(11) 5521-2021 [email protected]
A automatização de acessos na integração de novos colaboradores e terceiros

A automatização de acessos na integração de novos colaboradores e terceiros

A gestão de pessoas é sempre um diferencial, em tempos de dificuldade, para manter os custos sob controle e, em tempos de retomada, para obter rapidamente os resultados.

Mas você sabe como a integração de novos funcionários e terceiros nos diferentes sistemas da empresa pode agilizar o negócio e garantir a segurança dos dados sensíveis da empresa? Então esse texto é para você!

No contexto de mudanças de mercado, a integração de novos funcionários ou terceiros é um dos processos que pode se beneficiar da automatização da gestão de identidades. Uma implantação corretamente planejada e executada garante que as novas pessoas, ao se juntar ao time, recebam os direitos de acesso correspondente às tarefas que irão executar.

Parece bom demais para ser verdade? Pois saiba que é possível montar um processo, suportado por ferramentas de IAM, que entregue esta experiência positiva. Mas quais as principais atividades que devem estar no radar do gerente de projeto, que busque agregar esta pequena grande vitória?

A primeira delas é o desenho do processo de integração. Entender de onde surgem as pessoas, podendo vir de uma única base de RH, mas é bastante comum encontrarmos casos onde a base é distribuída. Temos também os terceiros, que as boas práticas recomendam que sejam segredados dos colaboradores, se possível com controles diferentes e específicos. Inicialmente, é preciso fazer um mapeamento da situação atual, analisando a documentação existente e entrevistando as equipes de TI e RH. Este entendimento da integração é fundamental para que seja possível identificar os eventuais gargalos e pontos de melhoria nos processos.

Uma vez identificadas as origens das pessoas e entendido o processo, podemos trabalhar na preparação dos perfis padrão ou “cesta básica”.

Estes direitos, agrupados em perfis, são aqueles identificados como necessários para que a pessoa inicie as suas atividades. Normalmente uma conta na rede, um endereço de correio eletrônico e acesso a um portal interno. Em alguns casos é possível conceder acessos mais específicos, desde que estes possam ser relacionados a informações da pessoa como: cargo, departamento etc.

Esta concessão automática de alguns direitos básicos é complementada pelo acesso a um portal que permita a verificação dos direitos atuais e solicitação de direitos adicionais, e se façam necessários no decorrer do trabalho.

As vantagens são a grande redução de custo e aborrecimento e o aumento da qualidade da experiência do usuário ao utilizar o portal de autosserviço.

A melhoria da segurança e compliance são os benefícios adicionais, já que evidências para a auditoria são coletadas e mantidas automaticamente, sem necessidade de tarefas manuais.

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

Vice-presidente da E-TRUST aborda a importância da Gestão de Identidade (GIA) no meio acadêmico

Com o tema “Patrimônio Digital, dados abertos e tecnologias de memória” a 5ª edição do Fórum RNP, promovido pela Rede Nacional de Ensino e Pesquisa, levou em dois dias de evento assuntos políticos e estratégicos para o setor de Tecnologia da Informação e Comunicação.

E para o primeiro dia de evento, o vice-presidente da E-TRUST, Mauro Souza, participou do painel com o tema “A confiança auditada: Novas perspectivas na Gestão de Identidade no meio acadêmico”.

Mauro abordou sobre como o mercado está vendo a Transformação Digital e a Gestão de Identidades e Acessos e como a governança e boas práticas podem ajudar aos órgãos de pesquisas e universidade a entregarem melhores resultados e melhores condições para alunos e pesquisadores.

Assista ao debate na íntegra no vídeo abaixo

Mauro Souza Vice-Presidente da E-TRUST no Fórum RNP 2018
O que é Gestão de Identidades e Acessos? (Parte 2)

O que é Gestão de Identidades e Acessos? (Parte 2)

A primeira parte deste artigo, teve como tema a definição do que é Gestão de Identidades, requisitos fundamentais e processos típicos da implantação de um sistema de GIA.

Nesta segunda parte, vou tratar de algumas funcionalidades adicionais, de características mais avançadas de projetos e sistemas de gestão de identidades e da interoperabilidade com single sign-on.

