As táticas utilizadas pelos hackers estão em constante evolução. Eles se aproveitam das menores vulnerabilidades para ter acesso aos softwares, dados e outras informações sensíveis que as organizações detêm. As ameaças de cibersegurança estão tão avançadas, pungentes e onerosas que o risco deixou de estar apenas na esfera dos custos operacionais. Um ataque de ransomware, por exemplo, pode custar bem mais caro do que um pagamento único em troca de uma chave de descriptografia, levando uma empresa inteira a parar de repente.   

Dada a forma de trabalho das organizações – com alguns aplicativos na nuvem, dados na rede interna, e usuários trabalhando de casa ou em outras filiais com dispositivos conectados e desconectados da rede –, a proteção contra uma avalanche de ameaças demanda assumir uma postura de segurança holística. E é aí que a gestão de identidade e acesso mostra o seu valor. Também conhecida pela sigla em inglês IAM, que significa “Identity and Access Management”, a gestão de identidade e acesso é uma estrutura de políticas e tecnologias que garante que apenas as pessoas certas tenham acesso a determinados recursos, em momentos adequados e por motivos pré-determinados. Essa abordagem engloba os processos e ferramentas utilizados na gestão de identidade de usuários e no controle de acesso a sistemas fundamentais dentro de uma organização.   

O que é gestão de identidade e acesso?  

O conceito de gestão de identidade para garantir o acesso adequado surgiu bem antes de os profissionais de cibersegurança o oficializarem como uma infraestrutura de segurança. Por exemplo, para pegar livros emprestados em uma biblioteca, você precisa ter um cartão que comprove o seu cadastro; ou para fazer saques no caixa eletrônico, você também precisa digitar um PIN. Senhas e PINs continuam sendo fundamentais para as infraestruturas de IAM, mas esse conceito vai além das soluções. Ele abarca sistemas inteiros que são essenciais para proteger dados sensíveis e para garantir que apenas pessoas autorizadas tenham acesso a informações específicas ou realizem determinadas ações.  

A relação entre a gestão de identidade e acesso e o modelo Zero Trust   

Zero Trust é outro modelo de segurança, pautado no princípio “nunca confiar, sempre verificar”. Diferentemente dos modelos tradicionais que pressupõem que tudo o que está dentro da rede é seguro, o Zero Trust exige a verificação contínua de cada usuário e cada dispositivo que está tentando acessar recursos, independentemente de estarem dentro ou fora do perímetro da rede. A gestão de identidade e acesso oferece os mecanismos e processos necessários para fazer valer os princípios do modelo Zero Trust.   

Por que a gestão de identidade e acesso é importante?  

A gestão de identidade e acesso desempenha um papel crucial na mitigação dos riscos empresariais, pois serve de estrutura para gerenciar identidades digitais e permissões de acesso.   

O papel da gestão de identidade e acesso na segurança de dados   

Ao implementar práticas de gestão de identidade e acesso, as organizações podem:  

• Intensificar a segurança: as estratégias de gestão de identidade e acesso promovem uma das maneiras mais eficazes de reduzir o risco de violações de dados ao garantir que apenas usuários autorizados tenham acesso a informações sensíveis.   
• Ter mais eficiência: ao adotarem uma abordagem de gestão de identidade e acesso, os líderes de segurança podem simplificar processos de gestão de acesso, reduzindo a carga de trabalho da equipe de TI.  
• Garantir o compliance: o registro detalhado dos acessos e das atividades dos usuários ajuda as organizações a atender exigências regulatórias.  
• Se preparar para eliminar as senhas: reduzir a dependência das senhas é fundamental para que as estratégias de segurança evoluam e se mantenham eficazes contra as ameaças. As técnicas e ferramentas de IAM ajudam a modernizar a cibersegurança, a reduzir o use de senhas e a limitar as possibilidades de erro dos usuários finais.   

