**La Resiliencia de Identidad: Un Pilar Esencial en la Ciberseguridad Empresarial**
En el contexto actual de la ciberseguridad, las empresas deben implementar una resiliencia cibernética robusta para garantizar la continuidad de sus operaciones frente a amenazas como el ransomware. Sin embargo, uno de los aspectos a menudo subestimados de esta resiliencia es la resiliencia de identidad. Este componente es fundamental, ya que, aunque se disponga de un plan de resiliencia para datos y aplicaciones, carece de sentido si los equipos no pueden acceder a sus aplicaciones debido a que la infraestructura de identidad se encuentra inaccesible. La importancia de la resiliencia de identidad no solo afecta a los departamentos de TI, sino que tiene repercusiones directas en la operativa de negocios, el cumplimiento normativo y la reputación de la empresa.
La mayoría de los profesionales del sector son conscientes de la importancia de la resiliencia de Active Directory (AD), dado que los adversarios frecuentemente apuntan a AD para paralizar las operaciones. Un ejemplo emblemático es el incidente de malware destructivo NotPetya que afectó a Maersk en 2017, donde casi todos los controladores de dominio AD de la empresa fueron eliminados o inutilizados, interrumpiendo las operaciones de envío y portuarias a nivel mundial. Un único controlador de dominio AD sobrevivió, ya que una oficina local se desconectó de la red de Maersk debido a un corte de energía durante el ataque, lo que permitió a la compañía reconstruir su entorno de identidad global. Este ejemplo ilustra la gravedad de la situación y subraya la necesidad de establecer una resiliencia de identidad sólida.
La resiliencia de identidad se ha convertido en una prioridad para los equipos de identidad y operaciones de TI, y en particular para las funciones de continuidad del negocio y recuperación ante desastres (BCDR). A medida que la infraestructura de identidad evoluciona desde soluciones locales de AD hacia proveedores de identidad basados en la nube (IdPs), la colaboración entre estos equipos se vuelve crucial, aunque a menudo se abordan los problemas desde diferentes perspectivas. Por un lado, el equipo de identidad está profundamente familiarizado con la complejidad de la gestión de identidad y acceso (IAM) presente en las empresas actuales. Según investigaciones de Omdia, una empresa promedio utiliza alrededor de 1,200 aplicaciones, lo que hace que reconectar las aplicaciones necesarias para sostener las operaciones comerciales después de una interrupción pueda ser un desafío considerable.
El acceso a estas aplicaciones generalmente se realiza a través de un IdP. Aunque podría suponerse que las empresas cuentan con un único IdP, es común que existan múltiples IdPs, especialmente si se considera que puede haber un IdP para la gestión de identidad y acceso de clientes (CIAM) en la infraestructura orientada al cliente, además de varios IdPs centrados en la fuerza laboral, que pueden surgir a raíz de fusiones o requisitos organizacionales específicos. La investigación de Omdia ha revelado que las empresas suelen tener más de un IdP en lugar de uno solo.
Los equipos de identidad reconocen la necesidad de resiliencia para recuperarse de un incidente cibernético; sin embargo, también deben gestionar los problemas operacionales cotidianos que pueden interrumpir las operaciones. Estos problemas pueden manifestarse en forma de desviaciones en las configuraciones de los sistemas que alimentan su IdP (como desviaciones en recursos humanos o en inteligencia artificial), así como la posibilidad de errores administrativos (como una configuración incorrecta que requiera deshacer cambios). Estas desviaciones no solo pueden detener las operaciones internas y externas, sino que también crean un canal de vulnerabilidad. Para los equipos de identidad, la resiliencia de identidad no se limita simplemente al tiempo de actividad del IdP.
El proceso de restauración de la identidad implica una considerable complejidad. Después de un incidente en un IdP, los equipos de identidad deben reconectar las aplicaciones a los IdPs. Por su parte, los profesionales de operaciones de TI y BCDR suelen considerar la resiliencia cibernética o de datos al desempeñar sus funciones. Su tarea es garantizar que los servicios comerciales más críticos de una organización estén disponibles y se restauren de manera predecible y rápida tras una interrupción. En el caso de amenazas cibernéticas, esto implica alinear la copia de seguridad, la recuperación y la resiliencia cibernética para poder restaurar una "empresa mínima viable" y mitigar las consecuencias financieras, operativas, regulatorias y reputacionales de las interrupciones provocadas por amenazas como el ransomware. Generalmente, se enfocan en respaldar datos para cumplir con los objetivos de tiempo de recuperación (RTO) y puntos de recuperación (RPO).
El enfoque predeterminado de operaciones de TI consiste en devolver las operaciones a un punto conocido y seguro. Esto es complejo para aplicaciones y datos, pero la infraestructura de identidad añade un nivel adicional de complejidad. No se trata simplemente de un ejercicio de verificación de características de recuperación de datos que respalden el IdP, sino que debe incluir todas las dependencias, tanto ascendentes como descendentes. Los componentes de identidad deben orquestarse en el orden correcto y con el nivel adecuado de dependencia.
Para garantizar la resiliencia de identidad en un entorno de identidades de agente en proliferación, los equipos de identidad y de operaciones de TI deberán colaborar y mejorar sus capacidades. Algunos aspectos clave a considerar para establecer y mantener la resiliencia de identidad incluyen la comprensión del patrimonio de identidad de la organización y la garantía de una cobertura integral, así como la comprensión de las dependencias entre los diferentes IdPs y la infraestructura de identidad.
Además, es esencial mantener una visibilidad en tiempo real sobre los cambios y desviaciones en el patrimonio de identidad, lo que permitirá la remediación de cualquier incidencia que surja. Esto implica establecer estados conocidos y válidos y decidir si la desviación es aceptable. La visibilidad se traduce en prevención al controlar errores de entrada y desviaciones basadas en sistemas (como scripts o Terraform).
Asimismo, es fundamental entender el proceso de recuperación, identificando las operaciones críticas, los grupos y las dependencias, así como las tareas automatizadas que podrían requerir resolución. Validar que el proceso de recuperación garantice la resiliencia y cumpla con las obligaciones de cumplimiento, al mismo tiempo que se revisa que el proceso de recuperación esté alineado con las prioridades comerciales relacionadas con el acceso a aplicaciones críticas, es esencial.
Los sistemas de identidad sustentan el acceso a aplicaciones y datos, por lo que la resiliencia de identidad es un requisito previo para la resiliencia cibernética. A pesar de su importancia, la resiliencia de identidad no es una tarea sencilla. Los sistemas de identidad son complejos y tienen numerosas dependencias que a menudo requieren ser restauradas en una secuencia específica. Garantizar que se disponga de las tecnologías y procesos adecuados contribuirá a mantener la resiliencia de identidad en orden y evitará eventos que puedan comprometer la continuidad del negocio.