Bueno, antes de nada, buenas tardes a todos los que estáis aquí
y a los que estáis en streaming.
Agradecer a UNED y a INCIBE por este evento
que habéis realizado.
También a Francisco, que me lió para este ecosistema de formación.
Y, bueno, mi nombre es Héctor García,
soy CEO de Colazca España.
Somos una asociación empresarial y académica con sede en Colombia.
La matriz está en Colombia.
Yo soy responsable de la zona Schengen,
aquí de.
De España.
Y, bueno, cuando me llamó Francisco para comentarme que diese mi punto
de vista, yo le comenté que cuando he ido a conferencias
o este tipo de ecosistemas de debate de Zero Trust,
todo el mundo ha hablado de factores técnicos.
Y yo le dije a Francisco,
voy a hablar un poco de los factores no técnicos
relacionados con la problemática de implantar Zero Trust
en las empresas.
Ya hemos hablado de no confianza, hemos hablado
de la microsegmentación para evitar movimientos laterales y verticales,
hemos hablado también de la monitorización importante
que es necesario,
pero también estamos detectando dentro de mi ámbito académico
y empresarial.
Que factores como que la directiva no implemente dentro de su política
de seguridad la metodología o la concienciación,
como muy bien ha dicho Carlos, de cero trust,
que no la comunique con respecto a las otras empresas,
a sus otras filiales, El cansancio de los trabajadores,
que hace que genere Sadoite,
o sea, que ingresen un pendrive externo
con software que no está controlado,
y sobre todo la falta de comunicación,
el ver el cero trash como un impedimento antes
que un seguimiento.
También nos llama la atención que las empresas nos dicen, Héctor,
tenemos grandes profesionales con buenos conocimientos técnicos,
pero nos falta concienciación en ciberseguridad.
Como han comentado antes los anteriores ponentes,
es muy importante el factor humano.
Hemos pasado de potenciar el factor técnico, conocer mucho,
tener muchos conocimientos, que es muy importante,
Y nos ha faltado el factor no técnico,
el factor humano.
Detectamos, y con esto ya dejo este debate
abierto para el resto de los ponentes,
detectamos que hay mucha formación técnica,
pero no en muchas formaciones técnicas hay módulos importantes
con peso específico
relacionado con la concienciación en ciberseguridad.
En tanto en cuanto que desde el CEO,
Hasta el administrativo de cualquier empresa puede abrir,
como hemos comentado antes, un phishing,
hacer clic en cualquier correo malicioso,
cualquier enlace y tener esa problemática.
Teniendo en cuenta que la IA va a colonizar todos los aspectos
de la empresa, la cadena de suministro,
cadena de valores, departamento económico,
departamento empresarial, departamento de la ciberseguridad.
Se está viendo que a nivel académico
se está yendo gente de carreras de ciberseguridad a la IA
cuando tanto IA como ciberseguridad tienen
que ser complementarias.
A día de hoy ni la IA va a hacer lo que hace la ciberseguridad
ni la ciberseguridad por ahora va a hacer lo que va a hacer la IA.
Bueno, pues primero hago una pequeña presentación
sobre mí mismo.
Soy Fabio Tan, que obviamente es un nombre adoptado.
Mi nombre en chino es Ling Long.
Yo vengo de filología hispánica y por eso estoy en España.
Llevo ya más de 20 años en España.
En este momento estamos lanzando una iniciativa que se llama
China Cluster Spain.
Yo soy el fundador también del China Club Spain,
que lo creé junto con Margaret Chen,
que fue la representante del grupo Telefónica en China.
Y es el que facilitó esa gran operación
de la adquisición mutua del 20% de las acciones
entre el Grupo Telefónica y el China Unicom
en su momento.
Bueno, nos surgió esa idea de crear el China Cluster Spain,
sobre todo teniendo en cuenta.
Las necesidades de profundizar en los diferentes sectores verticales,
como la nueva energía o la inteligencia artificial.
Y creemos que es una necesidad, casi.
