Este mes, en CyberLideria MGZN analizamos en un extenso reportaje el novedoso y a veces enigmático concepto de ‘identidad digital’. De la mano de personas expertas desde diferentes perspectivas, desentrañamos cómo la creamos, qué factores son determinantes —muchos de ellos no evidentes—, y cómo podemos defenderla. 

José Fernando Gómez Arbaizar, Founder & CISO de Ironchip

En relación al concepto de ‘identidad digital’, sin duda nada fácil de definir, el fundador y CISO de Ironchip explica que “se puede comenzar diciendo que la identidad como tal es tan antigua como lo es el ser humano, y es todo lo que nos hace únicos, el conjunto de características y maneras de actuar que nos permiten diferenciar a una persona de otra. La identidad digital es exactamente lo mismo, todo lo que nos hace únicos en el mundo digital. Su origen es, por tanto, tan antiguo como el mundo digital, sin identidad digital no habría mundo digital, y sin mundo digital no existiría la identidad digital”. Al buscar un origen, añade, este podría encontrarse “en el siglo XX, con las primeras computadoras y, en concreto, la máquina Enigma, utilizada en la Segunda Guerra Mundial por los nazis. De hecho, suplantar la identidad digital de las personas que utilizaban esta máquina, fue lo que inclinó la guerra al bando de los aliados.

En su opinión, “nuestra identidad está formada por diversos factores, como nuestra cara, nuestro color de ojos, nuestras huellas dactilares… pero también nuestra voz, como hablamos e incluso cómo nos movemos. Y en el mundo digital, esto no cambia. Hasta hace pocos años, la identidad digital era una combinación de tres factores: algo que tienes (un móvil, un ordenador, un dispositivo usb), algo que eres (huella dactilar, iris, reconocimiento facial…) y algo que sabes (contraseña, código…). Sin embargo, esto se está ampliando, añadiendo factores de comportamiento (cómo escribes o cómo mueves el ratón) o incluso, en empresas revolucionarias como Ironchip, factores de ubicación (detección de viajes imposibles, operaciones permitidas en lugares habituales…), reforzando la identidad digital y haciendo con cada factor extra de ella algo mucho más propio y difícil de suplantar”.


En su opinión, “la identidad digital bien entendida no es solo una herramienta para controlar accesos, como una contraseña, sino que también es un reflejo de la privacidad. Con cada iteración que hacemos con internet, estamos desarrollando nuestra identidad digital: no se trata solo de demostrar quienes somos, sino de proteger la esencia de quienes somos en un mundo en el que los datos son poder y vulnerabilidad al mismo tiempo. Desde la perspectiva de un proyecto, usar la identidad digital éticamente significa priorizar la transparencia, el consentimiento y la seguridad, sin sacrificar la experiencia de usuario. Por desgracia, la mayoría de métodos de identidad actuales no cumplen esta premisa. Normalmente, solemos acceder a los servicios con contraseñas. Y sabemos, por estadísticas de múltiples informes anuales de ciberseguridad, que aproximadamente el 60% de ataques y robos de identidad tienen como origen un robo de contraseña. Memorizar no es precisamente la mayor cualidad del hombre, haciendo que la gente utilice la misma contraseña en todos sus servicios. Estas contraseñas se guardan en los servidores de estas aplicaciones haciendo que, si estás registrado en cien aplicaciones con la misma contraseña, con que roben tu contraseña de una de ellas, ya han comprometido toda tu seguridad”.

Podemos concluir entonces, según explica este CISO, que “la resiliencia digital, desde la perspectiva de un usuario, significa construir un sistema que pueda resistir amenazas como brechas de datos, robos de identidad y manipulación. Desafortunadamente, los métodos biométricos actuales, como la huella dactilar o el reconocimiento facial almacenados en servidores, representan el mayor riesgo y debilitan la resiliencia. Si un cibercriminal roba tu huella dactilar o datos faciales, no puedes cambiarlos, comprometiendo tu identidad digital para toda tu vida. Con las caras expuestas por todo internet y la tecnología de deepfake volviéndose más accesible que nunca, nuestros datos biométricos están más expuestos de lo que podríamos imaginar. Un ejemplo concreto de Panamá ilustra esta tensión. Un banco importante allí intentó obligar a todos sus clientes a usar el reconocimiento facial, argumentando que mejoraría la seguridad y agilizaría el acceso. Aunque la intención era mejorar la eficiencia, muchos usuarios se opusieron, citando preocupaciones sobre la privacidad y el riesgo de que sus datos biométricos fueran mal utilizados o robados, haciendo, incluso, que perdieran clientes. Este caso pone de manifiesto el delicado equilibrio entre la innovación y la confianza del usuario en los sistemas de identidad digital”.

