"A la ciberseguridad industrial le falta madurez"

BeDisruptive ha anunciado recientemente el lanzamiento de una nueva línea de servicios enfocada en la ciberseguridad industrial. ¿Cuáles son las necesidades que tienen las organizaciones industriales en materia de ciberseguridad y que han motivado el nacimiento de esta nueva área?

Xabier Mitxelena (X.M.): España siempre ha sido pionera a la hora de definir los retos y requisitos que deben cumplir las compañías en el ámbito industrial, pero debemos transformar los modelos de acercamiento. No en vano, la evolución de las capacidades en este mundo ha ido al ralentí en los últimos 15 años. O, por lo menos, no se han generado las capacidades adecuadas para ser igual de eficientes que en el ámbito IT. Por ello, este tema tiene diferentes puntos de vista. El primero, que no es fácil transformar las capacidades en el mundo de la industria, porque las inversiones son, en muchas ocasiones, a largo plazo. Además, no todas las infraestructuras se pueden conectar de forma sencilla.

Aunque para mí, sobre todo, una de las llaves es la aproximación. Es decir, estamos muy lejos de tener un sistema 360 que nos permita garantizar la seguridad de los ámbitos industriales. Y esto se debe a varias cosas: porque no es fácil hacerlo, porque hay diferentes protocolos, porque los entornos regulatorios todavía no se han aterrizado al nivel deseado y porque la inversión no es la adecuada.

David Marco (D.M.): El nacimiento de esta área viene por la necesidad de las empresas de buscar profesionales de ciberseguridad industrial. De hecho, creo que esta materia es el gran desconocido en España. Las empresas, sobre todo las del IBEX 35, están empezando a securizar la parte industrial. Y al final, no existen muchas compañías en nuestro país dedicadas a la propia ciberseguridad industrial.

En el caso de BeDisruptive, aportamos un valor diferencial. Nos salimos de aspectos más convencionales como puede ser un Red Team, un SOC u otras commodities y nos dedicamos a algo más especial como es la ciberseguridad industrial.

En este sentido, ¿cuál será el enfoque de la nueva línea de negocio?

X.M.: Uno de nuestros retos ha sido cimentar un equipo con experiencia y con conocimiento del mercado, del ámbito regulatorio y de cómo construir capacidades futuras desde el ámbito de las personas; es decir, de cómo hacer upskilling, reskilling o generar profesionales de nuevo cuño en el ámbito de la ciberseguridad.

Hay que crear una cultura tanto en el uso de las tecnologías como en el diseño de los procesos y los productos en los diferentes sectores estratégicos. Y luego hay que garantizar la resiliencia en este tipo de infraestructuras. Pero este no es un trabajo de un año, ni de dos, ni de tres, sino de los próximos 15 años.

Dentro de BeDisruptive, una de las claves es la colaboración. Existen varios proyectos, tanto en España como en Italia y, en breve, en Latinoamérica, donde se va a colaborar en la construcción de un entorno y un ecosistema para generar modelos de seguridad en sectores verticales. Y aquí entra desde la parte formativa a la parte de entrenamiento, las herramientas que deben dar soporte a las infraestructuras de los clientes y un modelo de análisis de riesgos. Se trata, en definitiva, de un proyecto que para nosotros marca un antes y un después.

Además, estamos evaluando cuáles son las tecnologías que dan mejor respuesta a ese 360 que hoy requieren los clientes. Y aquí hay una evolución en el mercado, aunque todavía no estamos, ni mucho menos, al nivel del entorno IT.

Por último, estamos desarrollando metodologías que nos permitan realizar diagnósticos rápidos de forma automática, sobre todo en el entorno pyme. No en vano, uno de los elementos que más nos preocupa es la cadena de suministro. Y aquí tenemos algunos proyectos en el ámbito europeo y nacional, tanto en el mundo IoT como en el del 5G, cuyo objetivo fundamental es definir una metodología, desarrollar un modelo consultivo y diseñar una arquitectura que realmente permita dar soporte a ese tipo de entornos y compañías.

Xabier Mitxelena: «Estamos muy lejos de un sistema 360 que nos permita garantizar la seguridad de los ámbitos industriales»

Los servicios de la nueva línea de ciberseguridad industrial de BeDisruptive se dividen en las áreas de consultoría, training & awareness y protección de infraestructuras. ¿Qué ofrecerá su compañía en cada una de ellas?

X.M.: Uno de nuestros objetivos es crear plataformas formativas con un conjunto de herramientas de entrenamiento estandarizado que permita que las capacidades reales que está adquiriendo la gente sean realmente las necesarias. Esa es precisamente una de las llaves en las que estamos trabajando, y que en breve presentaremos en público junto con nuestros partners.

Desde el punto de vista de la consultoría, tratamos de aprovechar nuestras metodologías y de adaptarlas a las nuevas normativas. Abordamos desde el análisis de riesgos hasta la definición de las arquitecturas de redes, los modelos de conectividad y de sostenibilidad, la recuperación en caso de incidente y la puesta en marcha de todos los procesos y procedimientos de certificación.

Por último, en la parte operativa estamos trabajando con diferentes partners y buscando los elementos que nos permitan simplificar o crear los modelos de futuro. Y a la vez, tenemos la ambición de la automatización. Es decir, en la parte OT estamos evaluando tecnologías que nos permitan ver la evolución del mercado y aplicarlas a los clientes con un modelo de operación 24/7.