La paradoja del CISO

Dado que ningún equipo de seguridad puede controlarlo todo, formar a los empleados para que detecten y prevengan las amenazas contribuye a crear una defensa más sólida y distribuida. 

Recurriendo a la influencia, la comunicación y la colaboración interfuncional para integrar las prácticas de seguridad en los flujos de trabajo diarios y en la toma de decisiones. 

Los ataques sofisticados, como el phishing mediante la suplantación de identidad del director general, se aprovechan de la confianza interna y requieren que toda la organización esté sensibilizada al respecto. 

La seguridad moderna combina liderazgo, cultura, formación y procesos integrados, y no se limita únicamente a los controles de acceso o a las defensas reactivas. 

Cuando la seguridad se integra en todos los equipos,Se facilita la identificación temprana de los riesgos y se consigue que las respuestas sean más rápidas y eficaces. 

Por favor, mira el vídeoaquípara ver la transcripción con marcas de tiempo

Bienvenidos. 

Estamos en directo desde SHIFT y me acompañan Bill
O’Connell, director de seguridad de Commvault, y Will Galway, subdirector de seguridad de Commvault. 

Y esto es «La paradoja del CISO», un podcast para debatir sobre el liderazgo en materia de seguridad en la era de la responsabilidad personal
. 

Son tiempos difíciles para los CISO. 

¿Por qué? 

Bueno, eh… a menudo se responsabiliza a los CISO, tanto a nivel personal como legal, 

por los resultados en materia de seguridad de las empresas, pero no siempre controlan directamente el
el presupuesto, el personal o las tecnologías que determinan esos resultados. 

Eso hace que su trabajo sea bastante complicado. 

Así que hoy vamos a hablar de eso, de lo que significa ser un CISO moderno y de cómo está evolucionando este
se encuentra entre las empresas más grandes del mundo. 

Voy a dar la palabra primero a Bill. 

Bill, ¿a qué te dedicas? 

Sí, me encanta el título de nuestra sesión, que trata sobre esta paradoja, ¿verdad? 

Aquí hay un verdadero dilema: por un lado, quieres que el responsable de seguridad y el
que el equipo de seguridad asuma la responsabilidad, la responsabilidad última. 

Pero también hablamos de cosas como un modelo de responsabilidad compartida, ¿no? 

Entonces, ¿cómo se concilian ambas cosas? 

¿Cómo se consigue una organización que, eh, pueda garantizar que la seguridad de la empresa esté
al nivel necesario 

¿pero que, al mismo tiempo, reconozca que no puede estar en todas partes? 

Así que también hay que preocuparse por todas las personas de la organización, toda la tecnología,
todos los sistemas y procesos. 

Me gusta pensar que la paradoja consiste en admitir que ambas cosas sean ciertas y centrarnos
En efecto, sí, si contamos con los conocimientos adecuados en materia de seguridad, pero también sobre cómo cambiamos la cultura de 

¿La organización? 

Así que se trata de 

, ya sabes, una «cultura como código» en la que todo el mundo sabe lo que puede hacer. 

Y si consigues que toda la organización se plantee un poco más el tema de la seguridad, ¿eh?
, Eso probablemente tenga más repercusión que contratar a una persona más para el equipo de seguridad. 

Así que creo que son ambas cosas, pero la verdad es que ha cambiado con el tiempo. 

Ya sabes, tu adjunto Will está intentando convertir a todo el mundo en la empresa en guardianes de la
seguridad. 

¿Cómo se hace eso, Will, si los ataques son cada vez más complicados? 

Quiero decir que todos hemos recibido llamadas de Sanjay Marchandani, nuestro director general, solo en los últimos
semana, pidiéndonos tarjetas regalo y transferencias de dinero de cara al SHIFT, así que, ¿qué te parece? 

¿Asegurarte de que todos seamos lo suficientemente prudentes? 

¿Cómo se puede cambiar la cultura para adoptar un modelo de responsabilidad compartida? 

Sí, y creo que es importante recurrir a la influencia en lugar de a la autoridad. 

Como dijiste al principio,

, no tenemos control sobre todos los sistemas, ni sobre todas las personas, ni sobre su WhatsApp personal. 

Así que estas son, sencillamente, cuestiones en las que tenemos que ejercer influencia para colaborar con los líderes empresariales y con
otros jefes de departamento, y limitarnos a transmitir ese mensaje a nuestra gente. 

