Bueno, amigos, gracias a todos por estar
aquí. Bienvenidos a un nuevo webinar de
ciberseguridad en línea. En esta
oportunidad vamos a hablar de cómo el
cybers security framework que está en su
versión 2.0 y como la norma ISO 42001
que está enfocada en el desarrollo de
sistema de gestión de inteligencia
artificial puede ayudar a las empresas.
Sí. ¿Cómo podemos tener estos enfoques
de adoptar los estándares de
ciberseguridad, aplicarlos a cada una de
nuestras organizaciones sin importar su
tamaño, su nivel de madurez, su nivel de
desarrollo? ¿Y cómo podemos potenciar la
ciberseguridad y cada uno de los
elementos que a todos nos competen, nos
importan, nos interesan en un mundo
acelerado, lleno de nuevas tecnologías,
lleno de nuevas comunicaciones, nuevos
modelos y con amenazas por todas partes.
Mi nombre es Daniel Espinoza. Yo voy a
ver, voy a hacer hoy su anfitrión del
equipo de ciberseguridad en línea.
También voy a ser uno de los
instructores en el curso que vamos a
tener y básicamente queremos enseñarles
a ustedes, darles una muestra de lo que
son este par de normativas muy
interesantes de la cual todos deberíamos
estar informados y tener un conocimiento
para poder desarrollar nuevas
habilidades, nuevas capacidades en
nuestros equipos y abordar de manera
efectiva tanto la inteligencia
artificial como la ciberseguridad.
Por allí nos estaban escribiendo que nos
acompañan desde Ciudad de México, desde
Panamá. Gracias a todos, bienvenidos una
vez más y vamos a iniciar. Esta sesión
está grabada, así que luego la
compartiremos con cada uno de ustedes.
Empecemos hablando del NIST. NIST tiene
múltiples estándares, buenas prácticas
para diferentes temáticas, para análisis
forense, para pruebas de hacking, para
análisis de vulnerabilidades y también
para gestión y respuesta a incidentes. Y
en este caso vamos a hablar para
ciberseguridad. ¿Qué podemos decir? Una
guía global, ¿sí? Que se enfoca en la
gestión de riesgos en unas funciones
clave, como lo vemos aquí. Gobernar,
identificar, proteger, detectar,
responder y recuperar. Cualquier
organización puede adaptar el NIST sin
importar su tamaño, su ubicación, su
cantidad de presupuesto, su nivel de
madurez. Todas pueden seguir este
modelo. Si estas buenas prácticas, de
hecho, se recomienda que nosotros
sigamos buenas prácticas del medio del
mercado y que también personalicemos o
potenciemos alguna de ellas en nuestras
organizaciones.
Tenemos gobernar, identificar, proteger,
detectar, responder y recuperar. Sí, a
mí estas fases me gustan bastante, de
hecho también tienen alguna relación con
la gestión y respuesta incidentes.
Nosotros llevamos ya más de tal vez 12
años ayudando a las empresas a elevar su
nivel de madurez a nivel de
ciberseguridad, crear nuevas capacidades
para que puedan potenciar sus
habilidades. Y básicamente, ¿qué tenemos
acá? Tenemos un núcleo core que se
divide en estos tres elementos,
funciones, categorías y subcategorías.
Como pueden ver, estas funciones son
estas principales que están aquí en la
pantalla. Ya después cuando veamos el
loguito de el NITS Cyber Security
Framework, vamos a verlo un poquito más
organizado, pero básicamente son como
las funciones sugeridas. Luego vienen
las categorías que, por decirlo de
alguna forma son los pasos que hay que
llevar para cumplir con eso, para
cumplir con el gobierno, para cumplir
con la identificación, para cumplir con
la protección, para cumplir con la
detección.
A mi punto de vista, mi humilde opinión,
una de las tal vez asignaturas
pendientes y deudas pendientes o tal vez
donde más tienen que mejorar las
organizaciones es en responder. Sí, creo
que muchos dependen bastante únicamente
de las tecnologías o de terceros, no
tienen las suficientes capacidades
internas y no tienen las suficientes
capacidades para responder ante un
evento adverso, una eventualidad, la
materialización de un riesgo, si no hay
tantas capacidades para responder en
diferentes escenarios. De hecho, les
recomiendo que uno siempre debería
pensar en el peor escenario posible
cuando estamos hablando de
ciberseguridad.
Entonces, las categorías son los pasos
específicos que uno debería realizar
para cada una de estas funciones. Y más
a la derecha vemos subcategorías, que
son pasos aún más detallados. Sí, en un
momento vamos a ver algunos ejemplos.
aquí a la derecha el, digámoslo así el
logo o la pokebola, por decirlo de
alguna otra manera, eh de cómo se ve el
estándar NIST. En el centro está
gobierno, este, en la versión 2.0 se
agregó esta fase de eh o este ítem más
bien de gobierno para tener en cuenta
cómo identificar, cómo proteger, cómo
detectar, cómo responder y cómo
recuperar. Sí, aquí un poco de un
poquito más desmenuzado. Esto lo pueden
verificar en cualquier modelo de IA. van
y buscan allí cuáles son las funciones
del NISTI, cuáles son las categorías,
cuáles son las subcategorías, cómo
implementar, van a encontrar un montón
de información. Entonces, en la
estructura tenemos unas funciones, ¿sí?
que es un nivel más alto. Las que
acabamos de verificar que están aquí en
este contorno. Tenemos unas categorías.
Estas categorías son como áreas de cada
de cada función específica y
subcategorías, acciones. Y aquí hay un
un ejemplo. Entonces, las categorías son
grupos de resultados o actividades.
Ejemplo, vamos a hacer una gestión de
activos, vamos a hacer una evaluación de
riesgos, vamos a tener un gobierno. Sí.
Por ejemplo, ¿dónde vamos a hacer
gestión de activos en identificar? Pues
si yo quiero proteger mis activos
corporativos, mi información, mis
recursos, pues tengo que saber qué
tengo. Sí, tengo que identificarlos,
cuántos activos son, qué nivel de
severidad tiene, cómo los priorizamos,
por dónde se mueven los datos, el flujo
de los datos, cuál es el nivel de
clasificación de la información, ¿sí?,
etcétera, etcétera, etcétera. Entonces,
luego de ello vienen las subcategorías.
Por ejemplo, dentro de gestión de
activo, que es la categoría definida,
puede haber unas subcategorías. En
gestión de activos podríamos hacer
inventarios de dispositivos físicos,
inventarios de software, clasificación
de activos, ¿sí? Y básicamente para cada
uno de ellos se van a desplegar
diferentes ítems, lo que se traduce en
una buena cobertura de todas las
actividades que vamos a realizar a nivel
de ciberseguridad en las empresas.
Entonces, les decía que hay unos
componentes de este NIST. Tenemos aquí
unos core del núcleo, tenemos unos
niveles, de hecho los niveles es como el
nivel de madurez
o la postura de ciberseguridad. Me gusta
mucho ese concepto, postura de
ciberseguridad es cómo lo estamos
haciendo, ¿sí? Cómo lo estamos
manejando, cómo estamos gestionando la
ciberseguridad. Eso particularmente la
postura.
Ahora unos slides más adelante. Vamos a
ver un ejemplo de cuáles son esos
niveles de aquella aquellos niveles de
la postura y algunos perfiles. Los
perfiles es dónde estoy y dónde quiero
estar. Sí. Hacia dónde quiero ir. En los
perfiles es voy a identificar mi nivel
de estado actual y a dónde quiero
llegar. Sí, podría ser lo que llamamos
muchos en muchas veces un análisis gap o
de diferencia. ¿Dónde estoy? ¿A dónde
quiero llegar? y qué tengo que hacer
para hacerlo realidad. Entonces, allí
vemos el ejemplo de los perfiles y
básicamente estas tres cosas nos ayudan
a comprender y evaluar cuál es mi
postura de ciberseguridad, ¿sí? Cómo lo
estoy haciendo, cuál es mi nivel actual
y también qué podría mejorar. Un
momento, por favor.
Bueno, si tienen alguna pregunta, por
favor, déjenla en el chat y eh en un
rato las las resolvemos.
