Ciberseguridad en el sector de la movilidad urbana – con Sandra Cuevas, Global CISO de TK Elevator
En una nueva edición de Hablemos de Ciberseguridad conversamos con Sandra Cuevas, Global CISO de TK Elevator, sobre la gestión de la seguridad en una organización industrial presente en más de cien países y con infraestructuras distribuidas por todo el mundo.
Con más de diez años de trayectoria en ciberseguridad y experiencia en diferentes áreas técnicas, de negocio y gestión, Sandra Cuevas comparte una visión en la que la estrategia, el conocimiento de la organización y las personas adquieren un papel fundamental para integrar la seguridad en el negocio.
Una estrategia global adaptada a cada región
TK Elevator cuenta con más de 50.000 empleados y desarrolla soluciones de movilidad urbana que abarcan ascensores, escaleras mecánicas, pasarelas de embarque y sistemas de movilidad para viviendas.
Esta dimensión internacional plantea un escenario en el que la estrategia de ciberseguridad necesita combinar una visión corporativa común con la capacidad de adaptación a cada región.
Los equipos regionales permiten trasladar las directrices globales a las particularidades regulatorias, culturales y operativas de cada mercado, manteniendo un rumbo compartido en toda la organización.
“La clave es tener una estrategia global, pero luego tener mucho apoyo en las regiones.”
Este modelo requiere coordinación, conocimiento local y una comunicación constante entre equipos distribuidos geográficamente.
La transformación digital de la movilidad urbana
La evolución tecnológica ha transformado profundamente los sistemas de movilidad. Los ascensores incorporan actualmente pantallas, servicios conectados y capacidades que permiten anticipar necesidades de mantenimiento. Esta conectividad amplía las posibilidades operativas y convierte la ciberseguridad en un elemento cada vez más relevante dentro del entorno industrial.
La protección adquiere además una dimensión especialmente importante cuando la tecnología forma parte de infraestructuras utilizadas directamente por personas.
Este contexto impulsa la convergencia entre los entornos IT y OT. Cada ámbito mantiene prioridades específicas, mientras la creciente conectividad genera una relación cada vez más estrecha entre ambos.
La disponibilidad, la confidencialidad, la integridad y la continuidad forman parte de una estrategia común orientada a proteger sistemas, operaciones y usuarios.
Visibilidad para proteger un entorno distribuido
Una de las particularidades de TK Elevator se encuentra en la distribución de sus activos.
Junto a los sistemas corporativos tradicionales, la compañía dispone de dispositivos instalados en centros comerciales, aeropuertos, edificios y otros espacios accesibles al público.
Gestionar este entorno comienza por conocer con precisión los activos existentes y su ubicación.
“Es una parte crítica saber dónde tenemos todo eso para poder protegerlo.”
El inventariado aporta la base para construir capacidades de protección y monitorización sobre una infraestructura global.
A partir de esa visibilidad, la organización puede conocer el estado de los dispositivos, detectar comportamientos relevantes y aplicar medidas de seguridad adaptadas a cada entorno.
Riesgos que evolucionan junto con la tecnología
El ransomware continúa ocupando un lugar destacado entre las amenazas para las organizaciones industriales, especialmente por el valor de la propiedad intelectual y la importancia de mantener la continuidad de las operaciones.
A este escenario se suman los riesgos relacionados con la identidad, la cadena de suministro y la inteligencia artificial.
La gestión de identidades adquiere una nueva dimensión a medida que las organizaciones incorporan agentes y sistemas basados en IA dentro de sus procesos. Paralelamente, la dependencia de proveedores amplía el perímetro de seguridad y convierte la gestión del riesgo de terceros en una pieza fundamental.
En una organización industrial global, esta cadena puede involucrar a un número elevado de empresas y servicios, lo que refuerza la necesidad de abordar la seguridad desde una perspectiva end to end.
La regulación como impulso para la madurez
La evolución regulatoria también contribuye a situar la ciberseguridad dentro de las conversaciones estratégicas de las organizaciones.
Normativas como NIS2 establecen una base común y ayudan a trasladar cuestiones relacionadas con el riesgo y la resiliencia hacia los órganos de dirección.
Para Sandra Cuevas, este impulso resulta especialmente relevante en sectores industriales con diferentes niveles de madurez.
La regulación puede convertirse así en un punto de partida para fortalecer capacidades, desarrollar conversaciones con el negocio e impulsar mejoras a lo largo de la cadena de suministro.
Gobernar la inteligencia artificial desde la ciberseguridad
La inteligencia artificial está acelerando la transformación de las organizaciones y también la evolución de las amenazas.
Su capacidad para facilitar el acceso al conocimiento técnico y automatizar procesos permite incrementar la eficiencia de los equipos. Al mismo tiempo, estas capacidades también están disponibles para los atacantes y favorecen técnicas cada vez más sofisticadas relacionadas con la ingeniería social, la suplantación de identidad y la búsqueda de vulnerabilidades.
