"Ataques como WannaCry han sido solo un primer aviso"

En un entorno donde el dato es el principal activo, la ciberseguridad se ha convertido en uno de los mayores retos a los que se enfrentan las empresas, sea cual sea su tamaño. Hablamos con Javier Modubar, director general de Ingecom, mayorista de valor especializado en seguridad informática para conocer su visión de mercado y sobre su labor de búsqueda de las mejores tecnologías para combatir las constantes amenazas.

Ha evolucionado mucho en los últimos cuatro ó cinco años. Ahora la mayoría de las amenazas vienen desde dentro. Si alguien se infecta o recibe un ataque, no es el destino final, sino que a través de él, automáticamente, se propaga por la empresa. Ahora los ataques son más difíciles de detectar. El concepto de ciberseguridad surge porque se ha difuminado mucho el tema de los ataques ahora pueden ser globales, se pueden producir en cualquier sitio, en cualquier momento, desde un país o varios a la vez, y pueden atacar a cualquier organización o individuo.

En ciberseguridad vemos un lado muy mediático, como son los últimos ataques que se han producido y que salen en televisión: el rasomware que cifra los datos y pide un rescate por bitcoin u otras monedas virtuales, difícilmente rastreables. Normalmente hay mafias por detrás que son grupos organizados que colaboran entre ellos. Y por otra parte hay ataques que se da entre países, de carácter político, que atacan infraestructuras críticas que pueden repercutir económicamente en el país.

Los episodios de WannaCry y Petya han sido una especie de laboratorio, son casos sobre los que ahora se están produciendo mutaciones, en parte porque no consiguieron grandes cantidades económicas. Ha sido una especie de prueba de cómo las medidas de seguridad que tienen implantadas las empresas, a toda escala, desde la más pequeña a la más grande, podían soportar un ataque de este tipo, que no sólo fue de cifrado, sino también de propagación dentro en todos los equipos de la red. Se quería comprobar hasta qué punto se parchean los equipos y se toman en serio la parte de seguridad, y se ha demostrado es que hay mucha deficiencia. Es un primer aviso. Durante los próximos años vamos a ver réplicas que cada vez van a ir en más intensidad. Con el primer ataque aprendieron además a utilizar monedas mucho más difíciles de rastrear que los bitcoins.

Ese es un tipo de ataque, más generalista. Hay otro que es mucho más silencioso, el que llamamos dirigido, donde se investiga a una persona, sus hábitos, publicaciones en redes sociales, etc. y a partir de ahí se busca una brecha para mandarle un ataque a él. Es mucho más difícil de detectar porque se planifica durante meses e incluso años. El problema es que lo habitual es no darse cuenta que están robando información. Se ven casos todos los días. A veces son con fines políticos, muy estratégicos, y son más difíciles de parar. En EE UU la ley está más avanzada, y tienen obligación de notificar robo de información. Aquí a partir de GDPR va endurecerse la ley, y va a obligar a hacer públicos estos incidentes de robo de información.

Lo que ocurre es que no todas las empresas están preparadas para todo; y además el cien por cien de seguridad nunca se va a conseguir, pero si es cierto que la legislación que viene el año próximo supondrá que las organizaciones se tomen más en serio el tema de la ciberseguridad.

Existe una oferta enorme en la 'deep web' para contratar un servicio de ataque, incluso empresas que lo contratan para comprobar sus propios sistemas de seguridad, en cierta manera los malos van un paso por delante de las medidas de seguridad y evoluciona rápidamente a cualquier cambio tecnológico ya que disponen el tiempo y el dinero para hacerlo, es muy fácil estudiar las medidas de protección para saltárselas y en más difícil detectar los vectores de ataques para evitarlos, estamos en una guerra asimética.

Claramente la tendencia cloud seguirá creciendo dado la flexibilidad y potencia que da a las empresas y a los usuarios , ya no sólo para almacenamiento sino para aplicaciones que hasta hace unos años se pensaba que debían estar en el perímetro de la empresa y ahora está en una nube pública o hibrida , esto abre nuevo retos de seguridad ya que no sólo hay que proteger el perímetro sino el exterior de la empresa donde salen nuevos retos, vemos como la mayoría de los fabricantes de ciberseguridad están hablando últimamente de tecnología CASB.

La segunda tendencia viene de lo que hasta hace unos años pensábamos que solo lo veíamos en las película de ciencia ficción (IoT) . De aquí a cinco años, el crecimiento de dispositivos será exponencial como demuestran los estudios de las consultoras, Desde de vehículos automáticos y totalmente conectados a la red, de donde se podrá extrapolar datos no solo de los dispositivos sino de nuestro propio comportamiento, hábitos o aficiones. Esto ya se está produciendo y va a ir a más, no solo con automóviles sino con cualquier dispositivo conectado a la red, que permitirá una evolución del servicio a las personas, pero abrirá un debate de la privacidad de los datos recogidos si son correlacionados.

