Por Mhicole A. Moral, Special Features and Content Writer

A medida que las organizaciones aceleran sus operaciones digitales, la identidad se ha convertido en una prioridad definitoria dentro de la ciberseguridad empresarial. Cada vez más, las empresas dependen de la gestión de identidad y acceso (IAM) para determinar quién puede acceder a información crítica, cuándo se concede ese acceso y cómo se supervisa de forma continua. El cambio se ha visto impulsado por la adopción generalizada de la nube y la proliferación de aplicaciones de software como servicio, que han ampliado de forma notable la cantidad de cuentas de usuario y rutas de acceso que los equipos de seguridad deben administrar.

Durante la tercera mesa redonda del BusinessWorld Cybersecurity Summit — titulada "Identity and Access Management in the Enterprise" — ejecutivos de tecnología examinaron por qué unos sistemas de identidad y acceso más sólidos se han vuelto indispensables para las organizaciones modernas.

Más allá de las contraseñas y la autenticación multifactor

Catherine Anne Paleracio, Chief Information Security Officer (CISO) de Tonik, señaló que el panorama de la identidad ha evolucionado junto con la creciente accesibilidad de los servicios digitales. Aunque antes las organizaciones se apoyaban en métodos de autenticación convencionales, el entorno actual de amenazas exige que los equipos de seguridad piensen mucho más allá de los nombres de usuario, las contraseñas y la autenticación multifactor.

"About 30% of attacks are credential-based," dijo Ms. Paleracio. "This calls for organizations to act according to the landscape that we're in right now, and it triggers us to think about a different strategy on how we're usually approaching IAM."

Jan Martin Encina, director of information security en Maya Philippines, Inc., subrayó que la gestión de identidad y acceso ha sido durante mucho tiempo una preocupación central para los profesionales de seguridad y auditoría, ya que controlar el acceso es la base de la protección de los recursos empresariales.

Aunque la gestión de accesos puede parecer rutinaria, Encina enfatizó que las organizaciones deben establecer prácticas sólidas para obtener beneficios que vayan mucho más allá de la reducción del riesgo cibernético.

"If an organization is able to get their IAM right, it serves as a very important value driver for that organization," señaló. "You're able to make your process a lot more efficient, and really be able to engage your employees."

Ese impacto empresarial ayuda a explicar por qué los adversarios suelen atacar las identidades antes de intentar ataques técnicamente más sofisticados.

"Access is like the first choice of our adversaries, simply because it's so basic that everyone has it," dijo Mr. Encina. "Before a threat actor attempts any sort of complicated, sophisticated exploit, they will try to gain access first. If you can get that password from that administrator, from that finance manager who can transfer funds, from someone who can escalate your privileges, there's nothing technical about that. It's all social engineering."

El desafío de los endpoints remotos

Mark Anthony P. Almodovar, executive director de Risk Services — Cybersecurity and Privacy en PwC Philippines, señaló que las organizaciones tuvieron que pasar de concentrar la seguridad dentro de las oficinas corporativas a proteger miles de endpoints remotos.

Durante la pandemia de COVID-19, por ejemplo, muchas empresas enviaron a los empleados a casa con computadoras de escritorio para que las operaciones pudieran continuar, lo que amplió de manera drástica la cantidad de entornos que los equipos de seguridad necesitaban proteger.

"The endpoint is actually tied up to an individual," explicó Mr. Almodovar. "So it's really hard as well to protect it. We still rely on the trust basis."

Indicó que las organizaciones suelen asumir que la persona que inicia sesión en una cuenta corporativa es el empleado autorizado, pero verificar esa suposición entre miles de usuarios cada día sigue siendo un desafío formidable.

Las personas: el eslabón más débil

Los avances en la seguridad empresarial también han transformado el comportamiento de los atacantes. A medida que las organizaciones reforzaron las defensas técnicas mediante mejores tecnologías y una mayor concienciación sobre seguridad, los actores maliciosos se desplazaron hacia el ataque a personas y credenciales.

"The weakest thing sometimes in the chain is not the process, it's not the technology, but it's really the people," explicó Mr. Encina. "Even if you have the most sophisticated security systems, if your admins are giving out their passwords, then just forget your multimillion-dollar investment in security."

Mr. Almodovar coincidió con esa visión y afirmó que el control de acceso sigue siendo el control de seguridad de la información más fundamental, porque a los atacantes les resulta más fácil manipular a las personas que derrotar a la tecnología.

"For the most part, people are still the most vulnerable," dijo. "At least, the technology is playing a good part in terms of enforcing people to use, to some extent, a more sophisticated authentication."

Ms. Paleracio agregó que las campañas de phishing siguen siendo uno de los vectores de ataque más simples y, a la vez, más efectivos, porque se aprovechan de personas que ya tienen acceso valioso. Los atacantes, dijo, probablemente se centren en administradores, proveedores y empleados con acceso a información crítica, ya que comprometer una cuenta de confianza puede abrir una ruta directa hacia los sistemas sin necesidad de exploits técnicos complejos.

