Sundari Parekh: El profesional de seguridad clave entiende qué es crítico en su organización y luego trabajará para protegerlo, sin importar cuál sea la tecnología emergente que lo respalde. Así que, ya sabes, vuelvo a que tenemos que ser habilitadores de negocios como profesionales de seguridad y alejarnos del método del martillo y convertirnos más en el método de habilitación. [ Música ]
Dustin Childs: Bienvenidos a AI Security Brief, donde estamos desglosando amenazas de IA, investigación de vulnerabilidades y las decisiones estratégicas que los líderes de seguridad están tomando ahora mismo. Soy Dustin Childs.
Johnny Hand: Y yo soy Johnny Hand. Hoy nos sentamos con Sundari Parekh, VP de Asesoría de Seguridad de IA en Trend AI. Y en este episodio, exploramos cómo la identidad no humana y la era agéntica están desmantelando las suposiciones sobre las que se construyeron el acceso privilegiado y la gestión de identidades.
Dustin Childs: Sí, Sundari es un gran recurso. Ella lidera la estrategia de seguridad empresarial y los marcos arquitectónicos para Trend AI. Pero también trabajó anteriormente en CDW, donde ayudó a modernizar sus procesos de respuesta a incidentes, y fue VP de gestión de riesgos en Activision, donde ayudó a madurar su postura de seguridad en las unidades de negocio globales.
Johnny Hand: Exactamente, Dustin. Y esta discusión se está volviendo cada vez más importante a medida que la adopción de IA agéntica aumenta en las organizaciones. Así que vamos a sumergirnos. Los equipos de seguridad, como sabes, han pasado años desarrollando sus modelos de madurez para tener en cuenta el acceso privilegiado centrado en humanos, como la gestión de acceso privilegiado. Así que ahora que la adopción de IA está aquí, y las empresas están comenzando a construir agentes con mayor acceso, ¿se ha terminado la práctica de PAM o PIM, y todo el trabajo que hicimos en los últimos 10 años fue en vano?
Sundari Parekh: No, creo que es solo el comienzo. Creo que vamos a -- quiero decir, honestamente, no creo que muchas de las empresas hayan perfeccionado la solución PAM tal como es. No vemos mucha adopción generalizada de PAM en las organizaciones simplemente porque es difícil, ¿verdad? La gente quiere -- los desarrolladores quieren obtener su acceso, su acceso privilegiado, rápidamente. Tenemos un problema para entender quién tiene acceso a qué. Tenemos un problema para entender qué tipo de privilegios tienen. Tenemos un problema de acceso justo a tiempo, ya sabes, realmente emitiéndolo. Hay muchas plataformas que lo gestionan. También son muy caras, como sabemos, como practicantes de seguridad. Y así, ya sabes, no creo que hayamos dominado la práctica de PAM, que ahora solo se va a multiplicar porque si piensas en los agentes, ya sabes, el modelo tradicional vincula tu acceso privilegiado a ti como humano, pero ahora tus agentes también se van a multiplicar y tendrán diferentes niveles de acceso. Así que tienes que pensarlo de una manera diferente hoy que antes de que la IA agéntica entrara en juego.
Johnny Hand: Así que volvamos antes de que la IA agéntica realmente entrara en juego y llévanos a través de lo que se necesitó para que una organización madura realmente hiciera funcionar correctamente el PAM. Quiero decir, tenemos bóvedas de credenciales, acceso justo a tiempo, grabación de sesiones, flujos de trabajo de aprobación. Parece que dijiste que era complicado, pero ¿qué se necesitó realmente para que una empresa madura implementara PAM con éxito?
