Gestión de la Identidad y Accesos: ¿Por qué las organizaciones lo necesitan?

En los últimos años mucho se ha escrito sobre el aseguramiento de la identidad, los accesos y las actividades permitidas para cada usuario en cada activo de la empresa, ya sea aplicación, dispositivo móvil, red, infraestructura on-premise o cloud, bases de datos, routers, etc.

El concepto de Gestión de la Identidad se ha tornado confuso con el surgimiento de gran cantidad de soluciones provenientes de diferentes vendors que vienen a remediar numerosos aspectos de la identidad y/o accesos.

La divulgación y utilización de acrónimos como IAM, IDaaS, SaaS, PIM, PAM, MFA, 2FA, SSO, ZT, AI y muchos otros, que utilizados para definir conceptos relacionados, pero no equivalentes, a diferentes dominios de la Gestión de Identidades suman a las dificultades para un entendimiento del tema.

En esta nota intentaremos poner un poco de orden sobre los diferentes conceptos relacionados a la Gestión de Identidad y Acceso, y en próximas notas profundizaremos en cada uno de estos conceptos, herramientas y procesos, procedimientos, y cómo se integran al objetivo principal que es la protección de los activos informáticos de cada organización

I.A.M. es el acrónimo de Identity and Access Management y de una forma simple se puede decir que está referido a gestionar y conectar en forma segura a los usuarios con los diferentes activos de la organización.

¿Por qué las organizaciones necesitan un sistema I.A.M.?

Los cibercriminales buscan encontrar y tomar ventaja de mecanismos débiles de autenticación, autorización y acceso a los activos de la organización.

Estas vulnerabilidades son la principal razón para implementar un sistema I.A.M.

Se puede decir que para cada mecanismo de los enumerados precedentemente hay una gran cantidad de soluciones integradas o no dentro de una misma plataforma para dar respuesta a cada vulnerabilidad

Tipos de Sistemas I.A.M.

Cuando se analiza los tipos de sistemas I.A.M. adecuados para cada organización se deben considerar dos principales categorías dependiendo de la infraestructura instalada:

On Premises: Estos tipos de IAM, como su nombre lo indica son implementados en organizaciones que tienen instalada su infraestructura en propios Data Centers, y controlan en forma directa toda la infraestructura de servers, firewalls, aplicaciones, redes, etc.
Cloud: Cuando proveedores de terceras partes proveen Cloud o Identification as a Service IAM. En este caso, ellos usarán sus soluciones propietarias para gestionar la autenticación y autorización de accesos.

Funciones principales de un Sistema I.A.M.

Las funciones principales del framework de un sistema I.A.M. son:

Cómo identificar a los usuarios.
Cómo autenticar su identificación.
Cómo agregar, eliminar, actualizar y asignar roles y funciones a cada usuario para cada aplicación y/o activo de la organización.

Estas funciones cuando se implementan en forma integrada y correcta, permitirá a los usuarios acceder sólo a los datos e infraestructura que necesitan para cumplir con sus funciones, sin embargo no siempre es sencillo implementarlas de forma correcta.

Cómo implementar estas funciones.

Para cada una de estas funciones hay distintas tecnologías y plataformas que permiten implementarlas:

Single Sign On (SSO): Estas herramientas permiten a los usuarios acceder a un servicio, aplicación u otro activo utilizando un único set de credenciales, ya sean passwords o herramientas biométricas.
Multi-factor authentication (MFA): Estas herramientas permiten a través de diferentes elementos confirmar la identidad de un usuario a través de uno o más mecanismos de autenticación. Básicamente estos elementos están relacionados a “algo que conozco”, “algo que tengo” o “algo que soy” que pueden ser utilizados en forma de password, identificación biométrica, verificación a través de la respuesta a un mensaje de texto, mail o llamada telefónica.
Role Based Access Control (RBAC): Son herramientas que permiten administrar y segregar en forma centralizada la gestión de los roles y permisos que tiene cada usuario o grupo de usuarios a los diferentes activos de la organización

Conclusión:

Pequeñas, medianas y grandes organizaciones son objetivos de amenazas externas que puedan intentar tomar control, robar o extorsionarlas a través de la toma de control de la identidad de diferentes usuarios.

El propósito principal de la implementación de un sistema I.A.M, es permitir gestionar la identidad y los accesos para prevenir y protegerse de brechas de seguridad.

Seleccionar, adquirir, implementar y mantener un sistema I.A.M. puede ser costoso en tiempo, personas y dinero dependiendo del tamaño de la organización.

Para minimizar actividades disruptivas para los empleados y el negocio, las organizaciones buscan contratar a empresas expertas en la implementación de soluciones de seguridad informática.