En la industria aseguradora, proteger datos y continuidad exige integrar la seguridad en cada decisión, no añadirla al final. Desde esa mirada, Rodrigo Pérez Galaz, CISO de Bci Seguros, analiza el impacto de la regulación, la inteligencia artificial y una exposición que involucra a múltiples actores.
Las aseguradoras procesan grandes volúmenes de datos personales y operan con una red amplia de clientes, asegurados, beneficiarios, terceros y otros interlocutores. Esa combinación amplía la exposición en el ciberespacio y obliga a vincular la seguridad de la información con la continuidad operacional.
En este diálogo con ZonaCISO, la regulación, el gobierno de los datos y la cultura interna aparecen como piezas de una misma tarea. El desafío es permitir que la organización avance dentro de niveles de riesgo que su dirección esté dispuesta a aceptar.
¿Desde tu experiencia, cuáles son actualmente las principales amenazas de ciberseguridad para la industria aseguradora y qué características propias del sector aumentan su exposición?
En mi experiencia, considero que las principales amenazas en el sector asegurador no varían mucho respecto de las que enfrentan otras industrias financieras. Entre ellas se encuentran, por ejemplo, el phishing, el ransomware, la explotación de vulnerabilidades y el compromiso de cuentas. Estas amenazas se han visto incrementadas por el uso de IA, que permite desarrollar, adaptar y escalar los ataques con mucha mayor rapidez. Este nuevo escenario cibernético representa una de las principales amenazas para la seguridad de la información y la continuidad operacional.
Las características del sector asegurador son muy particulares. Las compañías procesan una gran cantidad de datos personales. En un simple ejercicio, el lector puede preguntarse: ¿cuántos seguros tengo? Y, más aún, ¿cuántos seguros tenemos en mi familia? Si a partir de ello contabilizamos los datos asociados a cada uno, la respuesta puede sorprender: podrían ser muchos más de los que podemos contar con una o ambas manos. Si sumamos a esto la cantidad de interlocutores que participan en la operación, se genera una exposición muy particular de nuestro sector en el ciberespacio.
¿Cómo ha evolucionado el rol del CISO dentro de una compañía de seguros y qué relación debería mantener con el directorio, la alta dirección y las áreas de negocio?
En los últimos años, producto de una mayor fiscalización regulatoria y de la publicación de nuevas legislaciones en el país, el sector asegurador ha aumentado su nivel de exigencia en materias de seguridad y continuidad. En este escenario, el rol del CISO se ha tenido que fortalecer, especialmente en materia de cumplimiento, sumando a sus capacidades de gestión, comunicación y conocimiento técnico la necesidad de establecer una base común de controles que permita dar respuesta a las diferentes contrapartes, mitigar riesgos y fortalecer el control y monitoreo de las actividades de seguridad.
La relación con las distintas contrapartes internas, ya sean áreas de negocio, alta dirección o directorio, requiere adaptar la forma de comunicar la seguridad. Con las áreas de negocio es fundamental mantener una comunicación bidireccional: seguridad necesita conocer y comprender el negocio, y el negocio debe conocer los requisitos y riesgos de seguridad. Con la alta dirección y el directorio, en cambio, la comunicación debe enfocarse en informar y negociar medidas desde una perspectiva de riesgo, evitando tecnicismos y vinculando la seguridad con el resguardo de los objetivos estratégicos y comerciales.
La nueva Ley de Protección de Datos Personales exige cambios que van más allá de actualizar políticas. ¿Cuáles serán las transformaciones más complejas para las aseguradoras?
Las compañías de seguros procesan una gran cantidad de datos personales en soportes físicos y digitales. Alguna vez escuché una frase que me hizo mucho sentido: “los bancos tienen el dinero, las compañías de seguros, los datos”. Esa realidad es especialmente relevante con la nueva Ley de Protección de Datos Personales, que implica pasar de un entorno regulatorio menos estricto, con la Ley 19.628 de 1999, a un escenario mucho más exigente bajo la Ley 21.719, que recoge importantes elementos del GDPR europeo. El desafío ahora no es solamente cumplir la norma, sino ordenar y conocer los datos que se mantienen, eliminar aquellos que ya no corresponde conservar y, especialmente, generar conciencia tanto internamente como en los distintos actores externos que participan de la operación.
Las compañías de seguros manejan datos de clientes, asegurados, beneficiarios y terceros. ¿Cómo se puede gobernar y proteger esa información durante todo su ciclo de vida?
Todo parte por establecer un gobierno claro y contar con especialización. Para gobernar adecuadamente los datos debe existir un orden interno y una unidad especializada que pueda liderar y ser referente en esta materia. Por su relevancia y el esfuerzo que requiere, no debiera entenderse únicamente como una responsabilidad adicional o compartida entre distintas áreas, sino como una función que requiere personal calificado y con experiencia comprobada.
