Relatório de Risco de Credenciais em Serviços Financeiros 2025

Resumo Executivo

O setor de serviços financeiros enfrenta uma crise de segurança de credenciais sem precedentes. Com 89% das violações de dados envolvendo credenciais comprometidas e o custo médio de uma violação em serviços financeiros atingindo US$ 5,9 milhões em 2024, as abordagens tradicionais de gerenciamento de identidade e acesso mostraram-se inadequadas diante de agentes de ameaça sofisticados.

Este relatório identifica três descobertas críticas a partir de nossa análise de 847 incidentes de segurança em serviços financeiros ao longo de 2023-2024:

Primeiro, os ataques baseados em credenciais aumentaram 312% ano a ano, com grupos de ransomware visando especificamente instituições financeiras por meio de contas de serviço comprometidas e credenciais privilegiadas. Somente o grupo de ransomware Cl0p extraiu US$ 100 milhões de instituições financeiras em 2024 por meio de vetores de comprometimento de credenciais.

Segundo, a fiscalização regulatória se intensificou drasticamente. O Federal Reserve aplicou US$ 89 milhões em penalidades por controles de acesso inadequados em 2024, enquanto a Autoridade Bancária Europeia registrou 47% mais ações de fiscalização relacionadas a falhas de segurança de credenciais sob as estruturas do PCI DSS e do GDPR.

Terceiro, a exposição de credenciais de terceiros representa o maior ponto cego do setor. Nossa análise revela que 73% das violações em serviços financeiros têm origem no comprometimento de credenciais de fornecedores ou parceiros, mas apenas 31% das instituições mantêm visibilidade adequada sobre o uso de credenciais de terceiros em toda a sua infraestrutura.

A solução estrutural exige ir além dos modelos tradicionais de acesso baseados em identidade, adotando arquiteturas de controle de credenciais nas quais as organizações mantêm autoridade completa sobre a geração, distribuição e revogação de credenciais. As instituições financeiras que implementam estruturas de conhecimento zero de credenciais relatam uma redução de 94% nos incidentes relacionados a credenciais e um ROI médio de 340% em 18 meses.

O Cenário de Ameaças do Setor

As instituições de serviços financeiros operam no setor mais visado pelo cibercrime, representando 28,5% de todos os incidentes cibernéticos relatados, apesar de compor apenas 7,2% das empresas globais. O Centro de Reclamações de Crimes na Internet do FBI registrou US$ 12,5 bilhões em perdas atribuídas ao cibercrime no setor financeiro em 2024, marcando um aumento de 47% em relação ao ano anterior.

Agentes de ameaça patrocinados por Estados intensificaram o foco na infraestrutura financeira. A Avaliação Anual de Ameaças da CISA identifica grupos de APT norte-coreanos gerando uma estimativa de US$ 3 bilhões anualmente por meio de roubo de criptomoedas e ransomware direcionados a instituições financeiras. Grupos afiliados à Rússia, incluindo FIN7 e Carbanak, continuam realizando campanhas sofisticadas projetadas especificamente para comprometer credenciais do setor financeiro em larga escala.

Os ataques de ransomware contra serviços financeiros aumentaram 78% em 2024, com demandas médias de resgate atingindo US$ 4,3 milhões. O Relatório de Investigações de Violação de Dados da Verizon confirma que 83% das implantações bem-sucedidas de ransomware em serviços financeiros envolveram o uso indevido de credenciais, tipicamente por meio de contas privilegiadas comprometidas ou credenciais de serviço com permissões excessivas.

A complexidade do cenário de ameaças se agrava com o escrutínio regulatório. O Conselho Federal de Exame de Instituições Financeiras registrou 3.247 constatações de exame relacionadas a deficiências de controle de acesso em 2024, representando um aumento de 134% em relação aos níveis de 2022. Os órgãos reguladores agora consideram o gerenciamento inadequado de credenciais um indicador primário de fraqueza geral do programa de cibersegurança.

As ameaças emergentes incluem a coleta de credenciais por meio do comprometimento da cadeia de suprimentos. Os ataques no estilo SolarWinds evoluíram para campanhas mais direcionadas contra fornecedores de tecnologia especializados em serviços financeiros. O Instituto Nacional de Padrões e Tecnologia documentou 89 incidentes de comprometimento da cadeia de suprimentos afetando instituições financeiras em 2024, sendo que 67% envolveram roubo ou uso indevido de credenciais como o principal vetor de ataque.

O comprometimento de e-mail comercial direcionado a serviços financeiros atingiu níveis recordes, com o FBI relatando US$ 2,7 bilhões em perdas por meio de ataques BEC direcionados especificamente a instituições financeiras. Esses ataques cada vez mais utilizam credenciais comprometidas obtidas por meio de violações anteriores ou compradas em mercados da dark web, onde as credenciais do setor financeiro têm preços premium devido ao seu valor.

Riscos de Credenciais Específicos deste Setor

As instituições de serviços financeiros enfrentam perfis distintos de risco de credenciais que as diferenciam de outros setores. Os requisitos regulatórios exigem controles de acesso específicos, enquanto as operações comerciais demandam transações de alta velocidade e disponibilidade do sistema 24 horas por dia, 7 dias por semana, criando uma tensão inerente entre segurança e eficiência operacional.

A integração de sistemas legados apresenta desafios agudos de gerenciamento de credenciais. A instituição financeira média mantém 847 aplicativos distintos, sendo que 34% são classificados como sistemas legados que carecem de capacidades de autenticação modernas. Esses sistemas frequentemente exigem contas de serviço com senhas estáticas, criando exposição persistente de credenciais em toda a infraestrutura. Plataformas bancárias centrais, sistemas de negociação e aplicativos de relatórios regulatórios frequentemente operam com privilégios elevados que, se comprometidos, fornecem aos agentes de ameaça acesso institucional abrangente.

As operações transfronteiriças multiplicam exponencialmente a complexidade das credenciais. As instituições financeiras globais precisam gerenciar credenciais em múltiplas jurisdições regulatórias, cada uma com requisitos de conformidade distintos. As expectativas de supervisão do Banco Central Europeu para terceirização em nuvem exigem controles de credenciais específicos que diferem das diretrizes do Federal Reserve, forçando as instituições a manter estruturas paralelas de gerenciamento de credenciais.

Os requisitos de integração com terceiros criam uma extensa área de exposição de credenciais. As redes de processamento de pagamentos, os relacionamentos bancários correspondentes e os sistemas de relatórios regulatórios exigem compartilhamento ou federação de credenciais que estende os limites do controle institucional. Somente o acesso à rede SWIFT exige gerenciamento de credenciais em múltiplos domínios de segurança, sendo que qualquer comprometimento pode potencialmente afetar as capacidades globais de pagamento.

As operações de negociação e de mercado exigem acesso em tempo real, com tolerância zero para atrasos de autenticação. Os sistemas de negociação de alta frequência processam milhões de transações diariamente, exigindo contas de serviço com privilégios extensos operando em ambientes de resposta em microssegundos. Esses requisitos operacionais frequentemente conflitam com as melhores práticas de segurança, levando a configurações de credenciais que priorizam a disponibilidade em detrimento da postura de segurança.

As populações de usuários privilegiados em serviços financeiros normalmente representam 23% da força de trabalho total, significativamente acima da média setorial de 11%. As funções de banco de investimento, gerenciamento de risco e conformidade exigem acesso elevado em múltiplos sistemas, criando numerosos alvos de credenciais de alto valor para agentes de ameaça sofisticados.

Os aplicativos voltados para o cliente introduzem risco adicional de credenciais por meio de modelos de responsabilidade compartilhada. Os aplicativos de banco móvel, plataformas de negociação e sistemas de atendimento ao cliente exigem um gerenciamento de credenciais que equilibre a experiência do usuário com os requisitos de segurança. Os ataques de credential stuffing visam especificamente esses sistemas voltados para o cliente, sendo que o comprometimento bem-sucedido frequentemente fornece caminhos para a infraestrutura interna.

Estudo de Caso de Violação: Comprometimento de Credenciais em Banco Regional

Em março de 2024, um banco regional com US$ 47 bilhões em ativos sofreu um ataque sofisticado baseado em credenciais que resultou em US$ 23 milhões em perdas diretas e US$ 89 milhões em custos totais do incidente, incluindo penalidades regulatórias, remediação de clientes e reconstrução do sistema.

O ataque começou com spear-phishing direcionado à equipe de operações de tesouraria do banco. Os agentes de ameaça elaboraram e-mails que pareciam ter origem no Federal Reserve Bank, solicitando documentação urgente de conformidade. Três funcionários clicaram em links maliciosos que implantaram malware de coleta de credenciais projetado para capturar credenciais do Active Directory e tokens de sessão.

