Jarana
Iberdrola Nombra a Paloma Garbayo CISO de España: Un Paso Clave en su Estrategia de Ciberseguridad Iberdrola ha anunciado el nombramiento de Paloma Garbayo Tavera como nueva Chief Information Security Officer (CISO) de Iberdrola España, un rol clave en la estrategia global de ciberseguridad de la compañía. Este nombramiento llega tras una destacada carrera dentro de la empresa, donde Garbayo ha asumido diversas responsabilidades de alta gestión en el ámbito energético y de protección de datos. Con más de 16 años de experiencia en Iberdrola, Paloma Garbayo ha demostrado un fuerte liderazgo en la gestión de operaciones y la toma de decisiones estratégicas. Comenzó su carrera en la compañía en 2008 como Manager de Precios de Electricidad y Gas, donde estuvo a cargo de la generación y revisión de ofertas para clientes industriales en toda Europa. A lo largo de su carrera, Garbayo ha ocupado diversas posiciones clave, destacándose como European Energy Trader, donde gestionó la venta y adquisición de electricidad para todas las plantas de energía y clientes de Iberdrola en Europa. Además, su labor como Head of the Operational Control Room desde 2016 fue crucial para la coordinación de las operaciones energéticas de Iberdrola en siete países, supervisando la fiabilidad del sistema energético y el intercambio de electricidad entre centros operativos. Desde 2022, Garbayo ocupa el cargo de Global Head of Cybersecurity & Data Protection en Iberdrola Clientes, responsabilidad que refuerza su perfil como experta en la protección de datos y la ciberseguridad, una de las áreas más críticas en la era digital. Su experiencia previa en la gestión operativa de la energía y su formación en ingeniería industrial le proporcionan una perspectiva única para liderar la ciberseguridad en un sector tan dinámico y estratégico como el energético. Paloma Garbayo es licenciada en Ingeniería Industrial por la Universidad Pontificia Comillas, y tiene un Máster en el Sector Eléctrico de la misma institución. Además, cuenta con experiencia internacional, habiendo estudiado en la École Nationale Supérieure de Techniques Avancées (ENSTA) de París. Con su nombramiento como CISO, Paloma Garbayo asumirá una de las funciones más importantes dentro de Iberdrola, en un momento clave para la compañía, cuando la ciberseguridad y la protección de los datos son fundamentales para garantizar la integridad de los sistemas y la confianza de los clientes.
18 Diciembre 2024
ESG
Iberdrola anunció este jueves que duplicará su inversión en el Reino Unido, al alcanzar los 24.000 millones de libras (28.684 millones de euros) entre 2024 y 2028, como parte de un conjunto de nuevas inversiones en energía limpia que impulsará el Gobierno Británico. La compañía española, a través de su filial británica Scottish Power, ha sido uno de los actores principales en este impulso, duplicando su plan anterior de invertir 12.000 millones de libras (14.334 millones de euros) durante el mismo periodo, consolidando su compromiso con la transición energética y el desarrollo de infraestructuras verdes en el Reino Unido. "Después de haber invertido más de 30.000 millones de libras (cerca de 35.857 millones de euros) en los últimos 15 años, las políticas claras y los marcos regulatorios estables y el atractivo general del Reino Unido nos llevan a duplicar nuestras inversiones para 2024-2028, alcanzando hasta 24.000 millones de libras (28.684 millones de euros)", dijo el presidente de Iberdrola, Ignacio Sánchez Galán, en un comunicado. "Esto es un voto de confianza en las políticas claras y estables del Reino Unido y supone un gran impulso para la economía y el camino hacia la seguridad energética verde y el cero neto", añadió. La nueva inversión de la eléctrica española estará principalmente enfocada en la renovación de las redes de transmisión y distribución, a las que se destinarán dos tercios de la inversión total. Además se espera que la empresa ponga en servicio los parques eólicos marinos East Anglia 3 y East Anglia 2, este último con un presupuesto de 4.000 millones de libras (cerca de 4.781 millones de euros) suficiente para abastecer a un millón de hogares. Este anuncio llega en un contexto de importantes inversiones en energía limpia en el Reino Unido, donde otras compañías como Orsted han desbloqueado 8.000 millones de libras (cerca de 9.562 mil millones de euros), y GreenVolt ha invertido 2.500 millones de libras en parques eólicos marinos. SeAh Wind UK también ha anunciado una expansión de 225 millones de libras (casi 269 millones de euros) de su inversión en el noreste para construir una instalación de fabricación de tecnología eólica de última generación en Teesside (noreste de Inglaterra), consolidando la posición del Reino Unido como líder mundial en la industria eólica. Este anuncio se produce justo antes del primer Consejo de Naciones y regiones del Reino Unido que tendrá lugar en Escocia y de la Cumbre Internacional de Inversiones.
