(11) 5521-2021 [email protected]
E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

Vice-presidente da E-TRUST aborda a importância da Gestão de Identidade (GIA) no meio acadêmico

Com o tema “Patrimônio Digital, dados abertos e tecnologias de memória” a 5ª edição do Fórum RNP, promovido pela Rede Nacional de Ensino e Pesquisa, levou em dois dias de evento assuntos políticos e estratégicos para o setor de Tecnologia da Informação e Comunicação.

E para o primeiro dia de evento, o vice-presidente da E-TRUST, Mauro Souza, participou do painel com o tema “A confiança auditada: Novas perspectivas na Gestão de Identidade no meio acadêmico”.

Mauro abordou sobre como o mercado está vendo a Transformação Digital e a Gestão de Identidades e Acessos e como a governança e boas práticas podem ajudar aos órgãos de pesquisas e universidade a entregarem melhores resultados e melhores condições para alunos e pesquisadores.

Assista ao debate na íntegra no vídeo abaixo

Mauro Souza Vice-Presidente da E-TRUST no Fórum RNP 2018
O que é Gestão de Identidades e Acessos? (Parte 2)

O que é Gestão de Identidades e Acessos? (Parte 2)

A primeira parte deste artigo, teve como tema a definição do que é Gestão de Identidades, requisitos fundamentais e processos típicos da implantação de um sistema de GIA.

Nesta segunda parte, vou tratar de algumas funcionalidades adicionais, de características mais avançadas de projetos e sistemas de gestão de identidades e da interoperabilidade com single sign-on.

Em resumo, este artigo tem por objetivo apresentar mais informações, casos experienciados em projetos e dicas de uso sobre os seguintes tópicos:

 

Perfis de Negócio (RBAC)

Uma das grandes vantagens de se implantar um sistema de GIA é a possibilidade de passar a trabalhar com Perfis de Negócio, implementando, o que é conhecido em inglês como Role Based Access Control (RBAC).

Usando Perfis de Negócio, é possível ‘empacotar’ uma grande quantidade de direitos de acesso (perfis de acesso) em múltiplos sistemas e solicitar/aprovar/revogar esse pacote em uma só ação.

Tipicamente, um Perfil de Negócio empacota os direitos de acesso necessários para desempenhar um cargo ou função dentro de uma empresa. Não necessariamente, um Perfil de Negócio precisa conter todos os direitos necessários para todas as variações de um determinado cargo pois podem haver especificidades por localidade, departamento, empresa do grupo, entre outras.

Por isso, é perfeitamente válido, por exemplo, usar um Perfil de Negócio intitulado “Vendedor”, contendo todos os acessos comuns a essa função e deixar que os acessos específicos para Vendedor de Varejo, Vendedor de Atacado e etc., sejam solicitados via Portal de Autosserviço (Reset de Senha). Essas solicitações poderão ser feitas pelo próprio vendedor, por seu gestor, pelo RH ou por pessoas assim autorizadas nos fluxos do Gestão de Identidades (GIA).

Outro exemplo para ganhar agilidade e reduzir erros é usar o Perfil de Negócio para os cargos mais comuns na empresa. Por exemplo, em uma implantação da qual participei, em uma empresa com milhares de funcionários, o perfil mais comum era de Conferente, uma função que, inclusive, tinha rotatividade acima da média e gerava muito trabalho manual de concessão e revogação dos direitos.

Assim, mapeamos todos os direitos de acesso necessários para essa função e empacotamos em um perfil de negócio, simplificando ao máximo os processos, eliminando trabalho manual e eventuais falhas operacionais na manipulação dos direitos de acesso. Adicionalmente, como vamos ver no item sobre Regras de Provisionamento de Perfis Padrão, automatizamos a concessão dos direitos, garantindo que quando um novo Conferente chega para assumir a sua função, todos os direitos de acesso já estão provisionados.

E, encerrando este tópico, fica uma dica: adote Perfis de Negócio (RBAC) em ondas, começando por aqueles que vão trazer os ganhos mais alinhados com os motivadores do seu projeto. Por exemplo:

  • Se o seu principal motivador é aumentar a segurança: comece pelos perfis que aprovam transações financeiras, perfis que têm acesso a dados sensíveis, seguindo para demais perfis com poder de aprovação em fluxos de trabalho (materiais, entrada/saída etc).
  • Se o seu principal motivador é aumentar agilidade e produtividade: comece pelos perfis dos cargos que mais ocorrem na sua empresa, pelos perfis cujos cargos têm maior rotatividade, seguindo para aqueles mais propensos a gerar erros manuais.

