¿Qué es la gestión de la postura de seguridad de la identidad (ISPM)?

El sistema de gestión de identidades moderno es vulnerable porque la identidad ha sustituido a la red como principal superficie de ataque. Ahora, las aplicaciones residen en la nube, los empleados inician sesión desde cualquier lugar y cada conexión depende de una única identidad verificada. Los atacantes disponen de una vía directa, basada en credenciales, que las defensas perimetrales tradicionales nunca fueron diseñadas para detener.

Los entornos híbridos aumentan el nivel de la complejidad. Las migraciones rápidas a la nube pueden fragmentar la infraestructura de identidad entre Active Directory (AD) local, Microsoft Entra ID y Okta, a menudo sin una vista unificada que las conecte. Cada plataforma tiene sus propios permisos de acceso, sus propias peculiaridades y sus propios puntos débiles en materia de seguridad. Los atacantes actuales se han vuelto expertos en explotar las brechas entre ellos.

Además, cada vez hay más en juego. El Informe de seguridad de IA de Zscaler ThreatLabz 2026 reveló que las transacciones de IA y aprendizaje automático empresariales crecieron un 91 % interanual en más de 3400 aplicaciones. Cada nueva herramienta de IA que adopte su organización necesita una identidad para autenticarse. Dado que las credenciales comprometidas son la principal vía de acceso a los datos confidenciales, cada integración de IA amplía la superficie de ataque a la identidad.

¿Cuáles son los peligros de las configuraciones incorrectas de identidad heredadas?

Los repositorios de identidades heredados, en particular las cuentas de usuarios ejecutivos y de TI con privilegios, siguen siendo los activos más atacados en el entorno de una organización. Más del 90 % de las empresas aún dependen del Active Directory para la autenticación, y su configuración predeterminada, junto con décadas de configuración acumulada, lo hacen inherentemente vulnerable. Los atacantes lo saben y han creado herramientas específicas para explotar esta vulnerabilidad.

Las malas prácticas de configuración de directorios crean vías de ataque de fácil acceso. El método Pass-the-Hash permite que un atacante se autentique con un hash de contraseña robado, sin necesidad de conocer la contraseña en sí. El ataque Kerberoasting permite a un atacante solicitar tickets de servicio vinculados a cuentas de servicio poco seguras y, posteriormente, descifrar las credenciales cifradas sin conexión a Internet utilizando su propio hardware. Ambas técnicas funcionan bien en directorios que no han sido auditados recientemente.

A la lista de preocupaciones se suma el hecho de que la deuda de identidad puede acumularse lentamente bajo la superficie. Las cuentas de los empleados antiguos permanecen activas durante meses. Las credenciales de servicio huérfanas sobreviven a las aplicaciones para las que fueron creadas. Los privilegios de los usuarios se extienden mucho más allá de lo que fue aprobado. Cada uno es una puerta abierta, y la mayoría de las organizaciones no tienen ni idea de cuántas tienen.

La ISPM detecta continuamente todas las identidades, tanto humanas como no humanas, en un entorno, audita cada una de ellas en busca de configuraciones incorrectas y privilegios excesivos, y convierte los resultados en una única puntuación de postura basada en el riesgo. La ISPM integra diversas capacidades en un ciclo continuo de detección, análisis y remediación. Cada uno desempeña un papel distinto y, en conjunto, muestran dónde se esconde el riesgo de identidad.

Visibilidad y detección de extremo a extremo

La visibilidad y la detección de extremo a extremo es el proceso de la ISPM para localizar y catalogar todas las identidades, humanas y no humanas, antes de que se pueda iniciar cualquier análisis de riesgos. Los equipos de seguridad solo pueden proteger lo que pueden ver, por lo que la ISPM realizará un inventario de los empleados, contratistas, cuentas de servicio e identidades de máquinas dispersas en las plataformas de infraestructura en la nube, como AD y Entra ID.

