Qué hace de verdad un profesional de la ciberseguridad en 2019

Controlar el desarrollo seguro de producto, velar por el cumplimiento de todas las normativas tipo RGPD, valorar el alcance de un intento de intrusión en la empresa, decidir qué incidente es más urgente y cuál más importante, descubrir fallos de seguridad (y solucionarlos), mejorar todos los sistemas, arquitectura, tecnologías y herramientas de una compañía, realizar una análisis forense cuando ha habido una intrusión…

Si el campo de la ciberseguridad es amplio, las labores que desarrollan los expertos en la materia no lo es menos. Por eso, lo más normal es que estos profesionales estén especializados en alguno o varios de estos cometidos y su quehacer diario sea, en cierto modo, muy diferente al de otros compañeros. Pero también está el rol del CISO (Chief Information Security Officer) que es la máxima “autoridad” en una organización para definir la estrategia, gestionar a los diferentes equipos y hablar con el comité de dirección. En muchas ocasiones, el CISO ha sido cocinero antes que fraile y antes de llegar a esta posición ha pasado por roles técnicos.

Pero, como nos ha dicho -sonriendo- uno de nuestros interlocutores, vamos a intentar explicar en este artículo a qué se dedican los expertos en ciberseguridad, “aquello que nos ha costado más de 10 años que entiendan nuestros padres”. Eso sí, dado que la seguridad es uno de los asuntos más críticos de las empresas, hay cosas que permanecen bajo secreto de sumario y ni siquiera estos profesionales pueden dar pistas de por dónde discurre su trabajo.

Un día cualquiera en el trabajo en ciberseguridad

¿Cómo es el día a día de un experto en ciberseguridad? ¿Recibe alertas constantemente en su móvil sobre posibles incidencias? ¿O es de esas profesiones que hasta que no llega a su puesto no se pone en marcha?

“Mi día a día es un tanto complicado”, asegura Tamara Hueso, ingeniera informática especializada en Ciberseguridad y que trabaja en Deloitte. Aunque tiene planificada una serie de tareas diarias a realizar, lo cierto es que la actualidad manda. “El trabajo de un blue team (o defensa) se cuestiona continuamente y no es vistoso. Esto es así porque la seguridad 100% no existe y por mucho que nos esmeremos en mejorar la seguridad siempre habrá algún fallo que en mayor o menor medida comprometa algún sistema y el punto de mira somos nosotros. Tenemos que proteger absolutamente todos los sistemas ya que el atacante va a buscar el punto más débil. Y es un trabajo bastante complicado”, relata.

Así que, como señala Raúl Rodriguez Luena, auditor de seguridad en Oesia, un experto en ciberseguridad busca siempre (nuevas o existentes) formas para poder encontrar vulnerabilidades en un sistema, aplicación, etc, y cómo remediarlas. “Imaginaros que queremos adentrarnos en un piso, pues buscamos la forma de cómo podemos entrar a la casa, sin romper nada y decirle al dueño del piso como entramos y que debe de hacer para no permitir que vuelva a suceder”.

En muchos casos, pues, el día comienza con lo más inmediato y urgente, que son las tareas de alerta temprana. A partir de ahí comienzan otras tareas más planificadas. En el caso de Daniel Fírvida, experto en Servicios Avanzados de Ciberseguridad para Empresas de INCIBE, hablamos de tareas tan diversas como la elaboración y revisión de otros materiales como artículos del blog, guías o estudios, noticias relevantes, seguimiento de tareas, trasladar las necesidades a los equipos de mantenimiento que desarrollan y mantienen las herramientas internas, resolver dudas u orientar en el trabajo a otros compañeros. “Es un trabajo bastante amplio y en el que surgen necesidades ad-hoc cada cierto tiempo que debemos cubrir”, detalla,

Para quienes tienen puestos de CISO, la labor es algo diferente, como explica Gonzalo Asensio, cuya jornada empieza leyendo feeds de ciberseguridad y viendo las últimas brechas a empresas o las vulnerabilidades que han sido descubiertas. “Después hablo con mi equipo por si alguna de estas noticias nos afecta y, si es el caso, ver cómo podemos mitigar este riesgo”. Tras varias reuniones (tanto presenciales como por videoconferencia), revisa el correo (“nos hemos acostumbrado a comunicar mediante el correo cosas importantes y tenemos que estar pendientes de cualquier cosa que pueda ir mal en la empresa”). Pero parte del día lo dedica a revisar presupuestos, preparar presentaciones con los mensajes clave para el comité de dirección, hablar con fabricantes de soluciones de seguridad, ir a eventos como ponente o asistir a grupos de trabajo del sector o a nivel nacional. Es decir, “nuestro rol tiene un componente social muy importante ya que en este mundo tan expuesto a las amenazas es fundamental la colaboración, conocimientos y experiencia de todos para luchar de una forma unificada”.