Luego priorizar, es decir, si yo
identifico, pues, cuáles son las cosas
más importantes para mí, cómo reduzco
los riesgos y los gestiono de manera
efectiva. Si eso es priorizar, yo
seguramente voy a tener tantas cosas que
hacer que debería tener una priorización
para saber por dónde iniciarse y por
dónde arrancar. Comunicar. Entonces,
este lenguaje básicamente es una
comunicación. ¿Cómo lo hacemos? ¿Qué
lenguaje eh vamos a utilizar? a través
de qué medios vamos a comunicar. Tenemos
políticas, tenemos lineamientos, hacemos
actividades y ejercicios con las
personas de los equipos. Entonces, miren
esta tabla. Aquí tenemos función,
tenemos categoría y tenemos el
identificador como una nomenclatura. De
hecho, este NIS también nos da como una
taxonomía. Taxonomía para saber cómo
llamarle a cada cosa. Funciones:
gobernar, identificar, proteger,
detectar, responder y recuperar. Y aquí
las categorías, sí hablamos que las
categorías son unas actividades
específicas de áreas específicas que
también tienen subcategorías. Entonces,
en gobernar se habla de tener un
contexto organizativo, de tener una
estrategia de gestión de riesgos, de
tener unos responsables. ¿Quién lo hace?
Sí. ¿Quién es el directamente
responsable? ¿Quién es el informado?
¿Quién es el encargado? ¿Cada cuánto
tiene que hacerlo. Tiene que hacerlo una
vez al año, un par de veces al año.
Tiene que hacerlo todos los meses. Sí.
las políticas, la supervisión. Es decir,
si no hay control, si no hay gobierno,
es complejo y difícil que esto se haga
realidad y que esto se pueda sostener y
que tenga un buen resultado. En
identificación nos habla de gestión de
activos, evaluación de riesgos y una
mejora. Sí, si estamos hablando de
identificar es que es importante para
nosotros, qué vamos a proteger. Sí, más
adelante vienen las preguntas, ¿cómo lo
vamos a proteger? Pero por ahora es que
es importante para nosotros proteger. ¿A
quién proteger? pueden haber 1 y1
controles, ¿sí? Al igual que en
detectar, al igual que en responder.
Entonces, en proteger, nosotros estamos
hablando, por ejemplo, de gestión de
identidades, de autenticación, de
control de acceso. Hablamos de una
sensibilización y capacitación,
seguridad de datos, de plataformas, de
infraestructura. Manejos, imaginémonos
cómo protegemos los dispositivos
finales, la información, cómo protegemos
las comunicaciones a nivel de red, cómo
protegemos la navegación web, cómo
protegemos el correo electrónico, cómo
hacemos control de acceso, cómo hacemos
gestión de identidades. Sí, bastantes
cosas por realizar en detectar cómo
hacemos un monitoreo continuo y hacer un
análisis de eventos adversos. Sí, creo
que detectar también es un desafío
porque creo que todas las empresas a
nivel global tienen el desafío de saber
que requiere para mí una acción
inmediata. Sí, tenemos tantas alertas,
tantos eventos, hay empresas que
ingestan millones de eventos por día,
así sin exagerar. 3 millones de eventos
por día. ¿Qué hacemos con 3 millones de
eventos por día? O con 5,000 o con
20,000. Sí. ¿Cómo sabemos cuál de todos
los eventos que se generan en todos los
niveles del ecosistema son los que
requieren una acción inmediata? ¿Cuáles
son falsos positivos? ¿Cuáles son
verdaderos positivos? ¿Cuáles son
síntomas y señas de que hay un
comportamiento anómalo y malicioso? Y
luego, ¿cómo respondemos adecuadamente?
¿Sí? Entonces, seguramente todos estamos
acostumbrados a que los centros de
operaciones de ciberseguridad tengan las
pantallas, tengan colores, tengan
números por todos lados, pero muchas
veces no sabemos si efectivamente
aquello que estamos viendo allí requiere
una acción inmediata, que es más severo,
que no que que no es tan severo. Y por
ejemplo, aquí la inteligencia artificial
juega un papel fundamental. Porque
nosotros tenemos una limitación clara,
pues evidentemente de no poder procesar,
analizar tantos datos en tiempo real.
Sí, es imposible para ocho personas
analizar 2,000 alertas en un día. Sí, es
imposible, pero para las herramientas
tecnológicas seguramente sí lo podemos
hacer. Y un poco una ventaja es como se
logra o logramos que estos modelos, por
ejemplo, de inteligencia artificial
tengan una buena efectividad en
identificar que realmente eh tiene un
nivel de riesgo específico y necesitan
una acción inmediata. Sí.
Monitoreo es complejo. También les voy a
dar un tip. Pocas empresas tienen casos
de uso personalizados o hechos a la
medida. Muchos nos soportamos de lo que
el fabricante global desarrolla. Y ese
caso de uso, el fabricante me entrega
100 casos de uso, 200 casos de uso, pero
es difícil que esto se acomode a mi
entorno, ¿sí? a mi nivel de complejidad,
a como yo hago las actividades.
Entonces, yo tengo, estoy pagando
licenciamiento carísimo, tengo la mejor
herramienta del mercado, pero de los
100, 200, 500 casos de uso solamente se
han ejecutado o se han disparado o han
hecho una coincidencia, 30 casos de uso.
Sí. Y los demás pareciera que los tengo
de adorno, porque nunca hice una
evaluación de cuáles casos de uso están
alineados con las tecnologías que yo
tengo, con los eventos y mucho menos
desarrollo casos de uso personalizado.
Sí, solamente yo sé quiénes son los
administradores de mi organización,
solamente nosotros sabemos quiénes crean
los usuarios. Solamente nosotros sabemos
cuál es la red de servidores, cuál es la
red de estaciones, cuál es la una un
evento,
una nomenclatura que dice A3, A2. Sí, yo
tengo que alimentar
estas soluciones para que esto sea
más efectivo. ¿Sí? Entonces, en detectar
también nos falta bastante y de nuevo
hay que empezar a trabajar en
desarrollar esas capacidades. Vamos a
responder. Creo que les fui sincero y
les dije que para mí esto es una de las
de los puntos que requieren mayor mejora
o que tienen mejor oportunidades o mayor
nivel de oportunidades de mejora en las
organizaciones. Sí. Gestión y respuesta
de incidentes, análisis de incidentes,
notificación y comunicación de la
respuesta de incidentes, mitigación de
los incidentes. Sí, básicamente los
equipos no tienen la mayoría la cantidad
de capacidades suficientes para, por
ejemplo, llegó una alerta, sí, voy a
decirle a la herramienta que tome una
acción inmediata, que ponga el
dispositivo en cuarentena, está bien,
pero sí eso ya se proliferó y se fue
hacia otros recursos, ¿cómo hago un
análisis de malware rápido? Sí. ¿Cómo
hago una investigación que me ayude a
identificar las características de esa
de esa amenaza? Lo que llamamos
técnicas, tácticas, procedimientos, los
indicadores de compromiso. Sí, déjenme
decirle que muy pocas personas en el
entorno, en el medio tienen esas
capacidades porque nosotros estamos
primeramente, sí, sí, llevando
proyectos, haciendo actualizaciones, eh
implementando nuevas tecnologías, llega
el proveedor, nos hace una capacitación
de 12 horas y ya somos especialistas.
Sí, empezamos a operar, pero no vamos a
un nivel de profundidad. Entonces, hacer
un análisis efectivo para saber qué está
pasando, qué cómo, cuándo, dónde, por
qué, sí, cómo tomar acción y decir,
mira, bloquea esta dirección IP entrante
aquí, verifica quién está levantando
comunicaciones por estos puertos.
Verifiquemos este proceso y servicio,
qué información está inyectando en las
máquinas. Sí, es un nivel de complejidad
un poco más alto que en muchas empresas
no se tienen esas capacidades, por
decirlo así. ¿Sí? Entonces, ¿qué
deberíamos hacer? Es mi responsabilidad
saber cuál es mi nivel actual y a dónde
quiero llegar. Si yo tengo que mejorar y
tengo que seguir haciendo entrenamientos
continuos, pues el equipo responsable de
seguir haciéndolo, ¿sí? Para poder tener
mejores análisis, mejores gestión, mejor
respuesta, mejor mitigación. Y vemos
aquí recuperación. En caso tal de que
haya una afectación sobre algún recurso
activo, pues hay que sacar el plan que
tengamos, hay que desempolvarlo porque
muchas veces estos planes simplemente se
crean para pasar la auditoría, ¿sí?
