Por qué la mayoría de los CISO navegan la adopción de la IA a ciegas (y cómo pueden evitarlo)

Para quienes están inmersos en la implementación de IA dentro de los ecosistemas de desarrollo de software empresarial, pocos querrían estar en el lugar de su CISO de confianza en este momento. Las preocupaciones de seguridad surgen con mayor frecuencia a medida que más procesos se ven potenciados por la IA. Entre la elección de modelos compatibles con la infraestructura tecnológica, los desarrolladores que utilizan IA en la sombra y, en general, el aluvión de código generado por IA que pone de manifiesto que la brecha de habilidades en seguridad no parece cerrarse, su ya complejo rol se vuelve más difícil cada mes.

La frase “gobernanza de la IA” se invoca como respuesta a estos desafíos, posicionándose como una solución integral para la integración y el uso seguro de la IA, incluso para quienes no son expertos en seguridad. Aunque es una solución, resulta difícil de ejecutar siguiendo un manual de mejores prácticas cuando la etapa de adopción de IA de la empresa no está clara.

Incluso si nos centramos únicamente en el grupo de desarrollo, seguirá habiendo variaciones en la adopción de IA entre los miembros del equipo. Por ejemplo, algunos pueden limitarse a hacer preguntas ocasionales a Copilot, usándolo como sustituto de un foro de discusión tradicional, mientras que otros pueden estar experimentando con sistemas de IA agéntica que representan un salto significativo en autonomía, potencia y acceso a bases de código potencialmente sensibles. Se utiliza una amplia gama de modelos de lenguaje de vanguardia y de código abierto para crear código, los agentes emplean la tecnología Model Context Protocol (MCP) y habilidades para acceder a herramientas externas, y los ataques innovadores a la cadena de suministro mantienen a todo el ecosistema en alerta. Este comportamiento aumentará drásticamente la superficie de ataque de una organización, y controlar este riesgo creciente es lo que quita el sueño a los líderes de seguridad.

¿Cómo convencer a los que se resisten a adoptar la IA para que aceleren y darles tranquilidad sobre los resultados de estas herramientas en el desarrollo de software, pero al mismo tiempo hacerles plenamente conscientes de los errores de seguridad que estas herramientas todavía cometerán? ¿Cómo convencer a los primeros usuarios de que no avancen demasiado rápido con la ingeniería agéntica, exponiendo así a su organización a riesgos incontrolados y desconocidos? El mensaje de “avanzar rápido, pero no demasiado” parece ser lo único sensato que un CISO puede hacer hoy en día.

Cuando se utilizan herramientas de IA, la trazabilidad y la observabilidad, la eficacia de seguridad tanto de la herramienta como del usuario, y la seguridad de las confirmaciones (commits) que tienen permitido realizar, son los puntos de datos clave a considerar al actualizar un programa de seguridad para la era de la IA.

Debemos sentirnos cómodos evaluando honestamente la etapa de adopción de la empresa, y tenemos una dirección emocionante que compartir con ustedes al respecto.

Hoy, Secure Code Warrior ha publicado un nuevo informe técnico que presenta un modelo de adopción de IA prescriptivo y direccional, diseñado para que los líderes de seguridad identifiquen su etapa de adopción y avancen en el control de los riesgos de seguridad de la IA.

¿Qué es un modelo de adopción de IA y por qué lo necesitamos?

Los desarrolladores ya no pueden limitarse a escribir código; deben asumir roles de creadores y orquestadores. Estamos viendo la transición del ciclo de vida de desarrollo de software (SDLC) tradicional al ciclo de vida de desarrollo agéntico (ADLC), y pocos están preparados para gestionarlo de forma segura y eficiente.

La adopción de la IA ya no se limita estrictamente a la ingeniería tradicional. Hoy en día, incluso los empleados que no son desarrolladores crean aplicaciones utilizando herramientas sin código (no-code) y de programación intuitiva, lo que contribuye significativamente al perfil de riesgo general de una organización. Ante una superficie de ataque que se expande más rápido de lo que los controles tradicionales pueden seguir, los directores de seguridad de la información (CISO) me hacen constantemente una pregunta crítica: ¿por dónde empezamos?

Los CISO necesitan desesperadamente un enfoque para la gobernanza del ADLC que sea tan moderno como la metodología misma: un enfoque diseñado específicamente para la naturaleza adaptativa y evolutiva de la IA agéntica. Esta es precisamente la razón por la que lanzamos este modelo de adopción de IA, que representa una pieza fundamental del rompecabezas de defensa para los CISO en un momento en que buscan mayor visibilidad y planes adaptativos que se ajusten a su etapa de adopción. Diseñamos este marco para ayudar a las organizaciones a transformar la adopción y gobernanza segura de la IA de un ejercicio reactivo a una disciplina medible y escalable.

¿Qué pueden aprender los líderes de seguridad de esto ahora mismo?

El modelo sirve como una hoja de ruta práctica que organiza el desarrollo de IA en tres fases distintas: asistida por IA, nativa de IA y agéntica. Para un CISO, la principal ventaja del marco es su capacidad para conectar sin problemas el uso de la IA, la capacidad del desarrollador y las señales de riesgo del software. Dado que no todo uso de la IA conlleva el mismo riesgo, este modelo ofrece a las organizaciones un mapa claro para identificar exactamente dónde se encuentran hoy, proporcionando información basada en datos para una toma de decisiones segura y rentable.

Al definir los controles de gobernanza específicos necesarios a medida que aumenta la autonomía de la IA, este modelo de adopción permite a los CISO ofrecer formación específica que se adapta a las necesidades de los desarrolladores. Los analistas predicen que, para 2027, más del 40% de los proyectos de IA agéntica se abandonarán debido a costes incontrolados y controles de riesgo deficientes. La respuesta a esta amenaza no es simplemente usar más IA para detectar errores generados por IA. La verdadera victoria para los CISO es contar con un marco que capacite a los desarrolladores para usar la IA correctamente desde el principio, evitando vulnerabilidades recurrentes y demostrando un retorno de inversión en gobernanza tangible y medible.

‍

EXPLORA EL MARCO

LEER MÁS: SCW Trust Agent: IA