Durante años, las organizaciones han priorizado fortalecer endpoints, redes y autenticación al inicio de sesión. Mientras tanto, uno de los puntos de control más críticos del ciclo de vida de la identidad, el help desk, ha permanecido sorprendentemente expuesto: la mayoría de los sistemas de identidad no estaban diseñados para extender una verificación sólida a los flujos de recuperación y soporte, dejando una brecha crítica que los atacantes están aprovechando cada vez más.

Sin este cambio, las organizaciones siguen confiando en el juicio humano en flujos de alto riesgo, dejando una brecha que los atacantes están explotando cada vez más.

Con el auge de la IA generativa, videos deepfake, clonación de voz sintética y agentes de IA, los help desks se han convertido en un objetivo principal para la ingeniería social. Los atacantes pueden sintetizar la voz de un CFO a partir de grabaciones públicas, crear videos deepfake para llamadas en vivo o desplegar agentes de IA para realizar una suplantación persistente y multicanal.

Estos actores malintencionados pueden recolectar datos personales a partir de redes sociales y sitios web corporativos para que su historia resulte creíble. También pueden adaptar sus respuestas en tiempo real en función de lo que dice y pregunta un agente de soporte.

Su objetivo suele ser claro: lograr que el help desk restablezca una contraseña, inscriba un nuevo dispositivo o anule la autenticación multifactor (MFA). Si tienen éxito, la amenaza puede escalar rápidamente a despliegues de ransomware, robo de datos, toma de control de la cuenta o más.

Es necesario un diseño moderno de identidad que aborde esta brecha significativa de verificación, tratando las interacciones de recuperación y del help desk como flujos de identidad de primera clase, no como excepciones fuera del sistema.

La debilidad oculta de la verificación manual

La mayoría de los flujos de trabajo del help desk siguen basándose en preguntas de conocimiento, datos estáticos del empleado o aprobaciones de gerentes para validar la identidad de usuario o cliente. En un entorno donde los datos personales son ampliamente accesibles y la IA puede suplantar convincente a las personas, estos controles son frágiles.

La verificación basada en conocimiento asume que la información personal es privada, pero rara vez lo es. Las devoluciones de llamada de gerentes asumen que el reconocimiento de voz es confiable, pero ya no lo es. La revisión manual asume que las personas pueden detectar engaños de IA, pero eso no siempre ocurre. Muchas empresas piden al personal de soporte que verifique la identidad del cliente con herramientas diseñadas para una era diferente.

En muchos entornos, los flujos de trabajo del help desk quedan fuera de los sistemas de identidad centrales, operando como procesos desconectados en lugar de estar gobernados por las mismas políticas y controles aplicados al inicio de sesión.

Al mismo tiempo, las expectativas sobre la protección de la identidad están en aumento. A medida que la IA se integra más en las interacciones digitales, los consumidores esperan que las organizaciones cuenten con sistemas para proteger efectivamente sus identidades. Esto es crítico, ya que el 75% de los consumidores está más preocupado por la seguridad de sus datos personales que hace cinco años.

Cuando las protecciones fallan, la confianza y la reputación de la marca se erosionan rápidamente y son difíciles de reconstruir. Está claro que la confianza ya no puede depender del criterio intuitivo o de comprobaciones manuales. Debe diseñarse dentro de los sistemas de identidad y hacerse cumplir a través de una identidad verificable.

Modernización de la seguridad del help desk con identidad verificable a escala

Resolver esto exige replantear cómo se diseñan los sistemas de identidad, concretamente cómo se gestionan la verificación, la recuperación y las acciones de alto riesgo como parte de una arquitectura unificada, en lugar de procesos fragmentados. Las arquitecturas modernas de identidad ofrecen un camino al futuro a través de la identidad descentralizada y una autenticación basada en biometría resistente al phishing.

