Convertir el cumplimiento normativo en resiliencia: fomentar la confianza ante la regulación

Falta devisibilidad sobrelas dependencias. Las organizaciones suelen descubrir las interconexiones críticas solo cuando se produce una interrupción del servicio o un ataque. 

Las pruebas ayudan a detectar puntos ciegos, validar hipótesis y desarrollar la «memoria muscular» operativa, lo que convierte el cumplimiento normativo en una preparación real. 

Contribuyen a ofrecer arquitecturas robustas, diseños de referencia validados, herramientas integradas y flujos de trabajo de Recovery probados que cumplen con los requisitos normativos. 

Colaboración interfuncional, prácticas habituales de Recovery, habilidades de automatización y una mentalidad orientada a los objetivos, en lugar de limitarse a marcar casillas. 

Este enfoque hace hincapié en la capacidad de recuperación demostrada, la visibilidad y la continuidad operativa, pilares fundamentales de la normativa al estilo de DORA. 

Por favor, mira el vídeoaquípara consultar la transcripción con marcas de tiempo

Me acompañan dos ejecutivos de Pure Storage y Kyndryl, y me alegro mucho de que estéis aquí. En un momento les dejaré que se presenten, pero antes quiero introducir el tema. Estáis aquí porque pensáis que vamos a hablar de normativas y cumplimiento normativo, de cómo crear buenos equipos de cumplimiento normativo, de cómo cumplir con los requisitos. Nada de eso. No vamos a hablar de nada de eso. Así que, si queréis iros en los próximos 20 segundos, no dudéis en hacerlo. Porque de lo que vamos a hablar es de por qué existen realmente esas normativas.

¿Qué hay realmente detrás de ellas? ¿De qué estamos intentando protegernos? ¿Y cómo lo estamos abordando? Estamos asistiendo a una avalancha de normativas en Estados Unidos y en todo el mundo, y todas ellas están diseñadas para ayudar a las empresas a ganarse la confianza de los clientes y de los gobiernos en relación con los productos que comercializan. Y mucha gente del sector, tanto de la industria tecnológica como del ámbito del cumplimiento normativo, no acaba de entender de qué va todo esto.

Cuando los clientes envían cuestionarios de seguridad, sí, alguien comprueba que hayáis marcado todas las casillas, pero en realidad no se trata de eso. Así que voy a dejar que estos chicos se presenten. Y cuando lo hagan, les pediré que empiecen contándome una historia de terror que les haya ocurrido en sus empresas. No me contéis todavía cómo lo solucionasteis, porque lo vamos a analizar juntos. ⁓ Pero ¿qué pasó y nosotros…

Al final de la sesión, veréis por qué y cómo ⁓ el cumplimiento normativo es algo que, si lo tenéis siempre presente y lo tenéis en cuenta a la hora de diseñar, os permitirá evitar o, al menos, sortear con éxito algunas de estas historias de terror. Por cierto, si alguien tiene alguna pregunta durante el proceso, no dudéis en plantearla. ¿De acuerdo? Pues os cedo la palabra para que os presentéis. Genial. Gracias, Danielle. Me llamo Yuvraj Mehta.

Dirijo la estrategia de soluciones cibernéticas en Pure Storage. Llevo más de 18 meses en Pure Storage. Y ⁓ voy a empezar con la historia de terror. ⁓ Ocurrió, de hecho, seis meses después de que empezara en Pure Storage, y se trataba de uno de nuestros clientes del sector de los servicios financieros. ⁓ Se les puede considerar el modelo de cliente que cumple con todas las listas de verificación de cumplimiento normativo y demás ⁓

pero sufrieron un ataque de ransomware. ⁓ Y ⁓ básicamente, a lo largo de semanas y meses, ⁓ los atacantes se infiltraron en sus datos y empezaron a cifrarlos. Pero cuando llegó el momento en que se dieron cuenta de que habían sido atacados y estaban reunidos en la sala de crisis, el momento de la historia de terror llegó, literalmente, cuando el responsable de cumplimiento normativo o la persona

dijo: «Hemos cumplido con la normativa. Hemos realizado las comprobaciones. Hemos realizado las comprobaciones». Pero el CISO, literalmente, comentó: «Todo eso no sirve de nada. No puedo recuperar los datos». Exacto. Y fue entonces cuando toda la sala se dio cuenta de que, Dios mío, estamos metidos en un buen lío. No nos hemos preparado para la recuperación, y para hacerlo de una manera que sea muy, muy fiable y muy segura.

