Estrategia de seguridad de la IA de Walmart: Lecciones empresariales clave sobre riesgo, identidad y defensa

VentureBeat realizó recientemente una entrevista virtual con Jerry R. Geisler III, Vicepresidente Ejecutivo y Director de Seguridad de la Información de Walmart Inc. para explorar los retos de ciberseguridad a los que se enfrenta el mayor minorista del mundo a medida que la IA autónoma se hace más prevalente.

Nuestro debate se centró en la seguridad de los sistemas de IA autónoma, la modernización de la gestión de identidades y las principales conclusiones del desarrollo de Element AI, la plataforma de IA centralizada de Walmart. Geisler ofreció una perspectiva refrescante y franca sobre cómo la empresa aborda las amenazas de seguridad sin precedentes, desde la lucha contra los ciberataques potenciados por la IA hasta la protección de su enorme infraestructura híbrida multicloud. Su enfoque orientado a las startups para remodelar los sistemas de gestión de identidades y accesos ofrece ideas valiosas para empresas de cualquier escala.

Como responsable de seguridad de una organización del tamaño de Walmart, que opera en Google Cloud, Azure y entornos de nube privada, Geisler aporta una experiencia distintiva en la implementación de arquitecturas de confianza cero y en el fomento de lo que él describe como "velocidad con gobernanza", lo que permite una rápida innovación en IA dentro de un entorno de seguridad de confianza. Las decisiones arquitectónicas tomadas durante el desarrollo de Element AI han influido en la estrategia global de Walmart para consolidar las tecnologías de IA emergentes.

He aquí algunos extractos de nuestra conversación:

VentureBeat: ¿Cómo se están adaptando sus actuales estructuras de gobierno y salvaguardas de seguridad para contrarrestar las nuevas amenazas y las acciones imprevistas de los modelos a medida que la IA generativa y agéntica se hace más autónoma?

Jerry R. Geisler III: La adopción de la IA agéntica introduce riesgos totalmente nuevos que eluden los mecanismos de defensa tradicionales. Entre ellos se incluyen la filtración de datos, el uso indebido de API y la colaboración oculta entre agentes, todo lo cual podría interrumpir las operaciones empresariales o incumplir los requisitos normativos. Nuestro enfoque se centra en la creación de una seguridad proactiva y resistente a través de la gestión avanzada de la postura de seguridad de la IA (AI-SPM), lo que permite la supervisión continua de los riesgos, la seguridad de los datos, el cumplimiento y la confianza.

VB: Con el RBAC convencional mostrando limitaciones en entornos dinámicos de IA, ¿cómo está refinando Walmart su gestión de identidades y sus modelos de Confianza Cero para ofrecer un acceso a los datos de grano fino y consciente del contexto?

Geisler: Una organización de nuestra envergadura requiere una estrategia personalizada que adopte una mentalidad de startup. Nuestro equipo revisa con frecuencia lo que construiría desde cero, preguntándose: "Si empezáramos hoy, ¿cómo sería la gestión de identidades y accesos (IAM)?". IAM ha evolucionado significativamente en las últimas tres décadas, y nuestro énfasis radica en modernizar nuestra pila IAM para racionalizar la complejidad. Aunque distinta de la Confianza Cero, nuestra adhesión al principio del mínimo privilegio sigue siendo firme.

Somos optimistas respecto a la evolución y adopción de protocolos como MCP y A2A, ya que abordan problemas de seguridad reales y nos ayudan a implantar controles de acceso detallados y sensibles al contexto. Estos protocolos permiten tomar decisiones de acceso en tiempo real utilizando credenciales verificables de corta duración, evaluando continuamente la identidad, la clasificación de los datos y el riesgo. Esto garantiza que cada agente, herramienta y solicitud se valide de forma coherente, incorporando plenamente los principios de Confianza Cero.

VB: ¿Cómo influye la configuración híbrida multicloud de Walmart -utilizando Google, Azure y nubes privadas- en sus tácticas de segmentación y microsegmentación de Zero Trust para las cargas de trabajo de IA?

Geisler: Nuestra estrategia de segmentación se basa en la identidad, no en la ubicación de la red. Las políticas de acceso se aplican de forma coherente a las cargas de trabajo en entornos locales y en la nube. Gracias a los avances en protocolos como MCP y A2A, la aplicación de los límites del servicio se está estandarizando, lo que permite una aplicación uniforme de la confianza cero.

VB: Dado que la IA permite ataques más avanzados, como campañas de phishing convincentes, ¿qué defensas basadas en IA está desplegando Walmart para identificar y neutralizar estas amenazas en evolución?

