La identidad es la moneda fundamental en cualquier transacción tecnológica, por lo que debemos tratar los activos no humanos con el mismo cuidado que aplicamos a las personas. En un entorno donde las identidades no humanas (NHIs) superan con creces en número a las humanas, es imprescindible adoptar una visión de gestión integral que abarque estos activos digitales en todas sus formas.

Las NHIs incluyen máquinas, procesos, servicios, cuentas, cargas de trabajo virtualizadas y aplicaciones que reciben credenciales digitales. Pensemos, por ejemplo, en un chatbot de soporte en tu sitio web favorito. Su funcionamiento seguro depende de prácticas sólidas de autenticación, autorización y supervisión que hoy deben extenderse más allá de las identidades humanas.

La gestión de NHIs plantea un desafío para CIOs, expertos en identidad y CISOs: no es solo una cuestión de control, sino de comprender el contexto en el que operan estas entidades. Esto recuerda a una etapa previa de la gestión de acceso e identidad (IAM), pero ahora debemos ampliar el foco para abarcar no solo a las personas, sino a toda una economía de identidades digitales.

Hoy es necesario considerar la identidad no humana con el mismo rigor con que se gestiona la identidad humana. Al contratar, onboarding y gestionar personal, imponemos controles, hacemos seguimiento de permisos y, sobre todo, aseguramos la cultura organizacional y las políticas de seguridad. De igual modo, debemos aplicar controles contextuales y basados en tareas a las NHIs para entender quién o qué está accediendo a qué, cuándo y por qué.

Un caso urgente donde el contexto es rey

Sin este cambio, los CIOs y otros líderes carecerán de una base para entender de dónde provienen los riesgos y qué medidas deben tomar. Se necesita una plataforma central y visible para ver qué existe y qué está ocurriendo. El IAM tradicional, centrado en el cumplimiento y en modelos estáticos de permisos, ya no basta para ofrecer esa visibilidad.

El IAM clásico nació en un entorno regulatorio concreto y frente a escándalos de gobernanza, pero hoy las identidades son más diversas y dinámicas. No basta con auditar cada seis meses; hace falta una visión holística que abarque todos los tipos de identidad que coexisten en el ecosistema digital y su conexión con aplicaciones y datos.

Controlar el inventario humano y no humano significa garantizar que haya visibilidad sobre las NHIs y sus acciones. El contexto es rey. Se deben considerar constructos de NHI que puedan tocar cualquier elemento del ecosistema digital, especialmente datos y conectividad subyacente a aplicaciones. Es esencial reconocer la verdad de un lema contemporáneo: la identidad es la moneda fundamental en cualquier transacción tecnológica.

Todo debe cubrirse: bots, service principals, endpoints de IoT, cargas de trabajo abandonadas, agentes autónomos y agentes que se comunican con otros agentes. Comience planteándose una pregunta amplia: ¿estas NHIs utilizan una identidad humana cuando realizan tareas en nombre de esa persona, y es eso apropiado?

A partir de ahí, se pueden abordar áreas prácticas como la prevención del uso indebido de credenciales entre agentes, la mejora de la higiene digital y de identidad al detectar riesgos asociados a tokens que no expiran, y el análisis de los niveles de acceso a API de manera just-in-time.

La Gestión de Postura de Seguridad de Identidad (ISPM, por sus siglas en inglés) resulta útil para que las organizaciones sepan qué poseen y unan los constructos de identidad. Sin embargo, no debe verse como un proceso de descubrimiento único; es una trayectoria de CI/CD hacia una mejora continua.

En la era de la IA, un inventario tecnológico holístico no puede basarse en CMDB estático, sino que debe ser dinámico y estar basado en marcos de control de pipelines CI/CD que permitan visualizar y segmentar datos y activos según quién los usa y desde dónde.

Piénsalo como una oportunidad…

Es una tarea compleja y todos estamos ocupados. Sin embargo, debemos detenernos a pensar cómo este punto de inflexión puede transformarse en algo positivo. Es una oportunidad para que los equipos de seguridad e identidad cuestionen los constructos que pueden aplicarse a las identidades no humanas.

Deberían preguntarse qué debe añadirse a los marcos IAM heredados para tener éxito. Y la respuesta suele ser reemplazarlos por sistemas diseñados para la era actual, no para la anterior.

Al proporcionar estos nuevos controles, el equipo de identidad ganará reconocimiento y credibilidad. Los líderes de identidad obtendrán elogios por su capacidad de atribuir calificaciones de riesgo basadas en analíticas de comportamiento y función empresarial.

Al mostrar dónde se sitúan los datos, hacia dónde se mueven y cómo la identidad soporta ese flujo, los líderes de identidad pueden entregar análisis cualitativos y cuantitativos de procesos. En algunos casos de superación de prácticas recomendadas, también pueden contribuir a la mejora de procesos empresariales mediante una plataforma que informa sobre priorización y gestión presupuestaria.

Este artículo se enmarca en TechRadar Pro Perspectives, una iniciativa para presentar las ideas de las mentes más brillantes de la industria tecnológica.

Las opiniones expresadas aquí son de la(s) autora(s) y no necesariamente coincide(n) con las de TechRadar Pro o Future plc. Si estás interesado en contribuir, consulta aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/f0Nglwz
via IFTTT IA