Gerenciamento de Identidades e        Acessos (GIA)          Alfredo Santos
Alfredo Santos• Formado em:   – Ciências da Computação   – Gestão de Empresas   – Gestão de TI• Autor de livros de Seguran...
Agenda• O que é Gerenciamento de  Identidades?• O que é Gerenciamento de Acesso?• Componentes de um GIA• Boas práticas de ...
O que é Gerenciamento de           Identidades?• Gerenciamento de identidades é o conjunto  de processos e tecnologias vol...
O que é Gerenciamento de             Acessos?• Gerenciamento de acessos é o conjunto de  processos e tecnologias voltadas ...
Componentes de um GIA•   Fontes autoritativas•   Metadiretório•   Recursos conectados•   Workflow•   Rastreabilidade
Fontes autoritativasFontes autoritativas são os repositórios deorigem de dados cadastrais de usuários.Fontes autoritativas...
Fontes autoritativasFontes autoritativas de cadastros básicosResponsáveis por prover os dados básicos de um usuário, comon...
Fontes autoritativasFontes autoritativas de e-mailResponsáveis por prover o e-mail atualizado do usuário. Tradicionalmente...
Fontes autoritativasFontes autoritativas de e-mailExemplos de fontes autoritativas:•Sistemas de correio eletrônico.•Gerado...
Fontes autoritativasFontes autoritativas de autorização de acessoResponsáveis por prover o que cada usuário pode fazer em ...
MetadiretórioMetadiretório é o repositório central de identidades eacessos, responsável por ser o intermediário entre asfo...
Recursos conectadosRecursos conectados são todos os ambientes destino quepossuem um repositório de usuários que possa ser ...
Workflow• Workflow em GIA é responsável por gerenciar  os fluxos de solicitação de acesso,  cancelamentos e alterações.• E...
Rastreabilidade• Rastreabilidade é todo registro de atividades  tanto de manutenção quanto de solicitações  de acesso.• Es...
Boas práticas de GIA• Realizar um projeto prévio de organização de  cadastro de usuários eliminando usuários  duplicados.•...
Boas práticas de GIA•   Definir pessoas responsáveis por recursos•   Definir perfis de acesso aos recursos•   Definir pess...
Boas práticas de GIA• Incluir áreas de controle como aprovadoras no  processo quando isso se aplicar• Automatizar a integr...
Boas práticas de GIA• Eliminar todos acessos de um usuário no  desligamento, consultando este repositório  central• Inclui...
Boas práticas de GIA• Utilizar autenticação forte (Ex token, sms,  biometria) quando possível.• Tratar de forma diferencia...
Boas práticas de GIA• Controlar no Workflow de solicitação de  acesso o que o usuário pode pedir,  minimizando solicitaçõe...
Boas práticas de GIA• Realizar recertificações de acesso períodicas  junto aos usuários responsáveis por recursos e  perfi...
Próximos SlideShares
Carregando em…5
×

Gerenciamento de identidades e acesso gia

1.569 visualizações

Publicada em

0 comentários
1 gostou
Estatísticas
Notas
  • Seja o primeiro a comentar

Sem downloads
Visualizações
Visualizações totais
1.569
No SlideShare
0
A partir de incorporações
0
Número de incorporações
6
Ações
Compartilhamentos
0
Downloads
42
Comentários
0
Gostaram
1
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide

Gerenciamento de identidades e acesso gia

  1. 1. Gerenciamento de Identidades e Acessos (GIA) Alfredo Santos
  2. 2. Alfredo Santos• Formado em: – Ciências da Computação – Gestão de Empresas – Gestão de TI• Autor de livros de Segurança e Arquitetura de Sistemas• Certificado em Cobit e ISO 27002• Email: alfredo.luiz@gmail.com• Linkedin: http://www.linkedin.com/profile/view? id=871673
  3. 3. Agenda• O que é Gerenciamento de Identidades?• O que é Gerenciamento de Acesso?• Componentes de um GIA• Boas práticas de GIA
  4. 4. O que é Gerenciamento de Identidades?• Gerenciamento de identidades é o conjunto de processos e tecnologias voltadas para o tratamento e manipulação de identidades de usuários desde o nascimento dos dados em sistemas de RH e cadastros de terceiros até as aplicações gerenciadas (sistemas operacionais, correios eletrônicos, acesso físico etc.).
  5. 5. O que é Gerenciamento de Acessos?• Gerenciamento de acessos é o conjunto de processos e tecnologias voltadas para o tratamento das tentativas de acessos aos sistemas e inclui além da autenticação a autorização e o registro dos acessos.
  6. 6. Componentes de um GIA• Fontes autoritativas• Metadiretório• Recursos conectados• Workflow• Rastreabilidade
  7. 7. Fontes autoritativasFontes autoritativas são os repositórios deorigem de dados cadastrais de usuários.Fontes autoritativas podem ser divididas emcategorias, exemplos: • Cadastros básicos. • E-mail. • Autorização de acesso.
  8. 8. Fontes autoritativasFontes autoritativas de cadastros básicosResponsáveis por prover os dados básicos de um usuário, comonome, departamento, localidade. Devem conter dadosconfiáveis, sendo o primeiro local a saber que um usuáriomudou de departamento, de unidade na empresa, saiu de fériasou foi demitido.Exemplos: • Sistemas de RH. • Cadastros de terceiros. • Cargas periódicas de dados.
  9. 9. Fontes autoritativasFontes autoritativas de e-mailResponsáveis por prover o e-mail atualizado do usuário. Tradicionalmente, esta informação é gerenciada pelo administrador de correio eletrônico e a mesma é propagada aos demais recursos conectados, conforme figura 1.4, mas um ponto de atenção em gerenciamento de identidade na origem do e-mail é que o e-mail pode ser originado também pela ferramenta de gerenciamento de identidade, baseando-se em regras de criação, como, por exemplo, primeiro nome + sobrenome ou primeira letra do primeiro nome + sobrenome, mas um processo deste tipo pode ser complicado de gerenciar devido a conflitos de nomes gerados. (asantos@empresa.com pode ser Alfredo Santos ou André Santos).
  10. 10. Fontes autoritativasFontes autoritativas de e-mailExemplos de fontes autoritativas:•Sistemas de correio eletrônico.•Gerador de nome de e-mail corporativo.Nota: Gerador de nome de e-mail corporativo é uma ferramentade cadastro e sugestão de e-mails utilizada em grandescorporações.Esta função pode ser exercida pelo gerenciamento deidentidade, mas não é uma tarefa recomendada.
  11. 11. Fontes autoritativasFontes autoritativas de autorização de acessoResponsáveis por prover o que cada usuário pode fazer em cada sistemaconectado. Pode ser um sistema desenvolvido na própria empresa ou umproduto de mercado. Esta fonte autoritativa determina a concessão eremoção de acessos de usuários, informando o serviço de gerenciamento deidentidade.Exemplos:•Cadastro em um banco de dados de aplicações/acessos.•Cadastro em um repositório ldap de aplicações/acessos.
  12. 12. MetadiretórioMetadiretório é o repositório central de identidades eacessos, responsável por ser o intermediário entre asfontes autoritativas e os recursos conectados.O armazenamento de dados pode ser em banco de dadosrelacional ou em diretórios hierárquicos como, porexemplo, LDAP compatíveis, mas alguns dados não ficamarmazenados no metadiretório, apenas trafegam pelogerenciamento de identidade, porque só interessam paraum ou outro recurso.
  13. 13. Recursos conectadosRecursos conectados são todos os ambientes destino quepossuem um repositório de usuários que possa ser gerenciadorecebendo leituras, inserções, exclusões, alterações etc.Exemplos de recursos:•Correio eletrônico.•Bancos de dados JDBC.•Mainframe.•Unix.
  14. 14. Workflow• Workflow em GIA é responsável por gerenciar os fluxos de solicitação de acesso, cancelamentos e alterações.• Este fluxo interage com a solução de GIA para disparar atividades contra os Recursos conectados, como por exemplo a exclusão de um usuário.
  15. 15. Rastreabilidade• Rastreabilidade é todo registro de atividades tanto de manutenção quanto de solicitações de acesso.• Este item é muito importante para atender fins de auditoria, quando é necessário identificar tudo que ocorreu a um usuário.
  16. 16. Boas práticas de GIA• Realizar um projeto prévio de organização de cadastro de usuários eliminando usuários duplicados.• Definir processos de GIA de acordo com as regras de compliance necessárias para sua empresa
  17. 17. Boas práticas de GIA• Definir pessoas responsáveis por recursos• Definir perfis de acesso aos recursos• Definir pessoas responsáveis por estes perfis• Incluir o Gestor Hierarquico nas aprovações de solicitações
  18. 18. Boas práticas de GIA• Incluir áreas de controle como aprovadoras no processo quando isso se aplicar• Automatizar a integração das aprovações com os recursos, diminuindo interações manuais• Gravar todos acessos de um usuário em um repositório central
  19. 19. Boas práticas de GIA• Eliminar todos acessos de um usuário no desligamento, consultando este repositório central• Incluir uma análise de segregação de funções no processo de concessão de acesso• Gravar todas atividades relacionadas a concessão de acesso
  20. 20. Boas práticas de GIA• Utilizar autenticação forte (Ex token, sms, biometria) quando possível.• Tratar de forma diferenciada acessos privilegiados ao ambiente.• Conceder de forma temporária acessos críticos ao ambiente
  21. 21. Boas práticas de GIA• Controlar no Workflow de solicitação de acesso o que o usuário pode pedir, minimizando solicitações incorretas• Realizar reconciliação de cadastros entre o Metadiretório e os recursos para identificar inconsistências.
  22. 22. Boas práticas de GIA• Realizar recertificações de acesso períodicas junto aos usuários responsáveis por recursos e perfis para que eles identifiquem eventuais acessos indevidos.

×