Entre el rápido auge de la IA en la sombra y el creciente número de estafas y ciberataques basados en la IA, ahora (como, por ejemplo, ayer) es un momento crucial para que las empresas den prioridad a la formación en IA, y los CISO pueden asumir el liderazgo en este sentido.
Según una encuesta de realizada a ISC2 de los más de 15,000 responsables de seguridad de la información y otros profesionales y responsables de la toma de decisiones en materia de ciberseguridad, el 90 % afirma que se enfrenta a una escasez de competencias en su organización, y más de la mitad de los encuestados considera que dicha escasez supone un riesgo significativo para su organización. ¿Cuál es la principal carencia de competencias que se ha comunicado a la organización internacional de formación y certificación en ciberseguridad? IA.
Los CISO son fundamentales para fomentar la sensibilización en torno a la IA, desarrollar competencias, elaborar programas de formación y elaborar directrices para un uso seguro. Sin estas medidas, las amenazas teóricas como la «IA en la sombra» —es decir, que los empleados utilicen herramientas o aplicaciones de IA sin la autorización del departamento de TI o, lo que es peor, sin que ellos mismos sean conscientes de ello — se convierten en algo prácticamente inevitable, afirma Jordan Rae Kelly, director general sénior y responsable de ciberseguridad para las Américas en la consultora de gestión empresarial FTI Consulting.
«Las empresas y los empleados encontrarán la forma de utilizar la inteligencia artificial, y si no están informados o no conocen bien esas tecnologías, la empresa perderá el control sobre cómo se utiliza su información y qué es lo que pueden proteger», afirma. Por ejemplo, un empleado podría utilizar herramientas de análisis basadas en inteligencia artificial para analizar datos de clientes, cifras de ventas o comentarios de los clientes, lo cual supone un riesgo para los datos confidenciales.
La visibilidad de todos los dispositivos de una organización es esencial para mantener a raya este tipo de riesgos, pero ello hace recaer todo el peso y la responsabilidad de garantizar la seguridad de una empresa en unos departamentos de seguridad con falta de personal y sometidos a una presión excesiva. Una seguridad integral requiere un esfuerzo en equipo.
Para mantenerse al día con el panorama de la inteligencia artificial, en constante evolución, los CISO deben dar prioridad a la formación a todos los niveles: dentro de su propio departamento, en el equipo directivo de y en toda la organización. Y esto debe llevarse a cabo antes, durante y después del desarrollo de políticas de gobernanza de la IA . Estas cuatro directrices constituyen un buen punto de partida.
1. Alinee sus acciones con las prioridades empresariales antes de abordar las políticas sobre inteligencia artificial
Para definir de manera eficaz cómo se gestiona la IA, los CISO deben, en primer lugar, informarse sobre el modelo de negocio de la organización en lo que respecta a la IA, afirma Ali Aqel, consultor de ciberseguridad y experto en seguridad de la IA en la empresa de selección de personal ALKU.
«. Los empleados encontrarán la manera de utilizar la IA y, si no están informados o no conocen bien esas tecnologías, la empresa perderá el control.»Jordan Rae Kelly, director general sénior y responsable de ciberseguridad para América, FTI Consulting
«Un CISO debe reunirse con la empresa y con los distintos departamentos de la organización tecnológica para comprender qué cargas de trabajo van a utilizar para la IA, qué tipos de servicios van a emplear, cuáles son sus funcionalidades y cuáles son los requisitos empresariales y funcionales necesarios para la IA», afirma.
En el contexto del uso de la inteligencia artificial, las cargas de trabajo de las aplicaciones abarcan las operaciones y actividades que deben ejecutar las aplicaciones basadas en inteligencia artificial; por ejemplo, las cargas de trabajo de las aplicaciones de procesamiento y análisis de datos pueden incluir tareas como la limpieza, la organización y la transformación de grandes conjuntos de datos para que resulten adecuados para el entrenamiento de modelos de inteligencia artificial. «Una vez que tengan una idea clara de esto», afirma Aqel, «el equipo de seguridad podrá empezar a elaborar y armonizar todos los requisitos, normas, políticas y procesos que rodean a ese requisito de inteligencia artificial».
Al comprender los modelos de negocio de la organización, los CISO pueden empezar a diseñar programas de formación y sensibilización sobre los riesgos que se centren en las amenazas y oportunidades más relevantes relacionadas con la IA , afirma.
[Lea también: 4 prioridades de liderazgo críticas para los CISO en la era de la IA]
Además, los CISO pueden dirigirse a sus directores financieros y a otros ejecutivos para señalarles cómo esos programas de formación en inteligencia artificial contribuyen al crecimiento de los ingresos y/o evitan pérdidas. «Una de las competencias que se echa en falta en la profesión es la capacidad de contextualizar la ciberseguridad… como motor empresarial», señala Andy Woolnough, vicepresidente ejecutivo de asuntos corporativos de ISC2 , en un episodio reciente de «» ( ) del podcast «: Solution Spotlight» ( ). «Hay que ser capaz de convencer al director financiero; es tan sencillo como eso».
