En una plataforma que une pagos y movilidad, la seguridad debe proteger dinero, información y continuidad sin entorpecer una experiencia cotidiana. En conversación con ZonaCISO, Christobal Hayes, Líder de Seguridad de la Información de MetroMuv, analiza cómo anticipar riesgos, fortalecer controles y responder ante nuevas amenazas.
Cuando un servicio digital forma parte del viaje diario, una falla puede afectar mucho más que una transacción. La disponibilidad de la plataforma, el resguardo de los fondos y la protección de los datos se vuelven condiciones esenciales para que las personas puedan trasladarse con confianza.
La mirada se extiende desde la suplantación de identidad y el abuso de funcionalidades legítimas hasta la gestión de terceros, la continuidad y los nuevos riesgos asociados a la inteligencia artificial. El desafío es anticipar escenarios y probar la respuesta antes de que un incidente ocurra.
MetroMuv integra una billetera digital, medios de pago y servicios vinculados a la movilidad. ¿Qué desafíos de seguridad particulares genera la convergencia de estos dos ámbitos?
El principal desafío es que estamos presentes en algo muy cotidiano. Quien viaja todos los días con MetroMuv necesita que su dinero esté protegido, que sus transacciones se realicen bien y que el servicio esté disponible justo cuando lo necesita para moverse. Esa habitualidad es lo que nos exige mirar la seguridad de manera integral.
Además, hay distintos sistemas, proveedores e integraciones que hacen posible esa experiencia, y es necesario entender cómo se relacionan. Un incidente en cualquiera de ellos puede afectar un momento clave del viaje de una persona. Por eso anticipamos esos escenarios y probamos cómo responder antes de que ocurran.
Esa es la particularidad de esta convergencia: resguardamos el dinero, la información y la continuidad de un servicio que las personas incorporan a su día a día.
Desde tu experiencia, ¿cuáles son actualmente las principales amenazas para las plataformas digitales que administran pagos, cuentas de usuarios y transacciones?
Pondría especial atención en la suplantación de identidad, el robo de credenciales y la apropiación de cuentas. Son amenazas que combinan un engaño a la persona con el aprovechamiento de una debilidad tecnológica, y pueden terminar en una operación fraudulenta.
También están la explotación de vulnerabilidades, el ransomware, los ataques que buscan dejar un servicio fuera de operación y los incidentes que se originan en proveedores conectados. Nuestra exposición también depende de esas dependencias.
En plataformas de pago hay otro punto relevante: revisar cómo alguien podría abusar de una funcionalidad legítima. Un sistema puede operar según lo programado y, aun así, permitir un fraude si sus reglas de negocio o sus controles de autorización son insuficientes. Por eso es tan necesario entender el proceso completo, desde que la persona se registra hasta que el dinero se mueve.
¿Cómo ha evolucionado tu rol como Líder de Seguridad de la Información y qué participación tienes hoy en las decisiones de negocio y en el desarrollo de nuevos servicios?
Hoy entiendo que la seguridad debe participar desde el inicio en el negocio: qué queremos desarrollar, qué necesidad estamos resolviendo y qué riesgos implica.
Mi rol conecta seguridad de la información, ciberseguridad y continuidad del negocio. Desde ahí participo en la evaluación de iniciativas, proveedores y prioridades, poniendo sobre la mesa los riesgos y las condiciones necesarias para avanzar.
Una parte clave del trabajo es traducir lo técnico en decisiones. Hay que explicar qué significa un hallazgo para la operación, para las personas que usan el servicio y para la organización. Con esa claridad conversamos sobre responsables, plazos y recursos, y la seguridad pasa a ser una parte concreta del desarrollo del negocio.
En una plataforma que debe innovar y ofrecer una experiencia sencilla, ¿cómo se incorpora la seguridad desde el diseño sin agregar fricción innecesaria para los usuarios?
Creo que la clave está en participar desde el comienzo. Cuando diseñamos un servicio, debemos preguntarnos qué información necesita, quién podrá acceder, cómo se autorizarán las operaciones y qué posibilidades de abuso podrían existir. Mientras antes abordemos esos puntos, mejor podremos resolverlos dentro de la experiencia.
También debemos aplicar controles proporcionales al riesgo. Consultar información y realizar una operación sensible pueden requerir validaciones distintas. Quien viaja todos los días no debería sentir la seguridad como un obstáculo; debemos explicarlo de manera simple.
Parte de la protección puede funcionar detrás de la experiencia, mediante validaciones y detección de comportamientos anómalos. El objetivo es que las personas usen el servicio con medidas de seguridad que tengan sentido para lo que están haciendo.
Frente al phishing, el robo de credenciales y la apropiación de cuentas, ¿qué responsabilidades corresponden a la tecnología y cuáles a la educación y concientización de los usuarios?
Es una responsabilidad compartida, pero las organizaciones debemos asumir que una persona puede ser engañada, incluso estando informada. Eso tiene que estar considerado en el diseño del servicio, en los controles y en nuestra capacidad de reaccionar.