Sundari Parekh: Sí, creo que son un par de cosas, ¿verdad? Es la -- es la -- es la pieza política que tienes que requerir, tienes que entender qué necesita, ya sabes, acceso privilegiado y cómo vas a, ya sabes, enmarcar eso. Necesitas que el flujo de trabajo real funcione, y luego necesitas la adopción de todo eso. Así que, ya sabes, todos esos tres en concierto realmente lo llevan juntos. Ahora, hay herramientas como las que has mencionado y soluciones disponibles que las empresas estaban implementando, y esas también tienen un costo. Y así tiene que haber presupuesto e implementación. Y como indicamos anteriormente, ya sabes, muchas empresas han implementado muchas cosas relacionadas con la seguridad, pero no las han implementado completamente. Así que tienes una proliferación de herramientas que no está completamente implementada, y luego, ya sabes, situaciones donde estás implementando más herramientas, más identidades que necesitan ser emitidas. Ya sabes, miramos cosas como el inicio de sesión único y la gobernanza de identidades para ayudar a unir todo eso. Pero, ya sabes, es -- es enorme. El método antiguo de que tu gerente apruebe tu acceso se ha ido con el viento. Quiero decir, todos sabemos, ¿verdad? ¿Nuestros gerentes siquiera saben a qué tenemos acceso? Simplemente vamos y lo conseguimos porque es lo que necesitamos hacer. Y luego, ya sabes, cuando lidias con la rotación, depende de un proceso manual. Y así, si no tienes la herramienta original en su lugar para la gobernanza de identidades y luego PAM para apoyar eso, solo se está convirtiendo en un gran problema. Es un gran problema y luego solo se amplifica con los conceptos agénticos que están surgiendo.
Johnny Hand: Sí, siempre solía decir que el insider más peligroso era alguien que tenía un trabajo y una fecha límite y no tenía suficiente acceso para hacerlo. Así que eso es, sí, exactamente de lo que estás hablando.
Sundari Parekh: Sí, es tu prueba de penetración interna en su máxima expresión, ¿verdad, Dustin?
Dustin Childs: Sí, absolutamente. Tomemos un minuto para hablar sobre la identidad no humana y NHI, y ¿qué está cubriendo realmente? Porque, francamente, es un concepto algo nuevo para mí. La mayoría de la gente piensa en cuentas de servicio, y ahí es donde empiezo, pero es más grande que eso, ¿no es así?
Sundari Parekh: Esa es una gran pregunta, Dustin. Creo que lo grande en lo que pensamos no son solo las cuentas de servicio. Es, ya sabes, cuentas interactivas, así que la gente ha usado sus propias identidades en lugar de usar una identidad no humana. Así que, ya sabes, el concepto de cuenta privilegiada es usurpado, y eso es definitivamente algo que puede ser tomado por actores maliciosos. También tienes, ya sabes, estos grandes ecosistemas que tienen aplicaciones conectadas a ellos. Y vimos un par de esos ecosistemas ser violados a través de las aplicaciones porque la capa de API no fue gestionada correctamente, y no tenías la gestión de identidad adecuada a través de eso. Y ahora estamos trayendo IA para tener, ya sabes, cuentas persistentes. Y así, ya sabes, mientras que antes era un punto en el tiempo, ahora son estas cuentas efímeras que existen más allá de lo que estamos gestionando, y luego están operando a velocidades que ni siquiera podemos gestionar. Mientras que cuando teníamos la identidad no humana y el acceso privilegiado, eran las cuentas y velocidades que podíamos manejar de alguna manera.
Dustin Childs: Sí, y ahora estamos mirando la IA agéntica. Ahora estamos mirando algo muy diferente en comparación con la huella de hace solo un par de años, ¿verdad? Quiero decir, a medida que comenzamos a introducir este NHI en todos estos agentes, ¿es esto como un problema que duplica el tamaño, o es como un problema de 200 veces el tamaño, o --
Sundari Parekh: Ni siquiera creo que sea 10x o, ya sabes, 100x, porque vas a tener que pensar en los agentes teniendo acceso que podría persistir más allá de lo que era el acceso del individuo. Puedes pensar en que están operando 24 por 7, mientras que, ya sabes, un acceso humano toma descansos, y donde podemos decir, ya sabes, el horario de trabajo de Johnny es de ocho a cinco, y ahora su -- ya sabes, está accediendo al entorno a las dos de la mañana, lo cual no es normal. Así que todos los comportamientos humanos que habíamos implementado desde una perspectiva de SOC ahora ya no importan porque, ya sabes, estamos operando todo el tiempo las 24 horas. Así que creo que, ya sabes, estamos lidiando con algo que realmente necesita ser pensado de una manera diferente. No creo que podamos pensar en ello como pensábamos en la identidad en nuestro sentido tradicional. Creo que tenemos que pensar en la identidad agéntica de una manera completamente separada, y tenemos que gestionarla y ponerle límites para que sea de una manera que podamos entender lo que los agentes están haciendo. Y los agentes no, ya sabes, crecen su identidad y habilidades a través de su propio aprendizaje, porque ese es el otro problema que tenemos que enfrentar también.
