La identidad se consolida como el nuevo perímetro de la ciberseguridad
CSO ha contado con Marcos Arévalo, consultor IAM en Factum, para analizar la evolución de la gestión de identidades, los riesgos de los accesos no humanos y el papel de IAM y CIEM en los nuevos entornos cloud e híbridos.
Durante años, la ciberseguridad empresarial se apoyó en un perímetro claramente definido: redes corporativas, centros de datos internos, firewalls y sistemas protegidos dentro de una infraestructura relativamente controlada. Sin embargo, ese modelo ha cambiado de forma radical.
La adopción del modelo cloud, el trabajo híbrido, las aplicaciones SaaS, las integraciones con terceros y la automatización han diluido los límites tradicionales de la organización. Hoy, los usuarios acceden desde cualquier lugar, las aplicaciones se distribuyen entre múltiples plataformas y cada vez más procesos dependen de identidades no humanas, como cuentas de servicio, APIs, workloads, dispositivos o agentes automatizados.
«En este nuevo escenario, la identidad se ha convertido en el principal punto de control de la seguridad.»
Como explica Marcos Arévalo, consultor IAM en Factum, “la identidad siempre ha sido una parte fundamental de la ciberseguridad”, aunque durante años haya sido uno de los ámbitos menos priorizados. La diferencia es que ahora su gestión se ha vuelto imprescindible por el nivel de exposición y complejidad de los entornos tecnológicos actuales.
La identidad más allá de usuarios
La gestión de identidades y accesos ha dejado de limitarse a dar de alta usuarios, asignar permisos o revocar cuentas cuando una persona abandona la organización. Ese enfoque resulta insuficiente en un contexto donde las identidades están distribuidas entre múltiples plataformas, proveedores y servicios.
A los riesgos clásicos, como el robo de credenciales, los accesos no autorizados o el uso indebido de privilegios, se suman ahora nuevos desafíos derivados de las conexiones con terceros, las integraciones cloud, las aplicaciones SaaS y los entornos híbridos.
Esto amplía de forma significativa la superficie de ataque. Ya no basta con proteger la red corporativa: es necesario saber quién accede, desde dónde, a qué recurso, con qué privilegios y bajo qué nivel de riesgo.
Desde esta perspectiva, IAM (Identity and Access Management) se convierte en una pieza central de cualquier estrategia de ciberseguridad, que debe garantizar que cada identidad tenga los permisos adecuados, durante el tiempo necesario y bajo controles de seguridad proporcionales al riesgo.
Errores frecuentes en la gestión de identidades
Pese a la creciente importancia de IAM, muchas organizaciones siguen cometiendo errores de base. El primero, según Marcos Arévalo, es no entender la gestión de identidades y accesos como un elemento estructural de la ciberseguridad.
Reducir IAM a una función administrativa de altas, bajas y asignación de permisos impide ver su verdadero impacto en la protección del negocio. La identidad es hoy una de las principales vías de entrada para los atacantes y, por tanto, debe formar parte de la estrategia global de seguridad.
Otro error habitual es no certificar los accesos de forma continua por parte de los responsables de negocio. Este proceso resulta fundamental porque obliga a revisar periódicamente quién tiene acceso a qué, si esos permisos siguen siendo necesarios y qué nivel de exposición generan.
La revisión de accesos permite mantener una visibilidad real sobre usuarios, privilegios, cuentas críticas y excepciones. Sin esa disciplina, las organizaciones tienden a acumular permisos innecesarios, cuentas obsoletas y accesos difíciles de auditar.
La identidad como eje de la ciberseguridad moderna
La evolución de IAM durante los próximos años estará marcada por la necesidad de simplificar y hacer más inteligente la gestión de accesos. Las organizaciones necesitan reforzar la seguridad sin generar fricción innecesaria para los usuarios.
En este sentido, veremos una apuesta creciente por modelos Zero Trust, accesos más contextuales, autenticación passwordless, privilegios más controlados y una supervisión más precisa de las cuentas críticas. La seguridad dejará de depender de una confianza inicial para apoyarse en verificaciones continuas basadas en contexto, comportamiento y nivel de riesgo.
El reto está en combinar seguridad, cumplimiento y usabilidad en un entorno donde las identidades humanas y no humanas comparten protagonismo dentro de la superficie de ataque.
Desde Factum, la gestión de identidades y accesos se entiende como una base imprescindible para reducir el riesgo, mejorar la visibilidad y reforzar la resiliencia de las organizaciones. En un entorno donde los atacantes aprovechan credenciales legítimas, permisos excesivos y accesos mal gobernados, IAM deja de ser una función operativa para convertirse en un pilar estratégico de la ciberseguridad.