Uma empresa de tecnologia para a saúde havia implantado o SailPoint IdentityNow para uma governança de identidades abrangente, cobrindo todos os funcionários internos com provisionamento automatizado, revisões de acesso e gestão do ciclo de vida vinculada a eventos do sistema de RH. Durante uma auditoria de conformidade, os auditores pediram à equipe de governança que demonstrasse a cobertura da governança de identidades para todas as populações de identidades com acesso a sistemas que continham dados de pacientes. O IGA cobria de forma abrangente oitocentos funcionários internos. Ele não cobria as sessenta e três contas de fornecedores e terceirizados também presentes nesses sistemas. As contas de fornecedores eram gerenciadas por uma combinação de uma planilha mantida manualmente, solicitações de provisionamento diretas aos administradores de sistemas e comunicações de revisão de acesso por e-mail enviadas trimestralmente aos gerentes de contas dos fornecedores. A planilha não era atualizada havia quatro meses e listava dezessete contas; o ambiente continha quarenta e três. A revisão trimestral por e-mail havia alcançado uma taxa de resposta de cinquenta e três por cento no último ciclo, o que significa que quase metade das contas de fornecedores não havia sido revisada. O programa de IGA era maduro e abrangente para a população que foi projetado para governar. A população de identidades de fornecedores estava fora do seu escopo e era governada com uma fração desse nível de maturidade.
O que são, de fato, as lacunas na governança de identidades?
A governança de identidades é o programa de políticas, processos e ferramentas que garante que as identidades digitais (contas de usuário, contas de serviço, credenciais de API e outros principais de acesso) sejam criadas de forma adequada, mantidas de forma proporcional e desativadas no momento certo ao longo de sua vida operacional. Os programas de governança de identidades normalmente surgem dos requisitos de gestão dos funcionários internos: provisionar funcionários na contratação, ajustar acessos quando as funções mudam e desprovisionar no desligamento. O modelo de admissão, movimentação e desligamento (joiner-mover-leaver) foi projetado para o ciclo de vida dos funcionários. Sua aplicação a identidades de fornecedores, terceirizados e parceiros costuma ser uma reflexão tardia que produz processos de governança muito mais fracos que os aplicados aos funcionários internos.
O problema da exclusão de populações é a raiz estrutural das lacunas na governança de identidades. As implantações de IGA têm o escopo definido na implementação: a população de identidades que o sistema está configurado para gerenciar, os sistemas de RH com os quais se integra para eventos de ciclo de vida e as aplicações que governa nas revisões de acesso. As identidades de fornecedores normalmente ficam excluídas do escopo do IGA porque não estão no sistema de RH, porque são gerenciadas por um processo de integração diferente ou porque a implantação do IGA ocorreu antes de se reconhecer que as identidades de fornecedores exigiam governança equivalente. A exclusão costuma ser intencional na implementação e acaba ignorada como a lacuna de governança que representa.
O déficit da governança manual é a consequência prática da exclusão de populações. As populações de identidades fora do IGA são governadas por processos manuais: planilhas, comunicações por e-mail, lembretes de revisão baseados em calendário e discricionariedade dos administradores. Esses processos manuais produzem uma governança inconsistente, dependente de esforço e sistematicamente menos rigorosa que a governança automatizada aplicada às populações dentro do escopo do IGA. As revisões de acesso alcançam taxas de resposta menores. Os eventos de ciclo de vida geram ações de provisionamento e desprovisionamento menos confiáveis. Os inventários de contas são menos precisos. A diferença de maturidade de governança entre identidades governadas pelo IGA e identidades governadas manualmente é substancial e aumenta com o tempo, à medida que a população governada pelo IGA se beneficia de melhorias contínuas enquanto a população governada manualmente permanece estática.
- Identidades de fornecedores excluídas do escopo do IGA: processos manuais de governança para populações de identidades fora da cobertura do IGA
- Sem eventos de ciclo de vida acionados pelo RH para desligamentos de fornecedores: o desligamento de fornecedores não está integrado à gestão do ciclo de vida do IGA
- Taxas menores de conclusão das revisões de acesso de contas de fornecedores: revisões de fornecedores por e-mail alcançam taxas de resposta muito menores que as revisões aplicadas pelo IGA
- Imprecisão do inventário de contas: listas de contas de fornecedores mantidas manualmente são muito menos precisas que as listas de contas de funcionários gerenciadas pelo IGA
- Sem detecção automatizada de anomalias para identidades de fornecedores: análise comportamental e pontuação de risco não aplicadas às populações fora do escopo do IGA
Por que isso importa
As lacunas na governança de identidades são importantes para TPRM porque revelam uma diferença sistemática de maturidade de governança entre a forma como um fornecedor gerencia as identidades dos próprios funcionários e a forma como gerencia as identidades da equipe do fornecedor que acessa ambientes de clientes. Um fornecedor com um excelente programa interno de IGA que exclui dele as contas de terceirizados e da equipe de fornecedores tem uma postura de governança de identidades em dois níveis: um nível para a equipe interna, com governança completa, e outro para a equipe externa, com governança manual. A exposição do cliente se dá principalmente pela equipe externa que acessa o seu ambiente, que está no nível de governança mais fraco.
