“Estamos muy

lejos de poder
llevar una
investigación
con la velocidad
número 17 - JULIO 2017
mínima exigible”
cso.computerworld.es

Juan Antonio
Rodríguez
Teniente Coronel del Departamento de Delitos
Telemáticos de la UCO de la Guardia Civil
 sumario CSO ESPAÑA

A fondo FACTOR HUMANO en primera persona ENTREVISTA

o Recuperación de desastres: o Por qué estudiar seguridad o Juan Antonio Rodríguez, Teniente Coronel del o Federico Dios, Director Técnico
un plan contra el Apocalipsis. en la universidad… y por qué no. Departamento de Delitos Telemáticos de la UCO de Akamai.
de la Guardia Civil.
“iDG SECURITY DAY”

o EDITORIAL

PRO T E CC I Ó N D E DAT O S

o Petya, nuevo jaque al mundo de la ciberseguridad

G E S T I Ó N D E L A S E G U R I DA D D E L A I N F O R M AC I Ó N

o Los cinco peores riesgos de privacidad de datos

E M PR E N D I E N D O E N S E G U R I DA D

o “Nos gusta pensar que ya estamos empezando a cambiar

el mundo de la protección de contenidos” Javier Capilla, CEO de 3ANTS

legislación

o FBI: cuidado con jugar con la privacidad y la ciberseguridad en los juguetes conectados

opinión
o”IDG Security Day” marca la ruta de la ciberseguridad a nivel global o Geopolítica y ciberseguridad

JULIO 2017 | CSO

 @ [email protected]
t @CSOspain
CSO ESPAÑA
o cso.computerworld.es

REDACCIÓN
Directora: EDITORIAL

GDPR, una vez más, tarde...

María José Marzal @ [email protected] t @mjmarzal
Coordinadora editorial:
Esther Macías @ [email protected] t @esmacis
Redactores y colaboradores:
Alfonso Casas @ [email protected] t @acasasIDG
Mario Moreno @ [email protected] t @mmoret02

T
Claudia Ortiz-Tallo @ [email protected] t @ClauOrtiztallo
Andrea Benito @ [email protected] t @andreabenitoar
Cristina Cueto @ [email protected] t @criscue
.odas las organizaciones pú- datos se han convertido en los prota- consignas de la nueva reglamentación.
Víctor Fernández, Marga Verdú, Paloma Torres, Isabel Campo,
Eugenio Ballesteros, Beatriz Sánchez, José Antonio Rubio. blicas y privadas lanzan con- gonistas absolutos de este nuevo esce- En España, tampoco. Mar España, di-
Departamento Audiovisual: Juan Márquez tinuamente mensajes acerca nario digital. Su valor es crítico para las rectora de la Agencia de Protección de
Fotografía: Juan Márquez, Beatriz Garrigós, Pepe Varela
de los grandes proyectos organizaciones, tanto que han llegado Datos (AEPD) fue muy clara al respecto
Diseño y producción digital: Missmustache.es
que están abordando en el a definirse como el “oro del siglo XXI”. “todavía no estamos preparados en Es-
PUBLICIDAD proceso de transformación. Robótica, Así las cosas, y asumiendo que este paña para la llegada del Reglamento
Senior Account Manager: Inma Pérez @ [email protected]
Account Manager: Maite Aldaiturriaga @ [email protected] drones, Inteligencia Artificial y un largo nuevo entorno es tan inseguro que ha General de Protección de Datos”. La
Account Manager: Sergio Quero @ [email protected] etcétera de nuevos conceptos que ya nacido toda una industria criminal para única lectura positiva de esta situación
ATENCIÓN AL LECTOr están cambiando de forma drástica los traficar con esos datos, la UE aprobó es que es una de las pocas veces que
@ [email protected] 902 103 235 / 913 496 789 cimientos de la sociedad. Pero este hace más de dos años un nuevo marco España muestra las mismas carencias
WEB proceso, además de ser difícil y costo- regulatorio bajo las siglas GDPR de obli- en el cumplimiento que el resto de Eu-
Publicidad online: Miguel Palomero @ [email protected] so, ya que tiene un gran componente gado cumplimiento que contempla pe- ropa. Lo demás está por ver. Y sola-
Programación web: Joaquín Hevia @ [email protected]
de cultura organizaciones para que se nas de hasta el 4% de la facturación de mente restan diez meses para que
EVENTOS convierta en un éxito, existe un eje las empresas que incumplan esta nue- GDPR entre en vigor.
Coordinación: Marta García @ [email protected]
transversal en todo este proceso que va regulación. Pues bien, según dife-
Organización: Toñi Hernández @ [email protected]
y Nasty Morales @ [email protected]
son los datos. Hablamos de millones y rentes análisis, la mayoría de las orga-
millones de datos que crecen exponen- nizaciones europeas no llegarán al mes
Grupo editorial IDG Communications
cialmente y sobre los que es necesario de mayo adaptadas a esa regulación.
Director general: Manuel Pastor María José Marzal
Directora de Eventos: María José Marzal
establecer un control absolutamente Gartner afirma que más del 50% de las
t @mjmarzal
Director de Marketing Services: Julio Benedetti necesario. ¿Por qué? Muy sencillo los empresas europeas acogerán tarde las
Responsable financiero: José Luis Díaz

JULIO 2017 | CSO

28 septiembre de 2017 | Hotel villamagna | madrid

CIO DIRECTIONS
El cambio de liderazgo
en la economía digital
A FONDO CSO ESPAÑA

Decir que el panorama de la

seguridad de las TI pone los pelos

como escarpias es poco. Rara es

la semana que no conocemos

una nueva amenaza que, para

colmo, es más catastrófica que

sus precedentes. El Apocalipsis, sin

más. Pero sus efectos se pueden

atenuar. Y es ahí donde entra

en juego estar preparados para

recuperarse del desastre sufrido. Recuperación de desastres:

un plan contra el Apocalipsis
Víctor Manuel Fernández

JULIO 2017 | CSO

 a fondo CSO ESPAÑA

E
l cine está lleno de escenas Ahora cambiemos los extraterrestres y
como las que siguen: dece- los malos malísimos por un malware o
nas, centenares de naves ex- un ransomware, y los sufridos –siempre
traterrestres asolan el plane- en aquella clase de películas– habitan-
ta Tierra. Finalmente, y tras tes de la Tierra por una empresa. Sí, qui-
morir terrícolas a cascoporro, un simple zás el escenario sea incluso aún más
virus acaba con la invasión alienígena. escalofriante, pero es lo que hay.
La vida renace de nuevo en la Tierra; los Pues eso, que vamos a hablar de de-
malos más malos de la Segunda Guerra sastres y de recuperación de los mismos
Mundial invaden una ciudad, se forma en el entorno de las TI. ¿Por qué? Por-
un grupo de resistencia y la mitad de sus que toca, que diría aquel. La actualidad,
miembros y la cuarta parte de la pobla- por desgracia, obliga a ello, y no está el
ción son fusilados, torturados, etcétera. panorama como para no lanzar todos
Pero los malos malísimos son derrota- los avisos que se puedan o dar los me-
dos y la ciudad, prácticamente en ruinas, jores consejos, si cabe, para recuperar-
es reconstruida por los supervivientes; se lo antes posible de un desastre.
decenas de… Y así podríamos rellenar plos no será, desde luego–. Según datos distintos ataques de estas característi-
las páginas que ocupa este reportaje. El escenario es el que es del informe Cost of Data Breach, elabo- cas en los últimos 12 meses con un cos-
¿Y? Está claro, ¿no? Después del desas- Y es que no está el patio para tomár- rado por Ponemon Institute a petición te anual aproximado de 500.000 dóla-
tre llega la calma necesaria para acome- selo a chufla. ¿Hablamos, por ejemplo, de IBM, el coste medio por registro per- res, según el Informe Global de Amenazas
ter los planes necesarios para recons- de WannaCry o de Petya? Por poner al- dido o robado asciende en 2017 a 3,62 DNS de EfficientIP.
truir, reparar… Lo que sea menester. guno, ¿eh?, los más recientes –por ejem- millones de dólares de media. Por em- Mejor dejarlo aquí, ¿verdad? Porque
presa, un coste medio de 141 dólares miremos las cifras que miremos rela-
Según datos del informe ‘Cost of Data por registro robado. Es decir, un dinero cionadas con la seguridad, la evidencia
más que importante. es sangrante: las nuevas amenazas, las
Breach’, elaborado por Ponemon Institute a ¿Quiere más cifras? ¡Las tenemos!, fal- que vinieron y están por venir, hacen
petición de IBM, el coste medio por registro taría más. A escala local, aquí, en Espa- necesario estar preparados ante cual-
ña. Un ataque de denegación de servi- quier ataque que devaste la infraes-
perdido o robado asciende en 2017 a 3,62 cio (DDoS), por citar una referencia. El tructura de una empresa y acabe con
millones de dólares de media 39% de las empresas españolas sufrió sus datos.

JULIO 2017 | CSO

a fondo CSO ESPAÑA

Ante todo, cabeza

La expresión que viene a continuación,
obra de Félix Muñoz, director general de Elementos a tener en cuenta para
InnoTec (Grupo Entelgy), no puede ser
más afortunada: “Ante un ciberinciden- afrontar una recuperación ante desastres
te no debemos dejarnos llevar por la
improvisación. Aunque los españoles Marco Lozano, experto en ciberseguridad del Instituto Nacional
tengamos fama de ser buenos improvi- de Ciberseguridad (INCIBE), expone los elementos a tener en
sando, debemos ceñirnos a un plan pre- cuenta para actuar en caso de una recuperación de desastres:
viamente establecido que nos guíe y nos • “Lo primero, determinar el alcance del impacto. Hay que con-
permita dar los pasos correctos a pesar siderar que, si la empresa presenta cierta complejidad organi-
de la tensión del momento”. zativa, abordar un proceso de mejora de la continuidad puede
Mejor no se puede resumir el panora- suponer emplear un número de recursos y un tiempo excesivo.
ma al que nos enfrentamos, plagado de Por tanto, es recomendable comenzar por aquellos departa-
amenazas. Que pueden llegar en cual- mentos o áreas con mayor importancia y progresivamente ir
quier momento, sin avisar. Eso obliga a ampliando la continuidad a toda la organización.
las empresas a prevenir, protegerse y • Tratar de mantener el nivel de servicio, aunque sea mínimo.
reaccionar ante incidentes de seguridad De este modo el impacto sobre los clientes se verá reducido.
que puedan afectarles y que podrían • Establecer un periodo mínimo para la recuperación de la
impactar en sus negocios. ¿Cómo? “Pro- actividad. Si no se cuenta con un plan, habrá que analizar rápi-
tegiendo los principales procesos de damente la situación para permitir aplicar correcciones en el
negocio a través de un conjunto de ta- mínimo tiempo posible.
reas que permitan a la organización re- • Tratar de volver a la situación inicial previa al incidente
cuperarse tras un incidente grave en un • Analizar el motivo y el impacto que ha generado el incidente
plazo de tiempo que no comprometa su • Si aplicase, concienciar al personal acerca de lo que ha ocurri-
continuidad”, explica Marco Lozano, ex- do para que estén preparados en caso de que el problema
perto en ciberseguridad del Instituto pueda volver a repetirse”.
Nacional de Ciberseguridad (INCIBE).
¿Qué se consigue con este proceder?
En primer lugar, garantizar una respues-

JULIO 2017 | CSO

 a fondo CSO ESPAÑA

ta planificada ante cualquier fallo de se-

guridad. Una manera de actuar que está
llena de beneficios para la empresa: El ‘pecado’ de la empresa española
desde el cuidado de su imagen y repu-
tación hasta la limitación de impacto En opinión de Angélica Mayo, technology continuity services de-
financiero del ataque sufrido, lo mismo livery manager en España de DXC, la empresa española no está
que ocurre con la pérdida de informa- demasiado bien prepara para afrontar un desastre y poner en
ción crítica ante dichos incidentes, que marcha el correspondiente plan de recuperación. “Desgraciada-
también se limita. mente pensamos que no hay suficientes empresas que se prepa-
Por consiguiente, con un plan de con- ren para ello, salvo en algunos sectores en los que los planes de
tinuidad de negocio que contiene un contingencia son requisito legal o de auditoría. Muchas veces nos
plan de recuperación frente a desas- damos cuenta de que los equipos técnicos tienen verdaderas di-
tres. Un plan que tenga en cuenta los ficultades para hacer que la gestión de la empresa sea conscien-
siguientes pasos: notificar lo ocurrido te de la importancia de invertir tiempo y dinero en la continuidad
a la alta dirección de la empresa, po- del negocio, ya que se trata de un servicio que se considera ‘no
nerse en contacto y organizar el equipo productivo’, no genera negocio, es simplemente ‘un seguro’, un
de recuperación en caso de siniestro, coste añadido”, detalla dicha ejecutiva.
determinar el grado del siniestro, pro-
ceder con el plan de recuperación de
aplicaciones adecuado en función de la
estrategia de recuperación adoptada y aporta, precisamente, aquel ejecutivo tos tales como “un análisis extenso de involucrando a todos los miembros de
supervisar los progresos. “En definitiva, de IBM: “La existencia de un plan de ges- los procesos de negocio de cada orga- la empresa. Y es que no todas las em-
ejecutar lo que antes se ha planificado, tión de crisis y plan de contingencia nización, infraestructura de IT, respaldo presas tienen el mismo tamaño ni los
revisado y probado”, aconseja Miguel para la empresa y para los sistemas ga- de datos, recursos, requisitos de conti- procesos o niveles de seguridad nece-
Ángel Ordóñez, director de servicios de rantizará que no haya errores en la si- nuidad y métodos de prevención de de- sarios son idénticos. No obstante, con-
resiliencia de IBM España. tuación indicada”. sastres”, según explica Angélica Mayo, viene recordar algunas de las fases que
Eso implica tener muy claro qué hacer technology continuity services delivery toda empresa, sea cual sea su tamaño,
Cómo actuar y, una vez dado este paso, interiorizar manager en DXC España. Lo que sólo se ha de abordar. Las expone Angélica
Una vez analizado el qué, es hora de todos los procedimientos definido en consigue realizando distintas pruebas Mayo: “Recolección de datos, implemen-
centrarnos en el cómo. Y la clave la dicho plan de respuesta. Procedimien- del mismo para diferentes escenarios e tación y testeo del plan de recuperación

JULIO 2017 | CSO

 a fondo CSO ESPAÑA

de desastre y, por supuesto, y muy im-

portante: las acciones que se llevan a
cabo y la monitorización de las situacio- Medidas de prevención a tener en cuenta
nes de contingencia”.
en caso de ser víctima de un ataque
¿Qué hacer y qué no hacer?
Hasta este punto hemos hablado de Alfonso Franco, CEO y director general de All4sec, ofrece una serie de
teoría. ¿Y la práctica? Esa llega cuando medidas de prevención que son mucho más sencillas y básicas de lo
se produce el desastre. Y, como dijimos que pudiera parecer:
líneas más arriba, puede ocurrir en cual- • “Concienciación: es necesario asumir que llegará el momento
quier momento, lo que implica estar en el que se produzca un desastre y hay que estar preparado y saber
preparados, tener sangre fría y la men- cómo actuar. Por lo tanto, el personal debe de estar concienciado y
te preparada para actuar sin más dila- preparado adecuadamente.
ción. O sea, “no nos debemos dejar lle- • Backup: sigue siendo fundamental disponer de copias de segu-
var por el pánico y, si no tenemos claro ridad eficientes de los sistemas y datos críticos para el negocio.
cómo proceder, dejarnos aconsejar por • Protección: la seguridad ya no es algo de unos pocos, sino que
los especialistas”, como razona Félix es un problema que afecta a todos. Así que, en mayor o menor me-
Muñoz, de InnoTec. dida y dependiendo del sector de la empresa, tamaño, etcétera,
En este punto, tal y como apunta An- deben existir medidas de protección y seguridad.
gélica Mayo, es fundamental “contar • Planificación y formación: es necesario prepararse para los casos
con el partner adecuado que le ayude a de desastre y disponer de protocolos de actuación. En empresas de cierto
crear un plan capaz de integrar la in- tamaño será necesario que exista un comité de crisis preparado para
fraestructura TI tanto de entornos tra- poder reunirse de manera inmediata en esos casos y poder tomar las
dicionales como soluciones en cloud, decisiones necesarias. Los protocolos de actuación deberían probarse de
adecuando las criticidades de los distin- la misma forma que se realizan simulacros de evacuación de edificios.
tos entornos con la solución que mejor • Asesoramiento: en estos casos, contar con personal experto que
se ajuste”. pueda asesorar a la empresa sobre las actuaciones necesarias tanto en
A continuación, todo dependerá de la lo relativo a los aspectos técnicos como a los legales, o de comunicación
amenaza, de los daños causados y del es fundamental, y puede llegar a minimizar el impacto del problema”.
tamaño de la empresa que haya sufrido

