Gestión de identidades y accesos (IAM): explicación de los conceptos básicos

Hay mucho en juego. Cada inicio de sesión no autorizado, cada cuenta abandonada o cada usuario con privilegios excesivos es una vía potencial hacia una filtración de datos o un incumplimiento normativo. La gestión de identidades y accesos (IAM) existe para cerrar esas vías de forma sistemática, en lugar de hacerlo caso por caso. Esta guía explica los conceptos fundamentales que todo equipo debe comprender: qué es el IAM, la terminología relacionada con él, los tres pilares del control de acceso, los elementos básicos que lo hacen funcionar y por qué el IAM moderno se extiende cada vez más allá de las personas hasta abarcar las máquinas que ahora pueblan todas las redes.

¿Qué es la gestión de identidades y accesos?

La gestión de identidades y accesos es un marco que permite definir y gestionar los roles y los privilegios de acceso de cada usuario de la red, así como las condiciones en las que se concede o se deniega el acceso a dichos usuarios. Estos usuarios pueden ser empleados (gestión de identidades y accesos de empleados), socios o clientes (gestión de identidades de clientes). También pueden ser entidades no humanas, como cargas de trabajo, servicios, dispositivos y agentes de IA. Puedes obtener más información sobre las identidades no humanas en nuestro análisis en profundidad sobrela gestión de identidades de máquinas.

El objetivo de la gestión de identidades y accesos (IAM) es proporcionar una identidad digital por persona. Una vez establecida esa identidad, debe mantenerse, modificarse y supervisarse a lo largo de todo el ciclo de vida del acceso del usuario, desde el día en que se incorpora hasta el día en que abandona la organización. Esta identidad única y regulada es la que permite a una organización responder en cualquier momento a una pregunta aparentemente sencilla: ¿quién tiene acceso a qué y por qué?

El papel de la gestión de identidades y accesos (IAM) en la ciberseguridad

La gestión de identidades y accesos (IAM) es un elemento fundamental de la ciberseguridad, ya que controla quién puede acceder a los datos y sistemas de una organización. Al definir y hacer cumplir quién tiene acceso a qué y en qué condiciones, y al aplicar controles de acceso granulares y una gestión de identidades, la IAM reduce la superficie de ataque a la que pueden acceder las posibles amenazas.

De ello se derivan dos consecuencias directas. En primer lugar, la gestión de identidades y accesos (IAM) impide el acceso no autorizado al verificar las identidades y regular los permisos antes de que nadie acceda a un recurso. En segundo lugar, favorece el cumplimiento normativo al proporcionar a las organizaciones las herramientas necesarias para controlar, supervisar y elaborar informes sobre el acceso, lo cual es esencial para demostrar el cumplimiento de marcos normativos como el RGPD y la HIPAA. En resumen, la IAM es la forma en que las organizaciones protegen los datos y sistemas sensibles, al tiempo que demuestran que lo están haciendo.

Cómo funciona la gestión de identidades y accesos (IAM) en distintos entornos

El IAM debe funcionar de forma coherente independientemente de dónde se encuentren los recursos. En la práctica, esto significa adaptarse a cuatro entornos habituales:

• Entornos locales:configuraciones tradicionales en las que los servidores, las bases de datos y las aplicaciones se encuentran dentro de las instalaciones físicas de la empresa. El sistema de gestión de identidades y accesos (IAM) gestiona el acceso a esos recursos locales.
• Entornos en la nube:servicios alojados fuera de las instalaciones a los que se accede a través de Internet. En este caso, el sistema de gestión de identidades y accesos (IAM) debe gestionar la autenticación y la autorización en numerosas aplicaciones y plataformas basadas en la nube.
• Entornos híbridos:una combinación de servicios locales y en la nube. IAM sirve de puente entre ambos, proporcionando un acceso fluido y garantizando al mismo tiempo el cumplimiento de los protocolos de seguridad en ambos entornos.
• Entornos multinube:se utilizan varios proveedores de servicios en la nube al mismo tiempo. El sistema de gestión de identidades y accesos (IAM) debe aplicar políticas de seguridad y acceso coherentes en todas las plataformas sin duplicar esfuerzos.

