Estabelecer uma disciplina de Acesso e Identidades

Este artigo ajuda equipas de segurança e tecnologia a estabelecer e modernizar uma disciplina de Arquitetura de Segurança que fornece uma visão técnica clara e completa para a segurança em toda a organização.

As disciplinas de segurança são agrupamentos de trabalhos relacionados com a segurança que ajudam as organizações a garantir consistentemente resultados de segurança em todo o património tecnológico. No âmbito do modelo de adoção de segurança, as disciplinas ajudam a criar uma ponte entre cenários de negócio e implementação técnica, garantindo que os investimentos em segurança se traduzam em resultados reais e mensuráveis como parte do modelo de adoção de segurança.

Porquê esta disciplina?

Acesso e identidade são a disciplina de segurança com que a maioria das pessoas interage primeiro — e com mais frequência. Cada utilizador sente-a sempre que inicia sessão num dispositivo, acede a uma aplicação, partilha um ficheiro, liga-se remotamente ou usa credenciais físicas para entrar num edifício.

Como os controlos de acesso estão na interseção entre segurança e produtividade, influenciam diretamente tanto o risco organizacional como a experiência do utilizador.

A disciplina de Acesso e Identidades:

-

• Reduz o risco ao moldar e governar os caminhos de acesso aos ativos empresariais, garantindo que as entidades certas têm o acesso correto nas condições certas, ao mesmo tempo que previne abusos por parte dos atacantes.
• Promove a produtividade com acesso consistente e com pouca fricção, desencorajando alternativas inseguras e a TI paralela
• Fornece uma estratégia comum à qual líderes e profissionais de segurança podem alinhar-se e executar de forma consistente em toda a organização

Esta é uma prioridade estratégica porque as identidades são o ponto de entrada mais comum para ataques, e porque o comprometimento do acesso privilegiado amplifica drasticamente o impacto de um ataque. Técnicas como a pulverização de palavras-passe, phishing e roubo de tokens são rotineiramente usadas para ganhar uma posição inicial. Os ataques de comprometimento de identidade, como pass-the-hash, pass-the-ticket e outros semelhantes, são regularmente utilizados para se movimentarem lateralmente, elevar privilégios e aceder a ativos de elevado valor.

Sem uma disciplina eficaz de Acesso e Identidades, as organizações enfrentam riscos acrescidos de:

• Comprometimento externo: Os atacantes podem rapidamente assumir identidades legítimas de utilizadores ou serviços, incluindo contas privilegiadas, e usá-las para descobrir e explorar ativos empresariais.
• Abuso interno e uso indevido de privilégios: Insiders maliciosos, negligentes ou comprometidos podem abusar de privilégios elevados para aceder a sistemas e dados sensíveis.
• Perda de produtividade e soluções alternativas inseguras: Controlos de acesso excessivamente restritivos ou inconsistentes frustram os utilizadores e impulsionam a adoção de TI paralela, com controlos mais fracos e visibilidade limitada, aumentando o risco e o raio de explosão.

Missão e resultados

Uma disciplina eficaz de Acesso e Identidades baseia-se em dois objetivos estratégicos complementares:

• Acesso geral seguro - Aumentar a segurança básica em todos os ativos organizacionais, aplicando de forma consistente garantias mínimas de segurança para o acesso diário.
• Acesso privilegiado seguro - Proteja acessos que possam ter impacto significativo no negócio, incluindo ativos empresariais de alto valor, contas administrativas de TI, identidades de carga de trabalho e artefactos que concedam controlo amplo ou profundo.

Em conjunto, estes objetivos garantem que a segurança do acesso é dimensionada em função do valor e do risco do negócio, proporcionando uma proteção robusta onde ela é mais importante, sem dificultar desnecessariamente o trabalho quotidiano.

O diagrama seguinte ilustra estes dois objetivos complementares:

Como aplicar esta disciplina

Para aplicar eficazmente a disciplina de Acesso e Identidade, foque-se em estabelecer uma abordagem consistente e centrada na identidade para a gestão do acesso em toda a organização:

1. Defina um modelo de acesso centrado na identidade, alinhado com o risco de negócio
   Estabelecer uma abordagem clara para como utilizadores, dispositivos, aplicações e cargas de trabalho acedem aos recursos organizacionais com base no risco e impacto no negócio.
2. Garantir uma verificação consistente do acesso em todos os ambientes
   Aplicar uma abordagem uniforme para validar as condições de identidade, dispositivo e acesso, independentemente da localização, aplicação ou rede.
3. Padronizar os controlos e políticas de acesso em toda a organização
   Forneça orientações claras para garantir que as decisões de acesso são aplicadas de forma consistente e reduzir a fragmentação entre sistemas e ambientes.
4. Alinhar a gestão de acessos com cenários de negócio e ativos críticos
   Priorize controlos de acesso que protejam ativos de alto valor e apoiem cenários-chave como trabalho remoto seguro e proteção de sistemas críticos.
5. Monitorizar e refinar continuamente o acesso com base no risco e na atividade
   Utilize insights de padrões de acesso, sinais de risco e eventos de segurança para reforçar os controlos e reduzir a exposição ao longo do tempo.

