La gestión de identidad ( IdM ), también conocida como gestión de identidad y acceso ( IAM o IdAM ), es un marco de políticas y tecnologías para garantizar que los usuarios adecuados (que forman parte del ecosistema conectado a una empresa o dentro de ella) tengan el acceso adecuado a los recursos tecnológicos. Los sistemas de IdM se incluyen en el ámbito general de la seguridad de TI y la gestión de datos . Los sistemas de gestión de identidad y acceso no solo identifican, autentican y controlan el acceso de las personas que utilizarán los recursos de TI, sino también el hardware y las aplicaciones a las que los empleados necesitan acceder. [1] [2]
IdM aborda la necesidad de garantizar un acceso adecuado a los recursos en entornos tecnológicos cada vez más heterogéneos y de cumplir con requisitos de cumplimiento cada vez más rigurosos. [3]
Los términos "gestión de identidad" ( IdM ) y "gestión de identidad y acceso" se utilizan indistintamente en el área de gestión de acceso a la identidad. [4]
Los sistemas, productos, aplicaciones y plataformas de gestión de identidad administran datos de identificación y auxiliares sobre entidades que incluyen individuos, hardware relacionado con computadoras y aplicaciones de software .
IdM cubre cuestiones tales como la forma en que los usuarios obtienen una identidad , los roles y, a veces, los permisos que otorga esa identidad, la protección de esa identidad y las tecnologías que respaldan esa protección (por ejemplo, protocolos de red , certificados digitales , contraseñas , etc.).
La gestión de identidad ( ID management ) –o gestión de identidad y acceso ( IAM )– es el proceso organizativo y técnico para registrar y autorizar primero los derechos de acceso en la fase de configuración, y luego en la fase de operación para identificar, autenticar y controlar a individuos o grupos de personas para que tengan acceso a aplicaciones, sistemas o redes en función de los derechos de acceso previamente autorizados. La gestión de identidad (IdM) es la tarea de controlar la información sobre los usuarios en las computadoras. Dicha información incluye información que autentica la identidad de un usuario e información que describe los datos y las acciones a las que está autorizado a acceder y/o realizar. También incluye la gestión de información descriptiva sobre el usuario y cómo y por quién se puede acceder y modificar esa información. Además de los usuarios, las entidades administradas suelen incluir recursos de hardware y red e incluso aplicaciones. [5] El diagrama siguiente muestra la relación entre las fases de configuración y operación de IAM, así como la distinción entre gestión de identidad y gestión de acceso.
El control de acceso es la aplicación de los derechos de acceso definidos como parte de la autorización de acceso .
La identidad digital es la presencia en línea de una entidad, que abarca la información de identificación personal (PII) y la información auxiliar. Véanse las directrices de la OCDE [6] y el NIST [7] sobre la protección de la PII. [8] Puede interpretarse como la codificación de los nombres y atributos de identidad de una instancia física de una manera que facilite el procesamiento.
En el contexto real de la ingeniería de sistemas en línea, la gestión de identidad puede implicar cinco funciones básicas:
Se puede construir un modelo general de identidad a partir de un pequeño conjunto de axiomas, por ejemplo, que todas las identidades en un espacio de nombres determinado son únicas, o que dichas identidades guardan una relación específica con las entidades correspondientes en el mundo real. Un modelo axiomático de este tipo expresa una "identidad pura" en el sentido de que el modelo no está limitado por un contexto de aplicación específico.
En general, una entidad (real o virtual) puede tener múltiples identidades y cada una de ellas puede abarcar múltiples atributos, algunos de los cuales son únicos dentro de un espacio de nombres determinado. El diagrama siguiente ilustra la relación conceptual entre identidades y entidades, así como entre identidades y sus atributos.
En la mayoría de los modelos teóricos y prácticos de identidad digital , un objeto de identidad determinado consta de un conjunto finito de propiedades (valores de atributos). Estas propiedades registran información sobre el objeto, ya sea para fines externos al modelo o para operar el modelo, por ejemplo en la clasificación y recuperación. Un modelo de "identidad pura" no se ocupa estrictamente de la semántica externa de estas propiedades.
