Hacia una solución IAM paso a paso

Hoy en día, las empresas y las administraciones públicas no sólo procesan los datos internamente, sino que necesitan intercambiarlos con usuarios y socios externos. Para ello, deben abrirse los sistemas TI a clientes y colaboradores, lo cual, naturalmente, aumenta el riesgo de que los datos puedan pasar a manos de personas no autorizadas.

Autor: Redaccion - 3 Marzo, 2009

Josep Micolau es Director de Delivery Services en CA.

Hoy en día, las empresas y las administraciones públicas no sólo procesan los datos internamente, sino que necesitan intercambiarlos con usuarios y socios externos. Para ello, deben abrirse los sistemas TI a clientes y colaboradores, lo cual, naturalmente, aumenta el riesgo de que los datos puedan pasar a manos de personas no autorizadas.

Un sistema de gestión de identidades y accesos (IAM) es el centro de toda solución de seguridad TI. Identifica a los usuarios que trabajan en los sistemas TI, controla sus derechos de acceso para procesar datos y utilizar los recursos y evita los accesos no autorizados. Además, un sistema de gestión de identidades y accesos documenta con precisión qué derechos de acceso tiene cada usuario y quién le ha dado los permisos, además de hacer un seguimiento de lo que hace cada usuario, cuándo y con qué resultado. De este modo, la compañía siempre puede demostrar lo sucedido incluso en el peor de los escenarios.
Implementar una solución completa de gestión de identidades y accesos puede ser un proyecto largo y complejo. Por lo tanto, es aconsejable hacerlo gradualmente porque así se reducirá su riesgo y se obtendrá el retorno de la inversión más rápidamente. Tiene sentido empezar con los procesos que ofrecen los mayores beneficios o con los que suponen un mayor riesgo para la seguridad.

A modo de guía, una implementación paso a paso típica de una solución de gestión de identidades y accesos completa empezaría por una gestión básica de las contraseñas y terminaría con una sofisticada solución de gestión de identidades y accesos federados.

Paso 1: Gestionar las credenciales de los usuarios. Los problemas con las contraseñas son responsables de una buena parte de los incidentes que tratan los servicios técnicos y de los costes de soporte. Un sistema de gestión de contraseñas permite gestionar las cuentas de los usuarios de manera centralizada.

Paso 2: Gestión básica de identidades. Consiste en automatizar el proceso de conceder accesos a sistemas y recursos a los nuevos empleados. Se inicia en el departamento de recursos humanos e incluye unos procesos de aprobación definidos por el responsable de seguridad de la compañía. También garantiza que cuando el empleado deja la compañía se puedan suprimir sus derechos de acceso rápidamente.

Paso 3: Gestión basada en roles. Consiste en definir claramente qué derechos de acceso tienen los usuarios que realizan las diferentes funciones de negocio. El sistema de gestión de identidades y accesos automáticamente sincronizará los cambios en los derechos de acceso según cambien la responsabilidad y la función del usuario.

Paso 4: Gestión de identidades federadas. La gestión de las identidades va más allá de los sistemas internos para ofrecer a los empleados accesos tanto a recursos TI como no TI y para ofrecer acceso a los partners a través de una red de confianza federada.

Finalmente, recuerde que desarrollar una estrategia de gestión de identidades y accesos debe primero girar en torno al negocio, y en segundo lugar, en torno a la tecnología. La implementación de una solución de gestión de identidades y accesos debe considerarse un proyecto por fases, que será efectivo al máximo cuando se adopten las mejores prácticas y responda verdaderamente a las necesidades del negocio.