Es obligatorio esta iniciativa para estos momentos que estamos viviendo.
Pues bueno, esperamos que.
Vale, vale.
Me parece que vamos a dar paso a Alberto Palomar.
Te comento un poco las reglas que he marcado.
Disculpas, vengo de Arturo Soria y Cruzar Madrid.
Hoy y a estas horas me ha costado mucho más de lo previsto.
Bueno, yo creo que el reto.
Sobre todo si nos situamos en temas de seguridad
y en temas de exigencias a las empresas
y a las multinacionales.
Bueno, primero hablo de las empresas un minuto
y luego hablo de las multinacionales.
A las empresas yo creo
que la primera característica que tenemos que tener en cuenta
es que les estamos desplazando.
Un conjunto de cuestiones que, por decirlo de alguna forma,
no formaban parte de su acervo, quiero decir.
En materia de ciberseguridad, por poner un ejemplo,
nosotros ahora no decimos que yo soy capaz de neutralizar una actuación,
sino que tú tienes que ser capaz de demostrarme que no contaminas.
Por tanto, hay un cambio de paradigma.
Ese cambio de paradigma.
Lo hemos rodeado de requisitos, lo hemos rodeado de certificaciones,
lo hemos rodeado de un conjunto de cosas que no sé en estos momentos
si tienen una coherencia absoluta desde el punto de vista
de dónde empiezan y dónde acaban.
Ese es un primer problema.
Si lo proyectamos sobre las multinacionales,
bueno, las multinacionales son un poco más complejas
porque al final lo que estamos discutiendo
es si tienen o no centro de trabajo,
si el centro de trabajo marca o no la actividad
y si teniendo o no centro de trabajo se puede producir
la exigencia de cuestión.
Yo pongo un ejemplo, ¿no?
Mexicanos que tienen una concesión en Alicante.
Y claro, su gran problema ahora es que le están pidiendo,
no a ellos que son los contratistas principales,
sino a los suministradores de los contratistas.
Le están pidiendo el esquema nacional de seguridad.
Lo cual es un paradigma muy complicado
porque si yo tengo que aportar lo que tú no has aportado,
Es decir, a ti, contratista principal,
no te lo piden y tú lo tienes que pedir a terceros.
Entonces, claro, los terceros,
inmediatamente lo primero que se plantean es,
pero mis suministradores son mexicanos.
Pero operar en España con una matriz.
Entonces, bueno, esto se resuelve diciendo,
pues aquí todo el mundo trae todo y no pasa nada.
Pero es cierto que yo creo que al conjunto de la reglamentación
le estamos echando encima un conjunto de obligaciones
que se traducen en certificados, auditorías, etcétera, etcétera,
que son muy razonables,
pero a los que deberíamos ponerle algo de racionalidad.
Y la racionalidad empieza por saber exactamente
cuál es el bien jurídico protegido,
qué estamos protegiendo, quién y para qué.
Y yo creo que eso en estos momentos
no queda en absoluto claro.
Pongo tres ejemplos y ya no intervengo más,
o me callo ya.
Una aplicación simultánea de DORA, NIS, Esquema Nacional de Seguridad,
Esquema Europeo de Seguridad y la transposición
de la Directiva de Diligencia de Vida y Derechos Humanos,
a muchas empresas españolas las dejan en una situación muy complicada,
porque, por ejemplo, la de derechos humanos
te va a cortar toda Asia, te va a cortar gran parte de India,
seguramente, te va a cortar,
es decir, ¿cómo vas tú a conseguir que un suministrador de Japón,
o bueno, Japón es muy sensato, pero vamos,
de China o de no sé qué, te prometan que han cumplido
con la seguridad social y con los Y claro, eso está ahí.
Y casualmente, nosotros vamos como siempre con mucha lentitud
en la transposición y no vamos a llegar rápido,
pero casualmente a la que le pillas son a las grandes.
Si las grandes además de hacer eso, hacen actividad financiera,
están en el Dora.
