Rincón del CISO
Recientemente se ha publicado la tercera encuesta anual sobre los efectos de la ciberseguridad en la atención médica, realizado conjuntamente por Proofpoint y el Instituto Panemon. En este informe se puede observar como el 92% de las organizaciones de atención médica experimentaron algún tipo de ciberataque en los últimos 12 meses, de los cuales, el 69% conllevó la interrupción en la atención al paciente. Entre las organizaciones que sufrieron los cuatro tipos de ataques más comunes (compromiso cloud, ransomware, cadena de suministro y compromiso del correo electrónico empresarial o BEC), el 56% obtuvo malos resultados en atención a pacientes debido a retrasos en procedimientos y pruebas, el 53% vio un incremento en complicaciones en torno a procedimientos médicos y el 28% apuntó una subida en las tasas de mortalidad de los pacientes (un aumento de cinco puntos porcentuales respecto al año anterior). Estas conclusiones indican que las organizaciones de atención médica siguen luchando por mitigar los riesgos que los ciberataques representan para la seguridad y el bienestar de los pacientes. Este estudio, en el que han participado 648 profesionales de seguridad y tecnología de la información en organizaciones de servicios médicos de Estados Unidos, detecta que los ataques a la cadena de suministro tienen más probabilidades de afectar la atención al paciente. Más de dos tercios (68%) de los encuestados contaron que sus organizaciones sufrieron un ataque contra sus cadenas de suministro, de los cuales un 82% dijo que interrumpió la atención al paciente, un 77% más que en 2023. BEC lidera el grupo de ataques con mayor probabilidad de dar malos resultados debido a retrasos en procedimientos y pruebas (69%) seguido del ransomware (61%), que también podría resultar en estancias más prolongadas (58%) y un aumento en el número de pacientes desviados o transferidos a otras instalaciones (52%). “Nuestro tercer informe anual se ha realizado para determinar si la industria sanitaria está progresando en reducir riesgos de ciberseguridad centrados en el ser humano e interrupciones en la atención al paciente”, explica Larry Ponemon, presidente y fundador del Instituto Ponemon. “Por tercer año consecutivo, encontramos que los cuatro tipos de ataques analizados muestran un impacto negativo directo en la seguridad y el bienestar del paciente. La buena noticia, sin embargo, es que el sector de la salud parece reconocer cada vez más la importancia de la ciberseguridad en los resultados de pacientes: de media, los presupuestos de TI han aumentado y menos profesionales indican que este aspecto es un desafío para evitar que la postura de ciberseguridad de su organización sea completamente efectiva”. Otros hallazgos clave del informe son: Los pagos de ransomware aumentan, a pesar de que las preocupaciones al respecto han bajado: más de la mitad (54 %) de los encuestados cree que sus organizaciones son vulnerables o muy vulnerables a un ataque de ransomware, respecto al 64% en 2023. Aquellas organizaciones con ataques de ransomware (59% de los encuestados) sufrieron un promedio de cuatro ataques de este tipo en los últimos dos años. Si bien menos organizaciones pagaron el rescate (36% en 2024 frente a 40% en 2023), el rescate pagado aumentó un 10% hasta una media de 1.099.200 dólares en comparación con los 995.450 dólares del año anterior. Las aplicaciones móviles inseguras y los compromisos cloud o de cuentas se consideran las mayores ciberamenazas para las organizaciones de atención médica: las preocupaciones en torno a las aplicaciones móviles inseguras (eHealth) han aumentado hasta convertirse en la principal amenaza de seguridad en la atención médica, subiendo del 51% en 2023 al 59% en 2024. El compromiso cloud/cuenta fue la segunda mayor inquietud (55%); y la mensajería de texto fue la herramienta de colaboración más atacada (61%), seguida del email (59%). En cambio, las empresas están menos preocupadas por los dispositivos móviles de empleados o BYOD. Se necesitan más avances para reducir el riesgo interno: más de nueve de cada diez organizaciones encuestadas tuvieron al menos dos incidentes de pérdida o exfiltración de datos que involucraron información sensible y confidencial en los últimos dos años. El 51% dijo que un incidente de pérdida o exfiltración de datos afectó la atención al paciente; de ellos, el 50% experimentó mayores tasas de mortalidad y el 37% tuvo retrasos en procedimientos y pruebas que desembocaron en malos resultados. En los últimos dos años, las organizaciones sufrieron un promedio de 20 incidentes de este tipo con los empleados como causa principal. Su negligencia por no seguir las políticas (31%), la pérdida accidental de datos (26%) y los empleados que envían información de identificación personal o información de salud protegida a un destinatario no deseado por email (21%) fueron los tres principales conductas que motivaron los ataques. La falta de un liderazgo claro es un problema creciente y una amenaza para el posicionamiento en ciberseguridad de la sanidad: mientras que el 55% de los encuestados afirma que la falta de experiencia interna de sus organizaciones es el principal impedimento para lograr una postura de ciberseguridad sólida, el desafío que supone la ausencia de un liderazgo claro aumentó significativamente desde 2023 del 14% al 49%, y la falta de presupuesto disminuyó del 47% al 40% en 2024. Los programas tradicionales de formación en seguridad basados en el cumplimiento se están quedando cortos: los empleados negligentes suponen un riesgo significativo para las organizaciones sanitarias. Aunque más organizaciones (71% en 2024 frente al 65% en 2023) están tomando medidas para abordar el riesgo de la falta de concienciación de los empleados sobre las amenazas de ciberseguridad, ¿son eficaces para reducir los riesgos? Casi tres de cada cinco encuestados (59%) indican que llevan a cabo programas regulares de formación y concienciación. IA y aprendizaje automático en sanidad: por primera vez, se analizó el impacto que la IA está teniendo en la seguridad y la atención al paciente. Más de la mitad (54%) de los encuestados asegura que sus organizaciones han integrado la IA en la ciberseguridad (28%) o la han integrado tanto en la ciberseguridad como en la atención al paciente (26%). El 57% de estos encuestados considera que la IA es muy eficaz para mejorar el posicionamiento de ciberseguridad de las organizaciones, y más de un tercio (36%) utiliza la IA y el aprendizaje automático para comprender el comportamiento humano.
24 Octubre 2024
Rincón del CISO
Federico Flórez, Consejero Independiente, entrevista a Cristina Pitarch, General Manager EMEA de Google. Federico Flórez: Qué placer poder entrevistarte Cristina. Para empezar, explícanos, ¿cuál es tu posición, tu responsabilidad, a qué te dedicas? Cristina Pitarch: Yo llevo el equipo de ciberseguridad de Google Cloud para EMEA (Europa, Oriente Medio y África). Tenemos un equipo grande de profesionales por todo este territorio que se dedican a intentar llevar las enseñanzas y la forma que vemos de tratar la ciberseguridad, ayudar, compartir, educar desde Google Cloud. F.F: Muy bien. Seguro que en tu carrera has atravesado muchos momentos críticos o situaciones estresantes. ¿Nos puedes decir algún momento desafiante que hayas atravesado y cómo lo afrontaste? C.P: Yo fui la primera persona del equipo de Google en Europa. Cuando empezó el equipo en Estados Unidos y de repente me llamaron a mí para que yo empezara en Europa, yo estaba sola y empecé por España, que era territorio conocido. Empecé hablando de la situación con los CISOs y con los CEOs para ver qué es lo que veían ellos y su perspectiva. Me llegó de todo, muchas respuestas muy variadas, algunos negaban haber sufrido ataques de ninguna clase. Creo que en estos últimos cinco años se ha hecho una labor muy grande de educación y de conciencia. En ese momento fue muy complicado convencer a muchas personas, no aquellas que se encontraban dentro del mundo de la seguridad, porque todos nosotros sabíamos lo que estaba pasando, sino aquellas que se encontraban fuera, convencerles de que tenían que echarle un ojo. El primer año fue duro. Mucho “carretera y manta” y muchas miradas raras. Ahora ya la gente es mucho más consciente, esto no ha sido cosa solo de nosotros, sino de conciencia general. F.F: Sí, la cultura ya se tiene en todas las empresas de todo el mundo. Y hablando de eso, un poco respecto al CISO, yo veo a un ejecutivo de mucha importancia en la compañía, un sufridor permanente, porque tiene un trabajo muy estresante y en el día a día pueden surgir posibles incendios. ¿Cómo entiendes tú el rol del responsable de ciberseguridad en una empresa? C.P: Creo que ahora mismo es uno de los roles más importantes en la empresa, como tú dices. Yo hablo con CISOs prácticamente todo el día y la verdad es que es un rol que no está muy regularizado, hay de todos tipos. Hay gente muy técnica y hay gente que está mucho más a nivel de negocio, que está un poco más focalizado en riesgo. Entiendo que se tiene que ir mucho más arriba de lo que está ahora mismo, creo que el CISO debería ser siempre alguien que se siente en la mesa de los CEOs, que esté a nivel de dirección, a nivel de decisión y a nivel incluso del Board. F.F: Y que participe en el board también, ¿no? C.P: Eso es, que esté, porque ninguna empresa va a salir adelante sin una estrategia de seguridad. F.F: Claro, yo además veo un tema de riesgo y un tema crítico, mejor que el board y el CEO estén enterados, ¿no? Yo veo que son personas muy comprometidas con un trabajo complicado. Tú contactas mucho con ellos y conoces muchos, dinos, ¿qué consejo les darías para hacer mejor su trabajo? C.P: A raíz de lo que estamos hablando, creo que el CISO cada día va a tener más relevancia, va a tener que ser parte del Board, va a tener que ser parte de la presidencia y