RSA ha aprovechado el Gartner IAM Summit de Dallas para atacar uno de los puntos ciegos más incómodos de la ciberseguridad corporativa: el inicio de sesión en el propio ordenador. La compañía, histórica referencia en identidad y autenticación, ha anunciado una nueva oleada de capacidades passwordless que extienden la autenticación sin contraseña desde la nube hasta el escritorio, los data centers y los entornos más regulados.
El mensaje de fondo es claro: en un mundo de trabajo remoto e híbrido, seguir confiando en contraseñas para entrar en el portátil de la empresa es un lujo que muchas organizaciones ya no se pueden permitir.
Del navegador al escritorio: cerrar el “eslabón débil” de la identidad
Hasta ahora, gran parte de los esfuerzos en autenticación sin contraseña se centraban en aplicaciones web, VPN y acceso a recursos corporativos en la nube. Sin embargo, millones de empleados siguen iniciando sesión en sus equipos Windows o macOS con usuarios y contraseñas tradicionales.
RSA quiere cambiar ese patrón con una propuesta más amplia. La compañía destaca que su enfoque no se limita a un caso de uso concreto, sino que cubre “desde la nube al escritorio y el data center”, ofreciendo una experiencia unificada. Según su CEO, Greg Nelson, esta amplitud reduce brechas de seguridad, pero también simplifica la gestión y el cumplimiento normativo, algo especialmente sensible en sectores regulados.
La nueva suite de capacidades se integra en RSA ID Plus, su plataforma de gestión de identidad y acceso, y en RSA ID Plus for Microsoft M1, que añade una capa adicional de seguridad sobre Microsoft Entra ID, extendiéndose a entornos Microsoft y no Microsoft, sistemas heredados, OT, mainframes y servidores que las herramientas nativas de Entra no alcanzan.
Tap & go, modo desconectado y macOS: cómo funciona el nuevo passwordless
Entre las novedades más llamativas se encuentra el inicio de sesión sin contacto “tap and go” usando la serie RSA iShield Key 2. En la práctica, el usuario puede autenticarse con un simple toque de una llave NFC, sin necesidad de insertar físicamente el token. Esta opción resulta especialmente atractiva para entornos como la sanidad, donde la velocidad y la comodidad son críticas, y los profesionales comparten terminales en planta o en urgencias.
Para escenarios sin conexión a red, RSA introduce además nuevas opciones de inicio de sesión sin contraseña en modo offline, como OTP y FIDO2, y ha anunciado que soportará códigos QR offline a partir de enero de 2026. De este modo, si el equipo no tiene conectividad, el usuario puede seguir autenticándose de forma segura, sin volver a la vieja contraseña local.
La compañía también ha avanzado que, desde enero de 2026, incorporará verificación de proximidad por Bluetooth en los inicios de sesión mediante código QR, para confirmar que el dispositivo que se autentica y el ordenador están realmente en el mismo entorno físico. Es una forma de elevar el nivel de garantía y reducir el riesgo de ataques remotos que intenten aprovechar credenciales expuestas.
Otra pieza clave es la extensión de estas capacidades a macOS, lo que permite a las empresas ofrecer una experiencia passwordless coherente tanto en Windows como en equipos Apple, algo cada vez más demandado en organizaciones con flotas mixtas.
Sectores de alta seguridad: del hospital al gobierno
RSA también ha puesto el foco en las industrias de alta exigencia regulatoria, como administraciones públicas, sanidad, energía o infraestructuras críticas. En estos sectores, la autenticación no solo protege recursos digitales, sino también el acceso físico a edificios y zonas restringidas.
La nueva llave RSA iShield Key 2 está diseñada precisamente para ese cruce entre mundo físico y lógico:
- Cumple los estándares MIFARE para control de acceso físico.
- Incluye firmware actualizable en campo, lo que permite mitigar amenazas de tipo zero-day sin sustituir el dispositivo.
- Cumple requisitos de FIPS 140-3 y marcos normativos clave en EE. UU. como la Orden Ejecutiva 14028 y las directrices OMB M-22-09 y M-24-14.
Con esta combinación, una misma credencial puede servir para abrir una puerta, iniciar sesión en un PC sin contraseña y autenticar el acceso a aplicaciones críticas con mecanismos resistentes al phishing.
Passwordless también para clientes, partners y portales externos
Más allá de los empleados, RSA quiere extender el passwordless a usuarios externos, como socios, clientes y proveedores. Para ello ha potenciado su API, permitiendo a las organizaciones integrar autenticación sin contraseña en portales y aplicaciones personalizadas, incluyendo el registro y uso de passkeys directamente dentro de la experiencia web propia.
