¿Qué es la administración de identidades y accesos (IAM)?

Definición de administración de identidades y accesos

La administración de identidades y accesos (IAM) es una disciplina comercial y de seguridad que permite a las personas, los software y los hardware adecuados acceder a las herramientas necesarias para realizar las tareas asignadas según sus funciones y puestos de trabajo y sin otorgarles acceso a lo que no necesitan o a lo que podría ser un riesgo de seguridad para la empresa. Las organizaciones que utilizan la IAM pueden optimizar las operaciones mediante la gestión de identidades sin necesidad de que las personas inicien sesión en las aplicaciones como administradores.

La administración de identidades y accesos es vital para cualquier empresa porque permite el acceso adecuado a las herramientas y recursos en ecosistemas cada vez más diversos y tecnológicos, y el cumplimiento todas las normativas de seguridad y privacidad, que están en constante evolución. La IAM repercute en muchos aspectos de la empresa, no solo en la TI, y requiere una planificación comercial estratégica, así como capacidades técnicas especializadas.

Conceptos de la IAM

El núcleo de la administración de identidades y accesos es, por supuesto, la identidad. El objetivo de la IAM es asignar una identidad digital a cada individuo o entidad, que luego se controlará, administrará y asistirá a lo largo de su ciclo de vida.

Otro concepto importante también es el de recurso digital, que se define como cualquier combinación de datos y aplicaciones, tales como software, base de datos, interfaces de programación de aplicaciones (API), dispositivos y mucho más, en un sistema informático.

Cuando un miembro del equipo, cliente, dispositivo, robot o cualquier otra entidad que cuente con una identidad, necesite acceder a los recursos de una organización, la administración de identidades y accesos confirma la identidad y controla su acceso al recurso digital.

Terminología de la IAM

Antes de iniciar una discusión profunda sobre la administración de identidades y accesos, es útil conocer las definiciones breves de los términos relacionados, por ejemplo:

1. Gestión de accesos: La gestión de accesos se define como las prácticas y herramientas que supervisan y gestionan el acceso a la red. Las soluciones de gestión de identidades, ya sean locales o en la nube, por lo general incluyen funciones como autenticación, autorización, así como auditoría de seguridad y confianza.
2. Directorio activo (AD): El AD, servicio de directorio de identidad-usuario, es un producto patentado de Microsoft que se encuentra ampliamente disponible en el sistema operativo de Windows Server. Las integraciones permiten que el acceso se otorgue y se revoque sin problemas, lo que aligera las cargas de trabajo del equipo de TI.
3. Autenticación biométrica: Este método de seguridad utiliza características únicas como huellas dactilares, retinas y rasgos faciales para autenticar a los usuarios.
4. Gestión de derechos de infraestructura en la nube (CIEM): La CIEM es el proceso de gestión de las identidades y los accesos los entornos de infraestructura en la nube cada vez más complejos. Se utiliza un enfoque con privilegios mínimos para garantizar que los usuarios solo accedan a los recursos que necesitan y solamente durante el tiempo que los necesiten.
5. Desaprovisionamiento: El desaprovisionamiento es la acción de revocar el acceso de los usuarios a las aplicaciones, sistemas y datos dentro de una red.
6. Identidad digital: Una identidad digital consiste en atributos de usuario (como nombre, número de identificación del gobierno, dirección del correo electrónico, datos biométricos y cualquier otra información de identificación personal), la actividad digital y los patrones de comportamiento (por ejemplo, el historial del navegador, descargas y el sistema operativo).
7. Administración de identidades y accesos (IAM): La IAM es una disciplina especializada dentro de la ciberseguridad que fue diseñada para garantizar que solo las personas adecuadas tengan acceso a los datos y recursos apropiados en el momento adecuado y por los motivos apropiados.
8. Identidad como servicio (IDaaS): IDaaS es un modelo de entrega de aplicaciones que permite a los usuarios conectarse y utilizar los servicios de gestión de identidades desde la nube.
9. Regulación de identidades: La regulación de identidades es la acción de utilizar software y sistemas de TI para gestionar el acceso de los usuarios y el cumplimiento normativo.
10. Aprovisionamiento de identidades: El aprovisionamiento de identidades, un componente clave del marco del gobierno de identidades, permite gestionar las cuentas de usuario y garantiza que los usuarios tengan acceso a los recursos adecuados y que los utilicen adecuadamente.
11. Autenticación multifactor (MFA): La MFA es una herramienta de gestión de accesos que combina dos o más mecanismos de seguridad para acceder a los recursos de TI, incluidas las aplicaciones y los dispositivos.
12. Principio de privilegios mínimos: Para proteger los datos y las aplicaciones, solo se otorga el acceso a una identidad durante el tiempo mínimo requerido y solo se permite el acceso a los recursos necesarios para realizar la tarea.
13. Gestión de accesos privilegiados (PAM): El acceso privilegiado se limita a usuarios como los administradores que deben tener acceso a las aplicaciones, sistemas o servidores para llevar a cabo la implementación, el mantenimiento y las actualizaciones. Como la filtración de esas credenciales podría ser desastrosa para la empresa, las herramientas de PAM separan estas cuentas de usuario de otras y siguen de cerca las actividades relacionadas con ellas.
14. Gestión de accesos basado en funciones (RBAC): El RBAC permite a la empresa crear y ejecutar el acceso avanzado mediante la asignación de un conjunto de permisos. Estos permisos se basan en el nivel de acceso que necesitan los usuarios de categorías específicas para realizar sus tareas. En otras palabras, diferentes personas de la organización pueden tener niveles y tipos completamente diferentes de privilegios de acceso según factores como sus funciones y responsabilidades laborales.
15. Separación de funciones (SoD): También conocida como segregación de tareas, es un principio de seguridad que utilizan las organizaciones para evitar errores y fraudes. Este control interno se basa en el RBAC para prevenir errores.
16. Inicio de sesión único (SSO): El SSO es un servicio de autenticación que permite a un usuario acceder a diversas aplicaciones y sitios con un solo conjunto de credenciales.
17. Autenticación de usuario: Una tarea fundamental de los sistemas de IAM es validar que una identidad sea quién dice al iniciar sesión y utilizar las aplicaciones y los datos. La mayoría de las personas están familiarizadas con el proceso de autenticación tradicional de introducir el nombre de usuario y la contraseña en una pantalla de inicio de sesión; pero las soluciones modernas de autenticación de usuarios, así como las del futuro, utilizan la inteligencia artificial y otros avances tecnológicos para lograr una protección mejorada de los activos de la organización.

Autenticación frente a autorización

Por lo general, autenticación y autorización se utilizan como sinónimos, pero son procesos separados que se emplean para proteger la empresa de los ciberataques.

La autenticación es el proceso de verificar una identidad y la autorización es el proceso de validar las aplicaciones, archivos y datos específicos a los que puede acceder un usuario.

La autenticación se logra mediante las contraseñas, números de identificación personal de un solo uso, datos biométricos y cualquier otra información que suministre el usuario. La autorización se lleva a cabo mediante configuraciones que ejecuta y mantiene la organización.

Por qué la administración de identidades y accesos es necesaria para la empresa

¿Por qué la IAM es importante?

La empresa necesita la IAM para respaldar la seguridad y el cumplimiento normativo, así como para mejorar la productividad de la organización. Esto no solo se aplica a los recursos de personas, sino también a cualquier entidad a la que se le asigna una identidad (por ejemplo, dispositivos de Internet de las cosas [IoT] e interfaces de programación de aplicaciones [API]). La proliferación de los tipos de dispositivos y las ubicaciones desde donde se accede a las aplicaciones y los datos también resaltan la importancia de la administración de identidades y accesos.