Creo que todo el mundo tiene una responsabilidad en materia de seguridad, pero todo ello tiene como objetivo que la empresa siga avanzando
más rápido. 

Y creo que hay cosas que podemos hacer —y que estamos haciendo— para contribuir a que eso sea posible. 

Creo que es realmente importante poner en
¿Cómo funciona esa cultura de seguridad que ha mencionado Bill? 

Y creo que, eh… 

Ahora mismo estamos haciendo un buen trabajo en ese sentido. 

Sí, estoy de acuerdo. 

Por cierto, las llamadas y los mensajes eran falsos. 

Se trataba de un intento de phishing. 

No eran reales. 

Eh… Solo para que lo tengan claro todos los que nos escuchan. 

Eh… Bueno, Bill, ¿qué opinas sobre cómo estructurar una organización de seguridad moderna dentro de
de una empresa hoy en día? 

Porque no se trata solo de bloquear y abordar, ya sabes, eh, los problemas de identidad y acceso. 

¿Qué opinas al respecto? 

Sí, creo que, en parte, eh… 

Se requiere un cierto nivel de experiencia. 

Sin embargo, de los distintos modelos de organizaciones de seguridad que he visto en el pasado, he observado algunos
que intentaban adoptar un enfoque en el que la seguridad es el héroe, el bombero que se encarga de 

de todo. 

Y cuando creas ese muro y esa separación, le quitas la responsabilidad a
todo el mundo de la organización. 

Pueden decir: «Bueno, yo me limitaré a hacer lo mío y luego el equipo de seguridad se encargará de los asuntos de seguridad».
«». 

Y no creo que ese modelo funcione. 

Creo que

Tenemos que planteárnoslo más bien así: ya sabes, cuando construyes una casa, no hay un
un fontanero y un electricista y, además, un electricista especializado en seguridad o un fontanero especializado en seguridad, ¿verdad? 

El fontanero y el electricista deben saber cómo realizar su trabajo de forma segura desde el
principio. 

Así que creo que, cuando pensamos en la organización moderna, la cuestión es: ¿dónde están las personas?
adecuadas, las funciones ¿Y qué funciones deberían formar parte del equipo de seguridad? 

Y, a continuación, ¿cómo podemos ayudar a otros equipos a ser más seguros? 

Y, por lo tanto, ¿cómo puedo ayudar a una organización de servicios

a identificar en qué momentos de su jornada es importante la seguridad y cómo puedo enseñárselo
ser más escépticos. 

Eh… Cuando pienso en una organización de ingeniería de producto, no puedo tener desarrolladores que
No penséis en la seguridad y que luego venga un equipo de seguridad a arreglarlo, ¿verdad? 

Ya llevamos años en los que las empresas han ido avanzando hacia el «shift left» para que los que los desarrolladores piensen
en materia de seguridad, desarrollen de forma segura y, luego, sí, está el equipo de seguridad que 

también llevará a cabo algunas comprobaciones, 

Pero no estamos ahí para detectarlo todo. 

O bien el equipo lo evita desde el principio, o si han creado una vulnerabilidad,
la corrigen mucho antes de que llegue a la fase de producción. 

Así que ese es el tipo de cosas en las que una organización de seguridad moderna aporta una experiencia real que puede
ayudar a que todos esos otros equipos hagan su trabajo de forma más segura. 

Y creo, volviendo rápidamente al comentario de Bill, que hay una tendencia hacia donde
Ahí está el negocio. 

Creo que es realmente importante. 

Y creo que

Bueno, ya sabes, no tener ese «silo» de seguridad estándar que hemos visto en el pasado; hay que
acudir allí donde está el negocio y conectar a ese nivel. 

En cuanto a lo que decía Bill sobre los desarrolladores y las personas que están más cerca del producto… 

Me refiero a que hay formación y hay formas de mejorar la seguridad en general. 

Además del producto, también podemos hacerlo a nivel interno. 

Creo que tenemos que tener en cuenta estas cuestiones y llegar a la empresa, esté donde esté, para
mejorar lo que hacemos. 

Es una observación muy acertada. 

Quiero ser muy concreto en este punto. 

Así pues, para las organizaciones que están desarrollando su función de ciberseguridad por necesidad, pero
que Quizá hayan pospuesto la inversión todo lo posible, tu organización y las tareas 

Las cosas que tienes que hacer son, en cierto modo, explosivas. 

