Licensed for Distribution

This research note is restricted to the personal use of ().

Magic Quadrant para Gestión de acceso

Publicado el 16 de noviembre de 2023 - ID G00781727 - 65 min de lectura

Por los analistas: Henrique Teixeira, Abhyuday Data, Nathan Harris, Robertson Pimentel

Explore the Interactive Version

La gestión del acceso de personal se está mercantilizando, mientras que la gestión de identidad y acceso del consumidor (Customer identity and access management, CIAM) están innovando más rápido, lo que supone mayores oportunidades para casos de uso B2B. La gestión de acceso (Access Management, AM) sigue siendo un objetivo atractivo para los atacantes, por lo que la importancia de la detección y respuesta a amenazas de identidad (Identity Threat Detection and Response, ITDR) crecerá en 2024, junto con el soporte para las claves de acceso y la verificación de identidad.

This Magic Quadrant is related to other research:

Critical Capabilities for Access Management

View All Magic Quadrants and Critical Capabilities

Supuesto de planificación estratégica

Para 2027, la integración con la verificación de identidad para la incorporación, acreditación y recuperación será una característica estándar de las herramientas de gestión de acceso, lo que podría reducir los ataques de apropiación de cuentas contra estos procesos en un 75 %.

Definición/descripción del mercado

Gartner define la gestión de acceso (access management, AM) como plataformas que incluyen un proveedor de identidad (identity provider, IdP) y establecen, administran y aplican controles de acceso en tiempo de ejecución a al menos aplicaciones web clásicas y basadas en estándares modernos y en la nube.

El propósito de la AM es permitir el acceso de inicio de sesión único (single sign-on, SSO) para personas (personal, consumidores y otros usuarios) y máquinas en aplicaciones protegidas de una manera optimizada y uniforme que mejore la experiencia del usuario. La AM también es responsable de proporcionar controles de seguridad para proteger la sesión del usuario en tiempo de ejecución, haciendo cumplir la autenticación (con autenticación multifactor [multifactor authentication, MFA]) y la autorización mediante el uso de acceso adaptativo. Por último, la AM puede proporcionar contexto de identidad para otras herramientas de ciberseguridad, para permitir la seguridad identity-ﬁrst (identidad primero).

Las capacidades principales imprescindibles para este mercado incluyen:

Un directorio o repositorio de identidad para el personal o usuarios externos, incluidos los servicios de sincronización de identidad.
Administración de identidades para aplicaciones integradas, con capacidades básicas de gestión del ciclo de vida y gestión de perfiles, con compatibilidad con el Sistema para la Gestión de Identidades de Múltiples Dominios (System for Cross-Domain Identity Management, SCIM).
Inicio de sesión único (single sign-on, SSO) y gestión de sesiones con compatibilidad con protocolos de identidad estándar (OpenID Connect, SAML) e interfaces de programación de aplicaciones (application programming interface, API) para acceder a aplicaciones de legado y basadas en estándares (a través de representantes o agentes).
Autenticación de usuario (incluida la autenticación multifactor [multi-factor authentication, MFA] de productos).
Aplicación de la autorización (incluida la compatibilidad con protocolos de autorización modernos, incluido OAuth 2.0).

Las capacidades estándar para este mercado incluyen:

Funciones de AM para máquinas (carga de trabajo y dispositivos) y control de acceso de API.
Métodos de autenticación de usuario no principales, incluidos la compatibilidad con métodos de MFA resistentes al phishing (p. ej., X.509, FIDO), controles para mitigar el uso de contraseñas vulnerables y protecciones contra ataques comunes de tokens MFA.
Autorización no principal, incluidas las decisiones de acceso adaptativo dinámico basadas en el riesgo.

Integración de identidad portátil para control de acceso y federación (también conocida como “traiga su propia identidad” [bring your own identity, BYOI]).
Administración delegada y gestión de socios (IAM de clientes [customer IAM, CIAM] de empresa a empresa [B2B]).

Las capacidades opcionales para este mercado incluyen:

Funciones de AM para casos de uso de empresa a empresa a cualquier cosa (business-to-business-to-anything, B2B2X) o de gobierno a ciudadano (government-to- constituent, G2C), administración avanzada de identidad y gestión de ciclo de vida.
Funciones de confianza adaptativas continuas, métodos de autenticación sin contraseña, compatibilidad con mecanismos de autenticación biométrica, identidades descentralizadas y afirmaciones verificables.
Detección de fraude, prevención de apropiación de cuentas (account takeover, ATO) y detección y respuesta a amenazas de identidad (identity threat detection and response, ITDR).
Elaboración progresiva de perfiles y gestión de consentimientos, gestión y anonimización de datos de información de identificación personal (personally identiﬁable information, PII), análisis de clientes.
Orquestación en tiempo de recorrido y otras interfaces de bajo/sin código para personalización y extensibilidad en el contexto de la gestión de acceso.

Consulte la sección Notas al final de este documento para obtener una explicación detallada de los acrónimos y otra información importante para leer este Magic Quadrant.

Magic Quadrant

Figura 1: Magic Quadrant para Gestión de acceso

Puntos fuertes y débiles del proveedor

CyberArk

CyberArk es un Challenger en este Magic Quadrant. Sus productos AM se entregan como SaaS y se venden en paquetes para personal (Workforce Standard, Premium y Enterprise), seguridad de terminales con MFA (Adaptive Secure Desktop y Secure Desktop) y para CIAM (B2B Standard y B2C Standard) o en módulos individuales. Las operaciones de CyberArk están geográficamente diversificadas, y la mayoría de los clientes de CyberArk AM son pequeñas y medianas organizaciones que utilizan sus productos para escenarios de personal.

Las características agregadas recientemente incluyen capacidades JTO mejoradas, mitigación de bombardeo de MFA y flujos para la respuesta ante incidentes ITDR. La hoja de ruta de CyberArk incluye un navegador seguro para el acceso a aplicaciones e infraestructuras, un mercado JTO y algunas otras funciones convergentes de IAM.

Puntos fuertes

CyberArk obtuvo la puntuación más alta entre los proveedores evaluados en cuanto a experiencia del cliente. Sus clientes mencionan la facilidad de uso de los productos y la simplicidad de la interfaz de usuario como ventajas clave.
CyberArk ha demostrado una sólida capacidad de ejecución, y se beneficia de una estrategia de ventas que aprovecha su base instalada de PAM. Esta estrategia ha tenido éxito, y la base instalada de AM del proveedor ha aumentado significativamente año tras año. Los productos AM de CyberArk pueden ser una buena opción para los clientes que buscan los beneficios de combinar AM con su cartera de PAM.
CyberArk obtuvo una puntuación superior a la media en cuanto a resiliencia. Afirma que solo el equipo de DevOps de CyberArk tiene acceso a la infraestructura de producción de AM.
CyberArk obtuvo una puntuación superior a la media en ejecución de marketing y modelo de negocio. CyberArk ofrece un buen soporte de internacionalización para su conjunto de productos AM, incluidas las interfaces de administrador y usuario final, con una amplia lista de idiomas compatibles para sus diversas ofertas AM.

Puntos débiles

Los productos AM de CyberArk se encuentran entre los más caros del mercado. En esta investigación, los precios de varios escenarios evaluados están muy por encima de la media tanto en cuanto a personal como en cuanto a escenarios CIAM complejos.
A pesar del crecimiento del número de clientes, CyberArk no ha demostrado una buena tracción de sus productos AM con clientes de CIAM B2B y B2C, casos de uso de desarrolladores o clientes más grandes. Su estrategia de ventas se centra en empresas, le hace falta un mensaje más sólido para el desarrollador y usuario técnico. Su conjunto de productos carece de capacidades más sólidas de control de acceso a API, y la gran mayoría de su base de clientes utiliza CyberArk solo para casos de uso de personal.
Una gran parte de los elementos de la hoja de ruta de CyberArk no están centrados en AM, sino que están relacionados con su mayor negocio de PAM y otras áreas adyacentes. El hecho de no estar centrados en AM ha afectado a la amplitud de visión de CyberArk, lo que ha resultado en puntuaciones por debajo de la media en cuanto a innovación y estrategia de oferta (producto).
Aunque puede ser adecuado para casos de uso de AM más estandarizados listos para usar, CyberArk puede ser complejo de personalizar. Obtuvo una puntuación inferior a la media en cuanto a personalización y extensibilidad, y compatibilidad con la integración de identidades portátiles.

Entrust

Entrust es un Challenger en este Magic Quadrant. Su producto Entrust Identity as a Service (IDaaS) se entrega como SaaS (software as a service) y se vende en paquetes para personal y CIAM. Las operaciones de Entrust están diversificadas geográficamente. La mayoría de los clientes de Entrust se encuentran en los sectores bancario y gubernamental, y utilizan su producto AM para escenarios de personal.

Las características recientemente agregadas incluyen compatibilidad con claves de acceso, mitigación de bombardeo de MFA y verificación de identidad como servicio. La hoja de ruta de Entrust incluye un motor de riesgos impulsado por inteligencia artificial/machine learning, una herramienta JTO y funciones de creación de informes mejoradas.

Puntos fuertes

Entrust obtuvo la puntuación más alta en cuanto a autenticación de usuarios entre todos los proveedores de esta investigación. Sus métodos X.509 y FIDO resistentes al phishing se mejoran al admitir una amplia gama de autenticadores aplicables a diferentes sectores verticales. Entrust también tiene la capacidad de gestionar motores de riesgo externos que mejoran las capacidades de detección y la recopilación de señales, y se extienden a las herramientas IDV.
Los precios de Entrust para varios escenarios evaluados en esta investigación son sistemáticamente más bajos que los promedios del mercado.
Entrust ofrece capacidades en AM, infraestructura de clave pública (public-key infrastructure, PKI), firmas digitales e IDV para satisfacer la sólida autenticación de clientes (strong customer authentication, SCA). Ofrece una autenticación basada en el riesgo y un kit de desarrollo de software (software development kit, SDK) con ejemplos para la Directiva Europea de Servicios de Pago (Payment Services Directive, PSD2).
Entrust obtuvo una puntuación superior a la media en cuanto a capacidad de respuesta al mercado e historial. En un plazo de tiempo muy corto, ha añadido más funciones de AM para ponerse al día con la funcionalidad ya ofrecida por otros proveedores de AM del mercado, demostrando una buena capacidad de ejecución.

Puntos débiles

La dirección de Entrust en cuanto a AM está impulsada por su especialidad de autenticación de usuarios, en lugar de por una fuerte conexión con los impulsores del mercado general de AM. Entrust obtuvo la puntuación más baja de esta investigación en cuanto a estrategia de marketing, y una de las puntuaciones más bajas en cuanto a comprensión del mercado. Su modelo de negocio para AM tampoco está claro. El mercado percibe a Entrust como un proveedor de autenticación primero, y su estrategia empresarial para AM no se extiende claramente más allá de esto a la dotación de personal, financiación y marketing con relación a otras capacidades críticas de AM.
Entrust tiene una visión clara, pero esa visión no proviene claramente de estudios de mercado o sentimientos de los clientes sobre AM, ni está en línea con ellos. Como resultado, Entrust ha cerrado el menor número de nuevos acuerdos en el último año de todos los proveedores de esta investigación.
Entrust no ofrece un acuerdo de nivel de servicio (Service Level Agreement, SLA) del 99,99 %: se detiene en el 99,9 %. La cobertura geográfica de Entrust de su oferta de SaaS también es limitada en comparación con otros proveedores evaluados.
Entrust obtuvo puntuaciones por debajo de la media en cuanto a capacidades de CIAM B2C y B2B, así como en cuanto a control de acceso a API, personalización y extensibilidad. No hay mercado para integraciones de terceros, y no hay opciones de integración de identidad portátiles preconfiguradas. Personalizar y ampliar el producto requiere capacidades de pro-coding.

ForgeRock

ForgeRock es un Líder en este Magic Quadrant. Su producto ForgeRock Identity Cloud se entrega como una plataforma de IAM convergente con SaaS, y se vende en una combinación de paquetes principales y módulos adicionales. ForgeRock también ofrece su producto de gestión de acceso como software. Las operaciones de ForgeRock están geográficamente diversificadas, y la mayoría de los clientes de ForgeRock son grandes organizaciones que utilizan su producto suministrado como software para escenarios CIAM.

Las características recientemente añadidas incluyen señales adicionales para la detección de amenazas, nuevos flujos y conectores a su herramienta JTO, y compatibilidad con claves de acceso. La hoja de ruta de ForgeRock incluye capacidades adicionales de detección de fraudes y amenazas, mejoras tanto en su herramienta JTO como en el mercado, y más características de IAM convergente con SaaS.

En agosto de 2023, Thoma Bravo, la empresa propietaria de Ping Identity, anunció que había finalizado la adquisición de ForgeRock y la había combinado con Ping Identity. El anuncio se realizó después de la fecha límite para esta investigación.

