Evaluación de Identity and Access Management: Características Clave

Elegir la solución de identity and access management (IAM) adecuada es una tarea importante. Las organizaciones necesitan gestionar adecuadamente las cuentas de usuario y otras identidades y asegurarse de que tienen exactamente el acceso apropiado a datos, aplicaciones y otros recursos. Después de todo, si los usuarios no tienen todos los derechos que necesitan, no pueden realizar su trabajo y los procesos empresariales se ven afectados. Y si las cuentas tienen demasiados permisos, pueden ser mal utilizadas, ya sea por sus propietarios o por adversarios que las comprometen, lo que lleva a violaciones de seguridad y de cumplimiento.

Dado que los procesos manuales son muy propensos a errores y simplemente no pueden escalar para satisfacer las necesidades de las organizaciones modernas, las organizaciones necesitan una solución IAM diseñada específicamente. Este artículo detalla las preguntas clave de gestión de acceso de identidad que debe hacerse al evaluar las herramientas IAM candidatas.

Qué buscar al elegir una solución de IAM

Para elegir la solución IAM más adecuada para su organización, asegúrese de evaluar los siguientes aspectos clave de cada herramienta prospectiva:

• Modelo de despliegue
• Incorporación, baja y reprovisionamiento de usuarios
• Control de acceso basado en roles
• Flujos de trabajo automatizados
• Soporte para Zero Trust
• Gestión de contraseñas, incluyendo el autoservicio
• Amplio soporte de aplicaciones más APIs
• Métodos de autenticación, incluyendo la autenticación sin contraseña
• Soporte para inicio de sesión único (SSO)
• Soporte para traer tu propio dispositivo (BYOD)
• Impacto en la experiencia del usuario
• Disponibilidad y fiabilidad
• Monitoreo, auditoría y reportes
• Adherencia a mandatos de cumplimiento y estándares de la industria
• Capacidad para satisfacer las necesidades futuras
• Modelo de precios

Modelo de despliegue

Una de las primeras preguntas sobre IAM a considerar es el modelo de implementación: ¿Es la solución local, en la nube o híbrida? Cada enfoque tiene sus pros y sus contras.

On-prem versus cloud

Aquí están algunas de las diferencias clave entre los modelos de implementación de IAM en las instalaciones y en la nube:

Híbrido

Las soluciones híbridas de IAM combinan aspectos de enfoques IAM tanto locales como basados en la nube para satisfacer las necesidades de las organizaciones modernas. Facilitan la sincronización de directorios entre almacenes de identidad locales (como Active Directory) y repositorios de identidad basados en la nube (tales como Azure AD y AWS Directory Service), y ofrecen gestión centralizada del ciclo de vida del usuario para entornos locales y en la nube. Esta opción ayuda a minimizar costos mientras se preserva el control local de datos regulados o de otro tipo sensibles.

Incorporación, desvinculación y reprovisionamiento de usuarios

Una función primordial de cualquier sistema de Identity Management es garantizar que cada usuario tenga acceso adecuado a los recursos para que puedan desempeñar su trabajo minimizando los riesgos de seguridad. En consecuencia, evalúe si una solución candidata permite la incorporación eficiente y precisa de nuevos usuarios y la eliminación pronta de derechos de acceso cuando los usuarios dejan la organización mediante la eliminación o desactivación de sus cuentas o revocando los permisos de acceso para aplicaciones, archivos compartidos, bases de datos y otros recursos.

Además, compruebe si la solución facilita el ajuste de los derechos de acceso a medida que los usuarios cambian de roles o se adoptan nuevas tecnologías. Asimismo, busque un proceso de atestiguamiento en el que las partes apropiadas puedan revisar y modificar fácilmente los derechos de acceso a los recursos que poseen para garantizar el cumplimiento continuo con las políticas de seguridad y regulaciones.

Control de Acceso Basado en Roles

Asegúrese de verificar si una solución IAM prospectiva ofrece control de acceso basado en roles (RBAC). RBAC es una estrategia ampliamente utilizada que hace que el aprovisionamiento sea mucho más simple y mucho más preciso. Con RBAC, no asigna derechos de acceso directamente a los usuarios, lo cual es complejo y a menudo conduce a permisos excesivos. En su lugar, crea un conjunto de roles que representan funciones laborales, responsabilidades o grupos de usuarios con necesidades de acceso similares. Ejemplos de roles incluyen Administradores, Técnicos de Helpdesk y Gerentes. A cada rol se le asigna un conjunto de permisos; por ejemplo, el rol del Técnico de Helpdesk podría estar facultado para leer y modificar ciertos datos, restablecer contraseñas de usuarios, etc.

