¿Qué es la verificación de identidad?

Esa base es más importante de lo que parece a primera vista. Cada control posterior hereda la garantía de la inscripción con la que se creó la cuenta, lo que significa que un proceso de verificación deficiente limita de forma imperceptible el valor incluso de la autenticación más sólida que se aplique posteriormente.

La comprobación de identidad, que en su día fue un requisito específico de las administraciones públicas, se ha convertido en una preocupación generalizada para las empresas, impulsada por la incorporación remota a gran escala, el fraude industrializado mediante identidades sintéticas y las herramientas de IA generativa que abaratan la producción de documentos y rostros falsificados. En esta página se explica cómo funciona la comprobación de identidad, en qué se diferencia de la verificación y la autenticación de identidad, los cuatro tipos de comprobación de identidad reconocidos por el NIST, los niveles de garantía de identidad que la miden y cuál es su lugar dentro de un entorno moderno gestión de identidades y accesos programa.

La verificación de identidad la lleva a cabo un proveedor de servicios de credenciales (CSP), que puede ser un proveedor externo o la propia organización que desempeña esa función por sí misma. NIST SP 800-63A, en el que se describen los requisitos de inscripción y de verificación de identidad, y se estructura el proceso de inscripción en tres pasos secuenciales, seguidos de la inscripción:

Durante el proceso, el CSP recopila pruebas de identidad y atributos básicos del solicitante. A continuación, se llevan a cabo, en ese orden, la resolución, la validación y la verificación. Los atributos básicos suelen incluir el nombre, el segundo nombre o la inicial, los apellidos, la fecha de nacimiento y una dirección física o digital en la que se pueda localizar al solicitante; además, el CSP debe incluir al menos un identificador oficial, como el número de la Seguridad Social, el número del carné de conducir o el número de pasaporte. Una vez completado con éxito el proceso, el solicitante se convierte en un suscriptor con una cuenta, y se vinculan uno o más autenticadores a dicha cuenta. Se envía una notificación de la verificación a una dirección postal o un número de teléfono validados, para que cualquier persona que no haya iniciado la inscripción pueda impugnarla.

Estos tres pasos parecen similares y suelen confundirse, incluso por parte de los proveedores. Distinguirlos es lo que hace que el resto del tema resulte manejable.

Resolución de identidades

La resolución determina si la identidad declarada corresponde a una persona real, única e irrepetible. Implica recopilar las pruebas y la información sobre los atributos mínimos necesarios para identificar a esa persona y, al ser el primer punto de contacto, es también donde comienza la detección del fraude.

Validación de identidad

La validación determina si las pruebas y los atributos son auténticos, y consta de dos partes. La validación de pruebas confirma que un documento o una credencial digital es auténtico, es decir, que no ha sido falsificado ni alterado, y que es exacto y válido. La validación de atributos confirma la exactitud de los atributos fundamentales comparándolos con una fuente fidedigna o creíble.

Vale la pena conocer la distinción entre estos dos tipos de fuentes, ya que a menudo se consideran intercambiables. Una fuente fidedigna es la propia entidad emisora o aquella que tiene acceso directo a los registros que esta mantiene, como, por ejemplo, la Dirección General de Tráfico en el caso de los datos del carné de conducir. Una fuente creíble mantiene información sobre atributos que puede remontarse a una fuente fidedigna, o bien correlaciona información procedente de múltiples fuentes para garantizar su exactitud y actualidad, y está sujeta a supervisión regulatoria.

Verificación de identidad

La verificación permite determinar si el solicitante que participa en el proceso es el legítimo titular de los datos validados. Este es el paso en el que piensa la mayoría de la gente cuando habla de “verificación de identidad”, y precisamente por eso ambos términos generan tanta confusión.

No se trata de enfoques que compitan entre sí. La verificación de la identidad es una etapa dentro del proceso de comprobación de la identidad, no una alternativa a este.

• Ámbito de aplicación: la comprobación de identidad es el proceso completo de inscripción, mientras que la verificación de identidad es el paso concreto que vincula a una persona real con pruebas validadas
• Pregunta respondida: la comprobación de la autenticidad consiste en determinar si esta identidad existe y corresponde a este solicitante, mientras que la verificación consiste en determinar si este solicitante es el legítimo titular de las pruebas presentadas
• Resultado: la comprobación genera una cuenta registrada con un nivel de garantía determinado, mientras que la verificación determina si la vinculación se ha superado o no.
• Uso: en el mercado de proveedores, el término “verificación de identidad” se utiliza a menudo de forma imprecisa para describir todo el proceso, por lo que ambos términos suelen aparecer como sinónimos, aunque la norma los trate de forma diferente

Cuando un producto se comercializa como herramienta de verificación de identidad, la cuestión práctica es cuál de los tres pasos lleva a cabo realmente. Algunas soluciones se encargan de la resolución y la validación, pero dejan la verificación en manos del cliente, mientras que otras hacen lo contrario.

