En conversación con Revista Economía, el vicepresidente de Ventas para Latinoamérica de Stellar Cyber, explica cómo la IA está transformando la ciberseguridad, al ser utilizada para sofisticar los ciberataques, dificultar la detección de amenazas y tomar decisiones dentro de sistemas comprometidos. Al mismo tiempo, señala que esta tecnología permite a las empresas automatizar el análisis de alertas, detectar incidentes y acelerar la respuesta de sus equipos de seguridad.
¿En qué consistió su ponencia en SHIFT 2026 en Panamá?
Durante estos últimos tres días participamos en un evento para nuestros principales partners de la región y también para algunos de nuestros clientes. Mi ponencia estuvo enfocada, particularmente, en cómo hemos venido aterrizando nuestra estrategia en Latinoamérica.
El evento comenzó con unas sesiones que denominamos Connect. El primer día estuvo dedicado a intercambiar experiencias a través de mesas redondas sobre múltiples temas. Todos los participantes fuimos compartiendo nuestras experiencias y perspectivas.
Al día siguiente retomamos algunos de esos temas, pero ya desde nuestra perspectiva como fabricantes, analizando esas problemáticas para pasar finalmente a cómo podemos resolverlas. Mi participación estuvo justamente en medio de ese proceso: resumir cuál es la problemática que estamos viendo, cómo la estamos abordando nosotros desde Latinoamérica, particularmente desde Stellar Cyber, y cuál es el futuro.
Mi charla trató precisamente de eso, de entender qué está pasando, qué estamos empezando a trabajar, cómo lo estamos haciendo, cuál es nuestra estrategia y qué estamos viendo actualmente en Latinoamérica.
Fue una experiencia muy interesante y enriquecedora, porque recibimos comentarios de muchas personas que nos decían: “Me estoy encontrando con estos problemas en materia de ciberseguridad y operaciones de seguridad”. Me pareció bastante interesante tener ese punto de partida y luego conectarlo con el resto de la conferencia.
¿Cuáles son las señales que hoy están viendo las empresas y que indican que el modelo tradicional de operación de ciberseguridad está llegando a su límite?
Es un tema bastante complicado. Justamente estos días hemos estado discutiendo mucho sobre cómo medimos las operaciones de ciberseguridad, cuáles son sus límites y cuáles son los umbrales de operación. Hemos encontrado desde indicadores muy técnicos hasta mediciones mucho más vinculadas al negocio.
Creo que todos coincidimos en que lo más importante es tener un enfoque de resiliencia, particularmente de ciberresiliencia, y a partir de ahí medirla desde distintas perspectivas.
En la parte técnica, por ejemplo, tenemos el MTTD, que es el tiempo promedio para detectar un incidente, y el MTTR, que es el tiempo promedio para responder a ese incidente. También entran indicadores como el porcentaje de falsos positivos y la efectividad de las detecciones.
En la parte de negocio, que incorpora mediciones mucho más importantes, está, por ejemplo, cuánto logro disminuir el porcentaje de riesgo de mi organización y cómo logro reducir la ventana de exposición al riesgo. Así podemos identificar cuáles son esos umbrales y mediciones que resultan fundamentales para las organizaciones.
¿Cómo está cambiando la inteligencia artificial el escenario de la ciberseguridad, tanto como herramienta de protección y amenaza?
Coincidíamos en el evento y también en las conversaciones con nuestros clientes y partners en que la inteligencia artificial ahora es una herramienta a favor, pero también en contra.
Por el lado de la amenaza, la gran mayoría de los ciberataques modernos están siendo potenciados por inteligencia artificial. Antes podíamos identificar un phishing porque estaba mal escrito, tenía errores ortográficos o porque la calidad del correo no era la misma que la de un mensaje real. Ahora, con inteligencia artificial, es muy difícil identificar cuál es ese correo malicioso.
También estamos conversando sobre nuevos tipos de ataques en los que una máquina es comprometida y se comunica con un servidor. Ese servidor toma determinada información que recolecta de la máquina, la envía a ChatGPT o a un LLM, y este decide cuál es la mejor acción para comprometer la máquina y poder moverse por el resto del entorno.
La inteligencia artificial se está utilizando para muchísimas cosas. Por eso, si nosotros o las operaciones de seguridad nos mantuviéramos en la misma línea de hace cinco o diez años, operando sin inteligencia artificial, no podríamos responder adecuadamente.
En Stellar Cyber estamos utilizando inteligencia artificial desde varias perspectivas. Tenemos cinco niveles. El primero es para detectar ataques; el segundo, para correlacionar alertas; el tercero, para poder hablar con la plataforma y hacerle preguntas; el cuarto, para realizar un autotriage.
Ese autotriage es la parte más laboriosa de cualquier analista o equipo de SOC. Y el quinto nivel consiste en obtener recomendaciones sobre qué hacer y cómo remediar un incidente.
Tenemos múltiples niveles de inteligencia artificial que nos permiten ser mucho más efectivos frente a ataques que también utilizan inteligencia artificial. En otras palabras, estamos defendiendo la inteligencia artificial con inteligencia artificial.
En el caso de Perú, ¿por qué las instituciones gubernamentales pueden ser particularmente vulnerables a los ciberataques?
Desgraciadamente, en muchas partes de Latinoamérica, incluido Perú, el presupuesto no es tan amplio como sería necesario. Cuando hablamos específicamente del Gobierno, los presupuestos destinados a ciberseguridad regularmente no son prioritarios, y eso genera un par de situaciones.
Una es que no se implemente la tecnología necesaria. La otra es que no se cuente con el personal adecuado, tanto en cantidad como en capacidad de conocimiento.
