Una empresa de tecnología sanitaria había implementado SailPoint IdentityNow para una gobernanza integral de identidades que cubría a todos los empleados internos mediante aprovisionamiento automatizado, revisiones de accesos y gestión del ciclo de vida vinculada a los eventos del sistema de RR. HH. Durante una auditoría de cumplimiento, los auditores pidieron al equipo de gobernanza que demostrara la cobertura de la gobernanza de identidades para todas las poblaciones de identidades con acceso a sistemas que contenían datos de pacientes. La IGA cubría de forma exhaustiva a ochocientos empleados internos. No cubría las sesenta y tres cuentas de proveedores y contratistas que también estaban presentes en esos sistemas. Las cuentas de proveedores se gestionaban mediante una combinación de una hoja de cálculo mantenida manualmente, solicitudes de aprovisionamiento directas a los administradores de sistemas y comunicaciones de revisión de accesos por correo electrónico enviadas trimestralmente a los gestores de cuentas de los proveedores. La hoja de cálculo no se había actualizado en cuatro meses y enumeraba diecisiete cuentas; el entorno contenía cuarenta y tres. La revisión trimestral por correo electrónico había alcanzado una tasa de respuesta del cincuenta y tres por ciento en el último ciclo, lo que significaba que casi la mitad de las cuentas de proveedores no se habían revisado. El programa de IGA era maduro e integral para la población para la que fue diseñado. La población de identidades de proveedores quedaba fuera de su alcance y se gobernaba con una fracción de ese nivel de madurez.
¿Qué son realmente las brechas de gobernanza de identidades?
La gobernanza de identidades es el programa de políticas, procesos y herramientas que garantiza que las identidades digitales (cuentas de usuario, cuentas de servicio, credenciales de API y otros principales de acceso) se creen de forma adecuada, se mantengan de forma proporcional y se retiren a tiempo a lo largo de su vida operativa. Los programas de gobernanza de identidades suelen surgir de los requisitos de gestión de los empleados internos: aprovisionar a los empleados al contratarlos, ajustar el acceso a medida que cambian los roles y desaprovisionarlos al finalizar la relación laboral. El marco de altas, cambios y bajas se diseñó para el ciclo de vida de los empleados. Su aplicación a las identidades de proveedores, contratistas y socios suele ser una ocurrencia tardía que produce procesos de gobernanza mucho más débiles que los aplicados a los empleados internos.
El problema de la exclusión de poblaciones es la raíz estructural de las brechas de gobernanza de identidades. Las implementaciones de IGA se delimitan en el momento de la implementación: la población de identidades que el sistema está configurado para gestionar, los sistemas de RR. HH. con los que se integra para los eventos del ciclo de vida y las aplicaciones que gobierna para las revisiones de accesos. Las identidades de proveedores suelen quedar excluidas del alcance de IGA porque no están en el sistema de RR. HH., porque se gestionan mediante un proceso de incorporación distinto o porque la implementación de IGA fue anterior a que se reconociera que las identidades de proveedores requerían una gobernanza equivalente. La exclusión suele ser intencional en la implementación y luego se pasa por alto como la brecha de gobernanza que representa.
El déficit de la gobernanza manual es la consecuencia práctica de la exclusión de poblaciones. Las poblaciones de identidades fuera de la IGA se gobiernan mediante procesos manuales: hojas de cálculo, comunicaciones por correo electrónico, recordatorios de revisión basados en el calendario y la discrecionalidad de los administradores. Estos procesos manuales producen una gobernanza incoherente, dependiente del esfuerzo y sistemáticamente menos rigurosa que la gobernanza automatizada aplicada a las poblaciones dentro del alcance de IGA. Las revisiones de accesos logran tasas de respuesta más bajas. Los eventos del ciclo de vida generan acciones de aprovisionamiento y desaprovisionamiento menos fiables. Los inventarios de cuentas son menos exactos. La brecha de madurez de la gobernanza entre las identidades gobernadas por IGA y las gobernadas manualmente es considerable y aumenta con el tiempo, porque la población gobernada por IGA se beneficia de mejoras continuas mientras que la población gobernada manualmente permanece estática.