Simplemente es para decir el check o la
palomilla o el chulo de que cumplimos
porque aquí está mi documento, pero
nunca lo hemos puesto a prueba. Sí,
también sucede que no hacemos las
simulaciones necesarias para ver si
efectivamente nuestros planes de
recuperación funcionan. Sí, si todas las
personas de los equipos conocen el plan
de recuperación, su objetivo y cómo se
hace o solamente lo conocen quienes lo
crearon, pero nunca lo divulgamos hacia
los demás, nunca los entrenamos y nunca
lo probamos. Sí, llega una persona nueva
al equipo, lleva 2 meses y no sabe cómo
desplegar una actividad porque no está
documentado, porque no tiene también el
nivel de entrenamiento suficiente y
también porque entrenamientos parece que
no son agradables, ¿sí? Parece que no
son instituidos, no nos tomamos el
tiempo de que esto sea un poco más
efectivo. Y bueno, entonces aquí vamos a
hacer un pequeño zoom a las funciones
del NIST. Aquí tenemos gobernar y
básicamente aquí es cómo seguimos la
estrategia, ¿sí? cómo cumplimos con las
expectativas, cómo hacemos que las
políticas realmente se cumplan, que todo
lo que estamos eh programando y
estipulando se vuelva realidad.
Entonces, aquí puede ser una comprensión
del contexto. Sí, creo que les comentaba
que no todas las organizaciones son
iguales, todas tienen desafíos
diferentes. Entonces, pues, ¿cómo
podemos a través de este marco
acomodarnos y digamos a ser que sea un
aliado sobre el objetivo que se quiere
lograr en cada organización? ¿Sí? de
acuerdo con su contexto, no es
diferente, por ejemplo, más bien no es
igual para una empresa que se dedica a
los seguros, a una empresa que se dedica
a las ventas en línea. Sí, seguramente
sus objetivos serán diferentes, sus
recursos estratégicos serán diferentes,
sus activos más importantes también
pueden ser un poco diferentes.
Establecimiento de la estrategia, cómo
hacer una gestión de riesgos efectivos,
cómo definir las funciones y
responsabilidades, supervisión de la
estrategia, porque cómo lo medimos. Sí.
¿Cómo hacemos que esto se cumpla? No sé,
en 6 meses, en un año, en 2 años. Sí,
vamos a medirlo trimestral o cada Q o
cada 6 meses. ¿Cómo lo hacemos? Sí,
identificar, como les comentaba,
entonces en identificación de activos es
pues que vamos a proteger. Sí, aquí
estamos hablando de eh
reducir los riesgos, de evitar un
impacto mayor sobre algunos sistemas de
información, sobre los recursos, pues
naturalmente en identificación vamos a
identificar eso que es importante para
mí, ¿sí? Identificación de activos, de
información, de datos, establecer planes
y procedimientos para poder llevarlo a
cabo. Entonces, la identificación de
activos es que necesito proteger, datos,
hardware, software, sistemas, servicios,
cómo hago una gestión de riesgos
efectivas y cómo verifico cuáles son los
riesgos que pues están presentes de
manera inherente sobre los recursos, la
información que yo tengo, incluso la
misma eh legislación, eh los mismos
entes reguladores, las amenazas que hoy
en día no sabemos a qué enfrentarnos con
el tema de inteligencia artificial.
Cualquier persona, casi cualquier
persona puede hacer una amenaza
simplemente ingresando un prom
específico sobre una herramienta de
estas, podría desarrollar un software en
5 minutos, podría desarrollar un código
malicioso en un par de minutos.
Entonces, hay que prestarle atención a
eso y priorizar los esfuerzos. Sí.
Dice Elen, "Las fases planificar,
detectar, contener, erradicar, recuperar
por incidentes siguen vigentes." Ah,
bueno, es que cuando hablamos de el N
Curity Framework, estamos
específicamente en estas. Tenemos
identificar, proteger, detectar,
responder y recuperar. Ah, bueno. Y
gobernar. Cuando hablamos de gestión y
respuesta incidentes, sí hay unas fases
diferentes. Sí, yo tengo aquí a la mano
las la los nombres de cada una de ellas,
pero muy seguramente sí se siguen las
creo que son cuatro principales, ahorita
se me va el nombre, pero eh creo que sí
son muy muy similares a las que tú
tienes allí. Sí, pero estas son
particularmente para la gestión y
respuesta incidentes. Si quieres después
hacemos también un webinar de ello para
profundizar.
Entonces, seguimos con proteger.
Se utilizan las medidas, ¿sí? Es decir,
aquí en proteger ya empezamos a
desplegar desplegar controles, ¿sí? Que
nos ayuden a reducir el riesgo que se
tiene eh pues presente en cada una de
las tecnologías o de los activos.
Entonces, aquí es como desplegamos
medidas, lo que llamamos controles,
contramedidas, ¿sí? Para proteger los
activos, para reducir la probabilidad de
un impacto, ¿sí? Es decir, siempre que
hacemos una gestión de riesgos,
trabajamos para reducir el posible
impacto. Si tal vez eliminarlo, llevarlo
a cero va a ser muy complejo, pero sí
como nos ponemos de acuerdo para que las
actividades que hagamos nos lleven a un
nivel aceptable. Sí. Aceptable por
quién? Por quienes toman decisiones, por
los quienes están en cada uno de los
equipos de trabajo, por los que lideran
y demás.
Por ejemplo, aquí aplicamos esto de
identidades, actividades de control de
acceso, autenticación, múltiples factor,
múltiples fabricantes, seguridad de
datos a nivel de red, a nivel web, a
nivel de aplicaciones. Sí. 1 y un
controles por aplicar.
Viene detectar. Entonces, en detectar es
qué estamos haciendo. Claro, estamos
monitoreando, evaluando,
verificando constantemente qué pasa en
nuestros entornos, qué pasa en los
dispositivos, qué pasa a nivel de red,
qué pasa a nivel de aplicaciones, qué
pasa a nivel de eh procesar algunas
peticiones, qué pasa a nivel de
transferencia de datos. Sí, entonces
aquí a identificar algunos eventos
sospechosos, ataques, situaciones
comprometedoras. Sí. Entonces, hacemos
un descubrimiento de análisis de
anomalías, hacemos ind análisis de
indicadores de compromiso, podemos tener
una ingesta de una fuente de
inteligencia de amenazas, podemos
gestionar incidentes de ciberseguridad,
podemos prepararnos para las actividades
de respuesta y recuperación. Sí. Es
decir, en detectar es, bueno, yo tengo
todo esto que descubrí o que identifiqué
en la fase de identificar, ya implementé
los controles y ahora, ¿cómo entiendo
cuáles son los eventos que generan es
esas herramientas de seguridad? Sí, si
yo tengo, no sé, 20, 50, 100 activos
importantes, activos críticos, son 15
servidores, ¿cómo evalúo lo que sucede
en su actividad del día a día? Tengo
alguna gente que lo protege, por
ejemplo, a nivel depoint, esos famosos
CDR que XDR, la sigla que tenga el
mercado, ¿cómo se hace? Sí, para
detectar efectivamente a dónde se envía.
