Juan Cobo, CISO de Ferrovial entrevista a Dimitris Bountolos, CIIO de Ferrovial.

Juan Cobo: Dimitris, eres un líder visionario, alguien relevante en todo lo que tiene que ver con la tecnología, la digitalización, el emprendimiento, no solo a nivel nacional, sino también internacional. Además, eres mi jefe, y esto al final impone mucho, porque normalmente las preguntas las hace él y hoy las voy a hacer yo.

Dimitris Bountolos: Un placer, Juan. Es un lujo ser entrevistado por ti, ya que me conoces mejor que muchos por todo lo que vivimos en el día a día, o sea que juegas con ventaja. 

J.C: Tú eres Director General de Sistemas de Información e Innovación de Ferrovial. Suena relevante, importante y retador. Cuéntanos un poco de qué va tu día a día, tu labor, tu responsabilidad.

Ferrovial es una empresa internacional de origen español, con presencia en muchos países. Es decir, estamos hablando de complejidad y de reto. ¿Cuál es tu papel en todo esto? 

D.B.: Mi rol en la actualidad es anticipar y prever cómo podemos facilitar las oportunidades globales. Somos una compañía que opera prácticamente en los cinco continentes, con nuevos sectores y nuevas oportunidades de crecimiento. Está la parte más digital y la parte más de innovación, que en algunos casos están disociadas. 

Yo tengo el honor y la responsabilidad de juntarlas, aunque pueden llegar a ser contradictorias a veces. Casi parece que ambos hemisferios del cerebro entran en colisión. Una puede ser más expansiva y la otra más de habilitar capacidades. La ciberseguridad está más en el hemisferio izquierdo realmente. 

Hay que orquestar, anticipar y sacarle potencial viendo las tendencias a esas capacidades. Se debe instrumentar a través de equipos globales y profesionales. Hay que convertir el uso de esas tecnologías en una ventaja competitiva.

La adopción de determinadas capacidades digitales se convierte en mi responsabilidad. Esto ocurre con una visión de ciclos, con una apuesta estratégica y con una convicción que está en el origen de la compañía, ¿no?. De que podemos generar valor, mantener competitividad y seguir siendo resilientes en muchos aspectos, incluso en la ciberseguridad, y hacer que todo fluya, a veces siendo muy visible, imponiendo esa visión, y a veces siendo menos visible, porque lo que queremos es facilitar, sin coartar la capacidad del negocio, que despliegue sus dinámicas de trabajo con las mejores herramientas, con los mejores productos, con los mejores servicios, y eso a veces requiere anticipación y una convicción muy grande de que se puede generar valor.

J.C.:Desde luego suena muy retador. Dimitri, eres una persona muy joven, para la responsabilidad que tienes hoy en día, y, me consta, obviamente, que no solo hoy en día, sino antes has tenido muchas responsabilidades, también en muchas geografías y en distintos negocios. ¿Puedes hablar un poco de tu background?, porque yo creo que es muy interesante, tanto en la parte tecnológica como en la parte innovadora.

D.B.: ¿Qué cómo he llegado a Ferrovial?. A veces es bueno mirar atrás con un poco de perspectiva.

Tengo 45 años, 23-24 años de historia laboral, que en función de la intensidad y los sectores, yo considero que tengo radioactividad para tres vidas. Me consta. Las canas que ya empiezo a tener en abundancia son casi de tres vidas dedicadas a esto. Yo he sido muy inquieto y muy curioso. No he tenido una vocación clara. Siempre me ha gustado visualizar el impacto y ser partícipe, dentro de lo posible, del proceso. Y eso, en un momento dado, me llevó a estudiar Ingeniería de Caminos, una disciplina, una profesión muy habitual en la compañía en la que estoy en la actualidad, pero no me he dedicado a este sector. 

De cierto modo, soy un poco un outsider y tampoco me considero un perfil que haya desarrollado su carrera desde la tecnología o desde lo digital.

He pasado por la gran corporación, como en esta etapa en Ferrovial. He pasado por startups en las que me he sentido el dueño de un negocio incipiente, de un reto con múltiples aristas y luego he estado también en la consultoría. 

