Modelo de arquitetura de segurança
A arquitetura de segurança Automation Anywhere Cognitive é fundamentada nos princípios de Menor Privilégio e um rigoroso modelo de Separação de Tarefa com 41 controles técnicos implementados em sete Famílias de Controle do NIST.
A estrutura do NIST foi selecionada como base para as melhores práticas, como forma de enumerar os controles implementados. Traduções de NIST para outras estruturas de controle estão disponíveis, os recursos estão na parte inferior desta seção.
A arquitetura de segurança do produto é mantida pela equipe de gestão de produtos do Automation Anywhere e faz parte de um modelo de política formal como parte integrante do roteiro de desenvolvimento do Automation Anywhere. A tabela abaixo enumera as famílias de controle e os recursos e impactos de segurança correspondentes. Detalhes sobre cada família de controle e como a arquitetura de segurança é implementada em Automation Anywhere os produtos estão nos tópicos correspondentes.
| Família de controle | Código de controle | Recurso Control Room | Impacto na segurança |
|---|---|---|---|
| Controles de acesso | AC-3, 6, 7, 9, 10, 12 | Controle de política central | Impor restrições de acesso para controle de alterações e privilégios mínimos nos componentes do sistema:
|
| AC-2, 3, 5, 6 | Controle de acesso baseado em função (RBAC) | Habilitar acesso do usuário, restringe privilégios operacionais, impõe princípios de privilégio mínimo | |
| AC-17 | repositório Bot | sistema de controle de versão Bot com restrições de acesso | |
| AC-3, 7, 9, 10, 11 | Bot e criptografia Bot Runner | Criptografia e ofuscação de informações confidenciais no nível bot por meio de cofre de credenciais e integração com sistemas de gerenciamento de chaves | |
| Gerenciamento de configuração (mudança) | CM-2, 5, 6, 7, 9 | Controle Bot Runner centralizado | Funcionalidade restrita baseada em funções, domínios, implementa exceções de recusa completa e permissão por exceção |
| CM-10 | Licenciamento centralizado | Provisionamento, acompanhamento e aplicação centralizados de Bot Creator e licenciamento de Bot Runner | |
| CM-2, 5, 6, 8 | Sala de operações de Bot | ||
| CM-8 | Controle de estoque | Mantém controle de estoque centralizado de todos os bots e tempos de execução | |
| Gestão de configuração de Bot Creator | SA-10 | gestão de Bot Creator, check-in, check-out de bot | O Control Room aplica o gerenciamento do ciclo de vida do software ao bots do desenvolvimento, teste e produção. O versionamento do Bot permite o controle de alterações de automações. |
| Auditoria e responsabilidade | AU-1 até 15 | Trilha de auditoria | Logs de eventos automatizados capturados em três níveis: Control Room Bot Runners, e Bot Creators. O não repúdio é garantido por meio de logs somente leitura, todas as identidades de usuário são vinculadas a ações. |
| Identificação e autenticação | IA-1 até 5 | Integração, Bot Runner ID e certificação do Active Directory | Implementa a segurança da plataforma Windows, incluindo autenticação bidirecional criptográfica, identificação e atestado de Bot Runner e políticas de gerenciamento de senhas. O cofre de credenciais com integração com sistemas de gerenciamento de chaves protege a integridade das credenciais. |
| Resposta a incidentes | IR-4, 6 | Resposta a incidentes | Capacidades de análise integrada de Bot Insight podem monitorar eventos e gerar alertas para sistemas SIEM para resposta. |
| Manutenção controlada | MA-2 | Manutenção automatizada | O sistema de versionamento do Control Room fornece um mecanismo automatizado para implantar atualizações no bots, informações históricas são mantidas. |
(1) Recursos: A ISACA fornece guias que mapeiam NIST SP800-53 a outras estruturas de segurança, como CoBIT (SOX), SANS Top20 (http://www.counciloncybersecurity.org/critical-controls/tools/) e ISO27002 (http://www.bankinfosecurity.in/mapping-nist-controls-to-iso-standards-a-7251).