Et nærmere kig på identitets- og adgangsstyring i 2022

I dag er det den anden årlige “Identity Management Day”. Dagen blev lanceret i 2021 af Identity Defined Security Alliance (IDSA) og ligger på den anden tirsdag i april. Den er en anledning til at oplyse organisationsledere og IT-beslutningstagere om, hvor vigtige de centrale dele af identitets- og adgangsstyring (IAM) er, herunder styring, praksis, teknologier, værktøjer og strategier.

IAM i tal

Effektiv IAM er blevet vigtigere de seneste år, fordi hackere og interne brugere med ondsindede hensigter går efter privilegerede konti, der kan rumme “nøglerne til kongeriget” — altså fortrolige og ejendomsretligt beskyttede data, som bruges til identitetstyveri og sælges på dark web.

På trods af risici og omkostninger er mange organisationer — især små og mellemstore virksomheder (SMV’er) — ikke proaktive. Undersøgelsen Devolutions State of Cybersecurity in SMBs in 2021/2022 viste for eksempel, at 52 % af SMV’erne har oplevet et cyberangreb det seneste år, og at 10 % har oplevet 11 eller flere cyberangreb. Alligevel overvåger 61 % af SMV’erne ikke hele listen over privilegerede konti i organisationen, og 20 % af SMV’erne bruger stadig meget usikre metoder til at opbevare adgangskoder, for eksempel regneark, dokumenter og adgangskoder skrevet ned på papir. Som Identity Management Institute fremhæver i sin Identity and Access Management Report 2022:

Cyberkriminelle afprøver hele tiden nye metoder, og derfor skal [IAM]-markedet forblive dynamisk for at følge med. For nylig har en række store brud igen vist, at systemer, der angiveligt er sikre, ofte er overraskende sårbare … Mange virksomheder undersøger også IAM-strategier, der rækker længere end grundlæggende godkendelse og adgangsstyring. De ser på, hvordan deres processer kan bygges om, så de kan automatisere en større del af driften og beskytte de mest kritiske dataporteføljer. Det skaber et stigende behov for IAM-teknologier, der løser avancerede krav, som både den øverste ledelse og IT-professionelle skal håndtere.

Identitetsstyring og adgangsstyring

For at styrke deres IT-sikkerhed og mindske risikoen for et potentielt katastrofalt brud — husk, at den gennemsnitlige omkostning ved et enkelt databrud er steget til rekordhøje 4,24 millioner USD pr. hændelse — skal organisationer bruge IAM. Men de må ikke begå den fejl at antage, at identitetsstyring og adgangsstyring er det samme. Ja, der er et overlap. Men det er to forskellige begreber:

• Identitetsstyring samler digitale elementer og poster i en central database for at skabe en entydig betegnelse for hver enkelt bruger. Disse betegnelser overvåges, ændres og fjernes efter behov for at håndhæve sikkerheden, samtidig med at slutbrugerne får de tilladelser, de skal bruge til deres arbejdsopgaver.

• Adgangsstyring afgør, om slutbrugere har tilladelse til at tilgå netværk, ressourcer, apps, databaser og så videre. Begrebet dækker alle de politikker, processer, metoder, systemer og værktøjer, der skal til for at opretholde privilegeret adgang i et digitalt miljø.

Kort sagt handler identitetsstyring om, HVEM en slutbruger er, mens adgangsstyring handler om, HVAD en slutbruger har tilladelse til at gøre.

Problemer med at håndhæve IAM

Som vi tidligere har beskrevet, er et væsentligt problem for mange organisationer, når de forsøger at etablere og håndhæve IAM, at visse teknologier — for eksempel ældre systemer, telefoner og kameraer — ikke kan bruge et fødereret system. I teorien kan man oprette og vedligeholde unikke identitetskonti manuelt for hver bruger. I praksis går det fra meget upraktisk (for små virksomheder) til nærmest umuligt (for større virksomheder).

Hvorfor fjerner organisationer så ikke bare de privilegerede konti, der deles på tværs af roller, teams og/eller grupper, og undgår problemet helt? Svaret er, at nogle privilegerede konti er nødvendige, for eksempel:

• Domæneadministratorkonti
• Lokale administratorkonti
• Nødadgangskonti
• Applikationskonti
• Systemkonti
• Domænetjenestekonti

Vejen frem: PAM

Løsningen på det dilemma er at indføre en PAM-løsning, der lukker hullet effektivt mellem identitetsstyring (godkendelse af slutbrugere) og adgangsstyring (tildeling af de rette tilladelser til slutbrugere).

