Rincón del CISO
Idoia Mateo, CISO Europa y del Centro Corporativo del Banco de Santander, entrevista a Xabier Mitxelena, Fundador de CEO CYBERTIX, Presidente de Cybasque, Presidente de AEI Ciberseguridad y Director General de BeDisruptive. Idoia Mateo: Hoy tengo el gusto de presentar a Xabier, con el que llevo coincidiendo en el sector más de 25 años, vasco de pro, trabajador incansable, creador de equipos y referente para muchos de nosotros. Como a él le gusta decir, sigue viviendo en Donosti y trabaja en todas partes… pero sus raíces y referencias siguen siendo las mismas… Honesto, valores, familia, amigos, gastronomía… vamos a tener la oportunidad de conocerle un poco mejor. Xabier, eres emprendedor, fundador y CEO de CYBERTIX, Presidente de Cybasque, Presidente de AEI Ciberseguridad, Director General de BeDisruptive.. mira que yo soy hiperactiva, pero no consigo pillarte, ¿Cómo eres capaz de combinar todos estos roles? Xabier Mitxelena: Bueno Idoia, primero gracias por tu introducción, ya sabes que la experiencia es un grado y la vida profesional supone un aprendizaje continuo. Siempre he sido y seré una persona de personas y, sin duda, asumir diferentes roles en diferentes organizaciones es un reto donde mi objetivo principal es construir equipos donde sean esas personas las que lideren la ejecución de las respectivas estrategias, haciendo suyos los retos a los que nos enfrentamos en cada momento. Además, y esto es parte de mi propia visión sobre cómo se debe construir y transformar el sector de la ciberseguridad de cara al futuro, siempre trabajo en aras de que se generen sinergias entre equipos y organizaciones. Cybertix es un proyecto empresarial muy personal donde talento, innovación y experiencia tienen como objetivo crear escenarios donde la mejora del conocimiento a través de expertos/as, junto al desarrollo de sistemas automatizados basados en inteligencia artificial, sean la base de los modelos de seguridad de las Pymes en su nuevo escenario digital. BeDisruptive es una nueva experiencia en el camino, una entidad donde, ayudando al CEO, mi labor esencial está centrada en desarrollar equipos y propuestas creativas que pongan en valor en primera línea una estrategia global diferencial. Tengo la suerte de haber incorporado equipos expertos que complementan una estructura donde se respira la ciberseguridad en todo momento. Cybasque es el clúster privado de empresas de ciberseguridad del País Vasco, cuyo origen viene a cubrir un entorno de colaboración público-privada dentro de la comunidad, alineando nuestra estrategia de ciberseguridad con los sectores clave en el desarrollo económico de la región, cuyo futuro digital requiere de un modelo de confianza. En este caso, dentro del RIS3 europeo, la fabricación inteligente, energía, salud y alimentación son las industrias esenciales donde se quiere y se debe invertir. Habiendo sido pioneros en la iniciativa Retech de Ciberseguridad junto al BCSC (centro Vasco de Ciberseguridad), así como con INCIBE y la AEI Ciberseguridad, haber asumido la presidencia de esta última tiene como objetivo que la palabra colaboración sea un hecho diferencial de cara a Europa y que nuestro sector sea competitivo a nivel global, haciendo del lema “juntos somos más fuertes” el camino hacia el liderazgo. Te puedo asegurar que en ambos clústeres hay mucha gente que dedica su tiempo libre a construir este ADN que nos debería situar como el país referente en el desarrollo de ecosistemas digitales seguros. I.M.: ¿Y cuál es el enfoque estratégico para liderar iniciativas de ciberseguridad en estas organizaciones? X.M.: Sin duda pensar en el futuro, reflexionar y aprender de los errores del pasado, y ser consciente de las limitaciones que tenemos como personas. Después de 25 años en este sector, y alguno más en el ámbito de la calidad y de Internet, una de las claves para liderar proyectos de esta naturaleza se basa en saber escuchar, saber debatir y tomar decisiones. Necesitamos que los valores fundamentales que deben regir este sector, la humildad, la generosidad, ese ADN colaborativo que nos debe permitir ser resilientes, esté acompañado de buenas dosis de ilusión y ambición positiva. Esa experiencia de muchos años donde predominan las situaciones positivas frente a los fracasos que te van curtiendo personal y profesionalmente, y una idea clara de asumir de forma permanente que el mejor liderazgo es el que se rodea del mejor equipo, entre otras cosas porque te permite seguir aprendiendo, ayudan a que el trabajo en equipo redunde en proyectos cuyo espíritu sea el ejemplo a seguir. Hay demasiadas iniciativas en este momento cuya convergencia nos ayudaría a ser mucho más eficientes, a tener resultados de mayor envergadura y, en definitiva, a consolidar recursos en un mercado global donde deberíamos entrar con mucha más fuerza y energía. En dos palabras, podríamos resumir que la base está en “crear cultura” de empresa para sentir que todos y cada uno de nosotros somos importantes dentro del sector. I.M.: Uno de los skills más importantes en CYBER es probablemente la Gestión de Crisis, y la toma de decisiones durante la misma. En tu larga trayectoria seguro que has vivido varias ¿Puedes describirnos alguna de ellas que consideres relevante y cómo se manejó la situación? X.M.: Realmente me ha tocado vivir muchas y de diferente naturaleza, pero creo que puedo referirme a un par de ellas por su diferente origen y resolución. Me acuerdo, en las primeras etapas de S21sec, una situación grave para una empresa donde sus equipos de sistemas les exigían una serie de condiciones de forma urgente bajo la amenaza de paralizar la compañía. Éramos una start-up con un equipo muy joven, con un talento técnico descomunal, y fueron ellos los que propusieron un plan de acción que para mí sonaba a ciencia-ficción. El objetivo era actuar a partir del viernes por la tarde hasta el domingo con el objetivo de intentar tomar el control de todos los sistemas y evitar que la dirección siguiera amenazada con una caída de sus infraestructuras TIC, que en su negocio hubiera sido crítica. Creamos un equipo de comunicación interna junto al cliente mientras nuestros expertos se pusieron manos a la obra. Hicimos un plan de seguimiento diario con diferentes puntos de control con el cliente y, afortunadamente, pudimos asumir el control de toda la infraestructura a tiempo y ayudar a una transición con nuevos equipos que dieran soporte al negocio de la entidad. En épocas posteriores, recuerdo varios procesos de M&A donde la compañía a adquirir estaba siendo atacada y/o su información crítica podía estar en riesgo de ser exfiltrada. En uno de los casos, detectamos que “el enemigo” estaba en casa y en concordancia con el cliente liderado por su dirección, pusimos en marcha un plan de comunicación y gestión de crisis, empezando por analizar las infraestructuras y evaluar la situación a la que nos enfrentábamos. Desafortunadamente los atacantes llevaban meses en los sistemas y a priori podían haber obtenido información crítica de la IP y los proyectos de la empresa. Lo curioso, ahora que se habla de los ataques persistentes, es que conseguimos sacarles de las redes internas con bastante esfuerzo, pero siguieron intentando volver a la infraestructura utilizando diferentes técnicas y tácticas que nos hicieron ver que la actividad de los ciberdelincuentes había crecido y evolucionado mucho en los últimos años. Un tema importante en este caso era que la empresa ya tenía una cultura de seguridad la cual ayudó a que el proceso de Gestión de Crisis, así como las diferentes etapas y decisiones que tuvimos que aplicar, estuvieran en línea con muchas de las prácticas y regulaciones que hoy nos orientan a la hora de actuar. Hoy nos enfrentamos casi a diario a este tipo de situaciones y trabajamos de forma intensa en crear los procesos y las metodologías que con un entrenamiento adecuado mitiguen cualquier intento exitoso de los ciberdelincuentes. I.M.: Otra de las tendencias tecnológicas que tiene gran impacto en Cyber por distintas razones es la Inteligencia Artificial ¿Cómo ves la evolución de la inteligencia artificial en el campo de la ciberseguridad? En positivo y en negativo. X.M.: Como todas las tecnologías que habilitan la mejora de procesos y resultados, debemos ser conscientes que se utilizan por parte de todos los actores que hoy formamos parte de la economía y la vida digital. Si bien la IA no es nueva y sus orígenes datan de los años 50 del siglo pasado, está claro que hoy supone la mayor revolución a la que nos podemos enfrentar en nuestros modelos laborales y de vida. En estos años hemos aprendido que la evolución del mercado de la ciber(in)seguridad, donde la complejidad y capacidades de los atacantes está fuera de toda duda, los modelos de automatización y compartición del conocimiento son el único camino para mitigar los riesgos que nos acechan y evitar el éxito de los ciberataques. Personalmente, siempre he creído en los modelos 24x7, donde la inteligencia debe ser el factor clave de la prevención y detección de problemas. Machine Learning, Playbooks, Sistemas Expertos... toda la ontología y la tecnología se ha movido en ese sentido para evitar la permanente dependencia de expertos cuyo número es escaso para las necesidades actuales. La IA, apoyada en los grandes actores tecnológicos ha venido para quedarse y, sin duda, es la herramienta clave (de momento) para enfrentarnos a la ciberdelincuencia en todas sus manifestaciones. Por ejemplo, en Cybertix trabajamos con herramientas “all in one” cuya base esencial es la aplicación de la IA como elemento de mejora continua. BeDisruptive tiene una línea de actuación donde la automatización es una de las claves de su modelo estratégico. Y, a nivel de Marketing, el 95% de las tecnologías que implementamos en Ciberseguridad dicen que utilizan la IA para mejorar la protección y la detección en sus clientes. Al mismo tiempo, “el lado del mal” utiliza la IA para mejorar sus resultados y llegar más lejos en sus éxitos y logros. Diría que es una tecnología de doble uso que está al alcance de todos y que nos vuelve a obligar a pensar en cómo estar un paso por delante del enemigo. Podemos afirmar que nos enfrentamos a una tecnología única que no sólo está cambiando la sociedad y el comportamiento humano, sino que nos va a generar caminos futuros que ahora mismo no están en nuestra hoja de ruta. Por eso, y como reflexión añadida final, es importante que el gran potencial de la IA no termine por deshumanizarnos del todo. Tenemos que humanizar la IA y balancear nuestro cerebro, nuestra forma de pensar y aportar valor con aquellos límites que su aplicación no debería pasar, tanto en temas éticos como de sesgos interesados. Necesitamos una regulación que certifique los algoritmos que cada IA lleva en su ADN y un compromiso ético que haga frente al creciente escenario de noticias falsas, desinformación