El sector financiero español ha experimentado una enorme transformación durante la última década, principalmente por la profunda crisis económica que se vivió hace unos años. Desde entonces, han aparecido nuevos actores en este mercado que han agitado el entramado financiero y han creado nuevas opciones y servicios para usuarios y empresas.
Conscientes de esta nueva realidad, desde la revista RED SEGURIDAD, en colaboración con la compañía Guardicore, quisimos conocer cómo abordan la ciberseguridad este tipo de entidades y cuáles son los retos y desafíos a los que se enfrentan en su día a día en este ámbito. Para ello contamos con la presencia de Ricardo López, CSO de Sareb; Javier Tobal, CISO de Fintonic; Luis Ballesteros, CISO de WiZink; y Avishag Daniely, Director of Product Manager de Guardicore.
El primero en intervenir fue López, de Sareb, quien sentó la bases de la actividad de su empresa. «Somos una entidad creada en 2012 para ayudar al saneamiento del sector financiero español y, en concreto, a las entidades que arrastraban problemas debido a su excesiva exposición al sector inmobiliario». Esto,sin duda, marca su actividad, porque no son un banco propiamente dicho, pues no cuentan con clientes que depositan su dinero en él. En este sentido, los principales retos relacionados con la ciberseguridad a los que se enfrentan tienen que ver con «los ataques Zero Day, las APT, el hacktivismo con objeto de extorsionar y los insiders», en palabras de López, quien añadió: «por este motivo, tenemos que estar cada día más preparados, con capacidad de responder en el menor tiempo posible». Y es que, según el directivo, «no hay que prepararse para que las cosas no pasen, sino para cuando las cosas pasan», sentenció.
Bajo esta premisa también se establece la estrategia de ciberseguridad de WiZink, un banco digital especializado en tarjetas de crédito y soluciones sencillas de ahorro. «Durante el proceso de consolidación de nuestra infraestructura, tuvimos que hacer una migración a nuevos sistemas, con lo que ahora contamos con varios proveedores, por lo que hemos generado un marco de ciberseguridad basado en los mejores estándares, con cuatro pilares fundamentales: gobierno, protección, detección y resiliencia», explicó Ballesteros. Y es que, para este CISO, «no es suficiente con proteger, también hay que responder para evitar ataques».
De igual manera se pronunció Tobal, de Fintonic, quien, además, añadió un concepto importante para su empresa como es la confianza. «Nacimos como una plataforma basada en APIs en la que el usuario no necesitaba identificarse. Sin embargo, con el paso del tiempo, hemos evolucionado hacia un modelo en el que realizamos transacciones financieras, por lo que nos relacionamos con otras entidades y estamos sujetos a nuevas normativas». Durante ese proceso, resulta fundamental para la entidad aportar confianza, para lo cual contar con una buena estrategia de ciberseguridad es muy importante.
El problema es que a veces estas compañías se centran en atajar todo tipo de situaciones de seguridad complejas, pero descuidan comenzar por lo básico. Así, al menos, lo puso de manifiesto Avishag Daniely, de Guardicore. «Actualmente, muchos atacantes pueden entrar a la red corporativa y moverse como quieran accediendo a los datos más importantes que haya almacenados. Para evitar esto, es importante impulsar el concepto de la segmentación, que todavía no está desarrollado en muchas entidades», comentó.
La relación con los proveedores
Tan importante en seguridad es el tema de la segmentación como gestionar adecuadamente la relación con los proveedores, tal y como apuntó a continuación López, de Sareb. «Todas las empresas presentes aquí estamos digitalizadas, y nuestra cadena de valor depende de la información, por lo que es crucial tener un control de los proveedores esenciales. No hay que olvidar que un incidente en su servicio nos puede afectar a nosotros económica y reputacionalmente», apuntó. «Y de esto, a veces, no se es consciente desde la dirección», añadió.
«El crecimiento de los dispositivos interconectados y del Internet de las Cosas ha aumentado el número de vulnerabilidades y problemas a los
que se enfrentan las fábricas en la actualidad»
Sobre este tema también profundizaron Ballesteros, de WiZink, y Tobal, de Fintonic. El primero desveló que su empresa cuenta con un programa con los proveedores de ciclo de vida continuo de la información. «Comienza antes de firmar el contrato, y en él se involucra al departamento de Seguridad, quien analiza las cláusulas que se van a firmar desde el punto de vista de la seguridad, teniendo en cuenta las certificaciones del proveedor. A partir de ahí, realizamos evaluaciones de seguridad periódicas. La frecuencia depende de la criticidad de los proveedores», argumentó Ballesteros.
Tobal, por su parte, confirmó que desde su área han empezado a proponer a la dirección de su empresa que el departamento de Seguridad participe en el proceso de elección de los proveedores. «Exigimos a nuestros proveedores el mismo grado de cumplimiento de seguridad que nuestros clientes nos piden a nosotros. Aparte de eso, intentamos alinear contratos con requisitos mínimos de seguridad, sobre todo en auditoría y respuesta ante incidentes», manifestó.
En este punto, Daniely, de Guardicore, recalcó la necesidad de llevar una gestión adecuada de quién tiene el acceso y el control de determinados activos por parte de los proveedores. «Esto requiere tener una completa visibilidad entre herramientas tecnológicas, donde se pueda ver cómo se comunican entre sí; y este aspecto resulta aún más importante cuando trabajas en cloud», afirmó.
¡Sigue Leyendo!
Aquí te hemos mostrado tan solo una parte de este contenido.
¿Quieres leer el contenido completo?
Archivado en:
