La seguridad empresarial comienza con la identidad

Con el surgimiento de la identidad como el nuevo perímetro, las empresas de hoy en día no pasan por alto su papel en el soporte de la transformación digital, la adopción de la nube y una fuerza laboral distribuida. De acuerdo a un su informe más reciente (se requiere registro), el 64 % de las partes interesadas en TI consideran que la gestión y la protección eficaces de las identidades digitales son la máxima prioridad (16 %) de su programa de seguridad o una de las tres principales (48 %). A pesar de esto, las empresas continúan luchando contra las infracciones relacionadas con la identidad: el 84 % de los profesionales de seguridad y TI informaron que su organización sufrió una infracción de este tipo el año pasado.

Obtener la aceptación de la seguridad centrada en la identidad es vital, pero defender la inversión en ciberseguridad no se trata de traficar con FUD (miedo, incertidumbre y duda). Empujar la identidad más allá de las discusiones estratégicas requiere la capacidad de demostrar el valor comercial, para mostrar cómo la seguridad basada en la identidad se alinea con los objetivos comerciales y los respalda.

Casi todos los participantes en la encuesta (98%) dijeron que la cantidad de identidades en su organización estaba aumentando, con causas comúnmente citadas que incluyen la adopción de la nube, más empleados que usan tecnología, mayores relaciones con terceros y un número creciente de identidades de máquinas. En este entorno, muchos de las empresas de hoy se encuentran bajo una inmensa presión para garantizar un acceso transparente y seguro a los datos y recursos en un entorno cada vez más distribuido y complejo.

Esta complejidad, combinada con atacantes motivados y el creciente número de identidades que deben administrarse, hace la gestión eficaz de la identidad es una parte fundamental de la habilitación de negocios operaciones. Entre las organizaciones que experimentaron una violación relacionada con la identidad el año pasado, los hilos comunes fueron problemas como credenciales robadas, phishing y privilegios mal administrados. Los impactos comerciales directos de una infracción pueden ser significativos: el 42 % cita una distracción significativa del negocio principal, el 44 % señala los costos de recuperación y el 35 % informa un impacto negativo en la reputación de la organización. También se informaron pérdidas de ingresos (29 %) y abandono de clientes (16 %).

Traducir las necesidades de TI en necesidades comerciales

El caso para centrarse en la identidad es claro, pero ¿cómo comenzamos a traducir las necesidades de TI en necesidades comerciales? El primer paso es alinear las prioridades de la organización con el lugar donde puede encajar la seguridad centrada en la identidad. Los objetivos comerciales tienden a girar en torno a la reducción de costos, el aumento de la productividad y la minimización del riesgo. Las conversaciones sobre la seguridad basada en la identidad, por lo tanto, deben demostrar cómo ese enfoque puede promover algunos o todos estos puntos.

Desde el punto de vista de la productividad, por ejemplo, el control estricto de la identidad simplifica el aprovisionamiento de usuarios y las revisiones de los derechos de acceso. Eso significa que los empleados pueden incorporarse más rápido, y cualquier empleado que se vaya tendrá su acceso revocado automáticamente. La eliminación de los esfuerzos manuales reduce la posibilidad de error, incluidos los usuarios con privilegios excesivos que crean un riesgo innecesario de exposición. Cuanto más optimizados y automatizados sean los procesos en torno a la gestión de identidades, más eficiente será la empresa y más segura.

Como se señaló anteriormente, algunas de las fuerzas impulsoras del crecimiento de las identidades incluyen la adopción de la nube y un aumento en las identidades de las máquinas. El crecimiento de las identidades de las máquinas está relacionado en parte con los dispositivos y bots de Internet de las cosas (IoT). IoT y la nube a menudo son parte de las estrategias de transformación digital que pueden verse obstaculizadas fácilmente por las preocupaciones sobre el acceso y la aplicación constante de las políticas de seguridad. Esta realidad presenta una oportunidad para enmarcar debates sobre seguridad en torno a cómo la empresa puede adoptar estas tecnologías de manera segura y sin sacrificar los requisitos de cumplimiento y seguridad.

Discusiones de marco de seguridad en contexto de incumplimiento

La autenticación multifactor (MFA), por ejemplo, fue citada por muchos profesionales de TI y seguridad como una medida que podría haber evitado o minimizado el impacto de las infracciones que experimentaron. MFA es vital para hacer cumplir el control de acceso, particularmente para empresas con trabajadores remotos o aquellas que usan aplicaciones e infraestructura en la nube. Les guste o no, las contraseñas son omnipresentes. Pero también son un objetivo atractivo (y relativamente fácil) para los actores de amenazas que buscan acceder a los recursos y obtener un punto de apoyo más profundo en su entorno. Junto con otras mejores prácticas centradas en la identidad que mejoran la postura de seguridad, MFA proporciona otra capa de defensa que puede reforzar la seguridad de una organización.

Además de MFA, los profesionales de TI y seguridad señalaron comúnmente que las revisiones más oportunas del acceso privilegiado y el descubrimiento continuo de todos los derechos de acceso de los usuarios habrían evitado o disminuido el efecto de una infracción. Si bien muchos de estos siguen siendo trabajos en progreso, en general, parece que las organizaciones están comenzando a recibir el mensaje.

Cuando se les preguntó si durante el año pasado el programa de identidad de su organización se incluyó como un área de inversión como parte de cualquiera de estas iniciativas estratégicas (confianza cero, adopción de la nube, transformación digital, inversiones en seguros cibernéticos y gestión de proveedores), casi todos eligieron al menos una. El cincuenta y uno por ciento dijo que se había invertido en la identidad como parte de los esfuerzos de confianza cero. El sesenta y dos por ciento dijo que se incluyó como parte de las iniciativas de la nube y el 42% dijo que era parte de la transformación digital.

Comenzar con la seguridad basada en la identidad no tiene por qué ser abrumador. Sin embargo, requiere un comprensión de su entorno y prioridades comerciales. Por centrándose en cómo un enfoque de seguridad centrado en la identidad puede respaldar los objetivos comerciales, los profesionales de TI pueden obtener la participación de liderazgo que necesitan para implementar la tecnología y los procesos que elevarán la barrera de entrada para los actores de amenazas.