{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Construindo um modelo de gerenciamento de acesso. Parte um, preparativa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Atualmente, trabalho em uma empresa fornecedora de software, especificamente em solu\u00e7\u00f5es de gest\u00e3o de acesso. Minha experi\u00eancia anterior est\u00e1 do lado do cliente \u2013 uma grande organiza\u00e7\u00e3o financeira. Naquela \u00e9poca, nosso grupo de controle de acesso no departamento de seguran\u00e7a da informa\u00e7\u00e3o n\u00e3o tinha grandes compet\u00eancias em IdM. Aprendemos muito no processo, tivemos que enfrentar muitos desafios para estabelecer um mecanismo funcional de gest\u00e3o dos direitos dos usu\u00e1rios nos sistemas de informa\u00e7\u00e3o da empresa.
\n\"Construindo
\nUnindo minha experi\u00eancia adquirida do lado do cliente com o conhecimento e compet\u00eancias de fornecedor, quero compartilhar com voc\u00ea, na verdade, um guia passo a passo: como criar em uma grande empresa um modelo de gest\u00e3o de acesso baseado em fun\u00e7\u00f5es, e o que isso vai proporcionar no final. Meu guia \u00e9 dividido em duas partes: a primeira \u2013 preparando-se para construir o modelo, a segunda \u2013 realmente construindo. Aqui est\u00e1 a primeira parte, a preparat\u00f3ria.
\n<\/a><\/noindex>
\nN.B.<\/b> Construir um modelo baseado em fun\u00e7\u00f5es \u2013 infelizmente, n\u00e3o \u00e9 um resultado, mas sim um processo. Ou mais precisamente, \u00e9 parte do processo de cria\u00e7\u00e3o de um ecossistema de gest\u00e3o de acesso na empresa. Portanto, prepare-se para um jogo de longo prazo.
\n<\/i>
\nPrimeiro, vamos definir \u2013 o que \u00e9 gest\u00e3o de acesso baseada em fun\u00e7\u00f5es? Suponha que voc\u00ea tenha um grande banco com dezenas ou at\u00e9 centenas de milhares de funcion\u00e1rios (sujeitos), cada um dos quais possui dezenas de direitos de acesso em centenas de sistemas de informa\u00e7\u00e3o internos (objetos). Agora multiplique o n\u00famero de objetos pelo n\u00famero de sujeitos \u2013 \u00e9 esse n\u00famero m\u00ednimo de rela\u00e7\u00f5es que voc\u00ea precisa construir e depois controlar. \u00c9 realmente poss\u00edvel fazer isso manualmente? Claro que n\u00e3o \u2013 \u00e9 para isso que surgiram as fun\u00e7\u00f5es.<\/p>\n

A fun\u00e7\u00e3o \u00e9 um conjunto de permiss\u00f5es necess\u00e1rias para um usu\u00e1rio ou grupo de usu\u00e1rios realizar determinadas tarefas de trabalho. Cada funcion\u00e1rio pode ter uma ou v\u00e1rias fun\u00e7\u00f5es, e cada fun\u00e7\u00e3o pode conter de uma a v\u00e1rias permiss\u00f5es que s\u00e3o permitidas ao usu\u00e1rio dentro desse escopo. As fun\u00e7\u00f5es podem estar vinculadas a cargos espec\u00edficos, departamentos ou tarefas funcionais dos trabalhadores.<\/p>\n

\"Construindo
\n
\nOs pap\u00e9is s\u00e3o geralmente criados a partir das permiss\u00f5es individuais de cada funcion\u00e1rio em cada sistema de informa\u00e7\u00e3o. Depois, os pap\u00e9is de cada sistema formam pap\u00e9is de neg\u00f3cios globais. Por exemplo, o papel de neg\u00f3cio \"gerente de cr\u00e9dito\" incluir\u00e1 v\u00e1rios pap\u00e9is individuais em sistemas de informa\u00e7\u00e3o usados no escrit\u00f3rio do cliente do banco. Digamos que em sistemas como o principal sistema banc\u00e1rio automatizado, m\u00f3dulo de caixa, sistema de gerenciamento de documentos eletr\u00f4nicos, gerente de servi\u00e7os e outros. Os pap\u00e9is de neg\u00f3cios, em geral, est\u00e3o ligados \u00e0 estrutura organizacional \u2013 em termos simples, ao conjunto de departamentos da empresa e aos cargos neles. Assim, forma-se a matriz de pap\u00e9is global (um exemplo \u00e9 mostrado na tabela abaixo).<\/p>\n

