Toda empresa que opera na nuvem, seja em AWS, Azure ou Google Cloud, depende de um conjunto de decisões sobre quem pode acessar o quê. Esse conjunto de decisões é a gestão de identidade e acesso, ou IAM (Identity and Access Management), e é ela que determina se um usuário, uma aplicação ou um serviço automatizado consegue ler, alterar ou apagar dados e recursos. Neste artigo, explicamos os princípios centrais do IAM e como aplicá-los na prática, alinhados à LGPD e a normas internacionais como ISO/IEC 27001, NIST e CIS Controls.
O que é IAM e por que ele é a base da segurança na nuvem
IAM é o conjunto de processos, políticas e ferramentas usados para gerenciar identidades (de pessoas, aplicações e serviços) e controlar o que cada uma pode fazer dentro de um ambiente de nuvem. Isso inclui autenticação (confirmar que alguém é quem diz ser), autorização (definir o que essa identidade pode acessar) e o ciclo de vida completo da conta, do provisionamento até o desligamento.
A ISO/IEC 27001:2022, no Anexo A, trata esse tema diretamente no controle 5.16 (Identity Management), que exige o gerenciamento do ciclo de vida completo de identidades humanas e não humanas: registro, verificação, provisionamento, manutenção e desativação. A norma também recomenda a regra de "uma entidade, uma identidade", com tratamento específico para identidades compartilhadas e para contas de serviço. Os controles 5.17 (Authentication Information) e 5.18 (Access Rights) complementam esse tema, cobrindo credenciais e direitos de acesso.
No Brasil, a LGPD (Lei 13.709/2018) reforça a importância do IAM como camada de proteção de dados pessoais. Falhas de controle de acesso são uma das causas mais comuns de incidentes, e a ANPD pode aplicar sanções administrativas de até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, além de possível suspensão do tratamento de dados. Por isso, um programa de IAM bem estruturado não é apenas uma boa prática técnica, mas também parte da conformidade legal.
Princípio do menor privilégio na prática
O princípio do menor privilégio determina que cada identidade, seja uma pessoa ou uma aplicação, deve ter apenas as permissões estritamente necessárias para executar sua função, nada além disso. Na prática, cada provedor de nuvem oferece ferramentas próprias para apoiar essa aplicação:
- Na AWS, o IAM Access Analyzer gera políticas de privilégio mínimo com base na atividade real registrada no CloudTrail, valida políticas com mais de 100 verificações automáticas e identifica acessos públicos ou entre contas que não eram intencionais.
- No Google Cloud, a recomendação é evitar os papéis básicos (Owner, Editor, Viewer) em ambientes de produção, preferindo papéis predefinidos ou customizados com o menor escopo possível, além de conceder permissões a grupos em vez de usuários individuais.
- Em ambientes com Zero Trust, como o modelo defendido pela Microsoft, o acesso condicional e a avaliação contínua reforçam o menor privilégio ao revogar acesso quase em tempo real quando um evento de risco é detectado.
Esse princípio também aparece nos CIS Controls v8, especificamente no Controle 6 (Access Control Management), que exige controle de acesso baseado no menor privilégio, uso de RBAC (controle de acesso baseado em papéis) e contas administrativas dedicadas, separadas das contas de uso geral do dia a dia.
Papéis (roles) vs. usuários: quando usar cada um
Uma dúvida comum entre times técnicos é quando usar usuários IAM tradicionais e quando usar papéis (roles). A diferença é importante e impacta diretamente o nível de risco do ambiente.
Para pessoas, a recomendação da AWS é usar federação com um provedor de identidade, por exemplo via AWS IAM Identity Center, para obter credenciais temporárias em vez de criar usuários IAM com chaves de acesso de longo prazo. Isso significa que o colaborador se autentica uma vez no provedor de identidade da empresa e recebe acesso temporário aos recursos de nuvem necessários, sem precisar guardar chaves fixas.
Para workloads, como instâncias EC2, funções Lambda ou containers, a recomendação é o uso de papéis (roles) do IAM, que fornecem credenciais temporárias renovadas automaticamente, evitando chaves de acesso fixas embutidas em código-fonte. Para cargas de trabalho fora da nuvem principal, existem mecanismos como o IAM Roles Anywhere (baseado em certificados X.509) e métodos como AssumeRoleWithSAML ou AssumeRoleWithWebIdentity.
Em resumo:
- Usuários IAM com chaves de longo prazo devem ser evitados sempre que uma alternativa federada ou baseada em papéis estiver disponível.
