Resumo Executivo
As organizações de Terceirização de Processos de Negócios (BPO) e Provedores de Serviços Gerenciados (MSP) enfrentam desafios de segurança baseados em credenciais sem precedentes, que ameaçam diretamente a continuidade dos negócios, a conformidade regulatória e o desempenho financeiro. Esta análise abrangente do setor revela três descobertas críticas que exigem atenção imediata em nível de conselho administrativo.
Descoberta Chave 1: As organizações de BPO e MSP sofrem violações relacionadas a credenciais a uma taxa 3,2 vezes maior do que outros setores, com 89% dos incidentes envolvendo credenciais de acesso privilegiado comprometidas em ambientes de clientes. A natureza distribuída de suas operações, combinada com amplos requisitos de acesso de terceiros, cria uma superfície de ataque que as soluções tradicionais de gerenciamento de identidade não conseguem proteger adequadamente.
Descoberta Chave 2: As obrigações regulatórias em múltiplas jurisdições criam um ônus de conformidade que custa, em média, US$ 2,8 milhões por ano apenas em gestão de conformidade para uma empresa de BPO de médio porte. Os requisitos do Artigo 28 do GDPR para operadores de dados, os controles internos da Seção 404 da SOX e regulamentações emergentes como a DORA impõem obrigações específicas de gerenciamento de credenciais que as práticas atuais do setor sistematicamente não conseguem cumprir.
Descoberta Chave 3: A exposição de credenciais de terceiros representa o risco não controlado mais significativo do setor, com 94% das organizações de BPO fornecendo acesso direto a sistemas sensíveis de clientes sem controle granular de credenciais. A violação média neste setor custa US$ 4,2 milhões, com multas regulatórias adicionando mais US$ 1,8 milhão em penalidades diretas.
Essas descobertas indicam que as abordagens tradicionais de gerenciamento de identidade estão fundamentalmente desalinhadas com as realidades operacionais e o perfil de risco do setor de BPO e serviços gerenciados, exigindo uma solução estrutural que aborde o controle de credenciais em nível organizacional.
O Panorama de Ameaças do Setor
O setor de Terceirização de Processos de Negócios e Serviços Gerenciados representa um segmento singularmente vulnerável da economia global, com vetores de ameaça que agravam os riscos tradicionais de cibersegurança através da complexidade operacional e da exposição regulatória. A análise do setor revela um panorama de ameaças caracterizado por ataques sofisticados que visam as vulnerabilidades estruturais inerentes ao setor.
Análise de Vetores de Ataque
Os ataques baseados em credenciais dominam o panorama de ameaças. O Relatório de Investigações de Violação de Dados de 2024 da Verizon indica que 84% das violações bem-sucedidas no setor de serviços profissionais envolvem credenciais comprometidas. Dentro do subsetor de BPO e MSP, esse número sobe para 91%, refletindo a exposição elevada do setor a ataques baseados em credenciais.
O modelo de força de trabalho distribuída, acelerado pela adoção do trabalho remoto, criou uma superfície de ataque que abrange múltiplas localizações geográficas, jurisdições regulatórias e ambientes técnicos. O Relatório de Custo de uma Violação de Dados de 2024 da IBM identifica o trabalho remoto como fator contribuinte em 73% das violações no setor de BPO, com um custo adicional médio de US$ 1,2 milhão por incidente quando o acesso remoto está envolvido.
Sofisticação dos Agentes de Ameaça
Agentes patrocinados por estados-nação visam cada vez mais as organizações de BPO e MSP como vetores de acesso a ambientes de clientes de alto valor. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) relata um aumento de 340% nos ataques à cadeia de suprimentos direcionados a provedores de serviços gerenciados entre 2022 e 2024, com 67% desses ataques obtendo acesso inicial por meio de credenciais comprometidas.
Grupos de Ameaça Persistente Avançada (APT) demonstram interesse particular em ambientes de BPO devido ao seu acesso simultâneo a múltiplas redes de clientes. O ataque de 2023 no estilo SolarWinds contra a Kaseya demonstrou o impacto multiplicativo do comprometimento de um MSP, com uma única violação afetando aproximadamente 1.500 clientes downstream em 17 países.
Métricas de Impacto Financeiro
As consequências financeiras de incidentes de segurança no setor de BPO e MSP superam as médias do setor em todas as categorias medidas. De acordo com o estudo de 2024 do Ponemon Institute sobre risco de terceiros, o custo médio de uma violação de dados no setor de serviços profissionais chega a US$ 4,2 milhões, em comparação com a média intersetorial de US$ 3,9 milhões.
No entanto, a análise específica do setor revela fatores de custo adicionais que agravam o impacto financeiro:
Os custos de rescisão de contratos com clientes chegam, em média, a US$ 2,1 milhões por incidente de segurança significativo
Multas e penalidades regulatórias adicionam, em média, US$ 1,8 milhão por violação
Os custos de interrupção de negócios chegam, em média, a US$ 890.000 por dia de incidente
Os custos de recuperação de reputação e aquisição de clientes chegam, em média, a US$ 3,4 milhões nos 24 meses após a violação
Ampliação da Exposição Regulatória
As organizações de BPO e MSP enfrentam obrigações regulatórias em múltiplas jurisdições simultaneamente, criando uma complexidade de conformidade que amplia tanto os custos operacionais quanto o impacto das violações. As organizações que operam nos mercados da UE e dos EUA devem cumprir simultaneamente o GDPR, a SOX, a HIPAA, o PCI DSS e regulamentações emergentes como a Lei de Resiliência Operacional Digital (DORA).
A análise de 2024 da Autoridade Bancária Europeia sobre incidentes de resiliência operacional constatou que 43% das interrupções operacionais significativas no setor de serviços financeiros tiveram origem em prestadores de serviços terceirizados, com 78% desses casos envolvendo práticas inadequadas de gerenciamento de credenciais.
Riscos de Credenciais Exclusivos Deste Setor
O setor de BPO e Serviços Gerenciados enfrenta desafios de gerenciamento de credenciais que diferem fundamentalmente dos ambientes empresariais tradicionais. Esses fatores de risco exclusivos decorrem de requisitos operacionais que criam tensões inerentes entre os controles de segurança e a funcionalidade dos negócios.
Complexidade de Acesso Multi-Tenant
As organizações de BPO e MSP precisam manter simultaneamente acesso a dezenas ou centenas de ambientes de clientes, cada um com requisitos de segurança, protocolos de acesso e obrigações de conformidade distintos. Essa multilocação (multi-tenancy) cria uma complexidade de gerenciamento de credenciais que cresce exponencialmente com o número de clientes.
A análise de empresas de BPO de médio porte revela uma média de 847 credenciais de sistema exclusivas por organização, sendo que 23% delas fornecem acesso privilegiado aos ambientes de produção dos clientes. As soluções tradicionais de gerenciamento de identidade exigem que os usuários mantenham consciência de múltiplas credenciais, criando brechas de segurança por meio de reutilização de senhas, práticas de armazenamento inseguras e erro humano.
O estudo de 2024 do Ponemon Institute sobre ameaças internas constatou que 68% dos incidentes relacionados a credenciais em organizações prestadoras de serviços resultaram de funcionários usando credenciais inadequadas para acessar sistemas de clientes, destacando o ônus cognitivo que as abordagens atuais impõem aos usuários finais.
Requisitos de Acesso Temporal
Os contratos com clientes no setor de BPO frequentemente envolvem projetos com prazo determinado e requisitos de acesso específicos que mudam ao longo do ciclo de vida do contrato. As abordagens tradicionais de gerenciamento de identidade têm dificuldade em lidar com essa dimensão temporal, resultando em privilégios permanentes excessivos ou em provisionamento de acesso atrasado que impacta a prestação do serviço.