Dustin Childs: Iba a decir, ahora digo que la mayor amenaza interna es un agente de IA agéntica que no tiene las credenciales que necesitan para salir y hacer lo que se les ha dicho que hagan.
Sundari Parekh: Correcto. Y luego simplemente están encontrando la capacidad de hacerlo. Y el ejemplo tradicional es siempre -- ya sabes, no tengo acceso a nuestros datos internos de empleados. No debería. No es mi rol. Pero, ¿puedo construir un agente que luego recoja los datos disponibles, y ahora de repente tengo datos internos de empleados, y me pregunto por qué mis compañeros están siendo pagados, ya sabes, lo que sea que estén ganando en comparación conmigo? Así que se convierte, ya sabes, en una amenaza interna. Se convierte en la capacidad de que ocurran fugas de datos. Ya sabes, eso es un trabajo interno. Podemos tener, ya sabes, modelado de amenazas, y hay, ya sabes, estás muy consciente de que resulta ser externo, ya sabes, violaciones de información que están saliendo de nuestra organización.
Johnny Hand: Así que tengo curiosidad, cuando piensas en lo que sigue, ¿cómo pasamos de solo enfocarnos en la gestión de acceso privilegiado o la gestión de identidades a asegurar el panorama de la IA agéntica? ¿Cuáles son algunas de las grandes cosas que deberíamos estar abordando?
Sundari Parekh: Sí, realmente necesitamos pensar en, ya sabes, agentes y subagentes y cómo se relacionan con el acceso y los límites. Necesitamos entender cuál es la intención del agente para determinar cómo se ve el modelo de acceso, en lugar de mirar cuál debe ser el acceso. Así que creo que casi, como, ya sabes, hemos indicado anteriormente, darle la vuelta, y tener un enfoque no tradicional de pensar en la identidad. Los agentes funcionan continuamente. Ese es un gran problema, así que vamos a tener que pensar en cómo asegurarlo. Y luego, de alguna manera, también vamos a tener que pensar en cómo tener continuamente una solución con un humano en el bucle donde estamos verificando los límites del agente de IA para que no exceda lo que esperamos, y que el agente no esté, ya sabes, haciendo cosas más allá de los límites de lo que lo hemos creado para hacer. Y luego creo que hay un problema general de gobernanza, ¿verdad? ¿Este agente todavía necesita existir mañana, o hemos resuelto lo que está haciendo para que ya no necesite existir? Porque, como sabemos, ya sabes, las terminaciones son un gran problema en lo que respecta a las identidades humanas, y ahora, estamos trayendo una proliferación de identidades que no están vinculadas a un humano. Así que, ¿cómo limitas eso y lo gobiernas cuando no están vinculados a nada que sea manejable?
Johnny Hand: Una de las cosas que veo desde una perspectiva de CISO no es necesariamente lanzar la precaución al viento, sino una emoción por realmente adentrarse en la era agéntica. Pero no sé si estamos teniendo estas conversaciones sobre cómo asegurarnos de que aseguramos al agente. Entonces, ¿cuáles son las conversaciones que estás teniendo con tus compañeros y a nivel de liderazgo?
Sundari Parekh: Esa es una pregunta tan interesante porque creo que tenemos un mandato de gestión para ir nativos de IA, y que estamos detrás de la bola ocho en cómo gestionarlo y gobernarlo. Así que no creo -- creo que hay una, ya sabes, carrera muy rápida para alinearse más con ser nativos de IA, con usarlo en nuestras, ya sabes, nuestras empresas para habilitar el negocio. Y es genial, ¿verdad? Todos lo usamos en nuestro día a día. Pero ahora no estamos -- nosotros como profesionales de seguridad estamos un poco detrás de la bola ocho en pensar en cómo gestionar y asegurar y gobernar estos agentes porque la gente está -- ya sabes, no hemos tocado la IA en la sombra, ¿verdad?, donde están construyendo agentes en, ya sabes, fábricas de IA que no existen dentro de la infraestructura. Así que ese es un problema que mantendremos a un lado. Pero incluso en las fábricas de IA aprobadas que existen, ya sabes, los agentes que están creando y la gestión de ellos no están siendo gestionados. Y creo que tendremos el mismo problema que tenemos con la gobernanza de identidades en que, ya sabes, todos pensamos que es mucho más fácil comenzar la gobernanza de identidades al principio de una empresa, pero la mayoría de las empresas no lo comienzan tan temprano, y luego siempre estás, ya sabes, detrás de la bola ocho para ponerte al día. Y ahí es donde vamos a estar con los agentes de IA y el componente agéntico de la gestión y gobernanza de identidades, porque la gente está creando sus agentes, están creando sus soluciones, y ahora no están apoyando, ya sabes, la gobernanza alrededor de eso.
