Privileged Access Management – czym jest i dlaczego jest tak ważny?

Rozproszona struktura, korzystanie z globalnych zespołów czy pracownicy, którzy pracują zdalnie – to rzeczywistość, z którą musi zmierzyć się coraz większa liczba firm. Jednym z wyzwań, przed którymi stoją przedsiębiorstwa, jest konieczność zapewnienia integralności danych i ochrony kont uprzywilejowanych. Pomocny jest w tym Privileged Access Management.

Firmy coraz częściej na celowniku hakerów

Cyberprzestępcy coraz rzadziej atakują w sieci indywidualnych użytkowników czy największe korporacje działające na rynku. Ich celem są głównie małe i średnie firmy, które często kwestie bezpieczeństwa marginalizują lub stosują nieodpowiednie zabezpieczenia. Aby zwiększyć szansę powodzenia dotarcia do danych, które powinny być poza ich zasięgiem, cyberprzestępcy przed przeprowadzeniem ataku zapoznają się ze strukturą firmy i typują osoby, które będą jego celem. Często są to m.in. administratorzy systemu. Zamysłem jest bowiem uzyskanie maksymalnych możliwych uprawnień i dotarcie do danych, które będą dla przedsiębiorstwa z pewnych względów cenne. Przykładem mogą być dane osobowe klientów, których kradzież może rodzić nie tylko poważne problemy na gruncie prawnym, ale przede wszystkim nieodwracalne straty wizerunkowe.

Jak pokazuje historia, mimo zaawansowanych rozwiązań oferowanych przez firmy specjalizujące się w dostarczaniu rozwiązań z zakresu ochrony dostępu (np. Privileged Access Management), wciąż nie wszystkie podmioty działające na rynku są w stanie skutecznie chronić się przed atakami cyberprzestępców czy działającymi na niekorzyść firmy pracownikami. Tylko w 2018 r.:

• serwis Orbitz zajmujący się rezerwacją lotów i hoteli poinformował, że osoby nieautoryzowane mogły uzyskać dostęp do danych 880 000 kart kredytowych klientów, które były przechowywane na jego platformie,
• Adidas poinformował, że należący do niego amerykański sklep internetowy padł ofiarą ataku, w wyniku którego w niepowołane ręce dostały się dane milionów klientów (dane osobowe, nazwy użytkowników, zaszyfrowane hasła),
• ofiarą ataku polegającego na uzyskaniu nieuprawnionego dostępu padła amerykańska sieć telefonii komórkowej T-mobile. W wyniku incydentu osoby nieautoryzowane mogły uzyskać dostęp do danych osobowych ok. 2 milionów klientów.

W jaki sposób organizacje biznesowe mogą uchronić się przed utratą danych w wyniku działań wewnętrznych i zewnętrznych? Jednym ze sposobów jest skorzystanie z Privileged Access Management i Identity & Access Management.

Czym jest Privileged Access Management?

Celem rozwiązań Privileged Access Management (PAM) jest ochrona i kontrola dostępu do zasobów użytkowników uprzywilejowanych (np. administratora). Inaczej mówiąc, PAM (wraz z niżej omówionym IAM) jest istotnym elementem architektury bezpieczeństwa – utrudnia cyberprzestępcom działania, gdy już przejmą dostęp do kont uprzywilejowanych. Korzystanie z rozwiązania PAM pozwala zabezpieczyć, a także na bieżąco monitorować te obszary i zasoby, które są kluczowe dla działalności firmy. Nie zachodzi też ryzyko, że np. administratorzy firmy po odejściu z jej struktur w dalszym ciągu będą mieli dostęp do haseł. W tym przypadku jedną z głównych ról odgrywa głęboka kontrola uprawnień, a także możliwość systematycznego usuwania nieużywanych kont, aby zminimalizować ryzyko, że zostaną one wykorzystane do ataku na infrastrukturę.

Z kwestiami bezpieczeństwa informatycznego wiąże się również Identity & Access Management (IAM). Privileged Access Management i Identity & Access Management nie są pojęciami tożsamymi. W drugim przypadku mowa o zwykłych użytkownikach, kontrahentach czy klientach, a zatem o osobach, które nie korzystają z kont uprzywilejowanych. Podział ten funkcjonuje nie tylko z uwagi na dostęp do różnych zasobów i danych, ale także z uwagi na liczbę wykorzystywanych na co dzień aplikacji. W przypadku zwykłych użytkowników jest ona z reguły mniejsza. Skuteczny cyberatak, choć szkodliwy, nie wyrządzi aż tak dużych szkód, jak udany atak na konta uprzywilejowane, które mają dostęp zarówno do danych biznesowych, jak i technicznych.

