Rincón del CISO
Amelia Torres, CISO de PreZero entrevista a Paco Gimeno, un consultor versátil y visionario con una sólida trayectoria ejecutiva, especializado en transformación digital, ciberseguridad y soluciones impulsadas por inteligencia artificial (IA). Su carrera profesional ha evolucionado desde roles de alto nivel como CIO en grandes empresas, hasta convertirse en un asesor senior con un profundo entendimiento de la seguridad digital y las aplicaciones de IA. A lo largo de su carrera, Paco ha demostrado una habilidad excepcional para navegar en la intersección entre tecnología y negocios, convirtiendo desafíos complejos en estrategias innovadoras y sostenibles. Actualmente, Paco combina su profundo conocimiento de la industria con una comprensión profunda de las medidas de ciberseguridad y las aplicaciones de IA, ayudando a las organizaciones a avanzar hacia futuros innovadores, seguros y sostenibles. Amelia Torres: Para empezar, Paco, cuéntanos cómo un CIO con amplias responsabilidades corporativas ha llegado a ser un experto en inteligencia artificial. Paco Gimeno: Mi trayectoria como CIO me permitió estar en la primera línea de la transformación digital, donde la adopción de nuevas tecnologías era crucial. Entendí el enorme potencial de la inteligencia artificial para resolver problemas complejos y mejorar la eficiencia operativa. Esto me ha llevado a especializarme en IA generativa, combinando mi experiencia en gestión de TI con un enfoque práctico en la aplicación de soluciones de IA en ciberseguridad y otros campos. La formación constante y la colaboración con expertos en la materia han sido clave en mi evolución profesional. A.T.: ¿Cómo está revolucionando la inteligencia artificial (IA) el campo de la ciberseguridad hoy en día? P.G.: La IA está permitiendo a las empresas detectar y responder a las amenazas de manera mucho más rápida y precisa. Utilizando algoritmos avanzados de ‘machine learning’, la IA puede analizar grandes volúmenes de datos en tiempo real, identificar patrones sospechosos y alertar sobre posibles ataques antes de que ocurran. Además, va aprendiendo. Esto mejora significativamente la eficiencia y efectividad de las defensas contra ciberataques. A.T.: ¿Podrías darnos algunos ejemplos específicos de aplicaciones de IA en ciberseguridad que las empresas están utilizando actualmente? P.G.: Un ejemplo destacado es el uso de IA en sistemas de detección y respuesta ante amenazas que monitorizan continuamente los “endpoints” para detectar comportamientos anómalos (EDR). Otro ejemplo crucial es el uso de IA en sistemas de gestión de información y eventos de seguridad (SIEM), que la mayoría de las empresas ya tiene. Estos sistemas recopilan y analizan datos de múltiples fuentes para detectar y responder a incidentes de seguridad. También vemos que la IA se utiliza para detectar y bloquear intentos de fraude en tiempo real mediante el análisis de datos. A.T.: Pero hay otra cara de esta moneda. ¿Puede la IA ser utilizada por los ciber-delincuentes para incrementar la precisión y la sofisticación de sus ataques? P.G.: Pues sí, buena pregunta. En efecto “los malos” están utilizando IA para desarrollar malware más sofisticado y difícil de detectar, así como para lanzar ataques más precisos y dirigidos. Herramientas impulsadas por IA pueden analizar grandes cantidades de datos sobre los objetivos para personalizar los ataques de phishing, por ejemplo, lo que aumenta las probabilidades de éxito. Esta capacidad de la IA para amplificar la efectividad de los ataques representa un desafío significativo para todo nosotros, y muy especialmente para los equipos de ciberseguridad. A.T.: Ante estos desafíos, ¿Qué acciones pueden tomar las empresas para asegurar que sus sistemas de IA en ciberseguridad no sean vulnerables a ataques? P.G.: A ver, es importante reconocer que ningún sistema es completamente invulnerable, pero se pueden tomar medidas para minimizar las vulnerabilidades. En esa línea se deben implementar controles de seguridad rigurosos en todas las etapas de desarrollo y despliegue de sus sistemas de IA. Esto incluye validar y limpiar exhaustivamente los datos de entrenamiento para evitar errores, manipulaciones y sesgos, usar mecanismos avanzados de detección de anomalías en tiempo real y realizar pruebas regularmente para identificar y corregir posibles vulnerabilidades. Además, es esencial tener protocolos claros de respuesta a incidentes específicos para sistemas de IA, garantizando que cualquier intento de ataque pueda ser detectado y mitigado rápidamente. La clave es mantener una postura de seguridad activa y en constante evolución. A.T.: En este contexto de constante evolución, ¿cómo pueden las organizaciones equilibrar la eficiencia y la seguridad cuando implementan soluciones de IA? P.G.: Pues ya hemos comentado que las organizaciones deben adoptar un enfoque de seguridad por diseño, integrando consideraciones de seguridad desde las primeras etapas del desarrollo de soluciones de IA. Esto incluye realizar evaluaciones de riesgos, implementar medidas de cifrado y autenticación robusta, y asegurarse de que los equipos de ciberseguridad trabajen en estrecha colaboración con los desarrolladores de IA. También es importante mantenerse al día con las mejores prácticas y estándares de la industria (como NIST o ISO). A.T.: Ya tenemos el incidente, se genera tensión. ¿Cómo ayuda la IA a los responsables de ciberseguridad a gestionar estos momentos críticos? P.G.: La IA puede aliviar parte de la presión sobre los responsables de ciberseguridad al automatizar tareas repetitivas y al proporcionar análisis precisos y rápidos de amenazas. Esto permite a los profesionales concentrarse en tomar decisiones estratégicas y gestionar incidentes críticos. Al reducir la carga de trabajo manual y aumentar la precisión en la detección de amenazas, la IA no solo mejora la eficiencia operativa, sino que también contribuye a reducir el estrés y la presión sobre los equipos de ciberseguridad. A.T.: Ahora vamos a hablar de inversiones. ¿Qué impacto tiene la necesidad de invertir continuamente en ciberseguridad y IA en la percepción de eficiencia dentro de las empresas? P.G.: Entiendo que la necesidad de invertir continuamente en ciberseguridad y IA puede generar dudas sobre la eficiencia de estas inversiones. Sin embargo, es importante entender que estas inversiones son vitales para proteger los activos de la empresa y garantizar la continuidad del negocio. Comunicar claramente los beneficios y el retorno de inversión de estas tecnologías, así como demostrar su impacto positivo en la prevención de incidentes, puede ayudar a alinear la percepción con la realidad. Y hay que añadir algo obvio, que “los malos” sí invierten mucho, lo que nos obliga la mejora continua, no nos podemos quedar parados, no podemos dejar de invertir. A.T.: Y hablando de nuevo de los atacantes y del uso que hacen de la IA, ¿Cómo pueden las organizaciones prepararse mejor para enfrentar estos ciberataques? P.G.: Las organizaciones deben invertir en capacitación continua para su personal de ciberseguridad, asegurándose de que estén familiarizados con las últimas tendencias y herramientas de IA utilizadas por los atacantes. Además, es esencial implementar una estrategia de defensa seria y robusta, que incluya múltiples capas de seguridad, y realizar simulaciones de ataques para probar y mejorar la capacidad de respuesta ante incidentes. Colaborar con otras organizaciones y compartir información sobre amenazas también es clave. ¡Aprovecho para destacar vuestro enfoque facilitador y vuestro fabuloso rol en este sentido, gracias! A.T.: En términos de gestión de riesgos, ¿qué papel juega la IA en mejorar esta área dentro de las empresas? P.G.: La IA permite una gestión de riesgos más proactiva y eficiente. Al analizar grandes volúmenes de datos en tiempo real, la IA puede identificar vulnerabilidades y amenazas emergentes, permitiendo a las empresas tomar medidas preventivas antes de que ocurra un ataque. Esto no solo reduce el riesgo de incidentes de seguridad, sino que también mejora la capacidad de respuesta y recuperación en caso de un ataque. A.T.: Finalmente, ¿cómo ves el futuro de la IA en el ámbito de la ciberseguridad y qué oportunidades y desafíos anticipas? P.G.: El futuro de la IA en ciberseguridad es prometedor, con el potencial de transformar la forma en que las organizaciones se protegen contra las amenazas. Veremos