Identidades Não Humanas: Um Novo Desafio para a Segurança Empresarial

As organizações estão a interagir cada vez mais com identidades que não estão associadas a utilizadores humanos. Ao mesmo tempo, a crescente adoção de inteligência artificial está a acelerar o aumento exponencial de identidades não humanas nos ambientes empresariais.

Atualmente é comum encontrar identidades de máquinas criadas sem supervisão adequada, tokens sem data de expiração, serviços com permissões excessivas e uma falta de rastreabilidade que dificulta a identificação da causa raiz de falhas. Nestes cenários, uma API comprometida pode representar um risco de segurança maior do que uma conta humana com privilégios elevados.

Ao longo deste ano, prevê se que o número de identidades não humanas ultrapasse largamente o número de utilizadores humanos, com uma estimativa de 92 para um. Apesar deste crescimento, muitas organizações não têm visibilidade sobre quantas destas identidades existem, para que são utilizadas ou quem é responsável por elas. Sem uma governação adequada, o chamado “shadow IAM” deixa de ser impulsionado pelos colaboradores e passa a ser gerado pelos próprios processos automatizados da organização.

Cada identidade é um ativo crítico

Enfrentar este desafio exige um inventário proativo de identidades (ISPM), a implementação de uma governação de identidade eficaz (IGA) e a definição de políticas que gerem todas as identidades — humanas e não humanas — com o mesmo nível de rigor, controlo e rastreabilidade (IAM + PAM). O princípio base é tratar cada identidade, independentemente da sua natureza, como um ativo crítico, suportado por rotação regular de credenciais, aplicação rigorosa de privilégios mínimos, automação bem governada e supervisão centralizada que vá além dos métodos manuais de controlo.

Autenticação e proteção de identidade

À medida que os ataques baseados em identidade continuam a aumentar e as técnicas de movimento lateral se tornam mais sofisticadas, as organizações devem adotar uma plataforma de autenticação unificada combinada com chaves de segurança baseadas em hardware. Este modelo de defesa em múltiplas camadas permite proteger ambientes que tradicionalmente não suportam autenticação multifator.

Neste contexto, uma plataforma de autenticação que permita estender a autenticação física multifator a todos os sistemas e recursos — incluindo ambientes on premises, cloud e sistemas legados — sem necessidade de instalar agentes, implementar proxies ou modificar aplicações existentes. Esta abordagem possibilita a aplicação consistente de políticas de acesso e princípios Zero Trust em toda a organização.

Para além disto, existem também as chaves de segurança baseadas em hardware, que oferecem um nível elevado de proteção contra phishing através de normas como FIDO2 e WebAuthn. Quando integradas numa camada de autenticação centralizada, esta proteção pode ser estendida a ambientes críticos como Active Directory, servidores de terminal, bases de dados, infraestruturas de tecnologia operacional (OT) e sistemas industriais onde o MFA tradicional não pode ser implementada.

A adoção combinada destas tecnologias constitui um avanço significativo no sentido de assegurar uma identidade contínua e devidamente verificada em todos os pontos de acesso, estabelecendo a segurança como um pilar fundamental da infraestrutura empresarial moderna — um contexto em que a confiança deixa de ser presumida e passa a ser constantemente validada"

Conteúdo co-produzido pela MediaNext e pela Ignition Portugal