Describiremos las mejores prácticas para el inventario, la gobernanza, la gestión del ciclo de vida y la supervisión que satisfagan las necesidades normativas y empresariales, proporcionándole una hoja de ruta para reforzar el cumplimiento, reducir el riesgo de infracción y hacer de la gobernanza de NHI un activo estratégico.
Las identidades no humanas (NHI) -cuentas de servicio, claves API, bots de automatización y roles en la nube- son entidades digitales que operan dentro de los sistemas empresariales sin interacción humana directa.
Se autentican, interactúan y realizan acciones de forma muy similar a los usuarios humanos, pero existen únicamente para permitir el funcionamiento de procesos, aplicaciones y servicios. Los NHI se pueden encontrar en todas las capas de la infraestructura moderna y a menudo son fundamentales para las operaciones empresariales.
Se han convertido silenciosamente en la población dominante en los ecosistemas empresariales. En algunas organizaciones, superan en número a las identidades humanas en una proporción de hasta 100:1.
Sin embargo, a pesar de su ubicuidad, las IPN siguen siendo un punto ciego en materia de cumplimiento. Marcos como PCI DSS, GDPR, ISO 27001, SOC 2 y NIS2 exigen controles de acceso y supervisión, pero en la práctica, la mayoría de los programas de cumplimiento siguen centrándose en las cuentas humanas.
Los NHI son esenciales para el funcionamiento de los entornos de nube, SaaS, DevOps y automatización. Cada canalización de despliegue, migración a la nube o integración de servicios suele crear nuevos NHI. Esto significa que la huella del NHI se expande continuamente a medida que las organizaciones adoptan nuevas tecnologías y flujos de trabajo.
Las mismas características que hacen que las NHI sean valiosas -velocidad, escalabilidad y automatización- también las convierten en un reto único a la hora de gestionarlas. Sin visibilidad y gobernanza, las NHI pueden acumularse rápidamente, convirtiéndose en vectores de riesgo invisibles incrustados en lo más profundo de la infraestructura.
Los equipos de cumplimiento y los líderes de seguridad están sometidos a una presión cada vez mayor para abordar las vulnerabilidades. Sin embargo, cuando se trata de identidades no humanas, los riesgos a menudo permanecen ocultos hasta que causan daños cuantificables. He aquí las áreas de riesgo más comunes y costosas que requieren atención inmediata.
El coste es real: las filtraciones que implican credenciales no humanas suponen una media de 4,81 millones de dólares , y el 80% de las filtraciones de datos están relacionadas con credenciales robadas o utilizadas indebidamente.
Los controles de cumplimiento actuales están diseñados para la actividad humana: avisos MAF, supervisión del inicio de sesión del usuario, líneas de base de comportamiento. NHIs:
Este desajuste deja un peligroso vacío de gobernanza.
Los reguladores son claros: las IH entran en su ámbito de aplicación. El reto consiste en implantar controles que funcionen a la velocidad y escala de las máquinas.
Las IPH son ahora los principales usuarios de los ecosistemas digitales. Tratarlas como ciudadanos de segunda clase en los marcos de cumplimiento es una apuesta arriesgada.
Los líderes de seguridad con visión de futuro están integrando de forma proactiva la gobernanza de las IHN en sus programas de cumplimiento, riesgo y gestión de identidades.
Si necesita ayuda para cerrar las brechas de auditoría, reducir la exposición a infracciones y proteger la confianza de la marca, háganoslo saber.
El camino a seguir no consiste sólo en pasar las auditorías, sino en proteger a los “usuarios” más prolíficos de su entorno antes de que lo hagan los atacantes.