Como gerenciar solicitações de credenciais compartilhadas sem violar a política de segurança

Nos ambientes de TI atuais, o gerenciamento de credenciais vai muito além das senhas. Os MSPs costumam assumir a frente no gerenciamento de contas privilegiadas, na aplicação de MFA, no gerenciamento de segredos e no tratamento de solicitações de acesso (por exemplo, acesso compartilhado). Neste guia, você vai conhecer um fluxo de trabalho confiável para MSPs lidarem com solicitações de credenciais compartilhadas sem violar as políticas de segurança.

Processo em cinco etapas para gerenciar credenciais compartilhadas

Compartilhar credenciais sempre envolve riscos, mas às vezes é necessário para manter as operações do negócio em andamento, sobretudo em pequenas e médias empresas (PMEs).

Para equilibrar continuidade dos negócios e segurança, veja alguns pré-requisitos que sustentam o processo de validar e tratar as solicitações:

• Políticas de segurança e de controle de acesso claras e por escrito
• Ferramentas de gerenciamento de credenciais ou cofres de senhas (como Keeper ou LastPass)
• Funções definidas para análise e aprovação das solicitações (por exemplo, gerente de serviços ou responsável pelo cliente)
• Um sistema de tickets capaz de registrar e documentar as solicitações de credenciais

💡 Observação: os requisitos variam conforme os sistemas, as políticas e as necessidades do negócio.

Possíveis casos de uso de credenciais compartilhadas

Um cliente pode precisar de acesso elevado, assim como um MSP com uma equipe de técnicos que depende de acesso administrativo compartilhado a vários sistemas. Um fornecedor terceirizado também pode precisar desse acesso para concluir a implantação de um novo sistema ou integração do cliente.

Etapa 1: defina o que é uma solicitação de credencial compartilhada

Estabeleça critérios para determinar quando uma solicitação exige tratamento guiado por política. A maioria das solicitações se enquadra nestas categorias:

• Contas genéricas ou compartilhadas (por exemplo, administrador ou serviço)
• Acesso temporário para prestadores de serviço ou fornecedores
• Compartilhamento de credenciais em sistemas sem suporte a MFA ou SSO

Falhas no controle de acesso costumam começar em procedimentos de escalonamento mal definidos. Garanta que o acesso temporário seja concedido com parcimônia e que os casos de uso sejam classificados de forma única para clientes e partes interessadas internas.

Etapa 2: padronize o fluxo de solicitação

O próximo processo a padronizar é o fluxo de solicitação. Toda solicitação de credencial compartilhada deve seguir o mesmo caminho de aprovação e documentação. Registre informações críticas, como justificativas, ID do solicitante, duração do acesso temporário e todos os serviços ou documentos divulgados.

Mantenha consistência nos processos de solicitação, aprovação e documentação para criar um fluxo seguro e auditável, sem comprometer ativos essenciais.

Etapa 3: aplique aprovação e análise de risco

Antes de conceder acesso compartilhado, avalie o nível de risco e garanta que os responsáveis designados aprovem cada solicitação. Classifique as solicitações como de baixo ou alto risco e mantenha um processo de escalonamento rigoroso e auditável.

Também pode ser necessário um fluxo separado de acesso para fornecedores, conforme as necessidades do negócio.

Para mais dicas sobre gerenciamento de riscos ligados a terceiros, confira este guia sobre avaliação de risco de fornecedores.

Etapa 4: aplique controles às credenciais emitidas

Credenciais compartilhadas precisam de monitoramento e controle contínuos. Essas ações podem ocorrer em diferentes momentos. Por exemplo, dá para usar cofres de senhas para distribuir credenciais com segurança, sem expor as senhas.

O PowerShell, por exemplo, serve para definir um prazo de expiração do acesso temporário. Com NinjaOne, o fluxo de trabalho Configurando a expiração de senhas com PowerShell pode ser implantado em ambientes de TI mais complexos.

Etapa 5: documente e revise o uso de credenciais compartilhadas

Todo evento de compartilhamento de credenciais precisa ser registrado para fins de conformidade e preparação para auditorias.

O ideal é manter em um registro centralizado os dados sobre aprovações, duração e usuários envolvidos (por exemplo, solicitante ou aprovador). Esses logs podem entrar nas revisões periódicas de segurança que avaliam o uso de credenciais compartilhadas.

Além disso, contas compartilhadas inativas ou expiradas devem ser removidas de forma proativa.

Soluções NinjaOne para gerenciamento de credenciais

NinjaOne oferece recursos de gerenciamento de credenciais tanto para usuários quanto para administradores.

• Os técnicos podem usar NinjaOne para acompanhar e gerenciar credenciais.
• Os MSPs podem configurar controles de acesso baseados em função, criar restrições adicionais e até usar o RMM para gerar relatórios ou resumos executivos.
• O suporte de TI pode usar o NinjaOne Remote® para compartilhar acesso seguro entre plataformas.
• Os administradores podem usar o Credential Exchange para repassar credenciais administrativas com segurança.

Como plataforma unificada de gerenciamento de endpoints e segurança, NinjaOne oferece diversas soluções de gerenciamento de usuários para acompanhar, gerenciar e compartilhar credenciais com eficiência, mantendo controles de acesso granulares.

Dito isso, políticas bem aplicadas são a base de um gerenciamento de credenciais eficaz, enquanto um RMM abre espaço para escalar, ampliar a visibilidade e reforçar a conformidade.

Temas relacionados:

• A importância da avaliação de risco de fornecedores
• Proteja os dados da empresa com controle de acesso corporativo
• O que é gerenciamento de segredos? Melhores práticas de segurança de TI
• O que é gerenciamento de credenciais? Definição e melhores práticas
• Como auditar e remover contas de administrador inativas em vários tenants do Active Directory