Mark Fetches, CTO de Spinnaker Support – Serie de entrevistas

Mark Fetches es el Director de Tecnología para EMEA en Spinnaker Support, donde asesora a organizaciones empresariales sobre estrategia tecnológica, seguridad, nube, inteligencia artificial y iniciativas de transformación a gran escala. Con más de 30 años de experiencia en consultoría y liderazgo en Accenture, Deloitte y PwC, Mark ha trabajado en estrecha colaboración con ejecutivos de alto nivel y consejos de administración para modernizar entornos empresariales complejos y alinear las decisiones tecnológicas con los objetivos comerciales a largo plazo. Con sede en el Reino Unido, se especializa en ayudar a las organizaciones a navegar los desafíos de la tecnología heredada, el riesgo operativo y la transformación digital con orientación práctica y enfocada en el negocio.

Spinnaker Support es un proveedor líder de soporte de software de terceros, servicios administrados y asesoramiento de seguridad para empresas que ejecutan Oracle (ORCL ), SAP, JD Edwards y otras plataformas críticas para la misión.

Ha pasado más de 20 años asesorando a empresas en Accenture, Deloitte y PwC antes de convertirse en CTO en Spinnaker Support. Mirando hacia atrás en ese viaje, ¿cuáles son los conceptos erróneos más grandes que los ejecutivos han tenido consistentemente sobre el riesgo tecnológico, y cómo ha cambiado el surgimiento de la inteligencia artificial esas conversaciones?

Creo que el concepto erróneo más grande siempre ha sido que el riesgo tecnológico se sienta en algún lugar al lado del negocio y se puede gestionar como un problema especializado. Nunca lo he visto de esa manera.

La mayoría de los riesgos graves que he visto provienen de decisiones de liderazgo. Cuánta complejidad se tolera. Cuánto se depende de plataformas antiguas o proveedores clave. Cuánto se presiona para la velocidad. Si realmente se confía en los datos que la empresa está utilizando. La tecnología es donde se manifiestan esas decisiones, pero generalmente no es donde comienzan.

Con el tiempo, he visto a muchos ejecutivos centrarse en cosas obvias como la ciberseguridad, el cumplimiento y la reducción de costos. Esos son problemas reales, por supuesto. Pero los riesgos que tienden a sorprender a las empresas son a menudo más silenciosos que eso. Es la plataforma que todos saben que es frágil pero siguen posponiendo su reemplazo. Es el problema de datos que nadie quite posee. Es la dependencia subcontratada que parece eficiente hasta que se convierte en un cuello de botella. Esas son las cosas que pueden permanecer en el trasfondo durante años y luego volverse muy visibles cuando algo se rompe.

También creo que ha habido un hábito de confundir el cumplimiento con la resiliencia. No son lo mismo. Puedes aprobar una auditoría y aún así estar mucho más expuesto de lo que crees. Una lista de verificación no te dice cómo responderá el negocio bajo presión, cómo podrá recuperarse rápidamente o si los líderes realmente ven el problema con suficiente claridad para actuar.

Lo que ha cambiado la inteligencia artificial es el nivel de atención. Esas conversaciones solían estar más abajo en la organización. Ahora están justo en el centro de las discusiones en la sala de juntas sobre crecimiento, confianza, productividad y marca. Esto es muy bueno. Pero también ha introducido una nueva simplificación, que es la idea de que el modelo de inteligencia artificial utilizado es el riesgo. Generalmente, es más que eso. Las preguntas más difíciles son sobre los datos y la gobernanza alrededor de ellos, las decisiones que influyen y el punto en el que el juicio humano todavía debe importar.

Así que si tuviera que resumirlo, diría que el riesgo tecnológico nunca ha sido realmente sobre la tecnología en sí. Siempre ha sido un reflejo del juicio de liderazgo. La inteligencia artificial solo ha hecho que sea más difícil de ignorar.

Los equipos de seguridad ahora tienen acceso a más inteligencia de vulnerabilidad que nunca antes, sin embargo, las organizaciones siguen luchando con la priorización. ¿Por qué cree que la industria tiene un problema de señal a ruido en lugar de un problema de detección?

