La gestión de acceso e identidad (IAM: Identity and Access Management) es la capacidad de aprovisionar, gestionar, auditar y asegurar identidades digitales para facilitar y habilitar solicitudes o conexiones auténticas y aprobadas para ver datos, servicios, sistemas, redes y activos de la empresa. Esto se aplica ya sea que estén ubicados en las instalaciones o en la nube, en función de los roles y privilegios asignados a cada identidad digital, tanto humana como de máquina.
Tabla de contenidos
- Terminología de identidad
- Crecimiento de las Identidades Digitales
- Convergencia de IAM y gestión de acceso privilegiado
- IAM y confianza basada en el comportamiento y la reputación
- Autenticación basada en riesgos
- Gestión y gobierno de identidades (IMG)
- Identidad como servicio (IDaaS)
- Blockchain e Identidades
- ¿Cómo llegaremos allí?
- Publicaciones relacionadas
Las identidades digitales son la base de una sociedad digital. Es importante comprender primero algunas de las terminologías relacionadas con la construcción de la identidad digital y la confianza digital.
Terminología de identidad
- Gestión de acceso: el proceso de gestión del acceso de los usuarios a los recursos.
- Autenticación: el proceso de verificar una identidad digital.
- Autorización: el proceso de verificación de una identidad digital debe tener acceso a un servicio o recurso.
- Atributos: información asociada con la identidad digital, como nombre, dirección, ubicación o número.
- Credenciales: información relacionada con la integridad de los atributos de identidad, como un nombre de usuario o una contraseña, también conocida como secreto.
- Agentes de datos: la entidad responsable de administrar el acceso a los datos.
- Identificación: el proceso de determinar qué atributos se recopilan y verifican para su precisión.
- Prueba de identidad: identificación única del usuario, validación de la autenticidad, verificación de la precisión y verificación del reclamo en el momento de la autenticación.
- Nivel de garantía: el nivel de confianza de que la identidad es auténtica, como los controles de seguridad satisfechos durante la autenticación.
- Nivel de confianza: el proceso de determinar la exposición al riesgo comercial y si se debe cumplir con más control de seguridad.
- Privilegio: el nivel de autorización de acceso que permite el acceso y el derecho a un grupo o usuario.
Crecimiento de las Identidades Digitales
Las identidades digitales han ido creciendo en popularidad e implementación en los últimos años, especialmente dentro de los gobiernos nacionales. Algunos países que han implementado identidades digitales incluyen Bélgica, Camerún, Canadá, Ecuador, Estonia, Francia, Jordania, Kirguistán, Italia, Irán, Japón, Senegal y Tailandia. En un futuro cercano, veremos la identidad digital habilitada en múltiples industrias y gobiernos que se usarán para votar, declaraciones de impuestos, transacciones bancarias, pasaportes, abrir puertas, arrancar vehículos, transporte público o acceder a servicios de salud.
Un problema en el pasado era que muchos ciudadanos veían las identidades digitales emitidas por el gobierno como una forma de controlar a los ciudadanos o un mecanismo para espiar las actividades diarias de todos los ciudadanos. Una identidad digital permitirá a los gobiernos evolucionar hacia proveedores de servicios gubernamentales digitales. Un programa exitoso dependerá en gran medida tanto de la transparencia como de la confianza.
Confianza en la identidad digital
El ciudadano será el propietario de los datos, y el rechazo del uso y acceso a datos es fundamental para brindar y generar confianza digital. Pero para que los gobiernos brindaran mejores servicios digitales, necesitaban una forma de duplicar datos en los repositorios de datos de múltiples agencias gubernamentales.
Una vez que las identidades digitales estén en su lugar, los ciudadanos tendrán la oportunidad de BYOI (Bring Your Own Identity) y las empresas serán responsables del aprovisionamiento, la autenticación y la autorización. Por ejemplo, en Estonia, todos los ciudadanos tienen una identidad emitida por el gobierno que se puede usar para iniciar sesión en sistemas de trabajo, acceder a recursos de atención médica, realizar operaciones bancarias, votar, estacionar su automóvil o incluso usar tarjetas de fidelización para tiendas. Estonia definitivamente ha innovado su sistema de identidad digital. Otros estados-nación y empresas no se quedan atrás, pero sus implementaciones serán diferentes y se basarán en una variedad de tecnologías y casos de uso.
