Glossário de IAM

A Gestão de Identidades e Acessos (IAM ou GIA, em português) ganhou destaque na última década, devido ao número cada vez maior de ataques cibernéticos que as empresas estão sofrendo.

Quando bem executada, ela pode ser uma poderosa ferramenta contra o roubo de dados corporativos.

Para poder implementar e gerenciar efetivamente boas práticas de segurança, os profissionais de TI precisam se atualizar constantemente. Afinal, termos e siglas surgem a todo momento para abranger as novidades da área.

Montamos um infográfico e um glossário atualizados, com uma visão geral dos principais termos das categorias de IAM, incluindo autenticação, autorização e gerenciamento de identidades.

Continue a leitura e confira!

Detalhes dos termos e Definições de Gestão de Identidades e Acessos (IAM)

IDM

Utilizado para identificar o Sistema de Gestão de Identidades e Acessos;

Ativo

Neste contexto representam os sistemas que fazem parte do escopo do projeto de gestão de identidades e acessos;

Atributo Variável

Atributo de um perfil de acesso escolhido durante a concessão de acesso de uma pessoa a um determinado perfil. São exemplos de atributo variável: convênio, ponto de captação, alçada, etc;

Autenticação

Mecanismo que garante a identificação do usuário que irá solicitar autorização para um determinado sistema;

Autorização

Mecanismo que garante o acesso de um usuário autenticado a determinado sistema, previamente concedido;

Conta órfã e Direito divergente

Esses dois problemas podem representar riscos de segurança para a organização, tornando o gerenciamento de IAM fundamental para a proteção de dados e sistema. Uma conta órfã é um usuário criado no sistema, mas sem autorização no IAM. Já os direitos divergentes ocorrem quando um usuário tem mais permissões do que o necessário para desempenhar suas funções ou quando um usuário possui acesso a recursos que não estão mais em uso pela empresa.

DAC – Discretionary access control

Um modelo de controle DAC pressupõe que a definição de uma pessoa com a responsabilidade de aprovar a concessão de direitos de acesso para as pessoas. O termo original utilizado em inglês é “owner”, que literalmente significa dono em português. No entanto, as empresas têm optado por outros termos mais adequados à realidade Brasileira como: Responsável ou Gestor;

Depositário do Ativo

Pessoa com a atribuição de executar as configurações e autorizações efetivamente aprovadas pelo Responsável do Perfil;

Gestor da Pessoa

Gestor hierarquicamente superior no organograma da empresa em relação a uma determinada pessoa;

HWA (HORACIUS Windows Agent)

Atua como elo entre um servidor HORACIUS IAM e sistemas que dependem de funcionalidades do ambiente Windows. O agente recebe comandos de um servidor HORACIUS e executam esses comandos localmente, no domínio Windows ou em outros sistemas conectados;

Identificador Padrão

Identificador ou nome padrão de usuário criado a partir de uma regra de negócio definida pela empresa. A IDM o utiliza para a criação de conta de usuário nos diferentes sistemas por ele controlados;

Identificador único da pessoa

Código que identifica inequivocamente cada pessoa nas bases de pessoas;

Identidade e Identidade gerenciada

O conceito de identidade em IAM (Identity and Access Management) se refere à identificação única de um usuário, recurso ou serviço em um ambiente de negócios. A fim de registrar e auditar as ações realizadas por casa usuário, esse conceito torna-se fundamental para garantir o controle ao acesso de recursos de forma adequada.

A identidade gerenciada, por sua vez, se refere a uma conta criada no sistema de IAM para representar um usuário ou serviço. Associa-se essa conta a uma identificação única e possui informações sobre as permissões e direitos de acesso do usuário ou serviço em questão;

IGA — Identity Governance and Administration

Disciplina que combina governança de identidades com administração de acessos. Envolve revisão periódica de permissões, certificação de acessos, segregação de funções (SoD) e trilhas de auditoria. Vai além do provisionamento: trata de quem deveria ter acesso e se esse acesso ainda faz sentido.

