Administración de acceso e identidades: El acceso es un privilegio
La administración del ciclo de vida del acceso privilegiado es un marco tecnológico y de proceso que permite que los controles de acceso sean más eficientes y eficaces.
John Mutch
Las instituciones financieras, organizaciones de salud y otras empresas que operan en industrias altamente reguladas deben enfrentar continuamente la monumental tarea de administrar la autorización para sistemas de misión crítica. Estas organizaciones tienen a menudo grandes cantidades de usuarios internos y externos acceder a un número creciente de aplicaciones. Cada usuario requiere un nivel diferente de requisitos de control y seguridad.
Empresas en estas industrias altamente reguladas también deben abordar preocupaciones de administración de identidad relacionados con cuestiones de cumplimiento. Normativas como Sarbanes-Oxley (SOX), la portabilidad de seguro médico y Accountability Act (HIPAA), la Ley Gramm-Leach-Bliley (GLBA) y el estándar de seguridad de datos de la industria de pago con tarjeta (PCI DSS) tienen estrictas directrices sobre cómo las empresas dentro de su competencia son necesarios para administrar identidades y acceso.
A menudo hay gastos administrativos excesivos debido a mantenimiento de cuenta, restablecimiento de contraseña, información inconsistente, entornos de TI inflexibles, silos debido a fusiones y adquisiciones y envejecimiento las infraestructuras. Estos factores hacen efectiva identidad y acceder a la gestión de más de un desafío para las organizaciones.
Provisioning de privilegio
Estos factores combinados están impulsando la adopción de soluciones de gestión (PALM) de acceso privilegiado del ciclo de vida de todas las industrias. PALM es un marco de arquitectura de tecnología que consta de cuatro etapas que se ejecuta continuamente bajo una plataforma centralizada automatizada:
- Acceso a recursos privilegiados
- Control de los recursos privilegiados
- Seguimiento de acciones realizadas sobre recursos privilegiados
- Corrección para revertir los cambios hecho en privilegiados recursos a un estado bueno conocido
Acceso incluye el proceso de aprovisionamiento centralizada basada en papel y plazos credenciales para acceso privilegiado a los activos de TI. El proceso también incluye automatización de aprobación de solicitudes de acceso y auditoría de logs de acceso.
Control incluye el proceso de administrar de manera centralizada permisos basados en papel para tareas que requieren acceso a privilegios recursos. Esta parte del proceso también incluye automatización de aprobaciones de solicitud de permiso y auditoría de las acciones administrativas del sistema.
Monitoreo incluye administración de auditoría de registro, registro y supervisión de las actividades del usuario. Este proceso también incluye los flujos de trabajo automatizados para eventos y E/s registrar comentarios, Agradecimientos y pistas de auditoría centralizado para apoyo de auditoría optimizada y una mayor conciencia de seguridad.
Corrección incluye el proceso de refinación previamente asignado permisos para acceso y control para alcanzar los objetivos de seguridad o cumplimiento de normas. Necesita poder centralmente restaurar configuración del sistema a un estado aceptable conocido anterior cuando sea necesario.
El proceso de automatización de PALM incluye el desarrollo de una plataforma política unificadora central, junto con un motor de evento-review. Esto le proporciona controles para y visibilidad en cada etapa del ciclo de vida.
PALM que justifique el costo
Hay varios negocios operacionales factores que entran en juegan al considerar los costos de sistemas PALM:
- **Seguridad:**Acceso privilegiado es crítico para Lisa curso Administración de TI. Al mismo tiempo, se expone a una organización a riesgos de seguridad — especialmente las amenazas de información privilegiada.
- **Cumplimiento de normas:**Si no se manejan correctamente, acceso privilegiado a los sistemas críticos del negocio puede introducir riesgos de cumplimiento significativo. La capacidad para proporcionar una pista de auditoría en todas las etapas del ciclo de vida privilegiado acceso es crítica para el cumplimiento. A menudo es difícil de lograr en grandes, complejos, heterogéneos entornos.
- **Reducción de la complejidad:**PALM eficaz en grandes entornos heterogéneos con múltiples que ingenieros, gestores y auditores puede ser una tarea inmensamente difícil.
- **Cobertura heterogénea:**Una solución eficaz de PALM debe soportar una amplia gama de plataformas, incluyendo Windows, Unix, Linux, AS/400, Active Directory, bases de datos, firewalls y enrutadores y conmutadores.
Éstos son algunos de los primeros pasos a tomar cuando se considera un sistema PALM:
Establecer la seguridad como un objetivo corporativo. Las empresas podrían tener problemas para mantener la seguridad porque todo el mundo está demasiado ocupado tratando de alcanzar otros objetivos. Si tiene problemas para mantener la seguridad en su empresa, considere la adición de seguridad como una meta para cada nivel de gestión.
Proporcionar o alistarse en formación según sea necesario. De seguridad trabajar, todo el mundo necesita conocer las reglas básicas. Una vez que conocen las reglas, no duele para que puedan seguir esas reglas.
Asegúrese de que entienden de todos los administradores de seguridad. Es especialmente importante que todos los miembros del equipo directivo entiendan los riesgos asociados con los sistemas inseguros. De lo contrario, las opciones de gestión involuntariamente pueden comprometer la reputación, información confidencial y los resultados financieros de la empresa.
Comunicar claramente a la administración. Demasiado a menudo, los administradores de TI se quejan de sus terminales en lugar de sus supervisores. Otras veces, los profesionales de TI encuentran que quejarse a sus supervisores es notablemente similar a quejarse a sus terminales. Asegúrese de que su mensaje es escuchado y entendido.
Si eres un administrador, asegúrese de que su gente tiene acceso a su tiempo y atención. Cuando surgen problemas de seguridad, es importante prestar atención. La primera línea de defensa para la red es buena comunicación con la gente detrás de las máquinas. Si usted es un administrador de TI de primera línea, intentar garantizar que hablar a su jefe inmediato corrige los problemas que ves realizadas o potencial abuso de privilegios. Si no es así, debe tener suficiente confianza para llegar más lejos en la cadena de gestión para alertarlos para tomar acción.
Delinear el soporte de seguridad de toda la organización. Si su empresa tiene un grupo de seguridad y un grupo de administración de sistemas, su gestión corporativa debe definir claramente sus funciones y responsabilidades. ¿Por ejemplo, son los administradores de sistemas responsables de la configuración de los sistemas? ¿Es el grupo de seguridad responsable de la notificación de incumplimiento?
Si no hay nadie oficialmente responsable, nada se hará. En esos casos, rendición de cuentas por problemas resultantes a menudo ser será asumido por el partido de no ofender. Un marco eficaz de PALM es una mezcla de proceso, tecnología, responsabilidad y comunicación.
.jpg)
John Mutch ha sido un ejecutivo e inversor en la industria de la tecnología por más de 25 años. Antes de unirse a BeyondTrust como CEO en 2008, Mutch fue fundador y socio de MV Advisors LLC. También ha servido como Presidente, CEO y director de HNC Software y pasó siete años en Microsoft en una variedad de roles de marketing y ventas ejecutivas.