Rincón del CISO
Entrevista a María Enciso: «Se necesita un equilibrio mental muy importante para poder encarar los desafíos»
Rosa Kariger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, entrevista a María Enciso, Decana de la Facultad de Ciencias Jurídicas y Políticas de la URJC.
Rosa Kariger: Soy Rosa Karinger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, y hoy tengo el placer de entrevistar a María Enciso, Catedrática de Derecho Mercantil, Consultora Académica en el despacho de abogados Sontiers y recientemente nombrada decana de la nueva Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos.
María Enciso: Muchas gracias, Rosa. Un placer.
R.K.: Enhorabuena por ese nombramiento. Quería empezar sabiendo un poquito más de ti. Cuéntanos en qué consiste tu trabajo y cuáles son los retos que tienes por delante.
M.E.: Mi situación actual es desafiante. Hace un año y medio, en mi Universidad hubo una reestructuración, dividiendo una sola Facultad en cuatro. Una de ellas, la Facultad de Ciencias Jurídicas y Políticas, es la que actualmente dirijo como Decana desde hace poco más de un año.
Es un reto, porque ha sido empezar a construir de cero esta facultad. Es verdad que para mí no es un mundo ajeno, porque yo ya he ostentado cargos en la Universidad, en la Facultad de Ciencias Jurídicas y Sociales en concreto. Ahí fui Vicedecana durante cuatro años y estuve durante seis años como Secretaria Académica de la Facultad. La verdad es que yo ya había olvidado la idea de volver al cargo de gestión en la Facultad o en la Universidad.
Como delegada de las Relaciones con la Sociedad de las Empresas, ayudaba al Rector a dar visibilidad a nuestra Universidad, a llevarla al mundo empresarial y a la realidad profesional. Posteriormente me plantearon la posibilidad de dar el paso de presentarme a las elecciones a Decana, y dije que sí. No lo pensé dos veces, me parecía que era un reto apasionante por la novedad de la Facultad, por el cargo nuevo y porque estaba en un momento profesional óptimo para poder encarar esta responsabilidad.
Era el momento de culminar esa fase de la vida profesional con ese cargo de Decana, que para mí es un orgullo, un honor y un reto desafiante y apasionante, como todo lo nuevo que se encara en la vida.
R.K.: Sin duda, enhorabuena María por ese nombramiento. La verdad es que sí que tienes un reto importante por delante. Sabes que aquí no queremos hablar solo de ciberresiliencia, sino de resiliencia en general. Estoy segura de que a lo largo de tu vida profesional también has tenido otros retos relevantes. ¿Hay alguno que quieras compartir con nosotros, especialmente?
M.E.: Bueno, la carrera académica en sí misma es una carrera de resiliencia total, de resistencia, de encarar los problemas, de caerte y levantarte ante las dificultades.
La carrera académica es muy incierta, nada está hecho y nada está dado. Se necesita un equilibrio mental muy importante para poder encarar los desafíos.
El primer desafío es la propia decisión de dedicarte a la Universidad, y posteriormente, cuando se acaba la carrera tiene lugar otro desafío, ya que muchas veces no se sabe a qué se debe dedicar uno en la vida.
Yo fui una estudiante brillante, pero es verdad que todas mis matrículas de honor quizás se debían a un estudio memorístico y no tanto reflexivo o de razonar.
El primer desafío es elegir qué estudiar. En mi caso, mi padre es Catedrático de historia, por lo que el mundo universitario me era muy familiar. También es verdad que siempre dije que nunca me dedicaría a lo que hace mi padre, pero aquí estoy.
En un momento dado me crucé con mi maestro, quien me dirigió la tesis doctoral y me puso las cosas muy difíciles. Me dijo que la carrera iba a ser un proceso largo y de fondo, en el que se presentan muchos obstáculos. Yo salí de aquel despacho, llamé a mi padre y le dije que yo lo veía claro, que esto era lo que quería hacer y a lo que me iba a dedicar.
Cuando le comenté a mi maestro mi meta de ser Catedrática, tras él haberme advertido del duro camino que esto supondría, se convirtió en una realidad. Adentrarme en este viaje fue mi gran reto, pero vi claro que esa era mi carrera y que yo iba a acabar siendo Catedrática, pesara a quien pesara y tuviera que hacer lo que tuviera que hacer.
A lo largo de mi vida profesional ha habido muchas tentaciones de dedicarme al mundo profesional en vez de al mundo académico, ya que yo trabajé con Julián Martínez Simancas en el Banco Central Hispanoamericano, donde tuve la gran oportunidad de trabajar con un grandísimo profesional como él y observar todos los aspectos positivos del mundo profesional frente a las adversidades del mundo académico. Ante esta situación, una vez más elegí este mundo, elegí terminar mi tesis doctoral y enfrentarme al futuro.
