Informe breve sobre la solución RSA

RSA® Adaptive Authentication

Equilibrio entre el riesgo, los costos
y la conveniencia

Informe breve sobre

 A medida que más organizaciones buscan migrar clientes, miembros y partners al rentable canal
en línea, se vuelve crítica la necesidad de inspirar confianza e implementar medidas de
seguridad más sólidas. Asimismo, las amenazas en línea, como ataques de intermediarios,
phishing y troyanos, están en constante desarrollo. Las organizaciones deben preocuparse por la
implementación de una solución a largo plazo que se pueda adaptar fácilmente a los cambios.

Llegar al grado adecuado de seguridad de la autenticación sin comprometer la experiencia del

usuario ni agotar el presupuesto es un desafío para muchas organizaciones. La autenticación
sólida es clave para proteger los datos confidenciales y aumentar la adopción del canal en línea.
Además, dado que la mayoría de los usuarios actualmente experimentan la implementación
de una autenticación más sólida cuando utilizan el servicio bancario en línea, esperan disfrutar
del mismo nivel de protección cuando acceden a información confidencial en cualquier sitio
en línea.

– Autenticación del sitio ante el usuario. Garantiza a

La elección correcta para la autenticación
RSA® Adaptive Authentication es una plataforma de
administración de riesgos y autenticación integral que
ofrece protección rentable para toda una base de
usuarios. Adaptive Authentication monitorea y autentica
las actividades de los usuarios según los niveles de
riesgo, las políticas institucionales y la segmentación de
los clientes, y se puede implementar con la mayoría de
los métodos de autenticación existentes, por ejemplo:
– Autenticación invisible. Identificación y perfil
del dispositivo.
los usuarios que la transacción se realiza en un sitio
Web legítimo al mostrar una imagen y un texto de
seguridad personales preseleccionados por el
usuario al iniciar sesión.
– Autenticación fuera de banda. Llamada telefónica, SMS
o correo electrónico.
– Preguntas de validación. Autenticación basada en
el conocimiento (KBA) o preguntas de validación.
– Contraseñas de un solo uso. Tokens de hardware,
barras de herramientas y tokens de software, tokens
de tarjeta con visualizador, tokens de firma de
transacciones o EMV/CAP.

Adaptive Authentication puede

soportar la mayoría de las
tecnologías de autenticación
existentes.

