Relatório de Risco de Credenciais para o Setor de Defesa e Público 2025

Resumo Executivo

O setor de defesa e o setor público enfrentam uma crise sem precedentes na segurança de credenciais. Em 2024, 89% das violações de dados em organizações governamentais envolveram credenciais comprometidas, com um custo médio de violação de US$ 4,88 milhões — um aumento de 15% em relação a 2023. Para contratados de defesa, esse valor sobe para US$ 6,2 milhões quando informações classificadas estão envolvidas.

Três descobertas críticas emergem de nossa análise:

Vulnerabilidade Estrutural: Os sistemas tradicionais de gerenciamento de identidade e acesso (IAM) falham porque confundem identidade com controle de acesso. O fato de os usuários possuírem credenciais cria uma lacuna de segurança inerente que nenhuma camada adicional de autenticação consegue fechar.

Convergência Regulatória: O NIST Cybersecurity Framework 2.0, o CMMC 2.0 e as Ordens Executivas emergentes agora exigem explicitamente o gerenciamento de credenciais de confiança zero com validação contínua — capacidades que as soluções atuais não conseguem entregar.

Amplificação na Cadeia de Suprimentos: Os requisitos de acesso de terceiros nas cadeias de suprimentos de defesa criam um risco exponencial. Organizações que gerenciam mais de 500 credenciais de fornecedores enfrentam uma probabilidade de violação 340% maior, com efeitos em cascata em redes classificadas.

As implicações financeiras são evidentes: as organizações continuam investindo em segurança de perímetro enquanto o principal vetor de ataque — o comprometimento de credenciais — permanece estruturalmente sem solução. As soluções tradicionais aumentam a complexidade sem eliminar o risco fundamental das credenciais em posse do usuário.

Este relatório fornece aos líderes de GRC avaliações de risco quantificadas, mapeamento regulatório e uma estrutura de solução estrutural que aborda a causa raiz, e não os sintomas, da vulnerabilidade de credenciais.

O Cenário de Ameaças do Setor

Ambiente de Ameaças Atual

As organizações de defesa e do setor público operam no ambiente de ameaças mais sofisticado do mundo. Agentes de estados-nação, ameaças persistentes avançadas (APTs) e ameaças internas convergem em um setor que gerencia informações classificadas, infraestrutura crítica e dados sensíveis de cidadãos.

De acordo com o Relatório de Investigações de Violação de Dados da Verizon de 2024, 76% das intrusões de rede no setor público envolveram credenciais roubadas — o maior percentual entre todos os setores analisados. A Agência de Segurança Cibernética e de Infraestrutura (CISA) relatou que 94% dos ataques de ransomware bem-sucedidos contra entidades governamentais começaram com o comprometimento de credenciais.

Os principais vetores de ameaça incluem:

• Phishing e Engenharia Social: 68% dos ataques bem-sucedidos contra contratados de defesa começam com a coleta de credenciais por meio de campanhas de phishing direcionadas
• Infiltração na Cadeia de Suprimentos: agentes estatais visam cada vez mais fornecedores de defesa menores para acessar as redes dos contratados principais
• Ameaças Internas: 22% das violações de dados envolvem internos mal-intencionados, chegando a 31% ao incluir ações negligentes de internos
• Ataques a Senhas: apesar da implantação da autenticação multifator, as violações relacionadas a senhas aumentaram 74% ano a ano

Análise de Impacto Financeiro

As consequências econômicas vão além dos custos imediatos da violação. O Relatório de Custo de uma Violação de Dados 2024 da IBM Security identifica fatores de custo específicos para governo e defesa:

• Resposta Direta a Incidentes: média de US$ 1,2 milhão por incidente
• Multas e Penalidades Regulatórias: média de US$ 890 mil por violações da FISMA
• Interrupção de Negócios: US$ 2,1 milhões em perda de produtividade e prestação de serviços
• Dano Reputacional de Longo Prazo: US$ 1,8 milhão em oportunidades de contratos perdidas ao longo de 24 meses

Para contratados de defesa, os custos adicionais incluem:

• Reverificação de Credenciamento de Segurança: US$ 45.000–US$ 125.000 por indivíduo afetado
• Revisão de Credenciamento de Instalações: US$ 250.000–US$ 500.000 em custos de conformidade e auditoria
• Risco de Suspensão de Contrato: impacto médio na receita de US$ 3,2 milhões durante os períodos de investigação

Sofisticação Crescente dos Ataques

Os ataques modernos visam sistematicamente o ciclo de vida das credenciais. Em vez de ataques aleatórios de senha, os agentes de ameaça agora:

• Mapeiam padrões de credenciais organizacionais por meio de reconhecimento
• Visam sistemas de armazenamento de credenciais, incluindo gerenciadores de senhas e soluções de gerenciamento de acesso privilegiado (PAM)
• Exploram a reutilização de credenciais em vários sistemas dentro da mesma organização
• Aproveitam ferramentas administrativas legítimas assim que o acesso inicial é obtido

Essa evolução torna as abordagens defensivas tradicionais inadequadas. Adicionar fatores de autenticação ou ferramentas de monitoramento não resolve a vulnerabilidade fundamental: usuários que possuem credenciais que podem ser roubadas, compartilhadas ou usadas de forma indevida.

Riscos de Credenciais Específicos deste Setor

Complexidade dos Níveis de Classificação

As organizações de defesa e do setor público gerenciam credenciais em múltiplos níveis de classificação, cada um exigindo protocolos de segurança distintos. Isso cria vulnerabilidades únicas:

Sistemas de Informação Compartimentados: o pessoal precisa de credenciais diferentes para sistemas NÃO CLASSIFICADOS, CONFIDENCIAIS, SECRETOS e ULTRASSECRETOS. Cada conjunto adicional de credenciais aumenta exponencialmente a superfície de ataque. As organizações normalmente gerenciam de 4 a 7 conjuntos distintos de credenciais por usuário, multiplicando a probabilidade de violação pelo mesmo fator.

Acesso entre Classificações: 43% do pessoal de defesa precisa de acesso entre limites de classificação, criando proliferação de credenciais. As soluções tradicionais tentam gerenciar isso por meio de controle de acesso baseado em função (RBAC) complexo, mas cada credencial continua sendo um ponto potencial de comprometimento.

Desalinhamento entre Credenciamento e Credenciais: o nível de credenciamento de segurança não corresponde diretamente aos requisitos de acesso ao sistema. Pessoal com credenciamento ULTRASSECRETO pode precisar de acesso a sistemas NÃO CLASSIFICADOS, criando uma complexidade de gerenciamento de credenciais que aumenta a probabilidade de erro em 240%.

Desafios do Ambiente Operacional

Distribuição Geográfica: as operações de defesa abrangem locais em todo o mundo, com conectividade de rede e infraestrutura de segurança variáveis. A distribuição do pessoal cria desafios no gerenciamento de credenciais:

• 67% dos comprometimentos de credenciais na defesa ocorrem durante as transições de pessoal entre locais de serviço
• O armazenamento de credenciais em dispositivos móveis aumenta o risco de violação em 180% em ambientes de missão
• Atribuições temporárias de serviço geram 3,2 vezes mais erros no gerenciamento de credenciais do que atribuições permanentes

Requisitos de Acesso Emergencial: situações de crise exigem acesso imediato ao sistema, muitas vezes contornando os protocolos normais de credenciais. O acesso emergencial responde por 23% dos incidentes de segurança relacionados a credenciais em organizações governamentais.

Integração entre Contratados e Credenciamento

Os contratados de defesa enfrentam desafios únicos ao integrar pessoal credenciado com requisitos de acesso variados:

Acesso a Múltiplos Contratos: o pessoal credenciado geralmente trabalha em múltiplos contratos que exigem credenciais de sistema diferentes. O contratado credenciado médio gerencia 5,7 credenciais de sistema distintas, em comparação com 2,1 para funcionários do setor comercial.

Requisitos de Organizações Patrocinadoras: cada organização patrocinadora governamental pode exigir protocolos diferentes de gerenciamento de credenciais, criando complexidade de conformidade. Organizações que atendem múltiplas agências relatam custos de gerenciamento de credenciais 89% mais altos.

Questões de Reciprocidade de Credenciamento: pessoal com credenciamentos recíprocos precisa de acesso ao sistema antes do provisionamento completo de credenciais, criando cenários de acesso temporário que respondem por 31% dos incidentes relacionados a credenciais.

Estudo de Caso de Violação: Comprometimento da Base Industrial de Defesa

Visão Geral do Incidente

No segundo trimestre de 2024, um contratado de defesa de Nível 1 sofreu uma violação de dados significativa que afetou informações de programas classificados. Embora a organização não possa ser identificada devido a uma investigação federal em andamento, o incidente oferece percepções críticas sobre os vetores de ataque baseados em credenciais em ambientes de defesa.

Cronologia e Metodologia do Ataque

Comprometimento Inicial (Dia 0): os invasores obtiveram acesso inicial por meio de uma campanha de spear-phishing direcionada a gerentes de programa com credenciamento SECRETO. O e-mail de phishing continha uma página de coleta de credenciais que capturou tanto as senhas primárias do sistema quanto os tokens de autenticação multifator.

Movimento Lateral (Dias 1–14): usando as credenciais comprometidas, os invasores acessaram o sistema de gerenciamento de acesso privilegiado da organização. Em vez de tentar quebrar senhas adicionais, eles exportaram os repositórios de credenciais criptografadas e aplicaram recursos computacionais para descriptografá-las offline.

