La IA ha cambiado lo que tenemos que preguntarnos antes de hacer clic
La concienciación en ciberseguridad consiste en ayudar a las personas a tomar mejores decisiones. Pensar antes de hacer clic, desconfiar de los correos inesperados, utilizar contraseñas robustas, activar la autenticación multifactor y no compartir nunca información sensible con desconocidos. Todo esto es importante, pero, a medida que la IA se integra en nuestra vida personal y profesional, las preguntas que debemos hacernos sobre seguridad están cambiando.
La IA es la primera tecnología desde el smartphone que todo el mundo ha empezado a utilizar antes de que nadie haya empezado a protegerla.
La gente ya utiliza la IA para muchas cosas, desde responder a preguntas cotidianas y resumir documentos hasta ayudar con tareas laborales, redactar emails, buscar ideas y mantener conversaciones muy personales. Ahora es tan accesible que, para muchas personas, interactuar con un sistema de IA resulta tan natural como buscar en Internet o enviar un mensaje a un compañero de trabajo. Pero esa familiaridad hace que sea fácil olvidar que una herramienta de IA sigue siendo un servicio tecnológico y que lo que compartimos con ella, lo que conectamos a ella y a lo que le permitimos acceder puede tener importantes implicaciones en materia de seguridad.
Este Mes de Concienciación en Ciberseguridad, es importante ampliar las recomendaciones tradicionales para tener en cuenta la IA. Por ejemplo, las personas deben ser conscientes de qué información comparten con ella, quién podría verla y qué acciones puede realizar la herramienta. Y esto será aún más importante a medida que la IA deje de limitarse a responder preguntas y empiece a actuar en nuestro nombre.
Cuando la IA se convierte en una extensión de ti
Existe una diferencia importante entre pedir a un chatbot de IA que explique algo y dar permiso a un agente de IA para que actúe. Si pido a una herramienta de IA que me ayude a redactar un email, le estoy proporcionando información y solicitando que genere un texto. Si doy a un agente de IA acceso a mi cuenta de correo, calendario, archivos, información financiera u otras aplicaciones, no le estoy dando simplemente una herramienta; le estoy entregando mi juego de llaves. Todo lo que yo puedo hacer, también puede hacerlo el agente, y cualquiera que robe o se haga con el control de esa cuenta.
Una IA capaz de leer información, realizar cambios, enviar mensajes, acceder a archivos o interactuar con otros sistemas cambia considerablemente el escenario de seguridad. Si alguien consigue acceder a esa cuenta de IA, a sus credenciales o a una integración conectada a ella, las consecuencias van mucho más allá de poder leer unas cuantas conversaciones con un chatbot. Un atacante podría acceder a muchos de los mismos recursos a los que tiene acceso el usuario legítimo.
Debemos empezar a proteger las cuentas de IA con el mismo cuidado que nuestra cuenta de correo principal, las aplicaciones bancarias u otros servicios que contienen información sensible. En la práctica, esto significa activar la autenticación multifactor siempre que esté disponible, desconfiar de las solicitudes de inicio de sesión y los enlaces inesperados, y comprobarlo todo detenidamente antes de autorizar a una herramienta de IA a conectarse a otra aplicación.
Por encima de todo, significa detenernos antes de compartir información. Debemos ser conscientes de a qué le estamos dando acceso a la herramienta para que pueda ayudarnos. La comodidad que ofrece es valiosa, pero es esencial comprender las posibles consecuencias antes de conceder a un sistema de IA acceso a información o a otros sistemas.
La comodidad oculta riesgos
La IA está diseñada para simplificar las tareas. Un asistente de IA capaz de buscar en nuestros archivos, interpretar nuestros correos, acceder a nuestro calendario y actuar en nuestro nombre podría ahorrarnos mucho tiempo. Tanto las personas como las empresas pueden mejorar su productividad con una adopción responsable de la IA.
Sin embargo, cada nueva conexión abre una posible vía de acceso a datos y sistemas. La solución no es prohibir a los empleados que utilicen la IA. Las organizaciones necesitan saber qué herramientas se están utilizando, a qué pueden acceder y qué controles conviene aplicar.
Este principio se aplica tanto a las personas como a las organizaciones. Para las primeras, significa dedicar unos segundos a entender a qué quiere acceder una aplicación de IA cuando solicita permiso. Para las empresas, implica reconocer que la adopción de la IA ya está en marcha, aunque los equipos de seguridad no hayan aprobado formalmente todos sus usos.
La Shadow AI es la evolución de la Shadow IT
Los equipos de seguridad llevan mucho tiempo enfrentándose al problema de las TI en la sombra, o Shadow IT, cuando los empleados adoptan aplicaciones y servicios de manera informal. La IA ha dado lugar a una nueva forma de tecnología en la sombra de la que las organizaciones deben ser conscientes.
La Shadow AI, o no supervisada, no consiste simplemente en que un empleado abra un chatbot de IA en un navegador. Un empleado puede instalar una extensión o un complemento para el navegador basado en IA porque le facilita el trabajo, conectar un asistente de IA a su calendario o utilizar un servicio de transcripción por IA para las reuniones. También podría tratarse de una extensión o integración OAuth que se añade sin que el departamento de seguridad se entere. Cada decisión individual puede parecer relativamente inofensiva, pero, en conjunto, estas herramientas pueden crear importantes puntos ciegos de seguridad.
La visibilidad es un primer paso esencial para desarrollar un enfoque sensato respecto a la Shadow AI. La seguridad no puede existir sin visibilidad, ya que una organización no puede proteger algo cuya existencia desconoce. Las empresas deben saber qué herramientas de IA se están utilizando, adónde van los datos y qué permisos se han concedido.