2 Informe breve sobre la solución RSA


Llamada telefónica Evaluación del riesgo
en tiempo real
Credenciales Actividades Web
telefónicas
existentes
La autenticación basada en riesgos brinda protección sólida
y una experiencia práctica para el usuario al verificar solo las
actividades de mayor riesgo.
Gracias a la capacidad de soportar de manera inteligente
la mayoría de las tecnologías de autenticación existentes,
las organizaciones que utilizan Adaptive Authentication
tienen flexibilidad para:
– El grado de solidez con que autentican
a los usuarios finales.
– La manera de diferenciar los usuarios finales nuevos
de los existentes.
– Las áreas del negocio que se deben proteger
con autenticación sólida.
– La manera de cumplir con las cambiantes
reglamentaciones.
– Qué desean aceptar en materia de niveles de riesgo.
– La manera de cumplir con los diversos requisitos
de las regiones y los países donde operan.
La dinámica de la autenticación basada
en el riesgo
Adaptive Authentication se vale de la tecnología de
autenticación basada en riesgos (RBA) de RSA, un
sistema sofisticado que mide, en segundo plano, una
serie de indicadores de riesgo para garantizar las
identidades de los usuarios. Esta autenticación
transparente posibilita una experiencia superior del
usuario, ya que solamente se valida a los usuarios en los
escenarios de más alto riesgo o ante la violación de una
política institucional. Además, este sistema permite que
el usuario aprenda a protegerse por su cuenta de
troyanos, ataques con intermediarios y otras amenazas
de malware.
Riesgo bajo Autenticación secundaria
(mayoría)
KBA Credenciales Revisión
existentes manual
Configuración
de políticas
y modelos
de fraudes Riesgo bajo
(mayoría)
Continuar
La autenticación basada en riesgos de RSA está
sustentada por una serie de tecnologías centrales:
RSA® Device Identification, RSA® Risk Engine, RSA®
eFraudNetwork™, RSA® Policy Manager y RSA Multi-
credential Framework.
RSA Device Identification
RSA Device Identification ofrece autenticación
transparente para la gran mayoría de los usuarios al
analizar el perfil del dispositivo (el dispositivo desde
donde accede el usuario) y el perfil de comportamiento
(las actividades que realiza habitualmente el usuario), y
compararlos con la actividad actual.
RSA Risk Engine
RSA® Risk Engine es una tecnología de autoaprendizaje
probada que evalúa cada actividad en línea en tiempo
real, realizando un seguimiento de más de cien indicadores
con el fin de detectar las actividades fraudulentas. Una
exclusiva calificación de riesgos, entre 0 y 1.000, se
produce para cada actividad. Cuanto más alta sea la
calificación de riesgos, más probable es que la actividad
sea fraudulenta.
RSA Policy Manager
RSA® Policy Manager permite a las organizaciones
reaccionar de manera instantánea ante los modelos de
fraudes localizados emergentes e investigar de manera
efectiva las actividades consideradas de alto riesgo.
Policy Manager se utiliza para transformar políticas de
riesgo organizacional en decisiones y acciones por medio
del uso de un entorno integral de reglas que se puede
configurar en tiempo real.
Informe breve sobre la solución RSA 3
 RSA eFraudNetwork
® ™
RSA eFraudNetwork es una base de datos de modelos
de fraudes entre organizaciones recabada de la amplia
red de clientes, contribuidores de terceros e ISPs de RSA
en todo el mundo. Cuando se identifica un modelo de
fraude, los datos del fraude, el perfil de la transacción y
las huellas digitales del dispositivo se transfieren a
un catálogo de datos compartidos. eFraudNetwork
proporciona entrada directa al Risk Engine de manera que,
cuando se intenta realizar una actividad o una transacción
desde un dispositivo o un IP que aparece en el catálogo de
datos de eFraudNetwork, se estimará que es de alto riesgo
y se solicitará un pedido de autenticación adicional.
RSA Multi-credential Framework
RSA Multi-credential Framework (MCF) brinda una capa
de abstracción que permite a una plataforma de
software soportar métodos de autenticación múltiples
(basados en evaluación de riesgos y segmentos de
usuario final) en una única implementación. Con Multi-
credential Framework, se aprovechan distintos métodos
de autenticación por medio de configuraciones de
políticas para adecuar los distintos niveles de riesgo,
los distintos productos en línea y las distintas
poblaciones de usuarios finales.
Una infinidad de posibilidades
de autenticación
Adaptive Authentication es una solución flexible que
ofrece una amplia gama de opciones de autenticación y
así permite que las organizaciones personalicen las
políticas de riesgo y autenticación para cada usuario y
actividad. Las políticas de riesgo son los umbrales de
riesgo ajustables para actividades sospechosas
