¿Qué es la gestión de identidades para las INDH?

¿Qué diferencia a las identidades no humanas de las basadas en el carbono?

Una identidad no humana es algo más que el Internet de las cosas (IoT). Es una identidad utilizada por cualquier software o hardware-esencialmente, una identidad que no es una persona.

En lo que respecta a la gestión de identidades y accesos, he aquí una comparación general de las INDH con las cuentas de usuario.

Dado que están vinculados a aplicaciones, servicios y otros tipos de recursos digitales, se comportan y probablemente tengan diferentes requisitos de IAM:

• La raíz de la confianza ya no son los RR.HH. y sus procesos, que desde hace tiempo prueban las identidades antes de que se creen sus cuentas. En su lugar, es necesario crear nuevos procesos de control y prueba de identidades para las identidades programáticas.
• Factor de forma y vida útil de las credenciales: a diferencia de la autenticación multifactorial centrada en el ser humano y las claves de acceso, las IHN suelen utilizar tokens intermediarios de corta vida.
• Las credenciales de cliente OAuth 2.0 se utilizan habitualmente para los flujos de máquina a máquina, así como otras credenciales/roles temporales en la nube que utilizan tokens, que caducan rápidamente y no pueden reutilizarse.
• Confianza cero: aunqueel mínimo privilegio sigue siendo un principio básico, para lograrlo se requiere una carga de trabajo en lugar de una postura de usuario/dispositivo.
• El mínimo privilegio protege los recursos, no los perímetros, lo que significa reevaluar continuamente cada solicitud, incluidas las de servicio a servicio. Las plataformas en la nube aplican ahora el acceso condicional para las identidades de las cargas de trabajo (no sólo para los usuarios) y sacan a la superficie el riesgo de las identidades de las cargas de trabajo para tomar decisiones políticas automatizadas. Este es el equivalente en máquina de las métricas de riesgo del usuario que impulsan los niveles de autenticación.
• Conseguir el mínimo privilegio utilizando activadores del ciclo de vida: a diferencia de la gestión del ciclo de vida humano, el desaprovisionamiento y la baja de NHI están dirigidos por canalizaciones e infraestructura como código con un propietario explícito vinculado en el momento de la creación. La regla general es no dejar que las identidades sobrevivan a las cargas de trabajo.
• Reorientar la telemetría y la detección de la UEBA de las personas a la analítica de la identidad consciente de las máquinas. Para identificar las cargas de trabajo de riesgo, trate el mal uso de los servicios como un problema de detección de primera clase con señales que modelen las líneas de base de las cargas de trabajo para cada superficie. Las reglas de anomalías centradas en el ser humano a lo largo de un día pasan por alto los abusos ocultos de las máquinas.

¿Cuál es la causa del rápido aumento de los NHI en toda la organización?

La proliferación de identidades no humanas es un subproducto necesario de la innovación moderna. Aunque es esencial para construir sistemas escalables y eficientes, esta nueva fuerza de trabajo digital exige un replanteamiento completo de la seguridad y la gobernanza para protegerse de los riesgos únicos que presenta. Es muy probable que incluso al observar su propia organización esté viendo surgir todo tipo de automatización digital. Para la mayoría de los tipos de organizaciones, esta nueva "mano de obra digital" está creciendo mucho más rápido que la humana. Por cada empleado humano, puede haber docenas, o incluso más de cien, identidades no humanas realizando funciones críticas. Esta enorme escala supone un profundo desafío para los modelos tradicionales de gestión de identidades y accesos (IAM), que se construyeron para un mundo centrado en el ser humano.

No es ningún secreto que la última frontera de esta proliferación es el auge de la IA y los agentes autónomos. A medida que los sistemas de IA se vuelven más capaces de tomar sus propias decisiones y emprender acciones, necesitan sus propias identidades para interactuar con las aplicaciones y los datos. Estos agentes de la IA "" representan una nueva categoría de INDH que opera de forma continua y cuyo comportamiento puede ser más dinámico y menos predecible que el de una cuenta de servicio tradicional.

La proliferación de las INDH en las organizaciones es más que una tendencia; es un cambio fundamental impulsado por la demanda moderna de velocidad y escala. Este crecimiento exponencial es el resultado directo de la automatización, la computación en nube y el auge de las nuevas tecnologías que están creando un volumen masivo de nuevas identidades que necesitan ser aseguradas y gestionadas.

