Nadie sabe quién tiene acceso a qué.
Las membresías de grupos crecieron durante años y están anidadas hasta en cuatro niveles. Además, el servidor de archivos tiene permisos individuales que nunca se documentaron.
Derechos de acceso claros y documentados
¿Quién puede acceder a qué?¿Y puede demostrarlo?
En la mayoría de las empresas que han crecido con los años, nadie puede responder del todo esa pregunta. Rara vez se debe a un mal trabajo. Los cambios de personal, los proyectos y las excepciones puntuales dejan derechos de acceso que nadie retiró. Nosotros ponemos orden, sin depender de ningún fabricante y de forma rastreable, y lo documentamos para que pueda entregárselo a un auditor.
Cómo suele verse
Antiguos empleados todavía tienen acceso.
La cuenta de Active Directory está desactivada, pero el acceso a la aplicación principal del negocio, al portal de proveedores y al buzón compartido sigue activo.
La incorporación de personal tarda días y cada vez se hace distinto.
Nadie dejó por escrito lo que realmente necesita un vendedor. Entonces TI copia los derechos de un compañero, incluido todo lo que esa persona acumuló con los años.
Las revisiones de acceso no se hacen.
O se hacen una vez al año en una hoja de cálculo con 400 filas de nombres de grupos crípticos que los jefes de área firman sin leer.
Hay MFA, pero con huecos.
Hay excepciones para los directivos, para aplicaciones antiguas y para el personal de campo. Cada una de esas excepciones es una puerta abierta.
El auditor pregunta y empiezan las prisas.
Las auditorías SOC 2, la HIPAA Security Rule y CMMC esperan un control de acceso que se pueda demostrar por escrito. Solo puede probar lo que está registrado de forma estructurada.
Cuatro componentes
Análisis de accesos
Registramos la situación actual: quién tiene acceso, dónde, por qué vía, desde cuándo y con la aprobación de quién. Usted recibe un informe que ordena los riesgos por urgencia, en lugar de una hoja de cálculo con 8,000 filas.
Modelo de roles
Trabajamos con roles en lugar de casos individuales. Definimos qué acceso necesita cada puesto de su empresa y lo configuramos en sus sistemas. Todo lo demás se basa en este modelo. Si automatiza sin él, solo automatiza el desorden.
Entra ID, acceso condicional, Intune
En lugar de un acceso general, el acceso condicional (Conditional Access) decide según la persona, la ubicación, el equipo y el nivel de riesgo. Reforzamos la plataforma de Microsoft y cerramos las excepciones que permiten a los usuarios evitar la MFA.
Procesos y herramientas
Convertimos las contrataciones y las salidas en un proceso definido, establecemos revisiones de acceso que los jefes de área realmente pueden completar e introducimos una herramienta de IAM para automatizar donde vale la pena. Conocemos los productos habituales del mercado y elegimos según su entorno. Las comisiones de fabricantes no influyen en esa elección.
Cómo se desarrolla un proyecto
- 01
Llamada inicial (20 minutos)
Escuchamos y le decimos con honestidad si somos una buena opción para usted.
- 02
Evaluación
Hacemos un inventario y entregamos un informe escrito con acciones priorizadas. La evaluación tiene un precio fijo y se acredita al proyecto posterior.
- 03
Diseño
Elaboramos el modelo de roles, el estado objetivo y un plan de implementación con una estimación del esfuerzo.
- 04
Implementación
Implementamos por etapas, en coordinación con cada área y documentando a medida que avanzamos.
- 05
Entrega
La documentación le pertenece, así que podría reemplazarnos por otro proveedor en cualquier momento.
Ese último punto va en serio. Trabajamos a propósito para que usted no dependa de nosotros. Un proveedor que se apoya en la dependencia del cliente no tiene una buena oferta.
Cuánto cuesta
| Gestión de identidades y accesos, tarifa por hora | $225 por hora |
| Consultoría y gestión de proyectos | $250 por hora |
| Evaluación de seguridad (análisis de accesos, configuración de Entra, análisis de brechas frente a HIPAA, SOC 2 o CMMC) | desde $7,900 |
El tamaño del proyecto depende de la cantidad de usuarios, sistemas y áreas. Después de la evaluación recibe un precio fijo para el proyecto, y le acreditamos el costo de la evaluación.
