Cómo implantar una autenticación inteligente para evitar los ataques

Debemos plantearnos en qué grado debemos depender exclusivamente de las credenciales, puesto que 8 de cada 10 vulneraciones están relacionadas con las contraseñas. La mayoría de las vulneraciones más costosas y notorias implican credenciales robadas o compartidas.

Aproximadamente, 2 de cada 3 empresas tienen al menos 6 directivas de contraseñas diferentes. Tener un entorno de contraseña complejo obliga a los usuarios a anotarlas para tenerlas a mano, por no mencionar la necesidad de compartir credenciales cuando sus cuentas se bloquean. Además, en la misma proporción (66%), las empresas permiten el acceso de los partners a los recursos y a la información interna confían exclusivamente en las contraseñas de los usuarios para verificar su identidad..

El resultado es que es casi imposible mantener las contraseñas lejos de delincuentes y otros usuarios externos. Entre los métodos más temibles que los atacantes utilizan se encuentran el phishing, el acto de engañar a una persona a la hora de entregar información.

Por eso, el proceso de autenticación debería tener más inteligencia. El que se hace con varios factores proporciona una forma contundente de verificar la identidad de un usuario, porque requiere algo más que lo que el usuario conoce, como una contraseña o pregunta de seguridad. Se puede configurar para requerir otro método que implique algo de lo que el usuario disponga, como un teléfono móvil u otro dispositivo de autenticación.

O bien, puede depender de algo que el usuario sea, como en caso de los lectores biométricos. El problema es que, en muchos entornos, sus usuarios se volverán locos si les obligan a realizar ese paso adicional cada vez que necesite realizar su trabajo. Para estas situaciones, debe haber una manera de limitar esa capa adicional de verificación de identidad solo cuando el riesgo empresarial lo justifique.

Hacia la autenticación inteligente

Se puede pensar en la autenticación basada en riesgos como la autenticación inteligente, que aprovecha el comportamiento y las actividades del usuario para decidir si es necesario otro método de autenticación para verificar la identidad del usuario. Estas características incluyen atributos como la ubicación o la hora de acceso del usuario, si el dispositivo es o no conocido, así como el tipo de activo al que se accede, etc.; y todo ello proporciona el contexto pertinente para determinar el riesgo de la petición de acceso.

Dicho contexto se procesa a través de un motor de riesgo para determinar si es necesario otro nivel de validación del usuario. Por tanto, he aquí tres consejos para mejorar el proceso de autenticación de las empresas:

1. Enumere los diferentes niveles de verificación de identidad (poca, confianza, confianza alta, confianza muy alta) apropiados para cada tipo de información que protege.

2. Asigne el tipo de método adecuado de mitigación de amenazas (verificación del usuario) según la calificación de riesgo.

3. En el caso de la información o los recursos que precisen una calificación de riesgo mayor, evite factores estáticos en la medida de lo posible. Los factores dinámicos resisten bastante más a los piratas informáticos.

Además de ofrecer integraciones para casi cualquier método de verificación del usuario deseado, NetIQ permite a las empresas determinar qué es lo mejor para la organización.

Descubre la innovación

Para asegurar el éxito empresarial, ahora y a futuro, es imprescindible maximizar el retorno de la inversión existente en software, a la vez que innovar y adoptar nuevas tecnologías. Los retos que hay abordar para competir en un mundo de TI Híbrida incluyen DevOps, Seguridad, Gestión de riesgos y Análisis predictivo. Puedes obtener más información sobre cómo abordar estos retos e innovar en este enlace.