Continúe leyendo para conocer las conclusiones clave de estos ataques cibernéticos en el sector del agua, su impacto más amplio en la industria y cómo Keeper^® puede ayudar a proteger la infraestructura crítica en todas las industrias contra las ciberamenazas.

Lo que debería saber sobre los ataques cibernéticos al agua de EE. UU.

El impacto de los ciberataques a los servicios de agua de EE. UU.

Los ciberataques a las infraestructuras hídricas nacionales se distinguen de las violaciones de datos que dominan los titulares de las noticias porque, en lugar de robar información confidencial, los atacantes se dirigieron a la tecnología operacional en un claro esfuerzo por interrumpir la infraestructura crítica. El incidente fue menos sobre el robo y más una demostración de cuán vulnerables pueden ser los sistemas de control industrial que mantienen los servicios esenciales en funcionamiento. Cambiando las contraseñas y las direcciones IP en los PLC expuestos, los atacantes bloquearon el acceso de los operadores a los sistemas que utilizaban para monitorear y controlar el equipo de agua, cortando la visibilidad sobre el funcionamiento de esos sistemas. Varias empresas de servicios públicos se vieron obligadas a recurrir a operaciones manuales para mantener el flujo de agua de forma segura mientras trabajaban para recuperar el control.

El panorama más amplio de este incidente es lo que lo hace tan preocupante. Durante la campaña en varios estados, los funcionarios federales informaron consecuencias más graves en algunas áreas, como avisos de hervir el agua y caídas en la presión del agua. Los sistemas de agua se han convertido en objetivos atractivos para los ciberataques porque muchos dependen de la tecnología operacional expuesta a internet y gestionada de forma remota, a menudo conectada a través de dispositivos y módems desactualizados que nunca fueron diseñados con la seguridad como prioridad. Muchas empresas de servicios públicos (en especial los sistemas municipales más pequeños) también tienen graves carencias de recursos cuando se trata de ciberseguridad, y carecen de los fondos y el personal necesarios para asegurar todas las conexiones. Como resultado, una industria crítica de la que millones de personas y empresas dependen a diario está siendo protegida por sistemas a los que los atacantes han descubierto que puede ser relativamente fácil acceder.

Lo que la industria del agua puede aprender de los ataques cibernéticos al agua en EE. UU.

Aunque la investigación sigue en curso al momento de redactar este artículo, estos ciberataques al agua ya han expuesto debilidades de seguridad de las que los servicios de agua y aguas residuales de todos los tamaños pueden aprender. Este incidente demostró lo que puede suceder cuando se explotan sistemas expuestos, credenciales débiles y brechas en los controles de acceso básicos. Las conclusiones a continuación son tanto urgentes como alcanzables para los operadores de agua y aguas residuales.

El riesgo de la tecnología operacional expuesta a internet

La principal vulnerabilidad en estos ataques era que la tecnología operacional era directamente accesible desde la internet pública. Los atacantes identificaron y explotaron los controladores lógicos programables (PLC) expuestos y los módems celulares, incluidos dispositivos no documentados instalados por proveedores u operadores que no fueron detectados en los análisis de seguridad rutinarios. Estas conexiones olvidadas o no gestionadas dieron a los atacantes una ruta directa hacia sistemas críticos.

Las empresas de servicios de agua deben inventariar cada conexión externa y asumir que ya existen rutas de acceso remoto no gestionadas en otras partes de su entorno. La tecnología operacional nunca debe exponerse directamente a internet. En cambio, los operadores necesitan un acceso remoto seguro que cree una capa protegida entre la internet pública y los sistemas responsables de ejecutar CI.

El peligro de las credenciales predeterminadas y débiles

Muchos PLC en este ataque estaban protegidos únicamente por contraseñas predeterminadas del fabricante o credenciales débiles, lo que permitió a los atacantes iniciar sesión, cambiar esas contraseñas y bloquear a los operadores de sus propios sistemas. La principal lección para el sector del agua es eliminar todas las contraseñas predeterminadas y aplicar credenciales fuertes y únicas en cada dispositivo y cuenta. Las credenciales predeterminadas y compartidas de forma insegura son algunas de las formas más comunes en que los atacantes logran acceder, aunque también son de las vulnerabilidades de seguridad más fáciles de solucionar.

La importancia de la segmentación de redes y las copias de seguridad sin conexión

La forma en que Braham, Minnesota, respondió a este incidente demostró el valor de una preparación exhaustiva, ya que el personal se recuperó en menos de 90 minutos. Tras detectar el compromiso, aislaron el sistema afectado, lo restauraron desde una copia de seguridad y reiniciaron la planta, todo ello manteniendo a los residentes de la ciudad con un servicio de agua ininterrumpido. Esto demuestra cómo las prácticas de recuperación efectivas pueden reducir el impacto de una intrusión y convertir una crisis potencial en una interrupción breve.

La conclusión clave es desarrollar resiliencia antes de que ocurra un ataque, segmentando los sistemas OT de los sistemas de IT y de la internet pública, de modo que una brecha en un área no se propague a otras. Con copias de seguridad probadas y sin conexión, los operadores pueden restaurar los sistemas con velocidad si algo sale mal.

Por qué los servicios públicos más pequeños son especialmente vulnerables

CISA ha enfatizado que los atacantes están dirigiendo sus ataques a entidades de agua de todos los tamaños, no solo a las grandes áreas metropolitanas. Esta es una preocupación importante, ya que los servicios municipales más pequeños suelen operar con presupuestos limitados y personal de TI mínimo, lo que los deja menos preparados para defenderse de este tipo de ataque. Las empresas de servicios públicos más pequeñas deben reconocer que incluso las más austeras necesitan controles de acceso básicos, y cada vez más no tienen que financiarlos por sí solas. A nivel federal, el Programa de Subvenciones de Ciberseguridad Estatal y Local de la CISA (SLCGP) ayuda a los gobiernos estatales, locales y territoriales a mejorar su resiliencia en ciberseguridad, y los sistemas municipales de agua operados por los gobiernos locales pueden solicitar este financiamiento a través de la agencia administradora de su estado. Varios estados también están comenzando a intervenir; por ejemplo, Nueva York anunció recientemente más de $9 millones en subvenciones de ciberseguridad para ayudar a proteger los sistemas de agua en todo el estado. Las empresas de servicios más pequeñas deben buscar activamente este tipo de financiamiento y asistencia para cerrar las brechas de seguridad antes de que sean explotadas.

Cómo Keeper Security ayuda a proteger la infraestructura crítica contra los ciberataques

Las recomendaciones emitidas por los funcionarios en respuesta a estos ataques apuntan todas a la misma necesidad subyacente: control granular sobre el acceso y la identidad. Este es exactamente el objetivo de la plataforma unificada de seguridad de identidad de Keeper. Con una arquitectura de confianza cero y conocimiento cero, Keeper garantiza que el acceso a CI se verifique, cifre y controle en cada paso, de modo que incluso las conexiones en las que los atacantes se basaron en Minnesota queden cerradas antes de que puedan ser explotadas.

Acceso remoto seguro

El principal error en estos ataques fue que la tecnología operacional era accesible directamente desde la internet pública. El acceso remoto seguro de Keeper para infraestructura elimina la necesidad de esa exposición riesgosa, otorgando a los operadores acceso controlado a los PLC y sistemas de control sin dejarlos expuestos directamente a internet. En vez de depender de módems inseguros y dispositivos expuestos, las conexiones remotas se realizan a través de un canal seguro y monitoreado con Keeper.

Gestión de credenciales y secretos

Default or weak credentials can make internet-facing devices easier for attackers to compromise. Keeper Password Management for Business helps enforce strong, unique credentials across accounts and replace default passwords that can give attackers an easy way in. By generating and securely storing credentials, Keeper helps close one of the easiest entry points and aligns with official recommendations to replace default passwords with strong, unique ones.

Para las identidades y los secretos de las máquinas que operan en segundo plano, Keeper Secrets Manager permite la rotación automática de tokens de API, cuentas de servicio y otras credenciales de infraestructura. Esto es importante porque, incluso si un atacante obtiene acceso no autorizado, las credenciales únicas y que se rotan con regularidad pueden reducir el riesgo de que una credencial comprometida pueda reutilizarse para moverse por los sistemas.

Gestión de acceso privilegiado (PAM)

Además de proteger las credenciales individuales, proteger la CI significa controlar exactamente quién puede acceder a los sistemas que la ejecutan. KeeperPAM^® aplica el acceso con privilegios mínimos, de modo que los usuarios y proveedores solo tienen el acceso que realmente necesitan, con monitoreo de sesiones y control sobre las conexiones privilegiadas gestionados a través de KeeperPAM. Las capacidades de Keeper se ajustan a la guía oficial para asegurar que el acceso remoto se medie, monitoree y controle, y para limitar estrictamente el acceso a la red a los sistemas de control críticos, brindando a los operadores una mayor capacidad para detectar y responder a la actividad sospechosa antes de que escale.

Acceso remoto seguro con Keeper

Los ciberataques nacionales al agua deben recordarles a las organizaciones que ninguna industria es inmune a los ciberataques, ni siquiera la infraestructura crítica de la que dependen las comunidades a diario. A medida que los ciberataques a los sistemas de agua se propagan más allá de los límites estatales, estos incidentes dejan en claro que proteger los servicios esenciales debe comenzar por controlar el acceso a los sistemas que los operan. Keeper protege tanto el acceso privilegiado como el remoto con una arquitectura de confianza cero y conocimiento cero que cierra las conexiones expuestas y las credenciales débiles en las que se apoyan los atacantes.

Solicite una demostración de KeeperPAM para ver cómo su organización puede proteger su infraestructura más crítica.

Continúe leyendo para obtener más información sobre qué es la gobernanza de la IA, los riesgos que ayuda a reducir y cómo Keeper^® ayuda a gobernar los agentes de IA y a proteger las credenciales, el acceso y los datos en los que se basan.

¿Qué es la gobernanza de la IA?

La gobernanza de la IA es el conjunto de políticas, procesos y controles que gobiernan cómo se implementan, acceden y supervisan los sistemas de IA en toda la organización. Reduce los riesgos de seguridad al aplicar el acceso con privilegios mínimos y hacer que cada acción de la IA sea transparente y esté sujeta a rendición de cuentas. En la práctica, eso significa saber con exactitud qué IA se está ejecutando, a qué puede acceder y qué hace.

Una sólida gobernanza de IA se basa en cinco pilares:

Los riesgos que la gobernanza de IA ayuda a reducir

Sin gobernanza, cada herramienta y agente de IA que adopta una organización se convierte en un punto ciego. La gobernanza reduce ese riesgo al brindar a los equipos de seguridad visibilidad y control sobre cómo se usa la IA, a qué puede acceder y cómo se comporta. Estos son los principales riesgos que aborda.

IA en la sombra

La IA en la sombra es el uso de herramientas de IA que una organización no ha aprobado o desconoce. Cuando los empleados pegan información confidencial en chatbots o asistentes de codificación no aprobados para avanzar más rápido, nadie tiene un inventario de qué herramientas se están usando, una política sobre qué datos se pueden compartir, ni visibilidad sobre cómo esos modelos retienen y reutilizan esa información. La IA en la sombra está creando una crisis de identidad no administrada, pero la gobernanza reduce el riesgo al requerir el descubrimiento y las políticas antes de que la IA toque datos confidenciales.

Acceso permanente

Los agentes y las cuentas de IA acumulan acceso permanente, tanto si lo utilizan activamente como si no. El acceso permanente es uno de los mayores riesgos de seguridad en cualquier entorno porque cualquier credencial restante puede ser explotada por un ciberdelincuente. La IA empeora esto, ya que los agentes se despliegan rápidamente, se les concede un amplio acceso para completar una tarea, acceso que luego rara vez se revisa o revoca. Cuanto más acceso permanente existe, mayor es la superficie de ataque y, por lo tanto, el radio de impacto cuando cualquier identidad se ve comprometida. La gobernanza de la IA reduce este riesgo al trabajar hacia ZSP, donde ninguna identidad tiene acceso permanente. En su lugar, a las identidades se les otorga acceso temporal para una tarea específica, y ese acceso se revoca automáticamente una vez que se completa.

Fuga de datos

Los sistemas de IA son tan seguros como los datos que fluyen a través de ellos. La información ingresada en una indicación no desaparece simplemente una vez que el modelo responde. Dependiendo del proveedor y del plan, se puede registrar, conservar o utilizar para entrenar el modelo y, en algunos casos, reaparecer en los resultados de otro usuario. La gobernanza reduce este riesgo al controlar desde el principio a qué datos pueden acceder los sistemas de IA y qué datos pueden incorporar.

Exposición de credenciales y secretos

Los scripts, las canalizaciones y las aplicaciones de IA necesitan credenciales, como claves de API, tokens y contraseñas, para funcionar. Con demasiada frecuencia, esos secretos se codifican directamente en el código o en la configuración, donde pueden filtrarse a través de repositorios, registros o brechas de seguridad y luego ser reutilizados por ciberdelincuentes. La gobernanza reduce ese riesgo al exigir que los secretos se almacenen, gestionen y proporcionen de forma segura, en lugar de integrarlos en lugares donde cualquiera pueda encontrarlos.

Proliferación de NHI

Las NHI son identidades de máquinas, incluidos agentes de IA, cuentas de servicio y bots, que se autentican y actúan por su cuenta. La IA ha acelerado el crecimiento de las NHI, y las identidades de máquinas ahora superan en número a los usuarios humanos por mucho. Sin embargo, rara vez se gobiernan con el mismo rigor, lo que deja accesos permanentes y credenciales estáticas que nadie revisa ni rota. La gobernanza cierra esta brecha al extender a las NHI los mismos controles de acceso, responsabilidades y gestión del ciclo de vida que se aplican a las cuentas de usuario.

Inyección de indicaciones

En un ataque de inyección de indicaciones, los ciberdelincuentes diseñan entradas maliciosas para secuestrar el comportamiento de un modelo de IA, anulando sus instrucciones para filtrar datos, realizar acciones riesgosas o eludir los controles de seguridad. El acceso con privilegios mínimos limita el daño; un agente de IA secuestrado solo puede acceder a lo que se le permitió estrictamente. Las organizaciones que supervisan la actividad de la IA pueden detectar el comportamiento anómalo que desencadena una inyección antes de que se propague.

Cómo Keeper ayuda a gobernar la IA agéntica

La gobernanza de la IA solo reduce el riesgo cuando los equipos la aplican en todas las identidades que interactúan con la IA. Keeper ofrece esa gobernanza desde una única plataforma.

Gobernar la IA agéntica en todos los endpoints

Los asistentes de codificación con IA y los agentes autónomos de IA se ejecutan bajo la identidad de quien los inició, lo que significa que heredan los privilegios del usuario y pueden leer archivos confidenciales, ejecutar comandos privilegiados o acceder a servicios externos. Keeper Endpoint Privilege Manager (Keeper EPM) gobierna a esos agentes de la misma manera en que gobierna a los usuarios humanos con acceso privilegiado. Keeper EPM identifica qué agentes se están ejecutando en un endpoint, decide si se permite la ejecución de un agente determinado y limita lo que un agente en ejecución puede hacer, evaluando cada solicitud de forma independiente de los privilegios propios del usuario. Un agente no puede heredar silenciosamente privilegios excesivos ni actuar sin supervisión, cada acción sensible se permite, se deniega o se retiene para su aprobación.

Gestión segura de secretos para NHI

Las credenciales que la IA necesita para funcionar suelen terminar codificadas directamente en scripts, canalizaciones y aplicaciones, donde quedan expuestas y pueden ser reutilizadas por ciberdelincuentes. Keeper Secrets Manager elimina las credenciales codificadas directamente al almacenarlas en una bóveda cifrada e inyectarlas de forma segura solo en tiempo de ejecución. Diseñado para identidades de máquina y cuentas de servicio, brinda acceso controlado en lugar de secretos permanentes que nadie supervisa. Keeper Secrets Manager también se integra con los flujos de trabajo de agentes de IA a través del Protocolo de contexto de modelo (MCP), de modo que los agentes obtienen los secretos que necesitan bajo demanda en lugar de almacenarlos localmente.

Aplicar el acceso con privilegios mínimos y el acceso Justo a Tiempo (JIT)

Los privilegios permanentes pueden convertir un agente de IA comprometido en un incidente de seguridad grave. KeeperPAM^® aplica el principio de Cero Privilegios Permanentes (ZSP) y el acceso Justo a Tiempo (JIT) en las cuentas privilegiadas y los sistemas con los que interactúa la IA, de modo que el acceso se otorga solo para una tarea específica y se revoca en cuanto esta finaliza. La rotación automatizada de credenciales y el descubrimiento los mantienen continuamente controlados. Al eliminar el acceso permanente, Keeper minimiza el acceso con exceso de permisos y el radio de impacto de la IA de cualquier cuenta comprometida, dejando menos al alcance de un ciberdelincuente.

Implementar cifrado de conocimiento cero

Proteger los datos que maneja la IA comienza por garantizar que solo los usuarios autorizados puedan leerlos. La arquitectura de conocimiento cero de Keeper significa que el cifrado y el descifrado ocurren únicamente en el dispositivo del usuario; los datos nunca son visibles para Keeper, ni en reposo ni en tránsito. Las capas de defensa en profundidad (DiD), como el cifrado en reposo respaldado por HSM, protegen aún más los datos almacenados. Esto reduce significativamente el riesgo de filtración de datos y acceso no autorizado, ya que la información confidencial de la que dependen los sistemas de IA y las credenciales permanece cifrada y solo puede ser leída por usuarios autorizados.

Detectar y supervisar amenazas de IA

Incluso con controles de acceso granulares, los equipos necesitan saber cuándo algo se comporta de manera anormal. KeeperAI^® combina la detección de amenazas impulsada por IA, la detección de anomalías y la información sobre las sesiones en toda la actividad privilegiada con la clasificación por nivel de riesgo, para que los equipos puedan enfocarse en lo que más importa. En lugar de que el comportamiento malicioso o sospechoso pase desapercibido hasta que el daño ya esté hecho, Keeper lo detecta en tiempo real y lo convierte en alertas sobre las que los equipos de seguridad pueden actuar de inmediato.

Respaldar las auditorías, los informes y el cumplimiento

La gobernanza de IA depende de poder demostrar qué hicieron las herramientas y cuentas de IA. El Módulo de informes avanzados y alertas (ARAM) de Keeper proporciona un registro detallado de eventos, informes personalizados, avisos configurables e integración con SIEM, lo que otorga a los equipos una responsabilidad total sobre cada acción privilegiada y de IA. Keeper también cuenta con una amplia cobertura de cumplimiento normativo:

• SOC 2 Tipo 2
• ISO 27001
• FedRAMP High certificado
• GovRAMP High autorizado
• FIPS 140-3
• HIPAA
• RGPD

Con Keeper, los equipos de seguridad no solo cierran las brechas de auditoría, sino que también se alinean con los marcos que definen cada vez más el uso responsable de la IA, como el NIST AI RMF y la Ley de IA de la UE.

Asegure el acceso a la IA hoy con Keeper

La gobernanza de la IA transforma el riesgo de seguridad de la IA de algo no gestionado en algo controlado. Aplique el acceso con privilegios mínimos para cada identidad humana y de máquina, proteja las credenciales, los secretos y los datos de los que depende la IA y haga que cada acción de la IA sea auditable con una gobernanza que proporciona visibilidad y control sobre cómo opera la IA en todos sus entornos. Keeper reúne la gobernanza de la IA agéntica, la gestión de secretos, el acceso privilegiado y la auditabilidad completa en una sola plataforma, para que pueda gobernar la IA sin tener que combinar varias herramientas.

Comience su prueba gratuita de KeeperPAM para tomar el control de la IA que se ejecuta en sus entornos.

Siga leyendo para saber más sobre la gobernanza de IA y el cumplimiento de IA, en qué se diferencian y por qué su organización necesita ambos.

¿Qué es la gobernanza de la IA?

La gobernanza de la IA es el conjunto de políticas, roles y procesos que determinan cómo una organización construye, implementa y gestiona la IA a lo largo de su ciclo de vida. Es interno y proactivo, está moldeado por los propios valores de la organización y establece barreras de seguridad antes de que un sistema pase a producción.

En la práctica, la gobernanza de la IA abarca las decisiones cotidianas que hacen que la IA rinda cuentas, lo que incluye clasificar los casos de uso por riesgo, asignar un propietario a cada sistema y establecer umbrales de aprobación. También abarca el trabajo en curso, como el monitoreo del comportamiento del modelo, el registro de decisiones y la realización de comprobaciones de sesgo, para que la organización pueda explicar cómo cualquier sistema determinado llega a sus resultados.

¿Qué es el cumplimiento de la IA?

El cumplimiento de la IA implica satisfacer los requisitos externos (leyes, regulaciones, estándares del sector y obligaciones contractuales) que rigen el uso de la IA. A diferencia de la gobernanza, no está moldeada por los propios valores de una organización. En su lugar, responde a la pregunta de si una organización cumple o no con las reglas que se le aplican. Regulaciones como la Ley de IA de la UE imponen clasificaciones de riesgo, obligaciones de transparencia y supervisión humana para los sistemas de alto riesgo. Las organizaciones también adoptan cada vez más marcos voluntarios como el Marco de gestión de riesgos de IA del NIST para demostrar un enfoque estructurado y creíble, incluso donde la ley aún no se ha puesto al día.

Las principales diferencias entre la gobernanza de la IA y el cumplimiento de la IA

La gobernanza de la IA es interna y proactiva, se origina dentro de una organización y refleja los estándares que se impone a sí misma. El cumplimiento de la IA es externo y se basa en evidencia, lo que valida que la organización cumple con las reglas establecidas por terceros, y depende de la documentación que la organización pueda presentar. La gobernanza se pregunta si una organización gestiona la IA de manera responsable y crea los controles para hacerlo. El cumplimiento plantea si la organización cumple con las reglas y puede presentar evidencia para demostrarlo. A continuación se presentan las distinciones clave entre la gobernanza de la IA y el cumplimiento de la IA.

Cómo la gobernanza de la IA y el cumplimiento de la IA trabajan juntos

A pesar de sus diferencias, la gobernanza de la IA y el cumplimiento de la IA dependen entre sí. Una vez que una organización ha clasificado sus casos de uso, asignado responsables e integrado la supervisión en el funcionamiento de la IA, cumplir con un requisito externo se convierte en gran medida en una cuestión de señalar controles que ya existen. El cumplimiento sin gobernanza es documentación sin nada detrás: el papeleo satisface una lista de verificación mientras que las reglas no se aplican en la práctica. El verdadero cumplimiento de la IA solo es sostenible cuando la gobernanza de la IA hace el trabajo detrás de escena.

