Pienso, luego existo

«Pienso, luego existo.» – René Descartes

Esta no es solo una propuesta filosófica pomposa de autonomía, sino que es un consejo oportuno para garantizar la ciberseguridad corporativa. ¡Descartes realmente se adelantó a su tiempo! La gestión de identidades y accesos (IAM) juega un papel importante en la protección de su infraestructura de TI al mitigar el riesgo tanto de ciberataques externos como de amenazas internas. Cualquier empresa que piense seriamente en proteger la información confidencial de sus empleados o clientes debe implementar una IAM adecuada.

Esa es información privilegiada:

Los conceptos básicos de IAM se pueden definir simplemente mediante la palabra: privilegio. Los usuarios solo deben tener acceso a una cuenta con un conjunto predeterminado de privilegios. No le daría a su paseador de perros acceso a su directorio telefónico, entonces, ¿por qué darle acceso al equipo de ventas a los datos de recursos humanos? Al proporcionar privilegios específicos a las personas en función de lo que necesitan para hacer su trabajo, las empresas podrían reducir significativamente el riesgo potencial de que los datos caigan en las manos equivocadas.

Todd Peterson, evangelista de IAM en One Identity, ha descrito lo que él llama una «regla de oro» de IAM privilegiado. Los equipos de seguridad de TI deben proporcionar el «mínimo acceso y privilegios» posibles. “Incluso sin adoptar un enfoque completo de ‘confianza cero’, debe restringir el acceso solo a la necesidad de tener una base. Si puede, mantenga los datos solo en su red local. Si es posible, proporcione acceso de terceros solo a través de una conexión segura, como una VPN «. Al asegurarse de que los usuarios no tengan libertad para acceder a datos confidenciales, usted da los primeros pasos para proporcionar un entorno seguro para la protección de datos.

«Tu contraseña es muy débil»:

Una vez que se ha establecido el acceso privilegiado, la siguiente fase es asegurarse de que estas cuentas sean seguras. El primer paso para hacer esto es abordar la seguridad de la contraseña. Las contraseñas débiles son sorprendentemente comunes, especialmente porque las personas tienen una presencia cada vez mayor en Internet. Puede resultar molesto o inconveniente utilizar varias contraseñas complejas en una variedad de sitios de redes sociales, cuentas bancarias en línea y portales corporativos. Esto conduce a la apatía en el lugar de trabajo, ya que los empleados buscan aumentar la comodidad mediante el uso de contraseñas simples. Sin embargo, aunque son fáciles de recordar, las contraseñas cortas son fáciles de descifrar. No importa cuán pocas personas tengan acceso a datos confidenciales, si usan contraseñas débiles como nombres de mascotas, equipos deportivos favoritos o cumpleaños, estas cuentas se violan fácilmente.

“Como la mayoría de las empresas tienen una cuenta administrativa con poder casi ilimitado, es aconsejable llevar la cuenta de quién tiene acceso a ella. Sería conveniente introducir una política en toda la empresa para evitar la práctica de compartir contraseñas, especialmente cuando se trata de cuentas administrativas que tienen altos niveles de acceso ”, explica Peterson. «Las empresas deben buscar cambiar las contraseñas con regularidad y compartirlas solo con los pocos privilegiados que requieren acceso con regularidad».

En general, las contraseñas deben tener más de 10 caracteres, incluida una combinación de mayúsculas, números y caracteres especiales que no deletreen palabras de uso común. Para las empresas, las mejores prácticas de seguridad deben ser asegurarse de que las contraseñas estén protegidas con protección criptográfica y no estén garabateadas en una nota adhesiva.

La autenticación multifactor es clave

Un paso adicional para garantizar la seguridad es mediante la autenticación multifactor (MFA). Esto significa que incluso si una contraseña y un nombre de usuario están comprometidos, los datos confidenciales permanecen protegidos. Hay varias capas de MFA disponibles, cada una de las cuales ofrece diferentes rangos de posibilidades de seguridad. Una de las opciones más sencillas se utiliza a diario en nuestras computadoras. Al presionar alt, controlar y eliminar antes de iniciar sesión en nuestras PC de trabajo, demostramos que estamos en la ubicación física, y no un bot o un pirata informático externo. Alternativamente, las empresas pueden vincular teléfonos o tabletas del trabajo a cuentas, asegurando que la persona que intenta acceder a la información esté en posesión de un dispositivo específico, con la capacidad de iniciar sesión.

Aunque pueda parecer algo sacado de una película de ciencia ficción, la introducción de identificaciones biométricas como la huella digital, el patrón de mecanografía y el reconocimiento de voz son métodos cada vez más asequibles y aplicables de MFA. De hecho, la mayoría de nosotros tenemos identificadores biométricos en el bolsillo ya que los teléfonos móviles están comenzando a utilizar la informática forense. El uso de la geolocalización es otro MFA útil, ya que puede generar banderas rojas inmediatas si hay un intento de inicio de sesión desde otro país de nuestra ubicación.

En conclusión, implementar IAM es simple. Todas las empresas deben adoptar un enfoque activo y holístico para proteger los datos. Es importante reflexionar sobre las políticas, especialmente cuando se trata de proteger la PII. En caso de duda, recuerde, ¿qué haría Descartes? Piensa: IAM.