decisiones importantes con más seguridad. E.M.: Para cerrar, ¿qué consejo le darías a los jóvenes que están a punto de empezar sus carreras en este mundo tan digitalizado y competitivo? D.M.: Aprende a aprender, porque eso te ayudará a entender las innovaciones que vengan, adaptarte a ellas y discernir dónde va a estar tu valor como profesional que ya no es algo inmutable, sino que va a cambiar con cada nueva tecnología o disrupción que aparezca. Disfruta del camino no solo del objetivo conseguido, cada paso en tu vida y carrera merece tu pasión y energía. Vive con intensidad. Por último, les recomendaría que actúen siempre respetando sus valores y los de la institución para la que trabajan, ya que, acertados o errados, eso les dará la oportunidad de explicar siempre por qué hicieron o decidieron algo. https://www.uax.com
2 Diciembre 2024
Rincón del CISO
Con el Black Friday y el Cyber Monday a la vuelta de la esquina, entramos en un periodo de alto riesgo para la ciberseguridad. Según un reciente informe de Sophos, los correos electrónicos maliciosos fueron la segunda causa más común de ataques de ransomware en sectores críticos, concretamente, fueron responsables del 25% de los ataques. Durante fechas señaladas de compras online, esta amenaza se multiplica. No hay que olvidar un punto importante: con el aumento de ofertas online y promociones flash, es probable que muchos más empleados puedan comprar artículos online desde sus ordenadores de trabajo, teniendo la sensación de que en días como el Cyber Monday es legítimo hacerlo. Esto aumenta el riesgo de que hagan clic más libremente y expongan potencialmente a la empresa a enlaces maliciosos o ataques de phishing. Tanto si eres responsable de la seguridad de tu empresa, como si eres un trabajador navegando desde el ordenador corporativo, estos son algunos sencillos consejos que ofrecen los expertos en ciberseguridad de Sophos para evitar que el Black Friday se convierta en un día negro de verdad: Utiliza un ad blocker. Los anuncios no sólo rastrean todos tus movimientos y recopilan suficiente información sobre tus hábitos como para sonrojar al FBI, sino que también son una fuente importante de enlaces maliciosos y contenidos engañosos en Internet. Usar un ad blocker no solo hace tu navegación más segura, sino que también la hace más rápida y consume menos ancho de banda. Dos de nuestros favoritos son uBlock Origin y Ghostery. Utiliza la navegación privada o el modo incógnito. Para evitar que tus hábitos de compra e intereses te sigan de un sitio a otro (y también puedan revelar qué regalos podrías estar comprando a otras personas que utilicen tu dispositivo, ¡bonus!), deberías activar la navegación privada (Firefox) o el modo incógnito (Chrome). Esto bloqueará las cookies de rastreo y ayudará a que Internet olvide tus pasos como las olas borran tus huellas en la arena. Haz que tu navegador sea «privacy smart». La Electronic Frontier Foundation (EFF) ofrece una extensión del navegador llamada Privacy Badger, diseñada para tomar automáticamente las decisiones correctas al navegar, manteniendo nuestra privacidad y bloqueando los rastreadores invisibles. Evita utilizar una sola cuenta en varios servicios. Al entrar en un sitio de comercio electrónico, suele resultar tentador utilizar el botón «Iniciar sesión con Facebook» o «Iniciar sesión con Google». Aunque se tarda unos minutos más en crear un nuevo inicio de sesión, se obtiene más privacidad, ya que no se comparten todos los sitios en los que se compra con estos gigantes tecnológicos. Utiliza el inicio de sesión de invitado cuando esté disponible. Además de permitirte utilizar una cuenta de otros sitios web, muchos tienen la opción de utilizar un inicio de sesión de invitado en lugar de crear una cuenta nueva. Es una opción estupenda si no esperas necesitar asistencia técnica o hacer más compras de forma recurrente. Menos contraseñas, menos datos personales y menos problemas si te piratean Esta temporada, los pequeños pasos pueden marcar una gran diferencia en la protección frente a las ciberamenazas.
