La Oficina de Gestión y Presupuesto de la Casa Blanca (OMB) emitió recientemente una importante directriz dirigida a los responsables de la Administración federal de Estados Unidos, por la que se establece Login.gov como la principal opción de autenticación en todos los sitios web federales de acceso público.
La directiva establece unos plazos de cumplimiento exigentes y ordena a las agencias elaborar un inventario de los portales autenticados en un plazo de 60 días, realizar evaluaciones exhaustivas de los riesgos relacionados con la identidad digital en un plazo de 240 días y completar el despliegue operativo en un plazo de dos años.
La directiva de la OMB convierte la consolidación de la identidad digital, hasta ahora una aspiración lejana de las agencias, en un mandato de cumplimiento concreto, lo que obliga a sus responsables a modernizar las arquitecturas heredadas al tiempo que protegen el perímetro público.
Obstáculos operativos
El mandato exige a las agencias que promuevan Login.gov como proveedor de identidad (IdP) predeterminado para la autenticación de los ciudadanos, sin dejar de admitir proveedores comerciales de servicios de credenciales (CSP) autorizados para necesidades específicas de cada misión.
Para los CIO, CISO y arquitectos empresariales de las agencias, esto plantea un doble reto: cumplir unos plazos estrictos e integrar, al mismo tiempo, un proveedor de identidad moderno compatible con OpenID Connect (OIDC) y SAML en una infraestructura compleja.
“F5 simplifica el cumplimiento normativo al proporcionar una arquitectura de intermediación de identidades y seguridad perimetral integrada directamente en F5 Application Delivery and Security Platform (ADSP).”
La mayor parte de la infraestructura digital federal no está diseñada para integrarse directamente con OIDC. Miles de aplicaciones esenciales para el cumplimiento de las misiones dependen de mecanismos de autenticación heredados (como Kerberos, la inyección de cabeceras HTTP y los tokens de sesión propietarios) que no pueden interpretar de forma nativa las aserciones de los IdP modernos sin una refactorización exhaustiva del código.
Al mismo tiempo, centralizar el tráfico de los ciudadanos en flujos públicos de autenticación crea objetivos de gran valor para ataques automatizados y basados en IA, como el relleno de credenciales, la apropiación de cuentas y el fraude de identidad sintética, que se dirigen a los puntos de registro de las agencias antes incluso de que se produzca el intercambio de autenticación.
La hoja de ruta para el cumplimiento normativo
La directiva de la OMB establece cuatro hitos críticos de implementación a lo largo de un periodo de dos años:
- En un plazo de 60 días (identificación de sitios web y API): Las agencias deben proporcionar a la OMB un inventario validado de todos los sitios web, aplicaciones web y API de acceso público que requieran autenticación de usuario.
- En un plazo de 240 días (evaluación de riesgos de identidad digital): Las agencias deben evaluar la resiliencia de la autenticación, los flujos de trabajo de verificación de identidad y las vulnerabilidades frente al fraude en todos los puntos de acceso públicos.
- En el plazo de un año (coexistencia de varios proveedores): Las agencias deben adoptar las prácticas recomendadas de Login.gov de la Administración de Servicios Generales, establecer Login.gov como opción predeterminada y mantener la coexistencia con proveedores comerciales de servicios de credenciales (CSP) autorizados (como ID.me o CLEAR) para grupos de usuarios especializados.
- En un plazo de dos años (despliegue operativo completo): Los organismos deben garantizar el despliegue completo de Login.gov en todos los sistemas federales de acceso público incluidos en el ámbito de aplicación.
Cómo afrontar estas transiciones con F5
F5 simplifica el cumplimiento normativo al proporcionar una arquitectura de intermediación de identidades y seguridad perimetral integrada directamente en la F5 Application Delivery and Security Platform (ADSP). En lugar de exigir a los organismos que rediseñen manualmente la arquitectura de las aplicaciones, F5 actúa como punto centralizado de aplicación de políticas y puente de protocolos directamente en la ruta de datos para ayudar a los organismos a lograr lo siguiente:
- Detección automatizada y mapeo de la superficie (hito de 60 días): F5 API security y F5 Distributed Cloud Web App Scanning pueden detectar y catalogar automáticamente aplicaciones web de acceso público, endpoints y API en la sombra en entornos híbridos y multicloud. Junto con la telemetría de F5 Insight for ADSP, las agencias pueden generar inventarios completos y auditados de superficies autenticadas sin modificar el código subyacente.
- Gestión del fraude y de los bots previa a la autenticación (hito de 240 días): F5 Distributed Cloud Bot Defense aplica telemetría de IA basada en el comportamiento en el perímetro de la aplicación para detener el relleno automatizado de credenciales, los ataques de fuerza bruta y los intentos de registro fraudulentos antes de que el tráfico llegue a Login.gov o a los servidores de la agencia. F5 WAAP supervisa continuamente el tráfico e inspecciona los flujos de autenticación de las API, proporcionando telemetría cuantificable para las evaluaciones de riesgos de la agencia.
- Intermediación de identidades y federación con varios IdP (hito de un año): F5 BIG-IP Zero Trust Access funciona como una puerta de enlace inteligente de federación de identidades. La solución dirige de forma predeterminada a los nuevos usuarios a Login.gov, mientras que deriva determinados flujos de trabajo de alta garantía o heredados a CSP comerciales autorizados, aplicando políticas de autorización unificadas en los distintos proveedores de identidad de origen.
- Interconexión de protocolos heredados sin rediseñar la arquitectura (hito a dos años): BIG-IP Zero Trust Access finaliza las aserciones OIDC y SAML de Login.gov en el proxy de entrada y las traduce a Kerberos (KCD), encabezados HTTP o sesiones RADIUS requeridos por los sistemas backend heredados. Para organismos de alta seguridad, defensa e inteligencia, F5 VELOS y F5 rSeries ofrecen, mediante sus chasis, un rendimiento certificado conforme a FIPS 140-2/3 y DoDIN APL para implementaciones soberanas y aisladas físicamente.
Las herramientas adecuadas para cada plazo
El mandato de la OMB deja algo claro: la consolidación de la identidad digital es una prioridad operativa inmediata. Los organismos que se preparen con antelación catalogando los puntos de conexión de autenticación, automatizando la protección perimetral contra bots e implementando puentes entre protocolos que tengan en cuenta la identidad podrán afrontar estas transiciones sin contratiempos mucho antes de que venzan los plazos de cumplimiento.
Descubra cómo estas y otras soluciones de F5 para el sector público ayudan a las agencias federales a cumplir unos requisitos normativos en constante evolución y a acelerar la modernización de sus infraestructuras.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.