Aquí está cómo se aplica en la práctica:

1. Autenticación basada en biometría y resistente al phishing

La autenticación basada en FIDO vinculada a credenciales bound a dispositivos y biometría reduce la dependencia de contraseñas y datos compartidos. Como las credenciales están criptográficamente ligadas a un dispositivo y validadas con cifrado avanzado, son resistentes a repetición y phishing.

La implementación pasa de la decisión humana a la política impulsada por el sistema, asegurando consistencia tanto en el inicio de sesión como en los flujos de recuperación. Extender este modelo a flujos de recuperación y re-autenticación garantiza que acciones de alto riesgo, como restablecimientos de contraseñas o inscripciones de dispositivos, estén protegidas por las mismas controles fuertes utilizados en el primer inicio de sesión.

2. Credenciales verificables descentralizadas

Los marcos de identidad descentralizada permiten a las organizaciones emitir credenciales verificables y a prueba de manipulación que los usuarios almacenan en billeteras digitales seguras. Estas credenciales pueden representar estatus laboral, rol u otros atributos necesarios para la verificación, sin centralizar datos sensibles.

Desde un punto de vista arquitectónico, la identidad descentralizada reduce la dependencia de almacenes de datos centralizados y permite la verificación a través de prueba criptográfica en lugar de registros estáticos.

Este enfoque desplaza la verificación de identidad desde un modelo basado en conocimiento hacia un modelo basado en pruebas. Cuando un usuario necesita asistencia de un agente, puede presentar una credencial verificable que la organización puede validar criptográficamente sin depender de preguntas basadas en conocimiento. Así, el help desk ya no decide si alguien es quien dice ser: el sistema lo verifica por ellos.

3. Recuperación autoservicio de alta garantía

La recuperación de cuentas autoservicio, respaldada por una autenticación fuerte y credenciales digitales seguras, permite a los usuarios recuperar el acceso sin llamar al help desk. Esto reduce la carga de soporte y elimina el objetivo común de los ataques de ingeniería social. La recuperación autoservicio disminuye la dependencia de la intervención manual y permite que los sistemas de identidad escalen sin aumentar el riesgo operativo.

En este modelo, el help desk ya no es responsable de juzgar si las comprobaciones de identidad se cumplen, reduciendo el riesgo.

Redefinición del plano de control de identidad

El perímetro de seguridad actual llega a cada flujo de trabajo donde se verifica, delega o recupera la identidad. Los help desks están directamente en ese flujo. Un modelo más resiliente separa la identidad en una capa de control que define políticas y una capa de ejecución que aplica las decisiones de manera consistente en cada interacción.

La modernización de los sistemas de verificación de identidad con credenciales descentralizadas, autenticación basada en biometría y políticas de aseguramiento consistentes cierra una de las brechas más explotadas de la cadena de seguridad. Reemplaza la necesidad de que los agentes del help desk dependan del juicio personal por pruebas verificables de identidad y garantiza que las acciones de alto riesgo estén gobernadas por controles diseñados para el panorama de amenazas actual.

La IA para engaños continuará madurando en velocidad, realismo y automatización. Abordarlo requiere una arquitectura de identidad duradera que aplique verificación consistente entre usuarios, dispositivos y flujos de trabajo.

Cuando los sistemas de identidad se diseñan para hacer cumplir la confianza de forma automática y uniforme, las organizaciones ganan resiliencia que acompaña la innovación y sientan las bases para mantener la confianza en un entorno digital moldeado por IA durante años. En este modelo, la identidad se convierte en una capacidad de sistema distribuido integrada en flujos de trabajo, sistemas e interacciones de usuario, más que en una verificación puntual.

Este cambio transforma la identidad de un control en un punto en el tiempo a una capa de aplicación en todo el sistema, cerrando una de las brechas más explotadas de la seguridad empresarial.

Hemos destacado el mejor software de firewall.

Este artículo se produce como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy en día.

