Identificar, autenticar, autorizar: los 3 pasos para proteger el acceso

Imagina que Carmen Serrano empieza su primer día como ingeniera en una empresa: ¿qué probabilidad hay de que entre directamente a la oficina, sin hablar con nadie, y empiece a usar un ordenador cualquiera? 

Lo más normal sería que se presentase en recepción y alguien de seguridad la localizase en la lista del personal. Después, tendría que identificarse, enseñando su DNI o siendo reconocida por alguien del equipo. Solo entonces, el conserje le permitiría entrar. 

Este proceso de tres pasos, identificación, autenticación y autorización, lo seguimos muchas veces en nuestra vida diaria: cuando embarcamos en un vuelo o vamos al gimnasio, por ejemplo. Pues lo mismo debería aplicarse a las infraestructuras IT, para asegurarse de que las personas que acceden a los sistemas de la empresa son realmente quienes dicen ser y tienen permiso para hacerlo. En un entorno seguro, estos tres pasos funcionan de forma conjunta para proteger los datos sensibles. 

Identificación 

La identidad es el punto de partida. En un entorno digital, Carmen sería una persona que intenta conectarse a la red de la empresa. Igual que el conserje necesita pruebas de que ella es quien dice ser, un sistema virtual también necesita confirmar esa identidad. Y dado que dentro de las infraestructuras IT se guarda mucha información sensible, es importante poder distinguir a los usuarios digitales con la misma precisión que lo haríamos en persona. 

Cuando una empresa pone en marcha un sistema de gestión de identidades, su objetivo es identificar a cada usuario con el mayor nivel de seguridad posible. Para ello, se asigna a cada persona un identificador único, y a partir de ese momento se la reconoce por sus credenciales (usuario y contraseña), en lugar de por su nombre o su cara. 

Pero una simple combinación de usuario y contraseña no basta para garantizar la seguridad de una red, ya que puede usarse indebidamente. De hecho, las credenciales robadas o extraviadas son bastante comunes. Por eso, identificar no es suficiente: también hace falta autenticar. 

Autenticación 

Autenticar significa comprobar que una persona es realmente quien dice ser. En el ejemplo físico, sería cuando Carmen enseña su DNI. En el mundo digital, este paso sigue el modelo Zero Trust, que parte de la base de que no se puede dar nada por hecho: cada identidad y cada permiso deben verificarse siempre con medidas de seguridad estrictas. 

Para ello, se pueden usar tres tipos de factores: 

• Algo que sabes: lo más habitual es una contraseña. Es la forma más básica de control, pero también la más vulnerable, porque se puede compartir o ver fácilmente. 

• Algo que tienes: puede ser un móvil, una tarjeta de acceso o un dispositivo que genera códigos temporales. 

• Algo que eres: aquí entran las huellas dactilares, el iris o incluso el estilo de teclear o de hablar. 

Cuantos más factores se usen, más difícil será para alguien robar una identidad. Por eso, añadir una capa extra de seguridad, lo que se conoce como autenticación multifactor (MFA), permite a las empresas estar mucho más seguras de que quien intenta acceder es realmente quien dice ser. Y esta certeza es especialmente importante cuando se trata de datos sensibles. 

Soluciones de gestión de identidades como WALLIX IDaaS permiten autenticar a los usuarios y gestionar sus accesos de forma sencilla desde un único panel. Gracias a la MFA, se garantiza la identidad del usuario, y los administradores pueden gestionarlo todo de forma centralizada. 

Una vez que los usuarios han sido identificados y autenticados correctamente, el siguiente paso es asegurarse de que solo acceden a lo que deben. 

Autorización 

Cuando Carmen llega a la empresa, lo lógico es que no pueda moverse libremente por todas partes. Aunque el conserje ya haya comprobado quién es, no por eso va a dejarla pasar a cualquier despacho. Lo habitual es que le autoricen solo a acceder a determinadas zonas, como su oficina o las áreas comunes, pero no, por ejemplo, al departamento técnico o al servidor central. 

En el mundo digital pasa lo mismo. Aunque un usuario haya pasado la autenticación multifactor (MFA) y su identidad esté verificada, no significa que deba tener vía libre a todos los recursos. Aquí entra en juego la autorización, que es lo que determina a qué puede acceder cada persona dentro del sistema. 

Esto se basa en el principio del menor privilegio, que dice que cada usuario solo debe tener los permisos necesarios para hacer su trabajo, ni más ni menos. Si no se aplica bien, se corre el riesgo de que haya personas con demasiados privilegios, lo que puede provocar errores, accesos indebidos, robos de información o incluso fraudes. 

Para evitarlo, muchas empresas utilizan soluciones de gestión de accesos privilegiados (PAM) que permiten controlar quién accede a qué, cuándo y cómo. Desde una consola centralizada, los administradores IT pueden definir reglas que concedan o bloqueen accesos automáticamente, además de supervisar lo que hacen los usuarios con privilegios elevados. Así, no solo se pueden auditar sus acciones, sino también cortar en seco cualquier comportamiento sospechoso en tiempo real. 

Soluciones como WALLIX PAM ofrecen una forma segura y eficiente de autorizar y supervisar a todos los usuarios con acceso privilegiado en la red de una empresa. Además de controlar qué permisos tiene cada uno, permiten: 

• Eliminar la necesidad de que los usuarios privilegiados conozcan las contraseñas locales de los sistemas. 

• Generar un registro de auditoría inalterable de todas las operaciones privilegiadas. 

• Cumplir con normativas de control de acceso, monitorización y auditoría como el RGPD, NIS2, ISO 27001, HIPAA o PCI DSS. 

Identificación, autenticación y autorización son tres elementos básicos para una buena estrategia de seguridad de accesos. Trabajan juntos para proteger las redes y mantener a salvo la información más sensible, con un enfoque completo y bien estructurado. 

Si quieres entender mejor cómo funciona todo esto, puedes descargarte nuestro whitepaper “Guía para principiantes sobre la seguridad de accesos”, donde explicamos estos conceptos con más detalle.