–
Por hacernos una idea, ¿cuántos usuarios interactúan con el sistema de información del Grupo BBVA?
– Tenemos aproximadamente unos 95.000 usuarios internos y colaboradores en todo el Grupo, y unos 36 millones de clientes, de los cuales interactúan directamente a través de Internet cerca de 3 millones.
– ¿Y cuántas contraseñas para autenticación de usuarios están operativas ahora mismo en los sistemas?
– Más de 3 millones, de las que 250.000 corresponden a usuarios internos y el resto a clientes.
– Se dice que las entidades financieras españolas destinan a seguridad entre un 2% y un 3% de su presupuesto para TIC. ¿Es el caso del Grupo BBVA?
– Estamos en torno al 3%, del que aproximadamente el 65% corresponde al Plan Director de Seguridad Lógica.
– Están, pues, en el límite superior. ¿Cómo se consigue algo así?
– Uno de los tres ejes de nuestra estrategia se basa en la optimización del ROI en el medio plazo, lo que significa que podemos mantener durante algún tiempo niveles de inversión ligeramente mayores a la media del sector, si eso revierte en una reducción significativa del gasto en el medio plazo.
– ¿En qué consiste esa estrategia?
– Se basa en una relación entre el nivel de coste, el grado de complejidad y el grado de aversión al riesgo. Estos tres ejes nos permiten ir posicionando en el punto preciso de seguridad al Grupo a todos los efectos y en todos los mercados y negocios. Cada uno de los parámetros mencionados se sitúa en el vértice de un triángulo, y nosotros, como objetivo, debemos de maximizar dicho triángulo, lo que implicaría que en materia de riesgos, estos serían residuales, en materia de complejidad la seguridad no impactaría en la operativa, y en materia de costes alcanzaría un mínimo.
Dentro de esta estrategia, y dependiendo de las necesidades e intereses de protección, la aversión al riesgo, el nivel de coste y el grado de complejidad pueden tomar valores muy distintos, según lo que se desee y a qué plazo se trabaje. Por ejemplo: un mayor gasto a corto en tecnología puede redundar en una reducción considerable del riesgo y en una razonable contención del grado de complejidad una vez opere esa tecnología en el sistema, con lo que a medio plazo es muy rentable para la entidad. A esto me refería cuando antes comentaba que se puede justificar una mayor inversión en seguridad que la media estimada del sector financiero en España, si ello revierte en una reducción superior del gasto en el medio plazo.
Cada uno de los proyectos que acometemos, en función de nuestras necesidades de seguridad, lo tenemos posicionado en este triángulo, y el objetivo es ir protegiendo a nuestra organización con el menor gasto posible.
– ¿Qué es y qué no es Seguridad Lógica en el Grupo BBVA?
– Seguridad es proteger el negocio, y uno de los activos más importantes para una institución financiera es su información. Las unidades del Grupo implicadas en la seguridad de los sistemas tenemos por tanto el objetivo de proteger la información de la entidad. Dicho de un modo más directo: nuestra misión principal es evitar usos no autorizados de la información mediante la protección efectiva y directa de la misma y de los aplicativos y tecnologías que la tratan.
Las otras áreas de la seguridad, tal y como se entiende en la industria y como marca la norma ISO-17799, como son el back-up, la continuidad de los sistemas y las comunicaciones y la continuidad operativa del Banco, son responsabilidad de otras unidades.
– ¿Y cómo está organizada la función de la seguridad lógica?
– Existen tres direcciones de seguridad de los sistemas de información. Dos de ellas son operativas, una, ubicada en el CPD de Madrid, con responsabilidad sobre la seguridad de los sistemas de las empresas del Grupo BBVA en Europa, y otra, ubicada en Méjico DF, con responsabilidades en América. La tercera dirección de seguridad de los sistemas de información, de la que soy el responsable, se denomina de Seguridad Lógica Corporativa.
Esta organización está alineada con la del Grupo por áreas negocio, con una Dirección de Sistemas y Operaciones para cada línea de Negocio y una Dirección de Tecnología y Sistemas Corporativos. En el caso de Méjico, la organización también se alinea con el proyecto de concentración de CPDs emprendido en el continente americano.
