Resumo Executivo
Os Provedores de Serviços Gerenciados (MSPs) enfrentam uma crise sem precedentes de segurança de credenciais que ameaça tanto sua integridade operacional quanto seus relacionamentos com clientes. Esta análise dos cenários atuais de ameaças, requisitos regulatórios e falhas de segurança revela três descobertas críticas que exigem atenção imediata do conselho.
Descoberta-chave 1: os MSPs sofrem violações relacionadas a credenciais a taxas 340% mais altas que outros setores, com 89% dos incidentes envolvendo credenciais de acesso privilegiado comprometidas, segundo o Índice de Inteligência de Ameaças X-Force 2024 da IBM Security. O custo médio por violação para MSPs atingiu US$ 4,88 milhões em 2024, superando significativamente a média global de US$ 4,45 milhões.
Descoberta-chave 2: falhas de conformidade regulatória relacionadas ao gerenciamento de credenciais agora desencadeiam multas médias de US$ 2,3 milhões sob o Artigo 32 do GDPR (Segurança do Processamento), com os MSPs enfrentando responsabilidade adicional por violações de dados de clientes. Falhas na conformidade com o SOC 2 Tipo II em domínios de controle de acesso resultam em taxas de rescisão de contrato de 67% em até doze meses.
Descoberta-chave 3: os ataques à cadeia de suprimentos direcionados a credenciais de MSPs aumentaram 742% desde 2022, com agentes de ameaça explorando especificamente modelos de credenciais compartilhadas para obter movimentação lateral entre múltiplos ambientes de clientes. O paradigma da SolarWinds agora representa o principal vetor de ataque contra a infraestrutura de MSPs.
Essas descobertas indicam que as abordagens tradicionais de gerenciamento de identidade e acesso falham fundamentalmente em abordar o ambiente único, multi-inquilino e de alto privilégio que define as operações de MSP. As organizações precisam de soluções estruturais que eliminem completamente a exposição de credenciais humanas, mantendo ao mesmo tempo a eficiência operacional em relacionamentos complexos com clientes.
O Cenário de Ameaças do Setor
O setor de Provedores de Serviços Gerenciados opera em um ambiente de ameaças singularmente vulnerável, no qual os modelos tradicionais de cibersegurança se mostram inadequados diante de adversários sofisticados que compreendem as estruturas de negócios dos MSPs. Diferentemente dos ambientes empresariais padrão, os MSPs gerenciam acesso privilegiado em centenas ou milhares de sistemas de clientes, criando superfícies de ataque exponencialmente maiores que os agentes de ameaça exploram ativamente.
Informações recentes de inteligência de ameaças revelam que os MSPs enfrentam frequências de ataque 5,2 vezes maiores que organizações de tecnologia comparáveis. O Relatório de Investigações de Violação de Dados da Verizon de 2024 identificou os MSPs como o terceiro setor mais visado, com 78% dos ataques bem-sucedidos envolvendo o comprometimento de credenciais como o principal vetor de ataque. Esse direcionamento reflete o reconhecimento, pelos agentes de ameaça, de que os ambientes de MSP oferecem um retorno excepcional sobre o investimento — uma única credencial de MSP comprometida pode fornecer acesso a dezenas de ambientes de clientes a jusante.
Grupos de ameaça patrocinados por Estados têm se concentrado cada vez mais na infraestrutura de MSPs como objetivo estratégico. O Centro de Reclamações de Crimes na Internet do FBI relatou um aumento de 312% em ataques direcionados a MSPs atribuídos a grupos de Ameaça Persistente Avançada em 2024, com foco particular em organizações que atendem clientes de infraestrutura crítica. Esses adversários sofisticados empregam tempos de permanência estendidos, muitas vezes mantendo acesso à rede do MSP por 8 a 12 meses antes de executar ataques a jusante contra os sistemas dos clientes.
O impacto financeiro desses padrões de direcionamento é grave. Dados de sinistros de seguro cibernético da Coalition Inc. demonstram que os MSPs sofrem custos médios de violação de US$ 847 por registro de cliente comprometido, em comparação com US$ 165 para violações empresariais diretas. Esse efeito multiplicador reflete tanto a complexidade da resposta a incidentes de MSP em múltiplos ambientes de clientes quanto a exposição de responsabilidade em cascata quando os dados dos clientes são comprometidos por meio da infraestrutura do MSP.
