Por José Mendes Leite de Sousa Junior, Security Center – Cyber Security no Banco Santander
Durante meus mais de 15 anos como profissional de tecnologia, aprendi que toda relação no mundo corporativo começa com o alinhamento de expectativas. Por isso, já adianto: este texto não tem como objetivo construir uma “bala de prata” (muito menos um Colt — essa é para quem assistiu Supernatural) para resolver qualquer problema de gestão de identidades que você possa estar enfrentando. Pelo contrário, quero discorrer sobre como é fundamental entender nosso ambiente e construir bases sólidas antes de correr para qualquer nova tendência. Além disso, trago à tona a discussão de que as novas tecnologias não são fins em si mesmas, mas meios para alcançarmos nossos objetivos com mais eficiência. Alinhamento feito? Vamos ao que interessa.
Como profissionais de tecnologia, estamos sempre antenados nas últimas tendências: Zero Trust, inteligência artificial, automação inteligente… Não há dúvida de que essas inovações trouxeram avanços significativos para a gestão de identidades e acessos (IAM). Mas aqui vai uma reflexão: enquanto investimos nessas novidades, muitos de nós ainda lutamos contra problemas básicos que persistem há anos. Sou capaz de apostar que você, leitor, agora mesmo está respondendo a um apontamento de auditoria relacionado a um perfil fora do ciclo de revisão, uma conta privilegiada não custodiada no cofre de senhas, ou até mesmo operando manualmente uma plataforma não integrada à sua solução de IGA. Vamos dobrar a aposta? Não é a primeira vez que você responde a esse mesmo apontamento, não é mesmo?
Estamos em um paradoxo — e senta que lá vem piada ruim: falamos em Zero Trust, mas não consolidamos a confiança em nossos processos mais simples.
O que explica essa desconexão?
A resposta não é única. Muitas vezes, a culpa é da falta de maturidade em governança de identidades. Implementamos ferramentas novas sobre bases frágeis, sem integrá-las de verdade aos fluxos de negócio. Somos reativos: agimos sob pressão de ameaças ou conformidade, em vez de desenhar processos sustentáveis. Segundo o relatório de violações de dados (DBIR - 2025) da Verizon, 22% das violações de dados ocorrem por abuso de credencial (ocupando o primeiro lugar), e pasmem: senhas como "123456" e "consulta123" ainda lideram as listas de mais usadas no Brasil. Além disso, 95% das violações são causadas por erro humano, destacando a necessidade urgente de processos robustos.
Somado a tudo isso a complexidade organizacional — fusões, aquisições, mudanças constantes — cria um ambiente dinâmico onde fica difícil manter o controle dos acessos. E pior: muitas vezes, a inovação vira “camada sobre camada”, gerando mais complexidade, mais gaps e, acima de tudo, sem resolver o núcleo do problema.
Mas e se usássemos a tecnologia a nosso favor?
A inteligência artificial e a automação não precisam ser só para conceitos avançados. Elas podem — e devem — ser aplicadas para resolver esses desafios antigos. E por que não misturar essas novas tecnologias e usá-las de forma combinada? Imagine comigo:
- E se utilizarmos nossos mais diversos tipos de logs de autenticação e autorização (aqueles mesmos que mantemos para fins de auditoria) com IA analisando padrões e sugerindo a remoção de permissões desnecessárias e/ou não utilizadas? Com isso, aquele processo de revisão de acessos — em que boa parte dos gestores simplesmente seleciona “manter tudo” — não será apenas mais uma atividade regulatória. Estaremos incluindo inteligência para que se possa tomar melhores decisões, mitigar riscos, reduzir fraudes internas — e tudo isso sem dedicar horas excessivas (que já não temos) para realizá-lo de forma adequada.
- RBACs dinâmicas, alimentadas por dados de uso real e necessidades de negócio, não apenas por suposições. O princípio do menor privilégio (Least Privilege), central no Zero Trust, deve ser aplicado com ferramentas modernas que automatizam o ajuste contínuo de permissões.
- Movimentações de áreas que, além de remover os acessos da área antiga, já incluam o padrão de acessos difundidos na área nova.
