0
0
Muitas pessoas têm acesso aos dados da empresa de que não precisam. Além disso, muitas empresas se concentram na autenticação (verificação de identidade) como uma medida de segurança e ignoram a importância da autorização (verificação do direito de acesso).
Embora seja importante dar aos funcionários acesso aos dados de que precisam para realizar seu trabalho, conceder muito acesso aumenta o risco de violações de dados. Manter a autorização adequada é particularmente importante quando estamos enfrentando a angústia econômica que vem com demissões em massa, flutuação do mercado e incerteza geopolítica. As empresas correm um risco maior de crimes cibernéticos e violações internas quando estão mais fracas e distraídas.
Para mitigar esses riscos, as empresas precisam garantir que a autorização seja um elemento central de suas estratégias de segurança de dados.
Autorização como um componente central da segurança
A autorização é fundamental para proteger informações confidenciais, pois garante que apenas funcionários pré-aprovados possam acessar dados confidenciais.
Quando a autorização é negligenciada, as empresas têm pouca ou nenhuma visibilidade sobre quem está acessando o quê. Isso torna desafiador rastrear o acesso, identificar comportamentos incomuns ou detectar possíveis ameaças. Isso também leva a ter usuários “superprivilegiados” – uma das principais causas de violações de dados, de acordo com muitos relatórios do setor.
A supervisão da autorização é fundamental quando os funcionários deixam uma empresa ou mudam de função dentro da organização, pois eles podem reter o acesso a dados confidenciais de que não precisam mais. Se os direitos de acesso nunca expirarem, os usuários não autorizados terão acesso a dados confidenciais. E com as demissões, o risco de roubo de dados aumenta.
A falta de autorização adequada também coloca as empresas em risco de não conformidade com as leis de privacidade, como o Regulamento Geral de Proteção de Dados (GDPR) e a Lei de Privacidade do Consumidor da Califórnia (CCPA), o que pode resultar em penalidades significativas e danos à reputação.
A maioria das organizações armazena dados confidenciais na nuvem, e a maioria o faz sem qualquer tipo de criptografia, tornando a autorização adequada ainda mais necessária.
Com apostas tão altas, por que as empresas não estão fazendo mais para garantir que a autorização faça parte de suas estratégias de segurança de dados?
A luta (muito real) pela autorização
Sem uma imagem clara de quem exatamente tem acesso a dados confidenciais a qualquer momento, é difícil implementar controles adequados para impedir o acesso não autorizado. Obter essa visão é complicado por vários motivos:
1. Infraestrutura de dados complexa: Muitas empresas têm infraestruturas de dados complicadas com vários bancos de dados, data warehouses e data lakes. Descobrir dados confidenciais, gerenciar o acesso a eles e protegê-los em todos esses armazenamentos de dados pode ser um desafio.
2. Processos ineficientes: Grandes organizações com várias fontes de dados têm dificuldade inerentemente em gerenciar o acesso a dados e aplicar controles. Sem um sistema centralizado, as equipes de segurança, dados ou DevOps estão revisando manualmente as solicitações de permissões e gerenciando autorizações – um processo demorado e propenso a erros.
3. Uma força de trabalho em constante mudança: À medida que os funcionários se movem entre funções ou deixam a organização, seu acesso precisa mudar. Manter o controle dessas alterações e garantir que as permissões sejam atualizadas de acordo é um desafio, especialmente em ambientes de ritmo acelerado. Com demissões em massa, isso se torna ainda mais complicado e as autorizações não são controladas por muito tempo.
Equilibrando o compartilhamento de dados com a mitigação de riscos
É claro que, para que as organizações se mantenham competitivas, elas precisam compartilhar dados de forma rápida e perfeita. No entanto, do ponto de vista da segurança, é fundamental que apenas usuários autorizados tenham acesso aos dados de que precisam e que os controles estejam em vigor para revogar o acesso quando ele não for mais necessário.
Políticas de autorização eficazes são essenciais para proteger informações confidenciais e minimizar violações de segurança, ao mesmo tempo em que promovem a colaboração e a tomada de decisões baseadas em dados.
O primeiro passo é obter uma imagem clara de quem tem acesso a dados confidenciais dentro da sua empresa. Em seguida, é importante colocar controles de acesso adequados no lugar. Existem algumas abordagens diferentes, mas uma abordagem de acesso a dados just-in-time (JIT) equilibra melhor o compartilhamento de dados e, ao mesmo tempo, minimiza os riscos.
Ao conceder acesso temporário a usuários aprovados e revogá-lo quando não for mais necessário, as empresas podem reduzir o perigo de violações de dados e, ao mesmo tempo, otimizar a produtividade. Quando combinadas com a classificação adequada de dados e o monitoramento regular, as empresas podem superar a supervisão da autorização e reduzir o risco geral.
FONTE: HELPNET SECURITY