Gestión de Identidad y Accesos (IAM): Cómo proteger el acceso remoto
El trabajo híbrido transformó la manera en que las empresas acceden a sus sistemas y datos. Los empleados pueden conectarse desde una oficina, desde su casa, desde un hotel o incluso desde otro país. Esta flexibilidad también ha creado un desafío importante para la ciberseguridad: ¿cómo garantizar que solamente las personas y dispositivos autorizados puedan acceder a los recursos corporativos?
Aquí es donde entra en juego la Gestión de Identidad y Accesos, conocida como IAM por sus siglas en inglés (Identity and Access Management).
¿Qué es IAM?
IAM es el conjunto de tecnologías, procesos y políticas que permiten administrar las identidades digitales de una organización y controlar qué recursos puede utilizar cada usuario.
En términos sencillos, IAM responde a tres preguntas fundamentales:
¿Quién eres?
¿A qué recursos puedes acceder?
¿Qué puedes hacer una vez que tienes acceso?
Una plataforma IAM puede encargarse de la autenticación de usuarios, la asignación de permisos, la aplicación de políticas de seguridad y la supervisión de los accesos.
El objetivo no es solamente impedir que un desconocido entre en la red corporativa. También consiste en evitar que un usuario legítimo tenga más privilegios de los necesarios.
El problema del acceso remoto
En un entorno tradicional, gran parte de la infraestructura informática se encontraba dentro de las instalaciones de la empresa. Actualmente, los datos y aplicaciones pueden estar distribuidos entre servidores locales, servicios en la nube, aplicaciones SaaS y dispositivos utilizados por empleados que trabajan desde diferentes lugares.
Esto hace que el concepto de "perímetro de seguridad" sea mucho menos claro.
Un atacante que consiga las credenciales de un empleado podría intentar acceder a aplicaciones corporativas desde un dispositivo desconocido o desde una ubicación inusual.
Por esa razón, las organizaciones necesitan comprobar continuamente la identidad y el contexto de cada acceso.
La autenticación multifactor
Una de las herramientas más importantes dentro de IAM es la autenticación multifactor, conocida como MFA.
En lugar de depender únicamente de una contraseña, MFA puede exigir un segundo factor de autenticación, como una aplicación de autenticación, una llave de seguridad o una característica biométrica.
Esto añade una barrera adicional incluso cuando una contraseña ha sido robada.
Sin embargo, MFA no significa que todos los sistemas estén automáticamente protegidos. Las organizaciones deben configurar correctamente las políticas de autenticación y prestar especial atención a ataques como el phishing y las técnicas destinadas a engañar al usuario para aprobar un acceso fraudulento.
Zero Trust: no confiar automáticamente
IAM está estrechamente relacionado con el modelo de seguridad Zero Trust.
La idea fundamental de Zero Trust es que una identidad no debe recibir confianza automática simplemente porque se encuentra dentro de una determinada red.
Cada solicitud de acceso debe evaluarse de acuerdo con factores como la identidad del usuario, el dispositivo utilizado, la aplicación solicitada, la ubicación y las políticas de seguridad.
Por ejemplo, una empresa podría permitir que un empleado acceda normalmente a una aplicación desde su computadora corporativa, pero exigir una verificación adicional si intenta ingresar desde un dispositivo desconocido.
De esta manera, el acceso puede adaptarse al nivel de riesgo.
Microsoft Entra ID y Okta
Entre las plataformas utilizadas para gestionar identidades corporativas se encuentran Microsoft Entra ID y Okta.
Microsoft Entra ID permite administrar identidades y accesos para aplicaciones y recursos de Microsoft y de otros proveedores. También ofrece mecanismos de autenticación multifactor y políticas de acceso condicional.
Okta, por su parte, ofrece servicios de gestión de identidad y acceso orientados a organizaciones que necesitan administrar usuarios y aplicaciones en diferentes entornos.
Estas plataformas son ejemplos de cómo la identidad se ha convertido en un componente central de la seguridad empresarial moderna.
La importancia del acceso con privilegios mínimos
Otro principio fundamental de IAM es el llamado "principio de mínimo privilegio".
Consiste en proporcionar a cada usuario solamente los permisos que necesita para realizar sus funciones.
Por ejemplo, un empleado que solamente necesita consultar determinados documentos no debería tener automáticamente permisos para modificar sistemas críticos o acceder a información que no corresponde a sus responsabilidades.
Limitar los privilegios reduce el impacto potencial de una cuenta comprometida.
Si un atacante consigue controlar una cuenta con permisos limitados, sus posibilidades de desplazarse por otros sistemas también pueden reducirse.
El desafío de los dispositivos híbridos
El trabajo híbrido también significa que las organizaciones deben controlar una gran variedad de dispositivos.
Computadoras corporativas, teléfonos móviles, tabletas y dispositivos personales pueden convertirse en puntos de acceso a los sistemas empresariales.