Benefícios da implementação de soluções de gestão de identidade e acesso   

As soluções e processos de gestão de identidade e acesso oferecem às empresas benefícios que vão além da redução do risco de incidentes de segurança. As técnicas e ferramentas de IAM:  

• Reforçam a segurança e a proteção dos dados: as soluções de gestão de identidade e acesso intensificam de forma significativa a segurança dos dados ao garantir que apenas usuários autorizados tenham acesso a informações sensíveis. Ao implementarem controles robustos de autenticação e acesso, as organizações conseguem se proteger contra acessos não autorizados e ataques de movimento lateral em toda a rede.  
• Simplificam a gestão de acesso de usuários: os sistemas de gestão de identidade e acesso simplificam o gerenciamento de usuários e de seus direitos de acesso, reduzindo a carga de trabalho administrativo que recai sobre a equipe de TI. Processos automatizados para provisionamento e desprovisionamento de usuários, combinados com o gerenciamento centralizado de permissões de acesso, facilitam a averiguação de que os direitos de acesso estão atualizados e uniformes em toda a organização.  
• Aumentam a eficiência operacional: ao automatizarem muitas tarefas de gestão de identidade e de direitos de acesso de usuários, as soluções de gestão de identidade e acesso melhoram a eficiência operacional. Com isso, a equipe de TI consegue se concentrar em iniciativas mais estratégicas, pois perde menos tempos em tarefas manuais de gestão de acesso.  

O impacto da gestão de identidade e acesso no compliance  

As soluções de gestão de identidade e acesso também ajudam a garantir o cumprimento de diversas regulamentações, como LGPD, GDPR, HIPAA e SOX. Essas leis normalmente exigem controles rígidos sobre o acesso a dados sensíveis e auditorias minuciosas das atividades dos usuários. Ao adotar a gestão de identidade e acesso, as organizações:  

• Atendem ao compliance: as organizações garantem que os controles de acesso cumpram os padrões regulatórios.  
• Registram trilhas de auditoria: as organizações passam a ter o registro detalhado das atividades dos usuários para atender às auditorias de compliance.  
• Protegem os dados: as organizações protegem dados sensíveis com a aplicação de controles rigorosos de acesso.  

Componentes básicos da gestão de identidade e acesso 

 Os 4 pilares da gestão de identidade e acesso  

O principal objetivo da gestão de identidade e acesso é a prevenção de acessos não autorizados, e os quatro pilares que a sustentam são as estratégias empregadas para proteger a infraestrutura tecnológica da empresa. Esses pilares organizam as práticas e protocolos de IAM para reforçar a segurança de toda a infraestrutura, dos usuários aos dispositivos, aplicativos na nuvem e muito mais.   

• Governança e administração de identidade (IGA): é o processo de gerenciar listas de usuários aprovados para o acesso a softwares, aplicativos e outras ferramentas. Esse pilar especifica o que os usuários podem ou não podem fazer e determina o os protocolos de acesso e autorização.   
• Gestão de acesso (AM): concede acesso temporário em circunstâncias especiais e controla os acessos sem afetar a experiência do usuário. Exemplos de gestão de acesso são a autenticação multifator (MFA) e o controle de acesso baseado em funções (RBAC).  
• Gestão de acesso privilegiado (PAM): inclui controles de acesso especializados para cada usuário. Esses controles vão além do acesso a recursos administrativos, como indicar usuários que podem adicionar, alterar ou excluir outros usuários ou instalar e desinstalar softwares.   
• Controle de acesso à rede (NAC): registra informações de dispositivos, como privilégios da rede, e monitora eventuais alterações feitas na rede.                                                           

Os componentes da gestão de identidade e acesso 

Além dos quatro pilares – ou estratégias – de gestão de identidade e acesso, há também os componentes básicos das práticas de IAM, que englobam ações físicas, processos e protocolos de gestão de identidade e acesso.  

