P: Cuando hablamos de ransomware, ¿de qué magnitud de problema estamos hablando hoy?
AT: Hoy el ransomware es, literalmente, un riesgo de negocio. No es solo un tema de IT. A nivel global, el tiempo promedio para detectar y contener una brecha supera los 270 días. En ese lapso, el daño operativo, económico y reputacional puede ser enorme, aunque después logres recuperar datos.
En el caso de Merlin, nuestro enfoque es claro: la confianza de los clientes es el activo que tenemos que custodiar. Todo el modelo de seguridad está pensado para proteger esa confianza, no solo para “reaccionar bien” si pasa algo.
P: En Merlin se habla de un Sistema de Gestión de Seguridad proactiva. ¿Qué significa eso en la práctica?
AT: Significa que no esperamos a que ocurra el incidente para empezar a organizarnos. Trabajamos con un Sistema de Gestión que incluye ISO 27001:2022 (Seguridad de la Información) e ISO 9001:2015 (Calidad).
Eso nos obliga —y nos ordena— a gestionar el riesgo de forma estructurada: identificar escenarios críticos, definir planes, probarlos y mejorarlos.
En concreto, el ataque de ransomware está formalmente identificado dentro de nuestro Análisis de Impacto al Negocio (BIA). Y esa identificación no se queda en un documento: está conectado con un Plan de Respuesta ante Incidentes Mayores (PRIM) y con nuestro Plan de Continuidad del Negocio (PCN).
Si algo grave ocurre, ya sabemos quién hace qué, en qué orden, con qué prioridad y cómo protegemos la operación de nuestros clientes.
P: ¿Cómo se traduce esa estrategia en la infraestructura técnica de Merlin?
AT: La base es Merlin Cloud sobre Amazon Web Services (AWS), bajo un modelo IaaS (Infrastructure as a Service). Eso nos permite apoyarnos en controles de seguridad de clase mundial, pero no nos quedamos ahí: los complementamos.
Algunos ejemplos concretos:
- WAF (Web Application Firewall) y políticas de Rate Limit para mitigar ataques volumétricos.
- Control de acceso estricto, bajo el principio de “necesidad de saber” (least privilege).
- Autenticación multifactor (MFA) obligatoria para acceder a información crítica.
Y, algo clave en entornos con riesgo de ransomware: backups completos e inmutables, probados con regularidad. No es solo tener backups: es verificar que podemos restaurar plataformas sin perder datos ni sufrir interrupciones prolongadas, sin depender de pagar un rescate.
P: Muchas empresas invierten en tecnología, pero fallan en el factor humano. ¿Cómo lo abordan ustedes?
AT: Tecnología sin cultura es una falsa sensación de seguridad. En Merlin trabajamos en tres frentes:
- Desarrollo seguro: Tenemos una Política de Desarrollo Seguro que acompaña todo el ciclo de vida del software. Revisamos código, aplicamos buenas prácticas y evitamos introducir vulnerabilidades desde el diseño.
- Validación externa: Complementamos lo interno con pruebas de penetración (pentesting) realizadas por especialistas independientes. Su rol es pensar como un atacante y ayudarnos a encontrar puntos débiles antes de que alguien los explote.
- Cultura y formación continua: Todos los colaboradores firman un compromiso de confidencialidad y reciben capacitación en seguridad desde el día uno, en el plan de inducción. Después, seguimos reforzando contenidos, simulando escenarios y actualizando prácticas.
La idea es que la seguridad deje de ser “tema del área técnica” y pase a ser un reflejo cotidiano de cómo trabajamos.
P: Mencionaste ISO 27001. Muchas empresas lo ven solo como una certificación más, ¿qué representa para Merlin?
AT: Para nosotros, ISO 27001 no es una medalla para poner en una presentación. Es la evidencia de que tenemos un sistema vivo de seguridad de la información, que se audita, se revisa y se mejora continuamente.
¿Qué implica en el día a día?
- Políticas, procesos y controles formales y auditables.
- Evaluación periódica de riesgos y actualización de planes.
- Evidencias de que lo que decimos que hacemos, lo hacemos de verdad.
En síntesis: es una validación externa de una cultura interna que apunta a la prevención y a la mejora continua.
P: Si una empresa está evaluando proveedores de datos o tecnología, ¿qué preguntas clave debería hacerse sobre seguridad?
AT: Yo sugeriría, como mínimo:
- ¿Tienen ISO 27001 aplicada a los servicios que voy a usar?
- ¿Cómo gestionan el riesgo de ransomware específicamente?
- ¿Qué planes de continuidad tienen (PCN, PRIM) y cada cuánto los prueban?
- ¿Cómo manejan backups, restauración y tiempos de recuperación?
- ¿Qué hacen para asegurar un desarrollo seguro y qué tipo de auditorías externas realizan?
Si las respuestas son vagas o se quedan solo en “tenemos firewalls”, es una señal de alerta. Hoy, elegir un proveedor es también confiarle parte de tu reputación.
P: Si tuvieras que sintetizar la filosofía de Merlin en seguridad en una frase, ¿cuál sería?
AT: Diría algo así: “No existimos solo para responder bien cuando pasa algo, sino para reducir al mínimo la probabilidad y el impacto de que pase.” Nuestra misión es construir una fortaleza proactiva, para que nuestros clientes puedan enfocarse en hacer crecer su negocio con la tranquilidad de que sus datos están protegidos por un sistema de seguridad que no se queda quieto: se revisa, se ajusta y evoluciona todo el tiempo.
Adrián Torres
Director de Gestión de Calidad