En todos estos ámbitos, la gestión de identidades y accesos (IAM) se extiende cada vez más allá de los usuarios humanos para abarcar identidades de máquinas, como cuentas de servicio, cargas de trabajo y dispositivos, que necesitan los mismos controles de acceso rigurosos que las personas.

Identidad, cuenta, credencial y derecho de acceso

Hay cuatro términos que constituyen el núcleo de la IAM y que a menudo se utilizan indistintamente, aunque cada uno de ellos tenga un significado distinto. Aclarar estas diferencias facilita la comprensión de todos los conceptos posteriores.

Término	Qué es	Indicación en lenguaje sencillo
Identidad	La representación digital única de una persona o entidad	Quién eres
Cuenta	El registro al que se asigna una identidad dentro de un sistema concreto	Donde estás tú
Credencial	La prueba utilizada para verificar la identidad	Cómo lo demuestras
Derecho	El permiso específico que se concede una vez realizada la autenticación	Lo que está permitido hacer

Identidad

Una identidad es la representación digital única de una persona o entidad. El principio rector de la gestión de identidades y accesos (IAM) es que cada persona tenga una única identidad digital, que se establece una sola vez y se mantiene a lo largo de todo el ciclo de vida del acceso. Esa identidad única es el punto de referencia al que se vincula todo lo demás.

Cuenta

Una cuenta es el registro específico mediante el cual se concede una identidad dentro de un sistema o una aplicación. Una misma identidad puede tener varias cuentas en distintos sistemas. Las cuentas no se limitan a las personas: las cuentas de servicio representan usos no humanos, como una aplicación o un proceso que necesita autenticarse y actuar de forma autónoma.

Credencial

Una credencial es la prueba que se utiliza para autenticar una identidad. Las credenciales pueden adoptar diversas formas, como contraseñas, claves, tokens, certificados digitales y datos biométricos. En la autenticación multifactorial, se combinan varios tipos de credenciales, de modo que para demostrar la identidad se requiere más de una forma de prueba.

Derecho

Una autorización es el permiso específico o derecho de acceso concedido a una identidad, que define lo que esta puede hacer realmente una vez autenticada. Mientras que una credencial demuestra quién eres, una autorización determina a qué puedes acceder y qué operaciones puedes realizar. Las autorizaciones suelen agruparse en roles en el marco del control de acceso basado en roles y se rigen por el principio del privilegio mínimo, de modo que un usuario solo recibe las autorizaciones que requiere su trabajo. Por ejemplo, la identidad de un empleado puede tener el derecho a consultar un informe financiero, mientras que la de otro puede tener el derecho a editarlo y aprobarlo. Gestionar los derechos con cuidado, especialmente retirándolos cuando ya no sean necesarios, es fundamental para mantener el acceso en consonancia con las necesidades reales.

En resumen: una identidad es quién eres, una cuenta es dónde te encuentras, una credencial es cómo lo demuestras y un derecho es lo que se te permite hacer.

Autenticación, autorización y auditoría

El control de acceso se basa en tres pilares, a menudo denominados AAA. La autenticación verifica quién eres, la autorización determina a qué puedes acceder y la auditoría revisa lo que realmente ha ocurrido. Cada uno de ellos responde a una pregunta diferente, y los sistemas IAM gestionan los tres de forma secuencial.

Autenticación: comprobar quién eres

La autenticación es el proceso de verificar la identidad de un usuario o una entidad, normalmente mediante credenciales como nombres de usuario y contraseñas. Es el primer paso para conceder acceso a cualquier sistema o aplicación.

Dado que las contraseñas por sí solas son fáciles de vulnerar, IAM refuerza la autenticación con métodos adicionales:

• La autenticación multifactorial (MFA)requiere dos o más factores de verificación, combinando algo que el usuario sabe (una contraseña), algo que el usuario tiene (un token de seguridad o un smartphone) y, en ocasiones, algo que el usuario es (un dato biométrico). El hecho de exigir múltiples formas de identificación reduce drásticamente el riesgo de que las credenciales se vean comprometidas.
• El inicio de sesión único (SSO)permite al usuario autenticarse una sola vez con un único conjunto de credenciales y, a continuación, acceder a varias aplicaciones. El SSO funciona estableciendo una relación de confianza entre un proveedor de identidad y diversos proveedores de servicios, lo que reduce la fatiga derivada del uso de contraseñas y la proliferación de credenciales que da lugar a filtraciones de datos.

