Sachin Jain: Lo que la gente no entiende es que sienten que implementan algo, definen ciertas políticas y controles, y ya han terminado. Pero necesitan mejorar continuamente.
Dustin Childs: Sí.
Sachin Jain: Necesitan observar constantemente qué otras tecnologías han implementado, cómo están evolucionando, porque la IA está cambiando muy rápido.
Dustin Childs: Correcto.
Sachin Jain: No puedes desplegar un control hoy y luego decir, oh, hemos terminado. [ Música ]
Johnny Hand: Bienvenidos a "The AI Security Brief", donde desglosamos las amenazas emergentes de la IA, la investigación de vulnerabilidades y las decisiones estratégicas que los líderes de seguridad están tomando ahora mismo. Soy Johnny Hand.
Dustin Childs: Y yo soy Dustin Childs. Así que, en 1979, un manual de IBM afirmaba que una computadora nunca puede ser responsable, y por lo tanto, una computadora nunca puede tomar una decisión de gestión. Y esa era una posición razonable en ese momento. Pero los agentes de IA están tomando decisiones de gestión ahora mismo. Entonces, la pregunta es, ¿quién es realmente responsable cuando algo sale mal?
Johnny Hand: Sí, y eso es exactamente en lo que nos adentramos hoy. Nuestro invitado es Sachin Jain. Es el Vicepresidente Senior de Tecnología en Eventus. Tiene más de dos décadas de experiencia abarcando tanto el rol de CIO global como el rol de CISO. Y Sachin tiene una gran perspectiva sobre la responsabilidad, y va mucho más allá de su escritorio de CISO.
Dustin Childs: Sí, Sachin también ofrece consejos prácticos sobre uno de los mayores desafíos que enfrentan los líderes de seguridad: aprender a hablar el lenguaje de la junta directiva. Así que si alguna vez has tenido dificultades para traducir el riesgo técnico en aprobación de presupuesto, esta conversación va a resonar. Vamos a sumergirnos. Bienvenidos a "The AI Security Brief", el podcast de seguridad para líderes que quieren anticipar lo que viene. Estamos emocionados de tenerlos con nosotros.
Sachin Jain: Sí, un placer.
Johnny Hand: Entonces, Sachin, tengo que preguntarte esto, porque vivimos en un mundo tecnológico donde los líderes de seguridad cambian cada pocos años, si es que llegan a durar unos años. Y tú has demostrado lo que realmente consideraría, como, una permanencia extrema en tu rol anterior. Estuviste allí por más de 20 años, no solo como CIO global, sino también en un rol de liderazgo de CISO en seguridad. Entonces, ¿cómo mantuviste fresca tu estrategia de seguridad y evitaste esa trampa de la complacencia y, como, el letargo?
Sachin Jain: Sobre la permanencia, creo que ha sido un largo viaje. Y la forma en que me mantuvo en marcha, estaba tratando de hacer todo fresco. Estaba tratando de hacer muchas cosas nuevas. Estaba tratando de hacer cosas antes de que pudieran llegar al mercado. Y podrías decir que probablemente fui más experimental que probablemente más un practicante. Y eso es lo que me mantuvo en marcha. Y mi rol tecnológico realmente me ayudó mucho a mirar el rol de seguridad, que eventualmente complementó. Porque pude traducir el valor o resultado tecnológico en la seguridad, y eso fue algo que pude traducir de vuelta al negocio. Y eso me mantuvo en marcha por bastante tiempo, porque había, como, mucho sucediendo. Seguí haciendo muchas cosas, ya fuera la nube, la virtualización y la adopción de varias aplicaciones de software como servicio. Y luego, además de eso, la seguridad, que estaba realmente creciendo y una especie de evolución, podría decir, lo que he presenciado en términos de seguridad básica, como la basada en firewall o la basada en endpoint, a ahora una ciberseguridad muy completa, que va mucho más allá del usuario final y el firewall.
Dustin Childs: Sí, así que sé que cuando se trata de seguridad de IA, una de las cosas de las que queremos hablar hoy especialmente es la responsabilidad. Así que debes haber tenido muchas instancias de responsabilidad a lo largo de tu carrera. ¿Cómo llega la responsabilidad para ti al ámbito de la IA?
