La IA obliga a replantear la ciberseguridad y refuerza la importancia de la ciberresiliencia

En el mes de la Concienciación de la Ciberseguridad, Chris Bevil, director de Ciberresiliencia e Inteligencia Artificial de Commvault, comparte una serie de reflexiones que este tema y señala, por ejemplo, que la IA nos está obligando a replantearnos qué significa realmente la «concienciación sobre la ciberseguridad».

Durante años, hemos enseñado a la gente a buscar las señales: una palabra mal escrita, una dirección de correo extraña, un enlace sospechoso. La IA está eliminando poco a poco muchas de esas señales. Un correo electrónico puede estar perfectamente redactado. Una voz puede sonar como la de alguien que conoces. Un vídeo puede parecer real. La habilidad que tenemos que desarrollar ahora no es solo el reconocimiento. Es la verificación. ¿Tiene sentido esta solicitud? ¿Es un comportamiento normal? ¿Puedo verificarlo por otro canal antes de actuar? Además, el estudio de Gartner sobre ciberseguridad para 2026 plantea algo similar, instando a las organizaciones a ir más allá de las tácticas tradicionales de concienciación y apostar por programas de comportamiento y cultura de seguridad que aborden amenazas como la IA en la sombra y los deepfakes.

Por eso, Bevil apunta la necesidad, en este mes de la Concienciación sobre la Ciberseguridad, de dar un  paso más allá. "La concienciación no puede quedarse solo en el empleado. A los atacantes no les importa cómo hayamos trazado el organigrama. Un incidente puede pasar de la identidad a las aplicaciones, a los datos y a la infraestructura muy rápidamente, y sin embargo muchas organizaciones siguen teniendo los departamentos de seguridad, TI, recuperación ante desastres, recuperación cibernética y continuidad del negocio funcionando por separado", afirma. Y ahí, según el experto, es donde la ciberresiliencia cobra verdadera importancia. "Lo que yo llamo «Operaciones de Resiliencia», o ResOps, consiste simplemente en romper esos silos y conseguir que la organización funcione como un solo equipo en torno a la resiliencia y la recuperación. ¿Qué es lo que tiene que seguir funcionando a toda costa? ¿De qué depende? ¿Quién es el responsable? ¿Y hemos demostrado realmente que podemos recuperarlo?". 

Asimismo, señala que tener cinco buenos planes en cinco departamentos diferentes no es lo mismo que tener una organización que sepa cómo recuperarse. Entre otros aspectos, porque Gartner está observando este mismo cambio generalizado, y describe la ciberresiliencia como un principio organizativo cada vez más central, haciendo hincapié en la continuidad operativa, las pruebas de restauración y la gobernanza interfuncional. Además, la IA agentiva está creando una nueva clase de identidad dentro de la empresa. "Llevamos décadas pensando en lo que se les debería permitir hacer a los empleados, administradores y cuentas de servicio. Ahora tenemos agentes de IA que pueden acceder a datos, interactuar con aplicaciones, usar credenciales y realizar acciones en nuestro nombre. Yo trataría a un agente de IA casi como a un empleado con privilegios. Averigua quién es. Averigua a qué tiene acceso. Averigua qué se le permite hacer. Vigila lo que hace realmente. Y ten una forma de quitarle las «llaves» cuando algo vaya mal".

El reciente estudio de Gartner sobre seguridad en IA refuerza la idea de que las organizaciones deben mirar más allá del modelo en sí y proteger todo el ecosistema de IA, incluyendo datos, API, sistemas multiagente, detección, supervisión y controles de tiempo de ejecución. Sobre todo, porque la IA es como poner un motor mucho más potente en el coche. El coche puede ir más rápido, pero eso también significa que los frenos, la dirección y las barreras de seguridad cobran mucha más importancia. "Sin duda, deberíamos usar la IA para mejorar la detección, la respuesta y la defensa. Pero las empresas también tienen que invertir en una recuperación limpia, en la recuperación de identidades, en entornos de recuperación aislados, en la orquestación y en pruebas periódicas para saber que pueden recuperar el negocio cuando la prevención no funcione". 

Una diferencia que va a ser aún más importante a medida que nos acerquemos a 2027.