YT YouTube2Text

YouTube2Text → Transcripts → Proyecto de Ley de Protección y Resiliencia: Claves del XIII Congreso PRYC

Proyecto de Ley de Protección y Resiliencia: Claves del XIII Congreso PRYC — Transcript

by BORRMART MEDIA · 19,395 words · 3,187 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:01El mundo no se detiene. Cada segundo el
0:05pulso de nuestra sociedad depende de
0:07hilos invisibles, pero vitales.
0:10Agua, energía, salud, transporte.
0:14No son solo servicios, son los pilares
0:17de nuestra libertad.
0:19Hace 13 ediciones, la Fundación Borredá
0:22y el CNEPIC trazamos un camino común,
0:26formar y divulgar sobre la protección de
0:28las infraestructuras críticas y los
0:30servicios esenciales.
0:33Evolucionamos de lo físico a lo digital.
0:36Abordamos las normativas CER y NIS,
0:40porque la seguridad hoy o es integral o
0:43no es seguridad.
0:45Pero nadie protege un país en solitario.
0:48Este camino lo hemos recorrido gracias a
0:50vosotros, a nuestros socios por 13 años
0:53de lealtad, a nuestros patrocinadores
0:56por hacer posible esta nueva cita.
0:59Gracias por ser los guardianes de lo
1:01esencial. Bienvenidos a la 1ertercera
1:04edición. Bienvenidos al futuro de
1:07nuestra protección.
2:34para
3:13laidad
3:16de
17:31mañana
58:15Ah.
1:10:08para
1:36:24es
1:36:46laón de los
1:37:03para
1:37:36la experiencia
1:37:46la
1:39:27Esta
1:39:39tecnología
1:40:03la
1:40:25esta cámara
1:40:44como
1:41:15para
1:41:19las mujeres comportamientos como
1:43:05en el nombre
1:43:12para la
1:43:25es
1:43:28esta tecnología
1:43:31que está
1:43:33comportamiento
1:44:24que puedan
1:44:34por ejemplo
1:45:13sería la importancia
1:45:17como
1:45:32Solo
1:45:37por ejemplo
1:45:44de
1:47:14España
1:47:17Aoidad
1:47:20es que el tema
1:47:24y actualiza
1:48:07para
1:48:10la
1:48:24ideal
1:49:00ella
1:49:13lación
1:49:41la tecnología
1:49:46la específica
1:49:49de este momento.
1:50:12y las amenazas que neutralizan más
1:50:15la no debe como
1:50:20sio sistema nervioso
1:50:23corporación no sistema
1:50:30como
1:50:35posición
1:53:12Mira.
2:09:13Bueno,
2:09:33complicada
2:09:38algún
2:09:48pueden estar aquí
2:09:51pues
2:09:53la experiencia el uso de
2:09:57en el uso de
2:10:05la cuento para que son como
2:10:08el
2:12:36¿Cuál es
2:12:37natural
2:12:42en este caso
2:12:45otros
2:12:48y al
2:13:39¿Qué?
2:13:42La patata ya la tenía yo en mi plato, no
2:13:45podía nadie.
2:14:04como
2:14:2024
2:14:40tampoco podíamosarías
2:14:44que realizar esos
2:14:52No podíamos absolutamente ningún tipo de
2:14:57ninguno. Perfecto.
2:15:02la cara a
2:15:05posible y lo que posible
2:18:01En todo caso,
2:20:57las necesidad
2:24:01No es que
2:24:04no es que
2:24:30Ya lo tenemos.
2:25:43aplic
2:26:14estación
2:26:18yo no puedo en esta
2:26:23no lo otro que todo el mundo lo por
2:26:27seguro que todo el mundo lo
2:26:33que la oración de es lo que pasa
2:26:40esa
2:26:42o tan importante como esa
2:26:46es hacer la buena
2:26:49exponer en plan sobre todo esto y eso
2:26:54estamosendo
2:26:56y no podemos hacer un de inteligencia
2:26:59artificial tres
2:27:11no
2:27:13pago por la
2:27:20granada
2:27:50la parte de
2:30:20Importantísimo
2:30:41conocer la tecnología y luego hacer un
2:30:45triple juicio es esencial esto ya,
2:30:48perdona,
2:30:50de la evaluación de impacto. Una de las
2:30:52piezas fundamentales aparte de hacer
2:30:53estudiar la base de legitimidad es lo
2:30:55que les siguen comentando antes,
2:30:56establecer el tipo de juicio de
2:30:57necesidad, proporcionalidad y idónidad.
2:31:00Y aquí es donde también hay que echar
2:31:02toda la carador, decir, oiga, cuando
2:31:04este informe porque yo le avisa, digo,
2:31:06mira, esto no lo voy a firmar yo y va a
2:31:08poder empezar a trabajar esto voy a
2:31:11hacer lo que es el memorando la
2:31:12evaluación de impacto el informe, o sea,
2:31:14el informe sobre la evaluación de
2:31:15impacto del DPD lo voy a hacer y ahí le
2:31:17voy a recomendar que hagas una consulta
2:31:19previa a la agencia. La consulta previa
2:31:21no es si puedo o no puedo. Es decir,
2:31:24oiga, yo he identificado todos estos
2:31:26riesgos, creo que eran 500 y pico líneas
2:31:28de de riesgos.
2:31:30¿Me he dejado alguno por el camino?
2:31:32Porque puede ser. La agencia está para
2:31:33eso. Dice, "Oiga, ¿se ha olvidado usted
2:31:35el riesgo de eh por el el tema de
2:31:38conservación de datos?" Vale,
2:31:41afortunadamente el estudio que se hizo
2:31:42no nos dijo nada la agencia de ese tema
2:31:45y eso se traslada aquí. Este es el
2:31:48digamos la parte de la evaluación de
2:31:49impacto. Oye, ¿por qué es necesario este
2:31:51sistema? Ante, ¿por qué voy a tener que
2:31:53yo eh limitar un derecho fundamental que
2:31:56es la protección de datos para dar una
2:31:58seguridad a la dirección general? Y hay
2:32:00que tener aquí igual que ustedes en
2:32:01infraestructura crítica. Oye, ¿qué
2:32:03impacto tiene que yo un riesgo medio
2:32:06alto bajo operativo de que pueda aceptar
2:32:08instalación crítica tiene percute de la
2:32:11sociedad? Y entonces lo que hay que
2:32:13contraponer es el derecho fundamental a
2:32:15la protección de datos versus el derecho
2:32:17a la integridad física, el derecho a la
2:32:19vida, que es lo que puede afectar tanto
2:32:22en su caso como instalaciones críticas
2:32:24como en el caso de un mal funcionamiento
2:32:25de la dirección general de evolución.
2:32:27¿Por qué el sistema era idóneo? ¿Por qué
2:32:29este sí el que y el y otro no? ¿Por qué
2:32:32como lo estábamos haciendo no era la lo
2:32:35que era bueno, que era robusto, pero por
2:32:36qué no es idóneo? ¿Y por qué este
2:32:38sistema que vamos a poner es mejor y es
2:32:40el idóneo? Eso hay que explicarlo y hay
2:32:42que desgranarlo
2:32:44y la proporcionalidad os he dicho yo,
2:32:47hay que sopesar y hay que argumentar el
2:32:50por qué vamos a conjuncar los derechos
2:32:53con respecto a otros.
2:32:59En tercho de usuarios ahí después de
2:33:01todo esto que les he dicho, hay que dar
2:33:03publicidad. O sea, yo ya no esto está de
2:33:06transparencia absoluta y hemos hecho
2:33:08unos documentos que yo le digo a todo mi
2:33:10personal, al personal civil que entra y
2:33:13a todo el que entra a visita, digo,
2:33:14"Oye, se cogen tus datos, no quiero
2:33:16cogerlos." No entras.
2:33:18Aquí también esta ley, ley orgánica es
2:33:21muy muy militar, es muy jerarquizada
2:33:22como nosotros. No quieres, aquí no hay
2:33:24consentimiento que valga. Esto son
2:33:26lentejas. ¿Por qué? Porque la base de
2:33:28legitimidad de nuestra ley orgánica 721
2:33:30establece eso, que es una necesidad, que
2:33:33es un bien y no hay consentimiento. Así
2:33:35como el RGPD, lo que se afecta a ustedes
2:33:37sí hay una cláusula de consentimiento,
2:33:40pero lo que no dice la agencia, incluso
2:33:41para la administración, el
2:33:42consentimiento no lo valido. O sea, que
2:33:43lo teníamos clarísimo. ¿Qué ocurre? Que
2:33:45todo el mundo, asociaciones, personal
2:33:47nuestro, está en mi derecho. Digo, no,
2:33:50tú no quieres venir, no vengas. ya
2:33:53aplicar todo procedimiento que lo hizo
2:33:55la seguridad jurídica y a ver qué
2:33:57consecuencias tiene eso. Pero el punto
2:33:58de vista de seguridad y protección de
2:34:00datos estado clarísimo. Es cierto que la
2:34:02Agencia de Protección de Datos no está
2:34:04acostumbrada a trabajar con la 721, está
2:34:06acostumbrada a trabajar con la 318 con
2:34:08el Reglamento General de Protección de
2:34:10Datos. Entonces, claro, e estábamos
2:34:13metiendo novedad tras novedad en y y es
2:34:17verdad que teníamos que estar sí
2:34:18teníamos que estar eh moviendo un poco
2:34:21ese tipo de criterios, ¿vale? La tercera
2:34:23fase fue pues eso, hacer un análisis de
2:34:27riesgos del tratamiento, no de la
2:34:29seguridad de la dirección, de la
2:34:30seguridad de la dirección ya lo teníamos
2:34:32claro, sino el tema de los escenarios de
2:34:35riesgo en materia de protección de
2:34:38datos.
2:34:39Hicimos 548 controles, uno a uno y
2:34:44utilizamos este esquema de matriz. Para
2:34:46enterarme de esto, tardé casi 4 días
2:34:49dedicándome en pleno a ver cómo
2:34:51funcionaba este esquema y cómo lo podría
2:34:53transmitir en un mapa. Esto está así
2:34:55metido, muy esquemático, pero esto luego
2:34:58son varias tablas exter
2:35:01pues cuáles son los riesgos. no salían
2:35:03muchos en esa zona roja, ¿vale? Que hay
2:35:05ahí, que es un riesgo muy alto, con lo
2:35:06cual no podíamos hacer el tratamiento,
2:35:09porque si esto nos queda en rojo, por
2:35:11mucha ley que tengamos y por mucha
2:35:14voluntad y por mucha necesidad y todo en
2:35:16rojo, el tratamiento no se lleva. No se
2:35:19lleva. Y esto es tan fundamental como la
2:35:21evaluación de impacto. Aplicamos, vimos
2:35:24los riesgos tal y como lo teníamos,
2:35:26analizamos todo, todo tipo de riesgos.
2:35:28Hay un hay para el que lo quiera pues
2:35:29hay hay una guía, una vaca en la en la
2:35:32propia Agencia de Protección de Datos de
2:35:34cómo se hace este sistema. aplicamos una
2:35:36serie de medidas y conseguimos meter
2:35:39esos riesgos analizados en en los 548
2:35:43factores dentro de la zona baja o muy
2:35:46baja, lo cual podíamos seguir adelante
2:35:50con la evaluación de impacto. La
2:35:51evaluación de impacto nos quedó
2:35:55hermosa, eh, hermosa intensa de de LN. Y
2:35:59como no lo teníamos claro, aquí el DP
2:36:02nos analizó la evaluación de impacto.
2:36:05Eso es una cosa lo que hacen ellos y el
2:36:07DP tocan aparte de asesorar dice, bueno,
2:36:09ya tienes todo, ya has hecho lo que te
2:36:11he dicho, cómo hay que hacerlo y ahora
2:36:13pasa aquí. Digamos, yo soy el primer
2:36:15garante de que esa limitación de
2:36:17derechos o ese uso de datos se hace
2:36:19concorde a los afectados y que a los
2:36:22afectados les afecta lo mismo
2:36:23imprescindible. Es una de las
2:36:25conclusiones de ese memorando es
2:36:27uniformidad que no son 600 folios que
2:36:29con él los míos fueron 25 o 30 folios.
2:36:32Eso la recomendación una de las muchas
2:36:34recomendaciones que había era elevar una
2:36:36consulta previa a la agencia
2:36:39que es que es esta que la mandamos una
2:36:42vez con el informe de PD y lo elevé esta
2:36:44consulta la elevé a través de mi
2:36:47delegado de protección de datos como
2:36:48todos ustedes deberían de hacer en el
2:36:50tema de la general. Todo esto que
2:36:52contamos era fue un proceso muy muy
2:36:54amable porque mientras íbamos trabajando
2:36:56y haciendo cada uno de estos documentos
2:36:57durante 8 meses, iban poniendo sanciones
2:36:59a ENA, sanciones a gimnasios con el uso
2:37:01de la misma tecnología que estábamos
2:37:03implementando. Yo antes decía Antonio,
2:37:05digo, esto no lo sacamos ni para atrás,
2:37:07eh, pero bueno, hay hay que perseverar.
2:37:11Bueno, aquí ya nos vino después de
2:37:14estudiarlo,
2:37:16eh, vale, después nos vino la resolv
2:37:18agencia, nos dijo que sí, que muy bien y
2:37:21además nos lo pone como como ejemplo de
2:37:24buenas prácticas y además hace un matiz
2:37:27entre el uso de las tecnologías
2:37:28biométricas y es lo que propone que
2:37:30cambie criterio la eh a nivel de de la
2:37:34Unión Europea es decir, no es lo mismo
2:37:37tratar
2:37:39herramientas de identificación en la que
2:37:41requerimos tener una base de datos
2:37:42biométricas,
2:37:44hacer tratamientos biométricos basados
2:37:46en la autenticación
2:37:48y encima si la autentificación ya está
2:37:51utilizando algoritmos eh que se curizan,
2:37:53pues muchísimo mejor. Y entonces ese
2:37:55dictamen diciendo, "Oye, es verdad que
2:37:57los datos son menos restrictivos." Hemos
2:37:59tenido que hablar también con el con el
2:38:01Cenecer. Hemos visto el análisis de la
2:38:03tecnología y los informes que nos
2:38:05salieron justo el día el día sí, el día
2:38:09antes de de finalizar la y entonces lo
2:38:11incorporamos enseguida para para darlo
2:38:13en el dos. Luego le dimos publicidad, le
2:38:15explicamos a todo el mundo lo que había,
2:38:17hicimos una nota a todas las a todas las
2:38:20unidades que estaban implicadas, una
2:38:22circular sobre el tratamiento de datos
2:38:24biométricos y bueno, aquí lo que lo que
2:38:27lo que nos importa también es que como
2:38:29utilizábamos la
2:38:32utilizamos la 721,
2:38:35no se podía un guardia civilismo o una
2:38:38persona que vaya a trabajar la dirección
2:38:40no se puede
2:38:42a facilitar esos datos para Entonces
2:38:45pedimos un informe de la asesoría
2:38:47jurídica porque quien civil se niega a
2:38:49entrar a trabajar con los datos
2:38:51biométricos le puede poner en una
2:38:53posición de comisión una falta un
2:38:57delito, en función de la gravedad o la
2:39:00función del beneficio que genere su no
2:39:03asistencia. Y como además teníamos el
2:39:06informe de la agencia, la nuestra
2:39:08evaluación de impacto, el informe del
2:39:09DPD, lo elevamos a la asesoría jurídica
2:39:12para que nos dieran la viabilidad de
2:39:14poner esa medida y en tanto en cuanto se
2:39:17provocara una sentencia, ya hemos
2:39:19articulado un procedimiento para que las
2:39:21personas que se nieguen se les haga un
2:39:22tratamiento alternativo, porque siempre
2:39:24hay que dejar a alguien por si falla la
2:39:26tecnología y en ese momento, en ese
2:39:29momento eh una vez que se provoquen las
2:39:32sentencias consig
2:39:34a esa negativa y tengamos la
2:39:36jurisprudencia necesaria, pues ya
2:39:38proceder de otra forma. Todavía no se
2:39:40nos ha dado nada, ni se nos ha dado
2:39:42ninguna, pero puede ser y por eso nos
2:39:44hemos blindado a nivel jurídico. ¿Vale?
2:39:47tenemos que formar y supervisar todo el
2:39:49sistema y y lo mismo, la la única
2:39:52conclusión
2:39:55como responsable de seguridad
2:39:56corporativa de la Dirección General de
2:39:57la Guardia Civil y esto es una opinión
2:39:59personal del que está hablando, me
2:40:01parece que hay una venta demasiado
2:40:04profusa de los fabricantes utilizando
2:40:07este tipo de tecnologías o de forma muy
2:40:09alegre. Esta forma, o sea, todo lo que
2:40:13nos ofrecen debe de tener un estudio
2:40:15personalizado. No voy a decir que
2:40:17estamos en igualdad de importancia, pero
2:40:20si una armería no le vende a mi hijo de
2:40:2218 años una pistola, si no
2:40:25es un tirador olímpico o si no está en
2:40:27una situación de riesgo o si no es un un
2:40:30guardia civil o un policía, no podemos
2:40:33vender una tecnología a cualquier
2:40:35persona y a cualquier precio. Es decir,
2:40:37toma y ya lo blanquearás. Cuando yo
2:40:39estoy dando algo, yo tengo que ser
2:40:41consciente como fabricante primero. Si
2:40:44lo que yo te estoy vendiendo tú lo
2:40:45puedes utilizar y si y si esa tecnología
2:40:48es legal, que sí que es todo muy bonito
2:40:50y que cambiemos todo el marco normativo
2:40:52y que nos hagan sentencias tal, pero
2:40:54tenemos la realidad que tenemos a fecha
2:40:5622 de abril del 2026 y con eso es con lo
2:41:00que tenemos que trabajar. Entonces,
2:41:02vamos a ser un poco serios a la hora de
2:41:04adoptar esas tecnologías y a la hora de
2:41:06ofertarlas, porque al final, y eso lo va
2:41:09a decir ahora mi compañero, la
2:41:11responsabilidad es compartida, es que se
2:41:13le va a meter al que compra, pero
2:41:15también al que vende, al encargado de
2:41:17tratamiento. O sea, el responsable de
2:41:19tratamiento, en este caso, yo tendría
2:41:22responsabilidad, pero quien me ha
2:41:23proporcionado eso, que es el encargado
2:41:24de tratamiento, también. Entonces,
2:41:26tenemos que ser muy serios a la hora de
2:41:28utilizar esta tecnología, ¿vale? Y yo
2:41:31por mi parte, Fernando,
2:41:33yo solo quería con la idea de que para
2:41:34tratar datos biométricos hagan una
2:41:36evaluación de impacto y que no todo lo
2:41:38que permite la tecnología está
2:41:39legalmente permitido. Con eso
2:41:42venga, pues muchas gracias.
2:41:48Muchas, muchas gracias, Antonio.
2:41:50Fernando, tenemos ahora un café, pero no
2:41:52sé si vais a poder tomarlo porque va a
2:41:54haber cola para preguntaros sobre este
2:41:56tema. Así que nada, no perdemos tiempo y
2:41:58nos vamos al café por cortesía de GM.
