IAM frente a PAM: dónde divergen realmente la identidad y el acceso privilegiado

La gestión de identidades y accesos (IAM) y la gestión de accesos privilegiados (PAM) se suelen considerar sinónimos con mucha más frecuencia de lo que deberían. Están relacionadas, se solapan y una forma parte de la otra. Sin embargo, responden a preguntas diferentes y resuelven problemas distintos.

El IAM es el marco que controla el acceso de los usuarios a la información crítica de una organización. Su función es garantizar que las personas adecuadas tengan el acceso apropiado a los recursos adecuados. El PAM es un subconjunto especializado de ese marco, centrado en las cuentas que pueden causar mayor daño. Es importante comprender en qué se diferencian ambos, y lo es aún más ahora que la mayoría de las identidades que acceden a tus sistemas no son humanas en absoluto.

Este artículo analiza en qué consiste realmente cada disciplina, por qué se ha convertido el acceso privilegiado en una disciplina independiente y en qué momento la división tradicional entre «humano» y «privilegiado» empieza a desmoronarse en un entorno dominado por las máquinas.

Qué son realmente el IAM y el PAM

Antes de compararlos, conviene definir cada uno de ellos con claridad y establecer el ámbito de aplicación.

¿Qué es la gestión de identidades y accesos (IAM)?

La gestión de identidades y accesos es el marco que utilizan las organizaciones para garantizar que las personas adecuadas tengan el acceso apropiado a los recursos tecnológicos. En esencia, la IAM define y gestiona los roles y los privilegios de acceso de cada usuario, así como las condiciones en las que se concede o deniega dicho acceso. Estos usuarios pueden ser empleados, contratistas o clientes.

El objetivo de la gestión de identidades y accesos (IAM) es proporcionar una identidad digital a cada persona. Una vez establecida esa identidad, debe mantenerse, modificarse y supervisarse a lo largo de todo el ciclo de vida del acceso del usuario. Esa gestión continua es lo que convierte a la IAM en la base para proteger los datos sensibles y reducir el riesgo de filtraciones y de incumplimientos normativos.

Hay dos conceptos que constituyen la base de todo sistema de IAM:

• La autenticaciónverifica la identidad de un usuario, normalmente mediante credenciales como un nombre de usuario y una contraseña. Es el primer paso para conceder acceso.
• La autorizacióndetermina lo que un usuario autenticado puede hacer, asignándole permisos en función de políticas predefinidas.

La autenticación confirma la identidad. La autorización determina a qué puede acceder esa identidad. Los sistemas de IAM gestionan ambos pasos mediante protocolos para verificar identidades y políticas para regular los derechos de acceso. Si quieres profundizar en este tema, echa un vistazo a nuestra guía completa sobrela gestión de identidades y accesos.

¿Qué es la gestión de accesos privilegiados (PAM)?

La gestión del acceso privilegiado es un subconjunto especializado de la gestión de identidades y accesos (IAM) centrado en controlar, supervisar y proteger el acceso de los usuarios con privilegios, como los administradores y los directivos. A diferencia de las herramientas de IAM más generales, que gestionan el acceso de todo el conjunto de usuarios, la gestión del acceso privilegiado (PAM) está diseñada específicamente para cuentas con derechos elevados, es decir, aquellas que pueden realizar cambios en todo el sistema y acceder a los datos más sensibles.

PAM funciona dentro del marco de IAM y añade una capa adicional de seguridad. Realiza un seguimiento y audita todas las acciones realizadas con cuentas privilegiadas, impone controles de acceso estrictos y aplica políticas de gestión de sesiones y de rotación de credenciales. En resumen, IAM regula el acceso de todos los usuarios; PAM aplica una disciplina más estricta a las cuentas que presentan mayor riesgo.

¿Por qué se escindió PAM en un primer momento?

Si la gestión de acceso (PAM) forma parte de la gestión de identidades y accesos (IAM), ¿por qué existe como disciplina independiente? La respuesta tiene que ver con el riesgo. Si se compromete una cuenta de usuario estándar, solo se ven expuestos los datos y permisos de una persona. En el caso de las cuentas con privilegios, la situación es muy diferente. Estas cuentas pueden realizar cambios de configuración de gran alcance, acceder a los registros de los clientes y a la propiedad intelectual, y moverse por los sistemas de formas que las cuentas normales no pueden.

