Incode invests in privacy-first architecture and acquires Identiq.

Desde la entrevista hasta el primer día: Cómo Incode asegura el ciclo de vida completo de la identidad de los empleados

Contratación de tuberías se han convertido en un vector de ataque documentado. El candidato que entrevista para un rol no siempre es la persona que se presenta el primer día, y las organizaciones están descubriendo esa brecha solo después de que ya se haya otorgado el acceso.

Los CISO están dando la alarma. Identidades sintéticas, entrevistas asistidas por deepfake, y candidatos a apoderados ya no son casos periféricos. Son repetibles, escalables y cada vez más difíciles de detectar utilizando los supuestos de identidad en los que la mayoría de las empresas aún confían.

En esta sesión de demostración en vivo en Día de demostración de Liminal: Fuerza de trabajo Incorporación en la era digital, Incode realizó una demostración de extremo a extremo de cómo se puede integrar la verificación de identidad en todo el recorrido del empleado, desde un candidato que se postula a través de Workday, hasta un empleado que activa su cuenta Okta y un usuario que recupera el acceso a través de Microsoft Entra.

La visión más importante de nuestra sesión es que el riesgo de identidad no se limita a un solo momento. Abarque cada entrega en el ciclo de vida del empleado. Las organizaciones mejor posicionadas para abordarlo están tratando la identidad como una señal continua, reutilizable, no una comprobación única que expira en el momento en que se realiza.

Nuestra sesión explora cómo se ve eso en la práctica, desde las integraciones ATS hasta los flujos de incorporación de IAM, y cómo los equipos de recursos humanos, TI y seguridad pueden compartir la confianza en quién está realmente al otro lado de cada interacción.

Speakers

Harsha Balakrishnan, Liderar Crecimiento de la Fuerza Laboral, Incode.

Key takeaways

• La verificación de identidad se puede activar en cada etapa del proceso de contratación sin salir del ATS. Mediante la integración de Workday Studio de Incode, los reclutadores pueden iniciar tanto las comprobaciones pasivas de riesgo como la verificación completa de documentos directamente desde una solicitud de trabajo, en la etapa de solicitud, entrevista u oferta, sin pedir a los candidatos que usen una plataforma separada o instalen una aplicación.

• Las comprobaciones pasivas no documentadas en la etapa de aplicación presentan señales de riesgo antes de la primera entrevista. En el punto de aplicación, Incode ejecuta comprobaciones silenciosas contra el número de teléfono y la dirección de correo electrónico en el perfil del solicitante, marcando desajustes de nombres, dominios erróneos conocidos y números de voz sobre IP. Los equipos de talento los utilizan como contexto de riesgo durante el proceso de entrevista, no como descalificadores automáticos.

• La primera verificación completa crea una identidad que viaja con el individuo de manera permanente. Cuando un candidato completa la autenticación de documentos más una verificación de vida selfie por primera vez, Incode establece un registro biométrico detrás de escena. Cada verificación posterior, en una etapa de contratación posterior, en la activación de IAM, o en la recuperación de credenciales, requiere solo una selfie. El candidato nunca tiene que volver a subir un documento de identificación.

• El onboarding de IAM puede estar vinculado a la misma identidad establecida durante la contratación. Cuando un nuevo empleado recibe su correo electrónico de activación de Okta, Incode solicita una verificación de selfie en lugar de una re-verificación completa. El rostro capturado se compara con la plantilla biométrica de la etapa candidata. Si coincide, el empleado puede configurar su contraseña y factores MFA, con plena confianza de que la persona que activa la cuenta es la misma que pasó por el proceso de entrevista.

• La recuperación de credenciales es tan riesgoso como el acceso inicial y requiere la misma seguridad. La demostración mostró Incode incrustado en el flujo de contraseña olvidada de Microsoft Entra. En lugar de permitir un reinicio basado únicamente en la propiedad del correo electrónico, los empleados deben verificar su rostro antes de realizar cualquier cambio de credenciales, cerrando la ruta de ingeniería social que los atacantes han utilizado repetidamente para obtener acceso a través de la mesa de ayuda y los flujos de trabajo de IAM de autoservicio.

• Los códigos QR dinámicos evitan el uso compartido de sesiones y los ataques de colusión en tiempo real. Las sesiones de verificación de Incode utilizan códigos QR que se actualizan cada diez segundos y se vinculan al primer dispositivo que los escanea. Si un segundo dispositivo abre la misma sesión, se termina inmediatamente. Durante la demostración en vivo, un asistente escaneó el código QR en pantalla y la sesión fue asesinada en el acto. Esta característica se creó específicamente en respuesta a los trabajadores de TI de Corea del Norte y otros actores proxy que comparten enlaces de verificación con cómplices externos al sitio para derrotar los controles de contratación remota.

• La detección de Deepfake e inyección se ejecuta continuamente a lo largo de cada sesión, no solo en la captura de documentos. La tecnología Deepsight de Incode realiza comprobaciones tanto del lado del cliente como del lado del servidor para identificar video generado por IA, inyección facial en tiempo real y artefactos de identidad sintéticos en todo el flujo de verificación. En pruebas independientes realizadas por la Universidad de Purdue, Deepsight ocupó el primer lugar entre las soluciones de detección de deepfake evaluadas.

• Los enlaces de entrevistas virtuales se pueden asegurar con verificación de identidad antes de que un candidato se una a la sesión. Los reclutadores pueden ingresar cualquier enlace de reunión en el módulo de verificación de candidatos de Incode y generar una versión ofuscada. Para acceder a la reunión real, el candidato primero debe verificar quién es, asegurando que la persona que se une a una evaluación técnica o entrevista es la persona que fue invitada.

El estándar para la contratación ha cambiado. Las herramientas necesitan ponerse al día.

El trabajo remoto eliminó los puntos de control físicos en los que las organizaciones confiaban durante décadas. Un apretón de manos, un escaneo de la insignia, una entrevista en persona, estas no fueron solo formalidades. Eran verificación de identidad. Esa capa se ha ido, y los malos actores han aprovechado al máximo la brecha. Verificación de candidatos de la fuerza laboral de Incode lo cierra.

Al combinar la verificación de identificación gubernamental, la coincidencia biométrica, la detección de viveza y la detección patentada de deepfake en un único flujo de trabajo de contratación, las organizaciones pueden confirmar que cada candidato es exactamente quien dice ser antes del primer día. La amenaza es real. La tecnología para abordarlo existe. La única pregunta es si tu proceso de contratación está listo.