44 red seguridad tercer trimestre 2026 IA monográfico Durante mucho tiempo, la auditoría de sistemas y la gestión de la ciberseguridad se fundamentaron en el principio de previsibilidad. Se evaluaban controles compensatorios, se analizaban matrices de riesgos y se medía la madurez del Sistema de Gestión de Seguridad de la Información (SGSI) asumiendo que las amenazas, aunque en constante evolución, seguían patrones reconocibles. Tras años diseñando y auditando arquitecturas bajo marcos como ISO/IEC 27001, NIST CSF o el Esquema Nacional de Seguridad (ENS), la irrupción en tromba de la inteligencia artificial (IA) nos sitúa ante un dilema: la IA se comporta simultáneamente como el mejor aliado estratégico y como el riesgo invisible más complejo de mitigar. No estamos ante un activo informático tradicional. La IA es un catalizador que redefine de forma dinámica la superficie de ataque y la eficacia de los controles existentes. Para abordarla desde la gobernanza corporativa, debemos analizarla a través de tres vectores clave. Veamos. Aliado estratégico En la práctica de la auditoría de ciberseguridad, nuestro propósito no es fiscalizar, sino determinar la eficacia real de las salvaguardas. En este ámbito, la IA actúa como un multiplicador de capacidad sin precedentes. Supervisión de eventos y anomalías: los SOC tradicionales se saturan procesando miles de alertas diarias. Frente a reglas estáticas que pueden pasar por alto un acceso legítimo desde una VPN sospechosa, los algoritmos de análisis de comportamiento (UEBA) detectan en milisegundos un “viaje imposible” (por ejemplo, accesos con las mismas credenciales desde Madrid y Tokio en cuestión de minutos), aislando la sesión de forma inmediata. Gestión predictiva de vulnerabilidades: en infraestructuras críticas o entidades financieras, parchear miles de servidores a la vez paralizaría el negocio. En lugar de guiarse únicamente por la criticidad teórica del CVSS, la IA cruza datos con inteligencia de amenazas de la Dark Web para identificar qué vulnerabilidades concretas están siendo explotadas en tiempo real. Esto permite priorizar correcciones, garantizando la continuidad operativa. Pruebas continuas de cumplimiento y auditoría en tiempo real: en lugar de depender de revisiones muestrales y fotos fijas anuales, los motores de IA ejecutan simulaciones continuas de ataques y auditoría automatizada de configuraciones de seguridad (Cloud Posture Management). Esto valida de forma permanente la efectividad operativa de los controles y genera evidencias de cumplimiento auditables en tiempo real. El riesgo invisible La otra cara de la moneda presenta actores de amenazas que utilizan la IA para abaratar costes y eludir los controles tradicionales de seguridad. Ingeniería social hiperpersonalizada: los modelos de IA han eliminado los fallos gramaticales y otros detalles de apariencia que delataban al phishing. La amenaza escala drásticamente con los deepfakes audiovisuales en tiempo real. Un control de autorización de pagos (segregación de funciones) puede verse comprometido si un directivo recibe una videollamada donde el rostro y la voz de su CEO solicitan una transferencia urgente de forma idéntica a la real. Malware polimórfico y alteración de datos: los virus actuales redactan y modifican su propio código tras cada infección, cambiando su firma digital para evadir las soluciones EDR. A esto se suma el envenenamiento de datos (data poisoning), donde se contamina el entrenamiento del modelo para alterar sus decisiones futuras de forma imperceptible. El reto del auditor ante la IA: ¿aliado estratégico o riesgo invisible? Johana Camacho Verona Senior GRC Auditor de Leet Security
RkJQdWJsaXNoZXIy MTI4MzQz