– ¿Cuál es su misión?
– La misión es diseñar la estrategia y que ésta se desarrolle en todo momento en las empresas del Grupo, es decir, que trabajemos para optimizar el ROI en el medio plazo, con los niveles de aversión al riesgo definidos y manteniendo un nivel de complejidad aceptable. Para conseguirlo, coordinamos los planes corporativos, velamos por el cumplimiento de la política de seguridad establecida y por el alineamiento tecnológico en materia de seguridad, objetivo este último que hemos logrado, ya que en todas las empresas del Grupo se trabaja con los mismos antivirus, con los mismos cortafuegos, con los mismos IDS, con los mismos sistemas de autenticación de usuarios... Esta homogeneización es un objetivo prioritario y forma parte de nuestra estrategia.
Cuando alguna unidad operativa identifica que es necesario no mantener este alineamiento, ya sea por razones de soporte local, ya por especificidad de algunas tecnologías no de seguridad a las que haya que dar soporte de seguridad, ya por otras razones, la responsabilidad última sobre las excepciones a los estándares marcados es de la Dirección de Seguridad Lógica Corporativa, aunque remarco que las decisiones sobre los elementos tecnológicos que convienen a la entidad siempre se toman por consenso entre las tres direcciones de
seguridad.
En el Grupo BBVA se entiende que una dirección corporativa debe rentabilizar su propia existencia. Me explico: hay actividades que si se realizan desde un único sitio para toda la organización, en el corto, medio y largo plazo aportan más beneficios a la entidad.
Por ello, Seguridad Lógica Corporativa es responsable directa de llevar a cabo todas las tareas y procesos necesarios para analizar la situación, desde el punto de vista de la vulnerabilidad, de los aplicativos y de las infraestructuras de todas las empresas del Grupo BBVA. Hablamos de lo que comúnmente se denomina hacking ético.
También es nuestra directa responsabilidad ofrecer el debido soporte al Grupo en lo referente a las amenazas y vulnerabilidades que van apareciendo en la industria. Para que se haga una idea, venimos registrando cerca de 600 avisos al mes. Seguridad Lógica Corporativa analiza toda la información, identifica a las empresas del Grupo concernidas, decide la criticidad, comunica a los interesados las acciones que tienen que llevar a efecto: actualización de parches, medidas complementarias..., y se preocupa de verificar que las medidas indicadas se han tomado.
Por otra parte, atendemos directamente los incidentes que provienen del exterior y que afectan o pueden afectar globalmente a nuestra organización. Un ejemplo de esto último lo constituye el “phishing”. Obviamente, si el asunto lo requiere, se pone en conocimiento de las direcciones operativas.
| “Uno de los nuevos
peligros a los que se enfrentan las entidades financieras a nivel mundial es al de la transformación y aumento exponencial del impacto del fraude clásico individual al convertirse en fraude electrónico masivo” |
 |
– ¿Pero cuál de las tres parte el bacalao?
– No hay jerarquía, y sí una distribución de funciones y responsabilidades. Dependemos cada una de una dirección de sistemas de información cuyo punto común de dependencia es la Dirección de Sistemas y Operaciones.
– Se lo voy a preguntar aun sabiendo que en el Grupo BBVA ya han optado por un camino concreto: ¿quiénes en el área de sistemas de una organización deben explotar los sistemas de seguridad TIC?
– En línea con los principios de buen gobierno, aquí es de aplicación el precepto de segregación de funciones: se supone que en una buena organización que cuide de su funcionamiento, los departamentos que son capaces de cambiar y abrir los routers no deben tener posibilidad de abrir o cerrar los cortafuegos.
Debe haber un departamento especializado, diferenciado de Técnica de Sistemas, Comunicaciones, Explotación, que opere las tecnologías de control de accesos, entendiendo por tales los cortafuegos, los antivirus, los sistemas de gestión de usuarios, las ACL’s de aplicativos, las ACL’s de acceso web internas y para clientes, la autorización de transacciones...
