Conhecimento de base

Qual é a diferença entre IAM, IGA e PAM?

O cenário da segurança de identidade se transformou consideravelmente nas últimas duas décadas. E por um bom motivo. Mitigar os riscos de acesso relacionados à identidade tornou-se essencial, visto que as empresas enfrentam ameaças todos os dias, vindas de praticamente todos os lugares.

O foco no gerenciamento do acesso de pessoas, identidades digitais e contas privilegiadas aumentou significativamente para lidar com esses riscos e colocou o Gerenciamento de Identidade e Acesso (IAM), a Governança e Administração de Identidade (IGA) e o Gerenciamento de Acesso Privilegiado (PAM) na vanguarda dos programas de identidade nas empresas hoje.

O que é gerenciamento de identidade e acesso (IAM)?

O Gerenciamento de Identidade e Acesso é uma parte essencial da segurança geral de TI que gerencia identidades digitais e o acesso de usuários a dados, sistemas e recursos dentro de uma organização. A segurança IAM inclui políticas, programas e tecnologias que reduzem os riscos de acesso relacionados à identidade dentro de uma empresa.

A Gartner define IAM simplesmente como "a disciplina que permite que os indivíduos certos acessem os recursos certos, na hora certa e pelos motivos certos". Como uma função crítica de segurança, o IAM permite que as empresas não apenas respondam às mudanças nos negócios, mas também se tornem mais proativas na antecipação de riscos de acesso relacionados à identidade, resultantes do ambiente dinâmico de negócios.

De acordo com o Relatório de Gerenciamento de Identidade e Acesso de 2020 , 90% das organizações confirmam que o IAM é extremamente importante como parte de sua postura de segurança cibernética e gerenciamento de riscos — um aumento de quatro por cento em relação a 2019. Essa confirmação do IAM como um imperativo estratégico significa que ele deve ser visto de uma perspectiva multifuncional das partes interessadas — de líderes de negócios, equipes de TI e segurança, clientes, auditores, funcionários, contratados e não funcionários, fornecedores e parceiros.

Uma abordagem sólida para IAM permite que as organizações mitiguem riscos, melhorem a conformidade e aumentem a eficiência em toda a empresa. É por isso que supervisionar o acesso apropriado por meio da estrutura de IAM correta contribui significativamente para fortalecer a gestão de riscos dentro da organização e reduzir a lacuna no risco geral de IAM.

O que é Governança e Administração de Identidade (IGA)?

O IGA é tanto uma estrutura de políticas quanto um conjunto de soluções de segurança que permitem às organizações mitigar com mais eficácia os riscos de acesso relacionados à identidade em seus negócios. O IGA automatiza a criação , o gerenciamento e a certificação de contas de usuário, funções e direitos de acesso para usuários individuais em uma organização. Isso significa que as empresas podem otimizar o provisionamento de usuários , o gerenciamento de senhas , o gerenciamento de políticas, a governança de acesso e as revisões de acesso em seus negócios.

Outra definição de governança de identidade, conforme definida pela Tech Target , é a "orquestração centralizada baseada em políticas de gerenciamento de identidade de usuários e controle de acesso", indicando que a função "ajuda a dar suporte à segurança de TI empresarial e à conformidade regulatória". Em termos mais simples, IGA significa aproveitar o caminho mais inteligente e eficiente para mitigar o risco de identidade em sua empresa.

Considerada parte do Gerenciamento de Identidade e Acesso, a Governança e Administração de Identidade oferece às organizações maior visibilidade sobre as identidades e privilégios de acesso dos usuários, permitindo que elas gerenciem melhor quem tem acesso a quais sistemas e quando. A governança de identidade capacita as organizações a fazer mais com menos, aprimorar sua postura de segurança e atender às crescentes demandas de auditoria, além de escalar para o crescimento.

O que o IGA faz?

A Governança e Administração de Identidades oferece recursos de automação para criar e gerenciar contas de usuários, funções e direitos de acesso para usuários individuais dentro das organizações. Com a IGA, as organizações podem facilmente aproveitar uma abordagem mais segura, estratégica e simplificada para provisionamento e desprovisionamento, gerenciamento do ciclo de vida do usuário, conformidade e governança, gerenciamento de senhas, certificações de acesso e insights de risco. A governança de identidades também permite que as empresas:

• Melhore a segurança organizacional e reduza o risco relacionado à identidade

• Aproveite o acesso baseado em funções para um gerenciamento de funções inteligente e visível

• Simplifique os processos de certificação para atender às crescentes demandas dos auditores

• Garantir a conformidade com as regulamentações governamentais e os padrões da indústria

• Aumente a eficiência operacional para capacitar a empresa a fazer mais com menos

Qual a diferença entre IGA e IAM?