Estas labores diarias de un CISO son diferentes cuando uno lleva poco tiempo en la empresa. Es el caso de Fermín J Serna, quien desde hace un par de meses es el CISO de Semmle. Desde Seattle nos cuenta que ahora mismo su labor está centrada en evaluar los riesgos: cómo son los procesos normales, si tienen seguridad incrustada, si hay nueva versión de un producto comprobar si ha pasado políticas de seguridad, gestionar los bug bounty (gente de fuera encuentra vulnerabilidades, la reporta y se les pague por ellos). “Debo evaluar los riesgos y luego priorizarlos para hacer proyectos para los que más me preocupa, de forma que se mitiguen”, detalla. Cuando cumpla esa fase “ya me llegarán alertas de intentos de intrusión y entonces hay que evaluar el alcance de estos incidentes y cómo evitarlos. Pero lo primero es ser consciente de lo que está pasando, evaluarlo y priorizarlo”.

Reuniones, pero no tantas

Los equipos de ciberseguridad suelen tener reuniones periódicas, pero no tienen por qué ser diarias. “Sería una locura”, asegura Gonzalo Asensio.

Pero es evidente que “tiene que haber coordinación entre equipos, sobre todo cuando hay gente especializada en diferentes áreas”, realta Fermín J. Serna. “Cada semana suele haber reuniones más importantes para ver qué ha sucedido, las inversiones que se pueden hacer y en qué áreas. Yo tengo que decidir si muevo gente, asumo riesgos o mitigo otros, analizar dónde está invirtiendo su tiempo mi gente y ver si las prioridades han cambiado en poco espacio de tiempo”.

También en Deloitte las reuniones son semanales para hacer un seguimiento del proyecto. “Con los gerentes y socios del proyecto en cambio me reúno una vez al mes, a no ser que haya algún tema importante”, explica Hueso.

Dado que los equipos de trabajo suelen estar sentados juntos, “la comunicación es muy fluida para resolver posibles dudas que puedan surgir, por ejemplo, con la criticidad de un aviso, con la relevancia de un producto, o con alguna cuestión técnica. Las reuniones que solemos hacer son informales o improvisadas”, explica el experto en Incibe. Es decir, que aunque haya aspectos que son rutinarios, en general el trabajo en seguridad es de todo menos algo repetitivo, dado que cada día se tienen que enfrentar a situaciones diferentes, amenazas distintas, incidentes cambiantes. “Por suerte, estas son las circunstancias que convierten a este trabajo en un trabajo apasionante”, apostilla este experto en ciberseguridad.

Mi kit de aplicaciones básicas

Como decíamos al inicio, en el campo de la seguridad existen muchas tareas y diferentes roles, por lo que no es fácil hablar de unas herramientas estándares que utilicen todos estos profesionales. Por ejemplo, Tamara Hueso explica que su trabajo consiste principalmente en el diseño, implementación, operación y revisión de herramientas para aportar mayor seguridad a la red o los activos de una empresa. Por eso, entre las herramientas que maneja podemos mencionar Firewall, IDS (Intrusion Detection System), IPS (Intrusion Prevention System), WAF( web application firewall), NAC (network access control), Proxy, VPN, Anti-DDoS y MDM(Mobile Device Management) entre otras. “En relación a las copias de seguridad, todas las semanas se nos realiza una copia de seguridad del dispositivo para salvar todo el trabajo realizado durante la semana”.

Mientras, en el caso de Raúl Rodriguez Luena, este profesional utiliza herramientas enfocadas en pentesting, como la Kali Linux y las herramientas que ésta trae (Burp, Owasp Zap, Metasploit, etc.). Pero también maneja otras de análisis de vulnerabilidades tales como Nessus y Acunetix. “Las herramientas de pentesting de Kali son usadas todos los días, pero dependerá de qué tipo de proyecto estemos trabajando. Por ejemplo, si es una auditoría a una aplicación web, pues utilizamos herramientas como Burp Suite, para escaneos y pruebas especializadas en aplicaciones web”, nos detalla.

