Um novo colaborador chega na segunda-feira de manhã, um prestador de serviços precisa de acesso a um projeto e um visitante pede a palavra-passe do WiFi de convidados. Estão todos no mesmo edifício, mas não devem receber o mesmo acesso. O colaborador pode precisar de e-mail, processamento de salários, aplicações internas e conectividade de pessoal. O prestador de serviços poderá precisar de um espaço de trabalho partilhado por um período limitado. O visitante precisa de acesso à Internet, não de uma rota para os sistemas de negócio.
Essa diferença é a resposta prática para o que é a gestão de identidades. Trata-se do conjunto de políticas, processos e tecnologias que uma organização utiliza para estabelecer quem é uma pessoa ou sistema, verificar essa identidade, decidir o que esta pode aceder e remover esse acesso quando as circunstâncias se alteram.
A gestão de identidades vai hoje muito além de um ecrã de início de sessão de TI. Suporta a integração de clientes, a prevenção de fraudes, o governo corporativo, o acesso à rede e os controlos regulamentares. No Reino Unido, o setor da identidade digital contava com 275 empresas ativas em janeiro de 2026, demonstrando como a identidade se desenvolveu num ecossistema tecnológico e económico significativo, e não apenas numa função administrativa. O setor gerou cerca de 2,03 mil milhões de libras em receitas anuais em 2024/2025, produziu 1,04 mil milhões de libras em Valor Acrescentado Bruto e apoiou 9.624 cargos equivalentes a tempo inteiro, de acordo com o UK Digital Identity Sectoral Analysis Report .
Este guia desenvolve a ideia a partir dos princípios básicos, seguindo depois uma identidade ao longo do seu ciclo de vida, protocolos de autenticação, métodos de início de sessão mais fortes e exemplos práticos de rede, tais como WiFi de convidados, WiFi de colaboradores, certificados, Passpoint e iPSK . Para uma introdução mais ampla aos benefícios de segurança, proteger dados com gestão de identidade oferece um contexto útil sob a perspetiva de gestão de acessos.
Introdução à Gestão de Identidades nas Organizações Modernas
O pedido de acesso ao WiFi do escritório revela frequentemente a estratégia de identidade de uma organização mais rapidamente do que uma auditoria de segurança. Se todos receberem a mesma chave pré-partilhada, a rede não consegue distinguir um colaborador permanente de um prestador de serviços em saída ou de um visitante que copiou a palavra-passe da receção. Alterar a chave torna-se disruptivo, pelo que as equipas adiam a mudança, e o acesso antigo continua muito depois de a necessidade comercial original ter desaparecido.
Um design melhor começa com a pessoa, não com a palavra-passe. Um novo colaborador inicia sessão através do provedor de identidade da organização e recebe o acesso de pessoal associado à sua função. Um prestador de serviços recebe um perfil mais restrito, talvez limitado a uma rede de projeto ou a aplicações específicas. Um convidado utiliza um serviço isolado que fornece conectividade de internet sem expor os sistemas internos.
A identidade é uma decisão de confiança
Cada pedido de acesso coloca várias questões em simultâneo:
- Quem está a solicitar acesso? A organização necessita de um registo de identidade fiável.
- Como provou essa pessoa a sua identidade? Uma palavra-passe, um autenticador, um certificado ou outro fator podem fornecer provas.
- A que deve a pessoa aceder? O acesso depende da função, do dispositivo, da localização, do risco e do objetivo comercial.
- Durante quanto tempo deve o acesso permanecer disponível? O trabalho temporário e a mudança de responsabilidades exigem expiração ou revisão.
- Que provas existem depois? Os registos e as decisões apoiam a investigação, a prestação de contas e a conformidade.
Este modelo aplica-se a colaboradores e clientes, mas também a fornecedores, contas de serviço, dispositivos e representantes comerciais. A transição do Reino Unido para a verificação formal de identidade ilustra esta mudança mais ampla. A identidade é cada vez mais utilizada para criar confiança antes de uma organização permitir uma transação, inscrição ou ação legal.
