Historia de IAM: las cuatro olas

Tres capas en una consola

En su primer día como responsable de IAM en un fabricante con treinta años de historia, Daniel abre las consolas de administración y encuentra tres cosas conviviendo. Una herramienta de aprovisionamiento que nadie recuerda haber instalado y que “siempre ha estado ahí”. Un proceso de revisión de accesos que empezó después de una auditoría externa y del que los jefes se quejan cada trimestre. Y un proyecto reciente para dar MFA a todo el mundo que no termina de arrancar. Al principio parece desorden. Una semana después lo ve de otra forma: cada una de esas tres cosas pertenece a una época distinta de la historia de IAM, y cada una respondió a la pregunta que se hacía el sector en su momento.

Para eso sirve conocer la historia. Sin ella, el IAM de una organización parece ruido. Con ella, ves capas, como los estratos de una roca, y puedes predecir con una precisión sorprendente qué problemas tiene hoy la organización y cuáles tendrá después.

Este artículo recorre las cuatro olas que llevaron a IAM de un modesto proyecto de ahorro en TI en los años noventa a la disciplina de seguridad de la identidad de hoy. Cada ola respondió a una crisis o a una presión nueva del entorno, y cada una dejó prácticas, productos y decisiones que todavía nos rodean. Una de las preguntas más reveladoras que puedes hacer al llegar a una organización nueva es, sencillamente: “¿en qué ola está esto?”.

Las cuatro olas de un vistazo

IAM creció en cuatro olas que se solapan: la optimización de TI, para recortar costes; el gobierno, para pasar auditorías; la seguridad, para frenar brechas, y la seguridad de la identidad, para tratar la identidad como un único plano de control. Ninguna sustituyó a la anterior; cada una se apoyó encima.

timeline
  accTitle: Cuatro olas de IAM desde 1990 hasta hoy
  accDescr: Línea de tiempo con cuatro olas sucesivas de IAM. La optimización de TI de 1990 a 2005 con SSO y aprovisionamiento básico, el gobierno de 2005 a 2015 con IGA y cumplimiento normativo, la seguridad de 2015 a 2022 con MFA, PAM y Zero Trust, y la seguridad de la identidad de 2022 hasta hoy con ITDR, identidades no humanas y agentes de IA.
  title Las cuatro olas de IAM (fechas aproximadas)
  1990-2005 : Ola 1, optimización de TI : SSO y aprovisionamiento básico
  2005-2015 : Ola 2, gobierno : IGA y cumplimiento normativo
  2015-2022 : Ola 3, seguridad : MFA, PAM y Zero Trust
  2022-hoy : Ola 4, seguridad de la identidad : ITDR, NHI y agentes de IA

Las herramientas de la primera ola siguen funcionando. Las de la segunda son la columna vertebral de los programas de cumplimiento actuales. Las de la tercera son el trabajo diario de un SOC moderno. La cuarta las reúne bajo un paraguas más amplio.

Vistas con suficiente distancia, todas las olas siguen el mismo patrón. Una crisis externa presiona a las organizaciones: costes, leyes nuevas, brechas, IA. Aparecen herramientas y prácticas nuevas para resolver lo que la ola anterior dejó abierto. Surgen fabricantes que se convierten en el símbolo del momento: Tivoli, SailPoint, Okta, CrowdStrike. Y unos años después la respuesta pasa a ser “lo normal”, mientras empieza a gestarse la siguiente crisis. Tener ese patrón en la cabeza ayuda a leer los titulares del sector con criterio. Cuando un analista anuncia “la nueva ola de X”, casi siempre describe algo que encaja en esos cuatro pasos.

Ola 1: optimización de TI (de 1990 a 2005, más o menos)

A finales de los noventa, las empresas medianas y grandes tenían un problema diario sencillo pero caro: los empleados tenían demasiados usuarios y contraseñas. Cada aplicación de negocio, el ERP, el correo, la intranet, el sistema de RR. HH., el de tickets, traía su propio inicio de sesión. Un empleado típico manejaba entre cinco y quince cuentas, con contraseñas que olvidaba continuamente.

La mesa de ayuda se convirtió en un cuello de botella. Los estudios de la época calculaban que entre el 30 y el 40 % de los tickets de soporte eran restablecimientos de contraseña, y Gartner y Forrester estimaban el coste de cada uno en 25 a 70 dólares de tiempo de personal. Una empresa de 5.000 personas podía gastar varios millones de dólares al año en lo que era, en el fondo, una tarea repetitiva.