Dando un paso atrás, a un nivel superior los principales impulsores de la proliferación de la INDH son reducir los costes, aumentar la eficiencia y permitir una rápida innovación siempre que sea posible. He aquí una forma de organizarlos:

• Computación en la nube y microservicios: El paso a la nube, en particular con las arquitecturas multicloud y de microservicios, ha disparado el número de NHI. Cada pequeño servicio, contenedor o API necesita ahora su propia identidad para comunicarse de forma segura. Una sola solicitud de un usuario puede desencadenar una reacción en cadena que implique docenas de interacciones entre máquinas, cada una de las cuales requiere una identidad única.
• DevOps y CI/CD: El desarrollo de software moderno se basa en flujos de trabajo automatizados para la integración continua y la entrega continua (CI/CD). Las identidades no humanas son los trabajadores de esta cadena de montaje. Las cuentas de servicio y los tokens de API permiten a los servidores de compilación y a los conductos de despliegue acceder a los repositorios de código y aprovisionar la infraestructura sin intervención humana. Esta automatización es crucial para los ciclos de lanzamiento rápidos, pero también crea una superficie de ataque masiva.
• Internet de las cosas (IoT): El crecimiento de los dispositivos conectados añade otra capa de IoT. Cada sensor, dispositivo inteligente y pieza de equipamiento industrial necesita una identidad para conectarse a la red y transmitir datos. Asegurar estos miles de puntos finales distribuidos es un reto importante, ya que a menudo operan en entornos menos controlados.

¿Por qué los equipos de seguridad deben adoptar un enfoque diferente para proteger las IPS?

Desgraciadamente, para muchas organizaciones de ciberseguridad la gestión de la identidad y el acceso (IAM) de las IHAN es una idea de última hora, que suele implementarse mediante una adopción y unos procesos ad hoc. He aquí algunas razones por las que la IAM de las IHN puede ser difícil y debe tratarse con tanto cuidado como las identidades basadas en el carbono.

Descubrimiento e inventario

Una parte de la realidad de los NHI es que proliferan a una velocidad y escala que hacen imposible su seguimiento manual. Esto supone un reto para las organizaciones que han estado complementando su actual infraestructura IAM con procesos de verificación de identidades. No se puede asegurar lo que no se ve, y ése es el reto fundamental de las INDH. En la mayoría de los casos, esto significa que necesita obtener un inventario completo y en tiempo real de todas y cada una de las identidades no humanas de su entorno para una gestión eficaz. Más que una simple lista, el proceso de descubrimiento debe automatizarse para encontrar una clave de API, una cuenta de servicio y un token, ya sea en la nube, en las instalaciones o en una canalización DevOps. Más allá de simplemente encontrarlas, debe contextualizar cada identidad, comprendiendo su propósito, a quién pertenece y a qué recursos puede acceder. Esto proporciona una línea de base crucial, transformando un paisaje caótico en un sistema estructurado y manejable.

Gestión del ciclo de vida

A diferencia de las identidades humanas con fechas claras de contratación y cese, las INDH tienen un ciclo de vida dinámico que exige automatización. Una gestión eficaz requiere un enfoque "de principio a fin". Esto significa aprovisionar de forma segura los NHI con los permisos adecuados desde el principio, a menudo directamente dentro de los flujos de trabajo de desarrollo. Este requisito suele plantear un reto importante a las organizaciones que centran su gestión en las identidades que residen en Microsoft Active Directory, dejando que los demás almacenes de identidades de su organización experimenten una deriva en la integridad de las identidades. Como tal, hay dos cuestiones clave. Los NHI suelen tener sus propios almacenes de identidades, lo que significa que las organizaciones que han centrado su automatización de la gestión de identidades empresariales en Active Directory tendrán que incorporar algún tipo de automatización adicional. También significa que cualquier solución que adopten no ofrece una gestión continua de la identidad, lo que introduce vulnerabilidades de acceso.

También significa establecer un estricto programa de rotación, actualizando automáticamente las credenciales para minimizar el riesgo de que un secreto comprometido se utilice durante un periodo prolongado. Igual de importante es el desmantelamiento automatizado de las identidades cuando ya no sean necesarias. Esto evita que las credenciales huérfanas u olvidadas se conviertan en puertas traseras persistentes para los atacantes.

