- Diferenciación técnica entre el control operativo de accesos (IAM), la gestión de cuentas críticas (PAM) y la gobernanza estratégica (IGA).
- El papel disruptivo de ISPM como capa de análisis de riesgo continuo que supervisa la eficacia de las demás herramientas.
- La importancia de integrar estas disciplinas en un Identity Fabric para cumplir normativas como NIS2, DORA y GDPR.
Hoy en día, intentar proteger una empresa sin tener claro quién entra y qué puede tocar es como dejar la puerta de casa abierta y esperar que nadie pase. Con el despliegue de la nube, el teletrabajo y los entornos híbridos, la gestión de identidades se ha vuelto el corazón de la ciberseguridad corporativa. Ya no basta con una contraseña fuerte; el peligro real está en los permisos que se acumulan con los años, las cuentas de antiguos empleados que siguen activas y esos privilegios mal asignados que son auténticos regalazos para cualquier hacker.
Para poner orden en este caos, han surgido diversas disciplinas que, aunque a veces se confunden, tienen misiones muy distintas. Desde el control diario de accesos hasta la auditoría profunda y el análisis de riesgos en tiempo real, entender la diferencia entre IAM, PAM, IGA, IDaaS e ISPM es la única forma de evitar que un atacante se mueva libremente por tu red. No se trata solo de instalar software, sino de montar una estrategia donde cada pieza encaje para que la identidad sea un activo seguro y no un agujero en la seguridad.
IAM: El portero de la infraestructura
El Identity and Access Management (IAM) es, básicamente, el sistema que se encarga de que la persona adecuada acceda al recurso correcto en el momento preciso. Es la herramienta operativa que valida identidades y otorga permisos en tiempo real. Si quieres entrar en una aplicación, el IAM es quien te pide las credenciales y decide si puedes pasar.
Dentro de este marco, encontramos funciones vitales como la autenticación y autorización, donde se utilizan métodos como la biometría o el MFA para asegurar que eres quien dices ser. También gestiona el ciclo de vida básico del usuario y utiliza el control de acceso basado en roles (RBAC) para que nadie tenga más permisos de los que necesita para su curro diario. Para los clientes externos, existe el CIAM (Customer IAM), que busca un equilibrio entre una seguridad férrea y una experiencia de usuario fluida, evitando que el cliente se frustre al intentar entrar en su cuenta.
PAM: Vigilando las llaves del reino
Si el IAM es el portero de la entrada principal, el Privileged Access Management (PAM) es el guardia que vigila la caja fuerte. Se centra exclusivamente en las cuentas con privilegios elevados, como los administradores de sistemas o los técnicos de TI, que tienen el poder de borrar bases de datos o cambiar configuraciones críticas.
El PAM no solo guarda las contraseñas en bóvedas seguras, sino que implementa el acceso Just-in-Time (JIT), lo que significa que el permiso se da solo durante el tiempo necesario para hacer la tarea y luego desaparece. Además, una de sus mayores ventajas es la grabación de sesiones; si algo sale mal, puedes volver atrás y ver exactamente qué comando ejecutó el administrador, lo cual es oro puro para las auditorías y la respuesta ante incidentes.
IGA: El cerebro estratégico y la gobernanza
Aquí es donde entramos en la Identity Governance and Administration (IGA). Mientras que el IAM es el músculo que ejecuta el acceso, la IGA es el cerebro que define las reglas del juego. Su objetivo no es decir «sí» o «no» en el momento del login, sino analizar si ese acceso es coherente con las políticas de la empresa y las leyes vigentes.
La IGA automatiza el ciclo de vida completo mediante los procesos de Joiner, Mover y Leaver. Cuando alguien entra (Joiner), se le dan los accesos mínimos; si cambia de puesto (Mover), se limpian sus permisos viejos para evitar el «privilege creep» o acumulación de privilegios; y cuando se va (Leaver), se cortan todos sus accesos al instante para evitar cuentas huérfanas. Además, la IGA es fundamental para certificar accesos, obligando a los responsables a revisar periódicamente que sus empleados sigan necesitando los permisos que tienen.
IDaaS: La identidad en la nube
El Identity as a Service (IDaaS) no es una disciplina distinta, sino una forma de entregar los servicios de IAM a través de la nube. En lugar de montar servidores propios y gestionar parches, la empresa contrata un servicio gestionado que ofrece Single Sign-On (SSO) y MFA de forma centralizada.
Esto es ideal para organizaciones que buscan escalabilidad rápida y que operan principalmente con aplicaciones SaaS. El IDaaS permite que el usuario se identifique una sola vez y acceda a múltiples herramientas sin tener que recordar diez contraseñas diferentes, mejorando la eficiencia operativa y reduciendo la carga de trabajo del departamento de IT.
ISPM: La capa de análisis de riesgo continuo
El Identity Security Posture Management (ISPM) es la pieza más moderna del puzle. A diferencia de las anteriores, que se encargan de ejecutar o gobernar, el ISPM escanea y evalúa la seguridad de los accesos que los demás sistemas han creado. Es como un inspector que revisa constantemente si las cerraduras del IAM y el PAM están bien puestas.
El ISPM busca identidades sombra (shadow identities), cuentas de servicio olvidadas o configuraciones erróneas en Active Directory que podrían permitir un movimiento lateral. Su valor reside en el análisis de rutas de ataque: puede avisarte de que un usuario sin MFA tiene permisos que, indirectamente, le permiten llegar a un servidor crítico. No sustituye al IAM o al PAM, sino que les dice dónde están fallando para que puedan corregirlo.
Sinergia y Cumplimiento Normativo
Cuando todas estas piezas se unen en lo que se llama un Identity Fabric, la seguridad deja de ser reactiva. Esta integración es clave para cumplir con normativas europeas muy estrictas. Por ejemplo, la NIS2 y el ENS exigen una visibilidad total sobre quién accede a sistemas críticos, algo que solo se logra combinando la ejecución del IAM con la auditoría de la IGA.
En el sector financiero, la ley DORA impone una resiliencia digital que obliga a controlar estrictamente a los terceros y proveedores. Aquí, la IGA y el PAM trabajan mano a mano para asegurar que un consultor externo solo acceda a lo estrictamente necesario y que cada una de sus acciones quede registrada. Todo esto, sumado al análisis de comportamiento y la detección de anomalías, permite anticipar amenazas impulsadas por inteligencia artificial antes de que se conviertan en una brecha.
Identidades Humanas y No Humanas
No debemos olvidar que hoy en día no solo gestionamos personas. Existen las identidades no humanas, como los bots, las APIs, los workloads de nube y los dispositivos IoT. Estas identidades suelen ser el eslabón débil porque a menudo tienen permisos permanentes y contraseñas que nunca rotan.
Un sistema robusto debe aplicar el principio de Zero Trust (confianza cero) tanto a un empleado como a un microservicio. Esto implica que ninguna entidad tiene acceso por defecto y que cada petición debe ser verificada, autenticada y registrada, independientemente de si viene de un humano o de un proceso automatizado de software.
La arquitectura de seguridad más resiliente es aquella que logra amalgamar la operatividad del IAM, la protección crítica del PAM, la visión estratégica de la IGA y el análisis preventivo del ISPM, todo ello apoyado en la flexibilidad del IDaaS para crear un ecosistema donde la identidad sea el perímetro real de defensa.
