Charla con Rubén Fernández, CEO y cofundador de EWALA

-¿Crees que la mejor opción es crear tu propia empresa o trabajar por cuenta ajena?

-Bueno vais a ver que a la mayoría de preguntas respondo a la gallega ¿no? Voy a decir depende. Y quiero aclararlo al principio porque podría contestar lo que yo creo como Rubén persona, con mi experiencia. Pero al final cada uno somos de una forma y a lo mejor lo que creo que es bueno para mi hay otra persona que tiene otra forma de ser y no lo es. Entonces, ¿es mejor emprender o trabajar por cuenta ajena? Yo he hecho las dos cosas. He sido muy feliz trabajando por cuenta ajena, he pasado momentos peores, hasta la fecha la experiencia emprendedora está siendo muy buena, de hecho lo recomendaría, pero claro tengo una forma de ser en la que me gusta la responsabilidad, tomar decisiones, y al final el emprendimiento lleva a esta serie de condicionantes. También entiendo que hay otras personas que pueden preferir no tener tanta responsabilidad, o ir para casa y dormir más tranquilo, y el emprendimiento puede no ser lo suyo. Con lo cual cada uno tiene que analizar los pros y los contras y luego decidir.

-¿Qué crees que debe tener en cuenta un emprendedor antes de iniciar un proyecto?

-Aquí voy a responder desde mi área de conocimiento más principal, que es la Dirección o la Economía. Para mi lo principal es la planificación. Cuando empiezas un negocio, cuando empiezas un nuevo proyecto siempre vamos con mucha ilusión y creemos que todo va a salir bien. Pero la realidad es que puede no salir bien. Con lo cual tenemos que tener previsto qué vamos a hacer si las cosas no van como nos gustaría, cómo vamos a sobrevivir. Tener en cuenta que hay un periodo complicado que se llama el 'valle de la muerte' desde que tu idea coge forma hasta que realmente es rentable, entonces hay que planificar muy bien esta etapa para sobrevivir, que es lo principal cuando empieza.

-Siempre ponerte un poco en lo peor, ¿no? No pensar que todo va a ser fácil

-Eso es, si luego es fácil mejor. Tener previsto qué vas a hacer si no lo es.

-¿Cuáles son las características que debe tener un emprendedor?

-Otra pregunta abierta. Yo desde el papel diría que hay que ser una persona tranquila, muy organizada, y sobre todo muy responsable, serio, cumplir con todas esas cosas que dices que vas a hacer. Eso es lo que yo pienso, pero la realidad es que hay muchas personas que no son así y les va de maravilla. Y han triunfado, y han levantado startups. Y lo contrario. Hay personas que son como yo acabo de decir, son serias, responsables, etc. y les ha ido mal. Con lo cual no sé cuál tiene que ser la característica principal. Al final lo que tenemos todos en común es perder el miedo a lanzarse a la piscina, esperando que tenga bastante agua, pero al final eso es lo que creo que tiene que tener un emprendedor. No tener miedo a atreverse.

-¿Consideras que es un buen momento para emprender?

-Otra respuesta ambigua que os voy a dar. Nunca es un buen momento para emprender, y siempre es un buen momento para emprender. Me refiero a que aún en situaciones de incertidumbre como la que tenemos ahora si tienes una idea clara y encuentras tu oportunidad te puede ir bien. Y lo contrario. En situaciones de bonanza económica en la que todo vaya estupendamente bien te la puedes pegar, si la idea no se transforma bien, si tienes un impago…Obviamente es mejor cuando las cosas van bien y la economía te empuja, parece que es más sencillo, pero tampoco tiene por qué ser un mal momento una situación como la actual de incertidumbre, si realmente tienes una idea clara y un equipo para ponerla en marcha.

-¿Cuál es la mejor manera de dar a conocer un negocio y encontrar clientes potenciales?

