Rincón del CISO
Entrevista a Sara Lasso y Juanjo García: «Cada archivo y dispositivo suponen una amenaza»
Sonia Pulgarín, Directora de CyberLideria MGZN, entrevista a Sara Lasso de la Vega, Regional Sales Manager Iberia en OPSWAT, y a Juanjo García Cabrera, Azure Director en Microsoft Spain.
Sonia Pulgarín: Para comenzar, ¿podríais contarnos un poco sobre vuestras trayectorias profesionales y cómo llegasteis a ocupar vuestros actuales puestos en OPSWAT y Microsoft? ¿Qué os motivó a especializaros en el sector tecnológico?
Sara Lasso: Supe que quería ser ingeniera en el último curso antes de la Universidad. Trabajé en SIEMENS muchos años como ingeniero de I+D y fui a vivir a Alemania como Business Strategy Manager. Al regresar a España cambié a Motorola y al año y medio me ofrecieron llevar las ventas de ciberseguridad del sur de Europa y Latinoamérica, pasando después a OPSWAT como responsable de ventas y canal de España y Portugal. El campo de la ciberseguridad es, hasta ahora, el más apasionante en toda mi carrera donde puedo ayudar a organizaciones y personas de forma muy directa.
Juanjo García Cabrera: Pues desde el Spectrum a Microsoft han pasado muchas cosas, pero todas en el sector tecnológico. He pasado por empresas de desarrollo, comunicaciones, ciberseguridad, centro de datos, outsourcing y, en los diez últimos años, muy centrado en Cloud con Google y ahora Microsoft. Creo que la tecnología es, y será, la mejor herramienta para ayudar a evolucionar a la sociedad y, en general, para tener un mundo mejor. Colaboro también con fundaciones como asesor tecnológico.
S.P.: ¿Cómo veis la evolución de la gestión de riesgos en vuestros sectores, especialmente con las crecientes regulaciones en ciberseguridad y compliance? ¿Qué rol creéis que juega la tecnología a la hora de ayudar a las organizaciones a mantenerse al día con estas exigencias?
S.L.: La gestión de riesgos en ciberseguridad es fundamental. Analizando y clasificando las vulnerabilidades de una organización, se establecen medidas preventivas y de contingencia que permiten mitigar el impacto de una posible amenaza, contando, para ello, con marcos específicos de gestión de riesgos. La tecnología nos ayuda mediante, por ejemplo, la búsqueda proactiva de amenazas y la monitorización continua.
J.C.: Llevamos ya muchos años con tecnología Cloud y hemos visto evolucionar a los clientes de on premise a nube privada, pública y ahora entornos híbridos. Además, la mayoría de los clientes tienen varios proveedores, en nube y on premise, añadiendo más complejidad. Es clave que ayudemos a los clientes con el gobierno, control y gestión de riesgos de estos entornos. La tecnología y el uso de inteligencia artificial facilitan esta tarea con herramientas de monitorización, control y automatización.
S.P.: En un entorno donde los ciberataques son cada vez más sofisticados, ¿cómo trabajáis en vuestras respectivas empresas para garantizar la seguridad y la resiliencia de los clientes?
S.L.: Con el foco en el cliente y una visión, sobre todo, preventiva y de actuación. El objetivo principal de OPSWAT es prevenir el malware y los ataques de día cero. Nosotros nos regimos por el lema de que cada archivo y cada dispositivo suponen una amenaza y que las amenazas deben abordarse en todas las ubicaciones y en todo momento: en la entrada, en la salida y en el reposo de los datos. Otra parte importante es la formación continua en ciberseguridad para todos aquellos integrantes de la organización. Siempre digo que la ciberseguridad es responsabilidad de todos, no solo del CISO y su equipo.
J.C.: La velocidad de adopción de Cloud ha sido muy alta en los últimos años. Y la aparición y evolución de nuevas herramientas de seguridad, nos obliga a revisar, e incluso rediseñar, los entornos de nuestros clientes para garantizar su seguridad y resiliencia.
Microsoft ha lanzado la Iniciativa Futuro Seguro (SFI) para trabajar y velar por la ciberseguridad de forma interna, para nuestros clientes y la industria. Recientemente se ha creado un Consejo de Gobernanza de Ciberseguridad y el nombramiento de directores adjuntos de Seguridad de la Información (CISO).