Esa es la premisa de nuestra historia de terror. Así que estamos sentados en una sala de crisis con el CISO, con el equipo de cumplimiento normativo, con el equipo de TI, y todo el mundo se mira entre sí intentando averiguar qué demonios hacemos. Da miedo. Muchas gracias por acompañarnos esta tarde. Me llamo Allen Downs. En Kyndryl me encargo de un área dentro de nuestra práctica de seguridad y resiliencia, que se centra exclusivamente en

desarrollar capacidades, metodologías y habilidades que permitan a los clientes recuperarse. Por eso nos centramos mucho en los acontecimientos que tienen lugar justo antes del «boom»: cómo debe planificar un cliente, cómo debe prepararse, cómo debe detectar adecuadamente los riesgos para que pueda confiar en su capacidad de recuperación, especialmente en el ámbito cibernético, porque esto reinventa

toda la forma de abordar el tema. Pero, aún hoy, muchos de los problemas y repercusiones en los que trabajamos con clientes de todo el mundo son errores humanos y fenómenos naturales. Estos no han desaparecido, pero ya estamos bastante acostumbrados a recuperarnos de ellos. La nueva dimensión es, en realidad, toda la sofisticación y el ritmo de cambio que observamos en relación con los ciberataques provocados por el hombre, diseñados para causar la máxima interrupción del servicio, etcétera, etcétera.

Cuando me has preguntado por la «historia de terror», es interesante porque llevo más de 30 años en IBM vinculado a esta área de negocio. Sé que no parezco tan mayor, así que es cierto, ¿verdad? Y a lo largo de todo ese tiempo en IBM y ahora en Kyndryl —abarcando desde IBM, como Chris ha mencionado antes en otra sesión paralela—, ¿hace qué, tres años, Emilio? ¿Tres o cuatro años? Nos hemos encontrado con muchas situaciones difíciles por las que han pasado nuestros clientes. Vale.

Lo que más se me ha quedado grabado es una reunión en la sala de juntas de un banco de primer nivel. Ni siquiera voy a mencionar el país, pero estábamos sentados en la sala de juntas de un banco de primer nivel y el tema giraba en torno a cómo podíamos confiar en nuestra capacidad para presentar informes «verdes» al regulador. El sector bancario. Por lo tanto, estaban regulados. La normativa se estaba volviendo más estricta,

recibía mayor atención y prioridad. Pero el debate se centró en ayudarnos a entender cómo podíamos alcanzar el nivel «verde». Vale. Así que la discusión se centró en las métricas, ¿verdad? Todo giraba en torno a cómo podíamos alcanzar el nivel «verde». El representante de la oficina del director de sistemas de información (CIO), encargado de los datos y las copias de seguridad, el cumplimiento normativo y las tasas de éxito, no tardó en hablar de la tasa de éxito de las copias de seguridad y del número de

restauraciones completadas, y afirmó con total seguridad que podían restaurar los datos en ocho horas. Esas ocho horas se incluyeron en su informe, en la documentación que presentaron al regulador. Aquellos de vosotros que estéis familiarizados con la normativa europea sabréis que el Banco Central Europeo publicó un documento sobre pruebas de resistencia y, por lo tanto, se pidió a todos estos bancos que respondieran con la posición oficial firmada por el auditor,

vuestro equivalente, supongo, en esa organización; todo estaba decidido, ¿verdad? Trabajo hecho. Las métricas comunicadas, de acuerdo, se basaban en cómo habían estado realizando pruebas y simulacros al respecto. Curiosamente, al director de riesgos se le encomendó entonces la tarea de demostrarlo. Alguien ajeno al CISO, alguien ajeno a la oficina del CIO, alguien ajeno a la infraestructura, el RISO —recordad, el centro de datos, ¿verdad?—. El RISO, el personal de instalaciones.

