Puntos clave
- La gestión de usuarios falla cuando la gestión de identidades y accesos (IAM) y el gobierno unificado de endpoints (UEG) funcionan de forma aislada.
- Aparecen puntos ciegos cuando el estado del dispositivo no se tiene en cuenta al decidir sobre los accesos.
- La aplicación de políticas se desvía cuando los sistemas de identidad y las herramientas de gestión de endpoints no están alineados.
- La fricción operativa aumenta cuando los equipos de TI tienen que saltar de un sistema desconectado a otro para resolver problemas de acceso.
- Contener los riesgos de seguridad resulta más difícil sin validación del estado del dispositivo en tiempo real ni visibilidad de los endpoints.
Muchas organizaciones creen que la gestión de usuarios empieza y acaba con dar a cada persona acceso a los recursos adecuados, pero los usuarios no trabajan en el vacío. Utilizan distintos dispositivos y redes, y eso puede introducir riesgos en tu red con facilidad.
Por eso la gestión de identidades y accesos (IAM) y el gobierno unificado de endpoints (UEG) están tan estrechamente relacionados. La IAM se centra en quién es el usuario y a qué puede acceder, mientras que el gobierno unificado de endpoints se ocupa de garantizar que utilice dispositivos seguros y gestionados.
Cuando estas dos funciones viven en sistemas distintos, generan puntos ciegos en la postura de seguridad de tu red y huecos en tu modelo de aplicación de políticas. Puedes controlar el acceso de un usuario todo lo que quieras, pero si inicia sesión desde un dispositivo sin parchear o desde un portátil no gestionado, tus políticas de seguridad solo llegan hasta cierto punto.
En esta guía verás por qué la gestión de usuarios se rompe sin un gobierno unificado de endpoints.
Por qué los marcos de gestión de usuarios fallan sin gobierno unificado de endpoints
Saber quién es un usuario y a qué tiene permiso para acceder es la base de la gestión de usuarios, pero la identidad por sí sola no basta para proteger entornos de trabajo distribuidos.
También tienes que tener en cuenta los dispositivos desde los que los usuarios inician sesión. Esto es lo que ocurre si sigues tratando la identidad y la gestión de endpoints como dos funciones separadas:
Empiezan a formarse puntos ciegos
La gestión de usuarios tradicional toma decisiones de acceso a partir de dos preguntas: ¿quién es este usuario? y ¿a qué recursos tiene permiso para acceder? El inconveniente de este enfoque es que no tiene en cuenta el estado del dispositivo del usuario.
No examina el dispositivo desde el que el usuario inicia sesión ni se pregunta si está completamente parcheado. Esa falta de contexto del dispositivo es lo que hace que se formen puntos ciegos. Sin gestión de endpoints, tu red no podrá hacer evaluaciones de riesgo completas.
La aplicación de políticas empieza a desviarse
A medida que los sistemas de identidad y de endpoints siguen caminos distintos, las políticas empiezan a desalinearse.
Los cambios de rol no actualizan automáticamente las restricciones de los dispositivos. Los controles de aplicaciones varían según el endpoint desde el que el usuario inicia sesión. Y las reglas de acceso condicional pueden no tener en cuenta el estado del dispositivo en tiempo real.
Dicho de otro modo: las políticas existen, pero no funcionan como se espera. Y en cuanto las políticas empiezan a desviarse, comienza el deterioro.
Aumenta la fricción operativa
Cuanto más fragmentadas estén tus políticas de seguridad, más tiempo dedicará tu equipo a diagnosticar problemas en lugar de resolverlos.
Los técnicos del servicio de asistencia acaban moviéndose entre consolas para resolver incidencias de acceso. Los analistas de seguridad tienen que cruzar los registros de identidad con el estado de los endpoints solo para rastrear incidentes. Los oficiales de cumplimiento tienen que elaborar los informes de cumplimiento a mano.
Cada investigación les llevará más tiempo porque no tienen una visión completa de tu sistema.
Los riesgos son más difíciles de contener
Una gestión de usuarios eficaz va más allá del control de acceso basado en roles; implica:
- Validación del dispositivo en tiempo real
- Gobierno coherente de las aplicaciones en todos los endpoints
- Visibilidad clara de los cambios en la postura de seguridad
- Remediación automatizada de los dispositivos que no cumplen las políticas
Pero sin visibilidad de los endpoints, conseguirlo será complicado. Puedes crear todas las políticas de acceso que quieras, pero si no puedes validar el estado del dispositivo en el momento en que el usuario intenta iniciar sesión, estarás dando por supuesta la confianza sin verificar el entorno.
Lo mismo ocurre cuando estandarizas los controles de aplicaciones. Si no puedes aplicarlos tanto en los endpoints gestionados como en los no gestionados, todo el modelo de gobierno se vuelve inconsistente.
Llegado ese punto, contener los riesgos será casi imposible. No puedes remediar lo que no ves, ni aplicar controles en dispositivos a los que no llegas.
Visión general de la gestión unificada de endpoints (UEM)
Un software de gestión unificada de endpoints (UEM) es la herramienta principal para gestionar y proteger los endpoints. Esto incluye equipos de escritorio, portátiles, teléfonos móviles, tablets y dispositivos IoT.
En su nivel más básico, un UEM te da una plataforma centralizada desde la que gestionar y proteger todos los endpoints de los que dependen tus usuarios. Pero, sobre todo, te ayuda a tomar mejores decisiones de acceso al aplicar controles de seguridad basados en el estado y el cumplimiento del dispositivo.
La IAM puede evaluar los inicios de sesión sin suficiente contexto del dispositivo si no está integrada con las señales de los endpoints, mientras que el UEM valida la postura del dispositivo y aporta señales de cumplimiento que informan las decisiones de acceso.
