Redacción ‘Muy Segura’- La inteligencia artificial está cambiando las reglas del juego de la ciberseguridad. No necesariamente porque haya creado amenazas completamente nuevas, sino porque está multiplicando su velocidad, su escala y su capacidad de adaptación. Y, en ese nuevo escenario, hay una variable que cobra especial protagonismo: el tiempo.
Sobre esta nueva realidad conversaron María Álvarez-Cienfuegos, del equipo de Gerencia de Riesgos de Indra; Gonzalo Ayala, Cyber and Technology Specialist en Marsh; y Verónica Jiménez, Corporate Tech & Cyber EMEA Senior Underwriter en CFC, durante una mesa redonda celebrada en las oficinas de Marsh en Madrid.
Tres perspectivas diferentes y, al mismo tiempo, complementarias: empresa y gerencia de riesgos, bróker especializado y aseguradora. Los LLMs de última generación sirvieron como punto de partida para hablar de algo mucho más amplio: resiliencia, gobernanza, riesgo sistémico, cadena de suministro, inteligencia artificial, evolución del seguro cyber y capacidad de respuesta.
Y también para constatar que no siempre existe una única respuesta. Precisamente ahí estuvo buena parte de la riqueza del encuentro.
Cuando el tiempo cambia las reglas
Hay una idea en la que los tres participantes coinciden desde el comienzo: el margen de reacción se está reduciendo.
Para Verónica Jiménez, de CFC, «el tiempo disponible para identificar y corregir vulnerabilidades se reduce drásticamente». Una realidad que obliga, a su juicio, a evolucionar desde ciclos de reacción medidos en semanas hacia entornos en los que detectar y responder rápidamente se convierte en una capacidad defensiva fundamental.
María Álvarez-Cienfuegos, de Indra, introduce un matiz importante: «no estamos ante una nueva amenaza, sino ante una aceleración masiva de las amenazas que ya conocíamos». Capacidades que hasta ahora exigían equipos altamente especializados, tiempo y recursos pueden comenzar a automatizarse y acelerarse gracias a LLMs de última generación.
Y Gonzalo Ayala, de Marsh, coincide en que esta reducción del tiempo de reacción obligará a cambiar la propia gerencia del riesgo cyber y a revisar procesos que pueden convertirse en auténticos cuellos de botella, especialmente cuando llega el momento de aplicar parches.
La velocidad, por tanto, deja de ser únicamente una característica del ataque. Se convierte también en una exigencia para quien tiene que defenderse.
Ya no basta con prevenir: hay que saber resistir
¿Qué sucede cuando una vulnerabilidad puede explotarse en horas o incluso en minutos?
Para María Álvarez-Cienfuegos, «lo primero que desaparece es el margen de maniobra». Y eso obliga a replantear el enfoque. «La pregunta no es si te van a atacar, sino si eres capaz de resistir y recuperarte», señala.
Porque un incidente puede provocar interrupciones operativas, pérdida de datos, responsabilidades frente a terceros o daños reputacionales antes incluso de que la organización haya tenido oportunidad de desplegar un parche.
Aquí aparece también el seguro como una pieza más dentro de una estrategia necesariamente más amplia. No sustituye a la ciberseguridad, pero puede aportar capacidad financiera, acceso a especialistas y protección frente al impacto económico cuando la prevención no ha llegado a tiempo.
Gonzalo Ayala incide precisamente en esta vertiente y en la utilidad de los servicios asociados al seguro cyber para gestionar una crisis. Su aportación puede ser especialmente relevante para las pymes, que normalmente disponen de menos recursos que las grandes organizaciones, no solo desde el punto de vista financiero, sino también en cuanto a capacidad técnica para afrontar un incidente.
El Consejo también tiene que hacerse nuevas preguntas
La transformación no afecta únicamente a los departamentos tecnológicos.
Para Gonzalo Ayala, los gerentes de riesgos comienzan ya a preguntarse si el nivel de ciberseguridad y los procesos implantados en sus organizaciones están preparados para los cambios que se están produciendo. Pero aparece también una segunda cuestión: si sus programas aseguradores continúan respondiendo adecuadamente a unos modelos de negocio que evolucionan rápidamente.
Empresas tradicionalmente jurídicas, consultivas o industriales pueden convertirse progresivamente en prestadoras de servicios tecnológicos apoyados en software de inteligencia artificial. Y esa transformación puede exigir revisar también cómo se aseguran sus riesgos.
María Álvarez-Cienfuegos lleva la reflexión un paso más allá y la sitúa directamente en el órgano de gobierno: «considero es realmente importante que se cuestionen si tienen el conocimiento adecuado».
La pregunta no es que los consejeros deban convertirse en expertos tecnológicos, sino si disponen de la formación y los mecanismos de supervisión suficientes para cuestionar decisiones relacionadas con IA y ciberseguridad.
El riesgo cyber deja así de ser un problema exclusivamente tecnológico. Es también una cuestión de conocimiento, supervisión y responsabilidad empresarial.
¿Evolución o auténtico cambio de paradigma?
En este punto, las respuestas de Marsh y CFC vuelven a encontrarse.
