¿Qué es el inicio de sesión único para SCADA?

Volver al glosario

Autenticación federada y el flujo de ingreso

Bajo el inicio de sesión único el SCADA no verifica la contraseña del usuario por sí mismo. En cambio delega la autenticación a un proveedor de identidad de confianza, el sistema que la empresa ya usa para gestionar los ingresos de sus empleados. Cuando un usuario intenta alcanzar el SCADA, se le redirige al proveedor de identidad, donde inicia sesión como inicia sesión en todo lo demás - incluido cualquier paso de múltiples factores que la empresa imponga. El proveedor de identidad luego le envía al SCADA una aseveración firmada que dice, en efecto, este es un usuario real y autenticado y aquí está quién es.

SAML y OIDC son los dos protocolos comunes que llevan esa aseveración. SAML es el estándar empresarial de larga data, que intercambia una aseveración XML firmada entre el proveedor de identidad y la aplicación. OIDC es la opción más moderna construida sobre OAuth, que intercambia tokens firmados y muchas veces se usa con los mismos proveedores de identidad. Desde el punto de vista del SCADA el resultado es el mismo: confía en una declaración firmada criptográficamente del proveedor de identidad en lugar de almacenar y verificar una contraseña propia. El usuario experimenta un solo ingreso que lo lleva al SCADA sin un segundo juego de credenciales.

Como el SCADA nunca guarda la contraseña corporativa del usuario, toda una clase de riesgo se aleja de la plataforma. No hay una contraseña separada del SCADA que pueda ser débil, reutilizada, suplantada por phishing o dejada en una nota compartida, y la política de contraseñas, la rotación y la imposición de múltiples factores se quedan todas con el proveedor de identidad donde la empresa ya las gestiona. El trabajo del SCADA se estrecha a confiar en el proveedor de identidad y decidir qué se le permite hacer a un usuario autenticado una vez adentro.

Mapear grupos de identidad a roles del SCADA

La autenticación establece quién es una persona; la autorización decide qué puede hacer, y el inicio de sesión único enlaza las dos mediante el mapeo de grupos. El proveedor de identidad típicamente conoce la membresía de grupo o rol de un usuario - operaciones, ingeniería, gerencia, contratista - y la incluye en la aseveración firmada. El SCADA se configura para mapear esos grupos entrantes a sus propios roles, así que un ingeniero en el directorio corporativo aterriza en el SCADA con permisos de ingeniería y un operador aterriza con permisos de operador, todo sin que un administrador del SCADA configure a cada persona a mano.

Este mapeo es lo que hace práctico el acceso centralizado en lugar de solo conveniente. En lugar de mantener una lista paralela de quién debe tener qué rol del SCADA, la organización gestiona la membresía una vez, en el proveedor de identidad, y el SCADA la sigue. Mover a una persona entre equipos en el directorio cambia su rol del SCADA en su siguiente ingreso, y agregar a alguien al grupo correcto le concede acceso apropiado de forma automática. El SCADA se vuelve un consumidor de la estructura de identidad existente de la empresa en lugar de un sistema aparte que mantener en sincronía.

El mapeo de grupo a rol aún deja al SCADA en control de los detalles de cada rol - qué puede ver y tocar un operador frente a un ingeniero - así que el propio modelo de permisos de la plataforma hace el trabajo fino. El inicio de sesión único decide qué rol obtiene una persona a partir de su identidad corporativa; las definiciones de roles del SCADA deciden qué significa ese rol. La división mantiene la gestión de identidad en un lugar y los permisos específicos del proceso en otro, que es el hogar correcto para cada uno.

Por qué el SSO importa para un SCADA hospedado

El argumento de seguridad más fuerte para el inicio de sesión único es la salida instantánea. Cuando una persona se va o se retira, TI deshabilita su cuenta de forma central, y como el SCADA se apoya en ese mismo proveedor de identidad, su acceso al SCADA termina de inmediato sin un paso aparte que recordar. El modo de falla de un inicio de sesión independiente del SCADA - un contratista que se fue cuya cuenta nadie pensó en borrar, aún capaz de alcanzar un sistema en vivo - simplemente no surge cuando la autenticación es federada. El acceso se concede y se revoca en un solo lugar.

Para una plataforma hospedada multiusuario esta centralización escala mucho mejor que las cuentas locales. Una empresa que opera muchos sitios, con operadores, ingenieros e integradores externos, enfrentaría de otro modo una pila creciente de credenciales individuales del SCADA que aprovisionar, restablecer y auditar. Federar al proveedor de identidad corporativo colapsa eso en el ciclo de vida de cuentas que la empresa ya opera, así que la incorporación, los cambios de rol, los restablecimientos de contraseña y la política de múltiples factores ocurren todos una vez y fluyen al SCADA. También le da a la empresa una respuesta única y autoritativa a la pregunta de quién puede alcanzar el sistema.

El inicio de sesión único complementa en lugar de reemplazar los demás controles de acceso de la plataforma. Maneja la autenticación federada - probando la identidad por el proveedor corporativo - mientras que los permisos basados en roles gobiernan lo que un usuario autenticado puede hacer, y cualquier requisito de múltiples factores se impone en el proveedor de identidad durante el ingreso. Juntas, estas capas dejan a un SCADA hospedado cumplir las expectativas de acceso empresarial: autenticación fuerte y gestionada de forma central al frente, y autorización de mínimo privilegio adentro, con todo el ciclo de vida atado al sistema de identidad existente de la empresa.

Preguntas frecuentes