El mes pasado fue una buena noticia para las startups de (IA), y (tecnología avanzada) , cuando Barclays anunció la puesta en marcha de un nuevo «Innovation Hub» en Londres, una aceleradora de empresas tecnológicas impulsada por Barclays Eagle Labs —el ecosistema de incubadoras del banco— y creada en colaboración con una serie de gigantes tecnológicos, entre los que se incluyen Microsoft y Nvidia.
Como institución financiera líder del Reino Unido, Barclays está acostumbrada a encontrarse en esta posición de poder, aunque también de cierta precariedad, financiando la innovación en nuevos sectores controvertidos, como el de la inteligencia artificial, al tiempo que mantiene su papel como asesora en materia de riesgos para empresas de todo el Reino Unido y del mundo. Y el director de seguridad de la información (CISO), Andy Piper, desempeña un papel fundamental en este delicado equilibrio de alto riesgo.
En su calidad de director de seguridad de la información y de en Barclays, se encarga de identificar y supervisar las tecnologías de inteligencia artificial y automatización que el banco utiliza realmente. Esto implica establecer sistemas y protocolos para las sucursales de en más de 40 países y rendir cuentas ante más de 74 organismos reguladores.
Por supuesto, el sector de los servicios financieros lleva más de una década utilizando el trading algorítmico, por lo que se siente bastante cómodo y tiene experiencia con la IA, siempre y cuando sea seguro, transparente y esté bien regulado, señala Piper. A pesar de ello, su entusiasmo tiene sus límites. En concreto, le preocupa cómo la inteligencia artificial está transformando el panorama de la ciberseguridad de formas muy distintas y drásticas.
Piper es una de las 23 figuras destacadas del sector de las tecnologías de la información y la seguridad que comparten sus experiencias y puntos de vista del mundo real en el nuevo informe en línea « » () () «The Interconnection of People, Process and Technology» () () (), basado en entrevistas en profundidad con estos ejecutivos del sector procedentes de todo el mundo.
En el siguiente extracto —y en otros que se publicarán en las próximas semanas—, , el responsable de «Focal Point» , le ofrece una muestra de los conocimientos especializados de primer nivel que encontrará en el libro, elaborado por Chief Disruptor, una comunidad de miembros con sede en el Reino Unido dedicada a los innovadores empresariales y tecnológicos, en colaboración con Tanium, un proveedor líder de soluciones de ciberseguridad y de gestión autónoma de terminales (y editor de esta revista).
(Esta entrevista se ha editado por motivos de espacio y claridad.)
ANDY PIPER...
En cuanto a las competencias más importantes que debe poseer un CISO en esta época en la que los avances —la inteligencia artificial, la automatización, la tecnología cuántica, etc.— se suceden a un ritmo vertiginoso:
La habilidad que me resulta más útil es la capacidad de comunicarme bien, ya que una parte muy importante de mi trabajo consiste en hablar con organismos reguladores o consejos de administración —cuando no son expertos en tecnología—.
«No comprenden necesariamente la jerga informática más especializada, ni deberían hacerlo. A los consejos de administración les preocupa cómo afecta la ciberseguridad a los objetivos estratégicos, los riesgos y las operaciones empresariales.»
Es fundamental que un CISO sea capaz de explicar temas complejos de ciberseguridad a las partes interesadas sin conocimientos técnicos en términos que puedan comprender. No es que comprendan necesariamente la jerga informática tan específica de , ni tampoco deberían hacerlo. A los consejos de administración les preocupa cómo afecta la ciberseguridad a los objetivos estratégicos, al riesgo y a las operaciones empresariales. Mi función consiste en explicar [el riesgo] y ponerlo en relación con sus prioridades.
Sobre el impacto de la normativa de cumplimiento en los servicios financieros:
Una de las tareas fundamentales a las que dedico mi jornada es la gestión de los organismos reguladores: más de 74 , según el último recuento. Cada uno de ellos tiene unos requisitos de ciberseguridad específicos, algunos de los cuales se solapan y otros entran en conflicto. Gestionar y garantizar el cumplimiento normativo de todas ellas supone un trabajo a tiempo completo. Incluso la notificación de incidentes varía: algunas autoridades reguladoras exigen que se les notifique en cuestión de minutos, otras en cuestión de horas y otras cuando se produzca una novedad relevante.