Para Gonzalo Ayala, la aplicación de la inteligencia artificial en ciberseguridad y en otros ámbitos empresariales supone «un cambio de paradigma comparable a la llegada de internet».
El gran desafío, además, no estará necesariamente en encontrar las vulnerabilidades, sino en disponer de recursos suficientes para corregirlas en un escenario que exige respuestas casi inmediatas.
Verónica Jiménez considera que estamos, probablemente, ante ambas cosas: evolución tecnológica y cambio de paradigma. Los LLMs de última generación pueden modificar la economía del ataque y de la defensa y, especialmente, la posición de organizaciones que hasta ahora podían considerarse razonablemente protegidas.
Y coincide en el diagnóstico sobre el principal reto: «El verdadero desafío será ser capaces de priorizar y corregir esas vulnerabilidades a tiempo en entornos tecnológicos complejos y con recursos limitados».
¿Puede existir una gran catástrofe digital?
Aquí aparecen algunos de los matices más interesantes de la conversación.
Gonzalo Ayala considera que, en determinados casos excepcionales, podrían producirse escenarios catastróficos de naturaleza sistémica, con vulnerabilidades capaces de afectar a numerosas organizaciones prácticamente sin tiempo de respuesta. Los LLMs de última generación incrementarían así un riesgo de acumulación que preocupa al mercado desde hace años.
María Álvarez-Cienfuegos, sin embargo, cuestiona la comparación directa con una catástrofe natural: «No puede equipararse a una catástrofe natural, ya que no constituye un fenómeno inevitable ni incontrolable».
La diferencia está precisamente en la capacidad de intervención. Las decisiones humanas, las prácticas de ciberseguridad, los controles técnicos y la capacidad de recuperación pueden prevenir o mitigar el impacto.
Verónica Jiménez tampoco considera que la inteligencia artificial cree por sí misma un nuevo riesgo catastrófico. El mercado cyber lleva años enfrentándose a riesgos de acumulación. Vulnerabilidades como Log4Shell o determinados incidentes relacionados con Citrix y Fortinet, además de casos como WannaCry, ya demostraron que una misma vulnerabilidad puede afectar simultáneamente a miles de organizaciones.
¿Qué añaden entonces los LLMs de última generación? Fundamentalmente, velocidad: pueden acelerar la explotación y reducir todavía más los tiempos de reacción.
Atacantes y defensores: aquí no hay unanimidad
Uno de los momentos más interesantes aparece cuando se plantea quién obtendrá mayor ventaja de la inteligencia artificial durante los próximos años.
Verónica Jiménez considera que serán los atacantes. La razón está en la propia asimetría de la ciberseguridad: «los defensores deben hacerlo bien todos los días, mientras que un atacante solo necesita tener éxito una vez».
Gonzalo Ayala coincide con esta visión. Aunque las organizaciones disponen de capacidades tecnológicas para defenderse, sus tiempos y limitaciones de implementación pueden hacer que los ciberdelincuentes sean más ágiles a la hora de incorporar nuevas herramientas.
María Álvarez-Cienfuegos discrepa.
«Bueno, realmente aquí difiero de opinión con Verónica», afirma. Desde su perspectiva, los defensores cuentan con ventajas importantes: conocen sus sistemas, disponen de datos para detectar anomalías y tienen capacidad para automatizar respuestas a gran escala.
Para ella, «la visibilidad y la capacidad de anticipación son grandes ventajas que debemos aprovechar». A ello suma otro elemento: el aprendizaje continuo que proporciona cada incidente, incluso los de menor dimensión.
Tres especialistas, por tanto, y dos maneras diferentes de mirar hacia el futuro. Porque la misma tecnología que potencia las capacidades ofensivas puede convertirse también en una extraordinaria herramienta defensiva.
Una nueva carrera armamentística, también digital
La dimensión del fenómeno va mucho más allá de las empresas.
María Álvarez-Cienfuegos considera que la inteligencia artificial se ha convertido ya en una auténtica revolución para el ámbito militar. Los conflictos actuales muestran aplicaciones que abarcan desde los servicios de inteligencia y la actuación sobre sistemas informáticos hasta vehículos autónomos, drones, vigilancia, reconocimiento o procesamiento de grandes cantidades de información en tiempo real.
Desde su perspectiva, «la famosa “Guerra Híbrida” […] ha sufrido un impulso gracias a la IA».
Gonzalo Ayala coincide en la importancia estratégica de estas capacidades y apunta además a una transformación especialmente delicada: la posibilidad de eliminar progresivamente el factor humano de determinadas intervenciones físicas, despersonalizando el conflicto.
Las capacidades militares tradicionales seguirán siendo necesarias, pero las tecnológicas han dejado de ser opcionales para aquellos países que no quieran quedarse atrás.
Cadena de suministro: mi riesgo también puede ser el tuyo
La posición de Indra, simultáneamente consumidora de tecnología y proveedora de servicios para organizaciones y sectores críticos, permite observar con especial claridad otro de los grandes desafíos: la cadena de suministro digital.
