Abordagem Gerencial

VI Congresso de Pesquisa e Inovação da Rede Norte e Nordeste de Educação Tecnológica Aracaju-SE -2011

GESTÃO DA IDENTIDADE DE USUÁRIOS DE SISTEMAS DE INFORMAÇÃO: UMA ABORDAGEM GERENCIAL

RESUMO

Este artigo aborda de forma exploratória os limites e possibilidades da adoção de uma metodologia e de práticas para possibilitar a gestão de identidade de usuários de sistemas de informações e comunicação no contexto das instituições abordando tópicos relativos à Gestão em Tecnologia da Informação, estratégias de controle e medidas que podem ser adotadas para obtenção de uma gestão da identidade efetiva para os usuários de sistemas, além de elencar a importância e relevância do controle do acesso através de uma abordagem gerencial, enfocando a gestão de identidade, para permitir o acesso por usuários legítimos como também à racionalização dos riscos, para assegurar a confiabilidade da informação.

Palavras-chave: gestão, tecnologia da informação, controle de acesso.


1. INTRODUÇÃO

Este artigo busca efetuar uma discussão inicial e exploratória quanto aos diversos aspectos relacionados com a proteção dos ativos de informação, considerando as múltiplas facetas que este tema apresenta, desde a disponibilidade até a integridade dos recursos de tecnologia da informação e comunicação e métodos possíveis para sua obtenção.

Para a efetiva proteção desses ativos, cabe aos profissionais do nível estratégico das organizações, o controle aos diversos sistemas existentes, que como “sistemas empresariais podem ser formados por outros sistemas ou subsistemas, inter-relacionados e dependentes” (Oliveira, 2004), sendo assim o controle de acesso a sistemas tem sua atuação especificada como de importância estratégica.

2. ASPECTOS DA IDENTIDADE DE USUÁRIOS

Na atualidade os Sistemas de informação fazem parte dos processos das organizações, seja simplesmente para envio simples malas diretas ou na automação de operações e de planejamento com a adoção de sistemas de Apoio a Decisão, Planejamento Estratégico de Recursos ou Relacionamento com Clientes.

A abordagem de Turban, Rainner e Potter identifica a necessidade de adoção de medidas de contenção a ameaças aos ativos de tecnologia da informação, definindo roubo de identidade virtual como “...crime no qual um indivíduo usa as informações pessoais de outros para criar uma falsa identidade e, então, a utiliza para alguma fraude”(Turban, 2005), onde devem existir medidas de gestão de identidades, incluindo entre as alternativas os controles de acesso biométricos, que permitem controlar o acesso por meio da verificação de características como a impressão digital e a retina para identificar usuários de sistemas de informação, permitindo ou negando acesso a recursos

O avanço da Tecnologia da Informação e Comunicação gera um cenário de mudança nas estruturas organizacionais e no processo produtivo, atingindo a essência das entidades, fato que podemos exemplificar com a virtualização do espaço de colaboração, o incremento dos valores relacionados com o capital social e a informação institucional e o valor estratégico da informação, todos relacionados e dependentes de garantias de segurança de processos e sistemas que necessariamente acompanham este processo evolucionário.

Essa evolução do espaço de trabalho traz consigo diversas ameaças para a disponibilidade de recursos relacionados com a tecnologia da informação e comunicação, sendo preciso levar em conta que aspectos relacionados com a segurança precisam se ajustar mais rápido a esse cenário para continuar tendo efetividade, aumentando a importância do controle de acesso.

O controle é necessário em qualquer nível da organização quando se trata de acesso a sistemas de informação, pois é com o uso destes que as organizações armazenam, processam, enviam e recebem dados, efetuam transações e mantém o histórico das ocorrências de suas atividades operacionais. È necessário buscar formas de assegurar a disponibilidade, a integridade e a confidencialidade dos ativos e da Infraestrutura da informação, além de permitir que o acesso ao sistema seja regulado e auditado.

