Modelo de Maturidade de Confiança Zero da CISA para o Pilar de Identidade

Um IdP (provedor de identidade unificado) é crucial para gerenciar o acesso efetivamente; garante que usuários e entidades tenham o acesso certo aos recursos sem permissões excessivas. A integração de soluções de gerenciamento de identidade, credencial e acesso cria autenticação forte, autorização baseada em contexto personalizada e avaliação de risco de identidade.

O Escritório de Gestão e Orçamento (OMB) Memorando-22-09, lançado em apoio à Ordem Executiva 14028: Melhorando a Segurança Cibernética da Nação, determina que as agências federais empreguem sistemas centralizados de gerenciamento de identidades para seus usuários. Esses sistemas podem se integrar a aplicativos e plataformas comuns, garantindo uma abordagem unificada para o gerenciamento de identidades. Esse requisito faz parte da estratégia de Confiança Zero que aprimora a segurança cibernética e a privacidade de dados. Recomendamos a consolidação de IdPs, repositórios de identidade e sistemas de gerenciamento de identidade por meio da adoção do ID do Microsoft Entra como o IdP.

Para obter mais informações, consulte Atender aos requisitos de identidade do M-22-09 com a ID do Microsoft Entra.

Use os links a seguir para acessar as seções do guia.

1 Identidade

Esta seção tem diretrizes e recomendações da Microsoft para o Modelo de Maturidade de Confiança Zero da CISA no Pilar de Identidade. A CISA (Cybersecurity & Infrastructure Security Agency) identifica a identidade como um atributo ou conjunto de atributos, que descreve exclusivamente um usuário ou entidade da agência, incluindo entidades não pessoais. Para saber mais, confira Proteger a identidade com Confiança Zero.