Zero Trust como un proceso gradual

Aunque la identidad se ha convertido en el eje de la seguridad empresarial, los panelistas coincidieron en que implementar Zero Trust es un proceso gradual que depende tanto de la gobernanza y la alineación con el negocio como de la tecnología misma. El concepto, formalizado en la Special Publication 800-207 del U.S. National Institute of Standards and Technology, desplaza la seguridad desde la confianza implícita basada en la ubicación de la red hacia la verificación continua de cada solicitud de acceso.

Ms. Paleracio describió Zero Trust como un concepto de seguridad sólido, pero advirtió que llevarlo a las operaciones diarias requiere inversión sostenida y una planificación cuidadosa. Las organizaciones también difieren significativamente en su capacidad para adoptar el modelo, ya que la escala afecta directamente la complejidad. Una empresa más pequeña, por ejemplo, puede introducir controles de Zero Trust más rápidamente, mientras que las organizaciones con miles de empleados deben gestionar una red mucho más amplia de usuarios, sistemas y relaciones de acceso.

"The challenge is basically defining what you really need and limiting it based on the business needs," agregó Ms. Paleracio. "At the end of the day, it will be everyone's role, everyone's responsibility to have cybersecurity in place. We need to make sure we become enablers while we're putting up the security controls."

De igual manera, Mr. Encina enfatizó que Zero Trust no puede tener éxito sin la participación activa de todas las partes interesadas.

"Security is everybody's responsibility because Zero Trust can only be implemented if all of the stakeholders are actually doing it," señaló.

Advirtió que los controles de seguridad pierden eficacia cuando los empleados los eluden. Las políticas excesivamente restrictivas pueden empujar a los usuarios hacia dispositivos personales, aplicaciones de inteligencia artificial no autorizadas o tecnología no aprobada, lo que genera riesgos adicionales que las organizaciones no pueden supervisar ni controlar.

En lugar de imponer controles después de que los sistemas ya hayan sido construidos, Mr. Encina defendió integrar la seguridad en las etapas más tempranas del desarrollo mediante un enfoque secure-by-design. Las organizaciones, argumentó, deberían definir los requisitos de IAM antes de seleccionar o desplegar nuevas tecnologías. Los sistemas que no puedan integrarse con plataformas de identidad empresariales deben considerarse, desde el inicio, incapaces de cumplir con los requisitos del negocio, en lugar de aceptarse como excepciones de seguridad después del despliegue.

Respaldo ejecutivo y gobernanza

El apoyo de la alta dirección es igualmente crucial, según Mr. Almodovar, porque las políticas no pueden tener éxito sin un compromiso organizacional genuino. Recordó conversaciones con organizaciones que buscaban fortalecer las políticas de autenticación frente a la resistencia de ejecutivos de alto nivel que cuestionaban la necesidad de controles más fuertes después de años sin un incidente de seguridad. Esa reticencia, señaló, retrasa con frecuencia las inversiones en seguridad hasta que las organizaciones sufren pérdidas reales.

"Access control is the most basic and most fundamental control in information security," dijo Mr. Almodovar. "Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that's the time when they will start implementing it."

Los panelistas regresaron repetidamente al liderazgo y a la cultura organizacional como los factores decisivos para que los programas de seguridad funcionen. Debido a que cada empleado tiene cierto grado de acceso a sistemas, aplicaciones e información, cada persona contribuye a la postura general de seguridad de la organización.

"Every single person in the organization has access. Every single person in the organization has a role to play in your systems," dijo Mr. Encina.

Añadió que una gestión eficaz de identidad y acceso requiere patrocinio ejecutivo porque los programas de seguridad afectan simultáneamente a la tecnología, las operaciones del negocio y el comportamiento de los empleados. Sin apoyo visible por parte del liderazgo, las organizaciones suelen tener dificultades para establecer una gobernanza de identidad coherente entre los distintos departamentos.

También advirtió contra considerar los requisitos de cumplimiento como la única medida de seguridad.

"It's extremely dangerous to have people implement technology without having the right set of policies and governance," explicó. "But it's also ineffective to be all governance and not do anything about technology."

Por su parte, Mr. Almodovar subrayó que proteger a las organizaciones, en última instancia, significa proteger a las personas. Como muchos ciberdelincuentes aprovechan a individuos con escasa conciencia de ciberseguridad, los líderes deberían poner en marcha programas para controles más sólidos que vayan mucho más allá de las contraseñas y los PIN de un solo uso. Aun así, la tecnología no puede compensar unos malos hábitos de seguridad.

"Before implementing technology, the governance and management parts are still the first requirement," dijo Mr. Almodovar. "How can we secure something if we don't understand what we are trying to secure?"

Señaló que las organizaciones primero deben comprender con claridad sus activos, procesos de aprobación, responsabilidades de propiedad y estructuras de toma de decisiones antes de automatizar la gestión de identidades.

Los panelistas coincidieron por unanimidad en que las organizaciones deben comprender primero sus propios riesgos, sus adversarios más probables y el nivel de concienciación sobre seguridad en toda su fuerza laboral, en lugar de asumir que el cumplimiento normativo por sí solo ofrece una protección adecuada.