Agnidipta Sarkar, Evangelista Jefe, ColorTokens – Serie de entrevistas

Agnidipta Sarkar, Evangelista Jefe, ColorTokens, es un líder en ciberseguridad y resiliencia digital con más de tres décadas de experiencia que abarca defensa cibernética, gestión de riesgos, continuidad del negocio, privacidad y Zero Trust. En ColorTokens, colabora con juntas directivas, ejecutivos de nivel C y líderes de seguridad para fortalecer la preparación ante brechas y conectar los programas de ciberseguridad con las prioridades empresariales, además de contribuir a normas internacionales e iniciativas de la industria a través de organizaciones como ISO, la Cloud Security Alliance, NIST e ISA. Antes de unirse a ColorTokens, Sarkar se desempeñó como Group CISO en Biocon y ocupó cargos senior de seguridad de la información y liderazgo de riesgos en organizaciones como DXC Technology, Hewlett Packard Enterprise y HP.

ColorTokens es una empresa de ciberseguridad centrada en la microsegmentación, Zero Trust y en ayudar a las empresas a ser más resilientes cuando los atacantes superan las defensas perimetrales tradicionales. Su plataforma insignia, Xshield Enterprise Microsegmentation Platform, está diseñada para impedir que los atacantes y el malware se desplacen lateralmente dentro de una organización creando límites de seguridad granulares alrededor de cargas de trabajo y activos que abarcan centros de datos, infraestructura en la nube, puntos finales, entornos Kubernetes, tecnología operativa (OT) y dispositivos de Internet de las Cosas (IoT). La plataforma también incorpora flujos de trabajo asistidos por IA para descubrir entornos, crear políticas de segmentación y acelerar la implementación de políticas, con el objetivo más amplio de reducir la superficie de ataque de una organización y limitar el impacto potencial, o “radio de explosión”, de una brecha exitosa.

Ha pasado más de tres décadas pasando de roles prácticos de redes y seguridad en HCL, Wipro, HP, HPE y DXC a servir como Group Chief Information Security Officer en Biocon y contribuir a normas internacionales de seguridad. ¿Cómo esas experiencias en primera línea moldearon su convicción de que las organizaciones deben prepararse para contener brechas en lugar de asumir que pueden prevenir cada intrusión?

En mis primeros días en HCL y Wipro, la ciberseguridad se sentía como el Viejo Oeste: emocionante, caótica y llena de oportunidades. Me lancé, experimentando, fallando, aprendiendo y teniendo éxito con todo lo que la tecnología podía ofrecerme: firewalls, IDS, MFA, cifrado, auditorías, gobernanza. Pero la verdadera educación llegó cuando observé cómo se desarrollaba mi primer incidente de seguridad. De repente, todas esas mejores prácticas se derrumbaron bajo presión. Esa fue mi llamada de atención.

En HP, tuve una visión de primera fila del caos, primero como observador y luego como líder operativo, viendo el caos de cerca. Cada incidente reforzaba la misma lección: la TI nunca se detiene, y ninguna inversión puede garantizar la seguridad. Cuando finalmente asumí el cargo de Group CISO, supe que mi trabajo era crear un manual para manejar brechas, no solo para mis operaciones de seguridad, sino para toda la organización. Uno que fuera repetible, predecible y que pudiera mantener el negocio en funcionamiento cuando la tormenta golpeara, mejorando continuamente las operaciones de seguridad con el tiempo.

En papel, las herramientas parecían perfectas. En la realidad, la Gestión de Servicios de TI reveló grietas que nunca se esperaban. La gestión de activos, los parches, la configuración, los cambios, el riesgo, todo estaba enredado con errores humanos. Ahí es donde se oculta la debilidad digital, y cuando suenan las alarmas, es una pesadilla desenredarla. No existe un guion para la sala de guerra cuando ocurre una brecha. El caos es la norma, no la excepción. Por eso he dedicado mi carrera a construir estructura en el ojo de la tormenta y a ayudar a los líderes a filtrar el ruido y gestionar el riesgo, en lugar de ser arrastrados por él.

