Rincón del CISO
Meta ha adelantado que no lanzará sus próximos modelos de inteligencia artificial multimodales en la Unión Europea (UE) debido a la "naturaleza impredecible del entorno regulatorio europeo", lo que frenará el uso de estas tecnologías tanto para los usuarios como para las empresas de la UE. La compañía tecnológica planea lanzar próximamente su próximo modelo 'Llama multimodal', que será capaz de procesar e integrar contenido y datos a través de diferentes formatos, como vídeo, audio, imágenes y texto. Sin embargo, ha adelantado que, por el momento, ha decidido no lanzar nuevos modelos de IA en la UE, tampoco 'Llama multimodal', debido a las regulaciones que se están llevando a cabo en esta región en lo relativo al uso de la IA y los datos de los usuarios. Así lo ha compartido la compañía en declaraciones al medio Axios, donde concretamente ha detallado que esta decisión se debe a "la naturaleza impredecible del entorno regulatorio europeo". Esta decisión puede tener varias consecuencias tanto para las empresas como para los usuarios en la UE. Una de ellas es que las compañías europeas no tendrán acceso a esta tecnología de IA multimodal para llevar a cabo sus procesos de trabajo, a pesar de que son modelos que Meta siempre publica bajo una licencia abierta. Siguiendo esta línea, los usuarios y compañías tampoco podrán desarrollar productos propios si estos hacen uso de los nuevos modelos que planea lanzar Meta. Igualmente, la compañía ha apostillado que también podría afectar a otras empresas que operen fuera de la UE y que, por tanto, sí que utilicen los modelos multimodales, ya que puede impedir que estas compañías ofrezcan sus productos y servicios en Europa. A pesar de que el Reglamento de Inteligencia Artificial entrará en vigor el 1 de agosto de este año, Meta enfrenta problemas actualmente con la regulación europea debido a la necesidad de utilizar datos de los usuarios que participan en sus plataformas para continuar entrenando sus modelos de IA. En concreto, la Unión Europea se opone al uso de los datos de los usuarios por parte de empresas como Meta amparándose en las exigencias del Reglamento General de Protección de Datos (RGPD) vigente, que trata de asegurar que los usuarios tengan un mayor control sobre la información personal que manejan sus servicios 'online', así como decidir el tipo de publicidad que reciben. En este marco, la compañía anunció en mayo de este año su intención de utilizar la información compartida en publicaciones de Facebook e Instagram por usuarios públicos para entrenar sus próximos modelos de IA. Sin embargo, más tarde Meta agregó una opción para que, a través de un formulario de objeción, los usuarios pudieran evitar que se utilizasen sus datos publicados en sendas plataformas. Finalmente, el pasado junio, la autoridad de protección de datos de Irlanda, Data Protection Commission (DPC), anunció que Meta había paralizado los planes para entrenar sus modelos de IA con el contenido público compartido por adultos en Facebook e Instagram en la UE. Por su parte, Meta compartió su "decepción" por tener que retrasar la capacitación de sus modelos lingüísticos de gran tamaño (LLM) utilizando contenido público de sus plataformas. "Esto supone un paso atrás para la innovación europea, la competencia en el desarrollo de la IA y más retrasos en la incorporación de los beneficios de la IA a las personas en Europa", sentenció en un comunicado en su blog, al tiempo que detalló que la capacitación en IA no es una tecnología exclusiva de los servicios de Meta y que, además, son "más transparentes" que muchos de sus homólogos en el sector. Cabe destacar que otras tecnológicas también han tomado esta decisión, como es el caso de Apple, que recientemente ha detallado que retrasará la llegada de sus funciones de IA, Apple Intelligence, en la UE, así como las funciones de iPhone Mirroring para Mac y SharePlay Screen Sharing por "incertidumbres regulatorias" relacionadas, en este caso, con la Ley de Mercados Digitales (DMA). No obstante, a pesar de todo ello, Meta también ha indicado al medio citado que planean lanzar una versión más grande de su modelo 'Llama 3', que solo opera con texto. En este caso, esta nueva versión sí estará disponible para clientes y empresas en la UE. Igualmente, la tecnológica también ha confirmado a Axios que sí lanzará sus próximos modelos de IA multimodales en el Reino Unido ya que, aunque también cuentan con una ley similar al RGPD, no disponen del mismo escenario de incertidumbre que en la Unión Europea, ha matizado.
19 Julio 2024
Rincón del CISO
TransPerfect, el mayor proveedor mundial de soluciones lingüísticas y de inteligencia artificial para negocios globales, ha anunciado el lanzamiento de GlobalLink Live, una plataforma de interpretación y accesibilidad impulsada por IA que permite a los usuarios elegir una combinación de interpretación tradicional y traducción de voz a voz mediante IA para interactuar con discursos en vivo. Con GlobalLink Live, las audiencias pueden consumir discursos en vivo, ya sea como parte de un gran evento, reunión de pequeño grupo o encuentro uno a uno, en su idioma preferido, independientemente del idioma de origen. Creada como una solución clave para facilitar un mejor acceso lingüístico en eventos presenciales, híbridos y remotos, GlobalLink Live ofrece múltiples opciones que van desde la interpretación humana tradicional hasta la tecnología de voz por IA. Independientemente de la ubicación, área temática, presupuesto o disponibilidad de intérpretes locales, los organizadores de eventos tienen varias opciones a su disposición para asegurarse de maximizar el compromiso con sus audiencias. GlobalLink Live también puede aportar valor y eficiencia en cualquier lugar donde la comunicación oral se beneficie de capacidades multilingües. Las reuniones y encuentros con asistentes de diferentes orígenes lingüísticos, así como las interacciones en la industria de servicios entre agentes y clientes que hablan diferentes idiomas, pueden ser facilitadas a través de GlobalLink Live. La plataforma de autoservicio puede ser utilizada tanto por oradores presenciales como remotos y es accesible por audiencias que asisten en persona o de manera remota. Los responsables del programa pueden elegir entregar contenido mediante interpretación humana simultánea, subtítulos en vivo o utilizando la tecnología de doblaje de voz a voz impulsada por IA. Los principales beneficios de GlobalLink Live incluyen: Acceso máximo a idiomas, ya sea en eventos/sesiones en vivo, remotos o híbridos. Más de 90 idiomas con disponibilidad bajo demanda 24/7. Capacidad para seleccionar intérpretes expertos en el tema, independientemente de la disponibilidad local. Interfaces web y móviles escalables y fáciles de usar. Experiencia de usuario fluida con fácil integración en la tecnología de gestión de eventos. Elección del nivel de servicio basado en el contenido y el presupuesto. El presidente y Co-CEO de TransPerfect, Phil Shawe, declaró: "Nuestra interpretación por IA es una extensión natural del enfoque de TransPerfect en la innovación tecnológica. GlobalLink Live combina la interpretación y la tecnología de subtitulado en vivo, lo que permite a nuestros clientes aprovechar los beneficios de la IA al máximo”.
19 Julio 2024
Rincón del CISO
El factor humano es, hoy en día, uno de los principales puntos de fallo de las estrategias de ciberseguridad de las empresas españolas y del mundo, en general. De hecho, distintos estudios confirman que entre el 75 y 95% de los incidentes de seguridad se originan por un fallo humano. Este es un dato que pone de relieve que las empresas no están implementando programas de concienciación o, si lo hacen, éste no es del todo eficaz, y eso pese a que destinan partidas presupuestarias a este objetivo. Aunque hay empresas que no invierten nada o realizan acciones poco efectivas, como las presentaciones grabadas, un estudio de PwC indica que las empresas con más de 500 empleados destinan el 9% de su presupuesto de ciberseguridad a concienciar en esta materia. Sin embargo, según Innovery, invertir en concienciación no es lo mismo que concienciar. La multinacional especializada en ciberseguridad considera que el primer paso para la ejecución de un plan de concienciación empieza con el compromiso de la dirección, ya que sin su implicación llegará el rechazo del resto de la plantilla. “Si la directiva no está alineada y no le da la importancia que merece este proceso, este no va a funcionar correctamente y cualquier esfuerzo será en vano. Es necesaria su participación y visibilidad en este cambio cultural de la compañía”, expone César Cidraque, especialista de la compañía para España, Latam y EE.UU. Los expertos de la firma también subrayan que el desconocimiento en esta materia, sumado a que los contenidos no son atractivos para ellos y que no demuestran la realidad del problema, lleva a restar la importancia que merece. “Se emplean mensajes muy simples que no enganchan a los trabajadores, y mucho menos a un directivo. En este punto es fundamental cuidar el mensaje que se transmite y la forma en la que se da. No se puede tratar un problema tan serio de forma tan simple”, asegura Cidraque. Otro de los retos reside en que este tipo de programas no son diseñados por expertos en concienciación, sino por expertos en ciberseguridad. En este sentido, Innovery recomienda que se recurra a plataformas especializadas. Mar Sánchez, Business Development Manager de Cyber Guru, advierte de que “muchas de las cosas que se quieren enseñar mediante un programa de concienciación, el usuario ya las conoce, pero pese a saberlas, no las aplica porque no solo se trata de enseñar, sino de que el trabajador asimile el mensaje, lo haga suyo y, sobre todo, que lo aplique en su día a día”. La implementación de los procesos de concienciación forma parte del cambio cultural en una organización, proceso que hay que poner en marcha con cuidado y en el que hay que implicar a todos los departamentos. “No se trata de priorizar a unos empleados en esta ecuación, sería un proceso tan ineficiente que tan solo protegería a una pequeña parte de la empresa. Cuando se aborda un programa de estas características, es importante tener a la dirección de nuestro lado, pero, al mismo tiempo, fomentar la participación de toda la organización, todo alineado”, continúa César Cidraque. Además, en gran parte de las empresas, más del 50% de los procesos los ejecuta un tercero, por lo que los proveedores también deben poner en marcha medidas de concienciación o también supondrán la puerta de entrada de ciberataques.
18 Julio 2024
Rincón del CISO
La UE ya ha publicado el nuevo Reglamento de Inteligencia Artificial en el Diario Oficial de la Unión Europea y la OTAN ha publicado esta misma semana una nueva estrategia revisada de IA. Este viernes 12 de julio ha salido publicado en el Diario Oficial de la UE (DOUE) el nuevo Reglamento de Inteligencia Artificial (IA) a nivel europeo. Y esta misma semana, la OTAN ha publicado una estrategia revisada de IA. Los dos organismos destacan, en sendos comunicados, la necesidad de dar pasos hacia adelante para regular el uso de esta nueva tecnología, que conlleva una serie de amenazas para la seguridad mundial y nuevos desafíos a los que, tanto la UE como la OTAN, pretenden hacer frente con estas nuevas normativas. En el caso de la Unión Europea, con la publicación del nuevo Reglamento, que no entrará completamente en vigor hasta el 2 de agosto de 2027, se pretende «proporcionar a los desarrolladores e implementadores de IA requisitos y obligaciones claros con respecto a los usos específicos de esta tecnología». Y, en el caso de la OTAN, el texto revisado sobre Inteligencia Artificial tiene como objetivo «acelerar el uso de las tecnologías de IA» dentro de la organización, pero «de forma segura y responsable». Nuevo Reglamento de IA a nivel europeo A partir de su publicación en el DOUE, hay que tener en cuenta que hay apartados específicos de la nueva normativa que entrarán en vigor a los 20 días de su publicación. Otros, serán de aplicación en diferentes fases. Pero el 2 de agosto de 2027, el Reglamento en su totalidad será obligatorio y directamente aplicable en cada estado miembro. En el Reglamento se han definido sistemas de IA identificados como de alto riesgo, que incluyen la tecnología de IA utilizada en infraestructuras críticas, componentes de seguridad de los productos, servicios públicos y privados esenciales, o en la gestión de la migración, el asilo y el control fronterizo. Los sistemas de identificación biométrica, sujetos a requisitos estrictos En esos casos identificados como de alto riesgo, los sistemas de IA estarán sujetos a «obligaciones estrictas antes de que puedan comercializarse». En lo que afecta al sector de las Fuerzas y Cuerpos de Seguridad y empresas que desarrollan sistemas de IA en este ámbito, la ley recoge que «todos los sistemas de identificación biométrica remota se consideran de alto riesgo y están sujetos a requisitos estrictos». Es más, la nueva normativa indica que «el uso de la identificación biométrica remota en espacios de acceso público con fines policiales está, en principio, prohibido», aunque hay excepciones. Es decir, se podrán emplear, por ejemplo, «para buscar a un niño desaparecido, prevenir una amenaza terrorista específica e inminente o detectar, localizar, identificar o enjuiciar a un autor o sospechoso de un delito grave». Estrategia revisada de la OTAN en materia de Inteligencia Artificial La OTAN, por su parte, y coincidiendo con la Cumbre de Washington, ha revisado su Estrategia de Inteligencia Artificial, que databa de octubre de 2021. En ella, se identifican diferentes prioridades, entre ellas las siguientes: Avanzar en la aplicación de los Principios de Uso Responsable de la OTAN. Aumentar la interoperabilidad entre los sistemas de IA en toda la Alianza. La combinación de la IA con otras tecnologías disruptivas emergentes. Y la expansión del ecosistema de IA de la OTAN a través de una cooperación más estrecha con la industria y el mundo académico aliados, el Acelerador de Innovación en Defensa de la OTAN (DIANA), el Fondo de Innovación de la OTAN y socios afines. «Por primera vez -según informan desde la OTAN-, la estrategia también identifica la desinformación facilitada por la IA, las operaciones de información y la violencia de género como cuestiones que preocupan a la Alianza, a nuestras sociedades y a nuestras democracias». Cooperación OTAN-industria También se afirma desde la organización que «la cooperación con la industria, el mundo académico y las organizaciones de investigación aliadas ayudará a la OTAN a identificar e integrar la IA en las capacidades» de los países miembros. Y, además, se pretende esa colaboración público-privada «para promover los intereses estratégicos de la OTAN y los aliados, proteger la propiedad intelectual, mitigar el riesgo de que la tecnología aliada sea explotada por adversarios potenciales y competidores estratégicos, y ayudar a los aliados a salvaguardar el acceso a componentes vitales», concluyen desde la organización.
