El exhacker ético de la Udelar Rodrigo Aguillón vende a medianas empresas un monitoreo de seguridad que, según él, cuesta 15 veces menos que un centro propio.
Rodrigo Aguillón trabajó como hacker ético en la Universidad de la República y en 2023 le tocó enfrentar un incidente grave que afectó a la Comisión Académica de Posgrados. De esa experiencia sacó una conclusión que hoy vende como producto: los ataques serios suelen empezar con alertas chicas que nadie mira. Así nació Shelmia, la startup que fundó con tres socios y que se convirtió en negocio en febrero de este año, según El Observador.
El problema que ataca está documentado. Más del 60% de las alertas de ciberataques que reciben las grandes empresas quedan sin revisar, de acuerdo con un estudio de la consultora Intezer sobre más de 25 millones de casos, citado por el diario. Si eso ocurre en compañías con equipos dedicados, en una mediana empresa con un único responsable de sistemas la proporción difícilmente sea mejor.
Qué hace y cuánto cuesta
Shelmia se conecta a las herramientas de seguridad que la empresa ya tiene, analiza las alertas y separa las peligrosas de las falsas. Las falsas alarmas se cierran solas; las relevantes llegan al responsable con una explicación de lo que pasó. En la práctica, asume parte del trabajo de un SOC, el centro de operaciones de seguridad que las corporaciones montan con analistas mirando pantallas las 24 horas.
La diferencia está en el precio. Según El Observador, una corporación paga más de US$20.000 al mes por un SOC, y la propuesta de Shelmia podría costar 15 veces menos. El modelo es una suscripción según la cantidad de investigaciones anuales: un plan de ejemplo incluye 12.000 investigaciones al año por US$25.000. Aguillón lo define como “el equipo de seguridad que no pueden pagar”.
Conviene leer bien esa cuenta. US$25.000 anuales no es poco dinero para una pyme uruguaya, y la comparación con un SOC corporativo funciona solo si la empresa necesita ese nivel de vigilancia. Para una firma de 30 empleados con poca exposición en internet, quizá alcance con buenas copias de seguridad, doble factor de autenticación y un proveedor que actualice los sistemas. Para una empresa de logística, salud o finanzas, con datos de clientes y obligaciones ante el regulador, el número empieza a tener sentido.
Hecha con IA, financiada con clientes
Aguillón asegura que la plataforma se desarrolló en nueve meses, un trabajo que sin inteligencia artificial habría llevado unos tres años. El dato se repite entre startups de software y cambia la economía de emprender: con menos capital se llega antes a un producto que se puede vender.
Shelmia no tiene inversores externos. Se financia con las ganancias de sus primeros clientes, medianas empresas de Uruguay, Argentina y México, y recibió apoyo de la ANII a través del programa VIN, de la ANDE, del Centro de Innovación y Emprendimientos de la Universidad ORT y del programa AWS for startups. En la Startup Zone de Ekoparty quedó segunda entre 26 startups de ciberseguridad de la región.
El plan inmediato incluye un piloto en Estados Unidos en diciembre, la llegada a Chile y un módulo de forense digital para rastrear el origen de los ataques en distintos dispositivos. La búsqueda de inversión queda para más adelante, cuando el objetivo pase a ser competir en Europa y Estados Unidos.
Lo que debería preguntar un comprador
Una herramienta que cierra alertas de manera automática tiene un riesgo evidente: que cierre justo la que no debía. Antes de contratar un servicio de este tipo, una empresa debería pedir datos sobre falsos negativos, saber qué registro queda de cada alerta descartada y quién puede auditar esa decisión después. También importa dónde se procesan los registros de seguridad, que suelen contener información sensible de empleados y clientes.
El otro punto es la continuidad. Una startup autofinanciada puede moverse rápido y escuchar al cliente, pero el comprador necesita saber qué pasa con sus datos y su monitoreo si el proveedor cambia de rumbo o es adquirido. Un contrato con cláusulas de salida claras forma parte del precio real.
Nada de esto juega en contra de Shelmia en particular. Son las preguntas que corresponde hacerle a cualquier proveedor de seguridad gestionada, sea local o extranjero, y que muchas empresas olvidan cuando la oferta llega con un precio atractivo.
Por qué importa para Latinoamérica
La mediana empresa latinoamericana quedó en tierra de nadie en materia de ciberseguridad: demasiado grande para pasar inadvertida ante los delincuentes, demasiado chica para pagar un SOC propio. Si la IA permite ofrecer monitoreo útil a una fracción de ese costo, ese segmento deja de estar desprotegido por falta de presupuesto, y aparece un mercado regional para proveedores locales.
Para Uruguay, el caso muestra además un camino de emprendimiento: talento formado en la universidad pública, apoyo de ANII y ANDE, y clientes en la región antes de salir a buscar capital. Es un modelo más lento que el de una ronda grande, pero menos expuesto a los vaivenes del financiamiento de riesgo.
Fuentes:
Deje una respuesta