Cómo un proveedor de servicios de infraestructura crítica protege el acceso privilegiado

Downer Group ofrece diversos servicios que son esenciales para crear, administrar y mantener activos, infraestructura e instalaciones en Australia y Nueva Zelanda. La empresa presta servicios a empresas de transporte, telecomunicaciones y energía y servicios públicos. Los proyectos destacados incluyen la construcción y el mantenimiento de la flota de trenes que apoyará a los Juegos Olímpicos de Verano de 2032 en Brisbane, Australia. También atienden a instalaciones de alto perfil como hospitales, bases de defensa y prisiones.

Más de la mitad de la fuerza de trabajo de Downer son empleados de atención de primera línea en más de 700 sitios, incluidas las áreas remotas. Los proveedores que les dan soporte están repartidos en varios países, y muchos de estos proveedores son usuarios privilegiados. Tienen acceso a lo que Aidan Turner, administrador de identidad y acceso de Downer, describe como «las joyas de la corona».

«Downer, como cualquier otra organización, está constantemente bajo ataque, y cada vez más, los atacantes están ingresando con claves y no por fuerza bruta», explica Aidan. «Cada vez que esas credenciales de usuario privilegiado están expuestas, se pone en riesgo la reputación de nuestra empresa».

Una preocupación aún mayor es que un ataque a Downer podría tener resultados devastadores si las operaciones del cliente se interrumpieran o se perdieran los datos.

«Si no protegemos correctamente nuestros sistemas y un atacante obtuviera acceso a esas credenciales, podría infiltrarse o interrumpir los sistemas que apoyan los servicios esenciales», dice Aidan.

Las consecuencias de una interrupción podrían ascender a un costo financiero significativo. Los acuerdos de Downer con algunos clientes incluyen severas penalizaciones por tiempo de inactividad, como sanciones de seis cifras por cada 15 minutos de interrupción.

«Si se violara algo y una credencial derribara un sistema, lo que es muy factible, es de suma importancia contenerlo rápidamente y disminuir el impacto financiero», comparte Aidan.

Las fusiones y adquisiciones en los últimos años han traído a nuevas empresas bajo el paraguas de Downer. Cada uno de ellos venía con estándares técnicos y procedimientos separados. El resultado fue una infraestructura compleja con varios dominios de Active Directory (AD). Los servicios tecnológicos subcontratados a varios proveedores agregaron desafíos adicionales.

«Debido a nuestra gran mezcla de proveedores que tienen diferentes procesos internos, hubo mucha TI en la sombra y una mala administración de identidades privilegiadas», dice Aidan.

Downer necesitaba una solución de administración de riesgos de credenciales que proporcionara:

Algunos de los usuarios con privilegios de Downer almacenaron sus contraseñas en administradores de credenciales no compatibles. Otros usaron hojas de cálculo.

«Hubo demasiados casos de personas que usaron de forma inapropiada sus credenciales», dice Aidan. «Necesitábamos tomar una posición y volver a desarrollar el estándar, y elegimos e implementamos Dashlane».

Dice que eligieron Dashlane porque la solución estaba bien posicionada para su caso de uso y era «extremadamente competitiva», una ventaja significativa cuando los presupuestos de TI se reducen enormemente. Otras características diferenciadoras incluían la fácil incorporación de Dashlane, la administración simple y la integración del SSO.

El objetivo inicial era implementar el administrador de credenciales para el equipo de seguridad. Sin embargo, el equipo reconoció una oportunidad más grande a medida que incorporaron a más usuarios y más personas usaron la herramienta. Decidieron adoptar Dashlane como solución aprobada para proporcionar administración de credenciales segura y detección proactiva de riesgos, comenzando con credenciales críticas.

Con Dashlane, Downer Group se beneficia de:

Aidan también observa que el equipo de asistencia técnica de Dashlane es muy útil y receptivo.

Los administradores obtienen información práctica con la Detección de riesgos de credenciales, incluido el número de empleados que escribieron credenciales en riesgo sin ingresar y los riesgos detectados a lo largo del tiempo.

Como profesional de seguridad con una agenda ocupada, Aidan aprecia poder usar y administrar la plataforma Dashlane de forma fácil y efectiva.

«Sé con seguridad que hay otras plataformas en las que eso no ocurriría», dice.

Su equipo está implementando la solución en varios equipos de TI de unidades empresariales. Señala que la incorporación de usuarios sin problemas y la integración de SSO son especialmente valiosas para los administradores.

«Cuando mis equipos están administrando Dashlane, no necesitamos un ejército de personas para administrar el sistema en el backend; podemos hacerlo relativamente simple», añade Aidan.

La tasa de adopción es alta entre los equipos centralizados de Downer que formaron parte de la implementación inicial de Dashlane. Esto habla de la simplicidad de Dashlane y de la facilidad de uso para los empleados.

Además, explica, «Dark Web Insights y el monitoreo de contraseñas comprometidas son características excelentes que mi equipo está utilizando para proteger aún más las credenciales para nuestras aplicaciones críticas».

Aidan dice que disponer del monitoreo de la Dark Web y los Insights integrados en Dashlane es una gran ventaja porque permite a la empresa fortalecer la seguridad de forma proactiva.

«No queremos tener credenciales hackeadas en la caja fuerte. Una vez que vemos que las contraseñas asociadas con una dirección de correo electrónico en particular han sido hackeadas o son débiles, se lo notificamos a los usuarios de forma proactiva para que puedan tomar las medidas apropiadas para fortalecer su cuenta», dice.

«Disponer del monitoreo de la Dark Web directamente en la herramienta es bastante útil, y también podemos vincularlo a nuestro plan de concienciación en seguridad».

Con las puntuaciones de análisis de contraseñas mejoradas en gran medida, Aidan y su equipo pueden informar con confianza a la junta directiva de que Downer puede evitar mejor el acceso no autorizado a los sistemas internacionales y mitigar el riesgo.

«Nuestros riesgos clave eran las contraseñas con privilegios, que podían comprometer la seguridad total», comparte Aidan. «Con Dashlane, estamos ayudando a reducir ese riesgo clave y podemos informar mejor a la junta de que estamos disminuyendo el número de brechas asociadas con las credenciales».

Basándose en el éxito inicial de Dashlane, Downer está valorando una implementación para todos los usuarios empresariales normales de toda la empresa.

«En el futuro, queremos ofrecer las cajas fuertes a todos», dice Aidan.