16 Julio 2024
Rincón del CISO
Idoia Mateo, CISO Europa y del Centro Corporativo del Banco de Santander, entrevista a Xabier Mitxelena, Fundador de CEO CYBERTIX, Presidente de Cybasque, Presidente de AEI Ciberseguridad y Director General de BeDisruptive. Idoia Mateo: Hoy tengo el gusto de presentar a Xabier, con el que llevo coincidiendo en el sector más de 25 años, vasco de pro, trabajador incansable, creador de equipos y referente para muchos de nosotros. Como a él le gusta decir, sigue viviendo en Donosti y trabaja en todas partes… pero sus raíces y referencias siguen siendo las mismas… Honesto, valores, familia, amigos, gastronomía… vamos a tener la oportunidad de conocerle un poco mejor. Xabier, eres emprendedor, fundador y CEO de CYBERTIX, Presidente de Cybasque, Presidente de AEI Ciberseguridad, Director General de BeDisruptive.. mira que yo soy hiperactiva, pero no consigo pillarte, ¿Cómo eres capaz de combinar todos estos roles? Xabier Mitxelena: Bueno Idoia, primero gracias por tu introducción, ya sabes que la experiencia es un grado y la vida profesional supone un aprendizaje continuo. Siempre he sido y seré una persona de personas y, sin duda, asumir diferentes roles en diferentes organizaciones es un reto donde mi objetivo principal es construir equipos donde sean esas personas las que lideren la ejecución de las respectivas estrategias, haciendo suyos los retos a los que nos enfrentamos en cada momento. Además, y esto es parte de mi propia visión sobre cómo se debe construir y transformar el sector de la ciberseguridad de cara al futuro, siempre trabajo en aras de que se generen sinergias entre equipos y organizaciones. Cybertix es un proyecto empresarial muy personal donde talento, innovación y experiencia tienen como objetivo crear escenarios donde la mejora del conocimiento a través de expertos/as, junto al desarrollo de sistemas automatizados basados en inteligencia artificial, sean la base de los modelos de seguridad de las Pymes en su nuevo escenario digital. BeDisruptive es una nueva experiencia en el camino, una entidad donde, ayudando al CEO, mi labor esencial está centrada en desarrollar equipos y propuestas creativas que pongan en valor en primera línea una estrategia global diferencial. Tengo la suerte de haber incorporado equipos expertos que complementan una estructura donde se respira la ciberseguridad en todo momento. Cybasque es el clúster privado de empresas de ciberseguridad del País Vasco, cuyo origen viene a cubrir un entorno de colaboración público-privada dentro de la comunidad, alineando nuestra estrategia de ciberseguridad con los sectores clave en el desarrollo económico de la región, cuyo futuro digital requiere de un modelo de confianza. En este caso, dentro del RIS3 europeo, la fabricación inteligente, energía, salud y alimentación son las industrias esenciales donde se quiere y se debe invertir. Habiendo sido pioneros en la iniciativa Retech de Ciberseguridad junto al BCSC (centro Vasco de Ciberseguridad), así como con INCIBE y la AEI Ciberseguridad, haber asumido la presidencia de esta última tiene como objetivo que la palabra colaboración sea un hecho diferencial de cara a Europa y que nuestro sector sea competitivo a nivel global, haciendo del lema “juntos somos más fuertes” el camino hacia el liderazgo. Te puedo asegurar que en ambos clústeres hay mucha gente que dedica su tiempo libre a construir este ADN que nos debería situar como el país referente en el desarrollo de ecosistemas digitales seguros. I.M.: ¿Y cuál es el enfoque estratégico para liderar iniciativas de ciberseguridad en estas organizaciones? X.M.: Sin duda pensar en el futuro, reflexionar y aprender de los errores del pasado, y ser consciente de las limitaciones que tenemos como personas. Después de 25 años en este sector, y alguno más en el ámbito de la calidad y de Internet, una de las claves para liderar proyectos de esta naturaleza se basa en saber escuchar, saber debatir y tomar decisiones. Necesitamos que los valores fundamentales que deben regir este sector, la humildad, la generosidad, ese ADN colaborativo que nos debe permitir ser resilientes, esté acompañado de buenas dosis de ilusión y ambición positiva. Esa experiencia de muchos años donde predominan las situaciones positivas frente a los fracasos que te van curtiendo personal y profesionalmente, y una idea clara de asumir de forma permanente que el mejor liderazgo es el que se rodea del mejor equipo, entre otras cosas porque te permite seguir aprendiendo, ayudan a que el trabajo en equipo redunde en proyectos cuyo espíritu sea el ejemplo a seguir. Hay demasiadas iniciativas en este momento cuya convergencia nos ayudaría a ser mucho más eficientes, a tener resultados de mayor envergadura y, en definitiva, a consolidar recursos en un mercado global donde deberíamos entrar con mucha más fuerza y energía. En dos palabras, podríamos resumir que la base está en “crear cultura” de empresa para sentir que todos y cada uno de nosotros somos importantes dentro del sector. I.M.: Uno de los skills más importantes en CYBER es probablemente la Gestión de Crisis, y la toma de decisiones durante la misma. En tu larga trayectoria seguro que has vivido varias ¿Puedes describirnos alguna de ellas que consideres relevante y cómo se manejó la situación? X.M.: Realmente me ha tocado vivir muchas y de diferente naturaleza, pero creo que puedo referirme a un par de ellas por su diferente origen y resolución. Me acuerdo, en las primeras etapas de S21sec, una situación grave para una empresa donde sus equipos de sistemas les exigían una serie de condiciones de forma urgente bajo la amenaza de paralizar la compañía. Éramos una start-up con un equipo muy joven, con un talento técnico descomunal, y fueron ellos los que propusieron un plan de acción que para mí sonaba a ciencia-ficción. El objetivo era actuar a partir del viernes por la tarde hasta el domingo con el objetivo de intentar tomar el control de todos los sistemas y evitar que la dirección siguiera amenazada con una caída de sus infraestructuras TIC, que en su negocio hubiera sido crítica. Creamos un equipo de comunicación interna junto al cliente mientras nuestros expertos se pusieron manos a la obra. Hicimos un plan de seguimiento diario con diferentes puntos de control con el cliente y, afortunadamente, pudimos asumir el control de toda la infraestructura a tiempo y ayudar a una transición con nuevos equipos que dieran soporte al negocio de la entidad. En épocas posteriores, recuerdo varios procesos de M&A donde la compañía a adquirir estaba siendo atacada y/o su información crítica podía estar en riesgo de ser exfiltrada. En uno de los casos, detectamos que “el enemigo” estaba en casa y en concordancia con el cliente liderado por su dirección, pusimos en marcha un plan de comunicación y gestión de crisis, empezando por analizar las infraestructuras y evaluar la situación a la que nos enfrentábamos. Desafortunadamente los atacantes llevaban meses en los sistemas y a priori podían haber obtenido información crítica de la IP y los proyectos de la empresa. Lo curioso, ahora que se habla de los ataques persistentes, es que conseguimos sacarles de las redes internas con bastante esfuerzo, pero siguieron intentando volver a la infraestructura utilizando diferentes técnicas y tácticas que nos hicieron ver que la actividad de los ciberdelincuentes había crecido y evolucionado mucho en los últimos años. Un tema importante en este caso era que la empresa ya tenía una cultura de seguridad la cual ayudó a que el proceso de Gestión de Crisis, así como las diferentes etapas y decisiones que tuvimos que aplicar, estuvieran en línea con muchas de las prácticas y regulaciones que hoy nos orientan a la hora de actuar. Hoy nos enfrentamos casi a diario a este tipo de situaciones y trabajamos de forma intensa en crear los procesos y las metodologías que con un entrenamiento adecuado mitiguen cualquier intento exitoso de los ciberdelincuentes. I.M.: Otra de las tendencias tecnológicas que tiene gran impacto en Cyber por distintas razones es la Inteligencia Artificial ¿Cómo ves la evolución de la inteligencia artificial en el campo de la ciberseguridad? En positivo y en negativo. X.M.: Como todas las tecnologías que habilitan la mejora de procesos y resultados, debemos ser conscientes que se utilizan por parte de todos los actores que hoy formamos parte de la economía y la vida digital. Si bien la IA no es nueva y sus orígenes datan de los años 50 del siglo pasado, está claro que hoy supone la mayor revolución a la que nos podemos enfrentar en nuestros modelos laborales y de vida. En estos años hemos aprendido que la evolución del mercado de la ciber(in)seguridad, donde la complejidad y capacidades de los atacantes está fuera de toda duda, los modelos de automatización y compartición del conocimiento son el único camino para mitigar los riesgos que nos acechan y evitar el éxito de los ciberataques. Personalmente, siempre he creído en los modelos 24x7, donde la inteligencia debe ser el factor clave de la prevención y detección de problemas. Machine Learning, Playbooks, Sistemas Expertos... toda la ontología y la tecnología se ha movido en ese sentido para evitar la permanente dependencia de expertos cuyo número es escaso para las necesidades actuales. La IA, apoyada en los grandes actores tecnológicos ha venido para quedarse y, sin duda, es la herramienta clave (de momento) para enfrentarnos a la ciberdelincuencia en todas sus manifestaciones. Por ejemplo, en Cybertix trabajamos con herramientas “all in one” cuya base esencial es la aplicación de la IA como elemento de mejora continua. BeDisruptive tiene una línea de actuación donde la automatización es una de las claves de su modelo estratégico. Y, a nivel de Marketing, el 95% de las tecnologías que implementamos en Ciberseguridad dicen que utilizan la IA para mejorar la protección y la detección en sus clientes. Al mismo tiempo, “el lado del mal” utiliza la IA para mejorar sus resultados y llegar más lejos en sus éxitos y logros. Diría que es una tecnología de doble uso que está al alcance de todos y que nos vuelve a obligar a pensar en cómo estar un paso por delante del enemigo. Podemos afirmar que nos enfrentamos a una tecnología única que no sólo está cambiando la sociedad y el comportamiento humano, sino que nos va a generar caminos futuros que ahora mismo no están en nuestra hoja de ruta. Por eso, y como reflexión añadida final, es importante que el gran potencial de la IA no termine por deshumanizarnos del todo. Tenemos que humanizar la IA y balancear nuestro cerebro, nuestra forma de pensar y aportar valor con aquellos límites que su aplicación no debería pasar, tanto en temas éticos como de sesgos interesados. Necesitamos una regulación que certifique los algoritmos que cada IA lleva en su ADN y un compromiso ético que haga frente al creciente escenario de noticias falsas, desinformación y bulos que complementan la estrategia de los ciberdelincuentes y los estrategas geopolíticos que buscan desestabilizar el mundo. Si algo debemos entender respecto a la IA y su evolución es que puede ser la mejor herramienta para construir un mundo mejor y, a la vez, el peor de los mundos. El factor humano determinará cómo se inclina la balanza. I.M.: Tú y yo que llevamos años trabajando en CYBER una de las cosas que hemos hablado en alguna ocasión es que el entorno de amenazas no deja de crecer, que tenemos trabajo para muchos años… ¿Qué medidas esenciales crees que deben adoptar las organizaciones para prepararse mejor ante las amenazas cibernéticas emergentes? Elige las 3 que consideres más relevantes entre todo lo que tenemos que hacer… X.M.: Tienes razón Idoia, tenemos trabajo para muchos años y necesitamos entender que la ciberseguridad es y será un elemento fundamental para la competitividad y continuidad de nuestras organizaciones. Siendo conscientes de las iniciativas regulatorias que guían y aceleran muchas de las medidas a implantar y/o mejorar en las empresas, me gustaría resaltar: Desarrollo e implementación de programas formativos y de concienciación, que consoliden una cultura de ciberseguridad integral, desde los consejos de administración hasta los diferentes departamentos que dan soporte a nuestras entidades, y que mejoren de forma permanente las capacidades y conocimientos de los y las profesionales en la materia. Programas de reskilling y upskilling serán importantes tanto en la oferta como en la demanda dentro del sector, y la colaboración interna y externa, además de ser necesaria, exige un lenguaje común. Desarrollar una estrategia de ciberseguridad plurianual alineada con la estrategia de negocio, tanto a nivel de