Las agencias federales han realizado importantes inversiones en tecnologías destinadas a establecer, verificar y proteger la identidad. Desde la comparación biométrica y liveness detection hasta la verificación de documentos y la autenticación digital, estas capacidades desempeñan un papel cada vez más importante en la seguridad nacional, la protección de las fronteras, el acceso al mercado laboral y la prestación de servicios a los ciudadanos.
Sin embargo, a medida que se han ido extendiendo las tecnologías de identidad, también ha aumentado la complejidad de su gestión.
A menudo, diferentes organismos, departamentos y programas implementan sistemas de identificación para dar respuesta a necesidades operativas específicas. Un programa de seguridad fronteriza puede recurrir al reconocimiento facial para verificar la identidad de los viajeros, mientras que un organismo encargado de las prestaciones sociales utiliza la verificación de identidad a distancia para evitar inscripciones fraudulentas. Otro sistema puede facilitar la identificación biométrica para el programa « Sector de Seguridad Pública » o garantizar un acceso seguro al personal gubernamental.
Cada inversión puede tener una finalidad legítima. El problema surge cuando estas tecnologías funcionan de forma independiente, con distintos proveedores, flujos de trabajo y políticas, y con una visibilidad limitada del entorno de identidades en su conjunto.
El resultado es un conjunto cada vez mayor de funciones relacionadas con la identidad, sin una estrategia coherente para gestionarlas.
Para los responsables federales encargados de modernizar las infraestructuras, reforzar la seguridad y sacar el máximo partido a unos recursos limitados, añadir otra solución puntual no es necesariamente la respuesta. Lo que se necesita es una forma más eficaz de conectar, gestionar y adaptar las tecnologías ya existentes.
Los costes ocultos de una infraestructura de identidad fragmentada
La fragmentación no es exclusiva del ámbito gubernamental, pero la complejidad de las operaciones federales hace que sus consecuencias sean especialmente significativas. Las agencias deben llevar a cabo misiones muy diversas, operar bajo estrictos requisitos normativos y de seguridad y, a menudo, mantener sistemas heredados que no pueden sustituirse de la noche a la mañana. Los ciclos de contratación pública, la evolución de las amenazas y los requisitos tecnológicos específicos de cada misión pueden complicar aún más la modernización.
Con el paso del tiempo, estas circunstancias pueden dar lugar a un entorno en el que las capacidades biométricas se implementen de forma independiente, en lugar de gestionarse como parte de una arquitectura de identidad coordinada. Esto plantea retos que van más allá de los costes de integración.
Cuando las tecnologías de verificación funcionan de forma aislada, resulta más difícil establecer políticas de seguridad coherentes, evaluar el rendimiento en todos los sistemas o introducir rápidamente nuevas funcionalidades. Además, los organismos pueden llegar a depender de proveedores concretos, lo que limita su capacidad de respuesta cuando un algoritmo no funciona correctamente o surgen nuevas amenazas.
Pensemos en un programa gubernamental que utilice el reconocimiento facial para la verificación remota de la identidad. Si los estafadores empiezan a utilizar «deepfakes» más sofisticados o ataques de inyección, es posible que la agencia tenga que introducir medidas de « liveness detection » más estrictas o señales de riesgo adicionales. En el marco de una arquitectura rígida, llevar a cabo ese cambio podría requerir un esfuerzo considerable en materia de desarrollo, pruebas y contratación.
El mismo reto se plantea en lo que respecta al rendimiento operativo. Sin una visibilidad centralizada, las agencias pueden tener dificultades para comprender dónde se producen los fallos de verificación, qué tecnologías ofrecen los mejores resultados o dónde se producen fricciones innecesarias que ralentizan a los usuarios legítimos.
La fragmentación no solo dificulta la gestión de los sistemas de identidad, sino que también puede ralentizar su mejora.
De las soluciones puntuales a la coordinación biométrica
La coordinación biométrica ofrece un enfoque diferente.
En lugar de considerar las distintas tecnologías biométricas como componentes aislados, la coordinación biométrica proporciona una capa de control común para gestionar la forma en que interactúan dentro de los flujos de trabajo de verificación de identidad.
Esto puede incluir tecnologías como el reconocimiento facial, la comparación de huellas dactilares, liveness detection, la verificación de documentos y otros indicadores de identidad o de riesgo. Mediante la coordinación, los organismos pueden determinar qué capacidades se utilizan, en qué condiciones y cómo sus resultados contribuyen a una decisión sobre la identidad. Es importante destacar que la coordinación biométrica va más allá de la simple conexión de sistemas a través de API. Se trata de crear un entorno gestionable en el que los flujos de trabajo, las políticas y las opciones tecnológicas puedan ajustarse a medida que cambian las necesidades operativas. Para los organismos federales, este enfoque aporta varias ventajas importantes.
Mayor visibilidad y una gestión coherente
Una capa de orquestación compartida puede ofrecer a los responsables de las agencias una mayor visibilidad sobre el rendimiento de las tecnologías biométricas en todos los flujos de trabajo compatibles, incluidos los resultados de la verificación, los patrones de fallo, los tiempos de procesamiento y otras métricas operativas. Además, brinda la oportunidad de gestionar las políticas de identidad de forma más coherente, en lugar de mantener configuraciones independientes en sistemas desconectados entre sí.