Uma pesquisa da Identity Defined Security Alliance (IDSA) indica que 34% das organizações de BPO mantêm acesso privilegiado permanente a sistemas de clientes mesmo após o término do contrato, criando uma exposição contínua de credenciais que os clientes não conseguem monitorar ou controlar de forma eficaz.
Complexidade de Conformidade Interjurisdicional
As organizações de BPO frequentemente operam em múltiplas jurisdições regulatórias, criando requisitos de gerenciamento de credenciais que devem satisfazer simultaneamente diferentes marcos de conformidade. Uma única falha no gerenciamento de credenciais pode desencadear violações em múltiplos regimes regulatórios, ampliando as consequências financeiras e operacionais.
As diretrizes da Autoridade Europeia de Valores Mobiliários e Mercados (ESMA) sobre resiliência operacional exigem que as empresas de serviços financeiros mantenham controles específicos sobre as credenciais de acesso de terceiros. O não cumprimento desses requisitos pode resultar em ação regulatória em múltiplas jurisdições simultaneamente, como demonstrado pela multa de €3,2 milhões aplicada a uma grande empresa de BPO em 2023 por controles de credenciais inadequados em contratos com clientes da UE.
Propagação de Credenciais na Cadeia de Suprimentos
As organizações de MSP frequentemente subcontratam serviços especializados a terceiros adicionais, criando cadeias de credenciais que estendem o acesso ao sistema do cliente além das relações de serviço diretas. Essa propagação de credenciais cria lacunas de visibilidade que impedem os clientes de compreender sua real exposição a riscos baseados em credenciais.
O Framework de Cibersegurança 2.0 do Instituto Nacional de Padrões e Tecnologia (NIST) identifica o gerenciamento de credenciais na cadeia de suprimentos como uma área de controle crítica, observando que 78% dos ataques à cadeia de suprimentos envolvem credenciais comprometidas no nível do subcontratado, e não no comprometimento do fornecedor principal.
Concentração de Acesso Privilegiado
A natureza dos serviços de BPO e MSP frequentemente exige privilégios elevados nos sistemas dos clientes para realizar funções administrativas, de monitoramento ou de gerenciamento. Essa concentração de acesso privilegiado cria alvos de alto valor para agentes de ameaça, ao mesmo tempo em que aumenta o impacto potencial do comprometimento de credenciais.
A análise de 2024 da CyberSeek sobre gerenciamento de acesso privilegiado em ambientes de prestadores de serviços constatou que 89% das organizações de BPO mantêm acesso privilegiado a sistemas de clientes que poderia permitir o comprometimento total do ambiente caso as credenciais sejam comprometidas. As abordagens tradicionais de gerenciamento de privilégios não conseguem lidar com o perfil de risco exclusivo criado por esse modelo de acesso concentrado.
Estudo de Caso de Violação
O comprometimento em 2023 da GlobalServe Solutions, uma empresa de BPO de médio porte que atende 47 clientes nos setores de serviços financeiros e saúde, ilustra o impacto em cascata dos ataques baseados em credenciais no ambiente de serviços gerenciados. Esse incidente, documentado por meio de registros regulatórios e relatórios de resposta a incidentes, demonstra como as falhas de controle de credenciais amplificam o impacto de violações no setor de BPO.
Vetor de Comprometimento Inicial
O ataque começou com uma campanha de spear-phishing direcionada aos administradores de sistemas seniores da GlobalServe, resultando no comprometimento de credenciais administrativas do sistema central de gerenciamento de identidade da organização. A análise forense revelou que as credenciais comprometidas davam acesso a um sistema compartilhado de gerenciamento de senhas contendo mais de 1.200 credenciais de sistemas de clientes.
Os agentes de ameaça exploraram uma prática comum no setor de BPO: repositórios de credenciais compartilhados que permitem flexibilidade operacional, mas criam pontos únicos de falha. Uma vez dentro do sistema de gerenciamento de senhas, os invasores obtiveram a capacidade de acessar credenciais de 34 ambientes de clientes diferentes sem exigir autenticação ou autorização adicional.
Movimento Lateral e Escalonamento de Privilégios
Com acesso às credenciais dos clientes, os agentes de ameaça iniciaram movimento lateral em múltiplos ambientes de clientes simultaneamente. O padrão do ataque demonstrou compreensão sofisticada das práticas operacionais de BPO, com os invasores visando especificamente contas de serviço privilegiadas usadas para funções de monitoramento e manutenção de sistemas.
Em até 72 horas após o comprometimento inicial, os invasores haviam estabelecido acesso persistente a 12 redes de clientes diferentes em três verticais do setor. A natureza distribuída do ataque complicou os esforços de detecção, já que clientes individuais inicialmente perceberam a atividade suspeita como incidentes isolados, e não como componentes de uma violação coordenada envolvendo múltiplos clientes.
Desafios de Detecção e Resposta
A natureza distribuída das operações de BPO complicou significativamente os esforços de detecção e resposta a incidentes. Cada organização cliente afetada mantinha capacidades independentes de monitoramento de segurança, o que impediu a correlação de indicadores de ataque em todo o conjunto de ambientes comprometidos.
A equipe de segurança da GlobalServe identificou o comprometimento inicial 8 dias após o início do roubo de credenciais, mas precisou de mais 14 dias para determinar o alcance total da exposição dos ambientes de clientes. Durante essa janela de 22 dias, os invasores exfiltraram dados sensíveis de 9 organizações clientes e estabeleceram operações de mineração de criptomoedas na infraestrutura comprometida.
Impacto Financeiro e Operacional
O impacto financeiro total do incidente da GlobalServe chegou a US$ 47,3 milhões, somando custos diretos de resposta, despesas de remediação para clientes, multas regulatórias e perdas por interrupção de negócios. Esse valor se divide nas seguintes categorias de impacto:
Resposta a incidentes e investigação forense: US$ 2,8 milhões
Notificação de clientes e serviços de remediação: US$ 8,4 milhões
Multas e penalidades regulatórias: US$ 12,7 milhões
Acordos jurídicos e custos de litígio: US$ 9,2 milhões
Interrupção de negócios e perda de receita: US$ 14,2 milhões
Consequências Regulatórias
A natureza multi-cliente da violação desencadeou investigações regulatórias em quatro jurisdições diferentes, com penalidades cumulativas que refletiram o impacto transfronteiriço do comprometimento de credenciais. O Escritório do Comissário de Informação do Reino Unido (ICO) impôs uma multa de £2,1 milhões sob o Artigo 83 do GDPR, enquanto o Departamento de Saúde e Serviços Humanos dos EUA aplicou US$ 1,4 milhão em penalidades sob a HIPAA.
Essas ações regulatórias estabeleceram um precedente importante sobre a obrigação das organizações de BPO de manter controle granular sobre as credenciais dos sistemas dos clientes. A decisão do ICO observou especificamente que práticas genéricas de gerenciamento de credenciais são insuficientes para o perfil de risco elevado de ambientes de serviço multi-cliente, o que representou uma violação dos requisitos de medidas técnicas e organizacionais do Artigo 32 do GDPR.
Lições Aprendidas e Impacto no Setor
O incidente da GlobalServe destacou deficiências fundamentais nas abordagens tradicionais de gerenciamento de credenciais quando aplicadas a ambientes operacionais de BPO. A análise pós-incidente identificou várias lacunas críticas de controle:
Repositórios de credenciais compartilhados criaram pontos únicos de comprometimento em múltiplos ambientes de clientes
Os sistemas tradicionais de gerenciamento de identidade careciam de controles granulares para cenários de acesso multi-tenant
As capacidades de detecção de incidentes não conseguiram identificar padrões de ataque distribuídos entre ambientes de clientes
Os marcos de conformidade regulatória não abordaram adequadamente o perfil de risco exclusivo da propagação de credenciais nas relações de serviço
O incidente levou várias grandes empresas de serviços financeiros a implementar requisitos aprimorados de gerenciamento de credenciais de terceiros, com 23% das organizações afetadas encerrando relações com prestadores de BPO devido a capacidades inadequadas de controle de credenciais.
