O desligamento de um funcionário tem roteiro: crachá devolvido, acesso cortado, caixa de mensagens encerrada no mesmo dia. Nada parecido acontece quando um projeto termina e as integrações criadas para ele continuam ativas. Jean Pierre Lessa e Santos Ferreira, CTO, explica esse desequilíbrio como o ponto cego mais comum da segurança da informação nas empresas.
São contas de serviço, chaves de acesso, tokens de integração e certificados. Cada conexão entre dois sistemas exige autenticação, e cada autenticação cria uma identidade que carrega privilégios próprios. O número dessas identidades cresceu junto com a nuvem e com a automação, e em muitas operações já supera o de pessoas com crachá.
A conta de serviço que ninguém desliga
Uma integração criada para um piloto de três meses costuma continuar respondendo anos depois. Ela nasceu para resolver algo pontual, funcionou e nunca entrou em lista alguma de encerramento, porque lista não havia. Quando o time original muda de área, some também a memória de para que aquilo servia.
Na investigação de um incidente, esse desenho vem à tona. A trilha mostra uma cadeia de chamadas entre serviços que pouca gente conhecia por inteiro, com uma credencial criada tempos atrás para uma necessidade que já não existe. O acesso seguia válido porque nunca houve motivo aparente para removê-lo.
Por que a permissão só cresce?
Reduzir privilégio dá trabalho e assusta. Tirar uma permissão exige saber exatamente o que aquela conta faz, e errar significa quebrar um processo em produção no meio do expediente. Não por acaso, Jean Pierre Lessa e Santos Ferreira indica o caminho oposto como padrão da casa: concede-se acesso amplo para destravar a entrega, e a revisão fica para depois.
Depois raramente chega. Cada demanda nova soma uma permissão, nenhuma rotina subtrai, e em pouco tempo a conta de um serviço simples enxerga bem mais do que precisaria. O menor privilégio deixa de ser regra e vira exceção, aplicada apenas onde alguém teve tempo de conferir.
A chave que sobrevive à troca de time
Máquinas não digitam o código enviado ao celular. Como o segundo fator tradicional não se aplica a elas, consolidou-se o uso de credenciais fixas, muitas vezes gravadas no próprio código ou em arquivo de configuração. Se o repositório vaza, a credencial vaza junto, e ela costuma valer para sempre.
Em plataformas de nuvem, a chave de uma conta de serviço nasce sem prazo de validade por padrão. Existe a opção de impor expiração por política, com validade medida em horas ou poucos dias, mas essa configuração precisa ser feita antes e não alcança as chaves já criadas. O padrão vence a intenção.
O que muda quando a credencial nasce com prazo?
A troca consiste em substituir o segredo permanente por credencial temporária, emitida no momento do uso e descartada logo depois. Para o executivo, o ganho principal está em outro ponto: o vazamento deixa de ser catastrófico, porque o que escapa expira sozinho antes de render acesso duradouro a quem o encontrou.
Prazo curto tem um efeito secundário útil. Como a renovação vira rotina, a equipe descobre cedo quais integrações ninguém sabe reativar, e são justamente essas que precisam de dono e de documentação. Credencial que ninguém consegue emitir de novo é sinal de processo esquecido, nunca de estabilidade, e o custo de descobrir isso durante um incidente é bem maior.
Inventário vem antes de ferramenta
Nenhuma dessas medidas funciona sem a lista. Antes de contratar cofre de segredos ou plataforma de gestão de acesso, é preciso saber quantas identidades de máquina existem, quem responde por cada uma, o que ela alcança e desde quando está ativa. A resposta costuma ser desconfortável.
Identidade de máquina merece o mesmo ciclo de vida da identidade de pessoa: criação com propósito declarado, responsável nomeado, revisão periódica e encerramento formal. Jean Pierre Lessa e Santos Ferreira conclui que a primeira pergunta não é qual ferramenta adotar, e sim quantas contas continuam abertas hoje por pura inércia.