Obecnie pracownicy korzystają z rozmaitych urządzeń, łączą się z różnych miejsc z zasobami korporacyjnymi. W związku z tym poleganie wyłącznie na ochronie każdego urządzenia i konta, które może łączyć się z systemami firmy, jest nie tylko trudne, ale często katastrofalne, ponieważ atakujący przechodząc przez jedne drzwi zyskują dostęp do całego „królestwa”.

Dlatego coraz częściej wspomina się o stosowaniu zasady Zero Trust, opartej na przekonaniu, że każdy użytkownik, urządzenie oraz adres IP uzyskujący dostęp do zasobów stanowi zagrożenie dla bezpieczeństwa firmowej sieci i danych. Dopóki nie udowodni, że jest inaczej.

– Sam fakt, że ktoś przebywa w budynku, nie upoważnia go do tego, aby mieć dostęp do ważnych rzeczy i miejsc, które się w nim znajdują – obrazowo mówi Anshu Sharma, CEO Skyflow, startupu zajmującego się projektowaniem systemów bezpieczeństwa IT.

Liczne przykłady pokazują, że cyberprzestępcy mogą uderzyć z dowolnego miejsca, a napastnicy wcale nie muszą być wytrawnymi hakerami, aby osiągnąć zamierzony przez siebie cel. W Darknecie za niezbyt wygórowane sumy można znaleźć narzędzia służące do przeprowadzania różnego rodzaju ataków, w tym także ransomware. Nie bez przyczyny niektórzy przedsiębiorcy zaczynają powątpiewać w skuteczność stosowanych od lat technologii i rozwiązań. Nowym batem na hakerów ma być właśnie koncepcja Zero Trust. Przyjęcie takiej linii obrony wymaga zmiany wielu wielu warstw zabezpieczeń.

Jedną z kluczowych kwestii jest dodanie uwierzytelniania wieloskładnikowego na kontach firmowych oraz ograniczenie do niezbędnego minimum użytkownikom oraz systemom dostępu do zasobów i infrastruktury. Dobrym pomysłem jest również umieszczenie najbardziej wrażliwych danych w jednym miejscu, zamiast rozrzucać je po różnych bazach danych firm. Tyle teoria, a jak wygląda to w praktyce?

Częściową odpowiedź na to pytanie przynoszą wyniki badań przeprowadzonych wśród 185 amerykańskich firm przez TeleGeography. Wynika z nich, że 35 proc. respondentów wdrożyło w ubiegłym roku jeden lub więcej elementów zabezpieczeń typu Zero Trust (ZTS) i Secure Access Service Edge (SASE) w 2021 r. Co ciekawe, blisko 100 proc. ankietowanych, którzy przyjęli ZTS, zastosowało uwierzytelnianie wieloskładnikowe MFA (Multi-Factor Authentication). Poza tym uczestnicy badania wymieniali regułę pojedynczego logowania (single sign-on), zasady dostępu zdalnego użytkowników i urządzeń oraz zarządzanie dostępem uprzywilejowanym. Natomiast znikomy odsetek badanych wykorzystywał oprogramowanie do analizy zachowania użytkowników.

Zdaniem analityków TeleGeography do postępującej adaptacji modelu Zero Trust w znacznym stopniu przyczynił się wzrost liczby zdalnych pracowników. Warto też zauważyć, że wśród decydentów rośnie świadomość odnośnie do nowej koncepcji bezpieczeństwa. O ile w 2019 r. zasady Zero Trust znało zaledwie 8 proc. badanych, o tyle w roku ubiegłym ten wskaźnik wyniósł już 20 proc.

Mali ufają bardziej

Jednym z rozwiązań wspierających administratorów w realizacji zadań związanych z weryfikacją tożsamości jest uwierzytelnianie wieloskładnikowe. Według większości specjalistów systemy MFA powinny stanowić nieodzowny element rozwiązań bezpieczeństwa IT. Uwierzytelnianie wieloskładnikowe wymusza na użytkowniku, który chce dostać się do strzeżonych zasobów, co najmniej dwuetapową weryfikację (2FA). Nie wystarczy samo podanie hasła i loginu. W przypadku bardzo zaawansowanych systemów elementów weryfikacji może być znacznie więcej niż dwa.

MFA stanowi dodatkowe zabezpieczenie kont użytkowników. Takie rozwiązanie daje niemal 100-procentową pewność, że każdy, kto uzyskuje dostęp do informacji firmy i loguje się do jej systemów, jest naprawdę tym, za kogo się podaje. W ten sposób w dużym stopniu minimalizujemy ryzyko włamania niepowołanych osób do uprzywilejowanych kont. Jednak należy podkreślić, że odnotowano już przypadki, kiedy hakerzy potrafili oszukać system MFA.