\"Construindo
\n
\nVale ressaltar que construir um modelo de pap\u00e9is 100% que garanta todos os direitos necess\u00e1rios para cada cargo em uma estrutura comercial \u00e9 simplesmente imposs\u00edvel. E isso nem \u00e9 necess\u00e1rio. Afinal, o modelo de pap\u00e9is n\u00e3o pode ser est\u00e1tico, pois depende de um ambiente em constante mudan\u00e7a. E da altera\u00e7\u00e3o nas atividades empresariais da empresa, que, por sua vez, afeta a mudan\u00e7a na estrutura organizacional e nas fun\u00e7\u00f5es. Al\u00e9m da falta de recursos completos, do n\u00e3o cumprimento das instru\u00e7\u00f5es de trabalho, da busca por lucro em detrimento da seguran\u00e7a e de muitos outros fatores. Portanto, \u00e9 necess\u00e1rio construir um modelo de pap\u00e9is que possa atender at\u00e9 80% das necessidades dos usu\u00e1rios em direitos b\u00e1sicos necess\u00e1rios ao assumir um cargo. Os outros 20% poder\u00e3o ser solicitados posteriormente, se necess\u00e1rio, por meio de pedidos separados.<\/p>\n

Claro, voc\u00ea pode perguntar: \"E quanto a modelos de pap\u00e9is 100%? Eles n\u00e3o existem?\" Bem, sim, isso ocorre, por exemplo, em estruturas sem fins lucrativos que n\u00e3o s\u00e3o sujeitas a mudan\u00e7as frequentes, como um instituto de pesquisa. Ou em organiza\u00e7\u00f5es de defesa com alto n\u00edvel de prote\u00e7\u00e3o, onde a seguran\u00e7a \u00e9 a prioridade. Acontece tamb\u00e9m em estruturas comerciais, mas dentro de um \u00fanico departamento, cuja opera\u00e7\u00e3o \u00e9 um processo bastante est\u00e1tico e previs\u00edvel.<\/p>\n

A principal vantagem da gest\u00e3o de pap\u00e9is \u00e9 a simplifica\u00e7\u00e3o na concess\u00e3o de direitos, uma vez que o n\u00famero de pap\u00e9is \u00e9 significativamente menor que o n\u00famero de usu\u00e1rios do sistema de informa\u00e7\u00e3o. E isso \u00e9 v\u00e1lido para qualquer setor.<\/p>\n

Vamos considerar uma empresa de varejo: nela trabalham milhares de vendedores, mas o conjunto de permiss\u00f5es no sistema N \u00e9 o mesmo para todos, e para eles ser\u00e1 criada apenas uma fun\u00e7\u00e3o. Quando um novo vendedor chega \u00e0 empresa, a fun\u00e7\u00e3o necess\u00e1ria no sistema \u00e9 automaticamente atribu\u00edda a ele, que j\u00e1 possui todas as permiss\u00f5es necess\u00e1rias. Da mesma forma, \u00e9 poss\u00edvel alterar as permiss\u00f5es de mil vendedores de uma s\u00f3 vez, por exemplo, adicionando uma nova op\u00e7\u00e3o para gera\u00e7\u00e3o de relat\u00f3rios. N\u00e3o \u00e9 necess\u00e1rio realizar mil opera\u00e7\u00f5es, vinculando a nova permiss\u00e3o a cada conta \u2013 basta inserir essa op\u00e7\u00e3o na fun\u00e7\u00e3o, e ela aparecer\u00e1 para todos os vendedores ao mesmo tempo.<\/p>\n

Outra vantagem da gest\u00e3o baseada em fun\u00e7\u00f5es \u00e9 a exclus\u00e3o da concess\u00e3o de permiss\u00f5es incompat\u00edveis. Ou seja, um funcion\u00e1rio que possui uma determinada fun\u00e7\u00e3o no sistema n\u00e3o pode ao mesmo tempo ter outra fun\u00e7\u00e3o cujas permiss\u00f5es n\u00e3o devem se combinar com as da primeira. Um exemplo claro \u00e9 a proibi\u00e7\u00e3o da combina\u00e7\u00e3o das fun\u00e7\u00f5es de entrada e controle de opera\u00e7\u00f5es financeiras.<\/p>\n

