Melchor Sanz es el CTO de ventas de HP en España. Su labor consiste en “promover” el uso de la tecnología en la administración, las empresas y la ciudadanía para mejorar los procesos y generar más riqueza y bienestar. Su día a día está lleno de sesiones divulgativas y de asesoría.
Sanz, que es apasionado y también contundente cuando habla, aborda en esta entrevista las muchas carencias tecnológicas de las pymes españolas, especialmente en el ámbito de la ciberseguridad. Y explica cómo se pueden proteger frente a las cada vez más numerosas amenazas informáticas. Para él, es fundamental que los autónomos y las pequeñas empresas se conciencien de los riesgos que corre su información. Pero, sobre todo, es fundamental que inviertan en equipos y soluciones modernas y preparadas para hacerles frente. Hay mucho trabajo por hacer.
En líneas generales, ¿cómo están las pymes españolas en cuanto a dotación tecnológica?
“Las pymes tienen que invertir en automatización y en la mejora de sus propios flujos de trabajo. La mayoría de las pequeñas compañías tiene unos flujos de hace 10 años”
Las pymes en este país tienen una dotación tecnológica en muchos casos medio obsoleta. Y cuando los sistemas no están obsoletos, son bastante dispares y no están correctamente integrados. También quiero añadir que los fondos europeos del Plan de Recuperación, Transformación y Resiliencia iban a ayudar a las pymes a actualizarse a nivel tecnológico. Pero, según han ido saliendo las convocatorias, especialmente del programa Kit Digital, hemos visto que las ayudas eran para actualizar servicios de internet, pero no para modernizar el hardware, el ordenador, la tablet o la impresora.
Se excluyó a posta esos componentes de hardware. Y, en consecuencia, las pymes siguen desactualizadas. Primero, porque no tienen dinero y, segundo, porque el dinero que venía de Europa para ayudarlas no les ha servido para mucho, porque están limitadas a la contratación de servicios, como la creación de páginas web o gestión de redes sociales. El problema es que si no tienen el ordenador al día o si mantienen equipos que tienen 14 años de vida, difícilmente van a tener una buena gestión del resto de elementos.
¿Cuáles son las áreas en las que deben invertir las pymes para ganar en competitividad y productividad, que es uno de los talones de Aquiles de la economía española?
Pues es muy sencillo. Tienen que invertir en automatización y en la mejora de sus propios flujos de trabajo. La mayoría de las pequeñas compañías tiene unos flujos de hace 10 años. Los flujos de trabajo que tienen de cómo se mete una factura, cómo se gestiona, cómo se presenta una oferta, cómo se aprueba, cómo se cobra o cómo se paga son, en realidad, procesos del pasado. Prácticamente ninguna pyme está utilizando nuevas tecnologías. Para hacer un presupuesto, para enviarlo automáticamente, para que luego automáticamente genere un albarán o una factura, o para que todo quede archivado de forma digital.
“En este momento, necesitamos que el Estado obligue a las empresas a ser más eficientes en todos sus procesos”
Pensemos en un pintor, en un albañil o en cualquier autónomo. O en una peluquería o una tienda de productos para mascotas. Todos están muy muy anclados en el pasado. Hay un aspecto que en algunas pymes está un poco más automatizado, porque la legislación les obliga a ello, y es la parte de ventas. La Agencia Tributaria obliga a tener un seguimiento de las ventas de una forma minuciosa y las empresas cuidan este ámbito porque se exponen a multas si no lo hacen.
Por poner un ejemplo, una peluquería tiene la gestión de los tickets, los cobros y la agenda, pero luego no ha digitalizado la gestión del inventario. Cuando se le gasta un champú, pues lo apunta en una libreta y llama al proveedor para pedirlo. En este momento, necesitamos que el Estado obligue a las empresas a ser más eficientes en todos sus procesos.
Pasemos a hablar de la ciberseguridad. En un principio, los ciberataques iban dirigidos a las grandes empresas y destacaban por su sofisticación. Pero hoy se han extendido. Los malos prefieren hacer daño a muchos con ataques masivos. Sacan más rédito y para ellos es más barato y efectivo. De esta forma, cualquiera está en el punto de mira: ciudadanos, pero también autónomos o pymes con pocos empleados. ¿Cuáles son los ataques más habituales dirigidos a una pequeña empresa en España?
Definitivamente, la vía de ataque más habitual es el correo electrónico. Los correos fraudulentos o de suplantación de identidad. Es el tipo de ataque más fácil para los malos. Solo tienen que poner un robot y un ordenador toda la noche a enviar millones de correos y esperar a que 10 piquen el anzuelo.
En este caso, las víctimas pican porque no tienen información, no ha habido divulgación sobre las amenazas y no tienen celo. Tampoco desconfían. Y, sobre todo, no tienen herramientas para defenderse y reaccionar. Además, después de la pandemia todos tenemos muchos más dispositivos y somos mucho más digitales. Y los vectores de entrada de los atacantes se han multiplicado por tres.
