Dino Schwingel, Autor em E-TRUST

É possível evitar o vazamento de dados?

por Dino Schwingel | jun 19, 2021 | LGPD

É possível evitar o vazamento de dados?

Temos visto diversos casos de vazamento de dados que expuseram a vida pessoal de milhões de pessoas e geraram dezenas de milhões de reais em prejuízo para as empresas envolvidas.

Mas como não se tornar a próxima empresa vítima deste tipo de crime, correndo riscos de imagem e financeiro? Confira mais sobre o tema neste artigo!

Vazamento de dados é uma realidade

Aconteceu com o Banco Inter, onde o Ministério Público do Distrito Federal ajuizou uma ação em julho de 2018, demandando uma indenização de R$ 10 milhões em razão de, supostamente, o banco não ter tomado os cuidados necessários para garantir a segurança dos dados pessoais de seus clientes e não clientes.

E, mais recentemente, vieram a público as notícias sobre os vazamentos de dados na Tivit, uma das maiores empresas de serviços de TI do Brasil, e no Sicredi, a maior rede de cooperativas de crédito do país, cada um deles com características próprias. Vendo empresas desse porte – que investem milhões em tecnologia – sofrerem com vazamentos de dados é lícito perguntar se, na prática, é possível evitar vazamento de dados.

E mais ainda, como uma média empresa, com orçamento de tecnologia bem mais enxuto, vai evitar o que nem grandes empresas conseguem? E além disso, a partir de agosto 2021, quando foi iniciado o cumprimento das sanções administrativas da LGPD, o risco para as empresas vai aumentar, pois será obrigatório divulgar publicamente os casos de vazamento de dados.

Imagine, por exemplo, uma clínica de saúde regional com algumas unidades na região metropolitana de uma grande cidade pode ter seu negócio inviabilizado caso divulgue publicamente que os exames de seus pacientes foram vazados. Outras empresas de mesmo porte, especialmente da área de saúde, podem ter o mesmo destino.

Quais os tipos de ataques ocorrem?

Ataques externos aos sistemas da empresa, como ransomware;
Vazamento intencional por pessoas de dentro da empresa.

Um plano abrangente para evitar essas duas causas deve conter diversas ações que vão desde implantar sistemas de proteção até fazer seminários de conscientização, em suma deve abranger pessoas, processos e tecnologia. Mas existem regras e proteções básicas que podem e devem ser implantadas e que já são consenso entre profissionais da área de segurança da informação. Fazendo uma analogia com os cuidados com a saúde pessoal, é consenso que exercício físico moderado faz bem para a saúde, não sendo necessário consultar um especialista para saber isso.

Mas como evitar vazamento de dados?

Na proteção de vazamento de dados, algumas regras básicas também são consenso:

Tenha um sistema antivírus;
Tenha um sistema de controle de acesso aos dados.

Sistemas de antivírus já são bem conhecidos e são a primeira barreira contra os ataques externos. Podem ser complementados por proteções de segurança mais avançadas, que fogem ao escopo deste texto, mas cito aqui pelo menos uma que recomendo implantar: WAF, ou Web Application Firewall. Sistemas de controle de acesso aos dados, ou de Gestão de Identidades e Acessos (GIA), estão sendo cada vez mais adotados pelas empresas que estão aumentando o seu nível de proteção contra vazamento de dados.

Devido à inerente complexidade e à variedade de tecnologias existentes nas empresas, somente com um sistema de GIA é possível saber, imediatamente, quem tem acesso efetivo aos dados em uma empresa e também quem autorizou esses acessos.

Pense bem: é impossível evitar vazamento de dados se você nem sabe quem tem direito de acesso a eles dentro da sua empresa. Um sistema de GIA permite o controle centralizado dos direitos de acesso aos dados, com fluxos de trabalho distribuídos, automatizando tarefas manuais, diminuindo erros operacionais e diminuindo os riscos legais da sua empresa.

E, no caso de sua empresa sofrer um vazamento de dados e estar sujeita a uma multa, um sistema de GIA será um grande atenuante para provar em juízo que a empresa fez o que as melhores práticas de segurança do mercado recomendam para proteger os dados de seus clientes, parceiros e fornecedores.

Acidentes acontecem, e um vazamento de dados pode ocorrer por acidente. A diferença no valor das multas – que podem chegar a 2% do faturamento da empresa – será em virtude dos atenuantes que cada empresa vai apresentar para caracterizar que não houve imperícia ou negligência na proteção dos dados.

Você também pode gostar:

O que é Gestão de Identidades e Acessos? (Parte 2)

por Dino Schwingel | jul 25, 2020 | Acessos e SSO, Gestão de Identidade

O que é gestão de identidade e acessos? Parte 2

A primeira parte deste artigo, teve como tema a definição do que é Gestão de Identidades, requisitos fundamentais e processos típicos da implantação de um sistema de GIA.

Nesta segunda parte, vou tratar de algumas funcionalidades adicionais, de características mais avançadas de projetos e sistemas de gestão de identidades e da interoperabilidade com single sign-on.

