Керування ідентифікацією: що вам потрібно знати

Сучасні порушення безпеки, такі як атаки SolarWinds або T-Mobile, не є одноразовими подіями; вони є яскравими прикладами того, як хтось може викрасти облікові дані вашої організації та використовувати їх для отримання незаконного привілейованого доступу до конфіденційних активів. Витоки даних відбуваються щодня, і в надто багатьох місцях одночасно, щоб рахувати. Вони нагадують нам, що, незалежно від наших інвестицій у безпеку інформації, критично важливі бізнес-ресурси можуть бути скомпрометовані, якщо доступ не захищений.

Для виконання своїх операцій організації залежать від різноманітних систем, програм і пристроїв, а користувачам потрібен доступ до цих ресурсів, щоб ефективно виконувати свою роботу. Керувати цим може бути складно, особливо у великих корпораціях із сотнями чи тисячами користувачів, яким потрібен персоналізований доступ. Управління ідентифікацією та доступом додає рівень безпеки, відстежуючи, керуючи та захищаючи ідентифікаційні дані людей і пов’язані з ними дані. Це допомагає відстежувати, хто є хто, щоб люди могли отримати доступ до інформації, яку вони мають право переглядати, і здійснювати транзакції, які їм дозволено здійснювати.

Що таке керування ідентифікацією?

Управління ідентифікацією — це централізований процес керування ідентифікацією користувачів і привілеями доступу. Це включає в себе запис і контроль ідентичності всередині організації та застосування політики керування ідентифікацією. Простіше кажучи, ваша онлайн-ідентичність – це профіль, який ідентифікує вас під час користування мережею, тоді як ваш доступ стосується того, які дозволи ви маєте після входу в систему. Разом вони утворюють важливу частину того, як ви взаємодієте з технологіями – це як комп’ютери дізнаються, що це справді ви намагаєтесь увійти, а не хтось інший.

Управління ідентифікацією в дії

Завдяки керуванню ідентифікацією та доступом (IAM) лише визначеним користувачам в організації дозволено отримувати доступ до конфіденційної інформації та обробляти її. Ось кілька прикладів керування ідентифікацією на роботі:

• Створення та підтримка ідентифікаційних даних. Створюючи автоматизовані робочі процеси для таких сценаріїв, як новий користувач або зміна ролі, IAM централізує життєвий цикл ідентифікації та керування доступом співробітників компанії. Це покращує час обробки змін доступу та ідентифікаційних даних і зменшує кількість помилок.
• Керування повноваженнями: права протягом життєвого циклу призначаються окремим особам та їхнім ролям. Наприклад, оператор виробництва може переглядати робочу процедуру в режимі онлайн, але може не мати права змінювати її. З іншого боку, керівник матиме повноваження не лише переглядати, а й змінювати файл або створювати нові.
• Перевірка особи: ідентифікація є основою повсякденних дій користувачів. Після того, як держава запровадила реєстр цивільного стану, IAM дозволяє урядам надавати людям право доступу до своїх даних (свідоцтво про народження, водійські права тощо) і підтверджувати свою особу.

Ряд систем управління ідентифікацією та доступом використовують контроль доступу на основі ролей (RBAC). Відповідно до цього підходу існують попередньо визначені посадові ролі з певними наборами прав доступу. Наприклад, якщо працівник відділу кадрів відповідає за навчання, немає сенсу також надавати йому доступ до файлів із посадами та зарплатами. Існує багато інших форм автоматичного контролю доступу, кожна з яких має різноманітні функції та технології.

Загальні особливості управління ідентифікацією

На ринку існує багато різних форм програмного забезпечення для керування ідентифікацією, але немає офіційного визначення того, що вони повинні, а що не повинні включати. Однак кілька важливих особливостей виділяються:

• Єдиний вхід (SSO): це коли користувачі можуть отримати доступ до кількох програм і служб з одного місця, уникаючи потреби в різних іменах користувачів і паролях.
• Двофакторна автентифікація: це передбачає перевірку особи не лише за допомогою імені користувача та пароля, а й іншої інформації, як-от PIN-коду чи токена.

Інші функції керування ідентифікацією можуть включати автоматичне надання облікових записів користувачів, керування паролями, робочий процес, а також служби відповідності й аудиту. В останні роки з’явилося нове покоління технологій керування ідентифікацією, які, окрім безпеки, зосереджені на простоті використання. Деякі приклади: біометрична автентифікація (наприклад, за відбитками пальців або розпізнавання обличчя), багатофакторна автентифікація (що потребує кількох факторів перевірки) та федерація ідентифікації, за якої відповідальність за автентифікацію особи чи організації делегується довіреній зовнішній стороні. SSO є важливим аспектом управління федеративними ідентифікаторами.

Ці ключові функції керування ідентифікацією спільні для майже всіх сучасних систем керування ідентифікацією (IMS). IMS — це онлайн-платформа, яка допомагає організаціям безпечно та ефективно керувати низкою ідентифікаційних даних. Він інтегрується з різноманітними іншими системами в організації, такими як системи управління персоналом, платформи електронної комерції та бухгалтерське програмне забезпечення.

Як працює керування ідентифікацією?

Загалом, системи керування ідентифікацією виконують три основні завдання: ідентифікацію, автентифікацію та авторизацію. Це дозволяє потрібним людям, залежно від їхніх посадових функцій, отримувати доступ до інструментів, необхідних для виконання покладених на них обов’язків, не надаючи їм доступу до непотрібних.

