Olá boa noite a todos sejam bem-vindos a essa aula é bom vamos lá né Vamos para o que interessa né hoje a gente vai falar sobre o que é o programa e AM Por que que é o problema gente primeiramente ele é um Framework ele é um processo né de implementação de todas as etapas dos pilares da disciplina de Ian Então eu vou passar aqui um pouco mais para frente para vocês terem essa visão mas assim você tem lá um Pilar e você tem você tem e a m você tem várias atuações dentro desse dentro
desse dessa disciplina né então um programa ele é um Framework A ideia é você conseguir implementar as melhores práticas desse Framework em cada Pilar que você tem para que você tem uma infraestrutura continua segura e você consiga apoiar a estratégia de negócio que é importante um programa de am ele precisa ser ele precisa né avaliar diagnosticar e automatizar os processos gestão de identidade de acesso com confiabilidade integridade e disponibilidade né os três pilares de segurança da informação então assim quando a gente fala de segurança a gente fala que segurança tem que garantir o que confiabilidade
integridade disponibilidade e o programa iam ele tem como objetivo apoiar nesses três itens tá sem sobrecarregar os demais departamentos porque é fácil você simplesmente falar assim olha área de débito você não vai ter mais acesso a fazer mexer no ambiente produtivo porque eu acho que tá errado e você não vai ter mais esse acesso Mas aí você não entendeu um contexto você não entendeu a necessidade da área você não entendeu Às vezes a dificuldade de mão de obra que aquela área tem e você faz um cara derruba um monte de processo então não adianta você
implementar um processo gestão de identidade de acessos que sobrecarregue e prejudique outros departamentos então Esse é um dos pilares aqui do programa que precisa ser atingido é entregar aquilo com segurança confiabilidade integridade e disponibilidade mas sem sobrecarregar e sem descontinar processos importantes da organização do que você trabalha tá o programa ele precisa ser cuidadosamente implementado não dá simplesmente para sair fazer e falar vou implementar aqui acabou e virar inimigos das pessoas né esse é um outro tema que eu falo para vocês a gente precisa fazer amigos a gente vai ser amigo das pessoas a gente
precisa entender as dores das pessoas e aqui para esse programa dar certo você precisa ter esses quilos de relacionamento se você é um piso né aquele cara que vai se relacionar com todo mundo e que vai mostrar para cada um em cada caixinha a importância dele do programa e a ele o que que vai trazer de benefício para cada um não adianta simplesmente falar que é importante com segurança não é importante para segurança Mas por que que é importante para a área dele também para que não tem uma resoluções para que alguém não delete uma
pasta importante né alguns exemplos aqui de construção de acesso tá então é importante que esse programa ele seja cuidadosamente implementado ele precisa ser pensado implementado com cuidado com ele precisa estar casado com board então assim não dá para ficar aí que só embaixo não meu faz um negócio estruturado pega esses Pilares tenta casar dentro da sua companhia apresento isso para o bode fala me dá meia horinha para eu falar aqui o que que esse programa e quais são os benefícios para companhia e vamos trabalhar isso aqui junto comigo mostra esse programa tá então é importante
que isso esteja também comprado com o gerente diretores e funcionários como todo é isso aqui é uma grande movimentação que a gente precisa para conseguir implementar de forma eficiente não é simplesmente implementar gente é eficiente com qualidade Tá bom então isso é um programa e AM e quais são os pilares né então se a gente entrar nos pilares o que que é importante vocês saberem que eu sei que é uma dúvida foi uma dúvida minha e eu acredito que possa ser a dúvida de alguém aqui também onde que fica aí am em segurança da informação
né então você tem um guarda-chuva só para vocês conseguirem contextualizar e a m né ele tá abaixo de um guarda-chuva de segurança da informação então vejam você tem segurança da informação e dentro você tem a m só que aí eu tive redes né do Tim e tudo mais então ele é uma caixinha de segurança da informação então se você pudesse contextualizar isso Imaginem que segurança da informação ela é uma uma disciplina ali né um curso e você tem as disciplinas que uma delas aí aérea tá então só para vocês saberem nós estamos abaixo do guarda-chuva