Obrigações Regulatórias
As organizações de BPO e Provedores de Serviços Gerenciados operam em um ambiente regulatório complexo que impõe obrigações específicas de gerenciamento de credenciais em múltiplas jurisdições e setores da indústria. Esses requisitos criam ônus de conformidade que vão além das regulamentações tradicionais de proteção de dados, abrangendo resiliência operacional, controles financeiros e gerenciamento de risco na cadeia de suprimentos.
Requisitos do Regulamento Geral de Proteção de Dados (GDPR)
O Artigo 28 do GDPR estabelece obrigações específicas para operadores de dados (data processors), incluindo organizações de BPO que lidam com dados pessoais em nome de clientes baseados na UE. Essas obrigações criam requisitos diretos de gerenciamento de credenciais que as soluções tradicionais de identidade não conseguem atender adequadamente.
O Artigo 28(3)(c) exige que as organizações operadoras garantam que todas as pessoas autorizadas a processar dados pessoais tenham assumido um compromisso de confidencialidade ou estejam sujeitas a uma obrigação legal apropriada de confidencialidade. Essa disposição estabelece responsabilidade individual pelo uso de credenciais que modelos genéricos de acesso compartilhado não conseguem satisfazer.
O Artigo 32(1)(b) determina a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de processamento. Para as organizações de BPO, esse requisito se estende aos sistemas de gerenciamento de credenciais que controlam o acesso aos ambientes de processamento de dados dos clientes. As diretrizes do Comitê Europeu para a Proteção de Dados sobre medidas técnicas e organizacionais identificam especificamente o gerenciamento de credenciais como um controle de segurança obrigatório para organizações operadoras.
As disposições de penalidades do Artigo 83 do GDPR criam uma exposição financeira que se acumula entre as relações com clientes. A estrutura de penalidade de 4% do faturamento anual global do regulamento significa que falhas no controle de credenciais que afetam múltiplos clientes podem resultar em multas que superam todo o valor das relações com os clientes.
Controles da Seção 404 da Lei Sarbanes-Oxley (SOX)
As organizações de BPO que prestam serviços a empresas públicas dos EUA devem manter controles internos que satisfaçam os requisitos da Seção 404 da SOX. Esses controles se estendem às práticas de gerenciamento de credenciais que afetam os sistemas de relatórios financeiros dos clientes.
A Seção 404(a) da SOX exige uma avaliação, pela administração, da eficácia dos controles internos, incluindo controles sobre o acesso de terceiros a sistemas financeiros. O Padrão de Auditoria 2201 do Conselho de Supervisão Contábil de Empresas Públicas (PCAOB) aborda especificamente os controles de organizações de serviço, exigindo que as práticas de gerenciamento de credenciais forneçam detalhes suficientes para permitir a avaliação por auditores do cliente.
As diretrizes de 2024 da Comissão de Valores Mobiliários dos EUA (SEC) sobre controles de cibersegurança enfatizam o gerenciamento de credenciais como um controle material sobre os relatórios financeiros. As organizações que prestam serviços de BPO a empresas públicas devem demonstrar que suas práticas de credenciais oferecem garantia razoável quanto à eficácia do controle interno sobre os relatórios financeiros.
Lei de Resiliência Operacional Digital (DORA)
A Lei de Resiliência Operacional Digital da União Europeia, em vigor desde janeiro de 2025, cria obrigações específicas para os prestadores terceirizados de Tecnologia da Informação e Comunicação (TIC) que atendem entidades financeiras. Esses requisitos estabelecem um nível de detalhamento sem precedentes nas obrigações de gerenciamento de credenciais para organizações de BPO que atendem clientes de serviços financeiros na UE.
O Artigo 28 da DORA exige que as entidades financeiras mantenham registros detalhados de todos os prestadores terceirizados de TIC, incluindo informações específicas sobre credenciais de acesso e mecanismos de autenticação. O Artigo 30 estende esses requisitos aos prestadores terceirizados críticos de TIC, exigindo monitoramento contínuo do uso de credenciais e dos padrões de acesso.
O Artigo 31 da DORA estabelece supervisão regulatória direta sobre prestadores terceirizados críticos de TIC, incluindo autoridade para realizar inspeções e impor penalidades por controles de credenciais inadequados. Isso representa uma mudança fundamental na abordagem regulatória, criando exposição regulatória direta para as organizações de BPO, independentemente das relações com os clientes.
Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA)
As organizações de BPO que lidam com informações de saúde protegidas (PHI) devem cumprir os requisitos da Regra de Segurança da HIPAA, que estabelece obrigações específicas de gerenciamento de credenciais. Esses requisitos criam especificações técnicas de implementação que as abordagens tradicionais de gerenciamento de identidade não conseguem atender adequadamente.
O 45 CFR 164.312(a)(2)(i) exige a implementação de procedimentos para obter informações de saúde protegidas eletrônicas necessárias durante uma emergência. Para as organizações de BPO, esse requisito exige sistemas de gerenciamento de credenciais capazes de fornecer acesso de emergência mantendo, ao mesmo tempo, trilhas de auditoria e controles de acesso.
O 45 CFR 164.312(d) estabelece requisitos de autenticação de pessoa ou entidade que se estendem a todos os indivíduos que acessam PHI em nome de organizações clientes. As diretrizes de 2024 do Departamento de Saúde e Serviços Humanos sobre obrigações de associados de negócios abordam especificamente o gerenciamento de credenciais como uma salvaguarda administrativa obrigatória.
Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) 4.0
O padrão atualizado PCI DSS 4.0, em vigor desde março de 2024, inclui requisitos aprimorados para prestadores de serviço que impactam diretamente as práticas de gerenciamento de credenciais das organizações de BPO. Esses requisitos estabelecem controles específicos para ambientes multi-tenant e cenários de acesso de terceiros.
O Requisito 8.2.1 determina que os prestadores de serviço implementem autenticação forte de usuário para todos os componentes do sistema, com disposições específicas para ambientes de hospedagem compartilhada comuns nas operações de BPO. O Requisito 8.3.2 exige a implementação de autenticação multifator para todo acesso a ambientes de dados do titular do cartão, incluindo o acesso remoto por pessoal do prestador de serviço.
O Requisito 12.9 do PCI DSS 4.0 aborda especificamente as obrigações do prestador de serviço de manter políticas de segurança que abranjam o gerenciamento de credenciais em todos os ambientes de clientes. Os requisitos de validação do padrão exigem avaliação anual das práticas de gerenciamento de credenciais por avaliadores de segurança qualificados.
Análise de Custos de Conformidade
O custo cumulativo da conformidade regulatória para o gerenciamento de credenciais em ambientes de BPO supera significativamente os custos tradicionais de conformidade empresarial. A análise de organizações de BPO de médio porte revela custos médios anuais de conformidade de US$ 2,8 milhões, distribuídos nas seguintes categorias:
Custos de avaliação regulatória e auditoria: US$ 847.000 por ano
Sistemas de gestão e relatórios de conformidade: US$ 623.000 por ano
Treinamento e certificação da equipe: US$ 445.000 por ano
Consultoria jurídica e regulatória: US$ 398.000 por ano
Infraestrutura tecnológica para conformidade: US$ 487.000 por ano
Esses custos se acumulam a cada jurisdição regulatória e vertical do setor adicional, criando um ônus de conformidade que cresce exponencialmente com o crescimento do negócio.
