7 de maio de 2026

Imagine que um ex-colaborador desligado há 45 dias ainda consegue acessar o sistema de CRM da sua empresa, com login e senha válidos, sem qualquer alerta. Ou que um bot de automação criado para um projeto interno acumula, silenciosamente, permissões de leitura sobre bases de dados que contêm informações pessoais de clientes. Estes podem não ser apenas cenários hipotéticos, mas falhas estruturais que evidenciam falhas críticas em processos de Identity and Access Management (IAM), especialmente na ausência de controles formais de provisionamento, revisão periódica e desprovisionamento automático (deprovisioning) de acessos, falhas estruturais de governança de identidade que se tornaram rotina nas organizações que migraram para a nuvem sem revisar como controlam quem acessa o quê. Do ponto de vista técnico, o problema é grave. Do ponto de vista regulatório, ele é ainda mais urgente: a Lei Geral de Proteção de Dados (LGPD) exige que as empresas demonstrem, a qualquer momento, que apenas pessoas autorizadas têm acesso a dados pessoais, e que esse controle é contínuo, documentado e auditável. Em 2026, com a ANPD em postura ativa de fiscalização, a ausência dessas evidências deixou de ser uma lacuna técnica para se tornar uma exposição jurídica concreta. Quando os dados se movem, a governança precisa acompanhar A migração para ambientes cloud já é uma realidade consolidada. Plataformas SaaS, infraestruturas multicloud, integrações via API e modelos de trabalho distribuído transformaram a forma como dados corporativos circulam. O que antes estava centralizado em um datacenter próprio agora se distribui entre dezenas de ambientes simultâneos. Muitos deles fora do controle direto da equipe de segurança, caracterizando cenários de Shadow IT e uso de integrações baseadas em APIs, tokens e credenciais persistentes, sem governança centralizada.  Esse movimento cria um problema específico para a conformidade com a LGPD: dados pessoais não ficam mais parados. Eles transitam entre sistemas, são acessados por identidades humanas e não humanas, replicados em ambientes de desenvolvimento e consumidos por integrações automatizadas. Em cada um desses pontos, a pergunta que a lei impõe é a mesma: quem está acessando, com qual base legal, e há controle e registro disso? Segundo análise publicada pelo portal Data Guide em janeiro de 2026, a maior dificuldade das organizações em relação à LGPD em 2026 não é mais a elaboração de políticas, mas a governança: a capacidade de manter evidências consistentes e processos auditáveis de controle de acesso. Não basta ter uma política documentada, é preciso provar, na prática, que ela funciona. O que a LGPD efetivamente exige de quem opera na nuvem A LGPD não é uma lei de tecnologia, mas suas exigências têm consequências técnicas diretas. O artigo 6º estabelece, entre os princípios do tratamento de dados, a segurança (inciso VII) que obriga o controlador a adotar medidas técnicas e administrativas capazes de proteger dados pessoais de acessos não autorizados, e a responsabilização e prestação de contas (inciso X), que vai além: exige que a organização demonstre ativamente que os controles existem e funcionam. Traduzindo para o contexto de identidade e acesso em ambientes cloud, isso significa que a empresa precisa ser capaz de responder, com evidências técnicas suportadas por controles como: A ANPD, segundo análise publicada pelo portal LGPD2U em dezembro de 2025 sobre os cinco anos da Autoridade, encerrou sua fase predominantemente educativa. A postura atual é de fiscalização estruturada, com capacidade para instaurar processos administrativos e aplicar sanções. O recado para 2026 é direto: não basta ter documentos. É preciso demonstrar que o programa de governança funciona no dia a dia. Nesse cenário, a trilha de auditoria de acessos deixou de ser um log técnico e passou a ser um ativo de conformidade jurídica. E é exatamente aqui que a maioria das empresas que migraram para a nuvem sem revisar sua arquitetura de identidade opera com uma lacuna crítica. Três falhas de governança que transformam acesso em passivo regulatório 1- Identidades que ninguém revisou Em ambientes cloud, recursos são provisionados com agilidade e permissões são concedidas na mesma velocidade. O problema é que elas raramente são revisadas com a mesma frequência. Um colaborador que muda de função acumula os acessos do cargo anterior. Um projeto encerrado deixa credenciais ativas em sistemas que continuam processando dados pessoais. Uma integração entre plataformas, criada provisoriamente, permanece ativa por meses. Esse acúmulo de permissões excessivas (permission creep) amplia a superfície de ataque e facilita cenários de lateral movement em caso de comprometimento de credenciais, chamado de permission creep, não gera alertas imediatos. Ele se instala gradualmente e cria uma superfície de exposição que só se torna visível quando algo dá errado. Sob a LGPD, cada uma dessas identidades com acesso desnecessário a dados pessoais representa uma potencial violação do princípio da necessidade (Art. 6º, III): tratar apenas o mínimo necessário para a finalidade declarada. 2- O intervalo entre o desligamento e a revogação O processo de offboarding é um dos pontos de maior risco regulatório em organizações com ambientes distribuídos. Quando um colaborador é desligado, os sistemas de RH são atualizados, mas os acessos em plataformas SaaS, repositórios de código, ferramentas de comunicação e painéis de dados raramente são revogados de forma centralizada e imediata. A ausência de integração entre sistemas de RH e IAM compromete o modelo Joiner-Mover-Leaver (JML), criando janelas de exposição exploráveis em cenários de insider threat ou uso indevido de credenciais válidas.  Dados da SailPoint indicam que, em processos manuais de revogação, esse intervalo pode superar 30 dias. Durante esse período, credenciais de ex-colaboradores permanecem válidas em sistemas que contêm dados pessoais de clientes, funcionários ou parceiros. Sob a LGPD, isso configura acesso não autorizado, com obrigação de notificação à ANPD quando o incidente resultar em risco ou dano relevante aos titulares. 3- Identidades não humanas sem ciclo de vida definido Scripts de automação, bots de integração, aplicações que consomem APIs, contêineres em ambientes de DevOps: todas essas entidades operam com credenciais próprias e, com frequência, com privilégios muito além do necessário para sua função. Diferentemente de usuários humanos, essas identidades raramente passam por revisões periódicas, e muitas permanecem ativas muito