Definição de Gerenciamento de Identidade e Acesso
O gerenciamento de identidade e acesso (IAM) é uma disciplina de negócios e segurança que permite que as pessoas, software e hardware certos, conforme apropriado para funções e funcionalidades de trabalho, tenham acesso às ferramentas necessárias para executar as tarefas atribuídas, sem que lhes seja concedido também o acesso àquelas que não são necessárias e/ou apresentam um risco de segurança para a empresa. As organizações que utilizam o IAM podem simplificar as operações gerenciando identidades sem exigir que as pessoas façam login em aplicativos como administradores.
O gerenciamento de identidade e acesso é uma iniciativa vital para qualquer empresa, pois apoia a necessidade crucial de permitir o acesso apropriado a ferramentas e recursos em ecossistemas tecnológicos cada vez mais diversificados e de cumprir os regulamentos de privacidade e segurança, que mudam constantemente. O IAM afeta muitos aspectos da empresa, não apenas a TI, e requer planejamento estratégico de negócios, além de recursos técnicos especializados.
Conceitos de IAM
O núcleo do gerenciamento de identidade e acesso é, obviamente, a identidade. O objetivo do IAM é atribuir uma identidade digital por pessoa ou outra entidade, que deve ser controlada, gerenciada e suportada durante todo o seu ciclo de vida.
Outro conceito importante é o de recurso digital, definido como qualquer combinação de dados e aplicativos, como software, bancos de dados, interfaces de programação de aplicativos (APIs), dispositivos e muito mais, em um sistema de computadores.
Quando um membro da equipe, cliente, dispositivo, robô ou qualquer outra entidade com uma identidade precisa de acesso aos recursos de uma organização, o gerenciamento de identidade e acesso confirma a identidade e controla o respectivo acesso ao recurso digital.
Terminologia de IAM
Antes de mergulhar em uma discussão profunda sobre gerenciamento de identidade e acesso, é útil conhecer breves definições de termos correlatos como estes:
- Gerenciamento de acesso: o gerenciamento de acesso é definido como as práticas e ferramentas que monitoram e gerenciam o acesso à rede. As soluções de gerenciamento de identidade, sejam elas locais ou baseadas em nuvem, geralmente incluem recursos como autenticação, autorização e auditoria de confiança e segurança.
- Active directory (AD): o AD, um serviço de diretório de identidade de usuário, é um produto proprietário da Microsoft amplamente disponível por meio do sistema operacional Windows Server. As integrações permitem que o acesso seja provisionado e desprovisionado sem interrupções, o que diminui a carga de trabalho da equipe de TI.
- Autenticação biométrica: esse método de segurança usa características exclusivas, como impressões digitais, retinas e recursos faciais para autenticar os usuários.
- Gerenciamento de direitos de infraestrutura de nuvem (CIEM): o CIEM é o processo de gerenciamento de identidades e acesso em ambientes de infraestrutura de nuvem cada vez mais complexos. É utilizada uma abordagem de privilégio mínimo para garantir que os usuários tenham acesso apenas aos recursos de que precisam e apenas pelo tempo que precisam deles.
- Desprovisionamento: o desprovisionamento é o ato de remover o acesso do usuário a aplicativos, sistemas e dados dentro de uma rede.
- Identidade digital: uma identidade digital consiste em atributos do usuário (como nome, número de identificação oficial, endereço de e-mail, biometria e outras informações de identificação pessoal) e atividade digital e padrões de comportamento (como histórico de navegação, downloads e sistema operacional).
- Identity and access management (IAM): o IAM é uma disciplina especializada em segurança cibernética concebida para garantir que apenas as pessoas certas possam acessar os dados e recursos apropriados, nos momentos certos e pelos motivos certos.
- Identidade como Serviço (IDaaS): o IDaaS é um modelo de entrega de aplicativos que permite que os usuários se conectem e usem os serviços de gerenciamento de identidade a partir da nuvem.
- Governança de identidade: a governança de identidade é o ato de usar software e sistemas de TI para gerenciar o acesso do usuário e a conformidade.
- Provisionamento de identidade: o provisionamento de identidade é um componente-chave da estrutura de governança de identidade que gerencia as contas de usuário e garante que os usuários tenham acesso aos recursos certos e os usem adequadamente.
