As soluções de gerenciamento de acesso são usadas pelas empresas para autenticar, autorizar e auditar o acesso a aplicativos e sistemas de TI. Eles são frequentemente fornecidos como um componente de uma solução de gerenciamento de identidade e acesso (IAM), ajudando a aumentar a segurança e diminuir o risco ao gerenciar de perto o acesso a aplicativos, serviços e infraestrutura de TI locais e baseados em nuvem. Eles também ajudam a garantir que os usuários apropriados tenham acesso aos recursos apropriados nos momentos apropriados e pelos motivos apropriados. Esta postagem de blog explicará o gerenciamento de acesso em detalhes, incluindo o preço do gerenciamento de acesso privilegiado.
O que é gerenciamento de acesso?
O gerenciamento de acesso é o processo de identificação, rastreamento, regulamentação e gerenciamento do acesso de usuários permitidos ou especificados a um sistema, aplicativo ou qualquer instância de TI.
É uma noção abrangente que inclui todas as regras, métodos, metodologias e tecnologias usadas para manter os direitos de acesso em um ambiente de TI seguro.
O gerenciamento de acesso é essencialmente um procedimento de segurança da informação, TI e governança de dados que permite o acesso de usuários válidos enquanto proíbe usuários inválidos. O AM é normalmente usado em conjunto com o gerenciamento de acesso à identidade (IAM). AM garante que essas funções e políticas sejam obedecidas, enquanto o gerenciamento de identidade desenvolve, fornece e regula vários usuários, funções, grupos e políticas. Um aplicativo/sistema baseado em AM salva as várias funções e perfis do usuário e, em seguida, processa as solicitações de acesso do usuário com base nos dados/perfil/funções.
Identidade e Acesso Gestão
O gerenciamento de identidade e acesso (IAM) é uma disciplina de segurança cibernética que se concentra no gerenciamento de identidades de usuários e direitos de acesso à rede. Embora as políticas, processos e tecnologias de IAM variem de empresa para empresa, o objetivo de qualquer iniciativa de IAM é garantir que os usuários e dispositivos certos tenham acesso aos recursos certos, no momento certo e pelos motivos certos.
O IAM pode ajudar a simplificar o controle de acesso em configurações complexas de várias nuvens. As redes corporativas agora estão vinculadas a software e fontes de dados locais, remotos e baseados em nuvem (SaaS). Usuários humanos (trabalhadores, clientes, contratados) e usuários não humanos (bots, dispositivos IoT, cargas de trabalho automatizadas, APIs) exigem acesso a esses recursos por vários motivos.
Os sistemas IAM permitem que as empresas emitam uma única identidade digital para cada usuário e determinem os privilégios de acesso para cada usuário. Como resultado, apenas usuários autorizados têm acesso aos recursos da empresa e só podem usar esses recursos da maneira permitida pela organização.
Como o IAM opera
Em sua essência, o IAM se esforça para manter os hackers afastados enquanto permite que os usuários autorizados simplesmente executem tudo o que precisam sem exceder suas permissões.
A rede de cada empresa é única, assim como as políticas, processos e ferramentas usadas para desenvolver um sistema de gerenciamento de acesso e identidade. Dito isso, a maioria, se não todas, as implementações de IAM abrangem quatro funções principais:
#1. Gerenciamento do ciclo de vida da identidade
O processo de desenvolvimento e manutenção de uma identidade digital para cada entidade humana ou não humana em uma rede é conhecido como gerenciamento do ciclo de vida da identidade.
Uma identidade digital informa a rede sobre quem ou o que cada entidade é e o que ela tem permissão para realizar na rede. A identificação geralmente contém informações básicas da conta do usuário — nome, número de identificação, credenciais de login e assim por diante —, bem como informações sobre a função organizacional da entidade, deveres e direitos de acesso.
Os processos de integração de novas entidades, atualização de suas contas e permissões ao longo do tempo e exclusão ou desprovisionamento de usuários que não precisam mais de acesso fazem parte do gerenciamento do ciclo de vida da identidade.
#2. Controle de acesso
Conforme declarado anteriormente, cada identidade digital possui níveis variados de acesso aos recursos de rede com base nas restrições de acesso da empresa. Um consumidor só pode ter acesso à sua conta pessoal e dados em uma plataforma de nuvem. Os funcionários podem ter acesso a bancos de dados de clientes, bem como ferramentas internas, como portais de RH. Um administrador de sistema pode ter acesso e alterar tudo na rede, incluindo contas de clientes e funcionários, serviços internos e externos e equipamentos de rede, como switches e roteadores.
Para criar e impor regulamentações de acesso, muitos sistemas IAM empregam controle de acesso baseado em função (RBAC). Os privilégios de cada usuário no RBAC são determinados por sua função ou cargo. Suponha que uma empresa esteja configurando permissões de acesso ao firewall de rede. É improvável que um representante de vendas tenha acesso porque sua profissão não exige isso. Um analista de segurança júnior pode visualizar, mas não alterar as configurações do firewall. O CISO teria toda a autoridade administrativa. Uma API que conecta o SIEM da empresa ao firewall pode ler os logs de atividade do firewall, mas não ver mais nada.