Em resumo, este artigo tem por objetivo apresentar mais informações, casos experienciados em projetos e dicas de uso sobre os seguintes tópicos:

Perfis de Negócio (RBAC)
Regras de Provisionamento de Perfis Padrão
Níveis de Risco de Perfis
Segregação de Funções
Workflows de Aprovação Distribuídos
Mútiplos Fatores de Autenticação (MFA)
Single Sign-on

Perfis de Negócio (RBAC)

Uma das grandes vantagens de se implantar um sistema de GIA é a possibilidade de passar a trabalhar com Perfis de Negócio, implementando, o que é conhecido em inglês como Role Based Access Control (RBAC).

Usando Perfis de Negócio, é possível ‘empacotar’ uma grande quantidade de direitos de acesso (perfis de acesso) em múltiplos sistemas e solicitar/aprovar/revogar esse pacote em uma só ação.

Tipicamente, um Perfil de Negócio empacota os direitos de acesso necessários para desempenhar um cargo ou função dentro de uma empresa. Não necessariamente, um Perfil de Negócio precisa conter todos os direitos necessários para todas as variações de um determinado cargo pois podem haver especificidades por localidade, departamento, empresa do grupo, entre outras.

Por isso, é perfeitamente válido, por exemplo, usar um Perfil de Negócio intitulado “Vendedor”, contendo todos os acessos comuns a essa função e deixar que os acessos específicos para Vendedor de Varejo, Vendedor de Atacado e etc., sejam solicitados via Portal de Autosserviço (Reset de Senha). Essas solicitações poderão ser feitas pelo próprio vendedor, por seu gestor, pelo RH ou por pessoas assim autorizadas nos fluxos do Gestão de Identidades (GIA).

Outro exemplo para ganhar agilidade e reduzir erros é usar o Perfil de Negócio para os cargos mais comuns na empresa. Por exemplo, em uma implantação da qual participei, em uma empresa com milhares de funcionários, o perfil mais comum era de Conferente, uma função que, inclusive, tinha rotatividade acima da média e gerava muito trabalho manual de concessão e revogação dos direitos.

Assim, mapeamos todos os direitos de acesso necessários para essa função e empacotamos em um perfil de negócio, simplificando ao máximo os processos, eliminando trabalho manual e eventuais falhas operacionais na manipulação dos direitos de acesso. Adicionalmente, como vamos ver no item sobre Regras de Provisionamento de Perfis Padrão, automatizamos a concessão dos direitos, garantindo que quando um novo Conferente chega para assumir a sua função, todos os direitos de acesso já estão provisionados.

E, encerrando este tópico, fica uma dica: adote Perfis de Negócio (RBAC) em ondas, começando por aqueles que vão trazer os ganhos mais alinhados com os motivadores do seu projeto. Por exemplo:

Se o seu principal motivador é aumentar a segurança: comece pelos perfis que aprovam transações financeiras, perfis que têm acesso a dados sensíveis, seguindo para demais perfis com poder de aprovação em fluxos de trabalho (materiais, entrada/saída etc).
Se o seu principal motivador é aumentar agilidade e produtividade: comece pelos perfis dos cargos que mais ocorrem na sua empresa, pelos perfis cujos cargos têm maior rotatividade, seguindo para aqueles mais propensos a gerar erros manuais.

Regras de Provisionamento de Perfis Padrão

A automação do provisionamento de perfis padrão é uma das funcionalidades que mais contribui para aumentar a agilidade, aumentar a satisfação dos usuários de TI e reduzir erros operacionais. E a combinação das regras de provisionamento com perfis de negócio tem potencial para eliminar grande número de chamados de TI.

Em inglês, as regras que definem o provisionamento automático de perfis padrão é, normalmente, chamada de entitlement, embora o termo ainda seja usado de uma forma ampla e não ainda com um significado estrito quando se analisa como um sistema de Gestão de Identidades e Acessos implementa o conceito.

Para usar as regras de provisionamento de perfis padrão é necessário elaborar um mapeamento de perfis que tenha como resultado quais são os perfis de acesso e/ou perfis de negócio necessários para cada função na organização.

Mas você pode perguntar: por que é necessário mapear todos os cargos da empresa?

Na verdade, não é necessário mapear todas as funções e cargos da empresa. Você pode mapear apenas as funções mais alinhadas com os seus riscos organizacionais ou ações de melhoria. Por exemplo, você pode ter uma demanda da empresa para acelerar o provisionamento para vendedores em campo para que comecem a vender assim que são contratados.

De posse desse objetivo, você deve fazer o seguinte:

Mapear os perfis necessários;
Identificar quais dados cadastrais serão disparadores da concessão;
Garantir que esses dados estão sendo recebidos das fontes de identidades (p. Ex., sistema de folha de pagamento);
Criar as regras no sistema de GIA.
E correr para o abraço 🙂

Aproveite a oportunidade para medir quanto tempo levava para o vendedor ter os acessos antes do uso das regras e depois e dar publicidade a esse ganho para as partes interessadas.

