La autenticación basada en riesgos (RBA) es un método de autenticación que evalúa el nivel de riesgo asociado con un intento de inicio de sesión o una transacción y aplica medidas de seguridad adicionales cuando el riesgo es alto. En lugar de un enfoque estático y único para todos, la autenticación basada en riesgos evalúa docenas de puntos de datos en tiempo real para establecer una puntuación de riesgo para cada acción del usuario. Según la puntuación de riesgo, el sistema puede aplicar controles de acceso adaptativos para verificar la identidad del usuario.
RBA, también conocido como Acceso condicional basado en riesgos, proporciona una alternativa a los métodos de autenticación estática al introducir un elemento dinámico que ajusta los controles de seguridad en función del riesgo calculado en tiempo real de una transacción. RBA evalúa detalles sobre el usuario, dispositivo, ubicación, red y otros atributos para detectar anomalías que podrían indicar fraude. Si la puntuación de riesgo excede un umbral definido, el sistema puede solicitar factores de autenticación adicionales, como contraseñas de un solo uso, notificaciones automáticas o validación biométrica.
RBA tiene como objetivo lograr un equilibrio entre seguridad y experiencia del usuario. Para transacciones de bajo riesgo, permite a los usuarios autenticarse con un único factor como una contraseña. Pero para transacciones de mayor riesgo, aplica una autenticación más sólida para verificar la identidad del usuario antes de permitir el acceso. Este enfoque apropiado para el riesgo ayuda a reducir el fraude y al mismo tiempo minimiza fricciones innecesarias para los usuarios legítimos.
La autenticación basada en riesgos (RBA) aprovecha el aprendizaje automático y el análisis para determinar el nivel de riesgo de una determinada solicitud o transacción de acceso. Evalúa múltiples factores como la identidad del usuario, la ubicación de inicio de sesión, el tiempo de acceso, la postura de seguridad del dispositivo y los patrones de acceso anteriores para detectar anomalías que podrían indicar fraude. Según el nivel de riesgo evaluado, se aplica el RBA autenticación adaptativa controles, lo que requiere una verificación más estricta para escenarios de mayor riesgo.
Las soluciones RBA suelen utilizar una puntuación de riesgo que se calcula en tiempo real para cada solicitud o transacción de acceso. La puntuación se determina en función de reglas y modelos creados a partir de datos históricos. Si la puntuación supera un umbral predefinido, el sistema puede solicitar comprobaciones de autenticación adicionales, como preguntas de seguridad o códigos de verificación OTP enviados a un dispositivo confiable. Para puntuaciones muy altas, el sistema puede bloquear la solicitud por completo para evitar el acceso no autorizado.
Al analizar numerosas señales de riesgo, RBA pretende lograr un equilibrio entre seguridad y experiencia del usuario. Evita someter a los usuarios a pasos de autenticación demasiado estrictos cuando el riesgo parece normal. Al mismo tiempo, es capaz de detectar amenazas sutiles que los sistemas basados en reglas pueden pasar por alto. Los sistemas RBA continúan aprendiendo y adaptándose a los cambios en el comportamiento de los usuarios y los patrones de acceso a lo largo del tiempo. A medida que los algoritmos incorporan más datos, los modelos y umbrales de riesgo se vuelven más precisos.
RBA es un componente clave de un sólido Gestión de identidad y acceso. (IAM) programa. Cuando se combina con métodos de autenticación sólidos como autenticación de múltiples factores (MFA), proporciona una capa adicional de protección para asegurar el acceso a aplicaciones, sistemas y datos críticos. Para las organizaciones, RBA ayuda a reducir las pérdidas por fraude y las sanciones por cumplimiento, al tiempo que mejora la eficiencia operativa. Para los usuarios finales, resulta en una experiencia de autenticación optimizada cuando los niveles de riesgo son bajos.
Los métodos de autenticación han evolucionado con el tiempo para abordar las amenazas emergentes y aprovechar las nuevas tecnologías. Originalmente, los métodos basados en el conocimiento, como las contraseñas, eran el medio principal para verificar la identidad de un usuario. Sin embargo, las contraseñas son propensas a ataques de fuerza bruta y los usuarios suelen elegir contraseñas débiles o reutilizadas que se ven fácilmente comprometidas.
