CyberLideria MGZN entrevista a Alain Sánchez, EMEA CISO en Fortinet

CyberLideria MGZN: Has trabajado en empresas tecnológicas y de consultoría en distintos roles estratégicos hasta alcanzar el actual. ¿Qué habilidades crees que debe tener un CISO hoy en día?

Alain Sánchez: Un CISO debe tener un conocimiento de las ciencias y tecnologías que soportan las soluciones de red y de ciberseguridad. Las ciencias son, a largo plazo, más importantes que las tecnologías. Por ejemplo, un conocimiento de la rama probabilista de las matemáticas ayuda a comprender el alcance, pero también los límites de la inteligencia artificial.

A estas se suman ahora nuevas diciplinas debido a la dimensión cada día más estratégica del CISO.

Por un lado, nos encontramos con la dimensión legal. El crecimiento en volumen y en sofisticación de los requerimientos de las normativas y la regulación sitúa al departamento que controla la red y la seguridad en una posición única. El CISO, a través de los cuadros de mando de la red, tiene visibilidad de todo lo que sucede en la compañía, el tráfico, las aplicaciones, los lugares físicos, la naturaleza y la frecuencia de interacción humana, entre sistemas, procesos, y objetos conectados. Como consecuencia es el CISO el mejor posicionado para demonstrar la conformidad con la regulación.

Por otro lado, también asume un papel relevante en el plano económico. Durante los años de COVID, cuando la prioridad fundamental era la continuidad del negocio, la rentabilidad económica y de Retorno de la Inversión de la seguridad no eran tan críticas.  La situación ha cambiado sustancialmente. Hoy el CISO tiene que justificar en la junta ejecutiva las inversiones y demostrar que están alineadas con la estrategia general de la organización.

Asimismo, el factor humano también es clave para el desarrollo de su rol. Según un estudio publicado por Boston Consulting Group, el 70% de las transformaciones digitales no alcanzan sus objetivos, lo que a menudo conlleva importantes consecuencias. (Flipping the Odds of Digital Transformation Success, October 2020). Desde mi punto de vista, las transformaciones de seguridad tienen causas semejantes. La dimensión humana suele ser un factor determinante. La inercia organizacional es a menudo la consecuencia de la falta de comunicación entre el CISO y otros departamentos de la empresa, principalmente relevante en el caso del área de operaciones.

C.MGZN.: En un entorno en el que la seguridad es un pilar fundamental para el negocio, ¿cómo se puede inspirar y atraer talento para que se vea este campo como una oportunidad de crecimiento y no solo como una barrera de cumplimiento?

A.S.: Atraer talento implica transformar la imagen que existe sobre el sector de la ciberseguridad, un proceso que debe abarcarse desde diversos prismas: comunicación, pedagogía, modelos de referencia del cambio como perfiles de mujeres que desarrollan con éxito su profesión en un ámbito tradicionalmente masculino, etc. Todas estas dimensiones tienen en común el valor irremplazable del ejemplo.

Un ejemplo de ello es la experiencia de nuestra compañera Ana Castillo, ingeniera de sistemas de la oficina de Fortinet en Madrid que, a través de una serie de talleres que ha impartido a más de 200 estudiantes de entre 10 y 12 años en colegios de Segovia, anima a los más jóvenes a conocer el mundo de la ciberseguridad, además de ser un referente femenino para muchas niñas que puedan plantearse en un futuro desarrollar su carrera profesional en el sector de la ciberseguridad. 

C.MGZN.: La ciberseguridad es un ámbito de alta presión y constante evolución. ¿Cómo ves el panorama actual? ¿qué labor realizas desde tu puesto en Fortinet para mejorar el posicionamiento de la compañía?

A.S.: La ciberseguridad se encuentra en un momento crucial. Después de haber sido una disciplina de segunda categoría, cuyos presupuestos y reclutamiento quedaban bajo el control del CIO, ahora está evolucionando hacia las esferas más altas de la empresa. El punto de inflexión comenzó con el libro de Karl Schwab, el fundador del Foro Económico Mundial, el WEF, llamado La Cuarta Revolución Industrial. Este trabajo, que sitúa a la ciberseguridad como la condición última para el éxito del mundo del mañana, es verdaderamente visionario. Hoy en día, cada vez más jefes de Estado conceden un papel estratégico a la ciberseguridad. 