Por eso, la identidad del usuario no siempre es suficiente.
Una política de acceso moderna puede considerar también el estado de seguridad del dispositivo.
Un equipo que no tenga las actualizaciones necesarias, que presente configuraciones inseguras o que no esté administrado por la organización podría recibir restricciones adicionales.
IAM y las identidades no humanas
Existe además un nuevo desafío: no todas las identidades digitales pertenecen a personas.
Las empresas utilizan cuentas de servicio, aplicaciones, API, máquinas virtuales, sistemas automatizados y otras identidades no humanas.
La expansión de la inteligencia artificial está haciendo que este problema sea todavía más importante.
Los agentes de IA pueden interactuar con aplicaciones y datos, ejecutar tareas y utilizar diferentes servicios. Por lo tanto, también será necesario controlar qué puede hacer cada agente, con qué recursos puede interactuar y durante cuánto tiempo puede mantener determinados permisos.
Una identidad digital con demasiados privilegios puede representar un riesgo independientemente de que pertenezca a una persona, una aplicación o un sistema automatizado.
¿Qué ocurre cuando una identidad es comprometida?
Una cuenta corporativa comprometida puede convertirse en la puerta de entrada a información sensible.
Dependiendo de los permisos disponibles, un atacante podría intentar acceder a documentos, correos electrónicos, aplicaciones internas, bases de datos o servicios en la nube.
Por eso, una estrategia IAM efectiva no debería limitarse a autenticar al usuario.
También debe permitir controlar los permisos, detectar comportamientos anómalos y revocar rápidamente los accesos cuando una cuenta deja de ser necesaria o presenta indicios de compromiso.
Recomendaciones para mejorar la seguridad IAM
Para reducir los riesgos asociados con las identidades y los accesos remotos, las organizaciones deberían considerar las siguientes medidas:
- Activar la autenticación multifactor (MFA) para todas las cuentas que lo permitan.
- Aplicar el principio de mínimo privilegio, otorgando a cada usuario únicamente los permisos necesarios para realizar su trabajo.
- Revisar periódicamente las cuentas y permisos para eliminar accesos que ya no sean necesarios.
- Utilizar políticas de acceso condicional que tengan en cuenta factores como el usuario, el dispositivo, la ubicación y el nivel de riesgo.
- Proteger especialmente las cuentas administrativas, ya que una cuenta con privilegios elevados puede tener acceso a sistemas críticos.
- Mantener actualizados los dispositivos utilizados para acceder a los recursos corporativos y comprobar su estado de seguridad.
- Supervisar los accesos y establecer alertas ante comportamientos inusuales, como inicios de sesión desde ubicaciones inesperadas o múltiples intentos de autenticación.
- Desactivar rápidamente las cuentas de empleados que abandonen la organización o cambien de funciones.
- Controlar también las identidades no humanas, como cuentas de servicio, aplicaciones, API y sistemas automatizados.
- Preparar procedimientos de respuesta para actuar rápidamente cuando una identidad corporativa sea comprometida.
- Capacitar a los empleados para reconocer intentos de phishing y otras técnicas utilizadas para robar credenciales.
- Revisar periódicamente las políticas de IAM para adaptarlas a nuevos riesgos, tecnologías y formas de trabajo.
La identidad como nueva frontera de la ciberseguridad
Durante muchos años, la seguridad informática estuvo muy enfocada en proteger servidores, redes y dispositivos.
Actualmente, la identidad ocupa un lugar cada vez más importante.
Una organización puede tener sistemas protegidos por firewalls y herramientas de seguridad avanzadas, pero si un atacante consigue utilizar una identidad legítima con permisos suficientes, puede intentar acceder a los recursos sin necesidad de romper directamente esas defensas.
Por eso, la protección de las identidades se ha convertido en una parte fundamental de la estrategia de ciberseguridad.
La Gestión de Identidad y Accesos está pasando de ser una herramienta utilizada principalmente para administrar usuarios a convertirse en uno de los pilares de la seguridad empresarial.
El crecimiento del trabajo híbrido, los servicios en la nube, las aplicaciones SaaS y la inteligencia artificial está haciendo que las organizaciones tengan que controlar un número cada vez mayor de identidades y accesos.
MFA, Zero Trust, acceso condicional y el principio de mínimo privilegio son algunas de las herramientas y estrategias que permiten reducir los riesgos.
Pero el desafío continuará creciendo.
En un futuro donde personas, aplicaciones y agentes de inteligencia artificial interactuarán constantemente con sistemas digitales, una pregunta será cada vez más importante:
¿Quién tiene acceso a nuestros datos y qué puede hacer realmente con ellos?
La respuesta dependerá, en gran medida, de cómo las organizaciones gestionen sus identidades digitales.
Comentarios
Publicar un comentario