Nick Lowther Director de Ventas para Grandes Empresas, Australia y Nueva Zelanda

En junio de 2026, la Dirección Australiana de Señales publicó un anuncio sobre una declaración conjunta de las agencias de ciberseguridad de «Five Eyes ». La publicación, que incluye un enlace directo a la declaración completa, resume la urgencia de la postura del Gobierno australiano en materia de resiliencia cibernética:

La inteligencia artificial está acelerando la velocidad, la magnitud y la complejidad de las amenazas cibernéticas, a un ritmo más rápido de lo que la mayoría de las organizaciones están preparadas para afrontar. Dado el riesgo que esto supone, no solo de interrupción de las operaciones, sino también de pérdidas económicas y daños a la reputación, el mensaje es claro: la resiliencia cibernética es ahora un riesgo empresarial fundamental, no solo una cuestión de TI. Se insta a los responsables de las organizaciones a actuar de inmediato.

Fuente: Dirección Australiana de Señales a través de LinkedIn

Estos mensajes sirven de punto de referencia, ya que resumen y confirman los intensos factores de estrés a los que se enfrentan los directivos de empresas y los profesionales de la seguridad con los que trabajo a diario en Australia y Nueva Zelanda.

Detrás de este mensaje urgente se esconde un riesgo real y presente que está creciendo de forma exponencial. Durante años, los líderes mundiales en ciberseguridad han hecho hincapié en adoptar la mentalidad de «dar por hecho que se producirá una brecha de seguridad» en materia de ciberdefensa. Ahora, está claro que las medidas defensivas, aunque siguen siendo fundamentales, no son suficientes. Las organizaciones deben estar preparadas para responder y recuperarse de los ataques con mayor rapidez, incluso de aquellos que no pueden prever por completo.

La inteligencia artificial ha transformado el panorama de la superficie de ataque. Ha cambiado la forma en que los atacantes actúan y cómo defendemos nuestros sistemas. Y está cambiando la forma en que los consejos de administración deben abordar la relación entre la adopción de la inteligencia artificial, la seguridad de la identidad y la respuesta ante incidentes y la recuperación.


En resumen: Puntos clave para los responsables de seguridad y los directivos empresariales

  • La IA está acortando los plazos en el ámbito cibernético y haciendo que las suposiciones obsoletas resulten peligrosas.
  • Las agencias de «Five Eyes» han convertido la resiliencia cibernética en una cuestión de liderazgo a nivel de consejo de administración, y no solo en un asunto de TI.
  • Para la mayoría de las empresas, la resiliencia de la identidad es fundamental para la ciberresiliencia, ya que Active Directory y la identidad híbrida constituyen la base de las operaciones empresariales y la recuperación.
  • Las copias de seguridad por sí solas no son suficientes. Las organizaciones deben demostrar que pueden recuperar Active Directory a un estado conocido como «limpio» dentro de un RTO empresarial realista.
  • Los programas más sólidos abordan la protección de la identidad, la recuperación sin antecedentes y la gestión de crisis como una única disciplina, en lugar de como proyectos independientes.

Cómo la adopción de la IA está acelerando actualmente el riesgo cibernético

Las grandes empresas de toda Australia (al igual que sus homólogas de todo el mundo) me comentan que se encuentran atrapadas entre las oportunidades y las amenazas que plantea la IA. Según un estudio de Semperis, su experiencia es muy habitual, lo que significa que las organizaciones están concediendo a los agentes de IA acceso directo a sistemas críticos antes de lo que tardan en establecer las medidas de seguridad adecuadas.

En el estudio «El estado de la seguridad de la identidad en la era de la IA», descubrí que los encuestados de organizaciones australianas confirmaron lo siguiente:

  • El 37 % de su plantilla tiene la IA instalada en equipos locales, desde donde puede acceder a SSH y a claves de cifrado.
  • El 24 % de las organizaciones ya utiliza agentes de inteligencia artificial para gestionar las incidencias de seguridad en el servicio de asistencia técnica, incluyendo el restablecimiento de contraseñas y el acceso a la VPN.

Al mismo tiempo que están acelerando la adopción de agentes de IA, los encuestados reconocen que la incorporación de identidades de agentes aumenta considerablemente la superficie de ataque relacionada con la identidad.

  • El 80 % de los encuestados australianos prevé que la inteligencia artificial hará que los ataques a la identidad sean más frecuentes.
  • El 65 % prevé que los atacantes utilizarán la inteligencia artificial para atacar su infraestructura de identidad.

Las estadísticas regionales que he encontrado en el estudio de Semperis coinciden en gran medida con los informes de todas las regiones del mundo. Se trata de un problema mundial.

