ENTREVISTA José Manuel Cea, Director General de Check Point Software Technologies España «En los próximo tres años, lo que Check Point va a abordar es la responsabilidad de convertir su producto en un sistema operativo» En ciertas ocasiones –y esta es una de ellas– la elocuencia de las cifras habla por sí sola: unos ingresos mundiales en el año fiscal 2000 de 425,3 millones de dólares (un 94% más que en 1999), una facturación en España en dicho ejercicio de 1.505 millones de pesetas, y el ser considerada la empresa más rentable del Nasdaq, dan cuenta de la buena salud de Check Point Software Technologies, sin duda, una referencia ineludible en el mundo de la seguridad en Internet. En consonancia con su liderazgo mundial en las materias tecnológicas que le son propias, la subsidiaria española también ha cosechado unos resultados espectaculares. José Manuel Cea, su máximo responsable para nuestro pais –y para el vecino Portugal– desgrana en la siguiente entrevista los secretos de su éxito y, a lo que parece, los que están por venir. – La primera pregunta es obligada: ¿qué ha llegado a ser Check Point a día de hoy? – La compañía líder en dos grandes áreas de la seguridad, que son las de cortafuegos y redes privadas virtuales. Esto naturalmente se deduce de las cifras referidas a venta de producto y a cuota de mercado; más allá de eso, y como consolidación de lo que supone este status, lo hace, además, proponiendo un estándar llamado OPSEC mediante el cual, al día de hoy, 270 fabricantes de productos de seguridad escriben sus aplicaciones utilizando las APIS de este estándar tecnológico, de tal manera que son totalmente integrables con nuestro núcleo de seguridad. En cierto sentido, hemos asumido la responsabilidad de ‘tirar’ y marcar la pauta en el ámbito de las tecnologías de seguridad. No sería descabellado decir que OPSEC es a Check Point lo que Java a Sun. – ¿Desde cuándo su compañía tiene presencia en nuestro país? – Inicialmente, los productos de Check Point estuvieron representados por sus distribuidores y su canal de valor añadido desde 1996, bajo la batuta de nuestra filial francesa. Ya en 2000, concretamente desde el 18 de septiembre, la compañía establece una presencia oficial y directa. Este paradigma ha sido posible gracias a nuestro modelo de negocio, que, como se sabe, es cien por cien indirecto, lo cual permite tener una organización comercial dirigida desde puntos estratégicos. ¿Qué ha ocurrido en estos cuatro años? Pues sencillamente que, en consonancia con nuestros 64 resultados a nivel global, la compañía ha obtenido también unos resultados espectaculares en España. Era, pues, evidente que se tomara la decisión estratégica de abrir una oficina para dirigir las operaciones de España y Portugal. Entrando en más detalles, la apertura obedece a dos razones: la primera, debido al volumen de negocio extraordinariamente grande que estaba alcanzando nuestro canal de distribución, en su comparación porcentual con el resto de Europa; y la segunda, por lo espectacular de la cuota de mercado lograda. Por ambos motivos y por el irremediable cambio de los modelos de comercialización, se hizo necesaria nuestra presencia directa. Nuestro canal de valor añadido habitual y los nuevos canales necesitan del soporte y del apoyo directo de Check Point para poder llevar a buen término sus negocios en el área de la seguridad. – ¿Podría ofrecer algunas cifras sobre su base instalada? – En el segmento exclusivo de firewall, en números redondos hay instalados en España unos 6.500 cortafuegos FireWall-1, correspondientes a cerca de 3.400 instalaciones. Según nuestras estimaciones, esto supone estar muy cerca de tener el 70% de la cuota de mercado; el porcentaje restante se repartiría entre el Gauntlet de Network Associates, el Pix de Cisco Systems, en menor grado el Raptor de Symantec, y ya, en parámetros que no exceden del 6% en su conjunto, cortafuegos freeware, shareware, desarrollos particulares o basados en proxies muy antiguos. En cuanto a las redes privadas