avances significativos en la automatización de la detección y respuesta a incidentes, así como en la capacidad de predecir y prevenir ataques antes de que ocurran. Sin embargo, también será crucial abordar los desafíos asociados con la ética, la privacidad y la transparencia para asegurar que estas tecnologías se utilicen de manera responsable y efectiva. A.T.: Cambiando un poco de enfoque, ¿cómo impacta la implementación de IA en el bienestar y la motivación de los equipos de ciberseguridad? P.G.: La IA puede y debe tener un impacto positivo en el bienestar y la motivación de los equipos de ciberseguridad. Como ya hemos dicho, al automatizar tareas rutinarias y repetitivas, la IA libera tiempo para que los profesionales se enfoquen en actividades más estratégicas y desafiantes, lo cual puede ser motivador. Además, contar con herramientas avanzadas de IA que les ayuden a detectar y responder a amenazas de manera más eficaz puede reducir el estrés asociado con la gestión de incidentes críticos. A.T.: Casi la última…, ¿qué consejo darías a los responsables de ciberseguridad que están considerando implementar IA en sus sistemas de defensa? P.G.: Mi consejo sería que adopten un enfoque proactivo y divulgativo. Es fundamental comprender bien cómo funciona la IA y qué beneficios puede aportar a sus sistemas de defensa. También es importante colaborar estrechamente con los equipos de TI para asegurar que las soluciones de IA se integren de manera segura y efectiva. Finalmente, invertir en la capacitación continua de los equipos para que puedan aprovechar al máximo las herramientas de IA y mantenerse actualizados sobre las últimas tendencias y amenazas. A.T.: La penúltima! . Paco, fuera del trabajo, ¿qué hobbies tienes y cómo crees que estos influyen en tu enfoque hacia la tranquilidad que transmites? P.G.: En mi tiempo libre, disfruto navegando, montando en moto y haciendo senderismo. También me gusta aprender, estudio bastante, porque me gusta. Y lo que más, pasar tiempo con mi familia; eso me recuerda la importancia del equilibrio entre el trabajo y la vida personal, lo cual es fundamental para mantenerme motivado y enfocado en mi trabajo. Estas actividades no solo me ayudan a relajarme, sino que también limpian de alguna forma mi mente, lo que me permite abordar los desafíos con esa tranquilidad que mencionas. A.T.: Paco, en un día normal, ¿cuántos cafés necesitas para mantenerte alerta mientras gestionas todo esto? P.G.: (Risas) ¡Con un par de ellos por la mañana me vale! Pero en serio, trato de mantener un equilibrio. Un buen café por la mañana definitivamente ayuda a empezar el día con energía, pero también confío en mantenerme activo y en hacer pausas para despejar la mente. Al final del día, mantenerse alerta es más una cuestión de pasión por lo que hago y menos de cafeína.
17 Junio 2024
Sin categoría
David Moreno del Cerro, CISO y CTO de Tendam entrevista a Mariló Montero, Periodista y Comunicadora. David Moreno: Desde tu experiencia, ¿cómo crees que el ciudadano promedio percibe la ciberseguridad y los riesgos asociados? Mariló Montero: Es relevante que destaque en su pregunta “el ciudadano promedio” puesto que la mayoría de las grandes empresas sí siguen al pie de la letra las advertencias ante la evolución de las tecnologías. El pasado 26 de mayo, por ejemplo, hemos conocido que el diario digital El Confidencial sufrió un ataque informático inédito destinado a modificar su portada. Ellos mismos lo publicaron contando los detalles de los ataques que se fueron recrudeciendo mediante técnicas de hacking que en resumidas cuentas trataban de manipular consultas de su base de datos, de atacantes que intentan acceder ilegalmente a su gestor de contenidos, que como hicieron público, es la herramienta que utilizan los periodistas para escribir y publicar sus noticias. Por fortuna tomaron medidas de contención y reforzaron su seguridad. Como dijo el periodista Vicente Vallés al ser nombrado Doctor Honoris Causa por la VIU: “El verdadero objetivo del periodismo es salvaguardar el derecho democrático de los ciudadanos a conocer la verdad”. Por ello, los medios de comunicación deben incrementar su alerta ante quienes quieran callarlos. Pongo este ejemplo porque, en efecto, las grandes empresas que manejan nuestra economía, nuestra justicia, nuestra salud, nuestra seguridad… o simplemente, la iluminación y el funcionamiento mecánico de una ciudad sí deben estar reforzando sus sistemas de seguridad ante ataques que generarían casos en el negocio o nuestra vida. Otra cosa es que “el ciudadano promedio” aún pueda tomarse la ciberseguridad como si fuera un asunto flipante en una serie de Netflix. D.M.: ¿Qué mitos o conceptos erróneos has notado que la gente suele tener sobre la ciberseguridad? M.M.: Puede que en ello influya la edad del ciudadano. Los más mayores, quienes venimos de la era analógica, podemos caer en el error de que estas novedades nos llegan tarde para manejarlas y que son los más jóvenes quienes deben dominarlas. Recuerdo que cuando estudiaba el máster en el IESE nos hablaron de la “nube” donde podías almacenar toda tu información. Nos explicaban sus bondades a las que yo renegaba. Han pasado diez años y es ahora cuando confío en ella, quizá porque no me haya queda más remedio. El caso es que ahora veo la seguridad de mantener a salvo los archivos. Me temo que la Inteligencia Artificial, en general, se toma como un avance para el entretenimiento: con ella hay gente que se divierte haciendo canciones, ordenándole que escriba textos o suplantando identidades. Pero la IA tiene grandes peligros, de hecho, va más rápido que las leyes necesarias para controlarla. Europa aún no la ha acabado y hay riesgos fundamentales porque cuando se hace mal uso de ella se daña la confianza en la información y es más difícil tomar decisiones basadas en hechos reales. Los empresarios además de asumir su responsabilidad tienen que preparar a sus empleados para que ellos sean también conscientes de que son piezas clave para mantener la seguridad de la empresa. Ojo, grandes y pequeñas. Las que pueden sentirse excluidas del interés de los hackers, son las más vulnerables frente a los piratas por la falta de recursos y prácticas de seguridad. Por ejemplo, se debe convencer a los ciudadanos de la importancia de tener una contraseña larga y con caracteres complejos: eso, nos advierten, es muy recomendable. D.M.: Impacto de la ciberseguridad en la vida diaria: ¿Puedes compartir alguna historia o reportaje que hayas realizado sobre cómo la ciberseguridad (o la falta de ella) ha afectado a individuos o comunidades? M.M.: Mientras viví en Nueva York, me llamaron del banco en España, para preguntarme si estaba comprando dos trajes de caballero en Milán, Italia. Les respondí que no, que yo estaba en EEUU. A los pocos días volvieron a hacerlo para saber si estaba comprando discos en Brooklyn mientras yo estaba en Manhattan. Afortunadamente el banco tiene unos sistemas de seguridad y de alerta para evitar este tipo de robos. Y han evolucionado mucho porque de esto han pasado ya siete años. Según datos oficiales en 2023 se han cometido en España casi 375.000 ciberdelitos. Y siguen creciendo con el añadido de que” los malos” , los delincuentes, bloquean tus archivos con el ransomware para pedirte rescate y monetizar el ataque. Pero sí, hay que recordar los ataques contra el Ayuntamiento de Sevilla, por los miles de ciudadanos afectados y por lo sensible de los datos sustraídos, el Hospital Clinic, de Barcelona, el ayuntamiento de Vizcaya recuerdo que se quedó en jaque que afectó a más de cien consistorios, a Telepizza un ataque de ransomware le pidió un rescate de datos por valor de medio millón de euros, y no cedieron ante los delincuentes. Recuerda el ataque a los servidores de la agencia Tributaria… en fin, hasta la Aemet se quedó suspendida temporalmente. D.M.: ¿Cómo consideras que las violaciones de datos personales afectan a la confianza del público en las instituciones y empresas? M.M.: Esto sí que es inmediato. Cuando se conoce que se han filtrado tus datos se pierde la confianza de manera muy significativa: imagínese si hablamos de las acciones en la bolsa cómo se daña la reputación de la marca. En este caso me estoy acordando de las acciones de Yahoo: ¿lo recuerda? Se filtraron datos en 2013, más de 3000 millones de cuentas de usuarios se quedaron desprotegidas, eran informaciones confidenciales, como contraseñas, correos