La explosión de la identidad no humana

Las identidades no humanas (NHI), incluidas las claves API, las cuentas de servicio, los tokens, los certificados y los agentes de IA, superan actualmente a las identidades humanas en entornos empresariales en una proporción aproximada de 82 a 1; sin embargo, la mayoría de las herramientas, procesos y marcos de gobernanza de seguridad se diseñaron para personas. Las máquinas se autentican con secretos, no con contraseñas ni solicitudes de autenticación multifactor (MFA), y proliferan a la velocidad del software, mientras que las organizaciones aún las gestionan a la velocidad humana. La acción recomendada es: inventariar todas las NHI de su entorno, asignar a cada una un propietario designado, aplicar el principio de mínimo privilegio, reemplazar los secretos estáticos de larga duración con credenciales de corta duración que roten automáticamente y automatizar la desactivación para que, al retirar un servicio, también se retiren sus credenciales.

Respuesta rápida: ¿Qué es la explosión de identidades no humanas y por qué es importante?

La explosión de credenciales de máquina se refiere a la rápida acumulación de credenciales de máquina en entornos empresariales, incluyendo claves API, cuentas de servicio, tokens OAuth, certificados TLS, claves SSH, roles IAM en la nube e identidades de agentes de IA, que ahora superan ampliamente en número a las cuentas humanas. En la mayoría de las organizaciones, las máquinas superan en número a las personas en una proporción de 82 a 1. Esto es importante porque estas credenciales son la superficie de ataque preferida por los atacantes: no requieren autenticación multifactor (MFA), no tienen un proceso de desvinculación de recursos humanos, no tienen un mecanismo de caducidad y, por lo general, se les otorgan permisos excesivos. Cuando una credencial de máquina se ve comprometida, el atacante hereda todo su acceso, a menudo acceso administrativo a sistemas de producción, sin ningún patrón de comportamiento humano que active la detección. El entorno de cumplimiento normativo de 2026 ha acentuado esta urgencia: PCI DSS 4.0 (Requisitos 8.6.1-8.6.3, de obligado cumplimiento desde marzo de 2025) exige explícitamente una gestión estricta de las cuentas de aplicaciones y sistemas, y la reducción de la duración de los certificados TLS (200 días actualmente, 47 días en 2029) significa que la automatización de certificados ya no es opcional.

¿Qué es una identidad no humana?

Una identidad no humana es una credencial digital utilizada por software en lugar de una persona. Un ser humano demuestra su identidad con una contraseña y, posiblemente, una huella dactilar. El software no puede hacer eso, por lo que utiliza un secreto: un token, una clave API, un certificado o una clave. El sistema receptor verifica el secreto y otorga el acceso. Los tipos comunes de identidad no humana incluyen:

• Cuentas de servicio: credenciales que permiten que una aplicación se conecte a una base de datos, una cola de mensajes u otro servicio sin necesidad de que un usuario inicie sesión.
• Claves API y tokens OAuth: Secretos que autorizan a una aplicación a acceder a los datos o la funcionalidad de otra. Por ejemplo, una herramienta SaaS que lee registros de su CRM.
• Roles de IAM en la nube: Estructuras de identidad en AWS, Azure o Google Cloud que permiten que una carga de trabajo (una función Lambda, una máquina virtual, un contenedor) acceda a otros recursos en la nube sin credenciales estáticas.
• credenciales de canalización CI/CD, Llaves SSHy certificados TLS: secretos que protegen las conexiones entre máquinas en los procesos de compilación e implementación.
• Agentes de IA: Sistemas de software autónomos que llaman a las API y realizan acciones por sí mismos. Esta es la categoría de NHI más reciente y de mayor crecimiento, y cada agente requiere su propia credencial.

El término identidad de máquina está estrechamente relacionado. La identidad de máquina suele referirse a las credenciales de dispositivos y cargas de trabajo; NHI es un término más amplio que también abarca las conexiones entre software y las credenciales de los agentes de IA. A efectos de gobernanza, considérelos como un único ámbito de problemas.

¿Por qué están creciendo tan rápido las identidades no humanas?