- Autenticação multifator (MFA): a MFA é uma ferramenta de gerenciamento de acesso que combina dois ou mais mecanismos de segurança para acessar recursos de TI, inclusive aplicativos e dispositivos.
- Princípio do privilégio mínimo: para proteger dados e aplicativos, o acesso só é concedido a uma identidade pelo período mínimo necessário e com permissão apenas aos recursos necessários para executar a tarefa.
- Gerenciamento de acesso privilegiado (PAM): o acesso privilegiado é limitado a usuários como administradores, que devem ter acesso a aplicativos, sistemas ou servidores para implementação, manutenção e atualizações. Como as violações dessas credenciais podem ser catastróficas para a empresa, as ferramentas de PAM separam essas contas de usuário de outras e acompanham de perto as atividades associadas a elas.
- Controle de acesso baseado em funções (RBAC): o RBAC permite que a empresa crie e imponha acesso avançado atribuindo um conjunto de permissões. As permissões são baseadas no nível de acesso exigido por categorias de usuários específicas para desempenhar suas funções. Em outras palavras, pessoas diferentes na organização podem ter níveis e tipos de privilégios de acesso completamente diferentes com base apenas em fatores como suas funções e responsabilidades de trabalho.
- Separação de funções (SoD): também conhecida como segregação de funções, a separação de funções é um princípio de segurança usado pelas organizações para evitar erros e fraudes. Esse controle interno usa o RBAC para evitar erros.
- Logon único (SSO): o SSO é um serviço de autenticação que permite que um usuário acesse vários aplicativos e sites usando um conjunto de credenciais.
- Autenticação do usuário: uma tarefa fundamental dos sistemas IAM é validar se uma identidade é quem ou o que ela afirma ser ao fazer login e utilizar aplicativos e dados. A maioria das pessoas está familiarizada com a autenticação tradicional que ocorre quando um usuário insere um nome de usuário e senha em uma tela de login; as soluções modernas de autenticação do usuário e as do futuro utilizam inteligência artificial e outros avanços técnicos para melhorar a proteção dos ativos organizacionais.
Autenticação x autorização
Autenticação e autorização são termos frequentemente usados de forma intercambiável, mas são processos separados usados para proteger a empresa contra ataques cibernéticos.
A autenticação é o processo de verificação de uma identidade; a autorização é o processo de validação de aplicativos, arquivos e dados específicos que o usuário pode acessar.
A autenticação é realizada por meio de senhas, números de identificação pessoal únicos, informações biométricas e outras informações fornecidas pelo usuário; a autorização é realizada por meio de configurações implementadas e mantidas pela organização.
Por que a empresa precisa de gerenciamento de identidade e acesso
Por que o IAM é importante?
A empresa precisa do IAM para dar suporte à segurança e conformidade, além de melhorar a produtividade organizacional. Isso se aplica não apenas a recursos humanos, mas a qualquer entidade à qual uma identidade é atribuída como, por exemplo, dispositivos de internet das coisas (IoT) e interfaces de programação de aplicativos (APIs). A proliferação de tipos de dispositivos e locais a partir dos quais aplicativos e dados são acessados também acentua a importância do gerenciamento de identidade e acesso.
O gerenciamento de identidade e acesso permite que a empresa gerencie o acesso com base em grupos ou funções, em vez de individualmente, simplificando muito as operações de TI e permitindo que os profissionais de TI se concentrem em projetos não automatizados que exigem sua experiência e atenção. Os membros da equipe também apreciam o IAM porque ele oferece acesso às ferramentas de que precisam, minimizando a frustração com as senhas.
No entanto, o gerenciamento de identidade e acesso não é usado apenas para colaboradores, mas para funcionários temporários, parceiros, clientes, robôs e até mesmo segmentos de código, como APIs ou microsserviços. O aumento da eficiência, a redução de custos, a maior produtividade dos negócios e a otimização da funcionalidade dos sistemas técnicos tornam a solução de IAM não apenas importante, mas uma ferramenta essencial para a empresa.