Una de mis labores en Fortinet es explicar los desafíos de la ciberseguridad a la alta dirección, teniendo en cuenta que la mayoría no tienen un perfil científico ni de ingeniería. La clave está en traducir realidades científicas y técnicas muy avanzadas a términos entendibles y relevantes para su posición. Este es un trabajo de conjunto, ya que no podría realizarlo de manera efectiva si nuestros grandes expertos técnicos no me proporcionaran información de alta calidad. Soy el último eslabón de una cadena científica y técnica que debe expresarse en términos no científicos para ser escuchado por los jefes de Estado y la alta dirección empresarial.  

Hoy en día, nada indica que este movimiento vaya a desacelerarse, y la aparición de OT en todos los sectores nos lleva a pensar que, para asegurar estos miles de millones de objetos conectados, sensores, fábricas inteligentes, automóviles, trenes y aviones, no solo necesitaremos tecnologías, sino también personas capaces de idear y desarrollar una seguridad inteligente.  La seguridad dejará de ser vista como una barrera, y será valorada como un trampolín que inspira el desarrollo de nuevas soluciones. 

C.MGZN.: Has liderado equipos en empresas de distintos sectores y países. ¿Qué le dirías a un CISO sobre el valor que aporta Fortinet? ¿Cuáles son sus principales ventajas competitivas?

A.S.: El CISO del mañana será ante todo un gran conocedor de su sector de actividad antes de ser un experto técnico. Su valor añadido no puede limitarse a asegurar innovaciones decididas fuera de él. Por lo tanto, deberá inspirar estas innovaciones. Del mismo modo que el equipamiento de seguridad activa de un coche de Fórmula 1 determina su aerodinámica. 

Para ello, el CISO tendrá que apoyarse en la visión holística que proporciona una plataforma integrada. Desde este punto de vista, la aportación del Security Fabric de Fortinet constituye una importante ventaja competitiva. La integración funcional se realiza a nivel de sistema operativo. No como un mosaico de puentes, sino como un sistema nervioso central. Desde mi punto de vista, no hay ningún editor que contemple la integración a este nivel. 

C.MGZN.: En un mundo donde la tecnología avanza a pasos agigantados, ¿Cómo puede un CISO mantenerse actualizado?

A.S.: Como comentaba, debemos ir más allá de la tecnología para redescubrir la ciencia. Independientemente de los avances en los algoritmos de Inteligencia Artificial, en última instancia es una cuestión de matemáticas y física. El dominio de estos términos le permitirá al CISO no perderse en esta avalancha de siglas. Pero el regreso a lo básico también conlleva seguir formándonos y, sobre todo, mantener la curiosidad por aprender.

Por último, debemos recordar que la ciberseguridad está al servicio de la organización, por lo que es clave compartir su lenguaje y comprender su cultura. Así, por ejemplo, el CISO del mañana en el sector financiero será un especialista financiero y entenderá y compartirá su jerga.

C.MGZN.: Cómo CISO, ¿Qué recomendaciones puedes proporcionar en torno a la IA en ciberseguridad?

A.S.: La IA es una realidad operativa en muchos departamentos de seguridad. Pero no debemos delegar todo el conocimiento a la IA, de lo contrario nuestra dependencia de ella se convertirá en una pérdida irremediable de la cultura cibernética. Aprovechemos las capacidades de codificación de, por ejemplo, la IA generativa, que ya es capaz de escribir todo en plantillas de firewall, pero sin olvidarnos de auditar y valorar este código generado.

C.MGZN.: ¿Tienes alguna afición o interés fuera del ámbito profesional que te ayude a desconectar y ver las cosas desde otra perspectiva?

A.S.: Me apasiona la música, y tocar la guitarra es la mejor manera para relajarse y desconectar. Mis compañeros y clientes pueden confirmar que siempre viajo con un portátil en un hombro y mi funda de guitarra en el otro.

C.MGZN.: En una industria que evoluciona constantemente, ¿Qué consejo le darías a alguien que quiere desarrollar una carrera en ciberseguridad sin perder de vista una visión estratégica del negocio?

Curiosidad sobre la misión principal de la empresa y cómo la ciberseguridad puede contribuir al negocio. Si podemos conectar cada inversión, cada nuevo paso en la transformación digital, a un imperativo estratégico, entonces estaremos en un camino profesional apasionante.