JULIO 2017 | CSO

 a fondo CSO ESPAÑA

el ataque. Porque, como bien recuerda da su estrategia de recuperación ante

Marco Lozano, “esta cuestión no tiene desastres, y menos definido el procedi-
una respuesta concreta, ya que todo de- miento para afrontarlo”, establece Mi-
penderá del tipo de empresa”. No obs- guel Ángel Ordóñez, de IBM España. La
tante, lo primero es identificar el inci- primera, en la frente. Y no es tampoco
dente, su escalado hacia los grupos que demasiado optimista Alfonso Franco, de
van a gestionar el mismo y su conten- All4Sec: “Sinceramente, creo que muy
ción, erradicación y recuperación. pocas lo están, y los recientes ataques
Después, y sea el caso que sea, no vie- no hacen sino demostrar este hecho.
ne mal poner en práctica alginas leccio- Un malware que podríamos considerar
nes ya conocidas. Es decir, aprender de como ‘cutre’, como Wannacry, tuvo a
cada incidente de seguridad que sufra empresas de este país paradas durante
la empresa y mejorar su protección para días. Si bajamos un escalón y nos vamos
que, en caso de que se vuelva a repetir, al sector de las pymes, se puede afirmar
el daño sea mínimo. que en absoluto están preparadas para
Y sin olvidar un detalle que nos recuer- afrontar un problema de ciberseguridad
da Alfonso Franco, CEO y director gene- grave”.
ral de All4Sec: “Es aconsejable, y con la ¿A qué viene tanto pesimismo? Más
implantación de GDPR, el nuevo Regla- claro, el agua, la explicación que aporta
mento de Protección de Datos, en mayo la portavoz de DXC: “Desgraciadamente
de 2018, ya será obligatorio notificar el pensamos que no hay suficientes em-
incidente sufrido, así como el alcance presas que se preparen para ello, salvo
del mismo”. en algunos sectores en los que los pla-
nes de contingencia son requisito legal
El panorama de las empresas o de auditoría. Muchas veces nos da-
españolas Es preciso tener un plan de continuidad de mos cuenta de que los equipos técnicos
¿Qué nos encontramos en España? tienen verdaderas dificultades para ha-
“Tenemos todos los casos posibles,
negocio que a su vez contenga un plan de cer que la gestión de la empresa sea
pero, en general, podemos decir que las recuperación frente a desastres consciente de la importancia de invertir
empresas españolas tienen poco proba- tiempo y dinero en la continuidad del

JULIO 2017 | CSO

a fondo CSO ESPAÑA

negocio, ya que se trata de un servicio poner de un plan de recuperación de

que se considera ‘no productivo’, no ge- desastres, por lo que pueda pasar? Si
nera negocio, es simplemente ‘un segu- bien está claro que el 100% de seguri-
ro’, un coste añadido”. dad no existe, es vital la concienciación
¿Es lo que hay? Todo depende del tipo dentro de la empresa. De ahí que, de
de empresa, como afirmamos algunas igual manera, se impone contar con un
líneas más arriba. Y también de su de- plan de recuperación frente a desastres,
pendencia tecnológica. Así, cuanto más con sus correspondientes fases y accio-
se depende de la tecnología, mejor pre- nes a aplicar para que el negocio de la
parada está la empresa. ¿Y las peque- empresa esté nuevamente operativo y
ñas? Ese es otro cantar. Más que nada, lo antes posible.
porque, por desconocimiento, no sue- Por otro lado, la concienciación tam-
len tener implementado ningún tipo de bién pasa por el usuario –en este caso,
plan de recuperación o contingencia. el trabajador–, que suele ser uno de los
Marco Lozano, del Incibe, nos pone un puntos esenciales de la seguridad de la
ejemplo para describir esta situación, empresa. Conocer las amenazas y
para nada extraña para muchas –quizás aún: cuando se dispone a restaurar la casos, se ha materializado en multitud cómo actuar frente a ellas es una de las
demasiadas– empresas de este país: última copia de seguridad, resulta que de negocios, de ahí que sea esencial actuaciones más urgentes que ha de
“Imaginemos una pequeña asesoría que el archivo, por alguna razón, se ha co- contar con un plan de recuperación. poner en marcha la compañía antes de
cuenta con sólo cuatro ordenadores rrompido y no es posible la restaura- que la enfermedad convierta el reme-
para realizar las tareas propias de ese ción. El desastre es aún mayor”. Una La prevención, el mejor ataque dio en inútil.
tipo de empresa. Un día resulta que dos historia ficticia, pero que, en muchos Visto lo visto, ¿es importante o no dis- Y, por último, nunca olvidar revisar y
de sus ordenadores, los usados para al- probar periódicamente cada una de las
macenar la información de los clientes, medidas implementadas en el plan.
son infectados por un ransomware y no ¿Cuál es el objetivo de tal manera de ac-
es posible recuperar los archivos. La
La concienciación también pasa por el tuar? Comprobar su funcionamiento y
asesoría hace copias de seguridad, pero usuario –en este caso, el trabajador–, que efectivad. “No nos vaya a ocurrir lo que
sólo una vez al mes. ¿Qué ocurre con la le pasó a la empresa ficticia anterior
información que se ha perdido desde la
suele ser uno de los puntos esenciales de la cuando intentó restaurar la copia de se-
última copia? Pero lo peor no ha llegado seguridad de la empresa guridad”, concluye Marco Lozano. CSO

JULIO 2017 | CSO

 19 septiembre de 2017 | Hotel ritz | mAdrid

BIG DATA
Retos del presente y posibilidades del futuro
 PROTECCIÓN DE DATOS CSO ESPAÑA

Petya, nuevo jaque

al mundo de la ciberseguridad
Solo un mes ha tardado en llegar otro ataque de condiciones similares a

WannaCry. Los cimientos de la seguridad informática vuelven a temblar,

no ya por lo sucedido, sino por lo que puede venir.

M. Moreno.-

JULIO 2017 | CSO

¿
PROTECCIÓN DE DATOS CSO ESPAÑA

Qué hay que hacer para pasar dos a la audiencia. Actuarán como
a la historia? Sus páginas, llenas recuerdos de lo que puede pasar si em-
de crónicas de personas excep- presas, instituciones y ciudadanos no
cionales en cualquier disciplina, ponemos remedio o atendemos a las
han pasado por alto, segura- recomendaciones. “Estos dos últimos
mente, a cientos de miles de seres que ataques tienen más repercusión por los
merecían coparlas. Incluso, le ha dedi- vectores utilizados y porque afectan
cado más de un capítulo a algún que principalmente a empresas que inclu-
otro impostor. Y solo el tiempo puede yen grandes corporaciones”, explica Jo-
rescatar a alguno de estos genios in- sep Albors, responsable del laboratorio
comprendidos para situarlo en el olim- de ESET España. No obstante, parece
po de la fama. Si traspasamos la re- que Petya no ha tenido ni mucho menos
flexión al mundo de la ciberseguridad, las consecuencias de WannaCry, que in-
encontramos un caso bastante análogo. fectó unos 300.000 equipos en todo el
Por ejemplo, el año pasado, SonicWall mundo el pasado 12 de mayo. Y, en Es-
identificó 638 millones de infecciones paña, grandes cuentas como Telefónica
vía ransomware en el mundo, 3,8 millo- y empresas asociadas a sus servicios Según varios expertos, las ganancias
nes más que en el anterior ejercicio. tuvieron que poner freno a su actividad,
Muchas de ellas, por no decir la mayo- para centrarse, durante unos días, en obtenidas por el ataque apenas habrían
ría, fueron más dañinas que WannaCry mitigar el ransomware. En cualquier pasado de los 13.500 dólares
y Petya, los ataques que en los últimos caso, Petya (diminutivo de Pedro en
meses han sacudido los cimientos de la ruso), afectó principalmente a Ucrania,
seguridad y, por qué no, de la sociedad donde colapsó el metro de Kiev, el Ban- simplemente casos asociados a filiales Lab. Pero, como decíamos, las similitu-
en su conjunto, ocupando todas las por- co Nacional y varios aeropuertos y ban- de las empresas afectadas en Ucrania. des, la cercanía en el tiempo y el estado
tadas. Además, en caso de este último cos del país. En Rusia ‘cayó’ la petrolera “Podemos constatar que no ha habido de alerta en el que todavía se encontra-
es fácil tener más impacto económico, Rosneft, y además, Reino Unido y la In- ninguna incidencia en el ámbito de las ban industria y sociedad hicieron del
su trascendencia se sitúa cercana al dia se vieron especialmente afectados. compañías españolas”, explican. En to- pasado 27 de junio un nuevo caso para
cero. Sin embargo, cada vez que se emi- En España, tal y como confirma Incibe tal, unos 2.000 objetivos fueron los ata- la ya no tan reciente historia de los ata-
ta una noticia de este rango en las tele- (Instituto Nacional de Ciberseguridad) a cados, la mitad de ellos del sector indus- ques informáticos. Una suerte de Wan-
visiones, estos nombres serán recorda- CSO, no ha tenido apenas incidencia, trial, según el cómputo de Kaspersky naCry 2.0.

JULIO 2017 | CSO

 PROTECCIÓN DE DATOS CSO ESPAÑA

La importancia de estar preparado

“No hay ninguna duda de que este tipo de • Otorgar buenas políticas de conciencia-
ataques serán cada vez más frecuentes en el ción hacia empleados, clientes y provee-
futuro”, asegura a CSO Jonathan Care, analis- dores.
ta de Gartner. Y las estadísticas lo ratifican. En • Realizar copias de seguridad periódicas.
España, Incibe gestionó 35.762 incidentes, 49.976 • No pagar nunca al ciberdelincuente, pues
en 2015 y 115.257 en 2016. “Lo importante es no se cuenta con garantías de recuperar
mejorar nuestras capacidades de prevención, la información.
detección, respuesta, mitigación y de acciones • Denunciar el ciberdelito ante las FCSE.
de mejora”, avisan. Por ello, insisten, han ela- • Estar informado en medios oficiales como
borado una serie de recomendaciones para Incibe.
hacer frente a este tipo de amenazas: • Ante un incidente ponerse en contacto
• Mantener los equipos bien actualizados con Incibe a través de sus servicios gra-
y con herramientas de seguridad. tuitos.

Un ataque muy sofisticado redes corporativas utilizó una herra- go, y según las conclusiones del Centro tener un beneficio económico, sino per-
Petya, que ha afectado a equipos Win- mienta legítima de Microsoft conocida Criptológico Nacional (CCN-CERT), que judicar a las víctimas, ya que no ha adop-
dows, cifró los sistemas bajo las exigen- como PsExec. “Cualquiera que haya también confirma que el sector público tado las medidas habituales para
cias de un rescate de 300 dólares paga- ejecutado sistemas operativos que no y las empresas estratégicas españolas conseguir el anonimato y la disponibi-
dos mediante bitcoin. Según detalla hayan sido parcheados con motivo de no se han visto afectadas en esta cam- lidad del servicio de cobro propia de
Albors, y al igual que WannaCry, éste la aparición de WannaCry, podría ser paña, el código dañino utilizado es bas- otras campañas de cibercrimen”. Desde
utilizó el exploit Eternal Blue de la NSA vulnerable a este nuevo ataque”, afirma tante más sofisticado que el de Wanna- la tecnológica de Redmond aseguran
como vector para conseguir infectar a Raj Samani, gurú de la ciberseguridad Cry. En este caso, indican, podría que su software de antivirus detecta y
sus víctimas. Y para propagarse por las y vicepresidente de McAfee. Sin embar- tratarse de un ataque más dirigido ya protege contra este ransomware, ya co-
que la detección inicial del mismo fue nocido desde hace tiempo. “Nuestro

En España no se ha visto afectado localizada con una rápida expansión

posterior. “Además, da la sensación de
análisis inicial detectó que el virus uti-
liza múltiples técnicas para difundirse,
el sector público ni empresas estratégicas que el agresor no parece pretender ob- incluyendo a aquellos que implantaron

JULIO 2017 | CSO

 PROTECCIÓN DE DATOS CSO ESPAÑA

la actualización MS17-010. Nuestros de descifrado, y por tanto, cualquier in-

equipos de soporte están movilizados centivo para pagar el rescate. Las ganan-
a nivel mundial para ayudar a los clien- cias fueron tan reducidas que, según
tes afectados”, aseveraron. En todo caso, varios expertos, no habrían pasado de
manifiestan varios expertos, las víctimas los 13.500 dólares. Este hecho transpor-
de Petya no cuentan con muchas excu- ta a la idea, que anteriormente confir-
sas, ya que la vulnerabilidad ya había maba el CCN-CERT, de que el económico
sido parcheada por Microsoft. Las ame- no era el móvil del delito, sino que detrás
nazas como Petya son muy peligrosas se esconden motivos mucho más sinies-
para las infraestructuras críticas y los tros. Informes elaborados por Kaspers-
sistemas industriales porque el ataque ky y Comae señalan que los ‘malos’ que
puede afectar a los sistemas de auto- estaban detrás de Petya nunca pudieron
matización y procesos de control con- descifrar la información codificada. Tam-
siderados críticos. Como detalla el in- poco querían. “El objetivo principal no
forme de Kaspersky, los ataques se era hacer dinero, sino destruir”, señala-
vuelven más violentos, dado que más ba Anton Ivanov, empleado de la firma
allá de poder afectar a la producción de rusa especializada en ciberseguridad. El
las organizaciones o las finanzas de cual- virus ha sido reescrito para funcionar
quier negocio, también se extiende a la como lo que los expertos llaman “lim- El objetivo no parece otro que el simple
condición humana. piaparabrisas”, que solo tiene el propó-
sito de dañar. Este ataque simplemente
hecho de hacer daño
El verdadero objetivo destruye los archivos y evita que sean
Si el principal motivo fue hacer negocio, reparados. “Puede ser que la intención altercados. Si el objetivo fue princi- las consecuencias sufridas en otras
el ransomware Petya ha resultado ser un fuese simplemente entrar en la agenda palmente hacer daño a Ucrania, regiones serían meros daños cola-
gran fracaso. Es más, poco tiempo des- de los medios de comunicación de todo como creen en el país, las fechas terales. Es más, según la BBC, Ucra-
pués del secuestro la dirección de pago el mundo”, reportaron desde Comae. fueron más que oportunas, en los nia asegura tener pruebas que in-
fue bloqueada por el servidor Posteo en “Quizás para llamar la atención de algún albores del día de la Constitución (3 volucran a Rusia en el ciberataque,
los equipos de toda Ucrania, Rusia y Eu- grupo de hackers”. de julio) que conmemora la inde- aunque desde Moscú niegan todo
ropa Occidental. Esto eliminó cualquier Las teorías conspirativas no se li- pendencia del país de la Rusia so- tipo de acusaciones y las tachan de
posibilidad de que se recibiera una clave bran de aparecer en este tipo de viética. Conforme a esta hipótesis, “insostenibles”. CSO

JULIO 2017 | CSO

FACTOR HUMANO CSO ESPAÑA

Por qué estudiar seguridad

en la universidad… y por qué no

Dos expertos en el ámbito debaten si es una pérdida

de tiempo o si realmente te prepara para el trabajo.