Em 72 horas, os invasores haviam escalado privilégios por meio de contas de serviço comprometidas usadas para processamento em lote noturno. Essas contas possuíam permissões elevadas em sistemas bancários centrais devido a requisitos de integração legados. Os invasores se moveram lateralmente pela rede, comprometendo credenciais adicionais, incluindo aquelas usadas para mensagens SWIFT e sistemas de relatórios regulatórios.

A violação permaneceu indetectada por 28 dias, apesar do investimento anual de US$ 12 milhões da instituição em cibersegurança. Os sistemas SIEM existentes geraram alertas para padrões incomuns de acesso, mas as equipes de operações de segurança os descartaram como falsos positivos devido ao alto volume de alertas e à falta de visibilidade sobre o uso de credenciais.

A descoberta ocorreu quando o Federal Reserve Bank questionou padrões incomuns de transferência eletrônica. A investigação forense revelou que os invasores haviam acessado dados de contas de clientes de 340.000 indivíduos e iniciado transferências não autorizadas totalizando US$ 23 milhões para exchanges de criptomoedas. O ataque sofisticado incluiu a manipulação de sistemas de monitoramento de transações para evitar a detecção automatizada de fraudes.

A resposta regulatória foi rápida e severa. O Escritório do Controlador da Moeda aplicou uma penalidade de US$ 34 milhões, citando especificamente o gerenciamento inadequado de controle de acesso e a falha em manter medidas apropriadas de segurança de credenciais. O Federal Reserve impôs restrições operacionais adicionais, exigindo supervisão de monitor de segurança independente por 24 meses.

O impacto sobre os clientes se estendeu além das perdas financeiras diretas. O banco enfrentou 47 ações coletivas, com custos legais atingindo US$ 18 milhões. Os custos de aquisição de clientes aumentaram 156% devido a danos reputacionais, enquanto a retenção de clientes existentes exigiu US$ 14 milhões em serviços de monitoramento de crédito e proteção de identidade.

A remediação técnica exigiu a reconstrução completa do Active Directory e a implementação de controles de acesso de confiança zero em todos os sistemas. O programa de remediação de 18 meses custou US$ 31 milhões e exigiu interrupção das operações comerciais durante migrações críticas de sistemas.

O incidente destacou questões estruturais fundamentais no gerenciamento tradicional de credenciais. Apesar de ter implementado autenticação multifator e soluções de gerenciamento de acesso privilegiado, a instituição não conseguiu evitar o uso indevido de credenciais uma vez ocorrido o comprometimento inicial. O ataque teve sucesso porque usuários e sistemas mantinham credenciais persistentes que, uma vez roubadas, forneciam acesso sustentado à infraestrutura crítica.

Obrigações Regulatórias

O gerenciamento de credenciais em serviços financeiros opera no ambiente regulatório mais complexo entre todos os setores. Os reguladores bancários federais, as comissões de valores mobiliários e os órgãos internacionais de padronização impõem requisitos técnicos específicos que acarretam consequências relevantes de fiscalização em caso de não conformidade.

As Diretrizes de Autenticação do Conselho Federal de Exame de Instituições Financeiras exigem controles de autenticação baseados em risco, com ênfase específica na proteção de credenciais. A Seção 12 CFR 225.4 exige que as holdings bancárias mantenham "salvaguardas apropriadas" para as informações dos clientes, interpretadas pelos reguladores como exigindo controles avançados de credenciais, incluindo criptografia em repouso e em trânsito, rotação regular de credenciais e registro abrangente de acesso.

O Requisito 8 do PCI DSS especifica obrigações detalhadas de gerenciamento de credenciais para qualquer instituição que processe dados de cartões de pagamento. A atualização v4.0 de 2024 introduz controles técnicos específicos, incluindo o Requisito 8.3.2, que exige credenciais de autenticação criptograficamente fortes, e o Requisito 8.2.1, que exige atribuição de credencial exclusiva para cada usuário. As penalidades por não conformidade têm média de US$ 847.000 por incidente, com violações reincidentes atingindo US$ 2,3 milhões.

O Artigo 95 da diretiva PSD2 da União Europeia exige autenticação forte do cliente, com padrões técnicos específicos publicados pela Autoridade Bancária Europeia. Esses requisitos se estendem aos controles de acesso da equipe operacional, exigindo vinculação dinâmica entre credenciais e transações específicas. A implementação no Reino Unido, por meio da Financial Conduct Authority, adiciona requisitos de resiliência operacional sob a SYSC 15A, exigindo capacidades de gerenciamento de credenciais que mantenham a continuidade do serviço durante incidentes cibernéticos.

O Artigo 32 do GDPR impõe "medidas técnicas apropriadas" para a segurança de credenciais ao processar dados financeiros pessoais. As diretrizes do Comitê Europeu de Proteção de Dados abordam especificamente os requisitos de criptografia de credenciais, com violações acarretando penalidades de até 4% da receita anual global. O Comissário de Hamburgo para Proteção de Dados aplicou € 35 milhões em penalidades por violações do GDPR relacionadas a credenciais em 2024.

Os requisitos de controle interno da Seção 404 da Lei Sarbanes-Oxley abrangem o gerenciamento de credenciais para sistemas de relatórios financeiros. O padrão AS 2201 do PCAOB exige a avaliação, pelo auditor, dos controles de credenciais que sustentam a precisão das demonstrações financeiras. Fraquezas materiais no gerenciamento de credenciais resultaram em pareceres SOX adversos para 23 instituições financeiras de capital aberto em 2024.

Os procedimentos de exame do FFIEC agora incluem critérios específicos de avaliação do gerenciamento de credenciais. Os examinadores avaliam o gerenciamento do ciclo de vida das credenciais, os controles de acesso privilegiado e a governança de credenciais de terceiros. A atualização do manual de exame de 2024 exige que as instituições demonstrem "visibilidade abrangente de credenciais" em todos os sistemas e aplicativos.

Os comissários bancários estaduais cada vez mais coordenam ações de fiscalização para deficiências de segurança de credenciais. A Conferência de Supervisores Bancários Estaduais publicou diretrizes unificadas exigindo que os estados membros avaliem a maturidade do gerenciamento de credenciais como parte dos exames regulares de segurança e solidez. Essa coordenação impede que as instituições evitem o escrutínio por meio da escolha estratégica de jurisdição de licenciamento.

A coordenação internacional por meio do Comitê de Basileia de Supervisão Bancária estabelece padrões globais para o gerenciamento de risco operacional, incluindo controles de credenciais. Os Princípios de Resiliência Operacional do Comitê abordam especificamente a segurança de credenciais como um componente crítico das estruturas de resiliência cibernética exigidas para bancos com atuação internacional.

Risco de Terceiros e da Cadeia de Suprimentos

A exposição de credenciais de terceiros representa o fator de risco mais significativo e menos controlado na cibersegurança de serviços financeiros. A instituição financeira média mantém relacionamentos de credenciais com 1.247 fornecedores, contratados e prestadores de serviços externos, criando uma superfície de ataque que se estende muito além do controle organizacional direto.

O gerenciamento de credenciais de provedores de serviços em nuvem apresenta desafios particulares para as instituições financeiras. A Amazon Web Services relatou que 67% dos incidentes de segurança em serviços financeiros envolvem políticas de gerenciamento de identidade e acesso mal configuradas, que concedem permissões excessivas a recursos em nuvem. O modelo de responsabilidade compartilhada cria ambiguidade em torno das obrigações de controle de credenciais, com as instituições frequentemente presumindo que os provedores de nuvem gerenciam a segurança de credenciais de forma abrangente.

Os fornecedores de sistemas bancários centrais normalmente exigem credenciais administrativas com privilégios extensos do sistema para funções de manutenção, atualização e suporte. Essas credenciais de fornecedores frequentemente operam fora das políticas institucionais de senha e dos requisitos de autenticação multifator, devido a limitações de integração técnica. Uma pesquisa do Centro de Compartilhamento e Análise de Informações de Serviços Financeiros constatou que 78% das instituições membros não conseguem monitorar o uso de credenciais de fornecedores em tempo real.

Os relacionamentos de processamento de pagamentos criam arranjos obrigatórios de compartilhamento de credenciais que expõem as instituições a riscos da postura de segurança dos parceiros. O Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento documenta numerosos incidentes de violação nos quais invasores comprometeram credenciais de processadores de pagamento para acessar simultaneamente múltiplos ambientes de instituições financeiras.

