Controle de Acesso: Gerenciando privil�gios e permiss�es

Fique por dentro

Este artigo levanta as principais quest�es que envolvem o planejamento de permiss�es num ambiente de usu�rios corporativo. De forma objetiva, s�o salientadas melhores pr�ticas em relaç�o � segurança, auxiliando na an�lise do ambiente, na elaboraç�o de diretrizes e na prevenç�o de acessos internos n�o autorizados, visando � reduç�o do n�vel de permiss�o com base em teorias j� existentes.

A segurança de informaç�o n�o envolve apenas os ataques externos. �s vezes, o risco encontra-se dentro da pr�pria organizaç�o. Deste modo, planejar as permiss�es internas de sistemas, aplicaç�es e arquivos � o primeiro passo para a mitigaç�o deste risco.

Bilh�es de d�lares foram gastos na ultima d�cada para aumentar a segurança da informaç�o nas empresas, com o objetivo de manter afastada a rede dos hackers e invasores. Ainda hoje, num relat�rio liberado pela Vanson Bourne, que avaliou 3,2 mil tomadores de decis�es de TI em 16 pa�ses, metade deles revelaram n�o estarem confiantes de que suas organizaç�es t�m capacidade adequada para as diretrizes de segurança necess�rias. Somente nos �ltimos 12 meses, 27% deles responderam ter sofrido falhas e 19% relataram terem sido v�timas de ataques e fraudes.

De forma geral, ainda relacionado a este relat�rio, as empresas com maior maturidade na �rea de segurança t�m perda financeira proporcionalmente 1,5 vezes maior que as empresas de menor maturidade. No Brasil, o custo destes incidentes foi de US 421.538 para falhas de segurança, U$ 298.824 para perda de dados e U$ 594.000 para inatividade nas operaç�es. Al�m destes custos, os indicadores de perda de produtividade dos funcion�rios (46%), atraso no desenvolvimento de produtos (40%), perda de novas oportunidades de neg�cio (40%), s�o importantes indicadores gerenciais para visualizarmos o impacto da segurança da informaç�o no ambiente corporativo.

Por isto, as empresas t�m investido cada vez mais em tecnologias de proteç�o de informaç�es, como sistemas de bloqueio de invas�es, antiv�rus, firewalls, entre outros. No entanto, a segurança que envolve os pr�prios funcion�rios, parceiros e terceiros que possuem acesso �s informaç�es institucionais, podem custar muito mais que qualquer ataque de hacker. Ainda assim, percebemos que este tipo de proteç�o de informaç�es nas organizaç�es � prec�rio, b�sico e, comumente, possui falhas que possibilitam que as quebras de segurança ocorram facilmente.

O relat�rio da EY (Ernest Young) de 2012, realizado entre os pa�ses das Am�ricas, apontou que as empresas ir�o investir mais em aspectos de segurança nos pr�ximos tr�s anos do que em qualquer outro aspecto. A Figura 1 exp�e o gr�fico desta pesquisa.

Figura 1. Relat�rio da EY de 2012 sobre investimentos na �rea de segurança da informaç�o.

Por esta raz�o a segurança da informaç�o � um assunto t�o discutido dentro das organizaç�es. As v�rias mudanças que ocorreram nas �ltimas d�cadas nos levaram a uma explos�o de informaç�es. Aplicaç�es, cloud computing, redes sociais, serviços integrados, todos estes s�o respons�veis por um crescimento exponencial no volume de dados.

Estima-se que uma empresa hoje, com mil funcion�rios, gere anualmente cerca de 1.000 Terabytes de informaç�o e que 71% de todas as brechas de segurança est�o dentro da organizaç�o, com algum funcion�rio/parceiro agindo maliciosamente. Portanto, � importante considerar o qu�o grande e pervasivo para os profissionais de TI � a manutenç�o e gerenciamento deste sistema de informaç�es, e como fazer para que estes dados estejam acess�veis, mas, ao mesmo tempo, seguros.

Definiç�es importantes

Antes de iniciarmos o processo de planejamento do ambiente de permiss�es, � necess�rio definirmos alguns conceitos que servir�o como base te�rica para o processo. As definiç�es listadas a seguir s�o os princ�pios utilizados para qualquer modelo de segurança existente. Caso seja necess�rio um maior aprofundamento do assunto, a ISO/IEC 29146, na sua parte I, cont�m informaç�es mais detalhadas sobre cada uma delas.

