La identidad es el nuevo perímetro. Trátela como tal.
Estrategia e implementación de IAM: consolidación de SSO, aplicación de MFA, acceso de mínimo privilegio, automatización de altas/cambios/bajas y acceso condicional — para que sus usuarios puedan hacer su trabajo y los atacantes no puedan hacer el suyo.
Las credenciales están involucradas en más del 80 % de las brechas
El Verizon DBIR ha reportado durante años consecutivos que el abuso de credenciales es la principal causa de brechas. La razón no es que las empresas ignoren las contraseñas; es que la proliferación de SaaS ha hecho que aplicar la identidad de forma consistente sea casi imposible sin herramientas deliberadas. Una empresa típica de 50 personas utiliza entre 40 y 80 aplicaciones SaaS. Algunas usan SSO. Muchas usan cuentas locales con contraseñas que se establecieron durante la incorporación y nunca se volvieron a tocar. Cuando alguien es promovido, cambia de rol o se va, esas cuentas rara vez se actualizan el mismo día — ni siquiera la misma semana.
Una sola cuenta de administrador con privilegios excesivos, comprometida mediante phishing o una filtración de credenciales, puede alcanzar todas las herramientas SaaS a las que ese administrador tenía acceso. El radio de impacto no lo determina lo que el atacante quiere, sino lo que su modelo de acceso permite. El costo de un programa de IAM es pequeño en comparación con lo que cuesta un solo incidente con una cuenta de privilegios excesivos en respuesta a incidentes, exposición de datos y confianza del cliente.
Señales de que necesita esto
- Exempleados todavía tienen cuentas activas en una o más herramientas SaaS semanas después de su último día
- No todos los usuarios tienen MFA, o el MFA solo se aplica en algunas aplicaciones
- No tiene un inventario claro de qué aplicaciones usan SSO y cuáles usan credenciales locales
- El acceso de administrador se comparte entre varias personas, o las cuentas de administrador se usan para el trabajo diario
- Las cuentas de servicio y las claves de API no están inventariadas, rotadas ni limitadas a los permisos mínimos necesarios
- Una revisión de cumplimiento o un cuestionario de seguridad preguntó por su proceso de revisión de accesos y tuvo que improvisar una respuesta
Qué entrega el proyecto
Auditamos su postura de identidad actual y entregamos una hoja de ruta concreta: qué consolidar, qué aplicar, qué automatizar y en qué orden. Para los clientes que quieren más que un plan, también implementamos — configuramos su IdP, construimos la automatización de altas/cambios/bajas y establecemos las políticas de acceso condicional que hacen real el programa.
Auditoría y estrategia
- Auditoría del estado actual de IAM: inventario de aplicaciones, cobertura de SSO, estado de MFA, mapa de cuentas privilegiadas y revisión de cuentas de servicio
- Análisis de brechas frente a los principios de mínimo privilegio y zero trust
- Plan de consolidación de SSO entre sus opciones de IdP (Okta, Microsoft Entra ID, JumpCloud, Google Workspace)
- Revisión de acceso privilegiado: quién tiene derechos de administrador, dónde y si realmente los necesita
Implementación y automatización
- Manual de aplicación de MFA: qué aplicaciones, qué métodos de MFA y la secuencia de despliegue que minimiza la interrupción para los usuarios
- Automatización de altas/cambios/bajas: flujos de aprovisionamiento y desaprovisionamiento vinculados a su sistema de RR. HH. de registro
- Políticas de acceso condicional: confianza del dispositivo, controles de ubicación y reglas de autenticación basadas en riesgo
- Gobierno de cuentas de servicio y claves de API: inventario, calendarios de rotación y limitación al mínimo privilegio
Cómo se desarrolla el proyecto
Un proyecto de auditoría y hoja de ruta de IAM dura de 4 a 6 semanas. La consolidación completa — implementar la migración del IdP, la automatización de altas/cambios/bajas y las políticas de acceso condicional — toma más tiempo según la cantidad de aplicaciones y la complejidad de su integración con RR. HH. Definimos el alcance del trabajo de implementación por separado, una vez que la auditoría revele lo que hay que hacer.
