El Mes de la Concienciación sobre la Ciberseguridad nos recuerda que, para anticiparse a las amenazas, no basta con estar al día en cuanto a tecnología. A medida que la inteligencia artificial (IA) transforma el panorama de las amenazas, conviene analizar con mayor detenimiento cómo medimos nuestra capacidad de respuesta. Y, cada vez más, esa medición se realiza en segundos.
La ciberseguridad está obsesionada con la velocidad. Buscamos una detección más rápida, una investigación más ágil y tiempos de respuesta más breves. Los equipos se enfrentan a una presión constante para identificar las amenazas antes de que se propaguen y para reducir el tiempo que los atacantes permanecen dentro de un entorno.
Esta urgencia tiene su justificación: la IA ofrece a los atacantes nuevas formas de actuar con mayor rapidez y de hacer que sus actividades sean más difíciles de distinguir de un comportamiento legítimo. Sin embargo, este enfoque centrado en la velocidad pasa por alto un componente fundamental de las estrategias de defensa: la recuperación y la restauración. Muchas organizaciones son capaces de detectar un ataque con rapidez —algunas, en menos de 90 segundos—, pero aun así dedican días enteros a gestionar sus consecuencias.
Si un equipo de seguridad identifica una intrusión en 90 segundos, pero no logra restaurar los sistemas afectados ni normalizar las operaciones críticas, la rapidez en la detección pierde su valor. Durante años, los equipos de seguridad han desarrollado capas de prevención y detección cada vez más sofisticadas. Aunque estas inversiones siguen siendo importantes, las organizaciones deben asumir que, tarde o temprano, algo terminará por sortear estas defensas.
Los atacantes pueden emplear la inteligencia artificial para crear campañas de ingeniería social sumamente convincentes y desplazarse por un entorno con una rapidez sin precedentes. Por su parte, los equipos de defensa también pueden utilizar la IA para analizar alertas con mayor celeridad y automatizar parte de las tareas de clasificación y respuesta; sin embargo, esta misma tecnología, que permite a los equipos de seguridad actuar con mayor agilidad, no elimina el riesgo subyacente.
Esto convierte a la confianza en los datos en un componente cada vez más importante de la seguridad. Los equipos necesitan tener la certeza de que la información que utilizan para tomar decisiones es precisa, saber dónde residen los datos críticos y ser capaces de distinguir los sistemas afectados de aquellos que siguen siendo fiables. Cuando se produce un incidente, los equipos necesitan saber qué ha resultado afectado, en qué elementos aún pueden confiar y con qué rapidez es posible restablecer los sistemas críticos.
Una de las mayores carencias que observo en la ciberseguridad es la diferencia entre contar con un plan y tener la certeza de que dicho plan funciona. Muchas organizaciones disponen de procedimientos de respuesta ante incidentes documentados —como rutas de escalado, listas de contactos y procesos técnicos—, pero, en realidad, no son más que una lista de verificación.
Los equipos deben tomar decisiones constantemente a partir de información incompleta, lo que exige una coordinación absoluta. Por ello, es fundamental que las organizaciones realicen simulacros periódicos sobre lo que sucede durante y después de un incidente grave.
Estas pruebas pueden revelar problemas difíciles de detectar sobre el papel. Por ejemplo, un proceso de recuperación podría depender de una persona que no está disponible, o la restauración de un sistema crítico podría llevar mucho más tiempo del previsto. Asimismo, un equipo podría darse cuenta de que no es capaz de determinar qué sistemas se han visto afectados con la rapidez necesaria para tomar una decisión fundamentada. Es mucho mejor identificar estos problemas durante un simulacro que descubrirlos en medio de un ataque real.
Esto también transforma la forma en que las organizaciones deben plantearse el papel de la IA en la ciberseguridad. Automatizar tareas que antes le tomaban una hora a un analista, o identificar una amenaza en segundos en lugar de minutos, resulta valioso; sin embargo, estamos llegando rápidamente a un punto en el que esto debería ser lo habitual al utilizar IA. La cuestión más importante es qué pueden hacer los equipos de seguridad con el tiempo y la información que estas capacidades les proporcionan.
Para adaptarse a los tiempos actuales, los responsables de seguridad deberían plantearse qué permiten hacer a la organización dichas capacidades: ¿proporciona la automatización más tiempo a los analistas para investigar amenazas sofisticadas? ¿Ayuda a los equipos a comprender el alcance de un incidente? ¿Mejora la toma de decisiones cuando hay un ataque en curso?
Son cuestiones más complejas, pero constituyen indicadores más significativos de si la IA está mejorando la seguridad. El objetivo debe ser limitar los daños cuando un atacante logra penetrar en el sistema y ofrecer a la organización una vía clara para retomar sus operaciones habituales.
Hay que prepararse para la situación que nadie desea que ocurra
El Mes de la Concienciación sobre la Ciberseguridad tiene, en última instancia, el objetivo de fomentar mejores hábitos de seguridad. Las organizaciones deben seguir invirtiendo en prevención y detección, pero también han de prestar la misma atención a lo que sucede cuando dichas defensas fallan. Esto implica poner a prueba los procedimientos de respuesta, ensayar escenarios complejos y asegurarse de que los equipos sepan cómo actuar cuando los procesos habituales dejan de funcionar.
*Por Gil Vega, CISO, Veeam Software