El fin de la confianza implícita: por qué Zero Trust necesita MFA adaptativa
Cómo la MFA adaptativa convierte los principios de Zero Trust en decisiones de acceso basadas en el contexto y el nivel de riesgo.
Piense en todas las veces que ha retirado dinero de un cajero automático o ha realizado un pago desde la aplicación de su banco. En la mayoría de los casos, basta con ingresar su clave o confirmar la operación con un código dinámico para completar la transacción.
El proceso es rápido porque, para el banco, no existen señales que indiquen que la operación representa un riesgo.
Ahora imagine un escenario diferente.
Intenta retirar diez millones de pesos desde un cajero en una ciudad que nunca ha visitado o autorizar una transferencia de alto valor desde un dispositivo que nunca había utilizado. En esta ocasión, el banco toma nuevas medidas con base al contexto de la situación: cajero, ciudad, dispositivos distintos o un monto de dinero inusual.
En lugar de aprobar la transacción de manera inmediata, el banco le solicitará información adicional o le enviará un mensaje para garantizar la seguridad y protección de su cuenta. ¿La razón detrás de esto? No es que haya dejado de confiar en usted, sino que el contexto de esa transacción ha cambiado y ―con él― también el nivel de riesgo.
La ciberseguridad funciona de manera similar. No todos los intentos de acceso representan el mismo nivel de peligro, por lo que tratarlos exactamente de la misma manera puede dejar expuestas a las organizaciones.
La MFA adaptativa sirve como un método que aborda este desafío y aplica los principios de Zero Trust desde una perspectiva integral en la que ajusta el nivel de verificación según el contexto de cada solicitud de acceso.
Del perímetro a la identidad: una nueva era de la ciberseguridad
Hace unos años, la estrategia de ciberseguridad de una empresa estaba basada en la protección del perímetro. Se establecía una especie de muro de castillo tecnológico que funcionaba como una barrera entre los recursos internos de la organización y las redes externas.
Este perímetro estaba protegido por herramientas como firewalls, redes privadas virtuales (VPN) y software antivirus. Todo lo que permanecía on-premises dentro de la red corporativa se catalogaba como confiable. Y todo elemento externo debía bloquearse.
Aunque este modelo garantizó una protección efectiva y tuvo gran popularidad entre las empresas, sus limitaciones empezaron a ser evidentes con la transformación de los ambientes de TI.
Contenido relacionado: La evolución de la arquitectura TI
La evolución del panorama de las amenazas cibernéticas, junto con la adopción de tecnologías —como las aplicaciones en la nube, el auge del BYOD, el acceso desde diferentes dispositivos y ubicaciones—, contribuyeron a aumentar la dificultad para determinar dónde termina la red corporativa y dónde comienza el entorno externo.
Entre las principales limitaciones se encuentran:
Dificultad para establecer con precisión los límites de la red.
Enfoque en los accesos externos no autorizados, mientras se confía implícitamente en los usuarios y el tráfico de red interno.
Vulnerabilidad frente a ataques de grupos APT.
Accesos basados en la segmentación de la red, en lugar de las identidades de los usuarios. Esto puede llevar a accesos altamente privilegiados.
Dificultad en el escalamiento y la adaptación del perímetro. La naturaleza rígida de la seguridad basada en el perímetro lo hace menos adaptable a las necesidades dinámicas de las organizaciones.
Ineficiencia al momento de gestionar y enfrentar amenazas modernas como ransomware o vulnerabilidades de día cero.
Contenido relacionado: Tejido de identidades: entrelazar identidades para crear un escudo impenetrable
En este contexto, asumir que un usuario o dispositivo es confiable únicamente porque se encuentra dentro de la red corporativa dejó de ser una estrategia efectiva. Actualmente, el enfoque de protección se centra en la identidad y la convierte en la nueva línea de defensa.
Las identidades digitales se convirtieron en las protagonistas de las estrategias de seguridad digital. Ya no importa desde qué red se accede. Lo relevante es quién trata de ingresar y por qué debería tener acceso a ese archivo, aplicación o cuenta.
¡Espere, la identidad también puede ser comprometida!
La identidad se ha convertido en uno de los principales objetivos de los cibercriminales para acceder y comprometer los sistemas de TI.
De acuerdo al informe global Anatomy of a Cyber World de la empresa Kaspersky, las técnicas de ataque detectadas con mayor frecuencia están relacionadas a la gestión de credenciales e identidades. Entre las técnicas identificadas están la creación de cuentas locales, el abuso de cuentas válidas, adivinar las contraseñas, la manipulación de cuentas y el reconocimiento de la red.
Por otra parte, el Global Incident Response Report 2026 de Unit 42 expone que el 65 % de los accesos iniciales se dan mediante técnicas basadas en la identidad. La ingeniería social figura entre los métodos más utilizados, con un 22 % de los incidentes relacionados con campañas de phishing.