Entonces, ¿qué nos queda? El experto habla de enfoques innovadores “como las pruebas de conocimiento cero (zero-knowledge proof o ZKP) ofrecen un camino prometedor. La ZKP es un método criptográfico en el que una parte puede demostrar a otra que conoce un valor sin revelar dicho valor. Es decir, que pueden demostrar tu identidad sin guardar tu contraseña o tu cara en sus servidores. En Ironchip, hemos aprovechado la ZKP combinando “algo que tienes” (como un dispositivo seguro), verificación biométrica local (sin almacenarla en servidores) y “dónde estás” (datos de geolocalización) para eliminar por completo la necesidad de contraseñas. Esto crea una experiencia de usuario fluida, segura y privada que asegura que tu identidad digital sea exclusivamente tuya”.

En paralelo, “creo que la IAG está destinada a revolucionar cómo interactuamos con la identidad digital, especialmente al mejorar procesos como el “conozca a su cliente” (KYC son sus siglas en inglés). Al analizar la huella digital completa de una persona (actividad en redes sociales, historial de transacciones, comportamiento en línea…), la IA puede validar identidades con mayor precisión y eficiencia. Esto podría agilizar la incorporación de clientes para bancos, gobiernos y empresas, reduciendo el fraude mientras se mejora la experiencia del usuario. Sin embargo, también plantea preguntas éticas sobre la vigilancia y el consentimiento, requiriendo una implementación cuidadosa para proteger la privacidad. En Ironchip hemos adoptado un enfoque basado en IA, con el que actualmente protegemos las identidades de los clientes de seis de los diez bancos más importantes de España de manera totalmente transparente. Nuestra tecnología bloquea la usurpación de cuentas y detecta esquemas de fraude sofisticados. Por ejemplo, descubrimos una red mafiosa en Benín que intentaba desviar fondos de cuentas bancarias españolas explotando identidades digitales robadas: usando nuestros sistemas avanzados de análisis y prueba de conocimiento cero, identificamos patrones inusuales, congelamos las cuentas y evitamos pérdidas millonarias, todo mientras garantizamos la privacidad de sus usuarios”.

En conclusión, menciona cómo “la identidad digital es tanto una herramienta poderosa como una gran responsabilidad. Al superar métodos obsoletos como las contraseñas, abrazar tecnologías centradas en la privacidad como la prueba de conocimiento cero y aprovechar la IA de manera responsable, podemos construir un futuro en el que la resiliencia digital nos proteja en un mundo cada vez más conectado. El desafío radica en equilibrar la innovación con la confianza, asegurando que nuestros yo digitales permanezcan seguros, privados y verdaderamente nuestros”.

Rafael Ortega, COO y experto en Ciberseguridad de Factum

“Por no ponernos demasiado académicos y tirando de ironía”, comienza esta entrevista el director de desarrollo de negocio, consultoría y cloud en ciberseguridad de Factum, “yo diría que la identidad digital, es aquella que resuelve este inconveniente, que retrata una viñeta ya clásica donde las haya [enseña una ilustración en la que dos perros están delante de un ordenador y uno le dice al otro ‘en Internet, nadie sabe que eres un perro’].

