Sean Deuby | Tecnólogo Principal, Américas

À medida que as organizações expandem o seu ecossistema digital, reconhecem que as soluções de segurança na nuvem, embora valiosas, não são uma solução autónoma para todos os problemas. Nos actuais ambientes de identidade híbrida em expansão, a segurança na nuvem é inseparável da sua arquitetura empresarial no local. Garantir a resiliência desses sistemas interconectados envolve uma grande complexidade e configuração - especialmente em relação ao gerenciamento da postura de segurança de identidade, onde muitas organizações ainda falham.

«A identidade está no cerne da cibersegurança, mas as empresas, normalmente, não sabem qual é a sua situação», afirmou Maarten Goet, diretor de ameaças da Wortell, quando falei com ele na Hybrid Identity Protection Conference (HIP Conf) há alguns anos. «Faltam-lhes informações claras sobre quem tem quais direitos, que sistemas estão em funcionamento e como as coisas estão ligadas ou desligadas. Determinar a sua situação atual em matéria de identidade é a sua principal preocupação. Sem isso, não conseguem definir uma estratégia nem um plano de ação.»

A sua visão é convincente. Como Microsoft MVP há 18 anos e Microsoft Security MSSP of the Year, Goet compreende que, para ser eficaz, a segurança de identidade deve abranger toda a complexidade dos nossos ambientes híbridos em constante evolução. A necessidade de compreender essa complexidade só aumentou desde a nossa conversa.

A procura da maturidade da cibersegurança e de uma postura de segurança sólida exige mais do que apenas ligar um interrutor. Vejamos algumas das principais ideias da minha conversa com Goet que o podem guiar para uma compreensão mais profunda do seu ambiente de identidade - e fornecer uma base para a criação de uma postura de segurança de identidade resiliente.

A segurança da identidade está a evoluir

Quando a Microsoft introduziu o Entra ID em 2022, a medida representou uma tendência de aceleração não só na segurança de identidade híbrida, mas também no sector mais vasto da cibersegurança.

"O que toda a gente já percebeu é que a identidade não é apenas uma questão de diretórios e o acesso não é apenas uma questão de rede", afirma Goet. "Os nossos desafios de segurança tornaram-se mais vastos e precisamos de soluções mais vastas. Temos de adotar uma abordagem integrada que estabeleça a identidade como um tecido de confiança para o ecossistema digital.

"Esse é o grande objetivo ao longo do tempo. Acesso seguro para cada funcionário, microsserviço, base de dados e sensor."

Gerir a postura de segurança da identidade de todos os ângulos

Não existem duas organizações exatamente iguais, mesmo as que operam no mesmo sector. Embora algumas práticas recomendadas sejam amplamente aplicáveis, é necessário criar uma abordagem única para a segurança da identidade da sua organização. Mais importante ainda, tem de considerar a forma como as suas decisões afectam o seu ecossistema e a superfície de ataque.

Abrangente de deteção e resposta a ameaças à identidade (ITDR) são incrivelmente valiosas. Através da aprendizagem automática, estabelecem uma linha de base para o comportamento normal no seu ambiente, identificam actividades suspeitas e automatizam a deteção e correção de riscos para a maioria dos riscos baseados na identidade. Isto é algo que as soluções de segurança tradicionais não têm sido capazes de ter em conta facilmente.

No entanto, mesmo isto representa apenas uma solução parcial.

"A tecnologia é apenas uma peça do puzzle da segurança da identidade", explicou Goet. "Também é necessário implementar processos. Precisa de uma estratégia. É necessário garantir que o seu pessoal tem formação e que consegue acompanhar a evolução das prioridades e das circunstâncias."

A complexidade e a dívida técnica colocam as empresas em desvantagem

O espaço de segurança mudou radicalmente nos últimos anos. A autenticação sem palavra-passe é, sem dúvida, o avanço mais significativo, oferecendo uma alternativa simplificada e segura aos logins antiquados baseados em credenciais. No entanto, apesar de todas as suas vantagens, as empresas (em particular, as grandes empresas) têm sido lentas a adotar a autenticação sem palavra-passe.

