Uma credencial comprometida continua a ser uma das formas mais rápidas de entrar numa organização. Não exige explorar uma falha complexa nem derrubar uma firewall: basta induzir um colaborador a revelar uma palavra-passe, reutilizar uma credencial exposta ou aproveitar uma conta sem protecção adequada. É por isso que as soluções de autenticação empresarial deixaram de ser uma decisão exclusiva da equipa de segurança. São uma componente directa da continuidade operacional.

Para uma empresa portuguesa com ambiente Microsoft 365, aplicações SaaS, servidores locais, VPN, equipamentos móveis e colaboradores remotos, a pergunta certa não é se deve activar autenticação multifactor. É como garantir que cada acesso é validado de forma proporcional ao risco, auditável e viável para quem tem de trabalhar todos os dias.

O problema não se resolve com mais uma palavra-passe

Palavras-passe longas e políticas de renovação frequente podem cumprir uma regra interna, mas não impedem phishing, roubo de sessão, ataques de fadiga MFA ou reutilização de credenciais. Pior: quando a autenticação é incómoda ou inconsistente, os utilizadores criam atalhos. Partilham acessos, aprovam notificações sem confirmar o pedido ou guardam palavras-passe onde não deviam.

Vejo este padrão com frequência: a empresa adquiriu licenças de produtividade, activou MFA para alguns perfis e considera o tema fechado. Entretanto, contas administrativas mantêm métodos fracos, aplicações antigas ignoram as regras de acesso e fornecedores externos entram na rede com permissões excessivas. Há tecnologia disponível, mas não há governance activa.

Uma arquitectura de autenticação deve responder a três questões operacionais: quem está a pedir acesso, em que condições o faz e a que recursos pode aceder. A resposta não pode depender apenas de uma palavra-passe.

Soluções de autenticação empresarial devem avaliar contexto

A autenticação multifactor é a base. Combina algo que o utilizador sabe, possui ou é, como uma palavra-passe, uma aplicação autenticadora, uma chave física ou biometria. Contudo, nem todos os factores oferecem o mesmo nível de protecção.

Códigos por SMS podem ser adequados como medida transitória, mas são vulneráveis a troca fraudulenta de cartão SIM e a campanhas de engenharia social. As notificações push são simples de adoptar, mas exigem mecanismos contra a fadiga MFA, como a correspondência de números. Para perfis com acesso privilegiado, chaves de segurança FIDO2 e autenticação resistente a phishing são, em muitos casos, a opção mais sensata.

O passo seguinte é o acesso condicional. Em vez de aceitar ou bloquear todos os pedidos da mesma forma, a plataforma avalia sinais de risco: localização, estado de conformidade do dispositivo, tipo de aplicação, reputação do endereço IP, sensibilidade do recurso e comportamento da sessão. Um utilizador pode aceder ao correio electrónico num portátil gerido pela empresa, mas necessitar de validação adicional para consultar informação financeira a partir de um equipamento não gerido.

Isto não significa bloquear a operação com regras rígidas. Significa aplicar controlo onde o risco justifica controlo. Uma equipa comercial em deslocação, um técnico em regime de prevenção e um administrador de sistemas não têm o mesmo perfil de acesso. A política deve reflectir essa realidade sem criar excepções informais impossíveis de auditar.

Identidade, dispositivo e privilégio formam o mesmo controlo

Muitas organizações separam estes temas: a identidade fica no directório, a gestão de dispositivos numa consola diferente e os privilégios administrativos numa folha de cálculo. O resultado é uma visão incompleta. Uma conta legítima num computador comprometido continua a ser um risco. Um dispositivo em conformidade usado por uma conta privilegiada sem MFA forte também.

A autenticação empresarial eficaz liga estas camadas. O dispositivo deve cumprir requisitos de segurança, como encriptação, actualizações, antivírus e bloqueio de ecrã. As contas administrativas devem usar privilégios temporários, contas separadas da identidade de trabalho diária e validação reforçada. As sessões devem poder ser revogadas quando existe suspeita de compromisso.

Este modelo reduz a superfície de ataque e melhora a capacidade de resposta. Quando um colaborador perde um telemóvel ou comunica uma tentativa de phishing, a equipa de IT deve conseguir invalidar sessões, remover métodos de autenticação e analisar a actividade sem depender de processos manuais demorados.

