La velocidad de los ataques, la falta de visibilidad sobre los activos y las dependencias tecnológicas, así como los procesos que involucran a múltiples áreas dificultan la respuesta de las empresas ante las exposiciones de seguridad.
A esto se suma el riesgo de que un atacante aproveche los permisos de un servicio de inteligencia artificial (AI) para moverse dentro de los entornos corporativos.
Estos desafíos quedaron de manifiesto en una mesa redonda del IT Masters Club de Netmedia —casa editorial de este sitio—, en la que participaron responsables de IT y seguridad de 12 empresas que operan en México.
Con el apoyo de Tenable y Arteria, los ejecutivos coincidieron en la necesidad de priorizar los riesgos según su impacto en el negocio, reducir los tiempos de remediación y fortalecer la colaboración entre áreas.
Las votaciones reflejaron la dimensión del reto: 57% señaló que la falta de visibilidad, el exceso de alertas y los silos organizacionales dificultan la reducción de la exposición.
De cara a los próximos 12 meses, los participantes identificaron como prioridades la automatización de la remediación mediante AI agéntica, la consolidación de herramientas de seguridad y una mejor gobernanza de los entornos cloud y del uso de AI sin supervisión.
Índice de temas
Brecha defensiva ante la AI ofensiva
Para abrir la conversación, el director editorial de Netmedia, Francisco Iglesias, mencionó que lo que a un equipo de investigación humano le tomaba semanas, hoy quienes usan AI ofensiva pueden ejecutarlo en minutos. Y mientras los atacantes operan a velocidad de máquina, la defensa sigue atrapada en lo que ahora se conoce como la brecha de productividad de los defensores.
“Uno de los problemas es que para defenderse hay datos fragmentados entre silos, se requiere la aprobación de tickets y hojas de cálculo manuales, entre otras cosas; pero ya no se puede seguir así. Hay que empezar a romper esos procesos y adaptarse a la nueva realidad”, dijo.
El CISO de BNP Paribas Cardif, Francisco García Dayo, estuvo de acuerdo en el hecho de que los ataques se presentan cada vez a mayor velocidad, por lo que la capacidad de defensa tuvo que escalar de la misma forma.
“Ante esto, las herramientas para detectar vulnerabilidades están equipadas con algunos elementos de AI que permiten hacer una identificación mucho más rápida, descartar falsos positivos y enfocarnos en remediar lo que es prioritario, para no poner en riesgo ninguna operación del negocio”,comentó.
Por su parte, el jefe de la unidad de Tecnologías de la Información y Comunicaciones del Instituto de Salud del Estado de México (ISEM), Carlos Rincón, afirmó que les toma entre tres y siete días por el tema del Comité de cambios.
“Ahora ya no tenemos nuestro centro de datos en la institución, sino que se cambió a la Agencia de Transformación Digital. Cuando ellos o nosotros detectamos algo, la velocidad de respuesta es lentísima y muchas veces acaba en nombrar un comité. Lo bueno de la centralización es que ahora tenemos mejores herramientas”.
Obstáculos en la remediación de riesgos
Más tarde, ante la pregunta de si algo impide resolver una exposición crítica con la velocidad necesaria, 44% de los participantes en el IT Masters Club respondió que tienen procesos claros en sus organizaciones y miden el tiempo hasta la remediación.
En cambio, 20% contestó que resolverla depende de demasiados equipos o procesos y el mismo porcentaje expresó que el negocio no puede asumir el impacto de remediarla.
Al respecto, el director de Tecnología de Ópticas Devlyn, Javier Guerrero, comentó que en 2023, la compañía fue hackeada y tardó seis meses en reconstruir lo que se perdió.
Además de sensibilizarse en temas de ciberseguridad, la empresa ahora corre un plan de recuperación de desastres (DRP, por sus siglas en inglés) completo cada seis meses y ha establecido procedimientos para prevenir y remediar un ataque.
Por su parte, el gerente de IT y socio de negocio de Laureate Education México —corporativo dueño de la Universidad del Valle de México y la Universidad Tecnológica de México— Omar Pérez Carbot, afirmó que la compañía tiene temas de cumplimiento, regulación y gobernanza.
