Los Desayunos de Murcia Diario reton su actividad en un encuentro que ha contado, de manera especial, con la colaboración de la Fundación Isaac Peral, y que ha estado centrado en un tema de máxima actualidad: la ciberseguridad.

En su decimoquinta edición, celebrada como siempre en el hotel Nelva, han tenido como protagonista a José Valiente, director del Centro de Ciberseguridad Industrial (CCI), que ha estado arropado por cerca de un centenar de personalidades del mundo económico y empresarial regional, entre los que se encontraban el presidente y el director gerente de la Fundación Isaac Peral, Alfonso Corbalán y Patricio Valverde, respectivamente; el presidente y la directora de Adimur, Antonio López y Reyes Samper; los presidentes de Ceclor, Juan Jódar, y COEC, Ana Correa; el vicepresidente de la Cámara de Comercio de Cartagena, Andrés Ayala; el director del Aeropuerto Internacional de la Región de Murcia, Carlos San Martín;así como directivos y CEOs de importantes empresas de la Región, como el director general de Grupo Zambudio, Juan San Miguel o el director regional de PwC, Javier Celtran; y directivos de colegios profesionales y entidades financieras como CaixaBank, Sabadell, Santander, Cajamar o Caja Rural Regional, entre muchos otros.

El director del periódico, Manuel Ponce, abrió el acto dando la bienvenida a los asistentes y agradeciendo su participación pese a tener «agendas completísimas», así como reconoció a los patrocinadores por su apoyo. Igualmente, aprovechó para confirmar que en este arranque del curso político se abordarán como se venía haciendo temas de actualidad, como en este caso la ciberseguridad industrial, «un tema que preocupa mucho a las empresas».

Tras este, como colaborador especial en esta edición, el presidente de la Fundación Isaac Peral, Alfonso Corbalán, tomó la palabra. En primer lugar, puso en valor el periodismo y en concreto a Murcia Diario por su labor como periódico de referencia en el mundo económico y empresarial regional. Tras esto, pasó a hablar de la Fundación, que nació como «motor de innovación y competitividad» con el objetivo de «tender puentes entre empresas e instituciones, generando un ecosistema de colaboración«. 

Finalmente, aprovechó para recordar que el 23 octubre tendrá lugar, en Cartagena, la tercera edición de los Premios Fundación Isaac Peral a la Industria regional; tras lo cual dio paso al ponente, poniendo de relieve la importancia del asunto que este iba a abordar, la seguridad digital, «un tema decisivo en un mundo cada vez más conectado«, pues, en sus palabras, «proteger la industria es defender la economía y en definitiva la sociedad«.

Valiente comenzó su ponencia, bajo el título ‘Cuatro dilemas estratégicos de ciberseguridad industrial para directivos’, recalcando que el CCI es un centro de origen español «pero de alcance internacional», pues tiene «mucha actividad fuera».

Tras la aclaración, comenzó a abordar los cuatro dilemas, pensados para sintetizar los aspectos más importantes en el ámbito de la ciberseguridad industrial.

En este punto introdujo el ‘Equilibrio de Nash’, una herramienta que «tiene más de 75 años» y que ha sido la protagonista de la ponencia, pues, en sus palabras, es clave para «resolver los problemas de ciberseguridad, que son muy complejos». 

Esta metodología funciona teniendo en cuenta los intereses de los diferentes eslabones de la organización, ya que «si cada uno lleva a cabo sus objetivos sin tener en cuenta el resto, la torre se cae», asegura Valiente. Así, en definitiva, esta estrategia persigue la participación de todos los actores, consiguiendo «la decisión más estable para el conjunto del sistema».

Pero… ¿Qué pasos hay que seguir? El ponente los sintetizó en:

1. Identificar el problema. ¿Qué ha pasado? ¿Qué procesos están afectados? ¿Cuál es el impacto? Incluso puede parar la producción, identif problema, observar consec

2. Identificar actores. ¿Quiénes toman decisiones, intervienen o se ven afectados?

3. Identificar contexto de los actores. ¿Qué percibe cada actor? ¿Qué limitaciones tiene?

4. Objetivos de los actores. ¿Qué busca cada uno en esta crisis?

5. Evaluar riesgos y oportunidades. ¿Qué consecuencias negativas tendría? ¿Qué beneficios pueden obtenerse?

6. Criterios para priorizar. ¿Qué impacto pesa más: tiempo, coste, reputación, seguridad? 

7. Tiempo de resolución. ¿Qué se puede resolver en corto, medio y largo plazo?

8. Simular escenarios. ¿Qué pasa si cada actor va por libre? ¿Qué pasa si cooperan parcialmente? ¿Cuál es el punto donde nadie gana saliéndose del acuerdo?

