El primer Cybersecurity Summer Edition, organizado por Computing, reunió a algunos de los principales CISOS de España para abordar los riesgos actuales y los retos futuros en materia de seguridad.
En la primera mesa, en la que se analizó la era del CISO estratégico, se contó con la participación de Daniel Damas, Head of IT Assurance & CISO de Nationale-Nederlanden; Javier Santos, CISO Corporativo de Santalucía y David Moreno, Global CISO de Tendam.
En el actual ecosistema empresarial, la ciberseguridad ha dejado de ser una «fiesta tecnológica» para convertirse en un pilar de la supervivencia organizacional. Durante el encuentro con CISOs de Computing, se ha debatido sobre cómo la figura del CISO ha evolucionado de forma dramática, pasando de ser un perfil técnico a un actor transversal que debe hablar el lenguaje de la alta dirección para proteger el valor del negocio.
Índice de temas
La evolución hacia el lenguaje del riesgo
Históricamente, se pensaba que la seguridad era un problema que se solucionaba exclusivamente con tecnología. Sin embargo, la realidad actual demanda una visión más amplia. «El CISO aporta valor cuando anticipa y actúa como un habilitador estratégico vinculado al negocio», se destacó durante la charla, subrayando que su papel no debe ser el de un «stopper» a la innovación, sino el de un asesor que gestiona el riesgo operativo y reputacional.
Hoy en día, la ciberseguridad se sitúa junto a las catástrofes naturales o las pandemias como una de las dos grandes amenazas para la continuidad de cualquier compañía. Por ello, los expertos coinciden en que es vital traducir los tecnicismos a conceptos de solvencia y resiliencia que la dirección pueda entender y gestionar.
El efecto «WannaCry» y el impulso regulatorio
Al analizar qué ha impulsado realmente la inversión en seguridad, los ponentes señalaron un punto de inflexión claro: el ataque de WannaCry. Este evento demostró que las amenazas no eran «cosas de película», sensibilizando a los consejos de administración mucho antes de que llegaran normativas de calado.
Respecto al marco regulatorio, si bien Europa tiende a la sobre-regulación, normativas como DORA están cumpliendo una función esencial al dar visibilidad a riesgos antes ignorados, como los presentes en la cadena de suministro y proveedores. La regulación, aunque suele llegar con retraso respecto a la tecnología, establece una base necesaria para que todo el ecosistema opere bajo criterios mínimos de control.
IA: el reto de la velocidad y el «Shadow IT» de desarrollo
La irrupción de la Inteligencia Artificial plantea desafíos de gobernanza sin precedentes. Uno de los mayores riesgos detectados es el uso por parte de desarrolladores de librerías o modelos de lenguaje abiertos sin medir las consecuencias de la filtración de datos. «A veces sale más caro el traje que el precio del token», advirtieron los expertos en referencia a la seguridad sacrificada por la comodidad o la gratuidad.
La presión competitiva está forzando a muchas empresas a implementar IA a una velocidad que impide análisis mínimos de viabilidad y riesgo. Además, la dependencia de capacidades de IA de terceros, y de las «cuartas partes» en las que estos confían, está diluyendo el control efectivo de las organizaciones.
Independencia y buen gobierno
Finalmente, se abordó el debate sobre la estructura organizativa. Existe una incompatibilidad manifiesta entre los objetivos de un CIO (eficiencia y rendimiento) y los de un CISO (protección y control). Por ello, la tendencia en organizaciones maduras es situar al CISO como una segunda línea de defensa, independiente de la tecnología, para garantizar que los riesgos se transmitan de forma transparente a la alta dirección. La primera mesa redonda concluyó señalando que, más allá de la IA, el punto crítico actual de entrada para los atacantes sigue siendo la gestión de privilegios, donde se está intentando penetrar con mayor rapidez y agresividad en las infraestructuras corporativas.
La IA es el Ferrari, la microsegmentación es el volante
En un entorno donde el movimiento lateral actúa como un «asesino silencioso», la microsegmentación se posiciona como la defensa definitiva para proteger procesos e identidades en arquitecturas híbridas. Lilí López, Security Sales Specialist Spain & Portugal de Akamai compartía su visión sobre este asunto.
La Inteligencia Artificial no debe ser motivo de temor, sino una oportunidad que las organizaciones deben abrazar drásticamente. El reto actual consiste en quitar presión a esta tecnología y centrarse en definir las soluciones necesarias para su control. En este nuevo paradigma, la microsegmentación ha dejado de ser una opción importante para convertirse en un elemento crucial para la ciberresiliencia.
El concepto tradicional de perímetro se ha vuelto vulnerable; una vez que una amenaza logra traspasarlo, suele disfrutar de total libertad de movimiento. Ante la imposibilidad de aplicar parches de seguridad en tiempo real para todas las vulnerabilidades, la estrategia debe virar hacia la protección estructural.
La segmentación tradicional ya no es suficiente para reducir la superficie de ataque. En su lugar, la microsegmentación surge como la defensa más potente, actuando sobre el denominado «Efecto Mythos» y proporcionando un control que antes era inalcanzable.
Protección lógica y visibilidad Zero Trust
A diferencia de los métodos antiguos, la microsegmentación es una herramienta que permite establecer políticas a nivel lógico y de proceso. Esto garantiza que la identidad y el proceso estén protegidos en la comunicación de un puerto a otro. Entre sus características principales destacan:
- Segmentación definida por software: Especialmente diseñada para entornos híbridos.
- Visibilidad completa: Ofrece una solución Zero Trust que permite monitorizar absolutamente todo lo que ocurre en la red.
- Aprendizaje automatizado: La herramienta es capaz de aprender de las comunicaciones necesarias para la operación diaria y, basándose en ese conocimiento, aplicar las políticas correspondientes de forma inteligente.
La relación entre la innovación y la seguridad se resume en una analogía directa: la IA es el Ferrari y la microsegmentación es el volante. Sin esa capacidad de dirección y control que aporta la microsegmentación, la potencia de la IA representaría un riesgo inasumible para la empresa moderna.
