Un documento fundacional
La ciberdelincuencia cambió de lado de la pantalla de inicio de sesión. La seguridad nunca la siguió.
Durante treinta años defendimos la red privada y después el endpoint. Mientras tanto, el ataque se convirtió en un permiso, el atacante en un inicio de sesión y el campo de batalla en «quién puede llegar a qué» dentro de las plataformas de colaboración del mundo. No hay estantería para la herramienta que vigila esto. Así que la construimos.
Tres eras
Red privada. Endpoint. Identidad.
La primera era levantó muros: firewalls, pasarelas, DMZ. El ataque era un paquete y el sector construyó toda una estantería de herramientas para inspeccionar paquetes.
La segunda era siguió al ataque hasta la máquina: antivirus y después EDR. El ataque era un proceso y el sector construyó toda una estantería de herramientas para vigilar procesos.
La tercera era ya está aquí. El ataque es un permiso ejercido por un inicio de sesión válido: sin exploit que parchear, sin firma que reconocer, sin proceso malicioso que matar. El sector no construyó ninguna estantería para ello. Los SIEM almacenan las pruebas sin entenderlas; el IAM aprovisiona identidades sin vigilarlas; los escáneres de cumplimiento fotografían la escena del crimen una vez por trimestre.
El punto ciego
Nadie sabe quién tiene acceso a qué.
No como eslogan, sino como la condición observada de prácticamente todos los inquilinos de Microsoft 365 del planeta, incluidos los bien gestionados. El acceso se acumula en siete sitios a la vez: concesiones directas, vínculos de uso compartido, pertenencias a grupos, roles de sitio, permisos de aplicación, fuentes de conocimiento de agentes y herencia. Ninguna superficie nativa los une en una sola respuesta.
Los atacantes lo saben. Por eso dejaron de forzar la entrada.
- 600 M/díaataques de identidad (Microsoft, 2024)
- 70 %de las brechas explota permisos excesivos
- 98 %de los permisos concedidos no se necesitan nunca
Doctrina
Qué debe hacer la categoría.
Una herramienta que falle en cualquiera de estos puntos es un panel, no una defensa.
- 01
El mapa siempre está activo
Un análisis trimestral es la fotografía de un río. El mapa de permisos tiene que estar vivo o ya es incorrecto.
- 02
La respuesta no debe necesitar un experto
La verdad sobre los accesos vive hoy en la cabeza de unas pocas personas que entienden la herencia de SharePoint, los grupos anidados de Entra y la semántica de Graph, y muere cuando cambian de trabajo. Una categoría que solo da resultado para especialistas no ha resuelto el problema: lo ha movido de sitio. Cualquiera en la sala debería poder leer quién puede llegar a qué, y acertar.
- 03
Minutos para saberlo, no meses
La medida de esta categoría es el reloj. «¿Nos han comprometido y a qué llegaron?» se responde hoy con semanas de análisis forense de registros, y para entonces la respuesta es arqueología. Tiene que ser cuestión de minutos, no porque la velocidad impresione, sino porque cada hora entre la pregunta y la respuesta es una hora más que el intruso conserva el acceso.
- 04
Registrarlo todo, alertar en su umbral
Cada desviación se conserva; el umbral de alerta le pertenece a usted, no a la idea que un proveedor tiene de su apetito de riesgo, y moverlo reclasifica el histórico al instante.
- 05
Los hallazgos deben traer la corrección
Un hallazgo sin una vía de corrección son deberes para casa. Detección y reparación deben estar en la misma pantalla, con revisión humana donde importa.
- 06
Cada identidad cuenta
Personas, cuentas de servicio, aplicaciones OAuth, agentes de IA, dispositivos. Si puede tocar datos, es una identidad, y recibe el mismo mapa, la misma línea base y el mismo histórico que un empleado.
- 07
Tiene que amortizarse con lo sencillo
Una visibilidad de este tipo es infraestructura: debe funcionar con licencias estándar, no detrás de una venta cruzada de E5 o de un contrato de SIEM. Y tiene que valer su precio en el primer caso de uso, el más aburrido (los invitados que nunca se fueron, las licencias que nadie recuperó), antes de cualquier programa, transformación u hoja de ruta. Un producto que solo se gana su sitio después de una prestación de servicios le está cobrando por terminarlo. La experiencia añadida debe ser un partner que aporta criterio, nunca un impuesto por hacer que la herramienta funcione.
El primer instrumento
1Security es la primera materialización de la categoría.
Un grafo vivo de cada identidad y de cada camino hacia los datos en Microsoft 365, vigilado en tiempo real, recordado durante tres años y conectado a la acción. No es una lista de funcionalidades: es la doctrina anterior, en funcionamiento.
No solo nuestra tesis
El propio programa de innovación de Microsoft la respalda.
Un manifiesto es fácil de escribir y barato de creer. Innovation Alley de Microsoft colabora con 1Security y lo recomienda al ecosistema: la plataforma cuyos inquilinos son el objeto de esta categoría, llegando de forma independiente a la misma conclusión. Ser el primero en una categoría solo es una ventaja si alguien más también ve la categoría.
Los primeros en construirlo y ya de confianza en torno a los inquilinos que cartografía.
Si utiliza Microsoft 365, ya tiene el problema.
Ahora existe una herramienta para ello. Véala en su propio inquilino, en solo lectura y hoy mismo.