Ali Hayat, director ejecutivo y fundador de Axipro: serie de entrevistas

Ali Hayat es director ejecutivo y fundador de Axipro. Combina experiencia en gestión de riesgos industriales y auditorías ISO con conocimientos de ciberseguridad y consultoría de cumplimiento. En sus primeros trabajos se desenvolvió en entornos industriales de alto riesgo, donde la seguridad, los requisitos normativos y los riesgos operativos eran preocupaciones fundamentales. Más adelante fundó Axipro sin inversión externa, con el objetivo de ayudar a empresas en crecimiento a adoptar controles de seguridad prácticos, prepararse para auditorías y gestionar los riesgos emergentes de la IA.

Axipro es una consultora de ciberseguridad y cumplimiento que ayuda a organizaciones a trabajar con marcos como SOC 2, ISO 27001 e ISO 42001, y a cumplir los requisitos de protección de datos. Su trabajo combina consultoría, automatización del cumplimiento, preparación para auditorías y pruebas de seguridad, con énfasis en la supervisión continua y la intervención humana. En esta entrevista, Hayat habla sobre los flujos de trabajo de cumplimiento impulsados por IA, la IA en la sombra, los riesgos de los agentes autónomos, las diferencias regionales en materia de gobernanza y la brecha entre la certificación y la resiliencia en ciberseguridad.

Su carrera comenzó en entornos industriales de alto riesgo, trabajando en proyectos relacionados con Saudi Aramco, ADNOC y TotalEnergies, donde la seguridad, la gestión de riesgos y el cumplimiento normativo eran fundamentales. ¿Qué lo inspiró a pasar de la seguridad industrial y las auditorías a la ciberseguridad, y qué lo motivó finalmente a fundar Axipro?

Fundé Axipro porque, mientras trabajaba en gestión de calidad, observé una carencia en el mercado. En 2021, me di cuenta de que estaban apareciendo muchas plataformas nuevas de ciberseguridad que ofrecían soluciones semiautomatizadas para el cumplimiento de SOC 2 e ISO 27001.

Quedó claro que, aunque estas plataformas aliviaban buena parte de la carga de cumplimiento de los equipos técnicos, seguían requiriendo configuración y mantenimiento. Además, las startups, que ya tenían dificultades para seguir el ritmo de su crecimiento, estaban dispuestas a pagar a un equipo dirigido por personas para mantenerse al día con el cumplimiento. Así nació Axipro.

Luego, en 2022, se lanzaron las primeras plataformas de IA. Fue otro momento de revelación. Aunque muchas personas del sector temían volverse prescindibles, enseguida me di cuenta de que se trataba de una gran oportunidad. Lo más probable era que la IA multiplicara exponencialmente los ciberataques, y se necesitarían profesionales cualificados para orientar a las startups en sus necesidades de seguridad y cumplimiento como respuesta a esa situación.

Hoy somos socio Elite de Drata y socio preferente de Vanta, y hemos ayudado a más de 300 empresas a cumplir los principales estándares de ciberseguridad e IA.

Construyó Axipro desde cero, sin inversión externa, hasta convertirla en una consultora internacional que presta servicios a cientos de clientes. ¿Cuáles fueron los mayores retos de poner en marcha una empresa de ciberseguridad con recursos propios, y cómo le han ayudado la tecnología y la automatización a ampliar las operaciones sin reducir la calidad del servicio?

Los primeros años fueron extremadamente difíciles. Desde agotar mis ahorros cuando estaba por llegar un bebé hasta ver cómo los primeros modelos de IA se apoderaban del sector, es probable que los primeros 2 a 3 años sean los responsables de las canas que tengo ahora.

Competía con unos cuantos gigantes que tenían una reputación consolidada, oficinas grandes y presupuestos de marketing considerables. Yo estaba en Baréin, tenía experiencia en gestión de calidad y mi presupuesto de marketing era 0.

Mi respuesta fue optar por una estrategia contraria a la habitual: mantuve una estructura ágil y eficiente, y ofrecí precios más bajos que los grandes referentes del sector.

Esto me trajo muchos clientes nuevos, pero nuestros márgenes eran reducidos. Gestionar el flujo de caja se convirtió en todo un arte, y apenas sobrevivimos esos primeros 2 años. Todo cambió cuando firmamos nuestro primer contrato multimarco de cinco cifras. Esto nos dio algo de margen, me permitió contratar a mis primeros empleados a tiempo completo y empezar a pensar en hacer marketing más allá de las alianzas y las recomendaciones.

