¿Qué es la gestión de la postura de seguridad de la identidad (ISPM)?

El entorno moderno de identidades es vulnerable porque la identidad ha sustituido a la red como principal superficie de ataque. Ahora las aplicaciones residen en la nube, los empleados inician sesión desde cualquier lugar y cada conexión depende de una única identidad verificada. Los atacantes disponen de una vía directa basada en credenciales que las defensas perimetrales tradicionales nunca se diseñaron para bloquear.

Los entornos híbridos aumentan el nivel de complejidad. Las migraciones rápidas a la nube pueden fragmentar la infraestructura de identidad entre Active Directory (AD) local, Microsoft Entra ID y Okta, a menudo sin una vista unificada que las conecte. Cada plataforma tiene sus propios permisos de acceso, sus propias peculiaridades y sus propios puntos ciegos de seguridad. Los atacantes actuales se han vuelto expertos en aprovechar las brechas entre estas plataformas.

Además, cada vez hay más en juego. El informe de seguridad de IA de Zscaler ThreatLabz de 2026 reveló que las transacciones de IA y aprendizaje automático empresariales crecieron un 91 % interanual en más de 3400 aplicaciones. Cada nueva herramienta de IA que adopte su organización necesita una identidad para autenticarse. Dado que las credenciales comprometidas son la principal vía de acceso a los datos propios de la organización, cada integración de IA amplía la superficie de ataque de la identidad.

¿Qué peligros presentan las configuraciones incorrectas de los sistemas de identidad heredados?

Los repositorios de identidades heredados, en particular las cuentas de usuarios con privilegios que pertenecen al personal de TI y a la dirección, siguen siendo los activos más atacados en el entorno de una organización. Más del 90 % de las empresas aún dependen de AD para la autenticación, y su configuración predeterminada y las configuraciones acumuladas durante décadas lo hacen intrínsecamente vulnerable. Los atacantes lo saben y han creado herramientas específicas para explotar esta vulnerabilidad.

Las malas prácticas de configuración de directorios crean vías de ataque fáciles. El método Pass-the-Hash permite que un atacante se autentique con un hash de contraseña robado, sin necesidad de conocer la contraseña en sí. Kerberoasting permite a un atacante solicitar tickets de servicio vinculados a cuentas de servicio poco protegidas y, después, descifrar las credenciales cifradas sin conexión, utilizando su propio hardware. Ambas técnicas prosperan en directorios que no se han auditado recientemente.

A la lista de preocupaciones se suma el hecho de que la deuda de identidad puede acumularse lentamente bajo la superficie. Las cuentas de los antiguos empleados permanecen activas durante meses. Las credenciales de servicio huérfanas sobreviven a las aplicaciones para las que fueron creadas. Los privilegios de los usuarios se extienden mucho más allá de lo que fue aprobado. Cada uno de estos problemas deja una puerta abierta, y la mayoría de las organizaciones desconocen cuántas tienen.

ISPM descubre continuamente todas las identidades, tanto humanas como no humanas, en un entorno, audita cada una de ellas en busca de configuraciones incorrectas y privilegios excesivos, y convierte los resultados en una única puntuación de postura basada en el riesgo. ISPM integra diversas capacidades en un ciclo continuo de descubrimiento, análisis y remediación. Cada una desempeña una función distinta y, juntas, muestran dónde se ocultan los riesgos relacionados con la identidad.

Visibilidad y descubrimiento de extremo a extremo

La visibilidad y el descubrimiento de extremo a extremo constituyen el proceso de ISPM que permite localizar y catalogar todas las identidades, humanas y no humanas, antes de iniciar cualquier análisis de riesgos. Los equipos de seguridad solo pueden proteger lo que pueden ver, por lo que ISPM inventariará a los empleados, contratistas, cuentas de servicio e identidades de máquinas distribuidos entre AD, Entra ID y las plataformas de infraestructura en la nube.

La identificación de identidades no humanas (NHI, por sus siglas en inglés) requiere especial atención. Las claves API, los tokens de automatización y las identidades de carga de trabajo suelen operar completamente fuera del ámbito de la gobernanza de directorios tradicional. Un desarrollador crea una cuenta de servicio para un proyecto de fin de semana. Tres años después, aún conserva permisos de administrador y nadie la supervisa. ISPM hace visibles las identidades no humanas, de modo que ninguna identidad del directorio opere sin supervisión.

