Los retos y beneficios de la gestión de identidades y accesos

Descripción general

La necesidad de contar con una estrategia sólida de gestión de identidades y accesos (IAM) se ha convertido en una parte esencial de las TI empresariales. Las soluciones de IAM robustas permiten a las empresas aumentar la productividad de sus empleados y reforzar su postura general de seguridad. Sin embargo, el crecimiento de la computación en la nube y una plantilla móvil cada vez más distribuida hacen que la IAM sea cada día más compleja.

Los equipos de la organización encargados de autenticar las identidades de los usuarios y gestionar el acceso a los recursos corporativos deben mantener un delicado equilibrio: garantizar que la empresa cuente con controles de seguridad sólidos y, al mismo tiempo, agilizar los procedimientos de autenticación para aumentar la productividad de los usuarios. En última instancia, la actividad empresarial consiste en aportar valor a los clientes, y la gestión de identidades y accesos (IAM) es esencial para garantizar que los empleados puedan aportar ese valor sin poner en riesgo la reputación, la seguridad ni los resultados económicos de la empresa.

Al plantearse adoptar o modificar una estrategia de IAM, las empresas deben conocer algunas de las tendencias más importantes en la autenticación de identidades y la gestión del acceso a las aplicaciones corporativas. El panorama general de la IAM es cada vez más complejo y debe seguir evolucionando a medida que avanzan las amenazas de seguridad, lo que plantea retos específicos tanto para los usuarios como para los administradores. Los elementos más importantes de una solución integral de IAM —entre ellos, la gestión centralizada del acceso, la automatización, la elaboración de informes y la aplicación contextual de las políticas de seguridad— pueden ayudar a las empresas a afrontar esos retos y, al mismo tiempo, adaptarse a un crecimiento dinámico.

La gestión de identidades y accesos en la actualidad

Las empresas dependen de sistemas ágiles para adaptarse a retos en constante evolución y cambiar de rumbo con el fin de aprovechar nuevas oportunidades. La rapidez es esencial, y el personal de TI se ve presionado para proporcionar recursos de información de forma rápida y fluida cuando los usuarios los necesitan. Sin embargo, frente a este deseo de disponer de acceso bajo demanda, existen problemas de seguridad muy reales que quitan el sueño a los responsables de TI. Ante los ataques a aplicaciones críticas, tanto dentro como fuera del perímetro de seguridad tradicional, las empresas deben asegurarse de que el acceso esté estrictamente regulado para mantener los datos protegidos.

Las estrategias de gestión de identidades y accesos (IAM) suelen estar aisladas en distintos departamentos, como los de seguridad de la información, desarrollo de aplicaciones y cumplimiento normativo. Dado que cada departamento suele personalizar los privilegios de acceso para adaptarlos mejor a sus objetivos empresariales, a menudo no se aplican los requisitos corporativos de TI. Este enfoque fragmentado de IAM puede dificultar la concesión y revocación de accesos, reducir la productividad e incluso provocar brechas de seguridad.

Aunque implementar una estrategia integral de IAM puede ser mucho más complejo que un simple despliegue tecnológico, si se hace correctamente, las empresas pueden obtener un valor empresarial tangible, como una mayor eficiencia operativa, un cumplimiento normativo más sencillo y una mayor satisfacción de los empleados. Sin embargo, para implantar con éxito una solución de IAM sólida, es necesario superar varios obstáculos.

Retos y soluciones

Los departamentos de TI de las empresas se enfrentan hoy al reto, cada vez más complejo, de proporcionar un acceso granular a los recursos de información utilizando datos contextuales sobre los usuarios y las solicitudes, al tiempo que restringen eficazmente el acceso no autorizado a datos corporativos confidenciales.

Desafío: una plantilla cada vez más distribuida

Una forma de que las organizaciones puedan atraer y retener a los mejores profesionales consiste en eliminar las limitaciones geográficas y ofrecer un entorno de trabajo flexible. Una plantilla remota permite a las empresas aumentar la productividad y mantener los gastos bajo control, además de liberar a los empleados de un entorno de oficina tradicional. Sin embargo, al tener empleados repartidos por todo un país o incluso por todo el mundo, los equipos de TI empresariales se enfrentan a un reto mucho más complejo: ofrecer una experiencia uniforme a los empleados que se conectan a los recursos corporativos sin poner en riesgo la seguridad. El auge de la informática móvil implica que los equipos de TI tienen menos visibilidad y control sobre las prácticas laborales de los empleados.