Al director de riesgos: «Ve y demuéstralo». Nos pidieron que hiciéramos la demostración. En las mejores y más perfectas condiciones. En realidad, fueron más bien entre cuatro y cinco semanas. Uno de sus procesos empresariales críticos. El resultado más probable: no pudieron. Ese es uno de esos momentos en los que piensas: «Tengo mi cuenta en este banco, mi hipoteca está con este cliente. Estos tipos, ya sabes, tienen mis ahorros, ¿vale?».

Y ese es probablemente uno de los momentos más impactantes en los que te quedas ahí sentado y piensas: «Madre mía, este sector no está preparado». Por cierto, se trataba de una organización conservadora, históricamente muy orgullosa de su historial de cumplimiento normativo y de adherirse a las normas. No hubo ninguna infracción ni información engañosa; el resultado fue genuino, se probó un enfoque diferente para explorarlo, pero resultó ser irreal. Pero si piensas en el impacto que tuvo, es realmente aterrador.

Tengo muchas más historias de terror, pero creo que esa fue probablemente la que más se me quedó grabada. Es mi hogar. Vaya. Así que trasladé mi cuenta de ahorros a ese banco. Mantuve mi hipoteca allí. Mantuve tu hipoteca allí. ⁓ Lo siento. No, pero la cuestión es que creo que lo has ilustrado a la perfección. Tienes a un responsable de cumplimiento normativo —no sé si esto ocurrió de verdad—, que entra y dice: «Cumplimos con la normativa». Y él responde: «¿Y qué? No puedes recuperarte

y vuestros sistemas están caídos y no van a volver a estar operativos en el plazo que habéis anotado en un trozo de papel. ¿Cómo le damos vida a esto? Así que vamos a desentrañar ⁓ estas historias y quiero hacerlo de tres maneras. Dividámoslas en tres categorías diferentes. ¿Qué hay realmente detrás del cumplimiento normativo? Categoría uno: visibilidad. Categoría dos: confianza y control. Categoría tres: habilidades.

Hablemos, pues, de visibilidad. ¿Quién quiere empezar? Puedo empezar yo. Sí. Creo que una de las cosas que hay que tener en cuenta, ¿verdad?, cuando se trabaja con una infraestructura compleja —y ahora aún más compleja con la IA—, es que no se puede crear resiliencia para cosas que no se ven. Así que la visibilidad es el primer paso, es el punto de partida. Y la clave

Lo que, al menos en Pure, hemos transmitido a nuestros clientes y socios es que uno de los primeros pasos hacia la visibilidad es la necesidad de simplificar. Simplificar en toda la infraestructura y en todas las herramientas. Si tienes conjuntos de datos o una red que se extiende a través de silos, acabarás teniendo múltiples herramientas que se han ido acumulando

en torno a esos silos. Por eso, para conseguir una visión coherente y completa de todo el conjunto de datos hay que empezar por la consolidación, hay que empezar por la simplificación. Así que simplifica. Eso es lo primero, porque así se genera confianza y la seguridad de que lo que ves es realmente lo que obtienes. ⁓ Ese es el primer paso. El segundo paso en cuanto a la visibilidad es, de hecho, la automatización.

Necesitas automatización en toda tu pila ⁓ para poder desarrollar toda esta infraestructura que se integre con las distintas herramientas de las que dispones. Así que necesitas herramientas, necesitas una infraestructura que cuente con API robustas disponibles que permitan la integración. Por último, ya lo he dicho: la integración. Quieres que tu infraestructura de almacenamiento o tu infraestructura de computación

que se integre con tus herramientas de ciberseguridad, ¿verdad? ⁓ Con herramientas como Commvault. Pero también quieres que se pueda integrar con otras como Kyndryl, los paneles de control y las capacidades que ofrecen tanto Kyndryl como tu proveedor de servicios. Así pues, en toda esa pila, esa visibilidad requiere, en primer lugar, simplicidad; en segundo lugar, API; y en tercer lugar, una integración muy sólida entre esas tres pilas.

