¿Qué es la identidad digital?

¿Qué es la identidad digital?

En la gestión de acceso, la identidad digital es el conjunto registrado de características medibles por las que un ordenador puede identificar a una entidad externa. Esa entidad puede ser una persona, una organización, un programa informático u otro ordenador.

La identidad digital se basa en atributos que puede identificar un ordenador. Por ejemplo, un ordenador puede ser capaz de identificar a una persona porque conoce una contraseña, o porque su voz suena a determinadas frecuencias. Un ordenador también podría identificar a otro por su dirección IP o por su dirección de control de acceso al medio (MAC).

Dos compañeros de trabajo, Jim y Sharon, pueden reconocerse por la vista. Pero un ordenador no sabe quién es "Jim" ni quién es "Sharon". En cambio, un ordenador almacena un perfil de usuario distinto para Jim y Sharon, que incluye un nombre, un conjunto de datos sobre su identidad y un conjunto de privilegios. Y tiene que comprobar quiénes son mediante algún método que se pueda medir, como por ejemplo si introducen o no la contraseña correcta. (Potencialmente, Jim podría hacerse pasar por Sharon si conoce su nombre de usuario y su contraseña).

Ten en cuenta que el término "identidad digital" también puede hacer referencia a un equivalente informático de la identificación personal emitida por las autoridades, lo que a veces se conoce como "identificaciones digitales." Pero este artículo se centra en la identidad digital en el contexto de los sistemas de gestión de acceso.

¿Quién posee una identidad digital?

Casi todas las personas que utilizan ordenadores o acceden a Internet en la actualidad tienen alguna forma de identidad digital. Puede ser una combinación de dirección de correo electrónico y contraseña, su historial de navegación por Internet, su historial de compras y la información de su tarjeta de crédito guardada por una tienda online, o las características de identificación almacenadas en un sistema de gestión de identidad y acceso (IAM).

Los ordenadores y los dispositivos informáticos también tienen una forma de identidad. Los sistemas y protocolos de red utilizan varios métodos diferentes para identificar estos dispositivos; por ejemplo, muchos sistemas utilizan direcciones IP o direcciones MAC para este fin. Las organizaciones también tienen características almacenadas que permiten que los sistemas externos las reconozcan e interactúen con las mismas. Incluso se puede decir que los puntos finales* de las API tienen identidades digitales. Con una API debidamente protegida, los puntos finales necesitan demostrar quiénes son para poder realizar y recibir llamadas API.

*Una API es una forma de que un programa de software solicite servicios a otro. Un punto final de la API es el punto desde el que parte o se recibe dicha solicitud, como un programa de software o un servidor de la API.

¿Cómo se relaciona la identidad con el control de acceso?

El control de acceso define qué datos puede ver, modificar o copiar un usuario. Como contable, Sharon puede tener acceso a los libros de cuentas y al sistema de nóminas de su empresa. Sin embargo, Jim, como vendedor, solo necesita acceder a la base de datos de clientes y a algunos otros sistemas, y no debe tener acceso ni a los libros de cuentas ni al sistema de nóminas. Su empleador utiliza el control de acceso para 1) identificar a Sharon y a Jim, y 2) asegurarse de que Sharon pueda acceder al sistema de nóminas y que Jim no pueda.

Como se ve en el ejemplo, la identidad es parte de lo que determina el acceso. En este caso, las identidades de Sharon y Jim también están asociadas a roles específicos. El acceso no se puede controlar correctamente sin saber quién es la persona y cuál es su rol. Por lo tanto, la autentificación es una parte importante del control de acceso.

¿Qué es la autenticación?

La autenticación es el proceso de verificación de la identidad. Los sistemas de control de acceso comprueban una o varias características de los usuarios o dispositivos para autenticarlos.

Hay tres características principales o "factores" que la autentificación puede evaluar:

1. Conocimiento: este factor de autenticación es algo que el usuario conoce: por ejemplo, introducir una contraseña o responder a una pregunta de seguridad (por ejemplo, "¿Cuál es el segundo apellido de tu madre?"). Algunos servicios, como los bancos y las agencias de crédito, también pueden pedir a sus clientes que proporcionen información personal adicional, como su dirección postal o su número de DNI, para verificar su identidad.
2. Posesión: este factor de autenticación es algo que el usuario tiene, es decir, comprueba si el usuario posee un token físico o digital asignado. Por ejemplo, un sistema puede enviar un código de verificación al teléfono inteligente de un usuario para comprobar que posee el teléfono, o puede pedir al usuario que conecte un token de hardware en su puerto USB.
3. Cualidades inherentes: este factor de autenticación es algo que el usuario es; comprueba cualidades que son inherentes al usuario. Algunos ejemplos son los escaneados de retina, el reconocimiento facial y el reconocimiento de voz.

Con frecuencia, se evalúan juntos varios de estos factores, como en la autenticación multifactor (MFA).

Autenticación vs. autorización

La autenticación se diferencia de la autorización, que hace referencia a los permisos que tiene cada persona. Sin embargo, ambas dependen, al menos de forma parcial, de la identidad digital. Quién es una persona suele ayudar a determinar lo que se le permite hacer. Por ejemplo, el director general de una empresa probablemente esté autorizado a acceder a más datos que un empleado de nivel inferior. Más información sobre la autorización y la autenticación.

¿Cómo afecta la identidad digital de un usuario a su privacidad?

La identidad digital se suele basar en el almacenamiento y la verificación de información personal; por ejemplo, su dirección de correo electrónico, un registro de su cara (como en el reconocimiento facial), o hechos sobre su vida (respuestas a preguntas de seguridad). Esto puede convertirse en un problema de privacidad de datos si se filtran los datos personales, si personas no autorizadas ven los datos, o si el usuario no es consciente de cómo se utilizan sus datos personales.

¿Qué es la gestión de identidad y acceso (IAM)?

La gestión de identidad y acceso (IAM) incluye una serie de tecnologías que funcionan en conjunto para gestionar y hacer un seguimiento de las identidades digitales, junto con los privilegios asociados a cada una. La identidad digital es fundamental para la IAM; sin alguna forma de saber quién es un usuario, una organización no puede asignar y restringir sus privilegios.

La IAM es extremadamente importante para prevenir la pérdida de datos, los ciberataques y otras amenazas. Una autenticación fuerte ayuda a asegurar que los atacantes no puedan hacerse pasar por un usuario legítimo. Una autorización bien configurada limita el daño potencial si se pone en riesgo una cuenta de usuario, ya que el atacante solo tendrá acceso a algunos datos, y no a todos los sistemas de la organización.

Cloudflare Zero Trust es una plataforma de seguridad que permite que las organizaciones adopten un enfoque consciente de la identidad, Zero Trust para prevenir las amenazas. Se integra con varias soluciones de inicio de sesión único(SSO) para verificar la identidad del usuario antes de concederle acceso a las aplicaciones. Más información sobre Cloudflare Zero Trust.