Pese a considerar los ciberataques uno de sus principales riesgos, muchas compañías aún no han modernizado su seguridad por inercia, falta de orientación y dificultad para demostrar el valor preventivo de estas inversiones. Ante modelos de IA capaces de explotar vulnerabilidades, los expertos de BCG concluyen que la ciberseguridad debe abordarse con urgencia desde la alta dirección y no delegarse únicamente en los responsables tecnológicos o tratarse como una cuestión estrictamente técnica.
La estrategia de ciberseguridad en la era de la IA requiere una coordinación en toda la empresa, tanto de arriba hacia abajo como de abajo hacia arriba. De la misma manera en que los CEOs han tomado la iniciativa en materia de innovación en IA, deben asumir su posición directiva con una comunicación precisa y una delegación clara de competencias. Esta decisión pueden marcar la diferencia entre una organización segura y otra insegura.
Medidas para proteger la organización
El informe de BCG destaca que los consejeros delegados no necesitan ser expertos en ciberseguridad, pero sí entender que la IA aumenta tanto el riesgo como la potencia de los ataques. De hecho, una encuesta de la consultora evidenció que el 35 % de las organizaciones ha sufrió un impacto significativo por ataques basados en la IA en los últimos doce meses, con 3 brechas importantes y 25 incidentes de datos sensibles de media.
Como los ataques son inevitables, la prioridad es la resiliencia, no solo la prevención. En este sentido, está en manos del CEO la posibilidad de impulsar cinco medidas básicas:
1. Proteger las joyas de la corona: Esto incluye no repartir el presupuesto por igual e identificar los activos cuya pérdida sería crítica para las compañías (IP, datos sensibles, credenciales, sistemas operativos). En la práctica, supondría aglutinar a sus equipos de negocio, de TI y de seguridad para elaborar un mapa de dichos activos y una explicación de por qué cada uno de ellos es vital para la organización. También debería existir una declaración de riesgos aprobada por el Consejo de Administración.
2. Asumir que la prevención fallará: La idea es pasar de un protocolo de "evitar el ataque" a "contenerlo rápido". Para ello, es necesario planificar qué pasa cuando falla a través de un manual de actuación para situaciones de crisis dirigido a los directivos.
3. Gestionar los riesgos del ecosistema de IA: La IA aumenta muchísimo la dependencia de terceros tales como hiperescaladores, proveedores de modelos, copilots SaaS, herramientas y plugins. Así pues, el CEO debe evitar que la empresa dependa excesivamente de un solo proveedor o modelo, igual que controla el riesgo de concentración financiero.
4. Seguridad de la IA desde el diseño: En este punto, el informe de BCG recomienda cambiar el la mentalidad de la compañía impulsando la filosofía “security by design”, es decir, que seguridad y desarrollo trabajen juntos desde el primer día, no que se convierta en una especie de parche posterior.
5. Crear un equipo multifuncional con poder para reaccionar rápido: Coordinación clara de roles y responsabilidades en momentos críticos, con capacidad real de decisión, para lo cual será necesario activar protocolos de vigilancia constante y enfocarse en lo esencial, siempre bajo la asunción de que la brecha de seguridad ocurrirá en algún momento.