Seguridad de Identidad en 2026: Guía Estratégica
Publicado el 14 de marzo de 2026 por Sergio Jiménez Mazure en Inteligencia Artificial.
En mi caso, cada vez que una empresa me dice “tenemos la seguridad bastante controlada”, yo no miro primero el firewall ni el SIEM. Miro la puerta. Y la puerta, en 2026, casi nunca es una puerta: es una identidad. A veces con nombre y apellido, otras veces con un token, una sesión, un certificado, un proveedor externo o una cuenta de servicio que nadie recuerda por qué existe. Lo cierto es que seguimos invirtiendo millones en el castillo, pero dejamos las llaves en el felpudo. Luego nos sorprende que entren.
Lo que está cambiando —y aquí está el punto— no es solo la sofisticación del atacante, sino la naturaleza del acceso. La Seguridad de Identidad se consolida como el eje central de la ciberseguridad en 2026 porque el negocio ya no vive en un solo lugar: vive en la nube, en el móvil, en un partner, en una API, en una oficina física y en un flujo automatizado que nadie “toca” con la mano. Y cuando todo está conectado, la identidad deja de ser “un módulo de TI” y se convierte en infraestructura crítica. Como el agua. Como la electricidad. Como ese puente que nadie nota hasta que se cae.
Los datos no dejan mucho espacio para el autoengaño. RSA, en su ID IQ 2026, pone el número sobre la mesa: 69% de organizaciones reportó al menos una brecha relacionada con capacidades inadecuadas de identidad, y 45% admite impactos superiores a 10 millones de dólares. No hablamos de un susto. Hablamos de una fractura estructural. Y con esto pasa como con las tragedias griegas: el desenlace no sorprende, porque la soberbia siempre va primero. La soberbia tecnológica, en este caso, es creer que la identidad es “login” y “MFA”, y que con eso ya está. Qué alivio. Qué cómodo. Qué falso.
HID también lo confirma desde otro ángulo: la gestión de identidades se vuelve la preocupación dominante para el 73% de los profesionales encuestados. No por moda, sino por supervivencia. La normalidad corporativa ahora incluye entornos híbridos, acceso remoto, múltiples proveedores, trazabilidad regulatoria y una convergencia físico-digital que antes parecía de novela. Y sí, suena a Isaac Asimov cuando describía sistemas que nadie entiende del todo, pero de los que todos dependen. Solo que aquí los robots no vienen con tres leyes. Vienen con permisos.
La identidad ya no es una herramienta de seguridad: es el lenguaje con el que tu organización decide quién existe y qué puede tocar.
Hay un trasfondo cultural que no podemos obviar. Llevamos años obsesionados con “transformar” y “digitalizar”, como si fueran verbos mágicos. Pero digitalizar sin gobierno de identidad es como mandar un ejército al frente sin cadena de mando: cualquiera da órdenes, nadie responde, y el enemigo solo necesita un uniforme para moverse con libertad. Por tanto, lo estratégico en 2026 no es sumar más productos a la pila, sino ordenar el sistema de confianza: quién accede, desde dónde, con qué contexto, por cuánto tiempo y con qué evidencia.
Además, el contexto regulatorio acelera la madurez a golpes. NIS2, DORA y las normativas de infraestructura crítica empujan a dejar la seguridad reactiva, esa que aparece cuando ya hay humo, y moverse hacia resiliencia. A la hora de hablar de resiliencia, la identidad es el punto de control más humano y más técnico a la vez. Y ahí está el problema: el humano es brillante, pero también es perfectamente persuadible. Desgraciadamente, en la práctica, basta una llamada convincente o una interfaz “bien hecha” para que el criterio se disuelva.
Con lo cual, si tuviera que resumirlo en una imagen: en 2026 el tablero de ajedrez no cambió, cambió la cantidad de piezas. Y muchas piezas ya no son personas. Si tu estrategia de Seguridad de Identidad sigue pensada para un mundo de empleados y contraseñas, estás defendiendo una ciudad medieval con un mapa viejo. Eso sí, el atacante no va a darte tiempo para actualizarlo.
La confianza no se declara: se diseña, se audita y se sostiene todos los días.
Y cuando uno entiende que la identidad es la puerta —no una capa más—, la siguiente pregunta cae por su propio peso: ¿por dónde están entrando? Aquí es donde el dato deja de ser estadística y se vuelve diagnóstico. El informe ID IQ 2026 de RSA es brutalmente claro: 69% de las organizaciones reconoce al menos una brecha ligada a capacidades inadecuadas de seguridad de identidad. No es un “caso aislado”. Es un patrón industrial. Y ojo al detalle que más duele cuando te sientas con Finanzas: 45% declara impactos superiores a 10 millones de dólares. No hay narrativa de “esto le pasa a otros” que sobreviva a esa cifra.
