La inteligencia artificial está transformando la ciberseguridad más rápido de lo que las organizaciones pueden redefinir las competencias necesarias para defender sus sistemas. Los profesionales de seguridad ya no se ocupan solo de redes, equipos, aplicaciones y amenazas convencionales. Trabajan cada vez más en entornos donde los sistemas de IA pueden ser tanto un activo empresarial crítico como un instrumento poderoso en manos de atacantes.
Este cambio plantea una pregunta importante para empleadores, organismos de certificación y profesionales de ciberseguridad: ¿cómo debe definirse, evaluarse y certificarse la competencia en ciberseguridad cuando la IA transforma tanto las amenazas como las herramientas de defensa?
Las cualificaciones tradicionales seguirán siendo importantes. Pero la era de la IA crea un nuevo nivel de competencia que abarca ataques mediante IA, defensa asistida por IA, seguridad de modelos, integridad de datos, decisiones automatizadas, técnicas adversarias y gobernanza de herramientas de seguridad basadas en IA.
La competencia en ciberseguridad entra en una nueva etapa
La ciberseguridad siempre ha sido una profesión en rápida evolución. La computación en la nube, las tecnologías móviles, la tecnología operativa, los productos conectados y las cadenas de suministro cada vez más complejas han ampliado continuamente las competencias esperadas de sus profesionales.
La inteligencia artificial acelera considerablemente esta evolución.
Los profesionales necesitan comprender cada vez más no solo cómo pueden atacarse los sistemas convencionales, sino también cómo los sistemas de IA introducen nuevas vulnerabilidades y cómo la propia IA cambia los costes y la velocidad de las operaciones cibernéticas.
El resultado es un perfil profesional más amplio en el que confluyen cada vez más ciberseguridad, tecnología de IA, gestión de riesgos y gobernanza.
La IA transforma ambos lados de la ciberseguridad
Una característica decisiva del nuevo entorno es que la inteligencia artificial puede fortalecer tanto a atacantes como a defensores.
Los equipos de seguridad pueden utilizar IA para analizar grandes volúmenes de eventos, identificar comportamientos anómalos, priorizar vulnerabilidades, automatizar tareas repetitivas y apoyar la investigación de incidentes.
Los atacantes pueden utilizar capacidades similares para acelerar el reconocimiento, mejorar la ingeniería social, generar contenido malicioso, identificar posibles vulnerabilidades y automatizar partes de sus campañas.
La IA puede ayudar a los equipos a procesar grandes volúmenes de información, identificar anomalías y centrar la atención en posibles amenazas.
Los atacantes pueden utilizar IA para mejorar el reconocimiento, el phishing, la automatización y la explotación a mayor velocidad y escala.
Un profesional debe comprender qué hace la tecnología de seguridad basada en IA, evaluar sus limitaciones y pruebas, y tomar decisiones justificables, además de manejar la herramienta.
La seguridad de los sistemas de IA se convierte en una disciplina de ciberseguridad
Las organizaciones despliegan sistemas de IA en procesos empresariales, productos, infraestructuras y entornos de decisión. Estos sistemas también necesitan protección.
La seguridad de IA introduce cuestiones técnicas que quizá no formaban parte de los programas tradicionales de certificación de ciberseguridad.
Identificar amenazas que afecten a modelos, aplicaciones, interfaces, conjuntos de datos y sistemas conectados de IA.
Evaluar los controles de seguridad de las aplicaciones basadas en IA y sus entornos de despliegue.
Comprender los ataques destinados a manipular el comportamiento, las entradas o el rendimiento de los modelos de IA.
Evaluar riesgos como el envenenamiento de datos, la manipulación de información de entrenamiento y los conjuntos de datos comprometidos.
Comprender la inyección de instrucciones, la manipulación no autorizada y los riesgos de las interfaces de aplicaciones de IA.
Investigar comportamientos anómalos de IA, eventos de seguridad y vulneraciones de sistemas basados en IA.
Las herramientas de IA no eliminan la necesidad de competencia humana
La IA puede procesar enormes volúmenes de información y ayudar a identificar patrones que serían difíciles de detectar.
