Compartilhar via

Atenda aos requisitos de identidade do memorando 22-09 com o Microsoft Entra ID

  • Artigo

A Ordem Executiva para Melhorar a Segurança Cibernética do País (14028) orienta as agências federais a avançar em medidas de segurança que reduzam significativamente o risco de ataques cibernéticos bem-sucedidos contra a infraestrutura digital do governo federal. Em 26 de janeiro de 2022, em apoio à Ordem Executiva (EO) 14028, o Escritório de Gestão e Orçamento (OMB) lançou a estratégia de Confiança Zero federal no Memorando M 22-09 para Chefes de Departamentos e Agências Executivas.

Esta série de artigos tem diretrizes para empregar o Microsoft Entra ID como um sistema centralizado de gerenciamento de identidades ao implementar princípios de Confiança Zero, conforme descrito no memorando 22-09.

O memorando 22-09 dá suporte à iniciativas de Confiança Zero em agências federais. Ele possui diretrizes regulatórias para a segurança cibernética federal e as leis de privacidade de dados. O memorando cita a Arquitetura de referência de Confiança Zero do Departamento de Defesa dos EUA (DoD):

"O princípio fundamental do modelo de Confiança Zero é que nenhum ator, sistema, rede ou serviço que opera fora ou dentro do perímetro de segurança é confiável. Em vez disso, devemos verificar tudo e qualquer coisa que tente estabelecer o acesso. É uma mudança de paradigma dramática na filosofia de como protegemos nossa infraestrutura, redes e dados, desde a verificação uma vez no perímetro até a verificação contínua de cada usuário, dispositivo, aplicativo e transação."

O memorando identifica cinco metas fundamentais a serem alcançadas pelas agências federais, organizadas com o Modelo de Maturidade CISA (arquitetura de sistemas de informações de segurança cibernética). O modelo de Confiança Zero CISA descreve cinco áreas complementares de esforços, ou pilares:

  • Identity
  • Dispositivos
  • Redes
  • Aplicativos e cargas de trabalho
  • Dados

Os pilares se interseccionam com:

  • Visibilidade
  • Análise
  • Automação
  • Orquestração
  • Governança

Escopo das diretrizes

Use a série de artigos para criar um plano para atender aos requisitos de memorando. Ele pressupõe o uso de produtos do Microsoft 365 e um locatário Microsoft Entra.

Saiba mais: Início Rápido: como criar um novo locatário no Microsoft Entra ID.

As instruções da série de artigos abrangem investimentos de agências em tecnologias da Microsoft que se alinham com as ações relacionadas à identidade do memorando.

  • Para usuários de agências, as agências empregam sistemas centralizados de gerenciamento de identidades que podem ser integrados a aplicativos e plataformas comuns
  • As agências usam autenticação multifator (MFA) forte em toda a empresa
    • A MFA é imposta na camada do aplicativo, não na camada de rede
    • Para a equipe da agência, prestadores de serviço e parceiros, a MFA resistente a phishing é necessária
    • Para usuários públicos, MFA resistente a phishing é uma opção
    • As políticas de senha não exigem caracteres especiais ou rotação regular
  • Quando as agências autorizam o acesso de usuários aos recursos, elas consideram pelo menos um sinal no nível do dispositivo, com informações de identidade sobre o usuário autenticado

Próximas etapas