¿Automatización, agentes de IA o personas? Aclarar quién se encarga de cada hallazgo de seguridad

Una en­cues­ta rea­li­za­da a lí­de­res sé­nior de tec­no­lo­gía y se­gu­ri­dad mues­tra que la mitad de ellos con­si­de­ra di­fí­cil sim­pli­fi­car sus pro­gra­mas de se­gu­ri­dad de soft­wa­re man­te­nien­do sus mé­to­dos ac­tua­les. La prin­ci­pal preo­cu­pa­ción surge tras los re­por­tes de los es­cá­ne­res, ya que de­ter­mi­nar la gra­ve­dad de una falla, iden­ti­fi­car a su res­pon­sa­ble y apli­car la so­lu­ción a tra­vés de di­fe­ren­tes equi­pos y ca­len­da­rios ge­ne­ra re­tra­sos. A esto se suma el im­pac­to de la in­te­li­gen­cia ar­ti­fi­cial, pues las he­rra­mien­tas de IA per­mi­ten a los de­sa­rro­lla­do­res es­cri­bir có­di­go con mayor ra­pi­dez y los es­ca­neos asis­ti­dos por IA ge­ne­ran una mayor can­ti­dad de de­bi­li­da­des que su­pe­ran la ca­pa­ci­dad de re­vi­sión hu­ma­na dis­po­ni­ble.

Para or­ga­ni­zar la ges­tión de los ha­llaz­gos de se­gu­ri­dad, se pro­po­ne una es­tra­te­gia por ni­ve­les que di­vi­de las res­pon­sa­bi­li­da­des entre la au­to­ma­ti­za­ción, los agen­tes de in­te­li­gen­cia ar­ti­fi­cial y el per­so­nal hu­mano. La au­to­ma­ti­za­ción se en­car­ga de las ta­reas re­pe­ti­ti­vas y de bajo ries­go, mien­tras que los agen­tes de IA ma­ne­jan in­ves­ti­ga­cio­nes más pro­fun­das y aná­li­sis de rutas de ata­que que re­quie­ren cier­to nivel de ra­zo­na­mien­to. Por su parte, las per­so­nas con­ser­van la res­pon­sa­bi­li­dad final sobre las de­ci­sio­nes y la acep­ta­ción de ries­gos, re­ser­van­do su tiem­po para si­tua­cio­nes que exi­gen cri­te­rio y ren­di­ción de cuen­tas.

Entre las prin­ci­pa­les in­quie­tu­des de los lí­de­res en­cues­ta­dos des­ta­ca el ex­ce­so de aler­tas con poco con­tex­to, las cua­les se­ña­lan una de­bi­li­dad sin acla­rar si el sis­te­ma afec­ta­do es ac­ce­si­ble, si puede ser ex­plo­ta­do, qué ser­vi­cio de­pen­de de él o quién debe so­lu­cio­nar­lo. Ade­más, el pro­ce­so de re­me­dia­ción suele frag­men­tar­se al pasar por múl­ti­ples he­rra­mien­tas, flu­jos de tra­ba­jo y trans­fe­ren­cias entre equi­pos de de­sa­rro­llo y se­gu­ri­dad. Para los di­rec­ti­vos, las mé­tri­cas clave ante la junta di­rec­ti­va deben cen­trar­se en el tiem­po ne­ce­sa­rio para re­sol­ver los ries­gos ex­plo­ta­bles y en la vi­si­bi­li­dad sobre las áreas y uni­da­des de ne­go­cio que pre­sen­tan ma­yo­res de­sa­fíos.