La IA necesita acceso. ¿Pero cuánto?

Por qué la identidad y el acceso se están convirtiendo en pilares fundamentales para la IA empresarial

La gestión de la identidad y el acceso se ha centrado tradicionalmente en una serie de preguntas habituales: ¿Quién es el usuario? ¿Qué dispositivo utiliza? ¿A qué aplicaciones y datos se le debe permitir acceder?

La IA está añadiendo otra dimensión a este panorama. A medida que se integra en los procesos empresariales, cada vez más aplicaciones, cargas de trabajo, API y servicios de IA se conectan a los sistemas y datos de la empresa.

Esto significa que las organizaciones deben plantearse no solo qué empleados deben tener acceso, sino también en qué aplicaciones, cargas de trabajo y servicios de IA se debe confiar, a qué se les debe permitir acceder, qué acciones se les debe permitir realizar y cuánta autonomía deben tener al interactuar con los sistemas de la empresa.

Por lo tanto, la cuestión de la seguridad está cambiando. La IA necesita acceso para crear valor, pero ¿cuánto acceso debería tener?

La IA crea valor a través del acceso

Los sistemas de IA dependen de la información para proporcionar respuestas útiles, respaldar decisiones o automatizar procesos empresariales. Esa información puede residir en plataformas de colaboración, aplicaciones en la nube, bases de datos, sistemas ERP de clientes y entornos operativos.

El acceso a la información relevante es, por lo tanto, fundamental para lo que la IA puede ofrecer. Al mismo tiempo, cada sistema, fuente de datos o aplicación adicional conectado a la IA introduce otra relación de acceso que debe entenderse y gestionarse.

Pensemos en un asistente de IA utilizado para ayudar a los empleados. Para que resulte realmente útil, es posible que necesite acceder a documentos internos, información de clientes o aplicaciones empresariales. Pero eso no significa que todos los empleados que utilicen el asistente deban tener acceso indirecto a todo aquello a lo que la IA pueda acceder.

Lo mismo se aplica a una aplicación de IA conectada a varios sistemas empresariales a través de API. Es posible que necesite información de esos sistemas para desempeñar su función, pero esto no significa necesariamente que necesite un acceso permanente o sin restricciones a todos ellos.

Un proceso basado en IA puede involucrar a un empleado, una aplicación de IA, varias API, múltiples fuentes de datos y otros servicios automatizados. Cada uno de ellos puede tener su propia identidad y diferentes derechos de acceso. A medida que estas interacciones se multiplican, resulta cada vez más difícil saber qué identidad está accediendo a qué recurso —y con qué finalidad—.

Esto hace que la identidad sea una parte cada vez más importante de la infraestructura que sustenta la IA. El mero hecho de estar conectado a la red corporativa ya no es motivo suficiente para confiar en un usuario, un dispositivo, una aplicación o una carga de trabajo.

Las organizaciones deben saber quién o qué solicita el acceso, qué recurso se solicita y si ese acceso es adecuado en ese contexto concreto.

El modelo «Zero Trust» ofrece un enfoque arquitectónico para abordar este reto.

Esto hace que la identidad sea un elemento cada vez más importante de la infraestructura que sustenta la IA. El mero hecho de estar conectado a la red corporativa no es

De la confianza implícita al acceso controlado

El modelo «Zero Trust» se basa en el principio de que no se debe conceder acceso simplemente porque un usuario, un dispositivo o una aplicación ya se encuentren dentro de un entorno de confianza. En su lugar, el acceso se verifica y se limita en función de la identidad, el contexto y la necesidad.

Esta distinción cobra especial relevancia en el ámbito de la IA empresarial.

Una aplicación de IA conectada a una base de datos de clientes puede necesitar acceder a información concreta, pero no necesariamente a toda la base de datos. Del mismo modo, un empleado que utilice un asistente de IA puede estar autorizado a recuperar documentos de un área de negocio, pero no de otra.

El objetivo es que el acceso sea más preciso, en lugar de simplemente más restrictivo. Los usuarios, las aplicaciones y las cargas de trabajo deben disponer del acceso necesario para desempeñar su función, sin obtener automáticamente acceso a recursos que no necesitan. A medida que las organizaciones conectan la IA a más sistemas e información, este principio del privilegio mínimo se convierte en una parte importante para mantener el control.

La seguridad debe adaptarse a la interacción

El reto del acceso también refleja la evolución más amplia de la conectividad empresarial.

Los usuarios trabajan desde diferentes ubicaciones, las aplicaciones se ejecutan tanto en entornos en la nube como en entornos empresariales, y los datos se mueven entre sistemas, socios y ubicaciones. Las cargas de trabajo de IA pueden operar en infraestructuras en la nube, en el perímetro y en las instalaciones.

En este entorno, la ubicación en la red por sí sola proporciona información limitada sobre si se debe confiar en una interacción. Por lo tanto, la seguridad debe tener en cuenta la identidad implicada, el recurso al que se accede y el contexto de la interacción.

Esta es también la razón por la que las redes y la seguridad están cada vez más interrelacionadas. Enfoques como el acceso a la red de confianza cero (ZTNA) pueden ayudar a las organizaciones a establecer el acceso en función de la identidad y el contexto, mientras que las arquitecturas de borde de servicio de acceso seguro (SASE) combinan capacidades de redes y seguridad en entornos distribuidos.

El principio subyacente es sencillo: cada conexión debe tener una razón de ser, y el nivel de acceso que conlleva debe reflejar esa razón.

