Rincón del CISO
La colaboración entre CIOs y CISOs será vital en la evolución del modelo operativo de ciberseguridad en la empresa Los directivos de ciberseguridad se enfrentan a una avalancha de riesgos cibernéticos, los cuales tienen un crecimiento exponencial, en volumen, complejidad y alcance. Estas labores chocan con las labores de los CEOs y los empleados fuera del sector de la tecnología de la información de la empresa, que están tomando decisiones, buscando soluciones tecnológicas y haciendo peligrar la seguridad cibernética de la empresa. La mejor defensa que pueden adoptar actualmente para evitar estos posibles escapes dentro de la misma empresa, por decisiones personales de empleados sin conocimiento de ciberseguridad, es la centralización con un enfoque de descentralización. El equipo de IT bajo los mandos del CIO y del CISO debe tener un control global sobre la seguridad de la empresa, e imponer una serie de estándares, requisitos o políticas. Pero a su vez, permitir flexibilidad para que cada equipo tome decisiones operativas y ajuste sus prácticas de acuerdo con su contexto. Otro paso de gran importancia para los directivos de ciberseguridad es alejarse de la metodología Waterfall para acercarse a la metodología Agile, es decir pasar de un enfoque tradicional y lineal a un enfoque más flexible y colaborativo. La integración de nuevos roles, como el puesto de BISO, es decir, alguien responsable de actuar como nexo entre el equipo de IT y el área de negocio, La adaptación de nuevas formas de trabajo con nuevos procesos, como los cloud-first, teniendo claro el tipo de nube que se está contratando, ya sea privada, híbrida o multicloud y asegurarnos de que es la opción correcta para nuestros datos. Los CIOs deben colaborar estrechamente con los CISOs para garantizar que la estrategia y el programa de ciberseguridad estén alineados con los objetivos del negocio y el nivel de riesgo que la organización está dispuesta a asumir. Esta cooperación es clave para identificar nuevas tecnologías que no solo fortalezcan la seguridad, sino que también impulsen los resultados empresariales y respalden la transformación digital de la compañía. Además, es fundamental que ambos trabajen en conjunto con los principales líderes de la organización para establecer un consenso sobre el nivel de riesgo aceptable. A partir de esta alineación, deben definir un plan estructurado para gestionar esos riesgos de manera efectiva, asegurando que la ciberseguridad se integre como un pilar estratégico dentro de la empresa.
10 Marzo 2025
Rincón del CISO
Kiko León, Customer Director España de Decathlón entrevista a Jose Luis Alonso, CEO de Kyocera Kiko León: Para comenzar, me gustaría que nos contaras un poco sobre tu trayectoria. ¿Qué te llevó a asumir el rol de CEO de Kyocera y cuáles han sido los momentos clave que han marcado tu carrera? Jose Luis Alonso: Cuento con una trayectoria profesional de más de 20 años en el sector TIC, habiendo desempeñado distintas posiciones directivas en diversas multinacionales. Sin duda, el papel de CIO es una escuela incomparable en términos de adaptación y visión, donde la capacidad para comprender tanto el panorama tecnológico como su impacto en las personas y los procesos ha sido fundamental. Siempre he sentido una gran pasión por la tecnología y por su capacidad para transformar las organizaciones. En Kyocera, he tenido la oportunidad de liderar proyectos de transformación e innovación que han impactado directamente en nuestro negocio y en la satisfacción de nuestros clientes. Creo que mi transición a CEO en 2018 fue natural, ya que me permitió ampliar esta visión y enfoque, impulsando una transformación integral de la compañía desde una perspectiva de liderazgo. Además, el apoyo de todo el equipo de Kyocera y el respaldo de la dirección en Europa y Japón han sido fundamentales para dar este paso. Sin duda, he enfrentado grandes desafíos en la evolución de mi rol. Pasar de gestionar áreas tecnológicas a dirigir toda la compañía requiere una visión más amplia y transversal. Como CEO, es esencial equilibrar múltiples prioridades, como el crecimiento financiero, la cultura corporativa y la diversificación comercial. En cuanto a momentos clave en mi carrera, no puedo dejar de mencionar el periodo de la pandemia, que puso a prueba nuestra capacidad de resiliencia. Siempre insisto en que los problemas técnicos tienen soluciones técnicas, pero gestionar situaciones que afectan a las personas conlleva múltiples enfoques y decisiones más complejas, que requieren altas dosis de empatía y capacidad de escucha. Visto con perspectiva, fue una oportunidad extraordinaria para fortalecernos como equipo, aportar valor y generar un impacto positivo. También destacaría el proceso de transformación que estoy liderando en la compañía, donde el enfoque en la diversificación y las sinergias ha sido esencial. Nos gusta decir que somos nuestro primer caso de éxito, como reflejo de nuestra capacidad de anticipación al cambio y nuestro modelo de gestión. K.L.: Desde tu perspectiva, ¿cuál crees que es el mayor reto para los CIOs que aspiran a desarrollarse profesionalmente hasta alcanzar el cargo de CEO? J.L.A.: Vivimos tiempos de transformaciones a gran escala, donde la velocidad y magnitud de los cambios dificultan la toma de decisiones. Esto ha generado nuevos desafíos para las organizaciones, que deben adaptarse para garantizar la continuidad del negocio y sus operaciones. En este contexto, la transición de CIO a CEO implica un cambio de enfoque: pasamos de gestionar tecnología y optimizar operaciones a crear una visión y estrategia global que abarquen cada aspecto de la organización. El mayor reto es desarrollar una visión de negocio integral, anticiparse y saber trasladar el valor de la tecnología a todas las áreas, no solo como una herramienta operativa, sino como un habilitador de nuevos modelos de negocio capaces de absorber estos cambios. Además de su conocimiento profundo en soluciones tecnológicas, el CEO debe enfocarse en el crecimiento sostenible y la alineación estratégica. Este cambio requiere preparación, pero también una gran capacidad para delegar en un equipo sólido y de confianza, como el que tengo la suerte de liderar en Kyocera. Desde mi experiencia, recomendaría a los CIO que aspiran a convertirse en CEO que aprovechen cada oportunidad para aprender más allá del ámbito tecnológico, desarrollen sus habilidades de comunicación y, sobre todo, adopten una visión humana y empática del liderazgo. El éxito como CEO no se mide solo en resultados financieros, sino en la capacidad de inspirar a las personas y generar un impacto positivo en la sociedad. K.L.: El concepto de "humanismo digital" pone a las personas en el centro de la tecnología. Como CEO de una compañía tecnológica, ¿cómo logras equilibrar tu rol con esta visión más humanista? J.L.A.: En Kyocera, nuestra filosofía se basa en el principio de "hacer lo correcto como seres humanos", lo que refleja una visión profundamente humanista en todo lo que hacemos. Este enfoque ha guiado mi liderazgo y ha sido clave en mi transición de CIO a CEO. Como CIO, entendí que la tecnología debe ser un habilitador, no un fin en sí misma. Ahora, como CEO, mi responsabilidad es asegurar que las soluciones tecnológicas que ofrecemos no solo impulsen la productividad, sino que también mejoren la vida de las personas y fomenten un entorno de trabajo más humano. K.L.: ¿Cómo fomentas una cultura empresarial que priorice el bienestar de los empleados mientras promueves la innovación tecnológica? J.L.A.: Fomentar una cultura empresarial que priorice el bienestar de los empleados es esencial para que la innovación tecnológica florezca de manera sostenible. En Kyocera, entendemos que las personas son el motor detrás de cualquier avance, por lo que trabajamos para crear un entorno donde puedan desarrollarse tanto profesional como personalmente. Esto implica promover un equilibrio entre la vida laboral y personal, ofrecer programas de formación continua y mantener un diálogo abierto que permita a los empleados expresar sus ideas y necesidades. El concepto de "humanismo digital" es clave en este enfoque, ya que nos recuerda que la tecnología debe ser una herramienta al servicio de las personas. Aplicamos esta lógica tanto en nuestras soluciones para clientes como en nuestra propia organización. Cuando los empleados sienten que trabajan en un lugar que valora su bienestar y su potencial, se convierten en agentes del cambio y la innovación. Este equilibrio entre bienestar e innovación no es solo una estrategia de negocio, sino una forma de liderar con propósito y humanidad. Nuestro modelo de gestión, basado en nuestra filosofía corporativa, busca brindar oportunidades para el crecimiento material e intelectual de nuestros empleados y contribuir al avance de la sociedad. K.L.: Como líder, ¿cuáles son los valores más importantes en tu vida personal y cómo los aplicas a tu manera de dirigir la empresa? J.L.A.: Estoy convencido de que la conversación y la escucha activa son las mejores herramientas, tanto en el ámbito personal como en la dirección de una empresa. Al asumir el rol de CEO en Kyocera, quise preservar y fortalecer el espíritu de equipo, respetando el legado de la compañía, pero también adaptando nuestra cultura al contexto actual. Ser un líder accesible y fomentar el desarrollo de cada persona es clave para que esa cultura siga creciendo. Trabajo desde la transparencia, creando espacios de comunicación directa y motivando a los empleados a expresar sus ideas y colaborar más allá de sus roles. Un ejemplo de ello es nuestra reunión mensual de plantilla, donde compartimos los resultados de la compañía, los desafíos y también los logros. Con nuestros partners, he impulsado foros de escucha donde son protagonistas y aportan su visión. En ellos analizamos el estado del negocio y del mercado, debatimos sobre diversificación y estrategias de crecimiento, y buscamos fortalecer tanto nuestras compañías como nuestra relación. K.L.: En un mundo tan conectado, ¿cómo logras desconectar y qué hobbies practicas para mantener el equilibrio entre el trabajo y la vida personal? J.L.A.: En un entorno tan acelerado, equilibrar la vida profesional y personal es una prioridad para mí. Practico hobbies que me ayudan a desconectar y ver las cosas desde otra perspectiva. El golf, por ejemplo, es una gran escuela de concentración, precisión y superación. También disfruto cocinar con buena música y un aperitivo, especialmente cuando puedo compartirlo con mi familia y amigos. Intento – y recomiendo – sacar tiempo a diario para hacer ejercicio o leer. Estas actividades me ayudan a mantener la claridad mental y a generar nuevas ideas desde una óptica distinta. K.L.: Para finalizar, ¿cómo imaginas el futuro de Kyocera ante los nuevos retos tecnológicos desde tu perspectiva de CIO transformado en CEO? J.L.A.: El futuro próximo de Kyocera estará marcado por nuestra capacidad de adaptarnos a un entorno tecnológico y sociodemográfico en constante evolución, pero siempre manteniendo nuestra esencia: ofrecer soluciones que generen valor real para las personas y las empresas. Desde la perspectiva de alguien que ha sido CIO y ahora es CEO, veo este futuro como una oportunidad para combinar lo mejor de la tecnología con una visión estratégica y humana. Uno de los principales retos será continuar impulsando la transformación digital de nuestros clientes, liderando en áreas clave como la sostenibilidad, las soluciones cloud y la automatización inteligente. Queremos ser más que proveedores; queremos ser socios estratégicos en su camino hacia la modernización. Al mismo tiempo, internamente trabajaremos en desarrollar talento, fomentando una cultura que abrace la innovación sin perder de vista la importancia del bienestar y la diversidad en nuestros equipos. Creo firmemente que este enfoque dual, tecnológico y humano, es lo que garantizará que Kyocera siga siendo relevante y competitiva en el futuro. Mi experiencia como CIO me ha dado una base sólida para entender las tendencias tecnológicas y sus implicaciones, mientras que mi rol como CEO me permite traducir esas ideas en una visión. Kyocera tiene un gran potencial para seguir transformándose y mi objetivo es que esa esencia se mantenga sólida, impulsando una evolución más allá de las cifras, asentada en el impacto positivo que generamos en nuestros clientes, empleados y en la sociedad.
