De la mano del Navarra Cibersecurity Center, la Fundación Industrial Navarra llevó a cabo el pasado viernes 6 de junio una Mesa de Gestión de TIC en la que ofreció una visión clara de cómo la IA y la ciberseguridad están interconectadas y cómo las empresas deben adaptarse rápidamente a un entorno tecnológico que cambia constantemente. Las organizaciones deben estar no solo al tanto de las amenazas actuales, sino también preparadas para cumplir con las nuevas regulaciones que atribuyen responsabilidad directa a la alta dirección.
La interrelación entre la IA y la ciberseguridad y la transformación que supone se puede entender fundamentalmente desde tres perspectivas.
En primer lugar, el rol de la IA como motor de evolución tecnológica en el desarrollo de herramientas avanzadas de seguridad. La IA no solo permite la detección proactiva de ciberamenazas, sino que también mejora la automatización en la respuesta ante incidentes, optimizando la eficiencia y reduciendo los tiempos de reacción ante ataques. Herramientas como la integración de IA con plataformas de monitorización, y el análisis predictivo de amenazas, permiten identificar patrones de comportamiento anómalos y predecir vectores de ataque con mayor precisión. Sin embargo, el uso de la IA no está exento de riesgos.
En un segundo lugar, la adopción de los ciberdelincuentes de la IA para sofisticar sus métodos de ataque. El phishing ha evolucionado gracias a la IA, permitiendo la creación de mensajes más convincentes y personalizados, lo que dificulta la detección por parte de los sistemas de seguridad tradicionales. Asimismo, la suplantación de identidad a través de deepfakes o el vishing están incrementando el riesgo de fraudes dentro de las organizaciones, incluso engañando a empleados entrenados para detectar tales amenazas.
Por último, la propia IA lleva inherentes unos riesgos que hay que analizar. A pesar de su potencial para mejorar la seguridad, también es vulnerable. Los ataques a modelos de IA, como el data poisoning o la manipulación de datos, pueden alterar los sistemas de seguridad y permitir el acceso no autorizado. La falta de interpretabilidad de ciertos modelos de IA también genera un desafío, ya que las decisiones tomadas por estos sistemas no siempre son claras, lo que dificulta su supervisión y auditoría.
Otro aspecto clave es la normativa vigente, especialmente la Directiva NIS 2 de la Unión Europea, que establece nuevas obligaciones para las empresas en cuanto a la protección de sus redes y sistemas de información. Esta directiva amplía el alcance de la ciberseguridad a nuevos sectores y establece la responsabilidad de los órganos directivos de las empresas en el cumplimiento de las medidas de seguridad. Además, la normativa refuerza las medidas de seguridad en la cadena de suministro y promueve la cooperación internacional, creando una red de colaboración para la gestión de ciberincidentes.
Asimismo, cabe destacar el Reglamento de Ciberresiliencia (CRA), que establece requisitos obligatorios de ciberseguridad para los productos con componentes digitales. Este reglamento impone medidas de seguridad en el diseño, desarrollo y mantenimiento de productos tecnológicos, buscando garantizar un nivel adecuado de protección a lo largo de todo su ciclo de vida. La necesidad de garantizar productos más seguros y actualizados se convierte en una prioridad tanto para los fabricantes como para los consumidores.