'General manager' de Google Cloud Security para Europa, Oriente Medio y África

Cristina Pitarch: «¿Podría haber un apagón provocado por un ciberataque? Podría. La cuestión es si estamos preparados para reaccionar»

-¿Cuál es el objetivo de este foro?

-El objetivo es discutir qué es lo que está pasando y cómo lo podemos solucionar, qué nuevas técnicas de ataque están usando los malos y en qué nuevas áreas las estamos viendo. Hasta ahora no existía un foro a nivel europeo donde se hablara de estas cosas, como sí lo había en EE UU, y lo hemos impulsado porque las cosas están cambiando muy rápido.

-¿Qué es lo que está cambiando para que estén tan preocupados?

-Son tres cosas. Primero, los adversarios. Ya no es un chico en un garaje; estamos viendo que están aumentando los ataques a nivel nación y también que en muchos ataques hay detrás fuerzas muy poderosas económicamente. Ya no es una banda organizada como tú te puedes imaginar: son empresas, con gente trabajando en una oficina, con un montón de expertos a los que se les paga un salario, que están ahí para hacer daño. Segundo, la situación geopolítica, sobre todo la que tenemos en Europa, está haciendo que tengamos que estar más pendientes de lo que pueda pasar. Y tercero, la tecnología y el uso de la inteligencia artificial como fuerza de ataque. Esto es algo que todavía no vemos que haya provocado un cambio muy grande en la forma en la que operan los atacantes, pero sí que predecimos que va a venir. Entonces, si juntas las nuevas amenazas, la situación que tenemos geopolíticamente y cómo pensamos que se va a usar la inteligencia artificial, es el momento para hablar y ver cómo afrontamos esta ola entre todos.

-Estos cambios, ¿en qué se traducen? ¿Más ataques, más sofisticados?

-Sí vemos que los ataques están siendo mucho más centrados y mucho más dañinos de lo que estábamos viendo con anterioridad. En 2024 se produjo un incremento de entre un 15% y un 20%, dependiendo del tipo de ataque. Los de 'ransomware' [secuestros de datos], que son los que hacen un daño masivo, se han incrementado casi un 15% de año en año. Estamos viendo muchos ataques centrados en sectores, por ejemplo el de 'retail': en Inglaterra hubo un ataque masivo a la cadena Marks & Spencers, que la dejó sin operaciones más de un mes. También vemos que el 74% de los ataques que han sucedido en España han sido en pymes.

-¿Están las empresas españolas peor protegidas que las de otros sitios?

-No particularmente, creo que estamos al mismo nivel... O sea, mal. Lo que ocurre es que el entramado empresarial que existe en España es muy pyme. ¿Y están las pymes preparadas para lo que les está viniendo encima? No, no lo están. Pero ¿está la gran empresa preparada? Pues tampoco.

-¿La barrera es de inversión, de concienciación, de formación...?

-Es de concienciación. Este es otro de los motivos por los que tenemos el GSEC: mostrar a las empresas cuáles son las herramientas gratuitas para protegerse. No es una cosa compleja a nivel tecnológico, pero sí que requiere unos ciertos pasos y una forma de entender las cosas que, a lo mejor, es difícil para empresas que llevan operando 30 ó 40 años de la misma manera. Es cambiar la mentalidad. Y estar siempre pensando en la seguridad primero. Voy a crear mi web, voy a vender online… Perfecto, maravilloso, pero ¿has pensado en la seguridad?

-Ahora precisamente muchas empresas y muchos profesionales se están lanzando a utilizar herramientas de inteligencia artificial. ¿Lo están haciendo de forma segura o de nuevo nos olvidamos de la seguridad?

-Google tiene un compromiso y lo hemos firmado con muchas de las otras empresas que son proveedores de inteligencia artificial, para hacer una IA segura. Luego está cómo la uses. La IA es tan segura como cualquier otra cosa, es una herramienta. Por ejemplo, ¿va a multiplicar las imágenes y las noticias falsas? Sí, obviamente. Pero estamos más concienciados, o deberíamos. Y nosotros tenemos que dar herramientas para ayudar a que los consumidores sepan diferenciar una cosa de otra. La actitud de sospecha constante la vamos a tener que tener.

-Cuando se produjo el apagón, lo primero que dijo mucha gente es que era un ciberataque. ¿Realmente era posible? ¿Existen atacantes capaces de echar abajo la red eléctrica de todo un país?

-Bueno, es complicado. Sería un nivel de sofisticación tremendo. Pero podría pasar. Yo creo que podría pasar. Lo llevan alertando desde hace tiempo; he visto bastantes ponencias sobre en el sector energético, alertando de que estas situaciones pueden pasar. En realidad, no hay que obsesionarse con si va a pasar o no. La cuestión es cómo de rápido vamos a detectarlo y a reaccionar. Hay que estar preparados.

-¿Por dónde van las novedades de ciberseguridad de Google Cloud?