Añade cómo “un gran informe, el documento del World Economic Forum, titulado específicamente ‘A Blueprint for Digital Identity’ define la identidad como “una colección de atributos individuales que describe una entidad y determina las transacciones en las que la entidad puede participar”. Dicho de otra manera, si no existen atributos (datos) que definan tu identidad no podrás transaccionar, lo que marca ya una clara diferenciación, no hay que confundir la identidad digital, con la autenticación. Así, podemos considerar dos ámbitos de la identidad digital, uno, el usado para transaccionar y otro, en el uso de la tecnología en el ámbito empresarial, para el acceso y uso de las aplicaciones e infraestructura tecnológica. Esto es lo que se denomina Identity & Access Management. Por tanto, desde un punto de vista amplio, la identidad digital existe desde que se puso una barrera para acceder a los sistemas de información”.

Ahora, inmersos en esta asombrosa carrera por la innovación el experto explica que “surge otra cuestión y muy importante ¿qué hacemos con las “cosas”? También tienen identidad digital. Y surgen otras preguntas difíciles de contestar. Si recordamos lo que dice sobre los tres tipos de autenticación el NIST (algo que sabes, algo que tienes y algo que eres), si te roban algo que sabes, lo cambias; si te roban algo que tienes, lo sustituyes; pero ¿y si te roban algo que eres?… Es el peligro de la biometría, que de hecho ya ha sucedido. Desde el entorno empresarial, en estos momentos, la situación es compleja ya que el robo de credenciales y la ‘misconfiguration’ de los elementos que participan en estos procesos hacen que la delincuencia se salte incluso los dobles factores, siendo uno de los principales vectores de ataque”.

En este sentido, “se está intentando compensar o reforzar y asegurar estos procesos con otra variable más, tomado el NIST se podría definir como algo que haces, es decir, basado en tu comportamiento (behavior). En el mundo empresarial nos comportamos homogéneamente, por tanto, la detección de anomalías es clave para evitar incidentes de seguridad. En el ámbito transaccional, la Identidad Soberana (Self-Sovereign Identity, SSI) se vuelve entonces un concepto clave. El reglamento eIDAs 2.0 de la UE es el “brazo de hierro” regulatorio: el SSI propone que los individuos tengan control total sobre su identidad digital, sin necesidad de terceros centralizados como gobiernos o grandes corporaciones, pudiendo almacenar y gestionar sus atributos personales”.

Por ello, “la introducción de la Cartera de Identidad Digital Europea (European Digital Identity Wallet) en el presente Reglamento, asegura esa Identidad Soberana, cuya herramienta que permitirá a los ciudadanos almacenar y compartir credenciales electrónicas de manera segura y sin depender de intermediarios privados. Pero no olvidemos que uno de los axiomas de la ciberseguridad es el que se postula que no existen sistemas seguros, sino que no se conocen tipos de ataques que puedan vulnerarlos. Por último, lógicamente, el uso de componentes como la cartera digital, apoyará a uno de los mayores vectores de ataque que en estos momentos es usado por los delincuentes, que es la suplantación de identidad, aumentado el componente de protección de la resiliencia digital”.

Para el COO, “la llegada de la IA no creo que afectará, la verdad es que no tengo una razón determinada para esta afirmación, eso sí, por desgracia, aumentarán los ataques, ya que la IAG, hace que se “popularize” y “simplifique” el cómo buscar y ejecutar ataques. En mi opinión, más bien la duda sería, ¿cuántas personas se quedarán “desconectadas” de esta soberanía digital? ¿Y como evitamos esa desconexión?”, concluye.

Ana Morales Caselles, Directora de RRHH de Johnson & Johnson

Para la directora de Recursos Humanos de Johnson & Johnson, “la identidad digital te define personal y profesionalmente, en todo el entorno digital. Es toda la información que hay de ti en redes. Y eso es mucho… porque a diferencia de la identidad real, el entorno digital tiene memoria. Cada interacción, cada publicación, todo, define tu identidad y no se pierde con el tiempo. Toda esa información va forjando tu reputación y tu imagen. De manera práctica, podemos hablar que la identidad se ha ido forjando desde el año 2000 y posiblemente en los últimos quince años, cuando hemos empezado a ser activos en redes”.

