Entrevista a Francisco Bonatti, fundador de Bonatti Compliance

Entrevista a Francisco Bonatti, fundador de Bonatti Compliance en la que ahondamos en los problemas que existen actualmente en ciberseguridad

Entrevista a Francisco Bonatti fundador de Bonatti ComplianceCSN: CyberSecurity News ha tenido la oportunidad de realizar una entrevista a Francisco Bonatti, presidente de Bonatti Compliance. Sr. Bonatti, buenos días y gracias por concedernos un poco de su tiempo.  ¿Podemos empezar preguntándole un poco su labor en la compañía y a qué se dedican exactamente? Entrevista a Francisco Bonatti fundador de Bonatti Compliance

Francisco Bonatti: Muy buenos días, es un placer estar con vosotros en esta entrevista. Soy llamo Francisco Bonatti y soy socio Fundador y CEO de Bonatti Compliance. Básicamente, somos una marca que mantiene tres áreas de actividad. En primer lugar, una firma de abogados penalistas especializados en Derecho Penal Económico y Delitos Corporativos. Además, una consultora de Compliance y, por último, una Entidad de Inspección de sistemas de prevención del blanqueo de capitales acreditada por ENAC. En todas estas actividades, la tecnología es muy importante. Hace años que trabajamos en un entorno fundamentalmente digital y On Line. Además prestamos servicios a las organizaciones en temas donde el impacto de la tecnología es muy relevante.

CSN: La pandemia no es el único problema al que deben enfrentarse las empresas, pues con ella ha llegado un súbito aumento de los ciberataques. En España, ¿hemos pecado de inocentes y obviado un aspecto tan importante como la ciberseguridad?

Preocupación por la ciberseguridad

Francisco Bonatti: La preocupación por la ciberseguridad de cada sujeto está directamente vinculada a su grado de implicación e interacción con el mundo de la tecnología digital. Antes de la pandemia en España teníamos un grupo organizaciones que apostaban fuerte por el negocio digital en sectores como startup, videojuegos, Fintech, etc. También grandes corporaciones que tenían sus líneas de desarrollo en materia de webmarket, atención al cliente, cloud, etc. Por último, una gran mayoría de pyme que mostraban una aproximación a la trasformación digital muy limitada, fragmentaria, impuesta por las circunstancias y escasa de recursos.

Es evidente que este tercer grupo, al verse confinado y tener que operar a través de mercados digitales, plataformas On Line y teleconferencias, se convierte en una víctima perfecta para los ciberdelincuentes, pero no los calificaría de inocentes, más bien diría que no podían hacer más, dadas las circunstancias.

El paso obligado a la digitalización

CSN: Ahora que la situación ha dado un giro radical, sobre todo tras el obligado paso a la digitalización, ¿cree usted que vamos por el camino correcto para que el concepto ciberseguridad sea aceptado por más y más empresas?

Francisco Bonatti: Todavía falta tiempo para ver cual es la tendencia de futuro. Creo que estamos todavía mas cerca de como estábamos en marzo de 2020 que de como seria deseable estar. Aunque es evidente que se hacen esfuerzos mayores en todas las organizaciones, seguimos siendo un país de micro pymes y de empresarios individuales y ahí faltan recursos y tiempo para implementar mejores medidas de seguridad.

CSN: El proceso de digitalización es un paso que muchas empresas han tenido que dar para sobrevivir a la situación sanitaria actual. Algunas, seguramente, sean conscientes de los riesgos que ello entraña. Otras, muy posiblemente, no. ¿Qué recomendaría a una empresa (PYME por ejemplo) que no conoce el mundo online y sus peligros? Entrevista a Francisco Bonatti fundador de Bonatti Compliance.

Francisco Bonatti: Yo recomiendo cuatro claves que todas las empresa deberían seguir, y son muy sencillos. Paso a enumerarlos.

  1. Asesoramiento tecnológico para comprender qué necesita y qué riesgos le comporta.
  2. Soluciones estandarizadas y ampliamente testadas para comenzar.
  3. Seguro de ciberriesgos.
  4. Formación y concienciación de los empleados.

