Si ayer anunciábamos los finalistas al premio al «Mejor CIO» hoy hacemos lo propio con los galardones a «Mejor CISO» de los Premios Byte TI 2024 que se entregarán el próximo jueves 26 de septiembre. En la categoría de «Mejor CISO» se han presentado propuestas de alrededor de 120 candidaturas lo que muestra la importancia creciente que tiene la ciberseguridad en las organizaciones. Al igual que en el caso de los CIOs, el ganador final se dará a conocer en la misma entrega de premios y saldrá de uno de estos cinco finalistas.
Finalistas a «Mejor CISO» de los Premios Byte TI 2024
Mabel González, CISO del SERMAS
«Hemos desarrollado el proyecto para la protección de la identidad del trabajador del SERMAS, con herramientas para proteger el directorio activo, de ataques basados en identidad y vulnerabilidades de protocolos de autenticación Para ellos hemos creado instrucciones para reforzar la securización de la identidad y hemos contratado la plataforma basada en la tecnología “Falcon de CrowdStrike”, gracias a los fondos europeos de CIBERAP», asegura la finalista a los Premios Byte TI 2024, Mabel González.
“CrowdStrike Falcon Identity Threat Protection” es capaz de detectar y detener las brechas directamente relacionadas con la identidad en tiempo real en un entorno de identidad híbrido complejo, con un solo sensor y una interfaz de amenazas unificada. Con la implementación de esta solución el SERMAS ha conseguido: • Visibilidad en tiempo real respecto al estado de salud, desde el punto de vista de la seguridad, de su entorno de Directorio Activo, mostrando su nivel de exposición a amenazas y dando recomendaciones sobre líneas de mejora, mejores prácticas y evaluando el nivel de exposición al riesgo. • Funcionalidades para la detección, protección y bloqueo de intentos de ataque basados en vulnerabilidades de protocolos de autenticación. • Capacidades de análisis de comportamiento de todas las identidades de Directorio Activo, permitiendo definir niveles de riesgo en tiempo real, así como establecer políticas de detección, cambio de contraseña, bloqueo y acceso condicional a recursos corporativos.
Manuel Serrano Rubio, CISO de Grupo Atresmedia
El proyecto presentado por Manuel Serrano tiene un recorrido de varias décadas. A lo largo de los años, este apasionado de la ciberseguridad ha llevado a cabo una Definición de la estrategia de ciberseguridad del Grupo Atresmedia teniendo en cuenta el contexto en el que opera, incluyendo el entorno, el modelo de negocio, la normativa aplicable, la evolución tecnológica, la presencia de sedes remotas, la convergencia y su presencia en internet. • Definición del plan de acción con las medidas excepcionales que permitieron un refuerzo de la seguridad ante las amenazas ciertas derivadas del conflicto de Rusia y Ucrania. • Incorporación de los entornos de producción/emisión de ingeniería de televisión y radio a las funciones de ciberseguridad. • Evolución del Modelo de Seguridad Informática (MSI), adaptándolo a las mejores prácticas de seguridad de la información, dentro de un Sistema ad hoc de Gestión de la Seguridad de la Información (SGSI) que incorpora las nuevas necesidades del negocio, contexto, tecnológicas y organización requeridas por la transformación en las empresas del Grupo. • Consolidación y homogeneización de las medidas y tecnologías de seguridad aplicadas, agrupadas en tres conceptos: protección, detección y respuesta, englobando los distintos entornos: cloud, puesto de trabajo, servidores, almacenamiento y comunicaciones. • Ampliación y mejora de la seguridad en el ámbito de la protección y prevención, facilitando una alerta temprana, aprendizaje y análisis forense ante posibles incidentes que pueden poner en riesgo la información Corporativa y continuidad del negocio. • Cooperación con distintas organizaciones referentes en materia de seguridad. • Implantación de un Servicio de ciberseguridad, gestionado, vigilante, resiliente, aportando valor, y adaptado a las necesidades de Atresmedia. Esto ha permitido al Grupo de comunicación aumentar el nivel de seguridad, frente a incidentes o ataques, minimizando el impacto en el negocio.
