Seguridad de identidad segura, conforme a la normativa y resiliente para la administración pública

La Orden Ejecutiva 14028 y la estrategia de arquitectura «Zero Trust» de la CISA establecen mandatos claros para las agencias federales: implementar una autenticación resistente al phishing, aplicar los principios de «Zero Trust» y gestionar la identidad en plantillas de personal complejas y con múltiples entornos. Los objetivos son específicos y las consecuencias de un fallo en la gestión de identidades son críticas para la misión. RSA ayuda a las agencias federales a salvar la brecha entre los mandatos y su ejecución mediante una autenticación sólida, la gestión de identidades y análisis de riesgos basados en inteligencia artificial que funcionan en entornos locales, en la nube, híbridos y aislados.

Las agencias federales se enfrentan a ataques persistentes y sofisticados dirigidos a las credenciales de los usuarios y a los sistemas de autenticación. Los atacantes se aprovechan de la autenticación basada en contraseñas, recurren a la ingeniería social para burlar la autenticación multifactorial (MFA) en los servicios de asistencia informática y utilizan cuentas comprometidas para desplazarse lateralmente por las redes de las agencias. El mandato «Zero Trust» de la CISA exige específicamente una autenticación multifactorial resistente al phishing; sin embargo, una mayoría significativa de organizaciones aún no ha alcanzado una madurez óptima en el modelo «Zero Trust», lo que deja brechas críticas en la capa de identidad.

Cómo ayuda RSA:

• La autenticación sin contraseña resistente al phishing —tokens de hardware, FIDO2, PIV/CAC, datos biométricos— detiene los ataques basados en credenciales.
• Las políticas de acceso adaptativas bloquean los intentos de inicio de sesión sospechosos y aplican controles de sesión basados en el riesgo.
• La verificación bidireccional de la identidad protege al personal del servicio de asistencia informática frente a la ingeniería social y a los intentos de eludir la autenticación multifactorial (MFA).
• El análisis de riesgos de identidad basado en la inteligencia artificial detecta comportamientos anómalos y permite una respuesta automatizada ante las amenazas antes de que se produzcan daños.
• Identifica cuentas inactivas y abandonadas en todos los entornos, eliminando así un vector de ataque habitual en las intrusiones en redes federales.

Las agencias federales deben cumplir con un conjunto cada vez mayor de requisitos en materia de identidad y autenticación, entre los que se incluyen la Orden Ejecutiva 14028, la arquitectura «Zero Trust» de la CISA, la FISMA y la norma NIST SP 800-63B. Estos marcos normativos exigen una autenticación multifactorial (MFA) resistente al phishing, controles de acceso basados en roles, gestión de cuentas privilegiadas, supervisión continua y certificaciones de acceso documentadas. Las agencias que no cumplan estos requisitos se enfrentan a actas de auditoría, retrasos en la autorización de funcionamiento (ATO) y un mayor riesgo de sufrir brechas de seguridad.

Cómo ayuda RSA:

• La autenticación validada según las normas FIPS 140-2 y 140-3 cumple los requisitos criptográficos federales para todos los entornos.
• Implementación autorizada por FedRAMP disponible para entornos de nube gubernamentales
• Compatibilidad nativa con PIV/CAC y la integración de tarjetas inteligentes para el acceso de empleados federales y contratistas
• Los registros de auditoría automatizados y las certificaciones de acceso facilitan la presentación de informes conforme a la FISMA y las revisiones del inspector general
• Cumple con los requisitos de la Política de Seguridad del CJIS en materia de verificación de identidad, autenticación multifactorial (MFA) y gestión del ciclo de vida de las cuentas para los organismos que gestionan información sobre justicia penal.

Las agencias federales gestionan plantillas numerosas y complejas que incluyen a funcionarios públicos, contratistas, organizaciones asociadas y personal temporal, a menudo repartidos entre docenas de sistemas y múltiples ámbitos de seguridad. Los procesos manuales de gestión de identidades provocan retrasos en la concesión de accesos, cuentas huérfanas, permisos excesivos y riesgos internos. La FISMA y la norma NIST 800-53 exigen controles documentados de gobernanza del acceso que se adapten al tamaño de la agencia.

Cómo ayuda RSA:

• Automatiza la incorporación, los cambios de función y la baja de los usuarios para garantizar que estos dispongan del acceso adecuado en el momento oportuno
• Aplica controles de acceso basados en roles (RBAC) y políticas de privilegios mínimos en entornos locales, de nube privada e híbridos.
• Utiliza la inteligencia artificial para analizar de forma continua los derechos de acceso en entornos locales, en la nube e híbridos, detectando los permisos excesivos y las desviaciones en el acceso antes de que se conviertan en incidencias de auditoría.
• Automatiza los flujos de trabajo de solicitud, aprobación y certificación de accesos para facilitar la presentación de informes conforme a la FISMA
• Ofrece una visión unificada de las actividades de acceso, autenticación y gobernanza en todo el panorama de identidades, lo que proporciona a los organismos la visibilidad necesaria para actuar antes de que los riesgos se conviertan en incidentes.

• En las instalaciones
• Entornos aislados físicamente / clasificados
• Nube privada
• Híbrido (en la nube y en las propias instalaciones)

• FIPS 140-2
• FIPS 140-3
• FedRAMP
• FIDO2
• PIV/CAC
• ISO9001:2015
• CMMC 2.0

Consulta la lista completa de certificaciones de la RSA.

• Orden Ejecutiva 14028 + Arquitectura «Zero Trust» de la CISA
• FISMA / NIST SP 800-53
• NIST SP 800-63B (AAL2 / AAL3)
• FedRAMP
• Política de seguridad del CJIS
• CMMC 2.0