Gestão de identidade e acesso (IAM): o que é e por onde a PME começa

Gestão de identidade e acesso (IAM) é o conjunto de processos e ferramentas que garante que cada pessoa entre só nos sistemas de que precisa, pelo tempo necessário, com registro. Numa PME, começa com inventário de contas, MFA e um processo claro de entrada e saída de funcionários.

O que é gestão de identidade e acesso (IAM)?

A documentação da Microsoft sobre IAM define o tema assim: garantir que as pessoas, computadores e componentes de software certos acessem os recursos certos no momento certo. Primeiro, quem pede acesso prova que é quem diz ser. Depois, recebe ou tem negado o acesso a cada recurso.

Na prática, IAM responde a três perguntas que todo gestor de TI deveria conseguir responder em minutos:

• Quem tem conta em cada sistema da empresa (e-mail, ERP, VPN, pastas, nuvem)?
• O que cada conta pode fazer lá dentro?
• Quem aprovou esse acesso e quando ele foi revisto pela última vez?

Se a resposta depende de abrir cinco painéis e perguntar a três pessoas, a empresa ainda não tem gestão de identidade. Tem contas espalhadas.

Qual a diferença entre autenticação e autorização?

São duas etapas diferentes, e confundir as duas gera falhas de segurança.

• Autenticação comprova a identidade: senha, código no celular, biometria.
• Autorização decide o que essa identidade pode acessar depois de entrar.

Um exemplo: o estagiário faz login corretamente (autenticação ok), mas não deveria abrir a pasta da folha de pagamento (autorização). Muitas empresas investem só na primeira etapa. A senha forte protege a porta, mas não decide quais salas a pessoa visita.

Por que gestão de identidade e acesso importa para uma PME?

Porque uma credencial válida nas mãos erradas abre a porta sem disparar alarme. Segundo a pesquisa da Verizon ligada ao DBIR 2025, o uso de credenciais comprometidas foi vetor de acesso inicial em 22% das violações analisadas no relatório.

O mesmo estudo analisou registros de login único (SSO) e encontrou tentativas de credential stuffing, o teste automatizado de senhas vazadas em outros serviços. Na mediana diária, elas foram 19% de todas as tentativas de autenticação. Em pequenas empresas, 12%. Ou seja: ser pequeno não tira a empresa da mira.

Há também o lado operacional. Sem IAM, cada admissão vira uma sequência de pedidos manuais, e cada desligamento depende de alguém lembrar de todos os sistemas. É aí que surgem as contas órfãs: logins de ex-funcionários que continuam ativos.

O que um programa de IAM precisa cobrir?

O guia de boas práticas de IAM da CISA e da NSA organiza o tema em cinco frentes. Elas servem como checklist para qualquer porte de empresa:

1. Governança de identidade: gestão centralizada, baseada em política, de quem tem qual acesso.
2. Endurecimento do ambiente: reduzir as brechas que facilitam o ataque, como contas locais desnecessárias.
3. Federação e login único (SSO): autenticação centralizada em vez de uma senha por sistema.
4. Autenticação multifator (MFA): mais de uma prova de identidade no login.
5. Monitoramento e auditoria: registrar e analisar logs para perceber comportamento fora do esperado.

O guia dá peso especial ao ciclo de vida do usuário: entrada, mudança de função e saída. Na saída, contas e privilégios precisam ser encerrados prontamente. Na mudança de função, o risco é o acúmulo: quem passa por vários cargos tende a juntar permissões que já não usa.

Por onde começar a gestão de identidade e acesso na PME?

Não é preciso comprar uma plataforma no primeiro dia. A ordem abaixo funciona para a maioria das empresas:

1. Faça o inventário. Liste os sistemas e quem tem conta em cada um. Inclua contas de serviço, contas compartilhadas e acessos de terceiros.
2. Escolha uma fonte única de identidade. Em geral, o diretório que já existe (por exemplo, o Microsoft Entra ID para quem usa Microsoft 365). Os outros sistemas devem confiar nele.
3. Ative MFA, começando pelo e-mail e pelas contas de administrador. É uma medida barata e eficaz contra senha vazada.
4. Formalize entrada, mudança e saída. O RH avisa, a TI executa a partir de um checklist, e o registro fica no chamado.
5. Separe contas de administrador. Ninguém usa conta com privilégio total para ler e-mail. Senhas de admin ficam em cofre, com registro de uso.
6. Revise acessos periodicamente. O gestor de cada área confirma, pelo menos a cada trimestre, quem ainda precisa de cada acesso.