virtuales, el cálculo es más dificil. Veamos, sin tener en cuenta las VPNs embebidas en el hardware de una telco y sólo refiriéndonos a VPNs generalistas, esto es, independientes de red, de telcos, de hardware y de tecnología, diría que tenemos aproximadamente el 51% de market share, y el resto viene, fundamentalmente, de la mano de Cisco, Nortel, Lucent ... – El tener una gran cuota en términos cuantitativos no necesariamente tiene por qué indicar que vengan asociados aspectos cualitativos en esa tecnología mayoritariamente implantada. En este sentido, ¿Check Point también es percibida como puntera en términos de calidad? – Creo sinceramente que sí. La cuota de mercado que hemos logrado no ha sido conseguida por falta de competencia, sino porque la calidad del producto es extraordinaria. Ello se debe a que somos una empresa muy focalizada: sólo hacemos dos productos y algunas tecnologías complementarias, pero nada más. Y nada menos. Al concentrarnos en estos dos productos, y no en doscientos, destinamos el 100% de los recursos de I+D a ambos, con lo que logramos ir por delante de la demanda. Y, además, ya que tenemos un modelo de comercialización que nos permite tener una red comercial virtual muy grande, obtenemos muchísimo feedback de las necesidades del usuario final; este input es valiosísimo para poder hacer una tecnología de calidad . – ¿Cómo vehicula Check Point su estrategia de comercialización? – En España contamos con tres distribuidores mayoristas: Afina Sistemas, NewLink-Allasso y el Grupo ADD. Los tres son distribuidores de primer nivel y dan servicio y comercializan nuestra soluciones a aproximadamente unos 150 integradores de sistemas, que adquieren nuestras tecnologías y las empaquetan en soluciones para vender al cliente final. Con este escenario, hemos alcanzado a finales de 2000 unos 950 clientes. Los tres mayoristas cubren perfectamente los estratos en donde queremos comercializar productos, que son los de internet, intranet y extranet, fundamentalmente en grandes proyectos de seguridad per se, es decir, que no dependen de redes, y en aquellos otros también de gran envergadura en los que ha de incluirse la seguridad como elemento adicional. – ¿Qué papel han venido desempeñando los mayoristas? He de precisar que nuestros tres mayoristas no son, en ningún sentido, mayoristas generalistas sino que se centran en productos de elevado valor añadido para grandes organizaciones; además, son muy distintos entre ellos. Afina Sistemas está muy focalizada en Internet, comercio electrónico y Unix; distribuye todo un conjunto de productos que se complementan perfectamente con Check Point y nosotros con ellos. Por su parte, el core business de New Link es la seguridad y la calidad de servicio; su portafolio incluye tanto nuestras soluciones como numerosos productos OPSEC. Finalmente, el enfoque de ADD podría considerarse como un término medio; está de alguna manera en medio de la orientación más generalista hacia el comercio electrónico de Afina y la focalización expresa de NewLink. – ¿Cómo es el perfil profesional de los integradores? – Hay de todo. Tenemos desde empresas integradoras muy pequeñas, que a lo sumo hacen dos pro- FEBRERO 2001 / Nº43 / SiC yectos al año y de escasa envergadura, hasta grandes empresas cuya especialización es precisamente la seguridad. Es decir, hay un abanico amplio y no puede ser de otra manera ya que, cada vez más, el producto de Check Point se adapta a todos los modelos de adquisición de tecnología y a todas las economías. De lo que no cabe la menor duda es de que el ochenta por ciento de la facturación se obtiene del veinte por ciento de los integradores, y creo que seguirá siendo así. Respecto a este colectivo, nos queda ahora una misión estratégica por llevar a cabo: certificarlos, que no es más que formalizar las relaciones de éstos con nuestra compañía a través de un programa específico y donde nadie que quiera se tiene por qué quedar fuera. Como quiera que Check Point no ha estado presente de forma directa en la