Publicada
Las claves

El mercado de la ciberseguridad tiene algo de particular: justo cuando más amenazas se producen, justo cuando la inteligencia artificial y la cuántica acechan como los enésimos gigantes a batir, justo entonces y sólo entonces es cuando el sector decide mirar hacia sus orígenes y resolver sus cien y una asignaturas pendientes. Hablamos de la complejidad que se ha ido añadiendo, capa sobre capa de protección, cual cebolla sin fin, en las empresas. De la heterogeneidad de proveedores de nicho que lo tienen cada vez más difícil para competir ante campañas cada vez más complejas y que requieren de aproximaciones holísticas, si se le permite llamar así. De un mercado en plena ebullición, con grandes luces, pero también muchas sombras que no pueden apagarse cuando se hace la noche.

Barracuda es una de las firmas que más están notando esta dualidad de la ciberseguridad actual. Reina y señora de la seguridad en los correos electrónicos, sus filtros han sido habituales en toda índole de compañías durante lustros, especialmente entre las pequeñas y medianas empresas. Para rizar el rizo, son estas pymes las que más están notando que se quedan atrás en la presente carrera tecnológica, al ser incapaces de asumir esa complejidad heredada, carecer de profesionales internos que sepan de estos menesteres y, por encima de todo, de un presupuesto a la altura de las circunstancias.

La empresa que nos ocupa se encontró ante esta disyuntiva y tenía dos opciones: intentar seguir remando en el mismo estanque que siempre, esperando que algún barco más grande la abordara o, por el contrario, erigirse en el navío total que marcara el rumbo de la ciberseguridad para esos negocios pequeños que se veían suplicando que alguien les echara un salvavidas.

Así que, izando velas, Barracuda se echó a la mar, construyendo sobre la marcha un galeón por piezas que aún está incompleto. E incorporando un nuevo capitán al mando, encargado de llevar la expedición a buen puerto.

Rohit Ghai llegó a la multinacional hace casi un año, después de una trayectoria vinculada a compañías como Symantec, CA Technologies, Dell y RSA. En esta última participó en su propia transformación hacia una compañía más completa que abordara desde la identidad hasta la gestión del riesgo. Justo es lo mismo que se le ha pedido en su nuevo mandato: ampliar el perímetro histórico de la compañía, para construir una plataforma modular que reúna capacidades de protección del email, los datos, las aplicaciones, la red, la detección y respuesta extendida y la identidad.

El directivo, en su primera entrevista en España, sostiene a DISRUPTORES - EL ESPAÑOL que la inteligencia artificial está acelerando la necesidad de consolidar estas herramientas. También advierte de que la tecnología puede introducir nuevos riesgos, desde la fuga de información confidencial hasta la proliferación de agentes autónomos con privilegios excesivos. Pero, si hay una frase con la que quedarse de su vasto discurso, esa es su aproximación prudente a los milagros y desastres anticipados por la IA.

Pregunta: Está a punto de cumplirse un año desde su llegada a Barracuda. ¿Qué le atrajo de la compañía y qué balance hace de estos primeros meses?

Rohit Ghai: Hubo tres elementos que me atrajeron especialmente. El primero es que se trata de una oportunidad de transformación en un momento en el que la inteligencia artificial está cambiando de forma fundamental el panorama de la ciberseguridad. Cuando pensé en las posibilidades de la IA, llegué a la conclusión de que las organizaciones pequeñas y medianas, las que cuentan con equipos de TI reducidos, son precisamente las que más pueden beneficiarse de esta tecnología. Esas empresas no tienen grandes equipos dedicados a la ciberseguridad ni profesionales suficientes para comprender un dominio tan complejo.

Por eso, crear soluciones impregnadas de IA y potenciadas por ella puede cambiar las reglas del juego para las pequeñas y medianas empresas. Es una misión que tiene mucho sentido porque estas organizaciones no pueden gestionar adecuadamente el riesgo cibernético. Un solo incidente puede dejarlas fuera del mercado. Una gran empresa puede perder cientos de millones de dólares y seguir existiendo. Para una compañía pequeña, en cambio, la ciberseguridad puede convertirse en un riesgo existencial.