- Identidades de proveedores excluidas del alcance de IGA: procesos de gobernanza manuales para las poblaciones de identidades fuera de la cobertura de IGA
- Sin eventos de ciclo de vida activados por RR. HH. para las salidas de proveedores: la desvinculación de proveedores no está integrada con la gestión del ciclo de vida de IGA
- Tasas de finalización más bajas en las revisiones de accesos de las cuentas de proveedores: las revisiones de proveedores por correo electrónico logran tasas de respuesta mucho más bajas que las revisiones aplicadas mediante IGA
- Inexactitud del inventario de cuentas: las listas de cuentas de proveedores mantenidas manualmente son mucho menos exactas que las listas de cuentas de empleados gestionadas con IGA
- Sin detección automatizada de anomalías para las identidades de proveedores: la analítica de comportamiento y la puntuación de riesgos no se aplican a las poblaciones fuera del alcance de IGA
Por qué es importante
Las brechas de gobernanza de identidades son importantes para TPRM porque revelan una diferencia sistemática de madurez entre la forma en que un proveedor gestiona las identidades de sus propios empleados y la forma en que gestiona las identidades del personal que accede a los entornos de los clientes. Un proveedor con un excelente programa interno de IGA que excluye de ese programa las cuentas de contratistas y del personal de proveedores tiene una postura de gobernanza de identidades de dos niveles: un nivel para el personal interno con gobernanza completa y otro para el personal externo con gobernanza manual. La exposición del cliente se produce principalmente a través del personal externo que accede a su entorno, que está en el nivel de gobernanza más débil.
La dimensión de los hallazgos de auditoría también es directamente relevante. La cobertura de la gobernanza de identidades se examina cada vez más en auditorías regulatorias, evaluaciones SOC 2 y revisiones de TPRM. Los auditores que descubren que las identidades de proveedores con acceso a datos regulados se gobiernan mediante una hoja de cálculo actualizada por última vez hace cuatro meses, mientras que la población de empleados internos está gobernada por una IGA madura, detectarán una brecha de gobernanza significativa, independientemente de la madurez del programa interno. La auditoría aborda la protección de los datos en todas las poblaciones de identidades, no la madurez de la IGA para las poblaciones que cubre.
Dónde se equivocan la mayoría de los equipos
La falla más constante es equiparar la madurez del programa de IGA con la cobertura de la gobernanza de identidades. Una IGA madura que cubre de forma exhaustiva a los empleados internos y excluye del alcance las identidades de proveedores tiene una madurez alta para la población que cubre y ninguna automatización para la población que no cubre. La puntuación de madurez describe la implementación de IGA. La brecha de cobertura describe las poblaciones de identidades que quedan fuera de ella.
- Equiparar la madurez de IGA con la cobertura de la gobernanza de identidades
- Exclusión de las identidades de proveedores del alcance de IGA tratada como aceptable
- Gobernanza manual de las cuentas de proveedores no reconocida como una brecha entre niveles de gobernanza
- Exactitud del inventario de cuentas no evaluada por separado para las poblaciones de proveedores y de empleados
- Tasas de finalización de las revisiones de accesos no monitoreadas por población de identidades
Cómo se ve una buena práctica
Los programas maduros de gobernanza de identidades extienden la cobertura de IGA a todas las poblaciones de identidades con acceso significativo a datos sensibles (empleados internos, contratistas, proveedores y cuentas de servicio), con puntos de integración adecuados para los eventos del ciclo de vida de cada población, una aplicación coherente de las revisiones de accesos en todas las poblaciones y una detección de anomalías unificada que cubre todas las identidades gobernadas.
- Alcance de IGA extendido a las identidades de proveedores y contratistas: las mismas herramientas de gobernanza para todas las poblaciones de identidades
- Integración de los eventos del ciclo de vida de los proveedores: las notificaciones de salida activan acciones de desaprovisionamiento en IGA en lugar de procesos manuales
- Aplicación coherente de las revisiones de accesos: revisiones de las cuentas de proveedores con los mismos requisitos de tasa de finalización que las revisiones de empleados
- Inventario de cuentas unificado: cuentas de proveedores en la misma fuente autorizada que las cuentas de empleados
- Cobertura de la analítica de comportamiento para las identidades de proveedores: puntuación de riesgos y detección de anomalías aplicadas a todas las poblaciones de identidades
Herramientas
Gobierno de identidades: SailPoint, Saviynt, Omada
Las plataformas empresariales de IGA admiten varios tipos de poblaciones de identidades (empleados, contratistas, proveedores y cuentas de servicio) con puntos de integración del ciclo de vida configurables para cada una. El módulo de gestión de identidades de no empleados de SailPoint IdentityNow aborda específicamente la gobernanza de las identidades de contratistas y proveedores con eventos del ciclo de vida y flujos de revisión de accesos configurables. Para los profesionales de TPRM, preguntar si la IGA del proveedor cubre las identidades de proveedores y contratistas además de los empleados internos pone de manifiesto la cuestión del alcance de la cobertura.
Integración con la gestión de proveedores: ProcessUnity, ServiceNow
Las plataformas de gestión de proveedores integradas con IGA conectan los eventos del ciclo de vida de la relación con el proveedor (inicio del proyecto, fin del proyecto, cambios de personal) con los flujos de aprovisionamiento y desaprovisionamiento de IGA. La integración sustituye los procesos de notificación manuales por activadores automatizados del ciclo de vida que producen una gestión del acceso más fiable y oportuna. Para los profesionales de TPRM, preguntar si la IGA del proveedor está integrada con su sistema de gestión de proveedores para los eventos del ciclo de vida plantea una pregunta específica sobre la cobertura de la automatización.