de segurança da informação assim como todas as outras áreas de segurança tá bom E aí entrando aqui nos pilares de iam Quais são os pilares gente isso aqui é contínuo tá esse Pilar é a base vocês viram que eu falei de itdr falei de Outras aplicações aqui elas estão contidas dentro desses Pilares de alguma forma tá pode ser que daqui dois anos a gente volte e tenha seis coisas 10 coisas abaixo do Pilar de Am Tá mas o que é importante esse aqui é a base do programa isso aqui tem implementado bem estruturado você vai
conseguir ter sucesso em todas as outras tendências em todos os outros problemas que a gente tem com a área e com segurança da informação então o programa ele é formado por esses quatro pilares liga a m e eu vou falar deles aqui daqui a pouco tá então e a m Veja essa é uma outra dúvida que eu vejo que as pessoas têm também e aí ela não é um pilar ela um processo era o que rege o resto tá então quando a gente fala é de de iga de Pan de Sião a gente está falando
automaticamente tia M também então ele não é um pilar ele é a base é com base a partir dele a partir da estrutura dos processos que você tem dentro de am que você cria os outros Pilares você segrega as frentes de Tá bom então quando você fala de Anne você está falando ali automaticamente também diga Pan AM e se é tá ele não é um tema parte ele não é uma coisa segregada ele tá contido em cada uma dessas dessas questões tranquilo Bom vamos lá primeiro Pilar que é o Pilar diga que é o mais
famoso acho que todo mundo aqui já deve ter ouvido falar amiga né então o que que liga basicamente a governança e a administração de identidades tá vejam identidade e acessos são coisas diferentes beleza aqui é uma pincelada do que é o programa mas para frente a gente pode falar com mais detalhes mas é identidade e Acesso aqui a gente está falando de governar e administrar identidades tá então esse Pilar ele é o principal e é o que originou ali as demais variações que a gente encontra de a ele tá então foi ele que a primeira
coisinha ali quando você sai dia m é o que aparece é iga então quando a gente fala diga a gente está se referindo aos processos que auxiliaram as identidades e acesso de funcionários e terceiros a seguir tá a seguir a ter continuidade né Eu trouxe uma Mandala aqui do lado direito onde vocês podem ver os temas que estão relacionados com essa com esses processos que pode auxiliar tá nesse plano A gente não considera identidade de customer de cliente quando a gente fala de identidade de cliente a gente está falando e aí é outro Pilar ele
é um pilar que junta todas as outras aqui que a gente vai falar mas é relacionada a cliente então quando a gente fala diga a gente não fala de cliente beleza nós não estamos falando daquele daquele indivíduo que compra por exemplo no e-commerce que a gente disponibiliza a gente está falando basicamente de funcionários e terceiros da companhia então a gente vai fazer vai falar de todos os processos né e atender todos os processos que estão relacionados a funcionários e terceiros quando a gente fala de liga tá bom então o que que a gente tem perfil
de acessos né então a gente tem a questão de você ter os acessos com base nas funções de cada pessoa da área você tem portal de solicitação de acesso então é um lugar onde as pessoas pedem Você pode ter isso através de um né feito para atender a gestão das identidades né de iga ou você pode ter por exemplo isso não é TSM num Front de TSM que vai ser o Front de solicitação do usuário identificação de privilégios então a ter os privilégios mapeados e que é uma segregação uma caixinha parte de perfil de acesso
perfil de acesso de perfil de acesso privilegiado é um negócio à parte que tem que ter um pouco mais de atenção e que casa com pão que é o próximo Pilar que a gente vai falar que te básico então ter eficiência na liberação de acesso das pessoas né então quando ele É admitido quando ele é movimentado quando ele é desligado quando ele é promovido Então você conseguia atribuir kits de acesso básico para funcionários e terceiros em vários tipos de movimentação ali seja na admissão desligamento ou movimentação revisão de acessos então a famosa revisão de acessos