 

Regras de Provisionamento de Perfis Padrão

A automação do provisionamento de perfis padrão é uma das funcionalidades que mais contribui para aumentar a agilidade, aumentar a satisfação dos usuários de TI e reduzir erros operacionais. E a combinação das regras de provisionamento com perfis de negócio tem potencial para eliminar grande número de chamados de TI.

Em inglês, as regras que definem o provisionamento automático de perfis padrão é, normalmente, chamada de entitlement, embora o termo ainda seja usado de uma forma ampla e não ainda com um significado estrito quando se analisa como um sistema de Gestão de Identidades e Acessos implementa o conceito.

Para usar as regras de provisionamento de perfis padrão é necessário elaborar um mapeamento de perfis que tenha como resultado quais são os perfis de acesso e/ou perfis de negócio necessários para cada função na organização.

Mas você pode perguntar: por que é necessário mapear todos os cargos da empresa?

Na verdade, não é necessário mapear todas as funções e cargos da empresa. Você pode mapear apenas as funções mais alinhadas com os seus riscos organizacionais ou ações de melhoria. Por exemplo, você pode ter uma demanda da empresa para acelerar o provisionamento para vendedores em campo para que comecem a vender assim que são contratados.

De posse desse objetivo, você deve fazer o seguinte:

  • Mapear os perfis necessários;
  • Identificar quais dados cadastrais serão disparadores da concessão;
  • Garantir que esses dados estão sendo recebidos das fontes de identidades (p. Ex., sistema de folha de pagamento);
  • Criar as regras no sistema de GIA.
  • E correr para o abraço 🙂

Aproveite a oportunidade para medir quanto tempo levava para o vendedor ter os acessos antes do uso das regras e depois e dar publicidade a esse ganho para as partes interessadas.

 

Níveis de Risco de Perfis

Uma das formas de aumentar a segurança da empresa é ter clareza sobre o nível de risco dos acessos que as pessoas possuem. Por exemplo, um perfil que autoriza um pagamento é claramente um perfil de maior risco do que um perfil que permite digitar um pedido de compra.

A atribuição de níveis de risco aos perfis, tipicamente, é resultado de uma análise de risco com análise de impacto para o negócio no caso de uso doloso dos direitos de acesso.

A atribuição de níveis de risco aos perfis permite:

  • Que perfis de maior risco sejam assim identificados pelos aprovadores quando estiverem ponderando uma solicitação;
  • Que indicadores de nível de risco sejam calculados para identificar, por exemplo, contas de usuário de maior risco.

Um sistema de GIA pode ser usado para tratar alguns dos riscos identificados, por exemplo, mediante o uso de segregação de funções. Outros riscos podem ser mitigados por sistemas correlatos como, por exemplo, o uso de múltiplos fatores de autenticação para aumentar o nível de assertividade na autenticação das pessoas.

 

Segregação de Funções

Esta é, talvez, a mais importante medida de proteção a ser empregada em sistemas que autorizem ou executam transações financeiras. O conceito de segregação de funções é antigo e tem por objetivo evitar que apenas uma pessoa possa executar funções que coloquem em risco a empresa ou a própria pessoa.

Por exemplo, não é recomendado que a mesma pessoa tenha direitos para entrar com um novo pedido de compra e aprovar o pagamento desse tipo de pedido em um sistema. Uma pessoa que tem esses direitos é um típico alvo de fraudadores, pois seu objetivo é conseguir o acesso à conta dessa pessoa para poder realizar fraudes sem precisar de uma segunda ou terceira conta.

A segregação de funções começa pela identificação dessas situações de risco, passa pelo mapeamento de perfis de acesso distintos para funções distintas e termina com a configuração de uma matriz de segregação, na qual são indicados os perfis que não podem ser concedidos para uma mesma pessoa.