Et PAM-system udvider den beskyttelse, et IAM-system giver, ind i det ikke-fødererede identitetsrum gennem en række indbyggede funktioner, herunder:

• En boks, der opbevarer adgangskoder (og andre følsomme data, for eksempel alarmkoder til bygninger, softwarelicensnøgler og så videre), og som deles sikkert mellem flere slutbrugere.
• Check-out af konti, så systemadministratorer kan godkende eller afvise en adgangsanmodning fra sag til sag og om nødvendigt sætte tidsgrænser.
• Underretninger, der advarer systemadministratorer, når bestemte hændelser eller handlinger finder sted for slutbrugere, roller, bokse og så videre.
• Automatisk obligatorisk rotation af adgangskoder ved indtjekning.
• Automatisk obligatorisk rotation af adgangskoder på et planlagt tidspunkt.
• Kontoopdagelse, der automatisk scanner og finder privilegerede konti hos en Active Directory-udbyder, så de kan opdateres, overvåges eller slettes (mere om det nedenfor).
• Kontoformidling, der automatiserer arbejdsgange (for eksempel at åbne en VPN-klient, starte en fjernadgangsprotokol og tilgå en privilegeret konto), uden at slutbrugerne overhovedet får adgangskoderne.
• Optagelse af sessionsaktivitet, som er afgørende for organisationer med konsulenter og tredjepartsleverandører.

Brug en PAM-løsning til kontoopdagelse

Undersøgelser har vist, at 88 % af organisationerne med mere end en million mapper mangler passende adgangsbegrænsninger, og at 58 % af organisationerne har mere end 100.000 mapper, som alle medarbejdere kan tilgå. Enkeltstående identifikationsudbydere som IAM-systemer, databaser, netværksudstyr og servere skal forespørges for at finde konti. Som nævnt ovenfor kan et PAM-system derimod automatisk finde privilegerede konti, så de kan opdateres, overvåges eller slettes.

IAM-tendenser

For at hjælpe ledere og IT-beslutningstagere med at udvikle deres IAM-køreplaner og arkitektur har Gartner fremhævet 6 IAM-tendenser i 2022:

1. Computing med adgang overalt vil yderligere øge behovet for klogere adgangskontrol.

Pandemien udløste fjernarbejdets æra, og det har stillet hidtil usete krav til udrulninger af adgangsstyring, som skal kunne skelne mellem legitime brugere og hackere eller ondsindede bots. Gartner råder organisationer til at:

• Byg understøttelse af flere muligheder for brugeradgang, enhedsadgang og flere generationer af digitale aktiver ind i en fleksibel, moderne identitetsinfrastruktur (identity fabric).
• Indføre bedste praksis som flerfaktor-godkendelse (MFA), ingen stående privilegier og zero trust-arkitektur.
• Bruge adaptiv adgangskontrol — en kontekstafhængig adgangskontrol, der afvejer tillid mod adgangsrisiko — som et centralt element i en zero trust-arkitektur.

2. En bedre brugeroplevelse for alle brugere bliver afgørende for at sikre den digitale forretning.

Der er en tydelig sammenhæng mellem en god slutbrugeroplevelse og højere samlet kundetilfredshed. Med andre ord er glade medarbejdere grundlaget for glade kunder — og i sidste ende for konkurrencefordel, vækst og indtjening. Gartner råder organisationer til at:

• Skabe en sammenhængende strategi for alle eksterne brugere (forbrugere, erhvervskunder og partnere). Et eksempel er at afstemme IAM-prioriteter med forretningens og IT’s prioriteter, levere en omnikanaloplevelse og samle kundens profildata.
• Anvende en zero trust-tilgang på organisationens digitale forsyningskæde (for eksempel ende-til-ende-sikkerhed og beskyttelse af kundedata og andre ressourcer i det digitale økosystem).
• Give privilegerede brugere handlerum uden at gå på kompromis med sikkerheden ved at oprette en identitet til fjernprivilegerede brugere, som godkender dem, hver gang de skal udføre administrative opgaver eller privilegerede handlinger. Brug derefter en delt konto, der styres af en PAM-løsning.