2:42:06Bueno, es esperamos que que hayan
2:42:09disfrutado de de este café. Ha sido un
2:42:11café rápido, pero luego tendremos la la
2:42:13oportunidad de seguir conversando con
2:42:15los ponentes que están pasando hoy por
2:42:18aquí. Eh, vamos a retomar este segundo
2:42:21día del congreso con un asunto que se ha
2:42:25vuelto desde hace unos años crítico,
2:42:27como es la seguridad en la cadena de
2:42:29suministro. Precisamente ayer veíamos
2:42:32este tema un poco más desde la
2:42:34perspectiva de la ciberseguridad, de los
2:42:36proveedores de de software y otro tipo
2:42:39de de tecnologías y servicios y hoy lo
2:42:42vamos a ver desde la perspectiva de las
2:42:46compañías que contratan este tipo de de
2:42:48servicios también en un ámbito, digamos,
2:42:51un poco más eh más físico, ¿no?, que
2:42:53tampoco deja de ser tecnológico. Eh,
2:42:56tenemos una mesa redonda que está
2:42:58compuesta en este caso y les invito a
2:43:00que vayan subiendo ya a la mesa, a Juan
2:43:04Vicente Bonilla García, gerente de
2:43:06seguridad corporativa del Sermas, a José
2:43:09Carlos Moreno Durán, director de
2:43:11investigación en fraude y crimen
2:43:13financiero de Banco Santander, a Manuel
2:43:16Huitrago, coordinador general de
2:43:18protección y ciberseguridad de Grupo
2:43:20Fertiveria y para moderar está Ana
2:43:23Borreda, presidenta de la fundación
2:43:24Borreda. Pues Ana, cuando queráis, por
2:43:27favor.
2:43:29Buenas,
2:43:31bueno, buenas tardes, buenos días.
2:43:33Retomamos la segunda parte del congreso
2:43:36con este tema que si nosotros
2:43:39organizando el congreso
2:43:43habíamos identificado como que la cadena
2:43:45de suministros se iba a convertir en
2:43:50la principal el principal actor y el
2:43:54protagonista del Congreso, quienes
2:43:57tuvisteis la oportunidad de participar
2:43:59allí en el congreso.
2:44:02daba igual que la mesa tratase el tema
2:44:06que tratase eh los eh patrocinadores que
2:44:11compartieron tecnología y servicios fue
2:44:15continuamente
2:44:16mencionada y tratada la importancia de
2:44:19la cadena de suministros. Con lo cual
2:44:21hoy pues tenemos también el privilegio
2:44:23de seguir profundizando en algo tan
2:44:26absolutamente crítico esta mañana de los
2:44:29muchos retos que nos comentaba el
2:44:31director del CENPIC hablaba del gran
2:44:34reto de una gestión robusta de
2:44:37proveedores críticos.
2:44:39Eh, tenemos el gran privilegio de tener
2:44:43en este panel a proveedores de ese esa
2:44:48tipología, que no se pueda compartir y
2:44:52de sectores absolutamente diferentes y
2:44:55por tanto sus aportaciones van a ser
2:44:58complementarias. Juan Vicente Bonilla,
2:45:00que representa al Sermas, es el servicio
2:45:03de salud de la Comunidad de Madrid y por
2:45:05tanto pues eh por organismo
2:45:09público eh Carlos Moreno representa al
2:45:14Banco Santa Cer y por tanto al sector
2:45:16financiero. Y Manuelgo
2:45:19pertenece y representa media y al sector
2:45:23químico. Es decir, tenemos tres sectores
2:45:25muy diferentes de los 12 sectores
2:45:27estratégicos. que conformar el hasta
2:45:31ahora y el actual modelo PIC.
2:45:35Eh, tengo aquí que no sé si todos el
2:45:39proyecto de ley CER, que es pues la gran
2:45:42novedad del Congreso y que también no
2:45:45estaba previsto cuando hablaba con el
2:45:47director del CENIC hace meses, pues de
2:45:50los temas que íbamos a abordar y de y y
2:45:52de los temas que tratar, pensábamos que
2:45:55el proyecto de ley no iba a ser algo
2:45:57sobre el que poder hablar, como si
2:46:00podemos hablar hoy de él, pues vamos a
2:46:03empezar a desmenuzar algunos de los
2:46:05artículos porque creo que es importante
2:46:07y la fundación eso es lo que siempre
2:46:09provoca, provoca reflexión y diálogo
2:46:13antes de que las cosas estén en el BOE y
2:46:15aunque quizás en en el proyecto de ley
2:46:17ya lo veremos muy parecido en el BOE,
2:46:20luego
2:46:22nos ofrece las perchas para luego poder
2:46:25pedirle al reglamento lo que
2:46:27necesitamos. Entonces, vamos a intentar
2:46:31pues eh dar más y compartir más
2:46:35conocimiento de la cadena de suministro.
2:46:38Lo primero que les voy a pedir es que
2:46:40cada uno desde su posición nos hablen de
2:46:43cómo lo ven, si coinciden con lo que
2:46:46ayer pues esa complejidad, no solo por
2:46:50la complejidad en sí mismo, sino porque
2:46:52hay miles de proveedores en esa cadena
2:46:54de suministro que hay que catalogarlos,
2:46:57que quizás hay que necesitar un
2:46:59monitoreo continuo. Bueno, pues ayer se
2:47:01vio la enorme dificultad y el enorme
2:47:04reto que tienen las compañías. Y voy a
2:47:07empezar por Carlos para también pues
2:47:11como hay esa duda o esas diferentes
2:47:14interpretaciones de si el sector
2:47:15financiero está bajo el paraguas de la
2:47:19ley del proyecto de ley PREC por el tema
2:47:22de la normativa pues sí empezamos con él
2:47:25y aparte pues tu tu visión en esa
2:47:28interpretación que para nosotros siempre
2:47:30en el Congreso va a estar el sector
2:47:32financiero
2:47:33diga lo que diga la norma por supuesto í
2:47:36sois punta de lanza y ejemplo de la
2:47:40mejor seguridad de nuestro país.
2:47:44Buenos días a todos. Gracias. Además es
2:47:47que creo que estaba hablando antes con
2:47:50el director de Nep, que creo que soy de
2:47:53los ya decanos desde el inicio de que
2:47:57cuando ya el 2014 todo el ámbito de
2:48:01infraestructuras críticas y creo que
2:48:03esos que todavía continúa, ¿no?, como
2:48:06responsable de seguridad enlace eh para
2:48:09el Ploncional de Protección de Curíticas
2:48:11de Banco Santander y representante en la
2:48:14mesa nacional de protección y factura
2:48:16críticas del del sector financiero.
2:48:19Bueno, la pregunta se
2:48:23es es sujeta a interpretación, ¿no?
2:48:26Aunque cómo lo vemos desde el punto de
2:48:27vista de Banco Santander esa eh cuestión
2:48:32de si aplica hacer, no aplica hacer,
2:48:35¿qué hacemos con dólar? y en Banco
2:48:37Santander eh lo estamos viendo desde un
2:48:40punto de vista de estrategia más allá
2:48:43del incumplimiento, desde el punto de
2:48:45vista de estrategia de resiliencia
2:48:48el CER se enfoca o aporta
2:48:52ámbitos que cubre ahora como es la parte
2:48:55de de seguridad de seguridad física y
2:48:59algunos aspectos también que mejoran la
2:49:01resiliencia operacional. Yo desde aquí
2:49:04eh hago una o tengo una visión optimista
2:49:07a la hora de abordar esa famosa
2:49:09disposición, una disposición voy a
2:49:12meterme en el ámbito regulatorio en la
2:49:15que si eh que nos saca aparentemente
2:49:20de sus párrafos, nos saca del core de
2:49:25hacer, sí que permite adoptar medidas
2:49:28que mejoren la resiliencia de acuerdo
2:49:30con el derecho.
2:49:32de la Unión Europea y en ese ámbito
2:49:34nosotros lo vemos como una oportunidad
2:49:37oportunidad en cuanto a a a una, por
2:49:42ejemplo, evaluación de riesgos en
2:49:44funcionada hacia aspectos que no recoge
2:49:49que no recoge no recogedora, aparte
2:49:53sobre todo de amenazas híbridas en los
2:49:55riesgos más físicos, porque además aquí
2:49:59habla de un ecosistema de riesgos,
2:50:01centra Dora ya focaliza y habla de más
2:50:07más que de un ecosistema de riesgos.
2:50:09Pero otro punto que me parece muy
2:50:11importante es mejorar el plan de
2:50:13resiliencia. Eh, aquí hay ámbitos del
2:50:17sector financiero también algún
2:50:19representante es eh lo que habíamos
2:50:21solicitado, que es la inclusión de del
2:50:24efectivo eh como servicio crítico
2:50:29esencial dentro de de ese plan de
2:50:32resilencia para identificar servicios,
2:50:34¿no? mejora de medidas de de seguridad
2:50:38física, como está la parte de biometría,
2:50:40como está la parte del servicio del
2:50:43sistema ant detección de de antidrones.
2:50:48el tema que que por el que estamos aquí
2:50:50en la cadena de suministros, eh, aunque
2:50:53si bien ser no entra de forma clara en
2:50:59definir eh o abordar cómo gestionar el
2:51:04riesgo de del proveedor, sí que lo toca
2:51:07en varias ámbitos, como es la evaluación
2:51:10de riesgos, como es el plan de
2:51:12resiliencia, cuando eh bueno, pues
2:51:15advierte de que es necesidad
2:51:17la necesidad de dotarse de cadenas de
2:51:20suministra de suministro alternativo.
2:51:23Eh, y hay aspectos, por ejemplo, como es
2:51:26el de la evaluación del riesgo de la
2:51:29persona. Eh, CER eh valora a la persona
2:51:34como un riesgo. Endora, eh, forma parte
2:51:38del sistema de riesgos de riesgos. E en
2:51:42definitiva, creemos que que debemos
2:51:47adoptar esa interpretación y verlo como
2:51:49una oportunidad. y y en esa línea
2:51:52estamos trabajando ya eh con esos con
2:51:56varios puntos más que hemos eh
2:51:59detectado, porque si
2:52:02nos ponemos o depende la interpretación
2:52:05a la hora de analizar todo el artículo
2:52:08dónde se menciona, se hace eh alusión a
2:52:12la cadena de suministros, pues no nos
2:52:15afectaría
2:52:17esos pero bueno, estamos trabajand
2:52:21y creemos que es verdad esa parte deidad
2:52:24que empleo para mejorar eh nuestro
2:52:29nuestra residencia cooperativa.
2:52:34Muchas gracias,
2:52:36Maruel.
2:52:38Aparte de y lógicamente con tu
2:52:41responsabilidad en fertiveria, aparte
2:52:43como sector químico que coordinas y
2:52:46entiendo que tienes la sensibilidad un
2:52:48poquito conjunta del resto de
2:52:49operadores, el tema de la cadena de
2:52:52suministro, ¿cómo lo vivís? ¿Lo sentís
2:52:55antes de de lo que vamos a luego
2:52:57desmenuzar un poquito de las llamadas en
2:53:00la ley preg?
2:53:03que me haga esa pregunta, porque el
2:53:05sector como químico en España, ¿sabes?
2:53:09En universo, ¿no? Eh, hay operadores que
2:53:13nos dedicamos a producir, almacenar,
2:53:17incluir productos, como sería el caso
2:53:19nuestro. Hay otros que se dedican a
2:53:22almacenar los productos químicos que
2:53:24otros producen para la exportación.
2:53:28Eh, hay otros que son suministradores,
2:53:30en fin, que es complejo, no tan complejo
2:53:34como es la cadena de de sistema de
2:53:37suministros.
2:53:39de mi de mi caso, que es el que conozco.
2:53:43Eh, nosotros tenemos
2:53:45por lo menos no necesitamos de de
2:53:47operadores que a su vez son servicios
2:53:50servicios sociales, energía,
2:53:53natural, agua, eh sumadores de de
2:53:57materias primas, controles distribuidos
2:53:59porción de de planta
2:54:02hablar de la cadena por ferrocarril y
2:54:05por carretera hasta que llegue al
2:54:07consumo final como almacenamiento
2:54:11la diversidad, la naturaleza
2:54:13de cada proveedor es es muy heterogénea
2:54:17hay que circunscribe bien a cada caso de
2:54:23Muchas gracias Juan el sector salud que
2:54:26hoy esta mañana ha sido mencionado,
2:54:30entiendo pues eso, que la cadena de
2:54:32suministro
2:54:34del sector salud para
2:54:37que no se interrumpa ese servicio
2:54:39esencial ya es inagotable.
2:54:44Buenos días. Sí, muchas gracias. Pues
2:54:45sí, es de alta criticidad en todos los
2:54:48sentidos. A ver, el sistema de salud eh
2:54:51sacamos organizaciones aprendidas y muy
2:54:54aprendidas de lo que forjaron
2:54:56básicamente el carácter de la
2:54:57organización con dos eventos daños que
2:55:00primero fue la pandemia general y la
2:55:03Filomena que fue de alta también
2:55:06consistencia
2:55:08para este esas lecciones aprendidas pues
2:55:10se se trajeron dos necesidades que están
2:55:14ejecutadas del 2022 que es por un lado
2:55:17se creó
2:55:19un organismo de de lación que es la
2:55:23Agencia de Contratación sanitaria y por
2:55:26otro lado un almacencia. Esto son dos
2:55:28estructuras de
2:55:31llamarles de alta criticidad, pero devo
2:55:34con la cadena logística. Para que sirva
2:55:37de contexto, un hospital de alta
2:55:39complejidad como puede ser de octubre
2:55:41Marón tienen más de 24,000 referencias
2:55:44logísticas en su cadena.
2:55:48desde el último fármaco hasta pues el
2:55:52aparato de sanitaria más como lo podéis
2:55:54imaginar, ¿no? Claro. Eh, ese sistema de
2:55:58proveedores tan denso comoas industrias
2:56:00evidentemente otros servicios requería
2:56:03pues agilizar, centralizar. Se crea una
2:56:05agencia de contratación que eh lo que
2:56:08hace es generar contratos marcos,
2:56:11generar contratación centralizada,
2:56:13importantísimo a la hora de de hacer el
2:56:16sistema de compras, la de contratar un
2:56:18sector público es compleja, es es
2:56:22pesada y densa y bueno, se agiliza estos
2:56:24trámites, eh permite tener eh pues una
2:56:28economía de escala, mejorar el precio
2:56:30para evitar de compra, permite
2:56:33negociaciones y sobre todo compras
2:56:35cual parte de lo de la calle suministro
2:56:38la particular se sustancia con la por
2:56:40otro lado, un almacén central un almacén
2:56:43que genere stocks de emergencia como
2:56:46veis el día a día, la alma central lo
2:56:48que permite también es otra estructura
2:56:50eh es un operador crítico importante, eh
2:56:53permite aparte de las compras, o sea,
2:56:56aparte del stock de emergencia, también
2:56:58lo que permite es prescindir un poco de
2:57:00los principios de logísticos ahí, no
2:57:03hace falta
2:57:04proveedores que lo vayan subir estando
2:57:06día a día, sino si existe un elemento,
2:57:08un colapso, tenemos una paz central y
2:57:10esto pues permite, evidentemente eh la
2:57:13resistencia de la urbanización de una
2:57:15manera importante
2:57:17sin entrar en otras modificaciones que
2:57:19hemos tenido que luego vamos entrando.
2:57:22Muy bien, pues como les he comentado,
2:57:24vamos lo que nos dé el tiempo. Eh, como
2:57:27ha adelantado Carlos, eh, la el proyecto
2:57:31de Lebrecht no tiene un epígrafe
2:57:33específico para los proveedores, para la
2:57:35cadena de suministro. Por eso hay que
2:57:37leérsela muchas veces y hay que leérsela
2:57:39bien para ir identificando
2:57:43dónde nos puede comentar algo
2:57:47relacionado con esto. Para que sea de
2:57:50mayor facilidad de lo que vamos a
2:57:53hablarles, vamos a ir proyectando el
2:57:55texto concreto. En este caso, cuando
2:57:58habla del plan de resiliencia que tiene
2:58:01que hacer las entidades críticas después
2:58:03de esta evaluación de riesgos. Hay unos
2:58:05plazos, pero llegará un momento en que
2:58:08tienen que tener esa ese plan de recibir
2:58:11liencia y habla de que se tendrá en
2:58:13cuenta el personal de los proveedores de
2:58:15servicios externos a la hora de
2:58:17establecer categorías de personal que
2:58:19ejerza funciones esenciales.
2:58:23Eh, quería preguntaros hasta dónde
2:58:25creéis que alcanza
2:58:27este
2:58:29imperativo esto que nos trae la ley y
2:58:33esta mañana en en la mesa anterior
2:58:35hablaban de pues se podrían resolver
2:58:39contratos
2:58:41cuando pues la cadena de suministros o
2:58:44el proveedor.
2:58:46no lo tiene en cuenta.
2:58:50Juano. Bien.
2:58:53Eh, comenzando con que evidentemente
2:58:56tendremos que cedirnos al reglamento en
2:58:58su momento. Vamos, yo creo que el texto
2:59:01de la norma está claro. El el operador
2:59:04de esa eh infraestructura ahora crítica
2:59:07luego será pues esa entidad crítica.
2:59:10tiene la obligación de una gobernanza
2:59:13del riesgo. riesgo evidente todos los
2:59:16toda la cadena de suministro tiene que
2:59:18estar sujeta a la gobernanza no
2:59:21solamente los empleados propios sino
2:59:22evidentemente los empleados están por
2:59:25seguir con el ejemplo de costante
2:59:26hospitales como el Gregorio o el o el
2:59:29automático bien empleados de los 2000
2:59:31evidentemente no todos son el sector
2:59:33público tenemos calidad suministro
2:59:35múltiple y variada y eh velar
2:59:39precisamente por el cumplimiento de
2:59:40nuestra gobernanza de riesgo va a ser
2:59:42una cuesón eh propia de del Eso está
2:59:47claro. La entidad eh podemos eh claro,
2:59:50ha estos referencias y podemos resolver
2:59:51con contratos.
2:59:53Sí. Hasta
2:59:55evidente el responsable va a ser la la
2:59:58entidad, no va a ser la en principio la
3:00:01cadena suministro sa que sea estrategia
3:00:03también entidad, pero nosotros como
3:00:06responsables, claro que tenemos la
3:00:07obligación porque solamente nos vamos a
3:00:10responder administrativamente por o por
3:00:12culpa.
3:00:14la culpa del del control de la
3:00:17diligencia de vida la vamos a tener que
3:00:19eh vigilar nosotros y transmitirla en su
3:00:22momento en un momento determinado por
3:00:24parte de diligencia, perdón, si lleva el
3:00:25caso, ¿vale? Entiendo que somos los
3:00:28responsables directos
3:00:30de la de la cuestión,
3:00:31que esa unidad que me que has hablado
3:00:33que tenéis de compras, pues tendrá que
3:00:35revisar todos los contratos, todos los
3:00:37pliegos, incorporar e claro.
3:00:40Cuando llegue esto sea una realidad.