En mi caso, he visto este guion demasiadas veces. La empresa tiene MFA, tiene políticas, incluso tiene auditorías, pero su identidad vive en retazos: un directorio aquí, permisos manuales allá, cuentas de servicio con privilegios eternos y un Excel —sí, un Excel— que “alguien” actualiza cuando se acuerda. En ese escenario, el atacante no necesita ser un genio. Solo necesita paciencia. Porque la identidad mal gobernada funciona como esos viejos fuertes mal custodiados: murallas altas y guardias cansados. Y el enemigo, como en cualquier guerra, no ataca donde tú presumes que eres fuerte, sino donde te acostumbraste a sobrevivir con improvisación.
El talón de Aquiles, además, no siempre está en el endpoint ni en la nube. A menudo está en el Help Desk de IT, ese lugar donde la seguridad y la urgencia del negocio chocan todos los días. RSA recoge que el 65% de las organizaciones tiene seria preocupación por la posibilidad de que su soporte caiga en ingeniería social o en un bypass de MFA. Y tiene sentido: el Help Desk es, por diseño, una máquina de resolver problemas rápido. Los atacantes lo saben y lo explotan. Piden “recuperar acceso”, “cambiar el número del autenticador”, “activar un dispositivo nuevo porque el anterior se dañó”. Todo suena razonable. Todo suena humano. Y ahí está el truco.
Lo irónico es que muchas compañías entrenan a su gente para no caer en correos sospechosos, pero siguen tratando una llamada “urgente” como si fuera una prueba de buena voluntad. A veces me dan ganas de decirlo sin filtros: hemos convertido el soporte en una ventanilla de favores, y luego nos sorprendemos de que llegue el crimen organizado con modales. En la práctica, el atacante ya no necesita romper nada; le basta con que alguien le abra. Y si no es una persona, será un proceso.
¿Por qué ocurre? Porque confundimos control con fricción. Ponemos más pasos, más contraseñas, más pantallas, y creemos que eso es gobernanza. Pero la gobernanza real es otra cosa: es saber quién aprobó el acceso, por qué, por cuánto tiempo, con qué evidencia y qué pasó después. Lo demás es maquillaje. Y como en las novelas de Conan Doyle, el culpable casi siempre está en la rutina, no en el misterio: una excepción que se volvió norma, un permiso que nadie revisó, una cuenta que quedó viva tras una salida, un flujo “temporal” que lleva tres años en producción.
Además, el costo no se mide solo en dinero. Se mide en reputación, en operación detenida, en semanas de apagafuegos y en la erosión lenta de la confianza interna. Porque cuando una brecha nace de identidad, la pregunta que queda en el aire es incómoda: si no sabes quién accedió, ¿cómo afirmas qué se tocó? Esa incertidumbre es como navegar con niebla cerrada: avanzas, sí, pero cada metro puede ser un arrecife. Y el negocio, por supuesto, te exige velocidad. Qué combinación tan elegante para el desastre.
Así que si en 2026 la identidad es la puerta, las brechas actuales nos están gritando algo simple: seguimos dejando la llave al alcance de cualquiera que sepa hablar con seguridad. Y en tiempos de ingeniería social profesionalizada, hablar con seguridad es barato.
Identidades no humanas y agentes de IA: el nuevo riesgo 100:1 que obliga a rediseñar la gobernanza
Y si todo lo anterior ya era incómodo, ahora viene la parte que de verdad cambia las reglas: la identidad ya no es, principalmente, un asunto de personas. En 2026, el crecimiento explosivo de identidades no humanas —cuentas de servicio, bots, integraciones, workloads, API keys, certificados, tokens efímeros, automatizaciones y, por supuesto, agentes de IA— convierte el “¿quién accede?” en una pregunta tramposa. Porque la respuesta, cada vez más, será: “algo”. Y lo cierto es que a “algo” no le entrenas con charlas de concienciación, no le apelas a la ética corporativa y no le pides que “por favor verifique el remitente”. Solo le pones límites. O lo dejas suelto.
ManageEngine lo plantea con una crudeza estadística que debería quitar el sueño a más de un comité: el ratio máquina-humano puede llegar a 100:1. No en ciencia ficción, sino en operación cotidiana. Por tanto, si tu modelo de IAM sigue pensado para empleados con ciclo anual de revisión de permisos, estás administrando un enjambre con reglas de club social. La velocidad de las NHIs no se mide en meses. Se mide en horas, a veces en minutos. Nacen para un despliegue, mueren cuando el equipo se acuerda, y en el camino acumulan privilegios como quien colecciona llaves “por si acaso”. De ahí salen las cuentas huérfanas, los accesos persistentes y las puertas traseras involuntarias, que son las más peligrosas porque nadie las defiende: ni siquiera saben que existen.