Cuando detectan algo que requiere tomar acciones inmediatas, lo hacen así y tardan entre tres y siete días, que aunque puede no sonar muy óptimo, se justifica porque la organización es muy compleja, ya que tiene cerca de 500 aplicaciones corporativas.Sobre el tema, el director de IT de Vertiche —cadena de tiendas de ropa de mujer—, Fernando Domínguez, eligió que “depende de demasiados equipos y procesos”.
Cuando consideran que la falla es crítica y se requiere aplicar una remediación, deben coordinar diferentes áreas para no afectar la atención al cliente. Afirmó que se hace la revisión o el estudio para ver si es factible y se procede, en caso contrario, se programa.
En Concesionaria Vuela Compañía de Aviación (Volaris) tienen claro que no se discutiría si se presentara algún tipo de vulnerabilidad en datos sensibles. Su director sénior de IT y Transformación corporativa, Carlos Alberto González, señaló que tienen buen gobierno para manejar toda la información, así como una estrategia de Zero Trust para el manejo de identidades.
Gobernanza en la nube y Zero Trust
El siguiente tema que se puso en la mesa fue hasta dónde podría moverse en la nube de la víctima un atacante si tomara control de un servicio de AI o API y 60% respondió que a ningún lado, porque aplican un estricto mínimo privilegio e identidades acotadas.
En contraste, 20% señaló que a un par de entornos secundarios, pero aislados, y otro 20% señaló que no lo sabría con certeza, y eso es lo que más les quita el sueño.
Ante esta cuestión, el director de Seguridad de la información de Grupo Financiero Multiva, Benito Loyola, consideró que practicar mínimo privilegio es el enfoque de hoy. Además, al ser del sector financiero, su organización está regulada y por lo menos dos veces al año realizan ejercicios de pentest.
Guerrero, de Ópticas Devlyn, afirmó que no tiene datos sensibles en sistemas secundarios y en los entornos que pueden ser atacados, tienen claro cómo aplicar el DRP.
Además, organizan muy bien la inversión de seguridad: “En los sistemas que son claves hay mucho dinero metido y en los sistemas que realmente no son tan claves podemos permitirnos hasta perderlos y volverlos a generar en un par de días y no pasa nada”.
A propósito de este punto, el CISO corporativo de Coppel, David Jiménez, comentó que eligió la respuesta sobre “entornos secundarios”, ya que en su arquitectura hacen una segregación de las APIS internas y externas en aras de que la mayor cantidad de funcionalidad de la lógica de negocio viva más del lado interno y no se exponga a internet.
El CISO de AXA Seguros México, Efraín Baldenebro, reconoció que él había optado por la respuesta de “no lo sabemos y me quita el sueño”, pues él tiene una nube pública, una nube privada, un datawarehouse, todo está en la nube.
“No dice si fue un atacante interno o un atacante externo. Nosotros tenemos que protegernos de todo, porque los atacantes pueden hacer cualquier cantidad de intentos y con uno que le atinen, llegan y lo ponen. Justo eso es lo que a mí me quita el sueño. Estamos empezando a poner fronteras, segmentación, controles adicionales, etc, pero con uno que nos llegue a fallar y el atacante llegue a entrar, él ya ganó”.
Por su parte, el director de Seguridad de la información (CISO) de Tiendas Tres B, Mario Fernando Díaz, señaló que ellos tienen herramientas para monitorear casi todo, que no solo apuntan a “las joyas de la corona”, sino que monitorean afuera, pero también al usuario, sobre todo al usuario de IT, que es el más inquieto.
“La concientización de los empleados es muy importante. Con ella se pueden mitigar muchos de los riesgos de seguridad, tanto del lado IT, como aquellos que no pertenecen a esa parte”: Marlon Cuevas, gerente de Seguridad de la información de Bitso. Crédito: Moisés Trianaalertas crean más estrés
Iglesias afirmó que el modelo tradicional de alertamiento tiene una gran falla, pues considera “críticos o altos” cerca de 60% de los hallazgos, lo cual genera un ruido inimaginable. Consideró que ahí hay una conciencia clara de que no se puede hacer todo y que hay que ser selectivos.
El sistema común de puntuación de vulnerabilidades (CVSS, por sus siglas en inglés) es un estándar abierto de ciberseguridad utilizado para evaluar, clasificar y medir la gravedad técnica de las vulnerabilidades en el software.