3:00:42Claro, aparte de la agencia que tiene
3:00:44que esa esación que el promotor del
3:00:46contrato tendrá que tenerlo también muy
3:00:47claro, ¿no? Y que los contratos habrá
3:00:49que incluir cláusulas cer, pues que es
3:00:52que va a ser así, ¿no? O sea, la
3:00:53posibilidad de recibir un contrato por
3:00:54incumplimiento por parte de dirigencia
3:00:56de vida recaerá a nosotros,
3:00:57evidentemente, en la en la faceta de
3:00:59supervisor
3:01:00porque ya llegaremos a un régimen
3:01:02sancionado.
3:01:03Llegaremos al régimen sancionado porque
3:01:05nosotros vamos a ser sancionados,
3:01:06evidentemente, no la cadena supista.
3:01:08Carlos,
3:01:10bueno, te refieres la función la
3:01:12responsabilidad. Esta es una de las
3:01:14cuestiones clave. Evidentemente nosotros
3:01:19aplicarnos toda la el reglamento Dora ya
3:01:22está de forma
3:01:25muy granular y exhaustiva defender esa
3:01:29relación contractual y esa y esas
3:01:32responsabilidades
3:01:33en CER eh que no está el nivel del
3:01:37anteproyecto
3:01:39que tampoco
3:01:41esperaremos en la parte de
3:01:44del
3:01:46cómo se desarrolle, cómo va a afectar
3:01:50evidentemente
3:01:55de
3:01:58lo que no aborda no aborda de forma
3:02:00declara sin embargo, no se
3:02:06pero sí es cierto que nos va a permitir
3:02:11desde punto de vista responsabilidad y
3:02:14esa relación contextual que
3:02:17ahora que entrar y analizar la
3:02:23claro
3:02:28que el artículo 81 de la
3:02:33de ley
3:02:35de crítica tiene bastante enjunto
3:02:39este tema en relación con la la caramos
3:02:49el personal de proveedores externos con
3:02:52con un personal no puede ser
3:02:56no estamos partiendo de cero ya con la
3:02:58actual eh ley de las críticas estamos eh
3:03:04identificando, clasificando y
3:03:06gestionando cuáles son nuestros activos
3:03:08críticos en consid
3:03:10que que prestamos
3:03:13eso nos va a dar una idea
3:03:16de qué categorías o funciones o personas
3:03:20van a tener reción de Santiago para el
3:03:23mantenimiento de los servicios.
3:03:26Ahí podemos establecer
3:03:29controles de accesos
3:03:31y bueno, incluso de la idadien
3:03:43delante
3:03:45claro que pasa que cuando estamos
3:03:47hablando de personal interno
3:03:49eh puede parecer sencillo que no lo es,
3:03:52pero claro, estamos hablando ya
3:03:55como decía antes, es una naturaleza muy
3:03:59diversa, muy compleja, lo cual tendremos
3:04:01que también identificar, clasificar y
3:04:04gestionar cómo vamos a hacer ese trabajo
3:04:08eh por el marco la crisis inicial una
3:04:12oportunidad
3:04:14para dar un salto cualitativo en
3:04:16relación con lo que la
3:04:20y pedirle a ese reglamento que
3:04:24Sí, claro. No solamente el reglamento,
3:04:26Ana, porque el reglamento
3:04:29que será inminente, pero habrá una guía
3:04:31de cumplimiento mínimo.
3:04:35por las reuniones actuales que tenemos
3:04:38de de coordinación con el CNIF Crees
3:04:42críticos internos que tenemos. Todo eso
3:04:45nos dará lugar a una unificación de
3:04:47doctrina a la hora de aplicar
3:04:50con todo esto desde ahora.
3:04:54Y este es un punto
3:04:57delante anteproyecto va a requerir de
3:05:00mucho trabajo
3:05:03reglamentario, ¿no? Porque
3:05:06vamos a poder evitar esa cierta
3:05:08inseguridad jurídica que puede que se
3:05:11puede dar en algunos en algunos casos.
3:05:14Estamos hablando eh de un tema al que la
3:05:19Unión Europea está apostando por ir
3:05:22hacia regulaciones
3:05:24verticales especiales que afecten a cada
3:05:27sector.
3:05:30Zo, laso,
3:05:32vamos, las entidades financieras hay
3:05:36proyectos para que se afecten también a
3:05:39otros sectores ser la energía. Eh,
3:05:43deemos saber cómo quedas, o sea, ¿por
3:05:46qué? que a la hora de aplicar, esa es la
3:05:50complejidad, normativas muy horizontales
3:05:53que quieran abordar, no somos lo mismo
3:05:55el sector salud, el sector financiero o
3:05:59o el sector en las mismas problemas y
3:06:03tampoco sí coincidimos en proveedores. Y
3:06:07aquí me parece pronto a tener en cuenta
3:06:10y a que una mayoría de nos ofrezco una
3:06:13reflexión, habrá proveedores que se
3:06:16conviertan en operadores estratégicos
3:06:19por eh por su función clave a la hora de
3:06:24de la dependencia de los diferentes
3:06:26sectores, de los servicios que que
3:06:29prestan. Eso va a ser eso va a haber que
3:06:32modularlo muy bien porque esto al final
3:06:35eh la regulación
3:06:37como tal está muy bien, pero tiene un
3:06:40impacto y muchos de esos proveedores que
3:06:42tenemos son pines. Son pymes que que
3:06:47ante una exigencia regulatoria también
3:06:50hay una necesidad de dotarla
3:06:53presupuestariamente
3:06:55y que eso va a conllevar. Tenemos que
3:06:57medir muy bien los impactos y los
3:07:00alcances hacia hasta dónde queremos
3:07:02llegar.
3:07:03el concepto me pareja
3:07:06el emperador estratégico que también
3:07:08ofrecer a los propias operadores
3:07:11entidades críticas en lo que podamosar
3:07:14nuestro catálogoas
3:07:18estratégicas comoas
3:07:22o nuestros edificios
3:07:31Muy bien. Eh, la ley, el proyecto de ley
3:07:36break es verdad que habla de entidades
3:07:39críticas de una manera
3:07:42clarificadora, pero de esas entidades
3:07:44estratégicas
3:07:45no hablan claramente. que la Secretaría
3:07:48de Estado las nombrará, pero sí creo que
3:07:52hace falta y pudieran ser luego lo vemos
3:07:57esos proveedores. Eh, otra punto de la
3:08:01ley PRC, eh, la notificación de
3:08:06incidentes por parte de las entidades
3:08:08críticas tienen 24 horas, el plazo de 24
3:08:11horas para notificar a la Secretaria de
3:08:13Estado de Seguridad a través del CENPREC
3:08:16los incidentes que perturben o puedan
3:08:19perturbar de forma significativa la
3:08:21prestación de servicios esenciales.
3:08:27¿Qué qué papel
3:08:29en el momento de esos miles y miles de
3:08:32proveedores de cadena de suministro?
3:08:34Lógicamente habrá unos proveedores
3:08:37absolutamente
3:08:38críticos para
3:08:41prestar el servicio execuencial de cada
3:08:43uno de los sectores
3:08:46y los incidentes de esos proveedores,
3:08:48¿quién valora si hay que notificarlos?
3:08:51¿Qué ocurre si se desconoce el incidente
3:08:55de un operador, un proveedor muy crítico
3:08:58de esa cadena?
3:09:02años, como todas las cuestiones que se
3:09:06están planteando no son no tienen una
3:09:08respuesta
3:09:10no quedan esto requiere de cierta
3:09:14unación sobre todo eh también por la
3:09:17diversa tipología de de incidentes
3:09:22incidentes reales que por ejemplo
3:09:25hablamos de el tema de del valor que
3:09:29todo a todos supuso intentar eh
3:09:32paralizar eh la función de servicios
3:09:36esenciales durante 10 12 horas, ¿no? Eh
3:09:39plantas industriales, no está
3:09:40automático, como decir paro, arranco
3:09:42cuando me da la gana, ¿no?
3:09:45que esto te lleva una semana 8 meses
3:09:48porque luego en la puestas en marcha
3:09:51estamos hablando de todas las
3:09:53transmisión de de sustancias
3:09:54químicasivas
3:09:57en fin
3:10:01o coincidentes que incluso puedan puedan
3:10:04afectar a la cadena suministro de los
3:10:06sociales. Ayer hablaba ayer hoy en
3:10:08prensa que que actual
3:10:12eh cuando ya está previendo
3:10:16una una precisamente
3:10:18por por toda la paralización de del
3:10:20tráecto defectizante en
3:10:24España. Nosotros ni siquiera somos pasos
3:10:26de teníamos capacidad para atender el
3:10:28100% el consumo de de fertilizante, lo
3:10:33cual eh la cadena la producción de de
3:10:36alimentos, pues habilidad efectivamente
3:10:38afectada central. Eh, cuando estamos
3:10:42hablando de proveedores
3:10:45repetiros reclamarme con el tema de la
3:10:46electricidad
3:10:49sin electricidad.
3:10:51Entonces, bueno,
3:10:53hay importante que tiene que que eh que
3:10:58comunicar el el incidente para para
3:11:00poder sobre ya no estoy hablando de de
3:11:02un apago, ya estoy hablando, por
3:11:04ejemplo, que una planta de producción eh
3:11:07se conecta a dos a dos centrales de
3:11:10transformación, es una falla porque
3:11:12bueno, que puede ser que estén reparando
3:11:14una línea y la otra, pues ni siquiera
3:11:17hay un sistema de conectividad que te
3:11:19garantice que no haya un micr
3:11:21con lo cual ya tecen paradas, o sea, eso
3:11:24hay que comunicarlo, evidentemente,
3:11:27otro tipo de de incidentes que no
3:11:29afecten de forma significativa
3:11:32a servicios sociales que que tienen
3:11:34claro que decir. ¿Quién defude? ¿Cómo
3:11:37preguntarlo?
3:11:38¿Quién valor? ¿Por qué lo ha? Claro, hay
3:11:40hay un interlocutor que en la
3:11:42responsable de enlace, pero ahora será
3:11:44el responsable de y seguridad. Pero una
3:11:47persona eh
3:11:50debe tener un equipo de de de valoración
3:11:54existe
3:11:56ya digo que hay algunos que tocan a pero
3:11:59habrá otros que serán reales o
3:12:01potenciales y que valorar si merece la
3:12:03pena. Bueno, merece la pena. Jó régim
3:12:07senador y si no comunicas el incidente
3:12:10después de Pablo Zanahoria
3:12:13regla de tr
3:12:16pues la interpretación es sí pero fíjate
3:12:19si en cuanto a que ya lo estamos
3:12:21nosotros estamos sujetos a lo estamos
3:12:23haciendo así perfecto al servicio
3:12:25esencial
3:12:29en la
3:12:31el contenido de del proyectador pero ha
3:12:34dicho compañero de de la mesa, la cosa,
3:12:37fíjate, muy importante y yo
3:12:41traslado de cómo vamos a enfocar con
3:12:45desde la fundacional y ro
3:12:50como al final impacto y eso es una
3:12:54cuestión que que no no vamos a colabora
3:12:57y que lo vamos a a a implementar. Eh, y
3:13:01luego no no quería dejar de no entiendo
3:13:04de que notificar a las entidades estad
3:13:06de seguridad en el otro entidades que
3:13:09estamos bajo las entidades financieras
3:13:11que vamos a entrar bajo la cobertura la
3:13:13coyunturadora necesitamos canales futos
3:13:16de estados
3:13:18conectadoes
3:13:20como ha sido fue la pandemia como fue
3:13:24Filomena, como fue el apagón y eh
3:13:28realmente
3:13:29centramos al espíritu
3:13:32trasladar la normativa a nuestro
3:13:34nuestroador de esta conferencias y a
3:13:37Banco de España, pero eso esa
3:13:39oportunidad que nos ofrece de mejorar la
3:13:41residencia eh vamos a vamos a enfocarnos
3:13:45en un ámbito de hacer insistir en que
3:13:46necesitamos esos canales esos canales
3:13:49fluidos y ya estamos haciendo
3:13:50aportaciones, eh ya hemos hecho
3:13:52aportaciones eh vista las circunstancias
3:13:55que sejó en el apagón y hemos trasladado
3:13:57un poquino dejarlo porque creo que lo
3:13:59mejor de estas cosas es reflexizar.
3:14:02Hemos solicitado en su momento la
3:14:05incorporación al sistema CB de los
3:14:07operadores críticos, porque estamos
3:14:10evidentemente una necesidad ya ciudadana
3:14:13y en el apagón la necesidad de tener un
3:14:16contacto salido con
3:14:18es para aterrizar una avenida más
3:14:20operativa, pero quiero lanzarla en este
3:14:23foro porque sé que esto al final sirve
3:14:26para que todos sirve de fatiquetador
3:14:28para que todos empujemos
3:14:31perdonar.
3:14:35El artículo 10
3:14:37esta interpretación es clave, o sea, eh
3:14:40la entidad crítica debe deficar siempre
3:14:43porque dice además por ser exactos
3:14:45perturben o puedan perturbar. Ahora, la
3:14:48pregunta es, en nuestro caso, por
3:14:49ejemplo, tenemos eh en nuestra casa de
3:14:52suministro hay opera críticos, o sea, es
3:14:54decir, se escapa se debería escapar que
3:14:57una cooperativa de distribución de
3:14:59fármacos a nivel nacional debe de estar
3:15:01catalogada de alguna manera, ¿no? O una
3:15:03empresa de distribución de gases a nivel
3:15:04nacional. Igualmente, ¿quién tendrá la
3:15:06responsabilidad en ese caso? entiendo
3:15:08que eso ya reglamento que serán las dos
3:15:10entidades críticas o entidad
3:15:12estratégicas en su caso, ¿no? Pero como
3:15:13responsabilidad directa desde el marco
3:15:16regulador la entidad política.
3:15:19Muchas gracias. Pues pasamos a otro
3:15:22punto en el que podemos
3:15:25hablar de cadena de suministro. En el
3:15:28artículo 11, el la Secretaría de Estado
3:15:32de Seguridad impulsará la implementación
3:15:35del esquema nacional de certificación.
3:15:37que permitirá evaluar y certificar el
3:15:40movimiento de requisitos de resiliencia
3:15:43por parte de las entidades que
3:15:45críticaste.
3:15:49¿Cómo valoráis qué te va a afectar o
3:15:53hasta dónde a la cadena de suministro
3:15:55nuevamente o qué necesitáis para que
3:15:59esté? entiendo que algunos proveedores,
3:16:03los a su vez más críticos o esos que que
3:16:06a su vez no hace falta que nadie le diga
3:16:08que es o que es un proveedor de una
3:16:10entidad crítica, sino que a su vez es
3:16:12una entidad crítica. Pero, ¿dónde estará
3:16:14esa línea de
3:16:17esos miles?
3:16:22Pues eh preguntaros si eh debe alcanzar
3:16:26que la respuesta será sí, pero cómo
3:16:29ya vese la respuesta.
3:16:31Esa es esa es la respuesta. Además
3:16:34tendremos que evaluar hay que evaluar
3:16:36eso de de la cadena de suministro a las
3:16:40dependencias de culas políticas y
3:16:42evidentemente
3:16:45la es que no hay no hay más. Me podría
3:16:48extender a cómo lo hace, a cómo lo hace
3:16:50dura, pero pero en definitiva tiene
3:16:58cada pliego que que concursamos pedimos
3:17:01la 27001, pedimos la 9001, pedimos la
3:17:0314001, pues habrá que pedir
3:17:05certificaciones. Ahora la el gran debate
3:17:08estará quién va a certificar, cómo se va
3:17:09a certificar eh el esquema de
3:17:12certificaciones va a ser el debate. Y
3:17:14ahí vuelvo otra vez. Hay quearlo muy
3:17:17bien cómo lo vamos a realizar en
3:17:20proveedores que en muchos casos porción
3:17:24tienen menos pes, pero son muchas
3:17:25pequeñas interesadas a las que desde la
3:17:29administración central antes de exigirle
3:17:33le tendrá que darle
3:17:35capacidades, instrumentos que le
3:17:37permitan también.
3:17:40Esto no es fácil.
3:17:43La ley, digamos, en este caso papel está
3:17:46toda, pero luego la realidad
3:17:49que hay que que maneja y ese es un poco
3:17:52la frase práctica.
3:17:55Sí, no voy a ser yo evidentemente
3:18:00es y como estamos reiterando en la
3:18:03cantidad de suministro eh hay muchos
3:18:05pobladores que sepan las circunstancias
3:18:07que además son operadores de sociales
3:18:10como entramos de las interdependencias
3:18:13y será complicado, será complicado
3:18:16al momento porque probablemente vamos a
3:18:18tener incidentes que que van a afectar
3:18:23el
3:18:24Cada uno y evidentemente defiende su sus
3:18:27intereses.
3:18:29Hablar de una tarea la que va a tener
3:18:32una de de seguridad, como se ha dicho
3:18:35también esta mañana, hay que dotarla de
3:18:38los recursos suficientes para que para
3:18:41que tengan capacidad de de dirigir este
3:18:43proceso. Hasta ahora hay una nota
3:18:47excelente, ¿no? Sea desarrollado del
3:18:50sistema de España me gusta.
3:18:53que se v
3:18:55en la Unión Europea y deseo de la
3:18:58presencia de crítica. Ojo que hay mucho
3:19:03la Secretaría de Estado también
3:19:05elaborará el cantálogo nacional de
3:19:07entidades críticas y estratégicas.
3:19:09apuntabas Carlos, que puede ser una
3:19:11ayuda porque para entidades estratégicas
3:19:13no no
3:19:17es muy explícito y puede ayudar a que
3:19:20nuestros principal cadena de suministro
3:19:23que no sean entidades críticas puedan
3:19:26apuntado pudieran catalogarse con
3:19:28entidades estratégicas y probablemente
3:19:32ayudaría
3:20:00Sí.
3:20:02eh que presten servicios esenciales a a
3:20:05varios sectores y tengan que valorarse
3:20:09si eh entrarían dentro de la
3:20:12categorización como infraestructura
3:20:15estratégica.
3:20:16Eh y y por ahí va un poco la la línea de
3:20:22de evaluación y evaluación de ese tipo
3:20:24de de de proveedores dentro de esa
3:20:26cadena de suministros. No sé si los
3:20:29tenis,
3:20:30pero algo que decir no solamente es por
3:20:33salirme un poco del marco de cadera
3:20:34suplista no solamente dentro de la
3:20:36cadera supista es decir de todo un
3:20:37propio sistema de salud pues igualmente
3:20:41digo que se le escapará que un hospital
3:20:43de de alta complejidad podrá ser
3:20:46catalogado con entidad crítica de salud
3:20:49no ahora que todo el sistema es
3:20:51estratégico, por supuesto, y que vamos a
3:20:53tener el centro de salud por tener que
3:20:56vaya a ser una estratégica Seguro,
3:20:58seguro. Entonces, claro, dentro del
3:20:59propio sistema tenemos que empezar a
3:21:01discriminar entidades críticas y
3:21:03entidades nuestras propias estratégicas.
