Los auditores y los inspectores cuentan con herramientas de todo tipo para detectar líneas de trabajo donde investigar comportamientos sospechosos. Ahora que se presentan en todo el mundo los resultados contables del semestre en las principales empresas, muchos analistas enchufan los discursos de los CEOs a herramientas entrenadas específicamente con modelos de procesamiento de lenguaje natural financiero para detectar patrones muy sutiles, como el análisis de sentimiento avanzado y detección de ambigüedad o lenguaje elusivo. Esto les permite identificar el uso excesivo de palabras que mitigan el compromiso o denotan falta de certeza, tales como «podríamos» o el «esperamos que» por no mencionar los clásicos «en la medida de lo posible» así como el habitual «bajo ciertas circunstancias».
La IA es un factor imprescindible para cualquier profesional. «Nadie en el mundo sabe lo que va a pasar» sostiene en un reciente artículo uno de sus padres, Demis Hassabis, el consejero delegado de Google DeepMind. «Este es un momento crucial en la historia de la humanidad». Hace unos días me apuntaba un alto ejecutivo su temor ante la amenaza de una triple confluencia entre la Inteligencia Artificial, la computación cuántica y el internet de las cosas. Algo que parece llevarse con discreción entre los iniciados, lejos de la popularización y el titánico esfuerzo de aquel Efecto 2000 que alertaba ante el cambio de milenio a los programadores y empresas por el uso de dos dígitos en lugar de cuatro y el posible colapso de sistemas e infraestructuras.
Esta nueva alineación planetaria tiene como primera amenaza la utilización de la inteligencia artificial de última generación para encontrar vulnerabilidades en las organizaciones. Por ejemplo, todas nuestras entidades financieras tienen hasta el 31 de octubre para enviar al Banco Central Europeo su plan de acción contra ataques potenciados por inteligencia artificial. No es un asunto solo para informáticos, sino una responsabilidad del máximo ejecutivo bancario.
La IA es una gran ayuda en eficiencia y productividad, también para los delincuentes sin escrúpulos, que ya no necesitan un doctorado para desbloquear claves y hacer destrozos. Así, la última obra de Anthropic, ha sido el primer ejemplo de esta doble cara, que ha ralentizado su despliegue comercial para preparar y blindar el terreno especialmente en el sector financiero.
En el ámbito específico de la auditoría, se usa el moderno concepto de «Agentes del Caos» dentro de las estrategias de evaluación continua y auditoría disruptiva. Resumidamente, el auditor no pregunta «¿Qué pasa si cae este servidor?», sino que el agente del caos tira el servidor deliberadamente mientras observa en tiempo real cómo reaccionan las alarmas, los sistemas de respaldo y el equipo humano. Existen, claro está, ciertas reglas de compromiso en la Auditoría del Caos.Se planifica bajo un marco muy estricto, con réplicas exactas para no afectar al ciudadano, al cliente o se observa el acceso no autorizado cómo por dónde se produce y qué efectos tiene. La mayor satisfacción se produce cuando el hacker trabaja para ti.
En definitiva, para un auditor, un agente del caos es la mejor manera de certificar que un sistema es robusto: no creyendo en los manuales de procedimientos, sino sometiéndolo a pequeñas dosis de estrés controlado.
Aunque el nivel de protección de muchos entornos informáticos es alto, a medida que las empresas llenan sus oficinas, fábricas y almacenes de sensores, cámaras, termostatos y dispositivos inteligentes, abren una inmensa cantidad de «puertas traseras» que suelen escapar al radar de los controles tradicionales y que pueden suponer la segunda alineación. Es eso que llamamos el internet de las cosas, que puede afectar a muchas infraestructuras, como oleoductos o presas.
Acabamos de conocer la detención en marzo pasado (¡gracias FBI!) de un ciberterrorista prorruso que saboteó servicios públicos y empresas de toda España: bloqueó el sistema de riego inteligente de los jardines de la Ciudad de las Artes y las Ciencias de Valencia; alteró los controles de medición de las cubas de fermentación de una bodega de Jaén; manipuló la dosis de cloro en sistemas de depuración en la red de suministro de agua; apagó los motores de un embalse de agua potable en Canarias y desactivó los hornos crematorios de un tanatorio levantino.
La endiablada velocidad de la computación cuántica representa una amenaza crítica y directa para la seguridad digital actual, hasta el punto de que los expertos hablan de un hipotético «Día Q» -para algunos en el final de esta década- el momento en que un ordenador cuántico sea lo suficientemente potente como para rompería la seguridad de internet. Hoy, este tipo de supercomputadores exige un presupuesto multimillonario y una infraestructura científica brutal para mantenerlo frío. Mi asistente IA Gémini me tranquiliza diciéndome que la buena noticia es que el mundo tecnológico no está de brazos cruzados esperando y está librando una carrera contrarreloj. Las compañías tecnológicas están invirtiendo muchos recursos con anticipación.
Los órganos de control externo de las CCAA están realizando cada vez más auditorías sobre la ciberseguridad. Entre los últimos, el trabajo de la Sindicatura de Comptes de la Generalitat Vanenciana sobre “La gobernanza de la ciberseguridad en el sector público instrumental: Consorcios y fundaciones.Situación a 31 de diciembre de 2025”. Que subtitula una asignatura pendiente.
El informe concluye que no hay ningún consorcio o fundación que presente un nivel de madurez de la gobernanza de la ciberseguridad adecuado, superior al 80%. Es más: 6 entidades ofrecen un indicador de madurez entre el 50% y el 80% -que es una situación deficiente- y 10 entidades ofrecen un indicador de madurez inferior al 50%, que refleja una situación muy deficiente de la gobernanza de la ciberseguridad, que en algunos casos es prácticamente inexistente.
Entre los indicadores, destaca el índice de madurez de “Continuidad del servicio y ciberresiliencia” que es especialmente bajo, ya que 15 entidades no alcanzan siquiera el 50%. Esta situación, para los auditores “es preocupante, ya que se constata que la mayor parte de entidades carece de previsiones y planes para hacer frente de una forma rápida y ordenada a un posible incidente de seguridad grave, que les permita recuperar la información y su actividad en un tiempo razonable”. En este apartado califica de alarmante la situación de los consorcios hospitalarios.
Una versión de este artículo fue publicada en La Nueva España
Deja una respuesta