Adaptacja MFA w większych firmach oraz instytucjach postępuje stosunkowo szybko, czego nie można powiedzieć o segmencie MŚP. Jak wynika z raportu Cyber Readiness, sporządzonego na podstawie badań przeprowadzonych wśród małych i średnich firm z Ameryki Północnej, Australii, Azji oraz Europy, zaledwie 28 proc. respondentów wymaga stosowania MFA na swoim oprogramowaniu, sprzęcie i urządzeniach sieciowych.

– Wśród małych i średnich firm 2FA jest bardzo rzadko spotykanym rozwiązaniem. Myślę, że na polskim rynku z uwierzytelniania wieloskładnikowego korzysta z niego mniej niż jedna czwarta. Co nie zmienia faktu, że administratorzy bardzo pozytywnie reagują na 2FA, gdyż używają go w życiu prywatnym. Inaczej wygląda to w przypadku dużych przedsiębiorstw, gdzie tego rodzaju zabezpieczenia są stosowane znacznie częściej niż w segmencie MŚP – tłumaczy Kamil Budak, Product Manager Senhasegura w Dagmie.

Nie ulega wątpliwości, że upowszechnienie się MFA na rynku konsumenckim sprzyja adaptacji MFA w małych i średnich firmach. Szefowie chętniej wydadzą pieniądze na coś, co nie jest dla nich czarną magią, ale zwykłą czynnością wykonywaną przynajmniej kilka razy w tygodniu.

Natomiast z punktu widzenia rodzaju aplikacji oraz kont wymagających uwierzytelniania wieloskładnikowego, na szczycie listy Cyber Readiness znalazły się bazy danych (45 proc.), a następnie oprogramowanie finansowo-księgowe i HR. Inne usługi wymagające pomocy MFA obejmowały konta w mediach społecznościowych, programy do obsługi poczty e-mail i kalendarzy, jak też aplikacje zwiększające wydajność oraz zdalny dostęp.

Użytkownicy mogą korzystać z różnych metod MFA. Firmy biorące udział w badaniu Cyber Readiness najczęściej wymieniały: powiadomienia push na telefon lub alternatywny adres mejlowy (29 proc.), jednorazowe hasła (28 proc.),urządzenia bazujące na tokenie (15 proc.), automatycznie generowane kody (12 proc) czy biometrię (7 proc.).

Artykuł Nigdy nie ufać, zawsze weryfikować pochodzi z serwisu CRN.

Koncern inwestycyjny Thoma Bravo nie zwalnia tempa przejęć. Tym razem poinformował o zakupie Forgerock, firmy specjalizującej się w rozwiązaniach IAM (identity and access management). Finalizacja transakcji wartej 2,3 mld dol. jest spodziewana w 2023 r.

Amerykański dostawca działa od 2010 r. Jak twierdzi, ma ponad 1,3 tys. klientów w 50 krajach.

W 2021 r. Forgerock osiągnął 177 mln dol. przychodów, a w 2022 r. spodziewa się 206 – 212 mln dol., co oznacza średni wzrost o 18 proc. r/r. Udział SaaS przekracza 50 proc. rocznego obrotu. W br. firma oczekuje natomiast straty netto (non-GAAP).

Wydłużył się cykl sprzedaży

„Tożsamość pozostaje najwyższym priorytetem dla każdej nowoczesnej organizacji” – komentował wyniki II kw. br. Fran Rosch, CEO Forgerock.

Jednocześnie wskazuje na niekorzystne trendy makroekonomiczne i wydłużenie cyklu sprzedaży w dużych przedsiębiorstwach w tym roku. Wartość adresowalnego rynku ocenia na 71 mld dol.

Forgerock to kolejny zakup Thoma Bravo w tym roku. W ostatnich miesiącach został przejęty Anaplan za 10 mld dol., Sailpoint za 6,9 mld dol. oraz Ping Identity za 2,8 mld dol.

Thoma Bravo należy do największych grup inwestycyjnych, która interesuje się szczególnie dostawcami rozwiązań cyberbezpieczeństwa. W jej portfolio są m.in. Sophos, Imperva, Veracode, a do niedawna była Barracuda, sprzedana w sierpniu firmie inwestycyjnej KKR.

Artykuł 2,3 mld dol. za specjalistę IAM pochodzi z serwisu CRN.

Zapotrzebowanie na IAM (Identity and Access Management) w kolejnych latach będzie spowodowane, jak się przypuszcza, kilkoma czynnikami. Wskazuje się na coraz częstsze przypadki naruszeń bezpieczeństwa i oszustw związanych z tożsamością, większą świadomość konieczności zarządzania zgodnością w organizacjach oraz potrzebę IAM w systemach IoT.