Gerir a mudança

Os modelos tradicionais de controlo de acesso focavam-se nos perímetros da rede, na sobreposição de sistemas de identidade e VPNs em torno de uma rede interna de confiança. Estes modelos já não satisfazem as necessidades das empresas modernas que operam em cloud, SaaS, móveis, IA e ambientes híbridos. As abordagens herdadas resultam frequentemente em:

• Soluções fragmentadas entre as camadas de identidade, rede e aplicação.
• Proteção de acesso privilegiado fraca ou inconsistente.
• Má integração com operações de segurança e deteção.
• Lacunas que os atacantes exploram rotineiramente.

O diagrama seguinte ilustra esta limitação:

Uma disciplina moderna de Acesso e Identidades vai além das tecnologias individuais. Foca-se nas prioridades de negócio, integração e completude em todos os caminhos de acesso, ao mesmo tempo que reforça uma estratégia de acesso única e coerente. O controlo de acesso moderno deve ser:

• Seguro: Valide explicitamente utilizadores, dispositivos e cargas de trabalho usando sinais ricos. Prevenir a escalada não autorizada de privilégios e proteger o acesso privilegiado.
• Consistente e abrangente: Cobrir todos os caminhos de acesso — humanos e não humanos — e aplicar as garantias de segurança de forma uniforme para eliminar lacunas e melhorar a experiência do utilizador.
• Integrado: Use políticas centralizadas e um número mínimo de motores de políticas para impor controlos de forma consistente e em escala, evitando desvios de configuração.
• Centrado na identidade: Prioriza os controlos baseados em identidade, que fornecem um contexto mais rico do que os sinais apenas em rede. Use os controlos de rede como uma camada complementar, não como a fronteira principal de confiança.

Este diagrama do Modelo de Acesso Empresarial ilustra todos os diferentes tipos de caminhos de acesso que uma organização deve garantir através de múltiplas cargas de trabalho, múltiplas clouds, vários níveis de sensibilidade empresarial e acesso tanto por pessoas como por dispositivos.

Papéis disciplinares e colaboradores

O planeamento e a execução da disciplina de Acesso e Identidades são normalmente responsabilizados por equipas responsáveis pela identidade, acesso e networking. Em organizações maiores, as responsabilidades são distribuídas entre funções e processos formais. Em organizações mais pequenas, os papéis podem ser combinados e tratados de forma mais informal. Em todos os casos, recomenda-se documentar a estratégia de acesso e identidade à medida que esta evolui.

As funções principais incluem:

• Arquitetos de acesso: Definem a estratégia e o design de acesso de ponta a ponta através das camadas de identidade, rede, aplicação e plataforma.
• Engenheiros e operadores de identidade e redes: Implementar, operar e manter sistemas de identidade, fiscalização de acessos e infraestrutura de apoio.

Os arquitetos devem compreender todas as tecnologias de acesso de forma holística. Os engenheiros normalmente têm uma vasta experiência em sistemas de identidade e/ou redes.

Colaboradores internos-chave incluem:

• Arquitetos de segurança e empresas, para alinhar os controlos de acesso com a arquitetura e prioridades de segurança mais amplas
• Equipas de engenharia e operações, que implementam requisitos de acesso em plataformas e cargas de trabalho**
• Líderes de Segurança (CISO e delegados), que fornecem orientação e supervisão
• Desenvolvedores, que desenham e desenvolvem aplicações usando padrões modernos de identidade e acesso

Nenhuma função detém, por si só, o acesso. O controlo de acesso bem-sucedido depende da responsabilidade partilhada e da coordenação entre equipas.

Componentes de estratégia

Uma estratégia eficaz de acesso e identidade assegura todo o ciclo de vida das ações autorizadas. Conceptualmente, isto espelha a estrutura de uma frase:

• Sujeito de identidade – quem ou o que está a pedir acesso.
• Verbo de acesso – a ação que está a ser realizada.
• Objeto de acesso – o ativo a que está a ser acedido.