va a tener que estar comunicándose con el CEO constantemente. Sin embargo, seguimos teniendo un lenguaje que no es entendible por todo el mundo. F.F: Es un lenguaje muy técnico, ¿no? C.P: Muy técnico y muy complicado. Realmente estos mensajes deben lanzarse muy rápidamente, entonces hay que transmitir la información de manera clara y entretenida, que se entienda fácilmente. Además, tiene que ser algo que al final sea memorable también, ¿no? Ya no estoy hablando de asustar, pero existe una labor de educación en comunicación en el mundo del CISO. F.F: Yo creo que es fundamental, porque si no, las personas desconectan y no les escuchan. A lo largo de los años yo he dado varios cursos de técnicas de comunicación, porque he estado obsesionado con que me entendieran los otros ejecutivos y siempre he tenido cuidado de no hablar mucho de tecnología para que no desconectaran. Creo que esto es un buen consejo que podemos dar, ¿no? C.P: Es una formación continua, yo creo que lo tenemos que hacer todos. Al final comunicando es como vamos a lanzar los mensajes, cómo avanzamos. Nos dedicamos a formarnos técnicamente al nivel más alto, pero muchas veces nos olvidamos de lo que llaman soft skills. Que son muy importantes. F.F: Actualmente no hay entrevista, artículo o revista que no hable de Inteligencia Artificial, ¿no?. Es algo que está teniendo un impacto tremendo en todo. En el entorno de la ciberseguridad concretamente, ¿cómo crees que va a impactar? C.P: Creo que está impactando para bien, porque al final la inteligencia artificial nos está dando más herramientas a los que defendemos, que a los atacantes. La inteligencia artificial funciona con datos, y cuanto más datos, mejor funciona. Al final los datos los tenemos nosotros, los que nos estamos intentando defender. Tenemos muchísima más cantidad de datos que ellos, con lo que nos sitúa en una posición de ventaja respecto a los que están atacando. Ellos no disponen de esa cantidad de datos masiva a la que nosotros sí tenemos acceso. Por esto, creo que estamos avanzando más rápido en técnicas de defensa que en técnicas de ataque. Obviamente, se está haciendo una labor de prevención. Tenemos que ser muy conscientes de las posibles cosas que nos vamos a encontrar en el futuro. Nosotros tenemos muchos informes y reportes de predicción. Esto es lo que vamos a ver en la segunda parte del 2024 y demás. Todos estamos hablando de ese tema. Con la Inteligencia Artificial, hay determinados ataques que van a mejorar. A partir de ahora, esos intentos de phishing van a tener una gran técnica y no los vamos a poder diferenciar tan fácilmente. Lo mismo con los vídeos de personas y con las voces. El hecho de que te llame alguien haciéndote pasar por tu jefe con un software modulador de voz con IA y te diga: “saca cuatro mil millones de la cuenta”, ya está pasando. Son nuevas maneras, pero seguimos hablando de lo mismo. Lo más importante es la educación, estar al tanto de lo que ocurre, tanto en empresas como en el público general. Hay que saber que estas cosas te pueden pasar y, nos falta muchísima labor de educación en ciberseguridad porque creo que asusta. F.F: Sí, la cultura es muy importante, se debe conseguir que todo el mundo esté concienciado y que sepa los riesgos que hay. Eso hay que hacerlo permanentemente en la empresa. C.P: Totalmente. Lo mismo ocurre con la Inteligencia Artificial. Lo que pasa es que todas estas alertas son masivas, ahora mismo estamos todos hasta arriba de ver alertas, se pueden ver muchísimo más rápido y se pueden clasificar muchísimo más fácil. Con eso se soluciona una parte del problema que tenemos de encontrar a gente especializada. Quizás esta labor ya se puede hacer desde unos perfiles que no son tan especializados, porque la Inteligencia Artificial va a hacer que esos reportes sean más fáciles de entender. F.F: Sí, además el talento es un tema crítico, va a haber escasez de talento. C.P: Creo que hay 38.000 posiciones abiertas en Europa de ciberseguridad. Y este número está subiendo. F.F: Increíble. Hablando un poco de otro tema, yo he dado una charla en la que había un CEO en la audiencia que me dijo que la responsabilidad de la ciberseguridad no es del CISO. El CISO es la persona que está ahí para gestionar un poco, pero la responsabilidad es del Comité de Dirección. Por lo tanto el CEO es el que tiene que coger la bandera, porque hay que poner medios y recursos. Hay que cambiar procedimientos, ya que hay riesgos asociados que pueden alterar la compañía. ¿Tú cómo ves eso? ¿Dónde ves tú que está la responsabilidad de ciberseguridad y qué rol le das al CEO, al Comité o al Consejo incluso? C.P: Creo que es una responsabilidad compartida. Si el comité y el CEO no tienen esa responsabilidad, por mucho que el CISO esté advirtiendo del peligro, no va a pasar nada. ¿Qué pasa cuando sufren un ataque en términos de reputación, con pérdidas económicas? Un CEO que no tiene como misión el hacer más segura su empresa, no está haciendo la función correctamente. Yo cuando veo objetivos de un Board, si no veo seguridad en el número 1 o el número 2, ya estoy poniendo alertas. F.F: Sí, yo creo que todavía queda un camino en eso. Como estamos acostumbrados siempre a definir un responsable para una función, y el CISO es el responsable, parece que nos quedamos tranquilos con eso. Y luego respecto al CEO, como es un tema técnico y que el Board no entiende muy bien todavía, quizás es más fácil alejarse, al tener al responsable ahí. Si algo sucede mal, se tiene la mentalidad de que el responsable es el que no ha sido capaz de hacerlo y nosotros estamos encima pues viendo un poco los riesgos. Yo creo que queda camino por hacer y que el Board y el Consejo deben entender que tienen una responsabilidad grande sobre esto. C.P: Es lo que estábamos hablando al principio, hay que meter a los CISOs dentro de ese entorno, hay que tenerlos siempre en el Comité de Dirección. Y si no, siempre hay que tener a alguien que entienda un poco por qué es una prioridad. Si no se actúa así, se puede hundir cualquier empresa en cualquier momento. F.F: Y en ese sentido, a la hora de trabajar en este tema, ¿tú qué capacidad crees que es más importante dentro de una compañía? ¿Anticiparse los riesgos? ¿Prevenir incidentes? ¿Detectarlos a tiempo? ¿Responder, resistir? Hay muchas formas de enfocar este tema. Tú que eres una experta, ¿cuál consideras que es la capacidad más importante? C.P: Yo creo que tenemos que cambiar un poco el hecho de estar siempre buscando la mejor defensa. Nosotros sabemos que la mejor defensa es un buen ataque, como buenos fans del Atlético de Madrid. Pero en este momento, en términos de ciberseguridad, creo que hay que mirar siempre la seguridad primero, antes de cualquier plan estratégico. Nosotros cuando miramos un plan de mercado, siempre preguntamos primero: “¿has pensado en seguridad?”. Si lo que estás haciendo es planear esa reacción, ya estás llegando tarde. Es muchísimo más difícil reaccionar una vez que algo ha pasado, en vez de ir pensando en situaciones que te pueden pasar. La seguridad siempre es lo primero. F.F: Un tema, en mi trabajo de Consejero estoy en tres compañías, y allí la responsabilidad del Consejo es mirar por la empresa, velar por su solvencia, que no haya riesgos… Los Consejos son amigos de cumplir la regulación, entre otras cosas, porque es obligatorio y además son prácticas que pueden ser pesadas, pero están cubriendo riesgos en la compañía. La regulación es algo que es complejo, impone nuevas formas de trabajar, tiene mucho procedimiento y mucho control. El CISO lo va a sufrir porque la regulación que viene a nivel europeo, quizás sea más estricta que la de Estados Unidos. También quiero conocer tu visión, ¿cómo ves la regulación? ¿Lo ves como un impedimento? ¿Lo ves como algo burocrático? ¿Realmente tiene sentido que los organismos públicos estén tratando de regular esto? ¿Cuál es tu opinión sobre esto? C.P: La regulación es necesaria. Volviendo al tema de la Inteligencia Artificial, necesitamos regulación y necesitamos que la Unión Europea se anticipe a todo lo que puede pasar. Eso sí, creo que la regulación siempre tiene que ayudar a los que se están defendiendo. Porque si los que se están defendiendo están tan regulados que no pueden defenderse, entonces al final esa regulación no está cumpliendo la función que tiene, que es hacer la vida más fácil o hacer las cosas más justas. Entonces, es un problema que tenemos muchas veces, quien hace la regulación muchas veces no entiende en gran medida sobre lo que está regulando. Los reguladores también tienen que estar al tanto de cuáles son las últimas tecnologías, saber qué es lo que está pasando y sobre todo hablar con los CISOs. ¿Qué es lo que nos está impidiendo hacer nuestra labor?. Porque sí, a veces esa labor es pesada, a veces es tediosa, pero creo que muchos entendemos por qué ciertas leyes están ahí. Ciertas cosas limitan esa función que tenemos, o nos paralizan en cierta manera, o no podemos ir tan rápido como queremos. Entonces ahora sí que es un momento clave, porque todo está cambiando. ¿En el año y medio que viene va a cambiar mucho más?. Porque yo creo que sí. F.F: Sí, sin duda. Yo creo que viene un cambio tremendo y un cambio de paradigma y va a cambiar mucho la gestión de las empresas con estos temas. A mí me gusta seguir los casos de ciberseguridad que ocurren en las empresas. Me gusta ver buenas prácticas, por aprender también, ¿no? ¿Tienes algún ejemplo en el que se ha actuado bien y de la forma correcta?. ¿Algún incidente grave en alguna compañía que hayas detectado y que hayan hecho algo bien?. ¿Cómo ves tú que hay que hacer esto?. ¿Hay que comunicar?. ¿Hay que hablar con las entidades públicas?. ¿Hay que callarse?. ¿Tiene que salir el CEO allí a anunciarlo públicamente?. ¿O hay que poner una persona o un Comité?. ¿Cómo ves tú este tema? C.P: Yo creo que esta batalla sólo la ganamos todos juntos. Para