El aumento de la transformación digital de las empresas en respuesta a la pandemia de coronavirus situó la gestión de identidades de máquinas en el centro del debate sobre la gestión de identidades y accesos (IAM). Con todas estas identidades que hay que gestionar, la situación podría deteriorarse fácilmente y volverse caótica a menos que puedas controlarla.
Una era disruptiva
2020 (y 2021 por lo que parece) son años altamente disruptivos, que afectarán a sociedades y empresas. En una batalla por la existencia, las organizaciones aceleraron sus iniciativas de transformación digital para adaptarse a las fuerzas cambiantes traídas por la pandemia. El grado y la velocidad de adopción de las tecnologías en la nube, los dispositivos conectados a IoT, los contenedores, los microservicios y los esquemas de trabajo remoto cambiaron, también, el panorama de la ciberseguridad.
Además de las tecnologías que permiten el acceso remoto a los datos y servicios corporativos, las empresas también mantienen una plétora de infraestructuras y modelos informáticos tradicionales in situ.
Este nivel de diversidad en las tecnologías utilizadas para respaldar los objetivos empresariales está creando quebraderos de cabeza en los equipos de seguridad que intentan proteger una amplia gama de perímetros, desde los puntos finales hasta las oficinas domésticas, desde RBAC hasta VPN, y desde aplicaciones SaaS de última generación hasta sistemas OT heredados. Los equipos de seguridad se están viendo desbordados al intentar averiguar cómo mantener el mismo nivel de seguridad en toda la empresa.
Necesitamos simplificar un mundo complejo
La protección de datos y aplicaciones es de suma importancia para las empresas y sus clientes, empleados y socios. Para abordar el problema del acceso seguro a estos activos corporativos, las organizaciones están desplegando una gran variedad de soluciones de seguridad. Estas soluciones de múltiples proveedores crean controles dispares, con distintas implementaciones, que ofrecen una gama de protecciones.
Sin embargo, esta diversidad crea más problemas que los que intenta resolver: interoperabilidad, dependencia de un proveedor, cumplimiento de la normativa, complejidad, aumento de los costes. Una única plataforma rara vez puede satisfacer todos los casos de uso empresarial y los requisitos de conformidad.
La complejidad es enemiga de la seguridad. Por lo tanto, es esencial cambiar este caótico panorama de la seguridad antes de que se convierta en una amenaza para la resiliencia de las empresas frente al aumento de los ciberataques contra los datos y las aplicaciones. La simplicidad ayudará a los equipos de seguridad a ofrecer una seguridad racionalizada, permitiendo una experiencia de usuario mejorada y evitando costosas configuraciones erróneas que conducen a fugas de datos y exposiciones.
La seguridad de acceso debe ser transparente, ofreciendo una experiencia fluida en todas las infraestructuras. Los controles de acceso deben ser un factor de productividad y no un factor de frustración que los empleados intenten eludir. Ya es hora de que un equivalente del "plano de control" de la red determine y aplique la seguridad de acceso en una amplia gama de puntos de acceso.
¿Qué es un "plano de control"?
Cloudflare define que "En redes, un plano es una concepción abstracta de dónde tienen lugar ciertos procesos". Existen dos planos en las redes, el plano de control y el plano de datos.
"El plano de control es la parte de una red que controla cómo se reenvían los paquetes de datos, es decir, cómo se envían los datos de un lugar a otro. A diferencia del plano de control, que determina cómo deben reenviarse los paquetes, el plano de datos reenvía realmente los paquetes", explica Cloudflare.
Una buena analogía para entender cómo cooperan los planos de control y los planos de datos son los semáforos que permiten gestionar el tráfico urbano. El plano de control son los semáforos, mientras que el plano de datos son los coches controlados por los semáforos.
La identidad artificial es el nuevo campo de batalla
Las identidades digitales (humanas y automáticas) ya se utilizan en las empresas para definir quién accede a qué y cómo. Empleados y clientes ya están familiarizados con el concepto de proporcionar una identidad para acceder a servicios y datos. En un entorno empresarial en el que todas las demás defensas del perímetro han quedado obsoletas, la identidad se perfila como el nuevo perímetro, el nuevo campo de batalla que hay que defender.
Por lo tanto, es esencial adoptar políticas y prácticas que permitan una seguridad de acceso flexible, sensible a los riesgos y adaptable, basada en la protección de estas identidades. Las identidades pueden adaptarse a diversas necesidades empresariales y casos de uso.
Aun así, debe abordarse con una mentalidad de confianza cero para eliminar todas las vulnerabilidades del pasado: contraseñas inseguras y fatiga de contraseñas y confianza "ciega". Las identidades digitales son el plano de control en el que deben invertir las empresas, pero también necesitan adoptar un enfoque bien planificado.
Cómo defender el campo de batalla de la identidad
El primer paso de su preparación debe ser invertir en tecnologías y soluciones centradas en la identidad que permitan a los equipos de seguridad tomar decisiones de seguridad basadas en el valor de la identidad. Las soluciones centradas en la identidad deben proteger no sólo sus servicios locales, sino cada vez más sus aplicaciones SaaS basadas en la nube. Proporcionar una gestión de identidades práctica y sólida en la nube es la mayor ventaja de su plano de control. Esto ayudará a su empresa a proteger los datos sensibles en la nube al tiempo que mantiene el cumplimiento de las normativas y estándares de seguridad y privacidad.
El segundo paso consiste en crear una única "fuente de confianza": un repositorio único y preciso para todas sus identidades. La eliminación de ambigüedades en su plano de control de identidades hace que su solución de seguridad sea fiable y autorizada.
Por otro lado, los enfoques y fuentes fragmentados añaden una complejidad innecesaria y aumentan el nivel de riesgo en sus decisiones de acceso. También es una práctica recomendada integrar la solución de identidad y acceso en sus procesos empresariales para alinear la seguridad con los objetivos empresariales y abordar el riesgo empresarial global.
Keyfactor es el plano de control de la identidad de su máquina
Una vez establecida la fuente única de confianza de identidad, tendrá que poner en funcionamiento su plano de control. No hay mejor manera de empezar que incorporando a sus trabajadores remotos y sus aplicaciones SaaS para ayudar a su empresa a adaptarse a esta nueva norma. Es igualmente importante proteger sus aplicaciones y servicios críticos locales y asegurarse de que sólo acceden a ellos las personas autorizadas.
Aquí es donde Keyfactor puede ayudar. Con Keyfactor, puede establecer un plano de control PKI y de automatización de certificados que proporcione la aplicación de políticas para cada identidad de máquina.
Con un marco establecido de automatización e integración del ciclo de vida de los certificados, Keyfactor puede controlar todos los certificados digitales a través de sus puntos finales globales. Tanto si necesita emitir certificados bajo demanda para autenticar cargas de trabajo en la nube, contenedores, microservicios, así como ingress y mTLS en arquitecturas de malla de servicios, Keyfactor proporciona un plano de confianza de certificados repetible y reutilizable en todas las identidades de máquina.
Keyfactor puede ser su compañero en su viaje en avión de control. Pida a nuestros expertos que le ayuden a navegar en aguas seguras.
