Identidade é o plano de controle da empresa moderna

Por décadas a segurança corporativa teve um mapa simples: dentro, fora, e um perímetro entre os dois. O mapa era grosseiro, mas funcionava, porque correspondia a algo físico — cabos, prédios, uma porta que alguém tinha de atravessar. Era possível desenhá-lo numa folha e discutir onde ficavam as coisas.

Esse mapa acabou sem cerimônia e sem anúncio. A operação hoje é feita de serviços de terceiros, ambientes que sobem e descem em minutos, integrações que atravessam empresas e pessoas trabalhando de qualquer lugar. O que restou como fronteira efetiva é a identidade: quem está pedindo, o que aquela credencial pode fazer, e por quanto tempo. Se a identidade é a fronteira, então o alcance de um incidente não se mede em máquinas comprometidas. Mede-se em autorizações alcançadas.

A maioria das identidades não é de gente

Numa empresa com alguma automação, as identidades humanas são minoria confortável. O resto são identidades de serviço: esteiras de integração, tarefas agendadas, conectores entre sistemas, chaves de aplicação, integrações que um time criou numa semana difícil. Elas recebem uma fração da atenção dedicada às pessoas, e a assimetria é estrutural — uma pessoa que entra passa por um processo, uma que muda de área é revista, uma que sai dispara um procedimento. Um projeto que termina simplesmente termina, e a credencial dele continua funcionando.

Elas também diferem de um jeito que importa para a detecção. A credencial de uma pessoa é usada de um lugar e num horário, o que torna o uso anômalo pelo menos concebível. A credencial de um serviço é usada a qualquer hora, por automação, sem padrão humano — que é exatamente o perfil de tráfego do uso indevido. E quase todas nascem largas demais, porque restringir exige saber de antemão quais chamadas a integração vai fazer, e o prazo diz para conceder amplo e revisar depois. Não existe depois.

Credenciais que sobrevivem ao próprio motivo

A credencial de longa duração é o problema que se acumula. Ela sobrevive ao projeto que a criou, à pessoa que a configurou, à relação com o fornecedor e à arquitetura que a justificava. Pelo caminho, é copiada para um segundo lugar por uma razão legítima — um ambiente de teste, uma automação nova, a máquina de alguém — e depois para um terceiro, e ninguém registra a cópia porque cada uma delas foi um ato pequeno e razoável.

Uma credencial de longa duração não é um segredo. É um segredo com validade indeterminada, guardado em lugares que ninguém consegue enumerar.

A resposta de engenharia é conhecida e sem novidade: vida curta, emissão para uma identidade de carga de trabalho em vez de um valor colado na configuração, escopo limitado à operação que precisa ser feita. O que torna isso difícil não é o mecanismo, que existe há anos em qualquer plataforma séria. É o inventário: não se rotaciona o que não se consegue listar, e a lista, quando não foi mantida desde o início, é descoberta quebrando coisas. Por isso a migração para credenciais curtas é, na prática, um projeto de arqueologia com risco operacional — e por isso ela é sempre adiada.

Privilégio só cresce

O ciclo de vida de acesso tem três eventos, e o do meio é o abandonado. A entrada é tratada porque é visível. A saída é tratada porque alguém cobra. A mudança de função não é tratada por ninguém: a pessoa recebe o acesso novo e mantém o antigo, porque remover pode quebrar algo e ninguém consegue dizer o quê. Depois de algumas mudanças, a permissão de alguém descreve uma trajetória de carreira, e não um trabalho. O mesmo vale para serviços que atravessaram migrações: eles acumulam as permissões de todas as arquiteturas anteriores. Quatro perguntas simples raramente têm resposta sobre uma credencial qualquer:

• —O que exatamente ela pode fazer hoje — não o que foi concedido, mas o efetivo, depois de grupos, heranças e políticas somadas.
• —Quem aprovou, com que justificativa, e quando isso foi revisto pela última vez por alguém que não fosse o próprio interessado.
• —Quando ela expira. E, se a resposta for nunca, quem tomou essa decisão.
• —O que quebra se ela for revogada agora — a pergunta que impede todas as outras de terem consequência.

A última é o bloqueio real, e ela é organizacional antes de ser técnica. A revogação é evitada não porque o risco seja mal compreendido, mas porque o custo de errar cai imediatamente sobre quem age, enquanto o risco de não agir cai difusamente sobre a empresa e sem data. Essa assimetria tem uma correção de engenharia: tornar a revogação reversível e ensaiada. Uma suspensão que pode ser desfeita em um minuto muda inteiramente o cálculo de quem decide, porque converte um ato irreversível em um teste — e testes se fazem numa terça-feira, com todo mundo acordado.

O caminho lateral virou um grafo de autorização

O movimento lateral clássico atravessava a rede. O movimento lateral atual atravessa concessões legítimas: uma esteira de construção que pode publicar em produção, um conector com acesso amplo a um repositório de documentos, uma integração de diretório que pode criar identidades, uma ferramenta de suporte que age como qualquer usuário. Nada disso exige uma falha de software. Exige alcançar uma credencial e ler o que ela alcança. E o provedor de identidade é o alvo de maior valor de todos, porque não guarda apenas acesso: ele emite acesso.

Perguntar se alguém consegue entrar deixou de ser interessante. A pergunta é: a partir daqui, aonde a autorização leva?

A posição prática que defendemos é sem mistério. Identidade é um sistema, e sistemas têm dono, inventário, ciclo de vida e caminho de recuperação percorrido antes de ser necessário — inclusive o caso que ninguém ensaia, que é o provedor de identidade ser o próprio incidente, com todas as ferramentas de resposta dependendo dele para autenticar quem responde. Enquanto identidade for tratada como função de suporte, medida pelo tempo de atendimento de um chamado de acesso, a empresa está decidindo por omissão o alcance do próximo incidente. É uma decisão de arquitetura, e ela está sendo tomada por quem não sabe que a está tomando.