mi gusto hay que comunicar, hay que ser muy abierto y hay que ayudarse los unos a los otros. Y es algo que yo veo que ha hecho muy bien el sector financiero en España, en el que no hay competencia en términos de ciberseguridad. Es un sector en el que están colaborando los unos con los otros, hablan todos juntos, y creo que es algo que todos los sectores deberían tener. F.F: Yo creo que en el sector financiero es muy importante la disponibilidad del dato. Esto es algo que se han tomado muy en serio, y efectivamente, han dado los pasos correctos hacia delante, y tratan de controlar el riesgo de que las líneas de defensa estén muy bien definidas. Es un sector que ha dado un paso adelante, desde luego yo creo que en otros sectores quizás este tema está un poco peor. C.P: Sí, a los sectores más tradicionales creo que todavía les falta eso. Sabemos que todo el mundo va a tener un ataque en algún momento, lo importante es cómo vas a reaccionar. Hay que comunicar y hay que compartir cómo se ha solucionado, qué técnicas se han usado y discutir en foros. F.F: Voy a aprovechar, ya que tú tienes experiencia y responsabilidad sobre EMEA. En España el nivel de ciberseguridad, mirando comparativamente a otros países europeos desarrollados con los que competimos, ¿cómo crees que estamos?. ¿Por encima o por debajo?. Teniendo en cuenta que siempre hay que mejorar, pero ¿cómo ves a las empresas españolas en esto?. C.P: Creo que como profesionales, España se puede comparar con cualquiera. El nivel de profesional en España es increíble, tanto dentro de la empresa, como en los profesionales de ciberseguridad. Son gente que sabe muchísimo, que comparte y además estamos a tope. Si me hablas a nivel CEO y a nivel Board, ahí estamos dos años por detrás en términos de conciencia de ciberseguridad. F.F: Dos años por detrás de otros países es preocupante ¿no? C.P: En el tema del que estamos hablando ahora, tendemos a ser conservadores en ese sentido. Si comparas con Inglaterra, con Francia, con Alemania… Ahí sí que estamos por detrás. F.F: En cambio a nivel de talento, sí nos ves en primera división. C.P: Primera y en división de honor o sea, a nivel de talento, de ganas y de interés, nos veo prácticamente a nivel de cualquiera. Tenemos muchos profesionales a los que yo pondría en mi lista de los primeros 50. F.F: Has mencionado antes las posiciones que hay abiertas en ciberseguridad, y hay un montón. A nivel España, ¿estamos bien de talento o tú crees que vamos a tener que importar talento de fuera para cubrir las necesidades que tienen las empresas españolas?. C.P: Ahora mismo no se encuentra suficiente talento en España. La Universidad de Málaga está haciendo algunos programas para formar a ciberseguridad. Nosotros, en Google, también estamos dando becas, pero no va a haber suficiente. Yo siempre digo a todo el mundo que si tienen hijos en la Universidad, les animen al sector donde no va a haber paro en los próximos años. No estamos hablando solo de gente súper técnica, se necesita gente de todo tipo. También se necesita un perfil gestor, que es un sector tan apasionante que realmente animaría a todo el mundo. Necesitamos gente, hay muchísimo trabajo. Se va a necesitar mucha más gente en el futuro. Hay muchísimas posibilidades de formarse y sí que creo que España tiene ese tipo de formación que puede crear a los mejores. F.F: Muchísimas gracias por esta entrevista, Cristina, he aprendido un montón y me lo he pasado muy bien. C.P: ¡Muchas gracias a ti!
24 Octubre 2024
Rincón del CISO
El reglamento DORA, que afecta principalmente a bancos y compañías de seguros, será de obligado cumplimiento en enero del próximo año, mientras que NIS2 amplía a partir del próximo mes de octubre el alcance de las normas de ciberseguridad de la UE a nuevos sectores y entidades para mejorar la capacidad de respuesta a incidentes. Sin embargo, pese a que la entrada en vigor de estar normativas afecta a todas las organizaciones de la UE, industriales y no industriales, incluidos sus proveedores, solo un tercio de ellas (34%) afirman haber completado los preparativos para garantizar su cumplimiento, según un reciente estudio de Sailpoint. Tal y como explican desde Armatum, creadores de la primera plataforma para la cuantificación del riesgo tecnológico en España, la nueva legislación europea tiene como objetivo mejorar la ciberseguridad en todos los estados miembros de la UE y su aplicación puede derivar en importantes multas para las empresas que incumplan sus directrices. Ahora la compañía, que forma parte del grupo tecnológico español ABAI, ha reforzado su plataforma para evaluar los daños que se pueden derivar del incumplimiento de las normativas de reciente implantación, como DORA y NIS2. Inteligencia artificial para reducir los costes del cumplimiento normativo El volumen de cambios normativos continúa aumentando y un reciente análisis de Thomson Reuters destaca que la presión por los costes del cumplimiento se considera como un reto clave para los consejos de administración. Además, mientras que un tercio de las organizaciones espera que incrementen los equipos de cumplimiento y el coste de personal, las predicciones de Gartner apuntan a que para 2025, el 60% de las organizaciones utilizarán IA parar mejorar la ciberseguridad y el cumplimiento normativo, en comparación con el 20% actual. La aplicación de la IA en la ciberseguridad se posiciona así como un activo clave para reducir los incidentes cibernéticos y ahorrar en costes de cumplimiento. Según un informe de McKinsey, la implementación de soluciones de IA puede reducir los incidentes cibernéticos en un 30% en sectores regulados por DORA y NIS2. Por otro lado, un análisis de Deloitte estima que el uso de IA para el cumplimiento normativo puede reducir los costos en un 25% para las empresas del sector financiero afectadas por DORA En este contexto, la plataforma desarrollada por Armatum en 2023, que utiliza inteligencia artificial para permitir a cualquier organización medir y comunicar en lenguaje financiero su riesgo tecnológico, ha incorporado a sus valoraciones todos los riesgos de incumplir los requisitos establecidos por DORA y NIS2. Con estas nuevas actualizaciones, Armatum mejora su usabilidad y se convierte en la herramienta ideal para evaluación de riesgos, formación e información a la dirección ejecutiva, pruebas de resiliencia operativa digital y revisión periódica del riesgo derivado de terceros. Además, cumple los requisitos de Análisis de Riesgos previstos en normativas como ISO 27001, 27005, 22301, PCI-DSS e incluye un informe de resultados con una memoria económica justificativa que puede acompañar la propuesta de inversión del Plan Director de Seguridad “Esta herramienta aporta un valor competitivo diferencial, siendo capaz de identificar, auditar tu status en seguridad y comunicar los riesgos estadísticos de tu organización”, señala Manuel Carpio, director de ciberseguridad de Armatum. “La plataforma es fácil de usar y ofrece opciones de personalización para adaptarse a las necesidades específicas de cada organización”, añade.
22 Octubre 2024
Sin categoría
Logicalis, proveedor de servicios de TI, advierte sobre la inminente entrada en vigor de la nueva directiva de la UE sobre redes y sistemas de información que empezará a aplicarse el día 17 de octubre, NIS2. Precisamente, según señalan desde la compañía se plantea un desafiante escenario donde un alto porcentaje de las entidades españolas desconocen su obligación de aplicación ante esta normativa y los sistemas y soluciones para hacerla frente. “Esta directiva afecta a alrededor de 100.000 empresas, consideradas esenciales e importantes, que pertenecen a diversos sectores. Exige la implementación de manera proactiva de una serie de medidas relacionadas con la gestión y notificación de incidentes, la protección de la cadena de suministro, el intercambio de información, la divulgación de vulnerabilidades, así como programas de concienciación y formación, entre otros” explica Jesús Sánchez de Áudea. De hecho, podrían verse afectadas con multas de hasta 10 millones de euros o de hasta el 2% del volumen de negocios total anual, aquellas empresas que no se ajusten a la nueva normativa. Ante este escenario, Logicalis dispone de un equipo preparado para dar soporte y ayudar a sus clientes a cumplir con las exigencias necesarias entre las que destacan: la implementación de autenticación multifactor, controles de acceso a los sistemas y aplicaciones, sistemas de detección de amenazas, bloqueo y minimización del impacto de ciberataques, así como la habilitación de sistemas de continuidad de negocio. “Esta normativa es la más ambiciosa hasta la fecha de las diseñadas por los reguladores europeos. Para ello es necesario comprender a través de una fase de análisis los requisitos, evaluar la situación actual de cada empresa y definir las acciones a tomar. De esta forma lograremos identificar los riesgos con el fin de poner en marcha los procedimientos necesarios para fortalecer la postura de ciberseguridad” señala Jesús. También será crucial revisar el proceso de notificación de incidentes. Los más significativos deberán reportarse en un plazo de 24 horas, mientras que los menos críticos tendrán un margen de 72 horas. Por lo tanto, será imprescindible definir planes de respuesta efectivos y procedimientos claros de notificación. En esta nueva normativa se añaden requisitos de seguridad, ampliando el alcance a un mayor número de sectores, e implica más sanciones por su incumplimiento. Los requisitos a tener en cuenta serán: Diseñar estrategias de ciberseguridad eficaces. NIS2 hace hincapié en la necesidad de implicación y responsabilidad de la alta dirección en la Gobernanza. Se establecerá la autoridad o autoridades encargadas de notificar los incidentes o crisis de ciberseguridad a gran escala, de forma que se disponga de una base de datos europea de vulnerabilidades.
