Gestión de identidades y accesos (IAM)
La mayoría de las empresas gestionan la gestión de identidades y accesos a medias. Implementan el inicio de sesión único (SSO), se sienten satisfechas de que la pantalla de inicio de sesión tenga un aspecto más limpio y nunca responden realmente a la pregunta más difícil que subyace a ello: quién tiene acceso a qué, por qué y si ese acceso se retira cuando debe hacerlo. El SSO es una capa de comodidad. La gestión de identidades y accesos es la gobernanza real de quién puede acceder a qué, y es ese control el que, si se gestiona mal, se convierte silenciosamente en uno de los mayores riesgos de toda la organización.
Los incidentes que observo relacionados con fallos de identidad rara vez se deben a un ataque sofisticado contra el flujo de inicio de sesión. Se trata de la cuenta de un antiguo empleado a la que nunca se le retiraron los privilegios, de una cuenta de servicio con derechos de administrador que nadie recuerda haber creado, o de un colaborador que sigue teniendo acceso a un sistema seis meses después de que finalizara su contrato porque la baja dependía de que alguien se acordara de realizarla manualmente.
Mi enfoque de la gestión de identidades y accesos (IAM)
Empiezo con una auditoría de accesos: quién tiene realmente acceso a qué en este momento, y si eso se corresponde con quién debería tenerlo. Solo con eso, por lo general, se detectan cuentas y permisos que deberían haberse eliminado hace mucho tiempo. A partir de ahí, voy implantando el principio del privilegio mínimo, el acceso basado en roles cuando tiene sentido, y la autenticación multifactorial en todos los ámbitos donde sea relevante, no solo en los sistemas en los que resultaba más sencillo habilitarla.
La parte que realmente previene problemas futuros es el proceso del ciclo de vida: el aprovisionamiento y desaprovisionamiento automatizados —o, al menos, con una responsabilidad claramente definida— vinculados a eventos de RR. HH., revisiones periódicas de los accesos para que los permisos no se acumulen indefinidamente, y la gestión de accesos privilegiados para las cuentas que pueden causar daños reales, como las de administración, bases de datos e infraestructura en la nube. Prefiero crear un sistema que funcione de forma segura, en el que el acceso caduque por defecto y deba renovarse, antes que uno que dependa de que alguien se acuerde de limpiarlo.
¿A quién va dirigido?
Si nunca ha llevado a cabo una revisión completa de los accesos y sospecha que puede haber cuentas huérfanas, si la eliminación de accesos al dar de baja a un empleado es una tarea manual que a veces se pasa por alto, o si su empresa está creciendo y las solicitudes de acceso empiezan a parecer improvisadas, merece la pena solucionar esto antes de que se convierta en un incidente.
Contacte conmigo y analicemos juntos cómo es realmente el acceso en su entorno en la actualidad.