O Que é IAM (Identity and Access Management)?
Gestão de Identidade e Acesso (IAM) é o conjunto de políticas, processos e tecnologias que garante que as pessoas certas tenham acesso aos recursos certos, no momento certo e pelos motivos certos. Em segurança da informação, IAM é considerado um dos controles mais fundamentais: a maioria dos ataques bem-sucedidos envolve credenciais comprometidas ou permissões excessivas.
Segundo o Verizon Data Breach Investigations Report, mais de 80% das violações de dados envolvem credenciais comprometidas ou abuso de acesso privilegiado.
Componentes Fundamentais do IAM
1. Identidade (Identity)
Uma identidade digital representa uma entidade — usuário humano, aplicação, serviço ou dispositivo — no sistema de TI. Cada identidade deve ser única, autenticável e gerenciável.
2. Autenticação (Authentication)
Verificação de que a identidade é quem diz ser. Métodos incluem:
- Algo que você sabe: senha, PIN
- Algo que você tem: token físico, app authenticator, SMS
- Algo que você é: biometria (digital, face, íris)
A autenticação multifator (MFA) combina dois ou mais fatores e deve ser obrigatória para todos os sistemas críticos.
3. Autorização (Authorization)
Define o que a identidade autenticada pode fazer. Modelos principais:
- RBAC (Role-Based Access Control): acesso baseado no cargo/função do usuário
- ABAC (Attribute-Based Access Control): acesso baseado em atributos (departamento, localização, horário)
- PBAC (Policy-Based Access Control): políticas expressivas que combinam múltiplos fatores
Princípios Fundamentais de IAM
Princípio do Menor Privilégio (Least Privilege)
Cada usuário, aplicação ou serviço deve ter apenas as permissões mínimas necessárias para realizar suas funções. Evite permissões genéricas como "admin" quando permissões específicas são suficientes.
Segregação de Funções (Separation of Duties)
Tarefas críticas devem ser divididas entre múltiplas pessoas para prevenir fraude e erros. Nenhuma pessoa deve ter controle completo sobre um processo crítico sem supervisão.
Zero Trust Identity
No modelo Zero Trust, nenhuma identidade é confiável por padrão — nem usuários internos, nem dispositivos corporativos. Toda autenticação deve ser verificada continuamente, não apenas no login.
Soluções e Tecnologias de IAM
Single Sign-On (SSO)
Permite que usuários autentiquem uma vez e acessem múltiplos sistemas. Melhora a experiência do usuário e centraliza o controle de acesso. Protocolos: SAML 2.0, OAuth 2.0, OpenID Connect.
Privileged Access Management (PAM)
Gestão específica de contas privilegiadas (administradores, root, DBA). Recursos essenciais: cofre de senhas, gravação de sessões, just-in-time access, aprovação de acesso. Ferramentas: CyberArk, BeyondTrust, Delinea.
Identity Governance and Administration (IGA)
Automação do ciclo de vida de identidades: provisionamento, modificação e desprovisionamento. Inclui certificações de acesso periódicas para validar que cada usuário ainda precisa dos acessos que possui.
Erros Comuns em IAM
- Contas órfãs: ex-funcionários com acesso ativo — implemente processo de offboarding automático
- Permissões acumuladas: usuários acumulam acessos sem revisão — faça recertificações trimestrais
- Contas de serviço não gerenciadas: senhas que nunca expiram, permissões excessivas — use gerenciadores de segredos
- MFA não obrigatório: sem MFA, uma senha comprometida dá acesso total
- Credenciais hardcoded: senhas em código-fonte, repositórios ou scripts
IAM e Conformidade
Controles de IAM são requisitos explícitos nas principais regulações:
- LGPD: controle de acesso a dados pessoais, logs de auditoria
- ISO 27001: controle A.9 — Gestão de acesso do usuário
- PCI-DSS: requisitos 7 e 8 — acesso a dados de cartão e identificação única
- SOC 2: critérios de acesso lógico e físico
Por Onde Começar?
Para organizações iniciando a jornada de IAM: (1) inventarie todas as identidades e sistemas; (2) habilite MFA imediatamente para acessos críticos; (3) revise e remova contas inativas; (4) implemente SSO para reduzir a fadiga de senhas; (5) estabeleça processo formal de onboarding/offboarding; (6) avance para PAM para contas privilegiadas.
Conclusão
IAM não é apenas uma ferramenta — é uma disciplina estratégica. Organizações com programas maduros de gestão de identidade reduzem drasticamente o risco de comprometimento por credenciais, que é o vetor de ataque mais comum.
A LDL Security realiza avaliações de maturidade em IAM e ajuda empresas a implementar controles adequados ao seu nível de risco. Fale com nossos especialistas.