Um engenheiro sênior de uma consultoria de nuvem havia concluído um longo trabalho para uma instituição financeira, acessando regularmente o ambiente de nuvem da instituição por meio de um MacBook pessoal. A política de acesso condicional da instituição exigia MFA, que o engenheiro atendia com uma chave de hardware, e verificava se a autenticação vinha de uma faixa de IP não bloqueada. Ela não verificava o status de gerenciamento do dispositivo, a conformidade do dispositivo nem se o dispositivo estava inscrito em algum sistema de gerenciamento de endpoints. O MacBook pessoal do engenheiro tinha a criptografia de disco completo habilitada (ele mesmo a havia configurado), mas não tinha o sistema operacional atualizado havia oito meses, executava várias extensões de navegador de fontes não verificadas, não tinha software de detecção e resposta de endpoints e não estava inscrito em nenhum MDM. Dados de sessão do cliente, relatórios baixados e configurações do ambiente armazenadas em cache local haviam se acumulado no dispositivo ao longo do trabalho. Quando o laptop do engenheiro foi roubado em uma cafeteria, a equipe de segurança da instituição foi notificada. Ela não tinha nenhum mecanismo para limpar remotamente o dispositivo. Não tinha visibilidade sobre quais dados estavam nele. Não tinha certeza de que a criptografia de disco completo estava habilitada ou atualizada o suficiente para resistir às capacidades do atacante. A autenticação havia sido robusta. O dispositivo estava totalmente fora do controle organizacional.
O que é, de fato, a confiança em dispositivos para acesso de fornecedores?
A confiança no dispositivo é o componente da governança de acesso que avalia a postura de segurança do endpoint a partir do qual o acesso é solicitado, determinando se o dispositivo é gerenciado pela organização (ou por uma organização confiável), atende aos requisitos de conformidade definidos, tem proteção de endpoint atualizada e é capaz de responder a eventos de segurança organizacionais, como limpeza remota ou encerramento de sessão. As decisões de confiança no dispositivo normalmente são tomadas por meio da integração entre o sistema de políticas de acesso (acesso condicional) e o sistema de gerenciamento de dispositivos (MDM), que fornece sinais de conformidade em tempo real sobre o estado de segurança de cada dispositivo.
O endpoint como o verdadeiro ponto de custódia dos dados é a razão central pela qual a confiança no dispositivo importa tanto quanto a robustez da autenticação. Quando um usuário se autentica em um sistema e realiza uma sessão, os dados acessados durante essa sessão não ficam exclusivamente no servidor: eles fluem para o dispositivo cliente na forma de conteúdo renderizado, respostas em cache, arquivos baixados, armazenamento do navegador e tokens de sessão. A segurança desses dados, depois que chegam ao cliente, depende inteiramente da postura de segurança do dispositivo cliente. Uma segurança robusta no servidor e controles de autenticação robustos não governam o que acontece com os dados depois que saem do servidor e chegam ao cliente. Quem governa isso é a postura de segurança do dispositivo cliente.
A distinção entre dispositivo gerenciado e não gerenciado é a dimensão crítica. Um dispositivo gerenciado e inscrito no MDM oferece à organização visibilidade sobre a postura de segurança do dispositivo, a capacidade de impor políticas de segurança (bloqueio de tela, criptografia de disco, patches atualizados), a capacidade de limpar remotamente o dispositivo em caso de perda ou roubo e a capacidade de revogar certificados ou remover dados sensíveis se o dispositivo for comprometido. Um dispositivo pessoal não gerenciado não oferece nenhuma dessas capacidades: a organização não consegue ver a postura de segurança do dispositivo, não consegue impor políticas nele, não consegue limpá-lo remotamente e não tem capacidade de resposta se ele for comprometido ou roubado.
- Dispositivos pessoais não gerenciados para acesso de fornecedores: endpoints fora do MDM organizacional, sem visibilidade, aplicação de políticas ou capacidade de limpeza remota
- Nenhuma verificação de conformidade do dispositivo no acesso condicional: autenticação verificada, mas conformidade do dispositivo não avaliada antes da concessão do acesso
- Dados de sessão em cache em dispositivos pessoais: dados do cliente acumulados em endpoints não gerenciados, fora de qualquer governança
- Nenhuma capacidade de limpeza remota para dispositivos do fornecedor perdidos ou roubados: dados de sessão do cliente em endpoints irrecuperáveis
- Acesso de fornecedores por BYOD sem controles compensatórios: acesso por dispositivo pessoal sem conteinerização de aplicativos ou controles de sessão que limitem a residência de dados
Por que isso importa
A confiança em dispositivos é importante para TPRM porque o acesso de fornecedores aos ambientes de clientes significa que dados de sessão, arquivos baixados e conteúdo em cache dos sistemas do cliente residem nos dispositivos dos engenheiros do fornecedor, e a segurança desses dados, depois que chegam ao endpoint do fornecedor, depende inteiramente da postura de segurança dos endpoints do fornecedor. Um engenheiro do fornecedor que acessa a plataforma financeira de um cliente a partir de um dispositivo pessoal não gerenciado cria um ponto de custódia de dados do cliente fora de qualquer controle organizacional: nenhuma proteção de endpoint para detectar malware, nenhuma política de criptografia de disco para proteger os dados armazenados, nenhuma capacidade de limpeza remota se o dispositivo for perdido.