Al mirar atrás, estoy agradecido por cada lección: observar desde la línea de banda, ensuciarme las manos en medio de los ataques y, finalmente, liderar desde el frente. Por eso defiendo la preparación ante brechas como un arte, no solo una ciencia. Puedes trazar patrones de ataque todo el día, pero lo que importa es lo que ocurre en la sala de guerra, cuando los líderes deben mantener la línea. Esa claridad solo proviene de vivirla.

Por eso creé un marco de preparación ante brechas para anticipar, resistir y evolucionar la capacidad de enfrentar el próximo ciberataque. El marco ayuda a las organizaciones a moverse con la tormenta, no contra ella. El objetivo final es materializar Koun Ryusui, derramándose como nubes, fluyendo como agua, de modo que, cuando el próximo ataque sin precedentes ocurra, en lugar de caos, las empresas ejerzan flexibilidad estructurada y resiliencia, aprovechando sus inversiones tecnológicas para salir más fuertes y seguras.

La IA está ayudando a los atacantes a automatizar el reconocimiento, la explotación de vulnerabilidades y el movimiento lateral, potencialmente comprimiendo actividades que antes tomaban semanas en horas o minutos. ¿Qué partes del modelo convencional de respuesta a incidentes se vuelven ineficaces cuando los ataques comienzan a operar a velocidad de máquina?

Cuando los ataques se mueven a velocidad de máquina, los defensores que sobreviven son aquellos que pueden analizar y actuar más rápido que el adversario. Sí, la IA brinda nuevas herramientas a los atacantes, pero también potencia a los defensores. En mi experiencia, hay dos formas de enfrentar estos ataques sin precedentes impulsados por IA.

Primero, necesita rediseñar su panorama digital. Construya zonas listas para brechas y microsegmentos que separen sus joyas de la corona del resto. Piense en ello como un laberinto: algunos caminos están abiertos, otros bloqueados, lo que dificulta que identidades no autorizadas se muevan libremente. Así es como se mantiene a raya los ataques impulsados por IA al ralentizarlos, porque el laberinto cambia con las modificaciones en los sistemas digitales.

Segundo, necesita plantillas, manuales y roles claros listos antes de que suene la alarma. De modo que, cuando eso ocurra, cada ser humano y máquina sepa qué hacer y con qué prioridad. El truco es ganar tiempo y ralentizar la IA, obligarla a trabajar más y negar movimientos fáciles. Así es como mantiene sus defensas en la lucha cuando cada milisegundo cuenta.

Pregunte a cualquier marinero que haya sobrevivido a una brecha en un submarino. Cuando el agua entra de golpe, no hay tiempo para adivinar su próximo movimiento. Necesita haber reforzado las puertas correctas con anticipación, sabiendo qué debe mantener operativo y dónde impactará la presión. Cuando ocurre la brecha, lo único que puede hacer es aislar el compartimento inundado y mantener el resto del buque en funcionamiento. Así es como protege su negocio mínimo viable. En el mundo digital, eso significa su empresa digital mínima viable.

Eso es de lo que se trata la preparación ante brechas. Si algún ataque logra atravesar, aísla el área afectada, activa su BCP y mantiene el núcleo del negocio no afectado en funcionamiento. Sin cierre, sin crisis. Solo una emergencia de incidente.

Usted defiende discutir la preparación ante brechas en términos de negocio y financieros en lugar de tratarla únicamente como un problema técnico. ¿Qué métricas deberían usar las juntas para determinar si la organización podría seguir operando durante un ciberataque grave?

Las brechas no solo afectan sus sistemas; impactan a todo y a todos los que dependen de ellos. Pregunte al paciente rechazado en un hospital, al viajero varado en un aeropuerto o al concesionario de autos endeudado durante meses. Ese es el costo real de un ciberataque. No es cuestión de si, sino de cuándo. Por eso las juntas deben ver la preparación ante brechas como una necesidad empresarial y financiera.

Hay dos métricas que toda junta debería monitorear.

Primero, establezca la magnitud del impacto material que la junta está dispuesta a aceptar en la búsqueda de ambiciones digitales y de IA. Eso fija el umbral de cuánto de su empresa digital debe permanecer operativa durante una brecha. Yo llamo a estos el Impacto Material Máximo Aceptable (MAMI) y la Empresa Digital Mínima Viable (MVDE).