Luis Paredes, CISO y CTO de Ingesan
Los procesos de definición, desarrollo, validación y presentación de propuestas para licitaciones son críticos para una compañía de servicios como es el caso de Ingesan. Por ello, la protección de dichos procesos y de la información confidencial y sensible de dichas propuestas, ante los riesgos en materia de ciberseguridad así como la pérdida, suplantación o fuga de datos durante estos procesos de licitación puede tener consecuencias devastadoras, desde la no adjudicación, no cobro de las facturas correspondiente al servicio prestado, hasta daños irreparables a la reputación de la marca de Ingesan. Por ello, el departamento que dirige Luis Paredes, implementó un sistema de autenticación del correo saliente y de protección de la información porque como asegura «no sólo es una medida de seguridad, sino también una inversión en la confianza y credibilidad de la organización. El proyecto de clasificación y protección de la información, que está enmarcado dentro del Plan Director de Seguridad de la Información 2023-2025 aprobado por el Comité de Dirección de Ingesan, aunque combina varias soluciones de ciberseguridad ha sido implantado exitosamente con una amplia aceptación por parte de los usuarios, y sin afectar las diferentes licitaciones en las que se trabaja diariamente en Ingesan».
Enrique Rubio Manzanares, CISO de SegurCaixa Adeslas
El CISO de SegurCaixa Adeslas, Enrique Rubio Manzanares, afirma que «llevamos ya varios años implementando proyectos y medidas de seguridad, y esto se traduce en disponer de un ecosistema o plataforma de seguridad compleja y extensa. Además, en muchos de estos proyectos no se tiene en cuenta lo que se va a hacer en el futuro o las iniciativas con las que de alguna manera van a tener que convivir. En esta situación, nos dimos cuenta que cobraba mucha importancia el revisar periódicamente qué la plataforma cubre nuestras necesidades y cumple con los requerimientos que se han ido estableciendo». Por este motivo, desde el departamento de ciberseguridad decidieron poner en marcha un Plan Táctico de Seguridad, con el fin de robustecer la plataforma de seguridad de la compañía. Con ello, la compañía, además, ha conseguido los siguientes beneficios adicionales:
– Revisión de que se mantienen las funcionalidades y que la solución o el proyecto realizado mantiene sus propiedades.
– Establecimiento de prioridades o nuevas iniciativas a ejecutar en el futuro.
– Asegurarse que los servicios que prestan terceros a la compañía se operan como se espera.
– El proyecto permite a la compañía prepararse y verificar los controles que luego se van a auditar en las certificaciones de seguridad con las que se cuenta.
– Permite asignar diferentes responsabilidades a los diferentes perfiles con los que se cuenta en el área.
En definitiva, tal y como afirma el finalista de los Premios Byte TI 2024 a «Mejor CISO», el proyecto «es una manera de consolidar lo que vamos haciendo, ya que este plan táctico, que ya ha venido para quedarse de manera permanente y periódica, es un doble check. Algunos de los puntos de mejora que hemos encontrado nos han servido para poder aplicar tecnologías de IA para resolverlos y eso ha hecho que tengamos también eficiencias económicas.”
Josep Bardalló, CISO y DPO de Recoletas Salud
El proyecto RECcybercompliance de Grupo Recoletas ha consistido en la implementación de un marco integral de gestión de cumplimiento en ciberseguridad y privacidad, optimizando la conformidad con las normativas actuales y preparándose para futuras regulaciones, ajustado al entorno actual del grupo (en una fase de gran crecimiento y con constantes adquisiciones). Esta estrategia ha permitido al Grupo Recoletas obtener certificaciones como ISO 27001 y ENS, y cumplir con la NIS2 antes de finalizar el 2024, así como prepararse para futuras legislaciones como la Cyber Resilience Act (CRA), la AI Act y el European Health Data Space. Se ha establecido un enfoque dinámico, basado en controles de seguridad de frameworks reconocidos, tales como el NIST Cybersecurity Framework (NIST CSF 2.0), ISO 27001:2022, ISO 27701, ENS, CIS Controls y Mitre ATT&CK. Este proyecto enfatiza el seguimiento, la auditoría continua y la gestión de riesgos, incluyendo la seguridad en la cadena de suministro y la recopilación eficiente de evidencias. El resultado es una estrategia flexible y escalable que permite la adaptación a nuevas regulaciones. El enfoque basado en riesgos prioriza la implementación eficiente de controles de seguridad y garantiza el “accountability” necesario para demostrar el cumplimiento y fomentar la mejora continua.