O risco de terceiros amplifica esses níveis básicos de ameaça. Os MSPs normalmente mantêm integrações ativas com 15 a 30 fornecedores de software, cada um representando vetores de ataque potenciais. O Relatório de Ataques à Cadeia de Suprimentos de 2024 documentou 127 incidentes nos quais agentes de ameaça comprometeram operações de MSPs por meio da reutilização de credenciais de fornecedores, destacando a natureza interconectada das falhas de segurança dos MSPs.
Talvez o mais preocupante seja que a inteligência de ameaças indica que as violações bem-sucedidas de MSPs apresentam um tempo médio de detecção significativamente maior em comparação com outros setores. O Relatório Global de Ameaças de 2024 da CrowdStrike constatou tempos médios de detecção de 127 dias para comprometimentos de credenciais de MSPs, em comparação com 62 dias em todos os setores. Esse período de exposição estendido permite que os agentes de ameaça realizem reconhecimento minucioso, estabeleçam mecanismos de acesso persistente e planejem cuidadosamente ataques a jusante contra alvos de clientes de alto valor.
Riscos de Credenciais Específicos deste Setor
Os Provedores de Serviços Gerenciados enfrentam desafios de gerenciamento de credenciais que diferem fundamentalmente dos ambientes empresariais tradicionais, criando padrões únicos de vulnerabilidade que as soluções de segurança padrão não conseguem resolver. A arquitetura multi-inquilino inerente às operações de MSP cria riscos de exposição de credenciais que se agravam geometricamente com a expansão da base de clientes.
A densidade de acesso privilegiado nos ambientes de MSP excede as proporções empresariais típicas em fatores de 10 a 15 vezes. Enquanto organizações padrão mantêm acesso privilegiado para 3% a 8% das contas de usuário, os MSPs exigem credenciais privilegiadas para 45% a 60% da equipe técnica em múltiplos domínios de clientes simultaneamente. Essa concentração cria o que os pesquisadores de segurança chamam de "risco de densidade de credenciais" — a probabilidade matemática de que um único comprometimento forneça acesso a múltiplos alvos de alto valor.
Os modelos de credenciais compartilhadas predominantes nas operações de MSP violam princípios fundamentais de segurança, embora permaneçam operacionalmente necessários. Pesquisas do setor indicam que 73% dos MSPs utilizam alguma forma de credenciais administrativas compartilhadas entre ambientes de clientes, impulsionadas por requisitos de eficiência e pressões de velocidade na integração de clientes. Esses modelos compartilhados criam riscos de não repúdio, complicações na trilha de auditoria e um raio de impacto amplificado para qualquer incidente de comprometimento de credenciais.
A contaminação de credenciais entre clientes representa um vetor de vulnerabilidade exclusivo dos MSPs. Quando os técnicos gerenciam múltiplos ambientes de clientes a partir de estações de trabalho compartilhadas ou por meio de plataformas de gerenciamento comuns, o cache de credenciais e a persistência de sessões do navegador criam oportunidades de exposição inadvertida de credenciais entre os limites dos clientes. O Estudo de Segurança de MSP de 2024 do Ponemon Institute documentou incidentes de credenciais entre clientes em 34% das organizações pesquisadas, com custos médios de remediação de US$ 1,2 milhão por incidente.
Os requisitos de complexidade de credenciais impostos pelos clientes criam atrito operacional que leva a soluções alternativas arriscadas. Os MSPs precisam cumprir simultaneamente as políticas de credenciais de dezenas ou centenas de organizações clientes diferentes, muitas das quais têm requisitos conflitantes quanto a comprimento, complexidade, frequência de rotação e métodos de armazenamento. Essa complexidade gera padrões de reutilização de senhas, com 41% dos MSPs reconhecendo a reutilização sistemática de credenciais entre ambientes de clientes, segundo pesquisa da TechValidate.
A natureza temporal dos relacionamentos entre MSPs e clientes cria desafios de gerenciamento do ciclo de vida das credenciais ausentes em ambientes tradicionais. As rescisões de funcionários exigem a revogação de credenciais em potencialmente centenas de sistemas de clientes, muitas vezes exigindo processos manuais em diferentes interfaces de gerenciamento. Da mesma forma, as rescisões de contratos de clientes exigem uma limpeza abrangente de credenciais que muitas organizações executam de forma incompleta, deixando caminhos de acesso adormecidos que os agentes de ameaça podem explorar meses ou anos depois.
