Uso y mal uso de la IA en ciberseguridad y la necesidad de una guía de actuación 

Por Jack Sánchez, Jefe de Seguridad de la Información de Industrial Pesquera Santa Priscila, División Producción. 

Si bien la IA está ayudando al desarrollo de las capacidades de respuesta en el ámbito de la ciberseguridad, también es cierto que se debe utilizar con mucho cuidado pues su papel de aprendizaje “acelerado y exagerado” puede ser usado para bien o para mal. Considerando que es de mucha ayuda el uso de la IA, lo que si podemos aprovechar es que los profesionales de este campo se inteligencien con la enorme cantidad de información sobre Metodologías de ataque/defensa, diseño de arquitecturas seguras, aprender a diseñar un buen roadmap para aseguramiento de la información y sobre todo entender/comprender las normativas asociadas a ciberseguridad. 

La inteligencia artificial se ha convertido en una herramienta muy atractiva para los profesionales de ciberseguridad. Podríamos decir que es como un “caramelito”, ya que les permite acceder de forma directa a modelos y programas que facilitan el análisis de vulnerabilidades, la simulación de ataques y la evaluación de defensas permitiendo que los profesionales de estas áreas tengan procesos acelerados implementar soluciones y controles que protejan la infraestructura donde se aloja la información. 

Con la llegada de la inteligencia artificial, las prácticas tradicionales de ciberseguridad han cambiado impulsado a los diferentes proveedores de soluciones de seguridad a mantenerse a la par del ritmo con el que evolucionan las ciberamenazas que circulan por la red. Además, ha potenciado los mecanismos de aprendizaje de estas soluciones, que ahora pueden procesar grandes volúmenes de información generada por códigos maliciosos y adaptarse rápidamente para detectar y responder a amenazas, muchas veces sin que el usuario siquiera lo perciba. 

La inteligencia artificial puede optimizar una gran variedad de tareas dentro de un equipo de ciberseguridad, pero sin duda las más relevantes están ligadas a la defensa y, en algunos casos, también a la ofensiva controlada. Como bien menciona Sun Tzu en El arte de la guerra: “La mejor victoria es vencer al enemigo sin combatir”. Y en efecto, contar con soluciones de ciberseguridad potenciadas por IA permite anticiparse a las amenazas, establecer estrategias de defensa de mejor manera. Se puede automatizar tareas como: 

• La generación de los reportes con el top ten de los ataques que normalmente no vemos. 

• Automatizar reglas de firewall con respuesta inmediata al detectar un patrón de ataques. 

• Alertar de manera preventiva y proactiva a mis equipos de SOC/NOC ante cualquier brecha de seguridad interna o externa. 

• Generar dashboards para que la alta gerencia se mantenga informada del nivel de seguridad de la red y evidenciar en que puntos somos débiles y deberíamos mejorar. 

Aunque la inteligencia artificial puede ser una gran aliada en la detección temprana de amenazas, no funciona sin una buena arquitectura de seguridad detrás. Su verdadero potencial se activa cuando se implementa dentro de una estrategia estructurada, basada en capas de protección. Un buen ejemplo son las arquitecturas SIEM y SOAR (Security Orchestration, Automation, and Response), que permiten orquestar, automatizar y mejorar la respuesta ante incidentes. Además, la IA permite automatizar tareas de respuesta cerrando con reglas automáticas los firewalls o firewalls de bases de datos mediante reglas predefinidas, así como alimentar las herramientas DLP con patrones de comportamiento humano para prevenir fugas de información. 

Para integrar herramientas de IA de manera segura y controlada, no hay nada mejor que combinar la experiencia con la práctica aprendida en el campo. Sin embargo, nunca está de más guiarse por el sabio dicho: “no todo lo que brilla es oro” y actuar con cautela. Esto aplica, por ejemplo, al momento de obtener o copiar algún código generado por la IA o las herramientas que recomienda, sin tener un conocimiento previo de normativas, estándares de uso o prácticas de desarrollo de código seguro. 

Pero si aplicamos un filtro y pasamos estas herramientas o códigos por marcos de referencia como NIST, MITRE u OWASP, estaremos dando un paso para que la integración avance por buen camino. 

También es necesario revisar y analizar qué tipo de información resulta riesgoso compartir con modelos de IA. Por ejemplo, no deberíamos entregar arquitecturas ni diseños. Si compartimos este tipo de información, es probable que un ciberdelincuente pueda acceder rápidamente a la estructura de nuestra red. 

Lo mismo ocurre con los códigos de programación que subimos para que la IA los “corrija”. Al hacerlo, le estamos enseñando nuestra lógica de desarrollo, lo que podría ser utilizado en nuestra contra si esa información queda expuesta o es mal gestionada. 

