Una empresa puede tener antivirus, copias de seguridad y personal, pero seguir expuesta si no sabe quién entra, a qué accede y durante cuánto tiempo. El riesgo ya no comienza con una puerta tecnológica forzada; muchas veces empieza con una credencial, un permiso acumulado o una cuenta que nadie desactivó. Gestionar identidades no es administrar contraseñas: es gobernar decisiones, responsabilidades y confianza. Cuando esta disciplina falla, la organización pierde visibilidad sobre empleados, proveedores, aplicaciones, robots de software y servicios conectados. Entonces aparecen accesos excesivos, conflictos de funciones, fraudes internos, filtraciones y dificultades para responder ante una auditoría. La pregunta directiva no debería ser si existe una herramienta de identidad, sino si la empresa puede demostrar que cada acceso corresponde a una necesidad vigente, aprobada y controlada. Esa diferencia separa una operación digital ordenada de una vulnerabilidad silenciosa que crece día sin ser advertida por la gerencia. 👉 LEE NUESTRO BLOG...
Durante muchos años, la seguridad empresarial se imaginó como una muralla. La organización protegía sus instalaciones, instalaba un firewall, aseguraba los servidores y confiaba en que todo lo ubicado dentro de su red pertenecía a personas autorizadas.
Esa realidad cambió.
Hoy los empleados trabajan desde diferentes lugares, los proveedores se conectan remotamente, las aplicaciones funcionan en la nube y los clientes interactúan con múltiples plataformas. A estas conexiones humanas se suman integraciones, interfaces, automatizaciones, agentes digitales y servicios que intercambian información sin intervención directa de una persona.
La empresa dejó de tener un único perímetro.
Por eso, la identidad digital se ha convertido en uno de los nuevos centros de control de la organización. NIST explica que la gestión de identidades y accesos busca garantizar que las personas y entidades correctas accedan a los recursos adecuados en el momento apropiado. También plantea que los modelos modernos de seguridad deben abandonar la confianza implícita basada únicamente en la ubicación dentro de una red.
La verdadera pregunta ya no es solamente quién conoce una contraseña.
La pregunta es quién es el usuario, qué función cumple, desde qué dispositivo se conecta, qué información necesita, qué acciones puede ejecutar, quién aprobó ese permiso y cuándo debe terminar.
Una identidad digital es mucho más que un nombre de usuario
En términos empresariales, una identidad representa la relación entre una persona —o una entidad tecnológica— y la organización.
Un colaborador puede tener una cuenta de correo, acceso al sistema contable, permisos dentro del CRM, almacenamiento en la nube, ingreso a plataformas de proveedores y autorización para consultar información interna.
Un solo trabajador puede acumular numerosas cuentas y permisos.
Ahora multipliquemos esa realidad por todos los empleados, contratistas, clientes, distribuidores, consultores, aplicaciones e integraciones de la empresa.
La complejidad aparece rápidamente.
Sin una visión unificada, cada área administra accesos según sus necesidades inmediatas. Recursos Humanos informa algunos ingresos y retiros. Tecnología crea usuarios. Los responsables de aplicaciones asignan permisos. Los jefes solicitan accesos urgentes. Los proveedores reciben credenciales temporales que terminan volviéndose permanentes.
Todos cumplen una tarea, pero nadie gobierna el conjunto.
Así nace un problema empresarial que suele permanecer oculto porque no produce síntomas visibles todos los días. La organización continúa operando, los sistemas responden y los usuarios trabajan. Sin embargo, detrás de esa aparente normalidad se acumulan permisos innecesarios y cuentas sin supervisión.
La ausencia de incidentes no demuestra que exista control.
Solo demuestra que todavía no se ha identificado una consecuencia.
El error de copiar permisos
Una de las prácticas más frecuentes consiste en crear el acceso de un nuevo colaborador copiando el perfil de otra persona que ocupa un cargo parecido.
Puede parecer eficiente.