procedimientos y procesos, como en el diseño y desarrollo de productos y servicios. “Security by Design” es la clave para que nuestra oferta sea segura y nuestra cadena de suministro esté en las mejores condiciones para ser resiliente. No olvidemos que la nueva regulación europea (Cyber Resilience Act) exigirá que nuestra oferta esté certificada en diferentes niveles de ciberseguridad y no será una opción, sino un requisito para poder competir en nuestros mercados. Transformar los modelos operativos de ciberseguridad, simplificando las plataformas tecnológicas y utilizando las tecnologías aceleradoras y habilitadoras que den soporte a una toma de decisiones efectiva en colaboración con empresas y expertos certificados. Necesitamos que la automatización sea nuestra mejor herramienta para garantizar nuestro ”compliance” y hacer de la prevención nuestra mejor defensa frente al crecimiento exponencial de la ciberdelincuencia. IA, Quantum... toda esta revolución tecnológica debe ser aplicada con criterios de mejora y anticipación a través de estrategias de innovación inteligentes. I.M.: Y ahora conozcamos a Xabier un poco fuera del ámbito profesional, ¿cuáles son sus hobbies o pasatiempos favoritos? ¿Yo creo que comparto alguno contigo, verdad? X.M.: Sinceramente tengo muchos y priorizo aquellos que el tiempo libre me permite. Dedicar espacios a mi familia con nuestras aficiones comunes es y ha sido mi prioridad principal durante estos años. Ir al monte, descubrir la naturaleza que nos rodea y conectar con nuestros sentidos fuera de la tecnología es mi mejor terapia para recuperar sensaciones y cargar pilas. Viajar, conocer lugares singulares y las diferentes culturas que están a nuestro alcance es otra de mis pasiones. Y hablando de sentidos, espacios que hemos compartido tú y yo con otras personas de este sector: la gastronomía en sus diferentes e interesantes ofertas. Me gusta cocinar y ser un buen comensal descubriendo las novedades en una oferta cada vez más extensa, me encanta relajarme con amigos entendiendo y probando de forma puntual esa oferta de vinos que nos sigue sorprendiendo día a día. Visitar bodegas y entender un modelo de vida donde el resultado, eso sí, consumido con moderación, te lleva a activar tus sentidos y elevar el nivel de desconexión de los problemas diarios. Y no me olvido del fútbol, un deporte que he practicado en mi juventud (con poco éxito) y que tiene en mi equipo txuri urdin del alma, la Real Sociedad, un exponente de que se puede ser apasionado respetando a los contrarios. Ya ves Idoia, me encanta todo aquello que despierta pasión y te hace sentir vivo. I.M.: ¿Hay algún libro, película o serie que haya influido en su perspectiva sobre la ciberseguridad? ¿Y sobre la vida? X.M.: Seguro que hay muchos clásicos que me han hecho reflexionar sobre ambos aspectos, pero en el ámbito de la ciberseguridad en toda su dimensión la mejor película que he visto es la de mis propias vivencias y experiencias. Soy un apasionado de la filosofía y además de ser el remate de una trilogía sobre el ser humano, después de Sapiens y Homo Deus, “21 lecciones para el Siglo XXI” de Yuval Noah Harari es uno de los libros que mejor expresa los riesgos a los que la tecnología y la deshumanización nos está llevando. A nivel geopolítico hay mucha literatura moderna que nos hace reflexionar sobre “quién gobierna el mundo”. Hay un libro de Noam Chomsky con ese mismo título que puede ser uno de los ejemplos de cómo los bloques están lejos de la sociedad y del humanismo que nos debería diferenciar. Sobre la vida, leer libros como “El Principito” de Antoine de Saint-Exupéry, 1984 de George Orwell que nos acerca a una distopía hacia la que a veces parecemos encaminados “gracias” a la tecnología, o “El Alquimista” de Paulo Coelho, pueden ser algunos de los textos que te hacen pensar y reflexionar sobre uno mismo. I.M.: ¿Cómo equilibras tu intensa vida profesional, todo el día viajando y sin parar, con tus intereses personales y tiempo libre y familia? X.M.: Como antes te he comentado, aprovechando el tiempo libre para priorizar la familia y algunos de los hobbies que puedo compartir con ellos y con amigos. Mi mujer es sin duda mi mejor soporte en toda esta vorágine y mis hijos han ido creciendo con una interacción diaria donde la tecnología nos ha ayudado a estar comunicados todos los días. Tantos años haciendo kilómetros y volando entre países y aeropuertos, me han ayudado a entender que cada minuto de nuestra vida es un tesoro, y he aprendido a combinar trabajo, ocio y descanso de forma óptima. Según voy cambiando de década, de versión de mi propio “hardware y software”, tengo la sensación de que disfruto de todo lo que hago e intento que los demás también lo hagan sin perder un ápice nuestro propósito y responsabilidad en cada actividad personal y profesional. I.M.: ¿Y cómo desconectas? ¿Existe algún deporte o actividad que practiques para desconectar del estrés del trabajo? Ya sabes que yo no soy de deporte… más de vinos… también vale. X.M.: Jajaja, tal vez ese deporte practicado con moderación y de forma esporádica no sea tan malo¡!! Estar activo es muy importante, sin duda. He ido pasando de hacer deporte (fútbol, squash, pádel…) a hacer ejercicio (andar, perderme por el monte y por senderos que “hablan” por sí solos). Es más, en cada ciudad en la que trabajo, busco momentos donde evitar otro transporte que no sea ir andando de una reunión a otra. Me encanta también nadar, aunque en este caso los viajes me ayudan menos a encontrar espacios. Tengo la suerte de vivir en Donosti y desde mis épocas de estudiante el mar ha sido mi mejor “compañero” de reflexión y relax. Andar descalzo por la playa con buen tiempo o con el sirimiri que últimamente nos acompaña como antaño, es una terapia que recomiendo a todo el mundo. Meditar es otra de mis formas de mejorar continuamente y de buscar esa paz interior que nos permite escuchar a los demás e intentar ayudar en los caos necesarios. I.M.: Veamos el futuro… decimos que faltarán miles de profesionales en tecnologías en general y en CYBER en particular hay trabajo, es dinámico y diverso, se aprende (por eso seguimos aquí, ¿no?) y no se paga mal ¿Qué consejo le darías a alguien que está comenzando una carrera en ciberseguridad o que quiere hacer un reskilling para hacerlo? X.M.: Que no deje de preguntar, de aprender, de explorar su curiosidad para entender mejor cómo la Cyber puede ser su ámbito de desarrollo y crecimiento profesional. Hoy tenemos múltiples salidas profesionales en el entorno de la ciberseguridad, no sólo a nivel tecnológico, sino a nivel legal, reputacional y, sobre todo, de negocio. A nivel técnico la evolución del cibercrimen nos debe obligar a ir más allá de la formación, debemos explorar entornos de entrenamiento que mejoren las capacidades y prestaciones que podemos aportar dentro de nuestros equipos. Y a nivel de cualquier profesión, aprender a utilizar correctamente la tecnología y evitar riesgos innecesarios, junto con la necesidad de comprender y entender qué medidas de seguridad debemos aplicar en cada puesto de trabajo independientemente de su naturaleza, será una de las claves para evitar que la falta de profesionales nos lleve a una “derrota” en esta guerra digital donde distinguir entre amigos y enemigos es cada vez más difícil. I.M.: Los que llevamos muchos años de carrera hemos visto mucho evolucionar la profesión – la tecnología, los CISOs, el nivel de exposición... ¿Cómo ves tú la evolución de la industria de la ciberseguridad? ¿Qué consideras que es lo más significativo? X.M.: A primera vista, podemos decir que han proliferado local y globalmente infinidad de compañías tecnológicas que vienen a cubrir, en general, riesgos en áreas específicas, que forman parte de nuestras infraestructuras tecnológicas y de negocio. Hay claramente una tendencia hacia la integración y simplificación de las plataformas, con foco en establecer ecosistemas de confianza en el ámbito del nuevo escenario del cloud. A nivel de los profesionales, se ha producido un gran cambio respecto a la ubicación del talento y la experiencia. Si hasta hace una década más del 80% se encontraba en la oferta, hoy podemos decir que la pirámide se ha invertido y es la demanda la que cuenta con la experiencia y el conocimiento de ese porcentaje. La realidad nos lleva a que se ha pasado de una venta consultiva a una venta tecnológica, donde los tiempos y la presión de los fabricantes genera una disfunción a la hora de establecer procesos de transformación. Ya recientemente podemos afirmar que este gap de know how y desequilibrio oferta-demanda está dando lugar a proyectos innovadores, donde la aplicación de la IA viene a cubrir una parte importante del mismo. Como colofón, la presión regulatoria y la permeabilidad de la ciberseguridad desde la alta dirección está cambiando y resaltando la labor de la función del CISO a niveles estratégicos, con foco en dar valor y soporte al negocio. I.M.: Los CISOS cada vez tenemos más exposición a alta dirección ¿Qué habilidades consideras esenciales para un líder en ciberseguridad hoy en día? X.M.: Evitar priorizar la tecnología, traducir la ciberseguridad a conceptos de negocio, apostar por la simplificación y la transformación frente al continuismo, establecer nexos con los consejos de administración ayudándoles a entender su responsabilidad y a valorar los aspectos diferenciales de hacer de esta práctica un elemento diferencial y único para competir al máximo nivel. Un/a CISO debe ser alguien que, conociendo muy bien el negocio de su empresa, aporte líneas estratégicas que mejoren la productividad y los resultados de la entidad, manteniendo sus capacidades a nivel continuidad de negocio. Y, sobre todo, el/la CISO debe confiar en empresas y profesionales cuyas certificaciones y experiencia sean una garantía de ejecución de las mejores prácticas. Si algo me gustaría pediros, es que insistáis en vuestras organizaciones en evitar subastas y valorar en su justa medida el conocimiento y resultados que las empresas del sector aportan. Necesitamos un sector solvente y rentable que garantice el mejor de los soportes para vuestras empresas. I.M.: Y para acabar, una anécdota. Por favor comparte con nosotros alguna anécdota o experiencia memorable que haya marcado un antes y un después en tu carrera. Una positiva y una negativa, si existe. X.M.: Me alegra que me hagas esta pregunta y, en verdad, he tenido muchas experiencias que me han hecho reflexionar y mejorar en mi desempeño. Por simplificar y ser absolutamente positivo, creo que este sector debe mejorar su discurso y traducir la realidad a un lenguaje entendible a todos los niveles. Hace muchos años, cuando todavía no tenía en mis genes la ciberseguridad como en la actualidad, al implantar nuestros sistemas de gestión en empresas de tamaño medio y pequeño recomendábamos hacer una copia de seguridad diaria, una semanal y una adicional cada mes. Recuerdo que en una visita a un cliente (de esos formales que cumplen con todos los procedimientos), al preguntar por el cumplimiento de esa política, la responsable de administración me dijo que hacían las copias de forma recurrente y que guardaban la información en disquetes 5 ¼” que taladraban precisamente para almacenarlos en una carpeta de anillas. Ese día comprendí que la seguridad de la información requería de educar de forma precisa a los clientes, dejando de obviar aspectos que, como en este caso, inutilizaban la información, aunque hicieran pensar a los clientes que estaban en buenas manos cumpliendo los procesos definidos. Algo tan simple, me hizo cambiar una parte de mi actitud y acercar la seguridad del back up a los clientes, explicando no sólo lo que debían hacer, sino algunos riesgos que debían evitar para no estropear el trabajo bien hecho. Hoy podría hablar de algunas de las charlas que hace años empecé a tener con consejos de administración y directivos, donde las preguntas en muchas ocasiones estaban más orientadas a evitar cambios de comportamiento individual que a hacer un esfuerzo por liderar y mejorar el modelo, con argumentos que ignoraban los riesgos reales a los que se debían enfrentar frente a considerar el impacto que pudiera generar su escepticismo. Hoy me enfrento a consejeros y consejeras mucho más concienciados que están haciendo de la ciberseguridad un activo de sus organizaciones. Como ves, ambas experiencias tienen componentes positivos y negativos, al mismo tiempo que personalmente me han ayudado a seguir creciendo personal y profesionalmente. Educar, en casa y en el trabajo, seguirá siendo una parte de mi “leitmotiv”. Reportaje fotográfico realizado en las Torres de Cristal, oficina de BeDisruptive.