Níveis de Risco de Perfis

Uma das formas de aumentar a segurança da empresa é ter clareza sobre o nível de risco dos acessos que as pessoas possuem. Por exemplo, um perfil que autoriza um pagamento é claramente um perfil de maior risco do que um perfil que permite digitar um pedido de compra.

A atribuição de níveis de risco aos perfis, tipicamente, é resultado de uma análise de risco com análise de impacto para o negócio no caso de uso doloso dos direitos de acesso.

A atribuição de níveis de risco aos perfis permite:

Que perfis de maior risco sejam assim identificados pelos aprovadores quando estiverem ponderando uma solicitação;
Que indicadores de nível de risco sejam calculados para identificar, por exemplo, contas de usuário de maior risco.

Um sistema de GIA pode ser usado para tratar alguns dos riscos identificados, por exemplo, mediante o uso de segregação de funções. Outros riscos podem ser mitigados por sistemas correlatos como, por exemplo, o uso de múltiplos fatores de autenticação para aumentar o nível de assertividade na autenticação das pessoas.

Segregação de Funções

Esta é, talvez, a mais importante medida de proteção a ser empregada em sistemas que autorizem ou executam transações financeiras. O conceito de segregação de funções é antigo e tem por objetivo evitar que apenas uma pessoa possa executar funções que coloquem em risco a empresa ou a própria pessoa.

Por exemplo, não é recomendado que a mesma pessoa tenha direitos para entrar com um novo pedido de compra e aprovar o pagamento desse tipo de pedido em um sistema. Uma pessoa que tem esses direitos é um típico alvo de fraudadores, pois seu objetivo é conseguir o acesso à conta dessa pessoa para poder realizar fraudes sem precisar de uma segunda ou terceira conta.

A segregação de funções começa pela identificação dessas situações de risco, passa pelo mapeamento de perfis de acesso distintos para funções distintas e termina com a configuração de uma matriz de segregação, na qual são indicados os perfis que não podem ser concedidos para uma mesma pessoa.

Essa matriz é informada ao sistema de GIA para que ele possa identificar situações de violação das regras de segregação. Quando identificar, o sistema de GIA deve, então, interceptar esses fluxos e redirecionar para aprovação adicional, tipicamente, de um gestor de risco.

O sistema HORACIUS, por exemplo, permite que o gestor de risco documente a necessidade de violação da segregação de funções e a eventual existência de controles compensatórios. Tipicamente, pequenas unidades da empresa possuem pessoas que acumulam funções e isso pode justificar a necessidade de violação da segregação. Além disso, limites de alçada são controles compensatórios normalmente usados para limitar o risco nessas situações.

O controle de segregação de funções pode ser feito em dois níveis:

No mesmo sistema: quando a matriz de segregação considera somente as transações executadas em um sistema.

Em múltiplos sistemas: quando a matriz de segregação considera transações que podem ser executadas em mais de um sistema, tipicamente integrando o controle de segregação de funções com um modelo RBAC (Role-based access control), ou controle de acesso baseado em funções e cargos.

Workflows de Aprovação Distribuídos

Na minha experiência profissional com gestão de identidades esta é a funcionalidade que vejo mais sub-utilizada nas empresas. A tendência, tanto dentro de TI como nas demais áreas da organização, é enxergar os sistemas de informação como de propriedade da área de TI, o que acaba se estendendo para os dados e informações que estão dentro dos sistemas.

Mas, na verdade, os verdadeiros ‘donos’ dos dados são as áreas de negócio da empresa que criam, manipulam, transmitem e removem os dados conforme as suas necessidades para executar os negócios da empresa.

É muito comum que a área de TI seja responsável por permitir o acesso a uma pasta de rede para uma pessoa que entra em um novo projeto. No entanto, o ato de executar a configuração que permite o acesso é, normalmente, confundido com o poder sobre a decisão.

Vemos isso até na linguagem utilizada, pois é comum ouvir-se: “vou pedir pra TI o acesso à pasta do projeto”. Mas quem define se uma pessoa vai ter direito de acesso à pasta de um projeto é a gerente desse projeto. Por que ela precisa de TI? Tipicamente, apenas para executar a ordem dada, algo que poderia facilmente ser feito por um sistema de Gestão de Identidades e Acessos, este por sua vez parametrizado por TI.

Com workflows distribuídos, podemos permitir que as diferentes áreas da empresa autorizem os direitos de acesso conforme as suas necessidades sem depender de TI pois, com provisionamento automático, os direitos são atribuídos ou retirados conforme os ‘donos’ dos dados determinam. Ao TI, compete a atribuição de criar e manter as parametrizações no sistema de GIA que dão essa agilidade ao negócio.