18 Octubre 2024
Rincón del CISO
Rosa Kariger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, entrevista a María Enciso, Decana de la Facultad de Ciencias Jurídicas y Políticas de la URJC. Rosa Kariger: Soy Rosa Karinger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, y hoy tengo el placer de entrevistar a María Enciso, Catedrática de Derecho Mercantil, Consultora Académica en el despacho de abogados Sontiers y recientemente nombrada decana de la nueva Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos. María Enciso: Muchas gracias, Rosa. Un placer. R.K.: Enhorabuena por ese nombramiento. Quería empezar sabiendo un poquito más de ti. Cuéntanos en qué consiste tu trabajo y cuáles son los retos que tienes por delante. M.E.: Mi situación actual es desafiante. Hace un año y medio, en mi Universidad hubo una reestructuración, dividiendo una sola Facultad en cuatro. Una de ellas, la Facultad de Ciencias Jurídicas y Políticas, es la que actualmente dirijo como Decana desde hace poco más de un año. Es un reto, porque ha sido empezar a construir de cero esta facultad. Es verdad que para mí no es un mundo ajeno, porque yo ya he ostentado cargos en la Universidad, en la Facultad de Ciencias Jurídicas y Sociales en concreto. Ahí fui Vicedecana durante cuatro años y estuve durante seis años como Secretaria Académica de la Facultad. La verdad es que yo ya había olvidado la idea de volver al cargo de gestión en la Facultad o en la Universidad. Como delegada de las Relaciones con la Sociedad de las Empresas, ayudaba al Rector a dar visibilidad a nuestra Universidad, a llevarla al mundo empresarial y a la realidad profesional. Posteriormente me plantearon la posibilidad de dar el paso de presentarme a las elecciones a Decana, y dije que sí. No lo pensé dos veces, me parecía que era un reto apasionante por la novedad de la Facultad, por el cargo nuevo y porque estaba en un momento profesional óptimo para poder encarar esta responsabilidad. Era el momento de culminar esa fase de la vida profesional con ese cargo de Decana, que para mí es un orgullo, un honor y un reto desafiante y apasionante, como todo lo nuevo que se encara en la vida. R.K.: Sin duda, enhorabuena María por ese nombramiento. La verdad es que sí que tienes un reto importante por delante. Sabes que aquí no queremos hablar solo de ciberresiliencia, sino de resiliencia en general. Estoy segura de que a lo largo de tu vida profesional también has tenido otros retos relevantes. ¿Hay alguno que quieras compartir con nosotros, especialmente? M.E.: Bueno, la carrera académica en sí misma es una carrera de resiliencia total, de resistencia, de encarar los problemas, de caerte y levantarte ante las dificultades. La carrera académica es muy incierta, nada está hecho y nada está dado. Se necesita un equilibrio mental muy importante para poder encarar los desafíos. El primer desafío es la propia decisión de dedicarte a la Universidad, y posteriormente, cuando se acaba la carrera tiene lugar otro desafío, ya que muchas veces no se sabe a qué se debe dedicar uno en la vida. Yo fui una estudiante brillante, pero es verdad que todas mis matrículas de honor quizás se debían a un estudio memorístico y no tanto reflexivo o de razonar. El primer desafío es elegir qué estudiar. En mi caso, mi padre es Catedrático de historia, por lo que el mundo universitario me era muy familiar. También es verdad que siempre dije que nunca me dedicaría a lo que hace mi padre, pero aquí estoy. En un momento dado me crucé con mi maestro, quien me dirigió la tesis doctoral y me puso las cosas muy difíciles. Me dijo que la carrera iba a ser un proceso largo y de fondo, en el que se presentan muchos obstáculos. Yo salí de aquel despacho, llamé a mi padre y le dije que yo lo veía claro, que esto era lo que quería hacer y a lo que me iba a dedicar. Cuando le comenté a mi maestro mi meta de ser Catedrática, tras él haberme advertido del duro camino que esto supondría, se convirtió en una realidad. Adentrarme en este viaje fue mi gran reto, pero vi claro que esa era mi carrera y que yo iba a acabar siendo Catedrática, pesara a quien pesara y tuviera que hacer lo que tuviera que hacer. A lo largo de mi vida profesional ha habido muchas tentaciones de dedicarme al mundo profesional en vez de al mundo académico, ya que yo trabajé con Julián Martínez Simancas en el Banco Central Hispanoamericano, donde tuve la gran oportunidad de trabajar con un grandísimo profesional como él y observar todos los aspectos positivos del mundo profesional frente a las adversidades del mundo académico. Ante esta situación, una vez más elegí este mundo, elegí terminar mi tesis doctoral y enfrentarme al futuro. R.K.: Qué importante es tener clara esa vocación... Quería preguntarte qué es lo que hace una jurista y tu opinión acerca de la ciberseguridad. Pero sobre todo ¿qué papel crees que el mundo jurídico tiene en este ámbito? M.E.: Es cierto que cuando se habla de seguridad, a mi mente vienen términos como: técnicos, ingenieros, algoritmos, inteligencia artificial, blockchain, datos, peligro, ciberataques… Pasando también al pensamiento de “cuidado con mi cuenta bancaria que está en mi móvil”. R.K.: Claro, al final todo se reduce a tecnología y miedo, ¿no? Es un poco lo que estamos viendo, la combinación de esas dos cosas. M.E.: Tecnología y miedo, efectivamente. Ese es el perfecto resumen de las primeras sensaciones que tuve cuando me aproximé a este mundo. R.K.: ¿Dirías que el sector jurídico está relacionado con la tecnología o estas dos cosas no tienen mucho que ver? M.E.: Bueno, yo creo que sí que tienen una conexión, van de la mano completamente. No se puede trabajar en el sector jurídico sin la tecnología pase lo que pase, es algo que vemos todos los días en este ámbito. R.K.: Estamos de acuerdo en que la tecnología lo impregna absolutamente todo. Es un verdadero cambio en la sociedad que nos invita a realizar una reflexión, porque tenemos una legislación, que se desarrolló en su mayoría en una época en la que la sociedad era completamente distinta. Por esto te quiero hacer una pregunta, ¿cómo está transformando la tecnología esa interpretación de la legislación que tenemos? M.E.: Bien, en la actualidad hay una gran cantidad de personas que piensan que la seguridad es sinónimo de poca flexibilidad y poca libertad, siendo algo que nos obliga a realizar un sacrificio constante. Esta visión es errónea. Como decimos en derecho, el bien jurídico protegido ha cambiado completamente y este es un cambio al que nos adaptamos progresivamente. En la sociedad de hoy ya no realizamos contratos tan simples como una compraventa. Ya no compramos y vendemos pisos, zapatos o empresas, por ejemplo. Ahora compramos y vendemos tecnología y bienes inmateriales intangibles. Esta realidad es algo que afecta a toda la sociedad en general y es algo que el sector jurídico no puede ignorar. Además, es algo que puede suponer una amenaza grande para aquellas empresas que no se adapten y que no implementen procesos que protejan tanto a sus empleados como a sus consumidores. R.K.: En mi opinión, el problema que tenemos es que la ciberseguridad se enfoca desde esa visión técnica de aquellos que tienen la experiencia, que son los responsables de ciberseguridad. Sin embargo, al final la tecnología lo impregna todo, cambia la sociedad en gran medida, y esto es algo que necesitamos reflexionar. También lo estamos viendo con la nueva regulación que viene y las mayores responsabilidades que se le están dando al Consejo de Administración de las Empresas. Desde el punto de vista de la gobernanza, los jurídicos tienen un papel importante. Tenemos que tener en cuenta a la mayoría de los Secretarios de los Consejos de Administración, como por ejemplo, antes has nombrado a Julián Martínez Simancas, que ha sido el Secretario del Consejo de Iberdrola durante muchos años y que, desde luego, me consta que le ponía mucha importancia al tema de la ciberseguridad y que estuviese en la agenda del Consejo. ¿Cómo ves que está evolucionando esa visión que tiene que haber en los órganos administradores de este riesgo tan importante? M.E.: Para mí, el derecho con carácter general tiene un papel fundamental en la configuración de todas las políticas y las normativas que regulan esta área tan sensible. Para mí la ciberseguridad y la ciberresilencia significa garantizar que nuestras estructuras legales estén preparadas para proteger y responder eficazmente a los incidentes de seguridad digital, manteniendo la confianza y la integridad de nuestras instituciones públicas y privadas. Evidentemente, esta cuestión incide directamente en la configuración de los nuevos deberes del órgano de administración dentro de ese marco, además de en el ámbito de las sociedades cotizadas y de las pymes. Los órganos de administración deben tomar conciencia de que la ciberseguridad no es solamente un problema del departamento de IT, sino que es una cuestión crítica de la sociedad, porque comporta evidentemente riesgos que pueden tener un elevadísimo impacto. Este impacto no incide solamente en su propio negocio y en su propia reputación, sino también en los bienes y derechos de terceros y de clientes. Todo esto se refleja en un cambio de paradigma en esa posición jurídica que tienen, en esos deberes y responsabilidades de los órganos y consejos de administración. Estos consejos de administración están ya creando comités específicos dentro del propio consejo. En otros casos lo asumen en los comités de auditoría, donde residen y descansan todas estas políticas de protección, de implementación y de supervisión de las políticas de seguridad en las empresas. R.K.: Efectivamente, yo creo que ya por lo menos es un tema que está en la agenda, pero tengo la sensación de que sigue estando con esa visión de tecnología y miedo. ¿Hasta qué punto crees que los consejos realmente son conocedores del riesgo que están asumiendo en sus empresas? ¿Tienen esa capacidad de interpretarlo y de tener esa información? M.E.: Yo creo que estamos ante un gran reto, el reto de la ciberseguridad en el ámbito societario. Creo que ya en los departamentos tecnológicos lo tienen muy claro. R.K.: Esperemos M.E.: Al menos presumo que debería ser así, pero es verdad que en el ámbito societario todavía las cosas están en ciernes. Yo creo que los administradores tienen que asumir que tienen un importantísimo papel en el control de riesgos, que es una manifestación muy relevante del deber de diligencia que se les atribuye. Los administradores de una sociedad tienen un doble deber, de diligencia y de lealtad. El deber de diligencia en la gestión de la actividad donde se encuadrarían estos importantes deberes de afrontar esta realidad, los órganos de administración y la ciberseguridad, ya que no hay que olvidar que cada vez cobra más relevancia. Sus quiebras causan daños muy importantes. Por eso es relevante que los órganos de administración tengan muy claras las políticas, sus deberes y sus responsabilidades, para proteger a la empresa, a los clientes y a la sociedad en general. R.K.: Y en ese sentido, para cumplir ese deber de diligencia, los órganos de gobierno nombran un responsable de ciberseguridad, un CISO. Normalmente tiene un papel complicado, porque se le pide que cree una especie de “escudo mágico” que proteja a la compañía de todo mal, pero por otra parte la ciberseguridad también supone un coste y hay que defender muy bien esas inversiones. Estamos viendo que el diálogo que debe existir entre esos órganos de administración, tanto Consejo de Administración como Comité de Dirección y los responsables de ciberseguridad, no es siempre tan fluido como debería ser o como nos gustaría. ¿Qué crees que podría hacer un responsable de ciberseguridad para conseguir transmitir mejor el mensaje y conseguir el apoyo necesario de la organización? M.E.: Bueno, yo creo que efectivamente todo arranca de lo mismo, de esa separación entre lo que son los departamentos de seguridad, los departamentos de tecnología y el órgano de administración o el gobierno corporativo de las empresas. Se tiene la sensación de que el órgano de gestión y de administración solo se ocupa del desarrollo de la actividad, de que hay que vender. Sin embargo, dentro de ese desarrollo de la actividad empresarial, la seguridad ahora va implícita. Con todos estos temas se puede causar tanto daño que puede llevar a la desaparición del negocio completamente, por eso la relación entre los responsables de ciberseguridad y los responsables de la gestión de la empresa tiene que ser muy fluida. Tienen que ser colaboradores, no mirarse entre ellos como si uno fuera el contrincante o el que viene a fastidiar y avisar de tanto riesgo, ya que aquí no se puede hacer nada, porque todo tiene peligro. Yo creo que los responsables de ciberseguridad o de seguridad en general tienen que concienciar a los directivos, al órgano de administración de las empresas. Además es fundamental que el órgano de administración o la dirección general esté abierto a la comprensión de esta nueva realidad que ya está aquí, que ha venido para quedarse. R.K.: A veces tenemos un problema de lenguaje, porque en ocasiones todo lo enfocamos con esa visión de que el responsable de ciberseguridad viene a hablarnos de tecnología y miedo, cuando lo que viene es hablarnos de negocio. En la empresa estamos todos en la misma situación, lo que tiene que hacer es cumplir su objetivo y sus obligaciones. M.E.: Claro, por eso decía antes, cuando se dice “seguridad”, la gente piensa: “qué horror, perdemos libertad, se van a meter en todo lo que hacemos, no van a dejarnos vender de la manera que nosotros queremos vender, la expansión no es posible por las amenazas y los peligros que hay en el mundo”... Leemos todos los días noticias en la prensa sobre ciberataques, por lo que el miedo es muy grande. R.K.: Yo creo que la ciberseguridad es un habilitador. Tenemos que entenderlo de esa manera para que seamos capaces de hacer con los datos lo que haya que hacer para beneficio de las empresas y de la sociedad. M.E.: Claro, y sobre todo lo que hay que hacer y lo que es también esencial es la anticipación, dado que la ciberseguridad cobra cada vez más relevancia. Esto no es “el daño ya está hecho, a ver ahora qué horror”. No, esto sería: “vamos a anticipar, a prevenir y a contribuir a la protección, profundizando en las mejores prácticas de acuerdo con los más altos estándares de gobierno corporativo”, esto es esencial. R.K.: Pues ojalá vayamos por ahí. Se nos acaba el tiempo, pero de verdad, muchísimas gracias, ha sido fascinante hablar contigo. María Enciso, Catedrática de Derecho Mercantil y Decana de la Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos, ha sido un placer. M.E.: Muchísimas gracias a vosotros y el placer ha sido mío.
16 Octubre 2024
Sin categoría
Rosa Kariger, Directora de Análisis y Prospectiva de Seguridad en Iberdrola y Presidenta del Consejo Asesor de CyberLideria, entrevista a Rafael Fernández Campos, Presidente del Club Chief Data Officers Spain & Latam. Rosa Kariger: Más allá de tu posición profesional y más pública, ¿quién es Rafael Fernández Campos como persona? ¿Qué nos quieres contar de ti? Rafael Fernández: En el plano familiar, estoy casado y tengo tres hijos. Me encanta cocinar, me encanta la naturaleza, me encanta la poesía. Necesito irme solo muchas veces, necesito escapar a la montaña o con el kayak de mar, que también es una de mis grandes aficiones, como el esquí de fondo. Son deportes muy solitarios y a mí me ayudan a recomponerme un poco. A estas alturas de mi vida creo que ya no puedo decir que nunca haré determinada cosa, porque mi padre era economista y trabajaba en un banco, y yo dije al principio: “uff, esto tiene una pinta de ser un rollo mayúsculo, jamás estudiaré economía y jamás trabajaré en un banco”. Al final hice ADE y luego acabé trabajando en un banco, de hecho, he estado toda mi vida trabajando en un banco. Por esto, ahora ya no soy capaz de decir nunca: “esto no lo haré jamás”, porque justo puede que lo acabe haciendo. Y luego, aparte de ADE, me doctoré en Economía y Hacienda Pública, ya que siempre me ha gustado mucho dar clase. He acabado dando clase de estrategia de datos, pero en aquella época me doctoré al terminar la carrera e hice una tesis doctoral que se llamaba “El futuro de las cajas de ahorros”. Con esto ya te das cuenta de lo visionario que soy… R.K.: Fuiste uno de los primeros Chief Data Officers de España, cuando empezaste con este rol en 2015. En aquellos tiempos aquí no se sabía ni qué era eso, ni se hablaba del tema. ¿Qué es para ti un CDO y cómo ha ido evolucionando desde 2015 esa figura? R.F.: Sí, es cierto que en 2015 empezaron a nombrarse los primeros CDOs en España, porque en Estados Unidos ya había. Cuando me lo ofrecieron, tuve que buscar qué significaban esas siglas, porque no lo sabía. Lo cierto es que aún hoy todavía tienes que andar explicando qué significan esas siglas muchas veces. Pero sí que es verdad que el rol del CDO ha cambiado mucho, porque inicialmente empezó sobre todo en la banca por motivos regulatorios. Es decir, el Banco Central Europeo, tras la crisis financiera, vio que uno de los aceleradores de la crisis fue no disponer de información adecuada para la toma de decisiones en materia de riesgos. Por esta razón decidió crear una figura que se encargará de organizar eso. Desde ese aspecto más regulatorio, más focalizado en la gestión y mitigación de riesgos, se ha ido avanzando más hacia un rol de negocio, de extracción del valor del dato. Ya no se busca solo a alguien que ayude a mitigar determinados riesgos, como puede ser de seguridad, o de privacidad, o riesgos reputacionales, o riesgos de crédito. R.K.: O de integridad de la información. R.F.: Sí, claro, eso es. Pero esos riesgos de integridad al final acaban teniendo consecuencias, y la mejor manera de calibrar un riesgo es medirlo. Aquí hay algunos riesgos que sabemos medirlos más o menos bien, porque llevamos muchos años, como el riesgo de crédito, pero a lo mejor respecto a riesgos reputacionales, no somos tan capaces de calibrarlos. En cambio, ahora, los CDOs que van apareciendo en las compañías, normalmente lo hacen más de la mano de un proceso de transformación digital. Son compañías que quieren transformar sus procesos de negocio, y claro, el 80-90% de la digitalización se hace con datos. Para eso necesitan una figura determinada, muchas veces no la llaman CDO, sino que la llaman Head of Data, pero al final es una figura responsable de los datos. R.K.: Pero, ¿responsable de datos en qué sentido? ¿Cuál es su principal responsabilidad sobre esos datos? ¿Que estén, que se les saque valor, que sean seguros…? R.F.: Que generen valor. Lo que pasa es que para que generen valor tienen que ser seguros, completos, íntegros… Tienen que estar aplicados a las bolsas de valor que la empresa identifica y estar disponibles para los que los necesiten utilizar. Además, tienen que estar disponibles con prontitud, no vale lo mismo un dato ahora que un dato dentro de un mes. Todo este tipo de cosas, pero al final se podría resumir en que la función del CDO es generar valor con datos. R.K.: Y esto, en la era de la inteligencia artificial, entiendo que cobra muchísima importancia, porque precisamente la calidad del dato es clave para que la inteligencia artificial tenga sentido y sea adecuada. ¿En qué medida los CDOs están también entrando en el gobierno de la inteligencia artificial? ¿O es esto algo completamente separado, pero con lo que se coordinan con los responsables? R.F.: Claro, a mí me gustaría primero definir lo que es gobierno, porque hay un montón de definiciones por ahí, y a mí me gusta una que dice: “Gobierno es organizar a las personas y a la tecnología alrededor del proceso de generación de valor con datos para optimizar ese valor”. El proceso de generación de valor con datos es bastante sencillo, es decir, yo capturo datos, los almaceno, los exploto y de esa explotación espero tomar decisiones que me generen valor. El valor para los bancos a menudo significa tener la capacidad de ser solvente o tener a los clientes satisfechos, pero a lo mejor para un hospital público es reducir las listas de espera o acertar con el diagnóstico de las radiografías de cáncer de mama, por ejemplo. Entonces, en todo este proceso respecto a lo que comentabas del gobierno de la IA, hay CDOs que están más centrados en la parte más tecnológica de la captura o del almacenamiento