"Muchas pymes no pueden enfrentarse a la fragmentación del mercado de la ciberseguridad"

Rohit Ghai, CEO de Barracuda.

La segunda razón fue la idea de construir una plataforma. Muchas de estas empresas apenas entienden qué implica la ciberseguridad; saben que es un área de alto riesgo, pero no pueden enfrentarse a la fragmentación del mercado. Por tanto, la necesidad de una aproximación de plataforma es muy elevada en este segmento. En el mundo empresarial existen estrategias de plataforma muy consolidadas, como la de Palo Alto Networks, pero no había una respuesta equivalente centrada en pymes. Me pareció una misión muy poderosa y una forma muy relevante de ayudar a estas organizaciones.

La tercera razón fue el enfoque de Barracuda basado en los partners. Desde el punto de vista comercial, 100% de nuestro negocio se articula a través de socios. Trabajamos con proveedores de servicios gestionados, distribuidores y revendedores que nos permiten llegar a pequeñas y medianas empresas de todo el mundo.

P: El sector se dirige hacia la consolidación de soluciones y la convergencia de capacidades. Sin embargo, la plataformización puede generar dependencia de un proveedor. ¿Dónde se encuentra la frontera entre simplificar la gestión y crear un nuevo problema de bloqueo tecnológico para las empresas medianas?

R.G: Hay una diferencia importante entre el enfoque de supermercado y el enfoque de plataforma. En el modelo de supermercado se pueden comprar múltiples soluciones al mismo proveedor, pero esas herramientas siguen funcionando como sistemas aislados. Son fáciles de adquirir, pero no necesariamente fáciles de utilizar. La estrategia de Barracuda consiste en ofrecer una plataforma diseñada para que sea fácil de comprar, desplegar y utilizar.

Alguien podría argumentar que este modelo genera dependencia de un proveedor para las organizaciones pequeñas. Pero hay que pensar en la alternativa. Si se despliegan múltiples soluciones aisladas de diferentes fabricantes, no se obtiene el beneficio ni el retorno de la inversión que debería generar el gasto total en ciberseguridad. Mi opinión es que las empresas necesitan proveedores diferentes para determinadas áreas. Por ejemplo, pueden utilizar Entra ID de Microsoft para la identidad, o recurrir a las capacidades fundamentales de sus proveedores de plataforma, ya sean Amazon, Google o Microsoft. Pero, para las capas superiores de seguridad, necesitan un socio de plataforma capaz de cubrir la amplitud de sus necesidades.

Este cambio no se producirá de un día para otro. Los clientes se incorporarán a las plataformas como parte de un proceso gradual. Por eso hemos construido una plataforma modular, que permite avanzar paso a paso y que sigue siendo fácil de comprar, desplegar y utilizar.

P: Sin embargo, muchos responsables de seguridad reconocen las ventajas de consolidar herramientas, pero continúan trabajando con siete u ocho soluciones distintas. ¿Está viendo Barracuda un movimiento real desde el lado de la demanda?

R.G: El movimiento comienza con la constatación de que esta es la estrategia correcta y estamos viendo una buena validación del mercado. Estamos tratando de conectar las distintas capacidades de seguridad del correo electrónico, los datos, las aplicaciones, XDR y la red. También hemos realizado recientemente la adquisición de Evo Security en el ámbito de la seguridad de la identidad. Queremos ampliar la cobertura, pero tenemos muy claro que debemos integrar todas esas soluciones. De lo contrario, volveríamos a ofrecer simplemente un supermercado.

Rohit Ghai, CEO de Barracuda. DISRUPTORES

Hay que recordar que la ciberseguridad se ha desarrollado históricamente desde una perspectiva muy técnica. De ahí surgió la mentalidad de buscar siempre la mejor solución individual para cada problema. Esa estrategia funcionaba razonablemente bien cuando los ataques eran más sencillos. Pero ahora nos enfrentamos a ataques impulsados por IA y ejecutados a velocidad de máquina, con lo que las soluciones aisladas no pueden responder adecuadamente a ataques que operan a esa velocidad.