� Contas � s�o objetos criados no seu ambiente de rede ou em sistemas que definem uma identidade, que pode ser um usu�rio, computador, sala de reuni�o, servidor ou qualquer outro que necessite ter uma determinada aç�o em algum sistema;

� Usu�rios � sujeito da aç�o de executar, acessar, monitorar e/ou intervir em um sistema. Pode ser indiv�duos ou agentes aut�nomos, como agentes de softwares;

� Permiss�es � s�o os direitos de executar uma ou mais aç�es em objetos de um sistema. Isto �, um objeto pode ser um arquivo, registro de um banco de dados, tela de um sistema, impress�o de um determinado arquivo, entre outros. Neste caso, o objeto pode ser definido como a �rea/registro de informaç�o a ser analisada;

� Acessos � � a resultante dos direitos de execuç�o/permiss�o relacionado a um objeto de sistema;

� Papeis � s�o as diferentes funç�es dentro de um sistema ou ambiente analisado. Neste caso, ao inv�s de atribuir as permiss�es ao usu�rio, define-se as permiss�es por pap�is e enquadram-se os usu�rios a cada tipo de papel existente, como por exemplo, Administrador, Auditor, Gerente de sistema;

� Controle de acesso � para o usu�rio executar determinadas tarefas na sua estrutura de TI, acessar recursos de sistemas e realizar algumas alteraç�es em seus dispositivos pessoais, faz-se necess�rio o uso de algum mecanismo de controle de acesso;

� Autenticaç�o � processo pelo qual a conta ou usu�rio � validado pelo sistema e autorizado de acordo com as permiss�es atribu�das;

� Sess�o � quando o usu�rio � autenticado e acessa um determinado sistema ele inicia uma sess�o. � poss�vel um usu�rio ter v�rias sess�es ativas paralelamente e, durante uma sess�o, � poss�vel ter mais de um papel.

Levantamento do ambiente

Realizar o levantamento do ambiente a ser analisado � importante at� mesmo para quem j� tenha um ambiente de usu�rios e permiss�es em funcionamento. Sendo assim, � recomend�vel que faça este exerc�cio de an�lise da rede, buscando observar com cautela as configuraç�es atuais.

O objetivo desta fase � definir como desenhar, de acordo com o ambiente em an�lise, a melhor estrutura de atribuiç�o de permiss�es. A Figura 2 representa um modelo segmentado por departamentos x pap�is x sistemas. Com base no seu ambiente, � poss�vel construir a soluç�o que melhor se ad�qua ao seu caso.

Figura 2. Vis�o geral de estrutura de atribuiç�o de permiss�es.

Para realizar o planejamento, provavelmente ser� necess�rio que se recorra aos usu�rios e/ou chefias para entender quais as atividades desempenhadas por cada um. Por�m, caso o ambiente em quest�o seja amplo demais ou exista alguma quest�o que impeça este contato, � sugerido que se analise a funç�o descrita pelo RH e restrinja as permiss�es ao m�ximo poss�vel, adicionando posteriormente somente as que lhe forem solicitadas. No entanto, este tipo de aç�o pode trazer transtornos aos usu�rios que precisar�o solicitar e aguardar o suporte da TI para obter permiss�o para uma tarefa a qual j� realizavam anteriormente.

Para esta fase de levantamento de informaç�o, foram definidos seis passos a serem seguidos, estruturados e colocados nesta ordem para facilitar a organizaç�o dos dados nas tabelas. Vamos a eles:

1. Lista dos sistemas / aplicaç�es: Neste item o foco � levantar todas as aplicaç�es e/ou sistemas que movimentam informaç�es importantes como o ERP da empresa, banco de dados, sistemas de engenharia, an�lise, processos, acesso f�sico, entre outros. Inclua tamb�m os sistemas de arquivos compartilhados e, se o seu ambiente possui recursos que s�o acessados externamente, separe-os tamb�m por tipo de acesso, interno ou externo. Na Tabela 1 � apresentado um exemplo de como se criar uma lista de softwares, considerando o tipo de acesso;

Software	Acesso	Departamentos
ERP	Interno	Financeiro, Log�stica
Project Web	Interno/Externo	Engenharia, TI
Make Process	Interno	Todos

Tabela 1. Lista de aplicaç�es.

