Ashley Rose, Fundadora y CEO de Living Security – Serie de Entrevistas

Ashley Rose, Fundadora y CEO de Living Security, es una empresaria serial y innovadora en ciberseguridad enfocada en redefinir cómo las organizaciones abordan el riesgo humano en la seguridad. Desde que fundó la compañía en 2017, ha liderado el desarrollo de un enfoque de ciberseguridad basado en datos y centrado en el comportamiento que va más allá de la formación de conciencia tradicional hacia la reducción de riesgos medibles y el cambio cultural. A partir de su experiencia en liderazgo de productos y emprendimiento, ha ayudado a escalar Living Security hasta convertirla en una plataforma de SaaS de crecimiento rápido utilizada por organizaciones empresariales, mientras también contribuye al ecosistema de ciberseguridad más amplio como mentora, asesora y defensora de iniciativas como Women in CyberSecurity.

Living Security es una empresa de ciberseguridad SaaS que se centra en la Gestión de Riesgos Humanos, ayudando a las organizaciones a identificar, medir y reducir los riesgos asociados con el comportamiento de los empleados. Su plataforma agrega datos de comportamiento, identidad y amenazas para identificar a los usuarios de alto riesgo y brindar capacitación y intervenciones dirigidas en tiempo real diseñadas para prevenir violaciones antes de que ocurran. Al combinar análisis, automatización y métodos de capacitación atractivos como simulaciones y experiencias de juego, la empresa permite a las empresas cambiar de la seguridad de cumplimiento a la reducción de riesgos proactiva y medible en toda su fuerza laboral.

Fundaste Living Security en 2017 después de experiencia previa en la construcción y escalado de un negocio de productos de consumo y trabajar como propietaria de productos. ¿Qué momento o realización específica te llevó a cambiar hacia la ciberseguridad y enfocarte en el riesgo humano, y cómo ha mantenido esa tesis original a medida que la IA se convierte en parte de la fuerza laboral?

En 2017, la mayoría de las organizaciones trataban la formación de conciencia sobre la seguridad como un ejercicio de casilla, y no estaba cambiando el comportamiento. El punto de inflexión fue darse cuenta de que si el comportamiento humano estaba impulsando las violaciones, la respuesta no podía ser más capacitación olvidable. Drew Rose, Co-Fundador de Living Security, estaba ejecutando programas de seguridad él mismo y comenzó a gamificarlos, creando prototipos tempranos que se convirtieron en salas de escape de ciberseguridad. Vimos de primera mano que cuando se hace que la seguridad sea experiencial, las personas se involucran, aprenden y realmente cambian de comportamiento. Eso se convirtió en la base para Living Security.

Como co-fundadores, Drew y yo nos dimos cuenta rápidamente de que el compromiso era solo el punto de partida. A medida que escalamos esas experiencias en una plataforma, comenzamos a ver patrones en cómo la gente se comportaba, dónde luchaban y dónde se concentraba el riesgo. Eso expuso una brecha mucho más grande: las organizaciones no tenían visibilidad real en el riesgo humano ni cómo reducirlo de manera dirigida. Esa idea nos llevó a pionear la Gestión de Riesgos Humanos, que se trata de identificar, medir y reducir el riesgo basado en el comportamiento individual, el acceso y las amenazas, no solo brindar capacitación. A medida que la IA se incorpora a la fuerza laboral, esa tesis original se ha expandido: el desafío ya no es solo el comportamiento humano, sino cómo los humanos y los sistemas de IA operan juntos. Los humanos siguen estando en el centro, ahora gestionando y desplegando agentes de IA, lo que significa que debes extender la visibilidad a esos agentes y vincular ese riesgo a la persona. Eso es lo que impulsa nuestra evolución hacia la Seguridad de la Fuerza Laboral.

Has argumentado que el error humano es una explicación incompleta para las violaciones. ¿Cómo deberían las organizaciones replantear el riesgo de la fuerza laboral hoy en día, cuando tanto el comportamiento humano como las acciones impulsadas por la IA contribuyen a la superficie de ataque?

Enmarcar las violaciones como “error humano” simplifica demasiado el problema y oculta de dónde proviene el riesgo. El riesgo humano no se trata solo de errores, se ve moldeado por una combinación de comportamiento, acceso y exposición a amenazas. Algunos empleados tienen acceso privilegiado a sistemas sensibles, algunos son objetivo con más frecuencia y algunos exhiben comportamientos más riesgosos, por lo que el riesgo de violaciones no se distribuye uniformemente. Para comprender realmente el riesgo, las organizaciones necesitan visibilidad en dónde se cruzan esos factores y dónde existe el riesgo humano.