muita gente faz isso de forma manual muita gente ainda faz isso por Enem mas nós temos ferramentas que fazem isso por exemplo o próprio IDM que é feito para automatizar o processo de revisão de acesso de ferramentas conectadas e desconectadas dentro de uma organização S1 de que é um tipo de controle de acesso né é o mais conhecido urgente mas não tem sócio de você tem outros tipos de controle de acesso por exemplo a baque pebaque né a CL são tipos de controle de acesso Tá só de um dos tipos mais conhecido mas não a
gente não se limita apenas a ele iga também fala de conectores Então você tem uma frente de desenvolvimento em liga hoje com tudo isso que eu te mostrei aqui de tendência não dá para simplesmente ter algo manual não relacional você precisa de conectores você precisa desenvolver essas comunicações com uma ferramenta de DM por exemplo para que isso seja mais fluido tá e a parte de senha sincronismo de senha não é simplesmente trocar uma senha tá gente eu tô falando aqui de senha quando a gente falar digo a gente fala de sincronismo Vejam o quanto é
complexo pensem assim você tem o AD E você tem 5 6 ferramentas algumas com cinco saem nome e outras não aqui tem sim sai não a senha do AD funciona então trocou AD quando ele for entrar na ferramenta vai funcionar também mas aquilo que não tem como que você faz a equalização disso E aí você pode entrar em outros em outros né em outros tipos de Dores quando você fala quando você olha para banco que você tem por exemplo aqui é enfim tem uma série de outras ferramentas né então quando a gente falar de 100
a gente fala de sincronismo é complexo de senha ele você tem toda uma arquitetura para não entrar em looping por exemplo uma troca de senha ou que aquela troca de senha não seja efetiva então quando a gente fala diga de 100 a gente tá falando disso tá bom não é simplesmente a questão da troca da senha Então esse é o piladiga E é isso que a gente trata em iga então quando você tiver falando de uma dessas coisas dessas dessa Mandala aqui é para funcionar esse terceiro está falando de iga tá joia Então esse é
o primeiro Pilar que a gente tem o segundo Pilar é o Pilar de Pan Esse é um tema também que tá super em alta quando a gente fala de credenciais privilegiadas né e dentro do que a gente acabou de ver agora foi muito latente então o que que é o pan né Ele é uma estratégia né uma ferramenta hoje já é uma ferramenta antigamente era uma estratégia agora já é uma ferramenta tem n ferramentas RN desde o princípio se até ferramentas não Open né brasileiras também a gente tem ótimas ferramentas e de fora também mas
ele é basicamente o modelo o canal de Privilégio permanente zero vejam bem privilégio permanente zero então eu tô falando que a pessoa que tem um acesso privilegiado ela não tem o acesso permanente ela tem através né ela consegue ali através de uma plataforma ela consegue através daquela plataforma autenticar temporariamente com um nível privilegiado de acesso mas temporariamente então o que que a gente tem hoje geralmente nas grandes companhias quem não tem ainda uma ferramenta de Pan ou que ainda sofre para implementar você tem geralmente você tem usuário dois modelos ou o pior modelo possível tá
gente que é aquele que você vai criar um usuário uma credencial privilegiada nominal para Micaela lá naquele servidor por exemplo Esse é o pior cenário você tem ali um negócio nominal para o cara dá para ser pior quando você cria um Genérico e compartilha com todo mundo sempre dá para ser pior mas vamos imaginar que ninguém faça isso tá bom ninguém faz isso né Gente pelo amor de Deus ninguém compartilha a credencial né na companhia mas vamos imaginar que essa questão não existe e vamos pelo lado menos Tenebroso Então você tem lá essa essa credencial