Las opiniones expresadas aquí son propias del autor y no necesariamente las de TechRadarPro o Future plc. Si te interesa contribuir, descubre más aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/nrZfxFO
via IFTTT IA

En la conversación actual sobre actualizaciones de Android, los consumidores esperan que sus dispositivos reciban un número fijo de versiones del sistema operativo. Marcas de primera línea como Samsung y Google han mostrado, en distintos modelos, promesas de varias actualizaciones, a veces hasta siete, lo que genera confianza entre quienes planean mantener sus teléfonos durante años. Sin embargo, recientes anuncios de Sony sobre el Xperia 10 VI revelan que estas promesas pueden no ser tan irrevocables como parecen.

Según un comunicado de soporte de Sony, inicialmente se prometió que el Xperia 10 VI recibiría tres actualizaciones de Android. La realidad, sin embargo, es que solo recibirá dos. La razón, según la compañía, está relacionada con limitaciones en la configuración de almacenamiento del dispositivo, motivo por el cual no consideran adecuado ofrecer una experiencia de actualización a Android 17. Aun así, el teléfono continuará recibiendo cuatro años de actualizaciones de seguridad, y Sony asegura que esta situación no afecta a otros modelos. Este detalle es un recordatorio claro de que las promesas de soporte, por legítimas que parezcan, no deben ser interpretadas como garantías absolutas.

Este puede ser el primer giro en una tendencia más amplia. ¿Qué pasa si otros fabricantes, incluso de gama alta, ajustan sus compromisos? Muchos flagship prometen varios años de actualizaciones, a veces hasta siete. En un mercado donde la tecnología envejece a gran velocidad, siete años es un lapso largo: ¿seguirá funcionando Android 24 de manera óptima en un teléfono que llegó al mercado este año? Aunque la experiencia de usuario pueda sostenerse con actualizaciones, la realidad técnica podría imponer límites.

Desde la experiencia del usuario, es razonable preguntarse si estas decisiones deben tomarse como una guía de mejora continua o como una promesa con fecha de caducidad. Si bien la justificación técnica es comprensible y, en algunos casos, necesaria para garantizar un rendimiento estable y seguro, también es válido señalar que estas situaciones subrayan la importancia de evaluar, antes de la compra, la política de actualizaciones de cada fabricante y su historial con modelos similares.

En resumen, para quienes evalúan la compra de un teléfono hoy, podría ser prudente considerar las promesas de actualizaciones como metas orientativas: útiles para planificar, pero no garantías definitivas. Esta mentalidad ayuda a gestionar expectativas y a tomar decisiones más informadas sobre qué dispositivo comprar y cuánto invertir en un modelo específico a largo plazo. Con esto en mente, la conversación sobre actualizaciones debería ir más allá de una cifra verbal y centrarse en la compatibilidad entre hardware, almacenamiento y sostenibilidad del software a lo largo del ciclo de vida del dispositivo.

from Latest from TechRadar https://ift.tt/pL5uFiJ
via IFTTT IA

La hora embrujada está casi aquí, y como aficionado a todo lo spooky, he reunido una selección de mis artículos favoritos para adornar la mesa de trabajo con temática de Halloween. No necesito una excusa para sumergirme en el espíritu de la temporada, y aquí encontrarás desde toques acogedores hasta elementos góticos, con guiños a algunas de mis películas de horror predilectas. Entre todas las opciones, mi elección principal es, sin duda, un accesorio que transforma el escritorio: un tapete/alfombrilla de ratón inspirado en la alfombra del Overlook Hotel de The Shining. Nada dice “trabajo y juego” como un detalle icónico que despierta la nostalgia del cine de terror.

En este artículo te presento mis accesorios imprescindibles para una oficina en casa con ambiente de Halloween. Cada elemento está seleccionado para evocar la temporada sin perder la profesionalidad, así podrás mantener un espacio productivo y con carácter temático.