Control de acceso y gobernanza

El control de acceso para las INDH consiste en hacer cumplir las normas a la velocidad de la máquina. Sabemos lo importantes que son los principios de seguridad de confianza cero y las prácticas eficaces de privilegio mínimo, para conceder a una identidad sólo los permisos que necesita para realizar una tarea específica, y nada más. Aunque este principio es una poderosa defensa contra todo tipo de infracciones, es especialmente valioso para las INDH debido a su naturaleza programática. Otro componente crítico de la gobernanza es la capacidad de centralizar la aplicación de las políticas, garantizando que existan reglas de acceso coherentes y que se apliquen en todos sus sistemas, ya estén en diferentes nubes o en las instalaciones.

Para combatir el problema común de los secretos codificados, también significa que dispone de una plataforma de gestión de secretos dedicada que pueden utilizar sus desarrolladores para almacenar e inyectar credenciales de forma segura en tiempo de ejecución. Eso tendrá que estar en vigor antes de que pueda adoptar una política para que los desarrolladores mantengan los secretos de las credenciales fuera del código fuente.

El acceso justo a tiempo (JIT, por sus siglas en inglés), un concepto avanzado de gobernanza de acceso, puede proporcionar permisos temporales de alto privilegio que se revocan automáticamente una vez finalizado el trabajo, lo que reduce drásticamente la ventana de oportunidad para los atacantes. Teniendo en cuenta la naturaleza dinámica que suelen tener las INDH, es probable que las organizaciones encuentren un valor añadido al incorporar el acceso JIT para las INDH que quizá no hayan considerado necesario para los usuarios tradicionales.

Vigilancia continua y detección de amenazas

Los NHI trabajan 24 horas al día, 7 días a la semana, y su seguridad también debería hacerlo. La supervisión continua es esencial para detectar anomalías y responder a las amenazas en tiempo real. Esto implica establecer una línea de base de comportamiento normal para cada identidad y utilizar análisis de comportamiento para detectar desviaciones. Por ejemplo, si una identidad que normalmente accede a una base de datos específica intenta conectarse de repente a una aplicación de recursos humanos, debería activarse una alerta inmediata. El mantenimiento de registros de auditoría detallados de toda la actividad de NHI también es fundamental para el cumplimiento y el análisis forense. Este nivel de supervisión hace que su vasta red de identidades de máquinas pase de ser un riesgo para la seguridad a un componente bien gestionado y transparente de sus operaciones digitales.

Con la expansión de los NHI, ¿cómo puedo mantener mis compromisos de cumplimiento y auditoría?

Las IPH introducen nuevos retos para el cumplimiento y la preparación de auditorías porque operan fuera de los marcos tradicionales construidos para los usuarios humanos. Las normas reguladoras como GDPR, HIPAA y SOX exigen que las organizaciones demuestren que controlan quién tiene acceso a los datos confidenciales, cuándo y por qué. Los NHI -como las cuentas de servicio, los tokens de API y los agentes de automatización- carecen a menudo de una propiedad clara, de visibilidad del ciclo de vida y de una gobernanza coherente, lo que dificulta el cumplimiento de estos requisitos.

Una cuestión importante es la descubribilidad. Los NHI pueden ser creados dinámicamente por pipelines de desarrollo o servicios en la nube, y sin herramientas de inventario automatizadas, muchos pasan desapercibidos. Esta falta de visibilidad socava los esfuerzos de auditoría, ya que las organizaciones no pueden asegurar o informar sobre identidades que no saben que existen. Además, las INDH suelen utilizar credenciales estáticas o secretos codificados, que son difíciles de rotar y supervisar, lo que aumenta el riesgo de incumplimiento.

Los registros de auditoría también deben evolucionar. Los NHI realizan tareas críticas, a veces con privilegios elevados, y sus acciones deben registrarse con el mismo rigor que las de los usuarios humanos. Esto incluye el seguimiento de los patrones de acceso, el uso de credenciales y los cambios en los permisos. Sin esto, las organizaciones se arriesgan a fracasar en las auditorías o a pasar por alto las infracciones.