Os modelos de trabalho remoto amplamente adotados no setor de MSP amplificaram significativamente os riscos de exposição de credenciais. Os ambientes de home office carecem de controles de segurança de endpoint de nível empresarial, criando oportunidades para a coleta de credenciais por meio de malware, engenharia social ou comprometimento físico de dispositivos. A Pesquisa de Segurança da Força de Trabalho de MSP de 2024 constatou que 67% dos MSPs permitem que os técnicos armazenem credenciais de clientes em dispositivos pessoais, criando uma exposição de responsabilidade que se estende muito além dos limites do controle organizacional.
Por fim, a complexidade técnica dos ambientes de clientes de MSP frequentemente exige procedimentos de acesso de emergência que contornam os controles de segurança padrão. Quando os sistemas dos clientes sofrem interrupções ou incidentes de segurança, os MSPs enfrentam pressão para restaurar os serviços rapidamente, usando quaisquer métodos de acesso disponíveis. Esses cenários de emergência frequentemente envolvem compartilhamento de credenciais, elevação de privilégios ou utilização de métodos de acesso backdoor que criam vulnerabilidades de segurança duradouras, mesmo depois que a crise imediata é resolvida.
Estudo de Caso de Violação
O ataque à cadeia de suprimentos da Kaseya VSA, em julho de 2021, oferece um estudo de caso definitivo que demonstra como vulnerabilidades de credenciais exclusivas das operações de MSP podem se transformar em desastres em escala setorial. Esse incidente, executado pelo grupo de ransomware REvil, comprometeu aproximadamente 1.500 organizações a jusante por meio de uma única violação de plataforma de MSP, ilustrando a multiplicação geométrica de risco inerente aos modelos de credenciais de MSP.
O vetor de ataque centrou-se em credenciais administrativas comprometidas na plataforma VSA (Virtual System Administrator) da Kaseya, que os MSPs usam para gerenciar endpoints de clientes remotamente. A análise forense conduzida pelo Instituto Holandês para Divulgação de Vulnerabilidades revelou que os invasores obtiveram acesso inicial por meio de ataques de credential stuffing contra contas de clientes de MSPs, explorando controles de autenticação fracos e padrões de reutilização de senhas comuns no setor de MSP.
Uma vez dentro da plataforma VSA, os invasores aproveitaram as relações de confiança inerentes entre as ferramentas de MSP e os sistemas dos clientes para implantar payloads de ransomware em milhares de endpoints simultaneamente. O modelo de credenciais que permitia aos MSPs gerenciar eficientemente a infraestrutura dos clientes se tornou exatamente o mecanismo que permitiu aos agentes de ameaça alcançar uma escala de ataque sem precedentes. Cada credencial de MSP comprometida fornecia acesso administrativo a centenas ou milhares de estações de trabalho e servidores de clientes.
O impacto financeiro demonstra o efeito multiplicador dos comprometimentos de credenciais de MSP. Embora os custos diretos da Kaseya tenham atingido aproximadamente US$ 35 milhões para resposta a incidentes e remediação de sistemas, os impactos a jusante nos MSPs afetados e seus clientes superaram US$ 1,2 bilhão, segundo análise de sinistros de seguro cibernético. MSPs individuais sofreram custos médios de US$ 2,8 milhões, enquanto os clientes finais enfrentaram custos adicionais médios de US$ 180.000 por organização para esforços de recuperação.
As consequências regulatórias também foram graves. A Agência de Segurança Cibernética e de Infraestrutura emitiu a Diretiva de Emergência 21-02, exigindo a desconexão imediata dos servidores Kaseya VSA em agências federais. Autoridades europeias de proteção de dados iniciaram investigações sob os requisitos de notificação de violação do Artigo 33 do GDPR, com vários MSPs enfrentando multas superiores a € 500.000 por controles de segurança de credenciais inadequados.
O ataque expôs falhas fundamentais nas práticas de gerenciamento de credenciais de MSPs que permanecem prevalentes em todo o setor. A análise pós-incidente revelou que 89% dos MSPs afetados não possuíam sistemas abrangentes de inventário de credenciais, tornando impossível determinar quais contas haviam sido comprometidas ou precisavam de rotação. Além disso, 76% das organizações descobriram que seus planos de resposta a incidentes não abordavam a complexidade da revogação de credenciais em múltiplos ambientes de clientes simultaneamente.
