Crónica: Securmática XXXIII: 'En buena compañía'

La ciberseguridad empresarial, encabezada por los CISO, madura en un ambiente marcado por las regulaciones, la formación, la vigilancia de los mercados y la gestión del fraude

Securmática XXXIII volvió a demostrar por qué, tras más de tres décadas, continúa siendo el foro profesional de referencia. Con más de 400 asistentes y cerca de 50 destacados ponentes del sector privado y público, el congreso celebró sus tres jornadas del 3 al 5 de octubre mostrando, con profundidad y al detalle, los que, sin duda, están siendo los proyectos más destacados e innovadores en este ámbito. En esta ocasión, muchos de ellos estuvieron centrados en el ámbito bancario, para anticiparse a los requisitos de normativas europeas, como DORA o NIS2, que van a suponer un antes y un después en el ‘ciberescudo europeo cibernético’ en el que trabajan instituciones y compañías. En un auditorio que volvió a estar con ‘aforo completo’, no faltaron interesantes reflexiones y debates sobre cómo aprovechar la observabilidad para la ciberprotección, la gestión del riesgo, la compartición fluida y recíproca, la concienciación, la apuesta por la nube en entidades bancarias, el impacto de la IA y un largo y sofisticado etcétera. Securmática contó con el apoyo de las compañías Accenture, Aiuken Cybersecurity, Áudea, Alvarez & Marsal, Babel, Cipher a Prosegur Company, Entelgy Innotec Security, EY, Factum, Fujitsu, GMV, Google Cloud, KPMG, Microsoft, Outpost24, PwC, S2 Grupo, SIA, Telefónica Tech y Wise Security Global.

En su XXXIII edición, Securmática volvió a convertirse en la cita de referencia del ámbito ejecutivo, con una nutrida representación de los principales clientes y oferentes, tantos públicos como privados, de ciberprotección. El programa profundizó en todo tipo de sectores, con especial presencia del financiero y bancario, sobre la legislación ya promulgada por la UE, como NIS2 y DORA, unas normativas que dibujan el camino que deben seguir las corporaciones y los integrantes de las cadenas de suministro para transformar los sistemas de gestión de riesgos hacia una operativa digital y ciberfísica plenas. Bajo el lema ‘En buena compañía’, el congreso comenzó con la exposición de los grandes retos de los 20 copatrocinadores, cuya representatividad mayoritaria sectorial y de excelencia da curso con máximo realismo y credibilidad a las iniciativas más innovadoras llevadas a efecto en los mercados ibéricos y transnacionales concernidos.

En el acto de apertura de la XXXIII edición de Securmática -previo a la conferencia de inauguración- los principales ejecutivos de los proveedores de servicios copatrocinadores del congreso expusieron sus retos y novedades. Todos conforman una muestra muy representativa del sector oferente de ciberseguridad para el ámbito corporativo en el mercado ibérico. Así, se contó con las aportaciones -de izquierda a derecha, comenzando por arriba-, de Domingo Cardona, Director Gerente Senior de Wise Security Global; Javier Pérez, Responsable de Ciberseguridad de Fujitsu España; Julio San José, Director Gerente de Transformación Digital y Ciberseguridad de Alvarez & Marsal; Roberto Espina, CEO de SIA; Mario Casado, Responsable Global de Ciberseguridad de Babel; Agustín Muñoz-Grandes, Responsable de Seguridad para España, Portugal e Israel de Accenture; David López, Director de Tecnología en Factum; Marc Martínez, Socio Responsable de Ciberseguridad en KPMG; Jorge González de León, Vicepresidente para EMEA de Cipher a Prosegur Company; Pedro López Peña, Director General Adjunto de GMV–Secure e-Solutions, así como con José Miguel Rosell, CEO y Fundador de S2 Grupo; José Luis Domínguez, Director de Ventas de Cybersecurity and Cloud de Telefónica Tech; Félix Muñoz, Director General de Entelgy Innotec Security; Elena Maestre, Socia Responsable de Ciberseguridad y Riesgos de EY; Jesús Romero, Socio Responsable de Business Security Solutions de PwC España; Néstor Carriba, Chief Revenue Officer de Aiuken Cybersecurity; María Vázquez, Responsable de Ventas Especializadas y miembro del Consejo de Microsoft España; Jesús Sánchez, Socio Fundador y Director de Operaciones de Áudea Seguridad de la Información; Héctor Sánchez Montenegro, Director de Tecnología de Google Cloud Spain; y Vicente Martín, Vicepresidente Senior de Producto de Outpost24.

