Pedro Adamovic, CISO de Banco Galicia y referente global en ciberseguridad: «Vivo en estado de alerta»

Pedro Adamovic, CISO de Banco Galicia y reconocido por cuarta vez entre los Global CISO 100 Awards —un galardón organizado por HotTopics que busca conectar a ejecutivos de nivel C— repasó en Future Talks, el programa de streaming de ITSitio, los principales riesgos que enfrentan hoy las instituciones financieras y cómo su equipo los mitiga. En la charla, Adamovic desplegó una mezcla de diagnóstico técnico y recomendaciones prácticas, y no esquivó ejemplos concretos sobre fraudes, fugas de datos y la presión constante que implica liderar la seguridad en una entidad bancaria.

Filtraciones de datos y fraude: los riesgos más comunes

Al relatar una experiencia que sintetiza muchas de las amenazas cotidianas, el CISO explicó que una filtración de datos puede adoptar múltiples formas y que, en muchos casos, lo más sencillo sigue siendo lo más efectivo para los atacantes: “Las tarjetas de crédito tienen los números. Muy fácilmente te puedo robar esos números”, dijo, y recordó prácticas antiguas que facilitaban el fraude, como cuando los comercios se llevaban la tarjeta para pagar y podían fotografiarla.

Hoy, advirtió, la comodidad del posnet en la mesa cambió la modalidad pero no eliminó por completo el riesgo. En este sentido destacó que es importante que se valide la identidad de quien presenta la tarjeta.

Frente a la pregunta sobre qué puede hacer el usuario cuando sospecha un uso indebido de su plástico, Adamovic describió medidas concretas que ofrece el banco: se puede denunciar y pausar la tarjeta. “Si ves que te entró algún consumo que no es correcto, podés pausar la tarjeta, llamás”, explicó, subrayando la responsabilidad compartida entre usuarios e instituciones para minimizar el impacto.

Las tres grandes amenazas: ransomware, fugas y ataques DDoS

En un plano más institucional, Adamovic distinguió entre fraude y ciberseguridad pura y señaló cuáles son, desde su experiencia, las tres amenazas que ocupan el podio: el ransomware, la fuga de información y la reaparición de ataques de denegación de servicio con motivaciones económicas.

“Lo que sigue creciendo y estando permanentemente son los ransomware… eso sigue estando en top 3 seguro”, afirmó, aunque aclaró que para él la fuga de información es “súper súper compleja” y merece atención prioritaria. También advirtió sobre combinaciones peligrosas —ransomware más exfiltración de datos— que permiten la doble extorsión: “Cifro tu infraestructura y además te amenazo con publicar tu información”.

El factor humano sigue siendo el eslabón más débil

Más allá de las herramientas, Adamovic insistió en que la base del problema es humana: la concientización y los sesgos psicológicos facilitan que una campaña de ingeniería social tenga éxito.

“Lo más común, lamentablemente, se da cuando vos me entregaste tus credenciales, usuario, contraseña, token, lo que sea”, dijo, y por eso considera que la educación continua es tan crucial como la inversión en tecnología.

La inteligencia artificial acelera los ataques (y también la defensa)

El salto exponencial en la velocidad y escala de los ataques, añadió, está íntimamente ligado a la automatización que hizo posible la postpandemia y, más recientemente, la irrupción de la inteligencia artificial.

Explicó que la IA permite automatizar y sofisticar phishing, escaneos y otras fases de ataque, aunque también puede emplearse en la defensa: “La IA IA nos puede ayudar a nosotros. Porque la podés utilizar para prevención… ya hay tecnologías que previenen los ataques”, comentó.

“Vivimos en estado de alerta 24/7”

Sobre la tensión propia del rol, Adamovic reconoció su costo personal: describió su trabajo como “muy estresante” y admitió que vive en un estado de alerta constante. “Yo estoy en estado de alerta 24/7. No duermo bien… duermo con el celular al lado permanentemente”, confesó, reflejando la presión que comparten muchos líderes de seguridad.

Estrategias de ciberseguridad y relación con proveedores

En cuanto a la estrategia tecnológica y de proveedores, el ejecutivo aconsejó evitar la concentración absoluta y apostar por un plan B: probar distintos partners para entender fortalezas y debilidades.

Explicó que el banco adopta un enfoque “best of breed”: elegir la mejor tecnología para cada problema, equilibrando capacidad y presupuesto. “Elegimos las mejores tecnologías para cada una de las problemáticas”, señaló, y admitió que la industria avanza hacia consolidaciones donde proveedores grandes adquieren otros más pequeños.

Red Team y Blue team: el núcleo del trabajo interno

«Nosotros tenemos todo un equipo de seguridad defensiva o Blue Team y un Red Team propio, hace muchos años», subrayó Adamovic. El Red Team busca constantemente encontrar vulnerabilidades, o agujeros de seguridad para probar potenciales ataques que podrían hacer ciberdelincuentes.

Ese equipo prueba procesos, aplicaciones y nuevas implementaciones, complementando los escaneos automáticos.

Escasez de talento y falta de apoyo directivo

Sobre dificultades recurrentes que le plantean otros CISOs, Adamovic señaló la escasez de talento, la limitación presupuestaria y, en algunos casos, la falta de apoyo que pueden recibir algunos de estos expertos por parte de los directivos de sus compañías.

“Lo más grave es cuando el directorio no le da la importancia que tiene la ciberseguridad”, apuntó, y añadió que también es tarea del CISO “hacerse escuchar”.

Innovación y madurez: desarrollo seguro y bug bounty

Para ilustrar éxitos concretos, Adamovic contó dos iniciativas destacadas: la implementación de un desarrollo seguro continuo con herramientas que detectan vulnerabilidades en el código y, crucialmente, asisten a los desarrolladores con sugerencias de corrección.

Por otra parte, recordó que el Banco Galicia tiene un programa de bug bounty en colaboración con la plataforma de seguridad YesWeHack, con el que invita a hackers éticos a buscar vulnerabilidades en sus activos digitales. Este programa, que amplía el trabajo de sus equipos internos de seguridad, se ha presentado en eventos como Ekoparty, donde han realizado eventos en vivo con premios por encontrar fallas en sus aplicaciones y servicios. El objetivo es fortalecer su seguridad digital a través de un enfoque más amplio y continuo de pruebas.

Adamovic instó a proteger los activos críticos desde la tecnología, fomentar la cultura interna y explorar iniciativas innovadoras para anticiparse al atacante. En sus propias palabras, la ciberseguridad es un juego de tablero en constante movimiento donde “hay que meterse en el negocio” para que la seguridad deje de ser un freno y pase a ser un habilitador estratégico.

Leer mas

• Cómo WorldPay usa inteligencia artificial para transformar los pagos digitales en América Latina
• AW Global: cómo un socio estratégico de Microsoft ayudó a generar localizaciones de ERP adaptadas a las regulaciones locales de 14 países
• Cómo Exing convirtió la diversidad y la sostenibilidad en pilares de un modelo tecnológico que ayuda a PYMES y corporaciones a transformarse