Proteger el acceso a los activos fundamentales

Objetivos de aprendizaje

Después de completar esta unidad, podrá:

• Explicar la importancia de implementar una gestión eficaz de identidades y accesos.
  
• Describir los principios básicos de seguridad para gestionar el acceso de usuarios con privilegios.
  

Implementar una gestión eficaz de identidades y accesos

Como directivos, es importante identificar los activos de misión crítica de su organización, así como quién tiene acceso a ellos y qué amenazas pueden plantear. Una vez que haya considerado todos los usuarios internos y externos, se debe asegurar de que sus sistemas de TI protegen la forma en que esos usuarios acceden a los activos más críticos de la organización. Al igual que los controles de acceso físico gestionan quién entra en su organización y limitan el acceso a las áreas sensibles, unos sistemas sólidos de gestión de identidades y accesos controlan el acceso a los activos tecnológicos más críticos de su organización. 

No todos los accesos de usuarios se crean igual. Es una buena idea aplicar el principio de acceso de menor privilegio, lo que significa que a los usuarios solo se les concede acceso a los recursos que necesitan para hacer su trabajo. Por ejemplo, un ingeniero de proyectos no necesita acceder a los datos financieros de una organización. La creación de un sistema de gestión de identidades y accesos eficaz empieza por disponer de una referencia única y fiable de todos los usuarios y sus funciones dentro de una organización. Es esencial disponer de procesos y sistemas automatizados para garantizar los derechos de acceso adecuados, incluida la finalización del acceso cuando un empleado abandona la empresa o al término de un proyecto o compromiso.

Gestión del acceso de usuarios con privilegios

Una cuenta privilegiada permite a un usuario realizar funciones administrativas que un usuario sin privilegios no necesitaría realizar, como cambiar configuraciones en dispositivos de red. Una gestión eficaz del acceso de usuarios con privilegios requiere un mecanismo de acceso por capas para que un usuario con privilegios pueda acceder a un sistema de misión crítica. Cada capa debe estar reforzada con un mecanismo diferente de autenticación de múltiples factores (MFA) basado en la confidencialidad de la información.

Por ejemplo, una administradora inicia sesión en una plataforma de software independiente mediante un nombre de usuario, una contraseña y un token de autenticación enviados a su teléfono móvil. A continuación, comprueba una contraseña administrativa para realizar una función como exportar datos de una base de datos confidencial. Esto eleva el nivel de seguridad más allá de los nombres de usuario y las contraseñas tradicionales. Gartner ofrece información sobre diversas herramientas disponibles para gestionar cuentas privilegiadas. 

Por último, los mecanismos completos de alerta y auditoría deberían ser un requisito obligatorio de todo sistema de gestión de identidades y accesos. Asimismo, la revisión periódica de los privilegios garantiza que los usuarios no tengan acceso a los recursos que ya no necesitan para hacer su trabajo, bien sea porque el proyecto finalizó, el usuario cambió de función o este abandonó la compañía. Estos pasos son tan importantes como el aprovisionamiento de acceso y se los suele descuidar.

Resumen

La creación de prácticas eficaces de gestión de identidades y accesos es clave para proteger los activos de misión crítica de su organización. En esta unidad, ha aprendido a identificar quién tiene acceso a su red y a los activos de datos asociados, la importancia de implementar tecnologías de autenticación sólidas, cómo aplicar el concepto de menor privilegio y cómo gestionar usuarios privilegiados. A continuación, veremos cómo protegerse contra una de las amenazas más comunes a las que se enfrentan los usuarios a diario: el phishing. 

Recursos

• Trailhead: Proteger activos y usuarios de red
  
• Sitio externo: Control de CIS 14: Acceso controlado en función de la necesidad de saber 
  
• Sitio externo: Departamento de Seguridad Nacional de los Estados Unidos: Proteger los activos críticos de la organización