Puede sostenerse que seguridad física y seguridad digital deberían combinarse o integrarse como una función común, pero raramente es así dentro de las organizaciones. Una razón plausible es la disparidad de mentalidad entre sus responsables: no razonan igual un excomisario y un ingeniero informático. Pero la razón de fondo que las separa es la naturaleza sensible de los datos. Esta contradicción ocupa buena parte de la conversación con Medora Miranda, directora de seguridad electrónica de la filial española del grupo sueco Securitas. Aunque, desde su punto de vista, “por fin las empresas van tomando conciencia del valor contenido en los datos que generan sus sistemas de seguridad física”.
Medora Miranda
Cuando Miranda habla de sistemas, se refiere a los 740.000 dispositivos (cámaras, alarmas y otros accesorios conectados) que el grupo monitoriza en 60 países de cuatro continentes. Si se les añade la información que recogen las 350.000 personas operativas que trabajan para Securitas, salta a la vista el enorme valor intrínseco de los datos susceptibles de analizar para convertirlos en herramientas de predicción de riesgo.
Estoy interesado en dos facetas del trabajo de Securitas que tienen relación con la temática habitual de este blog: por un lado, la digitalización de los servicios convencionales de seguridad física y por otro los nuevos servicios, propiamente digitales, que desarrolla y ofrece Securitas en el mercado español.
Naturalmente, ambas facetas están relacionadas, con la particularidad de que la segunda está menos manida que la primera. Securitas, como grupo multinacional, está dando importancia creciente a los servicios basados en data analytics, es decir al aprovechamiento de los datos que generan los sistemas de seguridad que monitorizamos en las decenas de países en los que estamos presentes. Es la suma de sistemas de alarma, de detección de intrusiones, cámaras conectadas, etcétera, a la que se añade la vasta información que recopila el personal de vigilancia y los auxiliares técnicos que, desde hace años, trabajan con herramientas digitales y que, a estos efectos, podemos consideramos como sensores humanos. Tenemos ya implantado en nuestros clientes un numeroso parque de dispositivos IoT, gracias a los cuales la cantidad de información que pasa por las redes de Securitas es cada día más rica y, en general, tiene rasgos exclusivos.
¿Qué decisiones se toman sobre la base de ese caudal de información?
Trataré de dar algunos ejemplos, dentro del límite de la discreción. Uno es una herramienta de predicción de riesgos que ya tenemos implantada en varios clientes: sobre la base de los datos recogidos in situ más otros de origen externo, articula las variantes representativas de determinados sectores verticales, como retail, banca, seguros, activos inmobiliarios, que se incorporan en la oferta de servicio personalizada a la medida de esos sectores. Sobre esa base, podemos ofrecer modelos predictivos de gran utilidad para los clientes. Concretamente, partiendo de una recopilación descriptiva de incidencias de seguridad, somos capaces de aconsejar al cliente si un activo inmobiliario en determinada zona requiere medidas que mitiguen la posibilidad de esas u otras incidencias. Una fórmula parecida y con parámetros de seguridad peculiares, podemos ponerla a disposición de cadenas de comercio minorista
[…] Antes ha mencionado entre los verticales al sector asegurador. Esta es, aparentemente, una combinación interesante
Lo es. Estamos desarrollando un modelo específico para aseguradoras. Imagine una compañía con clientes a los que podría proporcionar información valiosa sobre la propensión al riesgo sobre la base de cierto número de parámetros. El punto de partida es que ya tenemos clientes en el sector a los que podemos ofrecer un abanico de posibilidades a partir de la gestión de los datos; nuestro departamento de Innovación se encarga de darle vueltas a los modelos de negocio que puedan basarse en esa información. Porque esta es cada vez más voluminosa, pero no necesariamente la cantidad es una ventaja cuando el cliente lo que necesita es tomar una decisión.
[…] Entiendo que esa información que recoge Securitas está agregada para cada cliente individual. ¿Dónde está los límites en los que entra en colisión con la legislación vigente sobre protección de datos?
No hay peligro de colisión. Para que quede claro: trabajamos con datos agregados, en el sentido de que no tratamos con incidencias concretas ni con lo que le ha pasado al cliente A, pero podemos analizar las que se producen en la zona donde está el cliente A que pudieran afectar a otro cliente. En ningún caso y en ningún momento infringimos las directivas.
Lo que quería preguntar es qué medidas se toman para trazar el límite entre los datos de un cliente determinado y el conjunto agregado […]
Por supuesto, nuestros equipos de Innovación están coordinados con el departamento Legal para que todos los desarrollos relacionados con la gestión de datos se hagan con evaluación de impacto y garantizando que se hace con técnicas de agregación y ´anonimización`. Puedo decir que ahora mismo tenemos en marcha muchos proyectos B2B con clientes en los que se están introduciendo esas innovaciones; en todos los casos se toman las medidas necesarias, incluyendo el recurso a asesorías externas para que el tratamiento de los datos se haga con las máximas garantías.