Axipro se centra en simplificar marcos de cumplimiento complejos mediante la transformación digital y la automatización. ¿Cómo está cambiando la inteligencia artificial los flujos de trabajo tradicionales de cumplimiento y qué actividades cree que ofrecen las mayores oportunidades para mejorar la eficiencia mediante la IA?

La IA ha beneficiado mucho al sector del cumplimiento. Antes, este dependía de grandes cantidades de trabajo repetitivo, como recopilar y clasificar pruebas, responder cuestionarios de seguridad y redactar políticas. Casi todas estas tareas están automatizadas ahora. La IA también ha permitido la supervisión continua y la generación de señales de riesgo en materia de ciberseguridad y cumplimiento.

Hoy, la IA interviene en casi todas las etapas del proceso de cumplimiento. Cuando incorporamos a un nuevo cliente, nuestra IA interna realiza una evaluación automatizada de riesgos basada en el sector, el tamaño y la ubicación de la empresa. Contamos con una amplia base de datos de trabajos anteriores que nos ayuda a detectar automáticamente posibles riesgos y señales de alerta. Probablemente, este sea el mayor valor añadido de la IA.

Los atacantes cibernéticos también se han beneficiado de la IA, y los ataques han aumentado exponencialmente. Se está librando una especie de carrera armamentista entre IA e IA: por un lado, empresas como la nuestra trabajan en la detección automática de amenazas y, por el otro, los hackers automatizan sus ataques.

Aquí es donde entra en juego el criterio humano, que es fundamental en nuestra forma de trabajar: la IA debe encargarse de las tareas repetitivas y mejorar la eficiencia operativa, para que las personas puedan centrarse en evaluar las amenazas y responder a ellas.

Muchas organizaciones siguen abordando el cumplimiento de la ciberseguridad como una tarea periódica centrada en prepararse para las auditorías. ¿Cómo están cambiando este enfoque las herramientas basadas en IA y las plataformas de supervisión continua, como Drata, y qué significa para las empresas la transición hacia el cumplimiento continuo?

Cuando empecé a trabajar en cumplimiento, todo el mundo temía la temporada de auditorías. Las empresas ignoraban sus controles durante casi todo el año y luego pasaban semanas buscando capturas de pantalla y registros antes de la fecha límite de la auditoría. Aprobar significaba que cumplías los requisitos ese día, y poco más.

Drata y plataformas similares cambiaron esta situación. Se conectan a las herramientas de recursos humanos y a la nube de una empresa, y comprueban los controles a diario. Si alguien desactiva la autenticación multifactor (MFA) o un antiguo empleado todavía tiene acceso, se detecta de inmediato y nuestro equipo lo soluciona enseguida.

Para las empresas, el cumplimiento dejó de ser un proyecto anual y pasó a formar parte de las operaciones habituales. Las auditorías son más breves y menos costosas, y los equipos de ventas pueden mostrar a los compradores empresariales el estado de seguridad de la empresa cuando lo soliciten, lo que ayuda a cerrar acuerdos más rápido.

La privacidad de los datos y la ciberseguridad están pasando poco a poco de ser requisitos para trabajar en sectores sensibles a convertirse en un valor añadido para el marketing.

A medida que las organizaciones recurren cada vez más a la IA para generar documentación de seguridad, evaluar riesgos y revisar pruebas de cumplimiento, ¿cómo pueden asegurarse de que estos sistemas produzcan resultados precisos y fiables? ¿En qué etapas de la auditoría y la certificación debe seguir siendo esencial la experiencia humana?

La IA es muy buena redactando documentos que parecen correctos. Una política puede parecer perfecta y, aun así, describir procesos que la empresa no tiene.

La forma en que lo gestionamos es dejar que la IA prepare borradores y señale problemas, pero alguien de nuestro equipo lo revisa todo antes de enviarlo al cliente o al auditor. Además, todo lo que genere la IA debería remitir a las pruebas en las que se basa para que podamos verificarlo.

En las auditorías internas y externas es donde marco un límite claro. Los auditores dan su aprobación con su nombre y su reputación profesional. La IA puede ayudarles a revisar las pruebas más rápido, pero la decisión de certificar o no a una empresa debe seguir correspondiendo a una persona. Si nadie rinde cuentas, el certificado pierde su valor.

Axipro ayuda a las organizaciones a cumplir normas como ISO 27001, SOC 2 e ISO 42001, la norma internacional para los sistemas de gestión de la IA. ¿Qué nuevos retos afrontan las empresas cuando intentan establecer una gobernanza responsable de la IA, y en qué se diferencia la gestión de los riesgos relacionados con la IA del cumplimiento tradicional de la seguridad de la información?