Autorización: determinar a qué puedes acceder

Una vez que el usuario se ha autenticado, la autorización determina a qué recursos puede acceder y qué operaciones puede realizar, en función de unas políticas predefinidas. La autenticación confirma la identidad; la autorización asigna permisos.

Hay dos ideas fundamentales en el diseño de un buen sistema de autorización. El control de acceso basado en roles (RBAC) asigna permisos a los roles en lugar de a las personas, y luego asigna a los usuarios a los roles que se ajustan a sus responsabilidades. De este modo se aplica el principio del mínimo privilegio, lo que significa que los usuarios obtienen solo el acceso necesario para realizar su trabajo y nada más. A medida que las personas cambian de rol, su acceso se puede actualizar de forma sistemática, en lugar de tener que modificar los permisos uno por uno.

Auditoría: comprobar y revisar lo que ha ocurrido

La auditoría es el pilar de la rendición de cuentas del modelo AAA. Abarca el seguimiento, el registro y la revisión de la actividad de acceso, de modo que una organización pueda demostrar el cumplimiento normativo y detectar usos indebidos. Mientras que la autenticación y la autorización regulan el acceso en el momento en que se produce, la auditoría analiza lo ocurrido con carácter retrospectivo para determinar qué sucedió realmente, quién lo hizo y si fue adecuado.

En la práctica, la auditoría se lleva a cabo mediante revisiones de acceso, registros de auditoría e informes de cumplimiento. La gobernanza y administración de identidades (IGA) automatiza gran parte de este proceso al realizar revisiones de acceso y mantener registros de a quién se le han concedido qué derechos y cuándo. Un registro de auditoría centralizado y bien mantenido es lo que convierte las decisiones de acceso en pruebas en las que los auditores pueden confiar, y resulta esencial para detectar la acumulación progresiva de privilegios, las cuentas inactivas y los comportamientos sospechosos antes de que se conviertan en incidentes.

Componentes básicos de la gestión de identidades y accesos (IAM)

Varios componentes operativos funcionan conjuntamente para que el IAM funcione. Cada uno de ellos se ocupa de un aspecto concreto de la gestión de identidades y accesos.

Autenticación multifactorial (MFA)

La autenticación multifactorial (MFA) es un mecanismo de seguridad que requiere dos o más factores de verificación antes de conceder el acceso. Al combinar algo que sabes, algo que tienes y algo que eres, añade capas de defensa y reduce significativamente el riesgo de que se roben o se adivinen las credenciales.

Inicio de sesión único (SSO)

El SSO permite a los usuarios acceder a varias aplicaciones con un único conjunto de credenciales de inicio de sesión. Simplifica la experiencia del usuario, reduce la fatiga asociada al uso de contraseñas y minimiza las filtraciones relacionadas con las credenciales, ya que solo exige la verificación de la identidad una vez para todo un conjunto de aplicaciones de confianza.

Control de acceso basado en roles (RBAC) y principio del privilegio mínimo

El modelo RBAC restringe el acceso al sistema en función del rol que desempeña el usuario dentro de la organización. Los roles se definen en función de las competencias y responsabilidades del puesto, y a los usuarios se les asignan roles en lugar de concedérseles permisos de forma individual. De este modo, se aplica el principio del «privilegio mínimo», lo que garantiza que cada usuario disponga del acceso justo y necesario para realizar su trabajo, y facilita la actualización de los accesos a medida que cambian los roles.

Gobernanza y administración de identidades (IGA)

También conocida como «seguridad de la identidad», la IGA consiste en la coordinación centralizada y basada en políticas de la gestión de identidades y el control de acceso. Automatiza la creación, modificación y revocación de los derechos de acceso, y lleva a cabo las revisiones y auditorías de acceso que garantizan que los permisos se ajusten a la normativa y a las políticas de la empresa.

Gestión de acceso privilegiado (PAM)

La gestión de acceso privilegiado (PAM) es un subconjunto especializado de la gestión de identidades y accesos (IAM) centrado en el acceso de alto nivel de los usuarios con privilegios, como administradores y directivos, cuyas cuentas pueden realizar cambios en todo el sistema y acceder a los datos más sensibles. La PAM añade una capa adicional de control mediante el seguimiento y la auditoría de la actividad con privilegios, la aplicación de controles de acceso estrictos y la gestión de sesiones y la rotación de credenciales.

Directorios centralizados (LDAP, Active Directory)

Los directorios centralizados, como LDAP y Active Directory, constituyen la columna vertebral de la gestión de identidades y accesos (IAM), ya que actúan como repositorios de la información de los usuarios y de los derechos de acceso. Proporcionan una única fuente de información fiable para la autenticación y la autorización, permiten el inicio de sesión único (SSO) y mejoran la seguridad al garantizar que cada decisión de acceso se base en datos actualizados y precisos.

Principios modernos de IAM: «Zero Trust», «just-in-time» y gestión del ciclo de vida

La estrategia moderna de gestión de identidades y accesos (IAM) ha dejado de basarse en la confianza por defecto en todo lo que se encuentra dentro del perímetro de la red. El enfoque actual se rige por tres principios.

El modelo «Zero Trust»se basa en la idea de que no se debe confiar automáticamente en ningún usuario ni dispositivo, ya sea dentro o fuera de la red. En términos de gestión de identidades y accesos (IAM), «Zero Trust» implica una verificación rigurosa de cada usuario y dispositivo, una supervisión continua de los accesos y la aplicación del principio del «privilegio mínimo», de modo que los usuarios solo puedan acceder a los recursos que requiere su función.

El acceso «justo a tiempo» (JIT)se ajusta al modelo «Zero Trust», ya que concede acceso temporal solo cuando es necesario y durante el menor tiempo posible. El acceso se concede para completar una tarea y, a continuación, se revoca automáticamente una vez finalizada la tarea o al expirar el plazo establecido. De este modo, se eliminan los privilegios permanentes y siempre activos que tanto les gusta aprovechar a los atacantes. Un modelo ágil más amplio se basa en esto, con un acceso sensible al contexto —que entiende por qué se solicita el acceso— y privilegios «justo lo necesario», concediendo únicamente lo requerido.

La gestión del ciclo de vida de las identidadesabarca todo el proceso de una identidad, desde su creación hasta su baja: la incorporación de nuevos usuarios, la actualización de los permisos de acceso a medida que cambian las funciones y la baja para revocar el acceso cuando ya no sea necesario. La automatización es fundamental en este sentido, ya que los pasos manuales del ciclo de vida son donde suelen producirse errores y donde el acceso no necesario tiende a persistir.

Estos principios no se limitan a las personas. Las organizaciones aplican cada vez más estos principios a las identidades de las máquinas, que se crean y se retiran del servicio con mayor rapidez que cualquier plantilla humana.

Ventajas y retos de la gestión de identidades y accesos (IAM)

Ventajas

• Mayor seguridad:al garantizar que solo los usuarios autenticados y autorizados puedan acceder a los datos confidenciales, y mediante la aplicación de métodos como la autenticación multifactorial (MFA) y los controles de acceso granulares, el IAM reduce la superficie de ataque.
• Cumplimiento normativo:IAM garantiza el cumplimiento de políticas alineadas con normativas como el RGPD y la HIPAA, automatiza la concesión y la retirada de accesos, y genera los informes que requieren los auditores.
• Eficiencia operativa:el aprovisionamiento y el desaprovisionamiento automatizados, así como el restablecimiento de contraseñas mediante autoservicio, reducen la carga de trabajo rutinaria del departamento de TI, mientras que el inicio de sesión único (SSO) agiliza el acceso diario.
• Ahorro de costes:la automatización reduce el trabajo manual y las llamadas al servicio de asistencia; un sistema centralizado elimina las herramientas redundantes; y la prevención reduce el coste de posibles infracciones.