Muchos confunden MVDE con la continuidad del negocio, pero no son lo mismo. Si dice que menos del 10 % de impacto es aceptable, entonces el 90 % de su negocio debe seguir funcionando incluso durante una brecha. La mayoría de los planes de continuidad del negocio solo le devuelven el 30 % como máximo, dejando expuesto el 60 % de su negocio digital. Esa paradoja mantiene a los líderes despiertos por la noche.

Si establece su MVDE en un 70 %, puede asegurar a las partes interesadas que está invirtiendo en defensas que mantengan el negocio en funcionamiento, incluso cuando ocurra lo peor, construyendo un laberinto difícil de vulnerar para atacantes humanos o de IA, y la capacidad de aislar ataques a velocidad de máquina. Aquí es donde la microsegmentación actúa como un ladrillo fundamental de LEGO. Ahora puede conectar la mayoría de sus inversiones en ciberseguridad, como EDR, firewalls, SASE, identidad (humana y no humana), acceso, autorización y ciberseguridad OT, en un plano de señal conectado sin interrupciones que su SOC puede operar durante brechas activas para contener ciberataques y aislar la MVDE.

Monitoree el MAMI y la MVDE cada trimestre, para cada nueva iniciativa digital y de IA, y sus inversores y partes interesadas solo buscarán evidencia de cuán bien se está gestionando la resiliencia.

El “radio de explosión” se usa cada vez más como medida de la resiliencia cibernética. ¿Cómo puede una organización calcular su radio de explosión potencial antes de que ocurra un ataque, y qué constituiría un nivel aceptable de exposición?

El radio de explosión importa. Significativamente.

Pero no es la única métrica que cuenta. Siempre recomiendo evaluar su radio de explosión actual como el primer paso para construir una empresa preparada para brechas y basada en zero trust. Todo lo que necesita es una Evaluación de Impacto de Preparación ante Brechas (BRIA), un análisis no intrusivo, impulsado por API, que aprovecha su EDR existente. Para OT y mainframes, podría necesitar agentes o dispositivos.

No todo radio de explosión es negativo. A veces, es crítico para el rendimiento de la aplicación. El diablo está en los detalles. Tome un servicio de caché que acelera las búsquedas de información de productos y sesiones de usuarios. Necesita conectividad sistema a sistema para ejecutar una plataforma de comercio electrónico con múltiples microservicios. Pero ese mismo radio de explosión se convierte en una vulnerabilidad si usuarios o sistemas no autorizados pueden acceder a él.

No se puede observar el radio de explosión de forma aislada. Combínelo con otros patrones de seguridad como anomalías de comportamiento, uso indebido de accesos, aumento de privilegios, excesos de autorización y fallas de autenticación para comprender realmente su exposición a brechas. Y recuerde, lo que es aceptable en una industria puede ser un factor decisivo en otra.

¿En qué se diferencia la preparación ante brechas de la respuesta tradicional a incidentes, la recuperación ante desastres, la continuidad del negocio y los programas de zero trust, y dónde debería residir la responsabilidad de coordinar estas disciplinas?

Estos no son temas separados; son disciplinas entrelazadas que deben coordinarse en torno a un único objetivo empresarial.

Defino la preparación ante brechas como una disciplina de resiliencia empresarial: preparar, diseñar, ejercitar y gobernar continuamente la organización para anticipar ataques, limitar el radio de explosión, mantener la Empresa Digital Mínima Viable dentro del Impacto Material Máximo Aceptable predefinido por la organización, y restaurar capacidades mientras el ataque se contiene. La preparación ante brechas es la weaponización de la arquitectura zero trust y establece lo que debe ocurrir antes, durante y después de un ciberataque. Cambia la pregunta de “¿Cómo evitamos que los atacantes entren?” a “¿Cómo aseguramos que un incidente no cause más daño del que estamos preparados para tolerar, y cuánto del negocio puede seguir funcionando mientras respondemos?” La preparación ante brechas se trata de la supervivencia mientras el incidente sigue ocurriendo.