Johnny Hand: Sabes, una cosa para mí que como practicante de seguridad, siempre miré el, ya sabes, el concepto de, ya sabes, el menor privilegio, ya sabes, ¿cuál es la menor cantidad de privilegio que un usuario necesita para hacer su trabajo? Pero al pasar a la IA agéntica ahora, ¿eso todavía se aplica? Porque las tareas del agente podrían cambiar cada vez en tiempo de ejecución, ¿existe tal concepto de menor privilegio cuando se trata de estos agentes?
Sundari Parekh: No lo creo. Creo que vamos a tener que pensarlo de una manera diferente porque, ya sabes, ciertamente ese es el modelo tradicional de gestión de identidades, es el menor privilegio. Pero ahora estos agentes, ya sabes, ¿pueden -- pueden volverse conscientes de sí mismos y otorgarse su propio, ya sabes, acceso privilegiado y otorgarse más acceso del que necesitan? Quiero decir, podría ser si -- los límites no están en su lugar de la manera que se gestiona. Así que, ¿cómo -- cómo monitoreas continuamente y miras eso? Creo que esa va a ser la próxima especie de innovación que necesita surgir para asegurarse de que los agentes se gestionen de una manera que no estén, ya sabes, descontrolados.
Johnny Hand: ¿Existen marcos o estándares que estén haciendo esto bien hoy, o al menos yendo en la dirección correcta?
Sundari Parekh: Sabes, creo que NIST tiene una comprensión bastante buena y sólida en su marco de IA. Creo que ISO todavía está un poco a un nivel alto. Así que creo que, ya sabes, depende de la organización y de echar un buen vistazo a lo que quieren hacer y cómo quieren lograrlo. Quiero decir, el paso uno es obviamente el uso aceptable de IA y parte del trabajo de políticas, y luego, ya sabes, dar un paso atrás y decir, "¿Cómo y qué estamos haciendo, y cómo lo gestionamos en consecuencia?"
Johnny Hand: Hay mucha discusión sobre controles de acceso conscientes de IA o motores de políticas que entienden qué agente, qué tarea, qué datos, qué ventana de tiempo. ¿Qué tan madura es esa idea hoy, y cómo se vería si se implementara con éxito?
Sundari Parekh: Sabes, creo que ese es el tipo de enfoque que necesitamos. Creo que el modelo tradicional de confianza cero de, ya sabes, asegurarse de que todo necesita ser confiable desde el principio y que todos tienen las credenciales desde el principio. Creo que la evolución de nosotros llegando allí como una organización de seguridad. Sabes, al mismo tiempo, es el mismo equipo que está combatiendo todas las amenazas que están entrando, y eres muy consciente de eso. Y es el mismo equipo que está diciendo, ya sabes, la seguridad no está siendo un habilitador, y están bloqueando que usemos estas soluciones de IA, ya sabes, SaaS. Y así, ya sabes, estos equipos de seguridad están siendo estirados de un lado a otro para tratar de apoyar, ya sabes, este concepto nativo de IA. Y así, ¿cómo construyes esta infraestructura y gobernanza con éxito además del hecho de que tienes todas estas otras prioridades en competencia? Es lo mismo con lo que hemos luchado en toda nuestra carrera como profesionales de seguridad. Así que creo -- creo que la gobernanza va a ser clave. Creo que construir ese modelo, pero dar un paso atrás y simplemente darle la vuelta para que estés abordando la identidad -- la identidad agéntica de la manera correcta.