Pozytywny trend będą wzmacniać zjawiska widoczne na całym rynku, takie jak coraz większe wydatki na cyberbezpieczeństwo oraz popularność chmury. To pomoże w przejściu od tradycyjnego IAM na chmurowe usługi zarządzania tożsamością i dostępem. Kolejne czynniki wzrostu to coraz większa integracja technologii, takich jak sztuczna inteligencja, uczenie maszynowe, blockchain i biometria – wskazuje raport.

„Korzyści te tworzą ogromny popyt”

Dane ujmują zarówno rozwiązania, jak i usługi. Analitycy prognozują, że do 2027 r. rozwiązania będą miały większy udział w rynku. Pomagają one firmom wdrażać odpowiednie zasady bezpieczeństwa we wszystkich systemach, platformach, aplikacjach i urządzeniach.

„Korzyści te tworzą ogromny popyt na rozwiązania IAM” – twierdzi MarketsandMarkets.

Wyjaśnia, że wzrost liczby naruszeń danych zmusza przedsiębiorstwa do przyjmowania scentralizowanych rozwiązań bezpieczeństwa, co zwiększa popyt na rozwiązania i usługi IAM. Covid-19 spotęgował wyzwania związane z zarządzaniem tożsamością cyfrową. Badanie przeprowadzone przez Imprivata ujawniło, że aż 71 proc. organizacji stosuje ręczne procesy zarządzania tożsamości, co z kolei powoduje podatność na różne oszustwa i kradzież tożsamością. W związku z tym może nastąpić gwałtowny wzrost tempa wdrażania rozwiązań IAM w firmach.

Artykuł „Ogromny popyt” dzięki korzyściom. Wzrost o blisko 100 proc. pochodzi z serwisu CRN.

Zresztą dane uwierzytelniające należą do najchętniej kupowanych „towarów” w tzw. ciemnej stronie sieci. Cyberprzestępcy mogą je nabywać tak samo, jak konsumenci zaopatrują się w Internecie w ubrania czy kosmetyki. Poza tym hakerzy, zdobywając dane uwierzytelniające do konta, często otwierają sobie drogę do innych serwisów, bowiem większość użytkowników zazwyczaj posługuje się tylko jednym, uniwersalnym hasłem. Dodatkowy problem stanowi niedocenianie napastników – wielu osobom wydaje się, że cyberprzestępcy siedzą przed komputerem i podsuwają mu różne ciągi znaków. W rzeczywistości hakerzy posługują się specjalnym oprogramowaniem wykonującym niewiarygodną liczbę prób na minutę. Dlatego tak ważna jest edukacja użytkowników, którą powinni prowadzić zarówno producenci, jak też integratorzy. Kiedy właściciele firm, a także ich pracownicy, lepiej zrozumieją podstawowe reguły dotyczące bezpieczeństwa, będą bardziej skłonni ich przestrzegać.

Przeszkody na drodze hakera

Dostawcy systemów bezpieczeństwa toczą wojnę z hakerami na kilku frontach i cały czas starają się uprzykrzyć im życie, co rusz wprowadzając kolejne rodzaje zabezpieczeń. Jednym z takich  przykładów jest uwierzytelnianie wieloskładnikowe, które wykorzystuje w trak-cie logowania dodatkowy etap weryfikacji użytkownika. Najczęściej jest to wpisanie jednorazowego kodu wysłanego przez usługodawcę za pomocą SMS-a albo hasła generowanego przez aplikację mobilną lub dane biometryczne, takie jak zapis linii papilarnych placów, obrazu tęczówki czy wizerunku twarzy.

Wprawdzie wymienione metody ograniczają ryzyko wycieku danych, ale nie dają stuprocentowej gwarancji bezpieczeństwa. W przypadku większości systemów uwierzytelniania dwuskładnikowego (2FA), zgubienie, kradzież bądź naruszenie urządzenia pozwala hakerowi osiągnąć swój cel. Tak naprawdę bowiem 2FA nie uwierzytelnia osoby, lecz urządzenie, co eksperci określają czasami jako „przybliżenie tożsamości”. Nie jest to wyłącznie teoria i można przytoczyć wiele przykładów naruszenia zabezpieczeń 2FA. W ten sposób zhakowano chociażby konto Jacka Dorseya, CEO Twittera – w tym przypadku skończyło się na opublikowaniu kilku nieprzyjemnych informacji. Zdecydowanie mniej szczęścia miała giełda kryptowalut Binance, która straciła na skutek podobnego incydentu 7000 bitcoinów. Jedną z najczęściej stosowanych metod przez napastników jest tzw. SIM-swap. Oszuści zdobywają od operatora sieci komórkowej duplikat karty SIM z numerem telefonu ofiary i zanim ta się zorientuje i podejmie odpowiednie działania, uzyskują dostęp do jej konta bankowego. Innym sposobem jest instalacja na smartfonie malware’u, który podszywa się pod znane legalne programy i śledzi działania użytkownika, w tzw. międzyczasie przesyłając dane – w tym SMS-y – do urządzenia kontrolowanego przez hakera. Nieco trudniej jest pokonać zabezpieczenia biometryczne, ale niestety nie jest to niemożliwe.

