En Resumen: Puntos Clave
- Descontrol manual: El uso de planillas de Excel y correos para auditar accesos desgasta a los equipos de TI, genera graves vulnerabilidades y eleva el costo por licencias inactivas.
- Solución inteligente: Rolix es una plataforma integral de Plug Zone (ejecutable en la nube u on-premise) que centraliza y automatiza el gobierno de identidades digitales.
- Flexibilidad en revisión: El sistema permite definir el alcance de cada campaña por aplicación, rol o usuario, asignando revisores automáticos como jefes directos o dueños de aplicaciones.
- Trazabilidad y cumplimiento: Ofrece flujos de revisión flexibles o estrictos, generación automática de reportes de auditoría listos para presentar, e integración nativa con Active Directory y Entra ID.
La forma en que las empresas están gestionando la recertificación de accesos plantea la necesidad de revisar prácticas que contraen riesgos, derivan en costos invisibles y plantean desafíos de cumplimentación y ciberseguridad.
Para ayudar a las organizaciones a lidiar con este desafío, los ejecutivos de Plug Zone dictaron el webinar “¿Cómo implementar una campaña de recertificación de accesos?”, en cuyo desarrollo plantearon una encuesta que permite entender el alcance de este desafío. Frente a la pregunta “¿Cómo gestiona hoy la recertificación de accesos?”, tan solo un 3% de los encuestados está gestionando estos procesos de forma automatizada. Un 21% reconoce que lo hace parcialmente, mientras que el 56% restante, o bien lo hace manualmente o no certifica (32% y 24% respectivamente).
¿Por qué el control manual de credenciales pone en riesgo a las empresas?
El control de credenciales mediante hojas de cálculo suele incrementar drásticamente la superficie vulnerable, pues se corre el riesgo de dejar por mucho tiempo cuentas activas de excolaboradores. Además, genera costos innecesarios en licencias de software en desuso, y propicia conflictos en la segregación de funciones, en los que un empleado acumula permisos incompatibles al cambiar de rol corporativo.
La acumulación descontrolada de privilegios obsoletos suele pasar desapercibida hasta que se aproxima una auditoría externa de seguridad. En este contexto, el fundador de la firma Plug Zone, Diego Minguillón, explicó que las organizaciones se enfrentan constantemente al desafío de estructurar campañas de revisión en medio de las urgencias del día a día. Según la experiencia del ejecutivo, la recolección de datos, la consolidación de planillas filtradas y el seguimiento constante a los aprobadores consumen un tiempo excesivo que desgasta a los equipos de TI y operaciones.
Para visibilizar y resolver esta problemática, Plug Zone celebró un webinar especializado de una hora, bajo el título: “¿Cómo implementar una campaña de recertificación de accesos?”. Durante el encuentro, Diego Minguillón describió detalladamente este padecimiento operativo: “Nos toca vivir esto muchas veces, o bien porque nosotros nos pusimos a armar una campaña, o bien porque ayudamos a nuestros clientes a armar campañas de recertificación. Y, básicamente, el desafío se relaciona con que hay una fecha determinada (y más cercana de lo que quisiéramos) para entregar la evidencia de auditoría, que además es una tarea que se suma a las del día a día y que, generalmente, estas auditorías son una vez por año, o cada seis meses”.
“Esa tarea tiene que ver con la recolección de un montón de permisos, usuarios, planillas de Excel filtradas… todo eso hay que mandárselo a los aprobadores, después perseguirlos para que respondan a esa campaña en tiempo y forma, y luego volver a reunir toda esa información y darle el formato adecuado para cumplir y mandar eso”, sintetizó.
“El desafío se relaciona con que hay una fecha determinada (y más cercana de lo que quisiéramos) para entregar la evidencia de auditoría, que además es una tarea que se suma a las del día a día y que, generalmente, estas auditorías son una vez por año, o cada seis meses”.
Diego Minguillón, Plug Zone.
Para Sebastián Arietti, Socio Gerente de Plug Zone, los perjuicios financieros del descontrol administrativo impactan de forma directa en los presupuestos tecnológicos de las compañías: “Vemos accesos que están otorgados hace mucho tiempo y no se revisan. Cuentas que están creadas y no se utilizan. Eso tiene varios impactos. Muchas veces el pago de licencias que no tendría sentido pagar, o sea, un gasto para la compañía innecesario, y un riesgo potencial porque esa cuenta puede ser utilizada de manera maliciosa. También observamos conflictos en segregación de funciones, donde se empiezan a cruzar permisos porque un determinado usuario cambió de posición, heredó permisos nuevos de su nueva posición, pero no le quitaron los anteriores”.
