La identidad es el perímetro de seguridad. Gobierna quién obtiene acceso, cómo lo obtiene y qué puede hacer una vez dentro. Si su organización no aborda la seguridad desde esta perspectiva, se expone a riesgos innecesarios.
Definición de la gestión de la postura de seguridad de la identidad (GSPI)
La gestión de la postura de seguridad de la identidad (ISPM) está emergiendo como una nueva disciplina estratégica de ciberseguridad que permite a las organizaciones gestionar el riesgo, aplicar políticas y reforzar el cumplimiento en entornos cada vez más complejos. ISPM proporciona visibilidad, contexto y supervisión continua del riesgo relacionado con la identidad en entornos híbridos.
Más que una función o un producto, NIMF es una estrategia. Ofrece a las organizaciones una visibilidad continua de los riesgos relacionados con la identidad, automatiza la aplicación de políticas y permite a los equipos de seguridad tomar decisiones más inteligentes y rápidas sobre quién debe tener acceso y por qué.
La identidad ya no forma parte de la conversación sobre seguridad. Es es la conversación.
La realidad es simple: la gran mayoría de las filtraciones de hoy en día se basan en la identidad. El Informe de Verizon sobre investigaciones de filtraciones de datos de 2025 descubrió que el abuso de credenciales era el vector más común en las filtraciones no autorizadas, apareciendo en 22% de todas las filtraciones notificadas el año pasado. Asimismo, los ataques de phishing para robar credenciales estuvieron presentes en 16% de las violaciones.
Y estos son sólo los vectores de amenaza más frecuentes. La escalada de privilegios, la mala configuración de las políticas y las cuentas huérfanas son riesgos relacionados con la identidad que pueden poner en peligro a las organizaciones. Sin embargo, muchas organizaciones siguen confiando en herramientas aisladas y procesos reactivos para gestionar ese riesgo.
Los atacantes se aprovechan de las fisuras entre la gobernanza, el acceso y la autenticación. GISP cierra esas brechas unificando la inteligencia de identidades, los controles de políticas y el análisis de riesgos en un enfoque de gestión continua de la postura.
Con NIMF, los equipos de seguridad pueden:
- Elimine el riesgo de identidad oculta antes de que se convierta en una brecha
- Automatice la aplicación de políticas de acceso y la preparación para auditorías
- Detección precoz de comportamientos anómalos y errores de configuración
- Reforzar la alineación con Confianza Cero validando continuamente el acceso
La NIMF es la evolución natural de la IGA
ISPM representa el siguiente paso en la evolución de la gobernanza de identidades. La Gobernanza y Administración de Identidades (GIA) tradicional proporciona la base: centralizar la visibilidad de los derechos de los usuarios, aplicar las políticas de acceso y garantizar el cumplimiento mediante certificaciones e informes.
Cuando se combina con la gestión de accesos y la autenticación, ISPM amplía estas capacidades de gobierno en un modelo continuo y proactivo. Añade supervisión en tiempo real de la actividad de identidad, puntuación automatizada de la postura de riesgo y aplicación inteligente en todos los entornos. El resultado es un bucle cerrado de gobernanza, acceso y autenticación que permite a las organizaciones no sólo gobernar las identidades, sino también reducir activamente el riesgo y reforzar la postura de seguridad.
ISPM aborda los vectores de ataque relacionados con la identidad más comunes que explotan los ciberdelincuentes. Al identificar de forma proactiva los riesgos en las cuentas, los derechos y las políticas de acceso, ISPM ayuda a las organizaciones a cerrar las brechas antes de que los atacantes puedan aprovecharse.
Abuso de credenciales
Los atacantes se aprovechan de las credenciales débiles, robadas o reutilizadas. NIMF refuerza la autenticación y reduce la exposición a contraseñas comprometidas.
Escalada de privilegios
Los derechos excesivos o no supervisados ofrecen a los atacantes vías de acceso a niveles superiores. GISP identifica los privilegios de riesgo y aplica los principios de mínimo privilegio.
Mala configuración de las políticas
Las políticas mal aplicadas o excesivamente permisivas crean brechas explotables. ISPM detecta la desviación de la configuración y aplica políticas de acceso coherentes.
TI en la sombra / acceso en la sombra
Las aplicaciones no aprobadas y las cuentas ocultas eluden la gobernanza. GISP las hace visibles y garantiza que siguen los controles de seguridad.
Cuentas huérfanas
Las cuentas inactivas o abandonadas siguen siendo puertas abiertas para los atacantes. NIMF detecta y elimina las cuentas huérfanas antes de que se pueda abusar de ellas.
Derechos excesivos
A menudo, los usuarios conservan accesos que ya no necesitan cuando cambian sus funciones. ISPM revisa los derechos, marca los accesos innecesarios y ajusta los permisos.
Acceso de terceros
Los proveedores y contratistas suelen conectarse con privilegios elevados. ISPM supervisa las cuentas externas, valida su necesidad y elimina el acceso cuando ya no es necesario.