y bulos que complementan la estrategia de los ciberdelincuentes y los estrategas geopolíticos que buscan desestabilizar el mundo. Si algo debemos entender respecto a la IA y su evolución es que puede ser la mejor herramienta para construir un mundo mejor y, a la vez, el peor de los mundos. El factor humano determinará cómo se inclina la balanza. I.M.: Tú y yo que llevamos años trabajando en CYBER una de las cosas que hemos hablado en alguna ocasión es que el entorno de amenazas no deja de crecer, que tenemos trabajo para muchos años… ¿Qué medidas esenciales crees que deben adoptar las organizaciones para prepararse mejor ante las amenazas cibernéticas emergentes? Elige las 3 que consideres más relevantes entre todo lo que tenemos que hacer… X.M.: Tienes razón Idoia, tenemos trabajo para muchos años y necesitamos entender que la ciberseguridad es y será un elemento fundamental para la competitividad y continuidad de nuestras organizaciones. Siendo conscientes de las iniciativas regulatorias que guían y aceleran muchas de las medidas a implantar y/o mejorar en las empresas, me gustaría resaltar: Desarrollo e implementación de programas formativos y de concienciación, que consoliden una cultura de ciberseguridad integral, desde los consejos de administración hasta los diferentes departamentos que dan soporte a nuestras entidades, y que mejoren de forma permanente las capacidades y conocimientos de los y las profesionales en la materia. Programas de reskilling y upskilling serán importantes tanto en la oferta como en la demanda dentro del sector, y la colaboración interna y externa, además de ser necesaria, exige un lenguaje común. Desarrollar una estrategia de ciberseguridad plurianual alineada con la estrategia de negocio, tanto a nivel de procedimientos y procesos, como en el diseño y desarrollo de productos y servicios. “Security by Design” es la clave para que nuestra oferta sea segura y nuestra cadena de suministro esté en las mejores condiciones para ser resiliente. No olvidemos que la nueva regulación europea (Cyber Resilience Act) exigirá que nuestra oferta esté certificada en diferentes niveles de ciberseguridad y no será una opción, sino un requisito para poder competir en nuestros mercados. Transformar los modelos operativos de ciberseguridad, simplificando las plataformas tecnológicas y utilizando las tecnologías aceleradoras y habilitadoras que den soporte a una toma de decisiones efectiva en colaboración con empresas y expertos certificados. Necesitamos que la automatización sea nuestra mejor herramienta para garantizar nuestro ”compliance” y hacer de la prevención nuestra mejor defensa frente al crecimiento exponencial de la ciberdelincuencia. IA, Quantum... toda esta revolución tecnológica debe ser aplicada con criterios de mejora y anticipación a través de estrategias de innovación inteligentes. I.M.: Y ahora conozcamos a Xabier un poco fuera del ámbito profesional, ¿cuáles son sus hobbies o pasatiempos favoritos? ¿Yo creo que comparto alguno contigo, verdad? X.M.: Sinceramente tengo muchos y priorizo aquellos que el tiempo libre me permite. Dedicar espacios a mi familia con nuestras aficiones comunes es y ha sido mi prioridad principal durante estos años. Ir al monte, descubrir la naturaleza que nos rodea y conectar con nuestros sentidos fuera de la tecnología es mi mejor terapia para recuperar sensaciones y cargar pilas. Viajar, conocer lugares singulares y las diferentes culturas que están a nuestro alcance es otra de mis pasiones. Y hablando de sentidos, espacios que hemos compartido tú y yo con otras personas de este sector: la gastronomía en sus diferentes e interesantes ofertas. Me gusta cocinar y ser un buen comensal descubriendo las novedades en una oferta cada vez más extensa, me encanta relajarme con amigos entendiendo y probando de forma puntual esa oferta de vinos que nos sigue sorprendiendo día a día. Visitar bodegas y entender un modelo de vida donde el resultado, eso sí, consumido con moderación, te lleva a activar tus sentidos y elevar el nivel de desconexión de los problemas diarios. Y no me olvido del fútbol, un deporte que he practicado en mi juventud (con poco éxito) y que tiene en mi equipo txuri urdin del alma, la Real Sociedad, un exponente de que se puede ser apasionado respetando a los contrarios. Ya ves Idoia, me encanta todo aquello que despierta pasión y te hace sentir vivo. I.M.: ¿Hay algún libro, película o serie que haya influido en su perspectiva sobre la ciberseguridad? ¿Y sobre la vida? X.M.: Seguro que hay muchos clásicos que me han hecho reflexionar sobre ambos aspectos, pero en el ámbito de la ciberseguridad en toda su dimensión la mejor película que he visto es la de mis propias vivencias y experiencias. Soy un apasionado de la filosofía y además de ser el remate de una trilogía sobre el ser humano, después de Sapiens y Homo Deus, “21 lecciones para el Siglo XXI” de Yuval Noah Harari es uno de los libros que mejor expresa los riesgos a los que la tecnología y la deshumanización nos está llevando. A nivel geopolítico hay mucha literatura moderna que nos hace reflexionar sobre “quién gobierna el mundo”. Hay un libro de Noam Chomsky con ese mismo título que puede ser uno de los ejemplos de cómo los bloques están lejos de la sociedad y del humanismo que nos debería diferenciar. Sobre la vida, leer libros como “El Principito” de Antoine de Saint-Exupéry, 1984 de George Orwell que nos acerca a una distopía hacia la que a veces parecemos encaminados “gracias” a la tecnología, o “El Alquimista” de Paulo Coelho, pueden ser algunos de los textos que te hacen pensar y reflexionar sobre uno mismo. I.M.: ¿Cómo equilibras tu intensa vida profesional, todo el día viajando y sin parar, con tus intereses personales y tiempo libre y familia? X.M.: Como antes te he comentado, aprovechando el tiempo libre para priorizar la familia y algunos de los hobbies que puedo compartir con ellos y con amigos. Mi mujer es sin duda mi mejor soporte en toda esta vorágine y mis hijos han ido creciendo con una interacción diaria donde la tecnología nos ha ayudado a estar comunicados todos los días. Tantos años haciendo kilómetros y volando entre países y aeropuertos, me han ayudado a entender que cada minuto de nuestra vida es un tesoro, y he aprendido a combinar trabajo, ocio y descanso de forma óptima. Según voy cambiando de década, de versión de mi propio “hardware y software”, tengo la sensación de que disfruto de todo lo que hago e intento que los demás también lo hagan sin perder un ápice nuestro propósito y responsabilidad en cada actividad personal y profesional. I.M.: ¿Y cómo desconectas? ¿Existe algún deporte o actividad que practiques para desconectar del estrés del trabajo? Ya sabes que yo no soy de deporte… más de vinos… también vale. X.M.: Jajaja, tal vez ese deporte practicado con moderación y de forma esporádica no sea tan malo¡!! Estar activo es muy importante, sin duda. He ido pasando de hacer deporte (fútbol, squash, pádel…) a hacer ejercicio (andar, perderme por el monte y por senderos que “hablan” por sí solos). Es más, en cada ciudad en la que trabajo, busco momentos donde evitar otro transporte que no sea ir andando de una reunión a otra. Me encanta también nadar, aunque en este caso los viajes me ayudan menos a encontrar espacios. Tengo la suerte de vivir en Donosti y desde mis épocas de estudiante el mar ha sido mi mejor “compañero” de reflexión y relax. Andar descalzo por la playa con buen tiempo o con el sirimiri que últimamente nos acompaña como antaño, es una terapia que recomiendo a todo el mundo. Meditar es otra de mis formas de mejorar continuamente y de buscar esa paz interior que nos permite escuchar a los demás e intentar ayudar en los caos necesarios. I.M.: Veamos el futuro… decimos que faltarán miles de profesionales en tecnologías en general y en CYBER en particular hay trabajo, es dinámico y diverso, se aprende (por eso seguimos aquí, ¿no?) y no se paga mal ¿Qué consejo le darías a alguien que está comenzando una carrera en ciberseguridad o que quiere hacer un reskilling para hacerlo? X.M.: Que no deje de preguntar, de aprender, de explorar su curiosidad para entender mejor cómo la Cyber puede ser su ámbito de desarrollo y crecimiento profesional. Hoy tenemos múltiples salidas profesionales en el entorno de la ciberseguridad, no sólo a nivel tecnológico, sino a nivel legal, reputacional y, sobre todo, de negocio. A nivel técnico la evolución del cibercrimen nos debe obligar a ir más allá de la formación, debemos explorar entornos de entrenamiento que mejoren las capacidades y prestaciones que podemos aportar dentro de nuestros equipos. Y a nivel de cualquier profesión, aprender a utilizar correctamente la tecnología y evitar riesgos innecesarios, junto con la necesidad de comprender y entender qué medidas de seguridad debemos aplicar en cada puesto de trabajo independientemente de su naturaleza, será una de las claves para evitar que la falta de profesionales nos lleve a una “derrota” en esta guerra digital donde distinguir entre amigos y enemigos es cada vez más difícil. I.M.: Los que llevamos muchos años de carrera hemos visto mucho evolucionar la profesión – la tecnología, los CISOs, el nivel de exposición... ¿Cómo ves tú la evolución de la industria de la ciberseguridad? ¿Qué consideras que es lo más significativo? X.M.: A primera vista, podemos decir que han proliferado local y globalmente infinidad de compañías tecnológicas que vienen a cubrir, en general, riesgos en áreas específicas, que forman parte de nuestras infraestructuras tecnológicas y de negocio. Hay claramente una tendencia hacia la integración y simplificación de las plataformas, con foco en establecer ecosistemas de confianza en el ámbito del nuevo escenario del cloud. A nivel de los profesionales, se ha producido un gran cambio respecto a la ubicación del talento y la experiencia. Si hasta hace una década más del 80% se encontraba en la oferta, hoy podemos decir que la pirámide se ha invertido y es la demanda la que cuenta con la experiencia y el conocimiento de ese porcentaje. La realidad nos lleva a que se ha pasado de una venta consultiva a una venta tecnológica, donde los tiempos y la presión de los fabricantes genera una disfunción a la hora de establecer procesos de transformación. Ya recientemente podemos afirmar que este gap de know how y desequilibrio oferta-demanda está dando lugar a proyectos innovadores, donde la aplicación de la IA viene a cubrir una parte importante del mismo. Como colofón, la presión regulatoria y la permeabilidad de la ciberseguridad desde la alta dirección está cambiando y resaltando la labor de la función del CISO a niveles estratégicos, con foco en dar valor y soporte al negocio. I.M.: Los CISOS cada vez tenemos más exposición a alta dirección ¿Qué habilidades consideras esenciales para un líder en ciberseguridad hoy en día? X.M.: Evitar priorizar la