El sector de la ciberseguridad lo tiene claro: "La IA cambia radicalmente las reglas del juego"

¿Quién no ha tenido algún problema comprando por internet? Sin darte cuenta, has acabado metiendo los datos de tu tarjeta en una página web fraudulenta. O, sin saber cómo, han duplicado los datos de tu cuenta y empiezan a llegarte cargos por cientos de euros. Nadie está a salvo de unos fraudes cada vez más frecuentes, en parte porque cada vez estamos más unidos a la tecnología.

Pero el fraude digital ya no empieza ni termina en el usuario que recibe un mensaje, descuelga una llamada o hace clic donde no debe. Esto lo tienen claro Gustavo Lozano, CISO de ING para España y Portugal, y Raúl Guillén, presidente del Consejo Asesor de CyberMadrid, que conversaron con Agenda Pública antes de comenzar el encuentro de ING Hacia un mundo más seguro. Frente a una amenaza cada vez más profesionalizada, Guillén advierte de que "no podemos delegar toda la responsabilidad del incidente en el usuario final".

Lozano apunta en la misma dirección desde el sector bancario. Para él, "el ciudadano espera que la aplicación sea segura" y eso obliga a incorporar "la seguridad desde el diseño". No basta con reaccionar cuando el fraude ya ha ocurrido: hay que acompañar al cliente "antes, durante y después" de cada operación. Guillén lo llama avanzar hacia "un modelo de corresponsabilidad estructural", pensado para proteger al ciudadano "aunque se equivoque".

También hablamos de la transformación del cibercrimen y del papel de la inteligencia artificial (IA). El sector criminal se ha organizado hasta trabajar "casi como una multinacional moderna" y ahora utiliza la IA para acelerar ataques. "Los delincuentes usan la IA para ir más rápido", resume Guillén. Lozano insiste en que la tecnología también debe servir para alertar mejor: "No se trata de tener al ciudadano permanentemente asustado, que sería un error, sino preparado para reaccionar adecuadamente".
 
¿Existe realmente un problema de ciberseguridad y fraude en España? ¿A qué indicadores hay que apuntar para entender el contexto en el que estamos ahora mismo?

Gustavo Lozano (G. L.): Indudablemente, todos estamos expuestos a un panorama de amenazas extenso y, dentro de esas amenazas, existen diferentes vectores de ataque y de fraude. Pero tenemos que identificar la información a nivel país y a nivel estatal. Ahí es donde, si atendemos al número de transacciones que suceden al año, al número de operaciones de Bizum o al número de transacciones con pago con tarjeta, que son millones a diario, frente a lo que se considera fraude, a nivel estadístico el problema es más reducido.

Eso no quita para que se ponga el foco y la atención necesaria para reducirlo a la mínima expresión. Es una obligación de todos los sectores y estamentos.

Raúl Guillén (R. G.): Hay que diferenciar qué es cibercrimen, qué es fraude y qué son otros tipos de actividades delictivas alrededor del mundo digital: hacktivismo, geopolítica, etcétera. Actualmente, los riesgos están a la orden del día y la superficie de exposición se ha democratizado. Nuestra vida real y nuestra vida digital están 100% conectadas.

"Como cualquier crimen organizado, es una industria que busca rédito económico y estamos viendo cómo se ha industrializado"

Por un lado, estamos detectando una profesionalización del cibercrimen. Como cualquier crimen organizado, es una industria que busca rédito económico y estamos viendo cómo se ha industrializado, se ha organizado y trabaja casi como una multinacional moderna. Por otro lado, la geopolítica global y la polarización de los conflictos también provocan ataques contra infraestructuras críticas que buscan tumbar servicios digitales, no con un objetivo económico, sino con un objetivo de desestabilización y manipulación social y política.

Eso también impacta directamente en la ciudadanía, porque detrás de un ataque de hacktivismo puede haber una caída de servicios esenciales. Y, por último, está el fraude. El fraude es una evolución del fraude tradicional hacia un fraude digital.