electrónicos… y fíjese en la reacción catastrófica de sus acciones D.M.: La ciberseguridad y el periodismo: ¿Cómo afecta la ciberseguridad a tu trabajo como periodista y a la industria del periodismo en general? M.M,: El escenario es realmente preocupante. Los periodistas debemos redoblar nuestro rigor y se producen muchos casos donde recibes por las redes sociales, incluso por los mensajes de los teléfonos móviles, miles de temas que tenemos que responder diciéndoles a quienes nos los envían que son fakes. Un fake no es una cuestión para divertirse. Un fake puede nacer de una ocurrencia de alguien que lo convierte en un meme para ironizar sobre una situación política, por ejemplo, y que éste derive en un intento de notica que se viraliza haciendo mucho daño al objeto de origen y en consecuencia a la democracia. Ahora casi todo el mundo tiene en su mano la posibilidad de crear contenidos, pero eso no es información. Lo recomendable es seguir creyendo que la buena información sigue bebiéndose de los diarios de referencia y periodistas de alta credibilidad. Además de informar contrastando cada uno de los temas que se investigan hay que ir quitando los contaminantes que distraen de la verdad. Distinguir entre información y distracción. Si hablamos de ciberseguridad empresarial, si las televisiones deben estar protegidísimas para que no lleven las televisiones, emisoras de radio, diarios a negro. Ya hemos hecho referencia al principio de nuestra conversación sobre el último ataque a El Confidencial que supieron resolver porque estaban bien protegidos. En los últimos años se está produciendo un preocupante aumento de ataques al periodismo. D.M.: ¿Ha habido alguna ocasión en la que hayas tenido que tomar medidas especiales para proteger tus fuentes o información sensible? M.M.: Siéndole sincera no me he visto en una situación de peligro puesto que no me dedico a la investigación periodística. Pero, cuando mis hijos eran muy pequeños y ya empezaban a utilizar el ordenador para realizar los ejercicios de clase, sí me vi obligada a instalar un corta fuegos para que no le entrasen páginas no deseadas a su lugar de estudio. Pero, no, no manejo información confidencial. D.M.: Educación y prevención: ¿Qué consejos de ciberseguridad crees que son esenciales para que el público general esté seguro en línea? M.M.: La información hay que acercársela a todos los usuarios a través de campañas en los medios de comunicación. A las escuelas también les cargamos de mucho contenido porque cada vez que vemos que nuestros hijos podrían verse desprotegidos enseguida derivamos a los centros educativos esa responsabilidad. No estaría de más que se añadiera al argumentario escolar la ciberseguridad. A fin de cuentas, los dispositivos móviles llegan demasiado temprano a manos de los más indefensos. Por ello los padres deben ser conscientes de que los dispositivos tecnológicos son puertas que deben asegurar. Aseguras tu casa, con alarmas, cámaras, pues también las familias deben instalar puertas de seguridad a los móviles de sus hijos. D.M.: ¿Existe suficiente educación y recursos disponibles para el público sobre cómo protegerse en línea? M.M.: Más bien todo lo contrario. Los teléfonos móviles son auténticas computadoras. Hay miles de ofertas que nos llegan por internet para casi todo. A cada puerta que abres, cada aplicación que te hacen necesitar te obliga a aceptar en un clic numerosos documentos que nadie se lee. Nos vendemos a ciegas, pero, parece que eso no nos importa. Otra cuestión es que cuando deseas hacer una reclamación, pongo por caso que hayas bajado una aplicación que de inmediato te está cobrando un euro, pero de inmediato te clava 29’99 euros y a los cinco minutos otros tantos. Lo intolerable es que no te faciliten el acceso a un servicio de atención al cliente para poder hablar con un agente y recurrir esos cobros desmedidos e incluso, en contra de tu voluntad. D.M.:El papel de las redes sociales: ¿Cómo ves el papel de las redes sociales en la propagación de información (desinformación) sobre ciberseguridad? M.M.: Como hemos comentado, la existencia de la ciberseguridad, la información sobre ella, sus beneficios, sus peligros y todo lo necesario no llega a los ciudadanos. Es un gran defecto que habría que solucionar. Yo no veo, cuando trabajo en mi ordenador y me meto a leer documentación que haya alertas o que la ciberseguridad esté a mano del usuario. Hay que buscarlo. Para ello debes tener interés. Y lo cierto es que hay un preocupante vació sobre la ciberseguridad en las redes sociales. Como ironía, la única advertencia que yo me encuentro en las redes, por ejemplo, en Instagram, es que “las imágenes pueden ser sensibles”, y cuando las abres, tiene que ver con los toros. D.M.: ¿Crees que las plataformas de redes sociales están haciendo lo suficiente para proteger a sus usuarios de amenazas cibernéticas? M.M.: En absoluto. Sabemos que los hackers tienen como principales objetivos las redes como Instagram u otras plataformas donde utilizan la Inteligencia Artificial para realizar ciberataques. Muchas aplicaciones nos piden los face ID, y lo que para nosotros es una amenaza y para ellos un festín. De nada de esto se les advierte a los usuarios. Hay más carteles de prevención de riesgo en el metro que en las plataformas. D.M.: Futuro de la ciberseguridad: ¿Qué tendencias o preocupaciones emergentes ves en el horizonte en lo que respecta a la ciberseguridad? M.M.: Hay publicaciones que hablan de que en todo el mundo se producen ciberataques cada 39 segundos. Es imposible predecir el futuro, pero sí que se trabaja para fortalecer las redes de las situaciones caóticas que en las que nos vemos inmersos. Por lógica debe haber inversiones millonarias para proteger a las empresas o instalaciones sanitarias que es uno de los objetivos favoritos de los piratas informáticos. Hay que reforzar la seguridad frente a las amenazas más frecuentes: ante el phishing, la propagación del malware y el ransomware. Inversión e información. D.M.: ¿Cómo crees que evolucionará la relación entre la ciberseguridad y la privacidad en los próximos años? M.M.: Ante el aumento de los ataques de suplantación de identidades y de ingeniería social es alentador conocer que a la par, están aumentando soluciones más innovadoras. Parece que la IA ayuda mucho para detectar ataques, incluso predecirlos. INCIBE, el Instituto Nacional de Ciberseguridad, advierte de que es necesario un esfuerzo conjunto entre las autoridades, las tecnologías y los profesionales para reducir los ataques. La información sobre la ciberseguridad debería estar muy a la mano de los ciudadanos y no solo en páginas de diarios especializados. Fotos realizadas en #ClubFinancieroGénova
17 Junio 2024
Sin categoría
Una escena se repite: en una reunión de amigos, un encuentro informal o una comida de trabajo, de repente, alguien muestra una oposición feroz a la IA y alguien responde en un tono tecno-optimista. Del mismo modo que ocurre con otros temas claves de esta época, ambos discursos se han vuelto arquetípicos. Todos, en distintos momentos, hemos podido usar uno o varios de estos discursos tópicos. En este reportaje para Cyberlidera Mgzn, diferentes expertos nos hablan sobre el doble filo de la IA, pero usando argumentos no excluyentes para elaborar una perspectiva más completa y sistémica sobre oportunidades y riesgos. Carlos Garriga, sobre el futurible: CIO Transformacional, profesor de IE University Para el experto Carlos Garriga, “normalmente los perfiles técnicos están más centrados en las posibilidades, en lo que se puede hacer y en buscar soluciones a los problemas”. En paralelo, “otras personas están mostrando dudas, preguntas, consideraciones éticas y preocupación sobre sesgos e impactos. Muchos estamos interesados en la regulación. Creo que se trata de un momento tan disruptivo y las cosas están cambiando a tal velocidad que a todos nos falta perspectiva, y tenemos que tener cuidado al trazar la curva, para no salir despedidos, como el skynet de Terminator”. En palabras del experto, los discursos sólo catastrofistas no movilizan, sino que provocan ansiedad, y los demasiado tecnológicos necesitan un contrapeso precisamente ahora que el futuro es posibilidad. “A qué revolución se va a parecer esta, aún no lo sabemos”, continúa. “Por proximidad, quizás a la llegada de la informática básica, que nos ayudó a automatizar tareas repetitivas, de poco valor añadido. Hace pocos años, la