La identificación de identidades no humanas (INH) requiere una atención adicional. Las claves API, los tokens de automatización y las identidades de carga de trabajo suelen operar completamente fuera del ámbito de la gobernanza tradicional de los directorios. Un desarrollador crea una cuenta de servicio para un proyecto de fin de semana. Tres años después, aún conserva permisos de administrador y nadie lo supervisa. La ISPM visibiliza las identidades no humanas, de modo que ninguna identidad en el directorio opere sin ser detectada.

Auditoría continua y puntuación de la postura en la ISPM

La auditoría continua y la puntuación de la postura de seguridad son funciones de la ISPM que analizan la configuración de cada identidad las 24 horas del día y convierten los resultados en una puntuación de riesgo única y rastreable. El proceso de detección identifica lo que existe; la auditoría determina si es seguro. Los problemas comunes que revelan estos escaneos incluyen:

• Contraseñas débiles o reutilizadas
• Políticas de autenticación multifactor (MFA) desactivadas
• Estructuras de privilegios obsoletas remanentes de cambios de rol o desvinculaciones que nunca se completaron

Esa puntuación proporciona a los equipos de TI y seguridad un punto de referencia claro para realizar un seguimiento del progreso e informar de las mejoras a la dirección. Una puntuación que aumenta indica una mejora en la higiene de la identidad; una puntuación que disminuye señala nuevos riesgos antes de que se conviertan en incidentes.

Analice las rutas de ataque y la escalada de privilegios

El análisis de la ruta de ataque y la escalada de privilegios es la capacidad de la ISPM que mapea las relaciones entre identidades, privilegios y recursos para revelar cómo los atacantes encadenan pequeñas vulnerabilidades hasta convertirlas en violaciones completas. Esto resulta útil porque una única configuración errónea rara vez da una idea completa del problema.

Por ejemplo, un equipo de seguridad podría descubrir una cuenta con privilegios limitados pero con permisos en una política configurada incorrectamente por error. En sí misma, la cuenta parece inofensiva. En combinación con una relación de confianza inactiva con otro dominio, puede alcanzar los derechos de administrador del dominio, y un hallazgo menor se convierte en una vía crítica. La visualización de la ruta de ataque permite a los equipos de seguridad corregir las conexiones de mayor riesgo en lugar de corregir por igual todos los hallazgos de bajo riesgo.

Aplicación adaptativa y basada en el riesgo

La aplicación adaptativa basada en el riesgo activa controles adicionales automáticamente cuando surge una vulnerabilidad, en lugar de esperar a un seguimiento manual. Estos controles incluyen:

• Limitar el acceso a zonas confidenciales en función del nivel de riesgo
• Identificar solicitudes anómalas de privilegios elevados
• Alimentar datos de postura en tiempo real a políticas Zero Trust

Esto crea un proceso de circuito cerrado entre la detección y la corrección, lo que convierte la mejora de la identidad en parte de las operaciones diarias en lugar de un ejercicio anual.

La ISPM se integra con la pila de identidades al agregar un análisis continuo de la postura a la aplicación de acceso que proporciona la la IAM y la gobernanza que proporciona IGA. En lugar de sustituir cualquiera de las dos disciplinas, ocupa un lugar intermedio entre la autenticación de un inicio de sesión y la confirmación de que el acceso se mantiene seguro a lo largo del tiempo.

¿Cuál es la diferencia entre la ISPM y la IAM?

La ISPM y la IAM difieren en su alcance. La IAM controla quién accede al sistema en el momento de iniciar sesión, gestionando las cuentas de usuario de una organización y verificando el acceso mediante inicio de sesión único (SSO) y autenticación multifactor (MFA). La ISPM, en cambio, comprueba continuamente si los permisos de una identidad ya autenticada siguen siendo seguros.

La IAM por sí sola no puede proteger contra las amenazas a la identidad. Valida las credenciales al iniciar sesión, pero no puede determinar si la cuenta tiene permisos excesivos. Un empleado autorizado que inicie sesión mediante la autenticación multifactor (MFA) adecuada aún puede conservar derechos de administrador que ya no necesita. La IAM las aprueba siempre, porque desde su punto de vista, nada parece estar mal.

¿Cuál es la diferencia entre la ISPM y la IGA?

