Encontrar vulnerabilidades nunca fue la parte difícil
Sigo escuchando la misma frustración cuando hablo con los líderes de seguridad. El verdadero problema en su escritorio no es encontrar vulnerabilidades. Se trata de decidir cuáles realmente importan.
La industria ha gastado miles de millones en una mejor visibilidad. Nos hemos convencido a nosotros mismos de que si pudiéramos descubrir más vulnerabilidades, recopilar más datos e ingerir más inteligencia sobre amenazas, estaríamos más seguros. Pero mira a tu alrededor. Las organizaciones todavía no son más seguras. Simplemente están abrumados.
Entonces llegó la IA y cambió el juego por completo. En cuestión de meses, el descubrimiento de vulnerabilidades se aceleró drásticamente. Los sistemas de inteligencia artificial revisan el código más rápido que los investigadores humanos. Identifican debilidades a una escala sin precedentes. Escanean continuamente sin limitaciones de tiempo, personal o atención. Los titulares han estado por todas partes. Los líderes gubernamentales están reevaluando las leyes de IA. Los directores ejecutivos dan vueltas y vueltas por la noche.
Pero nos estamos centrando en el tema equivocado. En realidad, nada de esto resuelve lo que más importa.
Durante años, los equipos de seguridad se han ahogado en hallazgos. Cada nueva fuente de amenazas prometía una mayor visibilidad. En cambio, lo que llegó fue ruido: más datos, más alertas, más paneles, más vulnerabilidades. Rara vez claridad. Ahora la IA está echando gasolina a ese fuego.
Las conversaciones sobre la IA en la ciberseguridad a menudo quedan estancadas en el lugar equivocado. La gente debate si ayudará a los defensores a moverse más rápido o permitirá a los atacantes más fácilmente. Ambos importan, pero no son el tema central.
La verdadera consecuencia de la IA es que está exponiendo algo que las organizaciones han evitado enfrentar. Una vulnerabilidad no es un riesgo, es sólo una pista. El riesgo surge cuando la información se conecta con el contexto: qué tan crítico es el activo afectado, qué controles lo rodean, qué tan probable es su explotación, los procesos de negocios que respalda y qué sucede operativamente si falla.
Sin ese contexto, la priorización se vuelve imposible. Los recursos se gastan en problemas de bajo riesgo mientras que las vulnerabilidades de misión crítica permanecen sin solucionarse.
Ahora la IA está haciendo que el problema del volumen de datos sea casi imposible de comprender. Una empresa que trabaja con cientos de proveedores de software, proveedores de nube, contratistas y socios tecnológicos debe investigar cada relación. Es como una muñeca de ciberseguridad donde la IA identifica continuamente vulnerabilidades en todo el ecosistema, cada minuto de cada día.
El verdadero desafío hoy no es descubrir las debilidades. Se trata de determinar cuáles de las decenas de miles de debilidades recientemente descubiertas podrían en realidad alterar las operaciones, afectar a los clientes, detener los ingresos o crear exposición regulatoria. La mayoría de las organizaciones no pueden responder esa pregunta rápidamente.
Algunos todavía clasifican el riesgo utilizando puntuaciones de gravedad creadas para equipos técnicos en lugar de para líderes empresariales. Otros dependen de la clasificación manual, que ya tenía problemas antes de la IA. Muchos todavía miden la madurez de la seguridad por la cantidad de hallazgos que identifican en lugar de por la velocidad y precisión de sus decisiones.
Estos enfoques ya no funcionan. Probablemente tampoco funcionaron ayer.
Lo que resulta incómodo de reconocer es que la IA no está creando una crisis de ciberseguridad. Es revelador uno que ha existido durante años. Las organizaciones que tengan éxito en este mundo de IA transformarán el descubrimiento en juicio más rápido que sus competidores. Cuando la IA puede encontrar casi todas las debilidades, la seguridad pertenece a quienes saben sobre qué actuar. Pertenece a quienes pueden conectar los datos con la realidad empresarial.
Esa es la verdadera ventaja. Eso es lo que separa a las organizaciones seguras de aquellas que simplemente recopilan más hallazgos.