Si antes los malos enviaban 1.000 correos y tenían 10 potenciales respuestas favorables, ahora envían un millón y tienen el triple de respuestas. Además, ahora hay muchas personas y empresas que usan la tecnología, pero que son nuevas realmente como usuarios o que se han subido al carro en los últimos cuatro o cinco años. Son personas muchas veces sin experiencia ni formación, y es ahí donde está el caldo de cultivo para los ciberdelincuentes.
¿Y qué daño pueden causar estos ataques informáticos a una pyme? ¿Cuáles son las consecuencias más habituales de un incidente de este tipo?
Aunque está descendiendo, sigue siendo habitual el ransomware. Los malos entran en tus servidores y PC, cifran la información y te piden un rescate por recuperarla. Si pagas, efectivamente la información se descifra. Pero pasas a estar en una lista de pagadores y nadie te garantiza que en los próximos meses o años otro atacante, o el mismo, te vuelva a atacar porque precisamente sabe que pagas.
“Yo creo que mayoritariamente las pymes sí saben a lo que se exponen. Pero hacen sus cuentas y prefieren asumir el riesgo y abaratar costes no invirtiendo en ciberseguridad”
Por otro lado, ahora mismo está creciendo muchísimo lo que se suele denominar como “El fraude del CEO”, que consiste en que los malos se hacen pasar por tu jefe o por tu director financiero y le mandan al empleado un mail urgente pidiéndole pagar una factura. También está el fraude de los que se hacen pasar por un proveedor y piden el abono de un pago pendiente. Pero todo es falso. Este tipo de fraudes está creciendo enormemente en las pymes en el último año. Una forma de evitarlos es aplicar la firma digital y el cifrado a albaranes y facturas que se envían en formato PDF, por ejemplo.
Y el tercer problema es el del robo de credenciales, que afortunadamente está cayendo un poco en estos momentos. Te envían una información falsa y te llaman para pedirte el usuario y la contraseña para acceder a no se sabe dónde. Vas tú y se la das, y, a partir de ahí, los malos pueden entrar en tu ordenador de forma remota o pueden bajarse tus credenciales del banco, entre otras cosas.
¿Hace más complicado el teletrabajo la protección de los ordenadores en las pymes?
“HP ha unificado bajo la marca Wolf Security todas las soluciones de seguridad que tienen sus ordenadores e impresoras; que no hay que olvidarse de las impresoras”
Absolutamente. Porque, además, las pymes no compran la tecnología adecuada en muchos casos, ni la activan correctamente. A falta de fondos europeos en este sentido, las pymes compran muchas veces lo más asequible. Y eso supone hacerse con equipos que no incluyen funcionalidades de seguridad. Hablo de sistemas de protección de la BIOS (software integrado en el procesador central del PC que es responsable de iniciar el sistema) y de arranque seguro, por ejemplo.
O de sistemas de identificación con huella dactilar o reconocimiento facial. O procesos de recuperación automática y sistemas de detección de intrusiones o de aislamiento. Precisamente, estos últimos son muy útiles porque todo lo nuevo y lo que nadie certifica que sea seguro queda aislado en una parte del ordenador, para que, si es nocivo, no afecte al resto de ficheros del equipo. Nada de eso lo tienen los ordenadores más baratos. Y tampoco muchos usuarios lo piden.
Cuando oímos hablar de ataques de ransomware, robos de información o caídas de páginas web, no solemos pensar en que nos puede pasar a nosotros. ¿Son las pymes españolas conscientes de los peligros que las rodean a nivel informático?
Las estadísticas dicen que no lo saben. Pero yo aquí discrepo. Yo creo que mayoritariamente sí saben a lo que se exponen. Pero hacen sus cuentas y prefieren asumir el riesgo y abaratar costes no invirtiendo en ciberseguridad. Hay muchas pymes que deciden no tener antivirus o ponen uno gratuito, que es casi peor que no poner ninguno. Y en ese momento se están convirtiendo en objetivo de los atacantes. A esto se une en muchos casos esa inconsciencia de los peligros, de la que hablábamos antes, y también el hecho de que nadie ayude a las pequeñas compañías de este país a obtener la subvención para comprar seguridad.
¿Qué es lo que más temen las pymes cuando oyen hablar de ciberataques?
A las pymes sobre todo les preocupan los ataques informáticos si pueden provocar una parada real del negocio, y, por lo tanto, de la facturación. Si tú a una pequeña empresa le dices que han entrado en su sistema y le han robado las direcciones de correo de los clientes, sus nombres y sus DNI, te va a decir: “Pues vale”. Y no va a hacer mucho. A no ser que haya una sanción o una denuncia.
