En este episodio, Bastien Cabirou conversa con Abbas Kudrati, Asesor Principal de Seguridad de Identidad APAC en Silverfort y ex Asesor Principal de Ciberseguridad de Microsoft para Asia, sobre cómo los líderes de seguridad deben abordar la IA sombra, la gobernanza de IA y los riesgos emergentes de sistemas agenticos en la empresa.
La conversación cubre por qué los empleados seguirán usando IA aunque esté bloqueada, por qué la gobernanza es mejor que las prohibiciones totales, cómo la IA agentica crea un nuevo problema de identidad no humana y qué deben hacer los CISOs ahora para adelantarse a la próxima ola de riesgos empresariales.
Aspectos destacados del episodio
- Por qué bloquear las herramientas de IA a menudo impulsa su uso clandestino en lugar de reducir el riesgo
- Cómo la IA oculta evolucionó del mismo patrón que la TI oculta y el SaaS oculto
- Por qué la gobernanza, la política y la educación de los empleados importan más que las prohibiciones generales
- Cómo los agentes heredan privilegios y crean nuevas superficies de ataque de identidad no humana
- Por qué la inyección de indicaciones, el acceso no controlado a herramientas y la exposición por correo electrónico son riesgos importantes para las empresas
- Por qué el SOC del futuro probablemente incluirá agentes en nivel cero y humanos que los gestionen, ajusten y supervisen
Sobre Abbas Kudrati
Abbas Kudrati ha trabajado más de 27 años en TI, ciberseguridad, hacking ético, GRC y liderazgo ejecutivo en seguridad. Fue asesor principal de ciberseguridad de Microsoft para Asia y ahora trabaja en Silverfort, donde se centra en la seguridad de identidad humana, no humana y de agentes.
Puntos clave de la conversación
1. Los empleados usarán IA aunque no la apruebes
Uno de los puntos más claros de Abbas es que la adopción de IA se comporta como olas tecnológicas anteriores como internet, móviles y BYOD. Si las organizaciones simplemente bloquean la IA, los empleados suelen evitar los controles usando dispositivos personales o cuentas de consumidor. Eso elimina la visibilidad justo cuando más se necesita.
2. Una buena gobernanza supera cerrar el grifo
En lugar de prohibiciones por defecto, Abbas sostiene que las organizaciones deben definir límites claros: qué herramientas están aprobadas, qué tipos de indicaciones son aceptables, qué datos se pueden usar y dónde las versiones empresariales de pago deben reemplazar las de consumidor. El objetivo es habilitar de forma segura, no prohibir por apariencia.
3. La IA oculta se está convirtiendo en un problema de visibilidad a escala empresarial
Los equipos de seguridad pueden conocer algunas herramientas principales, pero Abbas señala que los entornos reales pueden contener cientos de aplicaciones de IA con poca o ninguna supervisión. Descubrirlas es crucial porque si no ves qué herramientas se usan, qué datos entran y qué identidades están vinculadas, no puedes gobernar el riesgo.
4. La IA agentica crea un nuevo desafío de seguridad de identidad
Un tema central del episodio es que los agentes deben tratarse como parte de la fuerza laboral. Heredan accesos, crean subidentidades, se conectan a correo y herramientas SaaS, y pueden activar acciones en múltiples sistemas. Eso hace que la seguridad de identidad no humana, la gestión de privilegios y la auditabilidad sean centrales para la gobernanza de IA.
5. La seguridad de IA se está volviendo agente contra agente
La discusión también explora un futuro donde agentes de equipos rojos prueban agentes de equipos azules, y los sistemas defensivos desafían, monitorean y reentrenan continuamente otros sistemas de IA. En la práctica, eso significa que la gobernanza irá más allá de la formación de empleados hacia el ajuste, evaluación y control continuos de agentes.
Citas destacadas
Si no lo ves, no puedes gestionarlo.
No lo cierres, porque si los cierras, se irán. Pero edúcalos.
Los hackers no atacan la identidad humana. Atacan la identidad no humana.
Necesitas aprender a gestionar al agente.
Por qué esto importa para CISOs y equipos de seguridad
El episodio refuerza un punto práctico para líderes empresariales: el riesgo de IA ya no es solo que empleados peguen datos sensibles en chatbots públicos. Ahora incluye descubrimiento de IA oculta, exposición de identidad no humana, inyección de indicaciones, proliferación de agentes, expansión presupuestaria y el reto operativo de supervisar sistemas semiautónomos conectados a herramientas empresariales.
Para líderes de seguridad, la prioridad a corto plazo no es detener la adopción de IA por completo. Es hacer visible el uso de IA, gobernarlo, aprobarlo cuando sea adecuado y limitarlo con controles aplicables. Ahí es donde las plataformas de gobernanza de IA, controles de identidad y red-teaming estructurado empiezan a importar.
Transcripción
A continuación, un extracto ligeramente editado de la transcripción para quienes prefieren leer la conversación en texto.
Sí, las tecnologías están creciendo rápido o volviéndose más inteligentes. Tenemos las aplicaciones CNAPP y proxy de aplicaciones en la nube, que permiten identificar qué IA se usan, pero aún no pueden ver qué datos entran ni qué identidades se habilitan entre ellas. Nuevas tecnologías y proveedores están surgiendo con esas capacidades, pero aún está en una etapa temprana, diría. Y no todos tienen presupuesto para habilitar o revisar el panorama y empezar a hacerlo. Así que simplemente, lo que hacen, es cerrar el grifo. Incluso si cierras el grifo, si hacen un escaneo adecuado y revisan todas las identidades humanas y no humanas, aún encontrarán cientos de aplicaciones de IA usadas en el entorno sin visibilidad. Volviendo a la gobernanza, si no lo ves, no puedes gestionarlo.
Si no... no es visible, no puedes gestionarlas. Gracias, Abbas, por acompañarnos hoy. Es un placer tenerte aquí. Hoy me gustaría conocer tu opinión sobre la ciberseguridad en IA y todo lo que está pasando en este ámbito. Gracias por estar aquí. Un placer. Gracias por invitarme, y hoy es un día hermoso en Sídney. Exacto. Exacto. Primero, ¿puedes contarnos un poco sobre ti? Sí. Llevo más de veintisiete años en la industria. Soy Abbas Kudrati. He trabajado en varias empresas, empecé como administrador de sistemas, ingeniero de redes, luego hacker ético, consultor GRC y llegué a ser CISO. Mi último trabajo fue en Microsoft como asesor principal de ciberseguridad para Asia, y ahora trabajo en Silverfort como asesor principal de seguridad de identidad para la región Asia-Pacífico.
Vaya, has hecho muchos trabajos, siempre en ciberseguridad, siempre en TI. Siempre empecé en TI porque no existía la ciberseguridad en esos días, cuando empecé en 1996 o 1997. Ha sido un viaje loco hasta ahora. Y ahora vivimos en la era de la IA, como sabemos. Sí, fue una gran ola. Sí, absolutamente. Genial. En tu experiencia, ¿cuál fue el momento más emocionante y la ola tecnológica más emocionante? Mi momento más emocionante fue el Y2K. Estoy seguro que quienes tienen 25 o 30 años de experiencia aún recuerdan esas largas horas y noches preparando el Y2K, el cambio al año 2000 y el nuevo milenio. Fue un tiempo muy loco para mí, y estaba muy fresco en mi carrera profesional.
Creo que fue mi segundo o tercer trabajo, en India, en Pune, en una empresa americana. Todos los requisitos venían de EE. UU. diciendo qué debíamos hacer para prepararnos y proteger nuestros datos si el reloj marcaba la medianoche. Esa noche trabajé hasta la una de la madrugada, vigilando todos mis servidores en el momento exacto. Yo y otro colega éramos los únicos en la sala; todos los demás celebraban el milenio, mientras yo me dedicaba como un héroe de TI vigilando que todo funcionara y nada fallara. Luego envié el último correo, parecía que todo funcionaba, los datos estaban seguros y protegidos, y todo estaba bien.
Me iba a casa o a la fiesta, que empezaba a la una y media de la madrugada. Fue el momento más loco que he vivido profesionalmente. Siempre recordaré el Y2K. Genial. Después hiciste diferentes trabajos, y cuando nos conocimos, trabajabas para Microsoft. Sí. Gran trayectoria. ¿Cómo acabaste en Microsoft? Fui CISO durante un tiempo en varias empresas, empezando en Oriente Medio. En Bahréin fui CISO del gobierno electrónico del país. Luego me mudé a Kuwait para el Banco Nacional de Kuwait, donde fui adjunto en la oficina del CISO. Después me mudé a Melbourne, Australia, en 2013.
Me uní a Public Transport Victoria, la red de trenes, tranvías y metro, como CISO. Luego entré en KPMG como consultor y CISO para trabajos internos, no para clientes. Fui CISO para las oficinas de KPMG en Australia, Nueva Zelanda, Fiji y PNG. Mientras hacía ese trabajo, pensaba qué venía después. Vi una oferta en Microsoft buscando un CISO experimentado, orador público, cómodo hablando con grandes audiencias, ejecutivos y gestión de interesados, y que creyera en la tecnología Microsoft como empresa segura, no como empresa de seguridad. Apliqué, pasé muchas entrevistas y finalmente Microsoft y yo nos convencimos de que era algo que podía hacer: ser CISO para clientes allí.
Un CISO cliente o un CISO de campo, como lo llamamos. Fue una época interesante. Pasé casi siete años en Microsoft, viendo cómo... evolucionaban de considerarse a sí mismos una... empresa segura a una empresa de seguridad. Fue una transición por la que pasé, y ahora están entrando en una fase de IA. Entonces pensé, vale, ya basta de Microsoft. Voy a intentar hacer algo... nuevo. Y soy un firme creyente de la identidad como plano de control porque todos los ataques que vemos están dirigidos a la identidad humana y no humana. Y me encontré con Silverfort como empresa, que es socio de Microsoft. He trabajado con ellos durante los últimos tres años desde el lado de Microsoft apoyándolos... en la implementación de la arquitectura de confianza cero desde entornos on-premise. Y finalmente, el CEO se acercó a mí y me dijo: "¿Por qué no vienes a este lado?" Y acordamos, vale, vamos a dar el paso y probar algo diferente.
Aquí estoy desde hace un año y dos meses, trabajando para Silverfort en seguridad de identidad. Un momento emocionante, desde la identidad humana a la identidad no humana y ahora a la identidad agentiva. En eso me estoy centrando estos días. Eso es genial. En términos de... y eso es genial. Vamos a hablar un poco sobre IA y toda la seguridad alrededor de la IA. Mm-hmm. Desde que trabajas con Microsoft, has visto la adopción de la IA en el entorno laboral. ¿Qué tipo de riesgos has visto crecer en términos de ciberseguridad, en torno al uso de IA por parte de empleados, al trabajo agentivo? Verás, los empleados son curiosos. Cualquier tecnología nueva que aparece, la gente siempre intenta experimentar y explorar qué hace y cómo lo hace. Al mismo tiempo, los CISOs y ejecutivos tienen miedo porque es algo completamente nuevo.
No se arriesgarán a habilitarlo. Pero si intentan deshabilitar ese tipo de tecnología en el entorno, como humanos, irán a casa y lo probarán en su teléfono o en su portátil personal para ver, porque todo el mundo habla de ello. Como habrás visto en las estadísticas, cuánto tardó Internet en hacerse popular, cuánto tardó el teléfono móvil, y cuánto tardó ChatGPT, como decimos, que fue lo primero que usó todo el mundo. En pocas semanas alcanzó millones de usuarios... por la curiosidad y la cantidad de cosas geniales que hace para todos. Así que sí, como humanos quieres explorarlo, pero claro, también hay que mirar los riesgos y amenazas que conlleva. Una oportunidad fantástica. Ahí es donde los CISOs están preocupados: quieren permitir que sus usuarios lo usen, pero necesitan poner límites, y ahí es donde entra la buena gobernanza.
Si no estableces buenos límites y gobernanza, la gente se descontrolará y lo usará sin medida. Lo mismo pasó con Internet y con el teléfono móvil. ¿Permites que tus empleados usen sus propios teléfonos en la empresa? Por eso surgió la política BYOD. Lo mismo, el primer paso que los CISOs están pensando ahora, o que siempre les recomiendo, es establecer límites, establecer políticas... qué tecnología permites que usen. No lo cierres, porque si lo cierras, buscarán otras vías. Pero edúcalos... sobre los riesgos que conlleva. Sí, pueden usarlo, y si tienen una versión corporativa, habilita esa versión corporativa. Mm. Hay muchas, como ChatGPT que tiene versión empresarial. Microsoft tiene su propio Copilot, que es una versión profesional y otra gratuita.
Porque si pagas por algo, viene con límites. Si usas algo gratis, tú eres el producto, como dicen, ¿verdad? Así que pon límites, establece políticas, crea educación o concienciación. Esto es lo que deben usar. Este tipo de consultas pueden hacer, este tipo de datos pueden usar para... interactuar con la tecnología y trabajar con tus empleados... para habilitarlos de forma más segura en lugar de simplemente bloquearlo. Eso creo. Esto es exactamente lo que recomendamos, y siento que estamos muy alineados en esto. Y, ¿qué opinas sobre toda esta nueva sombra de IA y los riesgos que conlleva lo que no conoces? La sombra de IA empezó con la sombra de TI, luego tuvimos la sombra de seguridad y las aplicaciones sombra, ¿verdad? Ese fue el mayor desafío. Cuando preguntas a cualquier CIO, CXO o CISO en su organización, lo primero que dicen es: "No me preocupa lo que sé.
Me preocupa lo que no sé",... que es la sombra. La gente habilita sus propios servidores en el entorno, ahí entra la sombra de TI. Luego habilitan sus propias aplicaciones en la nube. Aparecen las aplicaciones sombra, y ahora la sombra de IA. Sí. La gente intenta usar todo tipo de productos nuevos que crecen a gran velocidad. Antes solo estaba ChatGPT, y hoy en día hay más de mil aplicaciones de IA en el entorno. Y las organizaciones no tienen ni idea... cuántas usan sus empleados, y en esas aplicaciones, qué datos corporativos se han introducido para interactuar con ellas. Así que sí, las tecnologías crecen rápido y se vuelven más inteligentes. Tenemos aplicaciones CNAPP, proxy de aplicaciones en la nube y demás. Permiten identificar qué IA se está usando, pero aún no pueden ver qué datos entran o qué identidades se habilitan en ellas.
Y nuevas tecnologías y proveedores están surgiendo con esas soluciones, pero aún está en una etapa temprana, diría. Y no todos tienen presupuesto para hacer un análisis del panorama y empezar a gestionarlo. Así que simplemente lo que hacen es cerrar el grifo. Lo cierran pensando que no existe, pero... incluso si cierras el grifo, si haces un escaneo adecuado y revisas todas las identidades humanas y no humanas, aún encontrarás cientos de aplicaciones de IA que se usan en el entorno y de las que no tienen visibilidad. Volviendo a la gobernanza, si no lo ves, no puedes gestionarlo. Si no es visible, no puedes controlarlo. Estoy de acuerdo. Estoy de acuerdo. Lo que es realmente interesante es lo que dijiste sobre que bloquearlo es peor porque la gente lo usará de todas formas.
Sí. Y no tendrás visibilidad porque usarán sus portátiles personales. Enviarán documentos a sus portátiles personales. Las cosas se moverán por fuera. Es demasiado bueno para que la gente no lo use. Sí. Así que... lo usarán. La pregunta es, ¿quieres controlarlo? ¿Quieres gobernarlo? O sí, si decides bloquearlo, la gente lo usará igual y no tendrás visibilidad. Absolutamente. Se hablan entre ellos, ¿verdad? "Puedo crear un código en cinco minutos en lugar de trabajar horas." Sí. "¿Por qué no hacerlo? Lo haré desde casa si la empresa no me deja hacerlo en la oficina." Exacto. Cuando tienes que escribir documentos grandes como informes, cuando la gente escribe correos, es, sí.
Explorar siguiente
Si esta conversación resuena con los desafíos que ves internamente, Aona ayuda a los equipos de seguridad y cumplimiento a descubrir la sombra de IA, entender cómo empleados y agentes usan herramientas de IA y aplicar límites de gobernanza sin afectar la productividad.
¿Quieres ver cómo funciona? Reserva una demo con Aona para ver en acción el descubrimiento de sombra de IA y la gobernanza de IA.