"Ese incremento de dispositivos y de nuestra vida digital lleva consigo estar más expuestos a todo lo que sucede en ese panorama de ciberamenazas"

G. L.: Además, todo esto viene derivado de la transformación digital que ha sucedido en el ecosistema empresarial. Pero, si hacemos la reflexión como ciudadanos, también nos ha tocado. Todos llevamos con nosotros uno o dos dispositivos móviles de manera permanente. Ese incremento de dispositivos y de nuestra vida digital lleva consigo estar más expuestos a todo lo que sucede en ese panorama de ciberamenazas.

Y para el mundo del cibercrimen también es un negocio rentable. Hay números y estadísticas disponibles que muestran esa rentabilidad, incluso por encima de otros ecosistemas como el mundo del narcotráfico, por ejemplo.

R. G.: El nivel de inversión que necesitas, tanto de logística como de estructura, para perpetrar un ataque y traducirlo en rédito económico es mínimo. Cualquier persona, en este mundo hiperconectado, puede lanzar un ataque desde cualquier parte del mundo con muy pocos recursos.

Los bancos juegan un papel, las plataformas juegan otro y el ciudadano también. ¿Cómo encajamos estas piezas? ¿Hay una labor de explicar e intentar enseñar tanto a los más jóvenes como a los mayores?

G. L.: Debemos enfocarlo desde un modo totalmente colaborativo entre los diferentes sectores y, por supuesto, con el ciudadano y con nuestro cliente. También desde un punto de vista sistémico. Primero, porque el ciudadano espera que la aplicación sea segura. Eso deriva en que el sector bancario, teniendo en cuenta todas las metodologías y la gestión de la seguridad, adopte el modelo por el que llevamos peleando tantos años: la seguridad desde el diseño.

Ese es un modelo constante, evolutivo y dinámico, donde debemos incorporar funcionalidades para adaptarnos a un panorama de amenazas que también es dinámico y cambiante. Podemos profundizar en multitud de opciones de detección: por ejemplo, que, si estás en una llamada con un atacante, puedas avisarnos. En ING hemos sacado una funcionalidad que se llama "¿Quién me llama?" para alertar. El ecosistema y la aplicación bancaria tienen que ser robustos porque el cliente y el ciudadano lo esperan: nos lo dicen en numerosas encuestas.

Después, toda la información que se genera en una aplicación bancaria pasa por redes de comunicaciones. Las operadoras de telecomunicaciones prestan un servicio y también tienen que aportar su granito de arena: cortar, detectar, evitar la propagación de una ciberamenaza o, si detectan una llamada maliciosa o un SMS malicioso, poner los medios para cortarlo.

"Hablo de un entorno colaborativo entre ciudadanos, administraciones y empresas para un frente común: la lucha contra la ciberdelincuencia"

Y después llegamos al tercer bloque: cliente-ciudadano. Está utilizando la aplicación, está transaccionando y, desde nuestro lado, también es una obligación dar formación y concienciación constante y dinámica en función de lo que observemos. Si te llaman, haz esto. Si recibes un mensaje con urgencia donde te piden hacer algo, actúa de esta manera. Avísanos por esta funcionalidad. Cada vez que actúas, si activas las notificaciones de la aplicación, vas a ver lo que haces. Y si, por lo que sea, lo está haciendo un actor malicioso, también lo vas a ver. Por eso hablo de un entorno colaborativo entre esos tres bloques sectoriales para un frente común: la lucha contra la ciberdelincuencia.

R. G.: Muchas veces hablamos de corresponsabilidad, pero no podemos delegar toda la responsabilidad del incidente en el usuario final. Si eso ocurre, seguramente habrá una erosión y una pérdida de confianza en las infraestructuras y los servicios digitales.

Tenemos que evolucionar hacia un modelo de corresponsabilidad estructural, porque quienes trabajamos en el mundo de la empresa tenemos la obligación de diseñar sistemas que sean seguros y que protejan al usuario aunque se equivoque.

Tiene que haber un mínimo de alineamiento. El diseño de las soluciones es fundamental, como decía Gustavo, porque los ataques son cada vez más sofisticados, más indetectables y más contextualizados al entorno. Por eso, picar o caer en un incidente o en un ataque es muy sencillo. Cualquiera puede caer, como le ocurrió a usted.
 
¿Porque hay más uso de servicios digitales?