Las tres disciplinas las aprecio, las valoro, comprendo la complejidad, pero hubo un momento en el que empecé a sentirme mucho más cómodo con el poder de transformación que a través de una gran corporación puedes desplegar. Si tienes un equipo, una misión y un proyecto es más fácil.  

Empecé en operaciones, pero rápidamente me di cuenta que intentaba transformar las operaciones sacándole partido a la tecnología, más incipiente hace 25 años. Tuve etapas muy vinculadas a aperturas de infraestructuras importantes, como el aeropuerto de Barajas, una carrera en el sector de la aviación, en concreto las aerolíneas, de prácticamente 10 años, en el que aprendí muchísimo, en el que el trato humano en momentos de tensión, 24 horas, con crisis de todo tipo, con procesos complejos de fusiones, con entornos en los que te sentías impotente. 

Un volcán, una nevada, una huelga en la que te veías incapaz de cambiar determinadas condiciones, me hicieron quizás madurar mucho más rápido de lo que en condiciones normales habría sido lo habitual, con 25, 26 años.

También me quemé muy pronto. Se dice pronto, ¿eh?. Sí, cuatro o cinco mil personas en aquel entonces, miles de vuelos en tiempo real. Maduré en esa etapa muy rápido y seguí ese ciclo en Iberia, luego como consultor, y después como emprendedor en el sector espacial.

Siempre digo que he ido vinculándome al transporte a diferente nivel de vuelo. Al principio en carretera, luego avión, luego el espacio. Casi nos salimos de órbita, y fue una experiencia muy interesante en la que intentamos desde España retar un poco el status quo y hacer posible el emprender con una empresa privada en un sector para nada convencional, desde luego.

Y que hoy también da espacio a la iniciativa privada. La consultoría que me dio método, me dio foco y me ayudó a entender el mundo desde la prescripción. A veces tenía esa sensación de no poder rematar la faena o no poder acabar de ver lo que había prescrito. Por esa sensación muchas veces de los consultores, la de no poder involucrarte o tener skin in the game hasta el último momento.

Tuve la oportunidad en un momento dado de empezar a viajar y trabajar en diferentes ubicaciones. Salté a Latinoamérica, fue un periodo muy importante. Por ver la dimensión de un continente que, a veces,  minusvaloramos el valor de culturas muy diferentes, pero con un capital humano muy potente, con ganas de marcar la diferencia. Y ahí estuve en Latam como Chief Digital Officer en un B2C, muy interesante.

Es una gran presión pero en esta etapa es muy diferente, siendo una compañía que gobierna procesos principalmente en B2G. Y al terminar esa etapa, en un ciclo en el que sentía que había cerrado un poco el mandato, se me aproximó, por alineamiento de astros, la oportunidad de evolucionar el ciclo que mi anterior predecesor había terminado.

Y conocía la compañía, pero no conocía el detalle del mandato, la visión tan ambiciosa, muy vinculada a los valores fundacionales de cuál era ese propósito. Y de manera fluida entendía el contexto. Conecté otra vez con mi ingeniería de caminos y ya llevo cuatro años prácticamente en la casa.

Parece que fue ayer. Parece que fue ayer, la verdad. Pero tengo que decir que llevo ya casi 20 años en la compañía.

20 años, sí, sí. Necesito perspectiva. Juan Melada tiene un retrovisor con lupa, con microscopio.

El tiempo pasa muy rápido cuando con pasión te vinculas a un equipo. Cuando incorporas ambición y un poco de criterio. Muchas veces tenemos que frenarnos por esa parte de innovación. 

Y luego la famosa excelencia. O sea, uno de nuestros valores en la casa es la excelencia. Que es ese inconformismo continuo, esas ganas de salirte del status quo y plantearte retos que a veces son difíciles de creer. Estamos, a lo mejor, vinculados al ingenio. Estamos rodeados de un talento con múltiples ingenieros de muchísimas disciplinas. Y el retarte a hacer cosas no convencionales.

