PIM, Privileged Identity Management, este mecanismul prin care accesul administrativ poate fi acordat temporar și controlat. În loc ca o identitate să păstreze permanent un rol privilegiat, aceasta poate deveni eligibilă și activa rolul numai pentru intervenția necesară, în condițiile stabilite de organizație.
01. Ce este accesul PIM în termeni operaționali
Un cont de administrator permanent este o expunere permanentă. Dacă acea identitate este compromisă, dacă parola ajunge într-un atac de phishing sau dacă dispozitivul administratorului este preluat, atacatorul nu mai trebuie să obțină privilegii suplimentare. Le are deja.
Din acest motiv, întrebarea „ce este accesul PIM” nu ține doar de configurarea Microsoft 365 sau Azure. Ea ține de modul în care organizația limitează și poate demonstra controlul asupra privilegiilor critice.
PIM vine de la Privileged Identity Management și separă două noțiuni importante: eligibilitatea pentru un rol și privilegiul activ.
O persoană poate fi eligibilă să administreze o platformă fără să dețină permanent drepturile administrative. Atunci când apare o sarcină legitimă, persoana activează rolul pentru intervalul necesar. După expirarea activării, privilegiul nu mai rămâne disponibil ca acces activ.
| Model de acces | Ce înseamnă | Expunere |
|---|---|---|
| Permanent active | Utilizatorul deține permanent privilegiul și îl poate utiliza fără o activare suplimentară. | Ridicată pentru rolurile critice. |
| Eligible | Utilizatorul poate activa rolul atunci când apare o nevoie autorizată. | Redusă prin limitarea privilegiului activ. |
| Time bound | Eligibilitatea sau atribuirea este limitată la un interval definit. | Controlată prin expirarea atribuirii. |
Activarea poate fi condiționată de autentificare multifactor, justificare, aprobare și alte cerințe stabilite pentru rolul respectiv.
În ecosistemul Microsoft, PIM poate fi utilizat pentru activarea rolurilor Microsoft Entra și pentru acces privilegiat la resurse Azure .
Exemplele includ Global Administrator, Privileged Role Administrator, Exchange Administrator, Security Administrator, Subscription Owner și User Access Administrator.
Nu toate aceste roluri au același impact. Din acest motiv, configurarea uniformă a acelorași condiții pentru fiecare rol este rareori cea mai bună abordare.
02. De ce privilegiile permanente devin risc de business
Cu cât organizația păstrează mai multe identități cu privilegii permanente, cu atât crește suprafața de atac asociată accesului administrativ și impactul potențial al compromiterii unei singure identități.
Consecința nu este doar tehnică. Un administrator compromis poate modifica metode de autentificare, dezactiva controale, acorda privilegii suplimentare, modifica aplicații enterprise, accesa date sau afecta capacitatea organizației de a răspunde la incident.
Într-un mediu în care securitatea și responsabilitatea trebuie demonstrate , aceeași situație poate genera întrebări foarte concrete din partea boardului, clienților sau auditorilor. Cine a avut acces? De ce? Pentru cât timp? Cine a aprobat? Ce activitate a fost realizată?
PIM reduce perioada în care privilegiul este activ, însă nu elimină riscul. O identitate eligibilă compromisă poate deveni în continuare o țintă dacă procesul de activare este slab proiectat.
Din acest motiv, accesul privilegiat trebuie corelat cu MFA, Conditional Access, dispozitive controlate, logging și procese de răspuns la incident.
Aceste controale fac parte dintr-un model mai larg de securitate Microsoft 365 , în care identitatea, dispozitivul, aplicația și nivelul de risc contribuie împreună la decizia de acces.
03. Cum arată un control PIM proiectat corect
Punctul de plecare este inventarul privilegiilor. Organizația trebuie să știe ce roluri există, ce impact are fiecare, cine le deține, dacă accesul este activ permanent sau eligibil și ce nevoie operațională justifică fiecare excepție.
Assessment-ul scoate frecvent la suprafață conturi vechi, administratori acordați temporar care nu au mai fost revocați, furnizori cu acces excesiv și roluri mai puternice decât activitatea pe care utilizatorul trebuie să o desfășoare.
Aceste constatări trebuie raportate la riscul cibernetic real al organizației , nu doar la existența unei funcționalități în portal.
După inventar urmează prioritizarea. Rolurile care pot modifica metodele de autentificare, acorda privilegii, controla aplicațiile enterprise sau administra infrastructura critică trebuie tratate înaintea rolurilor cu impact limitat.
Pentru activări cu risc moderat poate fi suficientă autentificarea puternică și justificarea. Pentru roluri critice pot fi necesare aprobarea ownerului, asocierea unui ticket de schimbare, utilizarea unui dispozitiv controlat și limitarea activării la perioada minimă necesară.
Microsoft permite configurarea unor setări de activare pentru rolurile gestionate prin PIM , inclusiv cerințe legate de durata activării, autentificare, justificare, aprobare și notificări.
Privileged access baseline
Ce trebuie definit înainte de implementarea PIM.
Inventarul rolurilor privilegiate și al persoanelor care le utilizează.
Separarea rolurilor permanente de cele care pot deveni eligibile.
Durata maximă permisă pentru fiecare categorie de activare.
Cerințele de autentificare pentru activarea privilegiilor sensibile.
Rolurile care necesită justificare și aprobare înainte de activare.
Procesul aplicabil furnizorilor și administratorilor externi.
Monitorizarea activărilor și a modificărilor asupra rolurilor.
Frecvența revizuirii eligibilităților și a excepțiilor aprobate.
