La política de seguridad de un proveedor de datos financieros exigía MFA para todos los accesos y había implantado políticas de acceso condicional que restringían el acceso desde rangos de IP conocidos de alto riesgo. Un analista de datos sénior se autenticó en la plataforma de datos de producción desde un hotel de una ciudad asiática con su llave de hardware FIDO2, lo que cumplía el requisito de MFA y no activaba la política de riesgo basada en IP, porque el rango de IP del hotel no estaba marcado como de alto riesgo. El dispositivo que utilizaba era su portátil personal: no estaba inscrito en el MDM de la empresa, no estaba sujeto a sus políticas de protección de endpoints ni lo gestionaba ningún control de la organización. La sesión descargó un volumen significativo de datos financieros de clientes en el almacenamiento local del dispositivo personal. La política de acceso condicional del proveedor había comprobado la solidez de la autenticación y el riesgo de IP. No había comprobado el estado de gestión del dispositivo, su cumplimiento ni si el dispositivo que recibía los datos estaba bajo control de la organización. La MFA era sólida. El acceso condicional era parcial. Los datos acabaron en un dispositivo sin control.
¿Qué son realmente las brechas del acceso condicional?
El acceso condicional es un modelo de política de seguridad en el que las decisiones de acceso se toman a partir de múltiples señales contextuales y no únicamente en función de si la autenticación tuvo éxito. Las condiciones evaluadas pueden incluir la identidad del usuario, la solidez del método de autenticación, el dispositivo desde el que se solicita el acceso (gestionado o no gestionado, conforme o no conforme), la ubicación de red de la solicitud, la aplicación a la que se accede, el nivel de riesgo del comportamiento de inicio de sesión del usuario y la sensibilidad de los datos a los que se accede. Una política de acceso condicional que evalúa todas las señales relevantes para una solicitud de acceso toma una decisión de acceso realmente basada en riesgos. Una política que evalúa un subconjunto de las señales relevantes toma una decisión parcialmente informada que puede permitir un acceso de alto riesgo que una política completa bloquearía.
La señal de cumplimiento de los dispositivos es la dimensión que falta con más frecuencia en los despliegues parciales de acceso condicional. La solidez de la autenticación (MFA) y la ubicación (riesgo de IP) son fáciles de implantar. El cumplimiento de los dispositivos requiere la inscripción en MDM y una infraestructura de gestión de endpoints: la organización debe gestionar el dispositivo antes de poder evaluar si cumple. Las organizaciones que tienen políticas de MFA sólidas pero no exigen el acceso desde dispositivos gestionados tienen una postura de acceso condicional que se detiene en la barrera de autenticación sin evaluar en qué dispositivo se ejecuta la sesión autenticada, cuál es la postura de seguridad de ese endpoint ni si el dispositivo puede borrarse de forma remota si se descargan datos sensibles en él.
La señal de riesgo de la sesión es la segunda dimensión que suele faltar. Las plataformas de identidad modernas ofrecen una evaluación de riesgos en tiempo real durante la autenticación: detectan viajes imposibles (una autenticación desde Nueva York seguida de otra desde Sídney quince minutos después), patrones de relleno de credenciales, comportamientos de inicio de sesión anómalos y otros indicadores de que la sesión autenticada puede implicar credenciales comprometidas. Las políticas de acceso condicional que incorporan señales de riesgo en tiempo real pueden bloquear o cuestionar el acceso cuando el contexto de autenticación sugiere un compromiso de credenciales, aunque la autenticación en sí haya tenido éxito. Las organizaciones sin acceso condicional basado en riesgos pueden estar bloqueando la autenticación desde rangos de IP conocidos como maliciosos mientras pasan por alto las anomalías de comportamiento que indican un compromiso de credenciales desde rangos de IP legítimos.
- Falta de aplicación del cumplimiento de los dispositivos: acceso condicional que evalúa la autenticación y la ubicación sin exigir dispositivos gestionados y conformes
- Sin evaluación del riesgo de inicio de sesión en tiempo real: acceso condicional sin señales basadas en riesgos que detecten patrones de autenticación anómalos
- Cobertura de aplicaciones incompleta: acceso condicional aplicado a las aplicaciones principales, pero no a todos los recursos sensibles
- Exenciones para el acceso de proveedores: políticas de acceso condicional que eximen el acceso de proveedores y de cuentas de servicio de las condiciones aplicadas al acceso de los usuarios
- Sin controles de sesión para el acceso sensible: ni restricciones de descarga ni supervisión de sesiones para el acceso a recursos de alta sensibilidad
Por qué es importante
Las brechas del acceso condicional son importantes para TPRM porque determinan si los controles de acceso que rigen cómo acceden a los datos sensibles los empleados del proveedor y sus propios usuarios internos tienen realmente en cuenta el riesgo o solo cumplen en apariencia. Un proveedor que confirma la aplicación de MFA y políticas de acceso condicional puede tener políticas que satisfacen la expectativa de cumplimiento mientras dejan sin gobernar un riesgo de acceso significativo, en particular las dimensiones de cumplimiento de los dispositivos y de riesgo de la sesión, que requieren una inversión adicional en infraestructura.
