Más amenazas, menos visibilidad y una nube que crece más rápido de lo que pueden hacerlo los equipos de seguridad: nunca ha sido tan urgente gestionar correctamente la identidad y el acceso (IAM). Por eso, la Cumbre de Gartner sobre gestión de identidades y accesos llegó en un momento tan importante.
Si hubo un mensaje en la Cumbre, fue que el riesgo de la identidad en la nube está creciendo más rápidamente y convirtiéndose en una amenaza para todos los sectores, y que tenemos que actuar ya para protegernos a nosotros mismos y a nuestros datos.
He aquí cinco cosas que no debe perderse tras la conferencia:
La seguridad empieza por la identidad. Siempre ha sido la primera línea de defensa y el principal activo de ciberseguridad de las organizaciones.
Y a medida que más recursos salgan de las redes corporativas y se trasladen a la nube, la identidad será cada vez más importante para los responsables de seguridad. Ahora que la seguridad se está convirtiendo en un tema que afecta a todos los todos los aspectos de una organización, En el futuro, las organizaciones tratarán de invertir en seguridad para satisfacer sus necesidades actuales y futuras.
Aunque pueden inclinarse por utilizar una solución puntual suficientemente buena, eso es, en el mejor de los casos, poco previsor y, en el peor, un grave problema de seguridad. Gartner considera que la IAM consta de tres funciones clave: gestión de accesos, gobierno de identidades y gestión de accesos privilegiados (PAM). Cada una de estas tres categorías está evolucionando rápidamente a medida que más y más cargas de trabajo se trasladan a la nube. Ese cambio está llevando a Gartner a aconsejar a las organizaciones que den prioridad a plataformas IAM integradas que funcionan en las tres funciones.
De este modo, las empresas podrán satisfacer sus necesidades actuales y futuras, adaptarse a los nuevos riesgos de seguridad y sentar las bases de una arquitectura de confianza cero. La clave para tomar la decisión correcta es evaluar sus casos de uso específicos y planificar en consecuencia. Las organizaciones deben priorizar la seguridad por encima de la comodidad para reforzar su seguridad a largo plazo.
Disponer de una plataforma IAM integrada ayuda a abordar las necesidades empresariales inmediatas. También ayuda a las organizaciones a avanzar hacia objetivos a más largo plazo, incluidos dos de los temas más importantes en IAM de Gartner: sin contraseñas y confianza cero.
Incluso antes del rápido crecimiento de los servicios en la nube (y el consiguiente aumento del riesgo), las contraseñas han demostrado ser completamente insuficientes en ciberseguridad. Este año, Verizon descubrió que en el 82% de las filtraciones intervino el elemento humano, que incluye el uso de credenciales robadas. Pero eso es solo este año: el mismo informe descubrió que las contraseñas eran una de las principales causas de todas las violaciones de datos todos los años desde hace 15.
Las contraseñas deben desaparecer. Gartner prevé que en los próximos tres años más de la mitad de la población activa trabajará sin contraseña, frente al 10% actual. También esperan que FIDO2 domine el mercado como estándar de autenticación sin contraseña.
Hay buenas razones para que Gartner sea optimista sobre el rápido crecimiento de la autenticación sin contraseña, que es más segura y menos costosa que las contraseñas; además, con las nuevas normas FIDO2 y más métodos de autenticación sin contraseña, es más sencillo que nunca encontrar algo que facilite la autenticación a los usuarios. Las organizaciones sólo necesitan la Capacidades sin contraseña en cuenta a la hora de buscar proveedores y buscar casos en los que puedan utilizar Protocolos FIDO.
Incluso si aceptas que las contraseñas son demasiado arriesgadas, puede ser difícil pensar qué utilizar en su lugar.
Gartner insta a las organizaciones a pasar a la confianza cero, un nuevo paradigma de ciberseguridad que pide a los equipos de seguridad que no confíen nunca y verifiquen siempre cada usuario, solicitud, recurso y dispositivo de su red.
