Del Control de Acceso al Control de IA: Por Qué la Gobernanza de Identidad es Clave para Escalar la IA en la Empresa

Imagina una empresa, o un banco, que despliega un copiloto de IA para gestionar transacciones financieras. Este copiloto de IA tiene acceso a muchos datos, transacciones financieras, información de clientes. Luego, una mañana, un atacante introduce un prompt envenenado a través de un correo electrónico rutinario. Este copiloto de IA ejecuta ese prompt y luego, el banco comienza a enfrentar problemas de transacciones fraudulentas. Esto no es ciencia o ficción. Esto es lo que estamos enfrentando actualmente mientras pasamos del control de acceso al control de IA.

Mi nombre es Cynthia Akiotu, arquitecta de ciberseguridad. Estoy contenta de estar aquí hoy en la TechLead Conference y voy a hablar sobre el cambio del control de acceso para gestionar usuarios humanos al control de IA para gestionar identidades de máquinas, agentes, e incluso humanos también. No hay más noticias. La IA se está convirtiendo en un participante activo en nuestra empresa. La IA, di el ejemplo de la IA bancaria siendo utilizada como copiloto en un banco, pero eso es solo uno de ellos. En el sector de la salud, la IA ahora se está utilizando para gestionar la información de los pacientes e incluso para dar recomendaciones sobre opciones de tratamiento para los pacientes. ¿Qué hay del sector del comercio minorista? La inteligencia artificial se está utilizando para gestionar facturas e incluso el inventario.

Hablemos de la empresa. Actualmente, estamos utilizando la IA para redactar correos electrónicos, programar reuniones y mucho más. En ciberseguridad hoy, tenemos IA desplegada en nuestra organización utilizada para la búsqueda de tendencias, gestión de políticas y configuración, e incluso dándonos procesos de remediación y respuesta. La IA ya no es pasiva. Se ha convertido en un participante activo en nuestros sistemas. Ahora pueden decidir, actuar e incluso ejecutar acciones en nuestro nombre en nuestra empresa. Esto crea un cambio para que pensemos en cómo podemos gestionar la IA, porque la pregunta ya no es sobre qué IA se está utilizando en nuestra organización, sino más bien cómo gestionamos la identidad y el acceso de la IA en nuestra empresa?

Desde chat GPT hasta Microsoft 365 co-pilots, se utilizan para redactar correos electrónicos, dándonos algunos resúmenes, generando videos y mucho más. Con esta transformación e innovación, también vino una exposición ampliada en nuestro ecosistema. La IA generativa demostró ser vulnerable a través de la inyección de prompts y la manipulación de datos. También podría ser corrompida, también podría ser corrompida, y ha sido engañada para filtrar información o ser envenenada con datos. También condujo a la exposición. Exposición de todas las brechas en nuestra empresa, API inseguras, el auge de la IA generativa también llevó al auge de la IA en la sombra en nuestras organizaciones y empresas donde ni siquiera podemos rastrear el uso de la inteligencia artificial en nuestra organización.

¿Qué hay de los resultados impredecibles, la alucinación y los resultados sesgados también? Al principio, esto comenzó como algo muy embarazoso e inconveniente también. Un chatbot, solicitas información al chatbot y te da una respuesta totalmente diferente, o estás realizando una investigación y te da una respuesta totalmente diferente de tus solicitudes. Todo esto ampliando la exposición de la IA generativa, y estas brechas ahora también se están convirtiendo en nuestros compañeros virtuales convergiendo en agentes.

La exposición, la exposición ampliada comenzó con la IA generativa y ahora, con esta evolución, tenemos agentes que son los nuevos puntos de ruptura. Los agentes se están utilizando ahora de varias maneras, desde en ciberseguridad, tenemos agentes gestionando políticas como políticas de acceso condicional, agentes realizando caza de amenazas, agentes dando informes también, y agentes, ahora se están convirtiendo en participantes activos, como dije, convirtiéndose en nuestros compañeros virtuales. ¿Quién sabe? Tal vez comencemos a escribir y dar a los agentes cartas de oferta. Estos agentes pueden actuar de manera independiente, independiente del usuario humano, tomar acciones, ejecutar acciones, y son persistentes, trabajando las 24 horas del día, 24-7 horas al día, incluso cuando los usuarios o humanos están durmiendo. ¿Qué hay de la opacidad de los agentes? Bueno, ni siquiera sabemos el contexto en el que estos agentes están trabajando o ejecutándose.