Ya tengo la auditoría habilitada esos
dispositivos porque yo no puedo
monitorear lo que no veo. Sí, si yo no
estoy ingestando los eventos de los
sistemas y dispositivos finales, de las
herramientas de seguridad, de lo que veo
a nivel de red, por ejemplo, a través de
los firewalls, lo que veo a nivel de
comunicaciones web a través de un
firewall de aplicaciones, lo que veo a
través de la misma trazabilidad de el
sistema de información, ¿sí? saber quién
ingresó, qué operación hizo, está
autorizado, no está autorizado. Hay un
montón de casos de uso a desarrollar y
básicamente la palabra oportuno es un
desafío. Sí, tal vez el tiempo de
respuesta es un desafío para todas las
organizaciones. De hecho, desde años
atrás se menciona que el tiempo promedio
de detección y respuesta de los
incidentes para muchas organizaciones es
de 180 días. Así, eso es mucho. Son 6
meses
cuando hablamos de promedios, porque en
algunas organizaciones puede ser más
tiempo, en otras puede ser menos. Sí,
pero básicamente si no tenemos
diferentes opciones y nos preparamos
para afrontar diferentes escenarios, va
a ser difícil el tiempo de respuesta sea
eh
bajo. Sí, de hecho, yo les menciono
cuando uno se prepara para gestionar
incidentes es porque va a haber un
incidente. Cuando los equipos de gestión
y respuesta, digamos, la policía, el
ejército, los bomberos se preparan, es
porque van a haber emergencias. Lo mismo
pasa en la ciberseguridad, que un
usuario filtro o pierda sus contraseñas
a través de un sitio web, luego de dar
clic en un enlace en un sitio web, en un
correo electrónico malintencionado, es
muy fácil. Sí, creo que los que
trabajamos y estamos allí al lado de las
operaciones de ciberseguridad nos damos
cuenta que hay un montón de alertas de
usuarios en riesgo porque se
autenticaron desde una geolocalización
diferente, porque utilizaron otro
dispositivo, porque sus credenciales
parece que están expuestas. Sí, hay que
responder. Por eso detectar y responder
debe deben ir de la mano y ojalá el
tiempo entre la una y la otra sea pues
el mínimo posible. Sí. Ojalá sean
minutos porque no segundos. Se descubrió
que una cuenta está comprometida. Sí.
Estas herramientas aprenden
automáticamente de manera inteligente
cuáles son los comportamientos de los
usuarios. Por ejemplo, una herramienta
aprende. Voy a aprender de este usuario
en los próximos 30 días. ¿Qué
dispositivos se utiliza? ¿Desde qué
direcciones IP se conecta? ¿Cuántos
inicios de sesión correctos y fallidos
puede hacer al día? Sí, en qué horarios,
demás. Cuando alguna de esas cosas
cambia, pues puede generar alertas. Y si
digamos eh la analítica de los casos de
uso coincide en que esa situación puede
representar un riesgo, pues
inmediatamente una herramienta de manera
automatizada puede responder. Sí. No
necesita que una persona, un analista
llegue a las 7, a las 8 de las 9 de la
mañana a trabajar. Salude a todos, se
tome un café, ¿cómo está el día? Así 15
minutos después empieza a trabajar,
empieza a revisar las primeras 50
alertas, le prestó atención solamente a
10 y la que requería una acción
inmediata era la número 15. ¿Sí? Es
decir, ya la acción humana depende de
muchas variables, pero los sistemas
podrían responder automáticamente. Sí,
supongamos que la cuenta se comprometió,
el dispositivo se comprometió,
oportunamente se pudo detectar y la
respuesta fue inmediata. 5 minutos
después hubo una respuesta, esa cuenta
se bloqueó, ese dispositivo se puso, no
sé, se aisló, se puso en cuarentena, se
forzó un cambio de contraseña, se envió
la notificación y el equipo empieza a
investigar. Sí, el equipo empieza a
investigar, pero ya hubo una contención,
digamos, buena, adecuada.
Vamos a ver qué es la contención. Y el
nivel de riesgo se reduce un poquito.
Sí, como que ingresó, logró comprometer,
pero ya no pudo comprometer a más
recursos, más activos. Y ahora vamos a
tomar medidas. Vamos a aprender cómo lo
hizo. Unas palabras específicas, unas
preguntas, perdón, más bien son qué,
cómo, cuándo, dónde. Si si podemos
responder esas preguntas, podemos
obtener mayor nivel de detalle en cuanto
a estas eh amenazas, ¿sí? ¿Cuál fue el
vector de ataque? a través de eh qué
elementos eh hizo sus actividades
iniciales, cómo hizo acceso inicial,
cómo hizo, no sé, elevación de
privilegios, cómo hizo movimiento hacia
otros dispositivos, etcétera.
Viene respuesta.
Bueno, miremos aquí el chat. La capa de
gobierno un poco más alta. Sí, digamos
que el gobierno se encarga de que cada
uno de estos íems funcione de manera
correcta. Si no hay un gobierno, pues
parece que cada uno de ellos pueden ser
unas islas totalmente
eh digamos independientes y sin una
sinergia común. Sí, sin un objetivo
común. De hecho, un punto aparte, en
ciberseguridad nosotros deberíamos dejar
el ego a un lado. Sí, cuando trabajamos
en un objetivo común es un resultado más
efectivo, pero si nos basamos en que soy
el que tiene más habilidades, el que
tiene más conocimiento, el que tiene más
experiencia, el equipo no va a funcionar
bien. Sí, yo he tenido la oportunidad de
liderar equipos y es lo que uno nota. Si
cada uno da lo mejor de sí para el
bienestar común, funciona mejor.
nos dice Gel, entiendo que las capas que
estamos revisando ahora son para
identificar el nivel de riesgo. Sí,
estas capas digamos que cada una te
ayuda hacer algo, en identificar qué es
lo que vamos a proteger. En proteger es
cómo lo vamos a proteger. Sí, aquí ya
ves un nivel de riesgo sobre los activos
específicos que nos importan en proteger
es cómo vamos a desplegar medidas para
reducir el riesgo y detectar es cómo
identificamos cualquier anomalías y de
un riesgo que se pueda materializar, una
amenaza. Aquí responder es tomar una
acción inmediata. Mira que es
básicamente como tomar medidas lo más
pronto posible sobre una anomalía.
Entonces responder apoya la capacidad de
contención. Sí, contención es evitar que
eso que eh pudo comprometer o es una
amenaza se evitar que eso siga
creciendo, ¿sí? que pueda comprometer
más recursos, que pueda
tener un impacto mayor.
Por ejemplo, tenemos
cinco, digamos ocho, ocho estaciones de
trabajo comprometidas, ¿sí? En las
contenciones. Y ahora, ¿qué vas a hacer
para evitar que no sean 20, 50 o que no
sean todas? Sí, la contención requiere
de una evaluación previa de saber el
detalle del qué, cómo, cuándo, sí que
está sucediendo, dónde está sucediendo,
cuántas son las cuentas, cuántos son los
host. en qué red, en qué servidor, qué
sabemos de ello, cómo se llama el
archivo, cuál es el hash cuál es el
proceso que ejecuta, establece
comunicaciones con el exterior, ¿sí?,
etcétera, porque cuando vamos a
contención vamos a cerrar. Imagínese una
fuga de gas, ¿sí? Pues seguramente hay
que buscar la llave de paso inmediata
más cercana para cerrar el servicio en
pues un nivel un poco más alto. Sí, aquí
es lo mismo. Si yo veo que los
dispositivos que se comprometen
establecen comunicaciones sobre una
dirección IP en el exterior y lo
identifico oportunamente, pues corto esa
comunicación. Sí, eso es contención. Si
yo veo que los juos están comprometidos,
podría ponerlos en cuarentena. Si yo veo
que hay unas características de un
archivo que se levanta con este nombre y
luego crea un proceso y un subproceso,
pues entonces le digo una herramienta de
protección de point. Oye, alértame
cuando esto suceda y si eso sucede que
cumpla estas características
específicas, toma una acción inmediata y
bloquéalo. Sí, aquí nos salimos de los
indicadores de compromiso porque no
todas las veces son efectivos. Sí, una
IP, no todas las veces efectiva, un
hash. Pero eso es otro contexto.
Gestión, análisis en la mitigación,
notificación y la comunicación de los
incidentes. Sí, creo que también no
muchas empresas tienen la oportunidad de
tener un equipo de gestión y respuesta
de incidentes. ¿Qué deberíamos hacer?
Que el equipo local empiece a
desarrollar capacidades o que busque
unas capacidades externas, ¿sí? Que le
pueda ayudar a suplir esas necesidades.
Tenemos recuperar. Entonces, si pueden
ver, todo es como un paso a paso, un
flujo y aquí se restauran los activos
que han sido comprometidos después de un
incidente, ¿sí? Que pudieron haber
tenido alguna afectación, ojalá en el
menor tiempo posible y también a su
estado original o su estado ideal.
Recuperarlo a medias, pues me va a
seguir causando inconvenientes. Sí, va a
seguir siendo un problema, va a seguir
siendo causando un impacto. Entonces,
restablecer oportunamente las
operaciones a su nivel normal en el
menor tiempo posible. reducir los
efectos de los incidentes y también
comunicar, porque eso tenemos que
comunicarlo entre diferentes equipos.