2. Definiç�o de atributos: Com base no item anterior, para cada um dos sistemas levantados (ou para um grupo deles, se for poss�vel agrupar) levante os atributos que podem ser trabalhados. Neste momento n�o se preocupe em avaliar qual o n�vel de detalhamento. Para facilitar, a seguir � apresentada uma lista dos atributos mais utilizados:

� Leitura;

� Listar;

� Modificar;

� Escrita / Gravar;

� Excluir;

� Listar atributos;

� Execuç�o;

� Alterar permiss�es;

� Completo.

3. Lista de usu�rios: Neste item o foco � entender a sua estrutura de usu�rios, n�o sendo necess�rio que se realize uma lista com todos os nomes, mas que sejam considerados todos os tipos. Para isto � importante que seja analisada cada pessoa dentro da empresa e suas funç�es. De qualquer forma, voc� ter� uma lista ao final que delinear� os v�rios tipos de perfis com os quais poder� trabalhar numa pol�tica de controle de acesso. Portanto, quanto mais informaç�o conseguir reunir, melhor ser� o resultado. A Tabela 2 traz um exemplo que poder� ser usado nesta etapa;

Departamento	Usu�rio	Perfil
Financeiro	Jane Silva	Financeiro-atendimento
Financeiro	Claudia Costa	Financeiro-NotasFiscais
Financeiro	Meire Maura	Financeiro-coordenaç�o

Tabela 2. Lista de usu�rios.

4. Lista de pap�is: Considerando a lista anterior, � poss�vel repensar os usu�rios em determinados pap�is. Isto �, normalmente o time de um departamento da sua empresa possui uma funç�o determinada, mas mesmo assim possuem atividades diferentes entre seus componentes. � importante entender que um usu�rio n�o precisa ter as mesmas permiss�es que o seu chefe, somente porque pertence ao mesmo departamento. Para construir sua lista de pap�is, analise a lista de usu�rios e veja se � poss�vel agrup�-los de acordo com as funç�es que executam. No exemplo da Tabela 3, os papeis de Financeiro-NotasFiscais e Financeiro-Coordenaç�o podem ser agrupados, pois possuem a mesma permiss�o no sistema de Notas Fiscais;

Aç�o Sistema	Finan-atend	Finan-NF	Finan-Coord
Visualizaç�o informaç�es financeiras	X	X	X
Entrada de Notas fiscais	X	X	X
Alteraç�o de Info em Notas Fiscais	-	X	X
Remoç�o de Notas fiscais	-	X	X

Tabela 3. Lista de pap�is.

5. Tempo de permiss�o: Este item refere-se a casos em que o sistema n�o permite atribuir permiss�es especiais e/ou o acesso do usu�rio ser� em momentos pontuais e/ou espor�dicos. Isto �, suponha que um usu�rio precise alterar um arquivo no diret�rio do Windows. Este acesso, no entanto, � restrito a administradores do computador e n�o tem como atribuir permiss�o espec�fica e/ou n�o se deve manter o usu�rio com permiss�es completas. Deve-se considerar, ent�o, a duraç�o da permiss�o atribu�da. Outro exemplo, um funcion�rio do financeiro pode solicitar a permiss�o tempor�ria de exclus�o de registros no sistema, pois isto faz parte de um projeto corporativo de otimizaç�o dos processos;

6. An�lise de normatizaç�o / regulaç�es / requisitos governamentais: Existem algumas regulaç�es governamentais que requerem maior controle e auditoria de acesso, como SOX, HIPAA, GLBA. Estes tipos de normatizaç�es s�o geralmente aplic�veis em empresas de maior porte e que possuem o capital aberto na bolsa de valores, por exemplo. Caso esta situaç�o se aplique ao seu ambiente, faça uma an�lise criteriosa dos requisitos necess�rios a cada uma delas e elabore uma lista de prioridades para elaboraç�o e an�lise dos dados. � sugerido ainda que, ap�s finalizar o trabalho, seja realizada uma auditoria com base nestas exig�ncias para verificaç�o e validaç�o do ambiente.

