Okta adquiere Permiso por $200M para asegurar identidades no humanas en la nube

¿Qué ha ocurrido?

Okta, la plataforma líder en gestión de identidades y acceso (IAM), ha anunciado la adquisición de Permiso, una startup especializada en seguridad para identidades no humanas (NHI). Según fuentes cercanas a TechCrunch, el precio de la operación ronda los 200 millones de dólares, aunque ni Okta ni Permiso han confirmado oficialmente la cifra. Permiso, fundada en 2022 por exingenieros de seguridad de AWS y Google Cloud, utiliza inteligencia artificial y machine learning para detectar comportamientos anómalos en cuentas de servicio, claves API, tokens OAuth, certificados y otros tipos de identidades no humanas que operan en entornos cloud, como AWS, Azure y GCP. La tecnología de Permiso analiza patrones de acceso, volúmenes de tráfico y horarios inusuales para identificar amenazas como credenciales robadas, abuso de privilegios o movimientos laterales. Esta adquisición se produce después de que Okta sufriera una brecha de seguridad en octubre de 2023, cuando atacantes accedieron a su sistema de soporte mediante una cuenta de servicio comprometida, lo que subraya la relevancia estratégica de proteger las identidades no humanas.

¿Por qué es importante?

Las identidades no humanas —como las de agentes de IA, bots, microservicios, funciones serverless y aplicaciones— se han multiplicado exponencialmente en los últimos años. Según un informe de CyberArk de 2024, las identidades no humanas superan a las humanas en una proporción de 45 a 1 en organizaciones grandes, y se espera que esta brecha se amplíe con la adopción masiva de IA generativa. Sin embargo, las herramientas de seguridad tradicionales, como los sistemas de detección de intrusiones (IDS) o los SIEM, no están diseñadas para monitorizar la actividad de estas identidades, que a menudo tienen permisos elevados y acceso a datos críticos. Esto crea una superficie de ataque enorme y poco vigilada. La adquisición de Permiso permite a Okta abordar este vacío, integrando detección de amenazas en tiempo real para NHI dentro de su plataforma de identidad. Según TechCrunch, la integración permitirá a los clientes de Okta aplicar políticas de Zero Trust a todas las identidades, incluyendo las no humanas, con alertas contextuales y respuesta automatizada. Esto es especialmente crítico en un momento en que los ataques dirigidos a NHI están aumentando: el informe de amenazas de CrowdStrike de 2024 señala que los incidentes relacionados con credenciales de máquinas crecieron un 67% interanual.

Consecuencias para el mercado

Esta operación posiciona a Okta como un actor clave en el emergente mercado de seguridad de identidades no humanas, que según proyecciones de Gartner alcanzará los 5.200 millones de dólares en 2028, con una tasa de crecimiento anual compuesta del 24%. Competidores como Microsoft, con su solución Entra ID (antes Azure AD), y CrowdStrike, que ha integrado capacidades de NHI en su plataforma Falcon, también están invirtiendo fuertemente en este segmento. La adquisición de Permiso por Okta recuerda a la compra de Auth0 por parte de Okta en 2021 por 6.500 millones de dólares, que consolidó su liderazgo en identidad como servicio (IDaaS). Sin embargo, a diferencia de aquella operación, esta se centra en un nicho específico pero de alto crecimiento. Para los clientes de Okta, la integración de Permiso promete una visibilidad unificada de todas las identidades, humanas y no humanas, con paneles de control que muestran el riesgo de cada entidad y la capacidad de revocar accesos automáticamente. Esto podría reducir el tiempo medio de detección de incidentes relacionados con NHI de días a minutos, según fuentes de la industria. No obstante, la integración técnica no será trivial: Permiso actualmente soporta nubes públicas, pero no entornos híbridos o on-premise, lo que limita su alcance inicial. Además, el precio de 200 millones de dólares parece elevado para una startup con ingresos estimados en menos de 10 millones, lo que sugiere que Okta está apostando por el potencial futuro más que por los ingresos actuales.

¿Qué deben saber los lectores?

Los equipos de seguridad deben empezar a catalogar y monitorizar todas las identidades no humanas en sus entornos cloud. Herramientas como las de Permiso pueden ayudar, pero la adquisición por Okta es una señal de que la industria se está moviendo hacia un modelo de 'Zero Trust' que incluye a las máquinas. Se espera que la funcionalidad esté disponible en los próximos meses como parte de Okta Identity Threat Protection, aunque los plazos concretos no se han anunciado. Los responsables de seguridad deben considerar también que la protección de NHI no es solo tecnológica: requiere cambios en los procesos de aprovisionamiento, rotación de credenciales y monitoreo continuo. Para las empresas que ya usan Okta, la integración será probablemente fluida, pero los clientes de otros proveedores de IAM deberán buscar soluciones alternativas, como CyberArk Conjur o HashiCorp Vault, que también ofrecen capacidades de NHI. En resumen, la compra de Permiso por Okta marca un hito en la maduración del mercado de seguridad de identidades no humanas, y subraya la urgencia de abordar este vector de ataque creciente. Como dijo el CEO de Okta, Todd McKinnon, en una entrevista reciente: 'La identidad es el nuevo perímetro, y eso incluye a las máquinas'.