R.K.: Qué importante es tener clara esa vocación... Quería preguntarte qué es lo que hace una jurista y tu opinión acerca de la ciberseguridad. Pero sobre todo ¿qué papel crees que el mundo jurídico tiene en este ámbito?
M.E.: Es cierto que cuando se habla de seguridad, a mi mente vienen términos como: técnicos, ingenieros, algoritmos, inteligencia artificial, blockchain, datos, peligro, ciberataques… Pasando también al pensamiento de “cuidado con mi cuenta bancaria que está en mi móvil”.
R.K.: Claro, al final todo se reduce a tecnología y miedo, ¿no? Es un poco lo que estamos viendo, la combinación de esas dos cosas.
M.E.: Tecnología y miedo, efectivamente. Ese es el perfecto resumen de las primeras sensaciones que tuve cuando me aproximé a este mundo.
R.K.: ¿Dirías que el sector jurídico está relacionado con la tecnología o estas dos cosas no tienen mucho que ver?
M.E.: Bueno, yo creo que sí que tienen una conexión, van de la mano completamente. No se puede trabajar en el sector jurídico sin la tecnología pase lo que pase, es algo que vemos todos los días en este ámbito.
R.K.: Estamos de acuerdo en que la tecnología lo impregna absolutamente todo. Es un verdadero cambio en la sociedad que nos invita a realizar una reflexión, porque tenemos una legislación, que se desarrolló en su mayoría en una época en la que la sociedad era completamente distinta.
Por esto te quiero hacer una pregunta, ¿cómo está transformando la tecnología esa interpretación de la legislación que tenemos?
M.E.: Bien, en la actualidad hay una gran cantidad de personas que piensan que la seguridad es sinónimo de poca flexibilidad y poca libertad, siendo algo que nos obliga a realizar un sacrificio constante. Esta visión es errónea.
Como decimos en derecho, el bien jurídico protegido ha cambiado completamente y este es un cambio al que nos adaptamos progresivamente. En la sociedad de hoy ya no realizamos contratos tan simples como una compraventa. Ya no compramos y vendemos pisos, zapatos o empresas, por ejemplo. Ahora compramos y vendemos tecnología y bienes inmateriales intangibles.
Esta realidad es algo que afecta a toda la sociedad en general y es algo que el sector jurídico no puede ignorar. Además, es algo que puede suponer una amenaza grande para aquellas empresas que no se adapten y que no implementen procesos que protejan tanto a sus empleados como a sus consumidores.
R.K.: En mi opinión, el problema que tenemos es que la ciberseguridad se enfoca desde esa visión técnica de aquellos que tienen la experiencia, que son los responsables de ciberseguridad. Sin embargo, al final la tecnología lo impregna todo, cambia la sociedad en gran medida, y esto es algo que necesitamos reflexionar.
También lo estamos viendo con la nueva regulación que viene y las mayores responsabilidades que se le están dando al Consejo de Administración de las Empresas.
Desde el punto de vista de la gobernanza, los jurídicos tienen un papel importante. Tenemos que tener en cuenta a la mayoría de los Secretarios de los Consejos de Administración, como por ejemplo, antes has nombrado a Julián Martínez Simancas, que ha sido el Secretario del Consejo de Iberdrola durante muchos años y que, desde luego, me consta que le ponía mucha importancia al tema de la ciberseguridad y que estuviese en la agenda del Consejo.
¿Cómo ves que está evolucionando esa visión que tiene que haber en los órganos administradores de este riesgo tan importante?
M.E.: Para mí, el derecho con carácter general tiene un papel fundamental en la configuración de todas las políticas y las normativas que regulan esta área tan sensible.
Para mí la ciberseguridad y la ciberresilencia significa garantizar que nuestras estructuras legales estén preparadas para proteger y responder eficazmente a los incidentes de seguridad digital, manteniendo la confianza y la integridad de nuestras instituciones públicas y privadas.
Evidentemente, esta cuestión incide directamente en la configuración de los nuevos deberes del órgano de administración dentro de ese marco, además de en el ámbito de las sociedades cotizadas y de las pymes. Los órganos de administración deben tomar conciencia de que la ciberseguridad no es solamente un problema del departamento de IT, sino que es una cuestión crítica de la sociedad, porque comporta evidentemente riesgos que pueden tener un elevadísimo impacto. Este impacto no incide solamente en su propio negocio y en su propia reputación, sino también en los bienes y derechos de terceros y de clientes.
Todo esto se refleja en un cambio de paradigma en esa posición jurídica que tienen, en esos deberes y responsabilidades de los órganos y consejos de administración.
Estos consejos de administración están ya creando comités específicos dentro del propio consejo. En otros casos lo asumen en los comités de auditoría, donde residen y descansan todas estas políticas de protección, de implementación y de supervisión de las políticas de seguridad en las empresas.