La distinción más clara es la que existe entre la verificación y la autenticación, y se reduce a cuándo tiene lugar cada una de ellas:

• La verificación de identidad se realiza una sola vez, en el momento de la inscripción, y sirve para determinar la identidad de la persona.
• Autenticación ocurre en cada intento de acceso posterior y confirma que el usuario que vuelve es la misma persona cuya identidad ya se había verificado
• La garantía de verificación se mide mediante los niveles de garantía de identidad, la garantía de autenticación mediante los niveles de garantía de autenticación, y ambos se seleccionan de forma independiente en función del riesgo del servicio que se desea proteger.

Una autenticación de alta fiabilidad basada en pruebas poco sólidas da lugar a una cuenta bien protegida que, sin embargo, puede no pertenecer a la persona a cuyo nombre figura. La recuperación de la cuenta es donde suele aparecer esa brecha con mayor frecuencia, ya que un proceso de restablecimiento que acepta pruebas menos sólidas que las del registro original reduce la fiabilidad efectiva de la cuenta, por muy sólida que sea la autenticación diaria. Por eso fraude en el servicio de asistencia técnica se ha convertido en una de las vías de ataque más eficaces contra organizaciones que, por lo demás, están bien protegidas.

El NIST define cuatro tipos de verificación de identidad, que se distinguen en función de dos factores: el lugar en el que se lleva a cabo el proceso y si un agente del CSP está presente en el mismo.

• A distancia y sin supervisión: la resolución, la validación y la verificación se realizan de forma totalmente automatizada, sin intervención de ningún agente, en un dispositivo y en una ubicación que el CSP no controla
• Con supervisión remota: el solicitante completa los pasos a través de una sesión de vídeo segura con un agente de verificación o una persona de confianza, de nuevo en dispositivos que el CSP no controla
• Sin supervisión in situ: el proceso está totalmente automatizado, pero se lleva a cabo en una ubicación física y en una estación de trabajo o quiosco que controla el CSP
• Con asistencia presencial: el solicitante realiza todo el proceso en presencia de un agente de verificación o de una persona de confianza, ya sea en persona o a través de un quiosco controlado, en un lugar supervisado por el CSP

Los CSP también pueden combinar estos procesos para crear procesos híbridos. Una práctica habitual consiste en ejecutar una validación automatizada antes de una sesión supervisada en la que se lleva a cabo la verificación, lo que reduce la duración de la sesión supervisada sin mermar la fiabilidad del resultado.

No todos los documentos de identidad tienen el mismo peso. La solidez de las pruebas se clasifica en función del rigor del proceso de expedición, de la fiabilidad con la que se pueden validar las pruebas y de si estas pueden respaldar alguno de los métodos de verificación aprobados. La norma del NIST define tres niveles.

• Feria: expedido mediante procedimientos formales y entregado a la persona a la que se refiere, en el que figure el nombre declarado junto con un número de referencia, una característica biométrica o suficientes atributos para identificar de forma unívoca a dicha persona, e incluya elementos de seguridad que dificulten su reproducción
• Fuerte: establece una supervisión periódica de los procedimientos de expedición por parte de una institución reguladora o que rinda cuentas públicamente, y exige que en el propio documento de identidad figure una imagen facial u otra característica biométrica
• Superior: añade atributos protegidos criptográficamente que pueden validarse mediante una firma digital aplicada por la entidad emisora, y exige que dicha entidad haya confirmado la existencia física del titular mediante un proceso de inscripción presencial

El carné de conducir expedido por el Estado es el ejemplo más conocido de prueba sólida. La prueba superior es una categoría más restringida, lo que explica en parte por qué están llamando la atención los nuevos formatos de credenciales, como los carnés de conducir móviles y las credenciales verificables: están firmados digitalmente por el emisor y pueden validarse criptográficamente, en lugar de hacerlo visualmente.