Sí, no sé si tengo que comunicarlo entre
los directivos, las áreas, entre, no sé,
aquellos que son e
los inversores, no sé si tengo que eh
reportarle a las autoridades, tengo que
decirle a un ente regulador, sí, tenemos
que saber cómo se reporta, cuando se
reporta, qué reporta también, quién es
el encargado.
Aquí tenemos un banco debe tener una
sección de cuatro personas para
gestionar incidentes sin hacer
inteligencia. Bueno, no sé qué cantidad
de personas, pero un equipo de gestión y
respuesta incidentes es un equipo de
diferentes perfiles, roles, habilidades,
digamos, multidisciplinario.
También depende si esa actividad la
vamos a hacer de lunes a viernes 5x8,
pues el número de personas es menos,
¿sí? No sé, seis personas, pero si vamos
a hacerlo 247, pues seguramente el
doble, porque cómo vas a cubrir los
fines de semana, la noche, así y sobre
todo también depende del nivel de
especialidad. Tienes una persona que
conozca análisis de malware en el equipo
hágis
de malware que conozca tiene alguna
persona que tenga habilidades de
análisis forense, tiene alguna persona
que tenga habilidades de seguridad a
nivel de red, de seguridad a nivel web,
de seguridad de aplicaciones tienen una
persona de comunicaciones dentro del
equipo o eh en línea directa para
responder. Tienen una persona del área
legal, si han hecho entrenamientos,
simulaciones, tienen una persona que
conoce de hacking, que conoce de tipos
de ataques, que conoce otra que sepa
implementar controles y medidas. Sí.
Entonces es un equipo
multidisciplinario, entonces no te
podría decir el número de personas, pero
no sé, no tengo la medida de acuerdo al
número de de colaboradores
o de tecnologías, pero pues depende de
qué nivel de madurez queremos tener.
Bueno, perfiles. Entonces, los perfiles,
como les comentaba, es una evaluación de
dónde estoy y a dónde quiero llegar.
Entonces, el perfil me permite
comprender, adaptar, evaluar, priorizar
y comunicar los resultados. Entonces,
les decía que es un nivel de análisis
gap. Sí, aquí está un poquito más
detallado esto con un modelo de I de
preguntas. Un ejemplo de los perfiles de
NIST, Cyber Security Framework te dice,
el perfil es digamos una selección de
cuáles son tus objetivos, cuáles son tus
riesgos, tu nivel de actuar de
ciberseguridad y tu nivel deseado. Sí,
aquí dice dónde estoy y a dónde quiero
llegar. Actualmente tengo un firewall,
sí, tengo un firewall, tengo gestión de
vulnerabilidades, no la tengo. Sí, se
hago un análisis inicial, sé en qué
nivel estoy y luego pongo versus a dónde
quiero llegar. Entonces, por ejemplo,
quiero llegar a implementar un monitoreo
continuo, quiero tener autenticación de
múltiples factor, quiero tener una
gestión completa de riesgo, ¿sí? Quiero
tener una respuesta automatizada.
Entonces, ya eso te va a decir pues cuál
es el camino a seguir o el ro de qué
tienes que hacer para llegar a ese
nivel. ¿Sí? Ejemplo, su categoría. Tengo
inventario de activos, actualmente lo
cumplo a nivel parcial. Objetivo
completo. Sí. Control de acceso está
básico. Sí. Objetivo, quiero llegar a un
nivel avanzado. Respuesta a incidentes,
no tengo. ¿Qué quiero hacer? Quiero
implementar el eh flujo servicio de
gestión respuesta incidente. ¿Cuánto
tiempo me va a tomar? No sé, eso depende
de múltiples variables. Y bueno, aquí
tenemos algunos niveles. Entonces, el
NIS recomienda que uno con base en esa
evaluación, pues identifique en qué
nivel está, ¿sí?, en qué nivel de
madurez, por decirlo así, o nivel de
postura ciberseguridad. Tenemos un nivel
uno, que es un nivel de cumplimiento
parcial, un nivel dos que es un nivel
donde se le llama de conocimiento de los
riesgos, nivel tres, que ya se tiene un
conocimiento de los riesgos, tiene
algunos mecanismos y procesos
establecidos y se pueden repetir una y
otra vez, ¿sí?, en el equipo varias
veces en el año. Y el adaptable que se
adapta a todas las necesidades, es
decir, aquí está marchando todo sobre
ruedas. Entonces, aquí una explicación
un poco más detallada. Si estamos en el
nivel uno parcial, entonces no hay
procesos formales, no tenemos una
gestión reactiva, así no tenemos muchas
habilidades, conocimientos y estamos
empezando hasta ahora. El nivel dos ya
consideramos algunos riesgos, ya tenemos
algunas políticas, sí, pero no es tan
consistente. El repetible, ya están los
procesos, se aplica la capacitación y
seguimiento, sí, pero aún queremos
llegar a un nivel un poco más destacado.
Sí, el adaptativo, pues hay temas
proactivas, ciutadan métricas, se mide
el servicio, se hacen simulaciones, sí,
se verifican que todo esté a nivel con
base en las amenazas recientes, amenazas
actuales. Entonces, básicamente esos son
como los niveles y cada empresa debería
identificar en qué nivel me encuentro, a
dónde quiero llegar y qué tengo que
hacer para poder realizarlo.
Bueno, les quiero comentar que estamos
haciendo este webinar, pero les también
les vamos a ofrecer al final un curso de
preparación de certificación tanto para
NIS Cyber Security Framework como para
ISO 42001 que es gestión de la
inteligencia artificial en las empresas.
Ya vamos a pasar a hablar del NIS, del
ISO, el ISO 42001, pero básicamente ya
les va les va a contar un poquito más,
pero todo lo que tienen disponible en
nuestro curso es clases en vivo con el
instructor, laboratorios y prácticas.
Aquí no nos da el tiempo de hacer
prácticas, pero básicamente todo va a
estar en unas plataformas, van a tener
recursos en video, van a poder tener un
simulador para presentarse para el
examen, poder hacer también autoestudio
y certificarse si así lo desean y
podrían también tener una insignia
digital. Les voy a dejar esto acá para
que descarguen un archivo. Es un archivo
de Word. Eh, en la parte final, si nos
da el tiempo, vamos a desarrollar un
ejercicio. Es un ejercicio de caso de
alerta de malware. Sí, nos va a tener un
poco y nos va a permitir ver un ejemplo
de al menos las fases que nos sugiere el
NIST, cómo lo hacemos, al menos la
detección y respuesta. Entonces,
escaneen el código, por favor,
para que ustedes se queden con el
documento y ya después de esta sesión,
incluso si lo ven pregrabado, pues van a
poder realizarlo.
Creo que les voy a dejar también el
enlace aquí en el chat. Creo que lo
tengo por aquí a la mano.
Voy a verificar.
Creo que no es con el QR. Bueno,
seguimos.
Entonces, ahora empezamos a hablar de
ISO 42001.
Sí, sé que es una norma que tal vez no
es muy reconocida, tal vez la que más
familiar para nosotros es de la ISO es
ISO 27001, que se enfoca en seguridad
información, pero esta se enfoca en
gestión de la inteligencia artificial.
Sí, es importante. Muchas empresas
estamos están abordando y y adaptándose
eh usando la inteligencia artificial.
¿Sí? Entonces, básicamente esta nos
ayuda a liderar, diseñar y ejecutar la
implementación de un sistema de gestión
de inteligencia artificial. Sí, est
seguramente son las siglas en inglés,
artificial intelligent management
system, conforme a esta norma. Entonces
es un marco al igual que muchos otros
estándares con procesos, políticas,
controles que las empresas deberían eh
implementar para adherir y empezar a
usar la inteligencia artificial. Sí,
muchos ya utilizamos inteligencia
artificial sin ni siquiera controlarlo,
sin ni siquiera regularlo, sin ni
siquiera gobernar. Sí.
Entonces, algunos ítems destacados para
este marco, hacer un análisis de
contexto, tener una política, sí debería
haber un estándar, una política de
inteligencia artificial. ¿Cómo
utilizamos estas nuevas tecnologías,
estos modelos? ¿Qué deberían hacer las
personas? ¿Qué no deberían hacer? Ten
precaución con información que subes a
los modelos y ten precaución con querer
automáticamente todo lo que te diga el
modelo. Cómo tú verificas los resultados
y las salidas del modelo, porque pudiera
ser que el modelo tenga algunos sesgos,
esté equivocado. Sí. Entonces, solo
algunos pasos. Tener registros de los
riesgos, una matriz de de roles, quiénes
son los responsables de realizar
esta implementación, listado de
documentos, una declaración de
aplicabilidad.
