Rincón del CISO
El Informe Global sobre Amenazas de CrowdStrike es una investigación integral y fiable que destaca las tendencias clave y los eventos destacados del panorama de amenazas cibernéticas en 2023. El informe proporciona detalles sobre la fusión de CrowdStrike Falcon Intelligence y CrowdStrike Falcon OverWatch para formar CrowdStrike Counter Adversary Operations (CAO), lo que permitió el desarrollo del informe basado en observaciones de primera mano. El resumen destaca que el tiempo medio de propagación de un ciberataque en 2023 fue de 62 minutos, con un aumento significativo en las intrusiones en entornos de nube y la actividad "hands-on-keyboard". Además, se resalta el aumento del 110 % en los ataques orientados a la nube y del 76 % en el número de víctimas mencionadas en sitios específicos de filtración de datos de ciberdelincuencia. El informe subraya que los adversarios continúan utilizando técnicas de phishing y de ingeniería social, así como el aumento del 110 % en los ataques orientados a la nube. También se menciona que los adversarios aprovechan las relaciones de confianza para obtener acceso inicial a las organizaciones y que continúan desarrollando sus ataques orientados a la nube. Además, se destaca el potencial de la IA generativa y las elecciones gubernamentales mundiales de 2024 como motores potenciales de interrupción. El resumen concluye con recomendaciones para proteger los recursos y defenderse de un ecosistema de ciberdelincuencia en constante evolución, priorizando la protección de identidades, plataformas de protección de aplicaciones nativas de la nube, la visibilidad de las áreas críticas del riesgo empresarial, la eficiencia en la detección y respuesta de amenazas, y la creación de una cultura de ciberseguridad. El informe completo está disponible para su descarga en el sitio web de CrowdStrike. En resumen, el Informe Global sobre Amenazas de CrowdStrike proporciona una visión detallada y perspicaz del panorama de amenazas cibernéticas en 2023, destacando las tendencias clave, los eventos relevantes y ofreciendo recomendaciones para protegerse contra las amenazas emergentes. Puedes descargarlo o leerlo rellenando este formulario.
14 Mayo 2024
Rincón del CISO
Las interfaces de programación de aplicaciones (API) se han convertido en un elemento imprescindible para un considerable número de negocios actuales. Su facilidad y dinámica de desarrollo e implantación permiten a las empresas acercar a los clientes sus aplicativos fundamentales con rapidez. Esto les permite implementar su competitividad, dadas las exigencias del mercado, y por tanto generan grandes ingresos y un aumento considerable de demandas por parte de los usuarios. Pero este dinamismo conlleva la generación de un número ingente de API, que en la mayoría de los casos es casi insostenible de mantener, lo que ocasiona graves peligros se seguridad. Las interfaces se sirven vía web a los clientes y a otras aplicaciones, algo que deja abiertos muchos canales de acceso, que acaban convirtiéndose en cebo y víctimas de ciberataques, gracias a su simple accesibilidad. Esta laguna en materia de ciberseguridad ha provocado el reclamo de sus principales proveedores, ya que supone una amenaza, y por tanto un peligro para la información general. Los piratas informáticos consiguen, en muchos casos, obtener accesos no autorizados mediante las propias API y bots que dejan al descubierto importantes detalles personales, e incluso fragilidades o errores del propio software interno de las aplicaciones de empresas. Según el medio SecurityWeek, existen muchos problemas generales actualmente en las API, pero que podrían tener fácil solución si las compañías invirtieran en seguridad tecnológica. Algunos de estos problemas, además de lo mencionado con anterioridad, se acentúan debido a la necesidad empresarial de un mayor número de posibilidades y ofertas. Y como suele ser habitual, a veces más es menos, porque un elevado número de API supone un problema enorme para los desarrolladores a la hora de proporcionar un mantenimiento acorde con lo que se ofrece. Y la seguridad se