Com esses dados levantados � poss�vel iniciar a fase de an�lise e estruturaç�o das informaç�es. Neste momento ser� necess�rio um esforço adicional de observaç�o, com o intuito de organizar o ambiente e definir a partir deste ponto os processos para a requisiç�o de acesso, onde � poss�vel:

� Criar tabelas espec�ficas de acesso por sistema utilizando-se o exemplo da tabela RACI (veja o BOX 1), conforme exemplo mostrado no item 4;

� Criar tabelas por pap�is, reunindo os usu�rios por grupos e funç�es espec�ficas na empresa;

� Criar tabelas por tipo de acesso e sistema, levando em consideraç�o se o acesso for realizado interna ou externamente, em um desktop ou servidor;

� Criar tabelas por escopo x tempo, quando o ambiente requer uma segmentaç�o de permiss�es tempor�rias, delineando o privil�gio x escopo x tempo.

BOX 1. Tabela RACI

A tabela ou matriz RACI � uma ferramenta da gest�o de projetos que estrutura a relaç�o entre pap�is e responsabilidades de cada atividade ou processo. O nome RACI � um acr�nimo de Responsible, Accountable, Consult and Inform (Respons�vel, Autoridade, Consultoria e Informaç�o).

A partir deste ponto voc� ter� condiç�es de estruturar o seu ambiente com base nas vari�veis que mais se aplicarem ao seu caso: sistemas, pap�is, tipo de acesso ou tempo. Neste momento, busque reduzir ao m�ximo o volume de informaç�es geradas, como por exemplo, criando estruturas de matrizes utilizando-se de duas vari�veis.

Ap�s a criaç�o das tabelas, realize um levantamento de quem s�o os usu�rios que devem ter privil�gio elevado. Segundo Carpenter, no Gartner Information Security Summit 2010, a recomendaç�o � que estes tipos de usu�rios, que se enquadram em tr�s tipos de contas listadas a seguir, devem ser monitorados e auditados:

� Pessoas com permiss�o completa de super usu�rio permanente � para algumas contas e administradores da TI;

� Pessoas com permiss�o completa, mas de super usu�rio tempor�ria � para gestores, desenvolvedores de produtos, entre outros;

� Pessoas com permiss�o restrita, mas de super usu�rio tempor�ria � para desenvolvedores de aplicaç�es e administradores de banco de dados. Isto �, com privil�gio de super usu�rio somente para as aplicaç�es e sistemas que precisam acessar.

Portanto, identifique nas tabelas quem s�o e crie processos separados de aprovaç�o, criaç�o e exclus�o para estes casos. Por exemplo, no caso de um administrador de banco de dados, � imprescind�vel que ele possua um usu�rio com privil�gio elevado na aplicaç�o. Para que ele consiga esta permiss�o, ser� necess�rio que ele abra uma requisiç�o no sistema de atendimento, especifique o ambiente ao qual ele precisa de acesso e obtenha a aprovaç�o de um respons�vel pela �rea ou serviço � gerente de TI ou de projeto. Somente ap�s este procedimento, ser� autorizada a criaç�o de um usu�rio com sua identificaç�o, que ser� monitorado e auditado durante todas as sess�es de logon que fizer.

An�lise e detalhamento

Uma vez realizado o levantamento inicial, � poss�vel ter uma vis�o melhorada de como est� estruturada sua organizaç�o em relaç�o a cargos, perfis, pessoas e funç�es. Neste momento, o importante � ter como foco a simplificaç�o ao m�ximo da sua estrutura, com o objetivo de facilitar a criaç�o do ambiente e dos procedimentos necess�rios para a sua equipe de TI.

Primeiramente tente agrupar ao m�ximo os usu�rios por sistemas e privil�gios, de forma que possua um n�mero fixo de perfis dentro de cada aplicaç�o. Por exemplo, dentro de uma determinada aplicaç�o financeira voc� pode tentar reunir os usu�rios que realizam adiç�o de registros e consultas (Financeiro-Atendimento), outros que realizam alteraç�es (Financeiro-Completo) e os administradores do banco (TI-Completo). Veja a Tabela 2 para acompanhar o exemplo.