5 Febrero 2025
Personaje del mes
Juan Cobo: Hola Eva, muchas gracias por concedernos esta entrevista. Es un placer tenerte como nuestro Personaje del Mes de Enero en la revista. Permíteme presentarme, soy el CISO Global de Ferrovial, donde llevo ya 20 años. En este tiempo, he podido ver cómo ha evolucionado la tecnología en ciberseguridad y su impacto en los negocios. Por eso, me gustaría mucho conocer más sobre Afflelou, su trayectoria y la presencia que tiene en España. Eva Ivars: Gracias, Juan, el placer es mío. Te cuento un poco sobre nosotros: Afflelou lleva también 20 años en España, como filial de una empresa francesa con capital 100% francés. Nos dedicamos al retail sanitario,conectando a las personas con el mundo a través de la vista y el oído. Lo hacemos mediante nuestras gafas, porque ver bien es esencial para conectar con el entorno, y a través de audífonos diseñados para mejorar la capacidad auditiva. Así ayudamos a las personas a relacionarse plenamente con el mundo que las rodea. J.C.: ¿A qué te refieres con retail sanitario? E.I: Me refiero a que nosotros estamos en el sector retail (venta al consumidor final) y en el sector salud (regulados por Sanidad). Ahora mismo tenemos 365 ópticas en España que son centros sanitarios. Como comprenderás, la sensibilidad de nuestros datos es muy alta y necesita niveles de seguridad muy elevados. En cuanto a nuestro modelo de negocio retail, contamos con dos tipos de tiendas, además de nuestra presencia en el canal online, que es transversal a todo. Por un lado, gestionamos 80 tiendas propias, que representan aproximadamente el 20% de nuestro total. Por otro lado, tenemos 285 tiendas que operan bajo el modelo de franquicia. J.C.: ¿Cuánto tiempo llevas en la compañía? E.I: Llevo casi 20 años en los cuales he tenido que ocupar distintas posiciones, haciendo cosas muy diferentes, y he tenido que evolucionar y reinventarme todo el rato. Cuando llevas tantos años en una Compañía buscas algo que te emocione. El Affelou de hace 20 años no tiene nada que ver con el Afflelou actual. Hace dos décadas,solo contábamos con 80 tiendas, no teníamos el área de audiología, y la mayoría eran sucursales (tiendas propias). Desde entonces, la evolución ha sido enorme en todos los aspectos. Juan Cobo, Global CISO de Ferrovial entrevista a Eva Ivars, CEO de Afflelou España y Portugal J.C.: Teniendo en cuenta tu trayectoria de 20 años en la misma empresa, donde has ocupado diversas funciones, se puede decir que tu evolución ha sido clave para alcanzar el éxito y llegar a la posición de máximo directivo de la compañía, ¿cómo describirías tu evolución profesional? ¿Y en qué momentos han sido más significativos en tu camino hacia el liderazgo en Affelou? E.I.: La vida en si misma está en constante cambio, por lo que mi evolución profesional ha tenido que seguir ese mismo ritmo. Sin cambio y evolución, simplemente dejaríamos de crecer, y creo que, a lo largo de estos años, he ido adaptándome a ese proceso de transformación. En mi caso, esa evolución ha respondido a dos factores, divertirme y aprender. Mi trayectoria profesional se puede dividir en tres etapas. La primera fue una fase de búsqueda, en la que pasé diez años en el mundo del marketing y la comunicación explorando cuál era mi lugar, qué me apasionaba y qué tipo de trabajo quería desempeñar. Durante esa etapa, fui probando y experimentando diferentes roles. La segunda etapa fue de crecimiento y expansión, cuando me uní a Afflelou. No lo hice como CEO, sino como responsable del departamento de marketing, con el reto de crear desde cero esa área dentro de la empresa. Fue una etapa clave para el lanzamiento de la compañía en España y también para mi evolución profesional, hasta llegar a la posición que hoy ocupo A lo largo de estas etapas, cuando la compañía experimentaba un buen momento, surgían nuevas oportunidades y retos. Siempre me preguntaba: "Si ya estoy haciendo esto, ¿por qué no intentar lo otro?". Esto ha sido posible gracias a estar en una empresa liderada por un emprendedor, que no seguía una estructura jerárquica rígida, sino que ofrecía flexibilidad para asumir diferentes responsabilidades. Durante años, mi rol ha sido un proceso continuo de crecimiento y expansión, lo que me ha permitido ocupar diferentes posiciones en áreas como marketing, ventas, franquicias e incluso roles internacionales. Después en 2012 me propusieron ser Directora General y, poco después, Consejera Delegada. Fue un momento de asumir grandes responsabilidades. Desde ahí, mi trayectoria profesional dio un giro hacia una etapa de madurez, donde no solo me concentré en el rol ejecutivo en España, sino que también asumí más funciones dentro del grupo. En 2018, dentro del grupo, habíamos sido pioneros en cuanto a transformación digital. Habíamos digitalizado muchos aspectos de la empresa de manera natural. Pero en ese año, junto con nuestros fondos de inversión, decidimos lanzar un proyecto más estructurado, con fases definidas, estrategias y objetivos claros, tal como lo hacen los consultores. Fue un proyecto transversal en el que también asumí un rol clave. Eso sí, siempre tengo en mente la pregunta: "¿Lo que estamos haciendo, lo entendería el consumidor en la calle?" Este enfoque hacia el cliente me lleva a pensar también en los franquiciados, como el de la Línea de la Concepción o Lalín. Es crucial que todo lo que hagamos sea comprensible y útil para ellos, en cualquier parte del país. Hoy en día, en lo que llamo una etapa más madura, me he involucrado en diversas iniciativas fuera del negocio, como la Cámara de Comercio Francesa, la Fundación Woman Forward, y otras asociaciones del sector retail y franquicias. Esto me ha permitido salir de la burbuja del día a día de la empresa y aprender de otras industrias y perspectivas, tener una mirada global. J.C.: ¿Cuáles son los momentos más significativos en tu evolución? E.I.: Los momentos más significativos en mi trayectoria han sido, sin duda, los más disruptivos, aquellos marcados por la adversidad. Durante mi tiempo en la compañía, he vivido tres grandes crisis, y cada una de ellas ha sido una oportunidad para crecer, liderar y transformar. El primer gran momento de crisis fue en 2008, cuando la situación económica global afectó especialmente a España. Aunque fue una crisis mundial, el panorama español vivió momentos muy duros: el desempleo creció, la gente no podía pagar, e incluso muchos retrasaban la compra de gafas. Los franquiciados se enfrentaron a problemas de tesorería, con deudas que no podían saldar debido a la falta de ingresos. Aunque la caída de ventas no fue tan grave para nosotros, los problemas financieros fueron significativos para muchos, especialmente aquellos que no podían hacer frente al alquiler de los locales o hipotecas. Otro momento disruptivo que enfrentamos fue la pandemia. Un día todo estaba funcionando con normalidad, y al siguiente nos vimos en una situación de total incertidumbre. Los franquiciados estaban perdidos, los empleados no sabían qué hacer, y todos nos vimos afectados por cambios en la legislación laboral: ERTEs, ayudas, ICOs, y reales decretos que cambiaban día a día. La incertidumbre era tal que nuestra labor consistió en acompañar a todos, estar disponibles prácticamente las 24 horas del día, porque cada jornada traía nuevos desafíos. Mirado con perspectiva, aunque fue un momento muy difícil, también fue una gran oportunidad de aprendizaje. Fue en esos momentos cuando realmente pudimos ver el valor de nuestro trabajo, estrechar los lazos con nuestro equipo de dirección, franquiciados y colabores. Pudimos entender quiénes estaban realmente comprometidos en los momentos complicados. Recientemente, aunque no tan trascendental como las crisis anteriores por su alcance global, la DANA también ha representado un reto para ciertas regiones. Por ejemplo, en Valencia perdimos dos tiendas debido a las inundaciones. Afortunadamente, no hubo víctimas humanas, pero algunos de nuestros empleados y franquiciados perdieron coches y viviendas, y lo peor, los daños morales. En momentos como estos es cuando te das cuenta lo valioso que es tu trabajo, porque más allá de los negocios, estamos trabajando con personas y estas relaciones humanas son las que hacen que momentos tan difíciles se conviertan también en experiencias de aprendizaje y crecimiento. J.C.: Aprovechando que estábamos hablando de las crisis financieras, la pandemia o la DANA, surge una pregunta sobre resiliencia. Este concepto, tan presente hoy en día, se refiere a esa capacidad no solo de sobrevivir a los momentos complicados, sino también de recuperarse y evolucionar a partir de ellos. Tú, que claramente eres una persona resiliente, que empujas constantemente hacia adelante, ¿cuáles son tus estrategias de resiliencia, tanto a nivel personal como profesional? ¿Cómo lo gestionas? ¿Qué te permite adaptarte a las situaciones difíciles, reponerte y seguir adelante? E.I.: Parece que todo, los tiempos, la incertidumbre, los conflictos y las crisis, a veces nos pueden afectar. Y a menudo me preguntan: "¿No te afecta todo esto?" La realidad es que sí, me afecta, pero es importante tomar las cosas con perspectiva. Al final, esto no es un sprint, sino una maratón. Si lo tomas como un sprint, te va la vida en ello, y aunque yo soy muy apasionada y me involucro profundamente en lo que hago, hay que entender que todo es un proceso continuo. Es como un juego de parchís sin meta: un día estás abajo, al siguiente subes, y así sucesivamente. La partida nunca se acaba. Esta filosofía te ayuda a relativizar las dificultades. A veces es complicado, especialmente cuando enfrentas situaciones graves, pero si comprendes que hoy es un día difícil, mañana puede ser mejor, te ayuda a mantener la calma. Recientemente, en un comité ejecutivo en París, celebramos unos excelentes resultados, y todos estaban contentos. Pero les recordé: "No perdamos de vista que los buenos resultados también nos preparan para afrontar los momentos más desafiantes, porque todo es cíclico". Esta visión es esencial para cultivar la resiliencia y la perspectiva a largo plazo. Además, creo que construir una relación de confianza y cercanía con mi equipo ha sido fundamental. Soy directa, clara y auténtica, y aunque algunas veces pueda parecer dura, el apoyo mutuo dentro de mi equipo es vital. Cuando tienes un equipo en el que puedes confiar, siempre puedes apoyarte en los ellos. En los momentos difíciles, estar solo es mucho más complicado. Lo mismo ocurre con nuestros franquiciados, que saben que pueden contar con nosotros, que siempre habrá un equipo detrás para apoyarlos. A veces, los franquiciados se sienten solos, como el emprendedor en su tienda con dos empleados, mientras que nosotros estamos rodeados de un equipo. Esa soledad puede ser muy difícil, pero saber que puedes apoyarte en los otros es esencial. Me gusta ser transparente y comunicar las cosas tal y como son, incluso cuando las expectativas