Si además de eso, hacen actividad tal,
están en el NIS.
Y entonces al final te dices, madre mía,
si esto no podríamos haber pensado que tuviera alguna coherencia.
Lo cual no digo que no hagamos girar.
Yo en otro día, con algunos de los aquí presentes,
decía que a esto lo que le falta es lo que en el mundo académico
llamamos la convalidación de estudios.
Que haya alguien que vaya diciendo a qué equivale no sé
qué y te lo vayan ocurriendo.
Porque el resto, yo lo que noto,
desde el punto de vista estrictamente jurídico,
es que se está produciendo un poco el que cada uno va a lo suyo.
El de la diligencia de vida va a lo suyo.
El de Dora va a lo suyo.
Y, bueno, el problema es que el usuario
es una empresa que a lo mejor hace esas tres cosas
y se encuentra con todo ello.
Será un poco la reflexión inicial, que no sé si me he pasado de tiempo.
Se lo admitimos, no te preocupes.
No sé si todavía tenemos ese tema.
Lo que sí os quería plantear, un poco para empezar la charla,
ya que vamos a comer Ibergués por multinacionales,
es saber cuáles son esos.
Ciberriesgos específicos que tienen las multinacionales,
que no tienen otras empresas de ámbito nacional,
incluso local, que bueno,
si son tan diferentes esos ciberriesgos
y cómo se pueden enfrentar esas empresas a ese fenómeno.
Bien, desde el punto de vista de mi experiencia de la zona LATAM,
como te comentaba antes Óscar, zona LATAM y zona Sengen,
va a depender mucho del ámbito de actuación de la empresa.
Básicamente, los problemas que puede tener una pequeña pyme extrapolados
a las grandes multinacionales,
sobre todo va a tener el ámbito de la actividad empresarial
que va a tener.
¿Qué es lo que estamos detectando?
Estamos detectando que a la hora
de actuar las multinacionales dentro de su ámbito de actuación,
como muy bien ha dicho Alberto,
se va a tener que amoldar a las situaciones correspondientes
al lugar de localización de ese tipo de actuación.
A nivel de Zero Trust, volviendo a lo que es la base
y lo que es la seguridad que se ha implementado desde 2019,
ya lo hemos estado comentando,
partiendo de que la inteligencia artificial va a estar colonizando,
como he comentado antes,
todos los aspectos de lo que es la empresa,
va a ser muy necesario el tema de la gobernanza
y el control humano.
Eso a día de hoy.
Preveemos que entre 2026 y 2028, prácticamente solo dos años,
y pongo otra variable, la tecnología cuántica
va a favorecer que este tipo de acciones de computación,
de cálculos, que ahora lo tenemos un poco como limitado,
va a ser exponencialmente.
Entonces, ese hecho de que vaya a ser ese salto,
y he comentado solo dos años,
las previsiones que se tienen son un poco futuribles,
va a tener que ser que el riesgo, los ciberriesgos,
junto con la inteligencia artificial de las multinacionales,
va a tener que posicionarse en determinados
perfiles técnicos que a día de hoy todavía,
con respecto a la tecnología cuántica, no están accesibles.
Bien, nos llega ya una pregunta a internet,
va a ir a ti, Fabio.
Nos pregunta si las multinacionales,
Javier, nos pregunta si las multinacionales chinas
se sienten seguras ante los ciberataques.
Bueno, la verdad
es que yo vengo para presentar nuestra iniciativa de China Cluster
y la verdad es que no desconozco este sector de ciberseguridad.
Bueno, de todas formas, desde tu experiencia,
más frecuentes a la gestión de los ciberriesgos
a nivel corporativo global.
Bueno, pues pasamos a la siguiente pregunta.
Esto va para ti.
Maribel nos pregunta yo no sé si esto se hace publicidad inmediata o no,
pero ¿qué multinacional considera más preparada para los ciberataques?
Pues ahora mismo, ahora mismo.
