Hubo un tiempo en que toda la informática empresarial se desarrollaba en las instalaciones, y el perímetro de la red era fácil de definir. Todo lo que necesitábamos para mantenernos seguros era un software antivirus y un firewall con detección y prevención.

Los departamentos de TI de hoy se enfrentan a un panorama mucho más complejo. Los usuarios están dispersos por todo el mundo, suelen utilizar sus propios dispositivos y, a menudo, no son empleados, lo que crea otra capa de riesgo. Los activos de TI también están dispersos, repartidos entre nubes híbridas, centros de datos locales, implementaciones de borde y dispositivos de IoT. El desarrollo de aplicaciones se distribuye entre varios departamentos y líneas de negocio que desarrollan sus propias aplicaciones. De esta manera, incluso el perímetro entre TI y operaciones queda oculto.

No pasa un día sin que la confianza cero sea elogiada como la solución milagrosa para todas las preocupaciones de seguridad. Pero los CISO, que están en las trincheras, son escépticos.

¿Por qué la identidad está superando a la confianza cero?

¿Qué estrategias de defensa funcionarán en un entorno aparentemente sin perímetro? La respuesta es repeler a los usuarios no autorizados estableciendo sus identidades mediante identificadores únicos en forma de certificados digitales para cada aspecto: usuarios, dispositivos, servidores, bases de datos, contenedores y todos los demás activos digitales.

De esta manera, la identidad crea un nuevo perímetro al formar un firewall lógico, de modo que las entidades que carecen de los certificados digitales correctos se puedan detectar y rechazar fácilmente.

Administrar tantas identidades puede parecer una carga en comparación con el enfoque de confianza cero, que, en pocas palabras, significa que no se confía en nadie de forma predeterminada, ni dentro ni fuera de la red. La confianza cero requiere un cambio fundamental en los procesos de gestión de la confianza, la autenticación y la autorización, y muchas empresas descubrirán que requiere un sacrificio demasiado grande en la experiencia del usuario y la productividad. Para la mayoría de las organizaciones, la confianza cero debe considerarse más como un objetivo a largo plazo que como una solución inmediata.

Otra gran pregunta en torno a la seguridad y la identidad es la migración continua de aplicaciones locales a entornos de software como servicio (SaaS) alojados en la nube. Los métodos estándar para proteger las cuentas de usuario a menudo no funcionan en un entorno SaaS, lo que dificulta el seguimiento de las personas que abandonan la empresa o cambian de función.

En resumen, los empleados que se van pueden seguir accediendo a las aplicaciones y los datos. En estos casos, es probable que la identidad sea una solución de seguridad más eficaz que la confianza cero.

Es importante tener en cuenta que las cuentas de servicio también representan un gran vector de ataque, porque una vez que se crean, nunca se gestionan correctamente. Las contraseñas nunca cambian, los privilegios nunca evolucionan y las cuentas no se eliminan cuando ya no son necesarias.

Los piratas informáticos tienen un nuevo apetito por la identidad

Si observamos las recientes infracciones, queda claro que la identidad es lo que los piratas informáticos buscan explotar. Más allá de emplear enfoques tradicionales cuando sea apropiado, los CISO y sus equipos deben buscar una mejor orquestación de la identidad, no solo para controlar el acceso y comprender lo que hacen las personas, sino también para repeler a los intrusos.

Y los piratas informáticos no solo explotan a las personas: también pueden verse comprometidas las identidades de los "no humanos". Se trata de cuentas de administrador o de servicio para soluciones SaaS que se activan cuando se activa el software; luego, por lo general, nunca se desactivan y, en esencia, se ignoran, incluso después de que los administradores o compradores humanos abandonen la empresa. Sin actualizaciones, parches ni supervisión, las identidades no humanas se convierten en un objetivo principal para los piratas informáticos.

Debido a que las herramientas de seguridad tradicionales, como los firewalls, no se crearon para abordar el nuevo perímetro de red o las identidades (humanas y no humanas), los CISO y sus equipos deben buscar soluciones centradas en los procesos, como la gestión de acceso privilegiado. También deberían añadir herramientas como la identificación multifactorial, para no depender únicamente de la confianza o la autenticación.

De hecho, la combinación de la identidad con otras estrategias de seguridad puede ayudar a reforzar las defensas. Como informa Gartner, para 2027, el 70% de las organizaciones combinarán la prevención de pérdida de datos y las disciplinas de gestión de riesgos internos con la gestión de identidades y accesos para identificar comportamientos potencialmente maliciosos.

La realidad es que debemos centrarnos en la identidad como perímetro. Los usuarios y sus privilegios deben definirse y gestionarse de forma coherente para garantizar los niveles adecuados de acceso en un entorno.

(*) Douglas Wallace: Gerente General de América Latina y El Caribe (excepto Brasil) en Pure Storage