"¿Necesitamos un IGA o un PAM?" es una de las preguntas que más escucho, y casi siempre viene mezclada. Las dos siglas hablan de identidades y accesos, los fabricantes las venden juntas y en muchas presentaciones parecen intercambiables. No lo son: resuelven problemas distintos, y entender cuál es el tuyo es lo primero.

IGA: quién tiene acceso a qué y por qué

IGA (Identity Governance and Administration) es el gobierno de identidades. Se ocupa del ciclo de vida de todas las identidades de la organización y de sus accesos:

  • Altas, bajas y cambios de puesto automatizados a partir de RR.HH. (joiner/mover/leaver).
  • Aprovisionamiento de cuentas y permisos en directorios y aplicaciones.
  • Solicitudes de acceso con flujo de aprobación.
  • Revisiones periódicas de accesos (recertificaciones).
  • Roles y reglas de segregación de funciones (SoD).
  • Trazabilidad y evidencia para auditoría.

La pregunta que responde un IGA es: ¿cada persona tiene los accesos que le corresponden, ni más ni menos, y lo puedo demostrar?

PAM: cómo se usan los accesos más peligrosos

PAM (Privileged Access Management) es la gestión de accesos privilegiados. Se concentra en un grupo mucho más chico de cuentas, las que pueden hacer más daño: administradores de dominio, root, cuentas de bases de datos, cuentas de servicio con privilegios.

  • Resguardo de credenciales privilegiadas en un cofre y rotación automática.
  • Acceso bajo solicitud y por tiempo limitado, en vez de privilegios permanentes.
  • Sesiones privilegiadas mediadas: el usuario se conecta sin conocer la contraseña.
  • Grabación y auditoría de lo que se hizo en cada sesión.

La pregunta que responde un PAM es: ¿quién usó una cuenta privilegiada, cuándo, para qué y qué hizo?

La diferencia en una línea

IGA gobierna quién debería tener acceso. PAM controla cómo se usa el acceso privilegiado.

Un IGA te dice que una persona es administradora de un servidor y si eso fue aprobado y revisado. No te dice qué hizo con ese privilegio el martes a la noche. Un PAM te dice exactamente qué hizo en esa sesión, pero no si esa persona todavía debería tener ese privilegio después de cambiar de área.

Dónde se tocan

Se complementan, y cuando conviven bien se integran: el IGA gobierna quién puede solicitar acceso privilegiado (y lo incluye en las revisiones), y el PAM controla y registra el uso. Así, el privilegio tiene una aprobación de negocio detrás y además queda rastro de cada uso.

Trabajo con la suite de One Identity, donde Identity Manager cumple el rol de IGA y Safeguard el de PAM, pero esta división es la misma en cualquier fabricante. Lo que importa no es la marca, sino tener claro qué parte del problema resuelve cada pieza.

¿Por cuál empezar?

No hay una respuesta universal, pero sí algunas señales que ayudan a decidir.

Señales de que el problema es de gobierno (IGA)

  • Las bajas dependen de que alguien se acuerde de avisar, y aparecen cuentas de gente que ya no está.
  • Nadie puede contestar rápido qué accesos tiene una persona en todos los sistemas.
  • Las auditorías encuentran accesos sin aprobación o revisiones sin evidencia.
  • Los cambios de puesto suman permisos pero nunca restan.
  • Hay muchas aplicaciones con su propia gestión de usuarios, sin conexión entre ellas.

Señales de que el problema es de privilegios (PAM)

  • Las contraseñas de administrador se comparten entre varias personas, o no se cambian hace años.
  • Hay proveedores externos con acceso administrativo permanente.
  • Los administradores usan su cuenta privilegiada para todo, incluido el mail.
  • Ante un incidente, no hay forma de saber quién hizo un cambio en un servidor crítico.

En la práctica, el riesgo inmediato suele estar en los privilegios: son pocas cuentas, pero una sola comprometida alcanza para un incidente grave. Y el problema de fondo suele estar en el gobierno: sin saber quién es quién y qué le corresponde, cualquier control termina siendo un parche.

Antes de comprar cualquiera de los dos

Lo que recomiendo siempre es hacer primero un relevamiento: cuáles son las fuentes de identidad, qué sistemas tienen gestión propia de usuarios, cuántas cuentas privilegiadas hay y quién las usa, qué exige la normativa que aplica a la organización y qué observaciones dejaron las últimas auditorías. Con eso arriba de la mesa, la pregunta "IGA o PAM" casi siempre se responde sola, y se responde en términos de prioridades y no de catálogo.

Ninguna de las dos herramientas sirve de mucho si se implementa sin procesos detrás. Un PAM con todos los administradores con acceso permanente al cofre, o un IGA que aprovisiona accesos que nadie revisa, son inversiones que se ven bien en un diagrama y cambian poco en la realidad.