Ryan Francis

JULIO 2017 | CSO

 FACTOR humano
Factor HUMANO CSO ESPAÑA

E
n lo referente al valor de tecnológicos y sociopolíticos.
acudir a clases universita- Mientras, escuchará hablar mucho de
rias sobre seguridad, existe la carencia de competencias tecnológi-
una división filosófica entre cas. Y, según dicen, no hay ningún as-
los académicos y quienes pecto en el que la carencia sea tan am-
trabajan en el sector de la seguridad. A plia como en seguridad. Algunas
medida que se acelera el ritmo y la es- empresas están tomando cartas en el
cala de las violaciones de seguridad de asunto por su cuenta. Por ejemplo, para
la información y que el panorama de las que las nuevas generaciones entiendan
amenazas se vuelve más sofisticado, los la seguridad, Facebook está intentando
líderes de ciberseguridad deben prepa- enseñar a los alumnos de los primeros
rar sus empresas y a su personal de se- cursos de secundaria a hackear.
guridad para resistir ante lo desconoci- Para obtener las habilidades de segu-
do. Los líderes actuales deben reforzar ridad más necesarias en muchas em-
su capacidad corporativa para organizar presas, los estudiantes y graduados ten-
respuestas completas ante los eventos drán que adoptar un enfoque
de seguridad de alto impacto, incorpo- contradictorio respecto a su formación
rando a sus planes factores económi- y a su carrera, explica Shawn Burke, CSO
cos, humanos, legales, organizativos, global de Sungard AS. Por el contrario,

En lo referente al valor de acudir a clases

universitarias sobre seguridad, existe una
división filosófica entre los académicos
y quienes trabajan en el sector de la
seguridad

JULIO 2017 | CSO

FACTOR humano
Factor HUMANO CSO ESPAÑA

Alan Usas, director del programa Execu- la que las personas interactúan con la
tive Master in Cybersecurity de la Uni- tecnología, así que el factor humano es
versidad Brown, cree que esas habilida- central en la ecuación de las respuestas
des y conocimientos se aprenden mejor y los riesgos. Los líderes de ciberseguri-
en un campus universitario. dad proactivos tienen en cuenta los
puntos fuertes y débiles de las personas
No abandone la universidad aprendiendo cómo el comportamiento
Usas explica por qué es bueno apren- humano expone a la empresa a riesgos
der sobre seguridad en un entorno con- cibernéticos; cómo implementar equi-
trolado como la universidad. pos ágiles y bien informados para abor-
1. Construyendo sistemas de TI sóli- darlos y cómo aumentar la conciencia-
dos que limitan los riesgos cibernéti- ción en torno a la seguridad en todos
cos los usuarios. Los líderes y sus equipos
Los líderes necesitan conocimientos deben tener en cuenta los flujos de tra-
prácticos que afronten los desafíos de bajo, los compromisos entre usabilidad
construir y administrar sistemas de tec- y seguridad respecto a cómo se diseñan
nologías de la información ágiles y re- los sistemas y cómo se establecen las
sistentes y que combatan los riesgos políticas corporativas, maneras de des-
cibernéticos. Esto significa hacer mala- a la toma de decisiones sobre el terre- mento humano alentar y detectar las amenazas internas
bares con los costes y riesgos que for- no, y perfeccionar sus habilidades ope- La seguridad no es solamente, ni si- accidentales e intencionadas y otros fac-
man parte de todas las decisiones de rativas y de liderazgo. quiera principalmente, un problema tores humanos.
seguridad y privacidad, y competir de técnico. Las mayores preocupaciones
manera efectiva por los recursos cor- 2. Evaluando el problemático ele- de seguridad derivan de la manera en 3. Haciendo uso de la ley, la política
porativos internos esenciales para la y las estructuras de Gobierno
seguridad. Los grandes líderes deben Los líderes de ciberseguridad aprove-
mejorar sus conocimientos de las me- No hay ningún aspecto en el que la chan la ley, la política y las prácticas de
jores prácticas y heurística de seguri-
dad global, aplicar sus conocimientos y
carencia sea tan amplia como en el gobierno relacionadas con compartir la
información dentro y a través de los sec-
experiencia de seguridad y negocio al ámbito de la seguridad tores público y privado, la protección de
planeamiento estratégico, además de las infraestructuras críticas, la defensa

JULIO 2017 | CSO

 FACTOR humano
Factor HUMANO CSO ESPAÑA

contra la ciberdelincuencia, el gobierno nes, los coches sin conductor y el Inter- para asegurar que todas las partes inte- vas amenazas cibernéticas y
de Internet y la complejidad de la ley net de las cosas son solo la punta del resadas, incluyendo los empleados, los dispositivos del Internet de las cosas
internacional para la privacidad, la se- iceberg. Mientras, los líderes de ciberse- directivos y los accionistas, entiendan conectados a la red y que evolucionen
guridad y los conflictos cibernéticos. Los guridad intentan asegurar la privacidad los riesgos y el impacto potencial de las los marcos legales y las normas socia-
líderes cibernéticos consumados se en- y la protección de los datos. vulnerabilidades de seguridad. Ser un les de ciberseguridad. Los líderes de
frentan a los retos de la inseguridad in- 5. Consiguiendo resultados influen- comunicador persuasivo, un buen ges- ciberseguridad deben anticipar y ela-
formática y de red a través de los límites ciando a otros con comunicación tor del cambio, un negociador, un solu- borar planes para los retos legales, po-
empresariales, nacionales e internacio- efectiva cionador de conflictos y un campeón de líticos, económicos y humanos de las
nales, defendiendo las libertades civiles La ciberseguridad ya no pertenece la acción ética son las habilidades socia- tecnologías emergentes y estar prepa-
y otros valores fundamentales. solo al ámbito de TI, es un drama em- les que deben tener los líderes de ciber- rados para implementar estrategias
4. Asegurando la privacidad y la pro- presarial en el que todos los empleados seguridad actuales. defensivas socialmente aceptables que
tección de los datos a nivel global tienen que proteger los activos críticos, garanticen el éxito del negocio.
Con el mundo convirtiéndose en digi- gestionar los riesgos y lograr los objeti- 6. Anticipando el futuro de la tecno-
tal y los humanos superando a las má- vos de la empresa. Los líderes de ciber- logía y sus retos de seguridad Una pérdida de tiempo
quinas como objetivos preferidos de los seguridad tienen que traducir el impac- Durante los próximos tres o cinco Burke, por el contrario, afirma que es-
cibercriminales, proteger los datos per- to de los ciberataques en términos de años, surgirán retos de seguridad so- tudiar seguridad en la universidad no es
sonales y la privacidad se ha convertido negocio atractivos, como pérdida de ciales y tecnológicos importantes, so- la mejor manera de aprovechar el tiem-
en un problema de seguridad crítico. ingresos, productividad o rentabilidad, bre todo a medida que aparezcan nue- po. Aquí nos explica sus razones.
Los líderes de ciberseguridad ya no pue-
den confiar solamente en estar familia- 1. No estudie seguridad
rizados con las leyes que protegen al
Los estudiantes y graduados tendrán Puede ser mucho más valioso para
consumidor en su país. Actualmente, que adoptar un enfoque contradictorio cualquier empresa si conoce bien el
tienen que entender la protección de la trabajo en red, el desarrollo o cualquier
privacidad y la legislación de todo el
respecto a su formación y a su carrera, otra disciplina y es capaz de aplicarle
mundo. La privacidad y la autonomía explica Shawn Burke. Por el contrario, una lógica de seguridad. Eso le ayudará
del individuo en relación al estado y la
empresa, el concepto de privacidad por
Alan Usas, cree que esas habilidades y a entender y anticipar las vulnerabili-
dades, en lugar de simplemente perse-
diseño y los emergentes retos de priva- conocimientos se aprenden mejor en un guir las últimas amenazas con “buenas
cidad y protección de datos que surgen campus universitario prácticas”.
con avances tecnológicos como los dro- 2. No se especialice demasiado

JULIO 2017 | CSO

 FACTOR humano
Factor HUMANO CSO ESPAÑA

Cuando busque la disciplina en la que diferentes empresas que para una

quiera especializarse, evite ser demasiado sola empresa. Las políticas de seguri-
específico. Por ejemplo, si es un experto en dad de una sola empresa son fáciles
Check Point, eso es fantástico, pero, ¿qué de aplicar, simplemente evitando que
pasa si luego se va a trabajar a una empre- los usuarios participen en ciertos com-
sa que usa firewalls Cisco? Es mejor que portamientos. Esas reglas no funcio-
sea un experto en firewalls y conozca todas nan siempre cuando hay que acomo-
las diferentes tecnologías relacionadas. dar requisitos de soluciones complejas
de varios clientes que expanden las
3. Conozca bien su disciplina fronteras de la política de seguridad.
Quizá no haga falta decir esto, pero, En lugar de decir “no”, tiene el reto de
cuanto mejor conozca su campo, mejor ser más creativo a la hora de imaginar
entenderá sus problemas de seguridad. maneras de implementar diferentes
Di está estudiando los firewalls, entien- infraestructuras que mantengan la
da el flujo de paquetes, dónde colocar empresa en funcionamiento y segura.
el equipo, cómo analizar los datos en
bruto y cómo prevenir las amenazas. 7. Mantenga sus habilidades frescas
La tecnología evoluciona demasiado
4. Encuentre la ruta de seguridad de rápido como para centrarse en las
su campo mismas tecnologías durante toda la
Si es bueno programando, puede irse Hace años, Burke estaba buscando a do. Y eso era para un puesto de traba- carrera. Los mejores empleados man-
al terreno de las aplicaciones corporati- alguien que dirigiese un programa de jo bastante fundamental. Perfeccione tienen sus habilidades al día, se invo-
vas y averiguar cómo hacer que sean gestión de vulnerabilidades. Durante sus habilidades de liderazgo para los lucran en grupos de colegas y siguen
seguras; un servicio valioso para mu- las entrevistas, preguntó a los diferen- puestos de trabajo de alto nivel que aprendiendo nuevas tecnologías y
chas empresas. Si es ingeniero de redes, tes candidatos cómo orientarían al llegarán más tarde en su carrera. prácticas relevantes para su área de
puede ayudar a determinar cómo or- equipo, cómo organizarían y delega- especialización. Sabrá que está traba-
questar soluciones a los ataques de de- rían el trabajo y cómo gestionarían a 6. Gane experiencia en la empresa jando para una buena empresa si le
negación de servicio. Todas las discipli- los empleados. Algunas de las res- apropiada incentivan para que amplíe sus cono-
nas tienen necesidades de seguridad. puestas demostraban que la persona En general, es mejor trabajar para un cimientos. CSO
5. Aprenda habilidades de liderazgo no tenía ni idea de qué estaba hablan- proveedor de servicios que ayude a

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

Los cinco peores riesgos

de privacidad de datos

La analítica y las herramientas de ‘big data’ ofrecen enormes

beneficios, pero también un gran potencial de exposición que puede
provocar desde vergüenza a discriminación absoluta. Explicamos a
qué debe estar atento y cómo puede proteger a sus empleados.

Taylor Armerding

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

E
l big data, como sus partida- Es obvio que una información tan de-
rios llevan afirmando du- tallada en manos de profesionales del
rante casi una década, pue- marketing, instituciones financieras,
de aportar grandes empresarios y gobierno puede afectar
beneficios: anuncios cen- a todo, desde las relaciones a conseguir
trados en lo que realmente quiere com- un trabajo, desde cumplir los requisitos
prar, coches inteligentes que pueden para un préstamo hasta entrar en un
ayudarle a evitar colisiones o llamar a avión. Aunque ha habido múltiples
una ambulancia si tiene un accidente, muestras de preocupación por parte de
dispositivos portátiles o que se pueden defensores de la privacidad y del gobier-
llevar encima (wearables) que pueden no, no se ha hecho gran cosa por mejo-
monitorizar su salud y avisar a su médi- rar la protección de la privacidad en el
co si algo va mal. mundo online, siempre conectado.
Pero, también puede provocar gran- Hace ya más de cinco años, en febre-
des problemas de privacidad. Ahora ro de 2012, la Administración de Oba-
mismo es más que evidente que cuando ma publicó un plan para lo que llama- al mundo comercial y un compromiso La declaración de la CPBR de que “el
la gente genera miles de puntos de da- ron la Consumer Privacy Bill of Rights sostenido de todos los implicados para marco de datos privados del consumi-
tos al día —dónde va, con quién se co- (CPBR). El documento declaraba que: “El abordar las cuestiones de privacidad dor en EE.UU. es, de hecho, sólido…”
munica, qué lee y escribe, qué compra, marco de datos privados del consumi- de datos del consumidor que puedan apareció, irónicamente, un año antes
qué come, qué ve, cuánto ejercicio hace, dor en Estados Unidos es, de hecho, surgir de los avances de las tecnologías de que el antiguo trabajador de la NSA
cuánto duerme y mucho más— es vul- sólido… (pero) carece de dos elemen- y modelos de negocio”. Edward Snowden revelase que en
nerable a ser expuesta de formas inima- tos: una declaración clara de principios Tres años después, en febrero de EE.UU. el Gobierno estaba espiando a
ginables hace una generación. básicos de privacidad que se apliquen 2015, ese plan se convirtió en proyecto sus ciudadanos.
de ley con el mismo nombre, pero fue Más allá de eso, el Gobierno no ha
atacado inmediatamente tanto por gru- sido capaz de ponerse de acuerdo con
El ‘big data’ puede aportar grandes pos de la industria, que afirman que im- otras iniciativas privadas. Las llamadas
beneficios pero también puede provocar pondría regulaciones “onerosas”, como normas de privacidad de la banda an-
por los defensores de la privacidad, que cha emitidas por la Federal Communi-
grandes problemas de privacidad creen que está plagado de lagunas. No cations Commission (FCC) justo antes
llegó a someterse a votación. de las elecciones de 2016, que hubie-

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

sen limitado la recopilación de datos

por parte de los proveedores de servi-
cios de Internet (ISP), fueron derogadas
por el Congreso en marzo, antes de
hacerse efectivas.
Susan Grant, directora de protección y
privacidad del consumidor de la Consu-
mer Federation of America (CFA), lo lla-
mó “un revés terrible”, afirmando que
permitirá a los ISP “espiar a sus clientes
y vender sus datos sin su consentimien-
to”. No obstante, otros argumentan que
poner límites a los ISP proporcionaría a
otros gigantes, como Google, la libertad
de recopilar y vender los datos que re-
cogen, por lo que los consumidores ve-
rían pocos, o ningún, beneficio.
Teniendo en cuenta todo esto, no es
sorprendente que los expertos afirmen
que los riesgos de privacidad son cada
vez más fuertes, y los retos para prote-
ger la privacidad más complejos. Orga-
nizaciones como el CFA, el Electronic
Privacy Information Center (EPIC) y el nes automatizada, pueden invadir la pri-
Center for Democracy and Technology Es más que evidente que cuando la gente vacidad de las personas. Estas incluyen:
(CDT), junto a defensores individuales genera miles de puntos de datos al día es
como Rebecca Herold, CEO de The Pri- 1. Discriminación
vacy Professor, han enumerado múlti- susceptible a quedar expuesta a formas EPIC declaró hace más de tres años, en
ples maneras en las que el análisis big inimaginables de nuevas amenazas comentarios a la Office of Science and
data, y la consiguiente toma de decisio- Technology Policy de EE.UU. que “el uso

