Por Miguel Ortego Ruiz
Socio Director de Qubit CyberDefence
Durante años hemos repetido que la inteligencia artificial cambiaría la ciberseguridad. Hoy ya no hablamos de una previsión, sino de una realidad.
La reciente declaración conjunta emitida por las agencias nacionales de ciberseguridad de la alianza Five Eyes (Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda) constituye probablemente uno de los avisos institucionales más importantes publicados en los últimos años. Su mensaje es extraordinariamente claro:
“El plazo ya no se mide en años. Se mide en meses.”
No se trata de una nota técnica dirigida únicamente a expertos en seguridad. Es una llamada de atención dirigida a consejos de administración, comités de dirección y responsables de negocio.
La ciberseguridad ha dejado definitivamente de ser un problema exclusivo del departamento de IT.
La IA reduce drásticamente el tiempo entre descubrir una vulnerabilidad y explotarla
Hasta hace pocos años existía un margen relativamente amplio entre la publicación de una vulnerabilidad y su explotación masiva por parte de ciberdelincuentes.
Ese margen prácticamente está desapareciendo.
Los modelos avanzados de inteligencia artificial permiten automatizar tareas que anteriormente requerían elevados conocimientos técnicos:
- descubrimiento de vulnerabilidades;
- generación de código malicioso;
- desarrollo de campañas de phishing altamente personalizadas;
- reconocimiento automático de infraestructuras;
- análisis de configuraciones erróneas;
- explotación de cadenas complejas de ataque.
La consecuencia es evidente: las organizaciones disponen cada vez de menos tiempo para reaccionar.
Lo que antes podía tardar semanas ahora puede producirse en cuestión de horas.
El mayor riesgo no es la IA. Es mantener estrategias de seguridad diseñadas para 2020
Quizá el aspecto más interesante del documento de Five Eyes es que no presenta la inteligencia artificial como el problema.
El verdadero problema es seguir defendiendo organizaciones modernas con modelos de seguridad pensados para un escenario que ya no existe.
Muchas compañías continúan basando su estrategia en:
- revisiones periódicas;
- auditorías anuales;
- actualizaciones lentas;
- procesos manuales de respuesta;
- arquitecturas excesivamente expuestas a Internet.
Todo ello resulta incompatible con atacantes capaces de automatizar miles de intentos de explotación mediante IA.
La velocidad ha pasado a ser un elemento esencial de la seguridad.
La ciberseguridad deja de ser una cuestión técnica
Uno de los mensajes más relevantes de la declaración conjunta es probablemente el siguiente:
El riesgo cibernético constituye un riesgo empresarial.
No es un problema tecnológico.
No es un problema del CISO.
No es un problema del departamento de sistemas.
Es un riesgo que afecta directamente a:
- continuidad del negocio;
- responsabilidad de administradores;
- cumplimiento normativo;
- reputación corporativa;
- confianza de clientes e inversores;
- protección de activos estratégicos.
Este enfoque coincide plenamente con la evolución normativa que estamos viviendo en Europa.
La entrada en vigor de normas como NIS2, DORA, el AI Act o la creciente exigencia de diligencia empresarial convierten la gobernanza de la ciberseguridad en una responsabilidad directa de la alta dirección.
Cinco prioridades inmediatas para cualquier organización
El documento identifica varias medidas esenciales que deberían implantarse sin demora. Desde nuestra experiencia en Qubit CyberDefence, estas recomendaciones pueden resumirse en cinco grandes líneas de actuación.
1. Reducir la superficie de ataque
Cada sistema innecesariamente expuesto a Internet constituye una oportunidad para un atacante.
La primera pregunta ya no debe ser:
¿Cómo protegemos este sistema?
Sino:
¿Necesita realmente estar accesible?
Eliminar exposición sigue siendo mucho más eficaz que añadir nuevas capas de protección.
2. Acelerar radicalmente el parcheo
La velocidad de explotación crece exponencialmente.
Las organizaciones ya no pueden asumir ciclos de actualización de semanas o meses para vulnerabilidades críticas.
Reducir el tiempo medio de parcheo será uno de los principales indicadores de madurez durante los próximos años.
3. Adoptar arquitecturas Zero Trust
La IA favorece movimientos laterales mucho más rápidos dentro de una red comprometida.
Por ello cobran aún más importancia:
- autenticación multifactor;
- privilegio mínimo;
- segmentación;
- verificación continua;
- control de identidades.
4. Utilizar IA para defenderse
Quizá la recomendación más llamativa del comunicado sea que la respuesta frente a atacantes que utilizan IA pasa precisamente por incorporar IA en la defensa.
No hablamos únicamente de automatización.
Hablamos de:
- detección temprana;
- priorización inteligente de alertas;
- análisis masivo de logs;
- respuesta asistida;
- identificación proactiva de vulnerabilidades;
- mejora continua del código seguro.
Quien utilice IA únicamente para generar documentos estará desaprovechando su mayor potencial en materia de ciberseguridad.
5. Prepararse para incidentes inevitables
Ninguna organización puede garantizar que nunca sufrirá un incidente.
La diferencia competitiva estará en la capacidad para:
- detectarlo antes;
- contenerlo rápidamente;
- recuperar operaciones;
- minimizar daños;
- cumplir las obligaciones regulatorias de notificación.
La resiliencia será tan importante como la prevención.
La dimensión jurídica también cambia
Desde una perspectiva legal, esta evolución tiene importantes consecuencias.
Resultará cada vez más difícil justificar determinadas omisiones organizativas cuando existan advertencias públicas emitidas por las principales agencias nacionales de ciberseguridad del mundo.
Las obligaciones de diligencia exigibles a administradores, directivos y responsables tecnológicos evolucionarán al mismo ritmo que lo hace el riesgo.
No basta con disponer de políticas.
Será necesario demostrar que funcionan.
No basta con tener controles.
Habrá que acreditar que resisten ataques reales.
No basta con cumplir formalmente.
Será imprescindible demostrar una auténtica gobernanza del riesgo digital.
Conclusión
La declaración de Five Eyes no pretende generar alarma.
Pretende transmitir urgencia.
La inteligencia artificial no va a sustituir a los atacantes.
Va a multiplicar su velocidad, su capacidad de automatización y su alcance.
Las organizaciones que adapten desde hoy su estrategia de ciberseguridad estarán mucho mejor preparadas para competir en un entorno donde los ataques evolucionarán más deprisa que nunca.
Las que esperen a comprobar el impacto real probablemente descubrirán que, cuando quieran reaccionar, el tiempo de ventaja ya habrá desaparecido.
Porque, como recuerda acertadamente el propio comunicado:
El horizonte ya no son los próximos años. Son los próximos meses.