Dado que las amenazas basadas en la inteligencia artificial ponen a prueba los controles de seguridad tradicionales, las organizaciones necesitan un enfoque por capas para la protección de la identidad que combine la biometría, liveness detectiony la gestión adaptativa de riesgos.
Ningún control de seguridad es infalible. Las contraseñas pueden ser robadas. Los dispositivos pueden verse comprometidos. Los tokens de autenticación pueden ser secuestrados. Incluso los sistemas sofisticados de verificación de identidad pueden sufrir ataques diseñados para aprovechar debilidades específicas.
Esta realidad no es ninguna novedad para los responsables de ciberseguridad. Durante décadas, el principio de defensa en profundidad ha servido de guía para las arquitecturas de seguridad basadas en múltiples medidas de protección complementarias. En lugar de esperar que una sola tecnología impida todos los ataques, las organizaciones distribuyen los controles de seguridad entre sistemas, aplicaciones, redes y usuarios para reducir la probabilidad de que un único fallo dé lugar a una intrusión exitosa.
Sin embargo, a medida que la identidad digital se convierte en un objetivo cada vez más atractivo para los ataques, la defensa en profundidad debe evolucionar.
La proliferación de la IA generativa, los «deepfakes», las identidades sintéticas y el fraude automatizado está poniendo en tela de juicio las suposiciones sobre cómo las organizaciones establecen y mantienen la confianza. Una credencial válida, un dispositivo reconocido o una autenticación satisfactoria no garantizan necesariamente que la persona que está detrás de una interacción sea quien dice ser.
Para los responsables de seguridad e identidad, esto supone una importante oportunidad para replantearse cómo encaja la verificación de la identidad en una estrategia de seguridad más amplia y por capas, y cómo la biometría puede reforzar las defensas ya existentes.
Conocimientos avanzados sobre ciberseguridad
La defensa en profundidad es una estrategia de ciberseguridad que utiliza múltiples controles de seguridad complementarios para proteger los sistemas, los datos y las identidades. Su principio subyacente es sencillo: cuando una línea de defensa falla o se elude, siguen existiendo otros controles independientes para detectar, contener o prevenir un ataque.
Tradicionalmente, estas capas han incluido la seguridad de la red, la protección de los terminales, el cifrado, la gestión de accesos, la supervisión y la respuesta ante incidentes. Cada una de ellas aborda diferentes vulnerabilidades y contribuye a la seguridad general de la organización.
Sin embargo, una defensa en profundidad eficaz no consiste simplemente en implementar más tecnología. El verdadero objetivo es crear capas que se refuercen entre sí sin compartir las mismas vulnerabilidades. Añadir varios controles que se basen en supuestos o señales idénticos puede dar la impresión de una protección más sólida sin reducir el riesgo de forma significativa.
Esta distinción es especialmente importante para la seguridad de la identidad, ya que una sola cuenta comprometida puede proporcionar a un atacante acceso a múltiples sistemas y recursos. Por lo tanto, una estrategia moderna de defensa en profundidad debe tener en cuenta no solo si se ha autenticado una identidad, sino también el grado de confianza que ofrece dicha autenticación, si la interacción en sí misma es fiable y si esa confianza sigue siendo suficiente a medida que cambia el riesgo.
Por qué la identidad se ha convertido en una capa fundamental de defensa
El perímetro de seguridad tradicional se ha ampliado hasta abarcar la infraestructura en la nube, los trabajadores remotos, las aplicaciones móviles, los dispositivos conectados y los ecosistemas de terceros. En este entorno, la identidad actúa cada vez más como un punto de control crítico que regula el acceso a los recursos sensibles. Este cambio se refleja en los principios de seguridad de «confianza cero», que rechazan la confianza implícita basada en la ubicación en la red o en el acceso previo. En su lugar, las decisiones de acceso se basan en la identidad, el estado del dispositivo, el contexto y otras señales de seguridad relevantes.
Sin embargo, la identidad plantea sus propios retos.
Un atacante puede disponer de credenciales legítimas obtenidas mediante phishing. Un dispositivo comprometido puede parecerle familiar a un sistema de autenticación. Una voz o un vídeo generados por IA y muy convincentes pueden imitar a una persona de confianza durante un proceso de verificación de identidad.
Estas situaciones ponen de manifiesto una distinción fundamental entre verificar una credencial y verificar a la persona que la utiliza. Ambas cosas son importantes, pero no son intercambiables.
A medida que las amenazas a la identidad se vuelven cada vez más sofisticadas, las organizaciones necesitan formas de evaluar si la persona que interactúa con un sistema es auténtica, se corresponde con la identidad que afirma tener y está autorizada para realizar la acción solicitada. Aquí es donde la biometría puede aportar un nivel adicional de seguridad.
Cómo la biometría refuerza la defensa en profundidad
Las tecnologías biométricas utilizan características biológicas o de comportamiento, como los rasgos faciales, las huellas dactilares o los patrones del iris, para facilitar la verificación y la autenticación de la identidad.
