(11) 5521-2021 [email protected]
Gestão de Direitos, o Sistema Imunológico da Transformação Digital

Gestão de Direitos, o Sistema Imunológico da Transformação Digital

Eu, como muitos de vocês, profissionais da área de TI, para me manter atualizado, tenho visto apresentações em eventos da área, assistido sessões de Webinar, meetups, e tenho visto que o assunto transformação digital está sempre presente. As vezes como tema central, outras como ferramenta para materializar um projeto. O fio condutor entre os eventos são as pessoas e o seu acesso às informações. Seja para atender melhor um cliente, fornecer um produto personalizado ou para reduzir custos no processo de produção e entrega.

Me chamou a atenção que, embora mencionada como um pilar vital para o processo, a gestão de direitos de acesso, muitas vezes, passa quase desapercebida. Mas não se deixe enganar por sua quase invisibilidade, os especialistas são categóricos: um projeto de transformação digital que não contemple a gestão de direitos, não é viável a longo prazo. Algo como um ser vivo sem um Sistema Imunológico.

Na verdade, quando se estuda projetos de transformação digital que tiveram sucesso, claramente identificamos a vertical de gestão de Identidades e Acessos, da mesma forma que o sistema imunológico, silenciosamente protegendo o que há de mais valor em sua organização.

A gestão de Identidades tem o poder de, quando corretamente implantada, atuar tanto no nível operacional quanto no estratégico. No nível operacional, automatizando tarefas e agilizando o atendimento aos clientes, reduzindo custo, erros e retrabalho. Já no nível estratégico, garante que a organização esteja alinhada com as boas práticas, ou seja, apta a fazer negócios sem se ariscar a vazamentos de informações que podem até gerar multas, como no caso de descumprimento da nova Lei de Proteção de Dados (LGPD).

Veja aqui: o que é a nova Lei Geral de Proteção de Dados (LGPD)

Na prática, quando os projetos piloto de transformação digital se preparam para efetivamente ganhar espaço no portfólio da empresa, é vital saber como responder as questões:

  • Quem tem acesso as informações?
  • Quem autorizou o acesso?
  • Quais sistemas tratam informações de quais pessoas? 
  • E, claro, como você gerencia tudo isso?

A transformação digital é uma evolução necessária, mas é preciso estar atento que ao simplificar o processo de produção e entrega, sob o ponto de vista do cliente, geramos uma demanda considerável por recursos de tecnologia. Para gerir de forma segura estes recursos, na linha de frente está a Gestão de Identidades e Acesso (GIA).

Sem isso, sua empresa estará correndo riscos desnecessários, que podem variar de multas até a inviabilidade do seu negócio. Projetos de Transformação Digital aumentam muito a exposição da empresa junto ao público consumidor e pesquisas mostram que mais de 50% dos consumidores pretendem desistir de fazer negócios com empresas que vazem seus dados pessoais.

Lembre-se sempre: não é possível ter sucesso no mundo digital sem a garantia que os direitos de acesso são corretamente gerenciados.

Para saber mais, veja nosso webinar: Qual a importância da Gestão de Identidades e Acessos para a Transformação Digital?

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

Vice-presidente da E-TRUST aborda a importância da Gestão de Identidade (GIA) no meio acadêmico

Com o tema “Patrimônio Digital, dados abertos e tecnologias de memória” a 5ª edição do Fórum RNP, promovido pela Rede Nacional de Ensino e Pesquisa, levou em dois dias de evento assuntos políticos e estratégicos para o setor de Tecnologia da Informação e Comunicação.

E para o primeiro dia de evento, o vice-presidente da E-TRUST, Mauro Souza, participou do painel com o tema “A confiança auditada: Novas perspectivas na Gestão de Identidade no meio acadêmico”.

Mauro abordou sobre como o mercado está vendo a Transformação Digital e a Gestão de Identidades e Acessos e como a governança e boas práticas podem ajudar aos órgãos de pesquisas e universidade a entregarem melhores resultados e melhores condições para alunos e pesquisadores.