Auditoría continua y puntuación de la postura de seguridad en ISPM

La auditoría continua y la puntuación de la postura de seguridad son funciones de ISPM que analizan la configuración de cada identidad las 24 horas del día y convierten los resultados en una única puntuación de riesgo cuyo seguimiento puede realizarse a lo largo del tiempo. El proceso de descubrimiento identifica lo que existe; la auditoría determina si es seguro. Los problemas comunes que revelan estos escaneos incluyen:

• Contraseñas débiles o reutilizadas
• Políticas de autenticación multifactor (MFA) deshabilitadas
• Estructuras de privilegios obsoletas que persisten tras cambios de función o procesos de baja que nunca se completaron

Esa puntuación proporciona a los equipos de TI y seguridad un punto de referencia claro para realizar un seguimiento del progreso e informar de las mejoras a la dirección. Una puntuación creciente indica una mejora en la higiene de la identidad; una puntuación decreciente señala nuevos riesgos antes de que se conviertan en incidentes.

Analizar las rutas de ataque y la escalada de privilegios

El análisis de rutas de ataque y de escalada de privilegios es la capacidad de ISPM que representa las relaciones entre identidades, privilegios y recursos para revelar cómo los atacantes encadenan pequeñas vulnerabilidades hasta provocar una vulneración completa de la seguridad. Esto resulta útil porque una única configuración errónea rara vez da una idea completa del problema.

Por ejemplo, un equipo de seguridad podría descubrir una cuenta con privilegios limitados pero con permisos en una política configurada incorrectamente por error. En sí misma, la cuenta parece inofensiva. En combinación con una relación de confianza inactiva con otro dominio, puede alcanzar los derechos de administrador del dominio, y un hallazgo menor se convierte en una vía crítica. La visualización de la ruta de ataque permite a los equipos de seguridad corregir las conexiones de mayor riesgo en lugar de corregir por igual todos los hallazgos de bajo riesgo.

Aplicación de controles adaptativa y basada en el riesgo

La aplicación de controles adaptativa y basada en el riesgo activa automáticamente controles adicionales cuando se detecta una vulnerabilidad, sin esperar a una intervención manual posterior. Estos controles incluyen:

• Limitación del acceso a áreas sensibles en función del nivel de riesgo
• Identificación de solicitudes anómalas de privilegios elevados
• Incorporación de datos de postura de seguridad en tiempo real a las políticas Zero Trust

Esto crea un proceso de circuito cerrado entre la detección y la corrección, lo que convierte la mejora de la identidad en parte de las operaciones diarias en lugar de un ejercicio anual.

ISPM se integra con el conjunto de sistemas de identidad al añadir un análisis continuo de la postura de seguridad a los controles de acceso que proporciona IAM y a la gobernanza que proporciona IGA. En lugar de sustituir ninguna de las dos disciplinas, ocupa un lugar intermedio entre la autenticación de un inicio de sesión y la confirmación de que el acceso se mantiene seguro a lo largo del tiempo.

¿Cuál es la diferencia entre ISPM e IAM?

ISPM e IAM difieren en su alcance. La gestión de identidades y accesos (IAM) controla quién accede al sistema en el momento de iniciar sesión, gestionando las cuentas de usuario de una organización y verificando el acceso mediante inicio de sesión único (SSO) y autenticación multifactor (MFA). ISPM, en cambio, comprueba continuamente si los permisos de una identidad ya autenticada siguen siendo seguros.

La gestión de identidades y accesos (IAM) por sí sola no puede proteger contra las amenazas a la identidad. Valida las credenciales al iniciar sesión, pero no puede determinar si la cuenta tiene permisos excesivos. Un empleado autenticado que inicia sesión mediante una autenticación multifactor adecuada puede seguir teniendo derechos de administrador que ya no necesita. IAM le permite acceder cada vez, porque, desde su perspectiva, nada parece estar mal.

¿Cuál es la diferencia entre ISPM e IGA?

ISPM e IGA difieren en su frecuencia. La gobernanza y administración de identidades (IGA) regula el acceso mediante el aprovisionamiento automatizado y las revisiones periódicas de certificación. Esto proporciona a los equipos de cumplimiento un registro de qué accesos se aprobaron y cuándo. En cambio, ISPM funciona de forma continua y evalúa si ese acceso aprobado sigue siendo adecuado y seguro entre los ciclos de revisión.

Las revisiones de IGA son en gran medida manuales y se realizan mensualmente o trimestralmente, lo que puede provocar que los permisos de alto riesgo permanezcan sin detectar durante semanas antes de la siguiente revisión.

En cambio, ISPM realiza análisis continuos y automáticos de la postura de seguridad de la configuración del directorio, sin esperar a la siguiente revisión programada. Mientras que IGA pregunta: "¿Hemos aprobado este acceso?", ISPM pregunta: "¿Es seguro este acceso en este momento?"

En conjunto, estas tres disciplinas conforman un conjunto completo de sistemas de identidad. IAM controla quién accede, IGA rige quién debe tener acceso e ISPM garantiza que la infraestructura subyacente esté libre de las configuraciones erróneas en las que se basan los atacantes para eludir las medidas de seguridad.

Las rutas de ataque automatizadas amenazan la seguridad de la identidad al reducir drásticamente el tiempo entre el descubrimiento y la vulneración de la seguridad. Los atacantes utilizan herramientas basadas en inteligencia artificial para mapear la estructura de su Active Directory en segundos, identificar la ruta más corta para obtener privilegios de administrador de dominio y actuar antes de que los defensores puedan responder.

Las identidades no humanas comprometidas aumentan aún más lo que está en juego. Una sola clave API vulnerada o un token de automatización olvidado pueden abrir una puerta trasera silenciosa, que rara vez activa las alertas de inicio de sesión que activaría una cuenta humana.

Lo más difícil es prepararse para esa velocidad. En las pruebas de equipos rojos realizadas en sistemas empresariales de IA, ThreatLabz constató que la mediana del tiempo hasta un fallo crítico era de 16 minutos y que el 90 % de los sistemas quedaban totalmente comprometidos en un plazo de 90 minutos. La seguridad reactiva no puede seguir ese ritmo. Su organización necesita una gestión proactiva de la postura de seguridad para corregir las vulnerabilidades antes de que se produzca una brecha de seguridad.

Las defensas de ISPM se mantienen al día con la explotación a velocidad de máquina mediante la combinación de un endurecimiento continuo de la configuración, la remediación automatizada de privilegios y la detección de amenazas en tiempo real. Estas medidas cierran las brechas de las que se valen los atacantes automatizados antes de que comience un ataque y detectan las amenazas activas en el momento en que aparecen.

Integración de ISPM con la detección y respuesta ante amenazas a la identidad (ITDR)

ISPM y la detección y respuesta ante amenazas de identidad (ITDR) se integran al dividir la defensa de las identidades en dos partes complementarias. ISPM refuerza de forma proactiva la configuración de identidad, corrigiendo las configuraciones erróneas en las que se basan los atacantes. ITDR detecta y aísla las amenazas activas en tiempo real una vez que el atacante ya se encuentra dentro del entorno.

La combinación de ambas prácticas crea un ciclo completo de defensa de la identidad. La información sobre la postura de seguridad que proporciona ISPM se integra directamente en los manuales de mitigación de ITDR, de modo que los equipos de respuesta saben qué cuentas conllevan el mayor riesgo incluso antes de que se active una alerta. En lugar de dos herramientas desconectadas, el resultado es un ciclo continuo de endurecimiento y respuesta.

Corrección automatizada de la acumulación de privilegios

Los privilegios se acumulan silenciosamente. Un usuario cambia de rol y obtiene acceso temporal para un proyecto. El proyecto termina; el acceso no. Si esa cuenta se ve comprometida, todos los privilegios acumulados pasan a ser del atacante.

ISPM aborda este problema mediante la corrección automatizada: identifica permisos innecesarios y revoca los derechos de acceso de los usuarios que ya no los necesitan. Cuantos menos privilegios permanentes haya, menos recursos podrá aprovechar un atacante.