Com isso, um gerente de projeto pode conceder e revogar acesso a uma pasta de rede de projetos conforme as novos membros entram e saem da equipe. Um gestor financeiro pode conceder perfis de aprovação por tempo determinado para uma pessoa cobrir as férias de outra. Tudo isso sem abrir um chamado em TI.

Durante os projeto em que participei, presenciei muitas vezes o desconforto das áreas de negócio em assumir esses tipos de aprovações e reconheço que ainda é necessário conscientizar as próprias áreas de negócio sobre as vantagens do uso de fluxos de aprovação distribuídos.

Por isso, entendo que este tema deve ser tratado com especial cuidado na empresa e deve ser iniciado com áreas de negócio que já identificaram claramente as vantagens e estão dispostas a abrir mão da ‘bengala’ oferecia por TI. Acredito que com a evolução na facilidade de uso dos sistemas de GIA e com o aumento no número de nativos digitais nas empresas, o uso de workflows distribuídos tende a aumentar.

Múltiplos Fatores de Autenticação (MFA)

Um dos requisitos básicos de uma boa implantação de GIA é que a autenticação das pessoas seja feita de forma eficiente e eficaz.

Com o advento de sistemas em nuvem, cada vez mais as empresas precisam conviver com ambientes híbridos, com múltiplas contas de acesso para a mesma pessoa e com diferentes requisitos de autenticação. E uma das formas de aumentar a eficácia da autenticação e aumentar a segurança de contas com acesso a perfis de alto risco é usar mais de um fator de autenticação.

Tipicamente, as contas de acesso aos sistemas são protegidas por uma senha. Essa senha, de uso pessoal e intransferível, é que garante que, digamos, a Ana é ela mesma para o sistema de informação que a Ana está acessando.

No entanto, uma senha pode ser descoberta, compartilhada, furtada, roubada, vazada ou extraviada, fazendo com que outra pessoa ou robô possa se passar pela Ana e furtar dados, destruir dados, realizar transações e tudo o mais que é permitido pelos direitos de acesso da Ana. E tudo vai ficar registrado como se a Ana estivesse fazendo.

Para aumentar a eficácia da autenticação, podemos usar, além da senha, mais um fator de autenticação. Isso tornará muito mais difícil comprometer a segurança da conta da Ana.

Atualmente, os seguintes fatores estão sendo usados com sucesso no mercado, com diferentes níveis de aceitação pelos usuários e diferentes objetivos:

Token via SMS: este fator está se tornando muito popular e seu uso consiste em o sistema exigir um código após a senha. O usuário recebe esse código no seu telefone celular via mensagem de texto (SMS) e digita o código na tela de login.
Token via aplicativo no celular: este fator está sendo mais usado por administradores de sistemas e por sistemas de internet banking. Similar ao token via SMS, a única diferença é que o token é gerado por um aplicatio no próprio celular com base na data e hora do aparelho.
Biometria: este fator está usando em situações em que a presença física do usuário ocorre e/ou é obrigatória. Leitor de impressão digital é o mais usado atualmente, mas também existem usos bem conhecidos de leitor de íris do olho, biometria da palma da mão, e de reconhecimento facial.

Cabe comentar também que um segundo fator de autenticação pode ser usado após um usuários estar autenticado, com o objetivo de autorizar uma transação crítica. Por exemplo, um sistema de transferência eletrônica de fundos (TED), tipicamente, exige um segundo fator de autenticação antes de aprovar uma transação desse tipo.

Desenvolvedores de sistemas devem atentar para a possibilidade de usar esse tipo de fator de segurança em seus sitemas, uma vez que é fácil incorporar a um sistema novo e, muitas vezes, difícil de incorporar a um sistema legado. Uma dica é usar uma chamada genérica web service a um serviço externo para isso, de modo que a chamado poderá ser sempre a mesma, somente o servidor com o MFA que precisará ser alterado no futuro, caso mude a tecnologia, o fabricante ou se deseje usar outro fator de autenticação.

Single Sign-on (SSO)

Muitas vezes visto como o Santo Graal da autenticação de usuários, é uma solução que enfrenta cada vez menos resistência e, com o passar dos anos, cada vez mais vantagens.

Os principais objetivos de uma implantação de SSO é proporcionar:

Uma boa experiência de uso dos sistemas, mediante a eliminação das telas de solicitação de senhas quando uma pessoa navega de uma aplicação para outra no seu computador;
Maior segurança, mediante a implementação de um nível mínimo de qualidade de autenticação para todos os sistemas da empresa, usando protocolos de autenticação padrão de mercado, testados e aprovados por organismos internacionais de segurança.

Hoje, existem soluções bem testadas no mercado para fazer SSO em ambientes Windows, em aplicativos web e dentro da suite de aplicativos de um mesmo fabricante. Tipicamente, os desafios de uma implantação de SSO surgem na integração com sistemas legados, que não foram projetados para suportar esse tipo de autenticação.

Mas mesmo assim, existem soluções. Uma combinação vencedora é fazer uma composição com:

Um sistema de GIA para o provisionamento.
Um servidor de diretório padrão LDAP.
Um servidor de SSO com suporte a SAML, MFA e outros protocolos de autenticação de mercado.