29 Noviembre 2024
Rincón del CISO
Cipher, unidad de ciberseguridad del Grupo Prosegur, señala que se espera un aumento significativo en el uso de inteligencia artificial (IA) por parte de los atacantes en fechas clave como Black Friday, el período navideño o las rebajas de enero. Para ello, los ciberdelincuentes utilizan herramientas automatizadas, siendo capaces de crear mensajes de phishing más convincentes, suplantar identidades de manera casi indetectable y lanzar ataques masivos en cuestión de minutos. A tenor de los datos del Instituto Nacional de Ciberseguridad (INCIBE), en 2023 se gestionaron más de 83.500 incidentes de ciberseguridad en España, de los cuales 58.000 afectaron a ciudadanos particulares y el resto a empresas. Esta tendencia ha proseguido durante este año, en el que se está produciendo un aumento, sin precedentes, de las incidencias de ciberseguridad. En un entorno de creciente digitalización y transformación tecnológica como en el que vivimos, la ciberseguridad se ha convertido en un factor clave. Presente en la estrategia de la gran mayoría de las compañías y organizaciones de todo el mundo, cuidar de ella es una acción fundamental durante la temporada de mayor actividad comercial del año, que abarca desde el Black Friday (29 de noviembre) hasta Navidad. En este periodo, la seguridad digital resulta, más que nunca, una necesidad crítica tanto para consumidores como para empresas e instituciones. Se espera que, con el boom de transacciones online que tienen lugar en estas fechas se incrementen, paralelamente, el volumen de ciberataques. Un germen para la ciberdelincuencia que va acompañado de un despliegue de amenazas digitales, que se tornan más sofisticadas año tras año, incorporando ataques de ingeniería tecnológica y social, notificaciones fraudulentas con enlaces trampa y tácticas innovadoras de malware. Ante este escenario, Cipher recomienda diseñar medidas de seguridad proporcionales a los riesgos a los que están expuestas las organizaciones e individuos: 1/ Fraudes a través de correos electrónicos falsos (phishing), dirigidos a la obtención de datos personales y bancarios. 2 La clonación de sitios webs, empleados para recoger información de identificación personal (PII), credenciales y datos bancarios de los consumidores. 3/ La difusión de aplicaciones maliciosas, aprovechando campañas como el Black Friday o el Ciber Monday para incrementar el número de sus descargas. Se trata de aplicaciones diseñadas con la intención de robar datos, dañar dispositivos o comprometer la seguridad del usuario, disfrazándose de software legítimo para engañar y aprovecharse de quienes las instalan. / El malvertising, que son anuncios online que emplean los ciberatacantes para distribuir programas maliciosos o redirigir el tráfico del usuario. 5/ Fraudes con cupones falsos y descuentos que buscan atraer a los usuarios más desprevenidos. Estrategias de contraataque: En respuesta a estas nuevas tácticas, las soluciones de ciberseguridad también han evolucionado. La detección proactiva y el uso de IA defensiva permiten identificar patrones anómalos y bloquear ataques antes de que se materialicen. Estrategias como Cyber Threat Intelligence, analiza y organiza información sobre amenazas emergentes, permite prevenir y mitigar ataques, y ofrece educación y formación a los consumidores sobre ciberseguridad, algo que se vuelve crucial para reducir el impacto de estos ataques. Durante esta temporada, Cipher refuerza su capacidad de análisis y respuesta, aumentando la recolección y evaluación de datos para detectar y contrarrestar actividades sospechosas mediante acciones proactivas. Junto al uso de soluciones avanzadas para la prevención de los ataques, hacia empresas y particulares, se aconseja a los consumidores que desconfíen de ofertas que parezcan demasiado buenas para ser verdad, y que utilicen redes seguras para realizar sus compras online. Asimismo, es fundamental que las empresas realicen auditorías de seguridad antes del aumento de las transacciones y refuercen sus protocolos de protección de datos.
28 Noviembre 2024
Rincón del CISO