[…] pero luego hay que conseguir que los datos sean operativos, que sean útiles a los clientes.
En algunos de esos proyectos, que por razones obvias no voy a identificar, evitamos la tan controvertida técnica de reconocimiento facial. En lugar de recopilar buscar datos biométricos, intentamos hacer búsquedas que van asociadas a patrones. ¿Por qué? Porque somos muy escrupulosos para no incurrir en ningún caso en vulneración de las normas.
¿Hay pasarelas entre esos datos agregados y los individuales que obran en poder de los clientes?
Cuando ofrecemos proyectos de data analytics al cliente final, si se trata de soluciones descriptivas – la mayoría, en la práctica – la propuesta suele incluir exponentes de la información resultante de nuestros sistemas de vigilancia para integrarlos con otros que son propiedad del cliente, cuyo origen son sus sistemas de ERP y/o logística, entre otros. La preocupación principal es que representen información de valor para el negocio, lo que determina por nuestra parte una aproximación consultiva.
¿Habla de integrar la seguridad dentro de las TI?
Sí y no. Muchos proveedores de servicio ya se ocupan de ofrecer business intelligence. Lo que nosotros hacemos es trabajar mucho en proyectos a medida para nuestros clientes. Tenemos muy observado que el mundo de la seguridad estaba muy aislado, replegado en su propia escala y con sus recursos ad hoc; por otro lado, los departamentos de TI no siempre están de acuerdo en que la información procedente de sistemas CCTV, por dar un ejemplo, se integre en el ERP de cada compañía. La clave, según mi experiencia, está en convencer y empujar un poco a los departamentos de seguridad para que tomen conciencia de que ellos también tienen un valor que aportar al negocio.
¿Son receptivos?
En realidad, depende de las dos partes. Recuerdo que hace unos años, si iba a un departamento de TI, me encontraba con un director que sólo me hablaba de servidores y sus capacidades […] no había manera de que aceptaran que su departamento también era responsable de crear valor para el negocio, no sólo de hacer funcionar el parque informático. Pues bien, ahora mismo, el entorno de seguridad está un poco como antes el de TI: hay que empujarles para que vayan más allá de su rol convencional, para lo que la clave está en evidenciar el papel crucial de los datos.
¿Datos de seguridad física?
Sería insistir en una compartimentación que nos parece equívoca. No se trata de tratar digitalmente los datos que proceden de operaciones de seguridad, que no daría mucho de sí; hablo de integrarlos con el resto de los sistemas TI del cliente, idealmente con su data lake, lo que debería dar lugar a ecosistemas integrados. Al final, se trata de que toda información disponible sea útil para una adecuada toma de decisiones.
[…] Lo dice como si fuera ajeno a la práctica de las empresas
No. Consideramos que la digitalización de los servicios internos de las empresas ya está sustancialmente conseguida. Ahora estamos en la fase de automatización para ayudarlas a formular modelos predictivos con la intención de mejorar lo que ya tienen. Si busca un ejemplo, no piense sólo en los servicios de vigilancia, piense en los de mantenimiento […] Ahora mismo, con la información que generan los sistemas que mantenemos a escala mundial, que es un hardware muy variado de distintos fabricantes, estamos viendo si somos capaces de hacer un mantenimiento predictivo. Dado que no somos fabricantes de esos sistemas, si fuéramos capaces de saber cuáles son prioritarios y si pudiéramos planificar los eventos de mantenimiento, podríamos ofrecer un servicio diferencial.
¿El mismo razonamiento vale para la seguridad electrónica?
Nos gusta decir que la máxima expresión de digitalización en la seguridad son los servicios de vigilancia remota, que con la Covid-19 han vivido un auge sin precedentes, pero precisamente indica que la seguridad va un paso detrás de las TI. Hay costumbre de montar infraestructuras ad hoc y redes propias, dos conceptos muy arraigados. En Securitas hemos impulsado la evolución hacia despliegues en la nube para combinar la centralización de las alarmas – regulada por ley – con la disposición de unas infraestructuras mínimas en casa del cliente. Esto nos habilita para ofrecerle servicios como control de acceso remoto, ronda remota, recepción virtual remota; en fin, que ya es imprescindible tener vigilantes presenciales en una instalación. Son servicios que han tenido una extraordinaria demanda coincidencia con la pérdida de peso del concepto de presencialidad.
¿Integran inteligencia artificial en esos sistemas?
Exactamente. Para la evolución de nuestros servicios más tradicionales nos estamos apoyado en la analítica, la inteligencia artificial, machine learning y deep learning. Los sistemas de cámaras CCTV son el pan nuestro de cada día, esto es notorio. ¿Qué estamos haciendo ahora? Implantar soluciones más proactivas: ya no es un vigilante mirando una pantalla sino un vigilante que recibe alertas en caso de producirse eventos que tenemos configurados. Esto nos permite dar servicios de valor añadido: en grandes clientes, especialmente retailers, hemos instalado sistemas CCTV a los que se asocia una capacidad analítica que detecta comportamientos extraños. Trabajamos muchísimo con mapas de calor, gestión de colas […] También en las cadenas de producción hemos digitalizado y ahora el paso siguiente es ver cómo automatizar el proceso para que sea más eficiente a la vez que facilita la recopilación y agregación de información.
