Ciberseguridad
Infraestructura de confianza a través de los límites organizativos, sin un intermediario central
Dentro de su organización, Zero Trust sabe contra qué verificar: su proveedor de identidad y su inventario de dispositivos. Al otro lado del límite, ante un proveedor, un prestador de servicios o un regulador, no lo sabe. Vereign está construido para ese límite.
Hable con nosotros sobre la confianza entre organizaciones
NIS2 exige a las organizaciones incluidas en su ámbito de aplicación que protejan su cadena de suministro, incluidas sus relaciones con proveedores directos y proveedores de servicios, y el Cyber Resilience Act establece obligaciones de seguridad para los productos con elementos digitales a lo largo de su ciclo de vida. Ambas obligaciones cruzan los límites organizativos, donde no existe un proveedor de identidad compartido contra el que verificar, salvo que ambas partes se unan a una federación. Vereign construye infraestructura de confianza a través de los límites organizativos, sin un intermediario central: las organizaciones que se verifican contra los Key Event Logs de las demás comprueban por sí mismas la identidad y la integridad, y el mismo modelo se extendería a los agentes de IA y a los dispositivos conectados que actúan en su nombre. SEAL, el producto de entrega de Vereign, ya gestiona 1.000.000+ entregas verificadas al mes en la sanidad suiza.
Motores regulatorios
Adopción de Zero Trust
Una encuesta de Gartner publicada en abril de 2024 reveló que el 63 % de las organizaciones había implantado total o parcialmente una estrategia Zero Trust, y que la mayoría de esas implantaciones cubría la mitad de su entorno o menos. Para la colaboración a través de los límites empresariales, NIST SP 800-207 ofrece la federación.
63 % implantado total o parcialmente (Gartner, 2024)
Cyber Resilience Act
Los fabricantes de productos con elementos digitales deben cumplir requisitos de seguridad, gestionar las vulnerabilidades durante el período de soporte del producto y notificar las vulnerabilidades explotadas activamente. Los importadores y distribuidores deben comprobar que el fabricante ha cumplido estas obligaciones, de modo que las pruebas sobre la seguridad de un producto pasan de una organización a la siguiente.
Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026
Seguridad de la cadena de suministro NIS2
El artículo 21(2)(d) exige medidas de seguridad en la cadena de suministro, incluida la seguridad de las relaciones con proveedores directos y proveedores de servicios. Los CISO tienen que establecer confianza en todo su ecosistema de proveedores, más allá de su propio perímetro.
Artículo 21(2)(d): seguridad de la cadena de suministro
Visión general de la solución
La confianza entre organizaciones para la ciberseguridad significa que lo que cruza un límite entre organizaciones lleva una prueba criptográfica de origen, integridad y autorización, que las contrapartes que verifican contra Key Event Logs pueden comprobar por sí mismas. Los mensajes son donde esto funciona hoy, en producción en la sanidad suiza. El intercambio de datos estructurados, las llamadas API, los agentes de IA y las atestaciones de dispositivos son casos a los que el mismo modelo se extendería. La comunicación es un caso de uso. La capacidad principal es la confianza allí donde las organizaciones se encuentran.
Vea cómo funciona →OSSTMM mide la seguridad operativa cuantitativamente como controles de seguridad, visibilidad, confianza y exposiciones. Pero todos los demás marcos de prueba se detienen en el perímetro organizacional. La confianza transfronteriza entre organizaciones es una brecha que ninguna prueba de penetración puede medir. La confianza en sí misma es algo que ningún otro marco puede medir. Sin embargo, DKMS hace que esa confianza sea verificable y testable por primera vez — los equipos de seguridad pueden realmente validar la confianza entre organizaciones.
Hasta dónde se extendería esto: identidad no humana
Los equipos de seguridad utilizan cada vez más el término identidad no humana (NHI) para servicios, workloads, agentes de IA y dispositivos. Nuestra definición: una identidad no humana es la identidad de un actor de software o de hardware: un identificador estable, vinculado a la autoridad que el actor posee en cada momento y a la persona que responde de él. Sus credenciales prueban esa identidad; no son la identidad.
Rendición de cuentas por diseño
En DKMS, una NHI se modelaría como un identificador delegado cuyo delegante es la organización que responde de ella. Sus rotaciones requieren el anclaje de esa organización, y su autoridad se expresa como credenciales que se encadenan hasta la organización. El protocolo subyacente no distingue entre controladores humanos y no humanos.
Entre organizaciones
Dentro de un único dominio de confianza, los sistemas de identidad de workloads como SPIFFE funcionan bien. Las propiedades de DKMS importan cuando una NHI actúa para una organización y otra organización tiene que comprobarla: identificadores autocertificantes, pre-rotación y cadenas de delegación que un verificador puede comprobar sin llamar al emisor.
