"La sofisticación de los ataques nos obliga a usar las mismas herramientas de IA generativa para defendernos"

Con más de 16 años de experiencia a sus espaldas en el entorno de la ciberseguridad, el nuevo director regional de Zscaler para España y Portugal, Pablo Vera, sabe de lo que habla. Ingeniero de Telecomunicaciones por la Universidad Politécnica de Madrid, Vera ha pasado por las áreas de seguridad de potentes nombres de la industria tecnológica, como Microsoft, McAfee y Symantec. Ahora llega a Zscaler –reemplazando a Raquel Hernández– con el objetivo de consolidar a la compañía como líder en soluciones zero trust y SSE en el mercado ibérico.  

En entrevista con CSO, Vera reflexiona sobre el complejo momento que viven las empresas con respecto a su ciberseguridad. El auge de la inteligencia artificial (IA) generativa en el último año no sólo ha dado a las organizaciones nuevas herramientas para aumentar su eficiencia y productividad, sino que también ha dotado a los cibercriminales de nuevas armas para propiciar sus ataques. A esto se suman los desafíos del nuevo entorno de trabajo híbrido y el perímetro diluido y las tensiones geopolíticas que hacen proliferar la guerra del hacking en el ciberespacio. 

“Siempre hemos estado en una batalla silenciosa con el adversario para utilizar la innovación y las nuevas tecnologías” 

 

Pablo Vera, director regional para España y Portugal de Zscaler

Llegas con 16 años de experiencia en el entorno de la ciberseguridad. ¿Qué esperas poder aportar en Zscaler como nuevo director regional? 

Estoy agradecido a Zscaler por haberme mostrado la confianza y permitirme unirme a este proyecto. Venía siguiendo desde hace algún tiempo ya la evolución de la empresa con mucho interés y veo que el futuro que tiene la empresa por delante es muy prometedor. Yo lo que quiero aportar es mi experiencia, basada en haber tenido la suerte de haber trabajado en empresas líderes, que siempre han estado en un momento dulce aportando innovación o crecimiento en el mercado. Poner esa experiencia, esos conocimientos del mercado y de contactos establecidos durante mucho tiempo, en favor de liderar el proyecto para aumentar la velocidad de crecimiento y llegar a más clientes. 

Llegas justo en un momento en el que la inteligencia artificial y la IA generativa están removiendo las bases de lo que es la protección de datos y la ciberseguridad más tradicional. ¿Cuáles son estos nuevos riesgos y cómo van a tener que reaccionar las empresas? 

Es algo que está cambiando de forma muy rápida la manera en que muchas empresas están trabajando y, sobre todo, los empleados de esas empresas. Hicimos hace no mucho un análisis encuestando a 900 profesionales con capacidad de decisión en el entorno de IT y los resultados que obtuvimos eran que el 95% de las empresas estaban ya haciendo algún tipo de uso de IA generativa para sus negocios. Para las empresas supone una ventaja competitiva y realmente les ayuda a mejorar su productividad, pero también es un riesgo, un 89% de esas empresas lo afirmó. Pero luego vemos que hay desconocimiento respecto a cuáles son esos riesgos, las empresas no están bien familiarizadas sobre lo que supone, ven las ventajas que están ahí y que claramente son innegables, pero supone riesgos el utilizarla de una manera descontrolada. Solamente un 23% de las empresas están monitorizando correctamente el uso que hacían sus empleados de la IA generativa.  

Como toda innovación, tiene una parte positiva que supone mejorar la productividad y permitir innovar y crear nuevas oportunidades de negocio de las empresas, pero por otro lado, los adversarios también están aprovechando esas tecnologías para buscar nuevas maneras de comprometer a las empresas. También su uso puede suponer riesgos desde el punto de vista de la privacidad o de la propiedad intelectual de las empresas al subir información a plataformas sin control. Hay más, pero esos dos riesgos son los principales. 

Pablo Vera, nuevo director regional de Zscaler para España y Portugal, en entrevista con CSO.

Dentro de sus predicciones tecnológicas para este año comentan que las empresas van a pasar de un enfoque de zero trust a uno de confianza negativa. ¿Qué significa este concepto? 

Desde hace mucho tiempo nuestra concepción es aplicar una metodología basada en no confiar y siempre verificar los mínimos privilegios para los usuarios, de manera que evites en todo lo posible exponer tus activos. Tus activos están ocultos y evitas de esa manera el ser detectable, que sepan por dónde te pueden atacar. También se construye un modelo basado en evitar que, cuando entras en la organización, puedas tener la capacidad de moverte lateralmente y acceder a otros recursos. Solamente se establecen conexiones puntuales entre el usuario y una aplicación o entre aplicaciones, y está totalmente controlado. Y luego también se intenta evitar que haya fugas de información, controlando precisamente quién accede en función de los privilegios.  