El salto conceptual es significativo. Las prácticas empresariales dispares de respaldo y recuperación, respuesta a incidentes, recuperación ante desastres y continuidad del negocio desempeñan roles importantes en estar preparados para brechas, porque gestionan la interrupción. Comienzan cuando los sistemas son atacados. Los tres programas de respuesta a incidentes, recuperación ante desastres y continuidad del negocio se centran en “¿Qué tan rápido podemos restaurar lo que se ha interrumpido?”. La preparación ante brechas se enfoca en “¿Cuánto de eso puede permanecer disponible desde el principio?”.

La preparación ante brechas rompe los silos para asegurar que se gestionen las consecuencias empresariales de una compromisión, y las partes interesadas estén tranquilas al enfocarse en cómo mantener la mayor parte de la empresa “sin afectar” e invocar un BC/DR para la parte afectada. La responsabilidad y la titularidad de estar preparados para brechas recaen en el liderazgo ejecutivo. El CEO/junta posee la tolerancia al riesgo y el resultado empresarial aceptable. El COO o un ejecutivo equivalente de resiliencia empresarial debe coordinar la preparación ante brechas en toda la organización, con el CISO a cargo de la dimensión de ciberseguridad.

Para las empresas que pretenden alcanzar un estado de Kuon Ryushi, la participación organizacional completa que utiliza tecnología e IA para gestionar los efectos de un ciberataque es crucial.

ColorTokens está usando IA para ayudar a los equipos de seguridad a analizar entornos y generar políticas de microsegmentación más rápidamente. ¿En qué debería confiar una organización la IA para automatizar decisiones defensivas, y qué acciones de contención deberían seguir requiriendo aprobación humana?

Absolutamente. Estamos haciendo exactamente eso.

Pero dejemos claro: “usar IA para ayudar a los equipos de seguridad” es solo la punta del iceberg. En ColorTokens, creemos en usar la IA de manera responsable para que las empresas estén realmente preparadas para brechas. Hay una historia mucho más grande que simplemente “la IA facilita la microsegmentación.”

Incidentes recientes con Anthropic, OpenAI, AISI e incluso el caso de reserva de gimnasio en Australia son fallas de arquitectura, no de gobernanza. Cuando la IA autónoma escapa de su sandbox, no siempre es maliciosa o poco fiable. Se trata de cómo se construyó la arquitectura. Los humanos deben definir claramente el perímetro operativo, y la IA debe permanecer dentro de él. Ahí es donde entra la gobernanza.

Por ejemplo, podría permitir que la IA aísle cualquier punto final marcado como comprometido con una confianza superior a un umbral determinado, a menos que sea un sistema de seguridad OT, un controlador de dominio, un sistema de pago o un activo de control de producción. Eso es autonomía limitada. Pero es más fácil decirlo que hacerlo porque necesita que la arquitectura sea específica al contexto y esté claramente definida por expertos en la materia.

En mi opinión y experiencia, las empresas deben usar la IA para realizar descubrimiento, correlación, mapeo de dependencias, análisis de rutas de ataque, análisis del radio de explosión, recomendaciones de políticas, síntesis de políticas, simulación de políticas, optimización de políticas de bajo riesgo, contención preautorizada y verificación continua, y dejar la determinación de la criticidad del negocio, la interrupción aceptable, los límites de seguridad, las definiciones de joyas de la corona, las restricciones de seguridad (en OT), el impacto máximo aceptable, los umbrales de autonomía, las aprobaciones de excepciones, el aislamiento de producción mayor y las acciones irreversibles a los humanos.

En conclusión, la IA debe tener la libertad suficiente para completar su tarea, pero bajo condiciones explícitas impuestas por la infraestructura fuera de su esfera de control. La IA debe proponer acciones, esperar la aprobación humana y luego aplicar los cambios a velocidad de máquina. El objetivo no es hacer que la IA sea autónoma, sino que la autonomía defensiva esté limitada.

