Cómo lograr que la arquitectura de ciberseguridad de las empresas sea más resiliente

La arquitectura de ciberseguridad de las empresas es crítica para prevenir incidentes de seguridad en un contexto de auge de las ciberamenazas impulsadas por la IA

A finales de abril, Google, una de las mayores compañías tecnológicas del mundo, reconoció que el 75% del nuevo código creado en la empresa ya es generado por IA. Este dato evidencia el cambio de paradigma que ha experimentado el desarrollo de aplicaciones en los últimos años.

Hoy en día, gran parte de las aplicaciones de las empresas están desarrolladas usando sistemas de Inteligencia Artificial que permiten reducir los tiempos de desarrollo de forma exponencial.

Esta revolución tecnológica trae consigo evidentes ventajas para los negocios: abarata los costes de desarrollo, agiliza esta tarea y permite que profesionales sin conocimientos elevados puedan desarrollar software. Pero también pone a prueba la arquitectura de ciberseguridad de las empresas.

¿Qué es la arquitectura de ciberseguridad de las empresas? Básicamente, el conjunto de políticas, procesos y tecnologías que se emplean para proteger los activos digitales de las compañías.

Así, al calor de la revolución de la IA, vuelve a adquirir relevancia una cuestión que siempre ha sido central: la arquitectura de ciberseguridad de las empresas debe ser diseñada de forma robusta para facilitar la detección de vulnerabilidades, reducir los riesgos, prevenir los ataques y responder ante ellos con éxito.

A continuación, vamos a analizar por qué es importante que la arquitectura de ciberseguridad de las empresas sea más resiliente en un contexto cambiante y plagado de desafíos como el actual. Además, vamos a poner en valor los elementos clave que se deben tener en cuenta al diseñar y gestionar la arquitectura de ciberseguridad de las empresas.

La democratización del desarrollo de aplicaciones puede suponer un riesgo a nivel de seguridad

Como venimos de señalar, el uso de soluciones de IA para desarrollar aplicaciones ya es una realidad absolutamente consolidada. Hoy en día, ningún desarrollador trabaja sin emplear la IA para diseñar las aplicaciones y picar código.

Este nuevo escenario está acelerando la digitalización de las empresas. Hasta la llegada de la IA, las grandes compañías ya estaban plenamente digitalizadas, pero las empresas de tamaño medio y las pequeñas organizaciones no presentaban porcentajes de digitalización elevados y aún realizaban procesos de forma analógica o sin usar aplicaciones que les permitiesen automatizar acciones.

Todo ello ha cambiado de forma notable en los últimos tiempos. Gracias a la IA se están multiplicando los Software-as-a-Service que existen en el mercado y, además, las medianas y pequeñas empresas se están lanzando a desarrollar sus propias aplicaciones 100% personalizadas a sus circunstancias y casuísticas exactas.

A ello hay que sumar el hecho de que usuarios sin grandes conocimientos de desarrollo de aplicaciones pueden diseñar software gracias al uso de sistemas de IA, lo que hasta ahora estaba vedado a los desarrolladores experimentados con conocimiento tanto en la parte de desarrollo como de solución de errores complejos dentro del software.

También nos encontramos con que los nuevos desarrollos generados enteramente por la IA son complejos de entender para desarrolladores poco experimentados, prefiriendo generar nuevas versiones cuando hay que aplicar una nueva funcionalidad o una corrección, siempre generando el nuevo código desde la IA, sin entender la lógica de su funcionamiento al 100%, produciéndose un proceso de software de usar y tirar donde el entendimiento y control de las funciones del software ya no son tan importantes como la rapidez de su producción.

Este cambio de paradigma trae consigo las ventajas que ya apuntamos antes, pero también riesgos económicos, como que los desarrolladores consuman ingentes cantidades de dinero en el uso de IA, y, sobre todo, riesgos a nivel de seguridad.

¿Por qué? Muchas empresas se lanzan a diseñar o contratar aplicaciones sin contar con una arquitectura de ciberseguridad empresarial.

Es decir, algunas compañías que, hasta el momento, no contaban con una infraestructura tecnológica potente han visto aumentado su nivel de ciberexposición de forma notable sin diseñar una arquitectura de ciberseguridad adaptada a ello.

Además, que personas sin conocimientos elevados de ciberseguridad estén desarrollando aplicaciones también trae consigo que dicho software carezca de mecanismos de seguridad lo suficientemente robustos para garantizar la operatividad de las aplicaciones y proteger la información que contienen.