El CVSS asigna una puntuación numérica que va de 0.0 a 10.0. Las alertas de seguridad utilizan dicha puntuación para avisar a los administradores y equipos de respuesta cuando se identifica alguna falla crítica.
En el Vulnerability Priority Rating, de Tenable, hay un indicador que menciona que es posible filtrar 60% de ruidos de todas estas alertas y aislar con precisión hasta 1.6% de las vulnerabilidades que representan un riesgo real para el negocio, es decir, identifica si está vinculada a una identidad privilegiada y si afecta un proceso crítico de la empresa.
Ante la inquietud de qué frena más la capacidad para reducir exposición, 28% dijo que la falta de visibilidad de activos y dependencias; 7% dijo que demasiadas alertas y poca priorización; otro 7% señaló los silos entre seguridad, infraestructura y negocio. Pero “todo lo anterior” fue la opción con mayores respuestas, al sumar 57%.
A García Dayo, la opción que le hizo más ruido fue la que se refiere a la falta de visibilidad de activos y dependencias: “Es muy complicado tener la película de cómo están hoy en día mis activos. En el mejor de los casos, puedo tener una fotografía de la semana pasada, pero algo pudo haber cambiado y al detectar alguna exposición, pudiera decidir atacar o corregir algo que posiblemente ya no existe en infraestructura, o si existe, a lo mejor ya no está en la capa de mayor exposición”.
Díaz escogió “todo lo anterior”, porque a veces se comete el error de hacer escaneos de vulnerabilidades, escaneo de códigos, pentesting y se entrega tal cual, sin darle una interpretación al usuario.
Dijo que el uso de herramientas como Zynap le ha permitido conectar en tiempo real con su proveedor de nube para conocer el riesgo: “No hago escaneos periódicos o cada cierto tiempo, sino que en tiempo real me manda la alerta de que encontró algo con riesgo, tanto en las identidades como en los componentes”.
Desde otra perspectiva, Andrade dijo que la parte difícil del shadow AI proviene de las áreas que crean tecnología de trabajo, pero que no son IT. A ellos hay que capacitarlos y hacerlos conscientes de los riesgos de seguridad que pueden generar.
“Muchas veces deciden crear soluciones para hacer más fácil su trabajo, pero eso crea áreas o superficies de riesgo cuya existencia probablemente el área IT se entere hasta que ya sea muy tarde”.
El reto operativo del Shadow AI
El penúltimo tema abordó la tarea operativa o técnica en la que el CISO sospecha que su equipo está utilizando inteligencia artificial sin supervisión (Shadow AI).
Elaboración de reportes fue la más mencionada; seguida por psicólogo, tonterías, todo, presentaciones, investigación de mercado, hacer fotos de los ochentas, comercial, desarrollo y moda.
En Devlyn decidieron meter una plataforma de gobernanza de IA. Habilitaron 80 LLM que van desde Claude, Kimi, Deepseek, que están embebidos en su esquema de control. No guardan información de los threads, solamente utiliza la capacidad de cómputo para tokenizar y revisar.
También en Volaris tienen herramientas para visualizar lo que está prompteando toda la gente. Crearon su propia herramienta de IA, a la que llaman VolAI. Tienen un AI Hub que pone un filtro para que la compañía no termine pagando por programas que no tienen nada que ver con el trabajo.
No obstante, González considera que la única forma de mitigar el shadow AI es la al interior de la empresa para crear conciencia en la gente.
En el caso de Vertiche, hace dos años trabajan con inteligencia artificial generativa (GenAI). Domínguez afirmó que este año han colaborado con la División de inteligencia artificial y ciencia de datos del Tecnológico en Monterrey.
El equipo que encabeza Domínguez también contiene la información sensible –de ventas y utilidades– y coincide con la importancia de brinda capacitación a los usuarios.