En la práctica, la desviación más común de la "identidad pura" se produce con las propiedades destinadas a garantizar algún aspecto de la identidad, por ejemplo, una firma digital [3] o un token de software que el modelo puede utilizar internamente para verificar algún aspecto de la identidad en cumplimiento de un propósito externo. En la medida en que el modelo exprese dicha semántica internamente, no es un modelo puro.
Comparemos esta situación con las propiedades que podrían utilizarse externamente con fines de seguridad de la información, como la gestión de acceso o de derechos, pero que simplemente se almacenan, mantienen y recuperan sin un tratamiento especial por parte del modelo. La ausencia de semántica externa dentro del modelo lo califica como un modelo de "identidad pura".
La gestión de la identidad puede definirse como un conjunto de operaciones sobre un modelo de identidad determinado o, de forma más general, como un conjunto de capacidades con referencia a él.
En la práctica, la gestión de identidades suele ampliarse para expresar cómo se debe aprovisionar y conciliar el contenido del modelo entre múltiples modelos de identidad. El proceso de conciliación de cuentas también puede denominarse desaprovisionamiento. [9]
El acceso de los usuarios permite a los usuarios asumir una identidad digital específica en todas las aplicaciones, lo que permite asignar controles de acceso y evaluarlos en relación con esta identidad. El uso de una única identidad para un usuario determinado en varios sistemas facilita las tareas de los administradores y los usuarios. Simplifica el control y la verificación del acceso y permite a las organizaciones minimizar los privilegios excesivos otorgados a un usuario. Garantizar la seguridad del acceso de los usuarios es crucial en este proceso, ya que implica proteger la integridad y la confidencialidad de las credenciales de los usuarios y evitar el acceso no autorizado. La implementación de mecanismos de autenticación robustos, como la autenticación multifactor (MFA), auditorías de seguridad periódicas y controles de acceso estrictos, ayuda a proteger las identidades de los usuarios y los datos confidenciales. El acceso de los usuarios se puede rastrear desde el inicio hasta la finalización del acceso de los usuarios. [10]
Cuando las organizaciones implementan un proceso o sistema de gestión de identidades, normalmente su motivación principal no es gestionar un conjunto de identidades, sino más bien conceder derechos de acceso adecuados a esas entidades a través de sus identidades. En otras palabras, la gestión del acceso suele ser la motivación para la gestión de identidades y, en consecuencia, los dos conjuntos de procesos están estrechamente relacionados. [11]
Las organizaciones continúan añadiendo servicios tanto para usuarios internos como para clientes. Muchos de estos servicios requieren de una gestión de identidades para proporcionarlos adecuadamente. Cada vez más, la gestión de identidades se ha separado de las funciones de aplicación, de modo que una única identidad puede servir para muchas o incluso todas las actividades de una organización. [11]
Para uso interno, la gestión de identidad está evolucionando para controlar el acceso a todos los activos digitales, incluidos dispositivos, equipos de red, servidores, portales, contenidos, aplicaciones y/o productos.
Los servicios suelen exigir el acceso a una gran cantidad de información sobre el usuario, como libretas de direcciones, preferencias, derechos e información de contacto. Dado que gran parte de esta información está sujeta a requisitos de privacidad y/o confidencialidad, controlar el acceso a ella es vital. [12]
La federación de identidades comprende uno o más sistemas que comparten el acceso de los usuarios y permiten a los usuarios iniciar sesión en función de la autenticación con uno de los sistemas que participan en la federación. Esta confianza entre varios sistemas se conoce a menudo como "círculo de confianza". En esta configuración, un sistema actúa como proveedor de identidad (IdP) y otro u otros sistemas actúan como proveedor de servicios (SP). Cuando un usuario necesita acceder a algún servicio controlado por el SP, primero se autentica con el IdP. Tras una autenticación exitosa, el IdP envía una "afirmación" segura al proveedor de servicios. "Las afirmaciones SAML, especificadas mediante un lenguaje de marcado destinado a describir afirmaciones de seguridad, pueden ser utilizadas por un verificador para realizar una declaración a una parte que confía sobre la identidad de un solicitante. Las afirmaciones SAML pueden estar firmadas digitalmente de manera opcional". [13]
Las implementaciones de referencia más populares de las especificaciones SAML son Shibboleth y Simple-SAML.php. Ambos lenguajes también ofrecen capacidades de inicio de sesión único (SSO). [14]
Además de la creación, eliminación y modificación de datos de identidad del usuario, ya sea de forma asistida o de autoservicio, la gestión de identidad controla datos de entidades auxiliares para su uso por parte de aplicaciones, como información de contacto o ubicación.
