¿Qué es un identity fabric?

En la era de la transformación digital, la mayoría de las organizaciones gestionan entornos híbridos y multinube que contienen activos en las instalaciones, aplicaciones heredadas y diversos servicios basados en la nube. Es habitual que cada uno de estos sistemas tenga su propia solución IAM, lo que significa que las organizaciones deben hacer malabarismos con varios directorios de usuarios y sistemas de identidad.

La proliferación de sistemas de identidad desconectados puede degradar la experiencia del usuario y crear brechas de visibilidad y seguridad que los actores maliciosos pueden beneficiarse. Según el IBM® X-Force Threat Intelligence Index, los ataques basados en la identidad son uno de los vectores de ataque más comunes, representando el 30 % de las intrusiones.  

Un identity fabric ayuda a unificar los sistemas de identidad desconectados en todo el ecosistema digital de una organización. Esta unificación facilita la monitorización de la actividad y la aplicación de medidas coherentes de gobierno de identidades, autenticación y autorización para todos los usuarios en todas las aplicaciones y plataformas.

Este enfoque centralizado mejora la visibilidad de la actividad de los usuarios, refuerza la posición de seguridad y la eficiencia operativa de la organización y permite una experiencia de usuario más optimizada.

Los identity fabrics permiten a las organizaciones integrar los sistemas de identidad dispar de diferentes aplicaciones, activos y servicios. La organización puede aplicar políticas de acceso unificadas, monitorizar la actividad de los usuarios, abordar las vulnerabilidades e implementar controles de seguridad coherentes en todos los sistemas. 

Los sistemas de gestión de identidades y accesos son herramientas críticas de seguridad de identidades. Ayudan a proteger las identidades digitales, bloquean la actividad no autorizada y garantizan que las personas adecuadas puedan acceder a los recursos adecuados por los motivos adecuados.

Sin embargo, la mayoría de las organizaciones se encuentran administrando múltiples soluciones IAM conectadas a múltiples directorios de usuarios. La mayoría de las organizaciones suelen utilizar una solución de IAM para los usuarios internos y una solución de gestión de identidades y accesos del cliente (CIAM) independiente para los clientes y otros usuarios externos.

Pero muchas organizaciones se ocupan de más de dos sistemas de identidad. Cada aplicación heredada, proveedor de servicios en la nube y sistema local puede tener su propia solución IAM y servicio de directorio.

Estos silos de identidad proporcionan una experiencia de usuario incoherente, ya que cada sistema puede requerir credenciales, niveles de permisos y medidas de seguridad independientes.

Además, los sistemas de identidad desconectados plantean riesgos de seguridad importantes. Las identidades de los usuarios son un objetivo principal de los ciberataques. El X-Force Threat Intelligence Index informa de que el robo de credenciales es el impacto más común al que se enfrentan las víctimas de las vulneraciones.

Sin un enfoque centralizado, puede ser difícil aplicar medidas de ciberseguridad sólidas, como la autenticación sin contraseña con claves de acceso FIDO, la autenticación basada en riesgos (RBA) y la gestión de amenazas de identidad en tiempo real. Es posible que algunos sistemas de IAM ni siquiera admitan algunas de estas medidas.  

Una solución de tejido de identidades ofrece una capa unificada para gestionar y proteger las identidades digitales en aplicaciones, activos y proveedores de servicios en la nube. Proporciona a las organizaciones una mayor visibilidad de las cuentas de usuario y la actividad. También ofrece un control más coherente sobre las políticas y procesos que protegen a los usuarios en todos los sistemas, aplicaciones y plataformas.

Considere cómo un proveedor sanitario podría utilizar una arquitectura de identity fabric para crear un sistema más seguro y eficiente para los profesionales médicos.

Un proveedor de asistencia sanitaria típico depende de varias herramientas tecnológicas: por ejemplo, un sistema de programación de citas, un sistema de historiales de pacientes y una plataforma de telesalud. También utilizan sistemas para compartir datos con otros proveedores de asistencia sanitaria.

