Los evaluadores de seguridad humanos —esos hackers éticos a los que se contrata para simular ciberataques y poner a prueba las defensas cibernéticas de una empresa— se muestran cada vez más inquietos ante la llegada de una nueva oleada de herramientas de pruebas de penetración basadas en la inteligencia artificial, y están preocupados. Y con razón.
Con tan solo una dirección de Internet como referencia, estas herramientas de inteligencia artificial pueden mapear y evaluar rápidamente (y con mayor rapidez que los seres humanos) el estado de seguridad de la red informática y las aplicaciones web de una empresa, detectar vulnerabilidades y ejecutar comandos o incluso llevar a cabo ataques de ingeniería social para poner a prueba dichas debilidades, todo ello mientras registran cada aspecto de la prueba y elaboran un informe en cuestión de segundos.
Por supuesto, eso no es todo. Esas mismas herramientas suelen fallar allí donde los seres humanos siempre tienen éxito. La tasa de falsos positivos (identificar amenazas que no existen) y de falsos negativos (pasar por alto por completo amenazas reales) está disminuyendo, pero sigue siendo significativa, lo que puede resultar costoso para cualquier empresa. Además, estas herramientas aún no comprenden del todo el contexto de las tareas que realizan, lo que significa que resulta complicado lograr que los probadores de seguridad basados en IA actúen dentro de los límites éticos y legales, o que no provoquen interrupciones del servicio o daños en el sistema no deseados.
Sin duda, la inteligencia artificial mejorará en los próximos meses, y es probable que estas limitaciones se atenúen o desaparezcan por completo. En las operaciones de seguridad modernas (SecOps), la inteligencia artificial mejora actualmente muchas de las funciones que realizan los analistas humanos, como la clasificación de alertas y el análisis inicial de las mismas para detectar posibles actividades maliciosas. Los sistemas modernos de inteligencia artificial pueden analizar conjuntos de datos cada vez más amplios para identificar patrones de ataque que podrían pasar desapercibidos para los observadores humanos, especialmente para aquellos que trabajan en departamentos que, , están sobrecargados de trabajo y carecen de personal suficiente. Además, las herramientas de IA pueden automatizar tareas esenciales que requieren mucho tiempo (análisis de registros, correlación de datos, respuesta inicial a incidentes), elaborar informes de inteligencia sobre amenazas y predecir posibles ataques.
Los primeros indicios apuntan a que la inteligencia artificial es una inversión inteligente. Según un informe de IBM publicado en sobre filtraciones de datos, disponible en March 2022 y March 2023, las organizaciones que utilizaron de forma extensiva la inteligencia artificial (IA) y la automatización en materia de seguridad ahorraron 1.76 millones de dólares en costes derivados de filtraciones de datos, en comparación con los grupos que no utilizaron la IA ni la automatización.
Dado que la inteligencia artificial está adquiriendo un papel cada vez más central en las operaciones de seguridad, cabe preguntarse: ¿Qué lugar ocuparán los seres humanos? Afortunadamente para los profesionales de la seguridad, tanto los expertos en inteligencia artificial como los del sector consideran que los seres humanos seguirán formando parte del equipo durante algún tiempo.
«La tecnología se basará en gran medida en la inteligencia artificial, pero las personas seguirán ocupando un lugar central», afirma Anton Chuvakin, asesor de seguridad de la oficina del CISO de Google Cloud. Aunque la inteligencia artificial pueda cambiar la forma en que los profesionales de la seguridad realizan su trabajo diario, reconoce que «el panorama general sigue siendo el mismo de siempre: las personas, los procesos y la tecnología».