1.1 Função: Autenticação

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial Enterprise autentica a identidade usando a MFA, que pode incluir senhas como um fator e requer a validação de vários atributos de entidade (por exemplo, localidade ou atividade).	ID do Microsoft Entra Estabelecer uma fundação de identidade consolidando os provedores de identidade, colocando a ID do Microsoft Entra no caminho de cada solicitação de acesso. Enquanto você identifica e migra aplicativos para a ID do Microsoft Entra, implemente uma política que obriga a integração de novos aplicativos à ID do Microsoft Entra. Essa ação garante que as políticas de segurança, como a MFA (autenticação multifator) e a validação de atributo de entidade, sejam aplicadas de forma consistente para o acesso aos recursos empresariais. Ao longo de 2024-2025, a Microsoft está implementando a imposição de MFA para portais administrativos. A Microsoft recomenda que as contas usem MFA. - Migrar aplicativos e autenticação para a ID do Microsoft Entra - MFA obrigatória do Microsoft Entra - Segurança de identidade com Confiança Zero Métodos de autenticação do Microsoft Entra Habilitar métodos de MFA permitidos pela empresa com configurações de política no Microsoft Entra. Habilite os métodos que os usuários selecionam ou usam no momento do login. - Gerenciar métodos de autenticação - Visão geral do Microsoft Entra MFA Microsoft Entra Conditional Access Criar uma política de Acesso Condicional para exigir MFA para todos os aplicativos em nuvem. Qualquer método de autenticação multifator satisfaz o controle de concessão "exigir MFA" no Acesso Condicional. Inclua a validação de vários atributos de entidade, como localidade e atividade. Use o direcionamento do aplicativo e as condições de rede. - Habilitar a autenticação multifator - Aplicativos de nuvem, ações e autenticação em Acesso Condicional - Rede na política de Acesso Condicional ID Externa do Microsoft Entra Exigir MFA para todos os usuários, incluindo convidados externos. Defina as configurações de confiança de acesso entre locatários para melhorar a experiência de colaboração de parceiros. Acesso entre locatários para colaboração B2B
Status de Maturidade Avançada Enterprise começa a autenticar todas as identidades usando MFA e atributos resistentes a phishing, incluindo a implementação inicial de MFA sem senha via FIDO2 ou PIV.	ID do Microsoft Entra Migrar aplicativos atuais para usar a ID do Microsoft Entra como o IdP (provedor de identidade). Exigir integração com a ID do Microsoft Entra para novos aplicativos. Inclua aplicativos usando protocolos de autenticação herdados com o proxy de aplicativo do Microsoft Entra. Migrar para autenticação gerenciada na nuvem e de IdPs federados com a Distribuição em etapas. Essas ações garantem que a MFA resistente a phishing seja aplicada consistentemente para acesso aos recursos corporativos. - Migrar aplicativos e autenticar para a ID do Microsoft Entra - Galeria de aplicativos do Microsoft Entra - Proxy de aplicativo do Microsoft Entra para publicar aplicativos locais - Autenticação na nuvem com a distribuição em etapas Acesso condicional Configurar pontos fortes de autenticação de acesso condicional para exigir MFA resistente a phishing, incluindo MFA sem senha, como chaves de passagem FIDO2 (Fast IDentity Online 2) ou CBA (autenticação baseada em certificado) com cartões PIV (verificação de identidade pessoal). Pontos fortes de autenticação do Microsoft Entra Métodos de autenticação do Microsoft Entra Implementar políticas de autenticação com métodos resistentes a phishing, como chaves de acesso no Microsoft Authenticator, Microsoft Entra CBA, Windows Hello para Empresas e chaves de acesso. Consulte também as chaves de segurança FIDO2. Para migrar os usuários da autenticação multifator que não é resistente a phishing, exclua-os de métodos de autenticação mais fracos. - Métodos de autenticação - Microsoft Entra CBA - chave de segurança sem senha - Chaves de acesso no aplicativo Authenticator - Windows Hello para Empresas - Requisitos de autenticação multifator (MFA) M-22-09 ID Externa do Microsoft Entra Configurar políticas de acesso entre locatários para confiar na autenticação multifator de parceiros. Permitir que usuários externos usem métodos de autenticação resistentes a phishing para acessar recursos. Acesso entre locatários para B2B
Status de maturidade ideal A empresa valida continuamente a identidade com MFA resistente a phishing, não apenas quando o acesso é concedido inicialmente.	Acesso Condicional As políticas de Acesso Condicional são avaliadas continuamente durante toda a sessão de um usuário. Configurar os controles de sessão para aumentar a frequência de login necessária em determinadas condições, como quando o usuário ou o login são detectados como arriscados no Microsoft Entra ID Protection. Controles de sessão CAE (Avaliação Contínua de Acesso) Habilitar a Avaliação Contínua de Acesso para eventos críticos e validação de acesso contínuo quase em tempo real. - Avaliação Contínua de Acesso para Microsoft 365 - APIs habilitadas para CAE em aplicativos -

