Retos y ventajas de la gestión de identidades y acceso

La necesidad de una sólida estrategia de gestión de identidades y acceso (IAM) se ha convertido en parte fundamental de los departamentos de TI de las empresas. Las soluciones fiables de IAM pueden favorecer que las empresas mejoren la productividad de los empleados y refuercen sus posturas generales de seguridad. Sin embargo, el aumento de la informática en la nube y un personal móvil cada vez más diseminado hacen que la IAM sea cada vez más compleja.

Los equipos de las organizaciones encargados de autenticar las identidades de los usuarios y de gestionar el acceso a los recursos corporativos se encuentran en la cuerda floja, pues deben asegurarse de que la empresa cuente con controles fiables de seguridad y, al mismo tiempo, pueda agilizar los procedimientos de autenticación para aumentar la productividad de los usuarios. Al final, el negocio consiste en ofrecer valor a los clientes, y la IAM es parte esencial para garantizar que los empleados cuenten con la capacidad para ofrecer ese valor y evitar daños a la reputación, la seguridad o los resultados de la empresa.

En el momento de considerar la adopción o el cambio de una estrategia de IAM, las empresas deben tener en cuenta algunas de las tendencias más importantes en autenticación de identidades y gestión del acceso a las aplicaciones corporativas. El panorama general de la IAM es cada vez más complejo y debe seguir evolucionando conforme avanzan las amenazas a la seguridad, lo que plantea retos específicos tanto para los usuarios como para los administradores. Los elementos más importantes de una solución holística de IAM (que incluye la gestión centralizada del acceso, la automatización, la elaboración de informes y la aplicación de las políticas de seguridad según el contexto) pueden ayudar a las empresas a superar esos retos al mismo tiempo que se adaptan al crecimiento dinámico.

Las empresas confían en sistemas ágiles para adaptarse a los retos en continua evolución y para redirigirse y aprovechar las nuevas oportunidades. La velocidad es esencial, y la presión recae en el personal de TI para que proporcione recursos de información de forma rápida y sin problemas cuando los usuarios lo requieran. Sin embargo, como contrapunto a este deseo de acceso a la carta, están los muy reales problemas de seguridad que tienen en vela a los responsables de TI. Ante los ataques a las aplicaciones críticas tanto dentro como fuera del perímetro de seguridad tradicional, las empresas deben asegurarse de que el acceso esté estrictamente regulado para mantener la seguridad de los datos.

Las estrategias de IAM a menudo están alojadas en silos ubicados en varios departamentos, entre los que se incluyen la seguridad de la información, el desarrollo de aplicaciones y el cumplimiento normativo. Dado que cada departamento suele personalizar los privilegios de acceso para adaptarlos mejor a sus objetivos empresariales, no es infrecuente que los requisitos corporativos de TI no se cumplan. Esta estrategia de parches de IAM puede llevar a un aprovisionamiento y desaprovisionamiento incómodos del acceso, a la pérdida de productividad e incluso a infracciones de seguridad.

Si bien la implementación de una estrategia integral de IAM puede ser mucho más compleja que una simple implementación de tecnología, cuando se hace correctamente, las empresas pueden obtener un valor de negocio tangible, incluyendo una mayor eficiencia operativa, un cumplimiento normativo simplificado y una mayor satisfacción de los empleados. Sin embargo, para implementar con éxito una solución fiable de IAM, se deben superar varios problemas.

Los departamentos de TI de las empresas de hoy en día se enfrentan al reto cada vez más complejo de proporcionar un acceso granular a los recursos de información, utilizando información contextual sobre los usuarios y las solicitudes, al mismo tiempo que restringen con éxito el acceso no autorizado a los datos corporativos confidenciales.

El reto: un personal cada vez más diseminado

Una de las formas en que las organizaciones pueden contratar y conservar a los mejores talentos es eliminando las limitaciones que supone la ubicación geográfica y ofreciendo un entorno de trabajo flexible. Con una plantilla remota permite, las empresas pueden aumentar la productividad y mantener los gastos bajo control, además de desvincular a los empleados de un entorno de oficina tradicional. Sin embargo, con empleados dispersos por todo un país o incluso por todo el mundo, los equipos de TI de las empresas se enfrentan a un reto mucho más abrumador: el mantenimiento de una experiencia consistente para los empleados que se conectan a los recursos corporativos sin que ello disminuya la seguridad. El crecimiento de la informática móvil supone para los equipos de TI una menor visibilidad y control sobre las prácticas de trabajo de los empleados.