Nosotros así lo hacemos, de tal forma que los departamentos de seguridad operativos tienen dos grandes responsabilidades: dar soporte a la producción en todo aquello que se necesite cambiar para tal fin en las tecnologías de seguridad antes mencionadas, y que todas los elementos tecnológicos de seguridad estén dando el nivel de servicio y disponibilidad exigible a los niveles en los CPDs.
– ¿Cuántos profesionales trabajan hoy en misiones específicas de seguridad lógica en el Grupo?
– Algo más de cien, entre expertos de la casa y personal externo.
– A lo crudo, ¿de qué tiene que defenderse una entidad financiera?
– Para el Grupo BBVA las líneas de trabajo son dos: la principal es proteger la información de nuestros clientes, lo que redunda en una confianza mutua y del resto de entidades sociales con las que el Grupo se relaciona, sus accionistas, empleados y la sociedad. El fenómeno del “phishing”, por ejemplo, es un ataque directo a los clientes de entidades financieras, no a las entidades mismas, pero éstas deben proteger a sus clientes. La segunda línea de trabajo, derivada de la primera, es proteger de modo efectivo sus activos intangibles.
La protección de activos intangibles en el contexto de los sistemas de información se resume en dos epígrafes: el de los daños en los que puede haber detrás personas concretas y el de los daños generalizados. Un daño generalizado puede ser el provocado por un virus informático; en este caso, y en una entidad financiera, el activo empresarial que hay que proteger es el tiempo de disponibilidad de los sistemas y de trabajo de empleados y servicios a clientes.
El primer epígrafe mencionado, el de daños en los que puede haber personas concretas, tiene una explicación sencilla: cada empresa, una “telco”, una consultora..., en el uso que hace de los sistemas de información, tiene una tipología de fraude asociada. Como dije, la información en la banca tiene en sí misma un valor, bien por el valor que puede tener para terceros, bien para ser utilizada en la comisión de fraudes. Uno de los nuevos peligros a los que se enfrentan las entidades financieras a nivel mundial es al de la transformación y aumento exponencial del impacto del fraude clásico individual al convertirse en fraude electrónico masivo.
– Pues parece que vamos a tener seguridad para rato
– Si vemos la seguridad desde la perspectiva de su necesidad para arreglar las vulnerabilidades de los sistemas y de los procesos que interactúan con ellos, los expertos seguiremos teniendo trabajo en tanto en cuanto a los sistemas les falte madurez, algo que está casi garantizado si la velocidad de evolución de las tecnologías se mantiene o aumenta. Pero este razonamiento es parcial, ya que el trasfondo de la seguridad de la información es la protección de los activos intangibles de las organizaciones, que son los bits que van y vienen por todos los sistemas de información. Mientras que estos bits tengan un valor para la organización, lo tendrán también para su competencia, para atacantes externos,... y ese valor hay que protegerlo. Por lo tanto, la función de protección de los activos intangibles va a seguir existiendo y no le veo fecha de caducidad.
– ¿Existe posibilidad en BBVA de que se desarrollen sistemas y aplicativos sin conocimiento de Seguridad Lógica?
– Si eso pasara, sería un fallo de toda nuestra organización de sistemas. Seguridad está enfocada a procesos, lo cual se entronca con nuestra estrategia global. ¿Qué significa esto? Pues que nuestra función está imbricada en los procesos que tienen que ver con el ciclo de vida de nuestros sistemas de información. Participamos en este aspecto en todos los frentes que nos son propios, aportando incluso ideas nuevas al resto de los departamentos.
– El Grupo BBVA puso en marcha su Plan Director de Seguridad hace aproximadamente unos tres años. ¿Qué destacaría hoy de dicho Plan y de su catálogo de proyectos técnicos?