-Pasan por aplicar la inteligencia artificial en todos nuestros productos para ayudar a asegurarnos mejor. También estamos intentando tener una visión holística. La industria de seguridad está muy fragmentada. Si tú tienes una empresa y quieres asegurarte desde el principio hasta el final, pues a lo mejor tienes que hacer 25 cosas diferentes. Es complicadísimo y es caro. Al final, la idea de Google es que tú te puedes defender desde el principio hasta el final con todas las herramientas que necesitas y da igual qué tamaño tiene tu empresa, a qué se dedica y demás. Simplificar y acelerar: yo creo que estas son las dos tendencias.

-Precisamente la última empresa que ha comprado Google, Wiz, está especializada en ciberseguridad en la nube. ¿Esto refleja por dónde van las prioridades de la compañía?

-Sí, Wiz está dedicada a una parte de ese sistema de seguridad en el que aseguran que todos esos datos que se ponen dentro de la nube estén seguros. Y es una de las partes que nosotros queremos complementar para dar esa visión holística de la que hablaba antes. Ha sido una adquisición de las más grandes que ha hecho Google, todavía no está aprobada por las autoridades de competencia, pero si existía alguna duda de que Google está invirtiendo a lo grande dentro de la ciberseguridad, esta operación lo demuestra. Ten en cuenta que nosotros mantenemos billones de personas seguras al día, billones de cuentas de Gmail, billones de Androids… La responsabilidad que tiene Google respecto a la seguridad es muy grande.

-Respecto a GSEC Málaga, ¿qué novedades puede contarme?

-Siempre hemos hablado de las tres patas del GSEC. Una de ellas es la educación. Y en esta parte estamos muy contentos porque son innumerables los colegios que vienen a visitarlo, no sólo de Málaga capital sino de la provincia. Existe un gran interés. Otra pata es lo que estamos haciendo hoy aquí: la discusión. Hemos generado un foro a nivel europeo que no existía antes. Es un evento único y hemos luchado mucho por tenerlo porque muchos sitios en Europa a los que les hubiera gustado tenerlo. Todo el mundo que tiene algo que decir en Europa en ciberseguridad está aquí. El tercer punto es el desarrollo de herramientas: los ingenieros que tenemos aquí están trabajando, viendo y probando cómo se puede usar la inteligencia artificial para protegernos mejor. Bernardo y el equipo están haciendo una labor increíble para modernizar y actualizar y sumar la inteligencia artificial a esas herramientas de ciberseguridad. Todo esto, desde aquí. Yo creo que es algo de lo que tenemos que estar orgullosos.

-¿Ya han llegado a cien empleados en GSEC Málaga?

-Creo que todavía no, pero no faltará mucho. Las oleadas de contratar gente se producen en verano o navidad. Veremos después del verano a qué punto llegamos. Por lo pronto abrimos la siguiente planta que estaba sin abrir. ¡Esperemos que pronto nos quedemos sin espacio!

-¿Y cuando eso ocurra?

-Ya veremos, ¡pondremos más mesas fuera, en la terraza! [ríe]

-Quiero saber su opinión sobre el cambio de viento regulatorio en Europa. Venimos de una fase muy restrictiva con la tecnología, con la Ley de Mercados digitales y la Ley de IA; de hecho, Google ha estado en el punto de mira. Ahora hay otro discurso, parece que se vuelve a poner la competitividad en el foco. ¿Cree que Europa va a consumar ese giro de timón y a dejar sin efecto esa regulación?

-Yo creo que en Europa nos hemos puesto por detrás de toda la innovación debido a esa regulación demasiado restrictiva que no nos dejaba movernos a nadie. Ahora sí que parece que existe un cambio de tendencia que todavía no sabemos cómo se va a materializar. Creo que estamos todos de acuerdo que cosas como la inteligencia artificial se tienen que regular, pero de tal manera que no nos perjudique a los que estamos defendiéndonos. Si tú regulas de una manera en la que le estás dando una ventaja a los malos, porque ellos no siguen las normas, esa regulación no es buena. Obviamente hay que regular, hay que ver los principios éticos de la IA, es algo en lo que Google está muy metido, y me parece bien que seamos muy respetuosos con los datos de los ciudadanos europeos. Pero de ahí a lo que llegó a ser esa regulación europea, que hacía prácticamente imposible que Europa innove y avance… Eso en un mundo como estamos ahora, global y digital, nos hundiría como región. Hay que llegar a un punto medio.

-Por último, le quería preguntar cómo está afectando dentro de una empresa como Google, la aplicación de la IA a la programación? ¿Se está produciendo ese reemplazo humano-máquina que muchos temen?

-Nosotros llevamos veinte años usando el 'machine learning' y modelos LLM y es todo lo contrario: yo creo que existe un interés más grande en aumentar la contratación de ingenieros. Es otra manera de operar, la IA no viene a sustituir a gente, viene a sustituir las labores rutinarias para que la gente pueda hacer otras más avanzadas. El otro día leía que en Stanford a todos los ingenieros que están especializados en IA les contratan desde el año 3 de la carrera. Existe una necesidad enorme. Sí que es verdad que esta nueva generación se va a tener que especializar en modelos de inteligencia artificial, pero es algo que llevan haciendo toda la vida los informáticos, siempre van cambiando los lenguajes. Yo no creo que la inteligencia artificial venga a quitar el trabajo a nadie, creo que viene a acelerar y a quitarnos las tareas que realmente eran una pérdida de tiempo.