Baixe o e-book completo e gratuito sobre o SSO

Bem, se você chegou até aqui, agradeço pela sua atenção e espero que tenha aproveitado. Procurei transmitir minha experiência de mais de 10 anos nessa área com dicas simples e diretas que você poder aplicar no seu dia-a-dia.

Fica aqui o convite para você conhecer um pouco mais sobre o nosso sistema HORACIUS e ver como podemos auxiliá-lo a ganhar agilidade e aumentar a segurança na sua empresa.

Entenda os principais benefícios do SSO

por Dino Schwingel | jul 13, 2020 | Acessos e SSO

Entenda os principais benefícios do SSO

Em nosso artigo anterior falamos sobre o login único, ou SSO. Ficou claro que o login único é bacana, melhora a usabilidade e provê uma melhor experiência de uso. Certo, entendemos, mas em “plain english” ou na falta deste, serve o “português claro”, o que de forma prática podemos extrair como benefícios para as nossas empresas e clientes. Afinal é uma implantação, envolve contratar um serviço, treinar pessoas no uso etc..

Vale apena? Se sim por que?

Vamos aos benefícios do SSO:

1- Reduzir a quantidade de senhas

Os usuários são convidados, encorajados, e as vezes obrigados a usar senhas diferentes para diferentes sites. O resultado é: muitos sistemas, muitos usuários e muitas, muitas senhas. Gerenciar todas estas senhas diferentes pode ser problemático. Obviamente, isso não é um problema se o usuário usa uma ferramenta de gerenciamento de senha, mas vamos ser realistas, quantos usuários você conhece que utilizam corretamente um gerenciador de senhas? E nem pense em obrigar seus clientes a usar uma ferramenta de gerenciamento de senha, como um requisito para ser seu cliente.

Na pratica, utilizando uma solução SSO que reduz o número de senhas, fica mais fácil convencer usuário a escolher uma senha mais forte. E se você oferecer login único para os clientes de sua empresa? Acho que eles também vão gostar.

2- Fornece conveniência aos usuários

O que seria esta conveniência? um sinônimo para usabilidade e facilidade de uso? Sim, um pouco de cada. Mas muito importante, torna clara a diferença entre usuário e cliente. O usuário, também chamado de colaborador, em algumas empresas, utiliza os sistemas que estão disponíveis, não necessariamente gosta. Já um cliente é diferente, este escolhe. Se para ser seu cliente eu preciso decorar várias senhas, pode ser que eu decida ser cliente de outra empresa. O que você faria?

Uma solução SSO significa, literalmente, que o usuário faz o login uma única vez para acessar vários serviços. Este é um enorme ganho de tempo, especialmente se uma empresa oferece vários serviços.

3- Melhora a segurança

Ao reduzir o número de vezes que um usuário deve inserir suas senhas, o risco de um invasor interceptar as credenciais através de algo como um keylogger será reduzido. Mais ou menos como abrir a carteira ou a bolsa no cento de uma cidade grande. Quanto menor a quantidade de vezes você abrir e mostrar que tem dinheiro, menor a chance de ser assaltado. Faz sentido, não faz?

4- Aumenta a produtividade

Chega de dor de cabeça com usuários que esquecem a senha e precisam ser atendidos pelo help-desk consumindo tempo da equipe e pior, deixando de atender os clientes, pois enquanto se resolve a senha, “quem esta a cuidar do loja”, como dizia a velha anedota.

Uma solução de SSO vai reduzir a carga do helpdesk, afinal cada pessoa terá um único login e uma única senha. Além disto, a gestão do acesso também ajuda quando o usuário esquece a senha. Qualquer boa solução de SSO oferece a funcionalidade de auto reset de senha, que nada mais é do que prover ao usuário uma forma de cadastrar uma nova senha, sem necessidade de um ocupar o tempo de um atendente. Por exemplo: com perguntas e respostas ou enviando uma nova senha por SMS entre outras alternativas.

5- Suporta a transformação digital

Isto mesmo, a tal transformação digital que todos estão falando, planejando e implantando. Rapidez e integração dos processos, atendimento multicanal, uma beleza. Algumas empresas estão nomeando executivos, dedicados à transformação digital. Se a sua empresa esta buscando surfar esta onda, lembre de verificar como vai ser o controle de acesso aos sistemas. Qual será o modelo oferecido aos colaboradores e clientes?

O modelo tradicional de gestão de acesso não atende a dinâmica da transformação digital. Um modelo onde os direitos são cadastrados manualmente, e as pessoas são obrigadas a decorar várias senhas, é mais ou menos como colocar um motor de fusca em um carro de fórmula 1, até vai andar, mas será que ganha a corrida?

