Por primera vez, Gartner ha elaborado un informe Hype Cycle para uno de los ámbitos emergentes más importantes de la ciberseguridad: la identidad digital.
Los Hype Cycles de Gartner ofrecen una representación gráfica de la madurez y adopción de tecnologías y aplicaciones, y de su relevancia potencial para resolver problemas empresariales reales y explotar nuevas oportunidades.
"Las tecnologías transformacionales cubiertas en este Hype Cycle giran en torno a tecnologías que establecen, intermedian y gestionan la confianza en las identidades digitales, al tiempo que permiten a los usuarios "poseer" su identidad digital." Creemos que la comprensión de estas herramientas emergentes y establecidas puede ayudar a los líderes de seguridad a lograr una mayor flexibilidad, agilidad y cobertura de riesgos en todo el panorama de la identidad digital.
Para nosotros, las tendencias observadas en el Hype Cycle de Gartner para la identidad digital forman parte de una conversación más amplia en el ámbito de la gestión del acceso a la identidad (IAM). Los marcos de IAM dictan los procesos del sistema a través de los cuales se identifican los individuos y las máquinas, se asignan y reconocen las funciones, se protegen los datos sensibles y se asignan los niveles de acceso.
Como afirma Gartner Hype Cycle for Digital Identity, "Debido a las ciberamenazas y a las leyes de privacidad, los líderes de seguridad y gestión de riesgos (SRM) deben apoyar casos de uso que permitan el negocio digital al tiempo que garantizan la protección de los datos." A continuación, nos centraremos en los puntos clave de dos áreas de la identidad digital mencionadas en el informe: Machine Identity Management y IoT authentication.
Gestión de identidades de máquinas y autenticación IoT
Las identidades de máquina son claves digitales, secretos y certificados que establecen la validez de las transacciones digitales.
La gestión de identidades de máquinas (MIM) se mencionó por primera vez en 2020 en el Gartner Hype Cycle for Identity Access Management y desde entonces ha ganado importancia como iniciativa de ciberseguridad. Aunque las organizaciones llevan mucho tiempo dando prioridad a la seguridad de las identidades de los usuarios humanos que acceden a los sistemas, a menudo carecen de una estrategia para validar las identidades de las máquinas en toda la empresa.
1. El enorme volumen de identidades de máquinas plantea una preocupación creciente a las organizaciones.
La definición de "máquina" se ha ampliado bastante, abarcando no sólo dispositivos como ordenadores portátiles y servidores, sino también API, algoritmos, aplicaciones, infraestructuras en la nube, contenedores y docenas más.
No es de extrañar que las identidades de máquina hayan crecido hasta superar a las identidades humanas en una proporción de 10 a 1, por término medio. Las pequeñas empresas necesitan miles de identidades automáticas, mientras que las empresas Global 500 necesitan millones.
Aunque las herramientas para establecer identidades digitales están bastante maduras, la gestión de estas identidades presenta un reto considerable, especialmente cuando se gestionan manualmente.
2. Los equipos de seguridad no siempre conocen bien las identidades de las máquinas.
Los ciberdelincuentes saben que las identidades automáticas son uno de los aspectos de la seguridad menos comprendidos, lo que las convierte en una de las vulnerabilidades favoritas para explotar. El nuevo malware dirigido a las vulnerabilidades de identidad de máquina va en aumento, al igual que el gran número de ataques de malware contra certificados. Estos ataques crecieron un 400 % de 2017 a 2021, y en 2020, el 50 % de los fallos de seguridad en la nube se debieron a una gestión inadecuada de las identidades y los permisos de las máquinas.
Según Gartner, "Las máquinas y los humanos tienen diferencias en sus requisitos cuando se trata de observabilidad, propiedad y automatización". Las organizaciones deben esforzarse por comprender estas diferencias para aplicar eficazmente sus estrategias.
3. IoT se ha convertido en la próxima ola del MIM.
Los productos conectados presentan un caso de uso y un entorno totalmente nuevos para el MIM, ya que aportan las ventajas de la infraestructura digital a los procesos físicos, lo que genera datos de producción en tiempo real, avisa a los operarios de las próximas necesidades de mantenimiento, realiza un seguimiento de los activos, etc.
Según Gartner, "estos dispositivos conectados tienden un puente entre los mundos cibernético y físico, y abren nuevos vectores de amenaza". Creemos que una estrategia sólida de MIM será clave para prevenir las violaciones de la privacidad en sectores de alto nivel de gobernanza, como el financiero y el sanitario. Esto ayudará a protegerse contra ataques a "dispositivos industriales que provocan impactos operativos y, potencialmente, eventos catastróficos en áreas de producción críticas para la seguridad."
IoT presentan exigencias y retos únicos tanto en términos de conformidad como de diseño. Aunque la esfera pública ha avanzado en la definición de enfoques para la autenticación en IoT , aún queda mucho trabajo por hacer. Según Gartner, "la mayoría de los sistemas IIoT son autónomos y utilizan medios propietarios nativos para la autenticación". Además, "algunos métodos de autenticación no son buenos candidatos debido a que ciertos dispositivos de IoT tienen recursos o funciones limitados, con escasa potencia informática y una capacidad de almacenamiento seguro limitada", sugiere Gartner. "Evalúe y adopte marcos de autenticación que soporten la gama de tipos de dispositivos a través de los reinos IoT en funcionamiento".