-Evidentemente al principio no hay ninguno, con lo que hay que buscarlos como sea. Depende mucho del sector, porque en cada uno hay una forma de venta y una manera de llegar al cliente, depende también de tu cliente objetivo, no es lo mismo dirigirte a empresas que a particulares, no es lo mismo dirigirte a pequeñas empresas que a grandes, no tiene nada que ver una tienda tradicional de alimentación con un market place online. Depende mucho del sector, pero yo diría que lo fundamental a todos, es que los mejores clientes que puedes conseguir pueden llegar a través de los clientes que ya tienes. Que un cliente que ya tienes hable bien de ti y te prescriba a nuevos clientes es maravilloso para cualquier negocio. Y luego lo que comentaba, tienes que valorar en qué sector estás, cuál es tu público objetivo y a partir de ahí si necesitas pocos clientes por ejemplo y que sean selectos, que sean buenos clientes, yo soy de la antigua usanza, buscar una base de datos con esos clientes potenciales trabajarlos activamente: llamar por teléfono, ir a visitarlos, intentar contactar por Linkedin, osea que haya una relación personal. Pero si tienes un marketplace necesitas un montón de clientes a lo largo del mundo, de una región amplia, pues esto no lo puedes hacer, necesitas Google ADs, anunciarte en redes sociales, también depende del target que tengas pues tienes que seleccionar estos clientes. Y en este sentido, creo que es muy importante, sobre todo en esta segunda forma en la de anunciarte a través de redes sociales o de otros canales de comunicación, apoyarse en expertos de marketing. El Marketing es una ciencia muy difusa, es muy complejo llegar a donde tienes que llegar, gastar mucho dinero y que no sirva para nada, con lo cual yo recomendaría sobre todo cuando empiezas contratar a agencias externas que te ayuden a posicionar tu negocio online. Creo que al final va a acabar siendo mucho más barato y más rentable.

-¿Crees que la ciberseguridad es un buen campo para emprender? Existen muchas empresas hoy en día especializadas en esa materia ¿Tenéis mucha competencia en el sector?

-Nueva respuesta a la gallega. Si tengo que decirlo en frío diría que sí que la ciberseguridad es un sector que está creciendo con lo cual es mucho mejor emprender. En ventas y marketing siempre se habla de la tarta, del tamaño de la tarta la porción que te tienes que quedar tú para que te vaya bien. Evidentemente es mejor entrar en una tarta que está creciendo. Porque quiere decir que no tienes que robarle los trozos a la competencia, sino que se está generando nuevas oportunidades en el mercado. Pero tampoco es una garantía de éxito. Nosotros somos un equipo multidisciplinar, yo soy Licenciado en Economía, llevo la parte de negocio, controlo más del tema de Administración, ventas…pero técnicamente no me dedico a la ciberseguridad; pero tengo dos socios y muchos compañeros que sí. Con lo cual ¿emprender en ciberseguridad es una oportunidad? Sí, pero yo si lo hiciese solo me iría fatal porque no tengo ni idea técnicamente de cómo se hace. Tanto en este sector como en otros es importantísimo rodearse de gente que sepa, y si tienes la suerte de que tú tienes ese conocimiento te diría que te rodees de la gente que sabe de las otras áreas del negocio también para que la cosa vaya bien. Si tengo que decir sí o no, sí es un buen sector para emprender. Respecto a la competencia sí que hay competencia pero es un sector muy colaborativo, no nos encontramos peleas de te quito un cliente o no te lo quito. Es todo lo contrario, es muy difícil encontrar a un competidor o a otra empresa que haga exactamente lo mismo que nosotros. Entonces si no haces exactamente lo mismo siempre hay lugar para la colaboración. Nosotros colaboramos con muchas empresas de ciberseguridad, que es curioso, pero es así, porque hay áreas en las que se nos escapan cosas, o picos de trabajo en los que no damos a basto y necesitamos ayudarnos entre nosotros.

-¿Cuáles son los desafíos más comunes con los que se encuentran las empresas a nivel de ciberseguridad?