17 Octubre 2024
Rincón del CISO
Sophos, líder mundial en soluciones de seguridad innovadoras que derrotan a los ciberataques, publica el informe “El Estado del Ransomware en el sector sanitario 2024”, que revela un aumento en la tasa de ataques de ransomware contra organizaciones sanitarias, alcanzando su máximo de los últimos cuatro años desde 2021. De los organismos encuestados, dos tercios (67%) se vieron afectados por estos ciberataques en el último año, frente al 60% en 2023. La creciente tasa de ataques de ransomware contra instituciones sanitarias contrasta con el descenso en todos los sectores. El porcentaje global de ataques de ransomware cayó del 66% en 2023 al 59% en 2024. Junto con un aumento en la tasa de ciberataques, el sector sanitario informó de tiempos de recuperación cada vez más largos. Solo el 22% de las víctimas de ransomware se recuperaron por completo en una semana o menos, un descenso considerable respecto al 47% registrado en 2023 y el 54% en 2022. Además, el 37% tardó más de un mes en recuperarse, frente al 28% en 2023, lo que refleja la mayor gravedad y complejidad de los ataques. “Aunque hemos visto que la tasa de ataques de ransomware ha alcanzado una especie de ‘homeostasis’, o incluso ha disminuido en los distintos sectores, los ataques contra organizaciones sanitarias siguen intensificándose, tanto en número como en alcance. La naturaleza altamente sensible de la información sanitaria y la necesidad de accesibilidad siempre pondrán al sector sanitario en el punto de mira de los ciberdelincuentes. Por desgracia, los ciberatacantes han aprendido que pocos organismos sanitarios están preparados para responder frente a ellos, como demuestran los tiempos de recuperación cada vez más largos. Estos ataques pueden tener efectos dominó inmensos, como hemos visto este año con los grandes casos de ransomware que han afectado al sector sanitario y repercutido en la atención al paciente”, explica John Shier, Field CTO de Sophos. “Para combatir a estos adversarios decididos, las organizaciones sanitarias deben adoptar un enfoque más proactivo y dirigido por humanos para la detección y respuesta a las amenazas, combinando tecnología avanzada con monitorización continua para adelantarse a los atacantes”, continúa explicando Shier. Otras conclusiones del informe: Aumentan los costes de recuperación de rescates. El coste medio de recuperación en un ataque de ransomware en el sector sanitario fue de 2,57 millones de dólares en 2024, por encima de los 2,2 millones de 2023 y el doble que en 2021. Exigencias de rescate frente a pagos. El 57% de las instituciones sanitarias que pagaron el rescate acabaron pagando más que la petición original. Causa del ataque. Las credenciales comprometidas y las vulnerabilidades explotadas son el origen principal de los ataques, representando cada uno el 34% de los ataques. Copias de seguridad en el punto de mira. El 95% de las organizaciones sanitarias afectadas por ransomware el año pasado afirmaron que los ciberdelincuentes intentaron poner en peligro sus copias de seguridad durante el ataque. Mayor presión. Las organizaciones cuyas copias de seguridad se vieron comprometidas tenían más del doble de probabilidades de pagar el rescate para recuperar los datos cifrados (63% frente a 27%). Quién paga el rescate. Los proveedores de seguros están muy implicados en el pago de rescates, contribuyendo en el 77% de los casos. El 19% de la financiación total del pago de rescates procede de proveedores de seguros. El último informe de Sophos sobre experiencias reales de ransomware explora el recorrido completo de la víctima, desde la tasa de ataque y el origen hasta el impacto operativo y los resultados empresariales, de 402 organizaciones sanitarias. Los resultados de este informe sectorial forman parte de una encuesta más amplia, independiente del proveedor, realizada a 5.000 líderes de ciberseguridad/TI, entre enero y febrero de 2024 en 14 países y 15 sectores empresariales. Podrás leer el informe completo “El Estado del Ransomware en el sector sanitario 2024” en Sophos.com para obtener conclusiones globales adicionales y datos por sector.
17 Octubre 2024
Rincón del CISO
Rosa Kariger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, entrevista a María Enciso, Decana de la Facultad de Ciencias Jurídicas y Políticas de la URJC. Rosa Kariger: Soy Rosa Karinger, Directora de Análisis y Prospectiva de Seguridad de Iberdrola y Presidenta del Consejo Asesor de CyberLideria, y hoy tengo el placer de entrevistar a María Enciso, Catedrática de Derecho Mercantil, Consultora Académica en el despacho de abogados Sontiers y recientemente nombrada decana de la nueva Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos. María Enciso: Muchas gracias, Rosa. Un placer. R.K.: Enhorabuena por ese nombramiento. Quería empezar sabiendo un poquito más de ti. Cuéntanos en qué consiste tu trabajo y cuáles son los retos que tienes por delante. M.E.: Mi situación actual es desafiante. Hace un año y medio, en mi Universidad hubo una reestructuración, dividiendo una sola Facultad en cuatro. Una de ellas, la Facultad de Ciencias Jurídicas y Políticas, es la que actualmente dirijo como Decana desde hace poco más de un año. Es un reto, porque ha sido empezar a construir de cero esta facultad. Es verdad que para mí no es un mundo ajeno, porque yo ya he ostentado cargos en la Universidad, en la Facultad de Ciencias Jurídicas y Sociales en concreto. Ahí fui Vicedecana durante cuatro años y estuve durante seis años como Secretaria Académica de la Facultad. La verdad es que yo ya había olvidado la idea de volver al cargo de gestión en la Facultad o en la Universidad. Como delegada de las Relaciones con la Sociedad de las Empresas, ayudaba al Rector a dar visibilidad a nuestra Universidad, a llevarla al mundo empresarial y a la realidad profesional. Posteriormente me plantearon la posibilidad de dar el paso de presentarme a las elecciones a Decana, y dije que sí. No lo pensé dos veces, me parecía que era un reto apasionante por la novedad de la Facultad, por el cargo nuevo y porque estaba en un momento profesional óptimo para poder encarar esta responsabilidad. Era el momento de culminar esa fase de la vida profesional con ese cargo de Decana, que para mí es un orgullo, un honor y un reto desafiante y apasionante, como todo lo nuevo que se encara en la vida. R.K.: Sin duda, enhorabuena María por ese nombramiento. La verdad es que sí que tienes un reto importante por delante. Sabes que aquí no queremos hablar solo de ciberresiliencia, sino de resiliencia en general. Estoy segura de que a lo largo de tu vida profesional también has tenido otros retos relevantes. ¿Hay alguno que quieras compartir con nosotros, especialmente? M.E.: Bueno, la carrera académica en sí misma es una carrera de resiliencia total, de resistencia, de encarar los problemas, de caerte y levantarte ante las dificultades. La carrera académica es muy incierta, nada está hecho y nada está dado. Se necesita un equilibrio mental muy importante para poder encarar los desafíos. El primer desafío es la propia decisión de dedicarte a la Universidad, y posteriormente, cuando se acaba la carrera tiene lugar otro desafío, ya que muchas veces no se sabe a qué se debe dedicar uno en la vida. Yo fui una estudiante brillante, pero es verdad que todas mis matrículas de honor quizás se debían a un estudio memorístico y no tanto reflexivo o de razonar. El primer desafío es elegir qué estudiar. En mi caso, mi padre es Catedrático de historia, por lo que el mundo universitario me era muy familiar. También es verdad que siempre dije que nunca me dedicaría a lo que hace mi padre, pero aquí estoy. En un momento dado me crucé con mi maestro, quien me dirigió la tesis doctoral y me puso las cosas muy difíciles. Me dijo que la carrera iba a ser un proceso largo y de fondo, en el que se presentan muchos obstáculos. Yo salí de aquel despacho, llamé a mi padre y le dije que yo lo veía claro, que esto era lo que quería hacer y a lo que me iba a dedicar. Cuando le comenté a mi maestro mi meta de ser Catedrática, tras él haberme advertido del duro camino que esto supondría, se convirtió en una realidad. Adentrarme en este viaje fue mi gran reto, pero vi claro que esa era mi carrera y que yo iba a acabar siendo Catedrática, pesara a quien pesara y tuviera que hacer lo que tuviera que hacer. A lo largo de mi vida profesional ha habido muchas tentaciones de dedicarme al mundo profesional en vez de al mundo académico, ya que yo trabajé con Julián Martínez Simancas en el Banco Central Hispanoamericano, donde tuve la gran oportunidad de trabajar con un grandísimo profesional como él y observar todos los aspectos positivos del mundo profesional frente a las adversidades del mundo académico. Ante esta situación, una vez más elegí este mundo, elegí terminar mi tesis doctoral y enfrentarme al futuro. R.K.: Qué importante es tener clara esa vocación... Quería preguntarte qué es lo que hace una jurista y tu opinión acerca de la ciberseguridad. Pero sobre todo ¿qué papel crees que el mundo jurídico tiene en este ámbito? M.E.: Es cierto que cuando se habla de seguridad, a mi mente vienen términos como: técnicos, ingenieros, algoritmos, inteligencia artificial, blockchain, datos, peligro, ciberataques… Pasando también al pensamiento de “cuidado con mi cuenta bancaria que está en mi móvil”. R.K.: Claro, al final todo se reduce a tecnología y miedo, ¿no? Es un poco lo que estamos viendo, la combinación de esas