Lo diría de manera bastante simple, la industria no se queda corta de datos de vulnerabilidad. Se queda corta de claridad.

La mayoría de los equipos de seguridad ya tienen más que suficientes entradas, salidas de escáner, inteligencia de amenazas, puntuaciones de gravedad, asesoramiento de parches, informes de explotación. El problema no es si pueden encontrar debilidades. Es si pueden separar las pocas que podrían dañar genuinamente al negocio de las muchas que son técnicamente interesantes pero menos consecuentes.

Eso es por lo que lo veo como un problema de señal a ruido. La detección ha mejorado enormemente. Lo que no ha mantenido el ritmo es la capacidad de aplicar contexto. Una vulnerabilidad solo se convierte en una prioridad real cuando se entiende dónde se encuentra, cuánto se expone, cuán crítico es el activo, qué controles compensatorios existen y cuál sería el impacto comercial si se explotara.

En la práctica, muchas organizaciones todavía se basan en las métricas que son más fáciles de producir, como puntuaciones de gravedad, recuentos de parches y informes de antigüedad. Esos son útiles, pero no son lo mismo que el juicio humano. Un problema con una puntuación alta en un sistema interno de poco valor puede importar mucho menos que una debilidad con una calificación más baja que se encuentra en algo que enfrenta al cliente o es crítico para las operaciones.

Así que no creo que esto sea fundamentalmente un problema de visibilidad. Es un problema de priorización empresarial que necesita ser aprendido por los equipos de seguridad. Nos hemos vuelto muy buenos en generar hallazgos. Somos menos consistentes en traducir esos hallazgos en una lista corta de acciones que el liderazgo pueda respaldar con confianza.

Y desde mi perspectiva, esa es la verdadera transición que la industria todavía necesita hacer, un movimiento lejos de medir cuánto podemos detectar hacia decidir qué realmente importa en términos de impacto comercial.

En el nivel de la junta directiva, esto es realmente una cuestión de traducción de riesgos, ¿puede la organización convertir la exposición técnica en un número pequeño de prioridades de acción empresarial claras? Aquellos que pueden hacer eso bien son los que se mueven de ruido a señal.

Muchos proveedores de ciberseguridad afirman que la inteligencia artificial puede priorizar automáticamente las vulnerabilidades y predecir amenazas. ¿Dónde ve el vacío entre la narrativa de marketing y lo que la inteligencia artificial puede entregar realistamente hoy en día en entornos empresariales?

Creo que la forma más fácil de decirlo es que el marketing tiende a prometer un nivel de certeza que los entornos empresariales reales simplemente no permiten.

Los proveedores a menudo describen la inteligencia artificial como si pudiera elevarse por encima del ruido, tomar todo y confiablemente decirle al equipo de seguridad qué es lo más importante y qué es probable que suceda a continuación. Es un lanzamiento convincente porque todos los líderes de seguridad quieren menos desorden y más confianza. Pero una vez que estás dentro de una gran organización, las cosas rara vez son tan limpias como para que esa promesa se cumpla de manera tan directa.

La inteligencia artificial ciertamente puede ayudar. Puede unir patrones, reducir algo del análisis manual y ayudar a los equipos a trabajar a través de volúmenes de información que de otra manera serían difíciles de manejar, y esto tiene un valor real. Pero hay una diferencia entre ayudar a un equipo a moverse más rápido y realmente saber, con alguna precisión confiable, qué debe importar más en ese entorno específico.

Ese es donde aparece el vacío. La mayoría de las empresas están llenas de contexto desigual. Los inventarios de activos son incompletos. La propiedad no siempre es clara. La criticidad comercial cambia. Los controles varían de una parte de la finca a otra. La calidad de los datos es mixta. Si la imagen subyacente es irregular, entonces la salida de la inteligencia artificial también será irregular, sin importar cuán pulida sea la interfaz.

Creo que esto es especialmente cierto cuando los proveedores hablan de predicción. Hay una diferencia significativa entre decir, “este patrón parece arriesgado”, y decir, “esto es lo que sucederá a continuación”. Lo primero puede ser útil. Lo segundo es donde el lenguaje a menudo se adelanta a la realidad.