contabilidad se llevaba en libros con lápices y plumas enormes, que se ven en los museos. Cuando llegaron las hojas de cálculo y el software, porque fue así empezó la informática, al principio se llevaron contabilidades en paralelo, pero pronto todo cambió. El cambio actual tiene esa componente de ‘inteligencia’ que le da otro aspecto, y debe servir para poner aún más el foco en aquello que nos hace a los seres humanos diferentes”. “Lo cierto es que ese futuro dependerá también de nuestra posición”, señala Garriga. “En muchas industrias se dice la misma frase: ‘me encantaría tener más tiempo para dedicar a mi equipo y a mis clientes, a las interacciones de calidad. Quizás sea el momento de sacar ese tiempo, eliminando tareas como resumir documentos complejos, escribir correos en otros idiomas o en reuniones nada productivas, tarde o temprano las empresas tendrán que decidir si llevar esa productividad al margen o empezar a competir en aspectos más humanos”. “Lo artificial tiene el potencial de hacer las empresas más humanas”, Carlos Garriga “La IA puede venir precisamente a recuperar lo que perdimos al llegar la automatización y la informática. Pongamos un caso concreto”, propone el experto, “la industria sanitaria. En cada encuentro de diagnóstico muchas veces el médico especialista tiene que realizar tediosas tareas con el ordenador, rellenar formularios y accesos que se podrán automatizar perfectamente para que pudiera centrarse en aspectos más humanos. La IA podrá recoger la información con un micrófono o una cámara, incluirla en tu registro médico enriquecido, mostrarle al médico datos relevantes, patrones, sugerencias de diagnóstico… por eso pienso que lo artificial hará ciertas interacciones más humanas”. ¿Una nueva edad de trato más humano en ciertos sectores? Para Garriga, “en educación, también nos interesa un trato más cercano, humano, a otra escala. Ahora pasamos horas y horas en campus virtuales, rellenando encuestas de satisfacción, ¿podría la automatización de la IA devolver el foco a lo humano más íntimo y humano? La demo de ChatGPT reciente mostraba cómo ayudar a resolver una ecuación. ¿Será mejor que el profesorado tenga como labor orientar, evaluar, ayudar, intuir lo que encaja con las habilidades de cada estudiante? La ciencia ficción en muchas maneras nos puede inspirar: ahí está La fundación de Isaac Asimov, que describe sociedades en las que las máquinas cultivan”. “¿Por qué se diferencian las empresas?”, cuestiona. “El ejemplo paradigmático más reciente es el de Apple: el salto cualitativo en su propuesta es la calidad del producto, pero también la atención en sus tiendas, el modo de ofrecerlo, y muchas personas están interesadas en ese carácter premium. La informática aún está en la Edad de Piedra. Los programadores son como los orfebres del siglo XXI, y esto va a cambiar, porque esas tareas se automatizarán. De nuevo, la IA nos permitirá que el tiempo dedicado a esas tareas, ahora sirva para relacionarse: esto tendrá consecuencias sociales de mucho más calado, no necesariamente negativas”. Para él, “un cambio lento, y más profundo de lo que se anticipa se avecina. Hay que evitar que los conflictos lleguen a mayores: sin castigar injustamente a la tecnología, sino con el objetivo de ser más humanos, gracias a la IA. Quizás mi asistente virtual hablará con otro asistente para un tema de facturación pendiente. Ciertas tareas no necesitarán la intermediación de personas, en realidad malgastar en trato humano ese margen ocioso. Pero siempre humanizando la tecnología, dando la vuelta a ese concepto. ¿Podrá la automatización volver a ayudar a una persona de más edad a operar con su banco, el trato al cliente, podrá ser más humano”. “Un sesgo no tiene por qué ser siempre estructuralmente negativo: quizás la IA no tenga que huir de todos los sesgos, sino adoptar los más útiles”, Carlos Garriga En relación a los sesgos, explica que “un problema de la implantación. Al tratar de modelos con un entrenamiento supervisados por personas, cuenta un sesgo. Hay multitud de artículos sobre ello, porque esta tecnología se ha generado en la Bahía de San Francisco. Una vez identificados, ya existen maneras de corregirlos”. Para él, los sesgos pueden no ser siempre negativos. “¿Qué significa que una persona nos atienda mejor? Quizás estemos hablando de una colección de sesgos. Un sesgo no tiene por qué ser siempre estructuralmente negativo. Algunos sí que son de discriminación, y esto está legislado, se han detectado problemas y con gran agilidad todas las grandes tecnológicas lo están trabajando muy activamente. ¿Qué es lo que hace que personas de una misma cultura se entiendan mejor?”. “A corto plazo, tenemos que poner más foco en la verdadera innovación”, Carlos Garriga En el curso 2024-25, explica, vamos a ver una ‘early adoption’: “en el corto plazo vamos a tener que gestionar mucha frustración porque hemos echado rienda suelta a la imaginación, ¡para el asistente de las películas queda mucho! Tras esa primera fase de frustración, veo un claro avance al eliminar las tareas repetitivas, vamos a reinventar la forma en la que hacemos las cosas”. “En la producción artística existe una idiosincrasia. Sin duda, mucha de la música que escuchamos en la radio está basada en matemáticas, ritmos y algoritmos. Un Picasso o Dalí que rompieron con lo establecido y crearon un canon hay pocos. En el placer de escuchar música en directo, por ejemplo, la voz de una persona genera un impacto emocional cuando se detecta un cambio en el timbre de la voz en un momento dado, eso lo hace natural. La actual de la IA es una falsa creatividad, porque los LLM son imitativos y dan como solución la que creen más probable. El impresionismo no se le habría ocurrido jamás a una inteligencia artificial como mejor solución, ni el arte abstracto. Lo realmente nuevo se consideraría usando este lenguaje como una alucinación: hasta que se empiece a dar contexto a las alucinaciones, estas ideas fuera de la caja, como inventar un estilo musical, no son el territorio de estas nuevas inteligencias. Nos falta mucha perspectiva”. “La creatividad automatizada probablemente incluirá errores en el algoritmo para hacer el resultado más humano, para adaptarlo a nuestro gusto”, Carlos Garriga ¿Serán los nuevos artistas los grandes programadores? “No lo sé” (sonríe), responde el experto. “Más bien, yo preguntaría ¿seguirá habiendo programación, tal como la conocemos? Posiblemente la construcción de sí mismas, esa parte productiva, pasará a ser labor de las propias máquinas, el software sin fallo y la parte humana estará más en la creación de los nuevos algoritmos y en la mejora de las formas de hacer las cosas”. La visión del sector público: Esther Mateo, Directora General de Seguridad, Procesos y Sistemas Corporativos en ADIF “Como cualquier avance tecnológico, la IA generativa trae asociados riesgos y ventajas que es necesario gestionar, para ello es necesario tener información cualificada”, explica a CyberLideria MGZN la ingeniera industrial Esther Mateo, Directora General de Seguridad, Procesos y Sistemas Corporativos de ADIF. “Es fundamental no perder el espíritu crítico sobre lo que leemos. Hay demasiadas opiniones iguales basadas en expresiones similares, que son frases hechas, ya sean optimistas o pesimistas, en las que el criterio está copiado y es superficial”. Para ella, la clave está en “adoptar una actitud proactiva y crítica, constamente informada, en la que se apueste por aquellos casos de uso que aporten valor a la comunidad y no incrementen los riesgos o que estos sean asumibles”. Se trataría, por tanto, de “promover la protección de datos y la defensa de la ética en primer lugar, puesto que el aparente beneficio que aporte el caso de uso, nunca puede estar justificado si se vulnera la protección de datos o no se protege la ética, la transparencia o la equidad”. ¿Cómo salir del pensamiento dicotómico en la conversación sobre la IA? Para la directiva, está claro, “no podemos no asumir la IA, pero tampoco tendría sentido un despliegue masivo sin analizar cómo se va a implantar en diferentes casos de uso: tiene que crear valor, es decir, tiene que existir una ventaja y no afectar al resto de procesos, en esto estamos de acuerdo muchas empresas, en ser prudentes. Es necesario un estado de ánimo de ilusión comedida, basado en casos concretos de uso. No, de hecho una de las conclusiones recientes de los estudios de Gartner es que no