Revisiones de acceso en Oracle Access Governance: certificación de privilegios de acceso con campañas y micro certificaciones basadas en eventos
Las revisiones de acceso, también conocidas como certificación de acceso o acuse de recibo de acceso, son el proceso para evaluar y certificar los privilegios de acceso otorgados a las identidades dentro de una empresa. Comprueba y certifica si los privilegios otorgados siguen siendo necesarios y se alinean con el trabajo actual en el trabajo. Utilice la función Revisiones de acceso de Oracle Access Governance para revisar los privilegios de acceso. Toma decisiones de revisión rápidas y precisas examinando insights y recomendaciones basadas en IA basadas en análisis prescriptivos.
Las empresas tienen un gran panorama distribuido en los sistemas locales y en la nube. Para evitar la acumulación excesiva de permisos irrelevantes o el acceso no autorizado a información crítica, las revisiones de acceso se ejecutan con regularidad para supervisar y certificar los accesos. Estos son vitales para la gestión de acceso seguro y los procesos de conformidad.
Principales ventajas de realizar revisiones de acceso con Oracle Access Governance
Las revisiones de acceso ayudan a las empresas a controlar los cambios de acceso frecuentes, reducir los costos, gestionar el ciclo de vida del acceso de identidad, mantener la conformidad y fortalecer la estrategia de seguridad. Las empresas manejan cambios de acceso voluminosos a diario. Las revisiones regulares pueden detectar y eliminar de forma proactiva permisos excesivos o privilegios irrelevantes.
La función Revisiones de acceso de Oracle Access Governance ofrece varios tipos para revisar los privilegios de acceso. Por ejemplo, utilice Campañas para iniciar un juego de revisiones de acceso ad hoc o periódicas, o bien utilice microcertificaciones, que se basan en el cambio de evento, el cambio de cronología o la detección de una cuenta huérfana.
- Reduce los costos proporcionando recomendaciones para eliminar licencias o recursos no esenciales y no deseados. Por ejemplo, revocando el acceso a la aplicación para los empleados que ya no lo necesitan.
- Fortalecer la estrategia de seguridad de una empresa mediante la revisión periódica de los accesos, lo que garantiza que los recursos adecuados tengan acceso suficiente para su rol. Por ejemplo, Oracle Access Governance realiza microcertificaciones automáticas para detectar cambios en eventos (cambio de ubicación, cambio de departamento), cambios en la línea de tiempo o detectar cuentas huérfanas que suponen una amenaza para la seguridad.
- Cumpla los requisitos y el cumplimiento de la gobernanza mediante el mantenimiento de informes de auditoría de revisiones de acceso periódicas. Por ejemplo, garantizar el cumplimiento de las normativas del sector y las leyes de cumplimiento, como GDPR, HIPAA y SOX, a través de campañas de revisión de acceso regulares.
- Simplifica la toma de decisiones recomendando insights de revisión de acceso basados en IA/AA, como análisis de grupos de pares, detección de valores atípicos o recomendación. Por ejemplo, Oracle Access Governance recomienda revocar un privilegio de alto riesgo para una identidad basada en análisis prescriptivos.
Tipos de revisiones de acceso ofrecidas por Oracle Access Governance
Con Oracle Access Governance, puedes ejecutar campañas de revisiones de acceso ad hoc o periódicas sobre un conjunto de identidades, grupos, cuentas, roles, políticas y permisos. Incluso puede ejecutar revisiones de propiedad para verificar la propiedad de los recursos. Utilice microcertificaciones casi en tiempo real para ejecutar revisiones automáticas en componentes específicos en función de la ocurrencia de un cambio de evento, cambio de cronología o cuentas no coincidentes.
Campañas de revisión de acceso: revisiones de acceso ad hoc o periódico
Use Campañas para iniciar el proceso de revisión de acceso periódico o ad hoc. Se trata de revisiones basadas en instantáneas, que capturan toda la información de acceso relevante en un momento determinado y, a continuación, evalúan y generan tareas de revisiones de acceso. Los cambios realizados en los datos después de configurar las campañas no se reflejarán en estas revisiones.