dos cosas. M.E.: Tecnología y miedo, efectivamente. Ese es el perfecto resumen de las primeras sensaciones que tuve cuando me aproximé a este mundo. R.K.: ¿Dirías que el sector jurídico está relacionado con la tecnología o estas dos cosas no tienen mucho que ver? M.E.: Bueno, yo creo que sí que tienen una conexión, van de la mano completamente. No se puede trabajar en el sector jurídico sin la tecnología pase lo que pase, es algo que vemos todos los días en este ámbito. R.K.: Estamos de acuerdo en que la tecnología lo impregna absolutamente todo. Es un verdadero cambio en la sociedad que nos invita a realizar una reflexión, porque tenemos una legislación, que se desarrolló en su mayoría en una época en la que la sociedad era completamente distinta. Por esto te quiero hacer una pregunta, ¿cómo está transformando la tecnología esa interpretación de la legislación que tenemos? M.E.: Bien, en la actualidad hay una gran cantidad de personas que piensan que la seguridad es sinónimo de poca flexibilidad y poca libertad, siendo algo que nos obliga a realizar un sacrificio constante. Esta visión es errónea. Como decimos en derecho, el bien jurídico protegido ha cambiado completamente y este es un cambio al que nos adaptamos progresivamente. En la sociedad de hoy ya no realizamos contratos tan simples como una compraventa. Ya no compramos y vendemos pisos, zapatos o empresas, por ejemplo. Ahora compramos y vendemos tecnología y bienes inmateriales intangibles. Esta realidad es algo que afecta a toda la sociedad en general y es algo que el sector jurídico no puede ignorar. Además, es algo que puede suponer una amenaza grande para aquellas empresas que no se adapten y que no implementen procesos que protejan tanto a sus empleados como a sus consumidores. R.K.: En mi opinión, el problema que tenemos es que la ciberseguridad se enfoca desde esa visión técnica de aquellos que tienen la experiencia, que son los responsables de ciberseguridad. Sin embargo, al final la tecnología lo impregna todo, cambia la sociedad en gran medida, y esto es algo que necesitamos reflexionar. También lo estamos viendo con la nueva regulación que viene y las mayores responsabilidades que se le están dando al Consejo de Administración de las Empresas. Desde el punto de vista de la gobernanza, los jurídicos tienen un papel importante. Tenemos que tener en cuenta a la mayoría de los Secretarios de los Consejos de Administración, como por ejemplo, antes has nombrado a Julián Martínez Simancas, que ha sido el Secretario del Consejo de Iberdrola durante muchos años y que, desde luego, me consta que le ponía mucha importancia al tema de la ciberseguridad y que estuviese en la agenda del Consejo. ¿Cómo ves que está evolucionando esa visión que tiene que haber en los órganos administradores de este riesgo tan importante? M.E.: Para mí, el derecho con carácter general tiene un papel fundamental en la configuración de todas las políticas y las normativas que regulan esta área tan sensible. Para mí la ciberseguridad y la ciberresilencia significa garantizar que nuestras estructuras legales estén preparadas para proteger y responder eficazmente a los incidentes de seguridad digital, manteniendo la confianza y la integridad de nuestras instituciones públicas y privadas. Evidentemente, esta cuestión incide directamente en la configuración de los nuevos deberes del órgano de administración dentro de ese marco, además de en el ámbito de las sociedades cotizadas y de las pymes. Los órganos de administración deben tomar conciencia de que la ciberseguridad no es solamente un problema del departamento de IT, sino que es una cuestión crítica de la sociedad, porque comporta evidentemente riesgos que pueden tener un elevadísimo impacto. Este impacto no incide solamente en su propio negocio y en su propia reputación, sino también en los bienes y derechos de terceros y de clientes. Todo esto se refleja en un cambio de paradigma en esa posición jurídica que tienen, en esos deberes y responsabilidades de los órganos y consejos de administración. Estos consejos de administración están ya creando comités específicos dentro del propio consejo. En otros casos lo asumen en los comités de auditoría, donde residen y descansan todas estas políticas de protección, de implementación y de supervisión de las políticas de seguridad en las empresas. R.K.: Efectivamente, yo creo que ya por lo menos es un tema que está en la agenda, pero tengo la sensación de que sigue estando con esa visión de tecnología y miedo. ¿Hasta qué punto crees que los consejos realmente son conocedores del riesgo que están asumiendo en sus empresas? ¿Tienen esa capacidad de interpretarlo y de tener esa información? M.E.: Yo creo que estamos ante un gran reto, el reto de la ciberseguridad en el ámbito societario. Creo que ya en los departamentos tecnológicos lo tienen muy claro. R.K.: Esperemos M.E.: Al menos presumo que debería ser así, pero es verdad que en el ámbito societario todavía las cosas están en ciernes. Yo creo que los administradores tienen que asumir que tienen un importantísimo papel en el control de riesgos, que es una manifestación muy relevante del deber de diligencia que se les atribuye. Los administradores de una sociedad tienen un doble deber, de diligencia y de lealtad. El deber de diligencia en la gestión de la actividad donde se encuadrarían estos importantes deberes de afrontar esta realidad, los órganos de administración y la ciberseguridad, ya que no hay que olvidar que cada vez cobra más relevancia. Sus quiebras causan daños muy importantes. Por eso es relevante que los órganos de administración tengan muy claras las políticas, sus deberes y sus responsabilidades, para proteger a la empresa, a los clientes y a la sociedad en general. R.K.: Y en ese sentido, para cumplir ese deber de diligencia, los órganos de gobierno nombran un responsable de ciberseguridad, un CISO. Normalmente tiene un papel complicado, porque se le pide que cree una especie de “escudo mágico” que proteja a la compañía de todo mal, pero por otra parte la ciberseguridad también supone un coste y hay que defender muy bien esas inversiones. Estamos viendo que el diálogo que debe existir entre esos órganos de administración, tanto Consejo de Administración como Comité de Dirección y los responsables de ciberseguridad, no es siempre tan fluido como debería ser o como nos gustaría. ¿Qué crees que podría hacer un responsable de ciberseguridad para conseguir transmitir mejor el mensaje y conseguir el apoyo necesario de la organización? M.E.: Bueno, yo creo que efectivamente todo arranca de lo mismo, de esa separación entre lo que son los departamentos de seguridad, los departamentos de tecnología y el órgano de administración o el gobierno corporativo de las empresas. Se tiene la sensación de que el órgano de gestión y de administración solo se ocupa del desarrollo de la actividad, de que hay que vender. Sin embargo, dentro de ese desarrollo de la actividad empresarial, la seguridad ahora va implícita. Con todos estos temas se puede causar tanto daño que puede llevar a la desaparición del negocio completamente, por eso la relación entre los responsables de ciberseguridad y los responsables de la gestión de la empresa tiene que ser muy fluida. Tienen que ser colaboradores, no mirarse entre ellos como si uno fuera el contrincante o el que viene a fastidiar y avisar de tanto riesgo, ya que aquí no se puede hacer nada, porque todo tiene peligro. Yo creo que los responsables de ciberseguridad o de seguridad en general tienen que concienciar a los directivos, al órgano de administración de las empresas. Además es fundamental que el órgano de administración o la dirección general esté abierto a la comprensión de esta nueva realidad que ya está aquí, que ha venido para quedarse. R.K.: A veces tenemos un problema de lenguaje, porque en ocasiones todo lo enfocamos con esa visión de que el responsable de ciberseguridad viene a hablarnos de tecnología y miedo, cuando lo que viene es hablarnos de negocio. En la empresa estamos todos en la misma situación, lo que tiene que hacer es cumplir su objetivo y sus obligaciones. M.E.: Claro, por eso decía antes, cuando se dice “seguridad”, la gente piensa: “qué horror, perdemos libertad, se van a meter en todo lo que hacemos, no van a dejarnos vender de la manera que nosotros queremos vender, la expansión no es posible por las amenazas y los peligros que hay en el mundo”... Leemos todos los días noticias en la prensa sobre ciberataques, por lo que el miedo es muy grande. R.K.: Yo creo que la ciberseguridad es un habilitador. Tenemos que entenderlo de esa manera para que seamos capaces de hacer con los datos lo que haya que hacer para beneficio de las empresas y de la sociedad. M.E.: Claro, y sobre todo lo que hay que hacer y lo que es también esencial es la anticipación, dado que la ciberseguridad cobra cada vez más relevancia. Esto no es “el daño ya está hecho, a ver ahora qué horror”. No, esto sería: “vamos a anticipar, a prevenir y a contribuir a la protección, profundizando en las mejores prácticas de acuerdo con los más altos estándares de gobierno corporativo”, esto es esencial. R.K.: Pues ojalá vayamos por ahí. Se nos acaba el tiempo, pero de verdad, muchísimas gracias, ha sido fascinante hablar contigo. María Enciso, Catedrática de Derecho Mercantil y Decana de la Facultad de Ciencias Jurídicas y Políticas de la Universidad Rey Juan Carlos, ha sido un placer. M.E.: Muchísimas gracias a vosotros y el placer ha sido mío.
