AVISO: Nos hemos integrado con Facebook y Twitter. Ahora, podrás decir si te gusta o no uno de nuestros artículos con tu usuario de la red social. También podrás difundir los artículos que más te gusten a través de cualquier medio. Ayúdanos a que los artículos sean más interesantes dándonos tu opinión. Gracias.

viernes, 18 de febrero de 2011

Gestión de Identidades: Enfoques

A pesar de ser una de mis especialidades, me he resistido hasta ahora a hacer un post al respecto. Y, ¿por qué hoy me animo a ello? Será por la noticia que he leido en CSO Spain (Ver aquí) sobre el enfoque que se da desde las empresas a los proyectos de Gestión de Identidades (IAM - Identity Access Manager).

Creo que, antes de empezar a disertar sobre como se debe enfocar este tipo de proyectos, sería conveniente que diese un pequeño repaso a los conceptos básicos sobre Gestión de Identidades. Primero de todo, debemos saber qué es una identidad. Si estuviesemos hablando de un solo ordenador (por ejemplo, el que tenemos en nuestras casas) la identidad sería el usuario que utilizamos para identificarnos en el sistema, el cual se relaciona con nosotros (asumiendo que ese usuario solo lo utilizamos nosotros, claro). Pero el concepto de identidad se complica un poco más cuando estamos hablando de un entorno empresarial con decenas de sistemas, aplicaciones, etc. En estos entornos la identidad es un aspecto más abstracto y es precisamente en ese concepto en el que se centra los proyectos IAM. Al fin y al cabo, un usuario sigue siendo la misma persona, independientemente de las credenciales con las que acceda a estos sistemas o aplicaciones.

Aparte del concepto de Identidad, debemos tener en cuenta cuales son los procesos en los que se enfoca todo proyecto de Gestión de Identidades. Los procesos involucrados son:
  • Autentificación de los usuarios.
  • Autorización y permisos (Control de Accesos).
  • Gestión de Usuarios
  • Repositorio centralizado de usuarios.
En mayor o menor medida, un proyecto de Gestión de Identidades debe dar una solución a cada uno de estos procesos mejorando la gestión y reduciendo costes de administración, y mejorando la experiencia del usuario en el acceso a los sistemas y aplicaciones.

Bueno, por ahora, tenemos un pequeño esbozo de en qué consiste este tipo de proyectos. Pero como hemos comentado al principio, hay dos posibles enfoques a la hora de abordar este tipo de proyectos:
  1. Enfoque tecnológico
  2. Enfoque consultivo+tecnológico
El primer enfoque es el adoptado normalmente por los departamentos de TI. Estos departamentos están en constante contacto con la tecnología y abordan este tipo de proyectos como una mejora de sus procedimientos de gestión, intentando conseguir eficiencia y eficacia en sus procesos. Según el artículo comentado arriba, entre la mitad y dos terceras partes de las empresas adoptan este tipo de enfoque.

Por mi experiencia en este tipo de proyectos, aconsejaría que cualquier proyecto iniciado con este enfoque, fuese inmediatamente parado porque va abocado al fracaso de la implementación del proyecto. Como persona técnica que soy, entiendo las motivaciones para llevar este tipo de enfoque, pero tras pasar tantos años entendiendo esta problemática, llegué a la conclusión que sin involucrar a la parte de negocio de la empresa, estos proyectos se quedan en agua de borrajas.

Aquí entramos en el segundo tipo de enfoque, en el que lo primero que se realiza es una consultoría que define un marco de referencia en gestión de identidades, donde se analizan los procedimientos de gestión desde RRHH, a Negocio, u otros departamentos involucrados. Una vez realizada esta consultoría, la implementación de un sistema de gestión de identidades tiene las garantías suficientes de que toda la empresa está alineada con las políticas definidas en la gestión y su implementación será una cuestión "trivial". Pongo trivial, porque este tipo de sistemas son horizontales a la empresa y eso significa que nunca es fácil su implementación. Aunque más difícil sería si encima, no estuvieramos alineados con cada departamento responsable de los sistemas/aplicaciones.

Aunque parezca que lo comentado ahora solo se aplica a las grandes empresas, este tipo de proyectos se adaptan al tamaño de la organización y al número de sistemas que se tiene. Estos proyectos son tanto más costosos cuanto más se tarde en abordarlos en una empresa.

Por último, creo que es conveniente comentar que en la actualidad ya existen muchas soluciones tecnológicas  en el mercado que cubren la totalidad de las problemáticas que nos podemos encontrar en este tipo de proyectos y que solamente tendremos que escoger la adecuada para nuestro entorno, coste y futuras ampliaciones.