"Los CISO tienen tanta presión que las organizaciones siguen luchando para mantenerse al día"

Oracle, Intel, Silicon Valley y ahora Check Point. Rupal Hollenbeck es de las pocas mujeres que han logrado acceder a las altas esferas del mundo tecnológico y también una excepción entre la mayoritariamente masculina asistencia al evento CPX 2024 que Check Point celebró la semana pasada en Viena. Desde su podio, ganado con más de 23 años de experiencia en posiciones de liderazgo en el sector tecnológico, la ahora presidenta de la compañía de ciberseguridad no sólo tiene como misión hacer crecer su negocio y ayudar a las empresas a protegerse de las siempre crecientes amenazas del ciberespacio, sino que también ser un punto de apoyo para que más profesionales mujeres opten a puestos directivos en un sector marcado por una fuerte brecha de género. 

En entrevista con CSO, Hollenbeck debatió sobre el potencial (tanto negativo como positivo) de la inteligencia artificial (IA) en el panorama de la ciberseguridad, el rol de los CISO y profesionales de la seguridad, el poder de la prevención y cómo Check Point está abordando todos estos retos al tiempo que busca aumentar el potencial de su talento interno y hacer de su plantilla más diversa e inclusiva. 

Ha habido muchos cambios en el panorama de la ciberseguridad. ¿Qué crees que ha tenido más impacto en los últimos años? ¿Es la IA o cree que hay otros factores más relevantes?   

Creo que el impacto de la IA no ha hecho más que empezar. Así que, en los últimos años no creo que haya sido el de mayor impacto. Éste vendrá en el futuro. Lo más importante para mí en los últimos años, tiene que ver con que el panorama de las amenazas se ha disparado. Esto se debe en parte a la innovación y en parte a la pandemia. Como la gente estaba en sus casas, no podían viajar, no iban a la oficina y los dispositivos de sus casas se hicieron cada vez más inteligentes, cada vez más conectados. No se trata sólo del teléfono móvil o el portátil, sino también del televisor, el refrigerador e incluso la lavadora. Puedo pulsar el botón de mi lavadora y se conectará a Amazon y mañana recibiré una compra de detergente. Y la pandemia alimentó esto, así que creo que hay una amplia proliferación de dispositivos y esto hace que el panorama de amenazas sea realmente grande. Por otro lado, como la gente trabaja en casa, utiliza cada vez más la nube. No estoy segura de cuáles son las últimas estadísticas, pero creo que entre el 40% y el 45% de los datos del mundo se han trasladado a la nube pública, lo que significa que la mayoría sigue en el centro de datos, pero que todo el mundo está luchando con la nube híbrida y el multicloud. Este cambio en los últimos años también ha tenido un gran impacto en la ciberseguridad.   

¿Qué hay del edge?  

El edge está cambiando la nube y la nube está cambiando el edge, y tenemos que protegerlo, porque el número de dispositivos que crece más rápidamente son los de IoT. Da un poco de miedo, porque algunos de ellos son dispositivos legacy, como el refrigerador o la lavadora, y he oído historias de gente que los ha hackeado, porque básicamente son pequeños ordenadores. No pensamos en ello de esa manera porque son dispositivos de un sólo propósito, pero si empiezas a darte cuenta de que tu teléfono es sólo un ordenador y una cámara, entonces son los mismos principios. 

Fuiste directora de Marketing de una startup de hardware de inteligencia artificial en Silicon Valley. ¿Cómo ha cambiado la IA en estos tres o cuatro años desde entonces?   

En primer lugar, he visto una tremenda democratización del acceso a la IA. Al igual que a principios de siglo tuvimos por primera vez acceso a internet y se produjo el boom de las puntocom, creo que en los últimos cinco años ha ocurrido lo mismo con la IA. Trabajé en una gran compañía, con una tecnología maravillosa de hardware de IA, y la premisa era que queríamos dar acceso al entrenamiento de grandes modelos de lenguaje [LLM] a organizaciones que no pueden acceder a ello hoy en día. Se trataba de una tecnología muy centrada en el data center y ahora está empezando a vivir en la nube, por lo que ya no se trata de que yo compre una pieza de hardware de cinco millones de dólares para poder entrenar mis modelos: puedo acceder a esto como un servicio en la nube. Piénsalo, todo el mundo puede entrenar estos modelos.  