También puede trasladar permisos históricos, excepciones, privilegios temporales y accesos que nunca fueron retirados. El nuevo trabajador recibe entonces no solo lo necesario para ejercer su función, sino todo lo que otra persona acumuló durante años.
El problema se agrava cuando cambia de cargo.
Una persona puede comenzar en operaciones, trasladarse a compras y posteriormente asumir una responsabilidad financiera. Si cada cambio agrega permisos sin retirar los anteriores, termina reuniendo capacidades que nunca debieron coexistir.
Esta acumulación se conoce como crecimiento progresivo de privilegios.
Desde la perspectiva administrativa, representa una falla de diseño organizacional. El acceso se está otorgando a partir de antecedentes personales y solicitudes aisladas, no desde responsabilidades vigentes claramente definidas.
Por eso, la gestión de identidades no puede reducirse a una actividad técnica.
Necesita participación de Recursos Humanos, líderes de proceso, responsables de cumplimiento, propietarios de la información, seguridad y dirección general.
Tecnología puede ejecutar el acceso, pero no debería decidir por sí sola quién tiene derecho empresarial a utilizarlo.
El atacante que no necesita romper la puerta
Muchas organizaciones concentran su inversión en impedir intrusiones técnicas, pero descuidan el uso indebido de credenciales válidas.
Cuando un atacante obtiene un usuario y una contraseña, su actividad puede confundirse inicialmente con la de una persona autorizada. Ya no necesita forzar el sistema: intenta iniciar sesión como si perteneciera a la organización.
Microsoft informó que los ataques basados en identidad aumentaron un 32 % durante el primer semestre de 2025 y que más del 97 % correspondió a intentos masivos relacionados con contraseñas. El mismo informe señala que la autenticación multifactor moderna puede reducir en más del 99 % el riesgo de compromiso de identidad.
Estas cifras no significan que una herramienta resuelva por sí sola el problema.
La autenticación multifactor es fundamental, pero no corrige permisos excesivos, cuentas abandonadas, aprobaciones deficientes ni conflictos entre funciones.
Una identidad correctamente autenticada todavía puede tener acceso a información que no necesita.
Seguridad no consiste únicamente en comprobar que una persona es quien dice ser. También exige verificar que aquello que intenta hacer corresponde a su función actual.
Cuando una empresa no puede responder esa pregunta, su vulnerabilidad no está solamente en la contraseña: está en su modelo de gobierno.
Una revisión consultiva puede ayudar a identificar accesos heredados, responsabilidades confusas y cuentas sin propietario antes de que se conviertan en incidentes. Conozca nuestro enfoque en:
https://t.mtrbio.com/todo-en-unonet
Las cuentas que permanecen después de la despedida
Uno de los momentos más delicados del ciclo de una identidad ocurre cuando termina una relación laboral o contractual.
En una organización ordenada, la salida de una persona debería activar un proceso coordinado: retirar accesos, transferir archivos, cambiar responsables, proteger información, conservar evidencias y cerrar sesiones activas.
En muchas empresas, este proceso depende de correos, llamadas o mensajes informales.
Recursos Humanos puede registrar el retiro, pero Tecnología lo conoce varios días después. Un proveedor termina su contrato, aunque su acceso remoto continúa habilitado. Un antiguo colaborador conserva credenciales de una plataforma externa porque nadie recordó que existían.
La cuenta permanece viva después de que la relación empresarial terminó.
Este fenómeno produce las llamadas identidades huérfanas: cuentas que continúan activas sin una persona o área que asuma claramente su responsabilidad.
Una identidad huérfana es peligrosa porque puede pasar inadvertida. No solicita soporte, no participa en reuniones y no aparece en la nómina. Sin embargo, todavía puede conservar acceso a información, configuraciones o procesos críticos.
El retiro de un colaborador no es únicamente un procedimiento humano.
También es un evento de seguridad, continuidad operativa, protección de datos y conservación del conocimiento.