La garantía que ofrece una identidad verificada se expresa como un nivel de garantía de identidad (IAL, por sus siglas en inglés). Cada nivel se basa en los requisitos del nivel inferior, por lo que los niveles son acumulativos y no opciones paralelas.
La elección de un nivel es una decisión que implica un riesgo, no una cuestión de optar por defecto por la opción más estricta disponible. Aplicar el nivel más alto a un servicio que no lo necesita aumenta las dificultades de inscripción y los costes operativos, al tiempo que excluye a usuarios legítimos, y consume el presupuesto necesario para implementar adecuadamente un alto nivel de seguridad allí donde realmente importa.

Sin verificación de identidad

En el nivel básico, no es obligatorio vincular al solicitante con una persona real concreta. No se exige la recopilación de pruebas, los atributos pueden validarse o no, y no se lleva a cabo ninguna verificación. Se trata de una opción adecuada cuando una identidad ficticia causaría un daño mínimo al servicio o a sus usuarios, y se trata más bien de una valoración del riesgo que de un fallo de seguridad.

Garantía de identidad – Nivel 1 (IAL1)

En IAL1, el proceso de verificación corrobora la existencia real de la identidad reivindicada y ofrece cierta garantía de que el solicitante está vinculado a ella. Los atributos fundamentales se obtienen a partir de pruebas o son declarados por el propio solicitante, pero todos ellos se validan contrastándolos con fuentes fidedignas o creíbles, y se toman medidas para confirmar que dichos atributos pertenecen a la persona cuya identidad se está verificando.

Los requisitos de evidencia en el nivel IAL1 se cumplen con una única prueba válida que pueda validarse digitalmente o que incluya un retrato facial u otro dato biométrico, o bien con una única prueba sólida o superior. Se puede utilizar cualquiera de los cuatro tipos de verificación, con o sin supervisión, y la comparación biométrica es opcional. El nivel IAL1 está diseñado para limitar los ataques altamente escalables, como el registro automatizado, y para proteger contra las identidades sintéticas y el uso de datos personales comprometidos.

Garantía de identidad – Nivel 2 (IAL2)

El IAL2 exige la recopilación de pruebas adicionales y la aplicación de procesos más rigurosos para validar dichas pruebas y verificar las identidades, lo que incluye medidas reforzadas para confirmar que el solicitante es el legítimo propietario de lo que ha presentado.
Hay un detalle sobre el que se ha informado erróneamente en numerosas ocasiones: al igual que en el IAL1, la verificación de identidad en el IAL2 puede realizarse de forma remota o presencial, con o sin supervisión. El IAL2 no requiere una visita presencial. Está diseñado para limitar los ataques a gran escala y selectivos, y para proteger contra la falsificación básica de pruebas, el robo de pruebas y la ingeniería social.

Garantía de identidad – Nivel 3 (IAL3)

IAL3 añade dos requisitos a IAL2. Un representante cualificado del CSP, denominado «agente de verificación», debe interactuar directamente con el solicitante en el marco de una sesión presencial, y debe recopilarse al menos una característica biométrica. La sesión presencial puede realizarse mediante un agente presente en el mismo lugar o a través de un quiosco. Una sesión satisfactoria concluye con la inscripción y la entrega de uno o varios autenticadores vinculados a la cuenta.

IAL3 se centra en ataques sofisticados, entre los que se incluyen la falsificación avanzada de pruebas, el robo, el repudio y técnicas más avanzadas de ingeniería social.

¿Qué ha cambiado en la norma NIST SP 800-63A – Revisión 4?

La revisión 4 se publicó en julio de 2025 y sustituye a la edición de junio de 2017, cuya última actualización data de marzo de 2020. Dado que gran parte del material escrito sobre la verificación de identidad sigue refiriéndose a la revisión anterior, varias afirmaciones que se han repetido ampliamente han quedado obsoletas.

• El nivel IAL1 pasó a considerarse un nivel de revisión por derecho propio, y los casos en los que no se requiere revisión se describen ahora como una referencia independiente, en lugar de como IAL1.
• IAL3 es un proceso con supervisión in situ, por lo que la ruta remota supervisada que los resúmenes anteriores atribuyen a IAL3 ya no es aplicable.
• La verificación basada en el conocimiento ya no está permitida como método de verificación de identidad.
• Se han añadido nuevos requisitos para la prevención de la manipulación digital y la detección de soportes falsificados.
• Ahora se exige a los proveedores de servicios de comunicaciones (CSP) que establezcan y mantengan un programa de gestión del fraude, con controles documentados contra el fraude y un procedimiento definido para gestionar los fallos.

La norma especifica las formas aceptables de establecer la relación entre las pruebas validadas y el solicitante real.