La IA necesita tanto gobernanza como cumplimiento

Omitir la gobernanza de IA o el cumplimiento de IA tiene consecuencias importantes. Si no cumple con las normas de cumplimiento, expone a la organización a sanciones regulatorias y a daños duraderos a la reputación. Si la gobernanza se queda corta, se enfrenta a una adopción insegura de la IA y a un mayor riesgo de IA en la sombra. Ambos riesgos aumentan a medida que los agentes de IA obtienen un acceso con más privilegios en todo su entorno, lo que hace esencial gobernar y asegurar a dichos agentes para proteger los datos confidenciales.

Proteja sus agentes de IA y el acceso privilegiado con Keeper^® para hacer cumplir el acceso con privilegios mínimos, mantener un registro de auditoría detallado y controlar las identidades humanas y de máquinas.

Cada implementación de IA depende del acceso confiable a los sistemas empresariales. Ya sea que un asistente de IA se conecte a Microsoft 365, Salesforce, SharePoint o a una base de conocimientos interna, se autentica, recupera información y realiza acciones mediante credenciales y permisos que deben otorgarse y gestionarse. Por lo tanto, cada implementación introduce otra identidad que debe protegerse.

En las reuniones con clientes y las discusiones ejecutivas, las conversaciones sobre IA suelen girar en torno a las ganancias de productividad, las políticas de gobernanza y el uso aceptable. Existe un enfoque limitado en las identidades creadas para dar soporte a estas tecnologías.

Entonces, ¿qué nuevas identidades estamos creando en el proceso?

La respuesta tiene implicaciones que van mucho más allá de la adopción de la IA.

Cómo la IA está ampliando la superficie de ataque a la identidad para los MSP

Consideremos qué sucede cuando una empresa implementa una nueva herramienta de IA:

Un equipo de marketing conecta un asistente de redacción de IA a SharePoint. El equipo de ventas habilita un asistente de CRM impulsado por IA. Un gerente de servicio al cliente inicia un chatbot conectado a la documentación interna. Operaciones automatiza los flujos de trabajo repetitivos mediante orquestación impulsada por IA.

Cada implementación parece ser una mejora aislada de la productividad. Sin embargo, desde una perspectiva de seguridad, las implicaciones son mucho más profundas.

Cada una de estas soluciones requiere acceso de confianza para realizar las tareas que está diseñada para ejecutar. Algunos se autentican a través de conexiones OAuth, mientras que otros se basan en claves API, cuentas de servicio, credenciales de máquina o tokens de acceso. Cada uno recibe permiso para recuperar información, interactuar con aplicaciones empresariales y ejecutar acciones en nombre de los usuarios. Individualmente, estas identidades rara vez atraen mucha atención. En conjunto, comienzan a ampliar lo que muchas organizaciones nunca miden: su superficie de ataque de identidad.

La rápida expansión de la IA en toda la empresa hace que este desafío sea difícil de ignorar. Según el Índice de Tendencias Laborales 2025 de Microsoft, el 82 % de los líderes empresariales afirma que este es un año crucial para replantear aspectos fundamentales de la estrategia y las operaciones a través de la IA. El informe también reveló que el 46 % de las organizaciones ya están utilizando agentes de IA para automatizar por completo los flujos de trabajo o los procesos empresariales, lo que ilustra la rapidez con la que la IA está pasando de la experimentación a las operaciones cotidianas.

Esas cifras ilustran más que un mayor uso de la IA.

Señalan un número creciente de aplicaciones, flujos de trabajo y procesos automatizados que requieren acceso de confianza en todos los entornos empresariales.

Por qué las identidades no humanas (NHI) crean riesgos ocultos

Los programas de identidad tradicionales se construyeron en torno a las personas. Un empleado se une a la organización, recibe una cuenta, se le otorga acceso a los sistemas adecuados y, eventualmente, se le retira ese acceso cuando el empleado cambia de puesto o abandona la empresa. Si bien ese proceso no siempre es fluido, sigue un ciclo de vida predecible con una titularidad definida.

La IA no.

Un asistente de IA puede autenticarse a través de un token de OAuth. Una plataforma de automatización de flujos de trabajo puede depender de múltiples cuentas de servicio y claves de API. Un agente autónomo puede acceder a varias aplicaciones empresariales utilizando credenciales de máquina que operan continuamente sin interacción humana directa. A diferencia de las cuentas de empleados, estas identidades a menudo se crean al instante durante la configuración de la aplicación o por parte de administradores, desarrolladores y usuarios comerciales individuales que conectan herramientas de IA a los sistemas existentes.

Muchas de estas identidades existen fuera de los procesos que las organizaciones ya tienen implementados para gestionar a los empleados. Algunos permanecen activos mucho tiempo después de que se necesitan porque eliminarlos puede interrumpir los flujos de trabajo o romper las integraciones. Con el tiempo, las organizaciones acumulan cientos o incluso miles de identidades que no están vinculadas a una persona, pero que poseen acceso legítimo a sistemas empresariales clave.

Los profesionales de la seguridad se refieren colectivamente a estas como Identidades no humanas (NHI): identidades digitales utilizadas por aplicaciones, servicios, cargas de trabajo y procesos automatizados en lugar de empleados. Si bien el término puede ser desconocido para algunas organizaciones, el concepto no lo es. Cada clave de API, conexión OAuth, cuenta de servicio, credencial de máquina y agente de IA que actúa en nombre de un usuario representa otra identidad con acceso privilegiado que debe administrarse a lo largo de su ciclo de vida.

El número de NHIs no permanece estático. Cada nueva implementación de IA, flujo de trabajo automatizado e integración de sistemas introduce credenciales, cuentas de servicio e identidades de máquina que requieren gobernanza. A medida que más aplicaciones, flujos de trabajo y sistemas se interconectan, mantener la visibilidad se vuelve cada vez más difícil.

Esto no es simplemente un problema de inventario. Es un problema de visibilidad y control.

Las organizaciones no pueden proteger de manera eficaz las identidades que no saben que existen, revisar periódicamente los permisos que no pueden ver ni retirar el acceso que no se dan cuenta de que se ha otorgado.

Desafortunadamente, los atacantes no tienen que preocuparse por esa limitación.

Por qué los atacantes se dirigen a las identidades de máquina no gestionadas

Los ciberdelincuentes no distinguen entre identidades humanas y de máquinas. Simplemente buscan el camino más rápido hacia sistemas valiosos y datos confidenciales.

Durante años, las campañas de phishing y el robo de credenciales se dirigieron principalmente a los empleados porque las cuentas de usuario representaban la ruta más directa hacia el entorno de una organización. Esa realidad no ha cambiado, pero el número de posibles puntos de entrada sí.

Hoy en día, los atacantes explotan cada vez más las claves API, las cuentas de servicio, los tokens de acceso y las credenciales de máquinas porque estas identidades suelen operar con permisos amplios, acceso permanente y mucha menos supervisión que las cuentas de usuario tradicionales. A diferencia de una cuenta de empleado, una cuenta de servicio no cuestionará una solicitud inesperada, una clave API no reportará actividad sospechosa y un agente de IA no podrá reconocer que está interactuando con un sistema malicioso. Si estas identidades se ven comprometidas, a menudo proporcionan a los atacantes exactamente lo que necesitan: acceso legítimo.

Según el Informe de detección de amenazas 2025 de Red Canary, los ataques de identidad aumentaron un 850 % desde 2024 y representaron el 53 % del volumen general de detección en 2025, lo que subraya la creciente dependencia de los atacantes del robo de credenciales y las técnicas de ataque basadas en la identidad.

Cada nueva implementación de IA introduce otra identidad de máquina, cuenta de servicio o credencial en el entorno.

El desafío no es simplemente que existan más identidades. Es que muchos reciben permisos que exceden lo necesario, permanecen activos más tiempo del previsto o funcionan sin un monitoreo continuo. Individualmente, estos problemas pueden parecer insignificantes. Juntos, crean una colección en expansión de identidades de confianza que los atacantes pueden explotar.

Cuanto más eligen automatizar las organizaciones, más crítico resulta comprender no solo quién tiene acceso a los sistemas críticos, sino también qué tiene acceso.

Por qué la seguridad de la identidad con IA es importante para los MSP

Para la mayoría de las organizaciones, gestionar este creciente ecosistema de identidades no es solo un desafío técnico; es un desafío de visibilidad.

Muchas empresas simplemente no saben cuántas NHI existen en sus entornos, a qué sistemas pueden acceder o si esos permisos aún son necesarios. Las iniciativas de IA a menudo son impulsadas por departamentos individuales, desarrolladores o unidades de negocio enfocados en resolver desafíos inmediatos. La gobernanza de identidades a largo plazo raras veces forma parte de la conversación.

Para los MSP, aquí es donde la experiencia se convierte en diferenciación.

Históricamente, los MSP han ayudado a los clientes a proteger los endpoints, gestionar la infraestructura e implementar soluciones de ciberseguridad. A medida que los clientes continúan integrando la IA en sus operaciones, confiarán en asesores de confianza para ayudar a gestionar las credenciales, los permisos y las identidades de máquina que estas tecnologías introducen.

Ayudar a los clientes a navegar este cambio comienza con un conjunto diferente de preguntas:

• ¿Qué aplicaciones de IA tienen acceso actualmente a los sistemas críticos del negocio?
• ¿Qué cuentas de servicio y claves API siguen siendo requeridas activamente?
• ¿Quién es el propietario de cada identidad de máquina?
• ¿Los permisos están alineados con los principios de privilegio mínimo?
• ¿Cómo se rotan, monitorean y protegen las credenciales?

Al iniciar estas conversaciones y retomarlas a medida que los entornos de IA evolucionan, los MSP elevan su rol de proveedor de tecnología a asesor estratégico. Al ayudar a los clientes a gobernar las identidades relacionadas con la IA, los MSP pueden minimizar el riesgo a largo plazo mientras permiten una adopción responsable de la IA.

Cómo KeeperMSP puede ayudar a los clientes a construir una base de IA segura

Comprender el problema es solo el primer paso. Ayudar a los clientes a abordarlo requiere la base de seguridad de la identidad adecuada.

Para los MSP, esto significa ayudar a los clientes a implementar un marco capaz de gobernar el acceso privilegiado de forma coherente tanto en identidades humanas como de máquinas. Significa proteger las credenciales, hacer cumplir el acceso con privilegios mínimos, proteger los secretos, supervisar las sesiones privilegiadas y mantener la visibilidad a lo largo del ciclo de vida de la identidad.

En lugar de tratar el acceso relacionado con la IA como un desafío de seguridad independiente, los MSP deberían animar a sus clientes a incorporarlo en su estrategia más amplia de seguridad de la identidad. Ya sea que el acceso pertenezca a un empleado, una aplicación, un agente de IA o un flujo de trabajo automatizado, se deben aplicar los mismos principios fundamentales: verificar el acceso, aplicar el privilegio mínimo, proteger las credenciales y monitorear continuamente la actividad. Un enfoque unificado reduce la complejidad a la vez que garantiza que los clientes mantengan controles de seguridad consistentes a medida que sus entornos continúan evolucionando.

KeeperMSP se diseñó pensando en estos desafíos. A través de su arquitectura de seguridad de conocimiento cero, las capacidades de gestión de contraseñas empresariales, gestión de acceso privilegiado (PAM), gestión de secretos y acceso remoto seguro, Keeper permite a los proveedores ayudar a los clientes a proteger las credenciales, los secretos y las rutas de acceso privilegiado que los atacantes buscan vulnerar. En lugar de depender de herramientas desconectadas, los MSP pueden administrar identidades humanas y de máquina a través de una sola plataforma basada en principios de confianza cero y gobernanza de acceso continuo.

Para los MSP, el valor va mucho más allá de la tecnología. Proporciona la visibilidad, el control y la escalabilidad necesarios para ayudar a los clientes a adoptar la IA sin permitir que su superficie de ataque de identidad supere su estrategia de seguridad.

Cada implementación de IA crea nuevos riesgos de seguridad de la identidad

Cada implementación de IA amplía el ecosistema de identidades de una organización y, con ello, la responsabilidad de gobernar cada nueva identidad con el mismo rigor que a sus contrapartes humanas. Las organizaciones que reconozcan esta conexión desde el principio estarán mejor posicionadas para innovar sin ampliar innecesariamente su superficie de ataque.

Para los MSP, ayudar a sus empresas gestionadas a comprender y gobernar estas identidades representa mucho más que otra implementación tecnológica. Pone a los MSP a la vanguardia de uno de los cambios más significativos en la ciberseguridad desde la transición a la computación en la nube. Al ayudar a los clientes a navegar por los desafíos creados por la IA, los MSP pueden reforzar su rol como asesores indispensables mientras permiten a las organizaciones mantenerse al día con la innovación sin comprometer la visibilidad ni el control.

Porque cada implementación de IA introduce más que una nueva funcionalidad. Introduce otra identidad para proteger.

Explore el programa de socios MSP de Keeper y cómo ayuda a los MSP a abordar la creciente huella de identidad de la IA.

A continuación, se presenta una lista de verificación de ciberseguridad estructurada para MSSP que proporciona un marco auditable para ayudar a garantizar que el acceso se aplique de forma segura y coherente en los sistemas internos y los entornos de los clientes.

1. Implemente un modelo de seguridad de confianza cero

La seguridad de confianza cero opera bajo el principio de que no se confía implícitamente en ningún usuario, dispositivo o sesión, y cada solicitud de acceso debe ser verificada independientemente de la ubicación. Para los MSSP, este marco se aplica en todas las capas de operación, desde el personal interno que accede a las plataformas hasta los técnicos que supervisan los sistemas de los clientes. Cada punto de contacto amplía la superficie de ataque de la organización, y eliminar la confianza implícita es esencial para mantener una seguridad sólida. Esto es crucial para los MSSP que protegen entornos multiinquilino, ya que, sin controles de confianza cero, una credencial comprometida o una sesión no autorizada pueden aumentar el riesgo. Reforzar la verificación en cada punto de acceso ayuda a contener este riesgo y mantiene los entornos de los clientes debidamente aislados entre sí.

2. Aplique el acceso de privilegio mínimo en todos los entornos de los clientes

El acceso con privilegios mínimos significa que cada usuario, sistema y aplicación opera solo con los permisos necesarios para realizar una función específica. Para los MSSP, donde los técnicos se desplazan habitualmente entre los entornos de los clientes, controlar dicho acceso es importante para protegerse contra riesgos tanto internos como externos. En la práctica, el acceso debe ser específico para el cliente y temporal. Por ejemplo, un técnico aprovisionado para realizar el mantenimiento del firewall de un cliente no debe tener acceso permanente al entorno de otro cliente, y el acceso debe revocarse inmediatamente después de completar la tarea.

3. Elimine el uso compartido inseguro de credenciales

Compartir contraseñas por correo electrónico o guardarlas en hojas de cálculo es uno de los riesgos de seguridad más comunes, aunque prevenibles, entre los MSSP. Las credenciales gestionadas sin los controles de seguridad adecuados son vulnerables a la interceptación y no dejan ningún registro de auditoría. Para los MSSP que gestionan credenciales en muchos entornos de clientes, la posible exposición se agrava rápidamente. La gestión segura de credenciales basada en la bóveda debería reemplazar estas prácticas por completo. Los administradores de contraseñas dedicados están diseñados para centralizar el almacenamiento de credenciales, aplicar controles de acceso granulares y mantener un registro detallado de quién accedió a qué y cuándo.

4. Asegura y gestiona las credenciales de forma centralizada

A medida que un MSSP agrega clientes, la cantidad de contraseñas, cuentas de servicio, claves API y credenciales privilegiadas que debe administrar crece rápidamente. Sin un sistema unificado, esas credenciales pueden quedar dispersas en los entornos de los clientes, lo que limita la visibilidad y el control. Una plataforma cifrada basada en una bóveda mantiene las credenciales gestionadas de forma centralizada y solo accesibles según el rol del técnico. También proporciona permisos y actividad auditables, al tiempo que simplifica la desvinculación de técnicos y la rotación de credenciales.

5. Proteja las identidades no humanas (NHI)

Identidades no humanas (NHI), como cuentas de servicio, tokens y agentes de IA, son algunos de los vectores de ataque más ignorados en entornos MSSP. A diferencia de las cuentas de usuario humanas, las NHI generalmente operan sin autenticación multifactor (MFA) y a menudo acumulan permisos más allá de su función original. Uno de los puntos de exposición más comunes es la proliferación de secretos, donde los secretos se incrustan directamente en código, scripts o archivos de configuración que se comparten entre equipos o se olvidan en sistemas heredados. En un contexto de MSSP, un solo secreto codificado en un repositorio compartido puede exponer a múltiples clientes al mismo tiempo, ya que los scripts de automatización y las integraciones pueden reutilizarse en distintos entornos de clientes. Un administrador de secretos centralizado como Keeper que almacena y rota las credenciales de las NHI ayuda a garantizar que los secretos nunca se almacenen en texto sin formato y estén sujetos a los mismos controles de acceso que las identidades humanas.

6. Utilice acceso JIT para cuentas privilegiadas

El acceso justo a tiempo (JIT) otorga permisos elevados solo cuando son necesarios para una tarea específica y revoca automáticamente el acceso una vez que se completa la tarea. En lugar de mantener el acceso permanente de forma indefinida, el acceso JIT garantiza que los permisos elevados existan solo durante el tiempo que sean necesarios. Para los MSSP, el acceso permanente a la infraestructura del cliente pone en peligro todos los entornos de sus clientes. Si un técnico con acceso permanente a los sistemas de un cliente tiene credenciales comprometidas, ese acceso queda inmediatamente disponible para un atacante. El acceso JIT elimina esa ventana, ya que cada sesión privilegiada se aprovisiona bajo demanda, se dirige a sistemas específicos y caduca automáticamente.

7. Monitorear y registrar todas las sesiones

La gestión de sesiones privilegiadas proporciona visibilidad en tiempo real de cada sesión con privilegios, rastreando la actividad a medida que sucede y manteniendo una grabación completa con marca de tiempo para fines de auditoría. En un entorno de múltiples clientes donde varios técnicos pueden acceder al mismo entorno durante diferentes sesiones y marcos temporales, tener una visibilidad completa hace que la rendición de cuentas sea exigible. Detectar comportamientos sospechosos en tiempo real es tan importante como tener un registro después de los hechos. Una sesión que se desvía de la actividad esperada, lo que incluye el acceso a sistemas fuera del alcance definido o la ejecución de comandos inusuales, puede marcarse y finalizarse antes de que la actividad se intensifique. Con el monitoreo de sesiones en tiempo real, cada acción realizada durante una sesión privilegiada es revisable y atribuible, tanto internamente como para los clientes que esperan transparencia.

8. Proteja todos los endpoints en los entornos de sus clientes

Cada endpoint en todos los entornos de clientes es un punto de entrada potencial y, en entornos multiinquilino, un dispositivo mal configurado o sin administrar en la red de un cliente puede extender el riesgo más allá de esa organización. La aplicación de controles a nivel de dispositivo y políticas de seguridad coherentes en todos los endpoints gestionados cierra esa exposición a gran escala. La aplicación de la configuración garantiza que los endpoints en todos los entornos de los clientes cumplan con una base de seguridad definida, incluidos los estándares de cifrado, los controles de aplicaciones y los niveles de parches. Con una gestión de privilegios en endpoints adecuada, los MSSP pueden aplicar el acceso con privilegios mínimos en los endpoints, elevando aplicaciones o procesos específicos cuando sea legítimamente necesario y eliminando los derechos de administrador permanentes que no cumplen ninguna función.

9. Mantenga una visibilidad completa y registros de auditoría

En un entorno de múltiples clientes, saber quién accedió a qué y cuándo es crucial. Los registros de auditoría completos consolidan esa visibilidad en un único registro, con cada inicio de sesión y cambio de permiso atribuido a un usuario y una marca de tiempo específicos en cada entorno gestionado. En la respuesta ante incidentes, los registros de auditoría reducen el tiempo entre la detección de amenazas y su contención. En lugar de crear manualmente una cronología a partir de registros fragmentados, los equipos de respuesta tienen una visión inmediata y precisa de lo ocurrido. Para el cumplimiento, los registros de auditoría demuestran los controles de acceso, la separación de funciones y la integridad de la actividad privilegiada, según lo requerido por marcos como CMMC, RGPD, SOC 2 y HIPAA. Los MSSP que brindan soporte a sectores regulados deben proporcionar los informes y controles de seguridad que sus clientes necesitan para estar listos para auditorías.

Cómo Keeper^® ayuda a los MSSP a fortalecer la seguridad

La plataforma unificada de seguridad de identidad de Keeper está diseñada para abordar los desafíos únicos que enfrentan los MSSP al gestionar el acceso privilegiado, las credenciales y las identidades en los entornos de los clientes a escala.

Arquitectura de conocimiento cero para respaldar la seguridad multiinquilino

Una de las amenazas más importantes en los entornos multiinquilino es el riesgo de compromiso entre clientes. La arquitectura de conocimiento cero de Keeper garantiza que los datos se cifren y descifren a nivel del dispositivo, lo que significa que ni siquiera Keeper puede acceder a los datos almacenados. Keeper también proporciona una consola de administración centralizada que aplica un aislamiento estricto de los inquilinos; no existe posibilidad de que los datos o el acceso se muevan entre los entornos de los clientes. Con Keeper, cada inquilino permanece totalmente compartimentado, lo que elimina el riesgo de movimiento lateral que convierte a los MSSP en objetivos atractivos para los atacantes.

Gestión de contraseñas para el almacenamiento seguro de credenciales

La bóveda cifrada de Keeper proporciona un entorno de conocimiento cero para almacenar y gestionar credenciales, lo que garantiza que las contraseñas nunca se expongan en texto plano. El uso compartido seguro permite a los equipos conceder acceso a las credenciales sin exponer nunca la contraseña subyacente, lo que hace que el acceso sea controlado y revocable. Para situaciones que requieren compartir credenciales con clientes o proveedores externos, el uso compartido único entrega credenciales mediante un enlace cifrado y válido por tiempo limitado que caduca después de un solo uso. Este intercambio seguro y temporal elimina el riesgo de que las credenciales permanezcan en el correo electrónico o se envíen al destinatario incorrecto, lo que reduce la exposición tanto interna como externa.