Puntos fuertes

ForgeRock obtuvo la puntuación más alta en esta investigación en cuanto a sus capacidades de producto, especialmente con respecto a las características de CIAM B2B y B2C, autorización y acceso adaptativo. ForgeRock ofrece varios enfoques sin código/código bajo, y es uno de los pocos proveedores del mercado que ofrece una herramienta JTO con un diseñador de flujo visual (ForgeRock Trees). Se diferencia en términos de personalización y extensibilidad, lo que permite modelos de implementación híbridos (en las instalaciones, en la nube, alojados). También ofrece un buen mercado para las integraciones.
ForgeRock ha demostrado una sólida ejecución de marketing, mostrando buenos resultados en las ventas de CIAM.
ForgeRock obtuvo una de las puntuaciones más altas en cuanto a su modelo de negocio, presentando una visión y un propósito integrales y ambiciosos, que están en línea con las tendencias del sector.
ForgeRock obtuvo puntuaciones superiores a la media en cuanto a autenticación de usuario. ForgeRock ofrece un generador de políticas visual para SCA en PSD2 y banca abierta. También cuenta con la certificación FAPI-CIBA.

Puntos débiles

Si bien ForgeRock ha tenido éxito en las ventas de CIAM, recientemente ha experimentado cancelación de clientes debido a la reducción de inversiones en su base de clientes fabricantes de equipo original (Original Equipment Manufacturer, OEM). ForgeRock también se queda rezagado en cuanto a adopción de SaaS, e informa del menor número de clientes de SaaS de todos los Líderes en este Magic Quadrant.
Se aconseja a los clientes potenciales y existentes que consulten sobre los planes de productos futuros de ForgeRock después del anuncio de su fusión con Ping Identity.
Los precios de ForgeRock están por encima de la media en todos los escenarios evaluados en esta investigación, excepto en casos de uso de CIAM muy grandes.
ForgeRock no es una solución fácil de implementar, y obtuvo una puntuación por debajo de la media en cuanto a capacidades de generación de informes de amenazas de AM de su producto. Es complicado obtener información analítica sobre los datos de tiempo de ejecución. La generación de informes no es intuitiva, y requiere exportar archivos JSON. Los paneles de amenazas existentes son bastante rígidos y no son personalizables.

IBM

IBM es un Líder en este Magic Quadrant. Sus productos IBM Security Verify se entregan como SaaS y se venden como paquete o módulos individuales. IBM también ofrece IBM Security Verify Access como software. Las operaciones de IBM están geográficamente diversificadas, y la mayoría de los clientes de IBM son organizaciones grandes que utilizan su producto suministrado como software tanto para el personal como para los escenarios CIAM.

Las funciones recientemente añadidas incluyen compatibilidad con claves de acceso, capacidades de detección y respuesta de amenazas de identidad (Identity Threat Detection and Response, ITDR) integradas para evitar el uso de contraseñas vulnerables y bloquear tráfico sospechoso, y un SLA aumentado al 99,99 % de disponibilidad. La hoja de ruta de IBM incluye una herramienta JTO con un diseñador de flujo visual, delegación de acceso a partes de confianza y un producto de identidad descentralizado.

Puntos fuertes

IBM demuestra una amplitud de visión sólida y mejorada, con una de las puntuaciones más altas en cuanto a estrategia de producto (hoja de ruta) que incluye muchas funcionalidades específicas de AM a corto plazo, como DCI y una herramienta JTO. Las capacidades de gestión de consentimiento de su oferta actual para casos de uso de CIAM son de las más sólidas de esta investigación.
IBM ofrece buenos precios, que son sistemáticamente más bajos que los de sus competidores.
IBM obtuvo la puntuación más alta en cuanto a estrategia geográfica debido a que introdujo nuevas regiones en la nube para cubrir los Estados Unidos, el gobierno federal de EE. UU., Canadá, Europa, China, Japón y Australia. También ha aumentado su SLA de SaaS de AM al 99,99 %.
IBM Security Verify obtuvo puntuaciones superiores a la media en cuanto a capacidades de producto como personalización y extensibilidad, y autenticación de usuarios. Ofrece una completa colección de API, SDK y documentación, compatibilidad con puertas de enlace y agentes como factores de forma de contenedor, e integración nativa con aplicaciones OpenShift, Red Hat Single Sign-On y Keycloak. IBM ha obtenido la certificación FAPI-CIBA (por su producto de software).

Puntos débiles

Debido al enfoque de IBM en las grandes empresas, no es una opción popular entre las pequeñas y medianas empresas, y demuestra una menor tracción en este segmento de mercado que otros Líderes.
A pesar de sus capacidades de extensibilidad y personalización por encima de la media, IBM tiene una cartera limitada de integraciones en su mercado en comparación con los mercados de otros proveedores. Se deben considerar costes y esfuerzos de integración adicionales para los tipos de integraciones no basados en estándares.
IBM obtuvo una de las puntuaciones más bajas en cuanto a ejecución de marketing. Esto se refleja en un menor conocimiento de la marca de su producto AM en comparación con otros Líderes. La visión general, la estrategia y el plan de negocio de IBM para sus capacidades de AM son en gran medida “parte del conjunto” de la cartera de seguridad de IBM más grande.
IBM ofrece capacidades menos maduras para CIAM B2B que muchos de sus competidores. Casi todos los flujos de administración delegados evaluados en esta investigación requieren personalización a través de API.

Microsoft

Microsoft es un Líder en este Magic Quadrant. Su Microsoft Entra ID (anteriormente Azure AD) y Azure AD External Identities son, respectivamente, productos de personal y CIAM entregados como SaaS. Los productos se venden en una plataforma IAM convergente en paquetes y módulos individuales. Las operaciones de Microsoft están geográficamente diversificadas y se utilizan principalmente para casos de uso de personal.

Las características recientemente agregadas incluyen un producto de identidad descentralizada (decentralized identity, DCI) llamado Microsoft Entra Verified ID, un producto de gestión de identidad de máquina (Microsoft Entra Workload ID) y una capacidad de gestión de postura de seguridad (security posture management, SPM) llamada recomendaciones de Microsoft Entra (anteriormente recomendaciones de Azure AD). La hoja de ruta de Microsoft incluye una interfaz GenAI para SPM y recomendaciones, soporte multinube para identidades de carga de trabajo y DCI integrada en el producto CIAM.

Microsoft anunció la modificación de la marca de Azure AD a Microsoft Entra ID en julio de 2023.

Puntos fuertes

Microsoft obtuvo las puntuaciones más altas en esta investigación en cuanto a viabilidad general, ejecución de marketing, modelo de negocio y ejecución/precio de ventas. Ha aumentado su base instalada a unos impresionantes 700 000 clientes de pago.
El precio general de Microsoft está por debajo de la media del mercado. En particular, los precios de casos de uso de CIAM de Microsoft están muy por debajo de la media entre los proveedores en este Magic Quadrant.
Microsoft obtuvo la puntuación más alta de los proveedores evaluados en cuanto a comprensión del mercado. Esto se debe en parte a sus primeros movimientos en la identidad de la máquina y el soporte de DCI, pero también a las mejoras que está realizando en las capacidades de AM más establecidas.
Microsoft obtuvo la puntuación más alta en cuanto a generación de informes de amenazas e ITDR. Ofrece recomendaciones de Microsoft Entra y una capacidad de medición de SPM con puntuaciones de seguridad. Microsoft Entra es una parte fundamental de la estrategia general de ciberseguridad del proveedor, que está estrechamente integrada con Microsoft 365 y Azure en su conjunto.

Puntos débiles

Azure AD External Identities (para B2C y B2B) aún carece de madurez en comparación con las soluciones de otros Líderes. La mayoría de los flujos de CIAM complejos requieren una amplia personalización y ayuda de servicios profesionales.
Los grandes ejercicios de modificación de marca como Microsoft Entra tienden a crear confusión sobre qué características y funcionalidades existen en qué productos. Esa confusión se hace evidente por las consultas de clientes de Gartner, especialmente con Azure AD External Identities, cuyas características B2C serán sustituidas por una nueva plataforma CIAM llamada Microsoft Entra External ID.
Las características específicas de AM de Microsoft Entra ID ―como Entra ID Protection― requieren licencias adicionales. Dada la prevalencia de los ataques a la infraestructura de identidad, muchas organizaciones tendrán que tener en cuenta los costes adicionales.
Microsoft obtuvo la puntuación más baja entre todos los Líderes en cuanto a personalización y extensibilidad. A pesar de tener un catálogo adecuado de integraciones de identidad portátiles centralizadas, Microsoft Entra ID requiere una personalización significativa para ofrecer flujos de usuarios comunes e incorporar métodos MFA alternativos. Presenta complejidad de integración con herramientas que no son de Microsoft para el acceso adaptativo externo o la autorización detallada (ﬁne-grained authorization, FGA).

Okta

Okta es un Líder en este Magic Quadrant. Sus productos de AM se entregan como SaaS y se venden en paquetes (Workforce Identity Cloud [WIC], Customer Identity Cloud [CIC, anteriormente Auth0]) y módulos individuales como parte de una plataforma de IAM convergente. Las operaciones de Okta están geográficamente diversificadas y la mayoría de sus clientes utilizan sus productos para casos de uso de personal o de CIAM.

Las características recientemente añadidas incluyen una MFA resistente al phishing (Okta FastPass), una lista configurable de autenticadores FIDO y una alta autorización de operación (Authorization to Operate, ATO) de FedRAMP. La hoja de ruta de Okta incluye una forma de que los desarrolladores creen aplicaciones SaaS en CIC que se integren automáticamente con la plataforma WIC de Okta, las capacidades de SPM y una herramienta FGA.

Puntos fuertes

Okta obtuvo la puntuación más alta de todos los proveedores en cuanto a sus integraciones de identidad portátiles centralizadas, y una de las puntuaciones más altas en cuanto a autenticación de usuarios. Ofrece un catálogo completo de integraciones de IdP externas para CIAM. También proporciona detección de contraseñas vulnerables que puede ser útil para proteger contra ataques de MFA.
Okta obtuvo una de las puntuaciones más altas en cuanto a generación de informes de amenazas e ITDR. Ofrece una función SPM en la plataforma WIC llamada HealthInsight, que audita la configuración de seguridad de las organizaciones y sugiere correcciones.
Okta demostró la mayor capacidad de ejecución de todos los proveedores en este Magic Quadrant. Obtuvo la puntuación más alta en cuanto a operaciones, y una de las puntuaciones más altas en cuanto a viabilidad general y capacidades del producto. Okta tiene el mayor crecimiento en CIAM de todos los proveedores evaluados. Su crecimiento en términos de número de clientes en general también es uno de los más altos.
Okta recibió una de las puntuaciones más altas en cuanto a su estrategia de oferta (producto). Los elementos de la hoja de ruta incluyen planes como FGA y SPM, e integración de escritorio para su herramienta MFA. Okta también demuestra liderazgo de pensamiento con respecto a las credenciales FIDO multidispositivo, lo cual es esencial para proporcionar un sólido soporte de claves de acceso en el futuro.

Puntos débiles

Los precios de Okta siguen estando muy por encima de la media, y los clientes de Gartner mencionan el alto coste de la solución del proveedor. Gartner ha observado un mayor número de clientes que participan en conversaciones de negociación de contratos para obtener una tasa de descuento adecuada con Okta.
Okta tiene dos plataformas muy diferentes para personal y CIAM, que no están perfectamente integradas. CIC, por ejemplo, no es compatible con el sistema para la gestión de identidad multidominio (System for Cross-Domain Identity Management, SCIM) como lo es WIC, y WIC no es compatible con las mismas funciones de ITDR que la plataforma CIC.
Todas las capacidades de acceso adaptativo ofrecidas por Okta requieren licencias adicionales. Dada la prevalencia de los ataques a la infraestructura de identidad, muchas organizaciones tendrán que tener en cuenta los costes adicionales.
Aunque Okta obtiene puntuaciones por encima de la media para los casos de uso de CIAM, no proporciona una gestión básica del consentimiento. También carece de una herramienta JTO. La capacidad de flujo de trabajo actual de Okta, aunque es útil para IGA, no es una herramienta JTO para casos de uso de CIAM.

One Identity (OneLogin)

One Identity (OneLogin) es un Challenger en este Magic Quadrant. One Identity es una marca independiente que opera bajo el paraguas de Quest, y OneLogin es el producto AM dentro de la cartera de IAM de One Identity. Los productos AM de One Identity (OneLogin) se entregan como SaaS y se venden en paquetes y módulos individuales. Las operaciones de One Identity (OneLogin) están geográficamente diversificadas, y la mayoría de sus clientes utilizan sus productos para casos de uso de personal.