Pokaż swoją twarz

Obecnie najczęściej stosowanym sposobem uwierzytelniania opartym na biometrii jest rozpoznawanie linii papilarnych. Wraz z debiutem iPhone’a X z funkcją Face ID znacznie wzrosła także popularność rozwiązań identyfikujących tożsamość na podstawie analizy twarzy. W modelu X kamera wyświetla ponad 30 tys. niewidzialnych punktów, tworząc mapę głębi twarzy osoby, którą następnie analizuje, jednocześnie rejestrując jej obraz w podczerwieni. Zdaniem ekspertów jest to rozwiązanie zaawansowane i trudne do sforsowania przez hakerów. 

Funkcja rozpoznawania twarzy znajduje zastosowanie nie tylko w smartfonach Apple’a czy Samsunga, ale również w wielu innych systemach identyfikacji. Co oczywiste, cyberprzestępcy nie zamierzają składać broni i podejmują działania, które mają na celu przechytrzenie mechanizmów służących do wykrywania tożsamości. Według Johna Spencera, dyrektora ds. strategii w Veridium, firmie zajmującej się identyfikacją biometryczną, aby sfałszować zdjęcie, wcale nie trzeba sięgać po zaawansowane oprogramowanie. Jednym z najczęstszych sposobów oszukania systemu identyfikacji twarzy jest wydrukowanie zdjęcia czyjejś facjaty i wycięcie oczu, a następne użycie fotki jako maski. Z kolei analitycy Experian przewidują, że oszuści będą coraz częściej tworzyć „twarze Frankensteina”, wykorzystując sztuczną inteligencję do łączenia cech twarzy różnych osób w celu stworzenia nowej tożsamości, aby w ten sposób oszukać systemy identyfikacji.

Zdaniem Pawła Rybczyka, Territory Managera CEE/CIS w Wallixie, wszystko wskazuje na to, że firmy zaczną zmierzać w kierunku wieloskładnikowego uwierzytelniania opartego na wykorzystaniu wielu różnych sensorów – czytników linii papilarnych, kamer, a także potwierdzaniu tożsamości w oparciu o analizę zachowania użytkownika. O sukcesie poszczególnych rozwiązań zadecydują dostępne narzędzia komercyjne oraz ich przewidywalność.

Zdaniem integratora

IAM: pierwszy krok w kierunku kontroli dostępu

Ostatnimi czasy działy IT znajdują się pod bardzo dużą presją. Z jednej strony wynika to ze zmasowanych cyberataków, zaś z drugiej, różnego rodzaju regulacji wymuszających na firmach oraz instytucjach specjalną ochronę danych. W takiej sytuacji ciężko jest polegać na ręcznych i podatnych na błędy procesach przypisywania i śledzenia uprawnień użytkowników. Z odsieczą przychodzą w tym przypadku rozwiązania do zarządzania tożsamością i dostępem IAM (Identity and Access Management). Ich zastosowanie pozwala kontrolować dostęp do krytycznych informacji. IAM oferuje możliwość pojedynczego logowania z dowolnego urządzenia, a także realizację mechanizmów uwierzytelniania dwuskładnikowego i wieloskładnikowego czy zarządzanie dostępem uprzywilejowanym. Technologie te zapewniają również możliwość bezpiecznego przechowywania danych dotyczących tożsamości i profilu. 

– Wdrożenie IAM wydaje się być zasadne, o ile wcześniej przeprowadzona zostanie segmentacja i inwentaryzacja zasobów. IAM to podstawa, od której należy rozpocząć planowanie i wdrażanie procesów związanych z granularną kontrolą dostępu – tłumaczy Piotr Bartman, System Engineer w Veracomp – Exclusive Networks. 

Wprawdzie wśród wielu informatyków panuje przekonanie, że IAM jest rozwiązaniem przeznaczonym dla dużych firm z zasobnym portfelem, ale w rzeczywistości technologia ta sprawdzi się w firmie każdej wielkości. Zresztą systemy do zarządzania tożsamością i dostępem mogą być oferowane w modelu subskrypcyjnym w dwóch odmianach – uwierzytelnianie jako usługa lub tożsamość jako usługa (IDaaS). W obu przypadkach usługodawca bierze na siebie ciężar uwierzytelniania i rejestracji użytkowników, a także zarządzania ich informacjami.