Essa matriz é informada ao sistema de GIA para que ele possa identificar situações de violação das regras de segregação. Quando identificar, o sistema de GIA deve, então, interceptar esses fluxos e redirecionar para aprovação adicional, tipicamente, de um gestor de risco.

O sistema HORACIUS, por exemplo, permite que o gestor de risco documente a necessidade de violação da segregação de funções e a eventual existência de controles compensatórios. Tipicamente, pequenas unidades da empresa possuem pessoas que acumulam funções e isso pode justificar a necessidade de violação da segregação. Além disso, limites de alçada são controles compensatórios normalmente usados para limitar o risco nessas situações.

O controle de segregação de funções pode ser feito em dois níveis:

No mesmo sistema: quando a matriz de segregação considera somente as transações executadas em um sistema.

Em múltiplos sistemas: quando a matriz de segregação considera transações que podem ser executadas em mais de um sistema, tipicamente integrando o controle de segregação de funções com um modelo RBAC (Role-based access control), ou controle de acesso baseado em funções e cargos.

Saiba mais sobre o HORACIUS, a solução Líder em Gestão de Identidades

 

Workflows de Aprovação Distribuídos

Na minha experiência profissional com gestão de identidades esta é a funcionalidade que vejo mais sub-utilizada nas empresas. A tendência, tanto dentro de TI como nas demais áreas da organização, é enxergar os sistemas de informação como de propriedade da área de TI, o que acaba se estendendo para os dados e informações que estão dentro dos sistemas.

Mas, na verdade, os verdadeiros ‘donos’ dos dados são as áreas de negócio da empresa que criam, manipulam, transmitem e removem os dados conforme as suas necessidades para executar os negócios da empresa.

É muito comum que a área de TI seja responsável por permitir o acesso a uma pasta de rede para uma pessoa que entra em um novo projeto. No entanto, o ato de executar a configuração que permite o acesso é, normalmente, confundido com o poder sobre a decisão.

Vemos isso até na linguagem utilizada, pois é comum ouvir-se: “vou pedir pra TI o acesso à pasta do projeto”. Mas quem define se uma pessoa vai ter direito de acesso à pasta de um projeto é a gerente desse projeto. Por que ela precisa de TI? Tipicamente, apenas para executar a ordem dada, algo que poderia facilmente ser feito por um sistema de Gestão de Identidades e Acessos, este por sua vez parametrizado por TI.

Com workflows distribuídos, podemos permitir que as diferentes áreas da empresa autorizem os direitos de acesso conforme as suas necessidades sem depender de TI pois, com provisionamento automático, os direitos são atribuídos ou retirados conforme os ‘donos’ dos dados determinam. Ao TI, compete a atribuição de criar e manter as parametrizações no sistema de GIA que dão essa agilidade ao negócio.

Com isso, um gerente de projeto pode conceder e revogar acesso a uma pasta de rede de projetos conforme as novos membros entram e saem da equipe. Um gestor financeiro pode conceder perfis de aprovação por tempo determinado para uma pessoa cobrir as férias de outra. Tudo isso sem abrir um chamado em TI.

Durante os projeto em que participei, presenciei muitas vezes o desconforto das áreas de negócio em assumir esses tipos de aprovações e reconheço que ainda é necessário conscientizar as próprias áreas de negócio sobre as vantagens do uso de fluxos de aprovação distribuídos.

Por isso, entendo que este tema deve ser tratado com especial cuidado na empresa e deve ser iniciado com áreas de negócio que já identificaram claramente as vantagens e estão dispostas a abrir mão da ‘bengala’ oferecia por TI. Acredito que com a evolução na facilidade de uso dos sistemas de GIA e com o aumento no número de nativos digitais nas empresas, o uso de workflows distribuídos tende a aumentar.

Múltiplos Fatores de Autenticação (MFA)

Um dos requisitos básicos de uma boa implantação de GIA é que a autenticação das pessoas seja feita de forma eficiente e eficaz.

Com o advento de sistemas em nuvem, cada vez mais as empresas precisam conviver com ambientes híbridos, com múltiplas contas de acesso para a mesma pessoa e com diferentes requisitos de autenticação. E uma das formas de aumentar a eficácia da autenticação e aumentar a segurança de contas com acesso a perfis de alto risco é usar mais de um fator de autenticação.