Cuando se aplica de forma adecuada, la biometría aporta pruebas que se diferencian de los factores de autenticación tradicionales basados en el conocimiento o en la posesión. Por ejemplo, una entidad financiera puede reconocer el dispositivo de un cliente y validar sus credenciales, pero es posible que esas señales por sí solas no basten para determinar si es el titular legítimo de la cuenta quien está iniciando una transacción de alto valor. La verificación biométrica puede ayudar a proporcionar una mayor confianza al comparar a la persona que se presenta con una identidad previamente establecida.
Sin embargo, la biometría no debe considerarse una solución de seguridad independiente.
Las características biométricas no son secretos, y los sistemas biométricos tienen sus propias limitaciones de rendimiento y posibles puntos vulnerables. Su eficacia depende de la implementación, la integridad de la captura, la resistencia a los ataques y la arquitectura de seguridad circundante.
Dentro de la defensa en profundidad, la tecnología biométrica resulta más valiosa cuando se combina con controles complementarios, como la autenticación multifactorial, la inteligencia de dispositivos, el análisis de comportamiento, la supervisión de transacciones y las políticas de acceso basadas en el riesgo. En conjunto, estas tecnologías pueden ayudar a las organizaciones a responder a una pregunta más significativa: ¿Existen pruebas suficientes para confiar en esta interacción?
Liveness Detection: Generar confianza en la presencia humana
La comparación biométrica puede ayudar a determinar si las características biométricas se corresponden con una identidad registrada. Sin embargo, la comparación por sí sola no permite determinar si la muestra biométrica procede de una persona viva que participa en una interacción legítima. Los atacantes pueden intentar engañar a los sistemas biométricos utilizando fotografías, vídeos reproducidos, máscaras realistas, «deepfakes» o contenidos multimedia manipulados digitalmente.
Liveness detection, incluida la detección de ataques de presentación (PAD), ofrece una importante medida de seguridad adicional al ayudar a distinguir las presentaciones biométricas auténticas de los intentos de suplantación física. La detección de ataques de inyección (IAD) también es esencial, ya que pueden introducirse soportes maliciosos directamente en un flujo de trabajo de verificación, en lugar de presentarlos físicamente ante una cámara. Se trata de retos de seguridad relacionados, pero distintos, y las arquitecturas de identidad eficaces deben tener en cuenta ambos.
Para las organizaciones que se enfrentan a fraudes sofisticados impulsados por la inteligencia artificial, la combinación de la comparación biométrica, liveness detection, la integridad de la captura y otras señales de riesgo puede reforzar de manera significativa la garantía de identidad. El objetivo no es dar por sentado que cualquier tecnología pueda garantizar la autenticidad de una persona, sino dificultar la suplantación de identidad y, al mismo tiempo, mejorar la calidad de las pruebas en las que se basan las decisiones de seguridad.
Implementación de una defensa coordinada de la identidad
Uno de los retos que plantea la implementación de la defensa en profundidad es que las capas de seguridad pueden quedar fragmentadas. Las organizaciones pueden contar con diferentes proveedores de sistemas biométricos, proveedores de autenticación, tecnologías de detección de fraudes y soluciones de verificación de identidad desplegadas en distintas unidades de negocio, aplicaciones y recorridos del cliente. Aunque cada solución pueda cumplir su función prevista de manera eficaz, sin una coordinación adecuada, las organizaciones pueden tener dificultades para aplicar políticas coherentes, evaluar el riesgo combinado o adaptarse cuando cambian las amenazas.
Es aquí donde la coordinación biométrica cobra especial importancia.
La verdadera coordinación biométrica ofrece un marco para coordinar las tecnologías biométricas, los proveedores y los flujos de trabajo de identidad dentro de un proceso de toma de decisiones más amplio. En lugar de tratar cada tecnología de verificación como un punto de control aislado, las organizaciones pueden determinar qué capacidades aplicar en función de la transacción, el usuario, el entorno y el nivel de garantía requerido.
Por ejemplo, el inicio de sesión de un cliente de bajo riesgo puede requerir una verificación adicional mínima, mientras que un intento sospechoso de recuperación de cuenta o un pago de gran cuantía podrían activar una autenticación biométrica más rigurosa, liveness detection, y comprobaciones adicionales contra el fraude.
Esto permite que la defensa en profundidad sea más adaptable. Los controles de seguridad pueden introducirse allí donde aporten mayor valor, en lugar de aplicar la máxima restricción a cada interacción del usuario. Igualmente importante es que la orquestación puede favorecer la flexibilidad de los proveedores y reducir la dependencia de una única tecnología. Si un modelo, algoritmo o proveedor concreto pierde eficacia frente a una técnica de ataque emergente, las organizaciones pueden evaluar alternativas y ajustar los flujos de trabajo sin necesidad de reconstruir toda su infraestructura de identidad.