– W przypadku ograniczonych zasobów finansowych czy personalnych, outsourcing to zdecydowanie korzystna opcja. Dodatkowo mamy gwarancję bezstronności w zarządzaniu systemem wrażliwym dla organizacji, choć klient musi mieć kontrolę nad usługodawcą. Nie bez znaczenia jest doświadczenie dostawcy we wdrażaniu procedur czy w analizie procesów – przekonuje Rafał Barański, prezes zarządu braf.tech.

W modelu usługowym klient, poza rozwiązaniem informatycznym, dostaje dostęp do wiedzy eksperckiej na temat wdrażanego narzędzia. Gdyby chciał zapewnić sobie podobną jakość usługi we własnym zakresie, przy często ograniczonych zasobach wewnętrznych, wiązałoby się to z długim i kosztownym procesem. Tak czy inaczej, wraz z szybkim rozwojem i tempem cyfrowego biznesu, działy IT dostrzegają rosnące znaczenie IAM. Analitycy Gartnera przewidują, że wartość rynku zarządzania dostępem sięgnie 19 mld dol. w 2024 r., w porównaniu z 13,7 mld dol. w tym roku.

Administratorzy pod lupą

Administratorzy IT mają dostęp do najbardziej poufnych informacji, takich jak korespondencja e-mailowa, lista płac czy treści zawieranych umów. Poza tym mogą bez trudu dezaktywować zabezpieczenia IT – antywirusy, firewalle czy narzędzia do backupu. Niestety, zdarza się, że szerokie uprawnienia i możliwości ingerencji w infrastrukturę IT prowadzą do poważnych nadużyć. Chyba najbardziej spektakularny jest tutaj przykład Edwarda Snowdena, który ujawnił na łamach prasy kilkaset tysięcy poufnych, tajnych i ściśle tajnych dokumentów NSA. Podobne sytuacje, choć oczywiście na dużo mniejszą skalę, mają miejsce w wielu firmach oraz instytucjach.

Dlatego też firmy oraz instytucje wykazują rosnące zainteresowanie rozwiązaniami, które umożliwiają kontrolę nie tylko pracy administratorów, ale również firm świadczących outsourcing IT. Gartner zwraca na szczególną uwagę na rolę, jaką spełniają w tym zakresie systemy kontroli dostępu uprzywilejowanego PAM (Privileged Access Management). Zdaniem analityków tego typu narzędzia będą w ciągu najbliższych dwóch lat tematem numer jeden w sektorze bezpieczeństwa IT. Gartner na przykład prognozuje, że wielkość globalnego rynku systemów PAM osiągnie w 2024 r. wartość 2,9 mld dol., co stanowi wzrost o 50 proc. w porównaniu z rokiem 2018. W bieżącym roku ma to być 2,2 mld dol., co oznacza wzrost o 16 proc. w stosunku do roku poprzedniego.

PAM-y ułatwiają nadzór nad sesjami uprzywilejowanymi oraz monitorowanie i zarządzanie uprzywilejowanymi kontami. Najwięcej kłopotów mają z tym duże organizacje, które korzystają z wielu serwerów, komputerów i innych podobnych zasobów. Nic więc dziwnego, że mechanizmy PAM już od dłuższego czasu znajdują zastosowanie w instytucjach finansowych a także w przemyśle. Niewykluczone również, że w najbliższym czasie dołączą do tego grona nieco mniejsze podmioty gospodarcze. Przedsiębiorstwa świadczące outsourcing IT zazwyczaj mają dostęp do newralgicznych danych klienta. Gdyby doszło do kradzieży informacji, PAM odnotuje takie zdarzenie i dostarczy dowody dokonania przestępstwa, które będą niezwykle istotne podczas ewentualnej rozprawy sądowej.

– Wdrożenie PAM tylko w tym zakresie jest w naszym przypadku bardzo proste i nie zajmuje więcej niż jeden dzień roboczy. Uruchomienie rozwiązań IAM jest natomiast traktowane często jako drugi etap projektu dotyczącego zarządzania tożsamością w organizacji. Tego typu rozwiązania wymagają od klientów dużo więcej przygotowań – tłumaczy Paweł Rybczyk.  

Dostawcy systemów IAM czy PAM są na ogół zgodni, że istnieje już w Polsce grupa integratorów, którzy posiadają duże doświadczenie w zakresie wdrażania wymienionych produktów. Zresztą same mechanizmy funkcjonowania rozwiązań do zarządzania dostępem i tożsamością nie są zbyt zawiłe i nie stanowią bariery dla integratorów. O wiele trudniejszym zadaniem jest przekonanie klientów do inwestycji w PAM lub IAM. Może się to wydawać dziwne, zwłaszcza, że oba rozwiązania chronią dostęp do bardzo cennych informacji i nie bez przyczyny często mówi się o nich jako o najlepszej formie zabezpieczenia kluczy do królestwa IT.