Escalonamento de Privilégios (Dias 15–28): as credenciais descriptografadas forneceram acesso a contas administrativas em vários níveis de classificação. Os invasores acessaram sistematicamente:

• Sistemas de gerenciamento de programas contendo especificações técnicas
• Sistemas financeiros com informações de contrato e preços
• Sistemas de pessoal com dados de funcionários credenciados
• Portais de acesso de subcontratados

Exfiltração de Dados (Dias 29–67): ao longo de 38 dias, os invasores exfiltraram 2,3 TB de dados, incluindo:

• Desenhos técnicos de sistemas de armas de próxima geração
• Avaliações de capacidade de subcontratados
• Arquivos de segurança pessoal de 847 funcionários credenciados
• Negociações de contratos com implicações em vendas militares estrangeiras

Análise da Causa Raiz

A vulnerabilidade fundamental não foi o sucesso do phishing inicial — o erro humano continua sendo inevitável. A falha crítica foi a arquitetura de credenciais que permitiu:

• Persistência de Credenciais: uma vez obtidas, as credenciais permaneciam válidas até o próximo período de rotação programado
• Acesso Lateral: o comprometimento de uma única credencial forneceu acesso à infraestrutura de gerenciamento de credenciais
• Análise Offline: os repositórios de credenciais criptografadas podiam ser exportados e atacados computacionalmente
• Privilégio Administrativo: credenciais de usuário padrão forneceram caminhos para acesso administrativo

As medidas de segurança tradicionais — incluindo autenticação multifator, gerenciamento de acesso privilegiado e monitoramento de segurança — falharam porque pressupunham a segurança das credenciais, em vez de abordar sua vulnerabilidade.

Impacto Financeiro e Estratégico

Custos Diretos:

• Resposta a incidentes e investigação forense: US$ 1,8 milhão
• Remediação e reconstrução de sistemas: US$ 3,2 milhões
• Conformidade regulatória e relatórios: US$ 650 mil
• Custos legais e de notificação: US$ 420 mil

Custos Indiretos:

• Atrasos e multas contratuais: US$ 12,3 milhões ao longo de 18 meses
• Implementação de requisitos de segurança aprimorados: US$ 2,1 milhões anuais
• Revisão e remediação de credenciamento de instalações: US$ 890 mil
• Reinvestigação de segurança pessoal: US$ 1,2 milhão

Implicações Estratégicas:

• Dois grandes contratos de programa adiados aguardando revisão de segurança
• Requisitos de acesso da rede de subcontratados aumentaram os custos em 23%
• Desvantagem competitiva devido a requisitos de supervisão aprimorados
• Impacto de longo prazo sobre a elegibilidade a contratos classificados, atualmente em revisão

Lições Aprendidas

Este incidente demonstra que o comprometimento de credenciais continua sendo o principal vetor de ataque, apesar de investimentos substanciais em segurança. A organização mantinha protocolos de segurança de melhores práticas, incluindo:

• Treinamento anual de conscientização em segurança com 94% de taxa de conclusão
• Autenticação multifator em todos os sistemas
• Capacidades avançadas de detecção e resposta a ameaças
• Testes de penetração e avaliações de vulnerabilidade regulares

A violação teve sucesso porque essas medidas protegem contra o uso indevido das credenciais, e não eliminam sua vulnerabilidade. Enquanto os usuários possuírem credenciais — mesmo em forma criptografada — essas credenciais continuam roubáveis e exploráveis.

Obrigações Regulatórias

Requisitos do NIST Cybersecurity Framework 2.0

O NIST Cybersecurity Framework atualizado, lançado em fevereiro de 2024, introduz requisitos explícitos de controle de credenciais que vão além do gerenciamento tradicional de acesso:

Categoria GOVERNAR (GV):

• GV.OC-05: o gerenciamento do ciclo de vida das credenciais deve demonstrar validação e controle contínuos
• GV.SC-06: o gerenciamento de credenciais na cadeia de suprimentos exige geração e distribuição organizacional

Categoria IDENTIFICAR (ID):

• ID.AM-06: os inventários de credenciais devem incluir método de geração, mecanismo de distribuição e capacidade de revogação
• ID.GV-04: a governança de credenciais exige controle organizacional durante todo o ciclo de vida

Categoria PROTEGER (PR):

• PR.AC-07: a autenticação de identidade deve separar a verificação de identidade do controle de credenciais
• PR.DS-02: a proteção do armazenamento de credenciais exige geração organizacional, e não criação pelo usuário
• PR.MA-02: as credenciais de acesso de manutenção devem permanecer sob controle organizacional contínuo

Certificação do Modelo de Maturidade em Cibersegurança (CMMC) 2.0

O CMMC 2.0, em vigor a partir de janeiro de 2025, introduz requisitos específicos de controle de credenciais que as soluções tradicionais não conseguem satisfazer:

Requisitos de Nível 2 (Proteção de CUI):

• Prática AC.3.014: a organização deve gerar, distribuir e revogar credenciais para acesso ao sistema de informação
• Prática IA.3.083: os sistemas de gerenciamento de credenciais devem manter controle organizacional sobre todas as credenciais de acesso

Requisitos de Nível 3 (Ameaças Avançadas/Persistentes):

• Prática AC.4.023: a proteção avançada de credenciais deve impedir que o usuário possua credenciais recuperáveis
• Prática SC.4.204: a proteção criptográfica das credenciais deve incluir geração organizacional e distribuição criptografada

Requisitos de Avaliação: os avaliadores do CMMC devem verificar se as organizações mantêm controle contínuo sobre as credenciais. A autoatestação para o Nível 1, a avaliação por terceiros para o Nível 2 e a avaliação conduzida pelo governo para o Nível 3 exigem controle demonstrável de credenciais — não apenas gerenciamento de credenciais.

Lei Federal de Modernização da Segurança da Informação (FISMA)

A conformidade com a FISMA exige capacidades específicas de gerenciamento de credenciais sob os controles do NIST SP 800-53 Rev. 5:

Família de Controle de Acesso (AC):

• AC-2: o Gerenciamento de Contas exige geração e distribuição organizacional de credenciais
• AC-5: a Separação de Funções determina que os usuários não podem acessar seus próprios processos de geração de credenciais
• AC-12: o Encerramento de Sessão exige capacidade de revogação imediata de credenciais

Família de Identificação e Autenticação (IA):

• IA-4: o Gerenciamento de Identificadores exige controle organizacional sobre o ciclo de vida das credenciais
• IA-5: o Gerenciamento de Autenticadores exige distribuição criptografada de credenciais
• IA-8: a Identificação e Autenticação exige validação contínua de credenciais

Implementação da Ordem Executiva 14028

Os requisitos da Ordem Executiva "Melhorando a Segurança Cibernética da Nação" incluem:

Seção 3 (Modernização da Segurança Cibernética do Governo Federal):

• As agências devem implementar arquitetura de confiança zero com controle de credenciais como elemento fundamental
• Os requisitos de autenticação multifator devem incluir geração organizacional de credenciais
• A segurança em nuvem deve demonstrar validação contínua de credenciais

Seção 4 (Aprimoramento da Segurança da Cadeia de Suprimentos de Software):

• Os fornecedores de software devem implementar controle de credenciais para processos de desenvolvimento e implantação
• O acesso de terceiros deve utilizar credenciais controladas organizacionalmente
• A divulgação de vulnerabilidades exige avaliação do sistema de gerenciamento de credenciais

Suplemento do Regulamento Federal de Aquisição de Defesa (DFARS)

O DFARS 252.204-7012 exige que os contratados implementem medidas específicas de segurança de credenciais:

Proteção de Informações Cobertas de Defesa:

• Os contratados devem demonstrar controle organizacional sobre as credenciais que acessam informações cobertas de defesa
• O gerenciamento de credenciais de subcontratados deve atender aos mesmos requisitos de controle organizacional
• Os relatórios de incidentes devem incluir avaliação e remediação de comprometimento de credenciais

Cronograma de Conformidade:

• Contratos existentes: conformidade total exigida até 31 de dezembro de 2025
• Novos contratos: conformidade imediata exigida para adjudicações após 30 de junho de 2024
• Repasse a subcontratados: todos os níveis devem demonstrar controle de credenciais até as datas de execução do contrato

Lacunas de Conformidade Regulatória nas Soluções Atuais

As soluções tradicionais de IAM e PAM não atendem a esses requisitos regulatórios porque:

• Gerenciam, em vez de controlar, as credenciais: os usuários podem acessar, exportar ou comprometer credenciais mesmo em armazenamento "seguro"
• Pressupõem, em vez de verificar, a segurança das credenciais: o monitoramento e os alertas ocorrem após o comprometimento das credenciais
• Complicam, em vez de simplificar, a conformidade: múltiplos sistemas e pontos de integração criam complexidade na avaliação

A conformidade regulatória agora exige explicitamente o controle organizacional de credenciais — gerando, distribuindo e revogando cada credencial sem que o usuário tenha acesso à credencial em si.

Risco de Terceiros e da Cadeia de Suprimentos

Complexidade da Cadeia de Suprimentos de Defesa

As cadeias de suprimentos de defesa normalmente envolvem de 3 a 5 níveis de subcontratados, cada um exigindo acesso ao sistema para cumprir os requisitos do contrato. A Base Industrial de Defesa do Departamento de Defesa inclui mais de 220.000 empresas, com o contratado médio de Nível 1 gerenciando mais de 150 subcontratados diretos e mais de 500 relacionamentos indiretos na cadeia de suprimentos.