Tipicamente, as contas de acesso aos sistemas são protegidas por uma senha. Essa senha, de uso pessoal e intransferível, é que garante que, digamos, a Ana é ela mesma para o sistema de informação que a Ana está acessando.

No entanto, uma senha pode ser descoberta, compartilhada, furtada, roubada, vazada ou extraviada, fazendo com que outra pessoa ou robô possa se passar pela Ana e furtar dados, destruir dados, realizar transações e tudo o mais que é permitido pelos direitos de acesso da Ana. E tudo vai ficar registrado como se a Ana estivesse fazendo.

Para aumentar a eficácia da autenticação, podemos usar, além da senha, mais um fator de autenticação. Isso tornará muito mais difícil comprometer a segurança da conta da Ana.

Atualmente, os seguintes fatores estão sendo usados com sucesso no mercado, com diferentes níveis de aceitação pelos usuários e diferentes objetivos:

  • Token via SMS: este fator está se tornando muito popular e seu uso consiste em o sistema exigir um código após a senha. O usuário recebe esse código no seu telefone celular via mensagem de texto (SMS) e digita o código na tela de login.
  • Token via aplicativo no celular: este fator está sendo mais usado por administradores de sistemas e por sistemas de internet banking. Similar ao token via SMS, a única diferença é que o token é gerado por um aplicatio no próprio celular com base na data e hora do aparelho.
  • Biometria: este fator está usando em situações em que a presença física do usuário ocorre e/ou é obrigatória. Leitor de impressão digital é o mais usado atualmente, mas também existem usos bem conhecidos de leitor de íris do olho, biometria da palma da mão, e de reconhecimento facial.

Cabe comentar também que um segundo fator de autenticação pode ser usado após um usuários estar autenticado, com o objetivo de autorizar uma transação crítica. Por exemplo, um sistema de transferência eletrônica de fundos (TED), tipicamente, exige um segundo fator de autenticação antes de aprovar uma transação desse tipo.

Desenvolvedores de sistemas devem atentar para a possibilidade de usar esse tipo de fator de segurança em seus sitemas, uma vez que é fácil incorporar a um sistema novo e, muitas vezes, difícil de incorporar a um sistema legado. Uma dica é usar uma chamada genérica web service a um serviço externo para isso, de modo que a chamado poderá ser sempre a mesma, somente o servidor com o MFA que precisará ser alterado no futuro, caso mude a tecnologia, o fabricante ou se deseje usar outro fator de autenticação.

 

Single Sign-on (SSO)

Muitas vezes visto como o Santo Graal da autenticação de usuários, é uma solução que enfrenta cada vez menos resistência e, com o passar dos anos, cada vez mais vantagens.

Os principais objetivos de uma implantação de SSO é proporcionar:

  • Uma boa experiência de uso dos sistemas, mediante a eliminação das telas de solicitação de senhas quando uma pessoa navega de uma aplicação para outra no seu computador;
  • Maior segurança, mediante a implementação de um nível mínimo de qualidade de autenticação para todos os sistemas da empresa, usando protocolos de autenticação padrão de mercado, testados e aprovados por organismos internacionais de segurança.

Hoje, existem soluções bem testadas no mercado para fazer SSO em ambientes Windows, em aplicativos web e dentro da suite de aplicativos de um mesmo fabricante. Tipicamente, os desafios de uma implantação de SSO surgem na integração com sistemas legados, que não foram projetados para suportar esse tipo de autenticação.

Mas mesmo assim, existem soluções. Uma combinação vencedora é fazer uma composição com:

  • Um sistema de GIA para o provisionamento.
  • Um servidor de diretório padrão LDAP.
  • Um servidor de SSO com suporte a SAML, MFA e outros protocolos de autenticação de mercado.

Baixe o e-book completo e gratuito sobre o SSO

Bem, se você chegou até aqui, agradeço pela sua atenção e espero que tenha aproveitado. Procurei transmitir minha experiência de mais de 10 anos nessa área com dicas simples e diretas que você poder aplicar no seu dia-a-dia.

Fica aqui o convite para você conhecer um pouco mais sobre o nosso sistema HORACIUS e ver como podemos auxiliá-lo a ganhar agilidade e aumentar a segurança na sua empresa. 