La administración de identidades y accesos le permite a la empresa gestionar el acceso según grupos o funciones y no de forma individual, lo que simplifica en gran medida las operaciones de TI y les permite a los profesionales de TI enfocarse en proyectos no automatizados que requieran experiencia y atención. Además, los miembros del equipo valoran la IAM porque les da acceso a las herramientas que necesitan al tiempo que reducen todo tipo de frustración relacionada con las contraseñas.

No obstante, la administración de identidades y accesos no solo se utiliza con los empleados, sino también con los contratistas, socios, clientes, robots e incluso segmentos de código como las API o los microservicios. Una mayor eficiencia, la reducción de los costos, el aumento de la productividad comercial y la optimización de la funcionalidad de los sistemas técnicos hacen que la solución de IAM no solo sea importante, sino también indispensable para la empresa.

El papel que desempeña la IAM en la seguridad

La administración de identidades y accesos disminuye la cantidad de puntos tradicionales de fallos de seguridad relacionados con las contraseñas. La empresa no solo es vulnerable a las violaciones de datos por contraseñas e información de recuperación de contraseñas, sino también por las debilidades humanas en la creación de contraseñas: crear contraseñas fáciles de recordar (y fáciles de descifrar), utilizar las mismas contraseñas en múltiples aplicaciones y sistemas, y actualizar contraseñas con cambios menores en vez de usar una contraseña totalmente nueva y generada de manera aleatoria.

El ecosistema de la IAM es aún más complejo y la demanda de seguridad es incluso mayor cuando se trata de ambientes híbridos multinube y soluciones de software como servicio (SaaS). Para las organizaciones modernas, la seguridad real de los datos es imposible sin una estructura que administre la identidad y el acceso.

Una administración de identidades y accesos sólida necesita que la empresa vaya más allá de la protección de una red. La organización debe actualizar las políticas de acceso que a menudo están desactualizadas debido a normas heredadas y definiciones de funciones que no cambian a medida que crece la empresa. El sistema de IAM también debe extenderse más allá de la TI a todas las partes de la empresa con integraciones que respalden el control y la visibilidad mejorada.

La IAM y el cumplimiento normativo

El cumplimiento normativo es un entorno que cambia rápidamente. Además de las leyes conocidas como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea , la Health Insurance Portability and Accountability Act (HIPAA) y la Sarbanes-Oxley Act (SOX), muchas otras regiones, países y estados están promulgando sus propias normativas de privacidad. La administración de identidades y accesos respalda los rigurosos requisitos de seguridad de datos y ofrece la transparencia y la documentación que hacen posible el cumplimiento normativo.

Cuando los procesos de IAM son incompletos o ineficaces, las organizaciones pueden quedar fuera de las normativas gubernamentales o los estándares industriales. Aunque el programa de administración de identidades y accesos funcione correctamente, la información incorrecta o insuficiente del programa o la manera como se protejan los datos pueden perjudicar cualquier auditoría.

La IAM y los dispositivos propios (BYOD)

Las soluciones de administración de identidades y accesos pueden mejorar la productividad de los empleados en tanto permiten el acceso a un gran volumen de datos y a múltiples aplicaciones, y también otorgan el acceso en diversos dispositivos y lugares. La IAM también facilita la colaboración con socios, vendedores y otros terceros que asisten a la empresa.

La IAM y el Internet de las cosas (IoT)

La proliferación de los dispositivos del IoT ofrece muchos beneficios, pero también genera diversas inquietudes relacionadas con la ciberseguidad. Las soluciones de administración de identidades y accesos toma a los dispositivos del IoT como identidades que se deben autenticar y autorizar antes de otorgarles el acceso a los recursos digitales de la empresa.