Papel do IAM na segurança
O gerenciamento de identidade e acesso reduz o número de pontos tradicionais de falha de segurança associados a senhas. A empresa é vulnerável não apenas a violações de dados associadas a senhas e informações de recuperação de senhas, mas a fragilidades humanas quando se trata de criar senhas – gerando senhas fáceis de lembrar (e fáceis de descobrir), usando as mesmas senhas em vários aplicativos e sistemas e atualizando senhas com uma pequena alteração em vez de senhas completamente novas e geradas aleatoriamente.
O ecossistema de IAM é ainda mais complexo, e a demanda por segurança é ainda maior, quando se trata de ambientes híbridos multinuvem e soluções de software como serviço (SaaS). A segurança de dados genuína para as organizações de hoje seria impossível sem uma estrutura para gerenciar identidade e acesso.
Um gerenciamento robusto de identidade e acesso exige que a empresa vá além da proteção de uma rede; a organização deve revisar as políticas de acesso que muitas vezes estão desatualizadas, com regras legadas e definições de funções que não evoluíram com o crescimento da empresa. O sistema de IAM também deve se estender além da TI para todas as partes da empresa, com integrações para permitir maior visibilidade e controle.
IAM e conformidade regulatória
A conformidade regulatória é um ambiente que muda com rapidez; além de leis bem conhecidas, como a Lei Geral de Proteção de Dados (LGDP) da União Europeia, a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) e a Lei Sarbanes-Oxley (SOX), muitas outras regiões, países e estados estão promulgando seus próprios regulamentos de privacidade. O gerenciamento de identidade e acesso suporta requisitos rigorosos de segurança de dados e fornece a transparência e a documentação necessárias para permitir a conformidade.
Quando os processos de IAM não estão completos ou são ineficazes, as organizações podem deixar de ter conformidade com os regulamentos governamentais ou os padrões do setor. Mesmo quando o programa de gerenciamento de identidade e acesso está funcionando corretamente, informações incorretas ou deficientes sobre o programa ou como os dados são protegidos podem comprometer uma auditoria.
IAM e “traga seu próprio dispositivo” (BYOD)
As soluções de gerenciamento de identidade e acesso podem melhorar a produtividade dos funcionários, permitindo o acesso não apenas a grandes volumes de dados e vários aplicativos, mas concedendo esse acesso em vários dispositivos e locais. O IAM também facilita a colaboração com parceiros, fornecedores e outros terceiros que apoiam a empresa.
O IAM e a internet das coisas (IoT)
A proliferação de dispositivos IoT oferece muitos benefícios, mas também gera inúmeras preocupações de segurança cibernética. As soluções de gerenciamento de identidade e acesso tratam os dispositivos IoT como identidades que devem ser autenticadas e autorizadas antes de conceder acesso aos recursos digitais da empresa.
Benefícios do IAM
- Automação: a automação de funções de baixo risco concentra a atenção dos especialistas em TI em problemas maiores e em como acelerar os negócios. A empresa pode aumentar a eficácia da equipe de TI e, ao mesmo tempo, reduzir os custos de TI. A integração e a exclusão também podem ser automatizadas para conceder, modificar ou revogar o acesso sem interrupções à medida que os usuários ingressam, mudam de função ou deixam a organização.
- Detecção avançada de anomalias: o IAM usa inteligência artificial para ajudar as organizações a entenderem tendências e anomalias nos dados de acesso para identificar riscos e rastrear a eficácia de seus programas de identidade.
- Estabelecimento da zero trust: a empresa que implementa o gerenciamento de identidade e acesso pode estabelecer um modelo de confiança zero trust que vai além de simples decisões de autenticação e usa um registro de identidade completo e atualizado para cada usuário, garante que os usuários tenham acesso apenas aos recursos de que precisam, quando precisam, e se adapta à medida que as mudanças ocorrem e quando são detectadas novas ameaças.
- Eliminação de senhas fracas: muitas violações de dados são causadas por senhas padrão, usadas com frequência e mal estruturadas. No entanto, a administração de senha coloca um fardo pesado sobre a TI – 40% de todas as chamadas de helpdesk são sobre problemas de senha, e o custo médio de uma chamada de helpdesk para uma redefinição de senha é de 17 dólares. O gerenciamento de senha permite que a empresa use políticas de senha com eficiência para impor requisitos de senha rigorosos e use grupos de sincronização e um dicionário de senha para maior controle.
