Administración de Perfiles. Antonio Peña Solutions Architect Sun Microsystems, Inc.

Transcripción

1 Administración de Perfiles Antonio Peña Solutions Architect Sun Microsystems, Inc. 1

2 Sun Adquiere Vaau La adquisición va a... > Agrega la administración de perfiles y mejores capacidades de cumplimiento de identidades a la Suite actual de Identidad > Reafirma la posición de Sun como líder en el mercado de Administración de Identidades > Proporciona un modelo de administración de perfiles a todos los productos de Sun > Adicionalmente coloca a Sun en el mercado de GRC en TI Combinando a dos líderes en el mercado de IAM 2

3 Sobre Vaau 7 años 80 empleados Pionero en el mercado de la Administración de Perfiles en la Empresa Expertos reconocidos con una historia probada de records en la implementación Experiencia, Innovación, Liderazgo 3

4 Administración Empresarial de Perfiles Retos Ops de TI y Seguridad Gerentes del Negocio Auditoría y Regulación Administrar el control de accesos a través de la empresa Reforzando y cumpliendo con las regulaciones Adquiriendo y dando acceso de forma oportuna Entendiendo y cuidando los accesos Alineando los objetivos de control a las políticas de seguridad y de acceso Falta de conocimientos de TI para automatizar procesos críticos 4

5 Administración Empresarial de Perfiles Retos (En Resúmen) 1. Sin automatización, el cumplimiento de control de accesos (identidad) requieren de una labor manual significativa > Certificación de Accesos (attestation) > Reforzamiento de la política de Separación de Funciones (SoD) 2. Administrando el acceso (aprovisionamiento) desde el nivel permisos individuales es complicado y susceptible a fallas 3. La información de accesos de TI no siempre es clara por el negocio > El negocio no puede cerrar (sign off) de manera efectiva los accesos > El acceso se otorga de maner inapropiada (leading to proliferation) 5

6 La Importancia de los Perfiles Quién está accesando a qué información y a qué aplicaciones? Quién aprobó el acceso asignado a los usuarios? Cómo se podrían robustecer las políticas de control de accesos? EMPLEADOS ACCESS MANAGEMENT APLS. Y DATOS 6

7 Administración de Perfiles Empresarial El Proceso 1. Automatizar el proceso de certificación > Resolver la pregunta de Quién tiene acceso a qué? > Limpieza de datos de acceso al administrar la información > Incrementar el nivel de cumplimiento (least privilege) 2. Llevar a cabo el análisis de Segregación de Funciones (SoD) > Proporcionar un segundo nivel de acceso a la limpieza de información de accesos > Abordar las necesidades de cumplimiento (SoD) 3. Llevar a cabo el ciclo de vida de la administración de perfiles > Permitir administrar el acceso de una manera más eficiente > De la mano con el aprovisionamiento. Mantener el origen. 7

8 Administración Empresarial de Perfiles Necesidades Inmediatas Proveer de reportes a los auditores sobre lo siguiente: > Quién tiene acceso a qué? > Quién aprobó qué? Automatizar el proceso existente de certificación manual Conectar y simplificar los procesos de control de accesos > Aprovechar el modelo de RBAC > Asignar acceso basado en los perfiles de negocio > Reforzar de manera consistente el concepto del menor privilegio Expander los proyectos de aprovisionamiento para llevar el cumplimiento a aplicaciones importantes Expander los controles del ERP actuales a toda la empresa > Detectar y/o prevenir la Segregación de Funciones dentro y en todas las aplicaciones 8

9 Sun Role Manager Propuesta de Valor Procesos de Control de Acceso Conectados > Mejorar la provisión y reducir la carga de administración de sistemas > Mapear los procesos de negocio y la terminología de TI Mejorar la efectividad en la Auditoria > Mejorar la comunicación entre TI y los auditores > Automatizar los controles adicionales basados en identidad > Recortar el tiempo para llevar a cabo las auditorias Reducir los costos de cumplimiento > Reducir los esfuerzos caros de monitoreo manual y de corrección > Aliviar la carga de cumplimiento regulatorio en el personal de TI y los gerentes del negocio > Bajar los costos externos asociados con el cumplimiento regulatorio 9

10 Sun Role Manager Automatiza y simplifica de manera segura los procesos de cumplimiento regulatorio y los alinea con los motivadores del negocio Ciclo de Vida de Administración de Perfiles y Cumplimiento Regulatorio de las Identidades Beneficios: Conectar los procesos de control de acceso Mejorar la efectividad en la auditoria Reducir los costos de cumplimiento regulatorio Características: Ingeniería de Perfiles Mantenimiento de Perfiles Certificación de Perfiles Certificación de Accesos Reforzamiento de la política de SoD 10