Solución

Una solución integral de IAM gestionada de forma centralizada devuelve al equipo de TI de la empresa la visibilidad y el control necesarios para gestionar una plantilla distribuida.

Desafío: aplicaciones distribuidas

Con el crecimiento de las aplicaciones basadas en la nube y del software como servicio (SaaS), los usuarios ahora pueden iniciar sesión en aplicaciones empresariales esenciales como Salesforce, Office365, Concur y muchas más en cualquier momento, desde cualquier lugar y con cualquier dispositivo. Sin embargo, el aumento de las aplicaciones distribuidas también incrementa la complejidad de gestionar las identidades de los usuarios en dichas aplicaciones. Al no disponer de una forma sencilla de acceder a ellas, los usuarios tienen dificultades para gestionar sus contraseñas, mientras que el departamento de TI se enfrenta a unos costes de soporte cada vez mayores debido a la frustración de los usuarios.

Solución

Una solución integral de IAM puede ayudar a los administradores a consolidar, controlar y simplificar los privilegios de acceso, independientemente de si las aplicaciones críticas están alojadas en centros de datos tradicionales, nubes privadas, nubes públicas o una combinación híbrida de todos estos entornos.

Desafío: aprovisionamiento productivo

Sin un sistema de IAM centralizado, el personal de TI debe aprovisionar el acceso manualmente. Cuanto más tarde un usuario en obtener acceso a aplicaciones empresariales esenciales, menor será su productividad. Por otro lado, no revocar los derechos de acceso de los empleados que han abandonado la organización o se han trasladado a otros departamentos puede tener graves consecuencias para la seguridad. Para reducir este periodo de exposición y riesgo, el personal de TI debe retirar el acceso a los datos corporativos lo antes posible. Lamentablemente, en muchas organizaciones esto implica que el departamento de TI tenga que revisar la cuenta de cada usuario para saber a qué recursos tiene acceso y, a continuación, revocarlo manualmente. El aprovisionamiento y la retirada manuales del acceso requieren mucho trabajo y son propensos a errores humanos u omisiones. Especialmente en las grandes organizaciones, no constituyen una forma eficiente ni sostenible de gestionar las identidades y los accesos de los usuarios.

Solución

Una solución de IAM sólida puede automatizar por completo el proceso de aprovisionamiento y desaprovisionamiento, lo que permite al departamento de TI controlar plenamente los derechos de acceso de empleados, socios, contratistas, proveedores e invitados. El aprovisionamiento y el desaprovisionamiento automatizados agilizan la aplicación de políticas de seguridad estrictas y ayudan a eliminar los errores humanos.

Desafío: uso de dispositivos personales (BYOD)

Gestionar o no gestionar: en realidad, las empresas actuales no pueden elegir entre ambas opciones. Empleados, contratistas, socios y otras personas llevan sus dispositivos personales y los conectan a la red corporativa por motivos profesionales y personales. El reto del BYOD no es si se incorporan dispositivos externos a la red empresarial, sino si el departamento de TI puede reaccionar con la rapidez suficiente para proteger los activos empresariales de la organización sin afectar a la productividad de los empleados y, al mismo tiempo, ofrecer libertad de elección. Casi todas las empresas cuentan con algún tipo de política de BYOD que permite a los usuarios acceder a recursos seguros desde sus propios dispositivos. Sin embargo, acceder a aplicaciones internas y SaaS desde un dispositivo móvil puede resultar más engorroso que hacerlo desde un portátil o un equipo de sobremesa conectado a la red. Además, el personal de TI puede tener dificultades para gestionar quién dispone de privilegios de acceso a los datos corporativos y qué dispositivos utiliza para acceder a ellos.

Solución

Las empresas deben desarrollar una estrategia que permita conceder —y revocar— de forma rápida, sencilla y segura el acceso a las aplicaciones corporativas desde dispositivos móviles propiedad de los empleados o de la empresa, de acuerdo con las directrices corporativas o los requisitos normativos. Además, los cambios tecnológicos, como la tendencia hacia el Internet de las cosas, exigen que los equipos de TI corporativos implementen soluciones capaces de escalar para hacer frente a la avalancha de dispositivos que amenaza con sobrecargar la red corporativa.