Revisiones de acceso de identidad
Las revisiones de acceso de identidad hacen referencia a la evaluación de privilegios de acceso para identidades de la empresa, donde el acceso a un recurso específico se verifica o valida. Puede certificar el acceso para las identidades de personal y consumidores ejecutando las revisiones de acceso de identidad. Los revisores, que son usuarios activos de Workforce, pueden aceptar o revocar los privilegios asignados.
- Usuarios (¿quién tiene acceso?): seleccione un juego de atributos de identidad básicos y personalizados.
- Aplicaciones (¿a qué acceden?): seleccione servicios, aplicaciones o cuentas en la nube.
-
Permisos (¿qué permisos?): seleccione los permisos que se asignan directamente en el sistema gestionado o los permisos aprovisionados en Oracle Access Governance. Puede utilizar estos criterios para certificar rápidamente los privilegios para todos los sistemas orquestados en función de los permisos ingeridos directamente desde el sistema gestionado. Estos también se denominan "permisos conciliados". Para obtener más información sobre la ejecución de revisiones basadas en permisos, consulte Revisiones de acceso de identidad basadas en permisos asignados directamente en sistemas gestionados. Nota
- Para el sistema de Oracle Access Governance, puede ejecutar revisiones basadas en permisos asignados directamente (
DIRECT) o paquetes de acceso otorgados mediante solicitud desde el mosaico ¿Qué permisos?. Los permisos o cuentas proporcionados a través de la póliza no son elegibles en esta revisión. - Puede aprovisionar grupos de OCI IAM y roles de aplicación mediante la creación de un grupo de acceso. Para el sistema Oracle Cloud Infrastructure (OCI), puede revisar los paquetes de acceso de OCI desde el mosaico ¿Qué permisos? .
DIRECT) o paquetes de acceso otorgados mediante solicitud desde el mosaico ¿Qué permisos?. Los permisos o cuentas proporcionados a través de la póliza no son elegibles en esta revisión. - Para el sistema de Oracle Access Governance, puede ejecutar revisiones basadas en permisos asignados directamente (
- Roles (¿qué roles?): seleccione los roles asignados a las identidades.
Ejemplo: puede ejecutar campañas para evaluar y certificar si los asociados o contratistas menores de su organización tienen acceso a permisos críticos o información restringida.
Revisiones de Acceso de Identidad Basadas en Permisos Asignados Directamente en Sistemas Gestionados
Puede certificar los accesos de identidad ejecutando revisiones de acceso de identidad en los permisos ingeridos directamente desde el sistema gestionado. Estos también se denominan "permisos conciliados". Los permisos conciliados hacen referencia a los permisos inherentes que se aprovisionan directamente en los sistemas gestionados sin aprovisionarlos desde Oracle Access Governance. Ejecute estas revisiones seleccionando el sistema de Oracle Access Governance en la página Campañas.
Mediante el uso de insights y recomendaciones, los revisores pueden tomar medidas para aceptar o revocar estos permisos. Sin embargo, para gestionar los accesos a nivel granular, utilice los paquetes de acceso para aprovisionar los permisos.
Al seleccionar un juego de permisos del mosaico ¿Qué permisos?, el sistema genera tareas de revisión para todas las identidades elegibles que tienen acceso a estos permisos directamente o a través de una solicitud (paquetes de acceso).
- Identidades con permisos otorgados directamente con el tipo de permiso DIRECT.
- Identidades con permisos otorgados como parte de los paquetes de acceso con tipo de permiso Solicitud.
- Identidades con permisos otorgados a través de Roles con tipo de permiso Solicitud.
- Cuentas de las identidades que se proporcionan directamente o se solicitan. Nota
Los permisos o cuentas aprovisionados a través de la política, o las cuentas de identidad de Oracle Identity Governance (OIG) y Oracle Cloud Infrastructure (OCI) no se tratan en esta revisión.
