O gerenciamento de acesso e identidade, ou IAM, é a disciplina de segurança que permite às entidades certas (pessoas ou coisas) usar os recursos certos (aplicativos ou dados) quando for necessário, sem interferência, utilizar os dispositivos que desejar usar. O IAM é composto por sistemas e processos que permitem aos administradores de TI designar uma única identidade digital acessar para cada entidade, autenticá-los quando efetuarem login, autorizá-los a acessar os recursos especificados e monitorar e gerenciar essas identidades durante todo o ciclo de vida.
O IAM não é mais usado apenas por funcionários. As organizações devem ser capazes de fornecer acesso seguro para contratados e parceiros de negócios, usuários móveis e remotos e clientes. Com a transformação digital, as identidades também são designadas para dispositivos de Internet das Coisas (IoT), robôs e partes de código, como APIs ou microsserviços. Os ambientes de TI de multicloud híbrida e as soluções de software como serviço (SaaS) tornam o cenário de IAM ainda mais complexo.
Por estar posicionado entre os usuários e os ativos corporativos mais críticos, o gerenciamento de acesso e identidade é um componente crítico de qualquer de segurança corporativa. Ele ajuda a proteger contra as credenciais comprometidas usuário e senhas que podem ser quebradas facilmente que são pontos comuns de entrada de redes para hackers criminosos que desejam inserir ransomware ou roubar dados.
Se for implementado corretamente, o IAM ajuda a assegurar a produtividade de negócios e o funcionamento sem atritos de sistemas digitais. Os funcionários podem trabalhar continuamente não importa onde estejam, enquanto o gerenciamento centralizado garante que eles acessem os recursos específicos necessários para realizar seu trabalho. E abrir os sistemas aos clientes, contratados e fornecedores pode aumentar a eficiência e a reduzir os custos.
Uma tarefa importante dos sistemas IAM é autenticar uma entidade para assegurar que é quem ou o que se propõe a ser. A autenticação mais básica acontece quando uma pessoa insere um nome do usuário e senha em uma tela de login. O sistema de IAM verifica um banco de dados para garantir a sua correspondência ao que está no registro. Soluções modernas de autenticação oferecem abordagens mais sofisticadas para proteger melhor os ativos.
Autenticação vs autorização
Um usuário é verificado por um sistema, que precisa saber a quais informações esse usuário tem acesso ou autorização para visualizar.
As soluções de conexão única (SSO) aumentam a produtividade e reduzem a complexidade para os usuários. Com um conjunto de credenciais de login (nome do usuário e senha) inseridos uma vez, uma pessoa pode acessar diversos aplicativos, alternando entre eles sem problemas.
A autenticação multifator (MFA) adiciona outra camada de proteção exigindo que os usuários apresentem duas ou mais credenciais de identificação além de um nome de usuário para obter acesso aos aplicativos. Por exemplo, pode ser solicitado que você insira uma senha e um código provisório enviado por e-mail ou mensagem de texto.
Conhecido também como autenticação adaptativa, uma solução de autenticação baseada risco solicita ao usuário a autenticação MFA somente quando detecta a presença de um risco mais alto. Isso pode ocorrer, por exemplo, quando a localização do usuário é diferente do esperado, com base no endereço IP, ou um malware é detectado.
A verdadeira segurança de dados não é possível sem um sistema para controlar a identidade e o acesso. Quando implementadas corretamente, as soluções de IAM podem aumentar a produtividade entre os trabalhadores, permitindo acessar dados em múltiplos aplicativos, locais e dispositivos. Permite também maior colaboração com outras organizações, fornecedores e parceiros de negócios.
A melhor abordagem para implementar uma solução de IAM é realizar uma auditoria do sistema existente e legado. Identifique lacunas e oportunidades e colabore com os stakeholders desde o início e com frequência. Mapeie todos os tipos de usuário e cenários de acesso e definir um conjunto de objetivos principais que a solução de IAM deve atender.
Além de designar as identidades digitais e os métodos de autorização, os administradores de TI precisam de uma forma de conceder direitos de acesso e privilégios à cada entidade. As melhores práticas atuais de gerenciamento de acesso são de "menor privilégio". Isso significa atribuir direitos de acesso a cada entidade ou aplicativo apenas aos recursos necessários para concluir uma tarefa ou atividade e pelo mínimo de tempo necessário.
- Gerenciamento de acesso privilegiado (PAM)
O acesso privilegiado é reservado aos usuários como admins ou equipe DevOps que gerencia ou faz alterações em aplicativos, bancos de dados, sistemas ou servidores. Qualquer dano a essas credenciais pode facilmente se transformar em um caso de piores cenários. As soluções PAM isolam essas contas e monitoram a atividade para evitar o roubo de credenciais ou o uso indevido de privilégios.
- Gerenciamento de acesso baseado em função (RBAC)
A atribuição aos privilégios de acesso com base no cargo ou na função de um usuário em uma organização pode simplificar o gerenciamento de acesso. Em vez de atribuir privilégios de acesso separadamente, os administradores podem controlar o acesso de acordo com os requisitos do cargo ou do nível do cargo. Além disso, os controles de RBAC podem especificar se uma classe de usuário pode visualizar, criar ou modificar arquivos.
Mais informações sobre gerenciamento de acesso baseado em função
O processo ou framework de coleta e análise de dados de identidade em uma organização é chamado de controle de identidade. Um programa robusto de controle de identidade pode ajudar a cumprir os requisitos regulamentares e a controlar os riscos da sua organização.