1.2 Função: Repositórios de identidade

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial Enterprise tem uma combinação de repositórios de identidades autogerenciadas e repositórios de identidade hospedados (por exemplo, nuvem ou outra empresa) com integração mínima entre os repositórios (por exemplo, logon único).	ID do Microsoft Entra As empresas podem ter aplicativos integrados a vários repositórios de identidade e/ou IdPs (provedores de identidade). Consolide e adote a ID do Microsoft Entra como o IdP da empresa. Planeje a adoção da nuvem e a redução das dependências do repositório de identidade local. - Mover identidade e acesso para a ID do Microsoft Entra - Migrar aplicativos e autenticação para a ID do Microsoft Entra Faça o inventário de aplicativos, usuários, grupos e dispositivos. Tenha uma contagem precisa de repositórios de identidade. Inclua repositórios de identidade ou IdPs, como os Serviços de Federação do Active Directory (AD FS) ou IdPs de terceiros. Para garantir que os atributos de usuário, grupo e dispositivo sejam atualizados consistentemente entre plataformas, sincronize as identidades entre o AD DS (Active Directory Domain Services) local e a ID do Microsoft Entra. - Microsoft Entra Connect Sync - Microsoft Entra Cloud Sync - SSO (logon único) - Migração de aplicativo para a ID do Microsoft Entra - Integrações do Microsoft Entra com protocolos de autenticação Microsoft Intune Dispositivos ingressados no domínio atual do AD DS do Microsoft Entra. Para modernizar o gerenciamento de dispositivos, evite a junção de domínio de novas estações de trabalho. Gerenciar dispositivos com o Microsoft Intune. - Abordagem de nuvem em primeiro lugar - Dispositivos ingressados híbridos - SSO para recursos nas instalações locais com dispositivos ingressados - Microsoft Intune
Status de Maturidade Avançada Enterprise começa a consolidar e integrar com segurança alguns repositórios de identidades autogerenciados e hospedados.	ID do Microsoft Entra A empresa adotou a ID do Microsoft Entra como repositório de identidade e IdP. Novos aplicativos se integram à ID do Microsoft Entra. Para migração, inventariar aplicativos atuais não integrados à ID do Microsoft Entra. Aplicativos herdados que não dão suporte à autenticação moderna podem usar o Microsoft Entra ID para acesso híbrido seguro (SHA) com o proxy de aplicativo do Microsoft Entra. Para usar protocolos de autenticação modernos, substitua, refatore ou reconfigure aplicativos. - galeria de aplicativos do Microsoft Entra - Migrar aplicativos e autenticar para o Microsoft Entra ID
Status de Maturidade Ideal A empresa integra com segurança seus repositórios de identidade em todos os parceiros e ambientes quando apropriado.	ID do Microsoft Entra Migração de aplicativo para ID do Microsoft Entra está concluída. O acesso aos recursos corporativos requer autenticação com a ID do Microsoft Entra. Microsoft Entra External ID Habilitar a colaboração segura com a ID Externa. Configure a sincronização entre locatários para reduzir a carga administrativa de TI. Forneça experiências contínuas e automatizadas do usuário. - ID Externa - Sincronização entre locatários no Microsoft Entra Provisionamento de aplicativos no Microsoft Entra Para aplicativos com repositórios de identidade, configure o provisionamento de aplicativos para gerenciar identidades e papéis. - Provisionamento de aplicativos - Provisionamento de aplicativos locais - Configurar o aplicativo de provisionamento orientado por API - Proxy de aplicativo do Microsoft Entra para publicar aplicativos locais Provisionamento de entrada do Microsoft Entra para RH Modernizar com o provisionamento de identidade orientado por RH. Crie identidades digitais com base em um sistema de RH, a fonte autoritativa para novas identidades digitais. O provisionamento geralmente começa neste momento. Use o Microsoft Entra com sistemas de RH locais para criar e atualizar usuários no Active Directory ou no Microsoft Entra ID. provisionamento controlado por RH Microsoft 365 para empresas Use o recurso de organização multilocatário no Microsoft Entra ID e no Microsoft 365 para formar um grupo de locatários e simplificar a colaboração entre locatários intra-organizacionais. As organizações multilocatários na ID do Microsoft Entra e no Microsoft 365 permitem a experiência de pesquisa unificada de pessoas, a GAL (lista de endereços global) e a colaboração aprimorada Microsoft Teams em vários locatários. - Funcionalidades de organização multilocatário - Organizações multilocatários no Microsoft 365