Ao planejar sistemas de informação devemos considerar que os recursos de acesso à informação deverão estar disponíveis quando solicitados, para garantir esse objetivo medidas devem ser adotadas, mas não de forma isolada, setorial, antes precisamos levar em conta que estes processos passem a integrar de maneira permanente o processo de gestão de tecnologia da informação e comunicação nas entidades.

Dentre as boas práticas de gestão de manutenção de disponibilidade de recursos, algumas merecem destaque, a saber: instalação de sistemas de detecção de intrusão; definição de políticas e procedimentos relativos a serviços de rede; paralisação ou exclusão dos serviços desnecessários em servidores; padronização e exames periódicos de código fontes; gerenciamento de atualizações de segurança e a integração da gestão de identidade com o controle de acesso.

No contexto deste artigo gestão da identidade está relacionada com a adoção de métodos e soluções que promovam uma combinação de processos e tecnologia, para administrar e fornecer acesso seguro para informações e recursos organizacionais. Esta definição esta ancorada na definição de gestão


da identidade efetuada pela Microsoft Corporation, “Gestão da identidade ainda pode ser definida como uma das formas para se obter a efetividade no gerenciamento de processos, tanto internos quanto externos de uma organização, para colaboradores, consumidores, parceiros comerciais e aplicações”. (Microsoft Corporation, 2006).

3. ABORDAGEM GERENCIAL DA GESTÃO DE IDENTIDADE

Para a adoção da gestão da identidade, é necessário o estabelecimento do contexto no qual o usuário e os sistemas de informação estão inseridos, o atendimento a esta premissa permitirá que um usuário possua acesso a sistemas diferentes, em perfis de uso diferentes, para realizar ações distintas. Esta necessidade se comprova pela atual existência de diferentes identidades, de acordo com seu comportamento ou papel que executa no contexto, o qual poderá ser de empregado, consumidor, contratante, contratado, aluno, professor, etc.

Quando nos referimos à gestão de identidade corporativa, no referimos a permitir uma gestão de maior amplitude do acesso de usuários a sistemas de informação, de uma forma segura, disponível, rápida e confiável, através da adoção de práticas apropriadas para proceder:

• Autenticação, que trata de quem é o usuário;

• Autorização, determinando direitos de acesso e privilégios;

• Controle de acesso lógico e físico, definindo os meios de acesso;

• Auditoria de sistemas, para elaboração de relatórios.

A Gestão da identidade corporativa, no contexto dessa discussão, não deve ser tomada como uma solução ou um pacote meramente tecnológico, antes deverá ser considerada como um processo de gestão, muito mais vinculado ao nível estratégico das organizações, integrante do planejamento estratégico das organizações, integrando funções de diversos departamentos da organização, como finanças, tecnologia, operações e marketing, caracterizando um cunho mais estratégico que operacional a este processo.

Figura 1 – Como um gerente de autorizações pode definir e aplicar regras (Adaptado de Microsoft, 2006)

Alguns benefícios que podem advir da adoção do gerenciamento de identidade corporativa, enquanto processo estratégico, pelas organizações estão dispostos a seguir. (Microsoft Corporation, 2006):

• Redução do custo total de propriedade;

• Redução na sobrecarga de gerenciamento de recursos redundantes;

• Redução do risco de ex-empregados obterem acesso a recursos organizacionais;


• Aumento da capacidade controle e a confidencialidade aos acessos executados a sistemas;

• Ampliação de confiabilidade entre clientes, fornecedores e empregados.

O processo de gestão da identidade corporativa também se relaciona de maneira dependente a formatação correta de processos que estão relacionados com empregados, parceiros, consumidores e gerentes, gerando diminuição dos riscos e trazendo a possibilidade de controle tanto da identidade de cada, como dos acessos aos sistemas.