La otra cara de la moneda: El código desarrollado con IA puede ser mucho más robusto

Por otro lado, los expertos también apuntan a un beneficio evidente del desarrollo usando soluciones de IA: es posible construir código que sea más seguro que nunca.

Eso sí, a la hora de desarrollar es fundamental tener en cuenta la arquitectura de ciberseguridad de las empresas para implementar una política de ciberseguridad desde el diseño con la ayuda de la Inteligencia Artificial.

Los sistemas de IA pueden facilitar no solo que el código generado sea seguro, sino también testear las aplicaciones antes de sacarlas a producción.

Los expertos en ciberseguridad ya apuntan a que los nuevos productos desarrollados usando IA ya presentan un código más robusto que permite reducir la presencia de vulnerabilidades en las aplicaciones.

Además, señalan que nos vamos a encontrar en un periodo de transición en el que convivan aplicaciones desarrolladas con código generado con IA junto a software cuyo código fue generado manualmente de forma integral.

La arquitectura de ciberseguridad de las empresas debe contemplar esta realidad y diseñar políticas y mecanismos de seguridad capaces de reducir los riesgos y detectar las amenazas contra aplicaciones generadas con IA y software desarrollado antes de su irrupción.

Buenas prácticas a la hora de desarrollar aplicaciones y gestionar software de terceros

No existe ninguna fórmula secreta para diseñar la arquitectura de ciberseguridad de las empresas.

Sin embargo, los expertos en ciberseguridad y las compañías cuentan con metodologías para crear y adaptar la arquitectura de ciberseguridad de las empresas. Por ejemplo, el marco de ciberseguridad del NIST, una agencia estadounidense focalizada en estándares tecnológicos.

Además, juegan un papel fundamental en la construcción y mejora continua de la arquitectura de ciberseguridad de las empresas para identificar e implementar las mejores prácticas en materia de seguridad.

Así, una arquitectura de ciberseguridad resiliente pasa, ante todo, porque se sigan buenas prácticas al desarrollar las aplicaciones, pero también al hacer uso de los activos digitales y al auditarlos para detectar vulnerabilidades y actividad maliciosa.

En este sentido, es importante tener claro que, aunque los desafíos son diferentes, mutables y cada vez más complejos, la arquitectura de ciberseguridad de las empresas debe seguir sustentándose sobre los pilares tradicionales e implementar las mejores prácticas en materia de ciberseguridad es uno de ellos.

Los fundamentos clásicos siguen siendo esenciales a la hora de diseñar la arquitectura de ciberseguridad de las empresas

Junto a las buenas prácticas nos encontramos con el otro pilar clave para diseñar la arquitectura de ciberseguridad de las empresas y adaptarla continuamente ante los nuevos desafíos, como el uso de IA para preparar y ejecutar ataques contra aplicaciones corporativas. ¿De qué pilar hablamos? Los fundamentos clásicos de la ciberseguridad, entre los que podemos destacar dos:

• Seguridad desde el diseño y a lo largo de todo el ciclo de vida. Todas las aplicaciones desarrolladas en las empresas deben ser construidas partiendo del principio de seguridad desde el diseño. Como apuntamos antes, la IA puede contribuir a garantizar dicha seguridad desde el código. Además, la seguridad debe ser prioritaria mientras se use una aplicación. Por lo que es fundamental detectar debilidades y mitigarlas lo antes posible, priorizándolas en función de su criticidad. Igualmente, usar aplicaciones obsoletas que ya no reciben actualizaciones de seguridad va en contra de este principio básico para la arquitectura de ciberseguridad de las empresas.
• Zero Trust. No existe un nivel de seguridad total. Por eso, hay que diseñar la arquitectura de ciberseguridad de las empresas partiendo de la filosofía zero trust. Esto conlleva establecer mecanismos de seguridad sólidos como autenticación multifactor para acceder a aplicaciones, implementar el principio de mínimo privilegio en el software corporativo, segmentar las redes corporativas para limitar el movimiento lateral de los actores maliciosos o limitar la capacidad de descargar aplicaciones o documentos en dispositivos corporativos.

Si la arquitectura de ciberseguridad de las empresas se sustenta sobre estos fundamentos, la capacidad de detectar debilidades, subsanarlas a tiempo y hacer frente a incidentes de seguridad con éxito será mayor.

