IAM usklađenost: od politike pristupa do dokaza o sprovođenju

IAM usklađenost podrazumeva da organizacija može da dokaže stvarno sprovođenje kontrola identiteta i pristupa nad korisnicima, aplikacijama, infrastrukturom i neljudskim identitetima. Među važnim okvirima su SOX ITGC, PCI DSS v4.0, HIPAA Security Rule, ISO/IEC 27001:2022, NIST SP 800-53 i GDPR, ali svi oni traže više od formalno usvojene politike.

Upravljanje identitetima i pristupom određuje ko čemu pristupa, pod kojim uslovima i koliko dugo. Usklađenost meri da li su te odluke u skladu sa pravilima i da li postoje dokazi koji to potvrđuju. Ključna razlika je između namere politike i njenog izvršavanja u konkretnim sistemima.

Dokumentovana kontrola nije isto što i sprovedena kontrola

IAM platforma može da definiše pravila, dok aplikacije i infrastruktura pokazuju kako pristup zaista funkcioniše. Jaz između njih otvara prostor za neusaglašene naloge, nekontrolisana ovlašćenja i neprijatna iznenađenja tokom revizije.

Poseban problem predstavljaju lokalni nalozi u aplikacijama, servisne akreditive i zastareli sistemi koji nisu potpuno povezani sa centralnim provajderom identiteta. Tromesečni pregled pristupa može formalno proći, a da ne obuhvati takve naloge i tokove autentifikacije.

Dnevnici provajdera identiteta beleže prijavljivanje, ali najčešće ne otkrivaju šta se dešava unutar aplikacije nakon prijave. Zato su telemetrija na nivou aplikacije i infrastrukture važni za dokazivanje sprovođenja, naročito kada napadač koristi legitimne akreditive.

Kontrole koje se ponavljaju u različitim okvirima

Regulatorni i industrijski zahtevi različito opisuju iste temeljne obaveze. Revizori traže dokaz najmanjih privilegija, razdvajanja dužnosti, periodične potvrde pristupa, upravljanja privilegovanim pravima i kontrole životnog ciklusa identiteta.

• Najmanje privilegije: identitet treba da ima samo prava potrebna za svoju ulogu, uz uklanjanje suvišnih ovlašćenja.
• Snažna autentifikacija: MFA i uslovni pristup moraju da važe i za privilegovani i udaljeni pristup, bez lokalnih zaobilaznih puteva.
• Životni ciklus naloga: dodela, izmena i ukidanje pristupa treba da prate događaje zapošljavanja, promene uloge i odlaska.
• Privilegovani pristup: povišena prava treba da budu odobrena, vremenski ograničena i nadzirana.

Neljudski identiteti zahtevaju istu disciplinu. Servisni nalozi i akreditivi automatizacije treba da imaju vlasnika, svrhu, rok važenja i nadzor, jer često nastaju van procesa koje pokreću kadrovski događaji.

Od periodične potvrde do stalne provere

Automatizovano dodeljivanje i ukidanje pristupa na osnovu autoritativnih događaja smanjuje vremenski jaz koji ostavljaju ručni procesi. Evidencija o ukidanju pristupa, potvrde vlasnika, obrazloženi izuzeci i rokovi njihovog važenja pritom postaju deo revizorskog traga.

Međutim, pravilno dodeljen pristup nije trajni dokaz usklađenosti. Kontinuirano praćenje treba da poredi nameravana prava sa stvarnim stanjem i korišćenjem kroz aplikacije i infrastrukturu, kako bi odstupanja bila otkrivena pre sledeće provere.

Priprema za reviziju tada nije rekonstrukcija dokaza u poslednjem trenutku. Za poslovanje je praktičan cilj da kontrole stalno stvaraju proverljive zapise tamo gde se pristup sprovodi, uz pravovremeno otklanjanje odstupanja i jasnu evidenciju zatvaranja svakog nalaza.