Por que ainda tropeçamos em permissões excessivas?

Mesmo com a crescente maturidade no uso de boas práticas de segurança em nuvem, muitas empresas ainda enfrentam um velho problema: o excesso de permissões e os acessos permanentes. De acordo com o Relatório de Riscos de Segurança na Nuvem 2025 (*) 83% das empresas que utilizam a Amazon Web Services (AWS) já configuraram serviços de Provedores de Identidade (IdPs), um avanço na centralização do controle de acesso.

No entanto, isso ainda está longe de significar segurança total, porque os IdPs são facilitadores, não garantidores de segurança. Permissões mal configuradas, acessos sem limite de tempo e políticas permissivas, continuam deixando brechas exploráveis por agentes maliciosos. A utilização da autenticação multifator (MFA) ainda é uma reclamação do usuário devido à sua complexidade. Além disso, permissões concedidas para tarefas temporárias muitas vezes permanecem ativas indefinidamente, ampliando a superfície de ataque de forma desnecessária.

Os principais provedores de nuvem já oferecem recursos nativos robustos de gerenciamento de identidade e acesso. O desafio, hoje, é mais cultural do que operacional. É preciso uma mudança de mentalidade para implementar o princípio do menor privilégio, adotar acesso just-in-time e realizar auditorias frequentes e automáticas nas permissões concedidas.

Também é fundamental entender que segurança de identidade é uma jornada contínua, especialmente em um ambiente onde os ataques se tornam cada vez mais sofisticados e exploram justamente configurações que escapam ao olhar humano. A adoção de boas práticas cresce, mas os riscos persistem justamente porque a configuração correta não é uma tarefa pontual, ela exige monitoramento constante, visibilidade e automação.

Se a identidade é o novo perímetro da segurança digital, garantir que ela seja bem gerida, não pode ser opcional, mas, sim, uma das principais prioridades.

(*) O Relatório de Riscos de Segurança na Nuvem 2025 reflete as descobertas da equipe da Tenable Cloud Research com base na telemetria de cargas de trabalho em diversos ambientes corporativos e de nuvem pública, analisadas de outubro de 2024 a março de 2025.