quarta-feira, 3 de dezembro de 2008
Com a necessidade de prover cada vez mais acessos às informações a partir de qualquer dispositivo em um ambiente seguro, em conformidade com os órgãos reguladores e alinhado ao negócio surge uma nova demanda para as organizações conhecida como Gerenciamento de Identidades.
Entende-se por Gerenciamento de Identidades todo o ciclo de vida de um colaborador em uma empresa, contemplando as seguintes fases: Concessão de acesso, Alteração de Acesso, Remoção de acesso e Bloqueio de acesso. Adicionalmente, para obter melhor controle sobre este gerenciamento de acesso também deve ser considerada a Revisão periódica dos acessos concedidos. Os detalhamentos destas fases são descritos abaixo:
- Concessão: Fase de liberação de acesso para um determinado sistema ou dispositivo.
O processo de concessão de acesso é iniciado, contemplando as devidas autorizações, formalização e o armazenamento das evidências de execução deste processo;
- Alteração: Fase de alteração/atualização dos acessos concedidos na primeira fase.
Quando um usuário troca de função e/ou departamento os antigos acessos aos sistemas devem ser analisados a fim de garantir que os acessos indevidos à nova função / área sejam revogados. Fornecendo assim apenas os acessos necessários para o colaborador desempenhar suas atividades;
- Remoção: Exclusão do acesso ou parte dele.
Executado a partir do momento em que os usuários não devem mais acessar os sistemas da organização;
- Bloqueio: Bloqueio do acesso.
Realizado para os usuários que estão sem acessar os sistemas por um período determinado na política de controle de acesso, previamente elaborado e divulgado pela organização, ou por usuários que executam alguma ação indevida nos sistemas. Os bloqueios dos acessos podem ser realizados automaticamente ou manualmente com a intervenção do departamento responsável pelo o Gerenciamento de Identidades;
- Revisão: Revisão dos acessos concedidos.
A fim de garantir o controle sobre os acessos concedidos aos usuários, a revisão deve ser efetuada tempestivamente. Esta revisão normalmente é efetuada pelos gestores das áreas de negócio com auxílio do departamento responsável pelo Gerenciamento de Identidades.
Além do ciclo de vida de um colaborador, o Gerenciamento de Identidades compreende a análise dos seguintes aspectos:
- Diretório: Repositório único e corporativo para armazenar as informações dos usuários (internos e externos), bem como seus perfis e regras de negócio;
- Gerenciamento de Usuários: Inclusão, exclusão e manutenção de usuários - workflows, administração delegada e auto-gestão de senhas;
- Controle de Acesso: Controle de acesso com base em regras de negócio - incluindo o conceito de single sign-on;
- Autenticação Forte: Mecanismos tecnológicos – tokens, (PKI) Public Key Infrasctrure entre outros.
Para gerenciar todos os processos relacionados ao Gerenciamento de Identidades, as organizações devem elaborar suas políticas, normas e instruções normativas de controle de acesso e efetuar a divulgação destas. Esses documentos devem ser reavaliados periodicamente a fim de estar sempre alinhado com as demandas de negócio.
Gerenciamento de Identidades é um tema muito amplo e complexo que envolve muitas particularidades de cada empresa/segmento.
Para mais informações sobre o Gerenciamento de Identidades, envie um e-mail para grcnews.blogspot@gmail.com
Postado por Renato Lara e Felipe Sanches