Gobernanza del acceso a los datos: controle quién ve qué datos y demuéstrelo
La gobernanza del acceso a los datos controla qué identidades pueden acceder a qué datos, aplica esas decisiones y demuestra que el acceso sigue siendo adecuado. Descubra cómo funciona este ciclo.
¿Qué es la gobernanza del acceso a los datos?
A finales de 2025, unos atacantes usaron tokens OAuth robados de una aplicación de confianza para leer datos de clientes de Salesforce durante casi un mes. No tuvieron que vulnerar ningún sistema. El acceso ya existía, era mucho más amplio de lo que la aplicación necesitaba y nadie lo revocó. Ahora FINRA indica a las empresas que concedan a las aplicaciones conectadas solo el acceso que necesitan.
La gobernanza del acceso a los datos evita que existan accesos como ese. Es el conjunto de políticas y controles operativos que determina qué identidades pueden acceder a qué datos, aplica esas decisiones y demuestra que siguen siendo adecuadas con el tiempo.
Sus datos se encuentran en sistemas locales, almacenes de objetos en la nube y plataformas SaaS. Tanto las personas como las máquinas acumulan privilegios que rara vez se revocan. Por defecto, el acceso tiende a ser excesivo. Contener esa acumulación es la tarea de la gobernanza del acceso a los datos y la razón por la que ocupa un lugar central en su programa de seguridad.
La relación entre la gobernanza del acceso a los datos y la ciberseguridad
La gobernanza del acceso a los datos reúne dos áreas que suelen funcionar por separado: la gestión de identidades y accesos (IAM) y la seguridad de los datos. IAM verifica la identidad de cada persona y controla sus credenciales. La gobernanza del acceso a los datos responde a la pregunta que IAM deja abierta: ¿debería esta identidad acceder a estos datos concretos y puede demostrar que ese acceso sigue estando justificado? Para ello, incorpora clasificación de datos, políticas, validación continua, recertificación y auditoría.
Esa justificación para cada solicitud convierte la gobernanza del acceso a los datos en un pilar del modelo de confianza cero. En este modelo, cada solicitud de acceso se verifica, sin importar la ubicación en la red ni la confianza previa, según se define en NIST SP 800-207. Los componentes siguientes llevan ese principio a la práctica diaria.
Cómo funciona la gobernanza del acceso a los datos
La gobernanza del acceso a los datos funciona como un ciclo continuo formado por varios componentes esenciales. Cada etapa pone uno de ellos en práctica. El ciclo se repite a medida que cambian sus datos, identidades y necesidades empresariales.
1.Descubra y clasifique sus datos
No puede gobernar lo que no puede ver ni clasificar. Haga un inventario de los datos en entornos locales y en la nube, incluidas las plataformas SaaS y los almacenes de objetos en la nube. Después, aplique etiquetas de sensibilidad persistentes y legibles por máquina, alineadas con sus categorías normativas y empresariales. La clasificación de datos va primero porque ningún control puede aplicar políticas a datos que no puede identificar.
2. Identifique las identidades y los permisos actuales
Haga un inventario de todas las identidades, humanas y no humanas, que pueden acceder a cada conjunto de datos clasificado: cuentas de usuario, cuentas de servicio, claves API, tokens OAuth y agentes de IA. Registre a qué puede acceder cada una actualmente. Singularity™ Identity crea este inventario y mantiene la visibilidad en tiempo real de las cuentas humanas y no humanas. Esta referencia inicial sirve para aplicar políticas y recertificar los accesos.
3. Defina políticas de acceso
Establezca reglas aplicables automáticamente que especifiquen qué roles, atributos o condiciones dan derecho a una identidad a acceder a los datos. Use el control de acceso basado en roles (RBAC) para los permisos básicos; el control de acceso basado en atributos (ABAC) para ajustarlos según el contexto, como el estado del dispositivo, la ubicación o la hora; y la separación de funciones para evitar que una identidad acumule privilegios incompatibles.
4. Conceda y aplique el mínimo privilegio
Deniegue el acceso por defecto y conceda solo los permisos mínimos que cada identidad necesite mediante procesos formales de aprobación. Para los datos privilegiados y las operaciones administrativas, use elevaciones de privilegios temporales o justo a tiempo que caduquen automáticamente y registre cada sesión privilegiada. También debe certificar que los permisos existentes siguen estando justificados.