Sachin Jain: Ahí es donde, esa es una pregunta interesante. Y la seguridad es algo que siempre he mantenido, incluso en mi rol de CISO. No es solo una persona o un equipo quien es responsable de la seguridad. Y el CISO obviamente puede poner esos límites o puede crear un marco, pero tiene que ser una responsabilidad compartida. Tiene que practicarse conjuntamente, no solo independientemente como un equipo. Y lo que sea que protejamos, ya sea datos o máquinas o, ya sabes, IA, todo está siendo utilizado por el negocio. Y los usuarios finales, por ejemplo, la IA, son los que traen la tecnología a la empresa. Son los que están ganando en eficiencia. Son los que están utilizando el resultado para su trabajo y para generar ingresos. Y nosotros como CISO, no podemos controlar el resultado solos, porque no sabemos qué se está utilizando hoy y qué vendrá a la empresa mañana. Esta tecnología está cambiando tan rápido. Incluso si trato de poner límites en tal vez 10 aplicaciones de IA hoy, la IA está en todas partes. Hablas de cualquier software como servicio o cualquier, incluso por ejemplo, aplicación CRM o tal vez herramientas ITSM, todo tiene IA. No sabes dónde se está exponiendo tu información. A menos que tengas a todos trabajando juntos.
Dustin Childs: De acuerdo.
Sachin Jain: Creando una especie de consejo de gobierno, entonces probablemente puedas liderar el camino, pero tiene que practicarse conjuntamente.
Johnny Hand: Noté que dijiste algo hace unos minutos cuando hablabas de ese viaje. Y, como, dijiste que estos líderes, especialmente los líderes tecnológicos, necesitan poder hablar el lenguaje del negocio y entender eso. Y sé que incluso hoy, aunque tenemos roles de liderazgo más integrados con los CISOs y su acceso a las juntas y esas cosas, sigue siendo un gran desafío que tenemos con las organizaciones. Tenemos liderazgos de CISO altamente técnicos, y luego tenemos más enfocados en el negocio. ¿Dónde en tu carrera aprendiste a navegar eso, y tal vez tienes un par de consejos al respecto? Porque usar ese sombrero de CIO y el sombrero de CISO es algo único. Así que solo tengo curiosidad de cómo obtuviste esa perspectiva, y tal vez danos algunos consejos sobre cómo construir esa relación comercial.
Sachin Jain: Absolutamente, y es tan gracioso. Cuando comencé a tener tiempo cara a cara con la junta, todas mis presentaciones solían tener muchos términos técnicos. Y estaba tan fascinado por eso. Esperaba que todos entendieran cuánto trabajo estoy haciendo y en qué tipo de mundo estoy viviendo.
Dustin Childs: Sí.
Sachin Jain: Pero estaba tan equivocado. Y en mis primeras reuniones, estaba haciendo, como, una presentación de 30, 30, 40 diapositivas. Y luego me detenían en, como, una o dos diapositivas. Y decían, oh, solo concéntrate en estas dos diapositivas. Y me di cuenta de que no están dispuestos a ver más de un par de diapositivas.
Dustin Childs: Correcto.
Sachin Jain: Incluso si hago seis diapositivas, me detendrán en una o dos diapositivas y seguirán haciendo preguntas, porque tienen tantas preguntas y tienen muy poco tiempo cara a cara contigo. Pueden estar hablando contigo durante algunas de las reuniones de revisión de otra manera. Pero cuando estás en esa sala de juntas y cuando estás liderando la discusión y también está llevando hacia algunas de las decisiones, entonces necesitas estar en el lugar. Necesitas aprender, primero que nada, el lenguaje que tu junta entiende porque todos son diferentes.
Dustin Childs: Correcto.
Sachin Jain: Algunas personas saben mucho sobre tecnología. Entienden el valor que la tecnología puede aportar. Algunas personas no lo entenderán. Y esa es la razón, la única cosa que pude descubrir que los CISOs o CIOs, no podían obtener la aprobación del presupuesto porque no podían traducir el resultado en el lenguaje del negocio.
Dustin Childs: Correcto. Así que hemos hablado de cómo hablas con la junta. Quiero hablar sobre cómo hablas con tus propias organizaciones o las organizaciones con las que tratas, y qué pasos pueden tomar las organizaciones para aclarar roles y responsabilidades para el riesgo de IA. Nuevamente, volviendo a este pensamiento de responsabilidad. Quiero decir, entonces ejercicios de mesa, planificación de escenarios de la vida real, ¿qué haces para reunir a la organización y entender de dónde proviene esa responsabilidad en la IA?
