¿Qué es una identidad digital?
Una identidad digital es la versión en línea de la identidad analógica de una persona. Incluye múltiples cuentas, credenciales, derechos de acceso, comportamientos y patrones de uso asociados con ese individuo.
Al estar representada y documentada en línea, una identidad digital reúne un conjunto de características que se autentican y almacenan digitalmente, y que se asocian con una persona identificable de forma única. Se usa para autenticar a los usuarios cuando se necesita una prueba de identidad validada, ya sea para acceder a servicios en línea o para realizar transacciones u operaciones.
Al igual que las identidades analógicas, la identidad digital debe cumplir ciertos requisitos para considerarse válida. Tres características principales son:
Una identidad digital debe ser personal e intransferible (es decir, solo la puede acceder y usar la persona a la que pertenece).
Una identidad digital debe ser reutilizable (es decir, una vez que se asigna, se puede usar donde se necesite).
Una identidad digital debe ser fácil de usar (es decir, estar disponible y ser utilizable donde se requiera, sin necesitar conocimientos técnicos).
Una identidad digital se puede usar para:
- Acceder a cuentas existentes
- Establecer credibilidad para acceder a servicios
- Abrir una cuenta nueva
A menudo, una identidad digital hace visible la presencia de una persona o entidad dentro de aplicaciones, redes, sistemas on-premises o entornos en la nube. Puede ser una persona, una organización, una aplicación o un dispositivo.
Los identificadores únicos y los patrones de uso hacen posible detectar identidades digitales con fines de seguridad.
Los dueños de sitios web y los anunciantes también las usan para identificar y rastrear a los usuarios. En estos casos, la identidad digital se utiliza para personalizar, lo que hace posible mostrar contenido y publicidad altamente segmentados.
Identidades digitales vs usuarios
Los usuarios y las identidades digitales tienen una relación de uno a muchos en cuanto a cuentas. Sin embargo, a diferencia de una identidad digital (las características únicas que conforman la identidad en línea de una persona), un usuario es la persona o entidad que opera o interactúa con un recurso y las actividades asociadas.
Por ejemplo, en un entorno en la nube, una Identidad contiene la contraseña, mientras que el usuario contiene el nombre, el correo electrónico y otras propiedades del usuario. En este caso, el usuario puede tener una identidad digital asociada. Sin embargo, para acceder a la mayoría de las aplicaciones y los servicios, los usuarios deben tener o crear una identidad digital.
Tipos de identidades digitales
Las identidades digitales se agrupan en tres categorías principales: humanas, de máquina y en la nube.
Identidad digital humana
Una identidad digital humana brinda acceso a distintos recursos. En un entorno empresarial, algunos ejemplos de identidad digital humana son:
- Clientes
- Empleados
- Socios
- Proveedores
Identidad digital de máquina
Una identidad de máquina se usa para autenticar usuarios no humanos, como aplicaciones, servidores y software, así como dispositivos móviles, de Internet de las cosas (IoT) y otros equipos, en una red o un sistema.
Identidad digital en la nube
Una identidad digital en la nube se usa para dar acceso a recursos y servicios de cómputo basados en la nube. Puede usarse para máquinas o personas.
Se pueden usar distintas identidades digitales según la actividad que se realice. Algunos ejemplos son:
- Identidad digital ciudadana: Los gobiernos la usan para dar a la ciudadanía acceso a sistemas en línea. Algunos usos de la identidad digital ciudadana son:
- Identidad digital bancaria electrónica: Las instituciones financieras usan la identidad digital para que los clientes accedan a la información de sus cuentas y realicen transacciones (por ejemplo, pagar servicios o negociar valores).
- Identidad digital de empleado: La asigna el empleador y se usa para distintos fines, como:
- Identidad digital de compras en línea o de cliente: Se usa para que los clientes puedan hacer compras seguras en línea. Además, ayuda a los comercios a administrar los datos de clientes para:
- Solicitar documentos oficiales
- Encontrar un número de identificación personal
- Presentar declaraciones de impuestos
- Acceder a la red interna
- Entrar a un edificio de oficinas
- Usar otros recursos de la empresa
- Mejorar el servicio al cliente
- Personalizar campañas de marketing
- Evitar fraudes al detectar patrones inusuales
- Dar seguimiento a transacciones, preferencias e información demográfica de los clientes
Hay cuatro categorías principales de uso de la identidad digital: una credencial, un personaje, un usuario y una reputación.
Identidad digital como personaje
Cuando la identidad digital funciona como personaje, una persona crea una identidad para distinguirse en línea. En este caso, la identidad digital es una forma de autoexpresión basada en descripciones, comentarios, interacciones y actividades creadas por el usuario. La identidad digital como personaje se construye en gran medida con elementos de apps personales, como perfiles de citas, redes sociales y metaverso.