Baixe agora o Whitepaper sobre o HORACIUS

5 motivos para implantar Gestão de Identidades e Acessos

5 motivos para implantar Gestão de Identidades e Acessos

Saiba mais sobre Gestão de Identidade e Acesso e por que implantá-lo

Este e-book é voltado para quem está buscando mais informações sobre Gestão de Identidade e Acesso e suas funcionalidades. Aqui daremos uma visão geral sobre o assunto para entender o escopo completo do que hoje se entende quando usa-se o termo Gestão de Identidade.

Pra começar, vamos falar do próprio termo Gestão de Identidade. Em inglês, usa-se bastante Identity Management (IDM) e Identity and Access Management (IAM). No Brasil, tem se tornado cada vez mais popular o emprego da sigla GIA para Gestão de Identidade e Acesso.

Ao longo dos últimos 10 anos, o escopo de gestão de identidade e acessos vem sendo ampliado. E hoje há uma interoperabilidade (capacidade de um sistema se comunicar de forma transparente com outro sistema) bastante variada com múltiplos sistemas correlatos.

Estes sistemas incluem Single Sign-on, Multi-factor Authentication, Mobile Device Management, Cloud Services, IDaaS e outros.

5 motivos para implantar Gestão de Identidades e Acessos

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST presente no Gartner Symposium ITXPO 2018

E-TRUST é patrocinadora oficial do Gartner Symposium/ ITXPO 2018

Pelo 5º ano consecutivo no Gartner de São Paulo e o pelo Gartner Orlando, a E-TRUST, líder no segmento de Segurança da Informação, levará o conceito da importância da Gestão de Identidade para a Transformação Digital no Gartner Symposium/ ITXPO 2018.

Serão duas semanas de evento. Dos dias 14 – 18 de Outubro no Gartner Orlando e 22 – 25 de Outubro em São Paulo. Reserve estas datas, visite o stand da E-TRUST e participe do evento mais importante do segmento de tecnologia que reúne, além de networking, muito conhecimento!

Sobre o evento

O Gartner Symposium/ ITXPO 2018 é o encontro mais importante de CIOs e executivos seniores de TI do mundo. O evento explora as tendências e tecnologias estratégicas que estão impulsionando a transformação digital e moldando o futuro da TI e dos negócios.

Através de uma convergência sem precedentes de analistas do Gartner, especialistas da indústria e provedores de soluções de última geração, os participantes têm a oportunidade de explorar maneiras inovadoras de abordar seus principais desafios, tomar decisões com confiança e alcançar maior impacto como líder.

O pós-vazamento de dados do Facebook e o GDPR como divisores de água na Gestão de Identidades e Acessos

O pós-vazamento de dados do Facebook e o GDPR como divisores de água na Gestão de Identidades e Acessos

Após o vazamento de dados de mais de 87 milhões de usuários através da Cambridge Analytica, por intermédio do Facebook, a situação ainda segue se desdobrando e o tema Gestão de Identidade e Acessos passou a estar ainda mais em evidência.

O caso em questão tornou-se um divisor de águas para a Segurança da Informação. Ou seja, se antes o assunto já ganhava espaço em empresa maiores e de segmentos específicos, como por exemplo o varejo, hoje virou o assunto mais falado por todos. O tempo tem sido o maior vilão para as organizações que buscam assegurar informações internas e manter a integridade de seus colaboradores com agilidade, praticidade e segurança.

Além disso, recentemente entrou em vigor na União Européia o GDPR. A nova lei de política de segurança de dados pessoais de usuários mobilizou, não somente empresas da UE, mas instituições de fora que se relacionam com cidadãos que moram nos países pertencentes à União Europeia.

E você sabe quem está acessando os dados sigilosos na sua empresa?

Fica cada vez mais evidente a necessidade de ter um gerenciamento total e centralizado da Gestão de Identidade e Acessos de toda a sua empresa, que atenda não somente requisitos de segurança de dados de usuários e informações da empresa, mas esteja em dia com leis trabalhistas e demais regulamentações.

Controle maior de acessos é o segredo para uma Gestão de Identidade Segura

Frente ao cenário de usuários que buscam acessos cada vez mais rápidos e práticos, em diferentes meios digitais (celulares smartphones, tablets e computadores),  o acesso às informações chegam de formas “espalhadas” e a segurança de dados precisa estar voltada em garantir o controle da rede corporativa que hoje passou de apenas datacenters e já dispõe de muitas das suas informações em nuvem (cloud).