Estructura del proyecto
- Descubrimiento (semanas 1-2): inventario de aplicaciones, revisión del IdP, auditoría de cobertura de MFA, mapeo de acceso privilegiado y enumeración de cuentas de servicio
- Análisis y hoja de ruta (semanas 3-4): análisis de brechas, plan de consolidación, diseño del proceso de altas/cambios/bajas y hoja de ruta de remediación priorizada
- Implementación (opcional, semanas 5+): configuración del IdP, despliegue de MFA, construcción de la automatización de altas/cambios/bajas y despliegue de políticas de acceso condicional
- Validación: revisión de accesos al cierre para confirmar que la implementación coincide con el diseño
Lo que le pedimos
- Un líder de TI o administrador de sistemas que pueda extraer las listas de usuarios actuales, las integraciones de aplicaciones y la configuración del IdP
- Acceso al sistema de RR. HH. o una exportación del estado de los empleados para validar los tiempos de aprovisionamiento y desaprovisionamiento
- Un patrocinador que pueda aprobar el calendario de despliegue de MFA — la comunicación con los usuarios es clave para la adopción
- Honestidad sobre el shadow IT y las aplicaciones que no figuran en el inventario oficial
Por qué un proyecto de IAM con Red Hound
Hemos construido programas de IAM desde cero en empresas sin IdP y con 60 aplicaciones SaaS, y hemos asumido programas que estaban en problemas — permisos excesivamente amplios, atrasos en el desaprovisionamiento y políticas de acceso condicional que bloqueaban a más usuarios legítimos que atacantes. Ambas situaciones tienen solución con la secuencia de trabajo adecuada. Conocemos esa secuencia y no atamos nuestra recomendación a ningún proveedor en particular.
Qué nos diferencia
- Independientes del proveedor. Damos soporte a Okta, Microsoft Entra ID, JumpCloud y Google Workspace. Recomendamos lo que se ajusta a su entorno y presupuesto existentes, no la plataforma que paga el mayor margen por referidos.
- Implementamos, no solo asesoramos. Si quiere que el trabajo se haga y no solo se planifique, podemos configurar el IdP, construir la automatización de altas/cambios/bajas y desplegar las políticas de acceso condicional nosotros mismos.
- Las aplicaciones que no son SaaS no son una ocurrencia tardía. Las aplicaciones locales, las VPN y los sistemas heredados se incluyen en el inventario y se abordan en el plan de consolidación.
- Las cuentas de servicio reciben atención real. Las claves de API y las cuentas de servicio son la brecha de IAM que la mayoría de las evaluaciones pasa por alto. Las inventariamos, las limitamos y construimos la rotación dentro del programa.
- Acceso privilegiado sin interrumpir las operaciones. El acceso justo a tiempo y los procedimientos de emergencia se diseñan para ajustarse a los patrones de trabajo reales de su equipo, no copiados de un manual empresarial.
Preguntas frecuentes
Preguntas comunes antes de un proyecto de IAM. Si la suya no está aquí, la llamada de diagnóstico es el lugar indicado para plantearla.
¿Qué proveedores de identidad admiten?
Trabajamos con Okta, Microsoft Entra ID (antes Azure AD), JumpCloud y Google Workspace como IdP principales. Si ya está en uno de ellos, lo configuramos y optimizamos. Si está eligiendo, le ayudamos a decidir según su combinación de aplicaciones, su presupuesto y dónde se encuentra su personal. No tenemos ningún interés económico en cuál elija.
¿Implementan o solo asesoran?
Ambas cosas, según lo que necesite. El proyecto de auditoría y hoja de ruta es de asesoría. La implementación — configuración del IdP, automatización de altas/cambios/bajas, políticas de acceso condicional — es una línea de trabajo separada cuyo alcance definimos después de la auditoría. Muchos clientes hacen primero la auditoría e implementan con su propio equipo de TI usando la hoja de ruta que entregamos. Otros quieren que hagamos la construcción completa. Cualquiera de las dos opciones funciona.
¿Cómo manejan las aplicaciones que no admiten SSO?
Las inventariamos por separado y evaluamos las opciones: algunos proveedores ofrecen SSO en planes de nivel superior; otras pueden accederse mediante una bóveda de credenciales; algunas son candidatas a reemplazo. El objetivo es reducir la cantidad de rutas de autenticación no gestionadas, no fingir que todas las aplicaciones admiten SAML. Somos directos sobre lo que es alcanzable frente a lo que es aspiracional.
¿Qué pasa con las cuentas de servicio y las claves de API?
Se incluyen en el alcance de la auditoría, no se dejan como un ejercicio para después. Enumeramos las cuentas de servicio y las claves de API, mapeamos a qué pueden acceder, comprobamos si ese acceso sigue siendo necesario y diseñamos un programa de rotación y monitoreo. Esta es una de las áreas de riesgo de IAM que más se pasan por alto en entornos de PYMES.
¿Cómo manejan el acceso privilegiado sin interrumpir las operaciones?
Con cuidado. Diseñamos el acceso justo a tiempo y los procedimientos de emergencia en torno a los patrones de trabajo reales de su equipo. El objetivo es que un administrador que necesite acceso elevado pueda obtenerlo en menos de dos minutos, que el acceso tenga un límite de tiempo y que exista un registro de quién lo usó y por qué. No recomendamos controles que se vayan a eludir por ser demasiado lentos de usar bajo presión.
Ponga en orden su historia de identidad antes de que un atacante lo haga por usted.
Una llamada de diagnóstico de 30 minutos, sin compromiso. Revisamos en qué punto está hoy su modelo de acceso y le decimos cómo sería un programa de IAM realista para su entorno.