Como han comentado antes los anteponentes,
al 100% seguridad, ninguna multinacional está exenta
de que pueda ser ciberatacada.
Desde la más alta.
Hasta la más baja.
No te podría decir un nombre, no podría decir a Maribel
un nombre concretamente.
Sí que es verdad que, lógicamente, como ha comentado antes Francisco,
el tema económico es fundamental.
Nos guste o no nos guste, más dinero,
más se puede formar, más técnicos,
más equipos de control.
Pero a día de hoy no están en iguales condiciones,
pero ninguna multinacional está exenta
de poder recibir un ciberataque.
Por ejemplo.
Luego contaré una anécdota, o la cuento ya,
la anécdota del ejemplo.
Hace unos años, cuando yo era joven, no tenía canas,
fuimos de visita al Pentágono, que había unas fiestas
como de visita, a lo mejor de 15 o 25 años,
y fuimos al Pentágono de visita a la zona que dejaban
a través de una empresa aquí de España,
Y resulta que yo veía mucha gente paseando con la típica carpeta
esta negra con el logotipo de Estados Unidos por los pasillos,
que lógicamente la zona acotada que podíamos ir a ver.
Y claro, preguntando, preguntando, en aquella época,
ya hablamos hace 15, ya os digo, 15-25 años,
decían que las comunicaciones sensibles.
No se mandaban vía e-mail,
sino iba una persona con un documento físico
y recorría los kilómetros que tiene él.
Si eso lo extrapolamos a día de hoy, hablando de la ciberseguridad
y de que nada es seguro, ya no sé cómo estarán ahora,
pero hace X años las comunicaciones sensibles
dentro de lo que es el Pentágono se trasladaban
y se hacían con carpeta en mano y iban yendo y viniendo.
A colación de que ninguna entidad, incluso en Pentágono,
como dice Francisco, es segura.
Me gustaría también saber cómo influye
la dispersión geográfica, normativa y cultural
de las multinacionales, que están, lógicamente,
como su propio nombre indica, sentadas en diferentes estados,
en la gestión y el control y la respuesta que se puede dar
al riesgo ciudadánico.
Bueno, yo creo que en estos momentos eso no está nada claro.
Creo que está en absoluto claro.
Y por eso decía antes que el primer efecto,
luego se recompondrá, pero el primer efecto es la adición.
Es decir, yo creo que aquí cada uno va a decir,
yo opero así.
Si tú eres una multinacional mexicana,
tengas o no tengas sede en España, en España
cumples los requisitos de España.
Si tienes sede porque tienes sede
y si no tienes sede porque operas y yo creo que por ahí
va a venir el requisito yo creo que luego habrá un momento
segundo de madurez.
En el que por lo menos los europeos se reconduzcan
en favor de algunas normas comunes yo creo que el esquema europeo
acabará borrando a los esquemas nacionales
y por tanto al menos tendremos veintitantos en un mismo sentido
pero de momento yo creo que no se puede decir otra cosa más
que sumar allí donde vayas a trabajar donde vayas a tener actividad.
Quería incidir un poco en este tema,
tú, lógicamente, por tu problema de conocimiento jurídico.
Evidentemente, la derogación europea es más avanzada o restringida
que la de Estados Unidos o varios otros países.
A ver, yo es que creo que hacemos normas instrumentales,
porque estas normas son perfectas, porque no te definen los riesgos,
sino que te dejan a ti definirlos.
Y por tanto, a partir de aquí, no hay que ser más avanzado
o menos avanzado.
Son instrumentos para que una vez que has definido
los riesgos, yo soy capaz de poner determinados elementos.
Entonces, no es fácil decir a priori qué es más laxo o qué es más duro.
¿Por qué?
Porque.
El laxo
o el duro lo pone la evaluación de riesgos que tú hagas.
Si tú haces una evaluación de riesgos más apretada,
pues la norma se convierte en más apretada.