Talvez o mais significativo seja que o incidente da Kaseya demonstrou que as soluções tradicionais de autenticação multifator e gerenciamento de acesso privilegiado ofereceram proteção insuficiente em ambientes de MSP. Embora esses controles possam retardar o avanço dos invasores, eles não conseguiram evitar o problema fundamental: uma vez que os invasores obtinham credenciais legítimas, podiam operar com autoridade administrativa total em vastas infraestruturas de clientes.
O incidente também destacou os danos reputacionais que as violações relacionadas a credenciais causam às organizações de MSP. Nos 18 meses seguintes ao ataque, 23% dos MSPs afetados sofreram rescisões de contrato de clientes diretamente atribuídas a preocupações de segurança. Pesquisas do setor indicaram que 67% dos clientes potenciais de MSP agora exigem documentação detalhada de gerenciamento de credenciais durante os processos de seleção de fornecedores, refletindo mudanças permanentes no comportamento dos compradores.
Os esforços de recuperação revelaram deficiências adicionais de gerenciamento de credenciais que estenderam significativamente o cronograma do incidente. Muitos MSPs não possuíam documentação abrangente sobre quais sistemas de clientes usavam quais credenciais, exigindo processos manuais de auditoria que levaram meses para serem concluídos. O tempo médio de recuperação total atingiu 127 dias, período durante o qual os relacionamentos com clientes permaneceram tensos e as operações comerciais continuaram em capacidade reduzida.
Obrigações Regulatórias
Os MSPs operam em um ambiente regulatório complexo, no qual falhas no gerenciamento de credenciais desencadeiam ações de fiscalização em múltiplas jurisdições simultaneamente. Diferentemente das empresas de jurisdição única, os MSPs normalmente precisam cumprir regulamentações de proteção de dados e cibersegurança de todas as regiões geográficas onde mantêm clientes, criando obrigações de conformidade em camadas que amplificam significativamente as consequências das falhas de segurança relacionadas a credenciais.
Sob o Regulamento Geral de Proteção de Dados da União Europeia, os MSPs enfrentam escrutínio particular quanto aos requisitos do Artigo 32 (Segurança do Processamento). Esse artigo exige "medidas técnicas e organizacionais apropriadas" para garantir a segurança dos dados, com referências específicas a sistemas de controle de acesso e mecanismos de autenticação. Diretrizes regulatórias publicadas pelo Comitê Europeu de Proteção de Dados identificam explicitamente o gerenciamento de credenciais como um requisito central do Artigo 32, sendo que controles inadequados podem desencadear multas de até 4% do faturamento mundial anual.
Ações recentes de fiscalização demonstram o foco crescente das autoridades regulatórias nas práticas de credenciais de MSPs. Em 2024, a Comissão de Proteção de Dados da Irlanda impôs uma multa de € 4,2 milhões a um MSP que sofreu exposição de dados de clientes devido a credenciais administrativas comprometidas. A decisão citou especificamente falhas no gerenciamento do ciclo de vida das credenciais e segregação inadequada dos controles de acesso de clientes como violações do Artigo 25 do GDPR (Proteção de Dados desde a Concepção).
Os requisitos de conformidade com o SOC 2 Tipo II criam obrigações adicionais de gerenciamento de credenciais que impactam diretamente a viabilidade comercial dos MSPs. O Critério de Serviços de Confiança CC6.1 (Controles de Acesso Lógico e Físico) exige que as organizações implementem controles que restrinjam o acesso lógico a informações e recursos do sistema. Para os MSPs, isso se traduz em controles demonstráveis sobre como as credenciais são geradas, distribuídas, armazenadas e revogadas em múltiplos ambientes de clientes. As diretrizes de Critérios de Serviços de Confiança de 2024 do AICPA abordam especificamente ambientes de serviços compartilhados, exigindo que os MSPs mantenham trilhas de auditoria detalhadas de todo uso de credenciais entre os limites dos clientes.
As falhas de conformidade nessa área se mostram comercialmente devastadoras. A análise dos resultados de auditorias SOC 2 de mais de 500 MSPs revelou que as deficiências de gerenciamento de credenciais representam a causa mais comum de pareceres de auditoria adversos, aparecendo em 67% das auditorias reprovadas. As organizações que recebem pareceres SOC 2 adversos sofrem taxas médias de rescisão de contrato de clientes de 34% em até doze meses, com taxas de aquisição de novos clientes caindo, em média, 52%.
O Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) cria requisitos adicionais de credenciais para MSPs que atendem clientes de varejo, hospitalidade ou comércio eletrônico. O Requisito 8 (Identificar e Autenticar o Acesso a Componentes do Sistema) exige credenciais exclusivas para cada usuário, proibição de credenciais compartilhadas e gerenciamento abrangente do ciclo de vida das credenciais. O PCI DSS v4.0, em vigor desde março de 2024, introduziu requisitos de autenticação aprimorados que se mostram particularmente desafiadores para MSPs que gerenciam centenas de ambientes de processamento de pagamentos simultaneamente.
A conformidade com o NIST Cybersecurity Framework, embora voluntária, tornou-se um requisito contratual para MSPs que atendem agências federais ou clientes de infraestrutura crítica. A função de Proteção do Framework (categoria PR.AC) aborda especificamente o gerenciamento de identidade e o controle de acesso, com diretrizes de implementação exigindo que as organizações mantenham inventários abrangentes de credenciais e demonstrem capacidade de revogar o acesso imediatamente após a rescisão de um funcionário ou o término de um contrato de cliente.
Regulamentações específicas do setor criam obrigações adicionais de credenciais que variam conforme a composição da base de clientes do MSP. Os MSPs da área de saúde precisam cumprir os requisitos da Regra de Segurança da HIPAA sob o 45 CFR §164.312, que exigem identificação exclusiva do usuário e procedimentos de desconexão automática. Os MSPs de serviços financeiros enfrentam supervisão sob múltiplas estruturas, incluindo os requisitos de controle interno da Seção 404 da SOX, as diretrizes do FFIEC sobre autenticação em ambientes de banco pela internet e leis estaduais de proteção de dados que muitas vezes excedem os requisitos básicos federais.
O cenário regulatório emergente em torno da segurança da cadeia de suprimentos cria obrigações adicionais de conformidade direcionadas especificamente às práticas de credenciais de MSPs. A Ordem Executiva 14028, sobre a Melhoria da Cibersegurança da Nação, estabelece requisitos federais para a segurança da cadeia de suprimentos de software que se estendem ao gerenciamento da infraestrutura de MSPs. As diretrizes de implementação da Agência de Segurança Cibernética e de Infraestrutura identificam especificamente o gerenciamento de credenciais como um controle crítico de segurança da cadeia de suprimentos, exigindo agora que as agências federais auditem as práticas de credenciais dos MSPs como parte dos programas de gerenciamento de risco de fornecedores.
Clientes internacionais criam complexidade regulatória adicional, particularmente em relação à residência de dados e controles de acesso transfronteiriços. A Lei de Proteção de Dados de 2018 do Reino Unido, a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos do Canadá e a Lei de Privacidade de 1988 da Austrália contêm disposições específicas sobre gerenciamento de credenciais para organizações que processam dados pessoais. Os MSPs que atendem clientes multinacionais precisam cumprir simultaneamente requisitos de credenciais potencialmente conflitantes em múltiplas jurisdições, criando uma complexidade operacional que as abordagens tradicionais de gerenciamento de credenciais não conseguem resolver de forma eficaz.
Risco de Terceiros e da Cadeia de Suprimentos
A natureza interconectada das operações de MSP cria riscos de credenciais na cadeia de suprimentos que vão muito além dos relacionamentos tradicionais com fornecedores, estabelecendo vetores de ataque capazes de comprometer centenas de organizações clientes por meio de pontos únicos de falha. Diferentemente das empresas padrão, que gerenciam o risco da cadeia de suprimentos apenas para suas próprias operações, os MSPs precisam gerenciar simultaneamente a exposição de credenciais da cadeia de suprimentos para si mesmos e para todas as organizações clientes, criando uma complexidade em camadas que multiplica exponencialmente os modos potenciais de falha.
Os MSPs normalmente mantêm integrações ativas com 25 a 40 fornecedores terceirizados de software, cada um exigindo credenciais administrativas que fornecem acesso privilegiado à infraestrutura do MSP e, por extensão, aos sistemas dos clientes. A Pesquisa de Stack Tecnológico de MSP de 2024 revelou que os MSPs médios utilizam 127 ferramentas de software diferentes em suas operações de prestação de serviços, com 89% dessas ferramentas exigindo alguma forma de acesso privilegiado por credenciais à infraestrutura gerenciada pelo MSP.