MAC – Mandatory access control

Um modelo de controle MAC exige catalogar os objetos conforme a classificação de segurança adotada na organização. Em geral, adota-se 3 ou 5 níveis, como, por exemplo: Secreto, Confidencial, Uso interno e público. O acesso a um objeto só é permitido às entidades que possuem o mesmo nível de classificação de segurança;

Machine Identity Security

Disciplina focada na proteção das identidades de máquinas: certificados digitais, chaves criptográficas, tokens de serviço e credenciais de API usadas por sistemas para se autenticar entre si. Com a expansão de arquiteturas baseadas em microsserviços e cloud, o volume dessas identidades supera em ordens de magnitude o de identidades humanas nas organizações, exigindo automação e governança específicas para esse ciclo de vida.

NHI — Non-Human Identities (Identidades Não Humanas)

Identidades atribuídas a entidades que não são pessoas físicas, como aplicações, scripts, pipelines de CI/CD, containers, funções serverless e integrações entre sistemas. Assim como identidades humanas, precisam ser provisionadas, monitoradas e revogadas. A diferença é que proliferam muito mais rápido e tendem a operar sem supervisão direta, tornando-se um ponto cego crítico na governança de acessos.

PAM — Privileged Access Management

Controle, monitoramento e auditoria de acessos privilegiados, ou seja, contas com permissões elevadas sobre sistemas críticos. Contas administrativas sem PAM representam um dos vetores de ataque mais explorados em ambientes corporativos.

Perfil de acesso

Uma coleção de permissões ou direitos de acesso a recursos, ou funcionalidades de um sistema, ou aplicação atribuídos a um usuário, ou grupo de usuários com base em suas funções, ou responsabilidades em uma organização. Ele determina o que um usuário pode fazer em um sistema e quais recursos ou dados ele pode acessar.

Por exemplo, um usuário com um perfil de acesso “Administrador” pode ter permissão para gerenciar configurações de sistema e dados confidenciais. Enquanto isso, um usuário com um perfil “Usuário Básico” só pode ter acesso a funcionalidades básicas da aplicação e dados menos sensíveis. O perfil de acesso é uma parte importante da Gestão de Identidades e Acessos (IAM) de uma organização, permitindo que a empresa controle quem tem acesso a quais recursos e garanta a segurança dos dados e sistemas.

Provisionamento

Ato de conceder ou revogar acessos a um determinado usuário em um sistema, ou base de dados.

Publicação Automática

Quando os processos de gestão de acesso de um ativo ocorrem de forma automática. Assim, o próprio IDM executa a criação ou exclusão de usuários nos sistemas.

Publicação Manual

Quando os processos de gestão de acesso de um ativo dependem de uma pessoa para ser executado. São disparados a partir de tarefas no sistema de IDM.

RBAC – Role Based Access Control

Um modelo de controle de acesso RBAC é feito com a definição de direitos de acesso necessários para a execução das atividades da pessoa no ambiente de negócios da empresa. Ao ser admitida para uma determinada função, a pessoa recebe o perfil com as permissões de acesso necessárias para desempenhar suas tarefas segundo a sua posição na organização e suas responsabilidades.

O RBAC se baseia no uso de papéis (ou funções) que descrevem as tarefas e responsabilidades dos usuários em relação aos objetos de acesso (como arquivos, pastas, bancos de dados, etc.), e atribui permissões a esses papéis em vez de atribuí-las diretamente aos usuários.

Sendo assim, o RBAC simplifica a administração de acesso, tornando-a mais eficiente e segura.

SSO — Single Sign-On

Mecanismo que permite ao usuário autenticar-se uma única vez e acessar múltiplos sistemas ou aplicações sem precisar inserir credenciais novamente. Reduz a superfície de ataque relacionada à proliferação de senhas e centraliza o controle de acesso.

Zero Trust

Modelo de segurança baseado no princípio de que nenhum usuário, dispositivo ou rede deve ser considerado confiável por padrão, independentemente de estar dentro ou fora do perímetro corporativo. No contexto de IAM, implica verificação contínua de identidade, menor privilégio de acesso e validação contextual a cada solicitação.

Para finalizar…

Em conclusão, a Gestão de Identidades e Acessos é um elemento crítico da segurança da informação e todas as organizações devem levá-la a sério.

Dessa forma, com este glossário de IAM como referência, profissionais de segurança e TI podem compreender melhor os principais termos e definições relacionados ao assunto.

Permitindo assim, que eles implementem e gerenciem efetivamente práticas de IAM em suas organizações.