Johnny Hand: Sí. Iba a tocar algo que mencionaste porque he escuchado esta conversación mucho. Me encantaría obtener tu opinión. A menudo hay esta conversación sobre a medida que avanzamos hacia la IA. La seguridad para la IA es diferente a, digamos, la ciberseguridad, y a menudo -- es como si se hablara de ello como si fueran dos equipos diferentes. Acabas de mencionar el hecho de que son los mismos equipos. ¿Qué es lo que estás viendo, y cómo -- cómo ves que cerremos esta brecha como profesionales de ciberseguridad?
Sundari Parekh: Sí, creo que es el mismo equipo. Creo que si creas un equipo de IA que es de gestión, va a tener las mismas funciones básicas de un equipo de seguridad, ¿verdad? Van a necesitar gobernanza. Van a necesitar operaciones. Van a necesitar, ya sabes, ingeniería. Entonces, ¿por qué crearías un equipo separado para apoyar, ya sabes, similar a lo que hacemos como profesionales de seguridad? Y creo, de nuevo, es la misma brecha de habilidades que enfrentamos cuando introdujimos la nube en el entorno, ¿verdad? Tuvimos un montón de personas que eran profesionales en el lugar que pensaban en la seguridad en relación con los cortafuegos. Si mantenemos a todos fuera, entonces estamos seguros. Y ahora tuvimos que cambiar. Y ahora el cambio es -- y es muy común hablar sobre la identidad como el perímetro. Así que creo que es el mismo cambio. Solo tenemos que mejorar las habilidades de nuestros individuos, ya sabes. Tenemos que asegurarnos de que nuestros profesionales entiendan cómo se ven estos riesgos y cómo pensar en ello, y luego van a avanzar y pensar en el -- el ingeniero de seguridad está capacitado para pensar en estos riesgos y vectores de amenaza, ya sabes, los buenos, ¿verdad? Y así, no importa cuál sea la tecnología emergente que lo respalde. Podrán pivotar y ser capaces de pensar en ello. Creo que tenemos que armarlos con información adicional para decir, "Oye, ya sabes, estas son las cosas en las que tienes que pensar ahora, ya sabes, y tener estas conversaciones saludables," ya sabes, a través de la industria, a través de grupos de pares, a través del liderazgo de pensamiento, y de esa manera, las personas se informan más y pueden pensar en la aplicabilidad en sus propios entornos. Y creo que ese es el futuro -- la próxima tecnología emergente está, ya sabes, a meses, años de distancia, ¿verdad? Así que vamos a tener que pivotar y seguir pensando en cómo vamos a asegurar las organizaciones. Y a tu punto, Johnny, el profesional de seguridad clave entiende qué es crítico en su organización, y luego trabajará para protegerlo, sin importar cuál sea la tecnología emergente que lo respalde. Así que, ya sabes, vuelvo a que tenemos que ser habilitadores de negocios como profesionales de seguridad y alejarnos del método del martillo y convertirnos más en el método de habilitación.
Johnny Hand: Entonces, Sundari, si estás buscando asegurar tu IA dentro de tu organización de seguridad y vas a asociarte con un proveedor, ¿qué deberían buscar los líderes de seguridad en esos proveedores para encontrar la asociación adecuada?
Sundari Parekh: Gran pregunta, Johnny. Creo que la pregunta clave que necesitas tener respondida es, "¿Este proveedor entiende mi ecosistema y mi infraestructura? Sabes, ¿tienes un entorno híbrido? ¿Tienes múltiples fusiones y adquisiciones? ¿Cómo funciona tu identidad? ¿Cuáles son los casos de uso para tu IA agéntica en tu ecosistema?" Creo que la segunda cosa es, "¿En qué vertical operas?" Sabes, algunas necesidades de cumplimiento son más pesadas que otras, y habrá más requisitos emergentes que surjan desde una perspectiva de IA que se aplicarán, especialmente en algunos de los verticales de cumplimiento más pesados que tenemos y apoyamos. Y creo que la tercera cosa es simplemente una apertura para tener un diálogo bidireccional, ¿verdad? Esa relación y asociación de confianza donde realmente te están asesorando de la mejor manera posible porque ese proveedor va a ser clave para que puedas implementar, ya sabes, la gobernanza de IA agéntica y la gobernanza de identidades de una manera que sea significativa para tu organización. Así que al final, si aciertas en esas tres áreas, puedes tener esa relación con el proveedor que realmente apoya lo que estás buscando lograr. Y creo que eso no es necesariamente específico de la IA. Creo que ese es el caso en la mayoría del trabajo de seguridad que he hecho, esa asociación de confianza.
