Bezpieczeństwo tożsamości w zmieniającym się środowisku IT

Przez długi czas kwestia tożsamości była zaniedbywanym elementem bezpieczeństwa IT. Konta użytkowników, grupy i uprawnienia były niezbędne do funkcjonowania systemów, ale rzadko stanowiły przedmiot strategicznych decyzji dotyczących bezpieczeństwa. Dla wielu organizacji tożsamość zaczynała się i kończyła na usłudze Microsoft Active Directory: centralnym katalogu zaprojektowanym przede wszystkim do uwierzytelniania w sieci korporacyjnej. Bezpieczeństwo miało w dużej mierze charakter uboczny i nie było wyraźnym celem projektowym.

Sytuacja ta uległa zasadniczej zmianie dopiero w ostatnich latach. Chmura, SaaS i praca mobilna sprawiły, że tożsamość przestała być jedynie podstawą administracyjną, a stała się głównym elementem kontroli bezpieczeństwa. Dostęp do aplikacji i danych nie jest już określany przez granice sieci, ale przez to, kim jest użytkownik, w jakim kontekście działa oraz jakie ryzyko wiąże się z tym dostępem. W tym kontekście tożsamość stała się pełnoprawną dziedziną cyberbezpieczeństwa.

Od Active Directory do Entra ID

Microsoft Entra ID odzwierciedla tę ewolucję. Podczas gdy Active Directory koncentrowało się na środowiskach lokalnych, Entra ID oferuje obecnie takie funkcje, jak dostęp warunkowy, uwierzytelnianie wieloskładnikowe i wykrywanie zagrożeń tożsamości. W porównaniu z modelem katalogowym z przeszłości stanowi to wyraźny krok naprzód.

Jednocześnie w praktyce widzimy, że wiele organizacji napotyka ograniczenia. Nie dlatego, że Entra ID jest słaba technicznie, ale dlatego, że została zaprojektowana przede wszystkim z myślą o ekosystemie Microsoftu. Dla organizacji, które w dużej mierze opierają się na standardach Microsoftu, może to być wystarczające. W przypadku większych przedsiębiorstw korzystających z wielu chmur, starszych aplikacji, środowisk OT i różnorodnych wymagań dotyczących zgodności rzeczywistość jest znacznie bardziej złożona.

Ograniczenia pojedynczej platformy tożsamości

W takich środowiskach pojedyncza platforma tożsamości rzadko wystarcza. Zarządzanie tożsamością, zarządzanie cyklem życia, dostęp uprzywilejowany i audyt w wielu stosach technologicznych wymagają szerszego i bardziej wyspecjalizowanego podejścia. Entra ID często pozostaje ważnym elementem, ale nie jest centralną warstwą kontrolną dla całego środowiska.

W rezultacie obserwujemy rosnące zapotrzebowanie na dedykowane rozwiązania tożsamościowe, które działają niezależnie od ekosystemu jednego dostawcy. Platformy takie jak Okta, One Identity, SailPoint i CyberArk pełnią konkretną rolę w dziedzinie tożsamości. Są one wyraźnie zaprojektowane dla środowisk heterogenicznych i lepiej odpowiadają skali oraz złożoności dużych organizacji.

Dzięki przejęciu firmy Intragen, Nomios znacznie wzmocnił swoje portfolio i wiedzę specjalistyczną w tym obszarze. Bezpieczeństwo tożsamości wymaga czegoś więcej niż samej technologii; wymaga ciągłego zarządzania, integracji i egzekwowania zasad. Dlatego tożsamość jest coraz częściej wykorzystywana jako usługa zarządzana. Ponadto opracowujemy własne rozwiązanie do zarządzania tożsamością w Finlandii, skierowane do organizacji o specyficznych wymaganiach dotyczących suwerenności, regulacji lub kontroli operacyjnej.

Zbieżność tożsamości i SASE

Równolegle integracja między platformami tożsamości a rozwiązaniami SASE od dostawców takich jak Palo Alto Networks, Zscaler, Fortinet i HPE staje się coraz głębsza i bardziej dojrzała. Tam, gdzie bezpieczeństwo sieci tradycyjnie opierało się na lokalizacji i adresach IP, egzekwowanie zasad przesuwa się w kierunku tożsamości użytkownika i sygnałów kontekstowych.

Tożsamość i krawędź sieci zbiegają się. Tożsamość określa, komu przyznano dostęp, na jakich warunkach i z jakim profilem ryzyka, niezależnie od sieci czy lokalizacji. W dojrzałej architekturze Zero Trust tożsamość nie jest już tylko jednym z wielu elementów składowych, ale silnikiem napędzającym politykę i egzekwowanie zasad. Bez dojrzałego bezpieczeństwa tożsamości Zero Trust pozostaje modelem teoretycznym.

Konsekwencje dla organizacji

Istotnym pytaniem nie jest to, czy Entra ID nadal odgrywa rolę — bo oczywiście tak jest — ale czy wystarcza jako jedyne rozwiązanie do zarządzania tożsamością. Dla coraz większej liczby organizacji odpowiedź brzmi: nie. Bezpieczeństwo tożsamości wymaga przemyślanych wyborów architektonicznych, specjalistycznych narzędzi i ciągłego zarządzania operacyjnego.