#3. Autenticação e autorização
Os sistemas IAM fazem mais do que apenas gerar identidades e emitir permissões; eles também auxiliam na imposição dessas permissões por meio de autenticação e autorização.
Autenticação é o processo pelo qual os usuários demonstram que são quem dizem ser. Quando um usuário busca acesso a um recurso, o sistema IAM compara suas credenciais com aquelas armazenadas no diretório. O acesso é concedido se eles corresponderem.
Embora uma combinação de nome de usuário/senha forneça um nível básico de autenticação, a maioria das estruturas de gerenciamento de identidade e acesso hoje emprega camadas adicionais de autenticação para fornecer segurança adicional contra ameaças cibernéticas.
Autenticação multifatorial.
Os usuários devem enviar dois ou mais fatores de autenticação para provar suas identidades ao usar a autenticação multifator (MFA). Um código de segurança fornecido ao telefone do usuário, uma chave de segurança física ou dados biométricos, como impressões digitais, são fatores comuns.
SSO (logon único)
O SSO permite que os usuários acessem vários aplicativos e serviços com um único conjunto de credenciais de login. O portal SSO verifica a identidade do usuário e gera um certificado ou token que serve como chave de segurança para outros recursos. Muitos sistemas SSO usam protocolos abertos, como Security Assertion Markup Language (SAML) para permitir que provedores de serviços compartilhem chaves livremente.
Identificação adaptável
Quando o risco muda, a autenticação adaptável, também conhecida como “autenticação baseada em risco”, altera os requisitos de autenticação em tempo real. Um usuário pode precisar apenas enviar um nome de usuário e senha ao fazer check-in em seu dispositivo normal. Se o mesmo usuário fizer login em um dispositivo não confiável ou tentar ver informações confidenciais, podem ser necessários fatores de autenticação adicionais.
O sistema IAM verifica o diretório para os privilégios de acesso de um usuário depois que eles são autenticados. O sistema IAM então autoriza o usuário a acessar e concluir apenas as tarefas permitidas por suas permissões.
#4. Gerenciamento de identidade
O processo de rastrear o que as pessoas fazem com o acesso a recursos é conhecido como gerenciamento de identidade. Os sistemas IAM ficam de olho nos usuários para garantir que eles não estejam abusando de seus privilégios e para capturar qualquer hacker que tenha entrado na rede.
O gerenciamento de identidade também é essencial para a conformidade regulamentar. As empresas podem utilizar dados de atividade para garantir que seus controles de acesso estejam de acordo com os padrões de segurança de dados, como o Regulamento Geral de Proteção de Dados (GDPR) ou o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI-DSS).
Gerenciamento de Acesso Privilegiado (PAM)
Privileged Access Management (PAM) é um método de segurança da informação (infosec) que protege identidades com acesso exclusivo ou recursos acima e além daqueles de usuários comuns. A segurança do PAM, como todas as outras soluções de segurança da informação, depende de uma combinação de pessoas, processos e tecnologia.
Tomamos precauções extras com contas privilegiadas devido ao risco que representam para o ambiente técnico. Por exemplo, se as credenciais de um administrador ou conta de serviço forem comprometidas, os sistemas da organização e os dados confidenciais podem ser comprometidos.
Quando os agentes de ameaças comprometem contas de acesso privilegiado, ocorrem violações de dados. Como essas contas contêm as chaves que abrem todas as portas em um ambiente tecnológico, devemos adicionar camadas adicionais de segurança. Um sistema de gerenciamento de acesso privilegiado fornece essa segurança extra.
O que é acesso privilegiado?
Em um contexto tecnológico, o acesso privilegiado refere-se a contas com recursos maiores do que os usuários comuns. Em um ambiente Linux, por exemplo, o usuário raiz pode adicionar, editar ou excluir usuários; instalar e desinstalar software; e acessar seções restritas de sistemas operacionais que um usuário comum não pode. Os ambientes Windows têm um modelo de segurança semelhante, mas o usuário root é chamado de administrador.
Qual é o processo de gerenciamento de acesso privilegiado?
Privileged Access Management, como dito anteriormente, é uma combinação de pessoas, processos e tecnologia. Identificar quais contas têm acesso privilegiado é, portanto, o primeiro passo para instalar uma solução PAM. Em seguida, a empresa deve decidir quais políticas serão aplicadas a essas contas.
Eles podem, por exemplo, estipular que as contas de serviço devem atualizar suas senhas sempre que um usuário acessar suas credenciais salvas. A imposição da autenticação multifator (MFA) para todos os administradores de sistema é outro exemplo. Outro regulamento que a corporação pode optar por aplicar é manter um registro completo de todas as sessões privilegiadas. Cada processo deve idealmente estar alinhado com um risco específico. Por exemplo, exigir uma alteração de senha para contas de serviço reduz a chance de um ataque interno. Da mesma forma, manter um log de todas as sessões privilegiadas permite que os administradores de segurança identifiquem quaisquer anomalias, e aplicar o MFA é uma solução testada e comprovada para evitar ataques relacionados a senhas.