16 Octubre 2024
Rincón del CISO
José Manuel García, VP EMEA y Latam de Quantifind, entrevista a Javier Perán, Alliances Director de SS&C Blue Prism. Jose Manuel García: Javier, has construido una sólida trayectoria en el sector tecnológico. Has tenido experiencia en las compañías más importantes de la tecnología, pero también en startups. ¿Qué hitos consideras fundamentales en el camino hacia tu cargo ahora en Blue Prism? Javier Perán: Hola José, trabajar tantos años en Microsoft me permitió trabajar con compañeros muy brillantes de los que pude aprender a diario, grandes recursos y muchas oportunidades de desarrollo, aunque, a decir verdad, nunca aprendí tanto del mundo empresarial como en FIELDEAS. En una startup necesariamente tienes que aprender a hacer de todo, y en la época que me tocó vivir aquella experiencia, los casos que debatía con mi grupo en el PDG del IESE los podía luego aplicar de una forma u otra en el día a día. Sin duda otra experiencia vital que también me enseñó a estar cómodo en la incomodidad de la incertidumbre fue mi paso por el sector de energías renovables en VESTAS. Por un lado, fue muy exigente y recuerdo que al principio pasaba muchas horas formándome por mi cuenta en todo lo relacionado con el mundo de los aerogeneradores, ya que cualquier junior sabía cuestiones básicas del negocio que yo desconocía y tuve que asimilar a toda velocidad, y sin duda puedo decir que vivía de forma constante fuera de mi zona de confort. Por otro lado, fue muy enriquecedor, estábamos creando un área de negocio nueva de mantenimiento predictivo de parques eólicos, y pude contribuir a crear un producto de software en un ámbito completamente global. El equipo estaba en la India, mi jefe en Dinamarca, y teníamos clientes por todo el mundo. También he tenido la fortuna de haber tenido muy buenos mentores y haber aprendido de excelentes profesionales que en algún momento también confiaron en mí, por lo que debo mucho de lo vivido hasta hoy a su confianza y generosidad. J.M.G.: La inteligencia artificial está transformando todos los sectores. ¿De qué manera crees que afectará la rápida evolución de la IA en tu sector? ¿De qué forma podéis ayudar a vuestros clientes? J.P.: Nuestro sector vive en constante innovación, y en unos pocos años, hemos pasado de automatizar tareas sencillas (RPA), a incorporar capacidades de la IA para automatizar procesos complejos que requieren toma de decisiones, análisis de datos y adaptación a cambios en tiempo real (Automatización Inteligente), a una tercera fase actual donde todo lo anterior parece caer bajo el paraguas de la IA. Las empresas están invirtiendo en probar las capacidades de la IA como herramienta para competir, desarrollando nuevos servicios que de otra forma no se podrían ofrecer, aunque es cierto que muchas de estas aplicaciones todavía se encuentran en una fase inicial. Existe además mucha incertidumbre en cuestiones relativas al control y la gestión de los datos por lo que se están desarrollando modelos de trabajo que en breve reducirán algunas de las limitaciones o barreras hoy existentes. En SS&C Blue Prism, ayudamos a nuestros clientes a aprovechar la IA y la automatización inteligente para transformar sus operaciones. Nuestras soluciones les permiten no solo optimizar sus procesos actuales, sino también escalar y adaptarse a un entorno empresarial en constante evolución. Además, nuestras plataformas están diseñadas para ser flexibles y adaptables, lo que significa que los clientes pueden integrar fácilmente nuevas tecnologías de IA a medida que estas evolucionan, sin interrumpir sus operaciones. En resumen, les ayudamos a estar siempre un paso adelante, transformando sus desafíos en oportunidades mediante la automatización inteligente. J.M.G.: Y en paralelo con la pregunta anterior, también tendremos riesgos. En un entorno empresarial tan dinámico, ¿cuáles consideras que son los principales desafíos en la gestión de riesgos y el cumplimiento normativo a nivel global? J.P.: Destacaría dos desafíos principales, entre otros. Por un lado, la velocidad a la que surgen nuevas tecnologías y marcos regulatorios en un entorno empresarial que evoluciona rápidamente impulsado por la IA y la automatización, lo cual puede crear incertidumbre en cuanto a cómo aplicar de manera efectiva las regulaciones existentes o anticiparse a las nuevas. En este sentido, las empresas deben asegurarse de que sus sistemas de IA sean transparentes y responsables, respetando las normativas de privacidad y protección de datos, como por ejemplo GDPR en Europa. Además, las empresas deben ser proactivas en la mitigación de riesgos asociados con el sesgo en los algoritmos, la ciberseguridad y el uso ético de la tecnología. Por otro lado, destacaría el desafío que supone a las empresas multinacionales mantener la coherencia en el cumplimiento normativo a nivel global. Las diferentes jurisdicciones pueden tener normas y regulaciones que varían significativamente, lo que exige a las empresas desarrollar una estrategia de cumplimiento flexible y adaptable, que requiere monitorear continuamente los cambios regulatorios en cada región, para así garantizar que las soluciones tecnológicas que implanten no solo se ajusten a las regulaciones actuales, sino que también sean capaces de adaptarse a los nuevos requisitos a medida que surgen. J.M.G.: Hemos pasado por tiempos muy desafiantes en los últimos años. ¿Qué lecciones aprendidas podrías compartir? ¿Cómo trabajas la resiliencia en tu equipo y en la organización para estar preparados ante futuros retos? J.P.: A lo largo de los años he aprendido que lo único que no cambia es que todo cambia. Es un aprendizaje que me esfuerzo en aplicar en mi vida personal y profesional. No me permito acomodarme si la situación actual es la ideal, porque es seguro que en algún momento cambiará. Procuro centrarme en aquello que depende de mí para que cuando suceda el cambio me sorprenda con los deberes hechos, pero la vida siempre tiene sus planes. Por otro lado, saber que las cosas van a cambiar también me ayuda a gestionar mejor los momentos difíciles, ya que esto también pasará. También he aprendido a aprender como requisito para avanzar. En la vida profesional, y especialmente en nuestro sector, el suelo que uno pisa se mueve sin que uno haga nada, y sin que tampoco pueda hacer algo por evitarlo, nada más que estar preparado para cuando llega el momento del cambio. Creo que a aprender de forma constante, me han servido mucho las clases que imparto desde hace años en escuelas de negocios, lo cual me ha requerido formarme más, a documentarme mejor, y a ser siempre original. También procuro escuchar a la gente que es distinta a mí, que trabaja en otros sectores o que tiene otros estilos de vida. Me ayuda a cuestionar mis creencias y a veces a cambiar de opinión. En general, desconfío de la gente que nunca cambia de opinión y que tiene siempre todo muy claro. Para evolucionar, para crecer, hay que cambiar, hay que desarrollar nuevas creencias, estar dispuesto a romper. Por otro lado, tenemos la fortuna de contar con grandes profesionales en el equipo, que tenemos asimilado que cualquier cosa que merece la pena conseguir conlleva esfuerzo y perseverancia. Además, agradecemos abiertamente el feedback constructivo, y encajamos bien que compartamos puntos de vista contradictorios, lo cual sin duda nos hace más resilientes. J.M.G.: Como líder, ¿cuáles son los valores que más aprecias y cómo los reflejas en tu estilo de gestión? ¿Qué esperas de tu equipo en cuanto a estos valores? J.P.: Me quedo con dos valores principales: el Propósito, la Integridad. De la misma forma que yo necesito un porqué, que me dirija a dedicar tantas horas a mi profesión, creo imprescindible que mi equipo tenga también una motivación principal, una razón que por encima de todo nos mueva a trabajar en equipo, a estar alineados en nuestro esfuerzo, a no conformarnos en ningún caso con hacer únicamente lo mínimamente necesario. Creo que es muy difícil que una organización atraiga el éxito y la abundancia si en algún momento se llega a convertir en tan sólo un grupo de personas juntadas al azar, que intercambian su tiempo por dinero haciendo lo que alguien les pide. Para no llegar nunca a esa situación, se debe liderar con el ejemplo, construyendo desde las fortalezas de cada uno, para que el equipo brille, de lo mejor de sí mismo, y consiga los resultados que acabarán siendo la motivación intrínseca que cada uno necesita. También creo que en general, las buenas personas hacen buenos negocios. La abundancia se construye desde la integridad. En la vida privada y profesional, primero das y creas valor, y luego en algún momento la vida te lo devuelve, y no a la inversa. La única manera de trasmitir este valor es primero siéndolo en el día a día, en las pequeñas y grandes cosas, y segundo, rodeándote de personas íntegras en tu equipo. Creo que no contrataría nunca en mi equipo a una persona si no es íntegra, o como se suele decir, alguien que hace lo correcto, no lo fácil, también cuando nadie le mira. Hay un coste reputacional muy alto de la falta de integridad, y el fallo de uno suele penalizar a todo el equipo. J.M.G.: Cambiando de tema, por presentar también al Javier Perán de fuera del trabajo. ¿Qué hobbies o actividades disfrutas en tu tiempo libre y cómo te ayudan a mantener el equilibrio y tu bienestar personal? ¿Cómo te gusta invertir, qué consejos nos darías? J.P.: Con los años cada vez le doy más importancia a pasar tiempo de calidad con mi familia y amigos, y un buen plan de ocio o una buena mesa que compartir me parecen un plan genial. También me esfuerzo en cuidarme físicamente, por lo que hago ejercicio varias veces por semana, lo cual me ayuda casi más a nivel mental que físico. En mis fines de semana suele caber alguna actividad al aire libre, ya sea una ruta en bicicleta o por el campo, y si es en invierno, esquiando. Me gusta mucho aprender y suelo aprovechar mis paseos diarios con el perro para escuchar algún libro o podcast, y me ayuda mucho a mi bienestar personal limitar al máximo el ver la televisión o redes sociales. Siempre me ha interesado invertir como un medio para comprar tiempo y libertad, por lo que he querido aprender de finanzas y educación financiera, y ojalá alguien me hubiera abierto los ojos mucho antes de lo que los abrí yo solo en este aspecto. He invertido en varias startups de distintos sectores, y en general, he invertido en un poco de todo ya que quiero pensar que para el inversor medio es bueno diversificar. En general, recomendaría invertir en fondos indexados, inmobiliario y bitcoin, pero nunca sin informarse muy bien o formarse antes de hacerlo. J.M.G.: Finalmente, tienes hijos que están encaminando la Universidad y dentro de poco empezarán a trabajar. ¿Qué consejo le darías a quienes empiezan su carrera en un entorno tan competitivo? ¿Qué pasos deben seguir si aspiran a roles de liderazgo? ¿Cómo deben enfrentar el mundo global y digital que les toca vivir? J.P.: Sin duda que desarrollen una mentalidad de aprendizaje continuo, como inscribirse en cursos, leer libros, seguir a líderes de pensamiento y estar siempre actualizado sobre nuevas tendencias, tecnologías y metodologías. Por otro lado, es muy importante que los futuros profesionales sean conscientes de la importancia de las habilidades blandas, poco presentes en general en la educación convencional. Saber comunicar efectivamente, negociar, gestionar la agenda, adaptarse a los cambios y nuevas situaciones, desarrollar habilidad para resolver conflictos, escuchar con empatía, desarrollar un espíritu crítico, etc. Si a todo ello, le añades el dominio de otros idiomas, tienes muchas oportunidades para llegar más alto profesionalmente, y, sobre todo, personalmente. Para desarrollar roles de liderazgo deben contribuir a sacar lo mejor de los demás, empezando siempre por uno mismo y, por tanto, liderar con el ejemplo. Para aspirar a ser un buen líder, deben tener un deseo sincero de servir de ayuda al equipo, de aportar valor. También es muy importante enriquecerse con otras culturas, realidades sociales y empresariales de otros países. Recomendaría a todos los estudiantes que no dejaran pasar esa oportunidad. Por último, deben desarrollar competencias digitales. La tecnología es el núcleo del mundo laboral moderno. Es esencial estar familiarizado con las herramientas digitales y mantenerse actualizado en tecnologías emergentes como la Inteligencia Artificial, el análisis de datos, blockchain o la automatización. No se trata de convertirse en un experto en todas, sino de entender cómo estas tecnologías pueden transformar la industria en la que quieren trabajar.