Esto no implica que todos los programas gubernamentales deban aplicar medidas de seguridad idénticas. Las distintas misiones siempre tendrán requisitos diferentes. En cambio, la coordinación permite establecer una gobernanza y una supervisión comunes, al tiempo que permite que cada programa mantenga los controles adecuados.
Flexibilidad sin dependencia de un proveedor
No hay ningún algoritmo ni proveedor biométrico que ofrezca el mejor rendimiento en todos los entornos o casos de uso. Una tecnología adecuada para la verificación de identidad en aeropuertos con un gran volumen de pasajeros puede no ser la opción óptima para la inscripción de ciudadanos a distancia o la identificación biométrica a gran escala.
La orquestación ofrece a las agencias una mayor flexibilidad para seleccionar y combinar tecnologías en función de los requisitos de la misión, evaluar alternativas e introducir nuevas capacidades sin necesidad de rediseñar sistemas de identidad completos. Esa flexibilidad cobra especial importancia a medida que avanzan las tecnologías biométricas y evolucionan los métodos de ataque.
Decisiones sobre identidad basadas en el riesgo
No todas las interacciones relacionadas con la identidad conllevan el mismo nivel de riesgo. Una comprobación rutinaria de identidad puede requerir un proceso de verificación distinto al de una transacción de prestaciones de alto riesgo, la recuperación de una cuenta sensible o el acceso a un sistema gubernamental restringido.
Mediante la orquestación, las agencias pueden diseñar flujos de trabajo que se adapten en función de las señales de riesgo disponibles y los niveles de garantía requeridos. Las interacciones de menor riesgo pueden llevarse a cabo mediante una verificación simplificada, mientras que los escenarios de mayor riesgo pueden dar lugar a controles biométricos adicionales, liveness detection o una revisión humana. El objetivo es aplicar las medidas de seguridad adecuadas allí donde sean necesarias, sin suponer una carga innecesaria para todos los usuarios legítimos.
Un camino más práctico hacia la modernización de la identidad federal
Quizá la ventaja más importante de la orquestación sea que la modernización no siempre tiene por qué empezar por sustituir la tecnología existente.
Para las agencias que gestionan sistemas críticos para su misión, los cambios a gran escala en la infraestructura pueden resultar costosos, llevar mucho tiempo y provocar interrupciones operativas. Una estrategia de coordinación puede facilitar la modernización gradual, conectando las capacidades existentes cuando sea técnicamente viable e introduciendo nuevas tecnologías a medida que evolucionen los requisitos.
Este enfoque ya se refleja en la forma en que las agencias están planificando sus futuras inversiones. La Oficina de Aduanas y Protección Fronteriza de EE. UU. (CBP) se está preparando para licitar un contrato de desarrollo de aplicaciones por un valor de hasta 50 millones de dólares que podría integrar la tecnología biométrica tanto en las aplicaciones nuevas como en las ya existentes en toda la agencia, junto con la inteligencia artificial, el análisis de datos y las capacidades móviles. A medida que las agencias llevan a cabo iniciativas como esta, una estrategia de coordinación puede ayudar a garantizar que las nuevas capacidades biométricas refuercen una arquitectura de identidad coordinada, en lugar de convertirse en otro sistema independiente.
Este enfoque también se ajusta a la orientación general de las directrices federales sobre identidad digital. La norma NIST SP 800-63-4 hace hincapié en la gestión de riesgos, la garantía de la identidad, la prevención del fraude y la evaluación continua de los sistemas de identidad digital. La orquestación no sustituye por sí misma el cumplimiento de estos requisitos, pero puede proporcionar una base arquitectónica para implementar y gestionar los controles pertinentes en entornos de identidad complejos.
Una modernización satisfactoria también requiere una gobernanza clara de los datos, medidas de protección de la privacidad, normas de interoperabilidad y responsabilidad en las decisiones relativas a la identidad. Una capa de coordinación común debería reforzar estas prácticas, en lugar de convertirse en otro silo.
La modernización va más allá de la tecnología
Las agencias federales seguirán sometidas a presión para mejorar los servicios, reducir el fraude, reforzar la seguridad nacional y funcionar de manera eficiente con recursos limitados.
Para cumplir esas expectativas no bastará con adquirir tecnologías biométricas cada vez más sofisticadas. Será necesario contar con la capacidad de gestionar esas tecnologías como parte de una estrategia coordinada, que ofrezca visibilidad sobre el rendimiento, coherencia en la aplicación de las políticas y flexibilidad para adaptarse sin tener que reconstruir la infraestructura una y otra vez.
La cuestión para los responsables gubernamentales ya no es simplemente qué tecnología biométrica implantar a continuación, sino si su arquitectura de identidad les permite utilizar eficazmente las tecnologías de las que disponen, incorporar otras mejores cuando sea necesario y tomar decisiones con seguridad en misiones cada vez más complejas.
El futuro de la seguridad de la identidad en la administración pública no definirá en función del número de sistemas que implementen los organismos, sino de la inteligencia con la que dichos sistemas colaboren entre sí.