O que avaliar antes de escolher uma plataforma

A escolha depende do ecossistema tecnológico e da maturidade operacional da empresa. Para organizações fortemente assentes em Microsoft 365, uma estratégia baseada em Microsoft Entra ID, acesso condicional e gestão de endpoints pode reduzir complexidade e tirar melhor partido do licenciamento existente. Em ambientes com múltiplas aplicações, fornecedores e directórios, poderá justificar-se uma camada de identidade com federação, single sign-on e integrações mais amplas.

A decisão não deve ser tomada apenas pelo preço da licença. O custo total de propriedade inclui desenho de políticas, integração de aplicações, gestão de ciclos de vida, suporte aos utilizadores, formação e monitorização. Uma solução com baixo custo inicial pode gerar mais pedidos ao service desk, mais excepções e maior exposição se não for bem implementada.

Há quatro critérios que devem ser tratados como requisitos de arquitectura:

Integração com aplicações cloud, sistemas legados, VPN, Wi-Fi empresarial e acesso administrativo.
Métodos MFA resistentes a phishing para perfis privilegiados e recursos críticos.
Gestão centralizada de identidades, grupos, dispositivos, convidados e fornecedores externos.
Registo e alertas que permitam investigação, evidência de conformidade e resposta a incidentes.

Também é essencial confirmar o plano de continuidade. Se o fornecedor de identidade estiver indisponível, como acedem os administradores aos sistemas críticos? Existem contas de emergência, devidamente protegidas, monitorizadas e testadas? Há procedimentos documentados para recuperar métodos MFA quando um colaborador troca de telemóvel? Sem estas respostas, a empresa pode trocar um risco de segurança por um risco de indisponibilidade.

NIS2 exige controlo demonstrável, não apenas intenção

Para entidades abrangidas pela NIS2 e para empresas que trabalham em cadeias de fornecimento exigentes, a gestão de acessos é uma evidência concreta de maturidade. Não basta afirmar que existe MFA. É necessário demonstrar políticas, responsabilidades, registos, revisão de privilégios e capacidade de resposta a incidentes.

A autenticação contribui para várias frentes: redução do risco de acesso não autorizado, controlo de contas privilegiadas, rastreabilidade de actividades e segurança de acessos remotos. Mas o valor só aparece quando a configuração acompanha o processo de negócio. Uma conta de um ex-colaborador activa durante semanas é uma falha de processo, mesmo que tenha MFA.

Por isso, o ciclo de vida da identidade deve ser integrado com recursos humanos e responsáveis de área: criar acessos aprovados, alterar permissões quando a função muda e remover imediatamente o que deixou de ser necessário. Para contas de parceiros e prestadores, defina uma data de expiração e uma revisão periódica. Acesso permanente por conveniência é dívida de segurança.

Da configuração pontual à operação contínua

Implementar uma plataforma de identidade não é apenas activar funcionalidades. É um projecto que deve começar por diagnóstico: inventário de aplicações, contas, métodos de autenticação, privilégios e excepções. Só depois faz sentido desenhar a arquitectura, definir grupos-piloto e preparar um plano de adopção.

A implementação deve ser faseada. Primeiro, protegem-se contas administrativas, acessos remotos e aplicações mais críticas. Depois, alarga-se a política aos restantes utilizadores, com comunicação clara e suporte próximo. Forçar a mudança sem preparar recuperação de conta, dispositivos partilhados e utilizadores menos digitais cria fricção desnecessária.

Após a entrada em produção, começa a parte que muitas empresas subestimam: operação contínua. As políticas precisam de revisão, os alertas requerem acompanhamento e as aplicações novas têm de entrar no modelo de controlo desde o início. O mesmo acontece com novas ameaças, alterações de licenciamento e evolução dos requisitos de conformidade.

Na ITPOINT, esta abordagem é tratada como responsabilidade operacional, não como venda isolada de licenças. Arquitectos antes de vendedores significa começar pelas dependências reais da empresa e definir quem responde por cada etapa, com SLA contratual quando a operação exige acompanhamento permanente.

A melhor autenticação é a que reduz oportunidades para o atacante sem transformar cada acesso num obstáculo para o colaborador. Comece pelos acessos privilegiados, valide as excepções que ninguém revê há anos e trate a identidade como parte da infraestrutura crítica. Quando o acesso falha, a operação pára. Quando o acesso é comprometido, o impacto pode ser muito maior.