5. Valide el acceso continuamente
Verifique la autorización en cada etapa del ciclo de vida del acceso, incluso mucho después de concederlo por primera vez. NIST SP 800-207 describe este proceso como un ciclo constante de acceso, evaluación de amenazas, adaptación y reevaluación de la confianza.
Detecte patrones anómalos, como volúmenes de datos inusuales o accesos desde ubicaciones inesperadas, especialmente si van acompañados de una escalada de privilegios. Aplique controles más estrictos a las cuentas privilegiadas y de servicio. El modelo de madurez de CISA exige verificar continuamente a cada usuario, dispositivo y aplicación, así como cada transacción, durante toda la sesión.
6. Revise, recertifique y audite
Revise los accesos con una periodicidad definida y examine los permisos de cada identidad para detectar los que se acumulan con el tiempo al cambiar de rol. Revoque el acceso en cuestión de horas tras una baja, un cambio de rol o la retirada de una carga de trabajo. Mantenga además un registro de auditoría completo y centralizado de cada decisión de concesión, modificación y recertificación. Los hallazgos de las auditorías se incorporan al descubrimiento y la clasificación. El ciclo se cierra y vuelve a empezar.
Qué aporta una gobernanza sólida del acceso a los datos
Aplique este ciclo de forma constante y obtendrá resultados medibles en su postura de seguridad, sus auditorías y el trabajo diario de su equipo.
- Mínimo privilegio aplicado y menor alcance de los incidentes. Cada identidad conserva solo el acceso que necesita. Así, una cuenta comprometida solo puede acceder a un conjunto limitado de datos. Aplicar el principio de mínimo privilegio mantiene contenida esa exposición.
- Auditorías más rápidas y claras. Un registro completo de las decisiones de acceso, los cambios de permisos y las recertificaciones ofrece a los auditores las pruebas que necesitan sin tener que reconstruirlas manualmente.
- Menor riesgo interno y de exposición accidental. La concesión estructurada de accesos y la recertificación periódica eliminan los accesos obsoletos y excesivos antes de que provoquen un incidente.
- Transiciones de rol más fluidas. Los procesos formales de incorporación, cambio de rol y baja evitan que los privilegios se acumulen durante los traslados y revocan el acceso rápidamente tras las bajas.
- Una base para la confianza cero. La autorización por solicitud, la validación continua y la aplicación de la denegación por defecto integran los principios de confianza cero en la práctica diaria.
Estos resultados presuponen que el programa funciona según lo previsto. En la práctica, algunas condiciones recurrentes lo impiden.
Dónde fallan los programas de gobernanza del acceso a los datos
Incluso los equipos competentes y bien dotados de recursos pueden tener dificultades para sostener la gobernanza del acceso a los datos. Cuando se producen fallos, suelen deberse a unas pocas condiciones estructurales y decisiones evitables.
Proliferación de accesos y asignación excesiva de permisos
Los permisos se acumulan con los cambios de función, las concesiones para proyectos y los accesos de emergencia que nunca se revocan. Las cuentas huérfanas pueden persistir durante meses o años. Conceder acceso amplio "para no obstaculizar el trabajo" agrava el problema, ya que esos privilegios permanentes perduran indefinidamente. Las cuentas administrativas y de servicio con amplios permisos se convierten en los accesos de mayor riesgo.
Visibilidad limitada entre herramientas y datos
Los datos ocultos se extienden por cuentas en la nube y herramientas de colaboración sin incorporarse a ningún programa de clasificación. Las identidades de máquina, como las cuentas de servicio, las claves de API y los agentes de IA, forman ahora un grupo numeroso con escasa gobernanza que los programas de identidad diseñados para usuarios humanos nunca se concibieron para supervisar.
Las herramientas de gestión de accesos privilegiados, gobernanza de identidades, gestión de la postura de seguridad en la nube y SIEM ofrecen cada una una visión parcial de los permisos, por lo que ningún sistema muestra el panorama completo.
Fallos en los procesos y la asignación de responsabilidades
Los equipos tratan la autorización como una concesión única y no vuelven a revisarla cuando cambian las funciones y la sensibilidad de los datos, aunque NIST SP 800-53 exige revisar las cuentas con una frecuencia definida por la organización (control AC-2).
