Identity and Access Management: o perímetro virou pessoa, e depois virou máquina

Durante muito tempo, segurança digital foi um problema de fronteira. Existia um dentro e um fora. A rede corporativa era o território, o firewall era o muro, e o trabalho consistia em decidir quem atravessava.

Esse modelo não sobreviveu ao trabalho remoto, à nuvem, ao SaaS distribuído e aos dispositivos pessoais. Quando a aplicação está em três provedores diferentes e o funcionário acessa de um café em outro país, não existe mais dentro. O muro deixou de proteger porque deixou de existir uma coisa clara para cercar.

O que sobrou foi a identidade. E é por isso que Identity and Access Management deixou de ser uma disciplina técnica de segundo plano para se tornar a camada mais crítica da arquitetura digital de qualquer organização.

O que IAM resolve, de fato

Identity and Access Management responde a três perguntas que parecem simples e quase nunca são:

Quem é essa entidade. Autenticação. Provar que quem está solicitando acesso é realmente quem afirma ser.

O que essa entidade pode fazer. Autorização. Definir com precisão o escopo do que é permitido, e não apenas conceder acesso genérico ao sistema inteiro.

Por quanto tempo isso continua válido. Ciclo de vida. Criar, revisar, ajustar e encerrar permissões conforme funções mudam e pessoas saem.

A maioria das organizações executa razoavelmente a primeira, tolera falhas na segunda e ignora completamente a terceira.

O problema silencioso é o acúmulo

Poucas empresas têm um incidente porque alguém invadiu o perímetro. Muitas têm um incidente porque alguém acumulou, ao longo de seis anos e quatro mudanças de cargo, um conjunto de permissões que ninguém jamais revisou.

Acesso é fácil de conceder e desconfortável de retirar. Pedir permissão gera uma conversa de dois minutos. Remover permissão gera uma conversa política. Por isso o privilégio só cresce, nunca encolhe, e o resultado é uma organização em que dezenas de contas podem fazer muito mais do que qualquer pessoa autorizaria conscientemente hoje.

Some a isso as contas órfãs, os acessos de prestadores que terminaram o contrato, as credenciais compartilhadas em planilhas e os tokens criados para um projeto que acabou em 2022 e nunca foram revogados. A superfície de ataque de quase toda empresa é composta principalmente por permissões esquecidas.

A virada que quase ninguém está tratando: identidades não humanas

Enquanto as empresas ainda arrumam o controle de acesso de pessoas, o volume de identidades que não são pessoas cresce em outra escala. Service accounts, chaves de API, tokens de integração, workloads em nuvem e, agora, agentes de inteligência artificial que executam tarefas de forma autônoma.

Um agente que lê e-mails, consulta bancos de dados, aciona sistemas internos e executa ações em nome de um usuário é uma identidade com poder operacional. Ele precisa de credenciais, escopo, auditoria e revogação exatamente como um funcionário. Na prática, costuma receber acesso amplo, permanente e não monitorado, porque tratá-lo como identidade daria trabalho e tratá-lo como ferramenta é mais rápido.

É aqui que a terceirização cognitiva encontra a segurança. Delegamos decisões a sistemas sem construir a estrutura que define os limites dessa delegação. A questão não é se o agente vai errar. É quanto ele pode alcançar quando errar.

Zero Trust é um princípio, não uma compra

O termo virou etiqueta comercial, mas a ideia é bem menos glamourosa do que a venda sugere: nenhuma requisição é confiável por origem. Cada acesso é verificado, com contexto, escopo mínimo e duração limitada.

Isso não se instala. Se implementa ao longo de anos, e depende menos de tecnologia do que de decisões organizacionais desconfortáveis: quem aprova, quem revisa, com que frequência, e o que acontece quando alguém pede uma exceção urgente na sexta-feira à noite.

Por que isso não é uma pauta de TI

Toda decisão de acesso é uma decisão sobre confiança, responsabilidade e velocidade. Um modelo restritivo demais empurra as pessoas para soluções paralelas, e a organização perde visibilidade sem ganhar segurança. Um modelo permissivo demais funciona perfeitamente até o dia em que não funciona.

Esse equilíbrio não é técnico. É estratégico. Define quanto atrito a empresa está disposta a aceitar em troca de quanto risco, e essa é uma escolha de direção, não de infraestrutura.

O que está realmente em jogo

Identidade deixou de ser um registro administrativo e passou a ser o mecanismo que determina o que acontece dentro de uma organização. Quem pode ver, quem pode mover, quem pode decidir, e agora quais sistemas autônomos podem agir sem que ninguém observe.

Empresas que continuarem tratando gestão de acesso como tarefa operacional vão descobrir o custo dessa classificação da forma mais cara possível: no dia em que uma credencial esquecida, humana ou não, se transformar em um incidente que ninguém sabe reconstituir.

O perímetro não desapareceu. Ele mudou de lugar. Agora está em cada identidade que a sua organização criou e nunca mais olhou.