El perímetro de red clásico ha muerto. En un entorno donde conviven la nube, el teletrabajo y los dispositivos personales (BYOD), el firewall más importante de tu infraestructura ya no es una caja parpadeando en el rack: es la identidad de tus usuarios.
IAM (Identity and Access Management) no es un software que compras ni consiste simplemente en «crear usuarios en Active Directory«. Es el conjunto de políticas, procesos y tecnologías que garantizan que la persona adecuada tenga el acceso adecuado, a los recursos adecuados, en el momento adecuado y por la razón correcta.
Si no controlas la identidad, no controlas la seguridad. Veamos cómo estructurar una arquitectura IAM lógica y funcional, alejándonos del manual básico y entendiendo los conceptos que realmente importan.
Índice de contenidos
Identidad vs. Acceso: El principio de todo
Uno de los errores más comunes en IT es mezclar identidad con acceso. Para que un sistema IAM funcione, debes separar conceptual y técnicamente estas dos fases:
Autenticación (AuthN): Demostrando quién eres
Es el proceso de verificar la identidad de un usuario, dispositivo o servicio. Responde a la pregunta: ¿Eres quien dices ser? Históricamente nos basábamos en contraseñas (algo que sabes), pero hoy es innegociable combinarlo con otros factores (algo que tienes o algo que eres). Es el equivalente a mostrar el pasaporte en el aeropuerto.
Autorización (AuthZ): Definiendo qué puedes hacer
Una vez que el sistema sabe quién eres, la autorización determina a qué recursos tienes acceso y qué acciones puedes ejecutar (leer, escribir, borrar). Responde a la pregunta: ¿Tienes permiso para hacer esto? Es el equivalente a tu tarjeta de embarque: tu pasaporte es válido, pero no te da derecho a subir a cualquier avión. Aquí entran en juego modelos de autorización como RBAC (Control de Acceso Basado en Roles) o ABAC (Basado en Atributos).
Componentes clave de una arquitectura IAM moderna
Para orquestar autenticación y autorización a escala, necesitas que varios componentes hablen el mismo idioma:
- Proveedor de Identidad (IdP) y Directorios: Es tu fuente única de la verdad. Almacena y gestiona las identidades digitales. Ejemplos clásicos son Microsoft Entra ID (antes Azure AD), Okta o el tradicional Active Directory on-premise.
- Single Sign-On (SSO) y MFA: El SSO permite al usuario autenticarse una sola vez y acceder a múltiples aplicaciones sin volver a introducir credenciales. Esto reduce la fatiga de contraseñas. Sin embargo, al centralizar el acceso, la puerta de entrada es más crítica, por lo que desplegar MFA (Autenticación Multifactor) de forma obligatoria no es una opción, es un requisito de supervivencia.
- Identidad Federada (Federation): Permite que usuarios de otros dominios (partners, proveedores) accedan a tus sistemas usando sus propias credenciales corporativas, sin que tengas que crearles cuentas locales en tu directorio. Se apoya en protocolos como SAML 2.0 u OpenID Connect (OIDC).
El ciclo de vida de la identidad (JML) en el mundo real
IAM es un proceso vivo. Si tu gestión de identidades no se adapta a los cambios del usuario dentro de la empresa, estás acumulando deuda técnica y de seguridad. Esto se gestiona mediante el ciclo JML (Joiner, Move, Leaver):
Joiner (Alta): El aprovisionamiento
Cuando un empleado entra a la empresa. El error aquí es depender de un ticket de IT manual. El aprovisionamiento debe estar integrado y automatizado con el software de Recursos Humanos (HR-driven provisioning) para crear la cuenta y asignar los permisos base (Birthright access) desde el día cero.
Mover (Cambio): El peligro de la acumulación de privilegios
El punto más crítico y olvidado. Cuando un usuario cambia de departamento (ej. de Marketing a Ventas), se le suelen otorgar los permisos nuevos… pero nadie le quita los antiguos. Esto genera Privilege Creep (acumulación de privilegios), creando cuentas con accesos desproporcionados que violan el principio de mínimo privilegio. Este concepto cae en certificaciones fundamentales como CC y/o Security+.
