A política de segurança de um fornecedor de dados financeiros exigia MFA para todos os acessos, e o fornecedor havia implementado políticas de acesso condicional que restringiam o acesso a partir de intervalos de IP sabidamente de alto risco. Um analista de dados sênior se autenticou na plataforma de dados de produção a partir de um hotel em uma cidade asiática usando sua chave de hardware FIDO2, satisfazendo o requisito de MFA e sem acionar a política de risco baseada em IP, porque o intervalo de IP do hotel não estava sinalizado como de alto risco. O dispositivo que ele usava era o seu laptop pessoal: não registrado no MDM da empresa, não sujeito às políticas de proteção de endpoints da empresa e não gerenciado por nenhum controle organizacional. A sessão baixou um volume significativo de dados financeiros de clientes para o armazenamento local do dispositivo pessoal. A política de acesso condicional do fornecedor havia verificado a força da autenticação e o risco do IP. Não havia verificado o status de gerenciamento do dispositivo, a conformidade do dispositivo nem se o dispositivo que recebia os dados estava sob controle organizacional. O MFA era forte. O acesso condicional era parcial. Os dados foram para um dispositivo não controlado.
O que são, de fato, as lacunas de acesso condicional?
O acesso condicional é um modelo de política de segurança em que as decisões de acesso são tomadas com base em vários sinais contextuais, e não apenas no sucesso da autenticação. As condições avaliadas podem incluir a identidade do usuário, a força do método de autenticação, o dispositivo a partir do qual o acesso é solicitado (gerenciado ou não gerenciado, conforme ou não conforme), a localização de rede da solicitação, a aplicação acessada, o nível de risco do comportamento de login do usuário e a sensibilidade dos dados acessados. Uma política de acesso condicional que avalia todos os sinais relevantes de uma solicitação de acesso toma uma decisão de acesso genuinamente baseada em risco. Uma política que avalia apenas parte dos sinais relevantes toma uma decisão parcialmente informada, que pode permitir um acesso de alto risco que uma política completa bloquearia.
O sinal de conformidade do dispositivo é a dimensão que mais costuma faltar em implantações parciais de acesso condicional. A força da autenticação (MFA) e a localização (risco de IP) são simples de implementar. A conformidade do dispositivo exige o registro no MDM e uma infraestrutura de gerenciamento de endpoints: a organização precisa gerenciar o dispositivo antes de poder avaliar se ele está em conformidade. Organizações que têm políticas de MFA robustas, mas não exigem acesso a partir de dispositivos gerenciados, têm uma postura de acesso condicional que para na barreira de autenticação, sem avaliar em qual dispositivo a sessão autenticada é executada, qual é a postura de segurança de endpoint desse dispositivo ou se ele pode ser apagado remotamente caso dados sensíveis sejam baixados para ele.
O sinal de risco da sessão é a segunda dimensão que costuma faltar. As plataformas de identidade modernas oferecem avaliação de risco em tempo real durante a autenticação, detectando viagens impossíveis (autenticação em Nova York seguida de autenticação em Sydney quinze minutos depois), padrões de credential stuffing, comportamento anômalo de login e outros indicadores de que a sessão autenticada pode envolver credenciais comprometidas. As políticas de acesso condicional que incorporam sinais de risco em tempo real podem bloquear ou contestar o acesso quando o contexto da autenticação sugere o comprometimento de credenciais, mesmo que a autenticação em si tenha sido bem-sucedida. Organizações sem acesso condicional baseado em risco podem estar bloqueando autenticações vindas de intervalos de IP sabidamente maliciosos, enquanto deixam passar as anomalias comportamentais que indicam o comprometimento de credenciais a partir de intervalos de IP legítimos.
- Ausência de imposição da conformidade do dispositivo: acesso condicional que avalia a autenticação e a localização sem exigir dispositivos gerenciados e conformes
- Nenhuma avaliação do risco de login em tempo real: acesso condicional sem sinais baseados em risco que detectem padrões anômalos de autenticação
- Cobertura incompleta de aplicações: acesso condicional aplicado às aplicações principais, mas não a todos os recursos sensíveis
- Isenções para o acesso de fornecedores: políticas de acesso condicional que isentam o acesso de fornecedores e de contas de serviço das condições aplicadas ao acesso de usuários
- Nenhum controle de sessão para o acesso sensível: nenhuma restrição de download ou monitoramento da sessão no acesso a recursos de alta sensibilidade
Por que isso importa
As lacunas de acesso condicional são importantes para TPRM porque determinam se os controles que regem a forma como os funcionários do fornecedor e os próprios usuários internos acessam dados sensíveis são de fato conscientes do risco ou apenas superficialmente conformes. Um fornecedor que confirma a imposição de MFA e políticas de acesso condicional pode ter políticas que atendem à expectativa de conformidade e, ao mesmo tempo, deixam sem governança um risco de acesso significativo, em especial nas dimensões de conformidade do dispositivo e de risco da sessão, que exigem investimento adicional em infraestrutura.