- Mitigação de ameaças internas: as violações de dados também podem ser causadas por pessoas internas negligentes ou mal-intencionadas, mas confiar exclusivamente na conscientização dos funcionários é insuficiente sem a tecnologia adequada. O gerenciamento de identidade e acesso fecha a lacuna de segurança porque reconhece que muitas identidades além dos funcionários devem ser consideradas internas (por exemplo, funcionários temporários, clientes, parceiros, smartphones, servidores) e que o acoplamento do gerenciamento de identidade de sistemas, aplicativos e arquivos de dados com monitoramento e análise de comportamento pode combater ameaças internas.
- Simplificação da conformidade: o gerenciamento de identidade e acesso ajuda as organizações a governar o acesso, rastrear o uso e aplicar políticas para todos os usuários, aplicativos e dados para automatizar a aplicação dos regulamentos e demonstrar conformidade.
Como funciona o gerenciamento de identidade e acesso
Duas das principais tarefas executadas pelas soluções de IAM são confirmar a identidade e garantir que seja permitido apenas o nível adequado de acesso.
O que o IAM faz
O gerenciamento de identidade e acesso verifica se o usuário, software ou hardware é quem eles dizem ser por meio da validação das respectivas credenciais em um banco de dados. Para garantir que seja concedido apenas o acesso necessário, o IAM permite que a empresa aloque permissões estritas com base em identidades, em vez de permitir acesso amplo por meio de um nome de usuário e senha.
Funções de IAM
As soluções de gerenciamento de identidade e acesso fornecem as seguintes funções:
- Gerenciar identidades de usuário: crie, modifique e exclua usuários, seja individualmente ou integrando-os a outros diretórios. Também podem ser geradas novas identidades para usuários que exigem acesso especializado aos sistemas ou ferramentas da empresa.
- Provisionamento e desprovisionamento de usuários: o provisionamento envolve a identificação das ferramentas e níveis de acesso que serão concedidos a um usuário. Com o IAM, o provisionamento pode ser concedido por função, departamento ou outra categoria de identidade. Esse processo que economiza tempo depende do controle de acesso baseado em função (RBAC) em vez de especificar o acesso a cada recurso por usuário individualmente. Com o RBAC, é atribuída uma ou mais funções aos usuários com base na função de trabalho ou em outros critérios, e o acesso é automaticamente concedido por meio da solução de gerenciamento de identidade e acesso. O IAM também permite que a empresa desconecte rapidamente os usuários conforme necessário para minimizar os riscos de segurança.
- Autenticar usuários: os métodos usados pelas soluções de gerenciamento de identidade e acesso para confirmar as identidades dos usuários incluem autenticação multifator (MFA) e autenticação adaptativa. Como o nome sugere, a autenticação multifator significa que a solução de IAM requer mais de um elemento de prova de identidade. Um exemplo de MFA é exigir uma senha e reconhecimento facial. Com a MFA, os usuários são solicitados a obter credenciais específicas quando tentam acessar ferramentas ou recursos. Com a autenticação adaptativa, o nível de segurança aumenta porque as credenciais solicitadas diferem com base na situação.
- Logon único (SSO): o SSO permite que os usuários confirmem sua identidade por meio de um único portal de IAM que concede acesso a todas as ferramentas às quais têm acesso, em vez de exigir que façam login em vários recursos.
- Auditoria e relatórios: as auditorias no gerenciamento de identidade e acesso permitem que as organizações identifiquem e monitorem bloqueios, erros e comportamentos suspeitos do usuário e tomem as medidas adequadas. Os relatórios da solução de IAM suportam a segurança e a conformidade registrando atividades como horários de entrada e saída dos usuários, quais sistemas e recursos foram acessados e o tipo de autenticação.
Componentes de segurança de identidade
Existem três componentes principais da segurança de identidade:
- Inteligência: a inteligência artificial e o aprendizado de máquina fornecem a visibilidade e a capacidade de detectar e solucionar riscos que permitem que a empresa se antecipe aos problemas.
- Automação: as organizações devem ser capazes de automatizar processos de identidade para descobrir, gerenciar e proteger melhor o acesso dos usuários para que os membros da equipe possam se concentrar em inovação, colaboração e produtividade.