El riesgo de los dispositivos no gestionados en proveedores que tratan datos de clientes es una brecha concreta y de graves consecuencias. Cuando un empleado del proveedor accede a datos de clientes desde un dispositivo personal, esos datos pueden descargarse en un dispositivo sin protección de endpoints de la organización, sin capacidad de borrado remoto, sin DLP que impida su posterior difusión y sin visibilidad de la organización sobre lo que ocurre con los datos en ese dispositivo. El evento de acceso superó la autenticación. Los datos resultantes quedan fuera de todo control de la organización.
Para los profesionales de TPRM, la evaluación del acceso condicional exige preguntar por todas las condiciones evaluadas, no solo por la autenticación y el riesgo de IP, y preguntar específicamente si el cumplimiento de los dispositivos es una condición para acceder a datos sensibles y si los dispositivos personales pueden acceder a entornos de producción con datos sensibles de clientes.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es equiparar la aplicación de MFA con un acceso condicional integral. MFA es una de las condiciones que evalúa el acceso condicional. El cumplimiento de los dispositivos, el riesgo de la sesión y la sensibilidad de la aplicación son condiciones adicionales que evalúa una política de acceso condicional integral. Confirmar MFA sin preguntar por las demás condiciones describe una dimensión del acceso condicional, no todas.
- Equiparar la aplicación de MFA con un acceso condicional integral
- Cumplimiento de los dispositivos no evaluado: si se aplica el requisito de dispositivo gestionado
- Acceso desde dispositivos personales no evaluado: si los dispositivos personales pueden acceder a los entornos de producción
- Señales de riesgo de inicio de sesión no evaluadas: si se incorpora una evaluación de riesgos en tiempo real
- Cobertura de aplicaciones incompleta: aplicaciones sensibles no cubiertas por las políticas de acceso condicional
Cómo se ve una buena práctica
Los programas maduros de acceso condicional evalúan múltiples señales en cada solicitud de acceso a recursos sensibles (identidad, solidez de la autenticación, cumplimiento del dispositivo, riesgo de ubicación, riesgo de la sesión y sensibilidad de la aplicación) y aplican controles de acceso proporcionales al perfil de riesgo de la solicitud.
- Requisito de dispositivo gestionado para el acceso a recursos sensibles: acceso a producción y a datos sensibles restringido a dispositivos inscritos y conformes
- Evaluación del riesgo de inicio de sesión en tiempo real: acceso condicional basado en riesgos que bloquea o cuestiona los patrones de autenticación anómalos
- Restricción de dispositivos personales para el acceso sensible: entornos de producción inaccesibles desde dispositivos personales no gestionados
- Controles de sesión para datos sensibles: restricciones de descarga y supervisión de sesiones para el acceso a recursos de alta sensibilidad
- Cobertura integral de aplicaciones: políticas de acceso condicional aplicadas a todas las aplicaciones sensibles, no solo a las principales
Herramientas
Acceso condicional: Microsoft Entra Conditional Access, Okta Adaptive MFA
Microsoft Entra Conditional Access ofrece una evaluación integral de señales para las decisiones de acceso: riesgo del usuario, riesgo de inicio de sesión, cumplimiento del dispositivo (desde Microsoft Intune), ubicación, sensibilidad de la aplicación y solidez de la autenticación. El componente Identity Protection de Entra genera señales de riesgo en tiempo real. Para los profesionales de TPRM, preguntar si Entra Conditional Access está configurado con requisitos de cumplimiento de los dispositivos y evaluación del riesgo de inicio de sesión, no solo con requisitos de MFA, aporta preguntas concretas sobre la completitud del acceso condicional.
Gestión de dispositivos móviles: Microsoft Intune, Jamf, VMware Workspace ONE
Las plataformas de MDM proporcionan la señal de cumplimiento de los dispositivos que el acceso condicional necesita: confirman que un dispositivo está inscrito, cumple los requisitos de seguridad y está bajo gestión de la organización antes de conceder acceso a recursos sensibles. Sin las señales de cumplimiento generadas por MDM, el acceso condicional no puede evaluar el cumplimiento de los dispositivos. Para los profesionales de TPRM, preguntar si se exige a los empleados del proveedor acceder a los entornos sensibles desde dispositivos conformes e inscritos en MDM aporta una pregunta concreta sobre el requisito de cumplimiento de los dispositivos.