Em resumo, este artigo tem por objetivo apresentar mais informações, casos experienciados em projetos e dicas de uso sobre os seguintes tópicos:

 

Perfis de Negócio (RBAC)

Uma das grandes vantagens de se implantar um sistema de GIA é a possibilidade de passar a trabalhar com Perfis de Negócio, implementando, o que é conhecido em inglês como Role Based Access Control (RBAC).

Usando Perfis de Negócio, é possível ‘empacotar’ uma grande quantidade de direitos de acesso (perfis de acesso) em múltiplos sistemas e solicitar/aprovar/revogar esse pacote em uma só ação.

Tipicamente, um Perfil de Negócio empacota os direitos de acesso necessários para desempenhar um cargo ou função dentro de uma empresa. Não necessariamente, um Perfil de Negócio precisa conter todos os direitos necessários para todas as variações de um determinado cargo pois podem haver especificidades por localidade, departamento, empresa do grupo, entre outras.

Por isso, é perfeitamente válido, por exemplo, usar um Perfil de Negócio intitulado “Vendedor”, contendo todos os acessos comuns a essa função e deixar que os acessos específicos para Vendedor de Varejo, Vendedor de Atacado e etc., sejam solicitados via Portal de Autosserviço (Reset de Senha). Essas solicitações poderão ser feitas pelo próprio vendedor, por seu gestor, pelo RH ou por pessoas assim autorizadas nos fluxos do Gestão de Identidades (GIA).

Outro exemplo para ganhar agilidade e reduzir erros é usar o Perfil de Negócio para os cargos mais comuns na empresa. Por exemplo, em uma implantação da qual participei, em uma empresa com milhares de funcionários, o perfil mais comum era de Conferente, uma função que, inclusive, tinha rotatividade acima da média e gerava muito trabalho manual de concessão e revogação dos direitos.

Assim, mapeamos todos os direitos de acesso necessários para essa função e empacotamos em um perfil de negócio, simplificando ao máximo os processos, eliminando trabalho manual e eventuais falhas operacionais na manipulação dos direitos de acesso. Adicionalmente, como vamos ver no item sobre Regras de Provisionamento de Perfis Padrão, automatizamos a concessão dos direitos, garantindo que quando um novo Conferente chega para assumir a sua função, todos os direitos de acesso já estão provisionados.

E, encerrando este tópico, fica uma dica: adote Perfis de Negócio (RBAC) em ondas, começando por aqueles que vão trazer os ganhos mais alinhados com os motivadores do seu projeto. Por exemplo:

  • Se o seu principal motivador é aumentar a segurança: comece pelos perfis que aprovam transações financeiras, perfis que têm acesso a dados sensíveis, seguindo para demais perfis com poder de aprovação em fluxos de trabalho (materiais, entrada/saída etc).
  • Se o seu principal motivador é aumentar agilidade e produtividade: comece pelos perfis dos cargos que mais ocorrem na sua empresa, pelos perfis cujos cargos têm maior rotatividade, seguindo para aqueles mais propensos a gerar erros manuais.

 

Regras de Provisionamento de Perfis Padrão

A automação do provisionamento de perfis padrão é uma das funcionalidades que mais contribui para aumentar a agilidade, aumentar a satisfação dos usuários de TI e reduzir erros operacionais. E a combinação das regras de provisionamento com perfis de negócio tem potencial para eliminar grande número de chamados de TI.

Em inglês, as regras que definem o provisionamento automático de perfis padrão é, normalmente, chamada de entitlement, embora o termo ainda seja usado de uma forma ampla e não ainda com um significado estrito quando se analisa como um sistema de Gestão de Identidades e Acessos implementa o conceito.

Para usar as regras de provisionamento de perfis padrão é necessário elaborar um mapeamento de perfis que tenha como resultado quais são os perfis de acesso e/ou perfis de negócio necessários para cada função na organização.

Mas você pode perguntar: por que é necessário mapear todos os cargos da empresa?

Na verdade, não é necessário mapear todas as funções e cargos da empresa. Você pode mapear apenas as funções mais alinhadas com os seus riscos organizacionais ou ações de melhoria. Por exemplo, você pode ter uma demanda da empresa para acelerar o provisionamento para vendedores em campo para que comecem a vender assim que são contratados.