Los seguros nacionales de salud no son nuevos. Lo que cambió fue la velocidad a la que se multiplican. Tres factores lo provocaron.

1. Aplicaciones descompuestas con arquitectura nativa de la nube: Las aplicaciones modernas se ejecutan como muchos servicios pequeños en lugar de una base de código monolítica. Cada microservicio necesita su propia identidad para autenticarse con los demás. Con contenedores y KubernetesLos servicios se inician y se detienen continuamente, creando y descartando cientos de identidades al día para una sola aplicación.
2. La automatización crea credenciales mediante programación: Cada canalización, integración y script de infraestructura como código puede aprovisionar nuevas credenciales automáticamente. Algunos NHI incluso crean otros NHI, lo que agrava el problema de acumulación.
3. Los agentes de IA añadieron combustible exponencial: tapas españolas Agentes de inteligencia artificial No se limitan a responder preguntas. Realizan acciones, llaman a las API y acceden a sistemas confidenciales. Cada agente es una nueva identidad que requiere credenciales. Microsoft Según los informes, los clientes crearon más de un millón de agentes de IA personalizados en SharePoint y Copilot Studio en un solo trimestre. Muchos agentes cuentan con credenciales humanas delegadas, lo que dificulta atribuir las acciones a una persona específica.

El resultado: las máquinas crean identidades a la velocidad del software, mientras que las organizaciones las gestionan a la velocidad humana. Gartner prevé que la brecha entre el número de identidades creadas por máquinas y por humanos seguirá ampliándose a medida que se acelere la adopción de la nube y el despliegue de agentes de IA.

La brecha de gobernanza: ¿Por qué fallan los controles humanos en las máquinas?

El problema fundamental es que las herramientas de identificación se crearon para personas. Los sistemas nacionales de información sanitaria no se comportan como personas. Esta discrepancia genera tres problemas que se agravan mutuamente.

1. Los controles humanos no se aplican: MFA Se requiere un teléfono o una huella digital; una cuenta de servicio no requiere ninguno de los dos. Los procesos de inicio de sesión único (SSO) y de incorporación de recursos humanos gestionan a los empleados, no las claves API. Por lo tanto, las identidades nacionales de usuario (NHI) eluden los controles de seguridad más estrictos orientados al usuario.
2. No existe un inventario unificado: Cada plataforma mantiene su propio repositorio de credenciales. AWS tiene IAM, GitHub tiene tokens de acceso personal, las bases de datos tienen cuentas de servicio y las plataformas SaaS tienen tokens de integración. Por lo general, no existe una visión unificada de todos los NHI. Cuando la persona que creó un NHI cambia de rol o se marcha, la credencial persiste con acceso completo y sin propietario. Un estudio reveló que el 91 % de los tokens de exempleados permanecen activos tras su salida.
3. Los permisos se acumulan y nunca se revisan: Las identidades humanas suelen configurarse con amplios permisos de acceso, ya que su configuración es más rápida. Nadie revisa trimestralmente los permisos de las máquinas como lo hacen las revisiones de acceso a las cuentas humanas. Los estudios demuestran que el 97 % de las identidades humanas tienen privilegios excesivos, y el 88 % de las organizaciones solo consideran privilegiadas las cuentas humanas, ignorando por completo la vulnerabilidad de la identidad de la máquina.

Modelo de amenazas NHI: Cómo los atacantes explotan las identidades de las máquinas