3:21:05Una personaje de fíjate
3:21:08en la línea que tú dices y me aparecido,
3:21:11dice y mi centro de salud, si me voy al
3:21:15espíritu yo tengo que garantizar que los
3:21:17centros de salud, asegurar que los
3:21:19centros de salud prestan los servicios
3:21:20cer
3:21:24asegurar que se produzcan. Por eso
3:21:26nosotros, yo antes hablaba del efectivo,
3:21:29al final el efectivo que el Banco de
3:21:31España en la normativa introdujo que
3:21:34fuese servicio esencial que se desestimó
3:21:38sin parte implícitamente eh en las
3:21:41entidades financieras vamos a poder
3:21:43interpelarlo seguramente porque yo al
3:21:45final lo que me hacer, que ahí está la
3:21:48clave es no proteger mi CPD, sino
3:21:52proteger que al cliente pueda operar una
3:21:55tarjeta o puede darle y llevar a cabo
3:21:58sus transacciones
3:22:00definitiva. Eh eh por ahí es donde
3:22:03tenemos que que que enfocarnos y es un
3:22:06poco ver la oportunidad y seguir el
3:22:09debate.
3:22:12Sí.
3:22:14Eh, voy a hacer eh referencia algún
3:22:17ejemplo que incluso es real como algunos
3:22:22algunos ejemplos no decir que se pues se
3:22:26empezó a marcar desarrollares
3:22:29específicos sectoriales identificación
3:22:32que tener estado de infraestructura
3:22:34crítica como gobernadores que que ponían
3:22:37en duda que que prestaran que pudieran
3:22:40prestares sociales.
3:22:42No se entendía, más bien se entendía
3:22:44como un montón de de obligaciones y
3:22:47ningún reporte de beneficio no tuvo que
3:22:51llegar la la pandemia para que muchos de
3:22:53estos operadores no se dieron cuenta
3:22:56que efectivamente el sistema repultaba
3:22:58beneficio que decía José todo el
3:23:01servicio de
3:23:03tuvo que venir la Filomena para que como
3:23:05los recursos del Estado se ponían
3:23:08a disposición de los servicios señales
3:23:12que tuvo que venir una huelga general de
3:23:14del transporte eh de ver la importancia
3:23:18de
3:23:19el sector transporte y cómo repercutiva
3:23:24de donde quería acabar precisamente con
3:23:27un sector eh
3:23:32que es estratégico, pero bueno, si se
3:23:35clasifica
3:23:37cantidad de críticas todas
3:23:40mayor
3:23:45La secretaria de estado elaborada.
3:23:48Secretaría. Ya, ya estamos fuera, fuera
3:23:51de tiempo. Teníamos más eh cuestiones
3:23:55que compartir. El tiempo ha llegado
3:23:57hasta aquí, pero todo lo que íbamos a
3:24:00compartir está en el proyecto de ley,
3:24:03que no solo se lo tiene que leer y
3:24:05estudiar y opinar los departamentos
3:24:07jurídicos, los departamentos de compras,
3:24:08sino que los responsables de Sy enlace y
3:24:11los eh y los profesionales de la
3:24:16seguridad, o sea, aunque de pereza esto
3:24:19hay que leerse muchas veces muy despacio
3:24:24y y es importantísimo
3:24:27vuestra opinión y bueno, de alguna
3:24:29manera anticiparnos y la fundación
3:24:31seguirá pidiéndos la opinión para
3:24:35intentar aportar antes de que el
3:24:37reglamento, porque ya esto antes
3:24:40debería, si no sería dramático, eh en
3:24:44breve debería estar en el proyecto de
3:24:46ley y parecido a lo que tenemos en las
3:24:50manos. Pero bueno, muchísimas gracias y
3:24:53les pido un fortísimo aplauso para
3:24:56ellos.
3:25:03Como decía Ana, eh se quedan muchos
3:25:06temas en el en el tintero. Han tocado
3:25:09los ponentes eh varios, pero la norma da
3:25:12para mucho. De hecho, todavía no tenemos
3:25:15una ley PREC y ya estamos pensando en
3:25:18todos esos temas que se van a tener que
3:25:20trasladar posteriormente al reglamento y
3:25:23que van a servir para aclarar todavía
3:25:25más las cosas. Pero bueno, mientras
3:25:27tanto, nosotros seguimos en este
3:25:29congreso y vamos a volver ahora al tema
3:25:32de las tecnologías, ¿no? Cómo las
3:25:34tecnologías contribuyen a la resiliencia
3:25:36de las entidades esenciales. Y en este
3:25:39caso tenemos a Raúl Porras, CISO de
3:25:42SICO, que nos va a hablar de, bueno, ese
3:25:44nuevo enfoque, el nuevo enfoque que
3:25:46tenéis de aplicar la ciberseguridad a
3:25:49los sistemas físicos de seguridad, que
3:25:51es un elemento también social dadas pues
3:25:54todo el tipo de amenazanas que hay.
3:25:56Pues Raúl, cuando quieras, bienvenido.
3:25:58Muchísimas gracias.
3:26:03Muchísimas gracias. En primer lugar
3:26:05agradecer a la organización al habernos
3:26:07invitado a participar en este evento.
3:26:10Soy Raúl Porras Martín, soy CISO,
3:26:12responsable en seguridad de la
3:26:13información en DEICO. Para aquellos que
3:26:15no conozcáis de SICO, DESICO somos un
3:26:17fabricante de soluciones de seguridad
3:26:19física. desarrollamos soluciones tanto
3:26:22software como hardware. Nuestro producto
3:26:24principal es una herramienta de tipo
3:26:25PESIM. Para los que vengáis del mundo de
3:26:27la ciberseguridad, el PESIM es lo
3:26:29análogo al Senógico,
3:26:31igual que el SEN recepciona eventos de
3:26:34distintas fuentes de la información como
3:26:36pueden ser EDRs, como pueden ser
3:26:38firewall, políticas de dispositivos de
3:26:40de usuario. Ellos integran esas señales
3:26:43en en su plataforma. Nosotros hacemos lo
3:26:45mismo en el mundo físico. Eh, de alguna
3:26:47manera integramos eh los distintos
3:26:49subsistemas de seguridad física,
3:26:51sistemas de CCTV, sistemas de control de
3:26:53accesos físico, sistemas de detección de
3:26:55intrusión. Recibimos todos los eventos
3:26:58de los distintos subsistemas y
3:26:59correlacionamos la información también
3:27:01entre ellos. Y con este pequeño
3:27:03contexto, hoy yo voy a dar un nuevo
3:27:05enfoque de ciberseguridad, rompiendo un
3:27:07poquito con todo lo que se viene
3:27:09hablando en el congreso, más ligado a la
3:27:11parte de seguridad física. Yo me lo voy
3:27:12a llevar un poquito más a mi terreno,
3:27:14pero es verdad que voy a dar un nuevo
3:27:15enfoque de ciberseguridad aplicado a los
3:27:18sistemas de de seguridad física. Me voy
3:27:20a basar en una idea eh muy sencilla y es
3:27:22que la seguridad física hoy en día no
3:27:24puede ser ni resiliente ni eficaz si no
3:27:27se acomete la ciberseguridad de estos
3:27:28sistemas. Vamos a ir viendo eh a lo
3:27:30largo de la presentación pues un poco el
3:27:33entorno tecnológico donde eh conviven
3:27:35estos eh dispositivos y una serie de
3:27:38responsabilidades eh compartidas que que
3:27:40vamos a ir tratando y que de alguna
3:27:42manera eh son necesarias para poder eh
3:27:45acometer de de manera adecuada la
3:27:46ciberseguridad de estos sistemas.
3:27:50Eh a modo introductorio, vamos a
3:27:51analizar eh primero el entorno donde hoy
3:27:54en día conviven estos dispositivos. Al
3:27:57final, como todos sabemos, pues las
3:27:59empresas invierten mucho dinero a nivel
3:28:01tecnológico, eh, pues con la finalidad
3:28:04de mejorar sus procesos de negocio, su
3:28:06eficacia operativa, incluso las labores
3:28:09de supervisión y monitorización que
3:28:11hacen de las operaciones de de su
3:28:14empresa. ¿Qué ha pasado? que al final eh
3:28:16dentro de las redes de negocio eh ahora
3:28:18no tenemos únicamente los sistemas eh de
3:28:21IT tradicional, tenemos otros sistemas
3:28:24eh integrados dentro de dentro de estas
3:28:26redes. Tenemos eh sistemas de seguridad,
3:28:29eh sistemas de gestión de edificios
3:28:33eh sistemas OT más ligados al entorno
3:28:35industrial, sistemas IoT de distinta
3:28:38índole, pues sistemas de control de
3:28:40iluminación, control de temperatura, eh
3:28:43control de ascensores. Al final lo que
3:28:45está pasando es que las empresas eh lo
3:28:47que acaban teniendo es una malla eh cada
3:28:50vez eh más interconectada de lo que yo
3:28:52denomino eh sistemas eh ciberfísicos. Y
3:28:55el problema radica en que antes eh las
3:28:58amenazas cibernéticas estaban únicamente
3:29:00ligadas al entorno inter tradicional,
3:29:02pero obviamente todos estos sistemas se
3:29:04conectan ahora a esas redes TCP.
3:29:07Entonces las amenazas cibernéticas que
3:29:08aplicaban únicamente el entorno
3:29:09tradicional pues estas vuelan también a
3:29:12todos estos conjuntos de dispositivos
3:29:14que yo en mi presentación me voy a basar
3:29:17y voy a poner el foco en los sistemas de
3:29:19de seguridad física.
3:29:22Eh, ¿qué ocurre? ¿Cuál es el problema de
3:29:25cibersecurizar los sistemas de
3:29:27seguridad? Eh, el problema o o el reto,
3:29:30desde mi punto de vista, es que es
3:29:32incluso eh mayor que en el entorno IT
3:29:34tradicional. y es mayor porque los
3:29:37entornos de seguridad física eh combinan
3:29:39amenazas de tres tres entornos, perdón,
3:29:42muy diferentes. Eh amenazas del entorno
3:29:45IT tradicional y y esto es así porque
3:29:48dentro de las redes de seguridad física
3:29:50pues desplegamos servidores, baser de
3:29:53datos, sistemas virtualizados,
3:29:55dispositivos de usuario.
3:29:57Se mezclan también amenazas del entorno
3:30:00OT. Si no estáis familiarizados con este
3:30:02concepto, la parte OT viene de las
3:30:04amenazas que aplican directamente al
3:30:06sector industrial, donde se despliegan
3:30:08escadas, donde se despiegan eh PLCs. Eh,
3:30:12al final en estos entornos hay unos
3:30:14protocolos de comunicación que son muy
3:30:15específicos. Eh, se distribuyen Escadas,
3:30:18está Modus, está Profinet, está UCUA.
3:30:21Dentro de la parte de seguridad física
3:30:23nos pasa lo mismo. Nosotros también
3:30:25tenemos protocolos de comunicación que
3:30:27son específicos de nuestro entorno.
3:30:29Wigan, USDP, Myfir, Desfire. Entonces,
3:30:33de alguna manera se requiere un
3:30:35tratamiento también especial en la parte
3:30:37de las amenazas útil. Y por último, a
3:30:39nivel end point, obviamente dentro de
3:30:42las redes de seguridad física tenemos
3:30:43dispositivos IoT, todas las cámaras de
3:30:45CCTV, los controladores de acceso, las
3:30:48centrales de intrusión, sistemas de
3:30:50interfonía, todos estos eh sistemas de
3:30:53alguna manera son muy diferentes entre
3:30:54sí, tienen capacidades operativas eh que
3:30:57que son eh diferentes y por otro lado
3:31:01todos ellos incluyen firmware dentro de
3:31:04sus dispositivos. alguna manera ese
3:31:06firmware hay que protegerlo. Igual que
3:31:07se protegen las amenazas IT del propio
3:31:10software que se aplican los servidores,
3:31:12el firware de los dispositivos necesita
3:31:14también atención. Entonces, de alguna
3:31:16manera, para cibersecurizar la parte de
3:31:18seguridad física, necesitamos aplicar
3:31:20controles en cada una de las cámaras.
3:31:24¿Y qué pasa? Yo veo un problema. de un
3:31:26problema eh principal y es el modelo de
3:31:30gestión a nivel eh organizativo.
3:31:33Tradicionalmente eh las áreas de
3:31:35seguridad física pues han tenido la
3:31:38función de proteger activos tangibles,
3:31:40instalaciones, edificios, personas.
3:31:42Normalmente la función recae sobre el
3:31:44director de seguridad corporativa. La
3:31:47parte de de ciberseguridad o seguridad
3:31:49de la información gobernada
3:31:50principalmente por el responsable
3:31:52segurad de la información o inciso
3:31:54ligado a la protección de activos
3:31:56lógicos, asegurar la información de la
3:31:59empresa. Normalmente estos modelos han
3:32:02funcionado de manera fragmentada,
3:32:04aislada, tenía sentido que no había
3:32:07interrelación entre ambas áreas.
3:32:09Acabamos de ver el entorno se ha
3:32:11modificado, el entorno ha cambiado, ha
3:32:13evolucionado, los sistemas de seguridad
3:32:14física se conectan dentro de las redes
3:32:17eh IT del negocio, normalmente
3:32:19gobernadas y gestionadas por el
3:32:21departamento de IT barra por el por el
3:32:24CISO los responsables de de
3:32:25ciberseguridad de de la compañía. Y
3:32:28entonces es verdad que nosotros estamos
3:32:30desplegando a nivel tecnológico y
3:32:32evolucionando muy rápidamente,
3:32:34incluyendo nuevos equipamientos dentro
3:32:36de las redes de seguridad física, pero
3:32:38en cambio el modelo de gestión sigue
3:32:39siendo el mismo. Mantenemos una gestión
3:32:42independiente entre ambas áreas, no hay
3:32:45cooperación, no hay comunicación. Eh, al
3:32:49final lo que nos encontramos es que
3:32:50dentro de las redes de seguridad física
3:32:52las medidas de ciberseguridad o son
3:32:54mínimas o son por defecto.
3:32:56Sensato pensar que ese modelo debería de
3:33:00alguna manera cambiar y que empezásemos
3:33:03a hablar del término que se viene
3:33:05hablando hace muchísimo tiempo y que es
3:33:07la convergencia entre seguridad física y
3:33:09ciberseguridad.
3:33:11Es verdad que se viene hablando mucho
3:33:13este término, eh es complicado llevarlo
3:33:15a cabo, pero desde mi punto de vista hay
3:33:17un detonante que puede acelerar todo
3:33:19este proceso.
3:33:21detonante es la regulación, porque las
3:33:23regulaciones que vienen tanto a nivel
3:33:25nacional como a nivel europeo no van a
3:33:27admitir estos modelos fragmentados, van
3:33:30a exigir análisis de riesgos eh
3:33:32integrales, van a exigir que se apliquen
3:33:36controles integrales de seguridad
3:33:39en todo el ciclo de vida de los
3:33:41sistemas, perdón.
3:33:42Por ejemplo, si ponemos el foco a nivel
3:33:44nacional, el esquema nacional de
3:33:46seguridad, todos lo conocemos, de
3:33:48aplicación principal a a la
3:33:50administración pública, sector público.
3:33:53Todas las entidades públicas tienen que
3:33:55certificar su sistema de la información
3:33:58en base al nivel de criticidad de dicho
3:34:00sistema, o de dicha entidad y deben
3:34:03utilizar productos que estén
3:34:05incorporados en el catálogo CPSCK dentro
3:34:08del alcance del sistema de del esquema
3:34:10nacional. A nivel europeo, la Cyber
3:34:13Resilience Ad nos aplica directamente a
3:34:15los fabricantes de producto. Nosotros
3:34:18vamos a tener que dar cumplimiento a
3:34:20esta normativa. Se van a exigir
3:34:22requisitos de ciberseguridad a lo largo
3:34:24del todo ciclo de vida de los sistemas.
3:34:28Aún se están desarrollando las normas
3:34:30armonizadas que de alguna manera eh
3:34:32regirán cómo vamos a tener que dar
3:34:35conformidad a la normativa.
3:34:37La directiva Red, que ya está en vigor,
3:34:40es una directiva que aplica únicamente a
3:34:42equipos radioeléctricos. Es verdad que
3:34:43el alcance es más reducido que con
3:34:46respecto a la CRA. cuando entre en vigor
3:34:49eh la CRA, la directiva de red eh será
3:34:52derogada, pero de alguna manera hay una
3:34:54norma ya de obligado cumplimiento que es
3:34:56la UNE 18031 que define ya requisitos de
3:34:59ciberseguridad para este tipo de de
3:35:02sistemas.
3:35:03Y luego tenemos la directiva NIS 2, eh
3:35:06muy ligada obviamente a lo que se viene
3:35:08eh comentando en el Congreso, la
3:35:10directiva CER, una más ligada a la parte
3:35:12de ciberseguridad, otra más ligada a la
3:35:15parte de de sistemas de de seguridad
3:35:17físico. Se comentaba en la mesa redonda
3:35:19anterior eh sobre el esquema de de
3:35:22certificación que van a tener que
3:35:23cumplir a nivel de resiliencia las
3:35:25entidades críticas. Yo me pregunto si
3:35:27ese esquema de certificación va a
3:35:29incorporar requisitos de ciberseguridad
3:35:31en los sistemas de seguridad física.
3:35:32Porque si de alguna manera para dar
3:35:34cumplimiento a la directiva yo tengo que
3:35:36proporcionar medidas de seguridad física
3:35:38para protección de esas instalaciones,
3:35:41tendré que asegurar la resilencia mundo,
3:35:43¿no? De alguna manera la NIS 2 está
3:35:46relacionada con la directiva CER, más
3:35:49ligada a la parte de de ciberseguridad
3:35:51para la parte de operadores críticos.
3:35:53Des mi punto de vista y por todos los
3:35:54foros que se viene hablando, va a ir
3:35:56ligada también al cumplimiento del
3:35:57esquema nacional de seguridad.
3:36:00Estos operadores van a tener que
3:36:01certificar eh su sistema eh me imagino
3:36:05que nivel alto. Habrá que ver cómo cómo
3:36:07se hace esa transposición y por tanto
3:36:10tendrán que eh incorporar también
3:36:12productos que estén incorporados dentro
3:36:14de del catálogo tempesto.
3:36:17Esto es un resumen eh para que se vea de
3:36:20un vistazo el impacto que van a tener
3:36:22las nuevas regulaciones en en el cliente
3:36:25final.
3:36:26Si vemos lo que comentaba al nivel del
3:36:28Esquema Nacional de Seguridad, eh los
3:36:30sujetos que estén obligados pues tienen
3:36:32que certificar su sistema de la
3:36:33información. Seguramente se extrapoble
3:36:35también al cumplimiento de la NIF 2. No
3:36:37solo serán las administraciones públicas
3:36:39las que tendrán que cumplir con el
3:36:40esquema, sino que también eh los
3:36:42operadores críticos o esenciales tendrán
3:36:44que cumplir con el esquema nacional de
3:36:46seguridad.
3:36:47Todas esas exigencias se extrapolan a
3:36:50los proveedores de servicio. Los que
3:36:51damos un servicio, por ejemplo, en mi
3:36:53empresa de mantenimiento de soporte,
3:36:56vamos a tener que certificar también
3:36:57nuestro sistema de la información en el
3:36:59esquema nacional de seguridad. A nivel
3:37:02de fabricantes de productos venía
3:37:04comentando que tienen que estar
3:37:05incorporados dentro del catálogo CPST.