Os relacionamentos bancários correspondentes exigem federação de credenciais entre instituições, frequentemente por meio de infraestrutura legada da rede SWIFT, com visibilidade limitada sobre os padrões de uso de credenciais. O ataque ao Bangladesh Bank demonstrou como o comprometimento de credenciais bancárias correspondentes pode resultar em roubo de grande valor quase instantâneo entre fronteiras internacionais.

Os fornecedores de tecnologia regulatória cada vez mais exigem acesso privilegiado para gerar relatórios de conformidade e enviar declarações regulatórias. Esses fornecedores frequentemente mantêm credenciais permanentes com acesso de leitura a dados sensíveis de clientes e informações de transações. A complexidade dos requisitos regulatórios dificulta que as instituições restrinjam adequadamente o acesso dos fornecedores, mantendo ao mesmo tempo as obrigações de conformidade.

O acesso de fornecedores de cibersegurança apresenta um vetor de risco adicional, já que os prestadores de serviços de segurança normalmente exigem privilégios elevados para realizar funções de monitoramento, resposta a incidentes e gerenciamento de vulnerabilidades. O mercado de provedores de serviços de segurança gerenciados inclui numerosas empresas com práticas insuficientes de gerenciamento de credenciais, criando caminhos potenciais de comprometimento para agentes de ameaça.

As práticas de avaliação de risco de terceiros não conseguem abordar adequadamente a maturidade do gerenciamento de credenciais. Os questionários padrão de avaliação de risco de fornecedores se concentram na documentação de políticas, em vez da implementação técnica de controles de credenciais. Apenas 34% das instituições financeiras exigem que os fornecedores demonstrem capacidades de criptografia de credenciais ou arquiteturas de privilégio permanente zero.

Os ataques à cadeia de suprimentos direcionados a fornecedores de tecnologia de serviços financeiros aumentaram 156% ano a ano. O modelo de ataque da SolarWinds evoluiu para campanhas mais direcionadas contra fornecedores especializados de software de serviços financeiros. Esses ataques frequentemente envolvem o roubo de credenciais de ambientes de fornecedores, seguido do uso do acesso legítimo do fornecedor para comprometer as instituições clientes.

Os requisitos de continuidade de negócios complicam o gerenciamento de credenciais de terceiros durante a resposta a incidentes. As instituições financeiras precisam manter capacidades operacionais durante incidentes cibernéticos, frequentemente exigindo acesso de emergência de fornecedores que contorna os controles normais de credenciais. Esses procedimentos de acesso de emergência frequentemente se tornam lacunas de segurança persistentes que permanecem sem solução após a resolução do incidente.

A Solução Estrutural

As abordagens tradicionais de gerenciamento de identidade e acesso falharam fundamentalmente em abordar os requisitos de segurança de credenciais em serviços financeiros. A estrutura conceitual de vincular identidade a acesso cria vulnerabilidades inerentes que agentes de ameaça sofisticados exploram consistentemente. Uma solução estrutural exige separar o controle de credenciais da identidade do usuário, implementando autoridade organizacional sobre a geração, distribuição e revogação de credenciais.

A arquitetura de conhecimento zero de credenciais representa uma mudança de paradigma, de um gerenciamento de acesso baseado em identidade para um baseado em controle. Em vez de os usuários possuírem credenciais, as organizações mantêm autoridade completa sobre o ciclo de vida das credenciais, ao mesmo tempo em que possibilitam acesso contínuo dos usuários aos recursos necessários. Essa abordagem elimina o principal vetor de ataque explorado em 89% das violações bem-sucedidas em serviços financeiros.

A solução patenteada de controle de credenciais da MyCena implementa essa abordagem arquitetural por meio da geração criptográfica de credenciais que nunca as expõe aos usuários finais ou a sistemas intermediários. A plataforma gera credenciais criptografadas exclusivas para cada sessão de acesso, distribui-as por canais seguros e mantém capacidades centralizadas de revogação que encerram imediatamente o acesso em todos os sistemas simultaneamente.

A implementação técnica opera por meio de três componentes centrais: geração centralizada de credenciais usando módulos de segurança de hardware, distribuição criptografada de credenciais por canais seguros e gerenciamento abrangente do ciclo de vida das credenciais, com capacidades de revogação em tempo real. Os usuários se autenticam por métodos padrão, mas nunca recebem ou possuem as credenciais reais usadas para acessar sistemas e aplicativos.

Essa arquitetura elimina o roubo de credenciais como vetor de ataque. Mesmo que os agentes de ameaça comprometam dispositivos de usuários ou intercept comunicações de rede, eles não conseguem obter credenciais utilizáveis. O design criptográfico garante que as credenciais permaneçam criptografadas ao longo de todo o seu ciclo de vida, com a descriptografia ocorrendo apenas dentro de uma infraestrutura organizacional protegida.

As capacidades de integração com sistemas legados permitem que as instituições financeiras implementem o controle de credenciais em toda a infraestrutura existente, sem exigir a substituição completa do sistema. A plataforma oferece suporte à integração com sistemas bancários centrais, plataformas de negociação e aplicativos de relatórios regulatórios por meio de protocolos de autenticação padrão, mantendo ao mesmo tempo a autoridade centralizada sobre as credenciais.

A integração do gerenciamento de acesso privilegiado oferece cobertura abrangente para contas administrativas e de serviço de alto risco. Em vez de gerenciar credenciais privilegiadas por meio de abordagens tradicionais de PAM, as organizações podem implementar o conhecimento zero de credenciais para todos os requisitos de acesso elevado, eliminando a exposição persistente de credenciais que possibilita a movimentação lateral durante cenários de ataque.

O gerenciamento de credenciais de terceiros se torna significativamente mais simples sob essa arquitetura. As organizações podem conceder acesso a fornecedores sem compartilhar credenciais, mantendo controle total sobre as capacidades de acesso de terceiros, ao mesmo tempo em que fornecem a funcionalidade necessária. A revogação em tempo real garante que o acesso do fornecedor seja encerrado imediatamente após a conclusão do contrato ou um incidente de segurança.

A conformidade regulatória melhora drasticamente por meio de trilhas de auditoria abrangentes do ciclo de vida das credenciais e mecanismos de proteção criptográfica. A arquitetura fornece aos reguladores evidências claras da maturidade do controle de credenciais, ao mesmo tempo em que permite que as instituições demonstrem conformidade técnica com requisitos regulatórios específicos em múltiplas jurisdições.

Os ganhos de eficiência operacional resultam da eliminação de solicitações de redefinição de senha, da redução da carga de trabalho de gerenciamento de credenciais do help desk e da simplificação dos processos de provisionamento de acesso do usuário. As instituições financeiras normalmente apresentam uma redução de 67% nos chamados de help desk relacionados a identidade e uma melhoria de 78% no tempo de integração de novos usuários.

Os benefícios de continuidade de negócios incluem a eliminação de pontos únicos de falha baseados em credenciais e capacidades rápidas de restauração de acesso durante a recuperação de incidentes. As organizações podem revogar e regenerar imediatamente todas as credenciais durante incidentes de segurança, mantendo ao mesmo tempo as capacidades operacionais por meio de procedimentos controlados de restauração de acesso.

O caso de negócios quantificado demonstra um retorno claro sobre o investimento por meio da redução dos custos de incidentes de segurança, da prevenção de penalidades regulatórias e de melhorias na eficiência operacional. As instituições financeiras que implementam arquiteturas de conhecimento zero de credenciais relatam uma redução média de 43% no custo total de propriedade, em comparação com as abordagens tradicionais de IAM.

Roteiro de Implementação

A implementação bem-sucedida do controle de credenciais exige uma abordagem em fases que mantenha a continuidade operacional, ao mesmo tempo em que reduz progressivamente a exposição de credenciais em toda a infraestrutura de serviços financeiros. O roteiro de implementação abrange de 12 a 18 meses, com marcos específicos para a redução de risco e o cumprimento da conformidade regulatória.

Fase 1: Avaliação e Planejamento (Meses 1-2)

Um inventário abrangente de credenciais em todos os sistemas, aplicativos e integrações de terceiros fornece a base para o planejamento da implementação. Essa avaliação identifica configurações de credenciais de alto risco, lacunas de conformidade regulatória e requisitos de integração técnica para sistemas legados. As instituições financeiras devem priorizar sistemas que contenham dados de clientes, capacidades de processamento de pagamentos e funções de relatórios regulatórios.

O alinhamento das partes interessadas entre cibersegurança, gerenciamento de risco, conformidade e operações comerciais garante uma implementação coordenada que atenda aos requisitos operacionais e, ao mesmo tempo, alcance os objetivos de segurança. O patrocínio executivo continua sendo essencial para conduzir as mudanças nos processos de negócios e as decisões de alocação de recursos durante a implementação.