IAM e IA
A inteligência artificial (IA) está desempenhando um papel cada vez mais transformacional no gerenciamento de acesso e identidade, permitindo que as organizações adotem uma abordagem mais granular e adaptativa de autenticação e gerenciamento de acesso. A IA também é essencial para a análise de comportamento do usuário e da entidade (UEBA) a fim de identificar atividades suspeitas. Indícios como logins maliciosos, grandes números de tentativas de login em um curto período, localizações desconhecidas, dispositivos não reconhecidos e se um usuário está ou não na rede privada virtual (VPN) da empresa podem ser sinais de atividade maliciosa. A IA pode sinalizar esses indícios e encaminhá-los para investigação em tempo real ou quase real a fim de impedir tentativas de hackeamento.
IAM, cloud e IDaaS
IAM a partir da cloud: identidade como serviço (IDaaS) e serviços gerenciados de identidade.
Um número crescente de fornecedores está oferecendo serviços de gerenciamento de acesso e identidade serviços na cloud. A abordagem é conhecida como Idenditade como Serviço (IDaaS) e pode ser uma solução independente ou complementar às existentes de sistemas IAM locais. Com os serviços gerenciados de identidade, como outras soluções de serviços gerenciados de segurança, um provedor de segurança poderá monitorar e gerenciar as soluções de IAM da empresa em execução na cloud ou no local.
IAM para a cloud.
Atualmente, as empresas têm aplicativos e dados no local, em sistemas tradicionais e clouds privadas, assim como em um ou mais ambientes de cloud pública. O desafio é gerenciar o acesso do usuário aos recursos onde quer que estejam, da forma mais transparente possível. O ideal é implementar um sistema gerenciamento de acesso e identidade que possa suportar o SSO e a MFA em ambientes híbridos de multicloud.
IAM e BYOD
No mundo atual de alta mobilidade, em que os funcionários desejam a liberdade de trabalhar a partir de qualquer lugar usando seus telefones celulares, tablets, notebooks ou dispositivos portáteis, as organizações estão adotando programas Bring your own device (BYOD) para colocar isso em prática. O IAM combinado às plataformas de gerenciamento de terminal unificado podem ajudar as organizações a adotar a mobilidade e o BYOD com segurança.
IAM e IoT
Essa é uma história bem conhecida. Um hacker danificou um termômetro inteligente de um aquário, obteve acesso à rede corporativa e roubou dados do cliente. A mesma coisa aconteceu com câmeras de CFTV conectadas à rede. O principal aprendizado é que praticamente qualquer dispositivo Internet das Coisas (IoT) pode ser hackeado e, sem gerenciamento de acesso, a rede estará vulnerável aos hackers. As soluções atuais de IAM controlam os dispositivos IoT como entidades que devem ser identificadas e autorizadas antes do acesso à rede.
Com o trabalho remoto se tornando mais frequente e o uso dos dispositivos móveis se disseminando ainda mais, a área de gerenciamento de acesso e identidade tem se expandido a passos largos. Redes desprotegidas e combinadas às expectativas de usuários sem precedentes introduzem um fluxo de conexões de novos dispositivos, um grande volume de solicitações de acesso remoto a informações confidenciais e a ameaça iminente de phishing e outros ataques baseados na web à medida que os usuários acessam sites não autorizados.
A inteligência artificial (IA) é fundamental para o futuro do IAM porque tem a capacidade de reconhecer padrões e expandir o conhecimento exponencialmente, no mesmo ritmo de surgimento dos riscos.
Com a autenticação contínua, o contexto de um usuário é avaliado constantemente a cada interação. A IA pode analisar micro-interações considerando o horário, local e até mesmo o movimento do usuário, calculando o nível de risco potencial a cada ponto. Os softwares antivírus de nova geração, o firewall baseado em host e/ou a detecção e resposta para terminais (EDR) continuará a evoluir e agregará ainda mais segurança nas organizações.
Conecte com segurança cada usuário ao nível ideal de acesso.
Desenvolva o IAM em cloud com contexto profundo para autenticação com base em risco para permitir acesso sem atritos e seguro para seus consumidores e a força de trabalho.
Modernize seu gerenciamento de identidade e controle com a análise de identidade para alcançar um futuro mais seguro.
Reduza o risco de ataques cibernéticos e proteja os negócios digitais com o gerenciamento de acesso privilegiado, o controle de aplicativos e a segurança de privilégio de terminal.
Crie experiências digitais de gerenciamento de acesso e identidade do consumidor que sejam envolventes, seguras e modernas.
Gerenciamento de acesso robusto com conexão direta ao Verify SaaS para possibilitar uma abordagem de IAM híbrida e simplificar uma migração gradual para IDaaS.
Entenda o risco de ciberataques com uma visão geral do cenário de ameaças.
Fique por dentro das tendências e notícias mais recentes sobre segurança.
Participe dos próximos eventos ou webinars.
Desenvolva suas habilidades com os tutoriais de segurança sem custo.
O relatório "Custo de uma violação de dados" discute o impacto financeiro e as medidas de segurança que podem ajudar sua organização a evitar uma violação de dados ou, no caso de uma, mitigar os custos.
Saiba por que o escritório do CIO da IBM recorreu ao IBM Security Verify para autenticação digital de última geração para sua força de trabalho e clientes.
Veja como o Commercial International Bank modernizou sua segurança digital com soluções e consultoria IBM Security para criar um ambiente de alta segurança para a organização.