Conferencia inaugural

A continuación, José de la Peña, Director de Revista SIC, presentó a Silvia Senabre, Jefa del Grupo de Riesgo Tecnológico de la Dirección General de Supervisión del Banco de España, quién pronuncio la conferencia de inauguración del congreso, dedicada a la ‘La resiliencia digital del sector financiero’. Senabre recordó que “la transformación digital no es gratis, tiene riesgos”. Asimismo, destacó que, en este ámbito, hay que tener claro “que va a haber escenarios adversos que nos van a impactar”, por lo que “hay que centrarse en las funciones que para el negocio sean críticas”.

Ante ello, apostó por contar con una mirada holística para abarcar la función de negocio de extremo a extremo, rompiendo los silos y contando con una visión transversal. Precisamente, por ello, resaltó el papel que van a jugar normativas como DORA, que propone apostar por la gobernanza y “poner todos los recursos de la compañía para proteger lo más crítico para ella”. No faltó el guiño al lema del congreso de este año, destacando el valor de la cooperación y la compartición de información, y destacando el papel relevante que ha jugado Banco de España en normativas como DORA y estándares internacionales en este ámbito, como el marco TIBER. Desde el BdE “consideramos que la resiliencia no es una opción, es una necesidad”, concluyó.

Enfoque integral

Acto seguido, se dio paso al primer bloque, moderado por el editor de Revista SIC, Luis Fernández, comenzado con la interesante ponencia de la recientemente nombrada CISO Global en Grupo Santander, Hazel Díez Castaño, quien desgranó los retos de la entidad sobre la resiliencia colectiva como camino de la colaboración hacia un ecosistema más seguro. Así, recordó que el riesgo cibernético “es uno de los 10 principales para todas las compañías, según organizaciones como el Foro Económico Mundial, que cuantifica las pérdidas del cibercrimen, en 2027, en 22,79 billones de euros, cuando el PIB de EE.UU. anual es de 23,74 billones de euros”. En este sentido, resaltó la necesidad de ampliar “el círculo de confianza” para intercambiar información sobre incidentes, como ya se hace a través de iniciativas como Cybercrime Atlas o la Ransomware Task Force.

Además, recordó la necesidad de “fomentar la innovación del ecosistema” con nuevas ideas de startups, iniciativas como la Santander X Global Challenge, y apostando por la concienciación de todo tipo de perfiles empresariales. No faltó en el coloquio con Díaz la referencia al ex CISO de la entidad, Daniel Barriuso, que ha sido ascendido a Global Head of Santander Retail & Commercial, y que supone “un cambio de mente, demostrando que nuestro perfil no tiene los riesgos y el negocio como techo”.

Posteriormente, agarró el testigo como moderador, Boris Delgado, Director de Soluciones de Digitalización y Tecnología de Aenor, para dar paso a José Ignacio Garrido y Roberto Ortiz Plaza, Global Head of Information Security y CISO del área Global Software Development, respectivamente, de BBVA, quienes hablaron sobre la ‘Seguridad embebida: Distribuyendo el centro de gravedad para garantizar la ejecución’. Así, dieron a conocer, en primicia, un nuevo enfoque que se está aplicando en la entidad, basado en cinco pilares: gobierno basado en riesgo, seguridad embebida, seguridad basada en inteligencia, modelo operacional de excelencia y las mejores capacidades.

Riesgo de terceros

También despertó notable interés la conferencia sobre ‘Transformación de la función de ciberseguridad en un grupo empresarial multisectorial’, por parte de El Corte Inglés, pronunciada por Alejandro Ramos, su CISO Global, y Jesús Romero, Socio Responsable de Business Security Solutions de PwC España. Ramos puso en valor el proceso de transformación digital que está llevando a cabo el Grupo, “tanto en lo que atañe a la tecnología, como al negocio”, explicando la complejidad que supone dar ciberprotección cuando se cuenta con más de 60.000 proveedores.

Siguió un bloque moderado por Antonio Ramos, CEO de Leet Security, en el que Mario Maawad, Director de Innovación en Seguridad y Red Team de CaixaBank, y Gonzalo Sánchez Delgado, Hacking Service Manager de Entelgy Innotec Security hablaron sobre el ‘Bug Bounty y Red Team como medios necesarios para asegurar la ciberseguridad’. En ella mostraron cómo complementar la ciberprotección de una entidad bancaria a través del pago por vulnerabilidades, como una capa más dentro de la estrategia de seguridad cibernética. “Se planteó como algo que permitiera ‘meter el turbo’ al servicio que ya ofrecemos para dar el mejor valor”, destacó Sánchez Delgado recordando que, en muchas ocasiones, las pruebas de intrusión, por su enfoque, no llegan a dar con vulnerabilidades realmente críticas para el negocio.