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

de análisis predictivo por parte del sec- más sentidos que nunca”. “Los análisis
tor público y privado (…) puede ser uti- de datos big data, unidos al Internet de
lizado por gobierno y empresas para las cosas (IoT) serán —y ya han sido—
tomar decisiones respecto a nuestra capaces de identificar problemas de sa-
capacidad para volar, conseguir un em- lud y detalles genéticos de los individuos
pleo, una liquidación o una tarjeta de que no sabían ni ellos mismos”, afirma.
crédito. El uso de nuestras conexiones McNicholas cree que “el riesgo más
en análisis predictivos para tomar deci- significativo es que sea usado para ocul-
siones que tienen un impacto negativo tar discriminaciones basadas en crite-
sobre los individuos restringe la libertad rios ilegales, y para justificar el impacto
de asociación”. dispar de las decisiones sobre los colec-
Desde entonces, las cosas han empeo- tivos vulnerables”.
rado, aseguran los defensores de la pri-
vacidad. Aunque la discriminación es 2. La vergüenza de las
ilegal, la toma de decisiones automática filtraciones
hace que sea más difícil probarla. “Du- meras acusaciones de discriminación a a profesores e incluso predecir la rein- Ahora mismo, después de las filtracio-
rante los últimos años, los algoritmos preocupaciones mayores en torno a la cidencia”. nes de datos catastróficas de numero-
del big data han madurado considera- toma de decisiones automática”, co- Herold ha estado diciendo durante sos minoristas, como Target y Home
blemente, así como el creciente flujo de menta Joseph Jerome, asesor de política años que los análisis big data pueden Depot, de cadenas de restaurantes
datos del incipiente Internet de las co- de CDT, quien afirma que el big data se “automatizar” la discriminación, y que como P.F. Chang, de mercados online
sas y la capacidad para analizar esos ha usado para “hacer llamadas directas por eso es más difícil detectarla o pro- como eBay, de la Office of Personnel
datos usando variantes de la inteligen- a centros de servicio, evaluar y despedir barla. Añade que hoy en día es cierto “en Management federal que expuso la in-
cia artificial”, explica Edward McNicho- formación personal de 22 millones de
las, colíder global de práctica jurídica de empleados actuales y antiguos, de uni-
privacidad, seguridad de datos e infor- En la vida moderna, es cada vez más versidades y gigantes de los servicios
mación de Sidley Austin LLP. “Pero a pe- complicado hacer nada “sin que tu online como Yahoo, la conciencia públi-
sar de este crecimiento tecnológico, las ca en torno al fraude de las tarjetas de
protecciones legales no han avanzado identidad vaya asociada a ello”, crédito y el robo de identidad está pro-
sustancialmente”. Creo que la discusión afirma Herold bablemente en su punto álgido. Por
alrededor del big data ha pasado de las desgracia, los riesgos siguen siendo al-

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

tos, especialmente porque hay millones cantes pueden cambiar sus términos de Sin embargo, “asombrosamente, la 5. Sus datos se venden
de dispositivos IoT en todo, desde elec- privacidad en cualquier momento”, ex- agencia se ha eximido a sí misma de Hay infinidad de empresas que recopi-
trodomésticos a coches, que siguen plica Jerome. “No es lo mismo decirle a los requisitos de la Privacy Act (de lan y venden datos de consumidores que
siendo excesivamente inseguros, como un usuario que deje de usar un servicio 1974) que exigen que el FBI conserve se usan para hacer perfiles de individuos,
observa frecuentemente el gurú de la web que decirle que desenchufe su te- solo ‘registros exactos, relevantes, sin mucho control ni límites. Hubo un
encriptación y la seguridad Bruce Sch- levisor inteligente o que desconecte su oportunos y completos”, aparte de caso muy famoso de empresas que em-
neier, CTO de IBM Resilient, en su blog. coche conectado”. otras garantías de información reque- pezaban a anunciar productos a mujeres
ridas por la Privacy Act, explica EPIC. embarazadas antes de que ellas se lo hu-
3. Adiós al anonimato 4. Exenciones del Gobierno La NSA también abrió unas instalacio- biesen dicho a nadie de su familia, gracias
En la vida moderna, es cada vez más Según EPIC, “los estadounidenses es- nes de almacenamiento en Bluffdale, a la toma de decisiones automática. Lo
complicado hacer nada “sin que tu iden- tán en más bases de datos del gobier- Utah, en 2014, supuestamente capa- mismo puede suceder con temas como
tidad vaya asociada a ello”, afirma He- no que nunca ”, incluyendo la del FBI, ces de almacenar 12 zettabytes de da- la orientación sexual o una enfermedad
rold. Asegura que ni siquiera los datos que recopila información de identifi- tos —un zettabyte es la cantidad de como el cáncer.
no identificados eliminan los riesgos de cación personal (PII) que incluye nom- información que cabe en 750.000 mi- “Desde 2014, los brókeres de datos es-
privacidad. “Los estándares usados hace bre, apodos, raza, sexo, fecha y lugar llones de DVD—. tán haciendo el agosto vendiendo los
uno o dos años ya no son suficientes. de nacimiento, número de la Seguri- Aunque ha habido garantías, incluyen- datos que pueden sacar de cualquier
Las empresas que quieren anonimizar dad Social, números del pasaporte y do la del anterior presidente, Obama, sitio que encuentran en Internet. Y hay
los datos para usarlos con otros fines lo del carnet de conducir, dirección, nú- de que el Gobierno “no está escuchando pocas protecciones legales —yo no co-
tienen cada vez más complicado. “Pron- meros de teléfono, fotos, huellas dac- sus llamadas telefónicas ni leyendo sus nozco ninguna explícita— que protejan
to será prácticamente imposible anoni- tilares, información financiera como correos electrónicos”, es obvio que eso a los individuos afectados”, comenta He-
mizar los datos efectivamente de una cuentas bancarias e información de elude la cuestión de si el gobierno los rold. “Esta práctica va a aumentar, sin
manera en la que los individuos asocia- empleo y negocios. está almacenando. restricciones, hasta que se promulguen
dos no puedan volver a ser identifica- leyes de privacidad que restrinjan su
dos”, explica. uso. Además, hay poca o ninguna res-
Aparte de ser vulnerables a filtraciones Hay infinidad de empresas que recopilan ponsabilidad o garantías de que esa in-
de datos, los dispositivos IoT son un mo- y venden datos de consumidores que se formación sea correcta.
tor de recopilación de datos masivo de
la información más personal de sus usan para hacer perfiles de individuos, sin ¿A dónde vamos a partir de aquí?
usuarios. “Las personas están pagando mucho control ni límites de nada Estos no son los únicos riesgos, y no
por dispositivos inteligentes, y los fabri- hay manera de eliminarlos. Pero hay

JULIO 2017 | CSO

 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CSO ESPAÑA

maneras de limitarlos. Una, según Jero- consumidores proporcionan los da- nar sus grabaciones de Echo. Es magnífi- los donde los pueda ver mucha gente”,
me, es usar el análisis big data para bien, tos. co que Twitter permita a sus usuarios aconseja.
para exponer problemas. “En muchos • Seguridad y manejo responsable de ajustar todo tipo de personalizaciones y No proporcione información a negocios
sentidos, el big data nos está ayudando los datos personales. ver quién los tiene en su punto de mira”, u otras organizaciones que no sea nece-
a tomar mejores decisiones, y más jus- • Acceso a sus datos personales en for- comenta. “Pero, en última instancia, si las saria para lo que sea que esté haciendo
tas”, explica, señalando que puede ser matos utilizables, con poder para co- personas no tienen más opciones sobre con ellos. Si no necesitan de verdad su
una “herramienta potente para empo- rregir errores. cómo se recopilan y comparten los datos, dirección y su número de teléfono, no se
derar a los usuarios y luchar contra la • Límites razonables sobre los datos vamos a tener graves problemas de auto- los dé.
discriminación. Se pueden usar más da- personales que las empresas recopi- nomía personal”. Use un navegador anónimo, como Hots-
tos para mostrar dónde se está hacien- lan y conservan. Dada la contenciosa atmósfera del Con- pot Shield o Tor (The Onion Router), cuan-
do algo de manera discriminatoria. Tra- greso, hay pocas posibilidades de que do visite páginas web que puedan guar-
dicionalmente, uno de los mayores McNicholas asegura que la “transparen- algo similar a la CPBR se apruebe pronto. dar información que podría provocar que
problemas de descubrir la discrimina- cia” debería incluir una revisión de “polí- No obstante, eso no significa que los con- otra gente saque conclusiones equivoca-
ción es la falta de datos”, afirma. ticas de privacidad”, que son tan densas sumidores estén indefensos. ¿Qué pue- das sobre usted.
Existe un acuerdo general entre los de- y están tan repletas de jerga legal que no den hacer? Pida a los demás que no compartan in-
fensores de que el Congreso necesita las lee casi nadie. “Decir a los consumido- Jerome dice que, incluso aunque los formación online sobre usted sin su con-
aprobar una versión de la CPBR que exija res que lean las políticas de privacidad y usuarios no lean las políticas completas, sentimiento. “Puede parecer complicado,
derechos para el consumidor, incluyendo: ejerzan su derecho a renunciar parece la deberían “tomarse un momento antes pero debe hacerlo”, explica, añadiendo
solución más apropiada para el último de pulsar ‘OK’ para pensar por qué y con que la verdad es que los consumidores
• Control individual sobre qué recopi- siglo”, comenta. “La privacidad de los con- quién están compartiendo su informa- deben protegerse a sí mismos porque na-
lan las empresas de datos persona- sumidores debe cambiar para centrarse ción. Un estudio reciente señalaba que die más lo va a hacer por ellos.
les y cómo los usan. en el consumidor, de manera que los las personas revelarían información de- En cuanto a la legislación, comenta que
• Transparencia, o información fácil- consumidores tengan un control real so- licada sobre sí mismas a cambio de ga- ella no ha escuchado nada sobre otros
mente comprensible y accesible, so- bre su información”. lletas caseras”. bosquejos de la CPBR, “y, sinceramente,
bre las prácticas de privacidad y se- Jerome está de acuerdo. “No creo que Herold ofrece varias medidas individua- en los próximos cuatro años no espero
guridad. podamos esperar que los consumidores les para reducir los riesgos de privacidad: ver nada que mejore la privacidad de los
• La recopilación, uso y divulgación de se lean las políticas de privacidad. Eso es Deje de compartir tantas cosas en las consumidores. De hecho, anticipo que
datos personales debería llevarse a una locura. Lo que deberíamos esperar redes sociales. “Si quiere que sus fotos y las protecciones gubernamentales se
cabo de maneras que sean conse- son más controles y mejores. Es bueno vídeos los vean solo unas personas, en- van a deteriorar. Espero estar equivoca-
cuentes con el contexto en el que los que los usuarios puedan revisar y elimi- víelos directamente en lugar de publicar- da”, comenta. CSO

JULIO 2017 | CSO

en primera persona CSO ESPAÑA

Juan Antonio Rodríguez, teniente coronel del departamento de delitos

telemáticos de la Unidad Central Operativa de la Guardia Civil

“Estamos muy lejos de poder llevar

una investigación con la velocidad
mínima exigible”
Juan Antonio Rodríguez, teniente coronel del departamento de delitos

telemáticos de la UCO (Guardia Civil), recuerda durante toda la entrevista

que tanto el sistema legislativo como el judicial no le ponen nada fácil su

trabajo, el de perseguir el cibercrimen. Por ello, reclama la creación de

herramientas que trasciendan el mundo físico y territorial para el que las

leyes han sido escritas. Nos encontramos ante un panorama nuevo, global y

diversificado en el que se siguen cometiendo los mismos delitos con nuevas

armas, cada vez más accesibles, cada vez más rentables. Mientras, los ‘malos’

siguen generando impacto en los medios de comunicación. Cuando se produjo

la conversación WannaCry era el tema, la avanzadilla de lo que estaba por

venir. Ahora, Petya tiene nombre ruso. “No tenemos todas las herramientas a

nuestro alcance”, exclama.

Mario Moreno.-

JULIO 2017 | CSO

 en primera persona CSO ESPAÑA

¿Cómo se organiza la estrategia y la CERT), durante el año pasado el número

actividad diaria del departamento de ciberataques en España se incre-
que dirige? mentó un 14,5% con respecto a 2015. De
Yo dirijo el Departamento de Delitos Te- éstos, el 3,6% se consideran críticos…
lemáticos de la Guardia Civil. Se enmarca Lo cierto es que la estadística se ha in-
dentro de la Unidad Central Operativa crementado tanto en España como en el
(UCO) y se encarga, entre otras misiones, resto de Europa. En algún momento hay
de investigar los delitos graves cometidos que darle la importancia suficiente, tal y
a través de Internet. Nos estructuramos como se le da a la seguridad física, y de-
en cuatro secciones de investigación y en sarrollar políticas para que los datos em-
una de desarrollos tecnológicos. Es decir, piecen a bajar. Uno de los países que
brindamos apoyo tecnológico no solo a tiene unas políticas muy activas para lu-
los casos que nos afectan a nosotros, sino char contra este tipo de delitos es Reino
al resto de ámbitos delincuenciales. Pero Unido. Ha identificado que por cada de-
dentro de estas cuatro secciones, nos mo- nuncia que se presenta en un cuartel por
vemos según indica el convenio de Buda- delito físico hay dos de víctimas por el Aquí los datos están muy dispersos. Quizás, una de los mayores frenos
pest de ciberdelincuencia: los fraudes, los uso de nuevas tecnologías. Allí ya hay vo- Este es uno de nuestros grandes proble- para la actividad de la unidad es que
delitos contra las personas, los vinculados ces y asociaciones que reclaman que el mas. Según el Ministerio de Justicia, la cuando se produce la denuncia el daño
a la seguridad y los que tienen que ver Gobierno tiene que dedicar recursos si- cibercriminalidad ha crecido un 5% con ya está hecho sin que nadie haya po-
con la propiedad intelectual. milares a la prevención de la delincuen- respecto al año pasado. Hablamos de dido preverlo o evitarlo.
cia a través de Internet. casi 700.000 hechos delictivos vinculados Efectivamente, para que yo trabaje tiene
Según el último informe de ciberame- a las tecnologías. Y, de éstos, entre el que haber víctima. Pero tenemos que ir
nazas y tendencias elaborado por el ¿Cuántas denuncias se registran al 65% y el 70% están relacionados con es- más allá de todo esto y pensar que tene-
Centro Criptológico Nacional (CCN- año en España por este tipo de delitos? tafas económicas. Pero tenemos que mos que trasladar el modelo de seguridad
centrar un poco más el tiro para saber del mundo real al ecosistema virtual. La

“
de lo que hablamos. Por ejemplo, no es seguridad ciudadana, que es la prevención
lo mismo un delito vinculado a una esta- para que cuando tú salgas de casa nadie
Ahora mismo es imposible pillar a un tipo fa de un producto que cuesta 30 euros te robe porque hay patrullas de policía que
que se dedique a hacer estafas” que la producción de contenidos audio- han hecho labores previas de información
visuales donde se abusa de menores. sobre los delincuentes, hay que moverla a

JULIO 2017 | CSO

 en primera persona CSO ESPAÑA

Internet. Necesitamos unidades que pre- ¿Qué papel juega blockchain y, en

vengan la comisión de delitos, pero, ade- concreto, bitcoin en este panorama?
más, como la delincuencia en la Red es Otorga anonimato. Se puede hacer un
algo absolutamente internacional, necesi- seguimiento de los wallet de bitcoin,
tamos colaboración entre países para ha- pero eso no significa que se pueda lle-
cer tareas de prevención, vigilancia, foros… gar al último eslabón, al dueño de la
Si hay algo que caracteriza a este tipo de moneda. La delincuencia es un negocio
delincuencia es la dimensión de víctimas y y, en último término, un mercado. Si lo
autores. Estos últimos muchas veces no se trasladamos al mundo del narcotráfico,
conocen entre ellos. Otra característica es por ejemplo, alguien empieza yendo en
la facilidad para encontrar herramientas barco a por el cargamento, luego tiene
en Internet para hacer ataques. El pasado dinero para contratar gente que lo haga
día de Navidad, el FBI detuvo a un chaval por él y al final, establece una red. Con
de 17 años que había conseguido cortar el bitcoin pasa lo mismo. Se establecen
servicio online de las videoconsolas Xbox bandas que funcionan como empresas
de Microsoft y Playstation de Sony. Éste, de servicios y al final no se sabe quién
junto con un grupo de amigos, lo consiguió es quién en este juego. Y este ecosiste-
porque cogió un código de la Red, lo redi- ma se alimenta de la falta de entidades
señó y lo llevó al ámbito del Internet de las reguladoras. El otro día se publicó que
cosas. Su única motivación era fastidiar a el grupo conocido como Shadow
otro grupo de jugadores con los que se Brokers está haciendo públicas herra-
había enfadado. Lo que no sabía era la mientas diseñadas por la comunidad de
magnitud del ataque. Tiró todo el sistema los servicios secretos para obtener in-
durante unas horas. Con el caso de Wan- formación de redes informáticas. Y ade-
naCry sucedió algo parecido. Hay dos teo- más quiere sacarle un rendimiento eco-
rías; por un lado se habla de que el malwa- nómico, porque las tiene subastadas. Y
re se escapó a quienes lo diseñaron. Otra ya ni siquiera piden bitcoin, sino otra
teoría, a la cuál veo sentido, es que los au- moneda que se llama Zcash que es to-
tores podían estar buscando la revaloriza- davía mucho más anónima. La gente
ción del bitcoin. demanda el anonimato.