no son tan altas. Por último, aunque en el retail siempre estamos bajo presión, mirando las ventas a diario, como en el Black Friday, es crucial mantener el norte, tener claridad sobre lo que queremos lograr. Aunque estemos contra el reloj, es importante no perder de vista el objetivo y la dirección a largo plazo. Esa brújula interna es lo que realmente ayuda en los momentos difíciles. Al final, cuando te caes, te caes, pero es la resiliencia, el aprendizaje y la perspectiva lo que te permite levantarte una y otra vez. J.C.: Lo comparto plenamente. ¡Qué bien! Me alegro. Hablando ahora del equipo, hemos hablado de cómo vives tú la resiliencia, pero ¿cómo se lo transmites al equipo? ¿Qué valores intentas inculcarles para que desarrollen esa capacidad de resiliencia? ¿Qué les pides para que sean capaces de avanzar, adaptarse y evolucionar, sin detenerse? Porque, como decías antes, un día las cosas van bien y al siguiente pueden ir peor, y es importante saber seguir adelante, siempre con un objetivo claro, entendiendo que puede haber picos y valles, pero avanzando siempre hacia adelante. E.I.: Cuando hablamos del equipo, creo que la clave está en la base, y esa base comienza con la contratación. Es fundamental elegir personas que compartan la cultura corporativa de la empresa. Seguro que te ha pasado alguna vez: hay personas que, aunque sean excelentes profesionales, no terminan de encajar en la organización. No porque no sean válidas, al contrario, hay gente brillante, pero si tu empresa tiene una cultura de agilidad, innovación y dinamismo, y contratas a alguien que no encaja con estos valores, será difícil que funcione. Por eso, la contratación es el primer paso, y a menudo no se le da la importancia que merece. Después, viene la parte de transmitir esos valores al equipo, y ahí el liderazgo que ejerces juega un papel fundamental. Como líder, no solo guías, sino que inspiras y defines cómo se afrontan los desafíos y se avanza hacia los objetivos. Existen muchos tipos de liderazgo. Yo siempre digo que mi estilo es más el de un sherpa: soy de las que otean el camino, lo exploran y luego acompañan al equipo en el recorrido. Si ejerces un liderazgo cercano a los equipos y al terreno, haces que las personas se sientan más integradas y conectadas con la compañía. Cuando te implicas y te mantienes cerca del equipo, ejerces un liderazgo que realmente influye. Porque, nos guste o no, todos los líderes influyen. La diferencia está en cómo lo hacemos. J.C.: Totalmente, sí. Al final, el liderazgo influye tanto para bien como para mal. Como acabas de decir, la influencia siempre está ahí. E.I.: El ejemplo negativo también influye, claro. Por eso, en mi caso, intento transmitir siempre una mentalidad de resiliencia, aunque enfocada en el crecimiento. A veces, me encuentro en reuniones donde alguien dice: “No podemos, estamos limitados, esto no es posible”. Y yo suelo responder: “¿Y si sí podemos? ¿Y si lo intentamos? ¿Qué necesitamos para lograrlo? ¿Cómo podemos cambiarlo? ¿Cuál es el reto?”. Se trata de cuestionarnos y buscar soluciones. Trabajamos mucho esto con los equipos, no solo a través de nuestra cultura, sino también mediante procesos de formación y coaching. Pero al final, lo más importante no es lo que dices, sino lo que haces. La actitud diaria de los directivos es lo que realmente influye. El liderazgo se ejerce a todos los niveles de la organización, desde la dirección hasta las tiendas e, incluso, los franquiciados. Todos tienen que ser líderes en su entorno y en su día a día. Además, creo que la resiliencia también se construye a través de la diversidad y la integración de personas con diferentes perspectivas. En definitiva, crear una organización flexible, abierta al cambio y con una mentalidad de crecimiento es clave para superar cualquier reto. J.C.: Te voy a hacer dos últimas preguntas. La primera tiene que ver con la gestión de riesgos, la ciberseguridad y la digitalización, pero iremos muy al grano. Como organización (CyberLideria), trabajamos en un entorno donde la ciberseguridad juega un papel clave, especialmente teniendo en cuenta que el retail es uno de los sectores más expuestos y atacados. ¿Cómo afrontáis vosotros estos riesgos tecnológicos? ¿Qué estrategias implementáis para proteger esos datos y asegurar el funcionamiento seguro de vuestra actividad? ¿Qué papel juega la ciberseguridad en vuestra organización en un panorama tan complejo y comprometido como el actual? E.I.: Tal como mencionabas, en el sector retail estamos especialmente expuestos a riesgos de ciberseguridad, ya que, cuantos más puntos de contacto existen, mayor es la posibilidad de vulnerabilidades. Proteger una empresa centralizada resulta más sencillo que hacerlo en una como la nuestra, con una extensa red de puntos de venta y franquiciados. Nosotros lo gestionamos por un lado en nuestro propio perímetro, es decir, en nuestras tiendas y sistemas centrales, y por otro, damos pautas y soluciones a los franquiciados. Pero al final, no podemos hacerlo por ellos porque son compañías independientes, con sus propias cuentas y gerentes. Eso sí, tenemos que asegurarnos de que todo se hace bien, porque la responsabilidad también recae sobre nosotros. Si un proveedor homologado de un franquiciado sufre un ataque, aunque no sea directamente nuestro, tenemos la obligación de declararlo a la Agencia de Protección de Datos. Por eso trabajamos en varios puntos importantes: Primero, el cumplimiento normativo. Tenemos implantado el compliance y todas las políticas de seguridad de la información, siguiendo la normativa del RGPD. Esto aplica tanto a nuestras tiendas como a nuestros franquiciados. Luego, la gestión de datos sensibles. En nuestro caso, manejamos información muy delicada, como graduaciones ópticas, datos financieros de créditos al consumo con entidades bancarias, etc. Para proteger esto, utilizamos encriptación, accesos seguros y controles muy definidos. También hacemos seguimientos periódicos. Nuestros delegados comerciales se encargan de verificar con checklists, una especie de auditoria interna, que todo se está cumpliendo, tanto en nuestras tiendas como en las franquicias. Por supuesto, tenemos implantados sistemas de seguridad tecnológica: actualización de sistemas, accesos multifactor para áreas críticas, cifrado de datos, y un plan de respuesta por si ocurre algún incidente. Curiosamente, los problemas más habituales no vienen tanto de fallos técnicos, sino de timos o fraudes dirigidos a empleados, como intentos de engaño o suplantaciones. Eso demuestra que la seguridad también depende de las personas, por lo que hay que estar atentos y trabajar mucho en concienciación. J.C.: ¿A empleados? ¿De aquí vas a hablar también de clientes? E.I.: No, afortunadamente no hemos tenido problemas con clientes en nuestro nombre. Los mayores incidentes que hemos tenido han sido timos dirigidos a empleados, donde alguien se hace pasar por un trabajador de Afflelou o por un responsable, y consigue engañarlos. Por ejemplo: “Oye, te va a llegar un paquete, tienes que pagarlo con este dinero, vete al consultorio, haz tal cosa…” Lo más sorprendente es que esto puede ocurrir justo después de haber dado una formación o una charla sobre ciberseguridad. A la semana siguiente, llega alguien que dice: “Soy mensajero, tu jefe David López me ha pedido que hagas esto”. La persona, confiando, saca el dinero y lo envía desde algún recurso. ¡Es increíble! Por mucho que avisemos a la red y compartamos los incidentes con todos, sigue ocurriendo. Cada vez que pasa, informamos rápidamente a toda la organización, pero el ser humano, con su buena voluntad y generosidad, termina siendo el eslabón más débil. Y eso es algo que siempre será así, por mucho que trabajemos en concienciación y prevención. J.C.: Hemos hablado de ciberseguridad, y, claro, la ciberseguridad es fundamental, especialmente cuando lo digital tiene un papel tan importante para una empresa. Por lo que me has comentado, la digitalización y la transformación digital han sido procesos clave y herramientas muy potentes para hacer crecer y tener éxito en Afflelou. Entonces, ¿cómo ves tú el papel de la digitalización y de la transformación digital, que también has liderado dentro de la compañía? E.I.: Cuando empezamos a hablar de transformación digital en Afflelou, muchos de los franquiciados pensaban que estábamos hablando de poner una web para vender gafas online, lo que generaba bastante resistencia. No entendían del todo cuál era el verdadero papel de la digitalización. Así que, desde el principio, les explicamos que la tecnología debía estar al servicio de las personas, y que nuestro propósito era darles "súper poderes", es decir, ayudarles a hacer su trabajo de manera más eficiente y productiva. Nuestra aproximación a la transformación digital ha sido gradual y cercana. Comenzamos por automatizar procesos sencillos, como el servicio de atención a clientes, para gestionar las quejas de manera más eficiente, algo que antes se hacía manualmente y generaba mucho trabajo. Luego, fuimos implementando pequeñas mejoras, mostrando los resultados a medida que avanzábamos, para que los franquiciados pudieran ver los beneficios reales. Un ejemplo clave de este proceso fue la implementación de la cita online, que antes de la pandemia parecía casi un milagro. Además, incorporamos tecnologías más lúdicas y orientadas al cliente, como el probador virtual con realidad aumentada en la web, que mejoró la experiencia de compra. También hicimos un cambio importante hacia la sostenibilidad con la firma digital, que antes requería imprimir contratos largos, y ahora se hace de manera digital, ahorrando tiempo, papel y recursos. El foco de todo este proceso ha sido mejorar la experiencia tanto del cliente como del franquiciado. Los franquiciados ya no tienen que desplazarse para firmar contratos, pueden hacerlo desde cualquier lugar, lo que les ahorra tiempo y facilita los procesos. Una de las claves del éxito de la transformación digital ha sido la prueba y error. Hemos tenido que demostrar que las herramientas digitales realmente funcionan y aportan valor. También hemos implementado Salesforce, que nos permite unificar toda la información del cliente en una sola plataforma. De esta forma, los franquiciados pueden acceder a datos completos sobre los clientes: si han interactuado con la marca en redes sociales, qué comentarios han hecho, en qué tienda han comprado, entre otros. Todo esto desde una sola plataforma, lo que facilita mucho el proceso de gestión. En definitiva, hemos enfrentado la transformación digital combinando rigor legal y practicidad, manteniendo al cliente como nuestra prioridad. El objetivo final es simplificar la vida de los franquiciados y mejorar su negocio, ya sea ganando más dinero gracias a procesos más ágiles o reduciendo la carga administrativa. Y aunque hemos cometido errores, cada uno de esos fallos nos ha permitido aprender y mejorar, lo