Aqui está uma breve visão geral da identidade, por que é vital para a segurança da informação e por que você deve saber mais sobre

ID de toque. Entrar com o Facebook. Máquinas ATM. Serviços de diretório corporativo. Qual é a semelhança? Identidade digital! Vivemos em um mundo cada vez mais conectado, onde consumimos informações continuamente. Do acesso ao e-mail, verificação do extrato bancário e streaming de música online, estamos constantemente acessando APIs que recuperam com segurança nossos dados no local e na nuvem. A identidade digital é a representação online de uma pessoa, organização ou máquina, e é o que nos dá acesso aos dados que usamos diariamente. Faz parte da nossa vida, seja no trabalho ou em casa. Aqui está uma breve visão geral da identidade, por que ela é vital para a segurança da informação e por que você deve saber mais sobre ela.

Identidade naquela época

Voltemos ao ano 2000, quando a maioria das pessoas com acesso à Internet ainda usa discagem. Milhões estão se conectando à Internet pela primeira vez e as empresas de Internet estão tendo seus primeiros grandes momentos no mercado de ações. Algumas empresas inovadoras, como Amazon e eBay, são capazes de se estabelecer no novo mercado online. Outros, como WebVan e Pets.com, talvez estejam à frente de seu tempo.

Figura 1: cada site tem uma identidade digital separada sua

Durante esta era, você tem identidades digitais separadas para cada site. Isso exige que você acompanhe vários nomes de usuário e senhas, o que incentiva a reutilização de senhas. A reutilização de senhas compromete a segurança de todos os seus sites se apenas um deles for comprometido.

 Se por acaso você trabalha em uma empresa ou instituição com uma rede significativa, pode esperar que efetue login em seu computador por meio de uma solução de serviço de diretório, como o Novell Directory Services, que dá à sua identidade corporativa acesso a serviços de arquivo e impressão no local rede de área (LAN). Os perímetros e as senhas da rede são seus principais meios para proteger os dados corporativos locais; os firewalls mantêm os bandidos afastados enquanto você acessa seus aplicativos e dados dentro dos limites de sua rede confiável. Mas sua identidade existe apenas no espaço em que você está atualmente - um único site ou uma LAN corporativa com fio. 

Em 2001, o escândalo contábil da Enron chegou às manchetes devido a relatórios de lucros inflacionados e fraudes. O escândalo revela os fracos controles internos da Enron, que permitem que seus funcionários ajam de forma desonesta. Por causa desse e de outros escândalos, o Congresso aprova a Lei Sarbanes-Oxley, que, se você for uma empresa de capital aberto, inclui requisitos que tornam os executivos responsáveis ​​pelos controles de acesso de seus funcionários. Esta e outras regulamentações encorajam a adoção de sistemas de gerenciamento de identidade e acesso (IAM) para controlar os usuários e atribuir acesso aos recursos necessários.

Identidade agora

O requisito da era dos anos 90 de precisar apenas de acesso aos aplicativos locais e aos dados muda rapidamente. Em meados da década de 2000, vem um uso crescente de aplicativos hospedados fora de sua rede. Aplicativos de software como serviço (SaaS) como o Concur (agora SAP Concur), que gerencia viagens e despesas corporativas, se tornaram populares. Em 2006, a Amazon Web Services começa a oferecer serviços de computação em nuvem, permitindo que você execute aplicativos em servidores e armazene dados com base no pagamento conforme o uso, com todas as suas informações baseadas em data centers externos. Hoje, empresas que vão de startups a empresas estão migrando suas cargas de trabalho para serem executadas inteiramente na nuvem.

No lado do consumidor, o iPhone entra em cena em 2007, dando início à era dos smartphones e tablets. De repente, você pode ter acesso imediato às informações por meio do navegador do seu celular ou dos diversos aplicativos disponíveis no seu dispositivo. Esses dispositivos se tornam cada vez mais uma preocupação dos departamentos de TI corporativos, à medida que os funcionários se conectam a redes internas usando dispositivos sobre os quais a TI não tem controle.

Figura 2: o login social permite que você centralize sua identidade digital

Em 2009, o login social estará disponível, o que permite que você faça login em seus aplicativos e sites por meio de sua identidade social, como Twitter ou Facebook. Isso é possível graças ao OAuth , que é um padrão que permite autorizar o acesso a aplicativos sem compartilhar sua senha. O login social permite que você tenha sua identidade de consumidor hospedada no provedor de sua escolha, melhorando a segurança por meio de menos dependência de senhas.

O advento de SaaS, computação em nuvem e mobilidade significa que sua empresa agora precisa gerenciar o acesso dos funcionários para quando os dados residirem fora da rede corporativa - e potencialmente o acesso dos clientes da sua empresa também. E os dados não podem ser considerados seguros quando dentro do perímetro; a crescente prevalência de phishing, engenharia social, malware e ameaças internas confunde ainda mais o perímetro de confiança.