Desafíos de gobernanza
El desafío de gobernanza de las brechas de gobernanza de identidades es la complejidad de integración que supone extender la cobertura de IGA a poblaciones que no son empleados. El ciclo de vida de las identidades de los empleados se entiende bien: los eventos del sistema de RR. HH. activan acciones de IGA. El ciclo de vida de las identidades de proveedores no tiene un punto de integración equivalente tan limpio: la notificación de la salida de una persona del proveedor puede llegar por correo electrónico, a través de sistemas de gestión de contratos o no llegar nunca. Crear una automatización del ciclo de vida equivalente para las identidades de proveedores exige integrar el proceso de gestión de proveedores con la IGA o implementar un mecanismo de notificación específico para proveedores sobre el que la IGA pueda actuar de forma fiable.
- Evalúe el alcance de la cobertura de IGA: qué poblaciones de identidades están incluidas y cuáles excluidas
- Pregunte específicamente por la gobernanza de las identidades de proveedores: cómo se gobiernan las cuentas de proveedores en comparación con el programa interno de IGA
- Compare la exactitud del inventario de cuentas entre las poblaciones de empleados y de proveedores
- Compare las tasas de finalización de las revisiones de accesos entre las poblaciones gobernadas por IGA y las gobernadas manualmente
- Exija la cobertura de IGA para las identidades de proveedores como estándar de gobernanza del acceso de proveedores
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de mayor riesgo dos preguntas que revelan directamente la brecha de cobertura de la gobernanza de identidades. Primera: ¿su plataforma de gobernanza de identidades cubre las cuentas de proveedores y contratistas que acceden a los entornos de los clientes, o esas identidades se gestionan mediante un proceso manual independiente? Segunda: ¿cuál es la exactitud del inventario de sus cuentas de proveedores y, en concreto, cuándo concilió por última vez su lista de cuentas de proveedores con las cuentas realmente activas en los sistemas a los que acceden esos proveedores? Esas dos preguntas revelan si la identidad de los proveedores está en la IGA o en una hoja de cálculo, y si la hoja de cálculo está al día.
- Pregunte si IGA cubre las cuentas de proveedores y contratistas además de las de empleados
- Pregunte por la exactitud del inventario de cuentas de proveedores y la fecha de la última conciliación
- Pregunte por las tasas de finalización de las revisiones de accesos de las cuentas de proveedores frente a las de empleados
- Pregunte por la integración de los eventos del ciclo de vida de los proveedores con IGA
Qué exigir
Pregunte directamente:
"¿Su plataforma de gobernanza de identidades cubre las cuentas de proveedores y contratistas que tienen acceso a los entornos de los clientes, o esas identidades se gestionan mediante un proceso manual independiente, como hojas de cálculo y revisiones por correo electrónico?"
"¿Cuál es la exactitud del inventario de cuentas de proveedores en su entorno y, en concreto, cuándo se realizó la última conciliación entre la documentación de sus cuentas de proveedores y las cuentas realmente activas en sus sistemas?"
Evidencia que debe esperar
- Documentación del alcance de la cobertura de IGA: poblaciones de identidades incluidas
- Inventario de cuentas de proveedores con la fecha de la última conciliación
- Datos de tasas de finalización de las revisiones de accesos por población de identidades
- Integración de los eventos del ciclo de vida para las cuentas de proveedores
A un proveedor que confirma una implementación madura de IGA se le debe preguntar específicamente si esa IGA cubre las cuentas de proveedores y contratistas o solo a los empleados internos. La madurez de la IGA para la población que cubre no describe la gobernanza de las poblaciones que quedan fuera de su alcance. Pregunte qué poblaciones están dentro del alcance. Las que quedan fuera son la brecha de gobernanza.
Cómo demostrarlo
- Documentación del alcance de la cobertura de IGA, incluidas las identidades de proveedores y contratistas
- Registros de conciliación del inventario de cuentas de proveedores
- Comparación de las tasas de finalización de las revisiones de accesos por población de identidades
- Documentación de la integración del ciclo de vida de los proveedores
Conclusión clave
La IGA gobierna las poblaciones para cuya gobernanza fue diseñada. Las identidades de proveedores que figuran en una hoja de cálculo actualizada por última vez hace cuatro meses no están en la IGA: están en la hoja de cálculo, gobernadas por quien se acuerde de actualizarla, revisadas por quien responda al correo trimestral y eliminadas por quien note la salida. Cuarenta y tres cuentas. Diecisiete en la hoja de cálculo. La brecha de gobernanza es la diferencia. Extender la cobertura de IGA a todas las poblaciones de identidades con acceso significativo a datos sensibles exige el trabajo de integración necesario para conectar los eventos del ciclo de vida de los proveedores con las acciones de IGA, pero la alternativa es mantener un nivel de gobernanza permanentemente inferior para las identidades que más afectan directamente al riesgo de los clientes.