En ColorTokens, usamos IA para que el bucle de control del defensor sea lo suficientemente rápido como para seguir el ritmo de los atacantes. La toma de decisiones de políticas centralizada, múltiples mecanismos de aplicación, telemetría rica, protección sin agentes para sistemas que no pueden ejecutar agentes, soporte para nube y contenedores, y el descubrimiento y síntesis de políticas asistidos por IA, forman parte de la preparación ante brechas asistida por IA.

Microsegmentación ha existido como concepto durante años, pero las organizaciones a menudo la asocian con implementaciones complejas y políticas rígidas. ¿Qué ha cambiado tecnológicamente que la hace más práctica en infraestructuras de nube, entornos Kubernetes, puntos finales, sistemas heredados y tecnología operativa?

Varias cosas.

Lo que comenzó como una forma elegante de conectar y controlar redes, garantizando conectividad y ancho de banda dedicados, ha evolucionado a una capacidad fundamental de ciberseguridad. Hoy, la microsegmentación puede transformar grandes empresas en organizaciones preparadas para brechas, de manera rápida y segura. Los cambios tecnológicos nos han ayudado a superar los antiguos dolores de cabeza: mapear dependencias, rediseñar los límites de la red, configurar VLANs y firewalls, escribir reglas manualmente y preocuparnos por interrumpir el tráfico empresarial. La segmentación solía ser lenta, costosa y limitada al centro de datos. Ya no es así.

Primero, la identidad es ahora el principal conducto de los ciberataques. Por eso la gobernanza de identidad mejorada es el primer principio del zero trust. En entornos de nube modernos, las direcciones IP son insignificantes para la seguridad. La microsegmentación moderna utiliza identidad, acceso, carga de trabajo, aplicación, servicio y contexto, no solo la ubicación de la red. El límite de seguridad sigue a la identidad, el acceso y la aplicación, no solo a la infraestructura subyacente.

Segundo, la microsegmentación sin agentes ahora va más allá de los appliances. Extiende la protección a sistemas heredados, dispositivos IoT y OT que no pueden ejecutar agentes. La microsegmentación moderna se integra con EDR, ampliando la cobertura y reduciendo el tiempo de implementación de meses a horas, porque EDR ya posee la telemetría que la microsegmentación necesita.

Finalmente, la IA está eliminando el último gran cuello de botella: la ingeniería de políticas de preparación ante brechas específicas del contexto. La IA puede analizar múltiples puntos de datos para obtener contexto, mapear dependencias y rutas de ataque, recomendar zonas y políticas de microsegmentación, y simular su impacto antes de la aplicación. La microsegmentación moderna aplica la política directamente en puntos finales y cargas de trabajo usando controles nativos del sistema operativo. Ya no es necesario rediseñar la red; la microsegmentación ahora es fluida, y la política sigue a la carga de trabajo dondequiera que vaya.

El objetivo no es solo bloquear cada intento de movimiento lateral, sino analizar suficientes señales a velocidad de máquina para asegurar que, cuando un atacante ingrese, la carga de trabajo comprometida no se convierta en una autopista hacia todo lo demás. La microsegmentación moderna ya no se trata solo de dividir redes, sino de controlar y monitorear el radio de explosión.

¿Qué evidencia deberían exigir los ejecutivos al evaluar el caso financiero de la microsegmentación, particularmente en relación con el tiempo de inactividad por ransomware, las primas de ciberseguro, la exposición regulatoria y el costo de mantener servicios críticos operativos durante un ataque?

La determinación financiera del impacto de una brecha y la correlación de una inversión en microsegmentación que pueda garantizar operaciones no afectadas durante una brecha requieren que los ejecutivos comprendan primero que los ciberataques tendrán éxito, independientemente de la inversión en ciberseguridad. En 2025 y 2026, organizaciones que sucumbieron a ciberataques y enfrentaron tiempo de inactividad inesperado incluyen muchas empresas financieramente sólidas como JLR, Nike y Stryker. Por lo tanto, no se trata de si serán vulneradas, sino de cuándo.

Una vez que acepte esta realidad, invertir en una preparación fundamental ante brechas se vuelve urgente y una cuestión de supervivencia empresarial. Para invertir sabiamente, comprendamos con más detalle los dos indicadores a nivel de junta.