Esto consiste en los controles que
nosotros vamos a aplicar. La norma
sugiere unos controles en la declaración
de aplicabilidad. Nosotros decimos
cuáles estamos aplicando, cuáles vamos a
aplicar, pues con base en nuestro
contexto. Checklist de proveedores, plan
de auditoría interna, no conformidades y
los anexos. En los anexos habitualmente
están como los controles a definir, así
como el anexo en ISO 27001. Aquí también
tenemos. ¿Por qué necesitamos un
estándar? Sí, para la IA es por muchas
razones, básicamente porque hay una
adopción de muchas organizaciones de la
inteligencia artificial. Pero deberíamos
hacerlo de manera organizada, ¿sí?
Siendo conscientes, teniendo pues tal
vez las habilidades y el conocimiento
necesario para tomar buenas decisiones.
Entonces, porque también hay un sesgo
algorítmico, ¿sí? Las estos modelos de
guía también se equivocan, también
tienen amenazas, también tienen
vulnerabilidades. Por ejemplo, había un
modelo de de reclutamiento en Amazon que
estaba sesgado y no le daba buenas
puntuaciones a las mujeres. Sí,
solamente, digámoslo así, castigaba a
los candidatos por ser una mujer. Sí,
por aquí creo que hace rato pude alistar
una noticia y es un ejemplo, sí, un
ejemplo de tal vez es destacado por la
empresa, la organización donde sucedió,
pero en cualquier lugar puede suceder,
sí, que los modelos tengan algunos
sesgos, que no hagan unas predicciones
efectivas y que los resultados pues no
sean los deseados. ¿Sí? Entonces, esto
es un ejemplo de ello. ¿Qué más? por
falta de transparencia, esto que se
llama la de caja negra, más bien las
actividades de caja negra, los modelos
de caja negra, donde no se puede
identificar cómo hizo este procesamiento
y esta predicción, pues es difícil saber
si la toma de decisiones podemos
confiarse los modelos y no sabemos cómo
efectivamente podemos llevar una
trazabilidad si siempre hace esa
predicción de manera correcta. ¿Sí? ¿Qué
tal si le ponemos un proceso crítico de
validación, no sé, de nivel de riesgo,
de evaluación de cuál es el estado de,
no sé, de riesgo de un sistema de
información o de un sistema químico o o
no sé, del nivel de prioridad que
requiere atender una emergencia. Si
estas predicciones no son efectivas,
pues podríamos pasar por alto una un
evento, una actividad que requiere una
acción inmediata.
Riesgos de privacidad. Sí. ¿Cuál es la
naturaleza de que nosotros entreguemos
datos a la inteligencia artificial? Si
sabemos dónde se va a almacenar, dónde
se va a procesar, si solamente nosotros
y nuestras organizaciones tienen acceso
o quién más tiene acceso. ¿Será que
algún gobierno tiene acceso a los datos?
¿Será que un tercero? ¿Será que un grupo
empresarial? ¿Será que así como el
modelo aprende de mis datos también
ingesta datos de otros usuarios y podría
mezclarlos? Y será que a través de las
peticiones o las proms o los proms o
solicitudes, algún usuario podría
obtener información nuestra, ¿sí? O de
alguien más que tener en cuenta eso. Sí,
también uso indebido como la
falsificación, clonación de video de voz
a través de deep fake, por ejemplo, a
través de creación de armas. Así, de
hecho, en algunas encuestas se menciona
que hay una preocupación porque se dice
que quienes más utilidad le obtienen de
la inteligencia artificial son los
atacantes y ni siquiera quienes
defienden, porque los atacantes sí están
utilizando la para generar cada vez
amenazas más robustas, más difíciles de
detectar si con mayor eficiencia, con
mayor impacto y también dependencia
tecnológica.
Nos volvemos dependientes. Este es un
plus. Nosotros siempre, a nosotros
siempre nos gusta dar plus.
Y aquí está el top 10 de sistemas de eh
modelo de lenguaje largo el LM TIA. Y
básicamente estos modelos también tienen
amenazas, ¿sí? También tienen un top 10,
así como un top 10 para aplicaciones
web, también hay un top 10 para modelos
de guía y hay temas como inyección de
promps, como divulgación de información
sensible, como ataque sobre la cadena de
suministro, como envenenamiento del
modelo, como manejo inadecuado de
entradas, como agencia excesiva, como
bueno, aquí les trajimos tres para
resumirles un poco algunas
vulnerabilidades. esta inyección de
proms, digamos que en los modelos de IA
generativa, pues las personas
interactúan con el modelo a través de
entradas. Las entradas pueden ser a
través de texto, a través de audio, a
través de voz, a través de imágenes,
¿sí? Y se les llama proms, pero un prom
es una solicitud,
es decir, desarrolla una aplicación que
haga esto, así, busca información de
este indicador de compromiso, eh cómo
hacer para mejorar los resultados de
agua. Entonces, básicamente a través de
esas entradas pueden hacer unas
inyecciones directas de unas entradas
mal intencionadas
pueden cambiar el comportamiento del
modelo. Y por ejemplo, un comportamiento
inesperado podría llevar a que el modelo
revele información sensible, a que, por
ejemplo, revele datos de su tecnología,
con quién está integrado, cuáles son
fuentes
eh internas, externas, ¿sí? Y también
este reporte de AS eh de las principales
riesgos que lo vamos a ver en el curso
detalladamente. También te sugieren
algunas medidas, algunos controles. Sí,
de hecho estos modelos son software.
Entonces, si hablamos de controles a
nivel de control de acceso, pues, ¿cómo
lo vas a proteger? ¿Dónde lo vas a
desplegar? ¿Quiénes van a ingresar? ¿Vas
a cifrar los datos? ¿Vas a tener una
integridad del código? ¿Sí, etcétera?
Aquí dice restringir el comportamiento
del modelo. Si tú restringes que el
modelo cada vez que ve de una respuesta,
pues se puede verificar qué información
va a entregar, qué cantidad, qué porción
o qué datos va a divulgar, pues se tiene
un control. Si naturalmente tú tienes
que probarlo constantemente y antes de
sacarlo a producción, ¿sí? Validar los
formatos de salida esperados, ¿sí? que
si uno testea y prueba el modelo
suficientemente, pues se puede saber si,
por ejemplo, eh da datos detallados, da
información de código, da porciones de
tecnología, implementar filtrado,
entrada y salida, es decir, el prom se
valida para verificar que no haya
solicitudes no deseadas y la salida del
resultado también es como una inyección
SQL. Sí, tú validas la entrada para
decir, "Este carácter es mal
intencionado, pero también la salida."
Si el manejador de base de datos va a
divulgar más información de la que
debería, pues le pongo una verificación
antes de que esto se entregue. Un
escenario. Miren, un atacante inyecta un
mensaje en un chatbot. Sí, un robot,
digamos, una herramienta de chat de
inteligencia artificial. Es de atención
al cliente que hay un montón y le ordena
ignorar las pautas anteriores. Sí. cómo
consultar almacenes de datos privados,
enviar correos electrónicos y le genera
acceso no autorizado, como que le dice,
"Mira, quiero que me muestres dónde
estás almacenando los datos." Sí,
muéstrame cuál es, no sé, el lugar donde
estás haciendo la predicción. Sí,
muéstrame qué tipo de eh, no sé, líneas
líneas estás utilizando para hacer las
predicciones. ¿Sí? ¿Qué tipo de
algoritmo estás utilizando?
¿Qué más tenemos por aquí? Divulgación
de información sensible. Si el modelo a
cada instante está recibiendo
información, nosotros cargamos archivos,
cargamos a documentos. Si no tenemos
precaución de quitar datos sensibles y
yo quiero que el modelo me ayude a
analizar, no sé, un contrato, un lock
grandísimo, tengo un lock del servidor y
tiene 30,000 líneas y a mí me va a tomar
mucho tiempo analizarlo, pues lo que
debería hacer yo es quitarle los datos
sensibles, las direcciones, los correos
electrónicos, las direcciones IP reales,
las rutas, las ubicaciones, el nombre de
la empresa. Sí, antes de compartir esto
con el modelo, porque de nuevo nada ni
nadie nos garantiza qué hace el modelo
con esa información, ¿sí? ¿Qué hace el
mismo proveedor? ¿Qué hace el mismo
fabricante?