Desde esa base es posible avanzar en el gobierno y protección de la información junto con las distintas áreas de la organización, estableciendo protocolos, políticas, capacitaciones y otras medidas. El esfuerzo dependerá del nivel de madurez de cada compañía: en algunas será una labor más extensa y compleja que en otras, pero sus beneficios operacionales se irán haciendo evidentes a medida que estas prácticas se consolidan.
¿Qué acciones permiten pasar de una capacitación ocasional a una cultura capaz de prevenir y reportar riesgos?
Hay una frase que siempre me ha gustado y que he utilizado en algunas charlas: “el usuario es el eslabón más fuerte”. Si no logramos que lo sea, entonces probablemente tenemos un desafío en nuestro SGSI y, especialmente, en la forma en que estamos abordando la concientización y educación en seguridad.
Mi recomendación es establecer un calendario permanente de actividades, haciendo todos los meses algo distinto para mantener el interés y evitar que la seguridad se transforme en un mensaje repetitivo. Algunas actividades pueden reforzarse trimestralmente, pero el objetivo es que la concientización sea continua, participativa y evolucione durante el año.
Frente al avance de la inteligencia artificial, la automatización y los canales digitales, ¿cómo se integra la seguridad y la privacidad desde el diseño sin frenar la innovación?
La seguridad es un requisito de calidad. Es decir, un software, aplicativo u otro producto que no considere seguridad difícilmente puede considerarse un producto de calidad. Por ello, nuestros equipos deben estar presentes en las revisiones lo antes posible, para identificar riesgos y, con ello, permitir que los equipos de desarrollo puedan ajustar el producto tanto a los requerimientos normativos y regulatorios como a nuestro gobierno interno.
Sin duda, nuestras revisiones pueden ocasionar detenciones o ajustes, pero recuerdo una analogía que una vez me comentó un Gerente de TI: “la seguridad es como el freno de un auto”. Si vamos muy rápido, presionamos el freno; si vamos a una velocidad segura, seguimos avanzando; en ocasiones tendremos que disminuir la velocidad o detenernos. Se requiere ese control, porque nadie se subiría a un auto sin frenos. La seguridad debe estar presente precisamente para eso: permitir avanzar, pero dentro de niveles de riesgo que la organización y su dirección estén dispuestas a aceptar.
Al pertenecer a una industria que protege sus propias operaciones y también ofrece cobertura frente a riesgos cibernéticos, ¿qué aprendizajes entrega esta doble perspectiva sobre prevención, respuesta y recuperación?
Efectivamente, nuestra industria tiene en su esencia la gestión del riesgo y la protección de activos, principios plenamente coherentes con un SGSI. Esa misma lógica debiera reflejarse en los ciberseguros: no solo transferir el riesgo mediante una póliza, sino también promover un nivel base de seguridad en las organizaciones aseguradas. Y esa exigencia debe comenzar por nosotros mismos, procurando que nuestras compañías cumplan e incluso superen los estándares de seguridad que esperamos de nuestros asegurados.
¿Cuáles han sido tus principales aprendizajes como CISO y dónde deberían concentrarse las inversiones en ciberseguridad de la industria durante los próximos años?
Mi mayor aprendizaje es que el CISO debe conocer y saber desenvolverse en ambos mundos según la ocasión: gestión y técnico. En un momento podemos estar hablando de riesgos frente a un directorio y, ese mismo día, revisando logs en una consola. No significa que debamos hacerlo todo, pero sí tener conocimiento de los distintos ámbitos y contar con un equipo que nos apoye. Ese equipo puede ser directo e indirecto. El equipo directo corresponde a quienes forman parte de nuestra estructura y dependencia; el indirecto, en cambio, está conformado por todos los colaboradores de la organización. Todos son parte de la seguridad: apoyamos, reportamos y contribuimos a proteger a la compañía, no solo por obligación o por pertenecer a determinado cargo, sino porque la seguridad forma parte de la operación del día a día. Lo más desafiante es llevar esa frase a la realidad.
Respecto de las inversiones, no hay nada nuevo: debemos mantener un esfuerzo constante. Así como evolucionan el cibercrimen y las amenazas, nosotros tampoco podemos quedarnos atrás en el uso de IA, por ejemplo. Incorporar nuevas tecnologías y contar con personal calificado y permanentemente capacitado es clave. También debemos perder el miedo a externalizar determinadas funciones cuando resulte conveniente, manteniendo una revisión constante de nuevos patrones y amenazas para aplicarlos a nuestro entorno, siempre bajo una metodología de gestión de riesgos.