O risco de dispositivos não gerenciados para fornecedores que tratam dados de clientes é uma lacuna específica e com consequências. Quando um funcionário do fornecedor acessa dados de clientes a partir de um dispositivo pessoal, esses dados podem ser baixados para um dispositivo sem proteção de endpoint organizacional, sem capacidade de apagamento remoto, sem DLP para impedir o compartilhamento posterior e sem visibilidade organizacional sobre o que acontece com os dados nesse dispositivo. O evento de acesso passou pela autenticação. Os dados resultantes estão fora de qualquer controle organizacional.
Para profissionais de TPRM, avaliar o acesso condicional exige perguntar sobre todas as condições avaliadas, e não apenas sobre a autenticação e o risco de IP, e perguntar especificamente se a conformidade do dispositivo é uma condição para o acesso a dados sensíveis e se dispositivos pessoais podem acessar ambientes de produção com dados sensíveis de clientes.
Onde a maioria das equipes erra
A falha mais recorrente é equiparar a imposição de MFA a um acesso condicional abrangente. O MFA é uma das condições que o acesso condicional avalia. A conformidade do dispositivo, o risco da sessão e a sensibilidade da aplicação são condições adicionais que uma política de acesso condicional abrangente avalia. Confirmar o MFA sem perguntar sobre as outras condições descreve uma dimensão do acesso condicional, não todas.
- Equiparar a imposição de MFA a um acesso condicional abrangente
- Conformidade do dispositivo não avaliada: se a exigência de dispositivo gerenciado é imposta
- Acesso por dispositivos pessoais não avaliado: se dispositivos pessoais podem acessar os ambientes de produção
- Sinais de risco de login não avaliados: se a avaliação de risco em tempo real é incorporada
- Cobertura incompleta de aplicações: aplicações sensíveis não cobertas pelas políticas de acesso condicional
Como é uma boa prática
Programas maduros de acesso condicional avaliam vários sinais em cada solicitação de acesso a recursos sensíveis (identidade, força da autenticação, conformidade do dispositivo, risco da localização, risco da sessão e sensibilidade da aplicação) e aplicam controles de acesso proporcionais ao perfil de risco da solicitação.
- Exigência de dispositivo gerenciado para o acesso a recursos sensíveis: acesso à produção e a dados sensíveis restrito a dispositivos registrados e conformes
- Avaliação do risco de login em tempo real: acesso condicional baseado em risco que bloqueia ou contesta padrões anômalos de autenticação
- Restrição de dispositivos pessoais para o acesso sensível: ambientes de produção inacessíveis a partir de dispositivos pessoais não gerenciados
- Controles de sessão para dados sensíveis: restrições de download e monitoramento da sessão no acesso a recursos de alta sensibilidade
- Cobertura abrangente de aplicações: políticas de acesso condicional aplicadas a todas as aplicações sensíveis, não apenas às principais
Ferramentas
Acesso condicional: Microsoft Entra Conditional Access, Okta Adaptive MFA
O Microsoft Entra Conditional Access oferece uma avaliação abrangente de sinais para as decisões de acesso: risco do usuário, risco de login, conformidade do dispositivo (a partir do Microsoft Intune), localização, sensibilidade da aplicação e força da autenticação. O componente Identity Protection do Entra gera sinais de risco em tempo real. Para profissionais de TPRM, perguntar se o Entra Conditional Access está configurado com requisitos de conformidade do dispositivo e avaliação do risco de login, e não apenas com requisitos de MFA, é uma pergunta específica sobre a completude do acesso condicional.
Gerenciamento de dispositivos móveis: Microsoft Intune, Jamf, VMware Workspace ONE
As plataformas de MDM fornecem o sinal de conformidade do dispositivo de que o acesso condicional precisa, confirmando que um dispositivo está registrado, atende aos requisitos de segurança e está sob gerenciamento organizacional antes de conceder acesso a recursos sensíveis. Sem sinais de conformidade gerados pelo MDM, o acesso condicional não consegue avaliar a conformidade do dispositivo. Para profissionais de TPRM, perguntar se os funcionários do fornecedor são obrigados a acessar ambientes sensíveis a partir de dispositivos conformes e registrados no MDM é uma pergunta específica sobre o requisito de conformidade do dispositivo.