limita en ocasiones a productos y verificadores genéricos, pero no específicos por API y aplicativo. La banca online, banca móvil y el open banking del sector financiero, por ejemplo, ha visto multiplicado por mil las API disponibles, aunque estos sectores, al tener mucho que perder, no solo económicamente sino también legalmente, han sido los primeros en invertir con seriedad e ímpetu en ciberseguridad. Aunque un problema latente a este respecto es que muchas empresas no priorizan la seguridad, sin entender que debe formar parte de todo el entramado aplicativo. Joshua Goldfarb, arquitecto global de soluciones y CISO, plantea en Darkreading algunas soluciones para impedir que los ciberataques supongan un problema que provoque una nueva crisis global. Algo cada vez más asiduo, para desgracia de la sociedad en general y los inversores en particular: Capacidad de entorno múltiple. La seguridad de la API debe ser multientorno, básicamente porque las propias API se generan y trabajan en un entorno híbrido. Y no sería de recibo garantizar un entorno seguro en la nube, por ejemplo, pero no en las propias instalaciones de las empresas donde se almacena una parte importante del desarrollo de las API. Gestión unificada. Trabajar con soluciones puntuales puede ser un parche válido para problemas concretos, pero administrar la seguridad de las API una plataforma general edificaría un muro más complejo de superar por parte de los criminales cibernéticos. Simplificar la implementación. En la mayor parte de las casos y organizaciones no solo se está perdiendo la cabeza cuando se trata de crear elevados números de API, dada la amplia demanda de usuarios, sino que su complejidad está convirtiendo su defensa como una quimera difícil de alcanzar. Esto provoca inevitables errores humanos de codificación, descuidos, o puntos de acceso no administrados, que solo atraen caos y vulnerabilidades con graves consecuencias empresariales y personales. Realizar análisis precisos y soluciones estándar en el desarrollo de API puede parecer costoso, pero a largo plazo supondrían un beneficio enorme para las compañías con el que sus clientes sentirían que tanto sus bienes como sus datos están protegidos. En muchos casos, el ritmo de trabajo en la creación de las API puede provocar que las mejoras en materia de ciberseguridad aún no hayan alcanzado su cenit. Descubrimiento y corrección de software previo Las API desconocidas o no administradas son un gran problema para las empresas, al igual que aquellas creadas con mucha anterioridad. Pero lo complicado no es solo identificarlas, sino también administrarlas, corregirlas, y adaptarlas a las necesidades de la ciberseguridad. Incluso no se debe descartar sustituir todo el código obsoleto por otro que cumpla con una política de seguridad centralizada. Puertas de enlace API y WAF Las puertas de enlace de API tienen gran utilidad, pero no son capaces de proteger contra ataques complejos, y suponen un gran problema cuando se trabaja en multientorno. Es necesario ampliar su enfoque y estrategia, adaptándolas a una plataforma general de seguridad, como se ha mencionado con anterioridad. A este respecto, los firewalls de aplicaciones web, también conocidas como WAF, no deberían trabajar de forma independiente, sino que deberían forma parte de todo el bloque de ciberseguridad. De este modo, la cobertura de tratamiento de amenazas será más completa, ante unos ataques cada vez más complejos. Inteligencia de amenazas Dado que el ritmo de los atacantes es cada vez mayor, así como su evolución y perfeccionamiento técnico, es imperioso tener una división de inteligencia y prevención de amenazas. Y todo, por supuesto, como una añadida pieza fundamental del bloque uniforme de seguridad. El elemento humano La seguridad de las API no se basa solo en tecnología, ya que el factor humano y la creación de procesos con un equipo de trabajo gestionado por personas adecuadas es primordial. Su conocimiento en todos los ámbitos es una de las piezas clave de la seguridad, ya que no solo debe conocerse la operativas de las API y las aplicaciones que la alimentan, sino cómo opera la seguridad, para crear un entorno API adaptado a ella, para que unido formen un todo. De igual manera, es prioritario abastecer ese conocimiento con una formación y educación adaptada a las necesidades e importancia del trabajo. Daniel García Redactor Jefe y Gestor Web de CyberLideria MGZN