Por que razão o tema importa além das TI
As organizações migraram mais serviços para o ambiente online e os utilizadores esperam agora que a integração digital pareça rápida, enquanto os reguladores esperam que esta seja controlada. Isto cria uma tensão. Um processo que solicita poucas evidências pode permitir a falsificação de identidade ou fraude, enquanto um processo que solicita demasiadas pode frustrar os utilizadores legítimos e aumentar a procura de suporte.
A gestão de identidades resolve parte dessa tensão ao separar decisões diferentes. A comprovação da identidade de uma pessoa, a autenticação de um utilizador recorrente e a autorização de acesso a um recurso específico estão relacionadas, mas não são tarefas idênticas. Mantê-las distintas ajuda as equipas a aplicar controlos mais fortes onde o risco o exige, sem adicionar a mesma fricção a todos os pedidos.
O modelo mental mais útil é simples: a gestão de identidade é uma camada de confiança e conformidade que liga pessoas, sistemas e decisões de acesso. A tecnologia de início de sessão é apenas uma componente. A governação, o controlo do ciclo de vida, a política de rede e a evidência completam o cenário.
Compreender os Conceitos Fundamentais por Trás da Gestão de Identidade e Acesso
Comece com um passaporte e um passe de acesso ao edifício. O passaporte contém identificadores que o distinguem de outras pessoas. Representa uma identidade, mas o passaporte em si não é prova de que a pessoa que o detém seja o legítimo proprietário. Um agente de fronteira verifica as provas e depois aplica uma decisão sobre se pode entrar.
A gestão de identidade digital e de acessos segue o mesmo padrão.
O vocabulário explicado de forma simples
Um identificador é uma etiqueta utilizada para se referir a algo. Um nome de utilizador, número de colaborador, endereço de e-mail ou nome de dispositivo pode identificar um registo. Um identificador não prova automaticamente quem o está a utilizar.
Uma identidade é a representação digital associada a esse registo. Pode conter atributos como departamento, função profissional, gestor, situação contratual, relacionamento com o cliente ou propriedade do dispositivo. Um diretório armazena e atualiza estes atributos para que outros sistemas os possam utilizar.
A Autenticação responde a: "Como é que sabe?". O utilizador apresenta provas associadas à identidade reivindicada. Essas provas podem ser um segredo, um fator de posse, uma característica biométrica ou um certificado criptográfico.
A autorização responde a: "O que pode fazer?". Após a autenticação, uma política avalia a identidade e o contexto do utilizador antes de conceder acesso a uma aplicação, ficheiro, rede ou função administrativa. A autenticação sem autorização provaria a identidade de uma pessoa, mas não forneceria um limite útil em torno das suas permissões.
Um provedor de identidade, frequentemente designado por IdP, realiza ou coordena a autenticação e envia informações fidedignas para outro serviço. A aplicação de receção é o provedor de serviço. A federação cria uma relação de confiança entre ambos, para que uma aplicação possa confiar numa fonte de identidade estabelecida em vez de manter uma base de dados de palavras-passe isolada.
Um modelo de identidade não serve para todos os utilizadores
A gestão de identidade da força de trabalho abrange colaboradores, prestadores de serviços e outras pessoas que trabalham em nome de uma organização. A gestão de identidade de clientes serve utilizadores externos que criam contas, compram serviços ou acedem a informações pessoais. Os fluxos de trabalho sobrepõem-se, mas as suas prioridades diferem. O acesso da força de trabalho segue frequentemente funções profissionais e políticas internas, enquanto o acesso de clientes deve equilibrar o controlo de fraudes, a privacidade, a conversão e o suporte.
O menor privilégio é o princípio que liga ambos os ambientes:
Conceda a cada identidade apenas o acesso estritamente necessário para o seu fim atual e remova-o quando esse fim terminar.
O mercado do Reino Unido ilustra a escala desta camada de confiança. A atividade do setor inclui verificação de identidade, ativação de utilizadores, prevenção de fraude e fluxos de trabalho de abertura de contas, com o governo a identificar 275 empresas ativas em janeiro de 2026 na sua análise do setor. Essa amplitude reflete como a identidade suporta agora serviços públicos, banca, sistemas empresariais e transações de consumidores, em vez de apenas a administração interna de diretórios.
