Los ciberdelincuentes están perfeccionando sus estrategias y aprovechan cualquier vulnerabilidad, por pequeña que sea, para acceder al software y la información en poder de las organizaciones. Las ciberamenazas son tan avanzadas y tienen un alcance tan grande que pueden poner en peligro una empresa. Un ataque de ransomware, por ejemplo, puede frenar en seco la actividad de una organización, por lo que su coste es mucho mayor que la suma reclamada por la ansiada clave de descifrado.   

Por la forma como trabajan las organizaciones —con aplicaciones en la nube, datos en su red y usuarios que trabajan desde casa o en oficinas (con dispositivos que a veces están conectados a la red y otras no)—, la mejor defensa ante la legión de amenazas es la que cubre más frentes. La gestión de identidades y accesos (IAM) es un entorno de políticas y tecnologías que garantizan que las personas correctas tienen acceso a los recursos adecuados en el momento preciso y por las razones apropiadas. Incluye los procesos y las herramientas que se utilizan para gestionar las identidades de los usuarios y controlar el acceso a sistemas críticos de una organización.   

¿Qué es la IAM o la gestión de identidades y accesos?  

El concepto de gestión de la identidad para dar acceso solo a las personas autorizadas existía desde mucho antes que los expertos en ciberseguridad lo convirtieran en un entorno oficial. Para sacar libros de la biblioteca necesitamos el carnet de usuario y para retirar efectivo de un cajero, tenemos que introducir nuestro PIN. Las contraseñas y los PIN siguen teniendo un papel muy importante en los entornos de IAM, pero en este caso no estamos hablando solo de una solución. La gestión de identidades y accesos incluye sistemas enteros, esenciales para proteger la información delicada y restringir el acceso solo a personas concretas que necesitan una información determinada o tienen que hacer tareas específicas.  

La relación entre IAM y Zero Trust   

Zero Trust es otro modelo de seguridad, basado en el principio “no confiar nunca, verificar siempre”. A diferencia de los modelos tradicionales, que parten de la idea que todo lo que está dentro de la red es seguro, Zero Trust obliga a verificar continuamente cada usuario y dispositivo que intenta acceder a los recursos, tanto si está dentro del perímetro de la red como fuera. La IAM incorpora los mecanismos y los procesos necesarios para aplicar los principios Zero Trust.   

¿Por qué es importante la IAM?  

La IAM es una herramienta esencial para reducir los riesgos en las empresas gracias a su modelo estructurado de gestión de las identidades digitales y los permisos de acceso.   

El papel de la IAM en la seguridad de la información   

La implantación de la IAM en las empresas abre la puerta a:  

• Reforzar la seguridad: las estrategias de gestión de identidades y accesos se cuentan entre las opciones más efectivas para reducir el riesgo de robos de datos, ya que solo los usuarios autorizados tienen acceso a la información delicada.    
• Mejorar la eficiencia: con un modelo de IAM, los procesos de gestión de los accesos son mucho más sencillos, lo que reduce la carga de trabajo del equipo de TI.  
• Cumplir leyes y regulaciones: no dejará ningún cabo suelto con los registros detallados de todos los accesos y actividades de los usuarios.  
• Preparar el terreno para el acceso sin contraseña: reducir la dependencia de las contraseñas es crucial para frenar las amenazas con nuevas estrategias de seguridad. Las herramientas y técnicas de la IAM ayudan a modernizar la ciberseguridad, reducir el uso de contraseñas y limitar posibles errores humanos.   

Ventajas de las soluciones IAM   

Al dar el paso de implementar soluciones y procesos de IAM, las empresas disfrutan de numerosas ventajas aparte de reducir el riesgo de sufrir incidentes seguridad. Estas son algunas de ellas:

• Mejora de la seguridad y la protección de los datos: las soluciones de IAM marcan un antes y un después en la seguridad de la información, ya que solo los usuarios autorizados tienen acceso a los datos confidenciales. Además, con la implementación de sistemas seguros de autenticación y control de acceso, las organizaciones pueden dar un paso al frente para protegerse de los accesos no autorizados y movimientos laterales en la red.  
• Gestión simplificada del acceso de los usuarios: los sistemas de IAM agilizan la gestión de los derechos de acceso de los usuarios, lo que supone menos trabajo para el equipo de TI. Con la automatización de los procesos para el aprovisionamiento y desaprovisionamiento de los usuarios, y la gestión centralizada, es mucho más fácil tener los accesos actualizados y sincronizados en toda la organización.  
• Aumento de la eficiencia operativa: al automatizar muchas de las tareas relacionadas con la gestión de las identidades y los derechos de acceso, las soluciones de IAM consiguen mejorar la eficiencia operativa. Y esto a su vez permite a los responsables de TI dedicar más tiempo a iniciativas estratégicas y menos a gestionar manualmente los accesos.  