Autenticação   

A autenticação confirma a identidade de um usuário que está tentando acessar um sistema e é o processo com que os usuários finais têm mais familiaridade. Os métodos mais difundidos de autenticação são:  

• Senhas: a forma mais básica de autenticação.  
• Biometria: utiliza características físicas, como impressões digitais ou reconhecimento facial.  
• Tokens: tokens de hardware ou software que geram códigos de uso único.  

Além disso, protocolos como OAuth e SAML garantem a segurança da autenticação e da autorização entre diferentes sistemas.  
 
Com as credenciais certas, o usuário consegue acessar as ferramentas e recursos para os quais tem permissão para usar. As permissões de autenticação também podem ser baseadas no tempo, dessa forma, mesmo que o usuário tenha as credenciais certas, ele só poderá executar determinadas ações ou ter acessos específicos por um determinado período.   

Autorização  

A autorização determina o que um usuário autenticado tem permissão para fazer. Enquanto a autenticação confirma a identidade do usuário, a autorização cria os limites e áreas em que o usuário pode atuar. A infraestrutura de autorização faz a diferenciação do acesso de diferentes usuários e controla o acesso com base nas funções no sistema de gestão de identidade e acesso.   

Os mecanismos de controle de acesso incluem:  

• Controle de acesso baseado em função (RBAC): atribui permissões com base na função do usuário dentro da organização.  
• Controle de acesso baseado em atributo (ABAC): concede acesso com base em atributos do usuário, como departamento ou cargo. Integrantes da equipe de marketing, por exemplo, provavelmente não precisa acessar softwares de contabilidade ou dashboards administrativos da equipe de TI.   
• Menor privilégio: garante que usuários tenham o nível mínimo de acesso necessário para desempenhar suas funções. Esse é um princípio fundamental do modelo Zero Trust e ajuda a impedir ataques de movimento lateral em toda a rede, que são os mais usados por hackers para encontrar dados sensíveis a serem criptografados durante um ataque de ransomware.  

Administração  

O componente da administração do sistema de gestão de identidade e acesso gerencia contas, grupos, permissões e políticas de senhas dos usuários. Ele monitora a criação e a modificação das contas de usuários e garante o uso de métodos robustos de autenticação. A infraestrutura de administração serve de base para os processos de autorização e autenticação e cuida do gerenciamento das contas de usuários e das permissões para grupos.  

A criação de contas de usuários e a concessão de acesso aos recursos necessários se chama provisionamento de usuários, ao passo que desprovisionamento é o processo de revogação do acesso quando o colaborador deixa a organização ou não precisa mais do acesso. Ter eficiência no provisionamento e no desprovisionamento de usuários é fundamental para manter a segurança e garantir que apenas usuários autorizados tenham acesso a informações sensíveis.   

Auditoria e geração de relatórios (A&R)  

Esse componente se concentra no que os usuários fazem com o acesso que têm, como os recursos ou ferramentas que acessam e como eles usam os dados. Isso ajuda a organização a monitorar e detectar atividades suspeitas ou não autorizadas.  

Os processos de auditoria e geração de relatórios envolvem o exame, registro e geração de relatórios dos logs de acesso dos usuários e de atividades relacionadas a segurança dentro do sistema. Eles protegem o sistema e atendem ao cumprimento das regulamentações aplicáveis, como LGPD, CPRA, HIPAA, PCI DSS e GDPR.  

Tecnologias e ferramentas de gestão de identidade e acesso  

Para respaldar cada um desses pilares e componentes, a gestão de identidade e acesso demanda algumas tecnologias e ferramentas.  

Soluções de logon único (SSO)  

A tecnologia do logon único permite que os usuários acessem diversos aplicativos utilizando um único conjunto de credenciais de login. Com isso, a experiência dos usuários fica mais simples, pois eles precisam se lembrar de menos senhas, o que também aumenta a segurança e a conveniência.  

Autenticação multifator (MFA)  

Na autenticação multifator, os usuários precisam apresentar dois ou mais fatores de verificação para acessar um sistema. Em vez de usar apenas uma senha no login, é preciso fazer uma “comprovação” adicional de identidade. Os fatores mais comuns são:  

• Algo que você sabe: uma senha ou PIN.  
• Algo que você tem: um token de segurança ou um smartphone. 
• Algo que você é: verificação por biometria, como uma impressão digital ou reconhecimento facial.  