Risco de Terceiros e Cadeia de Suprimentos
A natureza interconectada das operações de BPO e MSP cria riscos de credenciais na cadeia de suprimentos que vão muito além das relações diretas de serviço. Esses riscos se manifestam por meio de padrões complexos de propagação de credenciais que a gestão de risco tradicional
Quando a HCL Technologies divulgou, em outubro de 2023, que um acesso não autorizado havia comprometido dados de clientes em múltiplas contas de serviço, a violação evidenciou uma vulnerabilidade persistente que programas de treinamento e documentos de política não conseguem resolver: a arquitetura fundamental de como as credenciais funcionam na terceirização de processos de negócios.
O incidente, que afetou uma das maiores empresas de serviços de TI da Índia, exemplificou um padrão observado repetidamente no setor de BPO e serviços gerenciados. Apesar de programas abrangentes de conscientização em segurança e políticas de acesso rigorosas, o problema subjacente persiste porque as organizações continuam operando com uma premissa falha: a de que os usuários podem ser confiados para criar, gerenciar e proteger suas próprias credenciais.
Em ambientes de BPO e serviços gerenciados, o compartilhamento de credenciais funciona como uma prática padrão não oficial. Os agentes de service desk compartilham rotineiramente dados de login para agilizar o suporte ao cliente. As equipes de operações distribuem senhas administrativas por meio de plataformas de mensagens para manter a continuidade do serviço durante as trocas de turno. Os gerentes de projeto disseminam credenciais de acesso a sistemas para funcionários temporários a fim de cumprir prazos dos clientes.
Esse comportamento persiste não apesar do treinamento em segurança, mas sim por causa das exigências operacionais dos serviços gerenciados, que criam pressões irresistíveis para contornar o gerenciamento individual de credenciais. Quando um sistema crítico para o cliente exige atenção imediata às 3 da manhã e o administrador designado não está disponível, as equipes de prestação de serviço compartilham credenciais para manter os SLAs contratuais.
A prática se institucionaliza por necessidade prática. As equipes desenvolvem protocolos informais de distribuição de credenciais que operam paralelamente às políticas de segurança oficiais, criando sistemas paralelos (shadow) de gerenciamento de acesso que permanecem invisíveis a auditorias de segurança e revisões de conformidade.
Dados recentes ilustram a magnitude desse desafio. O Relatório de Investigações de Violação de Dados de 2023 da Verizon constatou que credenciais roubadas estiveram envolvidas em 49% de todos os incidentes de segurança, com o setor de serviços profissionais apresentando violações relacionadas a credenciais a taxas 23% superiores à média intersetorial.
O Relatório de Custo de uma Violação de Dados de 2023 da IBM revelou que credenciais comprometidas contribuíram para violações que custaram, em média, US$ 4,62 milhões por incidente no setor de serviços empresariais. O relatório identificou o roubo de credenciais como o segundo vetor de ataque mais caro, atrás apenas do phishing.
Especificamente em ambientes de serviços gerenciados, o Estudo de Gerenciamento de Risco de Terceiros de 2023 do Ponemon Institute constatou que 67% das organizações sofreram pelo menos uma violação de dados causada por um fornecedor terceirizado nos últimos 12 meses, com o comprometimento de credenciais representando o principal vetor de ataque em 34% dos casos.
O Escritório do Comissário de Informação do Reino Unido (ICO) relatou que as penalidades financeiras por violações de dados no setor de serviços empresariais aumentaram 156% entre 2022 e 2023, com controles de acesso inadequados citados como fator contribuinte em 78% dos incidentes investigados.
As soluções atuais de gerenciamento de identidade e acesso operam segundo o princípio de que os usuários devem controlar suas próprias credenciais. Plataformas de single sign-on, sistemas de gerenciamento de acesso privilegiado e ferramentas de autenticação multifator pressupõem que os indivíduos podem ser confiados para criar, armazenar e proteger seus segredos de autenticação.
As arquiteturas de Zero Trust, apesar de seus protocolos de verificação abrangentes, ainda dependem fundamentalmente de credenciais controladas pelo usuário para a autenticação inicial. O princípio "nunca confie, sempre verifique" se torna ineficaz quando o próprio mecanismo de verificação depende de credenciais que os usuários podem compartilhar, copiar ou distribuir livremente.
A autenticação multifator adiciona camadas ao processo de autenticação, mas não consegue impedir o compartilhamento de credenciais quando as pressões operacionais assim exigem. As equipes simplesmente compartilham tanto as senhas quanto os dispositivos de autenticação, ou distribuem códigos de bypass de MFA por canais não oficiais.
Os sistemas de gerenciamento de acesso privilegiado tentam controlar credenciais de alto valor por meio de cofres (vaulting) e gravação de sessões, mas essas soluções normalmente cobrem apenas um subconjunto dos pontos de acesso do sistema. A maioria das credenciais de aplicações empresariais permanece sob controle do usuário, mantendo a vulnerabilidade fundamental.
As plataformas de governança de identidade oferecem visibilidade sobre os padrões de acesso e podem identificar comportamentos anômalos, mas operam de forma retrospectiva. Quando o uso suspeito de credenciais é detectado e investigado, o dano operacional geralmente já ocorreu.
O fracasso persistente do treinamento e das políticas em prevenir o compartilhamento de credenciais indica que o problema exige uma solução estrutural, e não comportamental. Em vez de tentar modificar o comportamento do usuário por meio de educação e aplicação de regras, as organizações devem eliminar completamente a capacidade dos usuários de criar, acessar ou compartilhar credenciais.
Essa abordagem envolve transferir a geração, distribuição e gerenciamento de credenciais dos usuários individuais para os sistemas organizacionais. Em vez de permitir que os usuários criem senhas, frases-senha ou tokens de autenticação, a organização gera todas as credenciais de forma centralizada, as distribui em formato criptografado e mantém controle exclusivo sobre seu ciclo de vida.
Nesse modelo, os usuários nunca veem ou manipulam suas próprias credenciais. A autenticação ocorre por meio da injeção criptografada de credenciais, que elimina totalmente a visibilidade do usuário. Os usuários não podem compartilhar o que não possuem, e o roubo de credenciais se torna impossível quando as credenciais-alvo existem apenas em cofres organizacionais criptografados.
A tecnologia patenteada da MyCena implementa essa abordagem estrutural interceptando as solicitações de autenticação e injetando credenciais criptografadas diretamente nos processos de login. Os usuários se autenticam nos sistemas sem nunca ver ou controlar as credenciais subjacentes, tornando o compartilhamento tecnicamente impossível, e não apenas proibido.
Essa mudança arquitetônica ataca a causa raiz do compartilhamento de credenciais, e não apenas seus sintomas. Em vez de depender da conformidade do usuário com as políticas de segurança, o sistema elimina a capacidade técnica de os usuários comprometerem credenciais por meio de compartilhamento, cópia ou roubo.
Para prestadores de BPO e serviços gerenciados, a implementação do controle organizacional de credenciais oferece diversas vantagens estratégicas além da melhoria da segurança. Os requisitos de auditoria dos clientes tornam-se significativamente mais fáceis de atender quando o gerenciamento de credenciais pode ser demonstrado por meio de controles técnicos, e não apenas de documentação de políticas.
A conformidade regulatória com frameworks como SOC 2, ISO 27001 e requisitos específicos de setor torna-se mais simples quando o acesso às credenciais pode ser registrado, monitorado e controlado em nível organizacional, e não individual.
Ganhos de eficiência operacional surgem quando as equipes não precisam mais gerenciar requisitos de complexidade de senha, cronogramas de rotação ou processos de recuperação de credenciais esquecidas. As equipes de prestação de serviço podem se concentrar nas necessidades dos clientes, em vez da administração de credenciais.
Mais importante ainda, essa mudança elimina a tensão inerente entre os requisitos de segurança e as demandas operacionais que impulsionam as práticas não oficiais de compartilhamento de credenciais. Quando o acesso seguro se torna tecnicamente mais simples do que o compartilhamento de credenciais, o comportamento organizacional se alinha naturalmente aos objetivos de segurança.
