La contraseña del servidor de correo lleva sin cambiarse desde que se configuró hace tres años. Un empleado usa la misma contraseña en el ERP de la empresa que en su cuenta personal de streaming, sin que nadie lo sepa ni pueda saberlo. Otro sigue teniendo acceso a un sistema que dejó de usar hace meses porque nadie le retiró el permiso. La gestión de contraseñas y accesos, cuando se hace a mano, depende de que cada persona recuerde aplicar buenas prácticas de forma constante, y eso, a escala de una empresa entera, es una expectativa poco realista.
Automatizar la gestión de contraseñas y accesos con IA tiene un límite que conviene dejar claro desde el principio: el agente detecta, alerta y agiliza el trámite, pero nunca decide por sí solo conceder, revocar o cambiar un acceso crítico. Esa decisión, en cualquier sistema sensible, la toma siempre una persona.
Cómo funciona el agente, paso a paso
- Auditoría continua de políticas de contraseña. El agente revisa de forma periódica que las contraseñas activas en los sistemas conectados cumplan la política de seguridad de la empresa —longitud mínima, complejidad, antigüedad— y señala las que no la cumplen, sin ver ni almacenar la contraseña en texto plano en ningún momento.
- Detección de credenciales caducadas o débiles. Identifica cuentas con contraseñas que llevan más tiempo del permitido sin cambiarse, o que aparecen en bases de datos públicas de credenciales filtradas, y genera un aviso para que esa persona la actualice.
- Verificación de autenticación en dos pasos. Comprueba qué cuentas, especialmente las que acceden a sistemas críticos, no tienen activada la autenticación multifactor, y prioriza el aviso de estas por encima de incumplimientos menores.
- Solicitud y trámite de accesos. Cuando un empleado necesita acceso a un nuevo sistema, el agente gestiona la solicitud, la documenta y la traslada al responsable correspondiente para su aprobación, agilizando el trámite administrativo sin saltarse el paso de aprobación humana.
- Alertas de accesos inusuales. Señala patrones que se salen de lo esperado —múltiples intentos fallidos de inicio de sesión, uso de una cuenta desde ubicaciones simultáneas incompatibles— para que un responsable de seguridad los revise de inmediato.
En ningún caso el agente cambia una contraseña de sistema crítico, revoca un acceso o concede uno nuevo sin que exista una aprobación explícita registrada; su función es aplicar disciplina y visibilidad a un proceso que, hecho a mano, depende de que nadie se olvide de nada.
Qué hay que conectar para que funcione
- El gestor de contraseñas corporativo (1Password Business, Bitwarden, o el que use la empresa), sobre el que se aplican las políticas de auditoría sin acceso a las contraseñas en claro.
- Active Directory o el gestor de identidades, para poder verificar el cumplimiento de políticas y gestionar solicitudes de acceso de forma centralizada.
- El sistema de autenticación multifactor, para comprobar su cobertura real sobre las cuentas críticas.
- Un flujo de aprobación claro, con responsables definidos para cada tipo de sistema, sin el cual las solicitudes de acceso simplemente se agilizan hacia ningún sitio.
- La política de seguridad de contraseñas de la empresa, que debe existir y estar definida antes de automatizar su cumplimiento; el agente aplica una política, no la inventa.
Si la empresa no tiene aún una política de contraseñas formalizada, ese es el primer paso, antes incluso de plantear la automatización de su seguimiento.
Un ejemplo con números: Clínica Dental Osorno
Clínica Dental Osorno es un grupo de tres clínicas con 50 empleados que maneja historiales médicos de pacientes, un tipo de dato especialmente sensible desde el punto de vista normativo.
- Antes: una auditoría de seguridad encontró que un 22% de las cuentas activas tenían contraseñas con más de 18 meses de antigüedad, y solo el 40% de las cuentas con acceso al sistema de historiales tenía activada la autenticación en dos pasos.
- Después de automatizar: el agente genera alertas mensuales de cumplimiento, y el porcentaje de contraseñas caducadas sin renovar baja al 4% en el primer trimestre; la cobertura de autenticación multifactor en cuentas críticas sube al 96% tras una campaña dirigida por las alertas del sistema.
- Resultado: el tiempo de trámite de una solicitud de acceso nuevo baja de una media de 3 días —dependiendo de que alguien se acordara de tramitarla— a menos de 24 horas, sin saltarse en ningún caso la aprobación del responsable de cada sistema.
Para una empresa que maneja datos sanitarios, esta mejora no es solo operativa: reduce directamente el riesgo de una brecha de seguridad con implicaciones normativas serias. Puedes ver el marco general de estas garantías en seguridad de la IA en empresas.
Errores comunes y qué no conviene automatizar del todo
- Permitir que el agente cambie contraseñas de sistemas críticos sin intervención humana. Aunque técnicamente sea posible, cualquier cambio de credencial en un sistema sensible debe requerir confirmación de la persona titular de la cuenta o de un responsable de seguridad, para evitar que un fallo del sistema bloquee un acceso legítimo.
- Automatizar la concesión de accesos por presión de plazos. Cuando un empleado necesita un acceso con urgencia, la tentación es saltarse la aprobación para agilizar; el sistema debe estar diseñado para que esto no sea posible, por rápida que sea la vía de aprobación normal.
- Confiar el almacenamiento de contraseñas al propio agente. El agente audita el cumplimiento de políticas, pero las contraseñas deben seguir viviendo exclusivamente en el gestor de contraseñas corporativo cifrado, nunca en un sistema intermedio adicional.
- No revisar accesos heredados de roles anteriores. Un empleado que cambia de puesto varias veces puede acumular accesos que ya nadie recuerda por qué tiene; conviene una revisión periódica humana, no solo la detección puntual de anomalías.
Antes de dar este paso conviene tener claro qué tipo de decisiones puede automatizar razonablemente un agente y cuáles no; en qué es un agente de IA explicamos esa frontera con más detalle.
Conclusión
Automatizar la gestión de contraseñas y accesos con IA no significa poner la seguridad de la empresa en piloto automático: significa tener visibilidad constante sobre credenciales débiles, caducadas o accesos que ya no deberían existir, con la agilidad de trámite que hoy falta y la aprobación humana que siempre debe seguir existiendo en lo crítico. El resultado típico es una reducción drástica del riesgo silencioso que se acumula cuando nadie audita esto de forma continua.
Si quieres saber cuántas cuentas de tu empresa incumplen hoy la política de contraseñas sin que nadie lo sepa, en MG Solutions pide un diagnóstico gratuito y lo revisamos juntos.