Finalizó el primer módulo con la conferencia de Javier Gayoso Enrique, CISO de Banca March, y Juan López-Rubio, Senior Director de Alvarez & Marsal, que presentaron cómo en la entidad bancaria se ha acometido la ‘Transformación de la función de seguridad’. “En 2018, comenzamos un fuerte proceso de transformación digital y se vio que la ciberprotección debía ser vital”, explicó Gayoso que destacó que, desde 2021, debido al incremento de las ciberamenazas y del riesgo ‘ciber’, se creó la función del CISO en la alta dirección, concienciando a los empleados para que la “ciberseguridad sea de todos”. Así se dotó a esta área de más recursos y personal, alineando su función con la del plan estratégico apostando por la innovación y la observabilidad “y evitando que se nos viera como el stopper del negocio, sino su facilitador”.

Lecciones aprendidas

Tras los recientes ciberataques contra grupos hoteleros como MGM Resorts y Caesars Entertainment, en septiembre, había expectación por la primera ponencia del segundo módulo de Securmática. Moderado por Pablo San Emeterio, consultor independiente, profesor y comunicador, abrieron la jornada Francisco García Lázaro, CISO Corporativo de Palladium Hotel Group, y Rubén Gómez, Responsable de Servicios de Detección y Respuesta a Incidentes y Responsable de Arquitectura de Ciberseguridad de Fujitsu, para hablar sobre ‘Lecciones aprendidas en servicios de detección y respuesta a incidentes’, por parte de la entidad hotelera.

Le siguió una ilustrativa ponencia sobre ‘Una experiencia práctica de la transición de una administración pública hacia la ciberseguridad como servicio’, por parte de José Andrés Jiménez Martín, Jefe del Departamento de Asesoramiento Técnico de la Dirección de TIC del Congreso de los Diputados, y de Auxiliadora Ureña Serena, Responsable de Desarrollo de Negocio de Ciberseguridad en Babel. En ella, Jiménez recordó que uno de los grandes retos de la Administración son los sistemas heredados que hay que proteger. Frente a ello, en la institución parlamentaria se ha apostado por desarrollar lo que ha denominado una “doctrina digital que prefiero llamar capacidad de supervivencia más que resiliencia”, recordando el caso del portaviones Georgetown, de EE.UU., que fue capaz de resistir ataques críticos en la Segunda Guerra Mundial por su capacidad para la gestión del control de daños.

Ciberinteligencia y consolidación

Tomó el relevo como moderador el fundador de RootedCON, Román Ramirez, que presentó a Laura Caballero, CISO en Adevinta Spain, y Vicente Martín, Vicepresidente Senior de Producto en Outpost24, para detallar la experiencia de la conocida compañía de portales web con la ‘Cibervigilancia en marketplaces: Protegiendo y asegurando la confianza del usuario’. La responsable de ciberseguridad de la compañía, conocida por webs como Fotocasa, Infojobs o Cochesnet, explicó que reciben más de 2,5 millones de visitas al mes siendo un negocio muy expuesto a ataques a los logins, web e, incluso, a accesos no autorizados y publicidad de contenido fraudulento. Y todo ello en un entorno totalmente en la nube.

A continuación, Jesús Ángel Santos López, Director de Infraestructura, Workplace y Seguridad en Grupo Másmóvil, y el siempre notorio Juan Miguel Velasco, CEO y Fundador de Aiuken Cybersecurity, mostraron las ventajas del proyecto de ‘Consolidación en un único SOC de las operaciones de ciberseguridad’. En ella, Velasco recordó la importancia de la automatización y de tecnologías “que Gartner ha destacado como la arquitectura Mesh”. Así mostró su visión que pasa por apostar por un “security analytics y un reporte integrado, la citada arquitectura y una plataforma que permite la sistematización y la reducción de falsas alertas”. También, recordó cómo su compañía ha conseguido “un Meta SIEM que funciona sobre cualquier infraestructura como, por ejemplo, de Microsoft y Amazon”, y destacó la importancia de contar con un motor de IA para atender de forma automática al mayor número de incidentes.

Transporte ferroviario

Le siguió la ponencia sobre el ‘El reto actual de la detección y respuesta en Servicios Esenciales’, realizada por Francisco Lázaro, CISO y DPO de Renfe, Lorenzo Mateu, Director de Desarrollo de S2 Grupo, y Óscar Navarro, Director del Área Industrial de S2 Grupo.

