Bellini Capital CISO on AI security governance and the limits of patching faster

En una entrevista con Help Net Security, Brian Blakley, CISO de Bellini Capital y ConnectSecure, explica que la inteligencia artificial está acelerando el descubrimiento de vulnerabilidades. Mientras que un atacante puede pasar de un fallo a un código de ataque funcional casi sin fricción, los defensores aún deben evaluar el impacto en el negocio, validar el parche (actualización de software), probar la compatibilidad y negociar ventanas de mantenimiento.

Blakley argumenta que la estrategia de 'parchar más rápido' es insuficiente. Propone que las empresas deben enfocarse en reducir la exposición mientras la reparación está pendiente, utilizando técnicas como la segmentación, el aislamiento y controles compensatorios. El objetivo debe ser mantener los servicios críticos funcionando mientras se cierra la ventana de oportunidad para los atacantes.

El experto también advierte sobre las 'actualizaciones silenciosas' de los modelos de IA. Un proveedor puede actualizar el modelo que sustenta un producto sin cambiar la interfaz o el número de versión, lo que puede alterar la forma en que la IA razona o prioriza riesgos, afectando la toma de decisiones de seguridad sin que el usuario lo note.

Finalmente, señala que prohibir herramientas de IA sin ofrecer una alternativa aprobada suele ser contraproducente, ya que fomenta el uso de 'Shadow AI' (empleados usando cuentas personales de herramientas como ChatGPT para trabajar), lo que genera una pérdida total de visibilidad y control para la empresa.

Qué significa para una pyme colombiana y cucuteña: Si usted está empezando a usar herramientas de inteligencia artificial en su empresa, no basta con prohibirlas para estar seguro. El riesgo real es que sus empleados las usen por debajo de su radar (Shadow AI) con cuentas personales, sacando información de su negocio a la nube sin control. En lugar de prohibir, defina una política clara: elija una herramienta oficial, asegúrese de que la empresa sea dueña de los datos y entienda que, si un agente de IA comete un error (como borrar un registro), la responsabilidad final es del dueño del proceso que autorizó su uso.