• Verificación del código de confirmación: el solicitante demuestra que tiene el control de una prueba enviando un código a una dirección o un número de teléfono validados
• Protocolos de autenticación y federación: el solicitante demuestra que tiene el control de una cuenta digital, como una cuenta bancaria en línea, o de una declaración digital firmada
• Verificación de transacciones: el solicitante devuelve un valor basado en una microtransacción entre el CSP y la entidad emisora, como, por ejemplo, un microdepósito utilizado para confirmar la titularidad de una cuenta financiera
• Comparación visual de imágenes faciales: un agente de verificación cualificado compara la imagen facial que figura en la prueba con la del solicitante, ya sea en una sesión presencial o a distancia
• Comparación biométrica automatizada: un algoritmo compara una muestra biométrica capturada durante la sesión con la información biométrica que figura en las pruebas o que se conserva en registros oficiales

Los códigos de confirmación tienen sus propias restricciones. Deben contener al menos seis dígitos decimales o su equivalente, y caducan rápidamente: a los diez minutos si se envían a un número de teléfono validado, a las veinticuatro horas por correo electrónico, a los veintiún días si se envían a una dirección postal dentro de los Estados Unidos contiguos y a los treinta días si se envían a una dirección postal fuera de este territorio.

Las preguntas de seguridad ya no son un método aceptable

La verificación basada en el conocimiento —el método habitual de preguntar por una dirección anterior o un préstamo de coche del pasado— ya no podrá utilizarse para verificar la identidad según la norma SP 800-63A-4. El razonamiento es sencillo, ya que los antecedentes personales en los que se basan esas preguntas se han visto expuestos en filtraciones con tanta frecuencia que conocer las respuestas ya no indica que se trate de la identidad real de la persona.

La prohibición es específica, no general. Los controles basados en el conocimiento pueden seguir utilizándose como un elemento más de un programa de gestión del fraude. Lo que no pueden hacer es sustituir a la verificación, lo que significa que cualquier proceso de alta o de recuperación de cuenta que siga basándose en preguntas de seguridad para establecer la identidad no cumple con la normativa vigente.

Requisitos de rendimiento biométrico

Cuando se utilizan datos biométricos, la norma establece umbrales cuantificables en lugar de dejar el rendimiento a las afirmaciones de los proveedores. Para la comparación uno a uno con una identidad declarada, la tasa de falsas coincidencias debe ser de 1 entre 10 000 o mejor, y la tasa de falsas no coincidencias, de 1 entre 100 o mejor. La recogida biométrica a distancia requiere una detección de ataques de presentación que cumpla con una tasa de aceptación de presentación de ataques de impostor inferior al 0,07. El rendimiento para cualquier grupo demográfico no podrá ser más de un 25 % peor que el rendimiento para la población general, medido con un umbral fijo, y los resultados deberán ponerse a disposición del público.

La verificación remota se enfrenta a una amenaza que la comparación biométrica por sí sola no resuelve. Los ataques de inyección introducen soportes falsificados o modificados entre el dispositivo de captura y el sistema que realiza la comparación, de modo que, si la inyección tiene éxito, se elude por completo la etapa de captura. En combinación con herramientas de IA generativa, los soportes falsificados son ahora económicos y convincentes, ya sea que tengan como objetivo la validación automática de documentos, la comparación biométrica automática o la señal de vídeo que está viendo un agente de verificación humano.

Las contramedidas funcionan por capas, en lugar de como un único control:

• Confirmar que los contenidos multimedia digitales proceden de un sensor auténtico, lo que incluye comprobaciones para detectar cámaras virtuales, emuladores de dispositivos y dispositivos con jailbreak.
• Analizar todos los archivos multimedia enviados en busca de indicios de modificación, manipulación o falsificación, complementando las decisiones automatizadas con una revisión manual.
• Captura de documentos en tiempo real con comprobaciones de la presencia de los documentos, de modo que se confirme que el documento está físicamente presente y no se trata de una copia manipulada.
• Las indicaciones aleatorias que implican la intervención humana durante las sesiones a distancia en las que se presta atención, como solicitar un movimiento concreto, que resultan más difíciles de satisfacer con contenidos pregrabados
• Comprobaciones más exhaustivas para detectar fraudes, incluida la comprobación obligatoria de los registros de defunciones, junto con la detección de suplantación de tarjetas SIM, comprobaciones de la antigüedad de los dispositivos y las cuentas, comprobaciones de riesgo de las direcciones postales, identificación de dispositivos mediante huellas digitales y análisis de transacciones.

Las obligaciones de verificación de identidad surgen siempre que las consecuencias de admitir a una persona equivocada sean graves.