Todos que est\u00e3o interessados em como surgiu a gest\u00e3o de acesso baseada em fun\u00e7\u00f5es podem
\n mergulhar em uma excurs\u00e3o pela hist\u00f3ria<\/b>
\n Se olharmos para a hist\u00f3ria, o setor de TI come\u00e7ou a pensar sobre m\u00e9todos de gest\u00e3o de acesso ainda na d\u00e9cada de 70 do s\u00e9culo XX. Embora os aplicativos fossem bastante simples na \u00e9poca, assim como hoje, todos queriam gerenciar o acesso a eles de maneira conveniente. Conceder, alterar e controlar os direitos dos usu\u00e1rios \u2013 simplesmente para facilitar o entendimento de qual acesso cada um deles possui. Mas naquela \u00e9poca n\u00e3o existiam padr\u00f5es gerais, desenvolviam-se os primeiros sistemas de gest\u00e3o de acesso, e cada empresa baseava-se em suas pr\u00f3prias ideias e regras.<\/p>\n

Hoje, j\u00e1 se conhece muitos modelos diferentes de gest\u00e3o de acesso, mas eles n\u00e3o surgiram de imediato. Vamos nos concentrar naqueles que trouxeram uma contribui\u00e7\u00e3o significativa para o desenvolvimento dessa \u00e1rea.<\/p>\n

O primeiro e, provavelmente, o mais simples modelo \u2013 Gest\u00e3o de acesso discrecion\u00e1ria (ou seletiva)<\/b> (DAC \u2013 Controle de acesso discricion\u00e1rio). Este modelo implica o compartilhamento de direitos por todos os participantes do processo de acesso. Cada usu\u00e1rio obt\u00e9m acesso a objetos ou opera\u00e7\u00f5es espec\u00edficas. Essencialmente, aqui, muitos sujeitos de direitos correspondem a muitos objetos. Este modelo foi considerado muito flex\u00edvel e complicado para manuten\u00e7\u00e3o: as listas de acesso tornam-se enormes e dif\u00edceis de controlar ao longo do tempo.<\/p>\n

O segundo modelo \u00e9 Controle de acesso mandat\u00f3rio (MAC \u2014 Mandatory access control)<\/b>. Neste modelo, cada usu\u00e1rio obt\u00e9m acesso a um objeto de acordo com a autoriza\u00e7\u00e3o para um determinado n\u00edvel de confidencialidade dos dados. Consequentemente, os objetos devem ser categorizados de acordo com o n\u00edvel de confidencialidade. Ao contr\u00e1rio do primeiro modelo flex\u00edvel, este se mostrou muito r\u00edgido e restritivo. Sua aplica\u00e7\u00e3o n\u00e3o se justifica quando a empresa possui uma variedade de recursos informacionais: para diferenciar o acesso a diferentes recursos, ser\u00e1 necess\u00e1rio introduzir v\u00e1rias categorias que n\u00e3o se sobreponham.<\/p>\n

Dada a \u00f3bvia imperfei\u00e7\u00e3o desses dois m\u00e9todos, a comunidade de TI continuou a desenvolver modelos que fossem mais flex\u00edveis e, ao mesmo tempo, mais ou menos universais para suportar diferentes tipos de pol\u00edticas organizacionais de controle de acesso. E foi ent\u00e3o que surgiu o terceiro modelo de controle de acesso baseado em fun\u00e7\u00f5es!<\/b> Esta abordagem se mostrou a mais promissora, pois requer n\u00e3o apenas a autoriza\u00e7\u00e3o da identidade do usu\u00e1rio, mas tamb\u00e9m suas fun\u00e7\u00f5es de trabalho nos sistemas.<\/p>\n

A primeira estrutura de modelo de fun\u00e7\u00e3o claramente descrita foi proposta pelos pesquisadores americanos David Ferraiolo e Richard Kuhn do Instituto Nacional de Padr\u00f5es e Tecnologia dos EUA em 1992. Foi ent\u00e3o que o termo RBAC (Controle de Acesso Baseado em Fun\u00e7\u00e3o) <\/b>foi introduzido. Essas pesquisas e descri\u00e7\u00f5es dos componentes b\u00e1sicos, bem como suas inter-rela\u00e7\u00f5es, formaram a base do padr\u00e3o INCITS 359-2012, que ainda est\u00e1 em vigor, aprovado pelo Comit\u00ea Internacional de Padr\u00f5es de Tecnologia da Informa\u00e7\u00e3o (INCITS).<\/p>\n