Escenario de ataque	Cómo funciona	Por qué los seguros nacionales de salud lo hacen más fácil	Control primario
Robo de credenciales de repositorios de código	El atacante encuentra claves o tokens de API almacenados en un repositorio de código público o privado.	El 44% de los tokens se encuentran expuestos en confirmaciones de código, tickets y herramientas de chat; ningún cifrado de contraseña humana los protege.	Escaneo de secretos en pipelines de CI/CD; gestor de secretos en lugar de credenciales codificadas; rotación inmediata ante sospecha de exposición.
Explotación de cuentas huérfanas	El atacante descubre una cuenta de servicio o token que aún está activo pero no tiene propietario, monitoreo ni revisión actuales.	El 91% de los tokens de exempleados permanecen activos; las cuentas huérfanas no generan alertas de comportamiento porque no existe una línea base.	Desmantelamiento automatizado vinculado al ciclo de vida de la aplicación; escaneos de limpieza regulares que eliminan los NHI sin uso reciente ni propietario.
Movimiento lateral a través de cuentas de servicio con privilegios excesivos	El atacante compromete una cuenta de servicio y utiliza sus amplios permisos para acceder a otros sistemas.	El 97% de las NHI tienen privilegios excesivos; una sola cuenta de servicio comprometida puede acceder a bases de datos de producción, almacenes de secretos y API de administración.	Alcance de privilegios mínimos para cada NHI; acceso justo a tiempo para operaciones elevadas; segmentación de red que limita la accesibilidad de NHI.
Ataque a la cadena de suministro mediante la integración de terceros	Una herramienta de terceros comprometida o una integración SaaS utiliza los permisos NHI otorgados para acceder a los datos de la organización.	Las integraciones de terceros reciben NHI con acceso amplio y persistente; la organización no puede auditar la postura de seguridad del tercero.	Inventario de todos los sistemas nacionales de información sanitaria de terceros con revisiones de acceso; otorgar permisos al mínimo requerido; revocar integraciones que ya no se utilizan activamente.
Explotación de privilegios excesivos en agentes de IA	El atacante compromete o manipula un agente de IA con acceso de nivel administrativo, lo que permite la exfiltración de datos a velocidad de máquina.	A menudo, a los agentes se les proporcionan credenciales humanas delegadas o acceso amplio; la CSA descubrió que el 92 % de los profesionales de seguridad están preocupados por la seguridad de los agentes de IA.	Aplicar el principio de mínimo privilegio a la identidad de cada agente de IA; requerir supervisión humana para acciones de alto impacto; capacidad para deshabilitar cualquier agente de inmediato.

Categorías de riesgo de identidades no humanas: Las 10 principales identidades no humanas de OWASP

En 2025, OWASP publicó su Top 10 de Identidades No Humanas, clasificando los mayores riesgos de NHI según su impacto. Esta lista proporciona el marco de priorización más claro del sector para los programas de seguridad de NHI. El riesgo número uno es la desactivación incorrecta (credenciales huérfanas). La lista completa incluye:

1. Desvinculación inapropiada: credenciales que permanecen activas incluso después de que el servicio, proyecto o persona a la que pertenecen haya desaparecido.
2. Filtración secreta: tokens y claves que terminan en el código fuente, los registros, los archivos de configuración o las herramientas de chat.
3. Información sanitaria de terceros vulnerable: integraciones con herramientas externas que proporcionan acceso a la información sanitaria nacional (NHI) en su entorno.
4. Autenticación insegura: Dependencia de mecanismos de autenticación obsoletos o débiles para las conexiones entre máquinas.
5. Sistema Nacional de Salud (SNS) para personas con mayores privilegios: cuentas de servicio y tokens con más acceso del que requiere su función.
6. Configuraciones de implementación en la nube inseguras: Credenciales estáticas en pipelines de CI/CD en lugar de federación de identidades de carga de trabajo.
7. Secretos que perduran: Credenciales que nunca caducan, lo que maximiza el margen de tiempo del que dispone un atacante en caso de robo.
8. Aislamiento ambiental: La misma credencial se utiliza en los entornos de desarrollo, pruebas y producción.
9. Reutilización del NHI: La misma identidad o secreto se comparte entre diferentes servicios o componentes.
10. Uso humano del Sistema Nacional de Salud: personas que utilizan cuentas de servicio o credenciales de máquina para tareas manuales, lo que dificulta el seguimiento de la auditoría.

El patrón es consistente: casi todos los riesgos se remontan a secretos que se mantienen durante demasiado tiempo, privilegios excesivos y la falta de una forma segura de retirar una identidad. Solucionar estos tres problemas fundamentales resuelve la mayoría de los riesgos. Para un análisis detallado de cada riesgo y su solución específica, consulte nuestra publicación complementaria sobre los 10 principales riesgos de identidad no humana.