Para este experto, las herramientas de Kali serían indispensables. “Son una muy buena base para empezar en este mundo de la seguridad, ya que contiene herramientas que facilitan el trabajo del día a día” aunque considera también muy importante tener “conocimientos a niveles de redes, lenguajes de programación, etc., para tener un mejor entendimiento de las pruebas a realizar”.

Tamara Hueso, por su parte, No cree que haya ninguna herramienta indispensable, “se pueden aplicar controles de diferentes formas”, explica. En su opinión, las herramientas ayudan a proteger nuestros sistemas, pero no por tener más herramientas estás más seguro. “Es más importante que las herramientas que utilices las tengas bien configuradas que tener muchas mal configuradas”.

Pruebas de resistencia: hasta que la cuerda aguante

Como decía uno de estos expertos al principio, muchas veces el trabajo de la ciberseguridad consiste en encontrar fallos. Las pruebas de resistencia están, a veces, entre estas prácticas.

Por ejemplo, Gonzalo Asensio explica que se llevan a cabo para simular un ataque real de DDoS (Distributed denial of Service) y ver hasta cuánto aguantan los sistemas mientras vemos “cómo van temblando los "tornillos". Esta prueba se puede hacer de muchas formas, pero en concreto a mi me gusta hacerla lo más real posible donde no avisamos a nadie para ver si nuestro sistemas de monitorización y seguridad es bueno; además lo hacemos por la noche o en fin de semana para ver si nuestros equipos de guardias responden adecuadamente y siguen el procedimiento de gestión de respuestas ante incidentes”.

La experta en Deloitte, por su parte, explica que no se suelen llevar a cabo pruebas de resistencia como tal pero que cuando se lleva a cabo una actualización o una configuración que pueda afectar al rendimiento habitual de los sistemas “se realizan varias pruebas, se testean y una vez estamos seguros procedemos al cambio. Por ejemplo en el proceso de implantación de un NAC o en la robustez de sus políticas tenemos que tener muchos cuidado porque el NAC controla el acceso de cualquier dispositivo a la red. Si no le permitimos esa conexión puede afectar a que muchas personas se queden sin trabajo. En primer lugar se despliega el agente en todos los dispositivos que quieras controlar, o se establece una conexión con el protocolo IEEE 802.1X depende del proveedor y la herramienta que se utilice. Una vez configurados se establece un tiempo de análisis, en el cual se pone el NAC en modo transparente(no se bloquea ningún intento de conexión) y se analiza que pasaría si realmente estuviera bloqueando. Cuando se estabilice la herramienta y los bloqueos en intentos de conexión sean realmente los que se deberían bloquear se pasa a modo bloqueo”.

La seguridad es 24x7. ¿Mi trabajo también?

Los que se dedican a la seguridad saben que un incidente puede producirse en cualquier momento del día (o de la noche), especialmente si proviene de fuera. ¿Cuándo y dónde empieza y acaba el trabajo de un experto en ciberseguridad?

De nuevo, aquí va a depender mucho del puesto que se desempeña. Gonzalo Asensio, como CISO, lo tiene claro. “Mi trabajo nunca empieza y nunca termina… son 24 horas 7 días a la semana; hay que tener en cuenta que los ciberdelincuentes no descansan, además de que suelen residir en países con distinta zona horaria. Por tanto, los que nos dedicamos a esto ya tenemos asumido que en nuestro rol siempre estamos disponibles y alerta para lo que pueda suceder y sobre todo para lo que podamos evitar de manera proactiva”.

Pero, por ejemplo, en INCIBE no tienen un equipo que haya estado trabajando durante la noche. “Sí tenemos herramientas en modo 24 por 7 que nos emiten algunas alarmas, o compañeros de otros servicios en modo 24 por 7 que cuando ven algo nos avisan, y cuando yo o el resto del equipo con el que trabajo llegamos a la oficina, entonces lo revisamos y lo analizamos”, detalla Daniel Fírvida.

Porque, tal y como asegura Tamara Hueso, “no hay nada tan urgente como para no esperar al día siguiente. Y, si lo hay, me contactarán en el móvil personal”. Por eso, esta experta vive sin notificaciones en el móvil. “Considero que tenemos que desconectar para luego ser más eficientes en el trabajo”, defiende, al tiempo que confiesa que sí le dedica tiempo fuera de la oficina al trabajo. “Me encanta mi trabajo y le dedico parte de mi tiempo de disfrute, a formarme, asistiendo a charlas para seguir aprendiendo, etc.”.

La mejor defensa ¿es siempre un buen ataque?