3. Nøgler, hemmeligheder, certifikater og maskiner kræver mere opmærksomhed.

Organisationer skal gentænke deres IAM-strategier i lyset af den kraftige stigning i antallet af maskiner og i brugen af dem i både hybride miljøer og multicloud-miljøer. Gartner råder organisationer til at:

• Etablere et fusion team, der indsamler krav, giver ledelse, definerer ejerskab, udstikker retning og sætter realistiske forventninger.
• Afgøre, hvilke maskinidentiteter organisationen bruger, og inddele dem i enheder og arbejdsbelastninger.
• Finde organisatoriske og tekniske måder, så IAM-teamene kan integrere de værktøjer, de forskellige teams selv vælger.

4. Nye applikationer og API’er bliver nødvendige for at udnytte de nyeste retningslinjer for IAM-udvikling.

Som IT-sikkerhedschefen og DATAVERSITY-bestyrelsesmedlemmet Nathanael Coffing påpeger: “Organisationer indfører hurtigt nye applikationsinfrastrukturer, som skal skabe nye forretningsmodeller og forbindelse til kunder og partnere. De teknologiske fremskridt giver virksomheder mange muligheder for innovation, men de har også øget cybertruslerne og de risici, der følger af udbredelsen af moderne cloudapps, voksende API-brug og serverless computing.” For at imødegå de risici råder Gartner organisationer til at:

• Etablere API-adgangskontrol ved at definere nye applikationsstrategier ud fra relevante interessenter (for eksempel udviklere, DevOps, cloud, sikkerhed og IAM).
• Sikre, at nye applikationer fra alle kilder udvikles, indkøbes og tages i brug sikkert ved at indføre API-adgangskontrol sammen med API-opdagelse og beskyttelse mod API-trusler.
• Sikre sammenhæng i hele applikationens livscyklus ved at forbedre koordineringen mellem softwareindkøbsteams (både centrale og divisionsteams) og IAM-teams.

5. Hybrid cloud og multicloud vil drive løbende vedligeholdelse og udvikling af IAM-arkitekturen.

Organisationer skal tilføje modne, automatiserede kompenserende kontroller, når de flytter flere digitale aktiver til decentrale multicloud-miljøer og arbejder i et hybridt IT-miljø. Gartner råder organisationer til at:

• Integrere løsninger til identitetsstyring og -administration (IGA), PAM og administration af rettigheder i cloudinfrastruktur (CIEM), så identiteter og tilladelser styres og forvaltes ensartet på tværs af alle miljøer.
• Etablere én overordnet ramme for multicloud-IAM, der centraliserer nogle funktioner, men stadig giver plads til de indbyggede værktøjer.

6. IGA-funktioner udvikler sig, så de understøtter en decentral arkitektur.

Det accelererede tempo i digitalisering og cloudindførelse betyder, at organisationer skal udvikle deres IGA-evner, så de passer til en cybersecurity mesh-arkitektur, og tilføje understøttelse af identiteter i hybride IT-miljøer, identiteter på flere cloudplatforme og maskinidentiteter. Gartner råder organisationer til at:

• Etablere et identity fabric ved hjælp af en standardbaseret connector-ramme på tværs af flere databehandlingsmiljøer, så det kan afgøres, hvem der har adgang til hvad — uanset hvor ressourcerne og brugerne befinder sig.
• Give bedre administration og orkestrering af adgangspolitikker.
• Bruge cloudidentitetsanalyse til løbende styring.

Afsluttende tanker fra vores VP for forretningsløsninger, Maurice Côté

Regeringer overalt indfører nye pejlemærker og bedste praksis for informationssikkerhed. For fem år siden spurgte cyberrisikoforsikringer om adgangskodeadministratorer. Nu ser vi spørgsmål om PAM.

Selv om omfattende IAM-løsninger i enterprise-klassen ligger uden for rækkevidde for mange mindre organisationer, skal de stadig handle og opdatere deres praksis. Selv et sagsstyringssystem er en markant forbedring i forhold til ad hoc-anmodninger. En løsning som Remote Desktop Manager kan også hjælpe væsentligt på det område, fordi den tager kontiene ud af ligningen og lader virksomheder styre, hvem der kan tilgå forskellige enheder. PAM-modulet i Devolutions Server går endnu længere ved at styre livscyklussen for privilegerede konti og lade virksomheder oprette konti med et meget snævrere omfang (sammenlignet med mere bredt tilgængelige administratorkonti).