del dato, y hay CDOs que están más centrados en la parte de la explotación o del uso. También hay CDOs que facilitan el reporting de sus empresas, por ejemplo. Además, también vemos CDOs que se llaman CDAOs, de “Analytics”, que lo que hacen es crear los modelos analíticos de la compañía. La cuestión es que el CDO o bien se centra más en temas técnicos o en temas de reporting o analítica avanzada. Es un traje a medida, en función de la empresa y de las necesidades de la empresa, cambian las funciones del CDO. Es decir, si es una empresa que lo que necesita es buscar nuevos modelos de negocio, muy probablemente esté muy volcado en la visión de negocio y en la disrupción. En este caso, con los datos que tenemos, se podrían ver qué cosas nuevas y qué nuevos modelos de negocio se pueden llevar a cabo. Pero si, por el contrario, hablamos de una empresa muy asentada que tiene un problema, por ejemplo, de disponibilidad y calidad de datos, probablemente esté más centrado en la captura y almacenamiento. Por otro lado, si es alguien que esté muy focalizado en la migración a la nube y en cómo funcionan todos los procesos de disponibilidad de información, sería distinto. Cada una de las compañías va a adaptar ese CDO en función de lo que necesiten. Lo que sí que es seguro, es que un CDO que pone su energía en la parte más tecnológica es muy difícil que pueda poner también la misma cantidad de energía en la visión de negocio, y viceversa. Un CDO que está muy en la visión de negocio, probablemente necesite un apoyo para la parte tecnológica, porque la perfección no existe. R.K.: Me imagino que, como presidente del club de CDO para España y Latinoamérica, conocerás un montón de CDOs de muchas clases diferentes, pero, ¿puedes contarnos un poco en qué consiste esta asociación? ¿Cómo nació y cuál es vuestra misión, qué valores os inspiran? R.F.: El club nace en 2017 con el propósito de hacer networking. Al principio éramos 6 o 7 CDOs en España, nos juntábamos a tomar una cerveza y al final vimos que podíamos aprender los unos de los otros, o al menos llorar los unos en el hombro de los demás. Con el tiempo y con el networking nos dimos cuenta de que además sabíamos cosas que podían ser útiles para los demás y que ya no era tan sencillo como quedar en un bar y contárnoslas. Entonces empezamos otro de los ejes, que es el eje del conocimiento. A raíz de esto montamos una formación. Este año vamos a hacer la quinta edición del programa de Certificación en Gobierno y Estrategia del Dato, que lo llevamos a cabo junto con IE Business School. Hacemos papers, hacemos contenidos y desarrollamos dos herramientas exclusivas del club, una es un Maturity Assessment, el dataMat, para saber el grado de madurez analítica de una compañía, y que se estructura en 21 ámbitos relacionados con el mundo del dato. Otra es el dataToolkit, que proporciona herramientas para diseñar una estrategia de datos sobre la base del diagnóstico del DataMat. Es decir, el primero era el pilar del networking y el segundo el del conocimiento. El tercer pilar es el de la influencia. Nosotros ayudemos a los CDOs a ser influyentes en sus compañías y a que, por lo tanto, hagan mejores a sus compañías. R.K.: Es curioso, porque es una evolución muy parecida a la que hemos tenido en CyberLideria. También empezamos un poco por networking y hemos acabado precisamente en esa función de dotar al CISO de mayor capacidad de influencia en sus organizaciones y en la sociedad, para ayudar a fomentar una resiliencia conjunta del ecosistema. R.F.: Sí, nosotros también tenemos puesto el foco en hacer una sociedad mejor con los datos. De ahí nace también la creación del Club de Data Ethics. Los datos se están convirtiendo en uno de los grandes valedores de la nueva economía, con sus riesgos asociados. Nosotros sabemos controlar esos riesgos, sabemos gestionar los datos para obtener lo que queremos sin perder de vista la ética. Creo que tenemos una responsabilidad con la sociedad, más allá de nuestras compañías, para ayudar a que todos estos riesgos que estamos hablando no provoquen eventos indeseados. Se están materializando muchos casos de comportamientos no éticos con el uso de datos, por ello tratamos de que no se produzcan o que los mitiguemos al menos. R.K.: En base a esa evolución que tú has visto y esos distintos tipos de CDOs que hay, ¿cuáles son las claves del talento que le van a permitir abordar la tremenda complejidad de gestionar los datos? No sólo con la sobreabundancia de datos que tenemos ahora, sino con el rápido avance de la tecnología y de la digitalización de las empresas de hoy en día. R.F.: Es una gran pregunta, no quisiera responder con un “depende”, pero es que en parte depende. Yo creo que hay dos ejes fundamentales. En el primer eje, hay que tener en cuenta si el foco de la compañía está en la eficiencia o en el crecimiento, y ahí te puedes ubicar en todo. Y en el segundo eje tenemos la parte del control, o de ser un partner de negocio. Aquellas empresas que lo que necesitan es mucho más control, mitigación de riesgos o lo que están buscando es que el negocio crezca con datos. Aquí en estos dos ejes es donde se van a ubicar la mayoría de los CDOs y sí que hay algo que es importante para el CDO, es ganarse el respeto tanto de la parte tecnológica como de la parte del negocio. El respeto por parte de la parte tecnológica se gana con conocimientos técnicos, no necesita ser el experto, pero sí se necesita tener un nivel de interlocución suficiente como para que el CIO te respete. De la misma manera, al negocio te lo ganas generando valor, es decir, siéndole útil. Si al negocio le aportas la información, los datos, los análisis, los