Antes de la era de la IA, los responsables de seguridad ya hablaban de la proliferación de herramientas. Tenían demasiadas soluciones, demasiadas pantallas y demasiados datos que interpretar. Ahora todas esas herramientas están incorporando IA y agentes para automatizar los flujos de trabajo de ciberseguridad. Hemos pasado de la proliferación de herramientas a la proliferación de agentes... y aquí el problema es todavía mayor, puesto que los agentes pueden estar desalineados y actuar de forma contradictoria. Los clientes y los partners están empezando a comprender que se trata de un problema de mayor magnitud.

P: Otros actores, como Proofpoint, Fortinet o SonicWall, también están ampliando sus carteras y presentando estrategias de plataforma. ¿Cuál es vuestro principal elemento diferencial?

R.G: Muchos de los actores que has mencionado también utilizan la palabra plataforma, pero para serlo se necesitan varias cosas concretas. La primera es facilidad de uso. Muchos de esos competidores son compañías históricamente orientadas al mercado empresarial que ahora están descendiendo hacia segmentos de menor tamaño. Sus productos fueron diseñados para organizaciones grandes y complejas, con equipos numerosos.

Barracuda, desde el principio, ha diseñado sus soluciones para organizaciones que no cuentan con grandes equipos. Eso exige un principio de diseño completamente diferente, porque la plataforma debe ser fácil, automatizada e inteligente.

Nuestros clientes también nos dicen que no buscan únicamente facilidad de uso. Necesitan una solución asequible, con un coste total de propiedad atractivo. Quieren capacidades de inteligencia y de IA, pero también amplitud y completitud en la oferta. La descripción que utilizamos nosotros se resume en cuatro conceptos: fácil, abierta, completa e inteligente. Esas son las cuatro características que diferencian nuestra plataforma.

P: La seguridad del correo electrónico sigue siendo el negocio histórico de Barracuda. ¿Cómo está cambiando este ámbito con la llegada de ataques más personalizados y convincentes?

R.G: Incluso el correo electrónico tradicional está siendo reinventado en la era de la IA. Como has señalado, los ataques potenciados por inteligencia artificial son mucho más personalizados y sofisticados y, para combatirlos, ya no basta con utilizar las tecnologías de aprendizaje automático del pasado.

Antes recurríamos a la identificación de patrones: determinadas palabras, expresiones o elementos dentro de un correo activaban los algoritmos de detección. Ahora tenemos que utilizar IA generativa para comprender la intención y el comportamiento. Hay que entender el significado del mensaje, no limitarse a buscar patrones de palabras o errores ortográficos.

Si un correo intenta conseguir que el destinatario actúe de una manera poco razonable, esa intención constituye una señal clara de que puede estar ocurriendo algo malicioso. La IA generativa puede ayudarnos a detectar ese comportamiento y esa intención.

"La inteligencia artificial está cambiando la relación entre el correo y los flujos de trabajo"

Rohit Ghai, CEO de Barracuda.

Por si fuera poco, muchos ataques se están armando después de la entrega. En el pasado, el correo llegaba a la puerta de enlace, el sistema determinaba si era malicioso y decidía si debía bloquearse o permitirse. Ahora el mensaje puede contener un enlace que conduce a la carga maliciosa. El contenido puede estar en un iframe o en un código que se activa y se arma después de la entrega. Por eso se necesita un modelo de seguridad por capas.

El tercer elemento es que la IA está cambiando la relación entre el correo y los flujos de trabajo. Ya no son únicamente las personas quienes leen los mensajes. La IA los resume, los redacta y los edita. Además, un correo electrónico puede activar un flujo de trabajo basado en inteligencia artificial. Por ejemplo, una pequeña empresa puede configurar una regla para que, cuando llegue un determinado mensaje, se active automáticamente un proceso de cuentas por cobrar en su sistema ERP. Eso significa que los ataques por correo ya no se dirigen únicamente contra las personas. También intentan comprometer los flujos de trabajo agénticos que operan detrás del correo electrónico.

