La historia de Talsoft empezó mucho antes de que la ciberseguridad se convirtiera en una preocupación cotidiana para las empresas. Leandro Ferrari, su fundador, ubica los primeros pasos del proyecto en sus años de secundaria, a mediados de la década del 90, cuando las computadoras todavía tenían un lugar muy distinto al actual dentro de la vida cotidiana.
“Talsoft empezó en la secundaria; se puede decir que en el 94”, recuerda Ferrari. En aquellos primeros años, el trabajo estaba lejos de los pentests, las auditorías o los programas de seguridad informática que hoy forman parte de la propuesta de la empresa.
El proyecto comenzó a tomar otra forma durante su paso por la Universidad FASTA, en Mar del Plata, donde estudió ingeniería y actualmente se desempeña como docente. Ahí se inclinó primero por el desarrollo de software y empezó a trabajar con sus primeros clientes. Pero el giro que terminaría definiendo el futuro de Talsoft llegó algunos años después.
Ferrari sitúa ese momento entre 2006 y 2007, cuando entró en contacto con un colega de Buenos Aires que había llegado a Mar del Plata para dar clases. Ese vínculo lo acercó de lleno a la seguridad informática. “Ahí empezó el tema de la seguridad informática y empezó a gustarme. Dije: ‘Esto es lo mío”, relata.
El problema era que, en aquellos años, vender servicios de ciberseguridad todavía no resultaba sencillo. La demanda era mucho menor y el mercado estaba lejos del nivel de conciencia actual. Por eso, Ferrari encontró una manera indirecta de introducir el tema entre sus clientes. Comenzó a trabajar como administrador de servidores y redes, una actividad que le permitió construir una base técnica mientras incorporaba controles de seguridad dentro de los servicios que ya prestaba.
“En esa época, vender seguridad era dificilísimo. Entonces me metía como administrador de servidores. Cada cliente que aparecía para administrar servidores, ahí le metía lo mío de seguridad”, explica.
Ese recorrido técnico terminaría convirtiéndose en una ventaja. Con el tiempo comenzó a realizar auditorías y pruebas de penetración —pentesting—, es decir, ataques controlados y autorizados destinados a descubrir vulnerabilidades antes de que puedan ser aprovechadas por un atacante real.
“La auditoría de pentest fue el servicio principal porque también es la más linda para mostrarse: decir ‘mirá cómo rompo tus sistemas, cómo accedemos a tus datos’, pero demostrando dónde están los problemas para que los arreglen. Sería como un hacker ético”, resume.
Índice de temas
De Mar del Plata al exterior
El auge de Internet también le permitió a Talsoft empezar a atravesar fronteras. Primero llegaron consultas y pequeños proyectos desde otros países de América Latina y, más tarde, desde mercados como Estados Unidos y Australia.
Ferrari recuerda especialmente uno de sus primeros trabajos para México. Un sábado, alrededor de las ocho de la noche de Argentina, recibió por Skype el llamado de una compañía que había desarrollado un sistema para gimnasios y estaba sufriendo ataques de un competidor.
“¿Quién te responde un sábado a las ocho de la noche en la otra parte del mundo, en Argentina, y te resuelve un problema?”, recuerda. Para Ferrari, aquella experiencia también empezó a marcar uno de los diferenciales que luego buscó conservar en Talsoft: la cercanía con el cliente y la capacidad de involucrarse rápidamente cuando surge un problema.
“¿Quién te responde un sábado a las ocho de la noche en la otra parte del mundo, en Argentina, y te resuelve un problema?”
Leandro Ferrari, CEO & founder de Talsoft.
Con los años, también comenzó a observar otra característica en clientes internacionales: la necesidad de entender el panorama completo antes de contratar siquiera la primera etapa de un servicio. En proyectos internacionales, aparecía una pregunta recurrente: más allá del problema que necesitaban resolver a corto plazo, querían ver el camino completo que una organización podía seguir después. Esa inquietud terminaría siendo central para la transformación más reciente de Talsoft.
Del pentest a medir la “madurez” de una empresa
Durante años, la compañía había trabajado principalmente con auditorías, pentesting e implementaciones técnicas. Sin embargo, Ferrari empezó a detectar que encontrar vulnerabilidades era apenas una parte del problema.
Una experiencia con una empresa de comercio electrónico de Mar del Plata resultó decisiva. Talsoft había realizado un pentest y, además de entregar el informe habitual, Ferrari decidió agregar como extra un mapa más amplio de posibles iniciativas de ciberseguridad. “Le mostré que, además de ese pentest, había 70 u 80 proyectos que podían trabajar dentro de la organización”, explica.