Además, en los últimos dos años, con OpenAI, ChatGPT y ahora Gemini de Google, ahora tenemos herramientas de IA generativa. Mi hijo la usa para investigar, pero yo ni siquiera lo sabía y descubrí justo el mes pasado que tiene ChatGPT en su teléfono y lo usa constantemente. Sabe usarlo mejor que yo. Ha hecho que el acceso sea tan amplio y profundo. Y es multigeneracional. Mis hijos adolescentes usan ChatGPT, ellos son el futuro, así que imagina cómo será cuando terminen la universidad. Es emocionante, pero sólo estamos en el principio. 

La IA está ayudando a los profesionales de ciberseguridad a gestionar las amenazas, pero también está suponiendo un riesgo mayor, ya que es una herramienta para los hackers. ¿Cómo se han comportado estas dos tendencias en el mercado de la ciberseguridad? ¿La escasez de talento es mayor o menor debido a esto?   

La IA, como cualquier otra generación de tecnología, puede utilizarse para bien o para mal. Lo que da miedo es que como consumidores podemos ver lo malo de la IA y eso nos asusta. Vemos lo que ocurre con los correos electrónicos de phishing y con las brechas, y lo que ocurre es que puede convertir a todos en malos, pero no puede convertir tan rápidamente a todos en buenos. Así que la tasa de aumento de los malos actores puede crecer más rápido que la de los buenos. Yo solía mirar un correo electrónico de phishing y decía: ‘esto tiene cinco faltas de ortografía, está escrito por alguien que no habla inglés como lengua materna. Sé que es falso’. Ahora no puedo diferenciar. Y todos hemos visto estos videos deepfake, que son aterradores, pero la única manera de luchar es utilizar cuidadosamente la IA de la manera correcta para ayudar a desarrollar productos y herramientas. Nuestro AI Copilot utiliza internet y los datos disponibles en el dispositivo y en la red corporativa para ayudar a tomar mejores decisiones. En cuanto a la escasez de talento, pensamos en AI Copilot como tu nuevo compañero de trabajo. No se trata de sustituirte, sino de ayudarte a ser mejor. También voy a retomar algo que Bobby [Ford, CSO en HPE] dijo, que cuando usamos la IA de la manera correcta, nos muestra que los profesionales de la ciberseguridad con cierta profundidad en la IA van a ser más importantes que aquellos que no la tienen. Se trata de hacernos mejores y no de sustituirnos.   

Esto se relaciona con lo que Bobby también dijo, que no hay una brecha de talento, sino que hay una brecha de experiencia...  

Exactamente, sí. Dijo que somos creadores de talento, no tomadores de talento. Y la forma en que te conviertes en un creador de talento es ayudando a tu organización a mantenerse al día, a ser consciente, a mantenerse vigilante y cuidadosa y a formarse e innovar. Cuando se innova bajo parámetros cuidadosos, pueden ocurrir grandes cosas y no hay que tener miedo.   

¿Es así como Check Point está enfocando este asunto?   

Es lo que ya estamos haciendo. Nuestra organización Check Point Research cuenta con científicos de datos formados en IA, también utilizamos la IA para desarrollar nuestros productos y el AI Copilot no es algo que hayamos comprado o contratado a una empresa externa, sino que ha sido creado por nuestra propia organización de I+D y es el resultado de un hackathon. Es muy emocionante, en realidad es un ejemplo de cómo, cuando se utiliza la IA para el bien, se pueden hacer grandes cosas que realmente ayudan a mantenernos más seguros. 

¿Y qué hay de la brecha de género? ¿Cómo están trabajando en Check Point para que sea más diversa e igualitaria?   

Creo que hay que celebrar los avances y seguir adelante. Cada vez que la causa gana, cada vez que progresamos, tenemos que celebrarlo. Mis expectativas de contratación en mi organización son que para cada puesto se entreviste activamente hasta la última etapa a una mujer, además de a candidatos masculinos. Desde que me incorporé a Check Point, mi red de contactos me ha permitido contratar a muchas más mujeres que hombres. ¿Por qué? Porque tengo muchas mujeres en mi red. Así que lo primero que tenemos que hacer como industria es ampliar nuestras redes. Si tienes una red inclusiva, vas a contratar de forma inclusiva, porque contratamos a gente en la que confiamos. Lo segundo que tenemos que hacer como industria es hacer progresar a las mujeres, tengo que cogerte del brazo y decirte ‘vamos’. Tienes la obligación de hacerte valer y abogar por ti misma, pero yo también tengo la obligación, como mujer en un puesto senior, de traer conmigo a estas mujeres increíbles. Y luego lo otro es que tenemos que romper el techo de cristal y tenemos que ponerlas en puestos ejecutivos.  

