Ciberseguridad e IA: Integración y aprovechamiento de las Directrices NIST existentes

Por: Katerina Megas y Victoria Yan Pillitteri

Qué está tramando el NIST (*)?

El 3 de abril de 2025, NIST organizó un Taller de Ciberseguridad y Perfil de AI en nuestro Centro Nacional de Ciberseguridad de Excelencia (NCCoE) para escuchar retroalimentación sobre nuestro documento conceptual que presentó oportunidades para crear perfiles del Marco de Ciberseguridad (CSF) del NIST y el NIST AI Risk Management Framework (AI RMF). Estos servirían para apoyar a la comunidad de ciberseguridad mientras adoptan IA para la ciberseguridad, necesitan defenderse de ataques de ciberseguridad habilitados para la IA, así como proteger los sistemas de IA ya que las organizaciones adoptan IA para apoyar su negocio. Manténgase atento para el pronto a publicar el Informe de Resumen del Taller.

Qué pasa con las Directrices de Implementación?

Los perfiles comunitarios proporcionan una vía para que las comunidades (es decir, el grupo de organizaciones que comparten un contexto común y un interés en su postura de ciberseguridad) describieran un punto de vista consensuado sobre la gestión de riesgos de ciberseguridad. Un perfil de CSF para la IA puede incluir una amplia variedad de información, que va desde prioridades hasta implicaciones, así como referencias informativas, todo enmarcado a través de una taxonomía común de resultados de ciberseguridad de alto nivel. Los perfiles comunitarios proporcionan una taxonomía compartida para la gestión y las prioridades de riesgo de ciberseguridad, ayudan a alinear los requisitos de múltiples fuentes y fomentan los resultados objetivos comunes.

Los perfiles comunitarios son un primer paso importante. También hemos escuchado una fuerte demanda (y oportunidad) para que el NIST proporcione simultáneamente directrices prácticas de implementación para ayudar a las organizaciones a lograr los resultados en el perfil de IA Cibernética. Al trabajar estos esfuerzos simultáneamente, el desarrollo del perfil puede servir de base para el desarrollo de las directrices de aplicación, y viceversa.

Tanto las partes interesadas de los organismos federales como las partes interesadas del sector privado han identificado esa necesidad de directrices de aplicación práctica para ayudar a mejorar la seguridad cibernética de los sistemas de IA. Siguiendo con la retroalimentación para no reinventar la rueda, NIST tiene la intención de aprovechar plenamente los marcos de ciberseguridad y las directrices técnicas existentes (específicamente los controles de seguridad y privacidad) para desarrollar una serie de superposiciones de control de ciberseguridad centradas en casos y basadas en casos.

Las capas de control son un conjunto de controles NIST SP 800-53 diseñados y adaptados para atender necesidades especializadas, tecnologías o misiones o entornos únicos de operaciones. A diferencia de los perfiles comunitarios y de los marcos que los aprovechan, los controles SP 800-53 son generalmente más detallados y orientados a aplicaciones específicas.

En lugar de una superposición general de ciberseguridad y control de privacidad para todas las IA, vemos que existe una necesidad crítica de más superposición centrada en la implementación y uso específicos para cubrir los diferentes tipos de sistemas de IA, componentes específicos y usuarios. Esto se debe a que:

• En muchos aspectos, los controles de ciberseguridad y privacidad necesarios para gestionar el riesgo para los sistemas y componentes de IA no son diferentes de los requeridos para cualquier tipo de software; no hay necesidad de rehacer o reiterar estos controles.
• No todas las organizaciones desarrollarán IA; muchos serán solo usuarios. En estos casos, el análisis de las necesidades del usuario previsto garantizará soluciones ligeras y modulares que las organizaciones pueden elegir en uso solo o en diferentes combinaciones para satisfacer sus necesidades únicas.
• Estas capas deberían centrarse únicamente en los controles que requieren consideraciones de aplicación únicas y se abordan los riesgos específicos de IA.

NIST desarrollará superposiciones de control que responden a las llamadas de las partes interesadas para construir sobre los marcos y directrices existentes, y también demostrará cómo nuestra amplia cartera puede ser utilizada sin problemas para mejorar las prácticas de gestión de riesgos de ciberseguridad.

Planes para el trabajo futuro de los NIST en la Intersección de la Ciberseguridad y la IA:

Para complementar los esfuerzos mencionados anteriormente, NIST puede llevar a cabo investigaciones y trabajar con la comunidad para:

• Identificar, desarrollar y buscar comentarios públicos sobre casos adicionales de uso de superposición de alto nivel para organizaciones que desarrollan IA y utilizan AI.
• Establecer una Comunidad de Intereses (COI) para las superposiciones de control de AI para garantizar la participación continua.
• Continúe recibiendo ideas y comentarios de la comunidad de ciberseguridad y AI en cada paso del camino a través del COI, talleres y otros mecanismos.
• Comparte el progreso y detalles sobre lo que estamos a la altura.

Esperamos que se una a nosotros y contribuya con sus comentarios sobre este nuevo y emocionante trabajo; NIST da la bienvenida a sus comentarios y participación.

(*) NIST: National Institute of Standards and Technology - (An official website of the United States government)

El NIST es una agencia federal única. Su misión es amplia: promover la innovación y la competitividad industrial de Estados Unidos mediante el avance de la ciencia de la medición, la normalización y la tecnología, de forma que se refuerce la seguridad económica y mejore nuestra calidad de vida.

Una parte esencial del trabajo del NIST consiste en anticiparse al futuro. Sectores en rápida evolución como la nanotecnología, la ciencia de la información cuántica, la seguridad nacional, la tecnología de la información y la fabricación avanzada necesitan sofisticados sistemas de apoyo técnico para florecer y crecer. El NIST proporciona ese apoyo mediante la mejora continua del sistema de medición estadounidense, el desarrollo de nuevas tecnologías, el fomento de normas y el suministro de las herramientas de evaluación tanto empresariales como técnicas necesarias para producir productos y organizaciones de calidad.