15 Julio 2024
Rincón del CISO
Como ciudadano y profesional en el ámbito de la ciberseguridad y peritaje informático, me siento obligado a expresar mi preocupación por la atención que muchas víctimas reciben por parte de la policía y la justicia en España. No busco ofender a nadie con esta crítica, pero alguien tiene que decirlo, y he pensado que mi experiencia puede servir para hacer autocrítica y mejorar todos. A menudo, las víctimas de violencia de género, estafas amorosas, fraudes con criptomonedas o robos en propiedades se encuentran con respuestas desalentadoras como "no se puede hacer nada" o "no puede denunciar". Aunque conozco a excelentes policías, guardias civiles y funcionarios judiciales, también hay muchos que no están a la altura. No sé si es por la falta de recursos, de conocimiento, de vocación o de tiempo, pero la realidad es que muchas víctimas están siendo doblemente victimizadas y abandonadas en un sistema que debería protegerlas. En mi empresa, QuantiKa14, tenemos un equipo compuesto por con ex policías, ex guardias civiles y ex agentes de inteligencia, y respetamos profundamente las instituciones. Sin embargo, es fundamental que estas mejoren su atención a las víctimas de forma urgente. Si no lo hacen, serán las empresas privadas, como la nuestra, las que darán esos servicios dejando que muchas personas no puedan tener justicia al no poder costear los gastos del servicio. Permítanme ilustrar esto con algunos casos que he presenciado personalmente: Robo en varias casas: la Policía Local en España juega un papel fundamental en la prevención de delitos y en la promoción de la seguridad ciudadana. Gracias a su proximidad con la comunidad local, las Policías Locales pueden implementar estrategias de prevención del delito a nivel local, realizar patrullajes preventivos, participar en programas de prevención y concienciación, y colaborar con otros organismos y entidades para promover un entorno seguro. Creo que es un error que se les diga que no pueden hacer nada y trasladar rápidamente a la Guardia Civil. En mi humilde opinión, lo ideal es dar cobertura a los otros cuerpos, realizar estudios y apoyar en las indagaciones, porque quienes conocen mejor a los vecinos son ellos. Estafa en criptomonedas: Un hombre nos contrató para identificar a los autores de una estafa en criptomonedas y asesorarle en su denuncia. Al llegar a la comisaría, fue sometido a un interrogatorio tan desagradable que terminó llorando, dificultando su capacidad para recordar los detalles. Además, mi cliente estaba en busca y captura por otro asunto y nadie en la comisaría lo comprobó, lo que cuestiona la eficacia de nuestro sistema de seguridad. Existe un BOOM de este tipo de estafas y es fundamental exponer a las víctimas que sí es posible encontrar a los autores y trabajar entre todos para poner mecanismos internacionales y presionar a los bancos para que mejoren o apliquen las medidas correctamente. Agresión sexual a menores: En otro caso, trabajamos para localizar a una persona en busca y captura por supuesta agresión sexual a tres menores. Tras encontrarlo, se le impuso una fianza de solo 3000 euros, y efectivamente, se comprobó que el ADN del semen encontrado en una de las menores era suyo. La falta de prioridad en la investigación, agravada por una huelga, fue frustrante y alarmante. Suicidios sospechosos: En España, las muertes se califican como suicidios con demasiada rapidez. Me pregunto si somos el país con más suicidios o simplemente el que menos investiga, dejando a muchos asesinos en la calle. ¿No te lo habías preguntado? Aplicaciones espía y estafas amorosas: Una joven sospechaba que tenía una aplicación espía en su móvil. Al acudir a la policía, no solo la trataron como loca, sino que le dijeron que no podían hacer nada. Además, en numerosos casos de estafas amorosas, las víctimas son desestimadas con la excusa de que los estafadores son extranjeros y no se puede hacer nada al respecto. Como he vivido diariamente en QuantiKa14, puedo asegurar que si no cambia la situación, pronto las empresas privadas ocuparán el terreno de la ayuda a las víctimas, dañando gravemente nuestro sistema democrático y de bienestar. Es imperativo que nuestras instituciones empiecen a mejorar su atención a las víctimas para evitar un deterioro aún mayor de la confianza pública y la justicia en nuestro país. Es una pena que la imagen y reputación de estas instituciones se den dañadas por personas que están quemadas laboralmente o carecen de vocación. Aunque eso es otro tema. Lo único que quiero con este artículo es manifestar mi preocupación y proporcionar todo mi apoyo en lo que esté en mis manos a las víctimas y fuerzas y cuerpos de seguridad. Nosotros debemos estar como expertos para profundizar y mejorar el alcance en diferentes aspectos técnicos en las investigaciones, pero nos están obligando a dar servicios a víctimas que desde el principio se les niega la justicia. Si nada cambia, empezaremos a ver más carteles de “Wanted” en las ciudades y personas que se harán llamar “caza recompensas”. Ya lo estamos viendo en desocupas, patrulleros de carteristas, etc. ¿No lo crees? Jorge Coronado, CEO de QuantiKa14 Foto realizada por Raul Doblado
15 Julio 2024
Rincón del CISO
Sonia Pulgarín, Directora de CyberLideria MGZN, entrevista a Osmar Polo, CEO and Chairman of the Board of T-Systems Iberia. Sonia Pulgarín: ¿Cuál es tu visión sobre el impacto de la inteligencia artificial en el mundo empresarial en los próximos cinco años? Osmar Polo: La inteligencia artificial ha demostrado, en muy poco tiempo, que puede ser un catalizador para que las empresas prosperen y una adopción planeada y eficiente de esta tecnología significará una ventaja competitiva determinante. De hecho, según datos de PwC la IA contribuirá al PIB de los países del sur de Europa hasta en un 11% para 2030, el tercer mayor impacto a nivel mundial, solo detrás de China y Estados Unidos. De cumplirse esta proyección, la visión debe ser clara: las inversiones hechas ahora formarán las capacidades de los negocios en los próximos años. Además, en el corto y medio plazo veremos un progreso multidisciplinar y acelerado de la inteligencia artificial, con avances en la aplicación de esta tecnología en la robótica avanzada o en procesamiento de datos sanitarios para recomendar tratamientos; también continuarán las mejoras del procesamiento de lenguaje natural, que han democratizado de manera tan eficiente esta innovación. Sin embargo, estos avances no se pueden entender sin un uso de la IA ético. Es crucial adoptar una IA justa para todos e invertir en tecnologías responsables y transparentes que conduzcan a innovaciones más sostenibles y respetuosas con el medio ambiente. En este punto el desarrollo de nueva legislación será clave y, desde luego, la nueva Ley de IA ya es un paso importante hacia un futuro tecnológico más seguro y ético. S.P.: ¿Podrías compartir con nosotros algún ejemplo concreto de cómo T-Systems está utilizando la inteligencia artificial para mejorar sus servicios? O.P.: Como pioneros y aliados en la transformación digital de las empresas, desde T-Systems entendemos la masificación y adopción de las herramientas basadas en IA como un punto de inflexión para crecer con propósito y el panorama es impresionante. Siguiendo nuestro foco vertical, estamos desarrollando POCs para diferentes industrias con el objetivo de entender cómo aplicar la IA a industrias y usos concretos. Dentro del sector salud, hemos desarrollado soluciones en los que aplicamos IA en la mejora de la atención al paciente crítico. Para ello, centralizamos procesos algorítmicos en un entorno común y controlado, optimizando recursos, centralizando soluciones y garantizando la integridad y seguridad de los datos. Nuestro sistema impulsado por IA proporciona información en tiempo real y basada en datos a los profesionales de la salud, lo que les permite identificar tempranamente posibles complicaciones y tomar decisiones informadas y efectivas. Al optimizar la asignación de recursos y los flujos de trabajo clínicos, el sistema de IA mejora la eficiencia operativa dentro de las UCI, lo que permite ahorrar costes y agilizar los flujos de trabajo. Asimismo, estamos diseñando proyectos para acompañar a nuestros clientes en su camino hacia la próxima era de la informática, una era apoyada y replanteada por las capacidades de GenAI. En este sentido, gracias a nuestros partners, podemos evaluar, explorar y analizar los datos desde una perspectiva completamente nueva utilizando la tecnología de vanguardia. T-Systems proporciona la configuración de extremo a extremo para los servicios de inteligencia artificial y aprendizaje automático con una interfaz fácil de usar a través de la cual se pueden cargar los propios datos de los clientes. También estamos desarrollando servicios en el ámbito público, con el objetivo de mejorar los tiempos de validaciones del proceso de Control Económico de algunas instituciones públicas, aplicando IA en la Plataforma TAO de T-Systems. S.P.: ¿Qué tendencias en innovación tecnológica crees que serán las más disruptivas en el corto y medio plazo? O.P.: Todos hemos visto cómo la IA Generativa ha revolucionado la forma que teníamos de entender el acceso a la inteligencia artificial. En el corto y medio plazo veremos mejoras en la comprensión y generación de lenguaje natural, incluyendo la capacidad de comprender contextos más complejos y realizar tareas con mayor precisión. Asimismo, la IA en la automatización y robótica inteligente va a ser notable. En especial, veremos cómo los robots autónomos y drones cada vez tienen más peso en logística, o en industrias como la manufacturera, automoción o agricultura y cómo la adopción generalizada de estas tecnologías promete transformar múltiples industrias, mejorando la eficiencia, reduciendo costes y abriendo nuevas oportunidades de innovación. En términos de ciberseguridad también veremos grandes avances, sobre todo en detección de amenazas y autenticación y control de acceso. En este sentido, la IA avanzada se focalizará en identificar y responder a ciberamenazas en tiempo real y acabará formando parte de sistemas de seguridad para mejorar la autenticación de usuarios y la protección de datos sensibles. Más a largo plazo, un elemento que acabará llegando y que será igual o más disruptivo que las tecnologías anteriores será la quántica, que supondrá un nuevo cambio de paradigma. S.P.: ¿Qué estrategias utiliza T-Systems para proteger a sus clientes contra las amenazas cibernéticas más avanzadas? O.P.: En T-Systems contamos con Centros de Operaciones de Ciberseguridad (SOC), desde los que se prestan servicios de ciberseguridad avanzada a empresas y a la Administración Pública española. Los SOC funcionan con grandes profesionales, que suelen repartirse entre profesionales técnicos (desarrolladores, analistas, etc.) y otros gestores de menor rango, pero igualmente importantes, que se mantienen plenamente actualizados para garantizar la seguridad de los datos de cualquier cliente al que sirven. En 2022, nos convertimos en miembro Gold de la Red Nacional de Centros de Operaciones de Ciberseguridad del CCN-CERT, lo que nos permite reforzar nuestras capacidades de threat intelligence al añadir nuevas fuentes de compartición de amenazas. Además, como filial de Deutsche Telekom, tenemos todos nuestros SOC integrados en una red propia cuyo núcleo central es el Cyber Defense Center & CERT de Bonn, uno de los más grandes de Europa. A través de esta red, los miembros comparten inteligencia sobre amenazas, indicadores de compromiso IOCs, técnicas y tácticas de ataque TTPs para que los miembros puedan anticiparse y protegerse ante amenazas emergentes. S.P.: ¿Cuáles son las mejores prácticas que recomiendas a las empresas para mejorar su postura en seguridad? O.P.: Sin duda alguna, las evaluaciones y auditorías de seguridad periódicas son más que necesarias para fortalecer la ciberseguridad. Realizar evaluaciones de riesgos periódicas para identificar y priorizar vulnerabilidades, así como contratar a terceros para realizar auditorías de seguridad independientes son clave para obtener una perspectiva externa sobre la postura de seguridad de la empresa. De igual manera, invertir en tecnología de última generación para monitorizar continuamente el tráfico de red e identificar y bloquear actividades sospechosas en tiempo real. Al analizar patrones de comportamiento, los IDS/IPS pueden detectar amenazas que las soluciones de seguridad tradicionales podrían pasar por alto, proporcionando una capa adicional de protección contra ataques sofisticados. Sin embargo, la tecnología tiene que ir acompañada de la implementación de políticas internas claras que abarquen aspectos como el uso de contraseñas, acceso a datos y dispositivos móviles, así como y procedimientos de seguridad que faciliten la detección, respuesta y recuperación de cualquier incidente que pueda surgir. S.P.: En tiempos de crisis, ¿cuáles son las estrategias clave que utilizáis para mantener la operatividad y moral del equipo? O.P.: En tiempos de crisis, las empresas tecnológicas nos solemos enfrentar a desafíos únicos para mantener la