Mis accesorios favoritos para una oficina de Halloween en casa

from Latest from TechRadar https://ift.tt/7D3Ylgy
via IFTTT IA

from Latest from TechRadar https://ift.tt/Ymv9FaJ
via IFTTT IA

Durante años, la computación cuántica habitó un lugar extraño en la conversación de ciberseguridad: lo suficientemente importante como para preocuparse, pero suficientemente distante como para dejarlo para otro día. Al preguntar a un CISO qué es lo que les mantiene despiertos por la noche, la computación cuántica rara vez figuraba en el top cinco. Todavía se siente distante, teórica, un problema de otro siglo para 2030 y pico.

Esa estimación empieza a parecer incorrecta.

Gartner predice que para 2030 los avances en computación cuántica harán inseguro el uso de la criptografía asimétrica convencional. Cuatro años de margen suenan a alivio, pero no lo es. Reemplazar la criptografía incrustada en una infraestructura tecnológica moderna no es un ciclo de parcheo. Es una transformación multianual que afecta aplicaciones, infraestructura, sistemas de identidad, proveedores y desarrolladores, todas a la vez.

El reloj ya está corriendo. La mayoría de las organizaciones simplemente no se ha dado cuenta de que ya empezó o no aprecia cuánta tiempo les queda realmente.

Esto nunca fue realmente una pregunta tecnológica

La innovación cuántica avanza a ritmo sostenido: IBM, Amazon y Google publicando hojas de ruta o avances en corrección de errores y estabilidad de qubits. Tomados en conjunto, cuentan una historia consistente: el plazo para un ordenador cuántico criptográficamente relevante se está estrechando, no ampliándose.

Pero para la empresa promedio, ese no es el pregunta más útil ahora mismo. La pregunta más incómoda es: ¿cuánta criptografía realmente poseemos, sabemos dónde vive y podríamos cambiarla si fuera necesario?

La criptografía no es una categoría de producto a la que se pueda señalar. Está integrada en todo, incrustada en software de proveedores, en el protocolo TLS de los handshakes, trabajando discretamente dentro de sistemas de identidad y acceso que nadie tiene presente. La investigación de Gartner cuantifica el punto ciego: el 61% de las organizaciones carece de visibilidad total sobre sus propios sistemas criptográficos.

Los CIOs y líderes de IT no pueden migrar de un riesgo que no pueden ver. Esa estadística, más que el propio avance cuántico, es la verdadera preocupación.

El ataque ya ha comenzado

Aquí está lo inquietante. No necesitas una computadora cuántica funcionando hoy para que la amenaza esté vigente hoy. Los adversarios, especialmente actores estatales bien financiados, ya están en lo que la industria llama “recoger ahora, descifrar después”: recolectan datos cifrados, los guardan y esperan el día en que la descifrado se vuelva trivial.

Para cualquier cosa con una vida útil larga, como registros gubernamentales, expedientes médicos, propiedad intelectual o contratos legales, un avance a cinco años vista ya es un problema de hoy, porque la sustracción ocurre ya.

Criptografiado de forma segura hoy no significa seguro durante toda la vida útil de los datos. Esa es la frase que cada líder de seguridad debe poner a prueba con su estrategia actual.

La agilidad criptográfica es la verdadera riqueza

Existe la tentación para CIOs y líderes de IT de tratar la criptografía poscuántica como un cambio: quitar un algoritmo antiguo, insertar uno resistente cuánticamente, listo. No funciona así. Los nuevos algoritmos no son reemplazos directos.

Los tamaños de clave mayores consumen memoria en sistemas antiguos, las operaciones de firma corren a velocidades diferentes, y las suposiciones de rendimiento incrustadas en aplicaciones heredadas se rompen silenciosamente. Además, aún se están desarrollando estándares, lo que significa que la sustitución de hoy podría convertirse en deuda criptográfica mañana.

Por eso, la capacidad que realmente importa no es un algoritmo específico. Es la agilidad criptográfica: la capacidad de cambiar algoritmos criptográficos, claves y protocolos rápidamente, sin reingenierizar el negocio que los rodea. Y las organizaciones ya empiezan a enfocarse en construirla, junto con prototipos o evaluaciones de algoritmos poscuánticos.

