Generar confianza en la era de la desinformación, la información errónea y la información perjudicial: desafíos y soluciones.

Muchas organizaciones se enfrentan a la realidad de que sus empleados ya están siendo engañados. Es probable que esto se extienda también a sus clientes, inversores y miembros del consejo de administración.

Durante años, las advertencias se han centrado en el impacto de los deepfakes, como los falsos directores ejecutivos en videollamadas, las voces clonadas que autorizan pagos y los correos electrónicos fraudulentos.

Estas tácticas en sí no son nuevas, pero en los últimos años, la inteligencia artificial ha hecho que sean más baratas de producir, más difíciles de detectar y mucho más convincentes dentro de los flujos de trabajo empresariales normales.

Esta tendencia significa que el principio de Confianza Cero se ha vuelto tan relevante para el procesamiento de la información como lo fue para el acceso a ella.

En el ámbito de la ciberseguridad , el principio de confianza cero parte de una premisa simple: ningún usuario, dispositivo, aplicación o solicitud debe ser considerado confiable por defecto.

En una era de desinformación generada por IA, las empresas deben aplicar la misma mentalidad a la información que circula dentro de sus organizaciones.

La nueva crisis de confianza

Empleados, clientes, inversores y socios toman decisiones basándose en lo que ven, leen y oyen. Si esta información es falsa, manipulada o sacada de contexto, las consecuencias pueden escalar rápidamente, desde la confusión hasta el daño al negocio. Por este motivo, la información errónea, la desinformación y la información maliciosa deben considerarse riesgos empresariales.

La desinformación —contenido falso difundido involuntariamente— siempre ha sido un problema. La información falsa, diseñada específicamente para engañar, se ha vuelto más fácil de producir a gran escala que nunca. La información maliciosa —información veraz, pero a menudo despojada deliberadamente de su contexto y utilizada como arma— puede ser la más insidiosa de las tres. Un rival, un grupo criminal o una campaña activa ya no necesitan infiltrarse en una red para causar un daño significativo. Pueden influir en quienes están asociados con una organización o se ven afectados por ella simplemente manipulando lo que esas personas ven y creen.

Lo que dificulta especialmente esta situación para las empresas es que refleja una lucha que ya enfrentan las personas. En un entorno saturado de contenido generado por IA, los hábitos que las personas deben adoptar para protegerse —detenerse antes de interactuar, cuestionar la fuente, verificar antes de actuar— son los mismos hábitos que las organizaciones deben inculcar en sus operaciones.

En esencia, el instinto de confianza se ha convertido en una debilidad. Abordar esta situación requiere una respuesta estructural que vaya más allá de una simple campaña de concienciación.

La importancia de la confianza verificada

Aquí es donde el principio de Confianza Cero se convierte en estrategia. Tradicionalmente, las organizaciones han considerado la Confianza Cero como una cuestión de limitar los privilegios, asegurando que solo los usuarios autorizados tengan acceso a las aplicaciones adecuadas. Sin embargo, en un entorno de información impulsado por la IA, este principio debe evolucionar. Con el auge de amenazas como los programas de IA maliciosos , las empresas ya no pueden centrarse únicamente en quién solicita acceso. También deben investigar el tipo de información que se utiliza, la acción que se lleva a cabo y si la intención detrás de dicha acción es confiable.

El siguiente paso implica ir más allá de la verificación y la autenticación, planteando preguntas como: "¿Es fiable esta información?", "¿Es real esta imagen o ha sido generada por IA?" y "¿Ha sido alterado este contenido?". El Principio de Confianza Cero proporciona a las empresas un marco para responder a estas preguntas. Obliga a las organizaciones a verificar antes de actuar, limitar la exposición siempre que sea posible y reducir el riesgo de que información falsa, manipulada o fuera de contexto se propague sin control por toda la organización.

Organismos de normalización como C2PA (Alliance for Content Origin and Trust) señalan la dirección que está tomando este enfoque: un futuro donde el origen y la integridad del contenido estén integrados en el propio contenido digital, de forma similar a como un candado en un navegador indica una conexión segura. En esencia, las empresas no necesitarán verificar la confianza; esta será inherente a la información y se transmitirá con ella, y el origen del contenido se incorporará al proceso de verificación. De este modo, cada fragmento de contenido se convierte en una señal en la toma de decisiones sobre la confianza.

Generar confianza en la era de los agentes inteligentes

La necesidad de confiar en las intenciones se ha vuelto más acuciante con la introducción de agentes de IA en el entorno laboral. Estos agentes funcionarán cada vez más como una persona más que trabaja a nuestro lado, imitando nuestros comportamientos, como leer documentos, interpretar datos, tomar decisiones y actuar. La diferencia, sin embargo, radica en que estas identidades no humanas se mueven a la velocidad de las máquinas, una velocidad que los procesos de verificación humanos no pueden igualar.

Esto significa que los agentes de IA deben regirse desde el principio por un modelo de confianza cero. No se debe confiar en un agente simplemente porque pertenezca a la organización, cuente con la aprobación del usuario o esté conectado a los sistemas de la empresa. Su identidad, permisos, comportamiento y resultados deben verificarse constantemente. Igualmente importante, los agentes deben regirse por los principios de mínimo privilegio, mínima información y mínima funcionalidad, otorgándoles únicamente el acceso, los datos y las capacidades mínimas necesarias para una tarea específica.

Sin embargo, estos agentes plantean un problema de confianza que la gestión de identidades por sí sola no puede resolver. Las empresas deberán saber si están tratando con una persona o una máquina, si el agente actúa de forma responsable y si sus acciones reflejan los valores y límites de la organización. En definitiva, las empresas deberán adoptar una constitución operativa que permita medir de forma consistente el comportamiento de los agentes.

En esta era de inteligencia artificial, las organizaciones deben examinar constantemente y en tiempo real la información, el contenido, las intenciones, el comportamiento y las acciones, mientras que la verificación de identidad generalmente solo se realiza en el punto de entrada. Sin embargo, dada la magnitud de la tarea, la IA será necesaria para la auditoría, la identificación de irregularidades, la gobernanza cuando sea necesario y el mantenimiento de la integridad de la cadena de confianza.

Ingeniería de la confianza en los negocios

Las organizaciones que tendrán éxito son aquellas que consideran la confianza como algo que se puede construir y diseñar, en lugar de darla por sentada. La desinformación, la información errónea y la información maliciosa plantean desafíos para la seguridad, la resiliencia y el liderazgo, y la inteligencia artificial hace que ignorarlas sea aún más difícil.

A medida que la tecnología sigue transformando la forma en que se crea, comparte y gestiona la información, las empresas deben desarrollar la misma disciplina en torno a la autenticidad que siempre han aplicado a la accesibilidad. Esto implica verificar el contenido, cuestionar la intención y limitar las funciones de los sistemas de IA a lo estrictamente necesario.

La confianza ya no es la norma. En el entorno laboral actual, debe ser un proceso consciente y continuo, que se genere a la velocidad de la tecnología y abarque información, intenciones, comportamientos y acciones. La buena noticia es que el marco ya existe en el modelo de Confianza Cero. Sin embargo, lo que debe cambiar es cómo las organizaciones implementan este modelo y amplían su alcance para incluir información, intenciones, comportamientos y acciones.

Hemos revisado, evaluado y clasificado los mejores paquetes de seguridad para internet.