- הבחנה טכנית בין בקרת גישה תפעולית (IAM), ניהול חשבונות קריטיים (PAM) וממשל אסטרטגי (IGA).
- תפקידו המשבש של ISPM כשכבת ניתוח סיכונים מתמשכת המנטרת את יעילותם של כלים אחרים.
- החשיבות של שילוב תחומים אלה במארג זהות על מנת לעמוד בתקנות כגון NIS2, DORA ו-GDPR.
כיום, ניסיון להגן על חברה ללא הבנה ברורה של מי נכנס ולמה הוא יכול לגשת, זה כמו להשאיר את דלת הכניסה פתוחה ולצפות שאף אחד לא ייכנס. עם עליית מחשוב הענן, העבודה מרחוק וסביבות היברידיות, ניהול זהויות הפך ללב ליבה של אבטחת הסייבר הארגונית . סיסמה חזקה כבר אינה מספיקה; הסכנה האמיתית טמונה בהרשאות שמצטברות במהלך השנים, בחשבונות של עובדים לשעבר שנותרו פעילים, ובזכויות שהוקצו בצורה שגויה שהן מתנה לכל האקר.
כדי להביא סדר לכאוס הזה, צצו תחומים שונים שלמרות שלעיתים מבולבלים, יש להם משימות שונות מאוד. החל מבקרת גישה יומיומית ועד לביקורת מעמיקה וניתוח סיכונים בזמן אמת, הבנת ההבדל בין IAM, PAM, IGA, IDaaS ו-ISPM היא הדרך היחידה למנוע מתוקף לנוע בחופשיות ברשת שלכם. זה לא רק עניין של התקנת תוכנה, אלא של בניית אסטרטגיה שבה כל חלק משתלב יחד כך שהזהות תהיה נכס מאובטח ולא פגיעות אבטחה.
IAM: שומר הסף של התשתיות
ניהול זהויות וגישה (IAM) הוא למעשה המערכת שמבטיחה שהאדם הנכון יגיש את המשאב הנכון בזמן הנכון. זהו הכלי התפעולי שמאמת זהויות ומעניק הרשאות בזמן אמת. אם ברצונך להתחבר לאפליקציה, IAM הוא זה שמבקש את האישורים שלך ומחליט אם תוכל להמשיך.
במסגרת זו, אנו מוצאים פונקציות חיוניות כגון אימות והרשאה , בהן נעשה שימוש בשיטות כמו ביומטריה או MFA כדי להבטיח שאתה מי שאתה טוען להיות. המערכת גם מנהלת את מחזור חיי המשתמש הבסיסי ומשתמשת בבקרת גישה מבוססת תפקידים (RBAC) כדי להבטיח שלאף אחד אין יותר הרשאות ממה שהוא צריך לעבודתו היומיומית. עבור לקוחות חיצוניים, קיים CIAM (Customer IAM) , אשר יוצר איזון בין אבטחה חזקה לחוויית משתמש חלקה, ומונע תסכול של לקוחות בעת ניסיון לגשת לחשבונם.
PAM: שומרים על מפתחות הממלכה
אם IAM הוא השוער בכניסה הראשית, ניהול גישה מורשית (PAM) הוא השומר השומר על הכספת. הוא מתמקד אך ורק בחשבונות בעלי הרשאות גבוהות , כגון מנהלי מערכת או טכנאי IT, שיש להם את הסמכות למחוק מסדי נתונים או לשנות תצורות קריטיות.
PAM לא רק מאחסן סיסמאות בכספות מאובטחות, אלא גם מיייש גישת Just-in-Time (JIT) , כלומר הרשאה ניתנת רק למשך הזמן הדרוש להשלמת המשימה ולאחר מכן פגה תוקפה. יתר על כן, אחד היתרונות הגדולים ביותר שלו הוא הקלטת סשן ; אם משהו משתבש, ניתן לחזור אחורה ולראות בדיוק איזו פקודה ביצע המנהל, דבר בעל ערך רב לביקורות ולתגובה לאירועים.
IGA: המוח האסטרטגי והממשל
כאן נכנס לתמונה ניהול ופיקוח על זהויות (IGA). בעוד ש-IAM הוא השריר שמבצע את הגישה, IGA הוא המוח שמגדיר את כללי המשחק . מטרתו אינה לומר "כן" או "לא" בעת הכניסה, אלא לנתח האם גישה זו עולה בקנה אחד עם מדיניות החברה והחוקים הנוכחיים.