A dimensão dos achados de auditoria também é diretamente relevante. A cobertura da governança de identidades é cada vez mais examinada em auditorias regulatórias, avaliações SOC 2 e revisões de TPRM. Auditores que descobrem que identidades de fornecedores com acesso a dados regulados são governadas por meio de uma planilha atualizada pela última vez há quatro meses, enquanto a população de funcionários internos é governada por um IGA maduro, constatarão uma lacuna de governança significativa, independentemente da maturidade do programa interno. A auditoria trata da proteção dos dados em todas as populações de identidades, e não da maturidade do IGA para as populações que ele cobre.
Onde a maioria das equipes erra
A falha mais recorrente é equiparar a maturidade do programa de IGA à cobertura da governança de identidades. Um IGA maduro que cobre os funcionários internos de forma abrangente e exclui as identidades de fornecedores do escopo tem alta maturidade para a população que cobre e nenhuma automação para a população que não cobre. A pontuação de maturidade descreve a implantação do IGA. A lacuna de cobertura descreve as populações de identidades que ficam fora dela.
- Equiparar a maturidade do IGA à cobertura da governança de identidades
- Exclusão de identidades de fornecedores do escopo do IGA tratada como aceitável
- Governança manual de contas de fornecedores não reconhecida como lacuna de nível de governança
- Precisão do inventário de contas não avaliada separadamente para as populações de fornecedores e de funcionários
- Taxas de conclusão das revisões de acesso não acompanhadas por população de identidades
Como é uma boa prática
Programas maduros de governança de identidades estendem a cobertura do IGA a todas as populações de identidades com acesso significativo a dados sensíveis (funcionários internos, terceirizados, fornecedores e contas de serviço), com pontos de integração adequados para os eventos de ciclo de vida de cada população, aplicação consistente das revisões de acesso em todas as populações e detecção unificada de anomalias que cubra todas as identidades governadas.
- Escopo do IGA estendido às identidades de fornecedores e terceirizados: as mesmas ferramentas de governança para todas as populações de identidades
- Integração dos eventos de ciclo de vida de fornecedores: notificações de desligamento acionam ações de desprovisionamento no IGA, em vez de processos manuais
- Aplicação consistente das revisões de acesso: revisões de contas de fornecedores com os mesmos requisitos de taxa de conclusão que as revisões de funcionários
- Inventário unificado de contas: contas de fornecedores na mesma fonte oficial que as contas de funcionários
- Cobertura de análise comportamental para identidades de fornecedores: pontuação de risco e detecção de anomalias aplicadas a todas as populações de identidades
Ferramentas
Governança de identidades: SailPoint, Saviynt, Omada
Plataformas corporativas de IGA suportam vários tipos de população de identidades (funcionários, terceirizados, fornecedores e contas de serviço), com pontos de integração de ciclo de vida configuráveis para cada um. O módulo de gestão de identidades de não funcionários do SailPoint IdentityNow trata especificamente da governança de identidades de terceirizados e fornecedores, com eventos de ciclo de vida e fluxos de revisão de acesso configuráveis. Para profissionais de TPRM, perguntar se o IGA do fornecedor cobre identidades de fornecedores e terceirizados juntamente com os funcionários internos traz à tona a questão do escopo de cobertura.
Integração com a gestão de fornecedores: ProcessUnity, ServiceNow
Plataformas de gestão de fornecedores com integração ao IGA conectam os eventos do ciclo de vida da relação com o fornecedor (início do contrato, fim do contrato, mudanças de pessoal) aos fluxos de provisionamento e desprovisionamento do IGA. A integração substitui processos manuais de notificação por gatilhos automatizados de ciclo de vida que produzem uma gestão de acessos mais confiável e oportuna. Para profissionais de TPRM, perguntar se o IGA do fornecedor tem integração com o seu sistema de gestão de fornecedores para eventos de ciclo de vida é uma pergunta específica sobre a cobertura da automação.