Zdaniem specjalisty  

Piotr Bartman, System Engineer, Veracomp – Exclusive Networks   

W czasie pandemii zapotrzebowanie na mechanizmy uwierzytelniana wieloskładnikowego znacząco wzrosło. Wynikało to przede wszystkim z przejścia na pracę zdalną. Większa świadomość w zakresie nowoczesnych mechanizmów kontroli dostępu oraz łatwość ich wdrożenia sprawiły, że wiele firm zastosowało te technologie na potrzeby swoich pracowników. Nie zmienia to faktu, że w tym zakresie pozostało jeszcze wiele do zrobienia. Bankowość, ubezpieczenia, instytucje rządowe czy służby mundurowe to sektory, w których mechanizmy uwierzytelnienia wieloskładnikowego stały się standardem. Duże rezerwy tkwią nadal w rynku MŚP, gdzie większe znaczenie odgrywają koszty. W tym przypadku mechanizmy MFA są częściowo wdrażane, o ile wykorzystywane platformy bezpieczeństwa oferują tego typu możliwości.

  

Monika Olesiejuk, VP of Client Success, Digital Fingerprints  

Wszystkie rozwiązania oparte o biometrię są uważane za najbezpieczniejsze metody uwierzytelniania. Jednak bardziej wnikliwa analiza pokazuje, że z tym bezpieczeństwem nie jest wcale tak kolorowo. Wprawdzie nasze cechy biologiczne są niemal unikatowe, aczkolwiek da się je dość prosto odwzorować. Dla przykładu linie papilarne można zastąpić zdjęciem kciuka, tak samo jak naszą twarz – zwykłą fotografią. Kiedy już dojdzie do kradzieży tożsamości, to pojawia się ogromny problem, bo nie jesteśmy w stanie zmienić linii papilarnych czy tęczówki. Nieco inaczej sprawa wygląda przy biometrii behawioralnej, czyli wzorcach zachowań, które są analizowane pod kątem wszelkich uchybień i anomalii. Są one stale modyfikowane i dopracowywane za pomocą uczenia maszynowego i dostosowują się do zmian zgodnych z naszym zachowaniem.

  

Kamil Budak, Product Manager Senhasegura, Dagma  

Obecnie rozwiązania IAM i PAM, dzięki rozbudowie ich funkcjonalności, stają się rozwiązaniami all-in-one, jak też mogą być użyte w różnych środowiskach. Kluczowe jest tutaj słowo „kontrola dostępu”. Dlatego wszystko zależy od potrzeb przedsiębiorcy. To on sam określa, kto ma korzystać z danego rozwiązania. Czy każdy pracownik? Czy tylko administrator? A może dostęp powinna posiadać jedynie aplikacja, którą ma łączyć się z inną aplikacją? W każdym razie, śledząc trendy w bezpieczeństwie IT widoczne w zachodniej Europie, mogę już teraz wysnuć tezę, że już niebawem również w Polsce systemy do zarządzania kontroli dostępu będą stanowić kluczowe elementy cyberbezpieczeństwa każdej średniej firmy.

  

Artykuł Klucze do królestwa pod specjalnym nadzorem pochodzi z serwisu CRN.

Według raportu IBM Security w 2017 r. na całym świecie wyciekło ponad 2,9 mld rekordów – niemal 25 proc. mniej niż rok wcześniej. Statystyka na pierwszy rzut oka wygląda dość obiecująco, niemniej jednak jej autorzy podkreślają, że spadek jest rezultatem przedefiniowania strategii hakerów, którzy mocniej skoncentrowali się na atakach ransomware. Wspólny element większości skomplikowanych cyberataków stanowi zdobycie przez przestępców danych uwierzytelniających do kont użytkowników uprzywilejowanych. Potwierdzają to wyniki sondażu przeprowadzonego w 2017 r. przez firmę Thycotic, w którym 31 proc. hakerów wskazało konta uprzywilejowane jako najszybszy i najłatwiejszy dostęp do wrażliwych danych. Na drugim miejscu respondenci wymieniali konta e-mail (27 proc.), a na trzecim komputery (21 proc.). Natomiast według analizy Forrestera ok. 80 proc. incydentów kradzieży informacji odbywa się za pomocą przejęć kont pracowników.

