El CCN detecta un nivel inicial de preparación frente a las amenazas de la IA ofensiva en 618 organismos

El Centro Criptológico Nacional (CCN), dependiente del Centro Nacional de Inteligencia (CNI), ha elaborado un informe sobre la preparación de los organismos públicos y privados frente a las amenazas derivadas de la inteligencia artificial ofensiva. El análisis se basa en los resultados del cuestionario de autoevaluación disponible en INÉS, la herramienta de gobernanza del CCN que permite evaluar capacidades de seguridad y elaborar planes de mejora.

La evaluación ha contado con la participación de 618 organismos, que han obtenido una puntuación media de 47,5 sobre 100, correspondiente a un nivel de madurez inicial. Ninguna de las entidades ha alcanzado los 95 puntos establecidos como referencia para considerar adecuado su grado de preparación.

Las principales deficiencias identificadas se concentran en cuatro ámbitos: las capacidades de protección, la gobernanza, la identificación y gestión de riesgos y la cultura de ciberseguridad. Estos resultados ponen de manifiesto la necesidad de adaptar los mecanismos de defensa a las nuevas posibilidades de ataque que ofrece la inteligencia artificial.

 

Un Plan de Acción con 53 iniciativas para reducir las brechas de seguridad

Para ayudar a las organizaciones a corregir las carencias detectadas, el CCN plantea un Plan de Acción compuesto por 53 iniciativas priorizadas y organizadas en cuatro bloques. El primero reúne 18 actuaciones de aplicación inmediata.

La selección y ejecución de las medidas debe adaptarse a los riesgos de cada entidad, la categoría de seguridad de sus sistemas, su criticidad y sus necesidades específicas. Entre las actuaciones más relevantes, vinculadas a las medidas del anexo II del Esquema Nacional de Seguridad (ENS), destacan las siguientes:

-     Mantenimiento y actualización de sistemas: reforzar la aplicación de parches de seguridad, especialmente para vulnerabilidades conocidas y explotadas activamente, de acuerdo con la medida op.exp.4 del ENS.

-     Gestión de identidades y accesos: fortalecer los mecanismos de autenticación, priorizar soluciones multifactor resistentes al phishing y revisar los permisos de acceso conforme a la familia op.acc.

-     Protección de aplicaciones: mejorar los controles de desarrollo seguro y las pruebas de aceptación y puesta en servicio, recogidos en las medidas mp.sw.1 y mp.sw.2, para evitar que se desplieguen aplicaciones con vulnerabilidades graves.

-     Cadena de suministro y componentes de IA: reforzar la gestión de proveedores (op.ext.1 y op.ext.3) y la adquisición de componentes (op.pl.3). El informe recomienda incorporar inventarios SBOM que permitan identificar las dependencias de software, modelos, complementos y skills utilizados. La creciente dependencia de terceros en los entornos de inteligencia artificial hace necesario conocer los componentes que forman parte del ecosistema tecnológico, controlar las condiciones de contratación y los acuerdos de nivel de servicio y garantizar la integridad de la infraestructura.

-     Vigilancia y detección: adaptar la monitorización a las técnicas de ataque potenciadas por inteligencia artificial y reforzar las capacidades de vigilancia de seguridad, especialmente mediante las medidas op.mon.1 y op.mon.3.

-     Continuidad y recuperación: revisar y probar los planes de contingencia y continuidad conforme a la familia op.cont, además de reforzar la protección de las copias de seguridad.

-     Gobernanza y análisis de riesgos: incorporar las amenazas específicas de la IA ofensiva a los procesos de identificación, análisis y tratamiento de riesgos.

 

El Esquema Nacional de Seguridad como marco de referencia

El análisis toma como referencia la guía Buenas Prácticas frente al modelo de IA ofensiva (CCN-CERT BP/36), elaborada por el propio Centro Criptológico Nacional. Este documento recoge recomendaciones para afrontar los riesgos asociados al uso de inteligencia artificial con fines ofensivos y constituye la base técnica del cuestionario de autoevaluación.

El informe considera que el Esquema Nacional de Seguridad ofrece un marco válido para abordar las principales deficiencias identificadas. Su estructura de principios, requisitos y medidas permite organizar las actuaciones necesarias para prevenir, detectar, responder y recuperarse de incidentes de seguridad.

La aplicación de estas medidas debe ajustarse a la categoría de cada sistema y a los riesgos que soporta. De este modo, el ENS proporciona una referencia común para integrar la protección frente a las amenazas de la IA ofensiva en los procedimientos de seguridad, la gestión tecnológica y la gobernanza de las organizaciones.