cual es fundamental en cualquier proceso de transformación. J.C.: ¡Muy bien!, Una pregunta un poco más personal. Teniendo en cuenta que eres la primera directiva de la compañía, con el nivel de responsabilidad, liderazgo e implicación que eso conlleva, ¿cómo compaginas todo este mundo profesional con tu vida personal? ¿Cómo logras abstraerte del ámbito profesional a través de actividades personales o, simplemente, de sobrevivir? ¿Eres capaz de compartimentar ambos mundos y encontrar tiempo para recargar las pilas, de modo que puedas estar preparada cada día para todo lo que me has contado? E.I.: Cada uno tiene su propia filosofía y visión sobre esto. En mi caso, me cuesta separar los mundos profesional y personal. No es que esté "en modo profesional" o "en modo personal", sino que, a veces, hay que hacer todo en el mismo espacio de tiempo, como encajar las piezas de un Tetris. Una vez que entiendes cómo funcionan las piezas de tu vida, te das cuenta de que la dueña de la agenda eres tú. Así que lo que hago es agendarme las cosas importantes, tanto de mi vida profesional como personal, para que todo quepa. Si no lo hago de esta forma, es complicado, ya que las cosas surgen de manera imprevista. Soy una persona normal, como cualquiera de los que estamos aquí. Soy madre de dos hijas de 24 y 23 años, madrastra de otros tres, y también soy abuela de una niña de 5 años llamada Julia, una pelirroja encantadora. Me gusta mucho hacer yoga porque me ayuda a encontrar paz mental. También agendo tiempo para ello, ya que es la única forma de conseguirlo. Aprovecho mucho los fines de semana. Creo que el ser humano es uno solo, y si alguna parte de tu vida no va bien, todo afecta. Hay una herramienta llamada “rueda de la vida” que te pide puntuar de 1 a 10 cómo estás en diferentes aspectos: amigos, vida personal, dinero, vida social, etc. Si uno de los “radios” de la rueda está más bajo, la rueda no gira bien y no está equilibrada. J.C.: Me parece muy bien, como todos. Bueno, última pregunta: como mujer reconocida en iniciativas como Women to Watch, ¿qué mensaje le darías a las nuevas generaciones?, especialmente a aquellas mujeres que aspiran a llegar a ser como tú, a liderar en sectores tan dinámicos como el tuyo. Y no me refiero solo a tu sector, sino a ser, en general, alta directiva de una compañía, con el nivel de decisión y responsabilidad que conlleva. ¿Qué consejos les darías a esas mujeres que aspiran a ocupar una posición como la tuya en los próximos años? E.I.: Siempre digo que el liderazgo comienza con el autoliderazgo, y eso empieza por uno mismo. No podemos culpar a los demás por lo que nos ocurre, ni responsabilizarlos de nuestras situaciones, como se dice ahora. Debemos saber lo que queremos y trazar nuestro propio camino, sabiendo que ese camino no siempre será una línea recta. Esto es lo primero. El primer consejo es el autoliderazgo: definirse y tomarse el tiempo para pensar, pasar tiempo contigo misma para saber lo que realmente quieres y cómo lo deseas. Luego, diría que el tiempo pasa rápido, mucho más de lo que creemos. Hay que aprovecharlo porque, cuando pasa una oportunidad, un tren, es importante saber que, aunque no pasa nada por dejarlo escapar, es probable que no vuelva. Puede llegar otro, mejor o peor, pero vendrá otro. Por eso, debemos aprovechar los trenes que pasan cuando son favorables, porque el tiempo es corto y los trenes van pasando. Mi segundo consejo es que creo firmemente en el esfuerzo. Yo misma he hecho mucho esfuerzo, he trabajado mucho y sigo haciéndolo con gusto. Hay que disfrutar de ese esfuerzo, del camino. No se trata solo de llegar a ser la CEO de una gran empresa, por ejemplo; también hay belleza en el trayecto. Así que, aunque la vida sea corta, debemos disfrutarla. El día a día no debe comernos, y debemos procurar que no nos arrolle el momento de disfrute. Por último, añadiría algo que considero clave: ser agradecida. He tenido la suerte de contar con mentoras que me han ayudado muchísimo, en programas ejecutivos, por ejemplo. Hay que ser agradecido por tener la oportunidad de estar donde estamos, de haber comenzado nuestra carrera profesional, y por el privilegio de haber tenido esa ayuda. La gratitud, en mi opinión, es algo que nos hace más felices y, además, nos convierte en mejores líderes. J.C: Muchísimas gracias Eva. Me quedo con una frase: “Lo importante no es cómo te caes, sino cómo te levantas”.
7 Enero 2025
Jarana
David López Maganto era director de Innovación de Sisteplant desde 2021, cargo que ha compaginado con el de director de la Oficina de Gestión de Proyectos de Operaciones. Anteriormente ha desempeñado diferentes posiciones en Sisteplant, desde Dirección de Proyectos, Desarrollo de Negocio e Industrialización de nuevos servicios. Bajo su dirección, en estos años se han desarrollado algunos de los proyectos de innovación más ambiciosos de Sisteplant, centrados en la aplicación de Inteligencia Artificial y Robótica en el ámbito de las operaciones industriales, así como su integración con los sistemas MES (Captor®) y CMMS (Prisma®) de Sisteplant, para dotarlos de capacidades diferenciadoras en el mercado.
12 Noviembre 2024
Rincón del CISO
Federico Flórez, Consejero Independiente, entrevista a Cristina Pitarch, General Manager EMEA de Google. Federico Flórez: Qué placer poder entrevistarte Cristina. Para empezar, explícanos, ¿cuál es tu posición, tu responsabilidad, a qué te dedicas? Cristina Pitarch: Yo llevo el equipo de ciberseguridad de Google Cloud para EMEA (Europa, Oriente Medio y África). Tenemos un equipo grande de profesionales por todo este territorio que se dedican a intentar llevar las enseñanzas y la forma que vemos de tratar la ciberseguridad, ayudar, compartir, educar desde Google Cloud. F.F: Muy bien. Seguro que en tu carrera has atravesado muchos momentos críticos o situaciones estresantes. ¿Nos puedes decir algún momento desafiante que hayas atravesado y cómo lo afrontaste? C.P: Yo fui la primera persona del equipo de Google en Europa. Cuando empezó el equipo en Estados Unidos y de repente me llamaron a mí para que yo empezara en Europa, yo estaba sola y empecé por España, que era territorio conocido. Empecé hablando de la situación con los CISOs y con los CEOs para ver qué es lo que veían ellos y su perspectiva. Me llegó de todo, muchas respuestas muy variadas, algunos negaban haber sufrido ataques de ninguna clase. Creo que en estos últimos cinco años se ha hecho una labor muy grande de educación y de conciencia. En ese momento fue muy complicado convencer a muchas personas, no aquellas que se encontraban dentro del mundo de la seguridad, porque todos nosotros sabíamos lo que estaba pasando, sino aquellas que se encontraban fuera, convencerles de que tenían que echarle un ojo. El primer año fue duro. Mucho “carretera y manta” y muchas miradas raras. Ahora ya la gente es mucho más consciente, esto no ha sido cosa solo de nosotros, sino de conciencia general. F.F: Sí, la cultura ya se tiene en todas las empresas de todo el mundo. Y hablando de eso, un poco respecto al CISO, yo veo a un ejecutivo de mucha importancia en la compañía, un sufridor permanente, porque tiene un trabajo muy estresante y en el día a día pueden surgir posibles incendios. ¿Cómo entiendes tú el rol del responsable de ciberseguridad en una empresa? C.P: Creo que ahora mismo es uno de los roles más importantes en la empresa, como tú dices. Yo hablo con CISOs prácticamente todo el día y la verdad es que es un rol que no está muy regularizado, hay de todos tipos. Hay gente muy técnica y hay gente que está mucho más a nivel de negocio, que está un poco más focalizado en riesgo. Entiendo que se tiene que ir mucho más arriba de lo que está ahora mismo, creo que el CISO debería ser siempre alguien que se siente en la mesa de los CEOs, que esté a nivel de dirección, a nivel de decisión y a nivel incluso del Board. F.F: Y que participe en el board también, ¿no? C.P: Eso es, que esté, porque ninguna empresa va a salir adelante sin una estrategia de seguridad. F.F: Claro, yo además veo un tema de riesgo y un tema crítico, mejor que el board y el CEO estén enterados, ¿no? Yo veo que son personas muy comprometidas con un trabajo complicado. Tú contactas mucho con ellos y conoces muchos, dinos, ¿qué consejo les darías para hacer mejor su trabajo? C.P: A raíz de lo que estamos hablando, creo que el CISO cada día va a tener más relevancia, va a tener que ser parte del Board, va a tener que ser parte de la presidencia y va a tener que estar comunicándose con el CEO constantemente. Sin embargo, seguimos teniendo un lenguaje que no es entendible por todo el mundo. F.F: Es un lenguaje muy técnico, ¿no? C.P: Muy técnico y muy complicado. Realmente estos mensajes deben lanzarse muy rápidamente, entonces hay que transmitir la información de manera clara y entretenida, que se entienda fácilmente. Además, tiene que ser algo que al final sea memorable también, ¿no? Ya no estoy hablando de asustar, pero existe una labor de educación en comunicación en el mundo del CISO. F.F: Yo creo que es fundamental, porque si no, las personas desconectan y no les escuchan. A lo largo de los años yo he dado varios cursos de técnicas de comunicación, porque he estado obsesionado con que me entendieran los otros ejecutivos y siempre he tenido cuidado de no hablar mucho de tecnología para que no desconectaran. Creo que esto es un buen consejo que podemos dar, ¿no? C.P: Es una formación continua, yo creo que lo tenemos que hacer todos. Al final comunicando es como vamos a lanzar los mensajes, cómo avanzamos. Nos dedicamos a formarnos técnicamente al nivel más alto, pero muchas veces nos olvidamos de lo que llaman soft skills. Que son muy importantes. F.F: Actualmente no hay entrevista, artículo o revista que no hable de Inteligencia Artificial, ¿no?. Es algo que está teniendo un impacto tremendo en todo. En el entorno de la ciberseguridad concretamente, ¿cómo crees que va a impactar? C.P: Creo que está impactando para bien, porque al final la inteligencia artificial nos está dando más herramientas a los que defendemos, que a los atacantes. La inteligencia artificial funciona con datos, y cuanto más datos, mejor funciona. Al final los datos los tenemos nosotros, los que nos estamos intentando defender. Tenemos muchísima más cantidad de datos que ellos, con lo que nos sitúa en una posición de ventaja respecto a los que están atacando. Ellos no disponen de esa cantidad de datos masiva a la que nosotros sí tenemos acceso. Por esto, creo que estamos avanzando más rápido en técnicas de defensa que en técnicas de ataque. Obviamente, se está haciendo una labor de prevención. Tenemos que ser muy conscientes de las posibles cosas que nos vamos a encontrar en el futuro. Nosotros tenemos muchos informes y reportes de predicción. Esto es lo que vamos a ver en la segunda parte del 2024 y demás. Todos estamos hablando de ese tema. Con la Inteligencia Artificial, hay