Beneficios de la IAM

1. Automatización: La automatización de funciones de bajo riesgo permite que los expertos en TI se centren en problemas más grandes y en cómo agilizar la empresa. La empresa puede mejorar la efectividad del equipo de TI y reducir sus costos. Las incorporaciones y desincorporaciones también se pueden automatizar para otorgar, modificar o revocar el acceso de forma fluida a medida que los usuarios se incorporan a la empresa, la abandonan o cambian de función.
2. Detección avanzada de anomalías: La IAM emplea la inteligencia artificial para que las organizaciones puedan comprender las tendencias y anomalías en los datos de acceso con el fin de identificar riesgos y monitorear la eficacia de sus programas de identidad.
3. Habilitar la confianza cero: Una empresa que implemente la administración de identidades y accesos puede habilitar un modelo de confianza cero que vaya más allá de las decisiones simples de autenticación y utilice un registro completo y actualizado con cada usuario, garantice que los usuarios solo tengan acceso a los recursos que necesiten cuando los necesiten y se adapte a medida que ocurran los cambios y se detecten nuevas amenazas.
4. Eliminación de contraseñas débiles: Muchas filtraciones de datos se deben a contraseñas predeterminadas, utilizadas con frecuencia y mal estructuradas. Sin embargo, la administración de contraseñas representa una carga pesada para el equipo de TI: el 40 % de todas las llamadas al servicio de asistencia técnica están relacionadas con problemas de contraseñas y el costo promedio de una llamada al servicio de asistencia técnica por el restablecimiento de una contraseña es de 17 $. La administración de contraseñas permite a la empresa utilizar las políticas de contraseñas eficaces para ejecutar requisitos sólidos de contraseñas y emplear grupos de sincronización, así como un diccionario de contraseñas para un mayor control.
5. Mitigación de amenazas internas: Las filtraciones de datos también pueden ser causadas por personas irresponsables o maliciosas que tienen acceso información privilegiada, pero confiar exclusivamente en la conciencia de los empleados no es suficiente sin la tecnología apropiada. La administración de identidades y accesos cierra la brecha de seguridad. Reconoce que muchas identidades, además de las de los empleados, se deben considerar personas con información privilegiada (por ejemplo, contratistas, clientes, socios, teléfonos inteligentes, servidores, etc.) y que combinar la gestión de identidades de los sistemas, aplicaciones y archivos de datos con el análisis con la supervisión del comportamiento puede contrarrestar las amenazas internas.
6. Simplificación del cumplimiento normativo: La administración de identidades y accesos permite a las organizaciones gobernar el acceso, supervisar el uso y hacer cumplir las políticas en todos los usuarios, aplicaciones y datos con el fin de automatizar el cumplimiento normativo y demostrar dicho cumplimiento.

Cómo funciona la administración de identidades y accesos

Confirmar la identidad y garantizar que solo se permita el nivel adecuado de acceso son dos tareas principales que realizan las soluciones de IAM.

Qué hace la IAM

La administración de identidades y accesos verifica que el usuario, software o hardware es quien dice ser mediante la validación de sus credenciales en una base de datos. Para garantizar que solo se otorgue el acceso necesario, la IAM le permite a la empresa otorgar permisos limitados según las identidades en lugar de permitir un acceso amplio de nombre de usuario y contraseña.

Funciones de la IAM

Las soluciones de administración de identidades y accesos ofrecen las siguientes funciones:

1. Gestionar las identidades de usuarios: Crear, modificar y eliminar usuarios de manera individual o mediante la integración en otros directorios. También se pueden generar nuevas identidades para usuarios que necesitan un acceso especializado a los sistemas o herramientas de la empresa.
2. Aprovisionamiento y desaprovisionamiento de usuarios: El aprovisionamiento involucra la identificación de las herramientas y los niveles de acceso que se otorgarán a un usuario. Con la IAM, el aprovisionamiento se puede otorgar por función, departamento u otra categoría de identidad. Este proceso que ahorra tiempo se basa en el control de acceso basado en funciones (RBAC) en lugar de la especificación del acceso para cada recurso dependiendo de cada usuario individual. Con el RBAC, se les asigna a los usuarios una función, o más, según el puesto de trabajo u otro criterio, y se les otorga el acceso de manera automática mediante la solución de administración de identidades y accesos. La IAM también permite a la empresa revocar rápidamente el acceso de los usuarios cuando es necesario con el fin de reducir los riesgos de seguridad.
3. Autenticar usuarios: Los métodos que utilizan las soluciones de administración de identidades y accesos para confirmar las identidades de los usuarios incluyen la autenticación multifactor (MFA) y la autenticación flexible. Como su nombre lo indica, en el caso de la identificación multifactor, la solución de IAM necesita más de un elemento de prueba de identidad. Por ejemplo, una MFA puede requerir tanto la contraseña como el reconocimiento facial. Con la MFA, se les solicita a los usuarios credenciales específicas cuando intentan acceder a herramientas o recursos. Con la autenticación flexible, aumentan los niveles de seguridad porque las credenciales solicitadas difieren según la situación.
4. Inicio de sesión único (SSO): El SSO les permite a los usuarios confirmar su identidad mediante un portal de IAM único que les da acceso a todas las herramientas a las que tienen acceso en vez de pedirles que inicien sesión en diversos recursos.
5. Auditoría y elaboración de informes: Las auditorías en la administración de identidades y accesos permiten a las organizaciones identificar y supervisar los bloqueos, los errores y el comportamiento sospechoso de los usuarios, así como tomar medidas. Los informes de la solución de IAM respaldan la seguridad y el cumplimiento normativo mediante el registro de actividades como las veces que un usuario inicia y cierra sesión, los sistemas y recursos a los que se accedió y el tipo de autenticación.

Componentes de la seguridad de identidad

La seguridad de identidad cuenta con tres componentes principales:

1. Inteligencia: La inteligencia artificial y el aprendizaje automático ofrecen la visibilidad y la capacidad de detectar y reparar riesgos, lo que permite a la empresa estar siempre un paso antes.
2. Automatización: Las organizaciones deben poder automatizar los procesos de identidad para descubrir, gestionar y proteger mejor el acceso de los usuarios de modo que los miembros del equipo se puedan enfocar en la innovación, la colaboración y la productividad.
3. Integración: Las integraciones mejoran la capacidad de la empresa para incorporar el contexto de identidad en todo su entorno y controlar de forma central el acceso a todos los datos, aplicaciones, sistemas e infraestructura en la nube de todos los tipos de identidad.

Administración de identidades frente a gestión de accesos

La administración de identidades y la gestión de accesos se relacionan, pero no son términos equivalentes. La administración de identidades confirma que el usuario es quien dice ser y almacena información sobre el usuario (por ejemplo, departamento, supervisor, cargo y personas a quien debe rendir cuentas de manera directa) para respaldar la autenticación.

La gestión de accesos utiliza información sobre la identidad del usuario para determinar a qué aplicaciones y datos tiene permitido acceder, así como las acciones que puede realizar con ellos. Por ejemplo, es posible que muchos usuarios tengan acceso al software de compras para introducir pedidos, pero no todos los usuarios tendrán permitido aprobarlos y ningún usuario tendrá permitido aprobar sus propios pedidos.

La IAM local frente a la IAM en la nube

Habitualmente, la administración de identidades y accesos se realizaba localmente "en la oficina" con un servidor en la ubicación física de la organización. La migración de la IAM local hacia la nube es más eficiente y reduce los costos para las empresas, ya que disminuye la necesidad de comprar y mantener una infraestructura en un sitio físico. Otros beneficios de la administración de identidades y accesos en la nube son:

1. Mayor tiempo de actividad
2. Sistemas redundantes y distribuidos para lograr una mayor confiabilidad y seguridad
3. Acuerdos de nivel de servicio (SLA) más cortos

Administración de identidades y accesos, identidad como servicio (IDaaS) y la nube

La empresa actual se enfrenta al desafío de controlar el acceso de los usuarios a los datos y aplicaciones ubicadas en las instalaciones físicas, en sistemas convencionales, en nubes privadas, así como en una o más nubes públicas. La gestión del acceso de los usuarios se debe realizar tan fluidamente como sea posible sin sobrecargar innecesariamente a los equipos de TI.