Cómo proteger las identidades no humanas

1. Descubra e inventaria: Realiza escaneos continuos en sistemas en la nube, SaaS y locales para encontrar cada NHI. Registra cada uno en un inventario central con un propietario designado. Sin visibilidad, ningún otro control tiene sentido.
2. Aplicar el mínimo privilegio: Asigne a cada NHI solo el acceso que requiere su función específica. Restrinja el alcance al mínimo: un punto final de API específico, un bucket de S3 específico, una tabla de base de datos específica. Realice auditorías periódicas y elimine los permisos innecesarios.
3. Sustituya los secretos de larga duración por credenciales de corta duración: Esta es la mejora de mayor impacto. El estándar abierto SPIFFE (con su implementación de referencia SPIRE) asigna a cada carga de trabajo un documento de identidad criptográfica (SVID) de corta duración, emitido como un certificado X.509 o JWT, que se renueva automáticamente (generalmente cada hora por defecto). Los SVID robados quedan inutilizados casi de inmediato. La norma NIST SP 800-207A recomienda explícitamente SPIFFE para la identidad de cargas de trabajo en entornos nativos de la nube.
4. Utilice el acceso justo a tiempo: Concede permisos para una tarea específica y revocalos en el momento en que finalice. Ningún permiso permanece inactivo, eliminando así el acceso permanente que los atacantes pueden aprovechar.
5. Automatizar el desmantelamiento: La desactivación de un servicio o aplicación debería activar automáticamente la revocación de sus identificadores de salud asociados. Vincule el ciclo de vida de los identificadores de salud con el ciclo de vida de las aplicaciones y los proyectos, del mismo modo que la baja de personal de RR. HH. activa la desactivación de las cuentas de empleados.
6. Supervise continuamente el comportamiento de NHI: Registra todos los eventos de autenticación y acceso a NHI. Recibe alertas sobre anomalías: una clave API que se autentica desde una IP inesperada, una cuenta de servicio que accede a un recurso que nunca ha utilizado, un token usado fuera de su horario habitual. Estos suelen ser los primeros indicadores de una posible vulneración de credenciales.

Por qué esto es importante ahora mismo, en 2026

Dos factores convierten la seguridad del Sistema Nacional de Salud en una prioridad para 2026, y no en una consideración para el futuro.

Los agentes de IA ya son objetivo de ataques. Gartner predice que para 2028, el 25 % de las brechas de seguridad en las empresas se deberán al abuso de agentes de IA. Cada agente de IA es una identidad nacional de usuario (NHI). Proteger las identidades de las máquinas es un requisito fundamental para implementar de forma segura las herramientas de IA que las organizaciones ya están desarrollando. La guía de mayo de 2026, elaborada por seis agencias (CISA, NSA y socios en Australia, Canadá, Reino Unido y Nueva Zelanda) sobre la adopción cuidadosa de servicios de IA basados ​​en agentes, exige acceso con privilegios mínimos, segmentación de red y capacidad de contención rápida para cada agente de IA; todos estos son controles de gobernanza de la NHI.

La duración de los certificados se está reduciendo drásticamente. Los certificados TLS son identidades de máquina y, a partir del 15 de marzo de 2026, los certificados TLS públicos tendrán una vida útil máxima de 200 días (frente a los 398 anteriores). Esta duración se reducirá a 100 días en 2027 y a 47 días en 2029. El volumen de renovaciones con una duración de 47 días es aproximadamente ocho veces mayor que con una duración de 398 días. El seguimiento y la renovación manuales resultarán ineficaces con esa frecuencia; la gestión automatizada del ciclo de vida de los certificados ya no es opcional. Cabe destacar que esto se aplica a los certificados TLS públicos; la infraestructura de clave pública (PKI) interna establece sus propios límites, pero la presión operativa para automatizar es idéntica.

El cumplimiento normativo está avanzando. La norma NIST SP 800-207 (Arquitectura de Confianza Cero) exige explícitamente que las identidades de las máquinas se gestionen con el mismo rigor que las identidades humanas. Los requisitos 8.6.1 a 8.6.3 de PCI DSS 4.0, plenamente aplicables desde marzo de 2025, exigen una gestión rigurosa de las cuentas de aplicaciones y sistemas, la prohibición de contraseñas codificadas y la protección de las credenciales de las cuentas de servicio contra el uso indebido.