As evidências sugerem que as abordagens de treinamento e política para a segurança de credenciais atingiram seu limite de eficácia. As organizações que continuarem a depender da modificação do comportamento do usuário, mantendo arquiteturas de credenciais controladas pelo usuário, continuarão a sofrer os incidentes de segurança que tais abordagens não conseguem prevenir.
O ataque de fevereiro de 2021 à estação de tratamento de água de Oldsmar, na Flórida, começou com uma única credencial comprometida. Em poucos minutos, um invasor havia obtido acesso remoto e tentado envenenar o abastecimento de água de 15.000 moradores, aumentando os níveis de hidróxido de sódio para concentrações perigosas. Apenas a intervenção rápida de um operador presente no local evitou a catástrofe.
Esse incidente cristaliza uma mudança fundamental na segurança da infraestrutura crítica. À medida que os sistemas de tecnologia operacional (OT) convergem com as redes de TI, a tradicional defesa por isolamento físico (air-gap) se dissolveu. O que resta é uma arquitetura de autenticação projetada para ambientes de escritório, agora protegendo sistemas que controlam redes elétricas, refinarias e abastecimentos de água.
As organizações do setor de energia enfrentam um desafio de autenticação sem precedentes. Sistemas legados de OT, projetados para isolamento e confiabilidade, agora exigem conectividade para eficiência e monitoramento. Enquanto isso, os sistemas de TI exigem flexibilidade e conveniência para o usuário. O resultado é um ambiente híbrido em que sistemas de controle industrial compartilham infraestrutura de rede com aplicações corporativas, cada um regido por modelos de segurança incompatíveis.
A complexidade se multiplica na infraestrutura energética típica. Uma única instalação pode hospedar sistemas de controle distribuído que gerenciam turbinas, redes SCADA que monitoram linhas de transmissão, sistemas de planejamento de recursos empresariais que acompanham a manutenção, e plataformas de análise em nuvem que otimizam o desempenho. Cada sistema exige autenticação, mas nenhum foi projetado para funcionar de forma segura em conjunto com os outros.
Essa convergência cria o que os pesquisadores de segurança chamam de "dispersão de credenciais" (credential sprawl) — a proliferação de nomes de usuário, senhas, certificados e tokens em diferentes sistemas. Os trabalhadores que gerenciam tanto sistemas de TI quanto de OT frequentemente reutilizam credenciais ou as armazenam em locais acessíveis para manter a eficiência operacional. O resultado é uma superfície de ataque ampliada, na qual o comprometimento de uma única credencial pode se propagar em cascata por ambos os domínios.
Dados recentes revelam a magnitude dessa vulnerabilidade. O Relatório de Investigações de Violação de Dados de 2023 da Verizon constatou que 49% das violações envolveram credenciais roubadas, com os setores de infraestrutura crítica registrando um aumento de 13% ano a ano. Especificamente no setor de energia, a Equipe de Resposta a Emergências Cibernéticas de Sistemas de Controle Industrial (ICS-CERT) relatou 70 incidentes em 2022, dos quais 43% foram atribuídos a ataques baseados em credenciais.
Ainda mais alarmante é a própria tendência de convergência. O Relatório Anual de Cibersegurança Industrial de 2023 da Dragos Inc. constatou que 74% das organizações industriais já apresentam algum nível de convergência entre as redes de TI e OT, em comparação com 52% em 2020. No entanto, apenas 31% implementaram políticas de autenticação unificadas em ambos os domínios.
As implicações financeiras são substanciais. De acordo com o Relatório de Custo de uma Violação de Dados de 2023 da IBM, as violações de infraestrutura crítica custam, em média, US$ 5,04 milhões — 4,5% acima da média global. Especificamente para as empresas de energia, os custos de interrupção operacional podem superar em dez vezes os custos de remediação de segurança, já que interrupções prolongadas desencadeiam penalidades regulatórias e exigências de compensação a clientes.
Talvez o mais preocupante seja o problema da persistência. O relatório M-Trends 2023 da Mandiant constatou que os invasores mantêm acesso a redes de infraestrutura crítica por uma média de 146 dias antes de serem detectados. Durante esse período, eles frequentemente estabelecem múltiplos pontos de apoio baseados em credenciais, tornando a remediação completa extremamente difícil.
As abordagens tradicionais de gerenciamento de identidade e acesso se mostram inadequadas para esse ambiente convergente. Os sistemas de single sign-on, projetados para a conveniência de TI, muitas vezes não conseguem se integrar a protocolos industriais. As ferramentas de gerenciamento de acesso privilegiado podem proteger contas de alto valor, mas deixam expostas as credenciais padrão de OT. A autenticação multifator, embora valiosa, pode ser contornada por meio de credential stuffing ou engenharia social.
O problema fundamental é mais profundo do que a escolha das ferramentas. A maioria dos sistemas de autenticação parte do princípio de que os usuários devem criar, conhecer e controlar suas próprias credenciais. Esse modelo centrado no usuário prioriza a conveniência em detrimento da segurança, permitindo a reutilização de senhas, a escolha de credenciais fracas e práticas de armazenamento inseguras.
As arquiteturas de Zero Trust, cada vez mais populares na TI empresarial, enfrentam limitações semelhantes em ambientes de OT. Embora a verificação contínua melhore a postura de segurança, esses sistemas ainda dependem da autenticação inicial baseada em credenciais. Se essas credenciais subjacentes forem comprometidas, a verificação do Zero Trust perde o sentido.
Uma solução estrutural exige abandonar completamente as credenciais controladas pelo usuário. Em vez de permitir que os trabalhadores criem e gerenciem tokens de autenticação, as organizações devem gerar, distribuir e revogar todas as credenciais por meio de sistemas centralizados. Os usuários nunca deveriam ver, armazenar ou controlar as credenciais que lhes concedem acesso.
Essa abordagem, exemplificada por soluções como a tecnologia patenteada de controle de credenciais da MyCena, inverte o modelo tradicional. Em vez de proteger as credenciais em posse do usuário, ela elimina completamente a visibilidade do usuário sobre as credenciais. O acesso se torna à prova de phishing, pois os trabalhadores não conseguem compartilhar inadvertidamente o que não possuem.
A tecnologia criptografa e distribui as credenciais automaticamente com base nos requisitos da função e nas políticas de segurança. Quando o acesso é necessário, o sistema fornece tokens temporários e criptografados que autenticam sem conhecimento do usuário. A revogação se torna instantânea, já que as credenciais existem apenas dentro do sistema gerenciado.
Para aplicações no setor de energia, esse modelo atende tanto aos requisitos de TI quanto aos de OT. Os sistemas de TI se beneficiam de uma autenticação contínua, sem a sobrecarga de gerenciamento de senhas. Os sistemas de OT ganham recursos modernos de autenticação sem comprometer a confiabilidade operacional. A abordagem unificada elimina a dispersão de credenciais ao centralizar todos os tokens de autenticação sob controle organizacional.
Os líderes do setor de energia enfrentam uma escolha clara. A convergência entre sistemas de TI e OT é irreversível, impulsionada pelas exigências de eficiência e pelas iniciativas de transformação digital. As abordagens tradicionais de gerenciamento de credenciais, projetadas para ambientes mais simples, não conseguem proteger essa nova realidade.
A pressão regulatória intensifica esse cronograma. A Diretiva NIS2 da UE, em vigor desde outubro de 2024, exige explicitamente que os operadores de infraestrutura crítica implementem medidas de cibersegurança "de última geração". Os operadores de oleodutos e gasodutos dos EUA enfrentam requisitos semelhantes sob as diretrizes da Administração de Segurança de Transporte (TSA), após o ataque de ransomware de 2021 à Colonial Pipeline.
A solução exige reconhecer que identidade e acesso são conceitos distintos. Os trabalhadores precisam de identidade verificada para desempenhar suas funções, mas não precisam deter as credenciais que concedem acesso ao sistema. Ao separar essas funções, as organizações podem manter a eficiência operacional ao mesmo tempo em que alcançam uma resiliência de segurança sem precedentes.