Conturile de urgență necesită un model separat
Conturile de urgență, cunoscute frecvent ca break glass accounts, au un scop diferit de identitățile administrative utilizate în activitatea curentă. Ele trebuie să permită recuperarea accesului atunci când mecanismele normale de identitate sau autentificare nu mai sunt disponibile.
Aceste conturi trebuie să fie foarte puține, protejate separat, monitorizate și testate controlat. Nu trebuie utilizate pentru administrarea curentă și nu reprezintă o justificare pentru păstrarea altor roluri permanente.
Microsoft publică separat recomandări pentru gestionarea conturilor de acces de urgență în Microsoft Entra.
Existența unui cont de urgență care nu a fost niciodată testat nu demonstrează continuitatea accesului administrativ. Demonstrează doar existența contului.
04. Exemplu de constatare și remediere PIM
O constatare posibilă într-un assessment este existența a 12 Global Administrators permanenți, dintre care trei aparțin unui furnizor extern, fără o legătură clară între activitatea lor administrativă și cererile aprobate.
Impactul este material. Compromiterea uneia dintre aceste identități poate permite modificarea mecanismelor de autentificare, acordarea altor privilegii și afectarea controlului asupra tenantului Microsoft 365.
Remedierea nu înseamnă mutarea automată a celor 12 conturi în PIM. Mai întâi se validează dacă fiecare persoană mai are nevoie de acces și dacă rolul acordat este cel minim necesar.
Atribuirile justificate sunt apoi transformate, acolo unde modelul operațional permite, în acces eligibil, iar pentru rolurile cu impact ridicat se configurează condiții proporționale cu riscul.
Pentru furnizori trebuie definit și un owner intern, intervalul în care accesul poate fi acordat, procesul de aprobare și utilizarea unor identități nominale, astfel încât activitatea administrativă să poată fi atribuită unei persoane.
| Constatare | Remediere | Dovadă |
|---|---|---|
| Global Administrator permanent | Validarea nevoii, least privilege și eligibilitate PIM unde este justificată. | Export de roluri și configurația assignmentului. |
| Furnizor cu acces permanent | Identitate nominală, owner intern, aprobare și acces limitat. | Activări PIM, ticket și aprobarea asociată. |
| Justificări generice | Referință către incident, change request sau activitate. | Istoricul activărilor și justificările păstrate. |
| Eligibilități nerevizuite | Review periodic și revocarea accesului nejustificat. | Rezultatul revizuirii și acțiunile aplicate. |
05. Ce dovezi trebuie să lase controlul PIM
O politică internă care spune că accesul privilegiat este temporar nu demonstrează că acesta chiar este temporar. Controlul trebuie să lase dovezi care permit verificarea configurației și reconstruirea utilizării privilegiului.
Pentru management, audit și investigații, organizația trebuie să poată corela privilegiul cu persoana, scopul, aprobarea, intervalul de utilizare și revizuirea ulterioară.
| Dovadă | Ce demonstrează |
|---|---|
| Role assignments | Cine deține acces activ, eligibil sau limitat în timp. |
| PIM role settings | Durata, autentificarea, justificarea, aprobarea și condițiile aplicabile activării. |
| Activation history | Cine a activat un rol, când și pentru cât timp. |
| Approval records | Cine a autorizat utilizarea unui privilegiu critic. |
| Access reviews | Că necesitatea accesului este reevaluată și că atribuirea nu continuă automat. |
| Exception register | De ce există acces permanent, cine acceptă riscul și când trebuie revizuită excepția. |
Același principiu este relevant și pentru evidențele utilizate într-un audit ISO 27001 . Existența tehnică a controlului și dovada funcționării lui sunt două lucruri diferite.
06. Ce trebuie monitorizat după implementarea PIM
PIM nu este un proiect care se închide după configurare. Rolurile și oamenii se schimbă, furnizorii se rotesc, iar serviciile cloud noi pot introduce privilegii suplimentare.
Revizuirea trebuie să urmărească atât eligibilitățile, cât și modul în care acestea sunt utilizate.
Merită urmărite activările în afara ferestrelor obișnuite, activările respinse, rolurile utilizate foarte frecvent, activările fără o justificare suficientă și apariția unor atribuiri permanente noi.
O frecvență mare de activare nu înseamnă automat activitate suspectă. Poate indica un rol prea larg, o durată configurată necorespunzător sau o nevoie operațională care trebuie reproiectată.
Logging-ul trebuie să permită reconstruirea evenimentului: cine a solicitat activarea, pentru ce rol, când, cu ce justificare, cine a aprobat și pentru cât timp privilegiul a fost disponibil.
Retenția acestor informații trebuie stabilită în raport cu investigațiile, auditul și cerințele interne de evidence management.
07. Întrebarea corectă pentru management
Managementul nu trebuie să întrebe doar dacă PIM este activat. Întrebarea utilă este ce acces privilegiat rămâne permanent, ce excepții sunt acceptate, cine își asumă aceste excepții și dacă organizația poate demonstra că activările au fost justificate și revizuite.
Răspunsul va diferi între o companie cu o echipă IT internă restrânsă și o organizație cu infrastructură critică, multiple servicii cloud și administrare externalizată.
Principiul rămâne însă același. Privilegiul trebuie acordat pentru o nevoie concretă, pentru perioada minimă necesară și cu suficientă trasabilitate pentru investigație, responsabilitate și audit.
Când aceste condiții sunt îndeplinite, PIM nu mai este doar o funcție activată în Microsoft Entra. Devine un control operațional care reduce expunerea asociată accesului privilegiat.
Pentru o evaluare mai largă, PIM trebuie analizat împreună cu riscul cibernetic , MFA, Conditional Access, postura endpoint-urilor și procesele de răspuns la incidente.