En el artículo anterior del blog, analizamos por qué la implementación suele ser la parte más difícil de la modernización de la identidad. Las normas constituyen una base esencial para la interoperabilidad, pero para que la implantación tenga éxito, las organizaciones deben salvar la brecha entre las especificaciones técnicas y la realidad operativa.
Sin embargo, incluso cuando los sistemas de identidad interactúan correctamente y funcionan según lo previsto, sigue planteándose una cuestión importante:
¿Cómo se determina realmente si una identidad es fiable?
A medida que las organizaciones pasan de sistemas de verificación aislados a marcos de confianza más amplios, la garantía está cobrando tanta importancia como la propia identidad. El debate ya no se centra únicamente en establecer la identidad, sino que gira cada vez más en torno a determinar si se puede confiar en una identidad en diferentes organizaciones, canales y casos de uso.
La confianza no se transmite automáticamente
A lo largo de esta serie, hemos analizado el impulso del sector hacia una mayor interoperabilidad. Las organizaciones desean que la información sobre la identidad circule de forma más fluida entre instituciones, canales y ecosistemas con el fin de reducir las trabas, eliminar los procesos de verificación redundantes y crear mejores experiencias de usuario.
Sin embargo, la interoperabilidad por sí sola no genera confianza.
Es posible que una identidad se intercambie con éxito entre sistemas, pero eso no significa que todas las organizaciones vayan a depositar el mismo nivel de confianza en ella. La capacidad de trasladar la información de identidad es fundamentalmente diferente de la capacidad de confiar en esa información una vez que llega a su destino. En muchos sentidos, esto refleja la distinción entre la portabilidad de los datos y la portabilidad de la confianza. Trasladar información es relativamente sencillo. Transferir confianza es considerablemente más difícil.
A medida que la identidad digital se extiende a los sectores de los servicios financieros, la sanidad, la movilidad y el sector público, las organizaciones se dan cuenta cada vez más de que la interoperabilidad es solo una parte del reto. La cuestión más importante es si se puede confiar en una identidad para un fin concreto, en unas circunstancias concretas y en un momento determinado.
La seguridad depende del contexto
Durante muchos años, las organizaciones han recurrido a los marcos de niveles de garantía (LOA) para generar confianza en las identidades digitales. Estos marcos constituyen una base útil para evaluar cómo se verifican las identidades, cómo se emiten las credenciales y cómo se autentican los usuarios.
El problema es que la confianza rara vez es estática.
Una identidad de alta fiabilidad establecida durante el proceso de registro puede constituir un buen punto de partida, pero la confianza puede cambiar con el tiempo. Los dispositivos se sustituyen, las credenciales se renuevan, el comportamiento de los usuarios evoluciona y el panorama de las amenazas sigue cambiando. A medida que los sistemas de identidad se interconectan cada vez más, la fiabilidad se convierte, cada vez más, en un atributo dinámico en lugar de fijo.
Al mismo tiempo, los requisitos de confianza varían considerablemente en función de la transacción que se realice. Una entidad financiera que abre una nueva cuenta se enfrenta a un conjunto de riesgos distinto al de un centro sanitario que concede acceso a la información de los pacientes. Del mismo modo, una empresa de transporte que comprueba el derecho a acogerse a un programa de descuentos puede requerir un nivel de confianza diferente al de una organización que autoriza un pago de gran cuantía.
Puede que la identidad subyacente sea la misma, pero los requisitos de garantía no lo son.
Este cambio está llevando a las organizaciones a ir más allá de la simple cuestión de quién es una persona. Cada vez más, se preguntan cuánta confianza se necesita para respaldar una decisión concreta. La confianza ya no se considera un resultado binario. Depende del contexto, se basa en el riesgo y está ligada al propósito.
La confianza debe validarse continuamente
Históricamente, muchos programas de identidad se centraban en gran medida en la inscripción. Una vez verificada la identidad y expedidas las credenciales, se daba por sentado, en gran medida, que se mantendría la confianza en el futuro.
Los ecosistemas digitales modernos están poniendo en tela de juicio este enfoque.
Las organizaciones son cada vez más conscientes de que es necesario mantener la confianza a lo largo de todo el ciclo de vida de la identidad. La inscripción sigue siendo importante, pero no es más que un componente de un marco de garantía más amplio que incluye la autenticación, la gestión de credenciales, los procesos de recuperación y el mantenimiento continuo.