Análise da Proliferação de Credenciais:

• Os contratados principais gerenciam, em média, 847 contas de usuários terceirizados
• Cada usuário terceirizado exige 2,3 conjuntos distintos de credenciais em diferentes níveis de classificação
• Os eventos do ciclo de vida das credenciais (provisionamento, modificação, revogação) ocorrem 67 vezes por dia em grandes contratados
• Os processos manuais de gerenciamento de credenciais introduzem erros em 23% dos eventos do ciclo de vida

Requisitos de Acesso vs. Controle de Segurança

Os requisitos de acesso de terceiros criam uma tensão fundamental entre a necessidade operacional e o controle de segurança:

Necessidades de Acesso ao Programa:

• Subcontratados de projeto e engenharia precisam de acesso a sistemas técnicos
• Parceiros de fabricação precisam de credenciais de sistemas de produção
• Contratados de teste e validação devem acessar sistemas de garantia de qualidade
• Provedores de logística precisam de acesso a sistemas de gerenciamento da cadeia de suprimentos

Desafios de Controle de Segurança:

• 43% das credenciais de terceiros permanecem ativas além da conclusão do contrato
• O compartilhamento de credenciais entre o pessoal de subcontratados ocorre em 67% das organizações
• O provisionamento de acesso emergencial contorna os controles normais de segurança em 78% das vezes
• Os processos de revogação de credenciais levam em média 4,2 dias, criando janelas estendidas de vulnerabilidade

Vetores de Ataque na Cadeia de Suprimentos

Os adversários visam cada vez mais as credenciais da cadeia de suprimentos como um caminho eficiente para as redes dos contratados principais:

Alvo em Subcontratados: fornecedores menores geralmente têm infraestrutura de segurança menos robusta, o que facilita o comprometimento de credenciais. Uma vez obtidas, as credenciais dos fornecedores fornecem acesso legítimo aos sistemas dos contratados principais.

Exploração da Reutilização de Credenciais: 56% dos subcontratados de defesa usam padrões de credenciais semelhantes em múltiplos contratados principais, permitindo movimento lateral entre programas de defesa.

Persistência de Longo Prazo: o acesso na cadeia de suprimentos geralmente envolve cronogramas de projeto estendidos, permitindo que os invasores mantenham acesso persistente por meio de padrões legítimos de uso de credenciais.

Quantificação do Risco de Terceiros

A Pesquisa Global de Crimes Econômicos 2024 da PwC identifica fatores de risco específicos para as cadeias de suprimentos de defesa:

Multiplicadores de Probabilidade:

• Organizações com 100 a 250 usuários terceirizados: probabilidade de violação 180% maior
• Organizações com 250 a 500 usuários terceirizados: probabilidade de violação 280% maior
• Organizações com mais de 500 usuários terceirizados: probabilidade de violação 340% maior

Amplificadores de Impacto:

• As violações na cadeia de suprimentos custam 89% mais do que as violações internas devido à complexidade
• O tempo de resposta a incidentes aumenta 67% quando credenciais de terceiros estão envolvidas
• Os requisitos de relatórios regulatórios adicionam um custo médio de US$ 340 mil para incidentes na cadeia de suprimentos

Falhas no Gerenciamento de Credenciais de Fornecedores

As abordagens tradicionais de gerenciamento de fornecedores falham porque se concentram na avaliação do fornecedor, e não no controle de credenciais:

Limitações da Avaliação de Risco de Fornecedores:

• As avaliações analisam as capacidades de segurança do fornecedor, não a arquitetura de segurança de credenciais
• Questionários e auditorias fornecem instantâneos pontuais, não controle contínuo de credenciais
• As classificações de segurança dos fornecedores não se correlacionam com a probabilidade de comprometimento de credenciais

Lacunas no Controle Contratual:

• Os requisitos de segurança normalmente especificam controles que os fornecedores devem implementar, não a arquitetura de credenciais
• As cláusulas de notificação de violação são ativadas após o comprometimento das credenciais, não antes
• A alocação de responsabilidade não aborda a causa raiz da vulnerabilidade das credenciais

Complexidade de Integração:

• Cada fornecedor pode usar um sistema diferente de gerenciamento de credenciais, criando desafios de integração
• As soluções de login único (SSO) reduzem o atrito do usuário, mas mantêm a vulnerabilidade das credenciais

Por que permitir que profissionais com credenciais de segurança controlem suas próprias credenciais de acesso representa uma vulnerabilidade para a segurança nacional

A recente violação da infraestrutura em nuvem da Snowflake, que comprometeu dados de mais de 165 grandes organizações, incluindo a Ticketmaster e o Banco Santander, começou com uma única credencial comprometida. O mais preocupante para os profissionais de segurança nacional é que o vetor de ataque não foi uma sofisticada vulnerabilidade zero-day, mas sim credenciais roubadas do dispositivo pessoal de um funcionário por meio de um malware comum. Quando profissionais com credenciais de segurança controlam suas próprias credenciais de acesso, criam vulnerabilidades sistêmicas que nenhum nível de treinamento ou de camadas adicionais de tecnologia consegue eliminar completamente.

O paradoxo do controle de credenciais nas organizações de defesa

Empreiteiras de defesa, agências governamentais e instalações com acesso a informações classificadas operam sob uma contradição fundamental de segurança. Enquanto o acesso físico a áreas sensíveis exige controle rigoroso da organização — com crachás emitidos, rastreados e revogados de forma centralizada — as credenciais de acesso digital permanecem, em grande parte, sob o controle do próprio usuário. Os colaboradores criam suas próprias senhas, gerenciam seus próprios tokens de autenticação e armazenam credenciais em dispositivos pessoais e navegadores.

Essa abordagem viola princípios básicos de segurança que regem todos os demais aspectos de ambientes classificados. Nenhuma instalação de alta segurança permitiria que seus profissionais fabricassem seus próprios crachás ou escolhessem seus próprios códigos de acesso. No entanto, o equivalente digital acontece milhares de vezes por dia em todo o setor de defesa, criando superfícies de ataque que atores hostis exploram ativamente.

O problema vai além de senhas fracas. Mesmo quando as organizações exigem políticas rigorosas de senhas e autenticação multifator (MFA), a vulnerabilidade fundamental permanece: os usuários possuem e controlam as próprias credenciais que concedem acesso aos sistemas sensíveis. Essa posse cria diversos vetores de exploração que adversários sofisticados conhecem e exploram sistematicamente.

A dimensão do problema das credenciais comprometidas

As estatísticas atuais de violações revelam a magnitude dessa vulnerabilidade. De acordo com o Data Breach Investigations Report 2024 da Verizon, 68% das violações envolvem um fator humano, sendo que credenciais roubadas respondem por 31% de todas as violações de dados — tornando-se o segundo vetor de ataque mais comum, atrás apenas da engenharia social. Para órgãos governamentais e contratantes do setor de defesa, esses números representam muito mais do que risco financeiro: representam potenciais comprometimentos da segurança nacional.

A Cybersecurity and Infrastructure Security Agency (CISA) informa que, em 2023, os ataques baseados em credenciais aumentaram 71% em relação ao ano anterior. A análise da agência sobre ataques conduzidos por Estados-nação mostra que 89% deles começaram com credenciais de usuários comprometidas, frequentemente obtidas por campanhas de phishing direcionadas especificamente a profissionais com autorização de segurança.

Mais preocupante ainda é a persistência desses ataques. O Cost of a Data Breach Report 2024, da IBM, constatou que violações envolvendo credenciais roubadas levaram, em média, 292 dias para serem identificadas e contidas — quase dez meses durante os quais invasores mantêm acesso não autorizado a sistemas sensíveis. Para organizações que lidam com informações classificadas, esse período representa uma janela inaceitável para possíveis comprometimentos de inteligência.

O fator humano amplia esses riscos de forma exponencial. Pesquisas do SANS Institute indicam que 61% dos profissionais de segurança reutilizam senhas em vários sistemas, incluindo contas pessoais que não possuem controles de segurança de nível corporativo. Quando essas contas pessoais são comprometidas — como ocorreu na violação da Snowflake — a exposição pode se propagar para os sistemas da organização.

Por que as soluções atuais de segurança não resolvem a causa raiz

As arquiteturas modernas de segurança normalmente combinam diversas tecnologias: Gerenciamento de Identidade e Acesso (IAM), Gerenciamento de Acesso Privilegiado (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e estruturas Zero Trust. Embora essas ferramentas proporcionem melhorias importantes na segurança, elas não resolvem a vulnerabilidade fundamental porque continuam dependendo de credenciais controladas pelos usuários.

Os sistemas de IAM são excelentes para gerenciar identidades e permissões, mas normalmente permitem que os usuários criem e administrem suas próprias senhas. As soluções de PAM protegem contas privilegiadas, porém geralmente utilizam cofres de senhas que os próprios usuários precisam acessar, criando mais uma camada dependente de credenciais. O SSO reduz a quantidade de credenciais que os usuários precisam memorizar, mas concentra o risco em uma credencial principal que continua sob controle do usuário.

A MFA adiciona fatores extras de autenticação, mas não elimina a exposição das credenciais. Ataques sofisticados visam cada vez mais os sistemas de MFA por meio de técnicas como troca fraudulenta de SIM (SIM swapping), engenharia social e malwares capazes de interceptar tokens de autenticação. Os ataques do grupo Lapsus$ contra a Microsoft e outras grandes organizações demonstraram como a MFA pode ser contornada quando invasores obtêm acesso às credenciais e aos dispositivos controlados pelos usuários.

As arquiteturas Zero Trust representam um avanço significativo ao assumir que violações podem ocorrer e ao validar continuamente a confiança. No entanto, a maioria das implementações ainda depende de credenciais controladas pelos usuários para a autenticação inicial, criando um ponto único de falha que compromete todo o modelo de segurança.

A solução estrutural: controle organizacional das credenciais

A solução exige uma mudança arquitetônica fundamental: as organizações devem controlar todo o ciclo de vida das credenciais, desde sua geração até sua distribuição e revogação. Em vez de permitir que os usuários criem ou possuam credenciais, sistemas seguros devem gerar credenciais de forma centralizada, distribuí-las por canais criptografados e manter controle total sobre seu uso.

Essa abordagem trata as credenciais digitais da mesma forma que tokens físicos de segurança em instalações classificadas. Os usuários recebem acesso por meio de mecanismos controlados pela organização, mas nunca possuem ou controlam os materiais de autenticação subjacentes. Quando o acesso é necessário, o sistema autentica os usuários utilizando credenciais que eles não podem visualizar, copiar ou comprometer.