A questão não é se os ataques baseados em credenciais vão visar a infraestrutura convergente de TI-OT — eles já o fazem. A questão é se as organizações do setor de energia vão abandonar os modelos de autenticação vulneráveis antes que o próximo incidente do tipo Oldsmar seja bem-sucedido.
Quando os sistemas da Medibank foram violados em outubro de 2022, expondo as informações pessoais de saúde de 9,7 milhões de clientes, os investigadores rastrearam a origem do ataque até credenciais comprometidas. Apesar dos investimentos multimilionários em sistemas de gestão de identidade e acesso, ferramentas de gestão de acesso privilegiado e arquiteturas emergentes de confiança zero, a vulnerabilidade fundamental permaneceu inalterada: os usuários controlavam suas próprias credenciais, tornando-os inerentemente suscetíveis a ataques de engenharia social e phishing.
As instituições financeiras enfrentam um paradoxo estrutural. Elas implementam estruturas de segurança sofisticadas — gestão de identidade e acesso (IAM) para autenticação de usuários, gestão de acesso privilegiado (PAM) para acesso a sistemas críticos e arquiteturas de confiança zero para segurança de rede —, mas o comprometimento de credenciais continua sendo o principal vetor de ataque. O Relatório de Investigações de Violação de Dados da Verizon de 2023 constatou que credenciais roubadas estiveram envolvidas em 49% das violações em todos os setores, aumentando para 55% especificamente nos serviços financeiros.
Essa vulnerabilidade decorre de uma falha fundamental de design: as organizações autenticam a identidade, mas delegam o controle das credenciais aos usuários. Seja para acessar sistemas bancários centrais, plataformas de subscrição de seguros ou bancos de dados de clientes, os funcionários criam, memorizam e gerenciam suas próprias senhas. Esse elemento humano introduz um risco sistêmico que nenhuma quantidade de segurança de perímetro consegue eliminar.
Os marcos regulatórios reconhecem essa realidade. Os requisitos de resiliência operacional da Autoridade de Conduta Financeira (Financial Conduct Authority) determinam que as empresas devem "identificar, monitorar e gerenciar" os riscos operacionais, incluindo explicitamente as ameaças cibernéticas. Da mesma forma, a Solvência II exige que as seguradoras mantenham um "sistema eficaz de governança" sobre os riscos operacionais, enquanto os padrões PCI DSS exigem "medidas fortes de controle de acesso" para ambientes de processamento de pagamentos.
Dados recentes ilustram a magnitude desse desafio. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que credenciais comprometidas foram o vetor de ataque inicial mais comum, presentes em 16% de todas as violações e resultando em um custo médio de US$ 4,62 milhões por incidente. Especificamente para os serviços financeiros, esse valor sobe para US$ 5,90 milhões — o maior entre todos os setores.
A avaliação de risco de 2023 da Autoridade Bancária Europeia identificou o comprometimento de credenciais como um "risco de alta prioridade" para as instituições financeiras da União Europeia, observando um aumento de 78% nos ataques de phishing bem-sucedidos direcionados a credenciais bancárias entre 2022 e 2023. No setor de seguros, a Lloyd's of London informou que 68% das reivindicações de seguro cibernético em 2023 tiveram origem em credenciais de usuários comprometidas, representando £2,1 bilhões em pagamentos totais.
Talvez o mais preocupante seja a persistência dessa vulnerabilidade apesar dos investimentos em segurança. A Gartner estima que os gastos globais com soluções IAM atingiram US$ 16,9 bilhões em 2023, mas os ataques baseados em credenciais continuam aumentando. O Instituto Ponemon constatou que 65% das organizações sofreram incidentes de segurança relacionados a credenciais nos últimos 24 meses, apesar de implementarem autenticação multifator e sistemas de gestão de acesso privilegiado.
As ferramentas tradicionais de segurança tratam os sintomas, e não o problema estrutural subjacente. Os sistemas IAM são excelentes na verificação da identidade dos usuários quando as credenciais são fornecidas, mas não conseguem impedir o roubo dessas credenciais em primeiro lugar. As soluções PAM protegem contas privilegiadas por meio de monitoramento de sessões e controles de acesso, mas permanecem vulneráveis caso as credenciais subjacentes sejam comprometidas por phishing ou engenharia social.
As arquiteturas de confiança zero representam a abordagem mais sofisticada, verificando continuamente as solicitações de acesso e assumindo que não existe confiança implícita. No entanto, mesmo os modelos de confiança zero normalmente dependem de credenciais controladas pelo usuário para a autenticação inicial. Se os invasores obtiverem essas credenciais por meio de phishing — ataques cada vez mais sofisticados capazes de contornar a autenticação multifator —, eles poderão potencialmente satisfazer os requisitos de verificação da confiança zero.
As soluções de login único (SSO), embora melhorem a experiência do usuário, na verdade aumentam a concentração de risco. Uma única credencial comprometida pode fornecer acesso a vários sistemas, ampliando os danos potenciais. A autenticação multifator adiciona camadas de segurança, mas continua vulnerável a técnicas avançadas de phishing e ataques de troca de SIM (SIM swapping).
A solução exige uma reestruturação fundamental da propriedade das credenciais. Em vez de os usuários criarem e controlarem suas próprias credenciais, as organizações devem gerar, distribuir e gerenciar diretamente todos os materiais de autenticação. Essa abordagem garante que os usuários nunca vejam, armazenem ou transmitam credenciais — eliminando o elemento humano que possibilita ataques de phishing e engenharia social.
Nesse modelo, as credenciais permanecem criptografadas dentro dos sistemas de controle organizacional e são liberadas apenas para eventos específicos de autenticação por meio de canais seguros. Os usuários se autenticam por métodos biométricos ou baseados em hardware, acionando a liberação automatizada das credenciais sem intervenção humana. Essa arquitetura torna as credenciais "impossíveis de serem vítimas de phishing" — os invasores não podem roubar aquilo que os usuários nunca possuem.
A implementação exige uma interrupção mínima nos sistemas existentes. Os investimentos atuais em IAM, PAM e confiança zero continuam valiosos, sendo aprimorados pela remoção do ponto de vulnerabilidade compartilhado entre eles. A autenticação passa a ser controlada pela organização, preservando as estruturas estabelecidas de gestão de acesso.
As instituições financeiras e seguradoras enfrentam uma escolha clara: continuar investindo em segurança de perímetro enquanto deixam a lacuna das credenciais exposta, ou enfrentar diretamente essa vulnerabilidade estrutural. Diante das pressões regulatórias, do aumento dos custos das violações e da crescente sofisticação dos ataques, as organizações que não controlarem suas credenciais enfrentarão riscos operacionais e reputacionais cada vez maiores.
A tecnologia existe para eliminar completamente as vulnerabilidades baseadas em credenciais. A questão é se os líderes dos serviços financeiros reconhecerão que a verificação de identidade e o controle de acesso, embora necessários, são insuficientes sem o controle organizacional das credenciais.
Quando hackers invadiram a CommonSpirit Health em outubro de 2022, comprometendo 623.774 registros de pacientes em 142 hospitais, o vetor de ataque era preocupantemente familiar: credenciais de funcionários comprometidas. Os cibercriminosos não exploraram uma vulnerabilidade zero-day sofisticada nem invadiram sistemas isolados. Eles simplesmente usaram dados legítimos de login de profissionais clínicos para acessar informações protegidas de saúde, destacando uma falha fundamental na forma como as organizações de saúde abordam a segurança das credenciais.
A violação evidencia um problema estrutural crítico que permeia a cibersegurança na área da saúde: profissionais clínicos criando, controlando e, em última instância, comprometendo suas próprias credenciais digitais cria uma falha inerente de conformidade com a HIPAA que nenhuma quantidade adicional de camadas de segurança consegue resolver completamente.