- Papéis e credenciais temporárias devem ser o padrão, tanto para pessoas quanto para aplicações.
- Quando não for possível eliminar usuários privilegiados, é essencial reforçar sua proteção com autenticação multifator.
MFA e credenciais: reduzindo o risco de acessos indevidos
A autenticação multifator (MFA) é uma das medidas mais eficazes para reduzir o risco de acesso indevido, especialmente para contas privilegiadas. A AWS recomenda o uso de MFA resistente a phishing, como passkeys e chaves de segurança FIDO2, para o usuário root e para usuários IAM privilegiados nos casos em que não é possível substituí-los por papéis com credenciais temporárias.
Essa tendência de priorizar métodos resistentes a phishing em vez de SMS ou códigos OTP tradicionais também aparece nas diretrizes da Microsoft para Zero Trust, que recomendam bloquear protocolos de autenticação legados (como Basic Authentication), exigir MFA e dispositivos FIDO2 sem senha, e delegar a gestão de identidade a serviços especializados, como Microsoft Entra ID ou Azure Key Vault, em vez de manter sistemas próprios de usuário e senha.
O guia de identidade digital do NIST, antes descrito na SP 800-63-3, foi atualizado pela SP 800-63-4, publicada em versão final em julho de 2025, e cobre prova de identidade, autenticadores e processos de federação. Já a família de controles Identification and Authentication (IA) da NIST SP 800-53 Revisão 5 trata desses temas de forma estrutural para organizações que seguem esse framework.
Sob a LGPD, medidas técnicas como MFA, criptografia em trânsito e em repouso, controle de acesso baseado em papéis e logs de acesso com retenção definida costumam ser citadas como práticas recomendadas para o tratamento seguro de dados pessoais em nuvem, especialmente quando o provedor de nuvem atua como operador nesse fluxo.
Auditoria e revisão periódica de acessos
IAM não é uma configuração feita uma única vez. Contas, papéis e permissões precisam ser revisados periodicamente para evitar o acúmulo de acessos não utilizados, um risco conhecido como privilégio excessivo.
Boas práticas incluem:
- Revisar regularmente usuários, papéis e permissões não utilizados, usando informações de último acesso disponíveis nos provedores de nuvem.
- Aplicar permission boundaries para limitar o máximo de permissão que pode ser delegada a uma identidade.
- Usar guardrails no nível da organização, como SCPs e RCPs na AWS, para impor limites globais de segurança.
- Auditar mudanças de política de acesso, por exemplo através do Cloud Audit Logs no Google Cloud.
Esse processo de governança contínua de identidade converge com o Controle 5 (Account Management) dos CIS Controls v8, que trata do ciclo de vida de contas de usuário, serviço e administração, e também com os controles 5.16 a 5.18 da ISO/IEC 27001:2022. Juntos, esses frameworks reforçam que RBAC, combinado a revisões periódicas, é a base de um programa de acesso auditável e defensável perante clientes, parceiros e órgãos reguladores.
Checklist rápido de conformidade IAM
Para empresas brasileiras que operam na nuvem, um checklist inicial de IAM pode incluir:
- Substituir usuários com chaves de acesso fixas por federação de identidade ou papéis com credenciais temporárias.
- Ativar MFA resistente a phishing para contas privilegiadas e para o usuário root ou equivalente.
- Aplicar o princípio do menor privilégio, usando ferramentas nativas de análise de permissões de cada provedor.
- Conceder acesso a grupos, não a indivíduos, sempre que possível.
- Revisar periodicamente contas, papéis e permissões não utilizados.
- Manter logs de acesso com retenção definida para fins de auditoria e resposta a incidentes.
- Mapear esses controles às exigências da LGPD e, quando aplicável, à ISO/IEC 27001, NIST ou CIS Controls.
Conclusão
A gestão de identidade e acesso é um dos pilares mais concretos da segurança em nuvem: ela define, na prática, quem pode fazer o quê nos seus sistemas. Aplicar o menor privilégio, preferir papéis e credenciais temporárias a chaves fixas, adotar MFA resistente a phishing e manter uma rotina de auditoria são passos que fortalecem tanto a segurança quanto a conformidade com a LGPD e normas como ISO/IEC 27001, NIST e CIS Controls.
Se sua empresa quer revisar sua estratégia de IAM ou entender por onde começar, a Cloud Minds Trusted pode ajudar a estruturar esse processo de forma prática e alinhada às normas vigentes.