PAM para acceso JIT y gestión de sesiones

KeeperPAM^® aplica controles de acceso basados en roles (RBAC) que garantizan que los técnicos operen solo con los permisos que requieren sus roles y tareas, delimitados por cliente y revocados automáticamente después de su uso. El aprovisionamiento JIT elimina los privilegios permanentes en toda la infraestructura del cliente, lo que limita la ventana de oportunidad para que el acceso persistente cause daños. KeeperAI^® proporciona detección de amenazas en tiempo real, marcando comportamientos sospechosos y manteniendo un registro de auditoría completo en cada sesión para brindar a los MSSP la visibilidad entre clientes y la responsabilidad que exige el cumplimiento.

Gestión de secretos para proteger NHIs

Keeper Secrets Manager proporciona un almacenamiento seguro y centralizado para NHI como claves de API, cuentas de servicio, tokens y credenciales de máquina, eliminando eficazmente la necesidad de codificar secretos en scripts o archivos de configuración. La dispersión de secretos en los entornos de los clientes se contiene mediante una capa de gestión centralizada con controles de acceso completos y capacidades de rotación integradas. Las integraciones nativas con flujos de trabajo de DevOps y canales de CI/CD garantizan que la protección de NHI no cree fricción para los equipos, al tiempo que mantiene los mismos estándares de seguridad aplicados a los humanos.

Gestión de privilegios en endpoints para aplicar el principio de privilegio mínimo

Keeper Endpoint Privilege Manager (EPM) elimina los derechos permanentes de administrador local en todos los endpoints administrados y aplica el acceso con privilegios mínimos al nivel del dispositivo. Esto ayuda a prevenir la escalada de privilegios de la que dependen los atacantes para moverse lateralmente una vez dentro de un entorno. La elevación a nivel de aplicación permite que procesos específicos se ejecuten con permisos elevados cuando sea necesario desde el punto de vista operativo, sin otorgar un acceso de administrador general que se extienda mucho más allá del caso de uso previsto. KeeperEPM también extiende la gobernanza a la IA basada en agentes, controlando quién puede ejecutar agentes en un endpoint, qué pueden hacer esos agentes en nombre de un usuario y cómo los agentes solicitan la elevación administrativa. En una amplia cartera de clientes, EPM es una capa de gobernanza unificada tanto para identidades humanas como de máquinas sin requerir una configuración individualizada para cada organización.

Mejore la seguridad de los MSSP con Keeper

El control de acceso es una de las preocupaciones de seguridad más importantes y, a la vez, más explotadas que enfrentan los MSSP. Dado que se les confía el acceso privilegiado en los entornos de los clientes, los MSSP requieren controles de seguridad estructurados, consistentes y aplicados de forma continua. Esta lista de verificación sirve como guía práctica para que los MSSP evalúen la solidez de los controles existentes e identifiquen posibles brechas en la aplicación del principio de privilegio mínimo, la protección NHI y la seguridad de los endpoints. KeeperMSP permite a los MSSP implementar estas mejores prácticas en todos los entornos de los clientes desde una consola centralizada, sin poner en peligro el aislamiento y la responsabilidad que cada inquilino requiere.

Comience su prueba gratuita de KeeperPAM para MSP para ver cómo la plataforma unificada de Keeper respalda todo el alcance de los requisitos de seguridad de los MSSP.

Esa confianza crea un valor tremendo. Y también crea una mayor responsabilidad.

Durante años, los MSP evaluaron principalmente a los proveedores en función de la funcionalidad, las capacidades de integración, la facilidad de implementación y el soporte. La seguridad fue definitivamente una consideración, pero a menudo uno de los muchos factores que influyen en una nueva decisión de compra. Hoy, lo que está en juego es diferente.

Los ataques cibernéticos se han vuelto más costosos, los actores de amenazas son más sofisticados y las pequeñas y medianas empresas enfrentan una presión creciente por parte de los reguladores y las aseguradoras para demostrar prácticas de ciberseguridad efectivas.

Al mismo tiempo, las organizaciones afectadas por incidentes cibernéticos están examinando no solo cómo los atacantes obtuvieron acceso, sino también si los proveedores de confianza realizaron la debida diligencia para ayudar a prevenirlo. Las implicaciones son claras: elegir socios tecnológicos se ha convertido en mucho más que una decisión de adquisición. Ahora está determinado por los requisitos de seguridad, los resultados empresariales y las prioridades de gestión de riesgos.

Todo proveedor de seguridad que un MSP introduce se convierte en parte de la estrategia de defensa de ese cliente. Cada gestor de contraseñas, solución de respaldo, plataforma de acceso remoto, proveedor de identidad y herramienta de acceso privilegiado es otra capa de confianza. Cuando esas tecnologías funcionan como se espera, ayudan a las organizaciones a reducir el riesgo. Cuando fallan, las consecuencias pueden ser graves.

Para los MSP que gestionan decenas o incluso cientos de entornos de clientes, seleccionar los socios tecnológicos adecuados puede ser una de las decisiones de seguridad más importantes que pueden tomar.

Los riesgos de ciberseguridad únicos que enfrentan los MSP

Los atacantes modernos no solo buscan vulnerabilidades; buscan multiplicadores de fuerza. En lugar de atacar a las organizaciones una por una, muchos actores de amenazas buscan relaciones de confianza que puedan proporcionar acceso a muchos entornos posteriores. Y los MSP representan exactamente ese tipo de oportunidad.

Un MSP típico puede gestionar infraestructura, identidades, endpoints, sistemas de copia de seguridad, herramientas de acceso remoto y controles de seguridad en docenas o cientos de entornos de clientes. La vulneración de un proveedor de servicios puede crear consecuencias que se extienden mucho más allá de una sola organización.

Según el informe de investigaciones de violación de datos 2025 de Verizon, la participación de terceros en las violaciones se duplicó al 30 %, mientras que el abuso de credenciales siguió siendo uno de los principales vectores de acceso inicial con un 22 %. Mientras tanto, el Informe sobre el costo de una violación de datos de 2025 de IBM determinó que el costo promedio de una violación de datos en EE. UU. es ahora de $10.22 millones. Para los MSP responsables de proteger entornos de clientes distintos, estas tendencias subrayan la creciente necesidad de diligencia debida de proveedores, seguridad de identidad y controles de acceso privilegiado.

En conjunto, estos hallazgos ponen de relieve una realidad que los MSP conocen bien: los atacantes no siempre irrumpen. Muchas veces, simplemente inician sesión.

Debido a que los MSP se encuentran en el centro de tantas relaciones de confianza, la postura de seguridad de cada proveedor en la pila es importante. Ya sea que exista una debilidad en una plataforma de respaldo, una solución de acceso remoto o un sistema de gestión de identidades, el impacto posterior puede extenderse a través de innumerables entornos de clientes.

Cuanto mayor sea la base de clientes, mayores serán las consecuencias.

Qué significan las recientes demandas de ciberseguridad para la responsabilidad de los MSP

Quizás el cambio más significativo en ciberseguridad es que las organizaciones están examinando cada vez más quién debe ser considerado responsable después de una filtración. Se está poniendo un mayor énfasis en si existían controles de seguridad razonables antes de un ataque. Y ese escrutinio se extiende más allá de los actores de amenazas y llega a los proveedores, consultores y prestadores de servicios contratados para proteger estos entornos.

Existen varios casos recientes que ilustran este movimiento.

Según lo reportado por CSO Online, Clorox busca aproximadamente $380 millones en daños y perjuicios por parte de Cognizant. Clorox afirma que las fallas relacionadas con la verificación de identidad y los procedimientos de restablecimiento de credenciales contribuyeron a un ataque cibernético que interrumpió significativamente las operaciones.

Lo que hace que este caso destaque es que las acusaciones se centran en la verificación de identidad en lugar de en exploits técnicos sofisticados. La queja se centra en si existían las medidas adecuadas para verificar con precisión a los usuarios antes de concederles el acceso. A pesar de la complejidad de la ciberseguridad moderna, una simple falla en la verificación de identidad puede haber creado una oportunidad ideal para el ataque.

La comunidad de MSP también ha sido testigo de litigios que involucraron directamente a proveedores de servicios y a sus socios tecnológicos. De acuerdo con un artículo de ChannelE2E, el bufete de abogados Mastagni Holstedt, con sede en Sacramento, demandó tanto a su MSP, LanTech, como a su proveedor de copias de seguridad, Acronis, tras un devastador incidente de ransomware. La demanda buscaba más de $1 millón en daños, lo que genera inquietudes sobre las tecnologías y las capacidades de recuperación implementadas.

Que los demandados prevalezcan finalmente no es la conclusión clave. El punto más relevante es que la demanda se haya presentado. El cliente final no se centró simplemente en los atacantes. En su lugar, la firma de abogados analizó más a fondo a las organizaciones encargadas de ayudar a prevenir y recuperarse del incidente. Reforzando la tendencia, BleepingComputer informó que Marquis Software Solutions demandó a SonicWall tras un incidente de ransomware supuestamente vinculado a una vulneración de dispositivos de copia de seguridad.

Tomados individualmente, estos casos involucran tecnologías, industrias y circunstancias distintas. En conjunto, sin embargo, comparten un tema recurrente: las organizaciones esperan que los proveedores y prestadores de servicios en los que confían demuestren que existían medidas de seguridad eficaces antes de cualquier incidente. El asesor jurídico general de Keeper, David Oskin, reafirma:

El entorno legal y normativo para los MSP se ha vuelto cada vez más complejo, lo que aumenta la importancia de la preparación ante litigios y la gestión de riesgos.

Si bien los detalles de cada acusación difieren, todas giran en torno a la confianza. Más importante aún, la pregunta subyacente permanece: ¿podrían estos proveedores haber hecho más para reducir el riesgo para sus clientes?

Las organizaciones dependen de proveedores para proteger los datos confidenciales. Ellos confían en que los proveedores de servicios implementen las salvaguardas necesarias. Ellos confían en que las tecnologías de seguridad funcionen como se espera durante una crisis. Cuando esa confianza se rompe, cada decisión que contribuyó a la postura de seguridad de la organización queda bajo escrutinio.

Por qué la seguridad de la identidad es la prioridad para los MSP

Una razón por la que el caso Clorox atrajo tanta atención es que ilumina un desafío más amplio de la industria: la identidad se ha convertido en el principal campo de batalla en la ciberseguridad.

Durante mucho tiempo, las organizaciones se centraron intensamente en defensas perimetrales diseñadas para mantener a los atacantes fuera. Los actores de amenazas modernos se han adaptado en los últimos años. En lugar de intentar eludir los controles de seguridad directamente, a menudo atacan las identidades que controlan el acceso a esos sistemas, incluyendo, entre otros, credenciales, cuentas privilegiadas, flujos de trabajo de autenticación, procedimientos de mesa de ayuda y tokens de acceso.

Cuando los atacantes obtienen acceso a una identidad de confianza, pueden moverse libremente por todo un entorno utilizando herramientas y privilegios legítimos. Esto ayuda a explicar por qué el robo de credenciales, el phishing, la ingeniería social y el abuso de privilegios siguen estando entre las técnicas de ataque más comunes observadas en todas las industrias.

Para los MSP, el desafío se amplifica. Gestionar cientos de entornos de clientes significa gestionar miles de identidades, cuentas privilegiadas y eventos de autenticación. Y cada credencial de administrador compartida, secreto no gestionado y proceso de autenticación débil aumenta el nivel de riesgo.

Las organizaciones que minimizan el riesgo con éxito suelen ser las mismas que priorizan la identidad como un control de seguridad fundamental frente a una herramienta independiente.

Cómo los MSP deben evaluar a los proveedores

Las ciberamenazas modernas requieren que los MSP evalúen a los proveedores de manera más crítica y a través de una perspectiva de seguridad. Las características del producto, la calidad del soporte y la facilidad de implementación siguen siendo componentes cruciales. Pero la arquitectura de seguridad merece una mayor consideración.

Antes de agregar una nueva solución a su pila, los MSP deben averiguar:

En última instancia, las respuestas a estas preguntas separan a los proveedores que simplemente comercializan seguridad de aquellos que la integran en sus soluciones, arquitectura y operaciones.

Por qué la arquitectura de seguridad importa al elegir proveedores de MSP

El hilo conductor de los ataques cibernéticos más dañinos de la actualidad, y de gran parte del escrutinio que les sigue, es el acceso. Para los MSP, esto convierte a la seguridad de la identidad en un factor fundamental al elegir socios tecnológicos.

Keeper^® fue creado para proteger las credenciales, las cuentas privilegiadas y las identidades que los atacantes suelen atacar con mayor frecuencia. A través de su arquitectura de seguridad de conocimiento cero, las capacidades de gestión de contraseñas empresariales, gestión de acceso privilegiado, gestión de secretos y gestión de privilegios en endpoints, Keeper ayuda a las organizaciones a minimizar el riesgo basado en la identidad antes de que los atacantes puedan explotarlo.

Para los MSP, esto significa una mayor visibilidad del acceso privilegiado, una protección más sólida de las credenciales y una mayor confianza en que están recomendando una plataforma diseñada para ayudar a proteger cada entorno de cliente que gestionan.

Un estándar más alto para la selección de proveedores

Cada proveedor que un MSP introduce se convierte en una extensión de su propia estrategia de seguridad. Es posible que los clientes nunca sepan por qué se eligió una solución en particular, pero sin duda experimentarán las consecuencias si esa elección se queda corta.

En una era de creciente riesgo cibernético, la selección de proveedores no se trata solo de comparar características, precios o facilidad de implementación. Se trata de elegir socios con la arquitectura de seguridad, las protecciones de identidad y la madurez operativa necesarias para resistir las ciberamenazas modernas.

A medida que esas amenazas evolucionan y la responsabilidad aumenta, los proveedores que seleccionan los MSP ayudarán a determinar la resiliencia de cada entorno de cliente que gestionan.

Comience hoy su prueba gratis de KeeperMSP^® para aprovechar una plataforma con un sólido cifrado de conocimiento cero y funciones de seguridad avanzadas diseñadas para proteger a sus clientes.

Actualmente, Keeper crece a más de 4 veces el promedio de la industria.

Este crecimiento líder en el mercado está impulsado por la explosión de identidades en la era de la IA agéntica y un enfoque incesante en la innovación para proteger a los clientes, como lo demuestra el lanzamiento de su plataforma unificada de gestión de acceso privilegiado y seguridad de identidad, KeeperPAM®, que protege tanto a las identidades humanas como a las identidades no humanas (NHI), incluyendo cuentas de servicio, identidades de máquinas, bases de datos, agentes de IA y cargas de trabajo agénticas. Desde el lanzamiento de KeeperPAM en febrero de 2025, los ingresos de KeeperPAM han experimentado un crecimiento interanual de 10 veces y Keeper ha observado un crecimiento de nuevos clientes líder en la industria, sumando un promedio de 850 nuevas organizaciones cada mes. En los últimos quince meses, Keeper añadió más de 400 características y productos innovadores a KeeperPAM.

«La identidad es el nuevo perímetro de seguridad», dijo Darren Guccione, CEO y cofundador de Keeper Security. «A medida que las empresas implementan cada vez más agentes de IA y sistemas autónomos, el número de identidades privilegiadas y credenciales de máquina crece exponencialmente. Las organizaciones necesitan una plataforma moderna y unificada que proteja todas las identidades – humanas y no humanas – y gobierne cada interacción privilegiada. Nuestro crecimiento refleja la demanda del mercado de una plataforma diseñada específicamente para abordar estos desafíos».

La plataforma de ciberseguridad nativa de la nube de Keeper ofrece un enfoque integral para la seguridad de la identidad y la gestión de acceso privilegiado al unificar la gestión de contraseñas empresariales, la gestión de secretos, la gestión de sesiones privilegiadas, la gestión de bases de datos y la gestión de privilegios en endpoints en una única plataforma. La estrategia de seguridad de identidad nativa de IA de Keeper extiende sin problemas estas capacidades a las identidades no humanas y a los entornos de IA agentica, permitiendo a las organizaciones descubrir, gestionar y proteger las credenciales de máquina y las cargas de trabajo autónomas con el mismo rigor que se aplica a los usuarios humanos.

A medida que las empresas adoptan tecnologías de IA a gran escala, la proliferación de identidades no humanas está superando rápidamente a la de las identidades humanas en una proporción de 150:1, según los informes, lo que crea nuevas superficies de ataque y complejidad operativa. La plataforma de Keeper ayuda a las organizaciones a establecer estrategias de seguridad centradas en la identidad que proporcionan seguridad, visibilidad, gobernanza y controles de privilegios mínimos en todo su ecosistema de identidades.

«Los agentes autónomos, los LLM de frontera y los flujos de trabajo de máquina a máquina están operando dentro de los entornos empresariales en este momento – sin una gobernanza, gestión de secretos o controles de acceso adecuados», dijo Craig Lurey, CTO y cofundador de Keeper Security. «Keeper está diseñada específicamente para resolver este problema a gran escala».

El crecimiento continuo y el reconocimiento de mercado de la empresa refuerzan su posición como uno de los proveedores más innovadores y de más rápido crecimiento de la industria de la ciberseguridad en soluciones de seguridad de identidad nativa de IA y gestión de acceso privilegiado. El perfil financiero de Keeper combina un crecimiento y una rentabilidad líderes en su clase y una estructura de capital libre de deuda, y es un activo posicionado para liderar de manera eficiente la seguridad de identidad en la era de la IA agentiva.

«Superar los $225 millones en ARR confirma lo que hemos escuchado en cada conversación empresarial – que asegurar las identidades no humanas es el desafío de seguridad que define la era de la IA», afirmó Darren Guccione, Director Ejecutivo de Keeper Security. «Hemos establecido un camino acelerado hacia los $1 mil millones en ARR que, junto con nuestra hoja de ruta tecnológica, proporcionará opcionalidad para una oferta pública».

*Gartner, Análisis de participación de mercado: software de seguridad, en todo el mundo, 2025, Rahul Yadav, Deepali, 11 de mayo de 2026

Gartner es una marca comercial de Gartner, Inc. y/o sus filiales.

Gartner no respalda a ningún proveedor, producto o servicio descrito en sus publicaciones de investigación y no aconseja a los usuarios de tecnología que seleccionen solo a aquellos proveedores con las calificaciones más altas u otra designación. Las publicaciones de investigación de Gartner consisten en las opiniones de la organización de Perspectivas de Negocios y Tecnología de Gartner y no deben interpretarse como declaraciones de hechos. Gartner renuncia a todas las garantías, expresas o implícitas, con respecto a esta investigación, incluidas las garantías de comerciabilidad o idoneidad para un propósito particular.

Las nuevas integraciones de Keeper con Slack, Teams, Jira y ServiceNow extienden sus flujos de trabajo seguros y basados en políticas a las herramientas que los equipos ya usan todos los días, mientras se mantiene la arquitectura de conocimiento cero y confianza cero de Keeper. Si las organizaciones integran el acceso seguro y los flujos de trabajo privilegiados directamente en las plataformas de colaboración y de gestión de servicios de TI (ITSM), pueden reducir el riesgo sin interrumpir los flujos de trabajo existentes.

Por qué es necesaria la seguridad de acceso en los flujos de trabajo diarios

En la mayoría de las organizaciones, las solicitudes de acceso no comienzan en una consola de seguridad; comienzan con un mensaje o un ticket. Cuando esas solicitudes se gestionan de forma manual o fuera de sistemas administrados, los equipos de TI suelen verse obligados a elegir entre la velocidad y la seguridad. Gracias a KeeperPAM, los equipos ya no necesitan elegir. Por el contrario, pueden gestionar el acceso de manera segura y eficiente a través de sus diversas integraciones. Las integraciones de Keeper permiten a los equipos:

• Solicitar, aprobar y gestionar el acceso sin cambiar de herramientas
• Eliminar el uso compartido inseguro de credenciales en mensajes de chat o comentarios de tickets
• Aplicar el acceso con privilegios mínimos y las políticas de aprobación de forma coherente
• Mantener la auditabilidad plena en todas las solicitudes de acceso y acciones privilegiadas

Todo esto ocurre mientras los secretos permanecen cifrados y completamente bajo el control del usuario mediante el modelo de seguridad de conocimiento cero de Keeper.

Solicitudes de acceso seguro y aprobaciones en Slack

En Slack, los equipos colaboran en tiempo real y suelen realizar solicitudes de acceso informales. La integración de Keeper en Slack aporta estructura y seguridad a estas conversaciones, ya que integra flujos de trabajo de acceso seguro directamente en Slack. Con la aplicación de Keeper para Slack, los usuarios pueden solicitar acceso a los registros o secretos de la bóveda de Keeper, enrutar esas solicitudes a través de flujos de trabajo de aprobación definidos y recibir notificaciones en tiempo real cuando el acceso es aprobado, denegado o actualizado. Esto les proporciona visibilidad y control completos a los equipos de seguridad sin obligar a los usuarios a enviar solicitudes a través de una herramienta o sistema separado.

Debido a que todas las acciones de acceso se gestionan a través de Keeper, los secretos nunca se exponen en los mensajes de Slack. Cada solicitud y aprobación se registra, respaldando los requisitos de auditoría y cumplimiento mientras se reducen las fricciones para los usuarios. Para habilitar esta integración, los usuarios deben tener una licencia de Keeper Secrets Manager o KeeperPAM, lo cual garantiza el control del acceso mediante políticas y los principios de seguridad de confianza cero.

Integre el acceso seguro y las aprobaciones en Microsoft Teams

Microsoft Teams es donde muchas organizaciones llevan a cabo la colaboración diaria, y las solicitudes de acceso que ocurren allí fuera de los sistemas gobernados crean los mismos puntos ciegos que socavan la aplicación de confianza cero. La aplicación Keeper Teams integra flujos de trabajo de acceso estructurados y auditables directamente en Teams, para que los usuarios puedan iniciar y aprobar el acceso privilegiado sin necesidad de cambiar de herramienta.

Con Keeper integrado en Teams, los usuarios pueden solicitar acceso a registros de la bóveda y carpetas compartidas con justificación, permisos personalizados y ventanas de acceso con límite de tiempo, así como solicitar enlaces de uso compartido de un solo uso mediante URLs autodestructivas. Si las solicitudes de elevación justo a tiempo (JIT) del Endpoint Privilege Manager de Keeper se combinan con KeeperPAM, se enrutan a los aprobadores en tiempo real a través de un canal de Teams dedicado, y los administradores pueden gestionar las aprobaciones de dispositivos SSO Cloud sin salir de Teams.

La app de Teams se aloja en el cliente a través de Docker junto con el Modo de Servicio para Commander, lo que significa que las credenciales y los secretos permanecen en todo momento dentro de la propia infraestructura del cliente. Al igual que la integración con Slack, requiere una licencia de Keeper Secrets Manager o KeeperPAM para asegurar que el acceso respete las políticas y la arquitectura de confianza cero y conocimiento cero de Keeper.