todos los entornos están preparados”. “Es más lógico un estado de ánimo de ilusión comedida, basado en casos concretos de uso” ¿Dónde aportará la IA más valor? “Para que tenga aplicación auténtica, la documentación y los datos tienen que estar gobernados, por lo tanto, las organizaciones que necesitan pasar por un proceso de gobernar el dato deben comenzar por ahí: si no, no puedes implantar la IA. ¿En qué entornos funcionará muy bien? En términos jurídicos, por ejemplo, porque la legislación está curada y es estable en su mayor medida. Ahí se ven claramente las mejoras de tiempo, la automatización aporta especialmente. En un ámbito operacional no siempre será útil”. Para ella, es importante, en orden, “primero, una capa de revisión de la automatización de procesos, de aquellas actividades que aportan menos valor; segundo, una capa de gobierno del dato; tercero, una capa de IA tal como la conocíamos; y por último, una de IA generativa”. “La IA no será útil para toda una organización” En paralelo, añade Mateo, “hay que recordar que quizás la IA no sea útil para toda una organización, la moda parece indicar que sí, y esa puede ser una causa de ansiedad. Entender la empresa como un todo en términos de IA puede no tener sentido, puesto que esta tecnología no tiene aún un conocimiento tácito, las verificaciones serán durante mucho tiempo tal como las conocemos irremediables: puede perder el contexto, alucinar… el propio modelo se puede alejar de aquello para lo que está programado, hay un montón de aspectos que cuidar desde una ‘oficina de IA’ y yo creo también en licitar aquellos casos en los que no tengamos la capacidad de gestión interna, no en sobrecargar los recursos propios”. Las empresas e instituciones, señala, “tenemos un papel crucial en la adopción y aprovechamiento de la IAG para maximizar su potencial”. Para ello, según la explicación a CyberLideria MGZN de Esther Mateo, son necesarios seis puntos que formarían un modelo de implantación de IA en sí mismo: 1. Proporcionar formación para que los empleados comprendan las capacidades y imitaciones y eso permita identificar los casos de uso que más valor aportan a la empresa. 2. Vincular los objetivos estratégicos de la empresa con esos casos de uso de la IA Generativa. 3. Vincular el desarrollo de casos de uso primero al gobierno de dato. 4. Abordar la Gestión del cambio con una comunicación transparente: es necesario promover la experimentación y sostener las debilidades y los errores. 5. Fomentar el desarrollo de nuevas habilidades necesarias entre los trabajadores y usuarios. 6. Establecer controles medibles para garantizar la confianza de la IA que fomente un uso ético y responsable. La visión de un CISO Raúl Ruiz Iguzquiza, CISO y responsable de operaciones TI de Pelayo “Al principio de la llegada a Internet”, comparte Raúl Ruiz con CyberLideria MGZN, “había mucho miedo. La situaicón actual me recuerda mucho la época en que se abrió Internet, esta misma dicotomía hizo que muchas empresas se encerraran en castillos rodeados por fosos, y un puente. Poco a poco se empezó a ver la potencialidad que tenía estar conectados, aunque aún había miedo. Primero cambiamos las cartas por el correo electrónico, luego comenzamos a usar más y más Internet, teniendo cuidado de hasta dónde abrías y cómo. Es verdad que la IA es un cambio más radical, pero actualmente esa situación de un castillo rodeado de agua no existe”. Para Ruiz, “no se trata sólo de lo que marcamos en una estrategia, es que la propia innovación te va llevando. Esa dicotomía existe, es una herramienta muy potente para los que atentan contra la seguridad, porque les da muchas herramientas de suplantación de identidad, de fuerza bruta de ataque, pero también es buena para nosotros desde el punto de vista de la defensa. Hablando de innovación pura de negocio, se trata de lo mismo”. “Con la IA, la clave está en dónde va a parar tu conocimiento: aunque tus datos no salgan de tu zona, quizás lo que aprende sí” Una de las claves, en su opinión, está en la concentración: Google, Amazon y Microsoft ofrecen ahora servicios con los que es imposible competir. En su opinión, “la llegada de los grandes hiperescalares impide esa situación. Porque con la IA la clave no está sólo en qué pasa con el dato, la clave es adónde va a parar mi conocimiento”. Y señala un riesgo “aunque un proveedor nos asegure que nuestros datos no van a salir de su zona, lo que aprenda puede que sí”. ¿Habrá grandes sistemas de datos que decidan nunca compartirse con la IA? “Yo creo que aquí va a ser muy importante la regulación”, señala, “como la que en Europa está apareciendo ya. Sin embargo, vamos a lo que nos ha pasado con la globalización: el conocimiento se está compartiendo, quién va a ser el primero y cómo vamos a seguir innovando después”. Para él, “el salto importante es la unicanalidad, que implica un riesgo también. Lo más novedoso es la velocidad a la que va. Respecto a la unicanalidad, hasta ahora podías introducir automatización o inteligencia no generativa, yendo canal a canal, voz o escrito, el tema de las imágenes ha tenido su propio desarrollo, pero ahora el deseo de todas las compañías es la unicanalidad para relacionarte con el usuario final”. “Igual que otras tecnologías, tiene una potencialidad muy grande, el uso sin control es algo peligroso”, señala. “Una regulación adecuada es importante, porque puede producir una brecha pero para mí lo más importante es que tenemos que ser eficaces para no llegar a esos sesgos, a no engañar al usuario, esto me preocupa. Que las imágenes generadas por IA se deban etiquetar, por ejemplo, cambia todo. La brecha es doble: generacional y social, con las fake news, la desinformación puede servir para intentar aprovecharse de las personas, influir en la sociedad”. “El aprendizaje que turismo con los árboles de datos ha sido muy interesante”, señala. “Caso a caso, creo que se van a ir haciendo “business cases”. Meter todos los datos de pronto en la IA no tiene sentido: habrá muchas pruebas de concepto y se irá desplegando. En los casos más matemáticos ya hay modelos estadísticos muy desarrollados, ahí la IAG a priori aportará menos valor en el retorno porque el algoritmo ya existe. Nadie va a empezar por ahí. En un modelo de costes que ha costado cien años desarrollar, la mejora sobre el modelo no sea tan espectacular. Hay otras funcionalidades, en los que por ejemplo cuesta mucho encontrar un dato, o en reconocimiento automático de imagen puede ser muy interesante. Por otro lado, creo que inevitablemente vamos a tener que asumirla, y a qué velocidad depende también de con qué regulación”. A corto plazo, explica, “en el sector que más conozco, pienso que vamos a ver una adaptación y una integración en el corto, se van a dar pasos mirando el retorno, qué pasa con el dato y con su uso, y se va a trabajar con ello. En el momento que se vea su retorno, con seguridad y gestión de dato bajo regulación y sin dejar brecha abierta, empezará a coger velocidad. Con otras tecnologías fue así. Primero se buscaron procesos sencillos de usuario que fueran dando valor para quitar tareas repetitivas y aquello cogió velocidad. Hoy, en el corto vamos a ver resultados. Los primeros proyectos van a ser un acelerador de los demás (cada sector e industria tenemos ya identificadas esas primeras implementaciones y estamos poniendo el ojo encima; seguramente el que no esté empezando en esto, está haciendo los contratos, los resultados de las primeras implementaciones ya están casi terminados). Hay una apuesta muy fuerte en todas las industrias y sectores por los propietarios de la IA y los hiperescalares para poder garantizar la seguridad del dato”. “Los primeros proyectos exitosos de IA de cada sector e industria, van a ser un acelerador de los demás” A nivel de usuario, también se avecina un avance rápido. “No creo que vayamos a un cambio de habilidades, más bien que serán las mismas de siempre, pero usadas de otra manera. Creo que por ejemplo, respecto a las reuniones, algo tan sencillo como el uso de copilot de Teams de Microsoft, va a aportar un valor brutal. También en la traducción en tiempo real: la IA va a traer una mayor globalización, no como algo económico sino social. Pero seguirá siendo clave la capacidad de ver un proyecto en totalidad, de impulsar la innovación, de trabajar en equipo,…”. Rubén Fernández-Costa O’Dogherty Periodista, Asesor, y Miembro del Comité Editorial de CyberLideria MGZN.