El concepto de confianza negativa da un paso más allá. Una empresa conoce sus activos y conoce su ecosistema, es como si estuviese en su territorio. Esa es una ventaja competitiva frente al adversario, que necesita entrar en un sitio que es desconocido para él. Lo que hacemos es poner determinados mecanismos, señuelos, una serie de trampas para el adversario dentro del ecosistema, para que cuando éste toque donde no debe, se pueda alertar a la organización de que hay alguien dentro ajeno a la compañía. Con eso, construimos un entorno de desconfianza, de ahí viene lo de la confianza negativa en el adversario. Tiene las dos vertientes, cuando yo vea que alguien toca un señuelo, puedo tener una certeza altísima de que tengo un adversario dentro, pero también de sembrar la duda en el adversario. 

¿Qué otras tendencias y novedades tecnológicas vamos a ver este año con respecto a la protección de datos? 

Cada vez más, la tendencia continúa siendo que los activos principales de las organizaciones son las identidades y los datos, entonces esas son las dos cosas que hay que proteger con mayor prioridad. Todo lo que viene relacionado con IA generativa tiene implicaciones muy grandes desde el punto de vista de las ciberamenazas. Los adversarios van a tener capacidad para poder automatizar y hacer más sofisticados los intentos de ataque, va a haber deepfakes más sofisticados, correos de phishing mejor realizados, procesos de ingeniería social incluso por audio y por vídeo cada vez más creíbles. Esa sofisticación nos va a obligar a quienes estamos defendiendo a utilizar las mismas herramientas de IA generativa para proponer nuevas maneras de defendernos.  

Todo lo que está relacionado con la elaboración de malware igualmente, la IA generativa es muy buena generando código, los adversarios van a poder generar código cada vez más sofisticado, de una manera más rápida y que sea más difícil de detectar. El defenderse frente a un zero day va a ser más difícil. Entonces, va a ser la misma batalla que hemos estado siguiendo, pero acelerada por el uso de la IA. Esa presión para engañar al usuario y para utilizar herramientas que permitan comprometer y tener entrada en las organizaciones, va a poner todavía más presión respecto a la protección de la información. Entonces hay que seguirla en todos los canales y monitorizar constantemente que la información más sensible esté siempre protegida. Yo no puedo evitar que una organización comparta información entre los empleados con clientes o con terceros, lo que puede hacer es saber cómo se está usando, monitorizarlo constantemente y, cuando suponga un riesgo, tomar medidas. 

Y con todos estos cambios que están pasando en el ecosistema de la ciberseguridad y las ciberamenazas, ¿cómo están abordando estos cambios en su cartera de productos y servicios en Zscaler? 

Nosotros seguimos innovando. Somos una empresa de ciberseguridad fundamentalmente, pero hacemos más cosas en base a la naturaleza de los servicios que prestamos. En el fondo, somos una plataforma de comunicaciones corporativas, las organizaciones que confían en nosotros hacen que todo su tráfico pase por nuestra red. Para eso tenemos una red con más de 150 puntos de presencia, en la que tenemos capacidad para hacer todas las funciones de procesamiento en cada uno de esos puntos. Al ver toda esa información, podemos ayudar a las empresas a tomar decisiones en otros ámbitos, no solamente en el ámbito de ciberseguridad. Seguimos teniendo el enfoque en ciberseguridad zero trust, lanzando innovación como, por ejemplo, en los entornos de SDWAN. Para simplificar y hacer más económicas las comunicaciones empresariales añadimos el concepto de zero trust también sobre el SDWAN, somos el primer fabricante que lo ha hecho. Todas esas innovaciones van a seguir. Pero vamos a dar un paso adicional para aprovechar todo ese conocimiento que tenemos del tráfico de las organizaciones, de cómo utilizan los empleados las aplicaciones, cómo se comunican con terceros o cómo acceden a internet, para ofrecer informaciones válidas para tomar decisiones de negocio relacionadas, como hacer ajustes para ahorrar costes en las aplicaciones, reducir espacio de oficinas o mejorar la experiencia de atención al cliente. Es decir, nos estamos ampliando más allá de lo que es simplemente seguridad. 

"Nos estamos ampliando más allá de lo que es simplemente seguridad" 

El último trimestre reportaron un crecimiento global en los ingresos de un 40% interanual hasta los 496 millones de dólares. ¿Proyectan seguir en esta senda de crecimiento?  

Sí, la empresa ha tenido una trayectoria de crecimiento enorme en los últimos años, fruto del modelo basado en una red escalable que permita a los negocios tomar una decisión respecto a cambiar su modelo de comunicaciones para adaptarse a los nuevos usos, como el uso masivo de aplicaciones cloud, movimiento desde el data center tradicional a los hiperescalares, el trabajo remoto, bring your own device [BYOD]. Todo este tipo de cosas han hecho presiones y han obligado a las empresas a transformarse. Eso ha acompañado los resultados de la compañía.  

Esperamos que haya una senda de crecimiento. En una de las últimas juntas de accionistas la empresa de expresó su deseo y la ambición que tiene de pasar de 2.000 millones de dólares de ingresos anuales recurrentes [ARR, por sus siglas en inglés] a 5.000 millones de dólares. Esa es un poco la senda de crecimiento que esperamos tener. 

¿Cómo proyectan el negocio en España en particular? 

No podemos desvelar cifras particulares, pero en España estamos teniendo un crecimiento sólido y nuestro objetivo es crecer, siguiendo y acompañando esas ambiciones de crecimiento de la organización.