establecidos por una organización cuando desea activar
un desafío de autenticación para el usuario. Las políticas
de autenticación reflejan la manera en que la organización
selecciona el tipo de método de autenticación que desea
emplear en caso de que se requiera autenticación
adicional. A continuación, se presentan algunos de estos
métodos soportados por Adaptive Authentication:
4 Informe breve sobre la solución RSA
Autenticación invisible: identificación y perfil
del dispositivo
Adaptive Authentication emplea una credencial de
autenticación “invisible” basada en técnicas sofisticadas
de creación de perfiles y seguimiento de dispositivos.
RSA desarrolló estas tecnologías para identificar los
dispositivos de los usuarios de manera no intrusiva. La
identificación de los dispositivos permite autenticar de
manera transparente a la gran mayoría de los usuarios al
analizar el perfil del dispositivo (el dispositivo desde
donde accede el usuario) y el perfil de comportamiento
(las actividades que realiza habitualmente el usuario), y
compararlos con la actividad actual.
El análisis forense de los dispositivos consta de dos
elementos importantes: (1) la identificación del dispositivo
(identificar que este usuario ya ha empleado este
dispositivo) y (2) la autenticación del dispositivo
(considerar que los dispositivos conocidos están
automáticamente autenticados hasta un determinado
nivel de riesgo y, una vez superado ese nivel, solicitar
autenticación adicional a fin de “confiar” en el dispositivo
y utilizar la autenticación para “vincular” un dispositivo
con un usuario). Adaptive Authentication trata al
identificador del dispositivo como una credencial de
segundo factor y, sobre la base de su existencia y
autenticidad, genera una autenticación adicional
según sea necesario.
Gracias a la identificación de dispositivos (también
conocida como identificación mediante la huella digital
del dispositivo), la información de atributos específicos
del dispositivo brinda una distinción calificada, pero
no una identificación completamente inequívoca. Si un
dispositivo es conocido desde un período largo,
significa que probablemente el usuario que está
realizando la actividad actual sea genuino. Las
técnicas empleadas en este grupo no brindan un
identificador inequívoco del dispositivo, pero esto no
es necesario para una identificación tangible. La
identificación mediante la huella digital del dispositivo
cumple una función similar a la de los números PIN:
por sí solos no identifican al usuario, pero junto con el
ID de cuenta brindan una certeza razonable acerca de
la identidad. Además, dado que estas técnicas se
utilizan junto con sensores de riesgo adicionales, es
posible que sea menos estricto que tener un PIN.
 Las técnicas utilizadas en este método brindan
identificación inequívoca de dispositivos; no obstante,
son más vulnerables a la eliminación por parte de usuarios
expertos. Este siempre es el método de identificación
predeterminado. Además de otros parámetros importantes
para identificar el dispositivo, la información de
identificación del dispositivo también se envía a RSA
Risk Engine para evaluar el riesgo y crear un perfil de
usuario. La huella digital de un dispositivo es una
identificación estadística inequívoca y está compuesta
del siguiente conjunto de parámetros:
– Introducción activa de identificadores adicionales
agregando una simple cookie o un objeto compartido
flash (también denominado “Flash Cookie”) que
luego sirven como identificadores más inequívocos
del dispositivo.
– Seguimiento de la ubicación geográfica del dispositivo
a partir de la dirección IP.
– Seguimiento de características que son parte natural
de todo dispositivo: encabezados HTTP, versiones de
sistemas operativos, niveles de parches de sistemas
operativos, resolución de pantalla, versión del
navegador, versiones de software, parámetros de
pantalla (tamaño y profundidad del color), idiomas,
zona horaria, objetos instalados en el navegador,
software instalado, configuración de región y de
idioma, reloj de la computadora y retraso de la hora.
Adaptive Authentication conserva un historial de los
dispositivos utilizados por cada usuario. El perfil del
dispositivo y el del usuario incluyen información, como la
Sitio Web con autenticación del sitio ante el usuario
Evaluación del riesgo en tiempo real
Análisis de Identificación de
riesgos dispositivos
Inicio de sesión con
nombre de usuario
La autenticación del sitio ante el usuario incrementa
el uso del canal en línea
La autenticación del sitio ante el usuario brinda a
los usuarios en línea un nivel visible de seguridad y
tranquilidad, y también los alienta para realizar más
actividades en línea. Un estudio realizado por Gartner