Ważna linia obrony

Człowiek od lat jest najsłabszym elementem systemu bezpieczeństwa. Mimo wielu akcji edukacyjnych ludzie wciąż popełniają te same błędy. Niestety, w dużej społeczności zawsze znajdzie się osoba, która coś zlekceważy, zapomni lub przeoczy. Co gorsza, przechwycenie jednego rekordu pracownika może spowodować efekt domina i doprowadzić do wycieku milionów profili gromadzonych w firmowych bazach danych. Systemy uwierzytelnienia tworzą pierwszą linię obrony przed niefrasobliwymi lub celowo działającymi na szkodę przedsiębiorstw pracownikami. Jednak firmy stosunkowo rzadko sięgają po tego typu rozwiązania. Istnieje liczne grupa przedsiębiorców kompletnie niezainteresowanych uwierzytelnianiem.

– Twierdzą, że nie potrzebują tego typu produktów – mówi Marta Zborowska, Sales Director w Connect Distribution.|

W jaki sposób do nich dotrzeć i zmienić ich sposób myślenia?

– Niektóre firmy poważnie traktują rekomendacje organizacji Center of Internet Security zalecającej uruchomienie weryfikacji dwuetapowej, czyli 2FA lub uwierzytelniania wieloskładnikowego, a więc MFA, w każdej aplikacji biznesowej. Najczęściej przedsiębiorstwa zaczynają od rozwiązań 2FA, które następnie aktualizują do MFA. Dopiero w kolejnych etapach rozważają wdrożenie systemów IAM oraz PAM – tłumaczy Marcin Gryga, IT Security Architect w netology.

Kluczową kwestą wydaje się dobór rozwiązania adekwatnego do potrzeb i możliwości finansowych potencjalnego nabywcy. W mniejszych firmach proces nadawania uprawnień i zarządzania tożsamością jest dość prosty i nie wymaga zastosowania specjalistycznych narzędzi.

– Klienci zamiast tokenów sprzętowych często wybierają aplikacje na smartfony. Dużą popularnością cieszą się też rozwiązania w chmurze, bowiem nie wymagają instalowania kolejnego urządzenia w firmowej serwerowni – utrzymuje Michał Jarski, VP EMEA w Wheel Systems.

Niemniej jednak skala trudności związanych z zarządzaniem tożsamością niewspółmiernie wzrasta w przypadku większych przedsiębiorstw. W sukurs przychodzą dostawcy systemów Identity & Access Management, które zapewniają podstawowe funkcje związane z dostępem użytkowników do zasobów informatycznych, takich jak aplikacje, bazy danych, zasoby pamięci masowej i sieci. Według MarketsandMarkets globalne przychody ze sprzedaży IAM w 2021 r. osiągną 14,8 mld dol. Dla porównania w 2016 r. przekroczyły nieznacznie 8 mld dol. Analitycy przewidują, że skumulowany roczny wskaźnik wzrostu w latach 2016–2021 wyniesie 13 proc.

Eksperci od zabezpieczeń nie ukrywają, że wdrożenie IAM rozwiązuje tylko część problemów z zarządzaniem dostępem. Najbardziej łakomym kąskiem dla hakerów, co pokazują m.in. wyniki cytowanego wcześniej badania Thycotic, są użytkownicy mający uprzywilejowane prawa dostępu. Do tego ekskluzywnego grona wchodzą zazwyczaj administratorzy IT, informatycy oraz serwisanci. Ich wiedza, a także niemal nieograniczone możliwości w zakresie penetrowania sieci i pamięci masowych, mogą zagrażać bezpieczeństwu przedsiębiorstwa.

Receptą na zminimalizowanie ryzyka jest zainwestowanie w system Privileged Account Management. Oprogramowanie wspomaga monitorowanie i zarządzanie kontami o specjalnych uprawnieniach oraz umożliwia nadzór nad sesjami uprzywilejowanymi. Jeszcze do niedawna były to niszowe produkty – w 2016 r. przychody na globalnym rynku PAM nie przekroczyły miliarda dolarów. Ich przyszłość rysuje się jednak w jasnych barwach. Firma badawcza MarketsandMarkets prognozuje, że sprzedaż PAM w latach 2016–2021 będzie rosnąć w tempie 30 proc. rocznie. Ciekawe są też spostrzeżenia analityków Gartnera. Ich zdaniem do 2020 r. ponad połowa incydentów naruszających bezpieczeństwo usług IaaS oraz Paas będzie efektem braku rozwiązań PAM oraz odpowiedniej polityki bezpieczeństwa w zakresie użytkowników uprzywilejowanych.

Czego nie lubią hakerzy?

Dostawcy produktów do zarządzania tożsamością oraz zindywidualizowanym dostępem liczą, że polski rynek zacznie się bardziej otwierać na tego typu rozwiązania. Nadzieje opierają zwłaszcza na nowych ustawach (RODO, PCI DSS), a także na narastającej fali wycieków danych spowodowanych kradzieżą haseł.