Esto cobra aún más importancia a medida que la IA pasa de recuperar y procesar información a actuar en los sistemas empresariales. Las organizaciones tendrán que gestionar cada vez más no solo a qué sistemas y datos puede acceder una aplicación de IA, sino también qué nivel de acceso tiene: si puede recuperar información, escribir o modificar datos, o desencadenar acciones en otras aplicaciones y sistemas. A medida que los sistemas de IA se vuelven más capaces de actuar de forma independiente, las organizaciones también deben decidir con qué grado de autonomía se pueden llevar a cabo estas acciones y en qué casos se requiere la aprobación humana.

La IA complica la gestión del principio del privilegio mínimo

La aplicación del principio del privilegio mínimo se vuelve más complicada a medida que cambian los entornos empresariales.

Los empleados cambian de funciones, las aplicaciones evolucionan, se conectan nuevas fuentes de datos y los entornos en la nube se amplían. Los casos de uso de la IA que comienzan como proyectos relativamente aislados pueden acabar integrándose en procesos críticos para el negocio.

Los permisos pueden acumularse a lo largo del proceso.

Una aplicación de IA conectada inicialmente a dos sistemas puede acabar interactuando con diez. Un servicio diseñado para recuperar información puede pasar a formar parte posteriormente de un flujo de trabajo automatizado. El acceso que era adecuado al inicio de un proyecto puede dejar de serlo a medida que cambia su finalidad.

Esto significa que el acceso no puede configurarse una sola vez y dejarse sin modificar. Las organizaciones necesitan tener visibilidad sobre qué identidades existen, a qué recursos pueden acceder y si esos permisos siguen siendo adecuados a medida que evoluciona su entorno de IA.

Algo en lo que pensar: si mañana una de tus aplicaciones de IA cambiara su función, ¿con qué rapidez podrías identificar y ajustar todo aquello a lo que tiene permiso para acceder?

Cuando la IA empieza a actuar

Esta cuestión cobrará aún más relevancia a medida que las organizaciones empiecen a utilizar agentes de IA de forma más generalizada.

Hoy en día, muchas aplicaciones empresariales de IA ayudan principalmente a los usuarios a encontrar información, generar contenido, analizar datos o respaldar la toma de decisiones. Los agentes de IA pueden ir más allá realizando tareas en diferentes sistemas, como recuperar información, actualizar registros, activar flujos de trabajo o interactuar con otras aplicaciones.

Como resultado, las organizaciones deben tener en cuenta no solo a qué información puede acceder y recuperar un sistema de IA, sino también qué acciones está autorizado a realizar.

Un sistema de IA capaz de leer el registro de un cliente requiere un determinado nivel de control. Un sistema que pueda modificar el registro, iniciar una transacción o activar otro proceso empresarial requiere un nivel diferente de autorización y supervisión.

A medida que la IA asuma un papel más activo en los procesos empresariales, las organizaciones deberán tener en cuenta la identidad, la autorización y la visibilidad no solo de sus empleados y aplicaciones, sino también de los sistemas de IA que actúan en su nombre.

Preguntas que deben plantearse los responsables

A medida que la IA se integra en más procesos empresariales, los responsables de tecnología y seguridad deben plantearse lo siguiente:

• ¿Qué usuarios, aplicaciones, cargas de trabajo y servicios de IA pueden acceder a nuestros sistemas críticos?
• ¿Disponemos de una visión centralizada de qué identidades humanas y de máquinas tienen acceso a qué sistemas, aplicaciones y datos en toda la organización?
• ¿Qué fuentes de datos empresariales están conectadas actualmente a las aplicaciones de IA?
• ¿Cada servicio de IA tiene acceso únicamente a la información que necesita?
• ¿Cómo se autentican y autorizan las identidades humanas y de las máquinas?
• ¿Pueden cambiar los derechos de acceso a medida que cambian los roles, los riesgos o los requisitos empresariales?
• ¿Podemos ver qué identidades están accediendo a recursos sensibles en diferentes entornos?
• ¿Qué acciones están autorizadas a realizar las aplicaciones de IA, y no solo qué información pueden recuperar?
• ¿Podrían estos controles adaptarse si el número de aplicaciones y agentes de IA aumentara significativamente?

El objetivo es garantizar que el acceso siga siendo intencionado y controlable a medida que la IA se integra cada vez más profundamente en la empresa.

Fomentar la confianza en la IA empresarial

La IA genera valor al aunar información, aplicaciones y procesos empresariales. A medida que esas conexiones se multiplican, las organizaciones necesitan una forma más precisa de determinar quién y qué puede acceder a sus recursos digitales.

El modelo «Zero Trust» ofrece un principio arquitectónico útil para este entorno. En lugar de dar por sentada la confianza basándose en la ubicación o en una conexión existente, el acceso se basa en la identidad verificada, el contexto y los permisos necesarios para una interacción concreta.

A medida que la IA evoluciona, pasando de apoyar a los empleados con información a realizar más tareas en los sistemas de la empresa, estos principios cobran relevancia no solo para controlar a qué puede acceder la IA, sino también qué puede hacer.

Por lo tanto, la cuestión no es simplemente cuánto acceso necesita la IA. Las organizaciones también deben determinar qué se le debe permitir hacer a la IA con ese acceso, al tiempo que mantienen la visibilidad y el control necesarios para modificar o eliminar esos permisos cuando sea necesario.

Continúa la conversación

A medida que la IA se conecta a más datos, aplicaciones y procesos empresariales, la gestión de la identidad y el acceso se convierte en una parte importante de la infraestructura que la sustenta.

Si desea analizar cómo el modelo «Zero Trust», la conectividad segura y los controles de acceso pueden respaldar su estrategia de IA, nuestros especialistas están a su disposición para ayudarle.


Imagen: creada con IA