Desafíos de gobernanza
El desafío de gobernanza de la completitud del acceso condicional es el requisito de infraestructura. Evaluar el cumplimiento de los dispositivos requiere MDM. Evaluar el riesgo de inicio de sesión requiere una plataforma de protección de identidades. Evaluar el riesgo de la sesión requiere una infraestructura de supervisión de sesiones. Cada condición adicional que se evalúa requiere invertir en la infraestructura que genera la señal. Las organizaciones que han invertido en MFA pero no en MDM ni en protección de identidades tienen un acceso condicional parcial que refleja su inversión en infraestructura y no una estrategia de control de acceso basada en riesgos.
- Pregunte qué condiciones se evalúan (autenticación, dispositivo, ubicación, riesgo), no solo si existe un acceso condicional
- Pregunte si se exige un dispositivo gestionado para el acceso a datos sensibles
- Pregunte si los dispositivos personales pueden acceder a los entornos de producción
- Pregunte por la incorporación de señales de riesgo en tiempo real
- Pregunte por los controles de sesión para el acceso a recursos sensibles: restricciones de descarga y supervisión
Si usted forma parte de un equipo pequeño
Añada una pregunta a su evaluación del acceso condicional: ¿pueden los empleados del proveedor acceder a su entorno o a sus datos desde dispositivos personales no gestionados y, en ese caso, qué controles se aplican a ese acceso? Esa pregunta pone a prueba directamente la dimensión de cumplimiento de los dispositivos del acceso condicional que la confirmación de MFA no aborda. Si se permite el acceso desde dispositivos personales sin controles adicionales, la sólida postura de autenticación del proveedor coexiste con el acceso a datos en dispositivos fuera del control de la organización.
- Pregunte si los dispositivos personales pueden acceder a su entorno o a sus datos
- Pregunte qué condiciones se evalúan en el acceso condicional además de MFA y IP
- Pregunte si se exige el cumplimiento de los dispositivos aplicado mediante MDM para el acceso sensible
- Pregunte por los controles de sesión: restricciones de descarga para el acceso a datos sensibles
Qué exigir
Pregunte directamente:
"¿Exige su política de acceso condicional que los dispositivos que acceden a su entorno de producción y a datos sensibles de clientes estén inscritos en su plataforma de gestión de dispositivos móviles y cumplan sus requisitos de cumplimiento de dispositivos, o puede accederse desde dispositivos personales no gestionados?"
"Además de MFA y de los controles de ubicación basados en IP, ¿qué otras señales evalúa su política de acceso condicional? En concreto, ¿incorpora señales de riesgo de inicio de sesión en tiempo real y el estado del dispositivo?"
Evidencia que debe esperar
- Documentación del requisito de cumplimiento de los dispositivos: inscripción en MDM exigida para el acceso sensible
- Inventario de señales del acceso condicional: todas las condiciones evaluadas en las políticas de acceso
- Política de acceso desde dispositivos personales: prohibido expresamente para el acceso a producción
- Documentación de los controles de sesión: restricciones de descarga para datos sensibles
A un proveedor que confirma un acceso condicional integral se le debe preguntar específicamente si un iPhone personal conectado a la wifi de un hotel puede acceder a su plataforma de datos de producción tras una autenticación FIDO2 exitosa. Si la respuesta es sí, la política de acceso condicional evalúa la autenticación, pero no el cumplimiento del dispositivo ni el contexto de la sesión. La barrera de autenticación es sólida. La barrera del dispositivo no existe.
Cómo demostrarlo
- Documentación de la política de acceso condicional que abarque todas las señales evaluadas
- Evidencia del requisito de cumplimiento de los dispositivos
- Política de restricción de dispositivos personales
- Evidencia de inscripción en MDM para el acceso al entorno de producción
Conclusión clave
La autenticación es la barrera. El acceso condicional es la política que establece que la barrera es necesaria, pero no suficiente. Una MFA sólida desde un dispositivo personal en una red no confiable para acceder a datos de producción sensibles es una autenticación sólida y una gobernanza del acceso débil: la barrera dejó pasar la identidad, pero el contexto no habría superado la evaluación de riesgos que habría realizado una política de acceso condicional completa. El cumplimiento de los dispositivos, el riesgo de inicio de sesión y los controles de sesión son las condiciones que transforman la autenticación de una barrera en una decisión de acceso integral. Confirmar MFA describe una condición. Preguntar qué más se evalúa describe la política. Pregunte qué más.