Las amenazas avanzan más rápido que muchas capacidades de defensa y obligan a replantear cómo se protege la industria financiera. Daniel Iturrieta, Subgerente de Ciberseguridad de Redbanc, explica cómo ese escenario convirtió la seguridad en un habilitador estratégico del negocio, en exclusiva para ZonaCISO.
La industria de pagos enfrenta adversarios organizados, bien financiados y capaces de explotar vulnerabilidades a una velocidad que tensiona las defensas tradicionales. En ese escenario, proteger la operación exige anticipación, pruebas constantes y una mirada que conecte la ciberseguridad con la continuidad del negocio.
La conversación recorre ese cambio de enfoque: desde la seguridad por diseño y la colaboración sectorial hasta el uso de inteligencia artificial, la gestión de terceros y la comunicación con la alta dirección. También aborda cómo el liderazgo debe evolucionar para convertir la protección en un habilitador estratégico.
Desde su posición en Redbanc, ¿qué amenazas generan mayor preocupación en la industria de pagos y cómo han evolucionado?
La industria de pagos y la industria financiera en general han evolucionado hacia amenazas que vienen desde un mundo cibernético puro y duro, 100% digital.
Hoy existe una tremenda asimetría, una gran diferencia entre las capacidades de defensa que tienen algunas organizaciones y la velocidad con que somos atacados, además de los recursos a los que acceden quienes generan estos ataques. Ya dejamos de hablar del ciberdelincuente como esa persona que trabaja sola en un sótano. Eso ya no existe.
Estamos hablando de organizaciones criminales que, muchas veces, cuando se trata de ataques a la industria financiera, son financiadas por un estado o por organizaciones muy grandes, que tienen una maquinaria compleja detrás.
Como segundo punto, hay una velocidad de explotación de las vulnerabilidades, acompañada por la inteligencia artificial, la automatización y la gran cantidad de equipos de trabajo que tienen los atacantes, que hace que la explotación de las debilidades encontradas sea mucho más rápida. Por ende, como organizaciones tenemos que responder mucho más rápido.
Y, como tercer punto, hay un cambio de paradigma. Ya no basta solamente con parchar. Ese concepto de “perfecto, tengo todo parchado, estoy al día, tengo mis firewalls actualizados y listo” ya no es suficiente. Hoy el cambio de paradigma pasa por ser ofensivos. Tenemos que realizar una suerte de cacería de amenazas, ver cómo se comportan los atacantes y colaborar para anticiparnos y generar barreras cada vez más altas. Debemos ser nosotros mismos quienes detectemos las posibles vulnerabilidades o brechas de nuestra organización.
En una industria donde la disponibilidad y la confianza son clave, ¿qué significa ser realmente resiliente?
Es una pregunta compleja, porque la resiliencia se basa, finalmente, en saber pararse. Si me caigo, debo saber cómo levantarme. Si lo extrapolamos a nuestras organizaciones, significa saber que nos atacarán.
Todos los que trabajamos en ciberseguridad sabemos que, en algún momento, la organización en la que estamos sufrirá un ataque. Si no lo sufrió en el pasado, puede sufrirlo en el futuro. Todos esperamos que no sea así, pero es la realidad, dado el escenario mencionado.
Hay una idea que me gusta bastante y que aparece en el libro La ventaja de los defensores, de Mandiant: efectivamente seremos atacados. Lo importante es dónde nos ataquen y qué seremos capaces de entregar. Si atacan a nuestra organización, ¿qué es lo que menos nos duele que ataquen?
Incluso si nos llegan a atacar, debemos preguntarnos qué tan preparados estamos para recuperarnos rápido, recibir ese ataque, levantarnos y recomponer la organización. ¿Probamos nuestros respaldos? ¿Son inmutables? Cuando hablamos de ransomware, no basta con que los respaldos sean inmutables: también tienen que ser probados y estar en otro sitio.
Las contraseñas de nuestro sistema de respaldo no pueden ser las mismas ni estar federadas directamente con nuestro proveedor de identidad. Si los atacantes llegan a capturar esas “joyas de la corona”, inmediatamente tienen acceso a los respaldos y a los históricos, y lo primero que hacen es borrarlos. Por eso debemos tener estrategias que nos permitan asegurar continuidad y una resiliencia mínima para seguir operando después de un incidente.
¿Qué tan relevante es compartir información entre bancos, fintechs, proveedores y reguladores?
En ciberseguridad hay una frase que se ha hecho muy conocida: no se compite, se coopera, porque al final todos somos “vecinos”, estamos en la misma comunidad. Mi visión es que, si a mi vecino del frente le está pasando algo, voy y lo ayudo. Si me pasó algo a mí, les cuento a mis vecinos de qué forma ocurrió para que tomen los debidos resguardos. En ciberseguridad debe pasar lo mismo.
