¿Qué ocurre cuando las tecnologías que prometen hacer más segura una organización también pueden convertirse en una de sus principales fuentes de riesgo?
La ciberseguridad está entrando en una etapa en la que las amenazas ya no se limitan a malware, vulnerabilidades de servidores o ataques tradicionales contra aplicaciones. La inteligencia artificial, la computación en la nube, los dispositivos conectados y las nuevas arquitecturas de identidad están cambiando la forma en que las organizaciones trabajan y, al mismo tiempo, están creando nuevos puntos de exposición. En este contexto, la certificación CISSP representa una base sólida para quienes necesitan comprender la seguridad desde una perspectiva integral, especialmente en un entorno tecnológico que cambia con tanta rapidez.
ISC2 ha señalado precisamente esta dualidad en relación con la inteligencia artificial. En su estudio sobre la fuerza laboral de ciberseguridad, el 41 % de las personas profesionales encuestadas identificó la IA como la tecnología con mayor impacto positivo en la seguridad, mientras que el 52 % la señaló como la de mayor impacto negativo. La cifra dice mucho: la misma tecnología puede ayudar a detectar amenazas y, al mismo tiempo, facilitar nuevas formas de ataque.
Por eso, el reto no consiste únicamente en aprender a utilizar nuevas herramientas. También implica comprender cómo cambian los riesgos y qué principios de seguridad siguen siendo válidos cuando la tecnología evoluciona.
Inteligencia artificial: una nueva capacidad y una nueva superficie de ataque
La inteligencia artificial puede convertirse en una herramienta extraordinariamente útil para los equipos de seguridad.
Puede ayudar a analizar grandes cantidades de información, detectar comportamientos anómalos, identificar patrones en registros, acelerar investigaciones y apoyar determinadas tareas de respuesta ante incidentes. Para un equipo que recibe miles de alertas, disponer de mecanismos capaces de priorizar información puede representar una diferencia considerable.
Pero existe otra cara.
Los mismos modelos pueden ser utilizados por atacantes para automatizar determinadas actividades, generar contenido malicioso más convincente, acelerar campañas de ingeniería social o ayudar a buscar vulnerabilidades. Además, los propios sistemas de IA pueden convertirse en objetivos.
Esto obliga a ampliar la mirada. Ya no basta con proteger los sistemas que utilizan IA. También es necesario analizar el modelo, los datos que recibe, las integraciones que utiliza, los permisos que tiene y la información que puede revelar.
La IA, por tanto, no es solamente una herramienta que se incorpora al arsenal de seguridad. También se convierte en un nuevo activo que debe protegerse.
IA generativa y protección de datos
Uno de los riesgos más fáciles de imaginar, pero también uno de los más difíciles de controlar, es el uso no autorizado de herramientas de IA generativa.
Una persona puede copiar un fragmento de código, un contrato, información financiera o documentación interna en una plataforma externa para pedirle a un modelo que lo analice. Desde su perspectiva, quizá solo está intentando trabajar más rápido. Desde la perspectiva de seguridad, puede estar enviando información sensible a un servicio que no ha sido aprobado por la organización.
A este fenómeno se le conoce comoShadow AI.
El problema no consiste necesariamente en prohibir cualquier uso de inteligencia artificial. En muchos casos, una política demasiado restrictiva puede provocar que las personas simplemente utilicen estas herramientas sin comunicarlo.
Una estrategia más efectiva pasa por establecer qué herramientas están autorizadas, qué información puede introducirse en ellas, cómo deben configurarse y qué controles deben existir para supervisar su utilización.
También es importante recordar que la protección de datos no termina cuando una persona deja de utilizar la herramienta. Deben considerarse aspectos como almacenamiento, retención, integraciones, acceso y eliminación de información.
Agentic AI: cuando la IA empieza a actuar
La evolución hacia sistemas de Agentic AI introduce una diferencia importante.
Un modelo tradicional puede recibir una pregunta y generar una respuesta. Un sistema con capacidades agenticas puede ir más allá: planificar una tarea, utilizar herramientas, consultar fuentes, ejecutar acciones y tomar decisiones dentro de los permisos que se le hayan concedido.
Esto puede tener enormes ventajas para una organización. También cambia el modelo de riesgo.
Si una IA puede enviar un correo, modificar un registro, ejecutar una consulta o interactuar con otros sistemas, un error o una manipulación puede tener consecuencias mucho mayores que una respuesta incorrecta en un chat.
Aquí vuelve a aparecer un principio conocido en seguridad: los permisos deben corresponder con las necesidades reales.
La gestión de identidades y accesos, la segregación de funciones, el principio de mínimo privilegio, la supervisión y la trazabilidad adquieren todavía más importancia cuando una entidad no humana puede realizar acciones por cuenta de una organización.