El primero es una medida de supervivencia. El Impacto Material Máximo Aceptable (MAMI) que la alta dirección y el órgano de gobierno están dispuestos a aceptar para las ambiciones de transformación digital o adopción de IA. Puede comenzar como una cifra de ingresos, pero debe ampliarse a la viabilidad financiera, la confianza del cliente, la reputación o la marca a lo largo de iteraciones.

El segundo es un indicador de ventaja competitiva. La Empresa Digital Mínima Viable (MVDE) que debe permanecer operativa incluso cuando ocurran los ciberataques más sin precedentes. Todos los casos de negocio para nuevas iniciativas deben considerar ambos factores. La MVDE puede comenzar en un 70 % y seguir aumentando según el éxito del programa subyacente de identidad y microsegmentación.

Aquí está lo que los ejecutivos deben buscar al evaluar la microsegmentación: evidencia de que puede abordar el tiempo de inactividad por ransomware, reducir las primas de ciberseguro, disminuir la exposición regulatoria y mantener los servicios críticos en funcionamiento durante un ataque.

1. ¿Permite la plataforma de microsegmentación una única plataforma a través de centros de datos, usuarios, sistemas OT y la nube?
2. ¿Qué porcentaje de nuestra empresa está estructurado en zonas y microsegmentos basados en el impacto material al negocio en comparación con la revisión anterior?
3. ¿Qué tan rápido puede ponerse en operación la solución de microsegmentación con zonas, microsegmentos y conductos controlados, diseñados para mantener operativa la MVDE?
4. ¿Puede la solución de microsegmentación integrarse con EDR y usarlo como agente para reducir la huella de agentes?
5. ¿Utiliza la plataforma de microsegmentación alguna inteligencia artificial conversacional para determinar reglas y políticas específicas del contexto?
6. ¿Tenemos la capacidad de monitorear cambios en el comportamiento de usuarios válidos en aplicaciones y restringir a usuarios errantes por identidad?
7. ¿Puede el tiempo medio de detección y respuesta mediante el aislamiento de comportamientos maliciosos escalar con la nueva adopción digital y de IA en el negocio?
8. ¿Puede la plataforma de microsegmentación simular y modelar escenarios de defensa cibernética para reducir progresivamente la exposición a brechas de las operaciones?

Si bien estos abordarían la mayoría de los casos de uso, el cumplimiento requerirá declaraciones individuales de aplicabilidad para cada regulación, que pueden explicar qué parte de la regulación puede ser satisfecha directamente por la plataforma ColorTokens, qué necesita procesos que envuelvan la tecnología y qué requiere tecnología y procesos adicionales.

Muchas organizaciones realizan pruebas de penetración y ejercicios de respuesta a incidentes, pero estos pueden no revelar hasta dónde podría moverse un atacante después de obtener acceso. ¿Cómo deberían las empresas probar la contención y la supervivencia bajo condiciones realistas de ataques acelerados por IA?

Si las organizaciones necesitan abrazar la esencia de Koun Ryusui en la construcción de la preparación ante brechas, deben integrar la microsegmentación en las operaciones de ciberseguridad existentes y evolucionarla con el tiempo. Para ello, la microsegmentación necesita integración de señales con otras herramientas en el Centro de Operaciones de Seguridad, como el SIEM, el EDR, los firewalls de próxima generación, etc. Esto garantizaría que la microsegmentación impulsada por IA pueda orquestar la contención cuando sea necesario, basándose en indicadores de ataque y anomalías de comportamiento.

Lo que necesita entonces no son pruebas individuales, sino ejercicios que ayuden a evolucionar su preparación ante brechas.

Hay tres cosas que ejercitar si su microsegmentación y supervivencia son realistas. Primero, el estado actual de la Preparación ante Brechas. Esto puede realizarse antes de iniciar su despliegue de ColorTokens, después de haber aplicado sus políticas y tras cada cambio para determinar si dicho cambio ha alterado el diseño de su LABERINTO, que contiene zonas listas para brechas basadas en impacto material, microsegmentos y conductos controlados.