en 2006 reveló que el 67% de los usuarios califica la
autenticación del sitio ante el usuario como un factor
“muy o algo importante” a la hora de decidir si realizarán
actividades en línea. (Fuente: “Bank of America’s
SiteKey Fosters Confidence, but Issues Remain” [SiteKey
de Bank of America promueve la confianza, pero los
problemas continúan], Avivah Litan, 29 de septiembre
de 2006, Gartner).
primera y la última fecha en que el usuario utilizó el
dispositivo, el nivel de autenticación alcanzado por la
combinación de estos y la cantidad de veces que
apareció la combinación.
Autenticación del sitio ante el usuario
Adaptive Authentication ofrece un método denominado
autenticación del sitio ante el usuario que brinda a las
organizaciones y a sus usuarios en línea un recordatorio
de seguridad visible en cada inicio de sesión. Garantiza a
los usuarios que la transacción se realiza en un sitio Web
legítimo al mostrar una imagen y un texto de seguridad
personales preseleccionados por el usuario al iniciar
sesión (ambos se seleccionan en una sesión de inscripción
previa). Se les indica a los usuarios que solo escriban la
Confirme la imagen Escriba la Continúe con la
y el texto de contraseña. sesión en línea.
seguridad personal.
Informe breve sobre la solución RSA 5
 contraseña una vez que el sitio Web al que desean
acceder haya probado su autenticidad mostrando su
imagen y texto de seguridad personales.
La tecnología del sitio ante el usuario ofrece
los siguientes beneficios:
– Brinda a los usuarios finales una sensación de
seguridad y confianza en que las comunicaciones
electrónicas son genuinas al mostrar la imagen
y el texto de seguridad personales y únicos.
– Permite que los usuarios finales tengan participación
respecto de su propia protección en línea.
– Muestra un mensaje claro y conciso a los usuarios
finales para que nunca escriban su contraseña
en el sitio Web antes de que se haya probado su
autenticidad por medio de la imagen y el texto.
– Incrementa los índices de adopción y el uso del
canal en línea.
Más de 50 millones de usuarios finales de todo el mundo
utilizan la autenticación del sitio ante el usuario de RSA,
y esta ha incrementado la actividad en línea en muchos
lugares. Una encuesta reciente realizada por Alliance &
Leicester en el Reino Unido para medir la satisfacción de
10.000 usuarios en línea lo confirma: el 90% calificó las
medidas de seguridad ofrecidas como buenas o
excelentes; el 92% afirmó que comprendía con claridad
el propósito del nuevo sistema de autenticación, el 83%
confirmó que no escribiría su PIN en un sitio Web antes de
que se muestre su imagen y texto de seguridad personales.
Riesgo alto
(minoría)
Evaluación del Configuración
riesgo en tiempo de políticas
real
Bloqueo de inicio
de sesión/transacción
6 Informe breve sobre la solución RSA
Módulo de autenticación telefónica fuera de banda
El módulo de autenticación telefónica fuera de banda
(OOB) de Adaptive Authentication es una de las opciones
más sólidas para que las organizaciones se protejan del
fraude, ya que aprovecha un medio ajeno al canal en
línea para comunicarse con el usuario.
Uno de los beneficios fundamentales que ofrece este
sistema es la facilidad de uso. Además, no requiere
que el usuario final compre nuevo hardware ni software,
ya que funciona con cualquier teléfono analógico, VoIP o
celular. Este método cumple con la exigencia de los
usuarios finales que necesitan un método de
autenticación fácil de usar y de comprender, que conserve
la seguridad inherente a las soluciones OOB.
Los métodos de comunicación fuera de banda (OOB) son
una herramienta potente para enfrentarse al fraude, ya
que evitan los canales de comunicación que suelen
emplear los estafadores. Algunos métodos de
comunicación fuera de banda (OOB) son el teléfono, los
mensajes de texto (Servicio de mensajes de texto [SMS])
y el correo electrónico.
La autenticación telefónica fuera de banda se produce
cuando existe una actividad de alto riesgo (así
identificada por RSA Risk Engine) o cuando se activa
mediante una política institucional (por ejemplo,
“desafiar todas las actividades originadas en el país X o
en el país Y”). Ante cualquiera de estos dos escenarios,
Adaptive Authentication solicita al usuario final que
vuelva a confirmar su identidad por medio de un proceso
telefónico automatizado fácil de comprender.
12345 Inicio de
sesión/
transacción
(fallido)
Se desafía al Cliente con autenticación (aprobado)
telefónica fuera de banda (OOB)
Continuar
Riesgo bajo
(mayoría)
 ¿De qué color es su ¿Con cuáles de estas ¿A quién le compró ¿Con cuáles de estos
Nissan Maxima personas tiene su propiedad nombres de dominio se
modelo 97? mayor relación? actual? encuentra registrado?