3:37:08aquellos productos o dentro del alcance
3:37:10de del sistema de lens, tú certificas tu
3:37:13sistema de la información, tienes que
3:37:14incorporar productos que estén dentro de
3:37:16de dicho alcance. Para eso hay una serie
3:37:20de certificaciones ligadas a producto,
3:37:22no ligadas a la parte de servicios. En
3:37:25la parte producto está el lince y están
3:37:27los esquemas de certificación europeos
3:37:29que van a permitir dar cumplimiento a
3:37:32todas estas exigencias, por lo menos
3:37:34para nosotros, y poder ir proporcionando
3:37:37eh productos que que sean seguros.
3:37:40Viendo todo este ecosistema eh normativo
3:37:43y y de cumplimiento que que acabo de
3:37:45mencionar, nosotros ahora mismo lo que
3:37:47estamos haciendo es adelantarnos,
3:37:49adelantarnos a que se redacten las
3:37:52normas armonizadas de CRA. Eh eh al
3:37:55final todos sabemos cómo va esto, va
3:37:57pasito a pasito y luego eh se tarda
3:38:00mucho en redactar las normas, pero la
3:38:02aplicabilidad llega muy rápido. Nosotros
3:38:04eh estamos ahora mismo en proceso de de
3:38:06certificar nuestro nuestro software ping
3:38:09en Lince. Lince es un esquema eh
3:38:12promovido por el Centro Criptológico
3:38:13Nacional. Eh, para nosotros es muy
3:38:17importante porque nos va a permitir dar
3:38:19cumplimiento a todas estas exigencias
3:38:21que acabo de comentar tanto a nivel eh
3:38:23nacional como como europeo.
3:38:26Eh, mencionar que para poder certificar
3:38:28tu producto en Lince tiene que existir
3:38:30una taxonomía de producto. Esa eh
3:38:33taxonomía de producto define los
3:38:35requisitos de ciberseguridad de
3:38:37aplicabilidad al producto. ¿Qué pasaba
3:38:39en los sistemas PESI? no existía esta
3:38:42tasonomía de de producto. Eh, nosotros
3:38:45hemos participado activamente con el
3:38:47Centro Criptológico Nacional, hemos
3:38:49definido esa taxonomía de producto,
3:38:51apoyados con ellos y se han especificado
3:38:53todos los requisitos de ciberseguridad
3:38:55que tienen que cumplir eh los sistemas
3:38:57PES.
3:38:59Una vez existe esa taxonomía de
3:39:01producto, pues bueno, la fase de
3:39:02certificación es la que vemos en en la
3:39:04slide. Por un lado, tienes que eh pasar
3:39:07un proceso de diseño, tienes que
3:39:09adaptar, obviamente, tu sistema a todos
3:39:11los requisitos funcionales y de
3:39:13especificación que vienen incluidos en
3:39:15la tasonomía. Tienes que preparar una
3:39:17serie de documentación bastante intensa,
3:39:19guías de bastionado seguro, eh una
3:39:22declaración de seguridad donde indicas
3:39:23cómo vas a cumplir con respecto a a lo
3:39:26especificado en en la lo especificado,
3:39:29perdón, en la tasonomía de producto y
3:39:31luego tienes que pasar por una fase de
3:39:32laboratorio. La fase de laboratorio es
3:39:35bastante intensa, eh, no solo miden los
3:39:38requisitos funcionales que se establecen
3:39:41en la taxonomía de producto, sino que te
3:39:43hacen un análisis de vulnerabilidades,
3:39:45te hacen un pen testing en función de
3:39:47las no conformidades, pasas, no pasas el
3:39:50proceso. Nosotros estamos ya en fase de
3:39:52laboratorio para poder obtener la
3:39:54certificación de nuestro producto.
3:39:57Esto es un resumen de todas las medidas
3:40:00de ciberseguridad que hemos tenido que
3:40:02que incluir en el producto. Eh, yo las
3:40:05englobo en en cuatro grandes grupos
3:40:08porque si no no me entraría en la slide.
3:40:10Eh, el primero de los grupos eh dedicado
3:40:13a políticas de control de accesos
3:40:15lógico. Hemos implementado pues
3:40:18mecanismos de protección frente a
3:40:19ataques de fuerza bruta, tanto para
3:40:21usuarios estándar como para usuarios de
3:40:23emergencia o administradores del
3:40:25sistema. eh control de inactividad de
3:40:27operadores, eh eh política robustar de
3:40:30contraseñas. El segundo de bloques
3:40:33quizás es el que más guerra nos ha dado.
3:40:35Eh, hemos tenido que incorporar eh
3:40:37mecanismos de de cifrado tanto en reposo
3:40:40como en tránsito. Eh, ciframos toda la
3:40:43información, ciframos información en
3:40:45base de datos, ciframos información de
3:40:47configuración del sistema, eh aplicamos
3:40:50cifrado en tránsito mediante TLS 1.2 y
3:40:531.3, tres, siempre utilizando protocolos
3:40:55estándares que nos permitan de alguna
3:40:57manera y nos faciliten la integración
3:40:59luego con dispositivos que que sean de
3:41:02terceros y que de alguna manera nuestra
3:41:04plataforma, un punto que tiene eh muy
3:41:07grande es que es una plataforma abierta.
3:41:10Eh, la parte de gestión de
3:41:11vulnerabilidades eh lo dicen todas las
3:41:14normativas. Eh, CRA lo establece, hay
3:41:16que establecer un proceso de gestión de
3:41:18vulnerabilidades. Hay que gestionar esas
3:41:20vulnerabilidades durante todo el ciclo
3:41:22de desarrollo. Hemos incorporado ese
3:41:25proceso. Luego hemos eh incorporado
3:41:27también procesos de verificación de
3:41:29firma. Obviamente autenticamos eh
3:41:31nuestro software, librerías ejecutables
3:41:34eh y aplicamos también lo que se
3:41:37comentaba ayer en la jornada eh de
3:41:39ciberseguridad. definimos es bon para eh
3:41:43de alguna manera declarar todas las
3:41:44dependencias que que tenemos conos en el
3:41:47registro y trazabilidad de acciones.
3:41:49Obviamente para análisis forense dejamos
3:41:50trazabilidad de cualquier acción que que
3:41:53haya en el en el software, acciones a
3:41:55nivel eventos de de los propios
3:41:57operadores como cualquier tipo de cambio
3:41:59de configuración que se pueda hacer y
3:42:02que de alguna manera nos sirva para
3:42:04hacer una revisión de algún incidente
3:42:07que haya podido ocurrir en el sistema.
3:42:09Y ya para cerrar mi intervención, eh
3:42:13cabec eh cabe una última reflexión y es
3:42:17que es verdad que los fabricantes nos
3:42:19hemos convertido en el primer eh eslagón
3:42:22de confianza dentro de toda esta cadena
3:42:25eh de cumplimiento normativo en materia
3:42:28de ciberseguridad, pero es verdad que no
3:42:31puede recaer únicamente en el fabricante
3:42:33de soluciones. La responsabilidad es
3:42:35compartida, es compartida entre
3:42:36distintos actores que vemos en la slide.
3:42:38Obviamente los fabricantes de soluciones
3:42:40de producto, obviamente tenemos nuestro
3:42:43papel, somos el número uno, tenemos que
3:42:46dar de alguna manera eh proporcionar un
3:42:49producto que sea ciberseguro en el
3:42:51mercado. Tenemos que cumplir con todas
3:42:53las normativas vigentes y vamos a tener
3:42:56que de alguna manera proporcionar
3:42:57confianza a nuestros clientes y a partes
3:42:59interesados. Pero luego tenemos a los
3:43:01instaladores y mantenedores integradores
3:43:03de los sistemas de seguridad. Realmente
3:43:05ellos son los que de alguna manera
3:43:07integran los productos dentro de las
3:43:09redes del propio cliente. Nosotros
3:43:12establecemos guías de bastionado seguro,
3:43:13guías de configuración de nuestro
3:43:15sistema. Ellos tienen que aplicar esas
3:43:17guías de bastionado, tienen que
3:43:18configurar el sistema de acuerdo a lo
3:43:21que nosotros hemos estipulado para dar
3:43:23cumplimiento a las normativas que
3:43:24acabamos de ver. Obviamente podemos dar
3:43:27soporte en el proceso y obviamente eh
3:43:30los clientes al final son los que tienen
3:43:32la última responsabilidad. Los clientes
3:43:34finales son los que van a tener que
3:43:35definir los criterios de ciberseguridad
3:43:37que van a querer para los sistemas. la
3:43:39cerrea va a ser obligatoria, o sea, que
3:43:42en los pliegos de prescripciones
3:43:43técnicas que se declaren de nuevo
3:43:46equipamiento de seguridad física, se van
3:43:48a tener que incorporar esos requisitos y
3:43:51ellos van a tener que velar porque la
3:43:53implantación se haga de acuerdo a lo que
3:43:54se ha estipulado en el proyecto. Por
3:43:57otro lado, lo que comentaba, alinear IT
3:44:00con la parte de seguridad física. La
3:44:02parte de IT, ¿se aplica ciberseguridad
3:44:05en el área en el área de negocio? ¿Por
3:44:08qué no se aplica en las redes de
3:44:09seguridad física? Es lo son los clientes
3:44:12los que tienen la protestad para poder
3:44:14alinear lo que se aplica en un lado y
3:44:16que se aplique también el otro.
3:44:19Y ya únicamente una frase de reflexión
3:44:22para terminar y es que la ciberseguridad
3:44:23en sistema de seguridad física se
3:44:25diseña, se despliega y se gobierna entre
3:44:27todos. Muchísimas gracias.
3:44:33Gracias, Raúl. Muchas gracias a ti. Eh,
3:44:37hablabas de un nuevo enfoque, pero has
3:44:39dado un detalle sobre el que llevamos
3:44:42mucho tiempo hablando como es la
3:44:43convergencia.
3:44:44la convergencia entre lo que llamamos
3:44:46seguridad física y la lógica, que al
3:44:49final es una seguridad definitiva. Bien,
3:44:52estamos llegando ya a la recta final de
3:44:54este congreso y hay un último tema eh
3:44:59que cada vez está cobrando más
3:45:00relevancia más en los tiempos actuales
3:45:02en los que vivimos con una situación
3:45:05geopolítica que afecta a todos los
3:45:08ámbitos de la vida y especialmente a la
3:45:11actividad de las empresas. Y vamos a
3:45:13hablar de inteligencia corporativa.
3:45:15Parece que ya está superada esa idea, al
3:45:18menos en el en el entorno profesional de
3:45:20la seguridad, esa idea de que la
3:45:22inteligencia es una cuestión reservada
3:45:24al Estado y cada vez más empresas están
3:45:27apostando de alguna manera por hacer
3:45:30inteligencia. Eh, lo que vamos a saber
3:45:33ahora es a través de los eh ponentes que
3:45:36tenemos es qué es de verdad la
3:45:38inteligencia corporativa, por qué es tan
3:45:40necesaria hoy en día, cuáles son sus
3:45:42atributos, etcétera. Y además vamos a
3:45:46poder conocer una iniciativa reciente de
3:45:48la Fundación Borreda, que seguro que les
3:45:49va a interesar mucho. Y bueno, pues
3:45:52vamos a dar ya paso a los ponentes que
3:45:54son Javier Rodríguez del Observatorio de
3:45:57Inteligencia Corporativa de la Fundación
3:45:59Berreda, a Joaquín González. director de
3:46:02inteligencia de FCC. Pues eh os dejo
3:46:07estos minutos ya para prácticamente
3:46:09cerrar el congreso y dar paso
3:46:11posteriormente a las a las conclusiones
3:46:14y les va a acompañar que es comunidad.
3:46:18Ya veremos luego, pues Ana les va a
3:46:20acompañar para tener este columni. Pues
3:46:22cuando queráis, por favor. Muchas
3:46:24gracias, Enrique. que no estaba en
3:46:26programa, pero bueno, me han pedido los
3:46:30que tienen muchísimo que contar son
3:46:33ellos, pero me han pedido que les
3:46:35acompañe y quizás tenga sentido que
3:46:40pues de alguna manera
3:46:42explique por qué terminamos con
3:46:44inteligencia corporativa el congreso de
3:46:46esta edición y más después de haber
3:46:48estado dos días escuchando y hablando de
3:46:52protección, de resiliencia, de
3:46:54ciberseguridad,
3:46:55de todos esos cambios disruptivos que
3:46:58están ocurriendo en el mundo y que el
3:47:02mismo director del CEP esta mañana decía
3:47:04que el cambio del modelo de la ley PRC
3:47:07frente al modelo PIC es un cambio
3:47:10disruptivo, pues para que también como
3:47:13él ha mencionado que no estábamos ni
3:47:17habíamos comentado el tema, esta mañana
3:47:20hablaba que uno de los retos era que no
3:47:23solo este cambio de modelos no sea
3:47:26cumplir, sino que hubiese una
3:47:28resiliencia real, que había que integrar
3:47:31la seguridad en el negocio, la
3:47:33gobernanza de la resiliencia, la gestión
3:47:35de riesgos ampliada.
3:47:38Pues eh desde hace muchos años y siempre
3:47:42eh acompañando a la seguridad
3:47:44corporativa que los propios fines de la
3:47:49Fundación Coredad de sus estatutos,
3:47:51habla de la función de seguridad
3:47:52corporativa y de sus profesionales,
3:47:55hemos
3:47:58impulsado, ayudado a que el sector
3:48:00privado pues comparta, hable, que hoy en
3:48:04día existen expertos
3:48:07como los que me acompañan y unidades de
3:48:09inteligencia en el sector privado
3:48:12importantísimas.
3:48:14Y bueno, pues hemos hecho formaciones,
3:48:16hemos hecho jornadas, pero damos un paso
3:48:18más en estos momentos por intentar echar
3:48:21una mano y crear un espacio confiable en
3:48:24torno a la inteligencia corporativa,
3:48:26creando el observatorio de inteligencia
3:48:28corporativa. Me acompaña Javier
3:48:31Rodríguez, eh, para quienes no le
3:48:34conozcáis, no viene de cuerpos de
3:48:36seguridad del Estado. en estos momentos
3:48:40es el responsable de inteligencia de un
3:48:42operador crítico y ha sido profesor
3:48:48de todas nuestras formaciones, mi
3:48:50profesor favorito
3:48:52y el que el colaborador principal en
3:48:55estos momentos que nos está ayudando a
3:48:57convertir en realidad ese observatorio
3:48:59de inteligencia y seguridad.
3:49:02van a tener un diálogo eh también con
3:49:06Joaquín de hautado responsable de la
3:49:10unidad de inteligencia de Vente, que
3:49:12espero que nos pueda contar cómo ha
3:49:15hecho pues conservadora
3:49:19la para mí la unidad de inteligencia más
3:49:23eh potente, especial, típica, diferente
3:49:26de las que yo he tenido oportunidad de
3:49:29que me la compartieras.
3:49:32Un día él proviene de Fuerzas Armadas y
3:49:35además es el secretario y él que
3:49:38coordina una un grupo de trabajo que hay
3:49:42en Zeus, donde la seguridad corporativa
3:49:45de muchísimo nivel se agrupa en torno a
3:49:47una asociación y bueno, pues como sonos
3:49:50dos iniciativas y y vamos a crear,
3:49:53esperemos, algo muy fructífero para
3:49:57todos.
3:49:58Eh, por eso es el motivo por el que se
3:50:01cierra este congreso hablando de
3:50:03inteligencia corporativa y los primero
3:50:04que les voy a a pedir es que qué se
3:50:08entiende o qué se debería entender o de
3:50:11qué hablamos cuando hablamos de
3:50:13inteligencia corporativa.
3:50:19Eh, bueno, lo primero que empezaría yo
3:50:23describiendo es qué debemos entender por
3:50:25por inteligencia. A mí me gusta usar una
3:50:28definición fácil que creo que hay que
3:50:32que a pesar de lo fácil y que parece
3:50:34Pero hay que eh a mí me gusta decir que
3:50:37eh los que nos dedicamos a hacer
3:50:39inteligencia en la empresa, lo que nos
3:50:42dedicamos es a proporcionar información
3:50:44que elaboramos y que es útil y oportuna
3:50:48para personas que toman decisiones en en
3:50:50nuestras empresas para conseguir esos
3:50:53objetivos de la de la organización. Y
3:50:55eso, dicho así de fácil, no quiere
3:50:58decir, como en algunos foros oigo, que
3:51:00solamente haces inteligencia para el
3:51:03nivel estratégico, para el CEO, para
3:51:05gente que toma decisiones a muy alto
3:51:07nivel. Eh, en las empresas se toman
3:51:11muchas decisiones, tanto en niveles
3:51:13estratégicos como muy tácticos. Y lo que
3:51:15sí es importante es que la información
3:51:19que le llega les sea de utilidad, que
3:51:21resuelva un problema de inteligencia y
3:51:24que esté hecha por profesionales que se
3:51:27han preocupado de cuando no hay datos
3:51:30información suficientes, son capaces de
3:51:32obtenerlas, son capaces de difundirlas
3:51:35en el momento que es oportuno y de la
3:51:38forma conveniente para que hoy día con
3:51:40el volumen de información y y lo
3:51:43dispersos que estamos por la velocidad a
3:51:46la que nos movemos, eh, sea capaz esa
3:51:49persona de resolver ese ese problema de
3:51:52de inteligencia. Y es importante también
3:51:55que eso lo elabore personal que conoce
3:52:01es capaz de aplicar técnicas y
3:52:03metodologías propias de la inteligencia.
3:52:05decisiones toman muchas personas, además
3:52:08eh las toman con la inteligencia que
3:52:10tiene en ese momento, pero no siempre
3:52:14son decisiones informales y ahí donde
3:52:17está, creo yo, la diferencia a la hora
3:52:20de que se resuelva un problema de
3:52:22inteligencia o la función de
3:52:24inteligencia tenga peso en una.
3:52:27Muchas gracias, Joaquín. Javier, que no
3:52:30lo ha dicho, aparte de provenir de
3:52:32fuerzas y cuerpos de seguridad del
3:52:34Estado, durante una etapa muy amplia de
3:52:36su vida era el entorno de
3:52:40ciberseguridad,
3:52:42con lo cual ahora está en seguridad
3:52:44corporativa, en inteligencia. Entonces
3:52:46creo que su visión es eh diferente y muy
3:52:52enriquecedor de lo que se llamaría el
3:52:53califat técnico. ustedes que la
3:52:55comunicación con alguien cbe suele ser
3:52:57compleja y complicada, eh, pero sí que
3:52:59es verdad que bueno, civil es verdad que
3:53:02me me dieron el barniz de cómo
3:53:04complementar lo técnico con explicar las
3:53:06cosas para humanos, eh, que saben que a
3:53:08veces es complicado. Bueno, el tema de
3:53:09la inteligencia totalmente de acuerdo
3:53:11con Joaquín, al final muchas
3:53:12definiciones, para mí es entender qué
3:53:14está pasando y entender qué va a pasar y
3:53:16decírselo al que le hace falta
3:53:18conocerlo, ¿no? Eh, pero sí que me
3:53:20interesa una cosa que además pues ya
3:53:22empezamos mal porque los dos venimos de
3:53:24la función pública y justamente eh cada
3:53:27uno de su ámbito, evidentemente, pero
3:53:28también de hacer inteligencia y es
3:53:30inteligencia corporativa. Una cosa que
3:53:32que que me gustaría aterrizarlo un poco
3:53:34más y es que a diferencia de que fica es
3:53:37el mismo que decir alguien que está
3:53:38pasando que va a pasar, sí que es verdad
3:53:41que la inteligencia corporativa está
3:53:43empezando a buscarse un lugar en un
3:53:45sitio donde tradicionalmente todo era eh
3:53:49inteligencia pública, todo era
3:53:51terrorismo, todo era eh crioganizado,
3:53:53todo era Y nadie pensaba un poco en los
3:53:56verdaderos problemas que tiene una
3:53:57compañía, porque una compañía no se
3:53:59dedica a perseguir delitos, se dedica a
3:54:00proteger su negocio.