Caso j� possua um ambiente em funcionamento, realize uma auditoria de autorizaç�es dentro de cada aplicaç�o. Verifique quais usu�rios j� possuem contas privilegiadas e compare-os com sua an�lise feita anteriormente. Procure analisar e conversar com os mesmos para entender se realmente existe a necessidade de se manter permiss�es deste tipo. Negocie no sentido de reduzir ao m�ximo o acesso, pois a quantidade dessas contas deve ser minimizada.

Lembre-se que toda pol�tica de segurança prev� proteç�o para a organizaç�o e para o usu�rio, evitando riscos operacionais. Todos est�o sujeitos a erros, acidentes, invas�es, que independem do seu n�vel de conhecimento. Sendo assim, n�o tenha receio em colocar limites ao seu time de TI, � chefia do departamento ou ao gerente geral, pois quando n�o h� limites claros e estabelecidos, o legal e o ilegal s�o imprecisos e as consequ�ncias podem ser desastrosas tanto para o TI quanto para o neg�cio.

Este � o momento de desenhar/redesenhar suas pol�ticas internas e ter as permiss�es de usu�rios gerenciadas de forma mais padronizada e granular. Portanto, defina qual o n�vel de detalhamento necess�rio para cada aplicaç�o e perfil e estabeleça padr�es. Caso opte por uma estrutura com um n�vel maior de detalhamento, ter� um custo maior de administraç�o dos recursos posteriormente. Assim, avalie de forma criteriosa se realmente � necess�rio este tipo de esforço.

Por exemplo, considere um sistema de gest�o integrada, onde dois m�dulos est�o em operaç�o: financeiro e log�stica. Suponha que um usu�rio do financeiro precise ter acesso a uma determinada tela da log�stica e que no perfil criado no sistema para este departamento, esta permiss�o n�o � aplicada. Ao inv�s de criar um novo perfil para este tipo de exceç�o, opte por atribuir mais de um perfil a um mesmo usu�rio, possibilitando o acesso dele a v�rios ambientes e simplificando a administraç�o dos perfis.

Uma vez finalizada a etapa de levantamento e an�lise dos perfis de segurança da rede, inicia-se o processo de planejamento das aç�es necess�rias para implantaç�o.

Plano de aç�o

Ap�s definir os perfis e n�veis de detalhamento, � interessante considerar alguns pontos de an�lise antes de iniciar o planejamento da execuç�o da nova estrutura de permiss�es. S�o eles:

� Quais as falhas de segurança de maior risco para a operaç�o?

� Qual/quais os departamentos que realizam movimentaç�es mais cr�ticas?

� Qual/quais os processos mais cr�ticos para a organizaç�o?

� Qual o calend�rio de atividades da organizaç�o?

O plano de aç�o � uma tabela que conter� todas as atividades que ser�o desenvolvidas para que se atinja uma meta num tempo determinado. Portanto, ele deve conter informaç�es como: a descriç�o da aç�o, o cronograma, passos e requisitos para realizaç�o, testes/avaliaç�o, status, os respons�veis e/ou envolvidos. A Tabela 4 apresenta um exemplo de plano de aç�o para servir como base na construç�o. No entanto, lembre-se de adequar as colunas �s suas necessidades locais.

Aç�o

Requisitos

Testes

Respons�vel

Inicio

Entrega

Status

1.1

Comunicar ao departamento financeiro

Coord. TI

6/1/2014

Conclu�do

1.2

Alterar permiss�es no sistema - tela finanças

a. Ap�s aç�o ID 1.1
b. Elaborar cronograma considerando as atividades do setor

c. Realizar avaliaç�o e teste de impacto

Realizar teste de acesso de pelo menos tr�s usu�rios ap�s implementaç�o

Coord. Sistema

8/1/2014

15/01/2014

Em progresso

Tabela 4. Plano de aç�o.

Ao elaborar o plano de aç�o, alguns pontos importantes devem ser considerados, para que n�o haja imprevistos durante o processo de implantaç�o das pol�ticas:

� Considere atividades importantes do setor que ser� afetado, como entregas de relat�rios gerenciais, datas de fechamento fiscais, data de entrada de mercadorias, entre outros. Estas datas podem impactar na execuç�o do planejamento, uma vez que realizar mudanças em per�odos cr�ticos n�o � recomend�vel;

� Procure minimizar o impacto da segurança na produtividade dos usu�rios, para obter o apoio da empresa e dos funcion�rios nas iniciativas da TI;

� Implemente logs detalhados (principalmente no in�cio da implantaç�o) para que possa buscar padr�es que indiquem problemas de configuraç�o.