Como Funcionam Juntos o Ciclo de Vida da Identidade e a Governação
Uma identidade não é uma entrada de base de dados estática. Muda à medida que uma pessoa entra numa organização, assume novas responsabilidades, se move entre equipas ou sai. Uma gestão de identidade robusta trata essas alterações como eventos controlados, em vez de pedidos informais enviados entre colegas.
Do momento da admissão à saída
O Aprovisionamento cria o registo de identidade e liga-o a informações autorizadas, geralmente provenientes de um sistema de recursos humanos ou de uma plataforma de clientes. A organização estabelece o estatuto da pessoa, departamento e gestor antes de conceder acesso à aplicação ou à rede WiFi.
O Onboarding aplica o pacote de acesso inicial. Um colaborador financeiro pode necessitar de aplicações financeiras, enquanto um trabalhador temporário recebe um conjunto mais restrito de permissões. Os fluxos de trabalho automatizados podem reduzir a cópia manual entre sistemas, mas a automatização deve seguir políticas aprovadas em vez de conceder acessos alargados por predefinição.
Uma alteração de função é o ponto onde muitos ambientes acumulam riscos. Uma promoção, transferência ou novo projeto pode adicionar permissões sem remover as antigas. Com o tempo, a pessoa retém acessos de várias funções, uma condição frequentemente designada por acumulação de privilégios. Um fluxo de trabalho fiável recalcula os direitos a partir da função atual e envia as exceções para revisão.
O Offboarding desativa contas, revoga sessões, remove a filiação de grupos e trata dos recursos ligados, tais como certificados, tokens e dispositivos partilhados. O tempo é crucial. Esperar por um ticket manual cria um intervalo entre a decisão de emprego e a decisão de acesso.
A governação transforma a atividade em controlo
A governação define quem pode aprovar o acesso, com que frequência os proprietários o devem rever e que evidências a organização retém. A certificação de acesso solicita a um gestor ou proprietário da aplicação que confirme se as permissões continuam a ser adequadas. A segregação de funções impede que uma única pessoa detenha combinações de autoridade que possam viabilizar uma transação inadequada.
As medidas operacionais úteis incluem o tempo para aprovisionar, o tempo para revogar, as conclusões não resolvidas de revisões de acesso e o número de contas sem um proprietário claro. Estas medidas não substituem o discernimento, mas revelam onde o ciclo de vida depende de trabalho manual lento ou de dados incompletos.
O emprego no setor de identidade do Reino Unido cresceu uma média de 11,7% ao ano desde 2020, refletindo a procura sustentada por fluxos de trabalho de verificação de identidade, integração, prevenção de fraude e abertura de contas na análise do governo. Essa procura reforça um ponto prático: as operações de ciclo de vida precisam de uma gestão dedicada à medida que os processos de identidade se tornam centrais para os serviços empresariais.
Para as equipas de rede, a mesma lógica aplica-se à conectividade do pessoal. Uma abordagem de ciclo de vida de WiFi para funcionários pode associar alterações de diretório a permissões de rede, para que uma alteração de função ou saída não deixe uma credencial sem fios não gerida para trás.
Regra prática: Trate cada concessão de acesso como uma decisão com um proprietário, uma duração prevista e um método de revogação.
Protocolos de Autenticação que Viabilizam o Single Sign-On
Os protocolos são a canalização da confiança de identidade. Eles definem como um sistema comunica um resultado de autenticação ou uma decisão de autorização a outro. Não resolvem todos o mesmo problema, pelo que a escolha entre eles requer clareza sobre se o pedido diz respeito a um colaborador a iniciar sessão numa aplicação, a um cliente a autorizar uma chamada de API ou a um dispositivo a ligar-se a uma rede protegida.