determinados ataques que van a mejorar. A partir de ahora, esos intentos de phishing van a tener una gran técnica y no los vamos a poder diferenciar tan fácilmente. Lo mismo con los vídeos de personas y con las voces. El hecho de que te llame alguien haciéndote pasar por tu jefe con un software modulador de voz con IA y te diga: “saca cuatro mil millones de la cuenta”, ya está pasando. Son nuevas maneras, pero seguimos hablando de lo mismo. Lo más importante es la educación, estar al tanto de lo que ocurre, tanto en empresas como en el público general. Hay que saber que estas cosas te pueden pasar y, nos falta muchísima labor de educación en ciberseguridad porque creo que asusta. F.F: Sí, la cultura es muy importante, se debe conseguir que todo el mundo esté concienciado y que sepa los riesgos que hay. Eso hay que hacerlo permanentemente en la empresa. C.P: Totalmente. Lo mismo ocurre con la Inteligencia Artificial. Lo que pasa es que todas estas alertas son masivas, ahora mismo estamos todos hasta arriba de ver alertas, se pueden ver muchísimo más rápido y se pueden clasificar muchísimo más fácil. Con eso se soluciona una parte del problema que tenemos de encontrar a gente especializada. Quizás esta labor ya se puede hacer desde unos perfiles que no son tan especializados, porque la Inteligencia Artificial va a hacer que esos reportes sean más fáciles de entender. F.F: Sí, además el talento es un tema crítico, va a haber escasez de talento. C.P: Creo que hay 38.000 posiciones abiertas en Europa de ciberseguridad. Y este número está subiendo. F.F: Increíble. Hablando un poco de otro tema, yo he dado una charla en la que había un CEO en la audiencia que me dijo que la responsabilidad de la ciberseguridad no es del CISO. El CISO es la persona que está ahí para gestionar un poco, pero la responsabilidad es del Comité de Dirección. Por lo tanto el CEO es el que tiene que coger la bandera, porque hay que poner medios y recursos. Hay que cambiar procedimientos, ya que hay riesgos asociados que pueden alterar la compañía. ¿Tú cómo ves eso? ¿Dónde ves tú que está la responsabilidad de ciberseguridad y qué rol le das al CEO, al Comité o al Consejo incluso? C.P: Creo que es una responsabilidad compartida. Si el comité y el CEO no tienen esa responsabilidad, por mucho que el CISO esté advirtiendo del peligro, no va a pasar nada. ¿Qué pasa cuando sufren un ataque en términos de reputación, con pérdidas económicas? Un CEO que no tiene como misión el hacer más segura su empresa, no está haciendo la función correctamente. Yo cuando veo objetivos de un Board, si no veo seguridad en el número 1 o el número 2, ya estoy poniendo alertas. F.F: Sí, yo creo que todavía queda un camino en eso. Como estamos acostumbrados siempre a definir un responsable para una función, y el CISO es el responsable, parece que nos quedamos tranquilos con eso. Y luego respecto al CEO, como es un tema técnico y que el Board no entiende muy bien todavía, quizás es más fácil alejarse, al tener al responsable ahí. Si algo sucede mal, se tiene la mentalidad de que el responsable es el que no ha sido capaz de hacerlo y nosotros estamos encima pues viendo un poco los riesgos. Yo creo que queda camino por hacer y que el Board y el Consejo deben entender que tienen una responsabilidad grande sobre esto. C.P: Es lo que estábamos hablando al principio, hay que meter a los CISOs dentro de ese entorno, hay que tenerlos siempre en el Comité de Dirección. Y si no, siempre hay que tener a alguien que entienda un poco por qué es una prioridad. Si no se actúa así, se puede hundir cualquier empresa en cualquier momento. F.F: Y en ese sentido, a la hora de trabajar en este tema, ¿tú qué capacidad crees que es más importante dentro de una compañía? ¿Anticiparse los riesgos? ¿Prevenir incidentes? ¿Detectarlos a tiempo? ¿Responder, resistir? Hay muchas formas de enfocar este tema. Tú que eres una experta, ¿cuál consideras que es la capacidad más importante? C.P: Yo creo que tenemos que cambiar un poco el hecho de estar siempre buscando la mejor defensa. Nosotros sabemos que la mejor defensa es un buen ataque, como buenos fans del Atlético de Madrid. Pero en este momento, en términos de ciberseguridad, creo que hay que mirar siempre la seguridad primero, antes de cualquier plan estratégico. Nosotros cuando miramos un plan de mercado, siempre preguntamos primero: “¿has pensado en seguridad?”. Si lo que estás haciendo es planear esa reacción, ya estás llegando tarde. Es muchísimo más difícil reaccionar una vez que algo ha pasado, en vez de ir pensando en situaciones que te pueden pasar. La seguridad siempre es lo primero. F.F: Un tema, en mi trabajo de Consejero estoy en tres compañías, y allí la responsabilidad del Consejo es mirar por la empresa, velar por su solvencia, que no haya riesgos… Los Consejos son amigos de cumplir la regulación, entre otras cosas, porque es obligatorio y además son prácticas que pueden ser pesadas, pero están cubriendo riesgos en la compañía. La regulación es algo que es complejo, impone nuevas formas de trabajar, tiene mucho procedimiento y mucho control. El CISO lo va a sufrir porque la regulación que viene a nivel europeo, quizás sea más estricta que la de Estados Unidos. También quiero conocer tu visión, ¿cómo ves la regulación? ¿Lo ves como un impedimento? ¿Lo ves como algo burocrático? ¿Realmente tiene sentido que los organismos públicos estén tratando de regular esto? ¿Cuál es tu opinión sobre esto? C.P: La regulación es necesaria. Volviendo al tema de la Inteligencia Artificial, necesitamos regulación y necesitamos que la Unión Europea se anticipe a todo lo que puede pasar. Eso sí, creo que la regulación siempre tiene que ayudar a los que se están defendiendo. Porque si los que se están defendiendo están tan regulados que no pueden defenderse, entonces al final esa regulación no está cumpliendo la función que tiene, que es hacer la vida más fácil o hacer las cosas más justas. Entonces, es un problema que tenemos muchas veces, quien hace la regulación muchas veces no entiende en gran medida sobre lo que está regulando. Los reguladores también tienen que estar al tanto de cuáles son las últimas tecnologías, saber qué es lo que está pasando y sobre todo hablar con los CISOs. ¿Qué es lo que nos está impidiendo hacer nuestra labor?. Porque sí, a veces esa labor es pesada, a veces es tediosa, pero creo que muchos entendemos por qué ciertas leyes están ahí. Ciertas cosas limitan esa función que tenemos, o nos paralizan en cierta manera, o no podemos ir tan rápido como queremos. Entonces ahora sí que es un momento clave, porque todo está cambiando. ¿En el año y medio que viene va a cambiar mucho más?. Porque yo creo que sí. F.F: Sí, sin duda. Yo creo que viene un cambio tremendo y un cambio de paradigma y va a cambiar mucho la gestión de las empresas con estos temas. A mí me gusta seguir los casos de ciberseguridad que ocurren en las empresas. Me gusta ver buenas prácticas, por aprender también, ¿no? ¿Tienes algún ejemplo en el que se ha actuado bien y de la forma correcta?. ¿Algún incidente grave en alguna compañía que hayas detectado y que hayan hecho algo bien?. ¿Cómo ves tú que hay que hacer esto?. ¿Hay que comunicar?. ¿Hay que hablar con las entidades públicas?. ¿Hay que callarse?. ¿Tiene que salir el CEO allí a anunciarlo públicamente?. ¿O hay que poner una persona o un Comité?. ¿Cómo ves tú este tema? C.P: Yo creo que esta batalla sólo la ganamos todos juntos. Para mi gusto hay que comunicar, hay que ser muy abierto y hay que ayudarse los unos a los otros. Y es algo que yo veo que ha hecho muy bien el sector financiero en España, en el que no hay competencia en términos de ciberseguridad. Es un sector en el que están colaborando los unos con los otros, hablan todos juntos, y creo que es algo que todos los sectores deberían tener. F.F: Yo creo que en el sector financiero es muy importante la disponibilidad del dato. Esto es algo que se han tomado muy en serio, y efectivamente, han dado los pasos correctos hacia delante, y tratan de controlar el riesgo de que las líneas de defensa estén muy bien definidas. Es un sector que ha dado un paso adelante, desde luego yo creo que en otros sectores quizás este tema está un poco peor. C.P: Sí, a los sectores más tradicionales creo que todavía les falta eso. Sabemos que todo el mundo va a tener un ataque en algún momento, lo importante es cómo vas a reaccionar. Hay que comunicar y hay que compartir cómo se ha solucionado, qué técnicas se han usado y discutir en foros. F.F: Voy a aprovechar, ya que tú tienes experiencia y responsabilidad sobre EMEA. En España el nivel de ciberseguridad, mirando comparativamente a otros países europeos desarrollados con los que competimos, ¿cómo crees que estamos?. ¿Por encima o por debajo?. Teniendo en cuenta que siempre hay que mejorar, pero ¿cómo ves a las empresas españolas en esto?. C.P: Creo que como profesionales, España se puede comparar con cualquiera. El nivel de profesional en España es increíble, tanto dentro de la empresa, como en los profesionales de ciberseguridad. Son gente que sabe muchísimo, que comparte y además estamos a tope. Si me hablas a nivel CEO y a nivel Board, ahí estamos dos años por detrás en términos de conciencia de ciberseguridad. F.F: Dos años por detrás de otros países es preocupante ¿no? C.P: En el tema del que estamos hablando ahora, tendemos a ser conservadores en ese sentido. Si comparas con Inglaterra, con Francia, con Alemania… Ahí sí que estamos por detrás. F.F: En cambio a nivel de talento, sí nos ves en primera división. C.P: Primera y en división de honor o sea, a nivel de talento, de ganas y de interés, nos veo prácticamente a nivel de cualquiera. Tenemos muchos profesionales a los que yo pondría en mi lista de los primeros 50. F.F: Has mencionado antes las posiciones que hay abiertas en ciberseguridad, y hay un montón. A nivel España, ¿estamos bien de talento o tú crees que vamos a tener que importar talento de fuera para cubrir las necesidades que tienen las empresas españolas?. C.P: Ahora mismo no se encuentra suficiente talento en España. La Universidad de Málaga está haciendo algunos programas para formar a ciberseguridad. Nosotros, en Google, también estamos dando becas, pero no va a haber suficiente. Yo siempre digo a todo el mundo que si tienen hijos en la Universidad, les animen al sector donde no va a haber paro en los próximos años. No estamos hablando solo de gente súper técnica, se necesita gente de todo tipo. También se necesita un perfil gestor, que es un sector tan apasionante que realmente animaría a todo el mundo. Necesitamos gente, hay muchísimo trabajo. Se va a necesitar mucha más gente en el futuro. Hay muchísimas posibilidades de formarse y sí que creo que España tiene ese tipo de formación que puede crear a los mejores. F.F: Muchísimas gracias por esta entrevista, Cristina, he aprendido un montón y me lo he pasado muy bien. C.P: ¡Muchas gracias a ti!
