Una empresa pionera en Palencia como referente nacional e internacional. Ese es el proyecto de Julio César Miguel y Verónica Serna centrado en el impacto de la Inteligencia Artificial y los nuevos retos de la ciberseguridad.
Grupo CFI nació hace dos décadas. Si tuviera que resumir en una idea cómo ha evolucionado la empresa desde entonces, ¿cuál sería?
La esencia, sin embargo, sigue siendo la misma que hace 20 años: anticiparnos a las necesidades de nuestros clientes y ofrecerles soluciones innovadoras, cercanas y con el máximo nivel de calidad.
¿En qué momento sintió que habían dejado de ser una empresa local para competir a nivel nacional e internacional?
JCM: Fue un proceso gradual. Primero, consolidamos nuestra presencia en Castilla y León; después, comenzamos a trabajar con clientes de toda España; y, más adelante, comprobamos que nuestro conocimiento y experiencia también tenían demanda fuera de nuestras fronteras. La expansión hacia Latinoamérica ha supuesto un paso muy importante y demuestra que la excelencia no entiende de ubicación geográfica.
Han apostado por desarrollar soluciones tecnológicas propias, ¿qué necesidad detectaron en el mercado para dar ese paso?
JCM: Detectamos que muchas organizaciones necesitaban herramientas que simplificaran la implantación y gestión de normativas cada vez más complejas. Nuestro objetivo era ofrecer soluciones que facilitaran realmente el trabajo de nuestros clientes y que les permitieran afrontar el cumplimiento normativo de una manera más sencilla y eficaz.
De esa filosofía nacieron plataformas como LOPD Manager e ISO Director, así como nuestra nueva solución basada en Inteligencia Artificial para la implantación de regulaciones como el Reglamento de Ciberresiliencia (CRA) y el Reglamento Europeo de Inteligencia Artificial (RIA).
¿Qué objetivos se han marcado para los próximos cinco años?
JCM: Queremos consolidarnos como uno de los referentes europeos en ciberseguridad, privacidad e Inteligencia Artificial responsable. Para conseguirlo, seguiremos invirtiendo en innovación, desarrollando software propio y ampliando nuestra presencia internacional.
La Inteligencia Artificial (IA) está transformando todos los sectores, ¿estamos ante una revolución comparable a la llegada de internet?
JCM: Sin duda. La Inteligencia Artificial supone un cambio de paradigma similar, e incluso superior en algunos aspectos, al que vivimos con la llegada de internet. Va a transformar profundamente nuestra manera de trabajar, de producir, de prestar servicios y de tomar decisiones.
Sin embargo, precisamente por su enorme impacto, debe desarrollarse bajo principios de transparencia, ética, seguridad y responsabilidad.
Todo el mundo habla de IA, pero muy pocos conocen el Reglamento Europeo de Inteligencia Artificial, ¿qué supone realmente para las empresas?
JCM: Supone un cambio muy importante porque introduce obligaciones concretas para quienes desarrollan o utilizan sistemas de inteligencia artificial. No se trata únicamente de cumplir una norma, sino de garantizar que la IA se utiliza de forma ética, segura y respetando los derechos. Las empresas que se anticipen a estas obligaciones estarán mejor preparadas y serán más competitivas.
Además, el incumplimiento del Reglamento de IA puede suponer para las empresas sanciones de hasta 35 millones de euros.
¿Qué errores están viendo cometer a las organizaciones a la hora de implantar herramientas de Inteligencia Artificial?
JCM: El principal error es pensar que basta con incorporar una herramienta de Inteligencia Artificial sin analizar los riesgos de su uso y sus implicaciones en materia de privacidad. Muchas organizaciones utilizan, por ejemplo, modelos gratuitos de IA para filtrar currículos sin ser conscientes de que esos datos personales pueden acabar en servidores situados en Estados Unidos, exponiéndose a sanciones de hasta 20 millones de euros.
En general, las organizaciones están incorporando la IA a sus procesos sin realizar una evaluación mínima del proveedor, sin establecer controles, sin formar a sus empleados y sin definir criterios de uso ni políticas internas. La tecnología aporta enormes beneficios pero necesita una adecuada gobernanza para que no termine convirtiéndose en un problema mayor del que se pretendía solucionar.
Otro gran problema es la denominada «shadow AI», es decir, la Inteligencia Artificial que utilizan los empleados sin conocimiento de la organización y, por tanto, sin que se hayan evaluado los riesgos de seguridad, privacidad y confidencialidad. No debemos olvidar que, especialmente en determinados modelos gratuitos, la información que introducimos para que la herramienta la analice o la resuma puede quedar expuesta o ser utilizada posteriormente, con el consiguiente riesgo para los datos sensibles de la empresa.