1.3 Função: Avaliações de risco

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial A empresa determina o risco de identidade usando métodos manuais e regras estáticas para dar suporte à visibilidade.	As empresas podem revisar manualmente os eventos de segurança e as linhas de base de configuração. ID do Microsoft Entra Use os logs do Microsoft Entra para avaliar aspectos do locatário do Microsoft Entra. A ID do Microsoft Entra tem opções para acessar dados de log de atividades e relatórios para vários cenários. - Transmitir logs de atividades para integrar ferramentas - Logs de atividades com a API do Microsoft Graph - Integrar logs de atividades - Logs de atividades em tempo real com o Sentinel - Logs e relatórios de atividades no portal do Azure - Exportar logs de atividades para armazenamento e consultas Configurar configurações de diagnóstico no Microsoft Entra ID para integrar logs com o Azure Monitor. Transmitir logs para um hub de eventos ou arquivar logs em uma conta de armazenamento. Configurações de diagnóstico de
Status de Maturidade Avançada Enterprise determina o risco de identidade com algumas análises automatizadas e regras dinâmicas para informar as decisões de acesso e as atividades de resposta.	Proteção do Microsoft Entra ID Configurar políticas de Acesso Condicional do Microsoft Entra baseadas em risco para avaliar o risco do usuário e de entrada. Configure políticas de Acesso Condicional com atividades de resposta, com base em uma avaliação do impacto do usuário. Por exemplo, alto risco de usuário e de entrada: bloquear o acesso ou configurar o controle de sessão da frequência de entrada no sistema. Use os pontos fortes de autenticação que exigem um cartão PIV (verificação de identidade pessoal) ou métodos de autenticação resistentes a phishing. - Proteção da ID do Microsoft Entra - Política de registro de MFA - Identidades de carga de trabalho seguras - Acesso condicional baseado em risco Microsoft Sentinel Os alertas da Proteção da ID do Microsoft Entra aparecem automaticamente no Microsoft Defender XDR. Conecte o Microsoft Defender XDR ao Microsoft Sentinel para maior visibilidade, correlação com dados nãoXDR, retenção de dados mais longa e automação de resposta mais personalizável. - Defender XDR - Conectar o Defender XDR ao Sentinel
Status de Maturidade Ideal Enterprise determina o risco de identidade em tempo real com base na análise contínua e nas regras dinâmicas para fornecer proteção contínua.	Acesso Condicional Configure o controle de Acesso Condicional para aplicativos de nuvem. Proteja dispositivos com o Microsoft Defender para Endpoint e habilite o Microsoft Defender para Office 365 para proteger contra ameaças em e-mail, links (URLs), anexos de arquivo e ferramentas de colaboração. - Monitoramento de acesso a aplicativos com o Defender para Aplicativos de Nuvem e ID do Microsoft Entra - Implantar o Defender para Ponto de Extremidade - Implantar o Defender para Office 365 Gerenciamento de Riscos Internos do Microsoft Purview Configurar o Gerenciamento de Riscos Internos para detectar, investigar e agir sobre atividades maliciosas ou acidentais. Use políticas de risco interno para definir tipos de risco para identificar e detectar. Resolva os casos ou envie-os para Descoberta Eletrônica do Microsoft Purview (Premium), se necessário. - Microsoft Purview - Gerenciamento de Riscos Internos - Bloquear acesso a riscos internos Microsoft Defender XDR Microsoft Defender para Ponto de Extremidade, Defender para Aplicativos de Nuvem e Defender para Office detectam atividades incomuns e contribuem com sinais de risco para os níveis de risco para entrada e usuário na Proteção de ID do Microsoft Entra. Detecções de risco

1.4 Função: Gerenciamento de acesso

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial A empresa autoriza o acesso, incluindo solicitações de acesso privilegiado, que expira após uma revisão automatizada.	Microsoft Entra Conditional Access Configurar o Acesso Condicional para aplicar a política no uso de aplicativos. O Acesso Condicional usa sinais de várias fontes para autorizar o acesso. Acesso Condicional Gerenciamento de direitos do Microsoft Entra Configurar pacotes de acesso na gestão de direitos para gerenciar solicitações de acesso e fluxos de trabalho de aprovação em funções e grupos, abrangendo funções e grupos privilegiados. Configurar a automação de revisão de acesso; inclua expiração e remoção de funções e grupos. - Gerenciamento de direitos - Pacotes de acesso e gerenciamento de direitos - Revisões de acesso
Status de Maturidade Avançada A empresa autoriza o acesso baseado em necessidade e acesso baseado em sessão, incluindo solicitações de acesso privilegiado, os quais são adaptados às ações e recursos.	Acesso Condicional Configure o Acesso Condicional para autorizar, incluindo acesso baseado em sessão. Recursos de destino, funções e funções privilegiadas. Acesso Condicional o Microsoft Entra Privileged Identity Manager Configurar o PIM para gerenciar, controlar e monitorar o acesso a recursos importantes, como funções e grupos personalizados. Personalizar o acesso a ações e recursos específicos. - Privileged Identity Management - funções personalizadas do Azure no PIM - PIM para Grupos gerenciamento de acesso privilegiado do Microsoft Purview Configurar o gerenciamento de acesso privilegiado para controle de acesso granular de tarefas de administrador privilegiado no Office 365. - Gerenciamento de acesso privilegiado - Introdução ao PAM
Status de Maturidade Ideal A empresa utiliza automação para autorizar o acesso just-in-time e just-enough, adaptado a ações e necessidades individuais de recursos.	Governança da ID do Microsoft Entra Configure na Governança da ID do Microsoft Entra os pacotes de acesso para automatizar a concessão de JIT (just-in-time) e JEA (acesso just-enough), ajustados para ações pessoais e necessidades específicas de recursos.  - Gerenciamento de direitos - Pacotes de acesso

