Gestão de Identidade e Acesso: Guia para Empresas

O que é gestão de identidade e acesso?

Gestão de identidade e acesso é o conjunto de processos, regras e tecnologias usado para garantir que a pessoa, o sistema ou o dispositivo certo acesse o recurso certo, pelo motivo certo e durante o período necessário. Na prática, IAM — Identity and Access Management — não se resume à tela de login: abrange criação e remoção de contas, autenticação, concessão de permissões, revisão, registro de atividades e tratamento de exceções.

Uma implementação eficaz responde continuamente a quatro perguntas: quem está solicitando o acesso, a identidade foi autenticada com confiança suficiente, qual ação ela pode executar e ainda existe uma justificativa válida para essa permissão? A resposta precisa considerar funcionários, terceiros, administradores, aplicações, robôs, APIs e contas de serviço.

O NIST SP 800-63-4, publicado em 2025, organiza a identidade digital em processos como comprovação de identidade, autenticação e federação. Para uma empresa, o princípio mais útil é proporcionalidade: o nível de confiança e os controles devem acompanhar o risco do recurso e da operação. Uma consulta a material público não exige a mesma proteção que uma alteração bancária ou o acesso a dados pessoais.

Autenticação, autorização e provisionamento

Esses termos resolvem problemas diferentes:

• Identificação apresenta uma identidade, como um e-mail corporativo.
• Autenticação verifica se o solicitante controla as credenciais associadas à identidade.
• Autorização decide quais recursos e ações são permitidos após a autenticação.
• Provisionamento cria, altera e remove contas e vínculos nos sistemas.
• Auditoria preserva evidências sobre solicitações, aprovações, mudanças e uso.

Ter autenticação multifator não corrige uma autorização excessiva. Da mesma forma, um modelo de perfis bem desenhado perde valor se a conta de quem saiu da empresa continuar ativa. A gestão precisa cobrir o ciclo completo.

Por que planilhas e chamados isolados deixam de funcionar?

Uma planilha pode ajudar no inventário inicial, mas não deveria ser a única fonte de verdade. À medida que a empresa adota ERP, CRM, nuvem, repositórios, ferramentas financeiras e aplicações próprias, o mesmo profissional acumula contas e permissões em ambientes diferentes. Trocas de função nem sempre removem o acesso antigo, terceiros permanecem ativos após o contrato e contas compartilhadas eliminam a responsabilização individual.

O risco não nasce apenas de um invasor externo. Um erro operacional com privilégio elevado, uma credencial exposta ou uma integração esquecida também pode alterar dados e interromper processos. Além disso, demonstrar quem aprovou um acesso e quando ele foi revogado fica difícil sem um fluxo rastreável.

O objetivo de IAM não é bloquear o trabalho. É reduzir decisões improvisadas, tornar o acesso previsível e permitir que as pessoas trabalhem com o mínimo necessário.

Como implementar gestão de identidade e acesso

1. Faça um inventário orientado a risco

Liste aplicações, ambientes, dados e integrações, incluindo ferramentas contratadas diretamente por departamentos. Para cada item, registre:

• responsável de negócio e responsável técnico;
• tipos de usuários e identidades técnicas;
• método de autenticação;
• perfis e privilégios disponíveis;
• presença de dados pessoais, financeiros ou estratégicos;
• processo atual de criação e remoção de acesso;
• logs disponíveis e prazo de retenção;
• consequência de acesso indevido ou indisponibilidade.

Comece pelos ativos de maior impacto, como e-mail corporativo, diretório, nuvem, ERP, banco de dados, código-fonte e administração financeira. Uma avaliação de TI ajuda a transformar o inventário em riscos e prioridades verificáveis.

2. Defina uma fonte oficial para cada identidade

Para pessoas, o cadastro de Recursos Humanos costuma indicar vínculo, gestor, área, cargo e situação contratual. Para parceiros, deve existir um patrocinador interno e uma data de expiração. Para sistemas, cada conta técnica precisa de proprietário, finalidade e ambiente definidos.

A fonte oficial não precisa conter todas as permissões. Ela precisa disparar eventos confiáveis de admissão, movimentação, afastamento e desligamento. Se o sistema de RH indicar que o vínculo terminou, o processo de acesso não pode depender apenas da memória de alguém.

SSO e federação reduzem senhas separadas e centralizam políticas, mas não eliminam contas locais, chaves de emergência ou aplicações legadas. Esses casos devem permanecer no inventário com controles compensatórios.

3. Desenhe o ciclo de admissão, movimentação e desligamento

O fluxo deve indicar quem solicita, quem aprova, quem executa e qual evidência fica registrada.

