O que é gerenciamento de identidades e acesso (IAM)?
Descubra o que é gerenciamento de identidades e acesso (IAM) e como isso mantém seguros os dados e os recursos de uma organização.
O que é o IAM e o que ele faz
Não importa onde os funcionários estão trabalhando, eles precisam acessar os recursos da organização como aplicativos, arquivos e dados. Da maneira tradicional, a maioria dos funcionários trabalhava dentro da empresa, onde os recursos ficavam protegidos por firewall. Quando estavam dentro da empresa e conectados, os funcionários podiam acessar o que precisavam.
Agora, no entanto, o trabalho híbrido se tornou muito comum e os funcionários precisam proteger o acesso aos recursos da empresa em que estão trabalhando no local ou remotamente. É aqui que entra o gerenciamento de identidades e acesso (IAM). O departamento de TI da organização precisa de uma maneira de controlar o que os usuários podem ou não acessar, de modo que os dados e as funções confidenciais estejam restritos a apenas as pessoas que precisam trabalhar com eles.
O IAM fornece acesso seguro aos recursos da empresa – como email, bancos de dados, dados e aplicativos – a entidades verificadas, idealmente com o mínimo de interferência. A meta é gerenciar o acesso para que as pessoas certas possam realizar o trabalho e as pessoas erradas, como invasores, tenham a entrada recusada.
A necessidade de um acesso seguro estende-se além dos funcionários que trabalham nos computadores da empresa. Ela também abrange prestadores de serviço, fornecedores, parceiros de negócios e as pessoas que trabalham em dispositivos pessoais. O IAM garante que cada pessoa tenha acesso ao nível certo, no momento certo e no dispositivo certo. Por isso e por causa da função que ele exerce na segurança cibernética de uma organização, o IAM é uma parte vital da TI moderna.
Com um sistema de IAM, a organização pode de maneira rápida e precisa verificar a identidade de uma pessoa e se ela tem as permissões necessárias para usar o recurso solicitado durante cada tentativa de acesso.
Como o IAM funciona
Há duas etapas na concessão de acesso seguro aos recursos de uma organização: Gerenciamento de identidades e gerenciamento de acesso.
O gerenciamento de identidades verifica uma tentativa de conexão em relação ao banco de dados de gerenciamento de identidades, que é um registro contínuo de todos que devem ter acesso. Essas informações devem ser atualizadas constantemente à medida que as pessoas entram ou saem da organização, suas funções e projetos mudam e o escopo da organização evolui.
Exemplos do tipo de informações armazenadas em um banco de dados de gerenciamento de identidades incluem nomes de funcionários, cargos, gerentes, subordinados diretos, números de telefone celular e endereços de email pessoais. A correspondência das informações de login de alguém como nome de usuário e senha com a identidade no banco de dados é chamada de autenticação.
Para segurança adicional, muitas organizações exigem que os usuários verifiquem a identidade com algo chamado de autenticação multifator (MFA). Também chamada de verificação em duas etapas ou autenticação de dois fatores (2FA), a MFA é mais segura do que usar apenas nome de usuário e senha. Ela adiciona uma etapa ao processo de login, em que o usuário deve comprovar a identidade dele com um método de verificação alternativo. Esses métodos de verificação podem incluir número do telefone celular e endereço de email. O sistema do IAM geralmente envia um código único para o método de verificação alternativo, que o usuário deve inserir no portal de login dentro de um período determinado.
O gerenciamento de acesso é a segunda parte do IAM. Depois que o sistema de IAM tiver verificado que a pessoa que está tentando acessar um recurso corresponde à identidade, o gerenciamento de acesso controla quais recursos a pessoa tem permissão para acessar. A maioria das organizações concede níveis variados de acesso a recursos e dados e esses níveis são determinados por fatores como cargo, tempo de trabalho, certificado de segurança e projeto.
O processo de concessão do nível correto de acesso depois que a identidade de um usuário é autenticada é chamado de autorização. A meta dos sistemas de IAM é garantir que a autenticação e a autorização aconteçam de maneira correta e segura em todas as tentativas de acesso.
