Ingram Micro sube la ciberseguridad por encima de las nubes

Puede escuchar el reportaje aquí:

Redacción / Imagen: Juan Márquez

El lugar elegido por Ingram Micro para organizar el Ingram Micro Cybersecurity Afterwork el pasado 6 de julio en Madrid, un reconocido hotel con unas de las azoteas más privilegiadas de la villa y corte, presagiaba la intención del mayorista: hay que ver la ciberseguridad como algo por encima de las nubes. El momento de networking, desarrollado en dicha azotea, donde canal, fabricantes y representantes del mayorista en un atardecer que se deshacía en el cielo de Madrid, reflejó el éxito de una jornada pensada para mostrar a los más de noventa asistentes cuáles son las últimas tendencias y soluciones en ciberseguridad, pero también cómo mantenerse actualizados y de qué manera transmitir esas soluciones a sus clientes.

Una ponencia impartida por el experto en seguridad Julián Inza y dos mesas redondas, una de ellas moderadas por Víctor Manuel Fernández, coordinador de esta publicación, sirvieron al canal para tomar nota de qué se cuece en el mundo de la ciberseguridad, lleno de amenazas que no paran de crecer, para ayudar así a sus clientes a defenderse de ellas.

Martín Trullás, director de Advanced Solutions en Ingram Micro España.

Cartera de identidad digital

Julián Inza dedico su intervención a poner en contexto en qué consiste la Identidad Digital Europea, que podrá ser utilizada por todos los ciudadanos y residentes en la Unión Europea para acceder a servicios públicos y privados online y offline en el territorio de la unión.

Como recalcó en su introducción, se trata de una manera sencilla y segura de controlar cuánta información queremos compartir con servicios que requieren compartir información; y funciona a través de carteras digitales disponibles en aplicaciones para teléfonos móviles y otros dispositivos, para identificarse en línea y fuera de línea, almacenar e intercambiar información facilitada por las administraciones, almacenar e intercambiar la información facilitada por fuentes privadas de confianza, y utilizar la información como confirmación del derecho a residir, trabajar o estudiar en un determinado Estado miembro.

Julián Inza, presidente de EADTrust (European Agency of Digital Trust).

Inza hizo un repaso a lo largo del tiempo de los intentos de establecer un formato como el que comenzaremos a disfrutar en breve espacio de tiempo. Pues no es algo que no es flor de un día, pues como explicó a los presentes “este contexto de la identidad se ha desarrollado desde el año 2014 con el Reglamento EiDAS; y ha pasado por diversos momento de desarrollo y de debates políticos hasta alcanzar su aceptación definitiva y entrada en vigor, que tendrá lugar en el transcurso de la presidencia española del Consejo de la Unión Europea.

De hecho, gracias al marco de confianza creado por el Reglamento eIDAS, ya pueden utilizarse los servicios de identificación y confianza scon efectos jurídicos en toda la UE tales como la firma electrónica, el sello de tiempo, la identidad electrónica, el certificado cualificado de autenticación de un sitio web, el sello electrónico y el servicio de entrega electrónica certificada. Alguno de ellos, como el caso de la firma electrónica tal y como insistió Inza, se integrarán en la cartera para facilitar su uso.

 

Seguridad en la nube

A continuación, y durante una hora, se desarrolló la mesa redonda “Seguridad en la nube” moderada por nuestro compañero Víctor Manuel Fernández, que contó con la participación de Javier Soto, Distributor Account manager Iberia de Acronis; Antonio Anchustegui, head of Channel Barracuda Iberia; Ángel Ortiz, director de Ciberseguridad de Cisco España; Paul Canales, head of Channel Hornet Iberia; y Carlos Manchado, Cybersecurity Lead en Microsoft España.

