Hispanopedia WikiEn los sistemas de información , la correlación de identidades es un proceso que concilia y valida la propiedad adecuada de los distintos identificadores de inicio de sesión de cuentas de usuario ( nombres de usuario ) que residen en sistemas y aplicaciones de toda una organización, y que puede vincular permanentemente la propiedad de dichos identificadores de inicio de sesión a personas específicas mediante la asignación de un identificador único (también llamado clave primaria o común) a todos los identificadores de inicio de sesión de cuenta validados. [ 1 ]
El proceso de correlación de identidades valida que las personas solo tengan identificadores de inicio de sesión para los sistemas y aplicaciones apropiados a los que un usuario debería tener acceso de acuerdo con las políticas comerciales de la organización, las políticas de control de acceso y los diversos requisitos de las aplicaciones.
En el contexto de la correlación de identidades, un identificador único es aquel que garantiza ser único entre los utilizados para un grupo y para un propósito específico. Existen tres tipos principales, cada uno correspondiente a una estrategia de generación diferente:
- Números de serie , asignados de forma incremental
- Números aleatorios , seleccionados de un espacio numérico mucho mayor que el número máximo (o esperado) de objetos a identificar. Aunque no son únicos, algunos identificadores de este tipo pueden ser apropiados para identificar objetos en muchas aplicaciones prácticas y, por lo tanto, se denominan "únicos" en este contexto.
- Nombres o códigos asignados voluntariamente, pero obligados a ser únicos mediante el mantenimiento de un registro central como los Servicios de Información EPC de la Red EPCglobal.
Para la correlación de identidades, un identificador único suele ser un número de serie o aleatorio. En este contexto, un identificador único se representa normalmente como un atributo adicional en el directorio asociado a cada fuente de datos. Sin embargo, añadir un atributo a cada directorio específico del sistema puede afectar a la aplicación o a los requisitos empresariales específicos, según las necesidades de la organización. En tales circunstancias, los identificadores únicos podrían no ser una opción aceptable.
Requisitos básicos de la correlación de identidad
La correlación de identidad implica varios factores:
Vincular identificadores de cuenta dispares en múltiples sistemas o aplicaciones.
Muchas organizaciones deben encontrar un método para cumplir con las auditorías que les exigen vincular las identidades de usuario de las aplicaciones, que son dispares, con las personas reales asociadas a dichas identidades.
Algunas personas pueden tener un nombre y/o apellido bastante común , lo que dificulta vincular a la persona correcta con el ID de inicio de sesión de la cuenta correspondiente, especialmente cuando esos ID de inicio de sesión de la cuenta no están vinculados a suficientes datos de identidad específicos para seguir siendo únicos.
Un ejemplo típico de identificador de inicio de sesión podría ser el primer carácter del nombre de usuario más los siguientes 7 dígitos de un número de serie, con unicidad incremental. Esto generaría identificadores como jsmith12, jsmith13, jsmith14, etc., para los usuarios John Smith, James Smith y Jack Smith, respectivamente.
Por el contrario, una persona puede cambiar de nombre, ya sea formal o informalmente, lo que puede provocar que los nuevos identificadores de inicio de sesión que utilice tengan una nomenclatura drásticamente diferente a la de los identificadores de inicio de sesión que adquirió antes de cualquier cambio.
Por ejemplo, una mujer podría casarse y decidir usar su nuevo apellido profesionalmente. Si su nombre original era Mary Jones pero ahora es Mary Smith, podría llamar a Recursos Humanos y pedirles que actualicen su información de contacto y dirección de correo electrónico con su nuevo apellido. Esta solicitud actualizaría su ID de inicio de sesión de Microsoft Exchange a mary.smith para reflejar el cambio de apellido, pero es posible que no actualice su información ni sus credenciales de inicio de sesión en ningún otro sistema al que tenga acceso. En este ejemplo, podría seguir siendo mjones en Active Directory y mj5678 en RACF .
La correlación de identidades debe vincular los ID de inicio de sesión de las cuentas del sistema correspondientes con personas que podrían ser indistinguibles, así como con aquellas que parecen ser drásticamente diferentes desde la perspectiva de cada sistema. Aun así, debe estar asociada a la misma persona.
Descubrimiento de inconsistencias intencionales y no intencionales en los datos de identidad
Las inconsistencias en los datos de identidad suelen desarrollarse con el tiempo en las organizaciones a medida que se agregan, eliminan o modifican aplicaciones, y a medida que las personas obtienen o conservan un flujo constante de derechos de acceso al entrar y salir de la organización.
Los identificadores de inicio de sesión de los usuarios de las aplicaciones no siempre tienen una sintaxis consistente en diferentes aplicaciones o sistemas. Muchos identificadores de inicio de sesión no son lo suficientemente específicos como para correlacionarlos directamente con una persona en particular dentro de una organización.