7 Octubre 2024
Rincón del CISO
Con la llegada del verano, el buen tiempo, las jornadas reducidas y especialmente las vacaciones, son muchas las empresas que se relajan ligeramente en materia de seguridad, abriendo la puerta de entrada a los actores maliciosos. Es importante destacar que los cibercriminales no solo no se van de vacaciones, sino que durante esta época aumentan su actividad sabiendo que sus objetivos pueden tener la guardia más baja. Frente a un incremento muy relevante de los ciberataques, de los cuales únicamente en España se registraron el pasado año 40.000 diarios, las empresas deben hacer hincapié en sus estrategias de seguridad. El retorno a las oficinas tras las vacaciones presenta un momento crítico para la ciberseguridad en las empresas. Es muy recomendable realizar evaluaciones de vulnerabilidades y pruebas de penetración (pentesting) para identificar y remediar posibles brechas de seguridad, con el objetivo de mitigar riesgos y asegurar un retorno seguro a las operaciones normales. Desde nettaro siempre proponemos una serie de pasos que son clave fundamental para un regreso seguro a la oficina, que debe ser reforzado con otras medidas personalizadas. El primero de los pasos es la actualización de dispositivos, asegurando que todos los dispositivos estén actualizados con los últimos parches y medidas de seguridad. A su vez se deben evaluar y actualizar las políticas de seguridad de la empresa para adaptarlas a nuevas amenazas. Una de las puertas de entrada más frecuentes para los ciberataques es el error humano, hecho bien sabido por los ciberdelincuentes, ya que ocho de cada diez ataques que sufren las empresas están dirigidos a empleados, a través de malware o phishing. Por ello, otra recomendación clave es la capacitación continua de los trabajadores, implementando programas de formación y concienciación sobre prácticas seguras. Durante las vacaciones, tiempo de desconexión, es posible que se olviden algunas claves y contraseñas. Los ciberdelincuentes aprovechan este posible olvido de las claves para lanzar campañas de phishing. Estas campañas se enfocan en solicitar la actualización de contraseñas bajo el pretexto de que no se ha producido una conexión reciente. Se estima que un 25% de las víctimas caen en estas estafas, que son cada vez más sofisticadas. El regreso de las vacaciones es buen momento para realizar una puesta al día y actualización de las claves de acceso, que se debe realizar periódicamente. Es de especial relevancia la utilización de contraseñas seguras, cifrado robusto y autenticación multifactor para evitar accesos indeseados al material sensible de la empresa. En nettaro apostamos y recomendamos el uso de las últimas innovaciones en prevención y detección temprana de ciberataques, como es el uso de herramientas de ciberinteligencia. Se trata de la recopilación, análisis y difusión de información sobre amenazas, actores y vulnerabilidades cibernéticas. Su objetivo es comprender el panorama de las amenazas para favorecer la toma de decisiones informadas y proteger la información, los sistemas y la reputación de una organización. Y es que, para poder detectar los posibles ataques en fases tempranas de prevención es imprescindible conocer las motivaciones del atacante y las técnicas y tácticas que utilizan en cada fase. Con estas recomendaciones se puede realizar un regreso más seguro a la rutina, tomando un enfoque proactivo frente a estas crecientes amenazas, que según el Centro Criptológico Nacional (CNN-CERT) se registraron 940.776 cibercrímenes en los últimos nueve meses. Siguiendo las pautas marcadas se tomarán las medidas necesarias para defender la red, los dispositivos, las aplicaciones y los datos. Carlos Lillo, Director de Ciberseguridad de Nettaro
7 Octubre 2024
ESG
El software verde ha pasado rápidamente de ser un concepto innovador, a convertirse en una tendencia clave en la industria tecnológica. Gigantes como Salesforce han demostrado que optimizar el código a través de iniciativas como su programa "Green Code" puede reducir significativamente su impacto ambiental. Este enfoque integra la sostenibilidad en cada decisión, desde la estructura del código hasta la selección de servicios en la nube, considerando la huella de carbono como un criterio tan importante como el rendimiento o la usabilidad. Para avanzar en este nuevo paradigma, lo primero es tomar conciencia del problema medioambiental y adoptar una nueva mentalidad. Esto implica romper con la inercia de muchos años en el desarrollo de software y abordarlo con una perspectiva integral. Por ejemplo, al iniciar un proyecto, incluir criterios de eficiencia energética al elegir el lenguaje de programación. Esto significa que el impacto medioambiental entra antes incluso de que se implante el software. Está en el propio germen de los proyectos. No es una decisión disruptiva, ya que sostenibilidad, ahorro de costes y rendimiento suelen estar alineados. Sin embargo, en algunos casos será necesario hacer concesiones. La Green Software Foundation, lanzada por Microsoft y Accenture, se ha convertido en un referente del nuevo paradigma. Entre otras cosas, trabajan en la estandarización de prácticas sostenibles en el desarrollo de software y cuentan con un conjunto de principios que ayudan a obtener una visión holística de esta nueva disciplina. Estos son un buen punto de partida para que los desarrolladores comiencen a trabajar de una forma distinta. A continuación, unas breves pinceladas para presentar cada uno de los seis principios: Eficiencia en carbono: emitir la menor cantidad posible de carbono. Se trata de construir aplicaciones que, teniendo las mismas funcionalidades, sean más eficientes en términos de carbono. Eficiencia en electricidad: usar la menor cantidad de energía posible. Un buen punto de partida es plantearse preguntas como cuál es la relación entre la energía consumida y la utilización del software. Conciencia del carbono: utilizar más fuentes de energía renovables y menos fuentes contaminantes. Buscar flexibilidad para balancear los consumos de energía según la disponibilidad de fuentes. Eficiencia en hardware: usar hardware que incorpore la menor cantidad de carbono. Consiste en alargar la vida útil y maximizar el uso del hardware para compensar las emisiones en su fabricación y evitar generar nuevos residuos. Medición: utilizar métricas que ayuden a mejorar. Solo se puede gestionar lo que se puede medir. Las métricas de impacto permiten identificar ineficiencias y evaluar progresos. Compromisos climáticos: entender y definir objetivos concretos para la reducción de carbono puede facilitar el avance. No es necesario reinventar la rueda, basta con utilizar las mejores prácticas existentes en el mercado. Estos principios representan una nueva forma de pensar y actuar. Una manera de rediseñar las aplicaciones desde sus cimientos. Cada vez más empresas, como Amadeus, están adoptando la filosofía del software verde. Estas nuevas lentes, también permiten mirar a la tecnología heredada para identificar ineficiencias y llevar a cabo medidas correctivas. Por ejemplo, cualquier CIO encontrará en su cartera de aplicaciones muchas que hacen llamadas “a lo loco” a múltiples recursos externos. Corregirlo, además de hacer su infraestructura más sostenible, vendrá acompañado de una reducción de un coste que es absurdo mantener. Ninguna empresa puede ignorar la nueva realidad. La industria tecnológica es parte tanto del problema como de la solución del desafío medioambiental. El software no solo “se come el mundo”, también ayuda a calentarlo y contaminarlo. Algo que la industria tecnológica quiere evitar. Pero, como dice Asim Hussain, director ejecutivo de la Green Software Foundation, “como ingenieros de software verde, nuestro objetivo es implementar el cambio”. Es decir, el mandato tiene que venir de otro lado. La dirección de la empresa será la encargada de marcar el rumbo. Afortunadamente, cada vez más organizaciones siguen la estela que van dejando los líderes del mercado. Al fin y al cabo, no solo se trata de asumir una responsabilidad ética, también es una decisión estratégica que apuesta por un crecimiento sostenible a largo plazo. Fernando Maldonado, Analista
7 Octubre 2024
Opinión
