Um dos principais desafios enfrentados pelos CISOs atualmente é, sem dúvida, como chegar a um equilíbrio entre a permissão de acesso dos usuários aos sistemas e dados corporativos e, ao mesmo tempo, garantir a segurança do ambiente de TI. Um dos recursos apontados por especialistas em segurança cibernética que podem ajudar os CISOs a contrabalançar essa equação são as ferramentas de gerenciamento de acesso privilegiado (PAM, na sigla em inglês), componente-chave das soluções de gerenciamento de identidade e acesso (IAM).
“A missão do PAM é definir onde, como e por quem determinada conta pode ser usada e, de quebra, realizar o monitoramento efetivo sobre as ações desse usuário”, diz Thiago Felippe, CEO da Aiqon, hub de inteligência em cibersegurança que representada vários fornecedores soluções de proteção no Brasil. Ele observa que a autenticação multifator (MFA) traz maior segurança e resiliência à segurança de acesso, mas não resolve o uso indevido do privilégio. “Ou seja, validar a autenticidade de quem usa a conta é uma ótima ideia, mas melhor ainda é poder limitar a conta a um escopo definido. Isso elimina vários fatores de risco”, afirma.
O especialista da Aiqon diz que segregar os acessos é muito importante, pois não faz sentido um estagiário ter o mesmo nível de acesso de um gestor, afinal, quanto maior o acesso a informações maior é a responsabilidade do perfil em questão. Segundo Felippe, pode acontecer desse funcionário com nível de privilégio de acesso de um gestor, acessar dados e informações altamente confidenciais, com risco de comprometer os negócios. “Uma forma de se ter controle sobre esse risco é limitar o acesso à informação de forma adequada a cada perfil de usuário, dentro de seu escopo de atuação. Isso assegura a confidencialidade dos dados”, diz ele.
A severidade do impacto que contas privilegiadas têm sobre o negócio não é algo que possa ser ignorado, observa Felippe. “Esse tipo de conta é um pote de ouro para os hackers, pois seu domínio facilita ataques sofisticados, ameaças persistentes avançadas (APTs), roubos de dados e extorsão. O risco diminui quando se limita o nível de acesso, seja de forma robusta ou manual. O que de fato importa é maximizar a segurança do ambiente corporativo.”
Para corroborar esse quadro, o executivo cita um estudo da Cyber Ark, o qual mostra que o comprometimento de contas privilegiadas foi um fator crucial em 100% dos ataques avançados. “O relatório da empresa afirma que a ausência de medidas fundamentais de controle de acesso foi um fator explorado pelos criminosos digitais em todos os recentes ataques de alto perfil que foram examinados”, diz.
Veja isso
Como o PAM permite conformidade com a LGPD
Thoma Bravo aposta em IAM comprando a ForgeRock
Felippe faz questão de ressaltar que mesmo administradores de redes e de sistemas precisam de auditoria e controle. “Mas ainda há casos especiais e pontuais em que se libera o acesso privilegiado. Há tarefas que exigem alto nível de privilégio para serem executadas. Ainda assim, não há benefício algum em conceder um acesso por tempo indeterminado. Na verdade, os riscos aumentam se isso é feito de forma não controlada.”
O executivo destaca, ainda, que manter credenciais com acesso privilegiado nos servidores da organização, representa mais do que um risco: é um passivo. “Caso essa credencial seja roubada ela será explorada em profundidade pelas gangues digitais. Isso não acontece com credenciais privilegiadas ‘just-in-time’”, alerta ele, ao acrescentar que a Aiqon fornece um amplo portfólio de soluções quando o assunto é governança de identidades e gerenciamento de acessos privilegiados.
