Identidad y Zero Trust
Todo lo que he escrito sobre Identidad y Zero Trust, con los artículos de investigación en primer lugar. Cada uno termina con algo que puede hacer el lunes.
¿Se enfrenta a alguno de estos problemas? Trabajo con organizaciones que necesitan respuestas, no otra presentación. Hablemos.
Qué incluye un artículo breve de cinco enfoques
La mayoría de los temas se presentan en una página con cinco secciones breves, siempre en este orden. Cada una tiene su propio color dentro del artículo para que pueda ir directamente a la que necesite.
- 1Por dónde empezaría: el primer paso que daría y la pregunta que haría antes de gastar nada.
- 2Dónde fallan los planes: dónde suelen venirse abajo los planes sobre este tema y qué supuesto pondría primero a prueba.
- 3Más allá de la jerga: qué significa realmente el tema cuando quitamos el lenguaje comercial de los proveedores.
- 4Cómo se ve un buen resultado: qué resultado demostraría que funcionó y qué cifra vigilaría.
- 5La decisión que los líderes no pueden eludir: la decisión que debe asumir la dirección y qué información necesita para tomarla.
Servicios relacionados: Arquitectura de seguridad «Zero Trust», gestión de identidades y accesos.
-
¿Finaliza realmente el acceso privilegiado cuando expira el temporizador?
Compruebe que el acceso administrativo temporal finalice en todas las asignaciones de roles, decisiones almacenadas en caché, sesiones y credenciales delegadas, mientras que el acceso ordinario siga funcionando.
-
¿Cómo se demuestra que el acceso al SaaS ha finalizado tras la baja de un empleado?
Verifique la baja de servicios SaaS en todas las cuentas, sesiones, tokens, integraciones y contenidos compartidos, con evidencia de denegación efectiva y límites explícitos.
-
¿Cómo se renueva una CA interna sin interrumpir el TLS mutuo?
Planifique una renovación interna de la CA en torno a la confianza bidireccional, la renovación de certificados de cargas de trabajo y la recarga de aplicaciones. Pruebe las nuevas identidades antes de retirar la confianza anterior.
-
¿Cómo debería funcionar la recuperación de cuentas con la autenticación multifactorial (MFA) resistente al phishing?
Diseñe un proceso de recuperación de cuentas que verifique la identidad del solicitante, limite el registro de sustitución y anule los accesos antiguos sin debilitar de forma encubierta la autenticación multifactorial (MFA) resistente al phishing.
-
¿Cómo debería funcionar la recuperación de claves de acceso en dispositivos compartidos en el lugar de trabajo?
Diseñar un sistema de recuperación de la clave de acceso para terminales compartidos sin dejar credenciales, sesiones ni datos para el siguiente trabajador. Incluye controles de recuperación y pruebas de cambio de turno.
-
¿Cómo debe el personal de asistencia acceder de forma segura a la cuenta de un cliente?
Diseñe el acceso de soporte con la aprobación del cliente, identidad separada del operador, acciones restringidas y excepciones de emergencia con responsabilidad asignada. Compruebe las capacidades de la sesión.
-
¿Qué debe hacer el modelo «Zero Trust» cuando el servicio de políticas está inactivo?
Diseñe un acceso de Zero Trust durante las interrupciones de los servicios de políticas: limite las decisiones almacenadas en caché, separe las denegaciones de los errores, preserve el trabajo esencial y verifique la recuperación.
-
¿Quién debería ser el responsable de las identidades de las cargas de trabajo en la nube?
Asigne la responsabilidad de la emisión, los permisos y la retirada de identidades de carga de trabajo y, a continuación, verifique quién puede obtener credenciales y qué accesos finalizan realmente.
-
Cuentas de emergencia: la excepción que se convierte en una brecha de seguridad
Todo entorno necesita una vía de acceso para cuando todo lo demás falle. Todos los entornos que he visto cuentan con al menos una cuenta de este tipo que se ha utilizado para algo distinto a...
-
Acceso condicional
No comenzaría a implantar el acceso condicional adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable a quien rendir cuentas y un único...
-
Confianza en los dispositivos
No comenzaría a abordar la confianza en los dispositivos adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de aplicación, el responsable y un escenario...
-
Federación de identidades
No comenzaría la federación de identidades adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable a quien rendir cuentas y un único...
-
Respuesta a incidentes de identidad
No comenzaría la respuesta a incidentes de identidad adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable a quien rendir cuentas y...
-
Privilegio mínimo
No empezaría a aplicar el principio del privilegio mínimo adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Lo primero que haría sería determinar el perímetro, identificar al responsable y definir un escenario...
-
Resiliencia de MFA
No comenzaría a abordar la resiliencia de MFA adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
Acceso privilegiado
No comenzaría a abordar el acceso privilegiado adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Buscaría el perímetro, el responsable a quien rendir cuentas y un escenario...
-
Identidades de servicio
No comenzaría a gestionar las identidades de servicio adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y un escenario...
-
¿Cuándo es seguro eliminar un acceso que no se utiliza?
Decida si deben eliminarse los accesos no utilizados tras evaluar la semántica de la actividad, la cobertura de la observación, la necesidad empresarial y el efecto del cambio propuesto.
-
¿Quién puede realmente cerrar una cuenta comprometida?
El equipo detecta la cuenta comprometida, pero nadie puede desactivarla.
-
«Zero Trust» que funciona incluso cuando la presentación ya no está disponible
En casi todas las grandes organizaciones hay, en algún lugar, un magnífico diagrama de arquitectura Zero Trust que nunca ha tenido que superar un martes cualquiera. El diagrama...
-
Arquitectura Zero Trust
No comenzaría a implementar una arquitectura Zero Trust adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Lo primero que haría sería identificar el perímetro, el responsable a quien rendir cuentas y...
No hay resultados. Pruebe con otra palabra o pregúnteme directamente.