Proteger o acesso a ativos essenciais à missão

Objetivos de aprendizagem

Após concluir esta unidade, você estará apto a:

• Explicar a importância de implementar um gerenciamento de identidade e acesso forte.
  
• Descrever os princípios essenciais de segurança no gerenciamento de acesso de usuários privilegiados.
  

Implementar gerenciamento de identidade e acesso forte

Como líder, é importante que você identifique os ativos essenciais à missão da sua organização, quem tem acesso a eles e que ameaças essas pessoas podem representar. Depois de considerar todos os usuários internos e externos, você deve fazer com que seus sistemas de TI protejam como esses usuários acessam os ativos mais importantes da organização. Assim como os controles de acesso físicos gerenciam quem entra na sua organização e limitam o acesso a áreas confidenciais, os sistemas de gerenciamento de identidade e acesso forte controlam o acesso aos ativos tecnológicos mais importantes da sua organização. 

Nem todos os acessos de usuário são iguais. É uma boa ideia implementar o princípio do acesso de menor privilégio, ou seja, os usuários recebem acesso somente aos recursos de que precisam para fazer seu trabalho. Por exemplo, um engenheiro de projeto não precisa de acesso aos dados financeiros de uma organização. A criação de um sistema de gerenciamento de identidade e acesso forte começa com uma referência única confiável para todos os usuários e todas as suas funções em uma organização. É essencial ter processos e sistemas automatizados para garantir os devidos direitos de acesso, incluindo o encerramento do acesso de um funcionário quando ele se desliga da empresa ou no final de um projeto ou compromisso.

Gerenciar acesso de usuários privilegiados

Uma conta privilegiada permite que um usuário realize funções administrativas que um usuário sem privilégios não precisaria realizar, por exemplo, alterar configurações de dispositivos de rede. Um gerenciamento de acesso de usuários privilegiados forte exige mecanismos de acesso em camadas para que os usuários tenham acesso a sistemas essenciais à missão. Cada camada deve ser fortalecida com um mecanismo de autenticação multifator (MFA) diferente com base na confidencialidade da informação.

Por exemplo, uma administradora faz login em uma plataforma de software diferente usando um nome de usuário, uma senha e um token de autenticação enviado para seu celular. Ela pega, então, uma senha administrativa para realizar uma atividade de exportação de dados de um banco de dados confidencial, por exemplo. Isso oferece um nível mais alto de segurança além de somente nome de usuário e senha. A Gartner oferece informações sobre várias ferramentas disponíveis para gerenciar contas privilegiadas. 

Por fim, mecanismos abrangentes de alerta e auditoria deveriam ser um requisito obrigatório de todos os sistemas de gerenciamento de identidade e acesso. Além disso, a análise regular de privilégios garante que os usuários não tenham acesso a recursos de que não precisam mais em seus trabalhos, seja porque um projeto terminou, seja porque mudaram de cargo, ou até porque deixaram a empresa. Essas etapas são tão importantes quanto o provisionamento do acesso, e muitas vezes são negligenciadas.

Resumo

A criação de boas práticas de gerenciamento de identidade e acesso é essencial para proteger os ativos essenciais à missão da sua organização. Nesta unidade, você viu como identificar quem tem acesso à sua rede e aos ativos de dados associados, a importância de implementar tecnologias de autenticação fortes, como aplicar o conceito de menor privilégio e como gerenciar usuários privilegiados. A seguir, vamos ver como nos protegermos de uma das ameaças mais comuns que os usuários enfrentam todos os dias: phishing. 

Recursos

• Trailhead: Proteger ativos e usuários de rede
  
• Site externo: Controle 14 do CIS: acesso controlado com base na necessidade de saber 
  
• Site externo: Departamento de segurança interna dos EUA: Proteger os ativos essenciais de uma organização