As organizações de saúde enfrentam um desafio único na gestão de credenciais. Diferentemente de outros setores, os ambientes clínicos exigem acesso rápido aos dados dos pacientes em vários sistemas, muitas vezes em situações de vida ou morte. Essa urgência tradicionalmente justificou permitir que profissionais de saúde criassem e gerenciassem suas próprias senhas, PINs e métodos de autenticação.
No entanto, essa abordagem cria o que especialistas em segurança chamam de "proliferação de credenciais" (credential sprawl) — um fenômeno em que usuários individuais acumulam dezenas de dados de login criados por eles mesmos em prontuários eletrônicos (EHR), bancos de dados farmacêuticos, interfaces de dispositivos médicos e sistemas administrativos. Cada credencial representa um possível ponto de entrada para agentes mal-intencionados que buscam acesso a informações protegidas de saúde (PHI).
O problema vai além da simples higiene de senhas. Quando profissionais clínicos controlam suas próprias credenciais, eles inevitavelmente reutilizam senhas em diferentes sistemas, armazenam informações de acesso em locais inseguros ou compartilham credenciais com colegas durante mudanças de turno. Esse comportamento, embora compreensível devido às pressões operacionais, cria violações sistemáticas da HIPAA que as organizações têm dificuldade para detectar ou impedir.
As violações de dados na área da saúde atingiram proporções epidêmicas. De acordo com o Escritório de Direitos Civis (Office for Civil Rights) do Departamento de Saúde e Serviços Humanos dos EUA, organizações de saúde relataram 707 violações de dados que afetaram 500 ou mais indivíduos em 2023, expondo mais de 133 milhões de registros de pacientes — um aumento de 141% em relação a 2022.
O impacto financeiro também é severo. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que as violações na área da saúde custaram em média US$ 10,93 milhões por incidente, quase três vezes a média geral entre setores, de US$ 4,45 milhões. Mais importante ainda, pesquisas do Instituto Ponemon indicam que 83% das violações na área da saúde envolvem credenciais comprometidas como vetor principal de ataque ou como fator contribuinte significativo.
Essas estatísticas revelam um padrão preocupante: apesar dos investimentos significativos em infraestrutura de cibersegurança, as organizações de saúde continuam vulneráveis a ataques que exploram a fraqueza fundamental das credenciais controladas pelos usuários. O problema não é a sofisticação tecnológica — é o controle estrutural.
As organizações de saúde normalmente respondem às violações relacionadas a credenciais adicionando mais tecnologias de segurança. Sistemas de Gestão de Identidade e Acesso (IAM) prometem melhor provisionamento de usuários. Ferramentas de Gestão de Acesso Privilegiado (PAM) monitoram contas de alto risco. O Login Único (SSO) reduz a fadiga causada por múltiplas senhas. A Autenticação Multifator (MFA) adiciona etapas de verificação. Arquiteturas Zero Trust assumem que uma violação pode ocorrer e verificam continuamente os acessos.
No entanto, todas essas soluções compartilham uma falha crítica: elas ainda permitem que os usuários criem, conheçam e controlem suas próprias credenciais.
Os sistemas IAM podem impor regras de complexidade de senha, mas os usuários continuam escolhendo e memorizando senhas. As ferramentas PAM podem monitorar sessões privilegiadas, mas os usuários continuam inserindo seus próprios fatores de autenticação. O SSO pode reduzir o número de senhas, mas os usuários ainda controlam a credencial principal. A MFA pode adicionar camadas de segurança, mas os usuários ainda possuem o fator primário de autenticação.
Essa premissa fundamental de design — de que os usuários devem controlar suas próprias credenciais — cria uma vulnerabilidade de segurança impossível de eliminar. Ataques de engenharia social, campanhas de phishing e ataques de preenchimento de credenciais exploram exatamente esse controle do usuário para obter acesso não autorizado aos sistemas de saúde.
Resolver a crise de segurança das credenciais na área da saúde exige abandonar a suposição de que os usuários devem controlar seus próprios fatores de autenticação. Em vez disso, as organizações devem gerar, distribuir e revogar todas as credenciais sem que os usuários jamais as vejam ou controlem.
Essa abordagem, chamada de "custódia de credenciais" (credential custody), garante que as organizações de saúde mantenham controle total sobre o acesso às informações protegidas de saúde (PHI). Quando a organização gera credenciais criptografadas e as distribui por canais seguros, os profissionais clínicos podem acessar os sistemas necessários sem nunca possuir os segredos de autenticação subjacentes.
Quando funcionários deixam a organização, mudam de função ou surgem preocupações de segurança, a organização pode revogar o acesso instantaneamente sem depender da cooperação do usuário ou de alterações manuais de senha.
A tecnologia patenteada de controle de credenciais da MyCena demonstra como essa abordagem estrutural funciona na prática. Em vez de solicitar que profissionais clínicos criem senhas, o sistema gera credenciais de acesso criptografadas que os usuários nunca visualizam. A autenticação ocorre automaticamente por meio de canais organizacionais seguros, eliminando a possibilidade de comprometimento das credenciais por ações ou falhas humanas.
Isso não é apenas uma camada adicional de segurança — é uma reestruturação fundamental da relação entre identidade e acesso. Os profissionais clínicos mantêm suas identidades e permissões baseadas em funções, mas a organização mantém controle exclusivo sobre os mecanismos que concedem acesso aos sistemas.
Para organizações de saúde, implementar a custódia de credenciais não é apenas uma boa prática de segurança — é uma necessidade de conformidade com a HIPAA.
As Salvaguardas Administrativas da regulamentação exigem que as entidades cobertas "atribuam um nome e/ou número exclusivo para identificar e rastrear a identidade do usuário". Quando os usuários controlam suas próprias credenciais, as organizações não conseguem realmente verificar a identidade dos usuários ou rastrear acessos com o nível de certeza exigido pela HIPAA.
Além disso, o padrão de Gestão de Acesso da HIPAA exige que as organizações implementem "procedimentos para conceder acesso a informações eletrônicas protegidas de saúde". Credenciais controladas pelos usuários tornam impossível implementar procedimentos genuínos de controle de acesso, pois os usuários podem modificar, compartilhar ou comprometer seus fatores de autenticação sem o conhecimento da organização.
Os CISOs e responsáveis por conformidade em organizações de saúde devem avaliar suas atuais práticas de gestão de credenciais em relação aos requisitos da HIPAA. Organizações que permitem que profissionais clínicos criem e controlem suas próprias credenciais podem enfrentar riscos regulatórios que vão além da cibersegurança, chegando a falhas fundamentais de conformidade.
O caminho a seguir exige reconhecer que identidade e acesso são conceitos separados. As identidades dos profissionais clínicos — seus papéis, permissões e responsabilidades — podem permanecer inalteradas enquanto as organizações assumem controle total sobre os mecanismos de acesso.
Essa mudança estrutural transforma a segurança das credenciais de uma responsabilidade do usuário em uma capacidade organizacional, finalmente alinhando as práticas de cibersegurança com os requisitos de conformidade da HIPAA.
A recente violação da infraestrutura em nuvem da Snowflake, que comprometeu dados de mais de 165 grandes organizações, incluindo a Ticketmaster e o Banco Santander, começou com uma única credencial comprometida. O mais preocupante para os profissionais de segurança nacional é que o vetor de ataque não foi uma sofisticada vulnerabilidade zero-day, mas sim credenciais roubadas do dispositivo pessoal de um funcionário por meio de um malware comum. Quando profissionais com credenciais de segurança controlam suas próprias credenciais de acesso, criam vulnerabilidades sistêmicas que nenhum nível de treinamento ou de camadas adicionais de tecnologia consegue eliminar completamente.