-El principal problema que nosotros vemos en los clientes es la concienciación de la dirección. Fíjate qué curioso. Cuesta mucho que pymes que nunca han tenido un problema de ciberseguridad inviertan en medidas de seguridad, porque lo primero que piensa la dirección es: «bueno si nunca ha pasado nada, para qué me voy a gastar dinero aquí». Y lamentablemente tenemos muchos clientes que han venido después de tener el incidente. Entonces es más sencillo de concienciar. Pero diría que el desafío más grande que tenemos es concienciar a estos consejos de administración, gerentes, de que es necesaria esta inversión para evitar un problema mayor. Y en línea con esto, es que los empleados suelen tener poca formación en ciberseguridad. La mayoría de los incidentes se producen porque un empleado hizo click donde no tenía que hacer click. Eso se evita de dos formas: una técnica, con medidas de seguridad que tratan de evitar que ese enlace llegue al empleado, si no te llega no haces clic, eso sin duda; pero es imposible pararlos todos, siempre va a llegar alguno. Y nosotros no estamos formados, preparados. Por ejemplo, el enlace que nos habéis mandado para conectarnos aquí yo lo he escaneado antes de ejecutarlo. Es una tontería, me llevó dos minutos, pero es una costumbre que tenemos de analizar todos aquellos enlaces en los que hacemos clic. Entonces de esa forma se evitarían muchos incidentes. Y la realidad es que vamos rapidísimo en el día a día, no nos paramos, no tenemos esa formación o prevención y la mayoría de los ataques vienen por ahí, por despistes humanos.

-¿La ciberseguridad también es importante para las pymes? ¿Están concienciadas con la necesidad de invertir en ello?

-Al final es complicado encontrar datos fiables, porque hay mucho ocultismo, me refiero al número de ataques y al impacto que tienen. Hay cifras que dicen que el 70% de las pymes que sufren un ataque cierran antes de los 3 años debido a ese ataque. La ciberseguridad es un riesgo en la oportunidad de negocio, es así de serio, y es así como debería tomárselo la dirección de cualquier empresa, sea grande o pequeña. Pero lo cierto es que cuesta llegar ahí. El INCIBE está haciendo mucho hincapié en la formación, en la concienciación. Nosotros como empresa pequeña y muchos partners del sector también hacemos mucho hincapié, pero la realidad es que cuesta que el mensaje cale.

-¿Hay mercado para la ciberseguridad?

-Yo creo que sí. En la medida en la que vayamos concienciando a todas estas empresas que ahora nos cuesta tanto, y la legislación vaya obligando a las empresas a tomar más medidas de seguridad, va a hacer que la tarta de la que hablaba antes siga creciendo con lo cual yo sí que creo que es un mercado en clara expansión.

-¿Qué servicios ofrece vuestra empresa Ewala?

-Nosotros somos una startup de base tecnológica asturiana, estamos en Silvota, y tenemos básicamente dos líneas productivas. Por un lado somos un proveedor de servicios gestionados de seguridad, lo que se conoce como un MSSP, en el cual hacemos la externalización de tareas de seguridad a nuestros clientes. Hay empresas muy grandes que tienen integradas estas funciones, pero la realidad en las pymes es que no hay un tamaño suficiente para que tengan departamentos propios que se dediquen a alertas, configuración y revisión de firewall, concienciación de los equipos…entonces todas estas tareas digamos que las delegan en un tercero que es la figura que tenemos nosotros. Son tareas recurrentes, pero también hacemos servicios puntuales de consultoría, por ejemplo un cliente que necesita que le hagan una auditoría, también lo hacemos. Al final es un campo muy amplio. Y tanto en esta línea como en la otra que os voy a contar ahora que es el I+D+i, estamos muy orientados a la ciberseguridad industrial. La ciberseguridad se puede dividir a groso modo en dos áreas, la tradicional que es la IT, la que se ocupa de ordenadores, servidores, equipos de usuario…y la ciberseguridad industrial es la que se ocupa de defender todos esos equipos de fabricación, de almacenaje, dispositivos IOT. Digamos que máquinas que antes funcionaban de forma aislada y ahora funcionan de forma conectada a la red con lo cual son un nuevo riesgo desde nuestro punto de vista y hay que protegerlo de otra forma. No tiene nada que ver proteger un ordenador con proteger un equipo industrial. Entonces ahí estamos orientando muchísimo nuestro negocio. En el otro área de negocio hacemos I+D+i, producto propio de ciberseguridad. Aplicaciones. Tenemos una aplicación que está en el mercado ya que se llama KRON3 que es un observatorio de fugas de información y que sirve para que los administradores de los sistemas sepan si hay información de la empresa pululando por la dark web, nuestra aplicación monitoriza todo ese tráfico para avisar a nuestros clientes si puede haber información sensible por ahí, y en este área también ejecutamos proyectos de colaboración con otras empresas, que necesitan desarrollar por ejemplo ahora estamos empezando el desarrollo de un ascensor aislado de la red eléctrica. Que sobre papel puedes decir qué tiene esto de ciberseguridad, pues lo que estaba diciendo antes es un dispositivo IOT que está conectado a la red en el cual viajan personas con lo cual hay que proteger y tenerlo controlado en todo momento.

