Guía innovadora de gestión de identidad y acceso para proveedores

El documento de la CISA-NSA detalló los desafíos técnicos relacionados con IAM que afectan a los desarrolladores y proveedores. Al examinar específicamente la implementación de la autenticación multifactorial y el inicio de sesión único, el informe destaca diferentes brechas.

Definiciones y políticas

Según la CISA y la NSA, las definiciones y políticas de las diferentes variaciones de las MFAs son poco claras y confusas. El informe señala la necesidad de claridad para impulsar la interoperabilidad y estandarización de los diferentes tipos de sistemas MFA. Esto está afectando la capacidad de las empresas y los desarrolladores para tomar decisiones más informadas sobre qué soluciones IAM deben integrar en sus entornos.

Falta de claridad respecto a las propiedades de seguridad de MFA

El informe de la CISA-NSA señala que los proveedores no ofrecen definiciones claras cuando se trata del nivel de seguridad que ofrecen los diferentes tipos de MFAs, ya que no todas las MFAs ofrecen la misma seguridad.

Por ejemplo, las MFAs basadas en SMS son más vulnerables que las tecnologías MFA de almacenamiento seguro, mientras que algunas MFAs son resistentes a la suplantación de identidad, como aquellas basadas en infraestructura de clave pública o FIDO, mientras que otras no lo son.

Falta de comprensión que lleva a déficits en la integración

Según la CISA y la NSA, las arquitecturas para aprovechar el inicio de sesión único basado en estándares abiertos junto con aplicaciones heredadas no siempre se comprenden ampliamente. El informe insta a la creación de un repositorio compartido y de código abierto de módulos y patrones basados en estándares abiertos para resolver estos desafíos de integración y ayudar a la adopción.

Funciones de inicio de sesión único y planes de precios

Las capacidades del inicio de sesión único a menudo se incluyen en otras funciones empresariales de alto nivel, lo que hace que sean inaccesibles para las organizaciones pequeñas y medianas. La solución a este desafío requeriría que los proveedores incluyan SSO organizativos en los planes de precios que abarquen todos los tipos de negocios, independientemente del tamaño.

Cómo copiar archivos de forma segura utilizando SSH en español

Gobierno MFA y trabajadores

Otra área de brecha principal identificada es la integridad del gobierno MFA a lo largo del tiempo a medida que los trabajadores se unen o abandonan las organizaciones. El proceso conocido como "gestión del ciclo de vida de las credenciales" a menudo carece de soluciones MFA disponibles, según el informe de la CISA-NSA.

La confusión general con respecto a MFA y SSO, la falta de especificaciones y estándares, y las brechas en el soporte y las tecnologías disponibles, están afectando la seguridad de las empresas que deben implementar sistemas IAM con la información y los servicios disponibles para ellas.

"A menudo hay una lista desconcertante de opciones disponibles para combinar de formas complicadas para respaldar requisitos diversos", señala el informe. "Los proveedores podrían ofrecer un conjunto de configuraciones predeterminadas prevalidadas de principio a fin para casos de uso definidos".

Conclusiones y recomendaciones clave para proveedores

El documento de la CISA-NSA concluye con una sección detallada de recomendaciones clave para los proveedores, que como señala Williams, "les advierte" sobre los problemas que deben abordar. Williams destacó la necesidad de estandarizar la terminología utilizada para que quede claro qué es compatible con un proveedor.

Chad McDonald, director de seguridad de la información de Radiant Logic, también habló con TechRepublic por correo electrónico y estuvo de acuerdo con Williams. Radiant Logic es una empresa con sede en Estados Unidos que se centra en soluciones para la unificación e integración de datos de identidad, ayudando a las organizaciones a gestionar, utilizar y gobernar los datos de identidad.

“La autenticación de la fuerza laboral en la actualidad ya no puede ajustarse a un único molde”, dijo McDonald. "Las empresas, especialmente aquellas con empleados provenientes de diversas redes y ubicaciones, requieren herramientas que permitan una provisión compleja y que no limiten a los usuarios en su acceso a los recursos necesarios".

Cómo comparar el contenido de un archivo local y remoto sin copiarlos

Para que esto ocurra, es necesario un enfoque colaborativo entre todas las soluciones, agregó McDonald. “Varias de las recomendaciones de CISA para proveedores y desarrolladores no solo promueven un enfoque colaborativo, sino que también son increíblemente factibles y accionables”.

McDonald dijo que la industria acogería con satisfacción una terminología estándar de MFA para permitir una comparación equitativa de los productos, la priorización de soluciones MFA fáciles de usar tanto para plataformas móviles como de escritorio para impulsar una mayor adopción y la implementación de un soporte más amplio y el desarrollo de estándares de identidad en el ecosistema empresarial.

Recomendaciones para proveedores

Cree una terminología MFA estándar
En relación con el uso de terminología MFA ambigua, el informe recomienda crear una terminología MFA estándar que brinde definiciones y políticas claras, interoperables y estandarizadas que permitan a las organizaciones hacer comparaciones de valor e integrar estas soluciones en su entorno.

Cree autenticadores resistentes al phishing y luego estandarice su adopción
En respuesta a la falta de claridad sobre las propiedades de seguridad que ciertas implementaciones de MFA proporcionan, CISA y NSA recomendaron una inversión adicional por parte de la comunidad de proveedores para crear autenticadores resistentes al phishing que brinden una mayor defensa contra ataques sofisticados.

El informe también concluye que simplificar y estandarizar las propiedades de seguridad de MFA y los autenticadores resistentes al phishing, incluidos sus factores de forma incorporados en los sistemas operativos, "mejoraría en gran medida el mercado". CISA y NSA instaron a una mayor inversión para respaldar implementaciones de MFA de alta seguridad para uso empresarial. Estas inversiones deben diseñarse siguiendo un flujo fácil de usar, en plataformas móviles y de escritorio, para promover una mayor adopción de MFA.

Desarrolle herramientas de inscripción más seguras
En cuanto a la gobernanza y la autoinscripción, el informe dice que es necesario desarrollar herramientas de inscripción más seguras para respaldar las necesidades de provisión complejas de las grandes organizaciones. Estas herramientas también deben descubrir y eliminar automáticamente los autenticadores de MFA de inscripción que no se hayan utilizado en un período determinado de tiempo o cuyo uso no sea normal.

Cómo configurar la autenticación de clave SSH para mayor seguridad en servidores remotos

"Los proveedores tienen una verdadera oportunidad de liderar la industria y generar confianza con los consumidores de productos con inversiones adicionales para llevar tales autenticadores resistentes al phishing a más casos de uso, así como simplificar y estandarizar aún más su adopción, incluidos los factores de forma incorporados en los sistemas operativos, lo que mejoraría en gran medida el mercado", señalaron la CISA y la NSA.

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Guía innovadora de gestión de identidad y acceso para proveedores , tenemos lo ultimo en tecnología 2023.