Gestão de identidade e acessos, ou IAM (identity and access management), é o conjunto de processos e ferramentas que garante que cada pessoa e cada sistema tenha acesso apenas ao que precisa para trabalhar, pelo tempo necessário. Ela responde a três perguntas: quem tem acesso a um sistema, por que tem e até quando vai ter.
Muitas empresas não conseguem responder a essas perguntas com rapidez, e por isso a identidade se tornou um dos caminhos preferidos dos atacantes.
Por que a identidade virou a principal porta de entrada
O caminho mais barato para um atacante é obter uma credencial válida e entrar como um funcionário. O Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, mostra o tamanho disso: 38,1% tinham ambiente em nuvem sem autenticação multifator, em 35,7% a tentativa de senhas previsíveis em escala funcionou, em 21,4% credenciais roubadas por infostealers serviram de atalho e em 23,8% foi possível chegar à VPN partindo do zero.
Nenhum desses caminhos exige técnica sofisticada. São falhas de gestão de identidade.
O cenário internacional é semelhante. No M-Trends 2026, do Google Cloud, o phishing por voz foi o vetor mais comum em intrusões de nuvem, com 23% dos casos, seguido por comprometimento de terceiros (17%) e credenciais roubadas (16%).
O ciclo de vida de um acesso
Todo acesso passa por entrada, movimentação e saída. Na entrada, o erro comum é copiar os acessos de alguém do time e herdar permissões acumuladas por anos. Na movimentação, a pessoa muda de área e ganha novos acessos sem perder os anteriores, até alcançar quase tudo.
Na saída, os acessos deveriam ser revogados no mesmo dia. O erro comum é revogar o e-mail e esquecer o sistema financeiro, a VPN ou a ferramenta em nuvem contratada pela área.
Os conceitos que organizam os acessos
O menor privilégio dá a cada pessoa o mínimo necessário para trabalhar e reduz o dano quando uma credencial vaza. O acesso por perfil (RBAC) define o que cada função precisa e facilita conceder, revisar e revogar. A segregação de funções (SoD) impede que a mesma pessoa cadastre um fornecedor e aprove o pagamento a ele.
As contas privilegiadas, como administradores, contas de serviço e acessos de emergência, são poucas e muito valiosas para o atacante. Merecem controle próprio, com cofre de senhas, sessão gravada e acesso apenas quando necessário. A revisão periódica de acessos pelos gestores é o controle mais simples e um dos mais negligenciados.
Por onde começar
Uma sequência que costuma funcionar:
- Segundo fator: em e-mail, VPN, nuvem e sistemas críticos acessíveis de fora.
- Desligamento no mesmo dia: integração entre RH e revogação de acessos.
- Inventário de contas privilegiadas: quantas existem, quem usa e quando foram usadas.
- Primeira revisão de acessos: começando pelos sistemas críticos.
- Perfis por função: depois da limpeza do acumulado, para não formalizar permissões indevidas.
Comprar uma plataforma de IAM sem definir quem aprova, revisa e revoga tende a reproduzir os mesmos problemas num painel novo. O controle de quem acessa dados pessoais também é uma das medidas esperadas pela LGPD.
Governança de identidades e acessos
A Vultus estrutura a gestão de identidades com política de acessos, perfis por função, regras de segregação, processos de concessão e revogação e tratamento específico para contas privilegiadas. Conheça a gestão de identidade e acessos da Vultus e leia sobre infostealers.