Incorpore flujos de trabajo de acceso seguro a Jira

Muchas organizaciones utilizan Jira como sistema de registro para solicitudes operativas y de seguridad. La integración de Keeper con Jira incorpora operaciones seguras de bóveda y flujos de trabajo privilegiados directamente en las incidencias de Jira, lo que permite a los equipos trabajar en procesos conocidos.

Los equipos que tienen Keeper integrado en Jira, pueden solicitar y aprobar el acceso a los registros de la bóveda de Keeper, gestionar permisos y actualizar credenciales según el contexto. Toda la actividad permanece conectada al problema específico de Jira, manteniendo un registro de auditoría detallado. Si se combina con KeeperPAM, las organizaciones también pueden habilitar el acceso JIT vinculado a endpoints específicos y recursos de infraestructura.

La integración con Jira, diseñada como una aplicación nativa de Atlassian Forge, se alinea con la arquitectura de confianza cero de Keeper y reduce los retrasos causados por aprobaciones de ida y vuelta o el cambio entre herramientas. Esto ayuda a los equipos de seguridad y TI a moverse más rápido sin sacrificar el control.

Automatice los flujos de trabajo seguros dentro de ServiceNow

ServiceNow desempeña un papel central en la entrega de servicios de TI y las operaciones de seguridad. La integración de Keeper con ServiceNow permite a las organizaciones automatizar los flujos de trabajo de acceso seguro y secretos directamente dentro de los procesos de ITSM.

Al conectar KeeperPAM con ServiceNow, los equipos pueden gestionar solicitudes de acceso y aprobaciones como parte de tickets ITSM estándar, automatizar la recuperación segura de secretos y responder a las alertas de seguridad creando y enriqueciendo incidentes automáticamente. Estos flujos de trabajo reducen el manejo manual de datos confidenciales, mejoran los tiempos de respuesta y garantizan una aplicación coherente de las políticas en toda la organización. Los registros de auditoría detallados ayudan a las organizaciones a mantener la visibilidad del acceso y la actividad privilegiada, respaldando la responsabilidad y fortaleciendo la respuesta ante incidentes.

Utilice integraciones basadas en confianza cero y conocimiento cero

Las cuatro integraciones están diseñadas para ampliar y reforzar el modelo de seguridad de Keeper. Los secretos permanecen cifrados en todo momento, el acceso se rige por políticas y las aprobaciones son completamente auditables. Keeper nunca tiene visibilidad de los secretos de los clientes y el acceso se concede solo con aprobación explícita.

Este enfoque permite a las organizaciones modernizar la forma en que el acceso se solicita, gestiona y aprueba, a la vez que mantiene una seguridad sólida, el cumplimiento y el control en todos sus entornos.

Ponga a prueba las integraciones de Keeper

Keeper facilita la protección del acceso donde trabaja su equipo, ya sea en Slack, Teams, Jira o ServiceNow, o cualquier combinación de los cuatro. Estas integraciones reducen los riesgos de seguridad, optimizan las operaciones y refuerzan el acceso con privilegios mínimos en todos los flujos de trabajo de ITSM.

Para obtener más información, explore la lista completa de integraciones de Keeper que explica cómo Keeper se integra en sus herramientas existentes, o inicie una prueba gratuita para experimentarlas usted mismo.

Siga leyendo para obtener más información sobre cómo funciona KeeperDB, sus características clave y los beneficios de usarlo para ayudar a proteger el acceso a bases de datos.

Cómo funciona KeeperDB

KeeperDB se presenta en dos formas: una aplicación de escritorio independiente y una experiencia integrada que se inicia desde los registros de la base de datos de KeeperPAM. Ambas versiones ofrecen la misma experiencia del usuario final y la misma funcionalidad principal. Ya sea que descargue la aplicación o la inicie desde un registro PAM dentro del la bóveda de Keeper, el editor de consultas, la cuadrícula de datos, el explorador de esquemas, el bloc de notas y el monitor de rendimiento funcionan de manera idéntica. La diferencia entre la versión de escritorio y la versión de KeeperPAM implica la intermediación de credenciales, la grabación y la supervisión de sesiones. Cuando KeeperDB se ejecuta dentro de KeeperPAM, se convierte en una conexión completamente gobernada con acceso sin contraseña de un solo clic, monitoreo visual de sesiones, registro de consultas y detección de amenazas con IA.

Lo que diferencia a KeeperDB de los clientes de bases de datos heredados es su arquitectura de conocimiento cero. Cuando se implementa a través de KeeperPAM, las credenciales de base de datos efímeras se generan y descifran dentro del contenedor del Keeper Gateway autohospedado del cliente y se entregan a KeeperDB a través de un canal cifrado, nunca en los servidores de Keeper. Cuando KeeperDB se utiliza localmente y se integra con Keeper Secrets Manager, las credenciales se extraen de la bóveda centralizada bajo demanda y se mantienen en la memoria solo durante la duración de la sesión. Para los ingenieros de datos y administradores de bases de datos (DBA), esto resuelve desafíos clave de acceso privilegiado porque las contraseñas rotadas en Keeper se actualizan automáticamente, y la baja de un contratista o ingeniero requiere solo una única revocación. Además, KeeperDB está protegido por Keeper Forcefield durante el tiempo de ejecución, lo que proporciona protección de memoria contra cualquier malware local o programas de robo de información.

Cómo conectarse a KeeperDB

KeeperDB admite cinco formas de conexión, pero la correcta depende de si usted trabaja solo o bajo controles de acceso privilegiado. Para profundizar en el mismo modelo de seguridad detrás de cada opción, consulte cómo KeeperDB asegura el acceso a la base de datos.

Características principales de KeeperDB

KeeperDB consolida todo lo que los equipos de bases de datos necesitan en un solo cliente: un espacio de trabajo de base de datos multiprotocolo, un agente de IA integrado, monitoreo en tiempo real y credenciales gestionadas desde la bóveda.

Un cliente para cada base de datos

KeeperDB integra el flujo de trabajo completo de la base de datos en una sola interfaz que funciona de la misma manera en las principales bases de datos empresariales, incluidas PostgreSQL, MySQL, SQL Server, Oracle, Amazon Redshift, MongoDB, DynamoDB, SQLite y más. Esto garantiza que un ingeniero de datos que gestiona un conjunto heterogéneo no necesite cambiar de contexto entre herramientas separadas para cada base de datos. Los controladores nativos vienen incluidos con la aplicación, lo que simplifica la experiencia del usuario.

Grabación de sesión completa

Cuando KeeperDB se implementa a través de KeeperPAM, cada interacción con la base de datos se monitorea y registra, incluida la actividad de un agente de IA dentro de una sesión. Con la grabación y reproducción de sesiones de Keeper, cada instrucción de SQL ejecutada por IA se registra exactamente igual que una escrita por un humano, y cada escritura iniciada por IA aparece a través del mismo modal de confirmación que un usuario humano debe aprobar, de modo que el usuario siempre sigue siendo quien autoriza cualquier cambio. Cada gráfico e iteración autónoma se atribuye a la grabación de la sesión y, con un resumen generado junto con un registro detallado de cada acción, los revisores de cumplimiento obtienen un relato completo de exactamente lo que ocurrió durante cada sesión.

Agente de IA integrado

KeeperAI^® es un copiloto integrado con conocimiento completo de su esquema conectado, y opera en tres modos: el modo Chat para responder preguntas en lenguaje natural y SQL, el modo Autónomo para escribir y ejecutar consultas para lograr el resultado deseado y el modo Explicación para analizar una consulta existente. Las consultas de solo lectura se ejecutan por sí solas, pero toda escritura muestra una confirmación con el enunciado literal antes de ejecutarse, de modo que usted siempre es quien aprueba. KeeperAI también genera gráficos directamente a partir de conjuntos de resultados en tiempo real y detecta problemas en bases de datos lentas desde el monitor de rendimiento en tiempo real. KeeperAI es compatible con varios proveedores, lo que significa que los administradores pueden usar su proveedor de LLM preferido o un endpoint autoalojado, de modo que los prompts y los datos de esquema permanezcan dentro de su entorno.

Espacio de trabajo de SQL completo

La pestaña de Consultas es un entorno de SQL completo que le permite el resaltado de sintaxis, el autocompletado y la ejecución de múltiples instrucciones con estado por instrucción. Esto le permite pegar un script de migración, ejecutarlo y ver qué sentencias tuvieron éxito. Explore y edite filas en una cuadrícula de datos paginada con actualizaciones con vista previa y confirmación antes de la ejecución, y almacene su trabajo en un bloc de notas que guarda automáticamente celdas de SQL y Markdown juntas. El bloc de notas permite a los equipos crear bibliotecas de consultas reutilizables y documentar los hallazgos junto con el SQL que los generó.

Monitoreo de rendimiento en tiempo real

Cuando una base de datos se ralentiza, la pestaña Monitor muestra quién está conectado, qué está ejecutando y qué sesiones están bloqueando a otras. Completo con una lista de procesos, cadenas de bloqueo y análisis de bloqueos, KeeperDB le permite finalizar una sesión problemática con un solo clic. KeeperAI puede recomendar qué sesión finalizar y ayudar a identificar cuellos de botella en el rendimiento, lo cual reduce significativamente el tiempo dedicado al diagnóstico de bases de datos lentas.

Credenciales gestionadas desde la bóveda y autenticación biométrica

En la aplicación de escritorio, puede desbloquear KeeperDB con Face ID o Windows Hello en lugar de usar una contraseña almacenada. Cuando se conecta a través de Keeper Secrets Manager, las credenciales se extraen de la bóveda cifrada en el momento de la conexión en lugar de quedar almacenadas en un archivo de configuración local. Sumado a esta conveniencia, KeeperDB simplifica la rotación de contraseñas al permitir que todos se reconecten con el nuevo valor automáticamente, ya que nadie puede conservar una copia obsoleta. También transforma la desvinculación: revoque el uso compartido de la bóveda de un usuario y se eliminará su acceso, sin necesidad de restablecimientos manuales ni demoras para rastrear dónde pudo haberse almacenado en caché una credencial.

Beneficios de usar KeeperDB

Las funciones de KeeperDB ofrecen beneficios prácticos tanto para los equipos de bases de datos que utilizan la herramienta como para los equipos de seguridad responsables de controlar el acceso. Estos son los principales beneficios de KeeperDB:

Comience a asegurar el acceso a bases de datos con KeeperDB

Los clientes de base de datos heredados eran útiles cuando las credenciales residían en los endpoints, las sesiones no se monitoreaban y el único destinatario de una consulta era la persona que la ejecutaba. Sin embargo, los equipos modernos de ingeniería y ciencia de datos necesitan una solución como KeeperDB que funcione de forma rápida y segura en todos los motores principales, a la vez que cierre las brechas de seguridad que dejan las herramientas heredadas. Con KeeperDB, las credenciales no permanecen en el endpoint, los datos están protegidos con cifrado de conocimiento cero y los registros de auditoría están fácilmente disponibles.

Descargue KeeperDB de forma gratuita para usarlo como su cliente de base de datos diario o inicie una prueba gratuita de KeeperPAM para añadir un acceso a bases de datos regulado, registrado y totalmente auditado.

Continúe leyendo para obtener más información sobre la seguridad multiinquilino y los beneficios de usar KeeperMSP para proteger y gestionar los entornos de los clientes.

¿Qué es la seguridad multiinquilino para MSSP?

La seguridad multiinquilino es la práctica de gestionar y proteger múltiples entornos de inquilinos, o clientes, dentro de un sistema unificado, donde cada cliente opera en un espacio separado con sus propios controles de acceso y políticas. Las arquitecturas multiinquilino requieren que ningún usuario, credencial o dato de un entorno de cliente pueda exponerse a otro. Esto garantiza la separación completa de los inquilinos, independientemente de cuántos compartan la misma plataforma subyacente. Los MSSP aplican este aislamiento mediante controles de acceso basados en roles (RBAC), permisos específicos para cada cliente y controles de acceso granulares que definen exactamente quién puede ver, modificar o gestionar cada entorno. En el caso de KeeperMSP, cada cliente cuenta con un conjunto dedicado de bóvedas, políticas y registros de auditoría destinados a sus requisitos de seguridad únicos, gestionados por el MSSP sin que exista superposición entre clientes. Dado que una sola brecha en un cliente puede afectar a todos los clientes gestionados, los MSSP son objetivos de alto valor para los ciberdelincuentes, lo que convierte a la seguridad multiinquilino sólida en un requisito comercial fundamental.

Principales desafíos de la seguridad multiinquilino para MSSP

La seguridad multiinquilino puede ser complicada y conducir inadvertidamente a una exposición, a menos que los MSSP utilicen las herramientas adecuadas y sigan las mejores prácticas de ciberseguridad. A continuación, se presentan los principales desafíos que enfrentan los MSSP al proteger múltiples entornos de clientes.

Gestión del acceso en múltiples entornos de clientes

Controlar los permisos a escala se vuelve de pronto difícil cuando los técnicos necesitan acceso a decenas, si no cientos, de sistemas cliente a la vez. Cada entorno de cliente tiene sus propias herramientas, plataformas y requisitos de acceso, lo que significa que los técnicos deben gestionar múltiples conjuntos de credenciales y permisos en cada cuenta a la que brindan servicio. Sin un sistema centralizado para el provisionamiento y la revocación de permisos, es posible que los MSSP no puedan aplicar el acceso con privilegios mínimos en todos los clientes, lo que deja brechas que los ciberdelincuentes pueden explotar con facilidad.

Uso compartido inseguro de credenciales

Compartir credenciales de forma insegura es uno de los hábitos más comunes y peligrosos en las operaciones de servicios gestionados. Los equipos que comparten nombres de usuario y contraseñas a través de hojas de cálculo, plataformas de mensajería o incluso notas adhesivas pierden la responsabilidad por completo. Al no haber forma de rastrear qué técnico utilizó una credencial o qué hizo con ese acceso, una sola credencial comprometida puede dar a los ciberdelincuentes acceso sin restricciones a varios entornos de clientes a la vez.

Falta de visibilidad y exposición al cumplimiento

Rastrear la actividad de los usuarios en distintos entornos de clientes es un reto, sobre todo sin monitoreo y registro de sesiones centralizados. Ante un comportamiento sospechoso, el registro fragmentado hace que sea casi imposible identificar la fuente de manera oportuna, lo que podría resultar en violaciones de cumplimiento. Cada vez se espera más que los MSSP cumplan con requisitos normativos como HIPAA y CMMC y demuestren el cumplimiento de marcos de seguridad como SOC 2 y NIST CSF, los cuales requieren registros de auditoría detallados y pruebas de gobernanza de acceso. Cumplir con estos estándares sin capacidades centralizadas de registro e informes se convierte en un proceso propenso a errores que puede aumentar la carga administrativa y erosionar la confianza del cliente.

Cómo pueden los MSSP utilizar Keeper^® para proteger entornos multiinquilino

KeeperMSP está diseñado para brindar a los MSSP la infraestructura necesaria para aplicar una seguridad consistente de nivel empresarial en todos los entornos de los clientes desde una plataforma unificada de seguridad de identidad. En lugar de gestionar entornos multiinquilino con una colección de herramientas desconectadas y procesos manuales, los MSSP pueden simplificar la prestación de sus servicios con KeeperMSP.

Gestión centralizada en todos los clientes

KeeperMSP proporciona a los administradores un único panel para gestionar las credenciales, el acceso y las políticas de seguridad en los entornos de sus clientes. En lugar de alternar entre varias plataformas o herramientas específicas para clientes, los técnicos pueden agilizar sus flujos de trabajo a través de una interfaz centralizada. Esto reduce el riesgo de error humano y, para la gestión, ofrece una visibilidad completa de los eventos de seguridad en toda la cartera de clientes.

Aislamiento de inquilinos integrado

Cada entorno de cliente dentro de KeeperMSP está separado por diseño de manera intencional. Cada inquilino opera en su propio espacio aislado con bóvedas dedicadas, políticas de seguridad y permisos administrativos que aseguran que nadie pueda acceder a una credencial o dato de un cliente. Este aislamiento integrado elimina el riesgo de exposición de datos entre inquilinos y refuerza la confianza de que los datos de cada cliente permanecen protegidos dentro de su propio entorno. Keeper cuenta con la certificación FedRAMP High, la certificación SOC 2 Tipo II y la certificación ISO 27001, lo que ofrece a los MSSP un proveedor cuya propia postura de seguridad respalda los requisitos de cumplimiento que prometen a sus clientes.

Gestión segura de credenciales

KeeperMSP utiliza bóvedas cifradas de conocimiento cero, junto con capacidades integradas de gestión de secretos, para administrar de forma segura las credenciales y secretos de los clientes. Con esta arquitectura, las contraseñas y los secretos nunca se exponen a los técnicos ni a Keeper. Keeper maneja la autenticación detrás de escena, asegurando que las credenciales se utilicen sin que se puedan ver, almacenar o compartir fuera de la bóveda. Esto elimina el riesgo de proliferación de credenciales, elimina la dependencia de métodos de almacenamiento y uso compartido inseguros, y garantiza que cada credencial y secreto en los entornos de los clientes se gestione en una única ubicación auditable.

Aplicación de acceso de privilegio mínimo y JIT

KeeperMSP permite a los administradores aplicar el acceso con privilegios mínimos en todos los entornos de los clientes mediante la delimitación de permisos a ciertos roles y responsabilidades. Con el acceso justo a tiempo (JIT), los MSSP pueden realizar el provisionamiento de acceso según sea necesario y revocarlo automáticamente una vez completada la tarea, lo cual garantiza que los técnicos nunca retengan acceso permanente más allá de lo que requiere su trabajo. Los permisos se configuran por cliente, por lo que los controles de acceso siempre se diseñan para el entorno específico, en lugar de aplicarse como una política general. Como resultado, KeeperPAM para MSSP ofrece un modelo de acceso estrictamente controlado que reduce el riesgo de abuso de privilegios y acceso no autorizado.

Monitoreo y grabación de sesiones

Los MSSP pueden obtener visibilidad completa de la actividad privilegiada en el entorno de cada cliente con las capacidades de monitoreo y grabación de sesiones de KeeperMSP. Cada sesión se monitorea, registra y graba, creando un registro de auditoría detallado que respalda los informes de cumplimiento y la responsabilidad interna. Además del monitoreo de sesiones, KeeperAI^® analiza de forma activa la actividad de la sesión y los patrones de comportamiento para detectar actividades sospechosas y posibles ciberamenazas en tiempo real.

Gestión de privilegios en endpoints

KeeperMSP extiende los controles de acceso privilegiado más allá de las credenciales y los secretos hasta el nivel de endpoint con Keeper Endpoint Privilege Manager (EPM). En lugar de otorgar a los técnicos amplios derechos de administrador en las máquinas cliente, Keeper EPM permite a los MSSP elevar los privilegios según la aplicación o la tarea, solo cuando es necesario. Esto elimina los riesgos de seguridad asociados al acceso permanente, incluidas las instalaciones de software no autorizadas y los movimientos laterales, a la vez que sigue brindando a los técnicos el acceso necesario para realizar su trabajo de manera eficaz. Keeper EPM garantiza que el privilegio mínimo se aplique no solo dentro de las bóvedas de los clientes, sino también en todos los dispositivos que los técnicos utilizan para prestar servicio a esos entornos.

Beneficios de usar KeeperMSP

La gestión y protección de los entornos multiinquilino a gran escala requiere una plataforma diseñada específicamente para MSP y MSSP. Estos son los beneficios clave de usar KeeperMSP para simplificar la seguridad multiinquilio:

Descubra cómo Queen Consulting estandarizó la seguridad para sus clientes contratistas federales con KeeperMSP.

Mejore la seguridad de los clientes para los MSSP con Keeper

A medida que los MSSP incorporan clientes nuevos, gestionan más credenciales privilegiadas y se enfrentan a un conjunto creciente de ciberamenazas, la seguridad multiinquilino es cada vez más crítica. El control de acceso centralizado y seguro es lo que separa a los MSSP que escalan con confianza de aquellos que están continuamente expuestos a riesgos de seguridad evitables. KeeperMSP está diseñado para abordar la seguridad multiinquilino en cada capa, desde el almacenamiento de credenciales de conocimiento cero y el aislamiento estricto del entorno del cliente hasta la aplicación del acceso con privilegios mínimos y la generación de informes de cumplimiento.

Comience hoy su prueba gratis de KeeperMSP para reducir su superficie de ataque y proporcionar la seguridad multiinquilino que sus clientes merecen.

Continúe leyendo para conseguir más información sobre la brecha de LastPass de 2026, el patrón de incidentes de seguridad de la empresa que se repite a lo largo de los años y la alternativa de Keeper^® que es más segura para proteger su información confidencial.

¿Todo listo para migrar de LastPass a Keeper después de esta última vulneración? Sea uno de los miles de clientes de LastPass que ya han realizado el cambio.

Qué hay que saber sobre la brecha de LastPass de 2026

Aquí están los datos clave sobre la brecha de LastPass de 2026 y cómo ocurrió:

Por qué son relevantes los incidentes de seguridad repetidos de LastPass

La filtración de 2026 de LastPass es una de las muchas que la empresa ha sufrido en los últimos años, y cada incidente erosiona la confianza de los clientes, quienes cuentan con que sus credenciales están realmente seguras. Esta última brecha también se reveló diez días después de que LastPass se enterara por primera vez del riesgo de Klue, y la empresa tuvo conocimiento de ello el 12 de junio de 2026, pero no lo reveló públicamente hasta el 22 de junio de 2026. Durante ese tiempo, es posible que los clientes no supieran que su información personal podría haber estado expuesta, y este enfoque tardío es uno que LastPass también adoptó durante su filtración de 2022.

Este patrón refleja una realidad inquietante: su información puede quedar expuesta incluso si su proveedor no es hackeado directamente. La propia infraestructura de LastPass no fue vulnerada en esta ocasión, pero incluso en un ataque a la cadena de suministro, los datos de los clientes se vieron comprometidos. A medida que las organizaciones conectan más herramientas y plataformas, cada integración se convierte en un posible punto de entrada, y un eslabón débil en la cadena de suministro puede poner en peligro la información del cliente.

Por qué Keeper es una alternativa más segura a LastPass

Después de varias brechas, los usuarios de LastPass se están replanteando dónde guardar sus contraseñas. Explore nuestra página Keeper vs. LastPass para comparar historiales, arquitecturas de seguridad y responsabilidad a la hora de proteger los datos de los clientes.