De posse desse objetivo, você deve fazer o seguinte:

  • Mapear os perfis necessários;
  • Identificar quais dados cadastrais serão disparadores da concessão;
  • Garantir que esses dados estão sendo recebidos das fontes de identidades (p. Ex., sistema de folha de pagamento);
  • Criar as regras no sistema de GIA.
  • E correr para o abraço 🙂

Aproveite a oportunidade para medir quanto tempo levava para o vendedor ter os acessos antes do uso das regras e depois e dar publicidade a esse ganho para as partes interessadas.

 

Níveis de Risco de Perfis

Uma das formas de aumentar a segurança da empresa é ter clareza sobre o nível de risco dos acessos que as pessoas possuem. Por exemplo, um perfil que autoriza um pagamento é claramente um perfil de maior risco do que um perfil que permite digitar um pedido de compra.

A atribuição de níveis de risco aos perfis, tipicamente, é resultado de uma análise de risco com análise de impacto para o negócio no caso de uso doloso dos direitos de acesso.

A atribuição de níveis de risco aos perfis permite:

  • Que perfis de maior risco sejam assim identificados pelos aprovadores quando estiverem ponderando uma solicitação;
  • Que indicadores de nível de risco sejam calculados para identificar, por exemplo, contas de usuário de maior risco.

Um sistema de GIA pode ser usado para tratar alguns dos riscos identificados, por exemplo, mediante o uso de segregação de funções. Outros riscos podem ser mitigados por sistemas correlatos como, por exemplo, o uso de múltiplos fatores de autenticação para aumentar o nível de assertividade na autenticação das pessoas.

 

Segregação de Funções

Esta é, talvez, a mais importante medida de proteção a ser empregada em sistemas que autorizem ou executam transações financeiras. O conceito de segregação de funções é antigo e tem por objetivo evitar que apenas uma pessoa possa executar funções que coloquem em risco a empresa ou a própria pessoa.

Por exemplo, não é recomendado que a mesma pessoa tenha direitos para entrar com um novo pedido de compra e aprovar o pagamento desse tipo de pedido em um sistema. Uma pessoa que tem esses direitos é um típico alvo de fraudadores, pois seu objetivo é conseguir o acesso à conta dessa pessoa para poder realizar fraudes sem precisar de uma segunda ou terceira conta.

A segregação de funções começa pela identificação dessas situações de risco, passa pelo mapeamento de perfis de acesso distintos para funções distintas e termina com a configuração de uma matriz de segregação, na qual são indicados os perfis que não podem ser concedidos para uma mesma pessoa.

Essa matriz é informada ao sistema de GIA para que ele possa identificar situações de violação das regras de segregação. Quando identificar, o sistema de GIA deve, então, interceptar esses fluxos e redirecionar para aprovação adicional, tipicamente, de um gestor de risco.

O sistema HORACIUS, por exemplo, permite que o gestor de risco documente a necessidade de violação da segregação de funções e a eventual existência de controles compensatórios. Tipicamente, pequenas unidades da empresa possuem pessoas que acumulam funções e isso pode justificar a necessidade de violação da segregação. Além disso, limites de alçada são controles compensatórios normalmente usados para limitar o risco nessas situações.

O controle de segregação de funções pode ser feito em dois níveis:

No mesmo sistema: quando a matriz de segregação considera somente as transações executadas em um sistema.

Em múltiplos sistemas: quando a matriz de segregação considera transações que podem ser executadas em mais de um sistema, tipicamente integrando o controle de segregação de funções com um modelo RBAC (Role-based access control), ou controle de acesso baseado em funções e cargos.

Saiba mais sobre o HORACIUS, a solução Líder em Gestão de Identidades

 

Workflows de Aprovação Distribuídos

Na minha experiência profissional com gestão de identidades esta é a funcionalidade que vejo mais sub-utilizada nas empresas. A tendência, tanto dentro de TI como nas demais áreas da organização, é enxergar os sistemas de informação como de propriedade da área de TI, o que acaba se estendendo para os dados e informações que estão dentro dos sistemas.