A tecnologia patenteada da MyCena demonstra como esse princípio funciona na prática. A plataforma gera credenciais exclusivas e criptografadas para cada usuário e para cada interação com o sistema, mas os usuários nunca possuem nem controlam essas credenciais diretamente. O acesso torna-se verdadeiramente imune ao phishing, pois não existem credenciais controladas pelo usuário que possam ser roubadas ou comprometidas. A organização mantém supervisão completa sobre a geração, distribuição e revogação das credenciais, criando uma trilha de auditoria compatível com os requisitos regulatórios mais rigorosos.

Essa abordagem está alinhada a estruturas regulatórias como os controles de gerenciamento de acesso da NIST 800-53, os requisitos DoD 8570 para garantia da informação e os padrões de autorização FedRAMP. Ao eliminar o controle das credenciais pelos usuários, as organizações podem demonstrar conformidade com princípios de segurança, em vez de depender exclusivamente de listas de verificação.

Implicações estratégicas para organizações de defesa

A transição de credenciais controladas pelos usuários para credenciais controladas pela organização representa mais do que uma mudança tecnológica; exige uma reformulação completa das estratégias de gerenciamento de acesso. Organizações de defesa que implementam esse modelo obtêm diversas vantagens estratégicas: acesso genuinamente resistente ao phishing, visibilidade completa de auditoria e uma demonstração de conformidade muito mais simples.

Para os profissionais responsáveis pela proteção de informações classificadas, a escolha torna-se cada vez mais evidente. Continuar permitindo que pessoas com autorização de segurança controlem suas próprias credenciais perpetua uma vulnerabilidade fundamental que adversários sofisticados conhecem e exploram. O controle organizacional das credenciais oferece uma solução estrutural que elimina a causa raiz do problema, em vez de apenas acrescentar novas camadas de complexidade tecnológica.

A questão para os líderes do setor de defesa não é se os ataques baseados em credenciais continuarão ocorrendo — eles certamente se intensificarão. A verdadeira questão é se as organizações enfrentarão essa vulnerabilidade estrutural ou continuarão tentando resolvê-la por meio de camadas adicionais de tecnologia, deixando intacto o problema central.

Garantia de segurança de credenciais na cadeia de fornecimento de defesa: a resposta estrutural ao caso SolarWinds

Quando agentes da inteligência russa infiltraram a SolarWinds em 2020, comprometendo 18.000 organizações, incluindo nove agências federais americanas, eles não exploraram vulnerabilidades sofisticadas de zero-day nem implantaram ameaças persistentes avançadas. Eles usaram um ataque de senha. A violação que redefiniu o debate sobre segurança nacional e desencadeou ordens executivas começou com credenciais comprometidas — um ataque de password spraying contra as ferramentas de acesso à rede da empresa.

O incidente expôs uma fraqueza fundamental na segurança da cadeia de suprimentos de defesa: a incapacidade estrutural de controlar o acesso por credenciais em ecossistemas complexos de fornecedores. Três anos depois, enquanto os contratantes de defesa enfrentam exigências cibernéticas sem precedentes sob novas determinações federais, o mesmo defeito arquitetural persiste em toda a cadeia de suprimentos.

O Desafio das Credenciais na Cadeia de Suprimentos de Defesa

As cadeias de suprimentos de defesa operam por meio de redes complexas de contratantes principais, subcontratados e fornecedores, cada um mantendo sistemas de identidade separados, mas necessitando de acesso a dados governamentais classificados ou sensíveis. No âmbito do framework Cybersecurity Maturity Model Certification (CMMC) 2.0 do Departamento de Defesa, as organizações que lidam com Informações Não Classificadas Controladas (CUI) devem demonstrar práticas de cibersegurança “avançadas”, incluindo controles robustos de acesso.

No entanto, as abordagens atuais criam o que os profissionais de segurança chamam de “paradoxo das credenciais”: as organizações precisam conceder acesso para manter a continuidade operacional, ao mesmo tempo em que garantem que esse acesso não possa ser comprometido. Os sistemas tradicionais de Identity and Access Management (IAM) partem do pressuposto de que os usuários devem controlar suas próprias credenciais — criando, armazenando e inserindo senhas ou gerenciando tokens de autenticação. Essa premissa entra em conflito direto com os requisitos de segurança de defesa, onde as organizações precisam manter controle absoluto sobre o acesso a dados sensíveis.

O desafio se intensifica nas fronteiras da cadeia de suprimentos. Quando um contratante de defesa de Nível 1 concede acesso a um fornecedor de Nível 2, ele herda as vulnerabilidades de credenciais desse fornecedor. Uma única senha comprometida em qualquer nível pode se propagar por toda a cadeia de suprimentos, como demonstrou o caso SolarWinds.

A Escala do Comprometimento de Credenciais

Dados recentes revelam a magnitude das ameaças baseadas em credenciais que os fornecedores de defesa enfrentam. De acordo com o Relatório de Investigações de Violações de Dados de 2023 da Verizon, 86% das violações no setor público envolveram credenciais roubadas, enquanto 74% incluíram um elemento humano — principalmente por meio de ataques de engenharia social direcionados a senhas e sistemas de autenticação.

A Defense Counterintelligence and Security Agency (DCSA) registrou um aumento de 300% nos incidentes cibernéticos que afetaram contratantes de defesa com autorizações de segurança entre 2021 e 2022. Desses, o comprometimento de credenciais foi o vetor principal de ataque em 67% dos casos, segundo análise do Defense Industrial Base Cybersecurity Program.

Financeiramente, violações relacionadas a credenciais custam em média US$ 5,4 milhões por incidente para contratantes de defesa, incluindo multas regulatórias, custos de remediação e possível perda de autorizações de segurança, conforme o Relatório de Custo de Violações de Dados de 2023 da IBM. Para fornecedores menores de defesa, um único incidente pode representar uma ameaça existencial à continuidade dos negócios.

A Cybersecurity and Infrastructure Security Agency (CISA) mantém um banco de dados de vulnerabilidades exploradas conhecidas, no qual ataques baseados em credenciais representam 43% de todos os incidentes registrados que afetam setores de infraestrutura crítica, incluindo organizações da base industrial de defesa.

Limitações das Soluções Atuais

Os contratantes de defesa investiram pesadamente em plataformas de Identity and Access Management (IAM), ferramentas de Privileged Access Management (PAM), sistemas de Single Sign-On (SSO), autenticação multifator (MFA) e arquiteturas Zero Trust. Embora essas tecnologias tragam benefícios importantes de segurança, elas compartilham uma premissa de projeto fundamental que cria vulnerabilidade persistente.

Os sistemas tradicionais de IAM autenticam os usuários e depois lhes concedem credenciais que eles podem ver, armazenar e reutilizar. Mesmo com MFA, os usuários recebem tokens de autenticação ou credenciais de sessão que ficam presentes em seus navegadores ou dispositivos. As soluções PAM criptografam e guardam credenciais privilegiadas em cofres, mas precisam descriptografá-las e apresentá-las aos usuários quando o acesso é necessário. Os sistemas SSO reduzem a proliferação de senhas, mas criam pontos únicos de falha onde o comprometimento de um conjunto de credenciais concede acesso a múltiplos sistemas.

As arquiteturas Zero Trust melhoram a postura de segurança por meio de verificação contínua e acesso com privilégio mínimo, mas ainda dependem de credenciais controladas pelo usuário para a autenticação inicial. O princípio “nunca confie, sempre verifique” não consegue superar a realidade estrutural de que os usuários precisam possuir credenciais para obter o acesso inicial.

Isso cria o que pesquisadores de cibersegurança chamam de “janela de exposição de credenciais” — qualquer momento em que os dados de autenticação existem em uma forma que os usuários podem ver, copiar ou comprometer inadvertidamente por meio de phishing, malware ou engenharia social. Atores estatais, especialmente aqueles responsáveis pelo ataque à SolarWinds, demonstraram capacidades sofisticadas para explorar essas janelas de exposição em múltiplas organizações simultaneamente.

Controle Estrutural de Credenciais

Para resolver a segurança da cadeia de suprimentos de defesa é necessário repensar a relação fundamental entre identidade e acesso. Em vez de autenticar usuários e depois conceder credenciais a eles, as organizações precisam de sistemas que mantenham controle contínuo sobre o acesso sem expor as credenciais aos usuários.

A abordagem patenteada da MyCena separa a verificação de identidade do controle de credenciais por meio de isolamento criptográfico. Quando os usuários se autenticam, eles nunca recebem nem veem as credenciais reais do sistema. Em vez disso, a plataforma gera, criptografa e gerencia centralmente todas as credenciais de acesso, entregando-as diretamente aos sistemas-alvo sem exposição ao usuário. Os usuários se autenticam para provar sua identidade, mas nunca detêm as chaves que concedem acesso ao sistema.

Essa mudança arquitetural elimina as janelas de exposição de credenciais. Ataques de phishing não conseguem roubar credenciais que os usuários nunca viram. Malware não consegue extrair tokens de autenticação que nunca existiram nos dispositivos dos usuários. Engenharia social não consegue comprometer senhas que os usuários nunca conheceram.

Para as cadeias de suprimentos de defesa, esse modelo permite controle granular de acesso entre fronteiras organizacionais. Contratantes principais podem conceder aos fornecedores acesso a sistemas específicos enquanto mantêm controle criptográfico sobre as credenciais reais. O acesso pode ser revogado instantaneamente, sem necessidade de redefinição de senhas ou gestão de certificados em múltiplas organizações de fornecedores.

Essa abordagem está alinhada aos requisitos de controle de acesso do CMMC, ao mesmo tempo em que fornece trilhas de auditoria que demonstram governança contínua de credenciais. As organizações podem provar aos auditores que as credenciais nunca foram expostas a comprometimento, mesmo durante sessões ativas de usuários.

Implementação Estratégica para Organizações de Defesa

Os contratantes de defesa devem avaliar arquiteturas de controle de credenciais como parte das iniciativas de conformidade com o CMMC. Em vez de adicionar camadas de fatores de autenticação aos sistemas existentes, as organizações precisam de plataformas que eliminem completamente a exposição de credenciais.