Cifrado de conocimiento cero

Keeper está diseñado con una arquitectura de seguridad de conocimiento cero, lo que significa que todo el cifrado y descifrado se realiza localmente en el dispositivo del usuario. La clave necesaria para desbloquear una bóveda se deriva de la contraseña maestra del usuario y nunca sale de su dispositivo, por lo que Keeper nunca puede ver, descifrar ni acceder a los datos almacenados. Esta es una distinción crucial: incluso si los sistemas de Keeper fueran atacados, los datos de la bóveda del cliente seguirían siendo ilegibles porque las claves para descifrarlos no están allí para ser robadas.

Auditorías y certificaciones independientes

Keeper es la plataforma más certificada y auditada de la industria. Cuenta con la certificación FedRAMP High y la autorización GovRAMP High, y posee las certificaciones SOC 2, ISO 27001, la validación FIPS 140-3 y el cumplimiento del RGPD, HIPAA y PCI DSS, entre otras certificaciones. Estas son evaluaciones rigurosas e independientes que las personas, las empresas y las agencias gubernamentales exigen antes de confiarle sus datos confidenciales a una plataforma. Además, expertos externos validan de forma continua la plataforma de Keeper mediante pruebas de penetración periódicas, un programa activo de recompensas por errores y un programa público de divulgación de vulnerabilidades para garantizar que sus soluciones se prueben, verifiquen y mejoren de manera constante.

Historial limpio, sin filtraciones

Más allá de su arquitectura de conocimiento cero y sus amplias certificaciones, Keeper nunca ha sufrido una brecha en sus bóvedas cifradas ni en su infraestructura subyacente. El largo e ininterrumpido historial de Keeper, respaldado por el cifrado de conocimiento cero y una verificación independiente, demuestra que su modelo de seguridad está diseñado para proteger los datos del cliente incluso en las peores situaciones.

Cámbiese a Keeper hoy mismo para mantenerse protegido

Cada nuevo incidente de seguridad de LastPass sirve como recordatorio de que la protección de la información confidencial no debe dejarse en manos de una herramienta con un historial de exposición frecuente. Por suerte, trasladarse a un gestor de contraseñas más seguro como Keeper es sencillo. Keeper le permite importar sus contraseñas, carpetas, carpetas compartidas, códigos TOTP y archivos adjuntos existentes directamente desde LastPass en solo unos pocos pasos, para que pueda trasladar su bóveda sin tener que volver a introducir sus credenciales una por una ni perder ninguno de sus datos en el proceso. No se arriesgue a sufrir una filtración, pásese a una plataforma construida sobre cifrado de conocimiento cero, respaldada por las certificaciones independientes más rigurosas de la industria y sustentada por un historial limpio de mantener seguras las bóvedas de los clientes.

Inicie hoy mismo su prueba gratuita de Keeper para proteger sus contraseñas y otros datos confidenciales.

Durante años, unirse al mercado de un distribuidor importante fue, principalmente, una transacción comercial. Se enviaban los datos de su negocio, se superaban algunas comprobaciones básicas de incorporación y se comenzaba a vender. La seguridad de la identidad era una cuestión secundaria, una categoría de producto y no un requisito de colaboración.

Esos días ya quedaron atrás.

En todo el canal, los distribuidores de MSP están dando un giro decisivo. Lo que antes era un elemento más del catálogo de productos de un MSP se ha convertido en una puerta de acceso fundamental al propio ecosistema. Los MSP que no priorizan las estrategias de seguridad centradas en la identidad pueden tener dificultades para seguir siendo competitivos en las redes de socios actuales.

Por qué la seguridad de la identidad se está convirtiendo en un requisito imprescindible para las alianzas con los MSP

Según el Informe de Huntress de 2025 sobre Managed ITDR, los ataques basados en la identidad representan más del 40% de todos los incidentes de seguridad, con más de la mitad de las organizaciones afectadas por el compromiso del correo electrónico empresarial solo el año pasado. Además, la investigación de Sophos X-Ops reveló que las listas de credenciales robadas en la dark web se incrementaron un 106% entre junio de 2024 y junio de 2025. No se trata de métricas abstractas de inteligencia sobre amenazas; son la realidad cotidiana de las organizaciones a las que prestan servicio los MSP.

Debido a que los compromisos relacionados con la identidad pueden tener consecuencias de gran alcance en los entornos de los clientes, los distribuidores tienen una responsabilidad cada vez mayor de promover protecciones de identidad más sólidas en toda su red de socios. Las plataformas líderes ya están respondiendo con el lanzamiento de programas formales de seguridad basados en marcos tales como CIS Controls y seleccionando carteras de proveedores enfocados en la identidad.

El mensaje es claro. En la actualidad, contar con controles sólidos de identidad y acceso es un requisito básico para los miembros del mercado.

Cómo los requisitos de CSP de Microsoft están elevando los estándares de seguridad de la identidad para los MSP

Si el panorama de amenazas justificaba la seguridad de la identidad, los requisitos actualizados de CSP de Microsoft demostraron lo rápido que se están formalizando esas expectativas. Es solo un ejemplo de un cambio más amplio que está teniendo lugar en todo el ecosistema tecnológico, donde los proveedores, los mercados, las aseguradoras de ciberseguros y los marcos de cumplimiento están elevando la vara de la responsabilidad en materia de seguridad.

El 1 de octubre de 2025, la política actualizada de CSP de Microsoft entró en vigencia en todos los niveles de socios, exigiendo medidas tales como el cumplimiento de la autenticación multifactor (MFA), los contactos de seguridad designados y las respuestas oportunas a avisos de seguridad. En el caso de los socios actuales, el cumplimiento se valida anualmente y se puede revocar la autorización a quienes no cumplan con estas obligaciones.

Estándares como estos se están convirtiendo en un componente cada vez más esencial en la evaluación de los socios. Para los MSP que no pueden demostrar una higiene de identidad básica, incluyendo la aplicación de MFA y la gestión segura de credenciales, podría ser más difícil participar de ecosistemas de proveedores, programas de distribución y asociaciones centradas en la seguridad en el futuro.

Por qué los distribuidores están priorizando los MSP centrados en la identidad

A medida que las amenazas de identidad se convierten en una preocupación empresarial mayor, no solo están cambiando lo que los MSP necesitan hacer – también están redefiniendo a quién los distribuidores quieren reclutar en primer lugar.

La realidad es que los distribuidores trabajan en la intersección entre los proveedores y los MSP. El éxito depende no solo de atraer a proveedores centrados en la identidad, sino también de contratar socios que tengan las habilidades y las capacidades necesarias para complementar esos productos. Un MSP que se ejecuta con credenciales compartidas, sin cumplimiento de MFA o visibilidad de detección y respuesta a amenazas de identidad (ITDR), puede, en última instancia, poner en peligro la reputación y la postura de cumplimiento del distribuidor.

Los proveedores conscientes de la seguridad se están convirtiendo en candidatos de primer nivel. Los MSP que han invertido en infraestructura de identidad – como la aplicación de MFA, gestión de acceso privilegiado (PAM) e ITDR – son cada vez más atractivos para los distribuidores que buscan impulsar el crecimiento del mercado. Estos proveedores suelen estar mejor posicionados para incrementar las ventas, reducir riesgos operativos y atender a organizaciones que ven la ciberseguridad como una prioridad estratégica, en lugar de una casilla de cumplimiento que hay que marcar.

Las evaluaciones de la postura de seguridad se están convirtiendo en una parte más común del proceso de verificación de socios. Un MSP que puede demostrar una estrategia de gestión de identidad bien desarrollada señala madurez operativa, conciencia del cumplimiento y preparación para apoyar soluciones y servicios de seguridad líderes.

Esta tendencia va más allá de los controles tradicionales de acceso y credenciales. ITDR surge como un poderoso diferenciador entre los MSP que los distribuidores buscan contratar, ayudando a los proveedores a mejorar sus ofertas de seguridad con monitoreo continuo de identidad, detección de amenazas y respuesta a ellas. A medida que se intensifican los ataques basados en la identidad, la resiliencia de la identidad se ha convertido en una prioridad clave para los usuarios, los sistemas y los puntos de acceso.

Para los distribuidores, esto representa algo más que una simple categoría de seguridad. Crea una brecha cada vez mayor entre los MSP que pueden ofrecer servicios avanzados de seguridad de la identidad y aquellos que no pueden hacerlo. Los proveedores que logran posicionar, implementar y administrar de manera eficaz soluciones modernas de identidad están creando nuevas oportunidades de ingresos recurrentes y satisfaciendo necesidades de los clientes que muchos de sus competidores no están en condiciones de atender.

La gestión de la identidad también está evolucionando más allá de los usuarios humanos. Las cuentas de servicio, las credenciales de API, las identidades de máquina y los flujos de trabajo impulsados por IA ahora tienen acceso a sistemas críticos para las empresas en todos los entornos administrados por MSP. A medida que las organizaciones continúan adoptando tecnologías de automatización y de IA, surge la protección de estas identidades no humanas (NHI) como un componente fundamental de las estrategias de seguridad modernas.

Los MSP que inviertan hoy en estas prácticas de seguridad estarán mejor posicionados para enfrentar los retos de seguridad futuros. Del mismo modo, los distribuidores que reconozcan estas tendencias pronto y alineen sus ecosistemas de socios estarán mejor preparados para atraer a los MSP innovadores, apoyar el éxito a largo plazo de sus socios y fortalecer su posición en un entorno de canales orientado a la seguridad.

Cómo los distribuidores de MSP pueden crear entornos de socios centrados en la identidad

Los distribuidores que actúen con urgencia moldearán el futuro del talento de MSP dentro de sus redes de socios. La identidad ahora sirve como el prisma a través del cual la contratación de socios, su capacitación y la implementación contribuyen a crear mercados centrados en la identidad.

A continuación, se presentan varias prácticas que los principales distribuidores pueden priorizar para crear mercados más sólidos y basados en la identidad:

La seguridad de la identidad es la nueva medida del éxito de los MSP

Lo que comenzó como un requisito de seguridad se está convirtiendo en una ventaja competitiva. Los distribuidores que lideran esta iniciativa ya no administran mercados en los que la seguridad sea opcional. Están creando ecosistemas en los que la seguridad de la identidad es un requisito fundamental, y los socios que no cumplan con esos estándares podrían tener dificultades para seguir siendo relevantes.

Para los distribuidores de MSP, el momento es importante. Las expectativas de cumplimiento son cada vez más estrictas, la exposición al riesgo crece y los clientes finales exigen mayores niveles de madurez operativa a sus proveedores de servicios. Las prácticas sólidas de identidad se están convirtiendo rápidamente en una característica determinante de los MSP con los que los clientes, proveedores y socios de canal quieren trabajar.

La pregunta para cada distribuidor es sencilla: ¿su mercado es para los MSP del pasado o para los que sus clientes realmente necesitan?

KeeperMSP: diseñado para cumplir con el estándar de identidad que necesitan los distribuidores

Aquí es donde las soluciones de seguridad de la identidad diseñadas específicamente ayudarán a los distribuidores a fortalecer sus estrategias de contratación y habilitación de MSP. Como plataforma PAM de confianza y conocimiento cero, KeeperMSP proporciona la infraestructura de identidad necesaria para cumplir con los requisitos de cumplimiento, proteger los entornos de los clientes y destacarse en el proceso de verificación de socios.

A medida que las expectativas de los MSP continúan evolucionando, los distribuidores necesitan más que otro logotipo para agregar a sus portafolios u otra solución de seguridad para sus mercados. Necesitan socios que los ayuden a atraer, habilitar y retener a los MSP que están moldeando el futuro del canal.

Keeper ya está integrado en los principales ecosistemas de distribución, lo que proporciona a los MSP una plataforma multiusuario diseñada específicamente para proteger credenciales, administrar secretos y poner en práctica la seguridad de la identidad a gran escala. Más allá de la tecnología en sí, Keeper posiciona a los distribuidores para capitalizar una de las prioridades de más rápido crecimiento en servicios gestionados: permitir que los MSP ofrezcan servicios de seguridad centrados en la identidad que sean escalables y recurrentes.

Una base de identidad central ofrece beneficios estratégicos que van mucho más allá de la adopción de tecnología. Impulsa una mayor participación de los socios, mejores conversaciones para las contrataciones y un crecimiento sostenible del ecosistema. Al dotar a los MSP de las herramientas, los recursos y las capacidades de seguridad que necesitan para tener éxito, los distribuidores pueden ofrecer una propuesta de canal más diferenciada y valiosa.

El canal está entrando en una nueva fase — una en la que los MSP evalúan las asociaciones no solo en función de las capacidades del producto, sino también de los resultados empresariales que esas asociaciones hacen posibles.

Los distribuidores que prosperen en este entorno serán los que alineen sus ecosistemas con el rumbo de la demanda de MSP. Al adoptar un enfoque centrado en la identidad, usted estará mejor posicionado para atraer a la próxima generación de MSP, fomentar relaciones más estables con los socios y cultivar programas de canales más resilientes y de mayor margen.

Comience hoy su prueba gratis de KeeperMSP.

Esto es lo que le sucedió a Dashlane en mayo de 2026: los atacantes forzaron por fuerza bruta los códigos de seis dígitos utilizados para registrar nuevos dispositivos, agregaron dispositivos no autorizados a menos de 20 cuentas y descargaron copias de las bóvedas de esos usuarios. El cifrado en sí nunca se rompió, pero la vulnerabilidad estaba en cómo se aprobaban los nuevos dispositivos. Los ataques de fuerza bruta que tienen como objetivo el registro de dispositivos del administrador de contraseñas son una ciberamenaza creciente, pero son ineficaces contra la arquitectura de confianza cero y conocimiento cero de Keeper, la cual garantiza que conocer una contraseña nunca es suficiente para registrar un dispositivo y acceder a una bóveda.

Cómo funcionan los ataques de fuerza bruta en el registro de dispositivos

Cuando agrega un nuevo dispositivo a un administrador de contraseñas, el proveedor del servicio debe verificar que el dispositivo es suyo antes de otorgarle acceso a su bóveda. Este paso de confirmación en el flujo de registro del dispositivo es el objetivo de estos ataques de fuerza bruta. Para comprender por qué los administradores de contraseñas como Dashlane eran vulnerables a este ataque, mientras que otros como Keeper^® no lo son, a continuación se explica cómo suelen funcionar estos ataques:

Este proceso no es hipotético; es la forma en que se desarrolló el ataque a Dashlane. Por lo tanto, asegurar el flujo de registro del dispositivo es tan importante como proteger las bóvedas.

Por qué el registro no autorizado de dispositivos crea riesgo

El registro no autorizado de dispositivos supone serios riesgos de seguridad porque, una vez que un nuevo dispositivo está registrado en una cuenta de gestor de contraseñas, puede acceder a la bóveda del usuario y aparecer como un usuario legítimo y autenticado. El atacante no necesita eludir, debilitar ni romper el cifrado de la bóveda para llevar a cabo este tipo de ataque de fuerza bruta. Lo único que necesitan es que el proveedor de servicios confíe en su dispositivo, lo que permitirá que los datos cifrados de la bóveda se sincronicen directamente con el hardware que controlan.

Las implicaciones de que un atacante posea una copia de la bóveda encriptada de un usuario son a largo plazo, ya que el atacante puede intentar descifrarla fuera de línea a su propio ritmo durante el tiempo que sea necesario para acceder a ella. Si bien el cifrado robusto de la bóveda hace que, estadísticamente, sea poco probable que esto funcione, la probabilidad depende en gran medida de un factor que el usuario puede controlar: la solidez de su contraseña maestra. Una contraseña maestra larga, compleja y singular puede evitar que vulneren una bóveda exfiltrada, pero una contraseña maestra débil o reutilizada tiene muchas más probabilidades de ser descifrada con el tiempo suficiente. Asegurar el flujo de registro del dispositivo es esencial para que la protección de la bóveda de un usuario no dependa completamente de la solidez de su contraseña maestra.

Keeper ayuda a prevenir ataques de registro de dispositivos por fuerza bruta: cómo lo hace

Las personas que usan Keeper no serían víctimas del mismo tipo de ataque de fuerza bruta que afectó a Dashlane porque Keeper garantiza que simplemente conocer la contraseña de un usuario o forzar con éxito una OTP no es suficiente para registrar un nuevo dispositivo o acceder a una bóveda.

Aprobación de dispositivos

Con Keeper, cada nuevo dispositivo debe ser aprobado explícitamente antes de que pueda acceder a una bóveda. Esta aprobación es un paso separado e intencional, y no algo que ocurre inmediatamente después de que se ingresa un código. En el caso de usuarios individuales, la aprobación proviene del propietario de la cuenta utilizando un dispositivo ya de confianza; en el caso de empresas, un administrador puede aprobar nuevos dispositivos en nombre de usuarios legítimos. En este tipo de ataque, adivinar un OTP válido es suficiente para completar el registro del dispositivo, pero con Keeper no existe un único endpoint de API cuyo código pueda ser vulnerado por fuerza bruta para finalizar el proceso.

Autenticación Multifactor (MFA)

Keeper soporta una variedad de métodos MFA, o autenticación de dos factores (2FA), como claves de seguridad hardware FIDO2/WebAuthn, biometría, aplicaciones de autenticación y SMS. Sin embargo, no todos estos métodos son igualmente resistentes a los ataques de fuerza bruta. Los códigos enviados por correo electrónico o SMS son los más vulnerables, ya que pueden adivinarse o interceptarse en tránsito. Las aplicaciones de autenticación ofrecen una mayor protección porque el código se genera localmente en el dispositivo del usuario, pero aún dependen de códigos cortos basados en el tiempo y por tanto dependen de limitaciones de velocidad y otros controles para evitar intentos de fuerza bruta. Las llaves de seguridad de hardware proporcionan la protección más fuerte porque se basan en la autenticación criptográfica de desafío-respuesta en vez de un código corto. Dado que no existe un valor predecible que un atacante pueda enviar repetidamente a un endpoint de API, los ataques de fuerza bruta dirigidos al registro de dispositivos se vuelven ineficaces.

Seguridad de confianza cero

Keeper se basa en un modelo de seguridad de confianza cero, lo que significa que cada solicitud de acceso debe ser verificada independientemente de la ubicación de la red o del historial previo de autenticación. Con Keeper, a un dispositivo no se le otorga una confianza persistente e implícita simplemente porque ya esté registrado o verificado; cada solicitud se evalúa de forma independiente. Este modelo de seguridad implica que, incluso si un atacante lograra de alguna manera registrar un dispositivo, esa oportunidad en particular no le otorgaría acceso continuo. Bajo un marco de confianza cero, no existe ningún mecanismo por el cual un atacante pueda explotar el registro de dispositivos para obtener acceso indefinido.

Módulo de informes avanzados y alertas (ARAM)

El módulo de informes avanzados y alertas (ARAM) de Keeper ofrece a los administradores visión sobre comportamientos sospechosos en su entorno, como anomalías de autenticación e intentos de registro de dispositivos. Los intentos de verificación que ocurren dentro de un período corto de tiempo o un volumen alto de intentos fallidos de registro de dispositivos son exactamente los tipos de eventos que ARAM puede mostrar. Tener plena visibilidad de la actividad inusual permite a los administradores actuar con rapidez, en vez de permitir que un comportamiento sospechoso pase desapercibido hasta que se haya registrado un dispositivo no autorizado.

Por qué es importante la arquitectura de conocimiento cero de Keeper

Los controles de acceso de Keeper están diseñados para impedir que un atacante registre un dispositivo, pero otra capa de protección refuerza aún más la seguridad: una arquitectura de conocimiento cero. En la práctica, el conocimiento cero significa que todo lo almacenado en la bóveda de un usuario está encriptado de extremo a extremo en todo momento, por lo que ni siquiera Keeper puede descifrarlo. Dado que las claves de cifrado se generan en el dispositivo del usuario, los datos también se cifran y descifran de forma local, lo que garantiza que la bóveda permanezca completamente bajo el control del usuario. Incluso si un atacante obtuviera de alguna manera una copia de la bóveda cifrada de un usuario, se enfrentaría a un desafío casi imposible, ya que las claves de cifrado necesarias para desbloquear una bóveda de Keeper no existen en la infraestructura de Keeper.

Proteja sus datos ante ataques de fuerza bruta con Keeper

El incidente de seguridad de Dashlane demuestra que el cifrado sólido de la bóveda por sí solo no es suficiente. A medida que los atacantes cambian su enfoque de descifrar bóvedas encriptadas a explotar los flujos de trabajo que otorgan acceso, es esencial comprender cómo prevenir ataques de fuerza bruta y asegurar los procesos de registro y autenticación de dispositivos. Un gestor de contraseñas debe proteger tanto las bóvedas de usuario como el flujo que gestiona quién puede acceder a ellas.

La brecha de LastPass de 2022 tuvo un resultado similar, pero a través de una ruta diferente: los atacantes comprometieron la infraestructura de la compañía y robaron copias de bóvedas encriptadas, pero desde entonces los investigadores de seguridad han rastreado el robo hasta bóvedas débilmente protegidas. Tanto los incidentes de Dashlane como los de LastPass muestran que, una vez que un atacante obtiene acceso a la bóveda encriptada de los usuarios, pueden atacar de forma indefinida, lo que subraya la importancia de usar un administrador de contraseñas seguro para proteger sus datos.

Keeper está diseñado para protegerse contra este tipo de ataques mediante la aprobación de dispositivos, asegurando que un código adivinado no pueda registrar un nuevo dispositivo por sí solo; múltiples métodos de autenticación multifactor (MFA); y un modelo de seguridad de confianza cero, que garantiza que ningún dispositivo sea implícitamente confiable. Estas protecciones operan dentro de una arquitectura de conocimiento cero que mantiene las claves de cifrado bajo el control del usuario.

Inicie una prueba gratuita de Keeper para ver cómo su seguridad en capas garantiza que los datos de su bóveda estén cifrados con claves que solo usted controla.

Continúe leyendo para conocer más sobre estas herramientas de gestión de bases de datos, sus características únicas y diferenciales.

¿Qué es KeeperDB?

KeeperDB es un cliente de base de datos completo y multiprotocolo, diseñado para ingenieros, administradores de bases de datos (DBA) y equipos de datos. Se creó para subsanar una brecha de seguridad importante: tradicionalmente, el acceso a las bases de datos se realizaba mediante herramientas no administradas, credenciales compartidas y conexiones no supervisadas que quedaban fuera de los controles de seguridad. Existe una versión de KeeperDB con formato de aplicación de escritorio independiente y gratis para Windows, macOS y Linux, la cual reemplaza las herramientas heredadas como DBeaver y MySQL Workbench con una interfaz moderna, autenticación biométrica y un agente de IA integrado.

