La identidad ya no basta: la verificación continua del dispositivo para una seguridad en tiempo real

La identidad sigue siendo la columna vertebral de muchas arquitecturas de seguridad, pero hoy esa columna está agrietándose bajo nuevas presiones: phishing avanzado, kits que proxyan autenticaciones en tiempo real y modelos de trabajo dispersos que multiplican vectores de riesgo. Un nombre de usuario y una contraseña, incluso validados con MFA, ya no garantizan por sí solos que la conexión sea segura.

El problema no es únicamente que falle la autenticación, sino que las señales que validan una sesión rara vez se reevalúan durante su vida útil. Un token de sesión emitido tras superar MFA puede ser interceptado y reutilizado por un atacante; desde la perspectiva del servicio, ese token es indistinguible del legítimo. Por eso el marco de Zero Trust propuesto por instituciones como NIST recomienda evaluar también la postura del dispositivo al tomar decisiones de acceso: NIST SP 800-207.

En la práctica muchas organizaciones se quedan en la validación puntual: identidad verificada, MFA OK y sesión iniciada hasta la expiración del token. Ese enfoque deja una zona ciega post-autenticación donde cambios en el endpoint —desactivación del control antivirus, parches pendientes, hardware no autorizado— pueden convertir una sesión inicialmente legítima en una puerta de entrada para el atacante.

La evidencia empírica refuerza la urgencia: los informes de incidentes siguen señalando a credenciales robadas como factor clave en una proporción significativa de brechas. Verizon, en su informe anual, demuestra cómo el abuso de identidades sigue dominando la superficie de ataque y por qué es necesario complementar la verificación de identidad con controles contextuales en tiempo real: Verizon DBIR.

La solución práctica que va más allá de la verificación puntual pasa por unir identidad y salud del dispositivo en decisiones continuas de acceso. La verificación continua del dispositivo obliga a que el acceso dependa no sólo de quién se autentica, sino desde qué se autentica y en qué estado operativo se encuentra ese dispositivo. Tecnologías como la evaluación continua de acceso (Continuous Access Evaluation) permiten revocar o ajustar privilegios mientras la sesión está activa: más sobre CAE.

Esto tiene implicaciones concretas para los equipos de seguridad: las políticas de acceso deben ser capaces de distinguir entre un endpoint corporativo gestionado y uno personal o comprometido, deben integrar señales de EDR/MDM con el sistema de identidad, y deben aplicar controles proporcionales que eviten bloqueos innecesarios sin renunciar a la seguridad. Atacar este problema exige integración entre identidad y endpoint, así como automatización para reaccionar en tiempo real.

No todo es tecnológico: hay costes y retos operativos. Vigilar continuamente el estado de dispositivos plantea preocupaciones privacy/legales en entornos BYOD y requiere procesos claros de consentimiento y límites de telemetría. Además, muchas aplicaciones legacy no soportan mecanismos modernos de control de sesión, lo que obliga a estrategias híbridas que incluyan segmentación de red, microsegmentación y reducción del uso de protocolos inseguros.

Para los equipos de seguridad que deben priorizar acciones hoy, las recomendaciones prácticas incluyen inventariar aplicaciones críticas y sus vectores de acceso, desplegar pruebas pilotos de verificación continua en un subconjunto controlado de usuarios, exigir autenticadores resistentes al phishing (FIDO2/WebAuthn) cuando sea posible, acortar la vida útil de tokens privilegiados y conectar señales de EDR/MDM al motor de decisiones de acceso para habilitar respuestas automatizadas ante degradación de la postura del endpoint.

En resumen, la identidad sigue siendo necesaria pero ya no suficiente. La defensa moderna requiere que la decisión de permitir o limitar acceso combine quién, cómo y desde qué se conecta el usuario, y que esa decisión sea reevaluable durante toda la sesión. Quienes adopten un modelo que integre identidad y verificación continua del dispositivo reducirán significativamente el valor operativo de credenciales robadas y tokens interceptados, dificultando la vida de los atacantes profesionales.