En Check Point trabajamos las tres cosas. Trabajamos en el reclutamiento a través de nuestro programa global de asociados, donde reclutamos a los recién graduados. La estadística de la última promoción en Estados Unidos es mayoritariamente femenina, lo que me llena de orgullo. Y por cierto, yo no lo diseñé así, pero cuando se ejecuta con un propósito, se puede hacer. En cuanto a la progresión, tenemos muchos grupos de recursos para empleados dedicados a las mujeres, a su tutoría y patrocinio, y luego en las filas ejecutivas, ya estoy muy orgullosa, porque tenemos ocho miembros en nuestro equipo ejecutivo y cuatro son mujeres. Eso es increíble en ciberseguridad e incluso en tecnología, pero tenemos que seguir avanzando.  

Está la IA, los conflictos geopolíticos, la consecuente sofisticación de los ciberataques... ¿Cómo abordará Check Point todos estos cambios en sus soluciones y productos?   

Desde que existimos, hemos tenido el orgullo de llamar clientes a muchos gobiernos. Tenemos un negocio muy fuerte y hemos desarrollado una confianza muy buena. Seguimos recibiendo información de ellos y, a medida que cambian y crecen y sus entornos cibernéticos cambian y son atacados, utilizamos esa información para desarrollar productos mucho más sólidos.   

Este año, como sabrás, hay más de 40 elecciones nacionales y también hay mucha agitación geopolítica. Cuando hay mayores niveles de tensión geopolítica se producen más ciberataques. Nuestra organización Check Point Research trabaja con datos de todos nuestros clientes, de modo que podemos ayudar a ver patrones con nuestro ThreatCloud AI, ver picos de actividad en un área determinada y ayudar a nuestros clientes a ser mucho más preventivos. Esto continuará y nuestra plataforma cuenta ahora con más de 50 motores de IA que ayudan a informar a ThreatCloud AI. Muchos gobiernos de todo el mundo participan simplemente por ser nuestros clientes, y los datos se enriquecen cada vez más: hemos estado haciendo esto desde 2012, por lo que los datos son bastante ricos.  

Nos has mostrado los gráficos en los que se compara el rendimiento de su plataforma con el de la competencia y cómo está superando al resto en términos de prevención. ¿Qué crees que les hace ser líder en este mercado?   

Creo que la mayoría del sector sigue pensando que prevenir está bien, pero en lugar de prevenir, prefieren encontrarlo y remediarlo lo antes posible. Desde nuestro punto de vista, no es lo uno o lo otro. Si estoy sentado en mi casa y un tipo malo está llamando a la puerta, y está golpeando y la madera está empezando a astillarse, voy a detenerlo, pero él ya está golpeando. El daño ya ha comenzado. Pero imagínate que yo pudiera detectar que ese malo viene por la calle y no es capaz de pasar de la verja. De vez en cuando entrarán, y cuando lo hagan, estaremos preparados, pero si los detengo en la verja, ¿no es mejor? Es mejor para mi organización, porque no tengo a tanta gente de pie con redes esperando para atrapar a los malos, y pueden preocuparse de cómo tener una detección y una respuesta aún más rápidas. Creo que la razón por la que se ven informes como éste es porque el resto del sector no piensa así. Nuestra filosofía es única en el sentido de que la prevención es lo primero.  

¿Todas estas nuevas amenazas y desafíos han beneficiado al negocio de la ciberseguridad? ¿Están reaccionando las empresas a esta mayor necesidad de protección?   

Somos una empresa orientada a una misión y, como tal, primero quiero prevenir y, después, cuando los delincuentes se cuelan, quiero asegurarme de que tengo lo mejor en detección y respuesta. Creo que el sector lo está consiguiendo, pero es difícil para las organizaciones porque los CISO tienen que hacer frente a muchas cosas. Tienen presión reguladora, operativa, técnica, financiera y comercial, y están siendo demandados. Tienen tanta presión sobre ellos en este momento que las organizaciones siguen luchando para mantenerse al día, pero la industria también está creciendo para apoyarlos. Los servicios de ciberseguridad están creciendo incluso más rápido que los productos. Nosotros tenemos nuestro propio núcleo de servicios Infinity, que se compone de docenas y docenas de servicios, porque no basta con tener grandes productos. Se necesitan otras dos cosas: un pensamiento a nivel de plataforma que esté consolidado y sea exhaustivo y que sea verdaderamente colaborativo, y ser capaz de tener una gestión unificada y operaciones de seguridad, porque eso te va a permitir aprovechar el poder de la plataforma. Creo que las organizaciones todavía lo están descubriendo.