Baggrund
PAM-løsningen løser opbevaringen, ikke ejerskabet
En PAM-løsning bliver typisk anskaffet for at få styr på de privilegerede konti. Adgangskoderne opbevares sikkert, roteres automatisk og udleveres gennem en kontrolleret session. Sammenlignet med et regneark eller en delt kodeboks er det et stort skridt frem.
En PAM-løsning svarer på, hvordan en adgangskode opbevares. Den svarer ikke på, hvem der må have en privilegeret konto, hvorfor den blev oprettet, eller hvem der lukker den, når personen skifter rolle eller stopper. I de fleste installationer bliver den fyldt manuelt af den, der har brug for adgangen, og tømt af ingen.
Uden proces
Fire ting, der sker langsomt nok til, at ingen opdager dem
Manglende nedlæggelse melder sig ikke med et brag. Det viser sig som en langsom afdrift, hvor indholdet af PAM-løsningen og virkeligheden i organisationen glider fra hinanden.
- Antallet vokser: konti fra afsluttede projekter, fratrådte medarbejdere og nedlagte servere bliver liggende, fordi oprettelsen var nem, og nedlæggelsen er nogens ekstraarbejde.
- Revisionen vender tilbage: I anskaffede løsningen for at kunne dokumentere kontrol med privilegeret adgang. Kan I ikke vise, hvornår en adgang blev fjernet, står I dårligere end før, fordi forventningen nu er højere.
- Recertificeringen bliver en underskrift: når ingen kan sige, hvorfor en konto blev oprettet, bliver den godkendt igen. Kontrollen findes på papiret og virker ikke i praksis.
- Angrebsfladen flytter sig: en glemt konto har stadig sine rettigheder, og den ligger nu samlet ét sted sammen med alle de andre.
Løsningen
Bestillingen hører hjemme i IGA
En privilegeret konto er en adgang på linje med alle andre. Den skal bestilles, godkendes, have en ejer og et formål, gennemgås med faste mellemrum og lukkes, når grundlaget forsvinder. Det er præcis den livscyklus, en IGA-platform allerede håndterer for de almindelige adgange.
Derfor giver det mening at lade IGA styre livscyklussen og PAM opbevare adgangskoden. IGA ved, hvem der er ansat, i hvilken rolle og indtil hvornår. PAM ved, hvordan en adgangskode gemmes, roteres og udleveres. Kobles de sammen, opstår der ikke længere en privilegeret konto, uden at der ligger en beslutning bag.
I praksis
Fire mønstre, der virker
Mønstrene herunder er bygget hos flere danske organisationer. De ligner hinanden i princippet og adskiller sig i, hvad der udløser oprettelsen.
- Den personlige administratorkonto: medarbejderen bestiller den i IGA, leder og systemejer godkender, og kontoen oprettes automatisk og lægges direkte i PAM-løsningen. Ejeren bruger den gennem PAM uden på noget tidspunkt at kende adgangskoden.
- Servicekontoen: samme flow, men med en navngiven ejer, et formål og en udløbsdato. Når projektet slutter, udløber kontoen af sig selv, medmindre nogen aktivt forlænger den.
- Serverens livscyklus: når en ny server oprettes, oprettes der automatisk en safe med de fælles konti, serveren skal bruge, sammen med de konti, andre systemer har brug for, for eksempel den, jeres CMDB bruger til at holde oplysningerne om serveren opdateret.
- Nedlæggelsen: det samme flow den anden vej. Fratræder medarbejderen, udgår servicekontoen eller nedlægges serveren, forsvinder både tildelingen i IGA og kontoen i PAM-løsningen, uden at nogen skal huske det.
Forudsætninger
Hvad der skal være på plads først
Koblingen hviler på tre ting. En pålidelig kilde til, hvem der er ansat og i hvilken rolle, som regel HR-systemet. En rollemodel, der også omfatter de privilegerede roller, så en bestilling kan godkendes efter en regel frem for en vurdering fra gang til gang. Og en beslutning om, at PAM behandles som et målsystem på linje med de andre systemer, IGA provisionerer til.
Den sidste er ofte den sværeste, fordi PAM-løsningen typisk ejes af sikkerhedsafdelingen, mens IGA ejes af it eller HR. Rollefordelingen bør aftales, før teknikken bygges, og den aftale er værd at få skrevet ned.
Ved I, hvem der lukker kontoen hos jer?
Vi kortlægger de privilegerede konti, beskriver deres livscyklus og lægger en etapeplan, der starter med det, der giver mest sikkerhed for mindst besvær.