Los componentes aptos para revisión varían en función de los criterios seleccionados. Para obtener más información, consulte la tabla en Tipos de sistema orquestados elegibles para iniciar campañas de revisión de acceso.
- Los permisos asignados directamente o los grupos de acceso otorgados mediante una solicitud están disponibles para revisión en el mosaico ¿Qué permisos?. El tipo de permiso debe ser Solicitud o DIRECT para que los permisos se incluyan en las revisiones.
- Si los permisos asignados directamente están asociados con un grupo de acceso, que luego se aprovisiona a identidades mediante Solicitud, solo verá el grupo de acceso y no los permisos individuales. Para los roles aprovisionados a identidades mediante Solicitud, se muestra como un rol en el mosaico ¿Qué roles?.
Ejemplo: si los permisos Lectura y Modificar se incluyen en un grupo de acceso y se aprovisionan a identidades mediante Solicitud, no podrá ver ni revisar estos permisos concretos. Puede seleccionar revisar el paquete de acceso.
- Si una cuenta contiene permisos otorgados mediante una política, no se generará ninguna tarea de revisión para esa cuenta.
Ejemplo: si una cuenta contiene cuatro permisos, dos de los cuales se otorgan mediante política, la revisión de permisos no generará la tarea de revisión de cuenta.
Escenario
- Alice tiene acceso a los permisos de lectura y actualización asignados directamente.
- Jane tiene acceso a estos permisos como parte del grupo de acceso, con permiso adicional de escritura.
- Betty, que es el administrador de la base de datos, tiene acceso a estos permisos.
- Para Alice, se revisarán los permisos seleccionados.
- Para Jane, Access Bundle se revisará con los permisos Read (Leer) y Update (Actualizar) y Write (Escribir) solo si Access Bundle se otorga mediante Request (Solicitar).
- Para Betty, el rol solo se revisará si se otorga mediante Request.
- Las cuentas de identidad Alice, Jane y Betty se tendrán en cuenta para su revisión si la cuenta o los permisos asociados a la cuenta no se han aprovisionado mediante la política.
Los revisores pueden validar estas revisiones de acceso desde la página Mis revisiones de acceso → Identidad tras el proceso definido en Realizar revisiones de acceso.
Acciones de solución
- Si un revisor revoca el permiso, se revocará del sistema gestionado.
- Si un permiso forma parte de un paquete de acceso otorgado a la identidad, no podrá revocar ese único permiso a menos que revoque todo un paquete de acceso.
- Las cuentas asociadas con permisos no se revocan si las cuentas contienen permisos otorgados mediante la política.
- Las cuentas de identidad solo se revocan cuando se revocan todos los permisos asociados a las cuentas.
Revisiones de políticas
Revisión de las políticas de Oracle Access Governance y las políticas de OCI Identity and Access Management (IAM) para evaluar su eficacia y cumplimiento.
En Oracle Access Governance, puede crear revisiones de políticas bajo demanda, donde puede definir los criterios de selección para revisar políticas. También puede definir el flujo de trabajo de aprobación para seleccionar el número de niveles de revisión, la duración de la revisión y los detalles del revisor. Para obtener más información, consulte Creación de campañas de revisión de políticas y Tipos de tareas de certificación en Oracle Access Governance.
Ejemplo: puede ejecutar revisiones trimestrales en la política de red y almacenamiento definida de su arrendamiento para evaluar si estas cumplen el principio de privilegio mínimo y los requisitos normativos aplicables.
Revisiones de Recopilación de Identidades
Revisión de afiliación de un grupo para verificar si solo se asigna a un grupo un conjunto de miembros elegible. Esto se conoce comúnmente como "revisiones de miembros de grupo".
