Els usuaris consulten els seus smartphones diàriament per accedir a informació, resoldre dubtes i realitzar gestions de forma ràpida i senzilla.Per això, la missatgeria RCS i els SMS massius s'han convertit en dues eines útils perquè les pimes es comuniquin directament amb els seus clients.Aquestes solucions permeten combinar l'abast dels SMS, capaces d'arribar a pràcticament qualsevol línia mòbil, amb experiències més interactives i enriquides que afavoreixen la relació amb el client.

A mesura que una pime creix, també ho fan les seves necessitats de comunicació.Per resoldre-les, moltes empreses opten per lliurar un smartphone a cada empleat perquè gestioni les seves pròpies trucades.

Aquesta solució pot semblar pràctica, però també pot provocar una pèrdua silenciosa d'oportunitats de negoci.Si un client crida i troba la línia ocupada, és possible que no torni a intentar-ho i contacti amb un competidor.Per aquesta raó, organitzar l'atenció telefònica va més enllà de repartir mòbils.És necessari garantir que les trucades arribin a la persona adequada i evitar que una consulta sense atendre es converteixi en una venda perduda.

En el marc del fòrum Digital Regions Connection (VI Jornada d'Innovació Autonòmica i Local), organitzat per Disruptors i Invertia (L'Espanyol) al Palau Neptú de Madrid, Roberto Lara, Director de la Unitat de Negoci de Ciberseguretat a Vodafone España, va participar en la taula de debat sobre ciberseguretat, defensa i resiliència digital al costat de representants institucionals i del sector tecnològic.

Allà, Lara va analitzar els principals reptes que afronta el teixit empresarial i les Administracions Públiques, abordant la convergència entre la seguretat física i la lògica, les diferències estratègiques segons el tipus de client, la col·laboració públic-privada a través de la Xarxa Nacional de SOCs de Vodafone Empresas i el paper transformador de la Intel·ligència Artificial.

Estem en temporada de tancar pressupostos per al pròxim exercici i als comitès de direcció arriben cada vegada més propostes d'inversió en projectes d'intel·ligència artificial.Sens dubte, és un dels temes estrella sobre la taula de responsables i directius, després de mesos llegint i escoltant com pot revolucionar els seus resultats i la seva productivitat.

Per als qui ja hagin fet els primers passos i posat en marxa projectes pilot, la decisió serà una mica més fàcil i raonada.Però els qui afrontin aquesta tecnologia per primera vegada hauran de valorar si la inversió serà realment rendible o si corren el risc de perdre temps i diners en l'intent.

La decisió final oscil·la entre la pressió per incorporar intel·ligència artificial per no perdre competitivitat i el risc de malgastar capital en projectes costosos, sobredimensionats i el retorn dels quals encara no està demostrat.

La qüestió no és únicament quant invertir, sinó on fer-ho i amb quina tecnologia.És millor adoptar una solució estàndard ja desenvolupada o crear una aplicació o agent d'IA propi?La clau està en avaluar el cost total, prioritzar els casos d'ús amb més potencial i vincular cada inversió a resultats mesurables.Veurem com.

Aprofitant que estem el Mes Europeu de la Ciberseguretat vull fer una reflexió sobre una cosa que ens trobem diàriament quan analitzem el nivell de risc d'algunes organitzacions.El normal és que els responsables d'aquesta organització considerin que estan fora de perill per haver implementat firewalls d'última generació i altres solucions avançades.Tenen la seva infraestructura corporativa fortificada i se senten relativament invulnerables.I deixant de banda la realitat que no existeix el risc zero, sinó la confiança zero i l'esforç constant la teva ciberseguretat no depèn sol de tu, sinó de tots els que integren la teva cadena de subministrament.

Una part important dels atacs cibernètics actuals, inclosos alguns dels quals han provocat més danys en grans empreses i administracions públiques, no es dirigeix contra els seus sistemes més ben protegits, sinó que aprofita les vulnerabilitats de tercers que formen part de la seva cadena de subministrament.Proveïdors de programari, empreses de manteniment informàtic, operadors logístics, serveis al núvol i consultores externes constitueixen una via d'entrada especialment delicada, ja que necessiten connectar-se als sistemes dels seus clients per prestar els seus serveis i, en molts casos, compten amb accessos privilegiats o connexions directes a la xarxa corporativa, malgrat disposar de mesures de seguretat menys exigents que les organitzacions a les quals donen servei.

Aquesta realitat cobra especial importància en un entorn empresarial cada vegada més interconnectat, on qualsevol proveïdor extern amb credencials vàlides i accés als sistemes d'una organització passa a formar part, a la pràctica, del seu perímetre de seguretat.Els ciberdelinqüents són conscients d'això i aprofiten aquestes relacions de confiança per accedir a infraestructures que, d'una altra manera, resultarien molt més difícils de comprometre.