Así que, para mí, la inteligencia artificial se entiende mejor hoy como un amplificador, no como una autoridad. Puede ayudar a los equipos a clasificar, correlacionar y enfocarse. Lo que no puede hacer consistentemente es reemplazar la necesidad de juicio humano, conocimiento local y una comprensión clara de lo que realmente le importa al negocio.

Ese es realmente el divisor. La narrativa sugiere certeza. La realidad es más modesta y más útil que el hype si se es honesto al respecto. La inteligencia artificial puede mejorar la calidad y la velocidad del análisis, pero no elimina la necesidad de juicio humano.

Spinnaker Support trabaja extensivamente con despliegues de Oracle, SAP y JD Edwards. ¿Qué hace que los entornos de ERP altamente personalizados sean particularmente difíciles para las herramientas de seguridad impulsadas por inteligencia artificial para comprender y evaluar con precisión?

Lo que hace que estos entornos sean difíciles es que, después de suficientes años, dejan de comportarse como software estándar en el que la inteligencia artificial ha sido entrenada y comienzan a comportarse más como un registro de cómo realmente funciona el negocio.

He visto que esto es especialmente cierto en fincas de Oracle, SAP y JD Edwards altamente personalizadas. En papel, puedes seguir mirando una plataforma conocida. En la realidad, a menudo estás mirando años de adaptaciones locales, código personalizado, integraciones heredadas, estructuras de permisos, lógica de informes y soluciones construidas para razones operativas muy específicas. Para una herramienta de seguridad impulsada por inteligencia artificial, creo que esto puede ser difícil de leer con alguna confianza real.

Muchas de estas herramientas funcionan mejor cuando el entorno es relativamente consistente y los patrones son más fáciles de comparar. Los entornos de ERP altamente personalizados rara vez son así. La lógica está más enredada. La documentación a menudo es incompleta. La propiedad puede estar dispersa entre equipos. Lo que parece inusual puede ser perfectamente intencional y lo que parece rutinario puede resultar ser algo genuinamente crítico en finanzas, cadena de suministro u operaciones.

Este es donde se encuentra la dificultad. La herramienta no solo se le pide que detecte una vulnerabilidad o una mala configuración. Se le pide que comprenda qué significa ese problema en el contexto de un proceso comercial, una dependencia personalizada o una estructura de control que puede no existir en ningún otro lugar.

Y eso es un problema mucho más difícil de lo que el marketing generalmente implica. La inteligencia artificial puede ayudar a destacar patrones, reducir algo del análisis manual y ayudar a los equipos a trabajar a través de volúmenes de información que de otra manera serían difíciles de manejar, y esto tiene un valor real. Pero si la finca solo está parcialmente documentada, moldeada por años de excepciones y profundamente unida a la forma en que opera la empresa, hay un límite en la precisión con la que un sistema automatizado puede interpretarlo por sí solo.

Así que creo que el problema real no es si la inteligencia artificial puede ver algo. Es si puede entender suficiente contexto circundante para juzgarlo adecuadamente. En entornos de ERP altamente personalizados, eso es donde la experiencia humana marca la diferencia.

Una de sus argumentos clave es que la experiencia humana no es un cuello de botella para eliminar, sino una parte esencial del proceso de seguridad. ¿Puede compartir ejemplos donde el juicio humano identificó riesgos que un motor de priorización impulsado por inteligencia artificial probablemente habría pasado por alto?

Sí, absolutamente. Y para mí, esto es donde los límites de la priorización automatizada se vuelven muy obvios.

Algunos riesgos solo tienen sentido una vez que conoces el entorno lo suficientemente bien como para entender qué hay detrás de los datos. Un sistema puede no parecer especialmente importante desde afuera. La puntuación de vulnerabilidad puede ser poco notable. Pero alguien que conoce la finca puede saber que apoya la nómina, el informe de fin de trimestre, una integración frágil o un proceso comercial que la empresa simplemente no puede permitirse interrumpir. La señal en los datos puede parecer ordinaria. La consecuencia real no lo es.

