La próxima brecha de seguridad de su empresa podría no comenzar con un virus, un servidor expuesto ni un ataque sofisticado. Podría empezar con una cuenta válida, una contraseña reutilizada, un permiso olvidado o una identidad digital que conserva acceso después de haber dejado de necesitarlo.
Ese cambio modifica la conversación empresarial. El problema ya no consiste solamente en proteger equipos y redes, sino en decidir quién puede entrar, a qué información puede llegar, durante cuánto tiempo y bajo cuáles condiciones. Cuando la organización no responde estas preguntas, cada empleado, proveedor, aplicación, robot de software y agente de inteligencia artificial puede convertirse en una puerta abierta.
La ciberseguridad moderna exige dejar de confiar por ubicación y comenzar a verificar por identidad, contexto, necesidad y riesgo. No es una moda técnica: es una decisión de continuidad, reputación y gobierno empresarial que la dirección no puede delegar estratégicamente. 👉 LEE NUESTRO BLOG...
Durante muchos años, la seguridad empresarial se construyó alrededor de un perímetro relativamente identificable. La organización tenía oficinas, servidores propios, computadores conectados a una red interna y un conjunto limitado de personas autorizadas para utilizar los sistemas.
La lógica parecía sencilla: proteger la entrada, vigilar el interior y bloquear todo aquello que llegara desde afuera.
Ese modelo funcionaba mientras el trabajo, los datos y la tecnología permanecían dentro de fronteras corporativas reconocibles. Pero esas fronteras se diluyeron.
Hoy los colaboradores trabajan desde diferentes ciudades, los proveedores ingresan a plataformas corporativas, las aplicaciones funcionan en la nube, los teléfonos personales consultan información empresarial y numerosas integraciones intercambian datos sin intervención humana.
La organización ya no tiene una única puerta que proteger.
Tiene cientos o miles de identidades intentando acceder, desde diferentes dispositivos, ubicaciones, horarios y sistemas. Por eso, el verdadero perímetro ya no está definido por una pared, una sede o una dirección de red. Está definido por la capacidad de la empresa para reconocer, verificar, autorizar, supervisar y retirar identidades digitales.
El problema no es tener usuarios, sino desconocer qué pueden hacer
Una identidad digital representa a una persona, una aplicación, un dispositivo, un proceso automatizado o cualquier entidad que necesita interactuar con los recursos tecnológicos de la organización.
El riesgo aparece cuando esa identidad recibe más permisos de los necesarios, conserva privilegios indefinidamente o puede actuar sin que la empresa comprenda realmente qué está haciendo.
En muchas organizaciones, la creación de cuentas es rápida, pero su revisión posterior es escasa.
Un colaborador cambia de cargo y conserva los accesos de su función anterior. Un proveedor termina su contrato, pero su cuenta permanece activa. Un administrador utiliza la misma identidad para tareas ordinarias y operaciones críticas. Una aplicación antigua sigue conectada a una base de datos porque nadie recuerda con precisión quién la utiliza.
Cada una de estas situaciones parece pequeña cuando se observa de forma aislada.
Juntas construyen una superficie de riesgo silenciosa.
La mayoría de las empresas conoce cuántos empleados tiene. Sin embargo, no todas saben cuántas cuentas, credenciales, perfiles administrativos, integraciones, tokens, claves técnicas y permisos efectivos existen en su ecosistema.
Esa diferencia es importante porque un atacante no necesita derribar toda la infraestructura. Le basta con encontrar una identidad confiable que esté mal protegida, excesivamente autorizada o insuficientemente vigilada.
El Microsoft Digital Defense Report 2025 indicó que los ataques basados en identidad aumentaron durante el primer semestre de 2025 y que una gran proporción continuaba apoyándose en intentos automatizados contra contraseñas. Esto demuestra que, aunque aparecen amenazas más sofisticadas, las debilidades básicas de identidad siguen siendo extraordinariamente rentables para los atacantes.
Una contraseña correcta no demuestra una identidad confiable
Uno de los errores más peligrosos consiste en confundir autenticación con confianza.
Que una persona conozca una contraseña no significa necesariamente que sea la persona legítima. La credencial pudo ser robada, reutilizada, compartida, interceptada o entregada involuntariamente mediante una maniobra de engaño.
Por eso, la pregunta empresarial no debería limitarse a:
“¿El usuario escribió correctamente su contraseña?”
La organización también debería preguntarse:
¿Es habitual que esta identidad ingrese desde ese lugar?