Cuando los consejos de administración preguntan si la organización está preparada para un ciberataque potenciado por la inteligencia artificial, muchos equipos responden con una lista de medidas de control: autenticación multifactorial (MFA), detección y respuesta en terminales (EDR), copias de seguridad, aplicación de parches, supervisión y simulacros. Todas ellas son importantes.

Pero la realidad es que solo el 21 % de las organizaciones australianas —y apenas el 32 % de las organizaciones de todo el mundo— creen que podrían recuperar el control si un agente de IA revelara las credenciales de administrador.

La declaración de las agencias de ciberseguridad de «Five Eyes» eleva el listón. El mensaje no se limita a que las organizaciones deben reforzar sus defensas, sino que los responsables deben asumir que las hipótesis sobre los riesgos cibernéticos pueden quedar obsoletas en cuestión de meses o incluso semanas, y que la resiliencia debe mantenerse firme bajo presión durante un incidente real.

Es un criterio que genera inquietud. Muchas empresas nunca han comprobado realmente si son capaces de recuperar sus sistemas de identidad de forma rápida y sin problemas tras sufrir una brecha de seguridad.

Y dado que la identidad constituye el plano de control empresarial, esa brecha no es una simple nota al pie de página de carácter técnico. Se trata de un riesgo empresarial con consecuencias operativas, financieras y para la reputación.


Por qué es importante ahora la advertencia de los «Cinco Ojos» sobre la IA

Las agencias de «Five Eyes» fueron concisas y directas en su comunicado de alerta. La inteligencia artificial ya está reduciendo las barreras para los actores malintencionados, aumentando la velocidad y la complejidad de los ataques y acortando el plazo que transcurre entre el descubrimiento de una vulnerabilidad y su explotación específica en materia de identidad.

Al mismo tiempo, sostienen que la ciberresiliencia ya no es una cuestión puramente técnica. Se trata de una responsabilidad del equipo directivo vinculada a la continuidad operativa, la confianza del mercado y el valor a largo plazo.

Ese enfoque y esas especificaciones deberían ser importantes para todos los CISO, responsables de IAM, administradores de Active Directory y de identidades híbridas, responsables de SecOps y arquitectos empresariales. Esto cambia la pregunta de «¿Contamos con controles?» a «¿Podemos demostrar que esos controles funcionarán durante un incidente real en el que la identidad se vea amenazada?».

Para la mayoría de las empresas, la prueba de su resiliencia radica en la recuperación de la identidad. Como señala Semperis, el sistema de identidad está implicado en la mayoría de los incidentes cibernéticos y, en la mayoría de las organizaciones, dicho sistema es un entorno híbrido basado en Active Directory y Entra ID.


El reto que los consejos de administración suelen pasar por alto: la identidad es a la vez un objetivo y una dependencia

Los responsables de seguridad llevan años explicando que Active Directory es una infraestructura crítica. Sin embargo, la declaración de los «Five Eyes» confiere a ese argumento una nueva urgencia, ya que la inteligencia artificial reduce el tiempo disponible para detectar, tomar decisiones y responder.

El problema no es solo que los atacantes se centren en la identidad. Es que el resto de la organización depende de la identidad para funcionar. Cuando la identidad deja de funcionar, el correo electrónico, las videoconferencias, el acceso a archivos, el acceso a servicios SaaS, los flujos de trabajo operativos e incluso la coordinación en situaciones de crisis pueden verse afectados.

Esto genera un riesgo combinado:

  • La identidad es una superficie de ataque de gran valor.
  • La identidad permite el movimiento lateral y la escalada de privilegios.
  • La identidad es también el sistema que la empresa necesita para recuperar todo lo demás.

Por eso, los consejos de administración no deben considerar la recuperación de Active Directory como un simple ejercicio de copia de seguridad más. AD es una base de datos replicada y multimaster con requisitos de recuperación muy estrictos, y una recuperación incorrecta puede prolongar el tiempo de inactividad, permitir que los atacantes vuelvan a introducirse en el sistema u obligar a los equipos a empezar de cero.


Por qué la IA hace que la cuestión de la recuperación de la identidad sea más urgente

Las directrices de «Five Eyes» no afirman que la IA cambie todos los principios de ciberseguridad. De hecho, gran parte de las recomendaciones son fundamentales: reducir la exposición, acelerar la aplicación de parches, retirar los sistemas obsoletos, reforzar los controles de identidad y acceso, dar por hecho que se producirán filtraciones y poner a prueba los planes de respuesta con antelación.

Lo que cambia con la IA es el ritmo y la magnitud con los que se pueden detectar y aprovechar las vulnerabilidades. Esto significa que supuestos arraigados como «tendremos tiempo para investigarlo», «podemos solucionarlo manualmente» o «nuestra copia de seguridad probablemente sea suficiente» resultan cada vez más difíciles de defender.