tecnología, traducir la ciberseguridad a conceptos de negocio, apostar por la simplificación y la transformación frente al continuismo, establecer nexos con los consejos de administración ayudándoles a entender su responsabilidad y a valorar los aspectos diferenciales de hacer de esta práctica un elemento diferencial y único para competir al máximo nivel. Un/a CISO debe ser alguien que, conociendo muy bien el negocio de su empresa, aporte líneas estratégicas que mejoren la productividad y los resultados de la entidad, manteniendo sus capacidades a nivel continuidad de negocio. Y, sobre todo, el/la CISO debe confiar en empresas y profesionales cuyas certificaciones y experiencia sean una garantía de ejecución de las mejores prácticas. Si algo me gustaría pediros, es que insistáis en vuestras organizaciones en evitar subastas y valorar en su justa medida el conocimiento y resultados que las empresas del sector aportan. Necesitamos un sector solvente y rentable que garantice el mejor de los soportes para vuestras empresas. I.M.: Y para acabar, una anécdota. Por favor comparte con nosotros alguna anécdota o experiencia memorable que haya marcado un antes y un después en tu carrera. Una positiva y una negativa, si existe. X.M.: Me alegra que me hagas esta pregunta y, en verdad, he tenido muchas experiencias que me han hecho reflexionar y mejorar en mi desempeño. Por simplificar y ser absolutamente positivo, creo que este sector debe mejorar su discurso y traducir la realidad a un lenguaje entendible a todos los niveles. Hace muchos años, cuando todavía no tenía en mis genes la ciberseguridad como en la actualidad, al implantar nuestros sistemas de gestión en empresas de tamaño medio y pequeño recomendábamos hacer una copia de seguridad diaria, una semanal y una adicional cada mes. Recuerdo que en una visita a un cliente (de esos formales que cumplen con todos los procedimientos), al preguntar por el cumplimiento de esa política, la responsable de administración me dijo que hacían las copias de forma recurrente y que guardaban la información en disquetes 5 ¼” que taladraban precisamente para almacenarlos en una carpeta de anillas. Ese día comprendí que la seguridad de la información requería de educar de forma precisa a los clientes, dejando de obviar aspectos que, como en este caso, inutilizaban la información, aunque hicieran pensar a los clientes que estaban en buenas manos cumpliendo los procesos definidos. Algo tan simple, me hizo cambiar una parte de mi actitud y acercar la seguridad del back up a los clientes, explicando no sólo lo que debían hacer, sino algunos riesgos que debían evitar para no estropear el trabajo bien hecho. Hoy podría hablar de algunas de las charlas que hace años empecé a tener con consejos de administración y directivos, donde las preguntas en muchas ocasiones estaban más orientadas a evitar cambios de comportamiento individual que a hacer un esfuerzo por liderar y mejorar el modelo, con argumentos que ignoraban los riesgos reales a los que se debían enfrentar frente a considerar el impacto que pudiera generar su escepticismo. Hoy me enfrento a consejeros y consejeras mucho más concienciados que están haciendo de la ciberseguridad un activo de sus organizaciones. Como ves, ambas experiencias tienen componentes positivos y negativos, al mismo tiempo que personalmente me han ayudado a seguir creciendo personal y profesionalmente. Educar, en casa y en el trabajo, seguirá siendo una parte de mi “leitmotiv”. Reportaje fotográfico realizado en las Torres de Cristal, oficina de BeDisruptive.
15 Julio 2024
Opinión
Como ingeniero naval no me resisto a comparar la ciberseguridad con un barco. Estando navegando en el mar se tiene una sensación intranquila cuando se acerca la tormenta. Nos lo avisan y tomamos precauciones, repasas el barco, contrastas la información que tienes con externos, hablas con los otros tripulantes y tratas de predecir la situación a la que te vas a enfrentar con intranquilidad pero sabiendo que actuarás para lo que viene. El futuro de la ciberseguridad nos crea intranquilidad y nos hace prepararnos para un futuro con riesgos ciertos. Cuando eres consejero tratas de vigilar los riesgos por la solvencia y la estabilidad con buen gobierno y gestión. Para ello cuidas de las tres líneas de defensa contra la ciberseguridad, y examinas y controlas la regulación. Estamos en un momento de intensa regulación, Europa se convierte en esto, como en otras cosas, en un ente líder de desarrollo de normas y procedimientos. Vienen años de mucho trabajo para cumplir con las normas. Pienso que es motivo para reforzar no solo los perfiles internos, sino la composición de los consejos. Debe existir al menos algún consejero que haya tenido la gestión de la ciberseguridad bajo sus responsabilidades. Los ataques de ciberseguridad van a aumentar exponencialmente y se van a ver apoyados con mejores herramientas, la inteligencia artificial se usará para el diseño, predicción y gestión del ataque. Nosotros hemos de utilizar igualmente algoritmos y herramientas que nos permitan ser resilientes. La computación cuántica tardará algunos años en ser utilizable a nivel empresarial, que nos permitirá hacer simulaciones y explotar algoritmos en otra dimensión, pero el software cuántico, corriendo en entornos actuales sí está aquí en poco tiempo, este software permitirá eliminar barreras de forma sencilla y pondrá a la luz datos hoy protegidos. ¿Tenemos los procedimientos adecuados contra este evento real? ¿Tenemos los conocimientos y colaboradores externos necesarios para el software cuántico? Debemos probar y adquirir talento en estos momentos para prepararnos para esta circunstancia. Hemos de partir de la hipótesis que hemos sido atacados y que debemos gestionar la crisis para volver a la normalidad en la gestión de los procesos y procedimientos. La gestión de una crisis debe probarse regularmente y vigilar porqué los procesos nos permiten restaurar la situación y gestionarla de forma correcta. La comunicación interna y externa es crítica. La colaboración público privada y la transparencia en la gestión de los incidentes debe ser total, incluyendo a nuestros clientes y el consejo debe velar por ello. El consejo debe formarse en ciberseguridad, en la regulación que viene de forma periódica y debe exigir que la formación de todos y cada uno de los empleados sea la necesaria y frecuente en cada ejercicio. Regularicemos las revisiones de las políticas y gestión ciber en el consejo y aseguremos que el CEO y el comité de dirección se sientan los responsables de ello, facilitando los recursos precisos en las tres líneas de defensa y siguiendo las directrices que identifique el CISO, el auténtico conocedor y apoyo para la empresa. El CISO se convierte en un directivo crítico, debe tener capacidad, recursos y gobernanza suficiente para hacer su trabajo de forma independiente, y orquestar los procedimientos y gestiones precisas. Cuando estemos en la tormenta, si no hemos podido evitarla, que es lo más prudente, y se rompa una vela, la solución no es cargarse la pala del timón (al CISO), sino que el patrón (el CEO), maneje la caña del timón de forma adecuada para que el resto de las velas y el casco nos ayuden a salir de la crisis. Repasemos en puerto los daños, reparemos y reforcemos la tripulación y el barco para nuestro próximo incidente. Feliz singladura. Federico Flórez Consejero Independiente
15 Julio 2024
Rincón del CISO
Como ciudadano y profesional en el ámbito de la ciberseguridad y peritaje informático, me siento obligado a expresar mi preocupación por la atención que muchas víctimas reciben por parte de la policía y la justicia en España. No busco ofender a nadie con esta crítica, pero alguien tiene que decirlo, y he pensado que mi experiencia puede servir para hacer autocrítica y mejorar todos. A menudo, las víctimas de violencia de género, estafas amorosas, fraudes con criptomonedas o robos en propiedades se encuentran con respuestas desalentadoras como "no se puede hacer nada" o "no puede denunciar". Aunque conozco a excelentes policías, guardias civiles y funcionarios judiciales, también hay muchos que no están a la altura. No sé si es por la falta de recursos, de conocimiento, de vocación o de tiempo, pero la realidad es que muchas víctimas están siendo doblemente victimizadas y abandonadas en un sistema que debería protegerlas. En mi empresa, QuantiKa14, tenemos un equipo compuesto por con ex policías, ex guardias civiles y ex agentes de inteligencia, y respetamos profundamente las instituciones. Sin embargo, es fundamental que estas mejoren su atención a las víctimas de forma urgente. Si no lo hacen, serán las empresas privadas, como la nuestra, las que darán esos servicios dejando que muchas personas no puedan tener justicia al no poder costear los gastos del servicio. Permítanme ilustrar esto con algunos casos que he presenciado personalmente: Robo en varias casas: la Policía Local en España juega un papel fundamental en la prevención de delitos y en la promoción de la seguridad ciudadana. Gracias a su proximidad con la comunidad local, las Policías Locales pueden implementar estrategias de prevención del delito a nivel local, realizar patrullajes preventivos, participar en programas de prevención y concienciación, y colaborar con otros organismos y entidades para promover un entorno seguro. Creo que es un error que se les diga que no pueden hacer nada y trasladar rápidamente a la Guardia Civil. En mi humilde opinión, lo ideal es dar cobertura a los otros cuerpos, realizar estudios y apoyar en las indagaciones, porque quienes conocen mejor a los vecinos son ellos. Estafa en criptomonedas: Un hombre nos contrató para identificar a los autores de una estafa en criptomonedas y asesorarle en su denuncia. Al llegar a la comisaría, fue sometido a un interrogatorio tan desagradable que terminó llorando, dificultando su capacidad para recordar los detalles. Además, mi cliente estaba en busca y captura por otro asunto y nadie en la comisaría lo comprobó, lo que cuestiona la eficacia de nuestro sistema de seguridad. Existe un BOOM de este tipo de estafas y es fundamental exponer a las víctimas que sí es posible encontrar a los autores y trabajar entre todos para poner mecanismos internacionales y presionar a los bancos para que mejoren o apliquen las medidas correctamente. Agresión sexual a menores: En otro caso, trabajamos para localizar a una persona en busca y captura por supuesta agresión sexual a tres menores. Tras encontrarlo, se le impuso una fianza de solo 3000 euros, y efectivamente, se comprobó que el ADN del semen encontrado en una de las menores era suyo. La falta de prioridad en la investigación, agravada por una huelga, fue frustrante y alarmante. Suicidios sospechosos: En España, las muertes se califican como suicidios con demasiada rapidez. Me pregunto si somos el país con más suicidios o simplemente el