La IA está reduciendo considerablemente el tiempo que transcurre entre el descubrimiento de vulnerabilidades de seguridad y su explotación. Para comprender qué implica esto en la práctica para los responsables de seguridad, recientemente hablamos con Michael Montoya, director de Operaciones Tecnológicas de F5 y responsable de la estrategia de seguridad y resiliencia de toda la empresa. Siga leyendo para conocer la perspectiva de Montoya sobre el panorama de amenazas posterior a Mythos y lo que deben hacer las organizaciones para sobrevivir.
P: Mythos está teniendo una gran repercusión mediática. Como responsable de seguridad, ¿cómo es realmente el panorama de amenazas posterior a Mythos?
Montoya: Sinceramente, todo parece ir más rápido. Ese es el mensaje principal. Lo que estamos viendo es que la IA acelera el descubrimiento de vulnerabilidades y acorta el intervalo entre su divulgación y su explotación. Antes, ese intervalo se medía en semanas o meses. Los equipos de seguridad organizaban todo su ritmo de trabajo en torno a esa premisa: se notificaba una vulnerabilidad, se evaluaba su prioridad, se programaba un parche y se tramitaba mediante el proceso de control de cambios. Ese ritmo ya no es sostenible.
Y quiero dejar claro cuál es el verdadero reto. No se trata simplemente de que haya más amenazas, sino de la velocidad y la escala con las que surgen. La rapidez plantea un problema completamente distinto, porque las organizaciones ya no disponen de semanas o meses para responder.
Entonces, ¿qué implica esto para los responsables de seguridad? Es importante que pasen de una mentalidad centrada primero en aplicar parches a otra que priorice la protección. Aplicar parches sigue siendo sumamente importante, pero no puede ser la única línea de defensa cuando el tiempo apremia de esa manera. En segundo lugar, deben responder a la velocidad de la IA. Esto implica recurrir a la protección en tiempo de ejecución y a los parches virtuales para reducir la exposición mientras se desarrollan e implementan las soluciones permanentes. Y en un mundo en el que las aplicaciones, las API y las cargas de trabajo de IA están distribuidas entre nubes, centros de datos y el edge, esto supone adoptar un enfoque de plataforma que permita aplicar la seguridad de forma coherente en todo el entorno.
P: ¿Cuál es el mayor riesgo que, en su opinión, las organizaciones están subestimando en estos momentos?
Montoya: Sin lugar a dudas, la complejidad. Creo que muchas organizaciones aún no han asimilado del todo que la propia complejidad se ha convertido en uno de sus riesgos de seguridad más importantes.
Pensemos en los entornos en los que opera realmente una empresa media hoy en día: entornos híbridos, múltiples nubes, el edge y, ahora, un conjunto cada vez mayor de entornos de IA superpuestos. Cada uno de ellos puede dar lugar a herramientas, políticas y flujos de trabajo desconectados, así como a brechas o puntos ciegos. Nadie se propone crear una infraestructura así. Sin embargo, es lo que acaba ocurriendo con el tiempo.
El trabajo que hay que hacer aquí no es vistoso, pero tiene un gran impacto. Reduzca la complejidad operativa siempre que pueda. Deje atrás las soluciones puntuales inconexas y adopte una estrategia de plataforma unificada. Además, establezca una visibilidad, una aplicación de políticas y una protección coherentes en todos los entornos en los que opera. Si no puede responder de la misma manera a «¿Qué protege esta aplicación y con qué política?», independientemente de dónde esté alojada, ese es su punto de partida.
P: La confianza en la cadena de suministro de software está sometida a presión. ¿Cómo están evolucionando las prácticas de seguridad de F5 para proteger a los clientes?
Montoya: Nuestros clientes miden su confianza en F5 en función de la rapidez con la que les ayudamos a identificar y responder a las amenazas emergentes. Es una valoración justa, y también nos la aplicamos a nosotros mismos.