– Como ya expuse en Securmática 2002, el objetivo del Plan era saber dónde estábamos, hacia dónde ir, identificar el camino y recorrerlo. Para ello se diseñó un catálogo de proyectos, unos de carácter organizativo y otros de carácter técnico. Se comenzó en su momento a ejecutar lo establecido de manera más intensa en Europa, y al hilo del inicio del proceso de concentración de CPDs de las Entidades de América en Méjico, se empezó a aplicar el Plan Director de Seguridad en América. ¿En dónde estamos ahora? Pues resulta difícil resumirlo pero puedo indicar que en materia de sistemas antivirus ya hemos terminado en Europa y en América se están terminando de desplegar las consolas centralizadas de gestión; en materia de sistemas cortafuegos, se ha llevado a cabo una unificación tecnológica, acabada en Europa y por concluir en América; en IDS estamos a la expectativa, observando hacia dónde termina de ir la industria, aunque ya hemos apostado desde hace tiempo por un único fabricante, y queremos seguir así; hemos apostado por contar con gestores de políticas de seguridad en todas la plataformas, en incorporar tecnologías que nos permitan mejorar la granularidad del control de acceso en los sistemas distribuidos, se han diseñado metodologías específicas que nos permitan garantizar la seguridad de los desarrollos realizados en el Grupo BBVA a un menor coste, se ha puesto en práctica una metodología de micro gestión de riesgos como eje de todas las decisiones que se deben adoptar a diario en esta materia, está puesta en práctica la estrategia que nos va a permitir reducir en el medio plazo los costes de los análisis de vulnerabilidades mejorando la automatización de los mismos, y esto sólo como un ejemplo de los avances que el Plan Director de Seguridad está produciendo en el Grupo BBVA.
Este año 2004 vamos a llevar a cabo, tanto en América como en Europa, el despliegue de consolas centralizadas de seguridad, que nos van a permitir de una forma más económica gestionar grandes volúmenes de información. En fin, que el Plan Director de Seguridad, iniciado presupuestariamente en 2003, va por buen camino. Se proyectó con un horizonte temporal de 3 años, y así se va a hacer en Europa; en América lo vamos a extender a 4 ó 5 para acompasarlo con el proceso organizativo y tecnológico de concentración de centros en Méjico.
No obstante, estamos viendo que al Plan Director no se le puede poner un final, ya que muchos de los proyectos en él contemplados se van a ir convirtiendo en programas que requieren mantenimiento. Con todo, lo realmente importante del Plan para el Grupo BBVA ha sido el cambio sistemático de orientación de la seguridad de los sistemas y la homogeneización tecnológica, de la política, normativas y de los procesos organizativos y de gestión de la seguridad.
- ¿Hay muchas diferencias culturales y de entorno a efectos de la aplicación de la política de seguridad informática del Grupo BBVA entre América y Europa?
- Tenemos que adaptar nuestros negocios a la realidad sociocultural y legislativa de cada país en el que operamos, adaptación que debe afectar a los sistemas de información y a su seguridad. Quien no acepte esto, y piense las cosas con la perspectiva del Viejo Continente, se equivoca. En la UE estamos enfocados hacia una unificación en leyes y prácticas; en América cada país es distinto y no hay ninguna perspectiva de que vaya a producirse en el medio plazo este tipo de homogeneización.
- Existen proyectos importantes en el terreno específico de la seguridad TIC: la automatización de la administración de usuarios y la gestión de identidades, el disponer y poder analizar y explotar la información relevante para la seguridad que genera un sistema de información tecnológico de una organización, la detección de vulnerabilidades y su ‘minimización’ en tiempos cada vez más cortos... ¿Cómo están solucionando estos frentes en el Grupo BBVA?
- Las mayores preocupaciones que tenemos hoy son dos: entender cómo hay que ir evolucionando la gestión de la seguridad de los sistemas de la forma más productiva para el Grupo BBVA, y poder saber en cada momento y a futuro si estamos haciendo lo adecuado.
Dicho esto, podemos entrarle a los frentes por los que me pregunta. En lo referente al primero, puedo indicarle que esta Institución tiene desde hace bastante tiempo muy unificada su gestión de usuarios. Nuestra problemática en ese sentido es que los nuevos sistemas adquiridos “off-the-shelf” que se van incorporando en nuestro sistema de información, vayan entrando en sus circuitos de aprovisionamiento y cambios: altas, bajas, modificaciones, bloqueos... Contamos con una herramienta desarrollada en BBVA para tales fines y con una herramienta de mercado específica que nos facilita la propagación de los cambios.