R. G.: No solo es más uso. Las generaciones más adultas han desarrollado un principio de desconfianza y de sentido común aplicado a la estafa tradicional. Esto no deja de ser una evolución de las estafas tradicionales hacia un entorno dinámico. Quizá los jóvenes no tienen esa percepción del riesgo intrínseco tan arraigada en su educación.

G. L.: Tiene que ver con la parte de comportamiento. Al final, quien es más joven, y también por la sociedad a la que nos ha llevado el smartphone, está más acostumbrado a la inmediatez y a que se le requiera una contestación inmediata. El mantra que en seguridad tratamos de transmitir es: cuando te llaman, te llega una notificación o cualquier información, para, piensa y actúa. Reflexiona sobre lo que te ha llegado.

¿Realmente estás esperando un pedido de una plataforma logística? ¿Realmente no lo has pagado y te están pidiendo un pago? Reflexiona y actúa. Bloquea, llama a la operadora, llama al banco, notifica. Eso es fundamental. En las personas más mayores, a lo mejor no existe esa urgencia ni esa necesidad porque consumen menos servicios digitales. En cambio, muchas personas jóvenes esperan paquetes casi a diario. No es ni mejor ni peor, pero está asociado a una vida digital más intensiva.

R. G.: Exacto, esto es el principio de confianza cero, o zero trust. Obliga a pararse, pensar y analizar lo que está ocurriendo. Desde el punto de vista de la cultura y la usabilidad de los sistemas digitales, las personas mayores están más acostumbradas a pensar antes de actuar.

Volviendo al principio de corresponsabilidad estructural, hago una llamada tanto como presidente del Consejo Asesor de CyberMadrid como empleado de una multinacional de ciberseguridad. Tenemos que incorporar la seguridad desde el diseño, pero no solo en los sistemas, sino también en los procesos y en los servicios que diseñamos.

Hay que elevar la ciberseguridad al máximo nivel directivo. El paradigma regulatorio europeo y español nos anima, o nos dirige, a que así sea. Tiene que haber una aproximación de la seguridad en un modelo top-down real. Cuando hablamos de tecnología, siempre hay una tríada: tecnología, procesos y personas. Si no incorporamos la seguridad en el núcleo de ese modelo, estamos perdidos.

"Hay que elevar la ciberseguridad al máximo nivel directivo. El paradigma regulatorio europeo y español nos anima, o nos dirige, a que así sea"

. También tenemos que ser capaces de quitar presión y estrés al ciudadano. Me preocupa el nivel de estrés asociado al uso de herramientas digitales. Tenemos que ayudar a reducirlo. Para eso, con un principio de seguridad desde el diseño, los sistemas, servicios y soluciones deben ser lo suficientemente seguros para que, aunque el usuario se equivoque, entre comillas, no ocurra nada grave.

G. L.: Por eso es importante el proceso de esas soluciones antes, durante y después de la utilización de una aplicación bancaria para hacer transacciones. Que podamos alertar en el proceso de conexión, en el proceso de gestión de una transacción y, si por el motivo que sea estás haciendo una transferencia o una transacción errónea, que también haya mecanismos de alerta.

Nosotros hemos desarrollado la funcionalidad "¿Quién me llama?" para el caso de que te estén llamando y estés operando. Pero también, en el caso de transaccionar y tener dudas, existe el botón de SOS Fraude para que, inmediatamente, desde nuestro contact center, se pueda identificar y cortar rápidamente.

Por encima de todo eso están los mensajes constantes y las campañas constantes de alerta sobre ese panorama de amenaza. Un ejemplo: en la campaña de la renta sabemos que hay suplantaciones de la Agencia Tributaria, porque el mundo del cibercrimen aprovecha ese mes de declaración para suplantar e intentar que el ciudadano caiga. Nosotros reforzamos también a nuestros clientes en la aplicación esa amenaza para que la vean, la conozcan, la detecten y actúen descartándola.