Un tejido de identidades permitiría a los profesionales acceder a todos estos sistemas a través de una única identidad. Este enfoque es más conveniente que requerir múltiples inicios de sesión y también permite a la organización aplicar los mismos niveles de acceso y controles de seguridad en todas las plataformas. Por ejemplo, un médico podría acceder a todos los datos de sus pacientes en cada sistema, pero no a los datos de los pacientes que no son suyos.  

La aplicación centralizada de políticas ayuda a garantizar el cumplimiento de las leyes de protección de datos y a evitar el acceso no autorizado, incluidas las situaciones en las que los usuarios legítimos tienen más permisos de los que realmente necesitan.

Un tejido de identidad funciona integrando y sincronizando los muchos servicios de identidad dispar que existen en la red de una organización en una infraestructura IAM unificada.

Muchos identity fabrics dependen en gran medida de las interfaces de programación de aplicaciones (API). Las API permiten a los sistemas desconectados comunicarse de forma segura, intercambiar datos de identidad y aplicar políticas coherentes de gestión de identidades y accesos. Algunas estructuras también utilizan protocolos de comunicación estandarizados como OAuth o Security Assertion Markup Language (SAML) para conectar sistemas IAM.

Existen diferentes opciones para implementar un identity fabric. Algunos proveedores ofrecen plataformas de identity fabric que proporcionan a las organizaciones capacidades completas para conectar sistemas de identidad listos para usar. Otras organizaciones adoptan el mejor enfoque de su clase integrando varias soluciones puntuales. Las organizaciones con necesidades especializadas pueden crear sus propios identity fabrics con código personalizado y API.

Aunque la naturaleza y la estructura de los identity fabrics pueden variar, la mayoría de las organizaciones utilizan alguna combinación de estos elementos para crear sus tejidos:

El software de orquestación de identidades coordina sistemas IAM dispares para crear flujo de trabajo de identidades cohesivos y sin problemas, como el inicio de sesión de los usuarios, la incorporación y el aprovisionamiento de cuentas, que abarcan varios sistemas.

Las plataformas de orquestación de identidades pueden actuar como planos de control centrales para todos los sistemas de identidad de una red. Cada herramienta de identidad se integra con la plataforma de orquestación, creando un tejido unificado.

Las herramientas de orquestación de identidades se utilizan a menudo para crear sistemas de inicio de sesión único (SSO) que permiten a los usuarios acceder a múltiples aplicaciones con un único conjunto de credenciales.

Las soluciones de detección y respuesta ante amenazas de identidad (ITDR) monitorizan los sistemas para detectar y corrigen amenazas basadas en la identidad, como la escalada de privilegios y el secuestro de cuentas, que pueden provocar vulneraciones de datos y otros problemas. 

Cuando una solución ITDR detecta un comportamiento potencialmente malicioso, alerta al equipo de seguridad y activa una respuesta automatizada, como el bloqueo inmediato del acceso de la cuenta a datos confidenciales.

Las aplicaciones heredadas no siempre son compatibles con las medidas de seguridad modernas, como la autenticación multifactor (MFA) o las arquitecturas zero trust. Muchas plataformas de orquestación de identidades y soluciones de identity fabric ofrecen herramientas low-code y no-code para poner al día estas aplicaciones.

Estas herramientas proporcionan interfaces visuales de arrastrar y soltar para configurar flujos de trabajo de identidad sobre aplicaciones heredadas. Por ejemplo, si una aplicación no es compatible con MFA, una herramienta de identity orchestration puede conectar esa aplicación a una solución MFA independiente, creando un flujo de trabajo optimizado entre los dos sistemas. 

También conocida como autenticación adaptativa, la autenticación basada en riesgos (RBA) evalúa en tiempo real el nivel de riesgo de cada usuario que intenta acceder a los activos de la organización. RBA ajusta dinámicamente los requisitos de autenticación en función de estas evaluaciones de riesgos.

RBA evalúa el comportamiento de los usuarios, como la velocidad de escritura, el uso del dispositivo y la ubicación física, para determinar el nivel de riesgo del usuario. Un usuario que muestra comportamientos típicos (utiliza un dispositivo conocido e inicia sesión desde la misma ubicación) se considera de menor riesgo. Es posible que necesiten introducir una contraseña para confirmar su identidad.