«Si un organismo regulador propone un documento de trabajo que quizá algún día se convierta en una normativa, nos aseguramos de comprenderlo y, con suerte, lo orientamos en una dirección que nos resulte útil.»
Contamos con procesos de análisis prospectivo que se centran en prever cuándo podrían modificarse estas normativas. Nos preguntamos: ¿en qué consiste el cambio? ¿Y cómo podemos adaptar nuestra tecnología para adelantarnos a esa tendencia? Si un organismo regulador propone un documento de trabajo que quizá algún día se convierta en una normativa, nos aseguramos de comprenderlo y, con suerte, lo orientamos en una dirección que nos resulte útil. Asimismo, estamos obligados a reunirnos con las autoridades reguladoras cada trimestre, cada seis meses o cada año. La comunicación eficaz con las autoridades reguladoras es, en sí misma, una competencia clave. Una vez más, se trata de plasmar las realidades técnicas en relatos accesibles y precisos.
[Lea también: Cómo cumplir con la Ley de IA de la UE: comience por determinar su nivel de riesgo]
La regulación es una carga enorme, enorme… Casi digo «carga». No es una carga. Es… es un reto, algo que debemos gestionar, y si no lo hacemos correctamente, podría tener un impacto enorme en la organización.
Sobre el problema de los chatbots de inteligencia artificial:
El uso de la IA generativa se ha disparado, y ese ritmo está creando una brecha que todos estamos tratando de acortar. Ahora está en todas partes. Casi todos los proveedores con los que hablo me dicen: «Oiga, tenemos un nuevo chatbot de IA de :». En muchos casos, eso supone un problema para mí. A menudo nos vemos obligados a desactivar las herramientas de terceros que utilizan inteligencia artificial, ya que no podemos verificar su nivel de seguridad, lo cual está directamente relacionado con el cumplimiento normativo. Por lo tanto, la velocidad supone un reto importante en estos momentos.
«Quiero que mi equipo sea visto como un facilitador, no como un obstáculo.»
Además, hay dos aspectos que hay que tener en cuenta: por un lado, «¿Cómo se garantiza la seguridad de la IA?» y, por otro, «¿Cómo se utiliza la IA para garantizar la seguridad de otros elementos?». Planteamos preguntas difíciles: ¿A dónde van a parar los datos introducidos por los usuarios?, ¿se almacenan?, ¿se utilizan para entrenar modelos? y ¿podemos confiar en los resultados que ofrecen? No queremos que datos sensibles, como la información de identificación personal (PII) o los datos exclusivos de la marca, se introduzcan en herramientas sobre las que no podamos ejercer un control total ni realizar auditorías. Por el contrario, la inteligencia artificial nos ayuda a analizar miles de millones de incidentes de seguridad diarios para identificar amenazas reales, lo que pone de relieve el valor operativo de la automatización.
Del mismo modo, desde el punto de vista de las amenazas, muchos de los aspectos que hemos enseñado a nuestros trabajadores a detectar han desaparecido. El correo de phishing generado por IA es prácticamente perfecto: tanto en cuanto a la gramática como al tono y la estructura. Esto está haciendo que la formación tradicional sobre amenazas por correo electrónico quede obsoleta. El «envenenamiento de modelos» constituye otra amenaza real, ya que los actores malintencionados influyen en el comportamiento de los sistemas de inteligencia artificial.
Sobre la mejora de la reputación de los equipos de seguridad:
Mi aspiración es redefinir la percepción de la seguridad, alejándome de la antigua idea del CISO como «la casa del no». Quiero que mi equipo sea visto como un facilitador, no como un obstáculo. Esto implica trabajar en colaboración con la empresa, alineando nuestros objetivos y estrategias. La respuesta habitual que se debe dar a la empresa debería ser: «Sí, siempre que se apliquen los controles adecuados».
PARA OBTENER MÁS INFORMACIÓN:
Consulte las opiniones de otros 22 responsables de TI y seguridad de WPP, Spotify, Unilever, NHS Digital y otras organizaciones en «La interconexión entre las personas, los procesos y la tecnología».