R. G.: Evidentemente, el contexto provoca que el riesgo sistémico cambie. No es lo mismo el riesgo en una campaña de Black Friday o de compras navideñas que en una campaña de la renta. Las campañas que utilizan los ciberdelincuentes cambian y nuestro nivel de exposición cambia con ellas. Tenemos que ser capaces de modular y proteger nuestro entorno para que, en ese contexto, nuestro nivel de riesgo baje. De ahí la importancia de alinear la estrategia de ciberseguridad con los modelos de negocio.

Aquí hay una cuestión de fondo que es el uso de la IA. ¿Cómo ha impactado en este campo? Puede que haya riesgos, pero es probable que también encontremos oportunidades.

R. G.: Sin duda, la inteligencia artificial es quizá la tecnología habilitadora que está transformando nuestra forma de entender la tecnología.

En esa profesionalización del cibercrimen, los grupos criminales están haciendo un uso extensivo de la inteligencia artificial. Si analizamos qué es la IA, para mí es una tecnología que democratiza el acceso al conocimiento experto y hace más eficientes los procesos. Cualquier persona sin conocimientos técnicos va a ser capaz de construir un ataque contextualizado, sofisticado y difícilmente detectable. Los delincuentes usan la IA para ir más rápido.

Además, en la interfaz que recibimos estamos viendo cómo, gracias a la IA y a su uso para manipular información, por ejemplo, el concepto de deepfake se traduce en llamadas o vídeos con voces clonadas. Los criminales usan la IA no solo para la interfaz, sino también para acelerar los procesos de detección de vulnerabilidades.

"La IA ha cambiado el paradigma y la forma en la que atacan los delincuentes, pero también la forma en la que quienes estamos en el lado del bien nos defendemos"

Esto parece terrible, y lo es, pero tiene un contrapunto. Los que estamos en el lado del bien también hacemos uso extensivo de la IA. Gracias a ella, podemos intentar prevenir un incidente antes de que ocurra, sobre la base de un modelado de riesgo dinámico y cambiante. La IA ha cambiado el paradigma y la forma en la que atacan los delincuentes, pero también la forma en la que las empresas y quienes estamos en el lado del bien nos defendemos.

Es eficiencia y garantía de que el conocimiento fluye entre todas las capas. Nos ayuda a romper silos y a mitigar la escasez de talento asociada a la tecnología. Cambia radicalmente las reglas del juego en ataque y en defensa.

G. L.: Desde el lado empresarial, sabiendo que el cibercrimen utiliza de manera extensiva la IA, es importante adoptar capacidades vía fabricantes o desarrollos propios para detectar más rápido. El triaje de cualquier incidente, ya sea contra la infraestructura de la empresa o vinculado a un patrón relacionado con el cliente, debe ser más rápido y la respuesta, por tanto, también.

Eso también debemos vincularlo a la detección rápida, al triaje, a la respuesta y a los diferentes modos de operación, que pueden ir cambiando de forma dinámica y constante. Y debemos utilizar esa fortaleza para reforzar las comunicaciones hacia el cliente desde un punto de vista formativo.

No se nos puede olvidar esa parte final: no solo utilizarla en procesos tecnológicos, sino también en la difusión. No se trata de tener al ciudadano permanentemente asustado, que sería un error, sino preparado para reaccionar adecuadamente.
Hay un problema cuando pensamos en la naturaleza transfronteriza de estos ataques. ¿Desde dónde llegan estos fraudes? Y, si ya se está haciendo, ¿cómo se puede elevar esta cooperación a nivel europeo?

G. L.: Antes comentábamos que, dentro de todo ese panorama de amenazas, y actualizándolo a lo que puede recibir el ciudadano y nuestros clientes, vemos principalmente llamadas no solicitadas, mensajería y todo lo que tiene que ver con suplantaciones de identidad en influencers o famosos que, utilizando la IA, intentan enganchar al ciudadano a la inversión en productos financieros que acaban derivando en una estafa.

"No se trata de tener al ciudadano permanentemente asustado, que sería un error, sino preparado para reaccionar adecuadamente"

¿De dónde llega todo eso? La exposición que tenemos es totalmente 24/7 y a nivel mundial. Puede llegar de cualquier parte del mundo. Lógicamente, hay países que tienen niveles de riesgo diferentes. Nuestra responsabilidad es detectarlo y establecer reglas y filtrados para poder pararlo.

