Identity Security Insights
Antes de correr a resolver NHI, miremos la identidad humana en el espejo
Sin una base robusta de gobernanza de identidad humana, cualquier inversión en identidades no humanas amplifica el caos en lugar de contenerlo. Por qué la próxima ola de gobernanza de identidad no se gana saltando capas.
Resumen ejecutivo. El discurso de identidad y acceso en 2026 está dominado por las identidades no humanas: agentes de IA autónomos, cuentas de servicio, tokens de OAuth, secretos de máquina. Los datos respaldan el ruido: las NHI superan a los empleados humanos en proporciones de hasta 50 a 1, y representan el 74 % de las identidades involucradas en brechas. La reacción natural del mercado es ofrecer "soluciones NHI" como una nueva línea de servicio. Este post argumenta lo contrario: sin una base robusta de gobernanza de identidad humana — IGA con ciclo joiner/mover/leaver automatizado, PAM con rotación de credenciales y session recording, certificaciones de acceso periódicas — cualquier inversión en NHI amplifica el caos en lugar de contenerlo. La capa humana y la capa no humana no son problemas secuenciales, son un solo ecosistema. Pero la prioridad de remediación sí lo es. Y ahí está la oportunidad para los MSP, MSSP y VAR que entiendan cómo plantear la conversación con sus clientes.
El espejismo del salto generacional
Hay un patrón comercial que se repite cada vez que aparece una categoría nueva en ciberseguridad: el cliente, abrumado por el volumen de avisos de analistas, blogs de vendor y demos en RSA, asume que la última capa que apareció es la que tiene que resolver primero. En 2018 fue Zero Trust. En 2021 fue XDR. En 2024 fue CNAPP. En 2026 es NHI y gobernanza de agentes de IA.
El reflejo es comprensible. Cuando Gartner, CSA y NIST publican el mismo trimestre marcos como MAESTRO, COSAiS y el Agent Trust Protocol, cuando OWASP libera su Top 10 para aplicaciones agénticas, y cuando cada CISO de Fortune 500 menciona "non-human identity" en su keynote, el sesgo cognitivo natural es asumir que ese es el problema más urgente del momento. No lo es necesariamente. Es el problema más visible.
La pregunta que un MSP, MSSP o VAR maduro tiene que ayudar a formular en la mesa del cliente no es "¿cómo gobernamos los agentes de IA?", sino otra anterior y más incómoda: ¿qué tan robusta es nuestra gobernanza de identidad humana hoy? Porque las dos capas no se resuelven en silos. Se condicionan mutuamente. Y si la base humana está rota, las inversiones en NHI van a heredar las grietas a velocidad de máquina.
Tres datos que parecen contradictorios y no lo son
La conversación se vuelve más clara cuando se ponen juntas tres cifras que circulan en la literatura de identidad de 2026:
| Indicador | Valor | Lectura |
|---|---|---|
| Ratio NHI vs identidades humanas en empresas modernas | 50 : 1 | El volumen no humano es el problema más grande en superficie |
| Identidades no humanas involucradas en brechas | 74 % | Cuando el incidente ocurre, casi siempre toca una NHI |
| Ataques iniciales que explotan credenciales humanas débiles o reutilizadas | ~80 % | El vector de entrada sigue siendo, abrumadoramente, humano |
A primera vista parecen incoherentes: si el 80 % de los ataques entra por una credencial humana, ¿por qué el 74 % de las identidades en brechas son no humanas? La respuesta es justamente el argumento de este post: el atacante entra por la capa humana y se mueve, escala y persiste por la capa no humana. El humano abre la puerta, las NHI son el laberinto que se queda inexpugnable durante meses.
Lo que esto implica es operativamente importante: si una organización invierte en gobernanza de agentes de IA mientras mantiene un programa de identidad humana inmaduro, está pavimentando los pisos superiores de una casa cuya planta baja sigue abierta. El atacante seguirá entrando como siempre — phishing, credential stuffing, MFA fatigue — y ahora encontrará además un universo más amplio de identidades de máquina sobre las cuales propagarse, con la "gobernanza" actuando como teatro de cumplimiento.
La cadena causal que cambia la conversación con el cliente
Hay una secuencia lógica que ayuda a explicarle a un CISO por qué la prioridad importa, sin caer en el dogma del "primero todo lo humano, después nada de NHI". La realidad es más matizada. Las dos capas co-evolucionan, pero la calidad de la capa humana determina el techo de calidad de las capas posteriores.
Capa 1 — Identidad humana base. Si no hay un proceso de joiner/mover/leaver automatizado contra el sistema de RR. HH., si los empleados acumulan permisos a medida que cambian de área (privilege creep), si las cuentas de contratistas y partners persisten meses después de su salida, entonces no hay forma de garantizar que ninguna capa posterior esté limpia. Toda NHI nace asociada a un humano que la creó o la opera. Si ese humano ya no debería tener acceso, la NHI tampoco debería existir — y sin embargo existe.