El factor más importante es el estado de su documentación. Donde está claro quién puede hacer qué y por qué, la revisión avanza rápido. También influyen la cantidad de sistemas conectados y si al final se necesita una herramienta. Después de la evaluación el precio es fijo, y le acreditamos el costo de la evaluación.
El precio depende sobre todo de la cantidad de sistemas y áreas, del estado de su documentación y de si se introduce una herramienta. El costo de la evaluación se acredita a un proyecto posterior.
Por qué nosotros
Aportamos diez años de gestión de proyectos en farmacéutica, proveedores automotrices, manufactura y banca en Alemania. Eso incluye proyectos de accesos, cambios de proveedor de TI, la introducción y el reemplazo de herramientas, y reestructuraciones.
Logística, internacional, Alemania · más de 10,000 usuarios
Reemplazamos el entorno de IAM existente e introdujimos una nueva solución junto con un socio de implementación contratado. Asesoramos, gestionamos el proyecto, implementamos y establecimos los procesos entre el cliente y el socio.
Resultado: La mesa de ayuda trabaja más rápido porque el personal de servicio recibió permisos ampliados. Los procesos de identidad se automatizaron y se depuraron los datos maestros de Recursos Humanos que sirven como fuente.
Proveedor industrial, internacional, Alemania · 2,000 usuarios
Introdujimos una solución de IAM en un proveedor industrial familiar con operaciones internacionales. El proyecto incluyó la reorganización de las carpetas compartidas y el restablecimiento de contraseñas en autoservicio para los usuarios.
Resultado: La mesa de ayuda tiene más tiempo para otras tareas. Los usuarios restablecen sus propias contraseñas, y los tickets de contraseñas bajaron de casi 300 a 10 por semana.
FAQ
Preguntas frecuentes
¿Trabajan con una herramienta de IAM específica?
No. Conocemos los productos habituales del mercado y elegimos según su entorno. No dependemos de ningún fabricante ni cobramos comisiones. A menudo, al principio no necesita una herramienta. Necesita un modelo de roles.
¿Necesitamos una herramienta de IAM?
Por debajo de unos 150 usuarios, rara vez. Hasta ese tamaño, Microsoft Entra ID, grupos bien organizados y procesos definidos le llevan muy lejos. Una herramienta solo automatiza lo que ya está en orden. No crea orden por sí misma.
¿Cuánto dura un proyecto de accesos?
La evaluación dura de dos a tres semanas, incluido el informe. El diseño toma de cuatro a ocho semanas, según el tamaño. La implementación se hace por etapas durante varios meses, para que su negocio siga funcionando.
Ya tenemos MFA. ¿No es suficiente?
No. La MFA protege el inicio de sesión, pero no controla los permisos. Si una cuenta puede hacer demasiado, la MFA no lo cambia. Solo añade protección al inicio de sesión de esos derechos demasiado amplios.
¿Qué tiene que ver la gestión de accesos con el cumplimiento?
Muchas normas y marcos de EE. UU. esperan un control de acceso que se pueda documentar. La HIPAA Security Rule exige políticas técnicas que limiten el acceso a la información de salud protegida electrónica a usuarios autorizados, y un identificador único para cada usuario. El nivel 2 de CMMC incluye los requisitos de control de acceso de NIST SP 800-171. En una auditoría SOC 2, el auditor prueba sus controles de acceso lógico, y las revisiones de acceso son una evidencia habitual. Sin un modelo de roles documentado y aprobaciones rastreables, no puede demostrar nada de esto. Su asesor legal o su auditor decide qué normas le aplican. Nosotros implementamos los controles técnicos.
¿Pueden encargarse de la operación después?
Sí, si usted lo desea. No es un requisito, porque trabajamos para que su equipo interno de TI pueda continuar sin nosotros.
Gestión de identidades y accesos
Hablemos de sus derechos de acceso
Describa su situación en 20 minutos. Le diremos con honestidad si podemos ayudarle y cómo, y también si no somos la opción adecuada.