Si tú, por el contrario, bajas el tono
y te dejan los esquemas, las certificaciones, etc.,
te dejan tener un menor nivel,
yo creo que no será un problema, no es un problema de duro o blando,
yo creo que es un problema de que el riesgo
es algo que no está identificado.
Yo creo que el gran problema es que lo que es difícil
es hacer un catálogo de riesgos.
Y desde luego, si ahora tenemos uno, dentro de muy poco tendremos otro
y el espacio, por ejemplo, contiene un conjunto de riesgos
que en estos momentos desconocemos.
Esto va un poco dirigido para ti.
En teoría, nuestra empresa se dedica a fomentar la cooperación,
la innovación y la competitividad.
Entre entidades privadas que operan en las relaciones entre España
y China y para servir de puente, para facilitar el flujo de negocio.
Sí, privadas o públicas.
Explícanos un poco qué papel jugáis en estas funciones.
Frecuente entre estas entidades.
Ok, pues nosotros tenemos la.
No sé si está ya la.
No, me parece que no se va a poder hacer ningún problema.
Me están diciendo que no.
Lo comentamos de viva voz.
Vale, vale.
Pues lo tengo aquí.
Sí, bueno, pusimos en marcha esta iniciativa
del China Cluster Spain desde agosto de este año y el objeto principal
es la cooperación estructurada en materias
de innovación, digitalización, transferencia tecnológica,
gobernanza responsable y desarrollo institucional sostenible
y.
Lo que queremos es ser como una plataforma internacional
para la cooperación institucional, económica, cultural, empresarial,
tecnológica y académica entre el Reino de España
y la República Popular China.
Para ello, las actividades genéricas que organizaremos serían
proyectos de innovación y proyectos estratégicos.
También formación, difusión y sensibilización.
Luego también tendremos actividades,
participaremos en actividades institucionales representando aquí
en España entidades chinas y en China entidades españolas.
También podremos ofrecer apoyo para las empresas en su soft
landing.
En España y prestaremos servicios de certificación y compliance
para, por ejemplo, empresas chinas que se aterricen en España.
Y luego también fomentaremos la cooperación internacional
entre los dos países.
De gobernanza interna y estrategia organizativa.
En cuanto a actividades
institucionales, presentaré la transferencia tecnológica
y de conocimiento cualificado.
Entre los diferentes actores, como universidades o centros de I+.
Instituciones públicas y privadas.
Creación de un sistema de certificación técnica, normativa
y de interoperabilidad.
Interoperabilidad de productos y soluciones.
Pues también actividades con empresas privadas
y públicas.
Comentaremos la cooperación,
la innovación y la competitividad entre las privadas.
Que operan en el marco
de las relaciones entre China y España
y servir de puente en ese flujo de colaboración
y de negocios.
También queremos impulsar proyectos conjuntos en materia de investigación
y más de ello.
Y la internacionalización de empresas,
tanto chinas como españolas.
Queremos configurarnos como una entidad de interés estratégico,
internacional y multisectorial.
Me gustaría ahora lanzar una pregunta a estos para saber,
pura ignorancia por mi parte,
si las multinacionales miden el ciber riesgo del país donde se instalan
a la hora de invertir en ese país.
Le pregunto a él, pero la pregunta también va
para los otros dos miembros de la mesa.
Sí, sí, por supuesto.
Sobre todo.
Porque gustaría saberlo.
Sí, está claro que cualquier multinacional que se va
a implantar o va a trabajar con un país,
primero hay un estudio de análisis de riesgo por parte de la empresa.
Se preguntan a diferentes sectores.
Filiales que puedan tener allí, como el caso de Colasca,
por ejemplo, preguntamos a ver qué tipo de problemática es
y sobre todo va enfocado el análisis de riesgo, por no extenderme mucho,
a la actividad que va a desarrollar esa empresa.
Si va a desarrollar algún tipo de ciberseguridad
o va a temas académicos, va a ir a preguntar en qué nivel.
Seguridad tienen en la zona en la que van a actuar.
