01 / LEER LA EVIDENCIA
El nombre de una aplicación no cuenta toda la historia.
Observar un proceso o un dominio relacionado con IA puede indicar actividad, pero no demuestra por sí solo qué datos se compartieron. La interpretación debe ajustarse a la evidencia disponible.
Las herramientas de escritorio, los navegadores, las extensiones y las integraciones automatizadas plantean preguntas diferentes. Una única regla difícilmente puede describir todos esos usos.
Una señal orienta la investigación. No sustituye la evidencia.
02 / DEFINIR EL ALCANCE
Construir visibilidad con límites explícitos.
Antes de generar alertas, conviene definir las fuentes disponibles, el uso esperado y las políticas de la organización.
Distinguir aplicaciones autorizadas, pruebas y usos desconocidos.
Mantén un inventario con propietario, finalidad y estado de aprobación. Un uso desconocido requiere contexto; no equivale a un uso malicioso.
Relacionar conexiones y procesos cuando la telemetría lo permita.
Registra qué fuente aporta cada dato y su periodo de cobertura. Si no puedes atribuir una conexión a un proceso, conserva esa limitación en el análisis.
Separar inventario de uso de señales que requieren investigación.
Una aplicación instalada no demuestra que se haya utilizado. Diferencia presencia, ejecución y conexión antes de decidir qué investigar.
Documentar excepciones concretas sin asumir que todo uso de IA es malicioso.
Acuerda quién autoriza la excepción, para qué datos y durante cuánto tiempo. Revisa su vigencia y evita permisos generales sin responsable.
03 / UN CASO PARA CONTRASTAR
Una conexión no es una fuga de datos.
La conclusión debe ajustarse a la fuente. Si solo disponemos de metadatos de conexión, no podemos describir el contenido de una conversación.
La telemetría registra una conexión del navegador a un servicio de IA desde un equipo corporativo. No incluye el contenido intercambiado.
Qué sabemos
El equipo, el proceso y el destino que aparecen en el registro, dentro del periodo observado.
Qué no sabemos
Si hubo una consulta, qué se escribió, si se adjuntaron archivos o si había información sensible.
Qué comprobar
La atribución del registro, la autorización del servicio y la finalidad del uso. Consultar fuentes adicionales solo dentro del alcance aprobado.
Cómo documentarlo
Actividad observada pendiente de contexto. No etiquetarla como exfiltración sin evidencias que lo sustenten.
Una consulta DNS aislada tampoco confirma una interacción con el servicio. La ausencia de registros no demuestra ausencia de actividad: puede haber límites de cobertura o retención.
04 / CONVERTIR CRITERIOS EN CONTROLES
El control también es organizativo.
La visibilidad técnica debe acompañarse de pautas sobre datos, autorizaciones y responsabilidad. No todo puede resolverse desde el endpoint.
Una revisión útil termina con criterios comprensibles para los usuarios y con controles que pueden verificarse en el entorno real.
Define qué necesitas observar, quién puede acceder a los registros y cuánto tiempo se conservan. Prioriza la información necesaria para la finalidad acordada y no recopiles conversaciones completas por defecto.
IDEA PARA LLEVARTE
Elige una señal de IA de tu entorno: ¿puedes explicar su origen, lo que demuestra y lo que todavía necesita validación?
Contenido orientativo. Los ejemplos son ficticios y no representan clientes, incidentes ni capacidades verificadas de un producto.