El dinero no da la ciberseguridad, pero...
Hay CISOs (quizá alguno de empresa cotizada) que mitigan el insoportable estrés que les genera el desempeño de su trabajo montando en Ferrari por cuenta de algún fabricante de herramientas tecnológicas de ciberseguridad. Otros han descubierto de forma tardía su vocación periodística, y no le hacen ascos a entrevistar y moderar debates entre fabricantes (sean clientes o no). También los hay que acceden a recibir un premio como CISO del año, convirtiendo el escenario profesional en un concurso de belleza. Incluso se detecta la existencia de organizaciones cuyos gestores tienen el valor de distinguir a otras con un premio a la empresa cibersegura, toda una temeridad para quien lo propone, para quien lo concede (peor si hay un jurado) y para quien admite recibirlo.
Mientras la degeneración de las formas y las normas de buen gobierno avanza a medida que nuestro gremio crece con nuevos C-level (no todos, claro), que aspiran a directivos de nivel (emolumentos incluidos, pero manteniendo comportamientos y prácticas con la oferta que en ocasiones no resisten el mínimo análisis de una buena auditoría), la situación geopolítica y geoeconómica dibuja en el mundo un mercado definido y con dos grandes atractores: la prevención del fraude en el medio digital y el conglomerado ciberfísico, y la ciberdefensa entendida como un saco en el que encuentra sitio lo militar y la protección de los servicios esenciales y las infraestructuras. (No uso aquí exhaustivamente la terminología de NIS2, ni de CER). Esto último refuerza notablemente la fusión de la defensa y la seguridad, y, además, obliga a irlas redefiniendo y modernizando.
José de la Peña Muñoz
Director
[email protected]
Bifurcación
Este panorama divide al mercado de la ciberseguridad en dos bloques, uno en el que es requisito indispensable tener autonomía tecnológica y poder ejercer un punto de soberanía por los estados, y otro en el que no es lo más relevante tener soberanía, porque la finalidad es usar las mejores tecnologías y servicios para hacer negocios en el estricto cumplimiento de la ley, para lo que se requiere independencia tecnológica del proveedor. Esta bifurcación está provocando el acomodo de la oferta y la demanda. Hay proveedores que pueden ser jugadores a escala nacional europea y más allá en ambos bloques de mercado, por ejemplo Indra Group y Telefónica (menciono solo a estas dos significativas cotizadas porque han presentado recientemente planes estratégicos en los que la ciberdefensa y la ciberseguridad están muy presentes). Otros jugadores, igualmente nacidos en España van a tener que elegir por dónde quieren tirar, ya que dispararle a todo tiene un punto de dificultad nada desdeñable.
No quisiera entrar aquí en consideraciones sobre el impacto que tiene lo dicho en el mercado laboral, ni en el de los sistemas de IA, ni cómo va a tener que transformarse el CISO, el CIO y hasta los consejos de administración… Pero sí me parece de utilidad y una gran responsabilidad repensar a dónde estamos llevando a los jóvenes a los que se ha estado machacando estos años pasados con la cantinela de que faltan expertos en TIC con una visión cortoplacista, mercantilista y basada exclusivamente en lo cuantitativo. (¡Ojo, que hoy tenemos hasta CISOs sin curro, y también listillos que se nombran a sí mismos CISO, sin nada que proteger y mucho que vender!).
Una chica, pongamos por caso, que esté en su primer año de informática, debería saber valorar la relación directa existente entre esforzarse en construir bien el código y la mejor prevención del fraude, plantearse motu proprio cómo incorporar la privacidad en el código o saber los efectos en el medio digital que produce la diferencia entre identidad y credenciales... Eso es cultura, y no solo aspirar al anonimato sin criterio o dedicarse a programar con recortables. ¿La IA? Pues ya veremos.
Ciberseguridad con dinero
Otro rasgo significativo de los tiempos es que parece que en los próximos años vamos a poder hacer ciberseguridad con recursos económicos holgados, todo un reto porque estamos acostumbrados a hacerla sin un puto duro, habida cuenta de los malos gestores privados y públicos de los que hemos disfrutado durante años.
Ya es sabido que para el Plan Nacional de Ciberseguridad 2025, el Gobierno de España ha puesto 1.175 millones de euros de refuerzo. Bien está. Pero para todo lo que hay que hacer esa cifra es calderilla (gana bastante más la ciberdelincuencia). Como manifestó en Securmática 2025 el Subdirector General del CCN, Javier Candau a modo de carta a los Reyes Magos, que menos que en el quinquenio 2026-2030 se asignen en España 1.000 millones de euros por año. Yo subiría la cantidad, porque el objetivo último es que el Estado nos defienda.