Un ejemplo potente de ese ecosistema y de esa relación es que desde hace dos años venimos trabajando diferentes sectores con la Administración pública. Hay una colaboración y hay un sustento legal que la ampara, con un real decreto para la lucha contra llamadas no solicitadas, contra el spam, contra el fraude y también contra llamadas comerciales no solicitadas para que el ciudadano esté mejor protegido.

Esa colaboración ya existe y se ha mejorado, pero en un ámbito nacional. ¿Qué falta? Que a nivel europeo toda la regulación existente se traduzca en un modelo similar. He puesto este ejemplo de real decreto porque es un buen ejemplo de colaboración nacional entre Administración pública y diferentes sectores privados con un objetivo: proteger al ciudadano, no solo al cliente de diferentes entidades. Eso se tiene que trasladar sí o sí a nivel europeo y mundial.

"Ahora mismo somos más reactivos que preventivos. Tenemos que enfocarnos hacia un modelo más preventivo y predictivo"

La Administración pública, los sectores políticos y el gobierno europeo tienen que fortalecer esa interrelación. Y eso también lo llevo al ecosistema de otras regulaciones, las que vinieron en el pasado y las que están por venir, como DORA o NIS2, donde hay capítulos y artículos en los que tenemos que enfocarnos en la compartición de inteligencia de amenazas entre sectores en tiempo real. Ahora mismo somos más reactivos que preventivos. Tenemos que enfocarnos hacia un modelo más preventivo y predictivo.

R. G.: Puedo contextualizar lo que acaba de decir Gustavo. En primer lugar, el ciberespacio no es soberano, no tiene fronteras. Hay países que son menos garantistas con respecto a los derechos y libertades de los ciudadanos y que son más o menos agresivos persiguiendo el crimen.

Obviamente, aquellos países más alejados quizá del primer mundo, donde son más laxos aplicando las leyes, son lugares donde hay más granjas, contact centers o bases de operación de esos grupos criminales. Si hablamos de hacktivismo, basta mirar el panorama de conflictos internacionales: desde Corea del Norte se ataca a Corea del Sur, desde Rusia se ataca a Ucrania, etcétera.

G. L.: De hecho, ustedes, como fabricantes, tienen esa visibilidad mundial de diferentes sitios: hacia dónde van los ataques, orígenes principales y destinos principales.

R. G.: Correcto. Pero va muy asociado a que, si yo fuera ciberdelincuente, elegiría operar desde donde tenga más o menos riesgo de que me pillen y me persigan. Eso es una realidad.

Con respecto a lo que le pediríamos a Europa, como tengo un rol de estratega europeo en mi compañía, le pediría pasar de un plano menos teórico a un plano más ejecutivo y operacional. Tenemos normas maravillosas y no necesitamos más normas. Hay una norma para la gestión de la resiliencia del entorno bancario, está NIS2, vienen normas asociadas a organismos de inteligencia artificial, infraestructuras críticas, etcétera. Muchas normas.

Pero echo en falta que haya una compartición real de inteligencia e información: de riesgo, de incidentes, de indicadores de compromiso, de amenazas, entre organizaciones, reguladores y países. Un plano más ejecutivo, donde esa compartición sea dinámica, real, automatizada, orquestada y también más generosa.

"Echo en falta que haya una compartición real de inteligencia e información: de riesgo, de incidentes, etc. entre organizaciones, reguladores y países"

PEso tiene otros matices. Tenemos que ser capaces de que las empresas compartan inteligencia sin tener el esquema de la penalización. Está muy bien que haya que notificar un incidente y, por supuesto, tenemos que garantizar los derechos y libertades de ciudadanos y usuarios, pero debemos facilitar desde un plano legal que esa compartición sea efectiva y no esté lastrada por la operación legal.

Ahí Europa tiene que hacer un giro. Yo les pediría que nos ayuden a que esa compartición entre países, sectores y stakeholders sea real y busquemos mecanismos que nos ayuden a compartir información. No podemos dejarlo a la libre elección de reguladores locales y nacionales. Tendría que ser una cuestión de seguridad de Europa. Ir hacia modelos de soberanía europea, no solo de soberanías nacionales.