Víctor Manuel Fernández comenzó el debate abogando por la importancia de las empresas de apostar por la nube y cuánto negocio supone para el Canal. Máxime si temenos en cuenta que, según los datos que aportó para iniciar el debate, el 40% de las empresas españolas aún no ha acometido su transformación digital; y del 60% que sí lo han hecho, el 55% ha mejorado de manera exponencial su negocio por tanto. Entre otros hándicaps que encuentran las empresas para dar el paso y que presentó ante los participantes destacan la suplantación de la identidad, la elevación de los privilegios, la manipulación de los datos, la denegación de servicio y los márgenes legislativos.

 

Principales riesgos de la seguridad en la nube

Para Javier Soto, no sólo son riesgos, sino que pueden derivar en riesgos económicos. “El robo de datos al final derivaba eso; pero, peor aún, en riesgos reputacionales de los que las empresas tardan más en recuperarse. Por eso, desde Acronis recomendamos realizar una monitorización constante de la red y eso pasa por contar con una red de alertas tempranas. Es decir, hay que ser proactivos dentro de la red por último; y, asimismo, recomendamos construir una resiliencia con plataformas como la de Acronis basada en cinco pilares a nivel de ciberseguridad que ayudan a construir esa resiliencia para poder afrontar esos riesgos. Sin olvidar la parte de Disaster Recovery como concepto de commodity. Yo creo que la parte Disaster Recovery es una parte fundamental donde hay aplicaciones que son críticas para las empresas. De ahí que sea preciso trasladar este modelo de negocio a la pyme, y ahí el canal juega un papel fundamental”.

Por su parte, Antonio Anchustegui, recomendó concienciación en los procesos y “también la adopción de varias tecnologías complementarias que nos pueden ayudar a afrontar esos riesgos mencionados. Sin olvidar algo fundamental, que es meter la nube dentro de la estrategia general de seguridad de la compañía con una solución integral que nos cubra todo”.

En cuanto a Paul Canales, como head of Channel Hornet Iberia, dejó claro que su empresa tiene que decir algo en este escenario. “Nacimos con el Cloud, es algo consustancial a nuestra existencia, totalmente natural. Por eso se trata de usar la nube con conocimiento y aprovechándose de su potencial. Y lo digo muy alto: la nube es segura y es el modelo adecuado para reforzar la seguridad de las empresas".

Paul Canales, head of Channel Hornet Iberia.

Ángel Ortiz quiso recordar algo que considera “de perogrullo, y es que la transformación digital es Cloud. Se basa en trasladar nuestros activos de computación a la nube, por lo que la ciberseguridad también tiene que ser Cloud. No podemos ser ajenos a esa transformación digital, de ahí que la seguridad vaya siempre muy pegada a esa evolución que experimenta la transformación digital y de la evolución de la nube".

El último de los participantes, Carlos Manchado, admitió que Microsoft es juez y parte en este escenario protagonista del debate, “por lo que no es fácil emitir una opinión. No obstante, lo cierto es que depende de si hablamos de SaaS, de Paas o de IaaS, pues el enfoque es totalmente distinto. Lo que está claro es que se trata de aplicar controles que todos conocemos a la hora de gestionar las identidades. En el mercado hay suficientes soluciones como para confiar en la nube y en su seguridad. Por encima de todo, concienciación”.

 

‘Cloud’ vs ‘On premise’

En este punto del debate, Víctor Manuel Fernández planteó a los participantes en la mesa redonda si está ya superado en el sector el paradigma de que la nube es menos segura que las arquitecturas en instalaciones propias (On premise) o todavía queda recorrido por delante.

Javier Soto admitió que sí está superado; que es algo ya superado y se aprecian ventajas de la nube tales como la sencillez y el acceso a los datos en cualquier lugar, así como las opciones de escalabilidad que proporciona, con las ventajas que eso conlleva tales como encriptación, Disaster Recovery, etc. “Sin olvidar que recomendamos la adopción de un modelo de responsabilidad compartida entre el proveedor de la nube y el cliente final. Además, y de cara al canal, me gustaría destacar este modelo de negocio, pues se caracteriza por una alta fiabilidad y por aprovechar economías de escala para ofrecer seguridad Enterprise a pequeña y mediana empresa y también a todo a todo su rango de clientes”.