Rolix: automatización e inteligencia en el gobierno de identidades
Para mitigar estas vulnerabilidades de manera definitiva, la plataforma Rolix de Plug Zone surge como la respuesta tecnológica para centralizar y automatizar los flujos de revisión de identidades digitales. Diseñado para ejecutarse tanto en entornos de nube como en modalidades on-premise, este software transforma la revisión de accesos en una rutina predecible, ágil y veloz.
¿Cómo funciona una campaña de recertificación de accesos con Rolix?
Una campaña de recertificación de accesos en Rolix permite seleccionar aplicaciones, roles o usuarios específicos y asignar revisores calificados como mánagers directos o dueños de aplicaciones. El sistema automatiza las alertas y recordatorios para los aprobadores y recopila las decisiones para generar un reporte consolidado listo para auditorías.
“Vemos accesos otorgados hace mucho que no se revisan. Cuentas que están creadas y no se utilizan. Eso tiene varios impactos. Muchas veces el pago de licencias que no tendría sentido pagar, o sea, un gasto innecesario, y un riesgo potencial porque esa cuenta puede ser utilizada de manera maliciosa”.
Sebastián Arietti, Plug Zone.
El sistema destaca por su versatilidad, permitiendo a los directivos definir con precisión quirúrgica el alcance de cada control. Minguillón detalló que el enfoque de la interfaz para los aprobadores se centra en la usabilidad y la automatización inteligente de las alertas: “El enfoque es netamente práctico. El hecho de que hace muchos años que trabajamos con el tema de gestión de identidades y gobernanza hace que vayamos al hueso, lo que lo hace sencillo de usar para el usuario, y con documentación clara. Hicimos que las campañas fueran fáciles de armar, e inclusive con la opción de relanzar una campaña, con lo cual el segundo año ni siquiera la tenemos que armar: podemos usar la campaña que ya está armada. Automatizar los reclamos, esos que normalmente cuando el proceso es manual hay que escribirlos por mail, el sistema los dispara directamente como recordatorios (reminders) sin intervención del operador”.
Garantía de cumplimiento y un proceso de integración sin fisuras
La robustez técnica de Rolix radica en su capacidad nativa para integrarse a diversas fuentes de datos corporativas a través de protocolos LDAP, bases de datos SQL, archivos estructurados CSV y APIs avanzadas. Estas conexiones directas permiten extraer y procesar información desde servicios de directorio críticos como Active Directory de Microsoft o nubes empresariales como Microsoft Azure, facilitando la ejecución automatizada de la baja de accesos.
El flujo de trabajo concluye garantizando la trazabilidad absoluta de cada una de las decisiones tomadas por los líderes de área. La plataforma permite configurar las revisiones en modo flexible o estricto, obligando en este último caso a reconfirmar las decisiones, una por una, para evitar aprobaciones automáticas descuidadas que pongan en riesgo la seguridad informática de la empresa. De este modo, la evidencia auditable se convierte en un activo disponible a solo unos clics de distancia, alineado con estándares internacionales como el marco ISO/IEC 27001 para la gestión de seguridad de la información.
En caso de que la organización prefiera mantener la validación humana antes de aplicar cambios técnicos, Rolix permite exportar manualmente los resultados finales o derivarlos de manera directa hacia ticketeras corporativas tradicionales (como Jira o ServiceNow).
Para finalizar, Arietti resumió el valor estratégico de la herramienta y extendió una invitación directa a los líderes de tecnología: “Lo que queremos ofrecerles en el próximo paso es armarles su primera campaña de recertificación sin costo. Lo que estamos ofreciendo nosotros es darles una instancia de Rolix, ayudarlos a configurar su primera recertificación y que prueben el sistema y que vean qué tan fácil es lanzar esa campaña en la empresa donde trabajan. Esto no reemplaza su sistema de gestión de identidades actual, esto complementa ese sistema y facilita todo esto que vimos. Piénsenlo como una capa adicional que les hará saber cómo está funcionando el sistema de gestión de identidades”.
