0 
0 O controle de acesso é o coração da proteção de dados . Encontrar o equilíbrio certo entre acesso fácil e segurança rígida não é fácil, mas acertar é como você mantém a agilidade dos negócios e ainda cumpre as responsabilidades de proteção de dados regulatórias e fiduciárias.
Controle de acesso baseado em função
A estrutura de controle de acesso favorita descontrolada depende das funções do usuário – por alguns bons motivos. O controle de acesso baseado em função (RBAC) é uma abordagem simples e compreensível para tomar decisões de permissão/negação de acesso a dados.
No setor financeiro, por exemplo, os regulamentos da SEC proíbem a negociação com base em dados internos. Organizações complexas de serviços financeiros geralmente empregam equipes de atendimento ao cliente (com acesso a informações financeiras pré-públicas) e comerciantes que não podem acessar legalmente essas informações. Os controles de acesso baseados em função impedem que aqueles com funções comerciais acessem informações privadas ou pré-públicas. Há muitos outros exemplos dessa abordagem em vários setores:
- Apenas médicos ou outra equipe clínica têm acesso a registros médicos confidenciais
- Na educação, o acesso às transcrições dos alunos é limitado ao cartório
- As empresas de alta tecnologia protegem a propriedade intelectual restringindo o acesso à equipe de engenharia
Um sistema RBAC eficaz também pode oferecer suporte a hierarquias que fornecem controle mais sofisticado, ao mesmo tempo em que alivia a carga administrativa, permitindo a governança no nível do grupo. Os serviços de diretório, fontes populares de informações sobre as funções atribuídas a um indivíduo, geralmente oferecem suporte para hierarquias de funções. Também usadas para fornecer acesso mais amplo ao pessoal sênior, as hierarquias tornam o RBAC mais simples de gerenciar e manter.
Mas o RBAC tem algumas fraquezas notáveis. As funções nem sempre são os melhores proxies para acesso, e as exceções às regras criadas pela equipe de TI podem gerar uma sobrecarga inesperada de gerenciamento.
Por exemplo, um dos clientes da Concentric no setor de serviços financeiros decidiu recentemente reforçar sua solução RBAC usando funções para limitar o acesso a informações confidenciais do cliente ao seu grupo de envolvimento do cliente. Eles descobriram rapidamente quantas outras equipes funcionais usavam essas informações para fins comerciais legítimos. Suas equipes de negociação de contratos geralmente precisavam de acesso para preparar cotações para novos negócios, e as contas a receber precisavam de acesso para cobrança precisa com base nos termos do contrato relacionados ao desempenho. Eles foram forçados a recorrer a um modelo menos agressivo de controle de acesso. Foi um exemplo real de como os profissionais da InfoSec podem lutar para otimizar o equilíbrio entre acesso e agilidade nos negócios, especialmente quando se baseia em funções.
Isso dá uma inércia de estrutura RBAC ao responder a requisitos de negócios dinâmicos. As funções são lentas para mudar e muitas vezes não refletem as necessidades reais de acesso a dados. Em um ambiente de saúde, os pacientes vêm e vão, e as equipes clínicas constantemente se formam e se reformam. Um sistema RBAC que concede acesso PHI a qualquer pessoa com a função de “Médico” não é muito granular e é um convite aberto para abuso (até médicos ficam curiosos sobre o status médico de convidados famosos). A criação de novas funções dinâmicas com base nos grupos de cuidados atuais melhoraria a situação – mas também criaria uma carga de manutenção insustentável.
Controle de acesso baseado em propósito
Uma abordagem mais moderna de segurança de dados, chamada de controle de acesso baseado em propósito (PBAC), visa superar as limitações do RBAC. O PBAC avalia cada solicitação de acesso a dados no contexto da finalidade da solicitação. Por exemplo, um funcionário de ajuda financeira de uma universidade pode acessar registros acadêmicos para verificar a elegibilidade para assistência financeira; mas o acesso pode ser negado a um médico que não faça parte da equipe de atendimento ao paciente. É uma maneira poderosa de resolver o problema de agilidade sem comprometer a segurança.
O PBAC conta com três elementos críticos para decisões precisas de permissão/negação: função, finalidade e natureza dos dados em uso. Um conhecimento imediato de todos os três fatores permite um controle de acesso robusto sem bloquear o acesso válido e necessário às informações.
Desses elementos, as informações sobre funções já estão disponíveis na maioria das propriedades de TI e as informações sobre a finalidade de uma solicitação de acesso, por outro lado, não estão.
As implementações de PBAC preenchem essa lacuna tomando dicas de modelos de autenticação aprimorados para adicionar aros de verificação adicionais sob certas condições. Para o PBAC, esses aros podem incluir uma solicitação para que os usuários justifiquem por que precisam de acesso a dados confidenciais. Por exemplo, um funcionário de contas a pagar em uma empresa de serviços financeiros pode precisar confirmar que o acesso às informações privadas do cliente é necessário para preparar uma fatura. Esse modelo fornece aos usuários informações acionáveis e responsabilidade, ao mesmo tempo em que fornece uma trilha de auditoria.
Os insights de dados são outro elemento essencial de qualquer programa PBAC bem-sucedido. Sem entender a natureza e o contexto dos dados acessados, é impossível aplicar o PBAC às solicitações de acesso. Felizmente, novas soluções baseadas em deep learning automatizam o processo de descoberta e categorização de dados. Com informações granulares e precisas sobre conteúdo e confidencialidade, os profissionais da InfoSec podem criar estruturas PBAC que se concentram nos dados mais confidenciais e em risco no momento certo.
FONTE: HELPNET SECURITY