También he visto casos en los que la imagen de control parece mejor en teoría que en la práctica. Un motor de inteligencia artificial puede asumir que un riesgo se reduce porque la segmentación está en su lugar, o porque el acceso está restringido, o porque existe un control de monitoreo. Pero una persona cercana al entorno puede saber que un control se aplica de manera inconsistente, otro se salta cuando las operaciones están bajo presión y un tercero ha dejado de ser confiable silenciosamente. Ese tipo de brecha no siempre se muestra limpiamente en el sistema de registro.

Lo mismo sucede en entornos personalizados. Un script, un flujo de trabajo o un modelo de permisos pueden parecer rutinarios si se escanea para patrones a gran escala. Para alguien que entiende cómo se ha adaptado ese sistema con el tiempo, el mismo detalle puede destacarse inmediatamente como una fuente real de exposición.

El tiempo también importa. Una vulnerabilidad puede parecer manejable en aislamiento, luego se vuelve mucho más grave porque el negocio está en medio de una migración, una adquisición, un plazo regulatorio o un período operativo pico. Ese tipo de cambio no siempre es fácil de interpretar para un motor automatizado con el peso correcto.

Así que cuando hablo de experiencia humana, no estoy hablando de instinto en algún sentido vago. Estoy hablando de conocimiento local. Memoria. Juicio. La capacidad de ver cuándo un pequeño problema técnico está unido a algo mucho más consecuente.

Eso es por lo que no veo la experiencia humana como un cuello de botella para eliminar. La veo como la parte que evita la confianza falsa. La inteligencia artificial puede ayudar a clasificar y reducir los datos. Pero los riesgos que más importan a menudo son aquellos que solo se vuelven obvios cuando alguien entiende cómo funciona realmente el negocio.

¿Cuáles son los riesgos más grandes de automatizar en exceso la gestión de vulnerabilidades y la evaluación de exposición a medida que las organizaciones se apresuran a adoptar la inteligencia artificial en operaciones de seguridad?

El riesgo más grande que veo es que creas la apariencia de control sin la realidad de realmente entender que estás en control.

La gestión de vulnerabilidades es una de esas áreas donde la automatización es obviamente valiosa. A escala empresarial, necesitas automatización para encontrar problemas, correlacionar datos, priorizar en volumen y mantener todo el proceso en marcha. Ninguna organización seria puede gestionar eso manualmente.

Pero el peligro viene cuando la automatización comienza a impulsar el programa sin suficiente desafío humano alrededor de ella.

El primer riesgo obvio es la priorización falsa. Si confías demasiado en la puntuación automatizada, puedes terminar tratando la gravedad técnica como si fuera lo mismo que el riesgo comercial. No lo es. Una vulnerabilidad crítica en un activo aislado o con controles compensatorios puede importar menos en la práctica que un problema con una calificación más baja que se encuentra en un sistema altamente expuesto vinculado a un proceso comercial crítico.

El segundo riesgo que veo es la pérdida de contexto. Los programas automatizados solo son tan buenos como los datos de activos, datos de propiedad, mapeo de dependencias y manejo de excepciones detrás de ellos. Si esa información es incompleta, y en la mayoría de las empresas generalmente lo es, entonces la automatización puede volverse muy eficiente para mover decisiones defectuosas a través del sistema.

El tercer riesgo es conductual. Una vez que las personas comienzan a confiar demasiado en el flujo de trabajo, dejan de interrogar sus salidas. Los equipos asumen que lo que llega a la parte superior debe ser lo que más importa y lo que no llega a la parte superior puede esperar. Eso es comprensible, pero creo que es peligroso. Porque cambia la cultura de la gestión de riesgos informada a la aceptación pasiva del ordenamiento liderado por la máquina.

Y luego hay un riesgo estratégico más amplio, que es que las organizaciones comienzan a confundir el rendimiento con la mejora de la seguridad. Cerrar un gran volumen de vulnerabilidades parece bueno operativamente. Crea paneles, métricas y una sensación de impulso. Pero si no estás reduciendo las exposiciones que más importan al negocio, puedes simplemente volverte más rápido en parecer ocupado.

