Durante muito tempo, a segurança digital foi estruturada a partir da proteção do perímetro da rede, com firewalls e controles de acesso voltados a impedir ameaças externas. Esse modelo, porém, precisa evoluir diante da adoção de múltiplas nuvens, aplicações distribuídas, trabalho híbrido e integração entre diferentes ambientes.

Leia também: Amazon e Dropbox anunciam demissões em meio a nova rodada de reestruturações no setor de tecnologia

Hoje, usuários acessam sistemas de diferentes localidades, aplicações trocam informações entre plataformas e serviços automatizados executam tarefas sem intervenção humana. Diante disso, a identidade, humana ou não humana, precisa assumir papel central na cibersegurança. Além de identificar a origem de uma conexão, é necessário verificar quem ou o que solicita acesso, quais permissões possui e se a solicitação é compatível com o contexto.

Em ambientes híbridos e multicloud, cada plataforma pode ter mecanismos próprios de autenticação e políticas de acesso. Sem integração e governança adequadas, essa diversidade cria lacunas de visibilidade e dificulta a identificação de acessos indevidos.

Um dos principais riscos é o excesso de permissões. Contas antigas ainda ativas, credenciais compartilhadas e privilégios superiores aos necessários podem ampliar a superfície de ataque. Além disso, contas de serviço, APIs, aplicações e robôs de automação também acessam dados e sistemas críticos e precisam ser protegidos com controles adequados. Para se ter uma ideia, embora a proporção de 45 identidades não humanas (NHIs) para cada usuário humano seja frequentemente citada como média de mercado, relatórios da Rubrik Zero Labs, apontam para um cenário ainda mais expressivo, com estimativas que chegam a 82 identidades não humanas para cada identidade humana globalmente.

O modelo Zero Trust ganha relevância ao estabelecer que nenhum usuário, dispositivo ou sistema deve ser considerado confiável automaticamente, mesmo após a autenticação. O acesso precisa ser avaliado conforme fatores como identidade, contexto, dispositivo, sensibilidade do recurso e risco da solicitação.

Na prática, isso envolve autenticação multifator, concessão de privilégios mínimos, segmentação, monitoramento contínuo e revisão periódica das permissões. A implementação exige mapear as identidades existentes, entender quais recursos acessam e estabelecer critérios claros de autorização, especialmente em organizações que utilizam diferentes provedores de nuvem e sistemas legados.

Manter uma visão consistente dos acessos é outro desafio. A administração isolada de permissões pode dificultar a identificação de privilégios excessivos e atrasar a resposta a incidentes, sobretudo quando é necessário bloquear credenciais em diferentes ambientes.

Uma estratégia eficiente deve contemplar criação, concessão de privilégios, mudanças de função, revisão de acessos e desativação. Cada identidade deve ter apenas as permissões necessárias, pelo tempo necessário.

A automação ajuda a padronizar esses processos e reduzir falhas operacionais. Já a integração de registros de acesso e informações de segurança permite identificar comportamentos anômalos, como elevações inesperadas de privilégios ou uso de credenciais fora do padrão. Quanto maior a visibilidade, maior a capacidade de detectar desvios e responder rapidamente.

A expansão da inteligência artificial acrescenta uma nova camada à gestão de identidades. Agentes de IA e sistemas automatizados podem consultar bases de dados, acionar aplicações e executar tarefas em nome de usuários ou organizações. Para isso, precisam de credenciais e permissões que definam seus limites de atuação.

Quando esses acessos são excessivos ou não são monitorados, falhas de configuração e credenciais comprometidas podem expor informações e sistemas críticos. Por isso, a governança precisa contemplar também os agentes de IA, com limites claros, rastreabilidade, revisão de permissões e mecanismos de revogação para garantir que a inovação avance com controles proporcionais aos riscos.

Tratar a identidade como componente central da segurança exige incorporá-la à estratégia de proteção de dados, continuidade dos negócios e gestão de riscos. Isso começa pelo mapeamento das identidades humanas e não humanas, passa pela eliminação de acessos desnecessários e pela adoção de autenticação robusta e evolui para a integração dos controles entre ambientes.

Não existe uma solução única para todos os desafios. A estratégia deve considerar a complexidade da infraestrutura, os requisitos regulatórios, a criticidade dos dados e a maturidade de segurança de cada organização.

A identidade conecta pessoas, aplicações, dispositivos e serviços aos recursos que sustentam as operações. Garantir que cada acesso seja legítimo, necessário e monitorado tornou-se essencial para proteger os negócios em uma infraestrutura cada vez mais distribuída.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!