Así que, Allen, me gustaría que ampliaras este tema en lo que respecta a la visibilidad y añadieras el control, porque en tu ejemplo, el del banco, dudo mucho que ese banco hubiera desarrollado internamente toda la tecnología necesaria que condujo a esa situación. Entonces, ¿cómo se abordan la cadena de suministro, el control y la confianza, además de la probable falta de visibilidad que tenía ese equipo sobre lo que estaba sucediendo? Pero dejemos eso a un lado por un momento.

Creo firmemente, tras haber trabajado con numerosos clientes de todo el mundo, que el principal reto al que se enfrentan hoy en día y su mayor punto débil son la concienciación y la visibilidad. Sí. Realmente creo que este es un reto clave al que se enfrentan. Y todo empieza, en realidad, por que el cliente comprenda verdaderamente cuál es su tolerancia máxima ante una interrupción del servicio. Mira, habrá muchas métricas relacionadas con las copias de seguridad y los RTO. El mundo ha cambiado, ¿verdad?

Ahora se trata realmente de garantizar que exista una concienciación en toda la empresa sobre ese tiempo máximo de inactividad tolerable y de asegurarse de que se comprenda y se tenga visibilidad sobre cuáles son las dependencias que existen dentro de la empresa. Todos hablamos de la «empresa mínima viable», ¿verdad? La mayoría de las empresas dirán: «Conozco mi empresa mínima viable». Nosotros les ayudamos a verificarlo, ¿verdad? Pero luego está la cuestión de comprender el impacto

La interrupción de ese «negocio mínimo viable» es algo que empieza a plantear dificultades a los clientes en términos de impacto financiero, impacto en el riesgo reputacional, impacto por incumplimiento normativo, por no hablar del factor de confianza de sus usuarios, etcétera, etcétera. Así que sí, creo que hay una falta de concienciación en cuanto a: en primer lugar, ¿cuáles son mis procesos empresariales críticos? ¿Cuáles son esos servicios empresariales críticos que respaldan dichos procesos? ¿Cuál es el grado de dependencia en toda la empresa?

¿Qué sustenta esos servicios empresariales críticos? La concienciación. ¿Cuál es la dependencia a nivel de la organización? Hemos hablado de competencias, ¿verdad? ¿Cuáles son las dependencias a nivel de las aplicaciones o en el conjunto de niveles de aplicaciones? ¿Cuál es la dependencia a nivel de datos? ¿Conozco la dependencia de un servidor empresarial crítico respecto a mis datos? ¿Dónde se encuentra? ¿Dónde está ubicado? Y quizá en AWS. Vale, ¿dónde? ¿Cuáles son los puntos únicos de fallo? ¿Cuáles son los puntos únicos de riesgo de eso? Así que, para mí, la concienciación

Tiene que filtrarse a través de cada una de las capas de la empresa. Allen, haz una pausa de un segundo. ¿Cuántos de los que estáis aquí, cuántas de vuestras empresas habéis elaborado una lista o, al menos, lo habéis comentado en una reunión ejecutiva con el consejo de administración, diciendo: «Estos son los cinco sistemas de la empresa que no pueden fallar o, de lo contrario, nos quedaremos sin conexión»? ¿Cuántos de vosotros sabéis cuáles son esos sistemas? ¿Podéis nombrarlos? ¿Todos vosotros? ¿Ninguno de vosotros?

Vale, pues no muchos. Por cierto, estáis en buena compañía. ⁓ ¿Alguno de vosotros ha tenido el valor suficiente para decir: «No, no te preocupes, no os habría puesto en un aprieto ni os habría preguntado», porque la siguiente pregunta habría sido: «¿Sabéis cuál es el plan de contingencia si fallan? ¿Cómo se realiza la conmutación por error?» Es una pregunta fantástica y nadie sabe ni por dónde empezar a responderla. Pero sin esa respuesta, no tenéis visibilidad. La responderéis en el momento de la crisis.

