Tema 11
Una identidad no es estática. Nace, cambia, acumula relaciones, gana y pierde accesos, se suspende, se reactiva o se elimina. La gestión de identidades y accesos, o IAM, se ocupa de gobernar ese ciclo de vida. Si esta capa falla, aparecen cuentas huérfanas, privilegios residuales y autorizaciones que ya no reflejan la realidad del negocio.
Muchos problemas de seguridad no nacen en el login ni en el modelo de permisos, sino en cómo una organización crea, modifica y retira identidades y accesos. Cuando este proceso es improvisado, el sistema deja de reflejar el estado real del negocio.
Una persona cambia de rol y conserva privilegios anteriores. Un proveedor termina su contrato y su cuenta sigue activa. Un servicio deja de existir, pero su secreto permanece vigente. Todos estos casos son fallas del ciclo de vida.
IAM, Identity and Access Management, intenta resolver precisamente eso: que la identidad digital y sus permisos evolucionen de forma coherente con la realidad operativa y con las políticas de seguridad.
IAM es el conjunto de procesos, políticas, datos y tecnologías orientados a administrar identidades y controlar accesos de manera consistente a lo largo del tiempo. No es solo una herramienta ni solo un directorio: es una disciplina que conecta identidad, autenticación, autorización, gobierno y operación.
Un sistema IAM bien implementado busca responder preguntas como:
Una identidad no debería verse como una foto estática. En el tiempo pasan eventos que afectan directamente el acceso:
Cada uno de estos eventos debería modificar atributos, permisos o estados. Si el sistema no acompaña esos cambios, el acceso se vuelve inconsistente con la realidad.
De manera simplificada, el ciclo de vida suele incluir varias etapas:
No todos los sistemas implementan todas estas fases con el mismo nivel de formalidad, pero ignorarlas casi siempre genera deuda de seguridad.
El aprovisionamiento es el proceso por el cual una identidad obtiene sus cuentas, grupos, roles, atributos y permisos iniciales en los distintos sistemas donde debe operar.
Puede ocurrir de forma:
Un buen aprovisionamiento no consiste en “dar de alta rápido”, sino en dar de alta con precisión. Si el acceso inicial ya nace sobredimensionado, el resto del ciclo empieza mal.
En muchos entornos el aprovisionamiento inicial se apoya en reglas derivadas de atributos o roles. Por ejemplo, un usuario del área de ventas recibe acceso a CRM, correo y determinados reportes; un desarrollador recibe repositorios, herramientas de CI/CD y entornos técnicos.
Este enfoque reduce trabajo manual, pero exige datos confiables. Si el atributo “área” está mal cargado o llega tarde desde el sistema maestro, el aprovisionamiento puede asignar accesos incorrectos desde el inicio.
El momento más delicado no siempre es el alta, sino el cambio. Las organizaciones viven moviendo personas, redefiniendo equipos y ajustando responsabilidades. Si los accesos no cambian al mismo ritmo, aparecen privilegios acumulados que ya no tienen justificación.
Algunos cambios típicos que deberían gatillar revisión automática o semiautomática:
Un privilegio residual es un acceso que permanece activo aunque ya no corresponde al estado actual de la identidad. Es uno de los problemas más frecuentes y peligrosos en IAM porque suele pasar desapercibido.
Ejemplos comunes:
Estos accesos son peligrosos porque parecen legítimos mientras nadie revise contexto real y justificación vigente.
El desprovisionamiento es el proceso de retirar cuentas, credenciales, sesiones y permisos cuando una identidad deja de necesitar acceso. Es una de las etapas más importantes del ciclo de vida y, paradójicamente, una de las peor resueltas en muchas organizaciones.
Un desprovisionamiento serio debería considerar:
No basta con “deshabilitar el usuario” en un solo sistema si todavía existen cuentas derivadas o secretos vigentes en otros.
Una cuenta huérfana es aquella que sigue existiendo sin un dueño válido, sin una relación vigente con el negocio o sin una identidad claramente responsable. Estas cuentas son especialmente riesgosas porque suelen quedar fuera del monitoreo cotidiano.
Pueden surgir por:
En IAM suele hablarse del modelo Joiner, Mover, Leaver para representar tres eventos principales:
Este esquema es útil porque resume tres momentos donde la mayoría de los errores de IAM se concentran. Un sistema maduro debería tener procesos claros y medibles para los tres.
El ciclo de vida de identidad depende de fuentes de verdad. En muchas organizaciones, ciertos atributos vienen de RR.HH., otros de CRM, otros de sistemas académicos o de plataformas de proveedores.
Por eso es fundamental definir:
Sin esta base, el IAM termina apoyándose en datos ambiguos y el aprovisionamiento se vuelve inestable.
Automatizar IAM reduce errores y acelera el ciclo, pero no significa que todo deba fluir sin controles. Algunas decisiones pueden y deben seguir requiriendo validación humana, especialmente cuando se trata de acceso privilegiado o situaciones excepcionales.
La cuestión no es elegir entre manual o automático de forma absoluta, sino decidir qué partes conviene estandarizar y qué partes requieren criterio adicional. Una automatización mala escala errores más rápido; una operación completamente manual escala lentitud e inconsistencia.
Muchos equipos piensan IAM solo para personas, pero hoy las identidades no humanas son igual o más críticas. Servicios, cuentas de aplicación, pipelines, workloads cloud y automatizaciones también tienen ciclo de vida.
Eso implica responder preguntas como:
Una identidad técnica olvidada puede ser una puerta mucho más peligrosa que una cuenta de usuario común.
El ciclo de vida no termina con asignar y retirar. También hace falta revisar periódicamente si los accesos vigentes siguen teniendo sentido. Esta práctica suele llamarse recertificación o access review.
Su objetivo es detectar:
La revisión periódica compensa el hecho de que los procesos de cambio nunca son perfectos. Sin ella, la acumulación de accesos tiende a crecer con el tiempo.
Un programa IAM maduro necesita medir, no solo ejecutar. Algunas métricas útiles pueden ser:
Estas métricas ayudan a pasar de una gestión reactiva a una disciplina gobernada.
La madurez no se mide por tener una gran plataforma IAM, sino por la coherencia entre identidad real, datos, permisos y operación.
La seguridad de identidad no depende solo de autenticar o autorizar correctamente en un instante dado. Depende de que la identidad siga representando la realidad del negocio a lo largo del tiempo. IAM aporta esa continuidad: crea, modifica, revisa y retira acceso de manera coherente, reduciendo una de las fuentes más persistentes de riesgo operativo.
En el próximo tema abordaremos directorios e identidad centralizada: LDAP, Active Directory y proveedores cloud, que suelen ser pilares estructurales del ecosistema IAM.