{"id":8881,"date":"2022-09-08T10:00:00","date_gmt":"2022-09-08T10:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-5032\/"},"modified":"2026-04-10T08:46:31","modified_gmt":"2026-04-10T08:46:31","slug":"por-que-la-identidad-es-la-nueva-firewall-y-por-que-las-estrategias-de-iam-siguen-fallando","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2022\/09\/08\/por-que-la-identidad-es-la-nueva-firewall-y-por-que-las-estrategias-de-iam-siguen-fallando\/","title":{"rendered":"Por qu\u00e9 la identidad es la nueva firewall  &#8211;  y por qu\u00e9 las estrategias de IAM siguen fallando"},"content":{"rendered":"<p><strong>En un mundo sin per\u00edmetro, la identidad es el \u00faltimo punto de control fiable. Sin embargo, la realidad es distinta: m\u00e1s del 60 por ciento de las violaciones comienzan con credenciales comprometidas. No porque falte tecnolog\u00eda IAM, sino porque las empresas la implementan incorrectamente.<\/strong><\/p>\n<h2>En resumen<\/h2>\n<ul>\n<li>Verizon DBIR 2022: el 61 por ciento de las violaciones implican credenciales robadas<\/li>\n<li>Tiempo medio hasta la detecci\u00f3n de cuentas comprometidas: 187 d\u00edas (IBM)<\/li>\n<li>Adopci\u00f3n de MFA en empresas: menos del 50 por ciento de las cuentas privilegiadas<\/li>\n<li>La gobernanza de identidades se convierte en un requisito obligatorio seg\u00fan la NIS2<\/li>\n<\/ul>\n<h2>El fin del per\u00edmetro  &#8211;  y el comienzo de la crisis de identidad<\/h2>\n<p>La nube, el trabajo remoto y el SaaS han disuelto el l\u00edmite cl\u00e1sico de red. En un entorno en el que los empleados acceden desde cualquier lugar a recursos en diez servicios en la nube diferentes, la pregunta ya no es \u00ab\u00bfEst\u00e1s en la red?\u00bb, sino \u00ab\u00bfQui\u00e9n eres  &#8211;  y tienes permiso para hacer esto?\u00bb.<\/p>\n<p>Este cambio convierte a la gesti\u00f3n de identidad y acceso (IAM) en la disciplina de seguridad m\u00e1s cr\u00edtica. Sin embargo, muchas empresas siguen tratando el IAM como un tema de administraci\u00f3n de TI, no como una estrategia de seguridad.<\/p>\n<h2>Los tres errores m\u00e1s comunes en IAM<\/h2>\n<p><strong>1. MFA solo para VPN:<\/strong> Muchas empresas han implementado MFA para el acceso a la VPN, pero no para aplicaciones SaaS, consolas en la nube o portales internos. Los atacantes simplemente evitan el canal protegido.<\/p>\n<p><strong>2. Ausencia de gesti\u00f3n del ciclo de vida:<\/strong> Cuentas de empleados antiguos, cuentas de servicio hu\u00e9rfanas y usuarios de prueba con excesivos privilegios son la presa m\u00e1s f\u00e1cil para cualquier atacante.<\/p>\n<p><strong>3. Ausencia de control de acceso basado en contexto:<\/strong> Los roles est\u00e1ticos no son suficientes. Si un director financiero accede a datos financieros a las 3 de la madrugada desde un pa\u00eds desconocido, el sistema debe reaccionar  &#8211;  no esperar al analista del SOC al d\u00eda siguiente.<\/p>\n<h2>Zero Trust necesita la identidad como fundamento<\/h2>\n<p>Zero Trust sin un IAM robusto es una arquitectura vac\u00eda. Toda implementaci\u00f3n de Zero Trust comienza con la pregunta: \u00bfPuedo verificar de forma fiable la identidad del solicitante? Sin autenticaci\u00f3n fuerte, el principio de privilegio m\u00ednimo y una evaluaci\u00f3n continua del riesgo, Zero Trust seguir\u00e1 siendo un t\u00e9rmino de moda.<\/p>\n<p>La combinaci\u00f3n de un IAM moderno (SCIM, OIDC), pol\u00edticas de acceso condicional y an\u00e1lisis de comportamiento forma la base de una arquitectura Zero Trust que realmente funciona.<\/p>\n<h2>Autenticaci\u00f3n resistente al phishing: FIDO2 y Passkeys<\/h2>\n<p>La siguiente etapa de evoluci\u00f3n es la eliminaci\u00f3n de las contrase\u00f1as. La autenticaci\u00f3n basada en FIDO2 con claves hardware (YubiKey) o autenticadores de plataforma (Windows Hello, Face ID) es inherentemente resistente al phishing: la clave privada nunca abandona el dispositivo.<\/p>\n<p>Apple, Google y Microsoft han popularizado la tecnolog\u00eda FIDO2 mediante los Passkeys. Para las empresas, esto significa: el camino hacia la autenticaci\u00f3n sin contrase\u00f1as est\u00e1 despejado  &#8211;  la tecnolog\u00eda ya est\u00e1 disponible, ahora falta la adopci\u00f3n.