Impacto de la IAM en el cumplimiento de leyes y regulaciones  

Las soluciones de IAM también ayudan a cumplir con lo dispuesto por varias regulaciones como el RGPD, HIPAA o SOX. Estas normativas obligan a imponer estrictos controles para acceder a información delicada y exigen una auditoría detallada de la actividad de los usuarios. Al incorporar la IAM, las organizaciones lo tienen más fácil para:  

• Cumplir las regulaciones: tienen la garantía de que los controles de acceso se ajustan a las normativas vigentes.  
• Conservar registros de auditoría: pueden disponer de información detallada sobre la actividad de los usuarios para cumplir con lo establecido por las regulaciones.  
• Proteger la información: pueden aplicar estrictos controles de acceso para mantener a salvo la información delicada.  

Componentes básicos de la IAM 

 Los 4 pilares de la IAM  

Impedir el acceso sin autorización es la razón de ser de la IAM, y sus cuatro pilares son las estrategias que utiliza para proteger las diferentes tecnologías utilizadas por una organización. Estos pilares estructuran las prácticas y los protocolos de la IAM de la forma más óptima para proteger toda la infraestructura, desde los usuarios hasta los dispositivos y las aplicaciones en la nube.   

• Gobernanza y administración de identidades (IGA): IGA es el proceso utilizado para gestionar las listas de usuarios con autorización para acceder a software, aplicaciones y otras herramientas. Especifica qué pueden hacer los usuarios y qué no, además de determinar los protocolos de acceso y autorización.   
• Gestión de accesos (AM): la AM da acceso temporal en circunstancias especiales y aplica el control de acceso sin perjudicar la experiencia de los usuarios. Algunos ejemplos de AM serían la MFA (autenticación multifactor) y el RBAC (control de acceso basado en funciones).  
• Gestión de acceso con privilegios (PAM): este tipo de gestión incluye controles de acceso específicos para determinados usuarios y va más allá de aspectos puramente administrativos. Por ejemplo, permite designar qué usuarios pueden añadir, modificar o eliminar otros usuarios, o instalar y desinstalar software.   
• Control de acceso a la red (NAC): supervisa la información de los dispositivos, como los privilegios en la red, y también controla posibles cambios en la red.                                                           

Los componentes de la IAM 

Además de los cuatro pilares (o estrategias) de la IAM, tenemos también los componentes básicos que despliegan las prácticas de la IAM. Estos componentes son las acciones físicas, los procesos y los protocolos de la gestión de identidades y accesos.  

Autenticación   

La autenticación verifica la identidad del usuario que trata de acceder a un sistema y es el proceso que todos conocemos como usuarios. Entre los métodos de autenticación más habituales encontramos:  

• Contraseñas: el sistema de autenticación más básico.  
• Autenticación biométrica: utiliza características físicas como huellas dactilares o el reconocimiento facial.  
• Tokens: tokens de hardware o software que generan códigos de un solo uso.  

Además, protocolos como OAuth y SAML permiten la autenticación y autorización seguras en diferentes sistemas. 
 
Con las credenciales correctas, el usuario puede acceder a las herramientas y recursos autorizados. Los permisos de autenticación también pueden basarse en el tiempo, es decir, un usuario solo tendrá autorización para realizar determinadas actividades o acceder a sitios concretos durante un tiempo específico.   

Autorización  

La autorización determina qué puede hacer un usuario autenticado. Mientras que la autenticación confirma su identidad, la autorización establece los límites dentro de los que puede moverse. El entorno de autorización delimita el acceso de los diferentes usuarios y controla el acceso basado en funciones en el sistema de IAM.   

Mecanismos de control de acceso:  

• Control de acceso basado en funciones (RBAC): asigna permisos según la función que desempeña el usuario dentro de la organización.  
• Control de acceso basado en atributos (ABAC): da acceso a los usuarios según sus atributos, como el departamento o el puesto de trabajo. Por ejemplo, las personas del equipo de marketing seguramente no necesiten tener acceso al software de contabilidad ni a los paneles de administración de TI.   
• Mínimo privilegio: el objetivo es que los usuarios tengan el nivel de acceso mínimo necesario para desempeñar las tareas asociadas a su trabajo. Es una función de Zero Trust pensada para impedir el movimiento lateral en la red, que es la estrategia utilizada por la mayoría de ciberdelincuentes para encontrar los datos más delicados en un ataque de ransomware.  