O padr\u00e3o define o papel como \"uma fun\u00e7\u00e3o dentro do contexto da organiza\u00e7\u00e3o com alguma sem\u00e2ntica relacionada aos poderes e responsabilidades atribu\u00eddos ao usu\u00e1rio designado para o papel\". O documento estabelece os principais elementos do RBAC \u2013 usu\u00e1rios, sess\u00f5es, pap\u00e9is, permiss\u00f5es, opera\u00e7\u00f5es e objetos, bem como as rela\u00e7\u00f5es e inter-rela\u00e7\u00f5es entre eles.<\/p>\n

O padr\u00e3o fornece a estrutura m\u00ednima necess\u00e1ria para a constru\u00e7\u00e3o de um modelo de papel \u2013 a combina\u00e7\u00e3o de permiss\u00f5es em pap\u00e9is e, em seguida, a concess\u00e3o de acesso aos usu\u00e1rios por meio desses pap\u00e9is. Os mecanismos para formar pap\u00e9is a partir de objetos e opera\u00e7\u00f5es s\u00e3o destacados, e a hierarquia de pap\u00e9is e heran\u00e7a de poderes s\u00e3o descritas. Afinal, em qualquer empresa existem pap\u00e9is que combinam permiss\u00f5es elementares necess\u00e1rias para todos os funcion\u00e1rios. Isso pode incluir acesso ao e-mail, ao SED, ao portal corporativo etc. Essas permiss\u00f5es podem ser inclu\u00eddas em um \u00fanico papel geral chamado \"funcion\u00e1rio\", eliminando a necessidade de listar repetidamente todos os direitos elementares em cada um dos pap\u00e9is de n\u00edvel superior. Basta indicar a caracter\u00edstica de heran\u00e7a do papel \"funcion\u00e1rio\".<\/p>\n

\"Construindo
\n
\nPosteriormente, o padr\u00e3o foi complementado com novos atributos de acesso relacionados ao ambiente em constante mudan\u00e7a. Foram introduzidas possibilidades de restri\u00e7\u00f5es est\u00e1ticas e din\u00e2micas. As est\u00e1ticas implicam na impossibilidade de sobreposi\u00e7\u00e3o de pap\u00e9is (aquele mesmo controle e introdu\u00e7\u00e3o de opera\u00e7\u00f5es mencionado anteriormente). As restri\u00e7\u00f5es din\u00e2micas podem ser determinadas por par\u00e2metros vari\u00e1veis, como tempo (horas\/dias \u00fateis ou n\u00e3o \u00fateis), localiza\u00e7\u00e3o (escrit\u00f3rio\/casa), etc.<\/p>\n

Vale mencionar especificamente sobre o controle de acesso baseado em atributos (ABAC \u2014 Attribute-based access control).<\/b> Essa abordagem \u00e9 baseada na concess\u00e3o de acesso por meio de regras que compartilham atributos. Este modelo pode ser usado de forma independente, mas muitas vezes complementa ativamente o modelo cl\u00e1ssico baseado em pap\u00e9is: a atributos de usu\u00e1rios, recursos e dispositivos, assim como de tempo ou localiza\u00e7\u00e3o podem ser adicionados a um papel espec\u00edfico. Isso permite usar menos pap\u00e9is, introduzir restri\u00e7\u00f5es adicionais e tornar o acesso minimamente suficiente, aumentando assim a seguran\u00e7a.<\/p>\n

Por exemplo, um contador pode ter acesso \u00e0s contas se ele trabalhar em uma determinada regi\u00e3o. Assim, a localiza\u00e7\u00e3o do especialista ser\u00e1 comparada a um valor de refer\u00eancia espec\u00edfico. Ou pode-se conceder acesso \u00e0s contas apenas se o usu\u00e1rio se autenticar a partir de um dispositivo registrado como permitido. \u00c9 um bom complemento para o modelo de pap\u00e9is, mas n\u00e3o \u00e9 frequentemente utilizado sozinho devido \u00e0 necessidade de criar muitas regras e tabelas de permiss\u00f5es ou restri\u00e7\u00f5es.<\/p>\n