VERIMESH Agent (hoja de ruta)
VERIMESH Agent, una edición en hoja de ruta, daría a los agentes de IA y a los sistemas automatizados identidad de servicio zero-trust basada en este modelo, de modo que una organización receptora podría comprobar para qué organización actúa un agente y dentro de qué alcance. Aún no está disponible y hoy no existe ninguna API pública orientada a agentes.
Proyectos de integración para identidad no humana
Las organizaciones que necesitan identidad verificable para agentes de IA, servicios automatizados o dispositivos que actúan a través de límites organizativos pueden delimitar su alcance con Vereign como proyecto de integración. El proyecto modelaría cada agente, servicio o dispositivo como un identificador delegado (DKMS, basado en KERI) cuyas credenciales emite, y puede revocar, la organización que responde de él. VERIMESH Agent y VERIMESH Edge son ediciones en hoja de ruta, aún no disponibles, y hoy no existe ninguna API pública orientada a agentes. Un proyecto abarcaría lo que la organización necesita: identificadores delegados para sus agentes, servicios o dispositivos, las credenciales que indican qué puede hacer cada uno, la revocación de esas credenciales por la organización como emisora y la verificación por contrapartes de otras organizaciones. Construiría o configuraría esa vía de identificadores delegados para la organización; no es una funcionalidad de los despliegues en producción actuales de Vereign. Una colaboración empieza con una conversación de arquitectura, seguida de la delimitación del alcance y, después, del proyecto en sí.
Solicitar una revisión de arquitectura técnicaPost-Quantum Ready by Design
La computación cuántica no necesita llegar para representar una amenaza. Los datos recopilados hoy bajo canales cifrados serán descifrables una vez que la capacidad cuántica madure. KERI – la base criptográfica de la infraestructura de confianza de Vereign – está arquitectónicamente preparado para la transición post-cuántica, no porque ya use algoritmos post-cuánticos, sino porque su diseño hace la transición fluida.
Harvest Now, Decrypt Later
Los adversarios están recopilando datos cifrados hoy para un futuro descifrado cuántico. La NSA, CISA y NIST advierten conjuntamente que los datos de alta retención – historiales médicos, transacciones financieras, documentos legales – enfrentan ventanas de exposición medidas en décadas. La amenaza no es futura. La recopilación de datos está ocurriendo ahora.
Estándares NIST finalizados
FIPS 203, 204 y 205 fueron finalizados en agosto de 2024, estableciendo ML-KEM, ML-DSA y SLH-DSA como estándares criptográficos post-cuánticos. La ventana de migración está abierta ahora. Las organizaciones que esperen a que lleguen los ordenadores cuánticos estarán años por detrás de las que preparen su infraestructura criptográfica hoy.
Cripto-agilidad KERI
El mecanismo de pre-rotación y la independencia algorítmica de KERI significan que las claves pueden rotarse a algoritmos post-cuánticos sin romper la cadena de confianza. A diferencia de los sistemas basados en PKI/CA vinculados a suposiciones criptográficas específicas, KERI permite una migración incremental – cada organización actualiza a su propio ritmo sin reestructuración de infraestructura.
Probado a escala
La sanidad es infraestructura crítica. Verimesh está en producción en la sanidad suiza: la pasarela y la CA central en HIN están en plena producción en la mayor parte de la red de HIN, y la migración está en su fase final, con su finalización prevista para finales del primer trimestre de 2027. La arquitectura no es específica de la sanidad: el mismo modelo de confianza se aplicaría a las atestaciones de seguridad intercambiadas entre organizaciones.
1.000.000+
entregas verificadas al mes, en toda la sanidad suiza
Infraestructura en producción en la sanidad suiza. Verimesh está diseñado para que las contrapartes que verifican contra Key Event Logs se comprueben entre sí sin una autoridad de confianza central. Cuando una contraparte valida únicamente X.509, como ocurre hoy en HIN, una autoridad de certificación puente conecta ambos.
Arquitectura de referencia
Haga clic para ampliar
Cómo colaborar
Trabajar directamente con Vereign
Para organizaciones que desean diseñar e implementar infraestructura de confianza con el equipo de ingeniería y asesoría de Vereign. Ideal para pioneros y organizaciones con capacidad técnica interna.
Explorar servicios →Trabajar a través de un socio
Para organizaciones que prefieren trabajar con una consultoría ya formada en la infraestructura de confianza de Vereign. Los socios aportan experiencia sectorial junto con capacidad de despliegue.
Ver el programa de socios →Infraestructura de confianza para las organizaciones con las que trabaja, sin un intermediario central
Tanto si es un CISO que extiende un programa Zero Trust a proveedores y socios como si es una consultoría de seguridad que desarrolla una nueva área de práctica, podemos definir cómo encaja la confianza entre organizaciones en su pila existente.