Identidades não-humanas: os acessos de máquina que sua empresa não está governando

O perímetro que ninguém está olhando

Quando falo sobre gestão de identidade e acesso para conselhos e diretorias, a conversa quase sempre gravita para o mesmo lugar: colaboradores, senhas, autenticação multifator, revisão de acessos de funcionários. É natural. Passamos décadas construindo controles em torno de pessoas, porque foram as pessoas que sempre nos deram dor de cabeça em auditoria. O problema é que enquanto olhávamos para o crachá do funcionário, o perímetro de identidade da organização mudou completamente de natureza, e poucos perceberam.

Hoje, na maioria das empresas de médio e grande porte com que trabalho, o número de identidades não-humanas supera com folga o número de identidades humanas. Estou falando de chaves de API, contas de serviço, certificados digitais, tokens de aplicação, robôs de automação e, mais recentemente, agentes de inteligência artificial que tomam decisões e executam ações sozinhos. Cada integração entre dois sistemas cria pelo menos uma credencial. Cada microsserviço, cada pipeline, cada conector de nuvem carrega o seu próprio acesso.

O que vejo com frequência é uma assimetria desconfortável. A identidade de um estagiário que fica três meses na empresa passa por processo de admissão, termo de responsabilidade, provisionamento controlado e desligamento formal. Já uma conta de serviço com acesso de administrador ao banco de dados de produção nasce dentro de um chamado técnico, ganha uma senha que nunca expira e permanece ativa por anos, sem dono, sem revisão, sem que ninguém saiba exatamente o que ela pode fazer. É esse ponto cego que precisamos iluminar.

Por que o perímetro virou majoritariamente de máquina

A transformação digital que tanto celebramos tem um efeito colateral pouco discutido nas salas de governança. Cada iniciativa de modernização, migração para nuvem, adoção de software como serviço e automação de processos multiplica o número de conexões entre sistemas. E toda conexão precisa se autenticar. Não existe integração sem credencial. O resultado é que a superfície de identidade da empresa cresceu de forma expressiva, mas essa expansão aconteceu quase toda no território das máquinas.

Arquiteturas modernas amplificam esse efeito. Quando uma aplicação monolítica é quebrada em dezenas de serviços independentes, cada pedaço precisa de identidade própria para conversar com os demais. Quando se adota infraestrutura em nuvem, surgem papéis, chaves e tokens para orquestrar recursos que antes eram físicos. A conta de serviço deixou de ser exceção e virou o tijolo básico da construção tecnológica. O engenheiro que provisiona esse ambiente pensa em funcionalidade, não em governança de identidade, e faz sentido do ponto de vista dele.

O ponto que insisto em levar para a diretoria é estratégico, não técnico. Se a maioria das nossas identidades é de máquina e nós governamos apenas as humanas, então estamos governando a minoria da nossa exposição. É como ter um sistema de segurança sofisticado na porta da frente enquanto dezenas de portas laterais permanecem destrancadas porque ninguém sequer sabe que elas existem. Nenhum programa de gestão de identidade e acesso pode se considerar maduro se ignora o volume que efetivamente compõe o perímetro.

O que exatamente é uma identidade não-humana

Uso o termo com frequência e percebo que ele nem sempre é claro para quem não é da área técnica, então vale delimitar. Identidade não-humana é qualquer credencial ou mecanismo de autenticação usado por um sistema, aplicação ou processo automatizado para acessar recursos, sem intervenção direta de uma pessoa no momento do acesso. Ela representa um software agindo, não um indivíduo digitando sua senha.

As formas mais comuns que encontro nas organizações brasileiras incluem contas de serviço, que são usuários criados especificamente para que uma aplicação rode ou acesse outra, chaves de API, que funcionam como senhas para que sistemas conversem entre si, e certificados digitais, que autenticam servidores e estabelecem confiança entre máquinas. Há também os tokens de acesso, credenciais temporárias em teoria, mas que na prática muitas vezes se eternizam, e as identidades atribuídas a robôs de automação de processos.

O que torna essas identidades perigosas não é a tecnologia em si, é o comportamento organizacional em torno delas. Uma identidade humana tem alguém que a usa, esquece a senha, muda de área, sai da empresa. Ela dá sinais de vida e de morte. A identidade de máquina não reclama, não pede reset, não vai embora. Ela simplesmente continua funcionando em silêncio, com o mesmo poder que recebeu no dia em que foi criada, muitas vezes maior do que precisaria, indefinidamente. Esse silêncio é exatamente o que a torna atraente para quem quer entrar sem ser notado.

O poder que essas credenciais concentram

Existe um mito confortável de que credenciais de máquina são de baixo risco porque não pertencem a ninguém importante. A realidade é o oposto. As identidades não-humanas costumam concentrar os acessos mais sensíveis da organização, justamente porque precisam operar em escala e sem supervisão humana constante. A conta de serviço que sincroniza dados entre dois sistemas críticos frequentemente tem permissão de leitura e escrita em bases inteiras, algo que jamais concederíamos a um funcionário individual.

