Despliegue sin contraseña en uno de los mayores bancos del mundo con RSA ID Plus

Uno de los bancos más grandes del mundo ha elegido RSA ID Plus para sentar las bases de un futuro totalmente libre de contraseñas, eliminando las vulnerabilidades derivadas del uso de contraseñas tanto para los empleados internos como para los colaboradores externos y los clientes de alto valor. El enfoque del banco, los autenticadores que eligieron y los requisitos de la implementación se recogen en el estudio de caso completo.

Sigue leyendo para conocer las preguntas clave que marcan el marco de cualquier iniciativa bancaria a gran escala sin contraseñas, un marco de implementación basado en cómo avanzan realmente este tipo de implantaciones, o Descarga el caso práctico completo.

FIDO2 es el estándar abierto que permite un inicio de sesión sin contraseña y resistente al phishing. Cuando un usuario registra un dispositivo FIDO2, se genera un par de claves criptográficas únicas: la clave privada nunca sale del dispositivo, y la clave pública se registra en la aplicación. Al iniciar sesión, el dispositivo firma un desafío que está vinculado criptográficamente al sitio web legítimo, de modo que, aunque se engañe al usuario para que interactúe con una página fraudulenta, la respuesta de autenticación no podrá utilizarse allí.

Las claves de acceso vinculadas a un dispositivo amplían aún más esta protección: la credencial está vinculada a un único dispositivo físico y no se puede exportar ni clonar. En entornos bancarios, donde las amenazas internas y el uso compartido de dispositivos son motivos de preocupación reales, este nivel de vinculación ofrece la máxima garantía disponible. La participación de larga data de RSA en la Alianza FIDO lo sitúa en el centro del proceso de elaboración y aplicación de estas normas.

El colectivo de usuarios de un banco no es homogéneo. Los empleados internos, los colaboradores externos, los clientes con un elevado patrimonio y los trabajadores móviles tienen diferentes modalidades de acceso a los dispositivos, requisitos de seguridad y tolerancia a las dificultades. Una implementación sin contraseñas que funcione para los operadores bursátiles en estaciones de trabajo fijas, pero que falle para los colaboradores externos que utilizan dispositivos compartidos o para los clientes que utilizan dispositivos móviles, no es una solución completa.

RSA ID Plus aborda esta cuestión al admitir toda la gama de métodos sin contraseña y MFA resistente al phishing métodos —claves de seguridad de hardware, claves de acceso móviles vinculadas a dispositivos y tokens de hardware— en entornos en la nube, híbridos y locales. Conmutación por error híbrida garantiza que la autenticación siga estando disponible incluso cuando se interrumpa la conexión, un requisito fundamental para las operaciones de los servicios financieros.

Las implantaciones a gran escala sin contraseñas no se llevan a cabo de la noche a la mañana. Para un banco con decenas de miles de usuarios repartidos por múltiples sistemas y zonas geográficas, el paso de un acceso basado en contraseñas a una autenticación totalmente resistente al phishing es un programa que se desarrolla en varias fases. A continuación se explica cómo suelen desarrollarse las implantaciones de esta envergadura.

Fase 1. Evaluación y planificación

Antes de implementar cualquier tecnología, los equipos de identidad y seguridad del banco analizan cada grupo de usuarios, cada sistema y cada caso de uso de autenticación. Esto implica identificar qué usuarios necesitan llaves de hardware frente a claves de acceso móviles, qué sistemas heredados requieren soluciones puente y cuál es el plan de reversión si un método falla en un entorno concreto. La planificación en esta fase evita las deficiencias que surgen a mitad de la implementación y que obligan a realizar costosas modificaciones.

Fase 2. Implantación piloto

Un subconjunto definido de usuarios —normalmente una única unidad de negocio o un grupo piloto multifuncional— implementa los nuevos autenticadores en un entorno controlado. El objetivo no es solo la validación técnica, sino también la validación del flujo de trabajo: ¿se adapta la experiencia de autenticación a la forma en que estos usuarios trabajan realmente? Los problemas relacionados con el aprovisionamiento, los procesos de asistencia técnica y la comunicación con los usuarios resultan mucho más económicos de resolver en una fase piloto que a gran escala.

Fase 3. Implantación gradual a gran escala

La implantación se lleva a cabo departamento por departamento o función por función, dando prioridad en primer lugar a los grupos de usuarios de mayor riesgo: cuentas con acceso privilegiado, personal de la sala de operaciones y usuarios de los sistemas de cumplimiento normativo. Cada fase incorpora las lecciones aprendidas en la anterior. En el caso del banco del estudio de caso, RSA Professional Services proporcionó asistencia in situ durante toda esta fase, garantizando que la implantación se mantuviera según lo previsto en cada paso.