Conheça nossos planos e preços

O que é gestão de identidades e acessos? (Parte 1)

por Dino Schwingel | jul 1, 2020 | Acessos e SSO, Gestão de Identidade

Este artigo é voltado para quem está buscando mais informações sobre gestão de identidades, acessos e outras funcionalidades correlatas. O objetivo é dar uma visão geral sobre o assunto para entender o escopo completo do que hoje se entende por Gestão de Identidades e Acessos (GIA).

Gestão de Identidade: entenda esta funcionalidade e como ela se relaciona com os sistemas de sua empresa

Este artigo é voltado para quem está buscando mais informações sobre gestão de identidade, acessos e outras funcionalidades correlatas. E não deixe de ler a Parte 2 do artigo.

Sobretudo o objetivo aqui é dar uma visão geral sobre o assunto para entender o escopo completo do que hoje se entende quando se usa o termo Gestão de Identidade.

A figura abaixo fornece uma visão geral de como um sistema de gerenciamento de identidades, no caso o HORACIUS, se relaciona com os demais sistemas de uma empresa.

Primeiramente, vamos falar do próprio termo Gestão de Identidade. Em inglês, usa-se bastante Identity Management (IDM) e Identity and Access Management (IAM). No Brasil, tem se tornado cada vez mais popular o emprego de GIA para Gestão de Identidade e Acessos.

Bem como, ao longo dos últimos 10 anos, o escopo de gestão de identidade e acessos vem sendo ampliado. E, hoje, há uma interoperabilidade (ou seja, capacidade de um sistema de se comunicar de forma transparente com outro sistema) bastante variada com múltiplos sistemas correlatos. Estes sistemas incluem Single Sign-On, Multi-factor Authentication, Mobile Device Management, Cloud Services, IDaaS e outros.

O que esperar deste artigo

Nesta primeira parte, eu vou me concentrar no que considero o núcleo de Gestão de Identidade e Acessos, que são aquelas funcionalidades que todo projeto deveria implantar:

Governança e Administração de Identidades;
Autenticação Centralizada;
Provisionamento Automático;
Portal de Autosserviço,
Auditoria Automatizada.

Gestão de Identidade e Acessos: Definição

Sob a ótica de processo, podemos dizer que gestão de identidade é o processo pelo qual se organiza e administra as relações entre pessoas e ativos de informação de uma organização durante todo o ciclo de relacionamento entre tais indivíduos e a empresa em si.

O que são ativos de informação

Os ativos de informação são, tipicamente, sistemas, mas também são informações em meio físico.

Note também que o ciclo de relacionamento abrange diferentes períodos em que as pessoas podem estar em diferentes funções na mesma organização – por exemplo, como estagiário e funcionário. Por isso, é fundamental que a gestão de identidade consiga administrar a identidade de cada pessoa univocamente, independente do período e do tipo de relacionamento.

Identity of Things (IDoT)

Recentemente, passamos a incluir nessa gestão também a identidade das coisas (Identity of Things, ou IDoT). Mas como este é um texto introdutório, deixo IDoT para outro momento.

Antecipo apenas que as coisas se relacionam e interagem tanto com pessoas quanto com sistemas e trazem uma nova dimensão de complexidade.

Agora, vamos olhar mais de perto o que é cada uma das funcionalidades acima:

1. Governança e Administração de Identidades

Este tópico é fundamental, pois compreende as definições sobre como serão organizadas as identidades e os acessos aos sistemas.

No escopo da governança e administração estão:

Inventário de sistemas e perfis de acesso;
Inventário das identidades;
Definição de fluxos, papéis e responsabilidades;
Organização das identidades e categorização de, por exemplo, funcionários, prestadores de serviço, representantes e, até mesmo, clientes;
Definição dos processos de solicitação, aprovação, revogação e revisão de direitos de acesso;
Definição de regras de automação para os processos acima,
Administração das identidades e dos acessos: por exemplo, inclusão de novo sistema e seus perfis no inventário; mudança no fluxo de aprovação para exigir que o gestor da pessoa também aprove e outras atividades necessárias para que os processos de GIA operem adequadamente.

2. Autenticação Centralizada

Esta é a funcionalidade que mais provavelmente o seu projeto não vai contemplar. Pelo menos, não integralmente.

A diversidade de aplicações e plataformas tecnológicas existentes dificulta a centralização da autenticação. Por outro lado, há anos existem tecnologias e protocolos para centralizar a autenticação.

Portanto, sempre recomendo que as empresas coloquem como requisito para compra de novos sistemas o suporte ao seu sistema de diretório. Muitas empresas usam Active Directory, enquanto outras utilizam diferentes versões de LDAP (OID, NDS, etc).

Mas, quando vão encomendar um novo aplicativo mobile deixam o fornecedor criar mais uma tabela de usuário e senha em um banco de dados que ninguém definiu onde ficaria.

Autenticação via protocolos: vantagem ou desvantagem?

Diversos sistemas mais complexos e mais modernos, incluindo sistemas em nuvem, suportam autenticação centralizada via protocolos como LDAP, SAML, OpenID e OAuth.

