Gestión de riesgos de ciberseguridad e inteligencia artificial
La seguridad de la información es uno de los desafíos más importantes para las organizaciones. Sin embargo, contar con una certificación ISO 27001, implementar controles técnicos o adquirir herramientas de protección no garantiza que una empresa esté preparada para enfrentar un ciberataque. La seguridad requiere entender cómo funciona el negocio, identificar qué información necesita protección y gestionar los riesgos de manera continua.
En este episodio de Pirani Podcast conversamos con Jessica Recalde, especialista en Ciberseguridad y GRC, quien desde su experiencia en protección de datos, gestión de riesgos y cumplimiento normativo comparte una perspectiva integral sobre la seguridad de la información. A lo largo de la conversación abordamos los límites de las certificaciones, la importancia del análisis de impacto al negocio, la evaluación de proveedores, los riesgos asociados a la inteligencia artificial y la necesidad de construir una cultura organizacional de seguridad.
Una certificación ISO 27001 no garantiza la seguridad de una organización
Obtener una certificación ISO 27001 representa un avance importante en la gestión de seguridad de la información. Sin embargo, existe un riesgo cuando las organizaciones interpretan este reconocimiento como una garantía de protección frente a cualquier amenaza.
Jessica Recalde denomina a esta situación una falsa sensación de seguridad o «seguridad de marquesina». La razón es que una certificación ISO acredita que determinados procesos cumplen con los requisitos establecidos, pero no significa que toda la organización esté protegida.
Una empresa puede tener certificado su sistema de gestión de seguridad de la información y, al mismo tiempo, mantener vulnerabilidades en otros procesos, sistemas o puntos de acceso. Los atacantes no necesariamente buscarán vulnerar aquello que la organización certificó; pueden encontrar oportunidades en áreas que quedaron fuera del alcance de la evaluación.
Por eso, la gestión de seguridad debe ir más allá de conseguir un certificado. Es necesario trabajar continuamente sobre el sistema de gestión, revisar los controles y considerar que la superficie de ataque de una organización es mucho más amplia que los procesos incluidos en una certificación.
Cómo identificar los procesos críticos y priorizar los riesgos
Proteger todos los procesos con la misma intensidad no siempre es posible ni representa una estrategia eficiente. Las organizaciones tienen recursos limitados y necesitan identificar qué actividades son fundamentales para mantener su operación.
Para Jessica, una buena forma de comenzar es mediante el análisis de impacto al negocio (BIA, por sus siglas en inglés). Este ejercicio permite identificar los procesos críticos, comprender las consecuencias de una interrupción y determinar cuánto tiempo puede permanecer una actividad fuera de servicio antes de generar impactos importantes.
A partir de este análisis, las organizaciones pueden establecer prioridades considerando las pérdidas económicas, las consecuencias reputacionales, los incumplimientos legales y los tiempos necesarios para recuperar la operación.
El BIA también permite alimentar los análisis de riesgos y los planes de continuidad del negocio (BCP). De esta manera, las decisiones sobre seguridad dejan de depender de percepciones y comienzan a responder a las necesidades reales de cada organización.
No todas las empresas tienen los mismos procesos críticos. Por eso, la priorización debe partir de su contexto, su industria y la importancia que tiene cada actividad para el funcionamiento del negocio.
Clasificación de la información: saber qué proteger antes de implementar controles
Una organización difícilmente puede proteger aquello que no conoce. Esta es una de las principales razones por las que la clasificación de la información y la gestión de activos deben formar parte de cualquier estrategia de seguridad.
Jessica explica que el trabajo puede comenzar con los procesos críticos identificados en el BIA. Después, es necesario reconocer los activos de información asociados a cada proceso y determinar qué conjuntos de datos manejan.
Un activo de información no se limita a un documento o una base de datos. Se refiere a los recursos que procesan o contienen información necesaria para el funcionamiento de la organización, como sistemas, aplicaciones, repositorios y conjuntos de datos.
La relación entre estos elementos permite construir un inventario que facilite identificar qué información existe, quién es responsable de ella, cómo se utiliza y cuáles son los riesgos a los que está expuesta.
