Leroy Merlin reinventa gestão de acessos privilegiados com apoio da Noesis

Com um ecossistema composto por lojas, centros logísticos e serviços corporativos, a Leroy Merlin necessitava de reforçar a segurança e aumentar o controlo dos acessos privilegiados, que se revelavam como um dos principais fatores de risco.

A Noesis trabalhou em estreita colaboração com a empresa de retalho na definição de uma estratégia para “proteger os acessos aos sistemas críticos sem comprometer a agilidade operacional do negócio”, começa por referir José Candeias, Senior Cybersecurity Consultant na Noesis. A iniciativa procurou ainda reduzir o risco de ciberataques e ameaças internas, melhorar a auditoria dos acessos, implementar o princípio do menor privilégio e reforçar a conformidade com requisitos regulamentares e de governance.

	“A tecnologia foi o facilitador, mas foram os processos bem definidos e a adesão das equipas Leroy Merlin que transformaram a implementação num verdadeiro caso de sucesso” José Candeias, Senior Cybersecurity Consultant da Noesis

Na fase inicial do projeto, Luís Ferreira admite que a gestão era “mais descentralizada, com silos e onde cada equipa fazia a sua própria gestão”. Nesta conjuntura, e dado o crescimento do negócio, o CISO da Leroy Merlin explica que “era cada vez mais difícil ter uma auditoria em tempo real de quem acedeu a que, quando e porquê, com uma granularidade e detalhe cada vez mais necessários”, com equipas IT sobrecarregadas, aumentando o risco humano.

Contudo, as preocupações não se limitavam ao contexto interno: “temos vários parceiros a interagir com os nossos sistemas e uma das nossas maiores preocupações é a sua gestão e monitorização. Queríamos que esses acessos fossem isolados e monitorizados através de um portal seguro, evitando a necessidade de “entrar diretamente” na rede”, acrescenta.

A operação no centro da implementação

Alguns dos requisitos para a implementação da tecnologia incluíam a entrega de resultados rápidos, a fácil utilização e o aumento de segurança sem barreiras para a produtividade. A escolha recaiu sobre o Delinea Secret Server, uma solução utilizada em projetos de Gestão de Acessos Privilegiados (PAM) e de fácil implementação e manutenção.

Na prática, a Noesis procedeu à realização de uma prova de valor em ambiente real, que “permitiu à Leroy Merlin avaliar, de forma prática e com risco reduzido, como é que a solução endereçava os requisitos de segurança sem criar complexidade do ponto de vista de operação”.

As dores de cabeça na hora de implementar

O principal desafio do projeto, e que antecedeu a componente tecnológica, prendeu-se, sobretudo, com a adaptação dos processos existentes, desenvolvidos ao longo dos anos e adaptados às necessidades e especificidades operacionais do negócio.

Numa primeira fase, foram revistas as práticas e oportunidades de simplificação, com a transposição dos processos para um modelo de “Just Enough Privilege”, que permitiu a cada utilizador aceder “apenas aos privilégios estritamente necessários para executar as suas funções”.

Para Luís Ferreira, “as pessoas são a chave neste processo de mudança”, ainda que “alterar a cultura e os processos, mantendo a agilidade e as operações diárias”, tenha sido um desafio.

Do ponto de vista tecnológico, a integração também implicou algumas complexidades no que diz respeito à diversidade de sistemas e aplicações existentes. No entanto, e graças às características da solução escolhida – constituída por um conjunto de conectores e mecanismos de integração para plataformas, aplicações e sistemas empresariais –, “foi possível simplificar significativamente este processo”, afirma José Candeias.

“A cibersegurança deve ser vista como um facilitador do negócio e não como o departamento do 'não' ou um centro de custo” Luís Ferreira, CISO da Leroy Merlin

Após três semanas, os resultados, partilha o responsável da Noesis, refletiram uma integração simples com os sistemas existentes, uma rápida implementação, sem impacto operacional, uma elevada aceitação por parte das equipas técnicas, ganhos de controlo, visibilidade e auditoria ao nível dos acessos privilegiados e capacidade de escalar para diferentes áreas do negócio.

O envolvimento das equipas da Leroy Merlin, aliado à prova de valor em ambiente real e à experiência e metodologia da Noesis, foi determinante para o sucesso da implementação. Ainda assim, José Candeias considera que o fator decisivo foi o alinhamento entre tecnologia, processos e pessoas. “A tecnologia foi o facilitador, mas foram os processos bem definidos e a adesão das equipas Leroy Merlin que transformaram a implementação num verdadeiro caso de sucesso”, resume.

Medir o sucesso da implementação

A Leroy Merlin acompanha atualmente a cobertura dos sistemas críticos integrados na plataforma de Privileged Access Management, o nível de utilização diária pelas equipas internas e externas, a diminuição da partilha de credenciais e o tempo necessário para conceder acessos legítimos de forma segura.

Segundo Luís Ferreira, estes indicadores permitem acompanhar simultaneamente a eficácia da solução e o seu impacto na operação diária, garantindo que o reforço da segurança não compromete a produtividade.

Simplicidade permitiu acelerar adoção

O feedback recolhido pela Noesis tem sido positivo, tanto ao nível da segurança como da operação. A simplicidade da plataforma revelou-se determinante para a adoção pelas equipas, permitindo executar as tarefas habituais de forma transparente, enquanto a organização passou a beneficiar de maior capacidade de auditoria e governação.

Outro dos aspetos destacados prende-se com a facilidade de administração. Segundo a Noesis, a operação e evolução da solução podem ser asseguradas pelas equipas internas, que rapidamente ganham autonomia para integrar novos sistemas e casos de utilização sem dependerem de intervenção contínua do parceiro.

A cibersegurança como facilitador do negócio

Para o CISO da Leroy Merlin, a implementação também contribuiu para alterar a forma como a organização encara a cibersegurança. “Cada vez mais, pela sua transversalidade, a cibersegurança deve ser vista como um facilitador do negócio e não como o departamento do 'não' ou um centro de custo”, frisa.

O responsável de segurança considera que só com uma base sólida de segurança é possível continuar a inovar e crescer, acrescentando que o projeto reforçou igualmente a consciência de que o risco zero não existe, mas que é possível aumentar a resiliência da organização e a capacidade para proteger os seus ativos e clientes.