La llegada, implementación y aceptación del teletrabajo

CSN: Otro cambio laboral ha sido el Teletrabajo. Los trabajadores han tenido que dejar su puesto y trabajar desde casa por culpa del COVID-19. ¿Cree que esto ha favorecido el auge de la ciberdelincuencia? ¿Tenemos el mismo sentido de ciberseguridad trabajando desde casa o somos, por así decirlo, más descuidados y no prestamos atención a los peligros?

Francisco Bonatti: En primer lugar, por una mera cuestión estadística: hay millones más de víctimas en la red a causa del confinamiento y del teletrabajo. En segundo lugar, por una cuestión de sesgos y conductas. Muchas personas que se vieron obligadas a usar las tecnologías de telepresencia no las conocían, ni las sabían usar. No comprenden qué son realmente, y actúan como si estuvieran interactuando en persona o en una llamada de teléfono. En tercer lugar, el entorno nos puede relajar o bien el riesgo proviene de otros integrantes de la familia que nos colocan en el riesgo con sus comportamientos o uso de los medios tecnológicos. Por último, trabajando en su puesto, muchos empleados no generaban las situaciones de riesgo que generan desde casa; en el puesto trabajo su actividad no era digital sino presencial

CSN: Hablando de peligros… Los ciberataques son cada vez más numerosos y graves. ¿Qué estamos haciendo mal para que tengan tanto efecto y causen serios perjuicios como los vistos del SEPE, Kaseya, Colonial Pipeline…?

Francisco Bonatti: No se trata tanto de que estamos haciendo mal, como del hecho que el negocio de la ciberdelincuencia es mucho más rentable y mucho más factible. De modo que con menos inversión se obtiene más retorno y al final los cibercriminales se pueden volver más atrevidos y fijar objetivos cada vez más ambiciosos; es un negocio criminal al alza en un sector (el tecnológico) que no deja de crecer.

Los ciber-peligros que más atención merecen

CSN: En su opinión, ¿Cuáles son los ciber-peligros a los que más atención debemos prestar y qué debemos hacer si, por un casual, somos víctimas de ellos?

Francisco Bonatti: Al igual que antes, paso a numerarlos y a desarrollarlos.

  1. Phishing. En 2020 se ha multiplicado el volumen y la complejidad de los ataques de phishing para distribuir botnets y malware de todo tipo, robar credenciales o acceder a las cámaras y micrófonos de los equipos. Las técnicas se han sofisticado, aprovechando fenómenos coyunturales como el incremento de los correos electrónicos durante la pandemia o saltándose los mecanismos de protección a través de nuevos canales de phishing como son el SMS (Smishing) o el uso de PDF infectados que, inconscientemente, relacionamos con una actividad empresarial. Junto con las medidas de ciberseguridad mas adecuadas, nuevamente Compliance debe aportar procesos y procedimientos de conducta adecuados y acciones de formación y concienciación dinámicas, que se adapten a un entorno de riesgo que cambia a gran velocidad.
  2. Ramsomware. El secuestro de información mediante malware que encripta el contenido de unidades, discos duros y servidores se ha convertido en uno de los riesgos estrella. La mejora de los algoritmos de encriptación y el recurso a los criptoactivos como medio de pago que evita el rastreo posterior son alicientes adicionales para los cibercriminales. Es imprescindible disponer de procedimientos para la creación de copias de seguridad y procesos y recursos de continuidad de negocio en caso de ataque de ramsonware. Si la empresa no queda cautiva en el ataque se puede afrontar con todas las posibilidades de éxito.
  3. Estafas informáticas y estafas del CEO. La suplantación de la identidad de los directivos para engañar a los empleados que tienen las claves y códigos para realizar transferencias bancarias se ha incrementado exponencialmente con la pandemia. Al igual que en el Phishing, un factor clave es la formación y la concienciación de todos los integrantes de la organización dado que en este tipo de ataques es imprescindible la ingeniería social.
  4. Ataques a servidores y bases de datos. Los delincuentes explotan brechas de seguridad para acceder a los servidores y sustraer los datos que contienen. Como todos sabemos, los datos son el petróleo del S.XXI y es uno de los grandes tesoros que poseemos en nuestras empresas. Debemos establecer un paquete suficiente de medidas de protección (firewall, antivirus, etc) reforzado desde Compliance con procesos y procedimientos de trabajo adecuados y acciones de formación y concienciación.
  5. Ataques Botnet. Nuestros equipos y servidores de empresa son convertidos en zombies a través de Botnets que gestionan los Ciber criminales para evitar ser rastreados, eludir las listas de SPAM o para realizar transferencias económicas ilícitas, envíos masivos de correos o ataques DDoS.
  6. Sustracción de las credenciales. El acceso a las credenciales y contraseñas de nuestros empleados y directivos facilita a los cibercriminales un amplio abanico de delitos a costa de nuestra empresa: desde el acceso a los fondos depositados en las cuentas bancarias hasta el robo de secretos de empresa, el acceso a la intimidad de los empleados y directivos, a las cámaras de seguridad o la sustracción de bases de datos.