Así que mi punto de vista es que la automatización debe estar haciendo el trabajo pesado. Pero debe apoyar el juicio, no reemplazarlo. De lo contrario, terminas con un proceso que es eficiente, medible y escalable, pero no necesariamente más seguro.

Ha trabajado extensamente en transformación de TI y arquitectura empresarial. ¿Cómo deben equilibrar los CISO la necesidad de parchear vulnerabilidades rápidamente frente a los riesgos operativos de interrumpir sistemas comerciales críticos?

Pregunta excelente, ya que esta es una de esas áreas donde la respuesta fácil generalmente es la incorrecta.

Por supuesto, quieres parchear rápidamente. Ningún CISO va a argumentar a favor de sentarse en vulnerabilidades conocidas más tiempo del necesario. Pero en una empresa real, especialmente una que ejecuta sistemas críticos, la velocidad por sí sola no es el objetivo. Si parchas mal y tomas algo en lo que la empresa confía, has resuelto un problema creando otro.

Así que el equilibrio es realmente sobre entender qué riesgos están vivos, qué son teóricos y qué sistemas pueden tolerar cambios sin causar problemas en otro lugar.

Algunas vulnerabilidades genuinamente necesitan acción urgente. Si algo está expuesto, explotable y se encuentra en una parte de la finca que importa, entonces te mueves. Pero la mayoría de las veces, la decisión es menos absoluta de lo que la gente hace que suene. Puedes tener otros controles alrededor del problema. El sistema afectado puede estar contenido estrechamente. El riesgo operativo de hacer el cambio hoy puede ser mayor que mantener la posición durante un corto período y hacerlo correctamente.

Eso es por lo que los mejores CISO tienden a ser aquellos que pueden tener una conversación adulta con el negocio. No solo, “Esto es crítico, pátenlo ahora”, sino “Aquí está la exposición, aquí está lo que podría suceder, aquí está lo que podría salir mal si intervenimos mal y aquí está la forma más segura de hacerlo”. Esa es una forma más creíble de liderazgo que tratar cada vulnerabilidad como si existiera en aislamiento.

También creo que estos momentos exponen algo más profundo sobre la finca en sí. Si una organización está constantemente temerosa de parchear sistemas centrales porque cualquier cambio se siente peligroso, eso generalmente te dice que el entorno se ha vuelto frágil. Demasiada dependencia oculta, no suficiente confianza en las pruebas, demasiada poca resiliencia en la arquitectura. En esa situación, el debate sobre el parche es realmente un síntoma de un problema más antiguo.

Así que sí, parchea rápidamente donde el riesgo es real y el camino es claro. Pero donde el entorno es sensible, el trabajo es reducir el riesgo sin crear un desastre mayor. Este es el equilibrio.

Y para ser honesto, la mayoría de los CISO experimentados ya saben esto. El desafío es aplicar su decisión bajo presión, cuando el reloj está tickeando y nadie quiere poseer las consecuencias de equivocarse.

El enfoque de Spinnaker combina análisis impulsado por inteligencia artificial con validación de expertos. ¿Qué tareas específicas debe manejar la inteligencia artificial, y qué decisiones deben permanecer firmemente en manos de profesionales de seguridad experimentados?

Creo que la línea divisoria es realmente bastante sencilla.

La inteligencia artificial debe estar haciendo el trabajo que se beneficia de la velocidad, la escala y la consistencia. Pasar por grandes cantidades de datos, unir señales, detectar patrones, señalar cosas que parecen fuera de lugar, ayudar a las personas a reducir el campo, este es exactamente el tipo de trabajo para el que las máquinas son útiles. Ahorra tiempo, reduce el esfuerzo manual y da a los equipos de seguridad un mejor punto de partida.

También se adapta bien a las partes repetitivas del trabajo. El primer nivel de triaje. Resumiendo hallazgos. Conectando problemas similares. Seguimiento de excepciones repetidas. Señalando dónde ciertos tipos de debilidades de control siguen apareciendo. Ninguno de esos reemplaza la experiencia, pero hace un mejor uso de ella.

