Seguridad de Identity: una guía para líderes de seguridad

Según el Netwrix 2026 Data and Identity Security Report, una encuesta a 2,317 profesionales de TI y seguridad encontró que el 75 % de las exposiciones de datos sensibles comienzan con identidades comprometidas o permisos mal configurados.

El acceso que parece válido puede conllevar riesgos mucho después de su provisión, lo que convierte la seguridad de la identidad en una cuestión de resiliencia cibernética y gobernanza empresarial, no solo técnica.

En una organización con 100 a 5,000 empleados, responder a un miembro del consejo o auditor externo que pregunta quién tiene acceso a qué, o si la organización es segura, a menudo requiere conciliación manual. Los datos subyacentes se encuentran en Active Directory (AD), Microsoft Entra ID, múltiples consolas de administración SaaS y hojas de cálculo, y esos registros a menudo no coinciden.

Un programa disciplinado convierte esos datos fragmentados en una postura medible que los equipos de seguridad, juntas y auditores pueden utilizar. La gobernanza continua apoya respuestas más rápidas, decisiones de acceso defendibles y evidencia clara del progreso.

¿Qué es la seguridad de identidad?

La seguridad de la identidad es la práctica continua de proteger cada identidad en la organización contra compromisos y usos indebidos. Identifica dónde el acceso concedido crea riesgos, supervisa cómo se utiliza ese acceso e interrumpe actividades anómalas de identidad. El alcance incluye empleados y contratistas, así como cuentas de servicio, identidades de aplicaciones y agentes de IA.

Identity and access management (IAM) es la disciplina relacionada que permite que las personas o máquinas adecuadas accedan a los activos correctos en el momento adecuado y por razones legítimas. IAM gestiona la provisión, decidiendo quién obtiene qué y configurándolo.

La seguridad de la identidad sigue esa decisión, aplicando prevención antes de un ataque y detección y respuesta una vez que este está en curso. IAM construye la estructura y la seguridad de la identidad la defiende.

Por qué la seguridad de la identidad es ahora un riesgo a nivel de junta directiva

Los consejos necesitan evidencia específica y medible para gestionar la exposición de identidad como parte de la postura de ciberresiliencia de la organización. Tres fuerzas han elevado recientemente las apuestas.

Casi la mitad de las organizaciones sufrieron una violación de cuenta en la nube el año pasado

El Informe de Seguridad de Datos e Identity de Netwrix 2026 encontró una tasa de brechas del 43 % en los últimos 12 meses entre organizaciones donde la IA había aumentado significativamente la huella de identidad, en comparación con el 11 % en aquellas donde no había cambiado significativamente. Cada identidad añadida es otra credencial que un atacante puede usar. Las credenciales válidas de inquilinos en la nube permiten a un atacante leer correos electrónicos, extraer datos y moverse entre servicios SaaS sin activar controles diseñados para perímetros de red.

Las identidades y permisos gobiernan los caminos que los atacantes siguen hacia los datos

El origen de las exposiciones de datos sensibles es una cuestión distinta de cómo los atacantes obtienen acceso inicialmente. En Verizon's 2026 Data Breach Investigations Report (DBIR), la explotación de vulnerabilidades (31 %) superó el abuso de credenciales (13 %) como el principal vector de acceso inicial. El abuso de credenciales aún apareció en el 39 % de las brechas en alguna etapa.

Una vez dentro, ya sea mediante un exploit o una contraseña robada, el acceso a los datos se realiza a través de identidades y permisos. Los controles de firewall regulan el tráfico de red, mientras que las identidades y permisos regulan el acceso a los datos.

Las aseguradoras ya están incorporando este riesgo en las renovaciones

Entre las organizaciones aseguradas, El Netwrix 2025 Cybersecurity Trends Report encontró que la demanda de IAM aumentó del 38 % en 2023 al 48 % en 2025. Los ciclos de renovación ahora incluyen preguntas específicas sobre identidad y las primas reflejan las respuestas.