Las revisiones se aprueban automáticamente a nivel de función sin examinar los permisos que realmente confiere cada una. Los accesos permanecen activos durante semanas después de que una persona se marcha y algunas organizaciones adquieren herramientas de gobernanza antes de clasificar los datos que deben proteger. Cuando ninguna área asume la responsabilidad del programa entre seguridad, IT y las áreas de negocio, la intención de las políticas se aleja de su aplicación diaria.
Todo esto tiene solución. Cada punto de la lista responde a una decisión de diseño que puede revertir: asigne un responsable, clasifique los datos antes de adquirir herramientas y revise los permisos en lugar de las funciones.
Cómo contribuye la gobernanza del acceso a los datos al cumplimiento normativo
Seis marcos ampliamente adoptados exigen controles específicos de gobernanza del acceso a los datos. Distintos sectores y jurisdicciones, pero tres exigencias comunes: conceder acceso según la necesidad de conocer, revisar los accesos de forma periódica o continua y contar con pruebas auditables.
| Marco | Requisito de gobernanza del acceso |
| GDPR (artículos 5 y 25) | Los datos personales deben limitarse a lo necesario. Por defecto, no deben ser accesibles a un número indeterminado de personas sin intervención. |
| HIPAA (norma del mínimo necesario) | Las entidades sujetas a la norma deben identificar qué categorías de personas necesitan acceso, qué categorías de PHI requieren y qué condiciones corresponden a ese acceso. |
| PCI DSS (requisito 7) | El acceso a los datos de titulares de tarjetas se limita a quienes lo necesitan para su trabajo. El sistema de control de acceso debe denegar todo acceso que no esté expresamente autorizado. |
| SOX (sección 404) | Los controles generales de IT exigen acceso basado en funciones a los sistemas financieros, separación de funciones, revisiones periódicas de acceso y una evaluación anual de la dirección. |
| ISO 27001 (anexo A 5.15-5.18) | Procedimientos formales para conceder acceso, revisión periódica de los derechos de acceso y eliminación o ajuste del acceso cuando cambia la función de una persona o esta se marcha. |
| NIST 800-53 (familia AC) | Políticas documentadas (AC-1), gestión del ciclo de vida de las cuentas (AC-2), aplicación de autorizaciones, incluidos RBAC y ABAC (AC-3), y supervisión continua (CA-7). |
A medida que proliferan los agentes de IA y las identidades no humanas, la atención normativa sobre la gobernanza del acceso se extiende más allá de los usuarios humanos. SentinelOne refuerza estos controles en los flujos de trabajo de identidad, datos e investigación.
Reduzca el riesgo de identidad en toda su organización
Detecte y responda a los ataques en tiempo real con soluciones integrales para Active Directory y Entra ID.
Mejore la gobernanza del acceso a los datos con SentinelOne
La gobernanza determina quién debería acceder a sus datos. La aplicación de los controles determina quién accede realmente. SentinelOne respalda sus políticas de acceso, modelos de control y programas de clasificación con defensa contra amenazas a la identidad, validación continua del acceso, visibilidad de los datos e investigación integradas en Singularity Platform.
- Quién puede acceder (identidad). Singularity Identity muestra todos los endpoints y las identidades desde un único agente ligero. Aplica acceso condicional basado en políticas mediante el bloqueo de sesiones y la reautenticación con MFA en Active Directory, Microsoft Entra ID, Okta, Ping, SecureAuth y Duo. Cuando se produce un robo de credenciales o una escalada de privilegios, detecta la actividad y bloquea el movimiento lateral antes de que se propague.
- A qué datos acceden (datos). Singularity Cloud Security encuentra datos confidenciales en el almacenamiento de objetos en la nube, incluidos Amazon S3, Azure Blob Storage y Google Cloud Storage. Su programa de gobernanza obtiene visibilidad de los repositorios que contienen datos regulados.
- Cómo investigar. Purple AI consulta datos normalizados de fuentes propias y de terceros mediante lenguaje natural, sin necesidad de aprender un nuevo esquema de consultas. IDC constató que los clientes de Purple AI identificaron las amenazas un 63% más rápido y redujeron un 55% el tiempo medio de respuesta. Para ampliar la retención y el análisis, Singularity Data Lake ejecuta un SIEM nativo de la nube sobre un lago de datos a escala de petabytes, con ingesta en tiempo real desde cualquier fuente mediante la normalización de Open Cybersecurity Schema Framework (OCSF).
Solicite una demo de SentinelOne y descubra cómo estas capacidades se integran en su programa de gobernanza del acceso.
