Criar um plano de segurança para acesso externo a recursos

Antes de criar um plano de segurança de acesso externo, examine os dois artigos a seguir, que adicionam contexto e informações para o plano de segurança.

• Determine sua postura de segurança para acesso externo com a ID do Microsoft Entra
• Descubra o estado atual de colaboração externa na sua organização

Antes de começar

Este artigo é o número 3 em uma série de 10 artigos. Recomendamos que você revise os artigos na ordem. Vá para a seção Próximas etapas para ver toda a série.

Documentação do plano de segurança

Para seu plano de segurança, documente as seguintes informações:

• Aplicativos e recursos agrupados para acesso
• Condições de entrada para usuários externos
  • Estado do dispositivo, local de login, requisitos do aplicativo cliente, risco do usuário e assim por diante.
• Políticas para determinar o tempo para revisões e remoção de acesso
• Populações de usuário agrupadas por experiências similares

Para implementar o plano de segurança, você pode usar políticas de gerenciamento de identidade e acesso da Microsoft ou outro provedor de identidade (IdP).

Saiba mais: Visão geral do gerenciamento de identidade e acesso

Usar grupos para acesso

Confira os seguintes links para artigos sobre estratégias de agrupamento de recursos:

• O Microsoft Teams agrupa arquivos, threads de conversa e outros recursos
  • Formule uma estratégia de acesso externo para o Teams
  • Consulte Proteger o acesso externo ao Microsoft Teams, SharePoint e OneDrive for Business com o Microsoft Entra ID
• Use pacotes de acesso de gerenciamento de direitos para criar e delegar o gerenciamento de pacotes de aplicativos, grupos, equipes, sites do SharePoint e assim por diante.
  • Criar um pacote de acesso no gerenciamento de direitos
• Aplicar políticas de acesso condicional em até 250 aplicativos com os mesmos requisitos de acesso
  • O que é Acesso Condicional?
• Definir o acesso para grupos de aplicativos de usuário externos
  • Visão geral: acesso entre locatários com a ID Externa do Microsoft Entra

Documente os aplicativos agrupados. Entre as considerações estão:

• Perfil de risco – avalie o risco se um ator proibido obtiver acesso a um aplicativo
  • Identifique o aplicativo como Alto, Médio ou Baixo risco. Recomendamos que você não agrupe Alto risco com Baixo risco.
  • Documentar aplicativos que não devem ser compartilhados com usuários externos
• Estruturas de conformidade – determine as estruturas de conformidade para aplicativos
  • Identificar os requisitos de acesso e de revisão
• Aplicativos para funções ou departamentos – avalie aplicativos agrupados para uma função ou acesso ao departamento
• Aplicativos de colaboração – identifique os aplicativos de colaboração que usuários externos podem acessar, como o Teams ou SharePoint
  • Para aplicativos de produtividade, os usuários externos podem ter licenças ou você pode fornecer acesso

Documente as informações a seguir para acesso ao aplicativo e ao grupo de recursos por usuários externos.

• Nome descritivo do grupo, por exemplo High_Risk_External_Access_Finance
• Aplicativos e recursos no grupo
• Proprietários de aplicativos e recursos e suas informações de contato.
• A equipe de TI controla o acesso ou o controle é delegado a um proprietário comercial
• Pré-requisitos para acesso: verificação de antecedentes, treinamento e assim por diante.
• Requisitos de conformidade para acessar recursos
• Desafios, por exemplo, autenticação multifator para alguns recursos
• Cadência para revisões, por quem e onde resultados estão documentados

Documentar as condições de conexão para usuários externos

Determine os requisitos de entrada para usuários externos que solicitam acesso. Requisitos básicos no perfil de risco do recurso e na avaliação de risco do usuário durante a entrada. Configure as condições de entrada usando o acesso condicional: uma condição e um resultado. Por exemplo, você pode exigir autenticação multifator.

Saiba mais sobre: o que é acesso condicional?

Condições de entrada do perfil de risco de recurso

Considere as seguintes políticas baseadas em risco para acionar a autenticação multifator.

• Baixa - autenticação multifator para alguns conjuntos de aplicativos
• Média - autenticação multifatorial quando outros riscos estão presentes
• Alta - usuários externos sempre usam autenticação multifator

Saiba mais:

• Tutorial: Aplicar autenticação multifator para usuários convidados B2B
• Confie na autenticação multifator de locatários externos
  • Confira: definir configurações de acesso entre locatários para colaboração B2B; modificar configurações de acesso de entrada

Condições de entrada de usuários e dispositivos

Use a tabela a seguir para ajudar a avaliar a política para resolver o risco.

