Página de inicio de OpenText.
Temas técnicos

¿Qué es el Gobierno y la Administración de Identidades?

Póngase en contacto con nosotros
Ilustración de elementos informáticos centrados en un signo de interrogación

Descripción general

Con las diversas herramientas de gobierno de identidades que existen en el mercado, no es fácil evaluar lo que ofrecen en comparación con una arquitectura de gobierno y administración de identidades (IGA) con todas las funciones. Como reacción a una directiva de seguridad, con demasiada frecuencia los equipos adoptan un enfoque limitado para gestionar los derechos de los usuarios o cumplir los requisitos de separación de funciones de su organización.

La IGA va más allá de la visibilidad de los derechos, que a menudo se toma como una instantánea en un momento dado. En su lugar, adopta un enfoque holístico e integrador de su gestión. Cuando se construye sobre una sólida infraestructura de gestión del ciclo de vida de las identidades, IGA reúne los componentes críticos de la infraestructura de gestión de identidades y accesos de una organización para garantizar que sólo las personas adecuadas tengan acceso a la información sensible.

Gobierno y administración de identidades

¿Qué define una solución completa de Gobierno y Administración de Identidades?

Una solución IGA sólida se distingue por ofrecer las siguientes ventajas:

  • Ofrece una visión completa de las cuentas y los recursos: el SIGA necesita disponer de la información sobre la identidad, los derechos y los riesgos de cada recurso que se gestiona, así como de la identidad y el papel de quienes acceden a él.
  • Protéjase contra las aprobaciones automáticas: al centrarse en la protección contra las aprobaciones no verificadas de las solicitudes de permisos, una solución IGA eficaz incluye flujos de trabajo diseñados específicamente para informar a los propietarios de la información y del negocio, no a los administradores de TI. Para elevar el nivel de inspección de la solicitud, debe ofrecer toda la información pertinente sobre el solicitante y el recurso diseñado para una lectura rápida con indicadores eficaces de productividad y riesgo.
  • Atestación sólida: ofrece informes precisos que confirman el cumplimiento continuo en lugar de limitarse a informar sobre instantáneas en el tiempo. Cuando sea necesario, una infraestructura IGA bien diseñada puede proporcionar análisis que confirmen el acceso real de grupos específicos de usuarios. El diseño del informe debe ser rápido de revisar y sencillo de generar e incluir en los informes de atestación. Aunque este nivel de atestación ofrece confianza a los equipos de seguridad, requiere que la gobernanza del acceso tenga una estrecha integración con los componentes del ciclo de vida de la identidad y de la gestión del acceso del entorno global de IGA.

¿Qué valor específico tiene un entorno IGA completo frente a otras soluciones?

Mientras que el gobierno y la administración de identidades gestionan los derechos y ofrecen una sólida atestación para los auditores de seguridad, tiene el potencial de ser un componente fundacional de la infraestructura de gestión de identidades y accesos de una organización:

  • La gestión de derechos es el elemento fundamental de la estrategia de mínimos privilegios de cualquier organización. La seguridad de mínimo privilegio ayuda a protegerse contra las amenazas internas, así como a limitar los daños cuando las credenciales de alguien han sido comprometidas y explotadas. Cuando se hace correctamente, puede utilizarse para guiar e invocar las acciones del ciclo de vida de la identidad en lugar de funcionar independientemente de él.
  • Uno de los pasos de la incorporación de recursos a una plataforma de gobernanza es definir su riesgo y sus criterios de riesgo. Las definiciones adecuadas del riesgo de los recursos sensibles proporcionan información precisa a los aprobadores y revisores. También pueden ser consumidos por el servicio de riesgos para dirigir las acciones de gestión adaptativa del acceso. Con demasiada frecuencia, los criterios utilizados para los controles de acceso basados en sesiones para posibles acciones de autenticación y autorización se limitan al contexto del usuario (geolocalización, rango de IP, ID del dispositivo, etc.). Tener en cuenta el riesgo del propio recurso ofrece un enfoque más granular y eficaz del acceso adaptable que puede aumentar la seguridad al tiempo que optimiza la experiencia del usuario. Al limitar el número de veces que se interrumpe a un usuario para realizar la autenticación multifactor, se reduce la fricción y se optimiza la experiencia del usuario.