Así que la conversación giraba en torno a la optimización de TI: bajar el coste de la mesa de ayuda y hacer más productivos a los usuarios. El inicio de sesión único permitía entrar una vez para llegar a muchas aplicaciones, primero con SSO web mediante cookies entre dominios y después con conectores de los fabricantes para las aplicaciones de negocio. El aprovisionamiento automático básico usaba scripts para crear cuentas en los sistemas principales cuando alguien entraba y desactivarlas cuando se iba. El restablecimiento de contraseña por autoservicio dejaba a los empleados cambiar su propia contraseña sin abrir un ticket, respondiendo a preguntas de seguridad como “¿cómo se llamaba tu primera mascota?”. Y los directorios centrales lo sostenían todo, con el Active Directory de Microsoft, que llegó con Windows 2000, marcando el patrón, y LDAP, que ya era estándar, como lenguaje de consulta. Los fabricantes de la época eran Microsoft con Active Directory, Sun con Sun Identity Manager para el aprovisionamiento empresarial, el Tivoli Identity Manager de IBM, el eDirectory de Novell, muy usado en mainframes y Unix, y el eTrust Admin de Computer Associates, una de las primeras suites de identidad.

Imagina un fabricante de electrodomésticos en 2002, con 3.000 empleados repartidos en cinco plantas. El director de TI entra en una reunión con dos cifras: “el año pasado gastamos 1,8 millones en la mesa de ayuda, y el 38 % de los tickets fueron restablecimientos de contraseña”. El director financiero pregunta qué piensan hacer. La respuesta es comprar Sun Identity Manager, poner en marcha el autoservicio de contraseñas y conectar todas las aplicaciones al directorio de la empresa. Tres años después los tickets han bajado un 60 %, el retorno es evidente y nadie cuestiona la inversión. Esa conversación, repetida en miles de empresas, pagó la primera ola.

La primera ola hizo lo que se propuso. Los tickets bajaron y la gente llegaba a sus aplicaciones con menos fricción. Pero dejó dos huecos enormes. No había gobierno: una vez concedido un acceso, nadie comprobaba si seguía haciendo falta, y la gente acumulaba privilegios al pasar de un equipo a otro, lo que hoy llamamos acumulación de privilegios. Y la seguridad era un añadido: a veces las contraseñas se guardaban sin un hash adecuado, el MFA no existía y las cuentas privilegiadas vivían en hojas de cálculo compartidas. Esos dos huecos impulsaron las dos olas siguientes. Una organización cuyo “programa de IAM” es hoy Active Directory, un script de aprovisionamiento y un portal para restablecer contraseñas sigue, en la práctica, en la primera ola. No es un insulto, y muchas funcionan bien así, pero no tienen una cobertura de gobierno ni de seguridad digna de ese nombre.

Ola 2: gobierno (de 2005 a 2015, más o menos)

A principios de los dos mil, una serie de escándalos contables, Enron en 2001 y WorldCom en 2002, hizo tambalear la confianza en la información financiera de las empresas de Estados Unidos. La respuesta legal fue la ley Sarbanes-Oxley de 2002, SOX, que obligaba a las empresas cotizadas a demostrar controles internos efectivos sobre sus sistemas financieros. Pronto llegaron otras presiones: HIPAA en la sanidad, Basilea II en la banca y, más tarde, el RGPD para la privacidad en Europa.

La pregunta cambió de un día para otro. Ya no era “¿cómo gastamos menos en la mesa de ayuda?”, sino “¿quién tiene acceso a qué sistemas financieros, quién lo aprobó y cuándo, sigue haciendo falta, puede alguien registrar y aprobar el mismo pago, que es un montaje de fraude de manual, y cómo le demostramos todo eso a un auditor externo?”. Las herramientas de la primera ola no podían responder, porque estaban hechas para crear cuentas, no para vigilarlas.