- Recopilaciones de identidades creadas en Oracle Access Governance
- Grupos de OCI derivados de Oracle Cloud Infrastructure (OCI)
Revisiones de propiedad de recursos
Revise la propiedad de los recursos creados en Oracle Access Governance, ya sea de forma periódica o ad hoc. Al realizar esta revisión, puede asegurarse de que la responsabilidad de los recursos recae solo en los propietarios designados.
- Grupo de accesos
- Flujos de trabajo de aprobación
- Recopilaciones de identidades
- Sistemas orquestados
- Políticas
- Roles
- Límites de acceso
En función del flujo de trabajo de aprobación seleccionado, el propietario principal de un recurso o cualquier identidad activa de Oracle Access Governance de personal se considerará para revisión. Los revisores pueden certificar o cambiar la propiedad de los recursos al realizar revisiones. Para obtener más información, consulte Crear revisiones de propiedad y Tarea de revisión de propiedad de recursos.
Microcertificaciones basadas en eventos
Use Configuración basada en eventos para configurar microcertificaciones automatizadas, que se activan solo cuando hay cambios en el sistema de registro, ocurrencia de un hito importante de fecha u hora o detección de una cuenta huérfana. Estas son casi revisiones en tiempo real y Oracle Access Governance supervisa continuamente los cambios de perfil para iniciar revisiones de acceso.
Debe configurar los atributos para los que desea activar las revisiones basadas en eventos. Para obtener más información, consulte Gestión de atributos de identidad.
Como usuario activo del personal, puede revisar las tareas de revisión de eventos desde la página Mis revisiones de acceso → Identidad. Si hay un cambio en el evento pero no hay elementos de acceso que se puedan revisar para esa identidad, no se generarán tareas de revisión para una identidad.
- Cambiar evento: se dispara mediante cambios realizados en el perfil de identidad siempre que se actualiza un atributo de identidad en el sistema de registros. Estos pueden ser atributos básicos o personalizados.
- Evento de línea de tiempo: se dispara en la ocurrencia de una fecha concreta, como la fecha de aniversario de trabajo de un empleado para realizar una revisión de acceso.
- Evento no coincidente: se dispara cuando una cuenta incorporada no coincide con ninguna identidad de Oracle Access Governance.
Tipos de sistema orquestados elegibles para iniciar campañas de revisión de acceso
El tipo de revisiones de acceso y lo que puede revisar en Oracle Access Governance depende del tipo de sistema seleccionado al ejecutar las revisiones. Puede revisar el acceso a los sistemas gestionados por Oracle Access Governance, incluidas las revisiones de propiedad, revisar el acceso a Oracle Cloud Infrastructure (OCI) y revisar el acceso a los sistemas gestionados por Oracle Identity Governance (OIG).
Revisión del acceso a los sistemas gestionados por Oracle Access Governance
Seleccione este sistema para ejecutar revisiones de acceso o ejecutar revisiones de propiedad de recursos. En el sistema Oracle Access Governance, puede ejecutar revisiones de acceso de identidad para todos los sistemas orquestados gestionados por Oracle Access Governance, como Oracle Database, Flat File, Microsoft Active Directory, etc.
- Revisar acceso: para ejecutar revisiones de acceso de identidad, revisiones de políticas y revisiones de recopilación de identidades.
- Revisar propiedad: puede verificar si solo los propietarios autorizados están gestionando recursos ejecutando revisiones de propiedad
Revisiones de acceso de identidad
Ejecute revisiones de acceso de identidad para todos los sistemas orquestados mediante el sistema Oracle Access Governance. Puede ejecutar estas revisiones en función de los atributos de identidad principales o personalizados, las aplicaciones a las que tienen acceso, los permisos otorgados desde el sistema gestionado, los permisos aprovisionados dentro de Oracle Access Governance como parte del paquete de acceso o los roles otorgados a las identidades. Para obtener más información sobre la ejecución de revisiones de acceso de identidad, consulte Revisiones de acceso de identidad.
