La velocidad a la que opera la nueva tecnología significa que los flujos de trabajo habilitados por IA podrían exponer los datos internos de una organización a un ciberataque en cuestión de segundos.
El año pasado, por ejemplo, las empresas pagaron un estimado de 4,44 millones de dólares por incidente de filtración de datos, según una investigación de IBM y el Instituto Ponemon.
Pero una arquitectura de confianza cero crea controles de seguridad más sólidos centrados en la identidad y una contención más rápida de las filtraciones, lo que podría reducir los costos de las filtraciones de datos.
En ciberseguridad, los argumentos más convincentes suelen estar relacionados con el costo.
En 2025, se estimó que el costo medio mundial de una filtración de datos para las empresas fue de 4,44 millones de dólares por incidente, según una investigación de IBM y el Instituto Ponemon. En particular, las filtraciones en el sector sanitario promediaron 7,42 millones de dólares por incidente y fueron las más largas en identificarse y contenerse. Estos costos se producen en un momento en que los sistemas de inteligencia artificial (IA) están aumentando el número de actores humanos y de máquinas que interactúan con datos sensibles.
Los costos importan, pero también los marcos de referencia. Uno de los marcos de ciberseguridad predominantes en la actualidad es la Arquitectura de Confianza Cero (ZTA, por sus siglas en inglés). Superando el supuesto anterior de "castillo y foso", según el cual los actores dentro del perímetro de red de una organización son inherentemente confiables, la ZTA se basa en la verificación continua de usuarios, dispositivos, aplicaciones y cargas de trabajo.
Si bien la ZTA puede requerir una inversión inicial considerable, la investigación de IBM y el Instituto Ponemon ha demostrado que este tipo de controles de seguridad más sólidos centrados en la identidad y una contención más rápida de las filtraciones pueden ayudar a reducir los costos de las filtraciones.
Por ello, la confianza cero se ha convertido en una respuesta arquitectónica fundamental a los desafíos de seguridad basados en la nube y en la identidad. Pero ¿qué sucede cuando fallan las herramientas que una organización utiliza para proteger la identidad, los dispositivos, las redes y las aplicaciones, y los datos salen de sus límites previstos?
Este es un escenario cada vez más plausible en la era de la IA, y apunta a la necesidad de controles centrados en los datos que protejan la información sensible incluso después de que salga de los entornos en los que se concedió el acceso.
Factores crecientes de riesgo de ciberseguridad
Aunque la ZTA ha madurado, los ámbitos que estaba diseñada para proteger se han vuelto más complejos.
En primer lugar, el número de entidades que acceden a información sensible en toda una organización ya no se limita a las personas, sino que incluye servicios y agentes de software autónomos o semiautónomos. La investigación de IBM y el Instituto Ponemon señala que la supervisión de la IA es un factor de riesgo creciente para empresas, gobiernos y otras organizaciones, y que las brechas de gobernanza en torno a la IA pueden aumentar su exposición a ciberataques.
Una taxonomía ampliamente utilizada para aplicaciones que emplean modelos de lenguaje de gran tamaño (LLM, por sus siglas en inglés: las redes neuronales que sustentan la IA generativa) destaca riesgos recurrentes, como la inyección de instrucciones (prompt injection) y la divulgación accidental de información sensible. Estos riesgos pueden convertir un acceso legítimo en una fuga no deseada a velocidad de máquina.
En la práctica, esto significa que los flujos de trabajo habilitados por IA podrían exponer los datos internos de una organización o difundir su información sensible entre sistemas en cuestión de segundos.
Una segunda razón del creciente nivel de complejidad en este ámbito es la ampliación de lo que se considera datos sensibles para incluir flujos de medios enriquecidos. A medida que avanza la visión artificial, técnicas como la ofuscación de píxeles pueden ofrecer menos protección de la que se suponía.
Investigaciones recientes muestran avances en la restauración de rostros a partir de imágenes desenfocadas y en la recuperación de información facial pixelada. La consecuencia es un debilitamiento de las protecciones de privacidad para las personas cuyas identidades fueron ocultadas intencionadamente, ya sean víctimas o testigos de delitos, participantes en manifestaciones políticas, o clientes o pacientes en entornos médicos sensibles.
En respuesta a estos avances, las tecnologías de mejora de la privacidad han recuperado atención. En términos generales, estas herramientas buscan reducir la exposición de datos sensibles durante el análisis, el intercambio o la colaboración. Por ejemplo, pueden permitir que las organizaciones analicen datos de clientes, de salud o financieros sin exponer por completo la información subyacente a todos los participantes.
Pero muchas se centran en proteger el cómputo o el intercambio de datos gobernado, en lugar de proteger también los datos que salen de los entornos donde el acceso ha sido aprobado.
Un tipo diferente de protección en ciberseguridad
La exposición continua y potencial de datos sensibles demuestra la necesidad de una capa complementaria de defensa: el control de acceso centrado en los datos mediante cifrado. La mayoría de los controles de confianza cero operan en los límites de los sistemas. El cifrado centrado en los datos traslada la aplicación de la política a los propios datos. La idea es incorporar la política de acceso a los datos cifrados, de modo que el derecho a descifrarlos viaje con ellos.
Un mecanismo de mejora de la privacidad, reconocido por estándares, para incorporar políticas de control de acceso al cifrado se denomina cifrado basado en atributos (ABE, por sus siglas en inglés). En lugar de centrarse en el cómputo o el intercambio de datos, el ABE aborda el problema de aplicar reglas de acceso a datos que pueden copiarse, almacenarse, recompartirse o filtrarse. Con el ABE, por ejemplo, un documento sensible, un historial médico o un video de vigilancia filtrado seguiría siendo accesible únicamente para los usuarios autorizados.
Cómo ayuda el Foro a los líderes a comprender el riesgo cibernético y fortalecer la resiliencia digital
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
La investigación académica y de la industria de las últimas dos décadas ha avanzado en los enfoques de cifrado centrados en los datos, aunque han recibido menos atención en los debates principales sobre ciberseguridad que otras tecnologías de privacidad y seguridad.
Sin embargo, puede ser el momento adecuado para demostrar con mayor claridad cómo estas técnicas pueden ser integradas en los marcos de confianza cero.
Como ocurre con otras tecnologías, el despliegue eficaz del cifrado a nivel de datos depende de un diseño y una administración sólidos. Un análisis del NIST de 2023 sobre el control de acceso basado en ABE destacó cuestiones como la gestión de claves, el diseño de autoridades y la configuración incorrecta de políticas. En la práctica, la ciberseguridad avanzada es menos una decisión sobre un único producto que un modelo operativo continuo.
Un enfoque de cartera para las herramientas de privacidad de datos
La confianza cero ya no puede plantearse solo como una cuestión de redes e identidad.
En una economía configurada por la IA, los líderes de ciberseguridad deben adoptar una mentalidad de cartera, que tenga en cuenta las identidades no humanas, los flujos de trabajo autónomos y datos cada vez más sensibles. Algunas tecnologías de mejora de la privacidad pueden respaldar la colaboración segura y la analítica, mientras que la aplicación criptográfica centrada en los datos puede ayudar a contener la exposición cuando los datos salen de sus controles originales.
No existe una única tecnología de privacidad óptima. En cambio, existen capas que pueden funcionar juntas para minimizar las filtraciones y los costos. En un entorno impulsado por la IA, donde los datos se mueven más rápido y más lejos de lo que los controles tradicionales fueron diseñados para gestionar, la aplicación de la seguridad al nivel de los propios datos merece una seria consideración.
