Identity governance (často aj IGA – Identity Governance and Administration) je disciplína, ktorá zabezpečuje, aby každá identita v organizácii mala práve tie prístupy, ktoré potrebuje, a nie viac. Nejde len o technické nastavenie, ale o pravidlá: kto prístup žiada, kto ho schvaľuje, ako dlho platí a kto ho pravidelne kontroluje.

Pod identitou sa myslia zamestnanci, externisti, hostia z partnerských firiem, ale aj servisné účty a aplikácie. Všetky majú svoj životný cyklus a všetky môžu byť zneužité.

Životný cyklus identity: nástup, zmena, odchod

  • Nástup – nový zamestnanec dostane účet a prístupy podľa svojej roly, ideálne automaticky na základe údajov z personálneho systému.
  • Zmena roly – pri presune na iné oddelenie sa staré prístupy majú odobrať, nielen pridať nové.
  • Odchod – účet sa zablokuje a prístupy zaniknú v deň ukončenia spolupráce, vrátane cloudových aplikácií.

Najčastejším problémom je hromadenie oprávnení. Zamestnanec, ktorý za desať rokov prešiel štyrmi oddeleniami, má často prístupy zo všetkých. Prirovnanie: je to ako kľúče od kancelárií, ktoré sa pri sťahovaní nikdy nevracajú.

Prečo na tom záleží

Nadbytočné a zabudnuté prístupy rozširujú možnosti útočníka po kompromitácii účtu a sťažujú vyšetrovanie incidentov. Identity governance zároveň dáva odpoveď na otázku audítora „kto má prístup k týmto dátam a kto to schválil“. Riadenie prístupov patrí medzi bežné bezpečnostné opatrenia, ktoré sa očakávajú aj v rámci požiadaviek odvodených od smernice NIS2. Konkrétny rozsah povinností pre vašu organizáciu je vhodné overiť s odborníkom.

Ako s identity governance začať

  1. Prepojte zdroj pravdy o zamestnancoch (HR) so správou identít.
  2. Definujte roly a im zodpovedajúce balíky prístupov.
  3. Zaveďte schvaľovanie žiadostí s jasným vlastníkom každej aplikácie či dátového zdroja.
  4. Plánujte pravidelné revízie prístupov (access reviews), najmä pri privilegovaných skupinách a hosťovských účtoch.
  5. Sledujte neaktívne účty a automaticky ich deaktivujte.

V prostredí Microsoftu možno časť týchto krokov realizovať priamo v Entra ID. Identity governance je jednou z oblastí, ktoré PosAm hodnotí pri posúdení AD a Entra ID; viac v článku o posilňovaní kybernetickej odolnosti organizácií.

Časté otázky

Aký je rozdiel medzi identity governance a PAM?

Identity governance pokrýva všetky identity a prístupy v celom ich životnom cykle. Správa privilegovaného prístupu sa zameriava na úzku skupinu najsilnejších oprávnení a ich technickú ochranu.

Ako často revidovať prístupy?

Pri privilegovaných a citlivých prístupoch sa bežne volí štvrťročný interval, pri ostatných polročný či ročný. Rozhodujúca je kritickosť dát.

Ak chcete vedieť, ako sú na tom identity vo vašej organizácii, kontaktujte PosAm a začnite posúdením aktuálneho stavu.