Desafios de governança
O desafio de governança nas lacunas da governança de identidades é a complexidade de integração para estender a cobertura do IGA a populações que não são funcionários. O ciclo de vida da identidade dos funcionários é bem compreendido: eventos do sistema de RH acionam ações no IGA. O ciclo de vida da identidade de fornecedores não tem um ponto de integração equivalente e claro: a notificação de desligamento de um fornecedor pode chegar por e-mail, por sistemas de gestão de contratos ou simplesmente não chegar. Construir uma automação de ciclo de vida equivalente para identidades de fornecedores exige integrar o processo de gestão de fornecedores ao IGA ou implementar um mecanismo de notificação específico para fornecedores no qual o IGA possa atuar de forma confiável.
- Avaliar o escopo de cobertura do IGA: quais populações de identidades estão incluídas e quais estão excluídas
- Pergunte especificamente sobre a governança de identidades de fornecedores: como as contas de fornecedores são governadas em relação ao programa interno de IGA
- Comparar a precisão do inventário de contas entre as populações de funcionários e de fornecedores
- Comparar as taxas de conclusão das revisões de acesso entre as populações governadas pelo IGA e as governadas manualmente
- Exigir a cobertura do IGA para identidades de fornecedores como padrão de governança do acesso de fornecedores
Se você faz parte de uma equipe pequena
Faça aos seus fornecedores de maior risco duas perguntas que revelam diretamente a lacuna de cobertura da governança de identidades. Primeira: a sua plataforma de governança de identidades cobre as contas de fornecedores e terceirizados que acessam ambientes de clientes, ou essas identidades são gerenciadas por um processo manual separado? Segunda: qual é a precisão do inventário das suas contas de fornecedores, especificamente, quando foi a última vez que vocês conciliaram a lista de contas de fornecedores com as contas efetivamente ativas nos sistemas que esses fornecedores acessam? Essas duas perguntas revelam se a identidade dos fornecedores está no IGA ou em uma planilha, e se a planilha está atualizada.
- Pergunte se o IGA cobre as contas de fornecedores e terceirizados juntamente com as dos funcionários
- Pergunte sobre a precisão do inventário de contas de fornecedores e a data da última conciliação
- Pergunte sobre as taxas de conclusão das revisões de acesso de contas de fornecedores em comparação com as de funcionários
- Pergunte sobre a integração dos eventos de ciclo de vida de fornecedores com o IGA
O que exigir
Pergunte diretamente:
“A sua plataforma de governança de identidades cobre as contas de fornecedores e terceirizados que têm acesso a ambientes de clientes, ou essas identidades são gerenciadas por um processo manual separado, como planilhas e revisões por e-mail?”
“Qual é a precisão do inventário de contas de fornecedores no seu ambiente, especificamente, quando foi feita a última conciliação entre a documentação das contas de fornecedores e as contas efetivamente ativas nos seus sistemas?”
O que esperar como evidência
- Documentação do escopo de cobertura do IGA: populações de identidades incluídas
- Inventário de contas de fornecedores com a data da última conciliação
- Dados de taxa de conclusão das revisões de acesso por população de identidades
- Integração dos eventos de ciclo de vida para contas de fornecedores
Um fornecedor que confirma uma implantação madura de IGA deve ser questionado especificamente se esse IGA cobre contas de fornecedores e terceirizados ou apenas os funcionários internos. A maturidade do IGA para a população que ele cobre não descreve a governança das populações fora do seu escopo. Pergunte quais populações estão no escopo. As que ficam de fora são a lacuna de governança.
Como comprovar
- Documentação do escopo de cobertura do IGA, incluindo identidades de fornecedores e terceirizados
- Registros de conciliação do inventário de contas de fornecedores
- Comparação das taxas de conclusão das revisões de acesso por população de identidades
- Documentação da integração do ciclo de vida de fornecedores
Principal conclusão
O IGA governa as populações que foi projetado para governar. As identidades de fornecedores em uma planilha atualizada pela última vez há quatro meses não estão no IGA: estão na planilha, governadas por quem se lembrar de atualizá-la, revisadas por quem responder ao e-mail trimestral e removidas por quem perceber o desligamento. Quarenta e três contas. Dezessete na planilha. A lacuna de governança é a diferença. Estender a cobertura do IGA a todas as populações de identidades com acesso significativo a dados sensíveis exige o trabalho de integração para conectar os eventos de ciclo de vida de fornecedores às ações do IGA, mas a alternativa é manter permanentemente um nível de governança inferior para as identidades que afetam mais diretamente o risco do cliente.