El segundo es la velocidad con la que puede aislar ciberataques cuando ocurre una brecha real. Los parámetros clave a probar son la precisión de detección y la rapidez del aislamiento y contención de la MVDE usando IA. Eso puede realizarse mediante pruebas de penetración, ejercicios de red teaming y evaluaciones de simulación de ataques de brecha. Estas pruebas deben llevarse a cabo sin notificar al Centro de Operaciones de Seguridad para comprobar su respuesta a la variación de parámetros de la brecha.

El tercero es cómo reaccionaría su organización en un escenario de brecha real. Antes de ejercitar, asegúrese de que sus “manuales de preparación ante brechas” se comuniquen a todas las partes interesadas internas relevantes, terceros de soporte técnico y proveedores de mantenimiento, especialmente a los propietarios de activos e integradores de sistemas OT. Luego, realice ejercicios simulados antes de llevar a cabo una evaluación de red teaming para proporcionar una experiencia realista.

A medida que las empresas despliegan más agentes de IA autónomos con acceso a aplicaciones, datos, credenciales e infraestructura, ¿cómo deberá evolucionar la preparación ante brechas para contener no solo cuentas y dispositivos humanos comprometidos, sino también agentes de IA comprometidos o con comportamiento errático?

La preparación ante brechas debe evolucionar de contener cuentas y dispositivos humanos comprometidos a tratar a los agentes de IA autónomos como una clase distinta y de alta velocidad de identidad no humana (NHI) que puede actuar con credenciales legítimas a velocidad de máquina. El desafío parece significativo en papel porque se espera que las NHI superen en número a las identidades humanas al menos 250 veces según estimaciones actuales.

Los agentes rompen los controles tradicionales centrados en usuarios, puntos finales y cuentas de servicio estáticas. Poseen acceso en vivo a aplicaciones, datos, credenciales e infraestructura; razonan y encadenan acciones continuamente; y pueden ser comprometidos mediante inyección de prompts, envenenamiento de herramientas, manipulación de memoria, problemas en la cadena de suministro o simple desalineación/deriva. Cuando se comportan mal o son secuestrados, el radio de explosión se expande más rápido de lo que una respuesta humana puede seguir. La respuesta a la brecha no puede esperar a la plena certeza o a la escalada entre equipos, por lo que el endurecimiento y las respuestas automáticas preaprobadas serán obligatorios.

A medida que se despliegan más agentes de IA autónomos, la preparación ante brechas necesita usar la Identidad como plano de control principal para los agentes, mejorar Zero Trust a “Confianza de Agente”, gobernar las barreras de protección, la protección de memoria y la higiene de gobernanza, avanzar hacia fricción preaprobada y contención automatizada, e integrar la Microsegmentación y el aislamiento arquitectónico para la contención, junto con visibilidad en tiempo de ejecución, establecimiento de líneas base de comportamiento y detección de secuencias.

La preparación ante brechas debe pasar de “¿podemos recuperarnos después del cifrado?” a “¿podemos contener a un actor autónomo que opera con credenciales válidas antes de que se propague?”. Los indicadores de preparación ante brechas deben incluir el tiempo para comprender (qué agente, qué acciones, qué datos/sistemas se tocaron y si la actividad continúa) y el tiempo para generar fricción específicamente para los agentes. La plataforma ColorTokens puede descubrir rápidamente dependencias, generar y refinar políticas, y aplicar contención, especialmente cuando se complementa con IA para la automatización de políticas y se vuelve central para mantener el ritmo. En este modelo, priorizamos el aislamiento, la contención y el principio de menor privilegio sobre la prevención perfecta.

La plataforma de microsegmentación de ColorTokens extiende la identidad, la verificación continua, la microsegmentación, la monitorización del comportamiento y la contención preautorizada a la capa de agentes, lo que mantendrá el radio de explosión manejable y preservará la continuidad operativa. La firma defensiva requerida es la misma que exige el ransomware a velocidad de máquina: velocidad extrema de comprensión y fricción, basada en una arquitectura de suposición de brecha en lugar de la esperanza de que los agentes siempre permanezcan alineados.

Gracias por la excelente entrevista, los lectores que deseen obtener más información deberían visitar ColorTokens.