A importância de IAM para as organizações
Um motivo pelo qual o IAM é uma parte importante da segurança cibernética é que ele ajuda o departamento de TI de uma organização a conseguir o equilíbrio certo entre manter dados e recursos importantes inacessíveis para a maioria, mas ainda acessível para alguns. O IAM permite definir controles que concedem acesso seguro a funcionários e dispositivos, enquanto dificultam ou impossibilitam a entrada de estranhos.
Outro motivo pelo qual o IAM é importante é que os criminosos cibernéticos estão evoluindo os métodos diariamente. Ataques sofisticados, como phishing, são uma das fontes mais comuns de invasões e violações de dados e eles visam usuários com acesso existente. Sem o IAM, é difícil gerenciar quem e o que tem acesso aos sistemas de uma organização. Violações e ataques podem ocorrer de modo desenfreado por dois motivos: é difícil ver quem tem acesso e também é difícil revogar o acesso de um usuário afetado.
Embora a proteção perfeita infelizmente não exista, as soluções de IAM são uma maneira excelente de impedir e minimizar o impacto dos ataques. Em vez de restringir o acesso de todos no caso de uma violação, muitos sistemas de IAM são habilitados para inteligência artificial e são capazes de detectar e interromper ataques antes que eles se tornem problemas maiores.
Benefícios de sistemas de IAM
O sistema de IAM certo traz múltiplos benefícios para uma organização.
O acesso certo para as pessoas certas
Com a capacidade de criar e impor regras centralizadas e privilégios de acesso, um sistema de IAM ajuda a garantir que os usuários tenham acesso aos recursos necessários sem permitir que eles acessem informações confidenciais de que não precisam. Isso é chamado de RBAC (controle de acesso baseado em função). O RBAC é uma maneira escalonável de restringir o acesso somente as pessoas que precisam dele para realizar as funções. As funções podem ser atribuídas com base em um conjunto fixo de permissões ou configurações personalizadas.
Sem prejuízo para a produtividade
Tão importante quanto a segurança é a produtividade e a experiência do usuário. Por mais tentador que possa ser implementar um sistema de segurança complicado para impedir violações, ter várias barreiras à produtividade como múltiplos logins e senhas cria uma experiência do usuário frustrante. As ferramentas de IAM como logon único (SSO) e perfis de usuário unificados permitem conceder acesso seguro a funcionários em vários canais como recursos locais, dados de nuvem e aplicativos de terceiros sem vários logins.
Proteção contra violação de dados
Embora nenhum sistema de segurança seja infalível, usar a tecnologia de IAM reduz consideravelmente o risco de violação de dados. As ferramentas de IAM como MFA, autenticação sem senha e SSO dão aos usuários a capacidade de verificar a identidade usando mais do que apenas nome de usuário e senha, que podem ser esquecidos, compartilhados ou invadidos. Expandir as opções de login de usuário com uma solução de IAM reduz esse risco adicionando uma outra camada de segurança ao processo de login que não pode ser invadido ou compartilhado com facilidade.
Criptografia de dados
Um dos motivos pelos quais o IAM é tão eficaz em elevar a segurança de uma organização é que muitos sistemas de IAM oferecem ferramentas de criptografia. Elas protegem informações confidenciais quando são transmitidas para ou da organização, e recursos como Acesso condicional permitem que os administradores de TI definam condições para acesso como dispositivo, localização ou informações de risco em tempo real. Isso significa que os dados estão protegidos mesmo no caso de uma violação porque eles só podem ser descriptografados se estiverem em condições verificadas.
Menos trabalho manual para TI
Ao automatizar tarefas do departamento de TI como ajudar as pessoas a redefinir senhas, desbloquear contas e monitorar logs de acesso para identificar anomalias, os sistemas de IAM podem poupar tempo e esforço aos departamentos de TI. Isso libera o departamento de TI para se concentrar em outras tarefas importantes como implementar uma estratégia de Confiança Zero em todo o restante da organização. O IAM é essencial para a Confiança Zero, que é uma estrutura de segurança baseada na verificação de maneira explícita, usando acesso com privilégios mínimos e supondo violações.