| Criterios de selección | Componentes elegibles en revisión |
|---|---|
| ¿Quién tiene acceso? para seleccionar atributos de identidad |
|
| ¿A qué acceden? para acceder a las aplicaciones |
|
¿Qué permisos? para seleccionar los grupos de acceso (REQUEST)
|
|
¿Qué permisos? para seleccionar Permisos (DIRECT)
|
Nota
Si la cuenta asociada a los permisos también se incluye para otorgar acceso a través de una política de Oracle Access Governance, no se generarán las tareas de revisión de cuenta. |
¿Qué roles? para seleccionar los roles (REQUEST)
|
Roles |
Revisiones de políticas
Ejecuta revisiones de políticas de Oracle Access Governance para evaluar la eficacia de las políticas. Se revisan las políticas creadas en Oracle Access Governance. Las políticas de Oracle Access Governance contienen detalles de los recursos y permisos asociados a un grupo de identidades mediante roles y/o paquetes de acceso.
Revisiones de Recopilación de Identidades
Permite ejecutar la revisión de miembros de un grupo para verificar si solo se asignan grupos de miembros autorizados. Esto se conoce comúnmente como "revisiones de miembros de grupo". Puede ejecutar revisiones para recopilaciones de identidades creadas en Oracle Access Governance.
Revisar responsabilidad
Puede verificar si solo los propietarios autorizados están gestionando recursos ejecutando revisiones de propiedad. Por ejemplo, puede ejecutar revisiones de propiedad para verificar si solo los responsables designados y autorizados están gestionando los flujos de trabajo de aprobación.
Revisar accesos para servicios en la nube gestionados por Oracle Cloud Infrastructure (OCI)
Seleccione este sistema para certificar revisiones de acceso de identidad, revisiones de políticas y revisiones de miembros de recopilación de identidades de OCI IAM. Además, puede revisar la asignación de grupos de OCI IAM y roles de aplicación gestionados por Oracle Access Governance.
- Revisiones de identidad (directa): derechos de acceso de identidad mediante la revisión del acceso a la aplicación y los roles de aplicación otorgados.
-
Revisiones de acceso de identidad para accesos gestionados por Oracle Access Governance: derechos de acceso de identidad de grupos de OCI IAM y roles de aplicación de servicios en la nube asignados en Oracle Access Governance mediante solicitud de acceso. Nota
Si solicita y asigna roles de Oracle Access Governance que incluyen los paquetes de acceso asociados que contienen grupos de OCI IAM o roles de aplicación de servicios en la nube, seleccione revisar los roles de Oracle Access Governance en el sistema de Oracle Access Governance. - Revisiones de políticas: políticas de OCI IAM que evalúan la construcción y el funcionamiento de una política.
- Revisiones de recopilación de identidades: afiliaciones de grupo que evalúa que solo los miembros elegibles tienen acceso al grupo. Si opta por revisar los grupos de OCI IAM y contiene algunos miembros asignados desde Oracle Access Governance, con esta revisión, solo puede aceptar o revocar miembros asignados directamente. Para los miembros asignados desde Oracle Access Governance, seleccione revisar los paquetes de OCI Access mediante el mosaico ¿Qué permisos?.
Criterios de selección elegibles para revisión en el sistema Oracle Cloud Infrastructure (OCI)
Los componentes aptos para la revisión varían en función de los criterios seleccionados, de la siguiente forma:
| Criterios de selección | Componentes elegibles en revisión |
|---|---|
| Qué arrendamientos seleccionar arrendamientos, compartimento en la nube o dominio |
|
| ¿Quién tiene acceso? para seleccionar atributos de identidad |
|
| ¿A qué acceden? para acceder a los servicios en la nube |
|
¿Qué permisos? para seleccionar los grupos de acceso (REQUEST)
|
|
¿Qué roles? para seleccionar roles de aplicación en OCI (DIRECT)
|
Roles asignados directamente en OCI. |
| ¿Qué políticas? para seleccionar políticas de OCI | Políticas |
¿Qué recopilaciones de identidades? para seleccionar grupos de OCI IAM (DIRECT)
|
Recopilaciones de identidades Nota
Si opta por revisar los grupos de OCI IAM y contiene algunos miembros asignados en Oracle Access Governance, con esta revisión, solo puede aceptar o revocar miembros asignados directamente. Para las asignaciones gestionadas por Oracle Access Governance, seleccione revisar los paquetes de OCI Access mediante el mosaico ¿Qué permisos?. |
Acceso de revisión a sistemas gestionados por Oracle Identity Governance (OIG)
Seleccione este sistema para certificar los derechos de acceso de una identidad de OIG mediante la revisión del acceso a la aplicación, los roles o permisos otorgados (derechos). No puede combinar la revisión para un permiso específico (derecho) y un rol en una sola campaña.
