Entrevista Héctor Flores

“Tener unas políticas de seguridad robustas y bien diseñadas no tiene ningún valor si no controlamos continuamente que se están cumpliendo”

En esta ocasión tenemos el placer de hablar con Héctor Flores, un ingeniero informático que poco a poco fue descubriendo que la seguridad de la información era una de sus pasiones. A día de hoy tiene el cargo de CISO en Ingenico Iberia.

TEXTO: AliciA Burrueco

CyberSecurity News (CSN): ¿Cómo se trabaja la ciberseguridad en una empresa que se dedica a las soluciones de pago?

Héctor Flores (HF): Los datos de pago son altamente deseados por los ciberdelincuentes, estando entre la información más valorada en la dark web. Es por ello que la seguridad para nosotros no puede ser una opción, es un pilar básico sobre el que se apoya la estrategia de la empresa y que por lo tanto marca las bases del presente y futuro del negocio. En nuestro dia a dia

debemos de ir por delante de los delin-

cuentes, protegiendo nuestros activos y estando en constante evolución según avanzan el mercado y las amenazas. Simultáneamente cumplir con las diferentes auditorías y certificaciones que nos atañen, hacen que nuestra labor no se detenga en ningún momento.

CSN: Recientemente hemos oído hablar mucho de las fugas de datos, ¿qué recursos son necesarios para evitar este tipo de brechas?

HF: Creo que lo primero es conocer la información que gestiona la organización y clasificarla según sus peculiaridades. Es importante saber que información es importante para nuestra empresa, ya sea por el negocio, cumplimiento normativo o legalidad.

Es fundamental tener un muy buen conocimiento del inventario de máquinas y recursos de la empresa para no sufrir de ‘olvidos’ que pudieran provocar que no se cumpliera la política de actualizaciones o contraseñas. Además, tener unas políticas de seguridad robustas y bien diseñadas no tiene ningún valor si no controlamos continuamente que se están cumpliendo. El papel lo aguanta todo, pero si no lo cumplimos nos estamos haciendo trampas al solitario.

Es por eso que creo que lo más impor-

tante es la educación en seguridad de

los empleados. Un empleado educado y comprometido va a hacer que el trabajo del equipo de seguridad sea mucho más sencillo y por lo tanto la empresa más segura.

CSN: ¿Cuáles dirías que son las ciberamenazas más comunes que podemos encontrar en una empresa?

HF: En el panorama actual creo que el

phishing es la amenaza más común por su bajo coste y riesgo para los delin-

cuentes. De esta manera vemos continuos intentos de ataques phishing como ‘el fraude del CEO’ o ataques de ramsonware tan publicitados ultimamente.

Una red informática empresarial mal protegida, junto a estaciones de trabajo o servidores no actualizados, pueden hacer que un ataque de ramsonware que se habría quedado en nada, ponga en riesgo el negocio de nuestra empresa.

Otro ataque en auge últimamente, es cuando los delincuentes piden una cantidad de dinero a cambio de no realizar un ataque de denegación de servicio distribuido (DDoS) que podría dejar a la empresa sin servicio durante horas o días. Este chantaje hace que muchas empresas tengan que reforzar sus balanceadores y servidores e implantar sistemas anti DDoS.

Héctor Flores, CISO en Ingenico Iberia

CSN: Y para terminar, ¿crees que España es uno de los destinos preferidos para los ciberdelincuentes?

HF: No creo que seamos un país que prefieran más que otros, simplemente creo que ahora estas redes de delincuentes están más profesionalizadas y se esmeran más en personalizar campañas para países o regiones en concreto. Antes solo nos llegaban campañas en inglés o con un español bastante sospechoso.

Además, cada vez existen herramientas más avanzadas que pueden ser usadas ahora (las más profesionales previo pago) por un público antes mucho más especializado, o servicios que directamente pueden ser contratados con fines ilícitos. Estos

servicios están totalmente profesionali-

zados y se ofrecen hasta SLAs.

