Más del 90% de las aplicaciones corporativas y de las infraestructuras modernas de inteligencia artificial utilizan librerías de software libre. Sin embargo, muchas organizaciones no tienen identificados todos los componentes que integran sus sistemas, una situación que plantea riesgos para el gobierno, el cumplimiento normativo y la integridad del negocio.
El escenario adquiere relevancia con la entrada en vigor, durante este año, de los periodos de reporte de incidentes y las exigencias de trazabilidad contempladas en la Ley de Ciberresiliencia de la Unión Europea (CRA). Entre sus requerimientos está la elaboración de una Software Bill of Materials (SBOM), o inventario de software.
El incumplimiento de estas obligaciones, así como la permanencia de componentes vulnerables que no hayan sido identificados, puede llevar a sanciones de hasta 15 millones de euros. La cifra equivale aproximadamente a más de 53 mil millones de pesos o al 2.5% de los ingresos anuales globales de una compañía.
El riesgo también está relacionado con la seguridad de la cadena de suministro. Según el Cost of a Data Breach Report de IBM, los incidentes derivados de compromisos en esta cadena se encuentran entre los más complejos de detectar y requieren, en promedio, 267 días para ser contenidos. El costo medio de cada incidente alcanza los $4.91 millones de dólares.
“El Software Libre es el motor indiscutible de la innovación moderna y de la adopción masiva de la Inteligencia Artificial. Sin embargo, no se puede gobernar ni asegurar lo que no se ve. Hoy, la superficie de ataque cambia en segundos. Las empresas necesitan pasar de la defensa reactiva a un modelo de gestión proactiva del riesgo donde la IA inspeccione continuamente la cadena de suministro digital”, afirma Jhonnatan Zapata, Regional Account Manager en TrendAI™.
El reto para las organizaciones no se limita a incorporar software libre de manera segura. También implica conocer qué elementos forman parte de su infraestructura digital, evaluar los riesgos asociados y mantener esa información actualizada de manera permanente.
La incorporación de nuevas versiones, dependencias y modelos de IA puede producirse en cuestión de horas. Por esa razón, los mecanismos tradicionales de auditoría pueden dejar de reflejar las condiciones reales de los sistemas poco después de haber sido realizados.
TrendAI™ plantea tres capacidades para mantener los procesos de innovación sin comprometer la seguridad, el cumplimiento y la resiliencia. Una de ellas es reemplazar las auditorías estáticas por un inventario dinámico que permita identificar continuamente las dependencias de código y los modelos de IA incorporados a los sistemas, en lugar de depender de reportes manuales que pueden quedar desactualizados casi inmediatamente.
Otra consiste en determinar la prioridad de las vulnerabilidades según el efecto que puedan tener sobre la infraestructura y el negocio. El objetivo es evitar que los equipos de ingeniería concentren sus esfuerzos en alertas teóricas que no constituyen un riesgo crítico.
La tercera capacidad está relacionada con la integridad de los sistemas de inteligencia artificial. La revisión del software libre debe abarcar no solo la búsqueda de malware, sino también la validación de las librerías y componentes utilizados en sistemas de IA. Esto permitiría reducir la exposición a riesgos como el envenenamiento de datos (Data Poisoning) y otras formas de manipulación de los modelos.
Bajo este escenario, limitar la utilización de software libre no constituye el desafío central. La prioridad pasa por hacer visible y gobernable la infraestructura sobre la que las organizaciones desarrollan sus procesos de innovación.
Con la expansión de la inteligencia artificial, el desarrollo de aplicaciones se acelera y aumenta la cantidad de componentes involucrados en las operaciones empresariales. En ese contexto, la trazabilidad de la cadena de suministro de software deja de ser una tarea exclusivamente técnica y pasa a formar parte de la estrategia de resiliencia y continuidad del negocio.
“Gobernar la cadena de suministro digital será tan relevante como gobernar los datos, los modelos de IA y la infraestructura que los soporta. Las organizaciones que logren incorporar visibilidad continua, análisis contextual y capacidad de respuesta estarán mejor preparadas no solo para cumplir con las nuevas exigencias regulatorias, sino para avanzar en innovación con mayor confianza y menor exposición al riesgo”, concluye Zapata.