Estas son las características que diferencian KeeperDB de las herramientas heredadas de gestión de bases de datos:

Las capacidades de KeeperDB se potencian cuando se despliega como parte de KeeperPAM, convirtiéndose en una sesión de acceso privilegiado completamente regulada dentro de la bóveda de Keeper. En los flujos de trabajo de Keeper, las credenciales nunca se exponen al usuario ni se almacenan de forma local en el endpoint; se descifran dentro del Keeper Gateway y se entregan a través de un canal encriptado para admitir el acceso sin contraseña. Las consultas y sesiones se registran en un registro de auditoría detallado, el acceso se rige mediante provisionamiento justo a tiempo (JIT), y KeeperAI^® analiza de forma continua la actividad buscando consultas sospechosas e intentos de exfiltración de datos. Tanto si se usa como cliente independiente o mediante KeeperPAM, KeeperDB ofrece a los equipos una única herramienta para trabajar entre protocolos y entornos, eliminando la necesidad de cambiar entre aplicaciones cuando se gestionan varias bases de datos.

¿Qué es DBeaver?

DBeaver es un cliente de gestión de bases de datos ampliamente adoptado, utilizado por desarrolladores y administradores de bases de datos que necesitan un entorno flexible para trabajar con datos. Es compatible con fuentes de datos SQL, NoSQL y basadas en la nube desde una única interfaz, lo que lo convierte en una opción muy popular entre los equipos que administran entornos de bases de datos diversos. DBeaver incluye una variedad de características de productividad, como un editor SQL con todas las funciones, visualización de esquemas, diagramas ER, análisis de rendimiento de consultas y complementos extensos. Su amplia compatibilidad con más de 100 sistemas de bases de datos lo convierte en una herramienta útil para equipos que trabajan con plataformas heredadas, infraestructura mixta o fuentes de datos especializadas.

DBeaver ofrece una edición comunitaria gratis y de código abierto que cubre lo esencial de la administración de bases de datos de propósito general, así como ediciones de pago que agregan capacidades más avanzadas como integraciones en la nube, Single Sign-On (SSO) y herramientas adicionales para desarrolladores. Si bien DBeaver prioriza la flexibilidad y la eficiencia, ninguna de sus ediciones ofrece autenticación biométrica ni recuperación de credenciales basada en bóvedas.

Comparación de características entre KeeperDB y DBeaver

Tanto KeeperDB como DBeaver ofrecen funciones de administración de bases de datos, pero se desarrollaron en torno a principios y prioridades fundamentales distintos. Se diferencian de las siguientes formas:

Experiencia diaria del usuario

KeeperDB está diseñado para ser la herramienta que los administradores de bases de datos realmente quieren usar, con una interfaz moderna, editor de consultas, bloc de notas SQL, explorador de esquemas, diagramas ER, agente de IA integrado y un monitor de rendimiento en tiempo real. DBeaver ofrece un conjunto completo de funciones y un ecosistema de complementos bien desarrollado, lo cual fomenta su amplia adopción. Sin embargo, KeeperDB combina su atractivo visual con la autenticación biométrica y la recuperación de credenciales basada en bóveda, mientras que DBeaver – como la mayoría de los clientes heredados – sigue dependiendo por defecto de credenciales almacenadas de forma local en el endpoint.

Seguridad y acceso

KeeperDB se autentica con Face ID o Windows Hello y recupera las credenciales de la base de datos de Keeper Secrets Manager en el momento de la conexión, para que las credenciales no queden en los archivos de configuración en texto plano, en el endpoint. Cuando se emplea KeeperDB en KeeperPAM o cuando un cliente existente se enruta a través del proxy de KeeperDB, las credenciales nunca llegan al endpoint; cada sesión se registra y el acceso sin contraseña se rige por políticas de seguridad de confianza cero.

DBeaver soporta SSO, Kerberos y MFA en niveles de pago, con la gestión de credenciales disponible a través de un gestor de secretos específicamente en el nivel Ultimate. Si bien estas son características útiles, son simplemente adiciones a una herramienta prioritaria de productividad en la que las credenciales aún se almacenan localmente de forma predeterminada. Cuando KeeperDB se implementa en KeeperPAM, las credenciales nunca llegan al endpoint, cada sesión se registra y el acceso se rige por políticas de seguridad de confianza cero. Aunque DBeaver ofrece controles de acceso en sus planes de pago, el hecho de que no cuente con protección contra la inyección de credenciales ni con grabación de sesiones implica que no alcanza el mismo nivel de seguridad y regulación de KeeperDB.

Compatibilidad y soporte para bases de datos

KeeperDB es compatible con las principales plataformas de bases de datos empresariales – PostgreSQL, MySQL, Microsoft SQL Server, Oracle, Amazon Redshift y SQLite ‑ y ofrece una interfaz uniforme en todas ellas. Esto significa que los administradores de bases de datos que gestionan múltiples bases de datos no necesitan cambiar entre herramientas. DBeaver, por otro lado, admite más de 100 sistemas de bases de datos (incluso NoSQL). Esto lo convierte en una opción sólida para uso general o para equipos que trabajan con fuentes de datos heredadas, de nicho o diversas que no se encuentran entre las principales plataformas empresariales.

Precios

KeeperDB está disponible como una aplicación de escritorio independiente y gratuita, con capacidades avanzadas disponibles mediante una suscripción de pago. Para las empresas con una licencia de KeeperPAM, KeeperDB también se incluye en la plataforma y se puede iniciar directamente desde la bóveda de Keeper como una sesión de base de datos incrustada y regulada. Esto brinda a los equipos la flexibilidad para comenzar utilizando KeeperDB como un cliente de base de datos moderno e independiente, y ampliar sus capacidades de seguridad con PAM a medida que sus necesidades vayan surgiendo. Al igual que KeeperDB, DBeaver sigue un modelo freemium. Su edición Community es gratuita y de código abierto, y los niveles de pago como Pro y Ultimate agregan funciones empresariales, como integraciones en la nube y controladores adicionales de bases de datos.

¿Qué herramienta de bases de datos multiprotocolo le conviene más: KeeperDB o DBeaver?

Para decidir entre KeeperDB y DBeaver, tenga en cuenta las prioridades de su equipo, los requisitos de cumplimiento y la postura general de seguridad.

Es posible que KeeperDB sea una mejor opción si:

• Busca un reemplazo moderno y visualmente atractivo para herramientas heredadas como DBeaver o MySQL Workbench.
• Desea que la autenticación biométrica y las credenciales se recuperen de Keeper Secrets Manager en vez de almacenarlas en archivos de configuración locales.
• Desea un agente de IA integrado que utilice su proveedor de LLM preferido.
• Tiene requisitos de cumplimiento normativo que debe observar (incluidos FedRAMP, SOC 2 o HIPAA) y requiere monitoreo, registro y auditoría completos de las sesiones.
• Ya está usando Keeper y quiere acceder a bases de datos desde la misma plataforma, o quiere la opción de avanzar hacia un acceso privilegiado regulado en el futuro.

Es posible que DBeaver sea una mejor opción si:

• Necesita compatibilidad amplia con tipos de bases de datos diversos o de nicho, incluso NoSQL.
• Depende de un complemento o una integración específica en el ecosistema de DBeaver.
• Prefiere un cliente de código abierto con una comunidad grande.

Si su entorno incluye NoSQL o tipos de bases de datos específicas que KeeperDB no soporta actualmente, DBeaver es una opción razonable para esas conexiones específicas. Sin embargo, con KeeperDB Proxy, usted no tiene que elegir – su equipo mantiene la interfaz de DBeaver con la que está familiarizado mientras Keeper maneja la seguridad y la regulación en segundo plano.

KeeperDB Proxy le permite usar ambos

Si su equipo emplea DBeaver y no está listo para cambiar de herramienta, KeeperDB Proxy permite a los desarrolladores seguir usando sus clientes de base de datos preferidos – incluido DBeaver – mientras enrutan todas las conexiones de forma segura a través de Keeper. La aplicación centralizada de políticas, la visibilidad total y la arquitectura de conocimiento cero de Keeper se mantienen en segundo plano sin interrumpir los flujos de trabajo existentes. KeeperDB Proxy ofrece un doble beneficio: la flexibilidad de DBeaver más la seguridad y gobernanza de Keeper.

Para obtener más información sobre KeeperDB Proxy, lea nuestra documentación.

Priorice la seguridad del acceso a bases de datos con KeeperDB

Como cliente independiente, KeeperDB es un reemplazo moderno de las herramientas heredadas, y cuando su equipo esté listo, la misma herramienta se extiende a KeeperPAM, con autenticación sin contraseña, recuperación de credenciales basada en bóvedas y regulación de confianza cero. DBeaver sigue siendo una herramienta flexible y ampliamente compatible para uso general y específico, pero no puede igualar la experiencia diaria y la seguridad de nivel empresarial de KeeperDB.

Descargue KeeperDB para modernizar el uso de bases de datos por parte de su equipo, e inicie una prueba gratuita de KeeperPAM para ver cómo escala hacia un acceso a bases de datos seguro y regulado.

Conclusiones clave

• La NIS2 es el marco actualizado de ciberseguridad de la Unión Europea, que introduce requisitos más estrictos, una cobertura sectorial más amplia y una mayor responsabilidad ejecutiva para las organizaciones que operan en la Unión Europea.
• La NIS2 sustituyó a la NIS original porque el marco original no podía mantenerse al día con el ransomware moderno, los ataques a la cadena de suministro y las ciberamenazas avanzadas dirigidas a la infraestructura crítica.
• La NIS2 se aplica principalmente a organizaciones medianas y grandes que operan en sectores cubiertos; sin embargo, algunas entidades deben cumplir independientemente de su tamaño debido a la naturaleza crítica de sus servicios.
• El artículo 21 describe las siete medidas de seguridad fundamentales que deben aplicar las organizaciones, que abarcan desde la gestión de riesgos hasta la respuesta ante incidentes y la seguridad de la cadena de suministro.
• Las brechas comunes de cumplimiento de la NIS2 incluyen la aplicación inconsistente de autenticación multifactor (MFA), poca visibilidad de los proveedores y una débil gestión de acceso privilegiado (PAM).
• Las consecuencias del incumplimiento pueden incluir multas de hasta €10,000,000 o el 2 % de la facturación anual global (lo que sea mayor) para las entidades esenciales, junto con obligaciones de notificación dentro de las 24 horas, 72 horas y un mes después de un incidente significativo.

Por qué la NIS2 reemplazó a la Directiva NIS original

La Directiva NIS original abarcaba principalmente las infraestructuras críticas tradicionales y se centraba en la seguridad perimetral. No tenía obligaciones claras de notificación y se implementó de manera inconsistente en todos los estados miembros de la Unión Europea, lo que limitó su eficacia. La NIS2 amplía la cobertura a los sectores definidos en los Anexos I y II, introduce plazos más estrictos para la notificación de incidentes y otorga mayor responsabilidad a la dirección ejecutiva, incluyendo la responsabilidad personal en las implementaciones nacionales de algunos estados miembros. Este cambio representa un paso de los requisitos mínimos de seguridad a un enfoque más proactivo hacia la resiliencia cibernética.

¿Quiénes están obligados a cumplir con la NIS2?

La NIS2 clasifica las organizaciones en dos grupos principales: entidades esenciales y entidades importantes. Ambos deben cumplir con las obligaciones de ciberseguridad y de notificación relacionadas con la NIS2, aunque las entidades esenciales enfrentan una supervisión más exigente y sanciones potencialmente más severas.

En general, la NIS2 se aplica a organizaciones medianas y grandes que operan en sectores cubiertos. Según la definición de la UE, las medianas empresas son aquellas con 50 o más empleados y una facturación anual superior a €10 000 000 – ambos criterios se consideran en conjunto, no como alternativas. Los sectores cubiertos por la NIS2 abarcan diversas industrias, entre ellas el cuidado de la salud, la manufactura, los servicios financieros, la energía, el transporte, el agua, la infraestructura digital, el sector espacial y la gestión de residuos.

El tamaño de una organización no determina el alcance de la NIS2. Algunas entidades entran en el ámbito de aplicación si sus servicios se consideran fundamentales para la estabilidad social o económica. Para las organizaciones que operan en varios Estados miembros de la Unión Europea, la NIS2 se aplica a nivel nacional, por lo que los requisitos de cumplimiento pueden variar según cómo haya transpuesto cada país la NIS2 a su legislación nacional.

Siete medidas de seguridad que las organizaciones necesitan para el cumplimiento de la NIS2

El artículo 21 de la NIS2 establece las medidas de ciberseguridad que se espera que las organizaciones implementen. Las medidas de seguridad reflejan ampliamente cómo debería ser un programa de seguridad bien gestionado, pero muchas organizaciones tienen dificultades con la implementación debido a la extensa jerga legal de la directiva. Estas son las siete áreas principales que aborda el marco.

1. Gestión de riesgos

Bajo la NIS2, las organizaciones deben establecer un proceso continuo de gestión de riesgos en lugar de depender de evaluaciones puntuales. Las organizaciones deben identificar continuamente cuáles son sus vulnerabilidades de seguridad, evaluar los posibles daños que esos riesgos podrían causar y abordarlos de forma periódica. Esto implica realizar evaluaciones de riesgos frecuentes, mantener planes de mitigación documentados y supervisar continuamente la actividad para detectar nuevas amenazas. Por último, en toda organización debe haber una persona a la que se le exija rendir cuentas por cada riesgo identificado y que sea responsable de mitigarlo.

2. Capacidad de respuesta ante incidentes

La NIS2 exige a las organizaciones que dispongan de procedimientos formales de respuesta ante incidentes antes de que se produzca un incidente de seguridad, con el fin de evitar que se genere el caos durante el mismo. Esto significa contar con un plan documentado de respuesta ante incidentes con responsabilidades definidas y eliminar la ambigüedad sobre quién debe realizar ciertas tareas. Tan importante como crear planes claros es ponerlos a prueba. Por ejemplo, si se detecta ransomware en una parte de la red de una organización en plena noche, la diferencia entre contener el incidente y sufrir una interrupción grave del servicio puede depender de si un equipo ha ensayado el proceso.

3. Continuidad del negocio

La NIS2 espera que las organizaciones mantengan su resiliencia durante y después de los incidentes cibernéticos, lo que incluye los procesos de respaldo y recuperación, el almacenamiento de datos accesible en caso de que el sistema se vea comprometido y la capacidad de restaurar los sistemas en los plazos establecidos. La planificación de la recuperación ante desastres debe definir objetivos claros de tiempo de recuperación, que aborden cuánto tiempo, de manera realista, una organización puede permitirse sufrir una interrupción operativa. Las pruebas periódicas de resiliencia garantizan que esos planes funcionen en la práctica y, cuando resulte adecuado desde el punto de vista operativo, la redundancia en los sistemas e infraestructuras críticos agrega otra capa de protección. Un aspecto fundamental de la continuidad del negocio es la necesidad de proteger las credenciales y el acceso a los sistemas críticos, ya que la recuperación se complica considerablemente cuando las claves de la infraestructura se encuentran entre los activos que se han visto comprometidos.

4. Seguridad de la cadena de suministro

La NIS2 da un énfasis significativo a la gestión de riesgos de terceros. La NIS2 deja claro que las organizaciones son responsables de gestionar los riesgos que introduzcan vendedores, proveedores de servicios y suministradores. Dada la importancia de la visibilidad, las organizaciones deben saber qué terceros tienen acceso a los sistemas, qué nivel de acceso tienen y si los proveedores cuentan con controles de seguridad adecuados. Las evaluaciones de riesgo de proveedores, las revisiones de acceso y el monitoreo continuo deberían convertirse en procesos operativos estándar. Los ataques modernos a la cadena de suministro han demostrado que la exposición a terceros puede convertirse rápidamente en un grave riesgo para la organización.

5. Control de acceso y gestión de identidad

Las organizaciones deben poder controlar quién tiene acceso a sus sistemas y qué pueden hacer con ese acceso para reducir la superficie de ataque. Como parte de los requisitos fundamentales de la NIS2, el principio del privilegio mínimo (PoLP) debe guiar la forma en que se otorga el acceso, de modo que los usuarios y los sistemas solo tengan acceso a lo que sea necesario. Los controles de acceso basados en roles (RBAC) proporcionan la estructura necesaria para aplicar esto de forma coherente y a gran escala, y la gestión del ciclo de vida de los usuarios ayuda a abordar el problema de las cuentas inactivas o abandonadas, que pueden convertirse en vulnerabilidades de seguridad explotables en el futuro. Esto es especialmente importante para cuentas privilegiadas, ya que los administradores y las cuentas de servicio con acceso privilegiado son objetivos valiosos. PAM, junto con una sólida seguridad de credenciales en toda la organización, contribuye a garantizar que estas cuentas estén protegidas, supervisadas y auditadas.

6. Cifrado y criptografía

Incluso las organizaciones mejor preparadas pueden sufrir una filtración de datos, y el cifrado influye a la hora de determinar el alcance real de los daños que provoca dicha filtración. La NIS2 espera que las organizaciones cifren los datos tanto en reposo como en tránsito, protejan credenciales e información confidencial y utilicen estándares criptográficos seguros. Si bien la NIS2 no prescribe una arquitectura de cifrado específica, el cifrado de conocimiento cero va más allá de los requisitos mínimos y puede ofrecer una protección adicional significativa a las organizaciones que gestionan credenciales y datos sensibles. En un entorno de conocimiento cero, los datos se cifran y se descifran a nivel del dispositivo, lo que significa que ni siquiera el proveedor de servicios puede acceder a ellos.

7. MFA y autenticación segura

Dado que las credenciales comprometidas constituyen uno de los puntos de entrada más habituales para los ciberdelincuentes, la NIS2 exige a las organizaciones que implementen controles de autenticación sólidos en todos los sistemas y para todos los usuarios. Esto incluye la aplicación de la autenticación multifactor (MFA), que agrega una capa adicional de verificación que limita el impacto del robo de credenciales. Siempre que sea posible, las organizaciones deben habilitar métodos de autenticación sin contraseña resistentes al phishing para eliminar el riesgo de que los usuarios sean manipulados para compartir credenciales o aprobar instrucciones. Estas medidas de control dificultan considerablemente que los ciberdelincuentes obtengan acceso no autorizado y reducen de forma significativa el impacto de las credenciales comprometidas.

Las organizaciones que busquen pasos prácticos pueden explorar nuestra guía sobre cómo las organizaciones pueden prepararse eficazmente para la NIS2.

Deficiencias habituales en el cumplimiento de la NIS2 a las que se enfrentan las organizaciones

La mayoría de las organizaciones ya cuentan con algunos controles de seguridad, pero las deficiencias operativas suelen impedir el cumplimiento total, especialmente de la Directiva NIS2. No comprender la directiva ni cumplir sus requisitos puede suponer consecuencias para las organizaciones.

Aplicación incompleta de MFA

Muchas organizaciones despliegan MFA de forma inconsistente. Aunque las cuentas de usuario puedan estar protegidas, podrían seguir existiendo vulnerabilidades en los sistemas heredados o en el acceso a la VPN que aún dependen exclusivamente de contraseñas tradicionales. Una cobertura parcial de la MFA crea puntos de entrada que los ciberdelincuentes pueden aprovechar y socava los esfuerzos generales de seguridad debido a un acceso privilegiado o remoto no seguro.

Escasa visibilidad de los proveedores

Los requisitos de la cadena de suministro de la NIS2 ponen de manifiesto una realidad lamentable para muchas organizaciones: no tienen una idea clara de quién tiene acceso a sus entornos ni de los riesgos que plantean los terceros. El acceso de los proveedores suele estar sobredimensionado, pero rara vez se revisa. Sin una visibilidad completa, las organizaciones no pueden gestionar de forma eficaz los riesgos asociados a terceros en el marco de la NIS2.

Controles de acceso privilegiado débiles

Las cuentas privilegiadas son algunos de los activos de mayor riesgo en cualquier organización, pero los controles que las rodean suelen ser muy débiles. Las credenciales administrativas compartidas y los privilegios permanentes siguen siendo habituales, pero aumentan la superficie de ataque y el riesgo de uso indebido de las credenciales. La NIS2 exige una gestión más rigurosa en materia de acceso privilegiado, monitoreo de sesiones y auditoría.

Plazos para la notificación de incidentes relacionados con la NIS2

La NIS2 establece obligaciones de notificación estructuradas ante incidentes significativos de ciberseguridad. Se espera que las organizaciones sigan un proceso establecido de varias etapas desde el momento en que tengan conocimiento de un incidente significativo:

1. En un plazo de 24 horas: envíe una alerta temprana a las autoridades nacionales pertinentes confirmando que se está produciendo un incidente significativo.
2. En un plazo de 72 horas: proporcione una descripción más completa del incidente, incluyendo lo que se sabe sobre su naturaleza e impacto.
3. En un plazo de un mes: presente un informe final en el que se proporcione un relato completo de lo ocurrido, cómo se gestionó y qué medidas se tomarán para evitar que vuelva a ocurrir.

Para cumplir con estos plazos, las organizaciones deben monitorear y registrar los incidentes de seguridad a medida que se producen, en lugar de tener que esforzarse por elaborar una cronología precisa de los hechos a posteriori. En definitiva, el cumplimiento de la NIS2 exige a las organizaciones que establezcan prácticas de ciberseguridad consolidadas, mejoren la resiliencia operativa y mantengan una visibilidad total de los usuarios y los sistemas para reducir los riesgos de seguridad.

Cómo Keeper puede ayudar a respaldar el cumplimiento de la NIS2

Cumplir con los estándares de cumplimiento de la NIS2 requiere una infraestructura de seguridad confiable que pueda aplicar controles de acceso granulares, proteger las credenciales y proporcionar visibilidad completa para administrar el riesgo a escala. La plataforma de seguridad de identidad de conocimiento cero de Keeper ayuda a las organizaciones a consolidar múltiples soluciones de seguridad, entre las que se incluyen la gestión de acceso privilegiado (PAM), la gestión de contraseñas, la gestión de secretos, la gestión de privilegios en endpoints y el acceso remoto seguro. Para abordar algunos de los requisitos más exigentes de la NIS2, Keeper ofrece funciones avanzadas como el modelo RBAC, la aplicación de la MFA, la auditoría de credenciales, el monitoreo de sesiones y la seguridad de confianza cero. Ya sea que esté comenzando a abordar las medidas de la NIS2 o que desee mejorar su postura de seguridad actual, Keeper ofrece a su organización la posibilidad de cumplir con confianza los requisitos de la NIS2.

Empiece hoy su prueba gratis de Keeper y fortalezca la preparación de su organización para cumplir con los requisitos de la NIS2

Continúe leyendo para obtener más información sobre la seguridad de TI y cómo las empresas pueden implementarla.