Assista ao debate na íntegra no vídeo abaixo

Mauro Souza Vice-Presidente da E-TRUST no Fórum RNP 2018
O que é Gestão de Identidades e Acessos? (Parte 2)

O que é Gestão de Identidades e Acessos? (Parte 2)

A primeira parte deste artigo, teve como tema a definição do que é Gestão de Identidades, requisitos fundamentais e processos típicos da implantação de um sistema de GIA.

Nesta segunda parte, vou tratar de algumas funcionalidades adicionais, de características mais avançadas de projetos e sistemas de gestão de identidades e da interoperabilidade com single sign-on.

Em resumo, este artigo tem por objetivo apresentar mais informações, casos experienciados em projetos e dicas de uso sobre os seguintes tópicos:

 

Perfis de Negócio (RBAC)

Uma das grandes vantagens de se implantar um sistema de GIA é a possibilidade de passar a trabalhar com Perfis de Negócio, implementando, o que é conhecido em inglês como Role Based Access Control (RBAC).

Usando Perfis de Negócio, é possível ‘empacotar’ uma grande quantidade de direitos de acesso (perfis de acesso) em múltiplos sistemas e solicitar/aprovar/revogar esse pacote em uma só ação.

Tipicamente, um Perfil de Negócio empacota os direitos de acesso necessários para desempenhar um cargo ou função dentro de uma empresa. Não necessariamente, um Perfil de Negócio precisa conter todos os direitos necessários para todas as variações de um determinado cargo pois podem haver especificidades por localidade, departamento, empresa do grupo, entre outras.

Por isso, é perfeitamente válido, por exemplo, usar um Perfil de Negócio intitulado “Vendedor”, contendo todos os acessos comuns a essa função e deixar que os acessos específicos para Vendedor de Varejo, Vendedor de Atacado e etc., sejam solicitados via Portal de Autosserviço (Reset de Senha). Essas solicitações poderão ser feitas pelo próprio vendedor, por seu gestor, pelo RH ou por pessoas assim autorizadas nos fluxos do Gestão de Identidades (GIA).

Outro exemplo para ganhar agilidade e reduzir erros é usar o Perfil de Negócio para os cargos mais comuns na empresa. Por exemplo, em uma implantação da qual participei, em uma empresa com milhares de funcionários, o perfil mais comum era de Conferente, uma função que, inclusive, tinha rotatividade acima da média e gerava muito trabalho manual de concessão e revogação dos direitos.

Assim, mapeamos todos os direitos de acesso necessários para essa função e empacotamos em um perfil de negócio, simplificando ao máximo os processos, eliminando trabalho manual e eventuais falhas operacionais na manipulação dos direitos de acesso. Adicionalmente, como vamos ver no item sobre Regras de Provisionamento de Perfis Padrão, automatizamos a concessão dos direitos, garantindo que quando um novo Conferente chega para assumir a sua função, todos os direitos de acesso já estão provisionados.

E, encerrando este tópico, fica uma dica: adote Perfis de Negócio (RBAC) em ondas, começando por aqueles que vão trazer os ganhos mais alinhados com os motivadores do seu projeto. Por exemplo:

  • Se o seu principal motivador é aumentar a segurança: comece pelos perfis que aprovam transações financeiras, perfis que têm acesso a dados sensíveis, seguindo para demais perfis com poder de aprovação em fluxos de trabalho (materiais, entrada/saída etc).
  • Se o seu principal motivador é aumentar agilidade e produtividade: comece pelos perfis dos cargos que mais ocorrem na sua empresa, pelos perfis cujos cargos têm maior rotatividade, seguindo para aqueles mais propensos a gerar erros manuais.

 

Regras de Provisionamento de Perfis Padrão

A automação do provisionamento de perfis padrão é uma das funcionalidades que mais contribui para aumentar a agilidade, aumentar a satisfação dos usuários de TI e reduzir erros operacionais. E a combinação das regras de provisionamento com perfis de negócio tem potencial para eliminar grande número de chamados de TI.