-¿Cómo surgió poner en marcha el departamento de I+D?

-Es una idea que teníamos antes de empezar. Proveedores de servicios hay muchos, puedes hacer las cosas de una forma o de otra pero acaba siendo lo mismo, comercializando soluciones de terceros, explotándolas…entonces como somos una startup nos queríamos diferenciar y consideramos que la forma de hacerlo es precisamente a través del departamento de I+D+i, y tenemos la suerte de tener el otro departamento, el de servicios gestionados que nos da una visión del mundo real. Nosotros tenemos clientes en los cuales echamos en falta ciertas herramientas de seguridad, entonces tener el departamento de I+D nos permite transformar esos gaps que vemos en el mercado en proyectos de desarrollo que nos permitan desarrollar las soluciones que no encontramos fuera.

-¿Cómo os diferenciáis de la competencia, aparte de con este departamento?

-La principal clave de la diferenciación es este departamento porque te permite hacer cosas que no tienen los demás. Después desde un punto de vista más humano intentamos que esto sea un sitio de trabajo agradable. Tenemos claro desde el principio que queremos a buena gente, y de hecho tenemos un equipo de personas maravillosas con nosotros. Encima son grandes profesionales, con lo que lo tienen todo. Pero queremos intentar diferenciarnos también. Hay muchos momentos en los que hemos priorizado el buen ambiente de trabajo, que los compañeros estén a gusto, por delante de otros objetivos financieros. Y queremos que siga siendo así. No queremos que esto sea un sitio desagradable en el que la gente no se hable pero que la empresa vaya muy bien. No nos vale. Es una condición necesaria que haya un buen ambiente de trabajo, y yo creo que lo hay, pero lo mejor sería que le preguntarais al resto de compañeros a ver qué os dicen ellos.

-¿Cómo es el proceso con vuestros clientes? ¿cómo es esa relación?

-Los clientes sobre todo en el área de servicios gestionados hay una relación, no voy a decir diaria pero sí semanal. Al final la seguridad, como la entendemos nosotros es un proceso en el que hay que verificar ciertos aspectos como que las copias de seguridad salen bien, que las alertas funcionan…todo eso hay que revisarlo semanalmente. Si no es cada semana, cada dos, siempre hay que notificar a algún cliente. Y luego hay sustos de seguridad que por suerte se quedan en eso.

-¿Consideras relevante la formación en ciberseguridad del persona de un obrador de repostería? Si es así, ¿Cómo podría el equipo estar capacitado para reconocer posibles amenazas cibernéticas?

-Sí, siempre es relevante formarse, y especialmente en la materia que nos toca. A lo mejor podemos pensar que en un obrador no hay riesgos, pero estoy seguro de que tienen algún dispositivo conectado: un ordenador, una tablet…en la que guardarán datos de la empresa, en la que tendrán que fichar, y es un riesgo para el negocio. Las medidas tienen que ser proporcionales y siempre abogamos por esto con nuestros clientes. No podemos pretender que un obrador de repostería tenga más medidas de seguridad que un banco. Pero en la medida en la que un usuario sepa qué riesgos tiene en el día a día hasta nos viene bien como personas. Luego tienes aplicaciones, siempre nos pasa que los familiares mayores hacen clic en un sitio donde no tenían que hacerlo. Al final la formación siempre viene bien en nuestra materia a cualquier persona, y más a nivel empresarial.

-En una empresa pequeña ¿qué acciones básicas, imprescindibles con respecto a la ciberseguridad debemos tomar?