Así, la implicación de todas las partes es fundamental, y para ello necesitan «entender el impacto», siendo necesario informarles en un lenguaje comprensible para todos, comentó José.

En este punto salió el segundo gran protagonista, la figura del ICSO (responsable de ciberseguridad industrial), «fundamental en las organizaciones«. Y es que, como confirmó el director del CCI, es necesario «tener un árbitro neutral, una persona que cuando venga el problema pueda actuar con rapidez para minimizar daños».

Está claro que siguiendo esta metodología, se reforzará la ciberseguridad, pero «la cooperación entre áreas se establece antes y de manera más estable con el ICSO», pues este «actuaría como un punto único con toda la información necesaria para trabajar con todos los sectores, permitiendo hacer las cosas bien antes, durante y después«, sentenció Valiente.

En definitiva, este responsable de ciberseguridad industrial «busca alinear intereses y guiar hacia un equilibrio estable«, viendo el problema como algo que va más allá de lo puntual y siendo su objetivo, por tanto, «lograr una estrategia equilibrada que reduzca el riesgo global«. «El resultado es una recuperación más rápida y segura, en la que los intereses de todos los actores se equilibran en un punto común», afirmó el invitado, pues tras registrar una incidencia «hay 3 o 4 días con alto riesgo residual, y si no se actúa y soluciona, puede volver a ocurrir lo mismo«.

Tras esto cogió el testigo otro de los cuatro dilemas, la ciberseguridad de los proveedores, pues el problema no solo puede estar dentro, si no que puede venir de fuera, algo que sucede muy a menudo: «Una organización industrial depende en gran medida de los proveedores, de hecho solo el 30-40% depende de nuestra estructura«, lo cual hace imprescindible que estos tengan un «buen nivel de maduración en ciberseguridad», pues lo que les ocurre puede afectar directamente en nuestro negocio, subrayó Valiente.

En cuanto a esta gestión de riesgo de terceros, el ponente planteó dos opciones:

– Exigir (Suma cero). Pedir, poner requisitos a los proveedores para trabajar con ellos, penalizar si no los cumplen.

Aunque este planteamiento es el más extendido por ser más sencillo, alcanzando «el 70% del tejido industrial», tiene multitud de riesgos, pues «puede conllevar la ruptura con el proveedor», lo que derivaría en costes y retrasos para sustituirlo y daños a la reputación.

– Cooperar (Suma positiva). Trabajar juntos para conseguir esa madurez.

Al igual que el anterior, la aplicación de este escenario puede generar debilidades en la empresa, centradas en la necesidad de compartir información sensible y en el esfuerzo económico y de personal a realizar; eso sí, la oportunidades pesan muchas más, pues se consigue elevar el nivel de seguridad de toda la cadena, fortalecer la relación a largo plazo, reducir riesgos sistémicos y ganar legitimidad.

Por tanto, el ponente abogó por seguir el modelo positivo por ser «el camino más largo pero el más efectivo». «Es mejor enfrentarse al problema de manera colaborativa, con el ritmo que cada proveedor necesita», consiguiendo así «ganar madurez a largo plazo de manera conjunta, una mejora continua, mayor resiliencia y confianza mutua»; frente a la suma cero, un método cortoplacista que «resuelve el problema puntualmente».

Dejando a un lado los proveedores, llegó el turno del cuarto actor/dilema básico, el cumplimiento normativo (NIS2…), punto en el que juegan un papel fundamental los ecosistemas sectoriales como el CCI, «proporcionando apoyo con guías, plataformas, formación y redes de conocimiento para elevar el nivel de toda la cadena».

Finalmente, para sintetizar, Valiente explicó los cinco principios que deberían guiar las decisiones estratégicas en este ámbito: transparencia, informar de manera clara y completa a los actores internos y externos relevantes; resiliencia, no limitarse a restaurar, sino reforzar la futura capacidad de respuesta; cooperación, implicar a todas las áreas y proveedores en una estrategia común; proporcionalidad, equilibrar coste, urgencia e impacto; y aprendizaje, convertir el incidente en una oportunidad de mejora continua.