(fallido)
Bloqueo de
inicio de sesión
/transacción

Se desafía al Cliente con autenticación

basada en el conocimiento (KBA)

Riesgo alto (aprobado)

(minoría)

Evaluación del Configuración

riesgo en tiempo de políticas
ticas Continuar
real
Riesgo bajo
(mayoría)
Inicio de sesión/transacción

Primero, el sistema le pide al usuario que seleccione
uno de los números telefónicos registrados en la
inscripción para recibir la llamada. Luego, el sistema
genera una llamada automatizada que informa al usuario
real sobre los detalles de la transacción y le solicita que
marque en el teclado del teléfono el número de
confirmación (una contraseña de un solo uso [OTP]) que
se muestra en el navegador Web. Una vez recibida la OTP,
el usuario marca el número de OTP en el teléfono y, si es
el número correcto, el usuario puede continuar sin
inconvenientes. La verificación telefónica fuera de banda
se suele usar para proteger actividades de alto riesgo,
como la modificación de información personal o una
transferencia de mucho dinero.
La solidez de este método de autenticación es
particularmente eficaz para protegerse contra amenazas
maliciosas, como servidores con intermediarios, y otros
modos de crimeware, como registradores de digitación,
capturadores de pantallas y troyanos por medio del
navegador. Esta autenticación evita que un estafador
obtenga toda o la mayor parte de la información de la
cuenta personal del Cliente, o incluso que coloque un
elemento de crimeware en el dispositivo del Cliente. Sin
acceso al teléfono del Cliente, el intento de fraude queda
bloqueado.
Preguntas de validación
Las preguntas de validación (también denominadas
“secretos compartidos”) son preguntas que elige un
usuario en línea y que, posteriormente, debe responder
en caso de que el riesgo de la transacción o de la actividad
que está desarrollando requiera una autenticación
adicional. El usuario final debe elegir las preguntas al
suscribirse a la autenticación sólida. Esto sucede, por lo
general, cuando un usuario se inscribe por primera vez en
el sitio Web de una organización o cuando la organización
decide implementar esta nueva forma de protección.