JULIO 2017 | CSO

 en primera persona CSO ESPAÑA

promise) y descubrimos que las primeras Además, se piden medios de pago elec-
evidencias están en un servidor en Aus- trónicos como Paypal. Hay foros donde
tralia, primero tenemos que llamar al se puede comprar credenciales de
país. Después, los trámites nos llevan a la Paypal. Es tan sencillo como entrar en ese
Comisión Rogatoria Internacional y luego mercado desde una conexión pública y
tenemos que pedir permiso a un juez comprar una VPN totalmente anónima
para obtener esa información. Los tiem- por muy poco precio. La facilidad con que
pos son lentísimos. En España ha habido se pueden cometer delitos económicos
alguna empresa que ha llegado a perder es impresionante.
hasta 10 millones de euros por un BEC.
Hablamos de que cuando llegamos al La falta de legislación es el mayor de
otro país ha pasado al menos un año y los problemas…
allí ya no hay rastro de nada. El 70% de A finales de 2015 hubo una reforma de
los delitos que se cometen tanto virtual la Ley de Enjuiciamiento Criminal que
como físicamente tienen una motivación trajo dos particularidades que nos afec-
económica. Y, como nos encontramos tan. Por un lado, tanto el Ministerio Fiscal
ante una extensión de la delincuencia del como nosotros podemos pedirle a una

“
mundo real, el 80% de la ciberdelincuen- operadora el titular de un contrato o un
cia no se puede perseguir en muchos paí- teléfono, pero el legislador añade un ar-
No es posible parar la delincuencia global ses. Es imposible porque no tenemos tículo en el que dice que no se pueden
con herramientas territoriales herramientas. Nunca vamos a pillar a un proporcionar las direcciones IP porque
tipo que sepa hacer estafas. Aunque no están vinculadas a ciertas comunicacio-
se conozca muy bien la legislación, con nes protegidas por la Constitución. Y ne-
¿Cómo es la coordinación con otras Estamos constantemente en contacto a solo saber que tiene que diversificar la cesitan tutela judicial. Cuando alguien
entidades europeas teniendo en cuen- través de varios canales. Otra cosa es que actividad en múltiples países ya sabe que llega con una estafa vía mail yo tengo
ta que nos encontramos ante un esce- luego las leyes permitan esta coordina- no se le va a identificar. A esto hay que que acudir primero a un juez para que
nario internacional? ción. Como he dicho, el gran problema es añadirle el gran abanico de servicios que autorice a la operadora de telecomuni-
A nivel policial la colaboración va a años la globalización de la delincuencia. Si a hay disponibles vinculados al anonimato caciones a que me de la dirección IP. En
luz comparada con otros ámbitos como nosotros nos llega, por ejemplo, una em- en las conexiones. Hay VPN anónimas cambio, si es un delito telefónico es muy
el institucional, el judicial o el legislativo. presa con un BEC (Business Email Com- por todo el mundo a precios irrisorios. fácil conseguir el número. Esto significa

JULIO 2017 | CSO

 en primera persona CSO ESPAÑA

que yo no puedo llevar una investigación con herramientas territoriales se inten-

con la celeridad que me exige la comi- te frenar algo que no tiene barreras.
sión de un delito para identificar rápida- Abogo también por la necesidad de
mente al autor. Como he dicho antes, la crear un organismo, unas Naciones Uni-
delincuencia actual se destaca por la das Digitales donde estén representa-
multiplicidad de víctimas. Pues bien, ya dos los grandes proveedores de servi-
no nos encontramos solo con una direc- cios para que el país que esté sumido
ción IP, sino con cientos. Es una locura. en una investigación criminal pueda
Vamos a bloquear los juzgados. Creo que enviar requerimientos de información
estamos muy lejos todavía, también a sin que nadie cuestione si quien pide es
nivel internacional, de poder llevar una la Guardia Civil española o la francesa.
investigación con la velocidad mínima Dentro de esta institución metería a
que te permita, por lo menos, identificar Google, Facebook, Gmail… A todos los
a los culpables. No podemos estar pen- grandes dominios. Sería un lugar donde
dientes de procedimientos muy antiguos se intercambiaría inmediatamente la in-
como las Comisiones Rogatorias Interna- formación. Hay países de Europa que en
cionales. Así no avanzamos. el año 2015 tuvieron pérdidas por valor
de más de 1.000 millones de euros con las órdenes de pago en una compañía En este tema, lo primero que necesita-
¿No hay ni siquiera un juzgado espe- el famoso BEC. Y son estafas que tam- hasta infectar a la persona adecuada. ban las víctimas era mitigar el incidente
cializado o un organismo propio? poco tienen un componente digital muy Los departamentos financieros son el y proteger sus sistemas, sus datos y
No, porque el mundo de Internet no importante. Sí de ingeniería social. Es- principal problema ahora mismo en la afianzar la seguridad de su Red. Luego
es una jurisdicción propia. Y yo soy un tán cayendo todas las empresas, y los empresa. Hay que ponerles una barrera ya se dedicará tiempo a detallar cómo
firme defensor de que la debería haber. delincuentes que hay detrás no tienen superior de seguridad porque tienen la han podido suceder los hechos para
El mundo físico está dividido en territo- un pelo de tontos. Investigan, llaman, capacidad de dar órdenes de transfe- que la persona que tenga responsabili-

“
rios, pero la Red no. No puede ser que detectan quien es el responsable de dar rencias con solo pulsar un botón. dad determine si quiere o no presentar
denuncia. Durante estos días, nuestra
Hay países de Europa que en 2015 llegaron En las últimas semanas, el nombre actuación estuvo enfocada en dos lí-
propio por excelencia ha sido Wanna-
a tener pérdidas por valor de más de 1.000 Cry. ¿Cómo se vivieron esos días desde
neas. Primero nos pusimos a disposi-
ción de las empresas, y además, nos
millones de euros” el departamento? pusimos en contacto con el resto de

JULIO 2017 | CSO

 en primera persona CSO ESPAÑA

países de nuestro entorno para detectar Estamos muy lejos de preparar a la so-
posibles coincidencias de información. ciedad a enfrentarse al mundo digital.
A través de Europol supimos que los Aquí todavía estamos debatiendo temas
mismos datos de infección que había en que no tienen nada que ver con respec-
empresas como Telefónica estaban to a la educación que necesitamos.
también en Reino Unido. Mientras, en otros países forman a los
niños en programación. El futuro está
¿Casos como este dejan la sensación en programar máquinas para que ha-
de que todo se ha movilizado a Inter- gan determinadas cosas.
net? ¿Incluso el espionaje y la guerra?
Tenemos que aprender que los ‘malos’ De ahí la falta de perfiles técnicos.
detectaron enseguida que Internet es ¿Qué formación se requiere para for-
otro dominio donde se puede hacer la mar parte del departamento?
guerra. Por lo tanto, desarrollaron herra- Lo primero que se requiere son co-
mientas específicas. Y volvemos por el nocimientos especializados. Por ejem-
mismo camino; no podemos utilizar nor- plo, el que se dedica a la investigación
mativas y estructuras de la vida real para tiene que tener un sexto sentido para
perseguir e investigar las nuevas formas vincular la información y resolver el
de cometer los mismos delitos. Tenemos puzle. Pero además, hay que añadirle
que salir de ese ámbito y diseñar solu- la tecnología a su formación. La ciber-
ciones propias de este nuevo mundo. seguridad está habituada a perfiles
Por ejemplo, la Red es la nueva forma de que saben mitigar, programar y afron-
hacer guerra fría, ya que se utilizan las tar el problema desde el ámbito tec-
mismas reglas de antaño. Un ejemplo es nológico. Pero la cibercriminalidad no
el caso de espionaje de las últimas elec- es igual. Es la investigación del uso ilí-

“
ciones en los Estados Unidos. La verdad cito de los medios. Se necesitan inves-
es que no sabemos a dónde vamos. tigadores que les guste la tecnología.
Buscamos a los agentes que han he-
Estamos muy lejos de preparar a la sociedad
¿Qué hay del ciudadano de a pie en cho sus ‘pinitos’ y les proporcionamos para enfrentarse al mundo digital”
todo este nuevo mundo? formación. CSO

JULIO 2017 | CSO

 BUSINESS IT
CERTIFICATION

BUSINESS IT es la certificación que acerca a

los directivos a las tecnologías de la información.
Desarrollado en colaboración con 12 empresas
líderes en su campo, el programa enfoca
las tecnologías de la tercera plataforma de una
forma práctica y aplicada a casos de Negocio.

ALMACENAMIENTO GOBIERNO DE LAS TI

BIG DATA INTERNET DE LAS COSAS
CIBERSEGURIDAD MACHINE LEARNING
CLOUD COMPUTING MOVILIDAD
CUMPLIMIENTO LEGAL SOCIAL BUSINESS
GESTIÓN DE RIESGOS TI TRANSFORMACIÓN DIGITAL

www.cwu.es/business-it
 ENTREVISTA CSO ESPAÑA

Federico Dios, Director Técnico de Akamai

“Ya no hay lugar para almacenar

más datos. Hay que desarrollar
modelos solo de procesamiento”
En estos momentos organizacio- que estemos completamente desligados
nes y empresas se encuentran en su puesto que mucha de la transformación
gran mayoría inmersos en un pro- que se produce dentro es porque, en la
ceso de proceso de transformación mayoría de ocasiones, las transforma-
digital en el que las compañías tec- ciones que ocurren lo hacen precisa-
nológicas tienen mucho que apor- mente por la importancia de contemplar
tar. ¿Cuál es el papel que juega en Internet de una manera diferente. Una
este proceso Akamai? manera que es inevitable. En este senti-
Podría llegar a decir que Akamai es una do, podría afirmar que hay dos elemen-
pieza fundamental en el proceso de tos fundamentales en los que Akamai
transformación digital, siempre tenien- participa activamente y que, además, es
do en cuenta que nos movemos en el donde mejor ayudamos a nuestros clien-
mundo de Internet. Toda la transforma- tes: el primero es garantizar que los ser-
ción que ocurre dentro de la propia or- vicios que están en Internet se entre-
ganización es un mundo un poco más guen de manera rápida y fiable desde el
alejado de nuestro foco. No quiero decir punto de vista de estabilidad y disponi-

María José Marzál / Fotos y vídeo: Juan Márquez

JULIO 2017 | CSO

 ENTREVISTA CSO ESPAÑA

bilidad; el segundo punto, es justamen- Efectivamente, y cuando las empresas

te la parte de protección que se centra son conscientes es cuando hacen ese ne-
en dotar de la máxima seguridad a esos cesario “click” hacia la transformación di-
servicios que están en Internet. No hay gital que pasa por hacer algo distinto y
que olvidar que la transformación supo- ofrecer un servicio diferente. No estamos
ne el movimiento de muchísimos ele- hablando de algo a futuro, los bancos por
mentos a la nube, lo que provoca una ejemplo, se han percatado de la importan-
transformación radical del negocio. Por cia del momento y han demostrado ser
eso, las compañías se enfrentan a una punteros en este proceso. Un sector en el
realidad totalmente distinta porque el que Akamai dispone de un importante nú-
acceso a sus servicios es tan inmediato mero de clientes básicamente en el entor-
y tan fácil que su número de clientes no de la seguridad, pero lo que todos nos
puede aumentar significativamente. Me comentan es que el teléfono móvil se está
explico, si antes la compañía pensaba convirtiendo en la plataforma número
que, por ejemplo su público objetivo era uno de uso de servicios financieros y esto
uno concreto quizás no necesitaría al- hace unos años era impensable. Nuestro Sí, exacto y quizás sea una realidad pe- Internet. En este sentido, me gustaría des-
guno de estos servicios, pero eso ahora papel en este proceso concreto es garan- culiar de Akamai ya que desde su origen tacar el desarrollo específico de tres pro-
ha cambiado y la realidad ha demostra- tizar que todos los servicios estén dispo- ha apostado por una filosofía de servicios ductos para IoT. Uno es de seguridad y,
do que, por ejemplo, un acceso a través nibles, de una forma rápida y fiable y que, y productos en la nube desde todos los los otros dos, de aceleración. El de segu-
del móvil tiene que ser un servicio de sobre todo, estén protegidos. ángulos posibles. Por eso cuando noso- ridad es un módulo especial de nuestro
alta disponibilidad, fácil acceso e inme- tros creamos una nueva línea de negocio firewall en la nube para proteger APIs.
diato. Es un servicio crítico. Suena fácil pero la realidad es que lo hacemos no pensando en nuestro sec-
sus competidores están o bien en la tor, sino en contemplar Internet como ¿Protección de APIs?
¿Esto supone un cambio radical en el seguridad o bien en la disponibilidad y una plataforma global con unos servicios Sí, en este momento hemos percibido
uso de esos servicios? fiabilidad, ¿ no? que requieren de una serie de caracterís- que todo este nuevo mundo de IoT se

“
ticas especiales. Creemos que debemos basa en APIs y las APIs no son otra cosa
crear productos que cubran todas las ne- que un servicio en Internet pero con ca-
En dos años el número de ataques de tipo cesidades posibles y sean capaces de ha- racterísticas muy concretas, ya que prote-
cer frente a todos los problemas que pue- ger una API no implica lo mismo que pro-
DDoS se ha triplicado” dan surgir en un servicio a través de teger una aplicación web.

