Qué es IAM: identificación, autenticación, autorización y auditoría · Gestión de identidades y accesos (IAM)

Cada mañana, Laura Campos llega a Cafetal Digital, una tostadora de café ficticia que vende en línea desde Heredia. Abre la laptop, escribe su usuario, su contraseña, aprueba un aviso en el celular y entra al CRM de ventas. No puede abrir la planilla, pero sí ver los pedidos de sus clientes. Esa rutina de diez segundos esconde todo lo que estudiará en este curso: la gestión de identidades y accesos, conocida como IAM por sus siglas en inglés (Identity and Access Management).

Qué es IAM

IAM es el conjunto de procesos, políticas y herramientas que aseguran que cada identidad correcta tenga el acceso correcto, a los recursos correctos, por el tiempo correcto, y que quede registro de lo que hizo. No es un producto: es una disciplina que mezcla tecnología (directorios, MFA, SSO), procesos (altas, bajas, revisiones) y personas.

Una identidad es la representación digital de una persona, pero también de una aplicación, un equipo o un script. Sobre ella se apoyan cuatro piezas: una I y tres A.

Identificación: decir quién es

Identificarse es declarar una identidad: "soy [email protected]". Por sí sola no prueba nada; cualquiera puede escribir un nombre de usuario ajeno. Lo importante es que cada persona tenga un identificador único. Si tres personas usan la cuenta "ventas", ya no hay forma de saber quién hizo qué.

Autenticación: probarlo

Autenticarse es demostrar que la identidad declarada es suya, con uno o varios factores: algo que usted sabe (contraseña, PIN), algo que tiene (el celular, una llave de seguridad) o algo que es (la huella, el rostro). Dos factores de categorías distintas forman la autenticación multifactor (MFA), que verá a fondo en el módulo 2.

Autorización: decidir a qué puede entrar

Una vez que el sistema sabe que usted es Laura, debe decidir qué puede hacer. Laura puede editar pedidos en el CRM, pero no aprobar pagos. Un usuario bien autenticado con permisos de más es una puerta abierta.

Auditoría: dejar rastro

La auditoría, a veces llamada accounting, consiste en registrar quién hizo qué, cuándo y desde dónde. Sin registros no hay investigación posible ni forma de demostrar a un auditor que los controles funcionan:

2026-03-17 08:02:11 -06:00  [email protected]  accion=login  resultado=exito  mfa=push  ip=192.0.2.41
2026-03-17 08:03:40 -06:00  [email protected]  accion=abrir_pedido  recurso=CRM/pedido-4471  resultado=permitido
2026-03-17 08:05:02 -06:00  [email protected]  accion=aprobar_pago  recurso=ERP/pago-118  resultado=denegado

En la última línea el sistema autenticó a Laura, pero denegó la autorización, y la auditoría lo dejó por escrito. Piense en un hotel: da su nombre (identificación), muestra la cédula (autenticación), recibe una tarjeta que abre solo su habitación (autorización) y la cerradura guarda la hora de cada apertura (auditoría).

Breve historia

Año	Hito
1961	El sistema CTSS del MIT introduce contraseñas para separar los archivos de cada usuario en una computadora compartida.
1993	Se publica LDAP, un protocolo ligero para consultar directorios de usuarios que hoy sigue en uso.
2000	Windows 2000 trae Active Directory, que se vuelve el directorio de la mayoría de las empresas.
2005	SAML 2.0 permite el inicio de sesión único entre organizaciones distintas.
2012–2014	OAuth 2.0 y OpenID Connect llevan la identidad federada a la web y a los celulares.
2017	NIST SP 800-63B deja de recomendar el cambio periódico obligatorio de contraseñas.
2019–2022	WebAuthn se vuelve estándar web y Apple, Google y Microsoft anuncian las passkeys.

La tendencia es clara: de una contraseña por sistema a una identidad central, con métodos cada vez más difíciles de robar.

Por qué importa: la identidad es el nuevo perímetro

Antes la seguridad era un castillo: un cortafuegos en la entrada y confianza total adentro. Hoy se trabaja desde la casa y el correo vive en la nube; lo único que acompaña siempre al usuario es su identidad. Por eso los atacantes ya no "rompen" tanto los servidores: inician sesión con credenciales robadas, una de las primeras vías de entrada según los informes anuales de incidentes.

IAM lo usan el administrador que crea cuentas, el analista de SOC que investiga un inicio de sesión raro, el auditor de GRC que pide evidencia y el especialista que diseña roles. Sin IAM, una organización acumula cuentas de exempleados, administradores de más y contraseñas compartidas.

Dónde se usa

El inicio de sesión en la computadora del trabajo, unida a un dominio de Active Directory o a Entra ID.
Correo y aplicaciones en la nube, a las que se entra con SSO desde un proveedor de identidad.
Consolas de nube como AWS, Azure o Google Cloud, donde cada permiso se asigna por roles.
Banca en línea y comercios, que exigen MFA a sus clientes.
Integraciones y APIs, con cuentas de servicio y tokens.
Accesos físicos: tarjetas de edificio ligadas a la misma identidad del empleado.

Conceptos clave

Concepto	Qué significa
Identidad	Representación digital de una persona, equipo o aplicación.
Cuenta	El registro concreto de esa identidad en un sistema, como `lcampos`.
Credencial	Lo que prueba la identidad: contraseña, passkey, certificado.
Factor	Categoría de prueba: algo que sabe, tiene o es.
Permiso	Acción concreta autorizada sobre un recurso, como "editar pedidos".
Rol	Conjunto de permisos que corresponde a un puesto.
Proveedor de identidad (IdP)	Servicio central que autentica a los usuarios, como Entra ID o Google Workspace.
Sesión o token	Prueba temporal de que ya se autenticó, para no pedirle la contraseña a cada clic.