O que é controle de acesso? | Autorização X autenticação

Resumo do artigo:

• O controle de acesso é um processo de segurança fundamental que regula quem pode visualizar ou usar recursos, mitigando efetivamente os riscos de violação de dados por meio da autenticação e autorização das identidades dos usuários.
• As organizações implementam vários modelos de controle de acesso, como baseado em função (RBAC) ou obrigatório (MAC), para gerenciar permissões e proteger informações sensíveis em ambientes físicos e digitais.
• Os sistemas de controle de acesso modernos geralmente utilizam a segurança Zero Trust e Logon único (SSO) para verificar continuamente os usuários, garantindo que apenas indivíduos autorizados tenham acesso a aplicativos e dados internos.

O que é controle de acesso?

Controle de acesso é um termo de segurança usado para se referir a um conjunto de políticas para restringir o acesso a informações, ferramentas e locais físicos.

O que é controle de acesso físico?

Embora este artigo se concentre no controle de acesso à informação, o controle de acesso físico é uma comparação útil para entender o conceito geral.

O controle de acesso físico é um conjunto de políticas para controlar quem tem acesso a um local físico. Exemplos do mundo real de controle de acesso físico incluem:

• Seguranças de bar
• Catracas de metrô
• Agentes alfandegários de aeroportos
• Scanners de cartões de acesso ou crachás em escritórios corporativos

Em todos esses exemplos, uma pessoa ou dispositivo está seguindo um conjunto de políticas para decidir quem tem acesso a um local físico restrito. Por exemplo, um scanner de cartão de acesso de um hotel só concede acesso a hóspedes autorizados que tenham uma chave do hotel.

O que é controle de acesso a informações?

O controle de acesso a informações restringe o acesso aos dados e ao software utilizado para manipular esses dados. Alguns exemplos são:

• Entrar em um notebook usando uma senha
• Desbloquear um smartphone com a digitalização da impressão digital
• Acessar remotamente a rede interna de um empregador usando uma VPN

Em todos estes casos, o software é usado para autenticar e conceder autorização aos usuários que precisam acessar informações digitais. Autenticação e autorização são componentes integrais do controle de acesso às informações.

Qual é a diferença entre autenticação e autorização

Autenticação é a prática de segurança de confirmar que alguém é quem afirma ser, enquanto a autorização é o processo de determinar qual nível de acesso cada usuário tem.

Por exemplo, pense em um viajante fazendo check-in em um hotel. Quando ele se registra na recepção, é solicitado que apresentem um passaporte para verificar se são a pessoa cujo nome consta da reserva. Este é um exemplo de autenticação.

Assim que o funcionário do hotel autenticar o hóspede, ele recebe um cartão de acesso com privilégios limitados. Este é um exemplo de autorização. O cartão de acesso do hóspede concede acesso ao quarto, ao elevador de hóspedes e à piscina — mas não aos quartos de outros hóspedes ou ao elevador de serviço. Os funcionários do hotel, por outro lado, estão autorizados a acessar mais áreas do hotel do que os hóspedes.

Os sistemas de computador e de rede têm controles de autenticação e autorização semelhantes. Quando um usuário faz login em seu e-mail ou conta bancária on-line, ele usa uma combinação de login e senha que apenas ele deveria saber. O software usa essas informações para autenticar o usuário. Alguns aplicativos têm requisitos de autorização muito mais rígidos do que outros; enquanto uma senha é suficiente para alguns, outros podem exigir autenticação de dois fatores ou uma confirmação biométrica, como digitalização de impressão digital ou identificação facial.

Uma vez autenticado, um usuário só pode ver as informações que ele está autorizado a acessar. No caso de uma conta bancária online, o usuário só pode ver informações relacionadas à sua conta bancária pessoal. Enquanto isso, um gerente de fundos do banco pode fazer login no mesmo aplicativo e ver dados sobre as participações financeiras gerais do banco. Como o banco lida com informações pessoais muito sensíveis, é perfeitamente possível que ninguém tenha acesso irrestrito aos dados. Mesmo o presidente ou chefe de segurança do banco pode precisar passar por um protocolo de segurança para acessar os dados completos de clientes individuais.

Quais são os principais tipos de controle de acesso?

Após a conclusão do processo de autenticação, a autorização do usuário pode ser determinada de várias maneiras:

Controle de acesso obrigatório (MAC): o controle de acesso obrigatório estabelece políticas de segurança rígidas para usuários individuais e os recursos, sistemas ou dados que eles têm permissão para acessar. Essas políticas são controladas por um administrador; os usuários individuais não têm autoridade para definir, alterar ou revogar permissões de uma forma que contradiga as políticas existentes.

Nesse sistema, tanto o sujeito (usuário) quanto o objeto (dados, sistema ou outro recurso) devem receber atributos de segurança semelhantes para interagirem entre si. Voltando ao exemplo anterior, o presidente do banco não só precisaria da autorização de segurança correta para acessar os arquivos de dados do cliente, mas o administrador do sistema precisaria especificar que esses arquivos podem ser visualizados e alterados pelo presidente. Embora esse processo possa parecer redundante, ele garante que os usuários não possam executar ações não autorizadas simplesmente obtendo acesso a determinados dados ou recursos.

Controle de acesso baseado em função (RBAC): o controle de acesso baseado em função estabelece permissões com base em grupos (conjuntos definidos de usuários, como funcionários do banco) e funções (conjuntos definidos de ações, como aqueles que um caixa de banco ou um gerente de agência pode realizar). Os indivíduos podem executar qualquer ação atribuída à sua função e podem receber várias funções conforme necessário. Assim como o MAC, os usuários não têm permissão para alterar o nível de controle de acesso atribuído à sua função.