Segundo o Gartner, o Gerenciamento de Identidade e Acesso ou IAM (Identity and Access Management) precisam se tornar ágeis para suprir e suportar essas novas necessidades dos usuários e empresas que buscam aplicações de Software como SaaS e outros serviços em nuvem.

E essas novas mudanças estão diretamente ligadas aos novos escândalos marcado pelo vazamento de informações retiradas do Facebook e também às novas leis de privacidade que entraram em vigor recentemente pela Regulamentação Geral de Proteção de Dados ou, em inglês, General Data Protection Regulation.

Conheça o HORACIUS – A plataforma de Gestão de Identidade da E-TRUST

A Plataforma de Gestão de Identidade e Acesso da E-TRUST, HORACIUS, permite entre diversos benefícios, a criação de níveis apropriados de acesso a aplicações, reduz falhas operacionais e garante a agilidade na entrada e saída de funcionários e prestadores de serviço, entre muitos out

Deseja saber mais sobre o HORACIUS?

Whitepaper gratuito HORACIUS

ROI Gestão Identidade e Acessos – Como provar o valor para implantar?

ROI Gestão Identidade e Acessos – Como provar o valor para implantar?

Veja como obter uma estimativa de investimento e retorno para seus projetos de Gestão de Identidade e Acessos.

Você já se deu conta do quanto tempo e dinheiro é gasto para administrar acessos em sua empresa? Além disso, gerenciar contas, logins, hierarquização de acessibilidades e outras ações influenciam bastante no dia a dia de sua organização, bem como em seus orçamentos. Portanto, a solução está na Gestão Identidade e Acessos!

A importância do Sistema de Gestão de Identidade e Acessos

Em 2015, 150 melhores empresas no Brasil chegaram à média de 23,2% de demissões. Enquanto em 2016, a média de corte foi de 17%. Além disso, demissões voluntárias e involuntárias foram de 228.256 em 2015 a 167.823 em 2016. *

Imagine então como a taxa de turnover nestes anos aumentou radicalmente…

Neste momento, como fazer com logins, senhas, acessos e informações compartilhadas por diversas pessoas em seus sistemas?

Outra pesquisa realizada pela Microsoft mostrou que apenas 1 funcionário habitual precisa decorar ao menos 7 logins em sua empresa.

Essa rotatividade pode comprometer diversos aspectos de sua organização, como custos com TI para cancelamento e renovação de senhas, gerenciamento de níveis de acessos, gestão de risco e compliance.

Além disso, dados e informações podem tornar-se vulneráveis com a falta de controle e níveis inadequados de acessos.

E claro, todas essas questões podem influenciar na otimização e produtividade, com aumento da demanda de solicitações para a equipe de TI.

Por isso, uma Gestão de Identidade e Governança é a solução ideal.

Afinal, este sistema oferecido pela E-TRUST é uma plataforma integrada para total controle de acessos, Single Sign-On, Governança e Provisionamento com fluxos automatizados.

O melhor é que, ao implementar a Gestão de Identidade da E-TRUST, você dispensa altos investimentos em infraestrutura e garante redução de custos operacionais, pois outros sistemas de GIA exigem altos investimentos em infra.

Um estudo realizado pela consultoria IDC, com apoio da Associação Brasileira das Empresas de Software, mostrou que os investimentos em tecnologia da informação no Brasil, por exemplo, tiveram um aumento de 9,2% em 2015.

A média global foi de 5,6%. Isso porque, cada vez mais as instituições buscam por soluções para ampliar produtividade e reduzir gastos. E é aí que está a importância de uma Gestão de Identidade! *

* Fonte: Revista Você S/A ed. outubro 2016

Quer saber mais?

Pensando em como reduzir custos, fraudes e aumentar sua segurança, elaboramos um conteúdo exclusivo!

Em um e-book inédito, você encontrará:

  • Como estimar o ROI de um projeto de Gestão de Identidade, como a Horacius, da E-TRUST;
  • O que sua Gestão de Identidade deve conter;
  • Calculadora de Economia,
  • E muito mais!

Baixar e-book