Siempre me han atraído los documentales de investigación: el caso no se resuelve por una sola pista, sino por la conexión de muchos fragmentos. Movimientos, relaciones, tiempos e intención forman un todo. Si falta una pieza, la historia se rompe y el resultado puede ser incluso engañoso. En ciberseguridad ocurre algo parecido: la inteligencia artificial no puede “inventar” lo que no se le proporciona, y su eficacia depende en gran medida de los datos completos.
Durante años, la seguridad se apoyó en registros y eventos. Hoy, la era de los modelos inteligentes eleva el listón: cuando los ataques cruzan dominios y sistemas, detectar la secuencia real exige una visión completa del entorno. En este artículo explico qué significa “datos completos”, por qué el enfoque actual suele quedarse corto y cómo el control sobre la información se vuelve parte de la solución.
Qué son los datos completos en ciberseguridad
En el mundo de la seguridad, “datos” suele significar logs y alertas. El problema es que, muchas veces, esos datos no reflejan la realidad con precisión. Los productos de seguridad suelen filtrar, normalizar y preprocesar la telemetría antes de enviarla a un SIEM. El resultado es una representación parcial: los eventos que llegan ya vienen “recortados”.
Imagina un evento de creación de proceso que llega sin contexto: falta la relación temporal con otros eventos cercanos, y también se pierde parte de la información que ayuda a entender el objetivo. En otras palabras, el modelo trabaja con una imagen borrosa, cuando el análisis necesita nitidez.
Con la IA, las consecuencias se amplifican. Los ataques modernos ya no se comportan como incidentes aislados. Suelen atravesar varias capas (correo, nube, endpoints, aplicaciones, accesos e identidad) y, para unirlos como una sola secuencia, se requiere información de alta fidelidad y completa.
Por qué la IA necesita contexto entre sistemas
Una defensa basada solo en fragmentos encuentra piezas sueltas, pero no necesariamente el patrón. Considera una cadena de ataque asociada a un empleado que abandona la empresa: abre un documento de análisis competitivo, lo descarga, lo sube a un almacenamiento personal en la nube y lo envía externamente. Para reconstruir la intención, no basta con ver “descarga” o “subida”: hay que conectar el flujo completo.
En un enfoque tradicional, un SIEM puede recibir alertas de componentes distintos: una relacionada con la descarga y otra con la carga. Pero sin la línea de procedencia del archivo (qué contenía, quién más lo había accedido, cómo se compara el comportamiento con la rutina previa), el análisis no logra cerrar el caso. La IA, en este punto, se vuelve tan buena como el “historial de contexto” que recibe.
El valor de combinar elementos no es solo encontrar anomalías. También permite distinguir entre conductas raras aisladas y secuencias que apuntan a un ataque en curso. Cuando se analizan junto con la relación temporal y el contexto operativo, actividades aparentemente inconexas pueden revelar el verdadero hilo.
Más datos, menos ambigüedad
Otro obstáculo frecuente aparece cuando las muestras son pequeñas. Un solo inicio de sesión a una hora inusual puede explicarse con múltiples razones: viajes, turnos, automatizaciones legítimas o pruebas de sistemas. Un evento aislado rara vez alcanza para concluir.
En cambio, un conjunto de decenas de inicios de sesión a lo largo de meses, correlacionado con la telemetría del dispositivo y los patrones de acceso, ayuda a responder una pregunta clave: ¿esa actividad encaja con el perfil habitual o representa una desviación real? Con esa perspectiva es posible evaluar si se trata del responsable que viaja internacionalmente o, por el contrario, de un adversario que usa credenciales robadas.
En resumen, la seguridad con IA no consiste únicamente en “ver más”, sino en ver mejor: con suficiente volumen, pero también con relaciones entre eventos, cuentas, dispositivos y tiempos.
La lista de lo que debería incluir una visión completa
Para que la IA pueda ayudar de forma consistente, la información debe cubrir varias dimensiones del entorno. Los datos completos no son solo registros de seguridad; incluyen también información que explica cómo funciona la organización en la práctica.
- Telemetría de seguridad: registros y eventos que permiten entender qué ocurrió.
- Datos de infraestructura y operaciones: red, sensores OT, dispositivos IoT, SaaS y señales de nube.
- Identidad: usuarios humanos y también identidades no humanas como cuentas de servicio, llaves de API y tokens asociados a cada evento.
- Datos del usuario final: documentos, archivos y contenido que circula por usuarios, servidores y aplicaciones.
- Información sensible propia cuando sea posible: el “tesoro” que normalmente los sistemas de seguridad excluyen.
Cuando falta una de estas piezas, la IA puede detectar algo, pero le costará interpretar la intención, reconstruir la secuencia o confirmar la hipótesis de manera sólida. Y en seguridad, una hipótesis incompleta puede significar pérdida de tiempo o, peor aún, decisiones equivocadas.
Por qué suelen faltar los “tesoros” (y cómo cambia el juego)
En muchas empresas, el contenido más valioso para el negocio también es lo menos visible para las herramientas de seguridad. Se trata de documentos empresariales, código fuente, propiedad intelectual, registros de clientes y modelos financieros. Son exactamente los activos a los que los atacantes suelen apuntar primero.
Sin embargo, muchas soluciones no los incluyen en el análisis por consideraciones de privacidad, restricciones regulatorias o por limitaciones arquitectónicas. Además, es común que los responsables de seguridad no quieran enviar datos sensibles a servicios de terceros en la nube.
El resultado es claro: si la IA no puede “ver” repositorios donde se gestiona el código, no detectará el copiado completo previo a una salida para un competidor. Y si no tiene visibilidad sobre modelos financieros, puede pasar por alto la exfiltración de proyecciones. En la práctica, es como intentar investigar un fraude sin revisar las transacciones: la investigación avanza, pero lo esencial queda fuera.
Completitud y soberanía: dos caras de la misma necesidad
Lograr datos completos no es solo una cuestión técnica; también es una cuestión de control. En el momento en que la organización entrega información sensible a sistemas de IA, surge una pregunta inevitable: ¿dónde se procesa la información?, ¿quién controla los resultados?, ¿qué modelos se usan?, ¿y qué jurisdicción puede exigir acceso?
En este contexto, completitud y soberanía avanzan juntas. La completitud responde a la pregunta de qué puede observar el sistema. La soberanía responde a quién gobierna la información que se observa y el producto del análisis.
Esto se vuelve especialmente relevante cuando se manejan datos protegidos por normativas y marcos de cumplimiento. La tendencia es clara: para que la IA contribuya a la seguridad sin comprometer la privacidad ni el control, debe ejecutarse bajo condiciones que la organización pueda gestionar y auditar.
El futuro de la seguridad basada en IA se define por los datos
Es tentador pensar que el futuro depende de tener el modelo más sofisticado. Sin embargo, el punto de diferencia real es otro: quién ofrece a su IA los datos completos con alta fidelidad, con contexto operativo profundo y sin ceder el control sobre la información.
Cuando el sistema se alimenta con señales provenientes de múltiples dominios—seguridad, identidad, infraestructura y contenido—la IA puede pasar de “detectar” a “entender”. Y cuando además existe control sobre el uso y el análisis de esa información, la organización obtiene una ruta más confiable para reducir puntos ciegos.
Al final, la investigación no se resuelve con fragmentos aislados. Se resuelve conectándolo todo. En ciberseguridad, esa conexión requiere datos completos, contexto y soberanía para que la IA pueda marcar la diferencia.
Fuente: https://www.securityweek.com/the-future-of-ai-driven-security-depends-on-complete-data/