Informe breve sobre la solución RSA 7


Servicios para accionistas de BNY Mellon
“Tras implementar RSA Identity Verification, tuvimos
una reducción significativa del volumen de llamadas al
Call Center, lo cual generó ahorros enormes. Además,
pudimos aumentar en gran medida la satisfacción de
los clientes gracias al nuevo proceso de autenticación,
que brinda a los accionistas acceso seguro y en
tiempo real a nuestro sitio Web de autoservicio”.
(Marc Librizzi, CIO)
Al usar preguntas de validación, se garantiza la máxima
seguridad y, a la vez, se brinda la mejor experiencia
posible para el usuario. RSA ha estado a cargo de
desarrollar y perfeccionar las preguntas de validación
mediante la autenticación de millones de usuarios en
línea en los últimos años.
Los siguientes son algunos de los aspectos relativos a la
seguridad gracias a los cuales el método de preguntas de
validación de RSA está entre los más avanzados:
– Selección aleatoria de las preguntas para cada usuario
final entre un pool muy grande de preguntas.
– Orden aleatorio para la selección de preguntas.
– Recopilación de varias preguntas al autenticar al
usuario con solo un subconjunto de esas preguntas.
– Recopilación de respuestas únicamente en escenarios
de bajo riesgo, donde el usuario se ha identificado
y autenticado con certeza.
– Uso de “lógica difusa”, un algoritmo avanzado
y patentado de comparación para garantizar
bajos índices de rechazo por errores comúnmente
causados por errores humanos al ingresar
la información.
8 Informe breve sobre la solución RSA
RSA Identity Verification: basado en la
autenticación basada en el conocimiento*
La autenticación basada en el conocimiento (KBA)
presenta al usuario final una serie de preguntas sencillas
relacionadas con hechos relevantes para el individuo
recopiladas tras explorar bases de datos públicas. Con
rapidez y precisión, generalmente en segundos, KBA
confirma la identidad del usuario sin necesidad de
haberse comunicado antes con este.
Este método de autenticación confirma la identidad del
usuario a partir del conocimiento de su información
personal, por medio de un proceso de preguntas y
respuestas en tiempo real. La autenticación basada en el
conocimiento permite que las organizaciones logren
lo siguiente:
– Incrementar los ingresos y atraer nuevos usuarios
finales al simplificar la autenticación y eliminar las
preocupaciones relativas a la privacidad que suelen
surgir al solicitar información personal a los usuarios
finales y a los posibles clientes.
– Mejorar la seguridad de la empresa mediante
este método de autenticación escalable y fácil
de implementar.
– Reforzar la protección de la identidad durante
toda la relación con el usuario final por medio de
métodos de autenticación adicional, reemisión de
credenciales y un manejo eficaz de las excepciones.
– Protegerse contra el fraude.
– Establecer KBA como método de autenticación
principal a modo de “backup” para credenciales
extraviadas u olvidadas, o para determinar una
identidad sin comunicación previa (por ejemplo,
apertura o registro de cuentas).
Este método cumple una función fundamental en la
protección de actividades en tiempo real y ofrece un
entorno seguro donde los usuarios finales pueden realizar
negocios sin ver afectada su privacidad ni la experiencia
de uso. También permite a las organizaciones cumplir con
las exigencias de los usuarios finales de tener más
opciones de autoservicio en tiempo real por medio de
canales remotos y, a la vez, de reducir los costos
relacionados con autenticar a los usuarios de toda la
organización y todos los canales.
* RSA Identity Verification solo está disponible
en los Estados Unidos por el momento.
El sistema de autenticación basada en el conocimiento
generalmente recopila y verifica la información, genera
preguntas, recopila y califica las respuestas, y aprueba o
rechaza al usuario. El sistema está diseñado para
desarrollar de manera lógica respuestas correctas e
incorrectas en tiempo real utilizando los datos verdaderos
del usuario final. Dado que las respuestas a las preguntas
presentadas no se encuentran fácilmente en Internet,
es muy difícil que un impostor las adivine. Por ende,
los estafadores con documentos robados no pueden
crear cuentas nuevas ni llevar a cabo actividades no
autorizadas.
Autenticación de contraseñas de un solo uso
La tecnología de contraseñas de un solo uso RSA SecurID®
brinda una solución líder de autenticación de dos
factores; se basa en algo que usted conoce (un PIN o una
contraseña) y algo que usted tiene (un autenticador). El
autenticador genera un nuevo código de contraseña de
un solo uso (OTP) cada 60 segundos, lo que hace difícil
que cualquier persona que no sea un usuario genuino
pueda introducir el código de token correcto. Para acceder
a recursos protegidos por el sistema RSA SecurID, los
usuarios simplemente deben combinar sus números
secretos de identificación personal (PIN) con el código
de token que aparece en la pantalla del autenticador en un
momento determinado. El resultado es una contraseña
única, de un solo uso, que se utiliza para verificar o
autenticar al usuario.
La autenticación de contraseñas de un solo uso de RSA
viene en diferentes factores de forma para cumplir con
las necesidades de las organizaciones y sus clientes.
Implementar el método de autenticación OTP es una
buena idea ante las siguientes situaciones:
– Cuando los usuarios finales están acostumbrados
a usar la tecnología OTP.
– Cuando se necesita una solución de autenticación
tangible para generar confianza en los usuarios.
– Cuando la información o los activos que se quieren
proteger son tan importantes que se requiere
autenticación sólida en todas las instancias (por
ejemplo, para un empleado que accede a documentos
de alta confidencialidad de la empresa o para un
Cliente millonario que lleva a cabo transacciones
de alto valor con habitualidad).
Autenticación basada en el conocimiento para
proteger la apertura y el registro de nuevas cuentas
