Carlos Monter: "Toda empresa recibirá un ataque a lo largo de su vida, por lo que es fundamental definir una estrategia para asegurar su protección"

VALÈNCIA. La ciberdelincuencia se ha incrementado exponencialmente en los últimos años. De representar el 7,4% de los delitos que se cometían en España en 2018 ha evolucionado al 16,1% en 2022. Y solo entre 2020 y 2022, se produjo un incremento de un 40% de procedimientos judiciales relacionados con la ciberdelincuencia, según los datos de las Memorias de la Fiscalía General de Estado y del Balance de Criminalidad del Ministerio del Interior. “Aunque los principales ataques registrados contra las empresas siguen siendo el phishing, malware/ransomware, Fraude o DDoS, nos encontramos en un contexto más complejo, donde los ciberataques cada vez se encuentran más dirigidos, existiendo equipos de alta especialización dedicados a obtener un beneficio económico y/o político tras dicho ataque. El elevado coste para las empresas derivado de estos ataques se debe a varios factores, como el secuestro o la destrucción de datos, el robo de propiedad intelectual y/o dinero”, apunta Carlos Monter, director de NTT DATA en el área de ciberseguridad.

De ahí que, ante los nuevos retos tecnológicos, las empresas se enfrentan a nuevos desafíos dentro del ámbito de la ciberseguridad. Entre ellos, Carlos Monter destaca la gestión de la seguridad Cloud en los entornos híbridos y multi-cloud, “donde deben desarrollarse modelos de gobierno, mecanismos y políticas de control compartidos entre los proveedores de servicios y las empresas”. Otro de los retos es el manejo de elevados volúmenes de datos para la toma de decisiones (enfoque data-driven) y la prestación de servicios por parte de las empresas, “en la cual una correcta gestión de estos es fundamental. En este punto, debe definirse una estrategia que abarque áreas como el cumplimiento normativo, la gobernanza, la resiliencia y las auditorías de seguridad que aseguren su protección”, apunta el experto en ciberseguridad de NTT DATA.  

A estos desafíos se unen dos más: los procesos de automatización basados en la IA, “en estos, nos encontramos ataques mucho más sofisticados, y en contrapartida deben definirse medidas defensivas también basadas en IA para su análisis, mitigación y resolución temprana”, y la seguridad en el puesto de trabajo, derivado del teletrabajo, “ya que muchas empresas han cambiado su modelo. Esto, ha derivado en que los métodos de seguridad tradicionales que se basaban en perímetros, contraseñas y gestión manual de permisos sean insuficientes. El enfoque de confianza cero se ha convertido en una prioridad para las organizaciones que necesitan proteger a su personal remoto”.

- ¿Por qué las empresas tienen que implementar estrategias de ciberseguridad?

Si una empresa es víctima de casos de ciberdelincuencia, se daña su reputación pública y se aumenta el riesgo percibido por los inversores y otras compañías colaboradoras. Los ciberataques no solo dañan a las organizaciones a las que se dirigen deliberadamente. Dada la naturaleza hiperconectada, los ciberataques pueden extenderse rápidamente e infligir daños a todo el sistema de proveedores, clientes y cadenas de suministro, afectando a otras empresas colaboradoras o del mismo grupo si no se detectan con rapidez.

Debido al crecimiento de los ciberataques, se han establecido nuevos marcos regulatorios y normativos, penalizando con multas elevadas a las empresas que se encuentren con medidas de seguridad inadecuadas.

Toda empresa recibirá algún ataque a lo largo de su vida, o al menos existe una probabilidad muy alta de que suceda, por lo que es fundamental que cuente con un Plan de Seguridad, Continuidad de Negocio y Resiliencia que la permita estar preparada y seguir prestando el servicio cuando se sufra. La definición y cumplimiento de todos estos planes, y marcos regulatorios debe asegurarse desde los niveles de Dirección de la empresa, CISOs, CTOs y CIOs/CEOs deben estar perfectamente coordinados, estableciendo la seguridad como una prioridad en el gobierno y la prestación de servicios.

- ¿Qué puede aportar la Inteligencia Artificial a la hora de acelerar o ayudar a la estrategia de ciberseguridad?

Entre las ventajas que ofrece la IA destacan sus mecanismos de aprendizaje automático que analizan grandes volúmenes de datos, identificando patrones en la seguridad de las redes y sistemas, mejorando los procesos de análisis. Además, mejora la capacidad y tiempo de respuesta ante incidentes, ya que los sistemas IA pueden ser programados para ejecutar acciones de manera automática cuando se detecta un comportamiento sospechoso.

- A pesar de los beneficios mencionados, en los últimos meses hay una preocupación por el uso de la IA, su marco regulatorio, ético, etc. ¿Deben preocuparse las empresas? ¿Cómo se puede garantizar su fiabilidad y seguridad?