Por otra parte, un usuario que inicie sesión desde un dispositivo desconocido o una nueva ubicación podría considerarse de mayor riesgo. El sistema RBA podría someter al usuario a medidas de control de acceso adicionales, como un escaneo de huellas dactilares.

Los servicios de directorio son repositorios que almacenan y gestionan información sobre los usuarios de sistemas y aplicaciones. La sincronización de los servicios de directorio en todo el entorno de TI de una organización proporciona a la organización una vista única y autorizada de cada usuario. Este enfoque permite a la organización aplicar políticas de seguridad de identidad uniformes a cada usuario en todos los sistemas, en lugar de necesitar conjuntos de políticas independientes para cada directorio. 

Las herramientas de gobierno y administración de identidades (IGA) ayudan a gestionar las identidades de los usuarios a lo largo de sus ciclos de vida, desde la incorporación hasta el desaprovisionamiento y la baja. El objetivo de IGA es garantizar que las políticas de acceso y la actividad de los usuarios cumplan con regulaciones como el Reglamento General de Protección de Datos (RGPD) y la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA).

Las herramientas de IGA ayudan a automatizar y agilizar actividades como el aprovisionamiento de usuarios, la implementación de políticas de acceso y la realización de revisiones de derechos de acceso. 

Las herramientas de gestión de acceso privilegiado (PAM) rigen y protegen las cuentas privilegiadas (como las cuentas de administrador) y las actividades privilegiadas (como trabajar con datos confidenciales).

Las cuentas privilegiadas requieren una protección más fuerte que las cuentas estándar porque son objetivos de alto valor que los piratas informáticos pueden usar para causar daños graves. PAM aplica medidas de seguridad avanzadas, como el almacenamiento de credenciales y el acceso justo a tiempo, para controlar estrictamente cómo los usuarios obtienen privilegios elevados y qué hacen con ellos.

Los sistemas de IAM y los directorios de usuarios fragmentados pueden crear silos de identidad y dejar que las organizaciones gestionen diferentes identidades y controles de acceso para cada sistema distinto. Implementar un identity fabric puede ayudar a eliminar estos silos y a optimizar la gestión de identidades y accesos. 

Una arquitectura de tejido de identidades unifica los servicios de identidad desconectados, creando una única identidad digital para cada usuario. Este marco permite a la organización definir y hacer cumplir permisos y políticas uniformes que acompañan a cada usuario en entornos de nube, sistemas heredados y aplicaciones. Este diseño ayuda a garantizar una experiencia de usuario coherente, independientemente de la aplicación o sistema al que acceda el usuario.

Los identity fabrics también respaldan la escalabilidad del sistema. Las organizaciones no necesitan preocuparse de si la introducción de nuevas herramientas o activos en una red podría alterar sus sistemas de identidad. Cada nuevo recurso se integra en el mismo tejido.

Las organizaciones suelen utilizar un identity fabric como punto de control centralizado para implementar las últimas tecnologías y prácticas de ciberseguridad. Por ejemplo, una organización puede querer aplicar la autenticación multifactor (MFA) o aplicar un enfoque zero trust, en el que no hay confianza inherente para ningún usuario.

En medio de un sistema fragmentado con múltiples soluciones de IAM y directorios de usuarios, sería difícil para la organización implementar estas medidas de ciberseguridad de manera coherente. Pero con una identity fabric, la organización obtiene una visibilidad unificada y un control de las políticas de seguridad de identidad. Puede aplicar de forma centralizada el acceso seguro a los recursos y realizar un seguimiento y análisis del comportamiento de los usuarios en todos los sistemas para detectar posibles amenazas. 

Las organizaciones suelen beneficiarse de un identity fabric centralizado para simplificar las iniciativas de protección de datos y cumplimiento. Pueden aplicar políticas de acceso a datos confidenciales basadas en roles de usuario, realizar un seguimiento de lo que hacen los usuarios con esos datos y garantizar que se siga el principio de privilegios mínimos.

Al gestionar las identidades digitales con un sistema unificado, las organizaciones pueden aplicar estándares de cumplimiento y registrar la actividad de los usuarios en todos los sistemas y aplicaciones simultáneamente. Esta capacidad facilita el suministro de registros de auditoría e informes de cumplimiento a las agencias reguladoras.