Contenido relacionado: Todo lo que debes saber sobre los ataques de fatiga de MFA
Otro ataque relacionado a la ingeniería social que destaca en la actualidad es la fatiga de MFA. En este tipo de ataque, los actores de amenaza envían solicitudes de MFA por medio de correos, mensajes o notificaciones push con el objetivo de fatigar al usuario y otorgar acceso al atacante de manera legítima.
Si las credenciales pueden ser robadas, reutilizadas o incluso aprobadas por el propio usuario bajo engaño, ¿cómo pueden las organizaciones determinar cuándo una solicitud de acceso es realmente confiable?
Zero Trust: una nueva forma de entender la confianza
Si las credenciales ya no son suficientes para determinar si una solicitud de acceso es confiable, las organizaciones necesitan un modelo de seguridad que les permita evaluar continuamente quién solicita el acceso, en qué condiciones lo hace y si realmente debería obtenerlo.
Es precisamente en este contexto donde surge Zero Trust.
El concepto del Zero Trust o confianza cero nace de la mano de John Kindervag, analista de Forrester Research. Kindervag lo planteó como un marco para proteger los recursos empresariales mediante un estricto control de accesos.
Debido al avance de la tecnología, la superficie de ataque se amplió y el ecosistema empresarial moderno está expuesto a un entorno mucho más distribuido. Ahora, las defensas basadas en el perímetro ya no son suficientes para proteger todos los recursos.
Contenido relacionado: Adoptando un enfoque Zero Trust con PAM360
En respuesta a este nuevo panorama, Zero Trust propone un cambio fundamental en la forma de otorgar confianza. En lugar de asumir que un usuario es legítimo por encontrarse dentro de la red, cada solicitud de acceso debe verificarse y validarse de forma continua.
El Zero Trust se enfoca en los controles de seguridad alrededor de los recursos individuales. Mediante la verificación y autenticación constante de las conexiones entre usuarios, aplicaciones, dispositivos y datos, se garantiza que los usuarios legítimos están accediendo a los activos de la organización.
Esta estrategia de seguridad está construida a partir de cinco pilares claves:
Seguridad de los datos
Redes
Identidades
Cargas de trabajo
Endpoints
Si bien todos los pilares cumplen un papel fundamental en el funcionamiento de la confianza cero, la identidad adquiere un protagonismo particular. Este pilar representa la puerta de entrada a cualquier acceso. Lo anterior implica que ―antes de interactuar con una aplicación, un dispositivo o un dato― el sistema necesita comprobar quién intenta acceder.
La autenticación y validación de las identidades permite a las organizaciones mantener un acceso controlado a datos privilegiados. Para lograr este control, existen múltiples métodos que se enfocan en comprobar quién trata de obtener acceso y si las credenciales utilizadas son legítimas.
La autenticación multifactor o MFA es una de las técnicas más utilizadas para proteger las identidades. Como su nombre lo indica, hace uso de múltiples factores de autenticación para verificar la identidad y otorgar el acceso a un usuario. La MFA puede solicitar la contraseña junto con un segundo elemento, tal como un código temporal o autenticación biométrica.
No obstante, esta técnica cuenta con un punto débil a destacar. La MFA suele aplicar el mismo proceso de autenticación a todos los intentos de inicio de sesión, sin considerar el contexto en el que se producen.
Como consecuencia, un cibercriminal que intenta acceder desde un dispositivo desconocido o desde otro país puede enfrentarse al mismo proceso de verificación que un usuario legítimo que inicia sesión desde su equipo habitual.
Pensemos nuevamente en el ejemplo del banco. Solicitar una verificación adicional para retirar diez millones de pesos desde un cajero desconocido tiene sentido porque el contexto de esa operación representa un mayor riesgo.
En cambio, exigir exactamente el mismo nivel de verificación para una consulta de saldo desde el dispositivo habitual del cliente generaría una fricción innecesaria. La dinámica de autenticación cambia porque el contexto de ambas situaciones es diferente.
Y esto mismo es lo que ocurre en las organizaciones al momento de hacer uso de la MFA. Para responder a los principios del Zero Trust, ya no basta con tener un mismo proceso de verificación para todos, sino ajustarlo a cada situación con base al contexto y el comportamiento de los usuarios.
MFA adaptativa: el puente entre la identidad y el Zero Trust
Una manera en la que se puede entender a la MFA adaptativa es como una versión superavanzada de la MFA. El proceso de autenticación se basa en la información contextual de los patrones diarios del usuario para analizar el nivel de riesgo que representa un intento de inicio de sesión específico.
Imagine que tiene trabajo en casa y usted decide trabajar desde la biblioteca de su barrio. Al momento de iniciar sesión en el panel de control de su empresa, el sistema reconoce que está conectado a una red wifi desconocida desde un dispositivo nuevo. En lugar de pedirle la contraseña habitual o negar directamente el acceso, el sistema le solicita escanear su huella digital.