Las soluciones de IAM que se ofrecen por la nube son cada vez más comunes. Las herramientas de la administración de identidades y accesos en la nube proporcionan una mayor seguridad y flexibilidad a la empresa que el software convencional de nombre de usuario y contraseña. La IDaaS se ofrece como un producto individual o en conjunto con plataformas de administración de identidades y accesos en las ubicaciones locales.

Tecnologías y herramientas de la administración de identidades y accesos

Las soluciones de IAM proporcionan a los administradores las tecnologías y las herramientas para modificar las funciones de los usuarios, monitorear las actividades, generar análisis e informes, e implementar políticas. Las herramientas y tecnologías específicas incluyen:

1. Gestión de accesos privilegiados: Diseñada para gestionar y supervisar los accesos privilegiados a las cuentas y aplicaciones. Además, avisa a los administradores del sistema en caso de que existan eventos de alto riesgo
2. Aprovisionamiento y desaprovisionamiento automático: La automatización facilita la concesión, modificación o revocación rápidas del acceso
3. Segregación de tareas: Permite la creación de un conjunto integral de políticas de segregación de tareas que hacen cumplir controles importantes con un software que escanea y detecta automáticamente las filtraciones
4. Control del ciclo de vida de las identidades: Evita el sobreaprovisionamiento que pueda exponer la empresa a riesgos graves de seguridad al mismo tiempo que proporciona a los miembros del equipo un acceso rápido a la tecnología para llevar a cabo sus tareas
5. Flujos de trabajo: Elimina la complejidad de la creación de flujos de trabajo personalizados y disminuye la carga de trabajo de los equipos al automatizar las tareas repetitivas

Estrategia de implementación de la IAM

La administración de identidades y accesos es una de las piedras angulares de una arquitectura de confianza cero; por tal motivo, la estrategia de implementación de la IAM debe incluir los principios de la confianza cero, como el acceso con privilegios mínimos y las políticas de seguridad basadas en las identidades. Una política de confianza cero establece que cada usuario debe identificarse y que sus accesos se deben gestionar constantemente, por lo que se abandona la postura tradicional de seguridad de acceso continuo que no realiza otro proceso de identificación una vez otorgado el acceso. Con la confianza cero, la solución de administración de identidades y accesos de la empresa supervisa y protege constantemente las identidades y puntos de acceso de sus usuarios.

Otros principios clave son:

1. Gestión centralizada de las identidades: Un elemento fundamental de la confianza cero es gestionar los accesos a herramientas y recursos a nivel de la identidad: un enfoque centralizado es más eficiente y organizado.
2. Acceso protegido: Como se menciona más arriba, esto se gestiona mediante la autenticación multifactor o autenticación flexible. También se puede utilizar un enfoque híbrido.
3. Control basado en políticas: A los usuarios se les debe otorgar el permiso necesario para realizar sus tareas laborales, según su función, departamento u otra clasificación establecida, sin más acceso del necesario.
4. Cuentas privilegiadas: Las cuentas privilegiadas dan acceso a datos confidenciales que se encuentran en sistemas, redes y bases de datos. Por ejemplo, las cuentas privilegiadas pueden dar acceso a los profesionales de TI de la organización para gestionar sus aplicaciones, software y hardware de servidores.
5. Capacitación y asistencia: La capacitación relacionada con la solución de administración de identidades y accesos de la empresa garantiza que la organización recibirá el máximo valor de la plataforma; además, la asistencia continua ayuda a la empresa a comprender los cambios tecnológicos y a gestionar las actualizaciones de la solución internamente.