Construir hace 25 años el Google Engine cuando no se sabía cómo se podía hacer en un ámbito digital. Casi que por ósmosis vivimos esa visión y han pasado volando estos cuatro años.

Y entiendo que seguirá así. Es el ADN de la casa. 

J.C.: Bueno, vamos a hablar un poco también de ciberseguridad.

Es evidente que, por todo lo que estás comentando, manejas muy bien el lenguaje de negocio. Es decir, siendo la persona con la última responsabilidad en todo lo que tiene que ver con digitalización y con tecnología, tu discurso es siempre muy bueno, muy alineado. No voy a decir alineado con el negocio, más bien muy de negocio, ¿no?. Entendiendo lo que tu mandato representa para la compañía, que en el fondo es generar valor para nuestros stakeholders.

Dentro de tu mandato, dentro de este lenguaje, dentro de lo que es el negocio y dentro de tu responsabilidad con la ciberseguridad, ¿qué es para ti la ciberseguridad? ¿Cómo la ves? ¿Qué representa para Ferrovial? Y, ¿cómo entiendes tú que hay que gestionarla?

D.B.: Yo creo que tú lo has dicho. Creo que en nuestra división, yo lo lidero por convicción, pero creo que es una forma de aproximarnos que todos, de un modo u otro, vivimos en el día a día. No nos sentimos como una parte, no nos sentimos como un complemento, ni un accesorio, ni una necesidad que se llama o se activa ante un problema. Somos una división indisoluble a la posibilidad de crear valor y a la posibilidad de destruir valor, muy rápido o muy lento. Y posicionarnos como una pieza estratégica cerca de los que tradicionalmente estaban llamados a ser el negocio, para nosotros es natural. Lo que tenemos que hacer es decodificar cómo facilitamos que esas oportunidades lleguen en muchas disciplinas.

Y en concreto, en la ciberseguridad, mi visión, entiendo que es compartida. Y viene de muy atrás. Es algo que yo puedo poner sobre la mesa como un legado que he aportado. La ciberseguridad es el compromiso con garantizar que los riesgos, que son muy diversos y cambiantes y que no paran de mutar conforme la tecnología va evolucionando, están identificados, están tasados y se minimizan a través de un compromiso en el que, sabiendo lo que te juegas, pones los medios para minimizar que eso pase.

Los medios no pueden ser infinitos y el riesgo cero es imposible de abordar, ni siquiera teniendo la excelencia como tu principio. Pero en ese equilibrio incómodo en el que saber dónde estás y qué puedes tolerar y saber qué es lo que hay fuera te obliga a posicionar la ciberseguridad frente a esos riesgos provenientes de un conjunto de atacantes que operan negocios muy lucrativos y que tienen en compañías como Ferrovial y otras muchas su target. Nosotros tenemos la responsabilidad de crear planes, trazar procesos, definir estructuras de gestión y de control, identificar partners e incorporar soluciones tecnológicas que detecten, minimicen, operen y generen esa famosa resiliencia. 

No quiero estar preparado para no sufrir ataques porque los sufriremos, quiero estar preparado como organización para poder saber gestionarlos y a veces en ese equilibrio tenemos que priorizar, tenemos que gestionar cómo se despliegan programas, tenemos que acompañar al negocio con la intención de no ser forénsicos, que es algo que habitualmente en nuestra disciplina tiene efectos colaterales mucho más dañinos. 

Debemos ser prescriptivos y anticiparnos a los futuros riesgos porque la capacidad de implementar soluciones o desplegar capacidades típicamente requiere un tiempo en el que, si el riesgo existe, tienes una debilidad o un gap que no va a poder ser cubierto y que te va a obligar a trabajar más en la remediación que en la anticipación. Es estructural en la casa y lo sabes, obliga a una gestión del cambio continua y es la suma de todas las disciplinas que en una compañía se requieren para gobernar un proceso y un proyecto, en este caso siendo estratégico. Porque el impacto cada vez más lo estamos viendo y la escalada del posicionamiento del riesgo del ciberataque dentro del ranking de riesgos hoy por hoy es uno de los más importantes en cualquier compañía. 