Esto abre la puerta a experiencias de acceso más fluidas: por ejemplo, un portal B2B donde un partner se registra y usa passkeys en lugar de crear y recordar contraseñas, o una plataforma crítica donde la autenticación se refuerza con factores resistentes al phishing sin empeorar la experiencia de usuario.
Identidad como postura de seguridad: el papel de la IA
RSA también ha aprovechado el evento para destacar sus capacidades de Identity Security Posture Management (ISPM). Esta aproximación, apoyada en Inteligencia Artificial, pretende ofrecer a las organizaciones una visión global de su postura de seguridad de identidad: qué identidades existen, qué permisos acumulan, dónde hay riesgos y cómo priorizarlos antes de que se conviertan en incidentes.
En entornos complejos y multicloud, donde conviven usuarios humanos, cuentas de servicio, bots y ahora agentes de IA, estas capacidades de análisis se vuelven críticas para mantener el principio de mínimo privilegio y reducir la superficie de ataque.
Un mercado presionado por el phishing y la fatiga de contraseñas
El contexto juega claramente a favor de movimientos como el de RSA. El auge del trabajo remoto, el crecimiento de los ataques de phishing y la proliferación de identidades no humanas han puesto en evidencia las limitaciones del modelo basado en contraseñas.
Las organizaciones buscan soluciones resistentes al phishing, capaces de integrar MFA, passkeys, credenciales FIDO2 y gestión avanzada del ciclo de vida de identidades, sin disparar la complejidad operativa. RSA, que afirma ser el proveedor de referencia de más de 9.000 organizaciones y gestionar más de 60 millones de identidades en entornos on-premises, híbridos y multicloud, quiere reforzar su papel como socio estratégico en ese cambio de paradigma.
Durante el Gartner IAM Summit, la compañía invita a los asistentes a probar sus soluciones en el stand 318, así como a asistir a la sesión en directo en la que su Product Manager Kenn Chong explicará cómo desplegar autenticación passwordless resistente al phishing y proteger el ciclo de vida completo de las credenciales.
La batalla contra las contraseñas lleva años en marcha, pero el movimiento de RSA apunta a una nueva fase: una en la que el inicio de sesión sin contraseña deja de ser un lujo para aplicaciones concretas y se convierte en un estándar transversal, desde el escritorio hasta el data center.
Preguntas frecuentes (FAQ)
1. ¿Qué es el inicio de sesión sin contraseña (passwordless) en el escritorio y por qué es importante?
El inicio de sesión sin contraseña en el escritorio permite a los usuarios acceder a sus equipos Windows o macOS sin introducir una contraseña, utilizando en su lugar factores como llaves de seguridad NFC, passkeys, FIDO2 o códigos QR. Es importante porque reduce el riesgo de robo de credenciales, phishing y ataques de fuerza bruta, al tiempo que mejora la experiencia del usuario, especialmente en entornos de trabajo remoto e híbrido.
2. ¿Cómo funciona la llave RSA iShield Key 2 y qué la diferencia de otros tokens?
RSA iShield Key 2 es una llave de seguridad que puede utilizar NFC para un acceso “tap and go”, sin necesidad de insertarla físicamente. Cumple estándares MIFARE para control de acceso físico y dispone de firmware actualizable para responder a nuevas amenazas. Además, puede integrarse en esquemas de alta seguridad que exigen cumplimiento con FIPS 140-3 y otras normativas, lo que la hace especialmente adecuada para gobiernos, sanidad, energía e infraestructuras críticas.
3. ¿Cómo ayuda RSA ID Plus a proteger entornos Microsoft Entra ID y sistemas heredados?
RSA ID Plus y RSA ID Plus for Microsoft M1 añaden una capa extra de seguridad sobre Microsoft Entra ID, extendiendo capacidades de MFA y passwordless a sistemas que Entra no cubre bien, como data centers, mainframes, dispositivos unidos a Active Directory, PCs y servidores con versiones antiguas de sistema operativo o aplicaciones web críticas. De esta forma, las empresas pueden aplicar un modelo de identidad coherente en entornos híbridos, combinando nube, on-premises y OT.
4. ¿Qué es Identity Security Posture Management (ISPM) y qué aporta frente a un IAM tradicional?
Identity Security Posture Management (ISPM) es un enfoque que utiliza analítica avanzada e IA para evaluar de forma continua el riesgo asociado a identidades y permisos. A diferencia de un IAM tradicional centrado en autenticación y autorización, ISPM analiza configuraciones, excesos de privilegios, cuentas huérfanas y comportamientos anómalos para priorizar acciones correctivas. Esto permite a las organizaciones reducir la superficie de ataque de identidad antes de que se produzca una brecha.
Fuentes:
RSA – “RSA Solves Overlooked Cybersecurity Risk with Passwordless Desktop Login Solutions”