Si su objetivo es la confianza cero, las organizaciones primero necesitamos una estrategia de identidad sólida como una roca (de nuevo, la forma más eficaz de hacerlo es mediante una plataforma IAM integrada).
Pasar a la confianza cero también cambia cualquier dependencia persistente de las contraseñas. Recuerde, la confianza cero pide a los usuarios que siempre verifique, no autenticarse siempre. Si siempre verificas el acceso, reduces los casos en los que los usuarios deben autenticarse.
Cuando los usuarios do necesitan autenticarse, deberían utilizar opciones sin contraseña como los códigos QR, FIDO o la biometría. Para una autenticación aún más inteligente y segura, las organizaciones deberían adoptar autenticación basada en el riesgo y la confianza adaptativa continua (CAT, por sus siglas en inglés), que utilizan el aprendizaje automático para evaluar y reaccionar al comportamiento del usuario en tiempo real. Gartner predice que los enfoques CAT pueden reducir la apropiación de cuentas en casi un tercio. Es una mejora enorme.
Los servicios de seguridad representan ya casi 25% de todo el gasto en seguridad, y la identidad no es una excepción.
Ya se llame SaaS IAM, IAM basada en la nube o identidad como servicio (IDaaS), hay varias buenas razones para apostar por la identidad en la nube: las plataformas de identidad gestionada pueden reducir costes y complementar a su equipo de seguridad.
Si opta por la identidad como servicio, debe asegurarse de que sea resistente: las plataformas de autenticación deben ser capaces de gestionar diversas solicitudes de acceso de distintos tipos de usuarios y complejos entornos de TI. En otras palabras, su plataforma IAM tiene que funcionar como sea y donde sea que lo hagan sus usuarios.
A veces, eso significa asegurarse de que sus usuarios puedan autenticarse aunque estén desconectados. Si tus empleados no pueden conectarse a Internet, necesitarán alguna forma de autenticarse para seguir trabajando. Recuerda que la seguridad consiste tanto en permitir que los usuarios adecuados en tal y como está manteniendo a los usuarios equivocados fuera.
Para encontrar el equilibrio adecuado, busque un proveedor que pueda ofrecer un modo de conmutación por error sin conexión que permita a los usuarios autenticarse incluso en ausencia de conexión a Internet. De este modo, los usuarios pueden trabajar de forma segura y productiva, al tiempo que se garantiza que los actores de amenazas no abusan de la autenticación multifactor fail-open protocolos.
La sesión más concurrida se centró en la gestión de identidades. Y no solo los asistentes estaban interesados en la gobernanza: la mayoría de algunos de los proveedores mejor valorados por Gartner ofrecen o están ampliando sus servicios de gobernanza y administración de identidades (IGA) o PAM.
¿A qué se debe este repentino interés por la gobernanza? Es otro resultado del creciente número de identidades en la nube y de la necesidad de los equipos de seguridad de abordar los riesgos de la nube. A medida que más recursos y usuarios se trasladan de las instalaciones locales a despliegues híbridos o en la nube, los equipos de seguridad pierden visibilidad sobre quién tiene acceso a qué, por qué necesita acceso y qué puede hacer con él.
Aunque muchas organizaciones entienden por qué IGA es importante, no necesariamente lo saben cómo para alcanzar una solución IGA. Creemos que existen seis componentes esenciales para encontrar una solución de gobernanza que pueda ofrecer el nivel adecuado de acceso de forma eficiente y gestionarlo eficazmente.
Los numerosos cambios que están transformando la tecnología y la ciberseguridad ponen de manifiesto las pocas constantes que perduran de un cambio a otro. La Cumbre IAM de Gartner demostró lo importante que es la identidad y lo esencial que seguirá siendo.
En un nuevo informe hemos detallado algunas de las formas en que la identidad seguirá siendo la base de toda la ciberseguridad, Lecciones del futuro de la ciberseguridad. El informe corrobora muchos de los temas principales que escuchamos en la Cumbre IAM de Gartner e imagina las formas en que la identidad continuar para dar forma a la ciberseguridad.
###
Descargue el nuevo informe de la RSA, Lecciones del futuro de la ciberseguridad.
