Cada pocos meses, la seguridad de las evaluaciones parece encontrar una nueva pregunta de la que preocuparse. ¿Cómo deberíamos responder a la IA generativa? ¿Gafas inteligentes? ¿Deepfakes? ¿La próxima amenaza emergente? Todas son preguntas importantes. Simplemente no estoy convencido de que sean los más importantes.
Un reciente seminario web de la Asociación de Editores de Pruebas (ATP) sobre seguridad en diferentes modalidades de examen reforzó esa visión. La parte más valiosa de la discusión no fueron las tecnologías en sí. Fue la oportunidad de dar un paso atrás y preguntarnos si nos estamos centrando en las preguntas que seguirán importando cuando llegue la próxima tecnología.
Ya sea que realices un programa de certificación, un examen de licencia o una prueba de admisión, el patrón es el mismo: casi con toda seguridad habrá otra 'variante' de IA el mes que viene o el año que viene, igual que habrá nuevos dispositivos, nuevas técnicas y nuevas formas para que los actores malintencionados exploten los sistemas de evaluación. Si nuestras estrategias de seguridad se basan en la tecnología actual, siempre estaremos a remolque. La seguridad de evaluación preparada para el futuro comienza por hacer mejores preguntas.
¿Estamos preparando para las amenazas de mañana?
La tecnología cambia, los principios de seguridad perduran. Hemos visto esto a lo largo de la historia de la evaluación. Los dispositivos ocultos se vuelven más pequeños, las pruebas proxy se vuelven más sofisticadas, la IA reduce la barrera contra la mala conducta mientras crea vectores de ataque completamente nuevos.
Cada nueva táctica genera presión para encontrar la siguiente contramedida, ya sea otra política, otra herramienta o otro control diseñado para contrarrestar la última técnica. Esa es una carrera que nunca ganaremos.
La seguridad efectiva no consiste en predecir cada nueva amenaza. Se trata de comprender los vectores de ataque subyacentes, incluyendo la suplantación, el robo de contenido y la asistencia no autorizada, y construir arquitecturas de seguridad que sigan siendo efectivas a medida que evoluciona el panorama de amenazas. Tecnologías como la IA tienen un papel cada vez más importante en esto, ayudándonos a identificar riesgos antes, combatir las trampas habilitadas por IA y reforzar la seguridad de las evaluaciones. Ese cambio de pensamiento es lo que hace que la seguridad sea resiliente; Lo que venga después.
¿Estamos creando fricciones para las personas adecuadas?
La seguridad de la evaluación suele enmarcarse como un equilibrio entre integridad y experiencia del candidato. No creo que tenga que serlo.
La buena seguridad es asimétrica: casi invisible para los candidatos honestos y costosa para los malos actores. El objetivo no es crear más fricción para todos. Es crear fricciones significativas precisamente donde deben estar, para quienes intentan socavar la integridad de la evaluación, mientras se mantiene una experiencia justa, accesible y positiva para los examinados legítimos.
Cuando logramos ese equilibrio, la seguridad fortalece la confianza sin convertirse en una barrera de acceso.
¿Estamos construyendo controles o arquitectura de seguridad?
Ningún control de seguridad puede responder a todas las preguntas. Y no debería esperarse que así sea.
Cada control aporta una perspectiva diferente:
- La verificación de identidad establece la confianza de que la persona adecuada está realizando la evaluación.
- Los controles medioambientales proporcionan confianza en las condiciones bajo las cuales se realiza la evaluación.
- El seguimiento conductual ayuda a identificar actividades inusuales en el momento en que ocurren.
- La inteligencia conectada revela patrones que las sesiones individuales no pueden.
Cada uno aporta información valiosa individualmente. Juntos, proporcionan contexto, que es mucho más poderoso. Más importante aún, contribuyen en diferentes etapas del ciclo de vida de la evaluación, desde disuadir y prevenir fraudes antes incluso de que haya comienzado la evaluación, pasando por la detección en tiempo real, la investigación posterior a la prueba y la mejora continua.
Eso es importante porque las amenazas modernas rara vez dependen de una sola táctica. Combinan personas, tecnología, sincronización y oportunidad de formas que ningún control individual puede abordar completamente. Por tanto, tiene sentido que una seguridad efectiva en las evaluaciones no dependa de un solo control. La confianza viene de ver el panorama completo, no de depender de una sola parte de ella.
¿Estamos conectando los puntos?
Cada evaluación genera datos. La cuestión importante es si estamos convirtiendo esos datos en inteligencia.
Las señales individuales rara vez cuentan toda la historia. Una comprobación de identidad podría no levantar preocupaciones; una sesión de pruebas podía parecer sin incidentes; un solo resultado puede no parecer inusual por separado. Pero cuando esas señales se conectan entre candidatos, sesiones, dispositivos, ubicaciones y tiempo, empieza a surgir una imagen diferente. Los patrones se hacen visibles, las relaciones se aclaran, los riesgos pueden identificarse antes e investigarse con mayor confianza.
Por eso creo que la inteligencia conectada se está convirtiendo en uno de los principios más importantes en la seguridad moderna de pruebas. No porque recopilemos más datos, sino porque los conectamos para crear una mayor comprensión. También es donde tecnologías como la IA ganan su lugar en un programa de seguridad. No como la amenaza a la que reaccionamos, sino como una capacidad defensiva que nos ayuda a identificar riesgos antes y conectar las pruebas más rápido.
Los programas de seguridad más potentes no responden simplemente a incidentes individuales. Conectan continuamente las pruebas, aprenden de cada evaluación y fortalecen su capacidad para prevenir la próxima amenaza.
Mejores preguntas conducen a una mejor seguridad
La seguridad de la evaluación preparada para el futuro no se define por nuestra capacidad para predecir cada nueva técnica de trampas. Proviene de nuestra capacidad para construir arquitecturas de seguridad diseñadas para el cambio.
Eso requiere que miremos más allá de las tecnologías individuales y nos centremos en principios duraderos. Requiere que creemos fricción para actores malintencionados, no para candidatos honestos. Nos obliga a pensar en la seguridad como una arquitectura integrada en lugar de como un conjunto de controles independientes. Y requiere que convirtamos los datos en inteligencia conectada que nos ayude a adaptarnos continuamente a medida que evolucionan las amenazas.
La tecnología seguirá cambiando, y nadie puede anticipar cada nueva amenaza o tipo de IA. Lo que sí podemos hacer es seguir haciendo mejores preguntas y construir arquitecturas de seguridad preparadas para lo que venga después. Esa es la conversación más importante que deberíamos tener.