24 Octubre 2024
Jarana
Tras una exitosa carrera de décadas en Nike, Elliot Hill ha sido designado como el nuevo CEO de la compañía, cargo que asumirá oficialmente en octubre de 2024. Hill, un veterano de la marca, ha sido una figura clave en el crecimiento y expansión global de Nike, desempeñando diversos roles de liderazgo a lo largo de los años. Su nombramiento llega como reconocimiento a una trayectoria marcada por la dedicación, visión estratégica y un profundo entendimiento de la cultura y los valores que han hecho de Nike un referente mundial. Elliot Hill se ha ganado el respeto de la industria y de sus trabajadores por su estilo de liderazgo inspirador y su capacidad para impulsar la innovación en cada etapa de su carrera. Este nombramiento refuerza la promesa de Nike de seguir desafiando los límites del deporte y la moda, y de mantenerse fiel a su esencia: "Just Do It".
24 Septiembre 2024
Jarana
El Corte Inglés, que ha celebrado este viernes su junta general de accionistas, ha aprobado el nombramiento de Gastón Bottazzini como consejero delegado, posición desde la que el directivo reportará a la comisión ejecutiva delegada, presidida por Marta Álvarez e integrada por José Ramón de Hoces y Javier Rodríguez-Arias, y al resto del consejo de administración. Bottazzini, que ocupaba desde el pasado mes de febrero el puesto de asesor ejecutivo de la presidenta, fue primer ejecutivo de la empresa de grandes almacenes y distribución chilena Falabella, donde también desempeñó distintos cargos durante quince años. El ejecutivo también fue socio en McKinsey & Company entre 1996 y 2008, centrando sus funciones principalmente en los sectores financiero y de bienes de consumo en América Latina, Estados Unidos y España. «Gastón Bottazzini es un refuerzo clave para nuestro crecimiento, y para abordar el Plan Estratégico que lo impulsará. La experiencia de Bottazzini se suma a la capacidad de la comisión ejecutiva delegada para lograr un grupo cada vez más sólido», ha asegurado Marta Álvarez, presidenta de la compañía. Por su parte, Bottazzini ha asegurado que «en estos meses desde que la presidenta me propuso incorporarme como asesor ejecutivo, he podido comprobar la gran calidad profesional y humana de su consejo y equipo directivo, y el potencial de futuro que tiene el grupo». Asimismo, el directivo considera que «es un verdadero honor» incorporarse a un proyecto «del prestigio internacional de El Corte Inglés». Así pues, Bottazzini se convierte en el primer directivo extranjero en ponerse al frente de El Corte Inglés, al tiempo que la firma recupera la figura del consejero delegado tras la salida de la compañía en 2022 de Víctor del Pozo.
27 Agosto 2024
Opinión
Como ingeniero naval no me resisto a comparar la ciberseguridad con un barco. Estando navegando en el mar se tiene una sensación intranquila cuando se acerca la tormenta. Nos lo avisan y tomamos precauciones, repasas el barco, contrastas la información que tienes con externos, hablas con los otros tripulantes y tratas de predecir la situación a la que te vas a enfrentar con intranquilidad pero sabiendo que actuarás para lo que viene. El futuro de la ciberseguridad nos crea intranquilidad y nos hace prepararnos para un futuro con riesgos ciertos. Cuando eres consejero tratas de vigilar los riesgos por la solvencia y la estabilidad con buen gobierno y gestión. Para ello cuidas de las tres líneas de defensa contra la ciberseguridad, y examinas y controlas la regulación. Estamos en un momento de intensa regulación, Europa se convierte en esto, como en otras cosas, en un ente líder de desarrollo de normas y procedimientos. Vienen años de mucho trabajo para cumplir con las normas. Pienso que es motivo para reforzar no solo los perfiles internos, sino la composición de los consejos. Debe existir al menos algún consejero que haya tenido la gestión de la ciberseguridad bajo sus responsabilidades. Los ataques de ciberseguridad van a aumentar exponencialmente y se van a ver apoyados con mejores herramientas, la inteligencia artificial se usará para el diseño, predicción y gestión del ataque. Nosotros hemos de utilizar igualmente algoritmos y herramientas que nos permitan ser resilientes. La computación cuántica tardará algunos años en ser utilizable a nivel empresarial, que nos permitirá hacer simulaciones y explotar algoritmos en otra dimensión, pero el software cuántico, corriendo en entornos actuales sí está aquí en poco tiempo, este software permitirá eliminar barreras de forma sencilla y pondrá a la luz datos hoy protegidos. ¿Tenemos los procedimientos adecuados contra este evento real? ¿Tenemos los conocimientos y colaboradores externos necesarios para el software cuántico? Debemos probar y adquirir talento en estos momentos para prepararnos para esta circunstancia. Hemos de partir de la hipótesis que hemos sido atacados y que debemos gestionar la crisis para volver a la normalidad en la gestión de los procesos y procedimientos. La gestión de una crisis debe probarse regularmente y vigilar porqué los procesos nos permiten restaurar la situación y gestionarla de forma correcta. La comunicación interna y externa es crítica. La colaboración público privada y la transparencia en la gestión de los incidentes debe ser total, incluyendo a nuestros clientes y el consejo debe velar por ello. El consejo debe formarse en ciberseguridad, en la regulación que viene de forma periódica y debe exigir que la formación de todos y cada uno de los empleados sea la necesaria y frecuente en cada ejercicio. Regularicemos las revisiones de las políticas y gestión ciber en el consejo y aseguremos que el CEO y el comité de dirección se sientan los responsables de ello, facilitando los recursos precisos en las tres líneas de defensa y siguiendo las directrices que identifique el CISO, el auténtico conocedor y apoyo para la empresa. El CISO se convierte en un directivo crítico, debe tener capacidad, recursos y gobernanza suficiente para hacer su trabajo de forma independiente, y orquestar los procedimientos y gestiones precisas. Cuando estemos en la tormenta, si no hemos podido evitarla, que es lo más prudente, y se rompa una vela, la solución no es cargarse la pala del timón (al CISO), sino que el patrón (el CEO), maneje la caña del timón de forma adecuada para que el resto de las velas y el casco nos ayuden a salir de la crisis. Repasemos en puerto los daños, reparemos y reforcemos la tripulación y el barco para nuestro próximo incidente. Feliz singladura. Federico Flórez Consejero Independiente
15 Julio 2024
Jarana
Andrés Yin Hui ha sido nombrado CEO de Huawei Iberia, puesto desde el que continuará impulsando la actividad de la compañía y mantendrá su compromiso de colaboración, junto a sus socios dentro del ámbito tecnológico y de la innovación, para el avance de España y Portugal en su proceso de transformación digital. Andrés Yin Hui se incorporó a Huawei en 2005 y, desde entonces, ha ocupado distintos cargos de responsabilidad en la compañía. Antes de su actual nombramiento, fue Director de Operaciones (COO) en la Oficina del Presidente de Huawei para Europa, Jim Lu. También desempeñó su actividad como Vicepresidente de Recursos Humanos de Huawei en la Región de Centro y Norte de Europa. Igualmente, y dentro de Huawei, ha trabajado en distintos países latinoamericanos, concretamente, cinco años en Argentina, cuatro años en Perú, dos en Bolivia y dos en Brasil. Ahora, en su actual puesto como CEO de Huawei Iberia, Andrés Yin Hui seguirá liderando la actividad de Huawei y promoviendo la innovación en áreas como conectividad y redes de telecomunicaciones de última generación, Cloud, energía digital y dispositivos inteligentes. Andrés Yin Hui, CEO de Huawei Iberia, manifiesta que "es un honor recoger el valioso legado de contribución que Huawei ha realizado en la región durante más de 20 años. En ese sentido, abordo con verdadero entusiasmo el reto de seguir potenciando el importante papel que nuestra compañía ha desempeñado en el avance de la digitalización, contribuyendo a mejorar la vida de ciudadanos, impulsar el entorno empresarial y apoyar a sus instituciones. Para ello, todo el equipo seguirá trabajando para construir, junto a nuestros clientes y socios, un sólido ecosistema tecnológico y digital que aporte un creciente valor a la sociedad”. Andrés Yin Hui es licenciado en Informática por la Universidad de Ciencia y Tecnología de Huazhong y en Marketing por la Universidad de Wuhan.
