¿Qué es Identity and Access Management?
La gestión de identidades y accesos o IAM (del inglés, «Identity and Access Management») ofrece un conjunto de tecnologías y procesos para permitir que solamente los usuarios con autorización oficial puedan acceder a datos, recursos o activos de las empresas. Este sistema ayuda a proteger a las empresas frente a acciones maliciosas y garantiza la aplicación de las mejores prácticas en TI, al tiempo que permite cumplir con los diferentes requisitos en materia de conformidad.
Definición de Identity and Access Management
Para entender en qué consiste la gestión de identidades y accesos o IAM (del inglés «Identity and Access Management»), debemos analizar en primer lugar el contexto digital actual de las empresas. Las soluciones digitales y su capacidad para analizar conjuntos de datos ofrecen grandes ventajas para las empresas, incluyendo estrategias más eficientes y una mayor productividad. Sin embargo, este viraje hacia lo digital también ha hecho que los datos, activos y recursos de las empresas estén mucho más expuestos tanto a amenazas internas como a externas, y en particular a aquellas relacionadas con la identidad y el acceso.
Pero ¿cómo puede una empresa garantizar que solo las personas correctas con los permisos adecuados pueden acceder a estos datos, recursos y sistemas confidenciales? Está pregunta es una constante en los departamentos informáticos, y es que una estrategia errónea puede llegar a causar daños económicos y reputacionales irreparables para una empresa.
Un enfoque moderno para un problema moderno
La gestión de identidades y accesos o IAM, especialmente diseñada para afrontar estos retos, ofrece un marco que permite a los responsables informáticos establecer restricciones sobre los accesos a los datos, recursos, activos y sistemas de la empresa. Los usuarios que se «identifiquen» como legítimos podrán acceder rápidamente a los recursos para los que tienen autorización.
Sin embargo, aquellos que no puedan identificarse, como los hackers o los empleados sin la autorización correspondiente, verán su acceso bloqueado. Para ser más claros, y teniendo en cuenta que ningún sistema ofrece protección total para una empresa que funciona en un contexto de amenazas en constante evolución, las soluciones de gestión de identidades y accesos ofrecen la mejor solución posible a día de hoy. Y es que los sistemas de IAM son capaces de identificar e interceptar posibles acciones maliciosas, y frenar posibles violaciones de datos antes de que se produzcan. Además, estas herramientas para la administración de identidades y accesos suponen un antes y un después para la protección de los datos y, al mismo tiempo, demuestran un compromiso real (presente y futuro) de las empresas para con las buenas prácticas de TI.
¿Cómo funciona Identity and Access Management?
Gestión de la identidad
La identidad se gestiona de tres maneras diferentes dentro de los sistemas de IAM:
Identificación
La clave de cualquier solución de administración de accesos e identidades es su base de datos, ya que en ella se incluyen todos los empleados y partes interesadas, así como sus identidades digitales (nombre y número de identificación) y sus roles dentro de la empresa. Idealmente, debemos poder ofrecer diferentes niveles de acceso en función de las clasificaciones de las identidades digitales. Por ejemplo, podemos configurar el acceso a la información financiera confidencial para que solo puedan acceder a ella las identidades adecuadas. Y, por el contrario, permitir que diferentes perfiles de identidades o funciones puedan acceder a la información no sensible.
Actualizaciones
El personal de las empresas y los roles de los usuarios evolucionan constantemente, por lo que se requiere una correcta administración del ciclo de vida de la identidad. De este modo, si alguien abandona la empresa, su acceso se eliminará; o, si un trabajador es ascendido, sus privilegios de acceso podrían modificarse para adaptarse a su nueva función dentro del sistema de gestión de identidades y accesos.
Autenticación
Las soluciones de administración de las identidades y los accesos pueden utilizar diferentes tipos de autenticación para garantizar que la persona que intenta utilizar una identidad en la base de datos es realmente el propietario de esa identidad. Estos procesos incluyen la autenticación de dos factores, un método que requiere que el usuario introduzca, en primer lugar, su nombre de usuario y contraseña (primer factor de verificación) y, a continuación, un segundo factor de verificación.
que suele ser un código de un solo uso enviado a la dirección de correo electrónico o teléfono móvil proporcionados, y que el usuario deberá introducir para obtener acceso. Se trata de un servicio similar al ofrecido por las soluciones de IAM que utilizan los bancos para confirmar las compras online de sus clientes.
Gestión del acceso
¿En qué tecnologías y procesos se basa Identity and Access Management?
Inicio de sesión único (SSO)
Control de acceso basado en atributos (ABAC)
Gestión de acceso con privilegios (PAM)
Control de acceso basado en roles (RBAC)
Los controles de acceso suelen implementarse utilizando el modelo RBAC (del inglés «Role-Based Access Control»), que permite asignar permisos de acceso a los empleados en función de sus roles dentro de las soluciones de IAM. Esta potente funcionalidad permite ajustar de forma mucho más precisa los permisos de los empleados, a nivel individual, definiendo qué acciones específicas pueden llevar a cabo o no.
