Claudio Ordóñez, Líder de Ciberseguridad de Accenture Chile.
Según los resultados del estudio -para el cual fueron entrevistados 500 C-Leven en 8 países- cuando se les preguntó cómo sus organizaciones están planeando crear los conocimientos técnicos necesarios para apoyar las tecnologías emergentes, la mayoría dijo que entrenaría a los empleados existentes (77%), colaboraría o se asociaría con organizaciones que tengan la experiencia (73%), contratar nuevos talentos (73%) y adquirir nuevos negocios o nuevas empresas (49%).
Un nuevo estudio de Accenture dio a conocer las potenciales vulnerabilidades que podrían sufrir las empresas en la aplicación de las nuevas tecnologías.
1. Inteligencia Artificial:
A diferencia de las aplicaciones codificadas discretamente, el comportamiento de la IA es probabilístico; por naturaleza, todas las condiciones y resultados no son prácticamente demostrables o conocidos. Para poder confiar en la IA en producción, las empresas deben construir funciones de seguridad mínimas.
Según explicó Claudio Ordóñez, Líder de Ciberseguridad de Accenture Chile, “el primer paso es dividir la tarea en dos partes: la creación de modelos de IA y el uso de los mismos. En el modo de creación, la empresa debe proteger tanto los datos necesarios para entrenar a la inteligencia artificial y el medio ambiente donde se ha creado. En el modo de uso, los datos en movimiento necesitan ser protegidos antes de llegar a la IA para la toma de decisiones. Por ejemplo, muchos sistemas de IA requieren de entrenamiento, sumado a que los datos no pueden ser recolectados desde un solo lugar, ya sea por razones técnicas o de seguridad, o para la protección de la propiedad intelectual y las regulaciones. Por lo tanto, obliga a que las empresas inserten el aprendizaje seguro para que las distintas partes puedan colaborar”.
El experto agregó que “otra área importante es traducir y ampliar prácticas de desarrollo seguro (DevSecOps) para proteger la IA durante todo su ciclo de vida. Desafortunadamente, no hay una bala de plata para defenderse de las manipulaciones a la IA, por lo que será necesario utilizar capacidades en capas para reducir el riesgo en los procesos comerciales impulsados por la inteligencia artificial. Esto significa utilizar funciones y controles de seguridad comunes (por ejemplo, la higienización de los datos de entrada, la hardenización de la aplicación y analítica para seguridad) y, adicionalmente, entrenar a las máquinas en el control de integridad y veracidad de los datos y detección de manipulaciones y aumentado capacidades de respuesta temprana”.
Las empresas tendrán que realizar un ejercicio de modelado de amenazas para cada proceso/producto para mantener la función principal del negocio. Es también útil mantener una biblioteca de algoritmos de defensa repetibles para diferentes escenarios, lo que facilita a los científicos de datos (que no son especialistas en seguridad) para proteger los procesos comerciales.
Por otro lado, ya en producción, nuevas investigaciones han demostrado que los modelos de Machine Learning tienen problemas de seguridad y privacidad únicos. Si un modelo se expone a proveedores de datos externos, puede estar en riesgo de la extracción del modelo, se puede realizar ingeniería inversa el modelo y generar un modelo sustituto que reproduce la funcionalidad del modelo original, pero con resultados alterados. Esto tiene obvias implicancias para la confidencialidad de la propiedad intelectual; además se pueden utilizar modelos sustitutivos para aumentar la eficiencia de ataques de manipulación de modelos. De acuerdo con investigaciones relacionadas, los hackers también pueden realizar ataques de inferencia sobre el modelo de la IA para conocer el conjunto de datos de entrenamiento, que podría contener información confidencial o regulada de tipo personal.
Claudio Ordóñez explicó que “para defenderse contra la extracción de modelos y los ataques a la privacidad, se debe pensar cuidadosamente sobre los modelos expuestos externamente, así como los controles necesarios para asegurar estos modelos. Algunos controles son fáciles de aplicar, como las limitaciones de la tasa o umbrales de uso; sin embargo, algunos modelos pueden requerir de defensas más sofisticadas, incluyendo análisis de uso anormal y seguridad en las APIs. Hay que tener en cuenta que las debilidades también se relacionan con la naturaleza del modelo de aprendizaje de la máquina, en sí mismo. En muchos casos, las empresas utilizan modelos de IA que se proporcionan como servicio, lo que debería considerar controles de higiene y seguridad esperados en los entornos de servicios de nube. Modelos y datos de fuente abierta o generados externamente proporcionan vectores de ataque a las organizaciones. Esto es porque los atacantes no tienen que pasar por alto la seguridad interna para manipular los datos/modelos e insertar los datos no deseados”.