A autenticação multifator acrescenta uma camada à segurança, dificultando o acesso de usuários não autorizados.  

A autenticação baseada em certificado é um mecanismo de segurança que utiliza certificados digitais para confirmar a identidade de dispositivos ou usuários, garantindo que apenas entidades autorizadas consigam acessar uma rede ou serviço. Alguma das autoridades de certificação mais comuns na emissão de certificados SSL/TLS para proteger as comunicações na internet são DigiCert, Synamtec, GlobalSign, GoDaddy e Entrust.  

Gestão de acesso privilegiado (PAM)  

A gestão de acesso privilegiado enfoca o controle e o monitoramento do acesso a sistemas e dados críticos por usuários privilegiados, como administradores. As soluções de gestão de acesso privilegiado ajudam a prevenir o mau uso de contas privilegiadas e garantem que dados sensíveis sejam disponibilizados apenas para quem tem a autorização necessária.  

Como uma ferramenta de gerenciamento de senhas complementa a gestão de identidade e acesso 

Ferramentas de gerenciamento de senhas, como o LastPass, desempenham um papel central na implantação de soluções de gestão de identidade e acesso. As senhas ainda são um dos elementos mais comuns na autenticação do acesso a determinados sistemas e aplicativos, e essas ferramentas ajudam a gerenciar e armazenar senhas de maneira segura, garantindo que os usuários sigam boas práticas relacionadas a senhas. Após a integração com sistemas de gestão de identidade e acesso, os gerenciadores de senhas: 

• Simplificam o gerenciamento das senhas: gere senhas seguras e únicas de forma automática para cada conta. Crie requisitos mínimos próprios para as senhas como parte de uma política robusta de segurança aplicável a toda a organização.  
• Reduzem a reutilização de senhas: dois terços (66%) das pessoas utilizam a mesma senha ou variações de uma mesma senha em diversas contas, portanto, quem descobrir uma senha pode invadir outras contas, tendo acesso a dados valiosíssimos dos usuários. Os gerenciadores de senhas minimizam a necessidade de os usuários precisarem se lembrar de várias senhas. 
• Intensificam a segurança: o armazenamento das senhas em um cofre seguro e criptografado protege a sua organização contra violações que se aproveitam de vulnerabilidades de credenciais. 

A implementação da gestão de identidade e acesso em grandes empresas  

Práticas recomendadas para a implantação da gestão de identidade e acesso  

A gestão de identidade e acesso acontece de forma única em cada organização, mas vale a pena dar uma olhada nestas recomendações para dar os primeiros passos:  

• Conduza uma avaliação de riscos: identifique e avalie os riscos para priorizar os esforços durante a implementação da gestão de identidade e acesso. Comece pelos sistemas mais importantes para as operações.   
• Defina políticas claras: estabeleça políticas e procedimentos claros para a gestão de identidade e acesso. Quais mecanismos de controle de acesso vocês usarão e por quê?  
• Implemente métodos robustos de autenticação: a autenticação é uma das primeiras etapas do acesso. Use autenticação multifator ou outros métodos seguros de autenticação. A gestão de identidade e acesso pode adotar uma estrutura de segurança “em camadas”, portanto, cogite usar várias táticas de autenticação.  
• Reveja regularmente os direitos de acesso: segurança não é algo que “se configura e acabou”. De tempos em tempos, reveja e atualize os direitos de acesso para ter certeza de que eles ainda são adequados.  
• Pense na escalabilidade e na flexibilidade para o longo prazo: as soluções de gestão de identidade e acesso devem se integrar aos sistemas e aplicativos já em uso, e as ferramentas devem ter uma forma clara de absorver novos requisitos de segurança e processos corporativos que venham a surgir. 