Una vez cerrada su intervención llegó el turno de preguntas, el cual abrió el propio director del periódico para pedirle al ponente una radiografía del tejido industrial español en cuanto a la ciberseguridad. «La madurez no depende de países, sino más bien de sectores«, respondió José. Siendo uno de los más avanzados el transporte y encontrándose en el extremo opuesto la manufactura; también la alimentación, aunque desde hace unos años se está preocupando más, o el agua, que tiene pocos recursos, aunque ahora se está impulsando en cierta medida con los PERTE, según comentó.

Patricio Valverde, director gerente de la Fundación Isaac Peral, aprovechó para preguntar sobre la NIS2 y la posible creación de agencia u organismo que ayude a certificar en ciberseguridad. A este respecto, José comentó que dicha normativa «aplica a varios sectores, entre ellos el agroalimentario«, igualmente, «recoge la necesidad de tener un responsable«, el cual no tiene que dedicarse a ello exclusivamente, «puede ser una persona del departamento informático que asuma dicha responsabilidad». Respecto a la segunda cuestión, comentó que el anteproyecto de la NIS2 recoge la creación de un centro de ciberseguridad, que podría ser la entidad de referencia en estos aspectos.

Tras este, cogió el micrófono Héctor Puyosa, gerente senior de Innovación e Ingeniería de Sabic, que quiso saber cómo las pymes pueden abordar estos aspectos con poco personal y recursos, sobre todo el apartado de proveedores. La propuesta de José se centró en «categorizar los proveedores y hacer el esfuerzo en los más críticos, ir poco a poco».

Por parte de Grupo Zambudio, su director general, Juan San Miguel, enfocó su consulta a cómo afrontar este tema sin descuidar otros, a lo que Valiente respondió haciendo referencia a la figura del ‘Virtual ICSO’, que lo ofrece una empresa externa, «pero es necesario que aún así alguien de la compañía asuma el rol, aunque sea con la ayuda del externo, ya que va a tener el conocimiento real de la organización«.

La IA protagonizó, por su parte, la pregunta de Javier Celdrán, director regional de PwC, pues es una herramienta clave en ciberseguridad y una gran oportunidad. Afirmación que José confirmó:  «En empresas grandes y medianas poco digitalizadas, la facturación por empleado llega a 400.000 euros, mientras que en las muy digitalizadas asciende a 800.000, el doble». Así, reiteró que «no nos queda otra que digitalizarnos, y la IA ayuda a esto en menos tiempo, es una oportunidad, pero también abre puertas y aquí cobra aún mayor importancia la ciberseguridad«.

Ricardo Fernández, director de Comunicación de Universae, puso sobre la mesa otro de los temas de actualidad, la situación geopolítica mundial y si puede afectar en estos asuntos nuestra dependencia tecnológica de terceros países. Problema frente al que el ponente volvió a destacar la necesidad de contar con «una figura que gestione estos riesgos, aunque las amenazas son cambiantes».

Finalmente Antonio López, presidente de Adimur, puso el foco en el otro lado del problema, los hackers: «Siempre estamos a la defensiva, nos tenemos que proteger, pero igual es necesario también que nos defiendan, ¿estamos suficientemente cubiertos a nivel de penas, coordinación internacional, persecución de este delito?». Al respecto, el invitado destacó la dificultad del asunto que estaba tratando: «Es muy difícil atribuir un ataque a una determinada organización, a no ser que haya fallos, pero saben hacer muy bien las cosas y no se puede identificar el origen, habría que hacer un cambio en el funcionam de las redes para ello, y es muy complicado«.

«Estos incidentes pueden hacer que tu organización no levante cabeza con indemnizaciones, pérdidas… Hay que trabajar mucho y anticiparse», culminó José Valiente.

Los Desayunos de Murcia Diario cuentan con el patrocinio de CaixaBank, Instituto de Fomento (Info), CROEM, Gestipolis, Hefame, PreZero y el despacho Ondara, a los que se han ido sumando y se sumarán nuevos colaboradores, como en este caso la Fundación Isaac Peral, o Hidrogea.