Una persona que es miembro del Comité de Dirección de Ferrovial,  ¿dónde posiciona la ciberseguridad?. Es algo absolutamente ligado a la generación de valor de una compañía y algo que es un riesgo relevante que hay que gestionar. El mensaje, desde luego, si yo fuera el CISO de esta compañía me gustaría tenerlo.

J.C.: Tú como miembro del Comité de Dirección de Ferrovial, y este ha sido tu mensaje, ¿cómo ves el papel de un comité de dirección y del consejo? Hoy en día ya sabes que, poco a poco, y es verdad que cada vez hay más cultura, más sensibilidad, las grandes compañías y la regulación también ayudan. Tienen claro que la ciberseguridad o las ciberamenazas van directamente contra la cuenta de resultados, contra las operaciones, contra la capacidad de generar valor. ¿Cómo ves al Consejo de Ferrovial, al Comité de Dirección de Ferrovial? En su implicación, en su responsabilidad con la ciber y,  ¿cómo, en general, crees tú que debería ser esto? 

D.B.: Quizá esté totalmente alineado, ¿no?. Yo creo que lo primero es confirmar y reforzar que no estamos viviendo una tendencia. Hemos vivido en el ámbito de la tecnología tendencias o etapas en las que parecía que se estaba aproximando una ola, que luego se convertía en un hype y que luego se diluía. Y podemos poner algunas, como blockchain, metaverso y la IA no es un tsunami. Yo creo que todos lo entendemos, están aquí para quedarse.

La awareness y la sensibilidad de cuán importante es tener una estrategia elevada hasta el nivel del Consejo que te permita instrumentar los riesgos, operarlos, tasarlos y minimizarlos es estructural. No se vive desde la urgencia, o entiendo que los board o los órganos de gobierno, con un buen governance no viven esto desde la urgencia, lo viven desde la responsabilidad que tiene que crear estructuras, modelos de reporte, y capacidades muy consolidadas. Eso es lo que tenemos en la casa. 

La regulación está ayudando a ordenar lo que se gobierna,  a mantener esa sensibilidad, y a que genere mecanismos de reporte, que identifique estándares con los que te puedes comparar. Y a partir de ahí creas tu hoja de ruta.

Tenemos un board global, operan en empresas globales, son sensibles a esos riesgos, los asumen, los interiorizan y desde una visión de largo recorrido definimos planes, proponemos planes y tasamos cuál es la mejor hoja de ruta. Cuando tienes múltiples negocios en múltiples geografías y múltiples activos o negocios tienes que entender que el nivel de ambición hay que equilibrarlo con una hoja de ruta en la cual hay diferentes sendas que operan en paralelo. No es lo mismo un anillo perimetral remoto en el que el IoT o la convergencia de endpoints que son diferentes a los que tenemos en un entorno corporativo. O sea, entender que puedes tolerar diferentes niveles dentro de una compañía es importante y eso requiere mucha educación, elevar continuamente cuál es tu postura y cuál es la exposición que tienes y luego ser muy transparente a la hora de plantear que no basta con intentar converger con un estándar porque asumimos la realidad o la tristeza de los últimos años y la tendencia que proyectamos es que el nivel de sofisticación y el nivel de evolución de los vectores de ataque nos obliga a estar siempre en alerta y eso también es algo que tenemos que trasladar continuamente a los órganos de gobierno y al board. 

La convergencia con un nivel de defensa nos obliga a estar constantemente valorando si el nivel de inversión es el correcto, si el nivel de obsolescencia crece.

Es una disciplina injusta a veces porque cuando llegas a la meta te das cuenta que empiezas la salida y eso tienes que asumirlo porque es una especie de maratón en un loop continuo en el que estar en movimiento es más importante que pensar que has llegado a un destino en el que estás seguro. 

Esa sensación de incomodidad yo la tengo y vivo con ella en el día a día, me consta que tú la tienes y tu equipo y la gestionamos con tranquilidad y se la hacemos llegar también al consejo y al Comité de Dirección porque sentirte incómodo o insatisfecho con tu proyección de cómo te vas a defender es una forma de saber que siempre tienes que estar alerta. 