Hay que prestar una atención especial a esos disparadores automatizados. El correo está cambiando de forma fundamental y los ataques también. Por tanto, la seguridad del email debe reinventarse para la era de la IA. Esta es nuestra actividad histórica y sigue siendo nuestro negocio más importante y, este año, hemos querido darle la vuelta mediante un modelo de seguridad por capas, impregnado de IA y diseñado para proteger frente a estas nuevas categorías de ataques.

P: Más allá del correo electrónico, Barracuda ha entrado en el ámbito de la identidad y el control de acceso. ¿Qué otras piezas necesita incorporar para completar su plataforma? ¿Contemplan nuevas adquisiciones en los próximos meses?

R.G: La inteligencia artificial es una tecnología de doble filo. Está ayudando a los defensores a seguir el ritmo de los ataques ejecutados a velocidad de máquina, pero también se está convirtiendo en un área atacada y en una nueva fuente de riesgo. La seguridad de la IA, es decir, proteger la propia inteligencia artificial, es un área en la que estamos trabajando y sobre la que realizaremos anuncios.

Tiene varias dimensiones. La primera consiste en proteger los datos que se introducen en las herramientas de IA: muchas pequeñas organizaciones están empezando a utilizar IA generativa y chatbots, pero no tienen visibilidad suficiente sobre qué usuarios los emplean ni sobre la información que están enviando. Hay que arrojar luz sobre esa IA en la sombra y sobre los datos que se introducen en esas herramientas. También hay que impedir la filtración de información sensible. Una empresa puede estar introduciendo estados financieros, datos sanitarios u otra información confidencial en un servicio de IA. Eso puede provocar incumplimientos normativos y poner en riesgo a toda la organización.

Ese será el primer ámbito de actuación: proteger los datos que sustentan las soluciones de IA. Después habrá que abordar la seguridad de la IA agéntica y la protección de las identidades no humanas. La idea principal es que la propia inteligencia artificial forma parte de la superficie de ataque. Queremos ayudar a nuestros clientes a defenderla y protegerla.

P: La IA también puede rediseñar las defensas, compensar la falta de talento y ayudar a los centros de operaciones de seguridad...

R.G: Lo primero que quiero subrayar es que me preocupa que algunas personas piensen que la IA es una panacea. La inteligencia artificial no va a resolver mágicamente todos estos problemas. Incluso las compañías con valoraciones de cientos de miles de millones o billones de dólares han creado modelos con consecuencias no deseadas. Hemos visto noticias sobre sistemas que han superado sus barreras de seguridad, han generado ciberataques o han provocado resultados imprevistos.

Cuando aplicamos IA a la defensa, debemos asegurarnos de que el sistema se comporta correctamente y ofrece resultados deterministas. Es fundamental contar con determinismo y evitar consecuencias no deseadas. Eso exige una ingeniería muy cuidadosa y un diseño muy riguroso. La IA no es una solución mágica. Hace falta trabajar para demostrar que su incorporación mejora realmente la eficacia. Si no se presta atención a ese diseño, puede hacer retroceder a la organización.

Uno de nuestros principios es que la IA debe aumentar la eficacia de la defensa, también cuando se aplica a cargas de trabajo tradicionales. Pero no queremos que introduzca nuevos costes y el primer coste es el de la complejidad. La IA debe ser fácil de utilizar y no debe hacer más difícil la ciberseguridad, que ya es suficientemente compleja. El segundo coste es el de la vulnerabilidad. La propia IA puede ser atacada y generar nuevos riesgos. El tercero es el de la explicabilidad: las decisiones deben ser deterministas y poder explicarse. La organización tiene que saber qué ha ocurrido y por qué.

También hay que controlar los costes económicos. El consumo de tokens puede ser muy elevado y la factura puede crecer rápidamente. El uso adecuado de la IA exige prestar atención a la complejidad, el coste, las vulnerabilidades, el determinismo y la explicabilidad. Solo así podrá convertirse en una fuerza positiva para los defensores.

P: Comentabas que la IA agéntica introduce una dimensión nueva. Ya no hablamos únicamente de personas que acceden a sistemas, sino de agentes autónomos que toman decisiones, interactúan con otros sistemas y operan incluso dentro de las cadenas de suministro. ¿Cómo deben adaptarse las empresas?