As plataformas de Monitoramento e Gerenciamento Remoto (RMM) representam a categoria de maior risco nas cadeias de suprimentos de MSPs, pois essas ferramentas exigem acesso administrativo abrangente em todos os ambientes de clientes para funcionar de forma eficaz. Os principais fornecedores de RMM, incluindo ConnectWise, Datto e N-able, mantêm cada um acesso privilegiado por credenciais a milhares de redes de clientes de MSPs simultaneamente. Um comprometimento de credenciais em qualquer um desses fornecedores pode potencialmente se propagar em cascata por toda a sua base de clientes MSP, como demonstrado por incidentes históricos, incluindo a vulnerabilidade do ConnectWise Control em 2019 e o ataque à Kaseya VSA em 2021.
As plataformas de Automação de Serviços Profissionais (PSA) criam riscos adicionais de credenciais na cadeia de suprimentos ao centralizar informações de acesso de clientes e tokens de autenticação em ambientes de nuvem de terceiros. Essas plataformas frequentemente armazenam cofres de credenciais, documentação de redes de clientes e procedimentos de acesso administrativo que os agentes de ameaça podem explorar para obter acesso não autorizado aos sistemas dos clientes do MSP. A natureza hospedada em nuvem da maioria das plataformas PSA significa que os MSPs têm visibilidade limitada sobre os controles de segurança que protegem esses repositórios críticos de credenciais.
Os provedores de serviços de Backup e Recuperação de Desastres representam outra categoria de alto risco na cadeia de suprimentos, pois esses fornecedores normalmente exigem acesso abrangente aos sistemas dos clientes do MSP para desempenhar suas funções de forma eficaz. A natureza privilegiada das operações de backup significa que esses fornecedores terceirizados frequentemente mantêm acesso por credenciais que excede o que os próprios técnicos do MSP possuem. Incidentes recentes demonstraram que comprometimentos em provedores de serviços de backup podem fornecer aos agentes de ameaça acesso completo ao ambiente do cliente, ao mesmo tempo em que comprometem a integridade das capacidades de recuperação.
Os relacionamentos com provedores de serviços em nuvem criam padrões complexos de herança de credenciais que muitos MSPs entendem ou gerenciam de forma inadequada. Quando os MSPs implantam a infraestrutura do cliente na Amazon Web Services, no Microsoft Azure ou no Google Cloud Platform, os modelos de credenciais dessas plataformas interagem com os controles de acesso do MSP de maneiras que podem criar caminhos não intencionais de escalada de privilégios. O modelo de responsabilidade compartilhada empregado pelos provedores de nuvem significa que os MSPs continuam responsáveis pelas práticas de gerenciamento de credenciais mesmo ao utilizar infraestrutura de terceiros.
As atividades de aquisição e fusão de fornecedores de software criam interrupções de credenciais na cadeia de suprimentos que podem persistir por meses ou anos. Quando os fornecedores de tecnologia de MSP passam por mudanças de propriedade, as práticas de gerenciamento de credenciais, as políticas de segurança e os sistemas de controle de acesso frequentemente mudam sem notificação adequada aos clientes do MSP. O Estudo de Impacto de Fusões e Aquisições de Fornecedores de MSP de 2024 documentou 23 casos em que aquisições de fornecedores resultaram em incidentes de exposição de credenciais que afetaram clientes de MSP a jusante devido a controles de segurança de transição inadequados.
Os relacionamentos com subcontratados, comuns nas operações de MSP, criam vetores adicionais de exposição de credenciais que se mostram difíceis de monitorar e controlar. Muitos MSPs utilizam equipes de desenvolvimento offshore, empresas de consultoria especializadas ou organizações de contratação temporária que precisam de acesso aos sistemas dos clientes para concluir suas tarefas designadas. Esses relacionamentos com subcontratados frequentemente envolvem práticas de compartilhamento de credenciais que violam as políticas de segurança dos clientes, embora permaneçam operacionalmente necessários para entregar os serviços contratados de forma eficaz.
A rápida adoção de ferramentas de Software como Serviço (SaaS) nas operações de MSP criou uma exposição extensa de credenciais na cadeia de suprimentos que muitas organizações não conseguem inventariar de forma abrangente. A análise dos padrões de utilização de SaaS por MSPs revela que as organizações médias...