En materia de seguridad se suele decir que hay dos tácticas: la reactiva (responder ante los ataques) o la proactiva (la que los intenta evitar). ¿Cuál es más importante para nuestros expertos?

“Mi trabajo es eminentemente proactivo, es decir, debemos alertar y prevenir a los usuarios de las amenazas para evitar que las sufran. En ese sentido es muy importante la concienciación, pero también divulgar buenas prácticas de ciberseguridad, técnicas de bastionado y de configuración segura de servicios, etc. En ese enfoque son fundamentales los servicios de alerta temprana”, explica el experto en Servicios Avanzados de Ciberseguridad para Empresas de INCIBE.

Sin embargo, la experta en Deloitte trabaja en ambos frentes. “Tengo la suerte de estar en un proyecto muy grande en el que tengo la visibilidad de todo, tanto ataque como defensa, monitorización, etc. Es verdad que no me encargo directamente de la parte de respuesta ante incidentes, nosotros los prevenimos. Pero cuando surge algún problema tiran de nosotros igualmente”, detalla.

Para Gonzalo Asensio, prima el ser proactivo porque, según él, cuando suceden las cosas puede ser demasiado tarde. Eso no quita para que siempre trabaje en detección, protección y respuestas/recuperación. “Detectar ataques avanzados es cada vez más difícil y por tanto estamos invirtiendo mucho en la detección interna (reactiva) para contener de manera rápida y eficaz cualquier posible incidente de ciberseguridad”, detalla.

Así que, como resume Fermin J. Serna, al final es un mix entre ambas concepciones. “Tiene que hacer las revisiones de seguridad de forma proactiva antes de que salga un producto, invirtiendo en ingeniería para que cosas que han sucedido en el pasado no se repitan en el futuro. Pero, una vez que has sacado el producto, hay que ver qué está pasando, si ha habido fallos o intrusiones. Y en medio de las dos seguridades hay mucha ingeniería que soporta estos dos tipos de proyectos para que los fallos del pasado no vuelvan a suceder”.

Es más, este experto asegura que es precisamente el trabajo entre las dos seguridades lo que lleva más trabajo. “Es una apuesta de futuro. Conlleva abstraerse del presente, ver los incidentes y poner en marcha un plan de ingeniería para que no se repitan en el futuro”.

Ante todo, mucha calma (sobre todo si te atacan)

Aunque el trabajo de todos estos profesionales es evitar, en la medida de lo posible, que ocurran incidentes, ¿cómo se trabaja cuando ocurre uno que no se ha podido evitar? ¿Qué medidas se toman? ¿Cuál es su trabajo en ese momento?

“Lo primero ante un incidente de seguridad, es la notificación al personal afectado", asegura el auditor de seguridad de Osia. "La comunicación es un elemento clave, ya que todo el personal se ha preparado sobre cómo debe de actuar antes estos incidentes, mediante formación y capacitación de los posibles ataques que pueden ser afectados, y de acuerdo a esto, pues se procede a los protocolos de seguridad establecidos en las normativas y procedimientos de seguridad”, señala Raúl.

El responsable de Incibe asegura que no hay una solución mágica. “La ciberseguridad se aplica por capas, donde necesitas múltiples soluciones para tener un buen nivel” y, según él, “en muchos casos y organizaciones ya se trabaja con la perspectiva de que antes o después podrás ser víctima de un incidente, por lo que se avanza en la capacidad de recuperación y la ciberresiliencia, el poder resistir al ciberataque”. Aquí todo depende del negocio en cuestión y de la criticidad de los sistemas: desde lo básico de un backup de datos, hasta instalaciones en alta disponibilidad, soluciones en la nube, etc. “En cuanto a la reacción ante un incidente y los protocolos que se deben implantar, se pueden seguir diferentes metodologías y pautas. Las fases que abarcan son la de preparación, identificación, contención, mitigación, recuperación y lecciones aprendidas. No voy a entrar en el detalle, pero es importante mantener la calma, registrar los pasos que se dan en cada parte y notificar a un CERT de referencia para el apoyo en la resolución”, explica Daniel Fírvida.

Esa reacción ante un incidente “es vital”, según Gonzalo Asensio, quien detalla que el protocolo de actuación pasa por unos procedimientos técnicos avanzados “donde el personal especializado trabaja con el objetivo de contener y neutralizar el ataque; al mismo tiempo en función del sector y del impacto es necesario activar los mecanismos de notificación de incidentes a organismos públicos y órganos competentes en la materia”.