Capa 2 — Acceso privilegiado humano. Los administradores, los DevOps, los ingenieros de plataforma. Si esta capa no tiene rotación automática de credenciales, session recording, acceso just-in-time y separación de funciones (SoD), entonces cada compromiso de un administrador es también un compromiso del catálogo de secretos que ese administrador puede ver. Y los secretos contienen NHI.
Capa 3 — Identidades de servicio y secretos. Aquí ya estamos en NHI tradicional: cuentas de servicio, claves de API, certificados, tokens. Si las capas 1 y 2 no están maduras, esta capa hereda dos problemas: identidades zombi (creadas por humanos que ya no están) y secretos rotados por humanos con privilegios que no deberían tener. El ciclo de vida de NHI — descubrimiento, aprovisionamiento, monitoreo, rotación, decommissioning — no funciona si la capa humana no entrega información confiable de propiedad.
Capa 4 — Agentes de IA autónomos. Esta es la capa que más titulares genera. Los agentes razonan, delegan tareas, operan herramientas. El marco MAESTRO de CSA, el ATP, los overlays COSAiS de NIST, el Top 10 OWASP Agentic — todos parten de un supuesto que conviene hacer explícito: que el agente tiene una identidad propia, vinculada a un humano responsable, con autoridad delegada explícita. Si la capa 1 no produce humanos responsables claramente identificados, ningún protocolo de delegación funciona, porque no hay "delegador" verificable. El agente se vuelve huérfano por diseño.
La conclusión operativa es directa: se puede empezar a trabajar en las cuatro capas en paralelo, pero la calidad alcanzable en las capas 3 y 4 está topada por la madurez de las capas 1 y 2. Esto no es una opinión, es una propiedad estructural del problema.
Síntomas de una gobernanza humana inmadura
Antes de proponer una solución, hay que poder mostrar el problema. Estos son los marcadores que un equipo comercial técnico de un MSP/MSSP/VAR puede levantar en una conversación de discovery con un cliente, sin necesidad de auditoría formal:
- Cuentas huérfanas. ¿Cuántas identidades activas en Active Directory o Entra ID no tienen un manager registrado en HR? Si el número supera el 5 % del directorio, hay deuda técnica de identidad humana.
- Privilege creep. ¿Existe una política de revisión periódica de permisos? Si los miembros del equipo de TI o desarrollo conservan accesos de proyectos terminados hace dos años, la SoD no es una práctica, es una aspiración.
- MFA inconsistente. ¿La cobertura de MFA es del 100 % en aplicaciones críticas, o hay excepciones "por compatibilidad" que llevan tres años abiertas?
- Ausencia de certificaciones de acceso. ¿Los managers certifican trimestralmente los accesos de su equipo? Si la respuesta es "lo hacemos una vez al año por requisito de auditoría", el control existe en papel pero no opera.
- PAM sin session recording ni JIT. ¿Los administradores comparten credenciales de bóveda pero pueden mantener sesiones abiertas indefinidamente? El PAM solo protege si fuerza ventanas temporales y deja huella auditable.
- Decommissioning fantasma. Cuando un empleado renuncia, ¿qué pasa con los tokens OAuth que generó, las llaves SSH que cargó, las integraciones SaaS que autorizó? Si la respuesta es "se desactiva el usuario en AD", el problema es estructural.
Si tres o más de estos síntomas aparecen, el cliente no está listo para una conversación seria sobre NHI o gobernanza de agentes de IA. Está listo para una conversación de remediación de identidad humana — que es exactamente la conversación que un MSP/MSSP/VAR con capacidad técnica en CyberArk, Delinea y SailPoint puede sostener con autoridad.
La oportunidad para MSP, MSSP y VAR
El argumento comercial es contraintuitivo y por eso vale. Mientras la mayoría del canal se está reposicionando como "expertos en NHI" o "consultores en seguridad de agentes IA" — categorías nuevas, talento escaso, casos de éxito limitados, ciclos de venta largos —, el mercado real está pidiendo otra cosa: alguien que pueda madurar la base humana y a la vez tener credibilidad técnica para conducir la conversación de NHI cuando el cliente esté listo.
Esto se traduce en tres movimientos concretos para un owner de MSP/MSSP/VAR:
1. Cambiar el primer pitch al cliente. En lugar de abrir con "tenemos servicios para gobernar agentes de IA", abrir con "antes de invertir en NHI, hagamos juntos un assessment de madurez de identidad humana". Esto suena menos brillante pero produce dos efectos: posiciona al partner como técnicamente honesto, y abre un proyecto de 30-90 días que de otro modo no existiría. El proyecto de assessment es el caballo de Troya del programa de remediación.
2. Asegurar cobertura técnica del stack completo. Un cliente que cierra el assessment con conclusiones de remediación necesita capacidad de ejecución en CyberArk, Delinea o SailPoint — las plataformas que cubren tanto la capa humana privilegiada como, eventualmente, la capa de NHI y agentes. Tener ingenieros con experiencia hands-on en al menos dos de estas plataformas es lo que separa al partner consultivo del partner ejecutor.
