Vayas donde vayas, siempre se oye lo mismo: la IA lo ha cambiado todo, los atacantes son más rápidos y la gobernanza es fundamental. Es un discurso que podrían repetir otros 50 CISO.
Tras 20 años en el ámbito de la ciberseguridad, tengo la ventaja de contar con una perspectiva más amplia. He sido testigo de grandes cambios tecnológicos: Internet, los dispositivos móviles, la nube… y muchos más. Para mí, lo interesante es qué diferencia fundamentalmente a la IA de cualquier otra transición tecnológica.
La IA no ha sustituido la misión del CISO. Sí, ha cambiado el ritmo, pero una buena seguridad siempre ha consistido en ser el equipo que no solo protege la tecnología, sino que también ayuda a la empresa a triunfar en el mercado en el que compite. Al igual que ocurre con Internet, los dispositivos móviles y la nube, asegurarse de que la empresa utilice bien la IA es una apuesta segura.
1. Cómo era mi trabajo hace un año
Hace un año, mis prioridades habrían resultado muy familiares para cualquier CISO: ransomware, identidades, gestión de vulnerabilidades, riesgos de terceros, seguridad en la nube, protección de datos y resiliencia. La IA figuraba en la agenda, pero principalmente como un riesgo tecnológico emergente. Hoy en día, se está convirtiendo en parte de casi todas esas conversaciones.
El mundo del año pasado no era sencillo. Teníamos que proteger identidades, sistemas, aplicaciones, infraestructura y datos. Y ahora, todo eso sigue ahí, pero nos enfrentamos a sistemas capaces de consumir enormes cantidades de información, generar nueva información, hacer recomendaciones, escribir software, automatizar flujos de trabajo y, cada vez más, actuar en nombre de las personas. Los viejos problemas no han desaparecido. La IA ha llegado y ha acelerado el ritmo de la pila de seguridad existente.
2. ¿Qué ha cambiado y por qué no ha sido un proceso gradual?
El mayor punto de inflexión es la caída del coste de las capacidades. Un atacante ya no necesita las mismas habilidades ni la misma inversión de tiempo. Antes tenía que dedicar innumerables horas a perfeccionar sus habilidades de programación o a la producción de contenidos para operar a gran escala, así como innumerables horas a identificar y perfilar sus objetivos. Al mismo tiempo, mis propios empleados disponen de repente de potentes herramientas capaces de procesar información corporativa y generar código, análisis y contenidos.
Así pues, nos encontramos ante dos aceleraciones simultáneas. Lo que cambió no fue simplemente que los atacantes dispusieran de IA. Todo el mundo dispuso de IA. Y la adopción se produjo de abajo arriba. Los empleados no esperaron a que se pusiera en marcha la estrategia empresarial de IA. Los desarrolladores empezaron a utilizar copilotos. La gente experimentó con modelos de lenguaje grandes (LLM) públicos. Los departamentos empresariales descubrieron oportunidades de automatización.
En el caso de la mayoría de las principales tecnologías empresariales, el departamento de seguridad tuvo cierta oportunidad de preparar el entorno antes de su adopción generalizada. Con la IA generativa, la adopción suele adelantarse a la gobernanza.
3. Cómo ha cambiado la propia misión
Históricamente, el departamento de seguridad se preguntaba: «¿Cómo protegemos esta tecnología?». Pero la IA plantea otra pregunta: «¿Cómo hacemos para que la empresa utilice esta tecnología de forma segura?».
Esto lleva a los CISO a plantearse cuestiones que no se limitan exclusivamente a la ciberseguridad:
- ¿Qué información pueden aportar los empleados a los sistemas de IA?
- ¿Qué modelos y servicios están homologados?
- ¿Qué ocurre con las indicaciones y los datos cargados?
- ¿Dónde se almacenan los datos de la empresa?
- ¿Cómo gestionamos las identidades, los agentes y los permisos de la IA?
- ¿Cómo validamos el código generado por la IA?
- ¿Qué tipo de supervisión humana se requiere?
- ¿Cómo se entrelazan las responsabilidades legales, de privacidad, de seguridad, de gobernanza de datos y de cumplimiento normativo?
