¿Supone Gemini un riesgo para la seguridad de su empresa?

Google Gemini se está integrando rápidamente en los flujos de trabajo de las empresas modernas. Desde la redacción de correos electrónicos hasta el análisis de informes, las herramientas de IA generativa prometen una ejecución más rápida y una toma de decisiones más inteligente. 

Sin embargo, a medida que el uso de Gemini se extiende por todos los departamentos, también lo hace el riesgo potencial para la seguridad. La cuestión no es si Google Gemini es potente, porque lo es. 

La cuestión es si su organización cuenta con los controles de gobernanza, visibilidad y seguridad necesarios para gestionar el uso que hacen de ella los empleados. En un entorno laboral impulsado por la inteligencia artificial, la innovación y la seguridad de los datos deben evolucionar de forma conjunta.

¿Qué es Gemini y por qué lo utilizan las empresas?

Google Gemini es un asistente de IA generativa diseñado para facilitar la productividad, la automatización y la toma de decisiones. Integrado en las aplicaciones de Google Cloud, funciona como un sistema de inteligencia artificial capaz de generar contenidos, elaborar resúmenes, analizar datos y optimizar los flujos de trabajo.

En entornos empresariales, Gemini Enterprise y Gemini Advanced ofrecen asistencia basada en inteligencia artificial para documentos, hojas de cálculo, plataformas de colaboración y aplicaciones en la nube. Herramientas como Gemini Cloud Assist y las integraciones de API permiten a las empresas incorporar capacidades de inteligencia artificial directamente en sus flujos de trabajo.

Entre los casos de uso habituales en el ámbito empresarial se incluyen:

• Redacción y revisión de comunicaciones internas
• Resumen de informes extensos o conjuntos de datos
• Apoyo a las interacciones con el servicio de atención al cliente
• Automatización de la documentación y la recuperación de conocimientos
• Mejora de los procesos de apoyo a la toma de decisiones

La adopción suele extenderse de forma natural. Los empleados pueden utilizar una aplicación de Gemini de forma independiente o integrar la inteligencia artificial en su flujo de trabajo sin necesidad de una autorización formal del departamento de TI. Este uso «en la sombra» de la inteligencia artificial aumenta el riesgo, especialmente cuando los equipos de seguridad carecen de visibilidad sobre cómo se procesan los datos de los usuarios.

¿Cuáles son los principales riesgos de seguridad de Gemini?

Si bien Google Gemini ofrece funciones avanzadas de inteligencia artificial, también plantea varias categorías de riesgo que los equipos de seguridad deben evaluar.

Riesgos relacionados con el acceso a los datos y la visibilidad

Gemini interactúa con los datos de los usuarios, los documentos y los repositorios en la nube, en función de la configuración y los permisos. Los entornos con permisos excesivos aumentan la probabilidad de que se produzcan fugas de datos, especialmente cuando el control de acceso no se aplica de forma estricta.

Es posible que se introduzcan datos sensibles y conjuntos de datos regulados en las solicitudes de forma involuntaria. Una vez enviados, esos datos pasan a formar parte del ciclo de vida de la interacción con la IA, lo que suscita inquietudes en cuanto a su tratamiento, conservación y gestión por parte de terceros.

Riesgos relacionados con la generación y la publicación de contenidos

Las respuestas de Gemini pueden incluir resúmenes, recomendaciones o contenido reformulado que, sin quererlo, podría revelar información confidencial. Los resultados inexactos o no verificados también pueden dar lugar a incumplimientos normativos o a errores operativos.

Además, existe el riesgo de que se incluyan instrucciones maliciosas. Un ataque de inyección de comandos podría manipular el modelo de IA para que genere resultados no deseados o perjudiciales. Los atacantes podrían intentar incorporar lógica maliciosa en las solicitudes de los documentos compartidos o en los flujos de trabajo colaborativos.

Riesgos de cumplimiento normativo y de gobernanza

Las organizaciones que operan en sectores regulados se enfrentan a un mayor escrutinio. La residencia de los datos, la auditabilidad y el cumplimiento normativo se convierten en cuestiones complejas cuando las aplicaciones de inteligencia artificial procesan información sensible.

Entre las cuestiones que deben tener en cuenta los equipos de seguridad se incluyen:

• ¿Dónde se tratan y almacenan los datos de los usuarios?
• ¿Durante cuánto tiempo se conservan los datos de actividad de Gemini?
• ¿Se pueden auditar los resultados?
• ¿Se ajustan los flujos de trabajo de IA a las políticas de seguridad de datos vigentes?

Sin un marco de gobernanza, el uso de Gemini puede dar lugar a deficiencias en materia de cumplimiento normativo y aumentar el riesgo regulatorio. Infórmese sobre las soluciones de gobernanza de datos y cumplimiento normativo de Mimecast.

Cómo Gemini aumenta el Human Risk en la empresa

La mayoría de los riesgos de seguridad relacionados con la inteligencia artificial se deben al comportamiento humano, más que a fallos en el propio modelo de inteligencia artificial.

Fuga de datos basada en indicaciones

Los empleados pueden pegar información confidencial, propiedad intelectual o registros de clientes en los chats de IA por comodidad, lo que genera riesgos inmediatos de exposición de datos.

Dependencia excesiva de los resultados de la IA

Los usuarios pueden confiar en las respuestas de Gemini sin necesidad de comprobar su precisión o sensibilidad. Esto puede dar lugar a la difusión de información incompleta, incorrecta o limitada.

