Controlar os acessos dentro de uma empresa, até pouco tempo atrás, significava criar usuários para os colaboradores, definir senhas, conceder permissões e bloquear contas quando alguém deixava a organização. Esse cuidado continua indispensável, mas já não representa a maior parte das identidades existentes em um ambiente corporativo moderno.
Hoje, grande parte dos acessos pertence às próprias máquinas. APIs (Application Programming Interface), certificados digitais, contas de serviço, tokens de autenticação, robôs de automação, integrações entre sistemas e até agentes de Inteligência Artificial precisam se identificar para trocar informações e executar tarefas automaticamente.
Essas chamadas identidades não humanas já superam, em muitas organizações, o número de usuários tradicionais e passaram a ocupar lugar de destaque entre as preocupações dos especialistas em Segurança da Informação.
Na prática, basta observar a rotina de uma empresa. O ERP envia informações para o sistema contábil, o CRM conversa com a plataforma de vendas, o emissor de documentos fiscais se comunica com a Secretaria da Fazenda e diversas aplicações trocam dados continuamente sem que ninguém precise digitar login e senha. Quem realiza essa autenticação são credenciais criadas especificamente para que um sistema reconheça o outro. O problema começa quando essas credenciais deixam de ser administradas.
Exemplo prático
Imagine que uma empresa desenvolveu uma integração entre seu ERP e uma plataforma de e-commerce. Para permitir essa comunicação foi criada uma chave de API com acesso privilegiado às informações. O projeto foi concluído, mas ninguém mais revisou aquela credencial. Se ela for exposta em um repositório de código ou utilizada indevidamente, um invasor poderá acessar dados estratégicos utilizando uma identidade considerada legítima pelo próprio sistema.
Certificados esquecidos
Situações semelhantes acontecem com certificados digitais esquecidos, contas de serviço criadas para projetos temporários e robôs de automação que continuam operando com privilégios elevados mesmo depois de mudanças nos processos internos. O crescimento acelerado da Inteligência Artificial ampliou ainda mais esse cenário, já que praticamente toda integração com modelos de IA depende de chaves, tokens e permissões específicas.
Por esse motivo, uma expressão vem ganhando espaço entre os profissionais de cibersegurança: Machine Identity Management, ou gestão das identidades das máquinas. A proposta é simples. Se uma credencial permite acessar informações da empresa, ela precisa ser inventariada, protegida, revisada periodicamente e removida quando deixar de ser necessária, exatamente como acontece com os usuários humanos.
Essa preocupação está alinhada às boas práticas previstas pela ISO 27001. Embora a norma não utilize essa nomenclatura, diversos de seus controles tratam diretamente da gestão de acessos, autenticação, proteção de credenciais, criptografia e revisão periódica de permissões. O princípio é o mesmo: qualquer identidade que tenha acesso às informações da organização deve ser conhecida, monitorada e administrada de forma segura.
Medidas para reduzir riscos
Algumas medidas reduzem significativamente esse risco. Manter um inventário atualizado das APIs, certificados e contas de serviço, estabelecer prazos para renovação de tokens, armazenar credenciais em cofres digitais apropriados e revisar regularmente as integrações ajudam a evitar que acessos antigos permaneçam ativos sem necessidade. Também é fundamental definir claramente quem é o responsável por cada identidade criada, facilitando auditorias e a resposta a incidentes.
A transformação digital trouxe ganhos extraordinários de produtividade, mas também criou um novo desafio. As empresas já aprenderam a controlar quem entra pela porta da frente. Agora precisam conhecer também todas as "máquinas" que circulam pelos corredores internos, acessam informações estratégicas e tomam decisões automatizadas.
Talvez a pergunta mais importante da Segurança da Informação hoje não seja apenas quem tem acesso aos sistemas da empresa. A questão que começa a fazer diferença é outra: quantas identidades das máquinas acessam seus dados diariamente e quem garante que todas elas continuam sendo confiáveis?
Sobre a VARITUS
Com 18 anos de mercado e mais de 10 mil clientes de todos os portes e segmentos em várias regiões do Brasil, a VARITUS desenvolve e entrega ao mercado soluções robustas em software e ferramentas para modernizar e automatizar processos fiscais, contábeis e de gestão, unindo o melhor das inteligências artificial e humana. E além de ser associada à ABES (Associação Brasileira das Empresas de Software), possui certificações internacionais como a ISO 27001, especificamente voltada à Segurança da Informação, o que comprova seu compromisso com as melhores práticas de segurança digital, fator de tranquilidade para seus clientes.