En una encuesta encargada por Commvault, el 90% de 539 responsables empresariales y de TI afirmó que su organización necesita mejorar la gestión de identidades para afrontar los riesgos asociados a los agentes de IA.
La incorporación de agentes de inteligencia artificial capaces de actuar con cierto grado de autonomía está obligando a las empresas a revisar quién -o qué- puede acceder a sus sistemas y datos. En una encuesta realizada por IDC y patrocinada por Commvault, el 90% de los responsables consultados afirmó que su organización necesita mejorar sus capacidades de gestión de identidades para afrontar los riesgos asociados a estos sistemas.
El estudio reunió a 539 responsables empresariales, ejecutivos y profesionales de TI vinculados a las estrategias de resiliencia de sus organizaciones. El 80% trabajaba en Estados Unidos y el 20% en Canadá. Aproximadamente el 85% declaró que su empresa ya había sufrido algún incidente de ciberseguridad.
Una percepción, no una auditoría
El porcentaje del 90% describe la percepción de los participantes y no el resultado de una inspección técnica de sus sistemas. Dentro de ese grupo, el 58,7% consideró necesarias mejoras importantes o una revisión completa de sus capacidades de gestión de identidades.
Los resultados sobre controles concretos apuntan en la misma dirección. Solo el 26,7% de los encuestados dijo disponer de controles dinámicos de acceso basados en roles -RBAC, por sus siglas en inglés- preparados para sistemas de inteligencia artificial y analítica.
Asimismo, únicamente el 24,7% afirmó contar con procedimientos documentados y probados para proteger, detectar incidentes y recuperar sus entornos de Active Directory o Microsoft Entra ID.
La coordinación interna aparece como otra debilidad. El 98,4% sostuvo que la colaboración entre los equipos de TI y seguridad necesita algún grado de mejora, mientras que el 49,7% señaló que requiere cambios importantes.
Por qué los agentes necesitan una identidad propia
Un agente de IA puede consultar bases de datos, acceder a aplicaciones, ejecutar tareas y actuar en nombre de una persona o de una organización. Por eso, asignarle permisos mediante credenciales compartidas o identidades humanas dificulta establecer quién inició una acción, qué autorización tenía y quién debe responder por ella.
El problema no es exclusivo del estudio patrocinado por Commvault. NIST ha identificado la identidad, la autorización, la auditoría y la atribución de acciones como cuestiones centrales para la seguridad de los agentes de software.
Microsoft también distingue las identidades de agentes de las cuentas tradicionales de usuarios y aplicaciones. Su documentación sobre Microsoft Entra Agent ID plantea controles específicos para gestionar el ciclo de vida de los agentes, limitar sus permisos e identificar las operaciones que realizan.
Vidya Shankaran, directora de tecnología de campo de Commvault, advierte que los sistemas de identidad diseñados principalmente para personas podrían no ser suficientes para gestionar una población creciente de agentes y otras identidades no humanas. Se trata de una apreciación de la empresa, no de un resultado cuantificado por la encuesta.
Resiliencia más allá de la recuperación técnica
El estudio también preguntó si las organizaciones habían definido su “negocio mínimo viable”: los sistemas, procesos y funciones indispensables para continuar atendiendo a sus clientes durante una interrupción. El 57,7% reconoció no haberlo definido completamente.
IDC agrupa estas prácticas bajo el concepto de operaciones de resiliencia o “ResOps”, una disciplina que pretende integrar continuidad de negocio, recuperación de datos, gestión de identidades y colaboración entre equipos. La consultora pronostica que este enfoque podría convertirse en una práctica habitual durante los próximos tres a cinco años. Es una proyección de IDC y no un hecho ya constatado en el mercado.
Los resultados proceden del documento Resilience Operations: The Discipline that Makes Readiness Provable, elaborado por IDC.
Alcance y limitaciones del estudio
La muestra está limitada a organizaciones de Estados Unidos y Canadá, por lo que sus resultados no pueden extrapolarse automáticamente a América Latina ni al conjunto del mercado mundial. Además, el material publicado no detalla la distribución por sectores y tamaño de empresa, el método de muestreo, las fechas del trabajo de campo, el margen de error ni la redacción completa de las preguntas.
Tampoco queda establecido que todas las organizaciones participantes ya estuvieran utilizando agentes de IA en producción. Las cifras deben interpretarse, por tanto, como un indicador de preocupación y preparación declarada entre los responsables consultados, no como una medición universal de las deficiencias existentes.
Ilustración: Commvault
📬 Newsletter gratuito
