El uso de la inteligencia artificial como generador de código ha complicado enormemente el panorama de la ciberseguridad en los últimos años, hasta convertirse hoy en la mayor preocupación de las empresas. Un estudio de McKinsey en el año 2021 ya consideraba los ciberataques como el mayor de los riesgos para las empresas que han adoptado la Inteligencia Artificial.
Las principales herramientas de generación de código automático basadas en IA están entrenadas con datos encontrados en el entorno del software libre, las cuales no tienen en cuenta las vulnerabilidades de seguridad que se introducen en el código. Esta situación genera una paradoja, podemos generar código y aplicaciones a muchísima más velocidad e incluso con mucha más complejidad, pero a su vez es mucho más inseguro.
Según ha explicado a Escudo Digital Eduardo García Sancho, Iberia Country Manager de Veracode, el despliegue de estas aplicaciones genera muchos problemas de seguridad. "Como bien sabemos los atacantes también utilizan sistemas mucho más avanzados también basados en IA, lo que hace que los ataques sean cada vez más sofisticados y sean dirigidos a todos los entornos posibles, la nube, servidores infraestructuras, etc", argumenta
"La utilización de un número elevado de herramientas de seguridad y la correcta utilización de los datos recogidos por estas herramientas, se convierte en un trabajo realmente estresante y complejo, que muy pocos equipos de seguridad son capaces de hacer correctamente, principalmente por la falta de personal cualificado", dice.
En su opinión, la solución a este problema en los equipos de seguridad pasa también por utilizar inteligencia artificial que ayude a detectar y corregir las principales vulnerabilidades detectadas en el código de las aplicaciones. "La compañía norteamericana Veracode ha lanzado recientemente al mercado una inteligencia artificial que detectan las vulnerabilidades en el código de las aplicaciones y propone succión automatizada para que los equipos de desarrollo puedan eliminar las vulnerabilidades a mucha mayor velocidad y con total eficacia", asegura.
Qué es el ASPM y que aporta a la ciberseguridad
Recientemente, también ha sido lanzado al mercado un nuevo sistema de gestión de vulnerabilidades, llamado por la consultora americana Gartner ASPM (Application Security Posture Managment). Este término de reciente acuñamiento resume las nuevas herramientas que ayudan a la gestión y priorización de todas las vulnerabilidades que podemos encontrar en el entorno del despliegue de una aplicación.
"Los analistas de seguridad se ven bombardeados a diario por miles de problemas de seguridad de las aplicaciones y la nube. Intentan gestionar datos de seguridad aislados e inaccesibles en entornos de aplicaciones y en la nube, lo que les obliga a hacer conjeturas en lugar de tomar decisiones adecuadas. Esta falta de automatización y visibilidad conduce a una toma de decisiones ad hoc sobre una acumulación de amenazas potenciales en constante expansión: no saben lo que no saben", asegura el experto.
"Sin embargo, no basta con cuantificar los problemas. Una vez que los datos se sacan de esos silos y se agregan, empieza el verdadero trabajo. Los equipos de seguridad deben analizar los hallazgos, validar y desduplicar los problemas, descartar los falsos positivos y determinar la urgencia. Teniendo en cuenta el tiempo que lleva cada problema, reducir la deuda de seguridad se convierte en un ejercicio que puede medirse en años-persona de tres dígitos", sostiene Eduardo García.
Un ASPM, sin embargo, puede ofrecer una visión consolidada y deduplicada de todos los riesgos de las aplicaciones, el código y la nube. Esto permite a los equipos de seguridad reunir información aislada en una única vista que les guía para abordar los problemas que tienen mayor impacto en el riesgo global. "Una herramienta como Longbow permite compartir la visibilidad de los riesgos con las unidades de negocio internas, lo que les proporciona información sobre los activos de su propiedad", dice García.
"Este tipo de soluciones me permite encontrar el problema raíz que origina estos fallos de seguridad, eliminando las duplicidades y ordenándome en prioridad las acciones principales a realizar en función de su importancia. De esta manera, conseguimos que, en vez de enfrentarnos a miles de vulnerabilidades, tengamos que tomar unas pocas de decenas de decisiones para solucionar todos los problemas principales de seguridad en mi empresa. En lugar de monitorizar, decenas de aplicaciones de seguridad, puedo centrarme en analizar un resultado orientado y validado en una sola herramienta que me aglutina todos los datos, haciendo mi trabajo mucho más sencillo", concluye el responsable de Veracode.