¿Quién es quién? El juego en torno a la Seguridad Digital
- Opinión
El mercado de soluciones de gestión de accesos e identidades (IAM, identity access management) va a continuar siendo tendencia destacada dentro del ámbito de la seguridad, con un crecimiento sostenido del 7,5% hasta 2021.
¿Y por qué el mercado IAM continua su tendencia alcista y se posiciona como una de las áreas más estratégicas dentro del ámbito de la ciberseguridad? Responder esta pregunta implica comprender la evolución de los entornos corporativos más allá de la propia solución tecnológica. Los sistemas de identificación están implantados en la práctica totalidad de las empresas desde hace años, si bien es cierto que, con la llegada de la tercera plataforma y el proceso de adopción digital, está abordando una transformación del perímetro de las organizaciones y de los hábitos de actuación de los propios usuarios.
Este tema se publicó en el número de Abril de la revista IT Digital Securiy, cuyo tema de portada se centró precisamente en la Gestión de Identidades y que puedes descargarte desde este enlace.
Es por ello que, desde IDC, recomendamos revisar los sistemas de autenticación y gestión de identidades, para entender cuáles son las nuevas necesidades del contexto digital y que implicaciones adicionales debemos tener en cuenta en el área de la gestión de identidades.
Desde IDC, lanzábamos a comienzo de este año la previsión de que en 2019 el 75% de los CIOs reenfocará su estrategia de ciberseguridad hacia soluciones de autenticación y confianza, éste será un factor determinante en la importancia que las soluciones IAM van a seguir teniendo en el sector de la ciberseguridad.
Pero antes de comenzar el proceso de cambio, las organizaciones necesitan refinar su modelo de confianza y obtener la aprobación de la dirección para cumplir cuatro objetivos:
1. Potenciar un acceso seguro y conveniente desde cualquier lugar y desde cualquier dispositivo. El perímetro es ahora una membrana porosa a través de los dispositivos, tanto locales como remotos, para acceder a los recursos en local o en la nube. Aumentar la eficacia y mejorar la experiencia de usuario implicará lo siguiente:
- Aprovisionamiento de identidad. Para otorgar rápidamente acceso a los recursos de TI a los nuevos usuarios, modificar el acceso ante cualquier cambio y dar de baja o suspender rápidamente todo el acceso cuando el usuario caduque o se suspenda temporalmente.
- Aprovisionamiento federado. Incluye el aprovisionamiento de recursos de TI en las instalaciones y en la nube, una práctica que comúnmente se conoce como inicio de sesión único o SSO.
- Autenticación multifactorial. La autenticación fuerte reduce la dependencia y la exposición de contraseñas comprometidas. La realidad cibernética de hoy exige una autenticación multifactorial que utilice autenticación activa y pasiva para proporcionar una autenticación más sólida y mejorar la experiencia del usuario. Al hacer que los desafíos de autenticación presentados a los usuarios sean proporcionales a la cantidad de riesgo (es decir, alto riesgo = desafíos fuertes y bajo riesgo = desafíos más ligeros), los usuarios están más dispuestos a participar activamente en los procesos de autenticación.
- Identidad garantizada. Cambiar la vista de autenticación de un evento binario (autenticado / no autenticado) a un proceso continuo que está diseñado para fortalecr el estado de la autenticación, puede reducir el riesgo de ataques man-in-the-middle y secuestro de sesión desde ubicaciones físicas anormales y direcciones IP dudosas o repentinas con movimiento a través de largas distancias. La autenticación de comportamiento anómalo basado en la evaluación de riesgos en tiempo real y continua de varios factores como la dirección IP, el dispositivo y la hora del día ayudará a reforzar las políticas de seguridad asociadas a la identidad.
2. Permitir el control y la administración centralizada de los silos de identidad que aíslan el aprovisionamiento y la protección en la nube, en las instalaciones y en dispositivos móviles. En la migración sigilosa a la nube de muchas unidades de negocio (también conocida como "Shadow IT") el liderazgo de seguridad debe adoptar un enfoque de asociación e involucrar de manera proactiva a las unidades de negocio para reducir la exposición de las credenciales al robo y utilización en su nube. Deben incluir interfaces de programas de aplicaciones (API) y proxies para administrar la seguridad de datos, la protección de pérdida de datos, la protección avanzada contra malware y el acceso federado. Para ser eficaz, las soluciones de IAM deben funcionar con todo el ecosistema de TI, protegiendo el acceso de todas las aplicaciones locales y basadas en la web y SaaS con un único sistema de administración único para implementar y administrar políticas y reglas. Los sistemas IAM deben poder trabajar con una variedad de sistemas y aplicaciones que se administran en local y en la nube. En este enfoque, los profesionales de la seguridad se convierten en recursos facilitadores mientras que mejoran la eficacia de la seguridad.