Tant és així, que quan un atacant busca infiltrar-se en una gran corporació, la via més eficient rares vegades és l'atac directe.Resulta tàcticament molt més senzill identificar un proveïdor secundari que gestioni la facturació, mantingui els sistemes de climatització industrial, desenvolupi codi sota demanda o deixi suport tècnic remot.Si aquest proveïdor pateix una bretxa, les credencials robades permeten a l'intrús accedir a la infraestructura corporativa de manera aparentment legítima i sense aixecar sospites en els controls tradicionals.Per això són necessàries estratègies específiques de ciberseguretat com les que diàriament despleguem en la nostra Unitat.

La gestió del risc de tercers és una d'aquestes estratègies.El que denominem Third-Party Risk Management o TPRM ha de convertir-se, a mi judici, en una responsabilitat estratègica i transversal de tota l'organització i no un mer tràmit del departament de TU.

En una estratègia TPRM s'han d'involucrar de forma coordinada els Equips de Compres i Contractació, avaluant el nivell de maduresa digital dels proveïdors abans de l'homologació i incorporant exigències mínimes de ciberseguretat als plecs.També els Departaments Legals i Compliance haurien de garantir clàusules contractuals amb dret a auditoria, obligacions estrictes de report d'incidents i delimitació clara de responsabilitats.Per la seva part, els responsables de Recursos Humans serien responsables de promoure la conscienciació i gestionar el cicle de vida dels accessos concedits a personal extern.

En tractar-se doncs d'una responsabilitat compartida i transversal, sembla inevitable que els Comitès Executius i Consells d'Administració assumeixin la supervisió directa del risc de la cadena de valor com un pilar del govern corporatiu i la continuïtat del negoci.Sobretot quan, més enllà d'una precaució extra, en realitat és una exigència legal.

Els mandats regulatoris en matèria de ciberseguretat a Europa són bastant clars.Des de la Directiva NIS2 que marca un punt d'inflexió en situar la supervisió de la cadena de subministrament com una obligació explícita, a l'Esquema Nacional de Seguretat (ENS) i ISO 27001 / ISO 27110 que exigeixen el control i la verificació contínua de les entitats col·laboradores per assegurar que qualsevol tercer que accedeixi a informació corporativa mantingui un nivell de protecció equivalent a l'exigit internament.Altres normes més concretes també ho exigeixen, com el Reglament DAURA (sector financer) i RGPD.

La responsabilitat sobre la ciberseguretat no acaba en els límits de l'organització.Un incident originat en un proveïdor pot comprometre directament les seves operacions i, en funció del marc normatiu aplicable, generar responsabilitats legals.Per això, la supervisió de tercers no pot reduir-se a qüestionaris que es complimenten una vegada a l'any i queden arxivats fins a la següent revisió.Requereix un model de vigilància i control continu, sustentat en principis com Zero Trust ("mai confiar, sempre verificar"), la microsegmentació de xarxes, la gestió rigorosa dels accessos, el monitoratge permanent, les auditories tècniques i les avaluacions periòdiques de maduresa en ciberseguretat.

Emprendre aquesta tasca i assumir aquesta responsabilitat que va més enllà dels nostres límits corporatius no és fàcil, i per això la resposta també pot estar en un tercer.En la Unitat de Ciberseguretat de Vodafone Empresas acompanyem a les empreses i administracions públiques amb una proposta integral dissenyada per protegir tot l'ecosistema digital amb solucions com el CREC (Centre de Resiliència i Excel·lència en Ciberseguretat), Xarxa Nacional de SOCs Federadvosaltres, la figura del Service Security Manager (SSM) i eines concretes com l'Anàlisi Forense Mòbil o la Consultoria GRC.

Com solc destacar davant de les presentacions a clients o en esdeveniments on participem, la nostra missió és convertir la ciberseguretat en part del core de qualsevol organització i que aquesta arribi a tots els racons de la mateixa, dins o fora d'ella si fa falta.Perquè, la ciberseguretat, és cosa de tots.
 

L'agenda empresarial de tardor reuneix importants cites per als responsables de tecnologia i comunicacions, com Cloud Expo Europe o Madrid Tech Xou.Entre els temes que seran sobre la taula destaca una decisió estratègica: elegir entre concentrar els sistemes en un únic proveïdor cloud o adoptar una estratègia multicloud híbrida.Per a un comitè de direcció, aquesta elecció va molt més enllà de l'eficiència tecnològica.

La conversa ha evolucionat des de la simple migració al núvol cap a una qüestió molt més estratègica: com construir una arquitectura cloud que permeti aprofitar els seus avantatges sense convertir aquesta flexibilitat en una nova dependència.

A primera vista, sembla evident que el núvol públic ofereix escalabilitat, rapidesa de desplegament i accés immediat a serveis avançats.Tanmateix, concentrar tota la infraestructura en un únic hiperescalador pot generar una dependència que resulti difícil i costosa de revertir.Davant això, la multicloud híbrida combina recursos de diferents proveïdors i entorns cloud públics i privats, buscant que cada càrrega de treball s'executi allà on resulti més adequada des del punt de vista tècnic, econòmic i regulatori.Vegem què implica cada model i què convé valorar abans de prendre una decisió.