E aí o cara tem troca de senha dessa credencial que às vezes não segue a política então ele fica na posse do login da senha e ele troca às vezes quando tem política né ele consegue trocar mas geralmente essa política quando a gente fala de política de troca de senha quando a gente loga no Windows quando a gente tá falando de como nós estamos falando de uma credencial que não longa dificilmente vai aparecer um pop-up na tela falando que ele tem que trocar a senha por mais que ele tenha uma política de senha então muitas
vezes essa credencial privilegiada ela fica com a senha defasada não rola troca da senha porque o cara esquece e a política não dá ele ele estão lá usando e o cara vai ficar com uma senha para sempre ali a mesma né Então esse é o modelo atual que a gente tem nas grandes companhias A grande maioria Quando a gente fala de credencial privilegiada mas quando a gente fala de Pan quando a gente muda essa chavinha uma interface que vai se conectar com as aplicações Então você vai tombar as suas aplicações e as credenciais vai criar
uma credencial vai criar um cofre esse cofre ele vai ter uma credencial e vai ter um alvo dessa credencial que às vezes é um coordenadora de uma área né que que geralmente é responsável por aquele sistema E aí quando essa pessoa precisar desse acesso ela vai entrar nessa plataforma vai pedir aprovação do acesso aquela plataforma e vai autenticar sem login sem senha Quem vai autenticar por trás é o pam de forma temporária né e é inclusive nas ferramentas Mais robustas Você tem tempo a sessão por exemplo fica aberta 8 horas 5 horas você pode fazer
algumas mudanças Mas você deixa limitado a hora né a quantidade de tempo que aquela pessoa pode ficar alogada naquele ambiente com aquela credencial o cara saiu automaticamente o pan faz o rotacionamento daquela senha e ninguém mais sabe né o cara já não sabia porque ele já não consegue ver a senha mas ele faz por segurança aquele rotacionamento também então por isso que é muito importante veja só ele faz tudo automação desse processo de troca de senha ele faz a gestão né ele tem uma plataforma ele sabe quem tá autenticando quem tá vindo por onde está
vindo Você consegue por exemplo ter log né do que foi feito pelo aquele usuário Então você tem uma série de coisas aqui que você consegue fazer inclusive linkar com a ferramenta de monitoramento para garantir que essa credencial Ela tá vindo de um lugar seguro e tudo mais então essa esse é o pan Esse é o Pilar de pan e a gente fala muito dessas questões de implementar soluções de pensar em formas de deixar o cara com acesso zero somente aquilo que ele precisa ter visibilidade das suas credenciais e acessos também tá bom nós temos também
o Pilar de am né access mana então quando a gente fala de am a gente está falando muito para parte 5 Saimon metodologias de autenticação né que permite que o usuário faça login com o único id e senha em qualquer um dos vários sistemas de software relacionados porém Independentes né E que que a gente tem que de exemplos de Federação Federação da Eja quando você consegue federar uma empresa X para conseguir autenticar no seu ambiente para ver o repositório por exemplo você consegue federar ambientes Ou você tem uma empresa de call center você consegue federar
através do ambiente dela federar no seu para que ela consiga autenticar em um ambiente uma aplicação de forma segura você tem autenticações com AD que é o mais comum né então você tem lá uma credencial criada como alguém sendo disponibiliza isso você tem autenticações de recursos de formas de autenticação biometria a gente coloca ele aqui ele tá entre a m entre siam tá entre todas as os temas mas ele fica especificamente aqui se você pudesse fazer um indicador ou alguma coisa do tipo ele teria que vir dessa estrutura deste Pilar Tá bom então entendam que
a m ele trata dessas questões relacionadas ao usuários seja ele funcionários terceiros rpa de serviço então ele pensa ele faz uma arquitetura de todas esses processos de autenticação e por último nós temos aqui o Pilar de Sião tá então lembra que eu falei lá atrás siga trata a função de terceiros ele não trata custo mesmo né Pan também não trata custo também a m ele trata credenciais de serviço de funcionários de terceiros Mas ele também não trata custo Quem trata custo também quando a gente vai falar de clientes sejam eles diretos ou indiretos nós estamos
