Inteligencia artificial en la junta directiva: por qué solo el 12 por ciento se beneficia
Eva Mickler
6 Min. Tiempo de lectura Los consejos de administración invierten, pero la rentabilidad no se materializa. ...
Leer artículo
8 Min. de lectura
Zero Trust aparece en todas las diapositivas de seguridad, pero su implementación rara vez fracasa por la tecnología. Fracasa porque casi nadie sabe qué acceso necesita realmente cada persona en la empresa para cada paso de trabajo. Least Privilege no se puede adivinar; requiere conocer los procesos reales. El Process Mining cierra precisamente esta brecha, y sin él, cualquier arquitectura Zero Trust sigue siendo una promesa sin fundamento.
Lo más importante en resumen
- Least Privilege requiere conocimiento de procesos. Quien asigna permisos sin conocer los flujos reales, otorga demasiado o interrumpe el trabajo. Ambas cosas socavan Zero Trust.
- El exceso de permisos es la norma, no la excepción. Solo una mínima parte de los accesos concedidos se utiliza realmente. El resto es una superficie de ataque abierta.
- Process Mining hace verificables los permisos. Quien hace visibles los flujos de datos reales puede alinear los accesos con los procesos, en lugar de basarse en suposiciones.
Relacionado:IA agentiva sin responsable: quién responde / La soberanía cloud se convierte en asunto de la dirección
Por qué Zero Trust se queda en la teoría
El principio es tentadoramente simple: no confiar en nadie, verificar cada acceso, conceder solo los permisos que exige una tarea. En teoría, esto cierra la mayoría de las puertas de entrada. Pero en la práctica, la idea choca con una pregunta incómoda que rara vez se responde con claridad: ¿qué necesita realmente un rol, una aplicación o una cuenta de servicio para hacer su trabajo?
Sin una respuesta sólida, surgen dos errores. O bien se otorgan permisos con generosidad para que nada falle -y entonces Least Privilege se convierte en un mero eslogan-, o se restringen los permisos sin conocer los flujos reales, y de repente se rompe un proceso que nadie tenía en cuenta. Ambos caminos terminan donde Zero Trust pretendía evitar: con demasiado acceso o con controles eludidos.
¿Qué es Least Privilege? Least Privilege significa otorgar a cada identidad solo los permisos mínimos necesarios para su tarea concreta. El objetivo es limitar el daño en caso de que una cuenta se vea comprometida. El principio depende por completo de saber qué requiere realmente la tarea.
2,6 %
de los permisos concedidos a una identidad de workload se utilizan de media. El resto es superficie de ataque sin explotar.
Fuente: Análisis sectorial sobre identidades en la nube 2026
El exceso de permisos es el estado normal
La cifra no es una anomalía, describe una situación permanente. Con los años, los empleados acumulan accesos que ya no necesitan, las cuentas de servicio crecen silenciosamente en sus derechos, y las aplicaciones antiguas exigen amplios permisos solo para funcionar. En todos los sectores, el control de acceso defectuoso se considera el riesgo de seguridad más extendido, con hallazgos en la gran mayoría de las aplicaciones auditadas.
La situación se agrava con los agentes de IA. Estos no se comportan como aplicaciones fijas o usuarios individuales, sino que persiguen un objetivo a través de varios sistemas, encadenan herramientas y reintentan pasos. Quien otorga amplios derechos de forma generalizada a un agente de este tipo, multiplica el problema de los privilegios permanentes. También aquí solo ayuda conocer el proceso que el agente debe representar.
Qué aporta el Process Mining a la seguridad
El Process Mining reconstruye a partir de los registros de los sistemas cómo se desarrolla realmente el trabajo, no cómo debería desarrollarse según el manual. Muestra qué rol accede a qué sistema, en qué orden, y en qué punto hay desvíos y caminos alternativos. Esta perspectiva es precisamente la que falta en la mayoría de los modelos de acceso, que se basan en suposiciones y organigramas.
Permisos sin conocimiento de procesos
- Asignación según organigrama en lugar de necesidad real
- Privilegios permanentes que nadie revoca
- Normas estrictas rompen caminos alternativos desconocidos
Permisos basados en procesos
- Accesos alineados con flujos de datos reales
- Derechos no utilizados se hacen visibles y se retiran
- Excepciones son conocidas en lugar de sorprendentes
Para la dirección, esto cambia el orden de las inversiones. Antes de adquirir otro componente Zero Trust, vale la pena preguntarse si los propios procesos son realmente visibles. Una estrategia de acceso basada en flujos medidos se puede justificar, revisar y defender en una auditoría. Una que se basa en suposiciones solo genera la sensación reconfortante de haber hecho algo.
Preguntas frecuentes
¿Por qué no basta un concepto de roles para el privilegio mínimo?
Porque los roles surgen de los organigramas, no de los flujos de trabajo reales. Un rol suele agrupar permisos para muchas tareas, de las cuales una persona concreta solo necesita una parte. Solo al observar el proceso real se revela lo que verdaderamente es necesario.
¿Qué tiene que ver Process Mining con la ciberseguridad?
Proporciona la base factual para las decisiones de acceso. Process Mining reconstruye a partir de los registros del sistema quién accede a qué sistema y cuándo. Esta perspectiva hace visibles las cuentas con sobredimensionamiento de permisos y los derechos no utilizados que, de otro modo, un modelo Zero Trust pasaría por alto.
¿Agravan los agentes de IA el problema de los permisos?
Sí. Los agentes de IA persiguen objetivos a través de múltiples sistemas, encadenan herramientas y repiten pasos. Unos permisos excesivamente amplios los convierten en un riesgo dinámico. También aquí se requiere conocimiento de los procesos para limitar aquello a lo que un agente puede acceder.
¿Por dónde debería empezar un programa Zero Trust?
Por la visibilidad, no por la siguiente herramienta. Quien primero mide los procesos y accesos reales puede asignar los permisos de forma justificada. Solo sobre esta base los demás componentes de Zero Trust aportan un valor real.
¿Cómo se convence a la junta directiva de este orden de prioridades?
Con la auditabilidad. Una estrategia de acceso basada en flujos medidos puede documentarse en una auditoría y justificarse ante los supervisores y las aseguradoras. Es un argumento mucho más sólido que la mera adquisición de más tecnología de seguridad.
Más de la red de MBF Media
cloudmagazin
Fuente de la imagen: generada por IA (junio de 2026), certificado C2PA integrado en la imagen