ה-IGA הופך את כל מחזור החיים לאוטומטי דרך תהליכי ההצטרפות, המעבר והעזיבה . כאשר מישהו מצטרף (Joiner), ניתנת לו גישה מינימלית; אם הוא משנה תפקיד (Move), ההרשאות הישנות שלו מנוקות כדי למנוע זחילת הרשאות; וכאשר הוא עוזב (Leaver), כל הגישה שלו מבוטלת באופן מיידי כדי למנוע חשבונות יתומים. יתר על כן, ה-IGA חיוני לאימות גישה , ודורש ממנהלים לבדוק מעת לעת האם עובדיהם עדיין זקוקים להרשאות שיש להם.
IDaaS: זהות בענן
זהות כשירות (IDaaS) אינה תחום נפרד, אלא דרך לספק שירותי IAM דרך הענן. במקום להקים שרתים משלה ולנהל תיקונים, החברה משתמשת בשירות מנוהל המציע כניסה יחידה (SSO) ו-MFA באופן מרכזי.
זה אידיאלי עבור ארגונים המחפשים גמישות מהירה ופועלים בעיקר עם יישומי SaaS. IDaaS מאפשר למשתמשים להתחבר פעם אחת ולגשת לכלים מרובים מבלי לזכור עשר סיסמאות שונות, מה שמשפר את היעילות התפעולית ומפחית את עומס העבודה של מחלקת ה-IT.
ISPM: שכבת ניתוח הסיכונים הרציפה
ניהול יציבת אבטחת זהויות (ISPM) הוא החלק החדש ביותר בפאזל. בניגוד למערכות קודמות, האחראיות על ביצוע או ניהול, ISPM סורקת ומעריכה את אבטחת הגישה שנקבעה על ידי המערכות האחרות. זה כמו מפקח שבודק כל הזמן האם מנעולי ה-IAM וה-PAM נעולים כראוי.
ISPM מחפש זהויות צל , חשבונות שירות שנשכחו או תצורות שגויות ב-Active Directory שעלולות לאפשר תנועה רוחבית. ערכו טמון בניתוח נתיבי תקיפה : הוא יכול להתריע בפניך שמשתמש ללא MFA בעל הרשאות שמאפשרות לו בעקיפין גישה לשרת קריטי. הוא אינו מחליף IAM או PAM, אלא אומר להם היכן הם נכשלים כדי שיוכלו לתקן את הבעיה.
סינרגיה ותאימות רגולטורית
כאשר כל החלקים הללו מתאחדים למה שנקרא מארג זהות , האבטחה מפסיקה להיות תגובתית. שילוב זה הוא המפתח לעמידה בתקנות אירופיות מחמירות מאוד. לדוגמה, NIS2 ו-ENS דורשים נראות מלאה לגבי מי ניגש למערכות קריטיות, דבר שניתן להשיג רק על ידי שילוב של יישום IAM עם ביקורת IGA.
במגזר הפיננסי, חוק DORA מחייב חוסן דיגיטלי, ודורש בקרה קפדנית על צדדים שלישיים וספקים. כאן, IGA ו-PAM עובדים בשיתוף פעולה הדוק כדי להבטיח שליועצים חיצוניים תהיה גישה רק למה שחשוב לחלוטין ושכל פעולה שהם מבצעים תירשם. זה, בשילוב עם ניתוח התנהגותי וזיהוי אנומליות, מאפשר לצפות איומים המונעים על ידי בינה מלאכותית לפני שהם הופכים לפריצת אבטחה.
זהויות אנושיות ולא אנושיות
אסור לנו לשכוח שכיום אנו מנהלים יותר מסתם אנשים. ישנן זהויות שאינן אנושיות , כגון בוטים, ממשקי API, עומסי עבודה בענן ומכשירי IoT. זהויות אלו הן לעתים קרובות החוליה החלשה מכיוון שלעתים קרובות יש להן הרשאות וסיסמאות קבועות שלעולם לא משתנות.
מערכת חזקה חייבת ליישם את עקרון אפס האמון הן על עובדים והן על מיקרו-שירותים. משמעות הדבר היא שאף ישות אינה בעלת גישה כברירת מחדל וכי כל בקשה חייבת לעבור אימות, אישור ותיעוד, בין אם היא מגיעה מתהליך אנושי או מתהליך תוכנה אוטומטי.
ארכיטקטורת האבטחה העמידה ביותר היא כזו המשלבת בהצלחה את היכולות התפעוליות של IAM, ההגנה הקריטית של PAM, החזון האסטרטגי של IGA והניתוח המונע של ISPM, כולם נתמכים על ידי הגמישות של IDaaS ליצירת מערכת אקולוגית שבה זהות היא היקף ההגנה האמיתי.
