Por Derek Gordon, Vice-Presidente Global de Gestão de Identidades e Acessos da NCC Group
A identidade tornou-se o caminho de menor resistência nos ciberataques modernos. As evidências dos maiores incidentes de segurança mostram que as credenciais roubadas ou utilizadas de forma abusiva são cada vez mais o método preferencial para comprometer organizações.
Para muitas, o principal desafio da Gestão de Identidades e Acessos (IAM – Identity and Access Management) passa por manter o risco associado aos acessos sob controlo num contexto de constante mudança. Novos serviços cloud, agentes de IA, fornecedores, aquisições de empresas e alterações frequentes de funções criam continuamente novas contas, mais privilégios e um número crescente de exceções. Com o tempo, os acessos acumulam-se mais rapidamente do que são removidos, a responsabilidade sobre esses acessos torna-se difusa e permissões “temporárias” acabam por se tornar permanentes. O resultado é um maior número de oportunidades para os atacantes se esconderem, caso os acessos não sejam monitorizados e revistos de forma contínua.
O problema não é apenas a complexidade, mas sobretudo a falta de visibilidade e de responsabilização. Os acessos concedidos a terceiros ao longo da cadeia de fornecimento são cada vez mais difíceis de monitorizar e governar, numa altura em que as exigências regulatórias, auditabilidade e responsabilização continuam a aumentar. Ao mesmo tempo, as credenciais de utilizadores internos e de contas de serviço são frequentemente expostas e comercializadas na Internet, embora esta exposição raramente seja considerada nas decisões quotidianas de gestão do risco de identidade.
Estas lacunas são particularmente relevantes porque refletem a forma como os ciberataques atuais evoluem. Incidentes recentes relacionados com cadeias de fornecimento e campanhas atribuídas a grupos como o Scattered Spider demonstraram a rapidez com que os atacantes conseguem movimentar-se quando os controlos de identidade falham. Acessos excessivos, herdados ou sem um responsável identificado de forma clara oferecem exatamente aquilo de que os atacantes necessitam para se misturarem com a atividade legítima, elevarem privilégios e alcançarem sistemas críticos sem levantar suspeitas. Em vários destes casos, organizações com programas de cibersegurança considerados maduros foram comprometidas não através de técnicas inovadoras, mas sim devido a fragilidades de identidade há muito conhecidas e facilmente evitáveis.
Quando o risco de identidade está escondido à vista de todos
Independentemente do setor de atividade, observamos o mesmo padrão. As organizações investem em soluções e programas de IAM, esperando reduzir riscos e reforçar o controlo. Contudo, a tecnologia, por si só, não resolve problemas de qualidade dos dados nem corrige processos deficientes.
Quando os processos de entrada, mobilidade interna e saída de colaboradores deixam de funcionar corretamente, os atacantes aproveitam essas falhas. As contas permanecem ativas depois de um colaborador mudar de função ou abandonar a organização. Contas privilegiadas e contas de serviço deixam de ter um responsável claramente identificado. Os acessos mantêm-se sem que alguém confirme se continuam a ser necessários ou sequer se aperceba da sua existência. Mesmo as melhores plataformas de IAM têm dificuldade em compensar estas falhas, criando uma superfície de ataque que escapa ao controlo da organização.
Para os atacantes, estas identidades não geridas representam a verdadeira “matéria negra” da identidade: risco oculto, difícil de detetar e extremamente fácil de explorar. Contas inativas ou órfãs constituem pontos de entrada discretos, enquanto credenciais antigas associadas a ex-colaboradores ou fornecedores externos podem continuar válidas muito depois de já não serem necessárias. Direitos de acesso temporários tornam-se permanentes por simples negligência, criando percursos inesperados para a escalada de privilégios. Quando estas situações se conjugam com palavras-passe fracas, revisões incompletas de acessos e contas com privilégios excessivos, a probabilidade de compromisso aumenta significativamente, por norma através do roubo de credenciais, da utilização indevida de acessos legítimos ou da contornação dos mecanismos de autenticação forte.
A questão que importa colocar é: o que é que os seus dados de identidade lhe dizem, neste momento, sobre o risco, a eficácia dos processos e os custos?
Dos dados brutos à informação acionável
Os dados de identidade contêm uma imagem muito mais clara do funcionamento real do ambiente de IAM do que muitas organizações imaginam. Quando analisados em conjunto, os padrões de acesso, os privilégios atribuídos e os dados relativos ao ciclo de vida das identidades revelam não apenas onde existem controlos, mas sobretudo até que ponto estes são aplicados de forma consistente.
Na maioria das organizações, esta informação encontra-se dispersa por plataformas críticas como Active Directory, Microsoft Entra ID, Okta ou Ping, bem como pelos sistemas de Recursos Humanos e pelas restantes aplicações empresariais. As discrepâncias entre estes sistemas acabam por comprometer a governação das identidades, enfraquecendo os processos de entrada, mobilidade e saída de colaboradores e introduzindo riscos invisíveis tanto para as equipas de segurança como para as de conformidade.
Esta visibilidade é essencial porque o risco de identidade raramente constitui apenas um problema tecnológico. Quando a qualidade dos dados é insuficiente, diminui a confiança nas auditorias, as revisões de acessos tornam-se mais lentas, os custos aumentam e é mais difícil demonstrar conformidade com princípios como o controlo de acessos, a responsabilização e o privilégio mínimo.
Além disso, quando os dados de identidade são incompletos ou inconsistentes, é impossível medir corretamente a exposição ao risco, identificar responsabilidades ou priorizar ações corretivas. As falhas de controlo mantêm-se e acabam por ser exploradas pelos atacantes, quer através do roubo de credenciais, quer através da utilização abusiva de acessos legítimos.