J.C.: Desde luego. Has hablado de educación. Vamos a pasar un poco a hablar de cuán necesaria y relevante es la educación.

Vamos ha hablar ahora, más que en el contexto del Consejo, del Comité de Dirección, que yo creo que está bastante asimilado el mensaje, ¿cómo ves o qué hay que hacer en materia de educación con nuestros usuarios, con nuestros empleados, con nuestros colaboradores?

¿Cómo de manera recurrente gestionamos la cultura de ciberseguridad o cómo lo ves tú? ¿Cuál es tu visión? 

D.B.: Mi visión es que al final es una red de interacciones en las que el eslabón más débil típicamente es el que está más desvinculado de todas estas dinámicas corporativas. Vivimos cada vez más en redes abiertas, operamos en redes que no gestionamos, los endpoints cada vez son más fluidos, son móviles, tenemos decenas de miles de puntos que pueden ser justamente la fractura, la debilidad por la que entre ese vector de ataque. Hacer consciente, sin paralizar al usuario final, que todos tenemos una responsabilidad en función del rango, rol, función y dar las pautas de una manera fácil de cuáles son los criterios básicos, ayudados cada vez más por las herramientas que desplegamos, que no se ven, que facilitan que tengamos esa visión aumentada y cada vez más con orquestación, automatización y el uso de IA es muy importante.

Atemorizar desde la función que representamos al usuario final y generar el miedo a interactuar con un entorno de trabajo que tiene que ser su día a día, que tiene que ser fluido, tiene que ser orgánico y tiene que tener cero fricción, también es nuestra responsabilidad. 

Yo creo que ahí hay un compromiso, un equilibrio entre ser consciente de que tienes que tener cada vez más claros cuáles son los riesgos, incorporar la prudencia y unos hábitos sanos a la hora de evitar convertirte tú en el vector de ataque que falla por algo relativamente intuitivo y luego tener la confianza de que hay un equipo, unos medios, unas capacidades que velan por ti sin estar presentes y cada vez más. Y en ese equilibrio también hacer un triaje y poner en valor que hay roles y funciones que obviamente tienen más exposición, tienen mayor capacidad de ampliar el problema.

Sobre esos, segmentar, perfilar, personalizar planes específicos desde el board hasta el último empleado que se incorpora y en su plan de onboarding generarle ese awareness y luego crear, es una obsesión, una cultura instrumentalizada con soluciones digitales que te ayuden a escalarlo, generar decenas de miles de simulacros, personalizarlos, tener cuadros de mando, tener tu risk profile para que tú mismo puedas compararte y hagas ese assessment sin sentirte expuesto y recibas cursos personalizados para que el gap se te cubra. 

Es una obsesión y es una dinámica más de gestión del cambio que tecnológica. Desde luego.

J.C.: Bueno, comparto totalmente el mensaje. No solo es un tema, esto nos pasa a los CISOs a veces. Sentimos la responsabilidad de educar, concienciar, pero también tenemos que trasladar la responsabilidad a cada uno de, voy a decir, de los empleados o colaboradores, usuarios en general, que no dejan de utilizar sistemas en entornos digitales, que no dejan de ser a veces armas en sus manos.

D.B.: No hay que poner en riesgo el valor de una compañía. Es un balance entre educar, pero también asumir responsabilidad. Yo he tenido contigo, creo que en los últimos años y a futuro, esa responsabilidad que trasladamos a los empleados de una manera natural, estamos empezando a extenderla a nuestra cadena de suministro.

Una compañía como la nuestra con 40.000 proveedores que se convierten en partners estratégicos, garantizar que con respecto a la ciberseguridad estamos alineados, tenemos las mismas herramientas, es clave y va a ser una tendencia creciente. Está claro.

J.C.: La verdad es que podríamos estar hablando con Dimitris horas y horas. Ya os dije que es una persona relevante, emprendedora y fascinante. Muchas gracias Dimitris.

D.B.: Encantado