Sachin Jain: Sí, no, ese es un punto interesante. Y creo que, como dije, la responsabilidad no puede recaer solo en una función o una persona.
Dustin Childs: Correcto.
Sachin Jain: Y cuando intentas poner el marco de gobernanza alrededor de eso, realmente necesitas entender cuáles son esos, puedo definir tal vez más como pilares o tal vez puntos clave en ese marco. Uno es muy importante es la visibilidad. Muchas organizaciones no tienen la visibilidad hasta hoy. No saben qué se está utilizando. Incluso si intentan crear un inventario hoy de digamos 10 herramientas, no saben mañana tendrán otras 10 herramientas y cómo descubres eso?
Dustin Childs: Correcto.
Sachin Jain: Y eso es, la parte de visibilidad es muy, muy importante, visibilidad descubrimiento. Luego, el segundo es cualquier límite que estés tratando de poner, cualquier tal vez políticas, control de acceso, necesitas identificar eso. ¿Cómo haces eso sin realmente convertirte en una barrera, sin realmente crear un obstáculo? El tercero es ese consejo de gobernanza. ¿Cómo le dices a la gente que, cómo básicamente creas la métrica de responsabilidad, y cómo comunicas eso en la organización? Y con el tiempo, también me he dado cuenta de que la comunicación es realmente muy, muy importante.
Dustin Childs: Correcto.
Sachin Jain: Puedes crear una matriz de responsabilidad. Puedes distribuir eso en la organización y decirle a todos, de acuerdo, mira, llevas esta responsabilidad adicional. Y esa persona puede decir, oh, ¿por qué me está llegando esto? Ya tengo un trabajo de tiempo completo. Ya estoy dedicando más del 100% de mi tiempo en mi trabajo actual. No estoy poniendo una carga de trabajo adicional sobre mí. Pero necesitas, uno, necesitas definir la responsabilidad, y segundo, necesitas comunicar eso muy bien, lo cual se convierte en una parte esencial de su trabajo diario. No debería sonar como una responsabilidad adicional. Es como un habilitador. Cualquier trabajo que estén haciendo, les permite hacer ese trabajo más rápido y seguro.
Dustin Childs: De acuerdo.
Sachin Jain: Y la otra parte es la mejora continua. Lo que la gente no entiende. Sienten que implementan algo, definen ciertas políticas y controles, y ya han terminado. Pero necesitan mejorar continuamente.
Dustin Childs: Sí.
Sachin Jain: Necesitan observar constantemente qué otras tecnologías han implementado, cómo están evolucionando. Porque la IA está cambiando muy rápido.
Dustin Childs: Correcto.
Sachin Jain: No puedes desplegar un control hoy, y luego puedes decir, oh, hemos terminado.
Johnny Hand: Una gran cosa, y es algo tan interesante porque estás hablando de, como, esos roles adicionales. Y creo que todos hemos estado en esa experiencia donde asumimos a veces más o siempre asumimos más cuando sentimos que no podemos asumir más. Y a veces te preguntas sobre eso. Hay un desafío, sin embargo, porque hablamos de que mencionaste cómo la junta y esos líderes ejecutivos en una organización pueden ser influenciados por sus pares. Y a veces eso lleva a una organización a cambiar lo que están haciendo o tal vez sorprenderte, como dijiste. Y siento que eso es exactamente lo que está sucediendo con la adopción de IA, porque está creando una tormenta de fiebre de personas que necesitan descubrir cómo adoptar porque todos los demás lo están adoptando. Y ¿qué estás viendo en tu rol de liderazgo ahora con el MSP? ¿Está eso impulsando esa tormenta de fiebre para ti? ¿Y cómo se ve eso?