Un gran elemento de la identidad digital es la confianza. Esto está determinado por la confianza continua del proveedor de identidad y la precisión de los atributos proporcionados. Piensa en cuando conoces a alguien por primera vez y realmente no conoces a la persona. Le brindan algunos atributos de identidad, pero en este momento el nivel de seguridad es bajo. Luego, identifica a un amigo en común, puede verificar con su amigo que los atributos proporcionados por la nueva persona son precisos y válidos. Luego puede establecer un nuevo nivel de confianza, pero no más alto que la raíz de confianza.
Entonces, fuera de las identidades digitales, ¿Qué otros cambios podemos esperar en torno a las identidades y la IAM?
Convergencia de IAM y gestión de acceso privilegiado
Ya hemos visto que IAM y Privileged Access Management (PAM) convergen para asegurar y proteger el acceso privilegiado a sistemas y datos. Ahora, la seguridad dinámica aumentará o disminuirá las medidas de seguridad según la puntuación de riesgo global o el nivel de amenaza para la organización o la industria y la federación de derechos y cumplimiento. Por ejemplo, si ocurre una nueva violación de datos importante que pone en riesgo las identidades y credenciales de muchas organizaciones, la combinación de IAM y PAM puede aumentar los controles de seguridad requeridos y rotar las contraseñas existentes de las credenciales sospechosas de alto riesgo.
La seguridad informática debe ser como un organismo vivo que puede adaptarse a los riesgos globales y cambiar el panorama de amenazas. Para un buen nivel de seguridad es importante que durante las operaciones normales los controles de seguridad tengan cero fricción y visibilidad para los empleados. Esto garantiza una seguridad utilizable y aumenta la eficacia de los controles.
IAM y confianza basada en el comportamiento y la reputación
IAM utilizará mecanismos de comportamiento y reputación que establecerán una huella de identidad y desafiarán la identidad cuando la huella digital difiera significativamente, como ubicaciones, navegadores, patrones y rutas. Por ejemplo, cuando los empleados acceden desde países donde su organización no tiene oficinas, es posible que necesite niveles adicionales de controles de seguridad para cumplir o incluso requerir flujos de trabajo de acceso, donde un compañero de empleado debe aprobar el acceso mientras el empleado está en ese país. ubicación.
Otro ejemplo es un empleado que usa un dispositivo diferente para acceder a las aplicaciones en la nube de la empresa pero tiene credenciales válidas. Sin embargo, existe un mayor riesgo, por lo que los controles de seguridad pueden limitar al empleado a tener privilegios mínimos en la aplicación en la nube porque el punto final no está administrado, lo que reduce la posibilidad de pérdida de datos o abuso de acceso.
Autenticación basada en riesgos
Las soluciones de autenticación basadas en riesgos utilizarán medidas de cálculo para determinar si es seguro continuar. Un enfoque basado en el riesgo verificará cualquier cantidad de elementos:
- Desde dónde estoy accediendo.
- Cuál es mi nivel de privilegios.
- Mi sistema cumple con los requisitos.
- Si tengo una conexión VPN abierta y si el canal está encriptado.
- Cuándo fue la última vez que se usó mi identidad digital para la misma solicitud.
- Reputación en otros sistemas.
- Tengo algún incidente abierto.
Si la red desde la que accedo tiene privilegios, entonces el riesgo de permitir mi autenticación es mayor y, por lo tanto, se me debe solicitar un factor adicional de autenticación. Un enfoque basado en el riesgo utilizará medidas de seguridad dinámicas según el riesgo. Si el riesgo es demasiado alto, se deniega la solicitud. Un enfoque dinámico aumenta automáticamente los parámetros de seguridad cuando el nivel de amenaza es alto y los disminuye cuando el nivel de amenaza es bajo.
Gestión y gobierno de identidades (IMG)
IMG (Identity Management and Governance) permitirá el acceso sin perímetro y sin fronteras. Hoy, el perímetro casi se ha evaporado debido a la nube, la movilidad y la conectividad. La transformación digital se ha acelerado e IMG permitirá a las empresas atender a sus empleados, clientes y negocios sin la necesidad de tener un perímetro alrededor de la red. Ya, prácticamente todos los dispositivos están conectados a Internet y el desafío es garantizar la seguridad en cada dispositivo a través de una estricta administración de cuentas con privilegios.
