La empresa de ciberseguridad obtuvo ISO/IEC 42001:2023 para su programa de gobierno de inteligencia artificial, cubriendo desde búsqueda en logs hasta workflows autónomos en MDR.
Rapid7 logró la certificación ISO/IEC 42001:2023 para su Sistema de Gestión de Inteligencia Artificial (AIMS, por sus siglas en inglés), convirtiéndose en una de las primeras empresas de ciberseguridad en someter su programa de gobierno de IA a auditoría externa bajo este marco. La certificación, emitida por Schellman Compliance tras una evaluación independiente, cubre ocho sistemas de IA ya desplegados en productos comerciales de la compañía, desde capacidades de análisis de superficie de ataque hasta workflows autónomos que asisten a analistas del centro de operaciones de seguridad (SOC) de Rapid7. El estándar ISO/IEC 42001 es el primer marco internacional de sistema de gestión específico para inteligencia artificial, publicado en 2023, y establece requisitos para evaluación de riesgos, gestión de datos, monitoreo en producción y supervisión humana a lo largo del ciclo de vida de los sistemas de IA.
Qué cubre la auditoría y qué queda fuera del alcance certificado
Los ocho sistemas incluidos en el alcance de la certificación abarcan funcionalidades que los clientes de Rapid7 ya utilizan en entornos de producción. Entre ellos figuran AI-Powered Log Search y AI-Powered Log Summary (ambos en Incident Command, anteriormente InsightIDR), que permiten búsqueda y síntesis automática de eventos de seguridad; AI-Generated Risk Summaries (en Exposure Command y Surface Command), que consolida hallazgos de vulnerabilidades; y Attack Surface Management (Surface Command), que mapea activos expuestos. También está certificado ICS Runtime Event Story (InsightCloudSec), orientado a entornos de nube, y dos capacidades específicas del servicio de detección y respuesta gestionada (MDR): AI Dashboard Summary Card, que resume actividad para clientes del servicio, y Agentic AI Workflow for MDR, un sistema de flujo autónomo que asiste a los analistas del SOC de Rapid7 en investigaciones y respuesta a incidentes en nombre de clientes de MDR.
La certificación no valida la precisión técnica de cada modelo ni garantiza que los sistemas no cometan errores — eso queda fuera del alcance de ISO/IEC 42001, que se enfoca en cómo la organización gobierna esos sistemas. El estándar exige que Rapid7 documente cómo evalúa riesgos de cada sistema de IA, cómo gestiona los datos de entrenamiento e inferencia, cómo monitorea el comportamiento en producción y cómo mantiene supervisión humana en puntos críticos del ciclo de vida. La certificación se mantiene mediante auditorías de vigilancia anuales, lo que implica que el programa de gobierno de IA de Rapid7 queda sujeto a revisión continua mientras el certificado esté activo.
Por qué un proveedor de seguridad certifica su propia IA antes que sus clientes lo exijan
Rapid7 ya poseía certificaciones ISO/IEC 27001 (seguridad de la información), SOC 2, FedRAMP (marco federal de EE.UU. para servicios en nube), IRAP (marco australiano), ENS (Esquema Nacional de Seguridad de España) y BSI C5 (marco alemán de seguridad en nube). La incorporación de ISO/IEC 42001 responde a un cambio en las preguntas que los equipos de seguridad están formulando a sus proveedores: de dónde proviene el modelo, qué datos utiliza, quién revisa sus salidas, cómo se mantiene la integridad del sistema. Estas preguntas no tienen respuesta en los marcos tradicionales de seguridad de la información, que no contemplan riesgos específicos de IA como sesgo en datos de entrenamiento, deriva de modelos en producción o falta de explicabilidad en decisiones automatizadas.
La certificación funciona como evidencia independiente de que Rapid7 tiene controles documentados y auditados para esos riesgos, lo que facilita la debida diligencia de clientes que están incorporando evaluación de riesgos de IA en sus programas de gestión de terceros. Esto cobra relevancia en contextos regulatorios emergentes: el Marco de Gestión de Riesgos de IA del NIST (publicado en 2023) y la Ley de IA de la Unión Europea (AI Act, en vigor desde agosto de 2024) establecen obligaciones de transparencia y gestión de riesgos para proveedores y usuarios de sistemas de IA. La certificación de un proveedor no reemplaza la evaluación propia del cliente, pero reduce la carga de auditoría inicial al ofrecer un punto de partida verificado por terceros.
Cómo impacta en América Latina la adopción temprana de estándares de gobierno de IA
La región latinoamericana no cuenta todavía con regulación vinculante sobre IA comparable al AI Act europeo, aunque Brasil avanza en un proyecto de ley (PL 2338/2023) que establece principios de transparencia y supervisión humana similares a los contemplados en ISO/IEC 42001. México, Colombia y Chile han publicado estrategias nacionales de IA que mencionan la necesidad de marcos de gobernanza, pero sin traducción normativa concreta hasta el momento. En este contexto, la certificación de proveedores globales como Rapid7 bajo estándares internacionales puede funcionar como referencia de facto para equipos de seguridad en la región que necesitan evaluar riesgos de IA sin contar con guías regulatorias locales claras.
Para organizaciones en sectores regulados de América Latina — banca, energía, salud — que ya están sujetas a requisitos de gestión de riesgos de terceros (como los establecidos por bancos centrales en Brasil, México y Argentina), la certificación ISO/IEC 42001 de un proveedor puede simplificar la justificación de uso de sistemas de IA ante auditores internos o reguladores. Esto es particularmente relevante en casos donde el sistema de IA del proveedor interviene en procesos críticos del cliente, como la priorización automatizada de alertas de seguridad o la síntesis de eventos de logs en investigaciones de incidentes, donde un error de la IA puede derivar en exposición no detectada o respuesta inadecuada.
Nuestro análisis
La certificación de Rapid7 marca un punto de inflexión en cómo los proveedores de ciberseguridad abordan la rendición de cuentas sobre sus propios sistemas de IA. Hasta ahora, la mayoría de las empresas del sector han comunicado el uso de IA en términos de capacidades y beneficios, sin someter sus programas de gobierno a auditoría externa. ISO/IEC 42001 cambia esa dinámica al establecer un estándar verificable que permite a los clientes distinguir entre afirmaciones de marketing y controles auditados. El hecho de que Rapid7 haya incluido en el alcance un sistema de flujo autónomo (Agentic AI Workflow for MDR) que opera en nombre de clientes de MDR — es decir, que toma decisiones de investigación sin intervención humana inmediata — es significativo: ese tipo de sistema representa el nivel más alto de riesgo en la taxonomía del AI Act europeo (sistemas de IA de alto riesgo que requieren supervisión humana y trazabilidad completa).
Lo que todavía no está claro es cómo evolucionará el alcance de la certificación a medida que Rapid7 incorpore nuevos sistemas de IA. La empresa indicó que actualizará el alcance conforme crezcan sus capacidades de IA, pero no especificó criterios para decidir qué sistemas entran en el programa certificado y cuáles quedan fuera. Tampoco está documentado públicamente cómo Rapid7 gestiona la deriva de modelos en producción — un riesgo conocido en sistemas de IA que aprenden de datos en tiempo real — ni qué umbrales de degradación de desempeño disparan revisión humana o retiro del sistema. Esas preguntas, que ISO/IEC 42001 exige que la organización responda internamente, no son visibles para clientes sin acceso al informe de auditoría completo. ¿Será suficiente la auditoría anual de vigilancia para detectar cambios en el comportamiento de sistemas de IA que evolucionan más rápido que el ciclo de certificación?