que menos investiga, dejando a muchos asesinos en la calle. ¿No te lo habías preguntado? Aplicaciones espía y estafas amorosas: Una joven sospechaba que tenía una aplicación espía en su móvil. Al acudir a la policía, no solo la trataron como loca, sino que le dijeron que no podían hacer nada. Además, en numerosos casos de estafas amorosas, las víctimas son desestimadas con la excusa de que los estafadores son extranjeros y no se puede hacer nada al respecto. Como he vivido diariamente en QuantiKa14, puedo asegurar que si no cambia la situación, pronto las empresas privadas ocuparán el terreno de la ayuda a las víctimas, dañando gravemente nuestro sistema democrático y de bienestar. Es imperativo que nuestras instituciones empiecen a mejorar su atención a las víctimas para evitar un deterioro aún mayor de la confianza pública y la justicia en nuestro país. Es una pena que la imagen y reputación de estas instituciones se den dañadas por personas que están quemadas laboralmente o carecen de vocación. Aunque eso es otro tema. Lo único que quiero con este artículo es manifestar mi preocupación y proporcionar todo mi apoyo en lo que esté en mis manos a las víctimas y fuerzas y cuerpos de seguridad. Nosotros debemos estar como expertos para profundizar y mejorar el alcance en diferentes aspectos técnicos en las investigaciones, pero nos están obligando a dar servicios a víctimas que desde el principio se les niega la justicia. Si nada cambia, empezaremos a ver más carteles de “Wanted” en las ciudades y personas que se harán llamar “caza recompensas”. Ya lo estamos viendo en desocupas, patrulleros de carteristas, etc. ¿No lo crees? Jorge Coronado, CEO de QuantiKa14 Foto realizada por Raul Doblado
15 Julio 2024
Rincón del CISO
Todavía no tenemos ordenadores cuánticos, pero ya representan una amenaza real para la seguridad de las empresas. Ahora, los CISOs se enfrentan al dilema de convencer a la dirección para que invierta en protegerse contra una amenaza futura o esperar hasta que sea inminente, cuando quizá ya sea demasiado tarde para implementar soluciones efectivas. El panorama de amenazas actual incluye muchos actores estatales que pueden estar dispuestos y ser capaces de robar datos hoy para descifrarlos en el futuro, cuando los ordenadores cuánticos estén disponibles. Datos sensibles como información sobre la salud de una persona, secretos comerciales de las organizaciones o información clasificada de un país tienen una extensa vida útil. Si estos datos hoy cayeran en manos equivocadas, en el futuro podrían ser explotados para llevar a cabo extorsiones, fraudes o incluso comprometer la seguridad nacional. Las infraestructuras críticas, como las centrales eléctricas y los sistemas de suministro de agua, también tienen una vida útil prolongada y sistemas costosos de actualizar. Si estos están conectados a redes vulnerables o dependen de algoritmos de cifrado susceptibles a ataques cuánticos, enfrentan un riesgo de seguridad significativo. Un ataque a estos sistemas podría interrumpir servicios esenciales, causando grandes daños económicos y sociales. Otro escenario de riesgo son los productos duraderos con software embebido, ya que no se podrá garantizar la protección de los datos del usuario ni el propio funcionamiento del producto a futuro. Por ejemplo, ahora que los vehículos eléctricos están equipados con software y conectados, si hubiera que actualizarlos habría que reemplazar los chips integrados en sus sistemas y sustituirlos físicamente uno a uno. Esto, además de la complejidad técnica, conllevaría un elevado coste. Para evitar todos estos riesgos, las empresas pueden comenzar a adoptar encriptación post-cuántica (PQC). Una aclaración: esta encriptación se refiere a cómo los ordenadores actuales pueden protegerse de la amenaza que representa la computación cuántica, en lugar de indicar qué tipo de encriptación tendrán los ordenadores cuánticos en el futuro. Dicho de otra forma, es una solución que podemos aplicar hoy. Ya existen varios algoritmos criptográficos resistentes a la computación cuántica. El Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. está evaluando los más prometedores. Es importante encontrar aquellos que, siendo efectivos, no comprometan el rendimiento de los servicios, ya que los usuarios esperan comunicaciones instantáneas. De hecho, después de casi una década de trabajo, se espera que el NIST publique un conjunto de estándares finales PQC este verano. Encontrar el algoritmo más adecuado para convertirlo en el estándar es sin duda un reto, pero también lo es llevar a cabo la actualización de la criptografía actual. Este proceso no es inmediato y requiere un esfuerzo tanto técnico como económico. La transición debe gestionarse sin comprometer la seguridad ni la continuidad de las operaciones, lo que añade una capa de complejidad al ya de por sí difícil proceso de actualización. Afortunadamente, proveedores como Google, Amazon o Cloudflare ya están integrando PQC, de manera transparente para las empresas, en sus productos. En este sentido, una primera medida por parte de las organizaciones es comenzar a preguntar a sus proveedores cuáles soportan ya la nueva criptografía. Está claro que a diferentes sectores les está llegando la amenaza cuántica a distinta velocidad, pero todos ellos en algún momento van a tener que actualizar su encriptación. Por ejemplo, el sector financiero ya está tomando medidas ante esta amenaza. A finales de abril, Europol creó el Foro de Seguridad del Sector Financiero para Amenazas Cuánticas (QSFF, por sus siglas en inglés). Esta iniciativa reúne a expertos de distintas entidades, como Banco Santander, BBVA y CaixaBank, para compartir soluciones y colaborar a escala global. El objetivo es establecer estándares, identificar amenazas y promover una transición hacia la encriptación post-cuántica. Además, otra amenaza identificada que preocupa mucho en el sector es la integridad de las firmas digitales. Si estas se pudieran corromper, el sistema financiero se desmoronaría por la pérdida de confianza que generaría. La transición hacia PQC es una tarea apremiante que requiere la cooperación de empresas y proveedores. El Banco Santander, por ejemplo, está siendo muy activo. Actualmente, colabora con GitHub y Microsoft en el desarrollo de CodeQL, una herramienta para detectar vulnerabilidades criptográficas. Además, juntos han creado Cryptobom-Forge, destinada a evaluar y asegurar componentes criptográficos durante el desarrollo de software. Las administraciones públicas también van a jugar un papel importante en la carrera hacia PQC. Recientemente, la Comisión Europea lanzaba un llamamiento a los Estados miembros para comenzar una transición hacia la nueva encriptación. Es importante que las administraciones den este paso porque tendrán un efecto arrastre sobre otros sectores. Además, al mismo tiempo envían la señal al mercado de que la amenaza es real. Los CISOs ya no están solos, se está activando toda una red de proveedores, empresas e instituciones que los puede ayudar en la tarea de convencer a la dirección de la empresa para que comiencen a invertir en mitigar unas amenazas que viajan desde el futuro al presente. Fernando Maldonado, Analista de Industria TIC
15 Julio 2024
Rincón del CISO
Todos hemos escuchado alguna vez el dicho de que sólo hay dos tipos de empresas: las que han sido ciberatacadas y las que no. Esa frase ha evolucionado a que sólo hay dos tipos de empresas: las que saben que han sido ciberatacadas y las que desconocen que están sufriendo un ataque. Estemos en cualquiera de esas situaciones, la única certeza es que, desgraciadamente, antes o después vamos a ser víctima de un ciberataque y tendremos que responder y, más que probablemente, recuperarnos. El mundo interconectado de hoy unido a la -continua e interminable- transformación digital que las empresas están abordando provoca que la ciberseguridad se haya convertido en un pilar fundamental para la continuidad de los negocios. Las amenazas cibernéticas son cada vez más sofisticadas y frecuentes, lo que subraya la necesidad de que las empresas desarrollen una capacidad cuyo término se ha puesto muy de moda: la resiliencia. Y más cuando sabemos que incidentes actuales como brechas de datos pueden suponer pérdidas millonarias para las empresas, sin contar el daño reputacional y la pérdida de confianza de los clientes. En este entorno, la resiliencia no sólo es una ventaja competitiva, sino una necesidad crítica. ¿Pero qué es realmente la resiliencia empresarial? De manera general, lo podemos definir como la capacidad de una organización para anticiparse, resistir, recuperarse y adaptarse a eventos disruptivos que puedan afectar severamente a sus operaciones. En el contexto de la ciberseguridad, esos eventos son los ciberincidentes. Para fortalecer la resiliencia, es esencial realizar una evaluación exhaustiva de riesgos para comprender cuál es la situación de la compañía. Esto incluye la identificación de procesos y activos críticos, el análisis de amenazas potenciales, la evaluación de las vulnerabilidades existentes, la priorización de riesgos, así como el diseño e implantación de estrategias y planes de respuesta. No podemos olvidar que debemos contar con políticas claras y procedimientos estandarizados, abarcando desde la gestión de accesos hasta la formación y concienciación de las personas. Y algo que es tan lógico como imprescindible: probar, probar y probar los planes de respuesta para estar entrenados y lo mejor preparados posibles para hacer frente a un evento disruptivo. La verdad es que para aquellos que llevamos tiempo trabajando en tecnología y gestión de riesgos, nada de lo anterior parece novedoso. Sin embargo, la realidad nos dice que la madurez en implantar modelos de resiliencia o los tradicionales sistemas de gestión de continuidad de negocio no es alta, especialmente, en empresas medianas o pequeñas. Y en muchos casos donde se implantó fue derivado del típico proyecto de implantación soportado por una ppt de cientos de slides que no tuvo -nunca mejor dicho- continuidad e integración en la operación real de la compañía. Por tanto, sin implantar un modelo de mejora continua, nada de lo realizado valdrá para mucho. Y, a pesar de la obviedad de todo lo comentado, tal como ocurrió con la protección de datos y sucede actualmente en el ámbito de la ciberseguridad en general, ha sido necesario generar regulación al respecto como DORA o NIS2, entre otras. Pero la regulación en sí no es la que está haciendo efecto, sino las multas millonarias de las sanciones o el impacto en los órganos de dirección de las compañías. Siendo -ya- conscientes de que más pronto que tarde sufriremos un ciberataque, ¿estamos -realmente- preparados para hacerle frente o sólo estamos preparados para “pasar” una auditoría o ni siquiera eso? Enrique Miranda, Miembro del Board de CIONET y Consejero Independiente.
