Hvordan Privileged Access Management øger sikkerheden

• PAM øger it-sikkerheden gennem konstant overvågning af følsomme data og just-in-time og just-enough begrænsning af adgangsrettigheder.
• Implementering kræver ekspertise og en omfattende analyse af IT-systemerne og hele sikkerhedsarkitekturen.
• Når PAM bruges korrekt, minimerer det risici, understøtter rapportering, skaber større gennemsigtighed og hjælper med at opfylde compliance-krav.

Ud over adgangs til data for almindelige brugere er der  også konti med meget omfattende tilladelser til medarbejdere, der er ansvarlige for at administrere systemer eller tilgå følsomme data. Hvis en af disse konti kompromitteres, kan der hurtigt opstå store skader. Privileged access management (PAM) hjælper med at beskytte disse kritiske konti på en effektiv måde. I dette indlæg kan du finde ud af, hvordan PAM fungerer, hvordan det implementeres, og hvilke forholdsregler en virksomhed bør tage.

PAM er en moderne form for identitetsstyring. Den bruges af to hovedårsager: For det første fordi det øger sikkerheden for kritiske data ved at reducere risikoen for tyveri af legitimationsoplysninger, sikre data og opdage angreb, før der sker skade. En undersøgelse foretaget af Gartner viser, hvor vigtigt det er. Ifølge undersøgelsen kan omkring 70 procent af alle relevante sikkerhedshændelser spores tilbage til kompromittering af privilegeret adgang.

Desuden kan det være nødvendigt at bruge PAM for at opfylde compliance-standarder eller tilsvarende krav. PAM-løsninger skaber også ikke editerbaree revisionsspor, der beviser, at de nødvendige adgangskontroller er på plads og er effektive.

I PAM-sammenhæng er privilegerede konti/ brugerkonti, der har omfattende adgangsrettigheder til data, systemer og services.

Det mest oplagte eksempel på en privilegeret konto er administratoren, som skal have adgang til alle systemer. Men der er også konti, som har fuld adgang til data, fordi deres brugere er en del af ledelsen, konti til brugere, som administrerer applikationer og derfor skal have adgang til særlige administrationsgrænseflader, eller konti til brugere, som har adgang til følsomme data som betalingsoplysninger, sundhedsdata osv. De får alle tildelt rettigheder af virksomheden. De får alle udstedt adgange af virksomheden, som har flere rettigheder end standardbrugere.

PAM kan implementeres enten som Software-as-a-Service eller med lokale IT-ressourcer. I begge tilfælde er det nødvendigt med en omfattende tilgang til styring og kontrol af konti, adgang, systemer, tjenester og processer. Der anvendes en zero-trust-arkitektur, som fordeler adgangsrettigheder i henhold til princippet om laveste rettighed. Det betyder, at al adgang konstant kontrolleres, og at hver bruger kun kan få adgang til de data, de rent faktisk har brug for til at udføre deres opgaver.

Implementeringen af en PAM-arkitektur bør omfatte følgende trin:

• Identificer privilegerede konti: Det første skridt er at afgøre, hvem der har brug for adgang, der går ud over en standardbrugers rettigheder. Her skelner man normalt mellem to grupper: Brugere, der skal have adgang til følsomme oplysninger, og it-administratorer, der skal administrere systemer og tjenester.
• Evaluer risici: Når de nødvendige brugere er defineret, skal der foretages en risikovurdering for hvert sæt rettigheder.
• Implementer kontrolforanstaltninger: Systemer skal være forberedt på at begrænse og overvåge privilegerede konti. Metoder til at opnå dette forklares nedenfor.
• Kontrollerne vedrører ikke kun konti eller brugere. Det skal også være muligt at tildele passende rettigheder eller begrænsninger til enheder og services.
• Overvågning: Alle medarbejderes aktiviteter på netværket skal overvåges og logges. Disse logdata kontrolleres konstant for usædvanlige aktiviteter eller ændring i brugsmønstre. For at undgå problemer med databeskyttelse skal de indsamlede data så vidt muligt pseudonymiseres.
• Uddan medarbejderne: Når alle kontroller er på plads, skal medarbejderne gøres opmærksomme på vigtigheden af PAM og oplæres i brugen af systemet.

Som en del af en sikkerheds- og risikostyringsstrategi skal et PAM-system give mulighed for at identificere personer, services og systemer, der kræver privilegerede adgangsrettigheder. Disse adgange skal sikres, logges og overvåges. Følgende elementer er nødvendige for at udføre disse opgaver:

• Styring af privilegerede adgangskoder: Automatiseret password management, der tildeler rollebaserede adgangsrettigheder til credentials. Løsninger, der gør det muligt at tildele adgangsrettigheder til følsomme data i en begrænset periode, er ideelle her. Derudover bør systemet også give eksterne partnere eller gæstebrugere mulighed for at tildele (tidsbegrænsede) autorisationer.
• Styring af privilegerede sessioner: Dette er et system, der overvåger og logger adgang til privilegerede konti. Det kan også oprette auditlogs og sessionsoptegnelser for at opfylde compliance-krav.
• Analyse af brug: Et analysesystem registrerer alle aktiviteter og kan derfor opdage ændringer i brugeradfærd på et tidligt tidspunkt.
• Fleksibel tildeling af rettigheder: Systemet registrerer, om brugere med udvidede adgangsrettigheder i øjeblikket har brug for deres privilegier - og nedgraderer disse rettigheder til en lavere sikkerhedsklasse, hvis der ikke er behov for adgang til følsomme data eller systemer. Adgang til kritiske data tilbydes "just in time" og holdes ikke konstant tilgængelige.
• Multifaktor-autentificering (MFA): Alle privilegerede adgange bør kun kunne bruges med et forudgående MFA-login.
• Kontoøkonomi: Privilegerede adgangsrettigheder bør kun gives til brugere, der virkelig har brug for dem. Listen over disse brugere bør kontrolleres regelmæssigt, og de tildelte rettigheder bør justeres i overensstemmelse hermed.

Ved første øjekast ser Privileged Identity Management (PIM) ud til at have mange funktioner til fælles med PAM. Men PIM fokuserer på administration af konti, mens PAM også overvåger og sikrer adgang til ressourcer.

Brugt korrekt kan en PAM ikke kun forbedre kvaliteten af IT-sikkerheden, men også forbedre udarbejdelsen af rapporter og sikkerhedsaudits. Samtidig øger management af adgangsrettigheder gennemsigtigheden for virksomheden selv. Implementeringen af preferred access management er derfor umagen værd overalt, hvor virksomheder arbejder med følsomme data, og hvor tabet af disse data ville forårsage betydelig skade på virksomheden.