Sí. Y a menudo los clientes se dan cuenta de esa dependencia en el momento de la crisis o del incidente, y para entonces ya es demasiado tarde. De ahí lo de la gran cadena minorista del Reino Unido, ¿no? Una cadena minorista del Reino Unido. Quiero decir, ¿en qué punto estamos ahora? ¿Llevamos cinco meses? Si Derek estuviera aquí, lo sabría con certeza, pero llevan cinco meses fuera de servicio. Vale. Una historia interesante. Un gran banco de primer nivel se llevó una sorpresa cuando perdió uno de sus servicios empresariales críticos

a raíz de una de las interrupciones del servicio de los hiperescaladores de la semana pasada. Ni siquiera se enteraron porque se trataba de la cadena de suministro de un tercero. No se dieron cuenta de que uno de los servicios empresariales críticos dependía de un centro de datos ubicado en Virginia. Vale. Sufrieron un impacto provocado por un error humano. Ni siquiera fue un ciberataque. Sé que me extiendo y me apasiono bastante con esto, pero trabajo con tantos clientes que no saben responder a esa pregunta. Es una pregunta estupenda.

que acabas de plantear. Por eso, en mi opinión, la concienciación es fundamental. Entender eso, comprender las interdependencias y, a continuación, determinar cuál es el nivel máximo de tolerancia —que se convierte en tu indicador clave de rendimiento (KPI)— en torno al cual diseñas el proceso, desarrollas las competencias e implementas la solución con los controles adecuados para poder gestionar ese riesgo. Sí. No tengo respuesta para ti. No, es fantástico. Vale. Hablemos entonces del tercer nivel, que son las competencias.

Es realmente importante porque lo que esperamos es que la gente salga de esta conferencia y, si te dedicas en absoluto al ámbito del cumplimiento normativo, digas: «Vale, sé lo que tengo que hacer». Tengo que averiguar qué sistemas son críticos para el negocio. Y no hay muchos, como mucho media docena. Y tengo que asegurarme de que lo entiendo. Y luego tengo que averiguar quién es el responsable del plan para que se active la conmutación por error. ¿Qué competencias se necesitan para hacerlo con éxito? Así que, Danielle, quiero responder a eso

Pero quiero añadir algo a lo que ha dicho Allen, sobre todo en lo que respecta al control y la confianza, ¿verdad? ⁓ El gran reto, los retos que ha planteado Allen, los vemos por todas partes, ¿no? Especialmente en cuanto a la concienciación, pero no se puede generar confianza si no se puede verificar, ¿verdad? El viejo refrán, ¿no? Confía, pero verifica. ⁓ Y la forma de desarrollar este conjunto de habilidades es

asegurarse de que los sistemas sobre los que tienes visibilidad y las dependencias que has identificado —tal y como ha mencionado Allen— cuenten con un proceso para verificar esos planes de forma continua. Se trata de desarrollar esa «memoria muscular». Vuelvo a la historia de terror que se ha mencionado antes en la conversación:

ese banco, que no había desarrollado esa «memoria muscular» en torno a la capacidad de recuperación. Así que todo se reduce a tu organización, ¿verdad? Y a tu personal, que necesita desarrollar esa «memoria muscular» en torno a la capacidad de recuperación. Lo necesitan, y ¿cómo se consigue eso? Es igual que cuando vas al gimnasio: si quieres desarrollar un músculo, tienes que ir todos los días o, ya sabes, mantener una rutina constante al respecto. Así pues, esos procesos deben formar parte

del funcionamiento diario o mensual de tu organización: «tenemos estos sistemas, los tenemos identificados, sabemos dónde están», pero tenemos que repasar todos nuestros manuales de procedimientos. Necesitamos que nuestro personal de TI y nuestro equipo de CISO tengan incorporada esta memoria muscular para que, cuando ocurra algo, sepan cómo responder. Y no puede ser que

Si, cuando pase algo, tengamos que traer a gente de fuera para que nos ayude, eso es una receta para el desastre, ya que lleva mucho tiempo. Es como, ya sabes… No puedes hacer un pastel solo porque tengas a diez personas sentadas ahí, ⁓ así que las habilidades que necesitas están, en realidad, integradas en tu organización a lo largo del tiempo; tienes que tener un plan sobre cómo llevarlo a cabo, pero debe basarse en los cimientos de la

la visibilidad: «Sé lo que estoy haciendo, conozco las dependencias» y, a continuación, «oye, ¿qué estoy recuperando? ¿Cuáles son esas aplicaciones críticas para la misión que sí necesito recuperar?». Y, a continuación, se elaboran esos planes de forma coherente.