En el ámbito de las operaciones de seguridad —tanto si su organización cuenta con profesionales de SecOps en general como si ha ampliado un centro de operaciones de seguridad (SOC) especializado , donde los equipos de seguridad comparten información y colaboran—, los expertos identifican cinco áreas principales en las que los seres humanos seguirán siendo el activo fundamental o en las que es probable que los trabajadores coexistan con la IA en un futuro previsible:
1. El análisis de la información sobre amenazas
Los equipos de inteligencia sobre amenazas llevan mucho tiempo sufriendo una sobrecarga de datos de seguridad , y el volumen cada vez mayor y la naturaleza cambiante de las ciberamenazas actuales no hacen más que agravar la situación. Randy Lariar, director de prácticas tecnológicas del centro de operaciones de seguridad de la empresa de servicios de seguridad Optiv, afirma que observa cómo los equipos de seguridad utilizan la inteligencia artificial para «analizar minuciosamente los estudios sobre amenazas y extraer la información relevante del ruido de fondo con mayor rapidez».
«La tecnología se basará en gran medida en la inteligencia artificial, pero las personas seguirán ocupando un lugar central.»Anton Chuvakin, asesor de seguridad de la oficina del CISO de Google Cloud
La IA puede automatizar determinados procesos de análisis de datos que resultan tediosos y requieren mucho tiempo; las herramientas de análisis de comportamiento basadas en IA pueden establecer rápidamente valores de referencia y detectar desviaciones en la actividad de los usuarios o del sistema; y el procesamiento del lenguaje natural, que permite a las herramientas de IA comprender la comunicación humana, puede ayudar a los equipos a rastrear la dark web en busca de complots cibernéticos y perfiles de usuarios. Lariar añade que los equipos de inteligencia sobre amenazas también utilizan la inteligencia artificial para elaborar los primeros borradores de sus informes y para mejorar sus comunicaciones.
Aunque la inteligencia artificial se encargará en el futuro del procesamiento intensivo de datos, los seres humanos seguirán siendo quienes, en última instancia, interpreten dichos datos. Lariar y otros expertos consideran que los analistas humanos seguirán formando parte del ciclo de inteligencia sobre amenazas para aportar un contexto fundamental a la información compleja y tomar decisiones estratégicas basadas en los resultados de la inteligencia sobre amenazas generados por la IA. Además, serán los trabajadores quienes creen y perfeccionen los modelos de inteligencia artificial.
2. Detección y análisis de amenazas
Para proteger los sistemas internos frente a posibles amenazas, los sistemas de inteligencia artificial pueden supervisar de forma constante grandes cantidades de datos sobre la actividad de las aplicaciones y de la red, necesarios para identificar patrones maliciosos. Y la IA puede hacerlo de forma constante y sin cansarse.
«[La IA puede ayudar a los equipos de SecOps] a analizar minuciosamente los estudios sobre amenazas y a extraer la información relevante del ruido con mayor rapidez.»Randy Lariar, director de prácticas de tecnología para centros de operaciones de seguridad, Optiv
No obstante, a pesar de estas ventajas, no se puede confiar plenamente en que los sistemas de IA funcionen sin supervisión humana, afirma Andrew Storms, vicepresidente de seguridad de Replicated, proveedor de una plataforma de distribución de software. La IA, que sigue siendo propensa a las denominadas «alucinaciones» (es decir, errores) y puede verse viciada por datos de entrenamiento defectuosos o con sesgos , debe someterse a un estricto control, y los seres humanos deben seguir tomando decisiones sobre qué alertas merecen una investigación más profunda y, tal vez, una respuesta inmediata.
«Hay que confiar en la IA hasta cierto punto y tener una idea de [su] fiabilidad, pero sigue siendo necesario el toque humano para confirmar las conclusiones de la IA y tomar las decisiones definitivas», afirma Storms.
3. Pruebas de penetración
Los evaluadores de seguridad basados en IA se parecerán más a colaboradores humanos que a sustitutos de estos. Las herramientas de IA pueden analizar redes, aplicaciones y sistemas para detectar vulnerabilidades y brechas de seguridad que los atacantes podrían aprovechar. Estos probadores de seguridad basados en IA también desarrollarán modelos de ataque complejos que podrían ser objeto de explotación y predecirán con gran precisión cómo podrían adaptarse los atacantes a los cambios en las defensas.
