La banca ha avanzado muy rápido hacia modelos digitales, con apps móviles, pagos instantáneos, servicios fintech y open banking. Desde la perspectiva de un CISO, ¿cuál considera hoy que es el riesgo de ciberseguridad más subestimado en la banca digital y por qué cree que todavía no recibe la atención que merece?
Si tuviera que señalar uno, yo diría que es cómo está cambiando la identidad digital como punto de ataque. Durante mucho tiempo nos hemos apoyado en mecanismos de autenticación bastante sólidos, pero hoy el problema ya no es solo «validar quién eres» en un momento puntual, y es preocupante.
Cada vez más, los atacantes logran comportarse como usuarios legítimos. Replican patrones, contextos y hasta hábitos, pues el usuario ha entregado todo su comportamiento y datos en redes sociales y apps. Eso hace que la autenticación deje de ser un evento y pase a ser algo continuo, que hay que evaluar durante toda la interacción.
Probablemente no se le da toda la atención que merece porque muchos controles tradicionales siguen funcionando razonablemente bien. Pero el entorno está evolucionando rápido, y eso obliga a replantear cómo entendemos la confianza en el mundo digital. La confianza es una palabra que cada vez más sonará a futuro, como el tema a conquistar.
En los últimos años hemos visto un cambio en las tácticas de los atacantes: menos ataques puramente técnicos y más manipulación del usuario a través de phishing, ingeniería social o fraude digital. ¿Hasta qué punto la seguridad bancaria depende más del comportamiento del cliente que de la tecnología del banco?
Más que verlo como una responsabilidad de un lado u otro, yo lo veo como un equilibrio. La seguridad hoy depende tanto de la tecnología como de cómo las personas interactúan con ella. Todos debemos aportar, no es solo de un lado. Lo que sí es cierto es que hemos visto un crecimiento importante en ataques basados en ingeniería social. Aquí el foco ya no está en vulnerar sistemas, sino en influir en decisiones.
Por eso, el reto para las instituciones bancarias como las nuestras es diseñar soluciones que sean seguras desde el origen, pero también intuitivas. Es decir, que acompañen al cliente y reduzcan al máximo la posibilidad de error. La educación digital ayuda, sin duda, pero el verdadero impacto viene de cómo diseñamos la experiencia. Es ahí el desafío.
La confianza es el activo más crítico para cualquier institución financiera. En un escenario donde las amenazas evolucionan constantemente —ransomware, fraude digital, inteligencia artificial utilizada por atacantes, etcétera—, ¿qué tres controles o capacidades debería tener hoy un banco moderno para proteger tanto su operación como los fondos de sus clientes?
Un poco difícil resumirlo en solo tres, pero si tuviera que hacerlo, empezaría por la capacidad de observar lo que está pasando en tiempo real. Entender el comportamiento transaccional y poder detectar rápidamente cuándo algo se sale de lo normal es clave para actuar a tiempo.
Lo segundo es avanzar hacia modelos donde no se da nada por sentado; cero confianza. Es decir, evaluar cada acceso y cada transacción en función del contexto, no solo de una validación inicial. Ese enfoque más dinámico y holístico es fundamental hoy.
Y lo tercero, que a veces se subestima, es tener una visión integrada del riesgo. La ciberseguridad y la prevención de fraude ya no pueden trabajar por separado, no pueden tener dos miradas distintas y estar en cada lado del organigrama. Cuando se combinan, la capacidad de respuesta mejora muchísimo.
Más allá de los marcos regulatorios y las capacidades tecnológicas, en lo personal, ¿qué es lo que realmente mantiene despierto a un CISO bancario por la noche? ¿Es el riesgo?
¡Todo! Pero más que una amenaza específica, diría que lo que más preocupa es la velocidad del cambio. Es abrumador. Todo evoluciona al mismo tiempo: la tecnología, el negocio, las integraciones… y también las amenazas. Eso hace que el desafío no sea solo proteger lo que ya existe, sino estar constantemente adaptándose, sin mucho tiempo para reflexionar. Mantener la operación resiliente, anticiparse a escenarios nuevos y asegurarse de que la organización puede responder bien ante lo inesperado.
Al final, la seguridad ya no es algo que se «alcanza» y se mantiene. Es algo que se construye y se ajusta todos los días, al mismo ritmo que evoluciona el entorno.