Limitaciones y desafíos de implementación

• Las credenciales de corta duración requieren infraestructura de automatización: Reemplazar las claves secretas estáticas con SPIFFE/SPIRE o la identidad de carga de trabajo en la nube requiere implementar y mantener la infraestructura de emisión de identidades. Esto representa una inversión considerable, pero es la dirección arquitectónica correcta; la alternativa (claves secretas estáticas permanentes) genera un riesgo de vulnerabilidad ilimitado.
• Es posible que las aplicaciones heredadas no admitan la inyección dinámica de credenciales: Algunas aplicaciones antiguas leen las credenciales de archivos de configuración estáticos al iniciarse y no se pueden reconfigurar para aceptar credenciales temporales inyectadas dinámicamente sin modificar el código. Estas aplicaciones requieren un plan de migración en lugar de un cambio inmediato.
• Los seguros médicos nacionales de terceros no están completamente bajo su control: Puedes auditar y delimitar los permisos que otorgas a las integraciones de terceros, pero no puedes controlar directamente cómo el tercero gestiona las credenciales por su parte. Los cuestionarios de seguridad del proveedor y las revisiones de riesgos de integración cubren parcialmente esta deficiencia.
• El descubrimiento es un proceso continuo, no puntual: Los NHI se crean continuamente mediante automatización. Un escaneo de descubrimiento único proporciona una instantánea puntual; se requiere un escaneo continuo para mantener actualizado el inventario, ya que las plataformas de orquestación, los flujos de trabajo y las herramientas de desarrollo aprovisionan nuevas credenciales diariamente.

Cómo puede ayudar la consultoría de cifrado

Los certificados son el tipo de identidad de máquina del que la mayoría de las organizaciones ya dependen a gran escala, y son precisamente los que ahora están aumentando exponencialmente en número y reduciendo su período de validez. CertSecure Manager aborda directamente la dimensión de los certificados en la seguridad de la información nacional de salud (NHI):

• Descubrimiento e inventario centralizado: CertSecure Manager detecta certificados en sistemas en la nube, locales e híbridos, y los consolida en un único inventario con asignación de propietario para cada uno. Los certificados previamente desconocidos o no registrados se identifican y se incluyen en la gobernanza.
• Renovación automatizada sin intervención manual: Los certificados se renuevan automáticamente antes de su vencimiento. Con una vigencia de 47 días en 2029, la renovación automática no es una comodidad, sino un requisito operativo; la renovación manual con esa frecuencia provocará interrupciones del servicio.
• Aplicación de políticas y principio de mínimo privilegio: Cada equipo gestiona únicamente sus propios certificados; solo se permiten algoritmos y tamaños de clave aprobados. Esto implementa los controles de gobernanza y de privilegios mínimos que exige la seguridad de NHI para el inventario de certificados.
• Registro de auditoría completo: Todos los eventos del ciclo de vida de los certificados se registran, cumpliendo con los requisitos 8.6.1-8.6.3 de PCI DSS 4.0 y los requisitos NIST SP 800-207 para la evidencia de gobernanza de la identidad de la máquina.

Para obtener una visión más amplia de la gobernanza de NHI, que incluye cuentas de servicio, claves API, credenciales de agentes de IA y estrategia de cifrado, nuestros Servicios de Asesoramiento en Cifrado evalúan su situación actual y elaboran una hoja de ruta que abarca todo el programa de identidad y cifrado de máquinas, no solo los certificados.

Conclusión

Las identidades no humanas constituyen actualmente la categoría de identidad más grande y de mayor crecimiento en entornos empresariales, y los agentes de IA están acelerando este crecimiento. La brecha de gobernanza es estructural: las herramientas de IAM humanas, la autenticación multifactor (MFA) y los procesos de recursos humanos no pueden gestionar las credenciales de las máquinas. La superficie de ataque creada por las identidades no humanas con privilegios excesivos, de larga duración y sin supervisión es una que los atacantes ya saben cómo explotar.