Así pues, a un informático júnior se le pueden dar permisos para acceder y monitorizar, por ejemplo, el rendimiento de un hardware específico, pero no tendrá permisos para realizar cambios reales. En este caso, se deberá informar de cualquier problema a un usuario con los permisos necesarios o con acceso privilegiado (PAM) que sí pueda realizar los ajustes necesarios. Este sistema permite reforzar considerablemente la seguridad y reducir el riesgo de acciones no autorizadas.
Autenticación adaptativa
Controles de seguridad críticos (CIS)
Los controles de seguridad críticos o CIS, en combinación con la gestión de identidades y accesos, facilitan el desarrollo de sólidas estrategias de ciberseguridad. Los controles CIS permiten instaurar buenas prácticas de seguridad y, en concreto, de seguridad de los datos dentro de las empresas, mientras que los servicios de IAM se encargan de la gestión de las identidades y los permisos.
Ventajas de IAM para las empresas
Refuerzo de la protección
Simplificación de los procesos
Digitalización
En el contexto «digital-first» actual, el acceso a los sistemas empresariales puede realizarse en modo BYOD, en modalidad de teletrabajo, mediante dispositivos de IoT ¡y mucho más! La capacidad de los servicios de IAM para agrupar los diferentes tipos de solicitud en un centro único capaz de definir los permisos y realizar la autenticación resulta fundamental para el control de la seguridad de red.
Seguridad de los datos
Cómo se transmiten los datos es un factor igual de importante que el acceso a estos datos. Las soluciones IAM deberán ofrecer herramientas de cifrado de datos que permitan encriptar los datos en tránsito para que, incluso si son interceptados por un actor malicioso o si se produce una violación de datos, estos permanezcan encriptados y, por lo tanto, no puedan ser utilizados por un destinatario no autorizado.
Tiempo para los equipos de IT
Despliegue de la IA
Como ya hemos visto, la inteligencia artificial desempeña un papel cada vez más relevante en los sistemas de gestión de identidades y accesos. Así pues, la IA puede establecer referencias de lo que se consideraría un comportamiento normal del usuario, llegando incluso hasta un nivel individual. De este modo, si la IA detecta que un usuario individual está realizando una cantidad inusual de intentos de inicio de sesión, puede identificar este comportamiento como una posible amenaza de seguridad y bloquear al usuario en caso necesario.
Garantía de conformidad
Las empresas pueden utilizar los logs de acceso en los sistemas IAM con fines de auditoría. A nivel interno, esto significa que los usuarios pueden ser monitorizados para garantizar que no están haciendo un uso abusivo de sus permisos de acceso. Asimismo, también permite identificar a posibles hackers y evitar su acceso a los sistemas informáticos de la empresa. Y lo que es más importante aún, estas excepcionales capacidades de auditoría que ofrecen los sistemas de IAM también permiten que las empresas demuestren ante los reguladores su estricto cumplimiento de las normativas vigentes en materia de seguridad, incluyendo el Reglamento general de protección de datos europeo.
Cómo implementar la gestión de identidades y accesos en una empresa
Planear
... los objetivos de IAM y asegurar la participación de las partes implicadas preguntándoles cuáles son sus requisitos y, lo que es más importante aún, cuáles serán sus expectativas con respecto a la solución.
Definir
... quién debe tener acceso a qué datos, recursos, activos y sistemas, y a qué nivel, para diseñar una política de acceso sólida en línea con los requisitos de seguridad y conformidad de la empresa.
Conseguir
... una tecnología IAM adecuada para las necesidades de la empresa basada en una solución «on-premises» o en una solución cloud a través de un proveedor de IDaaS acreditado.
Configurar
... la solución de Identity and Access Management con los métodos de autenticación requeridos y garantizar que esta es compatible con las tecnologías y aplicaciones existentes que ya utiliza la empresa.
Desplegar
... una solución de IAM por etapas, nunca de una sola vez, para garantizar que la solución se ha probado correctamente y que los posibles problemas pueden resolverse de manera inmediata sin impacto para la empresa.
Enseñar
... al personal a utilizar las herramientas de IAM para garantizar la plena colaboración y confianza de los usuarios en la nueva solución, destacando al mismo tiempo las buenas prácticas en materia de seguridad.
Monitorizar
... y mantener la solución de Identity Access Management a medida que esta se implementa en toda la empresa. Esta supervisión deberá realizarse de forma continua y la solución deberá actualizarse constantemente con los nuevos parches y actualizaciones disponibles.
Adaptar
... la solución de IAM a las necesidades de la empresa para garantizar una verdadera escalabilidad que pueda seguir el ritmo de crecimiento de la empresa. También debemos actualizar las políticas de acceso siempre que sea necesario para garantizar que el sistema de gestión de identidades y accesos se adapta a las necesidades de la empresa en todo momento.
OVHcloud e IAM
Gestión de usuarios/roles ACE
Con el enfoque OpenStack de OVHcloud podrá disfrutar de un completo control de acceso basado en roles, gestionar los roles de usuario y definir las acciones, tanto humanas como automatizadas, que se pueden realizar en su infraestructura.
