“No existes en el sistema”: Lo que GRC entiende mal sobre el riesgo de identidad.

En la jerarquía de riesgos de seguridad, la identidad rara vez ocupa un lugar prioritario. Suele quedar relegada a las matrices de control de acceso y a los flujos de trabajo de aprovisionamiento; importantes, sí, pero rara vez urgentes. Se la considera una función práctica, un medio para un fin.

Hasta el día en que desaparezca.

“Fui a la oficina de desempleo”, dice Alexandre Blanc, experto en ciberseguridad y excontratista militar. “Y me dijeron: no existes”.

Esto no era una metáfora. No era un error administrativo. La eliminación de identidad borró a una persona entera del sistema. A nivel corporativo, nuestro artículo sobre las lecciones aprendidas al eludir la autenticación multifactor muestra cómo la vulneración de identidad en Azure y Okta tuvo efectos en cascada similares, lo que demuestra que el riesgo de identidad es fundamental, no secundario.

A los ojos del sistema, Alexandre había dejado de existir.

Esto no es solo una anécdota escalofriante. Es un recordatorio aleccionador de la fragilidad de la identidad en una sociedad digitalizada y de lo poco que los programas GRC subestiman el riesgo de la identidad. Nuestra guía completa de gestión de identidades y accesos explica cómo crear arquitecturas IAM que traten la identidad como una prioridad de seguridad, desde la autenticación y la autorización hasta la integración del cumplimiento normativo.

¿Qué es el riesgo de identidad?

«Básicamente, nací muerto», dice Alexandre. Una complicación durante el parto privó a su cerebro de oxígeno, lo que provocó retrasos cognitivos que duraron años. Sus profesores querían expulsarlo de la escuela. Pero su padre luchó para impedirlo. Alexandre se puso al día, e incluso superó sus expectativas. Llegó a ganar medallas nacionales de esquí y se convirtió en instructor de vela.

El camino hacia la identidad propia fue arduo. Pero fue su experiencia como adulto —tras aceptar sin saberlo un trabajo en una empresa vinculada a una organización separatista y, posteriormente, cooperar con las autoridades francesas— lo que le costó su identidad ante el Estado.

¿El precio de la cooperación? El borrado.

Cuando los sistemas te eliminan, no hay posibilidad de apelación. “Ya no era una persona. Tenía registros en papel, pero no coincidían con nada en el sistema”.

Este momento marca una ruptura para la que la mayoría de los marcos GRC no están diseñados. ¿Qué sucede si el sistema representa una amenaza?

¿Por qué se subestima el riesgo de identidad en GRC?

La mayoría de los programas GRC mencionan la gobernanza de identidades de pasada, como si se limitara al aprovisionamiento y desaprovisionamiento de cuentas. Se integra en la gestión de identidades y accesos (IAM), se la denomina "gestión de accesos" y se delega al departamento de TI para su resolución. Sin embargo, este enfoque confunde la gestión de identidades con una capa de conveniencia, en lugar de considerarla la superficie de riesgo fundamental que realmente representa. 

Cuando la identidad de Alexandre Blanc fue borrada del sistema civil francés —sin nombre en el registro, sin número de seguridad social, sin posibilidad de trabajar ni de demostrar quién era— no fue un simple fallo técnico. Fue un fallo sistémico con consecuencias existenciales. Es también una advertencia: la identidad no es solo un artefacto técnico. Es la base de la personalidad jurídica, financiera y social.

Sin embargo, la mayoría de las estructuras GRC siguen subestimándolo. Se centran en los controles —¿puede esta persona acceder a este sistema?— sin plantearse la pregunta fundamental: ¿qué ocurre cuando se vulnera la confianza? ¿Cuál es el mecanismo de respaldo cuando el sistema deja de reconocerte?

Proveedores de identidad ≠ identidad en sí misma  

En la mayoría de los marcos de GRC subyace una suposición silenciosa pero peligrosa: que la identidad es sinónimo del sistema que la gestiona. Esto se observa en cómo las organizaciones recurren por defecto a Active Directory, Azure AD u Okta y dan por sentado que el problema está resuelto. Pero esta suposición no solo externaliza la autenticación, sino que también elude la responsabilidad. 

Peor aún, la mayoría de los marcos de trabajo siguen tratando estos sistemas como si estuvieran siempre activos. Dan por sentado que el proveedor de identidad (IdP) está en funcionamiento, que es seguro y que se puede confiar en que verificará la identidad de una persona sin que esta se vea comprometida. Casi nunca existe un plan B. 

Pero la identidad digital no es solo una casilla de inicio de sesión. Es la suma total de quién es una persona en el sistema: sus permisos, su historial de actividad, sus patrones de comportamiento únicos en distintas plataformas. Y, en realidad, la mayoría de las personas operan con múltiples identidades en múltiples sistemas. Tus credenciales laborales se encuentran en un lugar. Tu identidad personal en otro. Tus identidades seudónimas o federadas están dispersas en diversas plataformas.

Para gestionar eficazmente la identidad, GRC no basta con administrar el acceso. Debe diseñarse para tolerar fallos, desviaciones, abusos y, sobre todo, para la recuperación, sin dar por sentado que el proveedor siempre estará disponible para responder por usted.

¿Qué sucede cuando fallan los pilares de confianza?

Los sistemas de identidad digital se han convertido en la base de la sociedad moderna. Autorizan pagos, regulan el acceso, consolidan la reputación y gestionan los derechos. Pero no son inmutables. Fallan, a veces silenciosamente y otras de forma catastrófica.

