Tenemos la oportunidad de charlar con Carlos Rodríguez, cofundador y CTO de Goin, una aplicación de servicio financiero, que permite administrar e invertir el dinero con una mayor facilidad

Cyber Security News (CSN): Para empezar, cuéntanos un poco sobre usted, ¿quién es Carlos Rodríguez?

Carlos Rodríguez (CR): Soy el CTO y cofundador de Goin junto con David Riudor. En este punto me encargo de la parte de tecnología de la aplicación y con especial énfasis en la parte de la infraestructura y sobre todo en la seguridad de la aplicación y de generar la ciberseguridad. 

Estudié telecomunicaciones, que me ayudó bastante a aclarar la cabeza y las ideas, pero no me he graduado, porque empecé la universidad y en segundo año de carrera empezamos con el proyecto de Goin.

CSN: Tiene un grado en ingeniería de tecnologías y servicios de telecomunicación, ¿pero en qué momento se empezó a interesar por la ciberseguridad?

CR: Tanto en la ciberseguridad como en la tecnología en general fue desde pequeño, desde el momento en que mis padres instalaron un módem de los que hacían ruido en casa, que cuando te conectabas a Internet dejabas de recibir las llamadas al teléfono. 

Empecé a hacer páginas web al principio, y a partir de ahí desde la parte más frontend me fui acercando al backend, y a día de hoy en Goin la parte principal de mi trabajo es la seguridad y la infraestructura en general. Y hacia allí he encaminado mi carrera.

Durante la entrevista también hablamos sobre lo que ha traído consigo la pandemia:

CSN: Como bien sabemos, desde la aparición de la Covid-19 los ciberataques han aumentado en el último año, junto a la implantación del trabajo remoto. De hecho, en España ha habido 218.000 ciberataques registrados por el Centro de Ciberseguridad Nacional. Esto fue debido a que la mayoría de las empresas claramente no estaban preparadas para un teletrabajo masivo. ¿Cree que a día de hoy, un año después de que se inicie esta situación, lo están?

CR: Creo que en ese aspecto tenemos empresas de todos los colores.  Hablando por mi sector y la parte de las startups, somos empresas que nacemos con esto en mente, donde el teletrabajo, implantado a tiempo completo de forma repentina si nos sorprendió un poco, pero estábamos acostumbrados a de forma parcial hacerlo de esta manera. 

El trabajo en remoto ya sea parcial o a tiempo completo, de una forma o de otra, ya lo estábamos haciendo. Entonces, sí podemos decir que no fue un choque muy grande, pero evidentemente para muchas empresas sí que lo ha sido y han tenido que esforzarse para adaptarse a ello.

CSN: ¿Cuáles son las herramientas y medidas más comunes que las compañías han implementado ante esta situación?

CR: El hecho de tener que hacer las reuniones por videoconferencia, ha sido un cambio bastante grande. Nosotros, por ejemplo, trabajábamos con dispositivos propios, cuando se trataba de hacerlo desde casa, y a raíz de la pandemia pasamos a trabajar con dispositivos gestionados por la empresa. Debido a que dentro de la compañía puedes tener un entorno y una red de seguridad más grande. Donde tienes controlado como se hacen las cosas y los permisos a nivel de red. Y a la hora de implementar el teletrabajo hay un cambio donde cada uno tendrá la seguridad que tenga y los dispositivos que tenga. Por este motivo facilitamos los dispositivos por parte de la empresa para así conseguir una mayor ciberseguridad.

CSN: Las amenazas más frecuentes a los que se han enfrentado las pequeñas y medianas empresas en Europa son los ataques basados en web y los ataques de “phishing”, sufrido por cuatro de cada diez (41%) empresas. Podríamos decir que las pymes se han convertido en el objetivo principal de los ciberdelincuentes con la llegada de la pandemia. ¿Por qué motivo diría que aparece este interés por las Pymes por parte de los piratas informáticos?

CR: Entiendo que cuando pensamos en una gran empresa con los múltiples departamentos que contiene, uno de ellos es el departamento de seguridad informática, en el cual te dan un equipo encargándose principalmente de que esto no ocurra. 