Desafíos

• Adopción por parte de los usuarios:los nuevos protocolos pueden percibirse como un obstáculo adicional. Las interfaces intuitivas, el inicio de sesión único (SSO) y la formación ayudan a superar la resistencia.
• Integración con los sistemas existentes:Conectar el IAM con una amplia variedad de aplicaciones resulta complicado. Las API flexibles y los estándares como SAML y SCIM facilitan la integración entre los sistemas locales y los de la nube.
• Escalabilidad:A medida que aumenta el número de usuarios, identidades y permisos, el IAM debe poder ampliarse sin que se vea afectado el rendimiento. Las arquitecturas modulares basadas en la nube proporcionan la elasticidad necesaria.
• Equilibrio entre seguridad y facilidad de uso:si las medidas son demasiado estrictas, la productividad se ve afectada; si son demasiado laxas, el riesgo aumenta. Los métodos adaptativos, como la autenticación por niveles, aplican controles más rigurosos únicamente en situaciones de mayor riesgo.

De los trabajadores humanos a las máquinas

A medida que la gestión de identidades y accesos (IAM) se expande más allá de la plantilla humana, la escala cambia drásticamente. Las identidades de máquinas superan ahora con creces en número a las personas. Según el informe «2025 Identity Security Landscape» de CyberArk, hay aproximadamente 82 identidades de máquinas por cada persona en todo el mundo, y el 42 % de ellas cuenta con acceso sensible o privilegiado. Estas identidades no humanas incluyen contenedores, cargas de trabajo, cuentas de servicio, API y dispositivos, y se crean y retiran mucho más rápido que cualquier plantilla humana.

Esa magnitud genera una verdadera sobrecarga operativa. En una encuesta global realizada a más de 1.200 profesionales de TI parael «Informe sobre PKI y confianza digital 2024» deKeyfactor, el 91 % de las organizaciones afirmó que está implementando más certificados que nunca, y más del 70 % señaló que necesita personal y recursos adicionales para gestionar la PKI de forma eficaz. De media, las organizaciones que participaron en ese estudio registraron alrededor de nueve incidentes relacionados con certificados durante el último año, y cada interrupción del servicio requirió una media de ocho empleados para su resolución. Además, el 72 % de las organizaciones sufrió al menos una interrupción del servicio relacionada con certificados durante el último año, y la mitad informó de una violación de seguridad vinculada a la identidad de un equipo comprometida.

Esas identidades no humanas requieren el mismo rigor que se aplica a las personas: autenticación sólida, credenciales reguladas y una gestión del ciclo de vida auditable. Sin embargo, no pueden basarse en nombres de usuario y contraseñas. Entre los tipos de credenciales que se utilizan para las máquinas, destacan los certificados digitales X.509 emitidos a través de la infraestructura de clave pública (PKI), que proporcionan una autenticación criptográfica sólida, comunicación cifrada y una identidad verificable vinculada a los controles del ciclo de vida.

Cómo Keyfactor ayudarte Keyfactor

Keyfactor posiciona a PKI como la base para garantizar la seguridad del aspecto no humano de la gestión de identidades y accesos (IAM), y su plataforma está diseñada para:

• Establece una base sólida de confianza conuna PKI de nivel empresarialdiseñada para la criptografía moderna y poscuántica.
• Automatiza todo elciclo de vida de los certificados, desde su emisión y renovación hasta su revocación, para eliminar las interrupciones del servicio y reducir el trabajo manual.
• Aplica una política y una gobernanza coherentes en todos los entornos mediante controles detallados, aprobaciones de flujos de trabajo y auditorías.
• Integra de forma flexible en arquitecturas híbridas, en la nube y multinube sin dependencia de un único proveedor.

Los beneficios son tangibles. Tal y como documenta Keyfactor en su guía sobrela protección de identidades no humanas, un banco internacional que gestiona más de un millón de certificados automatizó la emisión, la renovación y la revocación, y registró una reducción del 90 % en las tareas manuales y cero interrupciones críticas al considerar la gestión de identidades de máquinas como un componente fundamental de su programa de seguridad. En un mundo ágil e impulsado por las API, en el que los microservicios pueden solicitar certificados cada pocos minutos, esa automatización es lo que mantiene las identidades de las máquinas seguras, visibles y auditables a gran escala.