¿Qué es la Gestión de Acceso Adaptativa?

La gestión de acceso adaptable ajusta el nivel de seguridad de acceso en función del riesgo evaluado en el momento del acceso. Mientras que una infraestructura de gestión de acceso madura ofrece la prestación de servicios con seguridad de autenticación y autorización, la gestión de acceso adaptable ajusta esas salvaguardias para que coincidan con el riesgo existente. Los criterios de decisión para estos ajustes incluyen información contextual como, por ejemplo, si los usuarios están accediendo a información muy sensible:

• Utilizar un dispositivo conocido o incluso gestionado
• Utilizando un dispositivo nunca visto
• Mientras esté dentro de una instalación segura
• Desde una ubicación remota dentro de un rango o área especificados
• Desde una distancia lejana o inesperada (rango IP, geolocalización, geofencing)

Se pueden deducir diferentes niveles de riesgo de cada una de estas situaciones enumeradas anteriormente. Que alguien acceda a información confidencial desde un dispositivo desconocido nunca visto desde un lugar lejano e inesperado es muy diferente a que acceda a esa misma información desde dentro de una instalación segura. Incluso el acceso desde una ubicación remota pero conocida o esperada entraña mucho menos riesgo, especialmente desde un dispositivo gestionado.

La familiaridad puede extenderse más allá del mero contexto. Un acceso inusual a la información puede indicar que el solicitante real no es el que se alegó en el momento de la autenticación. El aprendizaje automático del análisis del comportamiento puede utilizarse para identificar cuándo un solicitante (persona o proceso) está interactuando como se esperaba o se está desviando. En función del riesgo calculado, se puede interrumpir al solicitado para que responda a otro tipo de autenticación que refuerce su identidad declarada.

La diferencia definitoria entre la infraestructura de gestión de acceso adaptable actual y los controles de autenticación tradicionales basados en el riesgo que ganaron popularidad hace varios años es que la información contextual y de comportamiento del solicitante se recopila a lo largo de toda la sesión y no sólo cuando se realiza la solicitud inicial. Históricamente, el acceso basado en el riesgo establecía los requisitos de autenticación y autorización en función del contexto medido en el momento de la solicitud. La autenticación y autorización continuas consisten en la capacidad de medir el riesgo a lo largo de toda la sesión e invocar una acción a lo largo de la misma. Por ejemplo, el solicitante puede acceder a información más sensible más adelante en la sesión de lo que lo hizo inicialmente. O un motor de análisis del comportamiento puede calcular una calificación de baja confianza de la identidad del solicitante basándose en las interacciones y solicitudes. Cualquiera de ellos podría invocar la infraestructura de gestión de acceso para adaptarse al riesgo calculado.

¿Por qué están adoptando las organizaciones una infraestructura de gestión de acceso adaptable?

Los equipos de seguridad informática se dan cuenta cada vez más de que sus defensas tradicionales, como cortafuegos y políticas de acceso estáticas, no son muy eficaces contra las amenazas avanzadas de hoy en día. A pesar de las decenas de miles de millones de dólares invertidos en soluciones de seguridad, los índices de infracciones actuales son los mismos que hace una década. Y mientras estos índices de violaciones se mantienen obstinadamente altos, el coste de cada una de ellas sigue aumentando. Más allá de los crecientes costes de las violaciones, por separado, las organizaciones siguen consumiendo más servicios basados en la nube, relegando a la insignificancia el papel de sus cortafuegos. En los primeros años de la nube, cuando las organizaciones adquirían soluciones de servicios de infraestructura (IaaS) para descargar la gestión de los sistemas, era habitual que canalizaran las comunicaciones hacia ellos a través de sus cortafuegos. En otras palabras, IaaS era una extensión de su intranet. Hoy en día, a medida que las organizaciones continúan la transición de sus servicios internos a los de SaaS, ese enfoque es mucho menos común. En su lugar, los administradores utilizan tecnologías de federación para ampliar sus repositorios de identidades y derechos para los servicios en la nube que los soportan. Esencialmente, esto significa que la identidad es de hecho el nuevo perímetro.

Aunque algunas organizaciones mantienen su información más sensible en sus propias instalaciones, hoy en día es más habitual que se consuma desde un servicio basado en SaaS. El reto es que, sin la protección añadida de los cortafuegos, las políticas estáticas de gestión de accesos se quedan cortas. Aunque con las políticas de acceso es posible bloquear un entorno digital en un estado de alta seguridad, esto impone compromisos perjudiciales. Las políticas restrictivas frustran a los usuarios y merman su productividad. En el caso de los servicios B2C/B2B/G2C, las políticas restrictivas se convierten rápidamente en un inhibidor para el consumidor, empujándolo hacia ofertas de la competencia. A la inversa, los entornos que son demasiado fáciles de mover y consumir suelen ofrecer oportunidades de explotación a los malos actores. El mejor enfoque es el control de acceso dinámico, que permite a las organizaciones reducir la fricción cuando el riesgo es bajo y, al mismo tiempo, responder a las amenazas en el momento con mayor seguridad. Más allá del drástico cambio en la forma de crear y consumir información, el volumen de información sensible que debe protegerse es ahora enorme. La transformación digital de esta última década ha ampliado los tipos de información, incluida la regulada, que es a la vez digital y está conectada. La gestión de acceso adaptable permite que esta información permanezca conectada y segura.