← Voltar ao Material de Estudo
Intermediário · Aula 11

Gestão de Identidade e Acesso (IAM)

⏱️ 25-30 minutos · 📚 Trilha Intermediária

IAM (Identity and Access Management) é a disciplina de garantir que a pessoa certa tenha o acesso certo, ao recurso certo, pelo tempo certo — nem mais, nem menos. É uma das áreas mais críticas (e mais mal implementadas) da segurança corporativa.

🎯 O que você vai aprender

  • RBAC vs. ABAC: dois modelos de controle de acesso
  • O que é Single Sign-On (SSO) e por que ele reduz risco
  • Provisionamento e desprovisionamento de acesso
  • Contas privilegiadas e por que merecem cuidado extra

RBAC vs. ABAC

  • RBAC (Role-Based Access Control): o acesso é definido por função/cargo. Um "analista financeiro" tem um conjunto pré-definido de permissões associadas a esse papel. Simples de administrar, mas pode ficar rígido em cenários complexos.
  • ABAC (Attribute-Based Access Control): o acesso é decidido dinamicamente com base em atributos (departamento, localização, horário, sensibilidade do dado). Mais flexível, mas mais complexo de configurar e auditar.

A maioria das empresas usa RBAC como base, com regras ABAC adicionais para casos específicos de alto risco.

Single Sign-On (SSO)

Com SSO, o usuário se autentica uma única vez em um provedor de identidade central e ganha acesso a múltiplos sistemas sem precisar logar em cada um separadamente. Isso reduz o número de senhas que o usuário precisa gerenciar (menos reutilização de senha) e centraliza o controle: quando alguém sai da empresa, desativar uma única conta central revoga o acesso a todos os sistemas conectados de uma vez.

Provisionamento e desprovisionamento

Provisionamento é o processo de criar contas e conceder acessos quando alguém entra na empresa ou muda de função. Desprovisionamento é o processo inverso — revogar acessos quando a pessoa sai ou muda de função.

⚠️ Erro comum

Desprovisionamento lento ou inexistente. É extremamente comum em auditorias encontrar contas ativas de ex-funcionários, meses ou anos depois do desligamento — um dos vetores de risco mais subestimados em segurança corporativa. Revisões periódicas de acesso ("access review") existem justamente para pegar esses casos.

Contas privilegiadas

Contas de administrador, root ou com acesso a sistemas críticos são alvos prioritários de atacantes, porque comprometer uma delas vale muito mais do que comprometer uma conta comum. Boas práticas incluem:

  • Contas administrativas separadas das contas de uso diário (a mesma pessoa usa uma conta comum para e-mail e uma conta separada, só ativada quando precisa de privilégio elevado).
  • PAM (Privileged Access Management): ferramentas dedicadas para monitorar, limitar e registrar o uso de credenciais privilegiadas.
  • Acesso privilegiado por tempo limitado (Just-in-Time), em vez de permissão permanente.

💡 Exemplo prático

Um administrador de sistemas usa uma conta comum para tarefas do dia a dia (e-mail, documentos) e só ativa uma conta administrativa separada, com aprovação e por tempo limitado, quando precisa realmente fazer uma mudança que exige privilégio elevado. Se a conta comum for phishada, o atacante não ganha automaticamente privilégios administrativos.

✅ Pontos-chave

  • RBAC define acesso por função; ABAC decide dinamicamente com base em atributos.
  • SSO reduz reutilização de senha e centraliza a revogação de acesso.
  • Desprovisionamento lento é um dos riscos mais comuns e subestimados em IAM.
  • Contas privilegiadas merecem isolamento, monitoramento e acesso por tempo limitado.

🔗 Para se aprofundar