Un evangelista que difunde conocimientos sobre seguridad de la información.

Sato, quien está a cargo de la planificación y el desarrollo en la División de Información y Comunicaciones y es el líder del equipo de consultoría de seguridad, cree que el establecimiento por parte del Grupo DNP de un sistema para responder continuamente a las estrictas auditorías de fábrica de las marcas internacionales de tarjetas de crédito ha elevado el sistema de seguridad de la "fábrica de tarjetas" a un nivel de clase mundial.

DNP comenzó a desarrollar tarjetas IC en la década de 1980 y, desde entonces, ha alcanzado la mayor cuota de mercado en Japón en la fabricación y emisión de tarjetas IC, que requieren un alto nivel de seguridad para el manejo de información personal. Como parte de este negocio, la empresa debe someterse a auditorías anuales de certificación por parte de compañías internacionales de tarjetas de crédito. Esto exige un estricto cumplimiento no solo de los aspectos físicos de los sistemas de fábrica, como la instalación de cámaras de seguridad y restricciones de acceso, sino también de los aspectos lógicos, como las medidas de protección contra ciberataques.

Sato ha servido de puente entre el personal de fábrica y la transmisión de estrictos requisitos, traduciendo al japonés las especificaciones de seguridad establecidas por compañías internacionales de tarjetas de crédito y actuando como intérprete durante las auditorías. Las múltiples plantas de fabricación de tarjetas de crédito de DNP cuentan con áreas de alta seguridad bajo estrictas medidas de seguridad a las que solo puede acceder un selecto personal. Sato cuenta con una amplia experiencia laboral respondiendo a auditorías realizadas por compañías de tarjetas en estas áreas. Gracias a esta valiosa experiencia, se convirtió en el primer japonés en obtener la certificación de Asesor de Seguridad Interna (ISA) del Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC). Actualmente trabaja como consultor de seguridad para diversos sectores, incluyendo el automotriz y el financiero.

"A medida que los dispositivos IoT se introducen en diversas industrias y se conectan a Internet, los ciberataques dirigidos a estos dispositivos evolucionan y aumentan cada día, pero la realidad es que muchas empresas japonesas se están quedando atrás en su respuesta", afirma Sato, quien afirma que la conciencia de la seguridad de la información en Japón es insuficiente y está ampliando el alcance de sus propias actividades.

En 2008, las compañías internacionales de tarjetas de crédito reforzaron significativamente los requisitos lógicos para las medidas contra ciberataques en las fábricas que producen y emiten tarjetas. Las medidas de seguridad en Occidente se basan en la idea de "confianza cero", que sostiene que no se puede confiar en nada, una especie de teoría maligna. El DNP ya contaba con un sistema de seguridad de alto nivel, pero se exigían estándares aún más altos.

Además de las normas implementadas actualmente por muchas empresas, como las pruebas de penetración periódicas y las evaluaciones de vulnerabilidad, las nuevas regulaciones también incluían otras condiciones como "sobrescribir y borrar memorias USB varias veces después de su uso" y "eliminar software en dispositivos Windows que no sea necesario para el trabajo". Muchas de las normas también presuponen una actitud negativa hacia los empleados, como "desactivar o eliminar los permisos otorgados a los empleados antes de su fecha de jubilación" y "revisar periódicamente las redes inalámbricas, incluso si los dispositivos inalámbricos no están en uso". Al ser una empresa japonesa que opera bajo el principio de la "bondad de la naturaleza humana", hubo cierta resistencia en el entorno laboral, con la pregunta: "¿De verdad tenemos que llegar tan lejos?".

Sin embargo, la capacidad de respuesta in situ de DNP es alta. Cuando los auditores de las compañías de tarjetas explican las razones de los estándares en las especificaciones, el personal in situ a veces diseña medidas de seguridad más económicas que, aun así, cumplen los objetivos, impresionando a los auditores. "También logramos cambiar significativamente la concienciación de los empleados que trabajan en las fábricas, y las medidas de seguridad de DNP ahora alcanzan estándares mundiales", afirma Sato.

Como medida económica, por ejemplo, en la planta de DNP Ushiku, en la prefectura de Ibaraki, los empleados saludan intencionadamente a los visitantes externos, lo que garantiza que muchos empleados sepan dónde se encuentran los forasteros dentro de la planta. "Es una medida de seguridad eficaz y no causa ninguna molestia a los visitantes", afirma el Sr.

"Al adoptar rápidamente las últimas ideas de seguridad del extranjero, el DNP pudo fortalecer aún más su sistema de seguridad", afirma Sato, pero no fue hasta 2014 que se convenció de que este conocimiento también podía aplicarse a la consultoría.

Hasta ahora, no creo que haya habido mucha concienciación sobre la seguridad de la información en la industria manufacturera japonesa. Sin embargo, con el avance del IoT y CASE*1, y la introducción de la robótica en las fábricas, la industria manufacturera no tiene más opción que conectar sus dispositivos a internet, lo que ha generado la necesidad de reforzar las medidas de ciberseguridad. Sin embargo, a diferencia del sector financiero, que requiere niveles de seguridad extremadamente altos como actividad principal, Sato afirma que es difícil para la industria manufacturera implementar de inmediato un sistema de seguridad similar. "Si propusiéramos la introducción inmediata del máximo nivel de medidas de seguridad a sectores distintos del financiero, sufrirían el 'mal de altura', con falta de aire y sus actividades se paralizarían. Debemos proponer la introducción de medidas de seguridad por etapas, sin excedernos, teniendo en cuenta los métodos operativos y los costes óptimos".

Comunicar ejemplos innovadores de medidas de seguridad de todo el mundo también es una función importante de un consultor. Cuando imparte conferencias en seminarios, recibe muchas preguntas sobre ciberataques a nivel mundial. Para responder a estas preguntas, es fundamental contar siempre con la información más reciente. Sato tiene guardados en su smartphone decenas de sitios web de información sobre seguridad de todo el mundo y se dedica a recopilar información en su tiempo libre, como durante su viaje al trabajo.

A medida que los ciberataques se vuelven más sofisticados y aumenta su número, se prevé que la demanda de los servicios de consultoría de seguridad que ofrecen Sato y otras empresas seguirá creciendo. «DNP fue una de las primeras empresas en adoptar la idea de confianza cero, y creemos que su sólido conocimiento será un activo valioso para las empresas japonesas».

Sato cree que, en el futuro, Japón necesitará reforzar la seguridad no solo en los sectores financiero y automotriz, sino también en el médico en particular. Esto se debe a que, aunque no son tan evidentes en Japón, las brechas de seguridad en el sector médico son frecuentes en el extranjero. Sato planea centrarse en la capacitación de la próxima generación de empleados dentro de la empresa, a la vez que aborda el creciente campo de la atención médica.

Como sus días están llenos de trabajo, le gusta relajarse jugando Pokémon GO con su familia los fines de semana. Camina por su casa, busca Pokémon y los reta a combates. Además, es un buen ejercicio que lo ayuda a mantenerse sano.