Antonio Anchustegui, head of Channel Barracuda Iberia.

Llegado a este punto, y como ejemplo, Angel Ortiz planteó al público asistente esta disyuntiva: “¿Qué es más seguro, viajar en un coche que conduces tú o hacerlo en un avión que pilota otra persona. Conducir el coche te da más sensación de control, pero lo cierto es que un avión tiene muchas más medidas de seguridad. Con la nube ocurre tres cuartos de lo mismo. Al final, el hecho de que los datos estén una plataforma que puede operar o gestionar un tercero no es más que depositar la confianza en una organización preparada para esa misión y que cuenta con estructuras diseñadas para ese propósito y con muchas medidas de seguridad. Eso sí, la responsabilidad del dato es nuestra. Nunca hay que olvidarlo”.

Paul Canales intervino en este punto del debate para dejar constancia del papel de la responsabilidad del propietario del dato. En este caso, la empresa. “Es muy bonito dejarlo todo en la nube, pero si luego en tu propia casa tienes la puerta abierta de par en par, alguien terminará por entrar.  Además, ¿cuántos de vosotros -preguntó al público- no ha viajado en AVE al lado de una persona que tiene pegados en el frontal de su portátil los datos de acceso a su equipo y a la red de la empresa? Un fallo tonto, pero un fallo. Más si cabe cuando hay preocupación por la seguridad del correo o la encriptación del dato cuando lo subimos al backup, y mientras dejamos de lado la concienciación del usuario. Nosotros hacemos concienciación también en esa parte, porque al final es por donde quien está interesado entrará en la empresas. Hay seguridad, y la gente tiene que ser consciente, al menos en nuestro caso, de que todos los clientes se benefician de todas las mejoras que se hacen para todos”.

A estas palabras, Carlos Manchado abundó en la necesidad de una seguridad compartida entre cliente y el encargado de la parte de seguridad, en especial si se trata del Canal, pero también en la necesidad de concienciación en aquel primero. Lo que está claro es que el control es más ágil en la nube y en caminos como Iaas o PaaS que en el modelo On Premise. Es aquí donde está el caldo de cultivo de los ataques de nuestros enemigos”.

 

Javier Soto, Distributor Account manager Iberia de Acronis.

¿Conocen las empresas lo suficiente la nube?

“La gente sabe que la nube existe. No hay que mirar hacia arriba porque, al final, la nube es un almacén refrigerado con muchas cabinas y servidores para todo No obstante, el cliente ha de ser consciente de que eso existe y hay que usarlo; porque cuando te dicen no saben cómo se usa o que no quieren utilizarlo, te das cuenta de que tienen Neflix o Amazon en casa, se descargan ficheros en el móvil o leen el correo. Lo cual no deja de ser nube. Estamos todo el santo día en la nube en nuestro ámbito privado. Entonces es cuando les pregunto por qué no hacen eso también en su empresa. Hay que estar en ella, es segura; hay que ser conscientes de para qué se puede usar y apoyarse en profesionales como los que estamos aquí para escoger las mejores soluciones y opciones de cara a nuestro negocio. Luego no olvidemos que la reglamentación europea a nivel ciberseguridad se está incrementando y empieza a obligar a las empresas que facturan tanto a cumplirlo lo dispuesto en el famoso NIS2. En resumen, la seguridad te va a dar tranquilidad de mente y poder dormir a pierna suelta”.

“Lo que hay es una tendencia a mover las cosas al Cloud —añadió Javier Soto–. Está claro que no va al ritmo que todo el mundo queremos, pero si es una tendencia. Eso sí, no voy a negar que existen sectores más reticentes a dar el salto, como es el caso del manufacturero, el nuclear, etcétera. Quizás no se fíen porque no disponen de las conexiones adecuadas y prefieren tener todo On premise”.