Com o perímetro da rede não mais definindo apenas o que é seguro e com a crescente aceitação e adoção de autenticação forte , as empresas agora estão começando a considerar um modelo Zero Trust . Zero Trust afirma que a segurança de seus dados não pode depender apenas da segurança de sua rede. Em vez disso, a segurança dos dados é altamente dependente de fortes controles de autenticação e autorização refinada - em outras palavras, temos certeza de que eles são quem pensamos que são e têm apenas as permissões de que precisam para acessar.

As senhas como um único fator de autenticação muitas vezes não são suficientes. É cada vez mais fácil para os invasores quebrar uma senha fraca em segundos ou obtê-la por meio de métodos inteligentes, como golpes de phishing. A importância da autenticação multifator (MFA), portanto, aumentou mesmo fora de instituições altamente protegidas, como bancos e agências governamentais. O MFA torna muito mais difícil para alguém contornar seus controles de autenticação. 

Por exemplo, se sua senha é seu primeiro fator e um token de segurança virtual ou físico é seu segundo fator, um invasor precisará de ambos para comprometer sua identidade. A recente introdução generalizada de autenticação sem senha por meio do uso de fatores biométricos, como impressões digitais, torna possível evitar completamente as senhas.

Agora, a autenticação forte é ainda mais fácil em dispositivos compatíveis, como smartphones, tablets e laptops. MFA e autenticação sem senha trabalham em harmonia com o modelo Zero Trust para proteger ainda mais seus dados confidenciais, independentemente de onde eles estejam localizados. Combinado com o surgimento de sistemas abrangentes de gerenciamento de identidade e acesso, agora você tem soluções cada vez mais seguras para gerenciar identidades, seus direitos de acesso e os dados que precisava proteger.

Como a identidade afeta você

Essas tendências não diminuíram - a quantidade de aplicativos e dados disponíveis para nós está explodindo, tornando mais difícil controlar o acesso a esses dados sem sistemas dedicados de gerenciamento de identidade e acesso. E como empresas inteiras como Twitter, Facebook e Slack estão declarando forças de trabalho remotas como o novo normal devido à pandemia global, Zero Trust e identidade são ainda mais importantes. 

Se estiver desenvolvendo um aplicativo de consumidor multiusuário, você deve considerar se oferecer a eles a capacidade de fazer login com sua identidade social faz sentido do ponto de vista de segurança e usabilidade. Os benefícios são que ele reduz o atrito durante o processo de inscrição, o que garante a conversão de clientes mais curiosos em usuários em tempo integral. Ele também transfere parte do trabalho de gerenciamento de identidade e segurança para grandes empresas com bons recursos. Você também precisará avaliar quais soluções de gerenciamento de acesso e identidade do cliente (CIAM) são certas para ajudá-lo a gerenciar o acesso de potencialmente milhares ou milhões de usuários que usarão seu aplicativo. Amazon Cognito e Auth0 são algumas das soluções no espaço CIAM que ajudam nisso.

Se você tem um trabalho em gerenciamento de identidade, como gerenciar seu diretório corporativo, mais cedo ou mais tarde terá que lidar com a forma como implementará o MFA. E você precisará considerar como seus funcionários acessarão a nuvem, mesmo se seu armazenamento de identidade permanecer no local. E você terá que mergulhar na federação de identidade, o que significa entender como seu serviço de diretório se integrará ao seu provedor de nuvem e quais permissões mínimas são necessárias para permitir que os funcionários façam seu trabalho.

Para onde eu vou daqui

Visto que identidade é um tópico amplo e complexo, um ótimo lugar para você começar é com recursos educacionais! Você vai querer se familiarizar com o básico. É importante entender a autenticação e a autorização, pois esses termos são usados ​​o tempo todo ao aprender sobre as soluções de identidade e IAM. A IDPro , que é uma associação sem fins lucrativos de profissionais de identidade, possui recursos educacionais que você pode acessar online que tratam disso. Se você for um desenvolvedor, também há vídeos de masterclass no OAuth que você deseja assistir se habilitar o login social para seu aplicativo por meio de um provedor OAuth compatível, como Google, Facebook ou Github. Se você é um administrador ou engenheiro IAM, você vai querer ler sobre MFA, logon único (SSO) e federação.

Também ajudei a desenvolver um curso, “Introdução ao gerenciamento de identidade e acesso da AWS,” que apresenta a você esses tópicos básicos de identidade e como eles se parecem na nuvem AWS. Eles são gratuitos no Coursera e edX . A AWS Training and Certification também oferece treinamento de segurança abrangente e relevante para ajudá-lo a inovar com confiança e avançar em sua carreira.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.