El trabajo remoto ha consolidado un modelo que ya no tiene vuelta atrás. Y, junto con él, una superficie de exposición que la mayoría de las empresas todavía no ha identificado por completo. Cuando un empleado accede a los sistemas corporativos desde casa, desde una cafetería o desde otro país, no se limita a utilizar una red diferente. Está tomando decisiones sobre los datos de la empresa en un entorno donde los controles son distintos, las distracciones son mayores y las herramientas que utiliza pueden no haber sido aprobadas por el equipo de seguridad. La llegada de las herramientas de IA generativa ha añadido una nueva capa a este problema. Los empleados que utilizan ChatGPT, Copilot, Gemini o cualquier otro asistente para optimizar su trabajo suelen pegar fragmentos de documentos, datos de clientes o información estratégica en estas herramientas sin ser conscientes del riesgo que esto supone. En este artículo entenderás por qué la seguridad en el acceso remoto se ha vuelto más compleja con el uso de la IA, cuáles son los principales vectores de exposición y qué necesita tener estructurado tu empresa para controlar este entorno. Buena lectura.
Qué ha cambiado en la seguridad del acceso remoto
Durante mucho tiempo, proteger el acceso remoto significaba básicamente garantizar que la conexión estuviera cifrada. Una VPN corporativa resolvía la mayor parte del problema: los datos viajaban de forma segura entre el dispositivo del empleado y los servidores de la empresa.
Este modelo sigue siendo necesario, pero ya no es suficiente.
El problema es que hoy los datos no salen de la empresa únicamente a través de la red. También salen a través del comportamiento de los empleados, de las herramientas que eligen utilizar y de las decisiones que toman fuera del alcance de cualquier sistema de supervisión corporativa. Un empleado que trabaja desde casa y pega un contrato en una herramienta de IA para «resumirlo antes de la reunión» acaba de enviar ese documento a un servidor externo, posiblemente ubicado en otro país, sin que nadie en la empresa haya sido informado.
El riesgo específico de las herramientas de IA en el trabajo remoto
Las herramientas de IA generativa se han convertido en parte del flujo de trabajo de muchos empleados, y esto ha sucedido más rápido de lo que las políticas de seguridad han podido adaptarse. El resultado es una brecha entre lo que los empleados hacen en su día a día y lo que la empresa sabe que se está haciendo con sus datos.
Esta brecha tiene consecuencias concretas.
Datos que salen a través del prompt
Cuando un empleado utiliza una herramienta pública de IA para analizar un documento, procesar una hoja de cálculo o redactar una comunicación basada en datos internos, esos datos se envían al servidor de la herramienta. Dependiendo de las condiciones de uso y de la configuración de la cuenta, este contenido puede utilizarse para entrenar modelos futuros o quedar almacenado en registros accesibles al proveedor.
En el caso de los datos personales de clientes, esto supone una vulneración de la LGPD. En el caso de los datos estratégicos, supone una exposición que ningún contrato con la herramienta podrá solucionar una vez que los datos hayan salido de la empresa.
Herramientas no aprobadas en dispositivos personales
Los empleados que trabajan desde casa suelen alternar entre dispositivos personales y corporativos, o utilizan extensiones y aplicaciones que no han pasado por ninguna evaluación del equipo de TI. Una extensión de IA instalada en el navegador personal puede tener acceso a todo lo que escribe el empleado, incluidas las credenciales y los datos de los sistemas internos a los que accede desde ese mismo navegador.
Este tipo de exposición no aparece en ningún registro corporativo porque se produce fuera del perímetro de la empresa.
Cuentas personales en herramientas corporativas de IA
Incluso las herramientas aprobadas por la empresa pueden convertirse en un problema cuando el empleado utiliza su cuenta personal en lugar de la corporativa. La cuenta personal puede tener una configuración de privacidad diferente, puede no estar sujeta a las políticas de conservación de datos de la empresa y puede seguir existiendo después de que el empleado deje la organización, con datos corporativos almacenados en ella.
Los controles que deben existir
La seguridad en el acceso remoto en entornos donde se utiliza IA no se resuelve con una única herramienta. Requiere una combinación de controles técnicos, políticas claras y formación que funcionen de manera conjunta.