Como resultado, las organizaciones necesitan ir más allá de los modelos basados en la conciencia y replantear el riesgo de la fuerza laboral como un desafío operacional compartido, que abarca tanto el riesgo humano como las acciones impulsadas por la IA. Esto significa centrarse en la visibilidad continua de cómo se realiza el trabajo, entender dónde se concentra el riesgo y aplicar intervenciones dirigidas y en tiempo real en toda la fuerza laboral híbrida, en lugar de tratar el riesgo como errores aislados de los usuarios.

Las herramientas de IA ahora están redactando código, manejando flujos de trabajo y incluso tomando decisiones. ¿En qué punto los sistemas de IA dejan de ser herramientas y comienzan a ser tratados como parte de la fuerza laboral desde una perspectiva de seguridad?

Los sistemas de IA dejan de ser solo herramientas y comienzan a ser parte de la fuerza laboral en el momento en que toman acción dentro de los entornos empresariales. En ese punto, introducen riesgo de la misma manera que los empleados: a través de las acciones que toman, los permisos con los que operan y los datos que tocan. El cambio para las organizaciones es reconocer que los agentes de IA no son solo capas de productividad, sino participantes operativos, y necesitan ser gobernados, monitoreados y asegurados junto con los usuarios humanos dentro de un modelo de riesgo de la fuerza laboral unificado.

¿Cómo deberían las empresas abordar la gobernanza cuando el riesgo ya no se limita a los empleados, sino que se extiende a los agentes de IA que operan con diferentes niveles de autonomía y acceso?

Las empresas necesitan ir más allá de la gobernanza basada en políticas y tratarla como un proceso continuo y basado en el comportamiento que se aplica tanto a los humanos como a los agentes de IA. La mayoría de las organizaciones ya tienen políticas de IA en lugar, pero la brecha está en la aplicación y la visibilidad, especialmente a medida que los empleados adoptan herramientas más allá de los entornos sancionados y los sistemas de IA operan con diferentes niveles de acceso.

La gobernanza efectiva comienza con la definición clara del uso aceptable basado en el rol y el acceso a los datos, pero también requiere orientación en tiempo real integrada en los flujos de trabajo y medición continua para que las organizaciones puedan ver dónde emerge el riesgo y adaptarse. En última instancia, la gobernanza debe reflejar cómo se realiza el trabajo en la actualidad: en una fuerza laboral híbrida donde tanto los humanos como los sistemas de IA toman decisiones, acceden a datos y introducen riesgo.

Living Security se ha centrado mucho en modelos de seguridad basados en el comportamiento. ¿Cómo se traduce esa filosofía cuando algunos comportamientos ahora provienen de sistemas de IA en lugar de humanos?

El enfoque basado en el comportamiento de Living Security se extiende de manera natural a la IA porque el foco nunca ha sido solo en quién crea el riesgo, sino en cómo se introduce el riesgo a través de las acciones. Ya sea una persona o un sistema de IA, el riesgo se presenta en el comportamiento, en cómo se accede a los datos, en las acciones que se toman y en cómo se ejecutan las decisiones dentro de los flujos de trabajo. A medida que los sistemas de IA asumen más responsabilidad operativa, ese mismo modelo se aplica: las organizaciones necesitan visibilidad en ese comportamiento, junto con la capacidad de guiar e intervenir en tiempo real.

Esto llevó al desarrollo de Livvy, la inteligencia de IA que impulsa la plataforma de Living Security, aplicando inteligencia predictiva y monitoreo continuo en las actividades humanas y de IA. En lugar de tratar a la IA como un desafío separado, permite un enfoque más unificado donde el comportamiento, humano o de máquina, se mide, guía y gestiona continuamente dentro de un modelo de riesgo de la fuerza laboral único.

Muchas organizaciones aún dependen de la capacitación periódica de conciencia sobre la seguridad. ¿Por qué este modelo se desmorona en entornos modernos, y qué se ve como un enfoque verdaderamente adaptativo y basado en datos?

La capacitación periódica de conciencia sobre la seguridad se desmorona porque se construyó para un paisaje de amenazas estático y asume que el riesgo se puede reducir a través de la educación general. En realidad, la mayoría de los incidentes provienen de comportamientos operativos cotidianos, no de la falta de capacitación, y el riesgo a menudo se concentra entre un subconjunto pequeño de usuarios. Un enfoque más adaptativo y basado en datos se centra en identificar continuamente dónde existe realmente el riesgo y brindar orientación dirigida y en tiempo real en el flujo de trabajo, en lugar de tratar de reducir el riesgo a través de la capacitación general.