Como dato curioso, este año todos los empleados de Microsoft tienen incluido KPIs de seguridad en las mediciones de rendimiento.
S.P.: La IA está transformando muchos aspectos de los negocios. ¿Qué papel veis que juega la IA en la evolución de la ciberseguridad y la computación en la nube?
S.L.: Los algoritmos de IA Generativa aplicada a ciberseguridad destacan por procesar grandes volúmenes de datos en tiempo real, lo que permite una rápida detección y ayuda en el análisis de amenazas. Al identificar patrones y anomalías indicativas de ciber amenazas, la IA permite a las organizaciones detener, de forma preventiva, posibles ataques antes de que causen un daño real.
Por último, la ciberseguridad basada en IA puede extraer información de un ataque y transformar esta información en datos que se agruparán de forma que se puedan analizar y así ayudar al proceso de toma de decisiones de una forma más rápida y simple.
J.C.: El mensaje de “copiloto” que estamos llevando al mercado lo deja claro, la IA ha venido para ayudarnos a ser más eficientes. “Copilot para seguridad” es una herramienta que nos permite analizar y procesar muchos datos en tiempo real, preguntarle en lenguaje natural y recibir respuestas prácticas a tareas comunes de seguridad y TI en cuestión de segundos.
Nos va a permitir evaluar la exposición a los riesgos y responder de forma inmediata. Esto supone un reto de adaptación para todos. Tenemos que trabajar junto con los partners para llegar a todos nuestros clientes y que adopten estas herramientas de IA de la mejor manera posible.
S.P.: En tiempos de incertidumbre, ¿qué prácticas y estrategias consideráis esenciales para asegurar la resiliencia en el entorno tecnológico?
S.L. y J.C.: Para asegurar la resiliencia en el entorno tecnológico, es fundamental implementar una combinación de prácticas y estrategias que aborden tanto la prevención como la recuperación ante incidentes, garantizando así la continuidad del negocio y la protección de los datos.
Destacaría la necesidad de añadir redundancia eliminando puntos únicos de fallo, monitorización y gestión de alertas empleando herramientas de IA, automatización y orquestación, y muy importante también, la capacitación y cultura organizacional de las empresas. Los entornos Cloud ofrecen soluciones con todas estas capacidades, pero su adopción todavía es muy baja, nos queda mucho trabajo.
S.P.: Dado que Microsoft y OPSWAT son líderes en sus respectivos campos, ¿cómo veis la colaboración entre empresas tecnológicas para abordar problemas comunes, como la ciberseguridad y la sostenibilidad?
S.L.: En materia de ciberseguridad, además de compartir información de amenazas entre los diferentes clientes a los que da servicio una misma organización, es importante colaborar de forma externa.
Existen varias iniciativas. ENISA, la Agencia de Ciberseguridad de Europa estimula la cooperación activa entre las partes interesadas en la ciberseguridad de los Estados miembros con las instituciones y agencias de la UE mediante el intercambio de conocimientos, la creación de capacidades y la sensibilización [1].
Por otro lado, INCIBE ha sido designado como Centro de Coordinación Nacional (NCC-ES) en España del Centro Europeo de Competencia en Ciberseguridad (ECCC). Este centro es una iniciativa europea que se enmarca dentro de las políticas europeas en ciberseguridad y que tiene como objetivo crear un ecosistema industrial y de investigación sobre ciberseguridad interconectado a escala de la UE, mejorando la cooperación entre las partes interesadas para hacer el mejor uso posible de los recursos y conocimientos técnicos [2].
También tengamos en cuenta que el CCN-CERT creó la Red Nacional de SOC (RNS), plataforma que integra a todos los SOCs del territorio nacional, ya sean públicos o privados [3].
J.C.: Los clientes tienen que analizar información y tomar decisiones en base a diferentes fuentes, herramientas y proveedores. La estrategia de Microsoft, desde hace un tiempo, es crear herramientas neutrales que permitan trabajar con cualquier tecnología, esté en otro proveedor Cloud o en on premise en el cliente. Microsoft Fabric, por ejemplo, es una solución que facilita la integración y cooperación de datos independientemente del origen de los mismos.