A adoção da gestão da identidade possui ainda potencial para trazer às organizações um incremento de sua capacidade de segurança da informação e reação a ameaças internas e externas, através do melhoramento de práticas de segurança, destacando:

• Aplicação de políticas de senha fortes – definição de regras e procedimentos para garantir senha complexa ou o uso de medidas biométricas de identificação;

• Remoção de identidades desatualizadas – definição da política de remoção de contas que não necessitam mais de acesso;

• Criação de proteção de dados entre aplicações – as aplicações se utilizarão de mecanismos seguros através da adoção de soluções de criptografia;

• Autenticação forte – o uso de chaves públicas para incrementar a segurança do acesso a recursos;

• Implementação do gerenciamento do ciclo de vida da identidade – processo que manterá as disposições para o usuário correntes com suas atividades na organização (Microsoft Corporation, 2006).

Os projetistas de sistema e soluções tecnológicas poderão ampliar seu escopo de portfólio de aplicativos para que os mesmos empreguem serviços de autenticação em comum, fornecidos pela gestão de identidade, ao invés de utilizar identidades digitais específicas para cada sistema operacional ou banco de dados.

Com a adoção destes postulados, fica evidenciado que qualquer alteração em um registro de identidade do usuário é feita apenas uma vez, de maneira centralizada e torna-se imediatamente disponível a todos os aplicativos que fazem parte da organização ou que tenham relações de confiança com ela, onde o inverso também é válido: a negação de acesso a recursos será válida para toda a organização e os sistemas dependentes.

4. CONSIDERAÇÕES FINAIS

No contexto abordado, entendemos que a adoção de práticas e metodologias que direcionem para gestão de identidade corporativa outrora considerada como opcional pelos gestores, mesmo que não haja uma gestão formal de identidade em uso, as organizações buscam hoje implementar métodos e estratégias para gerenciar identidades, políticas de acesso e manter o foco nas atividades proativas com vistas a garantir privacidade, confidencialidade, integridade e autenticidade das informações institucionais.

Os retornos econômicos e operacionais latentes da utilização de processos de gestão de identidade corporativa vão além de resultados financeiros apurados quantitativamente, pois a ampliação da valorização da marca institucional e dos ativos intangíveis está entre os pontos mais positivos derivados da adoção de medidas gerencias para a gestão de identidade organizacional, o que possui o potencial de permitir que a organização atinja níveis de confiabilidade, perante seu ambiente organizacional interno e externo, que podem ser convertidos em valores positivos, também quanto à governança e respeitabilidade pela sociedade.


O controle de acesso a ativos de informação das organizações utilizando gestão de identidade possui o potencial de ocasionar mudança nos paradigmas de produção dos sistemas, à medida que o foco do controle se dirige para os processos operacionais e relaciona-se com um processo de mudança global na organização, causando uma alteração estrutural nas práticas de gestão de tecnologia da informação e comunicação, pois sua concepção e enquadramento organizacional são modificados, tornando-se uma área estratégica, mais alinhada com as regras e os resultados do negócio da organização que com os detalhes físicos de implementação dos sistemas.


REFERÊNCIAS

DIAS, Claudia. Segurança e auditoria da tecnologia da informação. Rio de Janeiro: Axcel Books do Brasil, 2000.

OLIVEIRA, Jayr Figueiredo de. Sistemas de informação versus tecnologia da informação: um impasse empresarial. 1. ed. São Paulo: Érica, 2004.

TURBAN, Efraim; RAINER, R. Kelly; POTTER, Richard E. Administração de tecnologia da informação: teoria e prática. Trad. de Daniel Vieira. Rio de janeiro: Elsevier, 2005.

MICROSOFT CORPORATION; Microsoft Identity and Access Management Series v1. San Francisco, 2006. Disponível em: < http://www.microsoft.com/download/en/details.aspx? displaylang=en&id=17974>Acesso em: 20 de agosto de 2011.

Documents

Abordagem Gerencial