Auténtico producto “de la casa”, donde empezó como estudiante en prácticas de formación dual hace veinticinco años, el director de ciberseguridad de VINCI Energies es un corredor aficionado de ultra trails que conjuga resistencia y vigilancia al servicio de un grupo internacional expuesto constantemente a las ciberamenazas.
El 28 de agosto de 2026, Bertrand Leclerc tomará la salida de la extremadamente exigente Ultra Trail del Mont Blanc. El programa: 174 km de carrera y 9.900 m de desnivel positivo. Para el director de ciberseguridad de VINCI Energies, esta pasión por los ultra trails, que en 2024 lo llevó hasta La Reunión para participar en la Diagonale des Fous, famosa por sus condiciones extremas, es también una oportunidad para movilizarse en favor de la asociación Mécénat Chirurgie Cardiaque, que recibe el apoyo de VINCI Energies. “Gracias a esta colaboración, puedo combinar un compromiso solidario con una pasión que me permite desconectar de un trabajo que puede resultar estresante”, explica.
Un ataque por segundo
La presión inherente a la responsabilidad en materia de ciberseguridad de un grupo como VINCI Energies se hace evidente cuando se sabe que, de media, sufre un ataque informático por segundo y que sus equipos deben gestionar unos 55.000 eventos (actividades informáticas del Grupo) en ese mismo lapso de tiempo.
Bertrand Leclerc cuenta con un equipo experimentado, que él mismo ha ido formando desde que en 2018 se creó la actividad de ciberseguridad de VINCI Energies. “En un principio éramos cuatro, y ahora llegamos a la cincuentena, repartidos en dos sedes, en Le Mans y en Saint-Denis”, señala. “Partimos de cero para crear una estrategia ‘Follow the Sun’, que nos permite estar operativos las 24 horas del día, los 7 días de la semana, con equipos que nos dan el relevo en Canadá y Australia, y así poder dar cobertura a las aproximadamente 2.200 empresas del Grupo, presentes en 60 países”.
«Estar operativos las 24 horas del día, los 7 días de la semana para dar cobertura a las aproximadamente 2.200 empresas del Grupo, presentes en 61 países»
Estos 50 empleados están repartidos en cuatro equipos. El primero, y más numeroso, se encarga de la detección y respuesta a las ciberamenazas, tanto de día como de noche. El segundo se dedica a implementar buenas prácticas en materia de ciberseguridad. El tercer equipo garantiza que el Grupo cumpla con las distintas reglamentaciones y normas, como la ISO 27001. Por último, el cuarto equipo tiene como objetivo difundir la “cibercultura” en VINCI Energies (en especial mediante pruebas de phishing y ejercicios de simulación de crisis), además de gestionar la red de 60 PISO (Pole Information Security Officers), repartidos por todo el mundo, que actúan como referentes de ciberseguridad a nivel local.
Automatización de los procesos
Las cuestiones a tratar no son pocas. Más allá de la gobernanza y del desarrollo de competencias de los PISO, que califica de “prioridad constante”, Bertrand Leclerc dirige actualmente dos importantes proyectos. “Estamos trabajando en la automatización de los procesos de ciberseguridad. Teniendo en cuenta el volumen de eventos que hay que gestionar, la intervención humana por sí sola no basta, por lo que recurrimos a la IA para detectar posibles incidentes”.
Un ejemplo de operación sospechosa: un usuario se conecta a su correo electrónico a las 8 h en Francia, y a continuación se detecta una nueva conexión de la misma cuenta a las 8 h 1 min desde Estados Unidos. La IA, bajo supervisión humana, puede activar entonces un procedimiento automatizado para bloquear la cuenta y avisar al usuario.
“Pero si se utiliza la IA, también hay que preguntarse cómo protegerla”, subraya Bertrand Leclerc. “Es otro tema en el que también estamos trabajando mediante el desarrollo de un enfoque ‘Security by Design’, que busca garantizar que la IA se base en datos fiables, es decir, certificados por la empresa, y que no presente vulnerabilidades”.
Otra de las prioridades para la Dirección de Ciberseguridad de VINCI Energies es el cumplimento de las distintas normativas en todo el mundo y en particular en Europa, con la AI Act y la directiva NIS 2(1).
Reducir el impacto medioambiental
En cuanto al impacto medioambiental de su actividad, Bertrand Leclerc no lo subestima. “Desde el punto de vista ecológico, evidentemente la ciberseguridad no es neutra, teniendo en cuenta la gran cantidad de datos que procesa. Pero desde hace cuatro años nuestro equipo Sustainable IT realiza un examen exhaustivo de todos nuestros proyectos con el fin de reducir su huella”.
Así, mientras que antes los ordenadores y los teléfonos se sustituían cada tres años, ahora no tienen una vida útil predeterminada, siempre que puedan ir actualizándose. “Además, al dar prioridad a las infraestructuras resilientes, limitamos la compra de nuevos equipos y, por tanto, nuestra huella de carbono”.
“Auténtico producto VINCI Energies”
Desde su nombramiento como responsable de la Dirección de Ciberseguridad, en enero de 2025, Bertrand Leclerc puede valorar el camino recorrido, tanto en relación con los procesos implantados en la empresa como a nivel personal. Bertrand Leclerc, que se define a sí mismo como un “auténtico producto VINCI Energies”, se incorporó al Grupo en 2001 como estudiante en prácticas de formación dual y desde entonces ha ido escalando puestos: de técnico de apoyo a responsable del equipo de arquitectura ERP y seguridad de los sistemas de información. Actualmente, como director de ciberseguridad, su campo de actuación se ha ampliado e incluye la estrategia, los recursos humanos, el medio ambiente y la gestión presupuestaria.
A sus 43 años, considera que aún le queda mucho por aprender en un trabajo que le apasiona y donde el aspecto relacional y psicológico es tan importante como la experiencia técnica. “En este sector, estamos en constante movimiento. Hay que estar siempre al día en temas punteros, como la IA. Más allá de la solidaridad y los intercambios regulares entre los diez directores de VINCI Energies Systèmes d’Information, nuestra estrecha colaboración con Axians, la marca TIC de VINCI Energies, nos aporta una gran ventaja, especialmente en relación con las herramientas de detección de ciberataques. Por último, tenemos la oportunidad de trabajar en temas transversales que conciernen a todas las direcciones de la empresa, en el marco de un grupo internacional con múltiples actividades que ha convertido la ciberseguridad en una de sus prioridades”.
Para Bertrand Leclerc, la ciberseguridad es como un ultra trail permanente: un terreno imprevisible, ataques, como los puertos de montaña que hay que superar, y una vigilancia que nunca decae. En esta carrera de fondo donde abandonar no es una opción, solo cuentan la resistencia, la lucidez en el esfuerzo y la capacidad de adaptación. Hasta la línea de meta.
(1) La AI Act es un reglamento europeo que introduce un marco normativo y jurídico común para la inteligencia artificial en la Unión Europea. La directiva Network and Information Security 2.0 (NIS 2) constituye una revisión y extensión de las obligaciones de la anterior directiva en materia de ciberseguridad.
05/20/2026