Desafío: problemas con las contraseñas

El crecimiento de las aplicaciones basadas en la nube obliga a los empleados a recordar cada vez más contraseñas para aplicaciones que pueden abarcar distintos dominios y utilizar numerosos estándares y protocolos diferentes de autenticación e intercambio de atributos. La frustración de los usuarios puede aumentar a medida que dedican cada vez más tiempo a gestionar las listas de contraseñas resultantes, algunas de las cuales deben cambiarse cada 30 días. Además, cuando los empleados tienen problemas con sus contraseñas, suelen ponerse en contacto con el personal de TI para solicitar ayuda, lo que puede consumir rápidamente y de forma reiterada recursos importantes.

Solución

Las empresas pueden dejar atrás fácilmente los problemas relacionados con las contraseñas mediante la federación de identidades de usuario y la ampliación de las funciones de inicio de sesión único (SSO) seguro a aplicaciones SaaS, en la nube, web y virtuales. El SSO permite integrar la gestión de contraseñas en varios dominios y con distintos estándares y protocolos de autenticación y uso compartido de atributos.

Desafío: cumplimiento normativo

Las cuestiones relacionadas con el cumplimiento normativo y el gobierno corporativo siguen siendo factores clave de la inversión en IAM. Por ejemplo, gran parte de la responsabilidad de proporcionar los datos de gobierno corporativo exigidos por la normativa Sarbanes-Oxley recae en el departamento de TI. Garantizar la compatibilidad con procesos como la determinación de los privilegios de acceso de empleados concretos, el seguimiento de las autorizaciones de la dirección para ampliar el acceso y el registro de quién ha accedido a qué datos y cuándo puede contribuir en gran medida a aliviar la carga del cumplimiento normativo y garantizar un proceso de auditoría fluido.

Solución

Una solución de IAM sólida puede facilitar el cumplimiento de normativas como la Ley Sarbanes-Oxley, la HIPAA y el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS). En concreto, una solución que automatice los informes de auditoría puede simplificar los procesos de conformidad normativa y ayudar a generar los informes exhaustivos necesarios para demostrar dicho cumplimiento.

Conclusión

Seguridad. Eficiencia. Sencillez. Productividad. Cumplimiento normativo. Aunque las ventajas de implantar una solución de IAM sólida son evidentes, el coste y la complejidad de su implementación pueden hacer descarrilar incluso a las organizaciones con las mejores intenciones. Sin embargo, cuando las empresas tienen en cuenta el coste de una posible brecha de seguridad o analizan las ineficiencias inherentes al aprovisionamiento y desaprovisionamiento manuales del acceso a los recursos corporativos, la necesidad resulta evidente: ha llegado el momento de crear un equipo de IAM centralizado capaz de establecer y aplicar políticas de gestión de identidades y accesos en toda la organización.

El perímetro de seguridad tradicional se está reduciendo. Las empresas que buscan soluciones de gestión de identidades y accesos (IAM) deben tener en cuenta la realidad de una plantilla cada vez más móvil y de una red de aplicaciones altamente distribuida y compleja. Una solución IAM sólida puede facilitar la gestión, agilizar el aprovisionamiento y desaprovisionamiento y aumentar la productividad de los usuarios, al tiempo que reduce los costes y la carga de trabajo de TI y proporciona a la empresa datos exhaustivos que facilitan el cumplimiento de las normativas.

Además, las empresas pueden reforzar la seguridad mediante la implantación de soluciones con autenticación multifactor robusta y, al mismo tiempo, evitar la frustración de los usuarios al ofrecer un acceso fluido a las aplicaciones en la nube mediante el inicio de sesión único (SSO). Asimismo, a medida que la gestión de identidades y accesos se vuelve cada vez más compleja, será cada vez más importante poder crear políticas basadas en información contextual y detallada. Las soluciones de IAM capaces de recopilar datos y tomar decisiones en función de la identidad y la ubicación del usuario, el dispositivo y el recurso solicitado permitirán a las empresas proporcionar un acceso rápido a empleados, socios, contratistas o invitados legítimos, así como revocar o denegar fácilmente los privilegios a usuarios no autorizados.

PUBLICADO EL 24 DE FEBRERO DE 2016