Las funciones recientemente agregadas incluyen MFA que utiliza soporte de acceso federado entrante, detección de bots gratuita y mitigación de bombardeo de MFA. La hoja de ruta de One Identity (OneLogin) incluye una versión nativa de claves de acceso integradas en la aplicación móvil de OneLogin, confianza en dispositivos móviles de autoservicio, e ingestión de señales de terceros para admitir funciones de ITDR.

Puntos fuertes

One Identity (OneLogin) obtuvo la puntuación más alta en cuanto a estrategia de ventas de todos los proveedores. Se acerca al mercado con una estrategia de proveedores de servicios gestionados (managed services provider, MSP) diferenciadora. Esto permite a los MSP hacer paquetes de ofertas de AM, PAM e IGA de One Identity y recomendarlas para acuerdos entrantes de pymes. Más de 100 MSP han creado servicios en torno a los productos de AM de One Identity (OneLogin).
One Identity (OneLogin) recibió puntuaciones por encima de la media en cuanto a facilidad de implementación. Ofrece enfoques de configuración avanzados como ganchos de migración que pueden eliminar la necesidad de que los usuarios vuelvan a inscribirse o cambien sus contraseñas al migrar desde herramientas de AM heredadas.
El producto de OneLogin tiene un historial de ser una buena opción en cuanto a relación costo-beneficio, y el proveedor continúa ofreciendo precios competitivos para personal pequeño a mediano y casos de uso de CIAM más estandarizados.
One Identity (OneLogin) ofrece un buen soporte de internacionalización para su producto de AM, incluidas las interfaces de administrador y usuario final, con una amplia lista de idiomas compatibles para sus diversas ofertas de AM.

Puntos débiles

One Identity (OneLogin) no ha ganado tracción significativa en los casos de uso de CIAM. Su precio para casos de uso de CIAM complejos está por encima de la media del mercado.
A pesar de contar con una sólida estrategia de ventas que aprovecha los MSP, el número general de clientes de AM y los ingresos de One Identity (OneLogin) se han mantenido casi igual año tras año, y de hecho los ingresos de la suscripción de SaaS de AM de OneLogin se redujeron. Su estrategia de ventas carece de un mensaje para el desarrollador y usuario técnico y su producto carece de sólidas capacidades de control de acceso a API.
One Identity (OneLogin) obtuvo una puntuación más baja en cuanto a Amplitud de visión que el año pasado, y recibió puntuaciones por debajo de la media en cuanto a innovación y estrategia de oferta (producto). Ha añadido algunos elementos a su hoja de ruta a corto plazo para ponerse al día con el mercado actual, pero la diferenciación en cuanto a AM respecto a los principales proveedores no está presente en su hoja de ruta. Su hoja de ruta de productos a largo plazo se centra en ponerse al día con aquellos proveedores que ofrecen funciones principales que no son de AM como IGA, al tiempo que dedican un menor gasto a I+D que la media del sector.
El SLA estándar que ofrece el proveedor es de solo el 99,9 %, y cualquier cosa que no sea eso requiere costes adicionales. En los últimos 12 meses, One Identity (OneLogin) sufrió siete interrupciones totales y cinco incidentes de rendimiento degradado, con más de 35 horas de tiempo de inactividad.

OpenText

OpenText es un Especialista en este Cuadrante Mágico. OpenText se incluye en este Magic Quadrant por primera vez después de la adquisición de Micro Focus en enero de 2023. Su producto NetIQ Access Management se entrega como SaaS o como software, y se vende en paquetes o módulos individuales. Las operaciones de OpenText están geográficamente diversificadas, y los clientes tienden a ser organizaciones grandes que utilizan su producto de software ampliamente en toda la mano de obra y casos de uso de CIAM.

Las características recientemente añadidas incluyen una API de autenticación, autenticación sin contraseña y validación de proximidad Bluetooth para utilizar un dispositivo como token. La hoja de ruta de OpenText incluye mejoras generales en su interfaz de usuario, servicio de riesgo adaptativo y autenticación sin contraseña.

Puntos fuertes

OpenText puede ser una buena opción para organizaciones más grandes y para abordar casos de uso de AM híbrida más complejos, especialmente para organizaciones que necesitan la flexibilidad de gestionar implementaciones locales o alojadas. Su solución de AM es una buena opción para integrarse con aplicaciones no estándar y heredadas debido a su flexibilidad de implementación.
OpenText NetIQ Access Management ofrece modelos de entrega flexibles, y admite modelos de implementación en contenedores que aprovechan Docker, Kubernetes y OpenShift. Todos los módulos de AM están disponibles para implementaciones locales o alojadas.
OpenText NetIQ Access Management proporciona una protección integral para contraseñas vulnerables (listas integradas, listas manuales y listas de terceros), incluida la integración preconfigurada con la base de datos Have I Been Pwned.
OpenText obtuvo puntuaciones superiores a la media en cuanto a identidades portátiles. NetIQ Access Management proporciona una vinculación centralizada lista para usar de identidades sociales, e integraciones preparadas con identificaciones gubernamentales y algunas identificaciones bancarias.

Puntos débiles

El producto SaaS AM de OpenText es sistemáticamente más caro que otros productos SaaS evaluados en esta investigación. Su SLA de producto SaaS es del 99,95 %, y cualquier cosa que no sea eso requiere un coste adicional.
OpenText obtuvo la puntuación más baja en cuanto a estrategia de ventas, y ha demostrado un progreso muy lento en su transición a SaaS, ya sea a través de ventas directas o a través de relaciones con OEM. Tiene el menor número de clientes de SaaS AM de todos los proveedores en este Magic Quadrant.
OpenText obtuvo una de las puntuaciones más bajas en cuanto a comprensión del mercado de todos los proveedores evaluados en este informe. AM es solo una pequeña parte de una cartera muy amplia de productos OpenText, y el conocimiento de la marca NetIQ Access Management sigue disminuyendo, según el número reducido de menciones de clientes de Gartner.
Además de sus opciones de implementación flexibles, NetIQ Access Management es difícil de personalizar y ampliar. Las API de integración se limitan a la autenticación, y a la documentación le faltan detalles. No hay mercado para integraciones de terceros, y a la herramienta le falta soporte de código bajo más avanzado.

Oracle

Oracle es un Especialista en este Magic Quadrant. Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) es un producto SaaS entregado con el servicio en la nube de Oracle. Oracle también ofrece Oracle Access Manager (OAM) como software. Sus operaciones y clientes tienden a estar diversificados geográficamente.

Las innovaciones recientes han incluido una función de generación de registros para un dominio IAM, un módulo de autenticación conectable Linux y una nueva política de validación de contraseñas. Oracle planea seguir centrándose en unificar su plataforma IAM en la nube y añadir otras capacidades de IAM adyacentes en el futuro, para atender a sus clientes Oracle Cloud. La mayoría de los clientes de Oracle utilizan el producto OAM local para casos de uso de personal. OCI IAM se utiliza normalmente para proporcionar acceso a la infraestructura y las aplicaciones de Oracle.

Oracle no respondió a las solicitudes de información suplementaria ni para consultar los contenidos preliminares de este documento. Por lo tanto, el análisis de Gartner se basa en otras fuentes fidedignas.

Puntos fuertes

El producto SaaS AM de Oracle es menos costoso que la media del mercado para todos los escenarios de precios evaluados en esta investigación.
OCI IAM se ejecuta en los centros de datos en la nube de Oracle, y ofrece recuperación ante desastres entre regiones a todas las regiones globales con OCI donde hay una segunda región en el país, o donde las leyes permiten que los datos se trasladen a otra región específica. Este es un diferenciador para los clientes que buscan ejecutar AM como SaaS en otras nubes que no son proporcionadas por Amazon Web Services (AWS), Microsoft Azure o Google Cloud Platform.
Oracle tiene una base instalada muy grande en lo que respecta a base de datos y aplicaciones (más de 400 000 clientes). Su estrategia de marketing se centra en gran medida en dirigirse a estos clientes existentes y promover sus herramientas de IAM entre los usuarios de las aplicaciones Oracle, facilitando a los usuarios actuales de dichas aplicaciones el uso de sus herramientas de IAM.
Oracle tiene una amplia presencia global en cuanto a operaciones y servicios, lo que facilita la adquisición de productos de AM en regiones donde otros proveedores de AM no están presentes.

Puntos débiles

Oracle es el único proveedor de este Magic Quadrant que no ofrece un SLA. En su lugar, Oracle proporciona un objetivo de nivel de servicio (service-level objective, SLO) del 99,95 % para su producto SaaS AM.
Oracle recibió la puntuación más baja en cuanto a una serie de categorías que afectan a su capacidad de ejecución, incluidas las capacidades de producto/servicio, la capacidad de respuesta al mercado y el historial, y la comprensión del mercado.
OCI IAM es complejo de implementar y gestionar. Como resultado, recibió la puntuación más baja en cuanto a facilidad de implementación y en cuanto a personalización y extensibilidad (que requiere capacidades de pro codificación). OCI IAM ofrece capacidades de SDK muy limitadas y no es compatible con enfoques de código bajo o sin código.
En general, la estrategia reciente de Oracle se ha centrado internamente, en gran parte, en unificar sus diversos productos de IAM heredados en su plataforma SaaS, en lugar de proporcionar innovación y características de AM líderes del mercado. Como resultado, Oracle obtuvo las puntuaciones más bajas en cuanto a innovación en este Magic Quadrant.

Ping Identity

Ping Identity es un Líder en este Magic Quadrant. Su PingOne Cloud Platform se entrega como SaaS y se vende en paquetes y módulos individuales. Ping Identity también ofrece varios productos de AM (PingFederate, PingAccess, PingDirectory y PingCentral) como software. Las operaciones de Ping Identity están geográficamente diversificadas, y sus clientes tienden a ser organizaciones grandes que utilizan implementaciones locales y en la nube, en casos de uso de personal y CIAM.

Las características recientemente añadidas incluyen un nuevo servicio de ID descentralizado con reclamaciones verificables (PingOne Neo), un motor de riesgo con detección de fraude (PingOne Protect) y mitigación de bombardeo de MFA. La hoja de ruta de Ping Identity incluye soluciones empaquetadas preconfiguradas para diferentes casos de uso, un nuevo servicio de emisión y transformación de credenciales digitales para DCI y nuevas características de ITDR.

Puntos fuertes

Ping Identity demostró la amplitud de visión más sólida de todos los proveedores de este Magic Quadrant. Obtuvo la puntuación más alta en cuanto a estrategia de oferta (producto) e innovación. Además de los elementos de la hoja de ruta ya mencionados, planea lanzar un mercado para su herramienta JTO, y obtener certificaciones FedRAMP High ATO y StateRAMP.
Ping Identity obtuvo la puntuación más alta en cuanto a estrategia de marketing este año, y una de las más altas en cuanto a comprensión del mercado. Su estrategia de marketing es clara, enfocada y muy en línea con el mercado, con planes basados directamente en los comentarios de los clientes.
Ping Identity también obtuvo la puntuación más alta en cuanto a capacidad de respuesta al mercado e historial, tras haber lanzado varias funciones nuevas a su plataforma. Aparte de las características ya mencionadas, ha añadido detección de fraude junto con AM, una opción de configuración basada en formularios para JTO, detección de anomalías de token OAuth, FGA a API y muchos más. Sus productos de software ya han obtenido la certificación FAPI-CIBA.
Ping Identity ofrece capacidades maduras para casos de uso de AM de clientes y socios. Es uno de los pocos proveedores que ofrece una herramienta JTO con un diseñador de flujo visual (PingOne DaVinci) y un servicio DCI.

Puntos débiles

Aunque los precios de Ping Identity para la mano de obra son competitivos y están por debajo de la media del mercado, sus precios para varios casos de uso de CIAM están sistemáticamente por encima de los de otros proveedores evaluados en esta investigación.
La cartera de AM de Ping Identity puede ser compleja de entender e implementar. La configuración del acceso adaptativo, por ejemplo, es más compleja que la media.
Se aconseja a los clientes potenciales y existentes que consulten sobre los planes de cartera de Ping Identity después del anuncio de su fusión con ForgeRock.
Muchos casos de uso B2C y B2B requieren personalización o uso de la herramienta JTO a un coste adicional. También se requiere un coste adicional para utilizar el motor de riesgos, el control de acceso a API y la autorización avanzada de Ping Identity. Dada la prevalencia de los ataques a la infraestructura de identidad, las organizaciones tendrán que tener en cuenta la concesión de licencias de módulos adicionales para muchas capacidades.

Thales

Thales es un Visionario en este Magic Quadrant. Thales ofrece un conjunto de productos centrados en la mano de obra compuesto por OneWelcome Workforce Access Management (anteriormente SafeNet Trusted Access), entregado como SaaS y vendido como un paquete con módulos adicionales. Thales también ofrece OneWelcome Identity Platform como SaaS, centrada en CIAM. Thales adquirió OneWelcome en julio de 2022. Las operaciones de Thales están geográficamente diversificadas con una fuerte presencia en Europa, y la mayoría de sus clientes tienden a ser organizaciones grandes que utilizan su producto para casos de uso de la mano de obra.