Con ese marco en su lugar, otorgar derechos a los usuarios es tan simple como asignarles los roles apropiados. Como resultado, los nuevos usuarios pueden ser dotados rápidamente del acceso exacto que necesitan para realizar sus trabajos. De manera similar, cuando un usuario cambia de funciones dentro de la organización, reprovisionar requiere simplemente cambiar sus asignaciones de rol. Y cuando se añade una nueva aplicación o almacén de datos, o se elimina uno antiguo, actualizar los permisos para los roles relevantes asegura que el acceso se actualice para todos los usuarios correctos.

Flujos de trabajo automatizados

Los flujos de trabajo son valiosos en un sistema de Identity Management porque automatizan procesos como la provisión y desactivación de usuarios, la solicitud y aprobación de acceso, y las revisiones de acceso. Busque una herramienta que ofrezca plantillas predefinidas o flujos de trabajo preconstruidos personalizables para las tareas que necesita. Por ejemplo, un flujo de trabajo de solicitud y aprobación de acceso podría permitir a los usuarios enviar solicitudes de acceso a través de un portal de autoservicio o sistema de tickets y proporcionar formularios de solicitud personalizables con campos obligatorios para especificar los requisitos de acceso, justificación y duración.

De manera más amplia, asegúrese de que sus administradores puedan definir los pasos del flujo de trabajo, condiciones, puntos de decisión y acciones sin necesidad de codificar. Además, asegúrese de que puedan integrar los flujos de trabajo con sistemas de RRHH, de gestión de tickets y otros sistemas para automatizar procesos interfuncionales.

Soporte para Zero Trust

Zero Trust es un modelo de seguridad moderno que requiere que los usuarios se vuelvan a autenticar regularmente en lugar de solo al acceder inicialmente. En consecuencia, busque un sistema IAM que incorpore mecanismos de autenticación adaptativos y facilite la gestión de identidades federadas. Además, asegúrese de que ofrezca capacidades de Privileged Access Management (PAM) para proporcionar una gestión y monitoreo adicionales de cuentas con derechos de acceso elevados, como administradores y cuentas de sistema.

Gestión de contraseñas, incluyendo el autoservicio

Las soluciones de IAM necesitan características robustas de gestión de contraseñas. Las capacidades clave a evaluar incluyen:

• Capacidad para hacer cumplir políticas de contraseñas fuertes, incluyendo complejidad y prohibición de contraseñas comunes, fácilmente adivinables o comprometidas
• Capacidad para mantener listas de exclusión de contraseñas prohibidas
• Funcionalidades de autoservicio que permiten a los usuarios restablecer contraseñas olvidadas, cambiar contraseñas y desbloquear cuentas
• Soporte para restablecimientos de contraseña asistidos por el servicio de ayuda en casos donde las opciones de autoservicio no son factibles
• Integración con soluciones MFA para hacer cumplir la autenticación multifactor para restablecimientos, cambios o recuperaciones de contraseñas
• Capacidad para establecer umbrales de intentos fallidos de inicio de sesión que activan notificaciones para permitir una rápida respuesta a ataques de fuerza bruta

Amplio soporte de aplicaciones más APIs

Antes de invertir en una solución de IAM, asegúrese de que sea compatible con todas las aplicaciones que utilizan sus diversos equipos, tanto en las instalaciones como en la nube. En particular, asegúrese de la compatibilidad con:

• Servicios de directorio como Active Directory, LDAP o Azure AD para la autenticación de usuarios
• Herramientas de productividad empresarial
• Sistemas CRM
• Plataformas de colaboración
• Aplicaciones personalizadas
• Servicios en la nube como AWS, Entra y Google Cloud Platform
• Aplicaciones SaaS como Salesforce, Office 365 y G Suite

Además, asegúrese de que la solución IAM ofrezca APIs que se adhieran a los principios REST para permitir una fácil integración e interoperabilidad con otros sistemas y servicios. Debería soportar protocolos y formatos estándar de la industria como OAuth, OpenID Connect, SAML, JSON Web Tokens (JWT) y SCIM.