JULIO 2017 | CSO

 ENTREVISTA CSO ESPAÑA

¿Esta diferenciación de Akamai en el chando esa tecnología y filosofía para

entorno del IoT con ese nuevo desarro- extenderla y desarrollar productos para
llo, podría ampliar sus expectativas en un mundo en el que la información que
un mercado con un potencial de enor- se genere IoT será imposible de almace-
me crecimiento? nar de forma completa y que habrá que
El crecimiento de IoT creo que va a ser gestionarla en tiempo real conforme se
el más grande de cuantos hemos vivido genera, guardar los datos que sean rele-
hasta ahora. Me explico, en Akamai te- vantes y el resto descartarlos.
nemos dos clientes en IoT que son solu-
ciones específicas para el sector de au- ¿Cómo relacionamos esto con IA o
tomoción y estos clientes presentan una tecnología predictiva?
necesidad muy concreta que se extende- Más que inteligencia Artificia (IA) di-
rá rápidamente en este sector de auto- ría Machine Learning. Que es una par-
moción, que se deriva de una realidad te de una IA. En Akamai desarrollamos
muy concreta: la gran cantidad de infor- más la parte predictiva relacionada

“
mación que generan los automóviles; de con la toma de decisiones, mas que de
hecho, se prevé que un futuro próximo robótica, que por el momento no he-
los coches generen más información que
La transformación digital no se parará mos abordado. Pero la parte de Ma-
los aviones ya que parece ser que los porque el negocio manda mucho más que chine Learning en la que se analiza el
sensores y la cantidad de elementos que tráfico, el propio servicio puede apor-
se prevén medir en un coche (Informa- la seguridad” tar una visión muy concreta y muy
ción) va a ser tan grande que, hoy por procesada de lo que está ocurriendo
hoy, nadie sabe cómo se va a gestionar. ción sin almacenarla porque ya no hay renciación puede suponer Akamai? para que alguien, una persona o un
En este sentido, uno de nuestros produc- lugar donde almacenar. En este ámbito Una muy obvia: llevamos mucho tiem- sistema tome la decisión correcta.
tos está centrado en la aceleración del todos los nuevos desarrollos se basan en po haciendo esto. Gestionamos millones
flujo de información para un coche y la realizar análisis en tiempo real de toda de hits por segundo, una cifra muy lejana En este mundo protagonizado por los
otra pasa por qué hacer con toda esa in- la información. a lo que pueden gestionar otras compa- datos surge el aspecto de la seguridad.
formación. Por eso Akamai y otras com- ñías. Esto es complejo, ya que el primer Recientemente la Policía Nacional ha
pañías nos encontramos desarrollando Comenta que también hay otras problema que nos surgió era el almace- asegurado que el cibercrimen se incre-
modelos de procesamiento de informa- compañías desarrollando. ¿Qué dife- namiento y por eso estamos aprove- menta un 12% mientras que el crimen

JULIO 2017 | CSO

ENTREVISTA CSO ESPAÑA

tradicional ha descendido un 4%. Unos día, hoy se ha triplicado, lo que indica la

datos que obligan a ser analizados. gravedad de la situación.
¿Cómo valora la evolución de ese 12%?
Si son datos referidos solo al mercado ¿Qué la Policía Nacional disponga de
español los veo impresionantes ya que si una división de Ciberdelitos con un
los comparamos con datos de otros paí- reconocimiento internacional impide
ses ese 12% crece significativamente y lo que España sea centro de propagación
hace porque estamos ante un problema de ciberataques?
global y las organizaciones criminales lo Bueno yo matizaría, deberíamos hablar
saben mejor que nadie. Son globales por de Fuerzas de Seguridad del Estado; de
un motivo: evitar a los diferentes departa- todas, ya que Policía Nacional y Guardia
mentos de policía de los países. La ley cri- Civil hacen grandes trabajos en este sen-
minal en aspectos relacionados con la ci- tido. Además tenemos otros organismos
berseguridad es muy diferente en función como el INCIBE que hacen una labor ex-
de los países. Por ejemplo, España tiene traordinaria, sobre todo desde el punto de
una legislación muy avanzada que ataca vista de concienciación en las organizacio-
una serie de problemas que en otros paí- nes, de estar pendientes de lo que ocurre
ses no se contemplan y eso lo que provo- para alertar a las organizaciones.
ca es que en España tengamos una mejor
situación en este aspecto que otros paí- Habla de una situación de alerta.
ses. Por eso, estas bandas criminales ope- ¿Podría llegar a cuestionarse el proce-
ran desde otros países, atacan desde allí, so de transformación debido a esos
y desarrollan desde esos lugares. En este ciberataques?
sentido, las propias estadísticas de Akamai La transformación digital no se va a pa-
se disparan ya que hace dos o tres años rar porque el negocio manda mucho más
mediamos el tamaño máximo de ataques, que los posibles problemas de seguridad,
el número de ataques de denegación de por eso lo que las compañías están ha-
servicio al día. Hoy esos indicadores se ciendo es buscar formas de gestionar esos
han quedado obsoletos. En aquel mo- ataques para que no supongan un grave
mento, el número de ataques era de 50 al problema para el negocio.

JULIO 2017 | CSO

 ENTREVISTA CSO ESPAÑA

Seguridad, Negocio y Tecnología. le merece?

¿Con quién habla Akamai dentro de la La legislación está siendo cada vez más
empresa? dura en estos aspectos y el año que viene,
Depende, pero de forma generalizada, cuando entre en vigor GDPR, se va marcar
con la alta dirección. Hay que tener en un punto de inflexión
cuenta que los que nos dedicamos a la
seguridad pensamos que estamos ante ¿Por qué?
un problema tecnológico y la seguridad Hay un motivo y una necesidad muy real
no es sólo una cuestión tecnológica. Esta- de proteger la información y de tomar
mos hablando de algo que debe ir implí- conciencia de que el hecho de realizar una
cito en el core del negocio. mala inversión en tecnología pone en ries-
go el negocio completo de una compañía.
Ya pero la tecnología tiene que estar. Esto hay que tenerlo muy claro.
¿Se da por resuelta?
No, lo que ocurre es que la alta direc- Hablando de inversión y conscientes
ción debe de entender que la seguridad de que los presupuestos parecen ha-
es un tema que debe formar parte de su berse incrementado, ¿la elección de
agenda como muchos otros asuntos y Akamai implica una fuerte inversión?
que hay que invertir al igual que se in- Bueno, lo primero que habría que anali-
vierte en otros. Hay que tomarse muy en zar es el retorno de la inversión y la prueba
serio cómo se invierte en seguridad. Hay es que cuando hay un incidente de segu-
que tener los presupuestos correctos ridad el coste de solucionar ese incidente
para ser capaz de gestionar todos los as- multiplica por 20 o 30 el coste de la inver-
pectos de la seguridad, que tiene una sión en la tecnología de Akamai. De hecho,
mayor complejidad e impacto para la muchos clientes lo ven de esta forma.
empresa que el simple hecho de elegir
un antivirus u otro. ¿El mercado español reconoce el va-
lor de Akamai?
En menos de un año entra en vigor la Sí, aunque ha costado. Pero hoy en día
nueva regulación GDPR, ¿Qué opinión el valor que nos dan es muy alto. CSO

JULIO 2017 | CSO

 EVENTOS CSO ESPAÑA

‘IDG Security Day’

áfica
gr
al
e r í a f oto

g
marca la ruta de
la ciberseguridad
a nivel global
El evento, celebr ado el pasado 21 de junio en diez

países a lo largo del mundo, reunió a los nombres

propios más importantes del panorama actual de la

seguridad para abordar los temas más candentes

y poner coto a un mundo donde las amenazas son

cada vez más, y más sofisticadas.

M. Moreno

JULIO 2017 | CSO

 “IDG Security Day” CSO ESPAÑA

Salió el sol el día del solsticio de vera- mejores prácticas de defensa para fre- la nube, el internet de las cosas o la in-
no (21 de junio) para poner a la ciberse- nar a todo un ramillete de ataques ci- teligencia artificial ya no son desconoci-
guridad en el centro de la conversación bernéticos, cada vez más dañinos y so- das ni siquiera para la pequeña empre-
global. Empezando por Sidney (Austra- fisticados. Sidney, Singapur, Mumbai, sa. Sin embargo, y como contraposición,
lia) y terminando en Washington (Esta- Frankfurt, Estocolmo, Amsterdam, Lon- sí que parece que el nuevo escenario ha
dos Unidos), al compás del movimiento dres, París, Madrid y Washington fueron sobrepasado a parte de la industria,
del astro, IDG Communications celebró los escenarios de debate del cada vez más si tenemos en cuenta que el 93%
el IDG Security Day de forma simultánea más imperativo mundo de la seguridad de los CIO se sienten desbordados, se-
en 10 países del globo. La jornada, que de la información. Hoy en día son pocos gún un estudio de McAfee Labs. De ahí
contó con la participación de muchos de los que no se plantean obviar una estra-
los profesionales más distinguidos del tegia de defensa en su compañía. Más “WannaCry ha puesto en alerta a toda la industria.
sector, arrojó luz a un nuevo paradigma en el mundo hiperconectado en el que Supone una puerta abierta a un nuevo escenario”
en el que es necesario contar con las nos movemos, donde tecnologías como Alberto Hernández, director general de Incibe

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

Defender
la tercera
plataforma
Tomás Isasia, experto en ciberseguridad, Alfonso Martínez Díaz, regional sales manager de Gemalto, Ignacio
Carrasco, secretario general de Eurocloud y Ángel García Collantes, responsable de seguridad de Udima.

“Estamos viviendo tiempos apasionantes”, señalaba Al- de está el valor. Si hace 15 años eran los bancos los te en la actualidad. Por ejemplo, son necesarios, tal y
fonso Martínez, regional sales manager en Gemalto, para objetivos de los delincuentes, ahora el dinero reside en como aseveraba Martínez, para incrustar la seguridad
referirse a los métodos de defensa de la tercera plata- el dato”, indicaba Ignacio Carrasco, secretario general por defecto en los dispositivos. “Debemos preocuparnos
forma, durante la primera de las mesas redondas que de Eurocloud. Asimismo, decía, la seguridad va a ser el de la seguridad de un producto desde su diseño, y no
se celebró durante el IDG Security Day. Entendemos por gran valedor de que la tercera plataforma pueda llevar al revés como se venía haciendo. Con eso logramos ga-
tercera plataforma a todas las tecnologías y dispositivos un funcionamiento normal. En este escenario destaca rantizar la identidad digital”, apostillaba. En este punto,
que permiten acumular cientos de miles de datos. Es también el papel de la universidad. Ángel García, res- el sentido común fue la palabra que imperó en la char-
decir, ciencias como el big data, la nube o la inteligencia ponsable general de Udima, aseguraba que se encuen- la bajo la conclusión de que toda cadena de seguridad
artificial entrarían en juego en un tablero en el que la tran en una situación propicia para poder investigar y es tan fuerte como su eslabón más débil, ya que los
seguridad es trasversal. “Los problemas van hacia don- sacar profesionales al mercado. Una demanda constan- vectores de ataque se multiplican cada vez más.

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

están abiertos para las compañías y so-

bre los que dirimió el encuentro, mode-
rado en España por Marlon Molina, direc-
tor de ComputerWorld University.
Mientras, las estadísticas no paran de
crecer. Incibe gestionó más de 100.000
incidentes en el país durante 2016. Y,
esto no es nada comparado con lo que
viene. “En este sentido, WannaCry ha
puesto en alerta a toda la industria, ya
que supone una puerta abierta a un nue-
vo escenario”, señalaba Alberto Hernán-
dez, director general de Incibe. Este pa-
norama, decía, involucra no solo a
empresas y a administraciones públicas,
sino a toda la población. Y es que, a pesar
“Abordamos las tareas de formación hablando con un lenguaje llano, de que fue hace 40 años cuando se em-
sencillo y fácil de entender para todos” pezó a hablar de seguridad informática,
Bosco Espinosa, director de preventa de Kaspersky Lab es ahora cuando se vuelve trasversal
para todos los países. Y en España, des-
surge la máxima que guió a la jornada: a grandes cuentas de todo el mundo, tacaba Hernández, el ransomware, las re-
la necesidad de formar, debatir y poner WannaCry. Entre estos desafíos, destaca des botnet y el fraude online están a la
estrategias en común. también el nuevo tablero legislativo a ni- orden del día, siendo los principales ata-
Pero la tecnología no es solo sino el eje vel europeo, el Reglamento General de ques. En esta rueda que afecta a toda la
central de un amplio abanico de retos, Protección de Datos (GDPR, por sus siglas ciudadanía, la formación y la educación
que además, ha tomado un cariz mediá- en inglés) que trata de garantizar al usua- se vuelven primordiales, por ejemplo,
tico en los últimos meses, auspiciado por rio un correcto tratamiento de sus datos. para evitar que un tipo de botnet como la
el ya penúltimo ataque global que afectó En definitiva, son muchos frentes los que que se desarrolló en 2007 en el país siga

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

“La confianza es el mejor arma para garantizar la seguridad,

sea cual sea la plataforma”
Mauricio Gumiel, director de seguridad de Oracle para Iberia

“Necesitamos un cambio de mentalidad donde entre

en juego el software”
José Fidel Tomás, ingeniero de sistemas en Juniper Research

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

mira de los criminales. Para el directi-

vo, hay que dejar bien claro que todos
somos potenciales brechas hacia los
datos de una compañía. En la misma
línea, Melchor Sanz, director de tecno-
logía y preventa de HP Inc, apelaba a
la importancia de la seguridad en cada
persona y dispositivo. Según el exper-
to, la mayoría de los ataques se produ-
cen desde los dispositivos, por mucho
que el servicio sea seguro. “Pero, igual
que las compañías tenemos la obliga-
ción de ofertar productos diseñados
con la seguridad como base, los usua-
rios tienen que activar esos mecanis-
mos. En un coche, el cinturón de segu-
“Igual que las compañías tenemos que ofertar la seguridad como base, ridad está disponible, pero somos
los usuarios tienen que activar estos mecanismos” nosotros los que tenemos que abro-
Melchor Sanz, director de tecnología y preventa de HP Inc charlo”.

Internet de las cosas y la nube

secuestrando equipos una década des- do con un lenguaje llano, sencillo y marcan una nueva era
pués. fácil de entender para todos”, explica- Estos consejos se pueden extrapolar
En este aspecto destaca el empleado, ba. Para ello hay que transformar los al mundo IoT, donde todos los objetos
“el eslabón más débil”, según Bosco conceptos erróneos y desterrar ciertas conectados a la Red son susceptibles de
Espinosa, director de preventa de Kas- ideas como las que revelan las encues- ser vulnerados. En busca de datos y di-
persky Lab. “Desde la compañía abor- tas. Solo el 22% de los trabajadores nero como fin último. Como cada vez
damos las tareas de formación hablan- cree que puede estar en el punto de más escenarios, el de la delincuencia se

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

En vísperas de la GDPR
Uno de los grandes temas que protagonizó la jornada fue el derecho que tenemos los ciudadanos a decidir sobre ría de edad a lo que protección de datos se refiere. Dos
el Reglamento General de Protección de Datos (GDPR, nuestra información personal. Es necesario un análisis elementos serán esenciales en el reglamento, el principio
por sus siglas en inglés), de carácter comunitario, que encaminado a evaluar los riesgos para las libertades y de responsabilidad proactiva y el enfoque del riesgo. “Y,
entrará en vigor el 25 de mayo de 2018 y que parece, derechos de las personas”. En cualquier caso, y a pesar a su vez, empezamos a ser más globales, ya que todas las
puede pillar en un renuncio a muchas empresas e insti- de todas las connotaciones que conlleva la normativa, empresas europeas van a compartir las mismas reglas”,
tuciones públicas. Antes de la celebración de la mesa re- Ruth Benito, abogada TIC socia en Bussola, dio la receta decía Ricardo Barrasa, presidente de Isaca. Por último,
donda, Andrés Calvo, responsable de la unidad de eva- para implantarla con éxito en las organizaciones: “tener Luis Ruiz, compliance officer en Sigue Global, aseguraba
luación y estudios tecnológicos de la Agencia Española de la voluntad de cumplirla”. Y, el valor que tendrá ésta para que “las claves para cumplir con GDPR pasan por identi-
Protección de Datos, avisaba: “La protección de datos es las empresas, indicaba, es que podrán alcanzar la mayo- ficar todos los tratamientos de datos”.