El panorama de las identidades se ha vuelto demasiado extenso, fragmentado y complejo para que los controles tradicionales puedan gestionarlo con eficacia. A medida que las organizaciones adoptan más servicios en la nube, incorporan usuarios de terceros y automatizan los procesos empresariales, el número de identidades aumenta, al igual que los riesgos. NIMF aborda los puntos ciegos operativos y de seguridad derivados de este crecimiento. Entre ellos se incluyen:
- Despliegue identitario es el crecimiento acelerado de las cuentas de personas, dispositivos, servicios y máquinas. Un mayor número de identidades da lugar a cuentas solapadas, huérfanas y en la sombra que los atacantes pueden explotar. Más de la mitad (57%) de las organizaciones consideran la gestión de la proliferación de identidades un objetivo importante,2 destacando su importancia en el panorama actual de la seguridad.
- Configuraciones erróneas y políticas incoherentes, que dificultan la aplicación de controles de acceso y aumentan la probabilidad de abuso de privilegios. La prevalencia de entornos híbridos (declarada por 70% de las organizaciones1) complica aún más la aplicación de la política de identidad en distintos sistemas.
- Derechos no gestionados, que permiten a los usuarios conservar accesos que ya no reflejan sus responsabilidades. Cuando el acceso no se revisa periódicamente o no se basa en los principios del mínimo privilegio, los derechos no gestionados aumentan la posibilidad de que combinaciones excesivas o tóxicas pasen desapercibidas. Estas lagunas pueden contribuir directamente a los incidentes de seguridad.
- Visibilidad limitada de las cuentas privilegiadas o de alto riesgo, lo que ralentiza la detección de actividades maliciosas y amenazas internas. Más de 20% de las organizaciones estimaron que las filtraciones relacionadas con la identidad les costaron más de $10 millones. En total, 44% afirmaron que estas filtraciones eran más caras que las filtraciones de datos generales.1
- TI en la sombra, cuando las unidades de negocio o los empleados adoptan aplicaciones o sistemas no autorizados fuera del ámbito de TI. Estas tecnologías no autorizadas suelen carecer de una supervisión de seguridad adecuada, lo que aumenta el riesgo de exposición de datos, errores de configuración e infracciones de la normativa.
Estos problemas no son sólo inconvenientes. Crean un riesgo real. Sin una comprensión clara de quién tiene acceso a qué, y si ese acceso es apropiado, las organizaciones se enfrentan a retrasos durante las auditorías, luchan por cumplir los mandatos de conformidad y no alcanzan los objetivos de Confianza Cero. Las cuentas sobreaprovisionadas, las combinaciones de acceso tóxicas y el retraso en la respuesta a incidentes pueden dar lugar a infracciones, sanciones y pérdida de la confianza pública.
ISPM proporciona a los equipos de seguridad la visibilidad y el contexto que necesitan para abordar estos retos crecientes y reducir la superficie de ataque. La gestión de identidades pasa de la limpieza reactiva a la reducción proactiva de riesgos, lo que permite controlar los riesgos de identidad en entornos en la nube, híbridos y locales.
La GDS no es una única herramienta o panel de control. Es un enfoque estratégico construido sobre una base de tecnologías de seguridad de identidad integradas. Estas capacidades deben trabajar juntas para evaluar continuamente la postura de la identidad, hacer cumplir la política y guiar la remediación. Las organizaciones que deseen implantar GSI deben asegurarse de que disponen de lo siguiente:
Gobierno y administración de identidades
Funciones básicas como la aplicación de políticas, la certificación de accesos, la gestión de funciones y los controles del ciclo de vida.
Descubrimiento y visibilidad de la identidad
Herramientas para inventariar usuarios, derechos y cuentas en entornos en la nube, locales e híbridos.
Seguimiento y análisis
Análisis avanzados para rastrear comportamientos, detectar anomalías y priorizar los riesgos relacionados con la identidad.
Gestión de accesos y autenticación robusta
Políticas de acceso sensibles al contexto, autenticación multifactor y métodos modernos de autenticación, como el inicio de sesión sin contraseña y biométrico.
Supervisión de acceso privilegiado
Capacidades para descubrir, supervisar y controlar las cuentas privilegiadas y de alto riesgo.
SaaS y protección de TI en la sombra
Visibilidad del uso de aplicaciones SaaS y mecanismos para controlar el acceso no autorizado o no gestionado.
Integración de todas las herramientas de identidad
Una arquitectura unificada o un marco de integración abierto para conectar estas capacidades a fin de garantizar la visibilidad continua y la aplicación de las políticas.
Ejemplos de situaciones en las que las NIMF aportan un valor inmediato:
Gestión de riesgos de terceros
Supervisar y controlar el acceso de proveedores y contratistas para minimizar la exposición de terceros.
Acceso privilegiado y gestión de cuentas
Identifique las actividades privilegiadas de riesgo y aplique controles automatizados.
Controlar el acceso a las aplicaciones
Garantice que el acceso a las aplicaciones se ajusta a las funciones y políticas mediante una supervisión continua.
NIMF hace operativa la confianza cero convirtiendo sus principios básicos en controles automatizados continuos de las identidades, el acceso y la autenticación.