Siguiendo la estela de los últimos años, la protección de los entornos empresariales seguirá siendo una prioridad y una necesidad en 2025. La inversión de las organizaciones en este ámbito no deja de crecer por la cantidad y evolución de los ciberataques, cuyo coste supone ya cerca del 1,5% del PIB mundial. La principal amenaza del próximo año será, según Innovery by NEVERHACK, el ransomware. Ya lo fue en 2023, lo que afectó al 20% de las compañías españolas, ha ocupado portadas a lo largo de 2024 y lo seguirá haciendo en 2025, al tratarse del método más rápido que tienen los ciberdelincuentes para lucrarse. España es el quinto país más afectado por este tipo de ataques a nivel mundial, solo por detrás de Estados Unidos, Reino Unido, Alemania e Italia. Ante lo que está por venir, el 90% de los CISOs se plantean subir su presupuesto para 2025, de acuerdo con Forrester. “El ransomware va a continuar ocupando el podio de los ciberataques, pues cuenta con una capacidad colosal de destrucción. Las herramientas de distribución de ransomware están al alcance de cualquier ciberdelincuente, cada vez son más económicas y su ratio de éxito es muy alto”, asegura José Antonio Izquierdo López, Cybersecurity Competencer Manager de la compañía. Además de tener que protegerse frente a este tipo de ataque, las empresas van a tener que afrontar, en materia de ciberseguridad, otros retos como: Inteligencia artificial. Esta tecnología está dotando a los ciberdelincuentes de rapidez y capacidades para llevar a cabo ataques mucho más precisos. El acceso a las herramientas de IA para actividades maliciosas es muy sencillo y está siendo utilizada en el diseño de malware de nueva generación, cada vez más inteligente. Es más, Gartner predice que, para 2027, el 17% de los ciberataques involucrarán a la IA generativa. Desde el lado de la defensa, ya es una obligación aplicar también esta tecnología, no solo para ser más rápidos que el lado malo, sino para intentar ser más listos. Además, las organizaciones deben prestar atención la información que comparten con sistemas de inteligencia artificial, como ChatGPT, sobre todo si es público. Ni cañones ni soldados: ciberguerra. La situación actual está dejando ver un panorama en el que, más allá del ransomware, se pueden ver ataques de DoS (denegación del servicio) y otros orientados a que ciertas infraestructuras dejen de operar. En el escenario actual las empresas especializadas en ciberseguridad van a jugar un papel muy importante en la revisión de hardware y firewall, como una parte preventiva y de control para evitar que terceros utilicen dispositivos para atacar. Escasez de talento. Un año más, la falta de profesionales en el ámbito de la ciberseguridad va a suponer un quebradero de cabeza para las compañías. Según INCIBE, se estima que el sector en nuestro país finalice el año con poco más de 42.000 profesionales, pero con una necesidad de aproximadamente 83.000. Los profesionales de la ciberseguridad trabajan en entornos muy exigentes, con mucha presión y eso conlleva una involucración 24/7, por lo que “el sector debe esforzarse por hacer ofertas más llamativas e interesantes y encontrar el verdadero atractivo de la ciberseguridad, pero está claro que este hecho se va a alargar en el tiempo”, aclara Izquierdo. A la caza del sector sanitario. Los ciberataques al sector sanitario seguirán en alza y superarán los 2.361 ataques semanales por organización actuales. Los ataques de ransomware a hospitales se dispararán, pues el sector, de media, es el que más paga el rescate, que ronda los 400.000 euros. Un ataque de ransomware es capaz de paralizar sus sistemas, pero, además, los propios ciberdelincuentes venden consultoría, lo que acaba siendo una vía rápida y legal de conseguir dinero. No obstante, no será el único sector en el que los ciberdelincuentes concentrarán sus fuerzas: la administración pública, por la cantidad de información que gestiona y por la situación geopolítica, también será uno de los más atacados. La industria, por su parte, será escogida por los ciberdelincuentes siguiendo el rastro del dinero y con gran potencial financiero. Concienciación y formación. Otro de los aspectos que sigue siendo un reto para las compañías año tras año es la debilidad del factor humano en el ámbito de la ciberseguridad, como el eslabón más débil de la cadena. Se debe hacer hincapié en proteger a las personas, que deben estar en el centro de la estrategia de ciberseguridad. Por tanto, la formación debería ser una tarea diaria, semanal y mensual para concienciar y a los empleados en este ámbito. Un curso básico ya no sirve en el contexto actual. Los expertos de la compañía señalan además que las nuevas regulaciones, como DORA, para el entorno financiero, y NIS2, para sectores críticos e importantes, evidencian que la ciberseguridad es una necesidad en el mundo actual. Al respecto, destacan que estas normas son más estrictas y se centran en los aspectos de mejora de los sistemas y en la resiliencia. “Las compañías deben poner mucho foco en resiliencia y en la capacidad de recuperación. No pueden permitirse el lujo de que un ataque paralice sus servicios durante semanas o meses o, incluso, que tengan que invertir cantidades obscenas de dinero para poder recuperar sus sistemas, sin tener la garantía de que los datos robados no van a ser vendidos a terceros”, concluye el Cybersecurity Competencer Manager.