Métodos de autenticación, incluyendo la autenticación sin contraseña

Busque una solución que no se limite a la autenticación simple de nombre de usuario + contraseña. Algunas soluciones IAM ofrecen 10 o más métodos diferentes de MFA, como aplicaciones de autenticación y biometría como huellas dactilares, reconocimiento facial y escaneo de retina. Verifique que las opciones sean fáciles y convenientes para sus usuarios. Idealmente, la MFA debería ser adaptativa, desafiando a los usuarios a una autenticación adicional solo cuando los factores contextuales indiquen un riesgo aumentado.

Los adversarios a menudo obtienen su primer punto de apoyo en una red utilizando credenciales comprometidas, por lo que algunas organizaciones buscan eliminar por completo las contraseñas. Algunas soluciones de IAM ahora ofrecen autenticación sin contraseña, que autentica a los usuarios basándose en factores de MFA como la biometría junto con detalles contextuales como la ubicación física, la información del dispositivo y la dirección IP.

Soporte para Single Sign-On (SSO)

Elegir una solución IAM que soporte SSO permitirá a tus usuarios utilizar un único conjunto de credenciales de inicio de sesión para acceder a múltiples sistemas. Esta característica simplifica los procesos empresariales y libera a los usuarios de la carga de recordar múltiples contraseñas.

Sin embargo, dado que el SSO aumenta el riesgo de acceso indebido, asegúrese de que se pueda combinar con un enfoque adaptativo a MFA.

Soporte BYOD

Muchas organizaciones hoy en día tienen una política de traer tu propio dispositivo (BYOD) que permite a los empleados usar sus propios dispositivos para trabajar. Si tienes una política de BYOD o podrías adoptar una, asegúrate de que la solución de IAM soporte una amplia gama de sistemas operativos, incluyendo iOS, Android y Windows.

Impacto en la experiencia del usuario

Hoy en día, la mayoría de las personas esperan resultados rápidos y sin complicaciones de la tecnología. Para acelerar la adopción por parte de los usuarios, busque una solución de IAM que ofrezca una experiencia fluida para los usuarios. En particular, verifique las opciones de autoservicio que permitan a los usuarios actualizar su información personal, restablecer sus propias contraseñas, desbloquear sus cuentas, etc. Esta funcionalidad no solo mejora la productividad empresarial sino que también reduce la carga de trabajo del servicio de asistencia.

Disponibilidad y Confiabilidad

Si su solución de IAM tiene problemas de disponibilidad, los usuarios no podrán iniciar sesión y acceder a los recursos de la red que necesitan para realizar su trabajo, interrumpiendo proyectos empresariales vitales. Para evitar problemas, observe lo siguiente:

• Soporte para componentes redundantes y mecanismos de failover para garantizar la disponibilidad continua
• Integración con balanceadores de carga para distribuir el tráfico entrante a través de múltiples servidores o instancias de IAM, optimizando la utilización de recursos y mitigando cuellos de botella en el rendimiento
• Soporte para la implementación contenedorizada de componentes de IAM utilizando plataformas de orquestación de contenedores, como Kubernetes o Docker, para mejorar la agilidad y la utilización de recursos
• Capacidad para realizar copias de seguridad regulares de los datos de configuración de IAM, perfiles de usuario y políticas de acceso, así como la funcionalidad de restauración en caso de pérdida de datos o fallo del sistema

Solicite al proveedor una prueba gratuita del producto y pruébelo a fondo para asegurarse de que cumple con sus requisitos de fiabilidad y disponibilidad.

Monitoreo, Alertas y Reportes

Asegúrese de que la solución de IAM proporcione monitoreo en tiempo real de la actividad junto con técnicas de detección de anomalías que identifiquen de manera confiable acciones o patrones sospechosos, como múltiples intentos fallidos de inicio de sesión o accesos desde ubicaciones o dispositivos inusuales. Verifique que pueda configurar alertas sobre posibles incidentes de seguridad o violaciones de políticas. Asegúrese de que los registros capturen detalles importantes como identificadores de usuario, marcas de tiempo, direcciones IP y acciones realizadas.

Busque la capacidad de generar fácilmente informes sobre derechos, permisos y asignaciones de roles de usuario, así como paneles de análisis interactivos y herramientas de visualización que faciliten la comprensión rápida de información importante.