Quatro protocolos com funções diferentes
| Protocolo | Objetivo principal | Caso de utilização ideal |
|---|---|---|
| SAML | Troca federada de asserções de autenticação | Autenticação única empresarial para aplicações web estabelecidas |
| OAuth | Autorização delegada | Permitir que uma aplicação aceda a um recurso sem expor a palavra-passe do utilizador |
| OIDC | Camada de identidade do utilizador assente em OAuth | Aplicações modernas que necessitam de início de sessão e de declarações de identidade padrão |
| RADIUS com 802.1X | Autenticação de rede centralizada e troca de políticas | Acesso empresarial com fios e sem fios controlado por um serviço de identidade |
O SAML continua a ser comum no início de sessão único (SSO) empresarial. Um colaborador autentica-se junto do fornecedor de identidade, que envia uma asserção assinada para a aplicação. A aplicação confia na relação configurada e inicia uma sessão sem solicitar ao colaborador uma palavra-passe de aplicação separada.
O OAuth destina-se principalmente ao acesso delegado e não à prova da identidade de uma pessoa. Permite que um cliente receba permissão para utilizar um recurso definido em nome de um utilizador. O OIDC adiciona uma camada de identidade ao OAuth, tornando-o adequado para aplicações modernas que necessitam de informações normalizadas sobre o utilizador com sessão iniciada.
O RADIUS com 802.1X serve um ambiente diferente. Liga o equipamento de acesso à rede, um serviço de autenticação e uma credencial de utilizador ou dispositivo. O resultado pode ser uma decisão de política que coloca um dispositivo na rede correta ou atribui um perfil de acesso específico.
A confiança tem de ser explícita
O início de sessão único é conveniente porque os utilizadores se autenticam com um fornecedor de identidade confiável, em vez de manterem credenciais separadas para cada aplicação. A federação também cria responsabilidade. Os administradores devem proteger as chaves de assinatura, validar asserções, definir mapeamentos de afirmações e remover relações de confiança que já não sejam necessárias.
As orientações do governo do Reino Unido separam a comprovação de identidade da autenticação do serviço. As orientações de identidade digital do GOV.UK associam a comprovação e a verificação ao GPG 45, enquanto a autenticação do serviço é regulada pelo GPG 44. Essa separação ajuda as organizações a escolher um nível de garantia adequado para o serviço, em vez de tratarem cada início de sessão como um evento idêntico.
As equipas que necessitem de uma explicação mais ampla sobre como um início de sessão fidedigno pode abranger vários serviços também podem beneficiar da explicação sobre início de sessão global unificado unificado . Para implementações específicas de rede, o RADIUS-as-a-Service é uma opção de arquitetura para centralizar a autenticação sem manter todos os componentes RADIUS no local.
Autenticação Forte com Opções de MFA e Sem Palavra-passe
Um protocolo descreve como os sistemas trocam confiança. Um fator de autenticação descreve o que o utilizador apresenta como prova. Manter estas ideias separadas evita um erro comum: assumir que a implementação de início de sessão único torna a autenticação forte de forma automática.
Construa uma hierarquia de autenticação
Uma palavra-passe é um factor de conhecimento, algo que o utilizador sabe. As palavras-passe continuam a ser familiares, mas os utilizadores reutilizam-nas, escolhem opções fracas ou revelam-nas através de phishing. Um gestor de palavras-passe e uma política sensata podem melhorar o ponto de partida, mas uma palavra-passe isolada oferece a um atacante apenas um alvo para derrotar.
A autenticação de dois ou mais fatores combina provas de diferentes categorias. Um código gerado por uma aplicação de autenticação ou um token de hardware representa algo que o utilizador possui. O SMS pode fornecer uma verificação adicional, mas as organizações devem avaliar a sua adequação para cenários de maior risco, uma vez que o canal telefónico pode ser atacado ou desviado.
A biometria representa algo que o utilizador é. As impressões digitais e o reconhecimento facial podem tornar o início de sessão mais rápido, mas exigem um design de privacidade cuidadoso e um manuseamento seguro dos dispositivos. Ao contrário de uma palavra-passe, uma característica biométrica não pode ser alterada após a exposição.
