Gestionar una identidad digital no es un proceso de una sola vez. Mientras un empleado forme parte de tu empresa, estos permisos siguen moviéndose con él hasta que se va. Los expertos en seguridad suelen llamar a esto el ciclo joiner-mover-leaver (JML). Así es como funcionan las tres fases de la gestión del ciclo de vida de las identidades.

1. Joiner (incorporación)

En la fase de incorporación, los administradores de seguridad crean cuentas de usuario y dan a los nuevos empleados las herramientas necesarias para sus roles. Algunos equipos abren el acceso a todo desde el primer día para adelantar tareas. Pero este exceso de aprovisionamiento representa un riesgo de seguridad importante al violar la regla del mínimo privilegio.

Para resolver este problema, los administradores de TI pueden vincular los derechos de acceso a roles laborales específicos. Esto reduce el tiempo que toma decidir quién tiene permitido el acceso, y también brinda ciertos estándares para los permisos. Por ejemplo, los profesionales de contabilidad necesitan visibilidad clara de las cuentas bancarias, y los equipos de RR. HH. necesitan acceso a los registros de nómina.

2. Mover (cambios de rol)

Los expertos en seguridad suelen considerar este paso como la parte más pasada por alto de la gestión de identidades. En la fase de cambios de rol, un empleado puede pasar a un puesto diferente u obtener un ascenso. Cuando las empresas otorgan acceso bajo esta mentalidad de solo agregar, terminan olvidando o ignorando por completo los permisos que deben eliminar.

Los cambios de rol mal gestionados generan una acumulación de privilegios. Con el tiempo, un usuario acumula una montaña de accesos que ya no usa. Para un mejor proceso, prueba con un disparador de auditoría automático para los derechos de acceso cada vez que alguien cambia de rol en tu organización. Si no necesitan ver ciertos archivos para su puesto, es responsabilidad del equipo de TI cancelar el permiso de inmediato.

3. Leaver (desvinculación)

Tan pronto como un empleado deja una organización, los equipos de TI deben comenzar el desaprovisionamiento. Cuando esto es un proceso manual, es probable que alguien olvide una aplicación o una cuenta de servicio. Esto crea perfiles sin propietario y posibles puntos de entrada para los hackers.

Las cuentas huérfanas son aquellas que ya no tienen un usuario real detrás. Los atacantes pueden usarlas sin ser detectados, ya que probablemente nadie esté revisando los registros de esos usuarios. El desaprovisionamiento inmediato y automatizado es la mejor manera de cerrar la puerta virtual después de que un empleado deja tu organización.