Ejemplos de uso: certificación de privilegios de acceso con campañas de revisión de acceso y revisiones basadas en eventos
Veamos algunos de los escenarios en los que las campañas y las revisiones de acceso automatizadas son útiles.
Ejemplo 1: revisión de permisos de acceso para aplicaciones de alto perfil con funciones críticas
Escenario: para ayudar a su empresa a disuadir cualquier daño contra el uso indebido de los derechos de acceso para aplicaciones confidenciales de datos, debe programar campañas trimestrales para certificar el acceso a funciones críticas, como los permisos actualizar y terminar.
Puede crear una campaña para revisar permisos o roles, pero no se pueden seleccionar ambos en una sola campaña. En este ejemplo, ¿Qué roles? se desactivará junto con ¿Qué políticas? Como hemos seleccionado para revisar el acceso a la identidad, también se desactivarán los parámetros de selección de revisión de la política y la recopilación de identidades.
Ejemplo 2: revisión de políticas para todos los recursos en la nube
Escenario: la compañía ha actualizado sus protocolos de seguridad para el almacenamiento de datos. Como administrador de seguridad en la nube, debe realizar revisiones de acceso bajo demanda de todas las políticas de IAM disponibles en su cuenta en la nube para asegurarse de que cumplen con los últimos estándares y regulaciones de seguridad.
Para ello, primero seleccione el sistema, agregue criterios de selección para seleccionar el proveedor en la nube, la cuenta en la nube, el dominio o el compartimento. Complete los pasos de campaña para asignar el flujo de trabajo y los detalles de campaña adecuados. En este ejemplo, el revisor de campaña puede revisar todas las tareas de revisión aplicables en el separador Mis revisiones de acceso → Control de acceso, con el tipo Política.
Ejemplo 3: Revisiones de miembros de grupos para grupos de proyectos
Escenario: como mánager de proyectos, realice una revisión trimestral de la afiliación de grupo de su equipo para asegurarse de que solo los miembros actuales del equipo tengan acceso a los repositorios de código y acceso a las aplicaciones de terceros necesarias. Este proceso le ayudará a eliminar cualquier acceso no autorizado, así como a supervisar y controlar el costo del proyecto.
Para ello, primero seleccione el sistema OCI, agregue criterios de selección para seleccionar grupos OCI y agregue un flujo de trabajo de aprobación junto con los detalles de la campaña. En este ejemplo, el revisor de la campaña puede revisar todas las tareas de revisión aplicables en el separador Mis revisiones de acceso → Control de acceso, con el tipo Recopilación de identidad.
Ejemplo 4: Activación de revisiones de acceso automatizadas para empleados activados por un evento de cambio
Escenario: como propietario de una empresa, debe configurar revisiones de acceso automatizadas para realizar microcertificaciones cada vez que el mánager, el código de puesto o la ubicación cambien para un empleado.
Para ello, active las revisiones de acceso basadas en eventos para el código de puesto, el gerente y la ubicación. Siempre que se produzca la última sincronización de datos desde el sistema orquestado con estas actualizaciones, Oracle Access Governance emitirá automáticamente varias revisiones de acceso basadas en eventos asociadas a esta única identidad.