La introducción de información personal en redes informáticas necesariamente plantea problemas de privacidad . Si no se cuenta con las protecciones adecuadas, los datos pueden utilizarse para implementar una sociedad de vigilancia . [16]
Los servicios de redes sociales en línea y la web social hacen un uso intensivo de la gestión de identidades. Ayudar a los usuarios a decidir cómo gestionar el acceso a su información personal se ha convertido en una cuestión de gran preocupación. [17] [18]
El robo de identidad ocurre cuando los ladrones obtienen acceso a información de identidad, como los datos personales necesarios para acceder a una cuenta bancaria.
La investigación relacionada con la gestión de la identidad abarca disciplinas como la tecnología, las ciencias sociales, las humanidades y el derecho. [19]
La gestión de identidad descentralizada es la gestión de identidad basada en identificadores descentralizados (DID). [20]
En el marco del Séptimo Programa Marco de Investigación de la Unión Europea, entre 2007 y 2013, se iniciaron varios proyectos nuevos relacionados con la gestión de la identidad.
El Proyecto PICOS investiga y desarrolla una plataforma de última generación para proporcionar confianza, privacidad y gestión de identidad en comunidades móviles. [21]
PrimeLife desarrolla conceptos y tecnologías para ayudar a las personas a proteger su autonomía y conservar el control sobre su información personal, independientemente de sus actividades. [22]
SWIFT se centra en ampliar las funciones de identidad y la federación a la red, abordando al mismo tiempo las cuestiones de usabilidad y privacidad y aprovecha la tecnología de identidad como clave para integrar las infraestructuras de servicio y transporte en beneficio de los usuarios y los proveedores. [23]
Los proyectos en curso incluyen Future of Identity in the Information Society (FIDIS), [24] GUIDE, [25] y PRIME. [26]
Las revistas académicas que publican artículos relacionados con la gestión de identidad incluyen:
Revistas menos especializadas publican sobre el tema y, por ejemplo, tienen números especiales sobre identidad como:
La ISO (y más específicamente el grupo de trabajo sobre técnicas de seguridad de TI ISO/IEC JTC 1 , SC27 IT Security Techniques WG5 Identity Access Management and Privacy Techniques) está realizando algunos trabajos de normalización para la gestión de identidades (ISO 2009), como la elaboración de un marco para la gestión de identidades, incluida la definición de términos relacionados con la identidad. Las normas publicadas y los elementos de trabajo actuales incluyen lo siguiente:
En cada organización existe normalmente un rol o departamento que se encarga de gestionar el esquema de identidades digitales de su personal y de sus propios objetos, que están representados por identidades de objeto u identificadores de objeto (OID). [28] Las políticas, procesos y procedimientos organizacionales relacionados con la supervisión de la gestión de identidades se denominan a veces Gobernanza y Administración de Identidad (IGA). Existen herramientas de software comerciales para ayudar a automatizar y simplificar dichas funciones de gestión de identidad a nivel organizacional. [29] La eficacia y la adecuación con que se utilizan dichas herramientas cae dentro del ámbito de regímenes más amplios de gobernanza, gestión de riesgos y cumplimiento .