El mundo financiero ha avanzado. Desde la ABIF existe un grupo de trabajo que permite que los miembros del sector financiero en Chile conversemos, nos sentemos en una mesa y sepamos cuáles son las amenazas y cómo estamos reaccionando unos y otros.
Tenemos que desarrollar esta idea de inmunidad digital. Es importante que todos colaboremos, lo que no significa necesariamente que compartiré qué activos fueron afectados, por dónde entraron o qué usuario hizo clic. Lo importante es saber qué técnicas utilizaron.
Si lograron ingresar saltándose el “single sign-on”, revisemos qué está pasando con nuestros controles y si están bien configurados. Si un usuario cayó, reforcemos entre todos las medidas de concientización. El intercambio cooperativo es fundamental en un mundo hiperconectado, considerando que los atacantes también colaboran y compran inteligencia entre ellos.
No basta con que nosotros compremos inteligencia. También tenemos que compartirla y tomar lo que viene de nuestro vecino o de la organización del frente para aplicarlo.
¿Cómo se puede innovar en pagos digitales sin incorporar riesgos difíciles de controlar?
Se logra dejando atrás una figura reactiva, donde los equipos de ciberseguridad y riesgo participan al final de la cadena productiva, cuando el producto ya está listo y está pasando a producción. Recién ahí se pregunta si tuvo ethical hacking, si revisamos los riesgos de publicarlo, si cuenta con medidas de seguridad o si fue diseñado con prácticas de desarrollo seguro. Ese es el camino tradicional.
Hoy la tendencia es la seguridad por diseño. Los equipos de ciberseguridad, seguridad de la información y riesgo participan desde el inicio. Ya sea mediante células o con la metodología de trabajo que tenga cada organización, deben integrarse desde el comienzo de los proyectos para identificar qué se diseñará, qué actividades deben revisarse y cómo incorporar una mirada ofensiva y proactiva.
A medida que se realizan entregas, hay que revisar de forma proactiva y ofensiva, con equipos internos o externos, lo que estamos desarrollando y queremos sacar. También debemos contar con pautas de revisión y listas de verificación para el paso a producción, de modo que lo que llega a ese entorno cumpla con la normativa vigente y, sobre todo, mantenga la superficie de ataque lo más reducida posible.
¿Cómo están transformando la inteligencia artificial y los deepfakes las amenazas de fraude?
La inteligencia artificial no cambia las amenazas. Cambia su velocidad, escala y alcance. No es una brecha nueva, pero ayuda a que los atacantes, incluso aquellos que no tienen mucha experiencia, adquieran mayores capacidades. Desde el lado de la defensa, nos enfrentamos a ataques y a una cantidad de vulnerabilidades que antes no habíamos visto.
Los fabricantes están liberando una gran cantidad de vulnerabilidades. No necesariamente porque antes no existieran, sino porque hoy existe tecnología para detectarlas y encontrar brechas con mayor rapidez. Pero quienes defendemos también podemos implementar tecnologías avanzadas de inteligencia artificial y automatización para detectar deepfakes, ataques basados en IA y actividad automatizada.
En el mundo financiero, los ataques con deepfakes se han puesto de moda y siguen creciendo. Tenemos ataques de video y de voz, y los controles biométricos que tienen algunas organizaciones deben evolucionar hacia controles combinados, pues ya no basta con comprobar una voz o un rostro.
La biometría por sí sola quedó obsoleta frente a los ataques con inteligencia artificial. Tenemos que combinar controles de IA con biometría y sumar otras señales, como tokens y patrones de comportamiento humano, para detectar que la entidad al otro lado es una persona y no una identidad sintética que intenta atacar a la organización o suplantar al portavoz de un banco.
También debemos mirar lo que viene. Hoy está sonando el tema poscuántico, que está próximo, y si lo sumamos a la inteligencia artificial, debemos comenzar a pensar en algoritmos que nos permitan abordar tareas de cifrado y descifrado poscuántico.
¿Qué se debería reforzar para gestionar adecuadamente los riesgos de terceros y de la nube?
El mundo financiero tiene un poco más de experiencia debido al regulador. Hace tiempo se definieron capítulos de la Recopilación Actualizada de Normas para la gestión de terceros y, posteriormente, disposiciones que complementan esa mirada desde la ciberseguridad. Creo que son prácticas completamente transferibles a cualquier industria.
Lo habitual era decir: “Mi organización está certificada en ISO 27001 y con eso mi cliente debería estar satisfecho”. Hoy no es así. Hay que ir un poco más allá: visitar a nuestros proveedores, revisar sus controles desde el diseño hasta la ejecución, validar que estén operando correctamente y comprobar que su superficie expuesta esté bien gestionada.