Sin embargo, este trabajo no puede quedarse en una matriz de Excel o un PDF archivado. La clasificación debe mantenerse actualizada porque los procesos, los activos y la información cambian con el tiempo.
También existen herramientas tecnológicas que utilizan inteligencia artificial para apoyar la clasificación automática de documentos. Estas soluciones pueden agilizar el trabajo, aunque la validación de las áreas responsables sigue siendo necesaria para confirmar que la información está correctamente clasificada.
Gestión de riesgos de terceros: evaluar el servicio y no solamente llenar cuestionarios
Los proveedores pueden convertirse en una fuente importante de exposición para una organización. Esto ocurre especialmente cuando prestan servicios esenciales, administran información sensible o participan directamente en procesos críticos.
Una práctica habitual es enviar cuestionarios extensos de seguridad a los terceros para conocer sus controles y capacidades. Sin embargo, responder cientos de preguntas no significa necesariamente que el proveedor tenga una gestión adecuada de sus riesgos.
Jessica señala que uno de los problemas de estos ejercicios es utilizar formularios genéricos que no siempre corresponden al servicio contratado. Incluso cuando se solicitan evidencias, puede resultar difícil comprobar si los controles declarados funcionan realmente.
Su recomendación es orientar la evaluación al tipo de servicio que presta cada proveedor y a los riesgos que ese servicio representa para el negocio.
Por ejemplo, al evaluar un proveedor tecnológico, puede ser más relevante conocer:
- Cómo responde ante incidentes de seguridad.
- Qué exposición tiene frente a Internet.
- Qué tan rápido identifica y corrige vulnerabilidades.
- Cómo protege los datos que recibe de sus clientes.
- Qué capacidad tiene para mantener o recuperar el servicio ante una interrupción.
La evaluación debe considerar también la criticidad del proveedor y las consecuencias que tendría una falla en sus servicios. Así, las organizaciones pueden concentrar sus esfuerzos en obtener información realmente útil para tomar decisiones.
Automatizar estos procesos puede ahorrar tiempo, pero Jessica advierte que primero es necesario entender qué se quiere evaluar. Automatizar un cuestionario sin revisar su pertinencia puede ampliar la exposición en lugar de reducirla.
Gobierno de la inteligencia artificial: gestionar sus riesgos sin prohibir su uso
La inteligencia artificial está transformando la manera en que trabajan las organizaciones. Hoy, un colaborador puede compartir información confidencial en una herramienta de IA en cuestión de segundos, incluso sin intención de incumplir una política de seguridad.
Esto plantea un desafío para los equipos de GRC y ciberseguridad: mientras las herramientas avanzan rápidamente, las organizaciones necesitan establecer lineamientos para utilizarlas de manera responsable.
Para Jessica, prohibir la inteligencia artificial no resuelve el problema. La clave está en definir cómo quiere utilizarla la organización y cuáles son los riesgos que está dispuesta a asumir.
Antes de implementar controles, recomienda establecer los objetivos del uso de IA, definir el apetito de riesgo y determinar qué usos están permitidos y cuáles no. Estos lineamientos deben estar acompañados de procesos de concientización para que los colaboradores comprendan cómo utilizar estas tecnologías y qué información pueden compartir.
En este contexto, los estándares también pueden servir como referencia:
- ISO/IEC 42001: establece requisitos para implementar y mejorar un sistema de gestión de inteligencia artificial.
- ISO/IEC 27090: aborda la seguridad de los sistemas de inteligencia artificial.
Ambas referencias pueden contribuir a estructurar el gobierno y la seguridad de estas tecnologías, junto con los controles que cada organización necesita implementar.
Sin embargo, Jessica destaca que el gobierno de la inteligencia artificial no depende únicamente de la velocidad de los avances tecnológicos. También depende de la cultura de la organización y de su capacidad para establecer criterios claros sobre el uso de estas herramientas.
Resiliencia y continuidad del negocio: prepararse para responder ante un ciberataque
Una estrategia de seguridad no debería enfocarse exclusivamente en evitar que ocurran incidentes. También debe considerar qué hará la organización si un ataque consigue superar sus controles.