1.5 Função: Visibilidade e análise

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial A empresa coleta logs de atividade de usuário e entidade e executa análise manual de rotina e algumas análises automatizadas, com correlação limitada entre tipos de log.	ID do Microsoft Entra, Azure Monitor Arquive logs do Microsoft Entra em uma conta de armazenamento ou integre-os ao Azure Monitor. Facilite a análise manual de rotina com a Biblioteca de dados do Kusto e pastas de trabalho de identidade internas com correlação de tipos de log. - Monitoramento e integridade do Microsoft Entra - Arquivar logs de atividades no Armazenamento do Azure - Integrar logs com logs do Azure Monitor - Logs de atividades e Log Analytics - Pastas de trabalho do Microsoft Entra
Status de Maturidade Avançada A empresa executa uma análise automatizada em alguns tipos de log de atividades de usuário e entidade e complementa a coleção para resolver lacunas na visibilidade.	ID do Microsoft Entra, Microsoft Defender XDR, Microsoft Sentinel Ingressar logs de atividades da ID do Microsoft Entra, junto com outras categorias de logs de identidade das configurações de diagnóstico e do Defender XDR, em uma solução de gerenciamento de eventos de informações de segurança (SIEM), como o Sentinel. - Integridade e monitoramento do Microsoft Entra - Logs de entrada na ID do Microsoft Entra - Microsoft Sentinel - Conectar dados do Microsoft Entra ao Sentinel - Defender para Identidade - Conectar dados do Defender XDR ao Sentinel - Defender para Aplicativos de Nuvem
Status de Maturidade Ótima A empresa mantém visibilidade abrangente e reconhecimento situacional em todas as empresas executando análise automatizada sobre tipos de log de atividades do usuário, incluindo análises baseadas em comportamento.	Proteção de ID do Microsoft Entra Habilite a Proteção de ID para monitorar padrões de comportamento dos usuários e identificar riscos.  Configure a detecção de risco interno e integre-se ao Acesso Condicional. - Proteção de Identidade - Políticas de risco Sentinel, Detecção e Resposta a Ameaças de Identidade Regras de análise do Sentinel e análise de eventos em quase tempo real ingerem e analisam logs do Microsoft Entra. Habilite a identificação proativa e a resposta a eventos e riscos de segurança com análise avançada, fluxos de trabalho de gerenciamento de incidentes e integração de inteligência contra ameaças. Simplifique a investigação de incidentes e aprimore a postura de segurança da empresa. - Microsoft Sentinel - Regras de análise de detecção em quase tempo real - Conector de dados de inteligência sobre ameaças - Comportamento de usuário e entidade (UEBA)

