Vad är Identity Governance och Administration?

Det finns många olika verktyg för identitetsstyrning på marknaden, men det är inte lätt att bedöma vad de erbjuder jämfört med en fullfjädrad arkitektur för identitetsstyrning och administration. Som en reaktion på ett säkerhetsdirektiv väljer team alltför ofta ett snävt tillvägagångssätt för att hantera användarrättigheter eller uppfylla organisationens krav på åtskillnad av arbetsuppgifter.

IGA går utöver synligheten av rättigheter, som ofta tas som en ögonblicksbild vid en viss tidpunkt. Istället tar den ett holistiskt och integrerat grepp på hanteringen. När IGA bygger på en robust infrastruktur för hantering av identitetslivscykeln sammanför den kritiska komponenter i en organisations infrastruktur för identitets- och åtkomsthantering för att säkerställa att endast rätt personer har tillgång till känslig information.

Vad definierar en komplett lösning för Identity Governance och administration?

En robust IGA-lösning utmärker sig genom att erbjuda följande fördelar:

• Ger en heltäckande bild av konton och resurser - IGA måste innehålla identitets-, rättighets- och riskinformation för varje resurs som hanteras, samt identitet och roll för dem som har åtkomst till den.
• Skydda mot godkännanden med gummistämpel - med fokus på att skydda mot okontrollerade godkännanden av behörighetsförfrågningar innehåller en effektiv IGA-lösning arbetsflöden som är särskilt utformade för att informera informations- och affärsägare, inte IT-administratörer. För att höja nivån på granskningen av begäran måste den innehålla all relevant information om den som begär tillstånd och resursen måste vara utformad för snabb läsning med effektiva produktivitets- och riskindikatorer.
• Robust attestering - erbjuder exakta rapporter som bekräftar kontinuerlig efterlevnad snarare än att bara rapportera ögonblicksbilder i tiden. Vid behov kan en väl utformad IGA-infrastruktur tillhandahålla analyser som bekräftar faktisk åtkomst för specifika grupper av användare. Rapportens utformning ska vara snabb att granska och enkel att generera och inkludera i intygsrapporterna. Även om denna nivå av intygande ger säkerhetsteamen förtroende, kräver det att åtkomststyrningen är tätt integrerad med komponenterna för identitetslivscykeln och åtkomsthanteringen i den heltäckande IGA-miljön.

Vilket specifikt värde har en komplett IGA-miljö jämfört med andra lösningar?

Styrning och administration av identiteter hanterar behörigheter och ger starka intyg till säkerhetsrevisorerna, men det har potential att bli en grundläggande komponent i en organisations infrastruktur för identitets- och åtkomsthantering:

• Behörighetshantering är det grundläggande elementet i varje organisations strategi för lägsta privilegier. Säkerhet med lägsta privilegier hjälper till att skydda mot interna hot och begränsa skadan när någons inloggningsuppgifter har äventyrats och utnyttjats. När det görs på rätt sätt kan det användas för att styra och påkalla åtgärder i identitetslivscykeln snarare än att arbeta oberoende av den.
• Ett av stegen för att lägga in resurser på en plattform för styrning är att definiera deras risk och riskkriterier. Korrekta riskdefinitioner för känsliga resurser ger korrekt information till dem som godkänner och granskar. De kan också användas av risktjänsten för att styra åtgärder för adaptiv åtkomsthantering. Kriterier som används för sessionsbaserad åtkomstkontroll för potentiella autentiserings- och auktoriseringsåtgärder begränsas alltför ofta till användarens kontext (geolokalisering, IP-intervall, enhets-ID etc.). Att ta hänsyn till risken med själva resursen ger en mer detaljerad och effektiv metod för adaptiv åtkomst som kan öka säkerheten samtidigt som användarens upplevelse optimeras. Genom att begränsa antalet gånger som en användare avbryts för multifaktorautentisering minskar friktionen och användarens upplevelse optimeras.

Vad gör NetIQ för att göra sin IGA-lösning mer intelligent?