Tudo isso é bonito, mas — lembrando do nosso alinhamento de expectativas — comentei sobre a importância de ter bases sólidas para que seja possível. E aqui vem a parte “triste” da história.
O risco de ignorar o básico
A busca por inovação sem resolver o essencial gera um efeito perigoso: viés de superficialidade. Implementamos soluções de Zero Trust ou IA de forma incompleta, mascarando brechas que persistem na camada fundamental de gestão. Pior: acumulamos gaps que podem levar a falhas caras no futuro. Segundo a IBM, 30% dos ataques cibernéticos envolvem roubo e abuso de contas válidas.
Não se engane: tecnologia avançada é um meio, não um fim.
Todos esses sonhos que comentei anteriormente precisam passar por um processo — diria até uma jornada — que, para a grande maioria das empresas, não é simples. Precisamos ter dados bem estruturados, o entendimento real do nosso AS IS, um inventário sólido de contas, perfis e transações. E sim, isso dá trabalho, demanda muitas horas investidas. E o mais “triste”: se você está iniciando essa jornada em sua companhia, provavelmente essa entrega não será durante sua gestão — não porque será demitido, mas porque estará em outras atividades. Seu pensamento agora deve ser: “Tá maluco? Como vou vender isso para um executivo?”
Minha sugestão é que tudo comece com um Plano Diretor de IAM (ou PDGIA — Plano Diretor de Gestão de Identidades e Acessos), que defina onde queremos estar em X anos e estruture a jornada a partir de um diagnóstico sólido do AS IS. Esse plano deve ser baseado em frameworks consagrados, como o NIST Identity and Access Management Framework, CIS Critical Security Controls ou o ISO/IEC 27001, que destacam a importância de governança, ciclos de vida de identidade e controles de acesso, mas também nas tendências tecnológicas de nosso tempo.
E agora, é só acompanhar o plano? Claro que não. É fundamental que ele esteja alinhado com os mais diversos stakeholders — não apenas o CISO, mas também a área de riscos, para mapear durante a jornada os controles que não podem ser negligenciados, e a área de auditoria, para garantir alinhamento de expectativas e evitar que uma futura carta de auditoria desvie esforços necessários por conta de um apontamento não alinhado a estratégia — como um perfil com permissão para consultar a lista de aniversariantes do mês — que não foi revisado (exagerei, rsrsrs).
Inclusive ambos têm um papel fundamental nesse processo, pois podem ser um ótimo suporte para garantir que algo não foi deixado de lado, que nenhum risco crítico irá se materializar pela falta de execução de um controle relevante e até mesmo durante a execução dessa jornada, apoiar a garantir a efetividade das entregas e do andamento do plano, trate-os como aliados imprescindíveis.
E, como estamos falando de um plano de longo prazo, revisá-lo recorrentemente é fundamental para:
- Garantir que as entregas realizadas até o momento estejam de fato nos levando em direção ao objetivo (ou se precisam de ajustes);
- Assegurar que ele continua alinhado aos objetivos de negócio da organização;
- Verificar se não houve avanços tecnológicos que possam ser incorporados para ganho de eficiência;
- E, claro, garantir que o custo do projeto permaneça alinhado à tolerância a riscos e ao orçamento da organização.
No final das contas, a chave para a modernização da gestão de identidades está não na inovação pela inovação, mas sim na inovação com propósito.
Precisamos urgentemente reavaliar prioridades. Em vez de correr para o próximo hype, vamos usar a inovação para consolidar o que já deveria estar funcionando. Uma gestão de identidades sólida, eficiente e alinhada ao negócio é o alicerce para qualquer evolução futura — seja Zero Trust, seja qualquer outra tendência que surgir.
E você, já parou para pensar como está a base de IAM na sua organização? Conseguimos equilibrar inovação e solidez nos processos?
Imagem: https://pt.vecteezy.com/foto/10136991-empresario-segurando-seta-apontando-para-grafico-definindo-metas-ideias-e-estrategias-de-negocios-atraves-de-planejamento-e-trabalho-em-equipe-para-analisar-e-desenvolver-desempenho-da-empresa-de-dados-de-crescimento-para-o-futuro