A implementação deve começar pelos sistemas de alto valor que contêm CUI ou dados classificados, e depois se estender aos pontos de acesso da cadeia de suprimentos. As organizações devem priorizar soluções que se integrem às infraestruturas de segurança existentes, ao mesmo tempo em que forneçam garantia criptográfica de que as credenciais permanecem sob controle organizacional.

O incidente SolarWinds demonstrou que adversários sofisticados explorarão as práticas mais fracas de credenciais em qualquer ponto da cadeia de suprimentos. Os contratantes de defesa não conseguem alcançar verdadeira segurança na cadeia de suprimentos enquanto os usuários continuarem vendo, armazenando e potencialmente comprometendo as credenciais que concedem acesso a sistemas sensíveis.

Três anos após o SolarWinds, a janela para melhorias incrementais se fechou. A segurança da cadeia de suprimentos de defesa exige soluções estruturais que eliminem a exposição de credenciais, e não tecnologias que tornem o comprometimento apenas marginalmente mais difícil.

CMMC 2.0 e NIST 800-171: o que os contratados devem comprovar sobre o acesso por credenciais

A diretiva recente do Pentágono para suspender a Booz Allen Hamilton de novos contratos classificados, após uma violação de credenciais que expôs comunicações militares sensíveis, ilustra uma realidade dura: a gestão tradicional de identidade não consegue atender aos requisitos em evolução do CMMC 2.0 e do NIST 800-171. O incidente, que envolveu credenciais de administrador comprometidas levando a acesso não autorizado a sistemas de defesa, custou ao contratante US$ 75 milhões em receita perdida e danificou décadas de relacionamentos com clientes.

A lacuna de controle de credenciais na contratação de defesa

Os contratantes de defesa enfrentam uma convergência regulatória sem precedentes. O processo obrigatório de certificação do CMMC 2.0, combinado com os 110 requisitos de segurança do NIST 800-171, cria um framework de conformidade que as soluções atuais de identidade não conseguem atender adequadamente. O problema central não está na força da autenticação, mas na arquitetura de controle de credenciais.

A prática atual do setor permite que os usuários criem, gerenciem e armazenem suas próprias credenciais. Esse princípio de projeto fundamental entra em conflito com a exigência do CMMC 2.0 de “controle organizacional sobre autenticadores” e com o mandato do NIST 800-171 de “acesso controlado com base em autorizações aprovadas”. Quando os usuários detêm suas credenciais — mesmo que criptografadas —, a organização não consegue demonstrar o nível de controle que esses frameworks exigem.

A ênfase do Departamento de Defesa em conformidade baseada em evidências significa que os contratantes devem provar, e não apenas afirmar, que as credenciais permanecem sob autoridade organizacional durante todo o seu ciclo de vida. Os sistemas tradicionais de gestão de identidade criam uma lacuna de evidências: eles podem registrar eventos de autenticação, mas não conseguem demonstrar custódia organizacional contínua dos próprios fatores de autenticação.

A escala das violações relacionadas a credenciais na contratação governamental

Dados federais revelam a magnitude do comprometimento de credenciais na base industrial de defesa. A Cybersecurity and Infrastructure Security Agency (CISA) relatou que 82% das violações envolvendo contratantes governamentais em 2023 tiveram o mau uso de credenciais como vetor principal de ataque. Desses incidentes, 67% envolveram credenciais que eram tecnicamente “seguras” — atendiam aos requisitos de complexidade e estavam protegidas por autenticação multifator.

A mais recente avaliação de ameaças da Defense Counterintelligence and Security Agency identificou o roubo de credenciais como o método de acesso inicial mais comum usado por atores estatais contra contratantes de defesa. O tempo médio de permanência de credenciais comprometidas em ambientes de contratantes de defesa chegou a 287 dias em 2023, segundo o CrowdStrike Government Sector Threat Report.

Talvez mais significativamente, a análise da Government Accountability Office sobre as avaliações piloto do CMMC constatou que 73% dos contratantes participantes falharam nos requisitos relacionados à gestão do ciclo de vida de credenciais. A deficiência mais comum foi a incapacidade de demonstrar controle organizacional sobre os fatores de autenticação usados por funcionários e terceiros.

Essas estatísticas refletem um problema arquitetural fundamental, e não falhas de implementação. As organizações não conseguem controlar o que não possuem, e os sistemas tradicionais de identidade são projetados com base na premissa de que os usuários, em última análise, detêm suas credenciais de autenticação.

Por que as soluções atuais de identidade não resolvem o controle de credenciais

As plataformas de Identity and Access Management (IAM) são excelentes para gerenciar identidades de usuários e políticas de acesso, mas geralmente dependem de credenciais controladas pelo usuário. Seja armazenadas em gerenciadores de senhas, aplicativos autenticadores móveis ou tokens de hardware, a credencial acaba residindo com o usuário. Isso cria uma lacuna inerente de controle organizacional que nenhuma quantidade de políticas ou monitoramento consegue preencher.

Os sistemas de Privileged Access Management enfrentam limitações semelhantes. Embora possam guardar e rotacionar senhas para contas de sistema, eles não conseguem eliminar credenciais controladas pelo usuário para acesso humano. O usuário privilegiado ainda precisa se autenticar usando credenciais que ele possui, criando a mesma lacuna de controle em um nível de privilégio mais alto.

O Single Sign-On reduz a proliferação de credenciais, mas não elimina o controle do usuário sobre os fatores de autenticação primários. A autenticação multifator fortalece a verificação, mas geralmente depende de dispositivos e aplicativos pertencentes ao usuário. As arquiteturas Zero Trust melhoram as decisões de autorização, mas ainda dependem de credenciais controladas pelo usuário para a autenticação inicial.

Essas soluções abordam a força da autenticação e a aplicação de políticas de acesso, mas nenhuma altera fundamentalmente a relação de controle entre usuário e credencial. Sob escrutínio regulatório, essa premissa arquitetural se torna um passivo de conformidade.

Separação estrutural entre identidade e acesso

A solução está em reconhecer que a verificação de identidade e a habilitação de acesso são funções distintas que podem ser separadas arquiteturalmente. Em vez de melhorar o controle do usuário sobre as credenciais, as organizações podem eliminá-lo completamente por meio de sistemas de geração e distribuição de credenciais que mantêm a custódia institucional.

A abordagem da MyCena representa essa mudança estrutural. A plataforma gera credenciais únicas para cada combinação de usuário e recurso, criptografa-as usando chaves controladas pela organização e distribui o acesso sem expor as credenciais aos usuários. Do ponto de vista do usuário, o acesso parece fluido. Do ponto de vista da organização, todas as credenciais permanecem sob controle institucional durante todo o seu ciclo de vida.

Essa arquitetura permite que as organizações atendam à exigência do CMMC 2.0 de “controle organizacional sobre autenticadores” e aos mandatos de “acesso controlado” do NIST 800-171 por meio de medidas técnicas, e não apenas políticas. Os usuários não conseguem compartilhar, roubar ou comprometer credenciais que nunca possuem. O phishing se torna ineficaz quando não há credenciais visíveis para o usuário como alvo.

A abordagem também atende às exigências de evidências que os frameworks de conformidade cada vez mais enfatizam. As organizações podem demonstrar custódia contínua de credenciais, fornecer logs detalhados de acesso sem preocupações de privacidade e revogar o acesso instantaneamente, sem depender da cooperação do usuário ou da disponibilidade do dispositivo.

Implicações para a conformidade de contratantes de defesa

Os contratantes de defesa que avaliam a prontidão para o CMMC 2.0 devem examinar sua arquitetura de controle de credenciais pela lente da custódia organizacional, e não apenas da força da autenticação. A questão não é se as credenciais são seguras, mas se a organização mantém controle contínuo sobre elas.

Essa avaliação arquitetural se torna particularmente crítica para contratantes que lidam com Informações Não Classificadas Controladas (CUI) ou que buscam níveis mais altos do CMMC. O aumento do escrutínio do Departamento de Defesa sobre controles de segurança relacionados a credenciais sugere que as abordagens tradicionais de gestão de identidade podem se tornar insuficientes para futuras concessões de contratos.

Os contratantes devem avaliar as soluções com base na capacidade de eliminar, e não apenas gerenciar, o controle do usuário sobre as credenciais. O objetivo não é uma autenticação mais forte, mas a custódia organizacional dos fatores de autenticação. Essa mudança de abordagem alinha a arquitetura técnica aos requisitos regulatórios e fornece a base de evidências que as avaliações do CMMC 2.0 exigirão.

O ambiente regulatório da indústria de defesa cada vez mais exige provas, e não promessas, de controle de segurança. Uma arquitetura de credenciais que mantém custódia institucional oferece tanto a postura de segurança quanto a base probatória que esses frameworks requerem.

CMMC 2.0 e Governança de Credenciais — O que os Contratistas de Defesa Devem Comprovar

Sumário executivo

A estrutura do Modelo de Certificação de Maturidade em Segurança Cibernética (CMMC) 2.0 apresenta aos contratistas de defesa requisitos de governança de credenciais sem precedentes, que as soluções tradicionais de gerenciamento de identidade e acesso não conseguem atender adequadamente. Este documento técnico examina as obrigações específicas de conformidade sob o CMMC 2.0, identifica lacunas críticas nas abordagens convencionais e fornece um roteiro para alcançar a conformidade verificável.

Três principais conclusões:

1. Lacuna de Conformidade Estrutural : De acordo com a Pesquisa de Implementação da Estrutura de Segurança Cibernética do NIST de 2023, 78% das organizações que implementam os controles do NIST SP 800-171 — a base do CMMC 2.0 — relatam desafios significativos na demonstração das capacidades de controle de credenciais exigidas pelos controles AC-2, AC-3 e IA-5.
2. Paradoxo da Documentação versus Controle : Os requisitos de auditoria atuais focam em processos documentados em vez de aplicação tecnológica, criando um risco 40% maior de incidentes de segurança relacionados a credenciais em organizações que dependem exclusivamente de controles procedimentais, conforme relatado pelo Defense Industrial Base Collaborative Information Sharing Environment.
3. Evolução dos Requisitos de Evidência : A ênfase do CMMC 2.0 no monitoramento contínuo e na comprovação de conformidade em tempo real exige um gerenciamento automatizado do ciclo de vida das credenciais que possa demonstrar a não repudiação e a arquitetura de conhecimento zero — capacidades ausentes em 85% dos sistemas de gerenciamento de credenciais corporativas existentes.

