Por qué los trabajadores no humanos pueden aumentar los problemas de seguridad en su empresa


La mayoría de las organizaciones no piensan y prestan la misma atención a sus trabajadores no humanos, como bots, RPA y cuentas de servicio, como lo hacen con los trabajadores humanos y los ciclos de vida de la identidad.

Robot ciberamenaza

Imagen: iStock / NanoStockk

El término trabajador no humano evoca varias imágenes. En este caso, estamos hablando de «trabajadores no vivos», por lo que no se preocupe por maltratar a los animales. Algunos ejemplos incluyen chatbots, automatización de procesos robóticos, robots y más. Es probable que ahora trabajen junto a nosotros en la oficina.

VER: Robótica en la empresa (PDF gratuito) (TechRepublic)

«La cantidad de trabajadores no humanos está creciendo, particularmente a medida que las organizaciones globales priorizan cada vez más la computación en la nube, DevOps, dispositivos de Online de las cosas y otras iniciativas de transformación electronic», dijo David Pignolet, director ejecutivo de SecZetta.

Pignolet no tiene problemas con los trabajadores no humanos su preocupación es la falta de gestión de identidad con respecto a los trabajadores no humanos y el creciente número de ciberataques y violaciones de datos causados ​​por subvertir los privilegios de acceso otorgados a los trabajadores no humanos.

El artículo de Forrester Study Cómo proteger y gobernar las identidades no humanas comienza preguntando:

  • ¿Sabe cuántos robots de software, robots físicos o dispositivos de IoT se conectan a su pink?
  • ¿Cuántos de estos dispositivos almacenan datos críticos o interactúan con ellos?

«Estos no humanos aumentan la productividad, pero también amplifican los desafíos operativos relacionados con el descubrimiento, la gestión del ciclo de vida y el cumplimiento», decía el artículo. «También pueden expandir su superficie de amenaza, lo que lleva a cuentas de zombies no administradas que los actores maliciosos usarán para llevar a cabo ataques».

Cuando se despide a trabajadores no humanos

Los departamentos de ciberseguridad tienen la gestión de identidad bajo command. Los empleados reciben ciertos privilegios y acceso al empleo, con los privilegios y el acceso revocados al terminar el empleo. Eso no siempre es cierto con los empleados no humanos.

«Los trabajadores no humanos, incluidas las cuentas de servicio, las RPA, los dispositivos de IoT y los bots, a menudo tienen sus privilegios de acceso intactos incluso después de que ya no sean necesarios», dijo Pignolet. «Esto abre a la organización a un posible riesgo cibernético al facilitar que los ciberdelincuentes obtengan privilegios de acceso no autorizado otorgados a las cuentas huérfanas».

VER: Cómo las cuentas fantasma pueden dejar a su organización vulnerable al ransomware (TechRepublic)

Pignolet discutió los tipos de trabajadores no humanos y los problemas que plantean con respecto a la gestión de identidad:

Cuentas de servicio: Estos se utilizan en sistemas operativos para ejecutar aplicaciones o ejecutar programas. Requieren acceso privilegiado a las aplicaciones, bases de datos y servidores en los que operan, pero estas cuentas tienen:

  • Contraseñas que nunca caducan (y deben cambiarse manualmente)
  • Credenciales fáciles de encontrar que a menudo están integradas en archivos de configuración

«Estos factores no son un buen augurio para la seguridad cibernética, ya que exponen amenazas en varios frentes», dijo Pignolet. «Sin mencionar que las cuentas de servicio están notoriamente mal administradas: el 73% de las organizaciones globales admiten no auditar, eliminar o modificar sus cuentas de servicio».

Automatización robótica de procesos: Esta tecnología permite que el software de computadora emule las acciones humanas asociadas con los sistemas digitales que se utilizan para ejecutar procesos comerciales. «Las RPA plantean inadvertidamente riesgos cibernéticos debido al acceso privilegiado que requieren para iniciar sesión en ciertos sistemas comerciales y realizar tareas», dijo Pignolet. «Sus credenciales privilegiadas suelen estar codificadas en un script, y si las credenciales no se controlan durante largos períodos o no se protegen adecuadamente, los ciberdelincuentes pueden lanzar ataques para robarlas».

VER: Se prevé que la automatización de procesos robóticos crezca en dos dígitos durante los próximos cuatro años (TechRepublic)

Dispositivos de IoT: Los dispositivos de World-wide-web de las cosas son objetos físicos integrados con sensores, program y otras tecnologías para conectar e intercambiar datos con otros dispositivos y sistemas a través de Web. «Debido a que los dispositivos de IoT almacenan datos y tienen acceso a datos confidenciales de la empresa y personales, son propensos a comprometer los datos», dijo Pignolet. «Si las credenciales del dispositivo no se actualizan con regularidad o no se revocan una vez que el trabajador no humano ya no es necesario, puede hacerlo inclined a ataques cibernéticos y violaciones de datos».

Bots: Un bot es un programa informático que funciona como agente de un usuario u otro programa, o para simular la actividad humana. «Los ciberdelincuentes pueden convertir un chatbot en un &#39bot maligno&#39 y usarlo para escanear la red de una organización en busca de vulnerabilidades de seguridad», dijo Pignolet. «Los bots malvados también pueden disfrazarse de usuarios humanos legítimos y obtener acceso a los datos de otros usuarios».

¿Cual es la solución?

Para gestionar las identidades de los trabajadores no humanos de forma eficaz y proteger a las organizaciones contra los riesgos potenciales que plantean, una organización debe adoptar un enfoque de gestión de identidad de extremo a extremo, dijo Pignolet. «Esto garantiza que la organización pueda continuar impulsando su transformación electronic, mientras mantiene seguro su entorno de TI».

VER: IoT es especialmente útil en la atención médica, pero la interoperabilidad sigue siendo un desafío (TechRepublic)

El primer paso es identificar a todos los trabajadores no humanos. Esto requiere hacer preguntas como:

  • ¿Qué bots se están utilizando?
  • ¿Qué tecnología RPA se está utilizando?
  • ¿Qué cuentas de servicio deben monitorearse?
  • ¿Qué dispositivos de IoT deben administrarse?

Luego, una organización debe establecer procesos, procedimientos y sistemas para verificar que todos los trabajadores no humanos tengan una identidad creada que se pueda utilizar para tomar decisiones bien informadas sobre los privilegios de acceso. Esto requiere que la organización piense en:

  • Realizar auditorías periódicas para comprender cómo, cuándo y por qué se utiliza a sus trabajadores no humanos.
  • Desarrollar procesos de baja y baja de trabajadores no humanos
  • Replicando el rigor en la gestión de los ciclos de vida de la identidad humana con sus homólogos no humanos.

«Para lograr esto, las organizaciones deben establecer y mantener un registro autorizado para todos los trabajadores no humanos a nivel de trabajador, no a nivel de acceso», dijo Pignolet. «Este registro se convierte en una fuente unificadora para administrar y monitorear el ciclo de vida de los trabajadores no humanos y lower el riesgo de errores humanos, brechas de seguridad y problemas de cumplimiento».

¿Por qué es importante?

A medida que las organizaciones dependen cada vez más de trabajadores no humanos para realizar funciones vitales dentro de sus negocios, deben tener en cuenta el ciclo de vida de la identidad de los trabajadores no humanos o arriesgarse a abrir una puerta que los ciberdelincuentes utilizarán para su beneficio. Pignolet concluyó: «Tratar a los trabajadores no humanos como sus contrapartes humanas evita riesgos de seguridad, problemas de cumplimiento y una letanía de otros problemas de eficiencia operativa».

Ver también



Enlace a la noticia first