Mas, na verdade, os verdadeiros ‘donos’ dos dados são as áreas de negócio da empresa que criam, manipulam, transmitem e removem os dados conforme as suas necessidades para executar os negócios da empresa.

É muito comum que a área de TI seja responsável por permitir o acesso a uma pasta de rede para uma pessoa que entra em um novo projeto. No entanto, o ato de executar a configuração que permite o acesso é, normalmente, confundido com o poder sobre a decisão.

Vemos isso até na linguagem utilizada, pois é comum ouvir-se: “vou pedir pra TI o acesso à pasta do projeto”. Mas quem define se uma pessoa vai ter direito de acesso à pasta de um projeto é a gerente desse projeto. Por que ela precisa de TI? Tipicamente, apenas para executar a ordem dada, algo que poderia facilmente ser feito por um sistema de Gestão de Identidades e Acessos, este por sua vez parametrizado por TI.

Com workflows distribuídos, podemos permitir que as diferentes áreas da empresa autorizem os direitos de acesso conforme as suas necessidades sem depender de TI pois, com provisionamento automático, os direitos são atribuídos ou retirados conforme os ‘donos’ dos dados determinam. Ao TI, compete a atribuição de criar e manter as parametrizações no sistema de GIA que dão essa agilidade ao negócio.

Com isso, um gerente de projeto pode conceder e revogar acesso a uma pasta de rede de projetos conforme as novos membros entram e saem da equipe. Um gestor financeiro pode conceder perfis de aprovação por tempo determinado para uma pessoa cobrir as férias de outra. Tudo isso sem abrir um chamado em TI.

Durante os projeto em que participei, presenciei muitas vezes o desconforto das áreas de negócio em assumir esses tipos de aprovações e reconheço que ainda é necessário conscientizar as próprias áreas de negócio sobre as vantagens do uso de fluxos de aprovação distribuídos.

Por isso, entendo que este tema deve ser tratado com especial cuidado na empresa e deve ser iniciado com áreas de negócio que já identificaram claramente as vantagens e estão dispostas a abrir mão da ‘bengala’ oferecia por TI. Acredito que com a evolução na facilidade de uso dos sistemas de GIA e com o aumento no número de nativos digitais nas empresas, o uso de workflows distribuídos tende a aumentar.

Múltiplos Fatores de Autenticação (MFA)

Um dos requisitos básicos de uma boa implantação de GIA é que a autenticação das pessoas seja feita de forma eficiente e eficaz.

Com o advento de sistemas em nuvem, cada vez mais as empresas precisam conviver com ambientes híbridos, com múltiplas contas de acesso para a mesma pessoa e com diferentes requisitos de autenticação. E uma das formas de aumentar a eficácia da autenticação e aumentar a segurança de contas com acesso a perfis de alto risco é usar mais de um fator de autenticação.

Tipicamente, as contas de acesso aos sistemas são protegidas por uma senha. Essa senha, de uso pessoal e intransferível, é que garante que, digamos, a Ana é ela mesma para o sistema de informação que a Ana está acessando.

No entanto, uma senha pode ser descoberta, compartilhada, furtada, roubada, vazada ou extraviada, fazendo com que outra pessoa ou robô possa se passar pela Ana e furtar dados, destruir dados, realizar transações e tudo o mais que é permitido pelos direitos de acesso da Ana. E tudo vai ficar registrado como se a Ana estivesse fazendo.

Para aumentar a eficácia da autenticação, podemos usar, além da senha, mais um fator de autenticação. Isso tornará muito mais difícil comprometer a segurança da conta da Ana.

Atualmente, os seguintes fatores estão sendo usados com sucesso no mercado, com diferentes níveis de aceitação pelos usuários e diferentes objetivos:

  • Token via SMS: este fator está se tornando muito popular e seu uso consiste em o sistema exigir um código após a senha. O usuário recebe esse código no seu telefone celular via mensagem de texto (SMS) e digita o código na tela de login.
  • Token via aplicativo no celular: este fator está sendo mais usado por administradores de sistemas e por sistemas de internet banking. Similar ao token via SMS, a única diferença é que o token é gerado por um aplicatio no próprio celular com base na data e hora do aparelho.
  • Biometria: este fator está usando em situações em que a presença física do usuário ocorre e/ou é obrigatória. Leitor de impressão digital é o mais usado atualmente, mas também existem usos bem conhecidos de leitor de íris do olho, biometria da palma da mão, e de reconhecimento facial.