Em inglês, as regras que definem o provisionamento automático de perfis padrão é, normalmente, chamada de entitlement, embora o termo ainda seja usado de uma forma ampla e não ainda com um significado estrito quando se analisa como um sistema de Gestão de Identidades e Acessos implementa o conceito.

Para usar as regras de provisionamento de perfis padrão é necessário elaborar um mapeamento de perfis que tenha como resultado quais são os perfis de acesso e/ou perfis de negócio necessários para cada função na organização.

Mas você pode perguntar: por que é necessário mapear todos os cargos da empresa?

Na verdade, não é necessário mapear todas as funções e cargos da empresa. Você pode mapear apenas as funções mais alinhadas com os seus riscos organizacionais ou ações de melhoria. Por exemplo, você pode ter uma demanda da empresa para acelerar o provisionamento para vendedores em campo para que comecem a vender assim que são contratados.

De posse desse objetivo, você deve fazer o seguinte:

  • Mapear os perfis necessários;
  • Identificar quais dados cadastrais serão disparadores da concessão;
  • Garantir que esses dados estão sendo recebidos das fontes de identidades (p. Ex., sistema de folha de pagamento);
  • Criar as regras no sistema de GIA.
  • E correr para o abraço 🙂

Aproveite a oportunidade para medir quanto tempo levava para o vendedor ter os acessos antes do uso das regras e depois e dar publicidade a esse ganho para as partes interessadas.

 

Níveis de Risco de Perfis

Uma das formas de aumentar a segurança da empresa é ter clareza sobre o nível de risco dos acessos que as pessoas possuem. Por exemplo, um perfil que autoriza um pagamento é claramente um perfil de maior risco do que um perfil que permite digitar um pedido de compra.

A atribuição de níveis de risco aos perfis, tipicamente, é resultado de uma análise de risco com análise de impacto para o negócio no caso de uso doloso dos direitos de acesso.

A atribuição de níveis de risco aos perfis permite:

  • Que perfis de maior risco sejam assim identificados pelos aprovadores quando estiverem ponderando uma solicitação;
  • Que indicadores de nível de risco sejam calculados para identificar, por exemplo, contas de usuário de maior risco.

Um sistema de GIA pode ser usado para tratar alguns dos riscos identificados, por exemplo, mediante o uso de segregação de funções. Outros riscos podem ser mitigados por sistemas correlatos como, por exemplo, o uso de múltiplos fatores de autenticação para aumentar o nível de assertividade na autenticação das pessoas.

 

Segregação de Funções

Esta é, talvez, a mais importante medida de proteção a ser empregada em sistemas que autorizem ou executam transações financeiras. O conceito de segregação de funções é antigo e tem por objetivo evitar que apenas uma pessoa possa executar funções que coloquem em risco a empresa ou a própria pessoa.

Por exemplo, não é recomendado que a mesma pessoa tenha direitos para entrar com um novo pedido de compra e aprovar o pagamento desse tipo de pedido em um sistema. Uma pessoa que tem esses direitos é um típico alvo de fraudadores, pois seu objetivo é conseguir o acesso à conta dessa pessoa para poder realizar fraudes sem precisar de uma segunda ou terceira conta.

A segregação de funções começa pela identificação dessas situações de risco, passa pelo mapeamento de perfis de acesso distintos para funções distintas e termina com a configuração de uma matriz de segregação, na qual são indicados os perfis que não podem ser concedidos para uma mesma pessoa.

Essa matriz é informada ao sistema de GIA para que ele possa identificar situações de violação das regras de segregação. Quando identificar, o sistema de GIA deve, então, interceptar esses fluxos e redirecionar para aprovação adicional, tipicamente, de um gestor de risco.

O sistema HORACIUS, por exemplo, permite que o gestor de risco documente a necessidade de violação da segregação de funções e a eventual existência de controles compensatórios. Tipicamente, pequenas unidades da empresa possuem pessoas que acumulam funções e isso pode justificar a necessidade de violação da segregação. Além disso, limites de alçada são controles compensatórios normalmente usados para limitar o risco nessas situações.