Ese enorme radio de impacto exige controles que el sistema general de IAM nunca fue diseñado para proporcionar. Las organizaciones respondieron protegiendo las cuentas con privilegios mediante medidas de seguridad adicionales: seguimiento de sesiones para que cada acción con privilegios sea observable, auditorías para poder reconstruir la actividad a posteriori y rotación de credenciales para que una contraseña robada tenga una vida útil corta. Estas son las capacidades que el PAM añade a la autenticación y autorización básicas que ya gestiona el IAM.

La diferencia no radica tanto en que se trate de un tipo diferente de usuario, sino más bien en que las consecuencias sean de otra magnitud. Cuando el coste de que una sola cuenta sea objeto de un ataque puede ser catastrófico, los controles habituales no son suficientes.

Comparación de capacidades

Una comparación lado a lado muestra en qué se centra cada disciplina.

Funcionalidades básicas de IAM

Los programas de IAM se basan en un conjunto de componentes y prácticas que gestionan el acceso de los usuarios en general:

• Inicio de sesión único (SSO):permite al usuario acceder a varias aplicaciones con un único conjunto de credenciales, lo que reduce la fatiga asociada al uso de contraseñas y las infracciones relacionadas con las credenciales.
• Autenticación multifactorial (MFA):Requiere dos o más factores de verificación, combinando algo que el usuario sabe, algo que tiene y, en ocasiones, algo que es.
• Control de acceso basado en roles (RBAC):restringe el acceso en función del rol de cada usuario, aplicando el principio del «privilegio mínimo» al conceder a los usuarios solo el acceso necesario para realizar su trabajo.
• Gobernanza y administración de identidades (IGA):Coordina la gestión de identidades mediante políticas, automatizando la creación, modificación y cancelación de derechos de acceso, y llevando a cabo revisiones y auditorías de acceso.
• Gestión del ciclo de vida:gestiona las identidades desde la incorporación, pasando por los cambios de función, hasta la baja, garantizando que se revoque el acceso cuando ya no sea necesario.
• Directorios centralizados:Sistemas como LDAP y Active Directory constituyen la columna vertebral de la gestión de identidades y accesos (IAM), ya que proporcionan una única fuente de información fiable para la autenticación y la autorización.

Funcionalidades básicas de PAM

PAM centra su atención en las cuentas de alto riesgo y aplica controles más estrictos:

• Control de acceso elevado:regula de forma estricta quién puede utilizar cuentas con privilegios y en qué condiciones.
• Gestión de sesiones:supervisa y controla las sesiones con privilegios para que la actividad sea observable y, en caso necesario, se pueda interrumpir.
• Rotación de credenciales:cambia periódicamente las credenciales con privilegios para limitar el valor de un secreto robado.
• Auditoría de actividades con privilegios:realiza un seguimiento y registra todas las acciones realizadas con cuentas con privilegios para facilitar las investigaciones y garantizar el cumplimiento normativo.

Comparativa de prestaciones de un vistazo

La tabla siguiente muestra cómo aborda cada disciplina la misma dimensión. El IAM tiende a ofrecer un acceso amplio y permanente a numerosas identidades; el PAM tiende a ofrecer un acceso restringido y estrictamente controlado a un número reducido de usuarios de alto riesgo.

Donde la línea se difumina

Cada vez resulta más difícil mantener la clara distinción entre «usuarios normales bajo IAM» y «administradores bajo PAM». El enfoque moderno de la seguridad extiende a todos los usuarios los controles que antes se reservaban a las cuentas con privilegios.

El modelo «Zero Trust» es el ejemplo más claro. Parte de la base de que no se debe confiar automáticamente en nada, ni dentro ni fuera del perímetro de la red, por lo que se debe verificar a cada usuario y dispositivo antes de concederles acceso, con una supervisión continua y la aplicación del principio de «privilegios mínimos» en todo momento. El acceso «justo a tiempo» (JIT) refuerza este enfoque al conceder acceso temporal solo durante el tiempo que requiera una tarea, para luego revocarlo automáticamente. Ambos principios fueron en su día características distintivas del acceso privilegiado. Ahora se están convirtiendo en expectativas básicas para el conjunto de los usuarios.

El cambio más importante radica en a quiénes se aplican estos controles. Muchas identidades de máquinas cuentan con un acceso privilegiado que puede utilizarse para sustraer grandes volúmenes de datos o acceder a bases de datos repletas de registros de clientes. Esto ha llevado a las organizaciones a aplicar controles de acceso privilegiado a las máquinas, del mismo modo que llevan haciendo desde hace tiempo con los usuarios humanos, lo que incluye la rotación periódica de credenciales para protegerse contra los ataques de repetición y la protección de almacenes de secretos para la automatización y IoT . En otras palabras, la mentalidad del acceso privilegiado se está extendiendo mucho más allá del administrador humano.