A partir de aquí podremos pedir a nuestro “copiloto” que nos procese esa información para trabajar de forma unificada. Los partners también están haciendo una labor increíble ayudando a los clientes a adoptar todas estas recomendaciones de fabricantes y organismos como ejercicio de capacitación para la adopción de la IA. No todos los clientes están preparados para poder implementar inteligencia artificial sobre sus datos.
S.P.: ¿Qué valores consideráis fundamentales en vuestros roles como líderes? ¿Cómo se puede mantener un equilibrio entre la presión del negocio y la preservación de un liderazgo ético y orientado a las personas?
S.L.: Como bien dices Sonia, la ética profesional es uno de mis valores fundamentales, no solamente como persona sino como representante de la empresa para la que trabajo. La voluntad es otro punto importante, para la consecución de objetivos, trabajando en equipo, desde el management a tu equipo.
Innovación y aprendizaje sobre el uso de nuevas tecnologías y cómo aplicarlas al negocio, ayudando a los clientes y partners en su implementación.
J.C.: Con la velocidad de vértigo a la que evoluciona y aparecen nuevas tecnologías, es fundamental tener una buena planificación, una hoja de ruta clara y mucha capacidad de adaptación al cambio. Lo que antes era a medio plazo, ahora se ha convertido en muy corto plazo. Y las decisiones sobre estrategia en tecnología que antes podían durar varios años ahora es probable que solo valgan para un proyecto concreto.
La tecnología y, en especial, la inteligencia artificial, ha llegado para ayudarnos a ser más productivos. Es fundamental que como líderes ayudemos a las personas a que adopten estas herramientas de la forma más rápida y eficiente posible. La presión de negocio también evolucionará al mismo ritmo y aparecerán nuevos retos que solo será posible afrontar, si hemos trabajado previamente en las personas.
S.P.: Fuera del trabajo, ¿cuáles son vuestras pasiones o hobbies? ¿Cómo creéis que estos intereses personales influyen en vuestro estilo de liderazgo y enfoque hacia los retos profesionales?
S.L.: Me considero una persona con mucha iniciativa y ganas de hacer que las cosas salgan y salgan bien. La positividad es uno de mis rasgos fundamentales, aunque siempre con los pies en la tierra. Me encanta seguir aprendiendo y recientemente he descubierto una pasión: la comunicación de tecnología, tanto como portavoz de mi empresa como en general y, por ello, me he unido a los grupos de Women4Cyber - Spain y WOMCY para EEUU, Latinoámerica y Caribe.
Me encanta aprender de forma continua viendo cómo mejorar, trabajando con personas de todo el mundo y espero en un futuro poder ayudar a aquellos que no tienen acceso a estas herramientas o no saben cómo usarlas poniendo a su disposición charlas presenciales o webinars.
J.C.: Siempre me ha gustado la divulgación, participar en eventos, formar a gente, asesorar a empresas y ayudar aprovechando mi experiencia y conocimiento en tecnología.
Desde hace tiempo trabajo en capacitación de personas que no están tan cerca de la tecnología, como podemos estar nosotros, para evitar que se queden fuera de este tren de la IA y ciberseguridad. Hace dos años que colaboro con entidades sin ánimo de lucro para llevar la adopción de la tecnología a ese tercer sector donde tanto podemos ayudar. No solamente para uso interno sino también como valor añadido en los proyectos que ejecutan las fundaciones. Uno de mis últimos proyectos ha sido la creación de la Fundación Oceánica, un proyecto para la concienciación y conservación de nuestros mares, donde uno de los pilares fundamentales es el uso de la tecnología para proyectos científicos.
S.P.: Muchísimas gracias a los dos por compartir con nosotros vuestras iniciatrivas y conocimientos
[1] https://www.enisa.europa.eu/about-enisa/about/es
[2] https://administracionelectronica.gob.es/pae_Home/pae_Actualidad/pae_Noticias/Anio2023/Octubre/Noticia-2023-10-16-nueva-plataforma-colaborativa-Centro-Europeo-Competencia-Ciberseguridad-.html
[3] https://rns.ccn-cert.cni.es/red-nacional-soc
7 Octubre 2024
