Por: Marcos Polanco. Director Ejecutivo de Gobierno Corporativo y CISO de Scitum TELMEX.
La necesidad de una ciberdefensa colectiva nunca había sido tan evidente. El desafío es que llevamos años hablando de colaboración en ciberseguridad y seguimos enfrentando muchas de las mismas dificultades para convertirla en una realidad operativa.
Hace unos días OpenAI y un grupo de empresas globales publicaron “A call for collective action on cyber defense”, un llamado a gobiernos, empresas tecnológicas, organizaciones de ciberseguridad y otros actores para trabajar colectivamente en fortalecer la defensa frente a un escenario que cambia rápidamente por el avance de la inteligencia artificial.
El llamado definitivamente merece nuestra atención. La IA está acelerando las capacidades ofensivas, pero también está proporcionando a los defensores herramientas para analizar, detectar vulnerabilidades, responder y, potencialmente, hacerlo con mayor velocidad y precisión. El problema es que llegamos a este nuevo escenario arrastrando problemas: vulnerabilidades acumuladas, configuraciones deficientes, sistemas obsoletos y una considerable deuda tecnológica.
Coincido con el diagnóstico de que el status quo no es suficiente y con la necesidad de aprovechar la IA para fortalecer nuestras capacidades defensivas. La pregunta que me surge es distinta: ¿cómo convertimos esa intención en algo realmente ejecutable, alcanzable y sostenible en el tiempo?
Llevo más de doce años escuchando y hablando sobre la necesidad de una mayor colaboración en ciberseguridad. No es una idea nueva. Durante este tiempo también he aprendido que colaborar requiere, al menos, tres condiciones: un objetivo común, confianza y transparencia.
Quizá la IA esté haciendo que el objetivo común sea hoy más evidente y urgente. La confianza y la transparencia son otra historia.
Las empresas compiten, los gobiernos tienen prioridades e intereses propios y las organizaciones deben justificar cómo utilizan sus recursos. No deberíamos esperar que una iniciativa colectiva elimine esos intereses, sino más bien preguntarnos si podemos construir mecanismos suficientemente transparentes y confiables para hacerlos compatibles alrededor de un objetivo compartido.
Hay otra condición que considero indispensable: una ciberdefensa colectiva debe ser verdaderamente global, vale la pena preguntarnos qué entendemos por una iniciativa global. La colaboración no solo depende de distribuir capacidades alrededor del mundo, sino también de asegurar que distintas regiones participen activamente en su diseño y evolución.
OpenAI plantea explícitamente una respuesta global y reconoce la necesidad de proporcionar recursos y capacidades a organizaciones que hoy no cuentan con ellos. Sin embargo, cuando observo la lista de quienes suscriben inicialmente el llamado, echo de menos una representación más visible de regiones como Latinoamérica.
Una iniciativa no se vuelve global por decreto o porque sus capacidades puedan distribuirse alrededor del mundo; también importa quién participa en su construcción, quién contribuye a establecer prioridades y quién desarrolla las capacidades que posteriormente serán utilizadas.
Existen señales interesantes de cómo comenzar a materializar esta colaboración. Project Glasswing, impulsado por Anthropic junto con empresas de tecnología y ciberseguridad, está proporcionando acceso, aún de forma restringida, a capacidades avanzadas de IA y recursos para ayudar a proteger software e infraestructura crítica. Su expansión a organizaciones de distintos países muestra una posible ruta para pasar del llamado a mecanismos concretos de colaboración.
Iniciativas como esta resultan particularmente valiosas porque trasladan la conversación del propósito a los mecanismos concretos de colaboración. En otras palabras, comienzan a responder cómo hacer viable una ciberdefensa colectiva más allá de las declaraciones de intención.
Es un avance, aunque también permite dimensionar la magnitud del desafío.
La brecha de capacidades cibernéticas ya existe. Hay organizaciones y países con recursos, talento, infraestructura y tecnologías considerablemente más desarrolladas que otros. Mi preocupación es qué efecto tendrá la IA sobre esa brecha.
Y aquí veo dos escenarios posibles. Por un lado, la IA podría convertirse en uno de los mayores catalizadores para cerrar esa brecha, pues puede democratizar conocimiento especializado, automatizar tareas complejas y poner capacidades avanzadas al alcance de organizaciones que difícilmente podrían desarrollarlas por sí mismas.
Pero también podría catalizar el efecto contrario.
Las organizaciones que ya cuentan con mejores recursos, talento, infraestructura, datos y tecnología probablemente estarán también en mejores condiciones para incorporar estas nuevas capacidades con mayor velocidad y profundidad. Si esto ocurre, quienes hoy pueden defenderse mejor podrían incrementar todavía más su ventaja respecto de quienes cuentan con capacidades limitadas.
Todavía es demasiado pronto para saber cuál de estos escenarios prevalecerá. Precisamente por eso resulta tan importante el diseño de las iniciativas que se están construyendo hoy.
Una ciberdefensa colectiva no consiste solamente en compartir tecnología. Implica construir un ecosistema en el que actores con capacidades, recursos, geografías e intereses diferentes puedan contribuir y beneficiarse de manera sostenible.
Las acciones planteadas tienen sentido. El reto, como ocurre tantas veces, no está solamente en los qué, sino en los cómo y con qué recursos.
¿Cómo desarrollaremos confianza entre quienes deben compartir información sensible? ¿Qué estamos dispuestos a transparentar? ¿Cómo llevaremos estas capacidades a quienes tienen menos recursos? ¿Quién financiará su adopción y operación? ¿Cómo desarrollaremos las capacidades locales necesarias para utilizarlas? Y, sobre todo, ¿cómo conseguiremos que organizaciones y países con realidades muy distintas participen activamente en la construcción de este esfuerzo?
El llamado a una acción colectiva es pertinente y probablemente necesario, pero pondrá a prueba nuestra capacidad para convertir esa intención en mecanismos globales, accesibles y sostenibles que fortalezcan la defensa donde hoy hace más falta.
La verdadera prueba aún está por venir. Pienso que la mejor medida de una ciberdefensa colectiva no será cuántos actores se suman al llamado, sino cuántos de aquellos que hoy tienen menores capacidades consiguen defenderse mejor gracias a ella.
Compartir nota:
