Como funciona
O POLP afirma que contas, aplicativos e dispositivos devem receber apenas o acesso e as permissões necessárias para realizar seu trabalho. Isso funciona identificando esses requisitos com base nas necessidades de negócios e na finalidade de um usuário, dispositivo ou aplicativo dentro da empresa.
Por exemplo, a maioria dos funcionários não necessita de acesso administrativo aos seus próprios computadores para cumprir as suas funções, pelo que a POLP afirma que não o deveria ter. Da mesma forma, o pessoal financeiro não precisa de acesso aos registos de RH ou aos sistemas de TI, pelo que não deve ter acesso a esse acesso.
O POLP também se aplica à limitação do acesso a permissões elevadas para tarefas que as exigem. Por exemplo, um administrador de TI pode exigir acesso privilegiado para executar algumas de suas funções. No entanto, devem utilizar uma conta não privilegiada para as tarefas do dia-a-dia e apenas utilizar a sua conta privilegiada quando for necessário para uma determinada tarefa.
A importância do menor privilégio
De acordo com Relatório de investigações de violação de dados da Verizon de 2021 (DBIR), aproximadamente 70% das violações de dados envolveram abuso de privilégios. Isto significa que uma conta com acesso legítimo a recursos corporativos foi usada para acessar e exfiltrar dados confidenciais. Isso pode ser devido a uma conta comprometida, negligência do proprietário da conta ou ameaça interna.
O POLP ajuda a limitar o risco de abuso de privilégios, limitando os privilégios concedidos a um usuário, aplicativo, etc. Se uma conta tiver apenas as permissões necessárias para desempenhar sua função, sua capacidade de abusar desses privilégios será limitada. Embora uma conta ou aplicativo com acesso legítimo ao banco de dados do cliente ainda possa acessar esse banco de dados e roubar os registros contidos nele, esse é um risco muito menor do que se todos os usuários e aplicativos da empresa pudessem ser potencialmente usados para fazer isso.
Benefícios
O POLP limita o acesso aos dados confidenciais e aos valiosos recursos de TI de uma organização. Ao fazer isso, pode trazer diversos benefícios à organização, como:
- Risco cibernético reduzido: Ao implementar o POLP. uma organização limita o acesso que um usuário, aplicativo, etc. tem aos recursos de TI corporativos. Isso torna mais difícil para um invasor que comprometeu uma conta ou aplicativo usar esse acesso para atingir seus objetivos. Por exemplo, uma conta sem acesso ao banco de dados do cliente não pode ser usada para roubar e exfiltrar dados confidenciais desse banco de dados.
- Menos erros: Nem todas as interrupções e violações de dados são causadas por um agente mal-intencionado. A negligência ou um simples erro cometido por um usuário não técnico pode resultar na instalação de malware em uma máquina, na exclusão de registros de banco de dados, etc. Com o POLP, o acesso dos usuários a recursos críticos é restrito, limitando o potencial de infecções acidentais, vazamentos ou interrupções.
- Increased Visibility: A implementação do POLP requer maior visibilidade dos sistemas de controle de acesso de uma organização para impor restrições, em oposição a uma política de “permitir todos”. Essa maior visibilidade pode ajudar na detecção de potenciais e da geração V ou outros incidentes que possam precisar de atenção.
- Simplified Compliance: O âmbito das auditorias da Conformidade é muitas vezes restrito aos utilizadores e sistemas que têm acesso aos dados protegidos por regulamento. Ao implementar o POLP e restringir este acesso com base nas necessidades do negócio, uma organização pode reduzir o âmbito das responsabilidades e auditorias da Conformidade, tornando mais fácil alcançar e demonstrar a Conformidade.
Como implementar o menor privilégio em sua organização
O POLP pode ser implementado através das seguintes etapas:
- Realize uma auditoria de privilégios: Um bom primeiro passo na implementação do POLP é auditar o acesso e as permissões atuais que os usuários, aplicativos e dispositivos possuem dentro de uma organização. Identificar quais ativos uma organização possui e como eles são usados pode ajudar a determinar o acesso necessário.
- Definir funções: Com base nas necessidades de negócios e nos privilégios existentes, defina funções para gerenciamento de privilégios. Por exemplo, identifique quais sistemas, software, dados, etc. um funcionário financeiro precisa ter acesso para realizar seu trabalho e inclua esse acesso em uma função financeira.
- Restringir acesso administrativo: A maioria dos funcionários não exige acesso de administrador para o trabalho diário. Remova o acesso de administrador padrão e defina processos para obter permissões elevadas quando necessário.
- Implemente permissões baseadas em funções: Depois que as funções e permissões forem definidas, implemente-as para usuários, aplicativos e sistemas para implementar o POLP.
- Implantar monitoramento de acesso: O monitoramento de acesso é vital para detectar abuso de privilégios ou permissões desalinhadas. Configurar o monitoramento ajuda uma organização a detectar se as permissões atribuídas a um usuário são muito restritivas ou muito gerais.
- Revise e revise: As definições de funções e privilégios podem não ser perfeitas na primeira vez e podem mudar com o tempo. Revise periodicamente as funções, o acesso e as permissões atribuídas e faça as alterações necessárias.
Menor privilégio com Harmony Connect
Efetivamente implementando confiança zero e o POLP requer ferramentas que possam suportar os seus controlos de acesso. Por exemplo, redes privadas virtuais (VPNs) não são ideais para confiança zero ou POLP porque são projetadas para fornecer aos usuários legítimos acesso remoto irrestrito à rede corporativa.
Check Point’s Harmony Connect fornece acesso remoto seguro compatível com POLP via Acesso à rede Zero-Trust (ZTNA) como parte de sua solução SASE. Saiba mais sobre a implementação de acesso remoto de confiança zero em sua organização. Você também é bem-vindo inscreva-se para uma demogratuita of Harmony SASE to learn about deploying POLP for your distributed workforce.
Opinião