La IA no tiene a priori una mayor exposición al riesgo que el de otras tecnologías que ya se utilizan. Dónde se debe poner foco es en conocer dichos riesgos para evitarlos o minimizarlos, así como en establecer un marco normativo que regule su uso. En este último punto, la mayoría de los países ya están trabajando en ello, estableciendo marcos normativos que garanticen la seguridad y privacidad de las personas en su uso, un ejemplo de esto es la Ley de Inteligencia Artificial que propuso la Comisión Europea. Este marco está basado en la gestión del riesgo que supone para el usuario el uso de las diferentes aplicaciones que utilizan la IA. El resultado de esta clasificación es una mayor o menor regulación. Al final, e igual que en otros ámbitos de la seguridad, hablamos de que el usuario esté capacitado y concienciado en los riesgos existentes, siguiendo las mejores prácticas en su uso. Asegurar la fiabilidad y seguridad al 100% en mi opinión no es posible, pero sí podemos reducir los riesgos asociados en su uso estableciendo los controles y políticas de seguridad apropiados, además de asegurar el cumplimiento normativo. 

- En este campo, ¿qué papel juega la combinación de ciberseguridad y la nube? ¿Cuáles son las mejores prácticas de ciberseguridad que las empresas deben seguir al adoptar un entorno Cloud?

Cuando una empresa decide migrar parte o toda su infraestructura de sistemas a la nube, debe haber definido previamente una estrategia, arquitectura y modelo de gobierno que la sustente. Es precisamente en esta fase previa donde deben tenerse en cuenta los aspectos, controles y políticas de seguridad a considerar en dicha migración. 

Desde mi perspectiva, entre los puntos clave para tener en cuenta, destacaría la importancia de definir un modelo de gobierno compartido de responsabilidades. Así se produce un cambio de modelo donde se pasa de un gobierno autónomo por parte de la empresa a un modelo híbrido de gobierno con los proveedores de servicios. También resaltaría la aseguración de una correcta gestión de identidades y de política de accesos a los recursos de las infraestructuras Cloud. 

Actualmente uno de los mayores activos que maneja una empresa son sus datos, por lo que considero esencial el cifrado de este tipo de información, así como de sus comunicaciones. En este sentido, disponer de mecanismos de encriptación es imprescindible para asegurar su integridad y autenticidad. Además, en relación con los datos, es importante que las empresas cuenten con sistemas de respaldo y recuperación de estos en caso de recibir un ataque.

Otro aspecto que destacaría sería la necesaria formación de los empleados de las compañías en el uso del Cloud, poniendo foco en los riesgos existentes y la aplicación de las mejores prácticas en su uso. También es recomendable que las empresas cuenten con profesionales expertos en las diferentes soluciones Cloud.

Por último, subrayaría el hecho de ser capaces de dotar a la infraestructura de una correcta monitorización y respuesta ante incidentes de seguridad.

- ¿Qué aporta a las empresas NTT DATA en materia de ciberseguridad? ¿Qué consideraciones de seguridad deben tenerse en cuenta al seleccionar un proveedor de servicios de ciberseguridad? 

En NTT DATA contamos con un equipo de profesionales de ciberseguridad con gran experiencia y formación con presencia mundial, con una oferta de valor basada en activos y plataformas propias, asociaciones con los principales proveedores especializados del ecosistema de la seguridad, y un enfoque vertical por sectores (Público, Banca, Seguros, Industria, Telecom y Energía). Actualmente estamos ampliando capacidades de ciberseguridad en nuestra oficina de Valencia, poniendo mucho foco en la captación de talento especializado desde las universidades.

Una empresa que vaya a abordar proyectos en materia de seguridad debe confiar en un partner que adopte un enfoque completo de la ciberseguridad abarcando contramedidas como la gestión de riesgos, las actualizaciones de seguridad, los programas de cumplimiento y otras iniciativas a la hora de promover su digitalización. Nuestra gama de servicios integrales que apoyan tanto las actividades previas como las posteriores, la consultoría de estrategia, la implantación de medidas de seguridad y la consultoría técnica. Al aprovechar nuestra amplia experiencia trabajando para clientes de diferentes sectores industriales, nuestra red de Centros de Operación de Seguridad (SOC) y nuestros importantes recursos de I+D, podemos ofrecer la combinación ideal de conocimientos específicos del sector y experiencia técnica para ayudar a proteger a las empresas contra los riesgos de ciberseguridad.

La compañía proporciona una amplia gama de servicios que van más allá de nuestras propias capacidades, gracias a la amplia cartera de servicios tecnológicos del grupo, anticipándonos y siendo pioneros a las necesidades del mercado.