No nos olvidemos también, de que somos los posibles daños colaterales en esta guerra cibernética entre países que se está llevando a cabo desde hace años. Muchos de estos ataques de los que oímos en los medios de comunicación, son ejecutados o facilitados por diferentes gobiernos..

¿Cada vez son más las empresas que contratan ciberseguros?

La respuesta es un rotundo sí. Es un hecho que la contratación de ciberseguros ha aumentado exponencialmente.

TEXTO: AinA Pou rodríguez

Desde 2012, el año en que se empezaron a contratar las primeras pólizas en España, hasta el día de hoy el sector del ciberseguro es de los que más han crecido.

Debido a la evolución de Internet y de la informática, consecuentemente ha aumentado el número de amenazas a las que debe hacer frente una compañía en cuestión de ciberseguridad. Todas y cada una de las empresas existentes están expuestas a sufrir un ciberataque, independientemente del sector al que pertenezcan, del lugar en el que se ubiquen, o el número de empleados y usuarios que la conformen.

Las consecuencias de sufrir un ciberataque son varias, desde el tiempo y el dinero que se necesita para subsanar, pasando por el desprestigio que sufre el negocio, hasta las posibles demandas y sanciones si se llega a dar la pérdida o el robo de datos personales. Para prevenir todos estos males, existen los ciberseguros.

El primer aumento de la contrata-

ción de seguros cibernéticos signifi-

cativo se hizo en 2018. Para conseguir cubrir los gastos debidos al compromiso de datos que exigía el nuevo Reglamento en Materia de Protección de Datos.

Y volvió a pasar el año pasado, con la pandemia de la Covid-19, tras el decreto de estado de alarma y la obligación de todos los trabajadores del país a trasladarse al teletrabajo desde casa, en la mayoría de los casos con dispositivos personales. Esta situación provocó un crecimiento de la conciencia del riesgo cibernético por parte de directivos, empleados y usuarios.

el ciberseguro ya no se percibe como un lujo, sino como una necesidad

Esta afirmación junto con la creciente demanda del seguro cibernético por parte de las empresas, conduce a la obligación de la revisión permanente de los términos y condiciones de las pólizas cibernéticas. Lo que conlleva a la aparición de nuevos tipos de coberturas con nuevas condiciones y exclusiones.

Los ciberseguros cubren dos tipos de garantías: unas básicas y otras complementarias, además de en ambos casos dejar algunos riesgos fuera de la cobertura. Estos casos que se excluyen, normalmente, son: Aquellos daños que resulten de los actos ilícitos llevados a cabo por el asegurado de manera deliberada, daños materiales y personales, reclamaciones y litigios producidos antes de la firma del contrato del ciberseguro, violación de la normativa sobre secretos comerciales y patentes, y los que tiene que ver con la guerra y el terrorismo.

Asimismo, no son simplemente legales o económicos, sino que también pueden ser técnicos. Y es importante tener en cuenta que depende de la ciber póliza que la empresa contrate, podrá disfrutar de unas u otras coberturas distintas.

Qué tener en cuenta para contratar un ciberseguro:

La actividad de la empresa.

El tipo de datos que trata.

Los equipos informáticos que se utilizan.

Dónde se almacena la información de carácter personal o confidencial de clientes y/o empleados.

Si trata datos médicos o financieros, u otra categoría de carácter especial.

Si almacena propiedad intelectual.

A pesar de que las empresas aún no estén obligadas de manera legal a tener ciberseguro, es 100% recomendable, para ayudar a mitigar el impacto económico de un ataque cibernético sobre la compañía afectada. Además, ya es un factor clave para que la empresa siga con su continuidad del negocio, con el mínimo número de brechas de seguridad.

En definitiva, el confinamiento y la crisis sanitaria han acelerado la digitalización de la sociedad. El teletrabajo, la conciliación, la distancia social, la creciente importancia de la ciberseguridad y la contingencia y continuidad del negocio, son los términos que han provocado este aumento exponencial de la contratación del ciberseguro. .