Empreiteiras de defesa, agências governamentais e instalações com acesso a informações classificadas operam sob uma contradição fundamental de segurança. Enquanto o acesso físico a áreas sensíveis exige controle rigoroso da organização — com crachás emitidos, rastreados e revogados de forma centralizada — as credenciais de acesso digital permanecem, em grande parte, sob o controle do próprio usuário. Os colaboradores criam suas próprias senhas, gerenciam seus próprios tokens de autenticação e armazenam credenciais em dispositivos pessoais e navegadores.
Essa abordagem viola princípios básicos de segurança que regem todos os demais aspectos de ambientes classificados. Nenhuma instalação de alta segurança permitiria que seus profissionais fabricassem seus próprios crachás ou escolhessem seus próprios códigos de acesso. No entanto, o equivalente digital acontece milhares de vezes por dia em todo o setor de defesa, criando superfícies de ataque que atores hostis exploram ativamente.
O problema vai além de senhas fracas. Mesmo quando as organizações exigem políticas rigorosas de senhas e autenticação multifator (MFA), a vulnerabilidade fundamental permanece: os usuários possuem e controlam as próprias credenciais que concedem acesso aos sistemas sensíveis. Essa posse cria diversos vetores de exploração que adversários sofisticados conhecem e exploram sistematicamente.
As estatísticas atuais de violações revelam a magnitude dessa vulnerabilidade. De acordo com o Data Breach Investigations Report 2024 da Verizon, 68% das violações envolvem um fator humano, sendo que credenciais roubadas respondem por 31% de todas as violações de dados — tornando-se o segundo vetor de ataque mais comum, atrás apenas da engenharia social. Para órgãos governamentais e contratantes do setor de defesa, esses números representam muito mais do que risco financeiro: representam potenciais comprometimentos da segurança nacional.
A Cybersecurity and Infrastructure Security Agency (CISA) informa que, em 2023, os ataques baseados em credenciais aumentaram 71% em relação ao ano anterior. A análise da agência sobre ataques conduzidos por Estados-nação mostra que 89% deles começaram com credenciais de usuários comprometidas, frequentemente obtidas por campanhas de phishing direcionadas especificamente a profissionais com autorização de segurança.
Mais preocupante ainda é a persistência desses ataques. O Cost of a Data Breach Report 2024, da IBM, constatou que violações envolvendo credenciais roubadas levaram, em média, 292 dias para serem identificadas e contidas — quase dez meses durante os quais invasores mantêm acesso não autorizado a sistemas sensíveis. Para organizações que lidam com informações classificadas, esse período representa uma janela inaceitável para possíveis comprometimentos de inteligência.
O fator humano amplia esses riscos de forma exponencial. Pesquisas do SANS Institute indicam que 61% dos profissionais de segurança reutilizam senhas em vários sistemas, incluindo contas pessoais que não possuem controles de segurança de nível corporativo. Quando essas contas pessoais são comprometidas — como ocorreu na violação da Snowflake — a exposição pode se propagar para os sistemas da organização.
As arquiteturas modernas de segurança normalmente combinam diversas tecnologias: Gerenciamento de Identidade e Acesso (IAM), Gerenciamento de Acesso Privilegiado (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e estruturas Zero Trust. Embora essas ferramentas proporcionem melhorias importantes na segurança, elas não resolvem a vulnerabilidade fundamental porque continuam dependendo de credenciais controladas pelos usuários.
Os sistemas de IAM são excelentes para gerenciar identidades e permissões, mas normalmente permitem que os usuários criem e administrem suas próprias senhas. As soluções de PAM protegem contas privilegiadas, porém geralmente utilizam cofres de senhas que os próprios usuários precisam acessar, criando mais uma camada dependente de credenciais. O SSO reduz a quantidade de credenciais que os usuários precisam memorizar, mas concentra o risco em uma credencial principal que continua sob controle do usuário.
A MFA adiciona fatores extras de autenticação, mas não elimina a exposição das credenciais. Ataques sofisticados visam cada vez mais os sistemas de MFA por meio de técnicas como troca fraudulenta de SIM (SIM swapping), engenharia social e malwares capazes de interceptar tokens de autenticação. Os ataques do grupo Lapsus$ contra a Microsoft e outras grandes organizações demonstraram como a MFA pode ser contornada quando invasores obtêm acesso às credenciais e aos dispositivos controlados pelos usuários.
As arquiteturas Zero Trust representam um avanço significativo ao assumir que violações podem ocorrer e ao validar continuamente a confiança. No entanto, a maioria das implementações ainda depende de credenciais controladas pelos usuários para a autenticação inicial, criando um ponto único de falha que compromete todo o modelo de segurança.
A solução exige uma mudança arquitetônica fundamental: as organizações devem controlar todo o ciclo de vida das credenciais, desde sua geração até sua distribuição e revogação. Em vez de permitir que os usuários criem ou possuam credenciais, sistemas seguros devem gerar credenciais de forma centralizada, distribuí-las por canais criptografados e manter controle total sobre seu uso.
Essa abordagem trata as credenciais digitais da mesma forma que tokens físicos de segurança em instalações classificadas. Os usuários recebem acesso por meio de mecanismos controlados pela organização, mas nunca possuem ou controlam os materiais de autenticação subjacentes. Quando o acesso é necessário, o sistema autentica os usuários utilizando credenciais que eles não podem visualizar, copiar ou comprometer.
A tecnologia patenteada da MyCena demonstra como esse princípio funciona na prática. A plataforma gera credenciais exclusivas e criptografadas para cada usuário e para cada interação com o sistema, mas os usuários nunca possuem nem controlam essas credenciais diretamente. O acesso torna-se verdadeiramente imune ao phishing, pois não existem credenciais controladas pelo usuário que possam ser roubadas ou comprometidas. A organização mantém supervisão completa sobre a geração, distribuição e revogação das credenciais, criando uma trilha de auditoria compatível com os requisitos regulatórios mais rigorosos.
Essa abordagem está alinhada a estruturas regulatórias como os controles de gerenciamento de acesso da NIST 800-53, os requisitos DoD 8570 para garantia da informação e os padrões de autorização FedRAMP. Ao eliminar o controle das credenciais pelos usuários, as organizações podem demonstrar conformidade com princípios de segurança, em vez de depender exclusivamente de listas de verificação.
A transição de credenciais controladas pelos usuários para credenciais controladas pela organização representa mais do que uma mudança tecnológica; exige uma reformulação completa das estratégias de gerenciamento de acesso. Organizações de defesa que implementam esse modelo obtêm diversas vantagens estratégicas: acesso genuinamente resistente ao phishing, visibilidade completa de auditoria e uma demonstração de conformidade muito mais simples.
Para os profissionais responsáveis pela proteção de informações classificadas, a escolha torna-se cada vez mais evidente. Continuar permitindo que pessoas com autorização de segurança controlem suas próprias credenciais perpetua uma vulnerabilidade fundamental que adversários sofisticados conhecem e exploram. O controle organizacional das credenciais oferece uma solução estrutural que elimina a causa raiz do problema, em vez de apenas acrescentar novas camadas de complexidade tecnológica.
A questão para os líderes do setor de defesa não é se os ataques baseados em credenciais continuarão ocorrendo — eles certamente se intensificarão. A verdadeira questão é se as organizações enfrentarão essa vulnerabilidade estrutural ou continuarão tentando resolvê-la por meio de camadas adicionais de tecnologia, deixando intacto o problema central.
This website uses cookies so that we can provide you with the best user experience possible. Cookie information is stored in your browser and performs functions such as recognising you when you return to our website and helping our team to understand which sections of the website you find most interesting and useful.
Strictly Necessary Cookie should be enabled at all times so that we can save your preferences for cookie settings.
This website uses Google Analytics to collect anonymous information such as the number of visitors to the site, and the most popular pages.
Keeping this cookie enabled helps us to improve our website.