Ampliación de los principios Zero Trust a las configuraciones de directorio

El principio de Zero Trust suele aplicarse al acceso a la red, pero la mentalidad de "nunca confiar, siempre verificar" también se aplica a su directorio.

ISPM verifica cada ajuste de configuración, relación de confianza y permiso delegado, extendiendo los principios de seguridad Zero Trust más allá del inicio de sesión, hasta el directorio que determina lo que puede hacer un usuario autenticado.

La implementación eficaz de ISPM se basa en unos pocos pasos que deben seguirse de forma rigurosa. Siga estos pasos para pasar del concepto a una postura de seguridad de la identidad cuya mejora pueda medirse.

1. Unifique la visibilidad de su directorio: conecte su Active Directory local con sus sistemas nativos en la nube, incluidos Microsoft Entra ID y Okta, para que toda la actividad aparezca en un único panel de control, en lugar de varias vistas aisladas.
2. Busque repositorios de identidades en la sombra: realice un descubrimiento continuo de activos para encontrar directorios creados por desarrolladores independientes o integraciones SaaS de terceros al margen de la gobernanza oficial. Estos repositorios suelen estar menos supervisados y, por tanto, es más probable que los atacantes los exploten.
3. Reduzca los permisos de forma continua: utilice los datos de ISPM para eliminar los privilegios excesivos de las cuentas de usuario y de servicio, aplicando el principio de mínimo privilegio a todas las cuentas.
4. Elimine las credenciales huérfanas: realice una auditoría para detectar cuentas de servicio o credenciales no utilizadas sin propietario y elimínelas antes de que alguien más les encuentre utilidad.
5. Automatice las alertas de configuración: notifique a los administradores del directorio en el momento en que un cambio de configuración se desvíe de su línea base de seguridad.
6. Realice un seguimiento de su puntuación de postura de seguridad a lo largo del tiempo: considere su puntuación ISPM como una medida en tiempo real de la postura de seguridad de su entorno de identidades, no de su seguridad general. Revísela periódicamente con su equipo de seguridad para comprobar el progreso hacia la eliminación de riesgos.

Estos pasos se complementan entre sí. La visibilidad proporciona el mapa, la reducción de privilegios elimina el riesgo y las alertas preservan las mejoras logradas, convirtiendo una implementación puntual en una práctica continua que mantiene su entorno de identidades protegido a medida que evolucionan las amenazas.

Zscaler Identity Protection (Zscaler ITDR) audita continuamente los almacenes de identidades híbridas y de Active Directory en busca de configuraciones incorrectas, ofrece una vista de la postura con puntuación de riesgo y detecta ataques como Kerberoasting en tiempo real. Se integra de forma nativa con la plataforma Zscaler Zero Trust Exchange™.

Las capacidades clave incluyen:

• Auditoría continua de la postura de Active Directory (AD) y Entra ID: Zscaler ITDR escanea los almacenes de identidades locales e híbridos las 24 horas del día para detectar configuraciones incorrectas, privilegios obsoletos y credenciales expuestas antes de que los atacantes los encuentren.
• Detección de ataques contra la identidad en tiempo real: La plataforma identifica técnicas como Kerberoasting, Pass-the-Hash y DCSync en el momento en que se producen, reduciendo el intervalo entre la vulneración y la respuesta.
• Puntuación unificada del riesgo de identidad: Zscaler ITDR convierte hallazgos dispersos en una única puntuación de postura que permite realizar un seguimiento y sobre la que los equipos de TI y seguridad pueden elaborar informes a lo largo del tiempo.
• Integración nativa con Zero Trust Exchange: los datos de postura de seguridad y amenazas se incorporan directamente a las políticas adaptativas de Zero Trust, de modo que el riesgo de identidad influye en las decisiones de acceso en tiempo real en toda la plataforma Zscaler Zero Trust Exchange.
• Cobertura de identidades no humanas: Zscaler ITDR amplía la visibilidad a las cuentas de servicio, las claves de API y las identidades de carga de trabajo que las herramientas de identidad tradicionales suelen pasar por alto.

Solicite una demostración para descubrir cómo Zscaler ITDR puede ayudarle a mejorar su postura de seguridad de identidad.