“En mi experiencia hay de todo cuando hablas con el cliente. Insisto: hay que abogar por un modelo de responsabilidad compartida. Creo que uno de los grandes problemas a la hora de sacar el máximo partido de nuestras soluciones de seguridad es la noción de esas tecnologías”, apostilló Ángel Ortiz.

En este punto salió a relucir la cuestión del talento, escaso a todas luces, a la hora de gestionar muchas materias relacionadas con la seguridad. Por eso Javier Soto abogó por automatizar ciertas tareas. “Aquellas que son más rutinarias se pueden automatizar. Al final, dada la escasez de talento existente, no va a quedar más remedio que hacerlo”.

 

Ángel Ortiz, director de Ciberseguridad de Cisco España.

Brecha entre talento y conocimiento

Porque existe y es notoria. Si nos atenemos a uno de los últimos informes de Cloudreach, más del 70% de los líderes de TI ve la brecha de habilidades como una preocupación urgente; el 46% reconoce que la escasez de habilidades los desaceleró; el 9% cree que representa un problema de relieve para su empresa; y el 34% asegura que dificulta su capacidad de operar y lanzar nuevos servicios.

“A mí me parecen unos datos fantásticos”, admitió Paul Canales. “Por eso les voy a dar la vuelta: tenéis más trabajo que nunca –se dirigió a los presentes—. Por eso os tenéis que especializar en aquello que os consideréis mejores o que consideréis oportuno para vuestro negocio, o bien especializar vuestro SOC para abordar esa cantidad de trabajo que os va a venir encima porque las empresas no van a poder abordarlo. No pueden tener esa capacidad, y para eso estáis vosotros: para generar un servicio y cobrarlo a vuestros clientes. Es un momento muy bueno”.

“Por muy experto que uno sea, tienes que estar formado y, además, librar combates con gente más especializada o con más recursos que tú. Por eso es fundamental conocer el escenario y saber cómo y quién lo va a manejar.  Si hay un problema, de qué manera se va a afrontar”, añadió Antonio Anchistegui.

En este sentido, Javier Soto aportó una analogía: “Puedes conducir un coche con toda la tecnología del mundo. Pero si te saltas un stop o tomas las curvas a 180 kilómetros por hora, acabarás por estrellarse. ¿A dónde quiero llegar? A la necesidad de un conocimiento y de los servicios que puedes ofrecer a tus clientes. Por eso, la formación tiene que ser constante tanto para el partner como para el usuario final”.

 

Carlos Manchado, Cybersecurity Lead en Microsoft España.

La necesidad de la formación

Especializarse, siempre, pero no perder nunca la paciencia. Es cuestión de sembrar para recoger a continuación la cosecha. “Tienes que estar sembrando una serie de meses hasta comenzar a obtener resultados”, admitió Antonio Anchustegui, para apostillar: “Es necesario dar esos pasos previos y yo creo que hay suficientes actores y partners para ayudar al cliente a dar esos pasos.

“La venta tiene su tiempo y sus procesos de maduración. A todo el mundo le gustaría echar las semillita y obtener resultados de inmediato. Por eso hay que estar al lado del partner en todo momento, transmitirle la confianza de que los resultados llegarán. Además, hay una curva de aprendizaje por la que hay que pasar. Es un trabajo cansado, pero seguro y con rentabilidad y en el que vamos de la mano hasta el partner está preparado”, argumentó Paul Canales.

“Yo creo que hay dos palabras claves: una es pago por uso, y la otra es ingreso recurrente sea el mes que sea. Por eso todo el mundo quiere meterse dentro de este negocio es un negocio muy competitivo”, aportó Javier Ortiz.

 

La relevancia del número de proveedores

¿Basta con un único proveedor? O ¿la consolidación de proveedores es buena? ¿Significa eso que cuantos menos proveedores tengan mayores serán las ventajas que obtenga dicha empresa? ¿Menos proveedores es igual a menores lagunas en la cobertura general?