modelos… Si le aportas para que él genere valor en su negocio, sea el que sea, te habrás ganado ese equilibrio entre la parte tecnológica y la parte más de visión de negocio. Esto es lo que un CDO sí o sí tiene que desarrollar, además de tener mucha capacidad de persuasión y mucha diplomacia, porque al final estás en “tierra de nadie”. Es una posición bastante novedosa y entras casi pisando callos porque a veces estás en áreas que siempre se han considerado tecnológicas y otras veces estás invadiendo áreas que son más de negocio. Lo que sí que está claro es que, si no generas valor, vas a acabar siendo un centro de costes. El CDO o es un centro de beneficios, o es un centro de costes. Si no demuestras que generas beneficios, entonces eres un centro de costes. R.K.: La verdad es que es un perfil tremendamente parecido al CISO en esos requisitos de alto nivel, ya que tiene que tener ese conocimiento técnico, por una parte, pero también una visión del negocio para ayudarle a comprender y a mitigar los riesgos sin frenar el negocio. En ese sentido, a nosotros los CISOs nos preocupa tremendamente la seguridad de los datos. ¿Hasta qué punto esa seguridad de los datos que está más en el tejado del CISO son una prioridad para el CDO? ¿Estáis trabajando conjuntamente con los CISOs en las empresas? R.F.: Yo creo que CISOs y CDOs deberíamos colaborar más de lo que colaboramos. Nosotros, en el Club de CDOs, perimetramos el mundo del dato en 21 ámbitos. De estos, hay algunos ámbitos que nosotros llamamos los “principios básicos”, y estos son: seguridad, privacidad y ética. Con todos los assessments de madurez que hacen todas nuestras empresas, sacamos conclusiones, y uno de los datos más interesantes es que los CDOs consideran de media, que, de todos esos 21 ámbitos, el de seguridad del dato es el más desarrollado con diferencia. Además, para nosotros, seguridad, privacidad y ética es una escalera de tres escalones. Podemos estar muy centrados en la privacidad, pero como tengamos brechas de seguridad, da igual como lo hayas hecho en privacidad. Pero además es que, como tú decías antes, compartimos muchas cosas y una de ellas es precisamente la necesidad de evolucionar hacia ser un partner de negocio. El CISO, a medida que ha ido madurando su función, ha ido acumulando una serie de capacidades, conocimientos y de estrategias que son útiles muchísimo más allá del mero ámbito de la seguridad. Al CDO le pasa una cosa muy parecida, aquí hay un diálogo muy fructífero que tenemos que tener los CISOs y los CDOs para esto. R.K.: Yo estoy de acuerdo en que estamos colaborando poco, y además es que, desde la pura perspectiva de la seguridad de la información, que es nuestro ámbito de competencia, es fundamental que alguien ponga orden en los datos. Es muy difícil garantizar la seguridad de algo que no está gobernado y que no sabemos de dónde viene, a dónde va, qué información es, quién lo usa… Creo que, para los CISOs, el tener un CDO en la empresa para gobernar bien los datos es algo muy positivo. Lo estamos viviendo ahora con la seguridad en el ámbito de la inteligencia artificial, donde efectivamente tiene que haber muchísima más colaboración. Retomando lo que has comentado de la ética de los datos, un tema muy en discusión con el auge de la inteligencia artificial, y ligándolo con la explotación masiva de los datos que se está haciendo de los ciudadanos, estamos viendo que se están monetizando nuestros datos y nosotros no estamos viendo aparentemente beneficios al respecto. Cuéntanos, ¿cuál es tu visión acerca de esto? ¿Crees que se va a producir una revolución ciudadana para reclamar el valor de los datos? Cuéntanos un poquito también sobre el club Data Ethics que comentabas antes. R.F.: Es una pregunta excelente, lo de que la sociedad reclame de alguna manera el valor que se está generando con sus datos. De hecho, nosotros lo abordamos, yo escribí un libro que se llama “El valor del dato”, co-escrito con Javier Martínez, en el que abordamos este tema. Pero para que esto se produzca, primero tiene que haber una toma de conciencia por parte de la sociedad. Se ha tomado conciencia en cuanto a que la seguridad de la información es importante, y esto creo que ya sucede con el tema de la privacidad y las redes sociales, por ejemplo. Pero los aspectos de la discriminación, de los sesgos o de la manipulación, esto va a tardar todavía. En cuanto al tema de detectar fake news, quizá exista mayor concienciación, pero respecto al resto de la manipulación, va a costar un poco más. En algunos casos los ciudadanos, los usuarios de la información, sí que perciben valor cuando dan sus datos. Por ejemplo, si yo quiero saber cómo se llega aquí, tengo que poner Google Maps, y por lo tanto estoy cediendo a Google Maps los datos de mi ubicación, pero a cambio yo recibo un valor, que es no dar mil vueltas encontrando el sitio. Pero hay una parte que es el valor percibido y hay una parte del valor que queda oculta por falta de transparencia de todas estas compañías que no nos explican para qué usan nuestros datos. Independientemente de que los anonimicen, los están utilizando para algo. Esa toma de conciencia, yo creo que aún estamos lejos de tenerla. Y de ahí a organizarnos para pedir a esas compañías que nos devuelvan ese valor, creo que todavía nos falta mucho por avanzar. Pero sí que hay una parte clave, que consiste en que la sociedad no solamente tiene que tomar conciencia, sino que tiene que despertar. Es decir, tenemos que ser de alguna manera militantes. Si hay una empresa, por ejemplo, Facebook (Meta), que tú sabes que está utilizando tus datos con fines espurios, bórrate. Y si no te borras, entonces de