Implementación táctica de la IAM

A menudo, realizar una auditoría de los sistemas heredados y actuales es el mejor primer paso que se puede dar en relación con la implementación táctica de la solución de administración de identidades y accesos.

1. Identifique las principales partes interesadas y trabaje con ellas de manera frecuente desde el inicio de la implementación.
2. Enumere los objetivos de la solución de IAM y las capacidades necesarias para lograrlos.
3. Determine las oportunidades y los desafíos al mismo tiempo que clasifica a los usuarios y genera los casos de uso.

Las herramientas que se utilizan en una organización para implementar la administración de identidades y accesos abarcan:

1. Herramientas de gestión de contraseñas
2. Software de aprovisionamiento
3. Aplicaciones de ejecución de políticas de seguridad
4. Aplicaciones de supervisión y elaboración de informes
5. Depósitos de identidades

Desafíos al implementar la administración de identidades y accesos

Entre los desafíos comunes al implementar la IAM se encuentran:

1. Comprensión y gestión de las expectativas de los usuarios
2. Cumplimiento de los requisitos de las partes interesadas
3. Integración de los estándares de cumplimiento normativo
4. Conocimientos y habilidades necesarias al considerar las múltiples fuentes de usuarios, factores de autenticación y estándares abiertos del sector
5. Experiencia para implementar la administración de identidades y accesos a escala

Estándares de la administración de identidades y accesos

Una solución de IAM debe integrarse en muchos otros sistemas para ofrecer una visibilidad completa de los accesos a todos los sistemas, usuarios y funciones de la empresa. Entre los estándares compatibles con las plataformas de administración de identidades y accesos para facilitar estas integraciones se encuentran:

1. OAuth 2.0: OAuth es un protocolo de gestión de identidades de estándar abierto que ofrece un acceso seguro a sitios web, aplicaciones móviles, Internet de las cosas y otros dispositivos. Utiliza tókenes que se cifran en tránsito y elimina la necesidad de compartir credenciales. OAuth 2.0, la versión más reciente de OAuth, es un marco popular que utilizan grandes plataformas de redes sociales y servicios al consumidor, desde Facebook y LinkedIn hasta Google, PayPal y Netflix.
2. OpenID Connect (OIDC): Con el lanzamiento de OpenID Connect (que utiliza cifrado asimétrico), OpenID se convirtió en una capa de autenticación para OAuth de amplia adopción. Al igual que SAML, Open ID Connect (OIDC) se utiliza en gran medida con SSO, pero OIDC usa REST/JSON en vez de XML. Al usar protocolos REST/JSON, OIDC está diseñado para trabajar tanto con aplicaciones nativas como aplicaciones móviles, aunque las aplicaciones web son el caso de uso principal de SAML.
3. Protocolo ligero de acceso a directorios (LDAP): El LDAP, uno de los protocolos de gestión de identidades más antiguos establecido por el sector, almacena y organiza los datos (como la información del dispositivo o del usuario) para que sean fáciles de buscar. El LDAP se ejecuta por encima de la pila TCP/IP para buscar el contenido del directorio y transmitir la información de autenticación y autorización. El LDAP heredado no es un protocolo seguro en sí mismo porque se basa en texto plano, por lo que las organizaciones se han ido pasando al LDAPS o LDAP sobre SSL. El LDAPS permite cifrar los datos del LDAP en tránsito entre el servidor y el cliente, lo que evita el robo de credenciales.
4. Lenguaje de marcado de aserciones de seguridad (SAML): SAML es un estándar abierto que se utiliza para intercambiar información de autorización y autenticación entre, en este caso, una solución de IAM y otra aplicación. Este método utiliza XML para transmitir datos y, por lo general, es el método que utilizan las plataformas de administración de identidades y accesos para otorgar a los usuarios la capacidad de iniciar sesión en las aplicaciones que se integraron en las soluciones de IAM.
5. Sistema para la gestión de identidades entre dominios (SCIM): Creado para simplificar el proceso de la gestión de identidades de usuarios, el aprovisionamiento del SCIM permite a las organizaciones operar con eficiencia en la nube, así como añadir o eliminar fácilmente usuarios, lo que mejora el presupuesto, disminuye los riesgos y optimiza los flujos de trabajo. Además, el SCIM facilita la comunicación entre las aplicaciones basadas en la nube.