- Integração: as integrações ampliam a capacidade da empresa de incorporar o contexto de identidade em todo o ambiente e controlar de modo centralizado o acesso a todos os dados, aplicativos, sistemas e infraestrutura de nuvem de todos os tipos de identidade.
Gerenciamento de identidade x gerenciamento de acesso
O gerenciamento de identidade e o gerenciamento de acesso estão interrelacionados, mas não são termos intercambiáveis. O gerenciamento de identidade confirma que o usuário é quem ele diz ser e armazena informações sobre o usuário (por exemplo, departamento, supervisor, cargo, subordinados diretos) para servir de base à autenticação.
O gerenciamento de acesso utiliza informações sobre a identidade do usuário para determinar quais aplicativos e dados eles podem acessar, bem como quais ações o usuário pode realizar dentro deles. Por exemplo, muitos usuários podem ter acesso ao software de aquisições da empresa para inserir requisições, mas nem todos os usuários podem aprová-las e nenhum usuário pode aprovar uma requisição própria.
IAM na nuvem x IAM local
Tradicionalmente, o gerenciamento de identidade e acesso era gerenciado “no local” com um servidor no local físico da organização. A migração do IAM do local para a nuvem oferece maior eficiência e reduz os custos para a empresa, diminuindo a necessidade de comprar e manter a infraestrutura local. Outros benefícios do gerenciamento de identidade e acesso na nuvem incluem:
- aumento do tempo de atividade
- sistemas distribuídos e redundantes para melhor confiabilidade e segurança
- acordos de nível de serviço (SLAs) mais curtos
Gerenciamento de identidade e acesso, nuvem e identidade como serviço (IDaaS)
A empresa de hoje se vê desafiada a controlar o acesso do usuário a dados e aplicativos localizados no local, em sistemas convencionais e nuvens privadas e em uma ou mais nuvens públicas. O gerenciamento do acesso do usuário deve ser conduzido da maneira mais tranquila possível, sem sobrecarregar desnecessariamente as equipes de TI.
As soluções de IAM fornecidas via nuvem são cada vez mais comuns. As ferramentas de gerenciamento de identidade e acesso na nuvem oferecem maior segurança e flexibilidade à empresa do que o software convencional de nome de usuário e senha. O IDaaS é oferecido como um produto por si só ou ao acompanhado de plataformas locais de gerenciamento de identidade e acesso.
Tecnologias e ferramentas de gerenciamento de identidade e acesso
As soluções de IAM oferecem aos administradores as tecnologias e ferramentas para modificar as funções do usuário, rastrear atividades, gerar análises e relatórios e implementar políticas. As tecnologias e ferramentas específicas são:
- Gerenciamento de acesso privilegiado: concebido para gerenciar e monitorar o acesso privilegiado a contas e aplicativos, alertando os administradores do sistema para eventos de alto risco
- Provisionamento e desprovisionamento automatizados: a automação facilita a concessão, modificação ou revogação rápida de acesso
- Separação de funções: permite a criação de um conjunto de políticas abrangentes de separação de funções que impõem controles críticos com software que faz a varredura e detecta violações automaticamente
- Gerenciamento de ciclo de vida de identidade: evita provisionamento em excesso que pode expor a empresa a sérios riscos de segurança, sem deixar de fornecer aos membros da equipe acesso rápido à tecnologia para realizar suas tarefas.
- Fluxos de trabalho: remove a complexidade de criar fluxos de trabalho personalizados e reduz a carga de trabalho em equipes por meio da automatização de tarefas repetitivas
Estratégia de implementação de IAM
O gerenciamento de identidade e acesso é uma pedra angular de uma arquitetura de zero trust, portanto, a estratégia de implementação do IAM deve incluir princípios de zero trust, como acesso com menos privilégios e políticas de segurança baseadas em identidade. Uma política de zero trust determina que cada usuário seja constantemente identificado e tenha seu acesso gerenciado, abandonando a postura tradicional de segurança em que, uma vez concedido, o acesso é contínuo e sem nova identificação. Na zero trust, a solução de gerenciamento de identidade e acesso da empresa monitora e protege continuamente as identidades e os pontos de acesso de seus usuários.
Outros princípios fundamentais são:
- Gerenciamento centralizado de identidade: um elemento crucial da zero trust é o gerenciamento do acesso a ferramentas e recursos no nível de identidade, já que uma abordagem centralizada é mais eficiente e organizada.