Identidad como servicio (IDaaS)
IDaaS es simplemente la capacidad de usar recursos de la nube para proporcionar identidades digitales, inicio de sesión único y administración de acceso federado. IDaaS se expandirá a modelos híbridos en los que las cuentas en las instalaciones serán a través de una solución de administración de identidades en las instalaciones y las cuentas en la nube a través de una solución en la nube o IDaaS. Esto significa que los empleados pueden acceder a las soluciones en la nube proporcionadas por sus empleadores sin necesidad de autenticarse a través de la red interna de la organización. Esto también permite que una empresa habilite el acceso de terceros sin la necesidad de proporcionar una cuenta local en Active Directory. IDaaS habilitará las capacidades de federación de identidades de empresa a empresa para no aprovisionar cuentas en sistemas internos.
Las tecnologías de engaño son básicamente trampas de miel activas modernas que se utilizarán con IDaaS para ayudar a atraer a los atacantes con identidades falsas y descubrir las rutas de ataque y las técnicas de piratería que utilizan en un intento de obtener acceso a la red y los sistemas de la empresa. Esto ayudará a las organizaciones a aprender más sobre cómo se comportan los atacantes cuando intentan moverse lateralmente una vez que han violado un sistema e identificar las mejores técnicas para reducir los riesgos de un ciberataque.
Blockchain e Identidades
Blockchain será clave para IDaaS para validar y verificar la integridad de los sistemas. Se conoce principalmente hoy en día por las criptomonedas digitales; sin embargo, blockchain se ha utilizado durante muchos años antes de verificar la integridad de los datos y la cadena de custodia. Blockchain se utilizará para ofrecer un no repudio continuo de las identidades digitales y la cadena de confianza. Ayuda a prevenir modificaciones o cambios en hechos históricos.
En Estonia, la cadena de bloques se usa para evitar la manipulación de la identidad digital y las firmas digitales utilizadas en la sociedad digital, lo que en última instancia elimina al gobierno como la raíz de confianza, por lo que ni siquiera el gobierno puede cambiar el historial de eventos. Una forma en que aseguran la integridad es imprimiendo el hash raíz periódicamente en el Financial Times, lo que ayuda a mantener la integridad de la historia digital de Estonia. Las tecnologías de cadena de bloques en IAM se entregarán desde la nube como servicio y en modelos híbridos.
¿Cómo llegaremos allí?
Las identidades digitales están llegando rápidamente y ya se están llevando a cabo una variedad de implementaciones diferentes en todo el mundo. Pero está claro que IAM con una sólida gestión de acceso privilegiado es fundamental para crear el éxito digital.
Si esta publicación te gustó, te invitamos a compartirla en tus redes sociales
Publicaciones relacionadas
Cómo Trabajar con Proveedores para Prevenir el Fraude
En un mundo empresarial cada vez más interconectado y digitalizado, la colaboración con proveedores para prevenir el fraude se ha convertido en un elemento crucial para garantizar la integridad y la sostenibilidad de las operaciones comerciales. La prevención del fraude no solo protege los recursos financieros, sino que también salvaguarda la reputación y la confianza…
Leer más Cómo Trabajar con Proveedores para Prevenir el Fraude
La importancia de la Educación en Prevención de Fraude
La prevención del fraude comienza con la comprensión de sus fundamentos. En el contexto actual, caracterizado por una rápida digitalización, la educación en prevención de fraude se vuelve esencial. Esta educación no solo se enfoca en las prácticas para detectar y prevenir fraudes, sino también en fomentar una cultura de concienciación en individuos y organizaciones.…
Leer más La importancia de la Educación en Prevención de Fraude
Las últimas tendencias en Fraude en el Sector Financiero
En un mundo cada vez más digitalizado, el fraude en el sector financiero ha emergido como un desafío crítico, impactando tanto a instituciones financieras como a consumidores. A medida que avanzan la tecnología y la digitalización de los servicios financieros, los métodos de fraude se vuelven más sofisticados y difíciles de detectar. Esta introducción busca…
Leer más Las últimas tendencias en Fraude en el Sector Financiero