Protección del ecosistema de identidad en Clarios

Mi cargo en Clarios es el de director de seguridad de la información. También me encargo de la infraestructura informática. Llevo ya unos seis años en Clarios. Clarios es la mayor empresa fabricante de baterías del mundo —y cuando digo «batería», me refiero a las baterías de bajo voltaje que se instalan en todos los automóviles—. Somos una empresa global. Contamos con más de 50 plantas repartidas por todo el mundo dedicadas a la fabricación de estas baterías, y producimos unos 155 millones de baterías al año. Así pues, tenemos esta empresa principal que se dedica a la fabricación de las baterías. Lo fundamental es que tenemos que proteger ese negocio. Debemos garantizar la continuidad de las operaciones y de la fabricación, ya que toda la industria automovilística depende de las baterías que recibimos. De lo contrario, como sabes, las grandes empresas automovilísticas no podrían sacar sus coches de las líneas de montaje. Nos estamos adentrando en el ámbito de los sistemas de gestión de baterías, que es un software que se puede integrar en estas baterías para hacerlas más inteligentes, ¿verdad? Esas demandas o peticiones provienen de estas mismas empresas fabricantes de automóviles. Así pues, estamos pasando de ser una empresa de fabricación a convertirnos en una empresa de software, y eso podría llevarnos a ofrecer también servicios. Piénsalo así: gestionamos el ecosistema de todas las baterías de las flotas y cosas por el estilo, y eso constituye un importante negocio de servicios. Así que mi reto es encontrar el equilibrio entre esto, proteger el núcleo de la empresa —que aún hoy representa el 80 % de nuestros ingresos— y, al mismo tiempo, preparar a la organización, la infraestructura y la seguridad para estas nuevas áreas que están surgiendo. Y ese es mi reto diario. ¿Cuál sería el impacto si Clarios dejara de funcionar? Los vehículos no saldrían de las cadenas de montaje. Porque cada vehículo que sale de la cadena de montaje —coches, camiones, ya sabes, camiones grandes y demás— necesita su batería de bajo voltaje para funcionar. Así que, si nosotros dejamos de funcionar, ellos tampoco, y eso no es nada bueno. ¿Por qué Semperis? Cuando estábamos desarrollando nuestras iniciativas para nuestro programa de ciberseguridad y demás, teníamos un lema que decía: «Queremos ser buenos y proteger», siguiendo el modelo del NIST. Pero luego dijimos: «Queremos ser buenos y proteger, pero queremos ser excelentes en la detección, la respuesta y la recuperación». La lógica detrás de esto es que solo podemos proteger hasta cierto punto. Y creo que las organizaciones más inteligentes son aquellas que cuentan con buenas capacidades de respuesta y recuperación. Así que, mientras analizábamos algunas de esas cuestiones, pronto quedó claro que la mayor parte de ese esfuerzo se centraba en las aplicaciones, y se discutió todo lo relacionado con la redundancia, otros proveedores de SaaS y cómo se hacen las copias de seguridad y cosas por el estilo. Pero luego, cuando hicimos un ejercicio y seguimos el proceso paso a paso durante un simulacro real, nos dimos cuenta de que estamos dando muchas cosas por sentadas en lo que respecta a Active Directory, ¿verdad? Mi jefe me preguntó: «¿Qué haces cuando Active Directory está fuera de servicio?». El panorama cambia cuando los atacantes se hacen con el control de tu Active Directory y lo dejan inutilizable, o cuando ya no puedes confiar en ninguna de las identidades. Así que ahí fue donde comenzó la conversación, y empezamos a buscar soluciones. Semperis surgió de nuestra investigación, y iniciamos las conversaciones. Hoy en día utilizamos Semperis para la recuperación de nuestro bosque, para nuestra herramienta « DSP », que se encarga de la detección, y también para DRET. No sé si utilizamos toda la gama completa de productos de Semperis, pero sí una parte importante; contamos con la mayoría de sus productos. También nos interesa el producto « Ready1 », principalmente porque, como he dicho, la resiliencia es fundamental. Estamos realizando algunas inversiones en gestión de crisis y continuidad del negocio, por lo que no queremos tener que reinventar la rueda en plena crisis. Así pues, ¿cómo nos aseguramos de contar con un conjunto de procedimientos que el personal sepa seguir y de realizar pruebas de forma periódica? Por eso, también estamos muy interesados en esa capacidad. No tengo palabras suficientes para destacar la capacidad técnica que aporta el equipo de Semperis. Ya sabes, creemos que la AD es una pequeña pieza de una estrategia de recuperación más amplia, pero creo que a menudo olvidamos que es una pieza muy, muy fundamental de la misma, y si podemos facilitarla, eso es lo que hay que hacer. Así que, ya sea asistiendo a sus eventos, ya sea invitando a alguien de Semperis a nuestra organización para llevar a cabo un debate tipo taller o una demostración de producto, me han impresionado mucho sus capacidades. Mi equipo ha quedado muy satisfecho no solo con su pericia técnica, sino también con los amplios conocimientos que aportan, ¿verdad? Por mucho que hablemos de Active Directory, es el ecosistema de identidades en su conjunto el que hay que tener en cuenta. Muchas organizaciones no solo cuentan con Active Directory, sino también con otras herramientas de IGA (gestión de identidades y acceso) y de gestión de acceso privilegiado, entre otras. Por eso, valoramos mucho la amplitud de visión que aporta el equipo de Semperis en un aspecto fundamental de la seguridad de las identidades, y siempre hemos tenido una buena experiencia con ellos.