operatividad y la moral de nuestros equipos. En estas situaciones, la principal preocupación de T-Systems siempre se centra en garantizar la seguridad y la salud de nuestros empleados, partners y clientes; así como asegurar la continuidad del negocio de nuestros clientes y de las infraestructuras críticas que gestionamos. Por este motivo, pensamos que las estrategias deben estar orientadas a cómo desde la organización podemos construir un modelo de negocio flexible y sostenible, que garantice a los empleados que pueden desarrollar su trabajo en cualquier circunstancia y lugar, con las herramientas necesarias y con la seguridad requerida. Se trata de construir desde la empresa hacia el futuro, en lugar de tratar de adivinar el futuro, para adaptar nuestra empresa a lo que pueda venir. Esto se refleja en nuestros valores y nuestra actitud, que nos hacen únicos. Nuestro T-Mindset centra nuestros esfuerzos en el cliente y en la innovación continua, un tándem que forma parte de nuestro ADN. Siempre trabajamos de forma ágil y colaborativa, buscando mejoras, y no nos damos nunca por satisfechos. S.P.: ¿Podrías compartir una experiencia en la que tuviste que gestionar una crisis importante y cómo lo lograste? O.P.: Un buen ejemplo es la gestión que hicimos durante la pandemia. Desde T-Systems pusimos el foco en la continuidad de negocio de nuestros clientes, dándoles soporte técnico y aportando soluciones tecnológicas de diversa índole, desde administraciones públicas a empresas de sectores diversos. En este sentido, la compañía ha apoyado la digitalización y despliegue de infraestructuras cloud en industrias y administraciones públicas que han requerido un rápido desarrollo de soluciones de trabajo en remoto, para poder atender las necesidades de los ciudadanos en cada momento. Además, dada la naturaleza crítica de muchos de los servicios que presta la compañía en materia tecnológica (ciberseguridad, conectividad, continuidad de aplicaciones críticas en servicios sanitarios, etc.) la compañía contó con un equipo de expertos, dando soporte 24/7, con las máximas medidas de seguridad, para garantizar el pleno funcionamiento de todos nuestros data center en España. En cuanto a la gestión interna y con el objetivo de salvaguardar la salud y la seguridad de todos los empleados, aquellos que podían realizar su trabajo de forma remota (más de 2.500 personas) comenzaron a teletrabajar desde mediados del mismo mes de marzo y aquellos que debían continuar acudiendo a su puesto de trabajo en un centro de servicio crítico, para garantizar la funcionalidad 24/7 de aplicaciones críticas, contaban con las máximas medidas de seguridad y con los equipos de protección necesarios para salvaguardar su salud. Asimismo, T-Systems apoyó la solidaridad mostrada por sus empleados durante la crisis sanitaria como parte de la comunidad coronavirusmakers.org, utilizando sus impresoras 3D y las de T-Systems para producir material de protección para los profesionales sanitarios que estaban luchando en primera línea contra la pandemia. S.P.: Como CEO, ¿cómo logras mantener un equilibrio entre tu vida laboral y personal? O.P.: En mi caso particular, uno de los principios fundamentales que sigo para mantener el equilibrio es establecer prioridades claras tanto en mi vida profesional como en la personal. Soy una persona que siempre establece metas específicas y alcanzables para poder mantener el foco de atención en lo importante y evitar la sobrecarga. También creo que hago un uso del tiempo eficaz y me gustar crear bloques de tiempo dedicados exclusivamente a actividades laborales y personales. Esto incluye tiempo para reuniones, trabajo profundo, ejercicio y momentos con la familia. S.P.: ¿Qué consejos darías a otros líderes empresariales para gestionar mejor este equilibrio? O.P.: Esto es algo bastante personal y cada persona debe desarrollar las herramientas y estrategias que mejor les funcionen en su día a día. Desde mi experiencia personal, la gestión eficaz del tiempo, la identificación de aquellas actividades que son más importantes y urgentes, y priorizarlas, así como definir objetivos claros tanto en el ámbito profesional como en el personal son cruciales para mantener el equilibro entre vida laboral y personal. La agilidad por ejemplo nos ha ayudado a ser más efectivos y poner el foco en aquello que realmente es importante. S.P.: ¿Cuáles son tus vías de escape o actividades favoritas para desconectar del trabajo? O.P.: Mi origen es brasileño, y aunque llevo casi 20 años viviendo en España, me encanta preparar barbacoas y caipiriñas para mi familia y amigos. Una buena forma de desconexión y vía de escape es siempre con la gente que quieres alrededor de una mesa y compartiendo buenos momentos y risas. También practico natación, tanto en piscina como en mar abierto que me ayuda a relajar la mente y a la vez practicar deporte. S.P.: ¿Tienes algún hobby que practiques regularmente? O.P.: Desde muy pequeño me ha gustado la música y aunque no soy muy bueno, toco regularmente el bajo y la guitarra. Otro de mis hobbies, que practico también desde niño, es el gaming. Cuando tengo un rato libre, me gusta jugar a la PlayStation y conectarme a partidas online. S.P.: ¿Qué tipo de música te gusta escuchar? ¿Tienes algún artista o género favorito? O.P.: Soy muy ecléctico. Me gusta la buena música, pero si tengo que decantarme por un género, este sería el rock. ¡Aun así, un buen cuarteto de Jazz o blues, así como incluso el reggae o pop también me gustan, sin olvidarme de la bossa-nova brasileña! S.P.: Y, por último, ¿cómo pasas un día perfecto fuera del trabajo? O.P.: ¡Empezar el día en la piscina, compartir una barbacoa en el jardín con la familia y acabar el día viendo un partido de la NBA, la NFL o fútbol con amigos!
15 Julio 2024
Rincón del CISO
No es un secreto que desde hace años estamos en una era de transformación en las organizaciones sin precedentes, empezando por el negocio y llegando hasta las personas, con todo lo que ello implica: irrupción de nuevas tecnologías, nuevas formas de trabajo, nuevas formas de colaborar, comunicar y relacionarnos. Como consecuencia, se está produciendo la evolución de muchos de los roles existentes en las organizaciones y de las habilidades necesarias para llevar esto a cabo. El papel de la ciberseguridad no queda inmune a esto, ya que es uno de los que más peso está cogiendo y cuyas habilidades, más están cambiando…. Las habilidades puramente técnicas están dejando hueco a todas aquellas habilidades más humanas y tiene todo el sentido, ¿verdad? Pero esta transformación no es siempre fácil, como bien dice el refranero español – que a veces es muy sabio- “la cabra tira al monte” y a veces estos cambios nos cuesta gestionarlos ya que requieren hacer cosas diferentes a las que estábamos acostumbrados , como abrir la perspectiva o cambiar un sistema de creencias muy arraigado en nosotros para empezar a desarrollar otras habilidades que marcarán la diferencia. Os doy algún dato…El “Estado de la Ciberseguridad 2023” de ISACA State of Cybersecurity 2023 | ISACA mostraba que la escasez de talento en ciber seguía siendo una de las mayores preocupaciones el año pasado - y seguirá siéndolo en los próximos años- Uno de los mayores gap está en las “soft skills”, en esas habilidades más humanas que antes mencionábamos , y es que el rol de ciberseguridad ya va mucho más allá de saber de riesgos tecnológicos, de normativas de seguridad o de tecnología y protocolos para frenar o remediar ataques…todo esto es muy necesario, no me mal interpretéis, pero también se necesitan habilidades para alinearse con la Alta Dirección y con el negocio y habilidades para hacer entender y concienciar dentro de las organizaciones, que la seguridad es una responsabilidad de todos. Más datos…empresas como Gartner estiman desde hace algún tiempo que faltan a nivel mundial unos 3.4 millones de profesionales en ciberseguridad y recomiendan empezar a contratar perfiles no tradicionales para cubrir este gap, con habilidades diferentes – muchas de ellas “soft”, aunque yo prefiero llamarlas “power”- que les permitan ponerse al día rápido con buenos programas de formación y desarrollo y un buen acompañamiento de líderes expertos que actúen como mentores. Se habla hasta de cubrir vacantes con perfiles sin background en IT ni experiencia previa, lo que posiciona al CISO y a todas aquellas personas que lideren equipos en ciberseguridad ( ya estén en cliente, en un integrador de sistemas o en un vendor de seguridad) como profesionales que tienen que ser capaces de desarrollar el talento de sus equipos y ayudares además a gestionar el estrés que se vive en el sector, lo que implica un modelo de liderazgo mucho más inspirador , centrado en la persona y en hacer brillar el potencial de cada individuo del equipo, lo que a nosotras nos gusta llamar el “líder coach”. La capacidad de adaptarse rápido a los cambios, la visión del negocio, creatividad para resolución de conflictos, curiosidad intelectual, trabajo en equipo, colaboración, estabilidad emocional y habilidades interpersonales y de comunicación van a ser clave para cualquier persona que trabaje en el ecosistema de la ciberseguridad según los analistas. Por todo esto, no es de extrañar que asociaciones como el ISMS Forum, ya hayan empezado a apostar por programas de desarrollo de “power skills” para sus asociados dentro de sus programas de certificación. Este año desde The Coach Plan hemos podido trabajar con más de 60 CISOs desarrollando habilidades como el autoliderazgo, la escucha, la comunicación efectiva, la gestión del estrés, de conflictos o habilidades de liderazgo humanista e inspirador. Porque sabemos que esto va de personas y que sin desarrollo personal no hay desarrollo profesional ni transformación en las organizaciones así que si en algo nos hemos querido focalizar es en aportar valor desde lo humano a un sector que tiene mucho recorrido aún en este campo. Elena Richart, Fundadora & Coach de The Coach Plan
15 Julio 2024
Rincón del CISO
Todavía no tenemos ordenadores cuánticos, pero ya representan una amenaza real para la seguridad de las empresas. Ahora, los CISOs se enfrentan al dilema de convencer a la dirección para que invierta en protegerse contra una amenaza futura o esperar hasta que sea inminente, cuando quizá ya sea demasiado tarde para implementar soluciones efectivas. El panorama de amenazas actual incluye muchos actores estatales que pueden estar dispuestos y ser capaces de robar datos hoy para descifrarlos en el futuro, cuando los ordenadores cuánticos estén disponibles. Datos sensibles como información sobre la salud de una persona, secretos comerciales de las organizaciones o información clasificada de un país tienen una extensa vida útil. Si estos datos hoy cayeran en manos equivocadas, en el futuro podrían ser explotados para llevar a cabo extorsiones, fraudes o incluso comprometer la seguridad nacional. Las infraestructuras críticas, como las centrales eléctricas y los sistemas de suministro de agua, también tienen una vida útil prolongada y sistemas costosos de actualizar. Si estos están conectados a redes vulnerables o dependen de algoritmos de cifrado susceptibles a ataques cuánticos, enfrentan un riesgo de seguridad significativo. Un ataque a estos sistemas podría interrumpir servicios esenciales, causando grandes daños económicos y sociales. Otro escenario de riesgo son los productos duraderos con software embebido, ya que no se podrá garantizar la protección de los datos del usuario ni el propio funcionamiento del producto a futuro. Por ejemplo, ahora que los vehículos eléctricos están equipados con software y conectados, si hubiera que actualizarlos habría que reemplazar los chips integrados en sus sistemas y sustituirlos físicamente uno a uno. Esto, además de la complejidad técnica, conllevaría un elevado coste. Para evitar todos estos riesgos, las empresas pueden comenzar a adoptar encriptación post-cuántica (PQC). Una aclaración: esta encriptación se refiere a cómo los ordenadores actuales pueden protegerse de la amenaza que representa la computación cuántica, en lugar de indicar qué tipo de encriptación tendrán los ordenadores cuánticos en el futuro. Dicho de otra forma, es una solución que podemos aplicar hoy. Ya existen varios algoritmos criptográficos resistentes a la computación cuántica. El Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. está evaluando los más prometedores. Es importante encontrar aquellos que, siendo efectivos, no comprometan el rendimiento de los servicios, ya que los usuarios esperan comunicaciones instantáneas. De hecho, después de casi una década de trabajo, se espera que el NIST publique un conjunto de estándares finales PQC este verano. Encontrar el algoritmo más adecuado para convertirlo en el estándar es sin duda un reto, pero también lo es llevar a cabo la actualización de la criptografía actual. Este proceso no es inmediato y requiere un esfuerzo tanto técnico como económico. La transición debe gestionarse sin comprometer la seguridad ni la continuidad de las operaciones, lo que añade una capa de complejidad al ya de por sí difícil proceso de actualización. Afortunadamente, proveedores