Gestion des identités et des accès : L'accès est un privilège
La gestion des cycles d'accès privilégié est un ensemble de processus et de technologies susceptible d'améliorer l'efficacité de vos contrôles d'accès.
John Mutch
Institutions financières, des organisations de soins de santé et d'autres entreprises opérant dans des secteurs très réglementés doivent continuellement faire face la tâche monumentale de la gestion de l'autorisation de systèmes critiques. Ces organisations ont souvent un grand nombre d'utilisateurs internes et externes, accès à un nombre croissant d'applications. Chaque utilisateur requiert un niveau différent de la sécurité et les exigences de contrôle.
Entreprises dans ces secteurs très réglementés doivent aussi préoccupations gestion de l'identité liée à des problèmes de conformité. Réglementations telles que Sarbanes-Oxley (SOX), la Health Insurance Portability et Accountability Act (HIPAA), la loi Gramm-Leach-Bliley (GLBA) et standard le paiement Card Industry Data Security Standard (PCI DSS) ont des lignes directrices strictes sur comment les entreprises dans leur champ d'application sont tenus de gérer des identités et des accès.
Il y a souvent des coûts administratifs excessifs en raison d'entretien du compte, réinitialisations de mot de passe, renseignements incohérents, les environnements informatiques inflexibles, silos en raison de fusions et acquisitions et le vieillissement des infrastructures. Ces facteurs font l'identité efficace et accéder à plus d'un défi pour les organisations de gestion.
Privilège de provisionnement
Ces facteurs combinés sont propulsant l'adoption de solutions de gestion (PALM) de l'accès privilégié du cycle de vie dans toutes les industries. PALM est un cadre d'architecture technologie consistant en quatre étapes, fonctionnant en continu sous une plate-forme automatisée centralisée :
- Accès aux ressources privilégiées
- Contrôle des ressources privilégiées
- Suivi des mesures prises sur les ressources privilégiées
- Remise en état de revenir les changements fait sur privilégiés ressources à un État bien connu
Accès comprend le processus de provisionnement centralisé des informations d'authentification basée sur les rôles et limite dans le temps pour un accès privilégié aux ressources informatiques. Le processus comprend également l'automatisation de l'approbation des demandes d'accès et d'audit des journaux d'accès.
Contrôle comprend le processus de gestion centralisée basée sur les rôles des autorisations pour des tâches nécessitant un accès à privilégiés il ressources. Cette partie du processus comprend également l'automatisation de l'approbation de demande de permission et de vérification des mesures administratives de système.
Suivi comprend la gestion de la vérification d'enregistrement, d'enregistrement et de superviser les activités de l'utilisateur. Ce processus comprend également des workflows automatisés pour l'événement et les e/S Journal des examens, des remerciements et des pistes de vérification centralisée pour le soutien de vérification simplifiée et accru la sensibilisation à la sécurité.
Assainissement comprend le processus de raffinage déjà attribué les autorisations d'accès et de contrôle pour atteindre les objectifs de sécurité ou de conformité. Vous devez pouvoir central restaurer la configuration du système à un état connu précédent acceptable lorsque requis.
Le processus d'automatisation de PALM comprend le développement d'une plateforme de politique unificatrice centrale couplée à un moteur-revue de l'événement. Cela vous donne pour les contrôles et la visibilité dans chaque étape du cycle de vie.
PALM qui justifie le coût
Il y a plusieurs affaires facteurs opérationnels qui entrent en jouent lorsqu'on examine les coûts des systèmes PALM :
- **Sécurité :**Accès privilégié est critique pour l'administration de TI en cours lisse. Dans le même temps, il expose une organisation à des risques de sécurité, notamment des menaces d'initiés.
- **Conformité :**Si ne pas gérés correctement, un accès privilégié à des systèmes critiques de l'entreprise peut présenter des risques importants de conformité. La capacité de fournir une piste de vérification à travers toutes les étapes du cycle de vie des accès privilégiés est essentielle pour la conformité. Il est souvent difficile de le faire en grand, complexe, hétérogène des environnements.
- **Complexité réduite :**PALM efficace dans des environnements hétérogènes grands avec multiples QU'IL les ingénieurs, les gestionnaires et les commissaires aux comptes peut être une tâche extrêmement difficile.
- **Couverture hétérogène :**Une solution efficace de PALM doit prendre en charge un large éventail de plates-formes, dont Windows, Unix, Linux, AS/400, Active Directory, bases de données, pare-feu et routeurs et commutateurs.
Voici quelques-unes des premières mesures à prendre lorsqu'on envisage un système PALM :
Établir la sécurité comme un objectif d'entreprise. Entreprises pourraient avoir de difficulté à maintenir la sécurité parce que tout le monde est trop occupé à essayer d'atteindre les autres objectifs. Si vous avez des problèmes de maintien de la sécurité dans votre entreprise, envisagez d'ajouter la sécurité comme un objectif pour tous les niveaux de gestion.
Offrir ou s'engager dans la formation comme l'exige. Pour la sécurité au travail, tout le monde doit connaître les règles de base. Une fois qu'ils connaissent les règles, il n'est pas mal pour les inciter à suivre ces règles.
S'assurer que tous les gestionnaires comprennent la sécurité. Il est particulièrement important que tous les membres de l'équipe de gestion comprennent les risques associés aux systèmes non garantis. Sinon, les choix de gestion peuvent compromettre involontairement réputation, des renseignements exclusifs et les résultats financiers de la société.
Communiquer clairement à la direction. Trop souvent, les responsables informatiques se plaignent à leurs terminaux au lieu de leurs superviseurs. D'autres fois, trouvent des professionnels de l'informatique que se plaindre de leurs superviseurs est remarquablement semblable à se plaindre de leurs terminaux. Assurez-vous que votre message est entendu et compris.
Si vous êtes un manager, assurez-vous que vos gens ont accès à votre temps et votre attention. Lorsque les questions de sécurité, il est important de faire attention. La première ligne de défense de votre réseau est de communiquer avec les personnes derrière vos machines. Si vous êtes un administrateur première ligne, faire en sorte que parler avec votre gestionnaire immédiate résout les problèmes, que vous voyez des abus potentiels ou réalisé des privilèges. Si ce n'est pas, vous devriez être assez confiance pour atteindre plus haut dans la chaîne de gestion d'alerte afin de prendre des mesures.
Délimiter le maintien de la sécurité organisationnelle-Croix. Si votre entreprise a un groupe de sécurité et un groupe d'administration de systèmes, la gestion de votre entreprise doit définir clairement leurs rôles et responsabilités. Par exemple, les administrateurs systèmes pour configurer les systèmes ? Le groupe de sécurité est chargé de rendre compte des cas de non-conformité ?
Si personne n'est officiellement responsable, rien ne se fait. Dans ces cas, responsable des problèmes qui en résultent est souvent être endossé par le parti des offenser. Un cadre efficace de PALM est un mélange de processus, la technologie, la responsabilisation et la communication.
.jpg)
John Mutch a été un exécutif et un investisseur dans le secteur des technologies depuis plus de 25 ans. Avant de rejoindre BeyondTrust comme CEO en 2008, Mutch a été fondateur et associé directeur de MV Advisors LLC. Il a également servi de président, directeur général et directeur de HNC Software et a passé sept ans chez Microsoft dans une variété d'exécutifs ventes et marketing de rôles.