14 Mayo 2024
Rincón del CISO
El término ciberresiliencia se encuentra cada vez más estandarizado e integrado en el diccionario actual del mundo de la ciberseguridad. A pesar de no existir definición propia “oficial” dentro de la RAE, la comunidad tecnológica es conocedora de su significado e importancia a la hora de tratar cualquier mejora o avance en términos de seguridad digital. Entendida como la capacidad de recomposición ante cualquier ciberataque (o intento del mismo), es una de las materias fundamentales para desarrollar una seguridad estable, directa y eficaz contra las amenazas que se abordan a diario. Y cuanto más se depende de una solidad infraestructura digital, mayor es su importancia. Desde el año 2019, los ataques de ramsomware se han visto incrementados en un 1.000%, dado el aumento en la frecuencia y gravedad de los ataques cibernéticos. Gracias a una encuesta a nivel global realizada en 2023 por AON, empresa británica proveedora de servicios de gestión de riesgo, se concluyó a través de casi tres mil responsables en la toma de decisiones que el principal riesgo al que se enfrentan las empresas en la actualidad son los ciberataques y/o las filtraciones de datos. Es decir, cada vez existen más amenazas y equipos de ataque más organizados. Cada vez es mayor el número de empresas que exigen contratar seguros con cláusulas específicas que incluyan compensaciones por daños cibernéticos. Esto refleja la importancia y preocupación que se está otorgando a la ciberseguridad a nivel mundial, y ahí es donde la ciberresiliencia se ha convertido en protagonista. Una visión holística y proactiva, que identifique, evalúe y mitigue riesgos, es parte del entramado de seguridad general, de cara a preparar respuestas efectivas y recuperarse cuanto antes de los ataques. Las claves más relevantes a tener en cuenta son las siguientes: Identificación y Detección Recopilar y examinar todos los datos existentes, que ayuden a crear concisas y amplias informaciones de ciberseguridad, debería ocupar el primer puesto de prioridades en una empresa. Aunque pueda resultar demasiado exigente, sin una buena seguridad es casi imposible garantizar beneficios, a largo y corto plazo, en la fotografía empresarial de la actualidad. Hay que comprender que cuanto más próspera es una economía (de una empresa o localización) y mayor es su tasa de digitalización, toda atención y actuación de cibercriminales será exponencialmente igualada. Mitigación Las organizaciones tienen que darle una significación transparente, sin barreras, a sus pruebas y actualizaciones, garantizando además una continuidad que permita cuidar con solvencia la salud de su ciberseguridad. La creación de planes de contingencia para recuperarse de un ataque, así como ejecutarlos con eficacia y eficiencia, pueden ser determinantes para la vida de una empresa. Renovarse con asiduidad, con herramientas, procedimientos y operaciones comerciales acordes a todo lo anterior, será fundamental para asentar los cimientos de una buena ciberresiliencia. Igualmente, habrá que diseñar estrategias y controles de seguridad específicos para suavizar o eliminar cualquier impacto que los ataques cibernéticos provoquen o puedan provocar. Sobre todo, si estos se enfocan dentro de alguna infraestructura determinante. Son muy importantes los análisis de escenarios y rutas de ataque, dentro de una buena estrategia de seguridad, máxime cuando la opacidad de las amenazas son un componente mayor dentro de su naturaleza. La capacidad de reacción y actuación de las empresas en el ámbito de la seguridad habla por sí sola de su propia credibilidad. Respuesta y recuperación Cuando las organizaciones hacen gala de una buena dinámica y coordinación ante un problema cibernético, la ciberresiliencia incrementa y acelera sus propósitos. No