R.G: Es una cuestión que mantiene despiertas a muchas personas. Pero yo partiría de un principio fundamental: la ciberseguridad es una disciplina de gestión del riesgo. En ese sentido, valoro incluso el trabajo que está realizando el Gobierno de España con el Esquema Nacional de Seguridad, un marco basado en la gestión del riesgo donde primero se evalúa el riesgo y después se actúa. [Barracuda obtuvo, después de realizarse la entrevista, la certificación de alto nivel del ENS].

Antes de introducir agentes en un entorno, hay que analizar qué puede salir mal. Hay que documentarlo, asignarle una cifra y cuantificar el riesgo. A partir de ahí debe realizarse un análisis entre el riesgo y la recompensa. Cuando se introducen agentes, cualquier derecho o privilegio que se les conceda debe estar limitado en el tiempo. El principio de mínimo privilegio y el enfoque de confianza cero son todavía más importantes para los agentes que para las personas.

Además, hay que establecer un marco de gobierno. Hay que poder supervisar lo que hacen, revisar sus decisiones y establecer mecanismos de control y equilibrio. No se pueden desplegar agentes, olvidarse de ellos y esperar que todo funcione correctamente.

En ciberseguridad no creo que estemos preparados para una guerra completamente autónoma. Debe ser semiautónoma, porque al otro lado existe un actor humano malicioso que intenta derrotar a la IA, atacar a los agentes y comprometerlos. Si los hacemos completamente autónomos, el riesgo será enorme. Mientras exista un atacante humano, debe existir también una persona en nuestro lado que garantice la supervisión y el gobierno adecuados.

En Barracuda utilizamos una expresión concreta: no decimos que nuestras soluciones estén impulsadas por la IA; decimos que están impulsadas por personas y mejoradas por la IA. Nos mantenemos fieles a ese principio.

P: Efectivamente, muchos competidores se definen como compañías de IA nativa, AI-first o incluso AI-operated. Barracuda está utilizando un mensaje más prudente: “potenciada por personas y mejorada por la IA”. ¿Qué tiene exactamente de diferente?

R.G: Tenemos un mensaje diferente porque creemos que, especialmente para las pequeñas y medianas empresas, cuando una compañía está bajo ataque y descuelga el teléfono quiere hablar con una persona empática que pueda orientarla y comprender su situación. En España hay 3,4 millones de pequeñas y medianas empresas. Algunas pueden trabajar como proveedoras de la Administración y necesitan comprender el Esquema Nacional de Seguridad. No tienen necesariamente los conocimientos internos para interpretar lo que significa el ENS para su negocio. Quieren hablar con una persona o con un experto que pueda explicárselo.

"Cuando una compañía está bajo ataque quiere hablar con una persona empática que pueda orientarla"

Rohit Ghai, CEO de Barracuda.

Estamos invirtiendo en esa capacidad humana además de en la automatización. Automatizaremos los flujos de trabajo, pero si un cliente quiere hablar con una persona, nuestro servicio de soporte estará disponible. Nuestro soporte ha sido reconocido por la industria y es una de nuestras principales fortalezas. Los clientes valoran que no los sometamos a árboles telefónicos en los que tienen que pulsar número tras número para acabar hablando con un bot automatizado. Si quieren hablar con una persona, tratamos de ponerles en contacto con ella lo antes posible.

Creo que, si la inteligencia se convierte en una mercancía en la era de la IA, la empatía será un elemento diferenciador. Nuestra humanidad será importante, especialmente para las pequeñas y medianas empresas. Por eso nuestro enfoque y nuestro mensaje son diferentes. Utilizaremos toda la IA disponible, pero siempre estaremos impulsados por personas.

P: La empatía es una propuesta de valor atractiva, pero también plantea un problema de escala. Los competidores que automatizan completamente sus servicios pueden ofrecer soluciones más baratas y fáciles de escalar. ¿Cómo encaja la atención humana en un mercado, como el de las pymes, tan sensible al precio?

