- Techninis skirtumas tarp operatyvinės prieigos kontrolės (IAM), kritinių klientų valdymo (PAM) ir strateginio valdymo (IGA).
- ISPM trikdantis vaidmuo kaip nuolatinio rizikos analizės sluoksnio, stebinčio kitų įrankių efektyvumą.
- Šių disciplinų integravimo į tapatybės struktūrą svarba, kad būtų laikomasi tokių reglamentų kaip NIS2, DORA ir BDAR.
Šiandien bandyti apsaugoti įmonę aiškiai nesuprantant, kas įeina ir prie ko jie gali prisijungti, yra tas pats, kas palikti atviras duris ir tikėtis, kad niekas neįeis. Augant debesų kompiuterijai, nuotoliniam darbui ir hibridinei aplinkai, tapatybės valdymas tapo įmonių kibernetinio saugumo pagrindiniu elementu . Stipraus slaptažodžio nebepakanka; tikrasis pavojus slypi per daugelį metų kaupiamuose leidimuose, aktyviose buvusių darbuotojų paskyrose ir netinkamai paskirstytose privilegijose, kurios tampa dovana bet kuriam įsilaužėliui.
Siekiant įvesti tvarką šiame chaose, atsirado įvairios disciplinos, kurios, nors kartais ir painios, turi labai skirtingas misijas. Nuo kasdienės prieigos kontrolės iki išsamaus audito ir rizikos analizės realiuoju laiku, IAM, PAM, IGA, IDaaS ir ISPM skirtumų supratimas yra vienintelis būdas užkirsti kelią užpuolikui laisvai judėti jūsų tinkle. Reikia ne tik įdiegti programinę įrangą, bet ir sukurti strategiją, kurioje kiekviena dalis derėtų tarpusavyje, kad tapatybė būtų saugus turtas, o ne saugumo spraga.
IAM: infrastruktūros vartininkas
Tapatybės ir prieigos valdymas (IAM) iš esmės yra sistema, užtikrinanti, kad tinkamas asmuo galėtų pasiekti reikiamą išteklių tinkamu laiku. Tai operacinis įrankis, kuris realiuoju laiku patvirtina tapatybes ir suteikia leidimus . Jei norite prisijungti prie programos, IAM prašo jūsų kredencialų ir nusprendžia, ar galite tęsti.
Šioje sistemoje randame tokias gyvybiškai svarbias funkcijas kaip autentifikavimas ir autorizavimas , kur naudojami tokie metodai kaip biometrija arba daugiafaktorinis autentifikavimas, siekiant užtikrinti, kad esate tas, kuo teigiate. Ji taip pat valdo pagrindinį vartotojo gyvavimo ciklą ir naudoja vaidmenimis pagrįstą prieigos kontrolę (RBAC), kad užtikrintų, jog niekas neturėtų daugiau leidimų, nei reikia kasdieniam darbui. Išoriniams klientams yra CIAM (kliento IAM) , kuris užtikrina pusiausvyrą tarp patikimo saugumo ir sklandaus vartotojo patirties, išvengiant klientų nusivylimo bandant pasiekti savo paskyrą.
PAM: Karalystės raktų saugojimas
Jei IAM yra durininkas prie pagrindinio įėjimo, tai Privilegijuotos prieigos valdymas (PAM) yra seifą stebintis sargas. Jis skirtas tik paskyroms su didelėmis privilegijomis , pvz., sistemos administratoriams arba IT technikams, kurie turi teisę ištrinti duomenų bazes arba keisti svarbias konfigūracijas.
PAM ne tik saugo slaptažodžius saugiose saugyklose, bet ir įgyvendina „Just-in-Time“ (JIT) prieigą , o tai reiškia, kad leidimas suteikiamas tik tiek laiko, kiek reikia užduočiai atlikti, o po to nustoja galioti. Be to, vienas didžiausių jos privalumų yra sesijos įrašymas ; jei kas nors nepavyksta, galite grįžti ir tiksliai pamatyti, kurią komandą administratorius vykdė, o tai neįkainojama atliekant auditus ir reaguojant į incidentus.
IGA: strateginės smegenys ir valdymas
Čia ir prasideda tapatybės valdymas ir administravimas (IGA). IAM yra raumuo, vykdantis prieigą, o IGA yra smegenys, apibrėžiančios žaidimo taisykles . Jos tikslas – ne pasakyti „taip“ arba „ne“ prisijungiant, o išanalizuoti, ar prieiga atitinka įmonės politiką ir galiojančius įstatymus.