La ISPM y la IGA difieren en su frecuencia. La IGA regula el acceso mediante el aprovisionamiento automatizado y las revisiones periódicas de certificación. Esto proporciona a los equipos de cumplimiento un registro de qué accesos se aprobaron y cuándo. En cambio, la ISPM funciona de manera continua y evalúa si el acceso aprobado sigue vigente entre los ciclos de revisión.

Las revisiones de la IGA son en gran medida manuales y se realizan mensualmente o trimestralmente, lo que puede provocar que los permisos de alto riesgo permanezcan sin detectar durante semanas antes de la siguiente revisión.

En cambio, la ISPM realiza análisis de postura continuos y automáticos sobre la configuración del directorio, en lugar de esperar a la siguiente revisión programada regularmente. Cuando la IGA pregunta: "¿Ya aprobamos este acceso?" La ISPM pregunta: "¿Es seguro este acceso en este momento?"

En conjunto, estas tres disciplinas conforman una pila de identidad completa. La IAM controla quién accede, la IGA rige quién debe tener acceso y la ISPM garantiza que la infraestructura subyacente esté libre de las configuraciones erróneas en las que se basan los atacantes para eludir las medidas de seguridad.

Las rutas de ataque automatizadas amenazan la seguridad de la identidad al reducir drásticamente el tiempo entre la detección y la vulneración. Los atacantes utilizan herramientas basadas en al IA para mapear la estructura de su Active Directory en segundos, identificar la ruta más corta para obtener privilegios de administrador de dominio y actuar antes de que los defensores puedan responder.

Las INH comprometidas aumentan aún más lo que está en juego. Una sola clave API vulnerada o un token de automatización olvidado pueden abrir una puerta trasera discreta, que rara vez activa las alertas de inicio de sesión como sucedería con una cuenta humana.

La velocidad es la parte más difícil de planificar. En las pruebas de equipos rojos en sistemas de IA empresariales, ThreatLabz descubrió un tiempo medio hasta la falla crítica de 16 minutos, con el 90 % de los sistemas totalmente comprometidos en 90 minutos. La seguridad reactiva no puede seguir ese ritmo. Su organización necesita una gestión proactiva de la seguridad para corregir las vulnerabilidades antes de que se produzca una violación.

Las defensas de la ISPM se mantienen al ritmo de la explotación a la velocidad de las máquina mediante la combinación de la rigidez continua de la configuración, la remediación automatizada de privilegios y la detección de amenazas en tiempo real. Estas medidas cierran las brechas de las que se valen los atacantes automatizados antes de que comience un ataque y detectan las amenazas activas no bien aparecen.

Integración de la ISPM con la detección y respuesta ante amenazas de identidad (ITDR)

La ISPM y la detección y respuesta ante amenazas a la identidad (ITDR) se integran dividiendo la defensa de la identidad en dos partes complementarias. La ISPM refuerza de manera proactiva la configuración de identidad, corrigiendo las configuraciones erróneas en las que se basan los atacantes. La ITDR detecta y aisla las amenazas activas en tiempo real una vez que el atacante ya se encuentra dentro del entorno.

La combinación de ambas prácticas crea un ciclo completo de defensa de la identidad. La información sobre la postura de seguridad que proporciona la ISPM se integra directamente en los manuales de mitigación de ITDR, de modo que los equipos de respuesta saben qué cuentas conllevan el mayor riesgo incluso antes de que se active una alerta. En lugar de dos herramientas desconectadas, el resultado es un ciclo continuo de rigidez y respuesta.

Corrección automatizada de la escalada de privilegios

Los privilegios se acumulan silenciosamente. Un usuario cambia de función y obtiene acceso temporal para un proyecto. El proyecto termina; el acceso no. Si esa cuenta se ve comprometida, todos los privilegios acumulados pasan a ser del atacante.

La ISPM responde a esto con una solución automatizada: señalando los permisos innecesarios y revocando los derechos de acceso de los usuarios que ya no los necesitan. Menos privilegios significan menos opciones para un atacante.