Las características recientemente añadidas incluyen las nuevas capacidades CIAM de OneWelcome, FGA, perfiles dinámicos progresivos y un sistema de gestión de datos para la delegación del consentimiento. La hoja de ruta de Thales incluye modelos de delegación listos para usar con flujos prediseñados para CIAM B2B, mejoras de JTO con un diseñador de flujo visual, y nuevas funciones de análisis e ITDR.

Puntos fuertes

Thales obtuvo puntuaciones por encima de la media en cuanto a innovación. Planea centrarse en grandes desafíos de CIAM, como casos de uso B2B. Las certificaciones FedRAMP e HIPAA también están en su hoja de ruta, para abordar las necesidades del gobierno federal y los sectores verticales de la atención sanitaria.
Thales también obtuvo puntuaciones por encima de la media en cuanto a capacidad de respuesta al mercado. Ha añadido capacidades únicas a su cartera de CIAM, como la capacidad de proporcionar la delegación de la gestión del consentimiento a usuarios seleccionados en función de la relación (por ejemplo, el poder notarial y la relación padre-hijo).
La adquisición de OneWelcome por parte de Thales añade capacidades de CIAM sinérgicas a su especialidad de autenticación usuario, así como capacidades centradas en AM de personal de líneas de productos de SafeNet/Gemalto.
Thales ofrece algunas de las capacidades B2C más maduras evaluadas en esta investigación, incluidos un sólido registro de autoservicio y gestión de perfiles, perfiles progresivos, personalización configurable lista para usar de flujos de registro, consentimiento T&C y gestión de consentimiento basada en atributos.

Puntos débiles

Thales recibió la puntuación más baja en cuanto a viabilidad general de todos los proveedores de este Magic Quadrant. Esto se debió en parte a su reducido enfoque en clientes más pequeños, lo que ha dado como resultado una disminución del número total de clientes año tras año, y una tasa de renovación en cuanto a su oferta de SaaS que estaba entre las más bajas de los proveedores evaluados.
Thales obtuvo una puntuación por debajo del promedio en cuanto a facilidad de implementación, y en cuanto a personalización y extensibilidad. Su cartera de AM es el resultado de varias adquisiciones y aún no está totalmente integrada en una única plataforma. No hay mercado, ni siquiera un sitio web público, que muestre integraciones de terceros listas para usar disponibles para agregar señales externas en flujos de tiempo de viaje. Las integraciones no estándar y la extensibilidad del producto requieren muchos servicios profesionales, y la personalización requiere capacidades de pro-coding.
Thales ofrece cobertura geográfica limitada para alojar sus ofertas de SaaS en comparación con otros proveedores evaluados en esta investigación, y esto puede ser un desafío para los clientes potenciales de otras regiones. Su base de clientes se concentra principalmente en Europa.
OneWelcome de Thales obtuvo una puntuación por debajo de la media en cuanto a casos de uso de autenticación de usuario no central, especialmente por no tener protección nativa contra contraseñas vulnerables.

Proveedores añadidos y suprimidos

Revisamos y ajustamos nuestros criterios de inclusión en los Magic Quadrants en función de los cambios del mercado. Como resultado de estos ajustes, la combinación de proveedores que se muestran en un ‬Magic Quadrant puede cambiar con el tiempo. La aparición de un proveedor en un ‬Magic Quadrant en un año y no en el siguiente no indica necesariamente que hayamos cambiado nuestra opinión sobre ese proveedor. Puede ser reflejo de un cambio en el mercado y, por lo tanto, un cambio en los criterios de evaluación, o bien, un cambio de enfoque de ese proveedor.

Añadidos

Entrust
OpenText
Thales

Suprimidos

Micro Focus se ha eliminado ya que su adquisición por parte de OpenText ya se ha completado (en enero de 2023).

Criterios de inclusión y exclusión

Este Magic Quadrant y la investigación de capacidades críticas identifican y después analizan los proveedores más relevantes y sus productos en un mercado. De forma predeterminada, Gartner aplica un límite de 20 proveedores para proporcionar una lista concisa de los proveedores más relevantes de un mercado.

Para poder ser incluidos, los proveedores debían:

Haber comercializado y vendido productos y servicios disponibles en general en su año fiscal 2022 para apoyar casos de uso tanto de personal (B2E) como externos (B2B, B2C, G2C o B2B2x). Se excluyen las soluciones sin números de clientes sustanciales para cada caso de uso, o que solo se comercializan o se comercializan principalmente para respaldar un caso de uso.
Ser propietario de la propiedad intelectual de los productos y servicios de AM que venden. Quedan excluidos los proveedores que revendan productos de otros proveedores, o que simplemente hayan aumentado los productos y servicios de AM de otros proveedores para la reventa, o para ofertas de servicios gestionados o alojados.
Tener:
- Ingresos anuales de 60 millones de USD de productos y suscripciones de AM (incluidos los ingresos por mantenimiento pero excluidos los ingresos por servicios profesionales) en el año fiscal 2022.
- Al menos 1100 clientes actuales de AM a 5 de junio de 2023. Estas deben ser organizaciones específicas de clientes de AM (es decir, “logotipos netos”, lo que significa que las diferentes unidades de negocio o dependencias de la misma empresa no deben contarse como un cliente independiente). No deben ser clientes de otros productos y deben tener sus propios contratos con el proveedor. Los clientes que no pagan (aquellos que utilizan las soluciones de forma gratuita o “freemium”) no están incluidos en los totales de clientes.
Tener capacidades globales con clientes, capacidades de entrega y soporte en todos los mercados principales: América (Norteamérica y Sudamérica combinadas), EMEA y Asia/Pacífico (incluido Japón). Los proveedores deben tener clientes en cada mercado, con no más del 80 % de su número de clientes o ingresos en su región principal.

Además, las capacidades principales de producto/servicio de AM del proveedor deben abordar los siguientes cinco requisitos funcionales, entregados como un producto de SaaS:

Servicios de directorio: debe proporcionar, como mínimo, un directorio o repositorio de identidad para el personal y los usuarios consumidores, incluidos los servicios de sincronización de identidad y el soporte de entrada de SCIM.
Administración de identidad: debe proporcionar capacidades básicas de gestión del ciclo de vida con sincronización AD, capacidades de aprovisionamiento SCIM (salida). También debe incluir formas de invitar y registrar usuarios externos, habilitar la gestión de perfiles y respaldar flujos básicos basados en consentimiento para el registro.
Inicio de sesión único (Single sign-on, SSO) y gestión de sesiones: debe proporcionar un launchpad, para personal, de aplicaciones o galería de aplicaciones para SSO y admitir protocolos de identidad estándar (OpenID Connect y SAML). La gestión de sesiones debe incluir capacidades y definición, según las cuales la herramienta AM pueda controlar el estado de la sesión para las interacciones de usuario-presente con las aplicaciones. La herramienta de AM también debe poder controlar la capacidad de gestionar los tiempos de sesión, emitiendo y actualizando tokens de acceso (o cookies) de tiempo limitado, y la capacidad de finalizar las sesiones. Debe proporcionar, como mínimo, una configuración global para la gestión de sesiones y el cierre de sesión único. Por último, debe proporcionar capacidades para permitir el acceso, autenticación y SSO a aplicaciones que no admitan protocolos de identidad estándar, utilizando tecnologías como servicios proxy, agentes u otros mecanismos.
Autenticación de usuario: debe proporcionar diferentes métodos de autenticación de usuario, incluida la MFA. Los requisitos mínimos de MFA deben incluir servicio de mensajes simples (simple message service, SMS) fuera de banda, phone-as-a-token (aplicación) con contraseña de un solo uso (one-time password, OTP), y push en móviles.
Autorización: incluir capacidades para implementar decisiones de autorización y ejecución, crear políticas y proporcionar fuentes de datos almacenados y contextuales utilizados para evaluar el riesgo y transmitir dinámicamente las decisiones de acceso. Proporcionar soporte nativo para protocolos de autorización estándar, incluido OAuth 2.0.

Este Magic Quadrant no cubre los siguientes tipos de ofertas:

Los productos de AM que no pueden admitir, o no se comercializan para admitir, casos de uso tanto internos (B2E) como externos (B2B, B2C, G2C o B2B2x). Por ejemplo, se excluirán las soluciones sin números de clientes sustanciales para cada caso de uso, y aquellas que se comercializan solo o principalmente para respaldar un caso de uso.
Productos y servicios de autenticación de usuarios puros, o productos que comenzaron como productos de autenticación de usuarios puros y luego se ampliaron funcionalmente para admitir SSO a través de SAML u OpenID Connect, pero no pueden administrar sesiones ni transmitir decisiones de autorización. Para obtener más información sobre este mercado, consulte la Guía del mercado sobre autenticación de usuarios.
Ofertas de AM que están diseñadas solo o predominantemente para admitir sistemas operativos, infraestructura de TI o gestión de acceso privilegiado (para obtener más información sobre este mercado, consulte Magic Quadrant sobre gestión de acceso privilegiado).
AM “gestionada” de forma remota o local; es decir, servicios diseñados para asumir la gestión de los productos de AM propios o alojados de los clientes, en lugar de proporcionarse mediante la entrega de la propiedad intelectual del proveedor.
Las funciones de AM se proporcionan solo como parte de un acuerdo de subcontratación de infraestructura o proceso empresarial más amplio. La AM debe proporcionarse como una oferta de producto o servicio con disponibilidad y precio independientes.
Productos de AM que se proporcionan solo o predominantemente como ofertas de código abierto.
Paquetes de IGA independientes, que son productos de IGA con todas las funciones que ofrecen la gama completa de funcionalidad de IGA, sin capacidades de AM integradas. Este es un mercado separado pero relacionado cubierto por otra investigación de Gartner (consulte la Guía del mercado sobre administración y gobernanza de identidades).
Gestión de API de ciclo de vida completo. Este es un mercado separado pero adyacente cubierto por otra investigación de Gartner (consulte Magic Quadrant sobre gestión de API).
Plataformas de protección de terminales (endpoint protection platform, EPP) o administración unificada de terminales (uniﬁed endpoint management, UEM). EPP y UEM son mercados separados pero relacionados cubiertos por otras investigaciones de Gartner (consulte Magic Quadrant sobre plataformas de protección de terminales).
Agentes de seguridad de acceso a la nube (cloud access security broker, CASB), que representan un mercado separado pero relacionado cubierto por otra investigación de Gartner.

Los criterios de inclusión y exclusión permanecen prácticamente sin cambios desde el año pasado, con las siguientes excepciones:

Nuevo requisito para las capacidades principales de producto/servicio de AM del proveedor, que debe entregarse como un producto de SaaS.
Los ingresos y los recuentos de clientes aumentaron hasta los 60 millones de dólares y 1100, respectivamente.

Menciones de honor

Proveedores que cubren todos los casos de uso de AM evaluados

Fortinet: Fortinet ofrece su producto de AM como software/aparato (FortiAuthenticator), que proporciona servicios de autenticación centralizados para Fortinet Security Fabric, incluidos servicios de SSO, gestión de certificados y gestión de invitados con cuentas temporales, junto con FortiToken para MFA. Fortinet también tiene un producto de SaaS (FortiTrust Identity) que ofrece autenticación de usuario (incluidos enfoques de MFA y sin contraseña), SSO y portales de autoservicio. Fortinet no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión técnicos.

Imprivata: Imprivata ofrece una serie de servicios de IAM, principalmente en el sector sanitario, donde es conocido por su enfoque de autenticación “tocar y listo” utilizando credenciales de proximidad. Ofrece SSO empresarial basado en escritorio, SSO basado en estándares, MFA, PAM, privacidad y funcionalidad IGA en sus productos entregados por software. Imprivata no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión técnicos.

RSA: RSA se separó de su negocio RSA Conference en 2022 para volver a centrarse exclusivamente en IAM. RSA ofrece productos para AM, autenticación de usuarios e IGA. RSA vende AM como SaaS, como parte de su plataforma ID Plus. RSA no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión técnicos.

SecureAuth: SecureAuth proporciona Arculix, que admite autenticación continua sin contraseña, acceso adaptativo y autenticación basada en riesgos. SecureAuth también ofrece SecureAuth Identity Provider, que incluye acceso adaptativo y capacidades de IdP. Las soluciones se pueden utilizar de forma independiente o para complementarse entre sí, y están disponibles a través de múltiples planes de suscripción. Ambos admiten implementaciones SaaS, de software o híbridas. SecureAuth no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión generales en cuanto a recuento de clientes/ingresos.