Phishing e ingeniería social asistidos por IA

Los autores de amenazas pueden utilizar la IA generativa para redactar correos electrónicos de phishing o mensajes business email compromise (BEC) que resulten convincentes. El contenido malicioso generado por IA aumenta la sofisticación de los ataques y reduce los errores detectables.

Divulgación accidental de información confidencial

Los resúmenes o informes generados por Gemini pueden incluir, sin intención, material sujeto a restricciones. Cuando se comparte entre equipos, el alcance se amplía.

Abuso o negligencia por parte de personas con información privilegiada

Ya sea de forma intencionada o accidental, el uso indebido de las herramientas de inteligencia artificial en los flujos de trabajo cotidianos aumenta el riesgo interno. La supervisión de la actividad de Gemini resulta esencial para detectar comportamientos sospechosos.

Dado que Gemini se integra en los flujos de trabajo cotidianos (documentos, borradores de correo electrónico, personalización de búsquedas, herramientas de navegación), los riesgos relacionados con la inteligencia artificial resultan más difíciles de detectar mediante los controles de seguridad tradicionales.

Cómo pueden los equipos de seguridad mitigar los riesgos relacionados con Gemini

La gestión de los riesgos relacionados con Gemini requiere controles por niveles y una gobernanza centrada en las personas.

Reforzar la clasificación de datos: las organizaciones deben identificar claramente los datos sensibles antes de conceder acceso a la IA. Conocer qué se considera información confidencial reduce el riesgo de divulgación accidental.

Restricción y auditoría de permisos: los archivos, carpetas y espacios de trabajo con permisos excesivos aumentan el riesgo. La realización periódica de auditorías de los derechos de acceso garantiza que las interacciones con la IA no traspasen los límites previstos.

Limitar el acceso a conjuntos de datos de alto riesgo: cuando proceda, restrinja el acceso a la API de Gemini o a Gemini Cloud Assist a los repositorios regulados o sensibles.

Supervisar las interacciones de la IA: los equipos de seguridad deben realizar un seguimiento de cómo interactúan las herramientas de IA con los datos de la empresa en todas las aplicaciones y flujos de trabajo. La supervisión del comportamiento ayuda a detectar anomalías o actividades sospechosas.

Aplicar los principios de «cero confianza»: la aplicación de una arquitectura de «cero confianza» a los entornos conectados a la IA limita el movimiento lateral y reduce el alcance de un posible ataque en caso de que se produzca una brecha de seguridad.

Establecer marcos de gobernanza: definir las responsabilidades en materia de seguridad de la IA, las políticas de uso aceptable y los procesos de evaluación de riesgos. La gobernanza garantiza que la adopción de la IA se ajuste a los objetivos de ciberseguridad y de la propia IA.

Reforzar la seguridad centrada en las personas: formar a los empleados en materia de higiene adecuada, uso seguro de la inteligencia artificial y prácticas de gestión de datos reduce el riesgo de exposición por negligencia. La concienciación en materia de seguridad constituye un control fundamental para la gestión de los riesgos relacionados con la IA general.

Cómo ayuda Mimecast a reducir los riesgos de seguridad derivados de la inteligencia artificial

La IA generativa permite a los atacantes crear mensajes de phishing, guiones de ingeniería social y contenidos maliciosos sumamente convincentes. Estas amenazas suelen dirigirse a las mismas plataformas de comunicación en las que los empleados utilizan herramientas de inteligencia artificial.

Mimecast refuerza la protección mediante:

• Detección de intentos avanzados de phishing y BEC
• Detección de instrucciones maliciosas incrustadas en las comunicaciones
• Supervisión del riesgo interno y del intercambio anómalo de datos
• Reducción de la fuga de datos en entornos de correo electrónico y colaboración

A medida que la inteligencia artificial amplía la superficie de ataque, la defensa en profundidad cobra una importancia fundamental. Mimecast combina la inteligencia sobre amenazas, la seguridad basada en la inteligencia artificial y la gestión humana de riesgos para ayudar a las organizaciones a reducir su exposición en un entorno laboral impulsado por la inteligencia artificial.

Al armonizar la seguridad de las comunicaciones con la gobernanza de la inteligencia artificial, las empresas obtienen una mayor visibilidad de las amenazas emergentes y de las vulnerabilidades provocadas por personas internas.

Gestión de los riesgos de seguridad de Gemini

Google Gemini no es intrínsecamente inseguro. Como plataforma de IA generativa, ofrece un aumento significativo de la productividad y la eficiencia operativa. El riesgo surge cuando la implantación de la inteligencia artificial va por delante de los mecanismos de gobernanza.

La exposición de datos sensibles, los errores humanos, las deficiencias en el cumplimiento normativo y la propagación del phishing son motivos de preocupación reales, pero pueden gestionarse mediante controles proactivos. Los responsables de seguridad deben pasar de un enfoque reactivo de bloqueo a una gestión estratégica de los riesgos.

Evaluar Gemini desde la perspectiva del riesgo humano permite a las organizaciones encontrar un equilibrio entre la innovación y la responsabilidad. Al integrar la gobernanza de la IA en los programas de ciberseguridad existentes y reforzar las medidas de protección de las comunicaciones, las empresas pueden aprovechar de forma segura las capacidades de la IA de generación.