Para los equipos de gestión de identidades, la consecuencia clave es la siguiente: la preparación para la recuperación debe considerarse una capacidad en constante evolución, no un documento estático. Si los atacantes pueden actuar con mayor rapidez, las organizaciones deben saber de antemano:

  • Cuánto tiempo se tarda en restaurar el AD a un estado en el que se sabe que funciona correctamente
  • Si las copias de seguridad están en buen estado
  • Si se han identificado y reducido las vías de acceso privilegiadas
  • Si la comunicación en situaciones de crisis y la toma de decisiones pueden continuar en caso de que fallen las herramientas que dependen de la identidad

Se trata de cuestiones que competen al consejo de administración, ya que determinan si un incidente cibernético se convierte en una interrupción controlada o en una crisis empresarial prolongada.


La brecha entre la resiliencia de las copias de seguridad y la resiliencia de la identidad real

Una de las distinciones más importantes en lo que respecta a la resiliencia de la identidad es la diferencia entre disponer de una copia de seguridad y poder recuperar un estado fiable.

Semperis lo deja muy claro: lo que importa es el resultado de la recuperación, no solo la copia de seguridad.

Cualquiera puede afirmar que ha realizado una copia de seguridad de Active Directory. La cuestión más complicada es si la organización puede recuperarla de tal forma que se restablezca una capacidad de identidad fiable suficiente para respaldar las operaciones de la «empresa mínima viable» (MVC) dentro del plazo requerido.

Esa distinción es importante porque los sistemas de identidad comprometidos no lo están de una sola forma. Los atacantes pueden comprometer los sistemas operativos que alojan AD, pero también pueden crear persistencia dentro de la propia base de datos de AD mediante cuentas con privilegios, cambios en los permisos, pertenencias no autorizadas u otras puertas traseras. Restaurar una copia de seguridad incorrecta con demasiada rapidez puede, sencillamente, reintroducir el punto de acceso del atacante.

Es en este aspecto donde muchos programas de resiliencia aún presentan carencias. Cuentan con políticas de copia de seguridad. Es posible que incluso dispongan de manuales de recuperación. Sin embargo, no han demostrado que la identidad pueda restablecerse correctamente, dentro de un objetivo de tiempo de recuperación (RTO) realista, en medio de la tensión y la confusión que genera una cibercrisis real.

Lo que los consejos de administración deberían preguntar ahora a la dirección

Si la declaración de «Five Eyes» supone un llamamiento al liderazgo, los consejos de administración necesitan plantear preguntas concretas. Algunas de las más adecuadas son:

  • ¿Podemos restaurar Active Directory a un estado que sepamos que está limpio? La rapidez de la recuperación es importante, pero una recuperación limpia lo es aún más. Los responsables deberían preguntarse cómo verifica la organización que el punto de recuperación es fiable y que la persistencia en la capa de identidad no sobrevivirá a la restauración.
  • ¿Hemos probado la recuperación en función de nuestro RTO empresarial real? Un objetivo de recuperación de AD solo tiene sentido si restaura suficientes servicios de identidad como para dar soporte a las aplicaciones y los procesos empresariales críticos de la organización. Recuperar un controlador de dominio no es lo mismo que restablecer las operaciones empresariales.
  • ¿Sabemos qué vulnerabilidades relacionadas con la identidad son las más importantes? Las directrices de «Five Eyes» hacen hincapié en los controles básicos y en la reducción de la exposición. En la práctica, esto incluye comprender las rutas privilegiadas, los accesos de administrador obsoletos, las configuraciones erróneas, el riesgo de delegación y los controles de identidad débiles que los atacantes pueden encadenar entre sí.
  • ¿Puede el equipo de respuesta coordinarse si los sistemas que dependen de la identidad no están disponibles? Un plan de recuperación que dé por sentado que el correo electrónico, los recursos compartidos y las comunicaciones habituales seguirán funcionando durante una interrupción del servicio de identidad es incompleto. La gestión de crisis debe funcionar con independencia de los sistemas que se estén recuperando, con una capacidad de comunicación y coordinación «fuera de banda» (como Semperis Ready1) que garantice que los equipos de respuesta puedan seguir colaborando durante todo el incidente.
  • ¿Lo hemos validado con la suficiente frecuencia recientemente? Si las hipótesis sobre los riesgos cibernéticos pueden quedar obsoletas en cuestión de meses, la validación de la resiliencia no puede limitarse a una simple comprobación anual. Es necesario ensayarla con la frecuencia suficiente para que refleje la arquitectura actual, las dependencias actuales y las vías de ataque actuales.