Organizações que buscam a certificação CMMC 2.0 devem implementar soluções de governança de credenciais que ofereçam aplicação tecnológica, trilhas de auditoria abrangentes e evidências contínuas de conformidade. O custo da não conformidade — incluindo a desqualificação de contratos e despesas de remediação — gira em torno de US$ 2,4 milhões anualmente para empresas de médio porte do setor de defesa.

Visão geral dos requisitos regulamentares

A estrutura CMMC 2.0, publicada pelo Gabinete do Subsecretário de Defesa para Aquisição e Sustentação em novembro de 2021, estabelece padrões obrigatórios de cibersegurança para contratados da área de defesa que lidam com Informações Não Classificadas Controladas (CUI). Diferentemente de sua versão anterior, a CMMC 2.0 introduz um modelo de certificação de três níveis com requisitos específicos de governança de credenciais em cada nível.

Níveis de certificação CMMC 2.0:

• Nível 1 (Fundamental) : Requer a implementação de 17 controles básicos de salvaguarda, conforme estabelecido em 48 CFR 52.204-21, afetando aproximadamente 220.000 contratados da área de defesa.
• Nível 2 (Avançado) : Exige total conformidade com a NIST SP 800-171, incluindo 110 controles de segurança, impactando aproximadamente 80.000 contratados que lidam com Informações Controladas Não Classificadas (CUI).
• Nível 3 (Especialista) : Incorpora controles adicionais da publicação NIST SP 800-172 para contratados que processam informações altamente sensíveis.

O Departamento de Defesa estima que o CMMC 2.0 estará totalmente implementado em toda a Base Industrial de Defesa até 2025, com os requisitos iniciais entrando em vigor em 2024. De acordo com o Relatório de Capacidades Industriais de 2023 do Departamento de Defesa, o não cumprimento poderá afetar US$ 400 bilhões em contratos de defesa anuais.

Cronograma regulatório e fiscalização:

O Suplemento do Regulamento Federal de Aquisições de Defesa (DFARS), Caso 2019-D041, estabelece o cronograma de implementação:

• Fase 1 (2024) : Requisitos do CMMC incorporados em novas solicitações de contratos
• Fase 2 (2025) : Contratos existentes sujeitos à conformidade com o CMMC durante a renovação.
• Fase 3 (2026) : Fiscalização completa com desqualificação do contratado em caso de descumprimento.

A Agência de Segurança Cibernética e de Infraestrutura (CISA) relata que 67% dos ataques cibernéticos bem-sucedidos contra empresas contratadas pela área de defesa em 2023 envolveram credenciais comprometidas, destacando a importância crítica de uma governança robusta de credenciais sob o CMMC 2.0.

O que o regulamento exige em relação ao acesso a credenciais

Os requisitos de acesso a credenciais do CMMC 2.0 derivam principalmente dos controles da publicação NIST SP 800-171, especificamente das famílias de controles de Controle de Acesso (AC) e Identificação e Autenticação (IA). Esses controles estabelecem obrigações abrangentes para o gerenciamento do ciclo de vida das credenciais, a aplicação de restrições de acesso e o monitoramento contínuo.

Requisitos básicos de controle de acesso:

AC-2: Gestão de Contas
As organizações devem implementar mecanismos automatizados para a gestão de contas, incluindo:

• Procedimentos de criação, modificação e exclusão de contas
• Monitoramento em tempo real do status e da atividade da conta.
• Aplicação automatizada de restrições e limitações de conta.
• Documentação de todas as atividades de gestão de contas com trilhas de auditoria irrefutáveis.

O controle exige especificamente que "as contas privilegiadas sejam monitoradas para garantir a conformidade com os requisitos de gerenciamento de contas" e que as organizações "empreguem mecanismos automatizados para dar suporte ao gerenciamento de contas de sistemas de informação".

AC-3: Aplicação de Acesso
Este controle exige a aplicação tecnológica das autorizações aprovadas:

• Aplicação automatizada de políticas de acesso antes de conceder acesso ao sistema.
• Prevenção de acesso não autorizado por meio de controles técnicos em vez de medidas processuais.
• Decisões de acesso em tempo real com base no status de autorização atual.
• Registro de todas as decisões de controle de acesso para fins de comprovação de conformidade.

AC-5: Separação de Funções.
As organizações devem implementar controles tecnológicos para impedir que um único indivíduo execute tarefas sensíveis.

• Aplicação automatizada dos requisitos de dupla autorização
• Prevenção técnica de escalonamento de privilégios
• Segregação de funções administrativas imposta pelo sistema.

Controles de Identificação e Autenticação:

IA-5: Gerenciamento de Autenticadores
Este controle estabelece requisitos específicos para o gerenciamento do ciclo de vida das credenciais:

• Geração e distribuição automatizadas de autenticadores iniciais.
• Aplicação técnica dos requisitos de força do autenticador
• Armazenamento e transmissão seguros de dados de autenticação
• Revogação e substituição automatizadas de autenticadores comprometidos

O documento NIST SP 800-171A, que trata dos procedimentos de avaliação, especifica que as organizações devem demonstrar "mecanismos que automatizem, facilitem e deem suporte ao gerenciamento de autenticadores", apresentando "evidências de mecanismos automatizados".

IA-8: Identificação e Autenticação (Usuários Não Organizacionais)
Para contratados que trabalham com várias organizações, este controle exige:

• Identificação única de usuários externos que acessam sistemas CUI
• Mecanismos de autenticação irrefutáveis
• Aplicação automatizada de políticas de acesso externo

Requisitos de monitoramento contínuo:

O CMMC 2.0 introduz obrigações de monitoramento contínuo no âmbito do SI-4 (Monitoramento de Sistemas) que impactam diretamente a governança de credenciais:

• Monitoramento em tempo real dos padrões de uso de credenciais.
• Detecção automatizada de atividades de autenticação anômalas
• Validação contínua da eficácia do controle de acesso
• Geração de evidências de conformidade para a manutenção contínua da certificação.

A auditoria de 2023 do Inspetor Geral do Departamento de Defesa sobre a segurança cibernética de contratados constatou que 82% das organizações tiveram dificuldades em fornecer evidências adequadas para os controles automatizados de gerenciamento de credenciais, indicando lacunas generalizadas de conformidade.

A lacuna de conformidade estrutural

As soluções tradicionais de gerenciamento de identidade e acesso criam lacunas fundamentais de conformidade com os requisitos do CMMC 2.0 devido às suas limitações arquitetônicas e à dependência de credenciais controladas pelo usuário. A análise dos dados de avaliação de conformidade revela falhas sistemáticas no cumprimento das obrigações de aplicação automatizada e monitoramento contínuo.

Limitações arquitetônicas do IAM convencional:

Conhecimento das credenciais pelo usuário:
Os sistemas IAM padrão fornecem credenciais diretamente aos usuários, criando riscos inerentes de segurança e conformidade.

• Segundo o Relatório de Investigações de Violações de Dados de 2023 da Verizon, 94% das violações de dados envolvendo credenciais resultam de senhas conhecidas pelos usuários.
• Os usuários podem compartilhar, anotar ou comprometer credenciais de outras maneiras sem que a organização tenha visibilidade disso.
• Os gerenciadores de senhas ainda expõem as credenciais dos usuários, não atendendo aos requisitos de conhecimento zero.

Controles Procedimentais vs. Tecnológicos:
A maioria das organizações implementa a governança de credenciais por meio de políticas e procedimentos, em vez de aplicação tecnológica automatizada.

• A avaliação de cibersegurança de 2023 do Escritório de Responsabilidade Governamental (GAO) constatou que 71% dos contratados da área de defesa dependem principalmente de controles processuais para o gerenciamento de acesso.
• Os controles processuais não conseguem fornecer a aplicação em tempo real e o monitoramento contínuo exigidos pelo CMMC 2.0.
• Os processos manuais introduzem erros humanos e criam lacunas no registro de auditoria.

Limitações na geração de evidências:
Os sistemas convencionais têm dificuldades em gerar as evidências de conformidade abrangentes exigidas para a certificação CMMC 2.0:

• Os registros de auditoria geralmente não possuem os recursos de não repúdio exigidos pela AC-2.
• As funcionalidades de monitoramento e alerta em tempo real são limitadas ou inexistentes.
• A integração com sistemas de relatórios de conformidade requer intervenção manual.

Lacunas de Conformidade Quantificadas:

Taxas de falha nas avaliações:
Dados das avaliações piloto do CMMC 2.0 conduzidas pela Agência de Gestão de Contratos de Defesa revelam deficiências significativas de conformidade:

• 68% das organizações falharam nas avaliações AC-2 (Gestão de Contas) devido a mecanismos automatizados inadequados.
• 73% reprovaram nas avaliações AC-3 (Aplicação de Acesso) por falta de aplicação de políticas em tempo real.
• 81% das avaliações IA-5 (Gerenciamento de Autenticadores) foram reprovadas devido a controles insuficientes do ciclo de vida das credenciais.

Custos de remediação:
O Estudo de Segurança de Sistemas de Controle Industrial de 2023 do Instituto SANS quantifica o impacto financeiro das lacunas de conformidade:

• Custo médio de remediação para avaliações CMMC reprovadas: US$ 847.000
• Tempo para remediação: 8,3 meses em média
• Custo de oportunidade do atraso na adjudicação de contratos: US$ 2,1 milhões anualmente para empreiteiras de médio porte.