Las metodologías a emplear y las tareas que se realizan podrían ocupar otro reportaje, pero Tamara Hueso insiste en que ante un incidente de seguridad lo fundamental es mantener la calma. “Toda compañía debería tener un plan de acción ante incidentes de seguridad en los cuales se especifique las tareas a seguir, los grados de criticidad de dicho incidente y la manera de proceder en cada uno de ellos. Pero este procedimiento no se debe hacer cuando surja un incidente, este trabajo es previo”, remarca.

Como resume el CISO de Semmels, lo primero (tras mantener la calma) es analizar la situación antes de hacer nada, ver qué ha sucedido y poner en marcha un plan comprensivo de qué se va a hacer. “Hay que tener visión de futuro sobre qué va a pasar: si es mejor retrasar la comunicación del fallo para que no ocurran otros errores o si lo más importante, porque es un ataque activo, es sacar el parche”. Algo que va a depender del tipo de vulnerabilidad ante la que nos encontremos.

“Estamos bajo un ataque. Y es serio”

También les hemos preguntado si han vivido alguna situación de verdadero pánico. De esas de película en la que la seguridad se haya visto realmente comprometida.

El trabajo de un blue team (o defensa) se cuestiona continuamente y no es vistoso. Esto es así porque la seguridad 100% no existe y por mucho que nos esmeremos en mejorar la seguridad siempre habrá algún fallo que en mayor o menor medida comprometa algún sistema y el punto de mira somos nosotros. Tenemos que proteger absolutamente todos los sistemas ya que el atacante va a buscar el punto más débil. Y es un trabajo bastante complicado.

“Vivir esas situaciones las he vivido, pero no puedo contarlas”, se ríe Fermin J. Serna, quien ha estado 8 años como jefe de seguridad de producto en Google y 5 en Microsoft. Sin entrar en detalles, sí que asegura haber vivido la comunicación de algunas vulnerabilidades que “podían haber tirado todo el Internet que corre en Windows. Ha habido casos de vulnerabilidades en las que 100-200 personas del equipo de seguridad de Microsoft hemos tenido que parar no solo para arreglar ese fallo, sino para encontrar otros parecidos”. Y en Google también vivió situaciones parecidas. “Una vez nos reportaron responsablemente un fallo que habían encontrado. Pero esa persona no se dio cuenta del impacto que podía haber tenido ese fallo”, rememora, para asegurar que, tanto en acciones benignas como malignas, las compañías “estamos sujetos a regulación y tienes que informar de estos fallos”.

Uno de esos momentos de seguridad crítica se vivió con el virus de Wannacry. “Hacía unas semanas que yo había tenido un proyecto en un cliente, en el cual tuvimos que hacerle un pentest de red externa e interna. Durante ese proyecto encontramos que varios servidores eran vulnerables a MS17-010 que había salido relativamente hace poco tiempo. Conseguimos ejecutar eternalblue y Doublepulsar, que son dos exploits y nos hicimos con el control del sistema”, rememora Tamara Hueso. “Esto rápidamente lo reportamos y elaboramos un informe en detalle de cómo se explotaba, como resolverlo e indicamos que debería corregirse a la menor brevedad posible.

Como suele ser normal en los clientes, las cosas de palacio van despacio y ese fatídico viernes nos empezaron a bombardear con llamadas, los gerentes se nos acercaban alarmados pidiendo soluciones para los clientes que llamaban y fue bastante interesante”. Cabe señalar que el cliente en cuestión del que nos habla Hueso no había aplicado el fix y les había afectado el ransomware “pero no tuvo mucho impacto gracias a dios”.

También recuerda ese momento Wannacry el responsable de Incibe. “Fue tremendamente estresante, supuso una carga de trabajo de todos los equipos realmente alta y además, era uno de los mayores focos de atención de la opinión pública, ya que durante casi una semana fue la noticia de apertura de muchos telediarios”, recuerda. “Al principio, tampoco se conocía bien la expansión que tenía el problema y si podía volver a mutar, una vez que se paralizó la expansión. Además, en otros países resultó bastante dañino y eso hizo disparar la alerta. Fue en definitiva una tarea de mucho trabajo y tensión continuada, pero por suerte en España se pudo contener el problema. Realmente, nosotros no tenemos un día sin incidentes”.

Pero, más allá de estos momentos críticos, los expertos en seguridad también viven momentos casi de chiste. “Hay gente que es muy paranoica y que, sin entender la tecnología, interpreta mal los diferentes casos, pero siempre intentamos aportarles el conocimiento técnico y el sentido común para reconducirlo”, explica Daniel Fírvida.