Dicho esto, los CISO deben tener cuidado de no convertirse en luditas ni en la «policía de la IA». La función del CISO es ayudar a definir los límites de seguridad dentro de los cuales la empresa pueda actuar con rapidez. Si la estrategia de seguridad para la IA se reduce simplemente a «no la utilices», ya has perdido. La gente la utilizará. Nuestra labor consiste en hacer que el camino seguro sea el más fácil.
4. Lo que he tenido que volver a aprender o desaprender
Una cosa que he tenido que desaprender es la idea de que el departamento de seguridad debe comprender a fondo una tecnología antes de que la empresa la adopte. En el caso de la IA, la adopción y la experimentación se producen al mismo tiempo que vamos comprendiendo los riesgos. Tenemos que permitir una adopción inteligente y meditada.
Otra es el determinismo. Los profesionales de la seguridad crecimos evaluando sistemas en los que, en términos generales, la entrada A debía producir la salida B. Los sistemas generativos no se comportan de forma tan ordenada. Estamos acostumbrados a preguntarnos si un control funciona. La IA nos obliga a sentirnos más cómodos preguntándonos con qué fiabilidad funciona, en qué condiciones falla y qué ocurre cuando lo hace. Eso resulta intelectualmente interesante.
Veinte años en el ámbito de la seguridad te enseñan a reconocer patrones. Ahora, la IA me recuerda que el reconocimiento de patrones puede convertirse en un lastre cuando cambian los supuestos subyacentes.
Al principio pensé que el principal problema sería el uso malintencionado de la IA desde el exterior contra nosotros. Pero pronto descubrí que mi mayor impacto se centraría a nivel interno, en la gobernanza de los datos, la adopción interna y la capacitación empresarial.
5. Próximos pasos y consejos para los compañeros
En primer lugar, no creéis un universo de seguridad de la IA independiente.Integra la IA en los controles que ya conocéis: identidad, clasificación de datos, principio del privilegio mínimo, registro de eventos, riesgo de terceros, desarrollo seguro, respuesta a incidentes y resiliencia.En segundo lugar, prestad mucha atención a los agentes. La interacción predominante hoy en día suele ser: persona → modelo → respuesta. La arquitectura más trascendental es, cada vez más: persona → agente → herramientas → sistemas → datos → acciones. Una vez que la IA pueda llevar a cabo acciones (en lugar de limitarse a generar texto), la autorización, la identidad, la procedencia, la supervisión y el alcance de los efectos cobran mucha más importancia. Me preocupa menos que una IA diga algo incorrecto que el hecho de que un agente de IA esté autorizado a hacer algo incorrecto.En tercer lugar, protege la capa de datos.Los modelos cambiarán rápidamente. Los proveedores cambiarán. Las arquitecturas cambiarán. La mayor empresa de IA de hoy y el modelo de vanguardia más de moda pronto serán como el Betamax. Tus activos de seguridad duraderos siguen siendo saber qué datos tienes, dónde están, quién puede acceder a ellos y qué se les permite hacer con ellos.
En cuarto lugar, el éxito no se mide por la cantidad de IA que bloqueas.Una organización de seguridad sofisticada debe facilitar la adopción legítima y, al mismo tiempo, limitar los riesgos inaceptables. Cada gran cambio tecnológico da lugar a un periodo en el que las capacidades avanzan más rápido que los controles. Así ocurrió con Internet. Así ocurrió con los dispositivos móviles. Así ocurrió con la nube. Y la IA lo está haciendo a una velocidad extraordinaria.
Gestionar esto adecuadamente no implica eliminar por completo el riesgo que conlleva la IA. Implica decidir de forma deliberada qué riesgos estás dispuesto a asumir, establecer límites en torno a ellos y, aun así, permitir que el negocio siga avanzando.
La IA no ha derogado los fundamentos de la ciberseguridad, pero está cambiando la economía y la velocidad a la que se desarrollan. Tras 20 años de sucesivas transformaciones en materia de seguridad, la IA puede ser la primera en la que el CISO deba, al mismo tiempo, defenderse de la tecnología, protegerla y ayudar a la empresa a adoptarla. Eso es lo que la convierte en un reto.
Bill O’ConnellEs director de seguridad de Commvault.