O design da arquitetura técnica especifica abordagens de integração para a infraestrutura existente, ao mesmo tempo em que define as capacidades futuras de controle de credenciais. Essa fase de design aborda os requisitos de segurança de rede, o gerenciamento de chaves criptográficas e os procedimentos de recuperação de desastres que mantêm a continuidade dos negócios ao longo da implementação.

Fase 2: Implementação da Infraestrutura Central (Meses 3-6)

A implantação inicial se concentra nas credenciais administrativas e de acesso privilegiado, que representam o maior risco de movimentação lateral durante cenários de ataque. A implementação começa com contas de administrador de domínio, contas de serviço e credenciais de acesso de fornecedores que fornecem privilégios extensos do sistema.

Sistema legado...

DORA, OCC/FFIEC e HIPAA BAA: o que a governança de credenciais de terceiros exige

A violação da Snowflake, ocorrida no mês passado, expôs uma falha fundamental na forma como as empresas de terceirização de processos de negócios (BPO) e os provedores de serviços gerenciados lidam com o acesso de terceiros. Os hackers se infiltraram nos ambientes dos clientes não por meio de sofisticadas explorações de dia zero, mas comprando credenciais roubadas na dark web. O ataque teve sucesso porque os usuários controlavam suas próprias senhas — credenciais que a Snowflake, apesar de utilizar ferramentas de segurança empresarial, não conseguia nem visualizar nem revogar até que o dano já estivesse feito.

Esse incidente cristaliza um desafio regulatório enfrentado pelas empresas de BPO e provedores de serviços gerenciados que operam em múltiplas jurisdições. À medida que a Lei de Resiliência Operacional Digital (DORA) entra em vigor na UE, enquanto as diretrizes do OCC/FFIEC se tornam mais rígidas nos EUA e os Acordos de Associados Comerciais da HIPAA exigem salvaguardas mais fortes, as organizações enfrentam um requisito comum: controle demonstrável sobre as credenciais de acesso de terceiros.

O problema do controle de credenciais em BPO

As empresas de BPO e os provedores de serviços gerenciados operam em uma posição singularmente exposta. Eles precisam de acesso privilegiado a sistemas de clientes que contêm dados regulamentados — registros financeiros, informações de saúde, tecnologia operacional — enquanto permanecem responsáveis perante múltiplas estruturas regulatórias simultaneamente.

As abordagens tradicionais deixam uma lacuna crítica. Quando o funcionário de um provedor de serviços gerenciados cria sua própria senha para acessar o sistema bancário de um cliente, três partes compartilham a responsabilidade, mas nenhuma delas mantém controle completo. O funcionário possui a credencial, o provedor de BPO gerencia a conta, e a instituição financeira é proprietária do sistema. Sob o Artigo 28 da DORA, a diretriz OCC 2013-29 ou o §164.308(b)(1) da HIPAA, esse modelo de controle distribuído não atende às expectativas regulatórias para o gerenciamento de risco de terceiros.

O problema se intensifica em diferentes modelos de prestação de serviços. Um único provedor de BPO pode acessar simultaneamente instituições financeiras da UE (sob a DORA), bancos comunitários dos EUA (sob as diretrizes do FFIEC) e sistemas de saúde (sob a HIPAA), cada um exigindo prova documentada de governança de credenciais que as ferramentas existentes não conseguem fornecer.

A escala do risco de acesso de terceiros

Dados recentes revelam a extensão das violações baseadas em credenciais envolvendo terceiros. O relatório de Custo de uma Violação de Dados de 2024 da IBM constatou que 16% das violações envolveram parceiros de negócios, com um custo médio de US$ 4,88 milhões por incidente. Mais significativamente, o Relatório de Investigações de Violação de Dados de 2024 da Verizon mostrou que 68% das violações envolveram um elemento humano, principalmente por meio de credenciais roubadas.

Para os provedores de BPO, a exposição se multiplica. Pesquisas do Ponemon Institute indicam que as organizações que compartilham dados com mais de 1.000 terceiros — comum entre os principais provedores de BPO — enfrentam custos de violação 51% mais altos que a média. O mesmo estudo constatou que apenas 35% das organizações conseguem identificar todos os terceiros com acesso a dados sensíveis.

A fiscalização regulatória reflete esse risco. O Escritório do Controlador da Moeda emitiu 847 ações de fiscalização em 2023, com o gerenciamento inadequado de risco de terceiros presente em 23% dos casos. Na área da saúde, o Departamento de Saúde e Serviços Humanos relatou que violações envolvendo associados comerciais afetaram 41,4 milhões de indivíduos em 2023, representando 56% de todas as violações de dados de saúde relatadas.

Por que as ferramentas de segurança existentes não são suficientes

Os sistemas de gerenciamento de identidade e acesso (IAM), as plataformas de gerenciamento de acesso privilegiado (PAM), as soluções de single sign-on (SSO), a autenticação multifator (MFA) e as arquiteturas de confiança zero abordam aspectos do controle de acesso. No entanto, a violação da Snowflake demonstra sua limitação coletiva: todas presumem que os usuários criarão e controlarão suas próprias credenciais.

Os sistemas de PAM se destacam no gerenciamento de contas privilegiadas, mas normalmente dependem de cofres de senhas que os usuários acessam com suas próprias credenciais. O SSO reduz a proliferação de senhas, mas ainda exige que os usuários se autentiquem com senhas criadas por eles mesmos. O MFA adiciona camadas de segurança, mas não consegue impedir o comprometimento das credenciais subjacentes que os usuários geram e memorizam.

As estruturas de confiança zero exigem verificação contínua, mas frequentemente implementam isso por meio de ferramentas que, em última análise, dependem de fatores de autenticação controlados pelo usuário. Quando os reguladores exigem que as organizações demonstrem controle sobre o acesso de terceiros, essas soluções não conseguem fornecer a garantia necessária, pois a credencial fundamental — a própria senha — permanece fora do controle organizacional.

Isso cria uma lacuna de conformidade. O Artigo 30 da DORA exige que as entidades financeiras "identifiquem e avaliem o risco de TIC" decorrente de arranjos com terceiros. As diretrizes do OCC exigem que os bancos "entendam e controlem os riscos" provenientes de prestadores de serviços. A HIPAA exige que as entidades cobertas "garantam que qualquer agente ao qual conceda acesso... salvaguardará as informações".

Atender a esses requisitos exige mais do que monitorar ou gerenciar o acesso — exige controlar as próprias credenciais.

A solução estrutural: propriedade organizacional das credenciais

A resposta está em reverter a premissa fundamental sobre a propriedade das credenciais. Em vez de os usuários criarem e controlarem suas próprias senhas, as organizações precisam gerar, distribuir e revogar todas as credenciais usadas para acessar seus sistemas ou os sistemas de seus clientes.

Essa abordagem trata identidade e acesso como conceitos separados. A verificação de identidade confirma quem alguém é; o controle de acesso determina o que essa pessoa pode fazer. Ao manter controle exclusivo sobre as credenciais, as organizações podem fornecer aos reguladores prova demonstrável de que o acesso de terceiros permanece sob gerenciamento direto.

A tecnologia patenteada da MyCena exemplifica essa abordagem. A plataforma gera credenciais criptografadas que as organizações distribuem diretamente para os dispositivos dos usuários, sem que os usuários nunca as vejam ou armazenem. Quando o acesso é necessário, o sistema se autentica automaticamente usando a credencial criptografada. Os usuários não conseguem capturar a tela, copiar ou de outra forma extrair a senha, tornando o phishing impossível e garantindo controle organizacional completo.

Esse modelo aborda diretamente os requisitos regulatórios. Sob a DORA, ele oferece os "mecanismos de autenticação forte" exigidos pelo Artigo 25. Para a conformidade com o OCC/FFIEC, ele fornece os "controles de acesso fortes" exigidos pelas diretrizes existentes. Sob a HIPAA, ele permite que os associados comerciais "implementem procedimentos para se proteger contra... acesso não autorizado", conforme exigido pelo §164.308(b)(1).

Imperativos de implementação para provedores de BPO

As empresas de BPO e os provedores de serviços gerenciados precisam avaliar seus modelos de governança de credenciais em relação aos requisitos regulatórios que estão surgindo. A conformidade com a DORA se torna obrigatória em 17 de janeiro de 2025, enquanto os procedimentos de exame do OCC já incorporam avaliações de gerenciamento de credenciais de terceiros.

A avaliação deve se concentrar no controle, e não no monitoramento. A organização consegue provar que gera todas as credenciais usadas por seus funcionários para acessar sistemas de clientes? Consegue demonstrar capacidades de revogação imediata, independentes da cooperação do usuário? Consegue fornecer trilhas de auditoria mostrando que as credenciais nunca foram expostas aos usuários?

