La gestión de identidades de máquinas (MIM) es un componente esencial del programa de ciberseguridad de una organización. Las identidades de máquina vienen en forma de claves criptográficas y certificados digitales que se utilizan para identificar y conectar de forma segura prácticamente todo en la red de una organización: cargas de trabajo, servicios, dispositivos y más. Las empresas modernas de hoy en día dependen de miles de dispositivos y aplicaciones para llevar a cabo sus operaciones diarias. Al igual que los seres humanos que componen una organización, cada dispositivo necesita su propia identidad, y los equipos de seguridad deben gestionarla y protegerla adecuadamente.
El mayor reto a la hora de gestionar adecuadamente las identidades de las máquinas es que la vida útil de los certificados de confianza es de sólo 13 meses. Es comprensible que muchos equipos de TI no dispongan del tiempo o los recursos necesarios para realizar un seguimiento de cientos de miles de certificados en toda la organización. Sin embargo, cuando las identidades de máquina no se tratan como infraestructura crítica para la seguridad de una organización, éstas se enfrentan a el riesgo de interrupciones. Y en algunos casos, las interrupciones pueden causar daños irrefutables, no sólo a la empresa, sino también a la reputación de su marca.
Sin embargo, muchas organizaciones apenas se están dando cuenta de la necesidad esencial de gestionar la identidad de las máquinas. Pero, ¿por qué están empezando a preocuparse más las empresas? ¿Y está su organización donde tiene que estar, antes de que sea demasiado tarde?
En un episodio del Podcast de EM360el editor Matt Harris habló con Chris Hickman, Director de Seguridad de Keyfactor, sobre por qué las empresas están prestando más atención a la identidad de las máquinas y las tendencias que las organizaciones deben aprovechar ahora para prepararse para el futuro. Estos son algunos de los puntos más interesantes de la conversación.
¿Por qué cree que cada vez más empresas se centran en la identidad de las máquinas?
Chris Hickman: La mayoría de las organizaciones han pasado mucho tiempo y esfuerzo en la racionalización de sus identidades humanas. Pero ahora que entienden quiénes son las personas, cómo interactúan entre sí y cómo se autentican de forma segura, ha llegado el momento de empezar a estudiar la posibilidad de aplicar el mismo enfoque a las máquinas.
Varias iniciativas, como confianza cero y el paso a la nube, están acelerando la necesidad de las organizaciones de gestionar la identidad de las máquinas. Las organizaciones están adquiriendo un mayor conocimiento de la seguridad de los dispositivos que utilizan, de las comunicaciones entre estos dispositivos y de los sistemas frontend y backend asociados a ellos. Se están dando cuenta de que la identidad de máquina puede ser eficaz, eficiente y ágil desde el punto de vista del ciclo de vida y la gestión de incidentes.
¿Qué cambios están modificando la forma en que las organizaciones gestionan la identidad de las máquinas?
Chris: La identidad artificial ha pasado a primer plano porque las organizaciones están empezando a consolidar los distintos equipos que gestionan la identidad. Por ejemplo, PKI y certificados X.509 eran tradicionalmente el dominio de un grupo de seguridad particular. Pero cada vez más, vemos que las responsabilidades de la emisión de los certificados recaen en el equipo de gestión de identidades. Este cambio hacia la consolidación está impulsando la noción de que la identidad no es sólo cuestión de seguridad, y está haciendo que las empresas se planteen cómo gestionar de forma holística la identidad dentro de la empresa.
¿Cuáles son algunos de los retos que las empresas intentan afrontar en relación con la escalabilidad de su estado de gestión de identidades?
Chris: Lo que estamos viendo en común es que hay muy poca comprensión de dónde viven las credenciales y las identidades dentro de una empresa, por lo que no pueden averiguar la magnitud del problema. Las organizaciones se esfuerzan por responder a preguntas como:
- ¿Cuántos certificados tengo en mi empresa?
- ¿Cuántas claves SSH tengo?
- ¿Dónde viven los certificados?
- ¿Para qué sirven?
- ¿De dónde proceden?
- ¿Están los certificados a la altura de las normas vigentes?
- ¿Tienen asociado un buen protocolo de gestión del ciclo de vida?
Las respuestas a estas preguntas se complican a medida que una organización crece y utiliza más certificados. Según el informe anual de KeyfactorEstado de la gestión de identidades de máquinas el 70% de las organizaciones afirma que el aumento de claves y certificados ha incrementado la carga operativa. Las empresas están recurriendo a la automatización para aliviar esta carga y poder seguir haciendo crecer su negocio.
¿Qué medidas adopta Keyfactor para resolver los problemas de identidad de las máquinas de las organizaciones?
Chris: Comenzamos con un inventario completo de una organización para obtener visibilidad de la base del problema de identidad de la máquina. Después nos ocupamos de asignar la propiedad, crear grupos interfuncionales y definir a quién pertenecen las credenciales, porque una sola credencial puede tener varios propietarios. Por ejemplo, puede haber una credencial que represente un servidor web, pero en ese servidor web también hay una aplicación. Si el servidor se cae, la aplicación se caerá. Por lo tanto, la propiedad puede estar repartida entre varios equipos diferentes.
A continuación, adaptamos las políticas y prácticas a la nueva estructura para que esta forma de pensar forme parte de la cultura arraigada. Por último, pero no por ello menos importante, hay que automatizar. Una vez que la automatización está en marcha y no se renuevan y despliegan credenciales manualmente, la organización se encuentra en una posición mucho mejor para escalar y mantener la seguridad de la empresa.
¿Qué tendencias deben tener en cuenta ahora las empresas para prepararse para el futuro de la identidad automática?
Chris: Hay varias cosas en marcha en este momento, en particular con la evolución de la computación cuántica y la maduración de los estándares criptográficos. La computación cuántica se está convirtiendo en una realidad hasta el punto de que podría romper los algoritmos criptográficos existentes. Esta amenaza cuántica aún está evolucionando, pero pronto requerirá que las organizaciones cambien la forma en que se obtienen las identidades de las máquinas mediante criptografía. El riesgo potencial está impulsando un cambio en las normas y protocolos criptográficos para el que las organizaciones deben empezar a prepararse ya. De lo contrario, estarán en desventaja y expuestas a importantes riesgos de seguridad.
¿Tiene más preguntas sobre la identidad automática y lo que significa para su organización?
Más de mil empresas confían en Keyfactor para emitir, gestionar y proteger las identidades de máquinas en toda su empresa. La plataforma Keyfactor está diseñada para resolver sus necesidades actuales y futuras en materia de identidad de máquinas con PKI integrada, firma digital y gestión de identidad de máquinas.
Póngase en contacto con nosotros hoy mismo para obtener más información.