Construye la agilidad criptográfica de forma adecuada y no solo te preparas para la cuántica. Estás solucionando algo más antiguo: la deuda técnica criptográfica que habría causado dolor en la próxima debilidad algorítmica, independientemente de qué la desencadenara. La cuántica es la fecha límite. La deuda técnica es la enfermedad.

Además, la criptografía híbrida, que combina mecanismos clásicos y poscuánticos durante la transición, ofrece algo de respiro. Trátala como andamio, no como destino final. Los métodos clásicos tienen una vida útil en años impares.

Por qué ahora, cuando nadie puede predecir la fecha exacta

Existe una tendencia natural a esperar la certeza, a ver exactamente cuándo llega una computadora cuántica criptográficamente relevante antes de asignar presupuesto. Esa tendencia es una mala estrategia para una transformación medida en años, no en sprints.

Las organizaciones no necesitan conocer la fecha. Necesitan empezar a construir visibilidad y flexibilidad ahora, para poder actuar cuando sea necesario. El primer paso poco glamoroso: crear un inventario. Escanear el estate, catalogar cada componente criptográfico, alimentar los hallazgos en el panel de deuda técnica que tenga la atención ejecutiva. Esto saca a la luz algoritmos caducados, versiones TLS obsoletas y dependencias de proveedores, y da a la migración una base fáctica en lugar de una conjetura.

Luego, prioriza. Una base de datos de marketing que esté obsoleta en dieciocho meses tiene un perfil de riesgo muy diferente a un contrato gubernamental de diez años o a una credencial de identidad destinada a durar toda una generación. Pregunta qué información aún necesita protección después de 2030. Esa lista pasa al top. Luego pregunta qué casos de uso podrían deshabilitar el negocio y aborda esos primero.

Esto no puede transferirse al equipo de seguridad

Un error es tratar la migración poscuántica como un proyecto de seguridad con un responsable de seguridad. No lo es. Los desarrolladores deben entender cómo los cambios de algoritmo impactan el rendimiento de las aplicaciones. Los equipos de nube y de red heredan cambios de protocolo. Los equipos de identidad son responsables de las dependencias de autenticación.

La adquisición debe interrogar a los proveedores sobre sus propios plazos, porque una gran parte de la criptografía empresarial llega empacada dentro de software de terceros que nadie controla directamente.

Igualmente, empujar esto a los propietarios de sistemas individuales sin una coordinación central es una vía segura hacia el fracaso, llevando a decisiones inconsistentes, a una visión de progreso fragmentada y a brechas justo donde los atacantes miran primero.

Un Centro de Excelencia Criptográfica, que reúna IT, desarrollo y seguridad de datos bajo un mismo techo, no es una teatralidad de gobernanza. Es lo que evita que la respuesta se deshaga en un parche suelto.

La pregunta real no es cuántico, sino cuán resiliente es la arquitectura

Descifra las siglas y verás que la historia deja de ser sobre qubits. Se convierte en una prueba de cuán resistente es la arquitectura de una organización, si sabe dónde está su criptografía, comprende qué datos requieren protección a largo plazo y puede cambiar mecanismos criptográficos sin reconstruir desde cero.

Las organizaciones más expuestas no serán aquellas con los algoritmos más débiles. Serán las que siguen viendo la cuántica como una historia tecnológica distante en lugar de un problema de resiliencia que ya está en los libros de hoy. Cuando la amenaza sea evidente para todos, la parte difícil—desentrañar años de dependencias criptográficas—ya habrá quedado fuera de plazo.

La era cuántica se acerca. El esfuerzo de migración no.

Hemos presentado el mejor software de protección de endpoints.

Este artículo se elaboró como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/G2bxMmW
via IFTTT IA

from Latest from TechRadar https://ift.tt/skx6tE8
via IFTTT IA