Fueron las últimas preguntas que Víctor Manuel Fernández lanzó a los participantes en la mesa redonda. “Hay una tendencia en el mercado y los clientes están demandando trabajar como menos proveedores de seguridad”, admitió convencido Antonio Anchustegui.

“Yo también lo creo”, se le unió Ángel Ortiz. “Es un sector con muchas figuras. Yo creo que este panorama no es del todo sostenible y hay una tendencia en los clientes de buscar aproximaciones en forma de plataforma capaces de integrar la visión completa. Todo ello sin olvidar que los ataques son cada vez más sofisticados y elaborados. Los vectores de ataque son cada vez más complejos, de ahí que la existencia de esas plataformas integradas y abiertas a las que me he referido sean una solución que los partners manejan cada vez más y se las ofrecen a sus clientes, y que sean capaces de integrar alertas”

“La consolidación de vendors está ahí y es algo en lo que Gartner viene insistiendo desde hace tiempo”, remarcó Carlos Manchado. “Si tienes capacidades para afrontar ciertos procesos, lo mejor es apostar por ciertas figuras expertas, lo que llamamos brest of breed, o bien confiar en un fabricante que proporcione un enfoque de plataforma, pues el producto estará más cohesionado y tendrá un soporte continuo. Para mí esta segunda estrategia es la más plausible”.

 

El nuevo perímetro de seguridad

Después de una pausa, el evento continuó con la mesa redonda “Identidades, Endpoint y Cloud, o el nuevo perímetro de seguridad”, moderada por Marilés de Pedro, directora de publicaciones en TAI, que contó con la participación de Carlos Galdón, director de Canal de Sophos Iberia; Ángel de la Encarnación, system Engineer de HPE Aruba; Sergio Martínez, country manager de SonicWall; y Juan Antonio Denia, Senior Partner Alliance manager de Delinea.

Entre otros mensajes al canal, los intervinientes en la mesa redonda acordaron, además de trabajar en un sector que tiene una cifras de crecimiento nada despreciables en comparación con otros, en que el perímetro se ha diluido mucho hasta casi difuminarse. Tanto es así, como declaró, Juan Antonio Denia, que ya se relaciona directamente con la identidad. “El perímetro se va con la persona, dado que es la que va a tener que acceder a los dispositivos desde los que se conecta para trabajar.”

Este especialista también animó al canal a especializarse en este ámbito de negocio si atendemos a las cifras de crecimiento que muestran las distintas consultoras, por lo que se trata de una oportunidad inmensa. Argumento en el que abundó Sergio Martínez, máxime si tenemos en cuenta los distintos sabores de nube que tiene a su disposición —IaaS, SaaS, PaaS…—. “Las empresas son responsables de sus datos los tengan donde los tengan. Pero hay que empezar a gestionar todo esto y estructurar los planes de seguridad de la empresa pensando que en cualquier momento va a haber un incidente. El Canal es la pieza clave en un escenario que va a peor, pues es el departamento de seguridad de las pymes, y las pymes son esenciales para este país”.

Angel de la Encarnación reconoció que la seguridad sí está en la red. “Y si no lo está, tiene que estar allí sí o sí. El Canal se ha tenido que transformar y conoce el escenario, pero lo que está claro es que también es complejo, de ahí su labor de concienciación”.

Carlos Galdón admitió que el dato no tiene la seguridad de quien la lleva, y es algo a considerar por las empresas. De ahí que recomendara a las empresas implementar el MDR para gestionar el Endpoint, algo que en manos del canal puede ayudar a las empresas a gestionar la seguridad de sus dispositivos con unas capacidades de defensa como las que tienen las grandes empresas. “Eso es una gran oportunidad de negocio para el canal”.

Para finalizar, este especialista abogó por que el canal esté formado para ser capaz de ir a la misma velocidad que evolucionan tanto los malos como los fabricantes para combatirlos.

Contenido patrocinado por Ingram Micro.