Existen muchas tecnologías que nos permiten conocer la postura de seguridad de nuestros proveedores y también podemos exigir contractualmente su revisión. Tenemos que atestiguar y revisar continuamente cuál es su superficie expuesta, cómo ejecutan sus controles, cómo activan la respuesta a incidentes y si cuentan con personal para participar en ellos.
Si un proveedor tiene un incidente, como organización debo saber a quién contactar, porque es un tercero que tengo conectado y que me interesa. Si sufrió una filtración de datos, debo participar en la gestión de su respuesta, dado que puede afectarme tangencialmente e incluso involucrar datos de mis clientes o de mi organización.
Debo conocer sus contactos, sus canales y sus ‘playbooks’ de respuesta, y entender dónde esos procedimientos conversan con los míos para tener una respuesta conjunta. No basta con trabajar de forma local; hay que hacerlo colaborativamente. Los contratos y la debida diligencia son lo básico. A partir de ahí, hay que implementar todo lo necesario para mantener una gestión de terceros adecuada.
Respecto de la nube, cada proveedor tiene una matriz de responsabilidad compartida: yo me encargo de ciertas tareas y el cliente, de otras. Muchos clientes piensan que basta con migrar a la nube, olvidarse de todo y asumir que los controles de seguridad son responsabilidad del proveedor. No es así. Siempre debemos tener presente ese modelo, revisar lo que le corresponde a cada parte y hacer la debida diligencia, porque Amazon, Google, Azure o cualquier otro proveedor no están exentos de sufrir un incidente.
Como nuestra infraestructura está montada sobre esos centros de datos y servicios en la nube, no debe bastarnos con la debida diligencia. Tenemos que ir un poco más allá, proteger nuestra propia infraestructura y mantener el control de ciberseguridad sobre todo lo que nos pertenece.
¿Qué indicadores permiten comunicar a la alta dirección la exposición real y la efectividad de las inversiones?
Es una pregunta muy interesante porque quienes trabajamos en ciberseguridad normalmente venimos de un mundo técnico. Yo mismo fui ingeniero de sistemas. Cuando asumimos cargos de liderazgo y debemos traspasar información a un gerente general, un gerente de área o al directorio, comenzamos a preguntarnos cómo hacerlo.
Hay datos importantes para la alta dirección. Por ejemplo, qué tan rápido estamos parchando. Puedo informar que encontré cierta cantidad de vulnerabilidades, pero estas existen por defecto, no porque las hayamos creado. Lo importante es qué tan rápido las detectamos y cuánto tardamos en corregirlas, si estamos cumpliendo los plazos o si debemos cambiar la mirada sobre el parchado.
Si tengo mil vulnerabilidades y recursos finitos, ciberseguridad debe aplicar una mirada de riesgo. Lo más riesgoso se corrige primero. Lo que reporto es cuánto demoré en parchar los equipos más críticos de la compañía y si el resto se mantuvo dentro del KPI definido.
También tengo que transformar un incidente en un valor de negocio. ¿Cuánto cuesta una exfiltración de datos? Hoy tenemos algo más de claridad, porque la Ley Marco de Ciberseguridad y la normativa de protección de datos definen multas. Si ocurre un incidente con ciertas características y no hice la debida diligencia, puedo estimar cuánto costará. Si tengo un ciberseguro, también sé cuánto debo pagar para activar su cobertura. Con eso puedo construir una métrica del costo de un incidente.
La ciberseguridad se tiene que probar, tal como la continuidad del negocio. Debemos medir cómo funcionan nuestras pruebas, cuáles son los tiempos de respuesta de los equipos, cuánto tardan en detectar una amenaza, contenerla por completo y recuperarse. Son buenos indicadores para demostrar al directorio que los recursos entregados a los equipos de ciberseguridad están dando frutos.
Si en una prueba no detecto la amenaza, tampoco puedo contenerla ni recuperarme. Tengo que saber cuánto tardé en detectarla y detenerla. El MTTD y el MTTR son indicadores específicos que también pueden aplicarse a la operación y a la respuesta frente a eventos reales.
También existen tecnologías de simulación de brechas y ataques, conocidas como BAS, que lanzan ataques de forma automatizada y permiten observar cómo responden los equipos y las herramientas. Es parecido a los ejercicios de continuidad del negocio, pero automatizado. Así podemos medir cuánto demoramos en responder, si nuestro EDR reaccionó y qué debemos ajustar.
De todos modos, hay que elevar el lenguaje. No puedo ir al directorio y decir solamente cuánto demoró el EDR en responder. Tengo que transformar todas nuestras métricas a un lenguaje ejecutivo y de negocio.