Desafios e possíveis soluções  

Como tudo em cibersegurança, a implementação de uma infraestrutura de gestão de identidade e acesso pode apresentar diversos desafios, como:  

• Complexidade: a gestão de identidade e de acesso entre diversos sistemas pode ser complexa.  
• Solução: utilize ferramentas centralizadas e automações para simplificar o gerenciamento.  

• Resistência dos usuários: os colaboradores podem apresentar resistência a mudanças nos processos de gestão de acesso.   
• Solução: a promoção de uma cultura de segurança vem de cima. Ofereça treinamentos e comunique os benefícios da gestão de identidade e acesso aos usuários.  

• Problemas de integração: integrar a gestão de identidade e acesso aos sistemas já em uso pode ser um processo desafiador.   
• Solução: escolha soluções de gestão de identidade e acesso com recursos robustos e suporte a integrações. O LastPass oferece muitas integrações prontas com diferentes prestadores de serviços e fornecedores.   

Os riscos da gestão de identidade e acesso 

Vulnerabilidades comuns em sistemas de gestão de identidade e acesso 

A gestão de identidade e acesso é uma infraestrutura robusta de segurança, mas a implementação dos procedimentos, políticas e ferramentas pertinentes apresenta algumas vulnerabilidades.   

• Senhas fracas: as senhas fazem parte da gestão de identidade e acesso, portanto, a segurança dos logins depende da segurança das senhas. Os usuários podem criar senhas fracas e fáceis de adivinhar.  
• Solução: use um gerenciador de senhas para aplicar políticas de senhas seguras e acrescente métodos de autenticação multifator para intensificar a segurança.   

• Ameaças internas: colaboradores com acesso legítimo podem fazer mau uso de seus privilégios. 
• Solução: implemente processos de gestão de acesso privilegiado e reveja regularmente os direitos de acesso. É possível mitigar o risco de ameaças internas com a condução de verificações de antecedentes de colaboradores que têm acesso a dados sensíveis.  

• Contas órfãs: contas que não são desativadas de forma adequada após a saída de usuários da organização podem ser usadas por pessoas mal-intencionadas.  
• Solução: tenha processos robustos de documentação referente ao desprovisionamento de usuários. Conte com a colaboração das equipes de RH e departamento pessoal para rever regularmente as listas de colaboradores.   

• Transmissão descriptografada de dados sensíveis: a transmissão de dados sensíveis de gestão de identidade e acesso por canais pouco seguros pode dar ensejo a interceptações.  
• Solução: sempre que possível, implemente processos sólidos de criptografia para proteger dados e comunicações sensíveis.  

Como proteger a infraestrutura de gestão de identidade e acesso 

Para proteger a infraestrutura de gestão de identidade e acesso no longo prazo, as organizações devem:  

• Atualizar regularmente seus sistemas: mantenha os sistemas e softwares de gestão de identidade e acesso sempre atualizados com os patches de segurança mais recentes. Estabeleça uma cadência regular para atualizar as versões de softwares. Além de dar acesso aos recursos mais avançados de cada produto, as atualizações são fundamentais para combater eventuais vulnerabilidades conhecidas de segurança.   

• Conduzir auditorias de segurança: “ativar” a segurança da infraestrutura de gestão de identidade e acesso da sua organização é só o começo. Conduza auditorias regulares dos sistemas de IAM para identificar e tratar eventuais vulnerabilidades.  

O investimento em gestão de identidade e acesso vai além de marcar a caixinha de “proteção de dados” e abarca o sucesso da segurança e da resiliência da empresa no longo prazo. A IAM é um componente fundamental de uma estratégia de cibersegurança moderna e abrangente, ajudando as empresas a intensificar a segurança, simplificar a gestão de acesso e atender às exigências regulatórias. O LastPass oferece ferramentas de IAM poderosas para a proteção de dados corporativos, redução da carga de trabalho administrativo para equipes de TI e proteção de ambientes de trabalho híbridos e distribuídos. Inicie sua avaliação do LastPass aqui.