15 Julio 2024
Sin categoría
En cierto modo, los ciberdelincuentes nunca lo han tenido tan fácil. Las herramientas a las que tienen acceso les permiten desplegar ataques más sofisticados, mientras que las superficies de ataque de las organizaciones no dejan de crecer. “A medida que nos acercamos al ecuador de 2024, observamos seis megatendencias que están cambiando el panorama de las amenazas: la nube, el trabajo remoto, el IoT, las cadenas de suministro de software, la IA y las redes sociales. Juntas están potenciando problemas que van desde el ransomware y el phishing hasta la filtración de datos y la ingeniería social. La capacidad de los delincuentes para recopilar datos, manipularlos y utilizarlos contra nosotros de forma selectiva no hará sino aumentar en los próximos años, a menos que hagamos algo al respecto ahora”, afirma David Sanz, Senior Customer Experience Director para el Sur de EMEA de Commvault. Commvault ha realizado un análisis detallado de estas tendencias para ayudar a poner los riesgos en perspectiva: La nube: todos los CISO están adoptando la nube, pero muchos habrían preferido hacerlo de una manera más pragmática y no de forma precipitada, como ha ocurrido en diversas organizaciones. El problema es que estos mismos CISO están luchando ahora con los riesgos relacionados con la nube, que van desde ataques masivos DoS y problemas de cumplimiento hasta malware y los desafíos de una superficie de ataque no gestionada. Trabajo remoto: está claro que muchas organizaciones no van a volver a la forma en que trabajaban antes de la pandemia. Si bien es cierto que el trabajo a distancia aporta una serie de ventajas empresariales, también da lugar a riesgos. Ya se trate de estafas por correo electrónico, uso de dispositivos personales, redes inseguras o una miríada de otros problemas, el trabajo remoto añade otra capa de complejidad a la tarea de mantener seguras las redes y los datos. IoT: se espera que en 2027 haya unos 30.000 millones de dispositivos IoT. El problema es que algunos de los dispositivos IoT que se están adoptando en las empresas, la industria y las infraestructuras críticas no son seguros. En la prisa por crear valor empresarial, no se ha prestado suficiente atención a las implicaciones de seguridad de tener tantas conexiones. Cadenas de suministro de software: uno de los muchos puntos ilustrados por el ataque a SolarWinds en 2020 fue que es muy difícil evaluar el riesgo de extremo a extremo en una cadena de suministro. A medida que las cadenas de suministro se vuelven más complejas y se integran digitalmente, protegerse contra todos los puntos potenciales de riesgo presenta enormes desafíos. IA: a medida que crece la nueva frontera de la guerra cibernética, las organizaciones de todo el mundo deben dar prioridad a su enfoque de protección contra los ataques impulsados por IA. Esto incluye examinar muy de cerca la resiliencia porque el volumen de ataques sofisticados seguramente aumentará en los próximos años. Redes sociales: en general, la gente comparte demasiada información personal en las redes sociales. Para las empresas, los riesgos se agravan cuando los empleados mezclan el trabajo y la vida personal en las plataformas y aplicaciones de las redes sociales. Como resultado, los ciberdelincuentes utilizan el rastreo de datos en las redes sociales como una herramienta importante de su arsenal. Riesgo, preparación, recuperación y resistencia Entonces, ¿dónde deben centrar sus esfuerzos los CISO? Estas son las recomendaciones que ofrece Commvault al respecto, basadas en la evolución de los seguros de riesgo cibernético: Proteger el Directorio Activo: una proporción significativa de las brechas vistas por las aseguradoras cibernéticas comienzan con el robo de credenciales, por lo que es vital identificar y abordar cualquier punto ciego. Implantar la gestión de identidades y accesos (IAM): para la mayoría de las organizaciones, las contraseñas siguen representando su talón de Aquiles en materia de seguridad. Como mínimo, se debería implantar autenticación multi-factor y asegurar la gestión de accesos privilegiados. Parches sistemáticos: es una cuestión especialmente importante en los centros de datos actuales, donde cualquier fallo a la hora de parchear los sistemas correctamente es un gran indicador de riesgo. Crear y probar planes de ciberrecuperación: aunque casi todas las organizaciones afirman haber probado sus planes de recuperación, comparativamente pocas lo hacen correctamente, si es que lo hacen. En el mejor de los casos, muchos prueban una aplicación una vez a la semana durante el fin de semana, y en el entorno de seguridad actual, eso rara vez es suficiente. Parte del problema es que, hasta hace relativamente poco, no ha habido una forma exhaustiva de probarlo todo. Afortunadamente, ahora están surgiendo aplicaciones y servicios que pueden ayudar a cerrar esta brecha de capacidad. Dados los cambios fundamentales que se han producido en el panorama de las amenazas en los últimos años, es necesario adaptar los enfoques, modelos y marcos tradicionales de ciberseguridad. Los responsables de seguridad deben pensar de forma más dinámica para proteger toda su superficie de ataque frente a las principales tendencias, en particular los riesgos emergentes que presenta la IA. En este contexto, las organizaciones que centran su atención en los cuatro pilares mencionados -riesgo, preparación, recuperación y resiliencia- estarán en una posición mucho más fuerte para seguir el ritmo en todo el ecosistema de la ciberseguridad.
8 Julio 2024
Rincón del CISO
Actualmente, diversas herramientas de IA diseñadas para optimizar desde proyectos hasta estrategias de marketing. A continuación, exploramos las mejores herramientas de IA para distintos usos. Pero antes, es crucial entender las diferencias entre Inteligencia Artificial y automatización, ya que son dos conceptos que frecuentemente se confunden o se utilizan indistintamente, pero es esencial comprender sus diferencias para aprovechar al máximo sus capacidades en el ámbito empresarial y tecnológico. La automatización se refiere al uso de sistemas o máquinas que operan bajo un conjunto de reglas predefinidas para ejecutar tareas repetitivas. Estas tareas, que pueden volverse monótonas para los humanos, son realizadas por la automatización de manera eficiente y sin errores, gracias a su capacidad para trabajar de manera ininterrumpida. Ejemplos típicos incluyen los sistemas de ensamblaje en manufactura o los procesos de gestión de datos. La inteligencia artificial, en cambio, implica sistemas que no sólo ejecutan tareas basadas en reglas, sino que también hacen predicciones y toman decisiones basándose en datos y experiencias previas. Esto permite que la IA aprenda y se adapte con el tiempo, mejorando su desempeño en tareas complejas que van más allá de la simple repetición. Un ejemplo claro es un chatbot de servicio al cliente que puede aprender de las interacciones pasadas para ofrecer respuestas más precisas en el futuro. Un subconjunto especializado de la Inteligencia Artificial es la IA Generativa, que ha ganado atención por su capacidad para crear nuevo contenido, desde texto e imágenes hasta música y códigos de programación. Esta capacidad de generar nuevos productos basados en patrones y datos existentes distingue a la IA generativa de otros tipos de tecnología, permitiendo innovaciones que antes eran impensables. La elección entre automatización e inteligencia artificial depende de las necesidades específicas del negocio. La automatización es una solución para tareas repetitivas, ya que brinda eficiencia y fiabilidad sin necesidad de intervención humana constante. Por su parte, la Inteligencia Artificial Generativa es excelente para tareas que requieren aprendizaje y personalización, como chatbots o sistemas de recomendación, que mejoran con el uso. Herramientas de proyectos y productividad En la gestión de proyectos, la eficiencia es fundamental. Las herramientas de Inteligenicia Artificial como Taskade, Chat GPT Organizer, Super Power GPT, y AIPRM para Chat GPT facilitan la organización de tareas y la colaboración, permitiendo a los profesionales mantenerse a la vanguardia de las innovaciones tecnológica que les facilita el día a día. Herramientas de imágenes El sector creativo se beneficia enormemente de herramientas como Relleno Generativa IA de Adobe, Canva, Midjourney y Lensa AI, que transforman la edición y creación de imágenes, ofreciendo capacidades antes inimaginables. Herramientas de vídeos y Multimedia Para creadores de contenido y educadores, herramientas como D-ID Create IA Videos, Synthesia, Play.ht, y Tella tv son esenciales, simplificando la producción de videos y materiales multimedia con alta calidad y eficiencia. Herramientas de redes sociales y marketing El marketing digital y la gestión de redes sociales se potencian con herramientas como Texau, ChatStats, FunnelChat, y Kickresume, que automatizan la recolección y análisis de datos, optimizando la presencia online. Herramientas de contenidos y SEO Para los creadores de contenido, herramientas como GIMP, Typepad.ai, Cookup.ai, GPTZero, Ubersuggest, y AnswerThePublic ofrecen soporte desde la edición de imágenes hasta la generación de ideas y análisis SEO, clave para captar la atención del público objetivo. Cada herramienta tiene ventajas únicas y es fundamental seleccionar la más adecuada según las necesidades específicas del negocio. En los tiempos que corren, estas tecnologías no sólo facilitan tareas, sino que transforman radicalmente las estrategias empresariales, promoviendo una mayor eficiencia y creatividad.
