La ciberseguridad y la era de la IA: navegar como un arma de doble filo

Rachel Hayes y Róisín Culligan, de William Fry, examinan el panorama actual de la ciberseguridad frente a la evolución de la tecnología y las crecientes regulaciones.

No hay duda de que las tecnologías emergentes, como la IA, son sin duda una herramienta valiosa para las empresas. Al mismo tiempo, también crean mayores riesgos y desafíos cibernéticos.

En los últimos tiempos se ha producido un cambio sísmico en el uso de la IA en un contexto de ciberseguridad que, como tecnología, es a la vez el problema y la solución para las empresas que buscan estar preparadas y mitigar las amenazas cibernéticas. El desarrollo de las tecnologías de IA ha visto un aumento en las herramientas de detección de amenazas cibernéticas, pero también (y de manera más desafiante) ha dado como resultado un nuevo panorama de amenazas cibernéticas.

Hasta hace poco, términos como ataques de jailbreak y ataques de inyección rápida no eran muy conocidos, pero ahora se están volviendo más comunes. En respuesta a esta nueva era de amenazas cibernéticas, los legisladores europeos están a punto de promulgar nuevas leyes para garantizar que existan normas armonizadas para la ciberseguridad en toda la UE, lo que, por primera vez, significa que ciertas organizaciones necesitarán ser responsable de la ciberseguridad. estándares.

Aumento esperado de amenazas y ataques.

Un informe reciente del Consejo Nacional de Seguridad Cibernética del Reino Unido encontró que, a nivel mundial, es probable que el panorama de amenazas de ransomware aumente en los próximos dos años. El informe sugiere que una de las razones de esto es que la IA ha reducido la barrera para que los ciberdelincuentes y piratas informáticos novatos lleven a cabo operaciones efectivas de acceso y recopilación de información.

Con tecnologías emergentes como la IA, los ciberataques se están volviendo más sofisticados y los sistemas u organizaciones no los detectan tan fácilmente. Los ataques de ransomware continúan dominando el panorama de la seguridad cibernética, y más organizaciones que nunca informan haber sido víctimas de estos ataques.

Además, la naturaleza cada vez más interconectada de las cadenas de suministro significa que las vulnerabilidades únicas pueden comprometer redes enteras, como quedó demostrado en la filtración de datos de Moveit en 2023.

Si bien las empresas sin duda tendrán que afrontar los desafíos que supone el aumento de las amenazas a sus sistemas, la IA también puede ser una herramienta valiosa para aumentar la resiliencia cibernética.

¿Cómo ayuda la IA a la ciberseguridad?

La IA tiene muchas aplicaciones en ciberseguridad, desde la detección de fraude hasta el análisis y la prevención. Un número cada vez mayor de organizaciones ya está utilizando la IA para ayudar a su personal de ciberseguridad a defenderse de los ciberataques.

Se está implementando IA para identificar y mitigar posibles riesgos cibernéticos mediante el análisis de datos y el descubrimiento de debilidades en el software y las redes mediante pruebas de penetración. La capacidad de la IA para analizar patrones de comunicación la hace particularmente útil para reconocer e interceptar intentos de phishing, e incluso para simular dichos ataques para ayudar a entrenar los ojos de los empleados.

Esta tendencia es algo que está incluso aprobado a nivel de la UE, y bajo la Directiva NIS2 se anima a las organizaciones a hacer uso de sistemas de aprendizaje automático o IA para mejorar sus capacidades de ciberseguridad y la seguridad de redes y sistemas de información.

¿Cómo se utiliza la IA en los ciberataques?

Del otro lado de la espada, los ciberdelincuentes pueden explotar la IA para lanzar ataques sofisticados y peligrosos contra las empresas.

Esquemas de ingeniería social: Los ciberdelincuentes utilizan la IA para crear mensajes o llamadas falsos y convincentes que engañan a las víctimas para que revelen información confidencial o cometan errores de seguridad.

Hackeo de contraseñas: Los ciberdelincuentes utilizan la IA para mejorar los algoritmos que utilizan para descifrar contraseñas, haciéndolos más rápidos y precisos.

Falsificaciones profundas: Los ciberdelincuentes utilizan la IA para manipular contenido visual o de audio y hacerse pasar por otra persona, creando videos o llamadas falsos que pueden dañar la reputación, difundir información errónea u obligar a tomar medidas.

Intoxicación de datos: Los ciberdelincuentes utilizan la IA para alterar los datos utilizados por un sistema de IA, influyendo en sus decisiones y provocando que funcione mal o se comporte de manera maliciosa.