solo hay que crear una amplia gama de herramientas defensivas, sino también garantizar su constante rendimiento, lo que ayudará a obtener un mayor número de respuestas y más efectivas. Las empresas no solo corren el riesgo de incurrir en pérdidas financieras, ocasionadas por penalizaciones, gastos de responsabilidad o atracos digitales, sino también de ver perjudicada su reputación como organización, un factor indispensable dentro de la visión global que ofrece, tanto a nivel interno como externo. Y esto, actualmente, puede provocar consecuencias fatales e irreversibles. En conclusión, dentro del vigente entorno macroeconómico, invertir y proporcionar presupuestos acordes a lo que exige la presente problemática cibercriminal, puede llegar a ser una quimera. Pero no debería suponer un impedimento, ya que el crecimiento de las empresas, así como la garantía de su supervivencia, depende casi en su totalidad de la importancia que se otorgue a la ciberseguridad. Aunque es digno de mención que cada vez se destina más capital a la seguridad tecnológica, dado que también es cada vez mayor la infraestructura digital empresarial, es vital para su digno funcionamiento que todo esté centralizado con el imprescindible asesoramiento de un comité de expertos. Estos no solo deben ubicarse dentro de su propia logística, también prima que conozcan cómo funciona la empresa que protegen, para una precisa ubicación de escudos de seguridad. El ransomware, las violaciones de datos, y todos los cibercrímenes poseen infraestructuras, logísticas, y objetivos cada vez mayores como para subestimar su capacidad de daño. Contrarrestar su riesgo y prevenirlo en el futuro está cobrando gran relevancia, lo cual es un dato más que positivo, que aumentará cuando el compromiso de las empresas reciba una importancia adecuada a las circunstancias. Si aumenta la necesidad de infraestructura digital, mayor será la fuerza de la ciberresiliencia. Fuente: darkreading.com Daniel García Redactor Jefe y Gestor Web de CyberLideria MGZN
14 Mayo 2024
Rincón del CISO
Hace muchos años que la Inteligencia Artificial dejó de ser una ficción, para convertirse en una grata realidad. Atrás queda ya el terrorífico HAL 9000 de la obra maestra de Stanley Kubrick, 2001: Odisea del espacio, cuya IA evolucionaba de tal manera que era capaz de urdir ataques contra la vida humana para defenderse y salvaguardar su misión. Escepticismos aparte, es un hecho que la IA se ha convertido en una parte imprescindible del día a día para la raza humana. Y prueba de ello son los diagnósticos médicos con los que ayudan al tratamiento de pacientes en el mundo de la medicina, la detección de operaciones peligrosas que alertan de un posible fraude financiero, o hasta las predicciones que realizan para conocer, incluso antes que nosotros mismos, la próxima serie que vamos ver. Aunque sin lugar a dudas, uno de los mayores y más significativos impactos tiene lugar en el mundo de la ciberseguridad. Su capacidad para predecir amenazas, aprendiendo y analizando su comportamiento, sus víctimas, ubicaciones e incluso sus casi imperceptibles errores, han convertido a la IA no solo en una herramienta fundamental que defiende incluso a países enteros, sino también en un escudo virtual sin el que no puede entenderse hoy en día la ciberseguridad. Algo tan general y cotidiano como la detección de spam tiene detrás a una IA. Y eso es solo la punta del iceberg de posibilidades que ofrece y garantiza, porque en la actualidad cualquier activo digital está protegido por esta entidad (porque llamarla herramienta casi podría ser considerado hasta ofensivo, dadas sus capacidades y protagonismo diario). Quizás lo único negativo de que tenga la IA sea el propio ser humano, con sus miedos e impedimentos a la hora de ceder el testigo a algo que evoluciona y aprende millones de veces más rápido. Las regulaciones gubernamentales, controles jurídicos y otros sistemas legales, quizás estén limitando lo ilimitado. Y esto, solo favorece a los atacantes… Por eso, la evolución de la IA en materias de ciberseguridad ha sido casi siempre proporcional al