La IAM y la inteligencia artificial

La inteligencia artificial (IA) desempeña un papel cada vez más fundamental en la administración de identidades y accesos, ya que da a la empresa las herramientas para aboradar la IAM con mayor flexibilidad y detalle. El análisis del comportamiento de usuarios y entidades (UEBA) utiliza la IA para detectar actividades que se deben investigar más, tales como:

1. Muchos intentos de inicio de sesión durante un periodo corto de tiempo
2. Inicios de sesión o intentos de inicio de sesión desde lugares o dispositivos desconocidos, o en horas inusuales según los movimientos comunes del usuario
3. Inicios de sesión de usuarios que no pertenecen a la red privada virtual (VPN) de la organización
4. Inicios de sesión abiertamente maliciosos

La IA puede evaluar las microinteracciones relacionadas con la hora, la ubicación y las actividades de los usuarios, lo que determina posibles riesgos en cada caso. Como utiliza la autenticación continua, este análisis se realiza en cada interacción del usuario. La capacidad de llevar a cabo estos análisis en tiempo real o casi real es fundamental para prevenir o mitigar rápidamente las ciberamenazas.

El futuro de la administración de identidades y accesos

El aumento del trabajo a distancia y el uso de dispositivos móviles justifican cada vez más la necesidad de la administración de identidades y accesos. Los usuarios esperan poder trabajar en sus dispositivos preferidos sin importar dónde se encuentren y pueden desconocer la seguridad de las redes y otros riesgos, incluso con una capacitación en ciberseguridad frecuente y completa en el lugar de trabajo. Sin la solución de IAM adecuada, los equipos de TI a menudo posponen las iniciativas de crecimiento para gestionar las solicitudes de los usuarios y hacer frente a las ciberamenazas asociadas con las mayores superficies de ataque que genera esta flexibilidad.

La capacidad de crecer y desarrollar rápidamente soluciones de IAM a la par del aumento del conocimiento de los riesgos cibernéticos es fundamental para proteger los activos de la empresa. Las organizaciones se beneficiarán con mayores opciones de seguridad gracias a las evoluciones de los software antivirus de la próxima generación, firewall basado en host o detección y respuesta de endpoints (EDR). A medida que siga evolucionando el ecosistema digital de la empresa, también lo hará la administración de identidades y accesos.

Elementos futuros de la seguridad de la identidad

1. Programa de identidad integrada: La identidad se integra en las identidades de las máquinas, la nube, las API y la protección de datos
2. Modelos de confianza dinámicos Los modelos de IA ajustan la autorización en función del historial de comportamiento y las interacciones
3. Identificación universal: Las identidades fusionadas son federadas y universales: "use su propia identidad" es la norma
4. Acceso sin fricciones: La biometría universal física, digital y telefónica incluye protocolos de privacidad sofisticados

Proteger la empresa con la IAM

La administración de identidades y accesos es un elemento clave del programa de seguridad de la empresa porque aísla los activos y sistemas fundamentales de los puntos de entrada a la red que se crearon inadvertidamente o a propósito y que, de otro modo, podrían ser usados por los ciberdelincuentes. Las empresas que adquieren capacidades sólidas de administración de identidades y accesos, y construyen programas maduros se benefician, no solo de presupuestos más bajos para la gestión de identidades, sino también de la capacidad de actuar rápida y fluidamente en respuesta a los nuevos desafíos y oportunidades de negocio.

Asuma el control de su plataforma en la nube.

Obtener más información sobre Identity Security de SailPoint.