Eres responsable de garantizar que los productos que se desarrollan sean seguros cuando lleguen al mercado.
a manos de los clientes. 

Eres responsable de 

Eres prácticamente el último eslabón con el cliente antes de que compre. 

Quieren hablar con uno de vosotros dos y asegurarse de que entendéis que los productos se
se desarrollan teniendo en cuenta la seguridad y qué pasaría si ocurriera lo impensable. 

Eh… Tu tarea consiste en asegurarte de que todo el mundo en la empresa, eh… proteja nuestro acceso a
lo que importa a nivel interno y en formar al personal, porque no puedes tener un equipo que 

El mar es tan grande, ¿verdad? 

Por eso hay que formar a los desarrolladores en cómo programar de forma segura, y hay que formar al equipo de ventas
sobre cómo vender de forma segura. 

¿Qué opinas al respecto? 

Quiero decir que se trata de un ámbito de responsabilidad bastante amplio. 

Yo lo plantearía así: 

¿Cuáles crees que son las cinco funciones clave más importantes que hay en una organización moderna que cuenta con un CISO?
? 

Es difícil responder porque, como has mencionado, todas esas áreas son muy importantes. 

Creo que… 

Una de las cosas que, cuando me incorporo a cualquier organización nueva, tengo que
Entender en qué consiste la actividad de la empresa y qué es lo que, ya sabes, qué es lo que la empresa pretende 

¿lograr? 

Y creo que algo que ha cambiado mucho con el tiempo es que, bueno, una organización de seguridad empezó
es decir, ya sabes, simplemente «decir que no a todo». 

Y entonces nos dimos cuenta de que, bueno, no podemos hacerlo así: todo está conectado, todo es digital. 

Entonces, ¿cómo puedo asegurarme de que 

Estamos aplicando el enfoque de «seguridad desde el diseño», estamos formando al personal de la empresa y nos adaptamos a sus
situación, ¿no? 

Para que podamos, eh, hacer eso. 

Eh… creo que también me estás preguntando cuáles son los puestos clave de la organización. 

Eh… No estoy seguro de poder clasificarlos, creo, porque todos hacen cosas muy diferentes. 

Eh… Pero, en última instancia, para mí lo primero es preguntarme qué es lo que la empresa pretende conseguir y
¿Cuáles son los riesgos, verdad? 

Todo debe estar orientado al riesgo. 

Y por eso, 

Si tengo un equipo especializado en la seguridad de las aplicaciones o un equipo especializado en la
infraestructura o la nube, eh… casi necesitamos… eh… es tan importante que utilicemos el riesgo como una especie de 

esa única… taxonomía para hablar de todas las cosas que podrían salir mal
, para poder comparar un problema de diseño arquitectónico que no me gusta con una posible 

vulnerabilidad en una aplicación y así sucesivamente en todo el equipo de seguridad. 

Es que, cuando decimos que algo es crítico, ¿qué significa eso? 

Y no tengo por qué convertir a los directivos de la empresa en expertos en ciberseguridad todo el tiempo. 

No me refiero a puntuaciones CVSS ni nada por el estilo; lo he traducido de tal manera que, cuando digo
que Si algo es crítico, eso significa que tenemos que dejar lo que estamos haciendo. 

Cuando digo que algo es de alto riesgo, deberías preocuparte. 

Y del mismo modo, cuando digo que algo supone un riesgo bajo, simplemente tened en cuenta que lo estamos vigilando,

pero no voy a dedicarle demasiado tiempo. 

Voy a dedicar una mayor parte de mi tiempo a los problemas críticos y de alto riesgo. 

Por eso creo que todos los puestos de la organización, especialmente en el departamento de seguridad,
Deben entender en qué consiste esa taxonomía para que podamos comunicarnos con el resto de la empresa de manera que puedan 

que lo entiendan y no tengamos que enzarzarnos en discusiones sobre las inyecciones SQL y cómo evitarlas. 

También creo que es importante tener en cuenta que, cuando se habla de riesgos de
este tipo, 

que, ya sabes, la mayoría de las veces el riesgo se basa en la probabilidad o en la clasificación establecida por alguna
una autoridad, alguna entidad reguladora, pero tenemos que tener en cuenta el impacto en el negocio. 