17 Junio 2024
Opinión
La Inteligencia Artificial parece, de un modo u otro, haber invadido casi todos los espacios de nuestra vida. Recurrimos a ChatGPT buscando ayuda para revisar ese documento que tenemos pendiente, las funciones ya integradas en nuestro teléfono móvil empiezan a gestionar nuestra agenda y, en nuestro entorno laboral, los asistentes (copilotos) no solo automatizan procesos de manera autónoma, sino que gestionan nuestras reuniones, priorizando unas tareas sobre otras. En este nuevo escenario, los profesionales de Ciberseguridad comenzamos a plantearnos los beneficios que a medio y largo plazo tiene la Inteligencia Artificial a la hora de detectar, responder y prevenir amenazas, pero también nos planteamos los riesgos que supone desde un punto de vista del atacante. Sin duda, uno de los principales beneficios de la IA para ciberseguridad es su capacidad para identificar amenazas en tiempo real, al ser capaces de identificar patrones de ataque sin depender de la existencia de un patrón o una regla previamente definida. También nos van a ayudar a optimizar la gestión de vulnerabilidades, ya que seremos capaces de identificar posibles caminos de explotación de vulnerabilidades sin depender de la ejecución de ejercicios de Red Team o pentest. Y, en caso de incidente, los sistemas de respuesta basados en inteligencia Artificial son capaces de proveer una mejor capacidad de respuesta, conteniendo el incidente mediante la aplicación de bloqueos en tiempo real o de revertir cambios no autorizados en el sistema. Todo ello nos ayuda a reducir esfuerzos manuales y liberar recursos de analistas en el contexto actual de falta de profesionales de ciberseguridad. Pero del mismo modo, los profesionales de Ciberseguridad comienzan a plantearse los riesgos que la excesiva dependencia de la Inteligencia Artificial puede llegar a tener, así como el uso que los atacantes pueden hacer de la IA para lleva a cabo y optimizar sus técnicas de ataque. Por un lado, los sistemas de IA requieren grandes cantidades de datos para entrenar sus algoritmos, lo que plantea preocupaciones sobre la privacidad y la protección de datos, especialmente en un momento regulatorio tan importante como el que estamos viviendo. Por otro lado, los modelos de Inteligencia Artificial también pueden ser usados por los atacantes para automatizar y llevar a cabo ataques a gran escala. Podrían desarrollar malware más sofisticado, llevar a cabo ataques de phishing más efectivos y descubrir vulnerabilidades en tiempo real, reduciendo a segundos el periodo de tiempo que hay entre la identificación de la vulnerabilidad y el comienzo de su explotación. Todavía estamos viviendo los primeros días de lo que la IA puede hacer en el ámbito de la Ciberseguridad, y la pregunta es: ¿Qué veremos en el futuro? Una Inteligencia Artificial al servicio de los profesionales de la Ciberseguridad, ¿o modelos de ataque cada vez más eficientes gracias a una aplicación “maliciosa” de la IA? Yo personalmente quiero ser optimista, y creer que los beneficios que nos va a aportar nos van a hacer mejores y podremos ayudar a nuestras organizaciones a defenderse de una manera más efectiva. La industria tecnológica, y en especial aquellas compañías detrás del desarrollo de los modelos de IA, tienen una responsabilidad enorme para hacer que así sea y que no sean los atacantes los nos que ganen en esta batalla digital que libramos todos los días. Iván Sánchez CISO RSI
17 Junio 2024
Sin categoría
31 MAY 2024 La Agencia Española de Protección de Datos (AEPD) ha ordenado la suspensión en España de dos funcionalidades desarrolladas por Meta con miras a las elecciones del Parlamento Europeo, por incumplir la protección de datos establecida en el Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) de la Unión Europea (UE). La medida cautelar afectaría a las funcionalidades Election Day Information y Voter Information Unit, y la recopilación y el tratamiento de datos que implica su uso. La puesta en marcha de ambos servicios estaba prevista para todos los usuarios de los servicios de Meta con derecho a voto en las próximas elecciones europeas -que se llevarán a cabo el 9 de junio-, con la excepción de Italia, cuya autoridad de protección de datos ya tiene un procedimiento abierto en curso sobre este asunto. Las funcionalidades están creadas para facilitar información a los usuarios de Facebook e Instagram sobre las elecciones en la UE. Sin embargo, para ello, Meta pretende tratar datos personales (como nombre del usuario, la dirección IP, edad y género) y la forma en la que los usuarios interactúan con esas funcionalidades, para elaborar perfiles más complejos, detallados y exhaustivos, generando tratamientos más intrusivos. Para la AEPD, este incremento en el volumen de información recopilada pondría en grave riesgo los derechos y libertades de los usuarios de Instagram y Facebook y supondría incumplir con los principios de protección de datos de licitud, minimización de datos y limitación del plazo de conservación que considera el GDPR. “Esa pérdida de control supone un alto riesgo de que esos datos sean utilizados por responsables desconocidos y para finalidades no explícitas”, afirma el regulador español en un comunicado. La prohibición temporal del lanzamiento de estas funcionalidades en España tiene un periodo de validez máximo de tres meses. En el marco de las elecciones europeas y de la nueva Ley de Servicios Digitales, la Comisión Europea anunció a finales de abril la apertura de un procedimiento contra Meta para analizar aspectos como la desinformación, la visibilidad de contenido político y las herramientas de monitorización. Según la AEPD, el uso del big data, la inteligencia artificial (IA) y la aplicación del microtargeting en los procesos electorales pueden llevar a la manipulación de las personas mediante la realización de perfilados exhaustivos y la desinformación. Sus estatutos sostienen que “sólo podrán recopilarse las opiniones políticas que hayan sido libremente expresadas por las personas en el ejercicio de sus derechos a la libertad ideológica y a la libertad de expresión reconocidos en los artículos 16 y 20 de la Constitución Española y que, en ningún caso, podrán tratarse otro tipo de datos personales a partir de los que, aplicando tecnologías como las de tratamiento masivo de datos o las de inteligencia artificial, se puede llegar a inferir la ideología política de una persona”. Francisca Domínguez Zubicoa
7 Junio 2024
Sin categoría
El Consejo de Europa ha aprobado un marco regulatorio para la inteligencia artificial (IA) que entrará en vigor el 5 de septiembre. Con ello, la Unión Europea ha votado una Ley de Inteligencia Artificial y se han presentado tres textos cruciales en el ámbito de la gobernanza, estrategia y regulación de la IA y el dato. Además, España ha lanzado una Estrategia Nacional de Inteligencia Artificial con inversiones por mil doscientos millones de euros y seis estrategias para su aplicación. El Convenio Marco del Consejo de Europa sobre IA y Derechos Humanos, Democracia y Estado de Derecho establece objetivos para garantizar la coherencia con los derechos humanos y define la IA como un sistema basado en máquina. El Reglamento DAS-2, ya en vigor, busca reforzar la confianza en las transacciones electrónicas y dar a los ciudadanos europeos control sobre su identidad digital. El reto es gestionar los riesgos y asegurar que la IA no se convierta en un fin en sí misma, sino en un medio para el crecimiento real y humanístico. Este compromiso aborda la definición y gestión de riesgos de los sistemas de inteligencia artificial de la siguiente manera: Definición de IA: El artículo segundo del convenio define un sistema de inteligencia artificial como un sistema basado en una máquina que, para alcanzar objetivos explícitos o implícitos, infiere, a partir de los datos que recibe, cómo generar resultados tales como predicciones, contenidos, recomendaciones o decisiones que puedan influir en las condiciones físicas o entornos virtuales. Los diferentes sistemas de inteligencia artificial varían en sus niveles de autonomía y adaptabilidad después del despliegue. Gestión de riesgos: El artículo 16.2 del convenio establece que las medidas de gestión de riesgos deben ser graduadas y diferenciadas según varios parámetros, incluyendo: El contexto y el uso previsto de los sistemas de inteligencia artificial. La gravedad y probabilidad de posibles impactos. Las perspectivas de las partes interesadas relevantes. La duración del ciclo de vida del sistema de inteligencia artificial. El monitoreo de riesgos e impactos adversos para los derechos humanos, la democracia y el estado de derecho. La documentación de los riesgos, los impactos reales y potenciales y el enfoque de gestión de riesgos. En resumen, el Convenio Marco proporciona una definición clara de los sistemas de inteligencia artificial y establece un enfoque detallado para la gestión de riesgos asociados con estos sistemas, con el objetivo de proteger los derechos humanos, la democracia y el estado de derecho. Por otro lado, el plan de vuelo de España en inteligencia artificial se resume en las siguientes seis estrategias: Impulsar la investigación científica, el desarrollo tecnológico y la innovación en IA. Promover el desarrollo de capacidades digitales, potenciar el talento nacional y atraer talento global en inteligencia artificial. Desarrollar plataformas de datos e infraestructuras tecnológicas que den soporte a la IA. Integrar la IA en las cadenas de valor para transformar el tejido económico. Potenciar el uso de la IA en la administración pública y en las misiones estratégicas nacionales. Establecer un marco ético y normativo que refuerce la protección de los derechos individuales y colectivos, a efectos de garantizar la inclusión y el bienestar social. Fuente: Pedro Fernández-Villamea Alemán