As organizações que não conseguem responder afirmativamente a essas perguntas enfrentam riscos regulatórios e comerciais. Os clientes exigem cada vez mais prova de governança de credenciais como parte do gerenciamento de fornecedores. Os reguladores esperam controles demonstráveis, e não apenas declarações de política.

A solução exige ir além das ferramentas de segurança tradicionais, em direção a plataformas que garantam a propriedade organizacional das credenciais. A implementação técnica importa menos do que o princípio fundamental: em um sistema devidamente governado, os usuários nunca veem, armazenam ou controlam as credenciais que fornecem acesso a sistemas sensíveis.

Essa mudança do gerenciamento de credenciais para a propriedade de credenciais representa a próxima evolução no gerenciamento de risco de terceiros — uma evolução que as estruturas regulatórias exigem cada vez mais e que o cenário de ameaças torna essencial.

O problema das credenciais em BPO que toda empresa de serviços financeiros carrega

Quando a violação de dados dos clientes da Medibank expôs 9,7 milhões de registros em outubro de 2022, os investigadores rastrearam o vetor de ataque até credenciais comprometidas em um fornecedor terceirizado. O incidente consolidou uma preocupação crescente no setor de serviços financeiros: os contratos de Business Process Outsourcing (BPO) criam uma exposição de credenciais que as estruturas tradicionais de segurança não conseguem resolver adequadamente.

A responsabilidade oculta na sua cadeia de suprimentos

As instituições financeiras passaram a última década fortalecendo sua postura interna de segurança, implementando sistemas sofisticados de gerenciamento de identidade e acesso, arquiteturas Zero Trust e autenticação multifator em seus ambientes. No entanto, uma vulnerabilidade crítica permanece evidente: as credenciais gerenciadas pelos parceiros de Business Process Outsourcing.

Os acordos de BPO em serviços financeiros normalmente envolvem operações sensíveis — atendimento ao cliente, processamento de sinistros, monitoramento de transações, relatórios de conformidade e análise de dados. Essas parcerias exigem que os provedores BPO mantenham acesso administrativo a sistemas bancários centrais, plataformas de negociação, bancos de dados de clientes e ferramentas de relatórios regulatórios. Cada ponto de acesso representa uma credencial que, se comprometida, pode fornecer aos invasores um caminho direto para os sistemas mais sensíveis da instituição financeira.

O desafio vai além do simples gerenciamento de acesso. Ambientes BPO frequentemente operam sob padrões de segurança diferentes, empregam funcionários com níveis variados de conscientização sobre segurança e mantêm práticas de gerenciamento de credenciais que seriam consideradas inadequadas dentro da própria instituição financeira. Ainda assim, essas mesmas credenciais podem acessar sistemas que contêm dados financeiros de clientes, informações de negociação e documentos regulatórios.

A dimensão da exposição

Análises recentes do setor revelam a extensão desse risco. De acordo com a pesquisa de resiliência operacional de 2023 da Financial Conduct Authority, 78% das empresas de serviços financeiros do Reino Unido dependem de contratos críticos de BPO, com uma média de 12 fornecedores terceirizados tendo acesso a sistemas classificados como serviços empresariais importantes.

O Data Breach Investigations Report 2023, da Verizon, constatou que 61% das violações no setor financeiro envolveram credenciais comprometidas, sendo que 43% dessas violações tiveram origem em pontos de acesso de parceiros ou da cadeia de suprimentos. Segundo o relatório Cost of a Data Breach da IBM Security, o custo médio de uma violação na cadeia de suprimentos no setor financeiro chegou a US$ 4,8 milhões em 2023.

As implicações regulatórias são igualmente preocupantes. Os dados de relatórios de incidentes cibernéticos do Banco Central Europeu de 2023 mostram que 34% dos incidentes cibernéticos significativos relatados por instituições de crédito envolveram fornecedores terceirizados ou acordos de terceirização. Nos Estados Unidos, o Office of the Comptroller of the Currency identificou gerenciamento inadequado de riscos de terceiros em 23% das ações de fiscalização contra bancos nacionais em 2023.

Talvez o dado mais revelador seja o estudo do Ponemon Institute, que descobriu que organizações de serviços financeiros conseguem identificar apenas 57% das credenciais mantidas por seus fornecedores BPO em determinado momento. Essa lacuna de visibilidade representa uma falha fundamental de controle em ambientes onde as regulamentações exigem supervisão completa dos acessos a sistemas sensíveis.

Por que as ferramentas atuais de segurança não resolvem o problema

O setor financeiro investiu fortemente em tecnologias avançadas de gerenciamento de acesso, mas essas soluções não conseguem resolver o problema fundamental do controle de credenciais nas relações com fornecedores BPO.

Os sistemas de Gerenciamento de Identidade e Acesso (IAM) são eficientes para administrar identidades dentro dos limites organizacionais, mas enfrentam dificuldades com a natureza distribuída das credenciais BPO. Esses sistemas conseguem provisionar e remover acessos, mas não conseguem impedir que funcionários de BPO acessem, copiem ou compartilhem as próprias credenciais.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem gravação de sessões e fluxos de aprovação, mas ainda dependem do princípio de que os usuários possuem suas próprias credenciais. Quando um funcionário de BPO recebe credenciais para uma conta privilegiada, os sistemas PAM conseguem monitorar como essas credenciais são utilizadas, mas não conseguem impedir que elas sejam comprometidas na origem.

O Single Sign-On (SSO) reduz a proliferação de credenciais, mas exige um grande esforço de integração e pode não ser viável em ambientes BPO complexos envolvendo múltiplos sistemas e plataformas. Mais importante ainda, o SSO continua exigindo que os usuários mantenham credenciais de autenticação, apenas concentrando o risco em vez de eliminá-lo.

A Autenticação Multifator (MFA) adiciona uma camada de segurança, mas não resolve o roubo de credenciais. Invasores sofisticados demonstraram diversas técnicas para contornar a MFA, desde troca fraudulenta de SIM (SIM swapping) até ataques de phishing em tempo real capazes de capturar senhas e tokens de autenticação.

As arquiteturas Zero Trust melhoram a postura de segurança ao não assumir confiança automática, mas ainda precisam conceder acesso com base em algum tipo de verificação de credencial. Se essas credenciais forem comprometidas, os princípios Zero Trust oferecem proteção limitada.

A falha comum em todas essas abordagens é estrutural: elas assumem que os usuários precisam possuir credenciais para acessar sistemas. Essa suposição cria uma vulnerabilidade inerente que nenhum nível de monitoramento, criptografia ou controle de acesso consegue eliminar completamente.

Resolvendo o controle de credenciais na origem

A solução está em reestruturar fundamentalmente a propriedade e a distribuição das credenciais. Em vez de permitir que parceiros BPO criem, armazenem e gerenciem credenciais, as instituições financeiras precisam de sistemas nos quais as credenciais sejam geradas, distribuídas e controladas totalmente pela organização — sem que os usuários tenham acesso direto ao material da credencial.

Nesse modelo, quando um funcionário de BPO precisa acessar um sistema financeiro, ele recebe um material de credencial criptografado que só pode ser descriptografado e utilizado dentro de um ambiente controlado. O funcionário não consegue extrair, copiar ou compartilhar as credenciais porque nunca as possui em formato legível. O acesso torna-se vinculado criptograficamente a dispositivos e sessões específicas, tornando o roubo de credenciais praticamente impossível.

A tecnologia patenteada de controle de credenciais da MyCena demonstra essa abordagem na prática. O sistema gera credenciais criptografadas exclusivas para cada usuário e sessão, distribuindo-as por canais seguros sem nunca expor o material da credencial ao usuário final. Funcionários de BPO podem acessar os sistemas necessários para realizar suas funções, mas o mecanismo de autenticação permanece totalmente sob controle da instituição financeira.

Essa mudança arquitetônica transforma o gerenciamento de credenciais BPO de um exercício de gestão de riscos em um controle técnico. Em vez de esperar que parceiros BPO mantenham práticas adequadas de segurança, as instituições financeiras podem garantir que o comprometimento de ambientes BPO não resulte em roubo de credenciais.

O imperativo de conformidade

Para empresas de serviços financeiros, as implicações são claras. Estruturas regulatórias exigem cada vez mais controle comprovável sobre acessos de terceiros a sistemas sensíveis. A regulamentação europeia DORA, que entrou em vigor em janeiro de 2025, exige explicitamente que entidades financeiras mantenham "supervisão e responsabilidade completas" sobre serviços de TIC fornecidos por terceiros.

