No mundo físico, a diferença é óbvia. Se você fizer um exame, precisa provar quem você é — não pode ser seu irmão, irmã ou amigo. Isso é identificação. Se você for para casa, precisa das suas chaves — a porta não se importa com quem você é. Isso é autenticação. Uma pessoa tem uma identidade, mas pode usar centenas de chaves diferentes.
Online, essas duas funções foram mescladas. As pessoas usam sua identidade para criar e gerenciar seu próprio acesso. É como deixar cada funcionário cortar suas próprias chaves do prédio, armazená-las como quiser e reutilizá-las em outro lugar. Por definição, cada identidade ou senha — seja de funcionários, contratados ou terceiros — torna-se um ponto de violação em potencial, tornando as pessoas a maior superfície de ataque.
Por décadas, as empresas dependeram de alertas, treinamento e monitoramento de ameaças. Mas essas medidas apenas corrigiram um sistema que já estava 90% vazado, pois toda a infraestrutura de segurança cibernética dependia do comportamento humano. Uma única credencial comprometida ainda poderia expor toda a rede, não por acidente ou negligência, mas por definição.
Isso significa que os esforços de segurança cibernética têm, em grande parte, como alvo a ameaça errada. Para impedir violações, o primeiro passo é consertar a arquitetura quebrada e separar a identidade do acesso.