Las inconsistencias en los datos de los usuarios también pueden deberse a errores de introducción manual, nomenclatura no estándar o cambios de nombre que podrían no actualizarse de forma idéntica en todos los sistemas.
El proceso de correlación de identidades debe tener en cuenta estas inconsistencias para vincular datos de identidad que podrían parecer no relacionados en una investigación inicial.
Identificación de ID de inicio de sesión de cuentas huérfanas o inactivas
Las organizaciones pueden expandirse y consolidarse mediante fusiones y adquisiciones, lo que aumenta la complejidad de los procesos, políticas y procedimientos empresariales.
Como consecuencia de estos eventos, los usuarios pueden ser trasladados a diferentes áreas de la organización, acceder a un nuevo puesto dentro de ella o incluso abandonarla definitivamente. Asimismo, cada nueva solicitud que se añade puede generar un identificador de usuario nuevo y completamente único.
Algunas identidades pueden volverse redundantes, otras pueden infringir políticas específicas de la aplicación o políticas departamentales más generales, otras podrían estar relacionadas con identificadores de cuenta no humanos o del sistema, y otras más pueden dejar de ser aplicables a un entorno de usuario en particular.
Los proyectos que abarcan diferentes áreas de la organización o que se centran en más de una aplicación resultan difíciles de implementar porque las identidades de los usuarios a menudo no están organizadas adecuadamente o se reconocen como obsoletas debido a cambios en los procesos de negocio.
Un proceso de correlación de identidades debe identificar todas las identidades de cuentas huérfanas o inactivas que ya no pertenecen a cambios tan drásticos en la infraestructura de una organización.
Validar a los usuarios con sus identificadores de cuenta correspondientes.
Según normativas como la Ley Sarbanes-Oxley y la Ley Gramm-Leach-Bliley , las organizaciones están obligadas a garantizar la integridad de cada usuario en todos los sistemas y a rendir cuentas de todo el acceso que un usuario tiene a los diversos sistemas y aplicaciones de back-end de la organización.
Si se implementa correctamente, la correlación de identidades revelará problemas de cumplimiento normativo. Los auditores suelen solicitar a las organizaciones que justifiquen quién tiene acceso a qué recursos. Para las empresas que aún no han implementado completamente una solución de gestión de identidades empresariales , la correlación y validación de identidades son necesarias para certificar adecuadamente el estado real de la base de usuarios de la organización.
Este proceso de validación normalmente requiere la interacción con personas dentro de la organización que estén familiarizadas con la base de usuarios de la organización desde una perspectiva empresarial general, así como con aquellos que son responsables y conocen la base de usuarios de cada sistema o aplicación específica.
Además, gran parte del proceso de validación podría implicar, en última instancia, la comunicación directa con la persona en cuestión para confirmar determinados datos de identidad asociados a esa persona en concreto.
Asignar una clave primaria o común única para cada sistema o aplicación. ID de cuenta que está asociado a cada individuo.
En respuesta a diversas presiones de cumplimiento normativo, las organizaciones pueden introducir identificadores únicos para toda su base de usuarios con el fin de validar que cada usuario pertenece a cada sistema o aplicación específica en la que tiene capacidad de inicio de sesión.
Para poner en práctica dicha política, varias personas familiarizadas con la totalidad de la base de usuarios de la organización y con la base de usuarios específica de cada sistema deben ser responsables de validar que ciertas identidades deben estar vinculadas entre sí y que otras identidades deben estar desvinculadas entre sí.
Una vez finalizado el proceso de validación, se podrá asignar un identificador único a esa persona y a sus identificadores de inicio de sesión de cuenta específicos del sistema.
Métodos para vincular identificadores de cuenta dispares
Como se mencionó anteriormente, en muchas organizaciones, los usuarios pueden iniciar sesión en diferentes sistemas y aplicaciones utilizando distintos identificadores de usuario. Existen muchas razones para vincularlos a perfiles de usuario corporativos unificados.
Existen varias estrategias básicas para realizar esta correlación o "mapeo de identidad":
- Supongamos que los identificadores de cuenta son los mismos:
- En este caso, el mapeo es trivial.
- Esto funciona en muchas organizaciones, en casos donde se ha utilizado durante mucho tiempo un proceso riguroso y estandarizado para asignar identificadores a los nuevos usuarios.
- Importar datos de mapeo desde un sistema existente:
- Si una organización ha implementado un proceso sólido para asignar identificadores a usuarios durante un período prolongado, estos datos ya están disponibles y se pueden importar a cualquier nuevo sistema de gestión de identidades .