– 62 proc. zgłoszonych naruszeń bezpieczeństwa to ataki na punkty końcowe. Kiedy ich zabezpieczenia zostaną pokonane, hakerzy mogą dostać się do uprzywilejowanych kont i zdobywać dodatkowe uprawnienia umożliwiające penetrowanie sieci i wykradzenie najważniejszych informacji firmowych – twierdzi Marta Zborowska.

W wielu przypadkach tradycyjne systemy bezpieczeństwa, takie jak firewalle i antywirusy, nie stanowią poważnej przeszkody dla cyberprzestępców pragnących uzyskać dostęp do najważniejszych danych. 43 proc. hakerów biorących udział w badaniu Thycotic uznało oprogramowanie antywirusowe oraz antymalware za najmniej efektywne i najłatwiejsze do sforsowania rodzaje zabezpieczeń. Z kolei 30 proc. palmę pierwszeństwa w tej niezbyt chwalebnej kategorii przyznało firewallom. Za najcięższe do przejścia przeszkody ankietowani uznali wielostopniowe uwierzytelnianie (38 proc.) oraz szyfrowanie (32 proc.).

Rozwiązania do wielostopniowego uwierzytelniania cieszą się rosnącym zainteresowaniem użytkowników. Wartość tego segmentu rynku w 2016 r. wyniosła na świecie nieco ponad 5 mld dol., a w 2022 r. ma nieznacznie przekroczyć 12 mld dol. Oczywiście prym w tym zestawieniu wiedzie autoryzacja dwuskładnikowa, w której oprócz loginu należy podać także dodatkowy kod, np. otrzymany SMS-em. Jednak firmy zaczynają też stosować rozwiązania do wielopoziomowej weryfikacji tożsamości. W takim systemie zabezpieczeń po podaniu nazwy użytkownika i hasła wykorzystywane są inne narzędzia do identyfikacji – tokeny, urządzenia biometryczne, certyfikaty lub karty magnetyczne.

Pokaż swoją twarz

Mimo rozwoju nowych technologii użytkownicy najczęściej korzystają z haseł tekstowych, a siła przyzwyczajenia jest na tyle duża, że nie ma co liczyć, iż szybko z nich zrezygnują. Jednak tradycyjne narzędzia muszą być wspierane innowacyjnymi metodami autentykacji. Dlatego rośnie popularność biometrii wykorzystującej indywidualne cechy człowieka: odciski palców, kontury dłoni, geometrię i obraz twarzy, wzór siatkówki lub tęczówki oka, próbki głosu itp. Jednak nie są to rozwiązania gwarantujące stuprocentowe bezpieczeństwo. Specjaliści od cyberochrony często prezentują na konferencjach możliwości oszukania czytników korzystających z biometrii. Na razie nie udało im się pokonać jedynie urządzeń skanujących układ żył, ale naukowcy i programiści nie ustają w wysiłkach, aby wyeliminować słabe punkty rozwiązań biometrycznych. Rozwijana jest biometria behawioralna umożliwiająca identyfikację człowieka na podstawie jego zachowań.

– Pracujemy nad metodami, które będą wykrywać zmiany zachowań wynikające z przemęczenia, pracy w stresie, szantażu albo siłowego przejęcia stanowiska pracy. Wszystko po to, aby przeciwdziałać w czasie rzeczywistym zarówno nadużyciom i włamaniom, jak i zwykłym pomyłkom – wyjaśnia Michał Jarski.

Obiecujące są też próby użycia, w procesach uwierzytelniania, bardzo modnej ostatnio technologii blockchain.

– Myślę, że może się ona sprawdzić w weryfikacji tzw. śladu audytowego lub autentyczności danych biometrycznych. Choć dziś trudno przewidzieć, w jakim kierunku podąży rynek – przyznaje Marcin Gryga.

Podane przykłady świadczą o ogromnym potencjale rynku systemów uwierzytelniania i kontroli dostępu. Potwierdzają to producenci rozwiązań ochronnych.
– Obserwujemy rosnące zainteresowanie systemami do kontroli i uwierzytelniania dostępu do danych wśród dużych firm, dojrzałych informatycznie. RODO zainicjowało przyspieszony kurs w tym zakresie i należy się spodziewać, że wzmożony popyt na wspomniane rozwiązania pojawi się ze strony średnich firm – twierdzi Bogdan Lontkowski, dyrektor regionalny Ivanti na Polskę, Czechy, Słowację i kraje bałtyckie.

Warto zatem zdobywać nowe kwalifikacje i certyfikaty, aby włączyć się do walki o segment rynku, na którym w najbliższych latach przewidywany jest znaczny wzrosty obrotów. Oprócz wiedzy technicznej przydadzą się też umiejętności sprzedażowe, bowiem wielu polskich przedsiębiorców nieufnie podchodzi do tematu autentykacji.

Artykuł Systemy autentykacji: wyjście z cienia pochodzi z serwisu CRN.