27 Noviembre 2024
Rincón del CISO
Los directores de seguridad de la información no poseen pleno control sobre sus dominios, pero se les sigue pidiendo cuentas cuando las cosas van mal. Por consiguiente, un desequilibrio de poder que puede salir caro. El título de director de seguridad de la información sugiere que el cargo conlleva un nivel de autoridad similar al que disfrutan otros “directores”, como puede ser el caso del consejero delegado o el director financiero. En este caso, la autoridad se refiere al mando sobre las operaciones de seguridad, la estrategia y la asignación de recursos de una organización. Pero para la mayoría de los CISO, el verdadero mando supone una ilusión que puede dar lugar a frustraciones. Está claro que tienen la tarea de proteger la información más sensible de la organización, pero carecen de la influencia real para tomar decisiones esenciales de forma autónoma. Para muchos, el concepto de mando —disponer de control sobre las decisiones, los recursos y el personal— es fundamental para un liderazgo eficaz. En sectores como el militar, el mando es sinónimo de responsabilidad; los líderes pueden ser considerados responsables porque están facultados para actuar. Para el CISO, esta falta de mando, más que un reto, es un defecto fundamental. La realidad de su papel es que, a pesar de su condición de “jefe”, muchos carecen de poder para tomar decisiones unilaterales que afectan a la postura de seguridad de la organización. La autoridad para aprobar presupuestos, desplegar mitigaciones críticas y aplicar cambios de política suele estar fragmentada entre otros líderes ejecutivos. 0 seconds of 9 minutes, 1 secondVolume 0% Las decisiones sobre inversiones en ciberseguridad, políticas e incluso dotación de personal suelen ser competencia del director financiero, el director de información o incluso el director general. Para los CISO, esta dinámica es similar a que se les pidiera proteger un castillo sin disponer del pleno control sobre sus defensas. Identifican riesgos, proponen soluciones y trazan planes estratégicos, pero la ejecución depende de la aprobación, los plazos y las prioridades de otras personas. Los CISO se atascan “vendiendo” la importancia de la seguridad a sus superiores La ausencia de mando convierte la toma de decisiones en materia de ciberseguridad en un proceso tedioso y a menudo lleno de frustraciones para los CISO. De ellos se espera de ellos que actúen con rapidez, que prevean y aborden los problemas de seguridad antes de que sean una realidad. Pero sin mando, están atrapados en un ciclo de “venta” de la importancia de las inversiones en seguridad, esperando la aprobación y confiando en otros para priorizar esas inversiones. La necesidad constante de aceptación ralentiza los tiempos de respuesta y da lugar a oportunidades para que ocurra algo malo. En ciberseguridad, donde el tiempo lo es todo, estos retrasos pueden ser realmente costosos. Más allá del tiempo, el concepto de mando es fundamental para la alineación estratégica y la capacitación. En las organizaciones en las que el CISO carece de verdadero mando, esta figura se ve obligada a actuar de forma reactiva en lugar de proactiva. Por ejemplo, un CISO puede reconocer la necesidad de un software avanzado de detección de amenazas o para ampliar la formación del personal, pero no puede aplicar estos cambios de manera directa sin controlar el presupuesto y la asignación de recursos. En su lugar, debe justificar el gasto, convencer a las partes interesadas de su importancia y esperar que se alinee con otras prioridades empresariales. Por consiguiente, una dependencia que socava su capacidad de ser estratégicos y les obliga a validar constantemente por qué esta figura es necesaria. A esta carga se añade el reto de hacer que el riesgo cibernético sea comprensible y tenga relación con otros miembros del equipo ejecutivo. El riesgo cibernético no es tan sencillo como el financiero u operativo, que pueden cuantificarse y evaluarse a partir de métricas e indicadores de rendimiento bien establecidos. Dicho riesgo no deja de ser abstracto o estar envuelto en nieblas, de ahí que de la noche a la mañana aparezcan nuevas vulnerabilidades, pues las amenazas evolucionan de manera constante y las repercusiones de un ciberataque pueden variar mucho. Incluso sin plena autoridad, los CISO siguen cargando con la culpa Para muchos ejecutivos no familiarizados con la ciberseguridad, la urgencia en torno al riesgo cibernético en ocasiones es difícil de entender, lo que deja al CISO es un estado perpetuo de tener que justificar sus estrategias. Este “convencimiento” no es una exigencia típica de otras funciones de la C-suite, y puede hacer que el trabajo del CISO parezca una continua batalla cuesta arriba. Lo que hace que esta situación sea especialmente difícil es que, al final del día, los CISO siguen siendo responsables de los fallos. Cuando se produce una brecha o se expone una vulnerabilidad, la mayor parte de la culpa recae sobre ellos. Se espera que gestionen y prevengan estos incidentes, pero están abocados al fracaso