Para abordar las debilidades de las contraseñas, se introdujo la autenticación de dos factores (2FA). 2FA requiere no solo conocimiento (una contraseña), sino también la posesión de un token físico como un llavero que genera códigos de un solo uso. 2FA es más segura que las contraseñas por sí solas, pero los tokens físicos se pueden perder, robar o piratear.
Más recientemente, la autenticación basada en riesgos (RBA) ha surgido como un método adaptativo que evalúa cada intento de inicio de sesión en función del nivel de riesgo. RBA utiliza inteligencia artificial y aprendizaje automático para analizar docenas de variables como dirección IP, geolocalización, hora de acceso y más para detectar anomalías que podrían indicar fraude. Si el inicio de sesión parece riesgoso, es posible que se le solicite al usuario una verificación adicional, como un código de un solo uso enviado a su teléfono. Sin embargo, si el inicio de sesión se realiza desde un dispositivo y una ubicación reconocidos, el usuario puede continuar sin interrupción.
RBA ofrece una serie de beneficios sobre las técnicas de autenticación tradicionales:
RBA es un nuevo enfoque prometedor para la autenticación que aprovecha la inteligencia artificial y el análisis de riesgos para una seguridad adaptable. A medida que las amenazas sigan evolucionando, RBA desempeñará un papel cada vez más importante en la protección de cuentas en línea y datos confidenciales.
RBA ofrece varias ventajas sobre los métodos de autenticación estática. En primer lugar, mejora la experiencia del usuario al reducir la fricción en los inicios de sesión de bajo riesgo. Los usuarios no tienen que ingresar credenciales adicionales ni completar pasos adicionales si el sistema determina que están iniciando sesión desde un dispositivo o ubicación reconocidos durante el horario normal. Esta comodidad fomenta la adopción por parte del usuario de métodos de autenticación y limita la frustración.
En segundo lugar, RBA fortalece la seguridad cuando es necesario al exigir una autenticación más sólida para inicios de sesión de mayor riesgo, como desde un dispositivo o ubicación desconocidos o en un momento inusual del día. La autenticación adicional, que puede incluir un código de seguridad enviado al teléfono del usuario o una notificación de la aplicación, ayuda a verificar la identidad del usuario y reduce las posibilidades de fraude. Una autenticación más sólida solo se activa cuando el nivel de riesgo lo justifica, equilibrando la seguridad y la usabilidad.
Finalmente, RBA ahorra tiempo y dinero a las organizaciones. Los recursos de la mesa de ayuda no se agotan por usuarios que han sido bloqueados innecesariamente de sus cuentas. Y al reservar la autenticación más sólida para inicios de sesión riesgosos, las empresas pueden evitar implementar controles demasiado estrictos en todos los ámbitos, lo que reduce los costos. RBA también reduce los falsos positivos, minimizando los esfuerzos desperdiciados al investigar los inicios de sesión de usuarios legítimos marcados como anómalos.
RBA ofrece un enfoque de autenticación inteligente y personalizado que ayuda a las empresas a optimizar la seguridad, la experiencia del usuario y los costos. Al centrar controles adicionales donde los riesgos son mayores, las organizaciones pueden lograr el nivel adecuado de autenticación según la necesidad, no una política arbitraria y única para todos.
La implementación de una solución de autenticación basada en riesgos requiere una planificación y ejecución cuidadosas. Para empezar, las organizaciones deben identificar sus datos, sistemas y recursos más críticos. Una evaluación de riesgos ayuda a determinar las vulnerabilidades y la probabilidad de compromiso. Comprender las posibles amenazas e impactos permite a las empresas centrar los controles de seguridad donde más se necesitan.