Titular da identidade (quem)

A segurança de acesso começa por saber quem ou o que está a pedir acesso:

• Todos os tipos de identidade: contas de utilizadores humanos seguras, identidades de carga de trabalho, agentes de IA, aplicações, principais de serviço, certificados e chaves criptográficas.
• • O ciclo de vida completo da identidade1: Gerir identidades desde a ausência de acesso até à criação da identidade, passando por alterações e elevação de privilégios, até ao desaprovisionamento e ao regresso à ausência de acesso quando deixa de ser necessário.
• Fontes de identidade: Defina quais fornecedores de identidade internos e externos são de confiança, como as identidades são governadas e como os controlos do ciclo de vida são aplicados nessas fontes.

Verbo «Aceder» (como)

A fiscalização de acesso deve abranger todos os ativos e caminhos de acesso ao longo de todo o ciclo de acesso.

• Cobertura abrangente: Aplicar a política para cloud, on-premises, SaaS, IA, OT/IoT assets, através de acesso interativo, APIs e comunicação máquina a máquina.
• Sistemas intermediários: Dispositivos seguros, diretórios, gateways, VPNs e proxies de acesso que mediam o acesso.
• Política consistente: Aplicar a política de forma uniforme em modelos de acesso geral, acesso privilegiado, acesso à rede, acesso externo e autorização ao nível da carga de trabalho.
• Acesso adaptativo: Avaliar continuamente se as identidades são conhecidas, confiáveis e permitidas usando sinais em tempo real, e terminar as sessões se o risco mudar.
• Autenticação forte: Aplicar autenticação resistente ao phishing e mecanismos que mitiguem ataques baseados em palavra-passe.
• Mecanismos modernos de acesso: Aplicar privilégios mínimos ao nível da aplicação e substituir tecnologias perimetrais legadas por abordagens centradas na identidade, como o Security Service Edge (SSE).

Objeto a que se acede (o quê)

A política de acesso deve refletir o valor empresarial, sensibilidade e requisitos de governação:

• Alinhar a política ao negócio: Classificar os ativos e alinhar os controlos de acesso ao seu valor e risco.
• Gerir relações de controlo: As estratégias de acesso devem ter em conta as relações de controlo transitivo no grafo de segurança. Se A controla B e B controla C, A controla efetivamente C — aumentando dramaticamente o raio de explosão.
• Reduzir a dívida técnica: Retirar protocolos legados e criptografia inseguros (como LM/NTLM) que comprometem as garantias de acesso. Isto requer frequentemente uma ação coordenada entre identidade, endpoints e infraestrutura.

Alinhamento com outras disciplinas

A disciplina de Acesso e Identidades não funciona de forma independente. Está alinhado de perto com outras disciplinas de segurança, incluindo:

• Estratégia, Integração e Governação. As decisões de acesso moldam o risco e a priorização do negócio.
• Arquitetura de Segurança: Os controlos de acesso aplicam decisões arquitetónicas.
• Operações de Segurança: Telemetria de identidade e sinais de acesso alimentam a deteção, investigação e resposta.
• Segurança dos Endpoints: A postura do dispositivo influencia diretamente a confiança no acesso.
• Segurança dos Dados: As políticas de acesso refletem a sensibilidade e a governação dos dados.

Este alinhamento assegura que as decisões de acesso apoiam resultados de segurança de ponta a ponta, e não controlos fragmentados.

Alinhamento com pilares tecnológicos

A disciplina de Acesso e Identidades abrange todos os pilares tecnológicos e serve como uma camada de controlo unificadora entre eles, como mostrado neste diagrama.

A disciplina está alinhada da seguinte forma:

• Identidades: Autenticação, autorização, gestão do ciclo de vida e controlos de privilégios definem quem pode aceder aos ativos e sob que condições.
• Endpoints: O estado de segurança dos endpoints e a proteção de credenciais influenciam as decisões de confiança relativas ao acesso. Dispositivos comprometidos comprometem os controlos de identidade.
• Infraestrutura: Sistemas de identidade e interfaces administrativas funcionam sobre infraestruturas e requerem uma forte proteção de acesso privilegiado.
• Aplicações: As aplicações devem usar padrões de identidade modernos e impor o acesso de privilégios mínimos para utilizadores, APIs e pipelines.
• Dados: Os controlos de acesso baseados em identidade determinam quem pode ler, modificar ou exfiltrar dados sensíveis.
• Rede: Os controlos de rede complementam o acesso centrado na identidade ao mitigar ataques legados e suportar padrões Security Service Edge (SSE).
• IA: Agentes e serviços de IA introduzem novos tipos de identidade que exigem gestão do ciclo de vida, mínimo privilégio e monitorização.

Passos seguintes

• A Microsoft Unified oferece arquiteturas de referência em cibersegurança, orientação Confiança Zero e workshops liderados por especialistas para ajudar organizações com arquitetura de segurança de ponta a ponta. Saiba mais.

  

• Revê outras disciplinas de segurança.