Volvemos a girar en torno al dato
Pues sí, es la intersección clave. Para quienes, como yo, venimos de las TI, puede parecer que las barreras que frenaban el cloud están superadas, pero no es así en el mundo de la seguridad todavía hay recelos, por lo que poco a poco vamos impulsando modelos escalables y flexibles de seguridad as-a-service. Asimismo, el IoT es fundamental para ampliar la monitorización de esos 740.000 sistemas propios de alarma, llevándolos a otros procesos de negocio del cliente.
¿Cómo influyen esas innovaciones en la percepción del usuario final, el cliente del cliente?
Le recuerdo que Securitas es totalmente B2B. Si me pregunta por los empleados de nuestros clientes y por su cadena de proveedores, la verdad es que en este mercado todavía en muchas empresas sigue habiendo vigilantes que apuntan en un papel el nombre del visitante, o dan a este una tarjeta física de acreditación, prácticas francamente anacrónicas. Cada vez trabajamos más en la implantación de acreditaciones virtuales, que sea el propio teléfono móvil el que acredita y que podría llegar a compaginarse con soluciones automáticas. Que la seguridad sea más transparente es uno de los objetivos.
Securitas ha hecho algunas adquisiciones recientes, particularmente la empresa española Techco Security. ¿Modifica en algo esa visión?
[…] La compra e integración de Techco, en enero del 2020, ha venido a reforzar la estrategia que se había decidido: hace siete u ocho años la compañía decidió convertirse en líder del segmento B2B en el mercado de seguridad. Nuestra competencia no es Securitas Direct ni otras ofertas de alarmas B2C. Nuestro negocio se dirige al cliente corporativo, de manera que la diferenciación no vendrá por precio sino por la calidad de la oferta de servicio. Para eso, precisamente, se creó en su día un departamento de Innovación y se ha invertido en desarrollar soluciones adaptadas a las necesidades de esa clientela. Lo que Techco ha aportado es capacidad, que se ha duplicado en el negocio de seguridad electrónica. Con esa adquisición, no hay duda de que somos líderes del mercado en España y podemos ahondar en la estrategia.
¿En qué medida Securitas colabora y/ o compite con empresas del sector de la ciberseguridad, tan agitado últimamente?
Creemos que la ciberseguridad es complementaria de nuestros servicios. Para cualquier gran empresa, son tan importantes sus activos físicos como sus activos lógicos: que entre un ladrón y se lleve un portátil es un problema, pero si un hacker se cuela en la red se considera más grave. Nuestros clientes empiezan a ser conscientes de esa complementariedad. Organizativamente, lo habitual es que la ciberseguridad se lleve desde los departamentos de TI o se han creado figuras específicas, pero son pocas las empresas en las que el director de seguridad lleva las dos partes.
¿Podría Securitas entrar en el mercado de ciberseguridad con un modelo de negocio propio?
Aunque creemos que son complementarias, hemos descartado crear una unidad propia de ciberseguridad, aunque prestamos algunos servicios de inteligencia de red, pero es una incursión modesta; al mismo tiempo, hay acuerdos firmados con empresas de ciberseguridad -una de ellas S21 Sec – para ir juntos en determinados proyectos. A veces con otras, dependiendo del tipo de oportunidad que se nos presente.
¿Qué adaptación interna ha significado para Securitas esta evolución del negocio?
Ante todo, hemos tenido que pasar por un cambio cultural. En la plantilla tenemos gente que viene del mundo de la vigilancia y empieza a meterse en proyectos más tecnológicos, en los que tiene que interactuar con los colegas que vienen de las TI. Esto ha provocado un cambio de perfiles. El área de Innovación está llena de ingenieros de datos, gente que viene con experiencia de TI. En el diseño de soluciones de Securitas se involucran personas que saben mucho de cada campo. Esta mezcla está resultando muy positiva.
Por último, ¿qué cambios ha observado en el comportamiento de esos sectores verticales que antes ha mencionado?
Uno de los rasgos de nuestras operaciones es su carácter multisectorial; se puede encontrar a Securitas en empresas globales o locales. Este último año hemos asistido a cambios importantes en el retail, que nos ha planteado nuevos problemas, como el control de aforos o el de mermas. Porque, a falta de saber qué le depara el postCovid, el retail ha tenido que encogerse. Más complicada por la consolidación ha sido la situación en la banca, donde tenemos tradicionalmente una fuerte presencia. Al mismo tiempo, se está invirtiendo mucho en logística y, al menos en el caso de Securitas, crece la demanda en las utilities y en las farmacéuticas. Poco más podría decir.