O momento de tratar o gerenciamento de credenciais BPO como uma questão contratual, e não técnica, passou. Instituições financeiras que continuam dependendo de abordagens tradicionais de gerenciamento de acesso em relações BPO mantêm uma vulnerabilidade estrutural que a fiscalização regulatória e a sofisticação dos agentes de ameaça inevitavelmente irão expor.

O caminho à frente exige reconhecer que identidade e acesso são conceitos separados — e que a verdadeira segurança surge do controle do acesso sem distribuir as credenciais que permitem esse acesso.

DORA e o acesso por credenciais — A lacuna estrutural de conformidade que as entidades financeiras precisam eliminar

Resumo Executivo

O Digital Operational Resilience Act (DORA), em vigor desde 17 de janeiro de 2025, introduz exigências inéditas de acesso por credenciais para entidades financeiras da União Europeia. Esta análise regulatória revela três constatações críticas:

Primeiro, 73% das instituições financeiras atualmente não possuem mecanismos adequados de visibilidade e controle de credenciais exigidos pelos Artigos 8 e 13 do DORA.

Segundo, as soluções tradicionais de Identity and Access Management (IAM) abordam a identidade do usuário, mas não fornecem o controle granular de credenciais exigido pelo framework de resiliência operacional do DORA.

Terceiro, a lacuna de conformidade gera potenciais multas regulatórias de até 2% do faturamento global anual, conforme o Artigo 34.

Os requisitos de acesso por credenciais do DORA vão além da gestão convencional de acesso, exigindo visibilidade em tempo real, capacidades de revogação automatizada e trilhas de auditoria abrangentes para todas as credenciais privilegiadas. As entidades financeiras devem demonstrar resiliência operacional contínua, e não apenas avaliações periódicas de conformidade. A ênfase da regulamentação em “gerenciar, monitorar e testar” a resiliência operacional exige soluções tecnológicas que proporcionem controle organizacional sobre a geração, distribuição e revogação de credenciais — capacidades ausentes nas arquiteturas atuais de IAM.

A lacuna de conformidade representa tanto risco regulatório imediato quanto vulnerabilidade operacional. Entidades financeiras que acessam serviços de terceiros, gerenciam infraestrutura em nuvem ou mantêm contas de acesso privilegiado enfrentam exigências obrigatórias de conformidade que as abordagens atuais de gestão de credenciais não conseguem atender. Resolver essa lacuna exige mudanças arquiteturais fundamentais nos mecanismos de controle de credenciais antes do início do período de fiscalização da regulamentação.

Visão Geral dos Requisitos Regulatórios

O DORA estabelece requisitos abrangentes de resiliência operacional para mais de 20.000 entidades financeiras na União Europeia, incluindo bancos, seguradoras, corretoras de investimentos e provedores terceirizados críticos. A regulamentação, adotada em dezembro de 2022 com um período de implementação de três anos, representa a legislação mais significativa de cibersegurança para o setor financeiro da UE.

O Artigo 1 define o escopo do DORA como garantir a “resiliência operacional digital das entidades financeiras”, estendendo-se além dos frameworks tradicionais de cibersegurança para abranger capacidade operacional contínua. A regulamentação afeta entidades em múltiplas jurisdições por meio de suas disposições extraterritoriais, aplicando-se a entidades não europeias que prestam serviços a instituições financeiras da UE.

Os cinco pilares principais do DORA estabelecem requisitos interconectados: gestão de riscos de TIC (Capítulo II), notificação de incidentes de TIC (Capítulo III), testes de resiliência operacional digital (Capítulo IV), gestão de riscos de TIC com terceiros (Capítulo V) e acordos de compartilhamento de informações (Capítulo VI). Cada pilar contém obrigações específicas de acesso por credenciais que se somam aos requisitos tradicionais de conformidade.

As diretrizes de implementação de 2024 da European Banking Authority identificam a gestão de credenciais como uma “função operacional crítica” conforme o Artigo 6(8), exigindo disponibilidade contínua e objetivos de recuperação predeterminados. Essa classificação eleva o acesso por credenciais de função administrativa para necessidade operacional, determinando medidas específicas de resiliência.

As multas regulatórias do Artigo 34 variam de €500.000 a €5 milhões para pessoas físicas, com multas corporativas chegando a 2% do faturamento global anual. O framework de supervisão do Banco Central Europeu permite medidas prudenciais adicionais, incluindo restrições operacionais e monitoramento reforçado para entidades não conformes.

O cronograma de implementação do DORA exige conformidade plena até 17 de janeiro de 2025, com as autoridades supervisoras realizando avaliações de prontidão a partir do 4º trimestre de 2024. Diferentemente das implementações por fases comuns na regulação financeira, o DORA exige conformidade simultânea em todos os requisitos, gerando forte pressão de implementação sobre as entidades financeiras.

O Que a Regulamentação Exige no Acesso por Credenciais

O DORA estabelece requisitos específicos de acesso por credenciais integrados em todo o seu framework de resiliência operacional. O Artigo 8(2) determina que as entidades financeiras “identifiquem todos os ativos de informação e ativos de TIC, inclusive aqueles em instalações remotas”, exigindo visibilidade abrangente de credenciais em ambientes distribuídos. Esse requisito de identificação se estende a contas de serviço, chaves de API, certificados e credenciais de acesso privilegiado usadas em funções operacionais.

O Artigo 13(1) exige que as entidades financeiras “minimizem o impacto do risco de TIC por meio da implementação de políticas, procedimentos, protocolos e ferramentas adequadas de segurança de TIC”. A regulamentação aborda especificamente a gestão de acesso privilegiado por meio de exigências de “mecanismos adequados de autenticação” e “políticas de gestão de direitos e privilégios” no Artigo 13(3)(e). Essas disposições determinam controle organizacional sobre o ciclo de vida das credenciais, incluindo geração, distribuição, rotação e revogação.

Os requisitos de notificação de incidentes do Artigo 19 criam obrigações adicionais de acesso por credenciais. As entidades financeiras devem reportar “incidentes operacionais ou de segurança relacionados a pagamentos” dentro de prazos específicos, exigindo visibilidade imediata sobre eventos de comprometimento de credenciais. O Artigo 19(2)(d) determina a notificação de incidentes que afetem “mecanismos de autenticação”, estabelecendo supervisão regulatória sobre eventos de segurança relacionados a credenciais.

As disposições de gestão de riscos com terceiros do Artigo 28 criam os requisitos mais rigorosos de acesso por credenciais. As entidades financeiras devem “identificar e avaliar todos os riscos de TIC que possam surgir em relação ao uso de serviços de TIC fornecidos por prestadores de serviços de TIC terceirizados”. Essa exigência de avaliação se estende às credenciais usadas para acesso a serviços de terceiros, exigindo capacidades contínuas de monitoramento e controle.

O Artigo 30 estabelece requisitos específicos para “funções críticas ou importantes” fornecidas por terceiros, determinando “acordos contratuais completos” que incluam “descrições detalhadas dos níveis de serviço” e “direitos de acesso, inspeção e auditoria”. Esses requisitos contratuais necessitam de mecanismos granulares de controle de credenciais que as soluções tradicionais de gestão de acesso não conseguem fornecer.

Os requisitos de testes do Artigo 26 exigem “testes avançados de ferramentas, sistemas e processos de TIC” por meio de testes de penetração baseados em ameaças. Esses testes devem incluir “ataques cibernéticos simulados” direcionados a mecanismos de autenticação e sistemas de acesso privilegiado, exigindo controles de segurança de credenciais demonstráveis e sujeitos a validação independente.

A Lacuna Estrutural de Conformidade

As entidades financeiras enfrentam uma lacuna estrutural fundamental entre os requisitos de acesso por credenciais do DORA e as capacidades tecnológicas existentes. Pesquisas da European Banking Authority indicam que 68% das instituições financeiras ainda dependem de autenticação baseada em senhas para acesso privilegiado, enquanto 41% não possuem capacidades centralizadas de gestão de credenciais exigidas pelo Artigo 13 do DORA.

As soluções tradicionais de IAM focam na verificação da identidade do usuário, e não no controle das credenciais. Esses sistemas autenticam usuários, mas não conseguem proporcionar o controle organizacional sobre geração, distribuição e revogação de credenciais exigido pelo framework de resiliência operacional do DORA. A distinção entre gestão de identidade e controle de credenciais representa uma lacuna crítica de conformidade que as arquiteturas existentes não conseguem resolver.

Os requisitos de monitoramento contínuo do Artigo 17 determinam “monitoramento contínuo da segurança e do funcionamento dos sistemas de TIC e das dependências-chave”. As entidades financeiras devem demonstrar visibilidade em tempo real sobre o uso de credenciais, status de rotação e indicadores de possível comprometimento. As abordagens atuais de gestão de credenciais fornecem relatórios periódicos, em vez de visibilidade operacional contínua, criando uma deficiência estrutural de conformidade.

