Los guardias de la puerta nunca tenían una certeza absoluta sobre nadie. Tenían unos criterios.
¿Quién pide entrar? ¿A qué intentan acceder? ¿Qué pruebas deben aportar? ¿Y qué nivel de confianza es suficiente para dejarles pasar?
Esa pregunta no ha cambiado. Lo que sí ha cambiado es todo lo que la rodea: el volumen de interacciones digitales, la velocidad a la que se producen las transacciones, la sofisticación de las amenazas a la identidad y la rapidez con la que las empresas esperan una respuesta.
Ese fue uno de los temas centrales de una presentación reciente a cargo de Rubens De Souza, ingeniero de ventas de Aware , en el evento anual «IT Leaders Day 2026» de Daycoval.
El debate puso de relieve un cambio importante en la ciberseguridad: la identidad ya no puede considerarse como un simple proceso de autenticación en el perímetro de un sistema. Cada vez más, se trata de una decisión de seguridad dinámica que debe tomarse a lo largo de todo el recorrido del usuario.
El perímetro de seguridad no ha desaparecido. Se ha multiplicado.
Durante años, la ciberseguridad se basó en un enfoque perimetral: proteger la red, controlar quién accede a ella y defender lo que hay en su interior.
La computación en la nube, las aplicaciones móviles, las API y los servicios digitales cambiaron ese modelo. Pero el perímetro no desapareció.
Se multiplicó.
Hoy en día, esta puerta de seguridad puede integrarse prácticamente en cualquier producto, proceso y transacción: abrir una cuenta, acceder a información confidencial, recuperar una contraseña, autorizar un pago o modificar las credenciales de una cuenta.
Eso es, en definitiva, lo que describe el modelo «zero trust». La confianza no se concede simplemente porque alguien haya superado con éxito un primer control de acceso. La identidad y el riesgo deben seguir evaluándose a medida que evoluciona la interacción.
Lo que hace que la calidad de la decisión sobre la identidad sea cada vez más importante.
La seguridad de la autenticación depende de la calidad del proceso de registro
Una de las diferencias más importantes en materia de seguridad de la identidad es también una de las que más se tiende a pasar por alto: la identidad y la autenticación no son lo mismo.
La autenticación puede garantizar la continuidad. Puede demostrar que la persona que intenta acceder a una cuenta es la misma que está asociada a una credencial o dato biométrico registrado.
Lo que no puede hacer es solucionar una inscripción que haya sido objeto de un ataque.
Si un estafador consigue establecer con éxito una identidad robada o sintética durante el proceso de alta, cada autenticación posterior que se realice con éxito podría limitarse a confirmar la identidad que se registró inicialmente.
Por lo tanto, un sistema puede ser muy eficaz a la hora de responder a la pregunta: «¿Es esta la misma persona?».
Sin responder adecuadamente a la pregunta: «¿Quién era esta persona, en realidad?»
A medida que se hace cada vez más fácil crear «deepfakes», identidades sintéticas y documentos manipulados, proteger ese proceso inicial de establecimiento de la identidad cobra aún más importancia.
La biometría lee el cuerpo. La identidad cuenta la historia.
La biometría ofrece pruebas sólidas, ya que las características biométricas están vinculadas a una persona, y no a algo que esta sepa o posea. Sin embargo, un dato biométrico no constituye, por sí solo, una identidad.
Una comparación facial puede determinar si es probable que dos imágenes faciales correspondan a la misma persona. Liveness detection Puede ayudar a determinar si la muestra biométrica procede de una persona real y presente, en lugar de un «ataque de presentación» o un artefacto sintético.
La identidad requiere un contexto adicional.
¿A quién pertenece ese dato biométrico? ¿Qué documento o credencial respalda esa afirmación? ¿Se expidió esa credencial de forma legítima? ¿Tiene sentido la transacción? ¿Hay otras señales de riesgo que apunten a un fraude?
La capa biométrica y la capa de identidad fallan en distintos aspectos. Ese es el verdadero argumento a favor de la identidad multimodal y la coordinación biométrica.
Las organizaciones necesitan, cada vez más, combinar la comparación biométrica, la verificación de que la persona está viva, la verificación de documentos, la inteligencia de dispositivos y otras señales en función de las circunstancias de la transacción. El objetivo no es utilizar todas las señales en todo momento, sino aplicar la prueba adecuada en el momento oportuno.
La economía del fraude ha cambiado
Al mismo tiempo, la situación económica de los ataques a los sistemas de identidad ha cambiado radicalmente.
Antes, cometer un fraude requería mucho tiempo, conocimientos técnicos o trabajo manual. La IA generativa y los agentes automatizados, cada vez más eficaces, están reduciendo esas barreras.
