¿Qué coño es la infraestructura de confianza?

Hace dos semanas, pasé un día paseando por el parque con algunos de nuestros principales expertos en identidad basada en IA, criptografía a prueba de computación cuántica y todo lo relacionado con la confianza digital. Les pedí que dejaran a un lado los discursos preparados y me dijeran lo que realmente pensaban sobre el futuro de estos componentes fundamentales de la seguridad.

The conversations were honest, and they kept circling back to the same idea. A way of looking at the cryptographic foundation beneath everything we build. A shift in perspective. We’ve started calling that idea Trust Infrastructure, and the more I sat with it, the more it clicked. So let me walk you through it, the same way they did for me.

¿Y qué es eso?

Para empezar, lo entiendo. «Confianza» es una de las palabras más manidas en el ámbito de la ciberseguridad. La repetimos constantemente: «confianza cero», «confianza en los dispositivos», «límites de confianza». Pero rara vez nos paramos a preguntarnos en qué se basa realmente la confianza. ¿Qué hace que algo sea digno de confianza? Sí, hay muchos elementos que hacen que un dispositivo, una carga de trabajo o software , pero existe una capa fundamental de seguridad que… hasta ahora… se ha pasado por alto en gran medida.

La infraestructura de confianza es la base criptográfica que permite a las máquinas, las aplicaciones, los dispositivos, los agentes de inteligencia artificial e incluso a las personas demostrar quiénes son y comunicarse de forma segura. Las claves y los certificados verifican la identidad. Los algoritmos cifran los datos. Las firmas confirman que el código y los documentos son auténticos. Los protocolos y las autoridades establecen la confianza entre partes que nunca se han conocido. 

Esto ocurre constantemente. Miles de veces por segundo. Nunca nos paramos a pensar en ello, y en eso consiste precisamente. Cuando funciona, todo fluye. Cuando falla, también lo hace todo lo que se ejecuta sobre él. 

Nada de eso es tecnología nueva. Lo nuevo es la decisión de considerarla una infraestructura crítica, en lugar de un nicho de seguridad reservado a los pocos que la entienden.

Mira la introducción a la serie —«¿Qué demonios es la infraestructura de confianza?»— para conocer rápidamente el concepto y lo que significa.

Así es como la mayoría de las organizaciones han llegado a donde están ahora. Los certificados y las claves están por todas partes. Y los algoritmos y las bibliotecas que realizan el trabajo real quedan ocultos en código y configuraciones que nadie ha tocado en años. Cada elemento se trata como una herramienta o un activo independiente, gestionado de forma aislada por quien lo haya utilizado por última vez. Por eso, la criptografía acaba estando presente en todas partes, pero casi nunca se tiene en cuenta.

La «infraestructura de confianza» no es solo un término; es un cambio de perspectiva. Replantea todos esos elementos dispersos como lo que realmente son cuando se toma distancia: una única infraestructura interconectada de la que depende toda la empresa. Y, al igual que cualquier otra capa de seguridad —la nube, la red, los terminales o las aplicaciones—, debe supervisarse, gestionarse y regularse de forma continua.

¿Por qué es importante esto? Porque la forma en que se plantea un problema determina cómo se prioriza. Si los certificados y las claves no son más que una molestia, seguirás gestionándolos con hojas de cálculo y scripts. Si, por el contrario, forman parte de una infraestructura crítica, les asignarás un responsable, les darás una visibilidad real, aplicarás políticas estrictas y contarás con una automatización escalable. Solo uno de esos enfoques sobrevivirá a lo que se avecina.

¿Por qué sale esto a la luz ahora?

La razón por la que esta conversación no puede esperar es que el terreno en el que se asienta esta infraestructura se está moviendo, sacudido por cuatro retos transformadores:

• Cryptographic debt: the cryptography you own but can’t see, aging quietly and turning into the largest unmanaged risk surface in the enterprise.
• AI agent identity: a population of non-human cryptographic identities growing faster than anyone can govern it.
• 47-day certificates: TLS certificate lifespans collapsing from one year to six weeks, creating a 12x jump in operational overhead.
• The quantum threat: harvest now, decrypt later, where data taken today is decrypted the moment a capable quantum computer arrives.

Es fácil considerar estos aspectos como cuatro elementos independientes, pero no están aislados. Se acumulan. La superficie está aumentando. El ritmo de renovación (y la carga operativa) se está acelerando. Los algoritmos que subyacen a todo ello deben sustituirse. Si se abordan por separado, son cuatro proyectos difíciles. En conjunto, suponen un cambio radical en lo que se necesita para mantener la confianza.

Un paseo por el parque (pero no lo es)

That’s why we put together this video series, and we named it A Walk in the Park. The setting is exactly that: our experts out in the open, walking through parks and green spaces, talking the way they actually talk when the slides are off. But the subject matter is anything but a walk in the park. Each episode (starting next week) dives into one of these four forces and what organizations must do to prepare.

Próximamente: Acompáñame en mi charla con Ellen Boehm, vicepresidenta sénior de Innovación y Estrategia en IA, para hablar del problema de identidad del que nadie se hace responsable: los agentes de IA. Nos vemos en el próximo paseo.