Adherencia a Mandatos de Cumplimiento y Requisitos de la Industria

Asegúrese de que la solución de IAM cumpla con todos los marcos regulatorios a los que su organización está sujeta, como GDPR, HIPPA, PCI DSS, SOX, FERPA y CCPA. Los requisitos comunes incluyen la protección de datos personales (incluidas las credenciales de usuario) tanto en tránsito como en reposo, y la protección de la confidencialidad, integridad y disponibilidad de datos sensibles en el sistema IAM. Además, la solución debe gestionar de manera segura el acceso a los datos mediante autenticación robusta, controles de acceso y cifrado. Debe mantener un historial completo de políticas, procedimientos, configuraciones y controles de seguridad de IAM para apoyar la presentación de informes de cumplimiento y consultas regulatorias.

Capacidad para satisfacer las necesidades futuras

Cuando adoptas una solución central como el software IAM, quieres estar seguro de que seguirá aportando valor incluso a medida que tu entorno de TI, las necesidades de seguridad y el panorama de amenazas evolucionen. Aquí hay algunas preguntas clave que debes hacer al evaluar una solución:

• ¿Es el proveedor estable y confiable?
• ¿Tienen las capacidades técnicas necesarias?
• ¿Se pueden agregar más servidores o nodos para escalar fácilmente y manejar el aumento de cargas y volúmenes de usuarios?
• ¿Está el proveedor preparado para ofrecer un excelente soporte durante todo el ciclo de vida del producto?
• ¿Recibirá la solución parches y mejoras de forma regular?
• ¿Será rentable a lo largo de los años?

Modelo de precios

Las soluciones de IAM tienen diferentes estructuras de precios. Dos modelos comunes son:

• Tarifa de licencia por usuario — Usted paga solo por el número de usuarios que realmente trabajan para su organización, por lo que a medida que su base de usuarios crece o disminuye, también lo hace su costo. Sin embargo, tenga en cuenta que algunas soluciones tienen un número mínimo de usuarios.
• Paquetes predefinidos — Usted paga por un número particular de usuarios. En este caso, considere mantener un margen para nuevos empleados porque actualizar a un paquete diferente puede llevar tiempo.

Cómo Netwrix puede ayudar

Netwrix Directory Manager es una solución líder de gestión de identidad y acceso que ofrece una gran cantidad de funcionalidades valiosas.

Aquí hay algunas características que hacen que Netwrix Directory Manager se destaque entre la multitud:

• Incorporación de usuarios sin interrupciones — Netwrix Directory Manager puede aprovisionar automáticamente nuevos usuarios en su directorio en minutos desde su base de datos de RRHH u otra fuente, con la máxima fiabilidad y precisión.
• Immediate user offboarding — When a user leaves the organization, you can quickly suspend all their access to data, applications, and other IT resources.
• Autenticación inteligente y SSO — Netwrix Directory Manager ofrece autenticación robusta y soporta inicio de sesión único.
• Autoservicio — Un portal de autoservicio permite a los usuarios de negocio mantener sus perfiles actualizados, restablecer sus contraseñas, desbloquear sus cuentas y más sin la molestia de contactar al servicio de asistencia.
• Deshabilitación automática de cuentas inactivas — Puede requerir que los usuarios validen sus perfiles a intervalos regulares; si no lo hacen, Netwrix Directory Manager deshabilitará y bloqueará automáticamente sus cuentas.
• Opciones de complejidad de contraseña — Netwrix Directory Manager le permite establecer requisitos de complejidad de contraseña al nivel que funcione para su organización, desde fácil de recordar hasta casi imposible de recordar.
• Informes detallados — Netwrix Directory Manager incluye más de 100 informes sobre usuarios, grupos y computadoras, además de muchos más informes sobre la actividad del usuario.
• Soporte BYOD — Los usuarios pueden realizar tareas comunes en sus dispositivos, incluyendo dispositivos Android e iOS: validar perfiles, gestionar cuentas, aprobar solicitudes de flujo de trabajo y más.
• Experiencia de usuario simplificada — Un portal de autoservicio permite a los usuarios de negocio mantener sus perfiles actualizados, restablecer sus contraseñas, desbloquear sus cuentas y más, sin la molestia de contactar al servicio de asistencia.
• Alta disponibilidad y fiabilidad — Compruébelo usted mismo con una prueba gratuita.
• Capacidad para satisfacer las necesidades futuras — Netwrix es un proveedor líder con una larga trayectoria en mantener sus soluciones actualizadas para satisfacer las necesidades comerciales cambiantes y las amenazas emergentes.

Para obtener más información o comenzar su prueba gratuita, visite https://www.netwrix.com/products/directory-manager