Aula 17: Gestão de Identidade e Acesso (IAM)

Na aula passada, abrimos a caixa-preta da criptografia. Agora vamos para o outro lado da mesma moeda: como saber quem está a tentar aceder à informação? O IAM (Identity & Access Management) é o framework que garante que só utilizadores autorizados obtenham acesso — no momento certo e com as permissõ

Em resumo: o IAM responde a uma pergunta — quem você é e o que você pode fazer. O modelo AAA divide isso em authentication (provar a identidade), authorization (determinar o que é permitido) e accounting (registar o que aconteceu), com o MFA combinando dois tipos diferentes de prova: algo que você sabe, tem ou é. Uma identidade passa por um ciclo de vida — entrada, mudança de cargo, saída — e ferramentas como SSO e PAM tornam possível gerir isso em escala.

IAM e o Modelo AAA: O IAM é um framework de processos e tecnologia que garante que só utilizadores autorizados obtenham acesso a recursos, no momento certo e com as permissões certas — o 'portão' central agora que a própria rede não é mais fechada. Todo sistema de IAM se apoia em três componentes: authentication (comprovar a identidade), authorization (determinar o que é permitido, geralmente por função), e accounting (um registo imutável do que realmente aconteceu).
O Paradoxo do Acesso: A tensão constante em toda organização: a necessidade do negócio exige acesso rápido e sem atrito, enquanto a necessidade de segurança exige barreiras (senhas, MFA, aprovações). Aumentar a segurança prejudica a conveniência; afrouxar para os utilizadores expõe a organização a risco. O trabalho do IAM é encontrar o caminho ideal entre os dois.
Os Três Fatores de Autenticação: Algo que você sabe (Know — senha, PIN, perguntas de segurança ultrapassadas e fáceis de adivinhar), algo que você tem (Have — telefone com SMS/Push, Soft/Hard Token, FIDO Key, Smart Card, OTP válido por 60 segundos), e algo que você é (Are — impressão digital, reconhecimento facial, biometria comportamental). MFA significa combinar obrigatoriamente pelo menos dois fatores de tipos diferentes — e bloqueia cerca de 99,9% dos ataques de tomada de conta.
Desafios da Biometria: Erros de identificação: false positives (bloquear indevidamente um utilizador legítimo — por exemplo, um funcionário que se conecta de um hotel durante as férias é sinalizado como 'login de um local incomum') e false negatives (não identificar um atacante real). Além disso: diferente de uma senha, uma impressão digital roubada não pode ser 'trocada' — dados biométricos são irreversíveis.
Ciclo de Vida da Identidade: JML: Joiners: integrar um novo funcionário e criar sua identidade digital (provisioning — geralmente automático a partir dos dados de RH), e então traduzir seu cargo em permissões técnicas específicas segundo o princípio da necessidade de conhecer (assignment). Movers: uma mudança de cargo que exige uma atualização de permissões — adicionar as novas e remover as antigas. Leavers: desconexão imediata e completa de todo acesso (de-provisioning).
O Risco do Movers e o De-Provisioning: Quando um funcionário muda de cargo e ganha novas permissões sem que as antigas sejam removidas, ele acumula acesso excessivo — e pode acabar detendo permissões conflitantes (por exemplo, tanto criar um fornecedor quanto aprovar o pagamento a ele), violando o princípio da Separation of Duties (SoD). A solução: revogar todas as permissões antigas antes de conceder as novas. Na saída, contas deixadas ativas ('contas zumbi') são uma falha de segurança grave — é preciso um 'kill switch' para desconectar instantaneamente todos os sistemas com uma única ação.
SSO e Federação de Identidades: SSO (Single Sign-On): uma única autenticação contra um Identity Provider (IdP) central concede acesso a todos os sistemas organizacionais — melhora a experiência do utilizador e reduz a carga de suporte, mas cria um ponto único de falha (por isso o MFA é obrigatório). Federação: protocolos padrão (SAML, OIDC) permitem que uma organização construa relações de confiança com serviços de terceiros (como Zoom ou Salesforce), de modo que um funcionário entra neles com a mesma identidade organizacional, sem precisar de uma conta separada.
PAM: Privileged Access Management: Enquanto o IAM comum gere todos os funcionários, o PAM foca apenas nos superusuários (administradores de sistema, equipa de segurança) que detêm as 'chaves do reino'. Senhas fortes ficam guardadas num cofre digital, desconhecidas até para o próprio utilizador; quando é preciso trabalhar num servidor, a senha é 'retirada' (checkout) por um curto período, cada ação é gravada, e logo depois o cofre gira a senha automaticamente — de modo que a que o utilizador tinha em mãos volta a não valer nada.
Zero Trust em Profundidade e Machine Identity: O princípio: 'nunca confie, sempre verifique' — estar fisicamente conectado à rede do escritório não concede nenhuma confiança automática, e a verificação continua em segundo plano ao longo de toda a atividade, não só no login. Na prática: checar a saúde e a localização do dispositivo antes de cada acesso, e micro-segmentação que impede movimento lateral. Machine identity: entidades não humanas (contas de serviço entre aplicações) também precisam de uma gestão rigorosa de segredos — elas tendem a ser menos monitoradas e a deter permissões amplas demais.
IAM em Nuvem, IDaaS, Compliance e o Futuro do IAM: IDaaS (Identity as a Service): um provedor terceirizado (como o Okta) gere identidades por meio de três agentes — o utilizador, o recurso (Service Provider) e o Identity Provider. Responsabilidade partilhada no IAM em nuvem: o cliente define a política, cria utilizadores e define permissões; o provedor protege a infraestrutura. Compliance: o GDPR concede um 'direito ao esquecimento', e a Separation of Duties (SoD) é exigida em auditorias financeiras. O futuro do IAM: CIAM (gestão de identidade de clientes), Self-Sovereign Identity (identidade descentralizada controlada pelo utilizador), e inteligência artificial para deteção de anomalias e recomendações de limpeza de permissões.