Comenta que “es importante saber que tenemos identidad digital desde el momento que interactuamos en redes. Queramos o no. Por eso para mí, lo primero es entender y ser conscientes de la no existencia de barreras entre lo personal y lo profesional. Una vez que somos conscientes, está en nuestra mano desarrollar nuestra identidad digital de una forma planificada y hacerlo paso a paso, sabiendo que es una carrera de largo plazo y prácticamente irreversible. Entiendo que el mayor riesgo, una vez superado que nosotros mismos podemos ser nuestro propio riesgo de reputación, seguramente sea una posible suplantación de identidad o lo que terceros publiquen sobre nosotros”. Por otro lado, señala que “existen muchísimas oportunidades. Más allá de la democratización de la información, hoy tenemos acceso a personas que no conoceríamos de otra manera porque tenemos intereses comunes o participamos de las mismas comunidades digitales, por ejemplo. También nuestro impacto se puede multiplicar de forma muy significativa que, de otra manera, sería imposible conseguir”.

“Creo que la resiliencia digital se refiere a la capacidad que tenemos de adaptarnos a los cambios y a las dificultades”, explica la directiva. “En el caso digital, juega un papel fundamental tener conocimiento sobre los riesgos que existen en este entorno y estar preparados para afrontarlos. Saber cómo proteger nuestras cuentas, como minimizar el riesgo de filtración de nuestros datos, etc. Trabajar en un entorno digital nos facilita muchas cosas pero a la vez es un entorno muy exigente, si lo quieres gestionar bien”.

En su opinión, “algunos controles para proteger nuestra identidad son tan sencillos como usar contraseñas fuertes. Parece algo sencillo, pero hay veces que no las utilizamos ni en accesos que sabemos que deben estar muy protegidos. A partir de ahí, depende de qué hablemos. Sin duda deberíamos leer todos los avisos de control de privacidad que habitualmente aceptamos sin mirar. Y si hablamos de envío de información, deberíamos asegurar un envío cifrado. Los avances siempre se pueden utilizar para hacer el bien o el mal. El mal uso de la Inteligencia Artificial puede llevar a facilitar, a ciberdelincuentes, el acceso a información de terceros o incluso a suplantar identidades. Si la utilizamos para protegernos, nos puede ayudar por un lado a aprender y a mantenernos al día y por otro nos puede ayudar a detectar amenazas. Como siempre que hablamos de tecnología, se trata de mantener un equilibrio entre maximizar las facilidades que nos proporciona y aprender qué nuevos desafíos nos presentan los avances”, concluye, destacando ese aspecto positivo.

Cristina Xifra Estrany, Information Security & Cybersecurity Risk Manager de Puig.

En palabras de la experta directiva de Puig, una identidad digital “se va configurando con los diferentes tipos de información que subimos a las redes. Así pues, a la hora de desarrollar dicha identidad es importante que se piense bien qué queremos mostrar y cómo queremos hacerlo antes de plasmarlo en los perfiles tanto profesionales como personales. No hay que olvidarse de las redes sociales y de las opiniones, valoraciones o likes publicados durante el tiempo libre. Hoy en día puede ser tan importante el currículum que hayamos subido a LinkedIn, por poner un ejemplo, como las interacciones no profesionales que hayamos esparcido por el mundo virtual. A estas últimas se les suele dar menos importancia, pero me atrevería a decir que son incluso más importantes que las primeras a la hora de crear (o recrear, si alguien quiere hacerse una idea otra persona), y sobre todo mantener, una identidad digital. Las opiniones personales suelen dar mucha información sobre nosotros mismos. Cuando estamos más relajados, solemos ser más sinceros y las empresas lo saben. Por este motivo, cada vez es más frecuente realizar escaneos completos a la hora de valorar candidatos”.

Una buena práctica para mantener una identidad digital sana sería “dedicarle tiempo. Un tiempo que se deberá invertir en analizar qué imagen se quiere dar y, por tanto, qué se puede mostrar y qué debemos dejar para el ámbito offline. Aparte del peligro de la ‘mala imagen’ que acabamos de comentar, uno de los mayores riesgos a los que nos vemos expuestos, si no se hace una buena gestión, es el fraude. Ya de por sí es algo con lo que se lidia a diario, pero con el crecimiento exponencial de las IA y la gran exposición de datos e información personales, cada vez resulta más fácil crear perfiles falsos que pueden suplantar a una persona con mucha convicción. Tampoco hay que olvidar el ciberacoso o el grooming que pueden ser especialmente problemáticos en personas jóvenes”.