Si un dispositivo no está cifrado o su sistema operativo no está actualizado, la herramienta puede restringir el acceso, solicitar una remediación o enviar automáticamente las actualizaciones para que el dispositivo vuelva a cumplir las políticas.
Por eso es importante alinear la gestión de identidades y accesos con el gobierno de los endpoints. Te da la visibilidad necesaria para asegurarte de que los usuarios acceden a tus sistemas de forma segura y sin introducir riesgos innecesarios.
Gestión unificada de endpoints (UEM) frente a gobierno unificado de endpoints (UEG)
Se suele confundir el UEM con el UEG, cuando en realidad son dos cosas muy distintas. El UEM es una herramienta que te permite supervisar y gestionar los endpoints de una infraestructura de TI, mientras que el UEG es un marco estratégico que define las políticas, el cumplimiento y los estándares de seguridad de esos dispositivos.
En esencia, el UEM es lo que usas para implementar los controles, y el UEG determina cuáles deben ser esos controles y por qué existen.
Mitos habituales sobre el UEM
Hay algunas ideas equivocadas sobre el UEM que impiden a las organizaciones alinear con éxito la identidad y el gobierno de los endpoints. Vamos a desmontar algunas:
«El UEM es solo MDM más gestión de equipos de escritorio»
Muchas organizaciones piensan que el UEM es simplemente la gestión de dispositivos móviles (MDM) ampliada a portátiles y equipos de escritorio, cuando en realidad se trata de combinar señales de identidad, postura del dispositivo y políticas de cumplimiento en un único marco integral de gestión de usuarios.
«Más herramientas significan más control»
Añadir más herramientas o plataformas a tu infraestructura puede dar la sensación de que tu equipo tiene más control, pero sin convergencia generarán más confusión que claridad.
Estas herramientas adicionales tienen que estar alineadas entre sí para aportar un control real.
«El UEM reduce la carga de trabajo automáticamente»
Por último, muchas organizaciones creen que desplegar un software UEM reducirá su carga de trabajo al instante. Pero la realidad es que una herramienta UEM solo te ayuda a eliminar tareas manuales cuando los procesos a los que da soporte están alineados entre sí.
Consejos para alinear identidad y endpoints
La alineación entre identidad y endpoints no se consigue de un día para otro. Hace falta un diseño intencionado, las herramientas adecuadas y procesos bien definidos para crear un proceso escalable y repetible.
Aquí tienes algunos consejos prácticos para unir la identidad y el gobierno de los endpoints.
- Vincula tus políticas de acceso al cumplimiento del dispositivo: asegúrate de que tus criterios para conceder acceso condicional tengan en cuenta el estado del dispositivo. Deben comprobar si está cifrado, parcheado o conforme a las políticas antes de dar acceso.
- Define una base de referencia clara para los endpoints de todos los clientes: establece qué se considera un dispositivo conforme. Fija líneas de base para parches, cifrado, agentes de seguridad y configuraciones. Así será más fácil aplicar controles en varios endpoints.
- Automatiza todo lo que puedas: configura el software UEM que elijas para enviar parches automáticamente, desplegar los agentes que falten o restringir temporalmente el acceso si un dispositivo deja de cumplir las políticas.
- Revisa con regularidad las desviaciones de cumplimiento: incluso los sistemas más sólidos se desvían de vez en cuando, así que conviene revisar periódicamente si los cambios de rol activan las políticas correctas.
El gobierno unificado de endpoints es la clave de una gestión de usuarios moderna
Los procesos de gestión de usuarios rara vez fallan por culpa de sistemas de identidad mal diseñados. De hecho, la mayoría de las organizaciones modernas ya tienen las bases necesarias para implementar una IAM eficaz.
El problema empieza cuando se confía únicamente en la identidad para decidir en quién confiar.
Las credenciales de un usuario pueden ser válidas, pero eso no significa que el dispositivo que está usando sea seguro. Si un solo usuario inicia sesión con un dispositivo no gestionado, todo tu sistema queda en riesgo.
Por eso contar con un gobierno unificado de endpoints es importante, sobre todo en entornos de trabajo distribuidos.
El UEM reúne la supervisión de la identidad y de los dispositivos en un único marco coordinado. Así, la confianza no se establece solo en función de quién es el usuario, sino también del estado del dispositivo que utiliza.
Guía de inicio rápido
Lo que NinjaOne SÍ puede hacer
Gestión del ciclo de vida de dispositivos y activos:
- Seguimiento de los dispositivos durante todo su ciclo de vida (desde la compra hasta la retirada)
- Gestión de la información principal de los activos, campos personalizados y actividades relacionadas con los activos
- Conversión automática de dispositivos entre los estados gestionado y no gestionado
- Aprobaciones de registro de dispositivos (manuales o automáticas)
- Asignación de políticas, propietarios, etiquetas y elementos relacionados a los dispositivos
Acceso y permisos basados en roles:
- Los técnicos necesitan permisos de actualización concretos en los roles de dispositivo para crear dispositivos preconfigurados
- Los roles de dispositivo se pueden configurar con reglas de coincidencia específicas para cada rol
- Compatibilidad con la gestión de dispositivos por organización y por ubicación
Gobierno de políticas y cumplimiento:
- Creación y aplicación de políticas en los endpoints (Windows, Mac, Linux)
- Configuración de ajustes a nivel de dispositivo, incluidos los parches de software y las políticas de seguridad
- Compatibilidad con flujos de aprobación para el registro de dispositivos y las actualizaciones de software
- Aplicación automática de políticas en todos los endpoints gestionados
Gestión de dispositivos móviles (MDM):
- Inscripción zero-touch para dispositivos Android con configuración automatizada
- Compatibilidad con perfiles de inscripción y asignación de dispositivos mediante tokens
Temas relacionados:
