El próximo incidente de ciberseguridad podría no ser causado por una persona

Por Vanessa Delgado, gerente de alianzas estratégicas de Controles Empresariales.

Octubre, reconocido globalmente como el Mes de la Ciberseguridad, llega en un momento en el que las organizaciones enfrentan un desafío que hace apenas unos años parecía improbable. Mientras las estrategias de protección digital han estado tradicionalmente enfocadas en controlar los accesos y comportamientos de las personas, hoy están emergiendo nuevas identidades que también interactúan con sistemas críticos, consultan información y ejecutan acciones dentro de las empresas: agentes de inteligencia artificial, bots y APIs.

La rápida adopción de estas tecnologías está impulsando mejoras en productividad, automatización y eficiencia. Sin embargo, también está planteando nuevas preguntas para los responsables de tecnología, seguridad y gestión del riesgo: ¿quién controla estas identidades digitales?, ¿qué permisos tienen?, ¿qué información pueden consultar?, ¿cómo se supervisan sus acciones?, ¿quién responde por ellas?

A diferencia de un colaborador, cuya relación con la organización está definida por un cargo, responsabilidades y procesos de gestión, muchas identidades no humanas están siendo incorporadas rápidamente a los entornos corporativos sin que exista un modelo equivalente de administración. El reto es garantizar que estas nuevas identidades cuenten con mecanismos claros de gobierno, supervisión y trazabilidad.

Cuando un agente de IA puede acceder a información estratégica, interactuar con aplicaciones empresariales o activar procesos automatizados, deja de ser únicamente una herramienta tecnológica. En la práctica, se convierte en un actor más dentro del ecosistema digital de la organización.

Desde la perspectiva de ciberseguridad, esto implica nuevos retos de control. Un bot puede conectar aplicaciones críticas. Una API puede intercambiar información sensible entre sistemas. Un agente de inteligencia artificial puede analizar datos, generar respuestas o ejecutar acciones específicas. Si no existen reglas claras sobre sus permisos, monitoreo y responsabilidades, estas capacidades podrían convertirse en nuevas superficies de riesgo.

El desafío cobra aún más relevancia porque las mismas tecnologías de inteligencia artificial que permiten fortalecer la seguridad también pueden ser utilizadas por actores maliciosos para automatizar ataques, crear identidades falsas, desarrollar campañas de phishing más sofisticadas o generar contenido fraudulento con altos niveles de credibilidad.

El debate ya no es si las organizaciones deben adoptar inteligencia artificial. La discusión debe centrarse en cómo hacerlo de manera segura y responsable. Toda identidad digital que tenga acceso a información o capacidad de ejecución necesita un propietario definido, controles adecuados y mecanismos de seguimiento permanente.  Frente a este escenario, los especialistas de Controles Empresariales recomiendan que las organizaciones incorporen medidas específicas para gestionar los riesgos asociados a agentes de IA, bots y otras identidades no humanas:

1. Asignar un responsable a cada identidad digital
Todo agente de IA, bot o integración debe contar con un propietario claramente definido dentro de la organización.

2. Aplicar el principio de mínimo privilegio
Los permisos deben limitarse estrictamente a las funciones necesarias para cumplir su propósito.

3. Garantizar trazabilidad de las acciones ejecutadas
Las actividades realizadas por identidades no humanas deben quedar registradas y ser auditables.

4. Revisar periódicamente los accesos otorgados
Los permisos deben evaluarse de forma continua para evitar privilegios innecesarios o heredados.

5. Implementar monitoreo permanente
La supervisión permite detectar comportamientos inusuales, accesos no autorizados o actividades fuera del patrón esperado.

6. Definir procesos de desactivación y retiro
Cuando una identidad digital deja de ser necesaria, sus accesos deben eliminarse de manera controlada y documentada.

La creciente presencia de agentes inteligentes dentro de las organizaciones está transformando la forma en que se entiende la identidad digital. Por eso, mientras las empresas aceleran sus iniciativas de inteligencia artificial, también deberán responder una pregunta fundamental: quién controla las nuevas identidades que comienzan a operar dentro de su negocio. Porque el próximo incidente de ciberseguridad podría no ser causado por una persona. Podría originarse en una identidad digital que nadie sabía exactamente quién administraba.