Tu plataforma enfatiza la cuantificación del riesgo humano utilizando datos del mundo real. ¿Cuáles son las señales más importantes que las organizaciones deberían estar rastreando hoy en día para entender el riesgo de manera dinámica en lugar de retrospectiva?

Las organizaciones deberían centrarse en el comportamiento, la identidad y el acceso, y la exposición a las amenazas, señales que reflejan cómo se crea y dónde se concentra el riesgo en la fuerza laboral. Eso ahora se extiende a la IA también, incluyendo qué herramientas están utilizando los empleados, qué acceso tienen esos sistemas y cómo se configuran o se promueven. Por sí solas, estas señales son útiles, pero el valor real proviene de cómo se unen para contar una historia sobre el riesgo.

Por ejemplo, un CFO que tiene acceso a sistemas financieros, no utiliza autenticación de dos factores, utiliza herramientas de IA conectadas a datos sensibles y está siendo objetivo de campañas de phishing activas, representa un nivel de riesgo muy diferente al de un BDR con acceso limitado y menor exposición. El riesgo no está solo en lo que alguien hace, sino en lo que tiene acceso, los sistemas que actúan en su nombre y con qué frecuencia es objetivo. Cuando puedes ver esos factores juntos, puedes entender dónde es más probable que ocurra una violación y tomar medidas en tiempo real, ya sea alertando al individuo, ajustando los controles o priorizando la intervención para ese grupo.

La IA está creando nuevas vulnerabilidades, pero también se está utilizando de manera defensiva. ¿Dónde ves el equilibrio cambiando, y nos dirigimos hacia un impacto de seguridad neto positivo o neto negativo de la IA?

La IA está haciendo ambas cosas, expandiendo la superficie de ataque mientras también mejora cómo las organizaciones detectan y responden al riesgo. Por un lado, permite flujos de trabajo más complejos y acciones autónomas que pueden introducir nuevas vulnerabilidades; por otro, permite a los equipos de seguridad analizar el comportamiento a escala y actuar más rápidamente. Donde cae el equilibrio depende de cómo se adapten las organizaciones. Actualmente, muchas todavía están atrapadas en la visibilidad y la gobernanza, especialmente a medida que la IA se utiliza de maneras que no han mapeado completamente. A largo plazo, puede ser neto positivo, pero solo si las organizaciones tratan a la IA como parte de la fuerza laboral y aplican el mismo nivel de monitoreo, orientación y control que aplican al riesgo impulsado por humanos.

No todos los empleados o sistemas de IA presentan un riesgo igual. ¿Cómo deberían las organizaciones priorizar la intervención sin crear fricción o sobrevigilancia?

No todos los riesgos son iguales, y tratarlos como si lo fueran es lo que crea fricción. La clave es centrarse en dónde se concentra realmente el riesgo, ya que alrededor del 10% de los usuarios impulsan el 73% del riesgo, y aplicar intervenciones dirigidas allí en lugar de hacerlo de manera generalizada en toda la fuerza laboral. Eso significa utilizar datos de comportamiento, acceso y exposición para priorizar quién y qué necesita atención, y brindar orientación en el flujo de trabajo en lugar de agregar más controles. Hacerlo correctamente reduce la fricción al hacer que el camino seguro sea el más fácil de seguir, en lugar de aumentar la vigilancia en todos.

Si avanzamos cinco años, ¿cómo se verá la seguridad de la fuerza laboral, y qué es lo que la mayoría de las organizaciones todavía subestiman hoy en día?

Si avanzamos cinco años, la seguridad de la fuerza laboral estará definida por cómo bien las organizaciones puedan entender y gestionar el riesgo a través de ambos humanos y agentes de IA que operan juntos. No se tratará de capacitación periódica o controles estáticos, sino de visibilidad continua, evaluación de riesgos en tiempo real y la capacidad de tomar medidas dinámicamente a medida que cambian el comportamiento, el acceso y las amenazas. Los humanos seguirán estando en el centro, pero gestionarán y extenderán su capacidad a través de la IA, lo que significa que la seguridad debe dar cuenta de ambos.

Lo que la mayoría de las organizaciones subestiman es que ya existe una brecha de visibilidad en el riesgo humano hoy en día, y la IA está compounding. Muchos piensan que tienen una estrategia de IA, pero en realidad, carecen de visibilidad en sus personas y las herramientas que esas personas están utilizando. El paso uno es entender el riesgo humano, el comportamiento, el acceso y la exposición a las amenazas. El paso dos es extender esa visibilidad a los agentes de IA que los empleados están utilizando, que son tan poderosos y riesgosos como el acceso y las decisiones que los humanos les dan. Sin esa base, las organizaciones no solo están rezagadas en la IA, sino que operan con puntos ciegos crecientes en toda su fuerza laboral.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Living Security.