Estoy de acuerdo. Es interesante que, en cuanto a las competencias, yo lo veo en dos dimensiones. Por un lado, están las competencias técnicas: quién sabe cómo llevar a cabo el análisis y descubrir las dependencias. Pero ya sabes dónde pongo el énfasis en cuanto a las competencias, y cuando pienso en las competencias de nuestra organización, tiene más que ver con una mentalidad y una cultura. De acuerdo. Tiene más que ver con esa mentalidad y esa cultura. Y ese es el cambio que tiene que producirse. Exacto. He oído…

a Chris Lovejoy, en la otra sesión, decir algo que he anotado y que me gusta. Hemos vivido en un mundo de métricas y uno de los problemas de la normativa es que se tiende a pedir: «muéstrame tus índices de éxito» y «muéstrame tu cumplimiento de los KPI», etcétera, etcétera. Así que es un enfoque centrado en las métricas. Chris mencionaba que las métricas deben convertirse en una misión, ¿verdad?

Y eso me encanta porque lo que hace es centrarse en el conjunto de competencias de las que dependemos para gestionar esos servicios empresariales críticos, para garantizar la confianza en nuestras organizaciones; se centra en ese conjunto de competencias. Y lo que dice es que tiene que haber una transformación. Tiene que haber una mentalidad diferente en cuanto a en qué confiamos, cómo confiamos, cómo generamos confianza y cómo validamos las cosas.

Y me encanta esta frase: «confía, pero verifica», ¿verdad? Sé que lleva mucho tiempo en uso, pero nunca ha sido tan relevante hoy como lo ha sido históricamente, porque ese conjunto de competencias va más allá de las meras métricas, los conocimientos técnicos, la capacidad, la certificación, etcétera. Tendemos a contratar basándonos en eso, pero hay una parte importante que es la mentalidad cultural y la actitud. Vale. No debería verse como una métrica; tiene que ser una misión.

Ahora bien, lo bueno de una misión es que te motiva a alcanzarla. ¿Tiene sentido el éxito en el resultado final? Lo siento, quiero añadir algo. En relación con lo que ha dicho Allen: la misión no puede consistir en «tenemos que cumplir esta normativa» o «tenemos que cumplir con este cumplimiento normativo». Tiene que ser un resultado. ¿Y cuál es el resultado? ¿Verdad? Ya sabes, está el RGPD en la UE, hay normativas similares en la India, ⁓

En Australia, y aquí mismo, existen normativas relacionadas con la sanidad. El objetivo que todas ellas pretenden fomentar es la resiliencia y la capacidad de recuperación. Por eso, cuando te dirijas a tu organización y quieras crear una misión en torno a esto, no puede ser: «Oye, ⁓ tenemos que crear una misión basada en cumplir con DORA o con el NIST».

Eso no cuaja porque entonces queda muy aislado. Se convierte en una misión quizá para tu departamento de cumplimiento normativo, quizá para el de gestión de riesgos. Además, es aburrido. Sí, es aburrido, ¿verdad? Es como: «Oye, ¿cuántas métricas voy a marcar como cumplidas? ¿Cuántos informes tengo que generar para mi organismo regulador?». Tiene que ser algo así como: «Nuestra misión es ser resilientes y recuperarnos rápidamente cuando ocurra algo malo». Eso es todo. Creo que hace cuatro o cinco años,

la palabra de moda dentro de la organización de TI era la eficiencia. ¿Cómo podemos ser cada vez más eficientes, verdad? Recortando costes, etc. Pero eso ya no es así, ¿verdad? Tiene que serlo, y ni siquiera es una palabra de moda. Tiene que estar integrado. ¿Cómo podemos ser más resilientes? ¿Verdad? Y esa debería ser la misión. No algo como: «Tengo que cumplir con una normativa concreta». ¿Los dos estáis ⁓

Llegando a una especie de conclusión sobre este tema tan importante: que la cultura del cumplimiento normativo está cambiando y tiene que cambiar, probablemente, más rápido. Tenemos que… ya sabéis, las habilidades técnicas son fundamentales, pero tenemos que sacarlas del ámbito técnico y traducirlas en algo que importe a la gente, algo por lo que la gente quiera sentarse en una sala y escuchar. Así que… creo que la mejor manera de cambiar la cultura es empezar por nosotros mismos. Por eso voy a hacer una última pregunta y luego abriremos el turno de preguntas. Solo nos quedan unos minutos.