Marlon Molina, director de ComputerWorld University, Ruth Benito, abogada TIC socia en Bussola, Luis Ruiz Jiménez, compliance officer en Sigue Global y Ricardo Barrasa, presidente de Isaca.

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

soborno? ¿Y si una nevera nos pide un

bitcoin para abrir la puerta? “Uno de los
grandes riesgos es que el atacante alte-
re la funcionalidad del dispositivo IoT”,
manifestaba. “Hay que perfilar cuales
son los comportamientos normales de
los dispositivos, y así, en función de las
credenciales del objeto, aplicar una po-
lítica de seguridad individual”.
El hogar de acogida de esta ingente
cantidad de datos que emana de los
dispositivos conectados es la nube,
que, por otra parte, es el estado natu-
ral de cada vez más empresas. De he-
cho, prácticamente todos los internau-
tas la utilizamos ya sea directa o
“En IoT es imprescindible definir cuáles son las funciones y indirectamente. Según datos de IDC,
determinaciones de cada producto” ocho de cada diez directivos invertiría
Pedro Luís Martínez, director técnico de Aruba Networks más recursos en seguridad cloud.
“Contemplamos un modelo que se
ha traspasado al mundo virtual. Y el del meros requisitos a cumplir en este adapte a las regulaciones y que se an-
Internet de las Cosas es un sistema muy sistema es definir cuáles son las funcio- ticipe a las amenazas”, aseveraba
jugoso, en auge y que desentraña mu- nes y determinaciones de cada produc- Mauricio Gumiel, director de seguri-
chos riesgos. El año 2020 alcanzará los to. La compañía, integrada en Hewlett dad de Oracle para Iberia. Asimismo,
25.000 billones de objetos conectados. Packard Enterprise (HPE), ha hecho de el experto recogió que para garantizar
Y, como uno de los riesgos más eviden- la identificación, la visibilidad y el con- la seguridad, sea cual sea la platafor-
tes, Pedro Luis Martínez, director técni- trol de acceso su línea a seguir. Porque, ma, la confianza es el mejor arma.
co de Aruba, refería que uno de los pri- ¿qué pasaría si una cafetera nos pide un “Igual que no hay un único ataque

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

“Hay que utilizar técnicas avanzadas como machine learning para detectar
cualquier ataque”
Ricardo Maté, director general de Sophos para Iberia

“La media de los ataques de abuso de credenciales supera ya a los de

denegación de servicio”
Federico Dios, experto de seguridad de Akamai

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

“Desde Gemalto planteamos varias etapas que pasan por: identificar los “La ciberseguridad avanza por buen camino gracias a que tanto los
datos sensibles, cifrarlos para evitar su robo, custodiar las claves de grandes proveedores de Cloud, como otros menores, están utilizando las
cifrado y garantizar la autenticación de los usuarios” mismas normas de juego, lo que está ayudando a regular el mercado”
Alfonso Martínez Díaz, regional sales manager de Gemalto. Ignacio Carrasco, secretario general de Eurocloud.

para sustraer la información, una úni- dientemente de donde se encuentre 193 días en detectar una vulnerabili- amenazas. Durante su presentación,
ca manera de defendernos no es una la información”. Y, para anticiparnos dad. Por ello, la compañía analiza, me- no obstante, lanzó un aviso la impor-
estrategia factible. Sin seguridad hay a las amenazas están empezando a diante su plataforma, patrones de tancia de bloquear los ataques de abu-
impacto económico, lo que conlleva implantarse nuevas tecnologías como comportamiento para la protección de so de credenciales: “La media de estos
una pérdida de clientes”, indicaba. la inteligencia artificial y el machine amenazas avanzadas. En este sentido, ataques está superando ya a los de
Además, y refiriéndose a la nube de learning. Con ellas se podrán reducir Federico Dios, experto de seguridad denegación de servicio”.
nuevo, dejó una reflexión capital para tiempos, porque, tal y como indicaba en Akamai, también hablaba sobre la Asimismo, José Fidel Tomás, ingenie-
empresas, instituciones y ciudadanía: Ricardo Maté, director general de So- posibilidad de utilizar infraestructuras ro de sistemas en Juniper Reseach,
“La sociedad debe avanzar indepen- phos en Iberia, se tarda una media de en la nube para combatir a las nuevas apelaba a un cambio de mentalidad,

JULIO 2017 | CSO

“IDG Security Day”
EVENTOS CSO ESPAÑA

“La GDPR es el punto de arranque jurídico y legal para que

las empresas tomen conciencia de todo lo que significa la seguridad
hoy en día a nivel tecnológico”
Teresa Granda, letrada en Consejo General de Abogacía.

“donde entre en juego el software”, cepresidente de McAfee y nombre

para abordar el nuevo panorama. De propio destacado de la industria. El
este modo, hablaba de las redes defi- gurú avisaba de que en el nuevo pa-
nidas por software de las que asegu- norama que estamos viviendo cual-
raba “introducimos técnicas sofistica- quiera puede hacer un ataque. Solo
das para detectar el virus”. A su vez, mandando emails, los delincuentes
añadía, hay que imponer soluciones hicieron 631 millones de dólares el
Todo el mundo es capaz ya de construir un ‘ransomware” concretas para riesgos concretos. Por año pasado. “Incluso mi hija de 11
Raj Samani, vicepresidente de McAfee último, el Security Day en España con- años es capaz de fabricar un ranso-
tó con la presencia de Raj Samani, vi- mware”. CSO

JULIO 2017 | CSO

Emprendiendo en seguridad CSO ESPAÑA

Javier Capilla, CEO de 3ANTS

“Nos gusta pensar que ya

estamos empezando a cambiar
el mundo de la protección
de contenidos”
Sin saberlo, Javier y Manuel emprendieron hace ya unos años rumbo
a lo que se convertiría más tarde en una de las aventuras más
emocionantes de sus vidas profesionales. El destinó les juntó en
la universidad y ellos hicieron lo demás. CSO entrevista a Javier
Capilla, cofundador y CEO de 3ANTS, una ‘startup’ que se centra
en buscar soluciones tecnológicas enfocadas en la detección,
monitorización y protección de bienes digitales.

Javier Capilla, cofundador y CEO de 3ANTS.

Claudia Ortiz-Tallo

JULIO 2017 | CSO

Emprendiendo en seguridad CSO ESPAÑA

T
odo proyecto tiene una histo- procesos de monetización. Curioso e
ria. ¿Cómo se le ocurrió esta inquieto como es Manuel, logró descu-
solución pionera? ¿En qué brir mucho sobre cómo los piratas con-
momento de su vida y por siguen y suben las películas piratas. Se
qué lo decidió llevar a cabo? dio cuenta de cómo llevaban a cabo su
La idea de 3ANTS no surge de un día negocio y logró conseguir mucho del
para otro. La verdad es que estuvo mu- conocimiento que sirvió como funda-
cho tiempo rondando la cabeza de Ma- mento técnico para 3ANTS. La manera
nuel Moregal, mi socio y cofundador de en que 3ANTS logra diferenciarse en el
3ANTS. Si tuviéramos que escoger un mercado es que conoce la tecnología de
momento exacto en el que 3ANTS nace, los piratas y los procesos de los piratas
es un día rondando 2010, cuando MyS- a profundidad. Y conociéndolos, es ca-
pace todavía era la red social más popu- paz de detectar sus puntos débiles y la
lar del momento, por encima incluso de mejor manera de atacarlos. Tsun Tzu
la que ahora es la todopoderosa –Face- dijo: “Conoce a tu enemigo y conócete a
book–. Manuel estaba en la red social ti mismo”. Manuel Moregal y Javier Capilla, cofundadores de 3ANTS.
cuando encontró una película pirata, Años después del descubrimiento de
Avatar de James Cameron. Sorprendido, Manuel, nos conocimos en la universi- nazada por las personas que falsifican, Inicialmente nos vimos con un gran
recordó haber leído una noticia poco dad. Es aquí donde le dimos forma a una piratean o se benefician de manera ilíci- problema. ¿De qué sirve una empresa si
tiempo antes, que decía que Fox había idea, una idea que protegiera a los crea- ta en Internet. Estudiamos todos los ca- no tiene clientes? Así que empezamos a
comprado MySpace. Le pareció curioso dores de contenidos, a las marcas y a los nales de distribución y todos los méto- buscar alguien que nos dejara proteger
que justamente uno de sus contenidos productores de bienes, en definitiva a dos de monetización mucho más a fondo sus contenidos. Hicimos lo único que se
se encontrara pirata en su plataforma. todos los activos digitales en Internet. hasta dar forma a un producto muy po- nos ocurrió: mandar mails y llamar a gen-
En ese momento empieza a gestarse en Dedujimos que todo tiene una identidad tente. Varias personas dentro de nuestro te hasta que alguien nos dijera que sí. Al
él el interés por la piratería y por sus digital y que como tal puede verse ame- entorno nos animaron a seguir e incluso final del día, el no ya lo teníamos ganado.
a presentar nuestro proyecto a concur- Tocamos un sinfín de puertas hasta que
sos de emprendedores, los cuales gana- logramos llegar a Antonio Banderas. Su
“Nosotros no atacamos al consumidor final, mos. Es en ese momento en que 3ANTS productora Green Moon fue nuestro pri-
sino al pirata que tiene su red de piratería” deja de convertirse sólo en una idea y se mer cliente y la primera película que pro-
convierte en nuestra misión. tegimos fue Autómata.

JULIO 2017 | CSO

 Emprendiendo en seguridad CSO ESPAÑA

Y así empezó 3ANTS. Una compañía coincidí en la vida fue Manuel. Y enton-
que ahora tiene tecnología puntera con ces emprendimos juntos esta aventura.
más de 20 empleados y que defendió su Manuel y yo, desde un inicio, notamos Inyección de 880.000 euros
primera película en una oficina de 12 que nos complementábamos. Las cosas
m2 cedida por el ayuntamiento con vis- que a mí me limitaban, eran sus mejo- 3ANTS, startup española que fue acelerada en Wayra, consiguió cerrar una ronda
tas a un garaje. res cualidades, y al revés. Juntos logra- de financiación de alrededor de 880.000 euros a finales del mes pasado. En la
mos sobrepasar muchos obstáculos y operación participaron varios fondos de inversión españoles como JME Venture
¿Tenía claro con quién quería formar aprovechar muchas oportunidades que Capital, Bankinter Capital Riesgo y Big Sur Ventures.
equipo desde el principio? tal vez solos no habríamos sido capaces. “Hay muchas ideas y muchos proyectos en las cabezas de todos los que forman
Nunca puedes en realidad tomar deci- parte de 3ANTS. Esta inversión nos ayuda a que estos planes se vuelvan realidad.
siones de una manera tan limitada. “Sí Mantienen el anonimato de sus em- Tenemos pensado seguir desarrollando nuestro software y perfeccionando nues-
o no”, “blanco o negro”. Sino que la vida pleados. ¿Esto se llevó a cabo desde el tros métodos de inteligencia artificial. También nos permite expandirnos a dife-
te va dando oportunidades, casualida- principio o surgió debido a malas ex- rentes mercados y ampliar el alcance de nuestros productos. Además, los nuevos
des, coincidencias. Y tú decides qué ha- periencias? socios aportan a 3ANTS respaldo profesional, asesoría para el crecimiento, cone-
cer con ellas. Yo conocí a Manuel to- Lo primero en tomar en cuenta es que xiones con la costa oeste en Estados Unidos y acceso a una red de contactos e
mando un café y la vida ha hecho que los piratas no suben películas por la infraestructuras internacionales. Esta nueva inversión nos permite ser mucho más
sea mi compañero de viaje en mi vida bondad de sus corazones. Esto es un ne- ambiciosos de lo que éramos hace unos meses”, explica Javier Capilla, cofundador
profesional. 3ANTS pudo haberse que- gocio y cuando a alguien le tocan el bol- y CEO de 3ANTS.
dado en un escritorio, ¿cuántas empre- sillo, comienzan los conflictos. Nosotros
sas o ideas geniales no se quedan en no atacamos al consumidor final, sino al
eso? Pero nosotros tomamos la decisión pirata que tiene su red de piratería y cos, baneos y demás represalias a las y para descubrir, constantemente, las
de aprovechar la oportunidad y hacer hace mucho dinero con la distribución que nos exponíamos, decidimos prote- técnicas e ideas de los piratas.
algo de ella, dejarlo todo y empezar una ilegal de contenido. Cuando nos dimos ger a las personas que estaban más ex- Es hasta un poco divertido a veces. He-
aventura nueva. La persona con la que cuenta del riesgo de ataques informáti- puestas con el anonimato. Por ello, es mos tenido respuesta de piratas que
importante que nuestros empleados en nos exclamaban “me has tumbado tan-
ciertas funciones específicas contarán tos vídeos. ¿Cuál es tu problema? ¿Quie-
con la garantía de que sus identidades res que cierre el chiringuito?”; además
“La clave de nuestro éxito es que nunca iban a permanecer anónimas. Es vital de muchos insultos, por supuesto. En
nos quedamos satisfechos” para los sitios en los que se infiltran para otra ocasión, cuando entrabas a una pe-
poder eliminar la piratería más a fondo lícula que habíamos tumbado nosotros,

JULIO 2017 | CSO

 Emprendiendo en seguridad CSO ESPAÑA

aparecía una fotografía de uno de nues- tamos buscando la mejor manera de

tros empleados y arriba se leía “esta pe- evolucionar investigando qué hacen y
lícula ha sido eliminada por:” cómo lo hacen los piratas. También nos
En otras ocasiones, por ejemplo, los pi- proponemos ser cada día mejor de lo
ratas responden enviando reclamacio- que fuimos el día anterior. Somos inven-
nes de copyright contra nosotros. Imáge- tivos y flexibles. Nunca dejamos de es-
nes que hemos creado nosotros o textos tudiar al mercado, ni a los piratas, ni a
que hemos escrito nosotros, reciben de- Internet. Nacimos como una empresa
nuncias de infracción. Ante todos estos antipiratería, pero poco a poco nos he-
ataques hemos implementado, no sólo mos dados cuenta que lo que se nos da
el anonimato, sino también otras medi- mejor es captar y analizar grandes can-
das de ciberseguridad y protección. tidades de información.

