IAM es la gestión de identidades y accesos. Una disciplina de seguridad que hace posible que las entidades correctas (personas o cosas) usen los recursos correctos (aplicaciones o datos) cuando los necesitan, sin interferencias, usando los dispositivos que quieran utilizar.
La gestión de identidades y accesos se compone de los sistemas y procesos que permiten a los administradores de TI asignar una identidad digital única a cada entidad, autenticarlos cuando inician sesión, autorizarlos para acceder a recursos específicos y monitorear y administrar esas identidades a lo largo de su ciclo de vida.
IAM ya no es solo para empleados. Las organizaciones deben poder proporcionar acceso seguro a contratistas y socios comerciales, usuarios remotos y móviles, y clientes. Con la transformación digital, las identidades también se asignan a dispositivos, robots y fragmentos de código de Internet de las cosas (IoT), como API o microservicios. Los entornos de TI híbridos multinube y las soluciones de software como servicio (SaaS) complican aún más el panorama de IAM.
Debido a que se encuentra entre los usuarios y los activos empresariales críticos, la gestión de identidades y accesos es un componente fundamental de cualquier programa de seguridad empresarial. Ayuda a proteger contra credenciales de usuario comprometidas y contraseñas fáciles de descifrar que son puntos de entrada de red comunes para piratas informáticos criminales que desean plantar ransomware o robar datos.
Si opera correctamente, IAM ayuda a garantizar la productividad empresarial y el funcionamiento perfecto de los sistemas digitales. Los empleados pueden trabajar sin problemas, sin importar dónde se encuentren, mientras que la gestión centralizada se asegura de que solo accedan a los recursos específicos que necesitan para sus trabajos. Y, abrir los sistemas a los clientes, contratistas y proveedores puede aumentar la eficiencia y reducir los costos.
Una tarea clave de los sistemas IAM es autenticar que una entidad es quién o qué pretende ser. La autenticación más básica ocurre cuando una persona ingresa un nombre de usuario y una contraseña en una pantalla de inicio de sesión. El sistema IAM verifica una base de datos para asegurarse de que coincidan con lo que está registrado. Las soluciones de autenticación modernas brindan enfoques más sofisticados para proteger mejor los activos.
Autenticación vs autorización
Una vez que un usuario es verificado por un sistema, este necesita saber a qué información tiene acceso o puede ver.
La verdadera seguridad de los datos no es posible sin un sistema que controle la identidad y el acceso. Cuando se implementan correctamente, las soluciones de IAM pueden aumentar la productividad entre los trabajadores al permitir el acceso a los datos en múltiples aplicaciones, ubicaciones y dispositivos. También permite una mayor colaboración con otras organizaciones, proveedores y socios comerciales.
El mejor enfoque para implementar una solución IAM es realizar una auditoría de los sistemas heredados y existentes. Identifique brechas y oportunidades, y colabore con las partes interesadas desde el principio y con frecuencia. Mapee todos los tipos de usuarios y escenarios de acceso, y defina un conjunto básico de objetivos que la solución IAM debe cumplir.
Además de asignar identidades digitales y métodos de autorización, los administradores de TI necesitan una forma de otorgar derechos y privilegios de acceso a cada entidad. La mejor práctica en la administración de acceso hoy en día es el "privilegio mínimo". Significa asignar a cada entidad o aplicación derechos de acceso solo a los recursos necesarios para completar una tarea o realizar un trabajo, y solo durante el menor tiempo necesario.
Más sobre la gestión de acceso privilegiado
Más sobre la gestión de acceso basada en roles
El proceso o marco para recopilar y analizar datos de identidad en una organización se denomina gobernanza de identidades; tener un programa sólido de gobernanza de identidades puede ayudarlo a cumplir con los requisitos reglamentarios y controlar el riesgo para su organización.