8 Julio 2024
Rincón del CISO
Las inversiones en ciberseguridad durante 2023 reflejan un INCREMENTO de un 30,4% en las Administraciones Publicas.La inversión en infraestructuras, aplicaciones y servicios de ciberseguridad por parte de las Administraciones Públicas durante 2023, alcanzó 297,24 millones de euros mediante un total de 1.016 adjudicaciones.AdjudicacionesTIC (TendersTool) "Durante la última semana de mayo se produjeron varios ataques de envergadura en nuestro país y fuera de nuestras fronteras; tanto es así, que diversos responsables de seguridad informática afirman que nos encontramos ante un ataque coordinado de naturaleza global”… Entrevista a Sebastian Puig Soler, Jefe del Órgano de Dirección - Dirección General Asuntos Económicos del Ministerio de Defensa.Esta inversión en 2023 se desglosa de la siguiente manera:• 288,86 M€ se invirtieron mediante los diferentes procesos de contratación.• Los 8,38 M€ restantes se invirtieron mediante compras centralizadas a través de los Acuerdos Marco y Sistemas Dinámicos de Adquisición de la Dirección General de Racionalización y Centralización de la Contratación.Informe completo: Inversión TIC de las Administraciones Públicas en Ciberseguridad - 2023 (adjudicacionestic.com)
21 Junio 2024
Opinión
La Inteligencia Artificial parece, de un modo u otro, haber invadido casi todos los espacios de nuestra vida. Recurrimos a ChatGPT buscando ayuda para revisar ese documento que tenemos pendiente, las funciones ya integradas en nuestro teléfono móvil empiezan a gestionar nuestra agenda y, en nuestro entorno laboral, los asistentes (copilotos) no solo automatizan procesos de manera autónoma, sino que gestionan nuestras reuniones, priorizando unas tareas sobre otras. En este nuevo escenario, los profesionales de Ciberseguridad comenzamos a plantearnos los beneficios que a medio y largo plazo tiene la Inteligencia Artificial a la hora de detectar, responder y prevenir amenazas, pero también nos planteamos los riesgos que supone desde un punto de vista del atacante. Sin duda, uno de los principales beneficios de la IA para ciberseguridad es su capacidad para identificar amenazas en tiempo real, al ser capaces de identificar patrones de ataque sin depender de la existencia de un patrón o una regla previamente definida. También nos van a ayudar a optimizar la gestión de vulnerabilidades, ya que seremos capaces de identificar posibles caminos de explotación de vulnerabilidades sin depender de la ejecución de ejercicios de Red Team o pentest. Y, en caso de incidente, los sistemas de respuesta basados en inteligencia Artificial son capaces de proveer una mejor capacidad de respuesta, conteniendo el incidente mediante la aplicación de bloqueos en tiempo real o de revertir cambios no autorizados en el sistema. Todo ello nos ayuda a reducir esfuerzos manuales y liberar recursos de analistas en el contexto actual de falta de profesionales de ciberseguridad. Pero del mismo modo, los profesionales de Ciberseguridad comienzan a plantearse los riesgos que la excesiva dependencia de la Inteligencia Artificial puede llegar a tener, así como el uso que los atacantes pueden hacer de la IA para lleva a cabo y optimizar sus técnicas de ataque. Por un lado, los sistemas de IA requieren grandes cantidades de datos para entrenar sus algoritmos, lo que plantea preocupaciones sobre la privacidad y la protección de datos, especialmente en un momento regulatorio tan importante como el que estamos viviendo. Por otro lado, los modelos de Inteligencia Artificial también pueden ser usados por los atacantes para automatizar y llevar a cabo ataques a gran escala. Podrían desarrollar malware más sofisticado, llevar a cabo ataques de phishing más efectivos y descubrir vulnerabilidades en tiempo real, reduciendo a segundos el periodo de tiempo que hay entre la identificación de la vulnerabilidad y el comienzo de su explotación. Todavía estamos viviendo los primeros días de lo que la IA puede hacer en el ámbito de la Ciberseguridad, y la pregunta es: ¿Qué veremos en el futuro? Una Inteligencia Artificial al servicio de los profesionales de la Ciberseguridad, ¿o modelos de ataque cada vez más eficientes gracias a una aplicación “maliciosa” de la IA? Yo personalmente quiero ser optimista, y creer que los beneficios que nos va a aportar nos van a hacer mejores y podremos ayudar a nuestras organizaciones a defenderse de una manera más efectiva. La industria tecnológica, y en especial aquellas compañías detrás del desarrollo de los modelos de IA, tienen una responsabilidad enorme para hacer que así sea y que no sean los atacantes los nos que ganen en esta batalla digital que libramos todos los días. Iván Sánchez CISO RSI
17 Junio 2024
Rincón del CISO
Javier Modúbar, co-fundador y CEO de la empresa INGECOM, mayorista de valor añadido VAL que distribuye soluciones de alto componente tecnológico en el área de ciberseguridad y ciberinteligencia, es entrevistado por Arturo Navarro, consejero de ciberseguridad y actual colaborador de CyberLideria MGZN. A.N.: Para romper un poco el hielo, quería preguntarte sobre tu gestión del día a día, especialmente, tu manejo del estrés Javier Modúbar: Todo cargo directivo lleva asociado, en cierta medida, un nivel de estrés. Este se convierte en una parte habitual de la vida, tanto personal como profesional. La clave en la gestión del estrés es intentar desconectar un poco cada día del trabajo y de las responsabilidades que conlleva, aunque esto sea difícil. A menudo, terminamos por no desconectar del todo, lo que hace que el estrés se convierta en un componente más de nuestra rutina diaria. A.N.: Al acabar la jornada, si es que termina (risas), ¿qué cosas sueles hacer, o qué te gusta, después de un complicado o duro día de trabajo? J.M.: Después de un día intenso de trabajo, disfruto de varias actividades que me ayudan a relajarme y desconectar. Lo primero, y más importante para mí, es pasar tiempo con mi familia. A pesar de que mi agenda laboral a menudo exige sacrificios personales, hago un esfuerzo consciente para estar presente y compartir momentos con ellos, siempre que no estoy de viaje. Además, una de mis actividades favoritas para despejarme es salir a caminar. Me encanta pasear por la ciudad, especialmente alrededor del parque del Retiro. Este tiempo no solo me permite ejercitarme un poco, sino también observar a las personas realizando diversas actividades, lo cual me ayuda a desconectar completamente del trabajo y renovar mi energía. En resumen, aunque el trabajo a menudo consume mucho de mi tiempo, valoro y priorizo el tiempo, tanto personal como familiar, para mantener un equilibrio saludable en mi vida. A.N.: Entonces, ¿dirías que estás contento con el equilibro actual que mantienes entre tu vida personal y profesional? J.M.: Mantener un equilibrio es un desafío. Siempre intentamos que nuestra vida personal no se vea afectada por los asuntos profesionales. Pero, con más responsabilidades, a menudo sacrificamos aspectos personales por la carrera. Es crucial establecer límites claros sobre hasta dónde estamos dispuestos a llegar en este sacrificio. En mi caso, me gustaría dedicar más tiempo a mi vida personal, pero la responsabilidad en mi vida profesional consume cada vez más tiempo, sobre todo porque viajo mucho. Cuando no estoy en Madrid, mis rutinas diarias cambian por completo. Durante los viajes, desconecto casi por completo de mi vida personal, excepto por las llamadas que hago a mi familia. Estoy totalmente centrado y focalizado en mi vida profesional las 24 horas del día. A.N.: Entrando ya en “materia gruesa”, ¿qué importancia tiene para ti la ciberseguridad en la distribución de soluciones tecnológicas? ¿Y dentro del modelo de negocio de INGECOM? J.M.: Es fundamental reconocer que INGECOM está enfocado completamente en ciberseguridad. Desde sus inicios, hace casi 27 años, cuando la ciberseguridad no tenía la importancia que tiene hoy, en INGECOM constantemente estuvimos haciendo scoring avanzado de fabricantes de ciberseguridad, y hasta nos hemos organizamos internamente centrando nuestras esfuerzos en estas áreas: ciberseguridad, ciberinteligencia (un paso previo a la ciberseguridad), y ciberseguridad aplicada a sectores industriales o médicos. Cada una con características específicas y riesgos únicos asociados a la producción tecnológica. A.N.: Respecto a los riesgos específicos en la distribución de tecnología, dentro de un mercado ciber cada vez más fluctuante ¿podrías contarnos cuál es la perspectiva que tienes de ello dentro del sector de distribución de soluciones de alta tecnología?J.M.: Históricamente, se ha considerado que el modelo de distribución estaba destinado a desaparecer, pero mi experiencia con los fabricantes demuestra que existen principalmente dos tipos: los grandes actores, que se expanden para cubrir nichos específicos de necesidades en ciberseguridad; y aquellos que son significativos e innovadores. Recientemente leí algo muy acertado desde mi punto de vista que se refería a los grandes jugadores en el ámbito de la ciberseguridad, quienes a menudo optan por adquirir empresas emergentes con tecnologías disruptivas en lugar de desarrollar internamente, sobre todo por la rapidez que demanda el mercado. En este contexto, el papel del distribuidor es crucial para introducir estas nuevas tecnologías en el mercado y facilitar su adopción. A.N.: Hablando de estrategias de selección y asociación con fabricantes, ¿cómo selecciona INGECOM a los fabricantes y proveedores de soluciones de ciberseguridad? J.M.: Lo cierto es que la clave reside en la interacción directa con los clientes finales. Es esencial conversar con una amplia gama de usuarios, incluyendo C-suite y otros ejecutivos, para obtener una perspectiva clara de sus necesidades, objetivos, riesgos y temores. No todos los sectores tienen las mismas necesidades, ya que cada uno posee requerimientos específicos, y conocer esos