Embora possam parecer muito semelhantes, a Gartner se preocupa em distinguir entre a função, a extensão e a finalidade do IGA e do IAM. Especificamente, observa: "O IGA difere do IAM porque permite que as organizações não apenas definam e apliquem políticas de IAM, mas também conectem funções de IAM para atender aos requisitos de auditoria e conformidade". Isso significa que a Governança e Administração de Identidades tem o propósito específico de garantir que as políticas de IAM sejam conectadas e aplicadas.

O que é gerenciamento de acesso privilegiado (PAM)?

Agora que examinamos o IAM e o IGA, vamos dar uma olhada no Gerenciamento de Acesso Privilegiado. O PAM é considerado um controle de segurança crítico que permite que as organizações simplifiquem a forma como definem, monitoram e gerenciam o acesso privilegiado em seus sistemas de TI, aplicativos e infraestrutura.

Como as contas de administrador têm privilégios elevados que permitem acessar dados valiosos e executar aplicativos ou transações — muitas vezes com pouco ou nenhum controle de rastreamento —, pode ser muito difícil gerenciar contas privilegiadas. As soluções PAM centralizam o gerenciamento de perfis de administrador e garantem que o acesso com privilégios mínimos seja aplicado para conceder aos usuários apenas o acesso necessário.

De cada uma das três áreas discutidas aqui, o PAM é a mais estritamente definida, mas tem a responsabilidade significativa de mitigar os riscos de acesso relacionados à identidade relacionados ao acesso privilegiado. Enquanto o IAM e o IGA se concentram em níveis mais amplos de acesso do usuário a recursos, sistemas e aplicativos em toda a organização, o PAM define e controla principalmente o acesso de usuários privilegiados. Vejamos agora alguns tipos de contas privilegiadas .

O que são contas privilegiadas?

Contas privilegiadas são normalmente contas compartilhadas que possuem inerentemente acesso elevado a dados ou serviços. Em termos mais claros, essas contas são consideradas contas elevadas dentro do seu ambiente de TI, que detêm as "chaves do reino". Exemplos de privilégios elevados incluem a capacidade de alterar a configuração do sistema, instalar ou remover software ou adicionar, remover ou modificar contas de usuário. Privilégios elevados também podem ser simplesmente acesso a dados confidenciais. Abaixo estão três tipos específicos de contas privilegiadas:

• Contas de administrador/root : essas contas possuem autoridade total sobre os sistemas e não têm restrições de acesso a serviços ou dados armazenados em um servidor. São consideradas os alvos mais valiosos para os invasores.

• Contas do Sistema : Essas contas são usadas para executar serviços do sistema operacional e podem modificar os arquivos e configurações relevantes. Normalmente, elas são provisionadas com o sistema operacional.

• Contas de Serviço/Aplicativo : Essas contas são usadas para executar processos e aplicativos por meio de tarefas automatizadas e, muitas vezes, autônomas. Elas frequentemente possuem ou têm acesso a dados, recursos ou configurações não disponíveis para usuários sem privilégios.

Cada organização deve determinar o que é classificado como dados privilegiados, onde eles estão e quem tem acesso a eles. O controle de contas privilegiadas é um fator importante para a conformidade com as regulamentações em todos os setores. Devido ao seu acesso elevado, contas privilegiadas apresentam riscos mais significativos do que contas não privilegiadas e têm maior potencial de exploração ou abuso. Contas privilegiadas, que podem chegar a centenas em algumas empresas, frequentemente não estão vinculadas a indivíduos específicos, portanto, podem ser usadas para praticamente qualquer finalidade, com pouca ou nenhuma possibilidade de detecção.

O que são PASM e PEDM?

À medida que o Gerenciamento de Acesso Privilegiado evoluiu, a Gartner estabeleceu duas classificações adicionais para destacar os diferentes mecanismos das soluções PAM. Essas classificações incluem o Gerenciamento de Contas e Sessões Privilegiadas (PASM) e o Gerenciamento de Elevação e Delegação de Privilégios (PEDM). Tanto o PASM quanto o PEDM utilizam o princípio do privilégio mínimo, que determina que os usuários tenham apenas o acesso necessário às suas funções, mas possuem mecanismos diferentes para proteger e acessar a conta de destino.

As soluções PASM são frequentemente chamadas de vaulting de senhas. As credenciais de contas privilegiadas são criadas com segurança e distribuídas exclusivamente pela solução. Quando os usuários precisam acessar um servidor específico, eles solicitam acesso ao vault e recebem uma conta temporária com privilégios administrativos totais. Essa conta é válida apenas para uma única sessão. Além disso, a atividade da sessão é monitorada e registrada.

As principais soluções PEDM distribuem privilégios de acesso com base em funções de trabalho. Em vez de usar contas com privilégios temporários, as ferramentas PEDM atribuem privilégios permanentes a contas padrão. As ferramentas PEDM definem quem pode ter acesso a cada parte de um sistema, bem como o que cada um pode fazer com esse acesso. Essa abordagem escala muito melhor, centraliza o gerenciamento e aprimora a segurança geral.