Entonces,
este modelo podría divulgar información
sensible como información personal
identificada PII o PII durante las
interacciones. ¿Sí? Entonces, el
atacante podría utilizar técnicas para
solicitar información específica y aquí
algunas
recomendaciones para mitigarlos,
integrar técnicas de sanitización. es
decir, sanitizar es verificar cada dato
que vaya a consultarse y a salir para
evitar que se divulgue si esté sensible.
Validación robusta de las entradas,
implementar control de acceso y un
escenario, exposición involuntaria de
datos. Un usuario recibe una respuesta
que contiene datos personales de otro
usuario. Sí, porque no hubo una
sanitización adecuada. Otra
desinformación, estos modelos alucinan
en algunas oportunidades, ¿sí? que es
alucinar que entregan respuestas sin una
validación específica y sin que eh pues
haya consultado diferentes fuentes. ¿Sí?
Entonces también puede haber de esa
información. Estos modelos podrían
entregar información que no es certera.
Sí, aquí hay un ejemplo. Un chatbot de
una aerolínea en Canadá, Air Canadá
proporcionó información errónea a los
viajeros y provocó algunas
interrupciones operativas,
complicaciones legales y como resultado
la aerolínea fue demandada. Sí.
Entonces, aquí dice, verifica varias
fuentes. Sí, si tu modelo se alimenta de
diferentes fuentes, pues no te bases
solamente en una, sino en varias fuentes
y cruza esos resultados para ver si
efectivamente esta información es, no
sé, fiable, fidedigna. Sí, aquí dice
verificación cruzada tanto de
actividades automatizadas como
actividades humanas y implementar
algunas herramientas.
¿Qué más tenemos por acá? Si tienen
preguntas, por favor, déjenlas en el
chat. La IA en ciberseguridad y de hecho
IA en muchos sectores o industrias. La
inteligencia artificial se utiliza en
muchos lugares, en salud, en
farmacéuticas, en finanzas, en banco, en
comercio electrónico, en transporte, en
agricultura. Sí, más bien una pregunta
podría ser, ¿dónde no se usa la
inteligencia artificial?
Aquí algunos ejemplos. Esta es una
consulta reciente de cuáles son los usos
principales que se le dan en las
empresas, en las organizaciones o en las
instituciones y gobiernos. dice,
"Principalmente, atención al cliente,
¿sí? Teniendo asistentes virtuales y
algunos chatbots. Personalización para
saber qué hacen los usuarios." Sí, quien
tiene un tema de comercio en línea, pues
le conviene saber qué le gusta a la
persona, si buscó, no sé, computadores,
si buscó televisores, si está
interesados en ciertos cierto tipo de
productos.
Operaciones y gestión internas,
automatización de tareas repetitivas y
mantenimiento predictivos y para
procesar grandes cantidades de datos
para hacer actividades muy manuales.
Análisis de datos en finanzas para tomar
decisiones basados en datos. análisis
también para marketing, recursos humanos
y demás. Es un ejemplo de pues en qué se
utiliza principalmente la guía. De
hecho, si no se han fijado, puede que
nosotros estemos utilizando la en muchos
sistemas y recursos sin estar al tanto.
Sí, aquí tienes información en Google
Drive, cuando ingresas la te resume que
es lo que tienes aquí. Sí, aquí tienes
videos del curso X que se enfoca en
esto, esto y esto. Sí. Aquí dice, mira,
te puedo ayudar a gestionar tus datos,
tus archivos. Sí. Es decir, yo ingesto
todos tus archivos, tus documentos en
Word, Excel, en PowerPoint, en PDF, en
contratos, servicios, acuerdos,
proyectos. Sí, yo ingesto todo y luego
tú vas a un punto central y simplemente
me preguntas, ¿quién está trabajando en
el proyecto X en esta implementación?
Sí, muy útil, sí, pero la precaución y
qué va a pasar con estos datos. Sí,
solamente nosotros tenemos a los datos,
ya estamos utilizando la inteligencia
artificial. Muchos modelos ya tienen
nuestros datos y aún no estamos
estableciendo gobierno, aún no tenemos
políticas, aún no tenemos mecanismos,
aún no tenemos controles. Sí, hay que
pensar en eso. Entonces, la I en la
ciberseguridad tiene muchas
aplicaciones.
Mejora la eficiencia, la velocidad,
análisis predictivo, automatización. Sí.
casos de uso, un par que se nos está
acabando el tiempo, inteligencia de
amenazas, en detección avanzada de
amenazas, entonces en tráfico de red, en
analizar locks y eventos. Sí, un
ejemplo, un usuario accede normalmente
desde un país, no sé, desde España,
Colombia, México y luego hay un evento y
un inicio de sesión desde otra
geolocalización totalmente diferente,
desde otro continente, un horario
diferente. Así, ¿qué podría hacer la
herramienta? Podría alertar un
compromiso de la cuenta y bloquear
automáticamente. Sí. El evento fue
conexión desde una geolocalización
diferente en un horario diferente, desde
un dispositivo diferente y posible
salida de datos masiva. ¿Por qué? Porque
el usuario estableció conexión, se fue a
los recursos compartidos y descargó
todos los archivos con información
sensible. ¿Qué más? Patrones de
comportamientos de usuarios, de
dispositivos. Sí. Reducción de falsos
positivos. Yo les mencionaba. ¿Qué hace
un equipo de trabajo analizando 30,000
alertas diarias? Sí, no hay personas que
puedan hacer eso. Entonces, estas
herramientas y estos modelos pueden
ayudar a ver cuáles son los eventos
relevantes. De 35,000, hacer un filtro y
llegar a tener solamente 200 eventos que
son los más relevantes. Sí.
Análisis de malware existido. ¿Qué más?
Asistente para un analista SOC. Si un
analista no sabe qué hacer, en una
alerta dice, "Mira, explícame cómo eh
hacer una investigación y cómo tomar
acción. la herramienta X la te puede
sugerir, sí, yo digo que la IA es como
un asistente inteligente y preparado que
nos puede ayudar en muchas cosas que tal
vez no recordamos, no sabemos o tal vez
nos llegan las ideas rápidamente. Sí.
Entonces, amenazas malware, hacky, tick
face se utiliza en la IA. Y bueno, aquí
volvemos rápidamente el ISO 42001,
necesidad de las partes interesadas,
tanto los entes reguladores como de los
clientes, como los empleados, de los
proveedores. Sí, cada uno puede requerir
algo particular, cómo tomar unas
decisiones, cómo tener unos roles
claros, cómo definir los SLAI para la
adopción de estos modelos, estas
tecnologías de IA. ¿Cuál es el alcance?
Sí. Es decir, este proceso de gestión de
inteligencia artificial va a estar para
todos los sistemas, para unos procesos
específicos, va a ser para todas las
sedes, va a ser para todas las áreas o
vamos a iniciar solamente con, no sé,
con la casa matriz, con el país X y
luego vamos a vamos a ir con los demás.
Vamos a ir con los sistemas que están en
la nube, luego vamos a ir con los que
están localmente, ¿sí? ¿Cuál es el
alcance? Roles. ¿Quién es el dueño del
riesgo de lo que pasa en inteligencia
artificial? Muchas organizaciones ya
tienen algún director, algún
vicepresidente o demás de IA y
específicamente quién se encarga de
tomar decisiones. Un comité de gobierno
responsable de implementar el sistema de
gestión de la inteligencia artificial,
quiénes son quienes controlan los temas
más técnicos, ¿sí? ¿Quiénes saben cuál
es el flujo de los datos? ¿Cómo
alimentamos el esos modelos de sí? ¿Cómo
hacemos predicciones? ¿Cómo hacemos eh
no sé reducción de los datos? ¿Quiénes
son los encargados del cumplimiento de
los datos? ¿Y quién es encargado de
hacer la auditoría? También un auditor
interno para el 42001. Sí, también hay
un implementador. ¿Cómo hacemos
auditorías internas, externas?
Competencias. Mira, aquí algunos roles.