Al análisis y gestión de logs y la correlación de eventos le estamos entrando por la vía de lo que denominamos “la utilidad en la toma de decisiones”. En vez de recoger y centralizar toda la información relevante para la seguridad de cortafuegos, antivirus, IDS, etc., y correlacionarla, algo poco menos que imposible, hacemos lo contrario: plantearnos qué tipo de información queremos tener e identificar de qué nos estamos protegiendo. Obviamente, para poder responder a cualquier requerimiento legal o regulatorio que pudiera presentarse, guardamos toda la trazabilidad de la operativa interna y con clientes.
Tengo que decir que la forma en la que la industria está enfocando en general este asunto, no me parece la adecuada, por ser cara, ineficaz y crecientemente compleja.
 |
“La industria debería ir pensando en desarrollar mecanismos de protección y prevención de parcheos. Creo que este es un terreno en el que una buena acción en tecnologías nos permitiría una importante reducción de costes” |
- ¿Qué le suscita como profesional de la seguridad TIC, la existencia de tanto agujero de seguridad y de tanto parche en productos, incluso algunos de protección?
- Que genera un coste muy importante. Las Direcciones de Seguridad tenemos la responsabilidad del ciclo completo de parches de seguridad, y se lo digo con conocimiento de causa. Parchear los sistemas a la velocidad que imponen las circunstancias y sin generar niveles de indisponibilidad intolerables supone una carga económica importante. Sería deseable una mayor estabilidad de los sistemas, e incluso creo que la industria debería ir pensando en desarrollar mecanismos de protección y prevención de parcheos. Creo que este es un terreno en el que una buena acción en tecnologías nos permitiría una importante reducción de costes. El volumen de actualizaciones histórico debería considerarse en la toma de decisiones de las tecnologías a implantar, ya que generan un coste importante de mantenimiento, menores nivel de disponibilidad y, por supuesto, mayor riesgo para las organizaciones.
-
Le noto muy crítico con la industria
- Las tecnologías de seguridad adolecen todas de ser demasiado tecnológicas. Hay muy poca producción en el mercado que realmente ayude a los responsables a dirigir un departamento de seguridad TIC. Lo que nos encontramos por ahora es con una colección deslavazada de tecnologías que no se hablan entre ellas. Hay, eso sí, procesos de concentración de distintas tecnologías bajo una misma marca, y no tanto de integración de tecnologías de diferentes productores bajo un único paraguas de gestión. Además, estamos lejos de disponer de herramientas que nos permitan ver cómo están nuestros procesos de seguridad TIC, ya que la industria especializada sigue trabajando en productos y no en procesos.
Comprendo que esta orientación es compleja y sólo sirve para grandes corporaciones, y es comprensible que la industria esté hoy enfocando principalmente su estrategia hacia nichos de mercado más numerosos, más rentables y menos exigentes.
-
La elección de las tecnologías en algo cada vez más crítico en seguridad, ya que puede haber un cambio de rumbo en fabricantes. ¿Le preocupa este particular?
- Existe un conjunto de media docena de fabricantes especializados serios que lo están haciendo muy bien. Creo, además, que la estrategia de una organización de nuestro tamaño es centrase en pocos fabricantes, por costes, por facilidad de gestión y por seguridad, estando siempre muy pendientes de no quedar cautivos de un fabricante en particular. La competencia es sana.
Sin embargo, hay proveedores de tecnologías que se están equivocando al obligarnos a hacer cambios por una discontinuación de productos. Yo creo que si un proveedor de tecnología te obliga a cambiar de esa manera, genera una gran desconfianza. Las compañías que nos fuerzan a este tipo de cambios deben tener en cuenta que se incluye este aspecto en las tomas de decisiones de las tecnologías y fabricantes a incorporar al Grupo BBVA
- ¿Compran las herramientas tecnológicas de seguridad en el mercado o las desarrollan internamente?
- Las empresas grandes tenemos problemas en el mercado para encontrar herramientas de seguridad que nos solventen las problemáticas específicas que se nos presentan. Hay algunas razones: que la mayoría de las soluciones comerciales no aguantan nuestro tamaño y que a los fabricantes no les suele interesar desarrollar soluciones para problemas muy muy concretos, ya que prefieren ir a ámbitos de mercado más masivos, cuyas problemáticas son más generales.