La reacción de la responsable de la empresa le llamó la atención. “Me dijo: ‘Buenísimo lo del pentest, pero me alucinó saber que podía trabajar tantos temas dentro de mi organización y que la ciberseguridad en una empresa abarca tantos huecos’”, recuerda Ferrari.
Ahí apareció una oportunidad. Entre una auditoría puramente técnica y una consultoría tradicional para implementar una norma internacional había, según su diagnóstico, un espacio poco cubierto, especialmente para pequeñas y medianas empresas. “Sentí que faltaba algo intermedio entre el pentest y un consultor. Algo distinto”, cuenta.
La respuesta fue crear un programa propio de madurez en ciberseguridad, estructurado en seis niveles y alineado con estándares internacionales, pero pensado para ser aplicado de manera práctica en empresas que no necesariamente buscan certificar una norma. “No todas las empresas necesitan certificar una norma, pero todas necesitan saber qué riesgos tienen, qué controles deberían implementar y en qué orden hacerlo”, enfatiza Ferrari.
La lógica es progresiva: determinar primero en qué situación se encuentra la organización, definir qué debería mejorar y recién después avanzar con la implementación.
Tres etapas para ordenar la ciberseguridad
Actualmente, el programa anual de madurez de Talsoft se divide en tres grandes fases. La primera consiste en realizar un análisis de brecha o gap analysis: determinar dónde está parada la empresa, asignarle un nivel de madurez y construir una hoja de ruta con los proyectos que debería encarar.
Ese diagnóstico se convierte luego en el punto de partida de la segunda etapa: la implementación. Ahí se trabaja sobre políticas, documentación, registros, controles técnicos y evidencias que permitan llevar las recomendaciones a la práctica.
La tercera fase, según Ferrari, es probablemente la más compleja: sostener todo lo implementado a lo largo del tiempo. “Ya implementamos todo, tenemos documentación, hicimos un restore, lo probamos una vez. Después está lo más difícil: mantenerlo todos los meses vivo”, señala.
El objetivo final es que la seguridad deje de ser vista exclusivamente como un problema del área técnica y empiece a incorporarse dentro de las decisiones del negocio. “Lo más difícil es que áreas como Finanzas o los directores tomen al área de seguridad como estrategia, como parte del negocio. A veces es difícil porque no lo ven hasta que hay un problema”, advierte.
Luego de ese proceso, Talsoft también plantea la posibilidad de trabajar bajo un modelo de fractional CISO: un responsable de seguridad externo que participa algunas horas al mes y se involucra en decisiones estratégicas sin que la compañía tenga que incorporar un ejecutivo de ciberseguridad full time.
Un test para saber dónde está parada una empresa
La misma lógica del programa de madurez dio origen a una herramienta mucho más simple: un mini diagnóstico online y gratuito que funciona como una primera aproximación al estado de la seguridad de una organización. Se trata de un cuestionario de entre 10 y 15 preguntas que puede ser respondido por perfiles directivos, sin necesidad de contar con conocimientos técnicos profundos.
Las preguntas abarcan distintos aspectos de una empresa: si existe un responsable de seguridad, quién se ocupa de los backups o si está implementada la autenticación multifactor, entre otros puntos. “Son preguntitas transversales que definen en qué nivel estás”, explica Ferrari.
A partir de las respuestas, el sistema determina un nivel de madurez y genera un reporte que el usuario puede descargar. La herramienta está disponible en español e inglés y, por el tipo de controles que analiza, puede ser utilizada por organizaciones de diferentes países.
Ferrari asegura que detrás de muchas de las personas que llegan al diagnóstico suele existir alguna preocupación en particular: “Un cliente que comenzó a exigir mayores controles, un proveedor que pide evidencias, una auditoría, un incidente previo o simplemente la incertidumbre acerca de qué tan expuesta está la compañía”.
De esta forma, Talsoft busca posicionar su propuesta un paso antes del incidente: ayudar a una empresa a entender dónde se encuentra en términos de seguridad informática, cuáles son sus principales riesgos y qué debería hacer primero.
Después de más de dos décadas de evolución —desde aquellos primeros trabajos con computadoras en Mar del Plata, pasando por la administración de servidores y el pentesting hasta llegar a los programas de madurez— la idea que sostiene la nueva etapa de la compañía es bien clara: que la ciberseguridad deje de ser una reacción frente a un problema y se transforme en un proceso permanente dentro del negocio.