Las preguntas que la seguridad de Identity Management debe responder

Un programa viable responde a cuatro preguntas prácticas en términos que las juntas y los auditores pueden evaluar:

1. ¿Quién tiene acceso efectivo ahora mismo?
2. ¿Se está utilizando ese acceso normalmente?
3. ¿Se pueden defender las decisiones de acceso más tarde?
4. ¿Se elimina el acceso a tiempo?

Las disciplinas complementarias incluyen Privileged Access Management (PAM), gobernanza y administración de identidad (IGA), Identity Threat Detection & Response (ITDR) y gestión de la postura de seguridad de identidad (ISPM).

¿Quién tiene acceso a qué, ahora mismo, en todos los sistemas?

Los equipos suelen responder a esta pregunta sistema por sistema. El equipo de AD extrae las membresías de grupos, el administrador de Microsoft 365 exporta las asignaciones de roles y cada propietario de SaaS tiene una consola. Lo que falta es una imagen única y actualizada que abarque AD, Microsoft Entra ID, SaaS y la nube, con la membresía anidada resuelta al acceso que una persona tiene efectivamente. La respuesta generalmente requiere una conciliación adicional después de la reunión.

¿Se está utilizando ese acceso de la manera en que se supone que debe ser?

El comportamiento aún necesita una verificación separada cuando una persona usa una cuenta fuera del horario esperado, incluso si la cuenta tiene los permisos correctos. El robo de credenciales, movimiento lateral, y la escalada de privilegios pueden parecer actividades permitidas desde el punto de vista de los derechos, porque la cuenta hace cosas que se le permiten pero en una secuencia y a un ritmo inconsistente con el comportamiento legítimo del administrador. Responder a esta pregunta requiere un análisis del comportamiento a lo largo del tiempo, que es trabajo de ITDR.

¿Podemos mostrar por qué el acceso fue apropiado, después de los hechos?

Cuando los equipos no pueden reconstruir una decisión de acceso válida más tarde, la organización carece de la evidencia que un auditor espera. La organización necesita un registro de quién solicitó el acceso, quién lo aprobó y cuándo fue la última revisión. Ese registro conecta la decisión original con el derecho actual.

¿Se elimina el acceso cuando se supone que debe hacerlo?

La política escrita y el estado del directorio pueden desviarse rápidamente. Standing privileged access que supera su razón, una cuenta de contratista aún activa después del proyecto y una cuenta de servicio cuyo propietario se fue hace mucho tiempo, cada una deja derechos vigentes que nadie volvería a autorizar hoy.

El Informe de Seguridad de Datos e Identity de Netwrix 2026 encontró que el 76 % de las organizaciones no pueden revocar inmediatamente el acceso permanente cuando ya no es necesario, un problema que los líderes pueden resolver con controles de ciclo de vida más estrictos.

Los componentes clave de la seguridad de identidad

La seguridad de Identity divide el trabajo entre aprovisionamiento, privilege, gobernanza, detección y el directorio del que todos dependen, en el orden en que cada disciplina entra en el ciclo de vida del acceso.

IAM: el paraguas que otorga y gestiona el acceso

IAM abarca los sistemas y procesos que deciden quién obtiene acceso a qué y luego lo provisionan, incluidos los directorios, single sign-on, MFA y las solicitudes de acceso. Los controles de seguridad se basan en lo que IAM otorga revisando los derechos emitidos en busca de signos de compromiso, uso indebido o riesgo acumulado.

Privileged Access Management: el subconjunto privilegiado que puede causar más daño

Privileged Access Management regula las cuentas que pueden modificar el entorno, incluidos los administradores de dominio, los administradores globales en la nube y cuentas de servicio con derechos elevados. Las herramientas de PAM aplican controles técnicos más estrictos sobre las cuentas, credenciales y comandos usados para administrar o configurar sistemas y aplicaciones.

