Las recientes actualizaciones de la CAA de Google subrayan un movimiento más amplio en el espacio de los proveedores para mejorar la seguridad y mantener una buena experiencia de usuario.
por David Barry
Google introdujo nuevas funciones a finales de octubre para mejorar sus políticas de acceso contextual (CAA), con el objetivo de mejorar la ciberseguridad con un mínimo esfuerzo manual. El lanzamiento se produce en un momento en el que tanto los CIO como los CEO calificaron la reducción del riesgo de seguridad como una prioridad para 2025, ya que las amenazas y los incidentes en el lugar de trabajo digital no muestran signos de disminución.
Las actualizaciones incluyen información proactiva para detectar automáticamente las brechas de seguridad, niveles de CAA predefinidos con políticas sugeridas para abordar los riesgos identificados y un modo de supervisión que permite a los administradores evaluar las políticas en acción antes de la implementación completa.
Actualizaciones de acceso contextual de Google
Las nuevas funciones permiten a las organizaciones aplicar controles de acceso basados en la identidad del usuario y el contexto de la solicitud, como la ubicación y la seguridad del dispositivo, sin necesidad de VPN. Además, los administradores podrán personalizar las políticas sugeridas antes de implementarlas y recibirán actualizaciones trimestrales por correo electrónico con información y recomendaciones prácticas.
El uso de CAA ha surgido como una adición al control de acceso y la seguridad en nuestro mundo digital cada vez más interconectado. Este sofisticado sistema va más allá de las medidas de seguridad tradicionales para proporcionar un marco de seguridad más matizado y adaptable.
Las raíces de la CAA se remontan a la investigación pionera en computación ubicua durante la década de 1990. Su exploración del potencial de los entornos informáticos generalizados empujó a los investigadores a reconocer la necesidad de sistemas que pudieran adaptarse a los contextos cambiantes de los usuarios y a las condiciones ambientales.
La información sentó las bases de lo que eventualmente se convertiría en políticas de acceso contextual. Inicialmente centrado principalmente en factores basados en la ubicación, el concepto de conciencia del contexto se amplió para abarcar una amplia gama de elementos contextuales, incluida la identidad y los atributos del usuario, las características del dispositivo, el tiempo, las condiciones ambientales y los patrones de comportamiento del usuario.
Además, la integración de las tecnologías de la web semántica ha permitido un modelado de contexto y una especificación de políticas más sofisticados, lo que ha mejorado aún más las capacidades de los sistemas CAA.
CAA ofrece una solución prometedora al desafío continuo de asegurar ecosistemas digitales cada vez más diversos y dinámicos. Al tener en cuenta el contexto completo de las solicitudes de acceso, estos sistemas pueden proporcionar una seguridad mejorada sin sacrificar la experiencia del usuario. El equilibrio entre protección y facilidad de uso es crucial, ya que el acceso sin interrupciones y la seguridad sólida tienen la misma importancia.
CAA y la nueva ola de soluciones de seguridad: automatizadas e inteligentes
Las políticas de CAA, cuando se integran en los sistemas de gestión de identidad y acceso del cliente (CIAM), pueden mejorar la postura de seguridad de una organización al aprovechar los puntos de datos en tiempo real, como la ubicación y el comportamiento del usuario, para tomar decisiones de acceso informadas, dijo el fundador de FusionAuth, Brian Pontarelli, a Reworked.
Por ejemplo, FusionAuth se centra en incorporar la autenticación adaptativa, que ajusta dinámicamente las medidas de seguridad en función del comportamiento y el contexto del usuario, al igual que la información proactiva de Google en CAA. Estos mecanismos permiten un control granular, que coincide exactamente con lo que se necesita para las respuestas de seguridad en tiempo real. Estos sistemas pueden enviar alertas o solicitar una verificación adicional cuando se detectan patrones de acceso anómalos, alineándose con las tendencias de monitoreo proactivo en CAA.
CAA ofrece beneficios sustanciales para el lugar de trabajo digital. Las organizaciones se benefician de una seguridad mejorada a través de la evaluación continua de riesgos y la aplicación automatizada de políticas, mientras que los usuarios experimentan una menor fricción en su trabajo diario, dijo el gerente de servicios de TI de Amazon, Harmeet Bhatia.
El sistema puede ajustar automáticamente los requisitos de seguridad en función del contexto, requiriendo autenticación adicional solo cuando los factores de riesgo indiquen que es necesario. Las recientes mejoras de Google en sus ofertas de CAA demuestran el movimiento de la industria hacia soluciones de seguridad más automatizadas e inteligentes.