Pero las decisiones de ciberseguridad suelen implicar incertidumbre, pruebas incompletas y prioridades operativas contrapuestas.
Un profesional puede tener que determinar si una alerta es un ataque real, si una vulnerabilidad supone un riesgo empresarial significativo, si una recomendación automatizada es adecuada o si un control de seguridad tiene consecuencias operativas inaceptables.
¿Qué debe evaluar realmente la certificación de ciberseguridad?
Esto crea un reto importante para los organismos de certificación de personas y los propietarios de esquemas.
Si la IA puede responder preguntas técnicas, generar scripts, explicar vulnerabilidades y ayudar con análisis, los exámenes basados principalmente en conocimientos memorizados pueden perder eficacia para distinguir la competencia profesional real.
Por ello, los futuros esquemas pueden necesitar un mayor énfasis en capacidades demostradas.
Evaluar cómo responden los candidatos a problemas realistas, en lugar de preguntas técnicas aisladas.
Evaluar investigación, contención, priorización y toma de decisiones en condiciones realistas.
Determinar si los candidatos interpretan información sobre amenazas e identifican vías de ataque creíbles.
Evaluar la capacidad de identificar debilidades, dependencias y controles adecuados.
Determinar si los candidatos identifican conclusiones de seguridad inexactas, incompletas o inseguras generadas por IA.
Evaluar si el candidato puede explicar y defender decisiones en situaciones complejas o ambiguas.
La certificación en la era de la IA debe demostrar que el profesional puede evaluar pruebas asistidas por IA y tomar decisiones competentes de seguridad, además de manejar una herramienta basada en IA.
ISO/IEC 17024 adquiere mayor relevancia
ISO/IEC 17024 proporciona un marco internacionalmente reconocido para los organismos que certifican personas.
Sus principios son especialmente pertinentes ante las nuevas certificaciones profesionales de ciberseguridad e IA.
Un programa creíble debe establecer un esquema claramente definido que identifique los requisitos de competencia, los métodos de evaluación, los criterios de certificación y los requisitos de mantenimiento aplicables al rol profesional.
- el rol profesional que se certifica;
- las tareas que se espera que realice la persona certificada;
- los conocimientos, habilidades y capacidades necesarios;
- el nivel de juicio profesional esperado;
- cómo se evaluará la competencia de forma independiente;
- cómo se protegerá la integridad del examen;
- cómo se demostrará el mantenimiento de la competencia; y
- cuándo se requiere recertificación.
La IA crea un nuevo problema de integridad de los exámenes
La inteligencia artificial afecta no solo a lo que deben saber los profesionales, sino también a cómo pueden administrarse los exámenes de certificación.
Los sistemas de IA generativa pueden responder preguntas técnicas, explicar conceptos de seguridad y producir respuestas elaboradas en segundos.
Por ello, los exámenes a distancia y las evaluaciones sin supervisión pueden encontrar mayores dificultades para determinar si una respuesta refleja la competencia propia del candidato.
¿Debe permitirse a los candidatos utilizar IA?
Puede que no exista una respuesta universal.
Si una certificación busca demostrar capacidad técnica independiente, puede ser necesario restringir el acceso a la IA.
Sin embargo, si el uso competente de IA forma parte del rol profesional real, una evaluación controlada asistida por IA puede ofrecer en ocasiones una valoración más realista.
Los candidatos realizan tareas definidas sin asistencia de IA cuando los conocimientos y la capacidad técnica independientes son esenciales.
Los candidatos utilizan herramientas de IA autorizadas y se evalúan su verificación, pensamiento crítico y juicio profesional final.
Es probable que surjan nuevos roles de certificación de ciberseguridad
La convergencia entre ciberseguridad e inteligencia artificial también puede crear roles cada vez más especializados.
La certificación debe seguir a la competencia, no a las modas del mercado
El rápido crecimiento de la IA crea oportunidades comerciales importantes para proveedores de formación y certificación.
También crea el riesgo de que aparezcan credenciales nuevas más rápido de lo que pueden desarrollarse marcos de competencia significativos.