Proveedores que cubren solo CIAM

Akamai: Akamai proporciona Akamai Identity Cloud, una oferta de AM para identidades externas resultante de su adquisición de Janrain. Akamai Identity Cloud es un producto entregado por SaaS. Akamai no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión generales. Se excluyen las soluciones sin números de clientes sustanciales para cada caso de uso, o que solo se comercializan o se comercializan principalmente para respaldar un caso de uso.

SAP: SAP proporciona las soluciones de datos de clientes de SAP proporcionadas por SaaS, que ofrecen tres soluciones empresariales: SAP CIAM para B2C, SAP CIAM para B2B y SAP Enterprise Consent and Preference Management. SAP no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión generales. Se excluyen las soluciones sin números de clientes sustanciales para cada caso de uso, o que solo se comercializan o se comercializan principalmente para respaldar un caso de uso.

Transmit Security: Transmit Security ofrece una plataforma de AM para casos de uso principalmente de CIAM. Se centra en proporcionar una plataforma CIAM con JTO, autenticación (incluida la autenticación sin contraseña), gestión de usuarios, autorización, IDV, validación de datos de identidad y detección de fraude y respuesta a este. Transmit Security no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión generales. Se excluyen las soluciones sin números de clientes sustanciales para cada caso de uso, o que solo se comercializan o se comercializan principalmente para respaldar un caso de uso.

Proveedores de plataformas en la nube

Alibaba Cloud: Alibaba Cloud proporciona un producto de AM llamado Alibaba Cloud Identity as a Service (IDaaS). Se ofrece como SaaS y modelos entregados por software, y ofrece administración de identidad para todo tipo de grupos de usuarios, servicios de directorio, autenticación centralizada, SSO, autorización y creación de informes de auditoría. Alibaba Cloud no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión generales en cuanto a recuento de clientes/ingresos.

Amazon Web Services (AWS): AWS ofrece funcionalidad de AM que incluye servicios de SSO, MFA y directorio. AWS IAM Identity Center es una oferta de IaaS para el personal, y Amazon Cognito sirve a CIAM. AWS no se incluyó en este Magic Quadrant debido a que no cumplía los criterios de inclusión técnicos.

Google: Google Cloud Platform y Google Workspace proporcionan SSO, MFA, servicios de directorio y funciones de AM relacionadas para los clientes de Google Cloud. Google no se incluyó en este Magic Quadrant debido a que no cumplía los criterios técnicos de inclusión.

Criterios de evaluación

Los criterios de evaluación y las ponderaciones nos cuentan las características específicas y su importancia relativa, que apoyan la visión de Gartner del mercado. Se utilizan para evaluar comparativamente a los proveedores en esta investigación.

Capacidad de ejecución

Los analistas de Gartner evalúan a los proveedores en cuanto a la calidad y eficacia de los procesos, sistemas, métodos y procedimientos que permiten a los proveedores de TI ser competitivos, eficientes y eficaces, y que afectan positivamente a los ingresos, la retención y la reputación, según la percepción del mercado de Gartner.

Producto o servicio: bienes y servicios principales con los que compite o presta servicio en el mercado específico. Estos incluyen la capacidad de oferta actual de productos y servicios, así como calidad, conjuntos de funciones y competencias. Pueden ser como oferta nativa o a través de acuerdos/asociaciones OEM, tal y como se indica en la sección de definición del mercado y se detalla en los criterios secundarios.

Criterios secundarios:

Gestión de acceso central
Autenticación de usuario
Autorización y acceso adaptativo
Integración de identidad portátil
Capacidades de negocio a negocio
Capacidades de negocio a consumidor
Personalización y extensibilidad
Control de acceso a API
Informes de amenazas e ITDR
Resiliencia
Facilidad de implementación

Viabilidad general: la viabilidad incluye una evaluación del estado financiero general de la organización, así como del éxito práctico y financiero de la unidad de negocio. Examina la probabilidad de que la organización continúe ofreciendo e invirtiendo en el producto, así como la posición de este en la cartera actual del proveedor.

Criterios secundarios:

Salud financiera
Éxito en el mercado de AM por ingresos de AM y población de clientes

Ejecución de ventas/fijación de precios: Las capacidades de la organización en todas las actividades de preventa y la estructura que las soporta. Incluye la gestión de acuerdos, precios y negociación, asistencia de preventas y la eficacia general del canal de ventas.

Criterios secundarios:

Ejecución de ventas
Precios en varios escenarios: este subcriterio está muy ponderado. Se pidió a los proveedores que identificaran el precio acordado real esperado, con los descuentos adecuados para diferentes escenarios. Los costes más bajos para el mismo escenario entre los proveedores obtuvieron una puntuación más alta.

Capacidad de respuesta del mercado e historial: la capacidad de respuesta, de cambio de dirección, de flexibilidad y de logro de éxitos competitivos según las oportunidades, la actuación de los competidores y las cambiantes necesidades de los clientes dentro de la dinámica del mercado. Este criterio considera también el historial de la capacidad de respuesta del proveedor para satisfacer las demandas cambiantes del mercado.

Criterios secundarios:

Capacidad de respuesta general a las tendencias del mercado y las actividades de la competencia en los últimos 12 meses: nuevas características añadidas
Historial (artículos de la hoja de ruta de 2022 que se entregaron en los últimos 12 meses)

Ejecución de marketing: la claridad, calidad, creatividad y eficacia de los programas diseñados para transmitir el mensaje de la organización para influir en el mercado, promocionar la marca, mejorar el conocimiento de los productos y establecer una identificación positiva en la mente de los clientes. Esta “comunicación” puede ejercerse mediante una combinación de publicidad, actividad promocional, liderazgo de ideas, información por las redes sociales, referencias y actividades de ventas.

Criterios secundarios:

Actividades de marketing y mensajes ejecutados en los últimos 12 meses
Ejecución de marketing: ROI, coste por ganancia, tasa de conversión, métricas de marketing

Experiencia del cliente: productos y servicios, o programas que permiten a los clientes anticipar resultados con los productos evaluados. Concretamente, esto incluye las interacciones de calidad entre proveedores y compradores, el soporte técnico y el soporte de cuentas. También podría incluir herramientas auxiliares, programas de asistencia al cliente, disponibilidad de grupos de usuarios y acuerdos de nivel de servicio.

Criterios secundarios:

Soporte técnico
Servicios profesionales
Satisfacción del cliente

Operaciones: capacidad de la organización de cumplir objetivos y compromisos. Los factores incluyen la calidad de la estructura organizativa, habilidades, experiencias, programas, sistemas y otros vehículos que permiten a la organización operar eficaz y eficientemente.

Criterios secundarios:

Personas
Procesos
Cambios organizativos

Tabla 1: Criterio de evaluación de la capacidad de ejecución

Criterios de evaluación	Ponderación
Producto o servicio	Alta
Viabilidad general	Media
Ejecución de ventas/fijación de precios	Alta
Capacidad de respuesta del mercado/registro	Media
Ejecución de marketing	Media
Experiencia del cliente	Alta
Operaciones	Baja
A octubre de 2023

Fuente: Gartner (noviembre de 2023)

Amplitud de visión

Los analistas de Gartner evalúan a los proveedores en cuanto a su comprensión de los deseos y necesidades del comprador, y en cuanto a lo bien que anticipan, comprenden y responden con innovación en sus ofertas de productos para satisfacer esas necesidades. Los proveedores con un alto grado de amplitud de visión demuestran capacidad para comprender los desafíos a los que se enfrentan los compradores en el mercado, y para conformar sus ofertas de productos para ayudar a los compradores a superar esos desafíos.

Comprensión del mercado: la capacidad de comprensión de las necesidades del cliente y de traducirlas en productos y servicios. Los proveedores que muestran una visión clara de su mercado son aquellos que escuchan, comprenden las demandas de los clientes, y pueden conformar o mejorar el mercado al añadir su visión.

Criterios secundarios:

Competidores
Fortalezas y debilidades
Oportunidades de mercado
Amenazas

Estrategia de marketing: la claridad y exclusividad del mensaje, su comunicación coherente dentro de la organización y su externalización a través de las redes sociales, la publicidad, los programas de clientes y las declaraciones de posicionamiento.

Los clientes no pueden comprar productos que no conocen. Evaluamos métricas de marketing de productos específicos, no marketing corporativo. Analizamos cuánta concienciación sobre mensajes de AM específicos llega al público objetivo del proveedor, y hasta qué punto la voz del cliente influye en las ofertas de productos/servicios de AM del proveedor.

Criterios secundarios:

Estrategia de marketing y conocimiento de la marca
Opinión del cliente

Estrategia de ventas: una estrategia de ventas sólida emplea las redes apropiadas, incluidos ventas directas e indirectas, marketing, servicio y comunicación. Socios que amplíen el alcance y profundidad del mercado, además de experiencia, tecnologías, servicios y base de clientes.

Criterios secundarios:

Organización de ventas y asociaciones
Desglose de ingresos por canal
Programa de habilitación de ventas internas

Estrategia de ofertas (de productos): un enfoque del desarrollo y el suministro de productos con énfasis en la diferenciación dentro del mercado, funcionalidad, metodología y características en la medida en que satisfacen requisitos actuales y futuros.

Consideramos cómo aumentará el proveedor la diferenciación competitiva de sus productos y servicios de AM mediante la ingeniería de producto, la gestión de producto y la estrategia general de producto.

Criterios secundarios:

Hoja de ruta del producto
Diferenciación

Modelo de negocio: el diseño, la lógica y la ejecución de la propuesta de negocio de la organización para lograr el éxito de forma continuada.

Estrategia vertical/del sector: la estrategia para dirigir los recursos (ventas, producto, desarrollo), habilidades y productos para satisfacer las necesidades específicas de los segmentos de mercado individuales, incluidos los mercados verticales.

Criterios secundarios:

Desglose de clientes por sector
Tendencias en el desglose por sector de los clientes
Estrategia para sectores verticales y otra segmentación

Innovación: diseños directos, relacionados, complementarios y sinérgicos de recursos, experiencia o capital para inversión, consolidación o propósitos defensivos o preventivos. Consideramos la trayectoria continua del proveedor en cuanto a innovación líder del mercado y diferenciación. Esto incluye la provisión de productos distintivos, funciones, capacidades, modelos de precios, adquisiciones y ventas de activos. Nos centramos en las innovaciones técnicas y no técnicas introducidas desde el año pasado, así como en las innovaciones futuras del proveedor en los próximos 18 meses.

Criterios secundarios:

Innovaciones a corto plazo relacionadas con tendencias (18 meses)
Innovación a largo plazo (más de 18 meses)

Estrategia geográfica: la estrategia del proveedor para dirigir los recursos, capacidades y ofertas para cubrir las necesidades específicas de áreas geográficas fuera de la suya, ya sea directamente o a través de socios, canales y subsidiarias, según sea apropiado para tal mercado y zona geográfica.

Criterios secundarios:

Desglose de clientes por geografía, con representación de todos los mercados principales
Tendencias o cambios en el desglose geográfico de clientes
Estrategia para cambios en la cobertura geográfica
Asistencia global

Tabla 2: Criterios de evaluación de la amplitud de visión

Criterios de evaluación	Ponderación
Comprensión del mercado	Alta
Estrategia de marketing	Media
Estrategia de ventas	Bajo
Estrategia de ofertas (de productos)	Alta
Modelo de negocio	Media
Estrategia del sector/mercado vertical	Baja
Innovación	Alta
Estrategia geográfica	Media
A octubre de 2023

Fuente: Gartner (noviembre de 2023)

Descripción de los cuadrantes

Líderes

Los Líderes del mercado de AM generalmente tienen bases de clientes significativas y una presencia global en cuanto a ventas y soporte. Proporcionan conjuntos de características que son adecuados para las necesidades actuales de casos de uso de clientes, y desarrollan capacidades para resolver nuevos problemas del mercado. Los Líderes también muestran evidencia de una visión y ejecución sólidas en cuanto a requisitos previstos relacionados con la tecnología, la metodología o los medios de entrega. Todos los Líderes ofrecen capacidad de AM como SaaS, y algunos ofrecen modelos híbridos de entrega de TI. Muestran evidencia de especialización en AM, y pueden ofrecer una cartera de IAM más amplia. Los Líderes suelen demostrar una sólida satisfacción del cliente con las capacidades de AM, el proceso de ventas o el servicio y soporte relacionados, en general.

Challengers

Los Challengers muestran una sólida ejecución, características de producto completas y especializadas, y tienen bases de clientes significativas. Sin embargo, no han mostrado la amplitud de visión en cuanto a AM que tienen los Líderes. En vez de ello, su visión y ejecución en cuanto a marketing, tecnología, metodología o medios de entrega tienden a centrarse más en la ejecución de ventas y redoblar las fortalezas de las capacidades adyacentes de IAM, en lugar de realizar grandes inversiones en innovación de AM. Los Challengers pueden considerar la AM como una parte clave de una cartera de IAM más amplia. Los clientes de los Challengers están relativamente satisfechos.