Geisler: En Walmart nos dedicamos a anticipar y contrarrestar las amenazas emergentes, especialmente a medida que la IA transforma el espacio de la ciberseguridad. Mientras los actores maliciosos emplean cada vez más la IA generativa para lanzar campañas de phishing muy persuasivas, nosotros utilizamos las mismas tecnologías para simular ataques adversos y crear una resistencia proactiva.

Hemos integrado el aprendizaje automático avanzado en nuestros sistemas de seguridad para identificar comportamientos inusuales y detectar intentos de phishing. Más allá de la detección, utilizamos IA generativa para modelar escenarios de ataque y probar rigurosamente nuestras defensas mediante ejercicios de red teaming a gran escala.

Al integrar cuidadosamente a las personas y la IA, ayudamos a proteger a nuestros socios y clientes a medida que evoluciona el ecosistema digital.

VB: Element AI hace un amplio uso de modelos de IA de código abierto. ¿Qué riesgos de seguridad únicos ha planteado esto y cómo se está adaptando su enfoque de seguridad a nivel empresarial?

Geisler: Basamos nuestra segmentación en la identidad, no en la ubicación de la red. Las políticas de acceso se aplican de forma coherente tanto en la nube como en los entornos locales. Con protocolos como MCP y A2A ganando terreno, la aplicación de los límites del servicio se está estandarizando, lo que garantiza que la confianza cero se aplique de manera uniforme.

VB: Teniendo en cuenta las operaciones globales y permanentes de Walmart, ¿de qué sistemas automatizados o de respuesta rápida disponen para gestionar incidentes de ciberseguridad concurrentes?

Geisler>Operar a la escala de Walmart exige una seguridad rápida y sin fisuras. Hemos integrado la automatización inteligente en varias capas de nuestro programa de respuesta a incidentes. Al aprovechar las plataformas SOAR, orquestamos flujos de trabajo de respuesta en todas las regiones, lo que permite una rápida contención de las amenazas.

También dependemos en gran medida de la automatización para la evaluación continua de riesgos y para priorizar las respuestas en función de la gravedad. Esto garantiza que nuestros recursos se asignen donde más se necesitan.

Al alinear a los empleados cualificados con una automatización rápida y un contexto procesable, proporcionamos una seguridad eficaz a la velocidad y escala que Walmart necesita.

VB: ¿Qué estrategias está utilizando Walmart para atraer, desarrollar y mantener a profesionales de la ciberseguridad capaces de navegar por el entorno cambiante de la IA y las amenazas?

Geisler: Nuestro programa Live Better U (LBU) ofrece a los asociados una educación asequible, a menudo gratuita, que les permite obtener títulos y certificaciones en ciberseguridad y TI. Esto ofrece a los empleados de diversos orígenes una vía clara para mejorar sus cualificaciones. El plan de estudios hace hincapié en el aprendizaje práctico que se aplica directamente a los requisitos de seguridad de Walmart.

También organizamos nuestra conferencia anual SparkCon (antes Sp4rkCon), con charlas de expertos y sesiones de preguntas y respuestas con destacados profesionales. El evento explora los últimos desarrollos, técnicas, tecnologías y amenazas en ciberseguridad, creando redes y oportunidades de avance profesional para los asistentes.

VB>Mirando hacia atrás en el desarrollo de Element AI, ¿qué ideas clave sobre ciberseguridad o arquitectura han determinado sus decisiones sobre cuándo y cómo centralizar las tecnologías de IA emergentes?

Geisler: Es una pregunta esencial: nuestras decisiones arquitectónicas de hoy definirán nuestro perfil de riesgo durante años. Al desarrollar una plataforma de IA centralizada, hemos aprendido dos lecciones fundamentales que determinan nuestra dirección futura.

En primer lugar, la centralización favorece enormemente la "velocidad con gobernanza". Al establecer una ruta unificada y racionalizada para el desarrollo de la IA, reducimos la complejidad para los científicos de datos. Y desde el punto de vista de la seguridad, crea un único plano de control. Integramos la seguridad desde el principio, garantizando prácticas de datos, revisiones de modelos y supervisión de resultados uniformes. Esto permite que la innovación prospere rápidamente, dentro de un marco en el que podemos confiar.

En segundo lugar, permite "concentrar la defensa y la experiencia". El entorno de amenazas de la IA está cambiando rápidamente. En lugar de dispersar a nuestros especialistas en seguridad de IA en múltiples proyectos independientes, la centralización nos permite reunir a nuestros mejores talentos y las defensas más eficaces en un punto clave. Podemos implantar y perfeccionar funciones de seguridad avanzadas, como controles de acceso sensibles al contexto, supervisión inmediata y prevención de pérdida de datos, extendiendo esa protección sin fisuras a todos los casos de uso.