Por exemplo, qualquer funcionário do banco designado para a função de caixa do banco pode receber autorização para processar transações de contas e abrir novas contas de clientes. Um gerente de agência, por outro lado, pode ter várias funções, que o autorizam a processar transações de contas, abrir contas de clientes, atribuir a função de caixa de banco a um novo funcionário e assim por diante.

Controle de acesso discricionário (DAC): uma vez que um usuário recebe permissão para acessar um objeto (geralmente por um administrador do sistema ou por meio de uma lista de controle de acesso existente), ele pode conceder acesso a outros usuários conforme necessário. No entanto, isso pode introduzir vulnerabilidades de segurança, pois os usuários podem determinar as configurações de segurança e compartilhar permissões sem supervisão estrita do administrador do sistema.

Ao avaliar qual método de autorização de usuário é mais apropriado para uma organização, as necessidades de segurança devem ser levadas em consideração. Normalmente, as organizações que exigem um alto nível de confidencialidade de dados (por exemplo, organizações governamentais, bancos, etc.) optarão por formas mais rigorosas de controle de acesso, como MAC, enquanto aquelas que favorecem mais flexibilidade e permissões baseadas em usuários ou funções tenderão a sistemas RBAC e DAC.

Quais são os métodos para implementar o controle de acesso?

Uma ferramenta popular para controle de acesso a informações é uma rede privada virtual (VPN). Uma VPN é um serviço que permite que usuários remotos acessem a internet como se estivessem conectados a uma rede privada. As redes corporativas geralmente usam VPNs para gerenciar o controle de acesso à sua rede interna em uma distância geográfica.

Por exemplo, se uma empresa tem um escritório em São Francisco e outro escritório em Nova York, bem como funcionários remotos espalhados pelo mundo, eles podem usar uma VPN para que todos os funcionários possam fazer login com segurança em sua rede interna, independentemente de sua localização física. Conectar-se à VPN também ajudará a proteger os funcionários contra ataques de invasores intermediários se estiverem conectados a uma rede Wi-Fi pública.

As VPNs também apresentam algumas desvantagens. Por exemplo, as VPNs afetam negativamente a performance. Quando conectado a uma VPN, cada pacote de dados que um usuário envia ou recebe precisa percorrer uma distância extra antes de chegar ao seu destino, pois cada solicitação e resposta precisa atingir o servidor VPN antes de chegar ao seu destino. Esse processo geralmente aumenta a latência.

As VPNs geralmente fornecem uma abordagem de tudo ou nada para a segurança da rede. As VPNs são ótimas para fornecer autenticação, mas não são ótimas para fornecer controles de autorização granulares. Se uma organização deseja conceder diferentes níveis de acesso a diferentes funcionários, ela precisa usar várias VPNs. Isso cria muita complexidade e também não atende aos requisitos de segurança Zero Trust.

O que é segurança zero trust?

A segurança Zero Trust é um modelo de segurança de TI que requer verificação de identidade rigorosa para todas as pessoas e dispositivos que tentam acessar recursos em uma rede privada, independentemente de estarem dentro ou fora do perímetro de rede. As redes Zero Trust também utilizam a microssegmentação. Microssegmentação é a prática de dividir os perímetros de segurança em pequenas zonas para manter o acesso separado para partes separadas da rede.

Hoje, muitas organizações estão substituindo as VPNs por soluções SASE como o Cloudflare One. Uma solução de segurança SASE pode ser usada para gerenciar o controle de acesso para funcionários no escritório e remotos, evitando as principais desvantagens do uso de uma VPN.

Perguntas frequentes

O que é controle de acesso?

O controle de acesso refere-se a políticas que limitam quem pode entrar em locais ou interagir com informações e ferramentas digitais. Ele atua como uma proteção para garantir que apenas pessoas autorizadas possam alcançar áreas restritas.

Qual é a diferença entre autenticação e autorização

Autenticação é a prática de verificar se uma pessoa é realmente quem ela afirma ser. A autorização é o processo subsequente de determinar quais recursos ou áreas específicos que a pessoa tem permissão para acessar.

Como funciona o controle de acesso obrigatório (MAC)?

O controle de acesso obrigatório depende de políticas de segurança rígidas definidas por um administrador central em vez de usuários individuais. Para que um usuário interaja com um recurso específico, tanto a pessoa quanto os dados devem ter atributos de segurança correspondentes designados a eles.

O que é o controle de acesso baseado em função (RBAC)?

Esse método atribui permissões com base em funções e grupos específicos dentro de uma organização. Um funcionário designado para uma determinada função pode executar as ações associadas a essa função, mas não pode alterar os níveis de acesso inerentes a essa função.

Como o controle de acesso discricionário (DAC) difere de outros métodos?

Em um sistema DAC, os usuários que receberam acesso a um determinado objeto podem passar essa permissão para outras pessoas, conforme acharem adequado. Embora flexível, essa abordagem pode levar a lacunas de segurança porque não tem a supervisão centralizada encontrada no MAC ou no RBAC.

Por que as organizações estão migrando das VPNs para a segurança Zero Trust?

Embora as VPNs imponham autenticação, elas muitas vezes não possuem controles de autorização granulares. Elas também podem diminuir o desempenho exigindo que os dados percorram distâncias extras até os servidores de VPN. A segurança Zero Trust aborda esses problemas exigindo verificação rigorosa para todas as pessoas e dispositivos e aplicando políticas de segurança na borda da rede, em vez de por meio de servidores VPN remotos.

Qual é o benefício da microssegmentação no controle de acesso?

Microssegmentação é a prática de segurança de dividir uma rede em zonas menores e isoladas. Isso permite que uma organização mantenha autorização separada para diferentes partes da rede, garantindo que um usuário acesse apenas os recursos específicos de que precisa.