Para crecer, toda empresa, negocio u organización debe contar con un método sistemático para organizar a sus empleados o miembros. Hoy en día, ese método suele enmarcarse bajo la gestión de identidades y accesos (IAM), también conocida a veces como gestión de identidades, credenciales y accesos (ICAM). En ambos casos, el marco general describe cómo incorporar nuevos empleados a la organización y gestionar la sucesión y el desaprovisionamiento de cuentas cuando sea necesario.
Los elementos de la gestión de identidades y accesos se aplican a todas las empresas, sin importar su tamaño. Nunca es demasiado pronto para empezar a pensar en cómo una organización debe gestionar y mantener a sus empleados o miembros.
En este documento, exploramos los seis elementos principales de la gestión de identidades y accesos, y cómo puedes aplicarlos en tu organización.
Seis elementos de la gestión de identidades y accesos
En diversos informes del sector y de analistas, las áreas principales de la gestión de identidades y accesos incluyen
Gestión de contraseñas
Autenticación avanzada
Aprovisionamiento
Servicios de directorio
Inicio de sesión único
Auditoría, cumplimiento, gobernanza
Comienza con la gestión de contraseñas
Toda organización comienza con una o más personas, y tiene sentido empezar con la gestión de contraseñas y habilitar a los empleados desde el inicio.
Por ejemplo, incluso antes de que las personas comiencen a configurar nuevas cuentas, necesitan poder generar contraseñas largas y únicas para cada sitio web o servicio que necesiten. Un administrador de contraseñas con un generador de contraseñas integrado facilita esta tarea. Así, desde el primer día, los empleados se colocan en la mejor posición para tener éxito al mantener las cuentas separadas y seguras con contraseñas largas y únicas.
Agrega el uso compartido a la gestión de contraseñas para la colaboración en equipo
Una vez que las personas tienen un administrador de contraseñas para generar contraseñas largas y únicas, y conservarlas para acceder fácilmente, puedes avanzar hacia el uso compartido seguro de credenciales dentro de un equipo.
Los administradores de contraseñas orientados a empresas permiten gestionar organizaciones y compartir de forma segura y estructurada entre grupos de usuarios. Esos grupos pueden asignarse a distintas colecciones de elementos sensibles, como inicios de sesión de la empresa, tarjetas de crédito compartidas o contraseñas de wifi de la oficina.
Al establecer una plataforma cifrada de extremo a extremo para compartir de forma segura, toda organización sienta las bases adecuadas para la seguridad de sus empleados y de la empresa.
Incorpora autenticación avanzada
Con una contraseña larga, compleja, aleatoria y única para cada cuenta, los usuarios quedan en una posición sólida para mantenerse protegidos. Un paso aún más fuerte es agregar inicio de sesión en dos pasos, o autenticación de dos factores, tanto al inicio de sesión de tu administrador de contraseñas como a otros sitios web y servicios.
Con tu administrador de contraseñas, el inicio de sesión en dos pasos puede configurarse con aplicaciones de autenticación, claves de seguridad, correo electrónico o SMS. Ten en cuenta que, hoy en día, el SMS se considera uno de los métodos más susceptibles a ataques debido a la prevalencia del secuestro de SIM como estrategia de intrusión.
Sea cual sea el camino que elijan los usuarios, asegúrate de que todos comprendan las implicaciones del inicio de sesión en dos pasos, conserven una copia de los códigos de recuperación del inicio de sesión en dos pasos de los sitios web si se ofrecen, y tengan un método para hacer una copia de seguridad de las claves de autenticación proporcionadas durante el proceso de registro del inicio de sesión en dos pasos.
Usar un administrador de contraseñas con inicio de sesión en dos pasos integrado
Algunos administradores de contraseñas ofrecen autenticadores integrados. Esto brinda una gran comodidad a los usuarios, especialmente en entornos compartidos. Ahora los usuarios pueden compartir un inicio de sesión, incluida la secuencia de inicio de sesión en dos pasos, sin tener que preocuparse por llamarse o enviarse mensajes para averiguar el código secreto.