“Hemos invertido mucho esfuerzo y trabajo

en que nuestro producto sea lo mejor que
existe en el mercado”

La competencia en el mercado de se- Asimismo, luchamos contra nuestros les beneficia en cuanto al negocio ex- con la protección de la mejor tecnología,
guridad es elevada. Cada vez emergen competidores mejorando la calidad de terior? ¿Más clientes, más posibilida- los métodos más novedosos y una inno-
más startups y los grandes jugadores nuestro servicio, diversificando nuestro des de financiación…? vación constante que siempre estará
de TI tradicionales están potenciando producto y siendo los mejores del mercado. Hemos invertido mucho esfuerzo y tra- lista para combatir los nuevos métodos
sus áreas de seguridad. ¿Cuál cree que bajo en que nuestro producto sea lo me- que se les ocurran a los piratas. Estos
será la clave de éxito que les diferen- Cuentan con el sello de excelencia de jor que existe en el mercado y que siga premios certifican que todo lo que deci-
cie? ¿Cómo pueden luchar contra tan- UE H2020 Ciberseguridad y han obte- mejorando constantemente. Además, mos es cierto, que todo lo que ofrece-
tos competidores? nido un premio a nivel europeo del Eu- nos hemos preocupado mucho por ha- mos está respaldado. Además, nos ani-
La clave de nuestro éxito es que nunca ropean Institute of Tecnology (EIT Di- cerle saber a nuestros clientes actuales ma a seguir un proceso de constante
nos quedamos satisfechos. Siempre es- gital Challenge). ¿Esto de qué manera y futuros que a nuestro lado contarán innovación y progreso. Los premios y el

JULIO 2017 | CSO

 Emprendiendo en seguridad CSO ESPAÑA

apoyo de estas instituciones son como los diferentes tipos de productos y a las
un faro en el camino que nos dice que necesidades de nuestros clientes. Por ello,
estamos haciendo las cosas bien. tenemos la capacidad de proteger audio-
En definitiva, lo que intentamos pre- visual, libros, música, productos físicos y
sentando la tecnología a estas institu- marcas corporativas, entre otros. Lo que
ciones es generar confianza de cara a exista en Internet se puede proteger.
nuestros clientes.
¿Algún otro proyecto entre manos?
¿En qué países operan? ¿Creen que se Actualmente, nos estamos expandien-
convertirán en un referente a nivel do a la protección de productos físicos.
mundial? Es más, mi socio Manuel Moregal parti-
A día de hoy, contamos con los princi- cipó como speaker en el Día Mundial de
pales distribuidores y productores de Es- la Antifalsificación.
paña. Tenemos clientes importantes en Nuestro software se puede adaptar a
Reino Unido, EEUU, Argentina y México. las necesidades del cliente y, aunque so-
Trabajamos de la mano con muchas ins- mos muy flexibles, hay que saber que
tituciones nacionales e internacionales. en esos sectores? ¿Trabajan con otras do pirata que se genera nunca se acer- esto implica un estudio sobre las falsifi-
Nos gusta pensar que ya estamos em- industrias? ¿Me podrías dar algún cará a la cantidad que se genera por caciones tan en profundidad como el
pezando a cambiar el mundo de la pro- nombre? una serie o una película (como Game of que se ha realizado para la piratería. Por
tección de contenidos. Nuestro objetivo Nos enfocamos en el cine siguiendo el Thrones o The Avengers). Por ello, sabía- eso, contamos con expertos que se han
es verdaderamente demostrar todos principio de ingeniería de solucionar el mos que si podíamos tener éxito en empapado del tema y siguen en constan-
nuestros conocimientos y el valor de problema más grande. El cine y las se- este sector, los demás no iban a ser un te investigación para asegurarnos que
nuestros servicios para ser reconocidos ries es un medio en el que la protección reto tan grande. Y así ha sido. nuestro software se adapta a las tenden-
como los máximos expertos en protec- tiene que ser rápida, eficiente y exhaus- Es por este motivo que trabajamos con cias más novedosas en la distribución de
ción de contenidos en Internet. tiva. Además, es un medio que exige todo tipo de industrias. Somos conscien- falsificaciones o de contrabando.
que puedas localizar un volumen muy tes de que todo tiene una identidad digi- Como proyecto en el tintero, solo de-
Trabajan para las principales produc- superior a cualquier otro mercado. Por tal, por lo tanto todo puede ser vendido cirte que el futuro se encuentra en dar
toras y distribuidoras de cine en diver- ejemplo, aun considerando marcas de y distribuido ilegalmente en Internet. Por sentido a los datos que extraemos de la
sos países; y también para el sector de gran lujo como Louis Vuitton o marcas consecuente, todo se puede proteger. piratería para entenderla y generar aún
editoriales. ¿Por qué se han centrado muy populares, la cantidad de conteni- Nuestro software se ha adaptado para más valor. CSO

JULIO 2017 | CSO

legislación CSO ESPAÑA

FBI:
cuidado con jugar con la privacidad y la
ciberseguridad en los juguetes conectados

Cuando estamos ante menores, no se puede olvidar su interés superior y sus derechos fundamentales,

entre ellos los relativos a la protección de datos personales y su privacidad.

Miguel Recio, abogado experto en protección de da tos y TIC

JULIO 2017 | CSO

 legislación CSO ESPAÑA

E
l Federal Bureau of Investiga- recomendaciones sobre los juguetes
tion (FBI) publicó una alerta conectados, y que la autoridad alemana
dirigida a los consumidores reguladora de telecomunicaciones llegó
en la que les aconseja que a prohibir la muñeca Cayla.
consideren la ciberseguridad El riesgo no sería únicamente un tra-
y la privacidad antes de que introduzcan tamiento ilícito de datos personales,
en sus hogares u otros lugares de con- que pudiera dar lugar a causar algún
fianza juguetes inteligentes, interactivos daño a los menores, a la que se refieran
y conectados a Internet, ya que podría esos datos personales, sino que podría
producirse una revelación involuntaria dar lugar también a que los datos per-
de una gran cantidad de datos persona- sonales obtenidos de los menores pue-
les que pueda poner en riesgo la priva- dan ser utilizados con fines de robo de
cidad y seguridad de los menores. identidad o incluso otros riesgos graves.
En concreto, el FBI explica en su aler-
ta que los juguetes conectados suelen Lo anterior lleva al FBI a recomendar a
tener sensores, micrófonos, cámaras, los consumidores a que examinen, lo
dispositivos de almacenamiento de da- que deberían hacer cuidadosamente,
tos y otras capacidades multimedia, los términos y condiciones o acuerdo de
tales como reconocimiento de voz y usuario, aplicables a los juguetes, así
opciones de GPS que, mal utilizados, como las prácticas de privacidad de la
podrían permitir obtener, incluso de empresa que los comercializa. Entre
manera inadvertida, grandes cantida- otras cuestiones, se trata de que los
des de datos personales, datos perso- consumidores se informen sobre qué
nales sensibles y otra información so- datos personales se obtienen y tratan
bre comportamiento de los menores (incluyendo si se envían y guardan) y si
basados en su uso y sus interacciones se comparten con terceros. Es decir, si
con estos juguetes. quien trata los datos personales lo hace
Cabe recordar que, en la Unión Euro- de manera responsable y, en su caso,
pea, algunas autoridades de protección qué uso hace de los mismos. Además,
de datos, como la irlandesa, emitieron el FBI recomienda también informarse

JULIO 2017 | CSO

 legislación CSO ESPAÑA

sobre si se han planteado problemas de son un estándar que debería seguirse, y cular que el uso de estos juguetes se ñosas en el mercado.
seguridad en estos juguetes, tales como con el que tiene que cumplirse en la hará por un grupo de usuarios que re- Finalmente, la alerta del FBI plantea,
brechas o fugas de datos personales. Unión Europea, para garantizar el dere- sulta ser vulnerable, en el sentido de una vez más, la necesidad de conside-
Al respecto, el papel de la industria es cho fundamental a la protección de da- que requieren una especial atención y rar que cuando estamos ante menores,
muy relevante ya que el consumidor no tos personales. Y también obligaciones de que la información dirigida a los mis- no se puede olvidar su interés superior
suele, ni tendría tampoco por qué, tener como las de responsabilidad (accounta- mos tiene que estar expresada en tér- y sus derechos fundamentales, entre
conocimientos en la materia. Algunos bility) o, incluso, una evaluación de im- minos claros y sencillos. ellos los relativos a la protección de da-
principios y obligaciones de quien diseña pacto relativa a la protección de datos, Sin perjuicio de lo anterior, el FBI tam- tos personales y privacidad. No se trata
y comercializa estos juguetes son tam- serían recomendables en este caso. bién proporciona información sobre el de ningún juego, sino del presente y
bién una de las claves a considerar para Se trata de que estos juguetes, en par- marco legal aplicable en el caso de Es- futuro de la ciberseguridad y la privaci-
facilitar información y asegurar un uso ticular, sus componentes que permiten tados Unidos, mencionando entre otras, dad aplicadas a los juguetes con los que
adecuado de los mismos. En este senti- un tratamiento de datos personales, in- la Children’s Online Privacy Protection juegan las futuras o futuros legislado-
do, los principios de protección de datos cluyendo el registro de la voz de los me- Act (COPPA), que establece requisitos res, reguladores, desarrolladores de
desde el diseño y por defecto, transpa- nores, sean diseñados y configurados para el tratamiento de datos personales apps, directores de autoridades de pro-
rencia e información, todos ellos previs- de manera que garanticen la protección de niños o niñas con menos de 13 años, tección de datos, analistas de datos,
tos en el Reglamento General de Pro- de datos personales y la privacidad por y la Federal Trade Commission Act, que madres o padres, a su vez, de otras ge-
tección de Datos de la Unión Europea, defecto, debiendo considerar en parti- prohíbe las prácticas comerciales enga- neraciones, etc. CSO

JULIO 2017 | CSO

Opinión CSO ESPAÑA

Geopolítica y
ciberseguridad
José Antonio Rubio, presidente del Digital Trust Think Tank de IDG

JULIO 2017 | CSO

 opinión CSO ESPAÑA

L
a Administración de Estados ba que no había recibido ninguna co-
Unidos recientemente deci- municación oficial en este sentido,
dió excluir al fabricante de añadiendo que la empresa estaba
antivirus Kaspersky de la lista siendo usada por ambos jugadores en
de proveedores que pueden medio del tablero geopolítico actual.
concurrir a contratos gubernamentales, Además, esta escalada puede que vaya
todo ello motivado por las presuntas in crescendo, ya que el mes pasado se
vinculaciones entre dicha empresa y el decidió de igual modo prohibir el uso
Gobierno de Rusia. Esta incendiaria de- de productos de Kasperky en el Ejérci-
cisión fue tomada aun después de que to de Estados Unidos. Todo ello des-
Kaspersky ofreciera mostrar su código pués de que agentes del FBI acudiesen
fuente a los investigadores de Estados a las casas de varios trabajadores de la
Unidos, a fin de demostrar que no esta- compañía en medio de una operación
ban realizando ningún tipo de robo de de contrainteligencia. Ciertas fuentes Por otro lado, cabe destacar que el A nivel metodológico este asunto in-
información que beneficiase a Rusia. En indican que esta sucesión de acciones Gobierno federal de Estados Unidos troduce la necesidad de actualizar los
este caso los investigadores de Estados tiene como origen el malestar de las apenas gasta en productos de Kas- modelos de amenazas, sólo obviamen-
Unidos dicen contar con pruebas que agencias de inteligencia estadouniden- persky un millón de dólares. Además, te en aquellas instituciones que requie-
vincular al CEO de la empresa de antivi- ses, debido a las sospechas de que Ru- tales soluciones de antivirus están in- ran de tal sofisticación. Así, se deberían
rus, Eugene Kaspersky, con el Servicio sia entró en los sistemas del Partido tegradas en una multitud de produc- analizar y gestionar riesgos como el
Federal de Seguridad de Rusia (FSB). Demócrata filtrando posteriormente tos de firmas como Microsoft, Juniper hecho de que el software antivirus robe
Ante esta situación Kaspersky indica- correos electrónicos. o Cisco, por lo que la revisión por par- credenciales de ciertas máquinas, que
te de Estados Unidos de su cadena de analice qué máquinas pueden ser de
suministro es un asunto bastante más interés para las agencias de inteligen-

“Es preciso actualizar los modelos de complejo de lo que pudiera parecer a

simple vista. Un asunto que se ase-
cia, o que el software bajo un supuesto
error de software dejase bloqueada
amenazas, sólo obviamente en aquellas meja bastante al que ocurrió en 2013, una máquina. En definitiva, nuevos ni-
instituciones que requieran de tal cuando el gobierno de Estados Uni-
dos también aprobó restricciones so-
veles de sofisticación y análisis motiva-
dos por las implicaciones de la geopo-
sofisticación” bre empresas con vínculos con el go- lítica en el ámbito de las tecnologías de
bierno de China. la información. CSO

JULIO 2017 | CSO

 Ciberseguridad integral CSO ESPAÑA

Kaspersky Lab cumple 20 años

áfica
gr
al
e r í a f oto

g
Kaspersky Lab celebra este año su 20
aniversario y en este tiempo el proyec-
to se ha transformado en una cruzada
global contra el cibercrimen gracias a
la innovación. En 1989, un joven inge-
niero de software descubrió que su or-
denador había sido atacado por el virus
Cascade. Fascinado ante el reto, deci-
dió detectar el virus, analizarlo y desa-
rrollar un software que pudiera neutra-
lizarlo. Ese ingeniero era Eugene
Kaspersky, y así fue como empezó la
historia de Kaspersky Lab.
No fue hasta 1997 cuando Eugene Kas-
persky junto con otros tres socios crea- nologías protegen a más de 400 millo-
ron Kaspersky Lab. Una empresa que nes de usuarios y 270.000 empresas por
empezó con 19 empleados y que ahora todo el mundo.
ya tiene 20 años de existencia, una plan- Con motivo de este 20 aniversario, la
tilla de más de 3.700 personas. Un em- filial ibérica de Kaspersky Lab organizó el
presa que opera en más de 200 países y pasado 11 de julio en Madrid un encuen-
territorios, y con 35 oficinas en 31 paí- tro con empleados, clientes y prensa
ses. Una empresa cuyos productos y tec- para celebrar este gran acontecimiento.

JULIO 2017 | CSO

Ciberseguridad integral CSO ESPAÑA

“Los hackers ya no “Hay más grupos

buscan notoriedad, especializados y con
sino dinero” tecnologías muy
Ciberseguridad Integral tuvo la opor- sofisticadas”
tunidad de hablar con el director ge-
neral de Kaspersky Lab en España, Además, el director preventa de Kas-
Alfonso Ramírez, quien realizó un persky, Pedro García, nos habló sobre la
análisis sobre la evolución de la com- importancia del camino de adaptación de
pañía estos últimos años y sus claves la empresa hacia las nuevas ciberamena-
de éxito. El directivo explica cómo ha zas, especialmente con el continuo creci-
cambiado de forma radical el panora- Alfonso Ramírez, director general de Kaspersky Lab en España. miento de las tecnologías. Para García, la
ma de las amenazas para las organi- evolución de las tecnologías de la infor-
zaciones. Los hackers, explica, “ya no mación en estas dos décadas ha sido “in-
buscan notoriedad sino dinero”. En mensa”, especialmente en los últimos
estos años, añade, su compañía se ha cinco o siete años y las compañías de se-
ido adaptando y ha ampliado su ofer- guridad han tenido que ir adaptándose a
ta, nacida como un antivirus, a múlti- los nuevos ataques y amenazas que han
ples soluciones de seguridad para to- ido surgiendo en el mundo de Internet. El
dos los segmentos del mercado. director preventa explica que cada vez
“Tenemos que hacer frente todos los “hay más grupos especializados, que usan
días a más de 30.000 nuevas amena- tecnologías muy sofisticadas y están me-
zas diferentes que surgen y que los jor organizados, y eso hace que tengamos
‘malos’ están desarrollando. Así pues, que estar mucho más atentos y tengamos
estar en esta industria es un reto que tener una evolución constante y mu-
constante para una compañía como la cho más rápida a la hora de poder preve-
nuestra”. Pedro García, director preventa de Kaspersky nir o desarrollar nuevas soluciones”.

JULIO 2017 | CSO

POWERED BY

Protección ante amenazas

específicas en la nube
La mayoría de los profesionales del sec-
tor de la seguridad coinciden en que no
es cuestión de si su empresa va a ser
presa de un ataque específico con
‘malware’, ‘ransomware’ o ‘phishing’, sino
de cuándo va a ocurrir eso. De hecho, un
70 % de las organizaciones habría sufrido
un incidente de seguridad que impactó
negativamente en su negocio el año pa-
sado, una cifra que concuerda con la
realidad de los más de 390 000 progra-
mas maliciosos que se registran a diario.

Más información:
Seguridad cloud
 NÚMEROS ANTERIORES

TODAS LAS REVISTAS A UN SOLO CLIC

cso.computerworld.es