Cabe comentar também que um segundo fator de autenticação pode ser usado após um usuários estar autenticado, com o objetivo de autorizar uma transação crítica. Por exemplo, um sistema de transferência eletrônica de fundos (TED), tipicamente, exige um segundo fator de autenticação antes de aprovar uma transação desse tipo.

Desenvolvedores de sistemas devem atentar para a possibilidade de usar esse tipo de fator de segurança em seus sitemas, uma vez que é fácil incorporar a um sistema novo e, muitas vezes, difícil de incorporar a um sistema legado. Uma dica é usar uma chamada genérica web service a um serviço externo para isso, de modo que a chamado poderá ser sempre a mesma, somente o servidor com o MFA que precisará ser alterado no futuro, caso mude a tecnologia, o fabricante ou se deseje usar outro fator de autenticação.

 

Single Sign-on (SSO)

Muitas vezes visto como o Santo Graal da autenticação de usuários, é uma solução que enfrenta cada vez menos resistência e, com o passar dos anos, cada vez mais vantagens.

Os principais objetivos de uma implantação de SSO é proporcionar:

  • Uma boa experiência de uso dos sistemas, mediante a eliminação das telas de solicitação de senhas quando uma pessoa navega de uma aplicação para outra no seu computador;
  • Maior segurança, mediante a implementação de um nível mínimo de qualidade de autenticação para todos os sistemas da empresa, usando protocolos de autenticação padrão de mercado, testados e aprovados por organismos internacionais de segurança.

Hoje, existem soluções bem testadas no mercado para fazer SSO em ambientes Windows, em aplicativos web e dentro da suite de aplicativos de um mesmo fabricante. Tipicamente, os desafios de uma implantação de SSO surgem na integração com sistemas legados, que não foram projetados para suportar esse tipo de autenticação.

Mas mesmo assim, existem soluções. Uma combinação vencedora é fazer uma composição com:

  • Um sistema de GIA para o provisionamento.
  • Um servidor de diretório padrão LDAP.
  • Um servidor de SSO com suporte a SAML, MFA e outros protocolos de autenticação de mercado.

Baixe o e-book completo e gratuito sobre o SSO

Bem, se você chegou até aqui, agradeço pela sua atenção e espero que tenha aproveitado. Procurei transmitir minha experiência de mais de 10 anos nessa área com dicas simples e diretas que você poder aplicar no seu dia-a-dia.

Fica aqui o convite para você conhecer um pouco mais sobre o nosso sistema HORACIUS e ver como podemos auxiliá-lo a ganhar agilidade e aumentar a segurança na sua empresa. 

Baixe agora o Whitepaper sobre o HORACIUS

5 motivos para implantar Gestão de Identidades e Acessos

5 motivos para implantar Gestão de Identidades e Acessos

Saiba mais sobre Gestão de Identidade e Acesso e por que implantá-lo

Este e-book é voltado para quem está buscando mais informações sobre Gestão de Identidade e Acesso e suas funcionalidades. Aqui daremos uma visão geral sobre o assunto para entender o escopo completo do que hoje se entende quando usa-se o termo Gestão de Identidade.

Pra começar, vamos falar do próprio termo Gestão de Identidade. Em inglês, usa-se bastante Identity Management (IDM) e Identity and Access Management (IAM). No Brasil, tem se tornado cada vez mais popular o emprego da sigla GIA para Gestão de Identidade e Acesso.

Ao longo dos últimos 10 anos, o escopo de gestão de identidade e acessos vem sendo ampliado. E hoje há uma interoperabilidade (capacidade de um sistema se comunicar de forma transparente com outro sistema) bastante variada com múltiplos sistemas correlatos.

Estes sistemas incluem Single Sign-on, Multi-factor Authentication, Mobile Device Management, Cloud Services, IDaaS e outros.