¿Qué capacidades debe fortalecer la industria financiera para anticiparse a las amenazas?
Desde el punto de vista técnico, la tecnología avanza a pasos agigantados, tanto para los defensores como para los atacantes. Hay que adoptar una mirada de Zero Trust y pensar la arquitectura de seguridad desde el diseño, con seguridad por diseño y tecnologías de confianza cero.
La biometría ya no es suficiente frente a los ataques con deepfakes. Hay que avanzar hacia tecnologías FIDO2 para contar con un doble factor de autenticación robusto y basado en hardware. Si no es posible llegar hasta ahí, debemos implementar tecnologías que complementen la biometría y permitan contener ataques tanto en las organizaciones como en los mecanismos de transferencia de la industria financiera.
También debemos incorporar inteligencia artificial. Hoy es impensable que un SOC operado exclusivamente por personas pueda responder cientos de alertas por minuto y miles por día. Tenemos que impulsar centros de operaciones de seguridad con capacidades de IA.
No hablo necesariamente de que la inteligencia artificial responda por sí sola, al menos en una primera etapa. Puede apoyar el análisis y el triaje. En un mar de alertas, no todas son reales y algunas deben descartarse. Ese apoyo es enorme, porque una organización mediana puede generar entre 75 y 85 gigabytes de registros. Se necesita algo capaz de limpiar y priorizar esa información.
Así podemos entregar las amenazas reales a una capa avanzada de inteligencia artificial o a un nivel humano especializado que supervise y realice la investigación.
Desde el punto de vista humano, los perfiles de seguridad necesitan especialización. Deben saber manejar herramientas nuevas y de siguiente generación. Hay que entender que la inteligencia artificial no va a quitarles el trabajo, sino que puede hacerlos más productivos y permitirles dedicarse a aquello que realmente requiere su atención.
También deben saber usar esas tecnologías, hacer cacería de amenazas, operar distintas herramientas de ciberseguridad y tener pensamiento crítico. Para quienes trabajamos en seguridad, es fundamental darle un doble clic a todo: si algo parece extraño, hay que sospechar.
Y, desde la coordinación, es muy importante trabajar dentro del rubro y entre distintos sectores. Deben existir capacidades extendidas y encuentros donde se practique cómo responder a un incidente, no solo desde la banca, sino también desde los ámbitos financiero, tecnológico, eléctrico, militar y civil.
Ante un ataque a gran escala, todas las organizaciones debemos aportar de la mejor forma posible para construir un país más resiliente. Si cualquiera de nosotros falla, esa debilidad afecta al país. Por eso tenemos que trabajar en conjunto.
¿Cómo ha evolucionado el rol del líder de ciberseguridad y qué espacio debe ocupar en las decisiones estratégicas?
Ha dado grandes avances, por lo menos en el sector financiero. La Ley Marco de Ciberseguridad ha hecho algo importante: visibilizar la necesidad de profesionales calificados que no solo administren el firewall o el antivirus, sino que tengan capacidad para participar en la toma de decisiones y desempeñar un rol estratégico en las organizaciones.
El cambio de paradigma consiste en que el responsable de ciberseguridad ya no es solamente el administrador del firewall o del antimalware. Es una persona con una visión más transversal, que no solo mira el árbol, sino el bosque completo. Tiene que preocuparse de lo que está pensando la organización, los riesgos que está tomando, los proyectos que impulsa y su foco estratégico.
No debe ser quien siempre dice que no, sino un aliado y un habilitador estratégico del negocio. Así ha evolucionado el rol: pasamos de ser gente técnica a habilitadores estratégicos del negocio.
También nos toca dejar de ser solamente reactivos y pasar a ser proactivos. Ya no solo defendemos, también pensamos cómo debemos defender. Construimos carreteras y espacios seguros para que la organización pueda hacer aquello que mejor sabe hacer: desarrollar su negocio o, en el caso del Estado, entregar servicios a la ciudadanía de forma segura y protegiendo sus datos.
En una crisis, además de gestionar al equipo, hay que saber responder bajo presión. Eso se entrena y se practica mediante ejercicios de seguridad, pero también exige mantener la compostura, gestionar las emociones y conservar la calma. Hay que responder y comunicar al mismo tiempo, informando constantemente a las mesas de crisis, los directores y los órganos superiores.
Finalmente, hay que ser resiliente. Debemos saber levantarnos y aprender, no solo mediante la actualización constante, sino también de los errores, las falencias y los incidentes que podamos enfrentar. Hay que aprender, documentar, compartir y practicar. Saber aprender, entender que algo puede ocurrir y mantener siempre la compostura forma parte esencial del liderazgo.