alguna manera, estás siendo cómplice de esto. Si no te borras porque no puedes, al menos levanta la voz. Yo creo que hay una parte que es una militancia que la sociedad tiene que tener para dar ese paso. Una toma de conciencia y luego una militancia. No debemos estar adormecidos. Es lo que muchas veces nos pasa. Yo creo que aún nos queda para esa petición de valor, pero estoy totalmente de acuerdo. Eso probablemente acabe llegando algún día. Y el Club de Data Ethics es la representación de la relevancia que empiezan a tener los datos y de los riesgos que tiene el uso de datos masivos. Desde el Club de CDO vimos que para abordar ese problema no solo valemos los CDOs o responsables de datos, que son los que forman parte del Club de CDO, sino que necesitábamos abogados, necesitábamos filósofos, necesitábamos otros perfiles que pudieran aportar diversidad a esta cuestión. Entonces creamos el Club de Data Ethics, en el que tenemos un consejo asesor donde hay filósofos, abogados, biólogos, etc., que pueden aportar mucho. Aceptamos en ese Club de Data Ethics a cualquier persona que tenga interés en esto. Nos da igual si es un filósofo o si es un consultor. Lo que queremos es crear una comunidad grande de personas que seamos capaces de movilizar conciencias, de expandir buenas prácticas en el uso de los datos y capaces de medir la ética. Si tú tienes una estrategia ética en tu compañía y no eres capaz de medirla, nunca vas a saber si vas bien o vas mal. Es decir, una estrategia que no tiene KPIs, que no tiene indicadores, es una estrategia abocada al fracaso, porque nunca vas a saber si estás bien o estás mal. Por eso, también hemos desarrollado un dataMat ético y un Datatoolkit ético y estamos ayudando a compañías a definir su estrategia ética de datos, con mediciones, con qué cosas hay que hacer concretas, dónde tengo que mover la aguja, qué comités, qué roles, qué modelo de gobernanza tengo que tener para tener una gestión de datos que cumpla con unos valores éticos. Cada compañía tiene que definir los suyos, y saber a qué distancia está de conseguir esos valores éticos al 100%. Probablemente nunca lo consigas, pero por lo menos saber cómo de cerca estás y qué tienes que hacer para mejorar en eso. R.K.: Qué interesante, la verdad. ¿Y cómo ves la evolución del club de CDO? ¿Cómo ves el futuro? ¿Hacia dónde vais? R.F.: Pues mira, lo vemos en tres partes. Hay tres grandes proyectos de futuro. El primero es el club de Data Ethics, acabo de hablar de él y el segundo es incrementar los miembros de la comunidad, especialmente en Latinoamérica. Para eso, ahora en octubre y en noviembre vamos a hacer ya eventos presenciales en Santiago de Chile, Lima, Perú, Bogotá, Colombia y Buenos Aires, en Argentina. Luego el tercer proyecto a futuro es expandir estas buenas prácticas que están incluidas en el dataMat y en el dataToolkit. Para eso, estamos llegando a acuerdos con universidades y con escuelas de negocio en los cuales utilizan el dataMat y el dataToolkit para enseñar estrategia de datos en sus compañías. Además, tenemos una red de implantadores, hay una serie de personas a las que nosotros formamos como implantadores y las certificamos, de manera que estas personas luego son consultores en compañías, que van allí y utilizan el dataMat y el dataToolkit para diagnosticar la madurez analítica e implantar estrategias de datos. Estos serían los tres pilares. Club de Data Ethics, mayor número de miembros y expandir las herramientas del club. R.K.: Y, por curiosidad, ¿por qué elegir España y Latinoamérica y no España y Europa, por cercanía y homogeneidad regulatoria? R.F.: La verdad es que nos unen dos cosas: los datos y el idioma. Hemos recibido ofertas para crear el club de CDOs en Estados Unidos, por ejemplo y es verdad que también tenemos muchos miembros en Portugal, pero por ahora estamos centrados en los países de habla hispana. Si ahora tuviéramos que ponernos además con Europa y Estados Unidos, realmente no nos da tiempo. Ahora mismo necesitamos ganar un poco de escala para poder hacer esto. Y el público en España y Latinoamérica es enorme. Entonces, por ahora vamos con esto primero y luego en un futuro se verá. R.K.: Entonces el criterio es más por el idioma, ¿no? R.F.: Sí, pero esto ha sido de manera natural. Además, ten en cuenta que Silvina Arce, co-fundadora del club y mi socia, ha trabajado muchos años en Chile, en Banco de Chile y Falabella. Entonces aquello sucedió de manera natural. Además, el idioma ayuda, claramente, ¿no? Sabemos que, tras Portugal, pasaremos a Brasil, lo que significa que también tenemos que crear todo el material y las formaciones en portugués, lo cual no supone un problema, pero necesitamos algo mas de tamaño. Y lo mismo aplica para el Club en Estados Unidos. Ten en cuenta que solo en el entorno de Nueva York hay mas CDOs que en toda Europa junta. Esto puede ser muy positivo, pero requeriría una gran inversión y es mejor ir poco a poco, somos gente prudente y hacemos lo que podemos hacer bien hecho, y lo que no podemos hacer bien por falta de ancho de banda, lo posponemos. R.K.: Como sabes, esto es una revista que tiene la resiliencia digital de tema principal, pero también la de las personas desde un punto de vista personal. ¿Cómo gestionas tú el estrés de tu trabajo y en todos los líos en los que te has metido? ¿Cuáles son tus fuentes de energía? R.F.: Podría hablar de la familia, ya que para mi tener una familia es central. También podría hablar de la naturaleza y del deporte. Sin embargo, hay una cosa que ha sido fundamental en mi vida, y tiene que ver con el control del estrés. El estrés es una cuestión de expectativas. Tú te estresas cuando no llegas, ya