El concepto de ciberseguridad cada vez es más asumido como una inversión que como un gasto. Parte de culpa la tienen los numerosos ciberataques que día a día afectan a las empresas de nuestro país.

Y es que, el que una empresa sea segura, el poder comunicar al mundo que es una empresa segura, tiene un impacto directo sobre su imagen de marca, reputación y por su puesto facturación. Es por ello por lo que las empresas atienden con interés a nuevas soluciones que aparecen en el mercado como lo es Leet Security, cuyo objetivo es calificar el grado de robustez en ciberseguridad de las empresas. ¿Quieres saber más? Hablamos con Antonio Ramos, CEO de Leet Security.

CyberSecurity News (CsN): En primer lugar, ¿qué es LEET Security, cómo, dónde y cuándo nace?

Antonio Ramos (AR): LEET Security se define como una agencia de calificación de seguridad y lo que hacemos al igual que hacen las agencias de calificación de crédito, es evaluar cuánto de bueno es un servicio en función de las medidas de seguridad que tienen implementadas. Somos algo así como el Moody´s de la ciberseguridad.

Aunque Leet nace hace 8 años, podemos decir que los 4 primeros años aproximadamente fueron destinados a desarrollar la metodología, lo cual fue un esfuerzo considerable.

CsN: ¿Cómo es el proceso de calificación?

AR: Nosotros hemos innovado tanto en la metodología como también en el proceso de calificación. Esto de la auditoría de seguridad noe s algo nuevo y existen asociaciones como ISACA que lleva años haciéndolo pero nosotros nos dimos cuenta de que era algo en donde se podía mejorar mucho la eficiencia.

Respecto al proceso, en primer lugar, pedimos al cliente que sea él mismo quien en base a un cuestionario basado en esta metodología nos responda sobre la robustez de la empresa (autoevaluación). Luego cogemos nosotros ese cuestionario y vamos a su organización a su CPD y verificar que esas respuestas que nos ha dado, sean verdad.

Con esto ganamos tiempo, todo ese tiempo que en las auditorías se llama levantar evidencias, todo eso se trabaja por delante. Entonces, conseguimos que el proceso de evaluación en sí sea verdaderamente muy corto. Tenemos clientes que en dos semanas están calificados.

Y respecto a la acreditación, la objetividad de buena o mala dependerá de las necesidades del cliente. Si se trata de por ejemplo una empresa con servicios más críticos, sería recomendable obtener una A, mientras que si se trata de un servicio de pyme con poco riesgo, estaría bien una C.

CsN: Imagino que vuestra calificación, aporta valor tanto desde el punto de vista del proveedor como desde el punto de vista del usuario. ¿Nos resumen algunas de esas ventajas?

AR: El usuario si no utiliza Leet tiene que ir por la vía de hacer una evaluación de su proveedor con sus propios medios, lo que conlleva costes tanto económicos como de tiempo: Enviar cuestionario, revisar respuestas, hacer una visita in situ…etc. miENTRAS que si lo hace con leet, eso se lo ahorra ya que es el proveedor el que  corre con la inversión de calificación, siendo gratis para el inversor. Lo único que tendría que pedir sería el sello, el dictamen y ya sabe el grado de seguridad de la empresa.

Y también es eficiente para el proveedor y es que la realidad que tienen es que cada cliente está yendo con su propio método a evaluarlos. Por lo tanto, el proveedor está recibiendo decenas de formularios y métodos de evaluación. Es por ello por lo que ellos dicen claramente que obtienen un beneficio directo al tener que realizar una calificación, una sola vez.

CsN: Toda organización necesita conocer  cómo de preparados están ante la eventualidad de un ciberataque y en muchos casos contar con una herramienta que les guíe en torno a su situación actual en ciberseguridad, es de mucha ayuda. Vosotros disponéis de una herramienta de autoevaluación, verdad?

«Esta herramienta de autoevaluación se adapta a las características de cada cliente»

AR: Lo que hacemos en E-Qualify que es como se llama la herramienta, lo que hemos hecho ha sido volcar toda esa metodología que tenemos para medir tu nivel de ciberseguridad y que sea el propio cliente el que responda esas preguntas. Con eso el cliente obtiene un informe sin validar por Leet ya que han sido sus propias respuestas, pero se realizan un informe bastante detallado de tal forma que puede saber cuales son sus puntos fuertes y débiles en su estrategia de ciberseguridad. Además pueden ver qué puntos necesita mejorar para estar en el siguiente nivel.

Esta herramienta se adapta a las características de cada cliente: tipo de servicios que ofrece, sector al que pertenece, esfuerzos que haya hecho previamente en ciberseguridad…etc.

CsN: Realmente y a nivel europeo…¿no tenéis competencia?

«Tenemos competidores con métodos perfectamente complementarios al nuestro»

AR: Hemos visto empresas de rating, de calificación americanas y lo que hacen es aplicar un método que es perfectamente complementario al nuestro. Nosotros valoramos todo desde dentro y ellos lo evalúan todo desde fuera besando la evaluación en las IPs.

Entonces, dependiendo de si esas ips estén en spam, hayan sufrido vulnerabilidades..etc, su algoritmo ofrece una calificación. Entonces diría que este tipo de calificaciones están más orientadas a empresas tecnológicas. Realmente diría que es más un indicador que una calificación.

Mientras que nosotros cobramos a la empresa que quiere acreditarse, ellos pagan a los usuarios que piden el indicador de una determinada empresa.

CsN: ¿Os puede preocupar que las empresas a las que habéis calificado con una buena nota, sufran más ciberataques que otras empresas que no han obtenido el sello?

AR: Que alguien esté calificado no quiere decir que sea más seguro que otro, simplemente ha evidenciado su seguridad. Pero, si que es un  buen punto destacar que aquellas empresas que han evidenciado la PLUS, deben de tener menos probabilidad de sufrir un ciberataque que otra con una calificación´òn más baja. Y es que estas, han evidenciado tener mejores medidas preventivas y reactivas.

CsN: ¿Objetivos para el resto del año 2019?

AR: Este año queremos consolidar nuestro crecimiento en España que es donde ahora mismo somos líderes de mercado y queremos hacer ya los primero pinos fuera de España, en algunos países europeos que es donde creemos que tenemos más cercanía y esperamos consolidar ese crecimiento. También vamos a sacar una herramienta de autoevaluación más sencilla que vaya a los keypoints y que en media hora pueda hacer esa autoevaluación. Por último también esperamos que el Centro Nacional de Protección de Infraestructuras y Ciberseguridad incluya el modelo de Leet al esquema de certificación que va a sacar para operadores críticos.