¿Las pequeñas y medianas empresas son conscientes de las obligaciones que tendrán que cumplir en los próximos meses?
JCM: En muchos casos, todavía no. Existe cierto desconocimiento, especialmente entre las pymes, que bastante tienen con afrontar el día a día de su negocio.
Nuestro trabajo consiste precisamente en acompañarlas para que el cumplimiento normativo no se convierta en una carga, sino en una oportunidad para mejorar sus procesos y generar confianza.
¿La regulación europea puede frenar la innovación o, por el contrario, generar más confianza en esta tecnología?
JCM: Creo que una regulación bien planteada impulsa la innovación. La confianza es uno de los factores que determinarán el éxito de la inteligencia artificial. Si los ciudadanos y empresas saben que existen garantías, la adopción será mucho mayor.
También se habla mucho del Cyber Resilience Act, ¿Cómo cambiará la forma de diseñar y comercializar productos digitales?
JCM: Introduce un cambio fundamental: la ciberseguridad pasa a convertirse en un requisito desde el propio diseño de cualquier producto digital, tanto de hardware como de software. Los fabricantes deberán asumir responsabilidades durante todo el ciclo de vida del producto, incluyendo el análisis de vulnerabilidades, las instrucciones para un uso seguro, las actualizaciones de seguridad durante toda la vida útil del producto y la notificación de vulnerabilidades graves. Además, será necesario contar con el marcado CE para poder comercializar estos productos en Europa.
Los ciberataques aparecen casi a diario en los medios, ¿España está realmente preparada para hacerles frente?
JCM: Hemos avanzado mucho, pero todavía queda camino por recorrer. Disponemos de excelentes profesionales y organismos de referencia, pero la digitalización avanza muy deprisa y los ciberdelincuentes evolucionan constantemente. Por eso, la seguridad debe ser un proceso continuo y no una actuación puntual. La mejor defensa sigue siendo la prevención y la formación del personal. Se dice que el eslabón más débil de la cadena de seguridad es el factor humano, pero, a través de la formación, podemos convertirlo precisamente en el eslabón más fuerte.
¿Cuál es hoy la amenaza más frecuente para una empresa y cuál para un ciudadano?
JCM: Para las empresas continúan siendo especialmente preocupantes el ransomware y el phishing dirigido. Son amenazas que pueden paralizar una organización y provocar consecuencias importantes tanto desde el punto de vista económico como operativo.
En el caso de los ciudadanos, las estafas, la suplantación de identidad y los fraudes basados en ingeniería social son cada vez más habituales.
¿Qué errores siguen cometiendo los usuarios con sus teléfonos móviles y ordenadores?
JCM: Seguimos utilizando la misma contraseña para varios servicios y, en ocasiones, contraseñas demasiado fáciles de adivinar. También retrasamos las actualizaciones de seguridad y confiamos demasiado en los mensajes que recibimos.
La mayoría de los incidentes siguen teniendo un importante componente humano.
¿Las contraseñas tradicionales tienen los días contados?
JCM: Todo apunta a que evolucionaremos hacia sistemas de autenticación mucho más seguros, como los PIN de acceso, la biometría o la autenticación multifactor.
En todos los servicios en los que sea posible, deberíamos utilizar siempre la autenticación multifactor. Por ejemplo, además de la contraseña, se solicita un código que recibimos en el teléfono móvil. De esta manera, un ciberdelincuente no tendría suficiente con robarnos la contraseña, sino que también necesitaría el móvil.
Las estafas mediante Inteligencia Artificial, con voces o vídeos falsificados, están aumentando,¿cómo puede protegerse cualquier persona frente a este tipo de fraudes?
JCM: Lo más importante es desconfiar de cualquier solicitud urgente relacionada con dinero o datos personales, aunque aparentemente proceda de alguien conocido. Siempre conviene verificar la información utilizando un canal alternativo antes de actuar.
Además, es muy importante establecer un PIN familiar, es decir, un código que solo conozcan los miembros de la familia. Puede ser un número o una palabra clave. De este modo, podemos validar inmediatamente la identidad de un familiar, por ejemplo, ante un mensaje sospechoso en el que nos pida dinero. Si la persona que envía el mensaje no conoce el código que le pedimos, sabremos que no es realmente nuestro familiar. La estafa queda desmontada desde el primer momento.
Si pudiera dar tres consejos sencillos para mejorar nuestra seguridad digital, ¿cuáles serían?
JCM: El primero sería utilizar la autenticación multifactor siempre que sea posible. El segundo, mantener todos nuestros dispositivos actualizados. Y el tercero, desconfiar de cualquier mensaje o enlace inesperado antes de hacer clic.
