Controlar quién puede acceder a los recursos TI de las empresas y cómo cada vez es más crítico en las políticas de seguridad. Para planificar bien la estrategia de ciberseguridad es fundamental conocer las diferencias entre gestión de accesos y gestión de identidades.
Los requerimientos normativos a nivel nacional e internacional sumados a la defensa contra los continuos ciberataques que sufren las organizaciones hacen necesaria una política activa de control sobre las personas, grupos y aplicaciones que acceden a los distintos activos que conforman la infraestructura TI corporativa.
Las soluciones IAM (Identity & Access Management) se encargan de identificar, autenticar y autorizar esos accesos considerando tanto derechos establecidos de uso como restricciones basadas en las identidades. Los procesos que se establecen son transversales en toda la organización.
Para qué sirven los sistemas IAM
Las soluciones IAM se sitúan en la primera línea de las medidas de seguridad corporativa. Las funciones de un sistema de gestión de identidades y accesos son claves para evitar el robo de datos corporativos y personales, ayudando a cumplir el RGPD y otras normativas. Son capaces de detectar intentos de acceso de programas y personas no autorizados, localizados tanto dentro como fuera del perímetro de la organización.
Su valor reside también en ofrecer una visión integral de los usuarios y sus comportamientos en cualquier momento y cualquier entorno, ya sea en infraestructuras físicas, de nube híbrida o multicloud. Y por supuesto, utilizando todo tipo de dispositivos, teléfonos, portátiles…
Qué es la Gestión de identidades
La identidad es lo que define al usuario. Aglutina información sobre él y atributos que son la base para determinar un rol y definir los permisos y restricciones a recursos. Esa identidad digital incluye datos para contactar con él y conocer su jerarquía en la organización. Además, será la que se aplicará a distintas operativas administrativas, como configurar un correo electrónico, un registro, etc., facilitando su despliegue y garantizando su seguridad.
Lo que hay que asumir es que las identidades son modificables en el momento que el usuario asuma un nuevo rol o se traslade a una nueva ubicación de trabajo. Justamente, del seguimiento de esos posibles cambios en los usuarios, grupos de usuarios o aplicaciones es de lo que se ocupa la gestión de identidades, teniendo siempre al día la información y los atributos que las definen.
¿En qué consiste la gestión de accesos?
Por su parte la gestión de accesos consiste en la evaluación de esos atributos considerando las políticas actuales para permitir o no los accesos. Es decir, se encarga de realizar una autenticación de la identidad que solicita acceso.
A nivel usuario es importante destacar que, pese a que una identidad pueda estar autorizada para entrar en la red corporativa, eso no significa que pueda acceder a todos los activos, servidores, unidades, carpetas, archivos, programas… Eso lo va a determinar los atributos definidos en función de los grupos a los que pertenece, estatus en la organización, rol específico…
Tipos de soluciones de autenticación
La generación de contraseñas seguras es primordial para controlar el acceso a los recursos corporativos críticos y evitar el robo de datos. Utilizar solo una ya no es efectivo. La autenticación de dos factores y la multifactor son las más recomendadas. En la primera a una contraseña se añade otra capa de verificación, por ejemplo el envío de un código al móvil o email autorizado que hay que introducir en el apartado correspondiente.
La autenticación multifactor añade más capas de protección. A lo indicado anteriormente (algo que el usuario sabe y algo que el usuario tiene) suele sumarse algo que el usuario es, como puede ser una identificación biométrica, una huella dactilar, una verificación facial, etc.
Pero las medidas de protección para prevenir ciberataques obligan a cambiar frecuentemente de contraseñas, algo que complica su uso y administración. Existe la posibilidad de almacenarlas en un gestor de contraseñas de forma segura e iniciar rápidamente la sesión en la aplicación o el servicio que se necesite. Por otra parte, la tecnología de inicio de sesión única (SSO, Single Sign On) permite acceder con la misma contraseña a aplicaciones, redes, VPN y Nube.
Beneficios de las soluciones IAM para el negocio
Doble autenticación, autenticación multifactor y SSO se unen a la capacidad para implantar políticas de control de acceso basadas en roles o atributos, agregando y combinando servicios de varias identidades y atributos, como Active Directory, LDAP, Oracle, SAML y Kerberos/NTLM. Es un paquete básico en toda estrategia de ciberseguridad.
Aplicar procedimientos y procesos de IAM reduce las vulneraciones en la infraestructura TI corporativa debidas a la suplantación de identidades por el uso de credenciales débiles o mal gestionadas.
A los ahorros económicos que supone evitar incidentes de ciberseguridad, se unen otros impactos positivos en la operativa administrativa de las empresas que reducen gastos igualmente. La automatización de funciones que ofrecen las soluciones de gestión de identidades y accesos facilita estas tareas de control al equipo de TI, lo que significa reducción de tiempos y costes. También puede automatizarse la baja de los usuarios del directorio cuando RRHH comunique la baja de un empleado y, al contrario, acelerar el acceso a los recursos TI de los nuevos empleados.
Orbit Consulting Group es una empresa especializada en diseñar e implantar soluciones de arquitectura TI para pymes y empresas de Madrid, y el resto de España. Combina esta con el diseño e implantación de soluciones de Negocio y Gestión (CRM/BPM-ERP) ágiles, sencillas y asequibles. Además, proporciona Soporte Informático y Servicios Gestionados TI.