Creo que es una forma realmente importante de medirlo y lo que determina ese nivel de criticidad
es cómo nos podría afectar a nosotros, Y ese es el orden en el que abordaremos los problemas. 

Y creo que es un enfoque sensato. 

Es una forma de pensar sencilla, porque creo que lo que importa es el orden en
el que se hace. 

Pues hablemos del riesgo que se ha materializado durante… bueno, solo unos minutos. 

Los tres hemos vivido juntos una situación de respuesta ante una brecha de seguridad, lo cual es la mejor forma de
aprender. 

Eh… ¿Cuáles son las características? 

¿Cuáles son los rasgos de personalidad de los líderes que dirigen la respuesta ante una brecha de seguridad? 

Empezaré por ti, Will. 

Creo que la higiene es realmente importante. 

Y creo que en la mayoría, la mayoría, la mayoría de las filtraciones públicas de las que oímos hablar, todo empieza por
la higiene. 

Y creo que, para un buen líder, es importante saber que la perfección no debe ser enemiga
de lo bueno, solo para asegurarnos de que llegamos a donde tenemos que llegar para proteger la 

empresa. 

Creo que las cualidades positivas de los líderes no se limitan a eso, sino que también contribuyen a
las relaciones y la confianza entre las distintas unidades de negocio. 

Estamos todos juntos en esto y cada pequeño detalle marca la diferencia. 

Tanto si tratas con diferentes personas de la empresa como con distintos empleados
en diferentes departamentos o regiones. 

Creo que es realmente importante que todos podamos unirnos y saber cuál es nuestra
responsabilidad en ese modelo de cultura de seguridad compartida. 

Y, Bill, tú te presentas ante los consejos de administración. 

¿Cómo ves ese momento en el que, lo digas o no, la alarma está
¿Sonando? 

¿Quién eres en ese momento y cuáles crees que son las mejores cualidades de
¿Qué es el liderazgo cuando te enfrentas a una crisis? 

Personalmente, a mí me hace gracia. 

Me frustro muchísimo cuando estoy en un atasco 

Pero cuando ocurre algo muy grave, soy capaz de mantener la calma, mucha calma. 

Y creo que probablemente una de las características más importantes es que dispondrás de
información incompleta. 

Habrá un millón de personas haciéndote preguntas y realmente tienes que ser capaz de
concentrarte para decir: «Vale, ¿qué tengo que hacer ahora mismo?». 

¿Qué es lo siguiente que tengo que hacer? 

Sin perder de vista el panorama general: al final del día, ¿dónde tengo que
¿estar? 

Y luego darlo a conocer al público. 

Y es interesante: mantengo muchas conversaciones con los clientes y
, a lo largo de mi carrera, he tenido que hacerlo; a veces hay que reconocer los errores. 

Otras veces es más proactivo y, como has mencionado, se trata de intentar infundir confianza desde el principio. 

Eh… Y se puede ver, en cierto modo, quiénes son los CISO que han tenido algún problema y quiénes no
, porque hay muchos que dicen: «Bueno, a ti te han pasado los problemas X, Y y Z». 

«Nosotros, ya sabes, no podemos trabajar contigo». 

Eh… 

Y empiezas a darte cuenta de que, si llevas suficiente tiempo en esto, eh, te quedarás sin empresas con las
Hacer negocios, ¿no? 

Todo el mundo tiene algún problema en algún momento o, simplemente, aún no se da cuenta. 

Así que lo más importante es: ¿cómo lo han gestionado? 

¿Cómo han reaccionado? 

¿Están siendo transparentes? 

Ah, bueno, ya sabes, eso es lo que busco cuando hablo con otros CISO; creo
que esa es la mentalidad que hay que tener. 

Mi analogía favorita es la de un boxeador. 

que tiene pensado no recibir nunca un puñetazo en la cara. 

Es que eso, sencillamente, no es una buena estrategia. 

Así que tienes que estar preparado para que pase algo. 

¿Y siempre miras hacia delante? 

Nunca estás contento con el programa, ¿verdad? 

Siempre hay algo mejor que podrías estar haciendo. 

Así que, cuando planifiques el año, reserva entre un 10 % y un 15 % del presupuesto y del tiempo que sea necesario… 

Reserva, porque no sabes lo que va a pasar. 

No sabes qué va a cambiar. 

