Em 2023, os diretores de segurança da informação (CISOs) e os diretores de gerenciamento de identidade e acesso (IAM) estão investindo pesadamente em soluções de identidade unificada com forte segurança em seu núcleo.
Elas estão fazendo essa mudança porque as soluções de identidade fragmentadas não são mais capazes de proteger o número crescente de usuários, dispositivos, direitos e ambientes - e os custos, riscos e complexidade crescentes resultantes desse crescimento. A identidade atende a vários casos de uso nas organizações: evita riscos de segurança, aquisição de contas e violações de segurança com a autenticação multifator (MFA). Ela proporciona uma melhor experiência ao usuário com recursos de diretório e logon único (SSO) que facilitam o gerenciamento de acesso. A identidade pode fornecer acesso seguro em todo o patrimônio de TI, incluindo dispositivos móveis e aplicativos em nuvem, e acelerar a transformação digital.
Essa tendência em direção a soluções de plataforma de identidade unificada marca um ajuste do padrão dos últimos três anos, que se concentra na autenticação forte do funcionário remoto e amplia a segurança em todos os componentes de identidade. Os CISOs, os especialistas em segurança e as equipes de TI afirmam que enfrentam mudanças drásticas na cultura e na segurança à medida que o trabalho em casa dá lugar ao retorno ao escritório, ao mesmo tempo em que os funcionários mudam de casaco e de emprego rapidamente. Essas mudanças significam que as credenciais de cada usuário são um caminho para violações de dados devastadoras - cada usuário é um usuário com acesso privilegiado.
Fornecedores como a Microsoft e empresas de investimento como a Thoma Bravo responderam adicionando rapidamente gerenciamento de acesso, serviços de diretório, autenticação sem senha e outras funcionalidades de identidade aos seus respectivos portfólios. No entanto, os CISOs entrevistados para este relatório estão, com poucas exceções, procurando fornecedores focados em segurança para evitar ataques baseados em identidade de segurança, detectar ameaças à segurança e produzir uma plataforma, estrutura ou experiência de identidade unificada e focada em segurança.
A Impact Leaders, em nome da RSA Security, entrevistou longamente 25 executivos de grandes empresas sobre seus planos de gastos para 2023 e suas percepções sobre estratégia de identidade, transformação digital, espaço de gerenciamento de acesso, ataques baseados em identidade, tecnologias e tendências.
Além disso, em janeiro de 2023, a Impact Leaders consultou por telefone seis executivos sênior de grandes empresas com receita média de US$40bn para obter citações e percepções relevantes sobre suas visões de identidade unificada e focada em segurança.
Os CISOs consideram um único fornecedor centrado na segurança como o parceiro de identidade certo para o futuro. A pesquisa da Impact Leaders mostra que os CISOs têm opiniões fortes sobre por que a identidade é seu foco agora, por que uma experiência unificada é importante e por que o foco na segurança de seus fornecedores de identidade preferidos é fundamental.
Os executivos de TI se sentem pressionados a ampliar a proteção de dados da simples defesa do perímetro de segurança para a defesa em profundidade. Com o trabalho remoto, a identidade tornou-se indiscutivelmente a maior extensão desse conceito: é o novo perímetro, pois os funcionários trabalham em casa, em espaços de trabalho conjunto, em cafeterias e em outros locais públicos.
De acordo com o Relatório de Investigações de Violação de Dados (DBIR) da Verizon de 2022, 82% das violações envolveram o uso de credenciais roubadas, phishing e outras vulnerabilidades relacionadas a humanos como ponto de partida para violações de segurança.1
Nenhuma organização está segura sem um plano para lidar com os riscos de segurança, como credenciais, phishing, sequestro de contas e outras vulnerabilidades, de forma segura.2 O DBIR também mostrou que os criminosos estão aumentando sua exploração de credenciais de usuários a uma taxa equivalente à dos últimos cinco anos combinados.3
Quer uma organização esteja apenas mergulhando no lago da "autenticação forte" ou reformulando o controle de acesso para dar suporte a uma mudança repentina para uma força de trabalho remota, a identidade representa mais do que apenas outro projeto de segurança. Ela é o barômetro mais preciso da saúde geral de um programa de gerenciamento de riscos.
100% dos CISOs e líderes de tecnologia pesquisados valorizam mais a relação custo-benefício do que apenas o custo.
Quando uma empresa está crescendo - organicamente ou por aquisição -, ela pode contar com a identidade para facilitar as integrações de empresas adquiridas, integrar serviços em nuvem e ajudar os funcionários que estão entrando a ter uma transição mais fácil e um tempo mais rápido para a produtividade total. Isso também ajuda nas demissões; o desprovisionamento é mais fácil porque pode ser automatizado. Em resumo, a identidade é a base do gerenciamento de riscos técnicos.
Os executivos de TI e segurança entrevistados para este relatório detalharam suas estratégias para obter suporte para a identidade unificada e focada na segurança. Eles disseram que obtêm mais orçamento, mais funcionários e um suporte mais duradouro da gerência sênior para as iniciativas de identidade, mantendo um foco no valor, tanto na parte superior quanto na parte inferior do balanço patrimonial. A linha inferior mostra o valor dos custos evitados, como redução de riscos, downsizing, conformidade regulamentar, prevenção de violações de segurança e assim por diante, enquanto a linha superior mostra o valor dos benefícios recebidos, como receita, novos negócios, taxas de renovação, melhores experiências de usuário etc. A identidade unificada e focada na segurança acompanha as linhas superior e inferior do balanço patrimonial em quatro temas (Figura 1).