Pero sí, lógicamente, eso conlleva luego que las primas de los seguros,
que aunque no tengan nada que ver también,
vayan un poco en función del análisis de riesgos
de cada país o zona de actuación de la multinacional.
No sé si queréis aportar alguno más porque me están diciendo
que vamos a ir terminando, vamos un poquito apretados de tiempo
y que todavía falta un panel que supongo
que será también tan interesante como este,
pero me gustaría un poco para que pongáis el colozón,
daros unos minutos a cada uno para que expongáis
dentro de lo que es el.
El tema que nos ha juntado aquí, el ciberriesgo en multinacionales,
bueno, pues, por ejemplo, ¿qué soluciones
o qué errores estratégicos veis que todavía se cometen
dentro de las multinacionales a la hora
de abordar los ciberriesgos allí donde acudimos?
El tema de errores estratégicos
sobre todo o enfocado a la, como he comentado antes,
a la falta de concienciación en ciberseguridad.
En el ámbito de la IA
y volviendo a hacer otras, que no me gustaría olvidarlo
porque realmente es la tendencia ahora esa mentalidad,
como muy bien ha dicho Carlos, esa mentalidad de ciberseguridad.
Lo que detectamos implementándolo junto con la IA es que faltan
expertos en procesamiento del lenguaje natural.
Es decir, podemos tener programadores
que quieran generar un tipo de código,
pero necesitamos gente que sepa enseñar al sistema.
Entienda un gesto, un comportamiento,
unos movimientos de ojos,
un lenguaje no verbal que pueda decir al programador, oye,
si hace este tipo de movimiento que la salida sea positiva
o si hace este tipo de movimiento
que la salida de la red neuronal sea negativa.
Entonces, tenemos un déficit a nivel académico
de expertos en procesamiento del lenguaje natural
que se van a juntar junto con la IA y con el tema de la ciberseguridad.
Quería hacer una pregunta,
pero va a dirigir a ti, Alberto, porque me gustaría saber
si la ciberseguridad es ahora un negocio jurídico.
Bueno, puede llegar a ser lo.
No lo es porque los juristas somos gente muy cabezota
y no nos entendemos con los ingenieros
porque son muy pesados.
Y entonces.
Siempre queda el que estos son muy pesados
y nosotros somos muy cabezotas.
Entonces, ese diálogo, hay pocas experiencias de trabajo.
Por ejemplo, esto mismo ocurrió en medio ambiente
y, sin embargo,
ahora nadie discute que hay una perspectiva jurídica
unida a una perspectiva de ingeniero y a una perspectiva
de medioambientalista.
Pero eso todavía no está.
Y luego, sinceramente, me parece que está costando mucho
entender el marco jurídico de la ciberseguridad.
Me parece, como decía antes,
que se ha hecho un poco por aluvión y que vamos recibiendo muchos inputs
de muchos sitios y realmente seguirlo cuesta
y cuesta mucho explicárselo a un usuario
porque yo he tenido algunas multinacionales estas
de clientes y la peor cosa que te pueden hacer
es preguntarte a ti.
Qué es lo que hay que hacer.
Porque claro, tú le dices, yo haría esto,
y al final no era esto, sino esto,
porque este mundo todavía tiene una enorme imprecisión,
que los juristas llamamos inseguridad jurídica,
pero tiene una enorme imprecisión.
Muchos conceptos que la ciencia.
Va mejorando, que la ciencia va avanzando.
Nosotros no sabemos cómo avanzar cuando avanza la ciencia.
Es decir, hay muchos elementos y lo será.
No tengo ni la menor duda de que lo será.
Ya lo es para los técnicos
y estoy convencido de que lo será para los abogados
si alguna vez lo entendemos.
Bueno, pues voy a tener que poner bruscamente el fin,
porque es que se nos echa el tiempo encima, todavía queda otro panel,
y os agradecerlo de nuevo que hayáis venido,
que por eso ya es iluminar un poquito dentro de este mundo en el que todos
somos un poco neófitos.