La gestión de identidades y accesos (IAM, por sus siglas en inglés) es la disciplina que responde a dos preguntas distintas y que se confunden todo el tiempo: quién es cada quien, y qué puede hacer cada quien una vez dentro. La primera es autenticación. La segunda es autorización. Un sistema puede acertar en la primera y fallar estrepitosamente en la segunda, y de hecho es lo más común.
Dicho en corto: el IAM es el conjunto de reglas, procesos y herramientas que deciden quién entra, a qué entra y hasta cuándo.
¿Por qué la identidad pasó a ser lo más importante?
Durante veinte años la seguridad se organizó alrededor de un perímetro. Había un dentro y un afuera, y la frontera era la red de la oficina. Todo lo que estaba dentro se consideraba razonablemente confiable.
Ese modelo se deshizo en pedazos por tres razones a la vez: la gente empezó a trabajar desde cualquier sitio, las aplicaciones se mudaron a la nube y los proveedores externos necesitaron acceso a sistemas internos. Ya no hay dentro. Hay identidades que acceden a recursos desde donde sea.
Cuando desaparece el perímetro de red, lo único que queda separando a un atacante de sus datos es una identidad y lo que esa identidad tiene permitido hacer. Por eso el IAM dejó de ser un asunto administrativo y pasó a ser el control de seguridad más determinante que tiene una empresa. La arquitectura de confianza cero que publicó el NIST lo dice sin rodeos: cuando la red deja de ser la frontera, la identidad ocupa su lugar.
¿De qué piezas se compone?
- Identidad. El registro de quién existe: empleados, contratistas, proveedores, y también sistemas. Es la lista maestra, y casi siempre está desactualizada.
- Autenticación. La prueba de que quien se presenta es quien dice ser. Aquí viven las contraseñas y la autenticación multifactor.
- Autorización. Qué puede hacer esa identidad una vez confirmada. Leer, escribir, borrar, aprobar pagos, exportar la base de clientes.
- Gobierno. Quién decide esos permisos, cada cuánto se revisan y quién responde si están mal. Es la pieza que casi nadie tiene y la que convierte al IAM en algo que funciona en el tiempo y no solo el día que se instaló.
¿Por qué la autorización falla más que la autenticación?
Porque la autenticación tiene una respuesta binaria y comprobable: o la persona demostró ser quien dice o no lo demostró. Es un problema cerrado, con solución conocida, y por eso ha mejorado tanto en los últimos años.
La autorización no tiene respuesta única. Que alguien de finanzas pueda exportar la lista de clientes puede estar perfectamente bien o ser un desastre, y depende del puesto, del momento y de para qué. No hay forma de comprobarlo automáticamente, porque la respuesta correcta vive en la cabeza de alguien de negocio y no en ningún sistema.
Eso explica que el OWASP Top 10, que es la referencia del sector sobre los fallos más graves en aplicaciones, tenga el control de acceso roto en el primer puesto de su lista. No la contraseña débil, no el cifrado mal hecho. El permiso mal puesto.
Y es un fallo silencioso: un permiso de más no produce ningún error, ninguna alerta y ninguna queja. Funciona perfectamente hasta el día que alguien lo usa para algo que no debía.
¿Qué es el ciclo de vida de una identidad?
Toda identidad recorre tres momentos, y el interesante no es el que se piensa.
El alta. Entra alguien nuevo y hay que darle acceso a lo que necesita. Esto casi siempre funciona, porque si falla la persona no puede trabajar y se queja el mismo día.
El cambio. Alguien cambia de puesto o de área. Se le dan los permisos nuevos, y aquí aparece la primera grieta: casi nunca se le quitan los viejos. Quien lleva ocho años en la empresa y pasó por tres áreas acumula los accesos de las tres.
La baja. Alguien se va. Y este es el momento donde todo se rompe, porque a diferencia del alta, si la baja falla nadie se queja. El sistema sigue funcionando exactamente igual con una cuenta viva de una persona que ya no trabaja ahí. No hay síntoma, no hay ticket, no hay nadie incómodo.
Un control cuyo fallo no produce ninguna molestia es un control que se degrada solo. Por eso hay que medirlo en vez de confiar en que se hizo.
¿Cuáles son los tres problemas que aparecen siempre?
Cuando se audita el IAM de una empresa mediana por primera vez, aparecen estos tres, en este orden y con una regularidad aburrida.
