Identidades No Humanas e IA: KPMG Advierte sobre la Brecha de Gobernanza en Ciberseguridad
Identidades No Humanas e IA: KPMG Advierte sobre la Brecha de Gobernanza en Ciberseguridad
Compartir:
Diana Dorado
Redacción
29 de octubre de 2026
El despliegue acelerado de agentes de Inteligencia Artificial y la automatización corporativa han desbordado los esquemas tradicionales de gestión de accesos. Según el estudio Acceso invisible, riesgos visibles elaborado por KPMG, las identidades no humanas (Non-Human Identities - NHI) —como cuentas de servicio, claves API, tokens de acceso y agentes de IA autónomos— ya superan a los usuarios humanos en una proporción de 82 a 1.
Esta proliferación invisible amplía la superficie de ataque de las compañías, exponiendo credenciales con elevados privilegios que suelen operar sin supervisión, sin inventario claro y sin mecanismos de retiro automático.
1. Métricas de Exposición e Identidad Digital (KPMG 2026)
|
Dimensión de Riesgo |
Métrica / Indicador |
Diagnóstico Operativo |
|---|---|---|
|
Proporción de Identidades |
82 identidades no humanas por 1 humano |
Expansión masiva de credenciales y procesos autónomos. |
|
Tipos de Accesos NHI |
Cuentas de servicio, claves API, tokens, agentes IA |
Credenciales invisibles con acceso a datos e infraestructura crítica. |
|
Principal Vulnerabilidad |
Ausencia de gobernanza y trazabilidad |
Existencia de accesos sobredimensionados o identidades huérfanas. |
|
Enfoque Estratégico (2026) |
Seguridad desde el diseño (Security by Design) |
Habilitación de la innovación agéntica sin ampliar el riesgo operativo. |
2. Los 3 Pasos para la Gobernanza del Ciclo de Vida de las NHI
KPMG propone estructurar la gestión del ciclo de vida de las identidades no humanas a través de tres fases continuas de control:
-
1. Inventario y Visibilidad Continua: Mapear en tiempo real todas las identidades no humanas existentes, identificando al responsable humano de cada credencial, sus niveles de acceso y los sistemas o datos a los que puede ingresar.
-
2. Priorización por Riesgo y Mínimo Privilegio: Restringir los permisos de agentes de IA y claves API estrictamente a las funciones requeridas, identificando e inactivando de forma inmediata credenciales huérfanas o mal configuradas.
-
3. Control del Ciclo de Vida Completo: Implementar la revocación automática de accesos cuando el proceso o agente finaliza su tarea, automatizar la rotación periódica de claves y monitorear comportamientos anómalos a velocidad de máquina.
“Antes de preguntarse cuántos agentes de IA puede desplegar una organización, conviene preguntarse cuántas identidades digitales tiene hoy y si realmente sabe qué pueden hacer. Inventario, responsabilidades claras, privilegios mínimos y capacidad de retirar accesos rápidamente son controles básicos”, afirmó Alaín Almeida, Socio de Information Technology Advisory en KPMG Colombia.