Visionarios

Los proveedores del cuadrante Visionarios proporcionan productos que cumplen con muchos requisitos de clientes de AM, pero es posible que no tengan la penetración en el mercado para poder ejecutar como lo hacen los Líderes. También pueden tener una gran base instalada de AM heredada. Los Visionarios son reconocidos por su enfoque innovador de la tecnología de AM, la metodología o los medios de entrega. A menudo ofrecen características únicas y pueden centrarse en un segmento de mercado específico o conjunto de casos de uso, como la CIAM. Además, tienen una visión sólida del futuro del mercado y su lugar en él.

Especialistas

Los Especialistas proporcionan tecnología de AM que es una buena opción para casos de uso específicos. Se centran en segmentos de mercado por tamaño de cliente, ofreciendo normalmente capacidad adicional de AM a otros productos utilizados por su base de clientes existente. Pueden superar a muchos competidores en su área de enfoque específica. Los proveedores de este cuadrante suelen tener grandes clientes, así como una fuerte especialización en algunas áreas de AM (por ejemplo, autenticación de usuarios). La conciencia de marca en el caso de su producto de AM suele ser baja en relación con los proveedores de otros cuadrantes. Es posible que la visión y la estrategia no se extiendan mucho más allá de las mejoras de características de las ofertas actuales. Los precios de algunos Especialistas pueden considerarse demasiado altos para el valor que proporcionan. Sin embargo, la inclusión en este cuadrante no resta valor al proveedor en el espectro en el que más se centra. Las soluciones especializadas pueden ser muy eficaces en sus áreas de interés.

Contexto

La AM para personal está madura, la CIAM está creciendo

Todos los proveedores evaluados en este Magic Quadrant ofrecen un producto entregado por SaaS, y para los proveedores que ofrecen múltiples modelos de entrega, solo se ha calificado su producto de SaaS en cuanto al criterio de producto/servicio.

El mercado de AM sigue creciendo tanto para la mano de obra como para CIAM, y el uso/adopción de soluciones de CIAM en general (el 49 % de los encuestados que tienen cierta implicación o responsabilidad en la IAM de sus organizaciones) sigue siendo menor que para todas las soluciones de gestión de acceso de la mano de obra (el 58 % de los encuestados que tienen cierta implicación o responsabilidad en la IAM de sus organizaciones). ¹

Los casos de uso de AM de mano de obra son relativamente maduros y se están mercantilizando. La innovación de AM de mano de obra está ralentizándose y teniendo un menor impacto en el mercado con el tiempo. Sin embargo, el crecimiento del mercado y el potencial de innovación para la CIAM es mayor, y Gartner está viendo una demanda significativa de organizaciones de clientes que pasan de capacidades de CIAM no seguras a soluciones comerciales de proveedores a un ritmo más rápido que en años anteriores.

Por todas estas razones, el Magic Quadrant para la Gestión de acceso de este año se centra más en las capacidades de CIAM, incluida la evaluación de productos/servicios especializados en cuanto a características para B2B y B2C.

Teniendo esto en cuenta, al evaluar las herramientas de AM:

Documente claramente sus requisitos de AM en cuanto a mano de obra y CIAM, y los resultados de máxima prioridad para sus capacidades de AM.
Utilice las funciones interactivas de esta investigación para crear una vista personalizada para su organización que priorice las diferentes áreas evaluadas en consonancia con sus prioridades.
Las organizaciones que necesitan capacidades de CIAM y AM de mano de obra, y prefieren un enfoque de proveedor único, deben dar más peso a sus capacidades de CIAM en la selección de soluciones. Las capacidades de CIAM son más variadas, mientras que las capacidades de AM de mano de obra están más mercantilizadas. Si tener un solo proveedor no es algo importante para usted, continúe evaluando y seleccionando cada uno por separado.

La AM está evolucionando sus capacidades de B2B

Los clientes y socios empresariales ahora utilizan de forma rutinaria más servicios digitales, realizan interacciones más complejas y sensibles, y se relacionan más estrechamente con las organizaciones en línea. Esto ha dado lugar a la creciente necesidad de una gestión del ciclo de vida flexible y delegada para los usuarios B2B. Tenga en cuenta las siguientes preguntas cuando se trate de relaciones B2B:

¿Qué herramientas de IAM debe usted considerar para la autenticación, autorización, federación y funcionalidad de gobernanza para sus usuarios B2B, como socios y proveedores de la cadena de suministro?
¿Cómo debe gestionar la administración delegada para sus usuarios B2B? Esta es una de las mayores diferencias de características entre los casos de uso B2B y B2C.
¿Cómo se asegura de tener políticas de acceso adaptativas personalizadas para definir y confiar en los usuarios B2B de forma diferente en el caso de AM?
¿Puede utilizar una única herramienta de AM para respaldar los requisitos de casos de uso B2E, B2C y B2B?

Para satisfacer estas necesidades, las funciones personalizadas de administración y gestión del ciclo de vida delegadas están cada vez más disponibles en las ofertas de AM para atender casos de uso B2B. Las herramientas de AM han evolucionado en los últimos años y ahora se posicionan como la clave para el acceso ubicuo a las aplicaciones, lo que permite a cualquier tipo de usuario (B2E, B2B o B2C) acceder a cualquier aplicación, en cualquier momento y lugar. Pueden ser suficientes para la mayoría de los escenarios, excepto para casos de uso B2B más complejos y altamente regulados.

El sesenta y cuatro por ciento de los proveedores de AM encuestados en esta investigación ofrecen funciones listas para usar (out-of-the-box, OOTB) para invitar y registrar a usuarios B2B al delegar el registro de usuarios a un usuario interno en la organización matriz o a un administrador en una organización asociada. Sin embargo, menos de un tercio de todos los proveedores de AM encuestados ofrecen funciones OOTB para delegar el registro y la gestión de identidad de los usuarios B2B en una identidad de confianza de terceros (centro de contacto o persona de confianza). La mayoría de los proveedores de AM evaluados aún no ofrecen funciones de administrador delegado de OOTB ni certificaciones de acceso para administradores delegados.

Recomendaciones al evaluar a los proveedores de AM para respaldar casos de uso B2B:

Elija herramientas de AM que admitan funciones B2B y B2C cuando la organización tenga requisitos para permitir relaciones comerciales con clientes que consistan tanto en empresas más grandes como en propietarios únicos.
Céntrese en la administración delegada, la federación de identidad, la gestión flexible de identidades, incluida la gestión del ciclo de vida y el aprovisionamiento/desaprovisionamiento, el esquema de cuentas de usuario extensible, los roles de administración delegada de OOTB y las características clave de los subarrendatarios de clientes B2B especializados.
Elija una solución que ofrezca una amplia gama de métodos de autenticación para usuarios B2B. Aumente con señales de reconocimiento y riesgo para abordar el riesgo de apropiación de cuentas (account takeover, ATO), cumplir con los requisitos de los seguros cibernéticos y proteger la propiedad intelectual.
Aumente la herramienta de AM elegida con una herramienta de IGA o una solución de gestión de privacidad si es necesario, para requisitos de gobernanza más complejos y altamente regulados para usuarios B2B.
Si descubre que sus requisitos de B2B no están en línea con los proveedores cubiertos en este Magic Quadrant, cambie rápido; considere dirigirse a los proveedores de CIAM destacados en la sección Menciones honorables de esta investigación u otros proveedores especialistas de CIAM.

AM sigue siendo objeto de ataque

Las herramientas de AM han ayudado significativamente con la simplificación y centralización de controles y configuraciones de políticas de acceso para recursos protegidos (aplicaciones). Sin embargo, los ataques a la infraestructura de IAM siguen aumentando, y los ataques basados en la identidad han estado aprovechando y, en última instancia, han llevado al uso de credenciales robadas a través del acceso a aplicaciones web ―la principal acción en cuanto a infracciones e incidentes―. ²

La AM generalmente se encuentra en medio de esta ruta de ataque ―entre agentes maliciosos y recursos web y en la nube―. La mala configuración de las herramientas de AM, así como las vulnerabilidades y la mala higiene de datos de identidad, representan una gran superficie de ataque no gestionada hoy en día.

Todos los proveedores de AM encuestados proporcionan al menos informes personalizados y registros sin procesar para ayudar con la higiene de datos de identidad en la herramienta de AM, como tratar con cuentas huérfanas o privilegios de larga duración. Sin embargo, estos registros requieren un análisis manual significativo para detectar problemas en los datos de identidad que se deben solucionar. No ofrecen una forma fácil de descubrir otras configuraciones erróneas en la herramienta de AM (como desactivar o bloquear métodos de autenticación heredados del ciclo de vida en uso). Solo el 18 % de los proveedores de esta investigación ofrecen un motor de recomendación de configuración que puede ayudar a identificar algunas configuraciones erróneas en las herramientas de AM o en los datos de identidad. Combinados con los valores predeterminados de seguridad, estos motores de recomendación son una gran ayuda para mejorar la resiliencia de las herramientas de AM. Sin embargo, sus capacidades siguen siendo incipientes y no se pueden utilizar como la única forma de lograr y mantener una configuración adecuada de las herramientas de IAM y la higiene de los datos de identidad.

Otros tipos de controles contra ataques de identidad que se han popularizado en 2023 son las técnicas de prevención de bombardeo de MFA, como la coincidencia de números y el bloqueo/limitación de la tasa de IP. Y también se utilizan capacidades de AM existentes, como los controles de acceso adaptativo, para proporcionar valor a la ITDR. Estos incluyen el análisis típico del comportamiento del usuario basado en anomalías basadas en el dispositivo, la ubicación o el tiempo, que ofrecen siete de los proveedores evaluados de este año ―una mejora con respecto a los cinco del año pasado―. Cuatro proveedores de este Magic Quadrant han añadido más técnicas de detección, más allá del análisis de comportamiento de usuarios y entidades (user and entity behavior analytics, UEBA), incluidas tácticas, técnicas y procedimientos (tactics, techniques and procedures, TTP) e indicadores de vulnerabilidad (indicators of compromise, IOC).

La IDV que utiliza ID+selfie también está emergiendo como un control popular contra los ataques, ampliando su uso principal desde la incorporación de clientes a un flujo de usuarios alternativo para transacciones de alta confianza, recuperación de credenciales o como respuesta a una señal sospechosa. En esta investigación, el 27 % de los proveedores encuestados ofrecen sus propios complementos de IDV, y todos ellos son capaces de integrar herramientas de IDV de terceros.

Recomendaciones para evaluar a los proveedores de AM:

Al evaluar las capacidades de MFA de los proveedores de AM, elimine de su lista a los proveedores que no ofrecen al menos una coincidencia de números para MFA, con el fin de reducir el riesgo de ataques de bombardeo. Al seleccionar un proveedor de AM, también debe establecer una referencia mínima para incluir al menos la detección de amenazas aprovechando el análisis de comportamiento del usuario basado en el dispositivo, ubicación o anomalías basadas en tiempo.
Diferencie a los proveedores de AM mediante la evaluación de otros mecanismos para la prevención de bombardeo de MFA, la autenticación step-up, la cuarentena o las características de finalización de sesión para mitigar el riesgo de ATO. Además, solicite la detección de contraseñas vulnerables y la integración de la capacidad de IDV para reducir aún más el riesgo de ATO.
Evalúe con cautela las características de recomendación de seguridad que ofrecen hoy las herramientas de AM. Pero, por ahora, planifique la integración de AM con herramientas y procesos de seguridad externos que puedan facilitar la higiene de los datos de identidad, la ITDR y la gestión general de la exposición a amenazas.

La convergencia y consolidación de proveedores de IAM ofrecen un poco de todo.

Según la Encuesta de consolidación de proveedores de seguridad de Gartner de 2022, el 75 % de las organizaciones clientes buscan una estrategia de consolidación de proveedores de seguridad ―frente al 29 % de 2020―.³ Las oportunidades viables de consolidación siguen aumentando en comparación con años anteriores. El setenta y tres por ciento de todos los proveedores de AM evaluados en este Magic Quadrant también ofrecen capacidades de IAM adyacentes (IGA y PAM, específicamente). Este porcentaje es superior al 66 % del año pasado.

Si bien existe un posible valor adicional ―que incluye una gestión optimizada, operaciones mejoradas y ahorros de costos totales― para las organizaciones de clientes si seleccionan un proveedor cuyas ofertas de IAM sean una plataforma convergente (varias funciones en un producto frente a productos separados de IGA, AM, PAM), hay muy pocas opciones disponibles de esto en el mercado. La mayoría de los proveedores que ofrecen soluciones con capacidades adyacentes lo entregan como un conjunto o paquetes de productos independientes en lugar de como una verdadera plataforma convergente. Lo mismo ocurre con las capacidades adyacentes para diferentes grupos de usuarios (algunos proveedores ofrecen capacidades de CIAM y de personal como productos separados, incluso solo para las capacidades de AM). En resumen, las oportunidades de consolidación de proveedores están aumentando, mientras que la convergencia total de la plataforma de IAM sigue siendo poco común.

