Marian Blanque, Manager de seguridad de la información en Abertis Infraestructuras
Para comenzar, ¿podrías contarnos tu trayectoria profesional y cómo has llegado a dedicarte a la ciberseguridad?
Mi formación es técnica, estudié la Diplomatura de Estadística y Máster en Técnicas de Seguridad Informática y Ciberseguridad, ambas en la Universidad de Barcelona. Hace aproximadamente 17 años, me incorporé a un equipo de gobierno de IT enfocándome en la implantación de Sistemas de Gestión de Seguridad de la Información (SGSI), así como en el cumplimiento legal y normativo siendo miembro también del equipo del DPO de Abertis. A su vez, soy implantadora y auditora de la ISO/IEC 27701 por AENOR y así como otras certificaciones especializadas en ciberseguridad.
Generalmente, en Abertis Infraestructuras, así como muchos responsables de seguridad y CISO’s, utilizamos el término ‘seguridad de la información’ que tiene un alcance más amplio que el de ‘ciberseguridad’, ya que el objetivo es proteger la información independientemente del activo que la soporte (papel, infraestructura tradicional, cloud, móviles, etc).
Mi primer contacto en el mundo laboral con la seguridad de la información fue desde la rama de la privacidad y cumplimiento. Uno de mis primeros proyectos fue la adaptación de la LORTAD a la LOPD, hace más de 20 años. Además, casualidad también, he trabajado en la adaptación de la nueva regulación europea GDPR en Abertis Infraestructuras.
Con el tiempo, igual que ha ido evolucionando nuestra empresa, ha ido cambiando el área, y hace aproximadamente 7 años entré a formar parte del equipo de Seguridad de la Información. Actualmente, soy la Manager de Seguridad de la Información de Abertis Infraestructuras, dependiendo directamente de la Global CISO del Grupo Abertis.
Dada tu experiencia, ¿cómo ha evolucionado la seguridad de la información? ¿Cuál es el mayor reto que afrontan las empresas en este ámbito actualmente?
Esta es una pregunta muy amplia, dada mi trayectoria. Hemos pasado por diferentes etapas con una evolución constante. Antes del año 2000, el objetivo era proteger los sistemas, la infraestructura y la información que principalmente tenías alojada en un CPD físico en el que controlabas el acceso y la configuración de seguridad de los equipos que tenías bajo tu llave.
Desde el 2000 hasta el 2020, se da otro cambio importante tecnológicamente hablando. Comienza la digitalización, el mundo virtual, el Internet de las cosas (IoT) y, con ello, la sobre dependencia de proveedores terceros, principalmente por el aumento de servicios distribuidos en cloud.
Durante esos veinte años, todo evolucionó, las medidas de seguridad evolucionaron, pero también lo hicieron los tipos de ataques y ciberamenazas. Los ransomware, por ejemplo, crecieron de forma exponencial desde el año 2000. No hay más que acordarse del impacto que tuvo el ramsonware Wanacry, en el año 2017. A su vez, en paralelo, se publicó la Normativa Europea de privacidad, GDPR, por la cual tuvimos que realizar y adaptar muchos procesos enfocados a la protección de la privacidad y de los datos personales.
La pandemia, en el 2020, marcó un punto de inflexión importante. Las empresas que no habían comenzado la digitalización en los años anteriores tuvieron que adaptarse de manera inmediata, suponiendo un cambio de la forma de trabajar y acceder a la información. Todo ello, nos llevó a tener que analizar de nuevo los riesgos de seguridad del teletrabajo, el uso obligado de servicios cloud o el acceso desde dispositivos más o menos confiables, etc.
Pero si creemos que esta época fue difícil, el mayor reto, sin lugar a duda, de las empresas empieza ahora. El gran tsunami tecnológico llega con la Inteligencia Artificial Generativa y ya en muchos foros, se habla y se debate sobre si estamos ante un cambio similar a la llegada de la industrialización.
