En ciberseguridad abundan las analogías y, cuando llega octubre, las conversaciones suelen llenarse de pesadillas digitales, monstruos cibernéticos y amenazas que acechan en la oscuridad. Pero hay una comparación relacionada con Halloween que merece más atención: la máscara.

Una máscara no hace desaparecer lo que hay debajo. Simplemente permite ocultar su identidad a quienes no necesitan conocerla. Ese es también uno de los objetivos de la seguridad de los datos.

Los desarrolladores necesitan datos para probar aplicaciones; los analistas, para detectar patrones; y las herramientas y los agentes de inteligencia artificial, cada vez más, para realizar tareas útiles con información empresarial. Sin embargo, necesitar utilizar esos datos no significa que sea necesario ver todos sus valores sensibles.

Ahí es donde entra en juego el enmascaramiento de datos. Al sustituir información sensible por valores realistas, pero inutilizables para identificar a las personas o revelar datos protegidos, las organizaciones pueden conservar la utilidad de la información y reducir su exposición innecesaria.

Con la IA ampliando rápidamente dónde pueden viajar los datos, quién puede encontrarlos y qué sistemas pueden actuar sobre ellos, esta diferencia es cada vez más importante.

Un disfraz con un propósito serio

En esencia, el enmascaramiento reemplaza información sensible por valores alternativos que conservan características útiles para el desarrollo, las pruebas, el análisis y otros procesos empresariales, sin revelar los datos originales.

La protección no debería consistir únicamente en impedir que las personas utilicen los datos. Las empresas necesitan analizarlos, probar sistemas con ellos y, cada vez más, utilizarlos para entrenar o fundamentar sistemas de IA. La pregunta adecuada es otra: ¿necesita realmente esta persona, aplicación o sistema de IA el valor sensible original para llevar a cabo la tarea?

Un desarrollador que prueba una aplicación puede necesitar datos representativos de clientes, pero no sus identidades reales. Del mismo modo, un proceso analítico puede necesitar conservar relaciones y patrones sin revelar cada número de cuenta o identificador personal.

Si no hace falta conocer el valor original, exponerlo añade riesgo sin aportar un beneficio empresarial equivalente.

El enmascaramiento ayuda a reducir esa exposición. Según el caso de uso, las organizaciones también pueden recurrir a técnicas como la tokenización y el cifrado. El principio fundamental es adaptar la protección al uso previsto, en lugar de exponer por defecto los datos sensibles sin modificar.

No se puede enmascarar lo que no se encuentra

Hay una dificultad evidente: antes de decidir qué datos deben llevar una máscara, las empresas tienen que saber dónde está su información sensible.

Eso sigue siendo sorprendentemente complicado. El informe Thales Data Threat Report 2026 señala que solo el 34 % de las organizaciones encuestadas conoce por completo dónde se almacenan sus datos. Apenas el 39 % afirma poder clasificarlos en su totalidad. Además, las organizaciones consultadas utilizan, en promedio, siete herramientas diferentes para proteger y supervisar sus datos.

La infraestructura en la nube agrava el problema. La información puede copiarse en lagos de datos, plataformas SaaS, entornos de desarrollo y copias de seguridad. Los documentos sin estructurar pueden contener información sensible que nadie sabía que estaba allí. Y aplicaciones creadas años después de recopilar los datos pueden acabar obteniendo acceso a ellos.

La IA vuelve aún más importante esta falta de visibilidad, precisamente porque estos sistemas son cada vez mejores encontrando información.

Por eso cobra relevancia la gestión de la postura de seguridad de los datos, conocida como DSPM. En lugar de abordar la seguridad únicamente como una cuestión de proteger la infraestructura, DSPM parte de los propios datos: ayuda a descubrir y clasificar la información sensible, y a entender dónde reside, quién o qué puede acceder a ella, cómo se utiliza y si cuenta con la protección adecuada.

Una vez identificados los datos sensibles con exposición innecesaria, la organización puede decidir si debe eliminar o restringir el acceso, o aplicar controles como el enmascaramiento, la tokenización o el cifrado.

Datos para la IA: ¿oportunidad o riesgo?

Esta cuestión se vuelve especialmente importante a medida que las empresas pasan de experimentar con IA generativa a integrarla en sus operaciones cotidianas.

Las aplicaciones de IA necesitan datos. Los agentes pueden necesitar todavía más, porque no se limitan a generar contenido: también están diseñados para recuperar información, tomar decisiones y, potencialmente, actuar en distintos sistemas.

Los riesgos de seguridad ya son visibles. El mismo estudio indica que el 61 % de las organizaciones ha observado ataques dirigidos contra sus aplicaciones de IA, y que los datos sensibles son el objetivo principal. Los cambios acelerados en el ecosistema de IA también figuran entre los riesgos de seguridad más citados.

La pregunta importante no es solo si podemos proteger la IA. También debemos plantearnos algo más básico:

¿A qué datos estamos permitiendo acceder a la IA?

Dar acceso a una base de datos a una aplicación de IA no debería implicar automáticamente que pueda consultar todos los valores sensibles que contiene. El principio de privilegio mínimo, habitual en la gestión de identidades, también puede aplicarse a los datos: permitir el acceso necesario para la tarea y proteger aquello que no lo sea.

Esto puede implicar enmascarar información personal antes de que llegue a entornos de desarrollo y pruebas; tokenizar valores especialmente sensibles que una aplicación necesita utilizar; cifrar datos y limitar estrictamente qué identidades pueden descifrarlos; o, en determinados casos, impedir que un sistema de IA acceda a un conjunto de datos.

Hacer que la seguridad de la IA sea más sencilla

A veces se trata la seguridad de la IA como una disciplina completamente nueva que exige respuestas inéditas. Algunos riesgos sí lo son. Pero una de las medidas más útiles consiste en aplicar principios de seguridad de datos ya conocidos a este nuevo entorno.

Hay que saber dónde se encuentran los datos sensibles, comprender su contexto, reducir los accesos innecesarios, proteger la información según el uso que se le vaya a dar y revisar las decisiones a medida que cambian las aplicaciones y los sistemas de IA.

La IA puede aumentar enormemente el valor que las organizaciones obtienen de sus datos. Eso no significa que cada sistema que aprovecha ese valor tenga que ver todo lo que hay debajo.

Halloween llega una vez al año. Para los datos sensibles, en cambio, poder llevar una máscara convincente durante todo el año se está convirtiendo en una necesidad ineludible.

from Latest from TechRadar https://ift.tt/uIg5b0v
via IFTTT IA