Tożsamość cyfrowa

Zabezpieczenie przedsiębiorstwa, wzmocnienie pozycji użytkownika.

Demistyfikacja tożsamości cyfrowej w erze uwierzytelniania w chmurze.

Obecnie bardziej niż kiedykolwiek definiuje nas nasza cyfrowa tożsamość, dzięki wszechobecności mediów społecznościowych i tworzeniu wielu profili cyfrowych. Coraz więcej naszych działań online jest wykorzystywanych, aby nas kategoryzować, a także do określania ofert, usług i możliwości, które są nam przedstawiane.

Wraz z pojawieniem się przepisów takich jak RODO, organizacje zmuszone są uznać, że Dane osobowe (DO) są cennym towarem. Należy je nie tylko chronić, ale także zapewnić osobom fizycznym jasno określone prawa związane z ich tożsamością cyfrową.

Wraz z eksplozją usług w chmurze i elastycznych miejsc pracy znajdujemy się w sytuacji, w której nasza tożsamość jest przenośna, a jej granice elastyczne.

Wszystko pod kontrolą

Przed pojawieniem się chmury odbiorcy końcowi pracowali przede wszystkim w biurze, korzystając z intensywnie nadzorowanych lub kontrolowanych urządzeń. Cała kluczowa infrastruktura i dane znajdowały się w tym centralnym środowisku. Aby posłużyć się analogią założyliśmy, że ponieważ zamek zawierał wszystkie klejnoty koronne, wystarczyło jedynie zbudować wysoki mur i kontrolować wchodzących i wychodzących ludzi, aby zachować bezpieczeństwo. Kordon bezpieczeństwa był standardową polityką i jak długo ta metodologia dostępu do danych i ich przechowywania sprawdzała się, była ona prawidłowa.

Obecnie dane są często przechowywane zdalnie w chmurze, a dostęp do nich można uzyskać z urządzeń osobistych w różnych lokalizacjach. W takich warunkach musimy określić nowy kordon bezpieczeństwa, a jedyną stałą jest nasza tożsamość.

Tożsamość cyfrowa

Tożsamość jest nowym kordonem

Przy rozproszonych danych i zmiennych mechanizmach kontrolnych w urządzeniach musimy zająć się wartością stałą, którą mamy – naszą tożsamością i tymi zmiennymi, aby ustalić odpowiednie mechanizmy kontrolne stosowane do umożliwienia dostępu i korzystania.

W pewnym stopniu już to robimy, wykorzystując nazwy użytkowników i hasła do ustalenia poziomu i zasięgu dostępu, ale ilu z nas wiąże ten dostęp zarówno z urządzeniem, jak i miejscem, z którego próbujemy uzyskać dostęp? Ilu z nas używa tożsamości jako parametru definiującego dostęp do naszych zapór sieciowych, a nie adresów IP?

Niejednoznaczność chmury

Chociaż istnieją metody łączenia tych elementów, takie jak kontrola dostępu do sieci, chmura stwarza nowe wyzwania, ponieważ dane mogą pozostawać pod naszą kontrolą, ale dostęp do nich staje się niejasny.

Na przykład przy stosunkowo niedrogiej subskrypcji pakietu Office365 wszyscy użytkownicy mogą logować się i pobierać aplikacje i dane na pięciu różnych urządzeniach. Czy posiadasz lub kontrolujesz wszystkie pięć z tych urządzeń?

Aplikacje w chmurze często przedkładają wygodę użytkownika nad bezpieczeństwo, a niektóre z nich określają, że zapory sieciowe nie powinny „wchodzić w drogę”. Oznacza to, że musimy zmienić nasze podejście, tak aby pracować z aplikacjami chmurowymi, a nie przeciwstawiać się im. Korzystając z ich narzędzi lub interfejsów API możemy utrzymać skuteczną kontrolę nad naszymi danymi, nad tym, kto ma do nich dostęp i co z nimi robi.