Algunos de los riesgos más importantes surgen mucho después de que se haya establecido una identidad. Los procedimientos de recuperación de cuentas, los casos de sustitución de dispositivos y los flujos de trabajo para la gestión de excepciones pueden introducir vulnerabilidades que socavan programas de identidad que, de otro modo, serían sólidos. Como consecuencia, la garantía se considera cada vez más un reto a lo largo de todo el ciclo de vida, en lugar de un proceso de verificación puntual.
Esta evolución está impulsando una mayor adopción de enfoques basados en el riesgo que evalúan de forma continua las señales de confianza a lo largo de todo el recorrido del usuario. La reputación del dispositivo, el análisis del comportamiento, el contexto de las transacciones y los patrones de autenticación pueden contribuir a una visión más dinámica de la garantía de seguridad. El objetivo no es simplemente establecer la confianza una sola vez, sino determinar de forma continua si la confianza sigue siendo adecuada a lo largo de toda la interacción.
Medir la confianza en el mundo real
Del mismo modo que la interoperabilidad debe validarse en entornos operativos, la garantía de calidad también debe someterse a pruebas en condiciones reales.
Las organizaciones necesitan tener la seguridad de que los sistemas de identidad funcionan de manera coherente con distintos usuarios, canales, dispositivos y entornos operativos. Deben comprender cómo se comportan los sistemas ante situaciones de recuperación, fallos de autenticación, condiciones de red deterioradas y escenarios de fraude en constante evolución. La garantía no puede basarse únicamente en políticas o especificaciones técnicas, sino que debe demostrarse en la práctica.
En Fime, una parte fundamental de nuestra labor consiste en ayudar a las organizaciones a generar confianza mediante pruebas, certificación y validación de la interoperabilidad en los ecosistemas de identidad y pago. Consult Hyperion complementa estas capacidades con servicios de diseño de sistemas, apoyo a la integración y asesoramiento estratégico que ayudan a las organizaciones a plasmar los requisitos de garantía en modelos de implantación prácticos.
En conjunto, estas capacidades ayudan a las organizaciones a ir más allá de los modelos teóricos de confianza para alcanzar resultados medibles en materia de confianza.
La próxima etapa en la evolución de la confianza digital
A medida que el ecosistema de identidad de América del Norte sigue madurando, la garantía se está convirtiendo en la base sobre la que se construyen marcos de confianza más amplios.
Esta evolución está empezando a dar forma a una nueva generación de infraestructuras de identidad, entre las que se incluyen los monederos digitales, las credenciales verificables y los permisos de conducir móviles. Estos modelos emergentes pretenden que la información de identidad fiable sea más transferible entre organizaciones y casos de uso, al tiempo que otorgan a las personas un mayor control sobre cómo se comparte y se verifica dicha información.
La promesa es importante. En lugar de verificar repetidamente la misma información en diferentes organizaciones, las credenciales de confianza pueden reutilizarse en múltiples interacciones y ecosistemas. Sin embargo, esto también plantea nuevas cuestiones en torno a la interoperabilidad, la gobernanza, la validación de credenciales y la portabilidad de las garantías.
El futuro de la identidad no vendrá determinado únicamente por la posibilidad de que la información circule entre sistemas. Dependerá, cada vez más, de que la confianza pueda circular junto con ella.
Las organizaciones que tengan éxito serán aquellas que reconozcan que la confianza no es algo binario, estático ni que se dé por sentado. Es contextual, medible y se evalúa continuamente.
En el próximo artículo del blog, analizaremos cómo los monederos digitales, las credenciales verificables y los permisos de conducir móviles se están imponiendo como la próxima generación de infraestructura de identidad, y por qué pueden convertirse en una base fundamental para los marcos de confianza interoperables en toda América del Norte.
Descubre más en nuestra serie de entradas del blog sobre identidad digital en Norteamérica:
Capítulo I: La realidad de la identidad en Norteamérica: fragmentada por diseño
Capítulo II:La brecha de interoperabilidad: dónde fallan los sistemas de identidad
Capítulo III: De los estándares a los sistemas: por qué la implementación es la parte difícil
Capítulo V: Nuevas vías: carteras, credenciales y el futuro de la identidad impulsado por los dispositivos móviles
Capítulo VI: Generar confianza en la práctica: los marcos que definirán la identidad digital en Norteamérica