El riesgo no siempre proviene de una mala intención
Hablar de identidades suele llevar la conversación hacia atacantes externos o empleados deshonestos. Sin embargo, numerosos incidentes se originan en errores cotidianos.
Una persona descarga información porque tiene permiso para hacerlo, aunque no debería conservarla fuera del sistema.
Un gerente comparte su usuario con un asistente para agilizar una tarea.
Un proveedor recibe privilegios administrativos porque la configuración correcta tomaría más tiempo.
Un empleado aprueba una operación que él mismo creó porque el sistema no separa responsabilidades.
Ninguna de estas situaciones requiere inicialmente una intención criminal.
Requiere una organización que permitió que la comodidad reemplazara al control.
La seguridad funcional no busca convertir cada actividad en un proceso lento. Busca diseñar controles proporcionales al riesgo, fáciles de comprender y compatibles con la operación.
Cuando un control obliga a los equipos a buscar caminos alternos, probablemente fue diseñado sin comprender el proceso real.
Por eso aplicamos una lógica empresarial sencilla: observar antes de intervenir, analizar antes de comprar y ejecutar con un propósito medible. El modelo funcional de TODO EN UNO.NET parte de comprender la realidad, diseñar soluciones viables y acompañar su implementación, evitando convertir la tecnología en un fin independiente del negocio.
La gestión de identidades comienza en la estructura empresarial
Antes de adquirir una plataforma, la organización necesita definir su modelo.
Debe conocer cuáles son sus procesos críticos, qué información utiliza cada área, qué funciones resultan incompatibles y quién tiene autoridad para aprobar cada tipo de acceso.
Una herramienta no puede resolver una ambigüedad organizacional.
Cuando los cargos están mal definidos, los procesos no tienen propietarios y las responsabilidades cambian informalmente, la matriz de accesos reproduce ese desorden.
Por eso, una buena gestión de identidades comienza con preguntas administrativas:
¿Qué necesita realmente cada cargo para cumplir su responsabilidad?
¿Qué decisiones puede tomar?
¿Qué información puede consultar, modificar, exportar o eliminar?
¿Qué accesos requieren aprobación adicional?
¿Qué actividades deben permanecer separadas?
¿Qué ocurre cuando una persona cambia de función?
¿Quién verifica periódicamente que los permisos continúan siendo necesarios?
Estas preguntas convierten los accesos en expresiones concretas de la estructura empresarial.
Cada permiso debería existir por una razón documentada.
Recertificar es volver a preguntar
Las empresas cambian todos los días.
Aparecen nuevos proyectos, se reemplazan aplicaciones, cambian proveedores, se reorganizan equipos y se crean responsabilidades. Por eso, una autorización correcta hoy puede dejar de ser necesaria dentro de algunos meses.
La recertificación de accesos consiste en revisar periódicamente los permisos y solicitar a los responsables que confirmen si continúan siendo adecuados.
No debería convertirse en un trámite donde todos seleccionan “aprobar” para terminar rápidamente.
Una revisión útil presenta información comprensible: nombre de la persona, cargo, sistema, tipo de acceso, nivel de privilegio, fecha de la última utilización y justificación empresarial.
El jefe de área no necesita interpretar códigos técnicos. Necesita entender qué puede hacer esa identidad y qué riesgo implica mantener su permiso.
NIST recomienda que las políticas de acceso apliquen privilegio mínimo, separación de funciones y denegación predeterminada, autorizando únicamente las capacidades necesarias para ejecutar una tarea.
El principio de privilegio mínimo no pretende dificultar el trabajo.
Pretende evitar que una persona, una cuenta comprometida o una automatización defectuosa tenga capacidad para afectar más recursos de los necesarios.
Las identidades no humanas también deben gobernarse
La automatización y la inteligencia artificial amplían el problema.
Actualmente no solo acceden personas. También lo hacen aplicaciones, bots, servicios en la nube, interfaces de programación, agentes de inteligencia artificial, dispositivos y procesos automáticos.