Interconexión. Estos agentes pueden conectarse con varias APIs, varios sistemas CRM, agentes de trabajo, multi-agentes, agentes a agentes trabajando juntos. Todo esto ha dado lugar a situaciones donde los agentes no pueden obtener acceso a información sensible sobre derechos permitidos en nuestros recursos, porque, por ejemplo, como un HR, le das a un agente redactar un correo electrónico, redacta ese correo y automáticamente te ayuda a enviar ese correo, mientras también obtiene acceso a tu bandeja de entrada y ve información sensible que no está destinada a ver. Todo esto nos ha hecho replantearnos cómo pasar del control de acceso al control de IA. El control de acceso guarda la puerta, pero ahora, porque la IA puede razonar y tomar decisiones, están construyendo nuevos pasillos, así que le das a la IA un paso y da 20 pasos hacia adelante. Por eso ahora tenemos que pensar en cómo podemos usar la gobernanza de identidad, que es el eslabón perdido, para poder ver qué están haciendo estos agentes, qué permisos tienen. Así que, poder hacer que los agentes y el uso de la IA en lugar de convertirse en un riesgo, sea una promesa en nuestra organización y empresa.

Ahora, sin gobernanza de identidad, ¿cómo sabes qué agentes, o quién está incluso evaluando recursos? ¿Qué permisos tienen? Sin gobernanza de identidad, ¿cómo sabemos quién evaluó qué datos? Antes de siquiera pensar en qué datos fueron evaluados, sin gobernanza de identidad, ¿cómo sabemos siquiera qué información es sensible y no sensible? Sin gobernanza de identidad, ¿cómo sabemos quién evaluó nuestros sistemas? ¿Cómo sabemos si el infiltrado es un agente o un usuario humano? Sin gobernanza de identidad, las reglas y el cumplimiento son solo papeleo. Así que, la gobernanza de identidad es un centro que mantiene el control de acceso, la seguridad de datos, la privacidad, las reglas y el cumplimiento juntos. Por eso necesitamos involucrar el uso de la gobernanza de identidad en la gestión de la IA en nuestra organización y hacerla el centro para estos otros procesos.

Pasemos y hablemos sobre, como líderes tecnológicos, ¿cómo podemos gestionar esta inteligencia artificial usando la gobernanza de identidad? Y aquí, les presento el manual para Tech Lead. Puedes ver, ya he dicho antes, que la gobernanza de identidad es el centro para gestionar la IA en nuestra organización. El 82% de las organizaciones ya están usando agentes de inteligencia artificial, y el 53% de ellas dicen que saben que estos agentes están evaluando información sensible, y solo el 20% puede rastrear la visibilidad de estos agentes. Así que ahora, por eso les presento este manual, Identificar, Asegurar, Gobernar y Auditar. El Identificar, me gusta llamarlo visibilidad de los fantasmas. Necesitamos obtener acceso y poder identificar qué IA se está usando en nuestra organización. Necesitamos poder identificar qué agentes están en nuestras organizaciones, qué agentes de IA están en nuestra organización, antes de siquiera saber qué recursos están siendo evaluados por estos agentes de IA. Por eso Microsoft ha introducido el Microsoft Entra Agent ID, donde puedes obtener visibilidad de los agentes desplegados en tu entorno, y también invocar políticas como la Gestión de Identidad de Privilegios para asegurar que estos agentes no estén ejecutando acciones sin el permiso adecuado, y solo están realizando estas acciones solo cuando se necesita en un proceso con límite de tiempo. Hablemos de seguridad. Asegurar este proceso es una de las principales tareas de la gobernanza de identidad. Poder configurar políticas de acceso condicional, y también introducir la gestión de seguridad de datos para la inteligencia artificial para poder rastrear la inteligencia artificial usada en nuestra organización, cómo también rastrear esta IA para que no divulgue información sensible de nuestra organización también.