Muchas pequeñas empresas siguen pensando que nunca serán objetivo de un ciberataque, ¿es uno de los grandes mitos que tiene el sector?
JCM: Sin duda. Los ciberdelincuentes no distinguen entre grandes y pequeñas empresas. De hecho, muchas veces buscan precisamente organizaciones pequeñas porque cuentan con menos recursos para protegerse y pueden resultar más vulnerables.
Para ellos, muchas pequeñas empresas pueden ser un objetivo más sencillo que una gran organización con sistemas de protección mucho más desarrollados. Puede resultar más interesante conseguir «muchos pocos» que enfrentarse a una organización grande y muy protegida. Aunque la recompensa potencial sea mayor, también lo son los esfuerzos necesarios y el riesgo de que el ataque no tenga éxito.
¿Qué consecuencias puede tener para una pyme sufrir un ataque informático, más allá de la pérdida económica inmediata?
JCM: Puede implicar una interrupción de la actividad, la pérdida de información crítica, sanciones regulatorias, daños reputacionales e incluso comprometer la continuidad del negocio. En algunos casos, el impacto sobre la confianza de clientes y proveedores resulta más difícil de recuperar que el propio perjuicio económico. Existe una estadística que señala que el 60% de las pymes cierra antes de seis meses después de sufrir un ciberincidente grave. Por eso es fundamental entender que la ciberseguridad no es un gasto, sino una inversión necesaria para garantizar la continuidad y la supervivencia de una empresa.
Grupo CFI ha implantado la jornada laboral de 35 horas, ¿qué les llevó a tomar esa decisión?
Verónica Serna (VS): Siempre hemos creído que las personas son el principal activo de cualquier organización. Queríamos dar un paso más en nuestro compromiso con el bienestar del equipo, favoreciendo la conciliación y el equilibrio entre la vida profesional y personal.
Estamos utilizando la tecnología para mejorar la vida de nuestro personal. Si somos capaces de aplicar la misma tecnología para hacer más eficientes nuestros procesos y, al mismo tiempo, mejorar la calidad de vida de las personas que forman parte de la empresa, estamos cumpliendo uno de nuestros principales objetivos. Estamos convencidos de que cuidar del talento también es una forma de innovar.
¿Ha mejorado realmente la productividad y el ambiente de trabajo desde que aplicaron la medida de 35 horas semanales?
VS: Sí. Hemos comprobado que disponer de más tiempo para descansar y conciliar repercute positivamente tanto en la motivación como en la eficiencia. Cuando las personas trabajan en un entorno saludable y sienten que son valoradas, los resultados mejoran.
En un sector con tanta demanda de profesionales, ¿es difícil encontrar talento?
VS: Existe una elevada demanda de perfiles especializados, pero también creemos que el talento se desarrolla. Apostamos por la formación continua, el aprendizaje y el crecimiento profesional de nuestro equipo porque queremos que evolucionen con la empresa.
Cuando incorporan a alguien a la empresa, ¿qué valoran más: la formación técnica o la actitud?
VS: Ambas son importantes, pero, si tuviera que elegir, me quedaría con la actitud.
Los conocimientos pueden adquirirse y actualizarse; en cambio, el compromiso, la capacidad de aprender, el trabajo en equipo y la implicación marcan realmente la diferencia.
¿Qué aconsejaría a un joven que quiera orientar su carrera hacia la ciberseguridad o la protección de datos?
VS: Le diría que nunca deje de aprender. Es un sector apasionante y en constante evolución, por lo que resulta imprescindible mantenerse actualizado. Además de adquirir conocimientos técnicos, es importante desarrollar habilidades como el pensamiento crítico, la comunicación y la capacidad de adaptación.
¿Palencia ofrece un entorno adecuado para desarrollar una empresa tecnológica o todavía existen barreras importantes?
VS: Desde luego. Nosotros somos un ejemplo de que es posible crear una empresa tecnológica de referencia desde Palencia. Evidentemente, existen retos, como atraer determinados perfiles especializados, pero hoy la tecnología permite competir desde cualquier lugar si se apuesta por la innovación, el talento y la calidad.
Después de 20 años al frente de Grupo CFI, ¿qué proyecto o reto les hace más ilusión afrontar en esta nueva etapa?
VS: Estamos viviendo un momento apasionante. La implantación del Reglamento de Inteligencia Artificial y del Reglamento de Ciberresiliencia abre una nueva etapa para las organizaciones, y queremos seguir acompañándolas con conocimiento, innovación y tecnología propia.
Nos ilusiona continuar creciendo, ampliar nuestra presencia internacional y demostrar que una empresa nacida en Palencia puede seguir liderando la ciberseguridad desde la excelencia y el compromiso con las personas.
Entrevista realizada por Alejandro Mozo para el Diario Palentino.