como Google, Amazon o Cloudflare ya están integrando PQC, de manera transparente para las empresas, en sus productos. En este sentido, una primera medida por parte de las organizaciones es comenzar a preguntar a sus proveedores cuáles soportan ya la nueva criptografía. Está claro que a diferentes sectores les está llegando la amenaza cuántica a distinta velocidad, pero todos ellos en algún momento van a tener que actualizar su encriptación. Por ejemplo, el sector financiero ya está tomando medidas ante esta amenaza. A finales de abril, Europol creó el Foro de Seguridad del Sector Financiero para Amenazas Cuánticas (QSFF, por sus siglas en inglés). Esta iniciativa reúne a expertos de distintas entidades, como Banco Santander, BBVA y CaixaBank, para compartir soluciones y colaborar a escala global. El objetivo es establecer estándares, identificar amenazas y promover una transición hacia la encriptación post-cuántica. Además, otra amenaza identificada que preocupa mucho en el sector es la integridad de las firmas digitales. Si estas se pudieran corromper, el sistema financiero se desmoronaría por la pérdida de confianza que generaría. La transición hacia PQC es una tarea apremiante que requiere la cooperación de empresas y proveedores. El Banco Santander, por ejemplo, está siendo muy activo. Actualmente, colabora con GitHub y Microsoft en el desarrollo de CodeQL, una herramienta para detectar vulnerabilidades criptográficas. Además, juntos han creado Cryptobom-Forge, destinada a evaluar y asegurar componentes criptográficos durante el desarrollo de software. Las administraciones públicas también van a jugar un papel importante en la carrera hacia PQC. Recientemente, la Comisión Europea lanzaba un llamamiento a los Estados miembros para comenzar una transición hacia la nueva encriptación. Es importante que las administraciones den este paso porque tendrán un efecto arrastre sobre otros sectores. Además, al mismo tiempo envían la señal al mercado de que la amenaza es real. Los CISOs ya no están solos, se está activando toda una red de proveedores, empresas e instituciones que los puede ayudar en la tarea de convencer a la dirección de la empresa para que comiencen a invertir en mitigar unas amenazas que viajan desde el futuro al presente. Fernando Maldonado, Analista de Industria TIC
15 Julio 2024
Rincón del CISO
Íñigo Pradas, Dueño y Fundador de VOILA Comunicación y miembro del comité editorial de CyberLideria MGZN, entrevista a Rafael Hernández González, Responsable de Proyectos Estratégicos de Ciberseguridad en Cepsa. Íñigo Pradas: Rafael, tienes una trayectoria profesional de más de 30 años y eres Ingeniero de Telecomunicaciones, ¿cómo llegaste a especializarte en ciberseguridad y qué te llevó a trabajar en CEPSA? Rafael Hernández: Cuando eliges una carrera técnica siempre piensas que tus funciones laborables van a ser las de un técnico especialista muy metido en la tecnología pura. Al acabar la carrera, estábamos en los finales de los 70, la salida profesional más sencilla era el mundo de las empresas de telecomunicación, sobre todo Telefónica. Empecé a trabajar en TIDSA y Amper, pero se me cruzo Cepsa en el camino con una propuesta disruptiva en ese momento y me atrajo mucho el cambio: trabajar en una empresa de energía, con fábricas y procesos nuevos. La especialización en ciberseguridad fue un camino desde el mundo de las redes y comunicaciones a los procesos de los negocios. Había que empezar a diseñar y gestionar los servicios de redes y a darles seguridad. Ese fue el germen. A partir de aquí pues ya te puedes imaginar: fortalecer el perímetro, exponer servicios al exterior, acompañar a los procesos de transformación… Cuando hace 30 años me metí en este mundo ya no pude salir, me enganché y es una experiencia única. I.P.: ¿Cuáles son las principales responsabilidades y retos que enfrentas en esta posición? R.H.: La principal responsabilidad es que eres la persona que debe de responder cuando hay un incidente y que tienes que ser consciente de que tú eres responsable de muchas acciones que has tomado y de las que debes de tomar. También es tú responsabilidad definir y gestionar los procesos y servicios necesarios para que tu organización pueda hacer sus funciones de la mejor forma posible y que no vea interrumpido su negocio. El mayor reto que yo creo que se enfrenta esta función de CISO es la de hacer ver al resto de la organización que la SEGURIDAD es cosa de TODOS. Empezando por los compañeros de Sistemas de Información y continuando por cada una de las áreas de las organizaciones. Para lo cual debemos de ser capaces de ponernos en su posición, dicho de una forma más directa: siempre hay que ponerse en los zapatos de tu interlocutor. I.P.: ¿Qué habilidades o conocimientos consideras esenciales para alguien que quiera seguir una carrera en el complicado ámbito de la ciberseguridad? R.H.: A lo mejor te sorprende, pero yo creo que lo primero que se debe de tener es sentido común y sentido de la responsabilidad. Luego están los conocimientos técnicos. Y las ganas de trabajar y evolucionar. Para dedicarte al mundo de la ciberseguridad creo que debes de tener una visión 360 grados de tu entorno y de tu organización. Y no olvidar nunca las habilidades de comunicación y de empatía con las personas que trabajan contigo, con las que debes de dar servicio y con los colaboradores externos. Todos juntos suman y son la pieza básica de la defensa ante los malos. I.P.: ¿Cuáles son las principales ciberamenazas que enfrenta actualmente una empresa energética como CEPSA? Y, ¿podrías contarnos un poco acerca de qué estrategias se implementan para asegurar la resistencia ante estas amenazas? R.H.: Las principales amenazas en estos momentos provienen de que los datos y la información tiene cada vez más valor para los malos y hay un gran negocio detrás de todo ciberataque. Las ciberamenazas principales son el robo de identidad, el ransomware, la exfiltración y comercio de la información. La amenaza de paralizar o borrar del mapa a las empresas que son atacadas es la forma de extorsión más común actualmente extendida. Esto se consigue sobre todo por el robo de credenciales y la suplantación de la identidad. Por lo cual yo pienso que la custodia y defensa de la identidad digital de cada uno de nosotros, tanto desde el punto de vista personal o profesional, debería ser el principal punto de defensa a considerar. No puedo dejar de señalar una amenaza emergente que esta avanzando muy rápidamente: la cadena de suministro, la gestión de terceros. En estos momentos es un punto muy débil para todas las grandes organizaciones. La principal estrategia que debemos de implementar YA es la de ZERO-TRUST, CONFIANZA-CERO. Tenemos que pensar que nuestros sistemas y servicios deben de ser defendidos de la misma manera: no podemos confiar en nadie, todos somos potencialmente un riesgo y debemos de tomar de forma global, gradual y efectivas todas las medidas de seguridad tanto para las personas (usuarios internos/externos), como desde cualquier dispositivo en cualquier lugar (oficina, casa, internet…). Otro punto muy importante en el eje de la protección es el ejercitar (pero de verdad) los escenarios de crisis y realizar simulaciones de recuperación de nuestros sistemas. La CIBERRESILENCIA debe de ser otro eje clave para nuestra supervivencia. I.P.: ¿Cómo has visto evolucionar el campo de la ciberseguridad desde que comenzó tu carrera? R.H.: La evolución de la ciberseguridad en estos últimos 25 años ha sido brutal. Hemos pasado de ser considerados unos bichos raros, unos frikis, unos técnicos que parábamos los desarrollos a tener que explicar en los comités de dirección que sin ciberseguridad no evolucionan los negocios y que es básico tener una estrategia de ciberseguridad integrada en la organización. Para los que empezamos este predicar en el desierto, la verdad es que es muy gratificante ver donde estamos. Pero creo que todavía falta un poco más. Creo que ya no somos los enemigos, pero todavía no somos los amigos, tenemos que seguir trabajando para integrarnos en los procesos de los negocios desde el principio, desde el origen, desde la idea. Yo siempre he defendido el trabajo de grupos multi-capacidades-departamentales. I.P.: ¿Qué importancia tiene la formación interna y la concienciación de los empleados en la estrategia de ciberseguridad de CEPSA? R.H.: Su importancia es MAXIMA. El eslabón más débil es la persona, el usuario. Tenemos que concienciar a nuestros compañeros de que los malos quieren hacernos daño y tenemos que formarles y acompañarlos en esta evolución continua de los sistemas y aplicaciones. Tenemos diseñados cursos de concienciación continua, como un servicio más dentro del porfolio de ciberseguridad. Donde unimos tecnología, formación y sentido común. Pero ojo, el objetivo no es castigar al que se equivoca, no. El objetivo es ayudar a entender a nuestros compañeros como deben de operar y usar tanto en la empresa como en su vida personal las tecnologías actuales, sin riesgos, de forma segura. I.P.: ¿Cómo aborda CEPSA la responsabilidad social en relación con la ciberseguridad y la protección de datos? R.H.: Como he comentado anteriormente nuestro enfoque de la concienciación en ciberseguridad es integral. Incluye el ámbito de usuario de la empresa, pero también el ámbito personal e incluso el familiar. Damos cursos y formación a los hijos de nuestros empleados. Hacemos ejercicios alineados con la familia. En Cepsa la protección del dato esta en nuestro ADN. Los datos propios y los que tenemos en custodia de nuestros clientes son muy importantes para nosotros y les tratamos de otorgar todas las medidas de seguridad necesarios. Nuestra relación con nuestra DPO es directa, somos los responsables de implementar las medidas de seguridad que use nos indican y nuestra colaboración es máxima. I.P.: ¿Cuál es tu mayor inspiración? Tanto en tu día a día como en tu entorno de trabajo. R.H.: Mi mayor inspiración ha sido y será la educación que recibí de mis padres basada en el respeto a todas las personas y la responsabilidad, como línea de comportamiento. Creo que hay que ser siempre responsable, primero con uno mismo, para no perderse y engañarse a sí mismo, pero sobre todo hay que ser responsable ante los demás. Nuestros actos o la dejación de estos son muy importante. Por eso creo que he podido llevar durante estos años mis responsabilidades, porque eran parte de mí. Dentro del entorno profesional creo que la línea de compartición de información y de experiencias entre los que tenemos la responsabilidad de la ciberseguridad debe de ser una fuente de inspiración y seguimiento. I.P.: ¿Cómo manejas el equilibrio entre tu vida profesional y personal? R.H.: Creo que hay que tener siempre la conciencia tranquila y para eso hay que dar el máximo de uno mismo en todo momento. Por eso en el plano profesional hay que estar satisfecho con lo hecho y hacer todo lo posible para llegar a cumplir los objetivos, pero no a cambio de sacrificar el plano personal. Siempre digo que hay que cerrar la carpeta e irse a casa con la satisfacción de haber hecho todo lo posible. También hay qué llegara a casa y no traer los problemas del trabajo, hay que disfrutar de cada ámbito. Tengo que dar las gracias a mi familia que han entendido que mis responsabilidades profesionales a veces se cruzaron con las suyas, 25 años con el 24 por 7 tiene su impacto. Por eso, GRACIAS. I.P.: ¿Qué hobbies o actividades te gusta hacer en tu tiempo libre? R.H.: Me gusta sobre todo: estar con los amigos, hacer actividades de grupo, hacer deporte o charlar en una mesa. Me gusta conversar y discutir amigablemente. Jugar al mus también. Me gusta leer. Soy un historiador frustrado. Algún día retomaré esa vía. De momento me conformo con leer y ver buen cine. I.P.: ¿Cuál es la mayor lección que has aprendido en tu trayectoria profesional y que te gustaría compartir con nosotros? R.H.: La mayor lección que he aprendido es que si quieres avanzar y progresar debes de contar con gente amiga que te apoye y en la que te apoyes. Creo que durante estos años hemos conseguido un entorno de confianza entre los profesionales de la ciberseguridad, los fabricantes implicados en el desarrollo de buenos productos y los integradores que nos ha llevado al momento actual en el cual en España hay un muy alto nivel de ciberseguridad. Creo que la confianza y la compartición de experiencias de forma conjunta es un logro del cual me considero participe y muy satisfecho de lo logrado. Espero que los que llegan ahora a este mundo lo sepan mantener. También he aprendido que solo no se va ninguna parte. I.P.: ¿Qué consejo le darías a alguien que esté considerando una carrera en ciberseguridad? R.H.: Que es una carrera muy bonita. Que se prepare técnicamente de forma global, pero sobre todo que trate de ver la ciberseguridad como un conjunto de acciones no solamente tecnología. Están las personas: buenas y malas. Están las organizaciones con sus procesos y sus peculiaridades. Están los entornos externos, los cercanos y los lejanos. En resumen, hay que considerar un ámbito amplio en nuestras funciones. Pero que sepa que tendrá que ser RESPONSABLE.