En mi caso, cuando audito entornos con automatizaciones y pipelines modernos, suelo encontrar la misma escena: credenciales embebidas en scripts, tokens que no rotan, permisos amplios porque “si le recortamos se rompe”, y un ownership difuso que siempre termina en esa frase mágica: “eso lo creó el proveedor”. Es decir, nadie. Y en seguridad, “nadie” es un rol muy conveniente para el atacante.
Ahora añade a esa ecuación los agentes de IA. Saviynt advierte que los actores maliciosos empezarán a apuntar a identidades vinculadas a IA, y no porque suene moderno, sino porque es lógico: un agente con acceso a datos críticos es un empleado incansable, sin horario, sin sospecha, sin pausa para el café. El problema no es que el agente exista. El problema es cuando opera de forma autónoma, encadenando acciones y tocando sistemas sin barandas reales. Y aquí aparece la tentación corporativa más antigua del mundo: darle permisos de más “para evitar fricción”. Qué podría salir mal, ¿verdad?
Gobernar identidades no humanas implica aceptar que el viejo modelo de “usuario-perfil-rol” se queda corto. Necesitas tratar la identidad como infraestructura, como insiste Saviynt: centralizar el ciclo de vida de las NHIs, imponer privilegios dinámicos, y diseñar autorizaciones basadas en políticas y contexto. Porque el riesgo no es solo el ataque externo. Es la deriva interna: cuentas que se multiplican, permisos que se heredan por copia y pega, secretos que se replican entre entornos, y esa sensación de que todo funciona… hasta que alguien demuestra que también funciona para robar.
Además, con agentes y automatizaciones, el incidente ya no tiene la narrativa clásica de “un usuario cayó”. A veces no cae nadie. A veces se compromete una identidad no humana, se exfiltran datos con la pulcritud de un bibliotecario, y cuando te das cuenta ya no estás investigando un acceso indebido, sino una coreografía. Como en el ajedrez, el jaque mate rara vez llega con una pieza brillante; llega porque dejaste un peón avanzando sin mirarlo. En 2026, esos peones son identidades máquina. Y avanzan en masa.
OpenText habla de una posible crisis por sobre-permisos en identidades agenticas y por la erosión del criterio humano frente a lo “automático”. Lo sarcástico es que llevamos años quejándonos del error humano, y la solución que estamos montando es un sistema que puede equivocarse a escala industrial. Un agente con permisos excesivos no necesita malas intenciones para causar daño. Le basta una instrucción ambigua, un contexto contaminado o una confianza de más. Y como no “miente” con cara de culpable, cuesta incluso detectar que se salió del carril.
Por eso, cuando hablamos de NHIs y agentes de IA, el debate real no es tecnológico. Es de gobierno. ¿Quién aprueba su creación? ¿Quién es dueño de esa identidad? ¿Qué evidencia deja? ¿Qué puede hacer exactamente, durante cuánto tiempo, y con qué restricciones? La identidad humana ya era compleja. La identidad máquina, multiplicada 100 a 1, es un frente de guerra. Y si no defines reglas claras, el enemigo no tendrá que inventar nada: solo aprovechará tu desorden.
Plan de acción 2026: Zero Trust, least privilege, ciclo de vida y automatización/MDR para resiliencia
Si la amenaza se parece a una marea de identidades no humanas, aquí viene la parte adulta de la conversación: o gobiernas esa marea, o aprendes a respirar bajo el agua. Porque el “Broken Access Control” en APIs, el abuso de OAuth en SaaS y la proliferación de agentes de IA no son temas separados. Son el mismo problema con disfraces distintos: acceso sin control suficiente. Y cuando el acceso se desordena, la empresa no solo se expone; se vuelve predecible para el atacante.
En mi caso, cuando entro a una organización que quiere “meter IA” a toda velocidad, lo primero que pido no es una demo. Pido un mapa de identidades. Y casi siempre encuentro lo mismo: inventarios incompletos, ownership difuso, permisos por herencia y un Help Desk presionado para “hacerlo funcionar”. Hay que decirlo sin romanticismo: la resiliencia en 2026 no se compra. Se diseña. Se opera. Se audita. Y cansa. Pero es menos cansado que un incidente de diez millones.
¿Qué significa un plan serio de Seguridad de Identidad en 2026?