Por supuesto, algunos podrían preguntarse cuál es el sentido de incluir un paso de autenticación integrado en tu administrador de contraseñas, y si eso anula el valor de la autenticación. En última instancia, los usuarios tienen opciones, y los empleadores pueden educar sobre las prácticas recomendadas. Estas son las razones para adoptar un enfoque integrado
La caja fuerte de tu administrador de contraseñas debe tener su propio inicio de sesión en dos pasos mediante otro método. (Importante: no debes usar el autenticador integrado de tu administrador de contraseñas para proteger tu cuenta del administrador de contraseñas). Por lo tanto, tu caja fuerte y tus cuentas están protegidas actualmente con un alto nivel de seguridad y, de hecho, con inicio de sesión en dos pasos.
Tener habilitado el inicio de sesión en dos pasos para sitios web y aplicaciones brinda más seguridad que no tenerlo habilitado. Una integración más estrecha del inicio de sesión en dos pasos hace que sea más fácil usarlo con mayor frecuencia, lo que promueve mejores prácticas de seguridad.
Si necesitas compartir un elemento, puedes compartirlo con el inicio de sesión en dos pasos habilitado, lo que, nuevamente, promueve una mejor seguridad. Es una jugada maestra para la colaboración y el inicio de sesión en dos pasos.
No necesitas recordar qué aplicación de autenticación usaste, ya que permanece integrada.
Siempre puedes elegir, de forma individual, qué inicio de sesión autenticar internamente dentro del autenticador de tu administrador de contraseñas, o externamente mediante una aplicación de autenticación independiente.
Evolución hacia un futuro sin contraseñas
A medida que el mundo avanza hacia un modelo sin contraseñas, asegúrate de que tu administrador de contraseñas y tu estrategia general de gestión de identidades y accesos incluyan opciones sin contraseña. Por ejemplo:
Asegúrate de poder iniciar sesión en dispositivos con biometría, así como habilitar funciones de autocompletado de credenciales con biometría
Para el inicio de sesión único, que también se analiza más adelante, explora opciones que ofrezcan experiencias sin contraseña
Considera el uso de claves de seguridad en toda tu organización
Al implementar claves de seguridad, ten en cuenta opciones redundantes, así como procedimientos de respaldo y recuperación si las claves se extravían o si están vinculadas a cuentas de usuario críticas para la empresa
Por ejemplo, podría ser útil que un empleado indique la ubicación de cualquier clave de seguridad de respaldo en su caja fuerte de administración de contraseñas, disponible para verse solo en caso de toma de control de la cuenta y acceso de emergencia
Aprovisionamiento para el éxito
Cuanto más rápido se integren los empleados a una nueva empresa, más rápido podrán ser productivos y contribuir al éxito. Como era de esperarse, el aprovisionamiento ocupa una gran parte del presupuesto de gestión de identidades y accesos, pero sigue distribuido entre varios sistemas y herramientas.
Las empresas suelen personalizar sus procesos de incorporación en función de los sistemas principales que tienen implementados, como correo electrónico, mensajería, servicios de directorio e inicio de sesión único, que se analizará con más detalle en breve.
Para facilitar la mejor experiencia de incorporación para los empleados y garantizar que el administrador de contraseñas encaje en un marco general, busca administradores de contraseñas que ofrezcan
Una interfaz de programación de aplicaciones (API) robusta para integrarse con sistemas existentes
Una interfaz de línea de comandos completa que permita crear scripts para procesos personalizados
La capacidad de integrarse con sistemas existentes de gestión de identidades y accesos, como
Servicios de directorio
Inicio de sesión único
Auditoría e inicios de sesión
Servicios de directorio para organizar grupos
Las empresas más grandes suelen implementar servicios de directorio para mantener a los empleados organizados por departamento. Por ejemplo, puede haber grupos basados en ventas, marketing, ingeniería, TI y finanzas. Estos servicios de directorio existentes ofrecen una forma de organizar a los empleados por función, agregar rápidamente nuevos empleados a los grupos adecuados y desaprovisionar cuentas cuando sea necesario.
Los administradores de contraseñas de nivel empresarial se integran con servicios de directorio para organizar grupos de usuarios dentro de la caja fuerte de la organización de administración de contraseñas. Si un grupo de empleados de finanzas tiene acceso a un conjunto específico de credenciales de servicios fiscales, un nuevo miembro de ese grupo obtendrá acceso automáticamente a esas credenciales.
