“Seguimos trabajando con passwords, y esto en algún momento se tendrá que acabar”, (Enrique Solís, Aguas de Añarbe)

Enrique Solís González pertenece a la generación del Spectrum, el ordenador que conquistó Europa en los ’80, con el que muchos empezaron en un mundo digital sin conectividad, y con el que el actual CIO y CISO de Aguas de Añarbe aprendió a programar. La pasión se mantuvo durante años y le llevó a escoger la carrera de Ingeniería Informática, interesándose especialmente por las áreas de redes y sistemas. Durante los años de facultad, tiempos de monitores monocromo, fue cuando surgió la World Wide Web y aparecieron los primeros navegadores, recuerda durante una conversación en la que nos cuenta que sus primeras experiencias laborales estuvieron relacionadas con la administración de sistemas “donde ya existía la preocupación por la seguridad. Aunque es cierto que en aquella época todo era bastante más básico”.

Este contenido fue publicaod en el número de Septiembre de 2022 de la revista IT Digital Security. Puedes descargártela aquí.

CISO:, evolución, retos y cualidades

Sobre la evolución de la figura del CISO, explica Enrique Solís que antes tenían un rol mucho más técnico; “en muchos casos no había un puesto definido como tal. Estaban integrados en otros departamentos y entre sus funciones había algunas referentes a la seguridad, pero sin existir ese rol específico”. Añade lo que muchas veces e injustamente se ha dicho de ellos: que se les veía como la persona que impedía hacer ciertas cosas; “pero es cierto que todo ha evolucionado. La transformación digital está creando un ecosistema mucho más complejo para las empresas, la tecnología avanza a un paso muy rápido y eso hace que la defensa de estos sistemas sea mucho más complicada. Al final, hoy en día hay más conciencia de que es necesario tener una estrategia de ciberseguridad”.

La existencia de cada vez más regulaciones de seguridad, desde el ENS, al reglamento de protección de datos, o los específicos de cada sector “exigen de algún modo tener una cultura de seguridad y una gestión de la misma; asegura Enrique Solís añadiendo que los responsables de ciberseguridad  ya no son personas tan técnicas, sino que se han convertido en “traductores entre un idioma técnico y un idioma de negocio”, lo que ha hecho que el CISO tenga que desarrollar una mayor visión del negocio para poder alinearse con los objetivos de la empresa.

“Los CISO actuales han de tener conocimientos especializados organizativos, técnicos y jurídicos. Tienen un rol más estratégico, entre sus funciones están las de, gestionar normas y riesgos, proponer las políticas de seguridad, desarrollar y aplicar esas políticas y ser quien asume la responsabilidad y el compromiso.”

Sobre los retos de seguridad a los que se enfrenta el CISO de Aguas de Añarbe “son los derivados de aplicar la ciberseguridad en un entorno industrial, a lo que se suma el hecho de que proveemos un servicio esencial para la ciudadanía”. Explica el directivo que la gestión de las infraestructuras es cada vez más digital, cada vez hay mayor convergencia entre el mundo IT y el OT, y que en el caso de su compañía “para tomar decisiones correctas es vital que la información que se recoge de los sistemas cumpla el principio de integridad, que no haya sido manipulada”.

El segundo reto es el de disponibilidad, porque “al ofrecer un servicio que es esencial para la ciudadanía una parada debida a un fallo o a un ciberataque puede tener consecuencias serias que pueden afectar a la salud de las personas o causar daños al ecosistema”.

Y, finalmente, Enrique Solís menciona un tercer reto: la menor madurez en ciberseguridad que existe en el mundo industrial frente al mundo IT. Según Solís “lo que antes no se conectaba ahora sí se conecta. Y así como en el mundo IT ya llevan años con esto asumido, en el mundo OT todavía existe una cierta falta de madurez. Además, muchas de las instalaciones industriales no se han actualizado desde el día que se pusieron en producción, cuando la ciberseguridad no era un requisito de diseño”.