Identidades de las máquinas: la laguna que dejan ambas disciplinas

Aquí es donde el debate entre IAM y PAM se vuelve más interesante, ya que ambos se diseñaron principalmente para personas, y ahora las personas son una minoría.

La magnitud del problema

Las máquinas superan en número a las personas, y sus identidades crecen a un ritmo acelerado. Las empresas están observando que las identidades de las máquinas crecen aproximadamente al doble de velocidad que las identidades humanas. Una empresa media gestiona actualmente miles de contenedores, microservicios y aplicaciones, cada uno con sus propias credenciales. Por cada empleado, puede haber docenas o incluso cientos de identidades no humanas.

El problema de la visibilidad es tan llamativo como el crecimiento. En el informe «Estado de la gestión de la identidad de las máquinas» de 2023 de Keyfactor, en el que se encuestó a 1.280 profesionales de TI y seguridad, más de la mitad afirmó que sus organizaciones no saben cuántas claves y certificados tienen. Un 72 % declaró que el uso creciente de claves y certificados había aumentado significativamente su carga operativa, y al 58 % le preocupaba el riesgo cada vez mayor de que se produjeran errores de configuración.

Por qué las soluciones tradicionales de IAM y PAM se quedan cortas

Las identidades de las máquinas no encajan perfectamente en las herramientas diseñadas para las personas. Hay varias carencias estructurales que se repiten una y otra vez:

• Falta de visibilidad:Las identidades de las máquinas las crean distintos equipos utilizando herramientas diferentes, lo que da lugar a un panorama fragmentado. Muchas organizaciones desconocen cuántas tienen, dónde se encuentran o a qué acceden.
• Falta de gobernanza:A menudo no existe una política centralizada que regule cómo se emiten, renuevan o revocan las credenciales de las máquinas. Las credenciales se codifican de forma fija en scripts, se almacenan en texto sin cifrar o, sencillamente, se olvidan tras la implementación.
• Procesos manuales y fragmentados:el uso de herramientas poco homogéneas hace que la generación, la rotación o la retirada de credenciales de las máquinas sea un proceso lento y propenso a errores, lo que da lugar a la aparición de una «TI en la sombra» y a vías de acceso no supervisadas.
• Ampliación de la superficie de ataque:las identidades de máquinas no gestionadas o caducadas son un objetivo prioritario. El compromiso de una de ellas puede proporcionar al atacante acceso a sistemas críticos, flujos de datos o infraestructura en la nube.

Parte de la dificultad radica en que las identidades de las máquinas no se comportan en absoluto como las humanas. Algunas son efímeras y duran tan solo lo que dura un microservicio, es decir, treinta segundos. Otras persisten durante años, o incluso para siempre. Esa variabilidad hace que resulte difícil aplicar las prácticas habituales en materia de identidad, que parten de la base de que existen cuentas duraderas vinculadas a personas reales.

La PKI como base de la identidad de las máquinas

Entre los numerosos tipos de credenciales que se utilizan para las máquinas, destacan los certificados digitales X.509 emitidos a través de la infraestructura de clave pública (PKI). Estos proporcionan una autenticación sólida mediante pares de claves criptográficas, una comunicación cifrada para proteger los datos en tránsito y una identidad verificable vinculada a políticas y controles del ciclo de vida.

La diferencia clave radica en la durabilidad de la confianza. A diferencia de los tokens o las contraseñas, los certificados no son reutilizables, son a prueba de manipulaciones y ofrecen seguridad criptográfica, lo que los hace idóneos para las arquitecturas de «confianza cero». Keyfactor considera la PKI no solo como una identidad más de las máquinas, sino como una infraestructura crítica: la raíz de confianza que permite una comunicación segura entre máquinas a gran escala.

Tipo de credencial como eje real

Una vez que las máquinas entran en escena, la forma más útil de plantearse el acceso no es simplemente «humanos frente a entidades con privilegios», sino según el tipo de credencial. Las diferentes credenciales tienen distintas duraciones, perfiles de riesgo y necesidades de gestión, y esa distinción suele ser más importante que quién o qué hay detrás de la cuenta.

