Cómo prevenir su primera brecha de datos de IA

Durante su discurso de apertura en la RSA Conference 2024, Matt Radolec, vicepresidente de Respuesta a Incidentes y Operaciones en la Nube de Varonis, describió un escenario cada vez más frecuente en la era de la IA generativa:

Una organización se acercó a Varonis con un problema por resolver. Su competidor había logrado acceder a información confidencial de las cuentas y estaba utilizando esos datos para dirigir campañas publicitarias a los clientes de la organización.

La organización no tenía idea de cómo se obtuvieron los datos. Esto era una pesadilla de seguridad que podía poner en peligro la confianza y la credibilidad de sus clientes.

Gracias a trabajar con Varonis, la compañía identificó la fuente de la brecha de datos. Un exempleado usó un copiloto de IA generativa para acceder a una base de datos interna llena de datos de cuentas. Luego, copió información confidencial, como el gasto de los clientes y el uso de los productos, y se los llevaron a un competidor.

Vea el debate completo de Matt Radolec sobre cómo prevenir las brechas de datos de IA en la RSA Conference 2024. 

Este ejemplo pone de manifiesto un problema creciente: el amplio uso de copilotos de IA generativa inevitablemente aumentará las brechas de datos.

Según una encuesta reciente de Gartner, los casos de uso de IA más comunes incluyen aplicaciones basadas en IA generativa, como Microsoft 365 Copilot y Einstein Copilot de Salesforce. Si bien estas herramientas son una excelente manera para que las organizaciones aumenten la productividad, también crean importantes desafíos para la seguridad de los datos.

En este blog, analizaremos estos desafíos y le mostraremos cómo proteger sus datos en la era de la IA generativa.

El riesgo de los datos de la IA generativa 

Casi el 99 % de los permisos no se utilizan, y más de la mitad de esos permisos son de alto riesgo. El acceso a datos sin usar y excesivamente permisivo siempre es un problema para la seguridad de la información, pero la IA generativa intensifica el problema.

Cuando un usuario le hace una pregunta a un copiloto de IA generativa, la herramienta formula una respuesta en lenguaje natural basada en contenido de internet y comercial a través de tecnología de gráficos.

Debido a que los usuarios suelen tener permisos de acceso a datos excesivamente amplios, el copiloto puede revelar fácilmente información confidencial, incluso si el usuario no se da cuenta de que tiene acceso a ella. En primer lugar, muchas organizaciones ni siquiera saben qué datos confidenciales tienen, y ajustar manualmente el acceso de forma adecuada es casi imposible.

La IA generativa facilita la brecha de datos.  

Los atacantes ya no necesitan saber cómo piratear un sistema o comprender los detalles de su entorno. Simplemente pueden pedirle a un copiloto información confidencial o credenciales que les permitan moverse lateralmente por el entorno.

Los desafíos de seguridad que conlleva la habilitación de herramientas de IA generativa incluyen los siguientes:

• Los empleados tienen acceso a demasiados datos. 
• Los datos confidenciales no suelen estar etiquetados o lo están, pero de manera incorrecta. 
• Los expertos pueden encontrar y exfiltrar datos rápidamente con lenguaje natural. 
• Los atacantes pueden descubrir secretos para la escalada de privilegios y el movimiento lateral. 
• No es posible ajustar el acceso de forma manual. 
• La IA generativa puede crear nuevos datos confidenciales con rapidez.

Estos desafíos para la seguridad de datos no son nuevos, pero son muy explotables, dada la velocidad y la facilidad con la que la IA de última generación puede revelar información.

Cómo evitar que ocurra su primera brecha de IA 

El primer paso para eliminar los riesgos asociados a la IA generativa es asegurarnos de tener nuestras propias herramientas en orden.

Es una mala idea dar rienda suelta a los copilotos en su organización si no está seguro de dónde tiene datos confidenciales, cuáles son esos datos confidenciales, no puede analizar la exposición y los riesgos, y no puede cerrar las brechas de seguridad y corregir las configuraciones incorrectas de manera eficiente.

Una vez que tenga el control de la seguridad de los datos en su entorno y los procesos correctos estén implementados, estará listo para implementar un copiloto. En este punto, debería centrarse en tres áreas: permisos, etiquetas y actividad humana.

• Permisos: asegúrese de que los permisos de sus usuarios tengan el tamaño correcto y que el acceso del copiloto refleje esos permisos.
• Etiquetas: una vez que comprenda qué datos confidenciales tiene y en qué consisten esos datos confidenciales, puede aplicarles etiquetas para reforzar la DLP.
• Actividad humana: es esencial monitorear cómo se usa el copiloto y revisar cualquier comportamiento sospechoso que se detecte. Monitorear las indicaciones y los archivos a los que se accede es crucial para evitar copilotos explotados.

Incorporar estas tres áreas de seguridad de datos no es fácil y, por lo general, no se puede lograr solo con un esfuerzo manual. Pocas organizaciones pueden adoptar de manera segura copilotos de IA generativa sin un enfoque holístico con respecto a la seguridad de los datos y controles específicos para los propios copilotos.

Evite las brechas de IA con Varonis. 

Varonis se centró en la seguridad de los datos durante casi 20 años, y ayudó a más de 8000 clientes en todo el mundo a proteger lo que más importa. 

Aplicamos nuestra profunda experiencia para proteger a las organizaciones que planean implementar la IA generativa.
 
Si está comenzando su camino hacia la IA generativa, la mejor forma de empezar es con nuestra Evaluación gratis de riesgo sobre los datos.

En menos de 24 horas, tendrá un panorama en tiempo real del riesgo de sus datos confidenciales para determinar si puede adoptar un copiloto de IA generativa de forma segura. Varonis también es la primera solución de seguridad de datos de la industria para Microsoft 365 Copilot y tiene una amplia gama de capacidades de seguridad de IA para otros copilotos, LLM y herramientas de IA generativa.

Para obtener más información, explore nuestros recursos de seguridad de IA.