La transformación tecnológica, impulsada por la inteligencia artificial (IA) y la automatización, proporciona velocidad, conocimiento y ventaja competitiva. A medida que las plataformas y los ecosistemas digitales se expanden, las identidades no humanas (Non-Human Identities, NHIs) ya superan en número a los usuarios humanos en una proporción de 82 a 1. Estas entidades operan de forma autónoma y acceden a sistemas críticos a gran velocidad, a menudo sin intervención humana. Esta evolución ha creado superficies de ataque invisibles y en rápida expansión, desafiando los modelos convencionales de seguridad y gobernanza.
En este contexto, incorporar la seguridad y la privacidad en todas las etapas del ciclo de vida, gobernar de forma proactiva las identidades de las máquinas y utilizar estándares y barreras de seguridad de IA para gestionar el riesgo y mantener la confianza, se han convertido en imperativos para los profesionales de la ciberseguridad.
¿Qué son los NHIs y por qué traen consigo nuevas frustraciones y amenazas?
En un escenario de identidad corporativa en constante evolución, junto al auge de la IA Agentica, se está acelerando la proliferación de NHIs a un ritmo sin precedentes. Más allá de los empleados y proveedores de servicios, las organizaciones han llegado a depender de una amplia y, en gran medida, invisible capa de NHIs, como claves de API, cuentas de servicio, tokens de Open Authorization (Oauth), credenciales de máquina y agentes de IA autónomos, que habilitan sistemas y flujos de trabajo críticos. Estas identidades operan continuamente en SaaS, la nube, entornos locales e integraciones de terceros, a menudo con acceso privilegiado y mínima supervisión.
La magnitud del problema es significativa: las identidades de máquinas ya superan con creces a las identidades humanas, lo que crea numerosos puntos ciegos y una amplia superficie de ataque sin gestionar. Esta proliferación genera un flujo incontrolable de solicitudes de autorización, lo que aumenta los riesgos de seguridad derivados de las aprobaciones automáticas y reflexivas. A diferencia de los usuarios humanos, las NHI carecen de intención, contexto y gobernanza del ciclo de vida, lo que las convierte en objetivos ideales para el robo de credenciales, el movimiento lateral y la exfiltración de datos a gran escala .
¿Por qué actuar ahora?
Los NHI comprometidos ya aparecen de forma destacada en incidentes de seguridad importantes, que van desde tokens expuestos hasta cuentas de bots. Desde los canales de Integración Continua, Entrega Continua o Despliegue Continuo (CI/CD) hasta las aplicaciones OAuth con privilegios excesivos que se aprovechan para acceder a correos electrónicos y datos, estos problemas se ven agravados por los sistemas de IA con agentes que, a diferencia de la automatización tradicional, actúan de forma autónoma y a la velocidad de una máquina, creando, modificando y utilizando credenciales sin intervención humana. Estos sistemas pueden generar nuevas identidades, encadenar herramientas entre dominios de confianza y ejecutar acciones no deterministas que, a menudo, requieren amplios permisos para lograr resultados empresariales.
Este nivel de autonomía introduce nuevos vectores de ataque y desafíos de gobernanza que los marcos tradicionales de Gestión de Identidad y Acceso ( IAM ) , diseñados para usuarios humanos, no están preparados para abordar. Además, reduce significativamente las barreras de vulneración, permitiendo a los atacantes orquestar campañas sofisticadas de múltiples capas con rapidez y precisión.
A medida que se acelera la adopción de la IA, la brecha de supervisión se amplía, lo que hace esenciales las medidas proactivas. Actuar ahora, mediante el descubrimiento continuo, la aplicación rigurosa del principio del mínimo privilegio y el mantenimiento constante de la higiene de la información confidencial, puede transformar las NHI de riesgos invisibles en activos controlados que facilitan la innovación segura. Las implicaciones van más allá del riesgo técnico. La inacción puede tener graves consecuencias para las empresas, como la pérdida de confianza, sanciones financieras y daños a la reputación, cuya reparación puede tardar años. La gestión proactiva de las NHI se ha vuelto fundamental para el cumplimiento normativo, ya que las juntas directivas y los organismos reguladores exigen una mayor rendición de cuentas por las interacciones entre máquinas y entre agentes, lo que requiere mecanismos de supervisión eficaces. La proliferación de identidades de máquinas está creando riesgos y desafíos que los modelos de seguridad tradicionales no pueden abordar. En CyberArk, nuestra estrategia consiste en capacitar a los equipos de seguridad para que descubran automáticamente todas las identidades de las máquinas, analicen sus riesgos en tiempo real y actúen con rapidez y automatización para mitigar las amenazas. Junto con integradores globales líderes, como KPMG, ayudamos a nuestros clientes a transformar las identidades de máquinas de riesgo invisibles en activos controlados, lo que permite una innovación segura a escala.