Sachin Jain: Oh, absolutamente. Esto es algo, como dijiste correctamente, está llegando como una tormenta. Y todos quieren ver cómo realmente se suben a ella, y no son desarraigados o interrumpidos solo por esta ola. E incluso en el negocio de MSP, va a interrumpir en gran medida. Y usamos mucho la IA, pero probablemente necesitamos descubrir cuál es el siguiente paso y cuál es la próxima ola que realmente necesitamos descubrir. Porque en seguridad, como puedes imaginar, hay una gran cantidad de datos que todos los analistas de seguridad tienen que analizar. Incluso un investigador de amenazas, él o ella tiene que mirar, como, una gran cantidad de datos. Y es humanamente imposible analizar tantos datos. Estaba leyendo un artículo que, ya sabes, debido a la IA, el tiempo que un atacante solía pasar para infiltrarse en una organización ha disminuido significativamente. Ahora es menos de media hora. Y si estás hablando de menos de media hora, ese es el tiempo que tienes como defensor para detectar y responder. Y es humanamente imposible si quieres hacer eso. Necesitas ser, uno, necesitas crear tu estrategia, que debería ser mucho más rápida de lo que el atacante puede entrar. Y luego, en segundo lugar, también necesitas estar constantemente mirando las formas en que puedes estar por delante de los atacantes y cómo tu estrategia puede ayudarte a prevenir, como, múltiples puertas. Para un atacante, es solo una puerta que necesitan para entrar. Pero para un defensor, pueden ser múltiples puertas. Pueden ser, como, cientos y miles de puertas en todo el mundo. Y cómo básicamente creas una estrategia que está más adelante. Y la IA es lo único que puede ayudarte a analizar, hacer triage, hacer, como, correlación, analizar, eliminar, mirar algunos de los patrones históricos. Mirar algunos de esos tal vez el pronóstico, el lado predictivo de ello.
Dustin Childs: Correcto. Quiero volver a algo que dijiste antes, porque quiero asegurarme de haberlo entendido correctamente, porque he pasado por estas cosas antes. Solía haber este concepto de TI en la sombra, y ahora estás diciendo que hay un concepto de IA en la sombra, donde hay agentes de IA que simplemente no conoces. ¿Es eso, estás viendo eso como un problema en las organizaciones?
Sachin Jain: Absolutamente. Creo que es consciente o inconscientemente. Sucede de ambas maneras. Y cuando digo conscientemente, conscientemente sucede cuando intentas ser muy restrictivo. Intentas crear una fricción dentro de la empresa, y luego la gente encuentra formas de, saben, te desafían. Saben que has creado una capa restrictiva a mi alrededor. Te mostraré cómo salgo de esa capa y cómo tengo más éxito. Porque tienen que usarlo, ya sea que lo bloquees o lo permitas. Y los otros desafíos, muchas empresas con las que estaba hablando, ni siquiera saben si las personas están usando credenciales corporativas o credenciales personales con algunas de esas herramientas de IA. Y entonces no saben qué proteger, cómo proteger.
Dustin Childs: De acuerdo.
Sachin Jain: E incluso si no lo están, incluso si están poniendo, digamos, límites o no poniendo límites, incluso si están bien con toda esta tecnología o tal vez herramientas que se están utilizando dentro de la organización, hay tanto sucediendo en el mundo. Como estaba mencionando, hay 10 herramientas ahora. Mañana puede haber, digamos, 100 herramientas. Y cuando digo mañana, es literalmente, como, tal vez una semana o tal vez el próximo mes, verás. Antes solíamos hablar de si algo está evolucionando, probablemente tomará tal vez tres meses o un año. El tiempo de ciclo de algunos cambios, incluso si hablamos de la nube, cuando comenzamos a hablar de la nube, la evolución de la nube, si ves, ha tomado algún tiempo. La evolución de la IA es muy, muy rápida.
Dustin Childs: Correcto.
Sachin Jain: Y tienes que entender cómo creas un entorno o una cultura dentro de la organización, junto con todas esas políticas y límites, que permiten un entorno inclusivo y crean esa cultura. Que todos entienden la responsabilidad y todos entienden la importancia de usar la IA, o el comportamiento responsable hacia la IA. Que es lo que es aceptable? ¿Qué no es aceptable? Y crear ese sentido de responsabilidad y responsabilidad dentro de cada persona. Porque no puedes detener la TI en la sombra, o la IA en la sombra, para el caso. Pero puedes crear una cultura para que la gente entienda que incluso si están haciendo algo, tienen el respaldo de la función de seguridad. No los ven como alguien que está tratando de bloquear, sino como alguien que va a permitir, pero con suficientes límites alrededor para que no puedas deslizarte.
Johnny Hand: Es interesante porque hablamos de la velocidad y el ritmo de la innovación de la IA, y claramente lo estamos viendo. Y ciertamente has mencionado que lo estás viendo con tus clientes. Hay un gran apetito por la adopción. Pero volvemos a la misma, realmente, necesidad en torno a la gobernanza, la responsabilidad y también esa pieza de visibilidad. Y me encanta que, en la era de esta adopción, todavía te remontes a esos aspectos fundamentales que probablemente eran los mismos hace 20 años, ¿estarías de acuerdo con eso?
Sachin Jain: Bueno, exactamente. Creo que esto fue muy interesante. Estaba hablando de esto ayer y estábamos hablando de alguna experiencia de sándwich. Y es como pedir un sándwich y es el mismo envoltorio, pero con diferentes ingredientes, diferente receta. Y cuando digo mismo envoltorio, creo que hablamos de la misma organización, la misma exposición de datos. Creo que la amenaza sigue siendo la misma. La gente está tratando de proteger los datos. Y necesitan descubrir cómo básicamente poner los límites alrededor de eso para que estén constantemente protegidos mientras el mundo está constantemente evolucionando.
Johnny Hand: Entonces, Sachin, tienes una experiencia increíble hablando ese lenguaje de la junta y siendo capaz de hacer esa transición que tantos líderes de seguridad honestamente realmente luchan con, siendo capaces de tener una voz sólida dentro de la junta. ¿Cuáles son algunos de los, como, cuáles son tres buenos consejos para esos líderes de seguridad emergentes que van a navegar esas aguas? ¿Cómo aportan ese valor a la junta?
Sachin Jain: Ese es un muy buen punto. Si trato de definir estos tres puntos clave, uno es ser el experimentador. Ser la persona que puede experimentar con la tecnología, con el tipo de ola que atraviesas, el tipo de controles de seguridad que necesitas construir alrededor. Y segundo, necesitas ser un comunicador efectivo. Y tienes que comunicar mucho dentro de la organización con tus negocios, y luego traducirlo de vuelta a la junta. Ese tiene que ser un segundo punto clave. Y el tercero es nunca tratar de ser muy instintivo, porque sucede. Creo que es por tal vez nuestra memoria muscular, que cada vez que tratamos de resonar o tal vez cada vez que tratas de ver algo nuevo, crea una especie de fricción en nuestra mente. Y decimos, oh, la primera reacción es bloquearlo, restringirlo, o tal vez lo pensaremos más tarde. Crearemos una estrategia. Pero en el mundo de la seguridad, no hay tiempo para pensar. Tienes que verlo primero, tienes que reaccionar primero.
Dustin Childs: Bueno, Sachin, gracias por la gran conversación de hoy. Es tan importante que los equipos de liderazgo estén tomando decisiones sobre la IA hoy. No podemos esperar a que te unas a nosotros nuevamente en el programa.
Sachin Jain: Gracias. [ Música ]
Johnny Hand: El marco de Sachin es práctico. Visibilidad, límites, comunicación. Esas son tres formas en que la seguridad no te ralentizará. Es lo que te permite ir rápido de manera segura.
Dustin Childs: Sí, realmente estoy de acuerdo. Y para mí, esa conclusión realmente importante es simple. Si eres un CISO que está luchando solo, ya has perdido. Así que tienes que entrar en la sala con ingeniería, con legal, con equipos de negocios antes de que vengan a ti.
Johnny Hand: Exactamente. Así es como construyes un marco que realmente se sostiene. Un gran agradecimiento a Sachin Jain por unirse a nosotros hoy y compartir el tipo de perspectiva ganada con esfuerzo que solo viene de dos décadas en el asiento. Para conectarte con Sachin, consulta nuestras notas del programa para enlaces sobre cómo encontrarlo en LinkedIn y aprender sobre la seguridad de Eventus.
Dustin Childs: Y eso es todo para otro episodio de "The AI Security Brief". Realmente queremos agradecerte por unirte a nosotros y esperamos que esta conversación te haga pensar de manera diferente sobre la seguridad. Y si lo hace, considera suscribirte para que no te pierdas lo que viene.
Johnny Hand: "The AI Security Brief" es mezclado y producido por Elliott Peltzman con música original de Omnia Jinx. Nuestra productora ejecutiva es Jennifer Eiben, con estrategia de contenido por Ma'ayan Plaut, Shannon Murphy y Melanie Galant. Ayuda adicional en producción por Liz Stokes. Video y edición por Sarelle Joppy y Brigitte Criqui Wild.
Dustin Childs: Muchas gracias por escuchar y nos vemos la próxima vez en "The AI Security Brief". [ Música ]
