Gestión de accesos: cinco claves a considerar

Acacio Martín, director general de Fortinet Iberia

La gestión de accesos es un área crucial para cualquier organización con acceso a Internet. El auge del trabajo en remoto y de los dispositivos móviles ha complicado y confundido aún más las funciones de gestión de accesos, mientras que la popularidad de las redes sociales y la Web 2.0 implican nuevos retos en el entorno laboral.

Dada esta situación, creemos conveniente dar unas claves o consejos para facilitar la labor de los responsables de TI a la hora de gestionar los accesos.

Haga un inventario. Las organizaciones necesitan disponer de unas políticas de acceso de usuarios muy definidas por lo que los administradores de TI deberían realizarse una pregunta fundamental: ¿Quién debería acceder a qué?

El CEO y los altos cargos de la compañía deberían tener más permiso para acceder a los datos que otros trabajadores. En este sentido, las organizaciones deberían dar permisos a grupos de usuarios en relación a sus funciones de trabajo. Así, el personal de marketing y ventas se beneficiaría de un acceso sin restricciones a medios sociales, mientras que otros grupos – como el personal de mantenimiento, por ejemplo –podrían disponer de un acceso
limitado a redes sociales durante su hora de comida o fuera de su jornada laboral.

Un política general de “No YouTube” no permitirá que los usuarios puedan descargarse vídeos relativos a su trabajo. Las restricciones en el ancho de banda de barrido frustrará a los usuarios que requieren aplicaciones de videoconferencia para realizar reuniones con compañeros de todo el mundo.

La determinación del nivel adecuado de permisos requiere de una investigación previa sobre lo que los usuarios necesitan para ser más eficientes. Identificar con antelación estos requerimientos evitará el ensayo y error.

Comunica claramente las políticas y sé flexible. Una vez que se han determinado los distintos niveles de políticas, la organización debe comunicárselas al usuario. Esto significa educar a los usuarios sobre lo que está permitido y/o prohibido realizar en la red corporativa.

No obstante hay que ser flexible. Un usuario o grupo de usuarios podría tener acceso a unos datos específicos por una necesidad no identificada previamente. Asimismo, la necesidad de acceso del usuario puede variar en el tiempo: ascensos de empleados, cambio de roles, nuevas funcionalidades, etc. Cualquier cambio implicará un nuevo nivel de acceso.

Estar pendiente de las necesidades de los usuarios y comunicar convenientemente las nuevas políticas de acceso evitará muchos problemas internos a la organización. Además, una vez que los usuarios estén al tanto, lo más probable es que se quiera cumplir con las normas.

Control, control, control. Uno no sabe lo que no sabe. Si bien determinadas políticas restrictivas de acceso pueden mantenerse, es improbable que todas se apliquen al global de la organización por siempre. Lógicamente, habrá excepciones. Con permisos y políticas tan innumerables y dispares, algunos temas pueden caer en el olvido. Corresponde a los usuarios invertir en herramientas para supervisar y analizar el comportamiento de los usuarios en la red. Un seguimiento exhaustivo permite a los administradores de TI determinar si un usuario está minando el ancho de banda con archivos en streaming de música o de vídeo; si alguien desde dentro está accediendo a información no autorizada, ya sea accidental o intencionadamente, o si los usuarios están visitando sitios ilícitos durante las horas de trabajo.

La información capacitará a la organización para actuar correctamente en línea con los objetivos de negocio. Afrontémoslo: La mayoría de las organizaciones quieren ser tan eficientes y productivas como sea posible. El control permite a los administradores y gestores de TI entender cómo se está utilizando la red para poder adaptar mejor las políticas.

Gestione sus trabajadores en remoto. Muchas organizaciones están de acuerdo en que sería más fácil para las tareas de administración de red que ésta se limitara a las paredes físicas de la organización. Sin embargo, raras son las compañías que no cuentan con trabajadores móviles, remotos y contratados.

Los administradores de TI necesitan asegurar a estos trabajadores y dispositivos y aplicar las mismas políticas y permisos. Las organizaciones necesitan asegurar que tienen una solución VPN robusta y que todas las herramientas relacionadas con el control de accesos y aplicaciones, firewall, IDS e IPS, antivirus, antispam y spyware se ejecutan también en los trabajadores en remoto.

Cuenta para BYOD. Antes, los administradores de TI se dedicaban a gestionar las cuentas de la red y lo que residía en ella. Ahora la situación ha cambiado. Actualmente, los usuarios no tienen que acceder a sites cuestionables o a datos sensibles desde su ordenador ya que pueden hacerlo desde sus propios dispositivos móviles.

Los dispositivos móviles personales que se utilizan con fines profesionales contendrán información sensible y crítica para el negocio. Esto pone en una situación vulnerable a la organización frente al robo de datos o los ataques de malware cuando los usuarios acceden a sites con malware.

Los administradores de TI y otros decisores deberán determinar hasta qué punto las políticas de gestión de accesos debe extenderse a los dispositivos personales de los usuarios. Ello dependerá en medida de las necesidades, los objetivos y la cultura de la organización.