No sabemos cómo va a cambiar la IA nuestros trabajos dentro de un año. 

Así que, en lugar de pensar que lo sabes todo, date un poco de
Flexibilidad: permítete ser resiliente y ver en qué aspectos necesitas adaptarte. 

Pues bien, adentrémonos en aguas más profundas. 

La confianza se consolida o se estanca en el momento de la verdad. 

Imagina que tu empresa ha sufrido una filtración o 

En algún punto de la cadena de suministro se ha producido una filtración que te afecta. 

Eh… ¿Cómo te aseguras de reforzar la confianza a lo largo de ese proceso en lugar de minarla?
¿Con los clientes, con tus empleados, con tu consejo de administración y con tus directivos? 

Y voy a añadir otra cosa a esto, y es que, ya sabes, la respuesta a una
Una brecha de seguridad no se produce en un día ni en una semana; a veces tarda meses. 

Y mucha gente vuelve a sus quehaceres diarios, pero el equipo de seguridad y los equipos que quizá
que se hayan visto afectados, así como los clientes y los proveedores, 

Siguen teniendo que lidiar con esto hasta que se llegue a una conclusión natural, pero nunca es rápido. 

Entonces, ¿cómo se mantienen la energía y la concentración? 

Analicemos un momento esas dos cuestiones. 

Sí, creo que, por supuesto, es importante contar con los controles adecuados. 

También se trata del proceso para llegar hasta allí, sabiendo que las cosas cambiarán y que las nuevas
las tecnologías aparecerán a un ritmo cada vez más rápido,

No basta con tener una lista de comprobación y preguntarse: «¿He hecho estas 10 cosas?». 

También se trata de qué proceso sigues para decidir cuáles son esas 10 cosas y en qué cambiarán.
el año que viene. 

Por eso, ser flexible y tener esa mentalidad es probablemente tan importante como, ya sabes,
hacer un inventario de los controles técnicos de los que dispongo en un momento dado. 

Creo que eso es, ya sabes, lo que espero, lo que busco, ya sabes, en mi equipo. 

Y cuando hablo con otros CISO, 

Creo que esa es la mejor cualidad que he observado: ser capaz de adaptarse y ser consciente
de que no se pueden tener todas las respuestas. 

Entonces, ¿cuál es tu proceso para determinar cuáles deben ser esas prioridades? 

También creo que, ya sabes, has hablado de la fatiga, ¿no? 

Sobre todo después de que se haya producido una brecha de seguridad y la gente vuelva a sus quehaceres cotidianos. 

Creo que si te evalúan a lo largo del proceso y te evalúas constantemente a ti mismo, sabes
sabes dónde estás, sabes cuánto estás avanzando y sabes lo que 

Aún queda por hacer. 

Así que creo que esa evaluación es realmente importante para saber cuándo dar la voz de alarma
y cuándo dejar de hacerlo e intentar volver al ritmo habitual de la actividad empresarial. 

Pero creo que todo eso se debe al trabajo de preparación que se lleva a cabo con antelación para llegar a
ese punto. 

Si estás hablando por teléfono con un proveedor, un cliente o un cliente potencial, y te piden
que les cuentes alguna ocasión en la que hayas sufrido una filtración de datos y cómo 

Te pusiste en contacto con la gente. 

¿Cómo llevas a cabo esa conversación? 

Porque hay muchas formas en las que el departamento jurídico podría haberte preparado un guion, o podrías dejar
que El equipo de ventas se encargará de ello. 

Pero, ¿cuál es la mejor forma de mantener esa conversación para generar confianza? 

Creo que llevo casi 20 años en el sector de la seguridad y he mantenido muchas conversaciones
con otros CISO. 

Creo que la transparencia es lo más importante. 

Creo que la gente se da cuenta 

cuando no les das una respuesta completa o exhaustiva. 

Y eso probablemente merma la confianza más rápido que cualquier otra cosa. 

Y, como en cualquier relación que requiera confianza, cuando la pierdes, es mucho más difícil recuperarla.
. 

Así que poder decir: «Esto es lo que sabemos con certeza, esto es lo que no sabemos», es mucho
Es mejor que intentar presentar las cosas de una forma más optimista de lo que son. 

Ya sabes, estoy de acuerdo en que la transparencia es fundamental. 