Los científicos de datos tienen mucho
que ver cómo se procesan los datos, cómo
se analizan temas de analítica, grandes
porciones de datos en las organizaciones
y cómo se integran en esos flujos o como
llaman pipelines tanto de desarrollo
como analítica de datos a través de
entornos de inteligencia artificial.
¿Sí? ¿Quiénes son los gestores? ¿Qué
hace la alta dirección? ¿Qué hacen los
usuarios? ¿Sí? ¿Cómo tienen un uso
responsable? ¿Cómo identifican alguna
anomalía? ¿Cómo reportan incidentes?
¿Cómo le enseñamos? Oye, ten precaución
de qué datos estás dándole al modelo.
Sí. ¿Qué sí son de prestarle atención
para que tú reportes en caso tal de que
el modelo no funcione como esperamos?
Entonces esto va al igual que muchos
otros muchas otras normas. Hay que tener
una sensibilización, hay que comunicarle
a los equipos, hay que tener unas
sesiones de trabajo para que todos sepan
qué estamos haciendo y qué rol cumple
cada uno de ellos. Sí, este es un ciclo
de vida de lo que puede tener un sistema
de IA. Se recomienda la fase uno, pues
una concepción, una definición del
problema, para qué lo necesitamos, cómo
va a servir, dos datos. ¿Qué datos vamos
a recuperar? Recopilar, cómo hacemos una
evaluación de calidad, sesgo,
gobernanta, desarrollo del modelo, una
validación cruzada para evitar temas de
sesgos. Sí. ¿Cómo hacemos pruebas de
calidad sobre el sistema? Se despliega
operación, monitoreo y retiro. Sí. Es
decir, cada nuevo sistema que vamos a
adherir a nuestra organización debería
pasar una validación, un ciclo de vida,
ya sea un desarrollo propio, incluso sea
de un tercero. Si yo contrato un
software o un modelo de un tercero,
igual debería ser una validación, ¿sí?
lo que llaman la debida diligencia, un
du diligence para verificar, oye, quiero
saber tú cómo haces pruebas de calidad a
tu modelo, cuáles son tus buenas
prácticas de desarrollo, cómo haces
pruebas de seguridad, cómo haces los
temas de, no sé, verificar que cuál es
el nivel de efectividad, respuestas
correctas, erróneas, etcétera. Sí,
tenemos que verificar todo eso incluso
antes de poder hacer eh el despliegue de
el modelo, antes de contratarlo. Sí,
después de contratarlo va a ser un poco
más complejo y más tarde. Gestión de
proveedores, justo lo que les estaba
comentando. Sí. Evaluar la capacidad del
proveedor para cumplir con los
requisitos de mi modelo de gestión.
Definir los requisitos contractuales de
seguridad, privacidad, de los datos y
cada cuánto me vas a responder, el
tiempo, quién es el responsable, si
termino el contrato contigo, en cuánto
tiempo me vas a devolver los datos,
cuánto tiempo los vas a eliminar y
etcétera. Monitorar el desempeño y
también gestionar los riesgos de estos
modelos. Hay una declaración de
aplicabilidad, creo que ya vamos a ir
resumiendo. Y básicamente si yo quiero
eh certificarme y desplegar el el esta
norma en mi organización, pues tengo que
crear algo que se llama una declaración
de aplicabilidad o SOA statement of
applicability. Y básicamente, ¿qué hago?
digo, mira, digo, si el control es
aplicable, una justificación, la estable
implementación, es decir, hay unos
anexos que nos habla los controles. Por
ejemplo, este es un formato que nos
dice, mira, este es mi eh
pues quiero hacer el el la el se me fue
la declaración de aplicabilidad, ¿sí?
Entonces, cuando lo voy a hacer, ¿quién
es el responsable de más? Y aquí están
los controles. Miren un ejemplo de los
controles que se sugieren para esta ISO.
dice, "Políticas relacionadas con la
inteligencia artificial. Tienes una
política de IA, tienes una alineación
con las políticas de la organización,
quién la revisó, tienes roles y
responsabilidades
cuál es la documentación de los
recursos. ¿Cuáles son los recursos de
datos? ¿Las herramientas que v a
utilizar? Recursos humanos. ¿Cuál es el
impacto que tienen estos procesos? ¿Sí?
la documentación, objetivos, bueno, y un
montón de controles, ¿sí? El desarrollo,
cómo haces la operación, cómo haces
monitoreo, dónde está la documentación
técnica y básicamente tú evalúas el
contexto, las soluciones y dices, mira,
este sí aplica, no aplica la
justificación, ¿sí? Es decir, este
control sí lo voy a desarrollar, no lo
voy a desarrollar, porque sí, porque no.
Sí. Y método de implementación. Con eso
el evaluador, el auditor sabe que me va
a verificar si si son tantos los
controles, seguramente solamente me van
a evaluar los que yo diga y yo solicite
que van a aplicar.
Hay que tener eh temas de medición,
rendimiento del del modelo, ¿sí? Puede
ser continuo, semanal, algunos pueden
ser mensuales, trimestrales, anuales. El
tema de rendimiento, cómo hace las
predicciones, el tema de la equidad, el
tema de ver si tiene fallas en pues
cuando hace algunas salidas específicas,
el tema de transparencia, el tema de
incidentes, ¿sí? Es decir, puede ser
transparencia, es decir, tengo que
verificar el modelo cómo hizo eh esa
predicción, ¿sí? Si realmente no la hizo
de manera correcta o tiene un sesgo
específico, pues quienes se encargan de
las pruebas y el desarrollo deberían
hacerlo. Sí, esos modelos tienen que
estar calibrándose continuamente porque
podrían tener algunas salidas no
adecuadas. También se hace auditoría
interna y revisión por la dirección. Y
bueno, creo que se nos acabó el tiempo,
pero aquí hay varios eh anexos que nos
hablan de los controles. Anexo A, anexo
B, anexo D. Y aquí ya vimos un ejemplo,
¿sí? Algunos hablan de las políticas de
organización internas, de los recursos
de evaluación del impacto. Y aquí ya
para finalizar unas fases típicas de
implementación. Primero tener un
diagnóstico de análisis GAP, ¿sí? ¿Dónde
estamos y dónde deberíamos llegar para
implementar el sistema de gestión de
inteligencia artificial? Luego hacer un
diseño, ¿sí? Un gobierno, quiénes son
los responsables, en cuanto a tiempo,
empezar a implementar controles, hacer
operación y monitoreo, hacer auditorías.
auditoría es continua, tanto interna
como externa y finalmente una
certificación externa. Sí, ya después de
obtener la certificación, pues
seguramente la vamos a renovar cada
periodo en el que sea necesario. Si
tienen dudas y preguntas, por favor,
déjenlas ahí en el chat. Muchas gracias
a ustedes por estar aquí. Con este
código QR van a poder escanear la URL
del curso que les comenté que vamos a
estar desarrollando a partir de la
siguiente semana, donde vamos a hablar
de las normas ISO 27001, de la ISO 42001
y también del NIS Cyber Security
Framework 2.0. Incluso este curso
incluye certificación internacional con
join. Si así lo desean pueden
certificarse en alguno de estos
estándares, lo cual va a dar pues una un
valor a sus perfiles profesionales y las
cosas que hacen para que pues cada vez
puedan ser digamos más apetecidos o
pueda ser bien visto su perfil en la
industria de la seguridad de la
información y la ciberseguridad. Sí,
aquí hay múltiples prácticas y buenas eh
prácticas de seguridad, inteligencia
artificial y seguridad de la
información. Y como les comentaba,
nosotros nos gusta dar siempre más y un
plus. Entonces, los plus están más
información, más documentación,
ejercicios y casos prácticos que se
pueden desarrollar en las organizaciones
y sobre todo la práctica, ¿sí? Cómo
poder llevar a cabo estas prácticas e
tanto en NIS como en ISO 42,000, que
como les decía 42001 es una norma más
bien reciente, ¿sí? Aún no se tiene
tanto conocimiento en el medio, pero
fundamental porque ya muchos utilizamos
estos entornos. y medios y modelos de
inteligencia artificial. Entonces, si
quieren participar, bienvenidos. Eh, si
hay alguna duda, pregunta, por favor,
adelante. Déjenme saber tanto en el chat
como si quieren abrir sus micrófonos,
bienvenidos. Sí.