Recientemente, tuve la oportunidad de sentarme con Francis de Souza, COO de Google Cloud, en un evento en Los Ángeles. Durante nuestra conversación, de Souza ofreció consejos útiles para las empresas que están navegando por el complicado panorama de la seguridad en la era de la IA. Su mensaje principal fue que la seguridad no puede ser un pensamiento posterior. Es fundamental adoptar una estrategia de seguridad desde el comienzo, especialmente en el contexto actual donde se hace evidente que incluso las grandes empresas, como Google, aún están adaptándose a este nuevo entorno.
Importancia de la Seguridad en la Era de la IA
La Seguridad No es un Pensamiento Posterior
De Souza enfatizó que la seguridad debería ser parte integral de cualquier estrategia de IA desde el principio. Afirmó que al embarcarse en esta travesía de IA, las empresas deben adoptar un enfoque basado en plataformas, evitando que la seguridad sea una responsabilidad secundaría que se pueda añadir después. Las organizaciones deben exigir seguridad, gobernanza y auditabilidad desde el momento de la adopción.
Consideraciones sobre el «Shadow AI»
Un punto crítico que destacó fue el problema del «Shadow AI», donde los empleados utilizan herramientas de consumo sin la supervisión adecuada. Este fenómeno puede ser riesgoso y las empresas deben establecer políticas claras que regulen el uso de estas herramientas y garanticen que los datos sensibles sean protegidos adecuadamente.
El Cambio en el Panorama de Amenazas
Nuevas Dimensiones en la Superficie de Ataque
De Souza también advirtió que el panorama de amenazas ha cambiado drásticamente. El tiempo promedio entre una brecha inicial y la siguiente fase de ataque se ha reducido de ocho horas a tan solo 22 segundos. Esto implica que las estrategias de defensa tradicionales pueden no ser efectivas. Las empresas deben estar preparadas no solo para proteger sus redes, sino también sus modelos de IA y pipelines de datos.
Agentes en el Sistema Interno
Un aspecto preocupante que mencionó fue cómo los agentes pueden descubrir repositorios de datos olvidados dentro de las empresas. Esto subraya la necesidad de realizar auditorías periódicas y actuar proactivamente para asegurar todos los elementos de la infraestructura de datos.
La Defensa Basada en IA
Velocidad de Respuesta
La visión de De Souza es que la defensa debe igualar la velocidad de ataque. La idea es implementar una defensa completamente autónoma que se pueda supervisar en lugar de depender completamente de humanos. Este cambio representa una cuestión de liderazgo y estrategia empresarial y no solo de tecnología.
La Escasez de Especialistas en Seguridad
A pesar de los avances, existe una escasez de profesionales capacitados para gestionar estas nuevas tecnologías. Como mencionó la CISO de LinkedIn, Lea Kissner, el sector no estará preparado para entender la seguridad de IA de forma sostenible a largo plazo en un futuro cercano.
Desafíos para los Desarrolladores
Problemas con las Facturas de API
Las alternativas de seguridad ofrecidas por Google Cloud también han sido puestas a prueba. Varios desarrolladores han enfrentado facturas sorpresivas tras llamadas no autorizadas a modelos de IA. Esto plantea preguntas sobre la transparencia y la gestión de gastos de las plataformas de cloud computing.
Brecha en la Revocación de Claves de API
Un estudio reveló que incluso cuando los desarrolladores eliminan claves de API comprometidas, los atacantes aún pueden utilizarlas durante un tiempo, lo que sugiere que esta no es solo una cuestión técnica, sino también una prioridad organizacional para Google.
Consejos para Emprendedores y Negocios
-
Priorizar la Seguridad desde el Inicio: Integrar la seguridad en la estrategia empresarial y tecnológica desde la fase de planificación del proyecto.
-
Implementar Políticas de Uso de Tecnología: Definir claramente qué herramientas están permitidas y cuáles son los protocolos de seguridad a seguir.
-
Auditorías Regulares: Realizar auditorías dentro de la infraestructura de datos para detectar posibles vulnerabilidades.
-
Capacitar a los Empleados: Ofrecer formación en ciberseguridad a los empleados para aumentar su conciencia sobre los riesgos.
- Evaluar Proveedores de Servicios en la Nube: Al elegir un proveedor, investigar su enfoque hacia la seguridad y las políticas de facturación.
Conclusiones
En un mundo donde la tecnología avanza rápidamente, es esencial que las empresas comprendan la importancia de integrar la seguridad en todos sus procesos desde el principio. Como ha señalado Francis de Souza, la falta de atención a la seguridad puede llevar a consecuencias desastrosas en un panorama digital en constante evolución. La clave está en mantenerse proactivos y educados sobre las nuevas amenazas para asegurar un entorno empresarial seguro y robusto.