¿El dispositivo cumple las condiciones de seguridad?
¿La operación corresponde a las funciones del usuario?
¿El nivel de acceso solicitado es proporcional a la tarea?
¿Existe alguna señal de comportamiento anormal?
¿La autorización debería mantenerse o concederse solamente durante unos minutos?
Este enfoque obliga a pasar de una seguridad estática a una seguridad contextual.
No se trata de desconfiar de los colaboradores, sino de reconocer que incluso una persona legítima puede utilizar una credencial comprometida sin saberlo. La verificación debe proteger simultáneamente a la empresa y al usuario.
Las directrices NIST SP 800-63-4, publicadas en 2025, estructuran la identidad digital alrededor de tres capacidades relacionadas: comprobar la identidad, autenticarla y gestionar la relación de confianza entre sistemas. Además, incorporan requisitos de seguridad, privacidad y experiencia de uso, recordando que una identidad segura no puede depender de un único control aislado.
Cuando una empresa desea comprender su exposición real, no debería comenzar comprando otra herramienta. Debería comenzar identificando sus identidades, propietarios, privilegios, dependencias y riesgos. Ese diagnóstico consultivo puede solicitarse en:
https://t.mtrbio.com/todo-en-unonet
El privilegio permanente convierte un error pequeño en una crisis mayor
No todas las identidades producen el mismo impacto.
Una cuenta utilizada para consultar información pública no representa el mismo riesgo que una identidad capaz de modificar bases de datos, cambiar configuraciones, crear usuarios, aprobar pagos o eliminar respaldos.
Por eso, la gestión de accesos privilegiados se ha convertido en una responsabilidad esencial.
Los privilegios elevados deberían concederse solamente cuando existe una necesidad concreta, durante el tiempo estrictamente requerido y con suficientes registros para reconstruir lo ocurrido.
Sin embargo, muchas organizaciones continúan utilizando permisos permanentes por comodidad.
La explicación suele ser operativa: “Ese empleado podría necesitarlo”, “el proveedor siempre lo ha tenido”, “es más rápido dejar la cuenta habilitada” o “nadie sabe qué dejaría de funcionar si retiramos el acceso”.
Detrás de esas respuestas no existe únicamente un problema técnico. Existe falta de conocimiento organizacional.
Cuando la empresa teme retirar un permiso porque desconoce sus consecuencias, significa que tampoco comprende completamente sus procesos, responsabilidades y dependencias digitales.
La ciberseguridad revela entonces una debilidad administrativa previa.
El control de privilegios no consiste en dificultar el trabajo. Consiste en diseñar accesos proporcionales a las responsabilidades. Una organización funcional permite que las personas hagan lo necesario, pero evita que puedan realizar acciones innecesarias o incompatibles con su función.
La empresa también debe gobernar identidades que no son humanas
La conversación sobre identidad suele concentrarse en empleados, directivos, contratistas y clientes. Sin embargo, una parte creciente de las operaciones digitales depende de identidades no humanas.
Entre ellas encontramos cuentas de servicio, aplicaciones, integraciones, robots de automatización, dispositivos conectados, interfaces de programación y agentes de inteligencia artificial.
Estas identidades pueden consultar archivos, modificar registros, transferir información o ejecutar decisiones a una velocidad imposible para una persona.
El riesgo no está en la automatización misma.
El riesgo aparece cuando la empresa automatiza sin establecer propiedad, límites, supervisión y mecanismos de retiro.
Cada identidad no humana debería responder, como mínimo, a preguntas sencillas:
¿Quién es responsable de ella?
¿Qué proceso empresarial atiende?
¿A cuáles sistemas puede acceder?
¿Qué datos puede consultar o modificar?
¿Cómo se autentica?
¿Cuándo fue revisada por última vez?
¿Qué ocurriría si fuera comprometida?
¿Cómo puede desactivarse sin afectar la continuidad?
Si nadie puede responder, la organización ha creado una capacidad tecnológica sin gobierno empresarial.
El artículo que inspira esta reflexión señala precisamente el crecimiento de las identidades no humanas y el peligro de permitir que aplicaciones, procesos automatizados y agentes de inteligencia artificial trabajen con permisos elevados y poca visibilidad. También advierte que los accesos privilegiados mal administrados pueden ampliar rápidamente el impacto de un incidente.
Esta situación confirma una convicción que hemos sostenido en TODO EN UNO.NET: nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.
Automatizar un proceso inseguro no elimina su debilidad. La acelera.