sea a lo que los demás te han fijado como que es tu objetivo, o bien lo que tú mismo te has fijado como tal. Hay una palabra que me ayuda a desvincular esas expectativas de mi felicidad, que es el desapego. Es decir, yo tengo que hacer algo y voy hacer todo lo que esté en mi mano para conseguirlo. Pero yo siempre me digo a mí mismo que no es tan importante, es decir, si lo consigo es genial, pero si no lo consigo no pasa nada. Las cosas que hacemos o nos dan felicidad, o nos dan aprendizaje. Decir que algo que tu has hecho y no has conseguido te suma en el caos o en el desánimo, no puede ser. Ahí hay algo que aprender, puede ser que no sea así, pero a mi me ayuda pensar que todo lo que quiero conseguir realmente no es tan importante. R.K.: Es relativizar R.F.: Exacto, eso hace que tu ansiedad caiga en picado, porque ya no es algo que tienes que conseguir, porque tu felicidad o tu dinero, tu familia o tu trabajo dependan de ello. No hay ninguna metedura de pata, por muy mayúscula que sea, que no traiga un aprendizaje y que no traiga algo bueno. Para mi la palabra “desapego” es clave en mi vida y me ayuda muchísimo a gestionar, porque además yo me he equivocado un montón de veces en mi vida y si no lo vives con desapego, te conviertes en un infeliz. R.K.: Por último, quería agradecerte de todo corazón que el Club CDO se haya sumado como empresa amiga de CyberLideria para difundir la importancia de apoyar nuestro Festival Solidario de noviembre para recaudar dinero para luchar contra la pobreza. R.F.: El agradecimiento es nuestro. Para nosotros lo primero es un honor que hayáis contado con nosotros para difundir este mensaje. Estoy al día de las actividades que hacéis y de las miles de comidas que conseguís dar a gente que realmente lo está pasando mal. Poder ayudar en algo tan concreto y tan cercano es un honor, y es un orgullo que contéis con nosotros para esto. R.K.: Muchas gracias Rafael. R.F.: Gracias a vosotros.
7 Octubre 2024
Rincón del CISO
Crece la preocupación por la ciberseguridad en las empresas debido al aumento de los ciberataques, especialmente, en estos últimos años. Estos ataques se han incrementado hasta alcanzar un valor global cercano al 1,5% del PIB mundial, superando la suma de los otros tres grandes “motores” económicos en el mundo del crimen: el tráfico ilegal de armas, la trata de seres humanos y el mercado ilegal de drogas. Con estos datos, se espera que en 2024 se produzca un nuevo aumento en el número y la sofisticación de los ataques, pero, más allá del incremento numérico, lo más preocupante es la evolución de estos ciberataques. Ya no estamos hablando de ataques que vienen del extranjero y se lanzan de una manera arbitraria y sin criterio, sino que estos ciberataques están altamente localizados, con un conocimiento profundo de las políticas empresariales y de las operaciones internas de las organizaciones a las que se ataca. Factores como la situación geopolítica actual y el uso de la inteligencia artificial generativa van a jugar un papel clave en el aumento de estos ciberataques a lo largo del 2024. Conflictos como las guerras entre Ucrania y Rusia o Israel y Palestina, así como la tensión geopolítica global, están influyendo notablemente en la generación y dirección de los ataques. La utilización de la inteligencia artificial para perpetrar ciberataques también va a ser significativa. Los ciberdelincuentes emplearán la IA generativa (una rama de inteligencia artificial que puede crear contenido original a partir de datos existentes) para suplantación de identidad y, también, para elaboración de malware, altamente sofisticado, capaz de eludir las defensas de los sistemas de seguridad existentes. En este último año, hemos podido presenciar un aumento de los ciberataques en grandes empresas a nivel nacional e internacional. Durante el mes de mayo de 2024, tuvieron lugar varios ataques a dos de las compañías más importantes de España. Una de estas empresas afectadas fue el Grupo Santander, quien comunicó que hubo un acceso no autorizado a una base de datos alojada en uno de sus proveedores. Ante este hecho, el grupo implementó medidas para gestionar el incidente, como el bloqueo del acceso a la base de datos, además de reforzar la prevención contra el fraude para proteger a sus clientes. Iberdrola también fue atacada, en consecuencia, se dejaron descubiertos algunos de sus datos, como nombre, apellidos y DNI de 850.000 clientes. Los ciberataques a grandes compañías han seguido su curso, las últimas empresas en ser atacadas han sido Alcampo y Tendam. En el caso de la filial del grupo francés Auchan, sus actividades quedaron afectadas de forma parcial tras el ciberataque, aunque consiguieron gestionarlo y recuperar la normalidad. Tendam, el grupo textil que se encuentra detrás de marcas como Cortefiel y Pedro del Hierro, entre otras, aclaró que los ciberdelincuentes robaron más de 720 gigas de información que pertenece a la marca y, además, exigieron una recompensa de 800.000 euros por los datos. Ninguna organización, independientemente de su tamaño o del sector al que pertenezca, está libre de ser atacada. Pero, sectores como la sanidad, la industria y la administración pública, además de las empresas, están en el punto de mira de los ciberdelincuentes. Se espera que los sectores relacionados con la situación geopolítica (banca, aseguradoras, administraciones públicas, sanidad, fabricantes de armamento, infraestructuras críticas o líneas aéreas) sean también blanco de los ataques debido a su capacidad para poner en riesgo a un país. Francisco Valencia, Director General de Secure&IT
24 Septiembre 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