R.K.: Efectivamente, yo creo que ya por lo menos es un tema que está en la agenda, pero tengo la sensación de que sigue estando con esa visión de tecnología y miedo. ¿Hasta qué punto crees que los consejos realmente son conocedores del riesgo que están asumiendo en sus empresas? ¿Tienen esa capacidad de interpretarlo y de tener esa información?
M.E.: Yo creo que estamos ante un gran reto, el reto de la ciberseguridad en el ámbito societario. Creo que ya en los departamentos tecnológicos lo tienen muy claro.
R.K.: Esperemos
M.E.: Al menos presumo que debería ser así, pero es verdad que en el ámbito societario todavía las cosas están en ciernes.
Yo creo que los administradores tienen que asumir que tienen un importantísimo papel en el control de riesgos, que es una manifestación muy relevante del deber de diligencia que se les atribuye.
Los administradores de una sociedad tienen un doble deber, de diligencia y de lealtad. El deber de diligencia en la gestión de la actividad donde se encuadrarían estos importantes deberes de afrontar esta realidad, los órganos de administración y la ciberseguridad, ya que no hay que olvidar que cada vez cobra más relevancia.
Sus quiebras causan daños muy importantes. Por eso es relevante que los órganos de administración tengan muy claras las políticas, sus deberes y sus responsabilidades, para proteger a la empresa, a los clientes y a la sociedad en general.
R.K.: Y en ese sentido, para cumplir ese deber de diligencia, los órganos de gobierno nombran un responsable de ciberseguridad, un CISO. Normalmente tiene un papel complicado, porque se le pide que cree una especie de “escudo mágico” que proteja a la compañía de todo mal, pero por otra parte la ciberseguridad también supone un coste y hay que defender muy bien esas inversiones.
Estamos viendo que el diálogo que debe existir entre esos órganos de administración, tanto Consejo de Administración como Comité de Dirección y los responsables de ciberseguridad, no es siempre tan fluido como debería ser o como nos gustaría. ¿Qué crees que podría hacer un responsable de ciberseguridad para conseguir transmitir mejor el mensaje y conseguir el apoyo necesario de la organización?
M.E.: Bueno, yo creo que efectivamente todo arranca de lo mismo, de esa separación entre lo que son los departamentos de seguridad, los departamentos de tecnología y el órgano de administración o el gobierno corporativo de las empresas. Se tiene la sensación de que el órgano de gestión y de administración solo se ocupa del desarrollo de la actividad, de que hay que vender.
Sin embargo, dentro de ese desarrollo de la actividad empresarial, la seguridad ahora va implícita. Con todos estos temas se puede causar tanto daño que puede llevar a la desaparición del negocio completamente, por eso la relación entre los responsables de ciberseguridad y los responsables de la gestión de la empresa tiene que ser muy fluida. Tienen que ser colaboradores, no mirarse entre ellos como si uno fuera el contrincante o el que viene a fastidiar y avisar de tanto riesgo, ya que aquí no se puede hacer nada, porque todo tiene peligro.
Yo creo que los responsables de ciberseguridad o de seguridad en general tienen que concienciar a los directivos, al órgano de administración de las empresas. Además es fundamental que el órgano de administración o la dirección general esté abierto a la comprensión de esta nueva realidad que ya está aquí, que ha venido para quedarse.
R.K.: A veces tenemos un problema de lenguaje, porque en ocasiones todo lo enfocamos con esa visión de que el responsable de ciberseguridad viene a hablarnos de tecnología y miedo, cuando lo que viene es hablarnos de negocio. En la empresa estamos todos en la misma situación, lo que tiene que hacer es cumplir su objetivo y sus obligaciones.
M.E.: Claro, por eso decía antes, cuando se dice “seguridad”, la gente piensa: “qué horror, perdemos libertad, se van a meter en todo lo que hacemos, no van a dejarnos vender de la manera que nosotros queremos vender, la expansión no es posible por las amenazas y los peligros que hay en el mundo”... Leemos todos los días noticias en la prensa sobre ciberataques, por lo que el miedo es muy grande.
R.K.: Yo creo que la ciberseguridad es un habilitador. Tenemos que entenderlo de esa manera para que seamos capaces de hacer con los datos lo que haya que hacer para beneficio de las empresas y de la sociedad.
M.E.: Claro, y sobre todo lo que hay que hacer y lo que es también esencial es la anticipación, dado que la ciberseguridad cobra cada vez más relevancia. Esto no es “el daño ya está hecho, a ver ahora qué horror”. No, esto sería: “vamos a anticipar, a prevenir y a contribuir a la protección, profundizando en las mejores prácticas de acuerdo con los más altos estándares de gobierno corporativo”, esto es esencial.
R.K.: Pues ojalá vayamos por ahí. Se nos acaba el tiempo, pero de verdad, muchísimas gracias, ha sido fascinante hablar contigo. María Enciso, Catedrática de Derecho Mercantil y Decana de la Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos, ha sido un placer.
M.E.: Muchísimas gracias a vosotros y el placer ha sido mío.
16 Octubre 2024