Permisos acumulados. Gente con accesos que necesitó hace tres años para un proyecto que terminó. Nadie los quitó porque nadie los estaba mirando y porque quitarlos tiene un coste, que es el riesgo de romperle el trabajo a alguien, mientras que dejarlos no tiene ninguno aparente.
Cuentas huérfanas. Cuentas activas sin dueño identificable. De gente que se fue, de contratistas que terminaron, de un proyecto que se canceló. Son el objetivo preferido de un atacante, porque su actividad no le extraña a nadie: nadie espera nada de ellas, así que nadie nota si de pronto hacen algo.
Cuentas compartidas. Un usuario que usan cuatro personas porque la licencia es cara o porque siempre se hizo así. En el momento en que algo pase con esa cuenta, no hay manera de saber quién fue. Y eso convierte cualquier investigación posterior en un ejercicio de adivinación.
¿Y las identidades que no son personas?
Esta es la parte que más rápido está creciendo y la que peor se gestiona.
En cualquier empresa moderna hay muchas más identidades que empleados. Cuentas de servicio que conectan dos sistemas, claves de API que usa una aplicación para hablar con otra, integraciones que alguien configuró hace dos años, robots que ejecutan procesos por la noche. Y, desde hace poco, agentes de inteligencia artificial que leen correos, consultan bases de datos y ejecutan acciones.
Todas ellas son identidades. Todas tienen permisos. Y casi ninguna tiene las tres cosas que sí tiene la identidad de una persona: un dueño con nombre, una fecha de caducidad y un proceso de baja.
Además suelen tener más permisos de los que necesitan, por una razón muy humana: nadie quiere estar depurando un error de permisos a las tres de la mañana, así que se concede de más para que funcione a la primera. Ese exceso se queda ahí para siempre.
Y hay un detalle que las hace especialmente incómodas desde el lado de la detección: una identidad automática que trabaja de madrugada, toca muchos sistemas seguidos y actúa más rápido que cualquier persona se parece muchísimo, en los registros, a una cuenta comprometida. Distinguir una de otra no se resuelve con una regla, se resuelve conociendo cómo se comporta normalmente cada una.
¿Qué se puede medir?
El IAM tiene la ventaja de que se deja medir bien, y sin comprar nada. Cuatro números que cualquier empresa puede sacar este trimestre:
- Cuentas activas sin dueño identificable. Si es mayor que cero, ya sabe por dónde empezar.
- Tiempo entre la salida de una persona y el cierre de todos sus accesos. No del correo. De todos.
- Cuentas con permisos de administración. Compare el número con la cantidad de gente que de verdad necesita administrar algo.
- Identidades no humanas sin responsable asignado. Suele ser el número más incómodo de los cuatro.
¿Cómo se empieza sin montar un proyecto de dos años?
Un despliegue completo de IAM es caro y largo. Pero el ochenta por ciento del riesgo se reduce con cosas que no lo son.
- Hacer el inventario. Sacar la lista de todas las cuentas de los sistemas principales y cruzarla con la lista de personal activo. Ese cruce, que es un trabajo de días y no de meses, produce siempre sorpresas.
- Arreglar la baja antes que el alta. Escribir el procedimiento de qué se cierra cuando alguien se va, con nombre y apellido del responsable y un plazo. Es lo más barato y lo que más cierra.
- Separar las cuentas de administración. Que nadie administre con la misma cuenta con la que lee el correo. Es gratis y corta de raíz una familia entera de ataques.
- Poner dueño y caducidad a lo automático. Cada cuenta de servicio y cada clave de API con un responsable y una fecha de revisión. Aburrido y decisivo.
- Vigilar el comportamiento. Porque el mejor IAM del mundo no impide que alguien robe una credencial válida. Lo que queda entonces es notar que esa identidad está haciendo algo que nunca hace, y para eso hace falta que alguien esté mirando.
Preguntas frecuentes
¿IAM y Zero Trust son lo mismo?
¿Qué es el mínimo privilegio?
¿Hace falta comprar una herramienta de IAM?
¿Cada cuánto hay que revisar los permisos?
¿Un agente de inteligencia artificial necesita su propia identidad?
La lista que nadie quiere abrir
De todo lo que está escrito aquí, si solo se puede hacer una cosa, que sea el inventario. Sacar la lista completa de cuentas activas y cruzarla con la de gente que trabaja hoy en la empresa.
Es un trabajo de unos días, no cuesta dinero y no hace falta comprar nada. Y el motivo por el que casi nadie lo hace no es técnico: es que todo el mundo intuye lo que va a encontrar.