de los peligros, lo que ha generado grandes e importantes consecuencias en la defensa contra los ataques del futuro. La IA en la ciberseguridad: primera etapa (2000-2010) El nuevo milenio lo cambió todo, tanto en el ámbito profesional como en el personal. Aunque ya queda un poco lejano, lo cierto es que las ganas de llegar al futuro abrieron un abanico de expectativas, deseos y temores que fueron introduciéndose en la memoria humana como avispas en un avispero. Siempre en movimiento, con incertidumbre, y al acecho. De pronto, la humanidad descubrió que todavía los coches iban a tardar en volar y viajar en el tiempo, aunque se plantó ante nosotros la era moderna de la transformación digital. Los ordenadores de sobremesa, portátiles y centros locales gozaban de una confianza casi completa por parte de las grandes y pequeñas empresas. Por eso, en aquel momento, el foco de atención de los ciberataques consistió en generar caos y ser primera plana. Los malware ILOVEYOU, Melissa y MyDoom tuvieron un alcance global; las intermitentes crisis mundiales y la necesidad urgente de añadir ceros a las diáfanas cuentas bancarias provocaron la erupción masiva del phishing, o la creación del troyano bancario Zeus. Las medidas de seguridad eran muy básicas, y casi en su totalidad se basaban en firewalls o software antivirus, aunque también apareció la fundamental autenticación de dos factores (2FA), que es tan molesta como necesaria para proteger cualquier activo, ya sea económico como digital. El correo spam tuvo su momento de apogeo y gloria, hasta que llegó la IA para frenarlo en seco. O al menos para detectarlo y evitar sustos y problemas innecesarios y evitables. La IA demostró que era capaz de identificar este tipo de correos y ponerlos en cuarentena, lo que redujo los riesgos de ataque y mejoró la actividad habitual en el trabajo o la vida personal. Esto fue solo una “pequeña” muestra del potencial de la IA para combatir los ataques cibernéticos. Y era solo el comienzo, porque algo mayor estaba a punto de mostrarse… La IA en la ciberseguridad: segunda etapa (2010-2020) Al igual que los años iban pasando, la tecnología avanzaba a cada segundo. Las infraestructuras y las metodologías de trabajo cambiaron por completo, gracias a aplicaciones SaaS, la programación y almacenamiento de software en la nube, o la posibilidad de trabajar con tu propio dispositivo, tanto en los centros laborales como de estudio. Pero en el mundo de la ciberseguridad es sabido que un progreso o añadido, tanto tecnológico como digital, trae consigo siempre una nueva amenaza. Al igual que la leona sabe que su cachorro recién nacido atraerá depredadores, un CISO es conscientes de que la aparición en el mercado de nuevos productos, servicios o posibilidades tecnológicas, conllevará la aparición de múltiples y novedosos riesgos. La complejidad de los peligros marcó esta fase, tales como el gusano Stuxnet, o las notorias violaciones de privacidad en grandes empresas como Target, Sony Pictures o SolarWinds, que conmocionaron y llenaron el mundo de titulares. Hubo una escalada de ataques de ransomware (secuestro de datos) y wiper (destrucción y daño de información de un sistema informático), lo que enfatizó la necesidad de un progreso urgente y masivo en las ciberdefensas. Y fue en este momento cuando la IA se convirtió en un elemento fundamental de la ciberseguridad, sustituyendo a los limitados antivirus, gracias a su portentosa capacidad de aprendizaje, detección de anomalías, análisis de conducta y predicciones, entre otras capacidades. La IA en la ciberseguridad: tercera etapa (2020-presente) En este momento el papel de la IA en el ámbito de la ciberseguridad está experimentando otra gran transformación, casi revolucionaria, podría decirse. Es un elemento de trabajo que no entiende de horarios, lugares o esfuerzos, que evoluciona de manera constante, con sistemas de TI hiperconectados, lo que amplifica aún más sus cualidades a la hora de crear una defensa contra un riesgo y de atacarlo. Pero al igual que algunos cibercriminales han acabado trabajando para los gobiernos sobre los que antes