Identidad y acceso
El muro y el foso siguen en pie, y los necesita. Pero la red ya no es la frontera. Lo es la identidad, y eso exige otro tipo de examen. Identara evalúa quién puede acceder a sus sistemas, por qué se configuró así, y si sigue siendo defendible.
Por qué importa ahora
Durante mucho tiempo, un entorno de TI se parecía a una fortaleza. Un muro, un foso, unas pocas puertas vigiladas. Quien ya estaba dentro merecía confianza. Ese enfoque era acertado, para aquel paisaje.
Hoy las fortalezas están conectadas entre sí. Nube, teletrabajo, proveedores, portales de clientes, dispositivos que inician sesión desde cualquier lugar. Cada conexión es una puerta más, y ni mucho menos todas esas puertas están en su propio terreno.
Lo que queda como frontera es la identidad. El atacante no fuerza nada, inicia sesión. Con una contraseña robada, un correo fraudulento que funcionó, o la cuenta de un antiguo empleado que se marchó hace tiempo. No salta ninguna alarma, porque el sistema hace exactamente aquello para lo que fue construido.
Las preguntas que hacemos
¿Quién tiene acceso a qué, tanto personas como cuentas técnicas, y sigue siendo necesario ese acceso hoy?
¿Quién concedió esos derechos, con qué fundamento, y cuándo se revisaron por última vez?
¿Puede una sola persona completar una transacción entera, o la segregación de funciones es demostrable?
¿Qué ocurre con los accesos de un empleado, un proveedor o un administrador que se marcha?
Lo que nos distingue
Un test de intrusión demuestra que alguien puede entrar. Ahí suele acabar el relato. Nosotros seguimos la cadena más allá, porque es después del primer acceso cuando sale caro.
Probamos la puerta principal y evaluamos el manojo de llaves, y entregamos un único relato en lugar de dos informes separados.
Cómo miramos su entorno
Mientras nadie tenga una visión de conjunto de los derechos, cualquier juicio sobre el riesgo es una suposición.
Un acceso que en su día estuvo justificado rara vez lo sigue estando tras una reorganización o una salida.
Un control que no puede demostrar no existe para un auditor o un regulador.
Las herramientas detectan anomalías. Que algo sea un problema depende de lo que haga su organización.
Lo que entregamos
La mayoría de las organizaciones empiezan por una prueba, porque es lo que más rápido muestra dónde están. Identara define el alcance, evalúa la identidad y los accesos, e incorpora para cada parte al especialista más capaz. Usted tiene un solo interlocutor, y el alcance se fija de antemano.
¿Puede alguien entrar, y hasta dónde llega?
Ataque controlado sobre red, sistemas o aplicaciones web, conforme a normas internacionales entre ellas el OWASP Top 10. Desde fuera sin conocimiento previo, o desde dentro con una cuenta de usuario.
¿Dónde están los puntos débiles, y cuáles son realmente peligrosos?
Inventario de todo el panorama, no solo de los sistemas ya conocidos. Escaneo automatizado seguido de verificación manual, para descartar los falsos positivos.
¿Quién tiene acceso a qué, y sigue estando justificado?
Empleados, clientes, proveedores y administradores entran desde la oficina, desde casa, por la nube y por portales, cada combinación con sus propios derechos. Las recorremos todas, incluidas las cuentas de personal que se marchó, los derechos excesivos, los accesos de administración olvidados y la comprobación de la segregación de funciones.
¿Qué resiliencia tienen las personas, y no solo los sistemas?
Correos de phishing simulados, adaptados a su organización y su idioma, medidos por departamento. Opcionalmente, una prueba de acceso físico. Seguimiento con formación dirigida en lugar de un curso genérico.
¿Puede demostrar que está en orden?
Traducción de los requisitos en medidas concretas, para ISO 27001, el ENS y NIS2. Evaluación de la gestión de accesos y la segregación de funciones a la luz de la supervisión, y las pruebas que un auditor quiere ver.
Un informe no cambia nada, su ejecución sí.
Traducción de los hallazgos en un plan ajustado a su tamaño y presupuesto. Asesoramiento independiente en la elección de plataforma, no vendemos licencias. Acompañamiento de su propio equipo o del integrador.
Método
Un alcance definido, un precio cerrado y sin final abierto. Sabe de antemano qué recibe, cuándo lo recibe y cuánto cuesta.
Una reunión de alcance de una hora, después el examen dentro de los límites acordados. Los hallazgos graves le llegan durante el trabajo, no solo en el informe.
No todo puede hacerse a la vez. Los hallazgos se ponderan según lo que realmente podrían costarle a su organización, no según una puntuación estándar de un escáner. Recibe una explicación para la dirección y un anexo técnico aparte para TI.
Un plan con responsables y plazos. Lo ejecuta usted mismo o con su propio proveedor, nosotros acompañamos y velamos por que sea correcto.
Una nueva medición demuestra que la mejora está realmente ahí. Es exactamente lo que un auditor o un socio de la cadena quiere ver de usted.
Sobre Identara
Identara hace una sola cosa: evaluar quién tiene acceso a qué, y si eso sigue siendo defendible. Detrás de la marca está Dave Vijzelman, más de veinte años en gestión de identidades y accesos en grandes organizaciones de los Países Bajos y Bélgica, en sanidad, energía, servicios financieros, educación y servicios públicos.
El método es independiente de fabricantes. Identara no vende licencias ni implanta. El conocimiento de producto es lo bastante profundo para ver las diferencias entre plataformas, y eso es precisamente lo que hace útil un juicio independiente. Lo que un fabricante llama un rol es otra cosa en el siguiente.
Identara es su contratista. Definimos el alcance junto con usted, supervisamos la ejecución y entregamos el informe.
Para cada parte incorporamos al especialista más capaz, con testers certificados para el trabajo ofensivo, bajo contrato con nosotros.
Usted sabe de antemano quién entra en sus sistemas. Un solo interlocutor, un informe, ningún proveedor suelto que deba dirigir.
Sin venta de licencias, sin implantación, sin gestión. Eso mantiene el juicio libre de todo interés en el resultado.
Contacto
Sin compromiso, y le aporta una propuesta concreta a precio cerrado. Ninguna obligación de continuar después.
