Chris Dimitriadis (ISACA): «Los atacantes tienen la ventaja; hay que acelerar la adopción de la IA en ciberseguridad»

   MADRID, 14 Jul. –

   La inteligencia artificial (IA) es un arma de doble filo para la ciberseguridad y, frente a la ventaja que ofrece a los atacantes, el director de Estrategia Global de ISACA, Chris Dimitriadis, apuesta por acelerar la adopción de IA en la ciberseguridad de las organizaciones, invertir en talento humano y fortalecer la colaboración público privada.

   La IA se ha posicionado como una tecnología clave en el ámbito de la ciberseguridad, con altas capacidades para ayudar a identificar vulnerabilidades y nuevas herramientas que permiten orquestar respuestas eficaces ante los ataques.

   Sin embargo, al mismo tiempo, también se observa una adaptación aún más rápida de esta tecnología por parte de los cibercriminales, especialmente en lo que respecta a los ataques ‘phishing’. Esto pone de manifiesto una brecha que «se está ampliando» entre el uso de la IA para el ataque y la defensa.

   Así lo ha advertido Dimitriadis en una entrevista concedida a los medios, donde ha matizado que aunque «hay progreso» la situación es «preocupante». «Los atacantes tienen la ventaja ahora mismo en cuanto al uso de la IA; por eso necesitamos acelerar la adopción de la IA en la ciberseguridad», ha sentenciado.

   En este marco, cabe destacar que, desde ISACA, están visualizando un aumento en los ataques de ‘ransomware’, sobre todo, iniciados por técnicas de ‘deepfakes’ (contenidos hiperrealistas habitualmente utilizados para suplantar la identidad de personas) e ingeniería social (formas de manipulación psicológica para engañar a las personas), potenciadas por la IA.

   Frente a ello, también ha hecho referencia a los avances que facilitan herramientas como el modelo enfocado en ciberseguridad Claude Mythos de Anthropic que, pese a sus restricciones y a que solo está disponible para determinadas organizaciones, ayudará a la comunidad de profesionales de forma innovadora.

ASUMIR QUE LA PREVENCIÓN FALLARÁ

   En cuanto a cómo enfrentar ataques de ciberseguridad, Dimitriadis también ha valorado que, aunque la prevención siempre es «muy importante«, también hay que tener en cuenta la sofisticación de los ataques actuales y que, por tanto, conviene «asumir que la prevención fallará».

   «Debemos trabajar con el supuesto de que los atacantes ya están en el sistema e invertir más en detección, respuesta y recuperación«, ha subrayado al respecto el directivo de ISACA.

    En este sentido, ha especificado que con inversión se refiere tanto a la formación de personas, como a la implementación de las mencionadas tecnologías de ciberseguridad avanzada y a sistemas que «midan la madurez» de la postura de ciberseguridad de la organización o empresa en concreto.

EL ELEMENTO HUMANO PARA TOMAR DECISIONES FINALES

   En este contexto, preguntado por si el panorama actual está listo para confiar decisiones de ciberseguridad a sistemas de IA, Dimitriadis ha sentenciado que, tanto hoy, como en el futuro, «siempre será necesario un elemento humano para tomar la decisión final».

   Esto es por varias razones: más allá de que las organizaciones no confíen al 100 por cien en la IA, también hay implicaciones en términos de ética y «para asegurar que la decisión vaya acorde a los intereses de las partes interesadas del ecosistema».

   Este punto de vista deja ver la inevitable transformación que está experimentando la profesión de los expertos en ciberseguridad, ya que hay «una mayor necesidad de profesionales especializados y con conocimientos sobre IA», que deberán enfrentarse a «nuevos ámbitos relacionados con la toma de decisiones».

   Dimitriadis también deja claro qué habilidades son esenciales para los profesionales en este escenario, apostando por las habilidades técnicas especialmente en IA. «Los profesionales deben formarse más para proteger, defender y colaborar con la IA«, ha apostillado.

   Sin embargo, también ha puesto sobre la mesa que debe haber «mucha más capacitación» en el aspecto empresarial y en las llamadas ‘soft skills’ (habilidades blandas). Esto se debe a que, como ha explicado, «si la IA se encarga de las tareas más intensivas en mano de obra en el futuro, los profesionales necesitarán desarrollar estas habilidades para ayudar a la gerencia a tomar decisiones hablando su mismo lenguaje».

   Estas habilidades que se distancian de lo técnico son útiles para, como ha ejemplificado, ayudar a la toma de decisiones e inversiones en ciberseguridad, porque «la interacción humana siempre será extremadamente importante».

LA IMPORTANCIA DE RETENER EL TALENTO

   Al hilo de todo ello, como consejo para las organizaciones que quieran prepararse para los próximos años en materia de ciberseguridad, Dimitriadis ha recomendado a los directivos «empezar por las personas», mejorar las habilidades de su personal y encontrar nuevo talento.

   «La brecha de habilidades se está expandiendo y habrá una guerra por el talento», ha apostillado. Asimismo, precisamente por competir con otras empresas para disponer de los mejores profesionales en ciberseguridad, el directivo ha subrayado la importancia de crear planes de carrera para «impulsar la retención de profesionales«.

   Para ello, no solo será necesaria más inversión en IA, sino establecer un marco de gobernanza para esta tecnología, que ayude a medir la madurez, a tomar las decisiones correctas y a evaluar su implementación.

COLABORACIÓN PÚBLICO PRIVADA

   Sin embargo, la ciberdelincuencia no es un problema con el que tengan que lidiar exclusivamente las empresas independientes, sino que también se extiende al ámbito público y afecta a la sociedad en general.

   En este sentido, Dimitriadis también ha manifestado la necesidad de impulsar una mayor cooperación público privada para luchar contra los actores maliciosos en conjunto y garantizar mayor seguridad para los usuarios, por ejemplo, para salvaguardar infraestructuras críticas en medio de tensiones geopolíticas.

   «Cada vez vemos más colaboraciones entre el sector público y el privado porque, al fin y al cabo, el ecosistema digital y el ciberespacio siempre cuentan con la participación de empresas privadas«, ha aclarado, al tiempo que ha apostillado que los gobiernos «no pueden hacerlo por sí solos».

   Especialmente en el caso de Europa, el directivo aboga por invertir y hacer más en materia de IA para poder «formar parte de la carrera de IA». Para ello, ha hecho referencia a una colaboración publico privada que no solo esté pensada para actuar dentro de una jurisdicción concreta, sino también entre jurisdicciones, para promover «ecosistemas digitales saludables en su conjunto», dado que «en el ecosistema digital no hay fronteras».

   La regulación y las normativas también son un factor fundamental a nivel global y, para ello se ha referido a la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa de Estados Unidos, que deberán tener empresas proveedoras de todo el mundo que trabajen con este país norteamericano, incluidas las europeas, y que protege la información sensible en la cadena de suministro frente a ciberataques.

   Con respecto a este certificado, ISACA cuenta con el marco de madurez de IA basado en CMMI que «está recibiendo mucha atención de diferentes jurisdicciones del mundo» y que ayudará a medir la madurez de implementación de IA en muchos países y organizaciones «marcando la diferencia» con respecto al uso de esta tecnología.

CL24