¿Qué está haciendo OpenText Identity and Access Management para que su solución IGA

Aunque lo más importante es establecer una base sólida de IGA, como se ha descrito anteriormente, OpenText Identity and Access Management está ampliando continuamente los límites para que la automatización de la gobernanza sea más exhaustiva y eficaz a la hora de ayudar a los propietarios de la información a proteger sus datos. Las direcciones de desarrollo a corto plazo de la gobernanza y la administración de identidades dentro de las infraestructuras de gestión de identidades y accesos incluyen:

  • Además de proporcionar la mejor información posible en un formato que los aprobadores y revisores puedan comprender rápidamente, la nueva generación de IGA reúne las mejores prácticas de mínimos privilegios y las políticas organizativas para automatizar el análisis de derechos. La elevación automatizada de las puntuaciones de riesgo de su información sensible, así como de los usuarios que acceden a ella, pone de relieve los puntos preocupantes para su revisión y posibles acciones de seguridad.
  • El escenario de automatización basado en la inteligencia descrito en el punto anterior se complementa mejor con el análisis del comportamiento del uso real. Este tipo de análisis puede orientar la atención hacia identidades y recursos específicos para reevaluar el riesgo que suponen para la organización.
  • Aunque tradicionalmente la IGA no ha incluido la gobernanza del acceso root a los sistemas, es necesario un enfoque más formal para asegurar el acceso a los datos y ejecutables alojados en servidores. Dado que los administradores del sistema pueden saltarse varios mecanismos de seguridad, la importancia de proteger los privilegios de root es obvia. Más allá de la capacidad de delegar y gobernar diferentes niveles de administración, estos superusuarios tienen tanto acceso concedido que la supervisión avanzada de sus acciones relacionadas con el sistema ofrece información forense potencialmente valiosa.

Un entorno IGA bien construido no es fácil de implantar. Conseguir el apoyo de los ejecutivos y los distintos propietarios de empresas puede ser un proceso largo y desigual. Recurrir a los propietarios de la información para incorporar adecuadamente sus recursos requiere inversión, al igual que mantenerse en contacto con ellos para conocer los cambios en su entorno que requieren actualizaciones. Pero el valor de este tipo de inversión en seguridad reporta enormes dividendos. Permite a las organizaciones ser más ágiles en sus operaciones de negocio digital, al tiempo que mantienen bajo su riesgo.

¿Por qué debería invertir en el gobierno y la administración de identidades?

Una vez comprendido el carácter integral de la IGA, la pregunta natural es si este nivel de inversión es necesario para su entorno. Aunque cada organización puede tener requisitos únicos, he aquí algunas consideraciones comunes que pueden orientar la profundidad y amplitud de la gestión:

Aunque casi todas las organizaciones necesitan proteger su información financiera y de RR.HH., pueden o no tener también otros tipos de datos sensibles dignos de ser gobernados:

  • Información sobre los clientes: este tipo de información varía mucho. Las organizaciones pueden estar sujetas a diversas normativas estatales o federales incluso si están recopilando información de cookies o identidades sociales para personalizar el contenido. También existen otros mandatos mundiales, como el Reglamento General de Protección de Datos (RGPD). Los requisitos del GDPR merecen un nivel de protección IGA porque una vez que se conserve un perfil personal o información financiera, es probable que exista la necesidad de una seguridad de mínimo privilegio. También es necesaria la coordinación entre los minoristas y sus proveedores de servicios (PSP) y los socios de la industria. A menos que estas operaciones sean pequeñas, es difícil imaginarlas cumpliendo los mandatos de privacidad sin una solución madura de gobernanza de la identidad.
  • La propiedad intelectual, ya sea en forma de información sobre patentes, competencias técnicas o empresariales básicas u otros secretos comerciales, una violación de los mismos puede suponer un grave riesgo para la organización. Independientemente de que las organizaciones automaticen o no sus procesos de asignación de derechos, es probable que sea necesario realizar una cuidadosa revisión de los secretos más preciados antes de desarrollar una estrategia de gobernanza.
  • Información del paciente:la transformación digital del sector sanitario ha obligado a los proveedores a automatizar la gestión de sus derechos y la certificación de su información regulada. El paso a las historias clínicas electrónicas (HCE) y a otra información sanitaria protegida (IPSe) ha dado lugar a protecciones gubernamentales de la privacidad estrictas, concretas y punitivas. Es una industria plagada de las infracciones de mayor coste en comparación con cualquier otra. Más allá de las pérdidas monetarias, las violaciones de los historiales médicos son perjudiciales para la confianza de los pacientes porque incluyen su información más sensible. La información, tanto sanitaria como financiera, puede utilizarse para cometer fraudes.
  • Los servicios financieros -otraindustria altamente regulada- están sujetos a una serie de normativas diseñadas para evitar la colusión maliciosa y la violación de la privacidad. La privacidad es necesaria para protegerse contra el fraude u otros tipos de robo. Es una afirmación segura que toda institución financiera necesita una gobernanza automatizada y se beneficiaría enormemente de una solución que implicara directamente a los propietarios de los datos.