- Acesso seguro: como mencionado acima, isso geralmente é gerenciado por meio de autenticação multifator ou adaptativa, mas uma abordagem híbrida também pode ser utilizada.
- Controle baseado em políticas: os usuários devem receber as permissões necessárias para desempenhar suas obrigações de trabalho, com base em sua função, departamento ou outros agrupamentos estabelecidos, sem mais acesso do que o necessário.
- Contas privilegiadas: as contas privilegiadas fornecem acesso a dados confidenciais em sistemas, redes e bancos de dados. Por exemplo, as contas privilegiadas podem permitir que os profissionais de TI de uma organização gerenciem seus aplicativos, software e hardware de servidor.
- Treinamento e suporte: o treinamento sobre a solução de gerenciamento de identidade e acesso da empresa ajuda a garantir que a organização receba o máximo valor da plataforma, e o suporte contínuo ajuda a empresa a entender as mudanças tecnológicas e gerenciar as atualizações da solução internamente.
Implementação tática do IAM
Realizar uma auditoria dos sistemas atuais e legados é, muitas vezes, o melhor primeiro passo para a implementação de soluções táticas de gerenciamento de identidade e acesso.
- Identifique as principais partes interessadas e colabore com elas com frequência desde o início da implementação.
- Liste as metas para a solução de IAM e os recursos necessários para alcançá-las.
- Determine oportunidades e desafios categorizando os tipos de usuário e gerando casos de uso.
As ferramentas utilizadas para implementar o gerenciamento de identidade e acesso em uma organização são:
- ferramentas de gerenciamento de senhas
- software de provisionamento
- aplicativos de aplicação da política de segurança
- aplicativos de monitoramento e relatórios
- repositórios de identidade
Desafios de implementação do gerenciamento de identidade e acesso
Os desafios típicos de implementação de IAM são:
- Compreender e gerenciar as expectativas do usuário
- Atender aos requisitos das partes interessadas
- Integrar as normas de conformidade
- Conhecimento e habilidade necessários ao considerar várias fontes de usuários, fatores de autenticação e padrões abertos do setor
- Habilidade para implementar o gerenciamento de identidade e acesso em escala
Padrões de gerenciamento de identidade e acesso
Uma solução de IAM deve ser integrada com muitos outros sistemas para fornecer visibilidade completa do acesso a todos os sistemas, usuários e funções da empresa. Os padrões que as plataformas de gerenciamento de identidade e acesso utilizam para facilitar essas integrações são:
- OAuth 2.0: o OAuth é um protocolo de gerenciamento de identidade de padrões abertos que fornece acesso seguro para sites, aplicativos móveis, Internet das coisas e outros dispositivos. Ele usa tokens criptografados em trânsito e elimina a necessidade de compartilhar credenciais. O OAuth 2.0, o mais recente lançamento do OAuth, é uma estrutura amplamente conhecida usada pelas principais plataformas de mídia social e serviços ao consumidor como Facebook, LinkedIn, Google, PayPal e Netflix.
- OpenID Connect (OIDC): com o lançamento do OpenID Connect (que usa criptografia de chave pública), o OpenID se tornou uma camada de autenticação amplamente adotada para o OAuth. Como o SAML, o OpenID Connect (OIDC) é amplamente utilizado para SSO, mas o OIDC usa REST/JSON em vez de XML. Com o uso de protocolos REST/JSON, o OIDC foi concebido para trabalhar com aplicativos nativos e móveis, ao passo que o principal caso de uso do SAML são aplicativos baseados na Web.
- Lightweight Directory Access Protocol (LDAP): trata-se de um dos mais antigos protocolos de gerenciamento de identidade estabelecidos pelo setor; o LDAP armazena e organiza dados como informações do usuário ou do dispositivo, portanto é fácil de pesquisar. O LDAP é executado acima da pilha TCP/IP para pesquisar o conteúdo do diretório e retransmitir as informações de autenticação e autorização. O LDAP legado não é, por si só, um protocolo seguro porque é baseado em texto simples e as organizações estão migrando para o LDAPS ou LDAP por SSL. O LDAPS permite a criptografia de dados LDAP em trânsito entre o servidor e o cliente, evitando o roubo de credenciais.