El abanico de titulaciones

Las identidades no humanas se basan en una amplia variedad de secretos, claves y certificados:

• Claves API
• Tokens como OAuth y JWT
• Contraseñas
• Cuentas (de servicio, en la nube, de sistema y de aplicación)
• Claves de cifrado
• Claves SSH
• Certificados X.509, incluidos los de tipo « TLS », «client» y «SPIFFE»

Cada uno de ellos garantiza la seguridad de las interacciones entre máquinas, desde un proceso de CI/CD que utiliza un token OAuth para implementar código, hasta un dispositivo IoT que utiliza un certificado TLS para enviar datos de telemetría, pasando por una máquina virtual en la nube que se autentica en el almacenamiento mediante una cuenta de servicio. Además, cada uno de ellos tiene un ciclo de vida y un comportamiento ante fallos distintos, por lo que resulta arriesgado tratarlos como un conjunto indiferenciado.

Por qué los certificados se comportan de forma diferente

Conviene diferenciar los certificados del resto de elementos. Los tokens y las contraseñas son claves secretas reutilizables: si se copia una, puede volver a utilizarse. Los certificados, en cambio, no son reutilizables, son a prueba de manipulaciones y son criptográficamente seguros, y están vinculados a pares de claves y a controles de ciclo de vida que regulan su emisión, renovación y revocación.

Esa diferencia determina cómo deben gestionarse. Una contraseña puede renovarse según un calendario; un certificado forma parte de una cadena de confianza y requiere un inventario, la aplicación de políticas sobre el tamaño de las claves y los períodos de validez, así como una renovación automática. En un entorno en el que los microservicios pueden solicitar certificados cada pocos minutos, la gestión manual simplemente no resulta escalable.

Cumplimiento

La gestión de identidades y accesos (IAM), la gestión de accesos de personal (PAM) y la gestión de identidades de máquinas están directamente relacionadas con las obligaciones normativas. La IAM favorece el cumplimiento normativo al aplicar políticas de acceso alineadas con normativas como el RGPD y la HIPAA, automatizar el aprovisionamiento y el desaprovisionamiento de cuentas, y generar los informes que esperan los auditores. Conceder acceso en función de un rol predefinido y revocarlo de forma inmediata es precisamente lo que los organismos reguladores quieren ver documentado.

El acceso privilegiado aporta las pruebas que más interesan a los auditores en lo que respecta a las actividades de alto riesgo: grabaciones de sesiones, registros de « command » y registros de quién ha accedido a una cuenta y cuándo. Aquí es donde las capacidades de auditoría del PAM se convierten en pruebas listas para la auditoría.

Las identidades de las máquinas suelen pasar desapercibidas. Cuando no se gestionan adecuadamente, se convierten en una fuente habitual de incumplimientos normativos, junto con las interrupciones del servicio y las filtraciones de datos. Para subsanar esta deficiencia, es necesario aplicar políticas, auditorías y procesos de aprobación coherentes a las credenciales de las máquinas con el mismo rigor que se utiliza para las cuentas de los usuarios, de modo que cada emisión y cada modificación dejen un rastro.

Hacia dónde se dirige

La tendencia es la convergencia. Las identidades humanas y las de las máquinas avanzan hacia un enfoque único regido por los mismos principios, y el ritmo de la transformación digital —impulsado por la migración a la nube, el auge de las máquinas y el cambio hacia Agile y DevOps— hace que ese cambio sea inevitable.

Una estrategia ágil de gestión de identidades y accesos (IAM) para toda la plantilla se basa en una serie de principios que se aplican por igual a las personas y a las máquinas:

• Acceso «justo a tiempo»:hacer que las máquinas soliciten acceso y se autentiquen cada vez, en lugar de permanecer conectadas.
• Acceso basado en el contexto:comprender por qué una identidad concreta necesita un acceso específico antes de concedérselo.
• Privilegios mínimos necesarios:conceder únicamente los sistemas y permisos necesarios para realizar el trabajo.
• Automatización:Incorporar la automatización para operar a la velocidad necesaria a lo largo de todo el ciclo de vida de cada identidad, manteniendo al mismo tiempo la visibilidad sobre la misma.

Dos factores determinarán lo que vendrá después. Los agentes de IA están surgiendo como una nueva ola de actores no humanos que interactúan, se autentican e intercambian datos de forma continua, lo que agrava aún más el problema de la identidad. Por su parte, la criptografía poscuántica está pasando de la teoría a la fase de planificación, razón por la cual es necesario construir una infraestructura de confianza duradera que tenga en cuenta la preparación para la era cuántica. En todo este proceso, la PKI sigue siendo la base fundamental: la raíz de la confianza que se adapta a medida que se multiplican las identidades.

