Falar em Segurança da Informação numa empresa leva seus proprietários ou gestores quase sempre a imaginar um criminoso tentando invadir servidores, instalar um ransomware ou roubar dados confidenciais.
Esse cenário continua sendo uma preocupação real, mas a forma como esses ataques acontecem mudou bastante nos últimos anos. Em muitos casos, o invasor já não precisa "arrombar a porta". Basta encontrar uma porta que permaneceu aberta e que ninguém mais lembrava que existia.
É justamente aí que entram as chamadas identidades digitais esquecidas, um dos temas que mais vêm chamando a atenção dos especialistas em Segurança da Informação no mundo inteiro e que já aparece entre as principais recomendações de organismos internacionais e das empresas líderes em cibersegurança.
Embora o nome pareça técnico, o conceito é simples. Toda conta criada para acessar um sistema representa uma identidade digital. Isso inclui colaboradores, gestores, administradores de rede, fornecedores, prestadores de serviço, parceiros comerciais, sistemas automatizados e até integrações entre diferentes plataformas.
O problema começa quando essas identidades deixam de ser administradas com o mesmo cuidado com que foram criadas.
Exemplo prático
Imagine uma empresa que contratou uma consultoria para implantar um novo ERP. Durante o projeto, foram criados acessos administrativos para que os consultores realizassem configurações, testes e integrações.
O projeto terminou, a consultoria foi embora, mas aquelas credenciais permaneceram ativas por muito tempo. Em outro setor, um colaborador pediu demissão, devolveu notebook, crachá e telefone corporativo, porém sua conta de acesso continuou habilitada porque ninguém comunicou a equipe de TI.
Em uma terceira situação, um fornecedor recebeu autorização para acessar um ambiente específico durante a implantação de um sistema e nunca mais houve revisão dessa permissão.
Nenhuma dessas situações costuma chamar atenção no dia a dia da empresa. Afinal, aparentemente nada está errado. O acesso continua lá, sem causar qualquer transtorno operacional. Justamente por isso esse tipo de risco é tão perigoso. Ele permanece invisível até o momento em que alguém resolve utilizá-lo.
Nos últimos anos, os ataques deixaram de depender exclusivamente da descoberta de vulnerabilidades técnicas. Os criminosos perceberam que é muito mais eficiente procurar credenciais válidas do que tentar romper diversas camadas de proteção. Uma conta legítima já possui autorização para entrar nos sistemas. Quando utilizada de forma indevida, ela reduz a necessidade de técnicas sofisticadas e dificulta a identificação do comportamento malicioso.
Esse tipo de situação também explica por que tantas investigações de incidentes começam com uma pergunta aparentemente simples: "Quem ainda tinha acesso a esse ambiente?"
Na prática, o problema vai muito além dos usuários que deixaram a empresa. Muitas organizações acumulam, ao longo dos anos, contas criadas para testes, usuários temporários, acessos compartilhados entre equipes, credenciais utilizadas apenas em projetos específicos e perfis administrativos que nunca mais foram revisados. Em ambientes maiores, não é raro encontrar centenas de identidades que permanecem ativas mesmo sem qualquer justificativa operacional.
Outro fator que merece atenção é o acúmulo de privilégios. Um colaborador muda de cargo, recebe novas responsabilidades, passa a acessar outros sistemas, mas continua mantendo todas as permissões antigas.
Depois de alguns anos, ele concentra muito mais privilégios do que realmente necessita para desempenhar sua função. Embora isso normalmente aconteça por simples falta de revisão dos acessos, o resultado aumenta significativamente a superfície de risco da organização.
Princípio do Menor Privilégio
Na Segurança da Informação existe um conceito bastante conhecido chamado Princípio do Menor Privilégio. Em termos simples, significa conceder a cada pessoa apenas os acessos estritamente necessários para executar seu trabalho, nada além disso. Essa prática reduz impactos caso uma credencial seja comprometida e facilita o controle sobre informações sensíveis.
