O que é IAM e como controlar o acesso aos sistemas?
Quando uma pessoa entra, muda de função ou deixa a empresa, seus acessos também precisam mudar. Sem um processo centralizado, contas permanecem ativas e permissões se acumulam com o tempo.
O que significa IAM?
IAM é a sigla de Identity and Access Management, ou gestão de identidades e acessos. É o conjunto de processos e tecnologias utilizado para administrar identidades digitais e controlar o acesso a sistemas, aplicações e informações.
O objetivo é garantir que a pessoa correta tenha o acesso adequado, pelo período necessário e com registro das ações relevantes.
O que é uma identidade digital?
É a representação de uma pessoa, equipamento, aplicação ou serviço dentro do ambiente tecnológico. Uma identidade pode possuir credenciais, grupos, funções, permissões e informações utilizadas nas decisões de acesso.
Quais processos fazem parte do IAM?
Criação e remoção de contas, autenticação, concessão de permissões, revisão periódica de acessos e integração com admissões, movimentações e desligamentos são processos centrais. SSO e MFA podem fazer parte da arquitetura, mas não representam todo o IAM.
Qual é o erro mais comum?
Conceder acesso sem definir responsável, prazo ou revisão. Quando permissões são apenas adicionadas, colaboradores podem manter acessos de funções anteriores. Esse acúmulo amplia o impacto de erros e contas comprometidas.
Como funciona o ciclo de vida de uma identidade?
O IAM acompanha a pessoa desde a contratação até a saída da empresa. Esse ciclo pode ser dividido em três momentos:
- Entrada: a admissão registrada no RH dispara a criação da conta, com os grupos e acessos padrão da função. O colaborador começa a trabalhar no primeiro dia sem depender de pedidos avulsos.
- Movimentação: quem muda de área ou de cargo recebe os acessos da nova função e perde os da anterior. Essa segunda parte é a que mais se esquece.
- Saída: no desligamento, as contas são bloqueadas no mesmo dia, as sessões ativas são encerradas e a responsabilidade por arquivos e caixas de correio é transferida.
Quanto mais esse fluxo depende de e-mails e planilhas, maior a chance de falha. Integrar o sistema de RH ao diretório, como fonte oficial de quem está ativo e em qual cargo, permite automatizar boa parte das etapas.
Identidades que não são pessoas também precisam de gestão?
Sim, e em muitos ambientes elas são mais numerosas que os colaboradores. Contas de serviço, integrações entre sistemas, chaves de API, robôs de automação, agentes de IA e contas de fornecedores também acessam dados e executam ações.
Essas identidades escapam com facilidade das revisões, porque não têm gestor direto nem passam pelo RH. Cada uma deve ter:
- um responsável nomeado;
- uma finalidade documentada;
- permissões limitadas pelo privilégio mínimo;
- data de revisão ou de expiração;
- troca periódica de senhas e segredos.
Contas técnicas com poderes administrativos devem entrar também nos controles de PAM.
Quais são os primeiros passos?
- Inventariar os sistemas usados pela empresa e o lugar onde cada um guarda suas contas.
- Definir onde as identidades são administradas, normalmente um diretório corporativo, como o Active Directory ou o Microsoft Entra ID, alimentado pelos dados do RH.
- Proteger o login com MFA, começando por administradores e acesso remoto.
- Conectar as aplicações ao diretório por SSO sempre que possível, para que o bloqueio da conta no diretório impeça novos logins em todas as aplicações integradas. Sessões abertas, tokens de API e contas locais ainda precisam ser encerrados no processo de desligamento.
- Revisar acessos periodicamente com os gestores de cada área, que confirmam o que ainda faz sentido.
Não é preciso cobrir todos os sistemas de uma vez. Começar pelos que concentram dados sensíveis ou permitem acesso pela internet já reduz boa parte da exposição.
Como saber se o IAM está funcionando?
Alguns indicadores simples mostram a saúde do processo:
- tempo entre o desligamento e o bloqueio de todas as contas da pessoa;
- quantidade de contas ativas sem dono identificado ou sem uso há meses;
- percentual de usuários e administradores com MFA habilitado;
- revisões de acesso concluídas dentro do prazo;
- exceções concedidas e ainda sem data de término.
Esses dados também ajudam a demonstrar, em auditorias e diante da LGPD, que o acesso a dados pessoais é controlado.
IAM organiza o ciclo de vida das identidades e permissões. Seu valor não está apenas no login, mas na capacidade de conceder, revisar e retirar acessos de forma consistente.
Este conteúdo foi útil?
Revisão técnica VIPER IT — última atualização em 11 de outubro de 2026.