Depois de concluir a etapa de descoberta de encontrar contas privilegiadas e finalizar suas políticas de PAM, a empresa pode instalar uma plataforma de tecnologia para monitorar e aplicar seu Privileged Access Management. Esta solução PAM automatiza as regras da organização e fornece uma plataforma para administradores de segurança gerenciarem e monitorarem contas privilegiadas.
Qual a importância do PAM?
As contas privilegiadas oferecem um grande risco para a corporação, portanto, o gerenciamento de acesso privilegiado é fundamental em qualquer organização. Por exemplo, se um agente de ameaça comprometer uma conta de usuário comum, ele só terá acesso às informações desse usuário específico. Se conseguirem comprometer um usuário privilegiado, terão significativamente mais acesso e, dependendo da conta, podem até danificar os sistemas.
Por causa de sua posição e perfil, os fraudadores visam contas privilegiadas para atacar empresas inteiras em vez de um único indivíduo. Com a previsão da Forrester de que contas privilegiadas estão envolvidas em 80% das violações de segurança, proteger e monitorar essas identidades organizacionais fundamentais é fundamental. Uma solução PAM, por exemplo, pode resolver falhas de segurança, como várias pessoas acessando e conhecendo a mesma senha administrativa para um serviço específico. Também reduz o perigo de os administradores se recusarem a alterar senhas estáticas antigas por medo de causar uma interrupção imprevista.
O PAM gerencia componentes importantes de acesso seguro e agiliza a criação de contas de usuário administrador, recursos de acesso elevado e configuração de aplicativos em nuvem. O PAM diminui a superfície de ataque de uma organização em redes, servidores e identidades em termos de segurança de TI. Também reduz a probabilidade de violações de dados causadas por ameaças internas e externas de segurança cibernética.
Preços de gerenciamento de acesso privilegiado
Um sistema de gerenciamento de acesso privilegiado (PAM) custa mais do que apenas taxas de licença. Embora possa ser tentador focar apenas nos custos iniciais, avaliar o preço do gerenciamento de acesso privilegiado requer a consideração de outros fatores para determinar se a solução fornecerá um verdadeiro retorno sobre o investimento (ROI) ou causará mais problemas do que soluções.
É por isso que, além de considerar os custos de gerenciamento de acesso privilegiado, as empresas devem determinar que tipo de ROI receberiam ao selecionar um sistema PAM. Uma calculadora de ROI pode ajudá-los a determinar os tipos de retornos viáveis para as equipes de DevOps/Engenharia, equipes de segurança e para a empresa.
Quanto custa uma solução PAM?
As soluções de gerenciamento de acesso privilegiado (PAM) custam US$ 70 por usuário a cada mês. Isso inclui auditoria e integrações para todos os bancos de dados, servidores, clusters, aplicativos da web e nuvens. Também não há medição, limitações de dados ou custos de serviços profissionais.
Qual é o papel do gerenciamento de acesso?
O gerenciamento de acesso garante que uma pessoa receba o nível exato e o tipo de acesso a uma ferramenta à qual ela tem direito.
Quais habilidades você precisa para gerenciamento de acesso?
- Boa compreensão e conhecimento de segurança de aplicativos.
- Alguma compreensão e/ou experiência com sistemas de controle de acesso baseados em função.
- Excelente comunicação oral e escrita, habilidades interpessoais, organizacionais e de gerenciamento de tempo.
- Forte capacidade de transmitir e explicar aos outros questões técnicas complicadas, problemas e soluções alternativas.
- Bons conhecimentos ou experiência de trabalho com sistemas ERP em uma instituição de ensino superior ou órgão governamental.
- São necessárias habilidades analíticas e de solução de problemas com problemas e tarefas técnicas complicadas.
- Conhecimento ou experiência como administrador de identidade em um ambiente de desenvolvimento de software lidando com um sistema ERP é preferencial.
- Forte conhecimento ou experiência com regulamentos estaduais e federais de gerenciamento de identidade.
- Saber quando as medidas de controle de acesso baseadas em função podem ser utilizadas para fornecer acesso.
- Capacidade de identificar quando registrar um caso no centro de suporte técnico do fornecedor e/ou quando encaminhar um problema existente.
- Capacidade de decidir se deve escalar ou aplicar níveis específicos de mitigação de risco.
Artigos Relacionados
- EMPATIA: Falta de sinais de empatia e como desenvolvê-la
- SISTEMA DE GESTÃO DE IDENTIDADE
- FERRAMENTAS DE GERENCIAMENTO DE IDENTIDADE E ACESSO: Definições, melhores e gratuitas ferramentas de identidade e acesso
- Gerenciamento de acesso privilegiado: como funciona
Referências