Figura 1: Motivadores de negócios para soluções de identidade
Fonte: Líderes de Impacto
Mais da metade dos CISOs relatou que o aspecto "mais agravante" da identidade é trabalhar com quatro ou mais fornecedores de identidade. Dois terços dos CISOs preferem ter um ou dois provedores de identidade em vez de vários fornecedores.
Embora apenas alguns CISOs (menos de 10%) pensem que daqui a uma década o mercado de segurança cibernética se consolidará em um punhado de grandes fornecedores, como Microsoft, Palo Alto Networks, Amazon e Thoma Bravo, isso é simplesmente improvável.
A consolidação no setor de segurança foi tentada dezenas de vezes nos últimos quarenta anos e simplesmente não funciona.
Os grandes provedores de recursos de nuvem estão se esforçando hoje para criar portfólios de produtos e integrar, em poucos anos, o que as organizações passaram décadas ajustando em seus próprios data centers.
A pressa em ser "tudo em TI" por parte desses grandes provedores cria uma resistência natural na adoção corporativa, porque os grandes provedores de nuvem não acompanharão a dinâmica dos negócios em rápida evolução nem abordarão os riscos de segurança em rápida evolução. Além disso, as grandes empresas não colocarão todos os seus ovos em um único provedor de serviços em nuvem, de acordo com a pesquisa da Impact Leaders.
Os grandes provedores de nuvem não se concentram na segurança. Eles podem levar a segurança a sério, mas isso é diferente de fazer dela sua razão de ser. Hoje e nos próximos anos, os CISOs planejam usar fornecedores especializados para lidar com as maiores fatias do bolo da segurança de TI: riscos de segurança, ataques baseados em identidade, identidade e acesso são fatias que os CISOs e as equipes de TI querem resolver de uma só vez.
72% dos executivos de TI afirmam que a segurança é o principal fator na escolha de um provedor de identidade.
Atualmente, os CISOs que buscam soluções de identidade querem um parceiro fornecedor com o qual possam contar, que integre toda a infraestrutura e o ciclo de vida da identidade e que reflita as práticas recomendadas dos especialistas em segurança:
"O Windows não pode ser nosso único parceiro de segurança. Ele simplesmente não faz o suficiente para proteger e integrar com nosso ambiente fragmentado e centenas de aplicativos downstream."
-CISO, EMPRESA DE PRODUTOS DE CONSUMO DE $30BN
Um CISO disse isso quando perguntado por que preferia um portfólio unificado de produtos de um fornecedor focado em segurança:
"Nossos funcionários geralmente não têm smartphones no trabalho, mas ainda precisamos de alta segurança em todas as partes da nossa pegada de identidade e acesso. Tenho grandes esperanças em relação à autenticação multifator (MFA) sem senha no futuro, mas hoje preciso de um parceiro que possa fazer a identidade, fazê-la funcionar e mantê-la segura."
-EXECUTIVO, FABRICANTE DE CHIPS DA FORTUNE 500
Uma cooperativa de crédito nacional recebeu, de acordo com o seu CIO, US$2,9 milhões em benefícios líquidos para a infraestrutura e o risco em um período de dois anos ao implantar uma solução de identidade unificada e focada na segurança:
"Ouvimos histórias de terror de colegas de outras cooperativas de crédito e de empresas locais do setor de saúde que foram atacadas e tiveram que pagar resgates em bitcoin ou ficar fora de serviço por dias ou semanas enquanto restauravam as operações. Sabíamos que, para nós, era apenas uma questão de tempo até sermos atingidos."
-EXECUTIVO, COOPERATIVA DE CRÉDITO NACIONAL
84% dos entrevistados querem que as soluções de segurança se integrem à Microsoft, enquanto 92% não querem depender totalmente da segurança da Microsoft.
A Microsoft é um fornecedor estabelecido e respeitado de infraestrutura local na maioria das grandes empresas. A Microsoft também é um respeitado provedor de serviços em nuvem com o Microsoft Azure Active Directory e um portfólio crescente de aplicativos em nuvem.
O desafio que os CISOs enfrentam é que a Microsoft não oferece os mesmos produtos com a mesma funcionalidade para ambientes de nuvem e recursos locais. Basicamente, são dois portfólios de produtos que não podem duplicar o desempenho em suas respectivas implementações.
Toda credencial é um alvo para criminosos sofisticados; portanto, todo usuário deve ser tratado como tendo acesso privilegiado.
Os CISOs preferem unificar a identidade em vez de ter um ou dois provedores. Um provedor de identidade unificado e focado na segurança produz benefícios mensuráveis no desenvolvimento de um sistema de segurança mais forte, na prevenção de riscos e no aprimoramento da experiência do usuário.
A identidade é o aspecto da infraestrutura de TI que tem o maior impacto sobre o risco de uma organização. O foco na segurança é o principal fator usado na seleção de um provedor de identidade.
Este artigo é baseado no relatório original do Impact Leaders. Veja o relatório original aqui.