Obtenga protección de identidad en tiempo real y visibilidad de extremo a extremo en entornos híbridos para detectar exposiciones, detener el abuso de credenciales y reducir el riesgo de identidad.
Conclusiones clave
La gobernanza del acceso a los datos controla qué identidades acceden a qué datos, aplica esas decisiones y genera las pruebas que necesitan los auditores y la dirección. Como los permisos de acceso se acumulan con el tiempo, el principio de mínimo privilegio solo se mantiene si se aplica continuamente durante todo el ciclo de vida, desde el descubrimiento y la clasificación hasta la validación, la recertificación y la auditoría.
Las identidades de máquina requieren ahora el mismo rigor que las humanas. Comience por clasificar los datos de mayor riesgo, deniegue el acceso de forma predeterminada, valídelo continuamente y conserve un registro auditable de cada decisión. Así, “¿quién puede acceder a estos datos?” deja de requerir una investigación exhaustiva. Se convierte en una simple consulta.
Preguntas frecuentes sobre la gobernanza del acceso a los datos
La gobernanza del acceso a los datos es el conjunto de políticas y controles operativos que determinan qué identidades pueden acceder a qué datos, aplican esas decisiones y demuestran que siguen siendo correctas con el tiempo. Reúne la clasificación de datos, las políticas de acceso, la validación continua, la recertificación y la auditoría en un único ciclo de vida.
El objetivo es aplicar el principio de mínimo privilegio: cada identidad humana y no humana conserva únicamente el acceso que requiere su función, con pruebas auditables que respaldan cada decisión.
La gestión de identidades y accesos (IAM) se ocupa de la autenticación y de los procesos para conceder, gestionar y revocar credenciales de acceso. La gobernanza del acceso a los datos añade la clasificación de datos, la definición de políticas, la validación continua, la recertificación y la auditoría.
IAM responde a "¿puede autenticarse esta identidad y qué permisos tiene?", mientras que la gobernanza del acceso a los datos responde a "¿debería tener esos permisos, sigue estando justificado su acceso y puede demostrarlo?"
La responsabilidad de la gobernanza del acceso a los datos suele abarcar tres funciones. El CISO o el equipo de seguridad define las políticas, establece los umbrales de riesgo y realiza la supervisión continua. El equipo de IT o de operaciones de IAM gestiona la asignación y retirada de accesos, así como las herramientas.
Los responsables de los datos de negocio validan durante la recertificación que los permisos se ajusten a los requisitos actuales de cada puesto. Las organizaciones suelen designar a un responsable de gobernanza o un comité directivo para coordinar estas tres funciones.
La frecuencia de las revisiones de acceso y la recertificación debe reflejar la sensibilidad de los datos y el nivel de privilegios. Los datos regulados y las cuentas con privilegios elevados suelen requerir revisiones más frecuentes que los accesos de usuarios estándar.
Combine revisiones periódicas programadas con recertificaciones activadas por cambios de puesto, traslados y salidas de empleados. Los sistemas muy sensibles pueden requerir validación continua, ya que las comprobaciones periódicas no detectan los cambios de acceso entre ciclos.
Al iniciar un programa, comience por clasificar los datos con mayor impacto normativo o empresarial: información de identificación personal, información sanitaria protegida, datos de titulares de tarjetas, registros financieros sujetos a SOX y propiedad intelectual.
NIST IR 8496 recomienda definir qué constituye un activo de datos antes de clasificarlo y, después, aplicar etiquetas persistentes. Una vez establecida la gobernanza de los datos muy sensibles, amplíe la clasificación al resto.
La gobernanza del acceso a los datos debe abarcar las identidades no humanas, Las cuentas de servicio, las claves de API, los tokens de OAuth y los agentes de IA crean, mueven y consultan datos a la velocidad de máquina y suelen recibir amplios privilegios permanentes durante la asignación de accesos.
Su programa de gobernanza debe inventariar las identidades no humanas junto con las humanas, aplicar los mismos criterios de mínimo privilegio y recertificación, y utilizar credenciales con una vigencia limitada siempre que sea posible.
Descubra más sobre Seguridad de la identidad
¿Listo para revolucionar sus operaciones de seguridad?
Descubra cómo SentinelOne AI SIEM puede transformar su SOC en una potencia autónoma. Contáctenos hoy para una demostración personalizada y vea el futuro de la seguridad en acción.