11 Sun Role Manager UNA SOLUCIÓN COMPLETA PARA EL CUMPLIMIENTO SIMPLIFICADO DE CONTROL DE ACCESOS ADMON. DEL CICLO DE VIDA DE PERFILES CUMPLIMIENTO DE IDENTIDAD Role Framework Role Mining Access Certification Policy Enforcement Role Maintenance Role Certification Dashboard/Analytics Activity Monitoring ALMACÉN DE IDENTIDADES BU MODEL APP METADATA GLOSARIO USUARIOS, PRIVILEGIOS, PERFILES, POLITICAS INTEGRACIÓN DE IDENTIDAD Y ADMON. DE ACCESOS EXTRACCIÓN, TRANSFORMACIÓN Y CARGA (ETL) SISTEMAS DE IAM INFRAESTRUCTURA DE APLICACIONES 11

12 Identity Warehouse 12

13 Identity Warehouse Soporte para unidades jerárquicas organizacionales, estructuras de negocio, estructuras de reportes o unidades funcionales Definición de Metadatos para Aplicativos Proceso de importación de usuarios y de privilegios > Desde archivos csv, xml, txt y otros formatos > Desde LDAP y fuentes de ODBC > Desde Sistemas de Administración de Identidades > Usando un ETL Motor de Correlación de Privilegios de Usuario Importación de perfiles actuales y políticas de aplicaciones Soporte a atributos jerárquicos > Grupos > Archivos y Carpetas > Accesos de Read/Write/Modify 13

14 Relación entre los Componentes User Stores P o licy P o licy R o les R oles U ser sto re Has policies P o licy Policies are Assigned to Roles R o les A p p lic a tio n s H a v e U e r S to re s Role M anager Com ponent Relationship R o le s a re A s s ig n e d to U s e r s A p p lication A p p licatio n A pplication has Ow ners / approvers Users are A ssign ed to B U s Application Business Users Business Units 14

15 Administración del Ciclo de Vida de los Perfiles 15

16 Administración del Ciclo de Vida DEFINE REFINE Role Life-cycle Management VERIFY 16

17 Definir Role Engineering Multiple Hierarchies > Ability to define multiple business hierarchies Role Discovery > Support for Top Down and Bottom Up Role Engineering > Ability to mine roles on user entitlements in any platform / database or application > Ability to define roles based on representative / template user Role Design > Support for hierarchical roles > Support for multiple role hierarchies > Support for enterprise and auxiliary roles > Support for Role level Segregation of Duty definition > Support for Roles for Identity Management, Access Management, Federation, Asset Management, etc 17

18 Define Role Engineering Role Entitlement Discovery > Mine / discover entitlements for a role based on the users that have access to the role > Entitlements can be discovered for roles defined by RBACx, defined by some other solution or defined manually > Discover entitlements for any platform / databases or application > Create child roles to manage exceptions > Notify administrators to remove unwanted entitlements from users based on the analysis > Extend the existing role structure to encompass new applications Rule Engineering > Mine for Rules to assign to roles > Discover correlations between user s HR attributes and their roles > Configure existing roles behavior (future expiry) when new roles are assigned to users > Create child roles to manage exceptions > Send s to administrators to remove unwanted entitlements from users based on the analysis > Extend the existing role structure to encompass new applications 18

19 Definición El Proceso Build Entitlement Warehouse Import users from authoritative source Define BU Hierarchy Assign Users to BU Import Application Accounts Organization Heads Executive communication /meetings/demo Determine key stakeholders Determine critical Apps Role Mining Workshop #1 Perform Role Mining on access controlling attributes in Critical Apps Create enterprise role entitlements and memberships based on role mining results Send suggested role entitlements and membership reports to the Business for review Role to User Reports Role Entitlement Reports User Entitlement Reports Prepare for Workshop Present and discuss suggested role entitlements and memberships to the Business Discuss cut-off percentage for including entitlements in each role Discuss changes to enterprise roles with Business Discuss creation of auxiliary / exception roles Discuss segregation of duties Assign role owner Obtain role name approval Finalize Role Membership and Entitlements (Critical App s) Make changes to the role entitlements and membership based on the outcome of Workshop #1 Business reviews the updated Role entitlements and memberships. Obtain business approval on role entitlements and membership, 19