¿Cuál es una lección que has aprendido por las malas a lo largo de tu carrera en este ámbito? ¿Y cómo pueden aprender de ella los demás?

Esa es una buena pregunta. Creo que… Porque cuando te presentas ante un consejo de administración, tal y como tú dices, decir que «tenemos que cumplir con el RGPD» resulta aburrido. Me he encontrado en una situación en la que esto ocurrió y no quiero que vuelva a pasar. Esto es lo que he aprendido y esto es lo que vamos a hacer al respecto. Creo que la lección que he aprendido a base de errores es que, si no se rompen los silos dentro de la organización y…

entre los equipos —esos equipos clave que sabes que serán necesarios cada vez que ocurra algo malo—. Y si no tomas medidas de antemano para romper esos silos, la capacidad de recuperación se vuelve mucho más difícil. Y esos silos no son solo los que existen entre las personas, ¿verdad? Son silos ⁓ que también se encuentran en toda tu pila tecnológica, así como en tus pilas de datos, ¿no? Si no tomas medidas proactivas de antemano para identificar los silos,

y empiezas a romperlos de tal manera que, cuando ocurra algo malo, esos silos ya no existan y todo el mundo trabaje en equipo —desde las personas hasta la tecnología— para lograr esa capacidad de recuperación, te encontrarás en una situación muy complicada cuando surja esa situación. Es una pregunta realmente interesante. Y, bueno, una de las cosas que más me ha llamado la atención a lo largo de los años es la importancia de la confianza.

La importancia de la confianza en tu propia organización, la importancia de generar confianza en tus clientes, la confianza en el mercado, la confianza con el regulador… lo que se te ocurra, ¿verdad? La confianza es probablemente uno de los factores empresariales más importantes. Con confianza, creces. Por cierto, si tienes el nivel adecuado de confianza, ya no compites en precio, sino en reputación.

¿De dónde viene la confianza? La confianza surge —y ya lo hemos dicho antes, y gracias por mencionarlo, porque me ha hecho pensar— de que la verdadera esencia de la confianza es aquella que se puede verificar. Se puede verificar. Es irresponsable confiar sin poder verificar. Muchas, muchas organizaciones han caído en esa trampa. Por eso me pregunto: ¿cómo se puede verificar? La verificación y el cumplimiento normativo son, en cierto modo, como una guía. No es que,

Sin ánimo de menospreciar el cumplimiento normativo, que es fantástico cuando es adecuado. Es una guía, pero la capacidad de una organización para verificar variará. De acuerdo. Por eso la concienciación es tan importante. La visibilidad es tan importante, ¿verdad? La capacidad de verificar depende de que se disponga de los controles adecuados para poder hacerlo. Lo diré. Quizá aquí se me note la edad: «Oye, prueba, prueba, prueba, prueba adecuadamente». Y a lo que me refiero con «probar adecuadamente» es a

Rompe los silos de los que hablábamos antes. No probéis el silo. Probad lo que le importa al cliente del cliente. Probad lo que le importa al consejo de administración. Por eso nosotros… Sí, y realmente debería hacerlo. Probablemente os gustaría que lo hiciera. Pero la cuestión es la capacidad de poder realizar pruebas de una forma que se ajuste a los criterios de éxito de la organización. Por eso hay que centrarse en lo mínimamente viable, centrarse en los servicios críticos para el negocio; ahí es donde hay que empezar.

