Todo el mundo sabe que los CISO no trabajan realmente tan duro en esas oficinas tan cómodas. Vaya, solo están frustrando el cumplimiento normativo , bloqueando costosos ciberataques, protegiendo a los empleados de los correos electrónicos de phishing abusivos —y ahora eludiendo a las autoridades federales —; ya sabe, solo las pequeñas cosas necesarias para salvaguardar los activos de información de una organización.
Es broma, por supuesto.
De hecho, a medida que la inteligencia artificial (IA) y la IA generativa se van extendiendo y transformando las empresas, los responsables de seguridad de la información están asumiendo aún más responsabilidades que se suman a sus cargas de trabajo, ya de por sí abrumadoras. Están aprendiendo a gestionar los retos de seguridad que plantea la IA, a aprovechar las oportunidades que ofrece y a adaptarse a nuevas formas de trabajar; todo ello exige nuevas prioridades de liderazgo en esta era de la IA, caracterizada por su rapidez y sus constantes cambios.
«La inteligencia artificial ha madurado hasta tal punto que ahora está presente en todos los aspectos de nuestras vidas», afirma Candy Alexander, directora de seguridad de la información (CISO) y responsable del área de riesgos cibernéticos en la empresa de consultoría tecnológica NeuEon. «Y, aunque el impacto ha sido en gran medida positivo para las organizaciones, también supone un mayor desafío, sobre todo para los CISO». «Deben asegurarse de establecer los parámetros adecuados para el uso de la inteligencia artificial y el aprendizaje automático, pero sin coartar la creatividad y la innovación; y eso supone un gran reto».
Para adaptarse a los cambios y mantener una organización resiliente , los CISO deben dar prioridad a nuevas estrategias de liderazgo, tanto dentro de sus propios equipos como en el conjunto de la empresa. Estas cuatro áreas prioritarias constituyen un buen punto de partida.
1. Orientar a los altos directivos
Según Alexander, en un momento en el que las empresas se apresuran a implementar la inteligencia artificial de forma eficaz, los responsables de seguridad de la información (CISO) pueden desempeñar un papel importante a la hora de asesorar a la alta dirección sobre diversos asuntos, empezando por evaluar los casos de uso de la inteligencia artificial. «Se trata de conversaciones con expertos en tecnología, en seguridad y con el departamento comercial». «No se puede entrar en el mundo de la IA sin comprender realmente qué es lo que se quiere hacer y cómo se quiere hacerlo», afirma. «¿Desea mejorar la experiencia de sus clientes? Estupendo. «A partir de ahí, podrá desarrollar ese programa de acercamiento, pero también contará con medidas de protección desde el principio».
«. No se puede entrar en el mundo de la IA sin comprender realmente qué es lo que se quiere hacer y cómo se quiere hacer.»Candy Alexander, directora de seguridad de la información (CISO) y responsable del área de riesgos cibernéticos de NeuEon
Los CISO también deberían liderar el debate en torno a los datos de « » y la «» de la IA, afirma Jordan Rae Kelly, director general sénior y responsable de ciberseguridad para las Américas en la consultora de gestión empresarial FTI Consulting. «El CISO debe impulsar el debate sobre dónde se almacenan los datos, cómo se recopilan y qué leyes se ven afectadas por el uso de dichos datos», afirma. «Antes, los CISO solo tenían que comprender las necesidades empresariales relacionadas con los datos, pero ahora deben comprender tanto esas necesidades como sus implicaciones».
Del mismo modo, los CISO deberían participar en los debates sobre la gobernanza de , añade Alexander. «La inteligencia artificial está poniendo realmente de manifiesto la necesidad de una gobernanza de los datos», afirma. «¿A quién pertenecen los datos? ¿Quién utiliza los datos? ¿Quién debería tener acceso a ello? ¿Cómo evolucionará y cambiará el ciclo de vida de los datos? ¿Cómo va a proteger esos datos? «Todas estas son conversaciones en las que los CISO deben participar».
2. Haga hincapié en la alfabetización organizativa
Las organizaciones están experimentando con la inteligencia artificial de diversas formas, desde la redacción de textos de marketing hasta el desarrollo de código, pero estos casos de uso no siempre se reconocen desde una perspectiva empresarial, advierte Alexander. Es posible, por ejemplo, que los empleados no sean conscientes de que los usos no autorizados de la IA pueden poner en riesgo la información confidencial de la empresa. «Sin medidas de seguridad, podría darse el caso de que algunas personas introdujeran información confidencial en una [herramienta] de IA generativa, la cual pasaría a formar parte del modelo de entrenamiento del lenguaje». «Es absolutamente aterrador».
«. Antes, los CISO solo tenían que comprender las necesidades empresariales relacionadas con los datos, pero ahora deben comprender tanto esas necesidades como sus implicaciones.»Jordan Rae Kelly, director general sénior y responsable de ciberseguridad para América, FTI Consulting
Los CISO deberían abordar la IA como lo harían con cualquier otro programa de concienciación sobre la « » ( ) y asegurarse de que todos los empleados tengan unos conocimientos básicos sobre qué es la IA y cómo se relaciona con su puesto de trabajo. «Es necesario poder formar a todo el personal de la organización en el concepto de la inteligencia artificial y [asegurarse de que] se mantengan al día», afirma Gatha Sadhir, directora global de seguridad de la información (CISO) de Carnival Corporation, en una entrevista realizada por el Instituto SANS en el marco de la serie «».
Los CISO deberían centrar esta campaña de sensibilización a nivel corporativo en cómo se utiliza la IA en los distintos procesos empresariales, las implicaciones éticas de la IA, las políticas de la organización sobre el uso responsable de la IA, así como las posibles amenazas para la seguridad y las mejores prácticas para mitigarlas.
Para obtener orientación sobre cómo fomentar los conocimientos sobre la IA en las organizaciones, Alexander recomienda consultar los recursos de organizaciones del sector, como la , la Cloud Security Alliance (CSA) y , y el Open Web Application Security Project.
3. Dar prioridad a la formación y la capacitación de los equipos de seguridad
Según Kelly, uno de los grandes retos a los que se enfrentan las organizaciones de seguridad es contar con conocimientos tanto amplios como profundos en ámbitos como la inteligencia artificial, que están evolucionando rápidamente.
«Los CISO tienen la ardua tarea de dirigir un equipo que probablemente ya esté sobrecargado, agotado y a cargo de una amplia gama de cuestiones —y ahora esas cuestiones están cambiando rápidamente porque la inteligencia artificial evoluciona a un ritmo vertiginoso—», afirma. «Existe una gran presión para formar a los equipos y garantizar que estén al día y bien informados sobre los distintos temas, de modo que la próxima evolución de un conjunto de herramientas no los ponga en peligro».
De hecho, según un informe de 2024 elaborado por la CSA, los altos directivos muestran un nivel de familiaridad con las tecnologías de IA, según sus propias declaraciones, notablemente superior (52 %) al de su personal (11 %). «Esto va en contra de la idea generalizada que se tiene sobre los responsables de seguridad y la IA, así como de la suposición de que “todo el mundo tiene miedo”», afirmó Caleb Sima, presidente de la alianza de seguridad en IA de la CSA, en una reciente entrevista concedida a VentureBeat . La encuesta refuta la idea de que todo empleado junior, por el mero hecho de su edad, domine de alguna manera las últimas versiones de la IA y de que «todos los CISO se opongan a la IA, ya que supone un enorme riesgo para la seguridad y un gran problema», afirmó Sima. En todo caso, esto nos sirve de recordatorio de que las estrategias de sensibilización a nivel de toda la empresa (mencionadas anteriormente) deben incluir iniciativas formativas específicas para los departamentos de TI.
Aunque es posible que los equipos ya estén al límite de su capacidad, es importante que los CISO reserven de forma deliberada tiempo específico en los horarios de sus equipos para impartir formación especializada en IA, afirma Alexander. Esta formación debería centrarse en las herramientas y tecnologías de inteligencia artificial más recientes, sus implicaciones para la ciberseguridad y las funciones específicas de los miembros del equipo, así como en las amenazas emergentes.
4. Fomente una cultura de la curiosidad
Aunque es importante que los CISO den prioridad a la formación en IA dentro de sus equipos, también es importante animar a sus equipos a experimentar con la IA, afirma Sadhir al Instituto SANS.
«: Los líderes deben liderar desde atrás, no desde delante». Hay que dejar que los pensadores piensen. Muchas de las ideas provienen de los propios miembros del equipo.»Gatha Sadhir, director de seguridad de la información (CISO) a nivel mundial de Carnival Corporation
«Hay que fomentar una cultura de aprendizaje e innovación», afirma. «En el ámbito de la inteligencia artificial, los líderes deben liderar desde atrás, no desde delante». Hay que dejar que los pensadores piensen. De hecho, muchas de las ideas provienen de los propios miembros del equipo. «Hay que darles la oportunidad de cultivar esa capacidad para encontrar las soluciones adecuadas del futuro».
Animar a los equipos de seguridad a experimentar con la inteligencia artificial conlleva una serie de ventajas. Esto motiva a dichos equipos a explorar nuevas tecnologías y metodologías de inteligencia artificial, lo que puede dar lugar a nuevas soluciones para retos complejos en materia de seguridad. Además, fomenta el desarrollo continuo de las competencias, anima a los equipos a colaborar y a compartir conocimientos y, en última instancia, ayuda a los equipos de seguridad a comprender cómo la inteligencia artificial puede respaldar y alinearse con los objetivos y estrategias generales de la organización. Además, puede contribuir a mejorar la experiencia general de los empleados , un aspecto al que los responsables de seguridad de la información (CISO) y los directivos de las empresas están prestando cada vez más atención en el actual mercado laboral, caracterizado por una gran presión.
Según Kelly, a medida que los CISO se adaptan al cambiante panorama de la inteligencia artificial, es importante que asuman un papel de liderazgo en la estrategia de inteligencia artificial de la organización. «[Los CISO] ya no desempeñan un trabajo de segundo plano», afirma. «Deben desempeñar un papel de liderazgo pleno y tener la capacidad de trabajar dentro de una organización para anticiparse a las acciones de la empresa y tomar esas decisiones sobre una inversión estratégica en inteligencia artificial».