Conectar una inteligencia artificial a datos corporativos sin definir sus permisos no constituye innovación responsable. Constituye una ampliación descontrolada del riesgo.
La autenticación multifactor es necesaria, pero no resuelve todo
La autenticación multifactor agrega una verificación adicional al acceso y puede bloquear numerosos ataques comunes. CISA la considera una medida efectiva para reducir el riesgo de compromiso de cuentas y recomienda, cuando sea posible, mecanismos resistentes al phishing.
Sin embargo, implementar autenticación multifactor no significa que la gestión de identidad esté resuelta.
Una identidad correctamente autenticada todavía puede tener permisos excesivos.
Un usuario legítimo puede aprobar accidentalmente una solicitud fraudulenta.
Una cuenta administrativa puede utilizarse para actividades ordinarias.
Una aplicación puede conservar una credencial durante años.
Un exempleado puede seguir apareciendo en grupos de acceso.
Una organización madura comprende que la autenticación es una parte del sistema, no el sistema completo.
La protección de identidad también requiere inventarios actualizados, separación de funciones, revisión periódica de permisos, accesos temporales, registros de actividad, respuesta ante incidentes y procedimientos confiables para incorporar, trasladar y retirar usuarios.
El ciclo de vida laboral también es un ciclo de riesgo
Cada contratación crea identidades.
Cada ascenso modifica permisos.
Cada traslado entre áreas cambia necesidades.
Cada incapacidad, licencia, tercerización o sustitución temporal puede generar excepciones.
Cada desvinculación exige retirar accesos.
Por eso, la seguridad de identidad no puede permanecer aislada en el departamento de tecnología. Debe conectarse con recursos humanos, contratación, compras, cumplimiento, dirección administrativa, protección de datos y liderazgo operativo.
Cuando estas áreas trabajan separadamente, aparecen retrasos y contradicciones.
Recursos humanos conoce que una persona se retiró, pero tecnología recibe la noticia varios días después.
Compras contrata una plataforma, pero seguridad no conoce qué información procesará.
Un gerente solicita acceso urgente para un colaborador, pero nadie establece una fecha de vencimiento.
Un proveedor cambia a su personal, aunque continúa utilizando una cuenta genérica.
La identidad digital reproduce la realidad organizacional.
Si los cargos son ambiguos, los permisos también lo serán. Si las responsabilidades se superponen, los accesos tenderán a acumularse. Si la empresa no tiene claridad sobre sus procesos, la tecnología terminará otorgando privilegios basados en solicitudes informales.
Por eso, asegurar identidades exige arquitectura empresarial y no solamente configuración técnica.
En TODO EN UNO.NET concebimos las unidades de tecnología, seguridad, cumplimiento y gobierno de datos como capacidades interconectadas, no como dependencias aisladas. La organización debe alinear estrategia, responsabilidades, procesos y controles para que la seguridad produzca continuidad y confianza, no únicamente restricciones.
La dirección debe gobernar el acceso como gobierna el dinero
Ninguna empresa permitiría que cualquier empleado transfiriera recursos económicos sin límites, aprobación o trazabilidad.
Sin embargo, algunas organizaciones permiten que numerosos usuarios accedan a información crítica sin una revisión equivalente.
Los datos, las configuraciones y las identidades privilegiadas representan activos capaces de producir impactos financieros, legales y reputacionales. Su gobierno debería recibir una atención proporcional.
La alta dirección no necesita administrar contraseñas ni configurar plataformas. Necesita establecer preguntas de gobierno:
¿Cuáles son nuestras identidades más críticas?
¿Cuántas cuentas privilegiadas existen?
¿Qué porcentaje de usuarios utiliza autenticación multifactor?
¿Cuánto tiempo tarda la empresa en retirar los accesos de una persona desvinculada?
¿Cuántas cuentas no tienen propietario identificado?
¿Qué sistemas permiten accesos permanentes de proveedores?
¿Con qué frecuencia se revisan los permisos?
¿Qué identidades no humanas pueden consultar datos personales?
¿Podemos reconstruir quién hizo qué durante un incidente?
Las respuestas convierten la ciberseguridad en información para decidir.
Sin métricas, el directorio recibe tranquilidad aparente. Con métricas, puede observar tendencias, prioridades y exposiciones reales.
Microsoft ha insistido en que el riesgo cibernético debe tratarse en el nivel directivo debido a sus consecuencias operativas, financieras y reputacionales. Entre los indicadores sugeridos se encuentran la cobertura de autenticación multifactor, la velocidad de respuesta y las tendencias de exposición.
