Gestão de Capacidades e Comportamentos

Na linguagem do controle de acesso, um sujeito é qualquer ator capaz de agir em um sistema: a conta de um funcionário, um administrador, um terceirizado, uma conta de serviço ou um processo que atua em nome de um deles. As duas palavras do termo fazem perguntas diferentes sobre esse sujeito.

A gestão de capacidades pergunta o que o sujeito consegue fazer tecnicamente. Ela cuida da atribuição, da revisão e da revogação de privilégios: papéis, direitos sobre arquivos e sistemas, permissão para usar mídias removíveis ou instalar software, e elevação administrativa.

A gestão de comportamentos pergunta o que o sujeito tem permissão para fazer. Ela cuida das regras de conduta: uso aceitável de canais e dados, restrições a grupos definidos, condições para interromper ou sinalizar uma ação e as consequências de descumpri-las.

As duas metades se limitam mutuamente. Um sujeito pode ter capacidade de exportar um banco de dados de clientes e, mesmo assim, estar proibido de fazê-lo, porque nenhuma política pode permitir o que a capacidade básica nega. Programas maduros gerenciam o par em conjunto: a capacidade define o teto do dano possível, e as regras de comportamento definem o corredor de ação aceitável abaixo dele.

A maioria dos modelos de ameaça interna descreve o risco como a combinação de motivação, oportunidade e capacidade. Intenções não podem ser lidas, e a oportunidade faz parte do trabalho cotidiano, porque as pessoas precisam acessar dados para usá-los. O fator que se controla diretamente é a capacidade, junto com o comportamento que cerca seu uso.

Reduzir a capacidade não torna um incidente menos provável. Torna o incidente que ocorrer menor, mais lento e mais fácil de ver. Assim, a disciplina fica na ponta preventiva de um programa de ameaças internas: funciona todos os dias, enquanto a detecção é avaliada por eventos raros.

Na prática, o trabalho é um ciclo de vida, e não um bloqueio único. Muitas equipes mantêm os grupos em um serviço de diretório, para que as revisões partam de uma única lista de contas.

A gestão de capacidades e comportamentos é preventiva, e os controles vizinhos cobrem o que ela não enxerga. A gestão de identidades e acessos fornece a infraestrutura: diretórios, grupos e fluxos de aprovação. A análise de comportamento observa a conduta em relação a linhas de base e regras declaradas, e a prevenção de perda de dados (DLP) aplica as regras no nível do conteúdo, independentemente de quem tem o privilégio.

A divisão de funções importa nos dois sentidos. Monitoramento sem limites de capacidade gera alertas sem contenção, pois uma violação confirmada deixa o sujeito apto a repeti-la. Limites sem observação geram contenção silenciosa, porque ninguém percebe quando as regras são testadas. A investigação e a resposta entram quando surge um sinal.

No console da Anexet, os direitos são definidos por grupo de usuários. A aba de privilégios mostra os módulos que os membros do grupo podem abrir, e a visão de direitos indica qual grupo concede cada permissão, então um acesso inesperado pode ser rastreado até a origem.

1 / 2

• 
• 

A gestão de comportamentos começa no papel e termina na aplicação. Uma regra publicada que ninguém aplica cria a aparência de controle, e não o controle:

1. 1

   Definir regras de uso aceitável

   Defina quais canais, dados e ações são normais no trabalho, em uma política que os sujeitos conheçam e reconheçam.

2. 2

   Adicionar restrições técnicas

   Onde o comportamento encontra a capacidade: condições de bloqueio, canais desativados para grupos definidos, quarentena de ações fora da política.

3. 3

   Aplicar consequências previsíveis

   Use sanções proporcionais e aplicadas de forma consistente. A dissuasão depende mais da consistência do que da severidade.

4. 4

   Observar em relação às regras

   Compare o que os sujeitos realmente fazem com o que as regras permitem, para que as violações apareçam como eventos.

5. 5

   Orientar e reforçar

   Treinamento, exemplos claros e reconhecimento de boas práticas moldam a conduta, e não apenas punem sua ausência.

Os modos de falha são previsíveis. Capacidades mais restritas do que o trabalho exige travam tarefas comuns e criam filas de exceções. Se ficam frouxas, acumulam-se em acúmulo de privilégios. Regras de conduta aplicadas seletivamente perdem o sentido mais rápido do que regras inexistentes, porque ensinam que a aplicação é arbitrária.

A observação de comportamento se sobrepõe ao monitoramento de funcionários e herda seus limites legais: proporcionalidade, transparência, limitação de finalidade e, em muitas jurisdições, consulta a representantes dos empregados. Ela reduz o impacto, mas não elimina o risco, por isso os programas a combinam com detecção e resposta.

Comece pelos dados cujo vazamento causaria mais dano e depois mapeie as capacidades e os canais que chegam até eles. Políticas escritas para todos os arquivos e todos os privilégios de uma vez acabam bloqueando o trabalho e são desligadas.

Leitura adicional: Profiling.