apuntaban, la IA está al alcance de víctimas y agresores. Por ejemplo, mientras la herramienta ChatGPT se creó para evitar el uso delictivo de la IA, con posterioridad nació WormGPT, para ayudar al infractor cibernético. Por ello, actualmente el mundo de la ciberseguridad afronta continuos retos y pruebas sin parangón. Y aunque no puede evolucionar al mismo ritmo que una IA, sí es posible que las organizaciones dejen que marque el ritmo, máxime cuando las complejidades en materia de ciberseguridad son mayores a cada momento que pasa. Fuente: Darkreading.com Daniel García Redactor Jefe y Gestor Web de CyberLideria MGZN
14 Mayo 2024
Rincón del CISO
Siempre me han apasionado las piezas de lego, los números, las comunicaciones móviles, el universo, etc. Cuando iba a entrar en preescolar me hicieron una prueba de habilidad cognitiva, teniendo que crear una figura geométrica con bloques de plástico. Me agarré al cuello de mi padre sin querer mirar las piezas, y cuando la profesora le indicó a mis padres que no iba a ser capaz de hacerlo, casi sin mirar construí a la perfección en cuestión de segundos la figura que me habían pedido, y volví de nuevo a los brazos de mi padre, quien también es Ingeniero de Telecomunicación. En casa teníamos disponible la última tecnología, en el viaje de fin de curso en 3º de BUP era la única que llevaba teléfono móvil (lo de móvil era relativo!). Entrar en la universidad supuso un hito importante en mi vida, ¡primer suspenso a los 18 años! Fue en Física I, un duro golpe de realidad, el cual no hizo más que reafirmar mi interés por ser Ingeniera, acabando la carrera en los 5 años establecidos compaginando el trabajo con los estudios. Durante el tiempo de universidad siempre estuve dando clases particulares a niños y niñas de EGB, BUP y COU, representé a grandes operadoras de telefonía móvil en eventos como SIMO, Expo-Ocio, etc. hasta comenzar a trabajar formalmente como Ingeniera. Mis comienzos en el ámbito profesional fueron emocionantes en Indra, como el Diseño e Implementación del Sistema TETRA (TErrestrial Trunked RAdio) en el Aeropuerto de Madrid Barajas, cuando todavía la T4 estaba en construcción. Pronto llegaron los proyectos internacionales, como el Sistema de Comunicaciones en el Puerto de Damietta, donde tuve que rellenar en el idioma local la solicitud del uso del espectro radioeléctrico, ¡toda una experiencia! En menos de dos años me ascendieron a Líder Técnico, siendo responsable de Proyectos de Comunicaciones para los Cuerpos de Seguridad y Emergencia del Estado (Policía, Guardia Civil, Bomberos, etc), así como otros proyectos relevantes tanto a Entidades Públicas como Privadas. En paralelo comencé a trabajar como Revisora Experta Independiente para la Comisión Europea, siguiendo trabajando en Indra cambiando de rol a Gerente Senior de Proyecto, hasta que me ofrecieron la posibilidad de enfrentarme a nuevos retos desde otra compañía, Vodafone Grupo. Una experiencia increíble, primero gestionando Proyectos Globales de Comunicaciones a nuestros Clientes Internacionales, liderando después el Equipo de Operaciones y Soporte de Servicio en el área de IoT (Internet of Things - Internet de las Cosas) a Nivel Global. Tenía a mi equipo distribuido en Europa, Oriente Medio y Estados Unidos, lo que me permitió conocer lo que significaba ser manager de personas de diferentes culturas, religiones, perfiles, etc. En esta última etapa de Vodafone fue cuando me quedé embarazada, y estuve felizmente trabajando hasta la noche antes de dar a luz (evento de lanzamiento masivo de 5G en el recinto ferial Juan Carlos I). Héctor se adelantó varias semanas, ¡todo un ejemplo de la velocidad que traía el 5G! Mi baja maternal duró más de lo esperado, llegó el COVID, cuando mi pequeño sólo tenía unos meses de vida…las circunstancias me hicieron valorar más aún si cabe lo que tenemos, lo que nos motiva, y lo importante que es siempre no perder la esperanza y mantener la ilusión…valores que encajaban perfectamente en la cultura de Google, gran compañía a la que me uní hace más de 3 años y donde sigo apasionada, dando servicio a nuestros