Para seguir cumpliendo la normativa, las organizaciones deben ampliar la gobernanza de las identidades a los NHI, automatizando la detección, aplicando el privilegio mínimo, rotando las credenciales y manteniendo registros detallados. Tratar a los NHI como ciudadanos de primera clase en los programas de IAM es esencial para cumplir con los compromisos modernos de cumplimiento y auditoría.

¿Cuáles son las mejores prácticas para dar de alta y de baja a las INDH?

La incorporación y la salida efectivas de las identidades no humanas (IHN) son esenciales para mantener la seguridad y la integridad operativa en los entornos modernos. A diferencia de los usuarios humanos, los NHI -como las cuentas de servicio, los tokens de API y los agentes de automatización- suelen crearse y destruirse mediante programación, lo que hace que los procesos manuales sean insuficientes y arriesgados. Las mejores prácticas comienzan con el aprovisionamiento automatizado. Los NHI deben crearse mediante flujos de trabajo de desarrollo seguros, etiquetados con metadatos que identifiquen su propósito, propietario y carga de trabajo asociada. Esto garantiza la responsabilidad y permite la aplicación de las políticas desde el momento de su creación.

El acceso debe concederse utilizando los principios del mínimo privilegio, con credenciales de corta duración y permisos de alcance adaptados a la tarea. Las credenciales estáticas y los secretos codificados deben evitarse en favor de secretos dinámicos inyectados en tiempo de ejecución a través de bóvedas seguras. Esto reduce la exposición y apoya los requisitos de cumplimiento.

El offboarding es igualmente crítico. Los NHI deben ser dados de baja tan pronto como se retiren sus cargas de trabajo asociadas. Este proceso debe automatizarse y activarse mediante eventos de infraestructura como código o de canalización CI/CD. Las identidades huérfanas -las que quedan después de eliminar una carga de trabajo- suponen graves riesgos para la seguridad y a menudo se aprovechan en las infracciones.

Las políticas de rotación y caducidad de credenciales deben aplicarse durante todo el ciclo de vida. Las auditorías periódicas de los inventarios de INDH ayudan a identificar las identidades no utilizadas o con privilegios excesivos. Al integrar estas prácticas en su estrategia de gobernanza de identidades, puede garantizar que las INDH se gestionan de forma segura desde su creación hasta su retirada, reduciendo el riesgo y apoyando el cumplimiento en entornos dinámicos y nativos de la nube.

¿Cómo puede ayudar la gobernanza del acceso JIT a cumplir con las obligaciones de seguridad?

La gobernanza del acceso JIT desempeña un papel vital a la hora de ayudar a las organizaciones a cumplir con sus obligaciones de seguridad, especialmente a medida que las identidades no humanas (NHI) se vuelven más frecuentes. Los modelos de acceso tradicionales suelen conceder permisos persistentes, lo que puede dar lugar a cuentas con demasiados privilegios y a un aumento del riesgo. El acceso JIT invierte este modelo al conceder permisos temporales, específicos para cada tarea, sólo cuando son necesarios y revocarlos automáticamente después, lo que reduce drásticamente la superficie de ataque.

Para el cumplimiento, esto significa un control más estricto sobre quién -o qué- tiene acceso a los sistemas y datos sensibles. El acceso JIT garantiza que las ICN, como las cuentas de servicio y los agentes de automatización, operen dentro de unos límites claramente definidos. Por defecto, admite los privilegios mínimos, en consonancia con los requisitos normativos que exigen un acceso mínimo y fuertes controles de acceso.

El JIT también mejora la auditabilidad. Cada solicitud de acceso tiene un plazo y un propósito, lo que facilita el seguimiento, la justificación y la elaboración de informes durante las auditorías. Este nivel de granularidad ayuda a demostrar el cumplimiento de normas como GDPR, HIPAA y SOX, que exigen registros detallados del comportamiento de la identidad y de los eventos de acceso.

En entornos dinámicos como la nube y DevOps, el acceso JIT se integra perfectamente con los flujos de trabajo automatizados, permitiendo operaciones seguras y conformes sin ralentizar la innovación. Al integrar el ECI en su estrategia de gobernanza de la identidad, no sólo reforzará la seguridad, sino que también construirá una postura de cumplimiento defendible en un panorama digital cada vez más complejo.