En ella, el responsable de ciberseguridad destacó haber “logrado un alto nivel de madurez, que también ha supuesto una inversión en un modelo de eficiencia en la gestión de la ciberseguridad, incluyendo la segregación de funciones”, destacó recordando también la importancia de implementar herramientas, con tecnología nacional, como Gloria de S2 Grupo, con altas capacidades de “detección y respuesta” que permite, además, “tener un diálogo con quien la ha desarrollado”.

El bloque moderado por la CISO de Europa y del Centro Corporativo del Grupo Santander, Idoia Mateo, comenzó con una exposición de alto nivel de Susana Calvo, Director Information Security Officer de Grifols, y Marcos Sánchez Martínez, Manager de Ciberseguridad en EY España, sobre ‘La colaboración continuada: el camino para evolucionar las capacidades de ciberseguridad’ en la conocida farmacéutica. Calvo subrayó la importancia de apostar por un “SIEM integrado en las operaciones, la capacidad para detectar acciones maliciosas y de contar con un enfoque de confianza cero, además de capacidades de inteligencia para conocer qué pasa en el sector, también de forma global”.

ecordó que “la tecnología y los servicios son clave, pero para tener ciberresiliencia lo importante son las personas”. Ambos pusieron en valor, entre otras cuestiones, “contar con equipos cohesionados, procedimientos compartidos, coordinación y tener un servicio flexible adaptado a las necesidades de la compañía en todo momento”.

Integración continua y SOC de aplicaciones

A continuación, se profundizó en los retos de la ‘Integración continua: Fusión de responsabilidades para crecer en capacidades ciber’, en la Agencia de Ciberseguridad de Cataluña por parte de su Director, Tomás Roy Catalá, y de Rafael Ortega García, Director de Operaciones de Factum.

Así, destacaron cómo, en la capa de aplicación, el paradigma de la ciberseguridad cambia y destacaron, de forma concreta, cuatro aspectos que hay que tener en cuenta; que "todo nace y evoluciona integrado y automatizado", el compliance 'de papel' que debe estar integrado en los controles técnicos, la necesidad de redefinir el área de ciberseguridad y lo esencial de la observabilidad, ya que la importancia de la monitorización de las aplicaciones y la experiencia del usuario es una materia ampliamente desarrollada por los centros del control de I&O. En este sentido, Roy explicó que el 73,23% de los incidentes gestionados por la Agencia están relacionados con el uso de código o programas maliciosos.

Terminaron la segunda jornada dos interesantes propuestas, moderadas por el Director de Revista SIC, José de la Peña. La primera, a cargo de Ramón Ortiz, Responsable de Seguridad de Mediaset, y de Óscar Riaño, Responsable del CERT de GMV, quienes desgranaron la ‘Ciberseguridad de calidad durante 30 años en buena compañía’ en el grupo televisivo. En concreto, Ortiz mostró cómo ha evolucionado el enfoque de ciberprotección del Grupo desde 2005, con el reto por proteger hasta el despliegue del SOC en 2021”, un proceso en el que siempre ha contado con GMV como socio.

Para finalizar este módulo, los asistentes disfrutaron de una conferencia sobre ‘Ciberresiliencia en el sector de las infraestructuras’, con la experiencia de Adif, de la mano de su Directora General de Seguridad, Procesos y Sistemas Corporativos, Esther Mateo, y de Ester Tejedor, Directora de Tecnología y Operaciones de Ciberseguridad en Telefónica Tech. Mateo recordó que uno de sus grandes retos es la parte OT, además de resaltar su madurez en ciberprotección a través de una estrategia alineada entre la transformación digital y lo digital, con el CIO y CISO dependientes de una misma persona. “Se apuesta por la simplificación de procesos y el cambio cultural”, recordó.

Identidades descentralizadas

Arrancó el tercer bloque, moderado por el redactor de Revista SIC, José Manuel Vera, con un breve repaso a la historia de Securmática, desde 1990, acompasando la evolución de la ciberprotección, y que dio paso a una ponencia de Sam Barranco, Director de Operaciones de Grupo Betmedia, y Óscar Flor, Digital Identity Director de Wise Security Global, sobre las ‘Identidades Digitales Descentralizadas (DID) como eje estratégico’.

Tras esta interesante exposición, le siguió una conferencia de Iván Muñoz Lois, Responsable de Ciberseguridad en Grupo Indukern, y Roger Ares Viñas, Senior Manager de Riesgos Tecnológicos y Ciberseguridad de KPMG en España, sobre ‘Fugas de información sensible, un reto para las empresas’, y la experiencia de la compañía del sector salud. Muñoz destacó los retos de las organizaciones en materia de protección de información, explicando que, por ejemplo, muchas organizaciones desconocen dónde residen sus datos sensibles, algunos de los sistemas no están protegidos de forma adecuada, tampoco existe un criterio estándar para la clasificación de información y su tratamiento en consonancia, etc. Acto seguido, Ares explicó cómo desde KPMG afrontan “un proyecto global de protección de información de las organizaciones para gestionar mejor su información y minimizar los riesgos de fuga”.