As opções sem palavra-passe necessitam de um design cuidado
A autenticação sem palavra-passe utiliza um dispositivo, chave criptográfica ou autenticador de plataforma para provar a posse sem pedir ao utilizador que introduza um segredo reutilizável. As chaves de segurança FIDO2 e passkeys podem fornecer uma autenticação forte e resistente a phishing quando os processos associados de registo, recuperação e substituição de conta também são controlados.
Um programa prático progride normalmente por risco:
ou nível de risco: em termos de risco: risco:- Serviços de baixa fricção: Utilize o início de sessão único (SSO) e um processo de palavra-passe bem gerido onde as consequências do comprometimento sejam limitadas.
- Aplicações sensíveis: Exija MFA e aplique políticas condicionais com base no estado de funcionamento do dispositivo, localização ou comportamento invulgar.
- Operações privilegiadas: Prefira métodos resistentes a phishing, contas de administrador separadas e controlos de sessão robustos.
- Dispositivos partilhados ou não geridos: Evite incorporar segredos permanentes e utilize certificados ou credenciais de curta duração onde a plataforma os suporte.
O melhor fator nem sempre é o fator mais forte isoladamente. Também deve funcionar para a população de utilizadores, parque de dispositivos, processo de recuperação e equipa de suporte. Para o acesso sem fios, um modelo de WiFi sem palavra-passe pode aplicar o mesmo princípio à integração na rede, substituindo credenciais partilhadas por um acesso associado à identidade.
Exemplos Reais de Gestão de Identidades no Acesso à Rede e WiFi
Um hóspede de hotel, um colaborador e um prestador de serviços do edifício podem ligar-se todos ao mesmo ponto de acesso físico, mas a gestão de identidades deve dar-lhes destinos digitais diferentes. O hóspede precisa de uma rota simples para a internet. O colaborador precisa de conectividade interna protegida. O prestador de serviços pode necessitar de um perfil limitado no tempo com acesso a serviços selecionados.
O acesso de convidados e da equipa não deve partilhar um segredo
Um Captive Portal pode identificar um convidado através de um endereço de e-mail, voucher ou início de sessão social, mas a rede ainda necessita de isolamento e aplicação de políticas. Uma palavra-passe de convidado partilhada enfraquece a atribuição e cria uma questão operacional complexa quando a palavra-passe se espalha além do público pretendido.
O acesso do pessoal pode utilizar autenticação empresarial, certificados ou Passpoint. O Passpoint permite que um dispositivo compatível descubra e se junte a uma rede fidedigna com menos intervenção manual, enquanto o registo encriptado pode evitar a exposição criada por uma chave sem fios comum. O OpenRoaming estende o modelo a todas as redes participantes, para que um utilizador possa confiar numa relação de identidade estabelecida em vez de aceitar repetidamente portais desconhecidos.
Os dispositivos legados necessitam de uma rota diferente
Impressoras, sensores e dispositivos portáteis mais antigos podem não suportar a autenticação empresarial moderna. O iPSK, ou chaves pré-partilhadas baseadas em identidade, pode dar a dispositivos ou grupos separados as suas próprias credenciais, preservando a segmentação da rede. Se uma credencial precisar de ser retirada, os administradores podem remover essa credencial sem alterar o acesso de todos os outros dispositivos.
O design continua a necessitar de inventário, propriedade e expiração. Uma chave separada não se torna automaticamente numa identidade segura se ninguém souber que dispositivo a utiliza ou quando deve ser desativada.
```of_course {As alterações de diretório devem chegar à rede
Para o pessoal, as integrações com o Microsoft Entra ID, Google Workspace ou Okta podem ligar o diretório de colaboradores à política de WiFi. Um novo elemento recebe o perfil pretendido, enquanto uma alteração no diretório pode desencadear a remoção do acesso. Plataformas de rede como Meraki, Aruba, Ruckus, Mist e UniFi podem então aplicar a política resultante através das suas integrações e métodos de autenticação suportados.