- Coincidencia exacta en los valores de los atributos:
- Encontrar un atributo de identidad o una combinación de atributos en un sistema que se correlacionen con uno o más atributos en otro sistema.
- Conecta los ID de los dos sistemas buscando usuarios cuyos atributos sean iguales.
- Coincidencia aproximada en los valores de los atributos:
- Igual que lo anterior, pero en lugar de exigir que los atributos o las expresiones coincidan exactamente, se toleran algunas diferencias.
- Esto permite nombres con errores ortográficos, mayúsculas inconsistentes y, en general, nombres algo diversos, pero con valores de identidad similares.
- El riesgo reside en que, accidentalmente, este proceso vincule cuentas que no deberían estar conectadas.
- Conciliación de ID de inicio de sesión de autoservicio:
- Invite a los usuarios a completar un formulario e indicar qué identificadores les pertenecen y en qué sistemas.
- Los usuarios pueden mentir o cometer errores, por lo que es importante validar la información que proporcionan, por ejemplo, pidiéndoles que también faciliten sus contraseñas y comprobándolas.
- Es posible que los usuarios no reconozcan los nombres de los sistemas, por lo que es importante ofrecer alternativas o solicitarles sus nombres de usuario y contraseñas en general, en lugar de pedirles que especifiquen a qué sistema pertenecen dichos nombres de usuario.
- Contratar un consultor y/o hacerlo manualmente:
- Esto deja abierta la cuestión de dónde provienen los datos; ¿quizás entrevistando a cada usuario en cuestión?
Barreras comunes para realizar la correlación de identidad
preocupaciones sobre la privacidad
Con frecuencia, cualquier proceso que requiera un análisis exhaustivo de los datos de identidad suscita inquietudes en materia de privacidad y divulgación. Parte del proceso de correlación de identidades implica que cada fuente de datos particular deberá compararse con una fuente de datos autorizada para garantizar la coherencia y la validez con respecto a las políticas corporativas y los controles de acceso pertinentes .
Cualquier comparación de este tipo que implique la exposición de datos de identidad autorizados y relacionados con los recursos humanos de toda la empresa requerirá diversos acuerdos de confidencialidad, ya sean internos o externos, dependiendo de cómo decida la organización llevar a cabo un ejercicio de correlación de identidades.
Debido a que los datos oficiales suelen ser altamente confidenciales y estar restringidos, estas preocupaciones pueden impedir que se lleve a cabo una actividad de correlación de identidades de forma exhaustiva y suficiente.
Requiere mucho tiempo y esfuerzo.
La mayoría de las organizaciones experimentan dificultades para comprender las inconsistencias y complejidades de sus datos de identidad en todas sus fuentes. Por lo general, este proceso no se puede completar de forma precisa ni suficiente comparando manualmente dos listas de datos de identidad o ejecutando scripts sencillos para encontrar coincidencias entre dos conjuntos de datos diferentes. Incluso si una organización puede dedicar personal a tiempo completo a esta tarea, las metodologías no suelen revelar un porcentaje suficientemente alto de identidades inactivas, validar un porcentaje suficiente de identidades coincidentes ni identificar identificadores de cuentas de sistema (no personales) para cumplir con los requisitos típicos de una auditoría de identidad.
Los esfuerzos manuales para lograr la correlación de identidades requieren mucho tiempo y esfuerzo humano, y no garantizan que el esfuerzo se complete con éxito o de manera que cumpla con las normas.
Por este motivo, recientemente han aparecido en el mercado soluciones automatizadas de correlación de identidades para ofrecer formas más sencillas de gestionar los ejercicios de correlación de identidades.
La funcionalidad típica de una solución automatizada de correlación de identidades incluye las siguientes características:
- Análisis y comparación de identidades en múltiples fuentes de datos.
- Definiciones y asignaciones de criterios de coincidencia flexibles para cualquier combinación de elementos de datos entre dos fuentes de datos cualesquiera.
- Fácil conectividad, ya sea directa o indirectamente, a todas las fuentes de datos permitidas.
- Los informes y/o resúmenes preconfigurados de los resultados coinciden con los datos.
- Posibilidad de anular manualmente las combinaciones de datos coincidentes o no coincidentes.
- Capacidad para visualizar los resultados de los datos a un nivel detallado.
- Asignación de identificadores únicos a datos coincidentes previamente aprobados o validados manualmente.
- Capacidades de exportación para enviar listas de usuarios verificados a los sistemas de origen y/o soluciones de aprovisionamiento.
- Capacidad para personalizar las técnicas de mapeo de datos para refinar las coincidencias de datos.
- La solución incorpora controles de acceso basados en roles para regular la exposición de datos de identidad a medida que estos se cargan, analizan y validan por diversas personas, tanto dentro como fuera de la organización.