15 Julio 2024
Rincón del CISO
Federico Florez, Consultor Independiente y Miembro del Consejo Asesor de CyberLideria, entrevista a David Fernández Granado, Head of CIPHER (Prosegur Company) Federico Florez: ¿Qué significa para ti la resiliencia empresarial en el contexto de la ciberseguridad? David Fernández: Preguntarme por resiliencia hace que salga el ingeniero industrial que llevo dentro y acordarme de los laboratorios en los cuales mediamos esta propiedad de los materiales y visualizamos que es lo que les ocurría a los más resilientes (no rompían, deformaban y eran capaces de volver al estado actual) y los menos (rompían en el peor de los casos y deformaban para siempre en el mejor siendo incapaces ya de trabajar de la forma esperada). Bueno, pues creo que, si sustituimos el material por la empresa y el agente externo que provoca la deformación por aquellos eventos de ciberseguridad que pueden “deformar” las operaciones, lo que significa resiliencia empresarial para mi es claro. No vamos a poder evitar al 100% los eventos perturbadores de ciberseguridad, pero sí que podemos prepararnos para absorber sin romper y volver a la normalidad de la manera más rápida y mejor posible. F.F.: ¿Cuáles son los pilares fundamentales para construir una empresa resiliente ante ciberataques? D.F.: Prevención y preparación para la recuperación son los dos pilares fundamentales para construir una empresa resiliente ante ciberataques. Al final una empresa no deja de ser un sistema compuesto por infinidad de componentes, unos dentro del propio sistema y otros fuera del mismo. Prevención y preparación deben aplicarse al todo y a las partes. Al principio de mi carrera profesional estuve vinculado a las tecnologías de backup y restore en el departamento de HP Consulting allá por el 2002, en un momento en el que la palabra ciberseguridad no existía. En aquel momento, y como buen consultor, hacíamos reflexionar al cliente sobre si disponía de “un backup” o de “el backup” que necesitaba. En aquel momento, como ahora, la única manera de comprobarlo es probarlo y comenzando por los sistemas que en aquel momento ya se vislumbraban como esenciales para el funcionamiento de TI, “domain Controllers” y “LDAPs”. Bueno, pues ahora me atrevo a decir que el impacto de los incidentes más sonoros de ciberseguridad en empresas, dentro y fuera de España, ha sido tanto más grande, como menos probado tenían la recuperación de sistemas críticos desde backup. Es curioso cómo todo está conectado de alguna forma en un periodo de más de 20 años. F.F.: ¿Cuáles son los principales desafíos a los que se enfrentan diariamente? D.F.: Trabajo en Cipher, división de ciberseguridad del Grupo Prosegur, y esto ya es un desafío en sí mismo. Prosegur opera en 31 países con más de 160.000 empleados y su misión es hacer del mundo un lugar más seguro. Cipher hereda esa misión en el ámbito digital. Nosotros por nuestra parte, ya como Cipher, operamos en países de culturas tan diferentes como Brasil, Paraguay, Portugal, España y USA. Ser capaz de gestionar una empresa con una identidad y misiones únicas, pero con diversidad cultural es un desafío continuo. Adicionalmente, crear una tecnología puntera como es Cipher xMDR hace dos años (para la mejora continua de la prevención, detección y respuesta), en un momento en el que los principales players tecnológicos de ciber se encargaban de reducir la ciberseguridad a la seguridad del endpoint, incorporando ya en aquella época ChatGPT como elemento clave a la hora de automatizar tareas, y ser capaz hoy en día de competir con esos gigantes cuando has sido, humildemente, “followers” de la idea que tuvimos pero como muchos más recursos, no es solo un desafío, es subir el Everest sin oxígeno. Y si esto fuera poco, pues nos hemos ido a competir a USA, al terreno de juego de los gigantes mencionados… Aunque esto último yo lo veo como una gran oportunidad para evolucionar una tecnología creada en España, con personal en España, pero expuesta al mercado más competitivo del mundo. Por último, ser capaz de ilusionar y mantener la ilusión entre los “cipherian” (empleados de Cipher) a lo largo del tiempo. Al final, el elemento más importante de una compañía es el talento y podemos hacer muchas cosas para crearlo, atraerlo, retenerlo... pero creo que la ilusión por algo es lo que marca la diferencia. F.F.: ¿Cómo te aseguras de que tu equipo esté siempre a la vanguardia en cuanto a conocimiento y habilidades en ciberseguridad? D.F.: Como hemos comentado anteriormente, compitiendo de forma continua en los mercados más difíciles. Solo mediante la exposición y el reto es como un profesional puede estar a la vanguardia. Los conocimientos y habilidades necesarios se pueden conseguir hoy en día a través de la gran oferta formativa existente, pero ser capaz de aplicarlos y ganar “expertise” es algo que solo se logra compitiendo. Y como refleja uno de nuestros valores que tenemos muy presentes, nosotros jugamos para ganar. Al final, tenemos que reinventarnos e innovar de forma diaria, desde mi posición hasta el último junior que hayamos incorporado. Eso nos hace mejores día a día. F.F.: ¿Cómo manejas la comunicación interna y externa durante una crisis? D.F.: Contando con equipos profesionales que me asesoran en todo momento. Al final, yo soy un elemento más de la organización en una crisis y entendiendo que la comunicación es un aspecto esencial cuando hay que enfrentarse a una, lo mejor es estar rodeado de los que saben de eso. Gracias a trabajar en el Grupo Prosegur, en Cipher no tenemos que reinventar la rueda y es el mismo área el que nos ayuda a todas las empresas del grupo. F.F.: ¿Y cómo evalúas el éxito de la crisis una vez que ha sido resuelta? D.F.: Volviendo a la definición de resiliencia, comprobando que de forma efectiva hemos vuelto a la operación con total normalidad, pero la mayor amplitud de lo que significa “normalidad”. Es decir, debemos contemplar Marca, Reputación, Operaciones, Clientes, Accionistas.. F.F.: ¿Qué estrategias utilizas para mantener un equilibrio saludable entre tu trabajo y tu vida personal? D.F.: Tiempo de calidad para Deporte, Familia, Amigos y Trabajo siendo flexible para adaptarnos a las situaciones que la vida tiene en cada momento. Se escriben muchos libros sobre productividad laboral, sobre como planificarse, que tipo de reuniones hacer y cuáles no, cómo optimizar el tiempo, algunos de ellos muy prácticos y vinculados a las tecnologías que tenemos disponibles hoy en día. Sin embargo, en lo que a equilibrio respecta todavía son muy teóricos y no nos queda más remedio que aplicarnos cada uno nuestro librillo. En mi caso, semana a semana, “reparto” el tiempo de forma equitativa entre esas cuatro cosas. Sin embargo, creo sin duda que este es uno de los mayores desafíos al que me enfrento hoy en día. F.F.: ¿Qué consejo darías a otros líderes en ciberseguridad sobre cómo manejar el estrés y la presión del trabajo? D.F.: La fórmula que a mi me funciona es la que he indicado en la pregunta anterior. Es muy difícil ejemplificar en este ámbito ya que depende mucho de la personalidad de cada uno y de cómo se gestione el estrés. Desde luego, correr (mi deporte actual) es algo que me ayuda a desconectar y resetear. Tener un adecuado descanso y alimentación también es esencial. En Prosegur he tenido la suerte de disponer de un programa en el que recibimos “coaching” al respecto, habiendo tenido la suerte de poder recibir consejos directamente de personas tan importantes en este ámbito, como Marian Rojas. F.F.: ¿Cómo promueve CIPHER un ambiente de trabajo que apoye la conciliación entre la vida personal y profesional de sus empleados? D.F.: En Cipher tenemos la posibilidad de hacer 100% trabajo en remoto, con horarios y jornada flexible y medición por objetivos. Esto requiere un nivel de madurez y confianza alto en la relación empleado – manager para poder llevarlo a cabo con el adecuado equilibrio entre productividad y conciliación. Los resultados hasta ahora creo que han sido muy buenos y tiene ventajas adicionales como es el poder acceder a talento fuera de las grandes ciudades. F.F.: ¿Qué te motivó a unirte a CIPHER y qué es lo que más te apasiona de tu trabajo? D.F.: Como siempre que cambio de proyecto, lo que más me motiva siempre es el Reto. Prosegur tiene una misión muy clara y para hacerla realidad en toda su amplitud, necesita de una compañía fuerte en ciberseguridad. Cómo diferenciarse en Ciberseguridad es otro desafío importante y nosotros apostamos por especializarnos en un área muy concreta (prevención, detección y respuesta) y creando una división de tecnología que nos permitiera crear los Security Operations Centers de este siglo. Lo que más me apasiona es trabajar con personas, tecnología y números al mismo tiempo. Cuando comienzas tu carrera profesional siendo ingeniero, solo ves la tecnología por la tecnología, pero pronto te das cuenta de que detrás o delante de ellas están las personas. El último paso es como financiar la tecnología para que sirva a las personas en su actividad, y esto son los números. Conectar las tres cosas es apasionante. Para mi la mejor definición de innovación es: “aplicación comercial exitosa de una idea”. Creo que resume muy bien lo que he comentado anteriormente. F.F.: ¿Cómo ha evolucionado el panorama de la ciberseguridad desde que comenzaste tu carrera? D.F.: Desde el año 2000, en el que por aquel entonces nos preocupaba el tema de las fechas, especialmente en los sistemas SCADA y PLC, hasta ahora la ciberseguridad ha avanzado a pasos agigantados. Aunque pueda parecer mentira, lo que más ha cambiado, además de la nomenclatura, es la velocidad en los propios cambios. En cuanto a nomenclatura hemos pasado de “Seguridad Informática” a “Seguridad de la información” para terminar en ciberseguridad, arrastrando con ello una interminable colección de acrónimos no se si para despistar al ajeno o bien para darnos más importancia a los que nos dedicamos a esto…. Pero lo relevante es la velocidad de los cambios. La velocidad en la proliferación de la economía que sustenta el cibercrimen. La velocidad en la que aparecen formas de explotar los sistemas. La velocidad en la que se producen los ataques…. Pero también la velocidad en la que nos digitalizamos, en la que aparecen nuevas tecnologías que hace unos años no existían…. Hemos pasado de sistemas de TI muy estáticos y monolíticos a sistemas en el que la superficie de los mismos está difuminada. Hemos pasado de hacer pasos a producción semestrales a hacerlos en modo ágil diarios. Todo esto que sin duda ha ayudado al desarrollo de las compañías y de la sociedad ha supuesto un reto muy importante en el ámbito ciber y una oportunidad para el cibercrimen. F.F.: ¿Qué consejo le darías a alguien que está empezando en el campo de la ciberseguridad? D.F.: Pues que aplique el sentido común y no se pierda en los acrónimos, muchas veces marketinianos, que inundan este mercado. Casi todo lo que hacemos en ciberseguridad es algo que se lleva haciendo muchos años en seguridad física, en ingeniería, en salud, compliance… Por lo tanto, levantar la mirada y entender que a lo mejor lo que cambia es el terreno de juego pero que este es un juego que se lleva jugando hace muchos años, puede ayudar sin duda a alguien que comienza en este campo. Reportaje fotográfico realizado en: Co-Studio
15 Julio 2024
Rincón del CISO