Las empresas que necesiten convertir estas preguntas en una hoja de ruta funcional pueden iniciar una conversación consultiva en:
https://t.mtrbio.com/todo-en-unonet
Proteger identidades sin paralizar la organización
Algunas empresas evitan fortalecer sus controles porque temen afectar la productividad.
Ese temor es comprensible cuando la seguridad se implementa como una acumulación de obstáculos: más contraseñas, más aprobaciones, más interrupciones y más procedimientos que nadie comprende.
Pero una arquitectura bien diseñada produce el efecto contrario.
Reduce solicitudes manuales.
Automatiza altas y retiros.
Concede permisos según funciones.
Permite accesos temporales.
Elimina cuentas innecesarias.
Facilita auditorías.
Disminuye excepciones.
Mejora la experiencia de quienes necesitan trabajar legítimamente.
La seguridad funcional no obliga a escoger entre protección y eficiencia. Diseña ambas de manera conjunta.
El objetivo no debería ser impedir el acceso, sino asegurar que la identidad correcta pueda realizar la acción correcta, sobre el recurso correcto, durante el tiempo correcto y con el nivel adecuado de supervisión.
Esta definición parece sencilla, pero exige coordinación entre personas, políticas, tecnología y gobierno.
Una Arquitectura de Protección de Datos y Confianza Digital
La identidad debe abordarse como parte de una Arquitectura de Protección de Datos y Confianza Digital.
Esta Arquitectura comienza por entender el negocio antes de seleccionar controles.
Primero se identifican los procesos esenciales, la información crítica, las obligaciones aplicables y las consecuencias de una interrupción.
Después se reconocen las identidades humanas y no humanas que participan en esos procesos.
Luego se clasifican accesos y privilegios según necesidad, sensibilidad y riesgo.
Finalmente, se establecen mecanismos de autenticación, autorización, supervisión, revisión y retiro que puedan mantenerse en el tiempo.
La secuencia es importante.
Cuando una empresa comienza por comprar tecnología, corre el riesgo de digitalizar su desorden. Cuando comienza por comprender funciones, responsabilidades y datos, puede seleccionar herramientas que respondan a una necesidad verificable.
No todas las organizaciones requieren la misma plataforma, pero todas necesitan claridad.
Claridad sobre quién accede.
Claridad sobre qué puede hacer.
Claridad sobre quién lo autorizó.
Claridad sobre cuándo debe terminar ese acceso.
Claridad sobre cómo detectar un comportamiento inesperado.
Claridad sobre cómo actuar cuando una identidad es comprometida.
Esa claridad construye confianza digital.
La identidad es el nuevo perímetro, pero el gobierno sigue siendo humano
Podemos automatizar verificaciones, analizar comportamientos y aplicar políticas en tiempo real. También podemos utilizar inteligencia artificial para reconocer señales que una persona tardaría demasiado en detectar.
Pero la responsabilidad no puede automatizarse por completo.
Alguien debe decidir qué nivel de riesgo acepta la empresa.
Alguien debe determinar cuáles privilegios son compatibles con cada función.
Alguien debe responder por las identidades técnicas.
Alguien debe verificar que los controles no discriminen, obstaculicen innecesariamente o invadan la privacidad.
Alguien debe informar al directorio cuando el riesgo supera la tolerancia definida.
La identidad es digital, pero su gobierno continúa siendo empresarial y humano.
La organización que comprende esta realidad deja de ver la ciberseguridad como una colección de productos y comienza a tratarla como una capacidad institucional.
Ese cambio permite pasar de reaccionar ante incidentes a construir confianza.
No se trata únicamente de evitar que un atacante ingrese. Se trata de demostrar que cada acceso crítico está justificado, limitado, supervisado y alineado con una responsabilidad real.
La empresa del futuro no será necesariamente la que tenga más herramientas de seguridad. Será aquella que sepa exactamente quién —o qué— está utilizando sus sistemas, por qué lo hace y hasta dónde puede llegar.
Cuando una organización gobierna adecuadamente sus identidades, protege mucho más que cuentas y contraseñas. Protege sus decisiones, sus datos, su continuidad, sus clientes y su reputación.
Y cuando todavía no puede responder con seguridad quién tiene acceso a qué, el momento de actuar no es después de una brecha. Es ahora.
Para evaluar la madurez de sus identidades, privilegios, datos y controles desde una perspectiva empresarial, puede conversar con TODO EN UNO.NET en:
https://t.mtrbio.com/todo-en-unonet