Curiosamente, os mesmos sinais que ajudam uma organização a identificar riscos de identidade são precisamente aqueles que os atacantes procuram: ausência de responsáveis claros, privilégios excessivos e falhas nos processos de gestão do ciclo de vida das identidades.
Obter informação verdadeiramente acionável significa identificar primeiro essas fragilidades e corrigi-las antes que possam ser exploradas. Quando corretamente interpretados, os dados de identidade fornecem evidências concretas, em vez de meras suposições, permitindo tomar decisões mais fundamentadas.
Descobrir o que passa despercebido em matéria de privilégios, processos e exposição
As contas altamente privilegiadas representam um risco desproporcionado e, paradoxalmente, são muitas vezes as menos compreendidas. Os privilégios acumulam-se ao longo do tempo através de mudanças de funções, exceções que nunca expiram, pertença a grupos aninhados e estruturas antigas, em especial em ambientes Active Directory e Entra ID.
Os atacantes sabem que o Active Directory constitui um alvo de elevado valor e exploram as suas vulnerabilidades para obter acesso ao Entra ID, à AWS e a outros serviços cloud. Sem revisões periódicas e autenticação multifator (MFA) obrigatória para todas as contas, as organizações acabam por perder o controlo sobre quem possui privilégios administrativos, por que motivo esses privilégios existem e até que ponto podem ser utilizados de forma abusiva.
Diversos estudos demonstram que a grande maioria das identidades dispõe de mais acessos do que realmente necessita, aumentando significativamente o impacto caso essas credenciais sejam comprometidas.
Ao mesmo tempo, os processos associados ao ciclo de vida dos colaboradores raramente acompanham a velocidade com que as organizações evoluem. Contas permanecem ativas após a saída de colaboradores, contas de serviço e de terceiros deixam de ter responsáveis identificados e os registos dos Recursos Humanos nem sempre coincidem com os dados de acesso existentes. Em conjunto, estas falhas enfraquecem a governação, aumentam a exposição ao risco e dificultam a demonstração de conformidade regulatória.
Acresce ainda um risco crescente associado à cadeia de fornecimento: os atacantes têm vindo a direcionar os seus esforços para os acessos concedidos a terceiros, precisamente porque estes contêm frequentemente vulnerabilidades negligenciadas e tendem a ser geridos com menos rigor do que as identidades internas.
Tornar visíveis estes padrões constitui uma base sólida para a melhoria contínua, permitindo às equipas concentrar os seus esforços nas áreas que representam maior risco do ponto de vista da segurança, das operações e da conformidade.
Quando a informação muda a forma de falar sobre risco
Independentemente da dimensão ou setor de atividade, uma maior visibilidade sobre os dados de identidade altera profundamente a forma como o risco é compreendido e priorizado.
Problemas antigos, como contas órfãs, privilégios excessivos ou acessos que permanecem ativos após o fim da relação laboral, tornam-se imediatamente evidentes quando os dados de identidade deixam de ser analisados de forma isolada e passam a ser encarados como um sistema integrado. Estas fragilidades representam não apenas um risco de segurança, mas também custos adicionais, riscos de auditoria e ineficiências operacionais.
Um dos maiores desafios para as equipas de segurança e IAM consiste em comunicar estes riscos de forma compreensível para a gestão de topo. Métricas exclusivamente técnicas dificilmente produzem impacto quando não são contextualizadas em termos de impacto para o negócio, falhas de controlo ou exposição a ameaças externas.
Quando apresentada de forma clara, a informação sobre identidade permite abandonar indicadores genéricos e passar a utilizar métricas verdadeiramente relevantes, mostrando onde existe exposição ao risco, como esta evolui ao longo do tempo e quais os fatores com maior probabilidade de gerar impactos operacionais, regulatórios ou de segurança.
Esta visão torna-se ainda mais completa quando os dados internos de identidade são cruzados com informação proveniente da inteligência sobre ameaças. Sinais recolhidos na Internet aberta, na deep web e na dark web (como credenciais comprometidas ou acessos administrativos expostos) podem ser relacionados com utilizadores reais, funções específicas e privilégios existentes em ambientes Active Directory e Entra ID.
Com milhares de milhões de credenciais roubadas atualmente disponíveis em mercados criminosos, muitas delas ainda válidas, este contexto permite às organizações compreender onde o risco é efetivamente real e onde está a crescer.
Ao acompanhar esta evolução ao longo do tempo, é possível substituir reações pontuais a alertas ou notícias sobre incidentes por uma avaliação objetiva sobre se as medidas implementadas estão realmente a reduzir o risco ou se as mesmas fragilidades continuam simplesmente a reaparecer sob novas formas.
A clareza começa pela visibilidade
Na maioria das situações, o risco associado à identidade acumula-se devido a dados desatualizados, processos inconsistentes e acessos que nunca são devidamente revistos. Sem uma visão clara e objetiva do funcionamento real do ambiente de identidade num determinado momento, estes problemas persistem, aumentando a exposição ao risco e tornando difícil explicar, priorizar ou justificar investimentos.
Estabelecer uma linha de base estruturada altera completamente este cenário. Uma avaliação do risco de identidade fornece às organizações uma visão clara e sustentada sobre onde os controlos estão a falhar, como essas fragilidades afetam a segurança e a conformidade e quais os problemas cuja resolução terá maior impacto.
Esta clareza permite acelerar a remediação, direcionar melhor os investimentos e estabelecer um diálogo mais sólido com reguladores, auditores e órgãos de gestão.
