IAM es la gestión de identidades y accesos. Una disciplina de seguridad que hace posible que las entidades correctas (personas o cosas) usen los recursos correctos (aplicaciones o datos) cuando los necesitan, sin interferencias, usando los dispositivos que quieran utilizar.

La gestión de identidades y accesos se compone de los sistemas y procesos que permiten a los administradores de TI asignar una identidad digital única a cada entidad, autenticarlos cuando inician sesión, autorizarlos para acceder a recursos específicos y monitorear y administrar esas identidades a lo largo de su ciclo de vida.

IAM ya no es solo para empleados. Las organizaciones deben poder proporcionar acceso seguro a contratistas y socios comerciales, usuarios remotos y móviles, y clientes. Con la transformación digital, las identidades también se asignan a dispositivos, robots y fragmentos de código de Internet de las cosas (IoT), como API o microservicios. Los entornos de TI híbridos multinube y las soluciones de software como servicio (SaaS) complican aún más el panorama de IAM.

Debido a que se encuentra entre los usuarios y los activos empresariales críticos, la gestión de identidades y accesos es un componente fundamental de cualquier programa de seguridad empresarial. Ayuda a proteger contra credenciales de usuario comprometidas y contraseñas fáciles de descifrar que son puntos de entrada de red comunes para piratas informáticos criminales que desean plantar ransomware o robar datos.

Si opera correctamente, IAM ayuda a garantizar la productividad empresarial y el funcionamiento perfecto de los sistemas digitales. Los empleados pueden trabajar sin problemas, sin importar dónde se encuentren, mientras que la gestión centralizada se asegura de que solo accedan a los recursos específicos que necesitan para sus trabajos. Y, abrir los sistemas a los clientes, contratistas y proveedores puede aumentar la eficiencia y reducir los costos.

Una tarea clave de los sistemas IAM es autenticar que una entidad es quién o qué pretende ser. La autenticación más básica ocurre cuando una persona ingresa un nombre de usuario y una contraseña en una pantalla de inicio de sesión. El sistema IAM verifica una base de datos para asegurarse de que coincidan con lo que está registrado. Las soluciones de autenticación modernas brindan enfoques más sofisticados para proteger mejor los activos.

Autenticación vs autorización
Una vez que un usuario es verificado por un sistema, este necesita saber a qué información tiene acceso o puede ver.

La verdadera seguridad de los datos no es posible sin un sistema que controle la identidad y el acceso. Cuando se implementan correctamente, las soluciones de IAM pueden aumentar la productividad entre los trabajadores al permitir el acceso a los datos en múltiples aplicaciones, ubicaciones y dispositivos. También permite una mayor colaboración con otras organizaciones, proveedores y socios comerciales.

El mejor enfoque para implementar una solución IAM es realizar una auditoría de los sistemas heredados y existentes. Identifique brechas y oportunidades, y colabore con las partes interesadas desde el principio y con frecuencia. Mapee todos los tipos de usuarios y escenarios de acceso, y defina un conjunto básico de objetivos que la solución IAM debe cumplir.

Además de asignar identidades digitales y métodos de autorización, los administradores de TI necesitan una forma de otorgar derechos y privilegios de acceso a cada entidad. La mejor práctica en la administración de acceso hoy en día es el "privilegio mínimo". Significa asignar a cada entidad o aplicación derechos de acceso solo a los recursos necesarios para completar una tarea o realizar un trabajo, y solo durante el menor tiempo necesario.

• Gestión de accesos con privilegios (PAM)
  El acceso privilegiado está reservado para usuarios como administradores o personal de DevOps que administran o realizan cambios en aplicaciones, bases de datos, sistemas o servidores. Cualquier falla en estas credenciales de acceso podría provocar lo estipulado en el peor de los escenarios. Las soluciones PAM aíslan estas cuentas y supervisan la actividad para evitar el robo de credenciales o el mal uso de los privilegios. 

     Más sobre la gestión de acceso privilegiado

• Gestión de acceso basada en roles (RBAC)
  La asignación de privilegios de acceso según el trabajo o la función de un usuario en una organización puede simplificar la gestión del acceso. En lugar de asignar privilegios de acceso uno por uno, los administradores pueden controlar el acceso según los requisitos del trabajo o el nivel de trabajo. Además, los controles RBAC pueden especificar si una clase de usuario puede ver, crear o modificar archivos. 