- Security Assertion Markup Language (SAML): o SAML é um padrão aberto utilizado para trocar informações de autenticação e autorização entre, neste caso, uma solução de IAM e outro aplicativo. Esse método usa XML para transmitir dados e é normalmente o método usado pelas plataformas de gerenciamento de identidade e acesso para conceder aos usuários a capacidade de entrar em aplicativos que foram integrados às soluções de IAM.
- System for Cross-Domain Identity Management (SCIM): criado para simplificar o processo de gerenciamento de identidades de usuário, o provisionamento de SCIM permite que as organizações operem com eficiência na nuvem e adicionem ou removam usuários com facilidade, favorecendo orçamentos, reduzindo riscos e simplificando fluxos de trabalho. O SCIM também facilita a comunicação entre aplicativos baseados em nuvem.
IAM e inteligência artificial
A inteligência artificial (IA) desempenha um papel cada vez mais crítico no gerenciamento de identidade e acesso, capacitando a empresa a abordá-lo com maior flexibilidade e muito mais detalhes. A análise do comportamento dos usuários e entidades (UEBA) utiliza IA para detectar atividades que devem ser investigadas mais a fundo, como:
- Muitas tentativas de login durante um curto período
- Logins ou tentativas de login de lugares ou dispositivos desconhecidos, ou em momentos incomuns com base nos movimentos típicos do usuário
- Entradas de usuários que não estão na rede privada virtual (VPN) da organização
- Logins claramente mal-intencionados
A IA pode avaliar micro-interações em relação ao tempo, localização e atividades do usuário, determinando possíveis riscos em todas as instâncias. Usando a autenticação contínua, essa análise é realizada a cada interação do usuário. A capacidade de realizar essas análises em tempo real ou quase real é crucial para prevenir ou mitigar com rapidez as ameaças cibernéticas.
O futuro do gerenciamento de identidade e acesso
A necessidade de gerenciamento de identidade e acesso é cada vez maior com o aumento do trabalho remoto e o uso de dispositivos móveis. Os usuários esperam poder trabalhar em seus dispositivos preferidos, não importando onde estejam localizados, e podem agir de modo descuidado em relação a redes não seguras e outros riscos, apesar do aumento da frequência e da profundidade do treinamento em segurança cibernética no local de trabalho. Sem a solução de IAM certa, as equipes de TI geralmente adiam as iniciativas de crescimento para gerenciar as solicitações dos usuários e lidar com as ameaças cibernéticas associadas às maiores superfícies de ataque geradas por essa flexibilidade.
A capacidade de crescer e desenvolver soluções de IAM com rapidez, expandindo exponencialmente a compreensão do risco cibernético é crucial para proteger os ativos da empresa. As organizações se beneficiarão do aumento das opções de segurança por meio de aprimoramentos do software antivírus de última geração, firewall baseado em host e/ou detecção e resposta de endpoint (EDR). Assim como o ecossistema digital da empresa continua a evoluir, o mesmo acontece com o gerenciamento de identidade e acesso.
Elementos futuros da segurança de identidade
- Programa de identidade integrado: a identidade é integrada com identidades de máquinas, nuvem, APIs e proteção de dados
- Modelos de confiança dinâmicos: os modelos de IA ajustam a autorização com base no comportamento e no histórico de interação
- ID universal: as identidades mistas são federadas e universais; “traga sua própria identidade” é a norma
- Acesso sem atrito: a biometria universal em dispositivos físicos, digitais e telefônicos inclui protocolos complexos de privacidade
Proteger a empresa com o IAM
O gerenciamento de identidade e acesso é um elemento-chave do programa de segurança da empresa, pois isola ativos e sistemas críticos de pontos de entrada de rede criados de modo inadvertido ou propositado que, de outra forma, poderiam ser explorados por criminosos cibernéticos. As empresas que adquirem recursos robustos de gerenciamento de identidade e acesso e criam programas maduros se beneficiam não apenas de orçamentos mais baixos de gerenciamento de identidade, mas também da capacidade de mudar de rumo de maneira rápida e sem interrupções em resposta a novos desafios e oportunidades de negócios.
Recursos
Você também pode estar interessado em:
Assuma o controle de sua plataforma de nuvem.
Saiba mais sobre o SailPoint Identity Security.