Melhores práticas de governança de acesso: privilégio mínimo e confiança zero
Não há dúvida de que o mundo da segurança de dados está a tornar-se cada vez mais complexo, à medida que os ambientes de TI se tornam mais distribuídos e os vetores de ataque se tornam mais sofisticados.
As organizações que armazenam grandes quantidades de dados confidenciais têm muitas coisas em que pensar. Eles precisam ter certeza de que possuem um plano de resposta a incidentes (IRP) testado e comprovado em vigor.
Eles precisam saber quais dados possuem, onde estão localizados e quem tem acesso aos dados. Eles precisam garantir que os funcionários sejam suficientemente treinados e que todo o software esteja corrigido e atualizado.
Eles precisam implementar uma ampla gama de políticas que abrangem controles de acesso (incluindo acesso remoto), gerenciamento de dispositivos, backups, integração e desativação, e ter um conhecimento profundo das leis de privacidade de dados que são relevantes para seu setor.
Acho que é justo dizer que fazer o que precisa ser feito para manter nossos dados e sistemas seguros é um pesadelo.
Uma vez que fornecer uma lista abrangente de todas as melhores práticas de proteção e acesso de dados está claramente além do escopo deste artigo, focarei em duas áreas principais da segurança de dados, a saber; o Principal of Least Privilege (PoLP) e o modelo de segurança Zero-Trust.
O Diretor do Menor Privilégio (PoLP)
O princípio do privilégio mínimo é talvez uma das ideias mais simples relacionadas com a forma como protegemos os nossos dados, mas é também uma das mais importantes.
De acordo com um artigo publicado na Forbes.com, 74% das violações de dados começam com abuso de credenciais privilegiadas.
A ideia geral por trás do PoLP é que usuários, processos e aplicativos devem receber o mínimo de privilégios necessários para poderem desempenhar suas funções. Por exemplo, o web designer não precisa de acesso aos registros financeiros, e um indivíduo responsável por atualizar as listagens de produtos não precisa de direitos de administrador.
Aderir ao PoLP tornará muito mais difícil para um invasor obter acesso a dados confidenciais, comprometendo uma conta de usuário de baixo nível. Além de minimizar a superfície de ataque, o PoLP pode ajudar a limitar a propagação de malware, evitar que alterações acidentais afetem outras partes do sistema e facilitar a auditoria de alterações que ocorrem na rede.
Aderir ao PoLP também é um requisito da maioria das regulamentações de privacidade de dados, como o GDPR.
Como implementar o PoLP
O primeiro passo para a implementação do PoLP seria realizar uma auditoria de privilégios. Isso envolve compilar e listar todas as contas privilegiadas e verificar cada uma delas para garantir que os privilégios que possuem são necessários. Isso pode envolver entrevistar os proprietários das contas para descobrir quais privilégios eles precisam e por quanto tempo. Naturalmente, todas as novas contas devem receber o mínimo de privilégios possível, por padrão.
Também é uma boa ideia aderir à metodologia de acesso just-in-time (JIT). JIT é onde os privilégios de acesso são ajustados em tempo real para permitir um controle mais granular sobre por quanto tempo um usuário, processo ou aplicativo tem permissão para acessar um determinado recurso.
Existem várias maneiras de implementar o JIT. Por exemplo, uma organização pode optar por manter um cronograma e conceder/revogar manualmente o acesso de acordo, ou pode usar um sistema automatizado que revogue o acesso a um recurso após um determinado período.
Em alguns casos, as contas são criadas dinamicamente para uma finalidade específica. Essas contas só podem ser usadas uma vez e são imediatamente desativadas ou excluídas após o uso.
Garantir que todos os direitos de acesso foram reforçados é um bom começo, mas você também precisa monitorar continuamente suas contas privilegiadas para detectar quaisquer alterações que ocorram.
Segurança de confiança zero
O modelo Zero-Trust adota uma abordagem holística à segurança da rede, garantindo que cada usuário que tente acessar um recurso na rede verifique sua identidade antes que o acesso ao recurso seja concedido.
Zero-Trust não é uma tecnologia, mas uma metodologia que garante que ninguém seja confiável por padrão, independentemente de quem seja ou de onde esteja localizado. O modelo de segurança Zero-Trust geralmente utiliza microssegmentação, por meio da qual a rede é dividida em zonas, com cada zona contendo recursos que só podem ser acessados por usuários que estão logados nessa zona.
Como implementar segurança Zero Trust
O primeiro passo para estabelecer um modelo de segurança Zero-Trust é certificar-se de que você entende a arquitetura da sua rede.
Isso inclui manter um inventário de todos os usuários, dispositivos e serviços. Você também precisará saber a integridade de seus dispositivos e serviços, o que envolve garantir que eles estejam atualizados e configurados corretamente.
Você precisará certificar-se de que está usando um protocolo de autenticação robusto, como autenticação multifator (MFA).
Ao contrário do sistema tradicional de nome de usuário e senha, o MFA requer fatores adicionais, como algo que você tem e/ou algo que você é. Em alguns casos, “algo que você tem” pode ser tão simples quanto um código enviado para o seu celular, que você deverá inserir para fazer login na rede.
Alguns serviços podem exigir soluções mais complexas, como dongle, leitor de cartão ou chaveiro. Em termos de “algo que você é”, isso pode incluir digitalização de rosto, impressão digital ou retina, ou algum outro tipo de verificação biométrica.
Ok, então você tem um conhecimento básico de PoLP e Zero-Trust. No entanto, é importante notar que ambas as abordagens estão intimamente relacionadas.
>O princípio do menor privilégio é uma parte central do modelo Zero-Trust, no entanto, o modelo Zero-Trust é mais abrangente e essencialmente mais rigoroso. Por exemplo, com Zero-Trust, o lema geral é “nunca confie, sempre verifique”.
Isso torna a abordagem Zero-Trust mais segura.
No entanto, existem algumas desvantagens. A abordagem Zero-Trust é inevitavelmente mais complicada e, portanto, exigirá mais tempo e esforço para ser implementada.
Você precisará reorganizar suas políticas para refletir o novo modelo e garantir que a transição da sua estrutura de controle de acesso existente para Zero-Trust ocorra sem problemas, o que exigirá algum planejamento.
Com Zero-Trust haverá mais usuários e dispositivos para gerenciar e uma maior variedade de pontos de acesso. Você também precisará de políticas para cada tipo de grupo. Essencialmente, para determinar se vale a pena investir em recursos adicionais, será necessário realizar uma análise rigorosa de custo/benefício.
Se você quiser ver como a plataforma de segurança de dados Lepide pode ajudá-lo a implementar privilégios mínimos ou confiança zero por meio de classificação de dados, governança de acesso e análise de comportamento do usuário - agende hoje mesmo uma demonstração com um de nossos engenheiros.