O controle de segregação de funções pode ser feito em dois níveis:

No mesmo sistema: quando a matriz de segregação considera somente as transações executadas em um sistema.

Em múltiplos sistemas: quando a matriz de segregação considera transações que podem ser executadas em mais de um sistema, tipicamente integrando o controle de segregação de funções com um modelo RBAC (Role-based access control), ou controle de acesso baseado em funções e cargos.

Saiba mais sobre o HORACIUS, a solução Líder em Gestão de Identidades

 

Workflows de Aprovação Distribuídos

Na minha experiência profissional com gestão de identidades esta é a funcionalidade que vejo mais sub-utilizada nas empresas. A tendência, tanto dentro de TI como nas demais áreas da organização, é enxergar os sistemas de informação como de propriedade da área de TI, o que acaba se estendendo para os dados e informações que estão dentro dos sistemas.

Mas, na verdade, os verdadeiros ‘donos’ dos dados são as áreas de negócio da empresa que criam, manipulam, transmitem e removem os dados conforme as suas necessidades para executar os negócios da empresa.

É muito comum que a área de TI seja responsável por permitir o acesso a uma pasta de rede para uma pessoa que entra em um novo projeto. No entanto, o ato de executar a configuração que permite o acesso é, normalmente, confundido com o poder sobre a decisão.

Vemos isso até na linguagem utilizada, pois é comum ouvir-se: “vou pedir pra TI o acesso à pasta do projeto”. Mas quem define se uma pessoa vai ter direito de acesso à pasta de um projeto é a gerente desse projeto. Por que ela precisa de TI? Tipicamente, apenas para executar a ordem dada, algo que poderia facilmente ser feito por um sistema de Gestão de Identidades e Acessos, este por sua vez parametrizado por TI.

Com workflows distribuídos, podemos permitir que as diferentes áreas da empresa autorizem os direitos de acesso conforme as suas necessidades sem depender de TI pois, com provisionamento automático, os direitos são atribuídos ou retirados conforme os ‘donos’ dos dados determinam. Ao TI, compete a atribuição de criar e manter as parametrizações no sistema de GIA que dão essa agilidade ao negócio.

Com isso, um gerente de projeto pode conceder e revogar acesso a uma pasta de rede de projetos conforme as novos membros entram e saem da equipe. Um gestor financeiro pode conceder perfis de aprovação por tempo determinado para uma pessoa cobrir as férias de outra. Tudo isso sem abrir um chamado em TI.

Durante os projeto em que participei, presenciei muitas vezes o desconforto das áreas de negócio em assumir esses tipos de aprovações e reconheço que ainda é necessário conscientizar as próprias áreas de negócio sobre as vantagens do uso de fluxos de aprovação distribuídos.

Por isso, entendo que este tema deve ser tratado com especial cuidado na empresa e deve ser iniciado com áreas de negócio que já identificaram claramente as vantagens e estão dispostas a abrir mão da ‘bengala’ oferecia por TI. Acredito que com a evolução na facilidade de uso dos sistemas de GIA e com o aumento no número de nativos digitais nas empresas, o uso de workflows distribuídos tende a aumentar.

Múltiplos Fatores de Autenticação (MFA)

Um dos requisitos básicos de uma boa implantação de GIA é que a autenticação das pessoas seja feita de forma eficiente e eficaz.

Com o advento de sistemas em nuvem, cada vez mais as empresas precisam conviver com ambientes híbridos, com múltiplas contas de acesso para a mesma pessoa e com diferentes requisitos de autenticação. E uma das formas de aumentar a eficácia da autenticação e aumentar a segurança de contas com acesso a perfis de alto risco é usar mais de um fator de autenticação.

Tipicamente, as contas de acesso aos sistemas são protegidas por uma senha. Essa senha, de uso pessoal e intransferível, é que garante que, digamos, a Ana é ela mesma para o sistema de informação que a Ana está acessando.