3:54:02eh dedicarse a eso. Eh, también es
3:54:04verdad que a colación de esto va
3:54:06sucediendo una cosa muy interesante en
3:54:08la inteligencia corporativa y es que si
3:54:10bien es verdad que nosotros no somos
3:54:12representativos, ¿vale? Pero sí que es
3:54:13verdad que se empieza a incorporar un
3:54:15montón de perfiles que venimos de la
3:54:17inteligencia pública. Hay que ver qué es
3:54:18inteligencia pública y qué hace.
3:54:21Vamos a abrir aquí, ¿vale? Pero sí que
3:54:23es verdad que de repente empiezan a
3:54:25aparecer unos profesionales que nunca
3:54:27han estado en la función pública, pero
3:54:29que están haciendo inteligencia tamban
3:54:30bien o mejor como los que venimos de ese
3:54:33tipo de inteligencia. Entonces, ¿qué es
3:54:36la inteligencia corporativa? pues es
3:54:38aquella, para mí es aquella que se
3:54:41dedica a entender qué amenaza, entender
3:54:43qué está pasando y entender qué va a
3:54:45pasar siempre relacionado con los
3:54:47intereses corporativos, no más allá de
3:54:49eso. Y además tendría una tercera o una
3:54:51segunda dimensión, que sé que a Joquí le
3:54:53gusta mucho, que hace un montón de años
3:54:54que le conozco y coincido que
3:54:56probablemente sea el pionero de estas
3:54:58cosas en España y también tener un canal
3:55:00de comunicación con lo que es la
3:55:02inteligencia pública, porque la
3:55:04inteligencia pública es aquella que debe
3:55:06de ayudar a la inteligencia corporativa
3:55:08y viceversa. Ahora mismo está muy
3:55:09maduros de un lado a otro, pero del otro
3:55:12viceversa, no está.
3:55:15Pues eh Joaquín, si puedes compartir lo
3:55:18que puedas compartir. Yo he tenido, como
3:55:21he dicho, el grandísimo privilegio de
3:55:23que nos lo hayas eh contado y me quedé
3:55:26impresionada de cómo pensaba que era eh
3:55:30parte de la seguridad corporativa y la
3:55:32has sacado de seguridad corporativa y
3:55:35por supuesto dais eh servicio a la
3:55:39seguridad, pero es para toda la
3:55:42compañía.
3:55:44Bueno, a ver, voy a intentar irme por la
3:55:47rama.
3:55:48Eh
3:55:51eh el concepto que muchas veces se tiene
3:55:54de inteligencia en nuestro sector es que
3:55:56inteligencia está ligada a la seguridad
3:55:59y desde mi punto de vista no es así en
3:56:01absoluto. Y de hecho
3:56:04en en mi grupo de empresa valoran más
3:56:07cuando voy a hablarle de oportunidades
3:56:10que no de amenazas.
3:56:12Y con ese criterio, en el año
3:56:152018, tenía un papel mucho más dedicado
3:56:20a la seguridad, bueno, me compraron un
3:56:23informe que hablaba más de oportunidades
3:56:25que de amenaza y nos planteamos crear el
3:56:28departamento de seguridad.
3:56:30Eh, después contaré por qué estoy aquí
3:56:32temas de resiliencia, pero eh nosotros
3:56:36tenemos abonados en el mundo nuestro
3:56:38modelo de negocio, los que no beben agua
3:56:40crítica, ni siquiera agua estratégica y
3:56:43que recogemos basura, hacemos
3:56:46construcciones y demás. Lo cual en los
3:56:48análisis que nos planteábamos en este
3:56:50momento es de cómo podemos darle valor a
3:56:53nuestro modelo de negocio. Entonces nos
3:56:54planteamos crear un departamento de
3:56:57inteligencia para las necesidades de
3:56:59inteligencia que íbamos aprendiendo que
3:57:01tenía la compación y empezamos a
3:57:03trabajar con lo que realmente es lo que
3:57:06mete dinero en nuestro grupo de empresa,
3:57:08que es la licitación. Nosotros vivimos
3:57:10de la visita segura, visitamos un
3:57:12proyecto de enorme valor a lo largo del
3:57:15mundo. En torno estamos met de 17,000
3:57:18millones. en España, pero con aguas
3:57:20gestionado un proyecto de 20 o 25 años
3:57:23en muchísimas localidades. emos más de
3:57:253,000 instalaciones en España, con lo
3:57:28cual nuestro modelo lo que pedía era
3:57:30pues que lógicamente pertenecíamos
3:57:33corporativas y por ahí eh empezamos a
3:57:35resolver problemas de amenaza, pero nos
3:57:38dábamos cuenta que nos iban reclamando
3:57:41eh otros departamentos de de la compañía
3:57:44y hemos pues empezado a trabajar desde
3:57:46hace ya mucho con desarrollo de
3:57:48negocios, con comunicaciones, un
3:57:51departamento muy internacional porque la
3:57:54empresa en países, con lo cual tenemos
3:57:56un área eh relativamente potente dentro
3:57:59de lo que es nuestro la las capacidades
3:58:01que tiene nuestro departamento de tocar
3:58:04temas los políticos y plantear
3:58:06escenarios. Y bueno, pues eh fuimos
3:58:09viendo oportunidades y cosas a las que
3:58:11nos atraíos en su día. En la actualidad
3:58:14somos pues 13 personas en lo que yo
3:58:16llamo el núcleo duro y seis personas que
3:58:19a través de como empezó a a surgir el
3:58:22departamento, porque no voy a no voy a
3:58:24decir que que fuera a coste cero, como
3:58:27dice el proyecto de ley eh de que esto
3:58:31va a costar cero el aumentar de
3:58:33operadores, pero eh sí sabíamos si
3:58:36aquello iba a tener éxito y empezamos
3:58:38con pues incorporando algunas personas
3:58:41de la empresa, incorporamos algún
3:58:42becario
3:58:43Después cogimos algunos servicios
3:58:44externos por donde iban pasando esas
3:58:46personas y aquellos que veíamos
3:58:48motivados, que les gustaba y que
3:58:50invertíamos en formación, lo hemos
3:58:52incorporado a a ese núcleo duro.
3:58:56llegando a lo que somos en la
3:58:57actualidad, un departamento pues con 7
3:59:00años ya de historia en la en la empresa
3:59:03que trabajamos en los 42 países en
3:59:05diferentes idiomas y quedamos
3:59:07fundamentalmente en tres tipos de
3:59:09servicios en la empresa, lo que llamamos
3:59:11análisis estudio, no voy a enrollar lo
3:59:13que es. Tenemos una parte importante de
3:59:15investigaciones con componente
3:59:16investigaciones de tercero e
3:59:18investigaciones internas que tiene su
3:59:20ligazón con la parte de inteligencia y
3:59:23desde finales de 2024 pues recibí la
3:59:27responsabilidad de la continuidad de
3:59:29negocio que nosotros lo que hemos hecho
3:59:32internamente en nuestro análisis es una
3:59:34amalgama con NIS do CER lo hemos metido
3:59:38todo el saco y nos vamos a convertir en
3:59:39una empresa resiliente que va a poner
3:59:41orden en un montón de cosas que hay
3:59:43desperdigadas en la en la empresa y que
3:59:47al final no sé si acabaremos bebiendo
3:59:50agua crítica o no, si nos nombrarán eh a
3:59:55tenor de la nueva ley, pero bueno,
3:59:57nuestra idea es seguir mejorando en esos
3:59:59aspectos, apoyando la función de
4:00:01inteligencia donde hacen otras empresas,
4:00:03pues para que el negocio siga
4:00:05es todavía más de
4:00:09agradecer y valorar que sin ser
4:00:12operadores críticos estáis a un nivel
4:00:16sin que os lo exija la ley sin ningún
4:00:18mandato.
4:00:19Vamos a intentarlo.
4:00:21Bueno, pero la unidad que tenéis, con lo
4:00:23cual pues eh
4:00:26era importante
4:00:28tu experiencia y te agradecemos
4:00:31enormemente que que formes parte de
4:00:36Javier, ese núcleo duro de expertos eh
4:00:40con los que queremos eh montar y estamos
4:00:44contando y construyendo el observatorio
4:00:47porque has hablado un poco de de la
4:00:49madurez, Pero nosotros que como
4:00:52espectadores llevamos mucho tiempo
4:00:56viendo, eh, es el momento en el que ya
4:01:00hay cosas muy bien hechas y y y y que
4:01:05compartir
4:01:07y probablemente con muchas otras
4:01:10operadores y muchas otras seguridad
4:01:13corporativa que necesite saber cómo se
4:01:16ha hecho porque quiere ir hacia allí y
4:01:18bueno, pues que cueste menos de lo que
4:01:20lo que ya hay.
4:01:22Sí. Una de las cosas que estoy enatorio
4:01:26de más que hace que estoy en una una
4:01:28reunión internacional y me pregunta
4:01:30alguien en España cómo se hace la
4:01:31inteligencia computativa
4:01:34y esto nos contestar esto. ¿Tenéis algún
4:01:36tipo de doctrina? ¿Tenéis algún tipo de
4:01:38algo así que que tenéis? Al final dice
4:01:42todo el mundo español. Sí, sí, sí.
4:01:44Tenemos tenemos la la la de Mazaré, no
4:01:48se preocupe. Y claro, y entonces cuando
4:01:51muchas veces de de hacer lo que ha dicho
4:01:53Joaquín, por ejemplo, que es una
4:01:54inteligencia que conozco y es una unidad
4:01:55muy madura, pues por ejemplo tiene una
4:01:57serie de cosas que suele decir
4:02:00donde van a pasar muchas personas. Hoy
4:02:02en día en en España, yo creo que raro
4:02:04una empresa grande que no tenga unidad
4:02:05de inteligencia, llámese inteligencia,
4:02:07llámese análisis, llámese como que haga
4:02:09inteligencia para seguridad o tal y cual
4:02:10es otra cosa, pero tiene y el problema
4:02:12es que una de las cosas que vamos viendo
4:02:14es que mucha gente eh o son empresas que
4:02:16a lo mejor no tienen un tamaño hablamos
4:02:19de marketing, son unación, estamos
4:02:22hablando de una cosa, ¿vale? Estamos
4:02:23hablando de de algo así y que y que no
4:02:25sabe el camino que ha recorrido.
4:02:28Entonces, claro, ¿qué sucede? que no
4:02:29tenemos ningún sitio
4:02:31abierto de una manera colaborativa,
4:02:33etcétera, etcétera, etcétera, aunque les
4:02:35ha pero digamos más eh estilo eh estilo
4:02:38espíritu de la fundación donde la gente
4:02:40puede aprender qué o a lo mejor que o
4:02:42qué es lo que no hizo o qué hizo y le
4:02:44salió mal. Es un poquitín esa es la la
4:02:47idea que se pretende también. Es verdad
4:02:48que también lo ha dicho Joaquín que hay
4:02:51que hay que que hay que ver a qué te
4:02:54vamos a dedicar. Claro, tú ya haces
4:02:56inteligencia para negocio, que es lo que
4:02:58todo el mundo quiere llegar.
4:03:00Inteligencia madura ya quiere hacer algo
4:03:01más que sea inteligente para la
4:03:03seguridad. Pero mira, con con la
4:03:05temática que tampoco nos tenemos que ir,
4:03:07hay una de las cosas que sí creo que
4:03:08estamos todos de acuerdo y lo hemos
4:03:10dicho, ¿no? Que es el tema que para mí
4:03:11donde aporta mucho el tema de la
4:03:13inteligencia corporativa, incluso más
4:03:16que la inteligencia pública, es en el
4:03:18ámbito de la las amenazas. ¿Qué amenazas
4:03:20tiene usted y cómo se pueden sustanciar?
4:03:23Tanto en cuanto nosotros necesitamos
4:03:25identificar ese tipo de cuestiones al
4:03:27objeto de poder alimentar los análisis
4:03:29de riesgo sin amenazad que le falta
4:03:31algo. Y ahí también
4:03:34ahí también es verdad que muchas
4:03:35empresas están diciendo, "Mir, esto cómo
4:03:36se hace, cómo lo enfocáis, qué tipo de
4:03:38unidad inteligencia necesito qué tipo de
4:03:40perfil." Creo que ahí alineado con toda
4:03:42la transposición de de de la ley es una
4:03:45cosa que habrá que empezar a a
4:03:47plantearse.
4:03:50Permite cuando no ha presentado Enrique
4:03:53decía que se había roto el estigma de la
4:03:56inteligencia. No es verdad. La ley
4:03:59nueva, el proyecto, no nombra la palabra
4:04:01inteligencia en absoluto y sí que habla
4:04:03muchísimo de evaluación y análisis. Eh,
4:04:08nosotros los que estamos aquí y muchos
4:04:11departamentos que nombra eh Javier, hoy
4:04:13por hoy somos la excepción que confirma
4:04:15la regla. compañía un país de muchísima
4:04:17pyme, empresas que no tienen la
4:04:20capacidad y tenemos derecho ejemplo de
4:04:24empresas en en nuestro sector que son
4:04:26muchísimo más grandes que nosotros y es
4:04:28que ni siquiera tienen un departamento
4:04:29de seguridad y y es importante tener en
4:04:33cuenta que para que haya de verdad
4:04:35inteligencia tienes que evitar los hilos
4:04:38que se producen en cualquier
4:04:39organización. Una cosa que que ayuda a
4:04:41la inteligencia es a atender puentes y a
4:04:44conocer transversalmente qué es lo que
4:04:47está ocurriendo en la organizaciones
4:04:49y eso requiere personas y personas que
4:04:52además estén relativamente separadas de
4:04:55la operación, que la conozcan mucho,
4:04:57pero no estén en el día a día, porque si
4:04:59estás en el día a día, no tienes tiempo
4:05:01para parar, pensar ir nodo y al final
4:05:06llegar a conclusiones que no estén
4:05:08contaminadas o evitando de intereses que
4:05:11existen también dentro de las propias
4:05:13organizaciones y eso es importante. Yo
4:05:15creo que todavía como país nos falta
4:05:18cultura de inteligencia y seguridad.
4:05:20Creo que hemos mejorado, no voy a decir
4:05:22que estemos en que comenté el otro día
4:05:24en un foro y no gustó pero eh podemos
4:05:28ver el vaso medio lleno, pero nos queda
4:05:30mucho camino que recorrer. Eh, ¿por qué
4:05:33surge también en las empresas mucho tema
4:05:35de inteligencia empresar y demos? Porque
4:05:36la competencia lo hace. La competencia
4:05:39de otros países lo hace. Por ejemplo,
4:05:40nosotros tenemos aquí algún compañero de
4:05:42alguna empresa francesa. En Francia se
4:05:45forma en un MBA que le llama eh Escuela
4:05:48de Guerra Económica, ¿vale?
4:05:50directivo de de empresa y se llama tal
4:05:52cual, ¿no? Es decir, pues lógicamente
4:05:56pues no puede ser el último en recoger
4:05:59el testigo de de esa creo que eso el
4:06:03objetivo nuestro en nuestras
4:06:05organizaciones. una cosa, siempre pequeo
4:06:06decirlo, pero resulta que es
4:06:08universidad, el máster de la actual
4:06:09guerra eh francesa, resulta que ejerce
4:06:12una empresa española.
4:06:15dices tú te teas piedra. Claro, lo de
4:06:18esto y qué qué sucede con esto de la
4:06:21inteligencia en el apoyo al negocio que
4:06:22nos vamos, ¿no? El directivo español es
4:06:24un directivo bueno. Si no, España no
4:06:26estaría como está, sus empresas son
4:06:27internacionales son un actor intereso.
4:06:30Entonces a ese señor le dicen, mira,
4:06:32para ganar un proyecto, participar en un
4:06:34proyecto, es un casito. Ustedes ser el
4:06:36como en este juego, de las preguntas
4:06:38trivial,
4:06:38el trivial, ¿no? Vale. Y usted tiene que
4:06:40hacer esto, esto, esto, esto y cadaito
4:06:42tiene un coste, ¿de acuerdo? Entonces
4:06:43usted hace este coste partido el
4:06:44proyecto, juega lo puede ganar,
4:06:46perderlo, pero puedo. De repente le
4:06:47venimos a hablar de que si pero mete
4:06:49usted inteligencia entonces claro, pad
4:06:51te dice, "¿Y eso, cuánto coste tiene? ¿Y
4:06:53qué voy a conseguir con eso?" No, bueno,
4:06:54es que ahí es donde hemos fallado muchas
4:06:56veces. Es donde hemos fallado muchas
4:06:57veces. Por eso en España quizá no exista
4:06:59la gran consultora de inteligencia
4:07:01económica que todos habemos esperado
4:07:02porque no somos capaces de ser. Ahí es
4:07:04verdad. Alo de lo que decía Joaquín, hay
4:07:06que crear una cultura de inteligencia
4:07:07corporativa. La cultura cultura de
4:07:09inteligencia pública la hay por doquel
4:07:12por todas partes, pero no hay una
4:07:13cultura de inteligencia corporativa que
4:07:15ya no tiene que ser el CSO que lo tiene
4:07:16más claro que el agua, que lo que tiene
4:07:17que ser. Eh, tenemos que empezar a
4:07:19integrar a gente dentro de la de la
4:07:21compañía con la concienciación. Sé que
4:07:22es hablar de lo de lo diciendo,
4:07:24concienciar, concienciar, concienciar,
4:07:25concienciar, pero hay que hacerlo y hay
4:07:27fórmulas, hay fórmulas para para poder
4:07:29hacerlo. Por ejemplo, una iniciativa que
4:07:31hace el Centro Nacional de Inteligencia
4:07:33es que se recorre empresas explicando un
4:07:35poquitín son los riesgos eh que existen
4:07:38por ahí, las amenazas que tiene y que la
4:07:39inteligencia pues le puede le puede
4:07:41solucionar. Bueno, es una iniciativa,
4:07:43pero a lo mejor hay que hacer más por
4:07:45parte de organizaciones que no sean
4:07:47públicas, tratar de crear y construir
4:07:50eso y ya hablaremos de qué ventajas te
4:07:51da la inteligencia que está más que
4:07:53clara, ya veremos cómo cómo funciona.
4:07:56De hecho, el modelo P la ley PIP, que al
4:07:59principio todo el mundo no quería ser
4:08:02nombrado operador crítico por los eh que
4:08:06conllevaba.