María Álvarez-Cienfuegos lo resume como «una mayor responsabilidad sobre la cadena de suministro digital».
La superficie de exposición del proveedor pasa a formar parte de la superficie de exposición de sus clientes. Una vulnerabilidad en un componente, una plataforma gestionada o una herramienta de desarrollo puede desencadenar efectos en cascada.
Esto obliga a incorporar escenarios de riesgo compartido, dependencias tecnológicas y análisis de concentración. El riesgo, recuerda María, no acaba de aparecer; existía desde que Indra es proveedor. Lo que ha ocurrido es que ha ido madurando y exige cada vez mayor velocidad de mitigación.
Desde CFC, Verónica Jiménez coincide en la relevancia de las dependencias tecnológicas y la concentración del riesgo. Cuando muchas organizaciones dependen de los mismos proveedores, plataformas o servicios, una única vulnerabilidad crítica puede impactar simultáneamente en numerosos asegurados.
Para el mercado asegurador, conocer esas exposiciones compartidas y los riesgos derivados de terceros será cada vez más importante.
El seguro cyber evoluciona hacia un papel de partner tecnológico
Si las amenazas y las empresas cambian, el seguro también tendrá que hacerlo.
Verónica Jiménez considera que las aseguradoras especializadas en cyber y con una sólida base tecnológica están especialmente bien posicionadas. En un escenario en el que la IA acelera el descubrimiento y la explotación de vulnerabilidades, los cuestionarios puntuales dejarán de ser suficientes.
La evolución apunta hacia una visibilidad mucho más continua de la exposición de los clientes, combinando monitorización, inteligencia de amenazas y análisis permanente de las superficies de ataque.
Su visión se resume en una expresión muy clara: «El asegurador como partner tecnológico, no limitándose a la parte indemnizatoria».
Gonzalo Ayala comparte la importancia creciente de la especialización y de servicios añadidos como prevención, gestión de crisis o análisis de vulnerabilidades. Pero introduce una advertencia especialmente relevante desde la posición del bróker.
Una evaluación cada vez más exhaustiva del riesgo podría acabar convirtiendo la suscripción en un proceso demasiado complejo y provocar que precisamente las organizaciones con menor nivel de ciberseguridad encuentren dificultades para asegurarse.
El reto será, por tanto, avanzar en conocimiento y especialización sin perder «la esencia de mutualizacion del seguro dejando fuera a los riesgos menos atractivos».
IA sí, pero sin renunciar al criterio humano
¿Debe preocuparnos más que los ciberdelincuentes dispongan de LLMs de última generación o que las propias organizaciones terminen confiando demasiado en la inteligencia artificial?
Tampoco aquí existe una única respuesta.
A Verónica Jiménez le preocupa especialmente la segunda posibilidad. «Pensar que la IA puede sustituir los fundamentos de una buena estrategia de seguridad genera una falsa sensación de control».
La tecnología puede mejorar la detección y la respuesta, pero no sustituye una adecuada gobernanza, formación, procesos ni supervisión humana.
María Álvarez-Cienfuegos coincide. El ataque seguirá existiendo bajo una u otra forma y, por ello, vuelve a poner el foco en la respuesta. Le preocupa especialmente «que las organizaciones caigan en la ilusión de que la IA puede sustituir el juicio humano, la gobernanza y la supervisión».
Gonzalo Ayala, en cambio, sitúa su principal preocupación en las capacidades que los ciberdelincuentes pueden obtener gracias a LLMs de última generación. Y aporta al mismo tiempo otro matiz: la inteligencia artificial puede permitir que pequeñas organizaciones con pocos recursos mejoren considerablemente aspectos de su ciberseguridad que actualmente ni siquiera pueden abordar.
Una tecnología, por tanto, con enormes posibilidades defensivas que no está exenta de riesgos cuando se confía en ella sin límites.
La era de los LLMs de última generación: prepararse para responder más rápido
Al llegar al final, las tres miradas vuelven a aproximarse.
Para María Álvarez-Cienfuegos, la recomendación pasa por invertir, pero no únicamente en herramientas: «en construir una organización capaz de detectar, decidir y responder en horas en lugar de semanas». Y esa inversión debe alcanzar también al talento y al aprendizaje continuo.
Gonzalo Ayala pone el acento en minimizar el impacto de unas vulnerabilidades cuya explotación puede resultar prácticamente inevitable y señala estrategias como la separación de dominios de red combinada con arquitecturas de confianza cero.
Y Verónica Jiménez lo resume en una recomendación: «optimizar la ciberseguridad para la velocidad».
Quizá esa sea precisamente una de las grandes conclusiones de esta conversación.
En un escenario con LLMs de última generación será difícil aspirar a organizaciones sin vulnerabilidades. La diferencia estará en conocerlas antes, priorizarlas mejor, responder con mayor rapidez y disponer de la capacidad suficiente para continuar cuando algo falle.
Porque la inteligencia artificial puede cambiar muchas cosas. Pero detrás de la tecnología seguirán estando las decisiones, la preparación, el conocimiento y las personas.
Y en ciberseguridad, cada vez más, también estará el tiempo.
