Acesso de menor privilégio

Como funciona o moderno Least-Privileged Access

A implementação do privilégio mínimo exige a capacidade de restringir o acesso aos recursos corporativos com base na função de um usuário, dispositivo ou aplicativo dentro de uma organização. Os principais componentes de uma estratégia de gerenciamento de acesso com privilégios mínimos incluem autenticação de identidade, segmentação e rastreamento da postura de segurança do dispositivo.

#1. Autenticação de identidade

Para limitar o acesso dos usuários ao que eles precisam para seu trabalho, é necessário saber quem é o usuário e qual é sua função na organização. A primeira etapa para implementar o privilégio mínimo é autenticar fortemente um usuário. A partir daí, as solicitações de acesso de um usuário aos recursos corporativos podem ser aprovadas ou negadas com base em controles de acesso baseados em funções.

#2. Segmentação

Os controles de acesso só são úteis se forem aplicados, o que significa que as solicitações passam por um sistema de gerenciamento de acesso. Embora as permissões possam ser gerenciadas pelos sistemas de permissão incorporados ao dispositivo, essa abordagem é complexa de gerenciar e não é escalonável. Uma opção mais dimensionável é segmentar a rede e limitar o acesso entre os limites do segmento. Da mesma forma, as redes privadas virtuais (VPN) estendem o acesso ao segmento de rede aos funcionários remotos. 

No entanto, para implementar o acesso com privilégios mínimos de acordo com os princípios de confiança zero, uma organização precisa ter a capacidade de criar limites de aplicação para cada aplicativo, banco de dados etc. Acesso à rede Zero-Trust (ZTNA) oferece a capacidade de fazer isso em escala sem administrar sistemas de permissão independentes e incorporados ou permitir amplo acesso a segmentos de rede inteiros usando uma série de firewalls de próxima geração (NGFWs) e VPNs.

#3. Postura do dispositivo

O acesso com privilégios mínimos não deve ser limitado a contas de usuário. Restringir o acesso dos dispositivos aos recursos corporativos pode ajudar a limitar os impactos dos dispositivos infectados.

Antes de permitir que os dispositivos se conectem à rede corporativa, eles devem ser inspecionados para garantir que estejam em conformidade com as políticas de segurança corporativa e livres de infecções. Essa inspeção deve ser realizada continuamente para avaliar o nível de risco apresentado pelo dispositivo. O nível de acesso permitido ao usuário e ao dispositivo pode, então, ser baseado na postura de segurança atual do dispositivo.

Como implementar o privilégio mínimo em sua organização

Uma política de gerenciamento de acesso com privilégios mínimos pode ser implementada e aplicada por meio dessas etapas:

• Gerenciar identidades: A implementação consistente do privilégio mínimo em toda a organização exige a capacidade de rastrear e gerenciar identidades de usuários em vários aplicativos e ambientes da rede corporativa. Isso requer a implementação de um provedor de identidade (IDP).
• Implantar o ZTNA: Os serviços ZTNA fornecem acesso a recursos corporativos e, ao mesmo tempo, aplicam uma estratégia de segurança de confiança zero. Isso permite que uma organização aplique sua política de acesso com privilégios mínimos.
• Definir permissões: As permissões de usuário devem ser definidas para restringir o acesso com base na função do usuário na organização. Isso inclui limitar o acesso privilegiado e permitir que os usuários acessem apenas os recursos necessários para realizar seu trabalho.
• Monitorar a postura de segurança do dispositivo: Além de gerenciar as permissões dos usuários, as organizações também devem implementar soluções que possam monitorar a postura de segurança atual de um dispositivo. Isso torna possível restringir o acesso a dispositivos que não estejam em conformidade com a política corporativa e que estejam potencialmente infectados por malware.