AUTENTICAÇÃO DE USUÁRIOS E SERVIÇOS

SOBRE AUTENTICAÇÃO DE USUÁRIOS E SERVIÇOS
A interconectividade de redes pode prever a autenticação, unidirecional ou bidirecional, entre as redes envolvidas, utilizando tecnologias como Kerberos ou Active Directory. A autenticação e a autorização relativa a acessos em sistemas e similares está fora do escopo desta Orientação Técnica. 

 A competência para definir os mecanismos e/ou procedimentos de autenticação para acesso à rede é: 

 

 Do Integrador Estratégico, para a interconectividade externo-rpcd; 

 Dos respectivos Órgãos do SMTIC, para interconectividade externo-interno. 

 

 A autenticação na RPCD, para acesso aos recursos computacionais e informações, será realizada mediante criação de credenciais no domínio rede.sp ou através do estabelecimento de relação de confiação com o diretório gerido pelo órgão. 

 Cabe ressaltar, no entanto, que o sistema de Controle de Acesso Corporativo (CAC) não está contemplado como um meio hábil à autenticação na RPCD. 

 Para as interconectividades interno-interno e interno-rpcd, os mecanismos e procedimentos de autenticação poderão ser acordados mutuamente de maneira prévia entre as partes envolvidas, considerando-se às capacidades de infraes-trutura dos sites envolvidos e à necessidade de restringir os acessos às necessidades de negócio que justificam a interconectividade. 

 Em particular, para as interconectividades interno-interno e interno-rpcd, pode-se realizar a integração dos mecanismos de autenticação mediante o estabelecimento de relação de confiança entre domínios, caso haja compatibilidade entre as partes envolvidas e a implantação de tais mecanismos seja tecnicamente viável. 

 Para isso, devem-se tomar, no mínimo, os seguintes passos: 

 

 Caracterizar a relação de confiança a ser estabelecida, considerando as seguintes dimensões: tipo, transitividade e direcionalidade.

 

  O tipo pode ser:

 

 Hierárquico: uma relação de subordinação entre uma rede e outra (ex: relações de confiança pai-filho e árvore-raiz). 

 Não-hierárquico: uma relação de confiança entre uma rede e outra em nível de igualdade (ex: relações de confiança externo e floresta). 

 

 

 A transitividade pode ser transitiva ou intransitiva (não transitiva). 

 A direcionalidade pode ser unidirecional ou bidirecional (mútua). 

 

 

 Realizar testes para validar a infraestrutura e a relação construída antes de colocar em ambiente de produção.

 

 Incluindo testes para verificar se os acessos e privilégios estão de acordo com as regras de negócio que justificam.

QUAIS SÃO AS NOSSAS RECOMENDAÇÕES?
Para interconectividade interno-interno ou interno-rpcd, disponibilizar no Portal de Governança um guia ou lista atualizada periodicamente (periodicidade mínima anual) dos mecanismos e/ou procedimentos de autenticação para acesso aos respectivos sites ou à RPCD, excetuando os dados e informações consideradas necessárias à manutenção da segurança das informações. 

 Remover relações de confiança redundantes ou expirados. 

 Revisão constante dos usuário de rede ativos (revogação dos não ativos)

QUAIS SÃO AS NOSSAS SUGESTÕES?
Evitar relações de confiança muito profundas, mantendo-as no máximo com um nível de profundidade. 

 Ter na documentação uma representação gráfica da relação de confiança, usando de diagramas, mapas e similares, para facilitar a visualização e entendimento. 

 Implementar uma verificação periódica para detectar relações de confiança redundantes ou expirados. 

 Criar processo interno, idealmente com o Departamento de Pessoal (RH), com o objetivo de obter informação sobre desligamento/licença de pessoal, de forma a bloquear ou revogar os usuários de rede.