En el Grupo BBVA preferimos siempre adquirir herramientas de seguridad en el mercado. Cuando no las encontramos, mantenemos una doble estrategia: de una parte, hacer el menor desarrollo interno posible, pero que nos mantenga con el grado de aversión al riesgo establecido aunque nos suba algo el gasto, con tal de mantener la situación hasta que aparezca una tecnología de mercado que nos solucione el problema en cuestión. Los desarrollos propietarios en materia de seguridad no suelen ser rentables, dado el cambio permanente de los sistemas y sus vulnerabilidades.
De otra parte, tenemos aprendido que las tecnologías de mercado tienen una mayor calidad de la protección una vez que están maduras. Los desarrollos internos no tienen esta ventaja.
¿Dónde sí desarrollamos con vocación? En aquellos elementos que no nos va a proporcionar la industria y en áreas que por nuestra evolución tecnológica y cultural dentro de la compañía y del Grupo pensamos que pueden suponer una ventaja en el sector, incluyendo el desarrollo y soporte a metodologías propias. En este ámbito disponemos, como antes he comentado, de una herramienta propia que denominamos Análisis Rápido de Riesgos, y que nos permite llevar a cabo análisis de riesgos de forma rápida, con mucha calidad y poco personal.
 |
“Estamos considerando realizar en algún momento un proceso de cumplimiento ISO-17799 para tener una opinión independiente que nos indique el grado de avance que el Plan Director de Seguridad está aportando al Grupo” |
-
Con el corazón en la mano: ¿cree que es factible enfocar la gestión de la seguridad TIC en base al modelo tradicional de análisis de riesgos, cuyo primer paso es la valoración de activos? ¿Hay otros caminos?
- Si lo que se quiere es conseguir una protección efectiva de los activos intangibles, con el volumen de cambios que se producen de forma continua en los sistemas de información y en sus debilidades, tener una valoración fina de ellos es más costoso que la propia protección. O dicho de otro modo: valorar impactos en activos tiene sentido mientras no tengas un entorno cambiante permanente. Con los volúmenes con los que estamos trabajando actualmente las grandes corporaciones, si queremos seguir el modelo clásico, es decir, el análisis de riesgos, que empieza con la valoración de activos, el esfuerzo que hay que hacer es tan grande que entras en la paradoja del “análisis permanentemente inacabado”: para cuando crees que has terminado, te han cambiado la foto, es decir, se ha modificado el sistema de información de forma significativa. No vale, pues, la foto grande, y las valoraciones de activos clásicas son eso, grandes fotografías que nacen desactualizadas y nunca están “al día” cuando necesitas utilizarlas.
Por eso en el Grupo BBVA hemos cambiado la orientación y trabajamos fundamentalmente con lo que llamamos microanálisis de riesgos o análisis de riesgos micro, y por ende, al clásico, al que se puede hacer con métodos como Cramm o Magerit, lo llamamos macro, por diferenciarlo internamente. El micro consiste en “incrustarte” dentro de los procesos de cambio de la organización en sistemas: Desarrollo, I+D+i, Técnica de sistemas, Comunicaciones. Lo fundamental es analizar cada uno de los cambios sustanciales que se van produciendo en los sistemas de información para garantizar que la evolución de los mismos no empeora la seguridad global de la instalación.
La valoración de activos no es necesaria para la toma de decisiones de seguridad en el día a día, pero sí para marcar estrategias en la distancia larga. Ahí la cosa cambia completamente y lo fundamental, al igual que hacen las Direcciones de Negocio, es marcar cual es el posicionamiento que se desea tener dentro del panorama internacional. Creo que iremos viendo aparecer nuevos enfoques, radicalmente distintos, a la gestión de riesgos, ya que los modelos actuales están obsoletos. No son capaces de recoger de manera adecuada ni la complejidad real de los sistemas de información, ni su proceso permanente de cambio, ni la aparición diaria de nuevas amenazas y vulnerabilidades.
- ¿Qué cualidades y conocimientos debe tener hoy un responsable de seguridad lógica en el sector financiero?¿En qué proporción debe combinar un perfil de tecnólogo y un perfil de gestor?
