Enthec: 'Nosotros somos los ojos de tu empresa'

  • Entrevistas

María Isabel Rojo, Enthec

Detectando una necesidad. Así nacen las empresas. Así nació Enthec hace unos años, con el objetivo de controlar qué información se filtra a la red. Lo hacen con Kartos, una plataforma que rastrea todo Internet, incluidas la Deep y la Dark Web, y determina cuán segura, o insegura, es una compañía monitorizando dominios. ¿El siguiente paso? El IoT.

“El problema está en el flujo inverso, en toda la información que generan los empleados y las máquinas y se expone al mundo”; este problema es lo que da vida a Enthec, una joven empresas española que nace de la necesidad de ir un paso más allá de las herramientas tradicionales de ciberseguridad. Explica María Isabel Rojo, CEO de esta empresa, que la mayoría de las compañías siguen un mismo patrón: establecer un entramado, una nube, que controla el flujo de entrada de información. Es decir, “controla todo lo que Internet envía a esta pequeña nube corporativa y todo lo que se mueve dentro de la misma”.

Este contenido salió publicado en el número de diciembre de 2020 de la revista IT Digital Secutity. Descárgatela.

Su experiencia en varias compañía, desde Banco de Santander a Airbus pasando por Minsait le llevó a ver, en entornos reales, ataques que se estaban ejecutando porque las herramientas daban por bueno un tráfico que permitía que “toda esa información –credenciales o número de máquina, se vertiera fuera”.

Añade María Isabel Rojo que, viendo lo que estaba pansando, “empezamos a investigar y surgió el producto que tenemos”, y que no es otro que Kartos.

En este punto, ¿sabían las empresas lo que les estaba ocurriendo? No. Recuerda María Isabel Rojo que el feedback que recibieron cuando se lanzó la primera versión del producto “fue curioso”. Enthec llevó su producto a cien empresas, tanto posibles proveedores de ciberseguridad como clientes finales, pensando en que les iba a encantar, “pero se frustraban bastante con lo que encontrábamos. En internet estaban expuestos desde código fuente a correos, datos de usuarios y de todo tipo que pueden suponer un incumplimiento de GDPR”. También se encontraron en aquella primera fase de pruebas con gente que les ayudaron a avanzar, que fueron “el germen de la herramienta como la conocemos hoy en día; les gustaba la herramienta pero decían era excesivamente técnica”, de forma que sus creadores añadieron una interfaz de usuario más amigable de forma que “con unos semáforos rojos y unos candados, cualquiera puede entender lo que hay”.

A partir de ahí, se trata de vender la herramienta, de llamar a la puerta de diferentes departamentos, como el de Recursos Humanos. Explica la CEO de Enthec que ahora que el teletrabajo se ha extendido Kartos es muy útil porque por ejemplo puede “detectar empleados que utilizan sus ordenadores corporativos y sus cuentas corporativas para fines totalmente personales”. Saberlo permitiría a las empresas indicar a esos empleados, a través de algunos cursos de concienciación, “por qué no tienen que hacer todo lo que están haciendo”.

Enthec nace “con la mirada muy puesta en los feeds de información, sobre todo documental y el tema de correos y comportamiento de los empleados de las empresas, y ahora hemos crecido”, dice la responsables de Enthec. Después de agregarse una capa de UX (user experience) para que cualquiera pueda entender todo lo que encuentra la herramienta, “ahora estamos entrando en temas de IoT, estamos entrando en temas de honeypots, incluso empezamos a hacer rastreos de criptomonedas para ver de dónde vienen transacciones y detectar si alguna empresa está haciendo minería sin saberlo” y, como no podía ser de otra manera, “se está trabajando con inteligencia artificial “porque como tenemos una base de documentos tan grande estamos haciendo unos motores de inteligencia artificial para que avisen si alguno de estos documentos incumple GDPR”.

Kartos

Kartos lo único que necesitas es que le metas una URL, “y automáticamente todo nuestro entramado de robots se pone a monitorizar toda la red, tanto internet como Deep Web y Dark Web, para encontrar todas las filtraciones de información que hay alrededor de ese dominio y alrededor de esa empresa”.

