Diseño de un sistema de administración y gobierno de identidades en una entidad financiera en el Perú

Abstract

La ausencia de un sistema de gestión de identidades y accesos (IGA) expone a las entidades bancaria del Perú a sanciones regulatorias y vulnerabilidades de ciberseguridad por acceso a aplicativos y recursos de información de personal no autorizado. En el presente informe, se plantea la integración de 2 plataformas que permitan la administración y gobierno de identidades para el cumplimiento de las directrices de la S.BS. Para el diseño de la solución se partió de la identificación de supuestos y requisitos que se contemplarían en el proyecto en base al reglamento de seguridad de la S.B.S. Además, se determinarón los módulos y flujos de gestión de identidades que permitan el cumplimiento de los requisitos identificados. Luego, se comparó las funcionalidades de los productos en el mercado con los módulos requeridos y se obtuvo los componentes según documentación del “Product Descriptions”. En el desarrollo de la arquitectura se contemplaron los principios del gobierno de identidades para lograr una gestión efectiva y segura de las identidades. De esta manera el sistema permitirá gestionar y controlar de manera eficaz el acceso a los activos digitales de una entidad financiera. Por otro lado, los criterios de validación del proyecto se realizaron en base al marco de seguridad del NIST, específicamente de la identificaron las funciones, categorías y controles relacionados a la gestión de identidades y gobierno. Finalmente, se concluye que el sistema propuesto cumple en el 86% de las subcategorizas del marco de trabajo del NIST para sistemas (IGA) y se recomienda evaluar la necesidad de adquirir plataformas adicionales que cubran la brecha no atendida.

Identity and access management (IGA) is essential in information security by ensuring that only authorized people have access to applications and information resources. In this report, the integration of 2 platforms that allow the administration and governance of identities to comply with the S.BS guidelines was proposed. For the design of the solution, the security regulations of the SBS were reviewed, where the assumptions and requirements were identified, the identity management processes were identified that allow compliance with the requirements to ensure the granting and withdrawal of access in a timely manner. . The design of the proposed identity governance and administration (IGA) solution will allow you to effectively manage and control access to a financial institution's digital assets. The proposed solution includes processes, tools and policies, which will ensure that confidential information and systems are only accessible to authorized users and that access is allowed in a regulated and secure manner. The validation of the project was carried out in accordance with the NIST security framework, the functions, categories and controls related to identity management and governance were identified. Evaluation criteria were established for the validation of compliance with the controls, the validation of the proposed design (IGI and SIM) has been carried out based on the functionalities and regulatory compliance, the effectiveness of the processes and the security of digital assets.