- Capacidad para validar los datos de identidad de los usuarios finales de forma más rápida y eficiente que mediante metodologías manuales.
- Recopilación de atributos de identidad de dispositivos móviles personales mediante extracción parcial de identidad [ 2 ]
- Elaboración de perfiles de navegación web y comportamiento en redes sociales a través de mecanismos de seguimiento [ 3 ].
- Las mediciones biométricas de los usuarios en cuestión pueden correlacionar identidades entre sistemas [ 4 ].
- Sistemas centralizados de intermediación de identidad que administran y acceden a los atributos de identidad en silos de identidad [ 5 ]
Tres métodos de entrega de proyectos de correlación de identidad
Las soluciones de correlación de identidades pueden implementarse mediante tres modelos de entrega distintos. Estas metodologías están diseñadas para ofrecer una solución lo suficientemente flexible como para adaptarse a diversos presupuestos y requisitos de personal, y para cumplir con los objetivos e iniciativas de los proyectos tanto a corto como a largo plazo.
Compra de software : este es el modelo clásico de compra de software, en el que una organización adquiere una licencia de software y lo ejecuta dentro de su propia infraestructura de hardware.
- Se ofrece formación y se recomienda.
- Los servicios de instalación son opcionales.
Correlación de identidades como servicio (ICAS) : ICAS es un servicio por suscripción en el que el cliente se conecta a una infraestructura segura para cargar y ejecutar actividades de correlación. Esta oferta proporciona la funcionalidad completa de la solución de correlación de identidades sin necesidad de poseer ni mantener hardware ni personal de soporte.
Correlación de identidades llave en mano : Esta metodología requiere que el cliente contrate a un proveedor de soluciones y le proporcione los datos necesarios para llevar a cabo las actividades de correlación de identidades. Una vez finalizado el proceso, el proveedor de soluciones devolverá los datos correlacionados, identificará las discrepancias y proporcionará informes de integridad de datos.
Las actividades de validación seguirán requiriendo comentarios directos de personas dentro de la organización que comprendan el estado de la base de usuarios desde una perspectiva empresarial, así como de aquellas que estén familiarizadas con la base de usuarios específica de cada sistema. Además, algunas actividades de validación podrían requerir comentarios directos de los propios usuarios.
Una solución integral puede realizarse como una actividad única, mensual, trimestral o incluso como parte de las actividades de validación anuales de una organización. Se ofrecen servicios adicionales, tales como:
- Campañas de correo electrónico para ayudar a resolver discrepancias en los datos.
- Generación de listas consolidadas o fusionadas
Véase también
- Ley Sarbanes-Oxley (SOX)
- Ley Gramm-Leach-Bliley
- Ley de Portabilidad y Responsabilidad del Seguro Médico
- Auditoría de Tecnologías de la Información
- Gestión de identidades
- identificador único
- Identificador
- Nombre de usuario
- ID de usuario
- Aprovisionamiento de usuarios
- Metadirectorio
- Control de acceso
- Inicio de sesión único (SSO)
- Gestión de acceso web
- Servicio de directorio
- Protocolo ligero de acceso a directorios (LDAP)
- Metadatos
- Directorio virtual
- Control de acceso basado en roles (RBAC)
- Federación de derechos de acceso de usuarios en aplicaciones web a través de redes que, de otro modo, no serían confiables.
Referencias
- ↑ Harris, Shon . "Guía de examen todo en uno para la certificación CISSP, 4.ª ed." (9 de noviembre de 2007), McGraw-Hill Osborne Media.
- ↑ Fritsch, Lothar; Momen, Nurul (2017). "Identidades parciales derivadas generadas a partir de permisos de aplicaciones" . Gesellschaft für Informatik: 117-130 .
{{cite journal}}: Para citar una revista se requiere|journal=( ayuda ) - ↑ US 8566866 , Fleischman, Michael Ben, "Correlación entre la identidad web y la identidad en redes sociales", publicado el 22 de octubre de 2013, asignado a Bluefin Labs Inc.
- ↑ Ng-Kruelle, Grace; Swatman, Paul A.; Hampe, J. Felix; Rebne, Douglas S. (2006). "Biometría e identidad electrónica (pasaporte electrónico) en la Unión Europea: perspectivas de los usuarios finales sobre la adopción de una innovación controvertida" (PDF) . Journal of Theoretical and Applied Electronic Commerce Research . 1 (2): 12– 35. doi : 10.3390/jtaer1020010 . ISSN 0718-1876 .
- ^ Bruegger, Bud P.; Rossnagel, Heiko (2016). Hacia un ecosistema descentralizado de gestión de identidades para Europa y más allá . Gesellschaft für Informatik eV ISBN 978-3-88579-658-9.
- Sistemas de información