Por muy útil que resulte esto, Storms sostiene que los evaluadores de seguridad basados en IA seguirán siendo una prolongación de los evaluadores humanos, quienes ahora dispondrán de más tiempo para mejorar esos hallazgos mediante soluciones creativas y controles compensatorios. Y los seres humanos seguirán siendo imprescindibles a la hora de comunicar los resultados a los directivos.
4. Informes sobre el cumplimiento normativo
Del mismo modo que la IA puede analizar y evaluar las redes y aplicaciones empresariales en busca de indicios de actores maliciosos, también puede determinar el estado de cumplimiento normativo de una organización y supervisar de forma continua posibles situaciones en las que las aplicaciones, los datos o el acceso hayan dejado de ajustarse a los principios de las normativas nuevas y en constante evolución.
«. Hay que confiar en la IA hasta cierto punto. No obstante, sigue siendo necesario el toque humano para confirmar los resultados de la IA y tomar las decisiones definitivas.»Andrew Storms, vicepresidente de seguridad de Replicated
Por ejemplo, mediante el análisis de las prácticas corporativas, la actividad de la cadena de suministro y el impacto medioambiental, la IA puede ayudar a una multinacional a «elaborar estrategias eficaces para promover la sostenibilidad y, al mismo tiempo, reducir los riesgos de incumplimiento normativo», escribe Mathura Prasad, titular de la certificación CISSP, en una entrada del blog para la organización sin ánimo de lucro dedicada a la formación en ciberseguridad ISC2. Los chatbots basados en inteligencia artificial, como ChatGPT, siempre que se les proporcionen las indicaciones adecuadas, también pueden generar rápidamente declaraciones de riesgos y borradores de pólizas, resumir leyes y normativas en un lenguaje sencillo o traducir dicho material a otros idiomas.
Los expertos señalan que los seres humanos siguen siendo muy necesarios y lo seguirán siendo durante algún tiempo. Los miembros del equipo de operaciones de seguridad y cumplimiento normativo seguirán elaborando informes exhaustivos en los que se destaquen las tendencias en materia de cumplimiento normativo a lo largo del tiempo y, tal vez, se señalen aquellas áreas en las que se puedan mejorar los controles compensatorios. Estos informes requieren un nivel de matiz y una evaluación con visión de futuro que la inteligencia artificial no puede (y quizá nunca pueda) reproducir.
5. Gestión del SOC
Los responsables de seguridad humana que cuenten con el apoyo de la inteligencia artificial en los centros de operaciones de seguridad (SOC) comprobarán que sus organizaciones de seguridad son capaces de gestionar mayores volúmenes de datos de seguridad, reducir la fatiga por alertas entre los analistas de seguridad humanos y mantener una postura de seguridad sólida y constante.
Sin embargo, es poco probable que la gestión general del SOC pase a manos de la inteligencia artificial a corto plazo, ya que las capacidades creativas y estratégicas humanas, fundamentales para cualquier programa ágil de defensa en materia de ciberseguridad, no pueden ser sustituidas. «Creo que la tendencia será mantener a la gente al corriente», afirma Lariar. «Se confiará cada vez más en algunos de los procesos de automatización de bajo nivel impulsados por la toma de decisiones basada en la inteligencia artificial; sin embargo, incluso en esos casos, los equipos de seguridad de alto nivel seguirán analizando minuciosamente dicha toma de decisiones». «No he oído hablar de ningún SOC totalmente automatizado», afirma.
Es poco probable que, al menos durante algún tiempo —si es que alguna vez llega a ocurrir—, exista un SOC o un equipo de seguridad totalmente automatizado.
«Si se externalizan las tareas operativas del SOC a máquinas, ¿de dónde proceden dichas máquinas?», pregunta Chuvakin. «¿Quién construyó las máquinas? «Hoy en día, en gran medida, son los seres humanos quienes construyen las máquinas».
Y aunque se disponga de un SOC mayoritariamente autónomo, añade, ¿quién se encargaría de crear y gestionar la IA, de conectarla adecuadamente y de hacer que evalúe y gestione el entorno de forma correcta? «Esos serán los humanos».