Contudo, na hora da compra o foco fica muito mais nas funcionalidades da aplicação do que na organização da autenticação. E ninguém quer chamar o “cara” de segurança para dar opinião, porque ele tem fama de colocar dificuldade em tudo.

Resultado: mais uma senha para o usuário guardar, lembrar, esquecer, resetar, anotar, perder a anotação, esquecer, resetar…

A saber que a maioria dos sistemas que existem hoje não suportam integração com serviços de diretório ou Single Sign-on.

Solução: sincronização de senhas. O portal de autosserviço do HORACIUS suporta essa funcionalidade e temos visto que ela traz diversos benefícios para os usuários de negócio.

Como lidar com a autenticação centralizada

Então, resumindo este controverso tópico:

Se você não tem um sistema de diretório, adote um;
Se a aplicação suporta autenticação via serviço de diretório, habilite;
Se a aplicação não suporta, veja se é possível desenvolver essa funcionalidade,
Se é impossível suportar, tente usar sincronização de senhas.

3. Provisionamento Automático

Provavelmente o melhor tópico para os profissionais de TI.

Por fim, iremos automatizar aquelas tarefas tediosas e que não agregam nenhum valor no que diz à gestão de identidade. São elas: criar conta de usuário, desabilitar conta, trocar senha e tantas outras.

O provisionamento automático, tipicamente, abrange as seguintes atividades:

Criação, alteração, remoção de conta de usuário;
Cadastro e atualização de dados das pessoas nos catálogos dos sistemas;
Bloqueio, desbloqueio de contas;
Troca de senhas;
Associação, desassociação de uma conta a um direito de acesso.
Consultas a contas, perfis e direitos associados a contas.

Gestão de identidade mais avançada ao Provisionamento Automático

Adicionalmente, quando a gestão de identidade é mais avançada, abrange também as seguintes atividades:

Importação de contas, perfis e/ou roles;
Criação, alteração, remoção de perfis e/ou roles;
Criação, alteração, remoção de grupos,
Criação, alteração, remoção de atributos dos direitos: tipo de licença, alçada etc.

4. Portal de Autosserviço

A maior parte da gestão de identidade é composta por processos invisíveis ao usuário de negócio.

Por isso, é muito importante que o portal de autosserviço forneça uma boa experiência de uso e tenha os serviços que o usuário mais precisa.

Sobretudo, um portal de autosserviço de Gestão de Identidade e Acessos (GIA) deve permitir ao usuário redefinir (resetar) a sua senha de forma simples e segura no maior número de sistemas que for possível.

Além disso, o portal tipicamente oferece os seguintes serviços:

Solicitar novos acessos a sistemas e novos direitos de acessos; a sistemas em que o usuário já tem acesso;
Acompanhar o andamento das solicitações;
Ver a relação dos direitos de acessos que o usuário possui em todos os sistemas,
Administrar a sua identidade.

5. Auditoria Automatizada

Um dos controles fundamentais na gestão de identidade é garantir que todas as contas das pessoas que não tem mais relacionamento com a organização tenham sido desativadas ou removidas.

Outro controle, um pouco mais sofisticado, é garantir que somente os direitos de acessos efetivamente aprovados estão configurados nos sistemas. E que direitos que tiveram seu prazo de validade expirado foram retirados adequadamente.

Assim fechamos o ciclo iniciado na governança e administração de identidades. Pois os fluxos de aprovação definidas naquele tópico agora serão usados para verificar se as contas e os direitos de acesso configurados nos sistemas estão de acordo com o que foi aprovado.

Perfis de auditoria automatizada

A auditoria automatizada pode ser:

Eventual: quando uma verificação é iniciada manualmente,
Periódica: quando o sistema de GIA faz verificações automatizadas e agendadas.

Quando a auditoria é periódica, podemos configurar regras para:

Informar e gerar um incidente para uma conta não aprovada;
Bloquear automaticamente uma conta não aprovada;
Retirar um direito que não foi aprovado,
Entre outras ações automáticas.

Quando a auditoria automatizada é configurada e usada adequadamente, só vamos receber e-mails de alerta quando algo estiver errado.

Será uma sensação diferente. Mas quando não estivermos recebendo nenhum e-mail será por que os processos estarão sendo executados conforme esperado e nenhuma divergência tenha sido encontrada.

O que é Gestão de Identidades e Acessos? (Parte 2)

Na segunda parte deste artigo, eu trato de aspectos avançados de gestão de identidades e da interoperabilidade com outros módulos. Como SSO, autenticação com múltiplos fatores e controle de acesso adaptativo.

Você também pode se interessar por:

Como fazer proteção de dados para a LGPD: Controle de Acesso aos Dados

por Dino Schwingel | dez 9, 2019 | Gestão de Identidade, LGPD

Aprenda como fazer a proteção de dados pessoais sensíveis da sua empresa!