"As empresas de pequena e média dimensão tendem a ser um pouco mais ágeis, uma vez que os seus ambientes são menos complexos", afirmou Goet. "Isto permite-lhes adotar a autenticação sem palavra-passe através de soluções como o Windows Hello muito mais rapidamente. Nas grandes empresas, há simplesmente muitos outros factores em jogo - pontos de extremidade e sistemas antigos que tornam difícil a implementação de qualquer nova tecnologia."

As métricas de pontuação da postura de segurança são valiosas - mas apenas no contexto

O Microsoft Secure Score, uma métrica para avaliar a postura geral de segurança, pode fornecer à sua organização uma orientação valiosa sobre onde concentrar os seus esforços. No entanto, não deve cometer o erro de aplicar essas estruturas sem contexto. Estas estruturas não devem ser o único meio pelo qual mede o sucesso.

Na minha experiência, as soluções de relatórios de métricas podem ser enganadoras. Muitas delas não têm em conta as diferenças de configuração, por exemplo. Considerei o Identity Secure Score particularmente frustrante porque nunca teve em conta alguns dos controlos de segurança que implementei.

"A pontuação de segurança é um trampolim", concordou Goet. "O verdadeiro desafio reside na forma como a interpreta, como se adapta ao seu ambiente e como se aplica à sua estratégia mais alargada. Estas pontuações e medidas foram criadas para um mundo perfeito e estão relacionadas com cenários perfeitos. Mas o seu ambiente não é perfeito.

"Outra coisa que considero enganadora nas pontuações de segurança é o facto de parecerem finitas", continuou. "A segurança é um processo contínuo que requer tempo, dinheiro, esforço e concentração. Não termina quando se atinge um valor de referência arbitrário."

Nunca subestime o valor de uma base de identidade segura

No que diz respeito à cibersegurança, demasiadas empresas tentam reinventar a roda. Assumem que a única forma de enfrentar os modernos agentes de ameaças é através de soluções de segurança de ponta. A realidade é que a maior parte dos agentes de ameaças não são black hats imparáveis - são oportunistas à procura de sistemas mal configurados e desactualizados.

"O simples facto de ter configurações de segurança básicas implementadas pode reforçar significativamente a sua postura de segurança de identidade", afirmou Goet. "Recomendo sempre aos clientes que estabeleçam as suas predefinições de segurança. É algo que ajuda muito antes de uma empresa avançar para soluções mais amplas e sofisticadas, como o SIEM."

A gestão de permissões e a gestão da postura de segurança da identidade andam de mãos dadas

As permissões representam o fator mais crucial na gestão e segurança do panorama de identidade de uma organização. A que sistemas podem os utilizadores aceder e o que podem fazer com esse acesso? Estas são as perguntas a que todas as estratégias de segurança de identidade procuram responder.

"A gestão de permissões é a chave para a segurança de identidade moderna", explicou Goet. "Fornece uma visão unificada das permissões e identidades em qualquer nuvem. Dá-lhe uma visão de cada ambiente de nuvem - o que está a acontecer, quem está envolvido e se há algo com que se deva preocupar.

"A partir daí, ajuda-o a automatizar o acesso com privilégios mínimos", continua Goet. "Pode então dimensionar corretamente as permissões com base em dados históricos de utilização e monitorização em tempo real. Esse é o objetivo final: garantir que as pessoas têm apenas as permissões de que necessitam absolutamente."

Continuar a explorar: Analisar a paisagem mais alargada

A sua empresa não pára de evoluir. A sua segurança de identidade tem de acompanhar esse ritmo. Mas, para qualquer empresa, o mapeamento dos seus objectivos de cibersegurança não pode ser feito no vácuo. A sua postura de segurança de identidade engloba todas as actividades, tecnologias, pessoas e processos que permitem à sua organização não só evitar incidentes cibernéticos, mas também recuperar - com resiliência.

É por isso que é importante que as equipas de segurança redefinam periodicamente o que a segurança de identidade significa para a sua organização. Eventos como a HIP Conf reúnem os principais especialistas mundiais em proteção de identidade, permitem-lhe ficar a par das tendências e soluções atuais e promovem debates enriquecedores para o ajudar a resolver desafios complexos de cibersegurança.

Visite o site HIP para consultar os recursos disponíveis. E considere a possibilidade de se inscrever, juntamente com a sua equipa, para participar na 26.ª edição da Conferênci HIP , em Nashville, Tennessee, em setembro de 2026.

Ler mais