Donde sería mucho más cuidadoso es cuando se pasa del análisis a la toma de decisiones.

Las llamadas importantes todavía deben estar con profesionales de seguridad experimentados. ¿Es esto realmente un riesgo serio en este negocio o solo parece serio en el abstracto? ¿Es este un fracaso de control genuino o es una excepción desordenada pero entendida? Si arreglamos esto ahora, ¿qué más podríamos interrumpir? Si esperamos, ¿qué es lo que realmente estamos aceptando? Esas son llamadas de juicio.

Y eso es antes de que even siquiera lleguemos al lado humano de las cosas. ¿Por qué esto sigue sucediendo? ¿Está la organización llevando conscientemente este riesgo o simplemente ha dejado de notarlo? ¿Es este un problema aislado o un signo de algo cultural subyacente? Ese tipo de interpretación todavía importa mucho.

Así que dejaría que la inteligencia artificial hiciera la clasificación, el agrupamiento, el primer pase, el trabajo pesado. Pero no dejaría que decidiera qué es lo que el negocio debe preocuparse más o qué acción debe tomarse sin revisión humana.

Porque una vez que una decisión tiene consecuencias, ya sea operativamente, financieramente o en términos de reputación, ya no solo estás procesando información. Estás tomando una decisión.

Y en seguridad, creo que eso todavía debe ser una persona con inteligencia real.

Muchas organizaciones todavía se centran mucho en los recuentos de vulnerabilidades y las puntuaciones de gravedad. ¿Por qué cree que la gestión real de la exposición requiere una visión más amplia que incluya controles compensatorios, restricciones de acceso, arquitectura del sistema y contexto empresarial?

Requiere una visión más amplia porque un número por sí solo no te dice mucho sobre cuánto problemas realmente tienes.

Las puntuaciones de gravedad tienen su lugar. Los recuentos de vulnerabilidades tienen su lugar. Ayudan a dimensionar el problema. Ayudan a organizar la lista de pendientes. Pero no son lo mismo que entender la exposición, y eso es donde creo que muchas organizaciones todavía se equivocan.

Una vulnerabilidad puede parecer grave en teoría y aún así estar relativamente bien contenida en la práctica. Si el acceso al sistema está estrictamente limitado, si hay otros controles compensatorios alrededor de él, si se encuentra en una parte del entorno que es difícil de alcanzar a través de restricciones de acceso, entonces la probabilidad real de que ese problema cause daño puede ser muy diferente a lo que la puntuación cruda sugiere.

Y luego tienes el caso opuesto, que a menudo es el más interesante. Algo más abajo en la lista puede resultar ser mucho más importante porque de donde se sienta. Toca un servicio crítico. Es más fácil de alcanzar. Se sienta en una parte de la arquitectura del sistema donde una compromiso te da espacio para moverte. Eso es el tipo de cosa que una clasificación de gravedad simple no explicará bien.

Así que cuando la gente habla de gestión de exposición, para mí debe significar más que simplemente clasificar vulnerabilidades por puntuación y trabajar hacia abajo.

Necesitas saber qué hay alrededor del problema. ¿Qué controles ya están ahí? ¿Quién puede llegar a él? ¿Está el sistema aislado o conectado a algo más importante? ¿Y si se explota, qué sucede realmente a continuación?

De lo contrario, terminas gestionando la imagen del riesgo en lugar del riesgo en sí. El panel mejora. Los números de boletos se mueven. Los informes lucen mejor. Pero no necesariamente eres más seguro.

Creo que parte del motivo por el que esto sucede es que los números son reconfortantes. Parecen objetivos. Dan a las personas algo limpio para presentar. Crean la sensación de que el problema se ha reducido a algo medible y bajo control. Pero la exposición real generalmente es mucho más desordenada que eso.

Se encuentra en la superposición entre la debilidad, los controles alrededor de ella, la arquitectura en la que vive y la consecuencia comercial si algo sale mal.

Así que sí, usa las puntuaciones. Usa los recuentos. Por supuesto. Pero no confundas eso con comprensión.