G. L.: Desde las empresas también tenemos esa intención de colaborar y, de hecho, sucede de una manera informal y dinámica en el sector. Pero, como dice Raúl, al regulador le pedimos que no solo construya ese ecosistema, sino que también sea bidireccional, lo más en tiempo real posible y enfocado a lo preventivo.

Todo lo que se observa a nivel mundial —la amenaza, lo que se detecta, lo que los fabricantes también pueden aportar— se debería compartir para que todas las empresas podamos mejorar nuestras barreras en tiempo real. Ahora mismo lo que sucede es más unidireccional, porque cada regulación exige requisitos de reporte inmediato de incidentes y amenazas. Es reactivo, es regulatorio y puede estar enfocado desde un régimen sancionador.

"Cada segundo, cada minuto, desde el punto de vista de la reacción ante un incidente o una ciberamenaza, es fundamental"

Hay que darle la vuelta. Hay que asumir que esa compartición, por sí misma, es positiva y buena para el contexto nacional, europeo e internacional. Hay que enfocarla hacia la parte preventiva y predictiva. Nos estamos metiendo en un ecosistema tecnológico muy intenso, con inteligencia artificial en muchos ámbitos, y el tiempo es oro. Cada segundo, cada minuto, desde el punto de vista de la reacción ante un incidente o una ciberamenaza, es fundamental.

Europa, como comentaba Raúl, tiene un catálogo de regulación, somos pioneros y Europa es proteccionista frente al ciudadano, y está bien. Pero hay que atravesar esa regulación y llevarla a la acción concreta y a la práctica.

No lo veamos solo como regulación o requisito de reporte porque puede conllevar una sanción. Si pensamos en proteger al ciudadano, pensemos desde el inicio hasta el fin: desde lo que consume, lo que provoca y cómo podemos ayudar. Lógicamente, si hay alguna mala praxis, que se investigue y se actúe, pero eso es lo que todavía falta. La preocupación es que al final sigue llegando más regulación y no arreglamos esa parte operacional que echamos en falta.

R. G.: Por ejemplo, en la directiva NIS2, Europa ha definido unos estándares, pero ha delegado la transposición a cada uno de los países. Eso no puede ser. No puede ser que haya distintas velocidades y distintos sabores a la hora de hacer la transposición de una directiva europea.

El Gobierno español quiere una ventanilla única, y eso ayudaría. Quien ha sufrido un incidente sabe el nivel de estrés y urgencia que se vive. No puedes estar pendiente de a cuántos reguladores tienes que notificar. Debería haber uno, una ventanilla única, y que esa ventanilla se encargue de distribuir la información donde corresponda.

Es un proyecto valiente, pero me preocupa cómo va a aterrizar. La ventanilla única ayudaría mucho a hacer más eficiente el modelo colaborativo de las empresas con la Administración.

G. L.: Otro ejemplo: hace cinco años nos dijeron que en enero de 2025 todas las entidades financieras y aseguradoras tenían que cumplir DORA. Tiene cinco pilares y uno de ellos es la obligación sistemática de compartición de inteligencia de amenazas. Ha pasado un año desde la entrada en vigor de la regulación y no ha sucedido.

Lo que sí se nos pide es que, si pasa algo, tengamos la obligación de comunicarlo en dos horas. De acuerdo. Pero ¿por qué no se me dice también lo que le está pasando a otra entidad? A mí no me interesa el impacto económico-financiero, pero sí el modus operandi, el vector de ataque, el origen de esas direcciones IP, porque yo en mis sistemas puedo configurar reglas para cortar.

R. G.: O el indicador de compromiso.

G. L.: Exacto. Por eso insisto tanto en el enfoque predictivo y preventivo. Eso es prevención. Si veo un informe de un ciberataque que está flotando desde determinados países, lo meto en ese sistema, me llega una alerta y todo el ecosistema bancario puede configurarse y protegerse.

R. G.: Al final es una cuestión de voluntad y de pasar a un plano más operativo.
 
Me quedan dos cuestiones. Les pediría quizá que concreten un poco más. La primera es una recomendación para la ciudadanía.