Esta capa de seguridad extra aparece porque el contexto que reconoce el sistema de autenticación es interpretado como de alto riesgo. Por ende, exige una protección mayor a la habitual.
El caso anterior ejemplifica de qué se trata la MFA adaptativa: comprender los patrones de un usuario específico y ejecutar medidas adicionales cuando una situación parece sospechosa.
¿Cómo funciona la MFA adaptativa?
La MFA adaptativa funciona a partir de cuatro pasos que mantienen los datos de las organizaciones seguros y protegidos.
Paso 1: autenticación inicial
Un usuario trata de iniciar sesión en un sistema mediante un nombre de usuario y una contraseña. El sistema da inicio a la validación con las credenciales previamente almacenadas.
Paso 2: evaluación de riesgos
Este es el paso en el que se encuentra la mayor diferencia entre la MFA adaptativa y la tradicional. La MFA adaptativa analiza el nivel de riesgo. De esta forma determina el nivel de autenticación que se requiere para este tipo de riesgo.
Los datos de inicio de sesión o solicitud de acceso actual se recopilan y comparan con los datos previamente almacenados. La información recolectada y comparada puede incluir:
Localización
Dispositivo o tipo de dispositivo
Hora del día
Comportamiento del usuario
Red
Datos históricos
Un sistema de puntuación de riesgos evalúa los resultados y asigna el nivel de riesgo al intento de inicio de sesión.
Paso 3: respuesta de autenticación
La puntuación de riesgo permite obtener una respuesta de autenticación específica de acuerdo al contexto.
Autenticación MFA estándar (riesgo bajo): cuando el intento de acceso presenta un nivel de riesgo bajo, el sistema puede solicitar un segundo factor de autenticación convencional. Este puede ser un código de un solo uso (OTP) enviado mediante una notificación push al dispositivo móvil o generado por una aplicación de autenticación, tal como Google o Microsoft Authenticator.
Autenticación MFA reforzada (riesgo medio): si el sistema detecta un riesgo moderado, puede exigir mecanismos de verificación más robustos. Estos incluyen la autenticación biométrica (reconocimiento facial o huella dactilar) o métodos basados en el conocimiento del usuario, como preguntas de seguridad.
Bloqueo del acceso y generación de alertas (riesgo alto): cuando el nivel de riesgo es elevado, el sistema puede impedir de inmediato el intento de inicio de sesión y notificar al equipo de seguridad para que investigue la antes de permitir cualquier acceso.
Tipos de niveles de riesgo
Paso 4: observación continua y mejora
Los sistemas de autenticación adaptativa multifactor monitorean constantemente la actividad y los comportamientos de los usuarios para identificar las anomalías a lo largo del tiempo. Estos sistemas están adoptando algoritmos de machine learning para aprender de los intentos de inicio de sesión del pasado.
El papel de la MFA adaptativa en una estrategia Zero Trust
El Zero Trust se basa en un principio fundamental: nunca confiar, siempre verificar.
Y la MFA adaptativa juega un rol fundamental al permitir la verificación continua de la identidad de los usuarios. De esta forma, este método de autenticación se integra al modelo de Zero Trust evaluando cada solicitud de acceso con base en información obtenida de inicios de sesión actuales y anteriores. También tiene en cuenta el contexto en el que se produce cada intento de autenticación.
En un entorno en el que las identidades se han convertido en el principal objetivo de los cibercriminales, contar con herramientas capaces de adaptar la autenticación al contexto de cada acceso permite fortalecer la seguridad sin afectar innecesariamente la experiencia del usuario.
¡Implementar una estrategia de autenticación adaptativa no tiene por qué ser un proceso complejo!
Cómo ADSelfService puede ayudarle a conseguir una estrategia de autenticación adaptativa
Soluciones como ADSelfService Plus de ManageEngine incorpora capacidades de MFA adaptativa que permiten evaluar las condiciones de cada inicio de sesión y aplicar el nivel de verificación más adecuado según el riesgo detectado.
La solución evalúa factores contextuales como la ubicación del usuario, la dirección IP, el dispositivo utilizado, el horario de acceso y los intentos fallidos de inicio de sesión para ajustar el nivel de autenticación según el riesgo detectado.
Esto facilita la implementación de los principios de Zero Trust sin afectar innecesariamente la experiencia del usuario.
Conclusiones
La evolución digital trajo consigo múltiples cambios que repercuten tanto de manera positiva y negativa en las organizaciones. Es por esto que mantenerse a la vanguardia de las estrategias y métodos de ciberseguridad marca una diferencia entre una empresa que improvisa al momento de recibir un ataque y otra que está equipada con las herramientas y planes adecuados para garantizar la protección de su entorno TI.
¡No espere más y tome el control de sus identidades!