Leaver (Baja): La bomba de relojería de las credenciales huérfanas
Cuando un empleado se va. Las cuentas no deshabilitadas a tiempo son el vector de entrada favorito del ransomware y los ex-empleados maliciosos. El proceso de offboarding debe ser inmediato (y debe haber un proceso escrito en piedra, generalmente en la política de gestión de accesos o similar), revocando sesiones activas y bloqueando el acceso en el mismo minuto en que la persona deja la compañía.
IAM no lo es todo: La necesidad de PAM
Es vital entender que IAM está diseñado para el 95% de la plantilla (usuarios estándar). Sin embargo, ¿qué pasa con los administradores de sistemas, las cuentas root o los Domain Admins?
Para ellos existe PAM (Privileged Access Management). Mientras que IAM te da acceso al correo y al CRM, PAM protege «las llaves del reino». Requiere controles mucho más estrictos: bóvedas de contraseñas, rotación automática tras cada uso, justificación de acceso y grabación de sesiones. No intentes gestionar administradores críticos con políticas IAM estándar o te sacarán los colores en una auditoría.
Cuatro errores críticos al implementar una estrategia IAM
- Tratar IAM como un proyecto puramente de IT: Sistemas no sabe qué carpetas necesita ver un auditor o un contable. El negocio debe ser el propietario de los roles (Data Owners), IT solo facilita la tecnología.
- Procesos de offboarding desconectados: Si la baja de un usuario depende de que alguien envíe un email a soporte «cuando tenga un hueco», tienes una brecha de seguridad esperando a ocurrir.
- Ignorar las Cuentas de Servicio (Service Accounts): Identidades no humanas que usan las aplicaciones para hablar entre sí. Suelen tener permisos altísimos, contraseñas que no caducan y nadie las monitoriza.
- Exceso de confianza en roles estáticos: Asignar permisos solo por el «cargo» (RBAC) sin tener en cuenta el contexto. (Ej: Un director financiero tiene acceso al ERP, pero ¿debería poder descargar toda la base de datos a las 3:00 AM desde una IP en otro continente?).
De IAM a Zero Trust: El requisito previo innegociable
Zero Trust asume que la red ya está comprometida y exige verificar cada solicitud de acceso, sin importar de dónde venga.
No puedes construir una arquitectura Zero Trust si no puedes responder con exactitud a la pregunta: ¿Quién está intentando acceder? IAM es el pilar fundacional. Si tus identidades son un caos, están duplicadas o carecen de MFA, cualquier iniciativa de Zero Trust será puro marketing y cero seguridad real.
Checklist básico para evaluar tu IAM actual
¿Quieres saber en qué estado se encuentra tu gestión de identidades? Hazte estas preguntas:
- ¿Tienes MFA habilitado y forzado para todos los usuarios y aplicaciones externas?
- ¿Las bajas de usuarios se procesan y bloquean en menos de 24 horas?
- ¿Existe un proceso periódico de revisión y recertificación de permisos por parte de los mánagers?
- ¿Están tus cuentas de servicio documentadas, limitadas en privilegios y con rotación de credenciales?
- ¿Tienes un proceso que revoque automáticamente los permisos antiguos cuando alguien cambia de puesto?
En sistemas legados puede ser complejo «arreglar la casa», pero hay que intentarlo y reducir el riesgo.
Conclusión
IAM no es un proyecto con fecha de fin; es la maquinaria operativa que permite a tu empresa funcionar de forma segura.
Limpiar un Active Directory lleno de grupos obsoletos o automatizar el alta de usuarios no es el trabajo más glamuroso de la ciberseguridad, pero te protegerá de más incidentes reales que la compra del último producto milagro con Inteligencia Artificial.
Entiende la identidad, controla el acceso y audita el ciclo de vida completo.