Conclusiones clave

• La seguridad de TI protege los sistemas, las redes y los datos de una organización contra el acceso no autorizado y las ciberamenazas.
• Si bien los términos seguridad de TI, seguridad de la información y ciberseguridad suelen usarse como sinónimos, la seguridad de la información es la disciplina más amplia, mientras que la seguridad de TI y la ciberseguridad son subdisciplinas especializadas.
• Las amenazas más comunes a la seguridad de TI son el malware, el ransomware, el phishing y las amenazas internas, las cuales pueden resultar en graves consecuencias financieras y operativas.
• Los controles estrictos de identidad, como la seguridad de confianza cero, RBAC y PAM, se encuentran entre las defensas más efectivas que las organizaciones pueden implementar.
• La IA permite a los ciberdelincuentes automatizar los ataques, generar contenido de phishing convincente y ampliar operaciones que antes requerían recursos y conocimientos especializados considerables; esto hace que los controles de seguridad proactivos sean más importantes que nunca.

Seguridad de TI vs seguridad de la información vs. ciberseguridad

Aunque la seguridad de TI, la seguridad de la información y la ciberseguridad pueden usarse como sinónimos, cada término tiene un significado distinto. Estas son las principales diferencias:

En pocas palabras, la seguridad de la información es el concepto general que engloba a la seguridad de TI y a la ciberseguridad, cada una de las cuales se centra en un área más específica. En la práctica, la seguridad de la información puede parecerse a la política de seguridad de una compañía que cubre archivos almacenados en sus servidores y archivadores; la seguridad de TI puede parecerse a un equipo de TI que aplica la autenticación multifactor (MFA) en los dispositivos de los empleados; y la ciberseguridad implica bloquear el tráfico malicioso para que no llegue a las aplicaciones de una empresa.

Los tres objetivos de protección de la seguridad de TI

En el centro de toda estrategia de seguridad de TI existen tres objetivos principales, conocidos como la tríada CIA: confidencialidad, integridad y disponibilidad. Estos principios constituyen la base de todas las políticas y controles de seguridad de TI que implementa una organización.

• Confidencialidad: garantiza que la información confidencial sea accesible solo para usuarios autorizados. Este objetivo evita el acceso no autorizado o el uso indebido mediante medidas como el cifrado y la autenticación multifactor (MFA). Por ejemplo, una organización sanitaria debería encriptar los registros de los pacientes para que solo los trabajadores sanitarios autorizados puedan acceder a ellos.
• Integridad: Mantiene la precisión y la coherencia de los datos, lo cual garantiza que estos no se vean alterados por personas no autorizadas. Ya sea accidental o intencional, cualquier modificación no autorizada viola la integridad de los datos. En la práctica, un banco puede confiar en la integridad de los datos para garantizar que los registros de transacciones no se puedan alterar entre el momento en que se realiza un pago y el momento en que se procesa.
• Disponibilidad: garantiza que los sistemas, datos y redes estén accesibles para los usuarios autorizados cuando sean necesarios. Esto significa tanto prevenir interrupciones en el servicio como establecer planes de recuperación en caso de que se produzcan. Un ejemplo sería una empresa que invierte en sistemas de recuperación ante desastres para garantizar que su plataforma en línea siga funcionando incluso en caso de una falla de hardware.

Amenazas de seguridad de TI: los tipos más comunes de ataques

Comprender los tipos más comunes de ciberataques y amenazas a la seguridad de TI ayuda a las organizaciones a aprender cómo implementar una defensa.

Malware y ransomware

El malware es un software malicioso diseñado para infiltrarse, causar daño u obtener acceso no autorizado a un sistema. Uno de los tipos de malware más dañinos es el ransomware, en el que los ciberdelincuentes encriptan los archivos de una organización y exigen el pago de un rescate a cambio de su liberación. Los ataques de ransomware exitosos pueden interrumpir las operaciones, bloquear el acceso de las organizaciones a sistemas críticos o causar pérdidas financieras graves.

Phishing e ingeniería social

Los ataques de phishing consisten en manipular a las personas para que compartan información confidencial, como credenciales de inicio de sesión, haciéndose pasar por una fuente de confianza. El phishing es una de las formas más comunes de ingeniería social — una categoría de ataques que se aprovecha del comportamiento humano, en lugar de las vulnerabilidades de seguridad, para obtener acceso no autorizado. Los atacantes se aprovechan de las personas porque es más difícil corregir sus vulnerabilidades que las del software, por lo que el phishing sigue siendo uno de los puntos de entrada más comunes para las filtraciones de datos.

Amenazas internas

Las amenazas internas involucran a empleados, contratistas o socios actuales o anteriores que hacen un uso indebido de su acceso a los sistemas y datos de una organización. Ya sean intencionales o negligentes, las amenazas internas son especialmente difíciles de detectar y contener porque quienes la generan ya tienen acceso legítimo a información confidencial y sistemas críticos.

Ataques DDoS

Los ataques de denegación de servicio distribuido (DDoS) saturan un servidor, red o aplicación objetivo con una avalancha de tráfico, lo que lo torna inaccesible para los usuarios legítimos. Este tipo de ataques se utilizan a menudo para causar daño a la reputación o servir como distracción mientras se lleva a cabo otro ataque cibernético. Las organizaciones que cuentan con aplicaciones orientadas al cliente o servicios en línea son especialmente vulnerables a este tipo de ataques.

Implementación de seguridad de TI

La seguridad de TI moderna depende en gran medida de la gestión de identidades y accesos (IAM), ya que controlar quién tiene acceso a qué es una de las formas más eficaces de reducir la superficie de ataque de una organización. Tanto si un empleado inicia sesión en una aplicación corporativa como si un administrador accede a datos confidenciales, verificar la identidad y aplicar controles de acceso detallados son esenciales para mantener la seguridad de los sistemas y de los datos. Esto significa que las organizaciones deben implementar el Principio de Privilegio Mínimo (PoLP) mediante la exigencia de métodos de autenticación fuertes como MFA y la protección de las credenciales con gestores de contraseñas empresariales o soluciones de Gestión de Acceso Privilegiado (PAM).

Gestión de acceso privilegiado (PAM)

PAM es una solución de ciberseguridad que permite a las organizaciones controlar y monitorear el acceso a sus sistemas y cuentas más críticos. Las cuentas privilegiadas, que normalmente están en manos de administradores y equipos de DevOps, tienen permisos elevados que pueden otorgar a los ciberdelincuentes un amplio acceso a datos confidenciales e infraestructura si llegan a verse comprometidas. Al imponer el acceso con privilegios mínimos, rotar automáticamente las credenciales y otorgar visibilidad completa de la sesión, PAM reduce significativamente el riesgo de filtraciones de datos y amenazas internas.

Seguridad de confianza cero y RBAC

La seguridad de confianza cero y el control de acceso basado en roles (RBAC) funcionan juntos para garantizar que el acceso esté limitado por la identidad y el rol del usuario. La confianza cero opera bajo el principio de “nunca confiar, siempre verificar”, lo que significa que ningún usuario, dispositivo o sistema obtiene acceso por defecto y cada solicitud de acceso se autentica continuamente. RBAC complementa esto al asignar permisos basados en el trabajo de un usuario en lugar de hacerlo de forma individual, lo que garantiza que cada rol tenga acceso solo a lo que se necesita. Combinados, estos dos enfoques dificultan mucho más que los ciberdelincuentes se muevan lateralmente a través de una red o exploten cuentas con más permisos que los necesarios.

Gestión de contraseñas

Un gestor de contraseñas empresarial es una solución que almacena, gestiona y completa automáticamente las credenciales de las cuentas y aplicaciones de una organización. En lugar de depender de los empleados para crear y gestionar contraseñas manualmente – lo que a menudo genera contraseñas débiles o reutilizadas – un gestor de contraseñas empresarial aplica contraseñas fuertes y únicas para cada cuenta y se asegura de que se almacenen en una bóveda encriptada. El uso de un gestor de contraseñas elimina una de las causas más comunes de filtraciones de datos, y le otorga a los equipos de TI control sobre la seguridad de credenciales en toda la organización.

Autenticación multifactor (MFA) y autenticación sin contraseña

La autenticación multifactor (MFA) refuerza la seguridad de las cuentas al exigir a los usuarios que verifiquen su identidad mediante dos o más factores antes de que se les conceda el acceso. Por ejemplo, un usuario puede autenticarse con una contraseña y un escaneo biométrico; incluso si la contraseña se ve comprometida, el acceso requiere el segundo factor. Ante la búsqueda de las empresas de otras formas de seguridad más allá de la autenticación tradicional por contraseña, los métodos de autenticación sin contraseña como las llaves de acceso y la biometría son cada vez más comunes. Estos métodos sin contraseña eliminan las vulnerabilidades relacionadas con las credenciales que la autenticación multifactor (MFA) tenía como objetivo subsanar en primer lugar.

Gestión de secretos

En la seguridad de TI, los secretos se refieren a credenciales utilizadas por aplicaciones y sistemas para autenticarse y comunicarse entre sí. Algunos ejemplos incluyen claves API, tokens y certificados. A diferencia de las contraseñas tradicionales que utilizan los usuarios humanos, los secretos suelen estar integrados de manera fija en los archivos de configuración y los repositorios de código, lo que los convierte en un vector de ataque que suele obviarse, pero que es muy vulnerable a los ataques. Una solución de gestión de secretos garantiza que los secretos se almacenen de forma segura, se roten automáticamente y sean accesibles solo para los sistemas y servicios que los necesitan.

Cifrado y transmisión segura de datos

El cifrado es el proceso de convertir datos a un formato ilegible que solo puede ser leído por la parte autorizada con la clave de descifrado correcta. El cifrado, uno de los aspectos primordiales de la seguridad de TI, garantiza que, incluso si los datos son interceptados o un usuario no autorizado tiene acceso a ellos, estos sigan siendo ilegibles e inutilizables. El cifrado se aplica a los datos en reposo y en tránsito, es decir, protege tanto los datos almacenados como la información transmitida a través de las redes. Los protocolos de transmisión segura, como el Protocolo de Seguridad de la Capa de Transporte (TLS), protegen los datos mientras se transmiten entre sistemas y usuarios, lo que garantiza que los datos confidenciales no se vean alterados ni sean interceptados durante su transmisión.

Cómo la IA está cambiando los ataques cibernéticos

La inteligencia artificial (IA) permite que los ciberdelincuentes lleven a cabo ataques a mayor velocidad, a mayor escala y con mayor sofisticación técnica. La IA se está usando para generar correos electrónicos de phishing convincentes con tácticas avanzadas de ingeniería social que cada vez son más difíciles de identificar por parte de los empleados. Ahora más que nunca, los equipos de TI y de seguridad deben desarrollar controles capaces de proteger los sistemas, los datos y las credenciales contra ciberamenazas altamente automatizadas e inteligentes. Seguir las mejores prácticas como la aplicación de controles fuertes de acceso, MFA y PAM es esencial para defenderse contra los ciberataques impulsados por IA. Keeper ayuda a las organizaciones a implementar estas medidas de protección mediante una plataforma unificada de seguridad de identidades que combina la gestión de contraseñas empresariales, la aplicación de la autenticación multifactor (MFA), la gestión de secretos y PAM, con el fin de garantizar que todas las identidades, credenciales y sistemas estén protegidos.

Comience su prueba gratuita de KeeperPAM para mejorar la estrategia de seguridad de TI de su organización.

Siga leyendo para saber más sobre el nivel 2 de la CMMC, por qué es importante para las universidades de investigación y cómo Keeper apoya el cumplimiento del CMMC.

¿Qué es el nivel 2 de CMMC?

CMMC incluye varios niveles de certificación. Sin embargo, las instituciones involucradas en la investigación financiada por el Departamento de Defensa tienen más probabilidades de cumplir con los requisitos de nivel 2 de CMMC. La CMMC de nivel 2 se aplica a las organizaciones que almacenan, procesan o comparten CUI para garantizar que la información gubernamental sensible esté protegida contra posibles ciberamenazas y accesos no autorizados. El nivel 2 de la CMMC se alinea con los controles de seguridad descritos en la Publicación Especial 800-171 del Instituto Nacional de Estándares y Tecnología (NIST), un marco diseñado para ayudar a las organizaciones no federales a proteger la CUI. Sus 110 controles de seguridad abarcan una amplia gama de prácticas de ciberseguridad, entre las que se incluyen el control de acceso, la autenticación, la respuesta ante incidentes y la integridad de los datos.

Por qué el nivel 2 de CMMC es importante para las universidades de investigación

Las agencias gubernamentales están adoptando principios de seguridad de confianza cero a medida que las ciberamenazas dirigidas contra ellas continúan aumentando, pero los requisitos de CMMC no están reservados exclusivamente para contratistas de defensa tradicionales. Para las universidades de investigación, el nivel 2 de la CMMC es especialmente importante porque muchos proyectos de investigación financiados por el gobierno involucran datos confidenciales, hallazgos de investigación, resultados de pruebas y otras formas de CUI. Para alcanzar el nivel 2 del CMMC, las instituciones deben demostrar que cuentan con controles de seguridad adecuados para proteger la información controlada (CUI) a lo largo de todo su ciclo de vida.

La norma de aplicación que exige la CMMC en contratos del DoD (48 CFR) entró en vigor el 10 de noviembre de 2025, y los contratos del DoD ahora incluyen los requisitos de la CMMC en un cronograma escalonado. Durante la primera fase, la mayoría de los requisitos toman la forma de una autoevaluación de nivel 1 o nivel 2, aunque algunos contratos ya requieren la certificación de nivel 2 a través de una Organización de Evaluación de Terceros Certificados (C3PAO). A partir del 10 de noviembre de 2026, entran en vigor amplios requisitos de certificación C3PAO de nivel 2. Los requisitos específicos dependen de los detalles del contrato y de la información que se maneja. Las universidades de investigación involucradas en proyectos actuales o futuros financiados por el Departamento de Defensa deben evaluar su postura de seguridad ahora para prepararse.

Qué deberían hacer las universidades de investigación para el cumplimiento de la CMMC

La preparación para el cumplimiento del nivel 2 de la CMMC requiere que las universidades de investigación comprendan dónde existe CUI dentro de sus entornos, evalúen los controles de seguridad actuales y respalden los esfuerzos continuos de cumplimiento. Ser proactivo con respecto al cumplimiento del nivel 2 de la CMMC puede ayudar a las instituciones a identificar las brechas de seguridad de manera temprana y desarrollar una base más sólida para proteger los datos confidenciales.

Identificación de dónde reside CUI

Antes de implementar controles de seguridad, las universidades de investigación deben comprender dónde se almacena y procesa la información controlada no clasificada (CUI) en toda la organización. CUI puede existir en bases de datos de investigación, sistemas de laboratorio, plataformas en la nube y los dispositivos que utilizan los profesores e investigadores. Dado que las universidades suelen contar con varios departamentos y programas, puede resultar complicado mantener una visibilidad completa de la información confidencial. En muchos casos, CUI puede existir más allá de los entornos de investigación dedicados, como los mensajes de correo electrónico, unidades compartidas o dispositivos que sean propiedad de la facultad. Identificar estas fuentes de datos es un primer paso importante para determinar qué usuarios y sistemas deben estar sujetos a controles de seguridad adicionales.

Evaluación exhaustiva de brechas de seguridad

Una vez identificada la CUI, las universidades de investigación deberían evaluar cómo se comparan sus prácticas actuales de seguridad con los requisitos establecidos en el NIST SP 800-171. Esto debería incluir la revisión de los controles de acceso existentes, las capacidades de monitoreo, los planes de respuesta a incidentes y los procesos de auditoría. Las universidades también deberían realizar un inventario de las cuentas privilegiadas y revisar sus permisos para determinar si el acceso va más allá de lo necesario para los roles de los usuarios. Aunque muchas instituciones ya cuentan con medidas de seguridad, es posible que esos controles no se apliquen de manera uniforme en todos los departamentos y programas.

Implementación de entornos de investigación seguros

Los entornos de investigación se deben construir para limitar el acceso a CUI solo a usuarios y sistemas autorizados. Restringir el acceso reduce la exposición de datos y ayuda a prevenir la divulgación no autorizada de información confidencial. Las soluciones de administración de identidad y acceso (IAM) pueden ayudar a las universidades a aplicar el acceso con privilegios mínimos al garantizar que los usuarios tengan solo los permisos necesarios para realizar su trabajo. Las instituciones también deberían exigir la Autenticación multifactor (MFA) para todas las cuentas que accedan a sistemas que contengan CUI, incluidos los entornos de acceso remoto. Unos controles de identidad y acceso sólidos ayudan a minimizar las amenazas internas y cumplen con los requisitos del nivel 2 de la CMMC relacionados con la identificación y la autenticación.

Documentación SSP y POAM

El mantenimiento adecuado de los planes de seguridad del sistema (SSPs) y los planes de acción y hitos (POAMs) puede simplificar las evaluaciones futuras y demostrar el cumplimiento de los requisitos del nivel 2 de la CMMC. Un SSP documenta los controles de seguridad de una organización y define cómo se implementan y gestionan. Un POAM identifica las deficiencias de seguridad y las acciones necesarias para solucionarlas. Las universidades deben considerar esta documentación como un proceso continuo, en lugar de un ejercicio puntual, para garantizar que la información se mantenga precisa a medida que los sistemas y los entornos de investigación cambian con el tiempo.

Preparación para las auditorías de C3PAO

Es posible que las universidades de investigación que buscan la certificación CMMC de nivel 2 deban someterse a las evaluaciones que realiza C3PAO. La preparación para estas evaluaciones requiere no solo implementar controles de seguridad, sino también demostrar que dichos controles funcionan correctamente. Las instituciones deben conservar la documentación que respalde sus prácticas de seguridad, como los registros de auditoría detallados, registros de acceso, políticas de seguridad y registros de capacitación. Recopilar esta información con antelación puede ayudar a agilizar el proceso de evaluación y reducir la carga de la preparación de las revisiones formales.

Cómo Keeper^® apoya la preparación para la CMMC 2.0

Las organizaciones que gestionan CUI necesitan controles de acceso sólidos, visibilidad total de la actividad de los usuarios y la capacidad de demostrar que los controles de seguridad funcionan con eficacia. Lograr el cumplimiento del nivel 2 de la CMMC requiere una combinación de personas, tecnología y procesos, y Keeper Security Government Cloud (KSGC) ayuda a las organizaciones a proteger la CUI y a mejorar varios controles de seguridad para respaldar los esfuerzos de preparación para la CMMC. Como plataforma certificada FedRAMP High, Keeper proporciona a las universidades de investigación las herramientas necesarias para proteger la información confidencial, controlar el acceso privilegiado y mantener una visibilidad lista para auditorías en todos los entornos.

KSGC ayuda a las universidades de investigación a prepararse para la CMMC 2.0 al permitirles realizar lo siguiente:

Preparación para el cumplimiento del Nivel 2 de CMMC con Keeper

A medida que las universidades de investigación continúan participando en proyectos financiados por el Departamento de Defensa (DoD), el cumplimiento de la CMMC es una parte cada vez más crucial para proteger la información confidencial y mantener la elegibilidad para oportunidades de investigación futuras. Dado que el nivel 2 de la CMMC se enfoca específicamente en proteger la CUI, las instituciones deben comenzar a evaluar su postura de seguridad lo antes posible en lugar de esperar hasta que el cumplimiento sea obligatorio. Solicite una demostración hoy mismo para descubrir cómo KSGC puede ayudar a su institución a fortalecer los controles de acceso, asegurar la CUI y apoyar la preparación para el nivel 2 de la CMMC.

Siga leyendo para descubrir de qué forma KeeperDB protege el acceso a bases de datos y por qué es importante en la seguridad empresarial moderna.

Por qué es importante proteger el acceso a las bases de datos

Las bases de datos se encuentran entre los activos más importantes para el almacenamiento de datos confidenciales de la empresa. Hay varios factores que hacen que la seguridad en el acceso a las bases de datos sea tan importante:

• Objetivos de gran valor: las bases de datos contienen grandes cantidades de información confidencial, lo que las convierte en un objetivo valioso para los ciberdelincuentes que buscan obtener beneficios económicos o estratégicos
• Visibilidad limitada: muchas empresas carecen de monitoreo de sesiones en tiempo real y grabación de la actividad de la base de datos, lo cual lleva a que el acceso no autorizado o el comportamiento sospechoso pase desapercibido
• Riesgo de cumplimiento normativo: si las empresas no cuentan con una auditoría adecuada, es posible que no cumplan con los requisitos de marcos normativos como SOC 2, HIPAA e ISO 27001
• Ataques basados en credenciales: las credenciales comprometidas, reutilizadas o mal administradas siguen siendo uno de los vectores de ataque más comunes que utilizan los ciberdelincuentes para infiltrarse en los sistemas

Para enfrentarse a estos obstáculos, las empresas necesitan una visibilidad y un control totales sobre el acceso a las bases de datos. Esto incluye la implementación de un modelo de seguridad de confianza cero, la gestión de credenciales a nivel de cliente y el mantenimiento de registros de auditoría detallados. KeeperDB ofrece esto mediante autenticación biométrica con Face ID y Windows Hello, creando una experiencia de inicio de sesión sin contraseña. Para las credenciales de base de datos, KeeperDB se integra directamente con Keeper Secrets Manager, recuperándolas de la bóveda de Keeper en el momento de la conexión en vez de dejarlas dispersas entre los puntos finales.

Estas son siete formas en que KeeperDB asegura el acceso a la base de datos.

1. Elimina las credenciales almacenadas con acceso sin contraseña

Las credenciales de bases de datos almacenadas representan un riesgo de seguridad importante para las empresas. En muchos entornos, las contraseñas se guardan en archivos de configuración, se incluyen en scripts o se comparten entre equipos. Estas prácticas generan varios puntos de vulnerabilidad, lo que facilita a los ciberdelincuentes el robo de credenciales mediante ataques de phishing o malware. Una vez expuestas, las credenciales pueden reutilizarse para desplazarse lateralmente a través de sistemas o escalar privilegios.

KeeperDB elimina este riesgo, ya que no almacena las credenciales de la base de datos en archivos de configuración de texto sin cifrar. Esta aplicación de escritorio independiente con Keeper Secrets Manager integrado recupera las credenciales de la bóveda en el momento de la conexión en vez de guardarlas en archivos de configuración locales, y la autenticación biométrica reemplaza por completo la contraseña maestra. Cuando KeeperDB se implementa a través de KeeperPAM, las credenciales nunca llegan al endpoint; solo se descifran dentro del Keeper Gateway controlado por el cliente en el momento del acceso. A partir de ahí, las credenciales se transmiten a KeeperDB en memoria a través de un canal cifrado y se borran de inmediato una vez que finaliza la sesión.