La inteligencia artificial hace que este desafío sea mucho mayor. Durante años enseñamos a identificar correos fraudulentos por las faltas de ortografía, las traducciones deficientes o una redacción poco natural. Hoy, con IA, muchas de esas señales pueden desaparecer. Un mensaje malicioso puede estar perfectamente escrito y tener una presentación convincente. Que se vea profesional ya no nos da una garantía de legitimidad.
El alcance va bastante más allá de mejorar un correo. En manos equivocadas, la IA puede potenciar actividades maliciosas: permite preparar engaños con menos tiempo y esfuerzo, generar contenido falso, crear perfiles ficticios y producir audios o videos para suplantar personas. También facilita llegar a más víctimas con mensajes creíbles. Puede aumentar tanto la escala como la efectividad de un fraude.
Por lo mismo, necesitamos actualizar la forma en que educamos. Debemos enseñar a revisar el contexto: qué me están pidiendo, por qué existe esa urgencia y cómo puedo verificar la solicitud por un canal oficial que yo conozca. Una voz familiar o un mensaje bien escrito también requieren verificación cuando hay dinero, credenciales o información sensible involucrada.
Desde la tecnología, la responsabilidad es fortalecer la autenticación, proteger la recuperación de cuentas, detectar actividad sospechosa y facilitar el reporte y bloqueo oportuno. Desde la educación, debemos entregar herramientas simples y aplicables. Ambas cosas tienen que avanzar juntas, porque la protección debe seguir funcionando incluso cuando una persona comete un error.
¿Qué desafíos supone proteger, simultáneamente, datos personales, información financiera y antecedentes asociados al uso de servicios de movilidad?
Al relacionar información personal, transacciones y antecedentes de uso de servicios, podrían inferirse hábitos o rutinas de una persona. Eso exige ser especialmente cuidadosos con su tratamiento, por la información que pueden revelar.
El punto de partida es tener claridad sobre para qué necesitamos cada dato, quién debe acceder y cuánto tiempo corresponde conservarlo. Desde ahí definimos medidas de protección y trazabilidad acordes con su sensibilidad. Por eso diseñamos productos que se adaptan a cada persona: una versión más simple, que pide menos información y, por lo mismo, tiene límites más acotados, y otra más completa, que requiere más datos para habilitar sus funciones. Así, cada dato que pedimos tiene una razón clara, tanto para proteger a la persona como a MetroMuv.
También tenemos que revisar los usos posteriores de esa información. Cada uso debe tener una finalidad clara y justificada. La confianza de las personas también depende de que comprendan qué información entregan y cómo será utilizada.
Considerando la conexión con proveedores, API y actores del ecosistema financiero, ¿cómo se gestionan los riesgos de terceros y se prepara la continuidad de servicios críticos?
Lo primero es conocer nuestras dependencias. Tenemos que saber qué aporta cada proveedor, qué información maneja, qué accesos necesita y qué pasaría con nuestra operación si ese servicio deja de estar disponible. Esa evaluación debe mantenerse durante toda la relación, y cada proveedor nos deja un aprendizaje sobre cómo construir confianza y control.
En las API, que permiten conectar los sistemas, hay que revisar especialmente la autenticación, los permisos y la información que se intercambia.
En continuidad, el foco está en anticiparnos a los escenarios de caída, sobre todo en los momentos en que una persona necesita el servicio para moverse. Eso requiere definir con las áreas de negocio qué servicios debemos recuperar primero, en cuánto tiempo y cuánta pérdida de información sería tolerable.
Después hay que probarlo. Los ejercicios deben permitirnos comprobar la recuperación técnica, la correcta ejecución de las operaciones y la coordinación entre los equipos y proveedores. Esa evidencia nos permite identificar brechas y decidir qué capacidades necesitamos fortalecer.
¿Cuáles han sido tus principales aprendizajes como Líder de Seguridad y qué capacidades crees que serán indispensables para quienes ejerzan este rol durante los próximos años?
Uno de mis principales aprendizajes es que necesitamos generar una comprensión compartida del riesgo. Un buen diagnóstico tiene que transformarse en acciones, con responsables, plazos y recursos. Ahí es donde nuestro trabajo empieza a producir cambios concretos.
También he aprendido lo relevante que es anticiparse: conocer las dependencias, plantear escenarios y probar cómo responder antes de enfrentar una situación real.
Hacia adelante, serán indispensables el conocimiento técnico, la comprensión del negocio y la capacidad de comunicar y coordinar. Hay que conversar con desarrollo, operaciones, gerencia y todos los equipos involucrados, y lograr que comprendan qué se necesita y por qué.
También será fundamental entender la IA y la automatización. Son herramientas que pueden ampliar mucho nuestras capacidades, siempre que sepamos usarlas y gestionar sus riesgos. Para mí, liderar seguridad implica ayudar a que la organización avance con claridad sobre los riesgos que asume y las capacidades que necesita para sostener su operación.