Na admissão, conceda um conjunto básico baseado na função e trate acessos sensíveis separadamente. Na movimentação, compare o perfil novo com o anterior: apenas adicionar permissões cria acúmulo progressivo. No desligamento, priorize o bloqueio central, sessões ativas, VPN, e-mail, dispositivos, tokens, chaves e privilégios administrativos. Depois, trate transferência de propriedade de arquivos, filas e automações para preservar a operação.

Quando os sistemas oferecem integração adequada, o provisionamento pode ser automatizado. O RFC 7644 define o protocolo SCIM para criar, consultar, alterar e remover usuários e grupos entre domínios. Adotar um padrão reduz integrações específicas, mas ainda exige mapeamento correto de atributos, autorização do cliente e tratamento de falhas.

4. Aplique menor privilégio e negação por padrão

A OWASP recomenda menor privilégio, negação por padrão e validação de autorização em toda requisição. Isso significa que uma permissão precisa ter justificativa explícita; a ausência de uma regra não deve produzir acesso.

RBAC, o controle baseado em papéis, funciona bem quando as funções são estáveis: analista financeiro, vendedor ou operador de suporte. ABAC, baseado em atributos, permite decisões mais granulares, como autorizar somente registros da filial do usuário em horário e dispositivo permitidos. Muitas empresas combinam os dois: papéis oferecem uma base compreensível e atributos tratam exceções relevantes.

Evite criar dezenas de perfis quase idênticos. Comece com funções reais, separe operações críticas e documente conflitos. Quem cadastra um fornecedor, por exemplo, não deveria aprovar sozinho um pagamento para ele. Essa segregação de funções reduz fraude e erro, mas precisa considerar o tamanho da equipe e prever aprovações adicionais quando a separação completa não for viável.

5. Reforce a autenticação de acordo com o risco

MFA deve ser prioritária para administradores, e-mail, acesso remoto, nuvem, código, financeiro e sistemas com dados sensíveis. Sempre que o ambiente suportar, prefira métodos resistentes a phishing, como passkeys ou chaves de segurança, sobretudo para contas privilegiadas. O NIST SP 800-63-4 inclui autenticadores sincronizáveis, como passkeys, em sua orientação atual.

Planeje também recuperação de conta. Um método forte perde valor se o suporte puder ignorá-lo após uma solicitação pouco verificada. Códigos de recuperação, troca de dispositivo e redefinição de credencial exigem regras, evidência e comunicação ao titular.

A arquitetura de confiança zero do NIST SP 800-207 trata autenticação e autorização como funções distintas antes da sessão com um recurso e não concede confiança apenas pela localização de rede. Portanto, estar no escritório ou conectado à VPN não deveria, sozinho, liberar todo o ambiente.

6. Proteja privilégios administrativos

Contas administrativas devem ser separadas das contas usadas para e-mail e navegação cotidiana. Limite o número de administradores permanentes, exija autenticação forte e registre ações sensíveis. Quando possível, use acesso temporário — just in time — com aprovação e expiração automática.

Credenciais de emergência precisam existir para falhas do provedor de identidade, mas devem ser poucas, protegidas fora do fluxo comum, testadas e monitoradas. Cada uso precisa gerar investigação, não ser tratado como atalho conveniente.

A maturidade de confiança zero também depende de visibilidade e automação. O Zero Trust Maturity Model 2.0 da CISA inclui identidade como um dos pilares e relaciona políticas de acesso a sinais, inventário, análise e respostas coordenadas.

7. Inclua contas de serviço e outras identidades não humanas

Aplicações, pipelines, robôs e integrações também possuem identidade. Chaves de API compartilhadas e segredos sem proprietário frequentemente permanecem válidos por anos. Para cada identidade técnica, registre serviço, dono, permissões, onde o segredo é armazenado, método de rotação e plano de substituição.

Prefira credenciais de curta duração e identidade de carga de trabalho quando a plataforma oferecer esse recurso. Não grave segredos no código, em imagens de contêiner ou em documentos. Uma integração deve receber apenas os escopos necessários: consultar pedidos não implica poder cancelar vendas.

Ao desenvolver ou modernizar aplicações, autenticação e autorização precisam entrar na arquitetura e nos testes. A página de criação de software sob medida mostra como sistemas e integrações podem ser planejados de acordo com os processos da empresa. O mesmo cuidado deve chegar à entrega contínua, como detalhado no guia de pipeline CI/CD seguro.

Revisão periódica de acessos

Automação não substitui revisão. O responsável pelo processo deve confirmar periodicamente se pessoas, grupos, contas técnicas e privilégios continuam necessários. A frequência pode variar conforme o risco: acesso administrativo e financeiro merece ciclos menores que uma ferramenta de baixo impacto.