<\/p>\n<h2>Datos clave<\/h2>\n<p><strong>Ataques basados en credenciales:<\/strong> 61 por ciento de todas las violaciones (Verizon DBIR 2022)<\/p>\n<p><strong>Eficacia del MFA:<\/strong> Reduce la compromisi\u00f3n de cuentas en un 99,9 por ciento (Microsoft)<\/p>\n<p><strong>Coste por violaci\u00f3n:<\/strong> 4,35 millones de d\u00f3lares estadounidenses de media  &#8211;  150.000 d\u00f3lares menos con implementaci\u00f3n de Zero Trust (IBM)<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<h3>\u00bfEs suficiente el MFA como protecci\u00f3n?<\/h3>\n<p>El MFA es esencial, pero no suficiente. Ataques avanzados como el cansancio por MFA (bombardeo con notificaciones push) o los proxies Adversary-in-the-Middle pueden eludir el MFA cl\u00e1sico. FIDO2\/Passkeys son la alternativa m\u00e1s resistente.<\/p>\n<h3>\u00bfCu\u00e1l es la diferencia entre IAM y PAM?<\/h3>\n<p>IAM (Gesti\u00f3n de Identidad y Acceso) regula el acceso de todos los usuarios. PAM (Gesti\u00f3n de Acceso Privilegiado) se centra en cuentas altamente privilegiadas  &#8211;  accesos de administrador, cuentas de servicio, claves root. Ambos son complementarios.<\/p>\n<h3>\u00bfC\u00f3mo empiezo con la seguridad basada en identidad?<\/h3>\n<p>Tres medidas inmediatas: activar MFA para todos los servicios en la nube, implementar revisiones de acceso trimestrales e inventariar todas las cuentas de servicio. A continuaci\u00f3n: planificar pol\u00edticas de acceso condicional y el despliegue de FIDO2.<\/p>\n<h2>Art\u00edculos relacionados<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2025\/02\/18\/post_id-3697\/\">Case Study: Migraci\u00f3n a Zero Trust en un grupo asegurador<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2026\/03\/06\/post_id-3837\/\">Tendencias de Ciberseguridad 2026: Las 7 evoluciones que deben conocer los responsables de seguridad<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2026\/02\/20\/post_id-3839\/\">Ciberseguridad 2030: Cinco predicciones para la pr\u00f3xima d\u00e9cada de la seguridad TI<\/a><\/li>\n<\/ul>\n<h2>M\u00e1s contenido de la red MBF Media<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.cloudmagazin.com\">Cloud Magazin<\/a>  &#8211;  Nube, SaaS e infraestructura TI<\/li>\n<li><a href=\"https:\/\/www.mybusinessfuture.com\">myBusinessFuture<\/a>  &#8211;  Digitalizaci\u00f3n, IA y negocio<\/li>\n<li><a href=\"https:\/\/www.digital-chiefs.de\">Digital Chiefs<\/a>  &#8211;  Liderazgo estrat\u00e9gico a nivel C<\/li>\n<\/ul>\n<p><em>Fuente de imagen: Pexels \/ Pixabay<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"En un mundo sin per\u00edmetro, la identidad es el \u00faltimo punto de control fiable. Sin embargo, la realidad es distinta: m\u00e1s del 60 por ciento de las violaciones comienzan con credenciales comprometidas. No porque falte tecnolog\u00eda IAM, sino porque las empresas la implementan incorrectamente. En resumen Verizon DBIR 2022: el 61 por ciento de las [&hellip;]","protected":false},"author":55,"featured_media":5031,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"identidad","_yoast_wpseo_title":"","_yoast_wpseo_metadesc":"Identidad es la nueva firewall: protege tu negocio de brechas con IAM efectivo. Descubre por qu\u00e9 fallan las estrategias y c\u00f3mo corregirlas ahora.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":"","_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":"","footnotes":""},"categories":[253],"tags":[244,241],"class_list":["post-8881","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad","tag-cloud-sicherheit","tag-zero-trust"],"wpml_language":"es","wpml_translation_of":5032,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8881","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=8881"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8881\/revisions"}],"predecessor-version":[{"id":10693,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8881\/revisions\/10693"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5031"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=8881"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=8881"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=8881"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}