Dentro de las organizaciones aparece además un nuevo reto: el uso creciente de herramientas de IA por parte de los empleados.
La respuesta desde ciberseguridad pasa por comprender las necesidades empresariales y establecer un modelo de gobierno que permita aprovechar estas capacidades de forma controlada.
“No es tanto decir que no, sino estar ahí en la ola y empezar a gobernar esa IA.”
Definir guías de uso, evaluar los riesgos y acompañar a las distintas áreas permite integrar la inteligencia artificial dentro de la estrategia corporativa.
La concienciación complementa este modelo y ayuda a que las personas comprendan cómo gestionar la información y utilizar estas herramientas de acuerdo con las necesidades de la organización.
Las personas como primera línea de defensa
El factor humano ocupa un papel central en la estrategia de ciberseguridad.
Una organización concienciada puede convertirse en una importante capacidad de detección. El reporte de un correo sospechoso, una actividad anómala o una posible exposición de información aporta señales que ayudan al equipo de seguridad a actuar con rapidez.
Para fomentar esta participación, Sandra Cuevas apuesta por construir una relación de confianza entre seguridad y el resto de la organización.
La colaboración desde las primeras fases de los proyectos y una respuesta constructiva ante los reportes permiten que los empleados perciban al equipo de ciberseguridad como un aliado.
Este enfoque también transforma la concienciación. Frente a modelos centrados exclusivamente en cursos periódicos, existen múltiples formatos capaces de acercar los riesgos a situaciones cotidianas y generar una participación más activa.
Resiliencia para conectar ciberseguridad y negocio
Medir el valor de la ciberseguridad requiere traducir los indicadores técnicos a conceptos comprensibles para la dirección.
El riesgo y la resiliencia permiten construir ese lenguaje común.
Los diferentes KPIs operativos pueden integrarse para mostrar hasta qué punto la organización está preparada para mantener su actividad ante un incidente y recuperar sus capacidades.
Esta preparación también necesita ponerse a prueba.
Los ejercicios de crisis y las simulaciones tabletop permiten comprobar procedimientos, identificar oportunidades de mejora y preparar a los equipos para escenarios reales.
“Ya se habla siempre de que incidentes vamos a tener todos; se trata de cómo responder.”
La capacidad de reacción se convierte así en una medida esencial de madurez. La preparación previa permite que tecnología, procesos y personas funcionen de manera coordinada cuando la organización afronta una situación crítica.
El CISO: líder y comunicador
La trayectoria de Sandra Cuevas refleja también la evolución del propio rol del CISO.
Su experiencia técnica inicial, el paso por desarrollo de negocio y posteriormente por organizaciones finales le han permitido construir una visión transversal de la función.
En una compañía global, la tecnología representa una parte del trabajo. La estrategia, la gestión del riesgo, el conocimiento del negocio, el liderazgo y la comunicación ocupan buena parte del día a día.
Esta realidad también influye en la construcción de los equipos de ciberseguridad.
Además de una base técnica, capacidades como escuchar, comunicar, organizarse, trabajar con autonomía y liderar iniciativas resultan especialmente valiosas en organizaciones complejas y distribuidas.
“Estamos en contacto con todas las áreas de negocio. Estamos con financieros, con recursos humanos, con los de las fábricas; estamos con todo el mundo.”
La capacidad para comprender las necesidades de cada interlocutor y trasladar conceptos técnicos a su lenguaje facilita la integración de la seguridad en los procesos corporativos.
Tecnología al servicio de una estrategia
La evolución constante del mercado genera una oferta creciente de herramientas y soluciones de ciberseguridad.
Para Sandra Cuevas, el valor surge de seleccionar las tecnologías de acuerdo con las necesidades reales de la organización y dedicar los recursos necesarios a su configuración, adaptación y operación.
Una herramienta alcanza su potencial cuando existe una estrategia clara detrás, un equipo capaz de gestionarla y un conocimiento preciso de los objetivos que debe cumplir.
“Fórmulas mágicas no hay. Todas requieren de mucho esfuerzo, configuraciones y de adaptarte a la empresa en la que estás.”
Este planteamiento sitúa la inversión tecnológica dentro de una visión más amplia: aprovechar las capacidades existentes, evaluar su aportación y dirigir los recursos hacia los riesgos prioritarios para el negocio.
Una ciberseguridad integrada en la organización
La conversación con Sandra Cuevas muestra una ciberseguridad vinculada a la transformación del sector industrial y a la creciente conectividad de las infraestructuras.
En una organización global y distribuida, proteger la actividad requiere visibilidad sobre los activos, una estrategia común adaptada a cada región, capacidad de respuesta y una colaboración continua con las distintas áreas del negocio.
El papel del CISO evoluciona en paralelo. El conocimiento técnico aporta una base sobre la que se construyen capacidades relacionadas con la estrategia, la gestión del riesgo, el liderazgo y la comunicación.
El resultado es una función de ciberseguridad que acompaña a la organización, facilita la adopción tecnológica y prepara a las personas y los procesos para responder ante un entorno en constante evolución.