detalles es crucial para ofrecer soluciones adecuadas. Como ejemplo, hace aproximadamente una década, hablando con representantes del sector financiero, industrial e ingeniería, ya se destacaba la preocupación por la protección de datos, mucho antes de que este tema se convirtiera en una prioridad generalizada. Este tipo de diálogo con diferentes sectores permite identificar problemas emergentes y anticipar la necesidad de tecnologías específicas que, eventualmente, serán esenciales para todos. Actualmente, observando sectores como el industrial y salud, especialmente en áreas no tradicionales como OT y dispositivos médicos, se percibe una creciente necesidad de control de la seguridad. Este reconocimiento de patrones de necesidad urgente es crucial no solo para las empresas que buscan desarrollar tecnologías pertinentes, sino también para prever y contrarrestar las estrategias de actores maliciosos que también detectan y explotan estas vulnerabilidades. A.N.: ¿Cuáles son los desafíos más comunes que te encuentras al formar alianzas con nuevos socios tecnológicos y cómo se superan? J.M.: Actualmente, al ser parte del grupo de seguridad más grande a nivel global, esta posición nos permite ser vistos de manera diferente. Sin embargo, hasta hace unos años, la situación era similar a un enfrentamiento entre David y Goliat. En el pasado, cuando llegaba el momento de negociar acuerdos, los fabricantes tendían a preferir líderes de mercado y actores globales, es decir, estatus que nosotros no poseíamos. A pesar de nuestro reconocido prestigio, carecíamos de un alcance global, lo que nos obligaba a demostrar más méritos que otros para cerrar acuerdos, muchas veces sin éxito. Además, frecuentemente éramos sometidos a periodos de prueba para confirmar que la elección del acuerdo había sido la correcta. Hoy en día, enfrentamos menos este tipo de problemas, ya que los fabricantes de ciberseguridad nos buscan activamente. No obstante, en ocasiones debemos rechazar propuestas, incluso cuando la tecnología es excepcional, simplemente porque no disponemos del tiempo necesario para abarcar todo. A.N.: Poniendo el foco en la integración y optimización de soluciones de ciberseguridad, ¿cómo asegura INGECOM que las soluciones ofrecidas se integran eficazmente en los entornos tecnológicos de sus clientes? Además, ¿qué papel juega INGECOM en la optimización continua de estas herramientas una vez implementadas? J.M.: Es crucial asegurarnos de que estas plataformas y herramientas se integren adecuadamente en los entornos de los clientes, y comprender su rol antes de formalizar un acuerdo con un nuevo fabricante. Aunque una oferta en el mercado pueda parecer prometedora, es esencial validar técnicamente para confirmar su calidad y que cumple con una necesidad real. Siempre he sostenido que el mayor fabricante, o el más avanzado tecnológicamente, no necesariamente será el más exitoso. Para alcanzar el éxito se deben cumplir varios criterios: Cubrir una necesidad a costes adecuados, de otro modo, será difícil que el producto prospere. Una vez se ha establecido que una tecnología satisface una necesidad, aún queda demostrar cómo este fabricante se adapta a cambios y evoluciones. Los pilotos iniciales suelen realizarse en entornos controlados y al expandir la arquitectura se encuentran con desafíos no anticipados. Ningún fabricante puede operar como una isla: debe integrarse con múltiples herramientas de seguridad que el cliente ya posea, aprovechando la inteligencia de otros sistemas que ya están detectando amenazas. Esta integración, aunque esencial, puede ser compleja y requiere de recursos de ingeniería significativos. Aquí es donde ofrecemos nuestro apoyo a través de nuestros integradores. Finalmente, para que una tecnología satisfaga efectivamente una necesidad y sea considerada exitosa, se debe contar con un equipo competente. Aunque en nuestro caso no vendemos directamente, es crucial que quienes venden nuestro producto dispongan de recursos necesarios para ofrecer un servicio adecuado. Nosotros realizamos una gran inversión para intentar tener un canal de integradores, de modo que esos servicios profesionales dispongan de la formación necesaria para ofrecerlos. No es sencillo conseguirlo, porque se trata de un sector muy dinámico, así que cuando formamos a técnicos en un integrador nos encontramos que muchas veces se marchan a otra parte y dejan de focalizarse en ese producto, y entonces tenemos que empezar la tarea de nuevo. A.N.: Hablando de formación, ¿qué tipo de programas de formación y soporte técnico ofrece INGECOM a sus clientes para asegurar el uso efectivo de las tecnologías proporcionadas? J.M.: Cada año, planificamos de forma anual diversos planes de formación en colaboración con nuestros partners y fabricantes. Esta estrategia es esencial para cubrir los gastos asociados y garantizar que nuestros ingenieros no solo sean formados, sino también reciclados desde un punto de vista profesional. Este enfoque responde a la evolución del sector de la ciberseguridad, que ha cambiado drásticamente en la última década. Hoy en día nos enfrentamos a una industria dinámica donde, solo en el primer trimestre, un fabricante puede adquirir hasta tres empresas, incorporando así múltiples tecnologías nuevas a nuestro ámbito de trabajo. Esta realidad nos obliga a adaptar nuestra formación continuamente para integrar estas nuevas tecnologías y mantenernos competitivos. El principal desafío que enfrentamos es la amplitud de nuestro portafolio, que es tan extenso que nos resulta imposible cubrir la formación para todos los fabricantes. Por lo tanto, seleccionamos aquellos que consideramos más críticos, basándonos en las necesidades del mercado, la demanda de proyectos y los servicios profesionales requeridos por los clientes. Además, tenemos la ventaja de trabajar con algunos fabricantes cuyos productos, al ser basados en la nube, no requieren una formación tan exhaustiva en instalación y mantenimiento, ya que se gestionan como plataformas. Esto representa una oportunidad para focalizar nuestros recursos en áreas donde se maximiza el impacto y la eficiencia de nuestra capacitación. A.N.: Volviendo al tema de los planes de acción y respuesta ante incidentes, aunque INGECOM no gestiona directamente los riesgos de ciberseguridad de sus clientes ¿cuál sería su papel en la respuesta ante un incidente de seguridad que involucre las tecnologías que ha proporcionado? J.M.: En nuestra plataforma, nos dedicamos constantemente a monitorear y evaluar nuevas tecnologías que mejoren nuestra capacidad de respuesta ante incidentes. Hace poco hemos alcanzado un acuerdo significativo con un fabricante que promete acelerar la detección y respuesta a incidentes en un tiempo relativamente corto. Nuestro enfoque no solo se centra en reaccionar a los incidentes a medida que ocurren, sino en detectar posibles incidentes antes de que estos se manifiesten. Esta estrategia proactiva incluye: Detección Temprana: Implementar tecnologías que nos permitan identificar señales de alerta antes de que se conviertan en problemas efectivos. Respuesta Rápida: Capacitar a nuestros clientes para que puedan reaccionar de manera más eficiente y con mayor rapidez a los incidentes. Es esencial entender que nuestro trabajo no involucra riesgos para el cliente. Por el contrario, buscamos constantemente tecnologías avanzadas que proporcionen a nuestros clientes las herramientas necesarias para una gestión de incidentes más efectiva. Esto, a su vez, minimiza el impacto y mejora la seguridad general. A.N.: Por último, ¿cómo ves el actual mercado de ciberseguridad y en concreto la función del CISO? J.M.: El mercado de ciberseguridad actual es muy dinámico y está en constante crecimiento. Durante una reciente visita a Israel, observé de primera mano el vibrante ecosistema de ciberseguridad que, junto con Estados Unidos y Europa, constituye uno de los tres pilares fundamentales en este ámbito. Aunque hay otros países con sectores de ciberseguridad destacados, estos tres representan los núcleos más influyentes y activos. Este dinamismo se ve impulsado por la constante innovación y el nacimiento de nuevas empresas. Muchas emergen de ideas generadas dentro de compañías ya establecidas, donde los empleados deciden emprender por su cuenta. Aunque no todas tienen éxito, su mera existencia contribuye al avance tecnológico y al enriquecimiento del sector. Respecto a la figura del CISO, creo que ha evolucionado significativamente en la última década. Anteriormente, se percibía principalmente como un rol operativo, con poco impacto en las decisiones estratégicas de las empresas. Sin embargo, hoy día, la importancia del CISO ha crecido exponencialmente, convirtiéndose en un pilar fundamental dentro de los consejos de administración. Esta transformación se debe en gran parte a la creciente concienciación sobre los riesgos ciber y su impacto económico en las organizaciones. Los consejos de administración ahora están más informados y preocupados por la ciberseguridad, no solo por obligaciones regulatorias, sino también por el potencial daño económico que un incidente puede causar. Además, la cadena de suministro se ha convertido en un área crítica de atención para los CISOs, quienes ahora juegan un papel crucial en la evaluación de la seguridad de los proveedores. Esta responsabilidad es vital, ya que muchos ataques se llevan a cabo a través de vulnerabilidades en la cadena de suministro. En resumen, el mercado de ciberseguridad es más activo y vital que nunca, con un crecimiento que supera al de sectores más tradicionales. El papel del CISO se ha reforzado significativamente, convirtiéndose en un componente esencial en la estrategia y la toma de decisiones de las empresas modernas. La adopción de tecnologías emergentes, como la inteligencia artificial, y la adaptación a nuevos desafíos seguirán siendo claves para mantener la seguridad en el futuro.