4. La infraestructura de apoyo en torno a las identidades de las máquinas aún no se ha consolidado.
Además de una mayor variedad y volumen de máquinas, los casos de uso entre las distintas unidades de negocio y departamentos también difieren. Este uso generalizado requiere un conjunto de normas centralizadas para mantener la alineación de MIM en toda la organización, al tiempo que se permite a los departamentos la flexibilidad necesaria para aplicar MIM de forma adecuada a sus contextos únicos.
Sin embargo, los marcos y la gobernanza que apoyan las mejores prácticas en MIM aún están surgiendo. El Hype Cycle identifica un problema del "huevo y la gallina", en "Las aplicaciones objetivo esperan a ver si un estándar despega y los vendedores de IAM esperan un amplio apoyo en sus aplicaciones objetivo."
Según Gartner, "sólo existe una convergencia parcial de las herramientas. Muchas de ellas tienen enfoques diferentes en cuanto a interfaces de usuario, integraciones, detección, capacidad de elaboración de informes, alcance y latencia. Esto se traduce en una estrategia basada en el uso de múltiples herramientas". Gartner sugiere: "Determine la interdependencia general de las identidades de máquina estableciendo procesos de descubrimiento. Evalúe una combinación de múltiples herramientas que puedan proporcionar una observabilidad continua de las máquinas en su entorno híbrido y multicloud."
Las nuevas plataformas y modelos de servicio MIM están facilitando a las organizaciones la gestión de las identidades de las máquinas y la infraestructura de clave pública. Estas plataformas centralizadas proporcionan un centro para el estado de MIM en toda la empresa y preparan el terreno para la automatización. También crean eficiencias de costes. En el pasado, cada unidad de negocio que gestionaba identidades de máquinas necesitaba su propia autoridad de certificación (CA), y cada CA necesitaba su propio servidor. Las plataformas MIM modernas pueden alojar varias CA en un servidor. Estas ofertas vienen preempaquetadas con bases de datos e integraciones, lo que permite a los usuarios evitar la sobrecarga de los proveedores. Las ofertas de PKI como servicio permiten a las organizaciones externalizar completamente la MIM mediante un eficaz modelo de suscripción SaaS.
5. MIM es fundamental para agilizar los flujos de trabajo en las operaciones de diseño, desarrollo y seguridad.
Los procesos ágiles y DevOps emplean en gran medida sistemas en la nube y otras plataformas descentralizadas para facilitar el desarrollo iterativo y los bucles de retroalimentación rápida. Desde el punto de vista de la seguridad, esto significa una mayor velocidad de las solicitudes y transacciones digitales que deben protegerse sin convertirse en un cuello de botella.
Las fases de seguridad, pruebas y conformidad de software suelen considerarse obstáculos para la agilidad y la innovación. Pero la tendencia del "giro a la izquierda" redefine estas fases engorrosas como aceleradores al incorporar a las partes interesadas en la seguridad, las pruebas y el cumplimiento a la conversación sobre el diseño en las primeras etapas, un enfoque conocido como DevSecOps. Con las herramientas adecuadas, creemos que los principios clave de DevOps, como la automatización, pueden ampliarse a la seguridad y la MIM.
6. El MIM sienta las bases de la confianza cero.
Zero Trust es el último movimiento en seguridad empresarial. Tradicionalmente, una vez que un usuario o máquina atraviesa el cortafuegos, se considera "de confianza" y puede moverse lateralmente, sin control, por el entorno de sistemas. Un enfoque de confianza cero verifica cada solicitud como si procediera de una red abierta y no segura.
Zero Trust es una estrategia, no una herramienta. Para hacer posible esa estrategia sin ralentizar los procesos empresariales, las organizaciones deben disponer de la arquitectura y los marcos necesarios para gestionar eficazmente las identidades de las máquinas.
El futuro
Cuando se trata de identidades de máquinas, el tren ha salido de la estación. Los certificados y las claves ya están presentes en todas las empresas y forman parte integrante de cualquier infraestructura digital moderna.
Como empresa, es poco probable que su función principal sea crear un proceso MIM eficiente. Creemos que el método tradicional de gestión de identidades de máquinas es tedioso, manual y a menudo malinterpretado, y puede inhibir significativamente a su equipo de seguridad de centrarse en sus objetivos de más alto nivel.
El campo del MIM y su paraguas, el IAM, se han fragmentado en nuevos y apasionantes subcampos que posicionan al MIM no sólo como sostenible, sino como un valor añadido para su organización. Ahí es donde entra Keyfactor . Ayudamos a las organizaciones a recuperar el control y asegurar la identidad de cada máquina para que puedan centrarse en impulsar el valor empresarial. Permítanos mostrarle cómo nuestra plataforma basada en la nube facilita la gestión y protección de todas las claves y certificados de su empresa: programe una demostración para obtener más información.
Gartner, Hype Cycle for Digital Identity, 2022, Felix Gaehtgens, 25 de julio de 2022.
Gartner y Hype Cycle son marcas registradas y marcas de servicio de Gartner, Inc. y/o sus filiales en EE.UU. e internacionalmente y se utilizan aquí con permiso. Todos los derechos reservados. Gartner no respalda a ningún proveedor, producto o servicio descrito en sus publicaciones de investigación, y no aconseja a los usuarios de tecnología que seleccionen únicamente a aquellos proveedores con las calificaciones más altas u otra designación. Las publicaciones de investigación de Gartner consisten en las opiniones de la organización de investigación de Gartner y no deben interpretarse como declaraciones de hecho. Gartner renuncia a toda garantía, expresa o implícita, con respecto a esta investigación, incluyendo cualquier garantía de comerciabilidad o idoneidad para un propósito particular.