La solución

Una solución IAM completa y gestionada de forma centralizada devuelve al equipo de TI de la empresa la visibilidad y el control que se necesitan con un personal diseminado.

El reto: aplicaciones distribuidas

Con el crecimiento de las aplicaciones basadas en la nube y de software como servicio (SaaS), los usuarios ahora pueden iniciar sesión en aplicaciones empresariales críticas como Salesforce, Office 365, Concur y demás, en cualquier momento, desde cualquier lugar y utilizando cualquier dispositivo. Sin embargo, con el aumento de las aplicaciones distribuidas viene el aumento de la complejidad en la gestión de identidades de los usuarios de esas aplicaciones. Sin una manera que resulte sencilla de acceder a estas aplicaciones, los usuarios tienen que lidiar con la gestión de contraseñas, mientras que el departamento de TI se enfrenta a un aumento de los costes de asistencia por parte de usuarios frustrados.

La solución

Una solución holística de IAM puede ayudar a los administradores a consolidar, controlar y simplificar los privilegios de acceso, independientemente de si las aplicaciones críticas están alojadas en centros de datos tradicionales, nubes privadas, nubes públicas o una combinación híbrida de todos estos entornos.

El reto: un aprovisionamiento productivo

Sin un sistema centralizado de IAM, el personal de TI tiene que proporcionar el acceso manualmente. Cuanto más tiempo tarde un usuario en obtener acceso a aplicaciones empresariales cruciales, menos productivo será. Por otro lado, no revocar los derechos de acceso de los empleados que han dejado la organización o se han trasladado a otros departamentos puede tener graves consecuencias para la seguridad. Para cerrar esta ventana de exposición y riesgo, el personal de TI tiene que desproveer el acceso a los datos corporativos lo antes posible. Por desgracia, en muchas organizaciones esto significa que el departamento de TI tiene que revisar cada cuenta de usuario por separado para saber a qué recursos tiene acceso y, a continuación, revocar manualmente el acceso. El aprovisionamiento y desaprovisionamiento manual del acceso requiere mucho trabajo y es propenso a errores o descuidos humanos. En concreto para las grandes organizaciones, no resulta una forma eficaz o sostenible de gestionar las identidades y el acceso de los usuarios.

La solución

Una solución fiable de IAM puede automatizar completamente el proceso de aprovisionamiento y desaprovisionamiento, dando al departamento de TI pleno poder sobre los derechos de acceso de los empleados, socios, contratistas, proveedores e invitados. El aprovisionamiento y el desaprovisionamiento automatizados agilizan la aplicación de políticas de seguridad sólidas y permiten eliminar los errores humanos.

El reto: «traiga su propio dispositivo» (BYOD)

Gestionar o no gestionar: la realidad es que no hay opción para las empresas de hoy en día. Los empleados, los contratistas, los socios y otros traen dispositivos personales y se conectan a la red corporativa por motivos profesionales y personales. El reto del entorno BYOD no es si los dispositivos externos entran o no en la red de la empresa, sino si el departamento de TI puede reaccionar con la suficiente rapidez para proteger los activos empresariales de la organización, sin interrumpir la productividad de los empleados y ofreciendo al mismo tiempo libertad de elección. Casi todas las empresas tienen algún tipo de política BYOD que permite a los usuarios acceder a recursos protegidos desde sus propios dispositivos. Sin embargo, el acceso a las aplicaciones internas y de SaaS desde un dispositivo móvil puede ser más complicado que desde un ordenador portátil en red o una estación de trabajo de sobremesa. Además, el personal de TI puede encontrar dificultades para gestionar quién tiene privilegios de acceso a los datos corporativos y qué dispositivos se están utilizando para acceder a ellos.

La solución

Las empresas deben desarrollar una estrategia con la que resulte rápido, fácil y seguro conceder (y revocar) el acceso a las aplicaciones corporativas en los dispositivos móviles de los empleados y de la empresa conforme a las directrices corporativas o el cumplimiento normativo. Además, los cambios tecnológicos, como la tendencia hacia el Internet de las cosas, hacen necesario que los equipos de TI de las empresas implementen soluciones escalables para hacer frente a la avalancha de dispositivos que se sumarán a la carga de la red corporativa.