20 Definición El Proceso Entitlement Discovery Workshop #2 Role vs. Actual Scan Review with Business 10 Role Certifications Entitlement discovery to add attributes from additional Apps to the Role Review additional role entitlements with Business Obtain business approval on role entitlements Discuss cut-off percentage for including additional entitlements in each role Obtain role entitlement approval from application owners Demo role certifications Run Role vs. Actual scan Send Role vs. Actual scan report to business for review Follow up with business on creation of any additional exception roles based on review of role vs. actual Obtain feedback and make necessary changes Launch Role owner certifications Role owner certifies role entitlements and membership 20

21 Refine Role Administration Role Approval > Approval on Role Entitlement updates > Role impact analysis > Role security policy violation analysis Roles Expiration > Ability to create temporary roles > Ability to assign roles to users on a temporary basis > Ability to remove roles from users on a future date when new > roles are added Delegated Administration > Ability to update Role Entitlements by Role Owners > Ability to update Role Membership by BU Managers > Ability to delegate roles at any level > Ability to delegate Role to HR attribute (Job Code, Location etc) mapping Role Tuning > Tune roles based on user usage > Tune roles based on user access 21

22 Verify Role Compliance Role Certification > Certification of Role Membership (Role Users) > Certification of Role Entitlements > Certification by BU Managers and Role Owners Role vs. Actual Analysis > Detection of Role vs. Actual discrepancies > Sign off on discrepancies by the compliance group > Role vs. Actual certification Role Segregation of Duty Definition (SoD) > Role SoD support > Preventative and Detective controls for roles 22

23 Identity Compliance 23

24 Identity Compliance Access Certification Periodic certification of user entitlements (access) by business managers and application owners > Managers certify users, roles, user entitlements, and entitlements outside the assigned roles > Data (application) owners certify users access to data components Robust entitlement import and correlation engine > Import and correlate entitlements from any platform, database, or application > Supports granular entitlements for systems that have complex security models for authorization > Glossary translates cryptic access permissions into business friendly terms Automated via Workflow > Ability to send reminder notices and escalations > Reports on approvals/revoke requests for roles > Maintains historical information on users access to various applications Comprehensive certification dashboard for viewing certification status and historical trending analysis 24

25 Identity Compliance Policy Enforcement Enterprise level monitoring of security policies > Segregation of duty (SoD), role vs actual, terminated users with active accounts, and others... > Ability to define rules across any platform / database / application or user s attributes > Support for inter and intra application security policy enforcement > Comprehensive list of best practice segregation of duty controls provided out of box with the solution Exception Life-cycle Management > Complete life-cycle management of an audit issue > Ability to provide a mitigating control for exceptions that are not fixed > Ability to get manager sign off on audit exceptions Comprehensive policy enforcement dashboard for viewing violation status and historical trending analysis 25

26 Identity Manager & Role Manager 26

27 La combinación de las Soluciones Análisis y Definición de Controles basados en Identidad Reforzamiento en Runtime de los Controles de Identidad Users & Accounts Identity Snapshots & Provisioning Audit Trail Role Manager Adm. Ciclo de Vida de Perfiles Cumplimiento Detectivo Roles & Remediations Audit Policies & Rules Identity Manager Adm. Ciclo de Vida de Identidades Cumplimiento Preventivo de Identidades Comprehensive Access Control Compliance 27

28 Por qué Sun? Sun es el proveedor líder como proveedor de infraestructura de identidades Basado en los Negocios > La Identidad es primero un problema de negocio, en segundo de tecnología > Poniendo sobre la mesa, la estrategia de negocio y de TI para entregar procesos de negocio seguros, sevicios y aplicaciones Abierto > Open Source, Open Access, Open Standards > Reduce los riesgos, mejora la transparencia Lo mejor en su Clase > Completo, líder de mercado, altamente modular > Escalabilidad y Desempeño 28

29 Identity Management Suite Access/Federation Manager Single sign-on entre socios Unión de Cuentas Global log-out Identity Manager Provisión Automatizada Administración de Passwords Sincronización de Identidades Auditoria de Identidades Open Directory Server La siguiente generación de Directorios Open source 100% Java Completamente probado y documentado Directory Server Servicios de Directorio Virtualizados Servicios de Seguridad/failover Servicios de Distribución de Infromación Servicios de Sincr. con AD Role Manager Ingeniería de Perfiles Mantenimiento de Perfiles Certificación de Perfiles Cumplimiento Open Single-Sign On Open Source Web Single Sign On Incluye los Servicios de Federación 3+ Billones de Identidades Administradas 29

30 Para Mayor Información Web Page sun.com/identity/rolemanager Identity Insights una membresía para administración de identidades Podcasts & Videos Discusiones y entrevistas por tópicos White Papers soluciones para problemas de negocio 30

31 Gracias Antonio Peña 31