De los certificados digitales a los agentes de IA: RedTrust analiza en 20ENISE la evolución de la identidad digital
Hace veinte años, uno de los principales desafíos de las empresas era incorporar los certificados digitales a sus procesos para identificarse ante las administraciones públicas y firmar documentos. Hoy, con su utilización extendida a numerosas actividades y sistemas, el reto es mucho más amplio: controlar quién puede utilizarlos, para qué operaciones y bajo qué condiciones. Esta transformación fue el hilo conductor de una de las ponencias celebradas durante 20ENISE, en la que Judith Durán, Sales Director de RedTrust, aprovechó el aniversario del encuentro para repasar la evolución del mercado y la trayectoria de la compañía, fundada en 2009 y que actualmente forma parte del grupo Keyfactor.
La generalización de los certificados digitales, impulsada por la normativa de 2015 y los cambios posteriores en los certificados de representación, permitió avanzar en la digitalización de las relaciones con las administraciones públicas. Sin embargo, también introdujo riesgos que inicialmente no siempre fueron considerados por las organizaciones.
A medida que aumentaba su utilización, los certificados comenzaron a instalarse en equipos de distintos departamentos y empleados, dificultando el control sobre quién los utilizaba y qué operaciones realizaba. El problema era especialmente importante con los certificados de representación, que permiten actuar y firmar en nombre de una empresa. “Lo que no tenían tan claro las empresas era la importante brecha de seguridad que se abría con esto”, recordó Durán.
Esta situación impulsó la evolución hacia modelos de gestión centralizada, en los que los certificados y sus claves privadas podían custodiarse en un entorno protegido y utilizarse bajo políticas de seguridad. El objetivo dejó de ser únicamente disponer de certificados para pasar a controlar su utilización sin dificultar el trabajo de los empleados. Esta necesidad estuvo en el origen de la propuesta de RedTrust, que posteriormente amplió su actividad desde España a Brasil, donde opera desde 2023.
De proteger los certificados a gobernar su utilización
La pandemia aceleró esta transformación. El teletrabajo puso de manifiesto las limitaciones de los modelos en los que los certificados estaban instalados en equipos concretos y obligó a facilitar su utilización desde diferentes ubicaciones. Recordó Judith Durán que la Fábrica Nacional de Moneda y Timbre incrementó un 10 % la emisión de certificados en 2020 respecto al año anterior. La extensión de los modelos híbridos consolidó esta necesidad y llevó a RedTrust a incorporar SignTrust, que permite firmar desde distintos dispositivos sin que las claves privadas salgan del repositorio centralizado.
Pero la evolución no se ha limitado a facilitar el acceso. A medida que más procesos empresariales dependen de certificados digitales, las organizaciones necesitan conocer quién puede utilizarlos, en qué aplicaciones, con qué permisos y mantener un registro de las operaciones realizadas. La regulación, con marcos como NIS2 y DORA, ha reforzado estas exigencias de seguridad, trazabilidad y continuidad.
Judith Durán identificó cuatro pilares para abordar este escenario: centralización, políticas de uso, trazabilidad y control de caducidades. Este último aspecto cobra especial importancia ante la progresiva reducción de la validez de los certificados SSL/TLS, que obliga a automatizar las renovaciones para evitar interrupciones de servicio.
Sin embargo, advirtió de que reforzar el control no debe complicar el trabajo de los usuarios. “Normalmente las soluciones de seguridad a veces están reñidas con la usabilidad, y cuando ponemos las cosas demasiado complejas para un usuario, acaban usándolas o buscándose puertas traseras para hacer el trabajo de una manera que le complique menos el día a día”, señaló. Por ello, defendió la integración de estos mecanismos de protección en las herramientas corporativas, de manera que los empleados puedan seguir trabajando con normalidad.
Un nuevo escenario con los agentes de IA
Esta necesidad de control adquiere una nueva dimensión con la incorporación de agentes de inteligencia artificial capaces de acceder a aplicaciones, consultar información y ejecutar operaciones. Si hasta ahora las empresas debían supervisar principalmente los certificados utilizados por sus empleados, empiezan a enfrentarse a identidades no humanas que también necesitan autenticarse y operar con permisos definidos.
“Antes teníamos usuarios que hacían uso de un certificado sin control. Ahora lo que tenemos son identidades agénticas que pueden hacer uso de claves y de certificados”, explicó Durán, quien insistió en la necesidad de establecer límites sobre sus actuaciones.
A este desafío se suman la protección de los datos mediante cifrado y la transición hacia la criptografía postcuántica, que obligará a revisar progresivamente los mecanismos de protección de la información. Aunque se trata de ámbitos diferentes, Durán destacó que “estos tres retos van a compartir una misma base: la visibilidad, el control y la trazabilidad”.
La evolución de RedTrust también se orienta hacia estas áreas, ampliando su propuesta desde la custodia de certificados hacia un modelo más amplio de gobernanza de identidades digitales. Un recorrido que refleja cómo ha cambiado el mercado durante estos años: de facilitar la identificación y la firma electrónica a gestionar y controlar un ecosistema cada vez más complejo de identidades, sistemas y agentes autónomos.
La entrada De los certificados digitales a los agentes de IA: RedTrust analiza en 20ENISE la evolución de la identidad digital se publicó primero en Ciberseguridadtic.