- Un director de seguridad TIC del sector financiero tiene que tener habilidades en gestión y dirección, ha de conocer bien las TIC y su utilidad –incluidas las de seguridad–, debe conocer el panorama regulatorio internacional y su implicación en la protección de la información, las tendencias internacionales en materia tanto organizativa como tecnológica, debe estar al tanto de la evolución de la tipología de los fraudes electrónicos en el panorama internacional, ya que en esto también está afectando a la globalización y, fundamentalmente, debe conocer el negocio o negocios de su organización.
- Externalización de la explotación de la seguridad TIC. ¿Qué se opina en BBVA al respecto?
– La realidad con la que nos encontramos es que tenemos que tener la capacidad de acompasar el gasto de sistemas de información con el momento de los negocios, y poder manejar adecuadamente las necesidades de fluctuación del gasto. Una estrategia para adaptarse es mantener una proporción adecuada entre el personal de plantilla y el personal externo. También es cierto que sobre una línea de costes actual, hay que ir consiguiendo unas líneas de eficiencia que permitan realizar el mismo trabajo o más trabajo y mejor con menor gasto.
Las actividades de explotación y operación de las tecnologías de seguridad no son ajenas a esto. ¿Cuál es la forma de incorporar personal externo a nuestros departamentos? Pues llegando a acuerdos con empresas que teniendo buena experiencia en la materia puedan asumir la función de explotación de las tecnologías de seguridad y participen en el proceso de eficiencia en costes; ya sabe: a la paulatina mejora de la inversión en los procesos le debe corresponder una mayor mejora en costes de explotación.
Desde el año 2002 en Europa tenemos un acuerdo en este sentido con una compañía que ha asumido “in house” la externalización de funciones de explotación y operación de las tecnologías de seguridad. Esta misma estrategia de externalización la hemos iniciado, con la misma compañía, en América.
- ¿Quién actúa en BBVA como proveedor de identidades digitales para empleados y personal subcontratado y en “insourcing”, y para clientes?
- Recursos Humanos es el departamento que inicia el proceso para el personal interno; también para el subcontratado, aunque en este caso, y dada la complejidad, lo hace con apoyo de las unidades que solicitan la contratación de los proyectos. A partir de la identidad y los atributos de cada persona, se desencadenan procesos automáticos que efectúan el perfilado funcional establecido por Organización y aprovisionan de usuarios y permisos los principales sistemas del Banco.
En lo referente a nuestros clientes, cada proceso de negocio tiene su propio sistema de provisión de usuarios. Todos estos procesos están muy automatizados y aprovechan los procesos logísticos de la entidad, entre otros los que tenemos para el envío de documentos a los clientes. Esto hace que el coste de mantenimiento de los mismos sea muy bajo.
- Autenticación por contraseñas estáticas, de un solo uso, certificados electrónicos (tarjetas o tokens)... ¿Cuál es su opinión profesional sobre la pertinencia de tal o cual mecanismo de autenticación en función del tipo de usuarios en su organización?
- Me decanto por aquellos acordes con los condicionantes de negocio y de mercado del Grupo BBVA y con los procesos de riesgo asociados a la autenticación. Tenemos proyectos interesantes relativos a este servicio de seguridad. Hoy en día le puedo indicar que hay para cada negocio y para cada comunidad de usuarios, unas medidas de autenticación prescritas. Por ejemplo, en banca privada internacional, utilizamos tokens y contraseñas dinámicas para nuestros clientes.
En el Grupo BBVA no creemos que la percepción de la seguridad deba ser un valor diferencial de negocio. Creemos que estar dentro de mercado es lo más adecuado; destacar como Institución por tener la “mejor seguridad” es un mensaje contraproducente.
“En una buena organización que cuide de su funcionamiento, los departamentos que son capaces de cambiar y abrir los routers no deben tener posibilidad de abrir o cerrar los cortafuegos” |
 |
- ¿Qué opina sobre el cuadro de mando de seguridad TIC, los indicadores, variables y las métricas? ¿Ayudan a algo en la gestión del riesgo o son pura ciencia ficción?