Preguntas frecuentes sobre gobierno y administración de identidades

¿Cuál es la diferencia entre gobernanza de identidades y gestión de identidades?
La gestión de identidades proporciona acceso, mientras que la gobernanza de identidades garantiza que el acceso sea adecuado, esté justificado y se aplique de forma continua mediante políticas, certificaciones y controles de auditoría a lo largo del ciclo de vida de la identidad.

¿Cómo ayuda la gobernanza de la identidad al cumplimiento y las auditorías?
IGA impone el acceso con privilegios mínimos, mantiene registros de auditoría completos y admite certificaciones continuas, por lo que las organizaciones pueden demostrar su cumplimiento en cualquier momento, no sólo durante las auditorías.

¿Por qué muchos proyectos de gobernanza de la identidad se estancan o fracasan?
Los proyectos de IGA suelen tener dificultades debido a la lentitud en la incorporación de aplicaciones, la rigidez de los modelos de datos y los procesos de revisión manual. Los programas de éxito se centran en la automatización, la flexibilidad y la visibilidad en tiempo real de las identidades y los derechos.

¿Puede la gobernanza de la identidad responder a los cambios de acceso en tiempo real?
Sí. Los IGA modernos pueden detectar los cambios de acceso a medida que se producen y remediarlos automáticamente o activar recertificaciones específicas, reduciendo el riesgo entre los ciclos de revisión.

¿Qué deben buscar las organizaciones en una solución de gobernanza de identidades?
Busque una plataforma IGA que se adapte a entornos híbridos, se integre con sistemas complejos, admita una gobernanza continua y reduzca el esfuerzo manual de los usuarios de TI y de la empresa.

Cómo ofrece OpenText el gobierno y la administración de identidades

OpenText ofrece gobierno y administración de identidades (IGA) como parte de una plataforma IAM integral diseñada para empresas complejas e híbridas. En lugar de tratar la gobernanza como una capa independiente, OpenText integra la gestión del ciclo de vida, la gobernanza del acceso y los controles basados en eventos para garantizar que el acceso se mantiene conforme a medida que cambian los entornos.

Ciclo de vida y gobernanza unificados de la identidad
OpenText combina la gestión del ciclo de vida de las identidades con la gobernanza del acceso para garantizar que los usuarios reciben el acceso adecuado cuando se incorporan, cambian de función o se marchan, y que ese acceso sigue siendo el adecuado a lo largo del tiempo.

Gobernanza continua basada en eventos
A diferencia de las revisiones puntuales, OpenText admite la gobernanza basada en eventos. Cuando el acceso cambia fuera de los procesos aprobados, el sistema puede remediar automáticamente el problema o activar una microcertificación específica, reduciendo el riesgo entre los ciclos de revisión.

Incorporación más rápida de aplicaciones con conectores flexibles
OpenText acelera las implantaciones de IGA con conectores de bajo código/sin código que se adaptan a los formatos de datos del mundo real. Esto permite a las organizaciones gobernar más aplicaciones, sin integraciones frágiles ni reajustes constantes.

Creado para entornos híbridos y a escala empresarial
OpenText admite implementaciones locales, en la nube e híbridas, por lo que resulta ideal para organizaciones con sistemas heredados, entornos regulados o infraestructuras de identidad complejas.

Cumplimiento listo para auditoría por diseño
Gracias a la aplicación continua de las políticas, a los registros de auditoría completos y a las certificaciones adaptadas a las empresas, OpenText ayuda a las organizaciones a demostrar el cumplimiento en cualquier momento, sin interrupciones en las auditorías.

Obtenga más información sobre OpenText Identity Governance o la plataforma SaaS OpenText Core Identity Foundation.

¿Cómo podemos ayudar?

Notas al pie