Morgan Stanley: la IA acelera las investigaciones de seguridad y los proveedores de ciberseguridad aún tienen oportunidades

¿Por qué las operaciones de seguridad necesitan investigaciones más rápidas?

Se está acortando el tiempo entre el descubrimiento de una vulnerabilidad y su explotación. Devon Rollins, responsable de respuesta de seguridad y seguridad de IA de Morgan Stanley, señaló que los atacantes pueden reproducir métodos exitosos en miles de organizaciones, mientras que históricamente a los defensores les ha resultado más difícil compartir experiencias a gran escala.
La IA puede acelerar la recopilación de pruebas y el reconocimiento de patrones, e investigar simultáneamente varias explicaciones posibles de un incidente. Los defensores también quieren compartir inteligencia sobre comportamientos y contenido de detección que puedan utilizar tanto personas como máquinas, para que organizaciones con distintos sistemas de seguridad aprendan unas de otras.
El equipo de investigación de Morgan Stanley considera que los productos de automatización de operaciones de seguridad capaces de reducir la brecha de información entre atacantes y defensores tienen posibilidades de ser adoptados, aunque la competencia en este mercado es intensa.

Aunque se reduzca el tiempo de respuesta, las empresas deben seguir identificando qué activos tienen, cuáles están expuestos y cómo se distribuyen los permisos, y asegurarse de poder aislar y recuperar los sistemas tras un incidente.
El principio de mínimo privilegio se está extendiendo a las cargas de trabajo y los agentes; la priorización de vulnerabilidades también debe tener en cuenta su conexión con sistemas importantes. Para las empresas con una larga trayectoria y deuda técnica acumulada, subsanar todas las amenazas no es realista, por lo que las medidas de aislamiento autorizadas de antemano son especialmente importantes.

El enfoque actual combina el desarrollo interno con las compras: los proveedores aportan sensores, modelos y capacidades para aplicar controles, mientras que los equipos internos conectan las herramientas con los datos, las relaciones entre activos y los procesos de decisión propios de la empresa.
Las herramientas de programación con IA han acelerado el desarrollo interno, pero Rollins destacó el valor diferenciador del conocimiento propio de la empresa. Por ello, el equipo de investigación de Morgan Stanley considera que actualmente es más probable que el desarrollo interno complemente las compras. Aunque los modelos de pesos abiertos ofrecen mayor control, también hacen que las empresas asuman la responsabilidad de la seguridad, la evaluación, el despliegue y el mantenimiento.

Los sistemas de gestión de información y eventos de seguridad (SIEM) siguen siendo valiosos: combinan datos de seguridad organizados con contexto sobre identidad, comportamiento, amenazas y activos para ayudar a tomar decisiones más rápido. Pero si los datos contienen mucho ruido, están incompletos o no son fiables, la IA también puede llegar más rápido a conclusiones erróneas.
Las herramientas de orquestación, automatización y respuesta de seguridad (SOAR) siguen siendo adecuadas para procesos repetitivos con reglas claras; la automatización dirigida por IA se aplica a otras tareas. El valor de los datos adicionales depende de los conocimientos que puedan generar, no de la cantidad recopilada en sí.
La selección de proveedores también exige considerar la calidad de las interfaces y la gobernanza de los agentes: de dónde proceden las pruebas, qué permisos tienen los agentes y si las acciones pueden detenerse o revertirse. Morgan Stanley considera que las plataformas capaces de extraer conocimientos de los datos se benefician de estas necesidades.

Rollins afirmó que los equipos están cada vez más dispuestos a permitir que la IA realice investigaciones sustanciales y recomiende los siguientes pasos, gracias a las mejoras en la información contextual, la evaluación y los controles de acceso que rodean a los modelos. Las acciones con límites claros son más fáciles de automatizar; las decisiones en situaciones ambiguas o con consecuencias importantes siguen correspondiendo a las personas, que asumen la responsabilidad.
Considera que a largo plazo podrían surgir carteras de herramientas más reducidas y mejoras medibles de la eficiencia operativa, aunque esos beneficios aún no se han materializado. El equipo de investigación de Morgan Stanley es optimista sobre el gasto en software de ciberseguridad, pero plantea una pregunta clave: cuando disminuya el número total de herramientas, ¿podrán las mejoras de eficiencia traducirse en mayores compromisos de compra de los clientes con los proveedores?