La respuesta es operativamente sencilla: localizar cada NHI, asignarle un propietario, limitar sus permisos a lo estrictamente necesario, proporcionarle credenciales temporales que roten automáticamente, supervisar su comportamiento y retirarlo correctamente cuando finalice su función. Las organizaciones que lo hagan bien en 2026 no serán las que respondieron a una brecha de seguridad, sino las que priorizaron la gobernanza de la identidad de las máquinas antes de que ocurriera. Si desea evaluar su postura actual sobre NHI y desarrollar un programa de gobernanza escalable, póngase en contacto con Encryption Consulting.

Preguntas frecuentes

¿Qué es una identidad no humana (NHI)?

Una NHI es una credencial digital utilizada por software en lugar de por una persona: claves API, tokens OAuth, cuentas de servicio, certificados TLS, claves SSH, roles IAM en la nube y credenciales de agentes de IA. El software se autentica con secretos en lugar de contraseñas y solicitudes de MFA. El término identidades de máquina está estrechamente relacionado; NHI es la categoría más amplia que también abarca agentes de IA y conexiones entre software.

¿Por qué las identidades no humanas superan en número a las identidades humanas?

Tres factores los multiplicaron: las arquitecturas de microservicios nativas de la nube que requieren una identidad independiente por servicio; la automatización que crea credenciales mediante programación a gran velocidad; y los agentes de IA, cada uno con su propia credencial, que se están implementando por millones. En las empresas típicas, las identidades de las máquinas superan a las humanas en una proporción de 82 a 1, y Gartner prevé que esta proporción seguirá creciendo.

¿Cuál es la brecha de gobernanza en la seguridad del Sistema Nacional de Salud?

Tres dimensiones: los controles humanos como la autenticación multifactor (MFA) y el inicio de sesión único (SSO) no se aplican a las máquinas; no existe un inventario unificado en todas las plataformas, por lo que las credenciales se acumulan sin una visión centralizada del propietario; y las interfaces de red (NHI) tienen privilegios excesivos de forma crónica porque el acceso amplio es más rápido de aprovisionar y nadie revisa los permisos de las máquinas. El 97 % de las NHI tienen privilegios excesivos; el 88 % de las organizaciones no clasifican las cuentas de máquina como privilegiadas.

¿Qué es SPIFFE y cómo ayuda?

SPIFFE (Secure Production Identity Framework for Everyone) es un estándar abierto que asigna a cada carga de trabajo un documento de identidad criptográficamente verificable (SVID) de corta duración, emitido como certificado X.509 o JWT, mediante su implementación SPIRE. Los SVID se renuevan automáticamente (normalmente cada hora), por lo que las credenciales robadas caducan casi de inmediato. La norma NIST SP 800-207A recomienda explícitamente SPIFFE para la identidad de cargas de trabajo nativas de la nube.

¿Por qué se está reduciendo la vigencia de los certificados TLS y qué implica esto para la gestión del Sistema Nacional de Salud?

El Foro CA/Browser impuso reducciones: un máximo de 200 días a partir de marzo de 2026, 100 días en 2027 y 47 días para 2029. Con una vigencia de 47 días, el volumen de renovaciones es aproximadamente ocho veces mayor que con una vigencia de 398 días. La gestión manual resulta ineficaz con esa frecuencia; se requiere una gestión automatizada del ciclo de vida de los certificados. Los certificados TLS son identidades de máquina, por lo que se trata de un problema de gobernanza de la NHI, no solo de operaciones de TI.

¿Cuáles son los controles más importantes para proteger las identidades no humanas?

Descubrimiento e inventario continuos con propietarios designados; ámbito de privilegios mínimos para todos los permisos NHI; sustitución de secretos estáticos de larga duración por credenciales de corta duración que rotan automáticamente (SPIFFE, identidad de carga de trabajo en la nube, automatización de certificados); acceso justo a tiempo para operaciones elevadas; desmantelamiento automatizado vinculado al ciclo de vida de la aplicación; y supervisión del comportamiento con alertas de anomalías.