Según los resultados del estudio de Accenture -para el cual fueron entrevistados 500 C-Leven en 8 países- cuando se les preguntó cómo sus organizaciones están planeando crear los conocimientos técnicos necesarios para apoyar las tecnologías emergentes, la mayoría dijo que entrenaría a los empleados existentes (77%), colaboraría o se asociaría con organizaciones que tengan la experiencia (73%), contratar nuevos talentos (73%) y adquirir nuevos negocios o nuevas empresas (49%).
Aunque todos estos son enfoques viables, se sigue subestimando el tiempo que toma preparar a los profesionales en estas habilidades. El logro de la experiencia y la plena competencia probablemente requerirá años de educación combinada con la experiencia práctica. Lo que es más, los encuestados asumen que habrá amplio talento disponible para contratar de IA, 5G, computación cuántica y realidad extendida, pero la realidad es que existe y existirá una escasez de estas habilidades en el mercado. Para agravar el problema, encontrar talento en seguridad con estas habilidades tecnológicas emergentes será aún más difícil.
En resumen, las compañías necesitarán diferentes capacidades de seguridad para validar los modelos de IA, los conjuntos de datos y el comportamiento de los modelos y entender la fuerza del modelo antes de desplegarlo en ambientes de producción. Estas capacidades de seguridad abarcan desde el aumento/modificación del conjunto de datos en bruto, al diseño y entrenamiento de modelos, a la muestra/modelo análisis de interacción. Una vez más, cada proceso de Machine Learning será diferente en la funcionalidad y la tolerancia a la sobrecarga, construir modelos de amenazas para cada proceso y tener métodos para diferentes escenarios y así asegurar la integridad de los datos y la solidez del modelo de IA. Así también, las empresas deberán fortalecer su colaboración con el ecosistema. Para asegurar los conocimientos necesarios en nuevas tecnologías y en la seguridad de éstas.
De igual manera, los CISOs también subestiman la importancia de planificar para entregar seguridad a estas tecnologías emergentes. Solo la mitad (55%) está planeando activamente para asegurar la IA hoy en día, mientras con el 5G, 36%; XR, 32% y computación cuántica 29%.
2. 5G:
A medida que más empresas hacen la transición a la tecnología 5G, tanto los de proveedores de servicios como los consumidores deberán enfrentar asuntos de seguridad y sus posibles consecuencias.
Las empresas enfrentarán 3 desafíos principales:
1) Cuestiones de seguridad arrastradas de las generaciones anteriores de protocolos de telecomunicaciones y estándares no resueltos para el 5G, como la falta de funciones de autenticación.
2) Nuevas cuestiones de seguridad que surgen de características de seguridad la tecnología 5G, incluyendo la virtualización que expande la superficie de ataque y el rastreo hiperexacto de la ubicación de ataques, lo que puede aumentar los problemas de privacidad de los usuarios.
3) Las preocupaciones de seguridad por el aumento del volumen y la velocidad de la red, como un aumento de computación remota y video de la IA; la comunicación más frecuente por video y un mayor uso de XR introducirá una nueva imagen y vulnerabilidades basadas en video.
Claudio Ordóñez explicó que “al igual que el crecimiento de los servicios en la nube, el 5G tiene el potencial de crear redes sombra que operan fuera del conocimiento y la gestión de la empresa. Como las compañías ya aprendieron en su viaje a la nube, deben gestionar la habilitación y mantener un control de potenciales problemas de seguridad”.
El experto agregó que “lecciones adicionales aprendidas del suministro de tecnología también puede aplicarse en el ámbito del 5G, como asegurar la integridad del dispositivo a través de todo el espectro -hardware, firmware y aplicaciones. Ya que el 5G hereda las debilidades del HTTP, XML y los protocolos TLS, la superficie de ataque puede expandirse con la convergencia IT/OT para incluir una gama de dispositivos con niveles de inteligencia cada vez mayores, incluyendo máquinas autónomas y robótica. Y ahora lo que está en juego es aún más importante con la migración a una fuerza de trabajo remota, a medida que las personas trabajan desde cualquier lugar, utilizando ordenadores portátiles, tabletas y celulares. Como resultado, las empresas deben considerar cuidadosamente que los procesos y datos se mueven a un amplio espectro de los dispositivos finales y el nivel de confianza en el que se mueve cada uno”.
Por diseño, las redes 5G reúnen múltiples y heterogéneas redes y tecnologías, que probablemente crearán nuevas complejidades y costos de la vigilancia y la seguridad de la red de la gestión. El registro del dispositivo debe incluir la autenticación para manejar la superficie de ataque de la empresa. Sin ella, la integridad de los mensajes y la identidad del usuario no pueden ser aseguradas.
Asimismo, el número de dispositivos que se pueden conectar a la red y solicitan diferentes tipos de servicios (por ejemplo, servicios de baja latencia v/s alta fiabilidad) expone la red a la interferencia, la denegación de servicio y otros ataques dirigidos al rendimiento.
