Comienza por tratar la identidad como un sistema de seguridad conectado, incluso cuando los entornos subyacentes no estén conectados por un único directorio o herramienta.

La identidad híbrida puede incluir directorios on-premises, proveedores de identidad en la cloud, aplicaciones SaaS, endpoints, cuentas privilegiadas, principales de servicio, identidades de carga de trabajo, cuentas de automatización y agentes aprobados o no aprobados. La gestión del ciclo de vida debe tener en cuenta cada identidad que pueda acceder o actuar sobre los recursos del negocio, no solo las cuentas de empleados.

Un enfoque práctico incluye los siguientes pasos.

1. Crea un inventario completo de identidades

Identifica las identidades humanas y no humanas en cada entorno. Registra la propiedad, el propósito del negocio, los permisos, el método de autenticación, las aplicaciones conectadas, la información del último uso y el comportamiento esperado cuando sea posible.

Una identidad sin propietario ni propósito claros es difícil de proteger y aún más difícil de recuperar. El inventario también debe incluir cuentas de emergencia o break-glass, ya que esas cuentas necesitan controles especialmente sólidos y procedimientos de recuperación cuidadosamente probados.

2. Conecta los eventos del ciclo de vida de la identidad con las decisiones de acceso

Los procesos de incorporación, cambio de función y salida deben activar los cambios de acceso correspondientes. Cuando alguien cambia de función, los permisos deben cambiar con esa persona. Cuando un empleado se va, el acceso debe revocarse en todas las aplicaciones en la cloud, los sistemas on-premises, las sesiones, los tokens y los servicios conectados, no solo en un directorio.

El mismo principio se aplica a las identidades no humanas. Un principal de servicio, una cuenta de automatización o un agente deben tener un propietario, un propósito definido, un alcance limitado, un patrón de uso esperado y una fecha de revisión o vencimiento.

3. Aplica controles consistentes, respetando los requisitos locales

Usa una base común para la MFA, el acceso privilegiado, el privilegio mínimo, la gestión de sesiones, el consentimiento de aplicaciones, el acceso administrativo y las excepciones de política. Luego adapta la implementación a los requisitos técnicos y del negocio de cada red o aplicación.

No te bases en una sola señal, como el país, la dirección IP o la ubicación de inicio de sesión, para tomar cada decisión. Combina identidad, dispositivo, aplicación, comportamiento, inteligencia de amenazas y contexto del inquilino para distinguir la actividad normal de la sospechosa o maliciosa.

4. Correlaciona señales entre entornos

La resiliencia depende de ver más que una alerta de inicio de sesión aislada. Correlaciona la actividad de inicio de sesión con la telemetría de endpoints, los cambios en el buzón, el consentimiento de aplicaciones, los cambios de privilegios, el estado de las políticas y la infraestructura conocida de atacantes cuando esas señales estén disponibles.

Este contexto compartido ayuda a los equipos a entender si un evento es esperado, sospechoso o malicioso, y a elegir una acción apropiada, como monitorear, desafiar, contener, bloquear, remediar o escalar a un analista.

5. Planifica y prueba la recuperación de identidad

La recuperación debe ser un proceso definido, documentado y probado, no una respuesta improvisada durante un incidente. Según la situación, un playbook puede incluir:

• Revocar sesiones y tokens activos
• Restablecer credenciales o rotar secretos y certificados
• Deshabilitar o restringir una cuenta, aplicación o principal de servicio comprometidos
• Eliminar reglas de buzón, concesiones, permisos o mecanismos de persistencia maliciosos
• Restaurar las políticas y configuraciones de identidad a un estado conocido como bueno
• Confirmar que los usuarios legítimos y las cargas de trabajo críticas puedan seguir operando
• Revisar lo que ocurrió y verificar que la ruta de ataque original esté cerrada

Las acciones que podrían interrumpir la automatización de producción o el acceso crítico para el negocio deben ser explicables, conscientes del impacto, reversibles cuando sea posible y regidas por límites de política explícitos.