La mayoría de las empresas con las que hablamos ni siquiera saben cuánta IA utilizan. A esto se le llama «IA en la sombra».

El equipo de marketing se ha registrado en una herramienta, los desarrolladores han integrado un modelo en el producto y alguien de finanzas está copiando y pegando hojas de cálculo en un chatbot. Nada de esto se hace con malas intenciones: la gente intenta trabajar más rápido, y las herramientas de IA son baratas y rápidas. Sin embargo, esto puede dejar expuestos los datos de la empresa con facilidad.

El primer paso, y el más importante, de la mayoría de los proyectos de cumplimiento de ISO 42001 y de la IA consiste en hacer un inventario de todo ello. Revisamos los informes de gastos, las suscripciones a programas y los datos de red, y hablamos con cada equipo sobre lo que realmente usa en su trabajo diario. Casi siempre, la lista que obtenemos es más larga de lo esperado.

Prohibir la IA rara vez funciona y resulta contraproducente e ineficiente. Queremos que nuestros clientes puedan aprovechar las mejoras de eficiencia que ofrecen los modelos de IA. Una estrategia mejor consiste en proporcionar al personal herramientas aprobadas que cumplan su cometido, establecer reglas claras sobre qué datos se pueden introducir en ellas y facilitar la solicitud de nuevas herramientas.

La gobernanza de la IA también plantea preguntas que antes no eran propias de la seguridad de la información. Con ISO 27001, la principal preocupación es impedir que las personas equivocadas accedan a tus datos. Con ISO 42001, también hay que saber si la IA se comporta correctamente, si se pueden explicar sus decisiones y quién es responsable cuando se equivoca.

Además, estos riesgos cambian más rápido. Un proveedor puede actualizar un modelo de la noche a la mañana y modificar el comportamiento de tu producto sin que tú hayas cambiado nada.

Las empresas que ya cuentan con ISO 27001 parten con ventaja. Ambas normas utilizan la misma estructura de sistema de gestión, así que buena parte del trabajo preliminar ya está hecho.

Ante la aparición de agentes autónomos de IA capaces de acceder a información confidencial, interactuar con sistemas empresariales y ejecutar procesos de negocio, ¿qué nuevos riesgos de ciberseguridad y cumplimiento deberían prever las organizaciones? ¿Están los marcos de seguridad actuales preparados para abordar estos sistemas, cada vez más autónomos?

Los agentes son el ámbito al que más atención estoy prestando ahora mismo. El software convencional hace exactamente lo que se le indica. Un agente toma sus propias decisiones y puede ser engañado y engañar a otros, como vimos en el incidente de Hugging Face.

El riesgo más común que estamos observando es la inyección de instrucciones. Un atacante puede ocultar instrucciones en un correo electrónico o en un PDF y, cuando el agente lo lee, las sigue utilizando los permisos que le hayas concedido.

El segundo riesgo es que las empresas concedan a los agentes muchos más permisos de los necesarios porque les resulta más fácil. A menudo, los empleados dan acceso a los agentes de IA a través de sus propias cuentas de correo electrónico, en lugar de usar cuentas específicas, lo que dificulta enormemente determinar si un cambio lo hizo una persona o un bot. Además, si los registros son insuficientes, quizá ni siquiera se sepa qué hizo el agente.

ISO 27001 y SOC 2 siguen cubriendo aspectos básicos como el control de acceso y el registro de actividad, e ISO 42001 ayuda en lo relativo a la IA. Sin embargo, ninguno se redactó pensando en agentes autónomos, y espero que pronto haya nuevas directrices.

AIUC-1 se está perfilando como un estándar líder para AIUC-1, y acabamos de empezar a formar a nuestro personal para implementarlo. Hemos mantenido algunas conversaciones con clientes al respecto, pero todavía no tenemos casos de estudio que presentar. Cuenta con un sólido respaldo de grandes empresas de ciberseguridad, por lo que esperamos que este marco se convierta en el estándar líder para los agentes de IA.

Después de haber trabajado en Oriente Medio, Europa y Estados Unidos, ha conocido distintos entornos regulatorios y enfoques de gestión de riesgos. ¿Cómo influyen las diferencias regionales en la gobernanza de la IA y la protección de datos en la forma en que las empresas implementan la IA, y qué dificultades surgen cuando las organizaciones operan en varias jurisdicciones?

Desde que vivo en Baréin y trabajo con clientes de Europa y Estados Unidos, he dejado de esperar que las normas sobre IA converjan. Si acaso, las regiones se están distanciando aún más.