Após anos trabalhando com auditorias de acesso, aprendi a olhar primeiro para essas contas quando quero entender o risco real de uma empresa. Elas são o caminho mais curto para o coração dos sistemas. Um atacante que compromete uma chave de API com escopo amplo não precisa escalar privilégios nem se mover lateralmente com esforço. Ele já entrou com as chaves do cofre na mão. E como essas credenciais não estão sujeitas a autenticação multifator na maioria das implementações, uma vez vazadas, funcionam de imediato.

O agravante é a tendência ao excesso de permissão. Quando um técnico configura uma integração sob pressão de prazo, o caminho mais fácil é conceder acesso amplo para garantir que tudo funcione. Refinar permissões depois exige tempo, testes e risco de quebrar algo em produção, então quase nunca acontece. O resultado é um passivo de credenciais superpoderosas espalhadas pela infraestrutura, cada uma delas um alvo de altíssimo valor que ninguém está monitorando ativamente.

Agentes de IA autônomos: o novo vetor que ninguém mapeou

Aqui chegamos ao ponto que mais me preocupa neste momento. A adoção acelerada de agentes de inteligência artificial autônomos introduz uma categoria de identidade não-humana com características inéditas e riscos que a maioria das empresas ainda não dimensionou. Diferente de uma conta de serviço que executa um script previsível, o agente de IA recebe credenciais e um objetivo, e decide sozinho quais ações tomar para alcançá-lo.

Pense no que isso significa em termos de governança. Estamos entregando credenciais de acesso a sistemas reais para uma entidade cujo comportamento não é totalmente determinístico. O agente pode encadear ações que não previmos, acessar recursos que não antecipamos e reagir a instruções manipuladas de formas que não testamos. Quando esse agente recebe uma credencial de escopo amplo, ele se torna um vetor de ataque potente, porque a superfície de risco deixa de ser apenas a credencial e passa a incluir a imprevisibilidade da própria decisão automatizada.

O que vejo é uma corrida para colocar agentes em produção movida por entusiasmo e pressão competitiva, sem que a área de governança tenha sido incluída na conversa. As credenciais são concedidas do mesmo jeito displicente de sempre, só que agora para uma entidade que age com autonomia. É a combinação mais arriscada possível: poder de acesso somado a comportamento não plenamente controlável. Minha recomendação direta às diretorias é tratar cada agente de IA que toca sistemas produtivos como uma identidade privilegiada de altíssimo risco, sujeita a controle rigoroso, e não como uma ferramenta de produtividade inofensiva.

Credenciais eternas: o hábito que precisa morrer

A raiz de boa parte do problema é cultural e está num hábito que se instalou por comodidade. Criamos credenciais de máquina que nunca expiram. A senha da conta de serviço é definida uma vez e permanece válida por anos, porque trocá-la exigiria coordenar mudanças em vários sistemas, e ninguém quer assumir o risco de derrubar uma integração. Então a credencial fica lá, imutável, acumulando anos de exposição a cada dia que passa.

O problema dessa permanência é que ela transforma qualquer vazamento em um problema permanente. Se uma chave que expira em uma hora vaza, o dano é limitado à janela em que ela é válida. Se uma chave que nunca expira vaza, o atacante tem acesso indefinido, e frequentemente nem sabemos que houve vazamento, porque a credencial continua funcionando normalmente para o uso legítimo. A empresa opera na ilusão de normalidade enquanto alguém já entrou.

O princípio que defendo, e que já é tecnicamente viável na maioria dos ambientes modernos, é o das credenciais efêmeras. Em vez de conceder uma senha permanente, a infraestrutura gera credenciais de curtíssima duração, válidas apenas pelo tempo necessário para executar uma tarefa, e as descarta em seguida. Some-se a isso o escopo mínimo por tarefa: a credencial não deve carregar todos os poderes possíveis, apenas os estritamente necessários para aquela operação específica. Se um agente precisa apenas ler um relatório, ele não recebe permissão de escrita. Essa combinação de efemeridade com escopo restrito reduz drasticamente o valor de qualquer credencial que porventura vaze.

Todo acesso de máquina precisa de um dono humano

Se há uma mensagem que eu gostaria que ficasse desta leitura, é esta: nenhuma identidade não-humana pode existir sem um dono humano formalmente responsável por ela. O problema mais grave que encontro não é técnico, é de responsabilidade. Quando pergunto quem responde por determinada conta de serviço, a resposta costuma ser um silêncio constrangido, ou um "isso foi criado pela equipe que já nem está mais aqui". A credencial existe, tem poder, e não tem dono. É um risco órfão.

A ausência de dono inviabiliza toda a cadeia de governança. Sem alguém responsável, não há quem decida se a credencial ainda é necessária, quem aprove suas permissões, quem seja acionado quando ela apresenta comportamento anômalo, quem responda em uma auditoria. A identidade de máquina se torna um objeto flutuante que ninguém pode desligar por medo de quebrar algo desconhecido. E assim ela sobrevive a reestruturações, trocas de fornecedor e mudanças de arquitetura, acumulando um passivo silencioso.