Preparar um plano de aç�o � uma tarefa relativamente simples. O principio b�sico � ser o mais espec�fico e estabelecer metas e objetivos claros. Al�m disso, o acesso �s informaç�es contidas no plano pela equipe � fundamental para que todos compreendam o papel que ter�o e o qu�o suas aç�es poder�o impactar no cronograma e resultado estabelecido. A seguir elaboramos um passo-a-passo para criaç�o do plano:

1. Defina o seu objetivo em v�rias metas e objetivos secund�rios;

2. Gere uma lista de aç�es para cada meta ou objetivo definido;

3. Adicione cada uma das aç�es no plano, organizando-as e estabelecendo o requisito, respons�vel e cronograma de cada uma delas;

4. Aloque os recursos necess�rios a cada uma das tarefas, o que inclui pessoas, materiais e equipamentos;

5. Elabore um plano paralelo de acompanhamento da execuç�o, pois a reelaboraç�o, reorganizaç�o e reagendamento de atividades � necess�rio;

6. Levante os fatores de riscos, identificando poss�veis problemas e reconsidere as datas previstas, j� que o prazo deve ser estendido de forma a abranger contratempos.

As informaç�es t�m sido consideradas o principal ativo de uma organizaç�o. Hoje, a vantagem competitiva de uma empresa est� na sua estrat�gia, que por sua vez est� diretamente relacionada ao bom uso da informaç�o dispon�vel. Por esta raz�o, as organizaç�es t�m investido tanto na �rea de segurança, criando e discutindo pol�ticas e procedimentos claros, adquirindo softwares e equipamentos onerosos para aumentar a proteç�o contra invas�es.

No entanto, pesquisas recentes t�m questionado a segurança destas organizaç�es, principalmente quando a proteç�o est� no controle de um funcion�rio. Uma das maiores dificuldades das organizaç�es atuais � assegurar que todos os seus funcion�rios conheçam e sigam as pol�ticas internas e entendam a sua import�ncia. Atitudes que incluem riscos operacionais como o simples ato de dar uma espiada, fazem com que a �rea de segurança n�o descanse nunca. A natureza humana tem sido o elo mais fraco na interface entre pessoas, processos e tecnologia.

Trabalhar com proteç�o � estabelecer regras que sejam implementadas e que impactem o menos poss�vel na produtividade da empresa. Por isso, o privilegio m�nimo � uma forma de reduzir estes riscos e tentar criar um ambiente seguro ao funcion�rio, dando somente autorizaç�o (permiss�o) aos recursos de TI compat�veis com sua funç�o e responsabilidade e n�o super ou sub autoriz�-lo.

Empresas hoje s�o din�micas e podem ser consideradas sistemas fluidos de troca de informaç�es. A ilus�o de ser poss�vel bloquear todos os acessos e impedir toda tentativa de roubo de informaç�es n�o � poss�vel. Por todas estas raz�es, � fundamental incluir outros departamentos neste projeto, como por exemplo, o RH ou a comunicaç�o, j� que toda a aç�o de TI deve alcançar a todos da organizaç�o. Regras que n�o estejam claras, pol�tica ou procedimentos n�o conhecidos, fazem com que grande parte deste esforço seja em v�o. Por isto, preveja um c�digo de conduta, avisos, contratos de confidencialidade, entre outros, para apoiar suas aç�es com base nestes documentos.

A implantaç�o efetiva da segurança da informaç�o demanda um conjunto de fatores que incluem a pol�tica, diretrizes, processos, ferramentas, controle e planejamento. Se conseguir que os limites sejam respeitados, a TI permanece no controle da segurança e tem a autoridade de tomar aç�es proativas para continuar a proteger a empresa.

Controle de Acesso: Gerenciando privil�gios e permiss�es

Veja nesse artigo como planejar e controlar o acesso de usuários a arquivos e sistemas.

Artigos relacionados