sin la autoridad para hacer cumplir las medidas necesarias. Una situación que pocos otros líderes de la C-suite experimentan es la siguiente: un CEO, por ejemplo, normalmente tiene el control sobre las decisiones relacionadas con la dirección estratégica y los recursos de la empresa, pero espera que los CISO prevengan las infracciones sin el mismo nivel de control. En definitiva, una figura con responsabilidad sin mando, lo que supone un modelo que no prepara a nadie para el éxito. Esta falta de mando no sólo afecta a la seguridad de la organización, sino también a las relaciones del CISO, tanto internas como externas. A menudo tienen que relacionarse con miembros de la junta directiva, compañeros y partes interesadas para explicar iniciativas de seguridad, abordar posibles amenazas y debatir estrategias de mitigación de riesgos. Una visible falta de autoridad puede erosionar la confianza en el CISO Sin mando, sólo pueden asesorar, pero no imponer. A ojos de sus compañeros, puede hacer que el CISO no sea más que un mando intermedio en lugar de un líder; y para la junta directiva, puede parecer que el CISO es incapaz de cumplir plenamente su mandato. Con el tiempo, esto erosiona tanto la confianza en su función como su capacidad para obtener el apoyo que necesita de su organización. Desde un punto de vista interno, la ausencia de autoridad de mando también puede afectar a la relación del CISO con su propio equipo. Lo que se espera es que los equipos de seguridad trabajen con urgencia, respondan a las amenazas en tiempo real e implementen nuevos protocolos según la necesidad del momento. Incluso puede ocurrir que la moral del equipo se resquebraje si se encuentran con que el CISO no tiene autoridad para tomar las decisiones finales sobre los recursos o imponer los cambios necesarios. Esto es así porque los equipos prosperan con líderes que pueden tomar decisiones seguras y sin ambigüedades. ¿Qué ocurre cuando un CISO depende continuamente de otros cargos? El resultado es una disminución de la fe del equipo tanto en el CISO como en el mismo compromiso de la empresa con la seguridad. Las consecuencias de esta falta de mando tienen repercusiones reales y tangibles en la postura general de seguridad de la organización. Si un CISO sabe que existe una necesidad crítica de herramientas de seguridad actualizadas o cree que se necesita personal adicional, pero se enfrenta a constantes obstáculos para garantizar esos recursos, puede dejar a la organización vulnerable a las amenazas. En ciberseguridad, esperar una aprobación o convencer a las partes interesadas puede ser la diferencia entre prevenir un ataque y hacer frente a una brecha. Los CISO deben estar preparados para el éxito con un verdadero mando Si las organizaciones quieren protegerse de verdad, el primer paso es reconocer que los CISO han de tener un verdadero mando. Los más eficaces son aquellos que pueden operar con plena autoridad sobre su dominio, libres de constantes obstáculos internos. A medida que las empresas consideran cómo proteger sus datos de la mejor manera, deben preguntarse si están preparando de verdad a sus CISO para el éxito. ¿Les dotan de los recursos, la autoridad y la autonomía necesarios para actuar? ¿O simplemente les asignan una responsabilidad de alto riesgo sin el poder para cumplirla?Hasta que las organizaciones no empiecen a tratar a los CISO como verdaderos líderes con mando sobre su dominio, la ciberseguridad seguirá siendo un campo precario y lleno de desafíos, y que se define tanto por sus barreras como por sus responsabilidades.
26 Noviembre 2024
Rincón del CISO
Samira Brigüech, Editora CyberLideria MGZN entrevista a Enrique Ávila Director del Centro de Análisis y Prospectiva de la Guardia Civil. Samira Brigüech: Me gustaría preguntarte en qué consiste tu trabajo, Enrique. Concretamente, ¿cuál es tu posición en la Guardia Civil?, y también, si no te importa contarnos, ¿qué es lo que más te gusta de tu trabajo? Enrique Ávila: Es una posición extraña, porque es algo que se está introduciendo. La Guardia Civil, en un ejercicio de innovación hace ya 25 años, creó un Centro de Análisis y Prospectiva (CAP), que yo dirijo. Este centro es el sueño de cualquier adolescente aficionado a la ciencia ficción, pues nos dedicamos a analizar el entorno, a intentar previsualizar lo que serían amenazas emergentes en materia de seguridad para anticiparnos a las mismas, por lo tanto, es un ejercicio un poquito de ciencia ficción. Nosotros generamos escenarios posibles, plausibles o probables y proponemos la adopción de determinadas medidas y políticas relacionadas con la seguridad pública. La Guardia Civil fue creada precisamente para proteger los caminos y ahora, parte de los caminos se desarrollan en el ciberespacio. Ese tránsito de mercancías y personas también tiene que ser protegido desde la seguridad pública por parte de la Guardia Civil. Lo que más me gusta de mi trabajo es la creatividad, el poder estar analizando ese entorno, el poder ser espectador y, al mismo tiempo, actor de esos avances y de esa tecnología que se está