falando desse ano desse dessa desse Framework dessa construção tá então o que que é o Sean ele faz parte né do sistema gerenciamento de gestão de identidade de acessos mas ele integrativos de usuários né externos Então você tem dois modelos aqui de curso você tem os diretos que são a Imagine que você é uma plataforma de e-commerce que tá vendendo alguma coisa e aí você vai lá naquele botão de comprar e faz uma autenticação com o seu login do Gmail Então esse é um tipo essa é um tipo de plataforma de Sião isso é quando
você entra ali faz uma autenticação com seu gmail Facebook você tá fazendo Você tá usando uma arquitetura de Sião tá E você tem os indiretos que são eu vou tentar contextualizar aqui porque é um pouco complexo isso mas Imaginem que você é um banco e você tem correspondente bancário né que esse correspondente bancário ele é ele terceiriza o trabalho do banco né Vamos imaginar assim só que ele precisa ter acesso ao sistemas internos que funcionários e terceiros também usam só que ele não tá dentro da sua infraestrutura da sua da sua fonte apertativa você não
faz gestão daquele usuário porque quem contrata aquela empresa é um outro CNPJ né Você só faz ele só faz a parceria venda do produto a compra ali a venda do produto para empresa você não precisa fazer gestão daquele cara você não tem que saber quando ele entra quando ele sai Teoricamente porque uma grande vulnerabilidade também e não fazer a gestão desses desses caras que possuem às vezes acessos mais críticos que funcionários tá então esses são os indiretos E aí quando você tem a plataforma de ciência pode aplicar cian para eles também então fazer uma plataforma
de autenticação única Segura que possa vir de outros lugares porque nem sempre vai poder implementar para esse público né então você tem esses dois modelos de Sião também então Sean além de ter essa visão ele trata muito de questões de privacidade e o x e segurança então ele tem uma Tríade de ações que a gente precisa fazer para garantir então ele tem que ter seguro ele tem que ser simples continuo né Não dá para simplesmente implementar algo extremamente complexo vamos imaginar esses indiretos que trazem venda é que trazem algum produto ali que vende em algum
produto na ponta para organização não dá para ser complexo não dá para simplesmente você anunciante o cara não consegue pedir acesso não consegue se autenticar não consegue vender Então isso acaba impactando a empresa também então quando a gente fala assim a gente tem esses dois modelos o primeiro modelo que é o direto que é aquele cara que compra no e-commerce tá muito bem estruturado muito bem implementado hoje em dia mas esses de indiretos ainda não a gente ainda tem uma grande uma grande jornada para ser feita em questões de processo questões de ferramentas que atendem
essas necessidades principalmente do Brasil nós temos algumas particularidades né do nosso mercado que às vezes uma ferramenta stander de não atende então eu vejo que existe uma jornada que a gente tem que começar a implementar e olhar aqui também Então olha que legal dentro do programa iam a gente falou de liga a m se ama vejam coisas com temas diferentes e com impactos diferentes também então você fala com a área de negócio você fala com área técnica você tem que saber de segurança de arquitetura de conformidade de regulatórios né Então a nossa área por isso
que ela tá lá dentro do das principais tendências de segurança né por isso nós somos muito importantes e eu quero que vocês saibam disso aqui com essa aula né estudem é compreendam essas esses pilares do programa iam para que vocês consigam ajudar as organizações e consigam ter um propósito né porque quando eu comecei isso aqui não era porque eu queria ajudar uma organização em si né Eu queria ter um propósito Poxa estudei Tanto fiz tanta coisa e agora tô aqui atendendo um monte de chamada eu não sei porque que eu faço isso então tenham entendam
o programa m e vejam que nós somos um propósito a gente tem um propósito e um propósito muito importante nós temos espaço e devemos né ter espaço para conseguir implementar essa Gama de itens aqui tá e é basicamente isso se vocês tiverem alguma dúvida depois sobre o que eu apresentei quiserem me perguntar alguma coisa Fico à disposição vocês podem me procurar também tá [Música]