Las organizaciones utilizan herramientas separadas y grabación de sesiones para este acceso limitado y de alto riesgo porque los aseguradores y auditores lo examinan más detenidamente que el acceso estándar de usuarios. El Netwrix Cybersecurity Trends Report 2025 encontró que el 42 % de los profesionales de TI priorizarían mejorar PAM sobre todas las demás iniciativas de seguridad si tuvieran la opción.

IGA: la capa de gobernanza que verifica el acceso sigue teniendo sentido

La gobernanza y administración de Identity proporciona la capa de revisión periódica. Mientras que el aprovisionamiento de IAM mira hacia adelante porque una persona necesita un rol hoy, IGA mira hacia atrás y pregunta si el acceso que alguien recibió hace 18 meses sigue siendo apropiado y qué debería haber revocado ya el equipo. Las funciones principales de IGA incluyen la gestión del ciclo de vida de la identidad, certificación de acceso y el procesamiento de solicitudes de acceso. Para fines de auditoría, IGA produce registros de certificación que muestran que alguien revisó el acceso.

ITDR: vigilancia de compromisos tras conceder el acceso

Identity threat detection and response proporciona la capa en tiempo real. Gartner introdujo la categoría en 2022. Detecta el robo de credenciales, el movimiento lateral y la escalada de privilegios a medida que ocurren. IGA y PAM regulan si los equipos configuran el acceso correctamente, mientras que ITDR identifica el uso indebido después de que el acceso existe.

Seguridad de Directory: Protegiendo el sistema del que depende cada identidad

Active Directory y Entra ID forman la base para las demás disciplinas. Un directorio comprometido o mal configurado socava todas ellas a la vez porque el control del directorio cambia la fuente de verdad para cada identidad.

La guía de Five Eyes Detección y mitigación de compromisos de Active Directory, publicada por primera vez en septiembre de 2024 y revisada posteriormente, advierte que obtener el control de Active Directory otorga a los actores maliciosos acceso privilegiado a todos los sistemas y usuarios que administra.

Dónde encaja la seguridad de Identity con Zero Trust

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) sitúa la identidad en el centro de la verificación continua. El Modelo de Madurez Zero Trust de CISA convierte la identidad en el primero de sus cinco pilares, con una etapa Óptima en la que una organización valida continuamente la identidad durante el acceso usando MFA resistente al phishing.

La validación continua, least privilege y la reevaluación de la confianza durante una sesión activa son tareas de seguridad de identidad. Una estrategia Zero Trust alineada con el modelo de CISA depende de la fortaleza de los controles de identidad que la ejecutan.

Cómo evaluar la posición de su organización

Tres ejercicios generan una línea base justificable usando las herramientas que el equipo ya tiene. Una prueba de visibilidad cronometrada, una revisión de aprobación de acceso privilegiado y un escaneo independiente de directorio producen cada uno un artefacto específico que el equipo puede entregar a la dirección o a un auditor.

Realice una prueba de visibilidad de acceso efectivo de un día

Pida al equipo que responda "quién tiene acceso a qué, ahora mismo, en todos los sistemas" en un día laborable. Registre el número de consolas utilizadas, el tiempo requerido y los sistemas que el equipo no pudo cubrir. El resultado debe ser una lista única y conciliada de acceso efectivo por usuario o, en su defecto, una lista documentada de los obstáculos que impidieron su elaboración. Ambos resultados deben incluirse en la narrativa para la junta posteriormente.

Revise el acceso privilegiado permanente para aprobaciones que nadie recuerda haber otorgado

Obtenga la lista completa de cuentas con derechos elevados, incluidas las cuentas de servicio y las cuentas que heredan derechos de administrador a través de grupos anidados. Para cada cuenta, identifique quién la aprobó, cuándo se realizó la aprobación y por qué el acceso sigue activo.

Hecho se parece a una hoja de cálculo con un registro de aprobación adjunto a cada entrada y una lista corta de cuentas para revocar. Cybersecurity Maturity Model Certification (CMMC) Los evaluadores de Nivel 2 solicitan exactamente este conjunto de artefactos, incluida una lista de cuentas del sistema activas vinculadas a individuos nombrados y los registros correspondientes de autorización de acceso, por lo que el ejercicio también sirve como preparación para la auditoría.