Y creo que, como profesionales de la seguridad, esperamos con interés leer los informes veraces
que se publican tras una brecha de seguridad como esa; de ahí se aprende muchísimo 

de ello cuando las empresas son sinceras y directas sobre lo que ha ocurrido. 

Y en ese momento, cuando llega esa primera llamada, creo que, tal y como dice Bill, hay
que sea lo más abierto y sincero posible, simplemente porque la gente 

entiende que 

Estas cosas van a pasar, pero será tu reacción la que determine cómo te juzgarán por
aquí en Adelante. 

Vale, cambiemos de tema y hablemos de la IA. 

La IA parece estar cambiando las reglas del juego en lo que respecta a los ataques de ciberseguridad, tanto en el panorama general como en los vectores de ataque.
. 

¿Cómo crees que cambiarán vuestras funciones dentro de un año, a medida que la IA vaya madurando? 

Creo que va a ser complicado. 

Si pensamos en la IA desde el punto de vista de la seguridad, se trata de un tema muy interesante… 

un problema que hay que resolver, porque estamos intentando utilizarla para, eh, mejorar el negocio y permitir que este
avanzar más rápido. 

También estamos intentando utilizarla con fines de seguridad, para que nos ayude a proteger la empresa. 

Pero también queremos asegurarnos de que no se vuelva en nuestra contra mientras intentamos hacer
las dos primeras cosas. 

Así que creo que va a suponer un punto de inflexión. 

Y durante mucho tiempo no me lo creí. 

Pero cuanto más tiempo observas cómo están evolucionando las cosas, la IA autónoma y cómo las empresas van a empezar a
depositar su confianza en un modelo

que puede ofrecer esos resultados y aprender con el tiempo, en algunos
en algunos casos, incluso mejor que los empleados. 

Sigo pensando que se necesitan empleados para encargarse de la seguridad. 

No estoy diciendo que todos vayamos a vernos superados por los «superinteligentes» de la IA, pero sí creo que va
supondría un gran cambio en la forma en que concebimos y planificamos la protección de la empresa, a medida que la IA 

se está volviendo cada vez más habitual tanto en las estrategias ofensivas de los delanteros como en la defensa de un
empresa. 

Sí, y este es un buen ejemplo de que 

Ya sabes, creo que tenemos que prepararnos para lo que no sabemos y dejarnos un poco de margen
tiempo y presupuesto para cosas que cambiarán tan rápidamente el año que viene que no puedo 

predecir con exactitud cómo utilizaremos la IA. 

Y cuando la gente habla de IA, ¿a qué se refieren exactamente, verdad? 

La IA agentiva frente al simple aprendizaje automático. 

Entonces… ¿nos permitimos el margen para decir: «Vale, no tenemos ninguna respuesta»? 

Hoy no tenemos todas las respuestas, pero sabemos 

que va a ser algo enorme para nosotros. 

Y por eso, además de, ya sabes, la seguridad para la IA y la IA para la seguridad, esta carrera
la carrera armamentística que se está produciendo, en la que ahora la barrera que impide que un actor malintencionado utilice la IA contra la empresa

cada vez más baja. 

Cada vez resulta mucho más barato y sencillo. 

Y los conocimientos necesarios para hacer lo que quizá hacían hace años… bueno, ahora
es mucho más sencillo. 

Así que eso es lo otro en lo que tenemos que pensar: cómo, tal y como ha dicho Will, ¿cómo nos
¿Cómo nos defendemos de eso? 

Eh… Sabiendo que siempre ha sido cada vez más fácil y que ha habido, eh, más herramientas
disponibles, pero ahora, eh, la IA, eh, para ataques a la seguridad, eso es algo que realmente vamos a 

que tenemos que resolver. 

Sí, y es que, si piensas en la evolución de cómo han actuado los atacantes, antes solía
ser una persona muy lista que se acercaba y llamaba a la puerta principal de una empresa hasta que 

entrara. 

Y entonces pensó: «Puedo usar estas herramientas de scripting y hacerlo más rápido». 

Y luego, con los resultados que obtenían de esas herramientas, aún tenían que decidir: «Vale, ¿a quién
«¿Voy a seguir investigando a partir de ahí?». 

Pero ahora, gracias a la IA, esta será capaz de automatizar ese proceso mucho más rápido. 

Y antes solo se trataba de correr más rápido que, ya sabes, la persona que tenías al lado
. 