Prioridades clave para los próximos 12 meses
Para tratar de cerrar el desfase entre riesgo y capacidad de respuesta, los participantes afirmaron que han optado por las siguientes opciones, en este orden:
- Adoptar AI agéntica para automatizar procesos de remediación
- Consolidar herramientas para eliminar ruido de alertas
- Reducir el tiempo de remediación (MTTR) de semanas o menos de 48 horas en rutas críticas
- Descubrir y gobernar el uso de shadow AI y cargas cloud expuestas
Por mencionar solo a cuatro participantes en este segmento, Baldenebro dijo que eligió la primera opción, pues en tiempos de AI no se pueden atacar las vulnerabilidades “con la ‘vieja escuela’ de hace tres meses. Hay que hacer análisis y resolver pronto”.
Para Loyola es importante la segunda opción, porque prefiere tener alertas precisas. Aunque reconoció que a veces se requiere hacer un filtro para ser más efectivo “porque después de muchas alertas ya no te vuelves tan objetivo, nada más las ves pasar. Es importante consolidarlas”.
Pérez Carbot eligió la tercera por considerar que sí es un objetivo en el que hay que trabajar para reducir el tiempo de respuesta. “En ocasiones, el promedio puede ser bueno, pero en algunos casos la temporalidad no es adecuada desde el punto de vista del negocio”.
Por su parte, Rincón escogió la número cuatro porque Gobierno hay poco presupuesto para licenciamiento de diferentes herramientas. “Por ello es importante descubrir en qué y para qué las estamos usando, y así tener elementos para justificar futuros proyectos”.
Aunque Humberto Rosales, director de Seguridad de la información del Banco Nacional de Obras y Servicios Públicos (BANOBRAS), sugirió incluir una quinta acción referente a gestión colaborativa: “Efectivamente en todos lados existe el problema de los silos. Pero al hacer una gestión colaborativa, las áreas no verán solo su objetivo, considerarán a la seguridad como un objetivo común en el cual apoyarse”.
Miguel Zires, líder de Riesgos de seguridad de Bitso, señaló que esta es una empresa AI First que ha pasado por diferentes etapas. Ahora están con la AI agéntica, buscando cómo automatizar todo. El ejecutivo se dijo en pro de lograr el balance entre el uso de AI para mejorar el negocio y mantener a la gente en sus puestos de trabajo.
Para finalizar este IT Masters Club, Javier Salazar, gerente de Canales para México de Tenable, destacó que los diferentes enfoques de los participantes, que provienen de compañías de distintos orígenes, algunas de industria regulada, otras de industrias más nuevas, pero todos con necesidades diversas.
Un factor común es la percepción de que los riesgos del negocio no son un problema de seguridad, sino de la compañía en su conjunto. En este punto, dijo que “los buenos” deberían hacer como los atacantes, que colaboran aunque ni se conozcan, ni se hayan visto antes, ni hablen el mismo idioma, “deberíamos hacer lo mismo, tanto internamente, como entre diferentes compañías”. Y coincidió en la importancia de considerar a la seguridad IT como un habilitador del negocio.
Participantes
Efraín Baldenebro Ortiz, CISO de AXA Seguros; Marlon Cuevas, gerente de Seguridad de la información de Bitso; Francisco Salvador García Dayo, CISO de BNP Paribas Cardif; Mario Fernando Díaz Gómez, director de Seguridad de la información (CISO) de Tiendas Tres B; Fernando Alberto Domínguez Reyes, director de IT de Vertiche; Carlos Alberto González López, director sénior de IT y Transformación corporativa de Concesionaria Vuela Compañía de Aviación (Volaris); Francisco Javier Guerrero de la Vega, director de Tecnología de Ópticas Devlyn; David Jiménez Domínguez, CISO corporativo de Coppel; Benito Loyola, director de Seguridad de la información de Grupo Financiero Multiva; Omar Pérez Carbot, gerente de IT y socio de negocio de Laureate Education México; Carlos Rincón Partida, jefe de la Unidad de Tecnologías de la Información y Comunicaciones del Instituto de Salud del Estado de México (ISEM); Humberto David Rosales Herrera, director de Seguridad de la información del Banco Nacional de Obras y Servicios Públicos; y Miguel Zires Magaña, líder de Riesgos de Seguridad de Bitso.
En la mesa también participaron Milagros Gopelson, gerente de Ventas empresariales de Tenable, Francisco Álvarez, director de Arteria Comunicaciones y Emmanuel Zaragoza, gerente de Desarrollo de Negocios de Arteria Comunicaciones.