O mesmo princípio de confiança surge no registo comercial. A verificação de identidade tornou-se um requisito legal para os dirigentes de empresas em 18 de novembro de 2025, ao abrigo do Economic Crime and Corporate Transparency Act 2023. No primeiro período reportado que terminou em 31 de dezembro de 2025, a Companies House registou 823.771 nomeações verificadas e uma taxa de conformidade de 6,27%, como demonstrado nas suas informações de gestão de verificação de identidade . Os dados demonstram como os controlos de identidade se podem tornar parte da governação formal, e não apenas uma conveniência técnica.
Boas Práticas, Riscos e Próximos Passos para a Sua Estratégia de Identidade
Uma gestão de identidades fraca falha geralmente devido a lacunas operacionais comuns e não por causa de um único erro de design dramático. Um ex-colaborador retém uma conta, um prestador de serviços permanece num grupo abrangente, um proprietário de aplicação aprova o acesso sem o rever, ou uma chave WiFi partilhada continua a circular porque alterá-la causaria inconvenientes a todos.
Uma estratégia útil começa por mapear identidades para decisões. Liste as pessoas, clientes, dispositivos, contas de serviço e responsáveis empresariais que necessitam de reconhecimento. Em seguida, identifique os sistemas que criam registos autoritativos, as aplicações que consomem informações de identidade e os controlos de rede que aplicam o acesso.
Transforme os riscos comuns em controlos
A reutilização de credenciais torna-se menos atrativa quando as aplicações utilizam federação, MFA e métodos sem palavra-passe, onde for apropriado.
As contas órfãs tornam-se mais fáceis de encontrar quando cada identidade tem um proprietário, um estatuto de emprego ou de serviço e um processo de offboarding definido.
A acumulação de privilégios é reduzida quando as alterações de funções recalculam o acesso, em vez de adicionarem apenas mais uma pertença a um grupo.
As exceções invisíveis tornam-se fáceis de gerir quando o acesso temporário tem uma data de expiração e as ações privilegiadas produzem registos passíveis de auditoria.
A atribuição incorreta na rede melhora quando a equipa, os convidados e os dispositivos recebem perfis associados à sua identidade, em vez de um segredo sem fios universal.
A governação deve medir o que é operacionalmente relevante. Monitorize o tempo de aprovisionamento e revogação, revisões de acesso em atraso, contas sem proprietários, permissões obsoletas e exceções a aguardar aprovação. Estas medidas ajudam os líderes a perceber se a organização consegue agir quando o estatuto de uma pessoa muda, e não apenas se um início de sessão foi bem-sucedido.
Trate a convergência como uma questão de design
A identidade dos colaboradores, a identidade dos clientes e a verificação de identidade legal estão cada vez mais ligadas pela mesma questão: pode a organização confiar na entidade que faz o pedido? Não devem ser forçadas a entrar num único fluxo de trabalho idêntico, porque uma conta de cliente, um administrador de equipa e um responsável da empresa acarretam riscos diferentes. No entanto, necessitam de princípios consistentes para comprovação, autenticação, autorização, evidência e revogação.
O setor de identidade digital do Reino Unido gerou cerca de 2,03 mil milhões de libras em receita anual em 2024/2025 e apoiou 9.624 funções equivalentes a tempo inteiro, de acordo com a análise do setor governamental citada anteriormente. Essa escala indica por que razão a estratégia de identidade merece agora a atenção conjunta das equipas de segurança, conformidade, redes, RH, produto e experiência do cliente.
Comece com um caminho de alto valor, como o WiFi da equipa ou o acesso para entradas e saídas de colaboradores. Documente a fonte autoritária, defina a política, automatize as decisões de rotina, reveja as exceções e teste a revogação. Em seguida, estenda o padrão a aplicações, convidados, dispositivos e serviços de clientes, sem assumir que uma única ferramenta ou um único fator de autenticação se adequa a todas as identidades.
A Purple associa o acesso baseado em identidade a ambientes de WiFi de convidados, colaboradores e multi-inquilino, incluindo ativação sem palavra-passe, Passpoint e integrações de diretório para organizações que pretendem substituir credenciais de rede partilhadas por políticas de acesso controlado. Visite a Purple para ver como a sua plataforma pode apoiar a gestão prática de identidades em redes de hotelaria, retalho, saúde, imobiliário e empresariais.