Melhor colaboração e eficiência
A colaboração simplificada entre funcionários, fornecedores externos e provedores de serviços é essencial para acompanhar o ritmo do trabalho moderno. O IAM permite essa colaboração garantindo que ela seja não só segura, como também rápida e fácil. Os administradores de TI também podem construir fluxos de trabalho automatizados baseados em função para acelerar os processos de permissões para transferências de função e novas contratações, o que poupa tempo durante a integração.
IAM e regulamentos de conformidade
Sem um sistema de IAM, uma organização deve controlar manualmente cada entidade que tenha acesso a seus sistemas e como e quando elas usaram esse acesso. Isso torna auditorias manuais um processo demorado e que exige muito trabalho. Os sistemas de IAM automatizam esse processo e simplificam a auditoria e a geração de relatórios. Os sistemas de IAM permitem que as organizações demonstrem durante as auditorias que o acesso a dados confidenciais está sendo governado de maneira adequada, o que é uma parte obrigatória de muitos contratos e leis.
As auditorias são apenas uma parte de atender a determinados requisitos regulatórios. Muitos regulamentos, leis e contratos exigem governança de acesso a dados e gerenciamento de privacidade, para os quais IAMs são destinados.
As soluções de IAM permitem verificar e gerenciar identidades, detectar atividade suspeita e relatar incidentes, tudo o que é necessário para atender a requisitos de conformidade como conheça seu cliente, monitoramento de transação para relatório de atividade suspeita e regras de alerta. Há também padrões de proteção de dados como a GDPR (Regulamento Geral sobre a Proteção de Dados) na Europa, além da lei HIPAA (Health Insurance Portability Accountability Act) e a lei Sarbanes-Oxley nos Estados Unidos que exigem padrões de segurança rígidos. Usar o sistema de IAM certo ajuda a atender a esses requisitos.
Tecnologias de IAM e ferramentas
As soluções de IAM são integradas com uma variedade de tecnologias e ferramentas para ajudar a proteger a autenticação e a autorização em uma escala empresarial:
- SAML (Security Assertion Markup Language) – SAML é o que permite o logon único. Depois que um usuário foi autenticado com sucesso, o SAML notifica outros aplicativos que o usuário é uma entidade verificada. O motivo pelo qual o SAML é importante é que ele funciona em vários sistemas operacionais e computadores diferentes, o que permite garantir acesso de segurança em uma variedade de contextos.
- OIDC (OpenID Connect) – OIDC adiciona um aspecto de identidade ao 0Auth 2.0, que é uma estrutura para autorização. Ele envia tokens que contêm informações sobre o usuário entre o provedor de identidade e o provedor de serviços. Esses tokens podem ser criptografados e conter informações sobre o usuário como o nome, endereço de email, data de nascimento ou foto. Os tokens são fáceis de usar para serviços e aplicativos, o que torna o OIDC útil para autenticar jogos em celulares, mídias sociais e usuários de aplicativos.
- SCIM (Sistema de Gerenciamento de Usuários entre Domínios) – SCIM ajuda as organizações a gerenciar identidades de usuário de uma maneira padronizada que funciona em vários aplicativos e soluções (provedores).
Os provedores têm requisitos diferentes para informações de identidade de usuário e o SCIM permite criar uma identidade para um usuário em uma ferramenta que se integra com o provedor para que o usuário tenha acesso sem criar uma conta separada.
Implementando o IAM
Os sistemas de IAM afetam a todos os departamentos e a todos os usuários. Por isso, é essencial realizar um planejamento detalhado antes da implementação para uma implantação de solução de IAM bem-sucedida. É útil iniciar pelo cálculo do número de usuários que precisarão de acesso e pela compilação de uma lista de soluções, dispositivos, aplicativos e serviços que a organização usa. Essas listas são úteis para comparar soluções de IAM a fim de garantir que elas sejam compatíveis com a configuração de TI existente da organização.
Em seguida, é importante mapear as diferentes funções e situações que o sistema de IAM precisará acomodar. Essa estrutura se tornará a arquitetura do sistema de IAM e formará a base da documentação de IAM.