En qué consiste la preparación práctica

La buena noticia de la declaración de los «Five Eyes» es que la respuesta no es «comprar más herramientas».

Las agencias instan expresamente a los responsables a centrarse en los aspectos fundamentales, en una ejecución disciplinada y en el uso deliberado de la inteligencia artificial para mejorar la defensa allí donde aporte valor añadido.
En el caso de los entornos de identidad híbridos, la preparación práctica suele incluir varias medidas.


Reducir las vías de ataque a la identidad

Refuerza el acceso privilegiado, elimina la exposición innecesaria, revisa los permisos periódicamente e identifica las vías de ataque de alto riesgo hacia los activos de nivel 0 antes de que lo haga un adversario.


Mejorar la visibilidad del comportamiento específico de cada identidad

El registro general es importante, pero los ataques de suplantación de identidad suelen requerir un contexto específico de Active Directory para detectar cambios peligrosos, como la actividad de DCSync, el comportamiento de «Golden Ticket», la manipulación de grupos con privilegios o el uso indebido de AdminSDHolder.


Simula la recuperación tal y como la experimentaría la empresa

Una prueba de recuperación significativa comprueba si los servicios de identidad se restablecen en el orden correcto, con las dependencias adecuadas y a una escala suficiente para las operaciones críticas. Además, comprueba si los equipos son capaces de actuar bajo presión y comunicarse de forma eficaz durante todo el incidente.


Considera que la gestión de crisis y la recuperación de la identidad son aspectos inseparables

La recuperación de la identidad no es solo una operación técnica de restauración. También es un problema de coordinación en el que intervienen directivos, equipos jurídicos, equipos de infraestructura, responsables de aplicaciones, personal de respuesta y, a menudo, partes interesadas externas. Las organizaciones que gestionan bien ambos aspectos se recuperan más rápido y con menos caos.


El papel de Semperis como asesor de confianza

Semperis aporta su mayor valor en este contexto cuando el objetivo no es simplemente vender un producto, sino ayudar a las organizaciones a reducir la brecha entre los planes de seguridad de la identidad y la resiliencia demostrada en materia de identidad.

Para ello, lo primero es comprender el nivel de exposición. Semperis ofrece métodos gratuitos y prácticos para evaluar el estado de seguridad de la identidad, entre los que se incluyen Purple Knight la evaluación de vulnerabilidades comunes en AD, Entra ID y Okta, y Forest Druid para identificar vías de ataque de nivel 0.

La experiencia de Semperis también abarca la respuesta y la recuperación. Su equipos de Análisis Forense de Identidades y Respuesta a Incidentes (IFIR) hacen hincapié en una recuperación que restablezca Active Directory a un estado fiable y libre de malware, en lugar de limitarse a volver a poner en marcha los servicios. La planificación de la recuperación va acompañada de una coordinación en situaciones de crisis que sigue estando disponible incluso cuando los sistemas que dependen de la identidad no lo están.

Ese enfoque es importante porque se ajusta a las directrices de los «Five Eyes». La necesidad estratégica no es generar más miedo, sino aportar más pruebas: deque los controles básicos son eficaces, de que la identidad se puede restablecer sin problemas y de que la organización puede seguir funcionando durante el incidente, en lugar de tener que improvisar en pleno incidente.


Los consejos de administración deben validar la recuperación de la identidad ahora mismo

El reto más importante que plantea la declaración de los «Five Eyes» no es determinar si la inteligencia artificial va a cambiar el riesgo cibernético. Ya lo ha hecho.

Ahora, los equipos directivos deben validar la capacidad que más importará cuando se vea comprometida la identidad: la capacidad de recuperar Active Directory de forma rápida, limpia y con el control suficiente para que la empresa siga funcionando.

Los consejos de administración no necesitan otra garantía abstracta de que «contamos con controles establecidos». Necesitan pruebas de que la resiliencia de la identidad funciona bajo presión. Las organizaciones que puedan aportar esas pruebas estarán mejor preparadas no solo para sobrevivir a las amenazas aceleradas por la IA, sino también para mantener la confianza cuando llegue la hora de la verdad.


Recursos relacionados

Declaración de las agencias de ciberseguridad de «Five Eyes» | Cyber.gov.au
El estado de la seguridad de la identidad en la era de la IA
Introducción de agentes de IA a tu estructura de identidad
Recuperación de la identidad y gestión de crisis: dos aspectos inseparables en la respuesta ante incidentes
Replanteamiento de la gestión de crisis cibernéticas: por qué fallan los planes
Principales errores en la gestión manual de « AD Forest Recovery »
Empresa mínima viable: la verdadera ciberresiliencia empieza por la identidad
Lista de comprobación: prepara tu estructura de identidades para la era de los agentes