O modelo que recomendo é simples de enunciar e transformador na prática. Cada identidade não-humana precisa estar vinculada a uma pessoa ou papel formal dentro da organização, um responsável que responde pelo ciclo de vida completo daquela credencial. Es

Perguntas frequentes

O que são identidades não-humanas em uma empresa?
Identidades não-humanas são contas de acesso criadas para máquinas, aplicações e sistemas, não para pessoas. Incluem APIs, contas de serviço, certificados digitais e tokens de autenticação que permitem que softwares se comuniquem e acessem recursos. Diferentemente de um colaborador, essas identidades não têm um rosto ou CPF, mas possuem credenciais que precisam ser gerenciadas com rigor.

Por que identidades não-humanas representam risco de segurança?
Porque a maioria das empresas não sabe quantas existem nem como estão sendo usadas, criando brechas de acesso invisíveis. Uma credencial comprometida de uma API ou conta de serviço pode dar acesso irrestrito a dados sensíveis sem ativar alertas tradicionais. Sem governança adequada, essas identidades viram portas dos fundos para invasores.

Quantas identidades não-humanas uma empresa média deve ter?
Não há um número ideal, pois varia conforme tamanho e complexidade, mas em empresas médias e grandes já é comum haver 5 a 10 vezes mais identidades não-humanas do que humanas. O importante é saber exatamente quantas existem, onde estão e para que servem. Organizações sem inventário dessas contas frequentemente descobrem acessos fantasmas durante auditorias.

Qual é a diferença entre gestão de identidades humanas e não-humanas?
Identidades humanas têm ciclo de vida vinculado à admissão e demissão do colaborador, enquanto não-humanas são criadas sob demanda por times de desenvolvimento e infraestrutura, frequentemente sem documentação. As não-humanas vivem por muito tempo sem revisão, não requerem mudança de senha periódica nos modelos tradicionais e são compartilhadas entre múltiplos sistemas. Isso exige processos, ferramentas e políticas completamente diferentes.

Como começo a governar identidades não-humanas na minha empresa?
O primeiro passo é fazer um inventário completo de todas as contas de serviço, APIs e certificados em produção, identificando proprietários e acessos. Em seguida, implemente uma política clara de criação, rotação de credenciais e revogação desses acessos. Por fim, escolha uma solução de gerenciamento que permita centralizar essas credenciais e auditar seu uso em tempo real.

Qual ferramenta usar para gerenciar identidades não-humanas?
Existem soluções especializadas como gerenciadores de segredos (Vault, AWS Secrets Manager) e plataformas de PAM (Privileged Access Management) que oferecem funcionalidades de identidade não-humana. A escolha depende da maturidade da sua infraestrutura, tamanho da organização e complexidade dos ambientes. O importante é que a solução integre-se aos seus sistemas existentes e forneça auditoria completa.

Com que frequência devo rotacionar credenciais de máquina?
Recomenda-se rotação automática a cada 30 a 90 dias, dependendo do nível de criticidade do acesso e conformidade regulatória. Credenciais de acesso a dados sensíveis ou sistemas financeiros devem ser rotacionadas com maior frequência. A rotação deve ser automatizada para evitar falhas operacionais e garantir que credenciais antigas sejam revogadas imediatamente.

Como medir a maturidade da gestão de identidades não-humanas?
Você pode avaliar através de indicadores como percentual de contas documentadas versus não documentadas, tempo desde a última rotação de credenciais e quantidade de acessos auditados. Organizações maduras mantêm 100% das identidades inventariadas, realizam rotação automática de credenciais e possuem logs de auditoria completos. Ferramentas de compliance como SOC 2 e ISO 27001 ajudam a estabelecer benchmarks.

Quanto custa implementar um programa de governança de identidades não-humanas?
O custo varia bastante conforme a solução escolhida, tamanho da empresa e complexidade, mas geralmente envolve investimento em software (de R$ 50 mil a milhões por ano) e horas de implementação. Organizações que implementam internamente gastam entre 2 e 6 meses de trabalho de especialistas. O retorno é significativo em redução de incidentes e conformidade regulatória.

Quais regulamentações exigem governança de identidades não-humanas?
Normas como LGPD, ISO 27001, SOC 2 e frameworks de banco central (como Circular 3.909 para instituições financeiras) exigem controle de acesso e auditoria de todas as identidades, incluindo as não-humanas. Setores como saúde, finanças e governo têm exigências ainda mais rigorosas. Falhar na governança pode resultar em multas pesadas e perda de conformidade.

A GovSimplix trata o Gerenciamento de Identidades e Acessos como um dos 11 domínios do seu modelo de governança empresarial, integrando controles de acesso, segregação de funções e trilhas de auditoria à estrutura de segurança e compliance da organização.

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.