No entanto, uma senha pode ser descoberta, compartilhada, furtada, roubada, vazada ou extraviada, fazendo com que outra pessoa ou robô possa se passar pela Ana e furtar dados, destruir dados, realizar transações e tudo o mais que é permitido pelos direitos de acesso da Ana. E tudo vai ficar registrado como se a Ana estivesse fazendo.

Para aumentar a eficácia da autenticação, podemos usar, além da senha, mais um fator de autenticação. Isso tornará muito mais difícil comprometer a segurança da conta da Ana.

Atualmente, os seguintes fatores estão sendo usados com sucesso no mercado, com diferentes níveis de aceitação pelos usuários e diferentes objetivos:

  • Token via SMS: este fator está se tornando muito popular e seu uso consiste em o sistema exigir um código após a senha. O usuário recebe esse código no seu telefone celular via mensagem de texto (SMS) e digita o código na tela de login.
  • Token via aplicativo no celular: este fator está sendo mais usado por administradores de sistemas e por sistemas de internet banking. Similar ao token via SMS, a única diferença é que o token é gerado por um aplicatio no próprio celular com base na data e hora do aparelho.
  • Biometria: este fator está usando em situações em que a presença física do usuário ocorre e/ou é obrigatória. Leitor de impressão digital é o mais usado atualmente, mas também existem usos bem conhecidos de leitor de íris do olho, biometria da palma da mão, e de reconhecimento facial.

Cabe comentar também que um segundo fator de autenticação pode ser usado após um usuários estar autenticado, com o objetivo de autorizar uma transação crítica. Por exemplo, um sistema de transferência eletrônica de fundos (TED), tipicamente, exige um segundo fator de autenticação antes de aprovar uma transação desse tipo.

Desenvolvedores de sistemas devem atentar para a possibilidade de usar esse tipo de fator de segurança em seus sitemas, uma vez que é fácil incorporar a um sistema novo e, muitas vezes, difícil de incorporar a um sistema legado. Uma dica é usar uma chamada genérica web service a um serviço externo para isso, de modo que a chamado poderá ser sempre a mesma, somente o servidor com o MFA que precisará ser alterado no futuro, caso mude a tecnologia, o fabricante ou se deseje usar outro fator de autenticação.

 

Single Sign-on (SSO)

Muitas vezes visto como o Santo Graal da autenticação de usuários, é uma solução que enfrenta cada vez menos resistência e, com o passar dos anos, cada vez mais vantagens.

Os principais objetivos de uma implantação de SSO é proporcionar:

  • Uma boa experiência de uso dos sistemas, mediante a eliminação das telas de solicitação de senhas quando uma pessoa navega de uma aplicação para outra no seu computador;
  • Maior segurança, mediante a implementação de um nível mínimo de qualidade de autenticação para todos os sistemas da empresa, usando protocolos de autenticação padrão de mercado, testados e aprovados por organismos internacionais de segurança.

Hoje, existem soluções bem testadas no mercado para fazer SSO em ambientes Windows, em aplicativos web e dentro da suite de aplicativos de um mesmo fabricante. Tipicamente, os desafios de uma implantação de SSO surgem na integração com sistemas legados, que não foram projetados para suportar esse tipo de autenticação.

Mas mesmo assim, existem soluções. Uma combinação vencedora é fazer uma composição com:

  • Um sistema de GIA para o provisionamento.
  • Um servidor de diretório padrão LDAP.
  • Um servidor de SSO com suporte a SAML, MFA e outros protocolos de autenticação de mercado.

Baixe o e-book completo e gratuito sobre o SSO

Bem, se você chegou até aqui, agradeço pela sua atenção e espero que tenha aproveitado. Procurei transmitir minha experiência de mais de 10 anos nessa área com dicas simples e diretas que você poder aplicar no seu dia-a-dia.

Fica aqui o convite para você conhecer um pouco mais sobre o nosso sistema HORACIUS e ver como podemos auxiliá-lo a ganhar agilidade e aumentar a segurança na sua empresa. 