Una de esas situaciones cómicas las vivió Gonzalo Asensio el día que una clienta llamó a la empresa “para decir que se tenía que ir al supermercado y que estaba en mitad de rellenar todos los datos personales y nos preguntó si podía ir a comprar o no… y claramente no era nuestra web y por tanto le dijimos a la mujer que su problema no era comprar sino un virus que le quería robar todos sus datos”. En otra ocasión, en el año 2009/2010, estaba junto a una persona de su equipo haciendo un análisis forense a un ordenador de un cliente que había sido infectado por un malware que intentaba hacer fraude. “Durante ese análisis y viendo que hacía este malware y revisando el equipo, de repente se empezó a mover el cursor sólo le dio al botón de windows y abrió un Notepad y nos empezó a escribir; nos decía que no intentásemos nada ya que el no había sacado dinero de fraudes a bancos, que estaba difícil, etc. Le dejamos un correo electrónico dentro del documento que había creado el "ciberdelincuente" y nos mandó un correo con una oferta de empleo para crear virus y malware avanzado para atacar a entidades financieras!!”

En seguridad, lo más complicado es…

Estar al día, prevenir los ataques, responder ante incidentes… Los expertos en ciberseguridad trabajan en diferentes frentes. Y, como en todos los trabajos y profesiones, hay cosas más fáciles de hacer y otras que pueden llegar a ser un verdadero reto.

De hecho, Tamara Hueso asegura que para ella lo más difícil es el saber organizarse. “Son tantas cosas y tanto que hacer en muy poco tiempo que debes de ser muy organizado y estructurado”, recomienda.

Mientras, Fermin J. Serna considera un reto contratar gente. “No hay suficiente gente en ciberseguridad. Hay más problemas que gente que las soluciones. Hay que tirar de inversiones pragmáticas para resolverlas”, se lamenta. Aunque asegura que cada vez hay más gente interesada en este campo, cree que el problema es de calidad. “Es cierto que muchas cosas las he aprendido con la edad, dándome cabezazos contra la pared. Pero no hay gente suficiente. No puedo contratar al ritmo que me gustaría”, se lamenta.

¿Qué busca en un profesional? “Que sepa de todo pero que esté especializado y que tenga la capacidad de pivotar a otros campos porque la seguridad es un manejo de riesgos. Lo único que no puede suceder es que no seas consciente de los riesgos a los que estás sujetos. Una vez que los conoces, los asumes o los mitigas”, expone este experto.

Para Daniel Fírvida, experto en Servicios Avanzados de Ciberseguridad para Empresas de INCIBE, hay tantas cuestiones difíciles que no es sencillo quedarse con una. Pero, reconociendo que no es algo complicado, reconoce que “resulta duro cuando te encuentras un caso o un compañero te cuenta la situación de una empresa que ha perdido toda su confiabilidad por un ciberataque tipo ransomware, o casos similares. La impotencia es mucha porque son casos en los que no puedes ayudarles y resulta bastante frustrante”.

Una visión en la que coincide como CISO Gonzalo Asensio. Pese a que lo más complicado es “combinar la parte técnica con la parte de la estrategia y el alineamiento con el negocio; además es un trabajo de “cañerías” no siempre se puede mostrar y poner en valor lo que hacemos”, este experto asegura que el trabajo de un CISO es “un tanto extraño ya que cuando no pasa nada es difícil de justificar y cuando pasa, normalmente no sigues en la compañía”.

Mención aparte merecen los errores humanos, ya que, como determina Hueso, “Casi todos los ataques o la mayoría de ellos empiezan por un fallo humano. Por eso hay que formar y concienciar a los usuarios en materia de ciberseguridad”.

Una visión con la que coincide el auditor de seguridad de Osia. “La seguridad empieza por uno mismo, así que diría que uno mismo sería la propia amenaza, ya que no procuramos actualizar los sistemas y aplicaciones que utilizamos, no almacenamos correctamente nuestras credenciales y otros tipos de información sensible, no nos preocupamos por añadir más seguridad como factores de doble autenticación para acceder más cómodo y rápido a dichas aplicaciones, no formar ni capacitar al personal de los protocolos de seguridad y cómo debe actuar antes los ataques, en especial los de ingeniería social. La mayoría esperan a que suceda la incidencia para luego implementar la seguridad que debió de haberse realizado anteriormente”, señala Raúl Rodríguez Luena.

Imágenes: Grandfailure, gorodenkoff, Pinkypills, RealPeopleGroup