Desafios de governança
O desafio de governança da completude do acesso condicional é o requisito de infraestrutura. Avaliar a conformidade do dispositivo exige MDM. Avaliar o risco de login exige uma plataforma de proteção de identidade. Avaliar o risco da sessão exige uma infraestrutura de monitoramento de sessões. Cada condição adicional avaliada exige investimento na infraestrutura que gera o sinal. Organizações que investiram em MFA, mas não em MDM ou em proteção de identidade, têm um acesso condicional parcial que reflete seu investimento em infraestrutura, e não uma estratégia de controle de acesso baseada em risco.
- Pergunte quais condições são avaliadas (autenticação, dispositivo, localização, risco), e não apenas se existe acesso condicional
- Pergunte se é exigido um dispositivo gerenciado para o acesso a dados sensíveis
- Pergunte se dispositivos pessoais podem acessar os ambientes de produção
- Pergunte sobre a incorporação de sinais de risco em tempo real
- Pergunte sobre os controles de sessão no acesso a recursos sensíveis: restrições de download e monitoramento
Se você faz parte de uma equipe pequena
Acrescente uma pergunta à sua avaliação de acesso condicional: os funcionários do fornecedor podem acessar o seu ambiente ou os seus dados a partir de dispositivos pessoais não gerenciados e, em caso afirmativo, quais controles se aplicam a esse acesso? Essa pergunta testa diretamente a dimensão de conformidade do dispositivo do acesso condicional, que a confirmação de MFA não aborda. Se o acesso por dispositivos pessoais for permitido sem controles adicionais, a postura de autenticação forte do fornecedor coexiste com o acesso a dados em dispositivos fora do controle organizacional.
- Pergunte se dispositivos pessoais podem acessar o seu ambiente ou os seus dados
- Pergunte quais condições são avaliadas no acesso condicional além de MFA e IP
- Pergunte se a conformidade de dispositivos imposta por MDM é exigida para o acesso sensível
- Pergunte sobre controles de sessão: restrições de download no acesso a dados sensíveis
O que exigir
Pergunte diretamente:
"A sua política de acesso condicional exige que os dispositivos que acessam o seu ambiente de produção e os dados sensíveis de clientes estejam registrados na sua plataforma de gerenciamento de dispositivos móveis e atendam aos seus requisitos de conformidade de dispositivos, ou o acesso pode ocorrer a partir de dispositivos pessoais não gerenciados?"
"Além do MFA e dos controles de localização baseados em IP, que outros sinais a sua política de acesso condicional avalia? Especificamente, ela incorpora sinais de risco de login em tempo real e a integridade do dispositivo?"
O que esperar como evidência
- Documentação da exigência de conformidade do dispositivo: registro no MDM exigido para o acesso sensível
- Inventário de sinais do acesso condicional: todas as condições avaliadas nas políticas de acesso
- Política de acesso por dispositivos pessoais: explicitamente proibido para o acesso à produção
- Documentação dos controles de sessão: restrições de download para dados sensíveis
Um fornecedor que confirma um acesso condicional abrangente deve ser questionado especificamente se um iPhone pessoal na rede Wi-Fi de um hotel consegue acessar a sua plataforma de dados de produção após uma autenticação FIDO2 bem-sucedida. Se a resposta for sim, a política de acesso condicional avalia a autenticação, mas não a conformidade do dispositivo nem o contexto da sessão. A barreira de autenticação é forte. A barreira do dispositivo não existe.
Como comprovar
- Documentação da política de acesso condicional que abranja todos os sinais avaliados
- Evidência da exigência de conformidade do dispositivo
- Política de restrição de dispositivos pessoais
- Evidência de registro no MDM para o acesso ao ambiente de produção
Principal conclusão
A autenticação é a barreira. O acesso condicional é a política que diz que a barreira é necessária, mas não suficiente. Um MFA forte a partir de um dispositivo pessoal em uma rede não confiável, acessando dados sensíveis de produção, é uma autenticação forte com uma governança de acesso fraca: a barreira aprovou a identidade, mas o contexto teria sido reprovado na avaliação de risco que uma política de acesso condicional completa teria realizado. A conformidade do dispositivo, o risco de login e os controles de sessão são as condições que transformam a autenticação de uma barreira em uma decisão de acesso abrangente. Confirmar o MFA descreve uma condição. Perguntar o que mais é avaliado descreve a política. Pergunte o que mais.