desarrollando, y que nos permite intentar manejar la complejidad. Todas las instituciones y formas políticas lo que intentan es manejar esa complejidad, hemos generado capas de complejidad y nuestras sociedades se han estructurado en base a esas capas cada vez más difíciles de manejar y gracias a la tecnología, gracias a la anticipación, podemos defendernos mejor en ellas. S.B.: Danos un ejemplo, Enrique, porque hay mucha gente que no va a entender, ya que es muy complejo y muy sofisticado lo que hacéis, ¿nos puedes hacer como una foto para que lo visualicen? E.A.: Por ejemplo, llevo ya 35 años en este negocio, cuando se empezó a hablar de ciberseguridad hace 10 años, la propia Unión Europea se refería a la seguridad informática y todo lo relacionado con esto. En un momento dado se dieron cuenta de que los casos de delitos informáticos se iban a empezar a generar de forma masiva en las redes y que se necesitaba desarrollar capacidades investigadoras por parte de nuevas cohortes de agentes en este nuevo escenario que suponía el ciberespacio. Entonces, en un ejercicio prospectivo que se hizo a nivel de toda la Unión Europea y en el que hubo participación de Fuerzas y Cuerpos de Seguridad del Estado, se consideró que había que empezar a establecer alguna política pública o acción formativa especializada para empezar a formar nuevas cohortes de agentes que no sólo supiesen investigar un escenario de crimen clásico, sino también un escenario de cibercrimen. Y así empezamos, ya hace 10 años, a formar cohortes especializadas de agentes que son capaces de investigar el escenario del cibercrimen. Tal es así que la Guardia Civil ha formado ya a más de 250 agentes estos últimos 10 años, lo suponen muchos agentes con capacidades para hacer investigación en escenarios de cibercrimen muy complejos y que cada día lo son más. S.B.: Cada día son más sofisticados y más complicados. Creo que a lo largo de tu carrera profesional te habrás enfrentado a muchos retos importantes. ¿Recuerdas alguno especialmente desafiante? ¿Podrías contarnos cómo lo superaste? E.A.: Recuerdo muchos retos desafiantes, ya que he estado prestando servicio en varias instituciones, como el Ministerio del Interior, el Tribunal Constitucional y la Guardia Civil. Respecto a las tres instituciones, podría contar mil casos desafiantes, pero por tema de seguridad pública y seguridad nacional, estarían clasificados. Por lo tanto, no puedo contarlos. S.B: ¿No hay alguno que puedas desclasificar? E.A.: Por ejemplo, en el Ministerio del Interior se organizan las elecciones. Imagínate un escenario hipotético donde hemos sufrido el mayor atentado yihadista que ha habido en territorio europeo, y 72 horas después, hay que celebrar unas elecciones donde el componente tecnológico tiene mucho impacto. Esto supone un gran desafío, y esos desafíos se superan con cosas clásicas, con voluntad, con inteligencia y con buenos equipos. También una característica fundamental cuando formas parte de un equipo, es que se tiene que estar bien encuadrado y entrenado. No vale de nada intentar enfrentarse a una situación de crisis sin todo eso porque la situación de crisis es nueva, no la has podido anticipar. Solamente ese encuadramiento y ese entrenamiento continuo nos habilita para tener oportunidades de salir airosos de una situación de crisis en el mundo ciber. Por lo tanto, tienes que tener equipos con voluntad, con inteligencia y con pensamiento lateral, que además estén bien entrenados y bien encuadrados. S.B.: Ya que estamos hablando del mundo ciber ¿qué significa para ti la ciberseguridad? No sé si tienes actualmente algún rol en esta materia, pero sé que lo has tenido en el pasado. E.A.: Sí, durante cinco años he sido el CISO de la Guardia Civil. Además, hace ya cuatro años que pasé a dirigir el Centro de Análisis y Prospectivas, pero todavía tengo un rol lateral en el Centro Nacional de Excelencia en Ciberseguridad, un centro que solamente forma a personal de Fuerzas y Cuerpos en materia de investigación de incidentes ciber. Ese rol colateral de universitario académico es el principal elemento que me sigue conectando con ese mundo ciber. Además, por otro lado, tendríamos las formaciones especializadas que se realizan a través de la propia Guardia Civil, por convenios internacionales, con cohortes de estudiantado de países latinoamericanos. Siempre estamos conectados con Fuerzas y Cuerpos, y siempre conectados con el mundo de la defensa. Sigo en el campo de la parte ciber, aunque no en primera línea. Para mí la ciberseguridad es algo que ha cambiado mucho. Cuando empecé, esto era una cosa de proteger servidores web, porque podía llegar alguien que te hiciera un destrozo al cambiarte una página web. Después empezamos a proteger lo que eran infraestructuras propias, dentro de procesamiento de datos propios, donde se establecía un perímetro de seguridad y se protegían con los recursos que se tuviesen de la mejor manera posible. Pero ese perímetro un día se rompió. Ahora el perímetro es básicamente infinito y todo está conectado tecnológicamente, por lo que ha habido que