El problema
Casi ninguna empresa sabe con precisión cuántas cuentas activas tiene. Sabe cuántas personas trabajan ahí, que no es lo mismo. Entre una cifra y la otra viven las cuentas de gente que ya se fue, los usuarios genéricos que comparten una contraseña dentro de un área, los accesos que se le dieron a un proveedor por dos semanas hace tres años, y la cuenta de administrador del dominio que alguien usa todos los días para leer el correo.
Nada de eso se nota mientras funciona. Se nota el día que una credencial vieja aparece publicada, cuando alguien accede desde un país donde la empresa no opera, o cuando una auditoría pide la lista de quién tiene privilegios sobre el sistema central y no hay una respuesta que se pueda imprimir.
La identidad es hoy el perímetro real. Ya no alcanza con proteger la red de la oficina: la gente trabaja desde su casa, desde el celular y desde equipos que no son de la empresa. Lo único que separa sus sistemas del resto del mundo es quién puede autenticarse y bajo qué condiciones.
Qué incluye
- Relevamiento del directorio actual. Cuentas activas, inactivas, duplicadas y privilegiadas, cruzadas contra la nómina real de la empresa.
- Segundo factor para todo el personal. Con aplicación de autenticación o token físico, según el puesto y las condiciones de trabajo.
- Acceso condicional. Reglas por ubicación, por estado del dispositivo y por riesgo de la sesión: no es lo mismo entrar desde una notebook de la empresa que desde un locutorio.
- Cuentas privilegiadas separadas. El administrador del dominio deja de ser la cuenta con la que se lee el correo, y los privilegios se piden cuando se necesitan.
- Proceso de altas y bajas. Conectado con Recursos Humanos, para que una desvinculación cierre accesos el mismo día y no tres meses después.
- Contraseña de administrador local única por equipo, rotada de forma automática con Windows LAPS. Elimina la contraseña maestra que abre todas las máquinas.
- Unificación de dominios. Cuando hay más de un bosque de Active Directory, relaciones de confianza y sincronización contra un solo directorio en la nube.
- Accesos de terceros con vencimiento. Proveedores y auditores entran con fecha de salida ya cargada.
Lo que no entra
- Reemplazo del sistema de Recursos Humanos: nos integramos con el que ya tenga.
- Desarrollo de aplicaciones propias; sí su integración con el directorio.
- Compra de licencias, que se cotiza aparte y sin margen oculto.
Cómo lo hacemos
01
Diagnóstico
Exportamos el directorio completo y lo cruzamos contra la nómina. Sale un informe con las cuentas huérfanas, los privilegios excesivos, los accesos sin segundo factor y los equipos que comparten contraseña de administrador. Ese informe es suyo, aunque el proyecto no siga.
02
Diseño
Definimos qué regla aplica a qué grupo, en qué orden se aplican y qué pasa si algo sale mal. Se aprueba por escrito antes de tocar una sola cuenta, con alcance, cronograma y ventanas de trabajo cerradas.
03
Implementación
Por grupos, empezando siempre por el equipo de TI, que es quien tiene que poder resolver si algo falla. Cada grupo se habilita con acompañamiento y con plan de retorno. Nadie se queda afuera un lunes a la mañana.
04
Transferencia
Entregamos los procedimientos de alta, baja, desbloqueo y recuperación escritos para que los ejecute su gente, y hacemos una sesión de capacitación con quienes van a operarlo.
Qué recibe al terminar
Por qué nosotros
Identidad es nuestra línea más grande
No es una línea que agregamos al catálogo: es, por lejos, en lo que más trabajamos. El 35,5 % de nuestras horas de servicio corresponde a identidad y control de accesos, muy por encima de cualquier otra. Y la mayor parte se entrega en el sector financiero, donde el acceso indebido no es una molestia sino un hallazgo regulatorio.
Preguntas frecuentes
¿El segundo factor no va a frenar a la gente?
Bien configurado, casi no se nota. El acceso condicional permite que desde un equipo conocido y una ubicación habitual no se pida nada extra, y que el segundo factor aparezca sólo cuando algo se sale de lo normal. Lo que frena a la gente es la configuración perezosa: pedir el código en cada inicio de sesión, todos los días, a todo el mundo.
¿Qué pasa con quien no tiene celular corporativo?
Hay alternativas para cada caso: token físico para quien no quiere usar su teléfono personal, llamada telefónica para el personal sin smartphone, y cuentas de acceso compartido controlado para puestos operativos como una caja o un depósito. El relevamiento identifica esos casos antes de definir la política, no después.
Tenemos Active Directory local. ¿Hay que migrarlo todo a la nube?
No. El escenario más común es híbrido: el directorio local sigue funcionando y se sincroniza con la nube, que es la que aplica el segundo factor y las reglas de acceso condicional. Las aplicaciones internas que dependen del dominio siguen andando igual.
¿Cuánto demora?
El diagnóstico son días, no semanas. La implementación depende de la cantidad de usuarios, de cuántos dominios haya y de si hay sistemas viejos que no soportan autenticación moderna. El plazo se cierra en la etapa de diseño, con el relevamiento ya hecho, y nunca antes.
¿Esto sirve para una auditoría?
Es, en buena medida, para lo que se hace. La matriz de accesos por rol, el registro de configuración y los procedimientos de alta y baja son exactamente lo que un auditor pide y lo que a casi nadie le sobra. Varios de nuestros proyectos de identidad arrancaron a partir de una observación de auditoría.