Una implementación exitosa de la autenticación basada en riesgos depende de datos de calidad y análisis avanzados. Datos históricos suficientes sobre usuarios, patrones de acceso, ubicaciones y dispositivos proporcionan una base para el comportamiento normal. Luego, los modelos de aprendizaje automático pueden detectar desviaciones significativas para calcular puntuaciones de riesgo precisas. Sin embargo, los modelos de calificación de riesgos requieren un ajuste continuo a medida que surgen falsos positivos y falsos negativos. Los científicos de datos deben volver a entrenar los modelos continuamente para minimizar los errores de autenticación.
Las soluciones de autenticación basadas en riesgos deben integrarse con la infraestructura de gestión de acceso e identidad existente de una empresa. Esto incluye conectarse a directorios como Active Directory para acceder a perfiles y roles de usuario. La integración con una plataforma de gestión de eventos e información de seguridad (SIEM) proporciona datos adicionales para informar la puntuación de riesgos. Las interfaces de programas de aplicaciones (API) permiten que los servicios de autenticación basados en riesgos se comuniquen con los sistemas de inicio de sesión nativos y los mejoren.
Para implementar la autenticación basada en riesgos, las organizaciones necesitan un equipo dedicado para administrar la solución. Los científicos de datos desarrollan y optimizan modelos de puntuación de riesgos. Los analistas de seguridad monitorean el sistema, abordan alertas y solucionan problemas. Los administradores mantienen la infraestructura subyacente y la integración con los sistemas existentes. Con los recursos y la planificación adecuados, la autenticación basada en riesgos puede proporcionar un control de seguridad adaptable para proteger datos y recursos críticos.
La autenticación basada en riesgos es un campo en evolución que probablemente verá avances continuos para fortalecer la seguridad y mejorar la experiencia del usuario. Algunas posibilidades en el horizonte incluyen:
Biometría y análisis de comportamiento. Los métodos biométricos como el reconocimiento de huellas dactilares, rostro y voz se están volviendo más sofisticados y ubicuos, especialmente en dispositivos móviles. Analizar la velocidad de escritura de un usuario, los patrones de deslizamiento y otros comportamientos también puede mejorar la puntuación de riesgo. La autenticación multifactor mediante biometría y análisis de comportamiento podría proporcionar una protección muy sólida.
Inteligencia artificial y aprendizaje automático. Se están aplicando inteligencia artificial y aprendizaje automático para detectar patrones cada vez más complejos que indiquen fraude. A medida que los sistemas recopilan más datos con el tiempo, los algoritmos de aprendizaje automático pueden volverse extremadamente precisos a la hora de detectar anomalías. La IA también se puede utilizar para ajustar dinámicamente las puntuaciones de riesgo y seleccionar métodos de autenticación basados en las últimas amenazas.
Sistemas descentralizados y basados en blockchain. Algunas empresas están desarrollando sistemas de autenticación que no dependen de un depósito central de datos de usuario que podría ser un objetivo para los piratas informáticos. La tecnología Blockchain, que impulsa criptomonedas como Bitcoin, es un ejemplo de un sistema descentralizado que puede usarse para la autenticación. Los usuarios podrían tener más control sobre sus identidades digitales e información personal.
Si bien la autenticación basada en riesgos no es una solución milagrosa, el progreso continuo en estas y otras áreas hará que las cuentas sean aún más resistentes a la adquisición y ayudará a prevenir varios tipos de fraude. A medida que avanzan los métodos de autenticación y análisis de riesgos, las cuentas deberían resultar muy difíciles de comprometer para los atacantes sin las credenciales o patrones de comportamiento adecuados. El futuro de la autenticación basada en riesgos parece prometedor en la batalla interminable contra las amenazas cibernéticas. En general, es probable que la autenticación basada en riesgos continúe madurando hasta convertirse en una solución multifactor que sea altamente segura y fluida para que los usuarios finales naveguen.
La implementación de una estrategia integral de autenticación basada en riesgos ayuda a garantizar que el acceso de los usuarios se autentique con un nivel adecuado de confianza, lo que permite un acceso seguro y al mismo tiempo maximiza la usabilidad y la productividad. Con la autenticación basada en riesgos, las organizaciones pueden aplicar una autenticación "lo suficiente, justo a tiempo" adaptada a los factores de riesgo únicos de cada escenario de acceso.