En el momento en que se hace este salto al teletrabajo, y entendiendo cuál es la situación de las empresas, que al final tienen que seguir siendo productivas y no pueden detener sus operativas diarias para poder establecer ciertos procesos. Al final son un punto donde se ha podido atacar de forma más sencilla, ya que al no tener establecidos estos procesos y tener que pasar al teletrabajo de manera tan rápida, son blancos fáciles a la hora de agujeros de seguridad que normalmente son más conocidos por estos ciberdelincuentes. Ya que son fallos de seguridad de sistemas poco actualizados, infraestructuras legacy, cosas que se adaptan para la seguridad pero no se crea acceso seguro de las redes privadas de las empresas, y al final son un blanco más fácil.

CSN: ¿Y centrándonos en el sector financiero, también ha sido así, las Pymes se han visto en una mayor posición de vulnerabilidad?

CR: Depende de cada una de las empresas, porque a nivel de regulación no existe una regulación clara con estándares marcados, pero es dependiendo de cada una de las compañías de los estándares internos y como se establezcan estos protocolos. A nivel fintech estos estándares son más altos y no ha habido un excesivo problema, pero nada generalizado que se pueda atribuir al sector.

CSN: Esta problemática crea inseguridad en la población, la misma población que hace un uso de la tecnología constante. A parte de derivar en una preocupación por la protección de sus datos o el cumplimiento de las condiciones de las aplicaciones. ¿Cómo afecta esta inseguridad de cara a las amenazas y vulnerabilidades cibernéticas?

CR: Entendiendo que en España el mundo fintech no es algo que esté establecido, sino que aún queda mucho trabajo por hacer. Y le sumamos el problema de nuestro país con cierta inseguridad y desconfianza del sector en general por ciertas acciones de los bancos. Esto provoca que ganarse la confianza de los usuarios sea vital. 

El tema de cómo funcione a nivel de infraestructura, como funciona la app y que no de problemas es esencial para los clientes. Y es algo que demanda mucho trabajo. Como empresa es uno de los valores que tenemos, y de las cosas en las que centramos más esfuerzos. Todos los procesos que hacemos de cara al usuario intentamos que sean lo más simples y entendibles posibles, para que el cliente pueda sentir que es él el que tiene el control total de su dinero.

CSN: Carlos, es considerado uno de los mejores programadores de Europa, ¿Puede explicarnos cómo se tratan los datos de los usuarios, cómo se lleva a cabo el cumplimiento de las normativas, y cómo funciona la seguridad en aplicaciones móviles?

CR: Esto es algo que ha cambiado mucho en los últimos años. Por ejemplo, hace ya mucho tiempo en España teníamos la LOPD, la antigua regulación de la protección de datos, que era una de las más restrictivas de Europa. Y ahora, hace ya 3 años, se estableció la GDPR, la ley europea de protección de datos, a la que recordemos en 2018 alrededor de abril todas las empresas tenían que pedir consentimiento para la gestión de los datos y pretende que es un usuario no quería recibir comunicaciones de una empresa tenía que decirlo explícitamente. Y lo que sucedió fue que todas las empresas pidieron ese consentimiento a la vez, y se recibió mucha más comunicaciones por parte de las empresas.

En el caso de Goin, ya montamos toda la aplicación teniendo en cuenta este marco regulatorio, y ya toda la parte de los datos de usuario, a parte de tenerlos encriptados y seguros, contamos con el planteamiento de los mecanismos para poder eliminar estos datos de manera efectivsa de cara al cumplimento de la GDPR.

CSN: Y por último, ¿cómo podemos protegernos de posibles ciberataques?

CR: Tener una configuración a nivel doméstico del wifi con una cierta seguridad es relativamente sencillo. La mayoría de los ataques vienen por páginas de phishing y ransomware, ataques que buscan el engaño a los usuarios.

En este caso, lo fundamental es poder aprender a usar las tecnologías y el Internet. Algo que parece muy intuitivo pero también es muy fácil cometer fallos de seguridad. Las estrategias de phishing son cada vez más complejas, y debemos contar con sentido común y mucho cuidado con nuestros datos más personales.