Wdrożenie zarówno rozwiązania PAM, jak i IAM podnosi bezpieczeństwo informatyczne całej organizacji. Comarch stworzył oprogramowanie Comarch Privileged Access Management, które jest częścią Comarch Identity & Access Management.

PAM – komu dedykowany jest Comarch Privileged Access Management?

Zarówno rozwiązania PAM, jak i IAM mają szerokie zastosowanie – mogą być wdrożone w firmach działających na różnych obszarach rynku, w tym w bankowości, ubezpieczeniach, telekomunikacji czy opiece zdrowotnej. Skorzystać z nich mogą również sektor publiczny i instytucje rządowe. Warto przy tym pamiętać, że w ostatnich latach na ataki szczególnie narażone są te podmioty, które dysponują dużą ilością danych klientów, np. placówki medyczne i organy administracji samorządowej.

Wspomniany Comarch Identity and Access Management ze względu na modułową budowę może zostać wykorzystany w firmach o różnej wielkości. Nie ma przeszkód, aby zastosować go w organizacjach o wspomnianej strukturze rozproszonej, których oddziały znajdują się w różnych częściach świata. Także firmy współpracujące z zewnętrznymi kontrahentami, którzy z uwagi na specyfikę zlecenia muszą otrzymać dostęp do systemów organizacji, powinny rozważyć wdrożenie rozwiązania PAM i IAM. Oprogramowanie Comarch PAM może działać samodzielnie lub jako moduł Comarch IAM. W drugim przypadku ochrona jest kompleksowa, obejmując wszystkie typy kont.

Mimo że Comarch Identity and Access Management i Privileged Access Management mogą być stosowane bardzo szeroko, to największe korzyści z ich wdrożenia odniosą firmy przetwarzające dane osobowe i wrażliwe. Powodem jest dostosowanie Comarch IAM i PAM do unijnego rozporządzenia RODO. Do naruszenia danych osobowych klientów może dojść na różne sposoby, w tym również w wyniku zewnętrznego lub wewnętrznego ataku na infrastrukturę IT. Co więcej, wspomniane rozporządzenie przewiduje szereg obowiązków dla administratorów danych. Klienci mają m.in. prawo do bycia zapomnianym (na podstawie art. 17 ust. RODO) choćby wówczas, gdy zebrane dane nie są już potrzebne do realizacji celu, w jakim zostały przekazane[4].

Jakie korzyści płyną z wykorzystania Privileged Access Management?

Wykorzystanie rozwiązań PAM oznacza konkretne korzyści dla klientów biznesowych. Wdrożenie Comarch Identity and Access Management i Privileged Access Management przekłada się m.in. na:

• redukcję kosztów. Następuje ona poprzez centralne przyznawanie dostępu i zarządzanie tożsamością wszystkich użytkowników, czyli zarówno pracowników, kontrahentów, jak i klientów;
• zarządzanie dostępem i tożsamością. Administratorzy mogą przyznać np. kontrahentom dostęp do określonych zasobów, a także ograniczyć dostęp do wybranych godzin czy dni. Dzięki automatyzacji możliwe jest też zmniejszenie liczby błędów;
• możliwość zastosowania wielopoziomowych schematów akceptacji. Jest to szczególnie istotne wówczas, gdy pracownik prosi dostęp do nowych zasobów;
• możliwość przekazania obowiązków. W tym przypadku możliwe jest też przypisanie innemu użytkownikowi uprawnień w wybranym okresie;
• zasada pojedynczego logowania. Po zalogowaniu się użytkownika do usługi sieciowej, automatycznie otrzymuje on dostęp do wszystkich aplikacji.

Dodatkowo Comarch Identity and Access Management wykorzystuje różne metody identyfikacji i uwierzytelniania. W zależności od potrzeb organizacji mogą to być m.in. statyczne i maskowalne hasła, tokeny kryptograficzne lub uwierzytelnianie z wykorzystaniem biometryki (odcisk palca).

Comarch Privileged Access Management, działający samodzielnie lub jako moduł Comarch IAM, rejestruje aktywność administratorów, zarządza ich przywilejami i zapewnia logi w postaci tekstowej lub graficznej ze wsparciem OCR. Dzięki rozwiązaniom umożliwiającym wykrywanie zagrożeń w czasie rzeczywistym, Comarch PAM podnosi bezpieczeństwo zasobów firmy, powiadamiając osoby odpowiedzialne o przypadkach naruszeń predefiniowanych reguł.