En la última reunión de consejo, el CEO preguntó cómo está usando la empresa la IA para mejorar su postura de seguridad. En la reunión anterior, el área legal preguntó qué controles existen sobre el uso de IA generativa por parte de los empleados. La semana pasada, el equipo de detección escaló una alerta que resultó ser un ataque de phishing generado con IA que los filtros tradicionales no detectaron.
Tres conversaciones distintas. El mismo tema. Una estrategia que las responda todas.
El error de tratar la IA como un proyecto de herramientas
La respuesta más común que están dando los equipos de seguridad a la IA es evaluativa: ¿qué herramientas de detección con IA debería comprar?, ¿qué plataforma de análisis de comportamiento vale la pena? Esas son preguntas válidas. Pero son el final del proceso estratégico, no el principio.
Una estrategia de ciberseguridad que contempla la IA tiene que responder primero a tres preguntas estructurales: cómo la IA cambia las amenazas que enfrenta la organización, cómo cambia los riesgos que genera internamente y cómo puede usarse para mejorar las capacidades defensivas. Esas tres dimensiones son independientes y requieren respuestas distintas.
Dimensión uno: la IA como amplificador de amenazas
El adversario que usa IA no es necesariamente más sofisticado. Es más eficiente. Puede personalizar ataques de phishing a escala masiva, generar variantes de malware que evaden firmas conocidas, automatizar el reconocimiento de objetivos y reducir el tiempo entre la identificación de una vulnerabilidad y su explotación. Lo que antes requería un equipo especializado y semanas de trabajo ahora puede hacerse con menos recursos y en menos tiempo.
Para el CISO, eso significa que la velocidad de detección y respuesta es más crítica que nunca. Un programa de seguridad diseñado para amenazas que se mueven despacio es estructuralmente inadecuado para un adversario que opera con IA.
Dimensión dos: la IA como riesgo interno
El artículo 58 de este blog exploró los riesgos de la IA generativa en manos de los empleados. Vale la pena resumir el punto central: la adopción interna de IA crea superficie de ataque nueva, introduce canales de exfiltración de datos que los controles tradicionales no monitorean y genera dependencia operativa en herramientas que no fueron evaluadas por seguridad.
Una estrategia que no tiene una respuesta para esta dimensión deja al descubierto exactamente el punto donde el riesgo está creciendo más rápido. No porque los empleados tengan malas intenciones, sino porque la tecnología llegó antes que la gobernanza.
Dimensión tres: la IA como capacidad defensiva
Aquí es donde muchos equipos empiezan —y donde deberían llegar después de haber respondido las dos dimensiones anteriores. Las capacidades que la IA habilita en defensa son reales: detección de anomalías de comportamiento que las reglas fijas no capturan, correlación de eventos a una velocidad que los analistas humanos no pueden igualar, reducción del tiempo de triaje de alertas y automatización de respuestas a incidentes de baja complejidad.
Pero implementar IA defensiva sin haber gestionado el riesgo interno de la IA y sin haber adaptado el modelo de detección al adversario que usa IA es construir defensas para el problema de ayer.
¿Qué hacer al respecto?
El primer paso es hacer un diagnóstico de las tres dimensiones, no solo de una. Un mapa que muestre cómo la IA afecta el perfil de amenazas externas, qué riesgo interno existe hoy por la adopción de IA en la organización y qué capacidades defensivas basadas en IA tienen sentido dado el contexto de la empresa. Ese diagnóstico es el insumo para una estrategia, no la estrategia en sí.
El segundo paso es establecer gobernanza de IA interna antes de invertir en IA defensiva. Una política de uso de herramientas de IA, una clasificación de qué datos pueden procesarse con servicios externos y un proceso mínimo de evaluación para nuevas herramientas. No un proyecto de un año: una estructura básica que empiece a operar en semanas.
El tercer paso es traducir la estrategia en lenguaje de negocio para el consejo. Los CISOs que están ganando presupuesto y apoyo directivo para iniciativas de IA no son los que presentan arquitecturas técnicas. Son los que conectan la IA con riesgo de negocio concreto: velocidad de respuesta a incidentes, reducción de costos operativos del SOC, cumplimiento regulatorio. Ese es el idioma que mueve decisiones.
¿Tu estrategia actual de ciberseguridad fue diseñada pensando en un adversario que usa IA, o fue diseñada antes de que eso fuera relevante?
Acciones inmediatas
- Evalúa si tu modelo de detección actual está calibrado para ataques generados con IA. Revisa si tus reglas de detección de phishing, anomalías de comportamiento y exfiltración de datos capturarían los vectores que la IA habilita: correos sin errores gramaticales, patrones de acceso inusuales pero graduales, transferencias de datos por canales de texto. Si la respuesta es incierta, ahí está la brecha.
- Documenta un inventario de herramientas de IA que los empleados usan hoy, aprobadas o no. Ese inventario es la base de la gobernanza interna. Sin él, cualquier política que se emita opera sobre una realidad que no conoce.
- Define al menos tres casos de uso defensivos concretos donde la IA podría reducir carga operativa o mejorar tiempo de respuesta en tu contexto específico. No los casos de uso genéricos del mercado: los que aplican a tu tamaño, industria y madurez de equipo. Esos son los que tienen posibilidad real de ser aprobados e implementados.
- Prepara un resumen ejecutivo de una página sobre el impacto de la IA en el perfil de riesgo de la organización. Debe cubrir las tres dimensiones: amenaza externa, riesgo interno y capacidad defensiva. Ese documento es la base de la conversación con dirección general y el punto de partida para asignar recursos.
- Establece un proceso mínimo de evaluación de seguridad para nuevas herramientas de IA antes de su adopción. Cuatro preguntas: ¿qué datos procesa?, ¿dónde los almacena?, ¿bajo qué términos los usa el proveedor?, ¿quién en seguridad lo aprobó? Con esas cuatro preguntas ya existe un filtro funcional que la mayoría de las organizaciones no tiene.
Si quieres construir o revisar tu estrategia de ciberseguridad considerando el impacto de la IA, contáctanos en https://tbsek.mx/contacto/.