R. G.: Yo diría a la ciudadanía: desconfiar por naturaleza. Cuando recibes una interacción en un canal no autorizado, desconfía, rompe la comunicación y verifica el origen. Es aplicar el sentido común que todos aplicaríamos en la vida no digital. Sobre todo cuando hay un elemento de interacción y de inmediatez: desconfía.

Si es demasiado bueno para ser verdad, es que no es bueno. Esos conceptos de desconfianza los aplico. Esas decisiones que tomamos en caliente, rápido y cuando estamos más relajados suelen ser enemigas de unas buenas prácticas de higiene y seguridad digital.

G. L.: Yo agregaría también la parte de formación constante. Tanto desde el sector bancario como desde el ámbito público tenemos a disposición muchísima formación. Es una obligación, no solo una recomendación, formarnos constantemente.

Y después, aquello que llevamos encima, que es un dispositivo móvil superpotente, decenas de veces más potente que ordenadores del pasado, tenemos que buscar la manera de robustecerlo y protegerlo al máximo. Al final llevamos muchísima información y accesos a diferentes aplicaciones que nos importan. Es la primera barrera, la primera manera de protegernos bien frente al mundo del cibercrimen.

R. G.: Y voy a agregar una última. Yo les diría que exijan a sus proveedores que cumplan con las obligaciones de diseño y que, a la hora de decidir con qué proveedor contratan, analicen, si pueden, cuál es su capacidad de seguridad para proteger al usuario aunque se equivoque. No todos los bancos son iguales, lo siento mucho, no todas las compañías son iguales.

Hay que hacer también un ejercicio de poner la seguridad dentro de la toma de decisión cuando contrato un servicio. Así de claro.

Ahora la misma recomendación, pero para las administraciones.

G. L.: Para las administraciones, desde un punto de vista empresarial, y al final la Administración también lo es, tiene que consumir un panorama de tecnologías y de servicios. Pues indudablemente que busquen, ligado a lo que acaba de decir Raúl, la seguridad desde el diseño.

Desde el punto de vista de requisitos, deben pensar en la información que están gestionando, que es del ciudadano, en que manejan presupuestos del Estado, y buscar cómo identificar esos requisitos de seguridad. Las soluciones, tecnologías y servicios que gestionan toda esa información deben ser seguros desde el diseño. Eso ahorrará mucho tiempo en incidentes, en gestión de problemáticas y mejorará la protección hacia el ciudadano.

R. G.: Yo agregaría, en primer lugar, al regulador, que sea capaz de encontrar esos puntos de colaboración dinámicos que hemos comentado al principio. Ese es el reto: pasar de un plano teórico a un plano ejecutivo, de una dimensión teórica a una dimensión operativa.

Y a las empresas, no hay que inventar mucho. Si analizamos los últimos dos informes de riesgos del Foro Económico Mundial, no informes de riesgos tecnológicos, sino de riesgos, posicionan los riesgos asociados al espacio digital y al ciberespacio entre los cinco principales. Las empresas tienen que analizar los riesgos de forma estratégica para poder mitigarlos al máximo nivel ejecutivo.

"Debemos evolucionar hacia modelos donde la seguridad esté alineada con la estrategia de negocio, donde el riesgo sea un elemento que pivote y que nos ayude a medirlo de forma dinámica en el tiempo"

¿Por qué digo esto? Porque uno de los principales riesgos que impactan a las compañías son los asociados a la transformación digital. El riesgo es cambiante y hay que analizarlo para poder mitigarlo. Además de incorporar la seguridad desde el diseño, por supuesto, debemos evolucionar hacia modelos donde la seguridad esté alineada con la estrategia de negocio, donde el riesgo sea un elemento que pivote y que nos ayude a medirlo de forma dinámica en el tiempo.

Lo que no se mide no se ve, y si no se ve tampoco vemos la evolución. La gestión del riesgo es clave y hay que incorporarla a la alta dirección en un modelo top-down, o de arriba abajo.

G. L.: Al final es ver la seguridad en la estrategia, también dentro de la Administración pública. Sea como gestor de información y procesos de servicio al ciudadano o como Administración pública emisora de regulación para proteger a los ciudadanos.

Muchas gracias.