Administración  

El componente de administración de un sistema de IAM administra las cuentas de los usuarios, los grupos, los permisos y las políticas sobre contraseñas. Supervisa la creación y la modificación de las cuentas de usuario, además de velar por la aplicación de métodos seguros de autenticación. El entorno de administración son los cimientos sobre los que se sustenta la autorización y la autenticación.

El proceso de crear cuentas de usuario y dar acceso a los recursos necesarios se conoce como aprovisionamiento de usuarios, mientras que el desaprovisionamiento consiste en retirar estos accesos cuando un empleado abandona la organización o deja de necesitarlos. La eficiencia en ambos procesos es clave para reforzar la seguridad y garantizar que solo los usuarios autorizados tienen acceso a información delicada.   

Auditoría e informes  

El componente de auditoría e informes analiza qué hacen los usuarios con el acceso que tienen, como los recursos o herramientas a su disposición o el uso que dan a la información. Con estos datos en la mano, la organización puede detectar actividades no autorizadas o sospechosas.  

Esta área se dedica al análisis, el registro y la generación de informes sobre los accesos de los usuarios y actividades relacionadas con la seguridad. De este modo, se refuerza la protección del sistema y se cumplen las regulaciones aplicables, como CPRA, HIPAA, PCI DSS y RGPD.  

Tecnologías y herramientas de IAM  

Cada uno de estos pilares y componentes de la IAM necesita tecnologías y herramientas para llevar a cabo su misión.  

Soluciones de inicio de sesión único (SSO)  

La tecnología de inicio de sesión único permite a los usuarios acceder a varias aplicaciones con unas únicas credenciales. La experiencia es mucho más práctica para el usuario, ya que tiene que recordar menos contraseñas, y la seguridad también mejora.  

Autenticación multifactor (MFA)  

Con la autenticación multifactor, los usuarios tienen que verificar su identidad con dos factores o más para poder acceder a un sistema. No es suficiente con introducir una contraseña para iniciar sesión, se necesita una prueba más de la identidad. Entre los factores más utilizados, encontramos:  

• Algo que sabes: contraseña o PIN.  
• Algo que tienes: token de seguridad o smartphone. 
• Algo que eres: verificación biométrica, como huella dactilar o reconocimiento facial.  

La MFA aporta una capa más de seguridad, que dificulta el acceso a los usuarios no autorizados.  

La autenticación basada en certificados es un mecanismo de seguridad que utiliza certificados digitales para verificar la identidad de dispositivos o usuarios, de forma que solo aquellos con autorización tengan acceso a una red o servicio. Entre las autoridades de certificación (CA) que generan certificados SSL/TLS para reforzar la seguridad de las comunicaciones por Internet se cuentan DigiCert, Synamtec, GlobalSign, GoDaddy y Entrust.  

Gestión de accesos con privilegios (PAM)  

La gestión del acceso con privilegios tiene por objetivo supervisar y controlar el acceso a sistemas y datos críticos por parte de usuarios con privilegios, como los administradores. Las solución PAM pretenden impedir un uso inadecuado de las cuentas con privilegios y también restringir el acceso a los datos delicados únicamente a las personas con la autorización necesaria.  

Cómo complementa una herramienta de gestión de contraseñas la IAM 

Las herramientas de gestión de contraseñas, como LastPass, tienen un papel clave a la hora de implantar soluciones de IAM. Las contraseñas siguen siendo una de las opciones más habituales para autenticarse en determinados sistemas y aplicaciones, y estas herramientas ayudan a gestionar y guardar las contraseñas de forma segura y según las prácticas recomendadas. Al integrarse en sistemas de IAM, los gestores de contraseñas pueden: 

• Simplificar la gestión de contraseñas: genere automáticamente contraseñas seguras y únicas para cada cuenta. Defina los requisitos mínimos que deben cumplir las contraseñas en una política de seguridad aplicable a toda la organización.  
• Reducir las frustraciones relacionadas con las contraseñas: dos tercios (66%) de los usuarios utilizan la misma contraseña o una muy similar en varias cuentas, por lo que es suficiente con conocer una única contraseña de un usuario para acceder a muchas de sus cuentas, cada una con datos de gran valor. Con los gestores de contraseñas, se reduce a la mínima expresión la necesidad de recordar contraseñas. 
• Reforzar la seguridad: evite los ataques que usan las contraseñas para acceder a su organización. Guarde las contraseñas en una bóveda cifrada para minimizar los riesgos. 