La cruda realidad es que los ciclos de lanzamiento tradicionales tienen dificultades para seguir el ritmo de la detección de vulnerabilidades a la velocidad de las máquinas. Si las mejoras de seguridad avanzan a un ritmo trimestral y las amenazas lo hacen a diario, existe un desfase estructural. Por eso, la seguridad debe ser continua y estar integrada en la propia plataforma.
En la práctica, eso significa automatizar las pruebas de seguridad, la validación y el refuerzo siempre que sea posible, y acelerar la llegada efectiva a los clientes de las mejoras y actualizaciones de seguridad.
Y yo haría extensiva esa expectativa a los demás. Exija a sus socios tecnológicos que se responsabilicen de proteger y reforzar sus productos al ritmo al que surgen las amenazas. Pregúnteles cuánto dura su ciclo de desarrollo. Pregúnteles qué procesos están automatizados. Hoy en día son preguntas totalmente legítimas, y las respuestas dicen mucho.
P: Con los equipos de aplicaciones lanzando nuevo código y funcionalidades de IA a una velocidad vertiginosa, ¿cómo se protege la innovación sin ralentizar el negocio?
Montoya: Esta es una pregunta que me hacen a menudo. La innovación impulsada por la IA está provocando una proliferación de aplicaciones, API y servicios. No es un problema que haya que contener; es el negocio. Pero esta es la dinámica a la que deben prestar atención los responsables de seguridad: cuando la seguridad se convierte en un cuello de botella, el desarrollo no se detiene, sino que busca vías alternativas. Al final, se tiene menos visibilidad y menos control que antes, justo lo contrario de lo que se pretendía conseguir.
Así pues, el objetivo no es elegir entre velocidad y seguridad. No se puede sacrificar una en favor de la otra. En su lugar, hay que hacer posibles ambas. No hay ningún CISO que quiera ralentizar el negocio o frenar la innovación.
Algunas formas de lograr el equilibrio necesario: integre la seguridad en el propio proceso de entrega de aplicaciones. Automatice la protección siempre que sea posible, en lugar de depender de revisiones manuales que no son escalables. Utilice controles que puedan reducir el riesgo de inmediato cuando surjan nuevas amenazas, ampliando la protección mientras se actualiza el código. Y, por último, dé a los desarrolladores verdadera libertad para innovar, con una gobernanza y una seguridad sólidas como base.
Si se hace bien, el equipo de seguridad deja de ser el que dice que no y se convierte en el que permite innovar de forma segura.
P: En resumen, ¿qué es lo más importante que debe hacer hoy un responsable de seguridad para sobrevivir a esta nueva realidad?
Montoya: Desarrolle la resiliencia y organícese en torno a ella. Es importante entender que los consejos de administración ya no solo preguntan si su organización es segura, sino también si puede adaptarse, responder y recuperarse rápidamente ante un cambio constante. Y eso significa que la resiliencia es ahora un requisito empresarial.
Como he dicho antes, eliminar la complejidad es una parte fundamental de esa ecuación. Es necesario integrar la entrega de aplicaciones, la seguridad y las operaciones en torno a un modelo operativo común. Hay que invertir en plataformas que mejoren la visibilidad, la coherencia y la resiliencia. Y es preciso mantener el control sobre dónde se alojan todas las aplicaciones, los datos y las políticas de seguridad, a medida que siguen evolucionando las presiones geopolíticas y las impulsadas por la IA.
Los responsables de seguridad deben avanzar al mismo ritmo que la IA, o incluso más rápido. Y eso significa que tenemos que utilizar la IA en todos los ámbitos de nuestra defensa. No es algo que pueda hacerse de la noche a la mañana. Pero, en última instancia, será lo que diferencie a las organizaciones que prosperen en la era de la IA.
Para obtener más información, visite nuestra página web sobre F5 Application Delivery and Security Platform (ADSP) . Asimismo, no olvide inscribirse en la Cumbre de Seguridad Post-Mythos virtual y bajo demanda de F5, que comienza el 10 de septiembre.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.