• Organismos públicos y sus contratistas, en los casos en que una evaluación de riesgos de identidad digital determine el nivel de garantía requerido para un servicio concreto, y en los que la recogida de datos personales y biométricos conlleve obligaciones adicionales en materia de privacidad
• Servicios financieros, donde las obligaciones en materia de identificación de clientes y de «conozca a su cliente» exigen verificar la identidad de los titulares de las cuentas en el momento de la incorporación
• El sector sanitario, en el que la verificación de la identidad de los pacientes facilita la inscripción en portales, el acceso a los historiales y la prescripción electrónica, y en el que un historial con datos discrepantes conlleva riesgos tanto clínicos como de privacidad
• Los programas de prestaciones estatales, que han sufrido un fraude continuado relacionado con identidades falsas y sustraídas
• Sectores regulados que deben cumplir requisitos de resiliencia operativa y control de acceso, en los que cada vez se analiza más la solidez del proceso de registro junto con la solidez de la autenticación.

La seguridad y el acceso se contraponen. Aumentar los requisitos de acreditación excluye a los solicitantes legítimos que no pueden aportar dicha acreditación, por lo que la norma considera la gestión de excepciones como un requisito de diseño y no como una cuestión secundaria. Define a los evaluadores de confianza, que están capacitados para tomar decisiones basadas en el riesgo en el caso de los solicitantes que no puedan cumplir los requisitos habituales, y a las personas de referencia del solicitante, que pueden dar fe de su identidad, sus características o sus circunstancias. Estas vías son importantes para las personas que carecen de documentación convencional, como las personas desplazadas por catástrofes, las personas sin hogar, los solicitantes de edad avanzada y los menores.

De ello se derivan varias prácticas:

• Adapta el nivel al riesgo, ya que un exceso de medidas de seguridad supone un gasto y no aporta a los usuarios ningún valor añadido en materia de seguridad.
• Ofrecer más de un tipo de verificación y aceptar múltiples combinaciones de pruebas, de modo que un único fallo no impida el acceso a los usuarios
• Considerar la privacidad como parte del diseño, con la minimización de datos, la notificación explícita en el momento de la recogida, la conservación y eliminación documentadas de los datos biométricos, y el consentimiento registrado para el uso de datos biométricos.
• Establece la política de reverificación de forma deliberada y asegúrate de que el proceso de recuperación de la cuenta no acepte pruebas menos sólidas que las utilizadas en el registro inicial.
• Supervisa el rendimiento de los controles antifraude a lo largo del tiempo, ya que su eficacia varía en función del entorno de amenazas y del perfil de los solicitantes.

La verificación de la identidad es la base de la confianza en el ciclo de vida de la identidad. La autenticación, la autorización y gobernanza de la identidad Todos heredan la garantía del proceso de registro que creó la cuenta, por lo que un programa de identidad que invierte mucho en el control de acceso, pero que trata el registro como un simple formulario que hay que rellenar, ha construido su solidez sobre una base no verificada.

La mayoría de las empresas no se encargan ellas mismas de la verificación. Recurren a un proveedor de servicios de confianza (CSP) o a un proveedor de verificación, lo que hace que su responsabilidad se limite al vínculo entre la identidad verificada y los autenticadores que se le han asignado. Ese vínculo es el que determina si la garantía se mantiene o se pierde con el tiempo. A autenticador resistente al phishing Una vinculación firme en el momento del registro garantiza que el resultado de la verificación sea significativo, mientras que una credencial con una vinculación débil puede ser sustituida por un atacante sin necesidad de ninguna verificación adicional, lo que invalida de forma silenciosa todo lo establecido en el registro.

Los entornos regulados y de alta seguridad plantean limitaciones que los enfoques basados exclusivamente en la nube no gestionan adecuadamente. Las identidades verificadas deben estar vinculadas a autenticadores y gestionarse de forma coherente en sistemas en la nube, híbridos, locales y aislados físicamente, bajo normas de soberanía de datos que pueden restringir dónde pueden procesarse los datos de identidad, y en condiciones en las que un servicio de verificación externo puede resultar inaccesible cuando se necesita el acceso.

RSA vincula las identidades verificadas a autenticadores resistentes al phishing y aplica una política de garantía coherente en todos esos entornos. RSA ID Plus ofrece autenticación y acceso en entornos en la nube, híbridos y locales, con autenticación sin conexión para aquellos entornos en los que no se puede acceder a la nube, mientras que gestión de la postura de seguridad de la identidad pone de manifiesto las discrepancias entre la seguridad que una organización cree tener y la seguridad que realmente ofrecen sus cuentas.