IGA automatizuoja visą gyvavimo ciklą per prisijungimo, perkėlimo ir išėjimo procesus . Kai kas nors prisijungia (Joiner), jam suteikiama minimali prieiga; jei jis pakeičia vaidmenis (Move), jo seni leidimai ištrinami, siekiant išvengti privilegijų perkėlimo; o kai jis išeina (Leaver), visa jo prieiga akimirksniu panaikinama, siekiant išvengti našlaičių paskyrų. Be to, IGA yra būtinas prieigai patikrinti , reikalaujant, kad vadovai periodiškai peržiūrėtų, ar jų darbuotojams vis dar reikalingi turimi leidimai.
IDaaS: tapatybė debesyje
Tapatybė kaip paslauga (angl. IDaaS) nėra atskira disciplina, o būdas teikti IAM paslaugas debesyje. Užuot kūrusi savo serverius ir valdiusi pataisas, įmonė samdo valdomą paslaugą, kuri siūlo centralizuotai vienkartinį prisijungimą (angl. SSO) ir daugiafaktorinį autentifikavimą (angl. MFA).
Tai idealiai tinka organizacijoms, siekiančioms greito mastelio keitimo ir daugiausia dirbančioms su SaaS programomis. IDaaS leidžia vartotojams prisijungti vieną kartą ir pasiekti kelis įrankius, nereikia prisiminti dešimties skirtingų slaptažodžių, taip pagerinant veiklos efektyvumą ir sumažinant IT skyriaus darbo krūvį.
ISPM: Nuolatinės rizikos analizės sluoksnis
Tapatybės saugumo padėties valdymas (ISPM) yra naujausia dėlionės dalis. Skirtingai nuo ankstesnių sistemų, kurios buvo atsakingos už vykdymą arba valdymą, ISPM nuskaito ir įvertina kitų sistemų nustatytą prieigos saugumą . Tai tarsi inspektorius, nuolat tikrinantis, ar IAM ir PAM užraktai tinkamai įjungti.
ISPM ieško šešėlinių tapatybių , pamirštų paslaugų paskyrų arba netinkamų konfigūracijų „Active Directory“ kataloge, kurios galėtų sudaryti sąlygas horizontaliam judėjimui. Jo vertė slypi atakų kelių analizėje : jis gali įspėti, kad vartotojas be MFA turi leidimus, kurie netiesiogiai leidžia jam pasiekti svarbų serverį. Jis nepakeičia IAM ar PAM, o nurodo, kur kyla problemų, kad būtų galima ištaisyti problemą.
Sinergija ir atitiktis reglamentams
Kai visos šios dalys susijungia į vadinamąjį tapatybės audinį (IDA) , saugumas nustoja būti reaktyvus. Ši integracija yra labai svarbi norint laikytis labai griežtų Europos reglamentų. Pavyzdžiui, NIS2 ir ENS reikalauja visiško matomumo, kas pasiekia kritines sistemas, o tai galima pasiekti tik derinant IAM diegimą su IGA auditu.
Finansų sektoriuje DORA įstatymas įpareigoja užtikrinti skaitmeninį atsparumą, reikalaudamas griežtos trečiųjų šalių ir tiekėjų kontrolės. Čia IGA ir PAM glaudžiai bendradarbiauja siekdamos užtikrinti, kad išorės konsultantai turėtų prieigą tik prie to, kas yra būtina, ir kad kiekvienas jų veiksmas būtų registruojamas. Tai kartu su elgsenos analize ir anomalijų aptikimu leidžia numatyti dirbtinio intelekto keliamas grėsmes , kol jos netampa saugumo pažeidimu.
Žmogaus ir ne žmogaus tapatybės
Negalime pamiršti, kad šiandien valdome ne tik žmones. Yra ne žmonių tapatybių , tokių kaip robotai, API, debesijos darbo krūviai ir daiktų interneto įrenginiai. Šios tapatybės dažnai yra silpnoji grandis, nes jos dažnai turi nuolatinius leidimus ir slaptažodžius, kurie niekada nesikeičia.
Tvirta sistema turi taikyti nulinio pasitikėjimo principą tiek darbuotojams, tiek mikropaslaugoms. Tai reiškia, kad joks subjektas neturi numatytosios prieigos ir kad kiekviena užklausa turi būti patikrinta, autentifikuota ir užregistruota, nepriklausomai nuo to, ar ji gaunama iš žmogaus, ar automatizuoto programinės įrangos proceso.
Atspariausia saugumo architektūra yra ta, kuri sėkmingai sujungia IAM operacinius pajėgumus, PAM kritinę apsaugą, IGA strateginę viziją ir ISPM prevencinę analizę, visa tai palaikant IDaaS lankstumu, siekiant sukurti ekosistemą, kurioje tapatybė yra tikrasis gynybos perimetras.