Uma boa campanha de revisão apresenta contexto suficiente para decidir:

• nome da identidade e tipo de vínculo;
• sistema, perfil e permissões relevantes;
• gestor e responsável pelo recurso;
• data da concessão e do último uso;
• justificativa e prazo, quando temporário;
• conflitos de função ou privilégios elevados.

“Revisar tudo” sem contexto costuma virar aprovação em massa. Divida por sistema ou risco, permita revogação direta e registre a decisão. A ausência de resposta não deveria renovar silenciosamente um acesso crítico.

Logs, alertas e resposta a incidentes

Registre autenticações, falhas relevantes, mudanças de função, concessões administrativas, recuperação de conta e uso de credenciais de emergência. Centralize eventos de maior risco e crie alertas que possam gerar ação: elevação inesperada de privilégio, autenticação administrativa fora do padrão ou uso de conta desativada.

Logs devem evitar dados pessoais desnecessários e ter acesso restrito. Os princípios da LGPD incluem necessidade, segurança, prevenção e responsabilização, conforme a orientação oficial sobre o artigo 6º. IAM apoia esses princípios ao limitar acesso e produzir evidências, mas não representa conformidade automática: finalidade, base legal, retenção e direitos dos titulares continuam exigindo governança própria.

Quando um evento indica comprometimento, o fluxo precisa se conectar ao plano de resposta a incidentes: conter sessões e credenciais, preservar evidências, analisar o alcance e recuperar o acesso de forma controlada.

Métricas úteis para acompanhar

Escolha poucas métricas com definição estável:

• tempo entre desligamento e bloqueio efetivo;
• percentual de aplicações ligadas ao processo central;
• cobertura de MFA em contas críticas;
• número de contas órfãs, compartilhadas ou sem proprietário;
• quantidade de privilégios permanentes e temporários;
• conclusão das revisões e percentual de acessos revogados;
• falhas de provisionamento abertas além do prazo.

Não interprete uma taxa alta de aprovação como sinal de segurança. O dado útil é se a revisão encontrou permissões inadequadas, se elas foram removidas e se a causa foi corrigida.

Roteiro de implantação em quatro fases

Fase 1: diagnóstico

Mapeie ativos, identidades, privilégios críticos e eventos do ciclo de pessoas. Corrija primeiro contas órfãs, credenciais compartilhadas e administradores sem MFA.

Fase 2: base comum

Defina fonte oficial, responsáveis, matriz inicial de acesso, processo de solicitação e regras de autenticação. Centralize o login das aplicações prioritárias sem ignorar exceções legadas.

Fase 3: automação controlada

Integre admissão, movimentação e desligamento; automatize apenas regras compreendidas e testadas. Monitore falhas e mantenha reconciliação para detectar diferenças entre a fonte oficial e cada aplicação.

Fase 4: governança contínua

Execute revisões baseadas em risco, reduza privilégios permanentes, trate identidades técnicas e conecte eventos ao monitoramento. Uma iniciativa de governança e compliance em TI pode organizar políticas, responsáveis, evidências e evolução sem transformar o processo em burocracia desconectada.

Checklist de gestão de identidade e acesso

• Existe fonte oficial para funcionários, terceiros e contas técnicas?
• Admissão, mudança de função e desligamento possuem responsáveis e prazos?
• Contas críticas usam MFA adequada ao risco?
• A autorização nega por padrão e aplica menor privilégio?
• Administradores usam contas separadas e acesso temporário quando possível?
• Perfis consideram segregação de funções?
• Contas de serviço têm dono, escopo e rotação definidos?
• Acessos temporários expiram automaticamente?
• Revisões periódicas apresentam contexto e geram revogação?
• Logs de mudanças e ações críticas são protegidos e monitorados?
• Recuperação de conta e credenciais de emergência são testadas?
• As métricas mostram falhas do processo e orientam correções?

Conclusão

A gestão de identidade e acesso funciona quando acompanha o ciclo real da empresa: cria o acesso necessário, ajusta-o quando a função muda e remove-o sem atraso quando a justificativa termina. Tecnologia ajuda a centralizar e automatizar, mas papéis claros, menor privilégio, revisão e evidências sustentam o controle.

Comece pelos sistemas e privilégios de maior impacto, estabeleça uma fonte oficial e meça as exceções. Se sua empresa precisa diagnosticar o ambiente ou estruturar esse plano, fale com a Mattos Tech Solutions.

Fontes e referências

• NIST SP 800-63-4 — Digital Identity Guidelines
• NIST SP 800-207 — Zero Trust Architecture
• CISA — Zero Trust Maturity Model 2.0
• OWASP — Authorization Cheat Sheet
• IETF RFC 7644 — SCIM Protocol
• Governo Federal — Princípios da LGPD