Algunas empresas también usan grupos de directorio para facilitar equipos ad hoc. Por ejemplo, puede formarse un equipo especial interdepartamental en torno a una nueva iniciativa de negocio. El equipo puede solicitar un grupo propio de administración de contraseñas. Con la integración de directorio, este nuevo equipo especial puede sincronizarse con la aplicación de administración de contraseñas y habilitar rápidamente un conjunto de credenciales seguras.
Inicio de sesión con SSO para acceso unificado
Con el auge de las aplicaciones de software como servicio (SaaS), muchas empresas aprovecharon el inicio de sesión único para habilitar el acceso unificado a cuentas de sitios web. Por supuesto, el inicio de sesión único requiere que el sitio web o servicio tenga esa función disponible. Aunque muchos sitios web dirigidos a empresas ofrecen inicio de sesión único, aún existe una gran cantidad de sitios web y servicios que no lo hacen. Un administrador de contraseñas cubre esa brecha y mucho más.
Algunos administradores de contraseñas también pueden integrarse con el inicio de sesión único, lo que permite a las empresas aprovisionar usuarios automáticamente en una organización.
Por supuesto, una aplicación cifrada de extremo a extremo como un administrador de contraseñas es un poco diferente de un servicio SaaS típico. Dado que el modelo de seguridad de un administrador de contraseñas con cifrado de conocimiento cero garantiza que el proveedor no pueda ver nada dentro de tu caja fuerte, el contexto del inicio de sesión único adquiere un matiz diferente.
La premisa fundamental de un administrador de contraseñas es que el usuario final posee la clave para cifrar y descifrar sus datos. El administrador de contraseñas no conoce la clave y no puede proporcionársela al usuario si se pierde. Del mismo modo, un administrador de contraseñas no puede simplemente entregar a ciegas la clave de descifrado de un usuario final a otro servicio de terceros (como un proveedor de identidad) y confiar en que ese otro proveedor mantendrá la clave segura.
Teniendo esto en cuenta, un modelo seguro para integrarse con proveedores de identidad existentes permite la autenticación mediante el proveedor de identidad, pero conserva el cifrado y descifrado con una contraseña maestra que mantiene el usuario, específica para el administrador de contraseñas. Esto garantiza que ningún tercero tenga acceso para descifrar la caja fuerte del usuario final. También significa que la contraseña maestra de cifrado y descifrado debe ser única para el administrador de contraseñas.
Este enfoque también garantiza que los usuarios puedan beneficiarse de cada aplicación cliente que ofrece el administrador de contraseñas en navegadores, sistemas operativos móviles, sistemas operativos de escritorio, acceso web e interfaces de línea de comandos.
Auditoría para cumplimiento y gobernanza
A mayor escala, las empresas necesitan monitorear sus sistemas, incluido el acceso y uso por parte de los empleados. Con frecuencia, las empresas implementan soluciones de registro y auditoría como receptoras de información de diversas fuentes. Entre los sistemas empresariales populares de registro y análisis se incluyen Splunk, junto con Kibana de Elastic.
Los sistemas robustos de administración de contraseñas proporcionan la información de registro mediante interfaces de programación de aplicaciones (API) que pueden alimentar los sistemas de registro existentes. Esto ofrece
Un único lugar para que los equipos de TI y seguridad recopilen información
La capacidad de correlacionar eventos entre un administrador de contraseñas y otros elementos de un enfoque general de gestión de identidades y accesos
La opción de integrarse con las alertas existentes
Entrega de una solución integrada de gestión de identidades y accesos
Las empresas tienen opciones al implementar la combinación adecuada de herramientas de gestión de identidades y accesos, y pueden expandirse a medida que crecen. Independientemente del punto del recorrido en el que te encuentres, todas las empresas deberían capacitar a los empleados para gestionar credenciales de forma segura, generar contraseñas largas y aleatorias cuando sea necesario y facilitar el uso compartido cifrado de extremo a extremo para información confidencial.
Para llevar estas capacidades a tu propia empresa, comienza con una prueba empresarial gratuita de Bitwarden hoy mismo.