Cómo Keyfactor ayudarte Keyfactor

Garantizar la identidad a escala de máquina se reduce a establecer la confianza y automatizarla. El enfoque de Keyfactorse centra en hacer que las identidades no humanas sean visibles, auditables y seguras desde el diseño, tomando como base la infraestructura de clave pública (PKI):

• Establezca una base sólida de confianzacon una infraestructura de clave pública (PKI) de nivel empresarial diseñada para la criptografía en constante evolución y los casos de uso de identidades de máquina, incluida la compatibilidad con la criptografía poscuántica.
• Asigne identidades a las necesidades empresarialesalineando la emisión de certificados y los controles de acceso con los requisitos específicos de cada carga de trabajo, sistema y entorno.
• Automatice todo el ciclo de vida de los certificados,desde su emisión y renovación hasta su revocación, para eliminar las interrupciones del servicio, reducir el trabajo manual y mantener una confianza continua.
• Aplica una política y una gobernanza coherentesen todos los entornos mediante controles detallados, auditorías y aprobaciones de flujos de trabajo.
• Integra de forma flexibleen entornos híbridos, en la nube y multinube mediante opciones de implementación y API, sin dependencia de un único proveedor.

Los resultados son tangibles. Un banco multinacional que gestiona más de un millón de certificados en una infraestructura híbrida automatizó la emisión, la renovación y la revocación, y logró reducir las tareas manuales en un 90 % sin que se produjeran interrupciones críticas del servicio, todo ello al tratar las identidades de las máquinas como elementos fundamentales de su programa de seguridad.

¿Tienes dudas sobre IAM y PAM? Tenemos las respuestas.

¿Cuál es la diferencia entre IAM y PAM?
IAM es el marco general que proporciona a las personas adecuadas el acceso apropiado a los recursos a lo largo de su ciclo de vida. PAM es un subconjunto especializado de IAM que controla, supervisa y protege el acceso de los usuarios con privilegios, como los administradores. En resumen, IAM regula el acceso de todos los usuarios, mientras que PAM añade controles más estrictos para las cuentas de alto riesgo.

¿PAM forma parte de IAM o es independiente?
PAM es un subconjunto especializado de IAM. Funciona dentro del marco de IAM, pero añade una capa adicional de seguridad para las cuentas con privilegios, que incluye la gestión de sesiones, la auditoría y la rotación de credenciales.

¿Por qué las cuentas con privilegios necesitan controles adicionales?
Las cuentas con privilegios pueden realizar cambios en todo el sistema y acceder a datos confidenciales, por lo que su compromiso causa un daño mucho mayor que el de una cuenta estándar. PAM aborda este problema mediante el seguimiento, la auditoría y el control estricto del uso de dichas cuentas.

¿Qué capacidades aporta el PAM que normalmente no tiene el IAM?
El PAM incorpora gestión de sesiones, rotación de credenciales, almacenamiento seguro de secretos y auditoría detallada de la actividad con privilegios. El IAM estándar se centra más en la autenticación, la autorización, el inicio de sesión único (SSO) y la gobernanza para el conjunto de los usuarios.

¿Cubren las soluciones IAM y PAM las identidades de máquina?
No del todo. Ambas se diseñaron principalmente para usuarios humanos, mientras que las identidades de máquina superan ya en número a las humanas y, a menudo, no se gestionan, no se controlan ni están protegidas. Para subsanar esta carencia, suele ser necesario recurrir a la infraestructura de clave pública (PKI) y a la automatización del ciclo de vida de los certificados.

¿Qué tipos de credenciales se utilizan para identidades no humanas?
Entre los tipos más comunes se incluyen las claves API, los tokens (como OAuth y JWT), las contraseñas, las cuentas de servicios y en la nube, las claves de cifrado, las claves SSH y los certificados X.509. Los certificados destacan por ser no reutilizables, a prueba de manipulaciones y criptográficamente seguros.

¿Cómo contribuyen el IAM y el PAM al cumplimiento normativo?
Ambos ayudan a aplicar las políticas de acceso, aautomatizar el aprovisionamiento y el desaprovisionamiento, y a generar los registros de auditoría que exigen los organismos reguladores en virtud de normativas como el RGPD y la HIPAA. Las identidades de máquina no gestionadas son una causa frecuente de incumplimientos normativos.

¿Hacia dónde se dirige la gestión de identidades y accesos?
Hacia un enfoque unificado que trate las identidades humanas y no humanas con el mismo rigor, basado en el modelo «Zero Trust» y el acceso «justo a tiempo», una automatización avanzada, la PKI como raíz de confianza y la preparación para los agentes de IA y la criptografía poscuántica.