Czy Wielki Brat powinien patrzeć?

Gdy kordon bezpieczeństwa uznawano za wystarczający, mogliśmy łatwo monitorować nasze dzienniki firewall i VPN pod kątem podejrzanych zachowań i odpowiednio działać. Teraz, gdy poszczególne osoby są kordonem, potrzebne jest nowe podejście.

Po pierwsze, musimy nadal edukować użytkowników w zakresie ich obowiązków związanych z bezpieczeństwem danych, i musi to być proces ciągły, ale musimy uważać, aby ich nie przeciążać.

Następnie musimy umożliwić ich urządzeniom wypełnianie funkcji kordonu z zarządzaniem punktami końcowymi, zaporą firewall, antywirusem i zaawansowaną ochroną przed zagrożeniami. Tak jak zapewniamy te narzędzia i możliwości na granicy naszej sieci, tak teraz musimy wdrożyć je na nowym kordonie. Na pierwszy rzut oka wydaje się, że jest to duży nakład kontroli i zarządzania, ale istnieją narzędzia, które zapewniają wdrożenie i raportowanie na dużą skalę. Należy również wziąć pod uwagę wprowadzanie plików dziennika z takich systemów do oprogramowania SIEM w celu dalszej analizy.

Na koniec musimy zrobić coś niewygodnego.

Wracając do analogii do naszego zamku, zakładaliśmy, że jeśli przejdziesz przez most zwodzony, to można ci zaufać i możesz mieć dostęp do prawie całego wnętrza. Obecnie nadal większość sieci wewnętrznych jest płaska i wszechobecna.

Jeżeli granica uległa przesunięciu, musimy uznać, że użytkownik mógł zostać narażony na niebezpieczeństwo. Jednym z najważniejszych kroków jest zatrzymanie bocznego ruchu ataku, i w związku z tym należy traktować użytkowników jak granice i rozważyć najmniej uprzywilejowany dostęp.

Ostatecznie użytkownicy powinni mieć dostęp tylko do tych danych, które są im potrzebne do pełnienia ich roli, i musimy założyć, że w pewnym momencie ich bezpieczeństwo zostanie naruszone. Wykrycie tego może być trudne, stąd rozwój analityki zachowań. Zamiast szukać niepodważalnego dowodu naruszenia, staramy się zdefiniować, co jest typowe. Jeśli jesteśmy w stanie określić podstawowe zachowania użytkowników i ustalić, co jest normalne, możemy zostać powiadomieni o wystąpieniu czegoś, co nie jest normalne.

Należy zauważyć, że ta ostatnia technika również wymaga zmiany reagowania. Wcześniej zareagowaliśmy na znane nam wydarzenia, które zostały już udowodnione, teraz musimy badać możliwy problem, a wdrażane narzędzia powinny być w tym pomocne.

Ostatecznie nasza tożsamość cyfrowa zaczęła definiować nas zarówno w życiu osobistym, jak i zawodowym, musimy teraz dostosować nasze postawy bezpieczeństwa, aby otaczać, chronić i powstrzymywać użytkowników, a nie tylko zasoby.

Zarządzanie tożsamością powinno umożliwiać rozwój Twojej firmie, a nie go utrudniać.

​Zapraszamy Cię do rozpoczęcia z nami podróży w obszarze transformacji zarządzania tożsamością. Razem możemy pomóc przekształcić Twój program bezpieczeństwa w opłacalne, innowacyjne i przyjazne dla użytkownika doświadczenie.

Ready to talk?

Get in touch with us today.

Give us a call or leave a message. Our team is ready for your business.

Leave message Call now Request Quote

Ta witryna korzysta z plików cookie. Kontynuuj¹c przegl¹danie tej witryny, wyra¿asz zgodê na stosowanie przez nas plików cookie. Kliknij tutaj, aby dowiedzieæ siê wiêcej