Nació una categoría nueva para responder a esas preguntas con pruebas: el IGA, gobierno y administración de identidades. Sus piezas se volvieron estándar. La certificación de accesos, en la que cada trimestre o cada semestre los jefes o los responsables de aplicación revisan los accesos de su gente y los aprueban o los retiran. Las solicitudes de acceso con flujos de aprobación, en las que cualquier acceso nuevo pasa por una petición, la aprobación del jefe y a veces la revisión del responsable de la aplicación. La separación de funciones, reglas que detectan combinaciones tóxicas de permisos, con “crear un proveedor y aprobar un pago” en SAP como la combinación clásica que perseguía SOX. La auditoría continua, un registro de cada cambio de acceso que se puede entregar a los auditores. Y el modelado de roles, agrupar permisos en roles de negocio como “analista contable” en lugar de gestionarlos uno a uno. SailPoint, fundada en 2005, lideró la categoría durante años con IdentityIQ; Aveksa, también de 2005 y comprada por RSA en 2013, fue pionera en la certificación de accesos; Courion se reposicionó en torno al riesgo de acceso; Oracle ofrecía Identity Manager dentro de su suite, y Saviynt, fundada en 2010, fue la primera en nacer pensando ya en la nube.

Cualquiera que trabajara en una empresa cotizada en esos años conoce las palabras “campaña de certificación”. Durante dos semanas o un mes, cada jefe recibía la lista de accesos de su equipo y tenía que aprobarlos o retirarlos línea a línea en una herramienta de IGA. Era tedioso, generaba resistencia, y muchos jefes acababan pulsando “aprobar todo” solo para terminar a tiempo. Esa experiencia tuvo dos efectos duraderos. El gobierno de identidades pasó a ser un proyecto serio dentro de TI, y ahí nacieron los programas de identidad modernos. Y el sector aprendió que certificarlo todo sin contexto no funcionaba demasiado bien, lo que sembró la semilla de las revisiones basadas en riesgo de la cuarta ola.

El IGA respondía muy bien a “¿quién tiene acceso a qué y por qué?”, pero dejaba sus propios huecos. No detectaba el mal uso: alguien con un acceso legítimo que abusaba de él no levantaba ninguna alarma, y la separación de funciones detectaba combinaciones tóxicas, no actividad maliciosa real. Estaba pensado para empleados, así que las cuentas de servicio, las identidades de máquina y los clientes externos quedaban fuera. Y la nube era un punto ciego, porque muchas plataformas de IGA tradicionales tenían problemas para conectarse a las aplicaciones SaaS que se extendían al mismo tiempo. La gran trampa de la segunda ola es creer que pasar la auditoría equivale a estar seguro. Una organización puede aprobar SOX cada año y sufrir aun así una brecha por credenciales filtradas; cumplir un control no es lo mismo que estar protegido.

Ola 3: seguridad (de 2015 a 2022, más o menos)

Entre 2013 y 2017, una oleada de brechas cambió la conversación en todo el sector. En Target, en 2013, se robaron 40 millones de tarjetas de crédito, y la entrada fueron las credenciales de un contratista de aire acondicionado. En la Oficina de Gestión de Personal de Estados Unidos, en 2015, quedaron expuestos 21,5 millones de registros de empleados federales, incluidos expedientes de habilitación de seguridad, mediante credenciales válidas robadas. En Anthem, en 2015, se llevaron 78,8 millones de historiales médicos tras un spear phishing dirigido a un administrador. En Equifax, en 2017, se vieron afectadas 147 millones de personas; el primer paso fue una vulnerabilidad de Apache Struts, pero el atacante se movió usando credenciales internas. Y en Marriott, que lo hizo público en 2018, quedaron expuestos los datos de 500 millones de huéspedes tras cuatro años de acceso persistente.

El patrón estaba claro: los atacantes ya no atravesaban el perímetro; conseguían credenciales e iniciaban sesión. Ni las herramientas de la primera ola ni las de la segunda estaban pensadas para eso. Al mismo tiempo, la nube y el trabajo remoto iban desgastando el perímetro de red, como contaba el artículo sobre los tipos modernos de identidad.