R.G: La asequibilidad es una parte fundamental de nuestra propuesta de valor. La clave está en utilizar el nivel adecuado de integración: algunos clientes quieren resolver los problemas por sí mismos y recibir ayuda mediante un enfoque basado en IA. Eso está bien. Tenemos que ofrecerles esa posibilidad.

La respuesta depende de la gravedad de la situación. No somos únicamente humanos, pero tampoco estamos completamente impulsados por la IA. Estamos construyendo una combinación de ambos elementos y utilizándolos en cada caso de uso. La IA debe utilizarse cuando sea la herramienta adecuada y las personas deben intervenir cuando su participación aporte valor. Esa combinación nos permite construir una plataforma fácil y asequible.

La capacidad de escalar y ofrecer soluciones accesibles es muy importante para nosotros y será un factor decisivo para el éxito. No ignoramos ese problema. Lo que decimos es que no se puede eliminar por completo al ser humano de la arquitectura de la ciberseguridad. Al otro lado existe un atacante humano. Además, los equipos de seguridad suelen enfrentarse a los problemas cuando el cliente está sufriendo un ataque. En ese momento, algunas organizaciones quieren hablar con una persona. Queremos ofrecerles esa posibilidad.

P.- Barracuda también es el primer cliente de sus propias soluciones. En ese sentido, la compañía ha sufrido sus propias vulnerabilidades en el pasado, como ocurrió con sus dispositivos de puerta de enlace. ¿Cómo está utilizando la IA para mejorar su ingeniería y su seguridad interna?

R.G: Estamos construyendo internamente un sistema de control para nosotros mismos. En el sector se habla mucho de la creación de código seguro, la detección de vulnerabilidades y la capacidad de los modelos avanzados para encontrar fallos. El problema vuelve a ser la escalabilidad y el coste: los modelos más avanzados son muy caros.

"Estamos construyendo un sistema de control con IA para nosotros mismos"

Rohit Ghai, CEO de Barracuda, sobre las vulnerabilidades encontradas en el pasado en sus productos.

En Barracuda hemos creado un sistema interno basado en modelos de IA que no son de frontera para analizar nuestro propio código y detectar vulnerabilidades. Eso nos permite crear ofertas más seguras para nuestros clientes de una forma económicamente sostenible. No estamos utilizando modelos de frontera para problemas que no requieren modelos de frontera.

Creemos que hace falta una aproximación diferente. En lugar de apostar por un único modelo extremadamente potente, utilizamos varios modelos distintos que trabajan conjuntamente. Esa es la estrategia que estamos aplicando internamente y está siendo muy satisfactoria.

P: Este primer año ha implicado cambios tecnológicos y estratégicos, pero también corporativos. Barracuda pertenece al fondo KKR, que adquirió la compañía en 2022. Estos fondos suelen trabajar con horizontes de inversión de tres a cinco años. ¿Contempla la compañía alguna operación corporativa?

R.G: Cuando me incorporé a Barracuda, naturalmente mantuve esa conversación con KKR. El mensaje que recibí fue que KKR está comprometida con la creación de valor a largo plazo para los clientes y los partners. KKR respalda la estrategia de plataforma de la compañía. Lo que me trasladaron fue que debemos construir la empresa más valiosa posible y una plataforma convincente para este segmento de clientes. No se ha impuesto ningún límite temporal.

Existe un compromiso con la estrategia y con el proyecto a largo plazo. La ciberseguridad es un mercado en proceso de consolidación y nunca se puede predecir exactamente lo que ocurrirá. Pero no estamos estableciendo fronteras artificiales ni limitaciones sobre el tiempo disponible para crear la mejor compañía y la mejor plataforma para nuestros clientes. Ahora mismo estamos centrados en construir la plataforma más valiosa para ellos y parte de ese proceso requerirá operaciones corporativas y adquisiciones. En ese sentido, la prioridad sigue siendo construir la mejor plataforma posible.

P: Por tanto, en este momento Barracuda está más centrada en comprar que en convertirse en objetivo de adquisición o venta...

R.G: Exactamente. Ahora mismo estamos centrados en construir la plataforma más valiosa para nuestros clientes. Como ha señalado, parte de ese proceso requerirá fusiones y adquisiciones.