Johnny Hand: Entonces, Sundari, mientras terminamos y en interés del tiempo, quería preguntarte, ¿cuáles son dos o tres cosas en las que nuestra audiencia puede pensar al escuchar esta conversación? ¿Cuáles son las conclusiones clave para nuestros líderes de seguridad?
Sundari Parekh: Esa es una gran pregunta. Gracias, Johnny. Creo que definitivamente hay una oportunidad para asegurarte de que sepas que tu trabajo de PAM no fue un trabajo desechable. Es clave. Es crítico. Volvería y revisaría lo que han implementado desde una perspectiva de PAM, asegurándote de que tus cuentas de servicio no tengan inicio de sesión interactivo, asegurándote de que tengas, ya sabes, límites rotacionales para tu NHI, asegurándote de que entiendas qué tiene NHI y qué no. Creo que la segunda cosa es asegurarte de que tengas una especie de identidad agéntica, entendiendo a qué tienen acceso tus agentes en términos de la tarea, los datos y la duración. Creo que esas son las tres cosas principales. Como dije, la gestión está forzando un tipo de mandato nativo de IA, y así entender a qué tienen acceso esos agentes, y luego construir un modelo de gobernanza para ayudar a apoyarlo para que entiendas quién está construyendo qué y cómo debe ser el humano en el bucle para apoyar el trabajo agéntico. Creo que es la próxima generación y evolución de donde necesitamos estar.
Johnny Hand: Bueno, Sundari, gracias por tener una conversación con nosotros hoy. Realmente apreciamos que compartas tus ideas y experiencia sobre NHI y cómo la IA agéntica está remodelando el acceso privilegiado. No podemos esperar a que te unas a nosotros nuevamente en el futuro en el programa, y con suerte, tendremos algunas actualizaciones sobre cómo ha mejorado NHI.
Sundari Parekh: Eso es genial. Gracias por permitirme unirme a ustedes. [ Música ]
Dustin Childs: Wow. Qué gran conversación. Sabes, Johnny, a menudo grabamos estos finales unos días después de que realmente grabamos la entrevista inicial. Estamos tan emocionados después de esta charla que queríamos simplemente saltar con nuestros pensamientos y reacciones a lo que dijo Sundari.
Johnny Hand: Sí, hubo tantos puntos prácticos de Sundari, y realmente me encanta el hecho de que destacó que nuestra inversión en PAM no fue realmente un desperdicio. Está construido para humanos, y la identidad no humana ya es la mayoría con la IA agéntica, pero tenemos que enfocarnos en lo básico de lo que estamos haciendo. Así que el camino a seguir es extender nuestra gestión de acceso privilegiado y nuestros principios de gestión de identidades, no reemplazarlos. Así que las credenciales efímeras de menor privilegio todavía se aplican. La gestión del ciclo de vida de NHI a escala es importante. Y los controles de acceso conscientes de los agentes son cómo realmente impulsamos la innovación aquí con la IA agéntica. Y me encanta que ella haya hecho eso simple y muy digerible para nosotros, los líderes de seguridad.
Dustin Childs: Sí, no podría estar más de acuerdo. Consulta nuestras notas del programa para conectarte con Sundari y para obtener recursos adicionales relacionados con este episodio.
Johnny Hand: Y eso es todo para otro episodio de AI Security Brief. Queremos agradecerte por unirte a nosotros. Nuestro objetivo es albergar conversaciones que te hagan pensar de manera diferente sobre la seguridad. Y si lo hace, considera suscribirte para que no te pierdas lo que sigue.
Dustin Childs: AI Security Brief es mezclado y producido por Elliott Peltzman, con música original de Amneajynx. Nuestra productora ejecutiva es Jennifer Eiben, con estrategia de contenido por Ma'ayan Plaut y Melanie Gallant. Ayuda adicional en producción por Liz Stokes. Edición de video por Sarelle Joppy y Brigitte Criqui-Wild.
Johnny Hand: Muchas gracias por escuchar, y nos veremos la próxima vez en el AI Security Brief. [ Música ]
