Gobierno de identidades y confianza cero: cómo proteger los lugares de trabajo híbridos

Este blog se publicó por primera vez en 2021 y ha sido actualizado. 

La seguridad de la identidad empieza con la autenticación: demostrar que uno es quien dice ser es el primer paso para reforzar la seguridad de la organización, pero no es ni mucho menos el último. Para demasiadas organizaciones, lo que ocurre después de la autenticación es un gran punto ciego. El acceso se aprovisiona. Las cuentas acumulan permisos. Las personas cambian de función o se marchan. Y sin una comprensión clara y continuamente reforzada de quién debe tener acceso a qué, cuándo y por qué, las lagunas se agravan silenciosamente.

La pandemia casi triplicó el trabajo a distancia, lo que provocó un aumento significativo de las solicitudes de acceso. Esa escala hizo que las brechas fueran más difíciles de ignorar. Los piratas informáticos accedieron a las redes de Colonial Pipeline utilizando una cuenta VPN que ya no estaba en uso activo. No se trataba de un exploit sofisticado. Fue un fallo en la gobernanza del acceso, y exactamente del tipo que la gobernanza y administración de identidades (IGA) está específicamente diseñado para evitarlo. A medida que el trabajo híbrido se convierte en la norma, conseguir una seguridad post-autenticación correcta ya no es opcional.

El trabajo híbrido no sólo cambió el lugar de trabajo. Ha cambiado lo que las organizaciones tienen que defender. Cuando los empleados acceden a los recursos corporativos desde redes domésticas, cafeterías y espacios de trabajo compartidos, el perímetro de seguridad tradicional deja de tener sentido. La pregunta ya no es “¿está esta persona dentro de la red?”. Es “¿debería esta persona tener acceso a este recurso, ahora mismo, desde este contexto?”. Ese cambio introduce una serie de retos para los que la seguridad basada en el perímetro nunca fue diseñada.

Expansión del acceso 

El trabajo a distancia aumentó casi de la noche a la mañana durante la pandemia, y con él llegó una avalancha de nuevas solicitudes de acceso. Los empleados necesitaban VPN, aplicaciones SaaS, recursos en la nube y herramientas de colaboración, a menudo todo a la vez. Los equipos de seguridad proporcionaron acceso rápidamente para mantener el negocio en marcha. Pero el acceso que se aprovisiona rápidamente rara vez se revisa con detenimiento. El resultado es la pérdida de derechos. Usuarios acumular permisos que ya no necesitan, a través de sistemas que los equipos de seguridad ya no pueden ver completamente.

Cuentas huérfanas e inactivas

Los atacantes no necesitan irrumpir cuando se ha dejado una puerta abierta. Las cuentas inactivas, credenciales que siguen existiendo mucho después de que un empleado se haya marchado o haya cambiado de función, son exactamente ese tipo de puerta abierta. La brecha de Colonial Pipeline es un ejemplo bien documentado: los atacantes accedieron a través de una cuenta VPN que ya no estaba en uso activo. No fue un ataque sofisticado. Fue un fallo en la gobernanza del acceso. Y no es ni mucho menos el único.

Acceso de terceros y contratistas

Las fuerzas de trabajo híbridas rara vez operan de forma aislada. Los proveedores, contratistas y socios necesitan regularmente acceso a los sistemas internos para realizar su trabajo. Ese acceso suele concederse cuando es necesario y rara vez se revisa. Las organizaciones terminan con una larga cola de credenciales de terceros que se sitúan fuera de los ciclos normales de aprovisionamiento y revisión, creando exactamente el tipo de confianza implícita que la confianza cero está diseñada para eliminar.

Riesgo de movimiento lateral

Una vez que un atacante tiene un conjunto de credenciales válidas, la verdadera pregunta es hasta dónde puede llegar. En entornos con límites de acceso débiles, la respuesta suele ser: muy lejos. El movimiento lateral, que utiliza el acceso legítimo para navegar más profundamente en una red, es uno de los patrones más comunes en las brechas empresariales. La mejor defensa no es una mejor detección a posteriori. Es asegurarse de que incluso una cuenta comprometida no pueda llegar a los sistemas que se suponía que nunca debía tocar.