El cifrado no garantiza automáticamente la seguridad
El último Informe Global de Amenazas de WatchGuard reveló que el 95% del malware llegaba a través de tráfico cifrado con TLS, mientras que solo el 20% de los dispositivos instalados inspeccionaba ese tráfico cifrado. El cifrado es esencial para proteger la información en tránsito, pero no nos indica si la actividad que tiene lugar dentro de esa conexión cifrada es segura. Los atacantes también lo saben. Si los controles de seguridad no pueden ver lo que ocurre dentro del tráfico cifrado, la actividad maliciosa puede ocultarse junto a aplicaciones y servicios legítimos.
El mismo principio es válido para las aplicaciones cloud y las integraciones de IA. A medida que aumenta la actividad en el lugar de trabajo y se amplían las funcionalidades de IA que operan a través de canales cifrados, las organizaciones no pueden dar por sentado que, por el mero hecho de que una conexión esté cifrada, esta sea segura. Los equipos de seguridad necesitan tener visibilidad de lo que ocurre en todos sus entornos para poder distinguir la actividad legítima del comportamiento potencialmente malicioso e identificar aquellas aplicaciones o integraciones que supongan un riesgo inaceptable.
Primero visibilidad, después políticas y, por último, su cumplimiento
Una vez que las organizaciones tienen visibilidad, pueden empezar a tomar decisiones informadas sobre sus políticas.
Algunas herramientas de IA pueden ser perfectamente adecuadas para determinados usos empresariales, mientras que otras pueden requerir controles adicionales. Algunas integraciones pueden presentar riesgos que superen sus beneficios, por lo que deberían desactivarse. Lo importante es que las decisiones se basen en el conocimiento del entorno real y no en suposiciones sobre cómo utilizan los empleados la tecnología.
Por eso, la visibilidad debe ir primero; las políticas, después; y los mecanismos para garantizar su cumplimiento, en tercer lugar. Sin visibilidad, resulta difícil hacer cumplir las políticas, porque los equipos de seguridad no saben qué están intentando controlar. Y, sin mecanismos de control adecuados, incluso la mejor política se queda en poco más que un documento que se espera que los empleados lean.
El objetivo debe ser establecer límites claros para el uso de la IA y, al mismo tiempo, permitir que los empleados se beneficien de esta tecnología. Los empleados deben saber qué herramientas están autorizadas, qué información pueden compartir de forma segura, qué tipos de datos nunca deben introducir en un sistema de IA y qué hacer si tienen dudas.
No convertir la seguridad en enemiga de la IA
Si las organizaciones responden al auge de la IA bloqueándolo todo, los empleados pueden buscar formas de eludir esas restricciones. Esto puede hacer que la IA no supervisada sea más difícil de detectar, en lugar de eliminarla.
Un enfoque más adecuado es reconocer que los empleados van a utilizar la IA porque les aporta un valor real. Lo que necesitan son directrices claras, herramientas autorizadas de fácil acceso y controles técnicos adecuados sobre las aplicaciones e integraciones que acceden a información sensible.
La concienciación sobre seguridad debe acompañar este proceso. Para ello, los empleados necesitan comprender el porqué de las normas. Si alguien entiende que conectar un asistente de IA a un buzón de correo corporativo podría dar a ese servicio acceso a años de comunicaciones sensibles, es más probable que se plantee primero si ese permiso es realmente necesario.
Es aquí donde la concienciación en ciberseguridad y los conocimientos sobre IA están cada vez más relacionados. Los empleados no necesitan convertirse en expertos en seguridad de la IA, pero sí comprender lo suficiente para reconocer que cada nueva herramienta o integración de IA puede cambiar la forma en que circula la información dentro de una organización.
Necesitamos más concienciación sobre la IA
La concienciación en seguridad no puede desligarse del conocimiento de la tecnología, porque la IA está cambiando la relación entre las personas, los datos y la tecnología.
He comprobado de primera mano la importancia de establecer políticas y medidas de protección frente a la IA no supervisada para ayudar a proteger a nuestros empleados, clientes y partners. El objetivo no es impedir que las personas se beneficien de la IA, sino garantizar que comprendan adecuadamente los riesgos asociados.
La IA estará cada vez más integrada en nuestra forma de trabajar. Los agentes irán más allá de generar información y empezarán a actuar en nuestro nombre, posiblemente en múltiples sistemas y aplicaciones. Esto hace que nuestras identidades digitales, cuentas y permisos sean más valiosos que nunca y agrava las consecuencias de que una cuenta de IA se vea comprometida.
La concienciación en ciberseguridad debe evolucionar al mismo ritmo que la tecnología. Para las personas, esto significa detenerse a pensar qué información estamos compartiendo, quién podría verla y qué estamos permitiendo hacer a una herramienta de IA. Para las organizaciones, implica conocer qué herramientas e integraciones de IA se utilizan, adónde van los datos y qué accesos tienen esas herramientas, antes de establecer las políticas y los controles técnicos adecuados. Todo ello nos lleva de nuevo a la visibilidad. No se puede proteger lo que no se ve y, en estos momentos, muchas organizaciones no tienen visibilidad sobre todas las herramientas de IA que se utilizan en sus entornos.
Corey Nachreiner, director de Seguridad de WatchGuard
La entrada La IA ha cambiado lo que tenemos que preguntarnos antes de hacer clic se publicó primero en Ciberseguridadtic.