O que é IAM?
IAM, ou Identity and Access Management, é o conjunto de políticas, processos e tecnologias para administrar identidades digitais e controlar seus acessos a sistemas e dados.
Autenticação e autorização são a mesma coisa?
Autenticação verifica o controle de um autenticador associado à identidade apresentada. Autorização decide quais operações essa identidade pode executar. Estar autenticado não concede, por si só, permissão para todos os dados ou sistemas. A NIST SP 800-63B-4 — autenticação e autenticadores detalha requisitos de autenticação; o contexto de papéis e privilégios também aparece no NIST — Identity and access management.
Quais capacidades fazem parte de IAM?
- Gestão de identidades: manter identificadores, atributos, contas e vínculos com fontes confiáveis.
- Gestão de acesso (AM): oferecer autenticação, federação e controles para acessar aplicações.
- Governança e administração (IGA): organizar políticas, aprovações, provisionamento, revisões e evidências.
- Acesso privilegiado (PAM): controlar contas e operações administrativas que exigem proteção adicional.
Essa divisão ajuda a planejar responsabilidades. Não significa que toda empresa precise adquirir quatro produtos, nem que uma categoria substitua integralmente as outras. A cobertura deve ser verificada nos sistemas e processos reais.
Exemplo: login permitido, operação negada
Em um cenário ilustrativo, uma compradora entra no ERP usando o mecanismo de autenticação da empresa. Seu perfil permite cadastrar pedidos, mas não autorizar pagamentos. Ao mudar de função, o acesso precisa ser reavaliado: a autenticação continua importante, enquanto a política de autorização passa a refletir outra necessidade.
Como começar uma estratégia de IAM?
- Inventariar sistemas, identidades e contas com maior impacto para o negócio.
- Definir fontes confiáveis, aprovadores e responsáveis por exceções.
- Descrever o que deve ocorrer na entrada, mudança de vínculo e saída.
- Testar concessão, bloqueio e remoção, incluindo sistemas que exigem ação manual.
- Acompanhar pendências e revisar permissões com contexto para decisão.
Não basta medir se o login funciona. Vale verificar se a identidade está corretamente vinculada, se o acesso é necessário e se sua retirada pode ser demonstrada.
Leitura relacionada
O artigo sobre PAM, IGA e AM em projetos de IAM aprofunda a relação entre essas capacidades.
.svg)