Si quieres saber dónde está la exposición real, creo que debes mirar todo el entorno, no solo un número adjunto a él.

Los entornos de software empresarial están entrando en un período de cambio significativo a medida que las organizaciones modernizan los sistemas heredados al mismo tiempo que adoptan tecnologías de inteligencia artificial. Mirando hacia adelante en los próximos tres a cinco años, ¿cómo ve la relación entre la inteligencia artificial, la ciberseguridad y las plataformas empresariales evolucionando, y qué deben prepararse los líderes tecnológicos hoy en día?

Creo que los próximos tres a cinco años van a ser bastante definitorios.

Principalmente porque las empresas están tratando de modernizar antiguos patrimonios empresariales al mismo tiempo que están introduciendo la inteligencia artificial en la mezcla, y ninguna de esas cosas es fácil por sí sola. Hacer ambas cosas al mismo tiempo aumenta las apuestas.

Lo que cambia primero, creo, es que la inteligencia artificial deja de ser un experimento lateral y comienza a formar parte de la forma en que el negocio realmente funciona. Aparece en flujos de trabajo, soporte, desarrollo, operaciones de seguridad y administración de plataformas, no como una novedad, sino como parte de la plomería.

Y una vez que sucede eso, la conversación de ciberseguridad se vuelve más seria. Ya no solo estás preguntando si la herramienta es útil. Estás preguntando qué puede alcanzar, qué puede influir, qué datos está alimentando y cuáles son las consecuencias cuando algo sale mal.

También creo que vamos a ver que la seguridad y la arquitectura se vuelven más difíciles de separar. En muchos entornos más antiguos, la cosa que parece un problema de seguridad es a menudo realmente un problema de arquitectura con un distintivo de seguridad. Un diseño de identidad débil, demasiadas dependencias, propiedad poco clara, integraciones frágiles, poca visibilidad, esas son las cosas que tienden a estar debajo del problema visible. La inteligencia artificial no suavizará eso. De hecho, puede exponer el desorden más rápido.

Así que las organizaciones que manejan esto bien, creo, serán aquellas que dejen de tratar la adopción de inteligencia artificial, la ciberseguridad y la modernización de la plataforma como tres flujos de trabajo separados. Están cada vez más en la misma conversación.

Si estuviera asesorando a líderes tecnológicos ahora, comenzaría con la visibilidad. Necesitas un control mucho más claro sobre lo que tienes, cómo se conecta, quién tiene acceso a qué, dónde se mueven los datos sensibles y dónde se encuentran los puntos de control reales. Sin eso, agregar inteligencia artificial encima solo aumenta la cantidad de cosas que no entiendes completamente.

La siguiente cosa es la gobernanza, pero no el tipo de actuación. Decisiones reales. ¿Dónde se puede usar la inteligencia artificial? ¿Dónde debe permanecer la revisión humana? ¿Cómo se verifican las salidas? ¿Qué datos están fuera de límites? ¿Quién posee las consecuencias si el sistema conduce a la acción incorrecta? Esas preguntas necesitan ser respondidas ahora, no más tarde.

Y honestamente, la simplificación importa más de lo que mucha gente quiere admitir. Cuanto más enredada sea la finca, más difícil es de asegurar, más difícil es de modernizar y más difícil es de usar la inteligencia artificial sin crear incertidumbre fresca.

Y luego está el lado de las personas. Las mejores organizaciones serán aquellas que sepan cómo combinar la automatización con el juicio. No consumirán la salida de la inteligencia artificial solo porque es rápida o pulida. La desafiarán. La probarán. Se opondrán a ella cuando sea necesario.

Así que sí, en los próximos años, creo que la inteligencia artificial, la ciberseguridad y las plataformas empresariales se volverán mucho más estrechamente vinculadas.

Y creo que los líderes que se preparen bien serán aquellos que entiendan que esto no es solo un cambio tecnológico. Es un cambio en la forma en que se toman las decisiones, cómo se ejerce el control y cuán resiliente es realmente la organización.

Gracias por la excelente entrevista, los lectores que deseen aprender más deben visitar Spinnaker Support.