29 Mayo 2024
Sin categoría
El Gobierno ha aprobado la Estrategia Nacional de Inteligencia Artificial (IA) para el periodo 2024-2025, con un presupuesto de 1.500 millones de euros, sumándose a los 600 millones ya invertidos, según ha manifestado el Ministro para la Transformación Digital y la Función Pública, José Luis Escrivá. El plan desarrollado por este ministerio tiene varios ejes: Reforzar las capacidades nacionales de supercomputación. Desarrollar modelos de lenguaje natural en español y lenguas cooficiales. Regular centros de datos sostenibles. Fomentar el talento en IA. Impulsar la adopción de esta tecnología en el sector público y las pymes. Establecer una ley de ciberseguridad. Un punto central es ALIA, el primer gran modelo de lenguaje natural en español, que estará listo en septiembre. Este modelo, que será transparente y cumplirá con los requisitos del reglamento europeo de IA, se entrenará con un corpus de datos en español que incluye actas del Congreso y el repositorio académico Dialnet. Además, se prevén acuerdos de licencia de contenidos con medios de comunicación. Para satisfacer las necesidades de computación de la IA, se invertirán 90 millones de euros en la modernización del superordenador MareNostrum 5, que contará con un clúster especializado en IA a partir del próximo año. También se prevé una nueva ley para regular la sostenibilidad de los centros de datos. El talento en IA se fomentará con una línea de becas de 160 millones de euros y se financiarán proyectos regionales con 300 millones de euros en fondos Feder. Además, se destinarán 400 millones de euros a startups que usen IA a través del fondo Next Tech. El Gobierno también quiere impulsar la adopción de IA en el sector público y las pymes con programas como Kit consulting y Kit Digital, y facilitar el acceso a financiación a startups de IA. Además, se está desarrollando un marco de ciberseguridad con la Agencia Española de Supervisión de la Inteligencia Artificial (Aesia), que estará operativa a finales de año, y se creará una ley de ciberseguridad. A raíz de esta noticia, se concluye que la Estrategia Nacional de Inteligencia Artificial del Gobierno busca posicionar a España como un referente europeo en esta materia, invirtiendo en infraestructura, talento, regulación y adopción de la tecnología en diversos sectores, con un enfoque en la sostenibilidad y la ciberseguridad.
16 Mayo 2024
Sin categoría
Mientras escribo este artículo, intento buscar una respuesta a través de un catalejo imaginario para dirigir la ciberseguridad en un futuro que cada segundo cambia y se moldea ante nuestros ojos. Dos estrellas guía, especialmente deslumbrantes, que todo buen capitán de la ciberseguridad debe conocer en estos tiempos llaman la atención: la inteligencia artificial (Sirius) y la resiliencia (Canopus). “Sirius y Canopus” emergen singularmente en el oscuro cielo nocturno para guiar la navegación hacia buen puerto, yson, en mi opinión, los pilares sobre los que se construirá una defensa cada vez más robusta y adaptable. En mi experiencia, cualquier Consejo o Comité de Dirección tiene en mente que el futuro de su compañía a nivel de ciberseguridad está orientado hacia protegerse de la evolución de la tecnología plasmada en las distintas variables de los métodos de ataque. En este punto, cabe recordar que la ciberseguridad ha sido tradicionalmente una carrera de fondo basada en el estudio, diseño, desarrollo, prueba y generación de medidas que prevengan/obstaculicen los ataques. Por tanto, la mayoría de las empresas han invertidoinmensamente en prevenir y detectar amenazas, construyendo muros cada vez más altos y fosos más profundos alrededor de sus activos. Sin embargo, y tras conocer más en profundidad la forma de ver los procesos de negocio a través de los ojos de consejeros, CEO’s y CFO’s, los vientos parecen indicar que hay un cambio de enfoque importante para ellos que se está perfilando con fuerza en el horizonte de la ciberseguridad: la importancia de la recuperación rápida e infalible de los procesos de negocio en plazos que rozan lo inmediato. Este enfoque no es innovador y disruptivo para un CISO. Sin embargo, es un reflejo de una comprensión más profunda de la naturaleza de los nuevos ataques por parte de los Consejos de Administración y los Comités de Dirección y la necesidad de resiliencia post-incidente, inherente a cualquier proceso de negocio. ¿Por qué ahora cobra especial importancia los tiempos de recuperación en Ciberseguridad? El impacto de un ataque puede ser devastador, teniendo todos ellos un denominador común fijo: el tiempo de recuperación golpea de lleno en la línea de flotación de la viabilidad económica. Las interrupciones prolongadas del negocio online no sólo afectan a la rentabilidad, sino también la confianza del cliente, los procesos de venta y la reputación corporativa. Por tanto, si sumamos la variedad de los ataques que la inteligencia artificial puede generar al tiempo que tarda una empresa en reanudar sus operaciones normales es cuando, en la mente del C-Level y de los consejeros, se prioriza la recuperación rápida (especialmente si el modelo financiero se basa en una facturación diaria) porquesaben que nada puede proteger su empresa al 100%. Este enfoque representa un cambio significativo en cómo las gerencias de las organizaciones visualizan la importancia de la ciberseguridad: ¿Priorizar la recuperación significa olvidarnos de la prevención? No, en absoluto. Uno de los pilares de esta nueva orientación es la utilización de la Inteligencia Artificial en la prevención. La IA permite aumentar la detección de patrones de ataque y, por tanto, es crucial en la recuperación rápida. Un ejemplo: Implementar procesos que permitan automáticamente comenzar a restaurar datos limpios y funcionalidades según priorizaciones previas establecidas al detectar patrones de ataque que no sean falsos positivos, hará que las empresas puedan reducir significativamente los tiempos de respuesta y por tanto la perdida de operatividad de sus negocios. El beneficio es entonces doble. La IA no solo acelera el proceso de recuperación, sino que también ayuda a prevenir futuros ataques. "Gana primero, y luego ve a la guerra" - Sun Tzu La ciberseguridad está en un punto de inflexión hacia sus prioridades. Si no se puede hacer frente a un tsunami de posibles variaciones en los vectores de ataque (guerra), la recuperación rápida e infalible (gana) se convierte en una necesidad imperiosa especialmente desde el prisma financiero. El futuro pertenece a las organizaciones que se adapten antes al uso de herramientas como la inteligencia artificial y tengan un conocimiento profundo de su propio entorno digital, haciendo que “Sirius y Canopus” seanuna piedra angular para cualquier estrategia de ciberseguridad que se precie. Isabel María Gómez CISO, Cybersecurity Advisory Board member y Consejera Independiente
14 Mayo 2024
Rincón del CISO