Bhatia señaló a otros proveedores que trabajan en la misma línea, como Microsoft, con su acceso condicional en Azure AD, que ofrece una profunda integración con su ecosistema empresarial. Cisco Duo hace hincapié en los principios de confianza cero y en las comprobaciones exhaustivas del estado de los dispositivos, mientras que Workspace ONE Access de Omnissa (anteriormente VMWare) proporciona sólidas capacidades de gestión de terminales y funciones de corrección automatizadas.
Cada proveedor adopta un enfoque único, continuó. Mientras que Google sobresale en automatización y seguridad proactiva, Microsoft ofrece una integración empresarial superior. Cisco proporciona componentes de seguridad de red sólidos, mientras que Omnissa ofrece una gestión integral de terminales. Las organizaciones deben tener en cuenta su infraestructura existente, los requisitos de cumplimiento y la escala al seleccionar una solución CAA.
“El futuro de CAA apunta hacia una automatización e inteligencia aún mayores, con sistemas cada vez más hábiles para predecir y prevenir incidentes de seguridad antes de que ocurran”, dijo Bhatia. “A medida que el trabajo remoto continúa evolucionando, la importancia de las medidas de seguridad conscientes del contexto solo aumentará, lo que convierte a CAA en un componente crítico de las estrategias modernas de seguridad en el lugar de trabajo digital”.
Los proveedores de renombre no son los únicos que trabajan en el espacio, varios proveedores más pequeños también ofrecen soluciones CAA únicas. Pomerium, Cerbos, Netskope y Lookout Software ofrecen soluciones únicas para el acceso contextual, priorizando el control seguro y adaptable sobre el acceso de los usuarios a las aplicaciones sin las VPN tradicionales.
Pomerium funciona como un proxy inverso, verificando la identidad del usuario y atributos como la ubicación y el estado del dispositivo para un acceso seguro a las aplicaciones. Cerbos proporciona una capa de autorización de código abierto, que simplifica la implementación de políticas sensibles al contexto a través de una sintaxis YAML fácil de usar y una gestión centralizada a través de su Cerbos Hub. La solución de acceso a la red de confianza cero de Netskope permite un control de acceso granular y en tiempo real a las aplicaciones empresariales, aprovechando factores como la identidad del usuario y el estado del dispositivo. Por último, Lookout Software se centra en la autenticación continua y las evaluaciones de riesgos de los endpoints, apoyando la visibilidad y el control de la nube con seguridad de endpoints móviles y una solución de acceso seguro a la nube.
Un enfoque multicapa para proteger el acceso
El vicepresidente de Security Compass, Gyan Chawdhary, señaló la variedad de factores que la CAA examina para determinar el acceso, entre ellos:
- Registros de acceso: Examina el historial de acceso anterior de la persona que realiza la solicitud para detectar patrones inusuales o intentos no autorizados.
- Estado del dispositivo: Aprovecha el estado de seguridad del dispositivo que intenta conectarse para garantizar que solo los dispositivos seguros puedan acceder a la red.
- Seguimiento de la ubicación: Supervisa la ubicación del usuario al iniciar sesión, lo que puede ayudar a identificar actividades o ubicaciones sospechosas.
- Comportamiento del usuario: Comprende los patrones de uso normales para detectar rápidamente cualquier desviación que pueda indicar una amenaza de seguridad.
- Puntuación de riesgos: Asigna a cada solicitud de acceso una puntuación de riesgo basada en el contexto, lo que ayuda a priorizar cuáles necesitan un examen más detallado.
Cuando se combinan, estas métricas muestran qué tan seguro es el acceso a través de CAA y ayudan a mejorar la seguridad, sin el retraso y la complejidad de una VPN.
“Encontrar el equilibrio adecuado entre la seguridad y la experiencia del usuario es crucial. Si las políticas son demasiado estrictas, pueden interrumpir los flujos de trabajo y generar frustración entre los usuarios”, dijo Chawdhary. “La clave es crear políticas que sean lo suficientemente sólidas como para proteger los datos sin ser demasiado onerosas. Esto a menudo implica prueba y error, retroalimentación continua y ajustes para encontrar ese punto óptimo”.
Sobre el autor
David es un periodista afincado en Europa desde hace 35 años que ha dedicado los últimos 15 años a seguir el desarrollo de tecnologías en el lugar de trabajo, desde los primeros días de la gestión de documentos, la gestión de contenidos empresariales y los servicios de contenidos. Ahora, con el desarrollo de nuevos modelos de trabajo remoto e híbrido, cubre la evolución de las tecnologías que permiten la colaboración, las comunicaciones y el trabajo, y recientemente ha dedicado una gran cantidad de tiempo a explorar los alcances de la IA, la IA generativa y la IA general.