Peter Beardmore
Director de marketing de productos en CyberArk
Preguntas clave para los líderes de ciberseguridad :
Para desarrollar resiliencia frente a riesgos en constante evolución, los líderes de ciberseguridad deben, ante todo, plantear las preguntas correctas.
- ¿Tenemos visibilidad de todos los NHI en todos nuestros entornos?
- ¿Cómo estamos gobernando a los agentes de IA y su acceso a sistemas sensibles?
- Nuestras estructuras de IAM y Gerenciamiento de Acceso Privilegiado (PAM), ¿están equipadas para gestionar identidades de máquinas a escala?
- ¿Qué controles existen para detectar y corregir el comportamiento anómalo de los NHI?
Abordando el problema: incorporando la gobernanza del NHI en la estrategia de identidad corporativa.
Para fortalecer los programas de identidad corporativa, las organizaciones pueden incorporar una sólida gobernanza del NHIs como elemento estructural. Establecer un marco de gobernanza que defina estándares claros para la creación, el uso y la desactivación de estas identidades contribuye a convertir la seguridad de los NHIs en un pilar fundamental de los marcos de identidad, riesgo y cumplimiento.
El descubrimiento exhaustivo de todas las NHI, seguido de una evaluación de riesgos y la aplicación sistemática del principio de mínimo privilegio, es esencial para su protección. Es crucial alinear la gestión de NHI con otras soluciones de ciberseguridad, como IAM, Gestión de Información y Eventos de Seguridad (SIEM), Orquestación, Automatización y Respuesta de Seguridad (SOAR) y Detección y Respuesta a Amenazas de Identidad (ITDR), en conjunto a la centralización de la visibilidad en una única fuente de información veraz para identidades, secretos e integraciones; son acciones que permiten eliminar los silos entre entornos. Las políticas deben estar vinculadas a resultados medibles, como la reducción de la superficie de ataque, la aceleración de la respuesta a incidentes y la garantía de la preparación para auditorías.
De cara al futuro, la gobernanza debe anticipar el auge de la IA agentica mediante la aplicación de controles de políticas y la monitorización continua para garantizar que los agentes autónomos operen estrictamente dentro de los límites definidos. Las protecciones complementarias para los agentes de IA deben reforzar la gobernanza de las NHI mediante la imposición de límites operativos seguros y el enmascaramiento de datos sensibles durante las interacciones con los modelos. Al integrar estas medidas, las organizaciones pueden asegurar el futuro de su estrategia de identidad, equilibrando la innovación, la seguridad y el cumplimiento normativo. El descubrimiento continuo, la aplicación del principio del mínimo privilegio y una rigurosa higiene de la información confidencial pueden transformar las NHI de riesgos invisibles a activos gobernados que facilitan la innovación segura.
Los líderes en ciberseguridad pueden comenzar implementando estos tres pasos fundamentales para una gestión eficaz del NHI.
1. Descubrimiento e inventario continuo de NHI:
- Mapeo de sistemas y plataformas en la nube para visualizar todas las identidades agenticas y no humanas.
- Crear inventarios completos que registren la persona responsable designada, los niveles de privilegio, el estado de las credenciales y los datos de monitoreo para fines de supervisión y verificación.
2. Evaluación y priorización de riesgos:
- Clasificar las NHI según el nivel de acceso, alcance e impacto potencial.
- Correlacionar la identidad y la información secreta para detectar y corregir identidades de alto riesgo, huérfanas o mal configuradas.
- Aplique estrictamente el principio del mínimo privilegio y mantenga registros de auditoría calificados para el cumplimiento y la respuesta a incidentes.
3. Gobernanza y control:
- Distinga el accionar de los agentes a través de una autoridad delegada y los flujos en nombre de esos agentes.
- Automatice el desaprovisionamiento y garantice la eliminación de identidades obsoletas o comprometidas.
- Utilice mecanismos técnicos, como políticas de código y rotación de credenciales, para aplicar límites de uso y detectar anomalías en tiempo real.
Proteger las identidades no humanas ya no es opcional: se ha convertido en un pilar fundamental de la ciberseguridad corporativa. Tratar las NHI como identidades de primer nivel dentro de IAM es fundamental para construir sistemas autónomos confiables, fortalecer la resiliencia organizacional y mantener una ventaja competitiva en la economía digital.
Habla con nuestro equipo.
Contáctenos
- Encontrar ubicación de oficinas kpmg.findOfficeLocations
- kpmg.emailUs
- Redes sociales @ KPMG kpmg.socialMedia