Vulnerabilidad de credenciales: mejores prácticas para la gestión de acceso e identidad. Cuando se trata de contraseñas, la presencia en línea de las empresas ofrece una amplia superficie de ataque digital que los atacantes cibernéticos pueden atravesar de varias maneras.
Si logran robar datos de acceso válidos para una cuenta, pueden usar la identidad secuestrada para robar datos valiosos o causar más daños en entornos corporativos. En un mundo laboral que se caracteriza cada vez más por el trabajo remoto, la seguridad y la credibilidad de las identidades digitales están cobrando una nueva relevancia. Al igual que las formas físicas de identificación, las digitales también deben protegerse de manera confiable contra el uso indebido, el robo y el fraude. Sin embargo, la huella digital y todos los rastros que los usuarios y las organizaciones dejan en Internet son muy individuales y extremadamente diversos. Esto hace que proteger las identidades y asegurar los activos digitales corporativos contra el acceso no autorizado sea extremadamente complejo.
Las credenciales siempre están en riesgo
Para las empresas que recopilan y almacenan grandes cantidades de datos de clientes, la seguridad de los datos y la reputación de la marca están estrechamente vinculadas. Una relación de confianza es una parte esencial de las relaciones comerciales. Esta propiedad también se ve reforzada en el contexto digital por la normativa de protección de datos. El Reglamento General de Protección de Datos (GDPR) establece a las empresas un marco estricto para el manejo de datos personales y protege los derechos de los particulares con obligaciones de información y notificación para las empresas procesadoras. Las infracciones al deber de cuidado de los datos de los clientes o la pérdida de los mismos son sancionables con multas para las empresas. Una experiencia que tuvo que vivir la cadena de hoteles Marriott: los ciberdelincuentes habían hackeado las cuentas de dos empleados y así pudieron acceder a las cuentas de los huéspedes del hotel. Debido a que esta brecha de seguridad pasó desapercibida durante años, el número de consumidores perjudicados asciende a más de 300 millones. La Oficina del Comisionado de Información británico (ICO) impuso originalmente una multa de más de 110 millones de euros, que se redujo a 20 millones debido a la amplia voluntad de cooperación de Marriott y teniendo en cuenta otras sentencias.
De hecho, una proporción significativa de los incidentes de piratería se deben a credenciales extraviadas o robadas. Desafortunadamente, la estrategia de cambiar las contraseñas a intervalos regulares generalmente solo tiene un efecto limitado, porque muchos usuarios usan la misma contraseña para varias cuentas. La reutilización de contraseñas se ha convertido en un mal comportamiento común debido a la dificultad y la inconveniencia de recordar numerosas y complejas contraseñas. Sin embargo, esto aumenta significativamente el riesgo de daños en caso de pirateo.
Gestión de identidades y accesos frente a riesgos de contraseñas
Las contraseñas siempre son un riesgo, independientemente de su tamaño, complejidad o singularidad. Las empresas deben tener en cuenta este hecho en sus estrategias de seguridad informática. El hecho de que los empleados transfieran sus hábitos de contraseñas privadas a su entorno de trabajo puede contrarrestarse con controles de autenticación más estrictos. Para mitigar las amenazas de manera eficiente y cumplir con las normas de protección de datos, el proceso de inicio de sesión debe hacerse más seguro a través de la gestión de identidades y accesos (IAM). Este debe tener los siguientes elementos:
Habilitación de la autenticación multifactor (MFA) y el inicio de sesión único (SSO)
Estas características ayudan a reducir el riesgo de compromiso de la cuenta al tiempo que brindan una experiencia de inicio de sesión de usuario sin inconvenientes. MFA crea una capa adicional de seguridad, por ejemplo, a través de un token de SMS enviado por mensaje de texto o mediante una aplicación de terceros como Google Authenticator. Sin una segunda forma de autenticación, el usuario no será verificado y no se le otorgará acceso a la cuenta. SSO permite a los usuarios acceder a una variedad de recursos de nube independientes iniciando sesión en un único portal. La comodidad de tener que recordar sólo una contraseña se puede ofrecer a los usuarios de forma segura. La contraseña debe reemplazarse por una nueva a intervalos regulares, si es necesario, solicitándolo automáticamente al usuario.
Determinación del contexto a través de actividades de red.
Para determinar si un usuario es realmente quien dice ser en línea, es importante que las empresas monitoreen continuamente la actividad en la red y el comportamiento de sus empleados para detectar anomalías. Por ejemplo, si un empleado inicia sesión desde la dirección IP de su hogar a las 9:22 a. m. de lunes a viernes, pero de repente inicia sesión desde una ubicación diferente el sábado por la noche a las XNUMX:XNUMX p. m., este comportamiento se consideraría sospechoso. La autenticación por niveles basada en el contexto permite a las organizaciones confirmar las identidades de los usuarios en función de la ubicación, el dispositivo y las actividades diarias. Esto también brinda a las empresas más seguridad para el acceso a los datos, sin importar dónde se lleve a cabo.
crear conciencia
A pesar de las soluciones técnicas adecuadas, una estrategia de seguridad está incompleta sin educación y sensibilización. Las empresas deben explicar a sus empleados qué valor pueden tener incluso los datos de acceso supuestamente irrelevantes para los ciberdelincuentes, qué tácticas de ataque utilizan y qué irregularidades son motivo de sospecha. Esto facilita que los empleados puedan proteger sus datos de acceso e identidades digitales y, por lo tanto, en un sentido más amplio, las de sus clientes.
En el entorno corporativo, el manejo descuidado de los datos de acceso digital puede tener graves consecuencias. Con estas sencillas medidas técnicas, las empresas pueden reducir los riesgos asociados. Al mismo tiempo, pueden respetar el deseo de practicidad de sus empleados: ya no es necesario recordar docenas de contraseñas complejas. Sin embargo, proteger los datos confidenciales del acceso no autorizado sigue siendo una tarea común: las empresas y su fuerza laboral deben estar siempre al día sobre las amenazas a las identidades digitales y desarrollar conjuntamente su comportamiento en consecuencia.
Más en Bitglass.com[ID de starbox = 4]