Además, es necesario conocer cuáles son los principales riesgos de seguridad cuando se confía excesivamente en sistemas de IA. El primero —y más importante— es el factor humano. Las personas tienden a compartir información confidencial con la IA para “facilitar su trabajo”. Si bien apoyarse en estas herramientas no es negativo, lo que no se debe hacer es delegar completamente las decisiones y tareas sensibles a la IA. 

El segundo gran riesgo es permitir que la IA diseñe toda la arquitectura de ciberseguridad sin que los profesionales intervengan. Esto puede dejar expuestas las debilidades de la red y comprometer seriamente la seguridad de la organización. 

Los CISO deben tener presente que la IA también es utilizada por los ciberdelincuentes para facilitar sus ataques.  Uno de sus “juguetes” preferidos es la generación automatizada de código para crear software malicioso, lo cual incrementa la velocidad y el alcance de las amenazas. 

Las cifras son claras. El informe de CrowdStrike reveló que, en 2024, el 79% de las intrusiones cibernéticas no emplearon malware, frente al 40% registrado en 2019. Esto indica una evolución hacia tácticas más avanzadas, muchas de ellas potenciadas por herramientas de IA. 

Y las predicciones son aún más alarmantes: para 2025, se estima que las quejas por ciberataques impulsados por inteligencia artificial podrían alcanzar los 1,31 millones, con pérdidas potenciales de hasta 18.600 millones de dólares. 

La IA es una aliada poderosa, pero también puede convertirse en una amenaza. Por eso es vital que las organizaciones cuenten con una guía interna para su uso responsable y, aún más importante, con un guiador: un profesional de ciberseguridad con sólidos conocimientos y experiencia en campo haga la diferencia entre una buena guía y un desastre. 

Los elementos que debe contener una guía interna para el uso seguro de la inteligencia artificial deben basarse en estándares probados y reconocidos, e incluir la cobertura de la mayoría de los capítulos que conforman un Sistema de Gestión de Seguridad de la Información (SGSI). 

A continuación, estándares: 

•  ISO/IEC 27001: Sistema de Gestión de Seguridad de la Información (SGSI). 

• ISO/IEC 27002: Controles de seguridad asociados a ISO 27001 (guía de buenas prácticas). 

• ISO/IEC 27005: Gestión de riesgos en seguridad de la información. 

• ISO/IEC 27017: Seguridad en servicios en la nube. 

• ISO/IEC 27018: Protección de datos personales en la nube. 

• ISO/IEC 27701: Extensión de privacidad para ISO 27001 (gestión de datos personales). 

• ISO/IEC 27035: Gestión de incidentes de seguridad de la información. 

• ISO/IEC 22301: Continuidad del negocio. 

• ISO/IEC 15408 (Common Criteria): Evaluación de seguridad de productos de TI. 

• NIST Cybersecurity Framework (CSF): Marco de referencia para gestionar y reducir riesgos cibernéticos (EE.UU.). 

• NIST SP 800-53: Controles de seguridad para sistemas federales. 

• NIST SP 800-171: Protección de información no clasificada en sistemas y organizaciones. 

• COBIT (ISACA): Gobernanza y gestión de TI, incluyendo aspectos de seguridad. 

• CIS Controls: Controles críticos de ciberseguridad desarrollados por el Center for Internet Security. 

• MITRE ATT&CK: Matriz de tácticas y técnicas usadas por atacantes. 

• TOGAF / ITIL: Marcos de arquitectura y gestión de servicios con componentes de seguridad. 

• GDPR (UE): Reglamento General de Protección de Datos de la Unión Europea. 

• LGPD (Brasil): Ley General de Protección de Datos de Brasil. 

• CCPA (California): Ley de privacidad del consumidor de California. 

• HIPAA (EE.UU.): Normativa de seguridad y privacidad para información de salud. 

• FERPA (EE.UU.): Protección de privacidad de registros educativos. 

• Ley Orgánica de Protección de Datos (España): Adaptación nacional de GDPR. 

• Ley de Protección de Datos Personales (Ecuador): Vigente desde 2021. 

• PCI DSS: Seguridad para el procesamiento de tarjetas de crédito. 

• SOX (Sarbanes-Oxley Act): Controles financieros, incluye seguridad de la información. 

• GLBA (Gramm-Leach-Bliley Act): Requiere protección de información financiera en EE.UU. 

• BAFT Cybersecurity Principles: Para instituciones financieras internacionales. 

• SWIFT CSP: Programa obligatorio de ciberseguridad para miembros de la red SWIFT. 

• OWASP: Proyectos de seguridad para aplicaciones web y móviles. 

• ENISA Guidelines: Buenas prácticas y recomendaciones de ciberseguridad de la UE. 

• IT-Grundschutz (BSI): Estándar alemán para seguridad TI. 

• FIPS (NIST): Normas federales de procesamiento de información (EE.UU.). 

• ANSI/ISA 62443: Seguridad en sistemas de automatización industrial (ICS/SCADA). 

• Pero sobretodo que la guía tenga la cobertura de la mayoría de los capítulos de una SGSI.