El reto: problemas con las contraseñas

El aumento de las aplicaciones basadas en la nube significa que los empleados deben recordar un número cada vez mayor de contraseñas para aplicaciones que pueden cruzar dominios y utilizar numerosos estándares y protocolos diferentes de autenticación y compartición de atributos. La frustración del usuario puede incrementarse si cada vez pasa más tiempo gestionando las listas de contraseñas resultantes que, para algunas aplicaciones, puede que sea necesario cambiar cada 30 días. Además, cuando los empleados tienen problemas con las contraseñas, suelen ponerse en contacto con el personal de TI para recibir ayuda, lo que puede suponer que se agoten rápida y repetidamente recursos importantes.

La solución

Ahora, las empresas pueden hacer que los problemas de contraseñas sean cosa del pasado federando la identidad del usuario y ampliando las capacidades de inicio de sesión único (SSO) seguro a las aplicaciones SaaS, basadas en la nube, basadas en la web y virtuales. El SSO puede integrar la gestión de contraseñas en múltiples dominios y en varios estándares y protocolos de autenticación y compartición de atributos.

El reto: el cumplimiento normativo

Las preocupaciones sobre el cumplimiento y la gobernanza corporativa siguen siendo los principales impulsores del gasto en IAM. Por ejemplo, gran parte de la responsabilidad de proporcionar los datos de gobernanza corporativa exigidos por la normativa Sarbanes-Oxley recae en el departamento de TI. Garantizar la compatibilidad con procesos como la determinación de los privilegios de acceso para empleados específicos, el seguimiento de las aprobaciones de la dirección para ampliar el acceso y la documentación de quién ha accedido a qué datos y cuándo lo ha hecho puede contribuir en gran medida a aliviar la carga del cumplimiento normativo y a garantizar un proceso de auditoría sin problemas.

La solución

Una solución fiable de IAM puede respaldar el cumplimiento de normas reglamentarias como Sarbanes-Oxley, HIPAA y los estándares de seguridad de datos del PCI (sector de tarjetas de pago). En particular, una solución que automatice los informes de auditoría puede simplificar los procesos para el cumplimiento normativo y también puede ayudar a generar los informes completos necesarios para demostrar dicho cumplimiento.

Seguridad. Eficacia. Simplicidad. Productividad. Cumplimiento. Si bien los beneficios de la implementación de una solución fiable de IAM están claros, el coste y la complejidad de la implementación pueden hacer fracasar incluso a la organización más determinada. Sin embargo, si las empresas consideran el coste de una posible infracción de seguridad o estudian las ineficiencias inherentes al aprovisionamiento y desaprovisionamiento manual del acceso a los recursos corporativos, el imperativo es diáfano: ahora es el momento de formar un equipo de IAM centralizado que pueda crear y aplicar políticas de gestión de identidades y acceso para toda la organización.

El perímetro de seguridad tradicional se está reduciendo. Las empresas que buscan soluciones de IAM deben tener en cuenta la realidad de una plantilla cada vez más móvil y una red de aplicaciones altamente distribuida y compleja. Una solución fiable de IAM puede aliviar los problemas de gestión, agilizar el aprovisionamiento y el desaprovisionamiento, e impulsar la productividad de los usuarios, a la vez que se reducen los costes y las demandas de TI, y se proporciona a la empresa datos completos para ayudar con el cumplimiento de los estándares normativos.

Además, las empresas pueden garantizar la seguridad implementando soluciones con una fuerte autenticación multifactor, al mismo tiempo que terminan con la frustración de los usuarios ofreciendo un acceso sin fisuras a las aplicaciones basadas en la nube mediante SSO. Asimismo, a medida que la gestión de identidades y acceso se hace más compleja, la capacidad para crear políticas basadas en información granular y contextual resultará cada vez más importante. Las soluciones de IAM que pueden recopilar y tomar decisiones basadas en la identidad del usuario, la ubicación, el dispositivo y el recurso solicitado permitirán a las empresas ofrecer un acceso rápido para los empleados, socios, contratistas o invitados de buena fe, y revocar o denegar fácilmente los privilegios a los usuarios no autorizados.