readaptar el modelo de pensamiento y de análisis de riesgo para que todo lo que manejamos sea considerado como un punto de vulnerabilidad. Incluso eso está cambiando y es algo que llevamos anticipando desde hace varios años. Al expresar esa idea, he introducido el factor humano, ya que todavía somos parte de ese problema y somos un vector de ataque. El 80% de los incidentes tienen un factor humano intermediario. Sin embargo, hace 5 o 10 años ya dimos el paso de tener una algoritmia avanzada que toma decisiones por nosotros de manera automatizada. Eso cambia completamente el panorama, porque ya suponemos que sabemos ciberproteger más o menos un perímetro digital, pero ahora estamos teniendo que aprender a proteger esa algoritmia avanzada de una explotación con fines delictivos o con fines de ganar algún tipo de ventaja económica. El perímetro digital se ha abierto a cosas que no son exclusivamente tecnológicas, sino que también incorporan otros aspectos de lo que antes era un perímetro clásico, incorporado dentro del perímetro de la ciberseguridad. S.B.: Dices que nosotros estamos cada vez más preparados, también que en España somos más conscientes de lo importante que es protegernos, que estamos mejor formados y más preparados. Pero Enrique ¿por qué es España uno de los países más atacados del mundo? E.A.: Quizá esto sucede al ver las métricas porque tenemos más sensores. Lo que hacemos es tener más visión sobre lo que nos pasa. Hay países que obviamente no tienen esta visión sobre lo que les está pasando porque no tienen una sensorización como la que tenemos nosotros, por lo que todo esto pasa desapercibido. Es darle la vuelta al argumento. Si fuésemos más atacados, esto sería porque tenemos algo que nos hace especiales para ser ciberatacados. A mí no se me ocurre nada que nos haga especiales. Eso sí, la labor de nuestro Centro Criptológico Nacional y de nuestro INCIBE es espectacular en ese sentido. Tenemos sistemas de sensorización que sí que nos permiten, en un momento dado, darnos cuenta de que estamos siendo ciberatacados. Obviamente hay países o empresas que no se dan cuenta de que esto está sucediendo. En el sector tenemos un sesgo urbanita, los que vivimos en las ciudades, creemos que la comida aparece en los mercados de manera automática y porque sí. Bueno, pues hablando en lenguaje coloquial para que todo el mundo nos entienda, en nuestro sector primario las vacas ya no se ordeñan a mano. Las vacas se ordeñan con ordeñadoras automáticas, que están conectadas a Internet. Nuestro tejido empresarial, que es primordialmente de pequeña y mediana empresa, no tiene la capacidad suficiente como para tener las herramientas que en un momento dado serían deseables para mejorar esa ciberprotección de esa parte del tejido empresarial. Volviendo a hablar del enorme trabajo que hace el Centro Criptológico Nacional, o lo que hace INCIBE, además tenemos otras Instituciones locales que también hacen un trabajo increíble desplegando contramedidas, herramientas, normativas y guías, que están para ser consultadas e implementadas. Ahora, NIS2 nos va a obligar en las cadenas logísticas a hacer un cumplimiento normativo en materia de ciberseguridad también. Siempre que sean proveedoras de algún tipo de infraestructura crítica, van a tener que hacer ese cumplimiento, pegando un salto en cuanto a ciberprotección. Veremos más ataques, porque tendremos más sensores. S.B.: Veremos más ataques, pero también ahora mismo tenemos un pequeño problemilla. Cuando una empresa es atacada, en muchos casos no informa a las autoridades, puede ser porque no quieren sentirse expuestas o por un tema de reputación corporativa. ¿Crees que habría que obligar a las empresas que sufren ataques a comunicarlo a las autoridades pertinentes? E.A.: La regulación hace obligatoria la comunicación. Por ejemplo, yo soy muy partidario de nuestro esquema nacional de seguridad, tratando de replicar lo máximo posible un caso de éxito que España tiene, que es el de la Agencia Española de Protección de Datos. Este caso tiene dos herramientas que son para mí fundamentales. Por un lado, un Cuerpo de Inspectores especializados en materia de protección de datos. Se debería crear una agencia similar en materia de ciberseguridad con un Cuerpo especializado de Inspectores que, al elevar el rango normativo del esquema nacional de seguridad, pudieses introducir clausulado de sanción de empresas, para los incumplimientos. Como ocurre con la ley orgánica de protección de datos. Sí que es verdad que el otro día en una conversación, en un foro en el Colegio de la Abogacía de aquí de Madrid, a mí me convenció un argumento de un compañero que estaba allí, donde decía sí, sancionemos, pero ¿por qué no también, en un momento dado, recompensamos el cumplimiento? ¿Cómo podríamos recompensar el cumplimiento? Pues a lo mejor, con una rebaja de impuestos. Pues llegas y dices, pues oye si tú presentas un certificado de cumplimiento, de esquema nacional de seguridad, que te ha costado una inversión, que te ha costado un tiempo, etcétera, etcétera, pues yo creo como país que eso