Vad är IAM? Förstå identitets- och åtkomsthantering

Identity and Access Management (IAM) är en samlingsbeteckning för de tekniska lösningar, processer och policyer som organisationer använder för att hantera användaridentiteter och reglera användaråtkomst till företagsnätverket. Det övergripande målet för IAM är att skydda affärstillgångar genom att säkerställa att endast rätt användare kan komma åt dem, i rätt sammanhang.

Även om ordet "användare" kan frammana bilder av människor som sitter framför en dator eller tittar på sina mobiltelefoner, är inte alla "användare" människor. Datorhårdvara och Internet of Things (IoT)-enheter måste autentiseras innan de ansluter till ett nätverk. Många applikationer måste autentiseras med andra applikationer eller tjänster för att fungera, till exempel applikationer som gör API-anrop.

Oavsett om det är människa eller maskin, tilldelar ett IAM-system varje användare en unik digital identitet. Denna identitet omfattar inte bara vem eller vad användaren är, utan också nivåerna av åtkomst de ges i system och applikationer. Eftersom användarnas roller vanligtvis förändras under deras liv inom en organisation, är digitala identiteter inte statiska. De måste övervakas, underhållas och säkras så länge användaren har tillgång till nätverket.

IAM-komponenter

I sin enklaste form bör ett IAM-system innehålla:

Lösenordshantering

Eftersom mer än 80 % av framgångsrika dataintrång orsakas av svaga eller komprometterade lösenord, är lösenordshantering kärnan i alla IAM-system. Genom att kräva användning av en lösenordshanterare kan organisationer upprätta och genomdriva stark lösenordssäkerhet i hela organisationen, som att använda starka, unika lösenord för alla konton och säkerställa att lösenord lagras på ett säkert sätt.

Rollbaserad åtkomstkontroll (RBAC)

Lösenordshantering och RBAC kan betraktas som huvudet och nacken i ett IAM-system; Utan den ena kan den andra inte fungera. Medan lösenordshantering säkerställer säkerheten för användarlösenord, kontrollerar RBAC användaråtkomst. Med RBAC kan IT-administratörer begränsa användarnas åtkomstbehörighet baserat på arbetsstationsrollen och upprätthålla minsta privilegieåtkomst, vilket innebär att användare ska ha den minsta åtkomstnivå som är absolut nödvändig för att utföra sina yrkesuppgifter, och inget mer.

Det finns till exempel ingen anledning för alla att ha tillgång till en organisations utvecklingsplattform; Åtkomsten bör begränsas till utvecklare och IT-administratörer. Över hela organisationen kan användare ges skrivskyddad åtkomst till vissa dokument samtidigt som de har fullständiga redigerings- och raderingsprivilegier för andra.

Multifaktorautentisering (MFA)

När ett system eller program skyddas av multifaktorautentisering behöver användaren flera "autentiseringsfaktorer" för att logga in. Vanligtvis är detta något användaren känner till, till exempel ett lösenord eller PIN-kod, samt något de äger, som en nyckelring eller en kod som skickas till sin mobila enhet. eller något som är en del av användarens kropp, till exempel ett fingeravtryck. Detta ger en extra säkerhetsnivå i händelse av att en användares lösenord äventyras; Cyberkriminella kommer inte att kunna logga in utan andrafaktorsautentisering.

Enkel inloggning (SSO) – valfritt

Även om enkel inloggning (SSO) inte är ett krav för IAM, inkluderar många IAM-system det. Enkel inloggning tillåter användare att logga in på flera webbplatser eller molnapplikationer med en enda uppsättning inloggningsinformation. SSO är sessionsbaserad; När en användare väl loggar in på SSO behöver de inte logga in igen under den sessionen.

Men inte alla applikationer stöder SSO, eller åtminstone inte det särskilda SSO-protokoll som en organisation använder. Detta innebär att anställda måste hålla reda på lösenord för webbplatser och applikationer som inte stöder SSO eller deras särskilda SSO-implementering. Av denna anledning är SSO inte den bästa lösningen för alla organisationer.

Fördelar med IAM

Den mest uppenbara fördelen med en robust IAM-lösning är förbättrad säkerhet, särskilt i en post-pandemisk värld där distansarbete är normen, inte undantaget. IAM-system tillåter IT-administratörer att kontrollera användaråtkomst, oavsett var anställda arbetar eller vilka enheter de använder.

Dessutom tillåter IAM också organisationer att ge åtkomst till system till användare utanför organisationen, såsom partners, entreprenörer och leverantörer, utan att kompromissa med säkerheten. Ett robust IAM-system också:

• Förbättrar efterlevnaden genom att kräva att organisationer tydligt definierar sina policyer och procedurer för användaråtkomst, vilket krävs av ett antal efterlevnadsmandat, inklusive HIPAA, Sarbanes-Oxley och NIST-riktlinjer. Många IAM-lösningar tillhandahåller revisions- och rapporteringsverktyg som utformats specifikt för efterlevnadsrevisioner.
• Tillhandahåller bevis på efterlevnad och due diligence i händelse av ett organisatoriskt brott.
• Minska helpdesk-arbetsbelastningen genom att eliminera förfrågningar om lösenordsåterställning och tillåta IT-administratörer att automatisera många rutinuppgifter.
• Driv innovation genom att göra det möjligt för organisationer att på ett säkert sätt utöka nätverksåtkomst till en mängd olika lokala och SaaS-applikationer.
• Förbättra produktiviteten genom att göra det enklare för anställda att komma åt de system de behöver för att utföra sitt jobb och genom att eliminera behovet av att manuellt hålla reda på lösenord.

Även om vissa småföretag kan hitta IAM-lösningar utom räckhåll på grund av budgetbegränsningar, behöver IAM inte vara en dyr ansträngning. Många små organisationer kan uppnå fullständigt skydd med hjälp av en lösenordshanterare, RBAC, MFA och möjligen en SSO-lösning.