Gerenciamento de identidade e acesso (IAM)

O IAM abrange os elementos tecnológicos e administrativos de uma organização. Do ponto de vista técnico, os principais componentes do IAM geralmente incluem: 

• Dados de identidade. Isso pode incluir detalhes de localização, privilégios de acesso, informações sobre dispositivos e credenciais, todos armazenados em um banco de dados centralizado. No que diz respeito aos dados de identidade, menos é mais - as organizações devem coletar apenas o necessário para identificar um usuário com precisão. 
• Autenticação. Um meio de garantir que uma entidade seja quem ela afirma ser. Geralmente é uma combinação de logon único (SSO), autenticação multifatorial (MFA), autenticação baseada em risco (RBA), autenticação comportamental e credenciais de usuário. 
• Gerenciamento. O IAM inclui ferramentas que facilitam o gerenciamento de permissões, funções e privilégios de usuários. 
• Monitoramento. O IAM deve incluir um meio pelo qual o comportamento de cada entidade possa ser monitorado, juntamente com um meio de impor validação adicional. 

O lado administrativo do IAM abrange:

• Políticas. Uma política atribui permissões a uma entidade ou função com base em um conjunto de critérios predefinidos. As políticas podem ser baseadas em regras ou dinâmicas. 
• Permissões. Essencialmente, o que os usuários podem ver e fazer depois de serem autenticados e autorizados. 
• Funções. Um conjunto de permissões predefinidas que se aplicam a uma entidade.  

É importante observar que o IAM é uma tecnologia com uma longa história. No entanto, os controles de IAM herdados, como desafios de autenticação e políticas de senha, não são adequados para os ambientes de negócios dinâmicos de hoje. O IAM moderno se desfez de suas armadilhas legadas, adotando a automação, a nuvem e o Zero Trust Network Access (ZTNA). 

Em um alto nível, o IAM cumpre as seguintes tarefas: 

Identificação. Que afirmações o usuário ou a entidade está fazendo sobre sua identidade? Observe que cada entidade e usuário deve receber um conjunto exclusivo de credenciais no IAM.  

Autenticação. O usuário ou a entidade é quem afirma ser? A autenticação pode ser realizada por meio de uma combinação dos seguintes fatores: 

• Tipo 1. Credenciais memorizadas, como senhas e PINs. 
• Tipo 2. Fatores físicos, como ID do dispositivo ou tokens de hardware.
• Tipo 3. Biometria ou biometria comportamental. 

Autorização. Com base na identidade do usuário ou da entidade, quais privilégios ou permissões devem ser concedidos a eles? 

Há ideias e conceitos subjacentes nos quais o IAM se baseia. A eficácia de uma ferramenta de IAM geralmente é medida pela forma como ela aborda essas áreas e princípios: 

Menor privilégio

Os usuários só têm acesso aos recursos de que precisam, e todos os dados de identidade coletados devem ser minimizados o máximo possível. 

Autenticação contínua

Além de aproveitar a autenticação multifator e o logon único, uma ferramenta de IAM eficaz deve monitorar e validar continuamente as atividades de um usuário para garantir que ele seja quem diz ser. As ferramentas de IAM podem, opcionalmente, utilizar a autenticação baseada em risco. 

A autenticação contínua valida a identidade dos usuários com base em três categorias principais: 

1. Credenciais. As credenciais fornecidas são válidas? O usuário forneceu com êxito todos os dados necessários para a autenticação inicial?
2. Comportamento. O usuário apresenta comportamentos consistentes com sua linha de base estabelecida?
3. Atividade. O usuário está agindo fora do escopo de suas funções ou responsabilidades típicas? 

Confiança zero

O IAM tem uma relação estreita com a ZTNA e é um facilitador essencial da abordagem. Ambos são baseados na noção de que nenhuma entidade deve ser implicitamente confiável. O Zero Trust também restringe o acesso a recursos individuais em vez de toda a rede.