El problema
Las identidades máquina – cuentas de servicio, API, bots, runners de automatización y cuentas de integración – suelen superar en número a las identidades humanas y operan con acceso persistente. Muchas no tienen un propietario claro, un propósito claro ni límites adecuados de privilegios, que se acumulan con el tiempo.
Las credenciales pueden tener larga vida, rotarse mal o estar embebidas en scripts y pipelines. Como estas cuentas operan silenciosamente en segundo plano, las brechas de gobernanza pueden persistir durante años, creando una vía de ataque de alto impacto con poca visibilidad y una defensa débil ante auditoría.
Cómo lo resolvemos: incluir las cuentas máquina en los ciclos de certificación y gobernanza.
Llevamos las identidades máquina a la misma disciplina de gobernanza que las identidades de empleados mediante el establecimiento de propiedad, la clasificación del riesgo, la certificación del acceso y la producción de evidencias trazables para auditoría.
- Inventario y clasificación de identidades máquina
Identificamos identidades máquina en sistemas clave (directorios, aplicaciones, plataformas de automatización) y las clasificamos por propósito, entorno y riesgo de acceso. - Modelo de propiedad y responsabilidad
Asignamos propietarios responsables a cada identidad máquina (propietario del servicio, de la aplicación o de la plataforma), incluyendo reglas para servicios compartidos y cuentas de plataforma. - Controles de gobernanza integrados en el ciclo de vida
Definimos procesos de alta/cambio/retirada para identidades máquina, incluyendo convenciones de nomenclatura, requisitos de documentación y procedimientos de retirada. - Campañas de certificación adaptadas al acceso máquina
Incluimos identidades máquina en los ciclos de certificación con contexto para el revisor que permita decisiones defendibles: qué hace la cuenta, qué toca, por qué existe y qué aspecto tiene un acceso «correcto». - Evidencias, informes y control de excepciones
Estandarizamos las salidas de evidencia (propiedad, aprobaciones, revisiones, remediación) y forzamos límites temporales y tratamiento de excepciones para accesos máquina elevados.
Resultado esperado
- Propiedad clara de las identidades máquina, incluidas cuentas de servicio y bots de automatización
- Trazabilidad de las decisiones de acceso mediante aprobaciones, certificaciones y evidencias de remediación
- Menor exposición mediante la retirada de accesos máquina obsoletos, con exceso de privilegios o huérfanos
- Mejor preparación de auditoría con informes consistentes y cobertura de gobernanza más allá de los usuarios humanos
Respuestas rápidas
¿Qué es una identidad máquina?
Una cuenta no humana utilizada por aplicaciones, servicios, automatizaciones o integraciones para autenticarse y acceder a sistemas.
¿Por qué las cuentas máquina suponen un riesgo de seguridad?
Porque suelen tener acceso persistente, propiedad poco clara y permisos elevados, y pueden explotarse como vías de bajo ruido hacia sistemas críticos.
¿Qué requiere la gobernanza de identidades máquina?
Inventario, propiedad responsable, certificación basada en riesgo y evidencias trazables de las decisiones de acceso y su remediación.