17 Mayo 2024
Rincón del CISO
Jesús Alonso, experto en Ciberseguridad y colaborador de CyberLideria MGZN, entrevista a Javier Sánchez, CISO de la empresa ENGIE, grupo de referencia mundial hacia la neutralidad en carbono. Jesús Alonso: Más 18 años dedicados a la seguridad ¿Quién es Javier Sánchez, ¿Cómo ha sido tú camino hasta llegar a tú posición actual? Javier Sánchez: Al mirar para atrás, da mucho vértigo la cantidad de tiempo que ha pasado desde que casi de casualidad aterricé en un Máster (en aquél entonces tenía un nombre tan mundano como “Seguridad de la Información”), donde conocí a grandes profesionales de la ciberseguridad con los que sigo coincidiendo en distintos foros. Gracias a este Máster, conseguí mi primera oportunidad laboral en el mundo de la Ciberseguridad, y tras pasar por dos grandes consultoras y decenas de clientes, me ofrecieron dar paso a la Cara B de la ecuación siendo el “cliente”, para poder definir la estrategia de ciberseguridad de una compañía con el rol de CISO. J.A.: ¿Cómo crees que ha cambiado la seguridad en los últimos 15 años? J.S.: Muchos hablan de evolución de la ciberseguridad, pero a mí me gusta verlo más como una Revolución. Me explico: hace quince años, el profesional y los proyectos de ciberseguridad se movían más por dinámicas reactivas, con lemas como “abordamos este proyecto porque la Ley XX nos lo exige” o “tenemos un incidente y hay que adoptar medidas”. Por suerte, en los últimos años la ciberseguridad se entiende como parte de un proyecto en común de “empresa”, hasta el punto de estar en las agendas de los Comités de Dirección. Ha pasado de las “sombras”, a ir de la mano del negocio. J.A.: ¿Cuáles son los principales desafíos de incluir la seguridad OT / IOT en el ámbito del CISO? J.S.: Aquí podríamos extendernos en multitud de conceptos tales como Concienciación, Gestión de Accesos en entornos no IT, interconexiones y segmentación de comunicaciones, etc. Pero para mí uno de los principales desafíos es la Gestión de la Obsolescencia. Es decir, estamos hablando de elementos que han sido diseñado para perdurar, y que después de varios años han llegado a las manos de los equipos de ciberseguridad para que los securicen. Aquí entra el factor de gestiona la obsolescencia, pero debe seguir funcionando y con paradas mínimas en la producción. Como puedes imaginar, son tres elementos de una ecuación, difíciles de resolver en conjunto. J.A.: ¿Qué medidas crees que se deben tomar para minimizar el riesgo asociado a OT en entornos industriales? J.S.: Desde mi punto de vista, toda estrategia de ciberseguridad en entornos industriales debe pasar por un buen diseño en el origen del proyecto, cuando es posible. Partiendo de esto, una buena segmentación y fortificación de redes, una buena gestión de accesos basada en modelos de confianza cero, y la protección robusta de los equipamientos (industriales y de gestión) con una buena política de Harding, son los básicos que deben aplicarse desde el primer momento. A partir de ahí, y siguiendo el roadmap podemos hablar de medidas anti-intrusión, concienciación de operadores, etc. J.A.: ¿Qué ejemplos se te ocurren de proyectos exitosos de “securización” de entornos industriales? J.S.: A título de ENGIE se están afrontando grandes proyectos centrados en “securizar” nuestros activos industriales. Podemos destacar la creación de un Framework de Seguridad Industrial global y homogéneo, que es aplicable a cualquier tipología de activo, enfocado desde un prisma de riesgos específicos. J.A.: ENGIE es una compañía comprometida con la lucha contra el cambio climático, ¿Cómo crees que se contribuye desde el ámbito ciber a los compromisos en transición energética? J.S.: ENGIE tiene como propósito conseguir acelerar la transición hacia una economía neutra en carbono, reduciendo el consumo energético mediante las soluciones más eficientes, descentralizadas y respetuosas con el medio ambiente. Para lograr este objetivo, la ciberseguridad se integra como un pilar fundamental para proteger nuestras infraestructuras y asegurar nuestras operaciones en el sector. En cuanto a su contribución a nuestros compromisos de transición energética, destacamos la protección de infraestructuras. Con el aumento en la dependencia de tecnologías digitales y automatizadas, es vital proteger estas infraestructuras de posibles ciberataques que podrían causar interrupciones significativas. Además, desarrollamos planes de respuesta a incidentes para minimizar el tiempo de inactividad y mantener la estabilidad en la generación y distribución de energía, asegurando así el cumplimiento de normativas nacionales e internacionales, y promoviendo prácticas de negocio seguras y responsables. También es esencial fomentar una cultura de seguridad entre nuestros empleados, ofreciendo formación específica sobre los riesgos de ciberseguridad en el sector energético y cómo abordarlos. En ENGIE, estamos convencidos de que una mayor concienciación puede reducir significativamente el riesgo de incidentes, y mejorar nuestra capacidad de respuesta. J.A.: ¿Cuál es tu opinión sobre la integración de IA en cómo integración en la ciberseguridad? J.S.: Tengo sentimientos encontrados con la IA. Está claro que es una herramienta muy potente que nos puede ayudar a avanzar muy rápido, delegando en ella labores repetitivas para avanzar a mayor velocidad, y dedicar nuestros esfuerzos en otros focos. Desde ese punto de vista, estoy totalmente a favor. Pero ahora me pongo en el caso contrario: no sólo está al alcance de las Empresas o de los expertos en Ciberseguridad. Son herramientas abiertas a cualquier tipo de perfil, incluso cibercriminales. Por lo que también hay que enfocarlas como un posible riesgo capaz de crear ataques más sofisticados y personalizados, suplantación de identidad, etc. J.A.: Recientemente, desde ENGIE se han realizado contribuciones al Banco de Recursos Digitales, para combatir la brecha digital. ¿Cómo has vivido esta iniciativa?, ¿Qué otras se te ocurren desde el ámbito de la ciberseguridad para colaborar con la sociedad? J.S.: Fue una gran experiencia, gracias a la colaboración CyberLidera y la Fundación Adelias. Cuando presenté el proyecto, todos los equipos de ENGIE se volcaron en participar, y fue una iniciativa de las que te hace sonreír a final de día, haciéndote ver que trabajas en una empresa de valores alineados con los tuyos personales. Todos los profesionales de ciberseguridad tenemos la obligación de difundir mensajes para ayudar a cualquier persona, a entender los riesgos que vivimos en el día a día, y por medio de esta concienciación reducir el número de fraudes que sufrimos. J.A.: Háblanos un poco del geek que llevas dentro, ¿cómo gestionas tu estrés? ¿Qué te gusta hacer después de un día duro de trabajo? ¿Estás contento con tu equilibro entre vida personal y profesional? J.S.: Cierto es que trabajamos muchas horas, y que somos de perfiles con el teléfono siempre encima, por lo que pueda pasar. Pero hago todo lo posible para conciliar con la familia. ¿Cómo? En el terreno más personal, pasando el mayor tiempo posible con mi hijo, ya sea yendo a sus partidos, o jugando juntos una partida a la consola, por ejemplo. En un terreno más friki, leyendo un libro, un artículo o un comic sobre una de mis pasiones: la ciencia ficción; siempre y cuando “La Fuerza Me Acompañe”.
17 Mayo 2024
Opinión
Querido lector: En un ecosistema cada vez más digital y en constante evolución, todos nosotros – grandes y pequeñas empresas, instituciones públicas, mundo académico y sociedad en general - debemos ser capaces de comprender y abordar los desafíos que nos plantea la ciberseguridad hoy y anticipar los retos del mañana, para lograr una sociedad más resiliente. Con este espíritu lanzamos esta primera edición de nuestra revista CyberLideria MGZN, que aspira a crear una plataforma de debate y reflexión sobre los importantes retos presentes y futuros que la ciberseguridad plantea para nuestras empresas y para la sociedad en general, y sobre el importante papel que cada uno de nosotros tiene o debería tener para poder abordarlos. CyberLideria MGZN no es una revista para los responsables de ciberseguridad o “CISOs”, sino de los CISOs para los altos cargos y profesionales de empresas e instituciones, públicas y privadas, así como para todas aquellas personas que están preocupadas por este creciente riesgo. CyberLideria MGZN no es una revista técnica, aunque la tecnología esté en el centro del problema. Queremos poner el foco en los aspectos humanos y relacionales, en los roles, las responsabilidades y las preocupaciones que tenemos cada uno de nosotros, según nuestra función, y cómo podemos, entre todos, encontrar soluciones compartidas. Queremos generar conversaciones abiertas y sinceras con las que podamos compartir nuestras preocupaciones, experiencias, expectativas y necesidades, y encontrar espacios comunes de colaboración y mejora. ¿Eres un alto ejecutivo y no sabes nada de ciberseguridad, pero es un tema que te inquieta? Este es tu espacio. Cuéntanos qué te preocupa, háblanos de tu visión del riesgo, de la información que necesitas, de lo que esperas de los responsables de ciberseguridad. ¿Eres responsable de ciberseguridad en tu empresa, y te sientes solo ante el peligro? Este es tu espacio. Háblanos de tu experiencia, dirígete a los directivos, proveedores, reguladores, conversa con ellos y comparte tu carga. ¿Has sufrido un incidente relevante y puedes ayudar a otros? Este es tu espacio. Comparte con otros profesionales tu experiencia y las lecciones aprendidas. ¿Eres un líder tecnológico y tienes una propuesta disruptiva? Este es tu espacio. Cuéntanos tu visión, comparte tus propuestas con la comunidad. En definitiva, os invitamos a todos a participar en este importante debate con opiniones, artículos y, por supuesto, con vuestras críticas constructivas y recomendaciones, que recibiremos con mucho gusto en contacto@cyberlideria.es. Gracias por leernos y por contribuir a reforzar la ciberseguridad y la resiliencia de nuestras empresas y de la sociedad en general. Consejo Asesor de CyberLideria
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
