Resposta direta. A identidade é um ponto de controle central em uma arquitetura Zero Trust. Informações públicas sobre incidentes no ambiente Pix em 2025 colocaram credenciais e fornecedores conectados no centro da análise, sem demonstrar que um único controle teria evitado os episódios. Quando uma credencial válida é usada de forma indevida, conhecer seu alcance ajuda a dimensionar a exposição.
O restante deste texto mostra o que essa evidência brasileira muda na pergunta que a área de segurança precisa responder, o que a gestão de identidade Zero Trust faz na prática, quais atributos definem o alcance de um acesso, e como esse alcance vira um número em vez de opinião.
O que aconteceu nos dois incidentes no ambiente Pix em 2025?
Em 2025, dois episódios no sistema financeiro brasileiro reorganizaram a conversa sobre acesso.
No caso da C&M Software, prestadora de serviço de conexão ao sistema de pagamentos, foram movimentados ao menos R$ 541 milhões, e a credencial usada teria sido negociada por cerca de R$ 15 mil [Polícia Federal / CNN Brasil]. No caso da Sinqia, também fornecedora de tecnologia para instituições financeiras, o volume ficou em cerca de R$ 710 milhões em transações não autorizadas, com recuperação de parte dos valores [Evertec, formulário 8-K / SEC].
Os relatos públicos associam os episódios a fornecedores conectados e ao uso indevido de credenciais. Eles não permitem concluir qual controle isolado teria impedido cada evento nem estabelecer um contraponto absoluto entre identidade e borda. A lição operacional é mais precisa: o alcance concedido a identidades humanas e técnicas precisa ser conhecido, limitado e monitorado.
Esse formato tem custo medido no Brasil. No estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio de R$ 8,98 milhões no Brasil. E ele convive com um mercado que já investe: 96% das empresas brasileiras investem em segurança em 2026, contra 72% em 2021 [Pesquisa Nacional BugHunt, cerca de 240 empresas de tecnologia], enquanto, em estudo com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação fica em 1,61 numa escala de 0 a 5 [Vultus 2025].
Por que uma credencial legítima muda a pergunta da segurança?
A arquitetura de perímetro concentra decisões na entrada da rede. Dependendo do desenho, acessos que passam por essa fronteira podem receber confiança ampla demais para o contexto atual.
Uma credencial válida não atravessa a porta. Ela abre. E a partir do momento em que a entrada é legítima, a pergunta útil passa a ser outra: até onde vai quem entrou.
Essa segunda pergunta exige dados do ambiente. Inventário de usuários, diretório e autenticação com segundo fator não mostram, isoladamente, quantas aplicações uma conta de integração alcança hoje nem se um acesso técnico temporário continua aberto.
O termo usado para descrever essa exposição é raio de explosão: a extensão potencial do dano associado a um acesso comprometido. Controles de identidade podem restringir esse alcance; a medição verifica quais controles aplicáveis estão ativos e registra sua evolução, sem garantir contenção ou ausência de incidentes.
O que é gestão de identidade Zero Trust?
Gestão de identidade Zero Trust é o conjunto de controles que trata cada acesso como um pedido a verificar no momento do uso, e que limita o que aquele acesso alcança depois de aprovado. Ela parte de um princípio simples de enunciar e trabalhoso de manter: nunca confie, sempre verifique.
Três diferenças em relação ao modelo de perímetro organizam a prática.
A verificação acontece a cada acesso, e não só no login. Autenticar uma vez pela manhã e liberar o dia inteiro devolve à sessão a confiança implícita que o modelo tenta eliminar. A verificação contínua reavalia o contexto do pedido: quem é, de onde vem, em que dispositivo, para qual aplicação.
O acesso pode ser concedido por aplicação, e não por uma faixa ampla de rede. Dependendo das regras, uma VPN pode oferecer alcance maior que a necessidade do usuário. O ZTNA (Zero Trust Network Access) pode aplicar verificação por identidade a cada publicação e restringir o alcance, conforme o desenho e as exceções.
O privilégio é o mínimo necessário, e tem prazo. O menor privilégio (least privilege) deixa de ser política escrita quando existe revisão periódica de acesso, expiração de credencial técnica e remoção automática do que sobrou de um projeto encerrado. Sem essa manutenção, o privilégio só acumula, porque conceder acesso resolve um problema hoje e revogar acesso não resolve nenhum.
Que evidências ajudam a entender o alcance de uma credencial?
O alcance pode ser analisado a partir de evidências como as aplicações acessíveis, as operações permitidas, o prazo de validade da autorização e os registros disponíveis para investigação. Essas dimensões não formam, neste artigo, uma metodologia proprietária nem uma lista oficial de controles do NTM. O inventário aplicável e os critérios de ativação são definidos no trabalho contratado, conforme o ambiente.