24 Junio 2024
Rincón del CISO
Javier Modúbar, co-fundador y CEO de la empresa INGECOM, mayorista de valor añadido VAL que distribuye soluciones de alto componente tecnológico en el área de ciberseguridad y ciberinteligencia, es entrevistado por Arturo Navarro, consejero de ciberseguridad y actual colaborador de CyberLideria MGZN. A.N.: Para romper un poco el hielo, quería preguntarte sobre tu gestión del día a día, especialmente, tu manejo del estrés Javier Modúbar: Todo cargo directivo lleva asociado, en cierta medida, un nivel de estrés. Este se convierte en una parte habitual de la vida, tanto personal como profesional. La clave en la gestión del estrés es intentar desconectar un poco cada día del trabajo y de las responsabilidades que conlleva, aunque esto sea difícil. A menudo, terminamos por no desconectar del todo, lo que hace que el estrés se convierta en un componente más de nuestra rutina diaria. A.N.: Al acabar la jornada, si es que termina (risas), ¿qué cosas sueles hacer, o qué te gusta, después de un complicado o duro día de trabajo? J.M.: Después de un día intenso de trabajo, disfruto de varias actividades que me ayudan a relajarme y desconectar. Lo primero, y más importante para mí, es pasar tiempo con mi familia. A pesar de que mi agenda laboral a menudo exige sacrificios personales, hago un esfuerzo consciente para estar presente y compartir momentos con ellos, siempre que no estoy de viaje. Además, una de mis actividades favoritas para despejarme es salir a caminar. Me encanta pasear por la ciudad, especialmente alrededor del parque del Retiro. Este tiempo no solo me permite ejercitarme un poco, sino también observar a las personas realizando diversas actividades, lo cual me ayuda a desconectar completamente del trabajo y renovar mi energía. En resumen, aunque el trabajo a menudo consume mucho de mi tiempo, valoro y priorizo el tiempo, tanto personal como familiar, para mantener un equilibrio saludable en mi vida. A.N.: Entonces, ¿dirías que estás contento con el equilibro actual que mantienes entre tu vida personal y profesional? J.M.: Mantener un equilibrio es un desafío. Siempre intentamos que nuestra vida personal no se vea afectada por los asuntos profesionales. Pero, con más responsabilidades, a menudo sacrificamos aspectos personales por la carrera. Es crucial establecer límites claros sobre hasta dónde estamos dispuestos a llegar en este sacrificio. En mi caso, me gustaría dedicar más tiempo a mi vida personal, pero la responsabilidad en mi vida profesional consume cada vez más tiempo, sobre todo porque viajo mucho. Cuando no estoy en Madrid, mis rutinas diarias cambian por completo. Durante los viajes, desconecto casi por completo de mi vida personal, excepto por las llamadas que hago a mi familia. Estoy totalmente centrado y focalizado en mi vida profesional las 24 horas del día. A.N.: Entrando ya en “materia gruesa”, ¿qué importancia tiene para ti la ciberseguridad en la distribución de soluciones tecnológicas? ¿Y dentro del modelo de negocio de INGECOM? J.M.: Es fundamental reconocer que INGECOM está enfocado completamente en ciberseguridad. Desde sus inicios, hace casi 27 años, cuando la ciberseguridad no tenía la importancia que tiene hoy, en INGECOM constantemente estuvimos haciendo scoring avanzado de fabricantes de ciberseguridad, y hasta nos hemos organizamos internamente centrando nuestras esfuerzos en estas áreas: ciberseguridad, ciberinteligencia (un paso previo a la ciberseguridad), y ciberseguridad aplicada a sectores industriales o médicos. Cada una con características específicas y riesgos únicos asociados a la producción tecnológica. A.N.: Respecto a los riesgos específicos en la distribución de tecnología, dentro de un mercado ciber cada vez más fluctuante ¿podrías contarnos cuál es la perspectiva que tienes de ello dentro del sector de distribución de soluciones de alta tecnología?J.M.: Históricamente, se ha considerado que el modelo de distribución estaba destinado a desaparecer, pero mi experiencia con los fabricantes demuestra que existen principalmente dos tipos: los grandes actores, que se expanden para cubrir nichos específicos de necesidades en ciberseguridad; y aquellos que son significativos e innovadores. Recientemente leí algo muy acertado desde mi punto de vista que se refería a los grandes jugadores en el ámbito de la ciberseguridad, quienes a menudo optan por adquirir empresas emergentes con tecnologías disruptivas en lugar de desarrollar internamente, sobre todo por la rapidez que demanda el mercado. En este contexto, el papel del distribuidor es crucial para introducir estas nuevas tecnologías en el mercado y facilitar su adopción. A.N.: Hablando de estrategias de selección y asociación con fabricantes, ¿cómo selecciona INGECOM a los fabricantes y proveedores de soluciones de ciberseguridad? J.M.: Lo cierto es que la clave reside en la interacción directa con los clientes finales. Es esencial conversar con una amplia gama de usuarios, incluyendo C-suite y otros ejecutivos, para obtener una perspectiva clara de sus necesidades, objetivos, riesgos y temores. No todos los sectores tienen las mismas necesidades, ya que cada uno posee requerimientos específicos, y conocer esos detalles es crucial para ofrecer soluciones adecuadas. Como ejemplo, hace aproximadamente una década, hablando con representantes del sector financiero, industrial e ingeniería, ya se destacaba la preocupación por la protección de datos, mucho antes de que este tema se convirtiera en una prioridad generalizada. Este tipo de diálogo con diferentes sectores permite identificar problemas emergentes y anticipar la necesidad de tecnologías específicas que, eventualmente, serán esenciales para todos. Actualmente, observando sectores como el industrial y salud, especialmente en áreas no tradicionales como OT y dispositivos médicos, se percibe una creciente necesidad de control de la seguridad. Este reconocimiento de patrones de necesidad urgente es crucial no solo para las empresas que buscan desarrollar tecnologías pertinentes, sino también para prever y contrarrestar las estrategias de actores maliciosos que también detectan y explotan estas vulnerabilidades. A.N.: ¿Cuáles son los desafíos más comunes que te encuentras al formar alianzas con nuevos socios tecnológicos y cómo se superan? J.M.: Actualmente, al ser parte del grupo de seguridad más grande a nivel global, esta posición nos permite ser vistos de manera diferente. Sin embargo, hasta hace unos años, la situación era similar a un enfrentamiento entre David y Goliat. En el pasado, cuando llegaba el momento de negociar acuerdos, los fabricantes tendían a preferir líderes de mercado y actores globales, es decir, estatus que nosotros no poseíamos. A pesar de nuestro reconocido prestigio, carecíamos de un alcance global, lo que nos obligaba a demostrar más méritos que otros para cerrar acuerdos, muchas veces sin éxito. Además, frecuentemente éramos sometidos a periodos de prueba para confirmar que la elección del acuerdo había sido la correcta. Hoy en día, enfrentamos menos este tipo de problemas, ya que los fabricantes de ciberseguridad nos buscan activamente. No obstante, en ocasiones debemos rechazar propuestas, incluso cuando la tecnología es excepcional, simplemente porque no disponemos del tiempo necesario para abarcar todo. A.N.: Poniendo el foco en la integración y optimización de soluciones de ciberseguridad, ¿cómo asegura INGECOM que las soluciones ofrecidas se integran eficazmente en los entornos tecnológicos de sus clientes? Además, ¿qué papel juega INGECOM en la optimización continua de estas herramientas una vez implementadas? J.M.: Es crucial asegurarnos de que estas plataformas y herramientas se integren adecuadamente en los entornos de los clientes, y comprender su rol antes de formalizar un acuerdo con un nuevo fabricante. Aunque una oferta en el mercado pueda parecer prometedora, es esencial validar técnicamente para confirmar su calidad y que cumple con una necesidad real. Siempre he sostenido que el mayor fabricante, o el más avanzado tecnológicamente, no necesariamente será el más exitoso. Para alcanzar el éxito se deben cumplir varios criterios: Cubrir una necesidad a costes adecuados, de otro modo, será difícil que el producto prospere. Una vez se ha establecido que una tecnología satisface una necesidad, aún queda demostrar cómo este fabricante se adapta a cambios y evoluciones. Los pilotos iniciales suelen realizarse en entornos controlados y al expandir la arquitectura se encuentran con desafíos no anticipados. Ningún fabricante puede operar como una isla: debe integrarse con múltiples herramientas de seguridad que el cliente ya posea, aprovechando la inteligencia de otros sistemas que ya están detectando amenazas. Esta integración, aunque esencial, puede ser compleja y requiere de recursos de ingeniería significativos. Aquí es donde ofrecemos nuestro apoyo a través de nuestros integradores. Finalmente, para que una tecnología satisfaga efectivamente una necesidad y sea considerada exitosa, se debe contar con un equipo competente. Aunque en nuestro caso no vendemos directamente, es crucial que quienes venden nuestro producto dispongan de recursos necesarios para ofrecer un servicio adecuado. Nosotros realizamos una gran inversión para intentar tener un canal de integradores, de modo que esos servicios profesionales dispongan de la formación necesaria para ofrecerlos. No es sencillo conseguirlo, porque se trata de un sector muy dinámico, así que cuando formamos a técnicos en un integrador nos encontramos que muchas veces se marchan a otra parte y dejan de focalizarse en ese producto, y entonces tenemos que empezar la tarea de nuevo. A.N.: Hablando de formación, ¿qué tipo de programas de formación y soporte técnico ofrece INGECOM a sus clientes para asegurar el uso efectivo de las tecnologías proporcionadas? J.M.: Cada año, planificamos de forma anual diversos planes de formación en colaboración con nuestros partners y fabricantes. Esta estrategia es esencial para cubrir los gastos asociados y garantizar que nuestros ingenieros no solo sean formados, sino también reciclados desde un punto de vista profesional. Este enfoque responde a la evolución del sector de la ciberseguridad, que ha cambiado drásticamente en la última década. Hoy en día nos enfrentamos a una industria dinámica donde, solo en el primer trimestre, un fabricante puede adquirir hasta tres empresas, incorporando así múltiples tecnologías nuevas a nuestro ámbito de trabajo. Esta realidad nos obliga a adaptar nuestra formación continuamente para integrar estas nuevas tecnologías y mantenernos competitivos. El principal desafío que enfrentamos es la amplitud de nuestro portafolio, que es tan extenso que nos resulta imposible cubrir la formación para todos los fabricantes. Por lo