Banco Santander, Crosspoint Capital, ex del FBI, del BCE… Así son los guardianes de la ciberseguridad de Inditex

• Inditex contiene el impacto de la guerra de Irán en bolsa y ya vale casi tanto como el gigante del lujo Hermès
• Inditex sufre un ciberataque con acceso a sus bases de datos

A finales de 2023 Inditex constituyó el Comité Asesor de Ciberseguridad, un órgano independiente de la Comisión de Auditoría y Cumplimiento que nació con el objetivo de reforzar la supervisión de los riesgos tecnológicos que afronta la multinacional y “posicionar la ciberseguridad como materia de análisis estructurado al más ato nivel”. Este órgano asesor y consultivo está integrado por expertos independientes con una reconocida trayectoria en el ámbito de la ciberseguridad. 

El primero de ellos es Hugh Thompson, actual presidente del comité, que es socio director de Crosspoint Capital Partners, firma centrada en ciberseguridad, privacidad y la  infraestructura de software. Anteriormente fue director de tecnología de Symantec Inc, la que fue la mayor empresa de software de seguridad del mundo, con más de 12.000 empleados. Thompson ha testificado antes el Congreso de los Estados Unidos como experto en ciberseguridad y fue reconocido como uno de los «5 Pensadores Más Influyentes en materia de Seguridad de las TI» por la prestigiosa publicación SC Magazine especializada en seguridad. 

Otra de las integrantes es Marene Allison, una antigua Agente Especial del FBI que también ocupó puestos de responsabilidad en riesgos corporativos y seguridad durante más de 30 años en Johnson & Johnson. Allison fue miembro del Consejo de Administración de Health ISAC y es miembro fundador y presidenta de West Point Women, organización formada por mujeres que han estudiado en la United States Military Academy, la academia militar de EE. UU.

También forma parte del comité la española Hazel Díez Castaño, directora de Seguridad de la Información (CISO) global del Banco Santander, que lidera un equipo de más de 2.000 personas en ciberseguridad y fraude. Cuenta con más de 20 años de experiencia trabajando en entornos multiculturales y liderando departamentos de seguridad a nivel global en varias organizaciones, entre ellos, Aviva grupo asegurador y de gestión de activos británico. Tal y como figura en su perfil de Linkedin, Díez Castaño también pasó por Deloitte, donde desempeñó durante casi cinco años el cargo de consultora senior.

Otros miembros del Comité Asesor de Ciberseguridad de Inditex Otro de los fichajes del comité fue el de Christopher C. Krebs, el primer director de la Agencia de Infraestructura y Ciberseguridad (CISA) del Departamento de Seguridad Nacional de los Estados Unidos y cofundador de Krebs Stamos Group, una consultora de gestión de riesgos geopolíticos y tecnológicos. 

En abril del año pasado Donald Trump ordenó abrir una investigación contra Krebs y un funcionario del Departamento de Seguridad Nacional, Miles Taylor, para revisar sus actividades durante su periodo como empleados del Gobierno después de que criticaran abiertamente al magnate. El presidente estadounidense acusó a Krebs de “abusar de su autoridad gubernamental”. “La mala conducta de Krebs implicó la censura de discursos desfavorables que implicaban las elecciones de 2020 y la pandemia COVID-19”.

Alberto Yépez también forma parte del comité desde su constitución. Yépez es cofundador y director general de Forgepoint Capital, la mayor y más activa firma de capital riesgo especializada en ciberseguridad, valorada en más de 1.000 millones de dólares australianos (unos 610 millones de euros al cambio) y con casi 50 empresas en cartera. Con una larga trayectoria en la creación y éxito de empresas globales en ciberseguridad

A todos ellos se suma Maria Markstedter, CEO de Azeria Labs y Persona del Año en Ciberseguridad de Forbes en 2024. También forma parte del comité de revisión técnica para la conferencia de seguridad Black Hat y del consejo asesor técnico del Comité Asesor de Ciberseguridad de CISA. Markstedter es experta en ingeniería inversa y explotación de arquitectura ARM, reconocida por su libro ‘Blue Fox: Arm Assembly internals & externals & reverse engineering’. 

Último fichaje

El último fichaje se produjo en febrero de 2024 cuando se incorporó al comité José Manuel Gonzalez-Páramo Martínez-Murillo, el célebre economista nacido en Madrid, y con raíces familiares en la provincia de Lugo, que ha ha ocupado cargos destacados en varios

consejos corporativos, incluyendo el Banco Central Europeo (BCE) y el Banco de España. Actualmente, ejerce como presidente del Consejo de Supervisión en European DataWarehouse y de la European DataWarehouse GmbH, la primera iniciativa europea que desde el sector privado responde a la necesidad de dotar a los mercados de titulización de estándares elevados de transparencia. También es miembro del del Consejo Asesor Europeo de LLYC. 

González-Páramo fue miembro independiente del Consejo y del Comité de Riesgos en Abanca  y consejero ejecutivo de BBVA y responsable global de Economía, Regulación y Asuntos Públicos entre 2013 y 2020. 

“La composición actual garantiza un equilibrio entre experiencia técnica, institucional y empresarial, aportando una visión independiente sobre el nivel de madurez del modelo de seguridad de la información, la gestión de incidentes críticos, el apetito de riesgo y la evolución regulatoria en la materia”, señala la compañía en la última memoria. 

Durante el último ejercicio, el comité ha informó a la comisión sobre su actividad y los principales asuntos tratados “con el fin de orientar el proceso de toma de decisiones ante posibles amenazas, informar de incidentes críticos, medidas de seguridad, posibles riesgos y debilidades de control y,en general, sobre el nivel de madurez del sistema de seguridad de la información del grupo”. 

Ataque a las bases de datos

El pasado miércoles la multinacional informó sobre un acceso no autorizado a sus bases de datos, alojadas en servidores de un tercer proveedor, que contienen información sobre la relación comercial con clientes de diferentes mercados. El ataque informático no afectó a información personal ni bancaria. En concreto, desde la compañía señalaban que no habrían quedado expuestos datos tales como nombres y apellidos, teléfonos, domicilios, contraseñas, tarjetas bancarias u otros medios de pago.

«Inditex ha aplicado inmediatamente sus protocolos de seguridad y ha iniciado la notificación a las autoridades correspondientes sobre este acceso no autorizado, que tiene su origen en un incidente sufrido por un antiguo proveedor tecnológico que ha afectado a diversas compañías con actividad internacional», explicaban en un comunicado.