4:08:08Se vio que de cara a la alta dirección
4:08:10todo cambiaba cuando la alta dirección
4:08:13entendía que era ser operador crítico y
4:08:15luego en la segunda vuelta todo el mundo
4:08:17quería, pues creo que a lo mejor la ley
4:08:20PREC puede ser también una oportunidad
4:08:23para potenciar eh la inteligencia
4:08:26corporativa, porque de cara a esas
4:08:28obligaciones de la evaluación de riesgos
4:08:31del plan, eh de cara a a eso que va a
4:08:36haber que hacerlo de vuestra
4:08:38experiencia, la inteligencia, ¿cómo
4:08:40puede?
4:08:40Claro, eso tiene que ver con lo que
4:08:41hablamos antes de la cultura de
4:08:43inteligencia.
4:08:45Yo lo puedo ver una palanca. Me gustó
4:08:47mucho el evento que organizaste hace
4:08:50unos meses en el que estuve también el
4:08:52tema de Dora porque quería ver, oye,
4:08:55después de un año, ¿qué es lo que están
4:08:56haciendo las personas con con este tema?
4:08:59Y la palabra que me creo en ese evento
4:09:01fue palanca. Para nosotros lo que
4:09:03necesitamos básicamente una es una
4:09:06palanca preconizar o eh o llevar el
4:09:11conocimiento o ese interés de abajo a
4:09:13arriba es complica de arriba a abajo
4:09:16puesto ayuda mucho. Pero en el negocio
4:09:20se ve de otra forma tú vas a explicar,
4:09:23oye, pues va a haber una legislación que
4:09:24nos va a implicar eh muchas veces la
4:09:27pregunta última es, ¿y esto quién lo va
4:09:28a pagar?
4:09:30Dependiendo del modelo de negocio. ¿Por
4:09:32qué? Porque es que tú a lo mejor le
4:09:33estás pidiendo requisitos. Nosotros
4:09:36nuestros clientes fundamentalmente la
4:09:38administración general del Estado en sus
4:09:40diferentes niveles. Esas 1000
4:09:42instalaciones que no que os nombraba, la
4:09:44inmensa mayoría de ellas son propiedad
4:09:46de ayuntamiento, comunidad municipio,
4:09:48diputaciones que nosotros operamos por
4:09:51un precio, por hora, por día, por meses,
4:09:54por toneladas. Perdón. Eh, si hay un
4:09:58coste adicional de tu operación, alguien
4:10:01lo tendrá que que asumir. Bueno, eh
4:10:04quiero decir que esto es una va a ser
4:10:06una ayuda, desde luego, pero hay que
4:10:08saber explicarla y venderlo como una
4:10:10oportunidad. Oye, vamos a hacer muchos
4:10:12mejores vamos a ser capaces de de que de
4:10:15adaptarnos rápidamente y de mejorar y
4:10:18además lo vamos a hacer si lo hacemos
4:10:19pronto, lo vamos a hacer mejor que
4:10:21nuestra competencia.
4:10:22cambiar un poco el discursía
4:10:27que se llama contrainteligencia que si
4:10:29inteligencia suena mal pómale
4:10:30contraelante si le pones cber suena muy
4:10:32bien cber inteligencia ponle cber a todo
4:10:36café cberca café son correo yaos tiempos
4:10:38pero ciber todo suena bueno fíjate yo
4:10:41que vengo de ese mundo y ahora voy a
4:10:42tratar de de ese mundo lo que es el
4:10:45intelligent aquí el ser inteligencia de
4:10:48amenazas ahí es no no no no genera ruido
4:10:51no genera Es un producto muy táctico, es
4:10:53verdad, ¿vale? que que tiene la gente de
4:10:54ciberseguridad, pero tú te lees sub
4:10:56normativas, regulaciones, bla bla bla
4:10:57bla bla y la inteligencia está todas
4:10:58partes. Se hace mucho cir inteligencia
4:11:01suena fantástico. Bueno, el tema la
4:11:03colación de lo que de lo de lo que aquí
4:11:06estoy absolutamente de acuerdo, pero
4:11:08sucede una cosa con negocio. Bu de
4:11:11repente la cadena de suministro y ahora
4:11:14entramos en la amenaza geopolítica y de
4:11:16repente le dices, "Oiga, mire, eh eh
4:11:19fade en Chinas mis respeto por estar
4:11:22aquí filtrado, pero sí que es verdad que
4:11:24de repente dices, mientras que este
4:11:25proveedor trabaja para el gobierno chino
4:11:26y el gobierno chino tiene una una
4:11:28legislación, vamos a poner una ley
4:11:29orgánica entre comillas, ¿vale? por
4:11:31decirlo de alguna manera, en la cual
4:11:32tiene usted que informar a su gobierno
4:11:34de todas las actividades que está usted
4:11:36haciendo y te dice, "Va." Eh, ¿y qué le
4:11:40dices? Que no vayas con él. ¿Qué le
4:11:43dices que no vayas con él? Entonces te
4:11:44dices que entonces el PNL lo que dice
4:11:45siendo lo que es el el proyecto es que a
4:11:47lo mejor no me sale. Entonces te dice,
4:11:49"¿Y qué control les pongo?" Entonces ahí
4:11:50tenemos ahí un problema que también es
4:11:52verdad que todo esto está muy bien, pero
4:11:53también va a dar malas noticias.
4:11:55Entonces ahí está la habilidad. Por eso
4:11:57decíamos que la inteligencia corporativa
4:11:59no quizá la inteligencia pública diría
4:12:01al gobierno, "Oiga, usted me compré esto
4:12:03que se lo dice tampoco lo hace." Vale,
4:12:05pero inteligencia corporativa sí que es
4:12:07verdad que tú tendrás que hablar de esos
4:12:08riesgos, tendrás que hablar esa amenaza,
4:12:09tal y cual y ya decir el negocio. Pero
4:12:10quiero decir que que que no es fácil
4:12:13hablar de estas cosas y cuando te hablan
4:12:15de proteger la cadena de suministro como
4:12:16te habla o te habla de identificar
4:12:17amenazas que pueden ser geopolíticas,
4:12:19que pueden ser unos unas amenazas que
4:12:21vienen también de de que dimanan de lo
4:12:23que son proveedores, también hay que
4:12:24tener cuidado con esto porque igual que
4:12:26damos buenas noticias, decía Joaquín que
4:12:29gusta mucho más la oportunidad que la
4:12:30amenaza. Eh, cuando vas al roto de
4:12:32amenazas vas con problemas. Imagínate
4:12:34que dices, "Hemos detectado un insider
4:12:36con problemas. Dado una oportunidad en
4:12:38África, no sé qué sitio, para vender
4:12:39agua estratégica, como dice Joaquín.
4:12:42Vamos, está en un pasillo, ¿eh?" Y
4:12:44además que estamos haciendo algo que a
4:12:45mí me causa, yo soy de los, imagino que
4:12:48habrá más de los que estuvo ayer también
4:12:50con el tema de la NIS 2 y hablando más
4:12:53de C, ¿no? Y y me llama poderosamente la
4:12:56atención. Yo todavía me considero una p
4:12:59que ya pasó una década, pero yo entré al
4:13:02sector en el año 2011 con con la ley P
4:13:05del 2011, ¿no? Eh, que era una
4:13:07transposición de una directiva del 2008,
4:13:1111 - 8 3, ¿no? Eh, ahora estamos con el
4:13:15proyecto de ley del 2026, posiblemente
4:13:182027 para Reyes del año que viene. 27 27
4:13:22- 22 nos vamos a casi 5 años, es decir,
4:13:25nos está costando más trasponer. Parece
4:13:27que hemos aprendido alguna cosa.
4:13:28Entonces, ayer escuchaba al
4:13:30representante de la OCC hablar eh, el
4:13:32mundo es único y decía, "Oye, pues el
4:13:35mundo es único, pero está en la 13
4:13:36edición del Congreso y un día es ciber y
4:13:39el otro día es Ser." Eh, la Unión
4:13:43Europea sacó una directiva para uno y
4:13:45una directiva para otro. Eh, desde el
4:13:48punto de vista de la inteligencia no es
4:13:50muy inteligente eso.
4:13:52Efectivamente,
4:13:53y porque resulta que estás eh creando
4:13:57una eh una complejidad a coordinar pues
4:14:00determinadas acciones, ¿no?
4:14:04Y encima le hemos añadido un un régimen
4:14:08sancionador que entiendo que la
4:14:09experiencia habrá dicho que si no damos
4:14:11un palo, pues la gente no hace lo que
4:14:13tenga que que hacer, ¿no? Bueno,
4:14:15nosotros como operamos en muchos países,
4:14:16operamos también países en los que
4:14:18existen estos modelos de
4:14:19infraestructuras críticas y no existen
4:14:21de régimen sancionador, ¿no? Y y
4:14:24curiosamente eh
4:14:27juntaba antes también a unos amigos como
4:14:29anécdotas, en el año 2001, que yo vivía
4:14:31en otro país, pues se había estrellado
4:14:33un un avión contra una instalación y nos
4:14:36evacuaron a toda una ciudad
4:14:38ordenadamente.
4:14:40Es verdad que funcionaron las
4:14:41comunicaciones, ¿no? el el día del cero
4:14:44energético,
4:14:46todas las empresas que no somos
4:14:48críticas, eh las críticas parece ser que
4:14:51nadie habló con ellas, ¿no? Pero las que
4:14:52no somos tampoco. Entonces, en el comité
4:14:55se decidió, oye, pues que se vayan los
4:14:57trabajadores a la casa y qué conseguimos
4:14:59liar la parda.
4:15:02se montó la de Dios, ¿no? Entonces, pues
4:15:04hablas con gente, dice, "No, yo hice 40
4:15:06km porque vivía en Getafe y nosotros
4:15:08tenemos una instalación Federico la
4:15:10otra." Bueno, quiero decir que que esto
4:15:12da para mucho y a lo mejor pues no hemos
4:15:15aprendido los suficientes en España
4:15:17estamos eh hay países no estamos en el
4:15:19pelotón de cola con la transposición,
4:15:21operamos en países que ya la tienen
4:15:23transpuesta, estamos en el pelotón de
4:15:25medio, ¿no? Eh, y bueno, te ves cosas
4:15:30Europa a tiene que plantear volver a
4:15:32revisar esto porque porque estamos en
4:15:34distintas velocidades.
4:15:36Lo que has dicho es fundamental. Se hace
4:15:38un análisis de amenazas, eh, que lo
4:15:41separ
4:15:43y físicas es un pedazo de problema. Una
4:15:47de las cosas que aprendí en mi carrera
4:15:49profesional es el tema de que nosotros
4:15:51hablamos de 20 amenazas, yo hablo de las
4:15:52capacidades de las personas. Serán cber,
4:15:54serán físicas, serán normativas, serán
4:15:56legales, eso servid a veces será
4:15:58geopolíticas se confluye todos un actor
4:16:00de tipo estado y si fluye solamente una,
4:16:02pues será lo conocido cibercriminal,
4:16:04pero es muy complicado porque incluso
4:16:05ellos usan otro tipo de métricas para
4:16:06medir, otro tipo de lenguajes es
4:16:08complicado y eso sí que es verdad que
4:16:09preveo algún algún problema de
4:16:11coordinación interno, sobre todo los
4:16:13sitios donde la la ciberseguridad y
4:16:15vamos a decir la seguridad está
4:16:18separada. Es más, en los grupos de
4:16:20ciberseguridad también hacen
4:16:21ciberinteligencia muy enfocada a eso que
4:16:24sabe que y puedo hablar porque vengo de
4:16:27cib que salía afortunadamente de él
4:16:29puedo hablar, pero el los análisis de
4:16:31que nadie se enfade, ¿vale? Eh, pero sí
4:16:33que es verdad que los análisis eh de
4:16:35actores de la ciberinteligencia deja
4:16:38como quiera que se entienda, ¿vale? Deja
4:16:40mucho de sabes que no somos los mejores
4:16:43haciendo ese tipo de análisis. Bas los
4:16:45más clásicos, ¿no? La inteligencia de
4:16:46amenazas más clásicas son muy maduros.
4:16:48Están hay una metodología. Si tú le
4:16:50hablas de metodología a alguien que hace
4:16:52ciber, a lo mejor colapsa. Entonces esos
4:16:54mundos hay que juntarlos porque aparte
4:16:56lo que estoy viendo por aquí es que te
4:16:57puede meter una multa hasta el 2% de la
4:16:59facturación anual. Eso significa muchos
4:17:01despidos y no va a ser el tercero.
4:17:03Esa es una palanca para porque no había
4:17:07régimen sancionador y este viene con reg
4:17:09sancionador la evaluación, el plan de
4:17:11resistencia y a eso ayuda. No debería
4:17:14ser esta la palanca, pero si no existe
4:17:16otra es como esto lo que más podemos
4:17:20hacer vamos intentando que el mundo se
4:17:24integre décadas y lo máximo que llegamos
4:17:27es a poner un día y y el otro. Mira,
4:17:30tengo una pregunta para Joaquín. Pues
4:17:31Joaquín, ¿y si no hubiera regim
4:17:33sancionado en esto funcionaría en
4:17:34España? ¿Cómo lo ves?
4:17:35Mira, yo
4:17:37lo de lo que estáis hablando.
4:17:39A mí me gusta mucho la presentación de
4:17:41de la Guardia Civil
4:17:42porque nosotros hemos tenido el mismo
4:17:44problema interno.
4:17:46Eh, llegó un día y llego al al despacho
4:17:50y me encuentro con que la DPO había dado
4:17:52un golpe de mano y una primera. Había
4:17:55que quitar todos los biométricos que
4:17:57tenemos. Nosotros una de nuestras
4:17:59empresas es software para OTA y tenemos
4:18:01acreditación nacional de seguridad OTA y
4:18:03en una de nuestras instalaciones pues
4:18:04hay zona
4:18:08medida y de la noche a la mañana por
4:18:11miedo a una multa sin mayor análisis ha
4:18:14desaparecido aquellos tras casi 2 años
4:18:16de trabajo interno. Nosotros no hemos
4:18:18llegado a hacer la consulta previa,
4:18:19hemos hecho todo eso con lo que me
4:18:21sentía tremendamente identificado, pero
4:18:24resulta que en lugar de elevar la la
4:18:27DPO, DPD en español, eh su informe, pues
4:18:31claro, se ha puesto en mano de un bufet
4:18:32de abogado y llevamos 7 u 8 meses
4:18:35mareándola a perdí por no mandar algo,
4:18:37pero el tema fue la sanción, el miedo, o
4:18:41sea, antes de pararnos e claro, si lo
4:18:44que vamos a actuar es por miedo a una
4:18:46solución
4:18:48No trabajamos la concienciación y el que
4:18:50las personas que tienen esa
4:18:52responsabilidad de las organizaciones
4:18:53tengan claro que esto lo vamos a hacer
4:18:56porque lo vamos a hacer mucho mejor,
4:18:58porque vamos a dar mejor el servicio
4:19:00porque vamos a hacer mejor más
4:19:01competitivo. No sé si me he explicado lo
4:19:03que os quería decir. Ese es el miedo que
4:19:05muchas veces hay que antepongo el miedo
4:19:08a la sanción, entonces dejo todo lo
4:19:10demás eh y la prisa me come y tomo una
4:19:14decisión que es de
4:19:18hecho la la guía está en revisión, lleva
4:19:21ya unos meses porque entras la guía en
4:19:23revisión.
4:19:25que es verdad, una de las cosas que
4:19:26sucede también el ámbito de la
4:19:27inteligencia, sobre todo empresas
4:19:29internacionales que están desplegados en
4:19:31varios países, de varias divisiones,
4:19:32vamos a decirlo de de aquella manera y
4:19:34me pasó que yo no podía compartir el
4:19:36caso una operación abierta porque
4:19:38efectivamente había que había un sentí y
4:19:41que le al caballero
4:19:43que problema mensajera no le digo nada
4:19:45hace falta los datos que tiene él. es un
4:19:47problema muchas veces el mio la solución
4:19:49paralisa paraliza por su social vista de
4:19:51sanción dicho
4:19:54y esta normativa no
4:19:55y el sí el procurador
4:19:58que sí que sí
4:20:00algo que podáis compartir para
4:20:04poder eh anticiparse.
4:20:07Entiendo que desde la unidad de
4:20:09inteligencia podéis anticipar esas
4:20:11señales débiles ahora que todo es
4:20:15movimiento. Anticiparos a que pueda
4:20:20esa esa debería ser nuestra labor
4:20:24decir nosotros lo que más tiempo
4:20:26invertimos la persona en que el negocio.
4:20:31que hablemos con el negocio, que
4:20:33viajemos, que sepamos qué problemas
4:20:36tienen, qué riesgos tienen. Por eso es
4:20:38la parte, o sea, cuando decidimos asumir
4:20:40el tema de continuidad de negocio,
4:20:43en principio, cuando hace años asumimos
4:20:46esto, yo tenía que ser responsable de
4:20:49los PIA, que era lo que me iba a
4:20:50permitir a partir de esas matrices de
4:20:52riesgo desarrollar mi plan de
4:20:54inteligencia.
4:20:56ha dicho civil el problema se fue
4:20:58pasando hasta que al final pues un día
4:21:00me vine arriba, digo, venga, nosotros no
4:21:02hacemos caso de esto, ¿no? Pero la
4:21:04oportunidad que vemos ahí es la forma de
4:21:07enterarnos de lo que realmente preocupa
4:21:09y lo que la inteligencia debe
4:21:11proporcionar es evitar sorpresa y
4:21:14anticiparte para ganar tiempo para
4:21:16resolver algún problema. Esto no es
4:21:18fácil,
4:21:20no es fácil. No se trata de leer una
4:21:22noticia y y transmitirla, se trata de
4:21:25plantear muchas cosas. Voy a intentar
4:21:26poner un ejemplo porque además hay una
4:21:28una ISO que está ligada a los temas de
4:21:30resiliencia y que habla de riesgo
4:21:32emergente, la 31,050.
4:21:34Nosotros llevamos ya eh algún tiempo
4:21:36intentando ponerlo en práctica y algo
4:21:40parecido. Por ejemplo, podía el
4:21:41ejemplo de los drones, pero no sé si
4:21:43visteis el otro día un robot que corrió
4:21:47una maratón e una media maratón en menos
4:21:49tiempo que una persona. Y hace unos años
4:21:53habían llegado minutos después, pero
4:21:55acordáis que ya hace unos años empezaron
4:21:58a hablar de que iban a desarrollar
4:22:00robot. Pues en aquellos años lo del
4:22:03robot era una señal débil. Hoy es una
4:22:06alerta temprana y a lo mejor dentro de
4:22:08un tiempo es un riesgo como pasa ahora
4:22:09con los drones y que resulta que a una
4:22:11infraestructura crítica o a un servicio
4:22:13pues te está entrando un grupo de robot
4:22:16que no sabe quién los dirija o quiere y
4:22:18hay que correr con ellos en un coche.
