Los guardias de la puerta nunca tenían una certeza absoluta sobre nadie. Tenían unos criterios.
¿Quién pide entrar? ¿A qué intentan acceder? ¿Qué pruebas deben aportar? ¿Y qué grado de confianza es suficiente para dejarles pasar?
Esa pregunta no ha cambiado. Lo que sí ha cambiado es todo lo que la rodea: el volumen de interacciones digitales, la velocidad a la que se producen las transacciones, la sofisticación de las amenazas de « Identidad » y la rapidez con la que las empresas esperan una respuesta.
Ese fue uno de los temas centrales de una presentación reciente a cargo de Rubens De Souza, ingeniero de ventas de Aware , en el evento anual «IT Leaders Day 2026» de Daycoval.
El debate puso de relieve un cambio importante en la ciberseguridad: la « Identidad » ya no puede considerarse un simple proceso de autenticación en el perímetro de un sistema. Cada vez más, se trata de una decisión dinámica Seguridad que debe tomarse a lo largo de toda la experiencia del usuario.
El perímetro de « Seguridad » no desapareció. Se multiplicó.
Durante años, la ciberseguridad se basó en un enfoque perimetral: proteger la red, controlar quién accede a ella y defender lo que hay en su interior.
La computación en la nube, las aplicaciones móviles, las API y los servicios digitales cambiaron ese modelo. Pero el perímetro no desapareció.
Se multiplicó.
Hoy en día, esta puerta de seguridad puede integrarse prácticamente en cualquier producto, proceso y transacción: abrir una cuenta, acceder a información confidencial, recuperar una contraseña, autorizar un pago o modificar las credenciales de una cuenta.
Eso es lo que, en última instancia, describe el concepto de « Confianza » (cero tolerancia). Confianza no se concede simplemente porque alguien haya superado con éxito un límite inicial. Identidad y el riesgo deben seguir evaluándose a medida que evoluciona la interacción.
Lo que hace que la calidad de la decisión sobre el « Identidad » cobre cada vez más importancia.
La seguridad de la autenticación depende de la calidad del proceso de registro
Una de las diferencias más importantes en Identidad Seguridad es también una de las que más se pasan por alto: Identidad y la autenticación no son lo mismo.
La autenticación puede garantizar la continuidad. Puede demostrar que la persona que intenta acceder a una cuenta es la misma que está asociada a una credencial o dato biométrico registrado.
Lo que no puede hacer es solucionar una inscripción que haya sido objeto de una intrusión.
Si un estafador consigue registrar con éxito un « Identidad » robado o sintético durante el proceso de alta, cada autenticación satisfactoria posterior podría limitarse a confirmar el « Identidad » que se había registrado inicialmente.
Por lo tanto, un sistema puede ser muy eficaz a la hora de responder a la pregunta: «¿Es esta la misma persona?».
Sin responder adecuadamente a la pregunta: «¿Quién era esta persona, en primer lugar?»
A medida que deepfakes, las identidades falsas y los documentos falsificados son cada vez más fáciles de crear, proteger ese proceso inicial de creación de una Identidad se vuelve aún más importante.
La biometría lee el cuerpo. Identidad cuenta la historia.
La biometría aporta pruebas sólidas, ya que las características biométricas están vinculadas a una persona, y no a algo que esta sepa o posea. Sin embargo, un dato biométrico no constituye, por sí solo, un « Identidad ».
Una comparación facial permite determinar si es probable que dos imágenes faciales correspondan a la misma persona. La detección de «prueba de vida facial » puede ayudar a determinar si la muestra biométrica procede de una persona real y presente, en lugar de un ataque de presentación o un artefacto sintético.
Identidad Requiere más contexto.
¿A quién pertenece ese dato biométrico? ¿Qué documento o credencial respalda esa afirmación? ¿Se expidió esa credencial de forma legítima? ¿Tiene sentido la transacción? ¿Hay otras señales de riesgo que apunten a un caso de « Fraude »?
La capa biométrica y la capa « Identidad » fallan en distintos aspectos. Ese es el verdadero argumento a favor de la gestión de identidades multimodal Identidad y la coordinación biométrica.
Las organizaciones necesitan, cada vez más, combinar la comparación biométrica, prueba de vida facial, la verificación de documentos, la inteligencia de dispositivos y otras señales en función de las circunstancias de la transacción. El objetivo no es utilizar todas las señales en todo momento, sino aplicar la prueba adecuada en el momento oportuno.
La economía de « Fraude » ha cambiado
Al mismo tiempo, la rentabilidad de los ataques contra los sistemas de « Identidad » ha cambiado radicalmente.
Fraude antes requerían mucho tiempo, conocimientos técnicos o trabajo manual. La « IA » generativa y los agentes automatizados, cada vez más eficaces, están reduciendo esas barreras.