Exemplo ilustrativo: como o alcance excessivo pode aparecer
O cenário a seguir é uma composição fictícia, criada apenas para ilustrar o mecanismo. Não descreve cliente nem resultado real da NowCy. Considere uma instituição financeira de médio porte, com cerca de 1.100 colaboradores e parte da operação de core apoiada em fornecedores.
O time tinha autenticação com segundo fator implantada para todos os colaboradores e considerava o tema identidade resolvido. Ao levantar controles aplicáveis e verificar quais estavam ativos, apareceu o desenho real: 23 contas de integração de fornecedores, criadas ao longo de seis anos, com privilégio administrativo, sem prazo de expiração e sem exigência de segundo fator, porque o segundo fator quebrava a automação. Três dessas contas pertenciam a contratos encerrados, e uma delas permanecia ativa havia catorze meses após o fim do contrato.
Nenhum incidente havia acontecido. E é exatamente esse o ponto: não houve nada para investigar, nenhum alerta, nenhuma pista. O que existia era alcance, silencioso e acumulado, que ninguém tinha motivo para olhar porque a pergunta em uso ainda era "quem pode entrar".
O trabalho seguinte foi ordinário. Separar as contas de integração dos usuários humanos, dar prazo a cada uma, trocar privilégio administrativo por permissão específica onde a automação permitia, e encerrar o que pertencia a contrato extinto. Trabalho comum, que só começa depois que alguém mede.
Como medir o alcance dos acessos em número?
A doutrina de identidade como ponto de controle já é base aceita no mercado regulado, e a adoção de Zero Trust já começou nesse setor. Concordar com o princípio não protege ninguém. A distância entre o princípio aceito e os controles ativos no ambiente é onde o prejuízo mora, e essa distância pode ser expressa em um número.
O NowCy Trust Maturity (NTM) faz esse cálculo: a razão entre controles ativos e controles aplicáveis ao ambiente, cada controle valendo um ponto, em ciclo contínuo. A fórmula é declarada de propósito, porque um índice que o auditor não consegue refazer sozinho vale como material de venda, e não como defesa diante do board.
No domínio de identidade, a medição contratada define os controles aplicáveis, coleta as evidências correspondentes e verifica seu estado. Perguntas sobre inventário de terceiros, prazo, privilégio e escopo de acesso podem orientar a investigação, mas não constituem, por si só, o catálogo oficial nem a fórmula completa do NTM.
Nenhuma arquitetura elimina o risco de uma credencial legítima ser usada de forma indevida, e este texto não afirma que qualquer desenho teria evitado os casos de 2025. Uma arquitetura bem operada pode reduzir e tornar mais visível o alcance de cada acesso. O índice registra o estado dos controles avaliados; a redução de exposição precisa ser demonstrada pelas evidências e não pode ser presumida pela adoção de um desenho.
Perguntas frequentes
O que significa "identidade é o novo perímetro"? Significa que o ponto onde a segurança decide o que é permitido migrou da borda da rede para a identidade que faz o pedido de acesso. Em vez de confiar em quem já está dentro da rede corporativa, cada pedido é verificado por quem é, de onde vem e para qual aplicação, no momento em que acontece.
Autenticação de dois fatores resolve o problema de credencial legítima? O segundo fator reduz a chance de um terceiro usar uma senha vazada, e não altera o alcance do acesso depois que ele é concedido. Uma credencial autenticada corretamente e com privilégio amplo continua alcançando tudo o que aquele privilégio permite. Os dois controles se somam: um trata da entrada, o outro do que vem depois dela.
Qual a diferença entre gestão de identidade tradicional e gestão de identidade Zero Trust? A gestão tradicional organiza o ciclo de vida do usuário: criar, alterar e desativar contas. A abordagem Zero Trust acrescenta a verificação a cada acesso, a concessão por aplicação em vez de por rede, o privilégio mínimo com prazo, e o registro por identidade que permite perceber uso fora do padrão.
Como controlar o acesso de fornecedores sem travar a operação? O ponto de partida é inventariar contas humanas e técnicas, entender dependências e definir escopo e prazo compatíveis com cada integração. A periodicidade de revisão e a sequência de mudança dependem do ambiente. Delimitar acessos sem mapear essas dependências pode gerar impacto operacional.
Como saber o alcance dos acessos no meu ambiente hoje? Levantando quais controles de identidade se aplicam ao ambiente e verificando, controle a controle, quais estão ativos de fato, e não apenas descritos em política. O resultado dessa verificação é um índice de maturidade, que serve de linha de base e pode ser reavaliado a cada ciclo.