península ibérica hasta hace bien poco, el énfasis que se ha hecho desde fuera ha sido en los distribuidores, y ha sido muy sencillo dirigir esta tarea desde Francia, porque sólo eran tres compañías; ahora bien, no lo es tanto dirigir una red comercial de ciento cincuenta partners. – Históricamente, la aportación tecnológica de Check Point con FireWall-1 en materia de seguridad cortafuegos y VPN ha sido innegable. Pero no se ha detenido ahí... – Lo voy a expresar de una forma esquemática. Claramente, hacia donde vamos es a constituir el ‘sistema operativo’ de la seguridad de la red. En los próximo tres años, lo que Check Point va a abordar es la responsabilidad de convertir su producto en un sistema operativo, en algo que pueda proporcionar a una instalación lo que genéricamente podríamos denominar Security Everywhere: un fundamento de seguridad único para las tres grandes redes lógicas que podamos tener, que son internet, intranet y extranet. A partir de ahí, lo que hará cada vez más es potenciar OPSEC para que sobre ese núcleo se puedan implantar soluciones a problemas puntuales, llámense antivirus, detección de intrusiones, autenticación de usuarios, etc. Check Point tiene vocación de acoplarse intimamente a la red en forma de «sistema operativo». – Abundando en el plan a tres años vista que ha mencionado, ¿cómo se concreta su estrategia en cuanto a tecnologías y dispositivos? – Cada vez más veremos, y el mercado ciertamente lo está demandando, dispositivos y periféricos hardware específicamente diseñados para soportar productos de seguridad. Esto significa percibir ya a la seguridad como un elemento más de red, tipo commodity. Lo siguiente que veremos será cada vez más Check Point embedido en chips dentro de otras tecnologías, sean éstas módems de cable y ADSL o enrutadores, splitters o centrales de conmutación. También veremos de forma creciente cómo cada vez habrá menos necesidades de servicio de sistema operativo para cubrir la funcionalidad de nuestros productos; estaremos acercándonos al hardware. Vislumbro un futuro de appliances con la etiqueta «Check Point inside» que ni son Linux, ni NT ni Solaris. Son elementos de red, algo que se incluye dentro del networking que se gestiona, y es totalmente transparente a la administración y los costes de un sistema generalista. – Check Point también se ha propuesto iniciar una estrategia de oferta de servicios de seguridad gestionados. ¿Por qué? SiC / Nº43 / FEBRERO 2001 – El desarrollo que vamos a hacer en España, no sé decir si de negocio o tecnológico, respecto al posicionamiento de la seguridad, es lanzar primero un mensaje para tratar de que la gente entienda que la seguridad tiene que pasar de ser un mal necesario a ser un sistema de información. Es claro que cada vez más se la percibe como clave y capacitadora de determinados negocios entre empresas. Por ejemplo, es imposible hacer B2B sin una plataforma de seguridad consolidada. Con esto quiero decir que la seguridad es clave para hacer B2C, para llevar el tono IP a cualquier lugar de una compañía, para poder adaptar redes IP públicas dentro de la infraestructura de red de las grandes organizaciones ... Lo que Check Point está haciendo es adaptar los empaquetamiento comerciales de sus productos para progresivamente llegar a empresas cada vez más pequeñas. Ya lo hacemos en pymes y en muy poco tiempo llegaremos incluso a clientes residenciales. – ¿Cómo se materializarían esos servicios ofrecidos por terceros? – Partiendo del concepto claro de ‘hacer el outsourcing de tus sistemas de seguridad’ ¿Cómo? A través de compañías que denominamos MSP’s, los Managed Security Providers, que cumplen una serie de requisitos para ofrecer este tipo de servicios de gestión, configuración y administración de la seguridad. ¿Cuáles son las condiciones? Disponer de un centro de red 7x24, tener herramientas de gestión de la seguridad (en nuestro caso se denomina Provider-1 y es para gestión de políticas de seguridad multicliente), y cumplir los acuerdos contractuales de soporte