Segurança corporativa e o princípio do menor privilégio

Quantas vezes não vivemos situações em que um elemento da organização chega para você e diz: ?Preciso de acesso de administrador! Urgente! Vamos, vamos!?. Ele não se dá nem ao trabalho de explicar o motivo pelo qual necessita disso, ele simplesmente quer o acesso. E é urgente. Outro caso clássico é quando um erro está insistentemente ocorrendo e você, como está sobrecarregado de trabalho ou sem tempo hábil para investigar a causa, simplesmente concede todas as permissões a um usuário para ?solucionar? o problema. Neste caso, além de ferir gravemente os princípios da empresa, pode não ter solucionado o problema e sim acabado de criar um.

O princípio do menor privilégio é aquele que preza por delegar somente os privilégios necessários para que um determinado elemento possa realizar sua função na organização. Nesta definição o alvo do princípio é generalizado, por isso pode ser facilmente aplicado a diferentes aspectos da organização. Sua segurança envolve pessoas, processos e tecnologias e deve ser aplicado em todas estas áreas. Acredita-se que esse princípio foi aplicado originalmente pelo Departamento de Defesa dos Estados Unidos em 1970, sendo projetado para limitar o dano potencial de qualquer violação de segurança, seja acidental ou mal-intencionado.

Quando decidimos desenvolver um projeto de sistemas – de banco de dados, de redes etc. – a questão da segurança não pode e nunca poderá ser deixada de lado. A fim de manter um ambiente seguro, é importante aplicar a abordagem de conceder o mínimo de permissões possíveis a qualquer elemento solicitando um recurso. Se um usuário não necessita de tarefas administrativas, este não deverá ser adicionado a um eventual grupo de administradores. Mas por que isso não acontece? Preguiça, pressa, medo de conflitos com os demais colaboradores da organização, ou falta de conhecimento: qualquer uma dessas opções pode fazer com que um profissional de TI não aplique esse valioso princípio.

Ao impor um ambiente mais restrito, os profissionais de TI têm maior controle e conseguem ser mais pró-ativos e menos reativos. Contudo, existem barreiras e é necessário que a organização viva a cultura da segurança de cima para baixo. Por que de cima para baixo? Porque o alto patrocínio é fundamental. Se um executivo do alto escalão dá seu exemplo de concordância com tal princípio, os demais colaboradores serão influenciados de maneira positiva. E, sejamos sinceros, ficam até constrangidos de questionar suas permissões.

Às vezes quem está em determinados cargos insiste em ter direitos administrativos. Os demais usuários também confundem os seus privilégios com seu status dentro da organização e querem os mesmos direitos de outros usuários que executam funções completamente diferentes. O profissional de TI, que é responsável por garantir o princípio do menor privilégio, deve sempre ter o conhecimento de todas as funções que estão sob sua administração para que não conceda acessos indevidos e não comprometa a segurança da organização.

Se você não está familiarizado com qual acesso está permitindo, pode inadvertidamente elevar o acesso do usuário, o que pode significar um risco de segurança. Certifique-se de que você esteja inteirado com o acesso que foi concedido, ou o que esse acesso permite um usuário fazer. Não aplique a tática do ?vamosimbora?: dar todos os acessos e depois ir removendo o que o usuário não estiver utilizando. Nós sabemos que isso não será feito. Os acessos devem ser concedidos de maneira criteriosa de acordo com a função de cada um.

Aplicar o princípio do menor privilégio é uma tarefa árdua a ser cumprida pelos profissionais de TI e deve ser abraçada por todos. Não deve ser vista como peso e sim como um benefício global. Afinal, quem não gosta de trabalhar em um ambiente seguro?

*Max dos Santos é coordenador de sistemas da Arcon ? empresa especializada em serviços gerenciados de segurança.