Sonia Pulgarín, Directora de CyberLideria MGZN, entrevista a Lluis Altés, Global Sales Director at VMware by Broadcom. Sonia Pulgarín: Tengo el privilegio de entrevistar a Lluis Altés, Director de Cuentas Globales del grupo Santander en VMware by Broadcom. Muchas gracias por venir aquí hoy para hablar sobre una cuestión tan relevante como la ciberseguridad. Lluis, ¿cómo estás? Lluis Altés: Un placer estar aquí contigo. S.P.: Muy bien, me gustaría empezar adentrándome un poco en tu vida personal. Sé que eres un Ironman en todos los aspectos de tu vida, pero además eres un enamorado del deporte de resistencia y de todo lo que tenga ruedas. Practicas triatlón y por eso me preguntaba cómo te iniciaste en este deporte y cómo ha influido en tu vida profesional y personal. L.A.: Bueno, yo creo que en esta vida todos tenemos taras, algunas son confesables y otras son inconfesables, pero en mi caso una de ellas es la adicción al deporte de resistencia y sobre todo a salir de la zona de confort. Yo empecé en el mundo del triatlón porque me encanta ir en bici, me gusta correr y no me gusta nadar. Entonces dije: “¿por qué no hacer algo en el que empiezas nadando y si no lo haces bien ya el resto es un problema?” S.P.: Y así sufro un poquito más, ¿no? L.A.: Así no, así salgo de la zona de confort porque yo creo que los humanos tendemos a la mediocridad, entonces nos vamos acomodando y damos por hecho que vivimos en una zona de confort cuando en realidad esa zona de confort no es tan confortable y la magia está afuera. Yo siempre me acuerdo de una imagen que usaba un famoso psiquiatra español, Luis Rojas Marcos, en la que salía una persona, que era como un contorsionista, dentro de una caja y decía: “¡qué bien estoy en mi zona de confort!”, pero era una caja de cristal y no la veía. Éste en realidad estaba incómodo y la mayoría ni nos meteríamos en esta caja. Lo mismo pasa con muchas cosas, que estamos tan habituados a ellas que las normalizamos, la magia está cuando salimos de ahí y descubrimos dónde están los límites. S.P.: Totalmente de acuerdo. Y aparte del triatlón, ¿tienes otros otros hobbies? La verdad es que con esto sería más que suficiente, pero algún otro tienes, ¿no? L.A.: Soy una persona que busca el equilibrio entre la vida profesional y la vida personal. Tengo una familia que me da parte de ese equilibrio y que absorbe parte del tiempo que tienes para ocio o para cuestiones personales. Sin embargo, siempre busco compartir con ellos también, desde irnos a jugar a algo, hasta practicar algún deporte, o incluso irnos a hacer una excursión por la montaña, entre otras cosas. En cuanto a otros hobbies, como mencioné anteriormente, me gusta todo lo que tenga ruedas. A mí si me llevas a un circuito a rodar con cualquier vehículo o ver alguna carrera interesante, ya estoy contento. Eso sí, si la agenda me lo permite. S.P.: ¡Encantado! Siguiendo el tema de tu vida personal, ¿cómo haces para mantener un buen equilibrio entre el trabajo y tu vida privada? Entiendo que tu cargo tiene una responsabilidad muy alta y requiere de mucha fuerza mental, por eso imagino que tendrás trucos para desconectar y encontrar un hueco en tu vida social. L.A.: En cuanto a esto, si sabemos administrarla adecuadamente, la tecnología nos ha permitido la posibilidad de estar siempre conectados para poder gestionar cualquier incidencia o cualquier problema que pueda haber en algún momento. También te da esa libertad para poder organizarte, poder estar recogiendo a tus hijos del colegio o incluso programar un tiempo para pensar ciertas cosas. Para mí esos momentos de desconexión absoluta son cuando estoy corriendo, nadando o haciendo bicicleta, en los que estás solo escuchándote a ti mismo son clave. Yo conozco a mucha gente que hace deporte con auriculares, escuchando música o podcasts. Eso está muy bien, seguid escuchando podcast, pero en mi caso me gusta escuchar el silencio y si estoy en medio del bosque también me gusta oír los pájaros, oír cualquier animal y parte del silencio es escucharme a mí mismo y poder reflexionar. S.P.: Qué maravilla, Lluis. ¿Se te ocurre algún consejo o lección que hayas aprendido y que puedas compartir con nosotros, ya sea sobre liderazgo, carrera profesional o de la vida en general? L.A.: Se me ocurren unos cuantos, pero una de las lecciones que he aprendido es que parte del enriquecimiento es no darse nunca por satisfecho y querer seguir aprendiendo. Salir de esa zona de confort implica asumir también que nos queda mucho por aprender. En este mundo de la inteligencia colectiva yo soy un ignorante distribuido, y a partir de ahí puedes construir. Otra lección que tengo muy muy clara es que tenemos que valorar las cosas, ser conscientes de lo afortunados que somos y a partir de ahí ser agradecidos, intentar ayudar a otras personas y aportar más a nuestra sociedad. Muchas veces vas por la calle, ves a gente que vive en condiciones precarias y parece que la sociedad está insensibilizada. Yo creo que tenemos que trabajar más en estos temas, quitarnos esta anestesia y ver qué se puede aportar. S.P.: Efectivamente. ¿Qué momento más memorable o emocionante en tu carrera hasta ahora recuerdas con más cariño? Alguno que te venga así a la cabeza, en el que incluso habiéndolo pasado mal, te haya marcado. L.A.: Pues he tenido la suerte de haber llevado unos cuantos equipos durante mi vida profesional y lo que recuerdo con más cariño no es un momento concreto, sino el hecho de que la gente, cuando deja de trabajar contigo, sigue teniendo una buena relación, un respeto profesional. Esto sucede incluso con personas con las que hemos tenido nuestras desavenencias o divergencias, y que a pesar de ellas hemos seguido teniendo una gran relación y un gran respeto. En mi caso, ha habido alguna persona que me ha llegado a decir: “la calma que transmites en momentos de tempestad nos ayuda a todos a ver que vamos en buena dirección y vamos a conseguir los frutos”. A veces nos da la impresión de que se acaba el mundo, pero si se da un paso hacia atrás, se puede ver que todavía nos queda mucho por hacer para llegar a los objetivos. S.P.: Lo cierto es que doy fe porque yo he tenido la suerte de trabajar contigo en diversas empresas, varios años, y es cierto que transmites paz, gestionas los equipos de maravilla y todos seguimos en contacto, o sea que lo puedo corroborar. Ahora ya centrándonos un poquito más en la ciberseguridad, me gustaría empezar hablando sobre tu rol profesional. ¿Podrías describir brevemente cuál es tu posición y cuál es tu función actualmente en VMware? L.A.: En VMware, desde que empecé hace casi cuatro años, he estado en la parte de advisory, ayudando a nuestros clientes a entender hacia dónde va el mundo de la tecnología y a entender cuál es la visión de VMware, nuestra estrategia y el valor que les aportamos. A partir de ahí, hace justo un mes, me plantearon la posibilidad de encargarme de llevar la relación comercial con el Grupo Santander a nivel global. Me pareció un reto interesante porque es una de las mayores empresas, si no la mayor empresa privada que hay en España. Me pareció un reto muy bonito que me permitirá aportar, acompañar al cliente en toda esta transformación que estamos viviendo y seguir creciendo. Ahora mismo hablamos mucho de inteligencia artificial, de ciberseguridad y vamos a acompañarlos para que entiendan también un poco nuestra visión. Lógicamente en VMware, estando en el área comercial, queremos ganar dinero y vender a todos los clientes, pero para ayudarles a esta transformación y a que ellos, a su vez con nuestra tecnología, puedan tener aplicaciones que sean la clave de su negocio y que todo eso funcione y ganen mucho dinero ellos mismos. Si ellos ganan dinero y nosotros también, todos estaremos contentos. S.P.: Todos felices efectivamente. Y dentro de tu puesto, ¿cuáles son las tendencias actuales en seguridad que podrían impactar significativamente en el sector financiero en el futuro cercano? L.A.: Bueno, yo creo que hay mucho movimiento siempre alrededor de la ciberseguridad, sin duda alguna. He estado hablando antes de la inteligencia artificial, todo el mundo habla mucho de OpenAI y de sus derivadas. La realidad es que los que están más avanzados en el uso de todo lo que es inteligencia artificial son los hackers y distintos perfiles de criminales que tratan de rentabilizar esta inversión a cortísimo plazo. En cuanto al resto, las empresas y las administraciones públicas, tenemos unos procesos, tenemos que respetar unas normativas. Esto hace que la adopción sea más progresiva y que haya que ir entendiendo exactamente cómo va a impactar en tu negocio, qué puede funcionar, qué no funcionaría, y qué te va a aportar. Yo lo veo con mucha esperanza. Dentro de la parte de seguridad pues también te hablaría de la parte de redes. Si las redes no están funcionando adecuadamente, no están bien securizadas, tienes un problema. También me gustaría añadir una tendencia, y esta es que los proveedores en el mundo de la tecnología se están dando cuenta de que tener 50.000 proveedores de tecnología es un problema de seguridad. Entonces están trabajando en ello también para simplificar. S.P.: Perfecto. También me pregunto, ¿cómo te mantienes al día con las últimas tendencias y todos los datos en el mundo de la ciberseguridad y la tecnología? Que por supuesto ahora tienes una revista de cabecera que es CyberLideria MGZN, que lanzamos el pasado 14 de mayo. Pero bueno, en general y hasta que hemos salido nosotros, ¿cómo te mantienes informado? L.A.: Bueno pues ahora, como bien dices, con CyberLideria MGZN, pero en el pasado he seguido siempre buscando distintas fuentes que sean dispares. Muchas fuentes especializadas, pero también algunas más internacionales que puedan darnos una visión distinta de lo que se está haciendo y de qué problemas y qué retos hay y cómo seguir mejorando. Evidentemente, a partir de ahora, vuestro podcast y vuestra revista va a estar ahí en el tope de la lista, sobre todo porque le habéis dado un enfoque distinto a la ciberseguridad, pensando en que la ciberseguridad es parte de un conjunto. Es importante que la alta dirección de la empresa no sólo se acuerde de ella cuando hay un problema, sino en el día a día. De hecho, es un poco como lo que hablábamos antes del triathlón. El triathlón al final te da esta resiliencia, esta capacidad de adaptarte, de apagar fuegos o solucionar problemas sobre la marcha, que tiene mucho que ver con los profesionales y las profesionales de ciberseguridad. Empezamos a ver ejemplos, como Daniel Barriuso, de Santander, que son profesionales que han seguido esta trayectoria desde la parte de CISOs hasta llegar a la dirección de áreas de negocio. Esto ocurre porque se desarrollan unas habilidades y unas capacidades que no todo el mundo tiene. S.P.: Está claro. Y hablando de talento, ya sabes que nosotros en CyberLideria lo que hacemos es buscar el lado más humano de las personas, porque lo que queremos es que se conozca a quién está detrás de ese cargo, ¿no? De ese C-Level. Ahora mismo respecto a los jóvenes, muchos de ellos tienen la incertidumbre de a qué se van a dedicar, y hay una cantidad enorme de nuevas especialidades en carreras de tecnología que se están creando. ¿Tú qué les aconsejarías a estos jóvenes que quieren empezar a interesarse por este ámbito? ¿Cómo les dirías que enfocasen la carrera? L.A.: Lo primero que hay que hacer es tener unos valores como persona que sean los que te rijan y que a partir de ahí digas: “hay que ser feliz en esta vida, porque sino la vida es muy larga como para que estés amargado”. Hay gente que tiene una vocación muy clara y hay otra gente que hace determinadas carreras porque tienen salidas. Esto es como correr una maratón o una prueba de resistencia. Lo que estudies sólo es el principio, lo que te está preparando para cuando llegues al mercado laboral. Teniendo en cuenta que les tocará retirarse, como pronto, a los 70 años, tendrán que tener en cuenta por lo menos su felicidad, y yo personalmente recomendaría que a lo largo de una vida profesional que dura tantos años, incluso se hagan cambios importantes, ya sea de sector, de rol… Pero que se experimenten cosas distintas porque si no, aunque seas muy automotivado, es muy difícil estar más de 40 años a tope. S.P.: De hecho, ¿Cuál consideras que es la cualidad más importante que puede tener esa persona responsable de ciberseguridad? ¿Qué cualidades consideras que son fundamentales? L.A.: Te he dado antes una pista con la resiliencia, con esa capacidad de adaptarse, pero el compromiso también es una parte importante. Estos son trabajos muy exigentes, en los que eres como el ingeniero de Fórmula 1 o de una competición de MotoGP, nadie se acuerda de ti hasta que hay un problema, ¿no? Pasas de ser invisible a ser una pieza fundamental porque hay algún problema, algún ataque o lo que sea. Entonces, para mí el compromiso es una pieza fundamental. A veces nuestra directora general dice que el talento está sobrevalorado y hay gente que se lleva las manos a la cabeza. Sin embargo, no lo decimos porque el talento no sea importante, lo decimos en el sentido de que, sin el compromiso, por mucho talento que tengas, no vas a conseguir nada. Es importante tener ese compromiso, que es el que realmente marca las diferencias. S.P.: Totalmente de acuerdo. Y por último, Lluis, ¿hay algún mantra o frase que te inspire en tu día a día? L.A.: Se me ocurre una que llevaba Josef Ajram hace años, que era un pionero en España en temas de ultraresistencia, de ultradistancias y demás, que decía: “I don't know where the limit is, but I know where it's not”. Él lo llevaba tatuado en el pecho, diciendo: “yo no sé dónde está el límite, pero sé dónde no está”. Y esto venía ligado a que muchas veces alguien dice: “ya he llegado a mi límite, ya no puedo pasar de aquí”. Eso es lo que crees, que has llegado a tu límite, pero puedes llegar más lejos si sigues forzando las fronteras y esforzándote. A mí también me encanta siempre el de “never give up”, el de “no te rindas nunca”. S.P.: ¡Ya me extrañaba que no lo dijeras! L.A.: Yo creo que es importante saber que a veces las cosas se tuercen. La vida no es una línea recta ni es todo un camino de rosas. Está bien que lloremos cuando tengamos que llorar, pero no podemos bajar los brazos y rendirnos. S.P.: Correcto, totalmente de acuerdo otra vez. Bueno, Lluis, me quedaría hablando contigo aquí todo el día. Muchísimas gracias por tomarte el tiempo para estar aquí hoy con nosotros y contarnos cosas tan importantes e interesantes. Gracias también al equipo de CyberLideria MGZN y a vosotros, los oyentes, por escucharnos. Nos vemos en la próxima, Lluis. Muchísimas gracias. L.A.: Os deseo mucho éxito con esta gran iniciativa de CyberLideria MGZN. S.P.: Perfecto, gracias. Eso espero. Saludos a todos.
15 Julio 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