- Zero Trust de verdad: no como eslogan, sino como modelo operativo. Verificar explícitamente, asumir compromiso y minimizar el blast radius. La identidad es la capa común, no un módulo al margen.
- Least privilege con dientes: permisos mínimos, sí, pero con revisiones frecuentes, caducidad automática y elevación just-in-time. Si un acceso no expira, no es acceso: es herencia.
- Ciclo de vida completo para identidades humanas y no humanas: alta, cambios, rotación de secretos, expiración y baja. Lo que no tiene ciclo de vida termina convirtiéndose en ruina arqueológica… y las ruinas son magníficas para esconderse.
- Gobernanza de APIs, OAuth y permisos SaaS: inventariar apps conectadas, revisar scopes, detectar permisos excesivos y cortar tokens sospechosos. El atacante ya entendió que es más rentable robar consentimientos que contraseñas.
- Automatización + MDR/MXDR: porque a escala 100:1 no alcanzan los ojos humanos. Necesitas correlación continua de señales de identidad, detección de anomalías y respuesta orquestada sin esperar a que alguien “tenga tiempo”.
Ahora, para bajarlo a tierra, yo lo estructuraría como una campaña de seis frentes, casi militar. Y no por drama: por disciplina.
- Inventario vivo de identidades: personas, partners, cuentas privilegiadas, service accounts, API keys, certificados, tokens OAuth, agentes de IA. Si no lo puedes listar, no lo puedes defender.
- Ownership y evidencia: cada identidad debe tener dueño (humano), propósito y trazabilidad. “Lo creó el proveedor” no es una respuesta aceptable; es una rendición.
- Políticas de caducidad y rotación: secretos que rotan solos, credenciales efímeras para workloads, sesiones cortas para accesos sensibles. La permanencia es el mejor amigo del abuso.
- Refuerzo del Help Desk: guiones antifraude, verificación fuera de banda, políticas anti-bypass de MFA y protocolos ante deepfakes. Si el atacante ya compra “servicios” de ingeniería social, tu soporte no puede seguir operando como si estuviera en 2016.
- Revisión de permisos SaaS y OAuth: limpieza de aplicaciones conectadas, minimización de scopes y monitoreo de consentimientos. Es la nueva “puerta trasera” con interfaz bonita.
- Observabilidad de identidad: telemetría en accesos, APIs, cambios de privilegios y comportamientos anómalos. Sin datos, lo que tienes es fe. Y la fe, por definición, no detecta intrusos.
En 2026, la identidad no se gestiona con promesas: se gestiona con inventario, caducidad y evidencia.
¿Dónde entra la IA en esto? En dos lugares: como acelerador y como amenaza. Puedes usarla para descubrir cuentas huérfanas, detectar patrones raros, correlacionar señales y reducir fatiga de alertas. Pero, al mismo tiempo, debes gobernar a los agentes como si fueran piezas de ajedrez con poder de reina: útiles, sí, pero peligrosas si las dejas sueltas. Perfilado por tarea, permisos por política, límites por contexto y registros que puedas auditar cuando —no si— algo salga del carril.
Y aquí va la frase incómoda que nadie quiere escuchar en comité, pero muchos deberían anotarse: si tu plan de identidad depende de que “la gente haga lo correcto”, entonces no tienes un plan; tienes una esperanza. Esa esperanza dura exactamente hasta la próxima llamada convincente al Help Desk, el próximo token OAuth con permisos de más o el próximo agente de IA “muy productivo” que alguien soltó sin barandas.
Cierro con una imagen de libros, porque esto va de memoria. En la Ilíada la guerra no la ganaba el más fuerte, sino el que entendía el terreno y la moral del enemigo. Hoy el terreno es tu Seguridad de Identidad: tus APIs, tus tokens, tus permisos, tus agentes, tu Help Desk, tus proveedores. Si no lo cartografías y no lo gobiernas, estás peleando con los ojos vendados. Y desgraciadamente, en la práctica, el adversario ya tiene el mapa.
La memoria es el único equipaje que no se pierde; en seguridad, esa memoria se llama trazabilidad.
Mi invitación es simple y nada cómoda: en las próximas dos semanas, no compres una herramienta nueva. Haz tres cosas. Lista tus identidades (humanas y no humanas), identifica tus accesos más peligrosos (APIs/OAuth/SaaS) y define caducidad obligatoria para lo que hoy vive “para siempre”. Si al leer esto te incomoda, mejor. La incomodidad, a veces, es el primer síntoma de que todavía estás a tiempo.
Artículo base (referencia): https://securitybrief.co.uk/story/identity-security-to-become-core-cyber-focus-by-2026