Por ello, una certificación creíble debe comenzar por la actividad profesional que se certifica, no por el nombre del certificado.
Crear un título comercial de IA y ciberseguridad y elaborar un examen breve sobre terminología.
Definir el trabajo, las responsabilidades, la competencia y la metodología de evaluación antes de crear la credencial.
Mantener la competencia puede importar más que nunca
Los conocimientos de ciberseguridad siempre han tenido una vigencia limitada. La IA puede acortarla aún más.
Un profesional certificado hoy puede encontrarse dentro de varios años con tecnologías de IA, herramientas de seguridad, técnicas de ataque y expectativas regulatorias muy diferentes.
La recertificación y el desarrollo profesional continuo se convierten así en componentes centrales de una certificación creíble de personas.
Exigir formación continua pertinente para la evolución de la ciberseguridad y de las tecnologías de IA.
Mantener pruebas de que la persona certificada sigue activa en la práctica profesional pertinente.
Garantizar que la competencia siga alineada con nuevas técnicas de ataque y riesgos de seguridad.
Mantener conocimientos sobre la evolución de las arquitecturas, controles y métodos de ataque de IA.
Cuando proceda, reevaluar la capacidad del profesional para seguir realizando las actividades de seguridad pertinentes.
Mantener el cumplimiento continuado de las expectativas profesionales y éticas aplicables.
Qué deben buscar las organizaciones en las certificaciones de ciberseguridad
Los empleadores también deben ser más selectivos al evaluar credenciales de ciberseguridad.
La existencia de un certificado no demuestra automáticamente que su titular tenga las competencias necesarias para un rol concreto.
- si la certificación tiene un ámbito profesional claramente definido;
- si los requisitos de competencia reflejan la práctica actual de ciberseguridad;
- si las competencias relacionadas con IA son pertinentes para el rol certificado;
- cómo se evalúa a los candidatos;
- si se evalúan la competencia práctica y el juicio profesional;
- cómo se protegen la imparcialidad y la integridad de los exámenes;
- si se exige mantener la competencia; y
- si la certificación está acreditada de forma independiente cuando proceda.
El futuro profesional de ciberseguridad
La IA automatizará partes del trabajo, pero esto no reduce la importancia de la competencia profesional.
Lo que cambia es la naturaleza de esa competencia.
Los profesionales trabajarán cada vez más junto a herramientas inteligentes y seguirán siendo responsables de interpretar pruebas, comprender riesgos, cuestionar conclusiones automatizadas y tomar decisiones que pueden afectar a organizaciones, infraestructuras, clientes y sociedad.
La certificación se centra en gran medida en conceptos, tecnologías y procedimientos de seguridad y en recordar conocimientos técnicos.
La certificación evalúa cada vez más si los profesionales pueden aplicar conocimientos técnicos, cuestionar resultados de IA y asumir la responsabilidad de sus decisiones.
Prepararse para la próxima generación de certificación de ciberseguridad
Los organismos de certificación, propietarios de esquemas, empleadores y organizaciones profesionales deben revisar los marcos existentes de competencia frente a las realidades del trabajo con IA.
Esto no exige necesariamente sustituir las certificaciones establecidas.
En muchos casos, los esquemas actuales pueden evolucionar incorporando competencias adecuadas de seguridad de IA, métodos de evaluación revisados y requisitos más sólidos de mantenimiento de la competencia.
Sin embargo, cuando surjan actividades profesionales verdaderamente nuevas, pueden justificarse nuevos esquemas.
¿Qué estamos certificando realmente?
La cuestión central es, en definitiva, la confianza.
Las organizaciones necesitan confiar en que los profesionales certificados pueden desempeñar roles claramente definidos de manera competente, en un entorno donde el acceso a inteligencia automatizada es casi instantáneo.
Por ello, los esquemas más sólidos distinguirán entre recuperación de información, manejo de herramientas y competencia profesional real.
El futuro profesional no se definirá por su capacidad de competir con la IA, sino por utilizarla inteligentemente, cuestionarla cuando sea necesario y asumir la responsabilidad cuando las decisiones de seguridad importen.