Además, cualquier configuración nueva o ajustada de la red como un servicio, basado en una petición del inquilino de la red, se suministra automáticamente para lograr una alta disponibilidad y una operación robusta. Validar y probar estas configuraciones en un delivery de integración continua requiere de la gestión de los riesgos de seguridad en las fases de desarrollo y de puesta en escena también.
Uno de los avances de la 5G es el traspaso continuo a la velocidad. Para lograr esto, sin embargo, las organizaciones deben impulsar un roaming rápido y una gestión de identidad simplificada, lo que a su vez puede aumentar la exposición de la conexión a los ataques.
Por último, las características de fácil uso propuestas por la tecnología 5G y los dispositivos, como los basados en la localización o servicios API, apunta directamente a la privacidad del usuario ofrecida por las organizaciones. En respuesta, las empresas deberían reforzar y expandir los protocolos de privacidad para cubrir esta más amplia gama de servicios.
Claudio Ordóñez destacó que “con el fin de innovar a escala y velocidad con la tecnología emergente, la colaboración con la CISO es esencial. La adopción temprana y las grandes inversiones no son suficientes. El verdadero éxito requiere de un compromiso significativo de CISO y la expertiz en la gestión de riesgos cibernéticos desde el principio y a lo largo del día a día de la innovación, lo que incluye tener la mentalidad, comportamientos y la cultura correctos para hacer que suceda”.
3. Realidad Aumentada:
La realidad aumentada (XR) presenta vulnerabilidades, especialmente cuando el contenido de XR se transfiere a través de la nube y las capacidades de reconocimiento de IA están también en la nube.
Estas cuestiones incluyen:
– Localización: engañar al sistema de localización y posicionamiento generará un sesgo en la comprensión de lo que está siendo interactuado y puede generar activación errónea del sistema. Por diseño, los dispositivos XR deben constantemente mapear los entornos en los que operan, por lo que es necesario información de localización personal almacenada de forma segura.
– Enmascaramiento de contenido: el comando “abrir esta válvula” puede ser dirigido al objeto equivocado y generar una activación catastrófica. Los objetos proyectados y la manipulación de contenidos, donde el sistema transfiere datos que todo está bien, puede llevar al usuario a activar erróneamente una determinada válvula o a dar una orden que interfiere con el comando del sistema real.
– Reconocimiento de confianza de la IA: a medida que las imágenes se transfieren a un servicio en la nube para el reconocimiento de objetos, voz o gestos, los datos pueden ser inyectados con información sintética y confundir la respuesta de los servicios de la nube de IA.
– El contenido de las imágenes y el sonido ambiental: son un tubo para fugas de datos, privacidad y propiedad intelectual. A medida que el sistema XR emite un video, la transmisión puede estar expuesta a hackers que pueden ver todo el contenido. Además, los flujos de video e imágenes se almacenan en repositorios de nubes, planteando preguntas sobre la ubicación, el cumplimiento y las limitaciones de la regulación.
Dado que la XR es una infraestructura soportada por la nube, muchos de los desafíos de seguridad ya los habrán enfrentado las empresas en su desarrollo de Cloud. Inicialmente, las empresas deberán implementar controles de seguridad para verificar la identidad de los usuarios de XR (quién es la persona, qué tipo de dispositivo de realidad aumentada está utilizando y qué tipo del servicio XR se accede a través de la red), mientras que también deberán desarrollar capacidades para la vigilancia, la detección y respuesta a los ciberataques relacionados con la realidad aumentada.
Además, aunque una experiencia de realidad aumentada puede estar diseñará para guiar a los trabajadores a través de una capacitación eficiente, mantenimiento, ensamblaje o mando y control, el sistema operativo de los dispositivos como cualquier dispositivo de Internet puede estar comprometido y convertirse en un punto de entrada a la red de la compañía.
Claudio Ordóñez detacó que “las estafas de suplantación de identidad también son tan válidas en Realidad Aumentada como lo son en los sistemas de la web. Manipular los sensores de los dispositivos XR para las lecturas erróneas podría resultar en situaciones negativas o problemas de seguridad, incluyendo alterar la experiencia digital o proporcionar una experiencia no calibrada para los trabajadores.
Por ejemplo, la manipulación con el lado digital de los dispositivos AR, el contenido y las recomendaciones podrían hacer que las personas realizaran acciones erróneas en el mundo físico (por ejemplo, un hacker inserta pasos incorrectos en un procedimiento de mantenimiento, que más tarde podría causar que una máquina falle). De la misma manera, en un sistema de RV, las acciones humanas realizadas en la realidad el espacio puede ser controlado por hackers en el espacio virtual; por lo que es imperativo asegurar el entorno humano conexión similar a la que se aplica a la seguridad en la industria automotriz”.
Link al estudio: https://www.accenture.com/_acnmedia/PDF-127/Accenture-Security-Technology-Vision.pdf#zoom=40
