La compañía detrás del sonido en millones de autos
Enciende la radio en casi cualquier auto nuevo en Norteamérica y SiriusXM forma parte del trayecto. La compañía entrega 160 canales de radio por satélite directamente en vehículos, junto con un negocio de streaming que ofrece 425 canales. Más de 60 millones de personas escuchan activamente cada mes, y más de 160 millones cuando se incluye Pandora. Todo ese alcance está impulsado en gran medida por los fabricantes de autos que eligen fabricar la radio en fábrica.
SiriusXM Canadá opera como parte de esa organización, con más de 2 millones de suscriptores de pago en Canadá, además de una gran población de usuarios de prueba que tienen la radio encendida pero aún no se suscribieron. El entretenimiento es el producto, pero los datos son el tejido conectivo. Toda relación de escucha comienza con información que llega de un fabricante de automóvil cuando un cliente compra un auto.
Eso hace que el negocio sea inusual. SiriusXM Canadá tiene acuerdos con prácticamente todos los fabricantes de automóvil, y cada uno conlleva el compromiso de proteger los datos que comparten esos fabricantes. La compañía también cuenta con una amplia biblioteca de propiedad intelectual: el contenido emitido en sí, la programación que se escucha en antena y los sistemas propietarios que lo respaldan. Las regulaciones canadienses de privacidad y las obligaciones de licencias se suman a todo esto, extender al telemarketing saliente y a todas las comunicaciones con clientes que realiza el equipo de marketing.
La protección de todo en Canadá corresponde a Ben Chong, CISO de SiriusXM Canadá. Lideró la seguridad en SiriusXM Canadá durante más de 14 años, desarrollando la función desde cero y llevándola a través de la computación en la nube y, más recientemente, la IA agente. Su ámbito es deliberadamente amplio: la seguridad y protección general de todos los activos corporativos, no de una sola categoría de datos. Como él mismo dice, es una visión holística de todo lo que tiene la compañía.
Su objetivo es sencillo de expresar y difícil de lograr: mantener intacta la confianza de los fabricantes de automóvil, mantener del lado correcto de los reguladores canadienses y proteger los datos de los suscriptores para que las radios sigan integradas en la próxima generación de autos. Si fallas en cualquiera de los tres, los acuerdos de radio incorporados que llevan el negocio están en juego.
Cuando una puerta equivocada abre todo el edificio
Los fundamentos de la seguridad no cambiaron, dice Chong. Proteger a las personas, los procesos y la tecnología. Lo que cambió es la velocidad. La IA aceleró el camino de ataque para que los adversarios entren más rápido, ejecuten simulaciones y expongan vulnerabilidades de día cero que los defensores nunca supieron que existían. Señala reportes de un joven atacante que empleó IA para atacar a víctimas de ransomware y para escribir los emails de phishing que abrieron la puerta.
Ese ritmo rompió con la antigua suposición de que solo la prevención y la detección se mantendrían en consecuencia. No es humanamente posible seguir el ritmo de lo que hace la IA, y gran parte de la respuesta del mercado fue herramientas reactivas más que contención proactiva. La IA agente aumentó aún más la tensión. Cuando los equipos independientes construyen sus propios agentes y los agentes empiezan a hablar con otros agentes, el verdadero riesgo es perder visibilidad sobre lo que ocurre dentro del entorno.
La exposición más profunda era estructural. Como muchas compañías con una larga trayectoria operativa, SiriusXM Canadá llevaba reglas y configuraciones heredadas a lo largo de años de propiedad heredada. Ninguna organización conoce todas las reglas en todos los servidores. En una red plana, esa incertidumbre se acumula: un intruso que aterriza en cualquier lugar puede llegar a casi cualquier sitio, y el código malicioso puede permanecer inactivo durante meses mientras el equipo cree que el problema está resuelto.
Para una compañía cuyos acuerdos con los fabricantes de automóvil dependen de proteger los datos compartidos, las apuestas eran claras. Si pierdes los datos, pierdes los acuerdos. Si pierdes los acuerdos, la radio ya no está integrada en el próximo lanzamiento del vehículo. El mayor peligro, en opinión de Chong, era la complacencia: creer que un modelo de seguridad existente era suficientemente bueno mientras los atacantes se movían más rápido de lo que podía manejar.