Lagunas de visibilidad

No se puede gobernar lo que no se puede ver. En los entornos híbridos, los datos de identidad rara vez se encuentran en un único lugar. Los empleados se autentican en sistemas locales, aplicaciones en la nube, herramientas SaaS y plataformas de infraestructura, a menudo a través de diferentes directorios y controles de acceso. Sin una visión unificada de quién tiene acceso a qué, los equipos de seguridad se ven obligados a tomar decisiones de acceso con información incompleta, y las revisiones de acceso se convierten en una suposición más que en un control fiable.

Equilibrio entre seguridad y privacidad

Conseguir la seguridad adecuada en un entorno híbrido significa permitir el acceso, no sólo restringirlo. El objetivo de la gobernanza de la identidad no es bloquearlo todo, sino garantizar que las personas adecuadas tengan el acceso adecuado sin crear fricciones para quienes están haciendo exactamente lo que deben hacer. Ese equilibrio requiere que la política, la automatización y la gobernanza trabajen juntas, no sólo restricciones más estrictas.

Un programa maduro de gobierno de identidades aborda estos retos incorporando la seguridad directamente en la forma en que se concede, supervisa y revoca el acceso. Los componentes básicos incluyen:

• Gobernanza y administración de la identidad (IGA). La capa fundacional. IGA define quién debe tener acceso a qué, automatiza el aprovisionamiento y el desaprovisionamiento, y crea un registro auditable de cada decisión de acceso.
• Control de acceso basado en roles (RBAC). Asignación de permisos basada en la función laboral en lugar de la negociación individual. RBAC limita el radio de explosión de cualquier cuenta comprometida y agiliza considerablemente las revisiones de acceso.
• Revisiones continuas de acceso. Certificaciones periódicas que verifiquen si los derechos actuales siguen correspondiendo a las responsabilidades laborales actuales, detectando la acumulación de privilegios antes de que se convierta en un lastre.
• Desaprovisionamiento automático. La revocación instantánea del acceso cuando los empleados se marchan, cambian de función o se desconectan elimina el riesgo de cuentas inactivas que permitió la filtración de Colonial Pipeline.
• Detección de anomalías y análisis del comportamiento. Identificar patrones de acceso inusuales que puedan indicar una credencial comprometida o una amenaza interna, incluso cuando el inicio de sesión en sí parezca legítimo.
• Acceso a la red de confianza cero (ZTNA). Sustitución de la confianza implícita basada en la ubicación en la red por la verificación continua de la identidad, el estado del dispositivo y el contexto antes de conceder acceso a cualquier recurso.

La creación de un programa maduro de gobierno y administración de identidades (IGA) comienza con la comprensión de la brecha posterior a la autenticación y su cierre. IGA proporciona la seguridad posterior a la autenticación que las empresas de hoy en día necesitan para mantener la productividad sin dejar de garantizar la seguridad.

Esto significa dotar a los equipos de seguridad de las herramientas necesarias para automatizar las decisiones de acceso, revelar anomalías y controlar el plano de identidad a la escala que exige el trabajo híbrido.

En la práctica, eso parece:

• Entender lo que ocurre cuando un pen-tester puede acceder y moverse lateralmente dentro de una red corporativa, y cómo IGA puede limitar ese tipo de movimiento.
• Evaluar si la identidad centrada en el usuario sigue siendo una posibilidad y cómo se alinea con la IGA.
• Utilizar el control de acceso basado en funciones para autenticar usuarios, sistemas, aplicaciones y datos de un modo lo suficientemente preciso como para proteger la empresa sin ralentizarla.

RSA ID Plus puede admitir usuarios en distintos entornos, incluidas configuraciones en la nube, híbridas y locales. Más información sobre la solución o inicie ahora su prueba gratuita de ID Plus.