Recomendaciones para evaluar a los proveedores de AM:

Aplique los principios de tejido de identidad para guiar este tipo de decisión de “suite vs. mejor de su clase” (consulte Definición: tejido de identidad). Tenga en cuenta la mercantilización de las características de AM de la mano de obra como se mencionó anteriormente. Una estrategia de tejido de identidad no está en desacuerdo con las tendencias continuadas de convergencia, y ningún proveedor lo hace todo. Por lo tanto, evalúe la componibilidad de la herramienta de AM, y las capacidades de orquestación y orientadas al recorrido, para elegir entre las opciones convergentes y una combinación de las mejores opciones de su clase.
Gestione el coste y la complejidad generales del conjunto de herramientas de IAM, definiendo/documentando primero por completo sus casos de uso de IAM clave para todos los mercados de IAM y grupos de usuarios, y utilizando este conjunto de casos de uso necesarios para evaluar todas las necesidades de herramientas de su programa/cartera. Esto no significa combinar la selección de soluciones para todas las herramientas en un solo esfuerzo; significa considerar activamente las interacciones e integraciones que necesitará entre herramientas al seleccionar cualquier herramienta.
Seleccione a sus posibles proveedores de soluciones de AM en función de sus casos de uso y requisitos, asegurándose de que los que incluya puedan satisfacer las necesidades relacionadas con AM de su organización.
Dentro de su conjunto finalista de posibles proveedores de soluciones de AM, decida entre una herramienta de AM independiente, un proveedor de suites de IAM que ofrezca capacidades adyacentes y cualquier opción de plataforma realmente convergente. Para ello, evalúe el impacto del coste de licencia/suscripción, de los costes de implementación relacionados y de los costes de integración totales en su cartera general de IAM (no solo a su selección de soluciones de AM).

Un soporte eficaz de clave de acceso necesita más que solo WebAuthn

Las claves de acceso (basadas en los estándares de la Alianza FIDO) han tenido un impulso cada vez mayor a medida que los sitios web, los proveedores de sistemas operativos y los proveedores de nube añaden soporte para estas credenciales.

Las conversaciones sobre las claves de acceso deben comenzar por establecer una comprensión común de la terminología. La alianza FIDO utiliza el término claves de acceso para referirse tanto a las claves de acceso “unidas al dispositivo” como a las claves de acceso “multidispositivo” o “sincronizadas”, lo cual es coherente porque ambos tipos pertenecen a la familia de credenciales FIDO2 que comparten rasgos comunes: pueden protegerse mediante software o hardware (utilizando un elemento seguro en un token de hardware portátil [“clave de seguridad”], smartphone, tableta o PC); se basan en credenciales de clave pública; y cumplen con la API de autenticación web (WebAuthn) y el protocolo de cliente a autenticador (Client-to-Authenticator Protocol, CTAP).

Sin embargo, los tipos difieren de las siguientes maneras:

Se recomiendan claves de acceso vinculadas al dispositivo como factor de autenticación resistente al phishing, especialmente para casos de uso de personal (consulte Hype Cycle sobre identidad digital, 2023 e Percepciones sobre innovación para ver Muchos tipos de token de autenticación).
Las claves de acceso multidispositivo requieren una cuenta de ecosistema (ID de Apple, cuenta de Google o cuenta de Microsoft), hardware con capacidad de clave de acceso (PC, smartphone, tableta o clave de seguridad), un sistema operativo compatible y un navegador compatible (para admitir la autenticación entre dispositivos o para acceder a claves de acceso desde el elemento seguro nativo).
Las ventajas de las claves de acceso sincronizadas son: registro rápido del usuario (si se utiliza, la identidad de usuario del ecosistema ya se conoce), UX mejorada (sin contraseña, tan simple como desbloquear el dispositivo), confianza (resistente al phishing) y recuperación (copia de seguridad y sincronización automáticas). Deberá haber un equilibrio entre estos beneficios y los siguientes desafíos:
- Las claves de acceso sincronizadas y vinculadas al dispositivo tienen diferentes recorridos de usuario (requisitos previos, compatibilidad, beneficios, etc.)
- La confianza en la identidad se basa en el proceso que el proveedor del ecosistema utiliza para IDV y autenticación.
- La disponibilidad y la capacidad de recuperación de las claves de acceso dependen de los mecanismos y la infraestructura del ecosistema de proveedores.
- Las claves de acceso sincronizadas ya no están en posesión exclusiva del usuario final (o en un dispositivo gestionado por la organización).

Para obtener más información, consulte Respuesta rápida: Uso de claves de acceso para la autenticación de clientes y empleados.

Las respuestas de la encuesta de proveedores de AM reflejan diversos grados de comprensión de lo que significan las claves de acceso sincronizadas para CIAM frente a los casos de uso de la mano de obra. Todos los proveedores encuestados tienen soporte de API de WebAuthn compatible con clave de acceso, y un 45 % afirmó tener soporte para claves de acceso multidispositivo. Sin embargo, en la fecha límite de esta investigación, sus ofertas no distinguían entre la aplicabilidad de la plantilla o del cliente, los requisitos previos, el registro, la recuperabilidad o la gestión de claves de acceso. El 27 % de los proveedores han incluido claves de acceso multidispositivo como elemento de hoja de ruta; y solo el 18 % han ofrecido características tempranas: la capacidad de bloquear la inscripción de una clave de acceso sincronizada en un caso de uso de personal y características de SDK para seleccionar qué tipo de clave de acceso emitir.

Recomendaciones para evaluar a los proveedores de AM:

Establecer una comprensión común de la terminología abordando específicamente los impulsores, los casos de uso y el tipo de clave de acceso. Los requisitos, los recorridos del usuario, la aplicabilidad y los beneficios variarán entre los distintos tipos de claves de acceso.
Evalúe las capacidades del proveedor, preguntando sobre la disponibilidad de comprobaciones de requisitos previos, perfiles preconfigurados, flujos de consentimiento (si las cuentas de Apple, Google o Microsoft se utilizan para el registro), la capacidad de personalizar (p. ej., para iniciar un flujo de IDV para establecer un nivel más alto de garantía de identidad) y cualquier control integrado diseñado específicamente para claves de acceso sincronizadas (p. ej., vinculación de dispositivos). No olvide articular cualquier restricción de caso de uso (p. ej., requisito de posesión en un caso de uso de SCA).
Diseñe una estrategia de autenticación inclusiva basada en la comprensión de los recorridos del usuario y las personas asociadas con cada caso de uso, y una que complemente los métodos basados en credenciales con señales de reconocimiento y riesgo.
Para la mano de obra y CIAM de B2B, examine la visión del proveedor de AM preguntando cómo ven el futuro de las claves de acceso multidispositivo en la empresa; por ejemplo, la aplicabilidad para la mano de obra extendida (contratistas externos, socios o trabajadores temporales) o si la herramienta de AM empresarial proporciona o funciona con una gestión universal de dispositivos (universal device management, UDM) para proporcionar controles granulares de claves de acceso. Complemente con una herramienta especializada en autenticación si es una mejor opción para sus recorridos de usuario basados en clave de acceso.

A menudo, OAuth 2.0 no es suficiente para todos los casos de uso de autorización

El enfoque de los servicios de autorización en el mercado de AM es claramente divergente, y la mayoría de los proveedores del mercado apuestan por que la fuerte habilitación de la autorización basada en tokens OAuth 2.0 proporcionará suficiente capacidad para sus clientes. Sin embargo, existen desafíos con la autorización basada en tokens OAuth que no se pueden abordar sin un servicio completo de gestión de autorizaciones externalizadas (externalized authorization management, EAM). Por ejemplo, OAuth no se puede utilizar para externalizar decisiones de autorización/políticas detalladas de aplicaciones; solo se puede utilizar para proporcionar atributos (reclamaciones) a aplicaciones; las aplicaciones tendrían que aplicar una política definida y administrada localmente a estos atributos.

Solo el 18 % de los proveedores evaluados en este Magic Quadrant proporcionan capacidades de autorización externalizadas completas para todos los grupos de usuarios. El resto de proveedores dependen en gran medida de las capacidades de OAuth 2.0 para habilitar la autorización de aplicaciones y API.

Recomendaciones para evaluar a los proveedores de AM:

Identifique cuidadosamente sus requisitos de autorización, incluido un amplio conjunto de casos de uso de autorización, por ejemplo:
- Autorización del cliente para compartir datos con aplicaciones y servicios
- Autorización de flujo de API
- Autorización de personal para aplicaciones específicasAutorización para funciones dentro de aplicaciones y recursos
- Autorización para datos dentro de una aplicación o recurso
Compare sus casos de uso con las capacidades del proveedor, teniendo en cuenta los casos de uso de autorización que no se pueden abordar con OAuth 2.0. Si solo tiene casos de uso para los que OAuth 2.0 funciona, es probable que esto no sea un diferenciador significativo para usted. Si sus casos de uso sobrepasan la capacidad de OAuth 2.0, recurra a proveedores que ofrezcan capacidades de EAM completas. Hemos llamado a los proveedores con fortalezas y precauciones en cuanto a autorización.

Panorama del mercado

Este Magic Quadrant se produjo en respuesta a las condiciones del mercado de AM, incluidas las siguientes tendencias:

Madurez de AM de la mano de obra, crecimiento en CIAM: todos los proveedores evaluados ofrecen un producto entregado por SaaS, y para los proveedores que ofrecen múltiples modelos de entrega, solo se ha calificado su producto SaaS en cuanto al criterio de producto/servicio de este Magic Quadrant. AM de mano de obra es un caso de uso que está madurando y que se está mercantilizando. El cincuenta y ocho por ciento de los encuestados con cierta implicación o responsabilidad en la IAM de su organización han implementado AM de mano de obra en 2023.1 La aceptación de las soluciones CIAM es del 49 %,1 un aumento desde el 40 % de hace cuatro años. El potencial de crecimiento de CIAM es mayor que el de la mano de obra, y existe una demanda significativa de las organizaciones de clientes que se trasladan desde CIAM de producción local.

Evolución del CIAM B2B: el 45 % de todos los proveedores de AM encuestados en esta investigación ofrecen funciones OOTB para invitar y registrar usuarios B2B, delegando el registro de usuarios a un usuario interno en la organización matriz y a un administrador delegado en una organización asociada. Sin embargo, el 64 % de los proveedores de AM evaluados aún no ofrecen funciones de administrador delegadas por OOTB ni certificaciones de acceso para administradores delegados.
ITDR e higiene de identidad: el 63 % de los proveedores evaluados han lanzado algún tipo de capacidad ITDR, un aumento desde el 44 % del año pasado. Sin embargo, la mayoría de las herramientas de AM no proporcionan una indicación de la higiene de los datos de identidad, y mucho menos, configuraciones erróneas en la propia herramienta, vulnerabilidades o brechas en su implementación, lo que crea una superficie de ataque expuesta y no supervisada.
Conjuntos de IAM y convergencia: el 73 % de los proveedores de AM evaluados también ofrecen capacidades de IAM adyacentes (específicamente IGA y PAM). Esto supone un aumento frente al 66 % del año pasado. Sin embargo, la mayoría de los proveedores que ofrecen soluciones para capacidades adyacentes, lo ofrecen como productos independientes en lugar de como una verdadera plataforma convergente.
Claves de acceso: todos los proveedores encuestados proporcionan soporte básico para API de WebAuthn compatible con clave de acceso, y un 45 % afirmó ofrecer soporte para claves de acceso multidispositivo. Sin embargo, la profundidad de soporte para las claves de acceso multidispositivo es desigual: el 27 % de todos los proveedores han mencionado las claves de acceso multidispositivo como elemento de hoja de ruta.

Gartner estima que los ingresos del mercado de AM para 2023 ascenderán a 6140 millones de USD, lo que representa una tasa de crecimiento del 23,9 % con respecto a 2022. El mercado seguirá siendo testigo de la expansión, aunque se espera que el crecimiento se reduzca en los próximos dos o tres años (consulte Previsión: Seguridad de la información y gestión de riesgos, Worldwide, 2021-2027, Actualización del 3T23).

Evidencias

¹ 2023 Gartner IAM Modernization Preventing Identity-First Security Survey. Esta encuesta se llevó a cabo para determinar hasta qué punto está avanzando el mercado hacia la seguridad identity ﬁrst. La encuesta se realizó en línea del 9 de junio al 24 de julio de 2023 entre 303 encuestados de Norteamérica (n = 104 en EE. UU. y Canadá), Latinoamérica (n = 41 en Brasil), Asia/Pacífico (n = 59 en India, Australia y Singapur) y EMEA (n = 99 en Alemania, Francia y Reino Unido). Las organizaciones de los encuestados tuvieron ingresos anuales de 100 millones de dólares o más en 2022 en toda la empresa y 250 o más empleados. Se exigió a los encuestados que participaran en la gestión de identidad y acceso de sus organizaciones y que planificaran tener al menos una IAM de entre la de mano de obra, la del consumidor o la de máquina/no humana en su organización en los próximos dos años. Descargo de responsabilidad: Los resultados de esta encuesta no representan los hallazgos globales o el mercado en su conjunto, sino que reflejan las opiniones de las personas y empresas encuestadas.