La resiliencia es la capacidad de una organización para absorber y adaptarse a cambios y perturbaciones, manteniendo sus funciones esenciales y recuperándose rápidamente. Cuando hablamos de resiliencia digital o ciberresiliencia, solemos referirnos a la capacidad de una organización para hacer frente a un ciberataque, minimizando la duración y el impacto del incidente. Esta resiliencia digital se suele abordar mediante lo que los expertos en ciberseguridad llaman “Disaster Recovery”, que consiste en tener un plan (copias de seguridad, nubes alternativas, CPDs redundantes, etc.) para recuperar los datos y la funcionalidad de los sistemas de información en el menor tiempo posible. Pero el menor tiempo posible no siempre es igual al menor tiempo aceptable para que algunos procesos especialmente críticos estén parados. Y en estos casos es necesario tener un Plan B. Es lo que de toda la vida se ha llamado plan de continuidad de negocio, pero que, en el caso de una disrupción debida a un ciberataque, a menudo se confunde con el “Disaster Recovery Plan”. Sin embargo, el plan de continuidad de negocio, como su propio nombre indica, es una responsabilidad del negocio, que no puede quedarse de brazos cruzados durante una pérdida de los sistemas de información, esperando a que el equipo técnico termine de restaurar los datos y los sistemas. No en el caso de aquellos ámbitos que resulten especialmente críticos. Veamos un ejemplo práctico aplicado a nuestra vida personal. Hoy en día, tenemos una enorme dependencia del móvil para todo. Es donde tenemos nuestra agenda, los datos de contacto de nuestros colaboradores, nuestras fotos favoritas o los teléfonos móviles de nuestros hijos. Por eso nos insisten tanto en la importancia de tener un “backup” del móvil en la nube, así podremos recuperar los datos en caso de un incidente; es nuestro “Disaster Recovery Plan”. Pero imaginemos que estamos fuera de casa y nos quedamos sin móvil. ¿Cuántos hemos sentido esa sensación de angustia existencial? Las fotos las podremos recuperar más tarde, pero ¿y el número de teléfono al que tenías que llamar o la dirección a la que tenías que acudir en un rato? Y es que no solemos tener un Plan B. Algo tan sencillo como sabernos de memoria o llevar apuntados en la cartera los teléfonos o datos más importantes para nosotros. La verdadera resiliencia digital requiere que, para los ámbitos más críticos para la sociedad, exista una alternativa no digital (analógica o manual) para salir del paso mientras los equipos técnicos recuperan los sistemas de información y/o comunicaciones. Los negocios que son fundamentalmente digitales y que se han enfrentado a algún incidente que ha paralizado sus sistemas han descubierto por las malas la diferencia entre el Disaster Recovery y la continuidad de negocio, y la importancia de involucrar a los responsables del negocio en sus planes de ciberseguridad. Sin embargo, para los negocios eminentemente físicos (industriales), la resiliencia operativa no es nueva. Hace tiempo que los procesos críticos cuentan con un diseño resiliente (redundancia y eliminación de puntos de fallo simple) y con un plan de continuidad para hacer frente a fallos mecánicos, incendios, eventos climáticos, sabotajes, etc. Por ese motivo, cuando se produce un incidente grave en el mundo físico, solemos escuchar que la causa ha sido el fallo consecutivo o simultáneo de varios sistemas de seguridad. En este ámbito, la ciberresiliencia requiere justo la aproximación contraria a la del sector digital: hay que incorporar los nuevos escenarios de riesgo derivados de la dependencia digital a los procesos de resiliencia existentes, involucrando en los planes de continuidad de negocio a los expertos de ciberseguridad. En todo caso, para aquellos ámbitos especialmente críticos, siempre que sea posible, deberíamos tener prevista (y ensayada) una alternativa no digital para hacer frente a una potencial caída de los sistemas y/o comunicaciones. De momento, sigue habiendo profesionales en activo que recuerdan cómo se hacían las cosas cuando no había internet, pero no por mucho tiempo... ¿Seremos capaces de asegurar una adecuada transferencia de este conocimiento a las nuevas generaciones nativas digitales que nunca han conocido un mundo donde la tecnología y los dispositivos conectados a internet no fuesen una parte integral de su vida? Rosa Kariger Directora Global de Prospectiva de Seguridad de Iberdrola Presidenta del Consejo Asesor de CyberLideria
15 Julio 2024
Rincón del CISO
Como se constató en la jornada ‘Cuenta atrás para el Reglamento DORA: cómo ayudar a las entidades a estar preparadas’, DORA dotará a las organizaciones de importantes ventajas, como el aumento de la competitividad en el mercado, mayor prestigio de la marca o la incorporación de la cultura de ciberseguridad en la compañía. La importancia y el peso de sectores tan estratégicos en la economía global, como es el financiero es indudable. La paralización de sus actividades por cualquier circunstancia podría suponer graves consecuencias, no solo para ellos mismos, sino para otras muchas organizaciones tanto públicas como privadas, que dependen directa o indirectamente de ellos. Estas fueron algunas de las razones para la aprobación, en diciembre de 2022, del Digital Operational Resilience Act, Reglamento DORA, cuyo propósito es garantizar la resiliencia operativa digital, y cuya plena aplicación será exigible el 17 de enero de 2025. A seis meses de su plena aplicación, la jornada "Cuenta atrás para el Reglamento DORA: cómo ayudar a las entidades a estar preparadas" reunió en Izertis a un grupo de expertos que analizaron la hoja de ruta de la implantación y las claves para garantizar su eficiencia. Abrió el evento el director de Ciberseguridad y Defensa de Izertis, Joaquín Castellón, que fue el encargado de recordar que DORA “puede aplicar tanto a grandes entidades que operan a nivel mundial, como a pequeñas y medianas empresas del sector financiero” y que, por tanto, existen “muchas percepciones de cómo afrontar este reto”. Desde el Instituto de Ciberseguridad de España (Incibe), el responsable del sector estratégico financiero y TIC, Juan Peláez, apuntó que la regulación europea “ayuda a las entidades financieras a poder gestionar todas las amenazas o riesgos que encuentran en el ciberespacio”. Y lo hacen, añadió, a través de varios instrumentos como son la gestión de ese riesgo, la notificación de incidentes, también menos graves, obligada a realizar pruebas de ciberresilencia, los acuerdos de intercambio de ciberamenazas o la monitorización de la cadena de suministros. Oportunidades y retos Fue Javier Piqueres, experto en Tecnologías de la Información para el Banco de España y miembro del grupo español para la regulación de DORA, el encargado de ofrecer la clave de la jornada: “DORA es una gran oportunidad para el sector, no un ejercicio de cumplimiento porque conlleva hacer al sector financiero más resiliente en su conjunto”. En su repaso a las líneas generales del reglamento, el experto ahondó tanto en la gestión del riesgo relacionado con las TIC (gobernanza) como en la notificación y clasificación de incidentes, pasando por la pruebas de resiliencia operativa digital (básicas y avanzadas), la gestión de riesgos tecnológicos derivados de terceros y los acuerdos de intercambio de información. El Reglamento, por tanto, exigirá disponer de un análisis de riesgos que será la base central de la estrategia de seguridad y resiliencia, acompañado de una serie de procedimientos documentados a implementar y cumplir en toda la organización. Respecto a la implementación, hizo hincapié en la opción nacional sobre el doble reporte de incidentes a la NCA y al CSIRT, el escaso margen temporal para desarrollar los procedimientos de notificación de incidentes, las incertidumbres respecto al formato final de los registros de terceros y los mecanismos de recogida, la obligatoriedad de las entidades y las propias estructuras de gobierno. El cierre de la jornada corrió a cargo de Laura Burillo, responsable de Normativa de Ciberseguridad de Izertis, y de María Vidal, socia de Protección de Datos y Nuevas Tecnologías de FinReg360. Ellas fueron las encargadas de dar las claves de DORA e insistir en que el reglamento europeo busca fortalecer la ciberseguridad y la resiliencia del sector financiero. Busca, apuntaron, que las organizaciones implementen un Sistema de Gestión de Seguridad de la Información (SGSI), ya que está inspirada en diferentes normas de seguridad de la información como la ISO 27001 y la ISO 22301, entre otras. Es decir, el objetivo principal es incorporar seguridad a los procesos y la operativa del negocio. La gran mayoría de organizaciones del sector financiero, como entidades de crédito, compañías de seguros, entidades de pago, entidades de dinero electrónico, gestoras, fondos de pensiones, agencias de calificación crediticia… deben cumplir con esta regulación.
2 Julio 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