1.6 Função: Automação e orquestração

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial Enterprise orquestra manualmente identidades privilegiadas e externas e automatiza a orquestração de usuários não privilegiados e de entidades autogerenciadas.	Microsoft Entra Connect, Microsoft Entra Cloud Sync Com o Active Directory local, automatize a orquestração de usuários não privilegiados com o Entra Connect e/ou o Entra Cloud Sync. Não sincronize usuários privilegiados do Active Directory local. No percurso em direção a uma identidade voltada para a nuvem, orquestre usuários não privilegiados com o Provisionamento de RH do Microsoft Entra. - Microsoft Entra Connect v2 - Microsoft Entra Cloud Sync - Proteger o Microsoft 365 contra ataques locais - aplicativo de RH na Nuvem para o provisionamento de usuário do Microsoft Entra
Status de Maturidade Avançada Enterprise orquestra manualmente identidades de usuário com privilégios e automatiza a orquestração de todas as identidades com integração em todos os ambientes.	Provisionamento de aplicativos do Microsoft Entra Com o provisionamento de aplicativos do Microsoft Entra, automatize a orquestração de identidades em ambientes, como provedores de nuvem ou aplicativos SaaS (software como serviço). - Provisionamento de aplicativos na ID do Microsoft Entra - Sincronização do Sistema de Gerenciamento de Usuários entre Domínios (SCIM) com a ID do Microsoft Entra ID Externa do Microsoft Entra Configurar a sincronização entre locatários para automatizar a orquestração de identidade em ambientes de parceiro. - ID externa - Sincronização entre Locatários na ID do Microsoft Entra - Configurar sincronização entre locatários
Status de Maturidade Ideal A empresa automatiza a orquestração de todas as identidades com integração completa em todos os ambientes com base em comportamentos, registros e necessidades de implantação.	Governança da ID do Microsoft Entra Neste estágio de maturidade, a orquestração de identidade está concluída. Consultestatus avançado de. O gerenciamento de direitos do Microsoft Entra é implementado para orquestrar o acesso gerenciado de usuário, aplicativo, função e grupo. Conclua a integração de identidade configurando identidades de usuário com privilégios com o PIM (Privileged Identity Management). Use fluxos de trabalho do ciclo de vida para automatizar a movimentação entre cenários de entrada, movimentação e saída. - gerenciamento de direitos - saiba mais sobre o PIM - fluxos de trabalho do ciclo de vida

1.7 Função: Governança

Descrição do estágio CISA ZTMM	Diretrizes e recomendações da Microsoft
Status de Maturidade Inicial A empresa define e começa a implementar políticas de identidade para aplicação em toda a organização, com automação mínima e atualizações manuais.	Use o Microsoft Entra ID como provedor de identidade (IdP) para novas integrações de aplicativos. Migrar aplicativos atuais para a ID do Microsoft Entra. Configure as políticas de Acesso Condicional do Microsoft Entra para impor requisitos de toda a empresa e ser o PEP (ponto de imposição de política) para acesso a aplicativos e recursos. Implemente a autorização e o mapeamento de papéis para aplicativos atuais e futuros usando o controle de acesso baseado em papéis (RBAC), mapeamento de declarações e provisionamento externo. - Governança da ID do Microsoft Entra - Acesso Condicional
Status de Maturidade Avançada A empresa implementa políticas de identidade para a aplicação em toda a empresa com automação e atualiza as políticas periodicamente.	Acesso Condicional Utilize o Acesso Condicional para a imposição de políticas de identidade em toda a empresa. Revise e implemente recomendações para a ID do Microsoft Entra do projeto SCuBA (Secure Cloud Business Applications) do CISA ,, e automatize a configuração de Acesso Condicional usando suas APIs. - Implantação de Acesso Condicional - Tipo de recurso CISA SCuBA e ID do Microsoft Entra - condtionalAccessPolicy
Status de Maturidade Ideal A empresa implementa e automatiza totalmente políticas de identidade de toda a empresa para todos os usuários e entidades em todos os sistemas com aplicação contínua e atualizações dinâmicas.	Microsoft Entra ID Exigir acesso ao aplicativo para usar a ID do Microsoft Entra, impondo assim a avaliação do Acesso Condicional. Use a avaliação de acesso contínuo (CAE) da ID do Microsoft Entra para aplicação quase em tempo real e proteção de identidade. Essa ação permite a adaptação dinâmica aos riscos ambientais. Para impor a avaliação contínua, integre o CAE a aplicativos e APIs personalizados com código. - Avaliação de acesso contínuo - APIs em aplicativos habilitadas para CAE - Proteção de ID do Microsoft Entra Acesso Seguro Global Configurar a imposição de rede compatível para reduzir o risco de roubo de token e ataques de repetição . A imposição trabalha com serviços que dão suporte à CAE. O aplicativo rejeita tokens de acesso roubados, retransmitidos fora da rede compatível com o locatário, quase em tempo real. - Global Secure Access - Microsoft Entra Internet Access - Verificação de rede compatível com acesso condicional

Próximas etapas

Configure os Serviços de Nuvem da Microsoft para o Modelo de Maturidade de Confiança Zero CISA.

Comentários

Esta página foi útil?

Last updated on 2025-01-03