La conversación giró hacia la identidad como capa de seguridad. El MFA dejó de ser opcional para los administradores y pasó a ser obligatorio para todos, y plataformas como Duo, fundada en 2010, y Authy crecieron muy deprisa con notificaciones push, códigos de un solo uso y, poco a poco, FIDO y WebAuthn. La gestión del acceso privilegiado empezó a tratar las cuentas de administración como activos de enorme valor, con bóvedas, sesiones grabadas y rotación automática de contraseñas, y CyberArk, BeyondTrust y Delinea se convirtieron en los tres grandes. El proveedor de identidad se mudó a la nube como identidad como servicio, con Okta, fundada en 2009 y en bolsa desde 2017, a la cabeza junto al Azure AD de Microsoft, hoy Entra ID, que se convirtió en el proveedor de identidad por defecto del mundo Microsoft 365, y Ping Identity. Cisco compró Duo en 2018 por 2.350 millones de dólares, una señal de lo que valoraba el mercado esta categoría. Zero Trust recibió su definición formal cuando el NIST publicó la SP 800-207 en agosto de 2020, poniendo por escrito lo que Google y otros hacían desde 2014 con BeyondCorp. Y la federación moderna, primero SAML y luego OIDC, se volvió infraestructura crítica para conectar el mundo SaaS.

Lo que empezó como “añadamos MFA” acabó redefiniendo la forma de pensar la seguridad, y tres frases de esta ola siguen en todas partes: “la identidad es el nuevo perímetro”, “asume que ya te han comprometido” y “nunca confíes, verifica siempre”. La primera dice que la red ya no te protege. La segunda, que hay que diseñar como si el atacante ya estuviera dentro. La tercera, que la verificación no termina al iniciar sesión, sino que sigue en cada decisión.

La tercera ola subió mucho el listón, pero quedaron huecos. Detectar amenazas contra la identidad era algo inmaduro: tenías MFA, pero si alguien lo esquivaba con MFA bombing o con un kit de intermediario, el sistema no tenía por qué darse cuenta. Las identidades no humanas quedaron en segundo plano: la gestión del acceso privilegiado cubría a los administradores humanos, mientras las identidades de máquina, los workloads y los secretos en el código seguían siendo un campo de minas. Y las plataformas eran silos, con la gestión de accesos, el IGA y el acceso privilegiado vendidos como productos separados por fabricantes distintos que apenas se hablaban. En 2026, una organización que todavía no tiene MFA en todas sus cuentas privilegiadas ni una bóveda que funcione para las credenciales de administración va al menos diez años por detrás, y decirlo con datos es la base de muchas peticiones de presupuesto.

Ola 4: seguridad de la identidad (de 2022 a hoy, más o menos)

Estamos viviendo esta ola, así que lo que sigue es una lectura provisional más que historia asentada. La definen tres fuerzas. La primera son los ataques sofisticados contra la propia infraestructura de identidad: SolarWinds en 2020, Okta en 2022, Lapsus$, MOVEit en 2023, Snowflake en 2024. Los atacantes ahora van a por el proveedor de identidad, no solo a por los usuarios. La segunda es la explosión de identidades no humanas, workloads en la nube, microservicios y agentes de IA, que convierte la pregunta “¿quién es este usuario?” en “¿cuántas identidades de máquina tenemos y qué pueden hacer?”. La tercera es el ransomware convertido en industria, grupos profesionales que venden ransomware como servicio, donde el retorno de un ataque es tan alto que el gasto en defensa tiene que estar a la altura. Encima de eso, cada vez se espera más que la identidad no solo proteja, sino que también haga posible el negocio, abriendo canales nuevos, como la banca integrada en otras apps, los ecosistemas de plataforma y los agentes de IA al servicio de los clientes, en lugar de solo levantar barreras.

La cuarta ola está produciendo categorías que todavía no se han asentado pero que ya tienen nombre. El ITDR, la detección y respuesta a amenazas de identidad, el ojo automático sobre la capa de identidad al que Gartner puso nombre en 2022, que venden Microsoft Defender for Identity, CrowdStrike Falcon Identity, Silverfort y Semperis. El ISPM, la gestión de la postura de seguridad de la identidad, que da visibilidad continua del riesgo en la infraestructura de identidad (¿hay administradores ocultos?, ¿tickets falsificados en uso?, ¿hasta qué punto estamos expuestos?), de fabricantes como Wiz, Microsoft Entra Permissions Management y Sonrai. El identity fabric, una arquitectura que Gartner promueve desde 2021 y que intenta reunir la gestión de accesos, el IGA, el acceso privilegiado y el ITDR bajo un único plano de control con políticas y visibilidad coherentes, hoy parte de la estrategia de Okta, Ping, ForgeRock y SailPoint. Las passkeys a gran escala, con Apple, Google y Microsoft empujándolas para sustituir a las contraseñas y una adopción que crece deprisa entre los consumidores. Las plataformas de seguridad para identidades no humanas, una categoría nueva de empresas como Astrix, Token Security y Oasis Security que no hacen otra cosa. Y la identidad para agentes de IA, donde aún no hay estándar pero todos los grandes están construyendo algo.