4:22:20Bueno, pues esto tienes que hablar mucho
4:22:23con el negocio, tender muchos canales
4:22:25para entender cosas que no puede que no
4:22:29les dé importancia. está relativamente
4:22:32separado de la operación y ver en qué se
4:22:34puede transformar. Esto lo explica muy
4:22:36bien con cómo y se ver, ¿no? Muchas
4:22:38veces nos centramos en los riesgos que
4:22:40se ven, pero por debajo hay una
4:22:42estructura tremenda y muy grande. Por
4:22:45eso hay que intentar evitar los celos y
4:22:47que todo sea lo más porque algo que te
4:22:49que te pase en el mundo ced y que queda
4:22:52registrado por ahí resulta que acaba
4:22:54convirtiéndose en en algo mucho más
4:22:57serio, que sí que tiene un impacto
4:22:59importante en la conción.
4:23:02Pues Javier, en los minutos que quedan
4:23:04como para hablar del observatorio, como
4:23:07erais la
4:23:10parte,
4:23:13efectivamente llevamos ya muchísimos
4:23:16viernes a las 8 de la mañana con
4:23:19descargando nuestra mejor ilusión en el
4:23:22momento que coincidimos libre para
4:23:27crear algo que realmente vaya a
4:23:31Pues a mí esto surge por varias cosas.
4:23:35sacarles a mí yo escuchar mucho Joaquín
4:23:37por un lado e y mi experiencia pues
4:23:40hablado de muchas empresas
4:23:41internacionales y sobre todo al un poco
4:23:44al asal uno de lo que va viendo es que
4:23:47es que la inteligencia corporativa tiene
4:23:49su sitio propio, tiene su sitio propio,
4:23:52sus funciones propias, sus normativas
4:23:55propias, sus metodologías propias,
4:23:56susciones propias y sobre todo el tema
4:23:59de que eh una de las cosas que no veo Es
4:24:03un sitio una especie de decir
4:24:06observatori que estos son los problemas
4:24:08de la corporativo. La corporativa tiene
4:24:10estas misiones tardales, estos cometidos
4:24:13corporativa es estas sus son realmente
4:24:15el que tenim. De hecho, un trabajo aquí
4:24:17muy interesante el tema de que el
4:24:19activista conocer su negocio. Eso es una
4:24:21cosa que no te cuenta. Es una cosa que
4:24:23no te cuenta. Él siempre ha dicho lo
4:24:24mismo, tienes que conocer el negocio. Si
4:24:26no me vales como analista. Entonces, eh
4:24:28ese tipo de metodologías, guías, esa
4:24:30especie de crear una especie de
4:24:31comunidad eh entre todas las compañías
4:24:34que tengan sí o no eh eh unidades de
4:24:37inteligentes políticos fruto del de las
4:24:39vigilar vigilar empleo vigilar pero es
4:24:43es estar atento acerca de todo lo que
4:24:45viene siendo las licitudes de la
4:24:47inteligencia cooperativa y sobre todo de
4:24:49un la idea es y cómo lo hacen los demás,
4:24:52cómo lo hacen en Francia, cómo lo hacen
4:24:54en Italia, cómo qué problemas están
4:24:55teniendo por ahu que podamos nosotros
4:24:57emprender.
4:24:57en España eh siendo un punto de
4:24:59referencia en el ámbito de la
4:25:01inteligencia eh corporativa pues
4:25:03evidentemente formación que es un poco
4:25:05más realista como que y voy a tirar
4:25:07piedra contra mi tejado, o sea, es un
4:25:09tema decir eh ya no vale ya no vale ir a
4:25:13un sitio y que te expliquen cómo se
4:25:14mueven tal ya no vale o que te expliquen
4:25:17cómo cómo cómo Israel
4:25:21eh eh hackeó los bippers, los buscar
4:25:24estamos hablando de otras cosas. Creo
4:25:25que eso tenía una suficiente entidad
4:25:27como para empezar a tener ya una serie
4:25:29de doctrinas y metodologías propias que
4:25:31hay que empezar a desarrollar e
4:25:32implantarlas para ver cómo de una buena
4:25:34vez hacemos en España el tema de la
4:25:36inteligencia. de formación. Claro,
4:25:40como el movimiento está puesto andando
4:25:41en mayo tenemos ya
4:25:44la primera
4:25:45otra cosa importante parte de la
4:25:46formación, otra cosa importante es el
4:25:48tema de que hay muchísimas muchísima
4:25:50gente hablando de seguridad corporativa
4:25:52de inteligencia corporativa que tampoco
4:25:53tienen un hueco para hacer publicación.
4:25:55No tienes un web un sitio donde mira, yo
4:25:57estoy pensando esto, tengo este tengo
4:25:59este material creado, pero no tengo
4:26:00ningún sitio donde la salida donde
4:26:02alguien me lo califique, me lo valide,
4:26:03me diga, mira, pues esto puede ser
4:26:05aplicado y evidentemente, bueno, de
4:26:07mayo, ¿qué es
4:26:09que vas a ser profesor?
4:26:12Eso ayuda
4:26:14a crear el ecosistema necesario eh en
4:26:18España para que realmente la
4:26:21colaboración público privada tenga uno.
4:26:25Hoy hasta ahora no hemos vivido en
4:26:27escenarios de
4:26:29eh en otra asociación SEUS en la que
4:26:32estamos solamente empresas usuarias de
4:26:34segidalidad. creamos una comisión de
4:26:36inteligencia ahora un año y pico y lento
4:26:40pero seguro ha ido eh prosperando y
4:26:42empezamos a compartir problemática y a
4:26:46compartir inteligencia e de forma
4:26:49colaborativa con la intención de además
4:26:51hacer informes en las que cuando elevan
4:26:53cosas o problemáticas ya no se vea solo
4:26:56como el problema de FCC, el problema de
4:26:59R Soul de Santander, sino un problema
4:27:03que afecta corporaciones.
4:27:05de la que de las que dependen muchísimo
4:27:08ciudadanos. Si además todo eso lo
4:27:10engranamos, iniciativas como las del
4:27:12observatorio,
4:27:14otras similares, por ejemplo, este tipo
4:27:16de eventos y demás, pues al final
4:27:18estamos creando ecosistemas necesarios
4:27:20para que tengamos interloctores, seamos
4:27:22con con quién hablar, sepamos con quién
4:27:24hablar, a quién preguntar, sobre qué.
4:27:26Sieme he defendido que es muy cuando no
4:27:28sabe preguntar y bueno, creo que eso es
4:27:31lo que más ayuda a a fortalecer este
4:27:34tipo de de sistema. Aquí se ha
4:27:36compartido muchísimo en conocimiento eh
4:27:39en estos días. Es una lástima porque el
4:27:41tiempo te haga, que no te puedas quedar
4:27:43a todo. Por ejemplo, esta mañana eh creo
4:27:46que ha habido conversaciones cosas en
4:27:48las que se ha hablado de análisis, en
4:27:49las que se ha formado pensamiento
4:27:51crítico y al final te vas de aquí una
4:27:54serie de notas y unas cuestiones que si
4:27:56eres capaz pues las pones en práctica y
4:27:58eso es lo que ayuda. observatorio tal
4:28:01para que
4:28:02pues la fundación creará el espacio
4:28:05confiable que es la obsesión y como todo
4:28:10lo haremos entre todos y con los
4:28:13mejores. Así que no veo a nadie que hay
4:28:16muchos en el auditorio que se den por
4:28:21adidos. Muchísimas gracias a los dos por
4:28:24cerrar con inteligencia corporativa este
4:28:28congreso y un fuerte aplauso.
4:29:12que hemos extraído durante estos dos
4:29:14días. Eh, ya decíamos ayer con un
4:29:16enfoque más en la ciberseguridad y hoy
4:29:19en la protección y resiliencia. Y para
4:29:22darnos esas conclusiones está César
4:29:25Álvarez, el responsable, coordinador de
4:29:28proyectos de la Fundación Borreda, que
4:29:30va a ser el encargado de de bueno,
4:29:32comentarnos cuáles han sido esas
4:29:34principales conclusiones que extraemos.
4:29:43Aquí estáando laía y ya hablaremos de la
4:29:48ya.
4:29:51Sí, se oye algo ahora mejor, ¿verdad?
4:29:53Gracias. Bien. Llamarle conclusiones a
4:29:56esto es algo pretencioso. Las
4:29:58conclusiones eh requieren un trabajo de
4:30:02estudio, de reposo y meditación más
4:30:04intenso que el tiempo que hemos tenido
4:30:06para hacer
4:30:08hablaremos o pondremos algunas notas
4:30:11sobre lo que se ha tocado entre estas
4:30:14dos jornadas. Respecto a la jornada de
4:30:18ayer, eh quedó claro que tanto NIS como
4:30:22CRA eh configuran un nuevo marco para la
4:30:26ciberseguridad.
4:30:28interesante por otra parte pero se
4:30:30mantienen retos importantes como por
4:30:33ejemplo la seguridad la cadena de
4:30:35suministro, la gobernanza, la
4:30:37ciberseguridad
4:30:39en las nuevas tecnologías
4:30:41como la ley que traspone la directiva
4:30:45NIS2. aún está
4:30:48decir en el orden, sabe dónde está, pero
4:30:51no existe. Conocemos ese proyecto de ley
4:30:54finalmente, pues veremos cómo se
4:30:56desarrolla y a dónde nos
4:30:59eh la cuestión interesante sobre la
4:31:01inteligencia artificial. eh se ve
4:31:04claramente como una oportunidad, pero
4:31:07también como una amenaza. Eh, lo que
4:31:10pasa que hay que incorporarla
4:31:13necesariamente. No obstante, esta mañana
4:31:16nos advertía el director del CENPIC, si
4:31:19alguno no lo tenía claro, hay que ser
4:31:22muy prudente con la incorporación de de
4:31:26ciertas tecnologías.
4:31:28eh que no va a hablar de poner algo de
4:31:33freno a la transformación digital por
4:31:36aquello de que nos genera una
4:31:40dependencia tecnológica externa. Ahí
4:31:44quedan los No merece la pena, merece la
4:31:47pena no deseñar esa reflexión. tienen en
4:31:50común la jornada de ayer y la de hoy el
4:31:53concepto de resiliencia y cómo
4:31:55mantenerlo, que no depende solo del
4:31:58esfuerzo de las propias entidades, sino
4:32:02de la existencia de un modelo global que
4:32:04sea capaz de de mantener una gobernanza
4:32:08clara, colaboración entre actores,
4:32:11transparencia y confianza.
4:32:14Dicho queda. Esperemos que ese modelo
4:32:16global vea la luz.
4:32:19Y la resiliencia no se basa solo en el
4:32:22cumplimiento normativo, hacen falta
4:32:24políticas sociales decididas y
4:32:27simullacros. Se repite mucho los
4:32:29simulacros, que no tengamos que esperar
4:32:32a los apagones para entrenar.
4:32:35En cuanto a hacer, claramente se habla
4:32:38de un nuevo paradigma, nos explicaba el
4:32:41director del CNP esta mañana, como
4:32:43pasamos de la protección de activos a la
4:32:47al sostenimiento de actividades
4:32:49esenciales.
4:32:51Parece un buen sistema este que se pone
4:32:53en marcha, eh un sistema de
4:32:56planificación basado en riesgos. Eso es
4:32:59es un punto a su favor. Tendremos que
4:33:02denunciar no obstante siempre la falta
4:33:05de visión global de nuestras autoridades
4:33:08a la hora que no es solo suya, parece
4:33:10que también algo tiene que ver en Europa
4:33:13en el asunto de separar ciberseguridad y
4:33:16resiliencia. No se puede acometer las
4:33:19resiliencias en restauraciones seguridad
4:33:21que no tiene sentido, pero así está.
4:33:29He oído críticas.
4:33:36Es verdad, las juntas. Tienes razón. Es
4:33:40es muy cierto.
4:33:43Es es muy cierto. Aquí hemos ido quizá
4:33:45un poquito más allá, pero es verdad,
4:33:47tienes toda la razón del mundo, pero
4:33:48parece como que hay una ley que se
4:33:51refiere a ciberseguridad y otra ley que
4:33:53se refiere a tal. Uno vaya, a eso me
4:33:56refiero. No tiene sentido. No obstante,
4:33:59estamos a tiempo de debatir, pero en el
4:34:01vino luego la costa. Bien.
4:34:04Eh
4:34:06eh por eso eh
4:34:11esta ley de de este proyecto de ley de
4:34:14resiliencia de entidades críticas hace
4:34:16equilibrios para mantener la coherencia
4:34:20del sistema de eh esto no afecta a la
4:34:24ciberseguridad, no obstante esto no
4:34:27afecta a ciertos operadores, no obstante
4:34:29se podrán implantar algunas medidas
4:34:32además de Buenoo equilibrio saber si los
4:34:35equilibrios al final funcionan. Lo que
4:34:37sí es verdad es que se ha perdido una
4:34:40oportunidad de proyectar una visión
4:34:42global sobre el sistema.
4:34:44Bien, eh se repite en infraestructuras
4:34:47críticas, en entidades críticas, la
4:34:49necesidad de mantener una gestión
4:34:51robusta de proveedores, especialmente de
4:34:53los proveedores críticos. Eso parece que
4:34:56es un elemento común. Eh, la existencia
4:34:58de un régimen sancionador genera dudas.
4:35:01Afortunadamente no ha sido España quien
4:35:03lo ha puesto, sino de Europa. Luego, por
4:35:06lo menos de esa de esa pedrada nos
4:35:08podremos librar y no sé si tiene o no
4:35:11sentido el el régimen sancionador. Lo
4:35:14que sí es cierto es que el sistema P se
4:35:16puso en marcha sin régimen sancionador y
4:35:19funcionó. Eh, pero también es verdad que
4:35:23no todos los operadores críticos
4:35:25concurieron con todas sus asociaciones,
4:35:27lo cual genera a su favor ciertas
4:35:30ventajas competitivas que es posible que
4:35:33sea lo que se intenta evitar ahora.
4:35:36Y algunas notas interesantes de esta
4:35:39ley, este proyecto de ley CER, que es el
4:35:43reconocimiento biométrico, que gracias,
4:35:45entre otras cosas, al trabajo de la
4:35:47Guardia Civil, la Agencia de Protección
4:35:49de Datos parece que abre esa puerta a la
4:35:52utilización de sistemas
4:35:55de tratamiento de de datos biométricos
4:36:00este pareguridad,
4:36:02siempre en el ámbito de la
4:36:04autenticación.
4:36:06Bueno, eso es importante. Cabe
4:36:08preguntarse ahora si el interés público
4:36:11esencial que ha descubierto la Agencia
4:36:13de Protección de Datos se agota en la
4:36:16protección de las infraestructuras
4:36:17críticas o puede ir un poquito más allá
4:36:20porque seguramente hay otros obligados
4:36:23que también les afecta o están tocados
4:36:26por el interés público esencial de la
4:36:29seguridad.
4:36:32Y hay una nota también muy interesante
4:36:34que se ha se ha pasado de puntillas, que
4:36:37es los sistemas antidrones. sistemas
4:36:40anidrones que eh
4:36:44permite eh su disposición este proyecto
4:36:47de ley, pero además con una novedad
4:36:50importante respecto a versiones
4:36:51anteriores y es que antes esa
4:36:54disposición de sistemas antidrones se
4:36:57limitaba a la detección,
4:37:00pero ahora ya no hace eso. Ahora ya no
4:37:02dice, es decir, solo detección, por
4:37:05tanto, no podía neutralizarlo, pero
4:37:07ahora no habla del otro ni del otro. Es
4:37:09decir, teóricamente podrían
4:37:12neutralizarse drones eh sospechosos.
4:37:16Bien, y hay una cuestión muy interesante
4:37:19que forma parte del deseo del
4:37:21legislador, esperemos que baje de las
4:37:24cosas al teatro, es esa coordinación
4:37:27pretendida con mecanismos estratégicos
4:37:30de capacidad industrial y reservas
4:37:33energéticas, que tiene mucho que ver con
4:37:35lo que hablábamos esta mañana de el la
4:37:38crisis del apagón y la falta no solo de
4:37:41coordinación, sino de elementos.
4:37:44Bien, y por último, acabamos de ver eh
4:37:47cómo la inteligencia se puede eh
4:37:49considerar no solo un elemento
4:37:52fundamental para conseguir la
4:37:54resiliencia de una organización, sino
4:37:56además para proporcionarle algunas
4:37:58ventajas competitivas a una compañía. En
4:38:03cualquier caso, a favor de la
4:38:05inteligencia. Hay que decir que parece
4:38:07por lo que hemos visto en esta mesa, que
4:38:10inteligencia y sentido común van de la
4:38:13mano en este caso
4:38:16y nada más. Muchas gracias. Esto es lo
4:38:18que
4:38:24Gracias. Gracias, César. Bueno, la
4:38:25verdad es que para haber sido unas
4:38:27conclusiones rápidas, como decías, han
4:38:29estado bastante bien. Bueno, ya hemos
4:38:31llegado ya al final, Ana, dos días muy
4:38:33intensos, pero yo creo que es para estar
4:38:36satisfecho y agradecido por todos los
4:38:38ponentes que han estado aquí con el
4:38:41público asistido. Efectivamente,
4:38:44muchísimas gracias una vez más a todos
4:38:46los que lo habéis hecho posible. también
4:38:48vosotros que estáis hasta última hora
4:38:51compartiendo y y dando sentido a lo que
4:38:56desde hace 13 ediciones apostamos por
4:39:00contribuir a al modelo PIC y seguiremos
4:39:03apostando y contribuyendo. Muchísimas
4:39:06gracias a todos los ponentes, a la
4:39:09administración pública, en especial a la
4:39:11UC y al CENPEPIC. Por supuesto, a los
4:39:15socios protectores, que les quiero
4:39:18profundamente
4:39:19y a los patrocinadores, muchos de ellos
4:39:23además socios protectores que han puesto
4:39:25los recursos para que hayamos podido
4:39:28compartir este espacio estos dos días de
4:39:32congreso. Eh, como veis en los logos, la
4:39:35fundación está en medio de Red
4:39:36Seguridad, revista Cercuritecnia,
4:39:40revista de Security. Eh, muchísimas
4:39:44gracias a los dos equipos, a Javier
4:39:48Correda, el director de Segur Peccía y a
4:39:50Yolanda Duro, la directora de red
4:39:53seguridad. Enrique es el subdirector de
4:39:56ambas publicaciones para que haya
4:40:00algo. Efectivamente, a además
4:40:03efectivamente además de ser el magnífico
4:40:06conductor que hemos tenido el privilegio
4:40:08de tener los dos días con nosotros, es
4:40:12el subdirector de ambas revistas y por
4:40:15eso me gustaría terminar con él
4:40:18representa al equipo que hay detrás de
4:40:20la fundación de segurité y de
4:40:22Reseguridad y os pido un fortísimo
4:40:25aplauso para él.
4:40:28Muchas gracias. Gracias.
4:40:31hasta dentro de un año. Ahora hay un
4:40:34cóctel por cortesía de GMV para poder
4:40:37seguir disfrutando y compartiendo.
4:40:39Muchísimas gracias.

About this transcript

This page contains the full transcript of Proyecto de Ley de Protección y Resiliencia: Claves del XIII Congreso PRYC by BORRMART MEDIA, generated from the public captions YouTube serves with the video. The transcript has 19,395 words across 3,187 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to translate the transcript into 100+ languages.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, translation to 100+ languages, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.