tanto, seleccionamos aquellos que consideramos más críticos, basándonos en las necesidades del mercado, la demanda de proyectos y los servicios profesionales requeridos por los clientes. Además, tenemos la ventaja de trabajar con algunos fabricantes cuyos productos, al ser basados en la nube, no requieren una formación tan exhaustiva en instalación y mantenimiento, ya que se gestionan como plataformas. Esto representa una oportunidad para focalizar nuestros recursos en áreas donde se maximiza el impacto y la eficiencia de nuestra capacitación. A.N.: Volviendo al tema de los planes de acción y respuesta ante incidentes, aunque INGECOM no gestiona directamente los riesgos de ciberseguridad de sus clientes ¿cuál sería su papel en la respuesta ante un incidente de seguridad que involucre las tecnologías que ha proporcionado? J.M.: En nuestra plataforma, nos dedicamos constantemente a monitorear y evaluar nuevas tecnologías que mejoren nuestra capacidad de respuesta ante incidentes. Hace poco hemos alcanzado un acuerdo significativo con un fabricante que promete acelerar la detección y respuesta a incidentes en un tiempo relativamente corto. Nuestro enfoque no solo se centra en reaccionar a los incidentes a medida que ocurren, sino en detectar posibles incidentes antes de que estos se manifiesten. Esta estrategia proactiva incluye: Detección Temprana: Implementar tecnologías que nos permitan identificar señales de alerta antes de que se conviertan en problemas efectivos. Respuesta Rápida: Capacitar a nuestros clientes para que puedan reaccionar de manera más eficiente y con mayor rapidez a los incidentes. Es esencial entender que nuestro trabajo no involucra riesgos para el cliente. Por el contrario, buscamos constantemente tecnologías avanzadas que proporcionen a nuestros clientes las herramientas necesarias para una gestión de incidentes más efectiva. Esto, a su vez, minimiza el impacto y mejora la seguridad general. A.N.: Por último, ¿cómo ves el actual mercado de ciberseguridad y en concreto la función del CISO? J.M.: El mercado de ciberseguridad actual es muy dinámico y está en constante crecimiento. Durante una reciente visita a Israel, observé de primera mano el vibrante ecosistema de ciberseguridad que, junto con Estados Unidos y Europa, constituye uno de los tres pilares fundamentales en este ámbito. Aunque hay otros países con sectores de ciberseguridad destacados, estos tres representan los núcleos más influyentes y activos. Este dinamismo se ve impulsado por la constante innovación y el nacimiento de nuevas empresas. Muchas emergen de ideas generadas dentro de compañías ya establecidas, donde los empleados deciden emprender por su cuenta. Aunque no todas tienen éxito, su mera existencia contribuye al avance tecnológico y al enriquecimiento del sector. Respecto a la figura del CISO, creo que ha evolucionado significativamente en la última década. Anteriormente, se percibía principalmente como un rol operativo, con poco impacto en las decisiones estratégicas de las empresas. Sin embargo, hoy día, la importancia del CISO ha crecido exponencialmente, convirtiéndose en un pilar fundamental dentro de los consejos de administración. Esta transformación se debe en gran parte a la creciente concienciación sobre los riesgos ciber y su impacto económico en las organizaciones. Los consejos de administración ahora están más informados y preocupados por la ciberseguridad, no solo por obligaciones regulatorias, sino también por el potencial daño económico que un incidente puede causar. Además, la cadena de suministro se ha convertido en un área crítica de atención para los CISOs, quienes ahora juegan un papel crucial en la evaluación de la seguridad de los proveedores. Esta responsabilidad es vital, ya que muchos ataques se llevan a cabo a través de vulnerabilidades en la cadena de suministro. En resumen, el mercado de ciberseguridad es más activo y vital que nunca, con un crecimiento que supera al de sectores más tradicionales. El papel del CISO se ha reforzado significativamente, convirtiéndose en un componente esencial en la estrategia y la toma de decisiones de las empresas modernas. La adopción de tecnologías emergentes, como la inteligencia artificial, y la adaptación a nuevos desafíos seguirán siendo claves para mantener la seguridad en el futuro.
17 Mayo 2024
Sin categoría
En mi época de CEO de una compañía americana de energías renovables, me preocupaban fundamentalmente dos cosas: definir y ejecutar la estrategia más adecuada para hacer crecer a la compañía y obtener el beneficio esperado, controlando el riesgo. Desde el punto de vista financiero, usábamos diversas estructuras de financiación de proyectos sin recurso al accionista, que confiaban en la generación de flujos libres de caja del proyecto para amortizar la deuda y, además de contar con coberturas financieras para estabilizar los flujos de caja en un mercado altamente dinámico y volátil, era fundamental contar con una operación eficiente e impecable. Este aspecto constituía un reto nada desdeñable en un negocio industrial que debe funcionar las veinticuatro horas del día, los siete días de la semana y entregar al mercado un producto de calidad, que se consume en tiempo real, además de estar sujeta a complejas estructuras de venta en distintos mercados eléctricos, con regulaciones diferentes y penalidades muy severas si no se entregan. Tanto en el lado operativo, como en el financiero, descubrí que la clave estaba en entender muy bien los factores que podían afectar negativamente a la operación y desplegar las medidas adecuadas para prevenir su ocurrencia y/o mitigar su impacto, con criterios de rentabilidad, o bien contratar un seguro cuando fuese posible En el pasado, los factores de riesgo operacional eran complejos de gestionar, pero conocidos. Desde fenómenos meteorológicos, hasta fallos mecánicos o electrónicos, pasando por actos de sabotaje o robo de material, para casi todos teníamos profesionales expertos, regulaciones claras, estándares de mercado que habían sido mejorados a lo largo de muchos años, y un vasto historial de eventos que nos permitía entender e incluso cuantificar el riesgo estadísticamente. El mercado asegurador también era capaz de entender el riesgo y nos ofrecía una amplia gama de productos para cubrir los posibles daños o el lucro cesante, a precios razonables. Mi trabajo como CEO era sencillo: los expertos me presentaban los posibles riesgos y el presupuesto para su mitigación y yo solo debía decidir hasta donde tenía sentido invertir en medidas de protección y cuándo era preferible aceptar el riesgo o contratar un seguro. Podía dedicarme a la estrategia. Pero a medida que empezamos a digitalizar nuestros procesos, aparecieron los riesgos de ciberseguridad. Al principio, nos preocupaba la protección de la información, el espionaje y el fraude financiero, pero nuestro equipo de informática parecía tenerlo controlado. Sin embargo, pronto nos dimos cuenta de que también podía afectar a nuestras operaciones industriales, a nuestros activos físicos, e incluso a la seguridad de las personas. En nuestro caso, riesgo exacerbado por ciertas regulaciones del sector eléctrico norteamericano que impedían en la práctica usar soluciones en la nube, y en su lugar exigían la implementación y uso de centros de datos propios, que aumentaban exponencialmente nuestra exposición al riesgo ciber. Recuerdo que, como CEO, traté de aplicar la misma lógica que siempre me había funcionado para el resto de los riesgos operativos, y que yo mismo aplicaba en mis tiempos de ingeniero. Llamar al experto para que me explicase bien el riesgo en términos de probabilidad de ocurrencia e impacto sobre la operación, entender la rentabilidad de las medidas necesarias para mitigarlo, comparar también con el coste de contratar un seguro, y decidir. Para mi sorpresa, ninguna de estas premisas se cumplía. Iba a tener que volver a dedicarle más tiempo a la operación. Nadie, era capaz de explicarme cómo - en concreto - podían afectarnos en la operativa esos aterradores ataques de ransomware, phishing o DDoS que, según me reportaban, se lanzaban por miles cada minuto con terribles pero inciertas consecuencias para muchas empresas y, ni mucho menos la probabilidad de que nos afectase o cuánto nos podría costar si sucediese. El experto de ciberseguridad, que era del Equipo de Sistemas, y no entendía de nuestras operaciones industriales, me pedía un presupuesto millonario para instalar una serie de medidas fundamentales con el objetivo de protegernos contra esos ataques, pero sin indicar el retorno de esa inversión, y el responsable de operaciones, que no entendía de ciberseguridad, opinaba que era innecesario y que las medidas propuestas impactarían negativamente en la eficiencia. Debido a esta falta de capacidad para entender la probabilidad de ocurrencia y cuantificar las potenciales consecuencias, las pólizas de seguros tradicionales, que inicialmente ni mencionaban el riesgo ciber (cobertura silenciosa, o fuente de litigio), cuando lo hicieron fue para excluirlo. Y cuando ciertas aseguradoras empezaron a incluirlo, ofrecían pocos productos alternativos con multitud de exclusiones, límites insuficientes, y a precios desorbitados. En definitiva, seguros que no suponían ninguna transferencia real de riesgo. Decidimos probar algunas soluciones de cuantificación del ciberriesgo que había en el mercado, pero solo abarcaban los entornos TI y estaban basadas en una mera observación externa de nuestro perímetro que, a medida que migrábamos a la nube, se iba desdibujando. Tanto me obsesionó esta cuestión que, en 2017, y una vez completado el proyecto anterior, decidí fundar DeNexus, una compañía dedicada a cuantificar y gestionar los riesgos de ciberseguridad en entornos industriales con datos reales de ataques, controles y vulnerabilidades, tanto internos, como externos, y que permite priorizar las inversiones necesarias para mitigarlos, con base en su rentabilidad. Mi objetivo era ayudar a otros CEOs a entender el riesgo ciber, y tomar decisiones informadas de gestión o transferencia. Pronto encontré una gran acogida entre los responsables de las empresas energéticas. También un gran interés en mi solución por parte de las aseguradoras que, por fin, podían disponer de una estadística real de eventos e impactos en la que basar sus cálculos financieros y ofrecer productos de cobertura a precios razonables. Actualmente, ayudamos a multitud de empresas de diferentes sectores industriales y estamos evolucionando nuestra solución para cubrir también entornos TI, a la vez que seguimos avanzando con el mercado asegurador para poder ofrecer coberturas adecuadas para este importante, pero cada vez menos desconocido riesgo. José Seara Fundador y CEO de DeNexus
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