Las sesiones se aíslan por completo con el aislamiento remoto del navegador (RBI) de Keeper , donde KeeperDB se transmite al navegador del usuario en una sesión totalmente contenida. Ya que nunca se escriben credenciales en el punto final, estas permanecen efímeras y controladas, lo que garantiza una estricta separación entre la base de datos y el punto final. Si las empresas eliminan los datos confidenciales almacenados, reducen el riesgo de robo de credenciales y limitan el movimiento lateral a través de su infraestructura.

2. Aplica la seguridad de confianza cero en todas las sesiones de la base de datos

Cuando KeeperDB se implementa en KeeperPAM, aplica el acceso de confianza cero estableciendo conexiones autenticadas y encriptadas de extremo a extremo a través del Keeper Gateway. Las bases de datos nunca se exponen a través de cortafuegos entrantes, y no se requiere VPN. En cambio, el acceso se negocia mediante conexiones seguras solo de salida que reducen en gran medida la superficie de ataque.

KeeperDB también admite el acceso justo a tiempo (JIT), lo que permite a las empresas otorgar acceso limitado en el tiempo a la base de datos solo cuando sea necesario. Las solicitudes de acceso se pueden iniciar y aprobar mediante integraciones como Slack, Jira, ServiceNow o Microsoft Teams. Los permisos se revocan de forma automática después de su uso, lo que elimina los privilegios permanentes. Al combinar la seguridad de confianza cero con el acceso JIT, KeeperDB reduce la probabilidad de acceso no autorizado mientras mantiene la eficiencia operativa.

3. Inicia sesiones seguras directamente desde la bóveda de Keeper

Para los equipos que utilizan KeeperPAM, KeeperDB permite a los usuarios iniciar sesiones seguras de base de datos directamente desde la bóveda de Keeper, eliminando la necesidad de VPN o configuración manual. Las sesiones se ejecutan dentro del entorno RBI de Keeper, garantizando que toda la actividad ocurra en una sesión completamente contenida que se transmite al navegador del usuario. Ya que las credenciales nunca llegan al punto final y nunca se almacenan de forma local, esta capa de aislamiento refuerza la seguridad de confianza cero mientras mejora la experiencia del usuario.

El flujo de trabajo de KeeperDB permite a los usuarios seleccionar un registro de la base de datos en su bóveda, iniciar KeeperDB y conectarse al instante a través de la interfaz integrada. No es necesario copiar y pegar credenciales, configurar archivos de conexión ni administrar herramientas separadas. A diferencia de los flujos de trabajo tradicionales, que dependen de secretos almacenados de forma local y de una configuración manual, KeeperDB centraliza el acceso y elimina las dificultades del proceso. Este enfoque simplifica el acceso seguro para los ingenieros y los equipos de seguridad, a la vez que mantiene un control total sobre cada sesión.

4. Monitorear, registrar y auditar la actividad de bases de datos en tiempo real

KeeperDB incluye un monitor de desempeño en tiempo real que funciona tanto en su aplicación de escritorio independiente como en la implementación de PAM integrada. Proporciona información operativa clave, como listas de procesos activos, cadenas de bloqueo, análisis de bloqueos y cierre de sesiones con un solo clic. Si una base de datos se vuelve lenta, los equipos pueden identificar rápidamente las consultas que tardan mucho en ejecutarse o que bloquean el sistema y cerrar las sesiones para restablecer el rendimiento.

Cuando KeeperDB se implementa en KeeperPAM, registra cada sesión privilegiada y toda la actividad SQL, agregando la capa de regulación de la cual muchos clientes antiguos carecen. El registro a nivel de consulta garantiza que cada comando se registre con marcas de tiempo, contexto de sesión y estado de ejecución. Estas acciones se recogen en registros de auditoría detallados que ofrecen un registro completo del acceso a la base de datos. Este nivel de visibilidad refuerza tanto la seguridad como el cumplimiento normativo, al mantener registros claros para marcos como SOC 2, HIPAA e ISO 27001. Combinando la monitorización en tiempo real con auditorías exhaustivas, KeeperDB garantiza que cada interacción con la base de datos sea visible y responsable.

5. Usar KeeperAI^® para automatizar operaciones de base de datos de forma segura

KeeperDB integra KeeperAI para agilizar los flujos de trabajo de bases de datos manteniendo controles de acceso granulares. Los usuarios pueden interactuar con las bases de datos utilizando lenguaje natural, lo que reduce el tiempo necesario para escribir y solucionar problemas en las consultas SQL. KeeperAI opera en varios modos controlados:

• Consultas en lenguaje natural: generar y explicar código SQL utilizando el contexto completo del esquema
• Automatización de solo lectura: ejecutar consultas y analizar resultados sin intervención del usuario
• Escritura basada en aprobación: requerir autorización explícita para cambios DML o DDL para prevenir acciones potencialmente destructivas antes de la ejecución

Cuando se emplea KeeperDB dentro de KeeperPAM, KeeperAI busca de forma continua anomalías e intentos de exfiltración en la actividad de la sesión y ofrece la finalización automática de la sesión. Esto ayuda a los equipos a acelerar la resolución de problemas y la generación de informes, a la vez que mantienen un control total sobre los cambios en la base de datos y preservan la integridad de los datos.

6. Conexiones seguras con túneles y KeeperDB Proxy

El acceso a las bases de datos heredadas suele depender de redes VPN o servidores bastión, pero KeeperDB los sustituye por túneles de confianza cero que proporcionan una conectividad segura y exclusivamente de salida a través del Keeper Gateway. En vez de abrir reglas de firewall entrantes o exponer bases de datos de forma directa, los túneles hacen que las bases de datos remotas parezcan locales para el usuario mientras el tráfico permanece cifrado y enrutado a través de la arquitectura de confianza cero de Keeper.

KeeperDB Proxy amplía este modelo para flujos de trabajo de escritorio. Cuando se habilita un proxy en un registro de la base de datos PAM, este actúa como mediador, encargándose de la autenticación en nombre del usuario. KeeperDB Proxy recupera las credenciales de forma segura desde la bóveda a través del Keeper Gateway y las inyecta directamente en el protocolo de enlace de la base de datos, asegurando que el usuario nunca vea ni gestione las credenciales. En conjunto, los túneles y KeeperDB Proxy eliminan los costos de infraestructura y minimizan el riesgo de acceso no autorizado a bases de datos remotas o internas.

7. Centraliza la gestión y rotación de credenciales

La gestión manual de credenciales conlleva riesgos importantes en los entornos de bases de datos, especialmente cuando las contraseñas se comparten entre equipos, se reutilizan o se rotan de manera inconsistente. KeeperDB aborda este desafío centralizando la gestión de credenciales dentro de la arquitectura de conocimiento cero y confianza cero de Keeper. Todas las credenciales de la base de datos están almacenadas de forma segura en la bóveda de Keeper y nunca se exponen a los usuarios.

Gracias a KeeperPAM, las empresas pueden aplicar políticas de rotación automatizada que actualizan con regularidad las credenciales sin interrumpir los flujos de trabajo. Una vez que se rota una contraseña, los usuarios autorizados reciben de forma automática acceso a la credencial actualizada a través de la bóveda de Keeper. Este enfoque reduce en gran medida la proliferación de credenciales, ya que elimina contraseñas de endpoints, scripts y documentos compartidos. KeeperDB también simplifica la desvinculación al revocar el acceso a la bóveda y garantizar que las credenciales permanezcan protegidas durante todo su ciclo de vida.

Modernizar el acceso a bases de datos con KeeperDB

Las herramientas de bases de datos tradicionales, como DBeaver y MySQL Workbench, se diseñaron pensando en la funcionalidad, no en la seguridad a gran escala. Dependen de credenciales almacenadas de forma local, carecen de grabación de sesiones y crean puntos ciegos en auditoría que los marcos de cumplimiento normativo no admiten; sin embargo, KeeperDB se desarrolló de otra forma. Como aplicación de escritorio independiente, KeeperDB ofrece autenticación biométrica, recuperación de credenciales basada en bóveda y una interfaz moderna con tecnología de IA que la convierte en una excelente alternativa a las herramientas obsoletas. Cuando su empresa esté lista, KeeperDB puede extenderse a KeeperPAM para ofrecer acceso privilegiado de confianza cero, grabación de sesiones y aprovisionamiento justo a tiempo (JIT), lo que garantiza que la seguridad de su base de datos pueda crecer a su ritmo.

Descargue KeeperDB para modernizar la forma en que su equipo trabaja con bases de datos, e inicie hoy su prueba gratuita de KeeperPAM para ver cómo escala hacia un acceso seguro a bases de datos.

Muchas empresas aún tratan la IA sin supervisión como un problema de exposición de datos, cuando en realidad se está convirtiendo en un problema de regulación de identidades. Cada integración no autorizada de IA crea de forma desapercibida nuevas cuentas, credenciales e identidades que operan más allá de los controles de acceso tradicionales. Las empresas deben extender los controles de seguridad centrados en la identidad a todos los humanos y las identidades no humanas (NHI) que están conectadas a sus sistemas para recuperar visibilidad, hacer cumplir la regulación y reducir los riesgos generales de seguridad.

Lo que la IA en la sombra realmente crea

La IA sin supervisión se propaga rápidamente porque las herramientas modernas de IA requieren poca configuración o ninguna en absoluto. Los empleados pueden conectar aplicaciones, automatizar flujos de trabajo y procesar datos casi al instante sin necesidad de recurrir al departamento de TI. Las herramientas en sí rara vez son el problema. El riesgo radica en lo que los empleados conectan a estas. Una vez que las plataformas de IA obtienen acceso a plataformas SaaS, entornos en la nube y bases de datos internas, introducen credenciales e identidades cuya existencia desconoce la mayoría de los equipos de seguridad y para las que no existe un marco de control.

Cada integración no autorizada de IA crea nuevas identidades y credenciales que nadie está auditando. Todas se suman a un inventario creciente de cuentas, puntos de acceso y secretos que el departamento de TI nunca aprovisionó y, por lo tanto, no puede revocar. Cuando los empleados crean cuentas para herramientas de IA, generan identidades con su propio ámbito de acceso, permisos de datos e historiales de sesión. Estas se multiplican a gran velocidad. El departamento de TI termina con un conjunto oculto de identidades no gestionadas repartidas por plataformas externas, sin visibilidad sobre a qué pueden acceder, sin forma de auditar su uso y sin un proceso de desactivación cuando el empleado deja de trabajar en la empresa.

Cuando los empleados conectan las herramientas de IA a los sistemas internos, introducen cuentas de servicio en entornos empresariales. Estas NHI suelen operar completamente por fuera de la gestión del ciclo de vida, la rotación de credenciales y la regulación del acceso. Además, cada integración genera credenciales, como claves API, tokens y secretos, que a menudo terminan almacenadas en extensiones del navegador o en archivos de configuración, por fuera del perímetro de seguridad. Estas credenciales rara vez se rotan y casi nunca se auditan.

La brecha de gobernanza de identidades que esto crea

La seguridad de identidad tradicional se diseñó para usuarios humanos, accesos gestionados por el departamento de TI y perímetros de red definidos. La IA sin supervisión socava los tres factores a la vez.

En muchos entornos empresariales, las NHI ya superan en número a las identidades humanas. Los agentes de IA con acceso a una base de datos de producción representan el mismo nivel de riesgo de acceso privilegiado que un administrador humano con permisos equivalentes, pero con frecuencia se aprovisionan sin el mismo nivel de escrutinio, se monitorean sin la misma consistencia y se desaprovisionan sin el mismo proceso.

Nuestra propia investigación lo reafirma. El informe Identity Security at Machine Speed de Keeper Security reveló que el 43 % de los responsables de decisiones en ciberseguridad a nivel global identifican la gestión de NHI relacionada con la IA como una de las principales brechas en sus programas de gobernanza de identidades. Las empresas que reconocen esta brecha tienen una ventaja sobre las que aún no la han examinado.

Cómo deben actuar las empresas

Para combatir la IA sin supervisión no se necesitan políticas más estrictas ni prohibiciones más amplias. Es necesario ampliar los controles de seguridad basados en la identidad para dar cuenta de cada identidad que crean las herramientas de IA (tanto humanas como de máquinas) y hacer que la regulación sea constante en vez de periódica.

Consiga visibilidad completa sobre el uso de la IA

Las empresas no pueden regular lo que no pueden ver; deben descubrir continuamente cada herramienta, agente, automatización e integración de IA autorizada y no autorizada que opera en sus entornos. Si monitorean sus redes, las empresas pueden rastrear el uso de aplicaciones y desarrollar controles para limitar herramientas de IA no aprobadas, identificando cada una de las NHI que esas herramientas crean y que nunca fueron aprovisionadas originalmente por TI. Además del descubrimiento, las empresas deben implementar monitorización y grabación de sesiones privilegiadas en tiempo real para mantener una visibilidad total sobre los flujos de trabajo impulsados por IA y respaldar las auditorías continuas, en vez de realizar revisiones periódicas y retrospectivas.

Aplique medidas de seguridad de identidad tanto a las personas como a las máquinas

Todas las NHI deberían estar sujetas a la misma autenticación, autorización y gestión del ciclo de vida que las identidades humanas, con acceso con privilegios mínimos, rotación automatizada de credenciales y desaprovisionamiento definido vinculado al ciclo de vida del propietario humano o carga de trabajo asociada. Los mismos controles que se aplican a las cuentas humanas privilegiadas también deben aplicarse a los agentes de IA y a las cuentas de servicio que operan junto a ellas.

Ofrezca a los empleados un camino viable

Los empleados que fomentan la IA sin supervisión, por lo general, lo hacen porque no saben que existe una alternativa regulada, y no porque estén evadiendo la seguridad. Para abordar la causa raíz en vez del síntoma, puede proporcionar una orientación clara sobre qué herramientas están aprobadas, para qué casos de uso y bajo qué condiciones, además de ofrecer alternativas accesibles y aprobadas.

Mejore la seguridad de las identidades para gestionar la IA sin supervisión

Los modelos de seguridad tradicionales fueron diseñados para usuarios humanos, acceso aprovisionado por TI y límites de red definidos. La IA sin supervisión socava esos factores introduciendo identidades de máquina no gestionadas, credenciales e integraciones en entornos cloud y SaaS cada vez que un empleado conecta una herramienta de IA no aprobada a la infraestructura. Las empresas que consideran la IA sin supervisión un problema de fuga de datos están omitiendo el peligro subyacente: la expansión descontrolada de identidades. Para gestionar la IA sin supervisión con mayor eficacia, las empresas deben tener plena visibilidad sobre el acceso impulsado por IA, la regulación tanto sobre las identidades humanas como las máquinas y los controles automatizados de credenciales y accesos privilegiados. Para saber cómo las empresas están adaptando sus estrategias de seguridad de identidad para entornos impulsados por IA, lea nuestro último informe.

Esta es la realidad para la que las empresas deben prepararse ahora. Las organizaciones están siendo atacadas independientemente de su proximidad al conflicto, y asumir que solo las agencias gubernamentales están en riesgo es cada vez más peligroso. La superficie de ataque cibernético se ha expandido, las tácticas continúan evolucionando y la postura de seguridad empresarial debe evolucionar a la par.

Cómo la guerra cibernética está afectando a las empresas

Las tácticas que impulsan la guerra cibernética moderna ya no están dirigidas únicamente a objetivos federales. Los actores estatales cada vez más atacan a las empresas como una vía para generar una disrupción más amplia, ya sea para acceder a las cadenas de suministro, extraer datos confidenciales o causar daños colaterales en toda la infraestructura interconectada. Al mismo tiempo, las amenazas criminales han escalado de forma independiente. La automatización de IA ha hecho que los ataques sofisticados sean más baratos y rápidos de ejecutar, y las plataformas de ransomware como servicio (RaaS) han convertido lo que antes exigía importantes recursos en un método fácilmente accesible. Las campañas de phishing generadas por IA y las herramientas de ataque autónomas son ahora la norma, no la excepción. Las compañías se enfrentan a ambas amenazas simultáneamente, y las defensas necesarias para abordarlas se superponen significativamente.

La dimensión de la cadena de suministro hace que esto sea particularmente peligroso. Una sola violación de seguridad puede afectar a todas las empresas conectadas, y muchas de esas organizaciones nunca considerarse un objetivo. Esa suposición es exactamente de la que se aprovechan los atacantes. Las empresas no son meros espectadores; a menudo son el camino a través del cual los ataques logran tener éxito a gran escala. El acceso a una red corporativa implica el acceso a clientes, socios, datos confidenciales y sistemas financieros. Toda organización que forme parte de una cadena de suministro compleja puede convertirse en un vector de ataque.

Las empresas subestiman el impacto de la identidad en la superficie de ataque

En la mayoría de los ataques cibernéticos a gran escala, las identidades comprometidas son los objetivos principales. Los ciberatacantes utilizan técnicas como la pulverización de contraseñas y la recolección de credenciales para vulnerar organizaciones de distintos sectores, incluidos el de la salud y el de los servicios financieros. En muchos casos, el punto de entrada se puede rastrear hasta una identidad vulnerada, incluidas las identidades no humanas (NHI) como cuentas de servicio y agentes de IA.

El informe de investigación de Keeper Security, Seguridad de identidad a velocidad de máquina, refuerza la tendencia, al constatar que las herramientas heredadas y la adopción descontrolada de la IA están acelerando los ataques basados en la identidad a un ritmo que muchas organizaciones no pueden afrontar. De hecho, el 43% de los 3,200 tomadores de decisiones de ciberseguridad encuestados a nivel mundial identifican la gestión de NHI relacionada con la IA como una brecha principal en la gobernanza de la identidad. Las cuentas de servicio con permisos obsoletos, las claves API integradas en repositorios de código y los agentes de IA aprovisionados al margen de los procesos de gobernanza establecidos son vulnerabilidades que aprovechan los ciberatacantes, y la mayoría de las organizaciones carecen de una visibilidad clara del número de casos que existen en sus entornos.

Legacy PAM no fue diseñado para este entorno

La mayoría de las compañías aún gestionan el acceso privilegiado mediante una arquitectura estructurada para una era tradicional de entornos locales, administradores humanos y perímetros de red definidos. Ese modelo ya no refleja la forma en que operan realmente las empresas modernas. Las organizaciones ahora deben considerar los entornos nativos de la nube, las fuerzas de trabajo distribuidas, las integraciones de terceros y los flujos de trabajo impulsados por IA que han disuelto los perímetros para los que soluciones heredadas de gestión de acceso privilegiado (PAM) fueron diseñadas. Los agentes de IA, las cuentas de servicio y otras identidades digitales a menudo permanecen fuera de su alcance.

La brecha no es solo técnica, es estructural. Las organizaciones que no han revisado su arquitectura de PAM en los últimos 3 años probablemente solo están gestionando una fracción de su huella real de acceso privilegiado.

Lo que las empresas deben hacer de manera diferente para estar protegidas

Para la mayoría de las empresas, la brecha entre su postura de seguridad actual y lo que implica el entorno de amenazas es mayor de lo que parece. Para cerrar esa brecha, se requiere un enfoque más fuerte en la seguridad de confianza cero, la gestión de acceso privilegiado (PAM) y el acceso con privilegios mínimos.

Adoptar la seguridad de confianza cero

La seguridad de confianza cero se basa en el principio de que no se confía implícitamente en ningún usuario, dispositivo o sistema, independientemente de si opera dentro o fuera del perímetro de la red. El acceso se concede mediante verificación continua de identidad, contexto y riesgo, y se revoca tan pronto como falla la verificación. Para las empresas que enfrentan atacantes que se desplazan lateralmente por los entornos usando credenciales legítimas, la confianza cero ofrece un modelo de seguridad más sólido al garantizar que cada decisión de autenticación se verifique continuamente en lugar de asumirse como confiable por defecto.

Extender PAM a las NHI

Un sistema de gestión de acceso privilegiado (PAM) que se limita a los usuarios humanos no gestiona todo el acceso privilegiado; solo controla una parte del mismo. El acceso administrativo y a nivel de máquina a los datos de entrenamiento de IA, los entornos de implementación y los sistemas de producción críticos debe gestionarse con el mismo nivel de control que se aplica a las cuentas humanas con privilegios. En la práctica, eso significa tener identidades únicas y verificables para cada cuenta de servicio y agente de IA, límites de acceso impuestos y cero privilegios permanentes.

Reforzar el acceso con privilegios mínimos

Por lo general, el exceso de permisos se aborda de forma retroactiva mediante revisiones periódicas de acceso. El acceso con privilegios mínimos en cambio, debería integrarse directamente en los procesos de desarrollo e implementación desde el principio, de modo que las identidades humanas y digitales se aprovisionen con solo el acceso necesario para una tarea específica — nada más. Prevenir el acceso no autorizado en el punto de aprovisionamiento es mucho más efectivo que tratar de contener una vulneración en la cadena de suministro una vez que ya se haya producido.

Monitorear y auditar toda la actividad

La visibilidad total no es opcional cuando los ciberatacantes pueden operar en entornos utilizando credenciales vulneradas pero legítimas. La actividad humana y de NHI debe ser monitoreada, grabada y registrada de forma continua en todas las sesiones con privilegios y flujos de trabajo automatizados. El objetivo es detectar el uso indebido de privilegios, la exposición de datos y los comportamientos sospechosos antes de que los incidentes escalen y causen daños más graves.

Exigir garantía del proveedor

La postura de seguridad de una empresa es tan fuerte como el eslabón más débil de su cadena de suministro. Cualquier proveedor con acceso a su infraestructura mediante datos, software o integraciones puede convertirse en un punto de entrada para los atacantes. La autoatestación no es suficiente. Los proveedores deberían estar obligados a demostrar su cumplimiento mediante evaluaciones independientes y controles verificables.

Prepárese para los daños colaterales de la guerra cibernética

La guerra cibernética que afecta a las empresas no es nada nueva. Lo que ha cambiado es el nivel de automatización que hay detrás de estos ataques y la magnitud con la que ahora pueden llevarse a cabo. No hay ninguna razón práctica para suponer que una empresa vaya a pasar desapercibida. Las organizaciones deben evaluar si su estrategia de seguridad actual está preparada para resistir las amenazas cibernéticas modernas. Si su organización sigue operando con herramientas que nunca fueron diseñadas para entornos nativos en la nube o NHI a gran escala, la brecha de gobernanza en el acceso a identidades y la seguridad de la cadena de suministro puede ser mayor de lo que parece. KeeperPAM está diseñado para ayudar a cerrar esa brecha.