2. Formar a los directivos mediante debates sobre la elaboración de políticas en materia de inteligencia artificial
Los CISO desempeñan un papel fundamental a la hora de informar a la alta dirección sobre los riesgos y los beneficios de la IA, y estas conversaciones cruciales deben tener lugar cuando (o, mejor aún, antes de que) las organizaciones comiencen a elaborar directrices sobre políticas de IA, afirma Kelly. Los CISO deberían impulsar estos debates en torno a una serie de consideraciones de seguridad.
«[Los equipos de seguridad] deben comprender qué es lo que están traduciendo, desarrollando y protegiendo.»Ali Aqel, consultor de ciberseguridad y experto en seguridad de la inteligencia artificial, ALKU
«Deberían abordar temas que sean importantes para el sistema de seguridad de la información de la empresa, como la protección de datos, la propiedad intelectual y cómo analizan los resultados de los modelos de IA y llevan a cabo su validación», afirma. «Deberían ser muy concretos en cuanto a cómo se lleva a cabo la experimentación y deberían participar en las evaluaciones de sobre aspectos como el sesgo y la equidad».
Según Aqel, es fundamental impulsar estas conversaciones, ya que ayudan a los directivos a comprender los riesgos y las ventajas de la IA y, en última instancia, a conseguir su apoyo en la gestión de riesgos relacionados con la IA.
[Véase también: 5 objetivos clave para orientar los presupuestos de ciberseguridad en 2025]
A medida que la inteligencia artificial sigue evolucionando, los CISO deben mantener informados a los altos directivos con actualizaciones sobre nuevas amenazas, oportunidades y tendencias emergentes. Las reuniones informativas o los informes periódicos pueden contribuir a mantener a la dirección al corriente de la situación.
3. Adquirir conocimientos básicos sobre los fundamentos de la inteligencia artificial dentro del equipo de seguridad
Según Aqel, los CISO deben asegurarse de que su equipo de seguridad cuente con conocimientos básicos sobre el funcionamiento de la inteligencia artificial.
«Deben comprender qué es lo que están traduciendo, desarrollando y protegiendo». «Deben comprender los diferentes modelos de IA, como el aprendizaje automático, el aprendizaje profundo, el procesamiento del lenguaje natural y los modelos especializados», afirma. «Es muy importante que el personal de seguridad comprenda estos aspectos, ya que debe saber cómo imitar los controles de seguridad de estos modelos».
Aqel recomienda que los equipos de seguridad dediquen al menos cuatro horas al mes, en bloques de una hora, a la formación en inteligencia artificial. Esta formación podría impartirse en diversos formatos: sesiones a puerta cerrada en las que los equipos profundicen en un tema concreto, formación reglada a través de recursos como Pluralsight, o bien formación y certificaciones a través del proveedor de IA de la organización. Es importante —añade Aqel— que los equipos de seguridad dispongan de un presupuesto específico para financiar la formación de los empleados en tecnologías emergentes como la inteligencia artificial.
4. Impulsar la formación en inteligencia artificial en toda la empresa
La formación de todos los empleados sobre cómo utilizar la IA de forma segura fomenta la concienciación y la comprensión de los riesgos específicos asociados a las tecnologías de IA, desde los ataques adversarios y la contaminación de datos hasta las cuestiones éticas y el cumplimiento normativo de la normativa « ». Esto ayuda a la organización a proteger mejor sus sistemas de inteligencia artificial, a salvaguardar los datos y a garantizar el cumplimiento de la normativa del sector.
Además, contribuye a inculcar en todos los empleados, independientemente de su nivel jerárquico, un sentido de compromiso: Todos forman parte del equipo a la hora de proteger la organización.
Las áreas prioritarias del programa de formación de una organización variarán en función de la empresa, afirma Kelly. Por ejemplo, muchos sistemas de inteligencia artificial utilizados para el análisis de datos se basan en datos que, a menudo, incluyen información sensible o de carácter personal. Se debe formar a los empleados sobre la importancia de proteger estos datos y de cumplir con determinadas normativas para evitar filtraciones y consecuencias legales.
Para que estos programas tengan éxito, Kelly afirma que deben incluir ejemplos que sean aplicables a los empleados que reciben la formación. Esto podría incluir un correo electrónico que parezca proceder del director general de su empresa y en el que se solicite una transferencia bancaria urgente para una nueva iniciativa empresarial, así como alertar a los empleados sobre las posibles señales de alerta (indicios reveladores como una redacción inusual, incoherencias en el remitente o solicitudes de información confidencial) que indiquen un intento de phishing , un caso de «business email compromise» u otras formas de ingeniería social .
«Esto les ayuda a comprender realmente, con todo detalle, cómo se van a aplicar en la práctica a la organización las decisiones relacionadas con los riesgos de la IA», afirma.