A ênfase da regulamentação em “gerenciar, monitorar e testar” a resiliência operacional exige capacidades tecnológicas que vão além do controle de acesso para abranger a governança do ciclo de vida das credenciais. As entidades financeiras devem demonstrar autoridade organizacional sobre todas as credenciais usadas para acessar sistemas críticos, inclusive aquelas gerenciadas por provedores terceirizados ou serviços em nuvem.

Os requisitos de gestão de riscos com terceiros agravam ainda mais a lacuna de conformidade. O Artigo 28(3) exige que as entidades financeiras “considerem o risco de concentração em relação aos prestadores de serviços de TIC terceirizados” e implementem “medidas adequadas de mitigação”. Essas medidas devem incluir controles de acesso por credenciais para serviços de terceiros, exigindo capacidades de visibilidade e controle que as soluções atuais de IAM não conseguem oferecer em ambientes externos.

A lacuna estrutural se estende às capacidades de resposta a incidentes. O cronograma de notificação de incidentes do Artigo 19 exige relatórios iniciais “sem demora indevida” e relatórios detalhados em até 72 horas. As entidades financeiras devem demonstrar detecção imediata de comprometimento de credenciais e capacidades de revogação automatizada para cumprir esses prazos regulatórios. As abordagens tradicionais de gestão de credenciais exigem intervenção manual para revogação, gerando lacunas de tempo de conformidade.

As dependências de serviços em nuvem criam desafios estruturais adicionais. A orientação de 2024 da European Securities and Markets Authority indica que 84% das entidades financeiras utilizam serviços em nuvem para funções operacionais críticas, exigindo controles de acesso por credenciais em ambientes híbridos. Os requisitos de resiliência operacional do DORA se aplicam independentemente do modelo de implantação, necessitando de capacidades consistentes de controle de credenciais em infraestruturas on-premises, nuvem e híbridas.

Controle de Credenciais vs. Conformidade Documentada

O DORA diferencia entre procedimentos de conformidade documentados e controle operacional demonstrável, exigindo que as entidades financeiras comprovem governança contínua de credenciais, e não apenas avaliações periódicas de conformidade. Essa abordagem regulatória cria diferenças fundamentais em relação aos frameworks tradicionais de conformidade, que aceitavam documentação de políticas sem mecanismos de aplicação tecnológica.

O Artigo 8(1) exige que as entidades financeiras “possuam um framework interno de governança e controle que garanta a gestão eficaz e prudente do risco de TIC”. O framework deve demonstrar “linhas claras e diretas de responsabilidade” para a resiliência operacional, incluindo controles de acesso por credenciais. Evidências documentais isoladas não conseguem satisfazer esses requisitos sem capacidades tecnológicas correspondentes.

Os requisitos de testes do Artigo 26 determinam a validação dos controles de segurança de credenciais por meio de “ataques cibernéticos simulados” e “testes de penetração baseados em ameaças”. Esses testes devem demonstrar capacidades reais de proteção de credenciais, e não apenas conformidade com políticas. As entidades financeiras não conseguem atender aos requisitos de testes apenas com documentação se os mecanismos subjacentes de controle de credenciais permanecerem vulneráveis.

Os requisitos de gestão de incidentes do DORA criam distinções adicionais entre conformidade documentada e operacional. O Artigo 19(2) exige que as entidades financeiras “possuam procedimentos de gestão e resposta para lidar com incidentes de TIC”. Esses procedimentos devem incluir “classificação de incidentes de TIC” e “designação de papéis e responsabilidades”. Incidentes de comprometimento de credenciais exigem capacidades imediatas de detecção e resposta que a documentação isolada não consegue fornecer.

A ênfase da regulamentação na “proporcionalidade” no Artigo 4 exige que as medidas de conformidade sejam proporcionais à exposição a riscos operacionais. Entidades financeiras com extensas dependências de terceiros ou arquiteturas complexas em nuvem enfrentam expectativas regulatórias mais altas para capacidades de controle de credenciais. A conformidade proporcional exige soluções tecnológicas que correspondam à complexidade operacional, e não frameworks padronizados de políticas.

As autoridades supervisoras avaliam a conformidade com o DORA por meio de avaliações operacionais, e não apenas revisões documentais. A metodologia de supervisão do Banco Central Europeu inclui “inspeções presenciais” e “avaliações aprofundadas” de funções operacionais críticas. Essas avaliações exigem capacidades demonstráveis de controle de credenciais em cenários operacionais reais.

A distinção entre controle de credenciais e conformidade documentada se estende aos requisitos de continuidade de negócios do Artigo 11. As entidades financeiras devem demonstrar “política de continuidade de negócios e planos de continuidade de negócios” que garantam resiliência operacional durante eventos de disrupção. A disrupção de acesso por credenciais representa uma falha operacional crítica que exige mitigação tecnológica, e não apenas documentação procedimental.

Os padrões técnicos regulatórios do DORA, previstos para 2024, estabelecerão métricas e critérios específicos de resiliência operacional. Esses padrões técnicos provavelmente incluirão exigências quantitativas para controles de acesso por credenciais, tempos de resposta a incidentes e medidas de disponibilidade operacional que não podem ser atendidas apenas com conformidade baseada em políticas.

Como a MyCena Atende a Cada Requisito do DORA

A arquitetura patenteada de controle de credenciais da MyCena atende diretamente aos requisitos de resiliência operacional do DORA por meio de controle organizacional sobre a geração, distribuição e revogação de credenciais. O princípio fundamental da solução — identidade não é igual a acesso — está alinhado com a distinção do DORA entre autenticação do usuário e requisitos de controle operacional.

Artigo 8 – Requisitos do Framework de Gestão de Riscos de TIC

A MyCena atende ao Artigo 8(2) ao fornecer visibilidade abrangente de todas as credenciais organizacionais, incluindo contas de serviço, chaves de API e credenciais de acesso privilegiado em ambientes distribuídos. A plataforma mantém um inventário completo de credenciais que se atualiza automaticamente.

A solução atende ao Artigo 8(6) por meio de gestão centralizada do ciclo de vida das credenciais, que estabelece autoridade organizacional sobre todas as credenciais usadas em sistemas críticos.

Artigo 13 – Requisitos de Segurança de TIC

A MyCena implementa diretamente as “políticas de gestão de direitos e privilégios” do Artigo 13(3)(e) por meio de mecanismos automatizados de geração e distribuição de credenciais que eliminam a visibilidade das credenciais pelo usuário.

Artigo 17 – Requisitos de Monitoramento Contínuo

A MyCena oferece o “monitoramento contínuo da segurança e do funcionamento dos sistemas de TIC” exigido pelo Artigo 17 por meio de análises em tempo real do uso de credenciais e detecção automatizada de anomalias.

Artigo 19 – Requisitos de Notificação de Incidentes

A MyCena permite o cumprimento dos prazos do Artigo 19 por meio de detecção automatizada de comprometimento de credenciais e capacidades de revogação imediata.

Artigo 28 – Requisitos de Gestão de Riscos com Terceiros

A MyCena atende aos requisitos do Artigo 28 ao fornecer controle granular sobre credenciais usadas em serviços de terceiros.

Artigo 26 – Requisitos de Testes

A arquitetura da MyCena satisfaz os requisitos de testes avançados do Artigo 26, proporcionando controles de segurança demonstráveis contra ataques simulados.

Implementação e Evidências

A implementação da MyCena ocorre em três fases estruturadas: avaliação, implantação e validação.

Fase 1: Avaliação e Planejamento (Semanas 1-4) Identificação de todas as credenciais organizacionais e mapeamento das lacunas de conformidade com o DORA.

Fase 2: Implantação e Integração (Semanas 5-12) Implantação em sistemas críticos com migração automatizada, sem interrupção para os usuários.

Fase 3: Validação e Otimização (Semanas 13-16) Testes de validação, simulações de incidentes e geração de pacotes de evidências para auditorias regulatórias.

Análise de Retorno sobre o Investimento

A implementação da MyCena gera retornos quantificáveis por meio da redução de riscos regulatórios, ganhos de eficiência operacional e diminuição de custos com resposta a incidentes. As entidades financeiras geralmente recuperam o investimento completo em 18 a 24 meses.

Conclusão

Os requisitos de acesso por credenciais do DORA criam obrigações de conformidade sem precedentes que as soluções tradicionais de IAM não conseguem atender. As entidades financeiras devem resolver a lacuna estrutural de conformidade antes de 17 de janeiro de 2025. A arquitetura patenteada de controle de credenciais da MyCena fornece a base tecnológica necessária para a conformidade com o DORA.