Outro aspecto da implementação de IAM a ser considerado é o roteiro de longo prazo da solução. À medida que a organização cresce e se expande, haverá mudança no que ela demanda de um sistema de IAM. Planeje para esse crescimento com antecedência a fim de garantir que a solução de IAM se alinhe às metas de negócios e esteja configurada para o sucesso a longo prazo.
Soluções de IAM
Com o crescimento da necessidade de acesso seguro a recursos em várias plataformas e dispositivos, a importância do IAM se torna cada vez mais clara e imperativa. As organizações precisam de uma maneira eficaz de gerenciar identidades e permissões em escala empresarial que facilite a colaboração e aumente a produtividade.
Implementar uma solução de IAM que se adapte ao ecossistema de TI existente e use tecnologia como inteligência artificial para ajudar administradores de TI a monitorar e gerenciar o acesso em toda a organização é uma das melhores maneiras de fortalecer a postura de segurança da sua organização. Para saber mais sobre como a Microsoft pode ajudar você a proteger o acesso a qualquer aplicativo ou recurso e verificar cada identidade, fornecer apenas o acesso necessário e simplificar o processo de login, confira o Microsoft Entra e outras soluções da Segurança da Microsoft.
Saiba mais sobre a Segurança da Microsoft
Microsoft Entra
Proteja identidades e recursos com uma família de soluções de acesso à rede e identidade multinuvem
Azure Active Directory
Mantenha identidades e dados seguros enquanto simplifica o acesso. O Azure AD está se tornando o Microsoft Entra ID
ID externa do Microsoft Entra
Forneça aos seus clientes e parceiros acesso seguro a qualquer aplicativo.
Segurança da Microsoft
Tenha proteção contra ameaças cibernéticas para sua empresa, negócio e casa.
Perguntas frequentes
-
O gerenciamento de identidades cuida do gerenciamento de atributos que ajudam a verificar a identidade de um usuário. Os atributos são armazenados em um banco de dados de gerenciamento de identidades. Exemplos de atributos incluem nome, cargo, local de trabalho atribuído, gerente, subordinado direto e um método de verificação que o sistema pode usar para verificar se eles são quem dizem que são. Esses métodos de verificação podem incluir número do telefone celular e endereço de email.
O gerenciamento de acesso governa a que o usuário tem acesso depois que a identidade tiver sido verificada. Esses controles de acesso podem ser baseados em função, autorização de segurança, nível de educação ou configurações personalizadas.
-
O gerenciamento de identidades e acesso serve para garantir que apenas as pessoas certas possam acessar os dados e os recursos de uma organização. É uma prática de segurança cibernética que permite que os administradores de TI restrinjam o acesso a recursos organizacionais para que tenham acesso apenas as pessoas designadas.
-
Um sistema de gerenciamento de identidades é um banco de dados que armazena informações de identificação sobre as pessoas e os dispositivos que precisam acessar os dados e os recursos de uma organização. O banco de dados armazena atributos como nomes de usuário, endereços de email, números de telefone, gerentes, subordinados diretos, locais de trabalho atribuídos, nível de educação e nível de autorização de segurança. Esses atributos são usados para ajudar a verificar se um usuário é quem diz que é. Um sistema de gerenciamento de identidades deve ser constantemente atualizado à medida que as pessoas entram e saem da empresa, mudam de função e iniciam ou terminam projetos.
-
Um software de gerenciamento de identidades e acesso fornece as ferramentas que ajudam as organizações a verificar as identidades das pessoas e dos dispositivos que tentam se conectar e garante que os usuários verificados tenham acesso aos recursos certos. É uma maneira centralizada de verificar a identificação, gerenciar o acesso e identificar violações de segurança.
-
O IAM é um componente crucial da computação em nuvem pois o acesso com nomes de usuário e senhas já não são suficientes para proteger a organização contra violações. As senhas podem ser hackeadas, compartilhadas ou esquecidas e muitas organizações são tão grandes que não é possível gerenciar e monitorar as tentativas de acesso de forma manual. Um sistema IAM facilita a manutenção e atualização dos atributos de identidade, concede e restringe o acesso por função e sinaliza anomalias e violações de segurança.
Siga a Microsoft