3. Alinear el gobierno de identidad y el aprovisionamiento con el contexto empresarial, la automatización de procesos y las revisiones de acceso. Los departamentos TI, los auditores y la gerencia de nivel medio comparten el deseo común de mejorar los procesos de certificación defectuosos, mantener los privilegios mínimos, reducir el arrastre de privilegios y eliminar las cuentas huérfanas. Para ello, necesitarán apoyo para conseguir:
- Herramientas basadas en web o en la nube para automatizar y superar la gestión de identidades mediante hojas de cálculo.
- Búsquedas basadas en contexto para comprender y conciliar plenamente los privilegios de los empleados con las responsabilidades actuales del trabajo
- Impulsar la administración de cuentas privilegiadas para proteger, administrar y gobernar las cuentas administrativas críticas y compartidas
- Reconciliación para asegurar que las cuentas "huérfanas" y "comprometidas" sean detectadas y remediadas (Comúnmente, los antiguos empleados no son dados de baja de manera oportuna, lo que les permite mantener el acceso a aplicaciones e información propietarias incluso después de que deje la empresa. Además, estas cuentas huérfanas a menudo pueden ser un objetivo maduro para que los ladrones cibernéticos las puedan comprometer y utilizar como puertos de entrada para ataques basados en identidad).
Al desarrollar un enfoque de certificación unificado, se pueden abordar las necesidades de forma común y universal. Las empresas pueden reducir la carga de trabajo de registro, las solicitudes de asistencia técnica asociadas y las infracciones basadas en la identidad, que representan la mayoría de los eventos de seguridad. Los gerentes intermedios pueden completar los procesos de certificación de forma más rápida y precisa, y los auditores pueden evaluar rápidamente el cumplimiento y entregar menos auditorías fallidas.
4. Menos intromisión protegiendo de manera más inteligente. Normalmente, la autenticación se ve como un evento binario: un usuario está 100% autenticado en una identidad, o el usuario no está autenticado. En realidad, la autenticación busca mitigar un nivel de riesgo relacionado con el valor del recurso al cual se le otorga acceso a una identidad. Esta diferencia de perspectiva es importante ya que muchas empresas crean autenticación estática y las reglas de autorización, que se convierten en un obstáculo en relación con la nube, los dispositivos móviles y otras innovaciones. El contexto es clave ya que los riesgos cambian cuando:
- Los dispositivos móviles se conectan directamente a la red de la empresa frente a la red pública WiFi.
- Ciertas aplicaciones y los datos asociados a los que se accede son mucho más valiosos y conllevan un mayor riesgo asociado que otros.
- Los mandatos de cumplimiento específicos del país o los requisitos normativos requieren contexto en torno a la ubicación actual, el movimiento de datos a través de las fronteras y la privacidad de los ciudadanos.
La determinación del riesgo basada en el contexto en tiempo real permite una autenticación más segura y menos intrusiva para redes, aplicaciones y datos, porque la autenticación se intensifica (notificación push, solicitud de contraseña de un solo uso, introducción de un PIN, biométrico de dedo, etc. ) o (no se requiere autenticación adicional porque la red, el dispositivo y el usuario operan en un contexto normal) automáticamente, lo que proporciona una experiencia de usuario extremadamente favorable.
La gestión de la identidad y el acceso son tareas de seguridad de larga duración. Los tiempos están cambiando y la dispersión de la infraestructura de la empresa y la dinámica de la fuerza de trabajo están creando mayores puntos ciegos para los profesionales de la seguridad. Al mismo tiempo, los avances en capacidades analíticas, la creciente aceptación de las técnicas multifactoriales y la transformación de los departamentos de TI en organizaciones de servicios, crean una oportunidad real para que las empresas inviertan en tecnología de identidad equilibrando la seguridad con los requisitos de experiencia del usuario.
Aunque la mayoría de las organizaciones no tienen una carta en blanco, eso no significa que no puedan replantear su estrategia de IAM. Reconociendo la identidad como el nuevo perímetro, las empresas están reinventando la forma en que pueden utilizar mejor IAM para reducir los riesgos y costos innecesarios y habilitar mejor el negocio.
IAM va más allá de la simple noción de aprovisionamiento de cuentas de usuario. Se trata de inteligencia de identidad, análisis, gobierno, cumplimiento normativo y administración autónoma.