Enrique Serrano en CYLUM ACADEMY: formar equipos, preparar organizaciones y construir seguridad desde la práctica
A Enrique Serrano se le reconoce enseguida: pasión técnica, curiosidad innata y una visión extremadamente realista de cómo funciona la ciberseguridad en las empresas. Fundador de Hackrocks, ingeniero informático y exmiembro de IBM Security y X-Force, Enrique representa una generación de profesionales que han vivido todos los cambios del sector: desde los primeros exploits a los últimos modelos de IA aplicados a tecnologías claves como los SOC.
En esta conversación con Julián Delgado y David López, piezas claves en la operativa de Cylum, Enrique desgrana algo esencial para cualquier responsable de IT: la seguridad se construye a base de práctica, simulación y equipos formados para responder a escenarios reales.
1. El entrenamiento marca la diferencia
Enrique lo explica con total naturalidad: la única manera de entender si una vulnerabilidad está realmente mitigada es probarla, explotarla y comprobar su impacto real.
“Queremos que el técnico ejecute el exploit y entienda cómo funciona antes de confiar en que está parcheado.”
Hackrocks nace justamente de esa visión. Un entorno seguro donde equipos técnicos de desarrolladores, analistas de seguridad o incluso perfiles híbridos pueden replicar vulnerabilidades reales, ejecutarlas, corregirlas y volver a intentarlo.
El aprendizaje es inmediato: los equipos entienden el riesgo, interiorizan la causa raíz y son capaces de responder con más rapidez cuando algo similar ocurre en sus sistemas. Para Enrique, es la diferencia entre una organización que reacciona y otra que anticipa.
2. La pyme: vulnerable, expuesta y sin margen de error
Afortunadamente, la sociedad deja de ver la ciberseguridad como un asociado únicamente de las grandes corporaciones. Enrique Serrano es tajante: el mayor riesgo lo sufren las pequeñas y medianas empresas. No porque sean menos importantes, sino porque tienen menos recursos, menos tiempo y menos capacidad de respuesta.
“Si una gran empresa sufre un ciberataque puede gestionarlo. Si una pyme sufre un ciberataque, […] lo normal es que vaya a cerrar.”
La ecuación es tan sencilla y como demoledora: una pyme que se enfrenta a un ransomware, a un corte operativo o a una filtración de datos puede estar en riesgo a la hora de asumir las sanciones económicas y operativas, pero también las reputacionales. Por eso insiste en que incluso las organizaciones más pequeñas deben dedicar tiempo (y, aunque sea, poco presupuesto) a sentar las bases de una seguridad realista: contraseñas robustas, MFA, copias de seguridad, segmentación y sobre todo saber qué hacer cuando algo falla.
3. Simulacros, playbooks y respuesta a incidentes
Muchos CISOs y responsables IT hablan de la importancia de los planes de respuesta, pero muy pocos los ponen a prueba. Enrique Serrano lo resume con una comparación que cualquier empresa entiende de inmediato:
“Al igual que hay simulacros de incendios, ¿por qué no haces lo mismo con ciberseguridad?”
Saber a quién llamar, qué sistemas revisar, qué credenciales rotar o qué proveedores activar marca la diferencia entre un incidente controlado y una crisis de semanas.
Los simulacros permiten identificar dependencias ocultas, puntos débiles en la cadena de comunicación y errores de procedimiento que nadie detecta hasta que es demasiado tarde.
“Si mañana te roban la cuenta de correo electrónico, ¿sabes qué hacer?”
4. IA: automatizar lo repetitivo, potenciar lo crítico
Aunque la inteligencia artificial ya es una realidad en muchos SOC, Enrique aporta un matiz importante: lo importante es enfocar los esfuerzos donde realmente importa.
“Hay veces que son detección de patrones que un humano no conseguiría ver, o por lo menos que tardaría demasiado.”
Enrique Serrano intenta mantenerse ajeno a un tono alarmista. Pero sí intenta ser realista, prediciendo un futuro donde la automatización y la IA serán indispensables, donde los deepfakes aumentarán el fraude y donde la defensa deberá ser más rápida y más adaptativa que nunca.
Enrique ve una oportunidad de mejora ante los riesgos emergentes: ataques más dirigidos, errores automatizados, operaciones híbridas entre IA y humanos; y apunta hacia el uso de la IA como clave en dos áreas:
- Procesos repetitivos como clasificación de alertas, correlación o filtrado.
- Análisis predictivo, donde la capacidad de la IA de identificar comportamientos anómalos supera con creces la memoria humana.
5. El factor humano: el punto fuerte y el punto débil
Uno de los mensajes más repetidos en la charla es también uno de los más incómodos: la vulnerabilidad humana sigue siendo el vector de ataque más fácil y rentable.
“Con que una persona se infecte, la organización está completamente perdida.”
Enrique Serrano hace hincapié en entender que el diseño defensivo debe contemplar la realidad: el phishing, el fraude a proveedores, los engaños por WhatsApp o incluso las manipulaciones sofisticadas con deepfakes dependen de un usuario que se fía de algo que parece legítimo.
Para Enrique, la concienciación debe ser una práctica continua, conectada con ejercicios internos, pruebas reales y comunicación interna efectiva.
6. Emprender en ciberseguridad: talento, visión y mucha resiliencia
Más allá del aspecto técnico, Enrique Serrano aporta una mirada sincera sobre lo difícil que es emprender y, sobre todo, en el ámbito de la ciberseguridad. Enrique va más allá de diferencias culturales, económicas y regulatorias respecto a otros países y se centra tanto en el producto como en el emprendedor: la necesidad de unir capacidades técnicas con visión de negocio.
“Lo importante no es si el producto es bueno o malo, sino quién lo va a comprar.”
Su mensaje para quienes quieren crear productos de ciberseguridad es claro:
antes de escribir una línea de código, hay que entender un problema real, un cliente real y una necesidad concreta. El talento es imprescindible, pero sin foco comercial no hay producto sostenible.
“Hay mucho talento en España. Solo falta creer un poco más en las ideas y atreverse a llevarlas lejos.”
