Cuando un modelo de IA desaparece de la noche a la mañana:
Tobias Massow
6 Min. de lectura Anthropic desconectó el 12 de junio dos de sus modelos más recientes a nivel mundial ...
Leer artículo
5 min de lectura
Zero Trust está presente en cada folleto de seguridad, pero la implementación rara vez falla por la tecnología. Falla porque casi nadie sabe quién dentro de la empresa necesita realmente qué acceso para qué paso de trabajo concreto. El principio de menor privilegio no es algo que se pueda adivinar; exige que los procesos reales sean conocidos. Aquí es donde el Process Mining cierra esa brecha y, sin ella, cualquier arquitectura Zero Trust sigue siendo una promesa sin cimientos.
Lo más importante en resumen
- El menor privilegio requiere conocimiento de los procesos. Quien otorga derechos sin conocer los flujos reales, otorga demasiado o interrumpe el trabajo. Ambas cosas socavan Zero Trust.
- El exceso de permisos es la regla, no la excepción. Una parte diminuta de los accesos concedidos se utiliza realmente. El resto es una superficie de ataque abierta.
- El Process Mining hace verificables los derechos. Quien visualiza los flujos de datos reales puede alinear los accesos con los procesos en lugar de hacerlo con suposiciones.
Relacionado:Agentic AI sin responsable: quién responde/La soberanía en la nube pasa a ser asunto de la dirección
Por qué Zero Trust se atasca en la práctica
El principio es seductoramente simple: no confiar en nadie, verificar cada acceso, otorgar solo el permiso necesario para realizar una tarea. En teoría, esto cierra la mayoría de las puertas de entrada. Pero en la práctica, la idea se topa con una pregunta incómoda que rara vez se responde con claridad. ¿Qué necesita exactamente un rol, una aplicación o una cuenta de servicio para poder cumplir su función?
Sin una respuesta sólida surgen dos errores. O bien se otorgan derechos generosamente para evitar interrupciones, entonces el menor privilegio es solo una etiqueta. O bien se restringen los derechos sin conocer los flujos reales, entonces de repente se rompe un proceso que nadie tenía en mente. Ambos caminos terminan allí donde Zero Trust pretendía precisamente evitarlo: con demasiado acceso o con controles evadidos.
¿Qué es el menor privilegio? El menor privilegio significa otorgar a cada identidad únicamente los derechos mínimos que necesita para su tarea concreta. El objetivo es limitar el daño si una cuenta queda comprometida. El principio depende enteramente de la pregunta sobre lo que la tarea requiere realmente.
2,6 %
de los permisos concedidos a una identidad de carga de trabajo se utilizan en promedio. El gran resto es una superficie de ataque sin utilizar.
Fuente: Análisis sectorial de identidades en la nube 2026
El sobrepermiso es el estado normal
La cifra no es un valor atípico, describe una situación permanente. Con los años, los empleados acumulan accesos que ya no necesitan, las cuentas de servicio crecen silenciosamente en sus derechos y las aplicaciones antiguas requieren amplios permisos simplemente para funcionar. Transversalmente, el control de acceso defectuoso se considera el riesgo de seguridad más extendido, con hallazgos en la gran mayoría de las aplicaciones auditadas.
La situación se ve agravada por los agentes de IA. No se comportan como aplicaciones fijas o usuarios individuales, sino que persiguen un objetivo a través de varios sistemas, encadenan herramientas e intentan repetir pasos. Otorgar a dicho agente derechos amplios de forma genérica multiplica el problema de los privilegios estancados. Aquí también solo ayuda conocer el proceso que el agente debe representar.
Lo que aporta el Process Mining a la seguridad
El Process Mining reconstruye a partir de los registros de los sistemas cómo se realiza realmente el trabajo, no cómo debería realizarse según el manual. Muestra qué rol accede a qué sistema, en qué orden, dónde existen desvíos y rutas especiales. Precisamente esta visión falta a la mayoría de los modelos de acceso, basados en supuestos y organigramas.
Derechos sin conocimiento del proceso
- Concesión basada en el organigrama en lugar de la necesidad real
- Privilegios estancados que nadie revoca
- Las reglas estrictas rompen rutas especiales desconocidas
Derechos basados en el proceso
- Accesos alineados con flujos de datos reales
- Los derechos no utilizados son visibles y se retiran
- Las excepciones son conocidas en lugar de sorprendentes
Para la alta dirección, esto cambia el orden de las inversiones. Antes de comprar otro componente Zero Trust, merece la pena preguntarse si los propios procesos son visibles. Una estrategia de acceso basada en flujos medidos se puede justificar, verificar y defender en una auditoría. Una basada en supuestos genera sobre todo la buena sensación de haber hecho algo.
Preguntas frecuentes
¿Por qué un concepto basado en roles no es suficiente para el principio de menor privilegio?
Porque los roles provienen de organigramas, no de los procesos reales. Un rol suele agrupar derechos para muchas actividades, de las cuales una persona concreta solo necesita una parte. Solo al observar el proceso real se ve lo que realmente es necesario.
¿Qué relación tiene el «Process Mining» con la ciberseguridad?
Proporciona la base factual para decisiones de acceso. El «Process Mining» reconstruye a partir de registros del sistema quién accede a qué sistema y cuándo. Esta visión revela cuentas con exceso de permisos y derechos no utilizados que un modelo de confianza cero podría pasar por alto.
¿Agravarán los agentes de IA el problema de los permisos?
Sí. Los agentes de IA persiguen objetivos a través de múltiples sistemas, concatenan herramientas y repiten pasos. Concederles amplios derechos de forma general los convierte en un riesgo móvil. También aquí se requiere conocimiento del proceso para limitar a qué puede acceder un agente.
¿Con qué debería comenzar un programa de confianza cero?
Con visibilidad, no con la siguiente herramienta. Quien primero mide los procesos y accesos reales puede establecer derechos fundamentados. Solo sobre esta base los demás componentes de confianza cero aportan realmente valor.
¿Cómo se convence al consejo directivo de este orden?
Con la capacidad de verificación. Una estrategia de acceso basada en procesos medidos se puede justificar en auditorías y explicar ante supervisores y aseguradoras. Ese es un argumento más contundente que la simple adquisición de más tecnología de seguridad.
Más del entorno MBF Media
cloudmagazinLa madurez cloud-native: Qué significan Knative y Kubernetes 1.34 para cargas de trabajo de IA mybusinessfutureEl cuello de botella de la IA en pymes reside en los sistemas antiguos securitytodayNIS2 está en fase de ejecución: primeros procedimientos, responsabilidad personalFuente de la imagen: generada por IA (junio 2026)