clientes gestionando equipos internacionales en distintos roles, dentro del ámbito de la tecnología y focalizados en Inteligencia Artificial. Disfruto dedicando parte de mi tiempo a iniciativas tan importantes como I Am Remarkable, de la cual soy facilitadora, fomentando especialmente a los grupos minoritarios a que celebren y compartan sus logros. También soy líder en Women@Google, red global comprometida con empoderar a todas las mujeres conectando, desarrollando y reteniendo el talento femenino. Quiero animar a todas las niñas y mujeres a que sigan sus sueños, sin importar los obstáculos que se presenten en su camino. La tecnología es un mundo apasionante y lleno de posibilidades, y las mujeres podemos contribuir de forma decisiva a su desarrollo. Cuando la vida me plantea retos por delante y dudo sobre si podré hacerlo, recuerdo que sí, soy capaz de crear una figura geométrica con bloques de plástico casi sin mirar…¡y tú también! ¡Feliz de ser STEM! Noelia Esteban Nicolás Head of Consulting Sales Specialist at Google
14 Mayo 2024
Rincón del CISO
Ya está cerca la transposición española de la NIS-2, para la que el gobierno tiene de plazo máximo hasta el 17 de octubre de este año. Dado que fue publicada en diciembre de 2022, y es una ampliación de la NIS de septiembre del 2018, las empresas afectadas ya hace tiempo que se han preparado para la misma. También, las empresas que cotizan en Estados Unidos deben seguir las recomendaciones de la SEC, publicadas en febrero del 2018 en la guía "Commission Statement and Guidance on Public Company Cybersecurity Disclosures". Dada la responsabilidad para el Gobierno Corporativo en ambos casos, los Consejos de Administración ejercen de manera efectiva su labor de supervisión de los riesgos derivados de la ciberseguridad. Típicamente lo hacen a través de una Comisión de Riesgos Digitales, o de una comisión más amplia de Riesgo, o de Riesgo y Auditoría, a la que suelen reportar los CISOs y en cuyas reuniones suelen participar. Más recientemente, el pasado 13 de marzo, ha sido publicada la Ley Europea de la Inteligencia Artificial, que otorga dos años de gracia a las empresas para su adaptación a la misma, y establece una serie de limitaciones y regulaciones para su uso, a la vista de los riesgos que pueden suponer, cuyo control requiere la adopción por parte de las empresas de una estrategia de gobernanza de la IA desde el órgano de Gobierno, lo mismo que para la ciberseguridad. Una estrategia que debe considerar tanto los riesgos para el negocio derivados de la IA, su identificación, mitigación, monitorización y supervisión, como el cumplimiento estricto con la legislación en materia de protección de datos personales. Se deben adoptar medidas partiendo de los procesos de gestión de riesgo existentes, incluyendo análisis de riesgo, protección de datos, due-diligence de suministradores y auditorías. Lo que tiene mucho en común con la metodología y procesos de gobierno de la ciberseguridad. Por otra parte, la IA es en sí misma un sistema de procesamiento de la información, la gestión de cuyos riesgos asociados es competencia del CISO. Algunos artículos de la Harvard Law School, y de consultoras en materia de riesgo, hablan de las ventajas de integrar la gobernanza de estas dos tecnologías en una única comisión dependiente del consejo de Administración. Estas ventajas incluyen la mejora en la capacidad del análisis de riesgos, respuesta a incidentes y mitigación, evitando duplicidades y conflictos entre otros. El Gobierno de la ciberseguridad y su reporte al Consejo ya constituye un reto descomunal para los CISOs. Me pregunto ¿qué sucederá cuando añadamos a esto la IA? ¿Deberá el CISO asumir también ciertas responsabilidades en el Gobierno de la IA? ¿Cómo debe articularse la gobernanza de cada uno de estos dos dominios y su intersección? Dejo estas preguntas sin respuestas por mi parte, para vuestros comentarios, y quizás volvamos sobre ellas en un próximo artículo. Juanjo Martínez Pagán Asesor de CISOS y Startups de Ciberseguridad. Fundador de ThousandGuard
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