A pesar de toda la protección con la que cuenta la
mayoría de los sitios Web de las organizaciones,
que incluye información importante (por ejemplo, las
industrias de servicios financieros, de la salud, de
networking social, de fabricación, etc.), algunos
elementos de las transacciones permanecen en línea
desprotegidos o no están protegidos lo suficiente. Es
común que se pasen por alto los procesos relacionados
con la inscripción de nuevos usuarios finales en los
servicios de la organización o con la activación del
componente en línea de los negocios de la organización.
La autenticación basada en el conocimiento es la
solución ideal para las organizaciones que desean
confirmar las identidades para la apertura y el registro
de nuevas cuentas, ya que es fácil de usar y no
requiere ningún contacto previo con el usuario final.
Entonces ¿cuáles son los beneficios de usar KBA para
proteger el proceso de apertura y registro de cuentas?
– Evita que usuarios sin autorización tengan acceso
a información de otro Cliente genuino (por ejemplo,
a la tarjeta de seguro médico o a la cuenta de una
tarjeta de crédito).
– Evita que nuevos usuarios finales usen la
infraestructura de una organización para
cometer fraude.
– Permite que las organizaciones cumplan con
las regulaciones federales que ordenan contar con
prevención respecto del robo de identidad y de
la creación de identidades sintéticas.
Informe breve sobre la solución RSA 9
 Tokens de hardware
Desde una perspectiva del uso, los tokens de hardware
tradicionales (también denominados “key fobs”) son
tan pequeños que caben en cualquier llavero y cumplen
con las necesidades de los usuarios, que prefieren una
solución tangible o que desean acceder a Internet
desde diferentes ubicaciones. Cada autenticador de
RSA SecurID cuenta con una clave simétrica única (o
“registro de seed”) que se combina con un algoritmo
comprobado para generar una nueva contraseña de un
solo uso (OTP) cada 60 segundos. La tecnología
patentada sincroniza cada autenticador con el servidor de
seguridad, lo que garantiza un alto nivel de seguridad.
RSA SecurID en PDAs y teléfonos celulares
Los tokens de software de RSA SecurID soportan el
mismo algoritmo que los autenticadores de hardware
líderes en la industria de RSA SecurID; también incluyen
el algoritmo AES estándar de la industria. En lugar de
almacenarla en un autenticador de hardware de RSA
SecurID, la clave simétrica se guarda de forma segura en
equipos de escritorio, computadoras portátiles, PDAs,
dispositivos portátiles o teléfonos celulares del
usuario. También se pueden almacenar las claves
simétricas de RSA en tarjetas inteligentes y dispositivos,
y se las puede utilizar conjuntamente con el token de
software de RSA SecurID en la computadora de
escritorio del usuario.
Barra de herramientas Web de OTP
La barra de herramientas Web de OTP brinda un método
de bajo costo para implementar la tecnología de
contraseñas de un solo uso (OTP) directamente en el
navegador Web del usuario. La función “Copy password”
permite completar automáticamente el campo de la
contraseña de un solo uso en las aplicaciones en línea y
así no tener que introducir los números de forma manual.
La barra de herramientas genera varias contraseñas de
un solo uso que pueden requerirse para iniciar sesión en
diferentes servicios. Así se elimina o se evita el problema
del “collar de tokens”. Esta opción está pensada en
particular para los usuarios que suelen realizar
transacciones con una organización en solo una o dos
PCs (aunque se pueden implementar varias instancias de
la barra, por ejemplo, en el trabajo y en el hogar).
10 Informe breve sobre la solución RSA
Tarjetas de visualización
Las organizaciones ahora pueden ofrecer a sus usuarios
mayor seguridad OTP para actividades en línea y un
mayor nivel de confianza por medio de una delgada
tarjeta con banda magnética para la billetera que cuenta
con un chip y una pantalla. RSA SecurID Display Card
aprovecha este nuevo factor de forma y ofrece sólida
seguridad basada en OTP y mayor capacidad de
transporte, ya que elimina la necesidad de transportar
un elemento adicional en un llavero y permite que los
usuarios finales deslicen fácilmente la tarjeta en la
billetera o en la cartera.
RSA SecurID Display Card soporta un derivado basado en
eventos del tan exitoso algoritmo de SecurID. El “evento”
sucede cuando el usuario presiona el botón de la tarjeta
para generar una contraseña nueva y única. La tarjeta de
visualización OTP basada en eventos y soportada por
Adaptive Authentication es ideal para las organizaciones
y sus usuarios finales, ya que les permite autenticarse
por su cuenta en sus aplicaciones en línea.
Opciones flexibles de configuración e implementación
RSA reconoce que no hay dos negocios con exactamente
las mismas necesidades de autenticación de usuarios,
motivo por el cual ofrecemos una amplia gama de
opciones de personalización, implementación y
autenticación. Adaptive Authentication se puede
implementar, configurar y usar de varias maneras para
satisfacer las necesidades de una organización y de sus
usuarios finales.
Implementación visible o invisible
Adaptive Authentication se puede implementar de
manera visible o invisible, de acuerdo con las necesidades
de la organización y con la conveniencia del usuario
final. Algunas organizaciones prefieren la autenticación
visible para que sus usuarios sean visualmente
conscientes de que están protegidos y para cumplir
con las regulaciones. Además, es posible que el uso de
la autenticación visible haga pensar que la información
del Cliente y de la organización está mejor protegida.
Por otro lado, algunas organizaciones prefieren usar la
autenticación invisible para monitorear las actividades
en línea con el objeto de no interrumpir ni cambiar la
experiencia del usuario, para evitar alertar a los
estafadores sobre la existencia de un nuevo sistema de
seguridad o como una capa de protección adicional
contra amenazas avanzadas.

