Cuando los líderes de seguridad hablan de riesgos de identidad, casi siempre se centran en los humanos: usuarios privilegiados, cuentas comprometidas, amenazas internas. Sin embargo, para la mayoría de las empresas, el riesgo mayor ya se ha desplazado, y no tiene nada que ver con los empleados.

Las identidades no humanas (NHI) —cuentas de servicio, claves API, tokens OAuth, claves SSH, bots RPA, credenciales de cargas de trabajo en la nube y agentes de IA— son la superficie de ataque de más rápido crecimiento y peor gobernada en la empresa moderna. La industria comienza a tomar conciencia de lo que esto implica.

Costo medio global de una filtración de datos: 4,88 millones de dólares — IBM Cost of a Data Breach 2024

El alcance del problema

Las cifras son contundentes. La investigación de Rubrik Zero Labs sitúa la proporción de identidades no humanas frente a humanas en 45:1 en la empresa moderna. Para entornos cloud-native y DevOps, la investigación de Entro Labs H1 2025 eleva esa cifra a 144:1.

Estas identidades no son pasivas: se autentican continuamente, acceden a sistemas sensibles y poseen permisos que serían señalados de inmediato si los tuviera una cuenta humana. Sin embargo, la mayoría de las NHI existen en un vacío de gobierno: el 8% de las identidades empresariales no tienen propietario en los sistemas de RR.HH. (el creador se fue, pero la cuenta y su acceso completo permanecen); el 47% de las NHI tienen más de un año sin rotación de credenciales; y dos tercios de las empresas han sufrido una brecha a través de una NHI comprometida, según datos recientes del sector.

La amenaza no es teórica. Un solo token robado de un registro CI/CD, una exportación de soporte o un correo electrónico de un socio puede propagarse por CRM, almacenamiento y entornos de producción, con tokens clonados y trabajos en segundo plano operando de forma invisible mientras no saltan alertas. Los registros se dividen entre el SIEM y el sistema del proveedor, y la atribución se convierte en un ejercicio de meses de señalamientos por responsabilidades compartidas.

El multiplicador de la IA agentiva

La IA agentiva introduce una dimensión cualitativamente nueva al riesgo de las NHI. A diferencia de las cuentas de servicio estáticas, los agentes de IA son autónomos: pueden realizar secuencias de acciones, llamar a APIs externas, crear subagentes, escribir y ejecutar código y adquirir nuevos permisos dinámicamente en tiempo de ejecución.

En un marco de gobierno de NHI tradicional, una clave API tiene un alcance definido que puede inventariarse y auditarse. Un agente de IA que opera con acceso delegado puede escalar dinámicamente ese alcance de formas que ningún documento de política anticipó. El radio de explosión es sustancialmente mayor y la huella de auditoría, mucho más delgada.

Las organizaciones que despliegan agentes de IA —y cada vez son más— se enfrentan a una brecha de gobierno urgente. La mayoría ni siquiera tiene un marco formal para la gestión del ciclo de vida de las NHI, y menos aún para las identidades de los agentes de IA.

"La historia culpará a la industria por fingir que los bots estaban fuera del alcance." — Chris Ray, Field CTO de Seguridad y Riesgo, GigaOm

La dimensión de cumplimiento

Más allá del riesgo de brecha, la proliferación de NHI crea un problema de cumplimiento que se agrava. Marcos normativos como SOC 2, ISO 27001, PCI DSS y NIST 800-53 incluyen requisitos de gobierno de acceso que, en teoría, aplican tanto a identidades no humanas como humanas. En la práctica, la mayoría de los procesos de auditoría se centran en usuarios humanos y dejan a las NHI en una zona gris.

Esa zona gris se está reduciendo. Los reguladores y auditores preguntan cada vez más sobre el gobierno de las identidades de máquina, y respuestas como "usamos un gestor de credenciales" o "revisamos las cuentas de servicio periódicamente" ya no son suficientes. Las organizaciones que no pueden demostrar gobierno del ciclo de vida, responsabilidad del propietario y aplicación del principio de mínimo privilegio para las NHI están acumulando exposición tanto en seguridad como en cumplimiento.

Más allá del gestor de credenciales: cómo es un gobierno maduro de NHI

Tradicionalmente, la respuesta del mercado al riesgo de NHI se ha limitado al almacenamiento de credenciales. Las plataformas PAM guardan secretos, restringen el acceso y registran sesiones. Es un punto de partida necesario, pero solo aborda el problema de "asegurar la credencial en reposo". No responde a las preguntas de gobierno: ¿qué NHI existen en mi entorno híbrido, incluidas las gestionadas por la plataforma que controla el proveedor? ¿Quién es responsable de cada una? ¿Cuál es su justificación comercial? ¿Tiene privilegios excesivos para su función real? ¿Cuándo se rotó por última vez y cuál es la política de rotación? ¿Qué sucede cuando la aplicación o el proyecto propietario se desmantela?

Un modelo maduro de gobierno de NHI responde a todas estas preguntas con aplicación de políticas, gestión automatizada del ciclo de vida y capacidad de auditoría continua. GigaOm Research, en colaboración con One Identity, ha esbozado un marco de madurez que lleva a las organizaciones desde una gestión reactiva y aislada de NHI hasta un gobierno de identidad unificado que abarca identidades humanas y no humanas bajo el mismo marco de políticas y auditoría.

Sobre los autores y colaboradores

Rob Kraczek es estratega global en One Identity. Con más de tres décadas de experiencia en seguridad de identidades, asesora a clientes de los principales sectores industriales y gubernamentales en estrategia de seguridad de identidades y contribuye a definir la dirección futura del portfolio de One Identity.

Chris Ray es Field CTO de Seguridad y Riesgo en GigaOm. Aporta una amplia experiencia asesorando a proveedores de seguridad y empresas, desde equipos pequeños hasta grandes instituciones financieras, en los sectores sanitario, financiero y tecnológico.

One Identity es líder en seguridad de identidades unificada, con la confianza de 80 de las empresas del Fortune 100, más de 500 millones de identidades bajo gestión activa y más de 20 años de experiencia en seguridad de identidades.