- Hay que ir hacia ello, aunque debe usted reconocer que tiene en estos momentos un grado de madurez muy básico. El cuadro de mando es uno de los elementos necesarios para poder gestionar un gran departamento de seguridad en una corporación multinacional, pero el enfoque que se está intentando dar en la industria no sé si es el adecuado.
En seguridad hay cuatro tipos principales de cuadros de gestión o colecciones de indicadores, y hay que estudiar con mucho detenimiento y gran detalle cómo se conjugan: uno centrado en informar acerca de cómo va tu explotación (estás teniendo muchas peticiones de cambio de reglas de cortafuegos, sí, no...; si ha habido un pico, ¿qué esta pasando?; ¿estás generando indisponibilidad en los sistemas por tecnologías de seguridad?), otro centrado en la gestión en sí del departamento: el personal, los proyectos, el presupuesto, los proveedores, las tecnologías. Un tercero centrado en ayudarte a gestionar los procesos de seguridad en el contexto del ciclo de vida de los sistemas de información (¿en cuántos sistemas distintos estás trabajando?, ¿en qué campos?, ¿están todos los campos atendidos?...). El cuarto tipo de cuadro de mando, precisamente el que se encuentra actualmente en la industria, se centra en aspectos más básicos: los ataques que tengo, de qué tipo... Es necesario, pero sus aportaciones a la gestión de un departamento de seguridad son muy limitadas.
En el Grupo BBVA tenemos una iniciativa para ir desarrollando los cuadros de mando que le he comentado, y estamos estudiando indicadores y variables de interés, como por ejemplo: ¿cuántos avisos relacionados con problemas de seguridad tiene que atender el departamento al mes? ¿Cuántos de esos avisos han necesitado un análisis para poder decir si nos afectan o no? ¿En cuántos el análisis no ha sido de blanco o negro, sino que ha habido que tener una dedicación de tiempo importante? Estamos interesados en conocer las fuentes y en estudiar los flujos que genera la carga de trabajo del departamento, algo esencial para tener buena información y poder tomar decisiones adecuadas.
- ¿Qué opinión le merecen las normas voluntarias, tipo BS7799, ISO 17799 y las UNE de Aenor?
- Nosotros empezamos a trabajar con la ISO 17799 en el año 2001, y creo que fue una decisión muy acertada. Hemos aprendido, por ejemplo, que hay amenazas, vulnerabilidades e impactos que en algunas ocasiones afectan al activo a proteger y que en otras ocasiones lo que hacen es debilitar el propio control de seguridad, y no se deben tratar de igual forma. Por ejemplo: que un departamento de seguridad no esté bien organizado y con las atribuciones suficientes en su empresa no es una amenaza para los sistemas de información de la misma, pero sí es una amenaza al control. Los efectos no van a apreciarse en el corto plazo, sino en el medio y largo plazo. Los controles propuestos por esta normativa y por otras regulaciones internacionales es importante organizarlos siguiendo alguna metodología que te permita determinar cuándo una debilidad o un evento pueden provocar un impacto directo o cuando son parte de una cadena que debe darse para que se llegue a materializar el impacto. Sin estas consideraciones es muy difícil conseguir una priorización efectiva de las acciones de mejora, ya que todas las debilidades parecen muy importantes cuando se las considera de manera aislada y tomando como única referencia la “valoración del activo” al que afectan.
También hay que decir que la BS 7799, ISO 17799, UNE 71502 son normas que ayudan a realizar el trabajo sistemáticamente y que requieren el concurso de muy buenos profesionales. Es imposible en estos momentos hacer análisis de riesgos ligados a la protección de la información sin contar con personal altamente cualificado.
- ¿Tienen previsto certificarse contra alguna norma voluntaria?
- Ya en el año 2000 se certificaron UNE-EN-ISO 9001(2000) las actividades del CPD de España, dentro del que se encuentran los departamentos de seguridad lógica.
Por otra parte, sí que estamos considerando realizar en algún momento un proceso de cumplimiento ISO 17799 para tener una opinión independiente que nos indique el grado de avance que el Plan Director de Seguridad está aportando al Grupo.
Fotografía: Jesús A. de Lucas