A ISO 27001 incorpora essa filosofia em diversos controles relacionados à gestão de identidades e controle de acessos. A norma recomenda que permissões sejam concedidas mediante critérios claros, revisadas periodicamente e removidas imediatamente quando deixarem de ser necessárias. O objetivo não é dificultar o trabalho das pessoas, mas garantir que o acesso às informações acompanhe as responsabilidades reais de cada usuário.
Outro exemplo prático
Mais um exemplo ajuda a entender a importância desse cuidado. Imagine um colaborador do departamento financeiro que, anos atrás, também participou de um projeto envolvendo recursos humanos. Durante aquele período recebeu acesso ao sistema de folha de pagamento.
O projeto terminou, ele voltou integralmente para sua função original e ninguém retirou a permissão concedida temporariamente. Se sua conta for comprometida por meio de um ataque de phishing ou de um vazamento de credenciais, o invasor poderá acessar informações muito mais sensíveis do que deveria. O problema não foi apenas o roubo da senha. O verdadeiro risco estava na ausência de uma revisão dos privilégios.
Gestão de identidades digitais
Por isso, empresas maduras deixaram de enxergar a gestão de identidades como uma tarefa exclusivamente técnica. Hoje ela faz parte da governança corporativa. Sempre que alguém é contratado, promovido, transferido, muda de função, entra em férias prolongadas, encerra um contrato ou deixa a organização, seus acessos precisam acompanhar essa movimentação de maneira estruturada.
Essa preocupação também alcança fornecedores e parceiros externos. É comum que empresas permitam acesso temporário para manutenção de equipamentos, desenvolvimento de software, auditorias ou projetos específicos.
Esses acessos precisam possuir prazo definido, acompanhamento constante e encerramento formal quando a atividade terminar. O mesmo vale para contas administrativas utilizadas exclusivamente por equipes técnicas.
Algumas medidas relativamente simples reduzem grande parte desses riscos. A revisão periódica das permissões, a autenticação multifator para acessos críticos, a eliminação de contas compartilhadas, a documentação dos perfis administrativos e a criação de processos formais para admissão e desligamento de colaboradores representam práticas que aumentam significativamente o nível de proteção da empresa.
Também é importante desenvolver uma cultura de responsabilidade sobre os acessos. Gestores devem compreender que autorizar um novo usuário significa assumir compromisso com a revisão futura dessa permissão. Da mesma forma, colaboradores precisam entender que credenciais corporativas não pertencem à pessoa, mas à organização, e devem ser tratadas como um patrimônio da empresa.
A pergunta mais importante
A transformação digital ampliou enormemente o número de sistemas utilizados pelas organizações. Hoje um único profissional pode acessar ERP, CRM, plataformas financeiras, armazenamento em nuvem, ferramentas colaborativas, aplicações móveis e serviços externos durante um único dia de trabalho. Quanto maior essa quantidade de ambientes, maior se torna a necessidade de administrar cuidadosamente quem pode acessar cada informação.
Ao contrário do que muitos imaginam, a pergunta mais importante em Segurança da Informação já não é apenas "quem conseguiu invadir?". Em muitos casos, a pergunta correta passou a ser "quem ainda possui acesso e realmente deveria continuar possuindo?".
Responder essa questão de forma periódica talvez seja uma das medidas mais eficientes para reduzir riscos antes mesmo que qualquer incidente aconteça.
Sobre a VARITUS
Com 18 anos de mercado e mais de 10 mil clientes de todos os portes e segmentos em várias regiões do Brasil, a VARITUS desenvolve e entrega ao mercado soluções robustas em software e ferramentas para modernizar e automatizar processos fiscais, contábeis e de gestão, unindo o melhor das inteligências artificial e humana.
E além de ser associada à ABES (Associação Brasileira das Empresas de Software), possui certificações internacionais como a ISO 27001, especificamente voltada à Segurança da Informação, o que comprova seu compromisso com as melhores práticas de segurança digital, fator de tranquilidade para seus clientes.