Desde 2016, los profesionales de la gestión de identidades y accesos cuentan con su propia organización profesional, IDPro. En 2018, el comité inició la publicación de una bibliografía comentada, en la que se enumeran una serie de publicaciones, libros, presentaciones y vídeos importantes. [30]
Un sistema de gestión de identidad se refiere a un sistema de información o a un conjunto de tecnologías que pueden utilizarse para la gestión de identidad empresarial o entre redes. [31]
Los siguientes términos se utilizan en relación con el "sistema de gestión de identidad": [32]
La gestión de identidades , también conocida como gestión de identidades y accesos (IAM), es un marco de seguridad de identidad que funciona para autenticar y autorizar el acceso de los usuarios a recursos como aplicaciones, datos, sistemas y plataformas en la nube. Busca garantizar que solo las personas adecuadas tengan acceso a las herramientas adecuadas y por los motivos adecuados. A medida que nuestro ecosistema digital continúa avanzando, también lo hace el mundo de la gestión de identidades. [33]
"Gestión de identidad" y "gestión de acceso e identidad" (o AIM) son términos que se utilizan indistintamente bajo el título de gestión de identidad, mientras que la gestión de identidad en sí misma cae bajo el paraguas de la seguridad de TI [34] y la privacidad de la información [35] [36] y el riesgo de privacidad [37] así como los estudios de usabilidad e inclusión electrónica. [38] [39]
Hay tres componentes de Gestión de Identidad y Acceso (IAM):
Estas tecnologías se pueden combinar mediante la gobernanza de identidad, que proporciona la base para flujos de trabajo y procesos automatizados. [40]
La identidad se conceptualiza en tres modos diferentes, según un análisis de la Red de Excelencia FIDIS: [41]
En el libro de texto de Bertino y Takahashi, [42] se definen tres categorías de identidad que se superponen hasta cierto punto con los conceptos de identidad de FIDIS:
Los sistemas de gestión de identidad se ocupan de la creación, la administración y la implementación de:
Los propósitos de los sistemas de gestión de identidad son:
Los sistemas, productos, aplicaciones y plataformas de gestión de identidad son soluciones comerciales de gestión de identidad implementadas para empresas y organizaciones. [43]
Las tecnologías, servicios y términos relacionados con la gestión de identidad incluyen directorio activo de Microsoft Windows , proveedores de servicios , proveedores de identidad , servicios web , control de acceso , identidades digitales , administradores de contraseñas , inicio de sesión único , tokens de seguridad , servicios de token de seguridad (STS), flujos de trabajo , OpenID , WS-Security , WS-Trust , SAML 2.0 , OAuth y RBAC . [44]
En general, se puede decir que la gestión de identidades electrónicas cubre la gestión de cualquier forma de identidades digitales. El enfoque en la gestión de identidades se remonta al desarrollo de directorios, como X.500 , donde un espacio de nombres sirve para contener objetos con nombre que representan entidades "identificadas" de la vida real, como países, organizaciones, aplicaciones, suscriptores o dispositivos. La norma X.509 de la ITU-T definió que los certificados llevaban atributos de identidad como dos nombres de directorio: el sujeto del certificado y el emisor del certificado. Los certificados X.509 y los sistemas PKI funcionan para demostrar la "identidad" en línea de un sujeto. Por lo tanto, en términos de TI, se puede considerar la gestión de identidades como la gestión de información (tal como se mantiene en un directorio) que representa elementos identificados en la vida real (por ejemplo, usuarios, organizaciones, dispositivos, servicios, etc.). El diseño de tales sistemas requiere tareas explícitas de ingeniería de identidad e información.
La evolución de la gestión de identidades sigue de cerca el progreso de la tecnología de Internet . En el entorno de las páginas web estáticas y los portales estáticos de principios de los años 90, las corporaciones investigaron la entrega de contenido web informativo como las "páginas blancas" de los empleados. Posteriormente, a medida que la información cambiaba (debido a la rotación de personal, el aprovisionamiento y la baja de personal), la capacidad de realizar actualizaciones de autoservicio y de soporte técnico de manera más eficiente se transformó en lo que hoy se conoce como Gestión de identidades [actualizar].
Las soluciones que entran en la categoría de gestión de identidad pueden incluir:
Gestión de identidades
Control de acceso
Servicios de directorio
Otras categorias
La gestión de identidades y accesos (IAM) es la disciplina de seguridad que permite que las personas adecuadas accedan a los recursos adecuados en el momento adecuado y por las razones adecuadas. [...] La IAM aborda la necesidad crítica de garantizar un acceso adecuado a los recursos en entornos tecnológicos cada vez más heterogéneos y cumplir con requisitos de cumplimiento cada vez más rigurosos.