Implementación en las instalaciones o en ASP/host

Las organizaciones de todo el mundo actualmente
implementan Adaptive Authentication de dos maneras
distintas: como una instalación en el sitio que usa la
infraestructura de TI existente o como un servicio de
autenticación (ASP) de host.

Opciones de configuración múltiples

Adaptive Authentication se puede configurar de varias
maneras para equilibrar la seguridad y el riesgo, sin
comprometer la experiencia del usuario. Por ejemplo,
muchas organizaciones actualmente brindan autenticación
basada en riesgos para toda su base de usuarios y
permiten a RSA Risk Engine determinar quiénes
requieren protección adicional. Otras organizaciones
eligen un factor de forma suplementario apropiado
según las preferencias del usuario o los tipos de
actividades que llevan a cabo (es decir, tokens de
hardware o software para quienes habitualmente realizan
actividades de alto riesgo).

La mayoría de los factores de forma de tokens se pueden

personalizar según la marca, y así permiten a las
organizaciones alinear sus marcas con seguridad para
recordar a los usuarios el valor depositado en la
protección en línea.

Una solución comprobada

Actualmente, RSA Adaptive Authentication es una

solución probada e implementada en más de 8.000
organizaciones en todo el mundo y en múltiples industrias,
incluso el gobierno, los servicios financieros y de
asistencia médica. En la actualidad, protege a más de
150 millones de usuarios en línea y ya procesó
y protegió más de 20.000 millones de transacciones.

Informe breve sobre la solución RSA 11

RSA es su partner de confianza

RSA, la División de Seguridad de EMC, cuenta con

personal especializado en seguridad centrada en la
información, lo que permite proteger la información
a través de todo su ciclo de vida. RSA permite a los
clientes asegurar de manera rentable los activos de
información críticos y las identidades en línea (en el
lugar y la etapa en que se encuentren), y administrar
la información y los eventos de seguridad para aliviar
la carga que impone el cumplimiento de normas.

RSA ofrece soluciones líderes en la industria para

seguridad de identidad y control de acceso, encriptación
y administración de claves, administración del
cumplimiento de normas e información de seguridad,
y protección contra fraudes. Estas soluciones brindan
confianza a millones de identidades de usuarios, las
transacciones que realizan y los datos que se generan.
Para obtener más información, visite argentina.rsa.com
y argentina.emc.com.

©2008 RSA Security Inc. Todos los derechos reservados.

RSA, RSA Security, el logotipo de RSA y eFraudNetwork son marcas
registradas o marcas comerciales de RSA Security Inc. en los Estados
Unidos y en otros países. EMC es una marca registrada de EMC
Corporation. Todos los demás productos y servicios mencionados son
marcas comerciales de sus respectivas empresas.

AANON SB 0607

Informe breve sobre