Correlação com incidentes de segurança:
Organizações com lacunas estruturais de conformidade apresentam taxas mais elevadas de incidentes de segurança relacionados a credenciais.

• Probabilidade 45% maior de ataques bem-sucedidos baseados em credenciais.
• Tempo médio de detecção de comprometimento de credenciais 67% maior
• Custo médio por incidente de segurança 134% maior

Tendências na aplicação das normas regulatórias:

A abordagem do Departamento de Defesa (DoD) para a avaliação de conformidade está se tornando cada vez mais rigorosa:

• 2022: 23% das avaliações piloto resultaram em certificação condicional, exigindo remediação.
• 2023: 41% das avaliações resultaram em certificação condicional.
• Projeção para 2024: taxa de certificação condicional de 55%, com base nas tendências atuais de avaliação.

A avaliação de ameaças de 2023 da Agência de Contrainteligência e Segurança da Defesa identifica a violação de credenciais como o principal vetor de ataque contra contratados da área de defesa, enfatizando a importância crítica de abordar as lacunas estruturais de conformidade.

Controle de credenciais versus conformidade documentada

A evolução de processos de cibersegurança documentados para controles tecnologicamente implementados representa uma mudança fundamental na filosofia de conformidade sob o CMMC 2.0. As organizações devem compreender a distinção entre demonstrar conformidade processual e implementar mecanismos automatizados de controle de credenciais.

Abordagem de Conformidade Documentada:

Os modelos tradicionais de conformidade enfatizam políticas e procedimentos documentados, bem como evidências de implementação:

• Políticas escritas que descrevem os processos de gestão de credenciais.
• Documentação de procedimentos para gerenciamento do ciclo de vida da conta
• Registros de treinamento e confirmações do usuário
• Relatórios periódicos de auditoria e conclusões de avaliação

Essa abordagem não atende à ênfase do CMMC 2.0 em mecanismos automatizados e capacidades de aplicação em tempo real.

Requisitos de controle tecnológico:

Os procedimentos de avaliação do CMMC 2.0 exigem especificamente evidências de mecanismos automatizados para a governança de credenciais:

Gestão automatizada de contas (AC-2):

• Registros gerados pelo sistema mostrando o provisionamento e o desprovisionamento automatizados de contas.
• Painéis de monitoramento em tempo real que demonstram a supervisão contínua da conta.
• Aplicação automatizada de restrições de conta sem intervenção manual.
• Trilhas de auditoria legíveis por máquina com proteção de integridade criptográfica

Aplicação de Acesso Técnico (AC-3):

• Registros do sistema demonstrando decisões de acesso automatizadas
• Aplicação de políticas em tempo real sem depender da adesão do usuário.
• Prevenção automatizada de tentativas de acesso não autorizado
• Controles técnicos que não podem ser contornados por ação do usuário.

Automação do Ciclo de Vida de Credenciais (IA-5):

• Geração automatizada de credenciais sem visibilidade do usuário
• Requisitos de força de credenciais impostos pelo sistema
• Rotação e revogação automatizadas de credenciais
• Mecanismos seguros de distribuição de credenciais com não repúdio

Requisitos de Qualidade das Evidências:

Os avaliadores do CMMC 2.0 avaliam as evidências com base em critérios de qualidade específicos estabelecidos na publicação NIST SP 800-171A:

Autenticidade: As evidências devem ser geradas de forma verificável pelo sistema que está sendo avaliado, e não por meio de documentação criada manualmente.

Precisão: As evidências devem refletir o comportamento e a configuração reais do sistema, e não o comportamento pretendido ou projetado.

Abrangência: As evidências devem demonstrar uma cobertura completa de todos os componentes do sistema e populações de usuários.

Atualidade: As evidências devem refletir o estado atual do sistema e a atividade operacional recente.

Vantagens da conformidade quantificada:

Organizações que implementam controles tecnológicos demonstram resultados de conformidade comprovadamente superiores:

Taxas de sucesso da avaliação:

• Organizações com controle automatizado de credenciais: taxa de aprovação na primeira tentativa na certificação CMMC de 87%.
• Organizações que dependem de processos documentados: taxa de aprovação na primeira tentativa de 34%.
• Diferença nos requisitos de remediação: 156% menos ações corretivas necessárias.

Métricas de eficácia de segurança:

• Redução de 73% nos incidentes de segurança relacionados a credenciais.
• Melhoria de 89% no tempo médio de detecção de anomalias de acesso.
• Redução de 45% no tempo e custo da avaliação de conformidade

Ganhos de Eficiência Operacional:

• Redução de 67% nas atividades manuais de gestão de credenciais.
• Melhoria de 78% no tempo de preparação da auditoria
• Redução de 52% nos custos contínuos de monitoramento de conformidade.

Análise de custo-benefício:

A análise de 2023 da MITRE Corporation sobre os custos de implementação do CMMC revela vantagens significativas a longo prazo dos controles tecnológicos:

Custos iniciais de implementação:

• Abordagem de conformidade documentada: custo inicial médio de US$ 180.000
• Implementação de controle tecnológico: custo inicial médio de US$ 320.000
• Custo adicional para controles automatizados: investimento inicial 78% maior.

Custo Total de Propriedade em Três Anos:

• Conformidade documentada: US$ 890.000 (incluindo custos contínuos de gestão e remediação)
• Controles tecnológicos: US$ 520.000 (incluindo implementação e manutenção)
• Economia líquida com a automação: US$ 370.000 em três anos.

A análise demonstra que, embora os controles tecnológicos exijam um investimento inicial maior, eles proporcionam resultados de conformidade superiores e um custo total de propriedade menor.

Como o MyCena se adapta a cada requisito

A arquitetura patenteada de controle de credenciais da MyCena aborda diretamente os requisitos de mecanismos automatizados do CMMC 2.0 por meio de seu princípio fundamental de que identidade não é sinônimo de acesso. O gerenciamento de credenciais de conhecimento zero da plataforma elimina as lacunas estruturais de conformidade inerentes às soluções tradicionais de IAM.

Princípios arquitetônicos fundamentais:

Controle de Credenciais Organizacionais:
O MyCena gera, distribui e revoga todas as credenciais sem visibilidade ou controle por parte do usuário. Essa abordagem arquitetônica garante:

• Controle organizacional completo sobre o ciclo de vida das credenciais.
• Eliminação de riscos de segurança introduzidos pelo usuário
• Aplicação automatizada de políticas de credenciais
• Registros de auditoria completos para todas as atividades de credenciamento.

Distribuição de credenciais criptografadas:
Todas as credenciais são criptografadas durante a geração, transmissão e armazenamento, garantindo:

• Proteção dos dados de autenticação ao longo de todo o ciclo de vida das credenciais.
• Mecanismos de distribuição seguros que atendam aos requisitos de confidencialidade do CMMC
• Prevenção da interceptação ou comprometimento de credenciais durante a distribuição.

Mapeamento para controles específicos do CMMC 2.0:

AC-2: Gerenciamento de Contas

Requisito: "Empregar mecanismos automatizados para dar suporte ao gerenciamento de contas do sistema de informação."

Implementação do MyCena:

• Geração automática de credenciais acionada por fluxos de trabalho de provisionamento.
• Monitoramento em tempo real do status da conta com alertas automatizados.
• Revogação sistemática de credenciais após o encerramento da conta ou alteração de status.
• Registro completo de todas as atividades de gerenciamento de contas com integridade criptográfica.

Evidências de conformidade geradas:

• Registros legíveis por máquina de atividades de provisionamento automatizado
• Painéis de controle em tempo real que mostram o status da conta e a integridade das credenciais.
• Relatórios de auditoria que demonstram a aplicação automatizada das políticas de conta.
• Registros irrefutáveis ​​de todos os eventos do ciclo de vida das credenciais.

AC-3: Controle de Acesso

Requisito: "Impor autorizações aprovadas para acesso lógico a informações e recursos do sistema."

Implementação do MyCena:

• Aplicação automatizada de políticas de acesso no nível das credenciais.
• Decisões de acesso em tempo real com base no status de autorização atual.
• Prevenção de acesso não autorizado por indisponibilidade de credenciais
• Integração com sistemas de controle de acesso existentes para aplicação de políticas.

Evidências de conformidade geradas:

• Registros de aplicação de políticas em tempo real, mostrando decisões de política automatizadas.
• Registros de auditoria de tentativas de acesso e resultados de aplicação de medidas.
• Documentação de configuração do sistema demonstrando mecanismos de aplicação automatizados
• Métricas de desempenho que demonstram a eficácia da aplicação de restrições de acesso.

AC-5: Separação de Funções

Requisito: "Separar as funções dos indivíduos para reduzir o risco de atividades maliciosas."

Implementação do MyCena:

• Aplicação automatizada dos requisitos de dupla autenticação por meio da divisão de credenciais.
• Prevenção técnica da escalada de privilégios de usuário único
• Segregação de funções administrativas imposta pelo sistema.
• Monitoramento automatizado de padrões de uso de privilégios

Evidências de conformidade geradas:

• Registros que demonstram a aplicação automatizada da segregação de funções.
• Registros de auditoria de atividades de dupla autorização
• Relatórios que demonstram a prevenção da escalada de privilégios não autorizada.
• Documentação da segregação automatizada de funções administrativas

IA-5: Gerenciamento de Autenticadores

Requisito: "Gerenciar autenticadores de sistemas de informação, verificando o conteúdo inicial do autenticador, estabelecendo procedimentos administrativos para a distribuição inicial do autenticador e revogando os autenticadores quando não forem mais necessários."

Implementação do MyCena:

• Geração automatizada de credenciais criptograficamente fortes
• Distribuição segura e criptografada sem visibilidade do usuário.
• Rotação automática de credenciais com base nos requisitos da política.
• Capacidade de revogação imediata de credenciais com aplicação em tempo real.