Las carteras de identidad digital, promocionadas como el futuro de la autenticación autosoberana, conllevan una inquietante lista de desventajas: expansión de la superficie de ataque, escasa interoperabilidad, pérdida de dispositivos, fuga de datos biométricos y cumplimiento inconsistente con los regímenes regulatorios en constante evolución.

Y este es un problema de gobernanza . Se agrava aún más por la suposición de que nuestra infraestructura digital es neutral. No lo es. Los sistemas de identidad reflejan los sesgos de quienes los crean. Desde algoritmos de reconocimiento facial defectuosos hasta conjuntos de datos discriminatorios, las infraestructuras de identidad digital pueden perpetuar las mismas desigualdades que pretenden superar.

La resiliencia sistémica rara vez se tiene en cuenta en las conversaciones sobre identidad dentro del marco de la gobernanza, la responsabilidad y la cooperación (GRC). Pero debería. 

Active Directory no es la solución 

Active Directory (AD) sigue siendo un pilar fundamental de la gestión de identidades empresariales. Su dominio es tan generalizado que a menudo se da por sentada su presencia, sin cuestionarla. Pero la familiaridad nunca debe confundirse con la integridad.

A pesar de décadas de implementación, Active Directory (AD) sigue presentando fallos de diseño estructural y configuraciones predeterminadas peligrosas. La mayoría de las organizaciones aún utilizan configuraciones básicas permisivas: demasiados administradores de dominio, registros de auditoría insuficientes, cuentas de servicio con recursos excesivos y cuentas inactivas que funcionan como puertas traseras silenciosas. Cualquier usuario del dominio puede enumerar la estructura de AD de forma predeterminada. Y los atacantes lo saben.

Más del 90 % de las empresas incluidas en la lista Fortune 1000 utilizan Active Directory para gestionar el acceso de los empleados y los permisos internos, lo que lo convierte en uno de los objetivos más atractivos para los operadores de ransomware en la actualidad.

Diseñando para la resiliencia de la identidad

Para abordar de manera efectiva los riesgos asociados con la identidad digital, las organizaciones deben ir más allá de las arquitecturas que dependen de sistemas o autoridades únicas.  

Podemos tomar como referencia los paradigmas de seguridad física. En ese ámbito, "a prueba de fallos" significa que el acceso está garantizado en caso de mal funcionamiento, priorizando la disponibilidad. "A prueba de fallos" hace lo contrario: prioriza el bloqueo, priorizando la protección. Ambos enfoques tienen cabida en los sistemas de identidad digital. Un sistema IAM a prueba de fallos, por ejemplo, podría garantizar el acceso continuo a sistemas críticos durante las interrupciones. Una configuración a prueba de fallos garantizaría que ningún acceso no autorizado se filtre en caso de fallo. El equilibrio adecuado depende de la tolerancia al riesgo y de lo que sea realmente crítico para la misión.

Pero ninguna de las dos cosas es posible sin un diseño bien pensado.

Descentralización 

El debate sobre la identidad descentralizada suele ser secuestrado por los defensores de la tecnología blockchain. Pero no hace falta un libro mayor para comprender el valor del control distribuido.

La descentralización consiste en transferir el poder de las instituciones a los individuos. Reduce la dependencia de un único punto de verificación, distribuyendo los datos de identidad entre múltiples nodos, a menudo controlados por los propios usuarios. Si se implementa correctamente, este modelo reduce el riesgo de filtraciones masivas, evita la dependencia de un único proveedor y fomenta la resiliencia desde su diseño.  

La identidad autosoberana (SSI, por sus siglas en inglés) es un ejemplo contundente. Otorga a las personas plena autonomía sobre sus datos de identidad: cómo se almacenan, comparten y revocan. Los principios que la sustentan —portabilidad, verificabilidad, persistencia y control— son fácilmente transferibles a los sistemas de identidad empresariales, incluso fuera del paradigma de la SSI.

También existen implementaciones prometedoras de estas ideas que no se basan en blockchain. Por ejemplo, ZeroData ID de Veridas utiliza pruebas de conocimiento cero para verificar la identidad biométrica sin almacenar datos biométricos en bruto. Los nodos web descentralizados (DWN), que se combinan con los identificadores descentralizados (DID), ofrecen una forma de almacenar datos de identidad en infraestructuras distribuidas, sin la sobrecarga de una cadena pública. 

Hay mucho en juego, más que nunca.

Según el informe "Estado de la identidad digital en 2024" de Socure , los gobiernos estatales de Estados Unidos se enfrentan a niveles de fraude sin precedentes, agravados por sistemas de identidad deficientes y métodos de verificación obsoletos. Si bien el 63 % de los ciudadanos afirma querer interactuar con los servicios gubernamentales completamente en línea, solo el 13 % confía en que estos sistemas puedan prevenir el fraude.

Esa diferencia —la brecha entre las expectativas del usuario y la capacidad del sistema— es donde se acumula el riesgo. Y también es donde los líderes de GRC tienen más que ganar.

Mientras tanto, países como Estonia y marcos como la Cartera de Identidad Digital de la UE están desarrollando activamente la identidad digital como una capa segura y estandarizada para servicios tanto públicos como privados. En Estados Unidos, si bien no existe un sistema de identidad nacional completo, se está impulsando su desarrollo. Agencias como la TSA están comenzando a integrar identificaciones digitales en los controles de seguridad de los aeropuertos.

Los sistemas de prestación de servicios públicos están explorando métodos de autenticación seguros que preserven la privacidad. Entre bastidores, el NIST , la GSA y otras organizaciones trabajan para construir una infraestructura compartida que priorice la equidad, la accesibilidad y la resiliencia.

Si queremos que los servicios esenciales sean equitativos, seguros y resilientes, debemos tratar la identidad digital con la seriedad que merece.