Implementar la IAM en una empresa  

Prácticas recomendadas para la implementación  

En cada empresa la gestión de identidades y accesos, también conocida como identity management, será diferente. Sin embargo, estas prácticas recomendadas son un buen punto de partida para todas:  

• Realice una evaluación de los riesgos: identifique y analice los riesgos para decidir en qué áreas es prioritaria la implementación de la IAM. Empiece por los sistemas más críticos para su empresa.   
• Defina unas políticas claras: no deje lugar a dudas al establecer las políticas y los procedimientos de gestión de identidades y accesos. ¿Qué mecanismos de control de acceso usará y por qué?  
• Use una autenticación avanzada: la autenticación es uno de los primeros pasos del acceso. Lo recomendable es usar la MFA u otros métodos de autenticación seguros. El entorno de IAM permite usar varias capas de autenticación para reforzar la seguridad de los accesos.  
• Revise periódicamente los derechos de acceso: en seguridad no hay nada que dure para siempre. Revise y actualice los derechos de acceso cada cierto tiempo para asegurarse de que son los correctos.  
• Consideraciones para la escalabilidad y la flexibilidad a largo plazo: las soluciones de IAM deben integrarse en los sistemas y aplicaciones que ya tiene. Además, deben ser capaces de adaptarse a las nuevas necesidades en materia de seguridad y a los procesos de su empresa. 

Desafíos y posibles soluciones  

Como todo lo que tiene que ver con la ciberseguridad, la IAM puede presentar varios desafíos. Aquí detallamos algunos:  

• Complejidad: gestionar identidades y accesos en diferentes sistemas puede ser complicado.  
• Solución: utilice herramientas de IAM centralizadas y la automatización para simplificar la gestión.  

• Resistencia de los usuarios: los empleados pueden resistirse a cambios en los procesos de gestión del acceso.   
• Solución: promueva una cultura de la seguridad desde arriba. Ofrezca formación y comunique las ventajas de la IAM a los usuarios.  

• Problemas de integración: integrar la IAM con sus sistemas actuales puede ser difícil.   
• Solución: elija soluciones de IAM con contrastadas opciones de integración. LastPass cuenta con numerosas integraciones listas para usar con proveedores de servicios.   

Riesgos de la IAM 

Vulnerabilidades habituales en sistemas de IAM 

IAM es un entorno de seguridad avanzado, pero hay que tener en cuenta algunas vulnerabilidades al implementar las políticas, las herramientas y los procedimientos necesarios.  

• Contraseñas poco seguras: las contraseñas forman parte de la gestión de identidades y accesos, por lo que sin una contraseña segura el sistema se tambalea. A veces los usuarios crean contraseñas débiles que son fáciles de adivinar.  
• Solución: utilice un gestor de contraseñas para aplicar políticas avanzadas en esta área y añada la MFA para reforzar la seguridad.   

• Amenazas internas: algunos empleados con un acceso legítimo pueden hacer un uso incorrecto de sus privilegios. 
• Solución: PAM y revisión periódica de los derechos de acceso. Otra buena estrategia para reducir este tipo de amenazas es comprobar los antecedentes de los empleados con acceso a información delicada.  

• Cuentas huérfanas: los ciberdelincuentes pueden aprovechar las cuentas que no se han desactivado cuando un usuario ha abandonado la organización.  
• Solución: cree procesos detallados para el desaprovisionamiento del acceso de los usuarios. Establezca mecanismos de coordinación con el departamento de Recursos Humanos para revisar las listas de empleados cada cierto tiempo.  

• Transmisión no cifrada de información delicada: es fácil interceptar información de IAM confidencial cuando se transmite por canales no seguros.  
• Solución: utilice métodos de cifrado seguros siempre que sea posible para proteger la información y las comunicaciones delicadas.  

Protección de la infraestructura de IAM 

Para garantizar la seguridad de su infraestructura de IAM a largo plazo, las organizaciones deberían:  

• Actualizar periódicamente los sistemas: instale los últimos parches de seguridad en sus sistemas y software de IAM. Instaure una rutina para comprobar si hay actualizaciones de software. El objetivo no es solo disponer de las últimas funciones, sino sobre todo atajar las vulnerabilidades conocidas.   

• Realizar auditorías de seguridad: poner en marcha las medidas de seguridad necesarias es solo el primer paso. Es imprescindible analizar los sistemas de IAM periódicamente para identificar y solucionar posibles vulnerabilidades.  

Invertir en IAM no funciona si se hace solo para cumplir el expediente. Da resultados cuando nos implicamos a reforzar la seguridad y la resiliencia en una apuesta de largo recorrido. La gestión de identidades y accesos es una de las bases de cualquier estrategia avanzada de ciberseguridad que pretenda mejorar la seguridad, agilizar la gestión de los accesos y cumplir con las regulaciones. LastPass cuenta con potentes herramientas de IAM diseñadas para ayudar a las organizaciones a proteger su información, reducir la carga del equipo de TI y facilitar el trabajo híbrido y distribuido. Solicite su prueba gratuita de LastPass aquí.