² Verizon 2023 Data Breach Investigations Report, Verizon.

³Top Trends in Cybersecurity — Survey Analysis: Cybersecurity Platform Consolidation

CISO de Gartner 2022: Encuesta de tendencias de consolidación de proveedores de seguridad XDR y SASE: Este estudio se realizó para determinar cuántas organizaciones están haciendo intentos de consolidación de proveedores, cuáles son los principales impulsores de la consolidación, los beneficios esperados u obtenidos de la consolidación de proveedores, y cómo las que están consolidando están priorizando sus esfuerzos de consolidación. El objetivo principal de esta encuesta era recopilar datos objetivos sobre la detección y respuesta extendidas (extended detection and response, XDR) y el borde de servicio de acceso seguro (secure access service edge, SASE) para la consolidación del análisis de megatendencias. La investigación se realizó en línea durante marzo y abril de 2022 entre 418 encuestados de Norteamérica (n = 277 en EE. UU., Canadá), Asia/Pacífico (n = 37 en Australia y Singapur) y EMEA (n = 104 en Francia, Alemania y el Reino Unido). Los resultados procedieron de encuestados con ingresos anuales de 50 millones de dólares o más en 2021 en toda la empresa. Las industrias encuestadas incluyeron fabricación, comunicaciones y medios, tecnología de la información, gobierno, educación, comercio minorista, comercio mayorista, servicios bancarios y financieros, seguros, proveedores de atención médica, servicios, transporte, servicios públicos, recursos naturales, y farmacéuticas, biotecnología y ciencias biológicas. Los encuestados fueron examinados para determinar su cargo, tamaño de la empresa, responsabilidades laborales para incluir funciones de seguridad de la información/ciberseguridad y TI, y participación principal en la seguridad de la información. Descargo de responsabilidad: Los resultados de esta encuesta no representan los hallazgos globales o el mercado en su conjunto, sino que reflejan las opiniones de las personas y empresas encuestadas.

Nota 1: Lo que debe saber

El modelo de entrega más común para AM es a través de SaaS; sin embargo, algunos proveedores también ofrecen implementaciones entregadas por software o dispositivo.

La AM puede ser utilizada por:

Usuarios de personal en casos de uso de empresa a empleado (B2E), incluidos, entre otros, empleados, trabajadores temporales, proveedores, contratistas y socios (que trabajen como parte de un caso de uso de mano de obra extendida de empresa a empresa [B2B]).
Usuarios externos en casos de uso de empresa a consumidor (B2C), proveedores B2B, G2C y B2B2X.
Usuarios de máquinas, incluidas cargas de trabajo y dispositivos.

Precios

Comentamos los precios de diferentes productos en función de una escala relativa, utilizando términos como “muy por encima de la media”, “por encima de la media”, “promedio”, “por debajo de la media” y “muy por debajo de la media”. En cada escenario de precios, el promedio es el valor medio/mediana de los precios para todos los proveedores evaluados en esta investigación:

Muy por encima de la media incluye los tres puntos de precio más altos (de 11 proveedores).
Muy por debajo de la media incluye los tres puntos de precio más bajos.
Por encima de la media son los precios por encima del punto de precio medio, pero por debajo de los tres precios más altos.
Por debajo de la media está por debajo del punto de precio medio, pero por encima de los puntos de precio de muy por debajo.

Resiliencia

La mayoría de los proveedores de AM ofrecen SLA para sus servicios de SaaS con una disponibilidad de al menos el 99,99 %. Hemos destacado a los proveedores con una métrica más baja como precaución.

Casos de uso de personal frente a CIAM

En aras de la brevedad y la claridad, nos referimos a todos los casos de uso de AM relacionados con consumidores, socios, proveedores, ciudadanos y talentos autónomos eventuales en casos de uso B2C, B2B, G2C o de la economía gig como “CIAM”. Del mismo modo, los casos de uso de AM, incluidos empleados, trabajadores temporales, subcontratistas y contratistas en casos de uso B2E se denominan simplemente “personal”.

Claves de acceso

En este documento, utilizamos el término “claves de acceso” en referencia a credenciales FIDO multidispositivo (claves de acceso sincronizadas).

Cuando mencionamos la “compatibilidad de claves de acceso”, significa que el proveedor ofrece soporte básico a la especificación WebAuthn convencional. No significa que el proveedor esté abordando necesariamente los desafíos conocidos inherentes a este nuevo tipo de credenciales, como el registro, que hoy requiere una cuenta de Apple, Google o Microsoft, riesgos de sincronización de dispositivos u otros inconvenientes enumerados en Respuesta rápida: Uso de claves de acceso para la autenticación de clientes y empleados . Hemos destacado a los proveedores que están abordando este tipo de apoyo adicional como una fortaleza.

Orquestación

Todas las capacidades de la solución de orquestación de tiempo de recorrido (journey-time orchestration, JTO), como se describe en Percepciones de innovación: la orquestación de tiempo de recorrido mitiga el riesgo de fraude y proporciona mejor UX, se denominan simplemente “JTO”, en aras de la brevedad. Otros tipos de orquestación, cuando existen (como flujos de trabajo de administración-tiempo), se denominan como tales.

Verificación de identidad

En aras de la brevedad, todas las capacidades de verificación de identidad, como se describe en la Guía del mercado para la verificación de identidad, se denominan simplemente “IDV”.

Definición de los criterios de evaluación

Capacidad de ejecución

Producto/servicio: principales productos y servicios ofrecidos por el proveedor para el mercado específico. Incluye las funciones actuales del producto o servicio, su calidad, características, competencias, etc., ofrecidos de forma nativa o a través de acuerdos o asociaciones OEM, tal y como se establece en la definición del mercado y se detalla en los criterios secundarios.

Viabilidad general: la viabilidad abarca la evaluación del estado financiero general de la organización, los logros financieros y prácticos de la unidad de negocio y la probabilidad de que la unidad de negocio específica continúe invirtiendo en el producto y ofreciéndolo, y de que impulse la innovación de la cartera de productos de la organización.

Ejecución de ventas/fijación de precios: capacidades del proveedor en todas las actividades de preventa y la estructura que las soporta. Incluye la gestión de acuerdos, precios y negociación, soporte de preventas y la eficacia general del canal de ventas.

Capacidad de respuesta del mercado/registro: capacidad de respuesta, de cambio de dirección, de flexibilidad y de logro de éxitos competitivos según las oportunidades, la actuación de los competidores y las cambiantes necesidades de los clientes dentro de la dinámica del mercado. Este criterio considera también el historial de la capacidad de respuesta del proveedor.

Ejecución de marketing: claridad, calidad, creatividad y eficacia de los programas diseñados para transmitir el mensaje de la organización para influir en el mercado, promocionar la marca y la organización, mejorar el conocimiento de los productos y establecer una identificación positiva en la mente del comprador entre el producto/la marca y la organización. Esta «cuota mental» puede ejercerse mediante una combinación de publicidad, iniciativas promocionales, liderazgo de opinión, boca a boca y actividades de ventas.

Experiencia del cliente: relaciones, productos y servicios/programas que facilitan a los clientes el éxito con los productos evaluados. Incluye, concretamente, la forma en la que los clientes reciben soporte técnico o soporte de cuenta. También puede incluir herramientas auxiliares, programas de asistencia al cliente (y la calidad de los mismos), disponibilidad de grupos de usuarios, acuerdos de nivel de servicio, etc.

Operaciones: capacidad de la organización de cumplir sus objetivos y compromisos. Entre estos factores, están la calidad de la estructura organizativa, competencias, experiencias, programas, sistemas y otros instrumentos que permiten a la organización operar de forma efectiva y eficiente de manera continuada.

Amplitud de visión

Comprensión del mercado: capacidad del proveedor para entender las necesidades y los deseos de los compradores, y traducirlos en productos y servicios. Los proveedores con mayor claridad de visión son los que escuchan y comprenden las necesidades y los deseos de los compradores, y pueden satisfacerlos o mejorarlos con su propia visión añadida.

Estrategia de marketing: conjunto de mensajes claros y diferenciados, transmitidos coherentemente dentro de la organización y externalizados a través del sitio web, la publicidad, los programas de clientes y las declaraciones de posicionamiento.

Estrategia de ventas: estrategia de ventas de productos a través de la red adecuada para ventas directas e indirectas, marketing, servicios y socios de comunicación que amplían el alcance y la profundidad en el mercado de sus competencias, conocimientos técnicos, tecnologías, servicios y base de clientes.

Estrategia de ofertas (de productos): enfoque del proveedor sobre el desarrollo del producto y su venta, con énfasis en la diferenciación, funcionalidad, metodología y conjuntos de funciones en la medida en que satisfacen requisitos actuales y futuros.

Modelo de negocio: solidez y lógica de la propuesta de negocio subyacente del proveedor.

Estrategia del sector/mercado vertical: estrategia del proveedor para dirigir sus recursos, competencias y ofertas a la satisfacción de las necesidades específicas de sectores concretos del mercado, como los verticales.

Innovación: diseños directos, relacionados, complementarios y sinérgicos de recursos, conocimientos técnicos y capital para inversión, consolidación o propósitos defensivos o preventivos.

Estrategia geográfica: estrategia del proveedor para los recursos directos, capacidades y ofertas para cubrir las necesidades de áreas geográficas fuera de la suya, ya sea directamente o a través de socios, canales y subsidiarias, según sea apropiado para tal mercado y zona geográfica.

© 2024 Gartner, Inc. and/or its affiliates. All rights reserved. Gartner is a registered trademark of Gartner, Inc. and its affiliates. This publication may not be reproduced or distributed in any form without Gartner's prior written permission. It consists of the opinions of Gartner's research organization, which should not be construed as statements of fact. While the information contained in this publication has been obtained from sources believed to be reliable, Gartner disclaims all warranties as to the accuracy, completeness or adequacy of such information. Although Gartner research may address legal and financial issues, Gartner does not provide legal or investment advice and its research should not be construed or used as such. Your access and use of this publication are governed by Gartner’s Usage Policy. Gartner prides itself on its reputation for independence and objectivity. Its research is produced independently by its research organization without input or influence from any third party. For further information, see "Guiding Principles on Independence and Objectivity." Gartner research may not be used as input into or for the training or development of generative artificial intelligence, machine learning, algorithms, software, or related technologies.

La investigación de Gartner presente en este documento se ha traducido de su original en inglés al idioma anterior/aquí presente. Gartner ha realizado todos los esfuerzos comerciales razonables para garantizar que la traducción sea lo más precisa y completa posible. Sin embargo, al igual que con todas las traducciones, es inevitable que pueda surgir algún grado de discrepancia. En caso de discrepancia, respecto al contenido o la intención, siempre prevalecerá el significado que se establece en el documento original en inglés.

Magic Quadrant para Gestión de acceso

Explore the Interactive Version

This Magic Quadrant is related to other research:

Supuesto de planificación estratégica

Definición/descripción del mercado

Magic Quadrant

Puntos fuertes y débiles del proveedor

CyberArk

Entrust

ForgeRock

IBM

Microsoft

Okta

One Identity (OneLogin)

OpenText

Oracle

Ping Identity

Thales

Proveedores añadidos y suprimidos

Añadidos

Suprimidos

Criterios de inclusión y exclusión

Menciones de honor

Proveedores que cubren todos los casos de uso de AM evaluados

Proveedores que cubren solo CIAM

Proveedores de plataformas en la nube

Criterios de evaluación

Capacidad de ejecución

Tabla 1: Criterio de evaluación de la capacidad de ejecución

Amplitud de visión

Tabla 2: Criterios de evaluación de la amplitud de visión

Descripción de los cuadrantes

Líderes

Challengers

Visionarios

Especialistas

Contexto

La AM para personal está madura, la CIAM está creciendo

La AM está evolucionando sus capacidades de B2B

AM sigue siendo objeto de ataque

La convergencia y consolidación de proveedores de IAM ofrecen un poco de todo.

Un soporte eficaz de clave de acceso necesita más que solo WebAuthn

A menudo, OAuth 2.0 no es suficiente para todos los casos de uso de autorización

Panorama del mercado

Evidencias

Nota 1: Lo que debe saber

Precios

Resiliencia

Casos de uso de personal frente a CIAM

Claves de acceso

Orquestación

Verificación de identidad

Definición de los criterios de evaluación

Capacidad de ejecución

Amplitud de visión

Switching to Simplified Site