Las imágenes sintéticas se pueden crear rápidamente. Las identidades se pueden construir a partir de combinaciones de información real y ficticia. Los sistemas automatizados pueden llevar a cabo ataques a una escala que sería imposible de mantener manualmente mediante operaciones de fraude realizadas por personas.
El atacante ya no tiene por qué robar necesariamente la identidad de otra persona. Cada vez es más frecuente que el atacante sea alguien que nunca ha existido. Esto cambia la ecuación defensiva.
A medida que se reduzca el coste de crear y probar ataques, las organizaciones deben dar por hecho que los sistemas de identidad se enfrentarán a una presión cada vez más persistente y automatizada.
Las parejas se convirtieron en un producto más. La defensa, no.
La tecnología de comparación biométrica ha avanzado enormemente. Las funciones de comparación de alta calidad están ampliamente disponibles y siguen ganando en rapidez y precisión.
Pero la comparación es solo una parte de la seguridad de la identidad. Un sistema de comparación determina si dos muestras biométricas parecen corresponder a la misma persona. No determina necesariamente si la muestra en sí misma es fiable.
Esa distinción cobra una importancia fundamental en la era de la IA generativa.
Incluso un sistema de reconocimiento facial extremadamente preciso podría llegar a identificar como válida una imagen sintética convincente si le llegaran, sin ser sometidas a verificación, imágenes manipuladas o introducidas de forma artificial.
Por eso, algunos de los aspectos más importantes que marcan la diferencia en la tecnología biométrica se están desplazando hacia las capas de protección que rodean el proceso de comparación: liveness detection, la detección de medios sintéticos, la detección de ataques de presentación y la prevención de inyecciones.
La pregunta ya no es simplemente: «¿Qué grado de precisión tiene tu sistema de comparación?».
También se trata de lo siguiente: «¿En qué medida puede tu sistema determinar si se debe confiar en las pruebas que llegan a ese comparador?»
No hay nada que sea al 100 %
Quizás el principio más importante en materia de seguridad de la identidad sea que no existe una certeza absoluta. Todos los sistemas se sitúan en algún punto de un continuo entre la seguridad y la facilidad de uso.
Exigir la máxima prueba en cada interacción podría aumentar la seguridad, pero también haría que muchas situaciones cotidianas resultaran lentas e innecesariamente complicadas. Por el contrario, exigir muy poca evidencia plantea el problema contrario.
Un cliente que consulte el saldo de su cuenta no debería tener que pasar necesariamente por el mismo proceso de verificación de identidad que alguien que realice una transferencia de una cantidad elevada de dinero, modifique datos importantes de la cuenta o recupere el control de una cuenta.
El objetivo no es la certeza, sino la duda mesurada. ¿Cuántas pruebas justifica esta operación en concreto?
Las interacciones de menor riesgo pueden requerir relativamente poca fricción. A medida que aumenta el riesgo, las organizaciones pueden introducir medidas de verificación más estrictas, señales biométricas adicionales u otras pruebas.
Es aquí donde la orquestación cobra especial importancia. En lugar de aplicar un único flujo de trabajo de identidad rígido a todos los usuarios y transacciones, las organizaciones pueden adaptar las tecnologías, los proveedores y las señales que se utilizan en función del nivel de riesgo que suponga cada caso.
La seguridad de la identidad se está convirtiendo en un problema de toma de decisiones
Este podría ser el mayor cambio que se está produciendo en el ámbito de la identidad digital.
El sector lleva años mejorando las distintas tecnologías: una mayor precisión en la comparación, una mejor verificación de documentos, mejores sistemas biométricos y una mejor detección del fraude. Esos avances siguen siendo esenciales. Sin embargo, cada vez más, el reto consiste en decidir cómo deben funcionar conjuntamente esas tecnologías.
¿Pueden las organizaciones reforzar la garantía cuando aumenta el riesgo? ¿Pueden incorporar nuevas funciones de detección de la presencia real o de fraude a medida que evolucionan las técnicas de ataque? ¿Pueden aplicar distintos niveles de verificación a las distintas transacciones? ¿Y pueden reconocer cuándo una coincidencia biométrica satisfactoria no es suficiente?
El perímetro de identidad moderno está presente en todas partes. Protegerlo requiere algo más que limitarse a comprobar si alguien ha superado la autenticación. Implica decidir continuamente qué nivel de prueba es suficiente para lo que esa persona está intentando hacer.
Los guardias de la puerta nunca tuvieron una certeza absoluta. Nosotros tampoco la tendremos. El objetivo es proporcionar a ese guardia pruebas más sólidas, defensas más eficaces y una forma más inteligente de decidir cuándo debe abrirse la puerta.