Estas identidades no humanas pueden operar durante todo el día, procesar grandes volúmenes de información y ejecutar acciones con velocidad superior a la de cualquier empleado.
Por esa razón, su control no puede ser inferior al de una persona.
Cada automatización debería tener un propietario empresarial, una finalidad definida, permisos limitados, credenciales protegidas, registros de actividad y una fecha de revisión.
También debe existir un procedimiento para detenerla.
Un bot sin propietario es semejante a un empleado sin supervisión, con la diferencia de que puede realizar miles de acciones antes de que alguien advierta el error.
En TODO EN UNO.NET sostenemos que la automatización debe estar subordinada a la funcionalidad. No se automatiza un proceso simplemente porque sea técnicamente posible. Primero se verifica si el proceso está bien diseñado, si la información es confiable y si los controles son suficientes.
Automatizar el desorden solo permite que el desorden actúe más rápido.
Cuando la empresa necesita ordenar accesos, responsabilidades y protección de datos antes de automatizar, puede iniciar una conversación consultiva en:
https://t.mtrbio.com/todo-en-unonet
Cinco señales que la dirección no debería ignorar
Una organización probablemente tiene un problema de identidades cuando necesita varios días para conocer todos los accesos de una persona.
También cuando los permisos se administran mediante hojas de cálculo aisladas, sin trazabilidad suficiente y sin una fuente única de información.
Otra señal aparece cuando existen cuentas compartidas. Si varias personas utilizan el mismo usuario, la empresa pierde capacidad para atribuir acciones, investigar incidentes y establecer responsabilidades.
La falta de revisión periódica constituye una señal adicional. Cuando los accesos solo se analizan después de una auditoría o un incidente, la gestión es reactiva.
Finalmente, debe preocupar que ningún directivo pueda identificar al responsable integral del proceso. Si Recursos Humanos, Tecnología, Seguridad y cada área creen que la responsabilidad pertenece a otra dependencia, el vacío de gobierno ya existe.
Estas señales no exigen comenzar inmediatamente con un proyecto costoso.
Exigen reconocer el problema, establecer prioridades y construir una visión común.
Comprar primero puede ser la decisión equivocada
El mercado ofrece plataformas avanzadas para autenticación, gobierno, aprovisionamiento, análisis de riesgo y gestión de privilegios.
Son valiosas cuando responden a una arquitectura bien definida.
Sin embargo, adquirir tecnología antes de comprender la organización puede producir una nueva capa de complejidad. La empresa instala el sistema, conecta algunas aplicaciones y descubre que no tiene perfiles actualizados, reglas de aprobación ni responsables claros.
Entonces la herramienta comienza a automatizar excepciones.
Este es uno de los errores que hemos observado repetidamente durante décadas de consultoría: intentar resolver con software una ausencia de criterio organizacional.
La secuencia correcta comienza por conocer la realidad.
Primero se identifican identidades, aplicaciones, cuentas, permisos y propietarios. Después se clasifican procesos y riesgos. Luego se diseña el modelo de roles, aprobaciones, altas, cambios, retiros, revisiones y atención de excepciones.
Solo entonces se selecciona la tecnología adecuada.
No se trata de rechazar la tecnología.
Se trata de impedir que la compra sustituya al pensamiento directivo.
La identidad como componente de confianza
La gestión de identidades también protege la reputación.
Clientes, empleados y aliados entregan información porque esperan que la organización controle quién puede utilizarla. Cuando demasiadas personas tienen acceso, cuando no existe trazabilidad o cuando una cuenta antigua sigue funcionando, esa confianza se debilita.
La protección de datos no se limita a publicar una política.
Debe reflejarse en permisos, controles, procesos y evidencias.
Una empresa puede afirmar que protege la información personal, pero necesita demostrar quién accedió, por qué lo hizo, qué operación realizó y si su autorización continuaba vigente.
Esa capacidad de demostración es especialmente importante durante auditorías, investigaciones, controversias contractuales e incidentes de seguridad.