Ідентифікація та доступ – у чому різниця? Терміни «керування ідентифікацією» та «керування доступом» часто використовуються як синоніми, але це дві різні концепції. Основна відмінність полягає в тому, що керування ідентифікацією стосується облікових записів користувачів (автентифікація), тоді як керування доступом має справу з дозволами та привілеями (авторизація).

Візьмемо приклад. Коли користувач вводить свої облікові дані для входу, його особистість перевіряється в базі даних, щоб перевірити, чи збігаються введені облікові дані з тими, що зберігаються в базі даних – це автентифікація. Після того, як особу користувача встановлено, йому надається доступ до ресурсів, для яких його обліковий запис очищено – це авторизація.

Керування ідентифікацією: що це для вас?

Система керування ідентифікацією є цінним інструментом для захисту інформації та ресурсів організацій будь-якого розміру. Це дозволяє безпечно зберігати дані користувача та керувати правами доступу користувачів, забезпечуючи безпечний і надійний спосіб підтримувати безперебійну роботу ваших операцій.

Переваги керування ідентифікацією включають наступне:

• Підвищена безпека: IMS допомагає захистити вашу організацію від несанкціонованого доступу та крадіжки даних користувача.
• Підвищена ефективність: за допомогою IMS ви можете ефективно керувати процедурами входу користувачів і відстежувати дії користувачів на кількох платформах за допомогою єдиного набору облікових даних.
• Скорочення часу/вартості обробки: автоматизовані робочі процеси IMS дозволяють легко керувати обліковими записами користувачів і адмініструвати їх, заощаджуючи час і гроші на адміністративних завданнях.

Покращена відповідність: за допомогою IMS ви можете легко забезпечити відповідність нормам і стандартам, таким як GDPR і HIPAA (див. нижче).

Розгортання системи управління ідентифікацією

Впровадження надійного рішення для керування ідентифікацією не гарантує повної безпеки, але застосування наведених нижче принципів може зробити вас менш уразливими до зловмисників і атак зловмисників. Ось кілька порад, які варто взяти до уваги:

• Застосуйте надійні методи автентифікації (наприклад, багатофакторну автентифікацію), щоб зменшити ризик несанкціонованого доступу.
• Регулярно переглядайте політику контролю доступу, щоб переконатися, що лише авторизовані користувачі мають доступ до конфіденційної інформації та ресурсів.
• Контролюйте та перевіряйте доступ до конфіденційної інформації та ресурсів, щоб виявити та запобігти несанкціонованому доступу.
• Часто оновлюйте облікові записи користувачів, щоб вони залишалися актуальними та точними.
• Впровадьте рішення для керування паролями, щоб зменшити ризик інцидентів безпеки, пов’язаних із паролем, наприклад повторного використання або крадіжки пароля.

Що це означає для відповідності

Якщо процеси керування ідентифікацією та доступом не контролюються ефективно, можливо, ви не відповідаєте галузевим стандартам або державним постановам. Світ рухається до суворіших правил і стандартів для управління ідентифікацією, таких як європейський GDPR (який вимагає чіткої згоди користувачів на збір даних) і NIST 800-63 Digital Identity Guidelines у США (дорожня карта для найкращих практик IAM).

Існує кілька протоколів для підтримки надійних політик IAM шляхом захисту даних та забезпечення його цілісності під час передачі. Загальновідомі як «Автентифікація, Авторизація, Облік» або AAО, ці протоколи керування ідентифікацією та доступом забезпечують стандарти безпеки для спрощення керування доступом, сприяють відповідності та створюють єдину систему для керування взаємодією між користувачами та системами.

Хоча відповідність ISO не є юридичною вимогою, стандарти ISO природно узгоджуються з правилами різних секторів. Таким чином, дотримання стандарту ISO/IEC 27001 щодо інформаційної безпеки може запобігти юридичним проблемам вашої організації через найважливіші аспекти керування ідентифікацією. Базуючись на розподілі обов’язків і політиці «один користувач, один ідентифікатор», він демонструє належний контроль вашої корпоративної інформації.

• ISO/IEC 27001 Системи управління інформаційною безпекою
• ISO/IEC 24760-1 ІТ-безпека та конфіденційність – Структура для управління ідентифікацією
• ISO/IEC 27018 Захист персональної інформації (PII) у загальнодоступних хмарах, які діють як процесори PII

До вдосконаленого керування ідентифікацією

Складні вимоги до відповідності та безпеки змушують організації як ніколи раніше захищати свою інформацію та кидають виклик звичайним способам керування ідентифікацією користувачів. Півдесятеліття тому паролі були максимально близькими до цифрової ідентифікації. Але сучасні підходи до автентифікації вимагають не лише пароля. Широке впровадження хмарних обчислень, чия масштабованість і гнучкість роблять їх привабливими для більшості організацій, поставило новий рівень акценту на безпеку інформації.

Сьогодні вхід без пароля з використанням біометричних даних або багатофакторної автентифікації є альтернативою традиційній автентифікації, але цього недостатньо. Коли справа доходить до захисту даних у багатохмарних середовищах, ІТ-фахівці розглядають шифрування як важливий засіб захисту. Зберігання ідентифікаційних даних у блокчейні стало рішенням, яке може забезпечити незмінні записи даної системи без централізованих повноважень для керування ними. Оскільки ми розглядаємо майбутнє нашого IAM, можливо, пройде незабаром, перш ніж системи ідентифікації на основі блокчейну стануть нормою для збереження даних користувача в безпеці.

Джерело: www.iso.org