Cuando preguntamos a Enrique Solís por las cualidades que debería tener un buen CISO asegura que “lo primero de todo te tiene que gustar mucho porque tu trabajo no acaba cuando sales de la oficina”. Añade que el trabajo de CISO te obliga a estar actualizado constantemente “porque ahora no pasan meses hasta que se explota una vulnerabilidad, sino horas”, y que se tiene que convivir con el hecho de que “por muy bien que hagas tu trabajo, la seguridad 100% no existe, no todo depende de ti”.

Por otra parte, se necesita hacer una gestión del estrés importante, y mantener una actitud proactiva “no sólo tienes que saber reaccionar cuando ya ha pasado, sino que tienes que prepararte, anticiparte un poco en la medida que puedas”.

Por último, “tienes que ser buen comunicador. Lo que nosotros vemos como seguridad otras partes de la empresa lo pueden ver como un incordio y hay que ser capaz de concienciar de los riesgos que hay y hacer partícipe a todo el personal, incluida la dirección”.

Amenazas y tecnologías

No todas las empresas son iguales, y por tanto no todas se ven afectadas de igual manera por el mismo tipo de amenaza. A Enrique Solís los ataques llamados de fraude al CEO no son los que más le preocupan; ser una empresa no demasiado grande, donde todo el mundo se conoce y hay un fuerte componente de concienciación, son algunas de las razones.

La amenaza que más preocupa al CISO de Aguas de Añarbe “es sobre todo el malware, y en especial el ransomware”. Comenta que cada vez hay más ataques, que cada vez son más sofisticados y que los dirigidos son especialmente preocupantes porque son más difíciles de parar.

“El cibercrimen ha pasado a ser un negocio muy lucrativo y está consolidándose como el delito del futuro. Los autores y grupos de ransomware han descubierto que dirigirse a organizaciones industriales es muy beneficioso y que encima gozan de un alto grado de impunidad”.

“No existe una solución milagrosa”, dice Enrique Solís cuando le preguntamos qué tecnologías de seguridad deberían ser imprescindibles en cualquier empresa. La opción de este experto es desarrollar múltiples capas de seguridad, de manera que “si una salvaguarda en particular falla, existirán otras en las capas inferiores que mantendrán el riesgo en niveles aceptables”.

Dicho esto, opina que “si tenemos que empezar por algo, yo diría que es básico un NGFW que nos permita segmentar y controlar el tráfico que circula por nuestra red, filtrar tanto por IPs como por servicios, realizar DPI (Deep Packet Inspection) además de otras funcionalidades como Antivirus, IDS/IPS, Anti DoS, gestión de vpn para accesos remotos,…

Además, seguimos viendo que el correo electrónico sigue siendo hoy en día el principal vector de ataque con lo cual son necesarias herramientas para la protección del correo.

También es necesario proteger los endpoints que son otro de los principales puntos de entrada del malware. El malware es cada vez más sofisticado y es necesario acudir a tecnologías avanzadas que ya no solo se basen en detectar patrones de firmas, sino que, mediante el análisis de comportamiento, identifiquen y desactiven amenazas desconocidas en tiempo real, y que además nos ayuden a la hora de automatizar los procedimientos de respuesta y corrección.”

Cuando planteamos qué tecnologías de seguridad serán imprescindibles en un futuro, opina que “con las compañías invirtiendo en más tecnologías inteligentes y en automatización, y con la adopción de la Industria 4.0, (el cloud, dispositivos IoT) es vital que las soluciones de ciberseguridad sigan el ritmo de la adopción de tecnología para garantizar que las ventajas superan los riesgos.” y apuesta por la Inteligencia Artificial y la gestión de identidades, mencionando Blockchain como una tecnología que tendrá un papel importante en el futuro. “Seguimos trabajando con passwords, y esto en algún momento se tendrá que acabar”, añade.

Ahondando en la Inteligencia Artificial dice Enrique Solís que en realidad no se busca de manera independiente, “sino que buscas un producto que en función del benchmark conseguido, lo que te han contado, lo que has investigado tú o las pruebas de concepto que hayas podido realizar, te funcione y sea interesante”. Añade que la inteligencia artificial es una herramienta más, capaz de hacer ciertas cosas mejor que los humanos, como el análisis y correlación de grandes cantidades de datos.