Ampliación de los principios Zero Trust a las configuraciones de directorio

El principio Zero Trust suele aplicarse al acceso a la red, pero la mentalidad de "nunca confiar, siempre verificar" también se aplica a su directorio.

La ISPM verifica cada ajuste de configuración, relación de confianza y permiso delegado, extendiendo los principios de seguridad Zero Trust por debajo de la solicitud de inicio de sesión y hasta el directorio que determina lo que un usuario autenticado puede hacer.

La implementación eficaz de la ISPM se reduce a una serie de pasos bien definidos. Siga estos pasos para pasar del concepto a una postura de identidad notablemente más sólida.

1. Unifique la visibilidad de su directorio: Conecte su Active Directory local con sus sistemas nativos en la nube, incluidos Microsoft Entra ID y Okta, para que toda la actividad aparezca en un único panel de control, en lugar de varias vistas aisladas.
2. Busque almacenes de identidad ocultos: Ejecute una detección continua de activos para encontrar directorios creados por desarrolladores independientes o integraciones SaaS de terceros fuera de la gobernanza oficial. Estos almacenes suelen estar menos vigilados y, por lo tanto, son más propensos a ser explotadas.
3. Reduzca los permisos de manera continua: Utilice los datos de la ISPM para eliminar los privilegios excesivos de las cuentas de usuario y de servicio, manteniendo todas las cuentas con el mínimo privilegio de acceso.
4. Elimine las credenciales huérfanas: Realice una auditoría para detectar cuentas de servicio o credenciales no utilizadas sin propietario y elimínelas antes de que alguien más les encuentre utilidad.
5. Automatice las alertas de configuración: Notifique a los administradores del directorio en el momento en que un cambio de configuración se desvíe de su línea base de seguridad.
6. Realice un seguimiento de su puntuación de postura a lo largo del tiempo: Considere su puntuación de la ISPM como una medida en tiempo real de su postura de identidad, no de su estado de seguridad general. Revíselo periódicamente con su equipo de seguridad para confirmar el progreso hacia la eliminación de riesgos.

Estos pasos se complementan entre sí. La visibilidad proporciona el mapa, la poda elimina el riesgo y las alertas mantienen las ventajas, convirtiendo una implementación única en una práctica continua que mantiene su infraestructura de identidades reforzada a medida que evolucionan las amenazas.

Zscaler Identity Protection (Zscaler ITDR) audita continuamente los almacenes de identidades híbridas y de Active Directory en busca de configuraciones incorrectas, ofrece una vista de la postura con puntuación de riesgo y detecta ataques como Kerberoasting en tiempo real. Se integra de manera nativa con la plataforma Zscaler Zero Trust Exchange™.

Las capacidades clave incluyen:

• Auditoría continua de la postura de Active Directory (AD) y Entra ID: Zscaler ITDR analiza los almacenes de identidad locales e híbridos las 24 horas del día para detectar configuraciones incorrectas, privilegios obsoletos y credenciales expuestas antes de que los atacantes los encuentren.
• Detección de ataques de identidad en tiempo real: La plataforma identifica técnicas como Kerberoasting, Pass-the-Hash y DCSync en el momento en que se producen, reduciendo el tiempo entre la intrusión y la respuesta.
• Puntuación unificada de riesgos de identidad: Zscaler ITDR convierte los hallazgos dispersos en una única puntuación de postura rastreable sobre la que los equipos de TI y seguridad pueden informar a lo largo del tiempo.
• Integración nativa con Zero Trust Exchange: Los datos de postura y amenazas se introducen directamente en las políticas Zero Trust adaptativas, de modo que el riesgo de identidad influye en las decisiones de acceso en tiempo real en todo el Zscaler Zero Trust Exchange.
• Cobertura de identidades no humanas: Zscaler ITDR amplía la visibilidad a las cuentas de servicio, las claves de API y las identidades de carga de trabajo que las herramientas de identidad tradicionales suelen pasar por alto.

Solicite una demostración para descubrir cómo Zscaler ITDR puede ayudarle a mejorar su postura de seguridad de identidad.