Pero otra cosa es que el ataque paralice el negocio, que haga que no funcionen los TPV, en caso de una tienda o una farmacia, por ejemplo. Por eso el ransomware preocupa mucho. Y por eso este tipo de ataque está cayendo un poco, en beneficio de “El fraude del CEO”. En un caso de suplantación de identidad, los pagos que van a asumir las pymes son limitados, mientras que el coste de tener varios días el negocio paralizado es mucho mayor.
¿Por qué el tradicional antivirus no es suficiente hoy para proteger los ordenadores de las compañías?
El tradicional antivirus no es suficiente porque se basa en sistemas de detección de malware o virus conocidos. ¿Qué ocurre entonces? Que deja bastante desprotegidos los sistemas frente a nuevos tipos de malware e infección. Los antivirus de siempre basados en el conocimiento sobre ataques previos tienen esta deficiencia. Además, la capacidad de mutación de un virus por sí mismo y con la inteligencia artificial ha provocado que estos sistemas de detección sean más ineficientes si cabe.
“Si yo tuviese que decir a las pymes qué es más importante, concienciar o comprar tecnología, diría que lo segundo. La capacidad de mejora de las pymes se asienta sobre todo en la mejora de su tecnología”
Ahora, los llamados antivirus de nueva generación, potenciados con patrones y algoritmos de inteligencia artificial se basan en firmas, como los anteriores, pero también en un análisis del comportamiento. Es decir, revisan qué está haciendo el malware, aunque no hacen nada por evitarlo. En este caso, solo sirven para avisar o alertar al resto de equipos y sistemas de una empresa que un disco duro está siendo cifrado, por ejemplo.
Pero en los antivirus, del tipo que sean, falta la tercera pata de la protección, que es el aislamiento, y que nosotros ofrecemos en nuestros PC gracias a la solución HP Sure Click Enterprise.
Es decir, todo lo que no esté cien por cien garantizado y que no dé una confianza absoluta se ejecutará en una réplica del ordenador que no será real. Es lo que se llama “micro máquina virtual”. Es decir, se podrá ejecutar en el ordenador, esa aplicación o documento se creerá que se está ejecutando en el ordenador de forma normal, pero no accederá a los recursos reales del sistema ni a los archivos. Y si intenta hacer un ramsomware, se creerá que lo está haciendo. Pero le engañamos porque se lo estará haciendo a unos ficheros virtuales y todo lo que haga será inocuo realmente.
¿Qué es HP Wolf Security y cómo protege los ordenadores de una pyme?
HP ha unificado bajo una misma marca o denominación todas las soluciones de seguridad que tienen sus ordenadores e impresoras; que no hay que olvidarse de las impresoras. Wolf Security es el nombre, y luego hay un apellido que define en qué consiste cada funcionalidad concreta. Tenemos la solución de aislamiento y gestión de credenciales, que se llama Wolf Security Sure Click Pro o Enterprise. Tenemos una solución de recuperación automática del ordenador basada en BIOS, que se llama Sure Recover. Y tenemos también soluciones de gestión de la identidad. Además, últimamente hemos lanzado Wolf Connect. Consiste en un servicio donde el ordenador, según sale de fábrica, viene con una pequeña antena de comunicaciones 2G integrada que permite conocer su localización física y gestionarlo de forma remota. Y bloquearlo si ha sido robado, para que nadie pueda encenderlo y acceder a la información que hay en su disco duro.
¿Qué otras soluciones de protección pone HP al alcance de las pymes?
Solo me gustaría añadir que toda esta tecnología de seguridad no se aplica exclusivamente a nuestros ordenadores personales, sino también a nuestras impresoras. O sea, que protegemos los entornos de impresión con parte de estos sistemas de la familia Wolf para la detección, el aislamiento y la notificación de amenazas.
Más allá de las soluciones tecnológicas de protección, hay una necesidad de concienciar a los propios empleados de la existencia de amenazas. ¿Qué deberían hacer las pymes para que sus empleados se tomen más en serio la existencia de la ciberdelincuencia?
Si tienen Wolf Security, ya no es un tema tan crítico porque las amenazas quedarán aisladas. Pero, en todo caso, entiendo que hay que concienciar a las plantillas. A través de formación continua fácil, rápida y práctica. Cada seis meses, o cada tres, por ejemplo. Y cuando hay un nuevo tipo de ataque por cualquier vector, ya sea un correo, un mensaje o una página web, lo que sea, hay que comentarlo.
No obstante, lo más importante de las pymes no es tanto la concienciación, porque tener a todo el mundo al tanto en una compañía de cuatro o cinco empleados no es tan complejo como hacerlo en una gran corporación. El gran problema que tienen las pymes es que no invierten en tecnología. Si yo tuviese que decir a las pymes qué es más importante, concienciar o comprar tecnología, diría que lo segundo. La capacidad de mejora de las pymes se asienta sobre todo en la mejora de su tecnología. Mientras que en las grandes cuentas, la mejora tecnológica está, pero falta la divulgación.
Imagen principal | HP
Ver 2 comentarios