¿Existe falta de concienciación en ciberseguridad?

CSN: Hace poco vimos un caso que, en mi opinión, fue estrambótico. Una cárcel de máxima seguridad iraní fue ciberatacada y hackearon los sistemas de seguridad. Los empleados se quedaron mirando como si no pasara nada, algunos de ellos incluso grabando la situación. Seguramente este caso se repita día tras día en muchas empresas. ¿Es una falta clara de formación ciber o simplemente ser presa de los nervios por la situación en ciernes?

Francisco Bonatti: En las denominadas estructuras críticas, la formación del personal es imprescindible y se encuadra dentro de los planes de seguridad nacional de cada país, junto con todo un complejo sistema de medidas y planes de respuesta. Este tipo de comportamientos son inadmisibles y demuestran una falta de previsión que pude comportar consecuencias catastróficas. Los Estados no pueden permitirse este tipo de negligencias.

CSN: Amenazas hay de todo tipo en la actualidad pero, ¿Cuáles son, en su opinión, las que más afectan actualmente a las empresas? ¿Qué deben hacer para minimizar el impacto que podrían causar?

Francisco Bonatti: Lo primero es mapear los riesgos y establecer objetivos de ciberseguridad adecuados e integrados en la estrategia de transformación digital de la compañía. en segundo lugar yo apostaría por trabajar la Formación y la concienciación para evitar riesgos como la Ingeniería social o el Phising. Tercero sería invertir en recursos técnicos para identificar y subsanar las debilidades internas. En cuarto lugar evitaría el uso de equipos personales y asegurar medidas eficaces en el teletrabajo desde el hogar. Por último, pero no peor, asegurar el riesgo mediante la contratación de pólizas consistentes y adecuadas al nivel de riesgo y sus potenciales consecuencias.

Entrevista a Francisco Bonatti, fundador de Bonatti Compliance

CSN: Llegamos al final de la entrevista, y no hay mejor forma de hacerlo que, primero, dar las gracias a Francisco Bonatti por el tiempo que nos ha concedido. Antes de cerrar, nos gustaría pedirle una reflexión sobre la situación actual de la ciberseguridad-ciberdelincuencia. Entrevista a Francisco Bonatti fundador de Bonatti Compliance.

Francisco Bonatti: Estamos en una etapa de transformación digital masiva que comporta grandes oportunidades y grandes riesgos. En este sentido, los usuarios muchas veces nos desenvolvemos en entornos donde estamos solos frente a los ataques.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

TE PUEDE GUSTAR

RECIBE LA NEWSLETTER

*Email: *Nombre apellidos: *Empresa: Cargo: Sector:

 
Please don't insert text in the box below!

ARTÍCULOS MÁS RECIENTES

ESCUCHA NUESTRO PODCAST

SÍGUENOS EN RRSS

MÁS COMENTADOS

Scroll al inicio