Para usar o estado do dispositivo como entrada de política, registre-se ou junte o dispositivo ao seu locatário. Para confiar nas declarações do dispositivo do locatário inicial, defina as configurações de acesso entre locatários. Confira: modificar configurações de acesso de entrada.

Você pode usar políticas de risco de proteção de identidade. No entanto, atenue problemas no locatário inicial do usuário. Confira: política de acesso condicional comum: autenticação multifator baseada em risco de entrada.

Para locais de rede, é possível restringir o acesso a qualquer intervalo de endereços IP que você possui. Use esse método se parceiros externos acessam aplicativos enquanto estão na localização. Confira: acesso condicional: bloquear o acesso por localização

Documentar políticas de revisão de acesso

Documentar políticas que determinam quando examinar o acesso a recursos e remover o acesso à conta para usuários externos. As entradas podem incluir:

• Requisitos de estruturas de conformidade
• Processos e políticas de negócios internos
• Comportamento do usuário

Em geral, as organizações personalizam a política, no entanto, considere os seguintes parâmetros:

• Revisões de acesso de gerenciamento de direitos:
  • Alterar as configurações do ciclo de vida de um pacote de acesso no gerenciamento de direitos
  • Crie uma revisão de acesso de um pacote de acesso no gerenciamento de direitos
  • Adicionar uma organização conectada no gerenciamento de direitos: Agrupar usuários de um parceiro e agendar revisões
• Grupos do Microsoft 365
  • Política de expiração de grupos do Microsoft 365
• Opções:
  • Se os usuários externos não usarem pacotes de acesso ou grupos do Microsoft 365, determine quando as contas ficam inativas ou são excluídas
  • Remover a entrada de contas que não se conectarem por 90 dias
  • Avaliar regularmente o acesso de usuários externos

Métodos de controle de acesso

Alguns recursos, por exemplo, gerenciamento de direitos, estão disponíveis com uma licença da ID do Microsoft Entra P1 ou P2. As licenças do Microsoft 365 E5 e do Office 365 E5 incluem as licenças do Microsoft Entra ID P2. Saiba mais na seção de gerenciamento de direitos a seguir.

Outras combinações do Microsoft 365, do Office 365 e do Microsoft Entra ID têm funcionalidade para gerenciar usuários externos. Veja, Orientações do Microsoft 365 para segurança e conformidade.

Controlar o acesso com o Microsoft Entra ID P2, Microsoft 365 ou Office 365 E5

O Microsoft Entra ID P2, incluído no Microsoft 365 E5, tem recursos adicionais de segurança e governança.

Provisionar, entrar, examinar o acesso e desprovisionar o acesso

Entradas em negrito são ações recomendadas.

Acesso a recursos

Entradas em negrito são ações recomendadas.

Gerenciamento de direitos

Use o gerenciamento de direitos para provisionar e desprovisionar o acesso a grupos e equipes, aplicativos e sites do SharePoint. Defina o acesso concedido, solicitações de autoatendimento e fluxos de trabalho de aprovação das organizações conectadas. Para garantir que o acesso termine corretamente, defina políticas de expiração e revisões de acesso para pacotes.

Saiba mais sobre: criar um novo pacote de acesso no gerenciamento de direitos

Gerenciar o acesso com o Microsoft Entra ID P1, Microsoft 365, Office 365 E3

Provisionar, entrar, examinar o acesso e desprovisionar o acesso

Itens em negrito são ações recomendadas.

Acesso a recursos

Próximas etapas

Confira os artigos a seguir para saber mais sobre como proteger o acesso externo aos recursos. Recomendamos que você siga a ordem listada.

1. Determine sua postura de segurança para acesso externo com a ID do Microsoft Entra

2. Descubra o estado atual de colaboração externa na sua organização

3. Criar um plano de segurança para acesso externo a recursos (Você está aqui)

4. Proteger o acesso externo com grupos na ID do Microsoft Entra e no Microsoft 365

5. Transição para colaboração governada com colaboração B2B do Microsoft Entra

6. Gerenciar o acesso externo com o gerenciamento de direitos do Microsoft Entra

7. Gerenciar o acesso externo com políticas de Acesso Condicional

8. Controlar acesso externo aos recursos no Microsoft Entra ID com rótulos de confidencialidade

9. Proteger o acesso externo ao Microsoft Teams, SharePoint e OneDrive for Business com o Microsoft Entra ID

10. Converter contas de convidado locais nas contas de convidado B2B do Microsoft Entra