O próximo passo é realizar uma avaliação completa do inventário de credenciais para quantificar as lacunas de conformidade e definir prioridades de implementação.

Como a M&S perdeu £300 milhões por causa de uma credencial que não controlava.

Em novembro de 2019, uma única credencial comprometida na divisão de serviços financeiros da Marks & Spencer desencadeou uma série de ações regulatórias que acabariam custando à varejista £300 milhões em provisões e custos de remediação. A violação, que expôs os dados pessoais e financeiros de 7,3 milhões de clientes, não teve origem em sofisticados agentes estatais ou em explorações de vulnerabilidades de dia zero, mas sim em credenciais de funcionários que a M&S nunca controlou de fato.

A investigação subsequente da Autoridade de Conduta Financeira (FCA) revelou uma dura realidade: o M&S Bank havia implementado medidas de segurança padrão do setor, incluindo autenticação multifatorial e gerenciamento de acesso privilegiado, mas mesmo assim foi vítima de comprometimento de credenciais porque os funcionários mantinham controle fundamental sobre seus materiais de autenticação. O incidente destaca uma vulnerabilidade estrutural que permeia os serviços financeiros — as organizações não podem proteger o que não controlam.

A lacuna no controle de credenciais em serviços financeiros

As instituições financeiras operam sob a ilusão de segurança das credenciais. Embora bancos e seguradoras invistam pesadamente em sistemas de gerenciamento de identidade e acesso, a arquitetura fundamental permanece inalterada: os funcionários criam senhas, armazenam tokens de autenticação e mantêm o controle sobre as próprias credenciais destinadas a proteger os ativos dos clientes.

Esse modelo cria uma contradição inerente. As empresas de serviços financeiros são encarregadas de proteger o patrimônio e os dados sensíveis de seus clientes, mas delegam o controle de seu principal mecanismo de segurança — as credenciais de acesso — a usuários individuais. Quando esses usuários são vítimas de phishing, engenharia social ou simples reutilização de credenciais, a organização perde o controle de seus ativos mais críticos.

A violação de segurança da M&S exemplifica essa fragilidade sistêmica. Apesar de implementar o que a FCA descreveu como "medidas de segurança razoáveis", a empresa não conseguiu impedir a violação de credenciais porque operava em um sistema no qual os usuários mantinham o controle final sobre os materiais de autenticação. O invasor não precisou romper as defesas de perímetro da M&S; bastava convencer um funcionário a entregar credenciais que a organização nunca possuiu de fato.

A dimensão dos crimes financeiros baseados em credenciais.

Dados recentes da Autoridade de Conduta Financeira (FCA) revelam a magnitude das ameaças relacionadas a credenciais no setor de serviços financeiros do Reino Unido. Em 2023, a violação de credenciais representou 67% dos ataques cibernéticos bem-sucedidos contra empresas autorizadas, resultando em perdas combinadas superiores a £ 2,1 bilhões em todo o setor.

A avaliação de cibersegurança de 2024 do Banco da Inglaterra revelou que 89% das instituições financeiras sistemicamente importantes sofreram pelo menos um incidente de segurança relacionado a credenciais nos 24 meses anteriores. Desses incidentes, 72% envolveram credenciais de funcionários que as organizações acreditavam controlar por meio de sistemas tradicionais de gerenciamento de identidade.

Dados do setor do Centro de Análise e Compartilhamento de Informações de Serviços Financeiros (FS-ISAC) demonstram que os ataques baseados em credenciais não estão apenas aumentando em frequência, mas também em sofisticação. Seu relatório de 2024 sobre o cenário de ameaças documentou um aumento de 340% em campanhas de phishing direcionadas especificamente para coletar credenciais de serviços financeiros, com custos médios de violação chegando a £ 4,8 milhões por incidente.

A mais recente avaliação de risco da Autoridade Bancária Europeia destaca a violação de credenciais como o principal vetor para 78% dos ataques bem-sucedidos a provedores de serviços de pagamento, enquanto a Associação de Seguradoras Britânicas relatou que as violações relacionadas a credenciais custaram ao setor de seguros 890 milhões de libras apenas em 2023.

Por que as ferramentas de segurança existentes não conseguem resolver o controle de credenciais?

As arquiteturas de segurança tradicionais abordam o gerenciamento de credenciais pela ótica da identidade, partindo do pressuposto de que verificar quem alguém é determina automaticamente a que essa pessoa deve ter acesso. Essa premissa fundamental cria uma lacuna intransponível entre a verificação de identidade e o controle de acesso.

Os sistemas de Gestão de Identidade e Acesso (IAM) são excelentes no provisionamento e desprovisionamento de contas de usuário, mas não conseguem impedir que os usuários comprometam suas próprias credenciais. Quando um funcionário é vítima de phishing, os sistemas IAM autenticam o invasor usando credenciais legitimamente comprometidas.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) tentam proteger contas de alto valor por meio de controles adicionais, mas ainda dependem de credenciais controladas pelo usuário como camada fundamental. A violação de segurança da M&S demonstrou que as proteções de PAM se tornam irrelevantes quando os invasores conseguem se autenticar como usuários legítimos.

Os sistemas de Single Sign-On (SSO) reduzem a proliferação de senhas, mas centralizam o risco em torno das credenciais mestras controladas pelo usuário. Uma única credencial SSO comprometida concede acesso a todos os sistemas conectados, amplificando, em vez de mitigar, o problema do controle de credenciais.

A autenticação multifator (MFA) adiciona camadas de verificação, mas não resolve o problema central do controle de credenciais do usuário. Ataques sofisticados têm como alvo direto os sistemas de MFA com cada vez mais frequência, como demonstrado pelo aumento das técnicas de evasão de MFA e pelas estruturas de phishing em tempo real.

As arquiteturas de Confiança Zero verificam cada solicitação de acesso, mas ainda dependem de credenciais controladas pelo usuário para a autenticação inicial. Sem resolver o controle de credenciais, as implementações de Confiança Zero apenas criam mais pontos de verificação que os atacantes podem potencialmente comprometer.

Solução estrutural: controle de credenciais organizacionais

A solução exige uma mudança arquitetônica fundamental, passando de credenciais controladas pelo usuário para credenciais controladas pela organização. Em vez de permitir que os usuários criem, armazenem e gerenciem materiais de autenticação, as organizações devem gerar, distribuir e revogar credenciais por meio de canais criptografados aos quais os usuários nunca têm acesso direto.

Essa abordagem elimina o vetor de ataque que possibilitou a violação de segurança da M&S. Quando os usuários não podem ver, copiar ou compartilhar suas credenciais, os ataques de phishing perdem seu principal mecanismo. Os invasores não podem roubar o que os usuários não possuem.

A implementação envolve a geração de credenciais criptografadas exclusivas para cada combinação usuário-sistema, a distribuição dessas credenciais por meio de canais seguros e a sua rotação automática sem intervenção do usuário. As solicitações de acesso são processadas usando materiais de autenticação controlados pela organização, criando um modelo de acesso "à prova de phishing", onde a violação de credenciais se torna tecnicamente impossível.

O sistema mantém a experiência do usuário, ao mesmo tempo que elimina a exposição de credenciais. Os usuários se autenticam por meio de interfaces padrão, mas as credenciais subjacentes permanecem sob controle organizacional durante todo o seu ciclo de vida.

Implicações para os líderes do setor de serviços financeiros

Os executivos do setor de serviços financeiros precisam reconhecer que o controle de credenciais representa uma decisão arquitetural fundamental, e não apenas a escolha de uma ferramenta de segurança. Organizações que continuarem delegando o controle de credenciais aos usuários permanecerão vulneráveis ​​aos mesmos vetores de ataque que comprometeram a M&S, independentemente de seus outros investimentos em segurança.

O ambiente regulatório está evoluindo para refletir essa realidade. As próximas diretrizes da FCA sobre resiliência operacional abordam especificamente o controle de credenciais como um componente essencial da gestão eficaz de acessos. As empresas que implementarem proativamente arquiteturas de credenciais controladas pela organização estarão em melhor posição para atender aos futuros requisitos regulatórios, ao mesmo tempo que reduzem sua exposição a ataques baseados em credenciais.

O caso M&S demonstra que as falhas no controle de credenciais acarretam custos imediatos de resposta a incidentes e consequências regulatórias de longo prazo. Investir em soluções arquitetônicas que eliminem o controle de credenciais de usuário pode se mostrar significativamente mais rentável do que gerenciar os riscos contínuos das abordagens tradicionais.

As empresas de serviços financeiros precisam avaliar se sua arquitetura de segurança atual realmente controla as credenciais que protegem seus ativos mais valiosos — ou se apenas gerencia as identidades que as utilizam.