Entre la tercera y la cuarta ola hay un cambio de tono sutil pero importante. La tercera era defensiva: la identidad es el perímetro y hay que protegerla. La cuarta añade una cara habilitadora: una identidad bien diseñada hace posibles cosas que antes no lo eran. Un banco puede ofrecer sus servicios dentro de la app de un comercio sin darle a ese comercio su base de clientes, solo claims firmados. Una empresa puede lanzar agentes de IA que actúen por sus clientes con permisos precisos y revocables. Varias organizaciones pueden compartir servicios en una misma plataforma mientras cada una conserva el control de sus datos. Eso es lo que hoy se entiende por “seguridad de la identidad”, o “identity-first security”.

Las olas se apilan en lugar de sustituirse, como los estratos de una roca, donde las capas más profundas siguen sosteniendo todo lo de encima.

No tiene sentido hablar de seguridad de la identidad si la organización todavía no tiene MFA para todos, ni de MFA si las altas y las bajas no se gestionan de forma automática. El orden importa.

Es pronto para saber qué dejará sin resolver la cuarta ola, pero ya se notan algunas tensiones. La complejidad se acumula, porque las organizaciones tienen herramientas de IAM de las cuatro olas funcionando a la vez, con conexiones frágiles entre ellas. La identidad de los agentes de IA es un problema nuevo sin respuestas maduras, y quien lo resuelva bien podría acabar siendo el SailPoint o el Okta de la próxima década. Y faltan profesionales: pocos entienden las cuatro olas a la vez, que es justo lo que este programa intenta formar.

Usar la historia en el trabajo

Conocer las olas es más que una curiosidad. Te da un diagnóstico rápido cuando llegas a una organización nueva, buscando unas pocas señales:

También te da un relato cuando tienes que justificar un proyecto ante un comité de dirección. “Hemos resuelto X, la ola anterior; ahora la presión competitiva, normativa o de seguridad nos obliga a resolver Y, la siguiente” convence más que una lista de funciones. Y te ayuda a ver lo que viene. Si la cuarta ola es la seguridad de la identidad, ¿qué vendrá después? Hay apuestas razonables: identidad descentralizada con carteras digitales, criptografía poscuántica en todas partes y gobierno federado de los agentes de IA. Quien empiece a diseñar ahora para esa quinta ola tendrá ventaja dentro de cinco años.

Resumen

Las cuatro olas cuentan una sola historia coherente. IAM nació para ahorrar dinero, maduró para contentar a los reguladores, se volcó en la seguridad cuando las brechas la obligaron y hoy se reorganiza en torno a un mundo en el que la identidad, humana, de máquina y de agente de IA, es el plano de control de todo. La primera ola se preguntaba cómo recortar costes de TI y respondió con SSO y aprovisionamiento. La segunda, cómo pasar auditorías, y respondió con IGA y certificaciones. La tercera, cómo frenar brechas, y respondió con MFA, gestión del acceso privilegiado y Zero Trust. La cuarta se pregunta cómo tratar la identidad como un único plano de control y está respondiendo con ITDR, gobierno de identidades no humanas e identity fabric. Ten presentes esas cuatro preguntas y unos minutos en cualquier organización te dirán dónde está, como descubrió Daniel en su primera semana.

Tres preguntas para ponerte a prueba

1. Como consultor de IAM visitas una gran empresa familiar de 2.000 empleados. Tienen Active Directory, restablecimiento de contraseña con preguntas de seguridad y un script de aprovisionamiento. ¿En qué ola están y qué priorizarías para los próximos 12 meses?
2. Tu director financiero te dice “pagamos SailPoint hace ocho años, ¿para qué necesitamos más herramientas de identidad?”. ¿Cómo le explicarías la diferencia entre el IGA (ola 2) y la seguridad de la identidad (ola 4) en menos de tres minutos?
3. Si tuvieras que apostar por lo que definirá la quinta ola de IAM, ¿cuál sería tu hipótesis y qué señales tempranas la confirmarían?