El próximo incidente de ciberseguridad podría no ser causado por una persona
Durante el Mes de la Ciberseguridad, el debate sobre la inteligencia artificial adquiere una dimensión operativa
Las identidades no humanas ya acceden a sistemas, consultan información y ejecutan tareas dentro de las empresas. La expansión de los agentes de inteligencia artificial, bots y API plantea un desafío de seguridad que exige controles definidos.
La gerente de alianzas estratégicas de Controles Empresariales, Vanessa Delgado, advirtió que el foco de la protección digital ya no puede limitarse a las personas. Las organizaciones también deben gestionar las identidades digitales que operan en sus entornos tecnológicos.
Las empresas incorporan estas herramientas para automatizar procesos, elevar la productividad y mejorar la eficiencia. Pero cada nueva conexión con aplicaciones, datos o procesos internos abre interrogantes sobre permisos, supervisión y responsabilidades.
Una identidad digital no humana puede convertirse en un riesgo cuando accede a información estratégica o ejecuta acciones sin un responsable, límites de permisos ni registros de actividad. Los agentes de IA, bots y API requieren gobierno, monitoreo y trazabilidad porque participan de forma activa en los sistemas corporativos.
Los agentes de IA ya actúan dentro de los sistemas corporativos
Durante el Mes de la Ciberseguridad, el debate sobre la inteligencia artificial adquiere una dimensión operativa. El desafío no consiste solo en adoptar estas tecnologías, sino en establecer condiciones para utilizarlas de forma segura y responsable.
Un agente de IA puede analizar datos, generar respuestas o poner en marcha acciones específicas. Cuando cuenta con acceso a plataformas empresariales o información sensible, deja de ser una herramienta aislada y pasa a integrar el ecosistema digital de una compañía.
Los bots también pueden conectar aplicaciones críticas. Las API, por su parte, permiten el intercambio de información entre sistemas que forman parte de las operaciones de una organización.
Delgado sostuvo que estas capacidades requieren mecanismos de administración equivalentes a los que se aplican sobre los empleados. Un colaborador tiene un cargo, tareas asignadas y procesos definidos, mientras que muchas identidades no humanas ingresan a los entornos corporativos sin un modelo similar de gestión.
La falta de controles amplía la superficie de riesgo
La rapidez con la que las empresas adoptan soluciones de inteligencia artificial puede derivar en accesos otorgados sin una revisión suficiente. La pregunta ya no se limita a qué tareas puede realizar cada tecnología, sino a quién la controla y bajo qué condiciones opera.
Cada identidad digital que consulta datos o dispone de capacidad de ejecución necesita permisos definidos. También requiere un propietario dentro de la organización que asuma la responsabilidad por su uso, sus configuraciones y sus accesos.
La ausencia de reglas sobre esos elementos puede abrir nuevas superficies de riesgo. Un permiso excesivo, un acceso heredado o una integración que continúa activa después de perder su utilidad pueden afectar la seguridad de los sistemas.
La representante de Controles Empresariales remarcó que las organizaciones deben saber qué información puede consultar cada identidad, qué acciones tiene autorizadas y cómo se registran sus intervenciones.
La inteligencia artificial también puede facilitar ataques
El uso de inteligencia artificial no solo fortalece las capacidades de automatización y análisis. Las mismas tecnologías pueden ser utilizadas por actores maliciosos para agilizar ataques y crear mecanismos de engaño más difíciles de identificar.
Entre los riesgos mencionados figuran la automatización de ataques, la creación de identidades falsas, las campañas de phishing más sofisticadas y la producción de contenido fraudulento con alta credibilidad.
Ese escenario obliga a ampliar los criterios tradicionales de ciberseguridad. La gestión de usuarios humanos ya no alcanza para cubrir todos los accesos y procesos que intervienen en una red corporativa.
La supervisión debe contemplar a las identidades no humanas que se vinculan con activos críticos. La capacidad de una herramienta para operar de forma automatizada exige conocer sus permisos y detectar comportamientos fuera de los parámetros esperados.
Seis medidas para administrar las identidades digitales
La primera recomendación consiste en asignar un responsable a cada agente de IA, bot o integración. Esa persona debe estar claramente identificada dentro de la organización.
La segunda medida apunta a aplicar el principio de mínimo privilegio. Los permisos deben limitarse a las funciones estrictamente necesarias para que la identidad digital cumpla su objetivo.
El tercer punto es asegurar que todas las actividades queden registradas. La trazabilidad permite conocer qué acciones realizó una identidad no humana y facilita las auditorías posteriores.
También resulta necesario revisar los accesos de forma periódica. Ese control permite detectar privilegios innecesarios o permisos que permanecieron activos pese a que ya no corresponden.
La quinta recomendación es implementar monitoreo permanente. La supervisión facilita la detección de accesos no autorizados, conductas inusuales o actividades que se apartan del patrón previsto.
La última medida consiste en definir procedimientos de desactivación y retiro. Cuando una identidad digital deja de ser necesaria, sus permisos deben eliminarse de forma controlada y documentada.
La responsabilidad debe acompañar a cada acceso
La presencia de agentes inteligentes transforma el concepto de identidad digital dentro de las organizaciones. El control ya no depende únicamente de identificar a las personas que ingresan a una plataforma o utilizan una credencial.
Las empresas deberán establecer quién administra cada identidad no humana y qué controles acompañan sus operaciones. Esa definición incluye permisos, registros de actividad, revisiones de acceso y procesos de baja.
El riesgo, según planteó Delgado, puede surgir de una identidad digital cuya administración no esté clara. El próximo incidente de ciberseguridad podría no tener detrás a una persona, sino a una herramienta con acceso que nadie supervisaba adecuadamente.
Fuente: Redes sociales