Sacar partido

Continuó la moderación de Maica Aguilar, Gerente de Seguridad de Ferrovial y miembro de la junta de Women 4 Cyber, dando paso a una exposición de Miguel Ángel Carretero, CISO Global de Prosegur Compañía de Seguridad, y Carlos Fernández, Responsable Global de la División xMDR en Cipher, bajo el título ‘Redefiniendo la Ciberseguridad: Automatización Inteligente para una protección eficaz’, bajo el foco de la empresa de protección.

Tras ella, el Director del Centro de Ciberseguridad del Ayuntamiento de Madrid (CCMAD), José Ángel Álvarez Pérez, y el Head of Cybersecurity Services & Solutions Business en SIA, Roberto Pérez García, explicaron cómo el consistorio ha apostado por ‘Un modelo de defensa proactivo para optimizar la protección de los sistemas y usuarios internos, los servicios públicos digitales y los datos de los ciudadanos’.

El experto del consistorio recordó la complejidad de gestionar la ciberprotección de una ciudad como Madrid que ya cuenta con su Estrategia de Ciberseguridad.

En el siguiente bloque, presentado por Isabel María Gómez, Asesora Independiente de Ciberseguridad, Jesús Muñoz Núñez, Director de CSIRT & Security Analytics de Digital Security de CaixaBank, y José Carlos Cerezo, Head of EMEA South Security and Compliance Team de Google Cloud, profundizaron sobre ‘Cómo proteger una plataforma de datos e IA corporativa: amenazas, controles y tecnología’, y cuál ha sido la apuesta de la entidad bancaria. Muñoz destacó que su área lleva tanto el CSIRT, como otros aspectos de ciberprotección, como alertas tempranas, red team y security analytics, que es la ‘navaja suiza’ de la plataforma para mejorar, monitorizar y encontrar fallos.

Adolfo Hernández, CISO en Sabadell Digital y Director de Operaciones de Seguridad de Banco Sabadell, y Nuria Andrés Pastor, Especialista en Soluciones de Ciberseguridad, Cumplimiento e Identidad para el Sector Financiero en Microsoft, ofrecieron una interesante propuesta bajo el título ‘Arrojando luz en zonas oscuras. Defensa contra amenazas avanzadas’, y lo acometido por la organización bancaria. Así, Hernández destacó que, desde su incorporación a la entidad en 2016, se ha evolucionado a una aproximación más proactiva, basada en la detección anticipada. “Se trata de ser capaces de detectar amenazas que pasan desapercibidas”. Por ejemplo, a través de la herramienta, de desarrollo propio, Tizona.

Como colofón a esta edición de Securmática, moderó el último bloque el Director de Revista SIC, José de la Peña, en el que Carlos Pérez Saldaña, CISO de Grupo Abanca y Javier Ruiz de Ojeda, Consultor GRC Senior en Áudea Seguridad de la Información, mostraron ‘¿Cómo sintetizar todos los datos sobre riesgo humano en un solo indicador que permita gobernar tu programa de concienciación?’, a raíz de lo acometido conjuntamente. Saldaña mostró que el foco de su entidad es de “seguridad por capas, en las que la concienciación es un control más”. Así, destacó que su éxito depende de que “pueda medirse y comprobar si la inversión en ella tiene sentido”. Ruiz Ojeda enseñó un interesante gráfico del cerebro dividido en tres partes: el reptiliano, el límbico y el neocórtex.

Finalizó el congreso la interesante reflexión y análisis de Gustavo Lozano, Chief Information Security Officer de ING España, y Víctor Hernández, Managing Director, Financial Services Security Lead en Accenture Iberia, sobre ‘La evolución de la función del CISO: mejora y madurez continua’, un aspecto de gran preocupación para este rol profesional que ha pasado de acometer aspectos básicos como ‘CISO operacional’ a un enfoque más proactivo. Con ello, el rol de responsable de ciberseguridad ha evolucionado hacia un “CISO de negocio, traduciendo los indicadores, del cuadro de mandos, con el que trabaja a cada departamento”.

Todo ello ha permitido al CISO ganar “influencia, además de resiliencia, predicción y capacidad de captación de talento”, siendo actualmente un proyecto de referencia en todo el Grupo ING.