Las imágenes sintéticas se pueden crear rápidamente. Las identidades se pueden construir a partir de combinaciones de información real y ficticia. Los sistemas automatizados pueden llevar a cabo ataques a una escala que sería imposible de mantener manualmente mediante operaciones de « Fraude » (ataques de suplantación de identidad) realizadas por personas.
El atacante ya no tiene por qué robar el Identidad de otra persona. Cada vez es más frecuente que el atacante sea alguien que nunca ha existido. Esto cambia la ecuación defensiva.
A medida que se reduzca el coste de crear y probar ataques, las organizaciones deben dar por hecho que los sistemas de « Identidad » se enfrentarán a una presión cada vez más persistente y automatizada.
Las parejas se convirtieron en un producto más. La defensa, no.
La tecnología de comparación biométrica ha avanzado enormemente. Hoy en día se dispone de sistemas de comparación de alta calidad, que son cada vez más rápidos y precisos.
Pero la comparación es solo una parte de Identidad Seguridad . Un sistema de comparación determina si dos muestras biométricas parecen corresponder a la misma persona. No determina necesariamente si la muestra en sí misma es fiable.
Esa distinción cobra una importancia fundamental en la era de la IA generativa.
Incluso un sistema de reconocimiento facial extremadamente preciso podría llegar a identificar como válida una imagen sintética convincente si le llegaran, sin ser sometidas a verificación, imágenes manipuladas o introducidas de forma fraudulenta.
Por eso, algunos de los aspectos más importantes que marcan la diferencia en la tecnología biométrica se están desplazando hacia las capas de defensa que rodean la comparación: detección de « prueba de vida facial », detección de medios sintéticos, detección de ataques de presentación y prevención de inyecciones.
La pregunta ya no es simplemente: «¿Qué grado de precisión tiene tu sistema de comparación?».
También es: «¿En qué medida puede tu sistema determinar si se debe confiar en las pruebas que llegan a ese comparador?»
No hay nada que sea al 100 %
Quizá el principio más importante de Identidad Seguridad sea que no existe una certeza absoluta. Cada sistema se sitúa en algún punto de un continuo entre Seguridad y la usabilidad.
Exigir pruebas exhaustivas en cada interacción podría aumentar la seguridad, pero también haría que muchas gestiones rutinarias resultaran lentas e innecesariamente complicadas. Por el contrario, exigir muy pocas pruebas plantea el problema contrario.
Un cliente que consulte el saldo de su cuenta no debería enfrentarse necesariamente a las mismas dificultades Identidad que alguien que realice una transferencia de una gran cantidad de dinero, modifique datos importantes de la cuenta o recupere el control de una cuenta.
El objetivo no es la certeza, sino la duda mesurada. ¿Cuántas pruebas justifica esta operación en concreto?
Las interacciones de menor riesgo pueden requerir relativamente poca fricción. A medida que aumenta el riesgo, las organizaciones pueden introducir verificaciones más rigurosas, señales biométricas adicionales u otras pruebas.
Es aquí donde la orquestación cobra especial importancia. En lugar de aplicar un único flujo de trabajo rígido Identidad a todos los usuarios y transacciones, las organizaciones pueden adaptar las tecnologías, los proveedores y las señales que se utilizan en función del nivel de riesgo que entrañe cada caso.
Identidad Seguridad se está convirtiendo en un problema de toma de decisiones
Este podría ser el mayor cambio que se está produciendo en el ámbito del « Identidad » digital.
El sector lleva años mejorando las distintas tecnologías: una mejor correspondencia, una mejor verificación de documentos, mejores sistemas biométricos y una mejor detección de la « Fraude ». Esos avances siguen siendo esenciales. Sin embargo, cada vez más, el reto consiste en decidir cómo deben funcionar conjuntamente esas tecnologías.
¿Pueden las organizaciones reforzar la seguridad cuando aumenta el riesgo? ¿Pueden incorporar nuevas capacidades de detección de « prueba de vida facial » o « Fraude » a medida que evolucionan las técnicas de ataque? ¿Pueden aplicar distintos niveles de verificación a las diferentes transacciones? ¿Y pueden reconocer cuándo una coincidencia biométrica satisfactoria no es suficiente?
El perímetro moderno Identidad está presente en todas partes. Protegerlo requiere algo más que limitarse a comprobar si alguien ha superado la autenticación. Implica decidir continuamente qué nivel de prueba es suficiente para lo que esa persona está intentando hacer.
Los guardias de la puerta nunca tuvieron una certeza absoluta. Nosotros tampoco la tendremos. El objetivo es proporcionar a ese guardia pruebas más sólidas, defensas más eficaces y una forma más inteligente de decidir cuándo debe abrirse la puerta.