Nesse artigo iremos abordar o tema: Como fazer proteção de Dados para a LGPD, que tem como foco os aspectos mais críticos para estar em conformidade à LGPD. Você passará a entender o porque é importante fazer o controle de acesso aos dados pessoais e porque é necessário ter ainda mais cuidados nos acessos aos dados pessoais sensíveis.

Para situar o desafio que todas as empresas têm com a entrada em vigor da LGPD, começo com uma pergunta: você consegue agora gerar um relatório com todas as pessoas que têm acesso aos dados pessoais armazenados na sua empresa?

Você e sua empresa podem não ter feito nada de errado, mas alguém pode acusar sua empresa de vazamento de dados. Os dados podem ter vazado sem nenhuma relação com a sua empresa, mas a sua empresa pode ser suspeita porque processa aqueles dados.

A Autoridade Nacional de Proteção de Dados (ANPD) ou o Ministério Público (MP) vão querer saber quem são as pessoas que têm acesso aos dados pessoais na sua empresa. E você pode responder de várias formas:

Dados Pessoais? Como assim!?
Aqui é o João que cuida dos sistemas, tem que falar com ele.
É, veja bem…, a nossa equipe de TI é que cuida disso.

Ou você pode responder

Sem problemas, aqui está a lista de todas as pessoas que têm acesso aos dados pessoais processados na nossa empresa. E esta outra lista tem todas as pessoas que têm acesso a dados pessoais sensíveis.

Como é possível ter uma lista como essa pronta?

Tudo começa com a implantação de um sistema de gestão de identidades e acessos (GIA). Um sistema de GIA automatiza, controla e registra todos os direitos de acesso das pessoas aos dados pessoais.

A automação permite que uma nova colaboradora chegue ao seu posto de trabalho já com todas as contas criadas nos sistemas que ela vai usar no dia-a-dia, sem necessidade de intervenção manual de TI. Da mesma forma, quando encerra o contrato de trabalho de um colaborador, todos os acessos são revogados automaticamente, seja via conexão com a folha de pagamento seja via clique na tela pelo gestor ou RH.

O controle ocorre por meio dos fluxos necessários para aprovar acessos eventuais. Por exemplo, um colaborador substituindo outro nas férias ou uma participação em um novo projeto. Essas mudanças funcionais são aprovadas por fluxos de trabalho (workflows) e os acessos são automaticamente provisionados. Além disso, é possível garantir que colaboradores afastados do trabalho por licenças médicas férias e outros eventos similares têm os seus acessos bloqueados automaticamente pelo período de afastamento. Tudo para evitar uso indevido dos dados pessoais e, até mesmo, reduzindo riscos trabalhistas.

E os registros ocorrem quando ações são executadas como, por exemplo, as aprovações mencionadas acima. Os registros é que permitem comprovar, em qualquer circunstância, que a empresa possui processos e controles adequados para proteger os dados pessoais conforme mandado pela LGPD.

Causas de um vazamento de dados:

Objetivamente, um vazamento de dados pode ocorrer por diversos motivos: falha de sistema, falha humana ou, até mesmo, intencionalmente. O que vai diferenciar as empresas que serão multadas das que terão sanções mais leves vai ser o nível de proteção de dados que as empresas provarem que têm.

Eventualmente, o caso do Hospital de Barreiro em Portugal exemplifica muito bem o que falamos aqui. O hospital teve a multa agravada pela ausência de controles de acesso aos dados pessoais sensíveis porque pessoas com cargos que não precisavam ter acesso aos dados, tinham esses acessos concedidos nos sistemas.

Como o HORACIUS pode te ajudar?

Com um sistema de GIA, como o HORACIUS da E-TRUST, é possível registrar quais os tipos de acesso (perfis de acesso) dão direito a ver dados pessoais e dados pessoais sensíveis. Para isso basta definir um atributo em cada perfil de acesso que indique:

Se o perfil dá acesso a dados pessoais;
Se o perfil dá acesso a dados pessoais sensíveis.

Dessa forma, sua empresa sempre terá visão centralizada sobre todas as pessoas que acessam dados pessoais na empresa, não precisando ir perguntar para o pessoal de TI ou pedir para alguém listar os usuários do ERP, do CRM, das pastas de rede etc para ter essa informação, que será um grande atenuante caso sua empresa seja alvo de uma investigação por vazamento de dados.

Portanto, é importante lembrar que um sistema de GIA reduz falhas operacionais, diminui riscos de fraude, automatiza processos, aumenta o nível de satisfação dos usuários e reduz a complexidade dos acessos. Os usuários deixam de ter que memorizar ou anotar diferentes senhas, protegendo-se de esquecimentos ou perda. A centralização desse processo, facilita o acesso e descomplica o compartilhamentos de contas.

Espero que este artigo sobre proteção de dados para LGPD tenha sido útil. Nosso blog contém dezenas de outros artigos sobre o tema que podem auxiliar na adequação à lei.

A E-TRUST é líder em Gestão de Identidades e Acessos e seu sistema HORACIUS atende todos os requisitos de controle de acesso aos dados pessoais mandados pela LGPD e comentados aqui.