20/10/2026

IAM em fusões e aquisições: Quais são os riscos de identidade em M&A?

Em uma fusão ou aquisição (M&A), integrar pessoas, sistemas e processos é parte essencial da operação. Porém, a gestão de identidade e acesso também precisa entrar no planejamento desde a due diligence até a integração completa.

Quando duas organizações passam a compartilhar ambientes, aplicações e dados, bases de identidade diferentes podem gerar contas duplicadas, privilégios excessivos, acessos não revisados e falhas no desligamento de usuários. A própria CISA destaca que práticas inadequadas de IAM podem resultar em uso, alteração ou divulgação não autorizada de ativos.

Por que fusões e aquisições aumentam os riscos de IAM?

M&A aumenta a complexidade da gestão de identidades porque duas estruturas de acesso passam a coexistir antes de serem efetivamente integradas.

Durante esse período, podem existir:

Duas bases de usuários e diretórios diferentes;

Políticas de acesso com níveis de maturidade distintos;

Contas duplicadas para uma mesma pessoa;

Acessos temporários criados para viabilizar a integração;

Sistemas legados ainda conectados ao ambiente corporativo;

Terceiros e prestadores com permissões que não foram revisadas;

Processos de Joiner-Mover-Leaver (JML) diferentes entre as empresas.

O problema não está apenas na existência de duas estruturas, mas na dificuldade de determinar quem deve ter acesso a quê, por quanto tempo e sob quais condições.

Quais são os três momentos mais críticos para o IAM em M&A?

A gestão de identidade precisa acompanhar três etapas principais: Due diligence, Day 1 e integração pós-aquisição.

Etapa	Principal objetivo de IAM	Risco se não houver planejamento
Due diligence	Avaliar identidades, acessos, políticas e tecnologias da empresa alvo	Descoberta tardia de riscos e passivos de segurança
Day 1	Garantir acesso necessário para a operação sem ampliar privilégios	Contas excessivas, acessos provisórios e falhas de controle
Integração	Consolidar identidades, revisar permissões e aplicar novas políticas	Permanência de acessos inadequados e inconsistências

A avaliação de IAM durante a due diligence permite identificar problemas antes que a integração torne essas estruturas parte do ambiente corporativo ampliado.

Quais riscos de segurança podem surgir na integração de identidades?

Os principais riscos estão relacionados a contas antigas, privilégios excessivos, credenciais comprometidas e acessos que permanecem ativos durante a transição.

Entre os cenários que merecem atenção estão:

Contas de ex-colaboradores ainda habilitadas;

Usuários com identidades duplicadas nos dois ambientes;

Privilégios incompatíveis com a nova função;

Credenciais compartilhadas durante a integração;

Aplicações legadas com controles de segurança diferentes;

Acessos temporários que não são posteriormente removidos;

Violações de segregação de funções (SoD).

A CISA recomenda, entre outras medidas, controlar privilégios, revisar contas e aplicar o princípio do menor privilégio.

Além disso, a autenticação multifator, especialmente métodos resistentes a phishing, é apontada pela CISA como uma medida importante para reduzir o risco de comprometimento de contas.

Como o IGA ajuda na integração de identidades em M&A?

O IGA (Identity Governance and Administration) ajuda a centralizar a governança das identidades, permissões e ciclos de acesso durante a integração.

Em um cenário de M&A, uma solução de IGA pode apoiar atividades como:

Reconciliação das bases de identidade;

Identificação de contas duplicadas;

Análise de permissões incompatíveis;

Aplicação de políticas de acesso;

Campanhas de certificação;

Identificação de violações de SoD;

Acompanhamento do ciclo de vida das identidades.

Na prática, enquanto o IAM está relacionado ao controle de acesso, o IGA acrescenta uma camada de governança para responder se determinado acesso é apropriado e se a organização consegue demonstrar esse controle.

Por que o JML é importante durante uma fusão ou aquisição?

O JML garante que mudanças na relação do colaborador com a organização sejam refletidas nos seus acessos.

Durante uma aquisição, esse ciclo se torna mais complexo:

Joiner: Novos colaboradores precisam receber os acessos necessários para iniciar suas atividades.

Mover: Mudanças de cargo, área ou localização exigem revisão das permissões.

Leaver: Desligamentos precisam resultar na revogação dos acessos correspondentes.

Sem um processo estruturado, a integração pode gerar acúmulo de privilégios e contas que deixam de ter uma finalidade válida.

Como incluir IAM no plano de integração de M&A?

O IAM deve fazer parte do planejamento da operação antes do Day 1, e não ser tratado como uma etapa posterior da integração.

Um plano de identidade para M&A pode considerar:

Avaliar o IAM durante a due diligence, incluindo diretórios, aplicações, contas privilegiadas, terceiros e processos de JML.

Definir o modelo de identidade-alvo, estabelecendo quais sistemas serão mantidos, substituídos ou integrados.

Criar um plano específico para o Day 1, priorizando os acessos indispensáveis para a continuidade operacional.

Estabelecer um processo temporário de JML enquanto as estruturas ainda estiverem separadas.

Realizar certificações de acesso após a integração para identificar privilégios que não são mais necessários.

Documentar exceções e acessos provisórios, evitando que controles temporários se tornem permanentes.

O que a empresa deve avaliar antes de integrar dois ambientes de IAM?

A integração de identidades em M&A não consiste apenas em conectar dois diretórios ou migrar usuários. É necessário entender quais identidades existem, quais acessos elas possuem e quais regras devem prevalecer no novo ambiente.

Por isso, IAM deve ser considerado uma parte da estratégia de segurança da transação, junto à avaliação de sistemas, dados, infraestrutura e processos.

Em uma operação de M&A, integrar rapidamente é importante. Integrar identidades sem governança, porém, pode transformar a própria integração em uma nova superfície de risco.