Pero no todo es negativo, en absoluto. “La identidad digital también nos ha facilitado la vida a la hora de realizar trámites, así como establecer relaciones, tanto personales como profesionales, que no habrían sido posibles de otra manera. Una identidad digital cuidada, estudiada y bien orientada, gracias a la exposición y, por tanto, a la gran cantidad de personas a que puede llegar, puede abrir muchas puertas. La resiliencia digital es la capacidad de las personas para adaptarse y responder a las amenazas y desafíos en el entorno digital. Para ello es necesario desarrollar habilidades digitales. Con habilidades digitales me refiero no solo a habilidades técnicas que permitan relacionarse con el mundo virtual de forma segura sino también de habilidades como la autoeficacia para que una persona sea capaz de tener el control sobre los eventos digitales que puedan afectar a su vida. Si se quiere potenciar pues dicha resiliencia es indispensable invertir en formación de los usuarios, en especial de los más jóvenes”.

Para ella, “la IAG nos va a facilitar la vida en muchos aspectos descargándonos de tareas rutinarias y sin valor. Pero de la misma manera que se le pueden dar buenos usos, también se le pueden dar malos. Ya estamos viendo con qué facilidad permiten generar noticias o imágenes falsas. Creo que lo siguiente que vamos a vivir, de hecho, ya se está dando, van a ser IAG haciéndose pasar por personas. En llamadas telefónicas ya es muy difícil diferenciarlas de personas reales y la suplantación por imagen está muy avanzada. Como siempre, estas habilidades se pueden usar de muchas maneras y tendremos que estar preparados para todas ellas”.

Sol Aguirre, coach, escritora y ponente, fundadora de @lasclavesdesol

Alguien con miles de seguidores en sus redes nos explica su visión de este mismo tema pero con una nueva perspectiva, la de una mujer que, después de dos décadas dedicada al marketing, decidió crear su propia comunidad de personas interesadas en temas relacionados con el autoconocimiento y el desarrollo personal. “Soy ante todo una perseguidora incansable de herramientas que me ayuden a que me pase lo que quiero que me pase”.

Para Sol Aguirre, coach, escritora y ponente, elegida una de las mujeres Forbes 50 over 50, y una de Las Top100 de Magas de El Español, fundadora de @lasclavesdesol en Instagram y otros canales, en palabras para Cyberlideria Mgzn “definir una identidad digital implica, en mi opinión y experiencia, basarse en la autenticidad, la coherencia y el compromiso con tus valores y con tu público”. En su opinión la clave está en es esa consistencia lógica en los mensajes, que a menudo tiene más que ver con ‘lo que no’ que con ‘lo que sí’. “Con tal de tener el control de mi identidad digital, de que refleje lo que realmente persigo, tener claras cuáles son mis líneas rojas”, explica ella misma.

Esto implicaría, más allá de conocer las posibilidades de las redes y su impacto, “no dejarme llevar por tendencias pasajeras, por lo que dicen que el algoritmo favorece, sino mantenerme fiel a lo que yo creo que mis seguidoras están buscando en mi cuenta y a cuál es mi estilo de comunicación. Copiar o intentar meterte en moldes que otros inventan, a largo plazo, es perjudicial para tu marca”, añade.

Creadora de una ‘membresía’ de gran éxito, en relación a sus contenidos y desde el punto de vista de creación de los mismos, aclara que la clave no está en la frecuencia, ni en las puras características generales de los mensajes, lo cual desacreditaría el poder principal de la IA, si cada línea o imagen compartida debe aportar de forma especialmente humana y significativa al sentido de la actividad. “No se trata solamente de compartir contenido, sino de aportar valor, de construir una comunidad basada en la confianza. Mi relación con mis seguidoras es lo que da sentido a mi trabajo y lo que me permite elegir proyectos alineados con lo que realmente me importa. Es un reto constante, pero también una oportunidad increíble de impacto”, concluye.