Identidad digital como credencial
Cuando se usa como credencial, la identidad digital se basa en información específica para validar a un usuario. La identidad digital como credencial depende en gran medida de documentos emitidos por el gobierno, como actas de nacimiento, licencias de conducir, pasaportes o números de seguro social. Según el contexto, las identificaciones por correo electrónico también pueden entrar en esta categoría.
Identidad digital como reputación
La identidad digital como reputación se deriva de entidades confiables y autorizadas. Este tipo de identidad digital contiene información sobre el historial de una persona en un ámbito específico, como historial laboral, formación académica, puntajes de crédito y antecedentes penales.
Identidad digital como usuario
Una identidad digital basada en el rol de una persona como usuaria de recursos y servicios en línea se apoya en información relacionada con su comportamiento digital. Los elementos de una identidad digital basada en el usuario incluyen historial de navegación, compras en línea, registros a webinars y correos electrónicos abiertos.
Identidades digitales vs. cuentas
Una identidad digital y una cuenta se parecen, pero no son lo mismo. Ambas incluyen información de identificación personal (PII) y datos confidenciales. También sirven para que los usuarios accedan a recursos en línea (por ejemplo, una aplicación, una plataforma, una red o un sitio web). Fuera de eso, no comparten nada más.
Una cuenta es un tipo de identidad digital, pero no representa toda la presencia en línea de una persona. Por lo general, los usuarios tienen varias cuentas (por ejemplo, correo y red del trabajo, correo y red personales, sitios web y servicios en la nube).
Atributos de la identidad digital
Los atributos de la identidad digital determinan la titularidad. Estos atributos pueden abarcar desde credenciales y nombres legales hasta el historial de navegación y datos de ubicación. Los datos de atributos de la identidad digital se dividen en tres categorías:
- Acumulados (por ejemplo, historial de transacciones o expedientes médicos)
- Asignados (por ejemplo, número de Seguro Social o custodia)
- Inherentes (por ejemplo, fecha de nacimiento o huella digital)
Identificadores de identidad digital
Los identificadores de identidad digital son los datos que conforman una identidad digital. El identificador asociado a una identidad digital puede variar según el uso que se le dé (por ejemplo, para acceder a una red corporativa, navegar en un sitio de comercio electrónico o iniciar sesión en una cuenta bancaria). Los identificadores de identidad digital pueden incluir:
- Biometría (por ejemplo, huella dactilar, escaneo de retina o escaneo facial)
- Fechas de nacimiento
- Actividad de navegación
- Direcciones de correo electrónico
- Identificadores emitidos por el gobierno (por ejemplo, números de seguro social, números de licencia de conducir y números de pasaporte)
- Direcciones IP
- Historial de compras
- Historial de búsquedas
- Nombres de usuario y contraseñas
Vectores de ataque a la identidad digital
A los ciberdelincuentes no les faltan tácticas creativas para vulnerar identidades digitales. Aunque suelen preferir las identidades privilegiadas, las cuentas no privilegiadas también son objetivos valiosos. Entre los vectores de ataque a la identidad digital que usan los ciberdelincuentes se incluyen los siguientes.
El abuso de las funciones de autoservicio es un vector de ataque frecuente para robar una identidad digital. Los cibercriminales aprovechan la opción de “Olvidé mi contraseña” al adivinar contraseñas y restablecer el acceso mediante identidades falsas.
Los cibercriminales crean cuentas señuelo para estudiar cómo funcionan los sistemas internos antes de lanzar un ataque. Parecen cuentas legítimas y, por lo general, se usan solo para reconocimiento, no para ejecutar el ataque.
El credential stuffing aprovecha la tendencia de los usuarios a reutilizar contraseñas en varias cuentas en línea. En este tipo de ataque, se usa información robada de identidad digital para intentar entrar a otras cuentas. A menudo se automatiza con bots.
Los atacantes explotan las configuraciones incorrectas porque dejan brechas en la seguridad que se convierten en puntos de entrada. La explotación de vulnerabilidades aprovecha fallas en los sistemas como puerta de entrada para tomar el control de una cuenta.
El password spraying es un vector de ataque contra la identidad digital que usa fuerza bruta, probando nombres de usuario y contraseñas comunes, para suplantar la identidad digital de una persona y obtener acceso no autorizado a sistemas o servicios.
Los ataques de Acceso privilegiado se lanzan con credenciales robadas a usuarios con acceso privilegiado o que se obtienen mediante escalamiento de privilegios o movimiento lateral, para lograr acceso y control sobre varias cuentas.