La siguiente tendencia es el big data: explotar los datos de tantos dispositivos conectados, quién maneja ese big data, quién controla toda esa información que estamos generando y cómo explotarla. Se tendrá que desarrollar una legislación que regule el uso de todos esos datos. La legislación va un poco por detrás de la tecnología. Lo estamos viendo con casos como empresas que provocan gran revuelo en la sociedad como son las de las plataformas online de servicios, que está trayendo una revolución tecnológica que se puede comparar con la revolución industrial que cambio la humanidad. Dentro de unos pocos lustros muchos de los puestos de trabajo actuales no existirán y sino tomamos acciones correctoras ahora para adaptar a la gente a esta transformación digital se producirán conflictos sociales motivados por la evolución que el ser humanos está llevando a cabo.

Se está notando ya, aunque España es un país de pymes y éstas están mucho menos concienciadas de los problemas de seguridad. No pueden hacer grandes inversiones en seguridad, y deben recurrir a empresas de servicios de TI para que les asesoren adecuadamente. Las grandes organizaciones sí son más conscientes de los riesgos que corren, tienen sus propios departamentos de seguridad, y ya están poniendo remedio para cumplir la GDPR.

Por tanto, el día que entre en vigor la ley no estarán preparadas todas las empresas, a la pequeña le costará años adaptarse. Muchas de ellas no han empezado la transformación digital, por lo que entiendo que la normativa se aplicará en distintos niveles. A la larga, quien debe llevar a la pyme hacia GDPR son sus proveedores de seguridad IT. Lo que habrá que hacer es concienciar a éstos sobre la nueva legislación, posibles consecuencias, multas y cómo tienen que ir asesorando a sus clientes, pero como indicado anteriormente la transformación digital que se está dando provocará la desaparición de muchos puestos de trabajo pero a su vez se crearán unos puestos nuevos ante los cuales no existen actualmente profesionales preparados.

Como mayorista de valor en seguridad y ciberseguridad, estamos muy involucrados en ver qué nuevas tecnologías están saliendo que tendencias se dan o se van a dar, detectar cuáles son las amenazas y cómo se pueden evitar con el mejor fabricante para añadirlo a nuestro porfolio, además de evangelizar que la protección del dato es uno de los puntos más importante. Nuestro objetivo es unir las necesidades del cliente, con los fabricantes y los integradores e intentar crear simbiosis entre todos ellos.

En seguridad nacen todos los años cientos de empresas en todo el mundo. Algunas desaparecen por el camino y otras se van haciendo más grandes, otras son adquiridas por empresas más grandes, vemos que se está acelerando la compra de empresas de tecnologías por otras debido al dinamismo del mercado, nosotros estamos implicados en este escenario cambiante, ayudamos a startups de ciberseguridad para que se las conozcan en España y Portugal y puedan hacer negocios y presentar su tecnología al ecosistema de integradores que disponemos, aunque también trabajamos con grandes marcas de ciberseguridad muy asentadas como McAfee, Forcepoint, ForeScout, Allot, A10 Network; Bitdefender, F-Secure, Rapid7 y otras que están creciendo como Sealpath, Thycotic, Flowmon, con las que cubrimos casi un 360º de proyectos de seguridad. A día de hoy nos hemos convertido en referente en la parte de seguridad como mayorista de valor pero por supuesto esto implica que todos los días estemos estudiando el mercado y su evolución.

Los grandes mayoristas generalistas están intentando crear divisiones de seguridad, algunos lo están haciendo bien, a medio plazo serán también players importantes en este mercado. Es el área que más está creciendo y la tendencia es la especialización. Lo que veo que se necesita es sobre todo gente, hay falta de profesionales de seguridad, en sus diferentes ramas. Las universidades no están sacando cantera en este sentido.

El mercado de la seguridad va a volver a crecer a doble dígito en 2017 y nosotros también. Los dos primeros trimestres han sido muy buenos, aunque el tercero ha sido más suave porque las empresas han empezado a ver que la crisis ha pasado y se ha retomado en cierta manera una costumbre de parar un poco en el periodo estival. El cuarto trimestre suele ser el más fuerte con diferencia, pesando casi el 35% de todo el volumen de negocio de todo el año.

Todo esto hará que este año tengamos un crecimiento de entre el 10% y el 20%, acercándonos a unos 21 millones de euros de facturación, frente a los 18,5 del año anterior. Para 2018 esperamos que la tendencia siga igual en seguridad; imagino que añadiremos algún fabricante nuevo al porfolio –una startup y un fabricante consolidado–. De los 18 fabricantes con los que trabajamos en la actualidad quizá reduzcamos alguno, ya que se dan casos de que una tecnología que lanza un fabricante se solape con la de otro, y no nos gusta tener mucha competencia dentro de nuestra oferta.

Nos faltaría tecnología que evite amenazas en IoT, que aunque tenemos algo todavía no trabajamos con fabricantes puros de IoT; igualmente nos faltan fabricantes puros de análisis de seguridad big data. En el área de antivirus de nueva generación, de gran crecimiento actualmente, ya tenemos tres fabricantes que lo soportan y no vamos a optar por ninguno nuevo.