Eso hace que ocurran este tipo de situaciones. Lo hemos visto: desgraciadamente, muchos países de Latinoamérica sufren ataques y, particularmente, los gobiernos son un objetivo frecuente debido a esa situación.
Y hay otro factor que obviamente no podemos dejar de lado: el hacktivismo. Se busca atacar a gobiernos porque son de izquierda, porque son de derecha, porque son considerados contrarios o por cualquier otra motivación. Ese tipo de situaciones también se aprovecha mucho para atacar, en particular, a los gobiernos.
Creo que depende mucho de ese proceso de inversión, de conocimiento, de implementación de tecnología y de desarrollar realmente una cultura de ciberseguridad dentro de los gobiernos. Desgraciadamente, en Latinoamérica esa cultura todavía no está muy desarrollada.
Dónde se está produciendo actualmente el mayor cuello de botella en una operación de seguridad, ¿en la detección, el análisis de alertas o en la capacidad para actuar sobre ellas?
Ayer conversábamos con un MSSP que es cliente nuestro y que procesa, en promedio, más de dos billones de alertas al día. Dos billones, con B. Eso significa que es demasiada información. Si tuviéramos, por ejemplo, mil personas revisando alertas todos los días, las 24 horas, aun así serían muchísimas alertas por revisar.
Ahí está el gran cuello de botella: cómo descartar la información, cómo analizarla a tiempo y cómo saber cuáles son las alertas que realmente tenemos que analizar. Ese es el primer gran problema.
El desafío está en cómo analizar tanta información. Ahí es donde entra en acción el uso de la inteligencia artificial para ayudarnos a identificar los casos relevantes.
Primero, permite enriquecer la información para tener contextos más amplios. Segundo, permite analizarla desde distintas perspectivas. Si ya tengo el contexto de esa alerta, de esa máquina o de esas direcciones IP, podemos entender qué fue lo que pasó y luego ejecutar un triage.
Es ahí donde realmente aprovechamos la inteligencia artificial para disminuir ese cuello de botella. Una vez superada esa etapa, entra la otra parte, que es la remediación.
Si logras filtrar esos dos billones de alertas hasta identificar, por ejemplo, dos casos reales de ataques al día, la remediación se vuelve relativamente más sencilla. Pero eso depende de que el proceso de filtrado realmente se haya realizado de manera efectiva.
¿Qué diferencia a una plataforma que simplemente reúne información de distintas herramientas de una operación de seguridad de una plataforma realmente integrada?
La pregunta se puede entender desde lo que nosotros llamamos plataformas en silos, es decir, una ciberseguridad en silos. Puedes tener un CIEM, un NDR, un SOAR, un WAF y todas esas tecnologías por separado, frente a la posibilidad de concentrarlas en una plataforma unificada.
Ahí hay un gran cambio. Actualmente, prácticamente todas estas tecnologías utilizan inteligencia artificial y tienen motores individuales. Si tienes dos, tres, cuatro o cinco tecnologías por separado y puedes concentrarlas en una sola plataforma, existe un cambio importante a nivel de arquitectura de las operaciones de seguridad.
Ese es el nuevo concepto de Integrated SOC que está por publicar Gartner. ¿Por qué? Porque ya no hablamos de silos, herramientas separadas o motores de inteligencia artificial independientes. Tampoco de acciones y conectores que yo tengo que configurar.
Cuando hablamos de un Integrated SOC, tenemos una sola plataforma con un motor de inteligencia artificial que cruza todas las tecnologías. De esta manera podemos tener un entendimiento real de lo que está pasando, desde un extremo hasta el otro: desde un equipo, pasando por el ataque hacia una base de datos, hasta todo lo que pueda estar involucrado.
Eso nos permite tener una visión completa, una visión holística.
Latinoamérica viene incorporando nube, inteligencia artificial y nuevas regulaciones, pero a distintos ritmos. ¿Qué particularidades de los mercados están condicionando la evolución de las operaciones de ciberseguridad?
Es una pregunta muy difícil. Voy a intentar responderla de manera general, porque cada mercado es completamente diferente. Pero puedo poner un ejemplo.
En Chile aplicaron una ley de ciberseguridad hace un año y, a partir de diciembre, entran en vigor procesos regulatorios más estrictos. Entonces, las empresas tienen que cumplir con esos requerimientos. Por eso, en los últimos tres meses hemos visto una cantidad importante de inversiones en proyectos de operaciones de seguridad.
¿Por qué? Porque ahora tienen que cumplir con la regulación. Las empresas de infraestructura crítica en Chile tienen que contar con una plataforma de operaciones de seguridad, monitorear la ciberseguridad y generar alertas en caso de sufrir un ataque. Hay muchos requerimientos.
Los requerimientos regulatorios siempre ayudan al entorno de la ciberseguridad a impulsar estas decisiones. En ventas lo llamamos el “compelling event”, ese momento en el cual tienes que actuar sí o sí. Los requerimientos regulatorios siempre son un impulso para nosotros.
Pero, por otro lado, también está lo que mencionabas anteriormente: Perú ha sufrido ataques contra instituciones gubernamentales. Una vez que se producen esos ataques, otras áreas dicen: “Necesito invertir en ciberseguridad para que no me pase lo mismo”.
Los propios ataques generan otro tipo de proyectos, porque las organizaciones observan lo ocurrido y piensan que no quieren pasar por lo mismo, no quieren perder reputación, dinero o enfrentar consecuencias similares.
Entonces, son dos grandes impulsos. Uno son los requerimientos regulatorios y el otro son los propios ataques, que terminan promoviendo la inversión en ciberseguridad.