Baixe agora o Whitepaper sobre o HORACIUS

5 motivos para implantar Gestão de Identidades e Acessos

5 motivos para implantar Gestão de Identidades e Acessos

Saiba mais sobre Gestão de Identidade e Acesso e por que implantá-lo

Este e-book é voltado para quem está buscando mais informações sobre Gestão de Identidade e Acesso e suas funcionalidades. Aqui daremos uma visão geral sobre o assunto para entender o escopo completo do que hoje se entende quando usa-se o termo Gestão de Identidade.

Pra começar, vamos falar do próprio termo Gestão de Identidade. Em inglês, usa-se bastante Identity Management (IDM) e Identity and Access Management (IAM). No Brasil, tem se tornado cada vez mais popular o emprego da sigla GIA para Gestão de Identidade e Acesso.

Ao longo dos últimos 10 anos, o escopo de gestão de identidade e acessos vem sendo ampliado. E hoje há uma interoperabilidade (capacidade de um sistema se comunicar de forma transparente com outro sistema) bastante variada com múltiplos sistemas correlatos.

Estes sistemas incluem Single Sign-on, Multi-factor Authentication, Mobile Device Management, Cloud Services, IDaaS e outros.

5 motivos para implantar Gestão de Identidades e Acessos

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST é patrocinadora oficial do Gartner Symposium/ ITXPO 2018

Pelo 5º ano consecutivo no Gartner de São Paulo e o pelo Gartner Orlando, a E-TRUST, líder no segmento de Segurança da Informação, levará o conceito da importância da Gestão de Identidade para a Transformação Digital no Gartner Symposium/ ITXPO 2018.

Serão duas semanas de evento. Dos dias 14 – 18 de Outubro no Gartner Orlando e 22 – 25 de Outubro em São Paulo. Reserve estas datas, visite o stand da E-TRUST e participe do evento mais importante do segmento de tecnologia que reúne, além de networking, muito conhecimento!

Sobre o evento

O Gartner Symposium/ ITXPO 2018 é o encontro mais importante de CIOs e executivos seniores de TI do mundo. O evento explora as tendências e tecnologias estratégicas que estão impulsionando a transformação digital e moldando o futuro da TI e dos negócios.

Através de uma convergência sem precedentes de analistas do Gartner, especialistas da indústria e provedores de soluções de última geração, os participantes têm a oportunidade de explorar maneiras inovadoras de abordar seus principais desafios, tomar decisões com confiança e alcançar maior impacto como líder.

E-TRUST é presença confirmada na 7ª edição do My Inova Summit

E-TRUST é presença confirmada na 7ª edição do My Inova Summit

E-TRUST é presença confirmada no My Inova Summit 2018

A E-TRUST estará presente na 7ª edição do My Inova Summit (antigo Parana TIC), que reúne grandes oportunidades para gestores e profissionais de engenharia de software.

Entre os dias 1 e 3 de agosto acontecerá em Foz do Iguaçu, o evento realizado pela Assespro, trará tendências em tecnologia, inovação em empreendedorismo e startups.

O circuito de aprendizado apresenta diversos novos debates, sustentados por especialistas nacionais e internacionais. Entre eles estará o vice-presidente da E-TRUST, Mauro Souza que participará do painel, no último dia do evento às 10h, com o tema: “Em tempos de Transformação Digital, como o Machine Learning e a Inteligência Artificial estão moldando o futuro da Gestão de Identidades”.

O sócio-fundador da E-TRUST, Mauro Souza, reúne diversas especializações, entre eles, Gestão de Identidades e Governança, possui mais de 20 anos de experiência em Segurança da Informação e é pioneiro na implantação no Brasil de controles de segurança compatíveis com boas práticas internacionais. Além disso, possui certificações em CISSP, CISM, CISA e LA27001.

Confira a programação completa do evento e saiba mais informações sobre como se inscrever:

MY INOVA SUMMIT 2018