Identificación y anticipación 

Orange Empresas ofreció una jornada en la que repasó las claves para adoptar una estrategia de ciberseguridad por parte de las organizaciones. El encargado de este análisis fue Antonio Sánchez-Maroto, Cybersecurity Business Development manager de MasOrange.

Comenzó exponiendo los principales obstáculos que deben superar las empresas a la hora de desplegar esta estrategia, como el uso de la IA por parte de los ciberdelincuentes para poner en marcha ataques automatizados y personalizados, la creciente rapidez con la que son capaces de comprometer la seguridad de las compañías o la exposición al riesgo de terceros, a través de la cadena de suministro.

A todo ello hay que añadir factores internos de la empresa, como la poca implicación en la ciberseguridad que demuestran en algunos casos las áreas de negocio, la limitación del presupuesto, la escasez de profesionales cualificados en ciberseguridad o la saturación de los equipos de seguridad por el creciente volumen de trabajo.

También se detuvo en los retos que han de afrontar las organizaciones, entre los que se incluye la adopción de la ciberseguridad como algo nativo al desarrollo de negocio, incluyendo a los proveedores; la identificación de problemas y obstáculos que impidan la protección del negocio; el diseño de un plan de respuesta y comunicación en caso de sufrir un incidente; o el establecimiento de una relación de confianza con los proveedores. 

Especificó que el enfoque de la ciberseguridad debe partir de la identificación de los activos, la superficie de ataque y el historial de la empresa, con el fin de anticiparse ante posibles amenazas y ataques, detectar vulnerabilidades y ataques activos y desarrollar la capacidad de respuesta en caso de ciberataque. “La identificación y anticipación son claves”, recalcaba. 

Además, hizo hincapié en que la estrategia de ciberseguridad ha de tener siempre en cuenta tanto la tecnología como los procesos y las personas que lo gestionan. “Se necesita un piloto. La tecnología sin control no sirve de nada”, apostillaba. Igualmente, insistió en la necesidad de contar con un plan personalizado, puesto que no hay una empresa igual a otra.

De este modo, puso el acento en la importancia del “valor humano”, aprovechando el conocimiento y la experiencia de los partners de servicios de seguridad como Orange Empresas, que escuchan, analizan y proponen las mejores soluciones y acompañan a sus clientes en su adopción y le dan soporte.

Antonio Sánchez-Maroto: “La estrategia de ciberseguridad ha de tener siempre en cuenta tanto la tecnología como los procesos y las personas que lo gestionan” 

Alineación TI y ciberseguridad

Después mantuvo una charla con Jacinto Muñoz, director de Resiliencia Operativa y Gestión de Crisis de Mapfre, quien explicó cómo se plantea la ciberseguridad su entidad. Especificó que la compañía dispone de un plan de seguridad a tres años, aunque se revisa periódicamente, contemplando las novedades para redefinir prioridades en caso de ser preciso. En cualquier caso, afirmó que “es imposible pensar que siempre va a haber una guía que nos diga qué hacer, pero tiene que haber unas directivas básicas para responder ante determinadas situaciones”.

En cuanto a la relación con los proveedores, apuntó que Mapfre entiende que “forman parte del perímetro extendido de la compañía”, por lo que la entidad trabaja en garantizar su seguridad, dejando de contratar con aquellos que no cumplen con sus requisitos.

Otro aspecto que abordó fue alineamiento de los equipos de sistemas TI y de ciberseguridad, que se logra a través de una buena comunicación y la creación de comités de tecnología en los que se pongan en común los objetivos y la manera de afrontarlos.

También se detuvo en la complejidad que introduce el Reglamento DORA a la hora de garantizar la seguridad de los proveedores, ya que obliga a las entidades a plantear las mismas preguntas y pruebas a cada uno de sus proveedores. 

“Este sistema es claramente mejorable”, comentaba. Por ejemplo, planteó la posibilidad de algún sistema de certificaciones o ratings que evite tener que realizar dicha comprobación con cada proveedor, obligando a destinar recursos a esta tarea.

En cuanto al uso de la IA, apuntó que ya está sirviendo para automatizar procesos y tareas en el ámbito de la ciberseguridad, pero recalcó que tiene un importante potencial en la simulación de escenarios reales, con el fin de realizar pruebas y planificar la respuesta ante incidentes.