con nosotros. En definitiva, han de cumplir una serie de requisitos que avale que están cualificados para prestar el servicio utilizando la tecnología de Check Point. Una vez detectadas esas compañías, les aplicamos un programa de certificación que llamamos CCMSP, que es básicamente un acuerdo de desarrollo de negocio conjunto entre el MSP y CheckPoint, mediante el que les ayudamos a configurar su modelo de negocio, a definir sus servicios, a establecer sus precios, en la implantación del Network Operation CenterNOP, y les proporcionamos un amplio soporte «La seguridad tiene que pasar de ser un mal de marketing, con el objetivo de que estos servicios, que ya en Estados Unidos y en necesario a ser un sistema de información» muchos sitios de Europa están teniendo un En definitiva, la seguridad está pasando a ser estraéxito espectacular, también en breve sean una reatégica y las compañías han de concienciarse de que lidad en España. es un sistema de información más, y que como tal – ¿Qué tipo de compañías estarían en disposición precisa de diseño, formación, gestión, operación y de suministrar estos servicios en España? mantenimiento. No es algo que se compra porque lo – Las empresas candidatas a ser MSP’s se engloban dice el vendedor de turno, sino porque va a permitir en dos tipos: las de telecomunicaciones que tengan a nuestro negocio adaptarse a las nuevas operativas una red IP propia y aquellas otras cuyo negocio mercantiles sustentadas por la tecnología. tradicional ha sido el outsourcing. Da igual que una ¿Qué ocurre cuando esto se empieza a comercialicompañía tenga el know how en 7x24 con servicios zar? Pues que, evidentemente, es muy caro. No sólo en la modalidad de externalización aunque no tenga porque los productos son de muy alta tecnología y red, ya que puede firmar una alianza con una telco, su modelo de adquisición no es precisamente barao que una telco, que ya tenga una red IP pero carezca to, sino porque, además, cuando la seguridad se de ese know how, siempre y cuando firme una convierte en un S.I. empezamos a necesitar recuralianza con una empresa de outsourcing, ofrezca el sos humanos para su administración, servicios servicio. En cualquier caso, será determinante que 7x24, gestión remota e instalaciones de software en las empresas candidatas posean el adecuado conolocalizaciones geográficas distintas ... Y no es posicimiento en gestión de tecnologías de seguridad. ble hacer la transición de una commodity a un Tras el natural proceso de filtrado, puedo decir que sistema de información sin que el modelo de comerpara este primer trimestre se habrán firmado los cialización de la tecnología cambie. primeros acuerdos. En todo caso, dado el carácter ¿En qué sentido? En que pueda haber una oferta de tan elitista de este canal, no van a ser más de dos o servicios de valor añadido más allá de las instalaciotres telcos y otras tantas de outsourcing. Puedo nes y los proyectos. Y esta oferta no es nada más adelantar que en este colectivo se encontrarán, preque dirigirse al público y poder decirles: señores no visiblemente, Telefónica Data y Eltec Debis; del resto, se preocupen por su SI de seguridad porque yo se dado que nos encontramos en plenas negociaciones, lo instalo, mantengo, opero y gestiono, y, además, aún es prematuro anunciarlo. Presumiblemente, a adquiero con ustedes un compromiso de nivel de partir del segundo trimestre se podrían comenzar a servicio por una cuota fija al mes. Con este nuevo ofrecerse estos servicios. Existirán dos opciones; modelo, que es complementario al tradicional, lo una, en la que el cliente final adquiriría la tecnología que nos lleva a pensar es: bueno, tenemos la y el MSP se la gestiona, o bien, que el cliente haga tecnología y el modelo de comercialización, lo que renting de todo por una cuota fija al mes. ■ hemos de hacer es adaptar costes para llegar a más Texto: Luis G. Fernández sitios. Pero si nos paráramos ahí, la tecnología y el servicio seguirían siendo demasiado caros. Fotografía: Jesús A. de Lucas 65