De red plana a zonas definidas con Illumio
Chong partió de una suposición firme: los incumplimientos son inevitables, así que el modelo debe asumir que ya hay uno en marcha. Eso cambió la pregunta que su equipo intentaba responder. No solo cómo mantener fuera a todos los atacantes, sino también cómo podían ver lo que estaba ocurriendo, contenerlo y actuar en toda la organización. Illumio Segmentation respondió a esa pregunta aislando los activos principales para que un intruso no pueda mover lateralmente para alcanzarlos.
Presentar el caso ante el negocio fue más fácil de lo que esperaba. Chong guió a su equipo directivo por los titulares que ya estaban leyendo: ataques a la cadena de suministro, ransomware, vulnerabilidades zero-day y, ahora, IA agente. La conclusión llegó por sí sola. Sin segmentación, un incidente podría convertir en un desastre a nivel de toda la organización.
Cómo funcionó realmente el despliegue
La segmentación tiene fama de ser compleja, y Chong es sincero en que puede serlo — si no conoces tu propia red. Lo que marcó la diferencia fue la secuenciación. Illumio empezó ayudando al equipo a entender su propio entorno, construir un inventario completo de activos y luego reducir esa lista a los activos críticos que merece la pena proteger primero. La visibilidad estaba por encima de la política, lo que mantenía el alcance manejable.
Las habilidades seguían a la estructura. El portal de formación de Illumio daba al personal de todos los niveles acceso a módulos sobre las características que necesitaban, desarrollando habilidades transferibles en todo el equipo en lugar de encerrar el conocimiento en la cabeza de una sola persona. Chong también atribuye al equipo de gestión de cuentas de Illumio el manteniendo el compromiso mucho después de la compra, lo cual señala que no es lo que espera de los proveedores de software empresarial.
Lo que encontraron una vez que alcanzaron visibilidad
La primera sorpresa vino simplemente de poder ver. Con el tráfico mapeado dentro y fuera de activos críticos y no críticos, el equipo encontró un servidor expuesto a Internet, con puertos abiertos dejados por problemas de configuración heredados tras años de propiedad heredada. Nadie sabía que estaba allí. Una vez que el equipo pudo verlo, lo cerraron.
La contención también cambió la forma en que el equipo planea un mal día. En un incumplimiento real, señala Chong, el manual de jugadas se va por la ventana, los directivos quieren respuestas inmediatas y los recursos son limitados. Los segmentos definidos permiten al equipo ver dónde ocurre el incumplimiento y concentrar el esfuerzo allí en lugar de correr en todas direcciones.
Crecer con IA sin arriesgar la compañía
Chong ve dos bandos formar en torno a la IA: quienes la tratan como una moda pasajera y quienes creen que cambiará fundamentalmente el mundo. Está firmemente en la segunda, señalando cambios ya visibles en la forma en que las personas buscan, se desarrollan, trabajan y avanzan en la medicina. La IA no le asusta; el enfoque de la organización es aceptarlo, aprender con él y crecer con ello.
El siguiente paso es aplicar el mismo pensamiento a la propia IA. El plan es mantener zonas protegidas donde los agentes no puedan hablar libremente dentro de un segmento, con rutas definidas para que el equipo siempre sepa qué se comunica con el núcleo. De ese modo, la compañía podrá seguir experimentando con IA mientras mantiene la línea en torno a los activos que transportan acuerdos con los fabricantes de automóvil y datos de suscriptores.
La segmentación no es un proyecto que el equipo termine; es la postura desde la que operan. Con Illumio Segmentation en marcha, SiriusXM Canadá puede seguir aprendiendo y creciendo con IA sin que se presente un desastre inminente sobre la organización.
Resultados y beneficios
- Protección del fideicomiso de fabricantes y suscriptores: Los activos críticos que poseen datos compartidos entre fabricantes y suscriptores están aislados de ataques laterales, defendiendo los acuerdos de los que depende el negocio.
- Una conversación más sencilla con el consejo: La segmentación fue el producto más fácil que Chong pudo vender a su equipo ejecutivo, porque se comprendió de inmediato el riesgo que afronta.
- Exposición oculta encontrada y cerrada: La visibilidad reveló un servidor con exposición a Internet y puertos abiertos dejados por la configuración heredada, que el equipo investigó y remedió.
- Respuesta a incidentes más rápida y enfocada: Saber qué segmento se ve afectado permite que un equipo limitado concentre recursos en la contención en lugar de dispersarlos por el entorno.
- Habilidades de seguridad desarrolladas internamente: El portal de formación de Illumio proporcionó al personal de todos los niveles habilidades transferibles sobre las capacidades que más emplean.