Även om det är viktigast att etablera en solid IGA-grund, enligt beskrivningen ovan, arbetarNetIQ kontinuerligt med att göra automatiseringen av styrningen mer omfattande och effektiv för att hjälpa informationsägare att skydda sina data. Utvecklingsriktningar på kort sikt för identitetsstyrning och administration inom infrastrukturer för identitets- och åtkomsthantering inkluderar

• Förutom att tillhandahålla bästa möjliga information i ett format som godkännare och granskare snabbt kan förstå, sammanför nästa generations IGA bästa praxis för lägsta privilegier och organisationspolicyer för att automatisera rättighetsanalysen. Den automatiska höjningen av riskpoängen för deras känsliga information, liksom för de användare som har åtkomst till den, lyfter fram problemområden för granskning och potentiella säkerhetsåtgärder.
• Det intelligensbaserade automatiseringsscenario som beskrivs i föregående punkt kompletteras bäst med beteendeanalys av den faktiska användningen. Den här typen av analyser kan styra fokus på specifika identiteter och resurser för att omvärdera den risk de utgör för organisationen.
• Även om IGA traditionellt inte har omfattat styrning av root-åtkomst till system, är det nödvändigt med ett mer formellt tillvägagångssätt för att säkra åtkomst till serverhostade data och körbara filer. Eftersom systemadministratörer potentiellt kan kringgå olika säkerhetsmekanismer är vikten av att säkra root-privilegier uppenbar. Utöver möjligheten att delegera och styra olika nivåer av administration har dessa superanvändare så mycket åtkomst att avancerad övervakning av deras systemrelaterade åtgärder kan ge värdefull kriminalteknisk information.

En väl uppbyggd IGA-miljö är inte lätt att implementera. Det kan vara en lång och ojämn process att få med sig ledningen och de olika affärsägarna. Det krävs investeringar för att få informationsägarna att på rätt sätt ta med sina resurser, och det krävs också att man håller kontakten med dem om det sker förändringar i deras miljö som kräver uppdateringar. Men värdet av den här typen av säkerhetsinvesteringar ger stor utdelning. Det gör det möjligt för organisationer att vara mer flexibla i sin digitala affärsverksamhet samtidigt som risken hålls låg.

Varför ska jag investera i Identity Governance and Administration?

När man väl har förstått IGA:s omfattande karaktär är den naturliga frågan om denna investeringsnivå behövs i den egna miljön. Varje organisation kan ha unika krav, men här är några vanliga överväganden som kan styra djupet och bredden i hanteringen:

Nästan alla organisationer behöver skydda sin finansiella information och personalinformation, men det är inte säkert att de har andra typer av känsliga uppgifter som också är värda att förvalta:

• Kundinformation - den här typen av information varierar kraftigt. Organisationer kan omfattas av olika statliga eller federala bestämmelser även om de samlar in cookie-information eller sociala identiteter för att anpassa innehållet. Det finns även andra världsomspännande mandat, t.ex. den allmänna dataskyddsförordningen (GDPR). GDPR-kraven förtjänar en IGA-skyddsnivå, för när en personlig profil eller finansiell information sparas kommer det sannolikt att finnas ett behov av säkerhet med lägsta privilegium. Det krävs också samordning mellan återförsäljarna och deras tjänsteleverantörer (PSP) och branschpartner. Om inte verksamheterna är små är det svårt att föreställa sig att de skulle kunna uppfylla sekretessbestämmelserna utan en mogen lösning för identitetsstyrning.
• Immateriella rättigheter - oavsett om det rör sig om patentinformation, tekniska eller affärsmässiga kärnkompetenser eller andra affärshemligheter kan ett intrång i dessa utgöra en allvarlig risk för organisationen. Oavsett om organisationer automatiserar sina rättighetsprocesser eller inte, krävs det sannolikt en noggrann genomgång av värderade hemligheter innan en strategi för styrning utvecklas.
• Patientinformation - vårdbranschens digitala omvandling har tvingat vårdgivarna att automatisera sin hantering av rättigheter och intyg för sin reglerade information. Övergången till elektroniska patientjournaler (EHR) och annan skyddad hälsoinformation (ePHI) har resulterat i stränga, konkreta och straffande integritetsskydd från myndigheterna. Det är en bransch som plågas av de mest kostsamma intrången jämfört med någon annan. Utöver de ekonomiska förlusterna skadar intrång i patientjournaler patienternas förtroende eftersom de innehåller deras mest känsliga information. Information om både hälsa och ekonomi kan användas för att begå bedrägerier.
• Finansiella tjänster - som en annan starkt reglerad bransch omfattas finansiella tjänster av en rad bestämmelser som syftar till att förhindra illvillig samverkan och kränkning av den personliga integriteten. Sekretess behövs för att skydda mot bedrägerier och andra typer av stölder. Det är ett säkert påstående att alla finansinstitut behöver automatiserad styrning och skulle ha stor nytta av en lösning som direkt involverar dataägarna.