ELD Engineering consulenza IBM Notes Domino Connections Websphere

Identificazione e autorizzazione all’accesso tramite un processo di Identity and Access management

Pubblicato in Access Management,Applicazioni,Domino,Notes il

In un’organizzazione complessa ed eterogenea gli utenti lavorano su più sistemi, ciascuno con un propria modalità di identificazione ed autenticazione.
La gestione delle richieste di accesso ai diversi sistemi e l’identificazione degli utenti con l’aggiunta della verifica dei livelli di accesso appropriati sono attività molto gravose per gli amministratori.
Spesso (se non sempre) l’amministratore non può sapere se un determinato utente possa o debba accedere ai dati in sola lettura od anche in modifica.
E’ necessario allora far intervenire la persona che è responsabile dei dati o che conosce l’applicazione e può giudicare con cognizione di causa.
In molti casi, per risparmiare tempo, questa procedura non viene seguita e quindi viene accordato all’utente un livello di accesso non congruente alle sue necessità lavorative. Spesso e volentieri tale livello è più alto di quello effettivamente necessario.

Le conseguenze di questi comportamenti normalmente portano a questi effetti:

  • Minore produttività dell’utente (non può portare a termini i suoi compiti per mancanza di accesso corretto ai dati)
  • Maggiori costi di help desk per il supporto agli utenti (chiamate dall’utente per farsi rettificare il livello di accesso)
  • Maggiori costi di amministrazione (l’amministratore deve correggere quanto appena fatto per rettificare i livelli di accesso dell’utente)
  • Compromissione della sicurezza lato utenza. (l’utente ha livelli di accesso troppo alti e può, anche inavvertitamente, compromettere i dati)
  • Difficoltà ad osservare le normative di sicurezza aziendali (le autorizzazioni vengono date a casaccio senza rispettare una regola od un template)

A volte è sufficiente instaurare un processo di autorizzazione che determini se un utente ha l’autorità o meno di gestire alcuni dati ed in che modo.
Con questo semplice accorgimento si ha già un rafforzamento delle politiche che determinano le risorse, accessi o servizi concessi ad un utente.

Tutto questo, ovviamente, non può essere gestito tramite email o peggio ancora telefonate. Deve esistere un processo strutturato che indirizzi queste informazioni in un workflow e ne tenga traccia, registrando al contempo chi e quando ha dato l’apposita autorizzazione. La soluzione migliore è ovviamente avere un’apposita applicazione che mi gestisca il processo.
Da tale processo saranno beneficiati anche gli amministratori di sistema che non dovranno più farsi carico di verificare le richieste degli utenti ed avranno la sicurezza di agire nei binari delle regole aziendali.

Eld Engineering Access Management


Avere sotto controllo e poter verificare lo stato delle abilitazioni è un passo importante

Pubblicato in Access Management il

In questo periodo di attacchi informatici sempre più aziende si preoccupano di implementare la sicurezza dagli attacchi che arrivano dall’esterno. Ma probabilmente non è sufficiente.

Sempre più attacchi (e minacce latenti) arriveranno dall’interno. I dipendenti sono spesso la fonte delle minacce più pericolose.

Queste minacce sono più difficili da identificare, perché i dipendenti utilizzano credenziali utenti legittimate. Possono provocare gravi danni visto che hanno un accesso privilegiato alle informazioni necessarie per il loro lavoro e possono passare rapidamente da un segmento all’altro della rete.

Infatti le persone interne dell’azienda, anche quando non sono animate da cattive intenzioni, potrebbero veicolare vulnerabilità (tramite device Usb o file scaricati dalla rete) tanto quanto dei sabotatori intenzionali.

Basta una persona all’interno dell’azienda che clicca su un link malevolo per portarsi all’interno della rete l’attacco: è sufficiente guardare ciò che succede coi cryptolocker . Una volta attivato, l’attacco non si ferma al disco del proprio pc ma inizia a diffondersi all’interno dell’azienda, specialmente sui dischi di rete condivisi.

Le organizzazioni hanno bisogno di combattere queste minacce dall’interno avendo maggiore visibilità e controllo sui propri sistemi interni, oltre che cercare di rafforzare il perimetro della rete.

Controllare chi e come richiede di accedere alle informazioni ed i dati (nonché alle applicazioni) di natura riservata rende intrinsecamente più sicuri i sistemi aziendali, proteggendo gli stessi sia dalla possibilità che un utente non autorizzato possa accedervi (confidenzialità), sia dalla possibilità che un utente non autorizzato possa modificarli (integrità).

Avere sotto controllo e poter verificare lo stato delle abilitazioni è un passo importante, così come è fondamentale non avere persone con abilitazioni non necessarie . Controllare e ridurre gli accessi alle risorse informatiche diventa così uno dei passi importanti da compiere . Se le persone dell’azienda possono accedere solo alle risorse che effettivamente devono usare (e coi giusti livelli di accesso) diminuiscono i rischi e li si confinano al perimetro di quelli effettivamente necessari all’adempimento delle attività lavorative.