La confianza digital no se construye con declaraciones.
Se construye con decisiones verificables.
Una ruta funcional para recuperar el control
La organización puede comenzar creando un inventario confiable de personas, terceros, aplicaciones e identidades no humanas.
Después debe relacionar cada identidad con sus cuentas y permisos. El objetivo no es producir una lista interminable, sino comprender las conexiones que generan mayor riesgo.
Conviene priorizar accesos administrativos, información financiera, datos personales, propiedad intelectual, sistemas críticos, plataformas de correo y herramientas de colaboración.
A continuación, la empresa necesita definir roles funcionales. Estos roles deben representar responsabilidades reales, no copiar la historia de usuarios anteriores.
También se deben establecer procesos coordinados para el ingreso, cambio y retiro de personas. Recursos Humanos, Tecnología y líderes de área necesitan compartir eventos y responsabilidades.
La autenticación multifactor debe aplicarse de manera consistente, especialmente en accesos sensibles y remotos. Al mismo tiempo, se deben eliminar cuentas compartidas, revisar privilegios elevados y proteger las credenciales de servicios automáticos.
Finalmente, la organización debe recertificar accesos, medir excepciones y presentar indicadores a la dirección.
Entre esos indicadores pueden incluirse cuentas sin propietario, accesos pendientes de retiro, privilegios administrativos, revisiones vencidas, identidades inactivas y tiempo promedio para deshabilitar una cuenta después de una salida.
Lo que no se mide termina dependiendo de la memoria.
La responsabilidad pertenece a la dirección
La gestión de identidades no es un proyecto exclusivo del área tecnológica.
Define quién puede conocer información, modificar registros, aprobar operaciones, representar a la empresa y utilizar sus recursos.
Es, por tanto, una expresión directa del gobierno corporativo.
La dirección no necesita administrar usuarios, pero sí debe exigir que exista un sistema de responsabilidades, controles y evidencias.
También debe garantizar que las áreas colaboren. Recursos Humanos conoce la relación laboral. Los líderes conocen las funciones. Tecnología administra los sistemas. Seguridad evalúa riesgos. Cumplimiento interpreta obligaciones. Auditoría verifica controles.
Ninguna dependencia posee por sí sola toda la verdad.
La arquitectura debe conectarlas.
Cuando esta coordinación existe, la gestión de identidades deja de ser una colección de solicitudes técnicas y se convierte en una capacidad empresarial.
El permiso más peligroso es el que nadie recuerda
Las organizaciones suelen temer aquello que pueden ver: un virus, un mensaje fraudulento, una interrupción o una alerta.
Los riesgos de identidad son diferentes.
Pueden permanecer silenciosos durante meses. Una cuenta antigua, un acceso excesivo o una credencial olvidada no produce ruido. Simplemente espera una oportunidad, un error o una intención indebida.
Por eso, gobernar identidades exige disciplina antes de la crisis.
No basta con saber quién trabaja en la empresa. Es necesario comprender qué identidades existen, qué recursos pueden utilizar, quién responde por ellas y cuándo deben desaparecer.
Esa claridad reduce riesgos, facilita auditorías, protege datos, fortalece la continuidad y mejora la confianza.
La empresa que controla sus identidades no elimina toda posibilidad de incidente, pero sí limita su alcance, detecta anomalías con mayor rapidez y responde con mejores evidencias.
La seguridad madura no comienza desconfiando de las personas.
Comienza evitando que la organización dependa de suposiciones.
Toda identidad debe tener un propósito. Todo acceso debe tener una justificación. Todo privilegio debe tener un responsable. Toda autorización debe tener una revisión. Toda relación terminada debe producir un cierre verificable.
Cuando estas condiciones no existen, la amenaza no necesita vencer la seguridad.
Ya tiene permiso.
Para evaluar el estado actual de sus identidades, accesos, protección de datos y responsabilidades digitales desde una perspectiva empresarial, consulte:
https://t.mtrbio.com/todo-en-unonet