Europa regula mediante leyes. La Ley de IA de la UE clasifica los sistemas de IA según el riesgo y establece qué debe hacer cada categoría, por lo que las empresas europeas suelen actuar con cautela y documentarlo todo. Estados Unidos no tiene una ley federal sobre IA, y el mercado se encarga de la mayor parte de la regulación. Los compradores exigen en sus contratos marcos como el AI RMF de NIST, y la responsabilidad jurídica cubre el resto. China sigue una tercera vía: redacta una nueva norma cada vez que una tecnología plantea un nuevo riesgo.

El Golfo es la región que más me interesa. Arabia Saudí, por ejemplo, todavía no tiene una ley horizontal sobre IA. La mayoría de las normas vinculantes están recogidas en la legislación sobre protección de datos y en la contratación pública, porque el Estado es el mayor comprador de tecnología de la región. Lo que hay que cumplir depende en gran medida de quién sea el cliente. Cuando SDAIA, el regulador saudí, obtuvo la certificación ISO 42001 en 2024, indicó al mercado qué norma exigiría en las licitaciones.

La mayor dificultad surge cuando una empresa opera en más de una de estas regiones. Una empresa de SaaS de Riad que vende en Europa puede cumplir los requisitos técnicos de la UE y, aun así, incumplir en Arabia Saudí las normas sobre registro y transferencia de datos. Ninguna de las partes acepta la documentación de la otra.

Nuestro enfoque consiste en crear una base que pueda aplicarse en distintos lugares: ISO 42001 junto con ISO 27001; después, añadimos los requisitos de cada región. ISO 42001 no garantiza por sí sola el cumplimiento legal en ningún lugar, pero es lo más parecido a un lenguaje común que aceptan todas estas regiones.

A menudo existe una diferencia considerable entre obtener una certificación de seguridad y mantener una verdadera resiliencia en materia de ciberseguridad. ¿Cómo pueden las organizaciones utilizar la IA y la automatización para ir más allá del cumplimiento formal y desarrollar prácticas de seguridad que se adapten continuamente a las amenazas emergentes?

He visto empresas con un informe SOC 2 recién emitido y brechas básicas de seguridad que nadie había detectado. Su objetivo había sido superar la auditoría. Un certificado demuestra que una empresa cumplía una norma en una fecha determinada, pero no demuestra si es capaz de detener un ataque.

Para ir más allá, hay que preguntarse si cada control resistiría las pruebas. La automatización es de gran ayuda. La supervisión continua detecta los problemas cuando aún son pequeños, y los datos actuales sobre amenazas permiten que las evaluaciones de riesgos reflejen lo que hacen los atacantes en ese momento. Después, las pruebas de penetración periódicas y las simulaciones de ataques muestran si los controles funcionan en la práctica.

Obtener la certificación CREST este año fue parte de ese esfuerzo. Queríamos poner a prueba la seguridad de nuestros clientes y documentarla.

De cara a los próximos tres a cinco años, ¿cómo cree que la IA transformará el sector de la consultoría en ciberseguridad y cumplimiento normativo? ¿Cree que los agentes de IA llegarán a realizar de forma autónoma la mayoría de las tareas rutinarias de cumplimiento, y cómo prevé que evolucionará Axipro a medida que maduren estas tecnologías?

Creo que, en un plazo de cinco años, los agentes de IA se encargarán de la mayoría de las tareas rutinarias de cumplimiento, como recopilar pruebas, actualizar políticas y responder cuestionarios de seguridad. Las empresas que ganan dinero facturando horas por ese trabajo sin aportar conocimientos especializados reconocibles tendrán dificultades.

Sin embargo, no creo que los agentes se encarguen del cumplimiento por sí solos. Cuantas más tareas asuma la IA, más importantes serán las decisiones que queden. Alguien tendrá que aprobar las auditorías y afrontar las consecuencias cuando algo salga mal. Además, como los atacantes también utilizan IA, la demanda de profesionales de la defensa con experiencia seguirá creciendo.

En Axipro, creo que dedicaremos menos tiempo a la documentación y más a asesorar a los clientes y poner a prueba su seguridad. Nuestra IA interna asumirá más tareas de ejecución, y nuestro equipo se centrará en las decisiones que requieren criterio humano. En 2022, mucha gente pensaba que la IA volvería redundantes a empresas como la nuestra. Hasta ahora ha ocurrido lo contrario: hemos crecido más de un 10 % mes a mes y, a veces, hemos tenido más trabajo del que podíamos atender; no esperamos que la situación se calme.

Gracias por esta excelente entrevista. Los lectores que deseen obtener más información sobre el cumplimiento normativo en materia de ciberseguridad, la gobernanza de la IA y la creación de prácticas de seguridad continuas pueden visitar Axipro.