Hace muchos años que la Inteligencia Artificial dejó de ser una ficción, para convertirse en una grata realidad. Atrás queda ya el terrorífico HAL 9000 de la obra maestra de Stanley Kubrick, 2001: Odisea del espacio, cuya IA evolucionaba de tal manera que era capaz de urdir ataques contra la vida humana para defenderse y salvaguardar su misión. Escepticismos aparte, es un hecho que la IA se ha convertido en una parte imprescindible del día a día para la raza humana. Y prueba de ello son los diagnósticos médicos con los que ayudan al tratamiento de pacientes en el mundo de la medicina, la detección de operaciones peligrosas que alertan de un posible fraude financiero, o hasta las predicciones que realizan para conocer, incluso antes que nosotros mismos, la próxima serie que vamos ver. Aunque sin lugar a dudas, uno de los mayores y más significativos impactos tiene lugar en el mundo de la ciberseguridad. Su capacidad para predecir amenazas, aprendiendo y analizando su comportamiento, sus víctimas, ubicaciones e incluso sus casi imperceptibles errores, han convertido a la IA no solo en una herramienta fundamental que defiende incluso a países enteros, sino también en un escudo virtual sin el que no puede entenderse hoy en día la ciberseguridad. Algo tan general y cotidiano como la detección de spam tiene detrás a una IA. Y eso es solo la punta del iceberg de posibilidades que ofrece y garantiza, porque en la actualidad cualquier activo digital está protegido por esta entidad (porque llamarla herramienta casi podría ser considerado hasta ofensivo, dadas sus capacidades y protagonismo diario). Quizás lo único negativo de que tenga la IA sea el propio ser humano, con sus miedos e impedimentos a la hora de ceder el testigo a algo que evoluciona y aprende millones de veces más rápido. Las regulaciones gubernamentales, controles jurídicos y otros sistemas legales, quizás estén limitando lo ilimitado. Y esto, solo favorece a los atacantes… Por eso, la evolución de la IA en materias de ciberseguridad ha sido casi siempre proporcional al de los peligros, lo que ha generado grandes e importantes consecuencias en la defensa contra los ataques del futuro. La IA en la ciberseguridad: primera etapa (2000-2010) El nuevo milenio lo cambió todo, tanto en el ámbito profesional como en el personal. Aunque ya queda un poco lejano, lo cierto es que las ganas de llegar al futuro abrieron un abanico de expectativas, deseos y temores que fueron introduciéndose en la memoria humana como avispas en un avispero. Siempre en movimiento, con incertidumbre, y al acecho. De pronto, la humanidad descubrió que todavía los coches iban a tardar en volar y viajar en el tiempo, aunque se plantó ante nosotros la era moderna de la transformación digital. Los ordenadores de sobremesa, portátiles y centros locales gozaban de una confianza casi completa por parte de las grandes y pequeñas empresas. Por eso, en aquel momento, el foco de atención de los ciberataques consistió en generar caos y ser primera plana. Los malware ILOVEYOU, Melissa y MyDoom tuvieron un alcance global; las intermitentes crisis mundiales y la necesidad urgente de añadir ceros a las diáfanas cuentas bancarias provocaron la erupción masiva del phishing, o la creación del troyano bancario Zeus. Las medidas de seguridad eran muy básicas, y casi en su totalidad se basaban en firewalls o software antivirus, aunque también apareció la fundamental autenticación de dos factores (2FA), que es tan molesta como necesaria para proteger cualquier activo, ya sea económico como digital. El correo spam tuvo su momento de apogeo y gloria, hasta que llegó la IA para frenarlo en seco. O al menos para detectarlo y evitar sustos y problemas innecesarios y evitables. La IA demostró que era capaz de identificar este tipo de correos y ponerlos en cuarentena, lo que redujo los riesgos de ataque y mejoró la actividad habitual en el trabajo o la vida personal. Esto fue solo una “pequeña” muestra del potencial de la IA para combatir los ataques cibernéticos. Y era solo el comienzo, porque algo mayor estaba a punto de mostrarse… La IA en la ciberseguridad: segunda etapa (2010-2020) Al igual que los años iban pasando, la tecnología avanzaba a cada segundo. Las infraestructuras y las metodologías de trabajo cambiaron por completo, gracias a aplicaciones SaaS, la programación y almacenamiento de software en la nube, o la posibilidad de trabajar con tu propio dispositivo, tanto en los centros laborales como de estudio. Pero en el mundo de la ciberseguridad es sabido que un progreso o añadido, tanto tecnológico como digital, trae consigo siempre una nueva amenaza. Al igual que la leona sabe que su cachorro recién nacido atraerá depredadores, un CISO es conscientes de que la aparición en el mercado de nuevos productos, servicios o posibilidades tecnológicas, conllevará la aparición de múltiples y novedosos riesgos. La complejidad de los peligros marcó esta fase, tales como el gusano Stuxnet, o las notorias violaciones de privacidad en grandes empresas como Target, Sony Pictures o SolarWinds, que conmocionaron y llenaron el mundo de titulares. Hubo una escalada de ataques de ransomware (secuestro de datos) y wiper (destrucción y daño de información de un sistema informático), lo que enfatizó la necesidad de un progreso urgente y masivo en las ciberdefensas. Y fue en este momento cuando la IA se convirtió en un elemento fundamental de la ciberseguridad, sustituyendo a los limitados antivirus, gracias a su portentosa capacidad de aprendizaje, detección de anomalías, análisis de conducta y predicciones, entre otras capacidades. La IA en la ciberseguridad: tercera etapa (2020-presente) En este momento el papel de la IA en el ámbito de la ciberseguridad está experimentando otra gran transformación, casi revolucionaria, podría decirse. Es un elemento de trabajo que no entiende de horarios, lugares o esfuerzos, que evoluciona de manera constante, con sistemas de TI hiperconectados, lo que amplifica aún más sus cualidades a la hora de crear una defensa contra un riesgo y de atacarlo. Pero al igual que algunos cibercriminales han acabado trabajando para los gobiernos sobre los que antes apuntaban, la IA está al alcance de víctimas y agresores. Por ejemplo, mientras la herramienta ChatGPT se creó para evitar el uso delictivo de la IA, con posterioridad nació WormGPT, para ayudar al infractor cibernético. Por ello, actualmente el mundo de la ciberseguridad afronta continuos retos y pruebas sin parangón. Y aunque no puede evolucionar al mismo ritmo que una IA, sí es posible que las organizaciones dejen que marque el ritmo, máxime cuando las complejidades en materia de ciberseguridad son mayores a cada momento que pasa. Fuente: Darkreading.com Daniel García Redactor Jefe y Gestor Web de CyberLideria MGZN
14 Mayo 2024
Rincón del CISO
Ya está cerca la transposición española de la NIS-2, para la que el gobierno tiene de plazo máximo hasta el 17 de octubre de este año. Dado que fue publicada en diciembre de 2022, y es una ampliación de la NIS de septiembre del 2018, las empresas afectadas ya hace tiempo que se han preparado para la misma. También, las empresas que cotizan en Estados Unidos deben seguir las recomendaciones de la SEC, publicadas en febrero del 2018 en la guía "Commission Statement and Guidance on Public Company Cybersecurity Disclosures". Dada la responsabilidad para el Gobierno Corporativo en ambos casos, los Consejos de Administración ejercen de manera efectiva su labor de supervisión de los riesgos derivados de la ciberseguridad. Típicamente lo hacen a través de una Comisión de Riesgos Digitales, o de una comisión más amplia de Riesgo, o de Riesgo y Auditoría, a la que suelen reportar los CISOs y en cuyas reuniones suelen participar. Más recientemente, el pasado 13 de marzo, ha sido publicada la Ley Europea de la Inteligencia Artificial, que otorga dos años de gracia a las empresas para su adaptación a la misma, y establece una serie de limitaciones y regulaciones para su uso, a la vista de los riesgos que pueden suponer, cuyo control requiere la adopción por parte de las empresas de una estrategia de gobernanza de la IA desde el órgano de Gobierno, lo mismo que para la ciberseguridad. Una estrategia que debe considerar tanto los riesgos para el negocio derivados de la IA, su identificación, mitigación, monitorización y supervisión, como el cumplimiento estricto con la legislación en materia de protección de datos personales. Se deben adoptar medidas partiendo de los procesos de gestión de riesgo existentes, incluyendo análisis de riesgo, protección de datos, due-diligence de suministradores y auditorías. Lo que tiene mucho en común con la metodología y procesos de gobierno de la ciberseguridad. Por otra parte, la IA es en sí misma un sistema de procesamiento de la información, la gestión de cuyos riesgos asociados es competencia del CISO. Algunos artículos de la Harvard Law School, y de consultoras en materia de riesgo, hablan de las ventajas de integrar la gobernanza de estas dos tecnologías en una única comisión dependiente del consejo de Administración. Estas ventajas incluyen la mejora en la capacidad del análisis de riesgos, respuesta a incidentes y mitigación, evitando duplicidades y conflictos entre otros. El Gobierno de la ciberseguridad y su reporte al Consejo ya constituye un reto descomunal para los CISOs. Me pregunto ¿qué sucederá cuando añadamos a esto la IA? ¿Deberá el CISO asumir también ciertas responsabilidades en el Gobierno de la IA? ¿Cómo debe articularse la gobernanza de cada uno de estos dos dominios y su intersección? Dejo estas preguntas sin respuestas por mi parte, para vuestros comentarios, y quizás volvamos sobre ellas en un próximo artículo. Juanjo Martínez Pagán Asesor de CISOS y Startups de Ciberseguridad. Fundador de ThousandGuard
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
