CIAM

En síntesis

CIAM son las siglas de customer identity and access management, gestión de identidad y acceso de clientes. Es la disciplina que administra cómo los usuarios externos de una organización se registran, inician sesión, recuperan el acceso, gestionan su perfil y otorgan o retiran su consentimiento. Se distingue de la gestión de identidad de empleados por tres cosas: la escala, quién administra la cuenta y el hecho de que el usuario puede irse cuando quiera. Un CIAM administra el acceso de una persona a lo largo de toda la relación; no establece por sí mismo quién es esa persona.

Un CIAM y un IAM resuelven problemas distintos

Las dos disciplinas comparten vocabulario y casi ninguna restricción, y es la confusión que produce las arquitecturas más caras de corregir.

• Escala y comportamiento — un IAM administra miles de identidades con crecimiento previsible. Un CIAM administra millones con picos, y esos picos coinciden con campañas, lanzamientos y fechas de pago.
• Quién administra la cuenta — en un IAM hay un área de sistemas que crea, modifica y da de baja. En un CIAM el usuario se administra a sí mismo: se registra solo, cambia sus datos, recupera su acceso y se va.
• La relación de fondo — un empleado acepta la fricción que le imponen porque su trabajo depende de eso. Un cliente no. Cada paso adicional en el registro o en el acceso compite con la posibilidad de que abandone.
• El consentimiento — un IAM no le pide permiso al empleado para tratar sus datos. Un CIAM sí, y tiene que registrar ese consentimiento, dar la vía para retirarlo y sostener las preferencias de privacidad como parte del producto.
• Quién es el atacante — en un IAM el riesgo dominante es el acceso indebido a recursos internos. En un CIAM es el fraude: apropiación de cuentas, altas con identidades que no existen y abuso de incentivos.

Migrar un IAM para que atienda clientes suele funcionar hasta el primer pico de tráfico o la primera campaña de apropiación de cuentas. Ahí aparece que la diferencia no era de tamaño.

Qué componentes tiene un CIAM

La sigla nombra una capa completa, y conviene desarmarla para saber qué está comprando o construyendo un equipo.

• Registro y alta — la creación de la cuenta y los datos que se piden en ese momento. Es donde el CIAM se toca con el onboarding digital.
• Autenticación — contraseña, doble factor, códigos de un solo uso, passkeys, biometría, acceso federado con proveedores externos. Casi siempre varias de esas conviviendo, porque los usuarios viejos no migran solos.
• Gestión de sesión — cuánto dura una sesión, cuándo se pide reautenticar y qué operaciones exigen una comprobación adicional aunque la sesión esté abierta.
• Autoservicio y recuperación — cambio de datos, cambio de dispositivo, recuperación de acceso. Todo lo que en un IAM hace una mesa de ayuda.
• Perfil unificado — un registro único de la persona, con sus identificadores, sus dispositivos y su historial, para que los distintos canales no la traten como usuarios distintos.
• Consentimiento y preferencias — qué autorizó la persona, cuándo, sobre qué datos y cómo lo revoca.
• Autorización — qué puede hacer cada usuario, incluido el caso de una persona que opera en nombre de otra o de una empresa.
• Auditoría — el registro de qué pasó con cada cuenta, que es lo que después permite investigar un incidente y responderle a un regulador.

La recuperación de cuenta es el punto más débil de casi todos los CIAM

El registro y el inicio de sesión reciben toda la atención de diseño. El fraude entra por la puerta de al lado.

Recuperar el acceso significa, por definición, dejar entrar a alguien que no puede probar quién es por la vía normal. Y esa vía alternativa suele ser más débil que la principal: un código al teléfono, una pregunta de seguridad, un correo alternativo, en algunos casos una llamada a un centro de atención donde una persona decide bajo presión de tiempo.

El resultado es una arquitectura invertida. La organización invirtió en doble factor y en biometría para el acceso cotidiano, y mantuvo un camino paralelo que rodea todo eso con un código SMS. Un ataque de intercambio de SIM no necesita romper la autenticación fuerte, le alcanza con tomar el canal de recuperación.

El mismo razonamiento vale para el alta de un dispositivo nuevo. Si vincular un teléfono desconocido es más fácil que iniciar sesión en el habitual, el camino fácil es el que se usa.

Un criterio simple para revisarlo: la recuperación de acceso debería exigir tanta evidencia de identidad como el alta original. Casi nunca lo hace.

Un CIAM administra cuentas. No sabe quién las abrió

Es la limitación que más consecuencias tiene, y la que menos aparece en la conversación de compra.

Un CIAM es excelente demostrando que quien vuelve es el mismo que se registró. Ese es su trabajo y lo hace con credenciales, factores y dispositivos. Lo que no responde por sí mismo es la pregunta anterior: si la persona que se registró era quien decía ser.

Si el alta se resolvió con un correo y una contraseña, todo lo que el CIAM construye encima hereda esa incertidumbre. La cuenta queda perfectamente protegida, y no hay forma de saber a quién pertenece. Es el mismo orden que gobierna cualquier identidad digital: la autenticación hereda la calidad de la verificación de identidad inicial.

La consecuencia es concreta. Una organización con un CIAM maduro puede tener, al mismo tiempo, autenticación sin contraseña impecable y una base de clientes que incluye identidades sintéticas dadas de alta hace años, porque ningún componente del CIAM está mirando esa pregunta.

Dónde el CIAM se cruza con la regulación

Un CIAM administra datos personales de clientes por definición, y eso lo pone bajo los regímenes de protección de datos de cada país: base legal para tratar los datos, información clara a la persona, plazos de conservación, y el derecho a acceder, rectificar y eliminar. Si además usa biometría, el dato tiene categoría reforzada y las exigencias suben.

Y cuando el servicio es financiero o está alcanzado por prevención de lavado, el CIAM deja de ser solo una capa de producto: el alta tiene que cumplir el KYC y conservar evidencia auditable de cómo se identificó a cada cliente. Los marcos aplicables por país están en las páginas de Colombia y México.

Ahí se ve por qué la pieza que falta importa: el regulador no pregunta cómo autentica la organización, pregunta cómo identificó a la persona y qué puede demostrar sobre esa identificación.

Cómo lo aborda VU

VU ONE consolida las tres capacidades sobre el mismo grafo de identidad: Verifica para la verificación de identidad y el onboarding biométrico, Autentica para la autenticación y el acceso sin contraseña, y Protege contra el fraude para la detección en tiempo real.

Para una arquitectura de CIAM eso significa algo preciso: la evidencia producida en el alta queda disponible para las decisiones posteriores. La misma verificación que estableció quién es la persona puede sostener una reautenticación ante una operación sensible, y puede exigirse otra vez en la recuperación de acceso, que es el punto donde el CIAM suele quedar expuesto. En lugar de administrar cuentas y confiar en el registro inicial, el acceso queda anclado a una identidad verificada.

La prueba de vida que aplica esa verificación está certificada por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3 para evaluar la detección de ataques de presentación.