Só depois disso a automação faz sentido. Automatizar um processo que ninguém definiu apenas acelera a bagunça.

IAM, IGA, SSO e PAM: qual a diferença?

As siglas se sobrepõem, mas cada uma cobre uma parte:

• IAM é o guarda-chuva: identidade, autenticação e autorização.
• IGA (governança de identidade) cuida do ciclo de vida, das aprovações e das revisões de acesso.
• SSO permite entrar uma vez e acessar vários sistemas com a mesma identidade.
• PAM (gestão de acesso privilegiado) protege as contas com poder de administrador.

Explicamos como essas camadas se combinam em ambientes com nuvem e servidores locais no artigo sobre IGA, SSO/MFA e PAM em ambientes híbridos.

O que a gestão de identidade e acesso não resolve sozinha?

IAM reduz muito o risco, mas tem limites claros:

• Não protege um computador já infectado. Se o malware rouba a sessão aberta no navegador, o login válido já aconteceu. Proteção de endpoint continua necessária.
• Nem todo MFA resiste a phishing. O próprio guia da CISA e da NSA alerta que só algumas soluções de MFA mitigam esse tipo de ataque.
• Não corrige processo ruim. Se o RH não avisa a TI sobre o desligamento, nenhuma ferramenta desativa a conta a tempo.
• Não cobre o que ficou fora do inventário. Sistemas contratados direto pelas áreas, sem passar pela TI, escapam do controle.

Como a Lenanzo Tech ajuda na gestão de identidade e acesso

A Lenanzo Tech, de Campinas/SP, trabalha IAM em camadas, de acordo com o momento de cada empresa:

• Segurança e Identidade: governança de identidade (IGA), login único e MFA, para centralizar acessos e organizar entrada e saída de funcionários. Veja também por que a autenticação multifator com OneLogin costuma ser o primeiro passo.
• Senha Segura 360° (PAM): cofre e controle de uso das senhas de administrador.
• Gestão de Endpoints e Proteção de Endpoint e Firewall, para cobrir o que a identidade sozinha não protege.

Quer saber por onde começar no seu ambiente? Fale com a equipe da Lenanzo Tech e faça um diagnóstico dos acessos da sua empresa.

Perguntas frequentes sobre gestão de identidade e acesso

IAM é só para empresa grande?

Não. Os princípios valem para qualquer porte. Numa PME, o início costuma ser inventário de contas, MFA e checklist de entrada e saída.

Microsoft 365 já faz gestão de identidade?

Ele traz o Microsoft Entra ID, que pode ser a fonte única de identidade. Mas os processos de aprovação, revisão e desligamento precisam ser definidos pela empresa.

Qual é o primeiro passo mais barato?

Ativar MFA no e-mail e nas contas de administrador. Em seguida, fazer o inventário de quem acessa o quê.

Com que frequência revisar os acessos?

Não há prazo único. Uma rotina trimestral funciona para a maioria das PMEs, além de revisar sempre que alguém muda de função ou sai da empresa.

IAM ajuda na LGPD?

Ajuda a mostrar quem acessa dados pessoais e a restringir esse acesso, o que apoia as medidas de segurança que a lei exige. Não substitui o restante do programa de adequação.

Fontes

• Microsoft. Conceitos fundamentais de gerenciamento de identidade e acesso (Microsoft Entra). learn.microsoft.com. Consultado em 13/10/2026.
• CISA e NSA (Enduring Security Framework). Identity and Access Management: Recommended Best Practices for Administrators. cisa.gov. Consultado em 13/10/2026.
• CISA. CISA and NSA Release Enduring Security Framework Guidance on Identity and Access Management. cisa.gov. Consultado em 13/10/2026.
• Verizon. Additional 2025 DBIR research on credential stuffing. verizon.com. Consultado em 13/10/2026.