Los beneficios de contar con una arquitectura de ciberseguridad sólida e integral

Precisamente, diseñar la arquitectura de ciberseguridad de las empresas y asegurarse de que todos los activos se gestionan de acuerdo a las políticas y mecanismos de seguridad proporciona beneficios críticos como:

• Una postura de ciberseguridad sólida y adaptada a los riesgos que abarque toda la infraestructura tecnológica.
• Una mayor capacidad de detectar debilidades antes de que sean explotadas y de priorizar la remediación de las vulnerabilidades más críticas en función del modelo de negocio.
• La seguridad de que no se desarrollan aplicaciones inseguras desde el diseño o que se cuentan con aplicaciones obsoletas o que presentan debilidades explotables.
• Una respuesta a incidentes inmediata y perfectamente engrasada, gracias a que cada profesional sabe cuál es su rol.
• Asegurar la continuidad de negocio, limitando el impacto de los incidentes de seguridad, salvaguardando los activos y procesos críticos y reduciendo el tiempo que se necesita para volver a la normalidad tras un incidente.
• Una gestión eficiente de los recursos económicos, técnicos y humanos que se destinan a ciberseguridad.
• Más seguridad en materia de compliance, asegurándose de que las políticas y mecanismos de seguridad están adaptados a la normativa en vigor.
• Adaptación a las nuevas amenazas y a los cambios productivos y tecnológicos.

Cómo implementar y optimizar la arquitectura de ciberseguridad de las empresas

A la hora de elaborar, documentar, evaluar periódicamente y actualizar la arquitectura de ciberseguridad de las empresas juegan un papel fundamental, como no podía ser de otra forma algunos servicios de ciberseguridad críticos:

• Evaluación de riesgos de seguridad. Permite a las empresas conocer los riesgos, amenazas y debilidades de sus infraestructuras y diseñar una arquitectura de ciberseguridad adaptada a ellos.
• Seguridad en los procesos de desarrollo donde se pueda detectar vulnerabilidades en cada una de las fases de los ciclos de vida del código para mitigar vulnerabilidades críticas en etapas de desarrollo tempranas y posteriores al diseño. En definitiva, implementar un ciclo SDLC, analizando el código de forma estática (SAST), dinámica (DAST) y las librerías que lo componen (SCA) para evitar posibles fallos incorporados por los desarrollos tanto humanos, como los generados por IA.
• Seguridad de la cadena de suministro para prevenir la explotación de vulnerabilidades presentes en el software de terceros.
• Auditorías de seguridad continuas para identificar vulnerabilidades presentes en los activos digitales antes de que sean explotadas por los actores maliciosos. Esta clase de servicio de ciberseguridad es clave a la hora de detectar debilidades relacionadas con la lógica de negocio de las aplicaciones que las herramientas automatizadas no son capaces de identificar.
• Gestión de vulnerabilidades. La arquitectura de ciberseguridad de las empresas debe incluir una gestión eficiente de las vulnerabilidades que afectan a todos sus activos. Gracias a esta clase de servicio se puede conocer el estado de salud de la infraestructura corporativa, monitorizarlo de forma continua, contar con un plan de detección y remediación de vulnerabilidades y garantizar que se cumple la normativa en vigor sobre ciberseguridad y protección de datos.
• Servicios de MDR. Los servicios de MDR combinan una detección proactiva de amenazas con una respuesta inmediata ante cualquier incidente de seguridad. Estos servicios son clave para la arquitectura de ciberseguridad de las empresas porque permiten identificar amenazas antes de que se manifiesten, pudiendo adaptar la arquitectura a la forma de operar de los actores maliciosos. Y, además, permiten realizar actividades preparatorias para que la arquitectura de ciberseguridad de las empresas esté optimizada para poder orquestar una respuesta a incidentes ágil y eficaz, minimizando el impacto de los mismos y garantizando la continuidad de negocio, un objetivo esencial para cualquier arquitectura de ciberseguridad.

En definitiva, la irrupción de la IA y su uso masivo para desarrollar aplicaciones empresariales está incrementando de forma notable la ciberexposición de las empresas, sin importar su tamaño o su sector económico.

Para hacer frente a esta creciente ciberexposición y al incremento de las capacidades ofensivas de los actores maliciosos como consecuencia del uso de la IA es crítico que todas las organizaciones cuenten con una arquitectura de ciberseguridad adaptada a los riesgos a los que se enfrentan y a los recursos de los que disponen.

El diseño de la arquitectura de ciberseguridad de las empresas se ha convertido en una tarea estratégica para cualquier negocio. Las organizaciones que no cuenten con una arquitectura de ciberseguridad integral que tenga en cuenta todos los activos y procesos están muy expuestas a las amenazas y pueden sufrir incidentes de seguridad que causen repercusiones económicas, legales y reputacionales tan graves que se lleven por delante a las organizaciones.