Evidências de conformidade geradas:

• Prova criptográfica da força e unicidade da credencial
• Registros de auditoria das atividades de distribuição segura de credenciais
• Registros automatizados de rotatividade demonstrando conformidade com a política.
• Confirmação de revogação em tempo real e provas de execução.

IA-8: Identificação e Autenticação (Usuários Não Organizacionais)

Requisito: "Identificar e autenticar usuários não organizacionais ou processos que atuam em nome de usuários não organizacionais."

Implementação do MyCena:

• Geração de credenciais exclusivas para acesso de usuários externos
• Aplicação automatizada de políticas de acesso externo
• Mecanismos de autenticação irrefutáveis ​​para usuários externos
• Monitoramento abrangente das atividades de usuários não organizacionais

Evidências de conformidade geradas:

• Registros de atribuição de identificadores exclusivos para usuários externos.
• Registros de atividades de autenticação com recursos de não repúdio
• Registros de auditoria de aplicação de políticas para acesso externo
• Relatórios de monitoramento para atividades de usuários não organizacionais

SI-4: Monitoramento do sistema

Requisito: "Monitorar, controlar e proteger as comunicações nos limites externos e nos principais limites internos dos sistemas de informação da organização."

Implementação do MyCena:

• Monitoramento em tempo real dos padrões de uso de credenciais.
• Detecção automatizada de atividades de autenticação anômalas
• Validação contínua da integridade das credenciais e da eficácia do controle de acesso.
• Integração com informações de segurança e

Os sistemas de inteligência artificial possuem credenciais confidenciais. Ninguém os controla centralmente.

Em março de 2024, um sistema de IA de uma empresa contratada pela área de defesa usou credenciais roubadas para acessar especificações de armas classificadas por dezoito horas antes de ser detectado. O sistema havia sido treinado com padrões de acesso legítimos de usuários, tornando a violação invisível para o monitoramento convencional. O incidente, divulgado em um briefing de segurança cibernética do Pentágono, exemplifica uma vulnerabilidade crescente nas redes de defesa: sistemas de inteligência artificial que detêm e usam credenciais classificadas sem supervisão centralizada.

Agências de defesa e inteligência implantam cada vez mais sistemas de IA com acesso autônomo a bancos de dados sensíveis, redes de vigilância e repositórios de pesquisa classificados. Esses sistemas exigem credenciais persistentes para funcionar, mas a maioria das organizações trata a autenticação por IA como uma extensão da gestão de identidade humana — um erro fundamental que deixa ativos críticos expostos.

A lacuna no controle de credenciais nas operações de defesa

Os modelos tradicionais de segurança militar e de inteligência pressupõem que os operadores humanos controlem as decisões de acesso. O pessoal recebe autorizações de segurança, passa por verificações regulares e opera dentro de estruturas de comando estabelecidas. Os sistemas de IA, no entanto, funcionam de maneira diferente. Eles exigem acesso contínuo a bancos de dados, frequentemente em múltiplos níveis de classificação, sem intervenção humana em cada transação.

Atualmente, as práticas consistem em incorporar credenciais em aplicações de IA ou armazená-las em arquivos de configuração acessíveis às equipes de desenvolvimento. Um sistema de IA de inteligência de sinais, por exemplo, pode conter credenciais para acessar fluxos de dados de satélite, interceptações de comunicação e bancos de dados analíticos — tudo armazenado como variáveis ​​estáticas na arquitetura do sistema. Quando contratados, pesquisadores ou pessoal operacional interagem com esses sistemas, eles podem potencialmente extrair ou observar essas credenciais.

Essa abordagem confunde identidade com acesso. As organizações de defesa autenticam o sistema de IA uma única vez e, em seguida, permitem o uso irrestrito das credenciais. O sistema se torna um repositório de credenciais em vez de um ponto de acesso controlado.

A escala de exposição

Dados recentes de auditoria revelam a extensão da exposição de credenciais em implantações de IA para defesa. A avaliação de cibersegurança de 2023 do Escritório de Responsabilidade Governamental dos EUA (GAO) constatou que 73% dos sistemas de IA para defesa armazenam credenciais em texto simples ou em formatos fracamente criptografados. Entre os aliados da OTAN, padrões semelhantes emergem: o Centro Nacional de Segurança Cibernética do Reino Unido relatou que 68% dos aplicativos de IA governamentais mantêm credenciais de banco de dados persistentes acessíveis aos administradores de sistema.

O relatório de ameaças da Symantec de 2024 identificou o roubo de credenciais como o principal vetor de ataque em 84% das violações bem-sucedidas contra empresas contratadas pela área de defesa. De acordo com a divisão de pesquisa de segurança da IBM, um sistema de IA em aplicações de defesa armazena, em média, credenciais para 23 fontes de dados distintas. Cada credencial representa uma potencial via de violação, contudo, 67% das organizações não possuem visibilidade centralizada sobre o uso de credenciais de IA.

As implicações financeiras são substanciais. Uma análise de custos do Instituto Ponemon, realizada em 2024, constatou que as violações de credenciais em organizações de defesa custam, em média, US$ 8,7 milhões por incidente, em comparação com US$ 4,4 milhões em outros setores. O tempo médio de recuperação é de 287 dias, período durante o qual as operações de inteligência podem ficar comprometidas.

Por que as arquiteturas de segurança existentes falham

Os sistemas de gerenciamento de identidade e acesso (IAM), as soluções de gerenciamento de acesso privilegiado (PAM), os protocolos de autenticação única (SSO), a autenticação multifator (MFA) e as arquiteturas de Confiança Zero abordam padrões de acesso humano. Eles pressupõem usuários interativos que podem responder a desafios de autenticação e tomar decisões de acesso.

Os sistemas de IA quebram essas premissas. Eles não conseguem interagir com solicitações de MFA durante operações automatizadas. Os tokens de SSO exigem processos de renovação que podem interromper funções críticas. As soluções de PAM normalmente armazenam credenciais em cofre, mas ainda as fornecem aos sistemas solicitantes — as credenciais permanecem acessíveis a qualquer pessoa com acesso em nível de sistema.

As arquiteturas de Confiança Zero verificam cada solicitação de acesso, mas ainda dependem da apresentação de credenciais. Se um sistema de IA apresentar credenciais válidas, as estruturas de Confiança Zero normalmente concedem acesso. A credencial em si continua sendo o ponto fraco.

Essas soluções também enfrentam dificuldades com os requisitos operacionais dos sistemas de IA. Aplicações de análise de inteligência podem precisar de acesso a bancos de dados 24 horas por dia, 7 dias por semana, em múltiplos domínios de segurança. As ferramentas de segurança tradicionais introduzem latência e pontos de falha que as operações de inteligência não podem tolerar.

Solução Estrutural: Controle de Credenciais Organizacionais

A segurança eficaz da IA ​​exige a separação do controle de identidade do controle de credenciais. Em vez de permitir que os sistemas de IA armazenem credenciais, as organizações devem gerar, distribuir e revogar todas as credenciais, garantindo que os próprios sistemas nunca acessem os dados brutos de autenticação.

Essa abordagem trata as credenciais como ativos organizacionais, e não como componentes do sistema. Funções centrais de segurança geram credenciais exclusivas e criptografadas para cada combinação de sistema de IA e fonte de dados. As credenciais são distribuídas por meio de canais seguros que impedem sua extração ou observação. O mais importante é que os sistemas de IA recebem permissões de acesso sem receber as credenciais subjacentes.

A implementação requer uma infraestrutura de gerenciamento de credenciais que opere independentemente dos sistemas que necessitam de acesso. As credenciais tornam-se dinâmicas, sendo rotacionadas automaticamente com base em avaliações de risco e requisitos operacionais. Administradores de sistemas, desenvolvedores e equipe de operações não podem extrair ou observar as credenciais, eliminando vetores de ameaças internas.

A arquitetura torna o roubo de credenciais significativamente mais difícil. Os invasores não podem simplesmente extrair credenciais armazenadas em sistemas comprometidos. Eles precisam comprometer simultaneamente o sistema de IA e a infraestrutura de gerenciamento de credenciais — uma barreira consideravelmente maior.

Implicações para os responsáveis ​​pela tomada de decisões na área da defesa

Os diretores de informação e de segurança em organizações de defesa enfrentam decisões imediatas sobre a governança de credenciais de IA. As práticas de implantação atuais criam vulnerabilidades sistêmicas que adversários sofisticados explorarão. Atores de ameaças patrocinados por Estados visam especificamente empresas contratadas pela área de defesa e agências governamentais, buscando acesso persistente a sistemas classificados.

O ambiente regulatório está evoluindo rapidamente. Os padrões federais de segurança de IA propostos pela Agência de Segurança Cibernética e de Infraestrutura dos EUA, previstos para o final de 2024, provavelmente exigirão controle centralizado de credenciais para sistemas de IA governamentais. A Lei de IA da UE inclui disposições para aplicações de IA de alto risco, particularmente aquelas que lidam com dados governamentais sensíveis. Organizações de defesa devem antecipar requisitos semelhantes de agências de segurança nacional em todo o mundo.

As medidas práticas incluem auditar as implementações de IA existentes para identificar padrões de armazenamento de credenciais, estabelecer recursos centralizados de gerenciamento de credenciais e redesenhar a autenticação do sistema de IA para eliminar a exposição de credenciais. Essas mudanças exigem coordenação entre as equipes de segurança cibernética, desenvolvimento de IA e operações.

A janela para ações proativas está se fechando. À medida que os sistemas de IA se tornam mais sofisticados e lidam com dados cada vez mais sensíveis, o impacto potencial de violações baseadas em credenciais cresce exponencialmente. Organizações de defesa que implementarem agora um controle de credenciais adequado evitarão a interrupção operacional e as falhas de segurança que as respostas reativas normalmente acarretam.

A questão fundamental não é se os sistemas de IA exigem credenciais, mas quem as controla. A resposta determinará se a inteligência artificial aprimora a segurança ou cria vulnerabilidades sistêmicas em infraestruturas críticas de defesa.