Respecto al tamaño de cliente, “tenemos de todo”, desde grandes cuenta que además son las que más se asustan con el resultado, a empresas más pequeñas.

Menciona María Isabel Rojo el caso de un cliente con apenas 30 empleados que no hacía más que cambiar las tarjetas de crédito porque llegaban cargos de compras de consolas de juegos y similares; al final se dieron cuenta que uno de los empleados con acceso a esas tarjetas había metido sus credenciales corporativas en un foro que había sido hackeado, “y daba igual cuantas veces cambiaran las tarjetas porque tenían acceso a su correo y a esa información”.

IoT

Volvemos al mundo del Internet de las Cosas, o Cosas Conectadas, o, como quiso bautizarlo sin éxito una compañía, el Internet of Everything. Se trata de un mercado enorme, con un valor que alcanza los 82.400 millones de dólares en 2020, según datos de Quince Market Insights, y en el que se prevé un crecimiento medio anual del 21,3% hasta 2028. Y si nos centramos en el mercado de seguridad del IoT, crecerá desde los 12.500 millones de 2020 a los 36.600 previstos para 2025 gracias, entre otras cosas, a una mayor preocupación de seguridad en infraestructuras críticas, incremento de los ataques contra dispositivos IoT, el riesgos de fuga de datos en redes IoT o las crecientes regulaciones de seguridad, según la consultora Markets and Markets.

Consciente de la situación, Enthec trabaja para incorporar la monitorización del Internet de las Cosas. Explica María Isabel Rojo que cuando trabajan con el espectro de IPs de una empresa “podemos saber si tienes una base de datos expuesta, si tienes un servicio FTP… Podemos saber muchísimo sobre su empresa y no somos intrusivos”, y el siguiente paso, pensando en el IoT, es: “estamos empezando a crear una base de datos enorme donde meter motores de patrones y de inteligencia artificial con el fin de detectar en qué casos hay un elemento de IoT expuesto detrás de esas IPs”.

Esta evolución de producto está atrayendo muchos clientes de sectores como puertos marítimos o de transporte “que son empresas que están yendo por completo a IoT”, porque es muy interesante para ellos saber qué exposición tienen cuando, por ejemplo, un barco lleno de dispositivos IoT está entrando en un puerto, o una furgoneta de reparto, “porque si no lo tienes muy bien controlado, a lo mejor estás expuesto y no lo sabes”, dice la directiva añadiendo: “Nosotros somos los ojos de tu empresa, pero que miran a toda la red en vez de a tu empresa, nosotros sabemos lo que sabría toda la red sobre tu empresa”.

Pasar a monitorizar las IP del IoT, de miles de millones de cosas conectadas, es dar un paso enorme. Dice María Isabel Rojo que por ello se cuenta con “una infraestructura gigantesca por detrás, dispuesta a aguantar terabytes”. Dice también la CEO de Enthec que la compañía nació con la idea de monitorizar entre dos y cuatro millones de dominios y que durante un año el trabajo fue “crear una arquitectura lo suficientemente sólida y poner tecnologías punteras para que soporten toda esta carga. Tenemos cientos de robots monitorizando 24/7 toda la red que te están haciendo una ingesta enorme de datos dentro de la plataforma, y todo esto tiene que ir funcionando como un engranaje”.

Canal

Cuando hablamos de canal nos cuenta María Isabel Rojo que se ha afrontado teniendo en cuenta que son herramientas nuevas en el mercado y que el primer paso que se está dando es “elabora un entramado de partners de seguridad que ven que nosotros aportamos valor a sus clientes”, para lo que se ha puesto en marcha una amplia campaña “para darnos a conocer”.

De los casos de uso de la tecnología de Enthec, que varían entre gestión del riesgo de terceros, gestión de riesgos empresariales, GDPR, protección de la imagen pública, cumplimiento, etc., el que más está creciendo es, “sin ninguna duda, la gestión de proveedores, la gestión de terceros”, dice María Isabel Rojo, añadiendo que durante 2019 el 70% de los ataques a las empresas se produjeron a través de los proveedores.