IGA & Gobernanza

Qué es de verdad Identity Governance and Administration (IGA), en qué se diferencia la administración de identidades del gobierno de identidades, qué no es IGA y qué motivos de negocio y qué retorno consiguen que se financie un programa.

Por qué un programa de IGA depende de su modelo de datos de identidad: qué hace autoritativa a una fuente, cómo se emparejan las identidades entre sistemas, cómo se detecta la deriva y por qué unos datos malos de origen rompen la certificación y el aprovisionamiento más adelante.

Cómo gobierna un programa de IGA el ciclo de altas, cambios y bajas (joiner-mover-leaver): por qué la calidad del emparejamiento decide si un evento llega a las cuentas correctas, por qué un mover necesita una verificación de separación de funciones que nadie programó y cómo la reconciliación y la certificación atrapan lo que se le escapó al motor de flujos.

Cómo construir un catálogo de entitlements: la diferencia real entre un permiso, un entitlement y un rol, cómo acertar con la granularidad, una forma de nombrarlos que sobrevive a una docena de sistemas y por qué cada entitlement necesita un owner con nombre y un nivel de riesgo.

Quién lleva de verdad un programa de IGA: la dirección del programa, la arquitectura y la ingeniería de IAM, el análisis de negocio, los owners de aplicación, cumplimiento y seguridad, de qué responde cada uno, quién toma las decisiones de acceso reales y cómo cubre todo eso un equipo chico.

Cómo funcionan las solicitudes de acceso en un programa de IGA: qué contiene una solicitud gobernada que un ticket de TI no tiene, cómo diseñar un catálogo del que la gente pueda pedir de verdad, aprobaciones según el riesgo, verificaciones de conflictos antes de otorgar nada, fechas de fin y las medidas que muestran si el proceso funciona.

Cómo funciona la certificación de accesos en un programa de IGA: los tipos de campaña, el alcance y la frecuencia según el riesgo, el contexto que necesita quien revisa para decidir de verdad, cómo eliminar por diseño la aprobación automática, las revisiones disparadas por eventos y la evidencia que de verdad prueba un auditor.

Cómo diseñar roles que un programa de IGA pueda gobernar de verdad: dónde se juntan los dos sentidos de 'rol' que ha usado este dominio, roles de negocio y roles técnicos, el diseño top-down y bottom-up y cómo convergen, la minería de roles y sus puntos ciegos, la calidad de un rol, la explosión de roles y el ciclo de vida del rol.

Cómo las políticas de IGA asignan y limitan el acceso de forma automática: reglas de asignación basadas en atributos, qué tan chico debe ser un paquete birthright, la separación de funciones como política, qué pasa cuando dos políticas se contradicen y por qué todo cambio de política debe simularse antes de activarse.

Cómo una plataforma de IGA crea, cambia y retira el acceso en los sistemas destino: tipos de conectores, sistemas sin API, qué debería hacer de verdad el desaprovisionamiento, operaciones fallidas y parciales, reconciliación y deriva, y por qué quitar acceso es más difícil de hacer bien que darlo.

Qué necesita registrar un programa de IGA, cómo prueban de verdad los auditores los controles de acceso, por qué un reporte es en sí mismo algo que el auditor verifica, las preguntas sobre una fecha pasada, reportes operativos frente a reportes de riesgo, cómo proteger la pista de auditoría y cuánto tiempo conservarla.

Qué significa la segregación de funciones en la gobernanza de identidades, qué funciones se separan, cómo aparecen las combinaciones tóxicas, la diferencia entre SoD estática y dinámica, cómo se construye una matriz de conflictos desde el riesgo hasta el permiso y cómo prevenir o detectar conflictos.