Cómo desarrollar una estrategia de seguridad de identidad por capas más eficaz
Para los CISO, los responsables de identidad y los directivos de riesgos, incorporar la biometría en la defensa en profundidad requiere algo más que seleccionar el algoritmo de mayor rendimiento. Requiere comprender claramente en qué ámbitos la garantía de identidad es más relevante y cómo los distintos controles contribuyen a la situación general de riesgo de la organización.
Esa estrategia debería basarse en varias consideraciones:
- Diseña teniendo en cuenta el riesgo, no la tecnología. Determina en qué casos es necesaria una verificación adicional de la identidad —por ejemplo, en el proceso de alta, la recuperación de cuentas, el acceso privilegiado o las transacciones de alto valor— y adapta los requisitos de verificación en consecuencia.
- Da prioridad a los controles complementarios. Evalúa cómo la comparación biométrica, liveness detection, la inteligencia de los dispositivos y otras señales de seguridad se combinan para hacer frente a los distintos vectores de ataque.
- Diseña pensando en la adaptabilidad. Opta por arquitecturas que permitan cambios en las políticas, actualizaciones e innovaciones tecnológicas, así como flexibilidad en cuanto a proveedores, a medida que surjan nuevas amenazas y capacidades.
- Evalúa conjuntamente la seguridad y la facilidad de uso. Una mayor protección no tiene por qué implicar automáticamente más dificultades. Los flujos de trabajo basados en el riesgo pueden ayudar a equilibrar los requisitos de seguridad con la experiencia del usuario.
- Haz que el rendimiento y la gobernanza sean cuantificables. Supervisa los casos de fraude, las tasas de aceptación y rechazo erróneos, el abandono por parte de los usuarios, las medidas de protección de la privacidad y la eficacia de los controles a lo largo de todo el ciclo de vida de la identidad.
Estas consideraciones refuerzan además la importancia de realizar pruebas independientes, establecer una gestión clara de los datos y garantizar una protección adecuada de la información biométrica sensible. En última instancia, la eficacia de una estrategia de seguridad por capas depende de la capacidad de una organización para comprender, gestionar y mejorar continuamente sus mecanismos de defensa.
El futuro de la defensa en profundidad es adaptativo
La creciente sofisticación de los ataques a la identidad no hace que los principios tradicionales de ciberseguridad queden obsoletos. Al contrario, hace que su aplicación sea aún más importante.
La defensa en profundidad sigue siendo una base sólida para la seguridad empresarial, ya que reconoce una realidad esencial: ningún control por sí solo puede hacer frente a todas las amenazas, y las organizaciones deben prever la posibilidad de que las medidas de protección individuales fallen.
Lo que está cambiando es el papel que desempeña la identidad dentro de esa arquitectura.
A medida que los atacantes mejoran su capacidad para imitar a los usuarios legítimos, las organizaciones necesitan métodos más sólidos para verificar la identidad de las personas que hay detrás de las interacciones digitales. La biometría, respaldada por la tecnología « liveness detection » y coordinada a través de flujos de trabajo de identidad adaptativos, puede aportar una parte importante de esa evidencia.
Para los responsables de seguridad, la oportunidad no consiste simplemente en añadir otra capa de seguridad, sino en crear una arquitectura de seguridad de identidades en la que los controles adecuados funcionen de forma conjunta, evolucionen al ritmo de las amenazas emergentes y ofrezcan el nivel adecuado de garantía cuando más importa.
La defensa más sólida no es aquella que tiene más capas, sino aquella en la que esas capas funcionan juntas de forma eficaz.
Preguntas frecuentes
¿Qué es la defensa en profundidad en ciberseguridad?
La defensa en profundidad es un enfoque de ciberseguridad que utiliza múltiples controles de seguridad complementarios para proteger los sistemas de información, las aplicaciones, las redes y las identidades. Su objetivo es reducir la dependencia de una única medida de seguridad y limitar el impacto de un posible fallo.
¿De qué manera contribuye la autenticación biométrica a la defensa en profundidad?
La autenticación biométrica aporta pruebas relacionadas con la identidad basadas en las características biológicas o conductuales de una persona. En combinación con la seguridad de los dispositivos, la autenticación multifactorial, liveness detection y la supervisión de riesgos, puede reforzar la confianza en que es la persona correcta la que accede a un sistema.
¿Cuál es la relación entre el modelo «zero trust» y la defensa en profundidad?
La defensa en profundidad se centra en la implementación de múltiples medidas de seguridad, mientras que el modelo «zero trust» hace hincapié en eliminar la confianza implícita y evaluar las solicitudes de acceso en función de la identidad, el contexto y el riesgo. Ambos enfoques se complementan entre sí en las arquitecturas de seguridad modernas.
¿Por qué es importante la coordinación biométrica para la seguridad por capas?
La orquestación biométrica ayuda a las organizaciones a coordinar las tecnologías biométricas, las señales de identidad y los flujos de trabajo de seguridad. Permite la verificación basada en el riesgo, la aplicación coherente de las políticas, la flexibilidad en la elección de proveedores y la capacidad de adaptar las defensas de identidad a medida que evolucionan las amenazas.