Bueno, ahora va a ser un poco más complicado porque creo que los ataques van a…
aumentar la velocidad, lo que significa que nuestra defensa tiene que moverse al mismo ritmo. 

Exacto. 

Y la respuesta. 

Sí. 

Creo que debemos dar por hecho que se van a colar y tenemos que averiguar cómo contenerlos y resolver el problema.
lo antes posible. 

Por supuesto. 

Sí. 

Creo que, ya sabes, me encanta recordar a los CISO dos cosas fundamentales que, en mi opinión
, algo que la gente ha olvidado en los últimos años. 

He observado un cambio enorme hacia la defensa. 

Y, como has mencionado, creo firmemente que también se trata de la resiliencia: que te
van a darle un puñetazo en la cara. 

¿Eres capaz de volver a levantarte? 

¿Con qué facilidad eres capaz de volver a levantarte? 

Ah, y por eso, cuando piensas en cosas como la tríada de la CIA, ¿verdad?, la disponibilidad es uno
uno de los pilares fundamentales de la seguridad. 

Ah, bueno, ya sabes, con el NIST, lo importante es la recuperación. 

Y creo que nos hemos inclinado tanto hacia la defensa 

Y creo que los CISO inteligentes se están dando cuenta de que también tienen que prestar atención a cómo pueden ayudar a la recuperación
. 

Ah, ¿cómo lo detecto lo antes posible? 

Pero también: ¿cómo consigo que mi negocio vuelva a funcionar? 

Es una transición perfecta hacia mi última pregunta, que es la siguiente: 

Ya sabes, lo normal no es ser perfecto. 

Lo normal no es hacerlo bien. 

Lo importante es intentarlo. 

Lo importante es seguir adelante. 

Así que, para terminar, ¿cómo lo intentas? 

¿Qué es lo primero que tienes en tu lista para mejorar? 

¿Por qué queréis que os conozcan dentro de solo dos trimestres? 

Quiero que se me reconozca por hacer bien las cosas aburridas. 

Quiero que se me reconozca por haber llevado a la empresa a un nivel en el que los ataques medios —esas cosas
en las que la mayoría de las empresas se quedan cortas, no sean algo que nos afecte. 

Quiero asegurarme de que, gracias a unas buenas prácticas de seguridad y a unas medidas bien calibradas, seamos capaces de
mantener nuestra posición por encima y más allá de donde deberíamos estar 

para que dispongamos del tiempo y del presupuesto necesarios para ocuparnos de las cosas que aún
No lo sabemos. 

Pero tenemos que… tenemos que empezar siempre por lo más fácil. 

Eso es estupendo. 

Gracias. 

Sí, ya sabes, es curioso que, para mí, el deporte sea una parte muy importante de mi vida. 

Soy una persona muy competitiva y siempre juego en defensa. 

Y creo que eso, ya sabes, me resulta muy familiar, y la razón por la que me he metido en esto
Lo que pasa en este campo es que, como dirás, si haces bien tu trabajo, pasa desapercibido. 

Nadie se da cuenta, ¿verdad? 

Eh… estar en ataque llama mucho la atención, pero, eh… en defensa, solo tienes que hacer tu trabajo
tal y como se espera de ti. 

Y por eso, ya sabes, creo que, eh, estoy totalmente de acuerdo en que se trata de
garantizar que contemos con el nivel adecuado de protección para que, si ocurre algo, estemos preparados 

para ello. 

Podemos reaccionar rápidamente y volver a poner el negocio en marcha. 

Y creo, ya sabes, que ahí es donde quiero estar. 

Gracias, Bill, director de seguridad de Commvault, y Will, 

subdirector de seguridad de Commvault. 

Tenemos mucha suerte de que forméis parte de Commvault y de que ayudéis a tanta
a la gente, tanto dentro como fuera de la empresa, a adquirir una visión más matizada de lo que todos afrontamos 

en materia de ciberresiliencia. 

Si queréis saber más, echad un vistazo a nuestro Readi verse. 

Está repleto de información, consejos y prácticas para que los responsables de seguridad y los directivos
puedan empezar, madurar y llegar a ser aún más expertos 

, ya que se trata de un modelo de responsabilidad compartida y el objetivo es ayudarnos a todos a ser
más fuertes. 

Muchas gracias. 

vosotros