Nenhuma organização opera sozinha, na maioria dos casos fornecedores, parceiros, prestadores de serviços, integradoras e consultores externos acessam sistemas, aplicações e dados corporativos com frequência. 

Cada uma dessas identidades amplia a superfície de ataque da organização, levando-a para ambientes que estão fora do seu controle direto. 

Por isso, a gestão de acessos de terceiros deve fazer parte da estratégia de Identity and Access Management (IAM). 

O desafio não está apenas em conceder acesso, mas em saber continuamente quem possui permissões, quais recursos pode acessar e quando esse acesso deve ser removido.

Por que o acesso de terceiros representa um risco? 

Terceiros operam fora do ambiente corporativo e, muitas vezes, utilizam dispositivos, redes e processos que não são controlados diretamente pela organização. Além disso, seus ciclos de vida nem sempre estão integrados aos processos internos de onboarding e offboarding. 

Entre os principais riscos estão: 

• Acessos amplos concedidos por conveniência; 

• Contas que permanecem ativas após o fim dos contratos; 

• Menor visibilidade sobre as atividades realizadas; 

• Comprometimento de credenciais de terceiros; 

• Possibilidade de movimentação lateral para sistemas internos. 
  

Uma identidade externa comprometida pode se tornar uma porta de entrada legítima para o ambiente corporativo.

Quais tipos de terceiros precisam acessar sistemas corporativos? 

Terceiros possuem diferentes necessidades de acesso e níveis de risco. Por isso, uma estratégia de IAM não deve tratar todas as identidades externas da mesma forma.

Tipo de terceiro	Exemplo de acesso	Principal risco	Controle recomendado
Fornecedores e integradoras	Sistemas e ambientes administrativos	Acesso privilegiado excessivo	PAM e acesso just-in-time
Parceiros de negócio	Portais, APIs e dados compartilhados	Exposição indevida de dados	Princípio do menor privilégio
Prestadores de serviços operacionais	Sistemas internos e ambientes de produção	Uso de dispositivos não gerenciados	MFA e controle de contexto
Consultores e auditores	Dados e sistemas específicos	Acessos mantidos após o fim da atividade	Expiração automática
Empresas terceirizadas	Sistemas corporativos utilizados diariamente	Acúmulo de permissões	Revisão periódica

O tipo de relacionamento não deve determinar automaticamente o nível de confiança. Cada identidade deve receber apenas o acesso necessário para executar sua atividade. 

As 7 práticas para gerenciar acessos de terceiros: 

1. Criar um inventário de identidades externas. 

O primeiro passo é saber exatamente quem possui acesso ao ambiente. 

O inventário deve identificar a empresa, o usuário, os sistemas acessados, a justificativa do acesso, quem aprovou a solicitação e quando a permissão deve expirar. 

Sem visibilidade sobre as identidades externas, não existe governança efetiva. 

2. Aplicar o princípio do menor privilégio. 

Cada terceiro deve receber apenas as permissões necessárias para executar sua atividade. 

Acessos amplos ou permanentes concedidos por conveniência, aumentam o impacto de uma credencial comprometida. 

O princípio do menor privilégio reduz a exposição e limita a capacidade de uma identidade se movimentar dentro do ambiente. 

3. Definir acessos temporários. 

Sempre que possível, os acessos devem possuir uma data de expiração vinculada ao contrato, ao projeto ou à atividade executada. 

Essa prática reduz o risco de contas esquecidas e diminui a dependência de processos manuais para a remoção de permissões. 

Uma necessidade temporária não deve resultar em um acesso permanente.

4. Exigir MFA e validar o contexto do acesso. 

A autenticação multifator deve ser obrigatória para acessos externos. 

Além da autenticação, a organização pode considerar fatores como o dispositivo utilizado, o nível de privilégio solicitado, o sistema acessado e o comportamento da identidade. 

Essa abordagem segue princípios de Zero Trust, segundo os quais o acesso não deve ser considerado confiável apenas porque uma identidade já possui uma permissão.

5. Controlar acessos privilegiados com PAM. 

Fornecedores e integradoras podem precisar de privilégios administrativos para executar atividades de manutenção, suporte ou implementação. 

Nesses casos, o Privileged Access Management (PAM) permite controlar quando e por quanto tempo o acesso será utilizado. 

Entre os controles possíveis estão o acesso just-in-time, a aprovação interna, as credenciais temporárias, o monitoramento de sessões e a revogação automática. 

O objetivo é evitar que terceiros mantenham credenciais privilegiadas de forma permanente. 

6. Revisar e monitorar os acessos. 

A concessão de acesso não deve representar o fim do processo de gestão. 

As revisões periódicas ajudam a confirmar se o contrato continua ativo, se o terceiro ainda precisa das permissões concedidas e se novos privilégios foram acumulados ao longo do relacionamento. 

O monitoramento também permite identificar comportamentos incomuns, como acessos fora do padrão ou tentativas de alcançar sistemas que não estão relacionados à atividade executada. 

7. Formalizar o onboarding e o offboarding. 

O ciclo de vida da identidade deve acompanhar o relacionamento entre a organização e o terceiro. 

A criação de acessos precisa seguir processos definidos de solicitação e aprovação. Da mesma forma, o encerramento de contratos ou projetos deve acionar a remoção das permissões relacionadas. 

Esse processo reduz o risco de contas órfãs, ou seja, identidades que permanecem ativas mesmo após o fim da relação comercial.

Como os acessos de terceiros aumentam o risco da cadeia de  suprimentos? 

Ataques à cadeia de suprimentos podem utilizar um fornecedor ou parceiro como caminho para alcançar a organização. 

No contexto da gestão de identidades, um atacante pode comprometer uma conta legítima e utilizar credenciais válidas para acessar o ambiente corporativo. 

Como o acesso inicial pode parecer legítimo, esse tipo de incidente pode ser mais difícil de identificar. 

Por isso, a estratégia de segurança deve analisar não apenas quem pode acessar determinado recurso, mas também como esse acesso está sendo utilizado. 

Terceiros são uma extensão da superfície de ataque. 

Fornecedores, parceiros e integradoras são essenciais para muitas operações, mas também representam uma extensão da superfície de ataque. Uma estratégia madura de IAM precisa garantir visibilidade, controle e rastreabilidade sobre essas identidades. 

As sete práticas apresentadas ajudam a estruturar essa gestão: identificar quem possui acesso, limitar privilégios, definir prazos, reforçar a autenticação, controlar acessos privilegiados, revisar permissões e garantir um processo eficiente de offboarding. 

Controlar quem acessa, o que pode acessar e por quanto tempo é fundamental para reduzir os riscos relacionados a terceiros. 

Em organizações cada vez mais conectadas a fornecedores e parceiros, governar identidades externas deixou de ser apenas uma boa prática. É um requisito de maturidade em IAM e segurança da informação. 

Confira outros conteúdos que ajudam a fortalecer a estratégia de cibersegurança da sua organização:

• IAM e ESG: A conexão entre identidade, governança e rastreabilidade.
• 7 práticas para gerenciar  acessos de terceiros: Fornecedores, parceiros  e integradoras.
• IAM em Saúde | LGPD, prontuários e o desafio da identidade de pacientes
• Zero Standing Privileges (ZSP): O próximo passo depois  do least privilege 
• IAM para varejo: Gerenciando identidades em alta escala e múltiplos canais.