3. Diseñar la oferta como roadmap, no como producto puntual. El cliente no compra "una implementación de PAM" — compra una hoja de ruta de 12-18 meses que arranca con joiner/mover/leaver automatizado y certificaciones de acceso, sigue con session recording y JIT, integra gestión de secretos y cuentas de servicio, y termina con gobernanza de agentes de IA bajo marcos como ATP o las recomendaciones de COSAiS. Ese roadmap es defendible ante el comité de auditoría del cliente porque sigue una lógica estructural, no comercial.
El partner que sostiene este argumento es el que captura el presupuesto completo de identidad del cliente durante el ciclo. El que se posiciona solo en NHI compite con muchos otros por una fracción del presupuesto y un caso de uso aún en formación.
Cómo Telekomplex se ubica en esta conversación
Telekomplex existe precisamente para esta brecha del mercado. El talento senior con experiencia hands-on en CyberArk, Delinea y SailPoint es escaso y caro en Estados Unidos, y la tasa de proyectos parados o subatendidos en MSP/MSSP/VAR por falta de capacidad técnica es alta. El modelo de Telekomplex resuelve esto con ingenieros LATAM full-time, contratados como empleados o contratistas dedicados de partners en EE. UU., capaces de cubrir el ciclo completo: diseño, deployment, onboarding de cuentas, automatización del ciclo joiner/mover/leaver, gobernanza de accesos, integraciones con AD, Entra ID, LDAP, SAML, SCIM, audit-readiness para SOC 2, PCI DSS, HIPAA, ISO 27001 y SOX, y la operación continua del programa.
Lo relevante para el argumento de este post es que el alcance técnico de Telekomplex no se limita a la capa de NHI ni a la capa humana — cubre el stack completo. Eso permite que un partner pueda ofrecerle a su cliente final una oferta coherente: remediación primero de identidad humana e identidad privilegiada, evolución hacia gestión de secretos y cuentas de servicio, e incorporación de gobernanza de agentes de IA cuando el caso de negocio lo justifique. El mismo equipo de ingenieros acompaña las cuatro capas. El partner mantiene la relación comercial y la cuenta; Telekomplex aporta la capacidad técnica especializada que es difícil y costoso construir internamente.
Para el MSP/MSSP/VAR que está decidiendo cómo posicionarse en la conversación de identidad de 2026, la pregunta práctica es: ¿tiene su equipo capacidad para sostener un programa de identidad de 12-18 meses sobre las tres plataformas líderes, o necesita un socio que extienda su capacidad sin crecer headcount fijo? Si la respuesta es la segunda, la conversación con Telekomplex es la conversación natural.
La pregunta que vale la pena llevar a la próxima reunión con un cliente
Para terminar, una invitación práctica para el lector que es owner o head of services en un MSP/MSSP/VAR. En la próxima reunión de discovery con un cliente que pregunte por "estrategia de identidad para agentes de IA" o "cómo controlamos las NHI", prueba empezar con esta pregunta antes de presentar cualquier oferta:
"Antes de hablar de agentes y NHI, ¿qué tan seguro está usted de que, si un empleado renunció el viernes pasado, hoy todos sus accesos están revocados — incluidos los tokens OAuth que generó en SaaS de terceros, las llaves SSH que cargó en repos y las cuentas de servicio que él mismo aprovisionó?"
Si el cliente puede responder esa pregunta con confianza y datos, está listo para una conversación de gobernanza de agentes IA. Si no puede, acaba de descubrir el primer proyecto del roadmap. Y en ese momento, lo más valioso que un partner puede ofrecer no es una solución puntual, sino la capacidad de acompañar las cuatro capas en orden — con talento experto, modelo de engagement flexible, y un argumento estructural que el CISO del cliente puede defender ante su propio comité.
Esa es la conversación que estamos teniendo con partners en Estados Unidos. Si quieres explorarla para tu base instalada, escríbenos a contact@telekomplex.net y agendamos una sesión de 30 minutos para revisar tu cartera de oportunidades de identidad y dónde está el primer movimiento de mayor valor.
Telekomplex es una compañía estadounidense con base en Seattle, Washington, que provee capacidad de ingeniería full-time a MSP, MSSP y VAR a lo largo de Estados Unidos. Nuestra práctica de Identity Security cubre diseño, implementación y operación continua sobre CyberArk, Delinea y SailPoint, con cobertura completa del stack humano, privilegiado, máquina y agente de IA.
Fuentes de referencia: Cloud Security Alliance (MAESTRO, Agentic Trust Framework), NIST (COSAiS, AI Agent Standards Initiative), OWASP (Top 10 for Agentic Applications 2026), Gartner, Cisco (Zero Trust for Agentic AI), Ping Identity, Vectra AI, Palo Alto Networks, Netwrix, GitGuardian.