IAM e IA
La inteligencia artificial (IA) está desempeñando un papel cada vez más transformador en la gestión de identidades y accesos, lo que permite a las organizaciones adoptar un enfoque mucho más granular y adaptable a la autenticación y la gestión de los mismos. La IA también es esencial para el análisis de comportamiento de usuarios y entidades (UEBA) para identificar actividades sospechosas.
Algunos indicadores como inicios de sesión maliciosos, un gran número de intentos de inicio de sesión en un corto período de tiempo, ubicaciones desconocidas, dispositivos no reconocidos y si un usuario está o no en la red privada virtual (VPN) de la empresa pueden indicar actividad maliciosa. La IA puede marcar estos indicadores para su investigación en tiempo real o casi real para frustrar los intentos de hackeo.
IAM, la nube e IDaaS
IAM desde la nube: identidad como servicio (IDaaS) y servicios de identidad gestionados
Un número creciente de proveedores ofrece servicios de administración de acceso e identidad entregados desde la nube. Uno de estos enfoques se conoce como Identidad como servicio (IDaaS), y puede ser una solución independiente o complementaria a los sistemas IAM locales existentes. Con los servicios de identidad gestionados, al igual que otras soluciones de servicios de seguridad administrados, un proveedor de seguridad monitoreará y manejará las soluciones IAM empresariales que se ejecutan en la nube o a nivel local.
IAM para la nube
Las empresas de hoy tienen aplicaciones y datos en las instalaciones, en sistemas tradicionales y nubes privadas, así como uno o más entornos de nube pública. El desafío es administrar el acceso de los usuarios a los recursos dondequiera que se encuentren, de la manera más fluida posible. Lo ideal es un sistema de administración de acceso e identidad que pueda admitir SSO y MFA en entornos híbridos de múltiples nubes.
IAM y BYOD
En el mundo móvil de hoy, donde los empleados quieren la libertad de trabajar desde cualquier lugar usando sus propios teléfonos móviles, tabletas, computadoras portátiles o dispositivos portátiles, las organizaciones están adoptando programas para traer su propio dispositivo (BYOD) para hacerlo realidad. La IAM, combinada con las plataformas de gestión unificada de terminales, podría ayudar a las organizaciones a adoptar la movilidad y los programas BYOD de forma segura.
IAM e IoT
Una historia muy conocida. Un hacker vulneró un termómetro inteligente de una pecera y obtuvo acceso a la red corporativa de una empresa para robar datos de sus consumidores. Lo mismo ha sucedido con las cámaras de circuito cerrado de televisión conectadas a la red.
La lección de esta historia es que prácticamente cualquier dispositivo de Internet de las cosas (IoT) puede ser hackeado y, sin una gestión de accesos, la red quedaría completamente abierta ante ellos. Las soluciones IAM de hoy abordan los dispositivos IoT como entidades que deben identificarse y autorizarse antes de obtener acceso a la red.
Con el trabajo remoto convirtiéndose en la norma y el uso de dispositivos móviles en su máxima penetración, el dominio de la gestión de acceso e identidad se ha expandido enormemente.
Las redes no seguras y las altísimas expectativas de los usuarios resultan en una afluencia de nuevas conexiones de dispositivos, una oleada de solicitudes de acceso remoto a información confidencial y la amenaza inminente de phishing y otros ataques basados en la web, a medida que los usuarios ingresan a sitios no autorizados.
La inteligencia artificial (IA) es fundamental en el futuro de la IAM porque tiene la capacidad de reconocer patrones y expandir el conocimiento de manera exponencial, al mismo ritmo que el riesgo.
Con la autenticación continua, el contexto de un usuario se evalúa constantemente en cada interacción. La IA puede analizar microinteracciones considerando el tiempo, el lugar e incluso el movimiento del usuario, calculando en cada punto el nivel de riesgo potencial. El software AV de próxima generación, el firewall basado en host y/o la detección y respuesta de punto final (EDR) continuarán evolucionando y agregarán aún más seguridad dentro de una organización.