La creciente adopción de agentes de inteligencia artificial en la ciberseguridad está generando una paradoja fundamental: si un agente de IA certifica la eficacia de los controles de seguridad, ¿quién certifica la fiabilidad de ese agente? Esta interrogante, planteada por Khushboo Kashyap, Directora Senior de Gobernanza, Riesgo y Cumplimiento en Vanta, subraya la necesidad urgente de una nueva aproximación a la gobernanza de seguridad, lejos del mero ‘teatro de la seguridad’ impulsado por el cumplimiento normativo.
La industria tecnológica se enfrenta a un escenario donde la automatización, si bien reduce la carga de trabajo, puede amplificar riesgos si las decisiones de IA carecen de transparencia y trazabilidad. Este dilema se acentúa cuando más del 50% de los líderes de seguridad en el Reino Unido admiten que las amenazas impulsadas por IA superan la capacidad de respuesta de sus equipos, mientras que un 80% ya integra o planea integrar agentes de IA en sus estrategias de seguridad. La brecha entre la adopción de IA y su adecuada gobernanza es un riesgo latente que Tecnoblox considera crucial abordar para asegurar un futuro digital resiliente.
El "Teatro de la Seguridad" y la IA
Tradicionalmente, muchos equipos de seguridad dedican semanas a tareas de cumplimiento, como la recolección de capturas de pantalla o la revisión de planes de respuesta a incidentes que rara vez se prueban. Estas actividades, a menudo descritas como "teatro de la seguridad", demuestran que un control existió en un momento dado, pero no garantizan su funcionalidad actual. La IA, al automatizar estas tareas sin una supervisión adecuada, podría acelerar este problema, creando una falsa sensación de seguridad.
Kashyap destaca que el desafío es profundo: si los agentes de IA pueden simular el cumplimiento tan fácilmente como lo ejecutan, la confianza en el sistema se erosiona. La presión regulatoria, como la Ley de Ciberseguridad y Resiliencia o las normas de resiliencia operativa de la FCA, agrava esta situación, llevando a más de la mitad de los líderes de seguridad del Reino Unido a reportar que dedican más tiempo a probar la seguridad que a mejorarla.
Gobernanza de IA: Visibilidad y Control
Para cerrar la brecha entre la adopción de IA y su gobernanza, es fundamental establecer una visibilidad completa de todos los sistemas de IA. Esto incluye no solo los sistemas implementados intencionalmente, sino también las API de modelos que utilizan los ingenieros, la IA integrada en el software como servicio (SaaS), los agentes de terceros y la "IA en la sombra" que se propaga rápidamente, superando incluso a la "TI en la sombra".
- Inventario completo: Esencial para rastrear todos los sistemas de IA, desde los modelos desplegados hasta las integraciones de terceros.
- Identidad y acceso: Cada agente de IA debe tener su propia identidad, con acceso limitado estrictamente a las tareas para las que fue diseñado, evitando cuentas de servicio compartidas con privilegios excesivos.
- Supervisión humana: Acciones de alto impacto, como cambios en el acceso de usuarios, eliminación de datos o transacciones financieras, deben mantener una supervisión humana significativa.
- Controles continuos: La implementación debe ir acompañada de controles en tiempo de ejecución, como acceso de mínimo privilegio, permisos just-in-time, segmentación y disyuntores automáticos para reducir el impacto de posibles fallos.
Hacia la Confianza Continua en un Mundo impulsado por IA
La próxima fase de la seguridad empresarial no dependerá de auditorías periódicas, sino de la capacidad de las organizaciones para coordinar personas, procesos y sistemas de forma continua. En un entorno impulsado por la IA, el riesgo evoluciona demasiado rápido para enfoques estáticos. Los equipos líderes están adoptando modelos de confianza continua, alineando constantemente las señales de riesgo, los controles y la evidencia a medida que sus entornos cambian.
La evidencia debe extraerse automáticamente de plataformas en la nube, proveedores de identidad, sistemas de tickets y repositorios de código, en lugar de depender de capturas de pantalla manuales antes de una auditoría. Esto permite identificar y corregir las desviaciones de control en tiempo real, antes de que se conviertan en problemas mayores. La IA, cuando se aplica de forma reflexiva y con la gobernanza adecuada, no solo gestiona los riesgos existentes, sino que también transforma el enfoque de la seguridad, haciendo que el camino aprobado sea más fácil que el alternativo y manteniendo la supervisión humana donde más importa.
En resumen
- La confiabilidad de los agentes de IA en la seguridad es una preocupación central para la gobernanza.
- El "teatro de la seguridad", donde el cumplimiento prima sobre la eficacia real, es amplificado por la IA sin la supervisión adecuada.
- La brecha entre la adopción de IA y la gobernanza adecuada es un riesgo creciente para las organizaciones.
- Es crucial establecer un inventario completo de sistemas de IA y aplicar principios de identidad y acceso.
- La supervisión humana debe mantenerse en acciones de alto impacto y la aplicación de controles continuos.
- La seguridad debe evolucionar hacia la confianza continua, priorizando la resiliencia sobre las auditorías puntuales.