Jessica explica que la planificación es fundamental para responder ante estas situaciones. No basta con contar con tecnología de protección: los equipos necesitan saber cómo actuar, qué responsabilidades tienen y cuáles son los pasos para recuperar la operación.
En este sentido, es importante articular tres elementos:
Plan de respuesta a incidentes: establece cómo identificar, gestionar y atender un incidente de seguridad, incluyendo las responsabilidades de los equipos involucrados.
Plan de continuidad del negocio (BCP): permite definir cómo mantener las actividades prioritarias cuando ocurre una interrupción.
Plan de recuperación ante desastres (DRP): establece las acciones necesarias para recuperar los sistemas, la infraestructura y los servicios afectados.
Estos planes deben estar relacionados con los procesos críticos identificados mediante el BIA y con los tiempos de recuperación que la organización puede soportar.
La preparación también implica capacitar a los equipos para que sepan cómo actuar durante una contingencia. Cuando ocurre un incidente, los responsables necesitan tomar decisiones bajo presión, mantener la calma y seguir procedimientos previamente definidos.
Pero el trabajo no termina cuando se recupera la operación. Jessica recuerda la importancia de documentar las lecciones aprendidas, revisar qué funcionó, identificar qué debe cambiar y actualizar los procedimientos para mejorar la respuesta ante futuros eventos.
Los indicadores de ciberseguridad que importan a la alta dirección
Comunicar el valor de la seguridad a una junta directiva requiere traducir los aspectos técnicos en información que permita tomar decisiones de negocio.
Para Jessica, dos indicadores ayudan a mostrar la capacidad de respuesta de una organización: el tiempo de detección y el tiempo de recuperación.
El primero permite conocer cuánto tarda la empresa en identificar un ataque o una anomalía que puede afectar sus sistemas y procesos críticos. El segundo permite establecer cuánto tiempo necesita para recuperar los servicios y volver a operar después de una interrupción.
Estos indicadores deben analizarse considerando el impacto que una falla puede generar en términos económicos, reputacionales y legales.
Además, permiten evaluar si los planes y controles implementados están funcionando o si necesitan ajustes. Si una organización no logra recuperarse dentro de los tiempos que había establecido, es necesario revisar sus análisis, sus procedimientos y su conocimiento sobre el propio negocio.
La seguridad necesita hablar el lenguaje de la dirección: explicar qué puede interrumpirse, cuánto tiempo puede soportarse esa interrupción y qué consecuencias tendría para la organización.
La cultura de seguridad empieza por dar visibilidad a los riesgos
Al finalizar la conversación, Jessica comparte una recomendación para los líderes que buscan fortalecer su sistema de gestión de riesgos: darle visibilidad a la gestión y trabajar en la concientización de las personas.
Para lograrlo, no basta con presentar mapas de calor o matrices de riesgos. Es necesario explicar qué significan esos resultados, cómo afectan a la organización y por qué es importante gestionar cada exposición.
También recomienda poner cifras a los riesgos para que las diferentes áreas puedan comprender mejor sus posibles consecuencias y participar en las decisiones.
La gestión de riesgos debe estar presente en los proyectos, las iniciativas y las actividades cotidianas. No puede convertirse en un ejercicio que se realiza únicamente para cumplir con una auditoría o actualizar documentos una vez al año.
Como explica Jessica, las organizaciones trabajan en entornos dinámicos y, por eso, sus riesgos también cambian. Mantener una cultura de seguridad requiere formación, comunicación y participación de las personas que hacen parte del negocio.
La tecnología y los estándares ofrecen herramientas para fortalecer la protección, pero su efectividad depende de cómo se integran en la operación y de qué tan preparada está la organización para utilizarlos.
La seguridad de la información es una responsabilidad compartida y una tarea continua. Conocer el negocio, identificar los riesgos y preparar a las personas permite construir sistemas de gestión que respondan a las amenazas actuales y a los desafíos que traerán nuevas tecnologías.