Política de uso de IA con datos corporativos
El punto de partida es definir qué pueden y qué no pueden hacer los empleados con las herramientas de IA cuando su trabajo implica datos de la empresa. Qué herramientas están permitidas, en qué condiciones, con qué tipo de datos y desde qué cuenta.
Sin una política documentada y comunicada, cada empleado toma la decisión que le parece razonable. Y lo que resulta razonable para alguien que intenta ser productivo es muy diferente de lo que resulta razonable para quien gestiona los riesgos relacionados con los datos. Una política de seguridad de la información que no contempla el uso de IA generativa está desactualizada respecto al entorno de trabajo real de la mayoría de los equipos.
Control de acceso basado en el contexto
El modelo tradicional de control de acceso comprueba si el empleado tiene permiso para acceder a un sistema determinado. El modelo más actual también verifica el contexto: desde qué dispositivo, desde qué red, a qué hora y con qué comportamiento habitual.
Un acceso realizado desde un dispositivo desconocido, desde una ubicación inusual y fuera del horario habitual debe generar una alerta, independientemente de que las credenciales sean correctas. Este es el principio de zero trust aplicado al acceso remoto: ningún acceso es de confianza por defecto, independientemente de su origen.
Monitorización del movimiento de datos
Saber que los empleados tienen acceso a los sistemas no es suficiente. La empresa necesita saber qué se está haciendo con los datos durante esos accesos. Si un empleado descarga en 20 minutos un volumen de archivos muy superior a su patrón histórico, es una señal que debe investigarse, ya sea porque está a punto de dejar la empresa o porque su cuenta ha sido comprometida.
Las soluciones de prevención de fugas de datos que monitorizan el movimiento de archivos fuera del entorno corporativo son especialmente relevantes en los modelos de trabajo remoto, donde el empleado tiene más autonomía y menos supervisión directa que en una oficina.
Autenticación multifactor en todos los accesos críticos
Las credenciales comprometidas son el vector de entrada más habitual en los incidentes relacionados con el acceso remoto. Una contraseña segura no es suficiente cuando el empleado reutiliza contraseñas en múltiples servicios, utiliza redes que no cuentan con las medidas de seguridad adecuadas o es víctima de un ataque de ingeniería social bien elaborado.
La autenticación multifactor no elimina el riesgo, pero aumenta considerablemente el coste de explotación de unas credenciales comprometidas. Para los sistemas que contienen datos sensibles, es el mínimo que debe estar activado.
Qué exige la LGPD en este escenario
El trabajo remoto y el uso de IA no crean ninguna excepción a las obligaciones de la LGPD. La empresa sigue siendo responsable de los datos personales que trata, independientemente de dónde esté trabajando el empleado que accede a ellos y de qué herramientas utilice para procesar ese trabajo.
Si un empleado que trabaja desde casa utiliza una herramienta pública de IA para procesar datos personales de clientes sin que esto esté previsto en el mapa de datos de la empresa y sin una base jurídica adecuada, la responsabilidad por la exposición recae en la empresa, no en el empleado.
Esto significa que el mapa de datos debe incluir los flujos de trabajo remotos y las herramientas de IA que utilizan los empleados. Y que el protocolo de notificación de incidentes a la ANPD debe contemplar escenarios en los que la filtración se haya producido fuera del entorno técnico controlado de la empresa.
Cómo empezar a estructurar este control
El primer paso es entender qué está sucediendo realmente. Qué herramientas de IA utilizan los empleados en su trabajo, con qué cuentas y qué tipo de datos introducen en ellas. Esta información rara vez está documentada y, con frecuencia, sorprende a los responsables cuando se recopila.
A partir de este análisis, es posible definir qué herramientas se aprobarán con cuentas corporativas, cuáles se bloquearán y cuáles requerirán controles adicionales. También permite estructurar los controles técnicos de acceso remoto en función de las necesidades reales del entorno de trabajo del equipo, y no de lo que estaba previsto cuando el teletrabajo todavía era una excepción.
STWBrasil ayuda a las empresas a estructurar controles de seguridad para entornos remotos, incluida la política de uso de IA, la monitorización de accesos y la prevención de fugas de datos. Si tu empresa todavía no ha identificado cómo utilizan los empleados remotos los datos corporativos, ese es el punto de partida.