Realice un escaneo independiente del directorio según una lista de verificación estándar

Evalúe el directorio con un escaneo externo, como una evaluación mapeada con MITRE ATT&CK o una basada en las técnicas de compromiso de AD en la Five Eyes guidance, para generar una línea base independiente. El resultado es una lista clasificada de configuraciones incorrectas, incluidas las que permiten a un usuario común escalar a administrador y las cuentas que los atacantes pueden atacar sin un inicio de sesión interactivo.

Traduciendo la seguridad de identidad al lenguaje de la junta y auditoría

La financiación depende de traducir los hallazgos de identidad en exposición, tiempo de respuesta y pruebas defendibles sobre las que una junta pueda actuar. La Director's Handbook on Cyber-Risk Oversight, quinta edición (2026), asigna esa responsabilidad de traducción a la gerencia.

Las métricas que funcionan en una conversación de junta

El conteo de vulnerabilidades mide el esfuerzo, mientras que una junta necesita ver la exposición. Las métricas de identidad basadas en el tiempo proporcionan esa visión, traduciendo la actividad técnica en una línea de tiempo de riesgos que un director no técnico puede evaluar. NACD las incluye entre las métricas que se deben reportar al menos trimestralmente y de inmediato tras cualquier incidente material:

• Tiempo medio para detectar (MTTD): Cuánto tiempo una identidad comprometida pasa desapercibida, el período durante el cual un atacante puede moverse lateralmente o escalar privilegios sin ser detectado.
• Tiempo medio de respuesta (MTTR): El tiempo que tarda en revocar el acceso innecesario o comprometido una vez detectado, una medida directa de la rapidez con la que la organización cierra una brecha.
• Proporción de incidentes de alto costo: El Informe de Tendencias de Ciberseguridad de Netwrix 2025 encontró que la proporción de organizaciones que reportan daños por ataques superiores a $200,000 casi se duplicó, pasando del 7 % en 2024 al 13 % en 2025. Esa tendencia da a MTTD y MTTR un costo empresarial con el cual compararse.

Evidencia que los auditores esperan ver

Las decisiones de acceso precisas y la evidencia de esas decisiones son requisitos de auditoría separados. El criterio CC6.2 de System and Organization Control 2 (SOC 2) requiere eliminar las credenciales del sistema del usuario cuando el acceso ya no está autorizado, y AICPA's Trust Services Criteria establecen el estándar contra el que los auditores SOC 2 prueban.

Una revisión normalmente rastrea dos tipos de evidencia:

• Registros de provisión y terminación: una muestra de eventos de concesión y revocación de acceso vinculados a tickets aprobados, con eliminaciones retrasadas registradas como excepciones.
• Documentación de la revisión de acceso: el nombre del revisor, la fecha de revisión, los sistemas cubiertos y la aprobación del gerente, registrados en cada revisión periódica, no solo en la concesión inicial.

Una garantía verbal deja estas pruebas sin respaldo. Los auditores consideran una exportación con marca de tiempo del sistema de registro como evidencia revisable.

Convertir los hallazgos en una narrativa de riesgo en lugar de una lista de tareas

Cuando los equipos presentan hallazgos de directorio como una acumulación técnica, la junta puede tratarlos fácilmente como mantenimiento rutinario. Enmarcar los mismos hallazgos en torno a resultados operativos hace que el riesgo y el objetivo de remediación sean más claros.

Por ejemplo, “el acceso permanente de administrador de dominio carece de aprobación rastreable” se convierte en “eliminar el acceso permanente innecesario reduce las vías para el control de todo el directorio y hace que las aprobaciones sean auditables.”

