Anais - Engenharia de Redes de Comunicação - UnB

informação. Engloba a gestão de todos os dados que constituem os privilégios de
acesso e atributos, envolvendo o armazenamento, organização e acesso a
informação nos diretórios.
Gestão de Políticas: Responsável pelos processos que estabelecem e mantêm as
políticas de controle de acesso que são incorporadas nas lógicas e regras de
negócio. Normalmente, é baseada nos atributos e papéis associados a uma
identidade. Ela gerencia o que é permitido ou não de ser acessado em uma
determinada transação.
A gestão de identidade e de acesso é uma atividade complexa que pode estar
difusa nos processos de uma organização. Diante da inexistência de um programa de
gestão de identidade e de acesso, é importante identificar as responsabilidades sobre a
execução de controles de segurança por áreas. Sendo assim, este artigo adota a
separação em cinco áreas de gestão identidade, gestão de acesso (recursos, privilégios, e
políticas) e auditoria.
3. Controles para Gestão de Identidade e Acesso
A atividade de controle está relacionada com a capacidade de uma determinada
pessoa ou grupo adquirir domínio sobre uma determinada atividade ou outro grupo.
Para a área de tecnologia da informação não existe um consenso formal sobre a
definição de controle, entretanto, para esta pesquisa foi utilizada a definição proposta
pelo COBIT (ITGI, 2007) em que c
detectados e corrigidos.
As próximas subseções irão apresentar os principais frameworks e normas
relacionados com a segurança da informação e com a gestão de identidade e de acesso.
Cada subseção irá identificar as áreas ou grupo de controles diretamente envolvidos na
gestão de identidade e de acesso.
3.1. COBIT
O Control Objectives for Information and related Technology (ITGI, 2007) é
e orientado a processos, baseado em controles e orientado
por medic
modelo COBIT, em sua versão 4.1, apresenta um conjunto de boas práticas
identificadas através de um consenso entre especialistas internacionais, que são
organizadas através modelo de processo genérico baseado em quatro domínios e trinta e
quatro processos. O COBIT define suas atividades em alto nível, orientando a
organização no que precisa ser feito e não em como deve ser feito para se obter
governança, gerenciamento e controle.
Os processos são responsáveis, em conjunto com os recursos de TI, por
constituir a arquitetura de TI da organização. No COBIT, os processos são mapeados
em domínios que equivalem às tradicionais áreas sob responsabilidade de TI, como o
planejamento, construção, processamento e monitoramento. Os quatro domínios de
processos (ITGI, 2007) são: Planejar e Organizar (PO), Adquirir e Implementar (AI),
Entregar e Suportar (DS), Monitorar e Avaliar (ME).
380