5 motivos para implantar Gestão de Identidades e Acessos

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST é patrocinadora oficial do Gartner Symposium/ ITXPO 2018

Pelo 5º ano consecutivo no Gartner de São Paulo e o pelo Gartner Orlando, a E-TRUST, líder no segmento de Segurança da Informação, levará o conceito da importância da Gestão de Identidade para a Transformação Digital no Gartner Symposium/ ITXPO 2018.

Serão duas semanas de evento. Dos dias 14 – 18 de Outubro no Gartner Orlando e 22 – 25 de Outubro em São Paulo. Reserve estas datas, visite o stand da E-TRUST e participe do evento mais importante do segmento de tecnologia que reúne, além de networking, muito conhecimento!

Sobre o evento

O Gartner Symposium/ ITXPO 2018 é o encontro mais importante de CIOs e executivos seniores de TI do mundo. O evento explora as tendências e tecnologias estratégicas que estão impulsionando a transformação digital e moldando o futuro da TI e dos negócios.

Através de uma convergência sem precedentes de analistas do Gartner, especialistas da indústria e provedores de soluções de última geração, os participantes têm a oportunidade de explorar maneiras inovadoras de abordar seus principais desafios, tomar decisões com confiança e alcançar maior impacto como líder.

O pós-vazamento de dados do Facebook e o GDPR como divisores de água na Gestão de Identidades e Acessos

O pós-vazamento de dados do Facebook e o GDPR como divisores de água na Gestão de Identidades e Acessos

Após o vazamento de dados de mais de 87 milhões de usuários através da Cambridge Analytica, por intermédio do Facebook, a situação ainda segue se desdobrando e o tema Gestão de Identidade e Acessos passou a estar ainda mais em evidência.

O caso em questão tornou-se um divisor de águas para a Segurança da Informação. Ou seja, se antes o assunto já ganhava espaço em empresa maiores e de segmentos específicos, como por exemplo o varejo, hoje virou o assunto mais falado por todos. O tempo tem sido o maior vilão para as organizações que buscam assegurar informações internas e manter a integridade de seus colaboradores com agilidade, praticidade e segurança.

Além disso, recentemente entrou em vigor na União Européia o GDPR. A nova lei de política de segurança de dados pessoais de usuários mobilizou, não somente empresas da UE, mas instituições de fora que se relacionam com cidadãos que moram nos países pertencentes à União Europeia.

E você sabe quem está acessando os dados sigilosos na sua empresa?

Fica cada vez mais evidente a necessidade de ter um gerenciamento total e centralizado da Gestão de Identidade e Acessos de toda a sua empresa, que atenda não somente requisitos de segurança de dados de usuários e informações da empresa, mas esteja em dia com leis trabalhistas e demais regulamentações.

Controle maior de acessos é o segredo para uma Gestão de Identidade Segura

Frente ao cenário de usuários que buscam acessos cada vez mais rápidos e práticos, em diferentes meios digitais (celulares smartphones, tablets e computadores),  o acesso às informações chegam de formas “espalhadas” e a segurança de dados precisa estar voltada em garantir o controle da rede corporativa que hoje passou de apenas datacenters e já dispõe de muitas das suas informações em nuvem (cloud).

Segundo o Gartner, o Gerenciamento de Identidade e Acesso ou IAM (Identity and Access Management) precisam se tornar ágeis para suprir e suportar essas novas necessidades dos usuários e empresas que buscam aplicações de Software como SaaS e outros serviços em nuvem.

E essas novas mudanças estão diretamente ligadas aos novos escândalos marcado pelo vazamento de informações retiradas do Facebook e também às novas leis de privacidade que entraram em vigor recentemente pela Regulamentação Geral de Proteção de Dados ou, em inglês, General Data Protection Regulation.

Conheça o HORACIUS – A plataforma de Gestão de Identidade da E-TRUST

A Plataforma de Gestão de Identidade e Acesso da E-TRUST, HORACIUS, permite entre diversos benefícios, a criação de níveis apropriados de acesso a aplicações, reduz falhas operacionais e garante a agilidade na entrada e saída de funcionários e prestadores de serviço, entre muitos out

Deseja saber mais sobre o HORACIUS?

Whitepaper gratuito HORACIUS