     Más sobre la gestión de acceso basada en roles

El proceso o marco para recopilar y analizar datos de identidad en una organización se denomina gobernanza de identidades; tener un programa sólido de gobernanza de identidades puede ayudarlo a cumplir con los requisitos reglamentarios y controlar el riesgo para su organización.

IAM e IA

La inteligencia artificial (IA) está desempeñando un papel cada vez más transformador en la gestión de identidades y accesos, lo que permite a las organizaciones adoptar un enfoque mucho más granular y adaptable a la autenticación y la gestión de los mismos. La IA también es esencial para el análisis de comportamiento de usuarios y entidades (UEBA) para identificar actividades sospechosas.

Algunos indicadores como inicios de sesión maliciosos, un gran número de intentos de inicio de sesión en un corto período de tiempo, ubicaciones desconocidas, dispositivos no reconocidos y si un usuario está o no en la red privada virtual (VPN) de la empresa pueden indicar actividad maliciosa. La IA puede marcar estos indicadores para su investigación en tiempo real o casi real para frustrar los intentos de hackeo.

IAM, la nube e IDaaS

IAM desde  la nube: identidad como servicio (IDaaS) y servicios de identidad gestionados

Un número creciente de proveedores ofrece servicios de administración de acceso e identidad entregados desde la nube. Uno de estos enfoques se conoce como Identidad como servicio (IDaaS), y puede ser una solución independiente o complementaria a los sistemas IAM locales existentes. Con los servicios de identidad gestionados, al igual que otras soluciones de servicios de seguridad administrados, un proveedor de seguridad monitoreará y manejará las soluciones IAM empresariales que se ejecutan en la nube o a nivel local.

IAM para  la nube

Las empresas de hoy tienen aplicaciones y datos en las instalaciones, en sistemas tradicionales y nubes privadas, así como uno o más entornos de nube pública. El desafío es administrar el acceso de los usuarios a los recursos dondequiera que se encuentren, de la manera más fluida posible. Lo ideal es un sistema de administración de acceso e identidad que pueda admitir SSO y MFA en entornos híbridos de múltiples nubes.

IAM y BYOD

En el mundo móvil de hoy, donde los empleados quieren la libertad de trabajar desde cualquier lugar usando sus propios teléfonos móviles, tabletas, computadoras portátiles o dispositivos portátiles, las organizaciones están adoptando programas para traer su propio dispositivo (BYOD) para hacerlo realidad. La IAM, combinada con las plataformas de gestión unificada de terminales, podría ayudar a las organizaciones a adoptar la movilidad y los programas BYOD de forma segura.   

IAM e IoT

Una historia muy conocida. Un hacker vulneró un termómetro inteligente de una pecera y obtuvo acceso a la red corporativa de una empresa para robar datos de sus consumidores. Lo mismo ha sucedido con las cámaras de circuito cerrado de televisión conectadas a la red.

La lección de esta historia es que prácticamente cualquier dispositivo de Internet de las cosas (IoT) puede ser hackeado y, sin una gestión de accesos, la red quedaría completamente abierta ante ellos. Las soluciones IAM de hoy abordan los dispositivos IoT como entidades que deben identificarse y autorizarse antes de obtener acceso a la red.

Con el trabajo remoto convirtiéndose en la norma y el uso de dispositivos móviles en su máxima penetración, el dominio de la gestión de acceso e identidad se ha expandido enormemente.

Las redes no seguras y las altísimas expectativas de los usuarios resultan en una afluencia de nuevas conexiones de dispositivos, una oleada de solicitudes de acceso remoto a información confidencial y la amenaza inminente de phishing y otros ataques basados en la web, a medida que los usuarios ingresan a sitios no autorizados.

La inteligencia artificial (IA) es fundamental en el futuro de la IAM porque tiene la capacidad de reconocer patrones y expandir el conocimiento de manera exponencial, al mismo ritmo que el riesgo.

Con la autenticación continua, el contexto de un usuario se evalúa constantemente en cada interacción. La IA puede analizar microinteracciones considerando el tiempo, el lugar e incluso el movimiento del usuario, calculando en cada punto el nivel de riesgo potencial. El software AV de próxima generación, el firewall basado en host y/o la detección y respuesta de punto final (EDR) continuarán evolucionando y agregarán aún más seguridad dentro de una organización.