Vou dar um exemplo da aplica\u00e7\u00e3o de ABAC da minha \"vida passada\". Em nosso banco havia v\u00e1rias ag\u00eancias. Os funcion\u00e1rios dos escrit\u00f3rios de atendimento ao cliente nessas ag\u00eancias realizavam opera\u00e7\u00f5es absolutamente id\u00eanticas, mas deveriam trabalhar no sistema principal apenas com contas de sua regi\u00e3o. Primeiro, come\u00e7amos a criar pap\u00e9is separados para cada regi\u00e3o \u2013 e acabamos com muitos pap\u00e9is repetitivos, mas com acesso a diferentes contas! Ent\u00e3o, ao utilizar o atributo de localiza\u00e7\u00e3o do usu\u00e1rio e vincul\u00e1-lo a um intervalo espec\u00edfico de contas para verifica\u00e7\u00e3o, reduzimos significativamente o n\u00famero de pap\u00e9is no sistema. Como resultado, ficaram pap\u00e9is apenas para uma ag\u00eancia, que foram replicados para os cargos correspondentes em todas as outras unidades territoriais do banco.<\/p>\n

E agora vamos falar sobre os passos preparat\u00f3rios necess\u00e1rios, sem os quais simplesmente n\u00e3o \u00e9 poss\u00edvel construir um modelo de pap\u00e9is funcional.<\/p>\n

Passo 1. Criamos o modelo funcional<\/h2>\n

\nO primeiro passo \u00e9 criar um modelo funcional - um documento de alto n\u00edvel que descreve em detalhes a funcionalidade de cada departamento e de cada cargo. Geralmente, as informa\u00e7\u00f5es s\u00e3o coletadas a partir de diversos documentos: descri\u00e7\u00f5es de cargos e regulamentos de departamentos espec\u00edficos - se\u00e7\u00f5es, ger\u00eancias e departamentos. O modelo funcional deve ser aprovado por todos os departamentos envolvidos (neg\u00f3cios, controle interno, seguran\u00e7a) e ratificado pela lideran\u00e7a da empresa. Para que serve este documento? Para que o modelo de pap\u00e9is possa referenci\u00e1-lo. Por exemplo, voc\u00ea pretende construir um modelo de pap\u00e9is com base nos direitos j\u00e1 existentes dos funcion\u00e1rios - extra\u00eddos do sistema e 'padronizados'. Assim, ao validar os pap\u00e9is obtidos com o propriet\u00e1rio do sistema de neg\u00f3cios, pode-se referir a um item espec\u00edfico do modelo funcional que justifique a inclus\u00e3o de determinado direito no papel.<\/p>\n

Passo 2. Auditamos os sistemas de TI e elaboramos um plano de prioriza\u00e7\u00e3o<\/h2>\n

\nNo segundo est\u00e1gio, \u00e9 necess\u00e1rio auditar os sistemas de TI para entender como o acesso \u00e9 organizado. Por exemplo, na minha empresa financeira, existiam v\u00e1rias centenas de sistemas de informa\u00e7\u00e3o. Em todos os sistemas havia alguns ind\u00edcios de gerenciamento de pap\u00e9is, na maioria das vezes - algumas fun\u00e7\u00f5es, mas principalmente no papel ou no cat\u00e1logo do sistema - estavam obsoletas, e o acesso a esses sistemas era concedido com base em solicita\u00e7\u00f5es reais de usu\u00e1rios. Naturalmente, \u00e9 simplesmente imposs\u00edvel construir um modelo de pap\u00e9is em v\u00e1rias centenas de sistemas de uma s\u00f3 vez; \u00e9 preciso come\u00e7ar de algum lugar. Fizemos uma an\u00e1lise aprofundada do processo de gest\u00e3o de acesso para determinar o n\u00edvel de sua maturidade. No decorrer da an\u00e1lise, desenvolvemos crit\u00e9rios para prioriza\u00e7\u00e3o dos sistemas de informa\u00e7\u00e3o - criticidade, prontid\u00e3o, planos de desativa\u00e7\u00e3o, etc. Com isso, organizamos a sequ\u00eancia para o desenvolvimento\/atualiza\u00e7\u00e3o dos modelos de pap\u00e9is para esses sistemas. E, em seguida, inclu\u00edmos os modelos de pap\u00e9is no plano de integra\u00e7\u00e3o com a solu\u00e7\u00e3o de Gest\u00e3o de Identidade, para automatizar o gerenciamento de acesso.<\/p>\n

Ent\u00e3o, como determinar a criticidade do sistema? Responda as seguintes perguntas:<\/p>\n