Estos son solo algunos ejemplos de cómo los ciberdelincuentes pueden utilizar la IA con fines maliciosos, lo que plantea graves amenazas a las personas, las organizaciones y la sociedad. Por lo tanto, es fundamental desarrollar contramedidas eficaces y directrices éticas para prevenir y mitigar los efectos nocivos de los ciberataques basados ​​en la IA.

mayores obligaciones regulatorias de Europa

En reconocimiento del escenario de ciberseguridad en la era de la IA (y la introducción de otras tecnologías emergentes), la UE ha revisado los marcos existentes y se deben implementar una serie de nuevas obligaciones legales:

Según la Directiva NIS2, las entidades operativas esenciales o importantes deberán implementar medidas técnicas, operativas y organizativas para cumplir con las nuevas obligaciones de información y gestión de riesgos cibernéticos. Estas entidades también deberán analizar sus operaciones comerciales, incluido cualquier uso de tecnologías de aprendizaje automático o inteligencia artificial, y garantizar que sus operaciones comerciales cuenten con sistemas sólidos de ciberseguridad.

Como reflejo de la seriedad con la que la UE está tratando el ámbito de la ciberseguridad, NIS2 impone obligaciones a los órganos de dirección de las entidades dentro del ámbito de aprobar las medidas tomadas por las empresas y supervisar su implementación. Con multas significativas y la posibilidad de responsabilidad personal de los altos ejecutivos, NIS2 cambiará las reglas del juego y la agenda a nivel de la junta directiva de varias organizaciones este año, dado el mayor riesgo para los altos ejecutivos.

Con el texto de la Ley de IA de la UE aprobado recientemente por el Parlamento Europeo, las organizaciones que utilicen sistemas de IA de «alto riesgo», tal como se definen en la Ley de IA, tendrán que asegurarse de cumplir con una serie de estándares de ciberseguridad continuos que funcionan de manera consistente en todo el mundo. período. el ciclo de vida del sistema. Esto incluirá la incorporación de soluciones técnicas para la prevención, detección, respuesta y control del envenenamiento de datos, envenenamiento de modelos, evasión de modelos, ataques a la confidencialidad o defectos en el modelo.

Mirando hacia el futuro, la Ley de Resiliencia Cibernética, aunque todavía en forma de borrador, probablemente se adopte este año y requerirá que los fabricantes de software o hardware incluyan elementos digitales que incorporen la ciberseguridad en el diseño, desarrollo y distribución de sus productos. .

Según la Ley de Ciberseguridad, la UE tiene la intención de introducir el Sistema Europeo de Certificación de Ciberseguridad para Servicios en la Nube (EUCS). Se trata de un plan voluntario, aplicable a todos los tipos de servicios en la nube en toda la UE, que tiene como objetivo aumentar la confianza en los servicios en la nube imponiendo un conjunto de requisitos de seguridad para que los servicios en la nube alcancen una serie de áreas, incluida la transparencia, la localización de datos y el sector. . requisitos específicos. El plan se encuentra actualmente en formato de borrador y muchos actores importantes de la industria tecnológica lo siguen con entusiasmo.

Si bien el enfoque de la UE en la ciberseguridad conducirá sin duda a una mejor protección de los consumidores individuales y salvaguardará a las empresas de los impactos devastadores de los ciberataques, el establecimiento de medidas de seguridad sólidas en todos los puntos finales de la organización plantea un gran desafío.

Las tecnologías emergentes y el rápido desarrollo de la IA se han vuelto esenciales para muchas empresas, introduciendo eficiencias y aumentando los niveles de productividad. Sin embargo, como se ha descrito, estos avances tecnológicos también han expuesto a las empresas a una mayor probabilidad de enfrentar amenazas cibernéticas, algo que la UE ha reconocido en su estrategia digital para el futuro.

Comprender estas tendencias y responder adecuadamente es crucial para cualquier empresa que busque salvaguardar sus productos y servicios en la era digital. Además, donde la ciberseguridad es parte de la conversación principal tanto a nivel de privacidad individual como ahora también a nivel de junta directiva, las empresas deberán examinar los pasos que pueden tomar para fomentar la confianza tanto con los consumidores como con las partes interesadas de las empresas.

Por Rachel Hayes y Róisín Culligan

Rachel Hayes es socia y Róisín Culligan es asociada, ambas de William Fry.

Descubra cómo las tendencias tecnológicas emergentes se están transformando el mañana con nuestro nuevo podcast, Future Human: The Series. Escucha ahora Spotifyen Manzana o dondequiera que obtengas tus podcasts.