Cómo Netwrix apoya la seguridad de la identidad en la práctica

Netwrix crea controles a lo largo del ciclo de vida de la identidad para entornos híbridos de Microsoft, desde la evaluación del directorio y la visibilidad de la postura hasta el registro de actividades, la aplicación de privilegios, la detección de amenazas y el bloqueo en tiempo real. Cada producto se relaciona con una de las cuatro preguntas con las que comenzó esta guía.

Evaluación de la exposición del directorio con una línea base externa

Netwrix PingCastle evalúa, puntúa y clasifica el riesgo de AD mediante más de 170 verificaciones mapeadas con MITRE ATT&CK, generando el tipo de línea base independiente que requiere el escaneo de directorios mencionado arriba. Dado que el control del directorio sustenta todas las demás disciplinas de identidad, una puntuación priorizada de PingCastle convierte un problema amplio del directorio de Microsoft en una lista de tareas medible que un comprador técnico puede gestionar.

Mantener una imagen actual del riesgo de identidad

Netwrix Identity Security Posture Management (ISPM), ofrecido a través de la Netwrix 1Secure™ Platform, detecta configuraciones incorrectas en AD y Microsoft Entra ID con más de 170 comprobaciones y mantiene la visibilidad de la postura actualizada, proporcionando a los equipos una visión que cambia con el entorno en lugar de retrasarse respecto a la última conciliación manual.

Eso es lo que se requiere para responder "quién tiene acceso a qué, ahora mismo". El modelo de entrega SaaS elimina la provisión de infraestructura del esfuerzo de configuración.

Reduciendo el tiempo de investigación con registros de actividad híbridos

Netwrix Auditor registra cambios y actividad de acceso en AD, Microsoft 365, sistemas de archivos y otras plataformas. Ese registro proporciona a los equipos la evidencia necesaria para responder "¿podemos mostrar por qué el acceso fue apropiado?", además de una forma más rápida de detectar actividades fuera de los patrones normales.

Aplicando el principio de menor privilegio para cuentas de alto riesgo

Netwrix Privilege Secure responde directamente a "¿se elimina el acceso a tiempo?" para cuentas privilegiadas. Sustituye los derechos administrativos permanentes por acceso justo a tiempo para una tarea específica, lo elimina automáticamente cuando la tarea termina y registra las sesiones resultantes para revisión de auditoría.

Eastern Carver County Schools eliminó el acceso administrativo permanente a los sistemas que contienen datos de 9,300 estudiantes, reemplazándolo por acceso justo a tiempo, y completó la implementación en días en lugar de meses.

Detectando el uso indebido de acceso en tiempo real

Netwrix Threat Manager responde, “¿Se está utilizando ese acceso normalmente en tiempo real?” Detecta el robo de credenciales, movimientos laterales, escalada de privilegios, Kerberoasting, ataques Golden Ticket y otras amenazas de identidad en entornos AD y Microsoft Entra ID, con cobertura adicional para técnicas ESC1-ESC7 de Active Directory Certificate Services (AD CS).

Netwrix Threat Prevention va más allá bloqueando ataques DCSync, Kerberoasting y Pass-the-Hash en tiempo real. Dividir la detección y el bloqueo entre dos productos mantiene los controles separados mientras protege activos de Nivel Cero como grupos privilegiados, controladores de dominio y Group Policy Objects (GPOs).

Sepa dónde se encuentran sus identidades

La visibilidad del acceso efectivo en entornos híbridos de Microsoft, la evidencia de gobernanza rastreable, la información sobre la postura actual y la detección o contención oportuna deben impulsar la inversión en seguridad de identidad.

Compare la política escrita con el estado del directorio para establecer una línea base, luego use la prueba de visibilidad de un día, la revisión de cuentas privilegiadas y el escaneo independiente para identificar dónde la próxima inversión tendrá el mayor impacto.

Solicite una demostración para ver cómo Netwrix puede ayudarle a mapear el acceso efectivo en entornos híbridos de Microsoft, eliminar el acceso privilegiado permanente y detectar amenazas de identidad en tiempo real.