Computación cuántica: prepararse antes de que llegue el problema
La computación cuántica suele presentarse como una amenaza futura, pero esperar a que exista una computadora cuántica capaz de romper determinados sistemas criptográficos puede ser demasiado tarde.
El motivo es relativamente sencillo. Parte de la información que hoy está cifrada puede ser capturada y almacenada para intentar descifrarla en el futuro cuando existan capacidades computacionales suficientes. Este escenario se conoce habitualmente como harvest now, decrypt later.
Por eso, el riesgo cuántico no comienza el día en que aparece una máquina capaz de romper el cifrado utilizado actualmente.
Las organizaciones necesitan comenzar a identificar qué algoritmos criptográficos utilizan, dónde están implementados, qué información necesitan proteger durante largos periodos y qué sistemas dependen de tecnologías que podrían necesitar sustitución.
El objetivo es avanzar hacia una criptografía resistente a ataques cuánticos y, sobre todo, desarrollar una estrategia de migración.
Esta transición no suele ser inmediata. Las organizaciones pueden tener aplicaciones antiguas, dispositivos difíciles de actualizar, proveedores externos y sistemas cuya criptografía está integrada en diferentes capas. Conocer ese inventario desde ahora permite evitar decisiones apresuradas más adelante.
Nuevas superficies de ataque
Durante mucho tiempo, pensar en ciberseguridad significaba imaginar servidores, computadoras y redes corporativas.
Ese escenario ha cambiado.
Actualmente, una organización puede depender de servicios cloud, dispositivos IoT, aplicaciones SaaS, identidades digitales, APIs, herramientas de inteligencia artificial, proveedores tecnológicos y múltiples terceros.
Cada conexión puede representar una oportunidad para mejorar la operación. También puede introducir un nuevo riesgo.
Una cuenta comprometida puede permitir acceder a varios servicios. Una API mal configurada puede exponer información. Un dispositivo conectado puede convertirse en una puerta de entrada. Un proveedor puede sufrir un incidente que termine afectando a sus clientes.
Por eso, la superficie de ataque debe entenderse como un ecosistema.
El inventario de activos continúa siendo importante, pero ya no basta con saber cuántos servidores existen. También hay que conocer qué servicios utiliza la organización, qué datos procesan, qué identidades tienen acceso, qué dependencias existen y qué terceros forman parte de la cadena.
¿Qué significan estas amenazas para un profesional CISSP?
Las nuevas amenazas no eliminan los principios fundamentales de la seguridad. En realidad, hacen que sean todavía más importantes.
La Asset Security obliga a conocer qué activos existen, qué información contienen y qué nivel de protección necesitan. Si una organización no sabe dónde utiliza IA o qué información procesa una determinada plataforma, difícilmente podrá protegerla correctamente.
Security and Risk Management permite poner las nuevas tecnologías en contexto. No toda amenaza requiere eliminar una tecnología. La cuestión es identificar el riesgo, determinar su impacto y decidir cómo gestionarlo.
La gestión de identidades y accesos también adquiere un papel central. En un entorno con usuarios humanos, aplicaciones, servicios, dispositivos y agentes de IA, saber quién puede hacer qué resulta fundamental.
El enfoque de IAM debe evolucionar junto con los sistemas. El principio de mínimo privilegio sigue siendo válido, pero ahora puede aplicarse también a identidades no humanas y agentes capaces de ejecutar acciones.
Finalmente, aparece una competencia cada vez más importante: saber conectar tecnología y riesgo empresarial.
No se trata de convertirse en especialista absoluto en inteligencia artificial o computación cuántica. Se trata de comprender cómo estas tecnologías modifican los riesgos, qué controles pueden reducirlos y qué decisiones debe tomar la organización.
La seguridad cambia, pero los principios permanecen
La inteligencia artificial, la computación cuántica y las nuevas superficies de ataque pueden parecer problemas completamente diferentes. Sin embargo, cuando se observan desde una perspectiva de seguridad, comparten algo importante.
Todos obligan a conocer los activos, identificar riesgos, controlar accesos, proteger información, supervisar actividades y prepararse para responder cuando algo falla.
La tecnología seguirá cambiando. Probablemente lo hará más rápido de lo que muchas organizaciones pueden incorporar nuevas herramientas y procesos.
Por eso, más que intentar anticipar exactamente cuál será la próxima amenaza, el reto consiste en construir capacidades de seguridad suficientemente sólidas para adaptarse a ella.En ese escenario, la preparación profesional no consiste únicamente en conocer las amenazas actuales. También implica desarrollar una forma de pensar que permita analizar las siguientes antes de que se conviertan en el próximo gran problema.