redunda en un beneficio social claro para todo el mundo, yo te voy a recompensar rebajando los impuestos. Creo que es una idea buena y por eso a mí me ha convencido la idea de la recompensa y la recompensa puede venir de muchas formas por parte del Estado al tejido empresarial. S.B.: Volviendo a la parte de tu trabajo dentro del Centro de Análisis y Prospectiva de la Guardia Civil. Sólo hay Cuerpos, sólo hay trabajadores que pertenecen a la Fuerza de Seguridad del Estado, porque tú por ejemplo eres civil, ¿no? E.A.: Nosotros ahora mismo somos una unidad civil, que yo creo que con buen juicio, por parte del Guardia Civil, digamos que la Institución se caracteriza por unos valores y por un modelo de pensamiento muy monolítico, que es muy bueno para muchas cosas, pero también necesita una visión exterior de lo que es la propia Institución. Nosotros conformamos una unidad civil. Yo soy TIC de la Administración, por ejemplo, entonces mis compañeros son también funcionarios civiles. Y, dentro de la unidad personal de Guardia Civil, hemos tenido guardias, hemos tenido oficiales, el Centro ha sido dirigido por Coroneles, incluso por Generales en reserva, en épocas pretéritas. Pero yo creo que es bueno tener esa otra visión, que además nos permite conectar de otra forma con la sociedad civil. Donde nuestra sociedad civil, ve un uniforme, y entran en juego una serie de cuestiones de relación, respeto, etcétera, etcétera, que, además, muchas veces la interacción con un agente de la autoridad no es igual que con alguien que no es agente de la autoridad. Creo que es positivo y creo que la Guardia Civil lo ha normalizado perfectamente, nos trata estupendamente bien e intentamos devolver a la Guardia Civil lo que ellos nos dan. S.B.: Me gustaría que nos hablaras de Casandra. Porque yo sabes que soy muy fan tuya, que me leo todo lo que escribes, muchas veces hablas de Casandra y nos enseñas a Casandra en redes sociales, ¿por qué no nos cuentas, por qué habéis creado Casandra y qué hace Casandra? E.A.: Unos de los mandatos que tiene la Guardia Civil es la de externalizar conocimiento, generar conocimiento entre la sociedad civil, no solamente de lo que hace sino de crear una cultura de seguridad en líneas generales. Dentro de nuestras competencias, una de ellas es la de participar activamente en la creación de esa cultura a la seguridad. Mira, una sociedad es tanto más resiliente, cuanta más cultura de la seguridad tiene. Si nosotros fomentamos esa cultura de la seguridad, esa cultura mediante la cual, la ciudadanía es capaz de visualizar esas amenazas, esos riesgos emergentes, de una forma óptima, es decir, no a través de lo que comentaba antes, me vas a permitir la broma del ataque cuñaidista. Es decir, una opinión no informada sobre los asuntos relacionados con la seguridad. Configuraremos una sociedad mucho más resiliente. Dentro de nuestra estrategia nacional de seguridad se asigna, entre otras Instituciones, a las Fuerzas y Cuerpos de Seguridad, la generación de esa cultura de seguridad. Casandra es un modelo que intenta dirigirse a un público habituado a adquirir todo su conocimiento en un vídeo de un minuto. Intentamos adaptar el canal a las nuevas cohortes de una forma seria. Es decir, no de una forma coloquial. Si no, intentamos transferir conocimientos serios en temas relacionados con la perspectiva, la inteligencia, la seguridad y la ciberseguridad. Pero utilizando un formato, entendemos que agradable, sobre todo para gente que está habituada, pasando por un scroll y como mucho, prestar una atención de un minuto a un concepto. Y eso es lo que intenta Casandra. En un minuto explicar un concepto complejo, sobre todo para generar interés. Si alguien se interesa, ya profundizará en el concepto. S.B.: Muy interesante y adaptándose a los nuevos tiempos, tienes un trabajo muy exigente con muchos desafíos. ¿Qué haces para relajarte? ¿Cuáles son tus hobbies? Qué cosas haces para decir, me voy a dar un break. E.A.: Un conjunto de ejercicio físico. Yo sigo entrenando, tenis a un nivel bastante interesante. He encontrado el modelo podcast que me ayuda en un momento dado a seguir lo que más me gusta, adquirir conocimiento nuevo mientras puedo estar haciendo otras cosas. Y hay una cosa que me estimula, me relaja y me da la vida. Es el pensamiento profundo. Se adquiere leyendo. Es un disfrute en un momento dado poder mantener una conversación como la que estamos manteniendo hoy intercambiando puntos de vista sobre algo que realmente tenga interés social de algún tipo. No me refiero solamente a ciberseguridad ni a seguridad, sino cómo extraes en un momento de conclusiones o cómo extraes conocimiento de cualquier tipo de elemento cultural de los que nos rodean. Y tenemos la suerte los habitantes de este mundo del siglo XXI que tenemos disponible todo el conocimiento, si queremos aprovecharlo. S.B.: Espero que hayas disfrutado mucho con esta entrevista Enrique, hacéis un trabajo extraordinario en la Guardia Civil. Enhorabuena por ese maravilloso trabajo.
25 Noviembre 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