La ingeniería social abarca un amplio rango de tácticas de ataque que manipulan a los usuarios para que compartan su información personal, por ejemplo, suplantar a las autoridades, hacerse pasar por un amigo o colega, o fingir ser representante de una institución financiera. El objetivo del robo de identidad digital es capturar información de acceso, como credenciales o contraseñas de un solo uso.
Algunos ejemplos de tácticas de ingeniería social que se usan para robar identidades digitales incluyen:
- Phishing, un tipo común de ingeniería social que atrae a las víctimas por correo electrónico.
- Smishing, lo mismo que el phishing, pero con mensajes de texto en lugar de correo electrónico.
- Spear phishing y whaling, también variantes de phishing dirigidas a usuarios específicos (spear phishing) o a ejecutivos (whaling).
Protege las identidades digitales
Estas son algunas prácticas recomendadas para proteger la identidad digital.
Implementa un repositorio central de identidad digital
Obtén visibilidad e insights al usar un repositorio central de identidad digital como fuente central para almacenar y gestionar los datos de identidad de todos los usuarios (por ejemplo, personas, sistemas, dispositivos y fuentes de datos). Asegúrate de incluir también el shadow IT.
Aplica el principio de privilegio mínimo
Revisa y ajusta de forma continua los derechos y roles de identidad digital de cada usuario para mantenerlos alineados con las necesidades reales. La identidad digital de cada persona debe dar exactamente el nivel de acceso correcto, a los recursos correctos, en el momento correcto.
Los administradores de TI deben usar una cuenta estándar para cualquier actividad que no requiera privilegios de forma explícita, así reduces la exposición de las cuentas con privilegios. Esto ayuda a mitigar amenazas, ya que la mayoría del malware depende de los privilegios para moverse lateralmente.
Implementa controles de acceso sólidos
Los controles de seguridad de acceso de identidad digital deben basarse en roles y en la gestión de directivas. Úsalos para asignar acceso a datos y aplicaciones solo cuando se necesite, y para administrar y monitorear el aprovisionamiento y desaprovisionamiento. Además, implementa la segregación de funciones (SoD) para evitar combinaciones de acceso riesgosas.
Monitorea cada identidad digital para detectar riesgos
El acceso de identidad digital debe monitorearse de forma continua, con registro de las actividades de todos los usuarios según su nivel de acceso. Así puedes generar alertas de forma proactiva cuando se detecte actividad sospechosa.
Realiza evaluaciones de identidad digital
Analiza cada identidad digital para identificar riesgos de acceso y de segregación de funciones (SoD) por usuario, rol y proceso de negocio. Esto también ayuda a detectar las actualizaciones de acceso necesarias, establecer líneas base de comportamiento y orientar la optimización de las políticas y los controles de seguridad.
Elimina privilegios no usados u obsoletos
Si una identidad digital queda obsoleta o tiene privilegios sin uso, debes dar de baja la cuenta y revocar cualquier privilegio no usado o innecesario.
Capacita a los usuarios sobre los vectores de amenaza de la identidad digital
El robo de identidades digitales pone en riesgo todos los sistemas y recursos. Educar a los usuarios sobre el riesgo de identidad digital ayuda a reducir el riesgo de pérdida o robo. La capacitación y la integración de la concientización sobre seguridad en la cultura corporativa pueden proteger las identidades digitales y ayudar a reforzar las superficies de ataque.
Refuerza los sistemas
La protección de la identidad digital también se logra al mantener los sistemas reforzados, como parte de los esfuerzos generales de seguridad. Al reforzar los sistemas, se deben eliminar las aplicaciones sin uso u obsoletas y sus privilegios asociados, además de cerrar los puertos innecesarios o de riesgo.
Instala todas las actualizaciones y los parches a tiempo
La protección de la identidad digital se fortalece al eliminar vulnerabilidades del sistema causadas por software o firmware desactualizados. Instalar actualizaciones y parches a tiempo mejora la postura de seguridad base y minimiza la superficie de ataque.
Identidad digital: una oportunidad y una amenaza
La sustitución acelerada de la identidad analógica de los usuarios por una identidad digital avanza a un ritmo vertiginoso, pese a los riesgos. Además de las organizaciones, los gobiernos recurren cada vez más a la identidad digital como alternativa a las opciones analógicas.
El éxito de la identidad digital depende del uso eficaz de las herramientas de Ciberseguridad existentes, junto con nuevas soluciones diseñadas específicamente para enfrentar estos desafíos. Entender cómo funciona la identidad digital y conocer sus fortalezas y debilidades ayuda a proteger esta tecnología tan poderosa.