Y, por cierto, hay que saber cuál es el impacto que se está evaluando. Los pagos te van a costar, en ciertos casos, miles de millones de dólares al día, ¿verdad? No es una exageración, las cámaras de compensación, ¿no? Etcétera. Esa es la exposición de la que estamos hablando aquí. Por lo tanto, ya sabes, la lección que creo que aprendí fue la necesidad de poder confiar. Puedes confiar, pero tienes que verificar. Por lo tanto, para verificar, necesitas los controles que te permitan hacerlo. Tienes que poder realizar pruebas.

Y luego, a nivel cultural, se necesitan las competencias. Creo firmemente en esas tres categorías que has mencionado antes. Tener visibilidad es clave; contar con los controles es esencial. Disponer de las competencias es, sin duda, una prioridad para que las organizaciones tengan éxito y alcancen la madurez en este ámbito. Yo diría que depende de tu organización, depende de en qué punto te encuentres. Exacto. No hay una solución milagrosa. Lo que han hecho Commvault, Pure y Kyndryl

es que hemos proporcionado una herramienta, un mecanismo, ¿verdad?, que las organizaciones pueden examinar, emular y, si es necesario, adoptar también, ¿no? Estamos marcando la pauta sobre cómo las organizaciones y los clientes pueden cumplir estas normativas, pero de una manera en la que abordamos la brecha técnica, la brecha en cuanto a competencias y la brecha en cuanto a confianza, ¿verdad? Así que estamos abordando eso, hemos establecido un estándar.

¿Satisfará eso las necesidades de una organización? Depende de la organización. Ya sabes, buscar una solución milagrosa probablemente no sea la forma correcta de abordar la resiliencia y la capacidad de recuperación en primer lugar. Pero lo que hemos hecho es ofrecer un ejemplo, ¿verdad? Es decir: «Oye, vale, este es un enfoque que hemos verificado. Hemos realizado pruebas a nivel técnico y a nivel de competencias

Y nos sentimos muy seguros al dirigirnos a nuestros clientes y socios para decirles que pueden adoptar esta solución y que les ayudará a recuperarse cada vez que se produzca un ataque de ransomware. Eso es lo que hemos hecho. Si satisface las necesidades de una organización, es un gran comienzo y nos encantaría colaborar con ella también.

Y, para profundizar un poco más, creo que lo realmente fascinante de lo que hemos hecho con Commvault, Pure Storage y Kyndryl es que nuestro punto de partida fue la perspectiva del cliente. ⁓ ¿Qué es lo que estamos intentando resolver para el cliente? Y elegimos una normativa, en este caso, la DORA. Así que los tres nos sentamos a… bueno, Emilio, tú también estabas allí, ¿verdad? Así que horas, días… meses. Buscamos la solución para alinear las capacidades

en todas las competencias, en toda la tecnología, en toda la estrategia de almacenamiento y en toda la pila de control que aporta Commvault. Y dimos con la solución para cumplir la normativa, que en aquel momento era la DORA. Da la casualidad de que la DORA se repite en todas las regiones del mundo en cuanto a los aspectos comunes que observamos. Así que lo que hemos diseñado juntos se basa en gran medida en una necesidad del cliente y genera un resultado para él que podemos ofrecerle.

Hay una rapidez y una capacidad que satisfacen muchos de los requisitos de esos clientes. Sí. Tanto si están regulados como si no. Y creo que, desde el punto de vista cultural, como tres organizaciones, ha funcionado excepcionalmente bien porque, al trabajar juntas, no se trataba tanto de la tecnología ni de las funciones —sin ánimo de ofender—, sino realmente de la relación. Ese es el resultado. Ese es el resultado que también estamos intentando conseguir. Sí. Es una forma perfecta de terminar porque…

Lo que quería decir en nombre de Commvault es daros las gracias a los dos. Gracias a Pure y a Kyndryl. Sois socios muy importantes para nosotros. Hemos trabajado muy duro para forjar relaciones y generar confianza. Eso no significa que seamos perfectos. No significa que nuestra solución sea perfecta, pero sí significa que aportamos mucha experiencia a la relación y a la colaboración que creamos para los clientes. Y os estamos muy agradecidos a los dos. Así que muchas gracias. Gracias. Gracias por invitarnos. Gracias. Gracias por invitarnos.