O cenário de roubo e perda é a dimensão de consequências mais imediatas. Laptops são roubados. Dispositivos são esquecidos em trens. Discos rígidos falham e vão para serviços de recuperação. Em cada um desses cenários, os dados acumulados no dispositivo durante as sessões de acesso do fornecedor (configurações, detalhes do ambiente, tokens de autenticação, relatórios baixados) ficam acessíveis a quem tiver acesso físico ou forense ao dispositivo. Dispositivos gerenciados oferecem a limpeza remota e a imposição de criptografia que limitam os danos nesses cenários. Dispositivos não gerenciados não oferecem proteção equivalente.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a robustez da autenticação como equivalente à segurança do acesso. Uma MFA robusta a partir de um dispositivo não gerenciado fornece um evento de autenticação de alta garantia que direciona a sessão para um endpoint sem nenhum controle de segurança organizacional. A autenticação era confiável. O endpoint não é. São propriedades de segurança independentes que exigem controles independentes.
- Tratar a robustez da autenticação como equivalente à segurança do endpoint
- Nenhuma verificação de conformidade do dispositivo na política de acesso
- Uso de dispositivos pessoais não tratado explicitamente nos requisitos de acesso de fornecedores
- Nenhuma capacidade de limpeza remota em dispositivos do fornecedor com acesso a dados de clientes
- Residência de dados de sessão nos endpoints do fornecedor não governada
Como é uma boa prática
Programas maduros de confiança em dispositivos para acesso de fornecedores exigem que todo acesso a ambientes sensíveis de clientes ocorra a partir de dispositivos gerenciados e inscritos no MDM que atendam a padrões de conformidade definidos (patches atualizados, proteção de endpoint ativa, criptografia de disco e bloqueio de tela), com a capacidade de limpeza remota registrada antes da concessão do acesso.
- Exigência de dispositivo gerenciado para acessos sensíveis: inscrição no MDM e certificado de conformidade obrigatórios
- Verificação de conformidade do dispositivo no acesso condicional: verificação de conformidade em tempo real antes da criação da sessão
- Capacidade de limpeza remota registrada para todos os dispositivos com acesso ao ambiente do cliente
- Proibição de dispositivos pessoais para acessos sensíveis: política explícita que proíbe o acesso de dispositivos não gerenciados aos ambientes de clientes
- Controles de sessão para cenários de BYOD: conteinerização de aplicativos ou infraestrutura de desktop virtual que limita a residência de dados em endpoints não gerenciados
Ferramentas
Gerenciamento de dispositivos móveis: Microsoft Intune, Jamf, VMware Workspace ONE
As plataformas de MDM fornecem certificados de conformidade do dispositivo que os sistemas de acesso condicional podem verificar em tempo real, confirmando que o dispositivo que solicita acesso está inscrito, atende aos requisitos de patches, tem proteção de endpoint ativa e tem criptografia de disco habilitada. Para profissionais de TPRM, perguntar se os engenheiros do fornecedor são obrigados a usar dispositivos inscritos no MDM para acessar o ambiente do cliente é a pergunta mais direta sobre governança da confiança em dispositivos.
Infraestrutura de desktop virtual: Citrix, VMware Horizon, Azure Virtual Desktop
As soluções de VDI oferecem um controle compensatório para cenários em que os requisitos de dispositivo gerenciado não são viáveis, direcionando o acesso do fornecedor por meio de um ambiente de desktop virtual controlado em vez do endpoint físico do fornecedor e impedindo que os dados residam no dispositivo do fornecedor. Para profissionais de TPRM, perguntar se a VDI está disponível como controle compensatório de confiança em dispositivos para o acesso de fornecedores oferece uma alternativa compatível com BYOD aos requisitos de dispositivo gerenciado.