Verificación continua
ISPM valida las identidades en tiempo real, supervisando los derechos y los eventos de autenticación para confirmar que los usuarios siguen siendo dignos de confianza a lo largo de sus sesiones.
Aplicación de los privilegios mínimos
GISP garantiza que los usuarios conservan sólo el acceso que necesitan, ajustando o eliminando automáticamente los derechos que exceden la política o aumentan el riesgo.
Políticas de acceso dinámicas
GISP aplica políticas adaptativas basadas en el contexto y la postura de riesgo, permitiendo o restringiendo el acceso según cambien las condiciones.
La confianza cero es un marco de seguridad que asume que no se debe confiar en ningún usuario o sistema por defecto, ni siquiera dentro de la red. Requiere una verificación continua de la identidad, controles de acceso estrictos y la aplicación de los mínimos privilegios. Si el objetivo es la confianza cero, entonces NIMF a método para conseguirlo. NIMF hace operativa la confianza cero proporcionando las capacidades de visibilidad, análisis y aplicación necesarias para evaluar y mejorar los controles relacionados con la identidad a lo largo del tiempo.
RSA cree que una NIMF eficaz comienza con la gobernanza de la identidad. Gobernanza y ciclo de vida de RSA proporciona las capacidades de gobierno y administración de identidades (IGA) que las organizaciones necesitan para obtener una visibilidad completa de sus identidades, llevar a cabo la gestión del ciclo de vida, mantener el control de las políticas y comprender su situación en materia de identidades.
Pero la gobernanza no es suficiente. Para garantizar plenamente la seguridad de la identidad, las organizaciones deben comprender cómo acceden los usuarios a los sistemas y cómo se autentican, especialmente en entornos híbridos y en la nube. Por eso RSA ID Plus ofrece una gestión moderna de la autenticación y el acceso en entornos en la nube, híbridos y locales que se vincula directamente a las decisiones de gestión de la postura.
Juntos, RSA Governance & Lifecycle e ID Plus forman la base de RSA Unified Identity Platform (UIP), un marco creado específicamente que ofrece GISP a escala.
Aplicación de las NIMF a gran escala
RSA no espera a que el mercado defina NIMF. Lo estamos definiendo. Y ya lo estamos cumpliendo. Juntos, Gobernanza y ciclo de vida de RSA y ID Plus constituyen la base de RSA Unified Identity Platform (UIP), un marco creado específicamente para ofrecer NIMF a escala.
RSA Governance & Lifecycle e ID Plus trabajan juntos para dar a las organizaciones visibilidad y control de extremo a extremo sobre la identidad. Governance & Lifecycle gestiona el ciclo de vida completo de la identidad, incluyendo el aprovisionamiento, los derechos, los cambios de rol y el cumplimiento continuo, asegurando que el acceso es apropiado y está alineado con las políticas de negocio. A continuación, ID Plus refuerza el acceso seguro en tiempo real con autenticación robusta, controles contextuales y modernas opciones sin contraseña.
Obtenga el marco de la NIMF
El informe de la RSA Definición de la gestión de la seguridad de las identidades esboza un marco audaz y práctico para una seguridad que dé prioridad a la identidad. El informe detalla los ocho pilares básicos de GISP, incluida la reducción de la superficie de riesgo de identidad, el control del acceso privilegiado y la detección del acceso en la sombra.
¿Qué es la gestión de las posturas de seguridad de la identidad?
Identity Security Posture Management (ISPM) es un nuevo enfoque de ciberseguridad que evalúa y mejora continuamente el riesgo relacionado con la identidad en todos los entornos. Ayuda a las organizaciones a identificar lagunas en la visibilidad, la gobernanza y el control, y apoya a las organizaciones que se acercan a la confianza cero.
¿Por qué es importante la NIMF para la seguridad de Confianza Cero?
Zero Trust requiere una verificación estricta de la identidad en cada capa. GISP ayuda a las organizaciones a avanzar hacia la Confianza Cero proporcionando las capacidades de visibilidad, análisis y aplicación necesarias para evaluar y mejorar los controles relacionados con la identidad a lo largo del tiempo.
¿Sustituye la NIMF a la IGA y la PAM?
No. Las NIMF no sustituyen a estas soluciones, sino que las amplían. La gobernanza define quién debe tener acceso. PAM controla el acceso privilegiado. GISP lo une todo, identifica las lagunas de postura entre los sistemas y ofrece a las organizaciones la confianza de que su entorno de identidad es seguro y cumple la normativa.
¿Cómo contribuye la NIMF al cumplimiento de la normativa y a la preparación para las auditorías?
GISP supervisa continuamente las cuentas, los derechos y las políticas en relación con las normas internas y los requisitos reglamentarios. Proporciona informes y cuadros de mando centralizados que facilitan la demostración del cumplimiento, reducen el esfuerzo de auditoría manual y demuestran que los controles funcionan. Este enfoque proactivo ayuda a las organizaciones a estar preparadas para las auditorías durante todo el año, en lugar de tener que luchar antes de las revisiones..