-tengo aquí un listado de varias, que son sencillas, y aunque al ser muchas pueda sonar a mucho son muy sencillas, e insisto son mucho más baratas de ejecutar que recuperarse de un ataque, o pagar un rescate de datos que no se puede hacer. Lo básico es tener un antivirus EDR y mantenerlo actualizado, hay que revisar qué alertas da y que esté operativo; tener un firewall perimetral, esto es el cortafuegos, como el router de las compañías telefónicas pero con ciertas reglas de seguridad, en función del tamaño de la empresa hace falta un equipo más potente o menos pero los equipos más baratos son muy económicos; realizar copias de seguridad y almacenarlas en distinta ubicación que los datos originales, esto es básico porque ya no hablamos de ciberataques, hablamos de un posible accidente. Si yo tengo toda mi información en un ordenador y lo pierdo me quedé sin datos; entonces es muy deseable tener la información en diferentes sitios, nosotros hacemos 3 copias: la propia en local, otra en otra ubicación de los clientes, y otra en la nube. También hay que actualizar regularmente sistemas operativos y software, ahora tarda poco pero antiguamente cuando se tardaba media hora y le dábamos a «ya actualizaré». La mayoría de actualizaciones son de seguridad, son para cubrir vulnerabilidades que el fabricante ha detectado y con esa actualización se solventan. Si no las actualizamos estamos expuestos a ese riesgo que el fabricante ha detectado. Cada vez que salga actualizar, por favor actualizar. Hay que educar a los empleados en buenas prácticas, hay formaciones muy sencillas incluso sin coste online, y no vale de nada la formación si la dirección no se implica. Utilizar un gestor de contraseñas empresarial, también los hay sencillos y gratuitos que te ayuda a que no tengas la misma contraseña en todos los sitios, que es algo que los usuarios hacemos porque somos vagos por naturaleza pero si tú tienes la misma contraseña en tu empresa y en tu operador de telefonía, si hay una fuga de datos en tu operador de telefonía tu usuario y contraseña andan por ahí así que es muy fácil para un hacker que pueda entrar en tu empresa. Con un gestor de contraseñas evitas esto, consigues tener contraseñas robustas pero tú no te las tienes que saber todas porque es el gestor el que se ocupa de ellas, y a nivel personal es muy recomendable también. Y luego si tienes varios empleados, es muy recomendable tanto a nivel de seguridad como a nivel legal, separar esa información: el departamento de ventas no tiene porque tener acceso a las nominas. Y por último en función del tamaño de la empresa es muy interesante sobre todo desde el principio establecer políticas de seguridad, como no utilizar los dispositivos personales para trabajar.

-¿Existen certificaciones obligatorias en seguridad?

-no, no hay ninguna certificación obligatoria para trabajar en el sector. Cualquier persona, no hace falta ni siquiera tener el FP. El problema cuando no tienes formación es la falta de conocimientos. Sí que es cierto que algunos fabricantes para poder instalar sus productos exigen que estés capacitado pero son formaciones de ellos particulares. No sé si la legislación irá acotando y exigiendo certificaciones, pero es un mundo tan amplio que es complejo poder armonizarlo. Dentro de la ciberseguridad lo comparo con la medicina. Al final un traumatólogo probablemente de problemas estomacales no entenderá y aquí pasa lo mismo.

-La formación es imprescindible. ¿Cómo y dónde buscáis esa formación desde vuestra empresa?

-Nosotros hacemos un plan de formación anual. En enero hablamos con todos los compañeros y los responsables de cada departamento para ver qué necesidades tiene la gente. Creemos que formarse es fundamental, más en el nuestro que va todo tan rápido, pero no queremos obligar a nadie porque como yo decía al principio, trabajé por cuenta ajena y hice muchos cursos que en mi opinión no valieron para nada, entonces no quiero que la gente pierda el tiempo, quiero que si detectan una necesidad y nosotros podemos ofrecer esa formación perfecto; si no detectan esa necesidad o no disponen de tiempo y no se puede hacer en horario de trabajo no obligamos a la gente a formarse. Dónde buscamos, pues en muchísimos sitios. Tenemos una plataforma para los técnicos que tiene muchísimas formaciones de sistemas, desarrollo…Vemos la necesidad y la inquietud de la gente y a partir de ahí buscamos la solución que mejor se adapte para formar a la persona.