Desafios de governança
O desafio de governança da confiança em dispositivos para acesso de fornecedores é o problema do mecanismo de imposição. Um cliente não pode impor diretamente a inscrição no MDM nos dispositivos de um fornecedor: o fornecedor gerencia sua própria frota de dispositivos. O mecanismo de imposição é contratual: exigir, como condição de acesso, que a equipe do fornecedor que acessa ambientes de clientes use dispositivos gerenciados e em conformidade, e verificar a conformidade por meio de uma política de acesso condicional que confira os certificados de conformidade dos dispositivos.
- Inclua a exigência de dispositivo gerenciado nos contratos de acesso de fornecedores
- Implemente a verificação de conformidade do dispositivo no acesso condicional, não apenas a autenticação
- Peça aos fornecedores que confirmem a inscrição no MDM da equipe com acesso a clientes
- Considere VDI como controle compensatório para fornecedores que não conseguem atender aos requisitos de dispositivo gerenciado
- Confirme a capacidade de limpeza remota dos dispositivos com acesso ao ambiente do cliente
Se você faz parte de uma equipe pequena
Acrescente uma pergunta aos seus requisitos de acesso de fornecedores: os dispositivos que seus engenheiros usam para acessar nosso ambiente estão inscritos no seu MDM e sujeitos à sua política de conformidade de endpoints? Especificamente, vocês conseguem limpar remotamente esses dispositivos se forem perdidos ou roubados enquanto contêm dados de sessão do nosso ambiente? Essa pergunta revela imediatamente se o acesso do fornecedor cria um ponto de custódia de dados do cliente fora de qualquer controle organizacional, e a pergunta sobre a capacidade de limpeza remota torna concreta a consequência da lacuna.
- Pergunte se os dispositivos de acesso do fornecedor estão inscritos no MDM e cumprem a política de endpoints
- Pergunte se o fornecedor consegue limpar remotamente dispositivos com dados de sessão do cliente
- Inclua a exigência de dispositivo gerenciado nos contratos de acesso de fornecedores
- Considere VDI para fornecedores que não conseguem atender aos requisitos de dispositivo gerenciado
O que exigir
Pergunte diretamente:
“Os dispositivos que seus engenheiros usam para acessar nosso ambiente estão inscritos na sua plataforma de gerenciamento de dispositivos móveis e sujeitos à sua política de conformidade de endpoints, incluindo patches atualizados, proteção de endpoint ativa e criptografia de disco?”
“Se um dispositivo usado para acessar nosso ambiente fosse perdido ou roubado contendo dados de sessão ou credenciais em cache do nosso ambiente, vocês têm capacidade de limpeza remota para esse dispositivo? E com que rapidez conseguem executar uma limpeza remota?”
O que esperar como evidência
- Confirmação de inscrição no MDM dos dispositivos usados para acessar o cliente
- Documentação da política de conformidade de dispositivos: nível de patches, proteção de endpoint, criptografia
- Confirmação da capacidade de limpeza remota e do tempo de resposta
- Política de proibição de dispositivos pessoais ou controle compensatório por VDI
Um fornecedor que confirma uma MFA robusta deve ser questionado se sua política de acesso condicional também verifica a conformidade do dispositivo, especificamente, se verifica a inscrição no MDM e a proteção de endpoint atualizada antes de criar a sessão. A autenticação confirma a pessoa. A confiança no dispositivo confirma o endpoint. Ambas são necessárias.
Como comprovar
- Exigência de dispositivo gerenciado nos contratos de acesso de fornecedores
- Verificação de conformidade do dispositivo na política de acesso condicional
- Confirmação de inscrição no MDM dos dispositivos de acesso do fornecedor
- Documentação da capacidade de limpeza remota
Principal conclusão
A autenticação confirma a identidade. A confiança no dispositivo confirma o endpoint. Uma autenticação robusta a partir de um dispositivo não gerenciado direciona uma verificação de identidade de alta garantia para um endpoint de baixa garantia, onde os dados de sessão do cliente se acumulam sem nenhuma governança organizacional. Os dados que chegam ao dispositivo não gerenciado ficam fora do alcance da limpeza remota, da proteção de endpoint, da imposição de criptografia de disco e de qualquer resposta organizacional caso o dispositivo seja perdido, roubado ou comprometido. A barreira de autenticação era robusta. O lado do dispositivo nessa barreira não existia. Exija dispositivos gerenciados. Verifique a conformidade na política de acesso. Confirme a capacidade de limpeza remota antes que a primeira sessão faça com que dados do cliente passem a residir em um dispositivo que você não consegue controlar.